Fuplex AB, krimfup.se

IMY-2025-6465 Tillsyn enligt dataskyddsförordningen

– begäran om information

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , även kallad GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn.

Varför granskar IMY er verksamhet?

Rättslig bakgrund - Den personliga integritetens förhållande till yttrande- och informationsfriheten

Publiceringar på internet faller som huvudregel utanför yttrandefrihetsgrundlagens (YGL) tillämpningsområde. Från huvudregeln görs undantag bland annat genom den så kallade databasregeln i 1 kap. 4 § YGL. För vissa aktörers databaser gäller grundlagsskyddet automatiskt. Andra aktörer kan hos Mediemyndigheten ansöka om ett så kallat utgivningsbevis (jfr 1 kap. 4 § första stycket 1 d och 5 § YGL). Vid en ansökan om utgivningsbevis görs det inte någon prövning av databasens innehåll eller syfte. Enligt exklusivitetsprincipen i 1 kap. 14 § YGL krävs stöd i grundlag för ingripande från en myndighet eller ett annat allmänt organ mot den som missbrukar yttrandefriheten. Det innebär i första hand ett skydd mot straffrättsliga ingripanden och skadestånd som inte har stöd i tryckfrihetsförordningen (TF) och YGL. Principen omfattar dock även andra sanktioner från det allmännas sida, såsom avskedande och liknande disciplinära åtgärder (t.ex. omplacering).

Rätten till skydd av personuppgifter preciseras i dataskyddsförordningen. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott och därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet. Bestämmelsen syftar till att säkerställa ett utökat skydd mot sådan behandling av personuppgifter som kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna 7 och 8 i 4 EU:s rättighetsstadga.

Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater. Dataskyddsförordningen har dock utformats med hänsyn till andra rättigheter och intressen och innehåller de mekanismer som gör det möjligt att uppnå en korrekt balans mellan dessa, däribland mellan den personliga integriteten samt yttrande- och informationsfriheten. Uppgiften att sammanjämka dessa rättigheter har i huvudsak överlämnats till medlemsstaterna inom ramen för regleringen i artikel 85. Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet med yttrande- och informationsfriheten och - om nödvändigt fastställa undantag från vissa delar av förordningen för viss behandling, exempelvis för behandling som sker för journalistiska ändamål. Sådana bestämmelser har förts in i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen).

Enligt 1 kap. 7 § första stycket dataskyddslagen ska dataskyddsförordningen och dataskyddslagen inte tillämpas i den utsträckning det skulle strida mot TF eller YGL. I bestämmelsens andra stycke görs undantag för yttrande- och informationsfriheten utanför det grundlagsskyddade området. Undantaget omfattar behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Detta avser exempelvis journalistisk verksamhet som bedrivs utan utgivningsbevis. Uttrycket behandling för journalistiska ändamål ska tolkas brett och omfattar bland annat att sprida information, åsikter eller idéer till allmänheten. Vilken teknik som används eller om verksamheten bedrivs i vinstsyfte påverkar inte bedömningen. Även behandling av personuppgifter som innebär att material som har samlats in från myndigheter i oförändrad form tillhandahålls kommersiellt kan utgöra behandling för journalistiska ändamål.

Högsta domstolen (HD) har i två beslut den 25 februari 2025 uttalat att det inte kan anses förenligt med unionsrätten att ha en ordning som innebär att brottmålsdomar i stor omfattning lämnas ut med följd att en betydande mängd personuppgifter rörande lagöverträdelser därefter kan behandlas i en databas och göras tillgängliga för andra. Det generella undantaget i 1 kap. 7 § dataskyddslagen, vilket bland annat föreskriver att artikel 10 i dataskyddsförordningen inte ska tillämpas vid behandling som sker för journalistiska ändamål, eller om det annars skulle strida mot grundlagarna, är, om det tolkas på det sätt som lagstiftaren får sägas ha avsett, därför inte förenligt med unionsrätten.

IMY:s behörighet att inleda tillsyn mot Fuplex AB

IMY har tidigare bedömt att regleringen i 1 kap. 7 § första stycket dataskyddslagen och regleringen i 1 kap. 11 och 14 §§ YGL inneburit att IMY varit förhindrad att utöva tillsyn mot söktjänster med utgivningsbevis.

Genom ett rättsligt ställningstagande den 14 maj 2024 har IMY omprövat nämnda bedömning om behörighet att utöva tillsyn för verksamheter som har utgivningsbevis, eftersom det har skett en utveckling av europeisk och svensk rättspraxis. IMY bedömer i sitt ställningstagande att myndigheten har behörighet att inleda tillsyn med anledning av klagomål mot söktjänster med utgivningsbevis. I ställningstagandet definieras söktjänster som sådana tjänster som, gratis eller mot betalning, gör en stor mängd personuppgifter tillgängliga utan någon egentlig urskiljning och med möjlighet

till sökning på person. Det kan exempelvis vara fråga om uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser.

Mot bakgrund av HD:s ovan nämnda beslut anser IMY, oaktat att Fuplex AB har utgivningsbevis för webbplatsen www.krimfup.se, att IMY har behörighet att inleda en egeninitierad tillsyn mot bolaget.

Webbplatsen

IMY har tagit del av den information som finns att tillgå på webbplatsen www.krimfup.se. Där anges bland annat att Krimfup är en rättslig databas som tillgängliggör domar och förundersökningsprotokoll. Det framgår att det finns sökfält där man kan skriva in för- och efternamn, adress samt personnummer. På webbplatsen anges även ”Sök bland hundratals domar och förundersökningsprotokoll. Databasen uppdateras dagligen.”

IMY har mottagit en omfattande mängd klagomål mot webbplatsen efter myndighetens rättsliga ställningstagande.

Vad granskningen avser

IMY avser att utreda om Fuplex AB behandlar personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott i sin söktjänst på webbplatsen www.krimfup.se i strid med artikel 10 i dataskyddsförordningen.

Våra frågor

1. Vilket är ert organisationsnummer?

2. Är ni personuppgiftsansvarig för den beskrivna söktjänsten på webbplatsen www.krimfup.se? Om nej, uppge vem som är det och varför ni anser det. Om ja, svara på nedanstående frågor.

3. Beskriv syftet med söktjänsten på webbplatsen.

4. Anser ni att er söktjänst utgör journalistisk verksamhet? Om ja, beskriv tydligt på vilket sätt. Ange i så fall om ni gjort en avvägning mellan journalistiska ändamål och de registrerades integritetsintresse. Om ni gjort en sådan avvägning ska ni ange detaljerat hur denna har gjorts.

5. Till vilka tillhandahåller ni söktjänsten (t.ex. allmänheten eller betalande kunder)?

6. Vilka personuppgifter har användarna av söktjänsten tillgång till? Förklara även om betalande kunder får tillgång till andra uppgifter än icke-betalande kunder och i så fall hur dessa skiljer sig åt.

7. Är det möjligt för användare av er söktjänst att vid sökning med sökparametrar relaterade till en person – såsom personnamn, personnummer eller adress – ta del av sådana uppgifter som omfattas av artikel 10 som rör den eftersökta personen? Om ja, motivera vilket lagstöd ni har för den behandlingen?

8. Hur många handlingar (ungefärligt antal) innehållande sådana uppgifter som avses i artikel 10 är sökbara i er tjänst?

9. Avser ni att genomföra några ändringar i er söktjänst? Om ja, beskriv dessa förändringar.

Era svar

Svara skriftligt till IMY senast den 16 april 2025.

Ange IMY-2025-6465 när ni svarar. Era svar kan skickas via e-post till . Använd inte e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

Om ni utöver svaren på våra frågor vill hänvisa till ytterligare information eller handlingar så ange detta och vad ni vill visa med dem men skicka inte in handlingar som går utöver det angivna syftet med tillsynen.

Måste ni svara IMY?

Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

Vad händer sen?

När IMY är färdig med granskningen kommer ni att få ett beslut. Där kommer ni att få besked om eventuella brister i ert dataskydd och om ni måste vidta några korrigerande åtgärder. IMY kan exempelvis påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

Om ni har frågor om ärendet kontakta IMY: , 08- 657 61 00

Information om IMY:s behandling av personuppgifter

https://