Qura AB begärde hos Göta hovrätt att få ta del av samtliga domar och slutliga beslut under perioden den 1 oktober 2023 till den 1 september 2025, med undantag för beslut om prövningstillstånd, avskrivning, tredskodom, extraordinära rättsmedel och stadfäst förlikning.
Hovrätten (hovrättspresidenten Charlotte Brokelind) anförde i beslut den 7 oktober 2025 följande.
Qura AB har uppgett bland annat följande.
Qura AB driver rättsdatabasen Qura som integrerar innovativ sökteknologi för rättsdata med generativa AI-funktioner. Därutöver finns i tjänsten en nyhetsfunktion. De begärda handlingarna kommer att ingå i rättsdatabasen med syftet att kunder ska kunna navigera i rättsinformation på ett snabbt och effektivt sätt. Det finns inte några särskilda funktioner i rättsdatabasen utformade med syfte att söka efter personuppgifter. Det är enbart betalande kunder som har tillgång till tjänsten idag, vilket innebär att personuppgifterna inte kommer någon annan del av allmänheten tillhanda.
Qura AB är intresserade av att ta del av handlingarna enligt ett beslut om förbehåll. Qura AB:s inställning är emellertid att ett förbehåll endast bör meddelas gällande brottmål och mål med sammanhängande säkerhetsåtgärder, eller handlingar av liknande slag som innehåller sådana uppgifter som faller inom artikel 10 i GDPR. Bedömer hovrätten att förbehåll därutöver behöver meddelas vill Qura AB få handlingarna utlämnade men då med ett överklagbart beslut om förbehåll. I den mån förbehåll inte meddelas kommer personuppgifter att tillhandahållas betalande kunder på så vis att avgörandena kommer att publiceras omaskat i rättsdatabasen.
Qura AB har uppgett att ett förbehåll kan riktas mot A.W.
Qura AB har begärt att få ta del av ett större antal allmänna handlingar som innehåller personuppgifter om lagöverträdelser och andra personuppgifter av känslig natur.
Mot denna bakgrund, och med beaktande av den omfattande behandling av personuppgifter av aktuellt slag som sker hos Qura AB, kan det antas att personuppgifterna som finns i begärda handlingar kommer att behandlas på ett sätt som är oförenligt med dataskyddsförordningen[1], däribland artikel 6, 9 och 10. Personuppgifter i handlingarna omfattas därmed av sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen. Sekretessen omfattar därmed även andra mål än brottmål.
Det finns dock förutsättningar att lämna ut handlingarna med förbehåll enligt 10 kap. 14 § offentlighets- och sekretesslagen. Qura AB bedriver verksamhet som delvis kan antas ske för journalistiska ändamål. Förbehållet utformas därför så att det inte förhindrar att personuppgifterna används i den journalistiska verksamheten.
A.W. får för Qura AB:s räkning ta del av samtliga domar och slutliga beslut under perioden den 1 oktober 2023 och den 1 september 2025 med undantag för beslut om prövningstillstånd, beslut om avskrivning, tredskodom, beslut om extraordinära rättsmedel och beslut om stadfäst förlikning.
Handlingarna lämnas ut med följande förbehåll:
– att handlingarna, oavsett i vilken form, inte får tillhandahållas allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer, och
– inte heller på annat sätt får erbjuda allmänheten eller betalande kunder sökmöjligheter i handlingarna på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.
Överträdelse av förbehåll är straffbelagt enligt 20 kap. 3 § BrB.
Qura AB överklagade och yrkade att HD skulle ändra hovrättens beslut om att lämna ut de begärda handlingarna med förbehåll, på så vis att endast handlingar som avsåg brottmål eller därmed sammanhängande säkerhetsåtgärder skulle lämnas ut med förbehåll.
Målet avgjordes efter föredragning.
Föredraganden, justitiesekreteraren Mikael Wibeck, föreslog i betänkande att HD skulle meddela följande beslut.
Skäl
Bakgrund
Punkterna 1–3 motsvarar i huvudsak punkterna 1–3 i HD:s skäl.
Frågan i HD
4. Frågan i HD är vilken prövning som ska göras inför beslut om förbehåll vid ett s.k. massuttag av personuppgifter samt hur ett sådant förbehåll ska utformas och vad det ska omfatta.
Sekretess enligt offentlighets- och sekretesslagen
5. Enligt offentlighets- och sekretesslagen gäller sekretess för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen (se 21 kap. 7 § offentlighets- och sekretesslagen).
6. Någon fullständig bedömning av vilken behandling som kommer ske behöver inte göras, men det krävs att någon konkret omständighet föranleder bedömningen. En sådan kan vara en begäran om ett stort antal domar, så kallat massuttag, eller en begäran som är avgränsad på ett specifikt sätt, så kallat selekterat utdrag (se prop. 2017/18:105 s. 135).
7. Om en myndighet finner att det finns en sådan risk för skada som aktualiserar en sekretessbestämmelse, men att denna risk kan undanröjas genom att ett utlämnande kombineras med ett förbehåll som inskränker rätten att använda uppgiften så ska uppgiften lämnas ut med ett sådant förbehåll (se 10 kap. 14 § offentlighets- och sekretesslagen).
8. Vid uppställande av förbehåll vid utlämnande krävs att det sker en individuell prövning av uppgifterna i de aktuella handlingarna med hänsyn till tillämpliga sekretessbestämmelser (jfr RÅ 2007 not. 45).
9. Förbehållet får inte heller innehålla några andra villkor än de som krävs för att undanröja skaderisken. Innehållet i ett förbehåll ska vara preciserat och uppställt mot en enskild mottagare. Förbehåll kan inte heller meddelas i förväg för en viss typ av information utan ska föregås av en prövning i varje särskilt fall. (Se bland annat ”GDPR och brottmålsdomarna I och II” NJA 2025 s. 123 I och II, p. 34.)
Bedömningen i detta fall
10. Hovrätten har lämnat ut ett relativt stort antal handlingar till A.W. för Qura AB:s räkning. Hovrätten fann att handlingarna omfattades av sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen men att de kunde lämnas ut om utlämnandet kombinerades med ett förbehåll enligt 10 kap. 14 § offentlighets- och sekretesslagen. I fråga om vilka personuppgifter det var som berördes har hovrätten angett att det var uppgifter om lagöverträdelser och andra personuppgifter av känslig natur. Hovrätten angav även att bolagets behandling av personuppgifterna skulle strida mot dataskyddsförordningen, ”däribland artikel 6, 9 och 10”. I beslutet är det emellertid varken närmare preciserat vilken typ av känsliga personuppgifter det är som omfattas av sekretess eller i vilken typ av mål eller ärenden uppgifterna finns.
11. Det framgår inte att hovrätten vid beslutet om förbehållet gjort en sådan individuell prövning av uppgifterna i de aktuella handlingarna med hänsyn till tillämpliga sekretessbestämmelser som krävs. Förbehållet är inte heller tillräckligt preciserat i förhållande till vilka uppgifter det avser och i vilken typ av mål och ärenden de förekommer.
12. Med hänsyn till dessa brister och med beaktande av instansordningens princip bör HD inte som första instans pröva dessa frågor (jfr RÅ 2007 not. 45 och HFD 2023 not. 40). HD finner därför att hovrättens beslut i den del det avser det uppställda förbehållet bör undanröjas och målet återförvisas till hovrätten för fortsatt handläggning.
HD:s avgörande
HD undanröjer hovrättens beslut i den del det avser det uppställda förbehållet och återförvisar målet till hovrätten för fortsatt behandling. Vad hovrätten beslutat i denna del ska dock gälla till dess domstolen bestämmer annat.
HD (justitieråden Anders Eka, Petter Asp, referent, Malin Bonthron, Mathias Säfsten och Erik Lindberg) meddelade den 12 juni 2026 följande beslut.
1. Qura AB är ett bolag som med utgivningsbevis bedriver en rättsdatabastjänst. Bolaget begärde hos Göta hovrätt att få del av samtliga domar och, med vissa undantag, särskilt uppsatta slutliga beslut som hovrätten meddelat under perioden den 1 oktober 2023 till den 1 september 2025. Qura uppgav att ett förbehåll kunde uppställas i förhållande till bolagets verkställande direktör.
2. Hovrätten har konstaterat att Qura begärt att få del av ett större antal allmänna handlingar som innehåller personuppgifter om lagöverträdelser och andra personuppgifter av känslig natur. Mot den bakgrunden, och med beaktande av den omfattande behandling av personuppgifter som sker hos Qura, har hovrätten ansett att det kan antas att de personuppgifter som finns i de begärda handlingarna kommer att behandlas på ett sätt som är oförenligt med dataskyddsförordningen[2], däribland artiklarna 6, 9 och 10. Personuppgifter i handlingarna har därför av hovrätten bedömts vara föremål för sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). Sekretessen har ansetts omfatta även andra mål än brottmål.
3. Hovrätten har emellertid – med hänsyn till att Qura bedriver verksamhet som delvis kan antas ske för journalistiska ändamål – beslutat att lämna ut de begärda handlingarna med följande förbehåll.
– att handlingarna, oavsett i vilken form, inte får tillhandahållas allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer, och
– inte heller på annat sätt får erbjuda allmänheten eller betalande kunder sökmöjligheter i handlingarna på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.
4. Frågorna i HD rör sekretessprövning och förbehåll i en situation där någon begär ut en stor mängd domar och andra handlingar och där det inte enbart är fråga om domar och handlingar i brottmål.
5. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med bland annat dataskyddsförordningen.
6. En bedömning enligt bestämmelsen behöver göras endast om det finns konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen, t.ex. att det är fråga om ett massuttag. Någon fullständig bedömning av om behandlingen kommer att strida mot dataskyddsförordningen behöver inte göras. (Jfr prop. 2017/18:105 s. 135 f.)
7. Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten enligt 10 kap. 14 § första stycket offentlighets- och sekretesslagen göra ett sådant förbehåll när uppgiften lämnas till den enskilde.
8. Av 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) följer att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen och att stora delar av dataskyddsförordningen inte heller ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.
9. HD kom i rättsfallet ”GDPR och brottmålsdomarna” NJA 2025 s. 123 (I och II) till slutsatsen att 1 kap. 7 § dataskyddslagen ska tillämpas på ett sätt som låter sig förenas med dataskyddsförordningen. Detta innebär enligt rättsfallet att paragrafen ska tillämpas så att den inte hindrar att dataskyddsförordningen kan beaktas som en fristående måttstock vid en sekretessprövning enligt 21 kap. 7 § offentlighets- och sekretesslagen. Och det gäller oberoende av huruvida förordningen är tillämplig i den verksamhet i relation till vilken prövningen sker.
10. Av ”GDPR och brottmålsdomarna” följer att förbehåll enligt 10 kap. 14 § offentlighets- och sekretesslagen kan uppställas också i fall där sekretess råder enligt 21 kap. 7 § och att detta kan vara ett sätt att i viss mån åstadkomma en sådan avvägning som dataskyddsförordningen kräver.
11. När det gäller de uppgifter som lämnats ut till Qura och som avser lagöverträdelser kan det, med beaktande av den omfattande behandling av personuppgifterna som sker hos Qura, antas att personuppgifterna kommer att behandlas på ett sätt som är oförenligt med artikel 10 i dataskyddsförordningen. Sekretess gäller följaktligen för uppgifterna vid ett utlämnande till bolaget.
12. Eftersom den verksamhet som Qura bedriver i viss utsträckning kan antas ske för journalistiska ändamål bör handlingarna, i den del de omfattas av sekretess, lämnas ut med ett förbehåll som gör att intresset av att kunna bedriva den verksamheten balanseras mot integritetsintresset.
13. En rimlig balans mellan dessa intressen kan uppnås om förbehållet utformas så att det tar sikte på att förhindra dels att handlingar i brottmål och andra handlingar som innehåller uppgifter om lagöverträdelser som kan knytas till en viss person tillhandahålls av Qura eller annars görs sökbara för andra, dels att personuppgifterna görs sökbara för andra, men samtidigt inte förhindrar att uppgifterna används i t.ex. nyhetstexter eller nyhetsunderlag som Qura producerar.
14. Förbehåll ska därför uppställas på det sätt som framgår av detta beslut.
15. När det gäller andra känsliga uppgifter än sådana som avser lagöverträdelser innebär 1 kap. 20 § YGL att den grundlagens bestämmelser inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av bland annat personuppgifter som avslöjar etniskt ursprung, hudfärg, politiska åsikter eller om hälsa, sexualliv eller sexuell läggning. Uppräkningen av olika typer av personuppgifter motsvarar den som finns i artikel 9 i dataskyddsförordningen. Undantaget från grundlagsskyddet gäller bara om personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa, och det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga integritet.
16. Bestämmelsen i 1 kap. 20 § YGL medför – eftersom dataskyddsförordningen är en sådan lag som avses i paragrafen (se HFD 2024 ref. 43) – att dataskyddsförordningen i viss utsträckning gäller också i verksamhet som omfattas av YGL. Det följer då redan av 1 kap. 20 § att dataskyddsförordningen – i de delar det gäller offentliggörande av sådana personuppgifter som omfattas av bestämmelsen – kan beaktas vid en prövning enligt 21 kap. 7 § offentlighets- och sekretesslagen. I dessa delar kan alltså en prövning enligt 21 kap. 7 § i relation till dataskyddsförordningen göras direkt med stöd av grundlagen, dvs. utan stöd av den tolkning av 1 kap. 7 § dataskyddslagen som HD gjorde i rättsfallet ”GDPR och brottmålsdomarna”.
17. Det förhållandet att dataskyddsförordningen i viss utsträckning gäller i en grundlagsskyddad verksamhet enligt 1 kap. 20 § YGL innebär att den som begärt uppgifterna är skyldig att, inom de ramar som sätts av paragrafen, behandla dem på ett sätt som är förenligt med dataskyddsförordningen. Det innebär också att verksamheten i den delen kan bli föremål för bland annat tillsyn och sanktioner.
18. Det nu sagda påverkar också den bedömning som ska göras enligt 21 kap. 7 § offentlighets- och sekretesslagen. Eftersom dataskyddsförordningen inom de ramar som sätts av 1 kap. 20 § YGL gäller för offentliggöranden av uppgifter måste en utgångspunkt för sekretessbedömningen vara att förordningens regler i dessa delar kommer att följas i den behandling som sker efter att uppgifterna lämnats ut. Och i den mån så inte sker kan verksamheten alltså bli föremål för tillsyn och sanktioner. Utgångspunkten bör därför vara att sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen inte gäller i de delar som omfattas av bestämmelsen i 1 kap. 20 § YGL, såvida det inte av någon särskild anledning finns skäl att anta att dataskyddsförordningen inte kommer att följas.
19. Det saknas särskild anledning att anta att Qura inte kommer att respektera sina skyldigheter enligt dataskyddsförordningen. Det finns därför inte skäl att anta att Qura kommer att behandla personuppgifterna i strid med förordningen. Någon grund för sekretess avseende uppgifter som motsvarar sådana som omfattas av artikel 9 i dataskyddsförordningen finns därmed inte i detta fall.
Det finns inte heller grund för sekretess såvitt gäller personuppgifter i övrigt i de begärda handlingarna (jfr hovrättens hänvisning till artikel 6 i dataskyddsförordningen).
Det av hovrätten beslutade förbehållet ska ändras på så sätt att det innebär:
– att handlingar i brottmål, oavsett i vilken form, inte får tillhandahållas allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer, och
– att allmänheten eller betalande kunder inte heller på annat sätt får erbjudas sökmöjligheter i dessa handlingar på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.
Detsamma gäller i fråga om handlingar i andra mål i den utsträckning handlingen innehåller uppgifter om lagöverträdelser som kan knytas till en viss person.
HD erinrar om att EU:s dataskyddsförordning gäller i den utsträckning den innebär förbud mot att offentliggöra uppgifter av det slag som omfattas av 1 kap. 20 § YGL.
[1] Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
[2] Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
","lagrumLista":[{"referens":"1 kap. 20 § yttrandefrihetsgrundlagen","sfsNummer":"1991:1469"},{"referens":"10 kap. 14 § offentlighets och sekretesslagen","sfsNummer":"2009:400"},{"referens":"21 kap. 7 § offentlighets och sekretesslagen","sfsNummer":"2009:400"},{"referens":"1 kap. 7 § lagen med kompletterande bestämmelser till EU:s dataskyddsförordning","sfsNummer":"2018:218"},{"referens":"Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)"}],"litteraturLista":[],"malNummerLista":["Ä 9385-25"],"nyckelordLista":["Dataskyddsförordningen","Förbehåll","Känsliga personuppgifter","Personuppgifter","Sekretess"],"publiceringsform":"REFERAT","publiceringstid":"2026-10-02T12:33:00","rattsomradeLista":[],"referatNummerLista":["NJA 2026:31","NJA 2026 s. 364"],"sammanfattning":"Frågor om sekretess och förbehåll enligt offentlighets- och sekretesslagen i en situation där ett företag begärt ut ett större antal domar och andra handlingar och begäran avsett handlingar i såväl brottmål som andra typer av mål. ","typ":"PREJUDIKAT"}