1(7)
KLAGANDEN
Se bilaga
TILLSYNSOBJEKT
Sverigedemokraterna
Diarienummer:
IMY-2024-7737 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen –
2025-10-22
Sverigedemokraterna
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten (IMY) konstaterar att Sverigedemokraterna (802018-
1791) har brutit mot artikel 6.1 i dataskyddsförordningen1 genom att behandla
klagandens personuppgifter utan rättslig grund.
IMY konstaterar att Sverigedemokraterna även har brutit mot artiklarna 12.2 och 14 i
dataskyddsförordningen genom att inte underlätta för klaganden att utöva sina
rättigheter och inte tillhandahålla tillräcklig information om behandlingen av klagandens
personuppgifter.
IMY ger Sverigedemokraterna en reprimand med stöd av artikel 58.2 b i dataskydds-
förordningen för överträdelserna.
Redogörelse för tillsynsärendet
IMY har inlett tillsyn mot Sverigedemokraterna i syfte att utreda ett klagomål. Av
klagomålet framgår i huvudsak följande. Klaganden har tagit emot ett sms från
Sverigedemokraterna med uppmaning om att rösta på partiet i valet till
Europaparlamentet 2024. Klaganden har inte lämnat ut sina personuppgifter till
Sverigedemokraterna eller någon organisation med koppling till partiet. Det har inte
varit möjligt att avanmäla sig från utskicket eller att kontakta Sverigedemokraterna
eftersom avsändarens uppgifter varit dolda.
IMY:s granskning i ärendet gäller om Sverigedemokraterna har haft rättslig grund för
behandlingen av klagandens personuppgifter vid utskick av det aktuella meddelandet
och om partiet gett klaganden tillräcklig information om behandlingen och klagandens
rättigheter enligt dataskyddsförordningen.
Postadress:
Box 8114 Sverigedemokraterna har i huvudsak uppgett följande. Sverigedemokraterna är inte
104 20 Stockholm personuppgiftsansvarig för den behandling av personuppgifter som klagomålet gäller.
Webbplats: Sverigedemokraterna har inte lagrat klagandens personuppgifter utan har anlitat ett
www.imy.se externt företag för att göra sms-utskicket. Partiet har bestämt innehållet i meddelandet
E-post:
[email protected] 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
Telefon: avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
08-657 61 00 direktiv 95/46/EG (allmän dataskyddsförordning).
Page 1 of 7
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-7737 2(7)
Datum: 2025-10-22
och att det skulle skickas till röstberättigade personer inom vissa postnummerområden
och valkretsar där partiet har lågt sympatistöd, enligt bland annat information om
valresultat som inhämtats från Valmyndigheten. Det företag som Sverigedemokraterna
anlitat har i sin tur inhämtat telefonnummer som tillhör personer som bor inom dessa
områden från en extern aktör som hämtar uppgifter från bland annat Skatteverket och
operatörer. Personuppgifterna har lagrats av det anlitade företaget och raderats så
snart kampanjen avslutats.
Partiet har vidare uppgett att den rättsliga grunden för behandlingen av klagandens
personuppgifter är Sverigedemokraternas berättigade intresse av att sprida
information om sin politik och verksamhet, till röstberättigade inom aktuella postorter,
inför EU-valet 2024. Utskicket har begränsats till att avse röstberättigade personer.
Partiet har valt att skicka sms för att nå ut med kortfattad information på ett så snabbt
och effektivt sätt som möjligt. I anslutning till allmänna val är det nödvändigt för att
information ska nå mottagarna, då det är en särskilt informationsintensiv period med
mycket samhällsinformation som sprids i offentligheten. Det har därför varit nödvändigt
att behandla personuppgifterna för att uppnå syftet med kampanjen.
Sverigedemokraterna anser att det bör ligga i väljarnas rimliga förväntningar att
kontaktas med samhällsinformation från politiska partier i anslutning till allmänna val.
Av sms:et framgick tydligt att Sverigedemokraterna var avsändare av informationen.
Därutöver har partiet begränsat sig till att använda telefonnummer från allmänt
tillgängliga källor. Telefonnumren har inte kopplats till någon annan känslig information
om de registrerade och har sparats under en mycket begränsad tid. Intrånget i
mottagarnas integritet är därför högst begränsat. Vid framtida utskick av denna
karaktär kommer det ges en tydligare hänvisning till Sverigedemokraternas hemsida i
sms:et, där det finns mer information om hur partiet behandlar personuppgifter och de
registrerades rättigheter. Sverigedemokraterna har en funktion för att spärra
registrerade som inte vill ta emot några utskick från partiet och utskicken har inte gjorts
till någon av dessa personer. Därmed tillgodoser partiet de registrerades rättigheter
enligt dataskyddsförordningen. Sammantaget bedömer Sverigedemokraterna att
partiets berättigade intresse av att genomföra den aktuella behandlingen väger tyngre
än de registrerades fri- och rättigheter.
Klaganden har fått tillfälle att yttra sig över Sverigedemokraternas redogörelse men
har inte återkommit.
Motivering av beslutet
IMY ska inledningsvis ta ställning till om Sverigedemokraterna är personuppgifts-
ansvarig för den behandling av personuppgifter som klagomålet gäller. IMY prövar
därefter om Sverigedemokraterna haft rättslig grund för den aktuella behandlingen av
personuppgifter och om partiet gett klaganden tillräcklig information om behandlingen
och klagandens rättigheter enligt dataskyddsförordningen.
Personuppgiftsansvar
Tillämpliga bestämmelser
Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en
fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som
ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behand-
Page 2 of 7
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-7737 3(7)
Datum: 2025-10-22
lingen av personuppgifter. En aktör kan vara att betrakta som personuppgiftsansvarig
även om den saknar faktiskt tillgång till personuppgifterna som behandlas.2
IMY:s bedömning
Sverigedemokraterna har uppgett att partiet inte är personuppgiftsansvarig för den
personuppgiftsbehandling som klagomålet gäller.
Av utredningen i ärendet framgår att Sverigedemokraterna anlitat ett externt företag för
att skicka ut sms i syfte att sprida information om partiets politik inför EU-valet.
Sverigedemokraterna har bestämt hur och varför meddelandet skulle skickas, vilket
innehåll det skulle ha och urvalet av mottagare. Sverigedemokraterna har därmed
bestämt hur behandlingen ska gå till och för vilket ändamål personuppgifterna ska
behandlas. IMY bedömer därför att Sverigedemokraterna, trots att partiet inte haft
faktisk tillgång till personuppgifterna som behandlats, är personuppgiftsansvarig för
den behandling som klagomålet gäller.
Rättslig grund för behandlingen
Tillämpliga bestämmelser m.m.
I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är
det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i
dataskyddsförordningen följs, däribland att behandlingen är laglig.
För att en personuppgiftsbehandling ska vara laglig krävs att den har stöd i någon av
de rättsliga grunderna i dataskyddsförordningen vilket innebär att åtminstone ett av
villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt.
För att en behandling ska kunna stödja sig på den rättsliga grunden intresseavvägning
(även kallad berättigat intresse) i artikel 6.1 f i dataskyddsförordningen krävs att tre
villkor är uppfyllda. För det första ska det finnas ett berättigat intresse för den
personuppgiftsansvarige eller tredje part. För det andra ska personuppgifts-
behandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje
krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger
tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse
(intresseavvägning).3
Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med
vare sig EU-rätt eller nationell rätt.4 Vidare ska intresset vara klart och tydligt
formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen
och inte är hypotetiskt.5 För att strävan efter ett sådant berättigat intresse ska kunna
möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste den
personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsför-
ordningen.6
2 Se Europeiska dataskyddsstyrelsen EDPB:s riktlinjer Guidelines 07/2020 on the concepts of controller and
processor in the GDPR, punkt 45 och EU-domstolens dom av den 5 juni 2018, Wirtschaftsakademie, C-210/16,
ECLI:EU:C:2018:388, punkt 38.
3 Se bland annat EU-domstolens domar av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 28, av
den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, punkt 40, av den 17
juni 2021, M.I.C.M., C-597/19, EU:C:2020:1063, punkt 106 och av den 4 juli 2023, Meta Platforms m.fl., C-252/21,
EU:C:2023:537, punkt 106.
4 Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857,
punkt 49.
5 Se Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, punkt 44.
6 Se Koninklijke Nederlandse Lawn Tennisbond, C-621/22, punkt 50.
Page 3 of 7
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-7737 4(7)
Datum: 2025-10-22
Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det
berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra
medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i
synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt
artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna.
Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset,
EU-domstolen har också angett att behandlingen måste vara strängt nödvändig.7
Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering
enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som
behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är
nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de
senare behandlas.8
Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av
de konkreta omständigheterna i det aktuella fallet.9 Den personuppgiftsansvarige ska
identifiera och beakta den registrerades intressen samt rättigheter och friheter,
behandlingens påverkan på den registrerade och huruvida den registrerade rimligen
kunde förvänta sig behandling för det aktuella ändamålet. Vid bedömningen av
behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna som behandlas
samt behandlingens sammanhang och övriga konsekvenser av denna. Utifrån dessa
omständigheter ska en avvägning göras av motstående rättigheter och intressen, som
ska inkludera möjligheten till ytterligare förmildrande åtgärder som går utöver vad den
personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskydds-
förordningen.10
IMY:s bedömning
Sverigedemokraterna har uppgett att behandlingen av klagandens personuppgifter har
varit laglig eftersom partiet har haft ett berättigat intresse att informera om partiets
politik och verksamhet inför EU-valet 2024.
IMY ska därför ta ställning till om samtliga tre villkor för behandling av personuppgifter
med stöd av den rättsliga grunden berättigat intresse är uppfyllda.
Sverigedemokraternas intresse av att sprida information om sin politik till
röstberättigade inför ett kommande allmänt val är lagenligt, verkligt och faktiskt. IMY
konstaterar därför att det aktuella intresset är ett berättigat intresse i den mening som
avses i artikel 6.1 f i dataskyddsförordningen.
För att behandlingen ska vara laglig krävs det även att den är nödvändig för att
tillgodose det berättigade intresset. Nödvändighetsrekvisitet ska, som nämnts, prövas
tillsammans med principen om uppgiftsminimering. Den aktuella personuppgifts-
behandlingen har varit begränsad vad avser mängden personuppgifter om klaganden,
telefonnummer och postnummer, och uppgifterna har raderats direkt efter att
kampanjen har genomförts. IMY bedömer att det inte framkommit att syftet rimligtvis
hade kunnat tillgodoses på ett lika effektivt sätt genom alternativa kommunikations-
vägar som inneburit att färre personuppgifter behövt behandlas. Mot den bakgrunden
7 Se Meta Platforms m.fl., C-252/21, punkt 126 och EDPB:s riktlinjer 1/2024, punkterna 28 och 29. Observera att
riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet.
8 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, punkterna 47 och 48 och Meta Platforms m.fl.,
C-252/21, punkterna 108 och 109.
9 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, punkterna 52–58.
10 Se EDPB:s riktlinjer 1/2024, punkt 32–34.
Page 4 of 7
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-7737 5(7)
Datum: 2025-10-22
finner IMY att behandlingen av klagandens personuppgifter skulle kunna anses
nödvändig för det uppgivna ändamålet.
Vad gäller det tredje villkoret ska utgångspunkten vid en intresseavvägning vara
klagandens intressen och fundamentala rättigheter som framförallt avser respekt för
privatlivet och rätten till skydd för personuppgifter i det aktuella fallet.
Som redan konstaterats omfattar behandlingen en begränsad mängd personuppgifter
som behandlats under en kort tid i syfte att göra ett utskick vid ett tillfälle.
IMY konstaterar dock att utskick av ett politiskt meddelande som riktas direkt till en
enskild via sms utan att personen själv efterfrågat sådan information kan uppfattas
som påträngande. I marknadsföringslagen har det införts ett särskilt starkt
integritetsskydd vid utskick av obeställd reklam via sms eller e-post. Skyddet innebär
att sådana utskick som huvudregel bara är tillåtna om samtycke har inhämtats på
förhand. Det primära syftet med regleringen är att skydda konsumenter mot särskilt
påträngande obeställd reklam.11 Marknadsföringslagen är visserligen inte tillämplig vid
politisk marknadsföring, men lagstiftarens ställningstagande kring behovet av särskilt
integritetsskydd visar att de registrerades intressen väger tungt vid obeställda utskick
av reklam via sms och e-post.
Enligt IMY innebär detta att utrymmet för att använda sms för politisk reklam till den
som inte är medlem eller aktivt har visat intresse för informationen är ytterst begränsat.
Mot denna bakgrund samt med beaktande av att klaganden inte själv har lämnat sina
personuppgifter eller haft en tidigare relation till partiet, anser IMY att behandlingen
inte kan anses ha legat inom ramen för klagandens rimliga förväntningar.
Vid bedömningen av klagandens intressen har IMY även beaktat att det aktuella
meddelandet inte innehållit någon information om behandlingen av klagandens
personuppgifter. Klaganden har därmed inte kunnat bilda sig en uppfattning om vilka
personuppgifter som behandlats och hur behandlingen gått till. Klaganden har inte
heller informerats om sina rättigheter enligt dataskyddsförordningen eller
kontaktuppgifter till den personuppgiftsansvarige och det har inte heller gått att svara
på meddelandet. Bristen på sådan information har påverkat klaganden på ett
betydande sätt eftersom det försvårat utövandet av klagandens rättigheter enligt
dataskyddsförordningen. Vid en sammantagen bedömning finner IMY att klagandens
intressen och grundläggande rättigheter och friheter väger tyngre än
Sverigedemokraternas intresse av att nå ut med den aktuella informationen. Därmed
är inte det tredje villkoret i artikel 6.1 f uppfyllt.
Samtliga villkor för att behandlingen ska kunna grunda sig på artikel 6.1 f är således
inte uppfyllda. Det har inte heller framkommit att Sverigedemokraterna haft stöd för
behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i
dataskyddsförordningen. Det innebär att Sverigedemokraterna inte har haft rättslig
grund för den behandling av personuppgifter som klagomålet gäller. Partiet har
därmed behandlat klagandens personuppgifter i strid med artikel 6.1 i
dataskyddsförordningen.
11 Se 19 § marknadsföringslagen (2008:486) och Levin, Marknadsföringslagen (1942:740) 19 §, Lexino 2025-08-25
(JUNO).
Page 5 of 7
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-7737 6(7)
Datum: 2025-10-22
Information om behandlingen och möjlighet att invända
Tillämpliga bestämmelser
I artikel 12.2 i dataskyddsförordningen anges att den personuppgiftsansvarige ska
underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22 i
förordningen.
I artikel 14 framgår vilken information som den personuppgiftsansvarige ska ge den
registrerade vid behandling av personuppgifter som inte tillhandahållits av den
registrerade själv. Av bestämmelsen framgår att den personuppgiftsansvarige bland
annat ska informera om identitet och kontaktuppgifter för den personuppgiftsansvarige,
ändamålen för behandlingen, den personuppgiftsansvariges berättigade intressen,
förekomsten av rätten att begära radering och att invända mot behandlingen.
IMY:s bedömning
Av utredningen framgår att det aktuella meddelandet inte innehöll någon information
om personuppgiftsbehandlingen eller vem som var ansvarig för denna. Det som
framgick om avsändaren var att meddelandet kom från ”SD” och att det innehöll en
uppmaning om att rösta på Sverigedemokraterna. Det fanns inga kontaktuppgifter till
den personuppgiftsansvarige och det gick inte att svara på meddelandet. Klaganden
har inte heller fått information om exempelvis ändamålen och den rättsliga grunden för
behandlingen eller om sina rättigheter enligt dataskyddsförordningen. Mot denna
bakgrund bedömer IMY att Sverigedemokraterna inte har underlättat för klaganden att
utöva sina rättigheter enligt förordningen och inte heller gett klaganden tillräcklig
information om den aktuella behandlingen. Sverigedemokraterna har därmed
behandlat klagandens personuppgifter i strid med artiklarna 12.2 och 14 i
dataskyddsförordningen.
Val av ingripande
Av artiklarna 58.2 och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet
att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för överträdelserna
av artiklarna 6.1, 12.2 och 14 i förordningen. Beroende på omständigheterna i det
enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de
andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud.
Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om
administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens
storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i
skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel
58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom
överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av
relevans.
IMY har bedömt att Sverigedemokraterna har saknat rättslig grund för den behandling
av personuppgifter som klagomålet gäller. Vidare har Sverigedemokraterna inte
underlättat för klaganden att utöva sina rättigheter eller gett den information som krävs
enligt dataskyddsförordningen. Den aktuella behandlingen har dock gällt en begränsad
mängd personuppgifter, som behandlats under kort tid vid ett tillfälle och har således
inte varit av systematisk karaktär.
Vid en samlad bedömning anser IMY att det är fråga om en mindre överträdelse i den
mening som avses i skäl 148 i dataskyddsförordningen. IMY ger därför
Sverigedemokraterna en reprimand för överträdelsen.
Page 6 of 7
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-7737 7(7)
Datum: 2025-10-22
__________________________
Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av
avdelningsjuristen Maja Welander. Vid den slutliga handläggningen av ärendet har
även juristen Michaela Prieto Ceric och rådgivaren Victor Hagstedt medverkat.
Nidia Nordenström
Bilaga
Klagandens personuppgifter
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder
det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då
beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare
till Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.
Page 7 of 7