Förvaltningsrätten delar inte Datainspektionens bedömning att den aktuella personuppgiftsbehandlingen i sin helhet var olaglig före den 1 mars 2012. Polismyndigheten kunde i och för sig inte behandla personuppgifterna inom ramen för särskilda undersökningar i kriminalunderrättelseverksamhet. Eftersom det varit fråga om personuppgiftsbehandling som varit nödvändig i polisens brottsbekämpande verksamhet har Polismyndigheten dock kunnat behandla personuppgifterna med stöd av personuppgiftslagen.

Att det funnits generellt lagstöd för personuppgiftsbehandlingen innebär dock inte att den i alla delar uppfyllt de krav som lagen ställer. Förvaltningsrätten instämmer i Datainspektionens bedömning att det granskade materialet innehåller känsliga personuppgifter som behandlats på ett otillåtet sätt och att uppgifter behandlats i strid med god sed och utan att vara relevanta i förhållande till ändamålen med behandlingen. Uppgifterna har heller inte gallrats i tid eller varit skyddade på ett lämpligt sätt eftersom tillgången till uppgifterna inte har loggats.

För tiden från och med den 1 mars 2012 medförde en lagändring därutöver att det helt saknades stöd i lag för att behandla personuppgifterna efter denna tidpunkt. Personuppgifterna har under denna period gjorts gemensamt tillgängliga trots att detta inte varit tillåtet.

Förvaltningsrätten delar Datainspektionens bedömning att detta innebär att Polismyndigheten behandlat personuppgifter på ett olagligt sätt i flera avseenden. Datainspektionens beslut att förelägga Polismyndigheten att upphöra med personuppgiftsbehandlingen var därför korrekt. Denna bedömning leder till att förvaltingsrätten avslår Polismyndighetens överklagande.