Nusvar AB, mrkoll.se

IMY-2025-11707 Tillsyn enligt dataskyddsförordningen

– begäran om information

Rätten till radering

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen . IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

Varför granskar IMY er verksamhet?

IMY har mottagit en stor mängd klagomål mot Nusvar AB som tillhandahåller söktjänsten Mrkoll på webbplatsen www.mrkoll.se.

Webbplatsen

IMY har tagit del av den information som finns att tillgå på webbplatsen www.mrkoll.se. Där framgår bland annat följande.

Mrkoll är en av Sveriges mest kompletta personupplysningstjänster. Söktjänsten tillhandahåller information om privatpersoner, utvecklad för konsumenter. Totalt finns cirka 8,4 miljoner individer sökbara i tjänsten.

Det går att söka med hjälp av ett fullständigt namn, delar ur ett namn och/eller kombinera en gatu- eller postadress. En användare kan också söka med hjälp av ett personnummer. Det går att söka vem som är mest eftersökt i tjänsten i landet eller på kommunnivå. Det är också möjligt att söka vem som nyligen har flyttat till en kommun och var en person tidigare har varit folkbokförd.

Av Mediemyndighetens tillståndsregister framgår vidare att Nusvar AB har ett utgivningsbevis för Mrkoll.se.

Dataskyddsförordningens tillämplighet

Dataskyddsförordningen är till för att skydda enskilda individers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. De vars personuppgifter behandlas, de registrerade, har ett antal rättigheter enligt dataskyddsförordningen. Den registrerade har bland annat rätt till radering eller rätt att bli bortglömd med stöd av artikel 17. Rätten innebär att den registrerade under vissa förutsättningar har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få

sina personuppgifter raderade. Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater.

Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet med yttrande- och informationsfriheten, exempelvis för behandling som sker för journalistiska ändamål. Enligt 1 kap. 7 § första stycket lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) ska dataskyddsförordningen och dataskyddslagen inte tillämpas i den utsträckning det skulle strida mot Tryckfrihetsförordningen och Yttrandefrihetsgrundlagen (YGL).

Publiceringar på internet faller som huvudregel utanför tillämpningsområdet för YGL. Det innebär att dataskyddsförordningen normalt sett är tillämplig på sådan behandling. Den så kallade databasregeln i 1 kap. 4 § YGL ger dock under vissa förutsättningar grundlagsskydd för yttranden som sker genom tillhandahållanden till allmänheten ur databaser. Aktörer som tillhandahåller databaser kan få ett grundlagsskydd genom att ansöka om ett så kallat frivilligt utgivningsbevis hos Mediemyndigheten. Den svenska regleringen i 1 kap. 7 § första stycket dataskyddslagen innebär att det svenska grundlagsskyddet ska ha företräde framför dataskyddsförordningen för den som innehar ett utgivningsbevis. Grundlagsskyddet innebär bland annat att YGL:s ansvars- och sanktionssystem är tillämpligt (jfr 1 kap. 14 § YGL).

YGL saknar dock proportionalitetsbestämmelser som möjliggör en sammanvägning av motstående intressen, så som rätten till integritet och yttrande- och informationsfriheten. Enligt EU-domstolens praxis krävs att en sådan avvägning kan göras för att sammanjämka de aktuella rättigheterna.

Vidare ska merparten av dataskyddsförordningen enligt 1 kap. 7 § andra stycket i dataskyddslagen inte tillämpas vid behandling av personuppgifter för bland annat journalistiska ändamål. Undantaget i bestämmelsen avviker dock från formuleringen i 85.2 i dataskyddsförordningen som förutsätter en proportionalitetsbedömning där undantag endast ska fastställas om de är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.

På senare tid har ett antal svenska domstolsavgöranden meddelats i frågan, bland annat av Högsta domstolen. Domstolarna har kommit fram till att den svenska regleringen i 1 kap. 7 § dataskyddslagen, om den tolkas på det sätt som lagstiftaren får sägas ha avsett, inte kan tillämpas fullt ut på den publicering av personuppgifter som utförs av söktjänster med utgivningsbevis.

IMY är behörig att inleda tillsyn mot Nusvar AB

Den svenska regleringen om förhållandet mellan YGL och dataskyddsförordningen i 1 kap. 7 § första stycket dataskyddslagen innebär ett undantag från

dataskyddsförordningens reglering om tillsynsmyndighetens behörighet, uppgifter och befogenheteroch från enskildas rättsmedel att ge in klagomål till tillsynsmyndigheten.8

IMY har i ett rättsligt ställningstagande bedömt att intresset av att publicera personuppgifter i söktjänster inte kan motivera ett kategoriskt undantag från tillsynsmyndighetens behörighet, uppgifter och befogenheter enligt dataskyddsförordningen.

Enligt artikel 57.1 a och 58.1 b i dataskyddsförordningen har tillsynsmyndigheten till uppgift att övervaka och verkställa tillämpningen av förordningen och att genomföra undersökningar i form av dataskyddstillsyn. IMY har mottagit ett stort antal klagomål mot Nusvar AB som rör rätten till radering enligt artikel 17 i dataskyddsförordningen. IMY anser att de registrerades rättigheter och intressen mest effektivt kan skyddas genom att inleda en generell tillsyn.

Mot denna bakgrund är IMY behörig att inleda egeninitierad tillsyn mot Nusvar AB som tillhandahåller webbplatsen www.mrkoll.se.

Vad granskningen avser

IMY avser att utreda om och på vilket sätt Nusvar AB hanterar begäran om radering enligt artiklarna 17.1 c och 21 i dataskyddsförordningen.

Våra frågor

1. Stämmer det att ert organisationsnummer är 556991–1224? 2. Stämmer det att ni är personuppgiftsansvarig för personuppgiftsbehandlingen på webbplatsen www.mrkoll.se? Om nej, uppge vem som är det och varför ni anser det. Om ja, svara på nedanstående frågor. 3. Beskriv syftet med söktjänsten på webbplatsen www.mrkoll.se. 4. Anser ni att er söktjänst utgör journalistisk verksamhet? Om ja, beskriv tydligt på vilket sätt. Förklara också på vilket sätt det journalistiska ändamålet är relaterat till personuppgiftsbehandlingen i söktjänsten. Uppge även om ni har gjort en avvägning mellan journalistiska ändamål och de registrerades integritetsintresse och beskriv i så fall detaljerat hur denna har gjorts. 5. Beskriv uttömmande till vilka ni tillhandahåller söktjänsten och på vilket sätt (t.ex. allmänheten eller betalande kunder). 6. Hur många använder sig av söktjänsten på veckobasis? 7. Av er webbplats framgår att användare bland annat kan hitta telefonnummer, adress och personnummer. Stämmer detta? Komplettera även så att IMY får en helhetsbild av samtliga personuppgifter som användarna av söktjänsten har tillgång till. Beskriv även om betalande användare (eller andra kategorier av användare) får tillgång till andra uppgifter än icke-betalande och i så fall hur dessa skiljer sig åt. 8. Hur många registrerade har lämnat in en begäran om radering till er med stöd av artikel 17 i dataskyddsförordningen? Gör en uppskattning om ni inte har någon exakt siffra. 9. Gör ni en prövning av en begäran om radering med stöd av artikel 17 som kommer in till er, det vill säga tar ni ställning till om det finns grund för radering enligt artikel 17.1 och i så fall om något undantag enligt artikel 17.3 är tillämpligt?

a. Om inte, hur motiverar ni att inte behandla en begäran om radering? b. Om ja, raderar ni personuppgifter på begäran av den registrerade och hur motiverar ni raderingen? c. Om ja, kommer ni i vissa fall fram till att vissa personuppgifter inte ska raderas och hur motiverar ni detta i sådana fall? 10. Avser ni att genomföra några ändringar i er söktjänst? Om ja, beskriv ändringarna.

Era svar

Svara skriftligt till IMY senast den 9 juli 2025.

Ange IMY-2025-11707 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

Om ni utöver svaren på våra frågor vill hänvisa till ytterligare information eller handlingar så ange detta och vad ni vill visa med dem men skicka inte in handlingar som går utöver det angivna syftet med tillsynen.

Måste ni svara IMY?

Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

Vad händer sen?

När IMY är färdig med granskningen kommer ni att få ett beslut. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

Om ni har frågor om ärendet kontakta: , 08-657 61 00.

Information om IMY:s behandling av personuppgifter

https://