Ville ha 7 456 anställdas personnummer
Det var i höstas som en man, också doktorand vid Uppsala universitet, begärde ut ett register över alla anställda vid Uppsala universitet. Mannen önskade få ta del av deras namn, befattningar, e-postadresser och personnummer. Baserat på hur många anställda UU hade vid tiden skulle registret omfatta 7 456 personer.
Hade frågan rört de anställdas namn, e-postadresser och befattningar hade handlingarna lämnats ut – men då han även önskade personnummer, som kan omfattas av sekretess, bedömde dokumenthanläggaren att begäran skulle avslås.
– Jag var inte säker på att de här uppgifterna skulle behandlas i enlighet med gällande rätt. Det finns lagstöd för att en sekretessbelägga personuppgifter om det kan antas att den kommer behandlas i strid med GDPR, säger Måns Bergkvist, dokumenthandläggare vid juridiska avdelningen vid Uppsala universitet.
"Vi får inte allt för sällan in frågor om att få kompletta förteckningar över de anställdas löner."
Måns Bergkvist, dokumenthandläggare vid juridiska avdelningen vid Uppsala universitet. Foto: Måns Bergkvist
Vad skulle han då ha detta register till? Mannen fick möjlighet att inkomma med ett yttrande om vad uppgifterna skulle användas till men valde att inte svara. Han fick också frågan om han ville ta del av uppgifterna med förbehåll – vilket kortfattat betyder att han får se personnumren om han förbinder sig att inte sprida dem. Detta var han inte heller intresserad av.
Då han inte fick ut uppgifterna som han önskade, valde han att överklaga till Kammarrätten. I domen från i slutet av oktober 2020 slår Kammarrätten fast att Uppsala universitet handlat rätt när de nekat mannen att ta del av personnumren. Framförallt trycker de på risken att han kan ha haft för avsikt att behandla numren ”automatiskt” (digitalt). I domen står:
”Automatiserad behandling av personnummer är förenat med stora integritetsrisker. Med hänsyn till det och att XX inte velat redogöra för sitt syfte med behandlingen kan det antas att anställdas personuppgifter kommer behandlas i strid med den allmänna dataskyddsförordningen [GDPR reds. anm].”
Det händer ibland att personer som vill ta del av handlingar från universitetet får avslag och väljer att överklaga det.
– Men det är ganska ovanligt sett till den totala mängden begäran av allmän handling som myndigheten hanterar, säger Måns Bergkvist.
Han menar vidare att denna dom kan bli vägledande för framtida rättsfall – i de fall som prövats tidigare i Sverige har den som begärt ut personnumren angett vad de ska ha uppgifterna till. I detta fall ville mannen inte berätta det.
Att personer begär ut register av liknande slag är dock inte ovanligt.
– Vi får inte allt för sällan in frågor om att få kompletta förteckningar över de anställdas löner. Till exempel från tjänstemän vid andra myndigheter som kanske vill förhandla om lön. Men i de fallen lämnar vi inte heller ut de anställdas personnummer.
