Klagomål mot söktjänster med utgivningsbevis

Integritetsskyddsmyndighetens (IMY) rättsliga ställningstaganden innehåller en redogörelse för IMY:s uppfattning i rättsliga frågor där det saknas vägledande domstolspraxis eller vägledning från Europeiska dataskyddsstyrelsen (EDPB). De är styrande för IMY:s verksamhet och vägledande för allmänheten. Ställningstagandena görs mot bakgrund av rättsläget vid beslutet och gäller tills vidare. Ställningstagandena kan komma att upphävas eller ändras om det kommer ny domstolspraxis eller vägledning från EDPB.

Sammanfattning

Hittills har IMY bedömt att regleringen i yttrandefrihetsgrundlagen och dataskyddslagen har utgjort hinder mot att ingripa mot söktjänster med utgivningsbevis som publicerar personuppgifter. IMY har omprövat denna bedömning och bedömt att myndigheten har behörighet att inleda tillsyn med anledning av klagomål mot sådana söktjänster.

Med söktjänster avses här tjänster som, gratis eller mot betalning, gör en stor mängd personuppgifter tillgängliga utan någon egentlig urskiljning och med möjlighet till sökning på person. De personuppgifter som publiceras kan vara av olika slag. Det kan till exempel vara fråga om namn, adress, ålder, hushållets storlek, fordonsinnehav och bolagsengagemang. Det kan också vara fråga om uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser.

Anledningen till att IMY har omprövat sin tidigare bedömning är att det har skett en utveckling av europeisk och svensk rättspraxis. För det första har enskilda som klagar till IMY fått en stärkt rättsställning och IMY:s skyldigheter att utreda och agera på deras klagomål har utökats. För det andra har det tydliggjorts att när rätten till skydd av personuppgifter samt yttrande- och informationsfriheten ska sammanjämkas, ska det vara möjligt att göra en avvägning mellan rättigheterna utifrån omständigheterna i det enskilda fallet.

En annan anledning är att IMY under en längre tid har tagit emot många klagomål mot söktjänster med utgivningsbevis. Av klagomålen framgår att enskilda upplever den omfattande publiceringen och spridningen av personuppgifter som sker genom söktjänsterna som mycket kränkande och oroande. Oron kan till exempel avse att informationen kan användas av kriminella för att välja ut och kartlägga brottsoffer på grundval av ålder, att den enskilde är ensamboende eller innehar ett värdefullt fordon. Vissa söktjänster tillhandahåller även uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser som innefattar brott, vilket kan leda till en påtaglig integritetsskada.

IMY konstaterar att regleringen kring utgivningsbevis i svensk rätt innebär att det i de allra flesta fallen inte går att göra en avvägning utifrån omständigheterna i det enskilda fallet mellan berörda rättigheter vid publicering av personuppgifter i söktjänster. Till detta kommer att IMY är skyldig att utreda klagomål enligt dataskyddsförordningen och att rätten att ge in klagomål till tillsynsmyndigheten är ett centralt rättsmedel för enskilda. IMY bedömer att yttrandefrihetsintresset av att publicera personuppgifter i söktjänster inte motiverar de långtgående undantag från dataskyddsförordningen som görs i den svenska regleringen och att regleringen därför inte är förenlig med EUrätten när det gäller sådan publicering.

IMY bedömer att det – för att nå förenlighet med EU-rätten – krävs att IMY är behörig, enligt regleringen i dataskyddsförordningen, att utreda och ta ställning till enskildas klagomål mot publiceringar av personuppgifter i söktjänster med utgivningsbevis.

IMY slutsats är att myndigheten har behörighet att inleda tillsyn med anledning av klagomål mot den publicering av personuppgifter som sker i söktjänster med utgivningsbevis. IMY har dock inte tagit ställning till i vilken utsträckning de materiella reglerna i dataskyddsförordningen kan tillämpas på en söktjänst med utgivningsbevis, utan kommer att återkomma till den frågan i sin tillsyn.

1 Frågeställning och avgränsning

Den fråga som IMY avser att besvara med detta rättsliga ställningstagande är om IMY har behörighet att inleda tillsyn med anledning av klagomål mot söktjänster med utgivningsbevis. Detta ställningstagande omfattar inte frågan om i vilken utsträckning den materiella regleringen i dataskyddsförordningen ska tillämpas inom ramen för en sådan tillsyn.

Med söktjänster avses här tjänster som offentliggör uppgiftssamlingar med personuppgifter med möjlighet till sökning på person. Gemensamt för dessa söktjänster är att de, gratis eller mot betalning, gör en stor mängd personuppgifter tillgängliga utan någon egentlig urskiljning. De personuppgifter som publiceras kan vara av olika slag. Det kan till exempel vara fråga om namn, adress, ålder, hushållets storlek, fordonsinnehav och bolagsengagemang. Det kan också vara fråga om uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser. Detta ställningstagande avser endast den publicering av personuppgifter som sker i söktjänster. Ställningstagandet avser inte andra typer av publiceringar som har grundlagsskydd genom utgivningsbevis.

2 Ställningstagandets bakgrund

IMY är tillsynsmyndighet i Sverige enligt dataskyddsförordningen och har bland annat i uppgift att säkerställa efterlevnaden av den och att behandla klagomål från enskilda som anser att behandlingen av deras personuppgifter strider mot förordningen.

IMY har hittills inte ansett sig vara behörig att utöva tillsyn mot söktjänster med utgivningsbevis. IMY har således inte ansett sig kunna utöva tillsyn när enskilda har lämnat in klagomål till IMY angående hur sådana tjänster behandlar deras personuppgifter. Detta med hänsyn till bestämmelsen i 1 kap. 7 § första stycket lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). I bestämmelsen anges att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen (TF) eller yttrandefrihetsgrundlagen (YGL) (tillsammans mediegrundlagarna). IMY har dock ansett sig vara behörig att utöva tillsyn om det finns undantag från grundlagsskyddet, exempelvis undantaget som gäller för vissa uppgiftssamlingar med känsliga personuppgifter (1 kap. 20 § YGL).

IMY bedömer att det finns behov av att på nytt överväga frågan om i vilken utsträckning IMY är behörig att utöva tillsyn med anledning av klagomål mot söktjänster med utgivningsbevis. Det finns i huvudsak två skäl till detta.

För det första har det skett en utveckling av europeisk och svensk rättspraxis i två avseenden. I det första avseendet har enskilda som lämnar in klagomål till IMY fått en stärkt rättsställning och IMY:s skyldigheter att utreda och agera på deras klagomål har utökats. I det andra avseendet har det tydliggjorts att när rätten till skydd av personuppgifter samt yttrande- och informationsfriheten ska sammanjämkas, ska det

vara möjligt att göra en avvägning mellan rättigheterna utifrån omständigheterna i det enskilda fallet.

För det andra kan det konstateras att IMY under en längre tid har tagit emot många klagomål mot söktjänster med utgivningsbevis. Av klagomålen framgår att enskilda upplever den omfattande publiceringen och spridningen av personuppgifter som sker genom söktjänsterna som mycket kränkande och oroande. Söktjänsterna tillhandahåller uppgifter om bland annat adress, ålder, telefonnummer, bostadens och hushållets storlek, bolagsengagemang samt fordonsinnehav. Även om varje enskild uppgift i sig inte alltid uppfattas som integritetskränkande kan mängden personuppgifter ge en möjlighet till kartläggning av individen och upplevas som kränkande när den sprids till allmänheten. Att informationen sprids kan också skapa oro hos enskilda för hur uppgifterna används. Oron kan till exempel avse att informationen kan användas av kriminella för att välja ut och kartlägga brottsoffer på grundval av ålder, att den enskilde är ensamboende eller innehar ett värdefullt fordon. Informationen som är tillgänglig genom söktjänsterna kan vidare användas för att kartlägga offentliganställda för att sedan genom hot eller på annat sätt försöka påverka de beslut som de fattar i tjänsten.

Vissa söktjänster tillhandahåller även uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser som innefattar brott. Behandling av sådana uppgifter kan medföra påtaglig integritetsskada och är därför föremål för en särskild skyddsreglering i artikel 10 i dataskyddsförordningen. Regleringen innebär bland annat att när andra än myndigheter ska behandla personuppgifter om brott krävs att behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt och att den regleringen fastställer lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. Regleringen innebär vidare att ett fullständigt register över fällande domar i brottmål endast får föras under kontroll av en myndighet.

3 Förhållandet mellan mediegrundlagarna och dataskyddsregleringen

3.1 Regleringen i dataskyddslagen

Av 1 kap. 7 § första stycket dataskyddslagen framgår att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot mediegrundlagarna. Enligt förarbetena tydliggör bestämmelsen att TF och YGL har företräde framför dataskyddsförordningens och dataskyddslagens bestämmelser. Europeiska kommissionen har i kommunikation med den svenska regeringen uttryckt tvivel i fråga om Sverige har åstadkommit en riktig balans genom det företräde som mediegrundlagarna ges framför dataskyddsförordningen.

I 1 kap. 7 § andra stycket dataskyddslagen görs undantag för yttrande- och informationsfriheten utanför det grundlagsskyddade området. Undantaget omfattar behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Det kan exempelvis vara fråga om journalistisk verksamhet som bedrivs i bloggform men utan utgivningsbevis. Undantaget innebär att dataskyddsförordningens och dataskyddslagens bestämmelser

om tillsyn, rättsmedel, ansvar och sanktioner i praktiken är tillämpliga enbart såvitt avser tillsyn över eller överträdelser av bestämmelserna om säkerhet för personuppgifter.

3.2 Regleringen i yttrandefrihetsgrundlagen (YGL)

Publiceringar på internet faller som huvudregel utanför YGL:s tillämpningsområde. Detta innebär att dataskyddsförordningen normalt sett är tillämplig på sådan behandling. Från huvudregeln görs dock undantag genom bland annat databasregeln (1 kap. 4 § YGL). För behandling av personuppgifter som omfattas av databasregeln ska dataskyddsförordningen inte tillämpas i den utsträckning det skulle strida mot YGL (1 kap. 7 § första stycket dataskyddslagen).

Databasregeln ger under vissa förutsättningar grundlagsskydd för bland annat yttranden som sker genom tillhandahållanden till allmänheten ur databaser. Det som typiskt sett avses är tillhandahållanden av lagrad information från webbplatser på begäran. För vissa aktörer gäller grundlagsskyddet automatiskt, det vill säga utan att någon särskild åtgärd behöver vidtas. Så är fallet för redaktioner för periodiska skrifter och redaktioner för program. Även andra traditionella massmedieföretag, som till exempel bokförlag som ger ut tryckta böcker och nyhetsbyråer, har automatiskt grundlagsskydd för sina databaser. Andra aktörer har möjlighet att hos Mediemyndigheten ansöka om utgivningsbevis och på så sätt få ett så kallat frivilligt grundlagsskydd (jfr 1 kap. 4 § första stycket 1 d och 5 § YGL). Vid en ansökan om utgivningsbevis görs det inte någon prövning av databasens innehåll eller syfte.

Enligt censurförbudet i 1 kap. 11 § YGL får det som är avsett att framföras i program eller genom tekniska upptagningar inte först granskas av en myndighet eller ett annat allmänt organ. Enligt förbudet mot hindrande åtgärder i samma paragraf är det inte tillåtet för en myndighet eller ett annat allmänt organ att på grund av innehållet förbjuda eller hindra framställning, offentliggörande eller spridning bland allmänheten av ett program eller en teknisk upptagning, om åtgärden inte har stöd i YGL.

Enligt exklusivitetsprincipen i 1 kap. 14 § YGL får en myndighet eller ett annat allmänt organ inte utan stöd i YGL ingripa mot någon för att han eller hon i ett program eller en teknisk upptagning har missbrukat yttrandefriheten eller medverkat till ett sådant missbruk. Inte heller får de utan stöd i YGL av sådan anledning ingripa mot programmet eller upptagningen. Exklusivitetsprincipen innebär att YGL är exklusiv sanktions- och processlag inom lagens tillämpningsområde.

Bestämmelserna om yttrandefrihetsbrott i 5 kap. YGL drar upp de straffrättsliga gränserna för ansvarsutkrävande vid publiceringar i söktjänster. I den så kallade brottskatalogen anges de brott som ansvar kan utkrävas för, t.ex. olaga hot, förtal, förolämpning och hets mot folkgrupp (se 5 kap. 1 § YGL, som hänvisar till 7 kap. TF).

För yttrandefrihetsbrott tillämpas ett särskilt ansvarssystem, där huvudregeln är att endast en person kan ställas till svars. Enligt 6 kap. 1 § YGL är utgivaren som utgångspunkt ansvarig.

Lagstiftaren har uppställt en rad trösklar som måste passeras innan ett eventuellt yttrandefrihetsbrott kan beivras. YGL innehåller en processuell särreglering för yttrandefrihetsmål. Det är bara Justitiekanslern som kan vara allmän åklagare i yttrandefrihetsmål, som får inleda förundersökning och som i egenskap av åklagare kan besluta om tvångsmedel. Rättegången sker med jury om inte parterna avstår från att begära detta. För fällande dom krävs två tredjedels majoritet i juryn. Om juryn friar kan utslaget inte ändras av rätten eller i högre instans. Det är däremot möjligt om juryns utslag är fällande. Enligt den s.k. instruktionen i 1 kap. 15 § YGL ska Justitiekanslern, juryn och rätten alltid särskilt beakta yttrandefrihetsintresset.

Enskilda som utsatts för brott eller som annars skadats av ett brott, dvs. målsägande, kan väcka enskilt åtal (7 kap. 1 § YGL som hänvisar till 9 kap. 7 § TF). Av yttrandefrihetsbrotten är det främst förtal och förolämpning som på detta sätt kan riktas mot enskilda. Enligt 5 kap. 5 § brottsbalken, som även gäller för Justitiekanslern i yttrandefrihetsmål, är huvudregeln att enbart målsägande får väcka åtal för förtal. Där framgår att Justitiekanslern får väcka åtal om målsäganden anger brottet till åtal och om åtalet kan anses påkallat från allmän synpunkt.

Av 1 kap. 20 § YGL framgår att bestämmelserna i YGL inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av känsliga personuppgifter, bl.a. om etniskt ursprung, politisk tillhörighet, biometriska uppgifter eller hälsa. För att bestämmelsen ska vara tillämplig krävs att tre villkor är uppfyllda:

(i) att känsliga personuppgifter offentliggörs (första stycket), (ii) att uppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa (andra stycket 1) samt (iii) att det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga integritet (andra stycket 2).

IMY har behörighet att utöva tillsyn om undantaget i 1 kap. 20 § YGL är tillämpligt. Undantaget i 1 kap. 20 § YGL är dock snävt och är avsett att omfatta ett begränsat antal publiceringssituationer. Konstitutionsutskottet uttalade i förarbetena till bestämmelsen att en betydande marginal bör tillämpas i fråga om vad som faller inom det grundlagsskyddade området så att intresset för yttrandefrihet inte får ge vika för intresset av att skydda enskildas integritet i gränsfall eller svårbedömda situationer. Vidare ska bestämmelsen tillämpas med utgångspunkt i den så kallade instruktionen i 1 kap. 15 § YGL. Av den framgår att den som ska döma över missbruk av yttrandefriheten alltid bör ha i åtanke att tryck- och yttrandefriheten är en grundval för ett fritt samhällsskick och i tveksamma fall hellre fria än fälla. Det snäva tillämpningsområdet innebär att delegationsbestämmelsen sannolikt inte är tillämplig på alla publiceringar av känsliga personuppgifter som sker i söktjänster.

Sammanfattningsvis kan konstateras att det enligt YGL är möjligt att ingripa mot publiceringar av personuppgifter i söktjänster endast enligt YGL:s ansvars- och sanktionssystem eller om något undantag från YGL är tillämpligt. Det är endast när bestämmelserna i 1 kap. 20 § YGL aktualiseras som IMY hittills ansett sig ha behörighet att utöva tillsyn mot en söktjänst med utgivningsbevis.

3.3 Lagstiftningsarbetet på området

Frågan om mediegrundlagarna är förenliga med den EU-rättsliga dataskyddsregleringen har diskuterats under lång tid. När det tidigare gällande dataskyddsdirektivet genomfördes i svensk rätt infördes en bestämmelse i 7 § personuppgiftslagen (1998:204) som innebar att den lagen inte skulle tillämpas i den utsträckning det skulle strida mot mediegrundlagarna. Lagrådet ifrågasatte, i likhet med flera remissinstanser, om detta var förenligt med EU-rätten.

Det frivilliga grundlagsskyddet för databaser, som används av bland annat söktjänster, infördes år 2003 efter en utveckling som inneburit att andra än de traditionella massmedieföretagen i allt större utsträckning hade börjat tillhandahålla information till allmänheten på internet. Andra medieföretag och enskilda hade blivit delaktiga i nyhetsförmedlingen, opinionsbildningen och upplysningen, och den nya kommunikationen ansågs vara nödvändig för yttrandefriheten och informationsfriheten. Regeringen gjorde, mot den bakgrunden, bedömningen att det fanns skäl att erbjuda ett grundlagsskydd motsvarande det som tidigare hade varit förbehållet massmedieföretagen även till de nya aktörerna. Vid införandet av det frivilliga grundlagsskyddet varnade konstitutionsutskottet för att det skulle kunna uppstå konflikter med skyddet för den personliga integriteten och pekade särskilt på att grundlagsskyddet i värsta fall skulle kunna omfatta databaser som är rena personregister. Konstitutionsutskottet ansåg därför att regeringen borde ytterligare analysera eller låta analysera huruvida det frivilliga grundlagsskyddet kunde komma i konflikt med bestämmelserna med syfte att skydda den personliga integriteten. Riksdagen instämde i utskottets bedömning och tillkännagav detta för regeringen.

Yttrandefrihetskommittén gavs i uppdrag att analysera frågan, men gjorde bedömningen att det inte fanns behov av grundlagsändringar. År 2014 gav regeringen Mediegrundlagskommittén i uppdrag att på nytt utreda frågan. Mediegrundlagskommittén gjorde bedömningen att det fanns skäl att inskränka grundlagsskyddet för vissa typer av söktjänster och i stället tillåta bestämmelser på lagnivå. Kommittén föreslog därför ett uttryckligt undantag i TF och YGL för vissa söktjänster som tillhandahåller känsliga personuppgifter (bland annat uppgifter som avslöjar politisk eller religiös åskådning eller som rör hälsa och sexualliv) och uppgifter om lagöverträdelser med mera. Regeringen instämde i kommitténs bedömning och föreslog ändringar i TF och YGL i enlighet med kommitténs förslag.

Riksdagen antog regeringens förslag till ändringar i TF och YGL i den del ändringarna avsåg uppgiftssamlingar med känsliga personuppgifter men avslog förslaget i den del det avsåg personuppgifter om lagöverträdelser. Riksdagen tillkännagav dock för regeringen att en utredning borde få i uppdrag att på nytt utreda frågan om att begränsa grundlagsskyddet för söktjänster som innehåller personuppgifter om att enskilda har begått lagöverträdelser, förekommer i fällande domar eller har varit föremål för straffprocessuella tvångsmedel. Konstitutionsutskottet uttalade i det sammanhanget att utskottet ansåg att söktjänster som tillhandahåller personuppgifter

om lagöverträdelser m.m. utgör ett allvarligt ingrepp i enskildas personliga integritet. Den 1 januari 2019 trädde ändringen av mediegrundlagarna i kraft (1 kap. 13 § TF och 1 kap. 20 § YGL).

Regeringen gav, i enlighet med riksdagens tillkännagivande, 2018 års tryck- och yttrandefrihetskommitté i uppdrag att utreda frågan om en begränsning av grundlagsskyddet för uppgiftssamlingar med uppgifter om lagöverträdelser med mera. Kommittén lade fram förslag som innebar att de befintliga delegationsbestämmelserna om känsliga personuppgifter skulle kompletteras på så sätt att personuppgifter om lagöverträdelser lades till i uppräkningen av de kategorier av personuppgifter som kan regleras genom vanlig lag. Kommittén föreslog också vissa övriga ändringar i utformningen av den befintliga delegationsbestämmelsen. Regeringen lade fram förslag till ändringar i 1 kap. 13 § TF och 1 kap. 20 § YGL i enlighet med kommitténs förslag. Konstitutionsutskottet delade regeringens bedömning att den nuvarande regleringen ger ett otillräckligt skydd för integritetskränkningar men ansåg att regeringens förslag inte kunde anses utgöra en ändamålsenlig begränsning av det grundlagsskyddade området. Riksdagen avslog därför förslagen med undantag för en rättelse av språkliga felaktigheter i bestämmelserna.

Frågan om grundlagsskyddet för söktjänster som offentliggör personuppgifter om lagöverträdelser utreds för närvarande på nytt. Den utredning som tillsatts har ett bredare uppdrag än tidigare utredningar genom att den även ska undersöka skyddet för söktjänster som offentliggör personuppgifter om adress, telefonnummer, civilstånd och andra uppgifter som rör enskildas personliga förhållanden. I regeringens kommittédirektiv redogörs mer utförligt för bakgrunden till att en delegationsbestämmelse motsvarande den i 1 kap. 20 § YGL saknas för uppgifter om lagöverträdelser och en del av den problematik som det medför.

4 Praxisutvecklingen på EU-nivå om förhållandet mellan rätten till skydd för personuppgifter och vissa andra rättigheter

4.1 Förhållandet till yttrande- och informationsfriheten

Den grundläggande rätten till skydd av personuppgifter slås fast i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan stadgan). Enligt den ska var och en ha rätt till skydd av de personuppgifter som rör honom eller henne (artikel 8.1). Vidare ska personuppgifter behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund (artikel 8.2). Dessutom har var och en rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. Därtill ska en oberoende myndighet kontrollera att dessa regler efterlevs (artikel 8.3). En rättighet som är nära sammanknuten med rätten till skydd för personuppgifter är rätten till respekt för privatlivet och familjelivet som slås fast i artikel 7 i stadgan.

I artikel 11 i stadgan slås rätten till yttrande- och informationsfrihet fast. Där stadgas att var och en har rätt till yttrandefrihet. Vidare stadgas att denna rätt innefattar åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan offentlig myndighets inblandning och oberoende av territoriella gränser.

Varken rätten till skydd av personuppgifter eller rätten till yttrande- och informationsfrihet är absoluta rättigheter. Av artikel 52.1 i stadgan framgår att begränsningar i utövandet av de rättigheter och friheter som erkänns i stadgan ska vara föreskrivna i lag och förenliga med det väsentliga innehållet i dessa rättigheter och friheter. Vidare anges att begränsningar, med beaktande av proportionalitetsprincipen, endast får göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.

Rätten till skydd av personuppgifter preciseras i dataskyddsförordningen, vars syfte är att skydda den personliga integriteten vid behandling av personuppgifter samt att harmonisera dataskyddsregleringen för att möjliggöra ett fritt flöde av personuppgifter inom EU. Dataskyddsförordningen har dock utformats med hänsyn till andra rättigheter och intressen och innehåller de mekanismer som gör det möjligt att uppnå en korrekt balans mellan dessa, däribland mellan den personliga integriteten samt yttrande- och informationsfriheten. Uppgiften att sammanjämka dessa rättigheter har i huvudsak överlämnats till medlemsstaterna inom ramen för regleringen i artikel 85.

Enligt artikel 85.1 ska medlemsstaterna i lag förena rätten till integritet i enlighet med dataskyddsförordningen med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Enligt artikel 85.2 ska medlemsstaterna, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från vissa delar av förordningen om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.

Artikel 52 i stadgan och artikel 85 i dataskyddsförordningen sätter således gränser för hur medlemsstaterna får förena rätten till skydd av personuppgifter med rätten till yttrande- och informationsfrihet. Vidare får undantag från rätten till skydd för personuppgifter enligt dataskyddsförordningen endast ske om undantagen är nödvändiga för att förena rättigheterna.

EU-domstolen har uttalat att för att göra en balanserad avvägning mellan de grundläggande rättigheterna krävs att undantag och begränsningar i förhållande till skyddet av personuppgifter inte går utöver gränserna för vad som är strikt 33 34 nödvändigt. Detta uttalande avsåg direktiv 95/46/EG , som ersattes av

dataskyddsförordningen, men är enligt IMY:s bedömning relevant även i förhållande till dataskyddsförordningen.

EU-domstolen har också slagit fast att för att beakta yttrandefrihetens betydelse i demokratiska samhällen, ska de begrepp som hör samman med denna, däribland journalistik, tolkas i vid mening. Detta innebär bland annat att undantag från och begränsningar av dataskyddsregleringen inte endast ska tillämpas på medieföretag, utan på alla personer som är journalistiskt verksamma. Av domstolens praxis framgår vidare att ”journalistisk verksamhet” är sådan verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium detta sker. EU-domstolen har dock i domen Google Spain och Google funnit att en sökmotorleverantörs behandling genom tillhandahållandet av sökmotorn inte kunde anses ske för journalistiska ändamål.

4.2 Förhållandet till allmänhetens rätt att ta del av allmänna handlingar

Enligt artikel 86 i dataskyddsförordningen får personuppgifter i allmänna handlingar som förvaras av en myndighet eller ett offentligt organ lämnas ut i enlighet med den unionsrätt eller den medlemsstats nationella rätt som myndigheten eller det offentliga organet omfattas av, för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med förordningen.

EU-domstolen har slagit fast att medlemsstaterna är skyldiga att tillse att allmänhetens tillgång till allmänna handlingar är förenlig med de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter. I målet rörde det sig om nationell lagstiftning som gav allmänheten tillgång till personuppgifter om ”prickning” vid överträdelser av trafikregler. Mot bakgrund av hur känsliga de aktuella uppgifterna bedömdes vara ansågs rätten till respekt för privatlivet väga över allmänhetens intresse av tillgång till allmänna handlingar och detta trots rätten till informationsfrihet i artikel 85 i dataskyddsförordningen. EU-domstolen framhöll att dataskyddsförordningens funktion är att trygga de grundläggande rättigheterna till privatlivet och skydd för personuppgifter och att varje undantag från dessa, även om de är tillåtna enligt dataskyddsförordningen, måste föregås av en proportionalitetsbedömning. EU-domstolen uttalade följande:

[…] även om allmänhetens tillgång till allmänna handlingar, såsom framgår av skäl 154 i förordningen, utgör ett allmänt intresse som kan motivera att personuppgifter som förekommer i sådana handlingar lämnas ut, måste man dock se till att allmänhetens tillgång till allmänna handlingar är förenlig med de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter, vilket för övrigt är ett uttryckligt krav enligt artikel 86. Med beaktande bland annat av hur känsliga uppgifterna om prickning vid överträdelser av trafikregler är, och av allvarlighetsgraden i det ingrepp i de berörda personernas grundläggande rättigheter avseende respekt för privatlivet och skydd för personuppgifter som utlämnandet av dessa uppgifter innebär, måste dessa rättigheter anses väga

tyngre än allmänhetens intresse av att få tillgång till allmänna handlingar, bland annat till det nationella fordons- och förarregistret.

Bestämmelserna i dataskyddsförordningen ansågs alltså utgöra hinder för nationell lagstiftning som tillät överföring av uppgifter om lagöverträdelser till ekonomiska aktörer för vidareutnyttjande.

EU-domstolen har i en nyligen meddelad dom understrukit de höga krav som måste ställas på nationella domstolar vid utlämning av fällande brottmålsdomar. EUdomstolen konstaterade att de nationella domstolarna är skyldiga att tillämpa kraven i dataskyddsförordningen i dess helhet, även om det inte finns någon specifik bestämmelse i tillämplig nationell rätt som tillåter att de registrerades intressen beaktas. EU-domstolen erinrade om att begränsningar enligt artikel 52.1 i stadgan inte får gå utöver vad som är strikt nödvändigt samt att den lagstiftning som innebär ett ingrepp måste innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden. EU-domstolen underströk här behovet av en sammanjämkning mellan allmänhetens tillgång till allmänna handlingar med de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter.

EU-domstolen slog i samma dom fast att det med beaktande av hur känsliga uppgifterna i fällande brottmålsdomar är, och av allvarlighetsgraden i det ingrepp rätten till respekt för privatlivet och till skydd för personuppgifter som utlämnandet av dessa uppgifter innebar, skulle dessa personers rättigheter anses väga tyngre än allmänhetens intresse av att få tillgång till allmänna handlingar. EU-domstolen slog även fast att rätten till informationsfrihet enligt artikel 85 i dataskyddsförordningen av samma skäl inte motiverar att personuppgifter avseende fällande domar i brottmål lämnas ut till var och en som begär ut sådana uppgifter, utan att vederbörande kan visa att denne har ett särskilt intresse av att erhålla dessa uppgifter.

Ovanstående två domar från EU-domstolen understryker behovet av en rättighetsavvägning mellan å ena sidan rätten till skydd av personuppgifter, så som skyddet uttrycks i dataskyddsförordningen, och å andra sidan informations- och yttrandefriheten. Varje begränsning och undantag från dataskyddsförordningen måste föregås av en proportionalitetsbedömning.

5 Praxisutvecklingen i Sverige avseende förhållandet mellan mediegrundlagarna och dataskyddsregleringen

Det finns inte något vägledande avgörande från de svenska högsta domstolarna när det gäller förhållandet mellan grundlagsskyddet för publicering av personuppgifter i söktjänster och den EU-rättsliga dataskyddregleringen. Högsta domstolen har i ett beslut uttalat att det saknas vägledande avgöranden i ”frågan om relationen mellan

EU:s dataskyddsförordning och grundlagsskyddet för yttrandefrihet i form av publicering av uppgifter om lagföring på webbplatser”. Högsta domstolen meddelade därför prövningstillstånd i ett mål där hovrätten nekat prövningstillstånd. Parterna i målet har dock senare ingått en förlikning och målet blev därför inte prövat i högsta instans.

Kammarrätten i Stockholm har i en dom som rör publiceringen av känsliga personuppgifter i en söktjänst bedömt att dataskyddsförordningen är en sådan lag som avses i 1 kap. 20 § YGL. I samma dom bedömde kammarrätten att publiceringen i söktjänsten inte kunde anses ske för journalistiska ändamål.

På senare tid har det meddelats ett antal svenska domstolsavgöranden där domstolen kommer fram till att 1 kap. 7 § första stycket dataskyddslagen inte kan tillämpas fullt ut på den publicering av personuppgifter som utförs av söktjänster med utgivningsbevis. Nedan redogörs för några av dem.

Kammarrätten i Stockholm har tolkat 1 kap. 7 § första stycket dataskyddslagen EUkonformt i ett mål som rör ett överklagande av Åklagarmyndighetens beslut att avslå en begäran om allmänna handlingar med stöd av 21 kap. 7 § offentlighets- och sekretesslagen (2009:400), OSL. Detta trots att företaget som begärde handlingarna hade utgivningsbevis. Kammarrätten konstaterade att ett så strikt förhållningssätt som följer av 1 kap. 7 § dataskyddslagen, det vill säga att det svenska grundlagsskyddet alltid ska ha företräde framför dataskyddsförordningen för den som innehar ett utgivningsbevis, inte är förenligt med principen om EU-rättens företräde. Kammarrätten motiverade detta med att den grundlagsskyddade delen av verksamheten enligt svensk rätt helt undantas bestämmelserna i dataskyddsförordningen och att ingen proportionalitetsbedömning görs mellan å ena sidan rätten till skydd för personuppgifter och å andra sidan rätten till skydd för yttrande- och informationsfrihet. Kammarrätten ansåg att det med hänsyn till principen om unionsrättens företräde och EU-domstolens praxis måste göras en avvägning i varje enskilt fall mellan det integritetsskyddsintresse som kommer till uttryck genom dataskyddsförordningen och de grundlagsskyddade rättigheter som gäller för innehavare av utgivningsbevis som återfinns i mediegrundlagarna. Kammarrättens avgörande har överklagats till Högsta förvaltningsdomstolen (HFD).

Hovrätten för Övre Norrland har i likhet med Kammarrätten i Stockholm tolkat 1 kap. 7 § första stycket dataskyddslagen EU-konformt. Målet gällde en begäran om allmänna handlingar från en nyhetsbyrå. Hovrätten tolkade 1 kap. 7 § första stycket dataskyddslagen på samma sätt som Kammarrätten i Stockholm. Hovrätten beslutade dock att lämna ut handlingarna med förbehållet att de endast används för journalistiska ändamål samt att personnummer, personnamn och adress för enskilda personer inte tillhandahålls allmänheten eller betalande kunder genom bolagets databas.

Flera tingsrätter har med stöd av 21 kap. 7 § OSL avslagit begäranden om allmänna handlingar från bolag med utgivningsbevis för databaser. I vissa tingsrätts- och

förvaltningsrättsavgöranden har bolag med utgivningsbevis som är nyhetsbyråer och som producerar egna nyheter, som i hovrättens mål ovan, beviljats utlämnande med vissa förbehåll.

Umeå tingsrätt har motiverat ett av sina avslagsbeslut enligt 21 kap. 7 § OSL med att EU-domstolens praxis utgör hinder för nationell lagstiftning som tillåter offentliga organ som ansvarar för register om uppgifter om lagöverträdelser att överföra dessa uppgifter till ekonomiska aktörer för vidareutnyttjande samt ställer höga krav på nationella domstolar vid utlämnande av brottmålsdomar.

Även Malmö tingsrätt har avslagit en begäran om allmän handling med stöd av 21 kap. 7 § OSL. Tingsrätten konstaterar att 1 kap. 7 § första stycket dataskyddslagen borde innebära att innehavet av ett utgivningsbevis medför att 21 kap. 7 § OSL inte är tillämplig i förhållande till tillståndshavaren, vilket gäller även den som bedriver verksamhet som inte är journalistisk. Tingsrätten ifrågasätter dock att 1 kap. 7 § första stycket dataskyddslagen, tillsammans med regleringen beträffande utgivningsbevis, är förenligt med EU-rätten. Tingsrätten konstaterar att dataskyddsförordningen visserligen ger den nationella lagstiftaren möjligheter att föreskriva om den närmare tillämpningen samt om vissa undantag från förordningen i artikel 85 och 86, men att sådana undantag förutsätter lämpliga skyddsåtgärder för de registrerades grundläggande fri- och rättigheter. Vidare ska möjligheten att göra undantag från dataskyddsförordningen tolkas i ljuset av Europeiska unionens stadga om de grundläggande rättigheterna, bl.a. artiklarna 8, 11 och 52. Tingsrätten anser därmed att den svenska lagstiftningens undantag från dataskyddsförordningen för verksamheter med utgivningsbevis oavsett verksamhetens ändamål inte är förenligt med EU-rätten eftersom det inte görs någon avvägning i det enskilda fallet mellan å ena sidan intresset för skydd av personuppgifter och å andra sidan informations- och yttrandefriheten. Tingsrätten bedömer rättsläget att det i nuläget, med hänsyn till EUdomstolens praxis, i varje tillämpningssituation måste göras en avvägning mellan integritetsskyddsintresset som kommer till uttryck i dataskyddsförordningen och stadgans artikel 8, och de i Sverige grundlagsfästa rättigheterna i mediegrundlagarna.

Vidare har Attunda tingsrätt beslutat att begära ett förhandsavgörande från EUdomstolen i ett tvistemål gällande publicering av uppgifter om lagöverträdelser på internet av ett bolag med utgivningsbevis. Attunda tingsrätt har bedömt att det finns utrymme för tolkning beträffande frågan i vilken utsträckning och för vilka ändamål dataskyddsförordningen medger att medlemsstaterna vidtar lagstiftningsåtgärder med avseende på behandling av personuppgifter och vilka krav dataskyddsförordningen ställer på den nationella lagstiftning som antas med stöd av förordningen. Frågorna till EU-domstolen avser om det skydd som YGL ger söktjänsterna vid publicering är förenligt med dataskyddsförordningen.

6 Praxisutvecklingen avseende rätten att inge klagomål och tillsynsmyndigheternas utredningsskyldighet

En EU-förordning, såsom dataskyddsförordningen, är till alla delar bindande och direkt tillämplig i varje medlemsstat och dess bestämmelser har – enligt artikel 288 FEUF och på grund av förordningarnas beskaffenhet och deras funktion i EU:s rättskällesystem – i allmänhet omedelbara verkningar i de nationella rättsordningarna, utan att det krävs att de nationella myndigheterna vidtar några tillämpningsåtgärder.

Den som anser att en behandling av personuppgifter som avser henne eller honom strider mot dataskyddsförordningen har rätt att lämna in klagomål till en tillsynsmyndighet (artikel 77.1). Varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt dataskyddsförordningen inom sin egen medlemsstats territorium (artikel 55.1). EU-domstolen har slagit fast att av ordalydelsen av artiklarna 55.1 och 77.1 framgår att det inte krävs att det antas några nationella tillämpningsåtgärder för att genomföra dessa bestämmelser och att de är tillräckligt klara, precisa och ovillkorliga för att ha direkt effekt. Av detta följer bland annat att dataskyddsförordningen fastställer omfattningen av den behörighet som medlemsstaterna måste tilldela tillsynsmyndigheten för att utöva tillsyn över tillämpningen av dataskyddsförordningen. Vidare följer att om en medlemsstat har valt att inrätta en enda tillsynsmyndighet måste denna myndighet förfoga över samtliga befogenheter som enligt dataskyddsförordningen tillkommer tillsynsmyndigheter.

Tillsynsmyndigheten har till uppgift att övervaka efterlevnaden av dataskyddsförordningen (artikel 8.3 i stadgan och artiklarna 51.1 och 57.1 a i dataskyddsförordningen) och är skyldig att inom sitt territorium behandla klagomål som var och en har rätt att inge (artiklarna 57.1 f och 77.1 i dataskyddsförordningen).

EU-domstolen har slagit fast att artikel 57.1 f i dataskyddsförordningen inte bara innebär att tillsynsmyndigheten ska behandla klagomål från enskilda utan också är skyldig att i den utsträckning det är nödvändigt pröva syftet med den behandling av personuppgifter som klagomålet tar sikte på. Tillsynsmyndigheten ska med vederbörlig omsorg utreda klagomål enligt artikel 77.1 i dataskyddsförordningen och har bland annat i detta hänseende tillerkänts betydande utredningsbefogenheter enligt artikel 58.1. EU-domstolen understryker att klagomålsförfarandet inte liknar förfarandet för en framställning, utan är utformat som en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen.

Av artikel 78.1 i dataskyddsförordningen framgår att enskilda har rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet. IMY:s beslut får överklagas till allmän förvaltningsdomstol enligt

7 kap. 3 § dataskyddslagen. EU-domstolen har slagit fast att artikel 78.1 i dataskyddsförordningen ska tolkas så att nationella domstolar vid en överprövning ska göra en fullständig domstolsprövning av tillsynsmyndigheternas beslut. Vid denna prövning ingår en bedömning om myndigheterna har iakttagit gränserna för sitt utrymme för skönsmässig bedömning vad gäller myndigheternas användning av sina korrigerande befogenheter enligt artikel 58.2 i dataskyddsförordningen.

I tidigare svensk praxis från HFD avseende de numera upphävda reglerna i dataskyddsdirektivet och personuppgiftslagen (1998:204) ansåg HFD att IMY:s beslut att inte vidta någon åtgärd med anledning av klagomål från enskilda eller beslut att avskriva ett tillsynsärende inte fick överklagas. I samband med införandet av dataskyddsförordningen framfördes i förarbetena att det skulle bli upp till domstolarna att ta ställning till om den tidigare gällande praxisen fortsatt är relevant eller om rättsläget förändrats genom införandet av dataskyddsförordningen. Detta har i praktiken inneburit att den som har initierat ett klagomålsärende hos IMY inte har betraktats som part i ett tillsynsärende som inletts med anledning av klagomålet.

I november 2023 meddelade HFD två domar som gällde överklagbarheten av IMY:s beslut. I det ena målet, som gällde IMY:s beslut att avsluta ett klagomålsärende, slog HFD fast att ett beslut vars innebörd är att IMY inte kommer att göra vad som begärts i ett klagomål måste betraktas som ett rättsligt bindande beslut som är överklagbart enligt artikel 78.1 i dataskyddsförordningen. I det andra målet, som gällde IMY:s beslut att avsluta ett tillsynsärende som inletts med anledning av ett klagomål utan åtgärd, konstaterade HFD att om tillsynsärendet avviker från vad som begärts i klagomålet uppstår samma situation som om klagomålet hade avslutats direkt. Eftersom klagomålet inte har lett till de begärda åtgärderna ansågs den berörda personen därför även i en sådan situation ha rätt att överklaga IMY:s beslut.

Avgörandena från HFD har medfört att IMY nu bedömer att den som ger in ett klagomål till IMY är part i klagomålsärendet och i ett tillsynsärende som inleds med anledning av ett klagomål. Till detta kommer att regeringen har remitterat ett förslag om tillägg till bland annat dataskyddslagen om en möjlighet till dröjsmålstalan. Skälet till det är att EU-kommissionen våren 2022 inledde ett överträdelseärende mot Sverige där kommissionen fört fram att Sverige saknar ett effektivt rättsmedel inför domstol i enlighet med bland annat artikel 78.2 i dataskyddsförordningen. Att klaganden har möjlighet till att framställa en dröjsmålstalan ger klaganden, utöver sin redan stärkta ställning, ytterligare möjlighet att påverka handläggningen av sitt ärende hos IMY.

7 Bedömning

7.1 Är den svenska regleringen om grundlagsskydd för söktjänster förenlig med EU-rätten?

IMY har hittills bedömt att regleringen i 1 kap. 7 § första stycket dataskyddslagen och regleringen i YGL (1 kap. 11 och 14 §§ YGL) innebär att IMY är förhindrad att utöva tillsyn mot söktjänster med utgivningsbevis. Den fråga som ska bedömas i detta rättsliga ställningstagande är om principen om EU-rättens företräde innebär att IMY har behörighet att utöva tillsyn i sådana fall.

Den svenska regleringen om förhållandet mellan mediegrundlagarna och dataskyddsförordningen innebär för det första ett kategoriskt undantag från den materiella regleringen i förordningen. Detta gäller till exempel de rättigheter som förordningen ger de registrerade, som rätten till tillgång, rätten till radering, rätten till rättelse och rätten att göra invändningar. Den svenska regleringen innebär för det andra ett kategoriskt undantag från förordningens reglering om tillsynsmyndighetens behörighet, uppgifter och befogenheter och från enskildas rättsmedel att ge in klagomål till tillsynsmyndigheten . Frågan är om dessa undantag är förenliga med de krav som EU-domstolen ställt i den praxis som redogjorts för i avsnitt 4 och 6 ovan.

Det kan först konstateras att den publicering av personuppgifter som sker i söktjänster innebär allvarliga risker för enskildas personliga integritet. Detta på grund av den stora mängden personuppgifter, sökmöjligheterna på person och den stora och okontrollerade spridning som publiceringen medför. Även om varje enskild uppgift tagen för sig inte alltid uppfattas som integritetskränkande kan mängden personuppgifter ge en möjlighet till kartläggning av individen och upplevas som kränkande när den sprids till allmänheten. Att informationen sprids kan också skapa oro hos enskilda för hur uppgifterna används. Oron kan till exempel avse att informationen kan användas av kriminella för att välja ut och kartlägga brottsoffer på grundval av ålder, att den enskilde är ensamboende eller innehar ett värdefullt fordon. Informationen som är tillgänglig genom söktjänsterna kan vidare användas för att kartlägga offentliganställda för att sedan genom hot eller på annat sätt försöka påverka de beslut som de fattar i tjänsten. Det finns också söktjänster som offentliggör uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser som innefattar brott. Behandling av sådana uppgifter kan medföra påtaglig integritetsskada och är därför föremål för en särskild skyddsreglering i artikel 10 i dataskyddsförordningen.

Vidare bedömer IMY att yttrandefrihetsintresset av att publicera personuppgifter i söktjänster generellt får anses väga förhållandevis lätt. IMY konstaterar att det av grundlagsförarbetena framgår att syftet med införandet av grundlagsskyddet för frivilliga utgivningsbevis inte var att skydda den typen av publiceringar som sker genom offentliggörande av sökbara samlingar av personuppgifter.

Regleringen i YGL innebär att det i de flesta fall inte är möjligt att göra en avvägning utifrån omständigheterna i det enskilda fallet mellan de aktuella rättigheterna vid publicering av personuppgifter i söktjänster. IMY konstaterar att det enligt EUdomstolens praxis krävs att en sådan avvägning kan göras för att sammanjämka de

aktuella rättigheterna. Vidare har svenska domstolar i ett flertal avgörande på senare tid konstaterat att ett så strikt förhållningssätt som följer av 1 kap. 7 § första stycket dataskyddslagen, det vill säga att det svenska grundlagsskyddet alltid ska ha företräde framför dataskyddsförordningen för den som innehar ett utgivningsbevis, inte är förenligt med principen om EU-rättens företräde.

Enligt IMY:s bedömning kan inte yttrandefrihetsintresset av att publicera personuppgifter i söktjänsterna, med hänsyn till de allvarliga integritetsriskerna, motivera de långtgående undantagen från den materiella regleringen i dataskyddsförordningen om bland annat rätten till rättelse och rätten till radering. Inte heller allmänhetens intresse av att ta del av informationen i söktjänsterna väger så tungt att det kan ges ett allmänt företräde framför den enskildes rätt till skydd för privatlivet och skydd av personuppgifter. När det gäller uppgifter som avser fällande domar i brottmål har EU-domstolen slagit fast att rätten till informationsfrihet inte motiverar att sådana personuppgifter lämnas ut till var och en som begär ut sådana uppgifter, utan att mottagaren kan visa att denne har ett särskilt intresse av att få uppgifterna. Det finns också skäl att understryka att även om söktjänster ofta publicerar handlingar som lämnats ut enligt offentlighetsprincipen omfattas inte publiceringen av personuppgifter i söktjänsterna av offentlighetsprincipen. Offentlighetsprincipen innebär att var och en har rätt att ta del av allmänna handlingar som förvaras hos myndigheter (2 kap. 1 och 4 §§ TF). Offentlighetsprincipen omfattar inte en rätt för privata aktörer som begärt ut allmänna handlingar att sprida dessa vidare.

Regleringen i YGL och 1 kap. 7 § första stycket dataskyddslagen innebär också långtgående undantag från regleringen om tillsynsmyndighetens behörighet, uppgifter och befogenheter och från enskildas rättsmedel att ge in klagomål till tillsynsmyndigheten. Som framgår av avsnitt 3.2 ovan är de rättsmedel som YGL tillhandahåller enskilda vid publiceringar av personuppgifter i söktjänster ytterst begränsade. Vidare har undantaget i 1 kap. 20 § YGL för vissa publiceringar av känsliga personuppgifter ett begränsat tillämpningsområde. Sammantaget innebär detta att den enskilde står utan tillräckligt effektiva rättsmedel vid publiceringar av dennes personuppgifter i söktjänster.

IMY konstaterar att praxisutvecklingen i EU-domstolen innebär att enskilda har fått betydligt starkare rättsställning i tillsynsmyndighetens klagomåls- och tillsynsärenden. EU-domstolen har slagit fast att möjligheten att lämna in klagomål enligt artikel 77.1 i dataskyddsförordningen utgör en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen. Rätten att lämna in klagomål till tillsynsmyndigheten är således ett centralt rättsmedel för enskilda att få sina rättigheter tillgodosedda. IMY konstaterar att det mot den bakgrunden krävs starka skäl för att göra ett kategoriskt undantag från den enskildes rättsmedel att lämna in ett klagomål till tillsynsmyndigheten, om det inte samtidigt finns kompenserande rättsmedel som möjliggör för den enskilde att tillvarata sina rättigheter. Detta särskilt som det utgör en del av den grundläggande rätten till skydd för personuppgifter att en oberoende

myndighet ska kontrollera att dataskyddsreglerna efterlevs (artikel 8.3 i stadgan). IMY bedömer att intresset av att publicera personuppgifter i söktjänster inte kan motivera ett kategoriskt undantag från regleringen om rätten att ge in klagomål. Detta intresse kan inte heller motivera ett kategoriskt undantag från tillsynsmyndighetens behörighet, uppgifter och befogenheter enligt dataskyddsförordningen.

IMY konstaterar sammanfattningsvis att regleringen i YGL och 1 kap. 7 § första stycket dataskyddslagen – när det gäller publiceringar av personuppgifter i söktjänster – innebär en alltför långtgående begränsning av rätten till skydd för privatlivet och rätten till skydd av personuppgifter i stadgan och regleringen i dataskyddsförordningen. Detta innebär att den svenska regleringen inte är förenlig med 52.1 i stadgan och artikel 85 i dataskyddsförordningen när det gäller publicering av personuppgifter i söktjänster.

För att nå förenlighet med EU-rätten krävs att IMY, enligt regleringen i dataskyddsförordningen, är behörig att utreda och ta ställning till enskildas klagomål mot publiceringar av deras personuppgifter i söktjänster. Detta innebär att regleringen i YGL och 1 kap. 7 § första stycket dataskyddslagen inte utgör hinder för myndigheten att utöva tillsyn med anledning av klagomål enligt artikel 77 i dataskyddsförordningen.

Detta ställningstagande omfattar inte frågan om i vilken utsträckning den materiella regleringen i dataskyddsförordningen ska tillämpas inom ramen för en sådan tillsyn. IMY kommer att återkomma till den frågan i sin tillsyn.

7.2 EU-rättens företräde framför nationell rätt

EU-domstolen har slagit fast att bestämmelser i nationell rätt inte får undergräva EUrättens enhetlighet och verkan. Principen om EU-rättens företräde har verkningar gentemot samtliga organ i en medlemsstat, och nationella bestämmelser, inbegripet konstitutionella bestämmelser, kan inte utgöra hinder för detta. En medlemsstat kan alltså inte åberopa bestämmelser i nationell rätt, även om de har grundlagsstatus, för att undandra behandling av personuppgifter som omfattas av dataskyddsförordningens tillämpningsområde från tillsynsmyndighetens tillsyn. EU-rätten har således företräde även framför grundlag, och svenska myndigheter och domstolar har en skyldighet att ge verkan åt det i tillämpningen av EU-rätten. Det finns inte något förbehåll i det svenska anslutningsavtalet till EU i fråga om vilken normgivningskompetens som överlåtits på TF- och YGL-området.

Av 10 kap. 6 § första stycket regeringsformen (RF) framgår dock att riksdagen inte kan överlåta beslutanderätt till EU för sådant som rör principerna för statsskicket. Bestämmelsen som möjliggör överlåtelse av beslutanderätt i nuvarande 10 kap. 6 § första stycket RF tillkom år 1994 inför det svenska EG-medlemskapet. De enda uttryckliga förutsättningarna för överlåtelse av beslutanderätt var då att EG:s fri- och rättighetsskydd motsvarade det som ges i regeringsformen och i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (EKMR). Det fanns dock ytterligare förutsättningar för överlåtelse men dessa

framgick endast av förarbetena. Dessa förutsättningar kodifierades genom ändringar i bestämmelsen som trädde i kraft den 1 januari 2003 och uttrycks på så sätt att överlåtelsen inte får röra principerna för statsskicket.

I samband med den grundlagsändring som skedde inför EG-medlemskapet uttalade konstitutionsutskottet att det område som inte kan överlåtas med stöd av 10 kap. 6 § första stycket RF inte är inskränkt till bestämmelserna om grunderna för statsskicket utan också omfattar andra bestämmelser som bär upp grundläggande principer i det svenska konstitutionella systemet. Utskottet pekade särskilt på den fria åsiktsbildningens stora betydelse för det svenska statsskicket och framhöll härvid offentlighetsprincipen, meddelarfriheten, förbudet mot censur, skyddet av uppgiftslämnare, ansvarighetssystemet och andra viktiga principer i mediegrundlagarna.

Med hänsyn till att det inte finns något förbehåll i det svenska anslutningsavtalet och att EU-domstolen slagit fast att EU-rätten har företräde även framför nationell grundlag, är det oklart vilken verkan bestämmelsen i 10 kap. 6 § första stycket RF har. Inte heller uttalanden i det svenska lagstiftningsarbetet ger en entydig bild av hur bestämmelsen ska tillämpas. I förarbetena angavs att bestämmelsen är en anvisning avsedd för lagstiftaren och inte för de rättstillämpande organen. Det anfördes vidare att domstolar och myndigheter är skyldiga att tillämpa en rättsakt som utfärdats på ett område där EG genom överlåtelsen fått kompetens att lagstifta och detta även om rättsakten skulle begränsa t.ex. en viktig princip i tryckfrihetsförordningen. Grundlagsutredningen ställde sig däremot tveksam till det synsättet och uttalade att det är fråga om en rättsligt bindande regel vars ordalydelse inte utesluter domstolsprövning under de förutsättningar som regeringsformen generellt ger för en sådan prövning.

IMY konstaterar att det från ett EU-rättsligt perspektiv inte är möjligt att underlåta att ge EU-rätten företräde med hänvisning till bestämmelsen i 10 kap. 6 § första stycket RF. Det finns ändå skäl att bedöma om grundlagsskyddet för publiceringar av personuppgifter i söktjänster rör grunderna för statsskicket. För detta talar att det av förarbetena till 10 kap. 6 § första stycket RF framgår att förbudet mot censur, ansvarighetssystemet och andra viktiga principer i mediegrundlagarna omfattas av principerna för statsskicket. När det gäller det frivilliga grundlagsskyddet som typiskt sett används av söktjänster kan dock konstateras att det är ett skydd som tillkom efter det svenska medlemskapet i EU. Vidare kan konstateras att det i grundlagsförarbetena varnades för att grundlagsskyddet i värsta fall skulle kunna komma omfatta databaser som är rena personregister. Det är således fråga om en form av publiceringar som grundlagsstiftaren inte hade för avsikt att skydda. Vidare har grundlagsstiftaren därefter begränsat grundlagsskyddet för söktjänster som publicerar känsliga personuppgifter. I det sammanhanget uttalade konstitutionsutskottet att rena söktjänster för tillhandahållande av känsliga personuppgifter får sägas ligga långt från de syften som grundlagarna är till för att skydda. Konstitutionsutskottet har också uttalat att söktjänster som tillhandahåller personuppgifter om lagöverträdelser m.m. utgör ett allvarligt ingrepp i enskildas personliga integritet och att den nuvarande

regleringen ger ett otillräckligt skydd för integritetskränkningar. Regeringen har tillsatt en ny utredning som ska se över grundlagsskyddet för söktjänster som offentliggör personuppgifter om lagöverträdelser och söktjänster som offentliggör personuppgifter om adress, telefonnummer, civilstånd och andra uppgifter som rör enskildas personliga förhållanden. Syftet med utredningen är att stärka skyddet för den personliga integriteten när personuppgifter offentliggörs i sådana söktjänster.

Mot denna bakgrund gör IMY bedömningen att den publicering av personuppgifter som sker i söktjänster ligger utanför det kärnområde som mediegrundlagarna avser att skydda. Grundlagsskyddet för sådana publiceringar kan därför inte anses röra principerna för statsskicket.

IMY bedömer sammanfattningsvis att bestämmelsen i 10 kap. 6 § första stycket RF inte utgör något hinder för att EU-rätten ges företräde framför grundlagsskyddet för söktjänster med utgivningsbevis.

7.3 Slutsats

IMY:s ställningstagande är – mot bakgrund av de bedömningar som redovisats ovan – att IMY har behörighet att inleda tillsyn med anledning av klagomål mot den publicering av personuppgifter som sker i söktjänster med utgivningsbevis.

___________________________

Detta rättsliga ställningstagande har beslutats av vikarierande generaldirektören David Törngren efter föredragning av juristen Martin Wetzler. Vid den slutliga handläggningen har även tf. rättschefen Cecilia Agnehall, avdelningschefen Malin Blixt, enhetschefen Jonas Agnvall, enhetschefen Eva Bergholm Guhnby, enhetschefen Albin Brunskog, enhetschefen Catharina Fernquist, enhetschefen Nidia Nordenström, tf. enhetschefen Evelin Palmér, enhetschefen Linn Sandmark, och avdelningsjuristerna Olle Pettersson och Andreas Persson medverkat.

David Törngren, 2024-05-14 (Det här är en elektronisk signatur)