Ett bolag vände sig till en tingsrätt i Finland och begärde att domstolen skulle lämna upplysningar om eventuella fällande domar i pågående eller avslutade brottmål beträffande en person som deltog i ett uttagningsprov som ordnats av bolaget. Syftet med begäran var att få klarhet i om personen hade ett brottsligt förflutet.
Bakgrunden till begäran var att finsk rätt inte kräver att de nationella bestämmelserna om skydd av personuppgifter iakttas när brottmålsdomar lämnas ut muntligen.
Tingsrätten fann att en sökning i rättens informationssystem hade utgjort en behandling av personuppgifter, vilket innebar att de begärda uppgifterna inte kunde lämnas ut muntligen.
Bolaget överklagade domen till en hovrätt i Finland, varpå denna domstol begärde förhandsavgörande från EU-domstolen. Den hänskjutande domstolen vill få klarhet i om artiklarna 2.1 och 4 led 2 i dataskyddsförordningen ska tolkas så att ett muntligt utlämnande av uppgifter om fällande domar utgör behandling av personuppgifter.
Den nationella domstolen vill även veta huruvida principen om handlingsoffentlighet kan jämkas samman med rätten till skydd av personuppgifter i artikel 86 genom att ge obegränsad tillgång till uppgifter om fällande brottmålsdomar, när syftet med begäran är att uppgifterna ska överföras till sökanden muntligen. Slutligen ville domstolen veta om svaret på frågan i den föregående meningen är ett bolag eller en privatperson.
EU-domstolen inleder med att hänvisa till artikel 4 led 2 i dataskyddsförordningen. Där definieras ”behandling” som ”en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende om de utförs automatiserat eller ej”. Definitionen av begreppet behandling är alltså vid och rätten kommer fram till att ett muntligt utlämnande omfattas.
Vidare skulle den motsatta tolkningen innebära att det vore möjligt att kringgå förordningens syfte genom att lämna ut uppgifter muntligen i stället för skriftligen.
Frågan därefter är om en sådan behandling omfattas av förordningens materiella tillämpningsområde enligt artikel 2.1. Eftersom den aktuella behandlingen är manuell krävs det att uppgifterna ”ingår eller kommer ingå i ett register”. Med register avses ”en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden”.
I det aktuella fallet framgår att de uppgifter som klaganden begär finns i ”en domstols personregister”. Mot bakgrund av registerdefinitionen, och med beaktande av att de efterfrågade uppgifterna återfinns i domstolens personregister, anser EU-domstolen att behandlingen omfattas av förordningens materiella tillämpningsområde.
Rätten prövar slutligen om bestämmelserna i artikel 86 utgör hinder för att uppgifter om fällande domar lämnas ut muntligen av en domstol till allmänheten, utan att sökanden behöver visa att denne har ett särskilt intresse av att få uppgifterna. En ytterligare fråga i denna del är om svaret påverkas av att sökanden är ett bolag eller en privatperson.
EU-domstolen framhåller att det följer av artikel 288 FEUF att en förordning till alla delar är bindande för varje medlemsstat. Det krävs med andra ord att ett muntligt utlämnande av personuppgifter endast får ske om dataskyddsförordningen tillåter detta.
Förutom de allmänna begränsningar av personuppgiftshantering som följer av förordningen finns det beträffande uppgifter om lagöverträdelser ytterligare begränsningar. En av dessa ytterligare begränsningar är att sådana uppgifter endast får behandlas under kontroll av en myndighet.
Om utlämnandet av sådana uppgifter sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning utgör dock dataskyddsförordningen inte ett hinder. Motsvarande gäller när lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs i den lagstiftning som tillåter att uppgifterna lämnas ut.
Av utredningen framgår att Finlands lagar om offentlighet vid myndigheters och domstolars verksamhet syftar till att säkerställa allmänhetens tillgång till allmänna handlingar.
”Med beaktande bland annat av hur känsliga uppgifterna om fällande domar i brottmål är, och av allvarlighetsgraden i det ingrepp i de berörda personernas grundläggande rättigheter avseende respekt för privatlivet och skydd för personuppgifter som utlämnandet av dessa uppgifter innebär, måste dessa rättigheter anses väga tyngre än allmänhetens intresse av att få tillgång till allmänna handlingar”, skriver domstolen vid en sammantagen bedömning.
Det krävs att sökanden som begär ut handlingen har ett särskilt intresse av att erhålla de efterfrågade uppgifterna.
Det saknas betydelse om sökanden är ett bolag eller en privatperson.