Till början av publikationen

8. Vidarebehandling av personuppgifter för nya ändamål

Öppna menyn

8. Vidarebehandling av personuppgifter för nya ändamål

8.1 Ändamålsbegränsning

8.2 Utlämnande av uppgifter

8.3 Digitalisering vid ordnande av tjänster och utveckling av verksamhet

8.1 Ändamålsbegränsning

Ändamålsbegränsning är en av de centrala principerna för behandling av personuppgifter och har stor betydelse vid bedömningen av om behandlingen av personuppgifter är lagenlig. Bestämmelser om ändamålsbegränsning finns i artikel 5.1 b i dataskyddsförordningen, enligt vilken personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och de får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Bestämmelsen innefattar således två krav: ett som gäller ändamålen med den ursprungliga insamlingen av personuppgifter och ett som gäller den senare ”vidarebehandlingen” av uppgifterna för nya ändamål.

Det är bra att notera att ändamålet med behandlingen inom myndighetsverksamhet i regel inte kan fastställas fritt, utan i huvudsak grundar sig på lag, och i kommunernas verksamhet på kommunens uppgifter och tillåtna verksamhet. Kommunens ansvarsområde bestäms med stöd av kommunallagen. Iakttagandet av dataskyddslagstiftningen vid behandlingen av personuppgifter undanröjer inte kraven i annan lagstiftning. Vid exempelvis utveckling av informationstjänster ska man även bedöma de ramar som följer av bestämmelserna om statligt stöd och kommunens ansvarsområde.

Mer information: 

I artikel 6.4 i dataskyddsförordningen föreskrivs det om behandling av personuppgifter för andra ändamål än det ursprungliga. Behandling för något annat ändamål än det ursprungliga är möjlig med den registrerades samtycke, med stöd av lagstiftning som möjliggör behandling eller om senare behandling är förenlig med det ursprungliga ändamålet. 

När det gäller förenliga ändamål ska den personuppgiftsansvarige kunna visa att den senare behandlingen verkligen är förenlig med det ursprungliga ändamålet för behandlingen och att den registrerades dataskydd tillgodoses på ett korrekt sätt i alla avseenden. Vid bedömningen av ändamålets förenlighet ska åtminstone följande omständigheter beaktas:

  • kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen
  • det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige
  • personuppgifternas art, särskilt behandlingen av särskilda kategorier av personuppgifter
  • eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen
  • förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.

Om behandlingen är förenlig med det ursprungliga ändamålet för behandling krävs det enligt skäl 50 i dataskyddsförordningen inte någon separat behandlingsgrund utöver den behandlingsgrund som berättigade den ursprungliga behandlingen. Frågan huruvida senare behandling av personuppgifter är förenlig med ändamålet med den ursprungliga insamlingen av uppgifterna uppkommer endast om ändamålet med senare behandling inte är desamma som med den ursprungliga insamlingen.

Mer information: 

Europeiska unionens domstol ansåg i domen C-77/21 att ett konkret, logiskt och tillräckligt nära samband mellan ändamålet med den ursprungliga insamlingen av personuppgifterna och den senare behandlingen av dem är relevant vid bedömningen av ändamålens förenlighet, och konstaterade att detta säkerställer att sådan senare behandling inte avviker från de registrerades berättigade förväntningar på hur deras uppgifter kan komma att användas.

Enligt artikel 5.1 b i dataskyddsförordningen anses ytterligare behandling av personuppgifter för arkivändamål av allmänt intresse vara förenlig med de ursprungliga ändamålen med behandlingen. Behandling för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål har på motsvarande sätt ansetts vara förenlig med de ursprungliga ändamålen. I dessa fall krävs ingen separat bedömning av förenligheten. En förutsättning är dock att skyddsåtgärderna som föreskrivs i dataskyddsförordningen iakttas på ett korrekt sätt. Exempel på skyddsåtgärder är kryptering, pseudonymisering eller aggregering av personuppgifter till en statistisk nivå. 

Inom småbarnspedagogiken, den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen behandlas personuppgifter för att ordna och genomföra fostran och utbildning. Enligt dataskyddsförordningen får uppgifter om fostran och utbildning som har uppkommit inom den personuppgiftsansvariges egen verksamhet behandlas för statistiska ändamål, eftersom detta är förenligt med det ursprungliga ändamålet. Vid behandling för statistiska ändamål ska även bestämmelserna i 31 § i den nationella dataskyddslagen beaktas. 

Mer information: 

8.2 Utlämnande av uppgifter

Utlämnande av personuppgifter utgör också behandling av personuppgifter. Det är fråga om utlämnande av personuppgifter när uppgifter lämnas ut från en personuppgiftsansvarig till en annan och då den personuppgiftsansvariges bestämmanderätt över behandlingen samtidigt överförs. Utlämnande av uppgifter innebär i allmänhet att uppgifterna senare behandlas för andra ändamål än de ursprungliga. Enligt artikel 6.4 i dataskyddsförordningen är senare behandling utan samtycke eller en uttrycklig lagbestämmelse som tillåter senare behandling tillåten endast om behandlingen är förenlig med det ursprungliga ändamålet. 

Dataombudsmannen konstaterade i sitt avgörande Dnr 5242/157/2018 att den personuppgiftsansvarige med stöd av 26 § i offentlighetslagen får lämna ut nödvändiga sekretessbelagda uppgifter om kunden till tjänsteproducenterna utan kundens samtycke för att tillhandahålla de transporttjänster som omfattas av den personuppgiftsansvariges organiseringsansvar och som tillhandahålls på dennes uppdrag och för dennes räkning. Om kunden vill använda de transporttjänster som beviljats honom eller henne, är det nödvändigt att lämna ut uppgifter om kunden till tjänsteproducenterna.

Enligt dataskyddsförordningen får ett personuppgiftsbiträde inte behandla personuppgifter på annat sätt än i enlighet med den personuppgiftsansvariges instruktioner. Ett personuppgiftsbiträde får inte heller på eget initiativ behandla personuppgifter för egna ändamål, om inte behandlingen krävs enligt lag. I rättspraxis har till exempel utlämnande av uppgifter i samband med användningen av analysverktyg i informationssystem ansetts vara lagstridigt, när myndigheter i stor omfattning har lämnat ut uppgifter även för kommersiella ändamål utan att det funnits förenliga ändamål med eller fastställda grunder för behandlingen. 

Biträdande dataombudsmannen ansåg i sitt beslut (Dnr 4672/161/22) att biblioteken inte hade haft en lagenlig grund för vidare behandling av personuppgifter som samlats in via spårningsteknik på bibliotekens webbplatser, utan de hade behandlat personuppgifterna till exempel för att utveckla webbplatserna utan lagenlig grund för behandlingen. I fråga om lagring och användning av spårningsteknik tillämpades bestämmelserna i 205 § i lagen om tjänster inom elektronisk kommunikation. Biträdande dataombudsmannen påminde om att myndigheterna noggrant måste överväga vilken typ av spårningsteknik som behövs på deras webbplatser och om myndighetens webbtjänst eventuellt kan tillhandahållas utan andra kakor än sådana som är nödvändiga för webbplatsens funktion. Biträdande dataombudsmannen betonade att det i princip ska vara möjligt att använda en myndighets webbtjänster utan att uppgifter om besöket på webbplatsen överförs för exempelvis kommersiell användning.

I sitt beslut om användningen av undervisningsprogrammet Google Workspace for Education (2023-431-0001) ansåg den danska dataskyddsmyndigheten Datatilsynet att kommunernas behandlingsgrund var tillräcklig för följande ändamål: tillhandahållande av tjänster såsom Google Workspace, förbättring av tjänsten och säkerställande av tjänstens tillförlitlighet, för kommunikation till exempel med kommunerna, samt fullgörande av lagstadgade skyldigheter. Den danska dataskyddsmyndigheten ansåg dock att det i den danska lagen om grundläggande utbildning inte fanns någon tillräcklig behandlingsgrund för följande ändamål: underhåll och utveckling av tjänsten Google Workspace for Education, operativsystemet ChromeOS och webbläsaren Chrome, mätning av prestanda samt utveckling av nya funktioner och tjänster för operativsystemet ChromeOS och webbläsaren Chrome. 

Mer information: 

8.3 Digitalisering vid ordnande av tjänster och utveckling av verksamhet

Säkerställandet av att behandlingen av personuppgifter är lagenlig betonas särskilt i situationer där kommunen använder digitala metoder för behandling av uppgifter och ny teknik. När kommunerna planerar sådan verksamhet måste de noggrant bedöma om det finns en lagenlig behandlingsgrund och om kraven i såväl dataskyddslagstiftningen som annan tillämplig lagstiftning uppfylls. 

Innan behandlingen av personuppgifter inleds ska ändamålet med behandlingen fastställas och det ska bedömas om behandlingen av personuppgifter för detta ändamål är lagenlig. Dessutom ska en grund för behandlingen av personuppgifter fastställas, även om syftet egentligen inte är att behandla personuppgifter, utan till exempel att effektivisera verksamheten eller undersöka ett visst fenomen. Om det inte finns någon grund för behandling av personuppgifter kan behandlingen inte genomföras.

Om personuppgifter behandlas med stöd av artikel 6.1 c eller e i dataskyddsförordningen förutsätter dataskyddsförordningen bland annat att den lagstiftning som utgör grunden för behandlingen av personuppgifter är tillräckligt exakt och förutsägbar. Kommunerna måste således kunna påvisa en tillräckligt tydligt avgränsad behandlingsgrund: allmänna befogenhetsbestämmelser är inte nödvändigtvis tillräckliga för detta. Vad som avses med tillräcklig förutsägbarhet ska bedömas från fall till fall. 

En kommun deltog i en testmiljö (s.k. sandlåda, regulatory sandbox) som den svenska integritetsskyddsmyndigheten (IMY) tillhandahöll för att bedöma hur en AI-baserad transkriberingstjänst kan användas inom kommunens socialservice för att effektivisera verksamheten och förbättra kvaliteten. Kommunen hade uppgett att syftet med den planerade behandlingen var att på ett effektivt sätt och med beaktande av rättssäkerheten dokumentera vad som framkommer i enskilda personers socialserviceärenden och i diskussioner med andra parter. I april 2026 publicerade IMY en rapport Dnr IMY-2026-6527, där frågan granskades bland annat med tanke på behandlingsgrunderna. 

IMY ansåg att det var fråga om en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen, eftersom dokumentation är en obligatorisk uppgift för kommunen. Eftersom dokumentationen sker i samband med beredningen av beslut i enskilda ärenden kan behandlingen enligt IMY även utgöra ett led i myndighetsutövning i enlighet med artikel 6.1 e i dataskyddsförordningen. IMY betraktade dessutom dokumentationsskyldigheten som en offentligrättslig förpliktelse, varför även artikel 6.1 c i dataskyddsförordningen kan tillämpas enligt IMY. IMY ansåg att de dokumentationskrav som behandlingen syftar till att uppfylla är omfattande och relativt detaljerade. Enligt IMY:s bedömning är behandlingsgrunden i huvudsak tillräckligt tydlig, exakt och förutsägbar för att kunna utgöra grund för den planerade behandlingen av personuppgifter. Det krävs således inte en rättslig grund för den teknik som används, utan för själva uppgiften. 

Mer information: 

I Nederländerna bedömde dataskyddsmyndigheten stadens förfarande för att mäta trängseln i centrum med hjälp av sensorer. Längs gatorna hade sensorer installerats för att upptäcka wifi-signaler från förbipasserandes mobiltelefoner. Varje telefon registrerades separat och fick ett unikt ID. Detta gjorde det möjligt att mäta trängseln på en gata genom att räkna hur många mobiltelefoner som befann sig i närheten av sensorn vid en viss tidpunkt. Dataskyddsmyndigheten ansåg i sitt beslut att kommunen inte kunde grunda behandlingen av personuppgifter på artikel 6.1 c eller e i dataskyddsförordningen. Enligt dataskyddsmyndigheten utgjorde kommunernas i lagstiftningen vagt definierade uppgifter inte en tillräckligt exakt och tydlig grund för den behandling av personuppgifter som bedömdes i ärendet. Kommunen hade som grund för behandlingen hänvisat till kommunernas omfattande uppgiftsområde. 

Mer information: 

Alla nya ändamål, behandlingar och införanden av ny teknik ska bedömas separat i kommunen. Även principen om ändamålsbegränsning begränsar hur personuppgifter får behandlas. Vid bedömningen ska det säkerställas att det nya ändamålet är förenligt med kommunens ursprungliga ändamål. Dessutom ska bland annat kommuninvånarnas rimliga förväntningar beaktas: ju mindre kommuninvånarna med fog kan förvänta sig att deras personuppgifter även används för andra ändamål, desto mindre sannolikt är det att den nya behandlingen kan anses vara förenlig med det ursprungliga ändamålet. Kommuninvånarnas rimliga förväntningar ska beaktas såväl vid införandet av ny teknik som exempelvis vid planeringen av att kombinera personuppgifter på nya sätt. 

Behandlingen ska vara nödvändig och proportionerlig i förhållande till det eftersträvade ändamålet, och mängden uppgifter som behandlas ska begränsas till vad som är nödvändigt för ändamålet. När det gäller kravet på nödvändighet har till exempel den svenska integritetsskyddsmyndigheten IMY på sin webbplats konstaterat att användningen av tekniska hjälpmedel och automatiserad behandling av personuppgifter numera i regel anses vara nödvändig. I praktiken kan kravet på nödvändighet, särskilt i fråga om behandlingsgrunden allmänt intresse, bli ganska omfattande, eftersom personuppgifter och behandlingstekniker kan användas för att optimera nästan all verksamhet. Personuppgifter får inte behandlas om ändamålet med behandlingen kan uppnås med hjälp av anonymiserade uppgifter.

Mer information: 

  • Den svenska integritetsskyddsmyndigheten IMY: Rättslig grund
  • Nederländernas dataskyddsmyndighet Autoriteit Persoonsgegevens: Smart Cities. Investigation Report on the Protection of Personal Data in the Development of Dutch Smart Cities
  • Christofi, Wauters & Valcke, Smart Cities, Data Protection and the Public Interest Conundrum: What Legal Basis for Smart City Processing? European Journal of Law and Technology 2021
  • Koskinen, Knaapi-Junnila & Selkälä, Use of Personal Data in the Public Sector Under the Current EU Data Regulation and Beyond – the Need for Clarifying Legal, Practical and Ethical Bases 2025
  • Faisal, Applying the Purpose Limitation Principle in Smart-City Data-Processing Practices: A European Data Protection Law Perspective, Communication Law and Policy 2023 
Julkaisun etusivulle