Editionspliktens förhållande till dataskyddsförordningen

Går det att göra avsteg från skyldigheten att framlägga handlingar i rättegång med hänvisning till dataskyddsförordningen?

För ungefär fyra år sedan förelades vår kund Entral AB av Attunda tingsrätt att förete sina personalliggare inom ramen för en rättegång och tvist avseende en byggnadsentreprenad. På Freja Partner AB har vi sedan dess stöttat vår kund och noga följt förloppet som varit uppe i EU-domstolen (mål C-268/21 ”Norra Stockholm Bygg”) och vänt tillbaka till Högsta domstolen i Sverige för att till slut ge oss de svar vi behöver (mål Ö 1750-21 ”Personalliggaren”).

Den retoriska frågan är:

Finns det en möjlighet att undgå den i rättegångsbalken stadgade editionsplikten (skyldigheten att inom ramen för en rättegång framlägga viktiga handlingar i bevishänseende) med hänvisning till dataskyddsförordningen, såvitt avser edition av handlingar som innehåller personuppgifter?

Syftet med denna artikel är att redogöra för den intressanta bakgrunden av ärendet och den juridik som ligger bakom för att slutligen summera vad som numera gäller såvitt avser edition av handlingar innehållande personuppgifter.

 

Rättslig kontext – editionsplikten i Sverige

Bestämmelserna om edition återfinns i rättegångsbalkens (RB) 38 kapitel. Syftet med editionsplikten är att den som är i behov av en handling som bevis ska kunna få tillgång till den. Det handlar således om att säkerställa att den enskilde ska kunna komma till sin rätt. Editionsplikten ska bidra till ett effektivt domstolsskydd.

Enligt 38 kap. 2 § första stycket RB är den som innehar en skriftlig handling som kan antas ha betydelse som bevis skyldig att förete (lägga fram) handlingen.

Om någon är skyldig att förete en skriftlig handling som bevis, får rätten enligt 38 kap. 4 § RB förelägga honom eller henne att förete handlingen. Handlingen företes, som huvudregel, genom att den lämnas in till rätten. Även tredje part kan vara editionsskyldig. Bedömningen av om någon ska föreläggas att förete en handling ska omfatta en avvägning mellan bevisningens relevans och motpartens intresse av att inte behöva lämna ut handlingen.

Det är av stor vikt att formulera sitt editionsyrkande på ett sådant sätt att det är så invändningsfritt som möjligt då domstolen prövar frågan ex officio. Det är domstolen som ska avgöra om förutsättningarna för edition föreligger, inte parterna. För att en editionssökande ska kunna vinna framgång med en begäran om edition krävs i princip att domstolen kommer fram till att editionssvaranden innehar ett specifikt dokument av bevisbetydelse i målet.

Det är vidare viktigt att handlingarna är tillräckligt beskrivna så att domstolen vet vilka handlingar yrkandet gäller, då domstolen kan behöva förordna att handlingen ska tillhandahållas genom kronofogdemyndighetens försorg i enlighet med 38 kap. 5 § RB.

Det finns undantag från editionsplikten som exempelvis minnesanteckningar eller annan sådan uppteckning som är avsedd uteslutande för personligt bruk enligt 38 kap. 2 § RB.

Rättslig kontext – personuppgifter

Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna och artikel 16.1 i fördraget om Europeiska unionens funktionssätt föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

Personuppgifter måste behandlas enligt de principer som fastställts i artikel 5.1 dataskyddsförordningen. Uppgifterna ska behandlas på ett lagligt sätt i enlighet med artikel 5.1 a, de ska samlas in för särskilda, uttryckligen angivna och berättigade ändamål och får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål i enlighet med artikel 5.1 b och de ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas i enlighet med artikel 5.1 c.

För att en behandling av personuppgifter ska vara laglig måste förutsättningarna i någon av de sex angivna rättsliga grunderna i artikel 6 dataskyddsförordningen vara uppfyllda, vilka är:

• Samtycke
• Fullgörande av avtal
• Fullgörande av rättslig förpliktelse
• För att skydda intressen som är av grundläggande betydelse
• För att utföra en uppgift av allmänt intresse
• Som ett led i myndighetsutövning samt berättigat intresse.

Behandling av personuppgifter är, som ovan nämnts, laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige i enlighet med artikel 6.1 c dataskyddsförordningen. Grunden för behandlingen kan fastställas av medlemsstatens nationella rätt som den personuppgiftsansvarige omfattas av enligt artikel 6.3.

Rättslig kontext – svensk nationell skatterätt

Enligt 39 kap. 11 a § skatteförfarandelagen (2011:1244) (SFF) ska den som bedriver byggverksamhet på en byggarbetsplats föra en elektronisk personalliggare (även i branschen benämnd som ID06) och i denna dokumentera nödvändiga identifikationsuppgifter för de personer som är verksamma i näringsverksamheten.

I dokumentationsskyldigheten inbegrips även ett krav på att bevara identifikationsuppgifterna. Uppgifterna ska bevaras under två år i enlighet med 9 kap. 5 § SFF.

Byggentreprenadärendet ”Personalliggaren”

Kort bakgrund

Norra Stockholms Bygg AB (Fastec) har för Per Nycander AB (Nycander) utfört en entreprenad för nybyggnad av ett kontorshus. De som arbetade i entreprenaden registrerade sin närvaro i en elektronisk personalliggare. Personalliggaren tillhandahölls av Entral AB på uppdrag av Fastec. Mellan parterna uppstod tvist om ersättning för den utförda entreprenaden vilken hanterades av Attunda tingsrätt.

Attunda tingsrätts beslut 2020-02-03 i mål nr T 6195–18

I tingsrätten yrkade Fastec att Nycander skulle betala ett belopp för vad Fastec ansåg vara resterande betalning som skulle utgå i entreprenaden. Nycander bestred och anförde att Fastec inte lagt ner den tid som Fastec begärt ersättning för.

Nycander yrkade således att tingsrätten skulle förelägga Entral att framlägga den aktuella personalliggaren för viss period. I första hand i omaskerat skick och i andra hand med maskering av berörda personers personnummer. Som grund för yrkandet om edition gjorde Nycander gällande att Entral innehade personalliggaren och att den kunde ha betydelse som bevis. Med uppgifterna i personalliggaren ville Nycander motbevisa att Fastecs personal varit på plats i den omfattning som det Fastec gjorde gällande.

Fastec bestred Nycanders editionsyrkande och invände att yrkandet stod i konflikt med artikel 5.1 b i dataskyddsförordningen. Fastec hänvisade till att personalliggaren innehöll personuppgifter som hade samlats in i syfte att Skatteverket skulle kunna kontrollera verksamheten och att det inte var förenligt med detta ändamål att lämna ut uppgifterna.

Tingsrätten förelade Entral att förete personalliggaren för entreprenaden avseende den aktuella perioden i omaskerat skick. Beslutet överklagades till hovrätten.

Svea hovrätts beslut 2020-02-27 i mål Ö 1738–20

Svea hovrätt fastställde tingsrättens beslut och avfärdade Fastecs invändning om att edition stod i strid med dataskyddsförordningen. Beslutet överklagades till Högsta domstolen.

Högsta domstolens förhandsavgörande 2021-04-15 i mål nr Ö 1750–20

Fastec yrkade att Högsta domstolen i första hand skulle avslå Nycanders yrkande om edition och i andra hand ändra hovrättens beslut på så sätt att personalliggaren ska utges i anonymiserad version så att personuppgifter inte kan utläsas. Fastec anförde att uppgifterna i personalliggaren inte skulle lämnas ut eftersom de registrerades intresse av personlig integritet vägde tyngre än Nycanders intresse av att få del av personalliggaren.

Nycander motsatte sig att hovrättens beslut ändras och anförde att Nycanders intresse av att ta del av handlingen vägde över andra motstående intressen.

Målet gällde, som ovan nämnts, frågan om edition kunde meddelas av en personalliggare som innehöll personuppgifter som hade samlats in huvudsakligen för skattekontroll. Om Högsta domstolen skulle besluta om edition, skulle det innebära att Entral, som innehar personalliggaren, skulle vara skyldig att lämna ut personalliggaren för att fullgöra en rättslig förpliktelse vilken syftar till att tillgodose Nycanders intresse av att föra bevisning.

Vad gäller editionsplikten i rättegångsbalken anförde Högsta domstolen följande. Det framgår av rättspraxis att prövningen av en editionsfråga ska omfatta en avvägning mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna. Vid prövningen beaktas i princip inte om information i handlingen är av privat natur eller om andra personer har intresse av innehållet i handlingen, utöver vad som kan följa av de särskilt föreskrivna undantagen.

Högsta domstolen ansåg att det inte var helt klarlagt hur dataskyddsförordningen skulle tolkas i dessa avseenden. Det fanns därmed skäl att begära ett förhandsavgörande från EU-domstolen.

Högsta domstolen beslutade att vilandeförklara målet och ställde följande frågor till EU-domstolen.

1. Innefattar artiklarna 6.3 och 6.4 dataskyddsförordningen krav också på nationell processrättslig lagstiftning om editionsplikt?
2. Om svaret på fråga 1 är ja, innebär dataskyddsförordningen att det vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter även ska tas hänsyn till de registrerades intressen? Ställer unionsrätten i så fall några krav på hur denna bedömning närmare ska göras?

Dom från EU-domstolen av den 2023-03-02 i mål C-268/21

Avseende den första frågan bedömde EU-domstolen att inte bara upprättande och förande av en elektronisk personalliggare ska anses utgöra en behandling av personuppgifter utan även det förhållande att någon som bevis företer en elektronisk lagrad handling som innehåller personuppgifter till följd av ett editionsföreläggande utgör sådan behandling.

All behandling av personuppgifter, inbegripet behandling som utförs av offentliga myndigheter såsom domstolar, måste uppfylla de villkor för laglig behandling som anges i artikel 6 dataskyddsförordningen.

Enligt artikel 6.1 e, jämförd med artikel 6.3, krävs således att det finns en rättslig grund, bland annat i nationell rätt, som ger stöd för personuppgiftsansvarigas behandling av personuppgifter som sker i samband med att de utför en uppgift av allmänt intresse eller som ett led i deras myndighetsutövning, såsom den behandling som utförs av domstolarna inom ramen för deras dömande verksamhet.

Vad beträffar det nu aktuella fallet är det bestämmelserna i 38 kap. RB om editionsplikt och editionsföreläggande som utgör den rättsliga grund som ger stöd för behandlingen av personuppgifter. Även om dessa bestämmelser i princip utgör en tillräcklig rättslig grund för att tillåta behandling av personuppgifter, så skiljer sig den rättsliga grunden från behandling av personuppgifter enligt skatteförfarandelagen, med stöd av vilken den i målet aktuella personalliggaren har upprättats för skattekontroll.

EU-domstolen fann att behandling av personuppgifter i en personalliggare i samband med handläggning av mål i domstol utgör vidarebehandling som görs för ett nytt ändamål i förhållande till det ursprungliga behandlingsändamålet (nämligen skattekontroll).

Vid sådana förhållanden ska vidarebehandlingen av personuppgifter för ett annat ändamål än det ursprungliga behandlingsändamålet inte endast ha stöd i nationell rätt, såsom bestämmelserna i 38 kap. RB, utan även utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, i den mening som avses i artikel 6.4 dataskyddsförordningen, och skydda ett av de mål som avses i artikel 23. Ett av dessa mål är ”skydd av rättsväsendets oberoende och rättsliga åtgärder”. Det ankommer på Högsta domstolen att pröva huruvida editionsbestämmelserna svarar mot målet att skydda rättsväsendets oberoende och rättsliga åtgärder och att åtgärden är nödvändig och står i proportion till ändamålet.

Högsta domstolens första fråga besvarades med att artikel 6.3 och artikel 6.4 ska tolkas på så sätt att dessa bestämmelser är tillämplig i ett tvistemål där fråga är om edition av en personalliggare som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll.

Avseende den andra frågan fann EU-domstolen att upprätthållandet av rätten till ett effektivt domstolsskydd, i synnerhet rätten till en rättvis rättegång, kräver att parterna i ett tvistemål ska ha möjlighet att få tillgång till handlingar som de behöver för att kunna styrka sin talan. Sådana handlingar kan eventuellt innehålla parternas eller andras personuppgifter.

EU-domstolen bedömde att det är upp till den nationella domstolen att fastställa huruvida ett utlämnande av personuppgifter är adekvat och relevant för att säkerställa det mål som eftersträvas i nationell rätt och huruvida detta mål inte kan uppnås genom att man använder bevismedel som är mindre ingripande med avseende skyddet av ett stort antal individers personuppgifter. Domstolen måste överväga om att besluta om ytterligare åtgärder för att skydda personuppgifterna, exempelvis pseudonymisering.

Högsta domstolens andra fråga besvarades med att en nationell domstol är skyldig att vid bedömningen av frågan om edition ska beslutas rörande en handling med personuppgifter ta hänsyn till de registrerades intressen och göra en avvägning av dessa utifrån omständigheterna i varje enskilt fall, vilken typ av mål det är fråga om och med vederbörlig hänsyn till proportionalitetsprincipens krav samt till de krav som följer av principen om uppgiftsminimering i artikel 5.1 c.

Tillbaka till Högsta domstolen – avgörande 2023-12-29 i mål Ö 1750-20 (”Personalliggaren”)

Högsta domstolen har därefter ändrat hovrättens beslut endast på så sätt att Entral AB ska förete personalliggaren med maskering av de registrerades personnummer, samordningsnummer eller motsvarande utländska nummer.

Högsta domstolen bedömde att Nycander hade ett skyddsvärt intresse av att genom edition få ut den personalliggare som entreprenören Fastec låtit upprätta och att detta intresse skulle väga tungt.

Det konstaterades att personuppgifterna i personalliggaren huvudsakligen utgjordes av identitetsuppgifter i form av namn och personnummer. Domstolen beaktade i förevarande fall att Nycander inte närmare hade redovisat varför de i bevishänseende hade behov av dessa uppgifter varför domstolen i enlighet med principen om uppgiftsminimering begränsade editionsföreläggandet på så sätt att Entral förelades att förete personalliggaren med maskering av de registrerades personnummer, samordningsnummer eller motsvarande utländska nummer.

Avslutande ord

Sammanfattningsvis kan konstateras att det numera vid beslut om edition – föreläggande av handling – som innehåller personuppgifter ska göras utifrån den registrerades intresse vars personuppgifter finns i handlingen som ska läggas fram. Den tidigare uppfattningen har varit att domstolen i princip inte ska beakta om andra personer har ett intresse av innehållet i en handling som begärs utlämnad röjs.

Domstolen har således att pröva en editionsbegäran mot kraven i dataskyddsförordningen. Domstolen behöver överväga skyddsåtgärder så som pseudonymisering eller maskering (delvis eller fullständig) för att tillse att de registrerades rätt till skydd för sina personuppgifter tillvaratas.

Avvägningen av olika intressen kommer framöver att behöva vara mer komplext än tidigare.

Förutom bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna så måste även de registrerades intressen beaktas och en bedömning ska göras gällande nödvändighet och proportionalitet, med hänsyn till principen om uppgiftsminimering.

Allt detta till skydd för enskildas integritet, något som vi på Freja Partner AB finner välkommet och viktigt!

 

 

 

Artikel författad av

Zandra Larsen, jurist på Freja Partner