1(15)
Moderata samlingspartiet riksorganisationen
Diarienummer:
IMY-2023-4458 Beslut efter tillsyn enligt
dataskyddsförordningen – Moderata
Datum:
2025-10-22
samlingspartiet Riksorganisationen
Innehåll
Integritetsskyddsmyndighetens beslut ............................................................................2
1 Redogörelse för tillsynsärendet ...................................................................................3
1.1 Bakgrund och avgränsning ............................................................................3
1.2 Vad Moderaterna uppgett ..............................................................................3
1.2.1 Personuppgiftsansvar ......................................................................3
1.2.2 Hur behandlingen har gått till ...........................................................3
1.2.3 Personuppgifterna som behandlats .................................................4
1.2.4 Moderaternas rättsliga grund för behandlingen ...............................5
1.2.5 Informationen till de registrerade ......................................................6
2 Motivering av beslutet ..................................................................................................7
2.1 Personuppgiftsansvar ....................................................................................7
2.1.1 Tillämpliga bestämmelser ................................................................7
2.1.2 IMY:s bedömning .............................................................................7
2.2 Rättslig grund för behandlingen .....................................................................7
2.2.1 Tillämpliga bestämmelser m.m. .......................................................7
2.2.2 IMY:s bedömning .............................................................................8
2.3 Information om behandlingen ......................................................................11
2.3.1 Tillämpliga bestämmelser ..............................................................11
2.3.2 IMY:s bedömning av Moderaternas information om behandlingen 12
Postadress: Kategorier av personuppgifter .................................................................12
Box 8114
104 20 Stockholm Information om mottagare .......................................................................13
Webbplats: Information om lagringsperiod .................................................................14
www.imy.se
3 Val av ingripande ............................................................................................15
E-post:
[email protected] Hur man överklagar ......................................................................................................15
Telefon:
08-657 61 00
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 2(15)
Datum: 2025-10-22
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Moderata samlingspartiet
riksorganisationen, 802001-5452, har brutit mot artikel 6.1 i dataskyddsförordningen1
genom att behandla personuppgifter utan rättslig grund i samband med framställning
och utskick av personliga videohälsningar inför riksdagsvalet 2022.
IMY konstaterar vidare att Moderata samlingspartiet riksorganisationen har brutit mot
artikel 14 i dataskyddsförordningen genom att inte ha gett tillräcklig information om
behandlingen av personuppgifter.
IMY ger Moderata samlingspartiet riksorganisationen en reprimand med stöd av artikel
58.2 b i dataskyddsförordningen för överträdelserna.
1 Redogörelse för tillsynsärendet
1.1 Bakgrund och avgränsning
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Moderata samlingspartiet
riksorganisationen (Moderaterna eller partiet) med anledning av information som
framkommit av ett flertal klagomål från personer som tagit emot utskick av personliga
videohälsningar från partiet inför riksdagsvalet 2022.
I videohälsningarna visades Moderaternas partiledare som talade direkt till mottagaren
och uppmanade mottagaren att rösta på partiet i det kommande valet. I hälsningen
benämndes mottagaren med förnamn. Det övriga innehållet i videohälsningarna
varierade och var bland annat anpassat till mottagarens tidigare relation till partiet,
såsom att mottagaren var medlem i partiet, att mottagaren visat intresse för partiets
kärnfrågor kopplat till en viss politisk kampanj (såsom ”Ja till NATO”) eller om
Moderaterna samlat in mottagarens uppgifter på annan väg, exempelvis genom tips.
Majoriteten av videohälsningarna skickades till mottagarna via sms eller e-post. För
det fall en mottagare av hälsningen var bosatt utanför Sverige gjordes utskicket via
brev, med möjlighet att ta del av en videohälsning genom att avläsa en QR-kod.
IMY har valt att avgränsa prövningen till den behandling av mottagarnas
personuppgifter som skett i samband med framställning och utskick av videohälsningar
till personer som Moderaterna har tipsats om från annan om att de skulle kunna vara
intresserade av en videohälsning samt personer vars personuppgifter inhämtats från
databasen MIA, som tillhandahålls av Marknadsinformation Analys MIA AB (MIA).
IMY:s prövning tar sikte på om Moderaterna har haft rättslig grund enligt artikel 6 i
dataskyddsförordningen för den behandling av mottagarnas personuppgifter som skett
i samband med framställningen och utskicken av de aktuella videohälsningarna.
Prövningen avser även om den information om personuppgiftsbehandlingen som
Moderaterna har lämnat till de registrerade har uppfyllt kraven i artikel 14 i
dataskyddsförordningen.
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 3(15)
Datum: 2025-10-22
1.2 Vad Moderaterna uppgett
Moderaterna har i huvudsak uppgett följande.
1.2.1 Personuppgiftsansvar
Moderaterna är personuppgiftsansvarig för den behandling av personuppgifter som
tillsynsärendet gäller.
1.2.2 Hur behandlingen har gått till
Personuppgifter har samlats på olika sätt, beroende på kategori av registrerad och
vilket tema videohälsningen har haft.
Uppgifter om personer som Moderaterna tipsats om har samlats in genom elektroniska
formulär som andra personer kunnat fylla i för att hänvisa en vän till att få en
videohälsning via sms eller e-post. För vissa personer har personuppgifter i form av
namn och telefonnummer inhämtats från databasen MIA.
Framställning och distribution av videohälsningar har gjorts med hjälp av bolaget
SEEN AS (SEEN eller personuppgiftsbiträdet) i egenskap av personuppgiftsbiträde till
Moderaterna. Moderaterna har lämnat över personuppgifterna till SEEN och all data,
däribland de färdiga videohälsningarna, har lagrats på personuppgiftsbiträdets servrar.
SEEN har i sin tur anlitat underbiträden för utskick och lagring av videohälsningarna.
Underbiträdena har tagit del av personuppgifter så som de färdiga videohälsningarna,
mottagarens e-postadress och standardwebbserverloggar.
Utskicken av videohälsningarna har gjorts genom att de registrerade fick ett e-
postmeddelande eller sms med en för varje mottagare unik länk till en landningssida2
där videohälsningen visats. Om en mottagare klickat på länken har landningssidans
innehåll, videohälsningen, genererats i realtid från en fördefinierad mall för den
aktuella hälsningen.
För att kunna se sin videohälsning har mottagaren även behövt ge sitt godkännande
till Moderaternas behandling av personuppgifter. Om mottagaren har valt att inte
godkänna behandlingen har videohälsningen och mottagarens personuppgifter
raderats från SEEN:s servrar direkt. Videohälsningen och personuppgifterna har även
raderats om mottagaren inte besökte landningssidan inom 30 dagar från att länken
mottogs. När den registrerade har valt att klicka på länken för att visa videohälsningen
har innehållet för videohälsningens landningssida och tillhörande metadata lagrats
tillfälligt i 10 dagar på en server hos ett av underbiträdena. Det har inneburit att
innehållet, och således mottagarens personuppgifter, tillfälligt har lagrats så att
mottagaren har kunnat återbesöka sin videohälsning inom 10 dagar utan att innehållet
behövt genereras på nytt. Inga landningssidor genererades eller lagrades om
mottagaren inte klickade på länken.
De individualiserade webbadresserna till landningssidorna har innehållit
personuppgifter så som uppgift om vilken kampanj filmen handlade om, mottagarens
förnamn och i vissa fall bostadsort. Dessa personuppgifter har inte varit direkt synliga
2 En landningssida är en webbsida som ofta skapas med ett marknadsförings- eller annonseringssyfte och som visas
som svar när besökaren klickar på en för marknadsföringskampanjen unik länk. En landningssida är ofta skapad för
att leda besökarna direkt till den information som är relevant eller unik för dem i stunden, istället för att leda dem till en
generell startsida på en webbplats där informationen finns bland annan information som inte är relevant i
sammanhanget.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 4(15)
Datum: 2025-10-22
för mottagaren, men varit möjliga att nå genom att granska källkoden i webbadressen
till landningssidan.
Moderaterna har totalt skickat ut 980 338 videohälsningar under 2022.3
1.2.3 Personuppgifterna som behandlats
Moderaterna har behandlat följande personuppgifter.
Vid insamling av personuppgifterna
• mottagarens för- och efternamn
• förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall)
• kontaktuppgifter i form av e-post eller telefonnummer
• geografisk plats (för personer som moderaterna tipsats om)
Vid utskick av videohälsningen
• mottagarens förnamn
• förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall)
• e-postadress eller telefonnummer.
Vid visningen av videohälsningen
• mottagarens förnamn
• förnamn på den som tipsat Moderaterna om mottagaren (i aktuella fall)
Varje videohälsnings landningssida innehöll även inbäddade metadata i form av
• mottagarens interna ID i SEEN:s databas
• ID för målsideposten i SEEN:s databas
• URL:en till mottagarens unikt renderade film.
1.2.4 Moderaternas rättsliga grund för behandlingen
Den rättsliga grunden för den aktuella behandlingen av personuppgifter har varit
Moderaternas berättigade intresse av att förse allmänheten med information om
partiets politiska respektive organisatoriska verksamhet. Beträffande personer som
Moderaterna tipsats om från andra har Moderaterna även angett tipsarens berättigade
intresse av att en vän får relevant information om politik denne eventuellt har ett
intresse för.
Moderaterna har uppgett att formen för utskicket varit nödvändig för att nå ut med
informationen till registrerade på ett effektivt sätt. Med hänsyn till att det rör sig om en
videohälsning är det även viktigt att denna kan skickas digitalt. Att använda brev, och
på så vis minimera personuppgifterna ytterligare, innebär förlust i tid och ökade
kostnader för Moderaterna, samt försvårar för mottagaren att ta del av informationen
effektivt då de hade behövt skriva in webbadressen manuellt eller skanna en QR-kod
för att nå videohälsningen. Genom att skicka informationen digitalt har man säkerställt
att videohälsningen inte hamnat i fel händer på grund av felaktig hantering av fysisk
post. Det berättigade intresset kan i ljuset av ovan inte tillgodoses på ett lika effektivt
3 Siffran omfattar samtliga kategorier som mottagit videohälsningar, dvs. även de kategorier som inte omfattas av
IMY:s prövning.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 5(15)
Datum: 2025-10-22
sätt genom att göra på annat sätt eller behandla färre uppgifter. Behandlingen har
därmed varit nödvändig.
Gällande personer som Moderaterna har tipsats om av en annan person menar
Moderaterna att det varit nödvändigt att i aktuella fall behandla uppgifter om dessa
personers intresse i kärnfrågor för att skicka så relevanta videohälsningar som möjligt.
Personuppgifterna har minimerats till att endast omfatta sådana som behövs för
ändamålet och för att kunna generera och skicka ut en videohälsning. Det har inte gått
att härleda uppgifterna till mottagarens intresse av Moderaternas politik eller annan
politisk åsikt.
I intresseavvägningen har Moderaterna även vägt in de tekniska och organisatoriska
säkerhetsåtgärder som partiet vidtagit för att begränsa eventuell påverkan på de
registrerade. Åtgärderna har bland annat varit följande:
• Identifierare: Identifierare för varje videohälsning har utformats genom
slumpmässiga strängar som genererades från slumpmässiga gemener +
versaler + siffror, t.ex. a–z, 0–9, innebärande totalt 916 132 832 unika
kombinationer. Det här är en åtgärd som har vidtagits för att göra det mycket
svårt att gissa sig till eller forcera en webbadress som kan innehålla
personuppgifter.
• Inhämtande av godkännande: I samband med att mottagarna klickade på
länken har de, innan de kunde se sin videohälsning, behövt ge sitt
godkännande till datahanteringen. Godkännandet enligt ovan ska inte ses
som ett samtycke enligt dataskyddsförordningen utan snarare som ett allmänt
godkännande. Detta för att säkerställa att endast personer som aktivt velat ta
del av videohälsningen har fått sina personuppgifter lagrade.
• En-till-en kommunikation: Alla webbadresser har skickats direkt till den
registrerade via sms eller e-post, alltså kanaler som möjliggör ”en-till-en”
kommunikation, för att säkerställa att mottagaren är avsedd mottagare.
• Laddning av landningssida: Inga landningssidor genererades och lagrades om
ingen klickade på länken i sms:et eller e-postmeddelandet, utan genererades
dynamiskt, i syfte att landningssidor endast skulle skapas för personer som
aktivt valt att visa videohälsningarna.
• Transparens: Vid utskick av sms angavs adresskällan för ökad transparens
och möjlighet för de registrerade att åtgärda eventuella felaktigheter direkt hos
källan. Utöver detta angavs även information om hur mottagaren kan
avregistrera sig från framtida sms och vart mottagaren ska vända sig med
frågor om sms:et, där Moderaterna tagit fram en egen undersida på sin
webbplats för att informera om sms:en.
Moderaternas bedömning är således att mottagarnas intresse av att inte få sina
personuppgifter behandlade, samt deras grundläggande fri- och rättigheter, inte har
vägt tyngre än partiets berättigade intresse av att behandla personuppgifterna.
1.2.5 Informationen till de registrerade
Moderaterna har lämnat information om personuppgiftsbehandlingen genom att
hänvisa mottagarna av videohälsningarna till Moderaternas integritetsskyddspolicy,
tillgänglig på bland annat partiets webbplats. Av texten har bland annat framgått att
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 6(15)
Datum: 2025-10-22
Moderaterna stödjer sin behandling på en intresseavvägning, där partiet angett att de
har ett berättigat intresse av att behandla personens personuppgifter för att förse
denne med information om partiets politiska och organisatoriska verksamhet.
Mottagare av videohälsningarna har getts tillgång till informationen på olika sätt
beroende på hur partiet samlat in deras personuppgifter, dvs. vilken kategori av
registrerade de tillhört.
Utöver informationen i integritetsskyddspolicyn har vissa mottagare av
videohälsningarna även fått ytterligare information om behandlingen i det sms som
skickades ut. För de mottagare som Moderaterna tipsats om har sms:et eller e-
postmeddelandet innehållit information om vem som tipsat Moderaterna.
För det fall mottagarens uppgifter inhämtats från den externa databasen innehöll
sms:et som skickades ut information om att deras uppgifter inhämtats därifrån och hur
de kunde avsluta utskicken. Sms:et innehöll också en länk till en undersida på
Moderaternas webbplats med information om hur Moderaterna hanterar
personuppgifter i samband med sms-utskick. Texten såg ut på följande sätt:
”Hej FÖRNAMN, jag har spelat in en personlig videohälsning till dig
https://video.moderaterna.se/v/ovdRz/ Tillsammans kan vi få ordning på Sverige!
Hälsningar Ulf Kristersson Adresskälla: MIA. Skriv MSTOP XX till 7XX XX för att
avregistrera Frågor om ditt sms? moderaterna.se/sms”.
2 Motivering av beslutet
IMY tar inledningsvis ställning till om Moderaterna är personuppgiftsansvarig för den
aktuella behandlingen av personuppgifter. IMY prövar därefter om Moderaterna har
haft rättslig grund för och gett de registrerade tillräcklig information om behandlingen
på det sätt som krävs enligt dataskyddsförordningen.
2.1 Personuppgiftsansvar
2.1.1 Tillämpliga bestämmelser
Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en
fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som
ensamt eller tillsammans med andra bestämmer ändamålen och medlen för
behandlingen av personuppgifter. En aktör kan vara att betrakta som
personuppgiftsansvarig även om den saknar faktisk tillgång till personuppgifterna som
behandlas.4
2.1.2 IMY:s bedömning
Moderaterna har uppgett att partiet är personuppgiftsansvarig för den
personuppgiftsbehandling som tillsynen gäller. Av utredningen har framkommit att
Moderaterna bestämt hur personuppgifterna ska behandlas och för vilka ändamål. IMY
bedömer därför att Moderaterna är personuppgiftsansvarig för den aktuella
behandlingen av personuppgifter.
4 Se Europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer Guidelines 07/2020 on the concepts of controller and
processor in the GDPR, punkt 45 och EU-domstolens dom av den 5 juni 2018, Wirtschaftsakademie, C-210/16,
EU:C:2018:388, punkt 38 och 39.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 7(15)
Datum: 2025-10-22
2.2 Rättslig grund för behandlingen
2.2.1 Tillämpliga bestämmelser m.m.
I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är
det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i
dataskyddsförordningen följs, däribland att behandlingen är laglig.
För att en personuppgiftsbehandling ska vara laglig krävs att åtminstone ett av
villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt. Dessa villkor brukar
benämnas rättsliga grunder.
För att en behandling ska kunna stödja sig på den rättsliga grunden berättigat intresse
(även kallad intresseavvägning) i artikel 6.1 f i dataskyddsförordningen krävs att tre
villkor är uppfyllda. För det första ska det finnas ett eller flera berättigade intressen för
den personuppgiftsansvarige eller tredje part. För det andra ska personuppgifts-
behandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje
krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger
tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse
(intresseavvägning).5
Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med
vare sig EU-rätt eller nationell rätt.6 Vidare ska intresset vara klart och tydligt
formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen
och inte är hypotetiskt.7 För att strävan efter att ett sådant berättigat intresse ska
kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste
den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsför-
ordningen.8
Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det
berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra
medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i
synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt
artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna.
Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset,
EU-domstolen har också angett att behandlingen måste vara strängt nödvändig.9
Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering
enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som
behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är
nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de
senare behandlas.10
Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av
de konkreta omständigheterna i det aktuella fallet.11 Den personuppgiftsansvarige ska
5 Se bland annat EU-domstolens dom av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 28, EU-
domstolens dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064,
punkt 40, av den 17 juni 2021, M.I.C.M., C-597/19, EU:C:2020:1063, punkt 106 och av den 4 juli 2023, Meta
Platforms m.fl., C-252/21, EU:C:2023:537, punkt 106.
6 Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857,
punkt 49.
7 Se Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, punkt 44.
8 Se Koninklijke Nederlandse Lawn Tennisbond, C-621/22, punkt 50.
9 Se Meta Platforms m.fl., C-252/21, punkt 126 och EDPB:s riktlinjer 1/2024, punkterna 28 och 29. Observera att
riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet.
10 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, punkterna 47 och 48 och Meta Platforms m.fl.,
C-252/21, punkterna 108 och 109.
11 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, punkterna 52–58.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 8(15)
Datum: 2025-10-22
vid avvägningen identifiera och beakta den registrerades intressen samt rättigheter
och friheter, behandlingens påverkan på den registrerade och huruvida den
registrerade rimligen kan förvänta sig behandling för det aktuella ändamålet. Vid
bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna
som behandlas, om det rör sig om känsliga personuppgifter, behandlingens
sammanhang och övriga konsekvenser. Utifrån dessa omständigheter ska en
avvägning göras av motstående rättigheter och intressen, som ska inkludera
möjligheten till ytterligare förmildrande åtgärder som går utöver vad den
personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskydds-
förordningen.12
För det fall behandlingen sker för ändamål som rör personligt riktad reklam ska i
bedömningen även vägas in att det berättigade intresset av att behandla uppgifterna
för sådana ändamål inte under några omständigheter kan anses väga tyngre om det
finns en risk för att den registrerades grundläggande fri- och rättigheter påverkas
negativt.13
2.2.2 IMY:s bedömning
Berättigat intresse
Moderaternas intresse av att informera om partiets politiska verksamhet har varit
lagligt, verkligt och faktiskt vid tidpunkten för behandlingen. IMY konstaterar därför att
Moderaterna har haft ett berättigat intresse i den mening som avses i artikel 6.1 f i
dataskyddsförordningen.
IMY bedömer dock att tipsarens intresse av att en vän ska få information om politik
som denne kan vara intresserad av inte utgör ett sådant berättigat intresse för tredje
part som kan ligga till grund för behandling med stöd av artikel 6.1 f i
dataskyddsförordningen. Detta intresse kommer därför inte ligga till grund för den
fortsatta bedömningen.
Nödvändighet
Den behandling som krävts för att framställa och skicka ut de personliga
videohälsningarna har omfattat uppgifter om bland annat förnamn, bostadsort, e-
postadress och telefonnummer. Framställningen av de personligt anpassade
videohälsningarna har innefattat flera olika behandlingsmoment, bland annat i form av
att personuppgifterna överförts till samt lagrats och bearbetats av ett
personuppgiftsbiträde. Om en mottagare klickat på länken har uppgifterna därefter
använts för att generera och visa den personliga filmen, vilket medfört att ytterligare
personuppgifter i form av metadata om mottagarens videohälsning skapats.
Personuppgifterna har, utöver den tid de behandlats innan utskicken gjordes, i många
fall lagrats under en längre tid än 30 dagar efter att utskicken till mottagarna skett.
I det aktuella fallet har behandlingen av de registrerades personuppgifter varit
omfattande, bland annat sett till att det skett en omfattande bearbetning av
personuppgifterna och att uppgifterna lagrats under en längre tid i syfte att göra ett
enstaka utskick av information. IMY bedömer därför att Moderaterna inte har visat att
syftet att nå ut med informationen inte rimligtvis hade kunnat uppnås på ett lika
effektivt sätt med hjälp av mindre omfattande behandling av personuppgifter. Det
12 Se EDPB:s riktlinjer 1/2024, punkterna 32–34.
13 Se Mousse, C-394/23, punkt 60.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 9(15)
Datum: 2025-10-22
innebär att behandlingen av personuppgifter i syfte att framställa och skicka ut
personligt anpassade videohälsningar inte har varit nödvändig.
Intresseavvägning
Redan av ovannämnda skäl bedömer IMY att Moderaterna saknat rättslig grund för
behandlingen. Oaktat detta prövar IMY det tredje villkoret, dvs. om de registrerades
intressen eller grundläggande fri- och rättigheter väger tyngre än den
personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).
IMY konstaterar att utskick av ett politiskt meddelande som riktas direkt till en enskild
via sms eller e-post utan att personen själv efterfrågat sådan information är
påträngande. I marknadsföringslagen har det införts ett särskilt starkt integritetsskydd
vid utskick av obeställd reklam via sms eller e-post. Skyddet innebär att sådana
utskick som huvudregel bara är tillåtna om samtycke har inhämtats på förhand. Det
primära syftet med regleringen är att skydda konsumenter mot särskilt påträngande
obeställd reklam.14 Marknadsföringslagen är visserligen inte tillämplig vid politisk
marknadsföring, men lagstiftarens ställningstagande kring behovet av särskilt
integritetsskydd visar att de registrerades intressen väger tungt vid obeställda utskick
av reklam via sms och e-post.
Enligt IMY innebär detta att utrymmet för att använda sms och e-post för politisk
reklam till den som inte är medlem eller aktivt har visat intresse för informationen är
ytterst begränsat. Det gäller i synnerhet i ett fall som detta där ett parti använt sig av
en personligt anpassad videohälsning där partiledaren direkt tilltalar den registrerade
vid förnamn och informerar om sitt politiska budskap. Ett sådant tilltal måste anses
som särskilt påträngande. Mot denna bakgrund samt med beaktande av att de
registrerade inte själva har lämnat sina personuppgifter eller haft en tidigare relation till
partiet, anser IMY att behandlingen inte kan anses ha legat inom ramen för de
registrerades rimliga förväntningar.
I relevanta fall har mottagaren visserligen fått information om vem som har tipsat
Moderaterna om honom eller henne tillsammans med en länk till
integritetsskyddspolicyn och på så vis fått kännedom om att partiet behandlar dennes
personuppgifter. Att den personuppgiftsansvarige lämnat information i enlighet med
regleringen i dataskyddsförordningen är dock inte tillräckligt för att den registrerade
rimligen ska förvänta sig en viss behandling.15 Vid bedömningen av de registrerades
intressen har IMY även beaktat att det av informationen i integritetspolicyn dessutom
inte har framgått hur partiet behandlar personuppgifter om personer som inte själva
visat intresse för partiet, vilket närmare utvecklas i avsnitt 2.3 av beslutet. De
registrerade har således inte kunnat läsa sig till och förstå vilka personuppgifter om
dem som behandlats i sammanhanget och hur behandlingen har gått till.
I intresseavvägningen har Moderaterna vägt in de skyddsåtgärder partiet har vidtagit
för att begränsa intrånget i de registrerades personliga integritet, så som inhämtande
av godkännande i samband med visningen av videohälsningen. IMY konstaterar att ett
sådant godkännande i viss mån kan betraktas som en integritetshöjande åtgärd. Det
kan dock konstateras att godkännandet efterfrågats först efter att personuppgifter
redan behandlats i syfte att förbereda och genomföra utskicket och endast om
mottagaren valt att klicka på den länk som skickats ut. Övriga säkerhetsåtgärder, så
14 Se 19 § marknadsföringslagen (2008:486) och Levin, Marknadsföringslagen (1942:740) 19 §, Lexino 2025-08-25
(JUNO).
15 Se EDPB:s riktlinjer 1/2024, punkt 53.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 10(15)
Datum: 2025-10-22
som tekniska säkerhetsåtgärder och information i sms-utskick om adresskällan, utgör
sådana åtgärder som ligger inom ramen för de skyldigheter som åligger den
personuppgiftsansvarige enligt bland annat artiklarna 14 och 32 i
dataskyddsförordningen. Åtgärderna ska därmed inte betraktas som sådana ytterligare
skyddsåtgärder som ska vägas in i intresseavvägningen.16
Vid en sammantagen bedömning finner IMY att de registrerades intressen och grund-
läggande rättigheter och friheter väger tyngre än Moderaternas intresse av att nå ut
med informationen på det aktuella sättet. Därmed är inte det inte heller visat att det
tredje villkoret i artikel 6.1 f är uppfyllt.
Sammanfattande bedömning
Sammanfattningsvis bedömer IMY att Moderaterna inte har kunnat grunda den
aktuella behandlingen av personuppgifter på artikel 6.1 f i dataskyddsförordningen. Det
har inte heller framkommit att Moderaterna haft stöd för behandlingen i någon av de
andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Partiet har därmed
behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen i samband
med framställning och utskick av personliga videohälsningar inför riksdagsvalet 2022.
2.3 Information om behandlingen
Moderaterna har redogjort för hur de har informerat respektive grupp av registrerade
om personuppgiftsbehandlingen och angett följande avseende de grupper som
omfattas av IMY:s prövning.
Personer som Moderaterna tipsats om
De registrerade har tagit emot videohälsningen via sms eller e-post, beroende på vad
den som tipsat Moderaterna valt. I textmeddelandet har de informerats om att
Moderaterna var avsändare och att information om Moderaternas
personuppgiftsbehandling bland annat fanns tillgänglig på Moderaternas webbplats.
Textmeddelandet har även innehållit en länk till integritetsskyddspolicyn.
Textmeddelandet har även innehållit förnamnet på den person som tipsat partiet om
mottagaren och hur mottagaren kunde avsluta utskicken.
Personer vars uppgifter inhämtats från MIA
Samtliga personer i denna kategori har tagit emot videohälsningar genom sms-utskick.
I textmeddelandet har mottagaren informerats om att Moderaterna var avsändare och
att personuppgifterna inhämtats från MIA. Sms-meddelandet har även innehållit en
länk till Moderaternas webbplats, där mottagaren har kunnat nå
integritetsskyddspolicyn.
2.3.1 Tillämpliga bestämmelser
Av artikel 14 i dataskyddsförordningen framgår vilken information som den
personuppgiftsansvarige ska ge den registrerade vid behandling av personuppgifter
som inte tillhandahållits av den registrerade själv. Den personuppgiftsansvarige ska
bland annat informera om identitet och kontaktuppgifter för den
personuppgiftsansvarige, ändamålen med behandlingen, information om den period
16 Se EDPB:s riktlinjer 1/2024, punkt 57.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 11(15)
Datum: 2025-10-22
under vilken personuppgifterna kommer att lagras och om de eventuella mottagarna
eller de kategorier av mottagare som ska ta del av personuppgifterna samt de
kategorier av personuppgifter som behandlingen gäller.
Av skäl 39 till dataskyddsförordningen följer att varje behandling av personuppgifter
måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur
personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt
behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att
behandlas. Öppenhetsprincipen kräver att all information och kommunikation i
samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig
samt att ett klart och tydligt språk används. Den principen gäller framför allt
informationen till registrerade om den personuppgiftsansvariges identitet och syftet
med behandlingen samt ytterligare information för att sörja för en rättvis och öppen
behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och
meddelande om vilka personuppgifter rörande dem som behandlas. Fysiska personer
bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med
behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med
avseende på behandlingen.
Av skäl 60 följer att principerna om rättvis och öppen behandling fordrar att den
registrerade informeras om att behandling sker och syftet med den. Den
personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som
krävs för att säkerställa en rättvis och öppen behandling, med beaktande av
personuppgiftsbehandlingens specifika omständigheter och sammanhang.
Artikel 29-gruppen, som numera ersatts av den Europeiska dataskyddsstyrelsen
(EDPB), har tagit fram riktlinjer om öppenhet, WP260 rev. 01 (WP260). Av WP260
framgår bland annat att en central del av principen om öppenhet är att den
registrerade ska ha möjlighet att förutse vad omfattningen och konsekvenserna av
behandlingen innebär och att den registrerade inte i ett senare skede blir överraskad
av hur dennes personuppgifter har hanterats.17
Beträffande lagringstiden för personuppgifterna framgår av nämnda riktlinjer att den:
[…] bör anges på ett sådant sätt att den registrerade, utifrån sin egen situation, kan
bedöma lagringstiden för särskilda uppgifter/ändamål. Det räcker inte att den
personuppgiftsansvarige generellt anger att personuppgifterna bevaras så länge som
är nödvändigt för de berättigade ändamålen med behandlingen. I relevanta fall bör
olika lagringstider anges för olika kategorier av personuppgifter och/eller olika
behandlingsändamål, inklusive arkiveringstid i lämpliga fall.18
Beträffande information om mottagare av personuppgifter framgår av WP260 att
mottagare av personuppgifter ska tolkas utifrån definitionen i artikel 4.9 i
dataskyddsförordningen. Av riktlinjerna förtydligas att en mottagare inte behöver vara
en tredje part. Vidare förtydligas att de faktiska mottagarna generellt sett bör nämnas
med namn, så att den registrerade vet exakt vem som har deras personuppgifter.
Detta i linje med rättviseprincipen. Om den personuppgiftsansvarige istället informerar
om kategorierna av mottagare ska informationen göras så specifik som möjligt genom
17 Artikel 29-gruppens riktlinjer 2016/679 om öppenhet, s. 7.
18 Se Artikel 29-gruppens riktlinjer 2016/679 om öppenhet, s. 40.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 12(15)
Datum: 2025-10-22
att ange typen av mottagare, exempelvis genom att hänvisa till vilka olika aktiviteter
mottagaren utför, inom vilken sektor eller mottagarens geografiska plats.19
2.3.2 IMY:s bedömning av Moderaternas information om behandlingen
Kategorier av personuppgifter
Enligt artikel 14.1 d ska den personuppgiftsansvarige lämna information om de
kategorier av personuppgifter som behandlingen gäller. Informationen krävs eftersom
de registrerade i det fallet inte känner till vilka kategorier av personuppgifter den
personuppgiftsansvarige har erhållit.20
Moderaterna har ombetts att särskilt ange vilka avsnitt i informationen som är
relevanta för personuppgiftsbehandlingen i samband med framställningen och utskick
av de personliga videohälsningarna och har hänvisat till avsnitt 2 och 4
integritetsskyddspolicyn.
I avsnitt 2 i integritetsskyddspolicyn förekommer information om i vilka situationer
Moderaterna behandlar personuppgifter. Avsnittet har rubriken Hur och varför
behandlar vi dina personuppgifter? Av avsnittets andra och tredje stycke framgår att
Moderaterna behandlar information om medlemskap i Moderata samlingspartiet. I
avsnittets fjärde stycke beskrivs hur Moderaterna behandlar om gruppen intressenter.
Av fjärde stycket framgår att partiet … behandlar i vissa fall personuppgifter, främst
kontaktuppgifter såsom namn, adress, telefonnummer och e-postadress, om personer
som inte är eller ännu har blivit medlemmar men som lämnat sådana uppgifter till oss
eller annars visat intresse för partiets verksamhet eller deltagit i partiets verksamhet
(exempelvis genom deltagande vid våra arrangemang eller möten).
Avsnitt 4 har rubriken Vad ska uppgifterna användas till? I avsnittet anger
Moderaternas ändamål med behandlingen. Ett av ändamålen är Kontakt med
medlemmar och intressenter. Det framgår att den behandling som utförs för ändamålet
bland annat är Utskick av information, insamlingsbrev … Utskick av elektroniska
nyhetsbrev Marknadsföring i annonsnätverk och sociala kanaler…. Det framgår vidare
att de personuppgifter som behandlas för ändamålet är uppgifter om För- och
efternamn, adressuppgifter, e-postadress (nyhetsbrev), id-nummer/cookies/, ip-
adresser från respektive annons- och social plattform.
IMY anser att det inte framgår tillräckligt tydligt av informationen i
integritetsskyddspolicyn att personuppgiftsbehandlingen även kan gälla registrerade
som inte tillhör grupperna medlemmar eller intressenter. Informationen ger enligt IMY
intrycket att de personuppgifter som partiet angett att de behandlar endast gäller
registrerade som själva visat intresse för partiet eller deltagit i partiets verksamhet.
Det går inte att utläsa av integritetsskyddspolicyn att partiet behandlat eller kan komma
att samla in telefonnummer från externa källor.
Även om sms- och e-postutskicken har innehållit information om källan till
personuppgifterna (MIA eller tips från enskilda) har utskicken inte innehållit information
om vilka uppgifter som har inhämtats från den angivna källan. IMY bedömer därmed
19 Se Artikel 29-gruppens riktlinjer om öppenhet enligt förordning (EU) 2016/673, s. 37.
20 Se Artikel 29 gruppens riktlinjer 2016/679 om öppenhet, s. 38.
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 13(15)
Datum: 2025-10-22
att de registrerade inte kan anses ha fått tillräckligt tydlig information om vilka
kategorier av personuppgifter som behandlas om dem.
Sammantaget bedömer IMY att Moderaterna inte har informerat om
personuppgiftsbehandlingen enligt vad som krävs enligt artikel 14.1 d i
dataskyddsförordningen.
Information om mottagare
Enligt artikel 14.1 e i dataskyddsförordningen ska information lämnas om mottagarna
eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande
fall.
Avsnitt 6 i integritetsskyddspolicyn har rubriken Vilka kan få tillgång till dina
personuppgifter? Av avsnittet följer Dina personuppgifter kan komma att lämnas ut för
behandling till Moderata Samlingspartiets IT-leverantörer såsom system- och
driftleverantörer samt till förbund, partikretsar och partiföreningar, i vissa fall även
utanför Sverige för att kunna administrera medlemskap eller begäran om information
eller för att i övrigt kunna fullfölja åtaganden gentemot den registrerade.
Av utredningen i ärendet framgår att Moderaterna har lämnat ut personuppgifter till
personuppgiftsbiträdet SEEN. IMY konstaterar dock att vare sig personuppgiftsbiträdet
eller involverade underbiträden nämns med namn i integritetsskyddspolicyn. Det
saknas vidare stöd för att de registrerade på någon annan väg fått någon information
om att personuppgifterna kommer att lämnas ut eller har lämnats ut till
personuppgiftsbiträdet eller underbiträdena.
IMY anser att den information som Moderaterna lämnat inte är tillräckligt specifik för att
de aktuella grupperna av registrerade har kunnat förstå att Moderaterna kommer att
lämna ut eller har lämnat ut personuppgifterna till personuppgiftsbiträdet och dess
underbiträden. IMY bedömer därmed att den information som Moderaterna har lämnat
om mottagarna av personuppgifterna inte uppfyller kraven i artikel 14.1 e i
dataskyddsförordningen.
Information om lagringsperiod
Enligt artikel 14.2 a ska den personuppgiftsansvarige lämna information om den period
under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de
kriterier som används för att fastställa denna period.
Under avsnitt 4 i integritetsskyddspolicyn anges under titeln Hur länge sparar vi dina
personuppgifter? att Kontaktuppgifter till medlemmar behandlas under den tid du är
aktiv eller registrerad medlem i partiet. Prenumeranter på elektroniska nyhetsbrev kan
när som helst avsluta sin prenumeration på nyhetsbrevet via en länk längst ned i våra
utskick. Vi raderar personuppgifterna vid sådan avanmälan. För marknadsföring i
annonsnätverk och sociala kanaler sparas data enligt respektive nätverks inställningar,
normalt sett upp till ett år, eller kortare om du själv i inställningar väljer att avanmäla
dig.
IMY konstaterar att integritetsskyddspolicyn inte har innehållit någon information om
hur länge uppgifterna har lagrats i samband med skapandet och utskicket av
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 14(15)
Datum: 2025-10-22
videohälsningarna. Informationen har inte innehållit någon övrig tidsangivelse för
lagring av personuppgifter i samband med den aktuella behandlingen. De situationer
som omnämns under rubriken Hur länge sparar vi dina personuppgifter, går inte att
likställa med behandlingen i samband med framställningen av videohälsningarna och
de tidsangivelser som anges där är därmed inte relevanta i sammanhanget.
Utredningen har inte heller visat att de registrerade fått information om lagringstiden på
något annat sätt. IMY konstaterar därmed att Moderaterna inte har informerat om
lagringstiden för personuppgifterna eller kriterier som kan användas för att fastställa
denna period på ett sådant sätt att de registrerade kan förstå hur länge de aktuella
uppgifterna har lagrats.
IMY bedömer därmed att Moderaterna inte har lämnat information till de registrerade
om lagringstiden av personuppgifterna enligt vad som krävs enligt artikel 14.2 a i
dataskyddsförordningen.
Sammanfattande bedömning av Moderaternas information om behandlingen
Sammanfattningsvis bedömer IMY att Moderaterna har brutit mot artikel 14 i
dataskyddsförordningen genom att inte ha gett tillräcklig information om behandlingen
av personuppgifter.
3 Val av ingripande
Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har
befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för
överträdelser av artiklarna 6 och 14 i förordningen. Beroende på omständigheterna i
det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för
de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud.
Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om
administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens
storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i
skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel
58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom
överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av
relevans.
IMY har bedömt att Moderaterna har saknat rättslig grund för den behandling av
personuppgifter som prövningen gäller. Vidare har Moderaterna inte informerat de
registrerade om behandlingen på det sätt som krävs enligt dataskyddsförordningen.
Vid en samlad bedömning, där hänsyn bland annat tas till att uppgifterna har
behandlats vid ett tillfälle och således inte varit av systematisk karaktär, anser IMY att
det är fråga om en mindre överträdelse i den mening som avses i skäl 148 i
dataskyddsförordningen. IMY ger därför Moderaterna en reprimand för överträdelsen.
__________________________
Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av
juristen Sofia Standar. Vid den slutliga handläggningen av ärendet har även
rättschefen David Törngren, enhetschefen Catharina Fernquist, rådgivaren Victor
Hagstedt och avdelningsjuristen Maja Welander medverkat.
Eric Leijonram
Integritetsskyddsmyndigheten Diarienummer: IMY-2023-4458 15(15)
Datum: 2025-10-22
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder
det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då
beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare
till Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.