Sverigedemokraterna

IMY-2024-7737 Beslut efter tillsyn enligt

dataskyddsförordningen – Sverigedemokraterna

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten (IMY) konstaterar att Sverigedemokraterna (802018- 1791) har brutit mot artikel 6.1 i dataskyddsförordningen genom att behandla klagandens personuppgifter utan rättslig grund.

IMY konstaterar att Sverigedemokraterna även har brutit mot artiklarna 12.2 och 14 i dataskyddsförordningen genom att inte underlätta för klaganden att utöva sina rättigheter och inte tillhandahålla tillräcklig information om behandlingen av klagandens personuppgifter.

IMY ger Sverigedemokraterna en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för överträdelserna.

Redogörelse för tillsynsärendet

IMY har inlett tillsyn mot Sverigedemokraterna i syfte att utreda ett klagomål. Av klagomålet framgår i huvudsak följande. Klaganden har tagit emot ett sms från Sverigedemokraterna med uppmaning om att rösta på partiet i valet till Europaparlamentet 2024. Klaganden har inte lämnat ut sina personuppgifter till Sverigedemokraterna eller någon organisation med koppling till partiet. Det har inte varit möjligt att avanmäla sig från utskicket eller att kontakta Sverigedemokraterna eftersom avsändarens uppgifter varit dolda.

IMY:s granskning i ärendet gäller om Sverigedemokraterna har haft rättslig grund för behandlingen av klagandens personuppgifter vid utskick av det aktuella meddelandet och om partiet gett klaganden tillräcklig information om behandlingen och klagandens rättigheter enligt dataskyddsförordningen.

och att det skulle skickas till röstberättigade personer inom vissa postnummerområden och valkretsar där partiet har lågt sympatistöd, enligt bland annat information om valresultat som inhämtats från Valmyndigheten. Det företag som Sverigedemokraterna anlitat har i sin tur inhämtat telefonnummer som tillhör personer som bor inom dessa områden från en extern aktör som hämtar uppgifter från bland annat Skatteverket och operatörer. Personuppgifterna har lagrats av det anlitade företaget och raderats så snart kampanjen avslutats.

Partiet har vidare uppgett att den rättsliga grunden för behandlingen av klagandens personuppgifter är Sverigedemokraternas berättigade intresse av att sprida information om sin politik och verksamhet, till röstberättigade inom aktuella postorter, inför EU-valet 2024. Utskicket har begränsats till att avse röstberättigade personer. Partiet har valt att skicka sms för att nå ut med kortfattad information på ett så snabbt och effektivt sätt som möjligt. I anslutning till allmänna val är det nödvändigt för att information ska nå mottagarna, då det är en särskilt informationsintensiv period med mycket samhällsinformation som sprids i offentligheten. Det har därför varit nödvändigt att behandla personuppgifterna för att uppnå syftet med kampanjen. Sverigedemokraterna anser att det bör ligga i väljarnas rimliga förväntningar att kontaktas med samhällsinformation från politiska partier i anslutning till allmänna val. Av sms:et framgick tydligt att Sverigedemokraterna var avsändare av informationen. Därutöver har partiet begränsat sig till att använda telefonnummer från allmänt tillgängliga källor. Telefonnumren har inte kopplats till någon annan känslig information om de registrerade och har sparats under en mycket begränsad tid. Intrånget i mottagarnas integritet är därför högst begränsat. Vid framtida utskick av denna karaktär kommer det ges en tydligare hänvisning till Sverigedemokraternas hemsida i sms:et, där det finns mer information om hur partiet behandlar personuppgifter och de registrerades rättigheter. Sverigedemokraterna har en funktion för att spärra registrerade som inte vill ta emot några utskick från partiet och utskicken har inte gjorts till någon av dessa personer. Därmed tillgodoser partiet de registrerades rättigheter enligt dataskyddsförordningen. Sammantaget bedömer Sverigedemokraterna att partiets berättigade intresse av att genomföra den aktuella behandlingen väger tyngre än de registrerades fri- och rättigheter.

Klaganden har fått tillfälle att yttra sig över Sverigedemokraternas redogörelse men har inte återkommit.

Motivering av beslutet

IMY ska inledningsvis ta ställning till om Sverigedemokraterna är personuppgiftsansvarig för den behandling av personuppgifter som klagomålet gäller. IMY prövar därefter om Sverigedemokraterna haft rättslig grund för den aktuella behandlingen av personuppgifter och om partiet gett klaganden tillräcklig information om behandlingen och klagandens rättigheter enligt dataskyddsförordningen.

Personuppgiftsansvar

Tillämpliga bestämmelser

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behand-

lingen av personuppgifter. En aktör kan vara att betrakta som personuppgiftsansvarig även om den saknar faktiskt tillgång till personuppgifterna som behandlas.

IMY:s bedömning

Sverigedemokraterna har uppgett att partiet inte är personuppgiftsansvarig för den personuppgiftsbehandling som klagomålet gäller.

Av utredningen i ärendet framgår att Sverigedemokraterna anlitat ett externt företag för att skicka ut sms i syfte att sprida information om partiets politik inför EU-valet. Sverigedemokraterna har bestämt hur och varför meddelandet skulle skickas, vilket innehåll det skulle ha och urvalet av mottagare. Sverigedemokraterna har därmed bestämt hur behandlingen ska gå till och för vilket ändamål personuppgifterna ska behandlas. IMY bedömer därför att Sverigedemokraterna, trots att partiet inte haft faktisk tillgång till personuppgifterna som behandlats, är personuppgiftsansvarig för den behandling som klagomålet gäller.

Rättslig grund för behandlingen

Tillämpliga bestämmelser m.m.

I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i dataskyddsförordningen följs, däribland att behandlingen är laglig.

För att en personuppgiftsbehandling ska vara laglig krävs att den har stöd i någon av de rättsliga grunderna i dataskyddsförordningen vilket innebär att åtminstone ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt.

För att en behandling ska kunna stödja sig på den rättsliga grunden intresseavvägning (även kallad berättigat intresse) i artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska det finnas ett berättigat intresse för den personuppgiftsansvarige eller tredje part. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. För att strävan efter ett sådant berättigat intresse ska kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsförordningen.

Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset, EU-domstolen har också angett att behandlingen måste vara strängt nödvändig. Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas.

Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av de konkreta omständigheterna i det aktuella fallet. Den personuppgiftsansvarige ska identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kunde förvänta sig behandling för det aktuella ändamålet. Vid bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna som behandlas samt behandlingens sammanhang och övriga konsekvenser av denna. Utifrån dessa omständigheter ska en avvägning göras av motstående rättigheter och intressen, som ska inkludera möjligheten till ytterligare förmildrande åtgärder som går utöver vad den personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskyddsförordningen.

IMY:s bedömning

Sverigedemokraterna har uppgett att behandlingen av klagandens personuppgifter har varit laglig eftersom partiet har haft ett berättigat intresse att informera om partiets politik och verksamhet inför EU-valet 2024.

IMY ska därför ta ställning till om samtliga tre villkor för behandling av personuppgifter med stöd av den rättsliga grunden berättigat intresse är uppfyllda.

Sverigedemokraternas intresse av att sprida information om sin politik till röstberättigade inför ett kommande allmänt val är lagenligt, verkligt och faktiskt. IMY konstaterar därför att det aktuella intresset är ett berättigat intresse i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

För att behandlingen ska vara laglig krävs det även att den är nödvändig för att tillgodose det berättigade intresset. Nödvändighetsrekvisitet ska, som nämnts, prövas tillsammans med principen om uppgiftsminimering. Den aktuella personuppgiftsbehandlingen har varit begränsad vad avser mängden personuppgifter om klaganden, telefonnummer och postnummer, och uppgifterna har raderats direkt efter att kampanjen har genomförts. IMY bedömer att det inte framkommit att syftet rimligtvis hade kunnat tillgodoses på ett lika effektivt sätt genom alternativa kommunikationsvägar som inneburit att färre personuppgifter behövt behandlas. Mot den bakgrunden

finner IMY att behandlingen av klagandens personuppgifter skulle kunna anses nödvändig för det uppgivna ändamålet.

Vad gäller det tredje villkoret ska utgångspunkten vid en intresseavvägning vara klagandens intressen och fundamentala rättigheter som framförallt avser respekt för privatlivet och rätten till skydd för personuppgifter i det aktuella fallet.

Som redan konstaterats omfattar behandlingen en begränsad mängd personuppgifter som behandlats under en kort tid i syfte att göra ett utskick vid ett tillfälle.

IMY konstaterar dock att utskick av ett politiskt meddelande som riktas direkt till en enskild via sms utan att personen själv efterfrågat sådan information kan uppfattas som påträngande. I marknadsföringslagen har det införts ett särskilt starkt integritetsskydd vid utskick av obeställd reklam via sms eller e-post. Skyddet innebär att sådana utskick som huvudregel bara är tillåtna om samtycke har inhämtats på förhand. Det primära syftet med regleringen är att skydda konsumenter mot särskilt påträngande obeställd reklam. Marknadsföringslagen är visserligen inte tillämplig vid politisk marknadsföring, men lagstiftarens ställningstagande kring behovet av särskilt integritetsskydd visar att de registrerades intressen väger tungt vid obeställda utskick av reklam via sms och e-post.

Enligt IMY innebär detta att utrymmet för att använda sms för politisk reklam till den som inte är medlem eller aktivt har visat intresse för informationen är ytterst begränsat. Mot denna bakgrund samt med beaktande av att klaganden inte själv har lämnat sina personuppgifter eller haft en tidigare relation till partiet, anser IMY att behandlingen inte kan anses ha legat inom ramen för klagandens rimliga förväntningar.

Vid bedömningen av klagandens intressen har IMY även beaktat att det aktuella meddelandet inte innehållit någon information om behandlingen av klagandens personuppgifter. Klaganden har därmed inte kunnat bilda sig en uppfattning om vilka personuppgifter som behandlats och hur behandlingen gått till. Klaganden har inte heller informerats om sina rättigheter enligt dataskyddsförordningen eller kontaktuppgifter till den personuppgiftsansvarige och det har inte heller gått att svara på meddelandet. Bristen på sådan information har påverkat klaganden på ett betydande sätt eftersom det försvårat utövandet av klagandens rättigheter enligt dataskyddsförordningen. Vid en sammantagen bedömning finner IMY att klagandens intressen och grundläggande rättigheter och friheter väger tyngre än Sverigedemokraternas intresse av att nå ut med den aktuella informationen. Därmed är inte det tredje villkoret i artikel 6.1 f uppfyllt.

Samtliga villkor för att behandlingen ska kunna grunda sig på artikel 6.1 f är således inte uppfyllda. Det har inte heller framkommit att Sverigedemokraterna haft stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Det innebär att Sverigedemokraterna inte har haft rättslig grund för den behandling av personuppgifter som klagomålet gäller. Partiet har därmed behandlat klagandens personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

Information om behandlingen och möjlighet att invända

Tillämpliga bestämmelser

I artikel 12.2 i dataskyddsförordningen anges att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22 i förordningen.

I artikel 14 framgår vilken information som den personuppgiftsansvarige ska ge den registrerade vid behandling av personuppgifter som inte tillhandahållits av den registrerade själv. Av bestämmelsen framgår att den personuppgiftsansvarige bland annat ska informera om identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen för behandlingen, den personuppgiftsansvariges berättigade intressen, förekomsten av rätten att begära radering och att invända mot behandlingen.

IMY:s bedömning

Av utredningen framgår att det aktuella meddelandet inte innehöll någon information om personuppgiftsbehandlingen eller vem som var ansvarig för denna. Det som framgick om avsändaren var att meddelandet kom från ”SD” och att det innehöll en uppmaning om att rösta på Sverigedemokraterna. Det fanns inga kontaktuppgifter till den personuppgiftsansvarige och det gick inte att svara på meddelandet. Klaganden har inte heller fått information om exempelvis ändamålen och den rättsliga grunden för behandlingen eller om sina rättigheter enligt dataskyddsförordningen. Mot denna bakgrund bedömer IMY att Sverigedemokraterna inte har underlättat för klaganden att utöva sina rättigheter enligt förordningen och inte heller gett klaganden tillräcklig information om den aktuella behandlingen. Sverigedemokraterna har därmed behandlat klagandens personuppgifter i strid med artiklarna 12.2 och 14 i dataskyddsförordningen.

Val av ingripande

Av artiklarna 58.2 och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 för överträdelserna av artiklarna 6.1, 12.2 och 14 i förordningen. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY har bedömt att Sverigedemokraterna har saknat rättslig grund för den behandling av personuppgifter som klagomålet gäller. Vidare har Sverigedemokraterna inte underlättat för klaganden att utöva sina rättigheter eller gett den information som krävs enligt dataskyddsförordningen. Den aktuella behandlingen har dock gällt en begränsad mängd personuppgifter, som behandlats under kort tid vid ett tillfälle och har således inte varit av systematisk karaktär.

Vid en samlad bedömning anser IMY att det är fråga om en mindre överträdelse i den mening som avses i skäl 148 i dataskyddsförordningen. IMY ger därför Sverigedemokraterna en reprimand för överträdelsen.

__________________________

Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av avdelningsjuristen Maja Welander. Vid den slutliga handläggningen av ärendet har även juristen Michaela Prieto Ceric och rådgivaren Victor Hagstedt medverkat.

Nidia Nordenström

Bilaga

Klagandens personuppgifter

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.