1(28)
Verifiera AB
Banérgatan 3
114 56
Stockholm
Diarienummer:
IMY-2022-1621
Datum:
2022-09-13
Beslut efter tillsyn enligt
dataskyddsförordningen – Verifiera
AB
Innehåll
Integritetsskyddsmyndighetens beslut ............................................................................3
Redogörelse för tillsynsärendet ......................................................................................3
Information om Tjänsterna på Webbplatsen ........................................................4
Vad Verifiera AB har uppgett ...............................................................................6
Yttrande den 27 maj 2022 .........................................................................6
Yttrande den 13 juni 2022 .........................................................................7
Begränsning av prövningsramen i granskningen ..........................................................10
Motivering av beslutet ...................................................................................................11
Rättslig bakgrund ...............................................................................................11
EU-rättens reglering av förhållandet mellan rätten till skydd för
personuppgifter och rätten till yttrande- och informationsfrihet ...............11
Den svenska dataskyddslagens undantag för yttrande- och
informationsfriheten .................................................................................12
Grundlagsregleringen om frivilliga utgivningsbevis .................................13
Tolkningen av 1 kap. 20 § YGL och IMY:s behörighet.......................................15
Undantaget i 1 kap. 20 § YGL är tillämpligt .......................................................16
Personuppgifter om hälsa offentliggörs ...................................................16
Uppgiftssamlingen har ordnats så att det är möjligt att söka efter eller
sammanställa känsliga personuppgifter ..................................................17
Postadress:
Box 8114 Det finns särskilda risker för otillbörliga intrång i den personliga
104 20 Stockholm integriteten ..............................................................................................18
Webbplats:
Sammanfattande bedömning ..................................................................21
www.imy.se
E-post: Behandlingen sker inte för journalistiska ändamål.............................................21
[email protected]
Tillämpliga bestämmelser m.m. ..............................................................21
Telefon:
08-657 61 00 Integritetsskyddsmyndighetens bedömning ............................................22
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 2(28)
Datum: 2022-09-13
Verifiera är personuppgiftsansvarig för behandlingen .......................................23
Behandlingen strider mot artikel 9 i dataskyddsförordningen ............................24
Tillämpliga bestämmelser .......................................................................24
Samtycke ................................................................................................24
Artikel 9.2 g och yttrande- och informationsfriheten ................................24
Artikel 9.2 g och offentlighetsprincipen ...................................................25
Slutsatser ................................................................................................26
Val av ingripande ...............................................................................................26
Hur man överklagar ......................................................................................................28
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 3(28)
Datum: 2022-09-13
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Verifiera AB, under perioden den 6 april
2022 – 28 juni 2022, har behandlat känsliga personuppgifter (uppgifter om hälsa) i
strid med artikel 9 i dataskyddsförordningen1 i sina tjänster på www.verifiera.se.
Integritetsskyddsmyndigheten ger Verifiera AB en reprimand enligt artikel 58.2 b i
dataskyddsförordningen för den konstaterade överträdelsen.
Integritetsskyddsmyndigheten förelägger Verifiera AB enligt artikel 58.2 d i
dataskyddsförordningen att vidta åtgärder så att det i de tjänster som Verifiera erbjuder
på www.verifiera.se inte längre är möjligt för användare av tjänsterna att vid sökning
på personer med någon av sökparametrarna personnamn, personnummer eller adress
ta del av avgöranden i mål enligt lagen (1991:1128) om psykiatrisk tvångsvård eller
lagen (1988:870) om vård av missbrukare i vissa fall som gäller den eftersökta
personen. Åtgärderna ska ha vidtagits senast åtta veckor efter att detta beslut vunnit
laga kraft.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har tagit emot klagomål beträffande Verifiera AB:s
(Verifiera eller bolaget) tjänster. IMY har därefter på eget initiativ inlett tillsyn mot
Verifiera mot bakgrund av den beskrivning av sina tjänster (nedan ”Tjänsterna”) som
bolaget har lämnat på sin webbplats www.verifiera.se (nedan ”Webbplatsen”).2
Syftet med tillsynen var att utreda om Verifiera genom tillhandahållandet av
Tjänsterna:
• offentliggör känsliga personuppgifter på ett sådant sätt som avses i 1 kap. 20
§ YGL,
• behandlar personuppgifter på ett sätt som är förenligt med principerna om
laglighet, korrekthet, öppenhet, ändamålsbegränsning och uppgiftsminimering
(artikel 5 i dataskyddsförordningen),
• har stöd i någon rättslig grund för personuppgiftsbehandlingen (artikel 6 i
dataskyddsförordningen), och
• behandlar uppgifter om hälsa, dvs. känsliga personuppgifter i den mening
som avses i artikel 9.1 i dataskyddsförordningen, och i så fall om något av
undantagen i artikel 9.2 i dataskyddsförordningen från förbudet mot
behandling av sådana uppgifter är tillämpligt.
Tillsynen har skett genom granskning av den information som Verifiera angett om
tjänsterna på Webbplatsen och skriftväxling.
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
direktiv 95/46/EG (allmän dataskyddsförordning).
2 För en beskrivning av tjänsterna, se nedan under rubrikerna ”Information om Tjänsterna på Webbplatsen” och ”Vad
Verifiera AB har uppgett”.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 4(28)
Datum: 2022-09-13
Information om Tjänsterna på Webbplatsen
IMY har den 6 april 2022 granskat och dokumenterat den information som Verifiera
lämnat om Tjänsterna på Webbplatsen.3 Dokumentationen har kommunicerats med
Verifiera och dess riktighet har inte ifrågasatts av bolaget. Av den framgår följande.
På startsidan visas exempelbilder på hur en sökning i rättsdatabasen kan se ut. Vid
personsökning finns särskilda sökfält för ”Namn”, ”Personnummer”, ”Ort/Adress” och
”Fritext sök”.
På ”www.verifiera.se/tjanster” framgår följande:
”Hur tar Verifieras tjänst hänsyn till GDPR? Verifiera och våra tjänster följer
givetvis de lagar, regler och förordningar som gäller. Verifiera har utgivningsbevis
och är därigenom enligt yttrandefrihetsgrundlagen (YGL) grundlagsskyddad, vilket
innebär att GDPR (dataskyddsförordningen) inte är applicerbar på Verifiera eller
Verifieras tjänster. Att Verifiera har utgivningsbevis och är grundlagsskyddad
innebär vidare att det inte är Integritetsskyddsmyndigheten (IMY) som är
tillsynsmyndighet avseende Verifieras utgivningsbevis, utan detta tillfaller
Myndigheten för press, radio och tv. Så länge våra kunder befinner sig i Verifieras
webgränssnitt omfattas våra kunders nyttjande av våra tjänster av samma
grundlagsskydd. Som användare måste ni dock förhålla er till GDRP för det fall ni
väljer att ladda ned och behandla personuppgifter i GDPR:s mening. För mer
specifika frågor, tveka inte att höra av dig till vår Kundtjänst.”
”Hur vet jag att informationen stämmer? Verifiera inhämtar alla handlingar direkt
från svenska domstolar och myndigheter. Såtillvida är den information som du kan
finna i Verifieras rättsdatabas ytterst tillförlitlig. Att Verifieras rättsdatabas
uppdateras i realtid säkerställer att du alltid får den senaste, uppdaterade
informationen. Några förändringar av de uppgifter som förekommer i de offentliga
handlingarna sker inte.”
”Hur omfattande är bakgrundsinformationen? En bakgrundskontrollrapport kan
på kundens begäran omfatta antingen enbart juridisk information alternativt såväl
juridisk som ekonomisk information. Den juridiska informationen sträcker sig bakåt i
tiden till år 2008 och omfattar alla rättsliga offentliga handlingar för en viss juridisk
eller fysisk person. Den ekonomiska informationen innefattar historiska skuldsaldon
såsom dessa är registrerade hos Kronofogden, de senaste taxeringsåren från
Skatteverket samt eventuella betalningsförelägganden.
Vidare omfattar bakgrundskontroller personalia såsom civilstånd, ledande
befattningsställning samt om önskvärt, körkortstillstånd.”
På ”www.verifiera.se/bakgrundskontroll” framgår följande:
”Om du gör en bakgrundskontroll avseende en privatperson som innehåller
ekonomisk information måste personen lämna sitt samtycke för att en
bakgrundskontroll skall kunna göras. Upplysningskopia skickas till den efterfrågade
i enlighet med Kreditupplysningslagen.”
3 Dessa beskrivningar finns dokumenterade i tjänsteanteckningar (aktbilaga 2 och 2.1-2.7 i ärendet).
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 5(28)
Datum: 2022-09-13
”När en användare önskar göra en bakgrundskontroll på en individ får användaren
möjlighet att anpassa hur omfattande den ska vara. Användaren kan exkludera
ekonomisk information i de fall den inte skulle vara av intresse.”
”Beroende på vilket behov du har av att göra bakgrundskontroller kan du välja
mellan att köpa bakgrundskontrollrapporter styckvis alternativt en större mängd
rapporter inom ramen för ett abonnemang på Verifieras rättsdatabas.”
”BAKGRUNDSKONTROLL – STYCKVIS. Om man bara har behov av en
bakgrundskontroll någon enstaka gång kan man beställa bakgrundskontroll
styckvis. De kostar 1295:-/st exkl moms.”
”Görs allt online? Ja, Verifieras rättsdatabas utgör en digitalisering av svenska
domstolars och myndigheters offentliga handlingar. Våra kunders sökningar och
filtreringar görs i Verifieras gränssnitt och resultatet genereras online i realtid.”
”Är det krångligt att göra en bakgrundskontroll? Nej, du behöver veta
personnummer, organisationsnummer alternativt person- eller företagsnamn för att
göra en bakgrundskontroll. Sökningar baserat på person- respektive
organisationsnummer ger snabbast och säkrast resultat.”
På ”www.verifiera.se/abonnemang” framgår följande:
”Vad innebär Verifieras abonnemang. Abonnemanget innebär att ni får tillgång till
vårt lättarbetade online-verktyg, där du får tillgång till hela vår rättsdatabas och
snabbt kan hitta och ta del av den information du söker.
Verifieras företagstjänst vänder sig till företag, myndigheter och övriga
organisationer med behov av att göra bakgrundskontroll avseende privatpersoner
och företag. Tjänsten innefattar ett lättarbetat webbgränssnitt där du snabbt kan
hitta och ta del av av den information du söker. Samtliga domar, beslut, och
dagboksblad är sökbara i fulltext och går att läsa i orginalutseende som PDF. Vi
tillhandahåller även API-lösningar för de som så önskar.”
”Som inloggad i rättsdatabasen kan användaren söka med en rad olika parametrar
såsom; personnummer, organisationsnummer, namn, adress, juridisk instans och
fritext mm.”
På ”www.verifiera.se/vart-verktyg” framgår följande:
”Verifieras rättsdatabas samlar på regelbunden basis in offentliga handlingar från
Sveriges domstolar och myndigheter. Rättsdatabasen sträcker sig bakåt i tiden till
2008. Utöver domar inhämtas även rättsliga dokument såsom väckta åtal,
utfärdade stämningar, dagboksblad, åtalsunderlåtelser och strafförelägganden
vilket gör att våra kunder lätt kan följa ett rättsligt ärendes gång i den juridiska
processen. Till skillnad från polisens belastningsregister gallras inte Verifieras
rättsdatabas, vilket säkerställer att du har möjlighet att själv avgöra huruvida en
rättshandling är relevant för ditt affärsbeslut eller ej.”
På samtliga sidor hänvisas till möjligheten att prova Verifiera kostnadsfritt i 14 dagar,
både genom direktlänk till formuläret för att prova Verifiera i sidhuvudet och med andra
länkar på sidorna om att starta 14-dagars provperiod.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 6(28)
Datum: 2022-09-13
Vid tidigare kontroll av Webbplatsen har IMY observerat en webbsida där det beskrivs
vilka dokument som rättsdatabasen innehåller. Motsvarande sida tycks inte längre nås
från Verifieras startsida men den länkande webbadressen är fortfarande i funktion per
den 6 april 2022. Vid uppräkningen av måltyper på från förvaltningsrätterna anges
bland annat följande:
• Socialförsäkringsmål, d.v.s. mål avseende tvister med Försäkringskassan i
ärenden som rör t.ex. arbetsskadeersättning, föräldrapenning eller olika stöd
till handikappade.
• LVU-mål (mål enligt lagen med särskilda bestämmelser om vård av unga),
d.v.s. mål som t.ex. handlar om huruvida minderåriga med tvång skall vårdas
utanför sitt eget hem.
• LVM-mål (mål enligt lagen om vård av missbrukare i vissa fall), d.v.s. mål som
handlar om tvångsvård för missbrukare.
• Psykiatrimål, d.v.s. mål som handlar om frågor som rör psykiatrisk tvångsvård
och rättspsykiatrisk vård.
Vad Verifiera AB har uppgett
Yttrande den 27 maj 2022
Verifiera AB har i yttrande den 27 maj 2022 i huvudsak uppgett följande.
Verifiera är ett svenskt aktiebolag med utgivningsbevis för sin verksamhet.
Myndigheten för radio och TV utfärdade den 2 november 2016 utgivningsbevis för
Verifiera.se. Verksamheten är därför grundlagsskyddad enligt yttrandefrihets-
grundlagen. Något som också vitsordas av IMY på myndighetens hemsida:
”Dataskyddsförordningen (GDPR) påverkar inte verksamheter med utgivningsbevis.”
Av grundlagen följer att GDPR inte ska tillämpas på verksamheter som omfattas av
yttrandefrihetsgrundlagen. Även utanför yttrandefrihetsgrundlagens område undantas
GDPR genom de allmänna undantagen för journalistiska ändamål samt
motivuttalanden om vikten av rätten till yttrandefrihet i ett demokratiskt samhälle.
IMY:s tillsyn innebär en överträdelse av myndighetens befogenhet och behörighet. Att
IMY saknar behörighet och befogenhet framgår även av svar på myndighetens
hemsida på frågan huruvida man ska lämna in klagomål till IMY på sajter som har
utgivningsbevis: ”Nej. Tyvärr har vi inga möjligheter att få den typen av sajter att ta bort
information om du skickar ett klagomål till oss. För att lämna synpunkter angående
lagstiftningen kring utgivningsbevis rekommenderar vi att du vänder dig till lagstiftaren,
i det här fallet Konstitutionsutskottet. De ansvarar för att bereda frågor av
konstitutionell och förvaltningsrättslig betydelse.”
På Webbplatsen tillhandahåller Verifiera, inom ramen för sitt utgivningsbevis, bland
annat inskannade domar som inhämtats från Sveriges Domstolar. Handlingarna är
offentliga och tillgängliga för gemene man, kreditföretag och andra motsvarande
tjänster, vilket följer av den svenska offentlighetsprincipen.
Verifiera är en nyhetsbyrå avseende bland annat research och bakgrundskontroll.
Verifiera använder sig av en abonnemangsform som innebär att huvudsakligen olika
typer av organisationer och professionella aktörer med behov av informationen på
Webbplatsen i sin yrkesutövning, exempelvis företag och myndigheter, använder sig
av Webbplatsen. Endast betalande användare kan få del av materialet på
Webbplatsen, varefter användarna genom aktiva åtgärder i realtid kan få del av domar
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 7(28)
Datum: 2022-09-13
och beslut som är inskannade och tillgängliga på Webbplatsen. Innan en kund tecknar
ett avtal med Verifiera kan kunden prova tjänsten under fjorton dagar under
förutsättning att kunden genomgår en demonstration av tjänsten. Under provperioden
erbjuds tillgång till ett standardabonnemang.
Verifiera bidrar genom sin verksamhet till en fri och allsidig upplysning på ett tillbörligt
sätt. Verifieras verksamhet är därtill inte unik. Tvärtom tillhandahålls motsvarande
tjänst eller mer omfattande tjänster sedan länge av väletablerade tjänster (exempelvis
www.infotorg.se och www.juno.se, tidigare Karnov). Likt dessa tjänster går det att på
Webbplatsen hitta domar och beslut, inklusive förvaltningsrättsdomar genom
fritextsökning eller genom mer specifika sökfält (benämnt filter i vissa databaser).
Eftersom handlingarna på Webbplatsen utgörs av allmänna handlingar som är
tillgängliga för envar att ta del av på många andra ställen än Webbplatsen, inte minst
genom andra tjänster såsom eller domstolarna eller myndigheterna själva, därmed
finns ingen särskild risk med publiceringen som sker på Webbplatsen.
Bakgrundstilläggstjänsten möjliggör för kunder, att genom en samtyckesförfrågan från
personen som bakgrundskontrollen avser, erhålla en bakgrundskontrollrapport
avseende eventuella pågående eller tidigare rättsliga tvister. Rättsdatan hämtas från
domstolar och myndigheter och utgörs av offentliga handlingar. En förutsättning för en
sådan bakgrundsrapport är att personen ifråga samtycker till detta, verifiering sker
bland annat med bank-id. Tjänsten saknar koppling till dataskyddsförordningen.
Vad gäller Verifieras data- och IT-säkerhet är den mycket hög. Bolaget har egna
servrar som står i datahallar inom EU. Verifiera använder mjukvara som inte är
åtkomliga via internet vilket innebär att alla tjänster är isolerade från varandra samt
internet. Endast Verifieras CTO och nätverksadministratör har tillgång till mjukvaran.
För det fall en IP-adress finns tillgänglig från internet så skyddas den med en
brandvägg bunden till specifika IP-adresser. Alla Verifieras system är byggda med
skydd mot olika typer av IT-attacker.
Vad gäller beslut om hälso- och sjukvård för uppgift om enskildas hälsotillstånd gäller
stark sekretess, vilket innebär att sådana uppgifter får röjas endast om det står klart att
den enskilde eller någon närstående till denne inte lider men. Detsamma gäller i annan
medicinsk verksamhet, exempelvis rättsmedicinsk och rättspsykiatrisk undersökning.
För domar och beslut som rör sådana förhållanden gäller sekretess och domstolarna
lämnar således inte ut uppgifter om hälsa eller dylikt. Då de domar som återfinns på
Webbplatsen motsvarar dem som finns hos domstolen gäller detsamma för
handlingarna som finns på Webbplatsen.
Yttrande den 13 juni 2022
Verifiera AB har i yttrande den 13 juni 2022 i huvudsak uppgett följande.
Inledning och allmänt
Verifiera vidhåller de ståndpunkter som framförts i yttrande av den 27 maj 2022.
Det är Verifieras uppfattning att IMY saknar all rätt att inleda förevarande granskning
samt att utöva tillsyn över Verifiera. Förhållandet att Verifiera på ett mer detaljerat sätt
besvarar frågor som gäller efterlevnaden av dataskyddsförordningen innebär inte att
Verifiera vidgår att dataskyddsförordningen är tillämplig eller att IMY överhuvudtaget
har rätt att bedriva den granskning som görs. Begrepp såsom "personuppgifts-
behandling" med mera används även om Verifieras uppfattning är att bolagets
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 8(28)
Datum: 2022-09-13
hantering av allmänna handlingar inte utgör en behandling av "personuppgifter" som
omfattas av dataskyddsförordningen.
Ändamålen med personuppgiftsbehandlingen som utförs i tjänsterna
Verifiera tillhandahåller allmänna handlingar till användarna av Tjänsterna i syfte att
bedriva sin grundlagsskyddade verksamhet och i en vidare bemärkelse främja en
allsidig upplysning och en fri åsiktsbildning.
Vem som beslutar om ändamålen och medlen för behandlingen i respektive tjänst
Verifiera beslutar om ändamålen och medlen för "personuppgiftsbehandlingen" av
Tjänsterna. Verifiera vill dock poängtera att i publicistiskt hänseende är det
användaren som beslutar om ändamålen, på samma sätt som en tidningsläsare själv
bestämmer ändamålet när denna tar del av en publicerad tidskrift, och inte
nyhetsredaktionen som publicerat tidningen.
Om samtycke samlas in från berörda personer innan behandling i någon av tjänsterna
Samtycke i den mening som avses i artikel 6.1 a i dataskyddsförordningen, och
uttryckligt samtycke i den mening som avses 9.2 a, samlas in i samband med
bakgrundskontroller i Bakgrundstilläggstjänsten från den person som kontrollen gäller.
Tjänsten möjliggör för kunder, att genom en samtyckesförfrågan från personen som
bakgrundskontrollen avser, erhålla en bakgrundskontrollrapport avseende eventuella
pågående eller tidigare rättsliga tvister. Rättsdatan hämtas från domstolar och
myndigheter och utgörs av offentliga handlingar. En förutsättning för en sådan
bakgrundsrapport är att personen ifråga samtycker till detta och verifiering sker bland
annat med bank-id. I övrigt samlas inte samtycke in.
Rättslig grund för behandlingen och omständigheter som visar att den är giltig
Behandlingen i Tjänsterna är nödvändig för att skydda intressen som är av
grundläggande betydelse för den registrerade eller för en annan fysisk person, dvs.
allmänhetens rätt till yttrandefrihet och att få del av offentliga handlingar m.m.
Behandlingen i Tjänsterna är nödvändig för ändamål som rör Verifieras berättigade
intresse av att kunna driva sin grundlagsskyddade verksamhet inom ramen för sitt
utgivningsbevis.
Behandlingen i Tjänsterna är nödvändig för ändamål som rör gemene mans
berättigade intresse av att, inom ramen för Verifieras grundlagsskydd, få del av
allmänna handlingar som finns tillgängliga i Tjänsterna.
De "registrerades" intressen väger i förevarande fall inte tyngre än rätten till yttrandefri-
het. Handlingarna som återfinns i Tjänsterna finns tillgängliga genom flertalet andra
källor. Vilken typ av domstolsavgörande som det är fråga om torde vara ointressant då
domstolar har att tillämpa sekretess i den mån uppgifter om hälsa förekommer.
Om uppgifter om hälsa i den mening som avses i artikel 9.1 behandlas
Verifiera har uppfattat det som att IMY:s granskning avser uppgifter i
domstolsavgöranden från de allmänna förvaltningsdomstolarna.
Förvaltningsdomstolar dömer över ett vitt spann av rättsområden, varav flertalet torde
sakna all relevans för IMY såsom mål om skatt, PBL, migration, laglighetsprövning,
körkortsingripanden, olika typer av tillstånd, stiftelser, mark och miljö, djurskydd,
offentlig upphandling mm.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 9(28)
Datum: 2022-09-13
IMY har inte närmare specificerat exakt vilka måltyper de menar kan innehålla
"känsliga personuppgifter", viss exemplifiering har dock gjorts. Vidare har inte IMY
gjort gällande i vilken utsträckning de menar att sådana mål innehåller "känsliga
personuppgifter" utan tycks dra samtliga exemplifierande måltyper över samma kam,
en ordning som Verifiera ifrågasätter.
Det är möjligt att vissa måltyper kan, i okänd utsträckning, innehålla uppgifter
avseende personers hälsa. Domstolarna har dock, såsom ovan anförts, att följa en
sträng sekretess avseende hälsa och dylik information. Är en dom från en
förvaltningsdomstol offentlig (och inte skyddad av sekretess), är även uppgifter, i den
mån sådana framgår, offentliga. Domstolarna är i regel återhållsamma med att ange
uppgifter som på något sätt kan betecknas som "känsliga". Domstolarna begränsar
informationen i avgöranden till den nivå som är nödvändig för att förklara utgången i
målet. I den mån ett domstolsavgörande ändå innehåller en uppgift som kan
betecknas som "känslig" är behandlingen nödvändig bland annat med hänsyn till ett
viktigt allmänt intresse på grundval av svensk rätt. Den behandling som görs av
Verifiera står i proportion till det eftersträvade syftet och är också förenligt med hur
regler om dataskydd ska behandlas inom det grundlagsskyddade området.
Vilken information som lämnas till de berörda personerna
Verifiera lämnar information om innehållet på Verifiera.se till sina användare. En
registrerad har möjlighet att bli användare på Verifiera.se och kan på så sätt ta del av
de allmänna handlingar som finns tillgängliga där.
Om användare av Bakgrundskontrollstjänsten får del av uppgift om att den eftersökta
personen förekommer som klaganden i mål om psykiatrisk tvångsvård
Användare av Tjänsterna får del av de uppgifter som finns på Webbplatsen och det
inbegriper eventuella domslut som måhända berör dem. Information om att domar
tillhandahålls på Webbplatsen framgår tydligt.
Vad gäller funktionen bakgrundskontroller hänvisas till vad som anförts ovan.
Eventuella ändringar som vidtagits av tjänsterna jämfört med den beskrivning som
framgick av webbplatsen den 4 april 2022
Inga ändringar har vidtagits. I den mån det meddelas lag om förbud avseende av
personuppgifter som rör hälsa så kommer Verifiera se över sin verksamhet på
ändamålsenligt sätt.
Tillägg avseende 1 kap. 20 § YGL
Av lydelsen till 1 kap. 20 § YGL framgår att YGL inte hindrar att det i lag meddelas
föreskrifter om förbud mot offentliggörande av personuppgifter. I förarbetena till 1 kap.
20 § YGL anges inte att dataskyddsförordningen skulle vara tillämplig på
bestämmelsen. Så hade varit fallet om det var tänkt att det, i strid mot bestämmelsens
ordalydelse, skulle inrymmas andra lagar om förbud. Av kommentar till YGL på Juno
framgår att delegationsbestämmelsen inte har följts upp av någon lagstiftning.
Att ändamålstolka en grundlag är inte möjligt.
Vilka följder ett eventuellt negativt beslut får går inte att överblicka och rättsläget efter
ett sådant beslut kommer att vara högst oklart. Ett rättssäkert agerande hade varit att
invänta en eventuell lag om förbud innan en granskning påbörjades. Då hade Verifiera
haft kännedom om rättsläget och innehållet i eventuellt förbud. Verifiera hade då
kunnat agera och anpassa därefter. Nuvarande granskning saknar alla former av
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 10(28)
Datum: 2022-09-13
förutsebarhet och rättssäkerhet. Verifieras uppfattning är att granskningen som sådan
och ett eventuellt negativt beslut innehållande korrigerande åtgärder kan utgöra
myndighetsmissbruk.
Kreditupplysningslagen – en komparativ utblick
I grundlagarna finns det bestämmelser avseende kreditupplysningsverksamhet (vilket
innefattar verksamheter med utgivningsbevis) som inte hindrar att det meddelas
föreskrifter om förbud för sådan verksamhet i vissa specifika situationer.
Sådana föreskrifter har med stöd av delegationsbestämmelse i grundlag införts i
kreditupplysningslagen varvid särskilda hänvisningar uttryckligen görs till
dataskyddsförordningen och dataskyddslagen. Det framgår därtill uttryckligen att IMY
är tillsynsmyndighet.
I dessa avseenden hämtar således IMY sin behörighet från lag och har genom
uttryckliga bestämmelser i lag som införts med stöd av delegationsbestämmelse rätt
att tillämpa dataskyddsförordnigen i vissa uttryckligt angivna avseenden.
Allt detta saknas nu. I förevarande fall har delegationsbestämmelsen i 1 kap. 20 § YGL
inte utnyttjats och IMY saknar både behörighet och befogenhet att granska Verifieras
grundlagsskyddade verksamhet.
Särskilt om andra databaser
På sätt som angivits ovan är Verifieras verksamhet inte unik. Motsvarande tjänst eller
mer omfattande tjänster tillhandahålls av sedan länge väletablerade tjänster.
Verifiera har med anledning av IMY:s granskning genomfört sökningar på sådana
väletablerade tjänster, exempelvis juno.se. På juno.se har Verifiera fått träffar på
eftersökta personnummer, namn och adresser. Dessa sökresultat visar att Verifieras
verksamhet följer branschstandarden för verksamheter med utgivningsbevis samt att
Verifieras verksamhet inte är otillbörlig, tvärtom är verksamheten i allt väsentligt
desamma som hos de marknadsledande företagen i branschen.
Ett beslut om att dataskyddsförordningen är tillämpligt skulle få oförutsebara
konsekvenser för hela branschen. Mot bakgrund av detta samt vad som anförts i
stycket ovan är det mycket märkligt att IMY väljer att vända sig mot Verifiera istället för
de väletablerade marknadsledande företag i branschen såsom är brukligt.
Begränsning av prövningsramen i
granskningen
Mot bakgrund av ärendets beskaffenhet – bland annat de svar som Verifiera har
lämnat – begränsar IMY sin prövning av Tjänsterna under den aktuella perioden till
• om 1 kap. 20 § YGL är tillämplig avseende uppgiftssamlingen i Tjänsterna,
• om undantaget för journalistiska ändamål 1 kap. 7 § andra stycket lagen
(2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning
är tillämpligt för behandlingen i Tjänsterna och
• om bolaget behandlar personuppgifter om hälsa i den mening som avses i
artikel 9 i dataskyddsförordningen genom att inkludera avgöranden i mål enligt
lagen om psykiatrisk tvångsvård och enligt lagen om vård av missbrukare i
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 11(28)
Datum: 2022-09-13
vissa fall i uppgiftsamlingen och, om så är fallet, om behandlingen är förenlig
med artikel 9.
Prövningen omfattar således inte om Verifieras personuppgiftsbehandling i Tjänsterna
i övrigt är förenlig med dataskyddsförordningen. Prövningen omfattar inte heller en
bedömning om Verifiera, genom att i Tjänsterna lämna ut ekonomisk information om
privatpersoner, bedriver kreditupplysningsverksamhet och om denna i sådant fall är
förenlig med bestämmelserna i kreditupplysningslagen (1973:1173) och dataskydds-
förordningen.
Motivering av beslutet
Rättslig bakgrund
EU-rättens reglering av förhållandet mellan rätten till skydd för personuppgifter
och rätten till yttrande- och informationsfrihet
Dataskyddsförordningens syfte är att skydda den personliga integriteten vid
behandling av personuppgifter samt att harmonisera dataskyddsregleringen för att
möjliggöra ett fritt flöde av personuppgifter inom EU.4 I dataskyddsförordningen
preciseras den grundläggande rätten till skydd för personuppgifter som slås fast i
artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan
stadgan).5 Enligt artikel 8.1 i stadgan ska var och en ha rätt till skydd av de
personuppgifter som rör honom eller henne. Enligt artikel 8.2 ska personuppgifter
behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens
samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få
tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. I
artikel 8.3 stadgas att en oberoende myndighet ska kontrollera att dessa regler
efterlevs. En rättighet som är nära sammanknuten med rätten till skydd för
personuppgifter är rätten till respekt för privatlivet och familjelivet som slås fast i artikel
7 i stadgan.
I artikel 11 i stadgan slås rätten till yttrande- och informationsfrihet fast. Där stadgas att
var och en har rätt till yttrandefrihet. Det stadgas vidare att denna rätt innefattar
åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan offentlig
myndighets inblandning och oberoende av territoriella gränser.
Varken rätten till skydd av personuppgifter eller rätten till yttrande- och
informationsfrihet är absoluta rättigheter. Av artikel 52.1 i stadgan framgår att
begränsningar i utövandet av de rättigheter och friheter som erkänns i stadgan ska
vara föreskrivna i lag och förenliga med det väsentliga innehållet i dessa rättigheter
och friheter. Vidare anges att begränsningar, med beaktande av proportionalitets-
principen, endast får göras om de är nödvändiga och faktiskt svarar mot mål av
allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra
människors rättigheter och friheter.
Dataskyddsförordningen har mot denna bakgrund utformats med hänsyn till andra fri-
och rättigheter än rätten till skydd för personuppgifter, däribland yttrande- och
informationsfriheten.6 Uppgiften att sammanjämka dessa två rättigheter har i huvudsak
överlämnats till medlemsstaterna inom ramen för regleringen i artikel 85.7 I artikel 85.1
4 Se artikel 1 i dataskyddsförordningen och bl.a. skäl 10 till förordningen.
5 Jfr skäl 1 till dataskyddsförordningen.
6 Se skäl 4 till dataskyddsförordningen.
7 Jfr EU-domstolens dom Buivids, C-345/17, EU:C:2019:122, p. 50.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 12(28)
Datum: 2022-09-13
i dataskyddsförordningen föreskrivs en skyldighet för medlemsstaterna att förena
rätten till integritet enligt dataskyddsförordningen med yttrande- och
informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller
för akademiskt, konstnärligt eller litterärt skapande. Enligt artikel 85.2 ska
medlemsstaterna, för behandling som sker för journalistiska ändamål eller för
akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser
från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV
(personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av
personuppgifter till tredjeländer eller internationella organisationer), kapitel VI
(oberoende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX
(särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för
att förena rätten till integritet med yttrande- och informationsfriheten.
Artikel 52 i stadgan och artikel 85 i dataskyddsförordningen sätter således gränser för
hur medlemsstaterna får förena rätten till skydd av personuppgifter med rätten till
yttrande- och informationsfrihet. Att rättigheterna ska förenas innebär att en av
rättigheterna inte får ges ett generellt företräde framför den andra. Vidare får undantag
från rätten till skydd för personuppgifter enligt dataskyddsförordningen endast ske om
undantagen är nödvändiga för att förena rättigheterna.8 EU-domstolen har uttalat att
för att göra en balanserad avvägning mellan de grundläggande rättigheterna fordras
att undantag och begränsningar i förhållande till skyddet av personuppgifter inte går
utöver gränserna för vad som är strikt nödvändigt.9 Detta uttalande avsåg direktiv
95/46/EG10, som ersattes av dataskyddsförordningen, men är enligt IMY:s bedömning
relevant även i förhållande till dataskyddsförordningen.
EU-domstolen har också slagit fast att för att beakta yttrandefrihetens betydelse i
demokratiska samhällen, ska de begrepp som hör samman med denna, däribland
journalistik, tolkas i vid mening. Detta innebär bland annat att undantag från och
begränsningar av dataskyddsregleringen inte endast ska tillämpas på medieföretag,
utan på alla personer som är journalistiskt verksamma. Av domstolens praxis framgår
vidare att ”journalistisk verksamhet” är sådan verksamhet som syftar till att sprida
information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium
detta sker.11
Den svenska dataskyddslagens undantag för yttrande- och informationsfriheten
I svensk rätt har föreskrifter med stöd av artikel 85 i dataskyddsförordningen
meddelats i 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s
dataskyddsförordning (nedan dataskyddslagen).
I 1 kap. 7 § första stycket dataskyddslagen görs undantag för sådan behandling som
omfattas av tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL), nedan
gemensamt benämnda mediegrundlagarna. I den nämnda bestämmelsen anges att
dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det
skulle strida mot TF eller YGL. Enligt förarbetena tydliggörs därigenom att
mediegrundlagarna har företräde framför dataskyddsförordningens och
dataskyddslagens bestämmelser.12
8 Jfr EU-domstolens dom Buivids, C-345/17, EU:C:2019:122, p. 63.
9 Se EU-domstolens dom Buivids, C-345/17, EU:C:2019:122, p. 64.
10 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.
11 Se EU-domstolens dom Buivids, C-345/17, EU:C:2019:122, p. 51–53.
12 Se prop. 2017/18:105, s. 187.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 13(28)
Datum: 2022-09-13
Mediegrundlagarna ger ett långtgående skydd för yttrande- och informationsfriheten.
Till exempel bör enligt den så kallade instruktionen den som ska döma över missbruk
av tryck- och yttrandefriheten – eller på annat sätt vaka över att grundlagarna efterlevs
– alltid ha i åtanke att tryck- och yttrandefriheten är grundvalar för ett fritt
samhällsskick, alltid uppmärksamma ämnet och tanken mera än uttryckets
lagstridighet, liksom syftet mera än framställningssättet samt i tveksamma fall hellre
fria än fälla (1 kap. 10 § TF och 1 kap. 15 §§ YGL). Vidare får en myndighet inte
förbjuda eller hindra ett sådant tillhandahållande på grund av dess innehåll, utan stöd i
grundlagen, det så kallade hinderförbudet (1 kap. 11 § YGL). Därtill får en myndighet
inte heller ingripa mot någon för missbruk av yttrandefriheten, om det inte finns stöd för
ingripandet i grundlagen (1 kap. 14 § YGL).
I 1 kap. 7 § andra stycket dataskyddslagen görs undantag för yttrande- och
informationsfriheten utanför det grundlagsskyddade området. Undantaget omfattar
behandling av personuppgifter som sker för journalistiska ändamål eller för
akademiskt, konstnärligt eller litterärt skapande. Det kan exempelvis vara fråga om
journalistisk verksamhet som bedrivs i bloggform men utan utgivningsbevis. I
bestämmelsen anges att artiklarna 5–30 och 35–50 i EU:s dataskyddsförordning samt
2–5 kap. dataskyddslagen inte ska tillämpas vid behandling som sker för bl.a.
journalistiska ändamål. Undantaget innebär att dataskyddsförordningens och
dataskyddslagens bestämmelser om tillsyn, rättsmedel, ansvar och sanktioner i
praktiken är tillämpliga enbart såvitt avser tillsyn över eller överträdelser av
bestämmelserna om säkerhet för personuppgifter.13
Grundlagsregleringen om frivilliga utgivningsbevis
För att undantaget i 1 kap. 7 § första stycket dataskyddslagen ska vara tillämpligt
krävs att det är fråga om behandling som omfattas av grundlagsskydd enligt
mediegrundlagarna. Publiceringar på internet faller som huvudregel utanför YGL:s
tillämpningsområde.14 Detta innebär att dataskyddsförordningen normalt sett är
tillämplig på sådan behandling. Från huvudregeln görs dock undantag genom bland
annat databasregeln (1 kap. 4 § YGL). För behandling av personuppgifter som
omfattas av databasregeln ska dataskyddsförordningen, enligt 1 kap. 7 § första stycket
dataskyddslagen, inte tillämpas i den utsträckning det skulle strida mot
yttrandefrihetsgrundlagen.
Databasregeln ger under vissa förutsättningar grundlagsskydd för yttranden som sker
genom tillhandahållanden till allmänheten ur databaser. Det som typiskt sett avses är
tillhandahållanden av lagrad information från webbplatser på begäran. För vissa
aktörer gäller grundlagsskyddet automatiskt, det vill säga utan att någon särskild
åtgärd behöver vidtas. Så är fallet för redaktioner för periodiska skrifter och redaktioner
för program. Även andra traditionella massmedieföretag, som till exempel bokförlag
som ger ut tryckta böcker och nyhetsbyråer, har automatiskt grundlagsskydd för sina
databaser. Andra aktörer har möjlighet att hos Myndigheten för press, radio och tv
ansöka om utgivningsbevis och på så sätt få ett så kallat frivilligt grundlagsskydd (jfr 1
kap. 4 § första stycket 1 d och 5 § YGL). Vid en ansökan om utgivningsbevis görs det
inte någon prövning av databasens innehåll eller syfte.
Det frivilliga grundlagsskyddet för databaser infördes 2003 efter en utveckling som
inneburit att andra än de traditionella massmedieföretagen i allt större utsträckning
hade börjat tillhandahålla information till allmänheten på internet. Andra medieföretag
och enskilda hade blivit delaktiga i nyhetsförmedlingen, opinionsbildningen och
upplysningen, och den nya kommunikationen ansågs vara nödvändig för
13 Se prop. 2017/18:105, s. 187.
14 Prop. 2021/22:59, s. 30.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 14(28)
Datum: 2022-09-13
yttrandefriheten och informationsfriheten. Regeringen gjorde, mot den bakgrunden,
bedömningen att det fanns skäl att erbjuda ett grundlagsskydd motsvarande det som
tidigare hade varit förbehållet massmedieföretagen även till de nya aktörerna.15 Men
redan vid införandet av det frivilliga grundlagsskyddet varnade konstitutionsutskottet
för att det skulle kunna uppstå konflikter med skyddet för den personliga integriteten
och pekade särskilt på att grundlagsskyddet i värsta fall skulle kunna omfatta
databaser som är rena personregister. Konstitutionsutskottet ansåg därför att
regeringen borde ytterligare analysera eller låta analysera huruvida det frivilliga
grundlagsskyddet kunde komma i konflikt med bestämmelserna med syfte att skydda
den personliga integriteten.16 Riksdagen instämde i utskottets bedömning och
tillkännagav detta för regeringen.17
Yttrandefrihetskommittén gavs i uppdrag att analysera frågan, men gjorde
bedömningen att det inte fanns behov av grundlagsändringar.18 År 2014 gav
regeringen Mediegrundlagskommittén i uppdrag att på nytt utreda frågan.
Mediegrundlagskommittén gjorde bedömningen att det fanns skäl att inskränka
grundlagsskyddet för vissa typer av söktjänster och i stället tillåta bestämmelser på
lagnivå. Kommittén föreslog därför ett uttryckligt undantag i TF och YGL för vissa
söktjänster som tillhandahåller känsliga personuppgifter (bland annat uppgifter som
avslöjar politisk eller religiös åskådning eller som rör hälsa och sexualliv) och uppgifter
om lagöverträdelser m.m.19 Regeringen instämde i kommitténs bedömning och
föreslog ändringar i TF och YGL i enlighet med kommitténs förslag.20
Riksdagen antog regeringens förslag till ändringar i TF och YGL i den del ändringarna
avsåg uppgiftssamlingar med känsliga personuppgifter men avslog förslaget i den del
det avsåg personuppgifter om lagöverträdelser. Riksdagen tillkännagav dock för
regeringen att en utredning borde få i uppdrag att på nytt utreda frågan om att
begränsa grundlagsskyddet för söktjänster som innehåller personuppgifter om att
enskilda har begått lagöverträdelser, förekommer i fällande domar eller har varit
föremål för straffprocessuella tvångsmedel.21
Den 1 januari 2019 trädde ändringen av mediegrundlagarna i kraft (1 kap. 13 TF och 1
kap. 20 § YGL). Av dessa bestämmelser framgår att bestämmelserna i YGL inte
hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av
personuppgifter om bland annat hälsa (1 kap. 20 § första stycket 2 YGL). Detta gäller
endast om personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är
möjligt att söka efter eller sammanställa dessa (1 kap. 20 § andra stycket 1).
Dessutom krävs att det med hänsyn till verksamheten och de former under vilka
uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i
enskildas personliga integritet (1 kap. 20 § andra stycket 2).
Regeringen gav, i enlighet med riksdagens tillkännagivande, 2018 års tryck-och
yttrandefrihetskommitté i uppdrag att utreda frågan om en begränsning av
grundlagsskyddet för uppgiftssamlingar med uppgifter om lagöverträdelser m.m.
Kommittén lade fram förslag som innebar att de befintliga delegationsbestämmelserna
om känsliga personuppgifter skulle kompletteras på så sätt att personuppgifter om
lagöverträdelser lades till i uppräkningen av de kategorier av personuppgifter som kan
15 Prop. 2001/02:74, s. 47–48.
16 Bet. 2001/02:KU21, s. 32.
17 Rskr. 2001/02:233.
18 SOU 2009:14 och SOU 2012:55.
19 SOU 2016:58.
20 Prop. 2017/18:49, s. 144.
21 Se bet. 2017/18:KU16 och 2018/19:KU2, rskr. 2017/18:336 och 2018/19:16.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 15(28)
Datum: 2022-09-13
regleras genom vanlig lag. Kommittén föreslog också vissa övriga ändringar i
utformningen av den befintliga delegationsbestämmelsen.22 Regeringen lade fram
förslag till ändringar i 1 kap. 13 § TF och 1 kap. 20 § YGL i enlighet med kommitténs
förslag.23 Riksdagen avslog dock dessa förslag med undantag för en rättelse av
språkliga felaktigheter i bestämmelserna.24
Tolkningen av 1 kap. 20 § YGL och IMY:s behörighet
Enligt 1 kap. 20 § första stycket 2 YGL hindrar inte bestämmelserna i YGL att det i lag
meddelas föreskrifter om förbud mot offentliggörande av personuppgifter om bland
annat hälsa. Den första frågan som IMY har att ta ställning till är således om
bestämmelserna i dataskyddsförordningen utgör sådana föreskrifter om förbud
meddelade i lag som avses i 1 kap. 20 § YGL.
IMY gör bedömningen att uttrycket föreskrifter i lag i 1 kap. 20 § YGL omfattar EU-
förordningar och att föreskrifter om förbud i 1 kap. 20 § YGL omfattar inte bara rena
förbud mot offentliggörande av personuppgifter utan även föreskrifter som är mindre
ingripande och som begränsar möjligheten att offentliggöra personuppgifter. IMY gör
denna bedömning av följande skäl.
När uttrycket ”lag” används i svenska författningar på det sätt som sker i 1 kap. 20 §
YGL omfattar uttrycket normalt EU-förordningar utan att det anges i lagtexten.25 Av
förarbetena till 1 kap. 20 § YGL framgår att även den bestämmelsen ska tolkas på
detta sätt. Där uttalas att med lag jämställs EU-förordningar, enligt den praxis som
utvecklats i anslutning till den befintliga delegationsbestämmelsen.26 Vidare uttalas att
bestämmelsen även inkluderar en möjlighet att föreskriva om åtgärder som är mindre
ingripande än förbud.27 Liknande uttalanden görs i lagstiftningsärendet om följd-
ändringar i vanlig lag till ändringarna i mediegrundlagarna. Där anges att
bestämmelserna i dataskyddsförordningen och dataskyddslagen skulle reglera de
uppgiftssamlingar med personuppgifter som omfattas av de föreslagna undantags-
bestämmelserna i tryckfrihetsförordningen och yttrandefrihetsgrundlagen (dvs. 1 kap.
13 § TF och 1 kap. 20 § YGL).28 Även i den proposition som föranleddes av
betänkandet från 2018 års tryck- och yttrandefrihetskommitté anges att
bestämmelserna i dataskyddsförordningen utgör sådana föreskrifter i lag som avses i
1 kap. 20 § YGL.29 Detta innebär att dataskyddsförordningen ska tillämpas i de fall
förutsättningarna i 1 kap. 20 § YGL är uppfyllda. Med andra ord är undantags-
bestämmelsen i 1 kap. 7 § första stycket dataskyddslagen inte tillämplig på sådan
behandling eftersom en tillämpning av dataskyddsförordningen inte skulle strida mot
YGL.
IMY är tillsynsmyndighet enligt dataskyddsförordningen och således behörig att utöva
tillsyn över sådan behandling som undantas från grundlagsskyddet enligt 1 kap. 20 §
YGL.30 Detta innebär att IMY har behörighet att pröva om 1 kap. 20 § YGL är tillämplig
22 SOU 2020:45.
23 Prop. 2021/22:59.
24 Bet. 2021/22:KU14 bilaga 3, rskr. 2021/22:283.
25 Se t.ex. prop. 2017/18:105, s. 27, 127, 130 och prop. 2020/21:172, s. 258. Jfr också se prop. 1999/2000:126, s.
135 f. och 272.
26 Prop. 2017/18:49, s. 147 f., 154, 188 och 255. Se även SOU 2016:58, s. 406.
27 Prop. 2017/18:49, s. 188 och 255. Se även SOU 2016:58 s. 406.
28 Prop. 2021/22:59, s. 39 f. och Ds 2017:57, s. 118.
29 Prop. 2021/22:59, s. 39 f.
30 3 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning och 2 a §
förordningen (2007:975) med instruktion för Integritetsskyddsmyndigheten.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 16(28)
Datum: 2022-09-13
på en viss behandling för att klarlägga huruvida dataskyddsförordningen är tillämplig
eller inte.31
Undantaget i 1 kap. 20 § YGL är tillämpligt
För att delegationsbestämmelsen i 1 kap. 20 § YGL ska vara tillämplig på den aktuella
behandlingen av personuppgifter i Tjänsterna krävs att följande tre villkor är uppfyllda:
1) att känsliga personuppgifter offentliggörs (första stycket),
2) att uppgifterna ingår i en uppgiftsamling som har ordnats så att det är möjligt att
söka efter eller sammanställa dessa (andra stycket 1) samt
3) att det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen
hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga
integritet (andra stycket 2).
Personuppgifter om hälsa offentliggörs
IMY konstaterar till en början att de uppgifter som ingår i Tjänsterna offentliggörs på
det sätt som avses i 1 kap. 20 § YGL. Nästa fråga är om de uppgifter som Verifiera
tillhandahåller genom Tjänsterna innehåller sådana personuppgifter som anges i 1
kap. 20 § YGL första stycket. Som framgår ovan har IMY begränsat sin granskning till
avgöranden i mål i de allmänna förvaltningsdomstolarna enligt lagen om psykiatrisk
tvångsvård (LPT), s.k. psykiatrimål, och enligt lagen om vård av missbrukare i vissa fall
(LVM), s.k. LVM-mål. De känsliga personuppgifter som främst kan förekomma i
sådana avgöranden är uppgifter om hälsa enligt 1 kap. 20 § YGL första stycket 2.
Enligt förarbetena har begreppet personuppgifter om hälsa hämtats från artikel 9.1 i
dataskyddsförordningen och ska ges samma betydelse som i förordningen.32
Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som
personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet
tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes
hälsostatus.
EU-domstolen har slagit fast att de särskilda kategorier av personuppgifter som anges
i artikel 9 i dataskyddsförordningen, bl.a. uppgifter om hälsa, ska ges en vid tolkning.
Enligt EU-domstolen räcker det att uppgifterna indirekt avslöjar känslig information för
att omfattas av skyddet i artikel 9 i dataskyddsförordningen.33 Vidare omfattar, enligt
EU-domstolen, begreppet ”uppgifter om hälsa” alla aspekter av en persons hälsa,
såväl fysiska som psykiska sådana.34 Europeiska dataskyddsstyrelsen (EDPB) har
uttalat att begreppet ”uppgifter om hälsa” ska tolkas brett och innefattar bland annat
information som samlats in av vårdgivare i en patientjournal (t.ex. sjukdomshistoria
och resultat av undersökningar och behandlingar).35
Av Verifieras egna uppgifter framgår att bolaget i Tjänsterna tillhandahåller samtliga
avgöranden i psykiatrimål och LVM-mål från allmän förvaltningsdomstol sedan år 2008
i oförändrat skick.
31 Prop. 2021/22:59, s. 53–54.
32 Prop. 2017/18:49, s. 188.
33 EU-domstolens dom Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, p. 125–128.
34 EU-domstolens dom Lindqvist, C-101/01, EU:C:2003:596, p. 50–51.
35 Riktlinjer 3/2020 om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband med covid-
19-utbrottet, p. 7–8.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 17(28)
Datum: 2022-09-13
Av 3 § LPT framgår att tvångsvård enligt den lagen får ges endast om patienten lider
av en allvarlig psykisk störning och om vissa andra villkor är uppfyllda. Enligt 4 § LVM
ska tvångsvård beslutas enligt den lagen om någon till följd av ett fortgående missbruk
av alkohol, narkotika eller flyktiga lösningsmedel är i behov av vård för att komma ifrån
sitt missbruk och vissa andra förutsättningar är uppfyllda.
IMY finner att uppgifter om att någon är eller har varit föremål för tvångsvård med stöd
av LPT eller LVM – vilket innebär att rekvisitet ”lider av en allvarlig psykisk störning”
eller rekvisitet ”till följd av ett fortgående missbruk av alkohol, narkotika eller flyktiga
lösningsmedel är i behov av vård för att komma ifrån sitt missbruk” är uppfyllt – är
uppgifter om hälsa i den mening som avses i 1 kap. 20 § första stycket 2 YGL och
artikel 9.1 i dataskyddsförordningen. Att den faktiska diagnosen eller orsaken också
framgår är inte en förutsättning för denna bedömning.
De allmänna förvaltningsdomstolarnas avgöranden avser i huvudsak överprövning av
myndigheters beslut efter överklagande av enskilda. Vissa särskilt ingripande beslut
prövas eller fattas dock där utan att den enskilde har överklagat något beslut, antingen
efter att den myndighet som fattat beslutet underställt det rättens prövning eller ansökt
om att beslutet ska fattas. Det gäller bland annat för psykiatrimål, där en patient som
är föremål för tvångsvård kan överklaga vissa beslut kopplade till vården till
förvaltningsrätterna (se 32 och 33 §§ LPT) medan vissa mer ingripande beslut ska
underställas förvaltningsrättens prövning (se t.ex. 12 § LPT) eller fattas först efter
myndighetens ansökan till förvaltningsrätten (se t.ex. 7 § LPT) oavsett den enskildes
inställning. Det gäller även för LVM-mål, där rätten beslutar beredande om tvångsvård
enligt LVM (se 5 §) eller prövar beslut om omedelbart omhändertagande enligt LVM
efter underställande (se 15 och 17 §§).
Mål i de allmänna förvaltningsdomstolarna avgörs genom dom eller beslut
(tillsammans kallat avgöranden). I sådana avgöranden ska anges de skäl som bestämt
utgången (30 § andra stycket förvaltningsprocesslagen [1971:291]). Vidare ska i
avgörandet anges parterna (dvs. bland annat vem som har klagat eller som är föremål
för ansökan eller det underställda beslutet), saken i korthet och i den utsträckning som
det behövs en redogörelse för den dom eller det beslut som har överklagats eller
underställts (13 § förordningen [2013:390] om mål i allmän förvaltningsdomstol).
Mot denna bakgrund konstaterar IMY att de allmänna förvaltningsdomstolarnas
avgöranden i psykiatrimål och LVM-mål typiskt sett innehåller uppgifter om hälsa om
den person som är föremål för tvångsvården, det vill säga personen som har
överklagat det beslut som har fattats med stöd av respektive lag eller som är föremål
för ansökan eller det underställda beslutet utan överklagande.
Eftersom sådana avgöranden i oförändrat skick tillhandahålls av Verifiera genom
Tjänsterna är kriteriet i 1 kap. 20 § första stycket YGL att känsliga personuppgifter
offentliggörs uppfyllt.
Uppgiftssamlingen har ordnats så att det är möjligt att söka efter eller
sammanställa känsliga personuppgifter
Den andra frågan som IMY ska ta ställning till är om de känsliga uppgifterna ingår i en
uppgiftsamling som har ordnats så att det är möjligt att söka efter eller sammanställa
dessa (1 kap. 20 § andra stycket 1 YGL).
Inledningsvis konstateras att ordet ”uppgiftssamling” i YGL valts för att undvika
sammanblandning med termen ”register”, som är vad som i normalt språkbruk avses.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 18(28)
Datum: 2022-09-13
Enligt förarbetena krävs det inte någon större mängd uppgifter, men det ska finnas
personuppgifter som rör i vart fall mer än en person och uppgifterna ska vara
sorterade enligt något slags system.36
Verifiera har uppgett att samtliga avgöranden från år 2008 och framåt finns och gjorts
sökbara i Tjänsterna och på fråga inte inkommit med närmare uppgift om det antal
avgöranden som faktiskt behandlas. IMY har därför inhämtat den officiella statistik som
Domstolsverket tagit fram över avgjorda mål i de allmänna förvaltningsdomstolarna.
Verifiera har fått tillfälle att yttra sig över detta underlag men inte inkommit med något
yttrande.37 Av statistiken framgår att under perioden 2008–2021 rör det sig om totalt ca
210 000 avgöranden, varav ca 193 000 (ca 13 800 per år) i psykiatrimål38 och ca 18
000 (ca 1 300 per år) i LVM-mål39 för enbart avgöranden i förvaltningsrätterna. Även
om det kan antas att vissa av dessa avgöranden gäller samma personer, kan det
konstateras att det rör sig om en stor mängd uppgifter om hälsa om en stor mängd
personer. Det råder enligt IMY ingen tvekan om att det är fråga om en sådan
uppgiftsamling som avses i 1 kap. 20 § andra stycket 1 YGL.
När det gäller uttrycket ”ordnats så att det är möjligt att söka efter eller sammanställa
uppgifterna” anges i förarbetena att uppgiftssamlingen inte behöver ha strukturerats på
ett sätt som underlättar sökning efter just de personuppgifter som omfattas av
bestämmelsen. För att bestämmelsen ska bli tillämplig är det tillräckligt att
uppgiftssamlingen ger möjlighet till fritextsökning.40
Av Verifieras egna uppgifter framgår att det i Tjänsterna är möjligt att söka i
uppgiftssamlingen genom såväl fritextsökning som genom särskilda fält för sökningar
på namn, personnummer, ort och adress. Därmed har uppgiftssamlingen ordnats så
att det är möjligt att söka efter eller sammanställa känsliga personuppgifter på det sätt
som avses i 1 kap. 20 § andra stycket 1 YGL.
Det finns särskilda risker för otillbörliga intrång i den personliga integriteten
Tillämpliga bestämmelser m.m.
Den sista frågan för tillämpligheten av 1 kap. 20 § YGL som IMY har att ta ställning till
är om det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet.
Enligt bestämmelsen ska bedömningen av om det föreligger sådana särskilda risker
göras med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls
tillgänglig (1 kap. 20 § andra stycket 2 YGL). Innebörden är att tillämpningsområdet för
bestämmelsen smalnas av och görs beroende av vilka risker för intrång i den
personliga integriteten som en viss typ av uppgiftssamling för med sig. Det är alltså
endast för vissa kvalificerade situationer, som medför särskilda risker för otillbörliga
intrång i enskildas personliga integritet som omfattas.41
36 Prop. 2017/18:49, s. 150.
37 Tillgänglig här https://www.domstol.se/om-sveriges-domstolar/statistik-styrning-och-utveckling/statistik/officiell-
domstolsstatistik/.
38 Avgjorda psykiatrimål i förvaltningsrätterna per år enligt statistik från Domstolsverket: 13 649 (2008), 13 551 (2009),
13 309 (2010), 13 267 (2011), 13 242 (2012) 12 942 (2013), 13 836 (2014), 14 034 (2015), 13 881 (2016), 13 425
(2017), 14 108 (2018), 14 561 (2019), 14 594 (2020) och 14 840 (2021).
39 Avgjorda LVM-mål i förvaltningsrätterna per år enligt statistik från Domstolsverket: 1 196 (2008), 1 166 (2009), 1
280 (2010), 1 164 (2011), 1 126 (2012), 1 222 (2013), 1 422 (2014), 1 462 (2015), 1 391 (2016), 1 390 (2017), 1 298
(2018), 1 280 (2019), 1 252 (2020) och 1 183 (2021).
40 Prop. 2017/18:49, s. 189.
41 Prop. 2017/18:49, s. 189.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 19(28)
Datum: 2022-09-13
Regeringen anförde i propositionen Ändrade mediegrundlagar (prop. 2017/18:49)
bland annat följande.42
”Förslaget innebär alltså att en helhetsbedömning ska göras av karaktären på de
uppgiftssamlingar som avses träffas av den lagreglering som är aktuell.
Bedömningsgrunder av betydelse bör, som kommittén anger, kunna vara
uppgiftssamlingarnas målgrupp, formerna för tillhandahållande och tjänsternas sök-
och sammanställningsfunktioner. I detta ligger att uppgiftssamlingarnas
grundläggande uppbyggnad kan tillmätas betydelse. Tjänster som gör det möjligt
för allmänheten att genom sökning på t.ex. namn, personnummer eller adress få
uppgifter om enskildas hälsa, sexualliv eller förekomst i fällande brottmålsdomar
torde normalt sett innebära sådana risker för otillbörliga integritetsintrång att de
faller in under tillämpningsområdet för delegationsbestämmelsen.
[…]
Uppgiftssamlingar med en s.k. personuppgiftsanknuten struktur som syftar till att
underlätta sökning på just personuppgifter innebär normalt sett större risker för
otillbörliga integritetsintrång än tjänster med en generell struktur som gör det möjligt
att söka efter uppgifter med fritextsökning, även om skillnaderna inte är så stora att
de i sig avgör bestämmelsens tillämplighet. Särskilda sökfält för någon eller några
av de berörda personuppgifterna eller möjligheten att få en sammanställning av
dessa, exempelvis i form av en kartbild, medför typiskt sett stora risker för
otillbörliga intrång i den personliga integriteten. I detta sammanhang torde det
normalt sakna betydelse om tjänsten enbart är tillgänglig för professionella aktörer.
[…]
Enligt regeringen bör utgångspunkten vara att rättsdatabaser som uppenbart riktar
sig till en krets som på professionella grunder har ett berättigat behov av de
aktuella uppgifterna faller utanför bestämmelsens tillämpningsområde. Vid
bedömningen bör dock även för sådana databaser uppgiftssamlingarnas sök- och
sammanställningsfunktioner tillmätas betydelse. Till exempel får särskilda sökfält
för någon eller några av de berörda personuppgifterna eller möjligheten att få en
sammanställning av dessa, exempelvis i form av en kartbild, typiskt sett sägas
medföra stora risker för otillbörliga intrång i den personliga integriteten. Sådana
strukturer bör normalt medföra att det finns förutsättningar för lagstiftning med stöd
av delegationsbestämmelsen, även när lagstiftningen träffar databaser där
informationen tillhandahålls mot avgift och målgruppen är professionell.”
Konstitutionsutskottet uttalade bland annat följande:43
”Utskottet vänder sig emot att göra en skillnad mellan om en tjänst vänder sig till
allmänheten eller en viss yrkeskategori. En söktjänst som vänder sig till den breda
allmänheten kan i och för sig innebära ett större integritetsintrång än en söktjänst
som endast är öppen för en mindre krets, t.ex. en viss yrkeskategori. Men även en
söktjänst som vänder sig till en viss yrkeskategori kan komma att bli tillgänglig för
ett mycket stort antal användare. Utskottet anser inte att målgruppen, dvs. den
tänkta eller faktiska användarkretsen, i sig ska tillmätas någon betydelse vid
bedömningen av om en uppgiftssamling faller innanför eller utanför det
grundlagsskyddade området. Bedömningen bör i stället göras med utgångspunkt i
42 Prop. 2017/18:49, s. 152–153 och 190.
43 Bet. 2017/18:KU16, s. 41.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 20(28)
Datum: 2022-09-13
syftet med tillhandahållandet av uppgiftssamlingen och vilken typ av uppgifter som
tillhandahålls. Integritetsintrång som följer av uppgiftssamlingar som tillhandahålls
med syftet att bidra till ett fritt meningsutbyte och en fri och allsidig upplysning kan
inte anses vara otillbörliga och bör således som utgångspunkt falla utanför
tillämpningsområdet för delegationsbestämmelserna. Utskottet vill understryka att
det är mycket angeläget att en betydande marginal tillämpas i fråga om vad som
faller inom det grundlagsskyddade området så att intresset för yttrandefrihet inte får
ge vika för intresset av att skydda enskildas integritet i gränsfall eller svårbedömda
situationer. Ett sådant synsätt vinner också stöd i den s.k. instruktionen i
grundlagarna, enligt vilken den som anförtrotts att döma eller vaka över tryck- och
yttrandefriheten alltid bör ha i åtanke att tryck- och yttrandefriheten är en grundval
för ett fritt samhällsskick, alltid bör uppmärksamma ämnet och tanken mer än
uttrycket liksom syftet mer än framställningssättet samt i tveksamma fall hellre bör
fria än fälla. Rena söktjänster för tillhandahållande av känsliga personuppgifter
enligt den uttömmande uppräkningen i bestämmelsen får sägas ligga långt från de
syften som grundlagarna är till för att skydda, och sådana tjänster träffas således
typiskt sett av delegationsbestämmelserna.”
IMY:s bedömning
Enligt IMY innebär de redovisade förarbetsuttalandena sammanfattningsvis följande.
Vad konstitutionsutskottet anfört i samband med grundlagsändringen medför att det
vid bedömningen av riskerna för integritetsintrång enligt 1 kap. 20 § YGL inte bör
fästas någon betydelse vid om en söktjänst vänder sig till den breda allmänheten eller
är tillgänglig för en viss yrkeskategori. I stället ska det göras en helhetsbedömning
med beaktande av bland annat syftet med tillhandahållandet av uppgiftssamlingen,
vilken typ av uppgifter som tillhandahålls och sök- och sammanställningsfunktioner.
Det bör därvid beaktas att uppgiftssamlingar som syftar till att underlätta sökning på
just personuppgifter normalt sett innebär större risker. Däremot bör uppgiftsamlingar
som tillhandahålls med syftet att bidra till ett fritt meningsutbyte och en fri och allsidig
upplysning inte anses vara otillbörliga och bör således som utgångspunkt falla utanför
tillämpningsområdet för 1 kap. 20 § YGL.
Den uppgiftssamling som Verifiera tillhandahåller är resultatet av en omfattande
insamling av rättsliga avgöranden i psykiatrimål och LVM-mål som innehåller mycket
integritetskänslig information. Insamlingen sker utan bedömning av vilken relevans det
enskilda avgörandet har för t.ex. den allmänna debatten eller granskande journalistik.
Resultatet är en uppgiftssamling över alla som sedan år 2008 varit föremål för
tvångsvård på grund av psykisk ohälsa eller missbruk.
Det framgår vidare av utredningen att syftet med uppgiftssamlingen bland annat är att
tillhandahålla bakgrundskontroller vid till exempel rekryteringar. Behandling av de
aktuella uppgifterna om hälsa i sådana sammanhang kan leda till kännbara
konsekvenser för de registrerade.
Av Verifieras egna uppgifter framgår att uppgiftsamlingen har strukturerats på så sätt
att det vid personsökning finns särskilda sökfält för namn, personnummer, ort, adress
och fritext och att sökresultat visas i realtid. Det har vidare inte framkommit att Verifiera
vidtagit några åtgärder för att exkludera eller begränsa möjligheten att söka på
uppgifter som direkt kan hänföras till en fysisk person, såsom namn eller
personnummer. Det har inte heller framkommit att Verifiera tagit bort eller maskerat
sådana uppgifter i dokumenten.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 21(28)
Datum: 2022-09-13
Det är enligt IMY:s bedömning fråga om en sådan söktjänst för tillhandahållande av
känsliga personuppgifter som, i enlighet med vad konstitutionsutskottet anförde i
samband med grundlagsändringen, ligger långt från de syften som grundlagarna är till
för att skydda.44
Sammantaget innebär detta, enligt IMY:s bedömning, att Verifieras offentliggörande av
uppgiftssamlingen innebär särskilda risker för otillbörliga ingrepp i enskildas personliga
integritet. Således är även det tredje och sista kriteriet i 1 kap. 20 § YGL uppfyllt.
Sammanfattande bedömning
Sammanfattningsvis gör IMY – även med beaktande av den betydande
bedömningsmarginal som konstitutionsutskottet anvisat – bedömningen att Verifiera
tillhandahåller en sådan uppgiftssamling som avses i 1 kap. 20 § YGL, i den del
uppgiftssamlingen innebär offentliggörande av avgöranden i psykiatrimål och LVM-
mål. Denna del av uppgiftssamlingen har således inte skydd enligt YGL, vilket innebär
att undantaget i 1 kap. 7 § första stycket dataskyddslagen inte är tillämpligt på
behandlingen.
Nästa fråga som IMY har att bedöma är om undantaget för journalistiska ändamål i 1
kap. 7 § andra stycket dataskyddslagen är tillämpligt på behandlingen.
Behandlingen sker inte för journalistiska ändamål
Tillämpliga bestämmelser m.m.
Genom 1 kap. 7 § andra stycket dataskyddslagen görs undantag från stora delar av
dataskyddsregleringen vid behandling som sker för bland annat journalistiska
ändamål. Enligt undantaget ska inte artiklarna 5–30 och 35–50 i dataskydds-
förordningen samt 2–5 kap. i dataskyddslagen tillämpas vid sådan behandling.
EU-domstolen har bedömt att för att beakta yttrandefrihetens betydelse i demokratiska
samhällen, ska de begrepp som hör samman med denna, däribland journalistik, tolkas
i vid mening. Detta innebär bland annat att undantag från och begränsningar av
dataskyddsregleringen inte endast ska tillämpas på medieföretag, utan på alla
personer som är journalistiskt verksamma. Av EU-domstolens praxis framgår vidare att
”journalistisk verksamhet” är sådan verksamhet som syftar till att sprida information,
åsikter eller idéer till allmänheten, oberoende av genom vilket medium detta sker.45
Samtidigt har EU-domstolen slagit fast att inte all information som görs tillgänglig på
internet och som innehåller personuppgifter omfattas av begreppet ”journalistisk
verksamhet”.46 EU-domstolen har vidare i domen Google Spain och Google funnit att
en sökmotorleverantörs behandling genom tillhandahållandet av sökmotorn inte kunde
anses ske för journalistiska ändamål.47
I departementspromemorian Följdändringar till ändrade mediegrundlagar uttalades
bl.a. följande i frågan om söktjänster med fällande brottmålsdomar kunde omfattas av
begreppet journalistisk verksamhet.
”Vid denna bedömning är det svårt att föreställa sig en situation där det av
kommittén nämnda typfallet på en uppgiftssamling som träffas av undantagen i
44 Bet. 2017/18:KU16, s. 41.
45 EU-domstolens dom Buivids, C-345/17, EU:C:2019:122, p. 51–53.
46 EU-domstolens dom Buivids, C-345/17, EU:C:2019:122, p. 58.
47 EU-domstolens dom Google Spain och Google, C-131/12, EU:C:2014:317, p. 85.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 22(28)
Datum: 2022-09-13
tryckfrihetsförordningen och yttrandefrihetsgrundlagen – en till allmänheten riktad
renodlad söktjänst avseende fällande brottmålsdomar – med tillämpning av den av
EU-domstolen anvisade proportionalitetsbedömningen skulle anses falla under
journalistundantaget i dataskyddslagen. Detta med beaktande av att uppgifterna
helt uppenbart är mycket integritetskänsliga och då ett sådant register inte kan
sägas informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för
allmänheten. Det torde därför gå för långt att hävda att ett undantag från
personuppgiftsskyddet i ett sådant fall är strikt nödvändigt. Så får även anses vara
fallet med andra känsliga personuppgifter avseende exempelvis etnisk bakgrund,
sexuell läggning eller religiös övertygelse.
Som anges i avsnitt 5.2.2 är det av betydelse om söktjänsten i fråga också
innehåller redaktionellt material. Det torde dock krävas att kopplingen mellan
personuppgifterna och det redaktionella inslaget framstår som tydlig och relevant
för att undantaget för journalistisk verksamhet ska kunna åberopas. När det gäller
exemplet med ett privat belastningsregister riktat till allmänheten görs
bedömningen att detta inte rimligen kan falla under journalistundantaget bara för att
det i anslutning till registret även förekommer fristående artiklar och rättsliga
analyser. En annan ordning skulle innebära att integritetsskyddet enkelt kan
kringgås på ett sätt som inte kan anses svara mot den balanserade avvägning
mellan skyddet för privatlivet och yttrandefriheten som EU-domstolen anvisat i
Satakunnan-målet.”48
I propositionen Ett ändamålsenligt skydd för tryck- och yttrandefriheten (prop.
2021/22:59, s. 54) uttalades följande:
”Det är mot den bakgrunden svårt att föreställa sig en situation där en
uppgiftssamling som tillhandahålls i en grundlagsskyddad verksamhet undantas
från grundlagsskyddet på grund av uppgiftssamlingens karaktär men omfattas av
dataskyddslagens journalistundantag. En bedömning av varje tänkbar situation kan
dock givetvis inte göras generellt på förhand. När delegationsbestämmelserna väl
är tillämpliga får det på vanligt sätt i det enskilda fallet avgöras vilka krav i
dataskyddsregleringen som den som tillhandahåller uppgiftssamlingen behöver
följa.”
Integritetsskyddsmyndighetens bedömning
Den fråga som IMY har att ta ställning till är om den behandling av personuppgifter om
hälsa som Verifiera utför genom att inkludera avgöranden i psykiatrimål och LVM-mål i
Tjänsterna sker för journalistiska ändamål i den mening som avses i 1 kap. 7 § andra
stycket dataskyddslagen och artikel 85 i dataskyddsförordningen.49 Det kan
inledningsvis konstateras, i enlighet med vad som framgår av förarbetsuttalandena
ovan, att utrymmet för att bedöma att en uppgiftssamling som omfattas av 1 kap. 20 §
YGL sker för journalistiska ändamål måste anses vara mycket begränsat.
IMY konstaterar vidare att det förhållandet att en hemsida innehåller vissa
publiceringar med ett journalistiskt ändamål inte innebär att alla publiceringar på den
hemsidan ska anses ha ett journalistiskt ändamål.50 Att det i anslutning till en
uppgiftssamling med rättsliga avgöranden förekommer fristående artiklar och rättsliga
analyser innebär således inte per automatik att hela uppgiftssamlingen har ett
48 Ds 2017:57, s. 121.
49 För en mer omfattande genomgång av tolkningen av begreppet ”journalistiska ändamål”, se IMYRS 2022:2, som
finns tillgängligt här https://www.imy.se/globalassets/dokument/rattsligt-stallningstagande/imyrs-2022-2-undantaget-
for-journalistiska-andamal.pdf.
50 Se NJA 2001 s. 409, Ds 2017:57, s. 121 och IMYRS 2022:2, s. 25–27.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 23(28)
Datum: 2022-09-13
journalistiskt ändamål. Det bör krävas att kopplingen mellan personuppgifterna och det
redaktionella inslaget framstår som tydlig och relevant för att undantaget för
journalistisk verksamhet ska kunna åberopas. Det har i ärendet inte framkommit att det
finns ett redaktionellt innehåll med en tydlig och relevant koppling till den i ärendet
aktuella delen av uppgiftssamlingen med avgöranden i psykiatrimål och LVM-mål.
Av utredningen framgår att Tjänsterna bland annat syftar till att tillhandahålla
personuppgifter för bakgrundskontroll av fysiska personer i samband med till exempel
rekrytering. Enligt IMY:s bedömning kan en sådan behandling av personuppgifter inte
anses ha journalistiska ändamål. Verifiera har dock anfört att Tjänsterna även har
andra syften än bakgrundskontroll, t.ex. research. Som IMY konstaterar ovan är den
uppgiftssamling som Verifiera tillhandahåller resultatet av en omfattande insamling av
rättsliga avgöranden med mycket integritetskänslig information. Insamlingen sker utan
bedömning av vilken relevans avgörandet har för t.ex. den allmänna debatten eller
granskande journalistik. Det sker inte heller någon bearbetning av avgörandena t.ex.
för att ta bort direkta personuppgifter som namn och personnummer. Resultatet är en
uppgiftssamling i vilken går att söka på alla som sedan år 2008 varit föremål för
tvångsvård på grund av psykisk ohälsa eller missbruk. Denna uppgiftssamling kan inte
anses ha som huvudsakligt ändamål51 att sprida information, åsikter eller idéer till
allmänheten på det sätt som avses i 1 kap. 7 § andra stycket dataskyddslagen och
artikel 85 i dataskyddsförordnigen.
Med anledning av att Verifiera anfört att verksamheten är nödvändig för gemene mans
berättigade intresse av att få del av allmänna handlingar, finns det skäl att understryka
att det förhållandet att allmänheten kan ha ett berättigat intresse av att ta del av
allmänna handlingar på ett lättillgängligt sätt inte i sig innebär att Verifiera har ett
journalistiskt ändamål med sin behandling. EU-domstolen konstaterade i domen
Google och Google Spain att allmänheten kunde ha ett berättigat intresse av att ta del
information genom sökning i en sökmotor på en persons namn. Samtidigt slog
domstolen fast att sökmotorleverantören inte kunde åberopa undantaget för
journalistiska ändamål vid behandling av personuppgifter vid sådana sökningar. Detta
gällde enligt domstolen även i fall då sökträffen avsåg en tidningsartikel och i sig hade
journalistiska ändamål.52 Enligt IMY:s bedömning ligger den verksamhet som Verifiera
bedriver genom den i ärendet aktuella delen av uppgiftssamlingen, på motsvarande
sätt som en sökmotorleverantörs verksamhet, utanför undantaget för journalistiska
ändamål.
IMY gör sammanfattningsvis bedömningen att Verifieras publicering av avgöranden i
de aktuella måltyperna inte omfattas av undantaget i 1 kap. 7 § andra stycket
dataskyddslagen.
Verifiera är personuppgiftsansvarig för behandlingen
Som framgår ovan gör IMY bedömningen att dataskyddsförordningen är tillämplig på
behandlingen i Tjänsterna.
Personuppgiftsansvarig enligt dataskyddsförordningen är den som ensamt eller
tillsammans med andra bestämmer ändamål och medel för behandlingen av
personuppgifter (artikel 4.7).
51 Se IMYRS 2022:2, s. 23 f.
52 EU-domstolens dom Google Spain och Google, C-131/12, EU:C:2014:317, p. 81, 85 och 95.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 24(28)
Datum: 2022-09-13
IMY konstaterar att det är Verifiera som tillhandahåller Tjänsterna mot ekonomisk
ersättning till betalande användare. Vidare har Verifiera uppgett att det är Verifiera
som beslutar om ändamålen och medlen för personuppgiftsbehandlingen av sin tjänst,
låt vara att Verifiera poängterar att ”i publicistiskt hänseende är det användaren som
beslutar om ändamålen, på samma sätt som en tidningsläsare själv bestämmer ända-
målet när denna tar del av en publicerad tidskrift, och inte nyhetsredaktionen som
publicerat tidningen.”
Mot denna bakgrund finner IMY att Verifiera är personuppgiftsansvarig för
personuppgiftsbehandlingen bestående av tillhandahållandet av Tjänsterna och
uppgiftssamlingen.
Behandlingen strider mot artikel 9 i dataskyddsförordningen
Tillämpliga bestämmelser
Som framgår ovan gör IMY bedömningen att Verifiera behandlar känsliga
personuppgifter bestående av uppgifter om hälsa i Tjänsterna. Enligt artikel 9.1 i
dataskyddsförordningen är behandling av sådana uppgifter som huvudregel förbjuden.
För att behandlingen ska vara tillåten krävs att något av de undantag som anges i
artikel 9.2 i dataskyddsförordningen är tillämpligt på behandlingen.
Enligt artikel 9.2 a i dataskyddsförordningen ska förbudet i artikel 9.1 inte tillämpas om
den registrerade uttryckligen har lämnat sitt samtycke till behandlingen.
Enligt artikel 9.2 g gäller inte förbudet i artikel 9.1 om behandlingen är nödvändig av
hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlems-
staternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara
förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla
bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades
grundläggande rättigheter och intressen.
Samtycke
Den uppgiftssamling som är föremål för IMY:s granskning består av ett stort antal
rättsliga avgöranden i psykiatri- och LVM-mål. Uppgiftssamlingen används av Verifiera
för att tillhandahålla Tjänsterna. En av dessa benämns bakgrundskontrolltjänsten.
Verifiera har gjort gällande att uttryckligt samtycke, enligt artikel 9.2 a i dataskydds-
förordningen, föreligger för den del av behandlingen som avser denna tjänst. IMY
konstaterar dock att Verifiera inhämtar samtycke först i samband med att en
bakgrundskontroll beställs från Verifiera. Samtycket lämnas således först efter att
Verifiera utfört behandlingarna att samla in och ordna för sökbarhet avgörandena vari
de känsliga personuppgifterna behandlas. Ett samtycke som inhämtas i efterhand är
inte giltigt. Det saknas därför anledning att ställning om det uttryckliga samtycke som
Verifiera uppger sig samla in i övrigt uppfyller villkoren i dataskyddsförordningen.
Artikel 9.2 g och yttrande- och informationsfriheten
När det gäller behandlingen i övrigt har Verifiera gjort gällande att behandlingen ”är
nödvändig för ändamål som rör Verifieras berättigade intresse av att kunna driva sin
grundlagsskyddade verksamhet inom ramen för sitt utgivningsbevis”. Enligt Verifiera
väger de registrerades intressen i förevarande fall inte tyngre än rätten till
yttrandefrihet. Slutligen anför Verifiera att handlingarna i uppgiftssamlingen finns
tillgängliga genom flertalet andra källor samt att vilken typ av avgörande det gäller
torde vara ointressant då domstolar har att tillämpa sekretess i den mån uppgifter om
hälsa förekommer.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 25(28)
Datum: 2022-09-13
IMY konstaterar inledningsvis att berättigat intresse (även kallat intresseavvägning) är
en av flera rättsliga grunder enligt artikel 6.1 f i dataskyddsförordningen som krävs för
att behandling av personuppgifter ska vara laglig. Denna grund ingår dock inte i den
uppräkning av undantag i artikel 9.2 som kan legitimera behandling av sådana
känsliga personuppgifter som avses i artikel 9.1 och som det nu är fråga om. Som det
får förstås har Verifiera med det ovan anförda gjort gällande att undantaget i artikel 9.2
g utgör rättsligt stöd för behandlingen.
IMY konstaterar att allmänhetens yttrande- och informationsfrihet är ett viktigt allmänt
intresse. Detta kommer också till uttryck i artikel 85 i dataskyddsförordningen som
föreskriver en skyldighet för medlemsstaterna att i lag förena rätten till integritet i
enlighet med dataskyddsförordningen med yttrande- och informationsfriheten. Enligt
artikel 85.2 i dataskyddsförordningen kan medlemsstaterna göra undantag från
bestämmelserna i bland annat artikel 9 om det är nödvändigt för att förena rätten till
integritet med yttrande- och informationsfriheten. Detta har i svensk rätt skett genom 1
kap. 7 § dataskyddslagen som enligt IMY:s bedömning i detta beslut inte är tillämplig
på den del av Verifieras uppgiftssamling som granskas i detta beslut.
Regleringen i dataskyddsförordningen kan tolkas som att det endast är artikel 85 som,
i enlighet med principen om lex specialis, ska användas för att i nationell rätt reglera
förhållandet mellan rätten till skydd för personuppgifter och rätten till yttrande- och
informationsfrihet. Enligt IMY kan det dock inte uteslutas att det därutöver är möjligt att
införa nationell reglering av det slag som avses i artikel 9.2 g i dataskyddsförordningen
för att ge stöd för behandling av känsliga personuppgifter som är nödvändig för att
tillgodose allmänhetens yttrande- och informationsfrihet. En sådan reglering skulle
bland annat behöva innehålla bestämmelser om lämpliga och särskilda åtgärder för att
säkerställa den registrerades grundläggande rättigheter och intressen. Någon sådan
reglering har dock inte införts i svensk rätt. Det finns således inte möjlighet för Verifiera
att tillämpa artikel 9.2 g i dataskyddsförordningen med åberopande av allmänhetens
yttrande- och informationsfrihet.
Artikel 9.2 g och offentlighetsprincipen
Verifiera har även anfört att behandlingen i uppgiftssamlingen är nödvändig för
gemene mans berättigade intresse av att, inom ramen för Verifieras grundlagsskydd,
få del av allmänna handlingar som finns tillgängliga i Tjänsterna. IMY finner därför skäl
att bedöma om reglerna om offentlighetsprincipen i 2 kap. TF kan ge stöd för Verifieras
behandling.
I dataskyddsförordningen regleras förhållandet mellan rätten till skydd för
personuppgifter och offentlighetsprincipen i artikel 86. Där anges att personuppgifter i
allmänna handlingar som förvaras av en myndighet, ett offentligt organ eller ett privat
organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten
eller organet i enlighet med medlemsstatens nationella lagstiftning för att jämka
samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd
för personuppgifter i enlighet med förordningen. I 1 kap. 7 § första stycket
dataskyddslagen har dessutom införts reglering som tydliggör att
dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot
reglerna om handlingsoffentlighet i 2 kap. TF.53
Bestämmelserna om handlingsoffentligheten i 2 kap. TF ger var och en rätt att ta del
av allmänna handlingar som inte omfattas av sekretess. För att det ska vara fråga om
53 Prop. 2017/18:105, s. 42–43.
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 26(28)
Datum: 2022-09-13
en allmän handling ska handlingen förvaras hos en myndighet eller ett annat organ
som omfattas av offentlighetsprincipen (2 kap. 4 och 5 §§ TF). Reglerna i 2 kap. TF
ger således inte allmänheten en rätt att ta del av utlämnade allmänna handlingar hos
en organisation som, i likhet med Verifiera, inte omfattas av skyldigheten att lämna ut
handlingar enligt offentlighetsprincipen.
Reglerna i 2 kap. TF ger inte heller en rätt för den som tar emot allmänna handlingar
att sprida dem vidare eller vidarebehandla dem på annat sätt. Syftet med
offentlighetsprincipen, som det kommer till uttryck i 2 kap. 1 § TF, är visserligen att
främja ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt
skapande. Vidarebehandlingen av utlämnande allmänna handlingar omfattas dock
inte av bestämmelserna i 2 kap. TF utan av andra regler, särskilt övriga delar av
mediegrundlagarna. Mediegrundlagarna ger bland annat rätt att publicera allmänna
handlingar eller uppgifter från sådana handlingar och att sprida sådana publikationer
(se bl.a. 1 kap. 1 § andra stycket och 6 kap. TF samt 3 kap. YGL).
Det bör framhållas att den svenska dataskyddsregleringen skapar ett stort utrymme
att vidarebehandla personuppgifter i allmänna handlingar för att tillgodose den
grundläggande betydelse som tryck- och yttrandefriheten har för det svenska
statsskicket. Det sker genom undantaget för mediegrundlagarna i 1 kap. 7 § första
stycket dataskyddslagen och undantaget för bland annat journalistiska ändamål i 1
kap. 7 § andra stycket dataskyddslagen. Som IMY konstaterar i detta beslut omfattas
dock inte den i ärendet aktuella personuppgiftsbehandlingen av dessa undantag.
Mot denna bakgrund konstaterar IMY att 2 kap. TF inte reglerar Verifieras
offentliggörande av känsliga personuppgifter och därför inte kan utgöra grund enligt
9.2 g dataskyddsförordningen för denna behandling. Därtill kan konstateras att
reglerna i 2 kap. TF inte heller innehåller några sådana lämpliga och särskilda åtgärder
för att skydda de registrerades rättigheter vid vidarebehandling av utlämnade allmänna
handlingar.
Slutsatser
Då det inte har framkommit något som talar för att något annat undantag i artikel 9.2 är
tillämpligt finner IMY att Verifiera under perioden den 6 april 2022 – 28 juni 2022 har
behandlat känsliga personuppgifter (uppgifter om hälsa) i strid med artikel 9 i
dataskyddsförordningen i sina tjänster på www.verifiera.se.
Val av ingripande
Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har
befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83.
Beroende på omständigheterna i det enskilda fallet ska administrativa sanktions-
avgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som
till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer
som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid
bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY
enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en
reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande
omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet
samt tidigare överträdelser av relevans.
IMY har konstaterat att Verifiera under den relevanta perioden har utfört en omfattande
insamling av känsliga personuppgifter om en stor mängd personer i Tjänsterna genom
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 27(28)
Datum: 2022-09-13
att offentliggöra bland annat 210 000 avgöranden från förvaltningsrätterna, varav ca
193 000 utgör psykiatrimål och ca 18 000 utgör LVM-mål. Målen innehåller mycket
integritetskänslig information beträffande personer som är eller har varit i en mycket
utsatt situation. Resultatet är en uppgiftssamling över alla som sedan år 2008 varit
föremål för tvångsvård på grund av psykisk ohälsa eller missbruk. Av utredningen
framgår vidare att syftet med uppgiftssamlingen bland annat är att tillhandahålla
bakgrundskontroller vid rekryteringar. Behandling av de aktuella uppgifterna om hälsa i
sådana sammanhang kan leda till kännbara konsekvenser för de registrerade, till
exempel i form av minskade möjligheter att bli aktuell för en anställning och
utanförskap. Enligt IMY är den överträdelse av artikel 9 som konstaterats i detta beslut
därmed av sådan omfattning och allvarlighetsgrad att den normalt sett skulle föranleda
en kännbar sanktionsavgift.
I detta tillsynsärende finns dock särskilda omständigheter som talar mot en sanktions-
avgift. Det är fråga om behandling av personuppgifter på en webbplats som har ett
utgivningsbevis och som utgångspunkt har grundlagsskydd enligt mediegrundlagarna.
Den begränsning av grundlagsskyddet för uppgiftssamlingar som offentliggör känsliga
personuppgifter som infördes 2019 genom 1 kap. 20 § YGL har inte tidigare tillämpats
av IMY. Bestämmelsen har inte heller, såvitt framkommit, tillämpats av någon domstol
eller någon annan myndighet. Det saknas således praxis kring hur grundlags-
bestämmelsen – som i vissa avseenden förutsätter förhållandevis svåra överväganden
– ska tillämpas. Dessutom har det fram till nyligen förekommit vägledande information
på IMY:s hemsida som har kunnat uppfattas som att IMY inte har någon möjlighet att
ingripa mot webbsidor med utgivningsbevis. Sammantaget innebär detta enligt IMY:s
bedömning att det inte vore proportionerligt att påföra Verifiera en sanktionsavgift för
de konstaterade överträdelserna i det nu aktuella ärendet. Verifiera AB ska därför,
med stöd av artikel 58.2 b i dataskyddsförordningen, i stället ges en reprimand för den
konstaterade överträdelsen.
Offentliggörandet av de känsliga personuppgifterna innebär ett allvarligt
integritetsintrång för de berörda personerna. Verifieras utgivningsbevis medger inte
något undantag från dataskyddsförordningen så länge bolaget fortsätter att
offentliggöra känsliga personuppgifter i en uppgiftssamling som omfattas av 1 kap. 20
§ YGL. Det är angeläget att det säkerställs att detta integritetsintrång upphör. IMY
bedömer därför att det finns skäl att förelägga Verifiera enligt artikel 58.2 d i
dataskyddsförordningen att vidta åtgärder så att det i de tjänster som Verifiera erbjuder
på www.verifiera.se inte längre är möjligt för användare av tjänsterna att vid sökning
på personer med någon av sökparametrarna personnamn, personnummer eller adress
ta del av avgöranden i mål enligt lagen om psykiatrisk tvångsvård eller lagen om vård
av missbrukare i vissa fall som gäller den eftersökta personen. Åtgärderna ska ha
vidtagits senast åtta veckor efter att detta beslut vunnit laga kraft.
______________
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning
av juristen Martin Wetzler. Vid den slutliga handläggningen har även rättschefen David
Törngren, enhetschefen Catharina Fernquist och avdelningsdirektören Hans Kärnlöf
medverkat. Juristen Olle Pettersson har medverkat under handläggningen.
Lena Lindgren Schelin, 2022-09-13 (Det här är en elektronisk signatur)
Integritetsskyddsmyndigheten Diarienummer: IMY-2022-1621 28(28)
Datum: 2022-09-13
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick
del av beslutet. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.