Fuplex AB, krimfup.se

IMY-2025-6465 Beslut efter tillsyn enligt

dataskyddsförordningen – Fuplex AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Fuplex AB (559378-0165) har behandlat personuppgifter i strid med artikel 10 i dataskyddsförordningen i sin söktjänst på www.krimfup.se.

Integritetsskyddsmyndigheten ger Fuplex AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

Integritetsskyddsmyndigheten förelägger Fuplex AB med stöd av artikel 58.2 d i dataskyddsförordningen att i sin söktjänst på webbplatsen www.krimfup.se vidta åtgärder så att det inte längre är möjligt för användare av tjänsten att vid sökning på personer med någon av sökparametrarna personnamn, personnummer eller adress ta del av sådana uppgifter som omfattas av artikel 10 i dataskyddsförordningen som gäller den eftersökta personen.

Åtgärderna ska ha vidtagits senast två månader efter att detta beslut vunnit laga kraft.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har tagit emot en stor mängd klagomål mot personuppgiftsbehandlingen i Fuplex AB:s (Fuplex) söktjänst på webbplatsen www.krimfup.se. IMY beslutade den 2 april 2025 att inleda tillsyn mot Fuplex.

IMY:s granskning har avgränsats till frågan om Fuplex i söktjänsten på webbplatsen www.krimfup.se behandlat personuppgifter om brott i strid med artikel 10 i dataskyddsförordningen så som söktjänsten var utformad fram till den 1 oktober 2026. Granskningen avser inte om Fuplex personuppgiftsbehandling i övrigt varit förenlig med dataskyddsförordningen.

Utredningen

Fuplex har utgivningsbevis för webbplatsen www.krimfup.se.

Fuplex har i oktober 2026 genomfört vissa förändringar av söktjänsten på webbplatsen. Före förändringarna av söktjänsten framgick bland annat följande av webbplatsen. Webbplatsen startades 2022. Domar har samlats in från 2018 och framåt och förundersökningsprotokoll har samlats in från 2019 och framåt. Webbplatsen tillhandahåller domar från Sveriges samtliga tingsrätter och hovrätter från de senaste fem åren. Domar laddas vanligtvis upp inom några timmar efter att de har meddelats. Förundersökningsprotokoll laddas vanligtvis upp två till tre dagar efter att domen har meddelats. Handlingarna gallras automatiskt efter fem års tid. Användarna erbjuds nedladdning av handlingarna i pdf-format. Användare kan endast söka på personer som har blivit tilltalade i mål. Användare kan söka på personers namn och personnummer. Vid sökning på webbplatsen kan en användare ta del av artiklar och ljudfiler från rättegångar.

Vad Fuplex har uppgett

Fuplex är ansvarigt för innehållet och den behandling av personuppgifter som sker på www.krimfup.se. Behandlingen omfattas dock av yttrandefrihetsgrundlagens (YGL) skydd eftersom bolaget har utgivningsbevis.

Domar, beslut och förundersökningsprotokoll som tillgängliggörs på plattformen utgör ett underlag för den journalistiska verksamheten. Syftet är att möjliggöra för läsaren att själv ta del av det material som nyhetsartiklarna bygger på och själv bedöma innehållets relevans och trovärdighet samt granska rättsprocesser utifrån primärkällor. Publiceringen sker i syfte att främja en öppen, fri och allsidig upplysning i enlighet med det publicistiska uppdraget som skyddas av 1 kap. 1 och 2 §§ YGL.

Journalistisk verksamhet

Bolagets verksamhet omfattas av utgivningsbevis, vilket innebär att databehandlingen och publiceringen av såväl nyhetsmaterial som handlingar skyddas av grundlagen. Av 1 kap. 14 § YGL framgår att ingen myndighet får ingripa mot verksamhet som sker med stöd av utgivningsbevis, och enligt 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) ska inte dataskyddsförordningen tillämpas i den utsträckning den strider mot YGL.

Webbplatsen är en journalistisk plattform vars huvudsakliga syfte är att publicera egenproducerade nyhetsartiklar och redaktionellt material om rättsliga händelser, rättsfall och domstolsbeslut som är av allmänt intresse. Artiklarna täcker ett brett

rättsligt spektrum, inklusive brottmål, tvistemål, konkursärenden och förvaltningsrättsliga avgöranden. Sök- och dokumentfunktionen på webbplatsen erbjuder läsarna möjlighet att själva ta del av det material som rapporteringen bygger på. Funktionen är fullt förenlig med yttrandefrihetsgrundlagarnas syfte och med Sveriges konstitutionella skydd för yttrande- och informationsfriheten.

Vad som omfattas av begreppet journalistisk verksamhet avgörs enligt syftet att sprida information, åsikter eller idéer till allmänheten. Detta oberoende av medieform, bearbetning eller vinstsyfte. Verksamheten utgör ett uttryck för den yttrande- och informationsfrihet som skyddas av artikel 11 i Europeiska unionens stadga om de grundläggande rättigheterna. Vid en konflikt gäller dessa rättigheter före dataskyddsförordningens bestämmelser.

Avvägningen mellan yttrandefrihet och skyddet för den personliga integriteten ska ske enligt proportionalitetsprincipen, där det journalistiska intresset att sprida information vägs mot den potentiella skada som uppgifterna kan innebära för den enskilde. Verksamheten publicerar i huvudsak information som redan är offentligt tillgänglig via domstolar och där det finns ett tydligt samhällsintresse.

Den rättspraxis som utvecklats genom Högsta domstolens (HD) avgörande i mål NJA 2025 s. 123 I och II avser massuttag av brottmålsdomar från myndigheter. Avgörandena riktar sig till domstolarnas hantering av begäran om större mängder handlingar och fastslår att sådana massuttag i vissa fall kan behöva förenas med förbehåll, i syfte att skydda den personliga integriteten. Däremot innebär HD:s avgöranden inte att det råder någon generell begränsning att lämna ut brottmålsdomar. Tvärtom bekräftas att enskilda brottmålsdomar även fortsatt kan lämnas ut utan förbehåll. Av HD:s avgöranden framgår inget om hur en enskild handling får behandlas eller publiceras när den väl har lämnats ut, och inte heller något om de rättigheter som följer av att en verksamhet har utgivningsbevis. Domarna reglerar således inte medieaktörers vidareanvändning av rättsliga handlingar, utan endast myndigheternas skyldighet att beakta proportionalitet vid mycket omfattande utlämnanden. Domstolens bedömning är även begränsad till brottmålsdomar, medan andra måltyper såsom tvistemål, förvaltningsbeslut och konkursärenden inte omfattas. Dessa måltyper lämnas fortsatt ut utan krav på förbehåll och kan därmed behandlas som tidigare.

Verksamheten utgör tydligt en grundlagsskyddad journalistisk verksamhet. Detta innebär att behandling av uppgifter som omfattas av artikel 10 i dataskyddsförordningen inte regleras av förordningen när de behandlas i bolagets verksamhet.

Typ av uppgifter

Alla användare har tillgång till samma publicerade innehåll på webbplatsen. Syftet är inte att ge tillgång till ett personregister, utan att göra det möjligt för allmänheten att läsa artiklarna och förstå samhällsrelevanta rättsliga händelser. Användare kan söka på en plats, ett ämnesområde eller ett visst mål för att få upp relaterade artiklar.

I vissa fall förekommer uppgifter om individer som framgår av offentliga domar eller förundersökningar. Uppgifterna återges i den mån de är nödvändiga för att återge det journalistiska innehållets kärna och förståelse. Det rör sig inte om en strukturerad tillgång till persondata, utan om en redaktionell prestation där viss information, såsom namn eller bakgrund, ibland förekommer beroende på innehållets karaktär.

Viss information som förekommer i publiceringarna kan röra rättsliga förhållanden och därmed uppfattas som känslig i allmänt språkbruk. Det rör sig dock inte om behandling av särskilda kategorier av personuppgifter enligt dataskyddsförordningens definition. Den information som återges är hämtad från offentliga handlingar och har ett tydligt allmänintresse i det sammanhang det publiceras. Publiceringen sker inom ramen för det grundlagsskyddade utrymme som ges enligt YGL och följer principerna för god publicistisk sed.

Uppgifter om frikännande domar eller andra typer av domar förekommer på webbplatsen. Det finns ingen systematisk klassificering av handlingar enligt artikel 10 i dataskyddsförordningen. Den information som tillgängliggörs har ett redaktionellt syfte och publiceras i sin rättsliga kontext, inte som ett led i ett automatiserat register eller bearbetningssystem.

Fuplex uppskattar att det före februari 2024 fanns cirka 40 000 rättsliga handlingar tillgängliga via plattformen, inklusive domar, beslut och förundersökningar. I början av februari 2024 påbörjades en uppdatering och breddning av materialet, vilket gör att bolaget idag uppskattar antalet handlingar till cirka 150 000. Det är en blandning av handlingstyper från olika områden såsom brottmål, tvistemål, konkursmål och förvaltningsbeslut. Vissa handlingar kan innehålla uppgifter som enligt dataskyddsförordningen skulle kunna hänföras till artikel 10 i förordningen.

Efter att ha tagit del av EU-domstolens dom den 9 juli 2026 i mål C-199/24, ND mot Legal Newsdesk Sweden AB, har bolaget beslutat om en omläggning av webbplatsen www.krimfup.se. Omläggningen innebär inte att bolaget medger att den tidigare behandlingen varit rättsstridig.

Motivering av beslutet

Dataskyddsförordningens tillämplighet

Publiceringen omfattas av grundlagsskydd

Tillsynen avser publicering av personuppgifter på internet. Dataskyddsförordningen är normalt sett tillämplig på sådan personuppgiftsbehandling. Fuplex har dock ansökt om och beviljats ett frivilligt utgivningsbevis i enlighet med 1 kap. 5 § YGL för webbplatsen www.krimfup.se. Detta innebär enligt 1 kap. 4 § YGL att publiceringen av personuppgifter på webbplatsen är grundlagsskyddad.

En följd av att webbplatsen omfattas av grundlagsskydd är, i enlighet med det s.k. censurförbudet i 1 kap. 11 § YGL, att det som är avsett att framföras i program eller genom tekniska upptagningar inte först får granskas av en myndighet eller ett annat allmänt organ. Enligt förbudet mot hindrande åtgärder i samma paragraf är det inte tillåtet för en myndighet eller ett annat allmänt organ att på grund av innehållet förbjuda eller hindra framställning, offentliggörande eller spridning bland allmänheten av ett program eller en teknisk upptagning, om åtgärden inte har stöd i YGL. Enligt exklusivitetsprincipen i 1 kap. 14 § YGL får en myndighet eller ett annat allmänt organ inte utan stöd i YGL ingripa mot någon för att han eller hon i ett program eller en teknisk upptagning har missbrukat yttrandefriheten eller medverkat till ett sådant missbruk. Inte heller får de utan stöd i YGL av sådan anledning ingripa mot programmet eller upptagningen. Exklusivitetsprincipen innebär att YGL är exklusiv sanktions- och processlag inom lagens tillämpningsområde.

Dataskyddsförordningens förhållande till mediegrundlagarna i ljuset av EUdomstolens avgörande den 9 juli 2026

I dataskyddsförordningen regleras förhållandet till yttrande- och informationsfriheten i artikel 85. I artikelns första del (85.1) föreskrivs en skyldighet för medlemsstaterna att i nationell rätt förena rätten till integritet i enlighet med förordningen med yttrande- och informationsfriheten. Av artikelns andra del (85.2) framgår att medlemsstaterna – om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten – även får fastställa undantag eller avvikelser från delar av förordningen för behandling för vissa angivna ändamål, bland annat journalistiska. Begränsningarna måste vara föreskrivna i lag samt förenliga med det väsentliga innehållet i de grundläggande rättigheterna och med den unionsrättsliga proportionalitetsprincipen. Det betyder bland annat att begränsningarna inte får gå utöver vad som är strikt nödvändigt, och det förutsätts också att det finns tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av undantagen.

I svensk rätt görs undantag från dataskyddsförordningen genom att det i 1 kap. 7 § första stycket dataskyddslagen anges att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot TF eller YGL. I paragrafens andra stycke föreskrivs att artiklarna 5-30 och 35-50 i dataskyddsförordningen samt 2–5 kap. dataskyddslagen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Ett ingripande från IMY mot publiceringen av personuppgifter på webbplatsen skulle strida mot YGL, vilket enligt regleringen i dataskyddslagen innebär att dataskyddsförordningen inte ska tillämpas. Det har dock länge varit ifrågasatt om den svenska ordningen är förenlig med EU-rätten.

Mot denna bakgrund framställde Attunda tingsrätt i mars 2024 en begäran om förhandsavgörande till EU-domstolen i ett tvistemål avseende rätten till skadestånd för överträdelser av dataskyddsförordningen mellan en person (ND) och Legal Newsdesk Sweden AB. Den 9 juli 2026 meddelade EU-domstolen dom i målet som avser tolkningen av artikel 85.1 och 85.2 i dataskyddsförordningen.

I domen konstaterar EU-domstolen att möjligheterna till undantag från förordningen med hänsyn till yttrande- och informationsfriheten är begränsade till de ändamål som räknas upp i artikel 85.2, däribland journalistiska ändamål. Artikel 85.1 ger alltså inget ytterligare stöd för undantag från dataskyddsförordningen, utöver vad som framgår av artikel 85.2.

Som en följd av EU-domstolens bedömning blir det EU-rättsliga begreppet journalistiskt ändamål centralt för bedömningen av om det finns möjlighet att undanta sådan behandling av personuppgifter som är aktuell i ärendet från dataskyddsförordningen.

IMY konstaterar att begreppet journalistiska ändamål i unionsrätten har getts en bredare innebörd än i vardagligt språkbruk. Begreppet kan dock inte ges en sådan vid innebörd att all information som görs tillgänglig på internet och som innehåller personuppgifter omfattas. Sökmotorleverantörernas personuppgiftsbehandling anses till exempel inte ske för journalistiska ändamål. Kammarrätten i Stockholm har vidare

bedömt att en söktjänst med information om privatpersoner inte har något journalistiskt ändamål.

EU-domstolen slår i Legal Newsdesk-domen fast att en verksamhet som består i att tillhandahålla allmänheten offentliga handlingar i form av fällande domar i brottmål mot ersättning på internet kan anses utgöra behandling av personuppgifter för journalistiska ändamål i enlighet med artikel 85.2 endast under förutsättning att behandlingen har till ändamål att sprida information, åsikter eller idéer till allmänheten. För detta krävs att det aktuella materialet är föremål för visst redigerings- eller bearbetningsarbete innan det publiceras och att publiceringen sker med iakttagande av pressetiska regler och yrkesetiska regler för journalister, eller åtminstone i enlighet med en redaktionell linje, samt att påståenden om fakta och omständigheter i materialet granskas före publicering.

Behandlingen sker inte för ett journalistiskt ändamål

Fuplex har uppgett att ändamålet med söktjänsten är rent journalistiskt.

Under den tid som IMY:s tillsyn avser tillhandahöll bolaget genom söktjänsten på www.krimfup.se en omfattande samling av personuppgifter som hämtats från offentliga källor och som rör en stor mängd personer i Sverige. I tjänsten tillhandhölls, mot betalning, handlingar såsom brottmålsdomar och förundersökningsprotokoll. Det fanns även artiklar baserade på dessa handlingar. Användare kunde genom att söka på namn, personnummer eller adress ta del av information om den person som sökningen avsåg, om denne förekom i handlingar i söktjänsten. Uppgifterna var tillgängliga för alla som använde söktjänsten. Utöver personuppgifter om tilltalade och dömda, brott och i förekommande fall påföljd, förekom även personuppgifter om målsägande och vittnen. Det skedde inte någon bearbetning av handlingarna för att till exempel ta bort direkta personuppgifter som namn och personnummer.

IMY konstaterar att det i söktjänsten på www.krimfup.se tillgängliggjorts en stor mängd domar och förundersökningsprotokoll i sökbar form. Handlingarna innehöll i stor omfattning personuppgifter som omfattas av artikel 10 i dataskyddsförordningen.

IMY gör bedömningen att behandlingen av personuppgifterna i söktjänsten inte kan anses ha skett för journalistiska ändamål i enlighet med de bedömningskriterier som EU-domstolen ställt upp. Detta innebär att det inte är möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen.

Är undantagen nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten?

Som framgått har IMY konstaterat att behandlingen inte har skett för journalistiska ändamål och att det innebär att det redan av det skälet inte är möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen. Om behandlingen trots allt skulle anses ha skett för ett sådant ändamål gäller dock att undantag enligt artikel 85.2 även måste vara nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten för att vara tillåtna. IMY anser därför att den frågan behöver prövas särskilt.

Den svenska regleringen om förhållandet mellan mediegrundlagarna och dataskyddsförordningen innebär att det enda rättsmedlet mot en kränkning av rätten till skydd av personuppgifter är att inleda ett straffrättsligt förfarande om förtal och att begära skadestånd med anledning av brottet. Det innebär att skyddet enligt dataskyddsförordningen i princip helt sätts ur spel.

IMY konstaterar att det är en mycket stor mängd personuppgifter som behandlats och varit sökbara i Fuplex söktjänst, att uppgifterna är av klart integritetskänsligt slag och att uppgifterna kunnat spridas på ett okontrollerat sätt. IMY bedömer därför att tillhandahållandet av personuppgifter i Fuplex söktjänst medfört allvarliga risker för enskildas personliga integritet.

Av särskild betydelse vid denna bedömning är att Fuplex i sin söktjänst behandlat uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser som innefattar brott och att sådan behandling ställer särskilt höga krav enligt den skyddsreglering som finns i artikel 10 i dataskyddsförordningen (se vidare nedan). Det finns också skäl att i detta sammanhang framhålla att det uttryckligen framgår av grundlagsförarbetena att syftet med att införa ett grundlagsskydd för frivilliga utgivningsbevis aldrig var att skydda den typen av publiceringar som sker genom offentliggörande av sökbara samlingar av personuppgifter.

Med hänvisning till det nu anförda bedömer IMY att de långtgående undantagen i 1 kap. 7 § första stycket dataskyddslagen inte är nödvändiga för att förena rätten till integritet med skyddet för yttrande- och informationsfriheten när det gäller söktjänster av det aktuella slaget. Undantagen är därför inte förenliga med artikel 85.2 i dataskyddsförordningen.

När det gäller regleringen i 1 kap. 7 § andra stycket dataskyddslagen om undantag från delar av dataskyddsförordningen vid behandling av personuppgifter för bland annat journalistiska ändamål, kan konstateras att den regleringen främst har betydelse för personuppgiftsbehandling utanför TF:s och YGL:s område. Bestämmelsens ordalydelse omfattar även verksamhet som har grundlagsskydd. De båda styckena måste dock ses i ett sammanhang. Andra stycket kan inte rimligen ges den innebörden att undantaget från dataskyddsförordningens tillämpning för verksamhet som inte är grundlagsskyddad blir mer långtgående än det undantag som avser det grundlagsskyddade området.

Bedömning av dataskyddsförordningens tillämplighet

IMY har ovan bedömt att det omfattande tillhandahållandet av personuppgifter inom ramen för den aktuella söktjänsten som skett på webbplatsen inte utgjort en sådan behandling som sker för journalistiska ändamål och att undantag med stöd av artikel 85 därför inte är möjliga. Vidare har IMY – oaktat om behandlingen kan anses ha skett för journalistiska ändamål – gjort bedömningen att de långtgående undantagen i 1 kap. 7 § dataskyddslagen inte är nödvändiga för att förena rätten till integritet med yttrandeoch informationsfriheten. Undantagen är således inte heller förenliga med artikel 85.2 i dataskyddsförordningen.

EU-domstolen har slagit fast att nationella domstolar och myndigheter är skyldiga att tolka nationell lagstiftning med hänsyn tagen till relevanta bestämmelser i

unionsrätten. Om EU-rätten inte kan ges genomslag genom sådan EU-konform tolkning har EU-rätten företräde vid konflikt med nationell rätt. Detta gäller även i förhållande till nationella grundlagsbestämmelser. Principen om EU-rättens företräde ska tillämpas, inte bara av domstolar, utan även av nationella förvaltningsmyndigheter.

Det är inte möjligt att genom EU-konform tolkning av svensk rätt ge dataskyddsförordningen genomslag. EU-rätten behöver därför ges företräde framför regleringen i YGL och 1 kap. 7 § dataskyddslagen.

Sammanfattningsvis konstaterar IMY att integritetsintresset väger tyngre än yttrandeoch informationsfriheten i det aktuella fallet och att de undantag från dataskyddsförordningen som gjorts i den svenska regleringen inte kan tillämpas fullt ut. IMY bedömer att det särskilda skyddet enligt artikel 10 i dataskyddsförordningen måste kunna tillämpas på behandlingen för att åstadkomma ett tillräckligt integritetsskydd. Det krävs också att IMY:s tillsynsbefogenheter kan användas för att säkerställa detta. IMY ska därför pröva om Fuplex behandlat personuppgifter i strid med artikel 10 i dataskyddsförordningen.

Personuppgiftsansvar

Av utredningen framgår att Fuplex bestämmer ändamål och medel för behandlingen av personuppgifter i söktjänsten. IMY bedömer därför att bolaget är personuppgiftsansvarig.

Personuppgifter om brott

I artikel 10 i dataskyddsförordningen anges att behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, eller därmed sammanhängande säkerhetsåtgärder (så kallade brottsuppgifter) endast får utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.

Fuplex har bland annat behandlat personuppgifter som rör avgöranden i brottmål i sin söktjänst. IMY konstaterar att de aktuella uppgifterna är brottsuppgifter i den mening som avses i artikel 10 i dataskyddsförordningen, vilket innebär att det krävs stöd i nationell rätt eller EU-rätt för behandlingen.

Enligt 3 kap. 8 § andra stycket dataskyddslagen får brottsuppgifter behandlas av andra än myndigheter om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Enligt 5 § kompletteringsförordningen får brottsuppgifter behandlas av andra än myndigheter om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Enligt 6 § kompletteringsförordningen får IMY meddela föreskrifter om i vilka fall andra än

myndigheter får behandla brottsuppgifter. IMY får även besluta om undantag i enskilda fall.

Fuplex har inte påstått att bolaget har sådant rättsligt stöd som krävs enligt artikel 10 i dataskyddsförordningen för att behandla brottsuppgifter. Det har inte heller i övrigt framkommit att bolaget har haft ett sådant rättsligt stöd. IMY bedömer därför att Fuplex saknat rättsligt stöd för att behandla brottsuppgifter i söktjänsten.

IMY finner sammanfattningsvis att Fuplex har brutit mot artikel 10 i dataskyddsförordningen genom att behandla brottsuppgifter i sin söktjänst på webbplatsen www.krimfup.se utan lagligt stöd.

Val av ingripande

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Fuplex har under den relevanta perioden behandlat brottsuppgifter om en stor mängd personer i sin söktjänst och offentliggjort dessa på sin webbplats. Överträdelsen av artikel 10 i dataskyddsförordningen är av en sådan omfattning och allvarlighetsgrad att IMY i normalfallet skulle besluta om sanktionsavgift.

Det finns dock förmildrande omständigheter som talar mot ett utfärdande av en sanktionsavgift. Bolaget har ett utgivningsbevis. Databaser med utgivningsbevis som utgör sammanställningar av personuppgifter har enligt den svenska regleringen grundlagsskydd genom YGL och det har fram tills nyligen saknats praxis på området. IMY finner därför sammantaget att Fuplex inte ska påföras någon sanktionsavgift för överträdelsen av artikel 10 i dataskyddsförordningen. Fuplex ska istället med stöd av artikel 58.2 b i dataskyddsförordningen ges en reprimand för den konstaterade överträdelsen.

Det har framkommit att Fuplex under den relevanta perioden behandlat personuppgifter i strid med artikel 10 i dataskyddsförordningen och att behandlingen medfört allvarliga risker för de registrerade. För att säkerställa efterlevnad av kraven i artikel 10 i dataskyddsförordningen ska Fuplex med stöd av artikel 58.2 d i dataskyddsförordningen föreläggas att i sin söktjänst på webbplatsen www.krimfup.se vidta åtgärder så att det inte längre är möjligt för användare av tjänsten att vid sökning på personer med någon av sökparametrarna personnamn, personnummer eller adress ta del av sådana uppgifter som omfattas av artikel 10 i dataskyddsförordningen som gäller den eftersökta personen.

Att Fuplex i oktober 2026 gjort vissa förändringar av webbplatsen innebär enligt IMY inte att det saknas skäl att utfärda ett föreläggande och det aktuella föreläggandet är enligt IMY nödvändigt för att säkerställa ett acceptabelt integritetsskydd med beaktande av den särskilda skyddsregleringen i artikel 10. Ett mindre ingripande föreläggande hade under dessa förutsättningar inte haft en ändamålsenlig verkan.

Åtgärderna ska ha vidtagits senast två månader efter att detta beslut vunnit laga kraft.

__________________________

Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av juristen Ivana Matic. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetscheferna Albin Brunskog och Nidia Nordenström, rådgivaren Victor Hagstedt, avdelningsjuristerna Ninke Liebert och Olle Pettersson samt juristerna Karl Lundgren och Klara Byström medverkat.

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.