Företag som erbjuder söktjänster för domstolsavgöranden

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Verifiera AB, under perioden den 6 april 2022 – 28 juni 2022, har behandlat känsliga personuppgifter (uppgifter om hälsa) i strid med artikel 9 i dataskyddsförordningen i sina tjänster på www.verifiera.se.

Integritetsskyddsmyndigheten ger Verifiera AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

Integritetsskyddsmyndigheten förelägger Verifiera AB enligt artikel 58.2 d i dataskyddsförordningen att vidta åtgärder så att det i de tjänster som Verifiera erbjuder på www.verifiera.se inte längre är möjligt för användare av tjänsterna att vid sökning på personer med någon av sökparametrarna personnamn, personnummer eller adress ta del av avgöranden i mål enligt lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1988:870) om vård av missbrukare i vissa fall som gäller den eftersökta personen. Åtgärderna ska ha vidtagits senast åtta veckor efter att detta beslut vunnit laga kraft.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har tagit emot klagomål beträffande Verifiera AB:s (Verifiera eller bolaget) tjänster. IMY har därefter på eget initiativ inlett tillsyn mot Verifiera mot bakgrund av den beskrivning av sina tjänster (nedan ”Tjänsterna”) som bolaget har lämnat på sin webbplats www.verifiera.se (nedan ”Webbplatsen”).

Syftet med tillsynen var att utreda om Verifiera genom tillhandahållandet av Tjänsterna:

• offentliggör känsliga personuppgifter på ett sådant sätt som avses i 1 kap. 20 § YGL, • behandlar personuppgifter på ett sätt som är förenligt med principerna om laglighet, korrekthet, öppenhet, ändamålsbegränsning och uppgiftsminimering (artikel 5 i dataskyddsförordningen), • har stöd i någon rättslig grund för personuppgiftsbehandlingen (artikel 6 i dataskyddsförordningen), och • behandlar uppgifter om hälsa, dvs. känsliga personuppgifter i den mening som avses i artikel 9.1 i dataskyddsförordningen, och i så fall om något av undantagen i artikel 9.2 i dataskyddsförordningen från förbudet mot behandling av sådana uppgifter är tillämpligt.

Tillsynen har skett genom granskning av den information som Verifiera angett om tjänsterna på Webbplatsen och skriftväxling.

Information om Tjänsterna på Webbplatsen

IMY har den 6 april 2022 granskat och dokumenterat den information som Verifiera lämnat om Tjänsterna på Webbplatsen. Dokumentationen har kommunicerats med Verifiera och dess riktighet har inte ifrågasatts av bolaget. Av den framgår följande.

På startsidan visas exempelbilder på hur en sökning i rättsdatabasen kan se ut. Vid personsökning finns särskilda sökfält för ”Namn”, ”Personnummer”, ”Ort/Adress” och ”Fritext sök”.

På ”www.verifiera.se/tjanster” framgår följande:

”Hur tar Verifieras tjänst hänsyn till GDPR? Verifiera och våra tjänster följer givetvis de lagar, regler och förordningar som gäller. Verifiera har utgivningsbevis och är därigenom enligt yttrandefrihetsgrundlagen (YGL) grundlagsskyddad, vilket innebär att GDPR (dataskyddsförordningen) inte är applicerbar på Verifiera eller Verifieras tjänster. Att Verifiera har utgivningsbevis och är grundlagsskyddad innebär vidare att det inte är Integritetsskyddsmyndigheten (IMY) som är tillsynsmyndighet avseende Verifieras utgivningsbevis, utan detta tillfaller Myndigheten för press, radio och tv. Så länge våra kunder befinner sig i Verifieras webgränssnitt omfattas våra kunders nyttjande av våra tjänster av samma grundlagsskydd. Som användare måste ni dock förhålla er till GDRP för det fall ni väljer att ladda ned och behandla personuppgifter i GDPR:s mening. För mer specifika frågor, tveka inte att höra av dig till vår Kundtjänst.”

”Hur vet jag att informationen stämmer? Verifiera inhämtar alla handlingar direkt från svenska domstolar och myndigheter. Såtillvida är den information som du kan finna i Verifieras rättsdatabas ytterst tillförlitlig. Att Verifieras rättsdatabas uppdateras i realtid säkerställer att du alltid får den senaste, uppdaterade informationen. Några förändringar av de uppgifter som förekommer i de offentliga

handlingarna sker inte.”

”Hur omfattande är bakgrundsinformationen? En bakgrundskontrollrapport kan på kundens begäran omfatta antingen enbart juridisk information alternativt såväl juridisk som ekonomisk information. Den juridiska informationen sträcker sig bakåt i tiden till år 2008 och omfattar alla rättsliga offentliga handlingar för en viss juridisk eller fysisk person. Den ekonomiska informationen innefattar historiska skuldsaldon såsom dessa är registrerade hos Kronofogden, de senaste taxeringsåren från Skatteverket samt eventuella betalningsförelägganden.

Vidare omfattar bakgrundskontroller personalia såsom civilstånd, ledande

befattningsställning samt om önskvärt, körkortstillstånd.”

På ”www.verifiera.se/bakgrundskontroll” framgår följande:

”Om du gör en bakgrundskontroll avseende en privatperson som innehåller ekonomisk information måste personen lämna sitt samtycke för att en bakgrundskontroll skall kunna göras. Upplysningskopia skickas till den efterfrågade

i enlighet med Kreditupplysningslagen.”

”När en användare önskar göra en bakgrundskontroll på en individ får användaren möjlighet att anpassa hur omfattande den ska vara. Användaren kan exkludera ekonomisk information i de fall den inte skulle vara av intresse.”

”Beroende på vilket behov du har av att göra bakgrundskontroller kan du välja mellan att köpa bakgrundskontrollrapporter styckvis alternativt en större mängd rapporter inom ramen för ett abonnemang på Verifieras rättsdatabas.”

”BAKGRUNDSKONTROLL – STYCKVIS. Om man bara har behov av en

bakgrundskontroll någon enstaka gång kan man beställa bakgrundskontroll

styckvis. De kostar 1295:-/st exkl moms.”

”Görs allt online? Ja, Verifieras rättsdatabas utgör en digitalisering av svenska domstolars och myndigheters offentliga handlingar. Våra kunders sökningar och filtreringar görs i Verifieras gränssnitt och resultatet genereras online i realtid.”

”Är det krångligt att göra en bakgrundskontroll? Nej, du behöver veta personnummer, organisationsnummer alternativt person- eller företagsnamn för att göra en bakgrundskontroll. Sökningar baserat på person- respektive

organisationsnummer ger snabbast och säkrast resultat.”

På ”www.verifiera.se/abonnemang” framgår följande:

”Vad innebär Verifieras abonnemang. Abonnemanget innebär att ni får tillgång till vårt lättarbetade online-verktyg, där du får tillgång till hela vår rättsdatabas och snabbt kan hitta och ta del av den information du söker.

Verifieras företagstjänst vänder sig till företag, myndigheter och övriga organisationer med behov av att göra bakgrundskontroll avseende privatpersoner och företag. Tjänsten innefattar ett lättarbetat webbgränssnitt där du snabbt kan hitta och ta del av av den information du söker. Samtliga domar, beslut, och dagboksblad är sökbara i fulltext och går att läsa i orginalutseende som PDF. Vi

tillhandahåller även API-lösningar för de som så önskar.”

”Som inloggad i rättsdatabasen kan användaren söka med en rad olika parametrar såsom; personnummer, organisationsnummer, namn, adress, juridisk instans och

fritext mm.”

På ”www.verifiera.se/vart-verktyg” framgår följande:

”Verifieras rättsdatabas samlar på regelbunden basis in offentliga handlingar från Sveriges domstolar och myndigheter. Rättsdatabasen sträcker sig bakåt i tiden till 2008. Utöver domar inhämtas även rättsliga dokument såsom väckta åtal, utfärdade stämningar, dagboksblad, åtalsunderlåtelser och strafförelägganden vilket gör att våra kunder lätt kan följa ett rättsligt ärendes gång i den juridiska processen. Till skillnad från polisens belastningsregister gallras inte Verifieras rättsdatabas, vilket säkerställer att du har möjlighet att själv avgöra huruvida en

rättshandling är relevant för ditt affärsbeslut eller ej.”

På samtliga sidor hänvisas till möjligheten att prova Verifiera kostnadsfritt i 14 dagar, både genom direktlänk till formuläret för att prova Verifiera i sidhuvudet och med andra länkar på sidorna om att starta 14-dagars provperiod.

Vid tidigare kontroll av Webbplatsen har IMY observerat en webbsida där det beskrivs vilka dokument som rättsdatabasen innehåller. Motsvarande sida tycks inte längre nås från Verifieras startsida men den länkande webbadressen är fortfarande i funktion per den 6 april 2022. Vid uppräkningen av måltyper på från förvaltningsrätterna anges bland annat följande:

• Socialförsäkringsmål, d.v.s. mål avseende tvister med Försäkringskassan i ärenden som rör t.ex. arbetsskadeersättning, föräldrapenning eller olika stöd till handikappade. • LVU-mål (mål enligt lagen med särskilda bestämmelser om vård av unga), d.v.s. mål som t.ex. handlar om huruvida minderåriga med tvång skall vårdas utanför sitt eget hem. • LVM-mål (mål enligt lagen om vård av missbrukare i vissa fall), d.v.s. mål som handlar om tvångsvård för missbrukare. • Psykiatrimål, d.v.s. mål som handlar om frågor som rör psykiatrisk tvångsvård och rättspsykiatrisk vård.

Vad Verifiera AB har uppgett

Yttrande den 27 maj 2022

Verifiera AB har i yttrande den 27 maj 2022 i huvudsak uppgett följande.

Verifiera är ett svenskt aktiebolag med utgivningsbevis för sin verksamhet. Myndigheten för radio och TV utfärdade den 2 november 2016 utgivningsbevis för Verifiera.se. Verksamheten är därför grundlagsskyddad enligt yttrandefrihetsgrundlagen. Något som också vitsordas av IMY på myndighetens hemsida: ”Dataskyddsförordningen (GDPR) påverkar inte verksamheter med utgivningsbevis.”

Av grundlagen följer att GDPR inte ska tillämpas på verksamheter som omfattas av yttrandefrihetsgrundlagen. Även utanför yttrandefrihetsgrundlagens område undantas GDPR genom de allmänna undantagen för journalistiska ändamål samt motivuttalanden om vikten av rätten till yttrandefrihet i ett demokratiskt samhälle.

IMY:s tillsyn innebär en överträdelse av myndighetens befogenhet och behörighet. Att IMY saknar behörighet och befogenhet framgår även av svar på myndighetens hemsida på frågan huruvida man ska lämna in klagomål till IMY på sajter som har utgivningsbevis: ”Nej. Tyvärr har vi inga möjligheter att få den typen av sajter att ta bort information om du skickar ett klagomål till oss. För att lämna synpunkter angående lagstiftningen kring utgivningsbevis rekommenderar vi att du vänder dig till lagstiftaren, i det här fallet Konstitutionsutskottet. De ansvarar för att bereda frågor av konstitutionell och förvaltningsrättslig betydelse.”

På Webbplatsen tillhandahåller Verifiera, inom ramen för sitt utgivningsbevis, bland annat inskannade domar som inhämtats från Sveriges Domstolar. Handlingarna är offentliga och tillgängliga för gemene man, kreditföretag och andra motsvarande tjänster, vilket följer av den svenska offentlighetsprincipen.

Verifiera är en nyhetsbyrå avseende bland annat research och bakgrundskontroll. Verifiera använder sig av en abonnemangsform som innebär att huvudsakligen olika typer av organisationer och professionella aktörer med behov av informationen på Webbplatsen i sin yrkesutövning, exempelvis företag och myndigheter, använder sig av Webbplatsen. Endast betalande användare kan få del av materialet på Webbplatsen, varefter användarna genom aktiva åtgärder i realtid kan få del av domar

och beslut som är inskannade och tillgängliga på Webbplatsen. Innan en kund tecknar ett avtal med Verifiera kan kunden prova tjänsten under fjorton dagar under förutsättning att kunden genomgår en demonstration av tjänsten. Under provperioden erbjuds tillgång till ett standardabonnemang.

Verifiera bidrar genom sin verksamhet till en fri och allsidig upplysning på ett tillbörligt sätt. Verifieras verksamhet är därtill inte unik. Tvärtom tillhandahålls motsvarande tjänst eller mer omfattande tjänster sedan länge av väletablerade tjänster (exempelvis www.infotorg.se och www.juno.se, tidigare Karnov). Likt dessa tjänster går det att på Webbplatsen hitta domar och beslut, inklusive förvaltningsrättsdomar genom fritextsökning eller genom mer specifika sökfält (benämnt filter i vissa databaser). Eftersom handlingarna på Webbplatsen utgörs av allmänna handlingar som är tillgängliga för envar att ta del av på många andra ställen än Webbplatsen, inte minst genom andra tjänster såsom eller domstolarna eller myndigheterna själva, därmed finns ingen särskild risk med publiceringen som sker på Webbplatsen.

Bakgrundstilläggstjänsten möjliggör för kunder, att genom en samtyckesförfrågan från personen som bakgrundskontrollen avser, erhålla en bakgrundskontrollrapport avseende eventuella pågående eller tidigare rättsliga tvister. Rättsdatan hämtas från domstolar och myndigheter och utgörs av offentliga handlingar. En förutsättning för en sådan bakgrundsrapport är att personen ifråga samtycker till detta, verifiering sker bland annat med bank-id. Tjänsten saknar koppling till dataskyddsförordningen.

Vad gäller Verifieras data- och IT-säkerhet är den mycket hög. Bolaget har egna servrar som står i datahallar inom EU. Verifiera använder mjukvara som inte är åtkomliga via internet vilket innebär att alla tjänster är isolerade från varandra samt internet. Endast Verifieras CTO och nätverksadministratör har tillgång till mjukvaran. För det fall en IP-adress finns tillgänglig från internet så skyddas den med en brandvägg bunden till specifika IP-adresser. Alla Verifieras system är byggda med skydd mot olika typer av IT-attacker.

Vad gäller beslut om hälso- och sjukvård för uppgift om enskildas hälsotillstånd gäller stark sekretess, vilket innebär att sådana uppgifter får röjas endast om det står klart att den enskilde eller någon närstående till denne inte lider men. Detsamma gäller i annan medicinsk verksamhet, exempelvis rättsmedicinsk och rättspsykiatrisk undersökning. För domar och beslut som rör sådana förhållanden gäller sekretess och domstolarna lämnar således inte ut uppgifter om hälsa eller dylikt. Då de domar som återfinns på Webbplatsen motsvarar dem som finns hos domstolen gäller detsamma för handlingarna som finns på Webbplatsen.

Yttrande den 13 juni 2022

Verifiera AB har i yttrande den 13 juni 2022 i huvudsak uppgett följande.

Inledning och allmänt

Verifiera vidhåller de ståndpunkter som framförts i yttrande av den 27 maj 2022.

Det är Verifieras uppfattning att IMY saknar all rätt att inleda förevarande granskning samt att utöva tillsyn över Verifiera. Förhållandet att Verifiera på ett mer detaljerat sätt besvarar frågor som gäller efterlevnaden av dataskyddsförordningen innebär inte att Verifiera vidgår att dataskyddsförordningen är tillämplig eller att IMY överhuvudtaget har rätt att bedriva den granskning som görs. Begrepp såsom "personuppgiftsbehandling" med mera används även om Verifieras uppfattning är att bolagets

hantering av allmänna handlingar inte utgör en behandling av "personuppgifter" som omfattas av dataskyddsförordningen.

Ändamålen med personuppgiftsbehandlingen som utförs i tjänsterna Verifiera tillhandahåller allmänna handlingar till användarna av Tjänsterna i syfte att bedriva sin grundlagsskyddade verksamhet och i en vidare bemärkelse främja en allsidig upplysning och en fri åsiktsbildning.

Vem som beslutar om ändamålen och medlen för behandlingen i respektive tjänst Verifiera beslutar om ändamålen och medlen för "personuppgiftsbehandlingen" av Tjänsterna. Verifiera vill dock poängtera att i publicistiskt hänseende är det användaren som beslutar om ändamålen, på samma sätt som en tidningsläsare själv bestämmer ändamålet när denna tar del av en publicerad tidskrift, och inte nyhetsredaktionen som publicerat tidningen.

Om samtycke samlas in från berörda personer innan behandling i någon av tjänsterna Samtycke i den mening som avses i artikel 6.1 a i dataskyddsförordningen, och uttryckligt samtycke i den mening som avses 9.2 a, samlas in i samband med bakgrundskontroller i Bakgrundstilläggstjänsten från den person som kontrollen gäller. Tjänsten möjliggör för kunder, att genom en samtyckesförfrågan från personen som bakgrundskontrollen avser, erhålla en bakgrundskontrollrapport avseende eventuella pågående eller tidigare rättsliga tvister. Rättsdatan hämtas från domstolar och myndigheter och utgörs av offentliga handlingar. En förutsättning för en sådan bakgrundsrapport är att personen ifråga samtycker till detta och verifiering sker bland annat med bank-id. I övrigt samlas inte samtycke in.

Rättslig grund för behandlingen och omständigheter som visar att den är giltig Behandlingen i Tjänsterna är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, dvs. allmänhetens rätt till yttrandefrihet och att få del av offentliga handlingar m.m.

Behandlingen i Tjänsterna är nödvändig för ändamål som rör Verifieras berättigade intresse av att kunna driva sin grundlagsskyddade verksamhet inom ramen för sitt utgivningsbevis.

Behandlingen i Tjänsterna är nödvändig för ändamål som rör gemene mans berättigade intresse av att, inom ramen för Verifieras grundlagsskydd, få del av allmänna handlingar som finns tillgängliga i Tjänsterna.

De "registrerades" intressen väger i förevarande fall inte tyngre än rätten till yttrandefrihet. Handlingarna som återfinns i Tjänsterna finns tillgängliga genom flertalet andra källor. Vilken typ av domstolsavgörande som det är fråga om torde vara ointressant då domstolar har att tillämpa sekretess i den mån uppgifter om hälsa förekommer.

Om uppgifter om hälsa i den mening som avses i artikel 9.1 behandlas Verifiera har uppfattat det som att IMY:s granskning avser uppgifter i domstolsavgöranden från de allmänna förvaltningsdomstolarna.

Förvaltningsdomstolar dömer över ett vitt spann av rättsområden, varav flertalet torde sakna all relevans för IMY såsom mål om skatt, PBL, migration, laglighetsprövning, körkortsingripanden, olika typer av tillstånd, stiftelser, mark och miljö, djurskydd, offentlig upphandling mm.

IMY har inte närmare specificerat exakt vilka måltyper de menar kan innehålla "känsliga personuppgifter", viss exemplifiering har dock gjorts. Vidare har inte IMY gjort gällande i vilken utsträckning de menar att sådana mål innehåller "känsliga personuppgifter" utan tycks dra samtliga exemplifierande måltyper över samma kam, en ordning som Verifiera ifrågasätter.

Det är möjligt att vissa måltyper kan, i okänd utsträckning, innehålla uppgifter avseende personers hälsa. Domstolarna har dock, såsom ovan anförts, att följa en sträng sekretess avseende hälsa och dylik information. Är en dom från en förvaltningsdomstol offentlig (och inte skyddad av sekretess), är även uppgifter, i den mån sådana framgår, offentliga. Domstolarna är i regel återhållsamma med att ange uppgifter som på något sätt kan betecknas som "känsliga". Domstolarna begränsar informationen i avgöranden till den nivå som är nödvändig för att förklara utgången i målet. I den mån ett domstolsavgörande ändå innehåller en uppgift som kan betecknas som "känslig" är behandlingen nödvändig bland annat med hänsyn till ett viktigt allmänt intresse på grundval av svensk rätt. Den behandling som görs av Verifiera står i proportion till det eftersträvade syftet och är också förenligt med hur regler om dataskydd ska behandlas inom det grundlagsskyddade området.

Vilken information som lämnas till de berörda personerna

Verifiera lämnar information om innehållet på Verifiera.se till sina användare. En registrerad har möjlighet att bli användare på Verifiera.se och kan på så sätt ta del av de allmänna handlingar som finns tillgängliga där.

Om användare av Bakgrundskontrollstjänsten får del av uppgift om att den eftersökta personen förekommer som klaganden i mål om psykiatrisk tvångsvård Användare av Tjänsterna får del av de uppgifter som finns på Webbplatsen och det inbegriper eventuella domslut som måhända berör dem. Information om att domar tillhandahålls på Webbplatsen framgår tydligt.

Vad gäller funktionen bakgrundskontroller hänvisas till vad som anförts ovan.

Eventuella ändringar som vidtagits av tjänsterna jämfört med den beskrivning som

framgick av webbplatsen den 4 april 2022

Inga ändringar har vidtagits. I den mån det meddelas lag om förbud avseende av personuppgifter som rör hälsa så kommer Verifiera se över sin verksamhet på ändamålsenligt sätt.

Tillägg avseende 1 kap. 20 § YGL

Av lydelsen till 1 kap. 20 § YGL framgår att YGL inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av personuppgifter. I förarbetena till 1 kap. 20 § YGL anges inte att dataskyddsförordningen skulle vara tillämplig på bestämmelsen. Så hade varit fallet om det var tänkt att det, i strid mot bestämmelsens ordalydelse, skulle inrymmas andra lagar om förbud. Av kommentar till YGL på Juno framgår att delegationsbestämmelsen inte har följts upp av någon lagstiftning.

Att ändamålstolka en grundlag är inte möjligt.

Vilka följder ett eventuellt negativt beslut får går inte att överblicka och rättsläget efter ett sådant beslut kommer att vara högst oklart. Ett rättssäkert agerande hade varit att invänta en eventuell lag om förbud innan en granskning påbörjades. Då hade Verifiera haft kännedom om rättsläget och innehållet i eventuellt förbud. Verifiera hade då kunnat agera och anpassa därefter. Nuvarande granskning saknar alla former av

förutsebarhet och rättssäkerhet. Verifieras uppfattning är att granskningen som sådan och ett eventuellt negativt beslut innehållande korrigerande åtgärder kan utgöra myndighetsmissbruk.

Kreditupplysningslagen – en komparativ utblick

I grundlagarna finns det bestämmelser avseende kreditupplysningsverksamhet (vilket innefattar verksamheter med utgivningsbevis) som inte hindrar att det meddelas föreskrifter om förbud för sådan verksamhet i vissa specifika situationer.

Sådana föreskrifter har med stöd av delegationsbestämmelse i grundlag införts i kreditupplysningslagen varvid särskilda hänvisningar uttryckligen görs till dataskyddsförordningen och dataskyddslagen. Det framgår därtill uttryckligen att IMY är tillsynsmyndighet.

I dessa avseenden hämtar således IMY sin behörighet från lag och har genom uttryckliga bestämmelser i lag som införts med stöd av delegationsbestämmelse rätt att tillämpa dataskyddsförordnigen i vissa uttryckligt angivna avseenden.

Allt detta saknas nu. I förevarande fall har delegationsbestämmelsen i 1 kap. 20 § YGL inte utnyttjats och IMY saknar både behörighet och befogenhet att granska Verifieras grundlagsskyddade verksamhet.

Särskilt om andra databaser

På sätt som angivits ovan är Verifieras verksamhet inte unik. Motsvarande tjänst eller mer omfattande tjänster tillhandahålls av sedan länge väletablerade tjänster.

Verifiera har med anledning av IMY:s granskning genomfört sökningar på sådana väletablerade tjänster, exempelvis juno.se. På juno.se har Verifiera fått träffar på eftersökta personnummer, namn och adresser. Dessa sökresultat visar att Verifieras verksamhet följer branschstandarden för verksamheter med utgivningsbevis samt att Verifieras verksamhet inte är otillbörlig, tvärtom är verksamheten i allt väsentligt desamma som hos de marknadsledande företagen i branschen.

Ett beslut om att dataskyddsförordningen är tillämpligt skulle få oförutsebara konsekvenser för hela branschen. Mot bakgrund av detta samt vad som anförts i stycket ovan är det mycket märkligt att IMY väljer att vända sig mot Verifiera istället för de väletablerade marknadsledande företag i branschen såsom är brukligt.

Begränsning av prövningsramen i granskningen

Mot bakgrund av ärendets beskaffenhet – bland annat de svar som Verifiera har lämnat – begränsar IMY sin prövning av Tjänsterna under den aktuella perioden till

• om 1 kap. 20 § YGL är tillämplig avseende uppgiftssamlingen i Tjänsterna, • om undantaget för journalistiska ändamål 1 kap. 7 § andra stycket lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning är tillämpligt för behandlingen i Tjänsterna och • om bolaget behandlar personuppgifter om hälsa i den mening som avses i artikel 9 i dataskyddsförordningen genom att inkludera avgöranden i mål enligt lagen om psykiatrisk tvångsvård och enligt lagen om vård av missbrukare i

vissa fall i uppgiftsamlingen och, om så är fallet, om behandlingen är förenlig med artikel 9.

Prövningen omfattar således inte om Verifieras personuppgiftsbehandling i Tjänsterna i övrigt är förenlig med dataskyddsförordningen. Prövningen omfattar inte heller en bedömning om Verifiera, genom att i Tjänsterna lämna ut ekonomisk information om privatpersoner, bedriver kreditupplysningsverksamhet och om denna i sådant fall är förenlig med bestämmelserna i kreditupplysningslagen (1973:1173) och dataskyddsförordningen.

Motivering av beslutet

Rättslig bakgrund

EU-rättens reglering av förhållandet mellan rätten till skydd för personuppgifter och rätten till yttrande- och informationsfrihet

Dataskyddsförordningens syfte är att skydda den personliga integriteten vid behandling av personuppgifter samt att harmonisera dataskyddsregleringen för att möjliggöra ett fritt flöde av personuppgifter inom EU. I dataskyddsförordningen preciseras den grundläggande rätten till skydd för personuppgifter som slås fast i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan stadgan). Enligt artikel 8.1 i stadgan ska var och en ha rätt till skydd av de personuppgifter som rör honom eller henne. Enligt artikel 8.2 ska personuppgifter behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. I artikel 8.3 stadgas att en oberoende myndighet ska kontrollera att dessa regler efterlevs. En rättighet som är nära sammanknuten med rätten till skydd för personuppgifter är rätten till respekt för privatlivet och familjelivet som slås fast i artikel 7 i stadgan.

I artikel 11 i stadgan slås rätten till yttrande- och informationsfrihet fast. Där stadgas att var och en har rätt till yttrandefrihet. Det stadgas vidare att denna rätt innefattar åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan offentlig myndighets inblandning och oberoende av territoriella gränser.

Varken rätten till skydd av personuppgifter eller rätten till yttrande- och informationsfrihet är absoluta rättigheter. Av artikel 52.1 i stadgan framgår att begränsningar i utövandet av de rättigheter och friheter som erkänns i stadgan ska vara föreskrivna i lag och förenliga med det väsentliga innehållet i dessa rättigheter och friheter. Vidare anges att begränsningar, med beaktande av proportionalitetsprincipen, endast får göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.

Dataskyddsförordningen har mot denna bakgrund utformats med hänsyn till andra frioch rättigheter än rätten till skydd för personuppgifter, däribland yttrande- och informationsfriheten. Uppgiften att sammanjämka dessa två rättigheter har i huvudsak överlämnats till medlemsstaterna inom ramen för regleringen i artikel 85. I artikel 85.1

i dataskyddsförordningen föreskrivs en skyldighet för medlemsstaterna att förena rätten till integritet enligt dataskyddsförordningen med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Enligt artikel 85.2 ska medlemsstaterna, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjeländer eller internationella organisationer), kapitel VI (oberoende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.

Artikel 52 i stadgan och artikel 85 i dataskyddsförordningen sätter således gränser för hur medlemsstaterna får förena rätten till skydd av personuppgifter med rätten till yttrande- och informationsfrihet. Att rättigheterna ska förenas innebär att en av rättigheterna inte får ges ett generellt företräde framför den andra. Vidare får undantag från rätten till skydd för personuppgifter enligt dataskyddsförordningen endast ske om undantagen är nödvändiga för att förena rättigheterna. EU-domstolen har uttalat att för att göra en balanserad avvägning mellan de grundläggande rättigheterna fordras att undantag och begränsningar i förhållande till skyddet av personuppgifter inte går utöver gränserna för vad som är strikt nödvändigt. Detta uttalande avsåg direktiv 95/46/EG , som ersattes av dataskyddsförordningen, men är enligt IMY:s bedömning relevant även i förhållande till dataskyddsförordningen.

EU-domstolen har också slagit fast att för att beakta yttrandefrihetens betydelse i demokratiska samhällen, ska de begrepp som hör samman med denna, däribland journalistik, tolkas i vid mening. Detta innebär bland annat att undantag från och begränsningar av dataskyddsregleringen inte endast ska tillämpas på medieföretag, utan på alla personer som är journalistiskt verksamma. Av domstolens praxis framgår vidare att ”journalistisk verksamhet” är sådan verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium detta sker.

Den svenska dataskyddslagens undantag för yttrande- och informationsfriheten

I svensk rätt har föreskrifter med stöd av artikel 85 i dataskyddsförordningen meddelats i 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (nedan dataskyddslagen).

I 1 kap. 7 § första stycket dataskyddslagen görs undantag för sådan behandling som omfattas av tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL), nedan gemensamt benämnda mediegrundlagarna. I den nämnda bestämmelsen anges att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot TF eller YGL. Enligt förarbetena tydliggörs därigenom att mediegrundlagarna har företräde framför dataskyddsförordningens och dataskyddslagens bestämmelser.

Mediegrundlagarna ger ett långtgående skydd för yttrande- och informationsfriheten. Till exempel bör enligt den så kallade instruktionen den som ska döma över missbruk av tryck- och yttrandefriheten – eller på annat sätt vaka över att grundlagarna efterlevs – alltid ha i åtanke att tryck- och yttrandefriheten är grundvalar för ett fritt samhällsskick, alltid uppmärksamma ämnet och tanken mera än uttryckets lagstridighet, liksom syftet mera än framställningssättet samt i tveksamma fall hellre fria än fälla (1 kap. 10 § TF och 1 kap. 15 §§ YGL). Vidare får en myndighet inte förbjuda eller hindra ett sådant tillhandahållande på grund av dess innehåll, utan stöd i grundlagen, det så kallade hinderförbudet (1 kap. 11 § YGL). Därtill får en myndighet inte heller ingripa mot någon för missbruk av yttrandefriheten, om det inte finns stöd för ingripandet i grundlagen (1 kap. 14 § YGL).

I 1 kap. 7 § andra stycket dataskyddslagen görs undantag för yttrande- och informationsfriheten utanför det grundlagsskyddade området. Undantaget omfattar behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Det kan exempelvis vara fråga om journalistisk verksamhet som bedrivs i bloggform men utan utgivningsbevis. I bestämmelsen anges att artiklarna 5–30 och 35–50 i EU:s dataskyddsförordning samt 2–5 kap. dataskyddslagen inte ska tillämpas vid behandling som sker för bl.a. journalistiska ändamål. Undantaget innebär att dataskyddsförordningens och dataskyddslagens bestämmelser om tillsyn, rättsmedel, ansvar och sanktioner i praktiken är tillämpliga enbart såvitt avser tillsyn över eller överträdelser av bestämmelserna om säkerhet för personuppgifter.

Grundlagsregleringen om frivilliga utgivningsbevis

För att undantaget i 1 kap. 7 § första stycket dataskyddslagen ska vara tillämpligt krävs att det är fråga om behandling som omfattas av grundlagsskydd enligt mediegrundlagarna. Publiceringar på internet faller som huvudregel utanför YGL:s tillämpningsområde. Detta innebär att dataskyddsförordningen normalt sett är tillämplig på sådan behandling. Från huvudregeln görs dock undantag genom bland annat databasregeln (1 kap. 4 § YGL). För behandling av personuppgifter som omfattas av databasregeln ska dataskyddsförordningen, enligt 1 kap. 7 § första stycket dataskyddslagen, inte tillämpas i den utsträckning det skulle strida mot yttrandefrihetsgrundlagen.

Databasregeln ger under vissa förutsättningar grundlagsskydd för yttranden som sker genom tillhandahållanden till allmänheten ur databaser. Det som typiskt sett avses är tillhandahållanden av lagrad information från webbplatser på begäran. För vissa aktörer gäller grundlagsskyddet automatiskt, det vill säga utan att någon särskild åtgärd behöver vidtas. Så är fallet för redaktioner för periodiska skrifter och redaktioner för program. Även andra traditionella massmedieföretag, som till exempel bokförlag som ger ut tryckta böcker och nyhetsbyråer, har automatiskt grundlagsskydd för sina databaser. Andra aktörer har möjlighet att hos Myndigheten för press, radio och tv ansöka om utgivningsbevis och på så sätt få ett så kallat frivilligt grundlagsskydd (jfr 1 kap. 4 § första stycket 1 d och 5 § YGL). Vid en ansökan om utgivningsbevis görs det inte någon prövning av databasens innehåll eller syfte.

Det frivilliga grundlagsskyddet för databaser infördes 2003 efter en utveckling som inneburit att andra än de traditionella massmedieföretagen i allt större utsträckning hade börjat tillhandahålla information till allmänheten på internet. Andra medieföretag och enskilda hade blivit delaktiga i nyhetsförmedlingen, opinionsbildningen och upplysningen, och den nya kommunikationen ansågs vara nödvändig för

yttrandefriheten och informationsfriheten. Regeringen gjorde, mot den bakgrunden, bedömningen att det fanns skäl att erbjuda ett grundlagsskydd motsvarande det som tidigare hade varit förbehållet massmedieföretagen även till de nya aktörerna. Men redan vid införandet av det frivilliga grundlagsskyddet varnade konstitutionsutskottet för att det skulle kunna uppstå konflikter med skyddet för den personliga integriteten och pekade särskilt på att grundlagsskyddet i värsta fall skulle kunna omfatta databaser som är rena personregister. Konstitutionsutskottet ansåg därför att regeringen borde ytterligare analysera eller låta analysera huruvida det frivilliga grundlagsskyddet kunde komma i konflikt med bestämmelserna med syfte att skydda den personliga integriteten. Riksdagen instämde i utskottets bedömning och tillkännagav detta för regeringen.

Yttrandefrihetskommittén gavs i uppdrag att analysera frågan, men gjorde bedömningen att det inte fanns behov av grundlagsändringar. År 2014 gav regeringen Mediegrundlagskommittén i uppdrag att på nytt utreda frågan. Mediegrundlagskommittén gjorde bedömningen att det fanns skäl att inskränka grundlagsskyddet för vissa typer av söktjänster och i stället tillåta bestämmelser på lagnivå. Kommittén föreslog därför ett uttryckligt undantag i TF och YGL för vissa söktjänster som tillhandahåller känsliga personuppgifter (bland annat uppgifter som avslöjar politisk eller religiös åskådning eller som rör hälsa och sexualliv) och uppgifter om lagöverträdelser m.m. Regeringen instämde i kommitténs bedömning och föreslog ändringar i TF och YGL i enlighet med kommitténs förslag.

Riksdagen antog regeringens förslag till ändringar i TF och YGL i den del ändringarna avsåg uppgiftssamlingar med känsliga personuppgifter men avslog förslaget i den del det avsåg personuppgifter om lagöverträdelser. Riksdagen tillkännagav dock för regeringen att en utredning borde få i uppdrag att på nytt utreda frågan om att begränsa grundlagsskyddet för söktjänster som innehåller personuppgifter om att enskilda har begått lagöverträdelser, förekommer i fällande domar eller har varit föremål för straffprocessuella tvångsmedel.

Den 1 januari 2019 trädde ändringen av mediegrundlagarna i kraft (1 kap. 13 TF och 1 kap. 20 § YGL). Av dessa bestämmelser framgår att bestämmelserna i YGL inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av personuppgifter om bland annat hälsa (1 kap. 20 § första stycket 2 YGL). Detta gäller endast om personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa (1 kap. 20 § andra stycket 1). Dessutom krävs att det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga integritet (1 kap. 20 § andra stycket 2).

Regeringen gav, i enlighet med riksdagens tillkännagivande, 2018 års tryck-och yttrandefrihetskommitté i uppdrag att utreda frågan om en begränsning av grundlagsskyddet för uppgiftssamlingar med uppgifter om lagöverträdelser m.m. Kommittén lade fram förslag som innebar att de befintliga delegationsbestämmelserna om känsliga personuppgifter skulle kompletteras på så sätt att personuppgifter om lagöverträdelser lades till i uppräkningen av de kategorier av personuppgifter som kan

regleras genom vanlig lag. Kommittén föreslog också vissa övriga ändringar i utformningen av den befintliga delegationsbestämmelsen. Regeringen lade fram förslag till ändringar i 1 kap. 13 § TF och 1 kap. 20 § YGL i enlighet med kommitténs förslag. Riksdagen avslog dock dessa förslag med undantag för en rättelse av språkliga felaktigheter i bestämmelserna.

Tolkningen av 1 kap. 20 § YGL och IMY:s behörighet

Enligt 1 kap. 20 § första stycket 2 YGL hindrar inte bestämmelserna i YGL att det i lag meddelas föreskrifter om förbud mot offentliggörande av personuppgifter om bland annat hälsa. Den första frågan som IMY har att ta ställning till är således om bestämmelserna i dataskyddsförordningen utgör sådana föreskrifter om förbud meddelade i lag som avses i 1 kap. 20 § YGL.

IMY gör bedömningen att uttrycket föreskrifter i lag i 1 kap. 20 § YGL omfattar EUförordningar och att föreskrifter om förbud i 1 kap. 20 § YGL omfattar inte bara rena förbud mot offentliggörande av personuppgifter utan även föreskrifter som är mindre ingripande och som begränsar möjligheten att offentliggöra personuppgifter. IMY gör denna bedömning av följande skäl.

När uttrycket ”lag” används i svenska författningar på det sätt som sker i 1 kap. 20 § YGL omfattar uttrycket normalt EU-förordningar utan att det anges i lagtexten. Av förarbetena till 1 kap. 20 § YGL framgår att även den bestämmelsen ska tolkas på detta sätt. Där uttalas att med lag jämställs EU-förordningar, enligt den praxis som utvecklats i anslutning till den befintliga delegationsbestämmelsen. Vidare uttalas att bestämmelsen även inkluderar en möjlighet att föreskriva om åtgärder som är mindre ingripande än förbud. Liknande uttalanden görs i lagstiftningsärendet om följdändringar i vanlig lag till ändringarna i mediegrundlagarna. Där anges att bestämmelserna i dataskyddsförordningen och dataskyddslagen skulle reglera de uppgiftssamlingar med personuppgifter som omfattas av de föreslagna undantagsbestämmelserna i tryckfrihetsförordningen och yttrandefrihetsgrundlagen (dvs. 1 kap. 13 § TF och 1 kap. 20 § YGL). Även i den proposition som föranleddes av betänkandet från 2018 års tryck- och yttrandefrihetskommitté anges att bestämmelserna i dataskyddsförordningen utgör sådana föreskrifter i lag som avses i 1 kap. 20 § YGL. Detta innebär att dataskyddsförordningen ska tillämpas i de fall förutsättningarna i 1 kap. 20 § YGL är uppfyllda. Med andra ord är undantagsbestämmelsen i 1 kap. 7 § första stycket dataskyddslagen inte tillämplig på sådan behandling eftersom en tillämpning av dataskyddsförordningen inte skulle strida mot YGL.

IMY är tillsynsmyndighet enligt dataskyddsförordningen och således behörig att utöva tillsyn över sådan behandling som undantas från grundlagsskyddet enligt 1 kap. 20 § YGL. Detta innebär att IMY har behörighet att pröva om 1 kap. 20 § YGL är tillämplig

på en viss behandling för att klarlägga huruvida dataskyddsförordningen är tillämplig eller inte.

Undantaget i 1 kap. 20 § YGL är tillämpligt

För att delegationsbestämmelsen i 1 kap. 20 § YGL ska vara tillämplig på den aktuella behandlingen av personuppgifter i Tjänsterna krävs att följande tre villkor är uppfyllda:

1) att känsliga personuppgifter offentliggörs (första stycket),

2) att uppgifterna ingår i en uppgiftsamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa (andra stycket 1) samt

3) att det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga integritet (andra stycket 2).

Personuppgifter om hälsa offentliggörs

IMY konstaterar till en början att de uppgifter som ingår i Tjänsterna offentliggörs på det sätt som avses i 1 kap. 20 § YGL. Nästa fråga är om de uppgifter som Verifiera tillhandahåller genom Tjänsterna innehåller sådana personuppgifter som anges i 1 kap. 20 § YGL första stycket. Som framgår ovan har IMY begränsat sin granskning till avgöranden i mål i de allmänna förvaltningsdomstolarna enligt lagen om psykiatrisk tvångsvård (LPT), s.k. psykiatrimål, och enligt lagen om vård av missbrukare i vissa fall (LVM), s.k. LVM-mål. De känsliga personuppgifter som främst kan förekomma i sådana avgöranden är uppgifter om hälsa enligt 1 kap. 20 § YGL första stycket 2. Enligt förarbetena har begreppet personuppgifter om hälsa hämtats från artikel 9.1 i dataskyddsförordningen och ska ges samma betydelse som i förordningen.

Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus.

EU-domstolen har slagit fast att de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen, bl.a. uppgifter om hälsa, ska ges en vid tolkning. Enligt EU-domstolen räcker det att uppgifterna indirekt avslöjar känslig information för att omfattas av skyddet i artikel 9 i dataskyddsförordningen. Vidare omfattar, enligt EU-domstolen, begreppet ”uppgifter om hälsa” alla aspekter av en persons hälsa, såväl fysiska som psykiska sådana. Europeiska dataskyddsstyrelsen (EDPB) har uttalat att begreppet ”uppgifter om hälsa” ska tolkas brett och innefattar bland annat information som samlats in av vårdgivare i en patientjournal (t.ex. sjukdomshistoria och resultat av undersökningar och behandlingar).

Av Verifieras egna uppgifter framgår att bolaget i Tjänsterna tillhandahåller samtliga avgöranden i psykiatrimål och LVM-mål från allmän förvaltningsdomstol sedan år 2008 i oförändrat skick.

Av 3 § LPT framgår att tvångsvård enligt den lagen får ges endast om patienten lider av en allvarlig psykisk störning och om vissa andra villkor är uppfyllda. Enligt 4 § LVM ska tvångsvård beslutas enligt den lagen om någon till följd av ett fortgående missbruk av alkohol, narkotika eller flyktiga lösningsmedel är i behov av vård för att komma ifrån sitt missbruk och vissa andra förutsättningar är uppfyllda.

IMY finner att uppgifter om att någon är eller har varit föremål för tvångsvård med stöd av LPT eller LVM – vilket innebär att rekvisitet ”lider av en allvarlig psykisk störning” eller rekvisitet ”till följd av ett fortgående missbruk av alkohol, narkotika eller flyktiga lösningsmedel är i behov av vård för att komma ifrån sitt missbruk” är uppfyllt – är uppgifter om hälsa i den mening som avses i 1 kap. 20 § första stycket 2 YGL och artikel 9.1 i dataskyddsförordningen. Att den faktiska diagnosen eller orsaken också framgår är inte en förutsättning för denna bedömning.

De allmänna förvaltningsdomstolarnas avgöranden avser i huvudsak överprövning av myndigheters beslut efter överklagande av enskilda. Vissa särskilt ingripande beslut prövas eller fattas dock där utan att den enskilde har överklagat något beslut, antingen efter att den myndighet som fattat beslutet underställt det rättens prövning eller ansökt om att beslutet ska fattas. Det gäller bland annat för psykiatrimål, där en patient som är föremål för tvångsvård kan överklaga vissa beslut kopplade till vården till förvaltningsrätterna (se 32 och 33 §§ LPT) medan vissa mer ingripande beslut ska underställas förvaltningsrättens prövning (se t.ex. 12 § LPT) eller fattas först efter myndighetens ansökan till förvaltningsrätten (se t.ex. 7 § LPT) oavsett den enskildes inställning. Det gäller även för LVM-mål, där rätten beslutar beredande om tvångsvård enligt LVM (se 5 §) eller prövar beslut om omedelbart omhändertagande enligt LVM efter underställande (se 15 och 17 §§).

Mål i de allmänna förvaltningsdomstolarna avgörs genom dom eller beslut (tillsammans kallat avgöranden). I sådana avgöranden ska anges de skäl som bestämt utgången (30 § andra stycket förvaltningsprocesslagen [1971:291]). Vidare ska i avgörandet anges parterna (dvs. bland annat vem som har klagat eller som är föremål för ansökan eller det underställda beslutet), saken i korthet och i den utsträckning som det behövs en redogörelse för den dom eller det beslut som har överklagats eller underställts (13 § förordningen [2013:390] om mål i allmän förvaltningsdomstol).

Mot denna bakgrund konstaterar IMY att de allmänna förvaltningsdomstolarnas avgöranden i psykiatrimål och LVM-mål typiskt sett innehåller uppgifter om hälsa om den person som är föremål för tvångsvården, det vill säga personen som har överklagat det beslut som har fattats med stöd av respektive lag eller som är föremål för ansökan eller det underställda beslutet utan överklagande.

Eftersom sådana avgöranden i oförändrat skick tillhandahålls av Verifiera genom Tjänsterna är kriteriet i 1 kap. 20 § första stycket YGL att känsliga personuppgifter offentliggörs uppfyllt.

Uppgiftssamlingen har ordnats så att det är möjligt att söka efter eller sammanställa känsliga personuppgifter

Den andra frågan som IMY ska ta ställning till är om de känsliga uppgifterna ingår i en uppgiftsamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa (1 kap. 20 § andra stycket 1 YGL).

Inledningsvis konstateras att ordet ”uppgiftssamling” i YGL valts för att undvika sammanblandning med termen ”register”, som är vad som i normalt språkbruk avses.

Enligt förarbetena krävs det inte någon större mängd uppgifter, men det ska finnas personuppgifter som rör i vart fall mer än en person och uppgifterna ska vara sorterade enligt något slags system.

Verifiera har uppgett att samtliga avgöranden från år 2008 och framåt finns och gjorts sökbara i Tjänsterna och på fråga inte inkommit med närmare uppgift om det antal avgöranden som faktiskt behandlas. IMY har därför inhämtat den officiella statistik som Domstolsverket tagit fram över avgjorda mål i de allmänna förvaltningsdomstolarna. Verifiera har fått tillfälle att yttra sig över detta underlag men inte inkommit med något yttrande. Av statistiken framgår att under perioden 2008–2021 rör det sig om totalt ca 210 000 avgöranden, varav ca 193 000 (ca 13 800 per år) i psykiatrimål och ca 18 000 (ca 1 300 per år) i LVM-mål för enbart avgöranden i förvaltningsrätterna. Även om det kan antas att vissa av dessa avgöranden gäller samma personer, kan det konstateras att det rör sig om en stor mängd uppgifter om hälsa om en stor mängd personer. Det råder enligt IMY ingen tvekan om att det är fråga om en sådan uppgiftsamling som avses i 1 kap. 20 § andra stycket 1 YGL.

När det gäller uttrycket ”ordnats så att det är möjligt att söka efter eller sammanställa uppgifterna” anges i förarbetena att uppgiftssamlingen inte behöver ha strukturerats på ett sätt som underlättar sökning efter just de personuppgifter som omfattas av bestämmelsen. För att bestämmelsen ska bli tillämplig är det tillräckligt att uppgiftssamlingen ger möjlighet till fritextsökning.

Av Verifieras egna uppgifter framgår att det i Tjänsterna är möjligt att söka i uppgiftssamlingen genom såväl fritextsökning som genom särskilda fält för sökningar på namn, personnummer, ort och adress. Därmed har uppgiftssamlingen ordnats så att det är möjligt att söka efter eller sammanställa känsliga personuppgifter på det sätt som avses i 1 kap. 20 § andra stycket 1 YGL.

Det finns särskilda risker för otillbörliga intrång i den personliga integriteten

Tillämpliga bestämmelser m.m. Den sista frågan för tillämpligheten av 1 kap. 20 § YGL som IMY har att ta ställning till är om det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet. Enligt bestämmelsen ska bedömningen av om det föreligger sådana särskilda risker göras med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig (1 kap. 20 § andra stycket 2 YGL). Innebörden är att tillämpningsområdet för bestämmelsen smalnas av och görs beroende av vilka risker för intrång i den personliga integriteten som en viss typ av uppgiftssamling för med sig. Det är alltså endast för vissa kvalificerade situationer, som medför särskilda risker för otillbörliga intrång i enskildas personliga integritet som omfattas.

Regeringen anförde i propositionen Ändrade mediegrundlagar (prop. 2017/18:49) bland annat följande.

”Förslaget innebär alltså att en helhetsbedömning ska göras av karaktären på de uppgiftssamlingar som avses träffas av den lagreglering som är aktuell. Bedömningsgrunder av betydelse bör, som kommittén anger, kunna vara uppgiftssamlingarnas målgrupp, formerna för tillhandahållande och tjänsternas sökoch sammanställningsfunktioner. I detta ligger att uppgiftssamlingarnas grundläggande uppbyggnad kan tillmätas betydelse. Tjänster som gör det möjligt för allmänheten att genom sökning på t.ex. namn, personnummer eller adress få uppgifter om enskildas hälsa, sexualliv eller förekomst i fällande brottmålsdomar torde normalt sett innebära sådana risker för otillbörliga integritetsintrång att de faller in under tillämpningsområdet för delegationsbestämmelsen.

[…]

Uppgiftssamlingar med en s.k. personuppgiftsanknuten struktur som syftar till att underlätta sökning på just personuppgifter innebär normalt sett större risker för otillbörliga integritetsintrång än tjänster med en generell struktur som gör det möjligt att söka efter uppgifter med fritextsökning, även om skillnaderna inte är så stora att de i sig avgör bestämmelsens tillämplighet. Särskilda sökfält för någon eller några av de berörda personuppgifterna eller möjligheten att få en sammanställning av dessa, exempelvis i form av en kartbild, medför typiskt sett stora risker för otillbörliga intrång i den personliga integriteten. I detta sammanhang torde det normalt sakna betydelse om tjänsten enbart är tillgänglig för professionella aktörer.

[…]

Enligt regeringen bör utgångspunkten vara att rättsdatabaser som uppenbart riktar sig till en krets som på professionella grunder har ett berättigat behov av de aktuella uppgifterna faller utanför bestämmelsens tillämpningsområde. Vid bedömningen bör dock även för sådana databaser uppgiftssamlingarnas sök- och sammanställningsfunktioner tillmätas betydelse. Till exempel får särskilda sökfält för någon eller några av de berörda personuppgifterna eller möjligheten att få en sammanställning av dessa, exempelvis i form av en kartbild, typiskt sett sägas medföra stora risker för otillbörliga intrång i den personliga integriteten. Sådana strukturer bör normalt medföra att det finns förutsättningar för lagstiftning med stöd av delegationsbestämmelsen, även när lagstiftningen träffar databaser där informationen tillhandahålls mot avgift och målgruppen är professionell.”

Konstitutionsutskottet uttalade bland annat följande:

”Utskottet vänder sig emot att göra en skillnad mellan om en tjänst vänder sig till allmänheten eller en viss yrkeskategori. En söktjänst som vänder sig till den breda allmänheten kan i och för sig innebära ett större integritetsintrång än en söktjänst som endast är öppen för en mindre krets, t.ex. en viss yrkeskategori. Men även en söktjänst som vänder sig till en viss yrkeskategori kan komma att bli tillgänglig för ett mycket stort antal användare. Utskottet anser inte att målgruppen, dvs. den tänkta eller faktiska användarkretsen, i sig ska tillmätas någon betydelse vid bedömningen av om en uppgiftssamling faller innanför eller utanför det grundlagsskyddade området. Bedömningen bör i stället göras med utgångspunkt i

syftet med tillhandahållandet av uppgiftssamlingen och vilken typ av uppgifter som tillhandahålls. Integritetsintrång som följer av uppgiftssamlingar som tillhandahålls med syftet att bidra till ett fritt meningsutbyte och en fri och allsidig upplysning kan inte anses vara otillbörliga och bör således som utgångspunkt falla utanför tillämpningsområdet för delegationsbestämmelserna. Utskottet vill understryka att det är mycket angeläget att en betydande marginal tillämpas i fråga om vad som faller inom det grundlagsskyddade området så att intresset för yttrandefrihet inte får ge vika för intresset av att skydda enskildas integritet i gränsfall eller svårbedömda situationer. Ett sådant synsätt vinner också stöd i den s.k. instruktionen i grundlagarna, enligt vilken den som anförtrotts att döma eller vaka över tryck- och yttrandefriheten alltid bör ha i åtanke att tryck- och yttrandefriheten är en grundval för ett fritt samhällsskick, alltid bör uppmärksamma ämnet och tanken mer än uttrycket liksom syftet mer än framställningssättet samt i tveksamma fall hellre bör fria än fälla. Rena söktjänster för tillhandahållande av känsliga personuppgifter enligt den uttömmande uppräkningen i bestämmelsen får sägas ligga långt från de syften som grundlagarna är till för att skydda, och sådana tjänster träffas således typiskt sett av delegationsbestämmelserna.”

IMY:s bedömning

Enligt IMY innebär de redovisade förarbetsuttalandena sammanfattningsvis följande. Vad konstitutionsutskottet anfört i samband med grundlagsändringen medför att det vid bedömningen av riskerna för integritetsintrång enligt 1 kap. 20 § YGL inte bör fästas någon betydelse vid om en söktjänst vänder sig till den breda allmänheten eller är tillgänglig för en viss yrkeskategori. I stället ska det göras en helhetsbedömning med beaktande av bland annat syftet med tillhandahållandet av uppgiftssamlingen, vilken typ av uppgifter som tillhandahålls och sök- och sammanställningsfunktioner. Det bör därvid beaktas att uppgiftssamlingar som syftar till att underlätta sökning på just personuppgifter normalt sett innebär större risker. Däremot bör uppgiftsamlingar som tillhandahålls med syftet att bidra till ett fritt meningsutbyte och en fri och allsidig upplysning inte anses vara otillbörliga och bör således som utgångspunkt falla utanför tillämpningsområdet för 1 kap. 20 § YGL.

Den uppgiftssamling som Verifiera tillhandahåller är resultatet av en omfattande insamling av rättsliga avgöranden i psykiatrimål och LVM-mål som innehåller mycket integritetskänslig information. Insamlingen sker utan bedömning av vilken relevans det enskilda avgörandet har för t.ex. den allmänna debatten eller granskande journalistik. Resultatet är en uppgiftssamling över alla som sedan år 2008 varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk.

Det framgår vidare av utredningen att syftet med uppgiftssamlingen bland annat är att tillhandahålla bakgrundskontroller vid till exempel rekryteringar. Behandling av de aktuella uppgifterna om hälsa i sådana sammanhang kan leda till kännbara konsekvenser för de registrerade.

Av Verifieras egna uppgifter framgår att uppgiftsamlingen har strukturerats på så sätt att det vid personsökning finns särskilda sökfält för namn, personnummer, ort, adress och fritext och att sökresultat visas i realtid. Det har vidare inte framkommit att Verifiera vidtagit några åtgärder för att exkludera eller begränsa möjligheten att söka på uppgifter som direkt kan hänföras till en fysisk person, såsom namn eller personnummer. Det har inte heller framkommit att Verifiera tagit bort eller maskerat sådana uppgifter i dokumenten.

Det är enligt IMY:s bedömning fråga om en sådan söktjänst för tillhandahållande av känsliga personuppgifter som, i enlighet med vad konstitutionsutskottet anförde i samband med grundlagsändringen, ligger långt från de syften som grundlagarna är till för att skydda.

Sammantaget innebär detta, enligt IMY:s bedömning, att Verifieras offentliggörande av uppgiftssamlingen innebär särskilda risker för otillbörliga ingrepp i enskildas personliga integritet. Således är även det tredje och sista kriteriet i 1 kap. 20 § YGL uppfyllt.

Sammanfattande bedömning

Sammanfattningsvis gör IMY – även med beaktande av den betydande bedömningsmarginal som konstitutionsutskottet anvisat – bedömningen att Verifiera tillhandahåller en sådan uppgiftssamling som avses i 1 kap. 20 § YGL, i den del uppgiftssamlingen innebär offentliggörande av avgöranden i psykiatrimål och LVMmål. Denna del av uppgiftssamlingen har således inte skydd enligt YGL, vilket innebär att undantaget i 1 kap. 7 § första stycket dataskyddslagen inte är tillämpligt på behandlingen.

Nästa fråga som IMY har att bedöma är om undantaget för journalistiska ändamål i 1 kap. 7 § andra stycket dataskyddslagen är tillämpligt på behandlingen.

Behandlingen sker inte för journalistiska ändamål

Tillämpliga bestämmelser m.m.

Genom 1 kap. 7 § andra stycket dataskyddslagen görs undantag från stora delar av dataskyddsregleringen vid behandling som sker för bland annat journalistiska ändamål. Enligt undantaget ska inte artiklarna 5–30 och 35–50 i dataskyddsförordningen samt 2–5 kap. i dataskyddslagen tillämpas vid sådan behandling.

EU-domstolen har bedömt att för att beakta yttrandefrihetens betydelse i demokratiska samhällen, ska de begrepp som hör samman med denna, däribland journalistik, tolkas i vid mening. Detta innebär bland annat att undantag från och begränsningar av dataskyddsregleringen inte endast ska tillämpas på medieföretag, utan på alla personer som är journalistiskt verksamma. Av EU-domstolens praxis framgår vidare att ”journalistisk verksamhet” är sådan verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium detta sker.

Samtidigt har EU-domstolen slagit fast att inte all information som görs tillgänglig på internet och som innehåller personuppgifter omfattas av begreppet ”journalistisk verksamhet”. EU-domstolen har vidare i domen Google Spain och Google funnit att en sökmotorleverantörs behandling genom tillhandahållandet av sökmotorn inte kunde anses ske för journalistiska ändamål.

I departementspromemorian Följdändringar till ändrade mediegrundlagar uttalades bl.a. följande i frågan om söktjänster med fällande brottmålsdomar kunde omfattas av begreppet journalistisk verksamhet.

”Vid denna bedömning är det svårt att föreställa sig en situation där det av kommittén nämnda typfallet på en uppgiftssamling som träffas av undantagen i

tryckfrihetsförordningen och yttrandefrihetsgrundlagen – en till allmänheten riktad renodlad söktjänst avseende fällande brottmålsdomar – med tillämpning av den av EU-domstolen anvisade proportionalitetsbedömningen skulle anses falla under journalistundantaget i dataskyddslagen. Detta med beaktande av att uppgifterna helt uppenbart är mycket integritetskänsliga och då ett sådant register inte kan sägas informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten. Det torde därför gå för långt att hävda att ett undantag från personuppgiftsskyddet i ett sådant fall är strikt nödvändigt. Så får även anses vara fallet med andra känsliga personuppgifter avseende exempelvis etnisk bakgrund, sexuell läggning eller religiös övertygelse.

Som anges i avsnitt 5.2.2 är det av betydelse om söktjänsten i fråga också innehåller redaktionellt material. Det torde dock krävas att kopplingen mellan personuppgifterna och det redaktionella inslaget framstår som tydlig och relevant för att undantaget för journalistisk verksamhet ska kunna åberopas. När det gäller exemplet med ett privat belastningsregister riktat till allmänheten görs bedömningen att detta inte rimligen kan falla under journalistundantaget bara för att det i anslutning till registret även förekommer fristående artiklar och rättsliga analyser. En annan ordning skulle innebära att integritetsskyddet enkelt kan kringgås på ett sätt som inte kan anses svara mot den balanserade avvägning mellan skyddet för privatlivet och yttrandefriheten som EU-domstolen anvisat i

Satakunnan-målet.”

I propositionen Ett ändamålsenligt skydd för tryck- och yttrandefriheten (prop. 2021/22:59, s. 54) uttalades följande:

”Det är mot den bakgrunden svårt att föreställa sig en situation där en uppgiftssamling som tillhandahålls i en grundlagsskyddad verksamhet undantas från grundlagsskyddet på grund av uppgiftssamlingens karaktär men omfattas av dataskyddslagens journalistundantag. En bedömning av varje tänkbar situation kan dock givetvis inte göras generellt på förhand. När delegationsbestämmelserna väl är tillämpliga får det på vanligt sätt i det enskilda fallet avgöras vilka krav i dataskyddsregleringen som den som tillhandahåller uppgiftssamlingen behöver

följa.”

Integritetsskyddsmyndighetens bedömning

Den fråga som IMY har att ta ställning till är om den behandling av personuppgifter om hälsa som Verifiera utför genom att inkludera avgöranden i psykiatrimål och LVM-mål i Tjänsterna sker för journalistiska ändamål i den mening som avses i 1 kap. 7 § andra stycket dataskyddslagen och artikel 85 i dataskyddsförordningen. Det kan inledningsvis konstateras, i enlighet med vad som framgår av förarbetsuttalandena ovan, att utrymmet för att bedöma att en uppgiftssamling som omfattas av 1 kap. 20 § YGL sker för journalistiska ändamål måste anses vara mycket begränsat.

IMY konstaterar vidare att det förhållandet att en hemsida innehåller vissa publiceringar med ett journalistiskt ändamål inte innebär att alla publiceringar på den hemsidan ska anses ha ett journalistiskt ändamål. Att det i anslutning till en uppgiftssamling med rättsliga avgöranden förekommer fristående artiklar och rättsliga analyser innebär således inte per automatik att hela uppgiftssamlingen har ett

journalistiskt ändamål. Det bör krävas att kopplingen mellan personuppgifterna och det redaktionella inslaget framstår som tydlig och relevant för att undantaget för journalistisk verksamhet ska kunna åberopas. Det har i ärendet inte framkommit att det finns ett redaktionellt innehåll med en tydlig och relevant koppling till den i ärendet aktuella delen av uppgiftssamlingen med avgöranden i psykiatrimål och LVM-mål.

Av utredningen framgår att Tjänsterna bland annat syftar till att tillhandahålla personuppgifter för bakgrundskontroll av fysiska personer i samband med till exempel rekrytering. Enligt IMY:s bedömning kan en sådan behandling av personuppgifter inte anses ha journalistiska ändamål. Verifiera har dock anfört att Tjänsterna även har andra syften än bakgrundskontroll, t.ex. research. Som IMY konstaterar ovan är den uppgiftssamling som Verifiera tillhandahåller resultatet av en omfattande insamling av rättsliga avgöranden med mycket integritetskänslig information. Insamlingen sker utan bedömning av vilken relevans avgörandet har för t.ex. den allmänna debatten eller granskande journalistik. Det sker inte heller någon bearbetning av avgörandena t.ex. för att ta bort direkta personuppgifter som namn och personnummer. Resultatet är en uppgiftssamling i vilken går att söka på alla som sedan år 2008 varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk. Denna uppgiftssamling kan inte anses ha som huvudsakligt ändamål att sprida information, åsikter eller idéer till allmänheten på det sätt som avses i 1 kap. 7 § andra stycket dataskyddslagen och artikel 85 i dataskyddsförordnigen.

Med anledning av att Verifiera anfört att verksamheten är nödvändig för gemene mans berättigade intresse av att få del av allmänna handlingar, finns det skäl att understryka att det förhållandet att allmänheten kan ha ett berättigat intresse av att ta del av allmänna handlingar på ett lättillgängligt sätt inte i sig innebär att Verifiera har ett journalistiskt ändamål med sin behandling. EU-domstolen konstaterade i domen Google och Google Spain att allmänheten kunde ha ett berättigat intresse av att ta del information genom sökning i en sökmotor på en persons namn. Samtidigt slog domstolen fast att sökmotorleverantören inte kunde åberopa undantaget för journalistiska ändamål vid behandling av personuppgifter vid sådana sökningar. Detta gällde enligt domstolen även i fall då sökträffen avsåg en tidningsartikel och i sig hade journalistiska ändamål. Enligt IMY:s bedömning ligger den verksamhet som Verifiera bedriver genom den i ärendet aktuella delen av uppgiftssamlingen, på motsvarande sätt som en sökmotorleverantörs verksamhet, utanför undantaget för journalistiska ändamål.

IMY gör sammanfattningsvis bedömningen att Verifieras publicering av avgöranden i de aktuella måltyperna inte omfattas av undantaget i 1 kap. 7 § andra stycket dataskyddslagen.

Verifiera är personuppgiftsansvarig för behandlingen

Som framgår ovan gör IMY bedömningen att dataskyddsförordningen är tillämplig på behandlingen i Tjänsterna.

Personuppgiftsansvarig enligt dataskyddsförordningen är den som ensamt eller tillsammans med andra bestämmer ändamål och medel för behandlingen av personuppgifter (artikel 4.7).

IMY konstaterar att det är Verifiera som tillhandahåller Tjänsterna mot ekonomisk ersättning till betalande användare. Vidare har Verifiera uppgett att det är Verifiera som beslutar om ändamålen och medlen för personuppgiftsbehandlingen av sin tjänst, låt vara att Verifiera poängterar att ”i publicistiskt hänseende är det användaren som beslutar om ändamålen, på samma sätt som en tidningsläsare själv bestämmer ändamålet när denna tar del av en publicerad tidskrift, och inte nyhetsredaktionen som publicerat tidningen.”

Mot denna bakgrund finner IMY att Verifiera är personuppgiftsansvarig för personuppgiftsbehandlingen bestående av tillhandahållandet av Tjänsterna och uppgiftssamlingen.

Behandlingen strider mot artikel 9 i dataskyddsförordningen

Tillämpliga bestämmelser

Som framgår ovan gör IMY bedömningen att Verifiera behandlar känsliga personuppgifter bestående av uppgifter om hälsa i Tjänsterna. Enligt artikel 9.1 i dataskyddsförordningen är behandling av sådana uppgifter som huvudregel förbjuden. För att behandlingen ska vara tillåten krävs att något av de undantag som anges i artikel 9.2 i dataskyddsförordningen är tillämpligt på behandlingen.

Enligt artikel 9.2 a i dataskyddsförordningen ska förbudet i artikel 9.1 inte tillämpas om den registrerade uttryckligen har lämnat sitt samtycke till behandlingen.

Enligt artikel 9.2 g gäller inte förbudet i artikel 9.1 om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Samtycke

Den uppgiftssamling som är föremål för IMY:s granskning består av ett stort antal rättsliga avgöranden i psykiatri- och LVM-mål. Uppgiftssamlingen används av Verifiera för att tillhandahålla Tjänsterna. En av dessa benämns bakgrundskontrolltjänsten. Verifiera har gjort gällande att uttryckligt samtycke, enligt artikel 9.2 a i dataskyddsförordningen, föreligger för den del av behandlingen som avser denna tjänst. IMY konstaterar dock att Verifiera inhämtar samtycke först i samband med att en bakgrundskontroll beställs från Verifiera. Samtycket lämnas således först efter att Verifiera utfört behandlingarna att samla in och ordna för sökbarhet avgörandena vari de känsliga personuppgifterna behandlas. Ett samtycke som inhämtas i efterhand är inte giltigt. Det saknas därför anledning att ställning om det uttryckliga samtycke som Verifiera uppger sig samla in i övrigt uppfyller villkoren i dataskyddsförordningen.

Artikel 9.2 g och yttrande- och informationsfriheten

När det gäller behandlingen i övrigt har Verifiera gjort gällande att behandlingen ”är nödvändig för ändamål som rör Verifieras berättigade intresse av att kunna driva sin grundlagsskyddade verksamhet inom ramen för sitt utgivningsbevis”. Enligt Verifiera väger de registrerades intressen i förevarande fall inte tyngre än rätten till yttrandefrihet. Slutligen anför Verifiera att handlingarna i uppgiftssamlingen finns tillgängliga genom flertalet andra källor samt att vilken typ av avgörande det gäller torde vara ointressant då domstolar har att tillämpa sekretess i den mån uppgifter om hälsa förekommer.

IMY konstaterar inledningsvis att berättigat intresse (även kallat intresseavvägning) är en av flera rättsliga grunder enligt artikel 6.1 f i dataskyddsförordningen som krävs för att behandling av personuppgifter ska vara laglig. Denna grund ingår dock inte i den uppräkning av undantag i artikel 9.2 som kan legitimera behandling av sådana känsliga personuppgifter som avses i artikel 9.1 och som det nu är fråga om. Som det får förstås har Verifiera med det ovan anförda gjort gällande att undantaget i artikel 9.2 g utgör rättsligt stöd för behandlingen.

IMY konstaterar att allmänhetens yttrande- och informationsfrihet är ett viktigt allmänt intresse. Detta kommer också till uttryck i artikel 85 i dataskyddsförordningen som föreskriver en skyldighet för medlemsstaterna att i lag förena rätten till integritet i enlighet med dataskyddsförordningen med yttrande- och informationsfriheten. Enligt artikel 85.2 i dataskyddsförordningen kan medlemsstaterna göra undantag från bestämmelserna i bland annat artikel 9 om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten. Detta har i svensk rätt skett genom 1 kap. 7 § dataskyddslagen som enligt IMY:s bedömning i detta beslut inte är tillämplig på den del av Verifieras uppgiftssamling som granskas i detta beslut.

Regleringen i dataskyddsförordningen kan tolkas som att det endast är artikel 85 som, i enlighet med principen om lex specialis, ska användas för att i nationell rätt reglera förhållandet mellan rätten till skydd för personuppgifter och rätten till yttrande- och informationsfrihet. Enligt IMY kan det dock inte uteslutas att det därutöver är möjligt att införa nationell reglering av det slag som avses i artikel 9.2 g i dataskyddsförordningen för att ge stöd för behandling av känsliga personuppgifter som är nödvändig för att tillgodose allmänhetens yttrande- och informationsfrihet. En sådan reglering skulle bland annat behöva innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Någon sådan reglering har dock inte införts i svensk rätt. Det finns således inte möjlighet för Verifiera att tillämpa artikel 9.2 g i dataskyddsförordningen med åberopande av allmänhetens yttrande- och informationsfrihet.

Artikel 9.2 g och offentlighetsprincipen

Verifiera har även anfört att behandlingen i uppgiftssamlingen är nödvändig för gemene mans berättigade intresse av att, inom ramen för Verifieras grundlagsskydd, få del av allmänna handlingar som finns tillgängliga i Tjänsterna. IMY finner därför skäl att bedöma om reglerna om offentlighetsprincipen i 2 kap. TF kan ge stöd för Verifieras behandling.

I dataskyddsförordningen regleras förhållandet mellan rätten till skydd för personuppgifter och offentlighetsprincipen i artikel 86. Där anges att personuppgifter i allmänna handlingar som förvaras av en myndighet, ett offentligt organ eller ett privat organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten eller organet i enlighet med medlemsstatens nationella lagstiftning för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd för personuppgifter i enlighet med förordningen. I 1 kap. 7 § första stycket dataskyddslagen har dessutom införts reglering som tydliggör att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot reglerna om handlingsoffentlighet i 2 kap. TF.

Bestämmelserna om handlingsoffentligheten i 2 kap. TF ger var och en rätt att ta del av allmänna handlingar som inte omfattas av sekretess. För att det ska vara fråga om

en allmän handling ska handlingen förvaras hos en myndighet eller ett annat organ som omfattas av offentlighetsprincipen (2 kap. 4 och 5 §§ TF). Reglerna i 2 kap. TF ger således inte allmänheten en rätt att ta del av utlämnade allmänna handlingar hos en organisation som, i likhet med Verifiera, inte omfattas av skyldigheten att lämna ut handlingar enligt offentlighetsprincipen.

Reglerna i 2 kap. TF ger inte heller en rätt för den som tar emot allmänna handlingar att sprida dem vidare eller vidarebehandla dem på annat sätt. Syftet med offentlighetsprincipen, som det kommer till uttryck i 2 kap. 1 § TF, är visserligen att främja ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt skapande. Vidarebehandlingen av utlämnande allmänna handlingar omfattas dock inte av bestämmelserna i 2 kap. TF utan av andra regler, särskilt övriga delar av mediegrundlagarna. Mediegrundlagarna ger bland annat rätt att publicera allmänna handlingar eller uppgifter från sådana handlingar och att sprida sådana publikationer (se bl.a. 1 kap. 1 § andra stycket och 6 kap. TF samt 3 kap. YGL).

Det bör framhållas att den svenska dataskyddsregleringen skapar ett stort utrymme att vidarebehandla personuppgifter i allmänna handlingar för att tillgodose den grundläggande betydelse som tryck- och yttrandefriheten har för det svenska statsskicket. Det sker genom undantaget för mediegrundlagarna i 1 kap. 7 § första stycket dataskyddslagen och undantaget för bland annat journalistiska ändamål i 1 kap. 7 § andra stycket dataskyddslagen. Som IMY konstaterar i detta beslut omfattas dock inte den i ärendet aktuella personuppgiftsbehandlingen av dessa undantag.

Mot denna bakgrund konstaterar IMY att 2 kap. TF inte reglerar Verifieras offentliggörande av känsliga personuppgifter och därför inte kan utgöra grund enligt 9.2 g dataskyddsförordningen för denna behandling. Därtill kan konstateras att reglerna i 2 kap. TF inte heller innehåller några sådana lämpliga och särskilda åtgärder för att skydda de registrerades rättigheter vid vidarebehandling av utlämnade allmänna handlingar.

Slutsatser

Då det inte har framkommit något som talar för att något annat undantag i artikel 9.2 är tillämpligt finner IMY att Verifiera under perioden den 6 april 2022 – 28 juni 2022 har behandlat känsliga personuppgifter (uppgifter om hälsa) i strid med artikel 9 i dataskyddsförordningen i sina tjänster på www.verifiera.se.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY har konstaterat att Verifiera under den relevanta perioden har utfört en omfattande insamling av känsliga personuppgifter om en stor mängd personer i Tjänsterna genom

att offentliggöra bland annat 210 000 avgöranden från förvaltningsrätterna, varav ca 193 000 utgör psykiatrimål och ca 18 000 utgör LVM-mål. Målen innehåller mycket integritetskänslig information beträffande personer som är eller har varit i en mycket utsatt situation. Resultatet är en uppgiftssamling över alla som sedan år 2008 varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk. Av utredningen framgår vidare att syftet med uppgiftssamlingen bland annat är att tillhandahålla bakgrundskontroller vid rekryteringar. Behandling av de aktuella uppgifterna om hälsa i sådana sammanhang kan leda till kännbara konsekvenser för de registrerade, till exempel i form av minskade möjligheter att bli aktuell för en anställning och utanförskap. Enligt IMY är den överträdelse av artikel 9 som konstaterats i detta beslut därmed av sådan omfattning och allvarlighetsgrad att den normalt sett skulle föranleda en kännbar sanktionsavgift.

I detta tillsynsärende finns dock särskilda omständigheter som talar mot en sanktionsavgift. Det är fråga om behandling av personuppgifter på en webbplats som har ett utgivningsbevis och som utgångspunkt har grundlagsskydd enligt mediegrundlagarna. Den begränsning av grundlagsskyddet för uppgiftssamlingar som offentliggör känsliga personuppgifter som infördes 2019 genom 1 kap. 20 § YGL har inte tidigare tillämpats av IMY. Bestämmelsen har inte heller, såvitt framkommit, tillämpats av någon domstol eller någon annan myndighet. Det saknas således praxis kring hur grundlagsbestämmelsen – som i vissa avseenden förutsätter förhållandevis svåra överväganden – ska tillämpas. Dessutom har det fram till nyligen förekommit vägledande information på IMY:s hemsida som har kunnat uppfattas som att IMY inte har någon möjlighet att ingripa mot webbsidor med utgivningsbevis. Sammantaget innebär detta enligt IMY:s bedömning att det inte vore proportionerligt att påföra Verifiera en sanktionsavgift för de konstaterade överträdelserna i det nu aktuella ärendet. Verifiera AB ska därför, med stöd av artikel 58.2 b i dataskyddsförordningen, i stället ges en reprimand för den konstaterade överträdelsen.

Offentliggörandet av de känsliga personuppgifterna innebär ett allvarligt integritetsintrång för de berörda personerna. Verifieras utgivningsbevis medger inte något undantag från dataskyddsförordningen så länge bolaget fortsätter att offentliggöra känsliga personuppgifter i en uppgiftssamling som omfattas av 1 kap. 20 § YGL. Det är angeläget att det säkerställs att detta integritetsintrång upphör. IMY bedömer därför att det finns skäl att förelägga Verifiera enligt artikel 58.2 d i dataskyddsförordningen att vidta åtgärder så att det i de tjänster som Verifiera erbjuder på www.verifiera.se inte längre är möjligt för användare av tjänsterna att vid sökning på personer med någon av sökparametrarna personnamn, personnummer eller adress ta del av avgöranden i mål enligt lagen om psykiatrisk tvångsvård eller lagen om vård av missbrukare i vissa fall som gäller den eftersökta personen. Åtgärderna ska ha vidtagits senast åtta veckor efter att detta beslut vunnit laga kraft.

______________

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Martin Wetzler. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Catharina Fernquist och avdelningsdirektören Hans Kärnlöf medverkat. Juristen Olle Pettersson har medverkat under handläggningen.

Lena Lindgren Schelin, 2022-09-13 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.