Rättsfall

En person som i domen kallas ND dömdes för ett brott 2011. Företaget bakom Lexbase publicerade domen i sin databas, där vem som helst kunde söka fram den mot betalning. ND begärde radering. Företaget gjorde det först senare, enligt sin egen gallringsrutin. ND väckte talan vid Attunda tingsrätt och krävde skadestånd. Företaget invände att verksamheten skyddas av yttrandefrihetsgrundlagen genom sitt utgivningsbevis, och att GDPR därför inte gäller.

• Sverige får inte utvidga undantaget. GDPR tillåter undantag för journalistik, forskning, konst och litteratur. Den listan är uttömmande och går inte att bygga ut.
• Du får inte fråntas dina rättsmedel. Den drabbade får inte hänvisas enbart till att väcka talan om förtal.
• Ett utgivningsbevis medför inte i sig att förordningen blir otillämplig. Avgörande är om behandlingen faktiskt sker för journalistiska ändamål.
• För journalistiska ändamål krävs fyra saker: att syftet är att sprida information, åsikter eller idéer; att materialet bearbetas eller redigeras före publicering; att publiceringen följer pressetiska regler eller åtminstone en redaktionell linje; och att påståenden om fakta granskas före publicering.

Du har rätt att begära att uppgifterna raderas, rätt att klaga till Integritetsskyddsmyndigheten, och rätt att kräva skadestånd. Ett utgivningsbevis är inte längre ett svar som avslutar diskussionen.

Nyhetsbyrån Siren begärde ut ett stort antal brottmålshandlingar från hovrätten. Hovrätten lämnade ut dem med förbehåll som begränsade vad byrån fick göra med uppgifterna. Siren överklagade. Samma dag avgjordes ett liknande mål som rörde ett bolag inom bakgrundskontroller.

• Sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen kan gälla för uppgifter i brottmålsdomar, när det kan antas att uppgifterna efter utlämnande skulle behandlas i strid med artikel 10 i GDPR.
• Handlingarna lämnades ut med förbehåll: de får inte tillhandahållas allmänheten eller betalande kunder på ett sätt som ger tillgång till personnamn, personnummer eller adress.
• Uppgifterna får inte heller göras sökbara på person.

Att en uppgift finns i en offentlig handling betyder inte att den fritt får säljas vidare eller göras sökbar på namn. Det är ett stöd för argumentet att skillnaden mellan en dom hos domstolen och en sökbar databas är en artskillnad, inte en gradskillnad.

Verifiera AB tillhandahöll en databas med domstolsavgöranden om psykiatrisk tvångsvård och vård av missbrukare — omkring 210 000 avgöranden. Bolaget har utgivningsbevis. Integritetsskyddsmyndigheten meddelade en reprimand och förelade bolaget att sluta göra uppgifterna sökbara på namn, personnummer och adress. Verifiera överklagade och invände att grundlagens undantagsbestämmelse inte tillåter att en EU-förordning träder in i lagens ställe.

• Yttrandefrihetsgrundlagen hindrar inte att det i lag meddelas förbud mot att offentliggöra vissa känsliga personuppgifter, bland annat om hälsa. Frågan var om en EU-förordning kan vara en sådan lag.
• Högsta förvaltningsdomstolen förklarade att EU:s dataskyddsförordning är en sådan lag med förbud mot offentliggörande av personuppgifter som avses i 1 kap. 20 § yttrandefrihetsgrundlagen.
• Prövningstillstånd meddelades inte i övrigt. Kammarrättens avgörande stod därför fast, och IMY:s reprimand och föreläggande bestod.

Ett utgivningsbevis skyddar inte en söktjänst från GDPR när det gäller de uppgiftskategorier grundlagens undantagsbestämmelse räknar upp. Avgörandet gäller dessutom ett av de bolag som ingår här — Verifiera AB.

Ett österrikiskt postbolag hade behandlat personuppgifter för att beräkna sannolika partisympatier. En person krävde ersättning för det obehag det orsakat.

• Det finns ingen nedre gräns för hur allvarlig en ideell skada måste vara för att ge rätt till ersättning.
• Men enbart att förordningen överträtts är inte tillräckligt i sig. Den registrerade måste visa att skada faktiskt uppkommit.

Din skada behöver inte vara dramatisk för att räknas. Men du måste kunna beskriva och helst styrka den. Det är därför frågorna om hur du påverkats är utformade som de är.

En bulgarisk myndighet drabbades av ett dataintrång som berörde miljontals personer. En av dem krävde ersättning för sin oro över att uppgifterna skulle komma att missbrukas.

• Den fruktan en registrerad känner för att personuppgifterna kan komma att missbrukas av tredje part kan i sig utgöra en immateriell skada.

Du behöver inte peka på att något konkret redan hänt. Välgrundad oro för vad uppgifterna kan leda till kan räcka — särskilt när uppgifterna faktiskt är tillgängliga för vem som helst.