Nusvar AB, mrkoll.se

IMY-2025-11707 Beslut efter tillsyn enligt

dataskyddsförordningen – Nusvar AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Nusvar AB (556991-1224) har behandlat

personuppgifter i strid med artikel 17.1 i dataskyddsförordningen .

Integritetsskyddsmyndigheten ger Nusvar AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Bakgrund och avgränsning

Integritetsskyddsmyndigheten (IMY) har tagit emot en stor mängd klagomål mot Nusvar AB (bolaget) som tillhandahåller en söktjänst på webbplatsen www.mrkoll.se. IMY beslutade den 18 juni 2025 att inleda tillsyn mot bolaget.

IMY:s granskning har avgränsats till frågan om bolagets hantering om begäranden om radering är förenlig med artikel 17.1 c i dataskyddsförordningen. Granskningen avser inte om bolagets personuppgiftsbehandling i övrigt är förenlig med dataskyddsförordningen.

Vad bolaget har uppgett

Bolaget har uppgett i huvudsak följande.

Bolaget tillhandahåller på webbplatsen www.mrkoll.se allmänheten, gratis och utan krav på registrering, en sökbar katalogisering av uppgifter likt historiska publikationer som telefonkatalogen. Utöver uppgifter om namn, folkbokföringsadress och personnummer tillhandahålls, i den mån sådan information föreligger, även telefonnummer, uppgift om tidigare namn, vissa yrkeslegitimationer, hundinnehav, bolagsengagemang samt fordonsinnehav. Inom ramen för tjänsten erbjuds även, mot betalning, handlingar från landets domstolar och Åklagarmyndigheten.

Personuppgiftsbehandlingen är avsedd för journalistiska ändamål och faller därför under bestämmelserna i yttrandefrihetsgrundlagen (YGL). Dataskyddsförordningen och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) ska inte tillämpas enligt 1 kap. 4 § YGL.

Bolagets syfte med tjänsten är att upplysa allmänheten om information som är viktig för den enskilda individen som att hitta en adress, att söka upp ett telefonnummer till en gammal bekant och att möjliggöra säkra privataffärer. Tjänsten utgör därutöver ett betydelsefullt tredjepartsverktyg för såväl lokala som nationella nyhetsredaktioner, vilka i stor utsträckning använder tjänsten i sin dagliga journalistiska verksamhet.

Varje publicering i tjänsten föregås av en integritetsavvägning, varvid information som inte ryms inom bolagets journalistiska uppdrag eller som står i strid med gällande rätt enligt YGL avlägsnas. Detta omfattar bland annat uppgifter av privat karaktär, såsom hälsorelaterade uppgifter, uppgifter om sexuell läggning samt politisk eller religiös övertygelse.

Bolaget har fortlöpande bevakat den senaste tidens snabba utveckling av såväl europeisk som nationell rättspraxis inom området för att säkerställa att interna rutiner och processer är förenliga med gällande rätt. Bolaget har hållit fast vid den sedan tidigare etablerade tolkningen av dataskyddsförordningen och YGL, enligt vilken databaser med frivilligt utgivningsbevis inte omfattas av artikel 17 i dataskyddsförordningen. Trots det har bolaget infört en policy som innebär att bolaget verkställer den enskildes begäran om radering utan att någon särskild prövning av ärendet genomförs. Detta innebär att samtliga relevanta personuppgifter tas bort och därefter inte längre är tillgängliga eller sökbara via bolagets webbplats. En individ kan ge in en begäran om radering på flera sätt som via det kontaktformulär som

tillhandahålls på www.mrkoll.se, via e-post till bolagets kundtjänst, eller brevledes till bolagets postadress.

Nusvar AB anförde inledningsvis att IMY saknar behörighet att utöva tillsyn över den databas som bolaget tillhandahåller på www.mrkoll.se. Bolaget har efter EUdomstolens dom i Legal Newsdesk Sweden den 9 juli 2026 medgett att IMY är behörig att utöva tillsyn över bolagets hantering av begäranden om radering, men framhållit att EU-domstolen i domen inte prövat hur en begäran om radering ska handläggas.

Klagomål mot bolaget

IMY har tagit emot ett stort antal klagomål enligt artikel 77 i dataskyddsförordningen avseende bolagets hantering av begäranden om radering. IMY kommunicerade inledningsvis två exempel på sådana klagomål där begäran om radering inte hade hanterats. Det ena exemplet rörde möjligheten att tillfälligt dölja den enskildes telefonnummer och adress. Bolaget tillhandahåller denna möjlighet att under 30 dagar dölja en adress eller ett telefonnummer i tjänsten vid exempelvis flytt eller andra tillfälliga omständigheter. Enligt klagomålet hade klaganden sedan 2023 vid många tillfällen tillfälligt dolt sina uppgifter men inte fått sina uppgifter raderade. Klagandens begäran om radering tillgodosågs först vid ett senare tillfälle. Det andra exemplet rörde ett klagomål som felaktigt markerats som avslutat innan begäran hade verkställts. Bolaget har numera raderat personuppgifterna i enlighet med klagandens begäran. Bolaget har efter det också infört en tvåstegsverifiering i handläggningsprocessen för att förhindra sådana fel.

IMY har därefter uppmärksammat bolaget på att det alltjämt finns klagomål mot bolaget om bristande hantering av begäranden om radering och kommunicerat ytterligare fem exempel. Bolaget har efter det uppgett att det raderat personuppgifter i enlighet med klagomålen. Bolaget har uppgett att det under tillsynens gång lanserat en självbetjäningstjänst som möjliggör radering genom BankID-autentisering.

Bolaget anser att IMY inte ska tillmäta det förhållandet att bolaget har missat att hantera ett antal begäran om radering någon större betydelse. Dessa begäranden har hanterats enligt gällande rutiner och de berördas personuppgifter har raderats sedan IMY uppmärksammat bolaget på ärendena.

Nusvar AB framhåller också att bolaget inte är skyldigt att tillämpa artikel 17 i dataskyddsförordningen. Bolaget har trots det upprättat en policy som är mer förmånlig än en prövning enligt artikel 17 medger. Bolaget har sedan policyn infördes på eget initiativ och ofta redan före tillsynens inledande hanterat ett mycket stort antal ärenden avseende radering av personuppgifter.

Motivering av beslutet

Dataskyddsförordningens tillämplighet

Publiceringen omfattas av grundlagsskydd

Tillsynen avser publicering av personuppgifter på internet. Dataskyddsförordningen är normalt sett tillämplig på sådan personuppgiftsbehandling. Nusvar AB har dock ansökt om och beviljats ett frivilligt utgivningsbevis i enlighet med 1 kap. 5 § YGL för

webbplatsen www.mrkoll.se. Detta innebär enligt 1 kap. 4 § YGL att publiceringen av personuppgifter på webbplatsen är grundlagsskyddad.

En följd av att webbplatsen omfattas av grundlagsskydd är, i enlighet med det s.k. censurförbudet i 1 kap. 11 § YGL, att det som är avsett att framföras i program eller genom tekniska upptagningar inte först får granskas av en myndighet eller ett annat allmänt organ. Enligt förbudet mot hindrande åtgärder i samma paragraf är det inte tillåtet för en myndighet eller ett annat allmänt organ att på grund av innehållet förbjuda eller hindra framställning, offentliggörande eller spridning bland allmänheten av ett program eller en teknisk upptagning, om åtgärden inte har stöd i YGL. Enligt exklusivitetsprincipen i 1 kap. 14 § YGL får en myndighet eller ett annat allmänt organ inte utan stöd i YGL ingripa mot någon för att han eller hon i ett program eller en teknisk upptagning har missbrukat yttrandefriheten eller medverkat till ett sådant missbruk. Inte heller får de utan stöd i YGL av sådan anledning ingripa mot programmet eller upptagningen. Exklusivitetsprincipen innebär att YGL är exklusiv sanktions- och processlag inom lagens tillämpningsområde.

Dataskyddsförordningens förhållande till mediegrundlagarna i ljuset av EUdomstolens avgörande den 9 juli 2026

I dataskyddsförordningen regleras förhållandet till yttrande- och informationsfriheten i artikel 85. I artikelns första del (85.1) föreskrivs en skyldighet för medlemsstaterna att i nationell rätt förena rätten till integritet i enlighet med förordningen med yttrande- och informationsfriheten. Av artikelns andra del (85.2) framgår att medlemsstaterna – om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten – även får fastställa undantag eller avvikelser från delar av förordningen för behandling för vissa angivna ändamål, bland annat journalistiska. Begränsningarna måste vara föreskrivna i lag samt förenliga med det väsentliga innehållet i de grundläggande rättigheterna och med den unionsrättsliga proportionalitetsprincipen. Det betyder bland annat att begränsningarna inte får gå utöver vad som är strikt nödvändigt, och det förutsätts också att det finns tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av undantagen.

I svensk rätt görs undantag från dataskyddsförordningen genom att det i 1 kap. 7 § första stycket dataskyddslagen anges att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen (TF) eller YGL. I paragrafens andra stycke föreskrivs att artiklarna 5–30 och 35–50 i dataskyddsförordningen samt 2–5 kap. dataskyddslagen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Ett ingripande från IMY mot publiceringen av personuppgifter på webbplatsen skulle strida mot YGL, vilket enligt regleringen i dataskyddslagen innebär att dataskyddsförordningen inte ska tillämpas. Det har dock länge varit ifrågasatt om den svenska ordningen är förenlig med EU-rätten.

Mot denna bakgrund framställde Attunda tingsrätt i mars 2024 en begäran om förhandsavgörande till EU-domstolen i ett tvistemål avseende rätten till skadestånd för överträdelser av dataskyddsförordningen mellan en person (ND) och Legal Newsdesk Sweden AB. Den 9 juli 2026 meddelade EU-domstolen dom i målet som avser tolkningen av artikel 85.1 och 85.2 i dataskyddsförordningen.

I domen konstaterar EU-domstolen att möjligheterna till undantag från förordningen med hänsyn till yttrande- och informationsfriheten är begränsade till de ändamål som räknas upp i artikel 85.2, däribland journalistiska ändamål. Artikel 85.1 ger alltså inget ytterligare stöd för undantag från dataskyddsförordningen, utöver vad som framgår av artikel 85.2.

Som en följd av EU-domstolens bedömning blir det EU-rättsliga begreppet journalistiskt ändamål centralt för bedömningen av om det finns möjlighet att undanta sådan behandling av personuppgifter som är aktuell i ärendet från dataskyddsförordningen.

IMY konstaterar att begreppet journalistiska ändamål i unionsrätten har getts en bredare innebörd än i vardagligt språkbruk. Begreppet kan dock inte ges en sådan vid innebörd att all information som görs tillgänglig på internet och som innehåller personuppgifter omfattas. Sökmotorleverantörernas personuppgiftsbehandling anses till exempel inte ske för journalistiska ändamål. Kammarrätten i Stockholm har vidare bedömt att söktjänsten på www.mrkoll.se med information om privatpersoner inte har något journalistiskt ändamål.

EU-domstolen slår i Legal Newsdesk-domen fast att en verksamhet som består i att tillhandahålla allmänheten offentliga handlingar i form av fällande domar i brottmål mot ersättning på internet kan anses utgöra behandling av personuppgifter för journalistiska ändamål i enlighet med artikel 85.2 endast under förutsättning att behandlingen har till ändamål att sprida information, åsikter eller idéer till allmänheten. För detta krävs att det aktuella materialet är föremål för visst redigerings- eller bearbetningsarbete innan det publiceras och att publiceringen sker med iakttagande av pressetiska regler och yrkesetiska regler för journalister, eller åtminstone i enlighet med en redaktionell linje, samt att påståenden om fakta och omständigheter i materialet granskas före publicering.

Behandlingen sker inte för ett journalistiskt ändamål

Nusvar AB har uppgett att ändamålet med söktjänsten är rent journalistiskt.

IMY konstaterar att bolaget genom söktjänsten Mrkoll.se tillhandahåller en omfattande samling av personuppgifter från offentliga källor om ett stort antal personer i Sverige. Uppgifterna tillgängliggörs utan någon egentlig urskillning och i sökbar form. Utöver uppgifter om namn, folkbokföringsadress och personnummer tillhandahålls, i den mån sådan information föreligger, även telefonnummer, uppgift om tidigare namn, vissa yrkeslegitimationer, hundinnehav, bolagsengagemang samt fordonsinnehav. Inom ramen för tjänsten erbjuds även, mot betalning, handlingar från landets domstolar och Åklagarmyndigheten.

Att även journalister kan använda sig av databasen i sin journalistiska verksamhet innebär inte att söktjänsten som sådan bedrivs med ett journalistiskt ändamål.

Mot bakgrund av ovanstående gör IMY bedömningen att behandlingen inte har till ändamål att sprida information, åsikter eller idéer till allmänheten i enlighet med de bedömningskriterier som EU-domstolen har ställt upp. IMY gör således bedömningen att söktjänsten inte bedrivs med ett journalistiskt ändamål. Detta innebär att det inte är

möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen.

Är undantagen nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten?

Som framgått har IMY konstaterat att behandlingen inte sker för journalistiska ändamål och att det innebär att det redan av det skälet inte är möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen. Om behandlingen trots allt skulle anses ske för ett sådant ändamål gäller dock att undantag enligt artikel 85.2 även måste vara nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten för att vara tillåtna. IMY anser därför att den frågan behöver prövas särskilt.

Den svenska regleringen om förhållandet mellan mediegrundlagarna och dataskyddsförordningen innebär att det enda rättsmedlet mot en kränkning av rätten till skydd av personuppgifter är att inleda ett straffrättsligt förfarande om förtal och att begära skadestånd med anledning av brottet. Det innebär att skyddet enligt dataskyddsförordningen i princip helt sätts ur spel.

IMY bedömer att tillhandahållandet av personuppgifter på Mrkoll.se medför allvarliga risker för enskildas personliga integritet. Detta mot bakgrund av att tjänsten omfattar personuppgifter om stora delar av Sveriges befolkning, den stora mängden personuppgifter som behandlas om varje registrerad, sökmöjligheterna på person och den stora och okontrollerade spridningen av uppgifter av integritetskänslig natur som tillhandahållandet kan medföra. I detta sammanhang konstaterar IMY att även om varje uppgift i sig inte skulle uppfattas som integritetskänslig innebär publiceringen sammantaget en möjlighet att kartlägga enskildas personliga förhållanden. Av den kartläggning som gjorts i betänkandet Personuppgifter och mediegrundlagarna (SOU 2024:75) framgår att uppgifter i söktjänster om bland annat namn, adress, ålder, familjesituation och fordonsinnehav faktiskt möjliggör för kriminella att välja ut och kartlägga brottsoffer. Detta kan skapa en oro för att uppgifterna används för exempelvis id-kapningar, bedrägerier och inbrott. Det finns också skäl att i detta sammanhang framhålla att det uttryckligen framgår av grundlagsförarbetena att syftet med att införa ett grundlagsskydd för frivilliga utgivningsbevis aldrig var att skydda den typen av publiceringar som sker genom offentliggörande av sökbara samlingar av personuppgifter.

Med hänvisning till det nu anförda bedömer IMY att de långtgående undantagen i 1 kap. 7 § första stycket dataskyddslagen inte är nödvändiga för att förena rätten till integritet med skyddet för yttrande- och informationsfriheten när det gäller söktjänster av det aktuella slaget. Undantagen är därför inte förenliga med artikel 85.2 i dataskyddsförordningen.

När det gäller regleringen i 1 kap. 7 § andra stycket dataskyddslagen om undantag från delar av dataskyddsförordningen vid behandling av personuppgifter för bland annat journalistiska ändamål, kan konstateras att den regleringen främst har betydelse för personuppgiftsbehandling utanför TF:s och YGL:s område. Bestämmelsens ordalydelse omfattar dock även verksamhet som har grundlagsskydd. De båda

styckena måste ses i ett sammanhang. Andra stycket kan inte rimligen ges den innebörden att undantaget från dataskyddsförordningens tillämpning för verksamhet som inte är grundlagsskyddad blir mer långtgående än det undantag som avser det grundlagsskyddade området.

Bedömning av dataskyddsförordningens tillämplighet

IMY har ovan bedömt att det omfattande tillhandahållandet av personuppgifter inom ramen för den aktuella söktjänsten som sker på webbplatsen inte utgör en sådan behandling som sker för journalistiska ändamål och att undantag med stöd av artikel 85 därför inte är möjliga. Vidare har IMY – oaktat om behandlingen kan anses ske för journalistiska ändamål – gjort bedömningen att de långtgående undantagen i 1 kap. 7 § dataskyddslagen inte är nödvändiga för att förena rätten till integritet med yttrandeoch informationsfriheten. Undantagen är således inte förenliga med artikel 85.2 i dataskyddsförordningen.

EU-domstolen har slagit fast att nationella domstolar och myndigheter är skyldiga att tolka nationell lagstiftning med hänsyn tagen till relevanta bestämmelser i unionsrätten. Om EU-rätten inte kan ges genomslag genom sådan EU-konform tolkning har EU-rätten företräde vid konflikt med nationell rätt. Detta gäller även i förhållande till nationella grundlagsbestämmelser. Principen om EU-rättens företräde ska tillämpas, inte bara av domstolar, utan även av nationella förvaltningsmyndigheter.

Det är inte möjligt att genom EU-konform tolkning av svensk rätt ge dataskyddsförordningen genomslag. EU-rätten behöver därför ges företräde framför regleringen i YGL och 1 kap. 7 § dataskyddslagen.

Sammanfattningsvis konstaterar IMY att integritetsintresset väger tyngre än yttrandeoch informationsfriheten i det aktuella fallet och att de undantag från dataskyddsförordningen som gjorts i den svenska regleringen inte kan tillämpas fullt ut. IMY bedömer att rätten till radering av personuppgifter, som är central för rättighetsskyddet i dataskyddsförordningen, måste kunna tillämpas på behandlingen för att åstadkomma ett tillräckligt integritetsskydd. Det krävs också att IMY:s tillsynsbefogenheter kan användas för att säkerställa detta. IMY ska därför pröva om Nusvar AB behandlar personuppgifter i strid med artikel 17 i dataskyddsförordningen.

Personuppgiftsansvar

Av utredningen framgår att Nusvar AB bestämmer ändamål och medel för behandlingen av personuppgifter i söktjänsten. IMY bedömer därför att bolaget är personuppgiftsansvarig.

Bolaget behandlar personuppgifter i strid med artikel 17

Tillämpliga bestämmelser

Rätten till radering (”rätten att bli bortglömd”) framgår av artikel 17 i dataskyddsförordningen. Enligt artikel 17.1 c har en registrerad rätt till radering av

personuppgifter som rör de registrerade om han eller hon invänder mot behandlingen enligt artikel 21.1 och det saknas berättigade skäl för den personuppgiftsansvariges behandling som väger tyngre än den registrerades intressen, rättigheter och friheter. Detta ska dock inte gälla i den utsträckning behandlingen är nödvändig för något av skälen i artikel 17.3, bland annat för att utöva rätten till yttrande- och informationsfrihet. Om personuppgifter ska raderas måste det ske utan onödigt dröjsmål.

Av artikel 21.1 i dataskyddsförordningen framgår att den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ska ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering, som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.

Enligt artikel 12.1 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter enligt bland annat artikel 17. Av artikel 12.3 framgår att den personuppgiftsansvarige ska utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt bland annat artikel 17. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden.

Enligt artikel 5.2 i dataskyddsförordningen ska den personuppgiftsansvarige ansvara för och kunna visa att principerna i artikel 5.1 efterlevs, bland annat principen om laglighet i artikel 5.1 a.

IMY:s bedömning

Bolaget har uppgett att rätten till radering enligt artikel 17 i dataskyddsförordningen inte gäller för dess verksamhet. Bolaget prövar inte den enskildes skäl för sin begäran och inte heller undantaget för rätten till yttrande- och informationsfrihet i artikel 17.3. Bolaget har dock uppgett att det infört en policy som innebär att enskildes begäran om radering tillgodoses utan att någon särskild prövning genomförs.

IMY konstaterar att enligt artikel 17.1 c i dataskyddsförordningen är bolaget skyldigt att efter begäran från en registrerad radera dennes personuppgifter, om inte bolaget kan påvisa att ett undantag från denna rättighet är tillämpligt. Bolaget har en skyldighet att underlätta för enskilda att utöva sin rätt till radering och, när en sådan begäran inkommer, hantera den utan dröjsmål. Det är således inte tillräckligt att hantera en begäran om radering först efter att den enskilde gett in ett klagomål till IMY enligt artikel 77 i dataskyddsförordningen.

IMY konstaterar vidare att myndigheten mottagit en stor mängd klagomål om bristande hantering av sådana begäranden. IMY har under tillsynen kommunicerat exempel på sådana klagomål. Av dessa klagomål framgår att begäran om radering inte har hanterats av bolaget förrän IMY uppmärksammat bolaget på klagomålen rörande dessa begäranden. Bolaget har inte visat att det funnits grund enligt dataskyddsförordningen att inte tillmötesgå begäran om radering i de aktuella fallen.

Mot bakgrund av det anförda har bolaget inte uppfyllt sina skyldigheter enligt artikel 17.1 i dataskyddsförordningen. IMY bedömer således att bolaget har behandlat personuppgifter i strid med artikel 17.1 i dataskyddsförordningen.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för överträdelser av artikel 17. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som t.ex. förelägganden. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Nusvar AB behandlar ett stort antal personuppgifter som rör stora delar av Sveriges befolkning och offentliggör dessa uppgifter på sin webbplats www.mrkoll.se. Publiceringen av personuppgifter som sker i söktjänsten kan innebära allvarliga risker för enskildas personliga integritet. Det är därför av stor betydelse att begäranden om radering av personuppgifter i söktjänsten hanteras i enlighet med dataskyddsförordningen. Överträdelsen av artikel 17 i dataskyddsförordningen är därför av sådant slag att IMY i normalfallet skulle besluta om sanktionsavgift.

Det finns dock förmildrande omständigheter som talar mot ett utfärdande av en sanktionsavgift. Databaser med utgivningsbevis som utgör sammanställningar av personuppgifter har enligt den svenska regleringen grundlagsskydd genom YGL och det har fram tills nyligen saknats praxis på området. Bolaget har dessutom uppgett att det infört en policy som innebär att en enskilds begäran om radering tillgodoses, även om detta sker utan någon särskild prövning enligt dataskyddsförordningen. IMY ser även positivt på att bolaget har genomfört ett antal åtgärder för att hantera begäranden om radering och vad bolaget anfört om att det lanserat en självbetjäningstjänst som möjliggör radering genom BankID-autentisering.

IMY finner vid en sammantagen bedömning att Nusvar AB inte ska påföras någon sanktionsavgift för överträdelsen av artikel 17 i dataskyddsförordningen. Bolaget ska istället med stöd av artikel 58.2 b i dataskyddsförordningen ges en reprimand för den konstaterade överträdelsen.

__________________________

Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av avdelningsjuristen Ninke Liebert. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetscheferna Albin Brunskog och Nidia Nordenström, rådgivaren Victor Hagstedt, avdelningsjuristen Olle Pettersson samt juristerna Ivana Matic, Karl Lundgren och Klara Byström medverkat.

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.