Från rätten till tillgång till skadeståndsanspråk

Den breda räckvidden av en smal svensk GDPR-dom

En åtta sidor lång dom från Förvaltningsrätten i Umeå rör vid första anblicken en smal tvist: en registrerad begärde fullständig tillgång enligt GDPR från en svensk kommun. Med anledning av den aktuella begäran lämnade kommunen inte ut de begärda kopiorna av personuppgifterna eller logg- och åtkomstuppgifterna. Kommunen gjorde i stället gällande att personuppgifterna redan tidigare hade lämnats ut i sin helhet. Det tidigare utlämnandet inom ramen för partsinsynen hade emellertid varit selektivt och ofullständigt.

Förvaltningsrätten upphävde de två bärande avslagsgrunderna och återförvisade ärendet till socialnämnden för ny prövning.

Det är just tvistens begränsade omfattning som gör domen intressant. Domstolen skiljer tydligt mellan två typiska sätt att begränsa rätten till tillgång. Information som tidigare har lämnats ut med stöd av annan lagstiftning förbrukar inte den självständiga rätten enligt artikel 15 GDPR. Och åtkomstuppgifter upphör inte att avse den registrerade enbart därför att myndigheten klassificerar dem som teknisk säkerhetsinformation.

Den bredare betydelsen framträder när domen läses tillsammans med den praxis som förvaltningsrätten själv åberopar. Brillen Rottler, C-526/24, ligger på båda sidor av tröskeln: EU-domstolen beskriver där under vilka förutsättningar en begäran om tillgång får avslås på grund av ett otillbörligt syfte. I samma dom slår EU-domstolen uttryckligen fast att artikel 82.1 GDPR omfattar ersättning för skada som uppkommer genom ett åsidosättande av rätten till tillgång enligt artikel 15.1. Domstolen placerar dessutom förlust av kontroll över personuppgifter och osäkerhet om huruvida och hur uppgifterna har behandlats inom begreppet immateriell skada.

Den svenska domen dömer inte själv ut skadestånd. Den gör något som ligger ett steg före den frågan: den förankrar rättsstridigheten i två begränsningar av rätten till tillgång i just den EU-rättsliga praxis ur vilken en tydlig kausalkedja till artikel 82 därefter kan byggas.

1. Fallöversikt

Minikorpusen består av två dokument. Det första är Förvaltningsrätten i Umeås dom om Socialnämnden i Svalövs kommuns delvisa avslag på en begäran enligt GDPR. Det andra är ett skadeståndsanspråk enligt artikel 82 GDPR som formulerades efter domen och som kopplar det rättsliga avgörandet till en fortlöpande kontroll- och skadebild.

Domen är inte ett prejudikat från Högsta förvaltningsdomstolen. Dess bredare betydelse ligger någon annanstans: den tillämpar unionsrättsligt vägledande praxis i en vanlig kommunal situation och gör den rättsliga prövningsordningen ovanligt kompakt och synlig.

2. Central undersökningsfråga

Hur kan en rättsstridig begränsning av rätten till tillgång enligt GDPR omvandlas till en rättsligt förankrad kausalkedja som leder till ett skadeståndsanspråk enligt artikel 82 GDPR?

Svaret uppstår genom att de rättssatser som redan finns i domen och i den EU-domstolspraxis som den bygger på fogas samman:

tillgång → kontroll av behandlingen → kunskap om åtkomst, tidpunkt och ändamål → kontroll av riktighet och laglighet → utövande av ytterligare rättigheter → förlust av denna kontroll genom rättsstridig begränsning → immateriell skada → artikel 82.

3. Metod

Domen är primärkälla för förvaltningsförfarandet, parternas ståndpunkter och domstolens bedömningar. Det efterföljande skadeståndsanspråket läses som det andra kärndokumentet. Det visar hur domstolens rättsliga bedömning har översatts till en konkret kausalkedja enligt artikel 82.

Studien håller nivåerna åtskilda: domstolen prövar lagligheten i avslaget på begäran om tillgång. Det andra dokumentet tar denna bedömning och placerar den i en skade- och kausalitetsargumentation enligt artikel 82.

4. Fallstatistik

Fallet är inte intressant på grund av kommunikationsvolymen utan på grund av tätheten i den rättsliga kopplingen mellan tillgång, kontroll och skada.

5. Bakgrunden

Före GDPR-begäran hade ett utlämnande skett inom ramen för partsinsyn. Det utlämnandet var selektivt och ofullständigt. Handlingar som hade hänvisats till i annan kommunikation saknades.

När den senare fullständiga begäran enligt artikel 15 gjordes lämnade kommunen inte ut de begärda nya kopiorna av personuppgifterna eller behandlingsspåren. Kommunen grundade i stället avslaget på ståndpunkten att personuppgifterna redan tidigare hade gjorts fullt tillgängliga.

Därmed uppstod den första grundfrågan: Kan en självständig rätt till tillgång enligt GDPR i praktiken upphöra därför att en myndighet hävdar att samma information redan har lämnats ut med stöd av annan lagstiftning?

6. Vad kommunen gjorde

Den registrerade begärde ett fullständigt registerutdrag enligt artiklarna 12–15 GDPR. Begäran omfattade samtliga personuppgifter som kommunen behandlade om honom, oavsett lagringsform eller system, samt den information som följer av artikel 15.

Socialnämnden lämnade inte ut de begärda kopiorna av personuppgifterna eller logg- och åtkomstuppgifterna med anledning av denna begäran. När det gällde kopiorna åberopade nämnden artikel 12.5 GDPR. Kärnan i motiveringen var att den registrerade kort dessförinnan redan hade fått personuppgifterna på annat sätt och därför redan kunde kontrollera deras riktighet och laglighet. En ny begäran betraktades som uppenbart ogrundad eller orimlig.

Logg- och åtkomstuppgifterna avslogs på en annan grund. Enligt kommunen var dessa inte personuppgifter om den registrerade utan tekniska säkerhetsåtgärder som den personuppgiftsansvarige använde.

Två skilda rättsfrågor uppstod: När får en myndighet behandla en begäran om tillgång som uppenbart ogrundad eller orimlig? Och omfattas åtkomstspår av den information som artikel 15 skyddar?

7. Vad klaganden invände

Klaganden skilde rätten till tillgång enligt GDPR från den tidigare partsinsynen. Det tidigare utlämnandet hade varit selektivt och ofullständigt; framför allt är artikel 15 en självständig kontrollrätt. Ett utlämnande enligt ett annat regelverk besvarar inte frågan om den personuppgiftsansvarige har fullgjort skyldigheterna enligt artikel 15.

I den andra frågan angrep han kommunens tekniska klassificering av loggarna. Åtkomst, registrering, ändringar och metadata är relevanta just därför att de kan visa hur personuppgifter har behandlats. Informationsvärdet ligger inte endast i innehållet i en akt utan också i när uppgifter har lästs, använts eller ändrats och i vilket syfte.

Han hänvisade även till artikel 12.3 GDPR, enligt vilken den personuppgiftsansvarige ska lämna information om åtgärder med anledning av en begäran utan onödigt dröjsmål och i princip senast inom en månad.

8. Vad domstolen gjorde av detta

8.1. Artikel 12.5: myndigheten måste bära avslagsgrunden

När det gäller den första avslagsgrunden stödde sig Förvaltningsrätten på Brillen Rottler, C-526/24, och dessutom på Österreichische Datenschutzbehörde, C-416/23.

Ur denna praxis drog domstolen en tydlig gräns: den personuppgiftsansvarige som vill avslå en begäran enligt artikel 12.5 som uppenbart ogrundad eller orimlig måste visa den otillbörliga avsikt som läggs till grund för avslaget.

I det aktuella målet hade det enligt förvaltningsrättens bedömning inte framkommit annat än att detta var den registrerades första begäran enligt artiklarna 12 och 15 GDPR. Att information tidigare hade lämnats ut med stöd av annan lagstiftning var inte tillräckligt.

Den centrala rättssatsen kan därför uttryckas enkelt:

Tidigare informationsutlämnande ersätter inte bevisningen för förutsättningarna för avslag enligt artikel 12.5.

8.2. Artikel 15: åtkomstspår hör till kontrollsfären

När det gäller den andra avslagsgrunden stödde sig domstolen på Pankki S, C-579/21. EU-domstolen hade där slagit fast att information om läsningar eller konsultationer av personuppgifter, särskilt datum och ändamål, omfattas av rätten till tillgång.

Förvaltningsrätten drog därför slutsatsen att logg- och åtkomstuppgifter omfattas av artikel 15.1. Socialnämnden fick inte avslå begäran enbart med motiveringen att uppgifterna var tekniska säkerhetsdata.

Domstolen formulerade informationsskyldigheten konkret: uppgifter ska lämnas om datum eller tidpunkt för åtkomst eller läsning och om ändamålet med behandlingen. Det tekniska skälet till att informationen finns tar inte bort dess funktion att göra behandlingen kontrollerbar för den registrerade.

9. Enmånadsfristen knyter artikel 15 till ett helt rättighetsblock

Artikel 12.3 GDPR anges i domen som en allmän rättslig utgångspunkt. Bestämmelsen kräver åtgärd utan onödigt dröjsmål och i princip senast inom en månad. Tillämpningsområdet är uttryckligen bredare än artikel 15: den gäller åtgärder enligt artiklarna 15–22 GDPR.

Förordningen skapar därmed en gemensam processuell ram för en kedja av registrerades rättigheter: tillgång enligt artikel 15, rättelse enligt artikel 16, radering enligt artikel 17, begränsning enligt artikel 18, underrättelseskyldighet enligt artikel 19, dataportabilitet enligt artikel 20, invändning enligt artikel 21 och rättigheter i samband med automatiserat beslutsfattande enligt artikel 22.

I detta fall är särskilt artiklarna 15, 16, 18 och 19 nära förbundna. Den som inte på ett tillförlitligt sätt kan klarlägga vilka personuppgifter som behandlas, varifrån de kommer, när de har lästs och i vilket syfte, förlorar samtidigt en del av den faktiska grunden för att kontrollera deras riktighet och för att begära effektiv rättelse eller begränsning.

Sambandet är därför inte bara tidsmässigt. Det är funktionellt.

10. En dom, två EU-rättsliga spår

10.1. Brillen Rottler: avslagsgränsen och bron till artikel 82

Förvaltningsrätten använder först Brillen Rottler för att begränsa möjligheten att avslå en begäran. Artikel 12.5 ger inte den personuppgiftsansvarige rätt att avslå en begäran enbart därför att den bedöms som onödig eller redan tillgodosedd. Förutsättningarna för undantaget måste visas.

Kommunen föll på just denna tröskel i det svenska målet.

För skadedimensionen är det avgörande att Brillen Rottler inte stannar där. EU-domstolen besvarar uttryckligen frågan om artikel 82.1 omfattar skada som uppkommer genom ett åsidosättande av rätten till tillgång enligt artikel 15.1. Svaret är ja.

Domen går längre även när det gäller skadebegreppet. EU-domstolen placerar förlust av kontroll över personuppgifter och osäkerhet om huruvida personuppgifter har behandlats inom begreppet immateriell skada.

Samma EU-dom som Förvaltningsrätten använder för att underkänna kommunens resonemang enligt artikel 12.5 ger därmed den direkta rättsliga bron till ett skadeståndsanspråk.

10.2. Pankki S: vad kontroll betyder i praktiken

Pankki S konkretiserar innehållet i denna kontroll. Rätten till tillgång är inte begränsad till statiskt aktinnehåll. Information om åtkomst till personuppgifter kan vara nödvändig just för att kontrollera om behandlingen varit laglig.

Datum och ändamål med en läsning är därför inte bara systemdetaljer. De besvarar frågor som är centrala för kontrollen: När användes mina uppgifter? I vilket syfte?

Förvaltningsrätten överför denna rättssats till kommunens logg- och åtkomstuppgifter. Därmed får den senare skadekedjan ett konkret objekt. Den undanhållna informationen gäller när uppgifter har lästs eller gjorts tillgängliga och vilket ändamål behandlingen hade.

Kontrollförlusten förblir därmed inte abstrakt. Den knyts till identifierbar information om behandlingsåtgärder.

11. Det andra kärndokumentet: från domstolsbedömning till skadekedja

Det skadeståndsanspråk som formulerades efter domen tar dessa delar och ordnar dem i en kausalkedja:

rättsstridig begränsning av tillgång → begränsad kunskap om behandling och åtkomst → förlust av kontroll → försvårad kontroll av riktighet, ursprung och användning → försvårad rättelse och begränsning → fortsatt förekomst av bestridda uppgifter → fortsatt immateriell belastning → skadeståndsanspråk enligt artikel 82.

Det anmärkningsvärda är den rättsliga förankringen av varje led.

Det första ledet kommer från den svenska domen: kommunen fick varken stödja sig på den använda motiveringen enligt artikel 12.5 eller generellt definiera logg- och åtkomstuppgifter utanför artikel 15.

Det andra och tredje ledet binds samman av Pankki S och Brillen Rottler. Pankki S beskriver åtkomstinformation som en del av kontrollen. Brillen Rottler placerar förlusten av denna kontroll och osäkerheten om behandlingen inom det immateriella skadebegreppet i artikel 82.

De följande leden ligger i systemet av registrerades rättigheter. Artikel 15 möjliggör kontroll; artikel 16 öppnar för rättelse av felaktiga uppgifter; artikel 18 möjliggör begränsning av behandlingen under tiden riktigheten i bestridda uppgifter kontrolleras; artikel 19 för effekten vidare till mottagare till vilka uppgifterna har lämnats ut.

Brillen Rottler förstärker kopplingen ytterligare. EU-domstolen förklarar uttryckligen att artikel 82 inte kan begränsas till skada som orsakas av en behandling i snäv mening. Även ett åsidosättande av rättigheter i kapitel III kan orsaka ersättningsgill skada. I resonemanget nämns just tillgång, rättelse, radering, begränsning och dataportabilitet.

Kedjan tillgång – kontroll – rättelse – begränsning – följdverkan motsvarar därmed GDPR:s struktur sådan EU-domstolen själv beskriver den.

12. Kausalkedjan i en rad

Domens praktiska verkan kan sammanfattas i en enda följd:

begäran enligt artikel 15 → rättsstridigt avslag → ingen tillgång till kontrollrelevanta åtkomstuppgifter → förlust av kontroll och fortsatt osäkerhet → försvårad kontroll och korrigering av personuppgifter → immateriell skada → skadeståndsanspråk enligt artikel 82.

Den svenska domen och Brillen Rottler möts i den avgörande punkten: Förvaltningsrätten fastställer rättsstridigheten i begränsningen av rätten till tillgång; EU-domstolen placerar uttryckligen skada från ett åsidosättande av denna rätt inom artikel 82 och behandlar kontrollförlust och osäkerhet som former av immateriell skada.

13. Tvistefrågorna sida vid sida

14. Kommunikations- och kunskapskedjan

Minikorpusen innehåller ingen separat press- eller genmäleskommunikation. Den avgörande kunskapskedjan framgår redan av den tvist som rekonstrueras i domen.

Socialnämnden kände till att det fanns en fullständig begäran uttryckligen grundad på artiklarna 12 och 15 GDPR. Nämnden beslutade att inte lämna ut de begärda kopiorna av personuppgifterna eller logg- och åtkomstuppgifterna på denna grund och stödde sig på påståendet att de relevanta personuppgifterna redan hade gjorts tillgängliga.

Klaganden ställde mot detta artikel 15:s självständiga karaktär och det tidigare partsinsynsutlämnandets ofullständighet. Konflikten om loggarna var lika tydlig: teknisk säkerhetsinformation enligt kommunen, kontrollrelevanta behandlingsspår enligt klaganden.

Domstolen avgjorde båda konflikterna utifrån den unionsrättsliga kontrollfunktionen i rätten till tillgång.

15. Institutionell mekanism

De två kommunala avslagsgrunderna ser först olika ut. Den ena blickar bakåt: allt hade redan lämnats ut. Den andra utgår från teknisk funktion: loggar var säkerhetsdata.

Strukturellt gör de dock samma sak. De flyttar gränsen för rätten till tillgång från syftet med artikel 15 till en administrativ förhandsbedömning av vilken information den registrerade fortfarande behöver och vilken information som alls ska anses avse honom.

Förvaltningsrätten korrigerar båda förskjutningarna med samma princip: det är kontrollfunktionen i den registrerades rättighet som är avgörande.

För artikel 12.5 innebär det att den personuppgiftsansvarige inte kan begränsa rätten enbart genom att förklara informationsbehovet redan tillgodosett.

För loggar innebär det att kontrollrelevant information inte kan uteslutas enbart därför att den skapas tekniskt eller lagras av säkerhetsskäl.

16. Skadeståndsanspråkets rättsliga dimension

16.1. Artikel 15: tillgång som kontrollrätt

Artikel 15 ger mer än insyn i statiskt aktinnehåll. Rätten ska göra behandlingen synlig och möjlig att kontrollera. Pankki S konkretiserar detta för åtkomsthändelser: tidpunkt och ändamål är information som gör kontrollen möjlig.

16.2. Artiklarna 16, 18 och 19: kontroll får korrigerande verkan

Om kontrollen visar att uppgifter är felaktiga eller bestridda ger artikel 16 rätt till rättelse. Artikel 18.1 a knyter en tvist om riktigheten till en tillfällig begränsning av behandlingen medan riktigheten kontrolleras. Artikel 19 för rättelsen, raderingen eller begränsningen vidare till mottagare till vilka uppgifterna har lämnats ut.

Den praktiska kedjan blir: se, kontrollera, bestrida, rätta eller begränsa, korrigera följdverkningar.

16.3. Artikel 82: rättighetskedjan får en skadedimension

Brillen Rottler undanröjer ett möjligt brott mellan kapitel III och artikel 82. EU-domstolen fastslår uttryckligen att skada som följer av ett åsidosättande av rätten till tillgång enligt artikel 15 omfattas av artikel 82.1. Ersättning är inte begränsad till skador som direkt uppstår genom en behandlingsåtgärd i snäv mening.

Den övriga EU-domstolspraxisen ligger i samma skadebild: Österreichische Post avvisar en generell allvarlighetströskel för immateriell skada; Natsionalna agentsia za prihodite erkänner rädsla för framtida missbruk som möjlig immateriell skada; Scalable Capital betonar full och effektiv kompensation för den faktiskt lidna skadan; Quirin Privatbank placerar negativa känslor som rädsla eller irritation inom skadebegreppet när de följer av kontrollförlust, risk för missbruk eller anseendeskada.

Den starkaste kopplingen i just detta fall är dock Brillen Rottler själv:

överträdelse av artikel 15 → skada enligt artikel 82; kontrollförlust och osäkerhet kring behandlingen → immateriell skada.

17. Den breda räckvidden av den smala domen

Domen från Umeå skapar ingen ny unionsrättslig skadeståndsrätt. Den gör något mer praktiskt användbart: i ett mycket litet mål visar den var redan existerande linjer i EU-domstolens praxis möts.

En myndighet kan inte neutralisera en begäran enligt artikel 15 genom att hävda att den registrerade redan har fått allt på annat sätt. Förutsättningarna i artikel 12.5 måste vara uppfyllda.

Myndigheten kan inte heller definiera bort åtkomstinformation enbart därför att den uppkommer i ett tekniskt säkerhets- eller loggsystem. Avgörande är informationens funktion för kontrollen av behandlingen.

Och just kontrollen är det begrepp som Brillen Rottler för direkt in i skadedimensionen.

Det efterföljande skadeståndsanspråket gör kopplingen synlig:

rättsstridig begränsning → kontrollförlust → försvårat utövande av rättigheterna i artiklarna 15, 16, 18 och 19 → fortsatt immateriell skada → artikel 82.

Domens praktiska betydelse sträcker sig därmed långt utanför frågan om en viss kommun skulle lämna ut ett visst registerutdrag. Den visar varför tillgången har en nyckelfunktion i GDPR: den som begränsar tillgången begränsar inte bara information. Den begränsar möjligheten att kontrollera behandling och att effektivt utöva de rättigheter som följer av den kontrollen.

18. Räckvidden av domstolens bedömning

Förvaltningsrätten prövar lagligheten i de två grunder som användes för att avslå begäran om tillgång. Det skadeståndsanspråk enligt artikel 82 som formulerades därefter var inte föremål för denna dom.

Det är just därför de två dokumenten passar så väl analytiskt: det första ger den rättsliga domstolsbedömningen av den rättsstridiga begränsningen av tillgången. Det andra placerar denna bedömning i den skade- och kausalitetsstruktur som EU-domstolen har öppnat genom artikel 82.

19. Slutsats

Den åtta sidor långa domen från Umeå är ett ovanligt kompakt exempel på hur en till synes smal tvist om tillgång blir en betydligt bredare GDPR-fråga.

Kommunen behandlade informationsbehovet som redan tillgodosett och åtkomstspåren som teknisk information utanför den registrerades rättighet. Domstolen underkände båda vägarna. Tidigare informationsutlämnande med stöd av annan lagstiftning räcker inte för artikel 12.5, och åtkomstinformation om tidpunkt och ändamål hör till kontrollområdet i artikel 15.

Det avgörande nästa steget följer av den praxis som domstolen själv använder. Brillen Rottler kopplar uttryckligen ett åsidosättande av rätten till tillgång till artikel 82 och placerar kontrollförlust och osäkerhet kring behandlingen inom begreppet immateriell skada. Pankki S visar vilken information som gör denna kontroll praktiskt möjlig.

Ur domen kan därför en tydlig kausalkedja förankras:

rätt till tillgång → rättsstridig begränsning → bristande kontroll över behandling och åtkomst → försvårad kontroll och korrigering → fortsatt kontrollförlust och immateriell skada → skadeståndsanspråk enligt artikel 82.

Det är den breda räckvidden av denna smala dom.

20. Källförteckning

20.1. Kärndokument

1. Förvaltningsrätten i Umeå: anonymiserad dom om Socialnämnden i Svalövs kommuns delvisa avslag på en begäran om tillgång enligt GDPR, 8 sidor.
2. Efterföljande skadeståndsanspråk enligt artikel 82 GDPR: svensk originaltext; analyserad i minikorpusen som den dokumenterade konstruktionen av skadeståndsanspråket.

20.2. Unionsrätt

1. Europaparlamentets och rådets förordning (EU) 2016/679 – dataskyddsförordningen, särskilt artiklarna 12, 15, 16, 18, 19 och 82.

https://eur-lex.europa.eu/legal-content/SV/TXT/?uri=CELEX%3A32016R0679

20.3. Europeiska unionens domstol

1. Brillen Rottler, C-526/24, EU:C:2026:216 – artikel 12.5; artikel 15.1; otillbörligt användande av rätten till tillgång; artikel 82; skada genom åsidosättande av rätten till tillgång; kontrollförlust och osäkerhet kring behandlingen.
2. Pankki S, C-579/21, EU:C:2023:501 – artikel 15; information om läsningar och konsultationer av personuppgifter; datum och ändamål med åtkomst.
3. Österreichische Datenschutzbehörde, C-416/23, EU:C:2025:3 – orimliga framställningar och bevisning om otillbörlig avsikt.
4. Österreichische Post, C-300/21, EU:C:2023:370 – förutsättningarna i artikel 82; ingen generell allvarlighetströskel för immateriell skada.
5. Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986 – rädsla för framtida missbruk av personuppgifter som immateriell skada.
6. Scalable Capital, förenade målen C-182/22 och C-189/22, EU:C:2024:531 – full och effektiv ersättning för faktiskt liden immateriell skada.
7. Quirin Privatbank, C-655/23, EU:C:2025:655 – kontrollförlust och därav följande negativa känslor inom begreppet immateriell skada.

21. Originaldomen – fullständiga sidbilder

Domen återges här oförändrad i svenskt original.