6.1 Rättslig förpliktelse

6.2 Utförande av uppgift av allmänt intresse eller myndighetsutövning

6.3 Avtal

6.1 Rättslig förpliktelse

Behandling av personuppgifter med stöd av artikel 6.1 c i dataskyddsförordningen är lagenlig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Som begrepp är en rättslig förpliktelse som behandlingsgrund snävare än kommunens lagstadgade uppgift: en rättslig förpliktelse förutsätter att en aktör har ålagts uttryckliga förpliktelser i anslutning till sin uppgift. 

Den rättsliga förpliktelsen ska grunda sig på Europeiska unionens lagstiftning eller nationell lagstiftning. Det kan också vara fråga om bestämmelser och föreskrifter på lägre nivå än lag. För att en rättslig förpliktelse ska kunna utgöra en behandlingsgrund ska, enligt yttrande 6/2014 i WP29-arbetsgruppens riktlinjer (Yttrande om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv 95/46/EG, WP217) även följande förutsättningar uppfyllas:

• Förpliktelsen måste vara tillräckligt tydlig för den behandling av uppgifter som krävs.
• Förpliktelsen är bindande. Den personuppgiftsansvarige får inte ha möjlighet att välja om förpliktelsen ska uppfyllas eller inte och inte heller någon orimlig prövningsrätt om hur den ska uppfyllas.
• Förpliktelsen uppfyller samtliga krav enligt dataskyddslagstiftningen, inklusive kraven på nödvändighet, proportionalitet och ändamålsbegränsning.
• I bestämmelsen hänvisas uttryckligen till behandlingens art och syfte.

Behandlingsgrunden för en rättslig förpliktelse ska tolkas restriktivt. Om förutsättningarna ovan inte uppfylls kan behandlingen av personuppgifter inte grundas på denna behandlingsgrund, utan en annan behandlingsgrund måste fastställas för behandlingen. Inom kommunernas verksamhet är denna grund ofta artikel 6.1 e i dataskyddsförordningen (allmänt intresse eller myndighetsutövning), eftersom kommunens verksamhet i regel syftar till allmänt intresse. 

Enligt punkt 85 i EU-domstolens avgörande C-184/20 kan behandlingen av personuppgifter grunda sig på artikel 6.1 c i dataskyddsförordningen om syftet med behandlingen inte rimligen kan uppnås på ett lika effektivt sätt genom andra åtgärder som i mindre utsträckning inskränker den registrerades rätt till respekt för privatlivet och rätten till skydd för personuppgifter. Enligt punkt 138 i EU-domstolens avgörande C-252/21 ska behandlingen av personuppgifter vara faktiskt nödvändig för att fullgöra en rättslig förpliktelse och behandlingen ska utföras inom ramarna för vad som är strängt nödvändigt.

Innehållet i den rättsliga förpliktelsen har också behandlats i nationell rättspraxis. Högsta förvaltningsdomstolen bedömde i sitt avgörande HFD 2025:29 behandlingsgrunden för behandling av personuppgifter på en digital utbildningsplattform som en del av ordnandet av den grundläggande utbildningen. I avgörandet konstaterade Högsta förvaltningsdomstolen att 4 § i lagen om grundläggande utbildning och Utbildningsstyrelsens föreskrifter kan anses utgöra en klar och exakt grund för sådan behandling av personuppgifter som är nödvändig för att använda undervisningsprogrammets applikationer på ett sätt som motsvarar deras vanliga användningsändamål. Sådan behandling av personuppgifter i den grundläggande utbildningen kan enligt HFD även anses vara förutsägbar. Högsta förvaltningsdomstolen tog dock inte i första instans ställning till i vilken utsträckning den aktuella behandlingen av personuppgifter eventuellt saknade behandlingsgrund enligt dataskyddsförordningen.

HFD 2025:29: Staden hade tagit i bruk en digital utbildningsplattform. Enligt staden grundade sig behandlingen av personuppgifter i samband med detta på artikel 6.1 c i den allmänna dataskyddsförordningen för att behandlingen var nödvändig för att fullgöra en rättslig förpliktelse, dvs. ordnandet av grundläggande utbildning.

Dataombudsmannen hade ansett att den grund för behandlingen som staden hade framfört inte var tillämplig i ärendet. Dataombudsmannen hade ansett att bestämmelserna om grundläggande utbildning inte till någon del kunde utgöra en sådan rättslig förpliktelse för staden som hade förutsatt behandling av personuppgifter på en digital utbildningsplattform. Förvaltningsdomstolen hade avslagit stadens besvär.

Högsta förvaltningsdomstolen ansåg att bestämmelserna om grundläggande utbildning i sig kan vara en sådan rättslig förpliktelse för staden som i princip kan utgöra en grund för att behandla personuppgifter på en digital utbildningsplattform. Dataombudsmannens och förvaltningsdomstolens beslut var följaktligen felaktiga till den del de hade grundat sig på en annan utgångspunkt. Inte heller på de andra grunderna i besluten hade man kunnat anse att artikel 6.1 c i den allmänna dataskyddsförordningen inte till någon del är tillämplig i ärendet.

När behandlingen av personuppgifter grundar sig på den personuppgiftsansvariges fullgörande av en rättslig förpliktelse, har den personuppgiftsansvarige i regel prövningsrätt i fråga om vilka praktiska arrangemang och verktyg som används vid behandlingen. Lagstiftningen kräver att behandlingsgrunden fastställs, men anger vanligtvis inte i detalj genom vilka tekniska lösningar eller förfaranden behandlingen ska genomföras. Den personuppgiftsansvarige kan därför inom ramen för en rättslig förpliktelse i regel välja lämpliga metoder, förutsatt att behandlingen av personuppgifter är nödvändig för att fullgöra förpliktelsen och att övriga krav enligt dataskyddslagstiftningen uppfylls. 

6.2 Utförande av uppgift av allmänt intresse eller myndighetsutövning

Behandlingen av personuppgifter är lagenlig med stöd av artikel 6.1 e om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Även en uppgift som gäller allmänt intresse eller myndighetsutövning ska grunda sig på lagen eller andra rättsliga bestämmelser. Behandlingsgrunden påminner om en rättslig förpliktelse, eftersom behandlingen i båda fallen grundar sig på lagstiftning. 

Även om utförandet av en uppgift av allmänt intresse och myndighetsutövning skiljs åt i artikel 6.1 e i dataskyddsförordningen är det långt ifrån alltid möjligt att åtskilja dessa från varandra då det är fråga om kommunernas behandling av personuppgifter. När en kommun utför lagstadgade uppgifter är det oftast fråga om att tillgodose ett allmänt intresse. Detta gäller även vid myndighetsutövning i kommunerna. Myndighetsutövning kan således även betraktas som utförande av en uppgift av allmänt intresse. Däremot innefattar utförandet av en uppgift av allmänt intresse inte alltid myndighetsutövning, utan är innehållsmässigt mer omfattande.

Enligt WP29-arbetsgruppens yttrande 6/2014 (WP217) omfattar behandlingsgrunden situationer där den personuppgiftsansvarige har en uppgift av allmänt intresse eller myndighetsutövning, men inte en uttrycklig skyldighet att behandla uppgifterna. Behandlingsgrunden är tillämplig på både kommunens lagstadgade och allmänna uppgifter, om kommunen till exempel har prövningsrätt i fråga om tillhandahållandet av tjänster och tjänsternas omfattning. Om kommunen i anslutning till sin uppgift också har ålagts uttryckliga skyldigheter, är behandlingsgrunden en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.

Bestämmelserna i dataskyddsförordningen kompletteras av 4 § i dataskyddslagen genom att möjliggöra behandling av personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen när behandlingen är nödvändig och proportionerlig för en myndighets verksamhet av allmänt intresse. Syftet med bestämmelsen är att göra det möjligt för myndigheter att behandla personuppgifter när rätten till behandling inte direkt kan härledas från en uppgifts- och behörighetsbestämmelse som gäller myndigheten eller från mer detaljerad specialreglering, om sådan finns (RP 9/2018 rd, s. 81).

Kommunen kan behandla personuppgifter med stöd av allmänt intresse i exempelvis följande situationer:

• Personuppgifter behandlas ursprungligen för att fullgöra en lagstadgad skyldighet, men kommunen ordnar, sköter eller tillhandahåller tjänsten i större omfattning än vad lagen kräver. Den utvidgade behandlingen grundar sig på allmänt intresse.
• Personuppgifter behandlas i kommunens frivilliga uppgifter, i anslutning till kommunens allmänna verksamhetsområde och kommunens uppgifter. 
• Kommunen lämnar frivilligt ut personuppgifter till en annan personuppgiftsansvarig för att denne ska kunna utföra en uppgift som innefattar myndighetsutövning.
• Kommunen ansvarar för ordnandet av en viss offentlig tjänst och har i framtiden behov av att utveckla tjänsten i fråga. Utvecklingen av tjänsten grundar sig på ett allmänt intresse, om den senare behandlingen är förenlig med det ursprungliga ändamålet och om det är fråga om utförande av en myndighets uppgift av allmänt intresse (RP 9/2026 rd, s. 12).

Gränsdragningen mellan en rättslig förpliktelse och allmänt intresse beror på uppgiftens art. Gränsdragningen mellan olika behandlingsgrunder kan vara svår inom kommunsektorn och det är också möjligt att överlappande behandlingsgrunder identifieras för behandlingen. I en kommun kan en servicehelhet omfatta till exempel såväl sådana lagstadgade uppgifter för kommunen där personuppgifter behandlas på grundval av en rättslig förpliktelse eller ett allmänt intresse som frivillig tilläggsservice som anknyter till dessa uppgifter, där behandlingen enbart stöder sig på allmänt intresse.

Vägledande frågor för gränsdragningen mellan de behandlingsgrunder som avser fullgörande av en rättslig förpliktelse och utförande av en uppgift av allmänt intresse samt myndighetsutövning: 

• Vilken typ av kommunal uppgift är det fråga om?
• Regleras uttryckligen behandlingen av personuppgifter för ett visst ändamål i samband med uppgifterna?
• Är bestämmelsen förpliktande eller möjliggörande, och hur omfattande prövningsrätt har kommunen vid genomförandet av uppgiften och behandlingen av personuppgifter?

Enligt 8 § i förvaltningslagen ska myndigheterna inom ramen för sin befogenhet ge råd i anslutning till skötseln av ett förvaltningsärende samt svara på frågor och förfrågningar som gäller uträttandet av ärenden. Eftersom 8 § i förvaltningslagen ändå förefaller lämna öppet hur personuppgifter får behandlas för att ge råd, och eftersom myndigheterna i samband med utförandet av sina uppgifter vanligen ger råd i större omfattning än vad som förutsätts i 8 § i förvaltningslagen, förefaller artikel 6.1 e i dataskyddsförordningen i regel vara tillämplig på rådgivning. Om rådgivningen däremot avser fullgörandet av en rådgivningsskyldighet som föreskrivs i speciallagstiftning, kan behandlingen även grunda sig på artikel 6.1 c i dataskyddsförordningen. Detta kan exempelvis vara fallet i samband med de informations- och rådgivningstjänster som avses i 50 § i lagen om ordnande av arbetskraftsservice (380/2023).

I fråga om kunduppgifter som uppkommer eller behandlas inom kommunens offentliga arbetskrafts- och företagstjänster är det villkor som fastställs i artikel 6.1 c i dataskyddsförordningen centralt, enligt vilket behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. I stället grundar sig behandlingen av personuppgifter i kommunens frivilliga sysselsättningstjänster som hör till den allmänna verksamheten i regel på artikel 6.1 e. 

Vid utlämnande av offentliga handlingar kan behandlingen av personuppgifter omfattas av både artikel 6.1 c och 6.1 e. När en begäran om information enligt offentlighetslagen även gäller personuppgifter och personuppgifterna lämnas ut till den som har begärt information med stöd av lagen, är det fråga om fullgörande av en rättslig förpliktelse. Enligt skäl 154 i dataskyddsförordningen kan allmänhetens rätt att få tillgång till allmänna handlingar betraktas som ett allmänt intresse. 

6.3 Avtal

Enligt artikel 6.1 b i dataskyddsförordningen är behandling av personuppgifter lagenlig om behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. 

Ett avtal har i regel inte ansetts som en möjlig behandlingsgrund i myndigheters verksamhet (se t.ex. RP 106/2026 rd, s. 14). I förhållandet mellan kommunen och den registrerade är det i regel fråga om myndighetsutövning och förvaltningsverksamhet, på vilka de behandlingsgrunder som nämns ovan i anvisningen (rättslig förpliktelse och utförande av en uppgift av allmänt intresse och myndighetsutövning) i regel lämpar sig bättre än ett avtal.

Enligt WP29-arbetsgruppens yttrande 6/2014 (WP217) omfattar bestämmelsen för det första situationer där behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part. Bestämmelsen ska tolkas restriktivt och den omfattar inte situationer där behandling inte egentligen är nödvändig för att fullgöra ett avtal, utan där behandlingen av den registrerades personuppgifter snarare sker genom ett ensidigt beslut av den registeransvarige. Det är viktigt att fastställa det exakta syftet med avtalet, dvs. föremålet för avtalet och dess grundläggande syfte, eftersom det är detta som ska ligga till grund för prövningen av huruvida behandlingen av personuppgifterna krävs för att fullgöra avtalet. För det andra omfattar bestämmelsen även behandling som äger rum innan ett avtal ingås. Detta omfattar förpliktelser som är hänförliga till tiden före ingåendet av avtalet, under förutsättning att åtgärderna vidtas på begäran av den registrerade, snarare än på initiativ av den registeransvarige eller tredje part.

Sista avsnitten under översättning