Legal Newsdesk Sweden AB, lexbase.se

IMY-2025-6466 Beslut efter tillsyn enligt

dataskyddsförordningen – Legal Newsdesk Sweden AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Legal Newsdesk Sweden AB (559136- 9581) behandlar personuppgifter i strid med artikel 10 i dataskyddsförordningen i sin söktjänst på www.lexbase.se.

Integritetsskyddsmyndigheten ger Legal Newsdesk Sweden AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

Integritetsskyddsmyndigheten förelägger Legal Newsdesk Sweden AB med stöd av artikel 58.2 d i dataskyddsförordningen att i sin söktjänst på webbplatsen www.lexbase.se vidta åtgärder så att det inte längre är möjligt för användare av tjänsten att vid sökning på personer med någon av sökparametrarna personnamn, personnummer eller adress ta del av sådana uppgifter som omfattas av artikel 10 i dataskyddsförordningen som gäller den eftersökta personen.

Åtgärderna ska ha vidtagits senast två månader efter att detta beslut vunnit laga kraft.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har tagit emot en stor mängd klagomål mot personuppgiftsbehandlingen i Legal Newsdesk Sweden AB:s (Legal Newsdesk) söktjänst på webbplatsen www.lexbase.se. IMY beslutade den 2 april 2025 att inleda tillsyn mot Legal Newsdesk.

IMY:s granskning har avgränsats till frågan om Legal Newsdesk i söktjänsten på webbplatsen www.lexbase.se behandlar personuppgifter om brott i strid med artikel 10 i dataskyddsförordningen. Granskningen avser inte om Legal Newsdesks personuppgiftsbehandling på webbplatsen www.lexbase.se i övrigt är förenlig med dataskyddsförordningen.

Utredningen

Legal Newsdesk har utgivningsbevis för webbplatsen www.lexbase.se.

IMY har tagit del av information som framgår på webbplatsen www.lexbase.se. Information om innehållet på webbplatsen har även inhämtats från enskilda klagomål. Under tillsynen har Legal Newsdesk genomfört förändringar av sin söktjänst.

Före förändringarna av söktjänsten framgick bland annat följande av webbplatsen. Lexbase är en webbtjänst som tillgängliggör rättslig information från svenska domstolar och myndigheter. På webbplatsen kan användare hitta domar i en sökbar databas som sträcker sig från 2008 och framåt. Databasen innehåller handlingar som hämtats från allmänna domstolar och Åklagarmyndigheten som rör brottmål, strafförelägganden, åtalsunderlåtelser, tvistemål och förenklade tvistemål. Databasen uppdateras med tusentals dokument varje dag. Vissa handlingar gallras över tid.

Efter förändringarna av söktjänsten framgår bland annat följande av webbplatsen. Legal Newsdesk publicerar artiklar och information baserad på offentliga handlingar. Legal Newsdesk har fullständig domstolsbevakning och fördjupade reportage med inriktning på svenska rättsfall. Artiklarna omfattar alla slags rättsfall. De artiklar som avser brott innehåller bland annat brottsrubricering, påföljd, händelsedatum och plats, målnummer och kontaktuppgifter till aktuell domstol. Artiklar kan nås antingen på webbplatsens startsida eller genom sökfunktionen. Via sökfunktionen kan användare, genom att söka på bland annat namn och personnummer, få upp en lista med sökresultat. Tillgång till sökfunktionen förutsätter att användaren har ett konto på webbplatsen. Betalande användare kan få åtkomst till dolt innehåll i artiklar, såsom målnummer och kontaktuppgifter till aktuell domstol, genom funktionen ”Lås upp premiumartikel”.

IMY har under utredningen inhämtat information från enskilda klagomål där användare via sökfunktionen på webbplatsen har sökt på namn respektive personnummer. Av sökresultatet framgår först om det finns en träff för det aktuella sökordet. Sökträffarna består av en länk till en artikel samt ett antal textrutor. Textrutorna innehåller namn, ålder och ort för den eftersökte personen samt termer som relaterar till artikelns innehåll (t.ex. ”Bevisning”, ”Utredning”, ”Påföljd”, m.m.). Personens namn, födelsetid och ort kan även framgå i en mening under textrutorna. När sökträffen länkar till en artikel om brottmål kan artikeln bland annat innehålla information om brottsrubricering, påföljd, målnummer och kontaktuppgifter till aktuell domstol.

I samband med att förändringarna av söktjänsten lanserades i maj 2025 uttalade ansvarig utgivare att man ”har gjort om alla 1,4 miljoner domar till artiklar, vilket har krävt en del datakraft”. Av webbplatsen framgick i augusti 2026 exempelvis att den innehåller mer än 10 000 artiklar för var och en av kategorierna vapenbrott, grov misshandel och smugglingsbrott vid en sökning utan tidsbegränsning. Vidare finns 8 553 artiklar om stöld och 2 036 artiklar om bidragsbrott under det senaste året , samt 5 137 artiklar för kategorin ringa narkotikabrott under de senaste tre månaderna .

Vad Legal Newsdesk har uppgett

Legal Newsdesk driver webbplatsen www.lexbase.se som tillhandahålls allmänheten med stöd av utgivningsbevis och under ansvarig utgivare.

Lexbase är en nyhetstjänst med rättslig information om personer och företag. Via tjänsten tillgängliggörs rättslig information från samtliga svenska domstolar och flertalet andra myndigheter. Lexbase har till ändamål att informera allmänheten om hur domstolarna dömer i brottmål. Underlaget är i första hand brottmålsavgöranden som domstolarna lämnar ut som allmänna handlingar. Rapportering av brott, straff och rättskipning hör till journalistikens kärna. Tjänstens kategorisering, rubriksättning och sammanfattningar gör rättskipningen överblickbar och jämförbar. Verksamhetens huvudsakliga och styrande ändamål är därmed journalistiskt.

Bolaget har på frågor från IMY som besvarats i april 2025 uppgett att det inte är möjligt att ange hur många av de publicerade handlingarna/artiklarna som innehåller uppgifter som omfattas av artikel 10 i dataskyddsförordningen. Bolaget bedömer att information om det totala antalet handlingar/artiklar i databasen utgör affärskritisk information och lämnar därför inte någon närmare uppgift i den delen.

Journalistisk verksamhet

Bolagets ändamål med Lexbase är rent journalistiskt. All publicering sker med beaktande av enskildas privatliv i enlighet med de avgränsningar som framgår av yttrandefrihetsgrundlagen (YGL) och tryckfrihetsförordningen (TF).

Redaktionens arbete bedrivs under ansvarig utgivares exklusiva publicistiska ansvar. Urval, bearbetning, anonymisering och faktakontroll av rättsfall samt publicering av artiklar sker inom en på förhand bestämd redaktionell ram. Ett språkverktyg kan användas för att framställa utkast till artiklar inom dessa ramar. Språkverktyget fattar inte publicistiska beslut, utan det redaktionella ansvaret och beslut om publicering ligger hos redaktionen under ansvarig utgivare. Uttalandet i SVT, om att domar gjorts om till artiklar med hjälp av AI, avsåg detta produktionsverktyg. Att ett tekniskt verktyg används för att formulera utkast förändrar inte ändamålet eller ansvarsfördelningen.

Bolagets publicistiska policy reglerar bland annat respekt för privatlivet, namnpublicering, skydd för brottsoffer, barn och närstående, rättelse och genmäle samt ansvarig utgivares bestämmanderätt. Artiklar ska inte innehålla direkt identifierande uppgifter med undantag för det öppna redaktionella urvalet om personer med offentlig ställning.

Dataskyddsförordningen utgör kompletterande lag till TF och YGL, vilket bekräftats av Högsta förvaltningsdomstolen (HFD) i mål 4588-23. HFD har inte beaktat dataskyddsförordningen som en med YGL jämställd lagstiftning.

YGL förbjuder förhandsgranskning och hindrande åtgärder som riktas mot ett program på grund av dess innehåll utan stöd i grundlagen (1 kap. 11 och 14 §§). Detta innebär att ett föreläggande som i praktiken stänger ett redaktionellt arkiv, förbjuder dess sökstruktur eller framtvingar avpublicering måste föregås av en uttrycklig prövning av lagstöd, nödvändighet och proportionalitet. Grundlagens sammanhållna ansvarssystem med ansvarig utgivare är tungt vägande skyddsmekanism när motstående rättigheter ska förenas enligt artikel 85 i dataskyddsförordningen.

Enligt artikel 85.2 ska medlemsstaterna för behandling som sker för journalistiska ändamål fastställa undantag från bland annat kapitel II, där artikel 10 ingår, om undantagen är nödvändiga för att förena rätten till skydd för personuppgifter med yttrande- och informationsfriheten. Sverige har gjort det genom 1 kap 7 § andra stycket dataskyddslagen. EU-domstolen har inte underkänt undantaget för verksamhet som faktiskt uppfyller villkoren för journalistiska ändamål. Den kontrollen ska avse den tjänst som bedrivs nu där redaktionella artiklar publiceras istället för domar.

Skäl 153 till dataskyddsförordningen anger att undantagen för journalistiska ändamål särskilt bör gälla nyhetsarkiv och pressbibliotek. Ett digitalt nyhetsarkiv fyller sin funktion genom att materialet kan återfinnas. Allmänhetens intresse av tillgång till pressens arkiv skyddas av artikel 10 i Europakonventionen.

Enligt Europadomstolen innefattar pressens uppgift att föra arkiv över och tillgängliggöra tidigare rapportering för allmänheten. Digitala nyhetsarkiv utgör en viktig källa för utbildning och forskning. Arkivens integritet är en vägledande princip och anonymisering utgör en mindre ingripande åtgärd än att avlägsna arkivmaterial. Vid en avvägning mot rätten till privatliv har Europadomstolen fäst vikt vid att artiklarna endast nåddes av den som söker efter uppgifter om personerna, att tillgången förutsatte betalning eller prenumeration, samt att det är journalisternas sak att avgöra vilka detaljer som ska tas med, förutsatt att valet följer yrkesetiska regler.

Lexbase är ett redaktionellt nyhetsarkiv, inte en distributionskanal för brottmålsdomar. Lexbase har redan från början gjort samtliga artiklar i prenumerationsdatabasen personuppgiftsfria. Källarkivet och indexet behandlas för journalistiska ändamål som nödvändiga led i redaktionens arbete. Sökparametern kan inte ensam avgöra om verksamheten är journalistisk. Avgörande är ändamålet, det utlämnade innehållet och den konkreta utformningen.

Begreppet journalistiskt ändamål ska tolkas brett. Journalistisk verksamhet är verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium det sker. Varken att verksamheten bedrivs på internet, mot ersättning eller att behandlingen avser fällande domar i brottmål innebär att den inte kan ske för journalistiska ändamål. Även material som samlats in från myndigheter och tillhandahålls kommersiellt kan utgöra behandling för journalistiska ändamål. Materialet ska dessutom vara föremål för visst redigerings- eller bearbetningsarbete innan det publiceras, publiceringen ska beakta pressetiska och yrkesetiska regler för journalister eller åtminstone i enlighet med en redaktionell linje, och påståenden om fakta och omständigheter ska granskas före publicering. Även sådan behandling som är nödvändig för publiceringen omfattas i bedömningen, liksom urval och rangordning av insamlad information.

Brottmålsavgöranden och identitetsuppgifter hålls i redaktionens källmiljö och tillhandahålls inte prenumeranten. Webbplatsens källmaterial, interna redaktionella index och tekniska sökfunktion är hjälpmedel för att framställa, kontrollera, rätta och sprida bolagets redaktionella innehåll. Den behandlingen sker för journalistiska ändamål enligt artikel 85.2 i dataskyddsförordningen, 1 kap. 7 § andra stycket dataskyddslagen och de kriterier som EU-domstolen angett i mål C-199/24. De öppna namnpubliceringarna bedöms enligt samma journalistundantag men vilar även på ansvarig utgivares beslut om allmänintresse för varje artikel. För den personuppgiftsfria artikeltexten är dataskyddsförordningen inte tillämplig och för övriga journalistiska led ska artikel 10 inte tillämpas.

Prövningen ska vidare beakta om ett undantag från artikel 10 är motiverat. Den bedömningen ska ta sikte på vilken typ av personuppgifter som behandlas, vilken typ av behandling det är fråga om, hur behandlingen går till, hur många som har tillgång till uppgifterna och formerna för åtkomst.

Grundlagsstiftaren har särskilt reglerat möjligheten att genom vanlig lag begränsa sökbara uppgiftssamlingar. Uppgifter om lagöverträdelser omfattas inte av delegationen i 1 kap. 20 § YGL. Förslag om att utvidga delegationen har avslagits av riksdagen och frågan har därefter utretts på nytt. Historiken visar att ett administrativt ingripande med samma praktiska verkan som ett generellt publiceringsförbud kräver särskild återhållsamhet.

Högsta domstolens avgörande i NJA 2025 s. 123 I och II har i fråga om en nyhetsbyrå som via sin databas tillgängliggör redaktionellt bearbetad nyhetstext, funnit att intresset av att bedriva den journalistiska verksamheten ska balanseras mot integritetsintresset genom skyddsåtgärder och inte genom att verksamheten hindras. Lexbase tillgängliggör redaktionellt framställda artiklar utan personuppgifter. Förbehållets skyddsintresse är därmed tillgodosett i artikelledet. Index- och sökledet ska bedömas separat som ett journalistiskt hjälpmedel, inte jämställas med ett utlämnande av handlingarna.

Typ av uppgifter

I den tidigare nyhetsverksamheten återpublicerades domar och myndighetsbeslut i original, inklusive tvistemål och brottmål. Publiceringen av oredigerade domar begränsades endast av att särskilt känsliga personuppgifter undantogs. I söktjänsten på Lexbase gick det att söka efter domar avseende individuella personer. Användare fick typiskt sett tillgång till namn, personnummer och adress.

Bolaget lade under 2025 om tjänsten i grunden. I den nu bedrivna redaktionella nyhetstjänsten publiceras personuppgiftsfria artiklar om rättsskipningen i svenska brottmål. Artiklarna i nyhetstjänstens digitala nyhetsarkiv omfattar alla slags rättsfall och de som avser brott innehåller brottsuppgifter. Användare som betalar för en arkiverad artikel kan få tillgång till målnummer och kontaktuppgifter till den aktuella domstolen.

Avgöranden lämnas inte längre ut genom Lexbase utan används som källmaterial för redaktionellt framställda artiklar. Varje artikel framställs inom en redaktionellt beslutad struktur. Redaktionen har bestämt urvalskriterier, artikelmall, språk, kategorisering, anonymisering och vilka uppgifter som ska utelämnas. Före publicering kontrollerar redaktionen att artikeln har rätt källa, att sakfråga, utfall och beslut eller påföljd är korrekt återgivna, att rubrik och ingress har täckning, att processläget anges rätt och inga direkt identifierande personuppgifter finns i artikeltexten. Kraven på

faktagranskning och tillförlitligt underlag är därmed integrerade i den redaktionella processen. Artiklar publiceras inte där den tilltalade var under 18 år, eller där sekretess eller skyddsbehov medför risk för att någon identifieras. Mål om sexualbrott och andra integritetskänsliga mål får publiceras först efter en särskild redaktörsprövning.

Användare kan få åtkomst till artiklar genom två åtskilda publiceringsytor. På den öppna webbplatsen publiceras ett begränsat redaktionellt urval av artiklar om offentligt kända personer. Namnpublicering i det öppna urvalet sker efter ett individuellt publicistiskt beslut. I den sökbara artikeldatabasen kan användare med ett konto som aktivt prenumererar på nyhetstjänsten få åtkomst till alla artiklar i artikelarkivet. Ingen artikel i den sökbara databasen innehåller namn, personnummer, adress, bild eller andra direkt identifierande uppgifter. Artiklarna innehåller inte heller detaljer som indirekt kan identifiera en person, exempelvis adress, arbetsplats eller skola.

Sökningen i den sökbara artikeldatabasen kan ske med parametrarna brottskategori, ort, datum och fritext. Ett sökbegrepp som utgörs av ett namn eller personnummer matchas mot redaktionens interna koppling mellan artikel och källmaterial, vilket gör det möjligt att kontrollera artikeln mot sin källa och spåra publiceringsbeslutet. Träffen leder endast till bolagets personuppgiftsfria artikel och inte till avgörandet. Träfflistan visar inte sökbegreppet, bekräftar inte att sökbegreppet förekommer i källmaterialet och ger inte åtkomst till källmaterialet. Namn får förekomma i träfflistan endast för artiklar som har publicerats öppet på webbplatsen och avser en person med offentlig ställning eller roll som brottet har ett samband med.

När en användare söker på ett namn som inte relaterar till en nyhetsartikel visas andra liknande namn eller händelser relaterade till lokala och regionala nyhetsartiklar i sökresultatet. Vid sökning på ett personnummer som inte förekommer i någon dom som finns sammanfattad i nyhetsarkivet kommer andra relaterade artiklar som kan antas vara relevanta eller i övrigt intressanta för läsaren att visas i sökresultatet.

Motivering av beslutet

Dataskyddsförordningens tillämplighet

Publiceringen omfattas av grundlagsskydd

Tillsynen avser publicering av personuppgifter på internet. Dataskyddsförordningen är normalt sett tillämplig på sådan personuppgiftsbehandling. Legal Newsdesk har dock ansökt om och beviljats ett frivilligt utgivningsbevis i enlighet med 1 kap. 5 § YGL för webbplatsen www.lexbase.se. Detta innebär enligt 1 kap. 4 § YGL att publiceringen av personuppgifter på webbplatsen är grundlagsskyddad.

En följd av att webbplatsen omfattas av grundlagsskydd är, i enlighet med det s.k. censurförbudet i 1 kap. 11 § YGL, att det som är avsett att framföras i program eller genom tekniska upptagningar inte först får granskas av en myndighet eller ett annat allmänt organ. Enligt förbudet mot hindrande åtgärder i samma paragraf är det inte tillåtet för en myndighet eller ett annat allmänt organ att på grund av innehållet förbjuda eller hindra framställning, offentliggörande eller spridning bland allmänheten av ett program eller en teknisk upptagning, om åtgärden inte har stöd i YGL. Enligt exklusivitetsprincipen i 1 kap. 14 § YGL får en myndighet eller ett annat allmänt organ inte utan stöd i YGL ingripa mot någon för att han eller hon i ett program eller en teknisk upptagning har missbrukat yttrandefriheten eller medverkat till ett sådant missbruk. Inte heller får de utan stöd i YGL av sådan anledning ingripa mot

programmet eller upptagningen. Exklusivitetsprincipen innebär att YGL är exklusiv sanktions- och processlag inom lagens tillämpningsområde.

Dataskyddsförordningens förhållande till mediegrundlagarna i ljuset av EUdomstolens avgörande den 9 juli 2026

I dataskyddsförordningen regleras förhållandet till yttrande- och informationsfriheten i artikel 85. I artikelns första del (85.1) föreskrivs en skyldighet för medlemsstaterna att i nationell rätt förena rätten till integritet i enlighet med förordningen med yttrande- och informationsfriheten. Av artikelns andra del (85.2) framgår att medlemsstaterna – om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten – även får fastställa undantag eller avvikelser från delar av förordningen för behandling för vissa angivna ändamål, bland annat journalistiska. Begränsningarna måste vara föreskrivna i lag samt förenliga med det väsentliga innehållet i de grundläggande rättigheterna och med den unionsrättsliga proportionalitetsprincipen. Det betyder bland annat att begränsningarna inte får gå utöver vad som är strikt nödvändigt, och det förutsätts också att det finns tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av undantagen.

I svensk rätt görs undantag från dataskyddsförordningen genom att det i 1 kap. 7 § första stycket dataskyddslagen anges att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot TF eller YGL. I paragrafens andra stycke föreskrivs att artiklarna 5-30 och 35-50 i dataskyddsförordningen samt 2–5 kap. dataskyddslagen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Ett ingripande från IMY mot publiceringen av personuppgifter på webbplatsen skulle strida mot YGL, vilket enligt regleringen i dataskyddslagen innebär att dataskyddsförordningen inte ska tillämpas. Det har dock länge varit ifrågasatt om den svenska ordningen är förenlig med EU-rätten.

Mot denna bakgrund framställde Attunda tingsrätt i mars 2024 en begäran om förhandsavgörande till EU-domstolen i ett tvistemål avseende rätten till skadestånd för överträdelser av dataskyddsförordningen mellan en person (ND) och Legal Newsdesk Sweden AB. Den 9 juli 2026 meddelade EU-domstolen dom i målet som avser tolkningen av artikel 85.1 och 85.2 i dataskyddsförordningen.

I domen konstaterar EU-domstolen att möjligheterna till undantag från förordningen med hänsyn till yttrande- och informationsfriheten är begränsade till de ändamål som räknas upp i artikel 85.2, däribland journalistiska ändamål. Artikel 85.1 ger alltså inget ytterligare stöd för undantag från dataskyddsförordningen, utöver vad som framgår av artikel 85.2.

Som en följd av EU-domstolens bedömning blir det EU-rättsliga begreppet journalistiskt ändamål centralt för bedömningen av om det finns möjlighet att undanta sådan behandling av personuppgifter som är aktuell i ärendet från dataskyddsförordningen.

IMY konstaterar att begreppet journalistiska ändamål i unionsrätten har getts en bredare innebörd än i vardagligt språkbruk. Begreppet kan dock inte ges en sådan vid innebörd att all information som görs tillgänglig på internet och som innehåller

personuppgifter omfattas. Sökmotorleverantörernas personuppgiftsbehandling anses till exempel inte ske för journalistiska ändamål. Kammarrätten i Stockholm har vidare bedömt att en söktjänst med information om privatpersoner inte har något journalistiskt ändamål.

EU-domstolen slår i Legal Newsdesk-domen fast att en verksamhet som består i att tillhandahålla allmänheten offentliga handlingar i form av fällande domar i brottmål mot ersättning på internet kan anses utgöra behandling av personuppgifter för journalistiska ändamål i enlighet med artikel 85.2 endast under förutsättning att behandlingen har till ändamål att sprida information, åsikter eller idéer till allmänheten. För detta krävs att det aktuella materialet är föremål för visst redigerings- eller bearbetningsarbete innan det publiceras och att publiceringen sker med iakttagande av pressetiska regler och yrkesetiska regler för journalister, eller åtminstone i enlighet med en redaktionell linje, samt att påståenden om fakta och omständigheter i materialet granskas före publicering.

Behandlingen sker inte för ett journalistiskt ändamål

Legal Newsdesk har uppgett att ändamålet med söktjänsten är rent journalistiskt.

När IMY inledde tillsynen tillgängliggjorde Legal Newsdesk oredigerade offentliga handlingar av olika slag, såsom brottmålsdomar och myndighetsbeslut. Det skedde inte någon bearbetning av handlingarna utöver att särskilt känsliga personuppgifter undantogs. EU-domstolen har i sitt avgörande bedömt att utredningen i målet, med förbehåll för tingsrättens kontroll, inte ger stöd för att behandlingen sker för ett journalistiskt ändamål. IMY bedömer mot den bakgrunden att Legal Newsdesks behandling av personuppgifter före förändringarna av söktjänsten inte skedde för journalistiska ändamål.

Efter förändringarna av söktjänsten benämns de handlingar som tillhandahålls i söktjänsten som artiklar. Dessa artiklar är baserade på handlingar från svenska domstolar och myndigheter och avser i första hand brottmålsdomar. Av utredningen i ärendet framgår att bolaget i samband med förändringarna gjorde om alla, eller åtminstone en mycket stor del, av handlingarna i den omfattande databasen till kortfattade artiklar. Därefter har söktjänsten fortlöpande uppdaterats med artiklar som bygger på en stor mängd domar och andra beslut från svenska domstolar och myndigheter.

De artiklar som rör brottmålsdomar innehåller bland annat uppgifter om vilket brott som avses, den eventuella påföljd som dömts ut, händelsedatum och plats, målnummer och kontaktuppgifter till aktuell domstol. På webbplatsen kan användare, genom en sökning på bland annat namn eller personnummer, få upp en lista av sökresultat där bland annat namn, ålder och ort visas tillsammans med en länk till en artikel. Bolaget har en ”intern redaktionell koppling” som gör det möjligt för användare att söka på namn och personnummer och hitta den artikel som handlar om den eftersökta personen.

IMY konstaterar att, även om en sökning på namn eller personnummer på webbplatsen i vissa fall skulle leda till ett sökresultat där den person som artikeln handlar om inte identifieras med namn, ålder och ort, är kopplingen mellan sökord och

sökresultat typiskt sett sådan att den visar att personen med hög grad av sannolikhet förekommer i en brottmålsdom. För IMY är det uppenbart att det också är just det som är syftet med sökfunktionen. Detta innebär att sökresultaten på ett mycket tydligt sätt utgör personuppgifter om den eftersökta personen. Vad Legal Newsdesk anfört om att det, särskilt om den eftersökta personen inte förekommer i någon artikel, kan finnas vissa felkällor vid en sådan sökning medför ingen annan bedömning. Vad bolaget anfört om att artiklarna i sig inte innehåller några personuppgifter saknar relevans för bedömningen eftersom det är tydligt att en användare genom att söka på personnummer eller namn kan få fram artiklar baserade på brottmålsdomar avseende den eftersökta personen.

IMY konstaterar således att det framgår av utredningen att söktjänsten numera består av en mycket stor mängd artiklar, att varje artikel motsvarar en beslutshandling från en svensk domstol eller myndighet samt att omvandlingen av beslutshandlingarna till artiklar kan ske med automatiserade hjälpmedel. Artiklarna tillhandahålls vidare i sökbar form, där det är möjligt att söka på enskilda personer och få tillgång till alla artiklar som rör den eftersökta personen. IMY bedömer därför att det i praktiken är samma typ av tjänst med i grunden samma syfte som före förändringarna. Mot den bakgrunden bedömer IMY att de förändringar av söktjänsten som skett under tillsynen inte gör att den har fått ett journalistiskt ändamål i enlighet med de bedömningskriterier som EU-domstolen ställt upp.

Sammanfattningsvis gör IMY bedömningen att behandlingen av personuppgifter i söktjänsten, varken före eller efter förändringarna, kan anses ske för journalistiska ändamål. Detta innebär att det inte är möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen.

Är undantagen nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten?

Som framgått har IMY konstaterat att behandlingen inte sker för journalistiska ändamål och att det innebär att det redan av det skälet inte är möjligt att göra undantag med stöd av artikel 85 i dataskyddsförordningen för den aktuella personuppgiftsbehandlingen. Om behandlingen trots allt skulle anses ske för ett sådant ändamål gäller dock att undantag enligt artikel 85.2 även måste vara nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten för att vara tillåtna. IMY anser därför att den frågan behöver prövas särskilt.

Den svenska regleringen om förhållandet mellan mediegrundlagarna och dataskyddsförordningen innebär att det enda rättsmedlet mot en kränkning av rätten till skydd av personuppgifter är att inleda ett straffrättsligt förfarande om förtal och att begära skadestånd med anledning av brottet. Det innebär att skyddet enligt dataskyddsförordningen i princip helt sätts ur spel.

IMY konstaterar att det är en mycket stor mängd personuppgifter som behandlas och är sökbara i Legal Newsdesks söktjänst för var och en som betalar för tjänsten, att uppgifterna är av klart integritetskänsligt slag och att uppgifterna kan spridas på ett okontrollerat sätt. IMY bedömer därför att tillhandahållandet av personuppgifter i Legal Newsdesks söktjänst, såväl före som efter förändringarna, medför allvarliga risker för enskildas personliga integritet.

Av särskild betydelse vid denna bedömning är att Legal Newsdesk i sin söktjänst behandlar uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser som innefattar brott och att sådan behandling ställer särskilt höga krav enligt den skyddsreglering som finns i artikel 10 i dataskyddsförordningen (se vidare nedan). Det finns också skäl att i detta sammanhang framhålla att det uttryckligen framgår av grundlagsförarbetena att syftet med att införa ett grundlagsskydd för frivilliga utgivningsbevis aldrig var att skydda den typen av publiceringar som sker genom offentliggörande av sökbara samlingar av personuppgifter.

Med hänvisning till det nu anförda bedömer IMY att de långtgående undantagen i 1 kap. 7 § första stycket dataskyddslagen inte är nödvändiga för att förena rätten till integritet med skyddet för yttrande- och informationsfriheten när det gäller söktjänster av det aktuella slaget. Undantagen är därför inte förenliga med artikel 85.2 i dataskyddsförordningen.

När det gäller regleringen i 1 kap. 7 § andra stycket dataskyddslagen om undantag från delar av dataskyddsförordningen vid behandling av personuppgifter för bland annat journalistiska ändamål, kan konstateras att den regleringen främst har betydelse för personuppgiftsbehandling utanför TF:s och YGL:s område. Bestämmelsens ordalydelse omfattar även verksamhet som har grundlagsskydd. De båda styckena måste dock ses i ett sammanhang. Andra stycket kan inte rimligen ges den innebörden att undantaget från dataskyddsförordningens tillämpning för verksamhet som inte är grundlagsskyddad blir mer långtgående än det undantag som avser det grundlagsskyddade området.

Bedömning av dataskyddsförordningens tillämplighet

IMY har ovan bedömt att det omfattande tillhandahållandet av personuppgifter inom ramen för den aktuella söktjänsten som sker på webbplatsen inte utgör en sådan behandling som sker för journalistiska ändamål och att undantag med stöd av artikel 85 därför inte är möjliga. Vidare har IMY – oaktat om behandlingen kan anses ske för journalistiska ändamål – gjort bedömningen att de långtgående undantagen i 1 kap. 7 § dataskyddslagen inte är nödvändiga för att förena rätten till integritet med yttrandeoch informationsfriheten. Undantagen är således inte heller förenliga med artikel 85.2 i dataskyddsförordningen.

EU-domstolen har slagit fast att nationella domstolar och myndigheter är skyldiga att tolka nationell lagstiftning med hänsyn tagen till relevanta bestämmelser i unionsrätten. Om EU-rätten inte kan ges genomslag genom sådan EU-konform tolkning har EU-rätten företräde vid konflikt med nationell rätt. Detta gäller även i förhållande till nationella grundlagsbestämmelser. Principen om EU-rättens företräde ska tillämpas, inte bara av domstolar, utan även av nationella förvaltningsmyndigheter.

Det är inte möjligt att genom EU-konform tolkning av svensk rätt ge dataskyddsförordningen genomslag. EU-rätten behöver därför ges företräde framför regleringen i YGL och 1 kap. 7 § dataskyddslagen.

Sammanfattningsvis konstaterar IMY att integritetsintresset väger tyngre än yttrandeoch informationsfriheten i det aktuella fallet och att de undantag från dataskyddsförordningen som gjorts i den svenska regleringen inte kan tillämpas fullt ut. IMY bedömer att det särskilda skyddet enligt artikel 10 i dataskyddsförordningen måste kunna tillämpas på behandlingen för att åstadkomma ett tillräckligt integritetsskydd. Det krävs också att IMY:s tillsynsbefogenheter kan användas för att säkerställa detta. IMY ska därför pröva om Legal Newsdesk behandlar personuppgifter i strid med artikel 10 i dataskyddsförordningen.

Personuppgiftsansvar

Av utredningen framgår att Legal Newsdesk bestämmer ändamål och medel för behandlingen av personuppgifter i söktjänsten. IMY bedömer därför att bolaget är personuppgiftsansvarig.

Personuppgifter om brott

I artikel 10 i dataskyddsförordningen anges att behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, eller därmed sammanhängande säkerhetsåtgärder (så kallade brottsuppgifter) endast får utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.

Legal Newsdesk behandlar bland annat personuppgifter som rör avgöranden i brottmål i sin söktjänst. IMY konstaterar att de aktuella uppgifterna är brottsuppgifter i den mening som avses i artikel 10 i dataskyddsförordningen, vilket innebär att det krävs stöd i nationell rätt eller EU-rätt för behandlingen.

Enligt 3 kap. 8 § andra stycket dataskyddslagen får brottsuppgifter behandlas av andra än myndigheter om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Enligt 5 § kompletteringsförordningen får brottsuppgifter behandlas av andra än myndigheter om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Enligt 6 § kompletteringsförordningen får IMY meddela föreskrifter om i vilka fall andra än myndigheter får behandla brottsuppgifter. IMY får även besluta om undantag i enskilda fall.

Legal Newsdesk har inte påstått att bolaget har sådant rättsligt stöd som krävs enligt artikel 10 i dataskyddsförordningen för att behandla brottsuppgifter. Det har inte heller i övrigt framkommit att bolaget har ett sådant rättsligt stöd. IMY bedömer därför att Legal Newsdesk saknat rättsligt stöd för att behandla brottsuppgifter i söktjänsten.

IMY finner sammanfattningsvis att Legal Newsdesk har brutit mot artikel 10 i dataskyddsförordningen genom att behandla brottsuppgifter i sin söktjänst på webbplatsen www.lexbase.se utan lagligt stöd.

Val av ingripande

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Legal Newsdesk behandlar brottsuppgifter om en stor mängd personer i sin söktjänst och offentliggör dessa på sin webbplats. Överträdelsen av artikel 10 i dataskyddsförordningen är av sådan omfattning och allvarlighetsgrad att IMY i normalfallet skulle besluta om sanktionsavgift.

Det finns dock förmildrande omständigheter som talar mot utfärdandet av en sanktionsavgift. Bolaget har ett utgivningsbevis. Databaser med utgivningsbevis som utgör sammanställningar av personuppgifter har enligt den svenska regleringen grundlagsskydd genom YGL och det har fram tills nyligen saknats praxis på området. IMY finner vid en sammantagen bedömning att Legal Newsdesk inte ska påföras någon sanktionsavgift för överträdelsen av artikel 10 i dataskyddsförordningen. Legal Newsdesk ska istället med stöd av artikel 58.2 b i dataskyddsförordningen ges en reprimand för den konstaterade överträdelsen.

Det har framkommit att Legal Newsdesk behandlar personuppgifter i strid med artikel 10 i dataskyddsförordningen och att behandlingen medfört allvarliga risker för de registrerade. För att säkerställa efterlevnad av kraven i artikel 10 i dataskyddsförordningen ska Legal Newsdesk med stöd av artikel 58.2 d i dataskyddsförordningen föreläggas att i sin söktjänst på webbplatsen www.lexbase.se vidta åtgärder så att det inte längre är möjligt för användare av tjänsten att vid sökning på personer med någon av sökparametrarna personnamn, personnummer eller adress ta del av sådana uppgifter som omfattas av artikel 10 i dataskyddsförordningen som gäller den eftersökta personen.

Det aktuella föreläggandet är enligt IMY nödvändigt för att säkerställa ett acceptabelt integritetsskydd med beaktande av den särskilda skyddsregleringen i artikel 10. Ett mindre ingripande föreläggande hade under dessa förutsättningar inte haft en ändamålsenlig verkan.

Åtgärderna ska ha vidtagits senast två månader efter att detta beslut vunnit laga kraft.

__________________________

Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av juristen Karl Lundgren. Vid den slutliga handläggningen av ärendet har även rättschefen David Törngren, enhetscheferna Albin Brunskog och Nidia Nordenström, rådgivaren Victor Hagstedt, avdelningsjuristerna Ninke Liebert och Olle Pettersson samt juristerna Ivana Matic och Klara Byström medverkat.

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.