HFD: Enskilda näringsidkares namn och FO-nummer är personuppgifter
Prejudikatet innebär att alla informationssystem som innehåller företagsuppgifter behöver anpassas så att de är förenliga med dataskyddsförordningens krav.
I ett ärende som gällde handlingsoffentlighet och dataskydd gav Högsta förvaltningsdomstolen ett prejudikat 31.1.2025 (HFD:2025:14). Ärendet gällde uppgifter som fanns i tillståndshandlingar. HFD slog fast att enskilda näringsidkares namn och FO-nummer är personuppgifter enligt artikel 4.1 i dataskyddsförordningen. Näringsidkare som har bolagsform åtnjuter inte detta skydd. Frågan var också om verksamhetsorten var skyddad.
Prejudikatet utgick från rikslagen om offentlighet. Linjedragningen om vad som är en personuppgift enligt artikel 4.1 i dataskyddsförordningen är lika giltig på Åland. Även resonemanget kring handlingsoffentlighet har bärighet på åländska förhållanden.
Personuppgifter i myndighetshandlingar
Enligt 25 § 1 mom. i offentlighetslagen (2021:79) för Åland får personuppgifter som ingår i en myndighetshandling lämnas ut åt den som begär det förutsatt att
- mottagarens rätt att ta del av myndighetshandlingen inte har begränsats i lag och
- mottagaren har rätt att behandla personuppgifterna enligt dataskyddslagstiftningen. Om mottagaren inte har rätt att behandla personuppgifterna enligt dataskyddslagstiftningen får myndighetshandlingen lämnas ut endast till den del personuppgifterna inte ingår.
Rätt att behandla personuppgifter regleras i dataskyddsförordningen. Det innebär att myndigheter behöver göra en prövning innan de lämnar ut personuppgifter som finns i myndighetshandlingar.
Publicering enligt offentlighetslagen för Åland
Det finns också ett nytt moment 3 i 25 § i offentlighetslagen för Åland vars innebörd vid första anblicken verkar strida mot moment 1. Enligt momentet kan personuppgifter publiceras på nätet så länge allmänheten har intresse av dem. Detta beror på att det finns en rättslig grund i kommunlagstiftningen för sådan publicering. En kommun ska dock endast publicera personuppgifter som är nödvändiga med tanke på tillgången till information enligt offentlighetslagens förarbeten.
HFD ansåg att den ort där verksamheten var belägen (belägenhetsort) i det här fallet var en så allmän uppgift att belägenhetsorten inte direkt eller indirekt bidrog till att identifiera en fysisk person. Kriteriet var alltså möjligheten att identifiera en fysisk person på basis av var verksamheten är belägen. Datainspektionen noterar att belägenhetsorten för en verksamhet på Åland många gånger räcker till för att identifiera verksamhetsutövaren direkt eller indirekt.