Behandling i strid med personuppgiftslagen

Det är alltså inte fråga om en bedömning av om de enskilda uppgifterna i sig skulle omfattas av sekretess (vilket de kan göra enligt andra paragrafer i OSL). Den bedömning den utlämnande myndigheten ska göra med stöd av denna paragraf är istället om det kan antas att uppgifterna efter utlämnandet kommer att behandlas i strid med personuppgiftslagen. Vad kommer att hända med personuppgifterna efter det att de har lämnats ut och vad ska de användas till? Bestämmelsen blir i praktiken oftast tillämplig vid massuttag. Den första fråga man bör ställa sig är om personuppgiftslagen är tillämplig på den behandling som mottagaren ska utföra. Det är normalt fråga om en insamling och en helt eller delvis automatiserad behandling av uppgifterna, vilket innebär att PUL oftast blir tillämplig. Därefter bör man göra en bedömning av om mottagarens behandling verkar överensstämma med de grundläggande krav som finns i PUL (9 §) samt att denna behandling är tillåten, dvs. nödvändig för att tillgodose vissa intressen hos mottagaren (10 §).

Det är inte ovanligt att enskilda vänder sig till myndigheter för att få namn- och adresslistor (vilka i sig innehåller helt offentliga uppgifter) i marknadsföringssyfte, dvs. för att kunna marknadsföra sig eller erbjuda olika produkter. En intresseavvägning ska i dessa fall göras mellan företagets kommersiella intresse och den enskildes integritetsintresse. I ett rättsfall (RÅ 2002 ref. 54) begärde ett bolag hos CSN att få ut ett register över studiestödsmottagare på universitets- och högskolenivå i form av listor med namn, adress och postadress. Syftet var att distribuera ett rabattkort till studenterna. Regeringsrätten uttalade med avseende på privatpersoners intresse av skydd för den personliga integriteten att det krävs att avvägningen mellan bolagets kommersiella intresse och den enskildes integritetsintresse som på ett entydigt sätt måste utfalla till den enskildes förmån för att ett utlämnande av uppgifter ska kunna ske.  Regeringsrätten konstaterade att det inte var fråga om några känsliga personuppgifter samt att det var fråga om en begränsad marknadsföringsåtgärd eftersom det rörde sig om ett utskick per termin. Efter en helhetsbedömning kom Regeringsrätten fram till att uppgifterna kunde lämnas ut.