Upplysning Checknode AB, upplysning.se

IMY-2025-11698 Beslut efter tillsyn enligt

dataskyddsförordningen – Upplysning Checknode AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Upplysning Checknode AB (556837– 9142) har behandlat personuppgifter i strid med artikel 17.1 i dataskyddsförordningen .

Integritetsskyddsmyndigheten ger Upplysning Checknode AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Bakgrund och avgränsning

Integritetsskyddsmyndigheten (IMY) har tagit emot en stor mängd klagomål mot Upplysning Checknode AB (bolaget) som tillhandahåller en söktjänst på webbplatsen www.upplysning.se. IMY beslutade den 18 juni 2025 att inleda tillsyn mot bolaget. Den 20 augusti 2026 pausade bolaget allmänhetens möjlighet att använda söktjänsten. Granskningen avser därför perioden den 18 juni 2025 till den 20 augusti 2026.

IMY:s granskning har avgränsats till frågan om bolagets hantering av begäranden om radering är förenlig med artikel 17.1 c i dataskyddsförordningen. Granskningen i ärendet avser inte personuppgiftsbehandling som rör kreditupplysning. Granskningen avser inte heller om bolagets personuppgiftsbehandling i övrigt är förenlig med dataskyddsförordningen.

Vad bolaget har uppgett

Bolaget har uppgett i huvudsak följande.

Upplysning.se är en gratis söktjänst där en användare kan söka, filtrera och hitta bolag och personer i Sverige. Uppgifterna som publiceras härrör från offentliga handlingar.

Den 20 augusti 2026 pausade bolaget allmänhetens möjlighet att använda söktjänsten inför en större omarbetning. Bolaget avser att återlansera tjänsten.

Tidigare gick det bland annat att söka på namn, adress, telefonnummer och personnummer. För att hitta personer kunde användaren kombinera sökningen genom att bland annat filtrera på ålder och kön. Alla användare kunde se namn, kön, ålder och adress. Inloggade användare fick en mer utökad sökfunktion och möjlighet att ta kreditupplysningar på privatpersoner. De kunde se fullständigt personnummer, civilstånd, telefonnummer i begränsad omfattning och fick information om vilka fler personer som bor på samma adress.

Bolaget har ett utgivningsbevis för webbplatsen www.upplysning.se. Syftet med söktjänsten är att till allmänheten publicera uppgifter som är av allmänt intresse för opinionsbildning och att uppmuntra det offentliga samtalet mellan medborgarna i Sverige.

Fram till sommaren 2025 hade det lämnats in ca 20 000 begäranden om radering till bolaget. Webbplatsen (databasen) utgör journalistisk verksamhet. All information som tidigare publicerats i tjänsten har samlats in, bearbetats och sammanställts av bolagets redaktion innan den publicerades i enlighet med en redaktionell linje avseende urval, omfattning, form, kontext osv. som utarbetats av den ansvarige utgivaren. Påståenden om fakta och omständigheter i materialet har granskats före publicering.

Publiceringen för journalistiska ändamål omfattas av undantag med stöd av 1 kap. 7 § andra stycket lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). De flesta bestämmelserna i dataskyddsförordningen, inklusive rätten till radering enligt artikel 17, gäller därför inte. Av det skälet gjordes ingen avvägning mellan det journalistiska ändamålet och de registrerades integritetsintresse annat än det som följer av bolagets utgivningsbevis

och yttrandefrihetsgrundlagen (YGL). En begäran om radering bedömdes från fall till fall.

Motivering av beslutet

Dataskyddsförordningens tillämplighet

Publiceringen omfattas av grundlagsskydd

Tillsynen avser publicering av personuppgifter på internet. Dataskyddsförordningen är normalt sett tillämplig på sådan personuppgiftsbehandling. Bolaget har dock ansökt om och beviljats ett frivilligt utgivningsbevis i enlighet med 1 kap. 5 § YGL för webbplatsen www.upplysning.se. Detta innebär enligt 1 kap. 4 § YGL att publiceringen av personuppgifter på webbplatsen är grundlagsskyddad.

En följd av att webbplatsen omfattas av grundlagsskydd är, i enlighet med det s.k. censurförbudet i 1 kap. 11 § YGL, att det som är avsett att framföras i program eller genom tekniska upptagningar inte först får granskas av en myndighet eller ett annat allmänt organ. Enligt förbudet mot hindrande åtgärder i samma paragraf är det inte tillåtet för en myndighet eller ett annat allmänt organ att på grund av innehållet förbjuda eller hindra framställning, offentliggörande eller spridning bland allmänheten av ett program eller en teknisk upptagning, om åtgärden inte har stöd i YGL. Enligt exklusivitetsprincipen i 1 kap. 14 § YGL får en myndighet eller ett annat allmänt organ inte utan stöd i YGL ingripa mot någon för att han eller hon i ett program eller en teknisk upptagning har missbrukat yttrandefriheten eller medverkat till ett sådant missbruk. Inte heller får de utan stöd i YGL av sådan anledning ingripa mot programmet eller upptagningen. Exklusivitetsprincipen innebär att YGL är exklusiv sanktions- och processlag inom lagens tillämpningsområde.

Dataskyddsförordningens förhållande till mediegrundlagarna i ljuset av EUdomstolens avgörande den 9 juli 2026

I dataskyddsförordningen regleras förhållandet till yttrande- och informationsfriheten i artikel 85. I artikelns första del (85.1) föreskrivs en skyldighet för medlemsstaterna att i nationell rätt förena rätten till integritet i enlighet med förordningen med yttrande- och informationsfriheten. Av artikelns andra del (85.2) framgår att medlemsstaterna – om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten – även får fastställa undantag eller avvikelser från delar av förordningen för behandling för vissa angivna ändamål, bland annat journalistiska. Begränsningarna måste vara föreskrivna i lag samt förenliga med det väsentliga innehållet i de grundläggande rättigheterna och med den unionsrättsliga proportionalitetsprincipen. Det betyder bland annat att begränsningarna inte får gå utöver vad som är strikt nödvändigt, och det förutsätts också att det finns tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av undantagen.

I svensk rätt görs undantag från dataskyddsförordningen genom att det i 1 kap. 7 § första stycket dataskyddslagen anges att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen (TF) eller YGL. I paragrafens andra stycke föreskrivs att artiklarna 5–30 och 35–50 i dataskyddsförordningen samt 2–5 kap. dataskyddslagen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Ett ingripande från IMY mot publiceringen av personuppgifter på webbplatsen skulle strida mot YGL, vilket enligt regleringen i dataskyddslagen innebär att dataskyddsförordningen inte ska tillämpas. Det har dock länge varit ifrågasatt om den svenska ordningen är förenlig med EU-rätten.

Mot denna bakgrund framställde Attunda tingsrätt i mars 2024 en begäran om förhandsavgörande till EU-domstolen i ett tvistemål avseende rätten till skadestånd för överträdelser av dataskyddsförordningen mellan en person (ND) och Legal Newsdesk Sweden AB. Den 9 juli 2026 meddelade EU-domstolen dom i målet som avser tolkningen av artikel 85.1 och 85.2 i dataskyddsförordningen.

I domen konstaterar EU-domstolen att möjligheterna till undantag från förordningen med hänsyn till yttrande- och informationsfriheten är begränsade till de ändamål som räknas upp i artikel 85.2, däribland journalistiska ändamål. Artikel 85.1 ger alltså inget ytterligare stöd för undantag från dataskyddsförordningen, utöver vad som framgår av artikel 85.2.

Som en följd av EU-domstolens bedömning blir det EU-rättsliga begreppet journalistiskt ändamål centralt för bedömningen av om det finns möjlighet att undanta sådan behandling av personuppgifter som är aktuell i ärendet från dataskyddsförordningen.

IMY konstaterar att begreppet journalistiska ändamål i unionsrätten har getts en bredare innebörd än i vardagligt språkbruk. Begreppet kan dock inte ges en sådan vid innebörd att all information som görs tillgänglig på internet och som innehåller personuppgifter omfattas. Sökmotorleverantörernas personuppgiftsbehandling anses till exempel inte ske för journalistiska ändamål. Kammarrätten i Stockholm har vidare bedömt att en liknande söktjänst med information om privatpersoner inte har något journalistiskt ändamål.

EU-domstolen slår i Legal Newsdesk-domen fast att en verksamhet som består i att tillhandahålla allmänheten offentliga handlingar i form av fällande domar i brottmål mot ersättning på internet kan anses utgöra behandling av personuppgifter för journalistiska ändamål i enlighet med artikel 85.2 endast under förutsättning att behandlingen har till ändamål att sprida information, åsikter eller idéer till allmänheten. För detta krävs att det aktuella materialet är föremål för visst redigerings- eller bearbetningsarbete innan det publiceras och att publiceringen sker med iakttagande av pressetiska regler och yrkesetiska regler för journalister, eller åtminstone i enlighet med en redaktionell linje, samt att påståenden om fakta och omständigheter i materialet granskas före publicering.

Behandlingen sker inte för ett journalistiskt ändamål

Bolaget har uppgett att ändamålet med söktjänsten är rent journalistiskt.

IMY konstaterar att bolaget genom söktjänsten Upplysning.se tillhandahöll en omfattande samling av personuppgifter från offentliga källor och som rör stora delar av Sveriges befolkning. Uppgifterna tillgängliggörs utan någon egentlig urskillning och i sökbar form. Alla användare kunde fram till den 20 augusti 2026 vid sökningar i tjänsten få del av uppgifter om namn, kön, ålder och adress. Inloggade användare

kunde därutöver se fullständigt personnummer, civilstånd, telefonnummer i vissa fall samt information om andra personer på samma adress.

Mot bakgrund av ovanstående gör IMY bedömningen att behandlingen inte har haft till ändamål att sprida information, åsikter eller idéer till allmänheten i enlighet med de bedömningskriterier som EU-domstolen har ställt upp. IMY gör således bedömningen att söktjänsten inte bedrivits med ett journalistiskt ändamål. Detta innebär att det inte är möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen.

Är undantagen nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten?

Som framgått har IMY konstaterat att behandlingen inte sker för journalistiska ändamål och att det innebär att det redan av det skälet inte är möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen. Om behandlingen trots allt skulle anses ske för ett sådant ändamål gäller dock att undantag enligt artikel 85.2 även måste vara nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten för att vara tillåtna. IMY anser därför att den frågan behöver prövas särskilt.

Den svenska regleringen om förhållandet mellan mediegrundlagarna och dataskyddsförordningen innebär att det enda rättsmedlet mot en kränkning av rätten till skydd av personuppgifter är att inleda ett straffrättsligt förfarande om förtal och att begära skadestånd med anledning av brottet. Det innebär att skyddet enligt dataskyddsförordningen i princip helt sätts ur spel.

IMY bedömer att tillhandahållandet av personuppgifter i söktjänsten, medförde allvarliga risker för enskildas personliga integritet. Detta mot bakgrund av att tjänsten omfattade personuppgifter om stora delar av Sveriges befolkning, den stora mängden personuppgifter som behandlades om varje registrerad, sökmöjligheterna på person och den stora och okontrollerade spridningen av uppgifter av integritetskänslig natur som tillhandahållandet kunde medföra. I detta sammanhang konstaterar IMY att även om varje uppgift i sig inte skulle uppfattas som integritetskänslig innebar publiceringen sammantaget en möjlighet att kartlägga enskildas personliga förhållanden. Av den kartläggning som gjorts i betänkandet Personuppgifter och mediegrundlagarna (SOU 2024:75) framgår att uppgifter i söktjänster om bland annat namn, adress, ålder, familjesituation och fordonsinnehav faktiskt möjliggör för kriminella att välja ut och kartlägga brottsoffer. Detta kan skapa en oro för att uppgifterna används för exempelvis id-kapningar, bedrägerier och inbrott. Det finns också skäl att i detta sammanhang framhålla att det uttryckligen framgår av grundlagsförarbetena att syftet med att införa ett grundlagsskydd för frivilliga utgivningsbevis aldrig var att skydda den typen av publiceringar som sker genom offentliggörande av sökbara samlingar av personuppgifter.

Med hänvisning till det nu anförda bedömer IMY att de långtgående undantagen i 1 kap. 7 § första stycket dataskyddslagen inte är nödvändiga för att förena rätten till integritet med skyddet för yttrande- och informationsfriheten när det gäller söktjänster

av det aktuella slaget. Undantagen är därför inte förenliga med artikel 85.2 i dataskyddsförordningen.

När det gäller regleringen i 1 kap. 7 § andra stycket dataskyddslagen om undantag från delar av dataskyddsförordningen vid behandling av personuppgifter för bland annat journalistiska ändamål, kan konstateras att den regleringen främst har betydelse för personuppgiftsbehandling utanför TF:s och YGL:s område. Bestämmelsens ordalydelse omfattar dock även verksamhet som har grundlagsskydd. De båda styckena måste ses i ett sammanhang. Andra stycket kan inte rimligen ges den innebörden att undantaget från dataskyddsförordningens tillämpning för verksamhet som inte är grundlagsskyddad blir mer långtgående än det undantag som avser det grundlagsskyddade området.

Bedömning av dataskyddsförordningens tillämplighet

IMY har ovan bedömt att det omfattande tillhandahållandet av personuppgifter inom ramen för den aktuella söktjänsten som skett på webbplatsen inte utgör en sådan behandling som sker för journalistiska ändamål och att undantag med stöd av artikel 85 därför inte är möjliga. Vidare har IMY – oaktat om behandlingen kan anses ske för journalistiska ändamål – gjort bedömningen att de långtgående undantagen i 1 kap. 7 § dataskyddslagen inte är nödvändiga för att förena rätten till integritet med yttrandeoch informationsfriheten när det gäller söktjänster av det aktuella slaget. Undantagen är således inte förenliga med artikel 85.2 i dataskyddsförordningen.

EU-domstolen har slagit fast att nationella domstolar och myndigheter är skyldiga att tolka nationell lagstiftning med hänsyn tagen till relevanta bestämmelser i unionsrätten. Om EU-rätten inte kan ges genomslag genom sådan EU-konform tolkning har EU-rätten företräde vid konflikt med nationell rätt. Detta gäller även i förhållande till nationella grundlagsbestämmelser. Principen om EU-rättens företräde ska tillämpas, inte bara av domstolar, utan även av nationella förvaltningsmyndigheter.

Det är inte möjligt att genom EU-konform tolkning av svensk rätt ge dataskyddsförordningen genomslag. EU-rätten behöver därför ges företräde framför regleringen i YGL och 1 kap. 7 § dataskyddslagen.

Sammanfattningsvis konstaterar IMY att integritetsintresset väger tyngre än yttrandeoch informationsfriheten i det aktuella fallet och att de undantag från dataskyddsförordningen som gjorts i den svenska regleringen inte kan tillämpas fullt ut. IMY bedömer att rätten till radering av personuppgifter, som är central för rättighetsskyddet i dataskyddsförordningen, måste kunna tillämpas på behandlingen för att åstadkomma ett tillräckligt integritetsskydd. Det krävs också att IMY:s tillsynsbefogenheter kan användas för att säkerställa detta. IMY ska därför pröva om bolaget har behandlat personuppgifter i strid med artikel 17 i dataskyddsförordningen.

Personuppgiftsansvar

Av utredningen framgår att bolaget bestämmer ändamål och medel för behandlingen av personuppgifter i söktjänsten. IMY bedömer därför att bolaget är personuppgiftsansvarig.

Bolaget behandlar personuppgifter i strid med artikel 17

Tillämpliga bestämmelser

Rätten till radering (”rätten att bli bortglömd”) framgår av artikel 17 i dataskyddsförordningen. Enligt artikel 17.1 c har en registrerad rätt till radering av personuppgifter som rör de registrerade om han eller hon invänder mot behandlingen enligt artikel 21.1 och det saknas berättigade skäl för den personuppgiftsansvariges behandling som väger tyngre än den registrerades intressen, rättigheter och friheter. Detta ska dock inte gälla i den utsträckning behandlingen är nödvändig för något av skälen i artikel 17.3, bland annat för att utöva rätten till yttrande- och informationsfrihet. Om personuppgifter ska raderas måste det ske utan onödigt dröjsmål.

Av artikel 21.1 i dataskyddsförordningen framgår att den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ska ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering, som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.

Enligt artikel 12.1 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter enligt bland annat artikel 17. Av artikel 12.3 framgår att den personuppgiftsansvarige utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran ska tillhandahålla den registrerade information om de åtgärder som vidtagits enligt bland annat artikel 17. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden.

Enligt artikel 5.2 i dataskyddsförordningen ska den personuppgiftsansvarige ansvara för och kunna visa att principerna i artikel 5.1 efterlevs, bland annat principen om laglighet i artikel 5.1 a.

IMY:s bedömning

IMY konstaterar att bolaget har haft en skyldighet att efterleva artikel 17 i dataskyddsförordningen vid en begäran om radering. Detta innebär att bolaget efter begäran från en registrerad enligt artikel 17.1 c haft en skyldighet att radera dennes personuppgifter, om inte bolaget kan påvisa att ett undantag från denna rättighet är tillämpligt. Bolaget har en skyldighet att underlätta för enskilda att utöva sin rätt till radering och, när en sådan begäran inkommer, hantera den utan dröjsmål.

Bolaget har till IMY uppgett att rätten till radering enligt artikel 17 i dataskyddsförordningen inte gäller för dess verksamhet och att en begäran om

radering bedöms från fall till fall. Redan detta förhållande innebär att bolaget inte uppfyllt sina skyldigheter enligt artikel 17.

Med hänsyn till integritetsriskerna med den omfattande behandlingen av personuppgifter i söktjänsten bedömer IMY vidare att den registrerades intresse av att behandlingen ska upphöra typiskt sett väger tyngre än intresset av att uppgifterna tillhandahålls i söktjänsten. IMY:s bedömning är således att bolaget, som utgångspunkt, saknat grund för att fortsätta behandlingen enligt artikel 21 samt för att tillämpa undantaget i artikel 17.3 a om behandling som är nödvändig för att utöva yttrande- och informationsfriheten. Detta innebär att bolaget som utgångspunkt haft en skyldighet att radera uppgifterna efter begäran från en registrerad. Trots detta har IMY mottagit ett stort antal klagomål avseende bolagets underlåtenhet att tillmötesgå registrerades begäran om radering.

Mot bakgrund av det anförda bedömer IMY att bolaget inte har uppfyllt sina skyldigheter enligt artikel 17.1 i dataskyddsförordningen. Bolaget har således behandlat personuppgifter i strid med artikel 17.1 i dataskyddsförordningen.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för överträdelser av artikel 17. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som t.ex. förelägganden. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Upplysning Checknode AB behandlar ett stort antal personuppgifter som rör stora delar av Sveriges befolkning och offentliggör dessa uppgifter på sin webbplats www.upplysning.se. Publiceringen av personuppgifter som skedde fram till den 20 augusti 2026 i söktjänsten kan innebära allvarliga risker för enskildas personliga integritet. Bolaget har uppgett att tjänsten kommer att återlanseras. Det är därför av stor betydelse att begäranden om radering av personuppgifter i söktjänsten hanteras i enlighet med dataskyddsförordningen. Överträdelsen av artikel 17 i dataskyddsförordningen är därför av sådant slag att IMY i normalfallet skulle besluta om sanktionsavgift.

Det finns dock förmildrande omständigheter som talar mot ett utfärdande av en sanktionsavgift. Databaser med utgivningsbevis som utgör sammanställningar av personuppgifter har enligt den svenska regleringen grundlagsskydd genom YGL och det har fram tills nyligen saknats praxis på området. Allmänhetens tillgång till söktjänsten har också pausats. Bolaget har även uppgett att det planerar att göra alla förändringar som kan bli nödvändiga i framtiden för att anpassa sig till regelverk.

IMY finner vid en sammantagen bedömning att Upplysning Checknode AB inte ska påföras någon sanktionsavgift för överträdelsen av artikel 17 i

dataskyddsförordningen. Bolaget ska istället med stöd av artikel 58.2 b i dataskyddsförordningen ges en reprimand för den konstaterade överträdelsen.

__________________________

Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av avdelningsjuristen Ninke Liebert. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetscheferna Albin Brunskog och Nidia Nordenström, rådgivaren Victor Hagstedt, avdelningsjuristen Olle Pettersson samt juristerna Ivana Matic, Karl Lundgren och Klara Byström medverkat.

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.