Efter en tids granskning har Integritetsskyddsmyndigheten (IMY) i dag beslutat att utfärda en reprimand mot Verifiera AB. Bolaget – som tidigare gick under namnet Lexbase AB – tillhandahåller bland annat en sökbar rättsdatabas med avgöranden från svenska domstolar. I sitt beslut konstaterar IMY att bolaget har behandlat känsliga personuppgifter i strid med dataskyddsförordningen (GDPR) genom att inkludera vissa förvaltningsrättsliga avgöranden i databastjänsten. Bolaget åläggs också att införa vissa sökbegränsningar relaterande till allmänhetens användning av rättsdatabasen.
Verifiera AB innehar sedan 2016 ett frivilligt utgivningsbevis för webbplatsen verifiera.se. Utgivningsbeviset innebär att webbplatsen omfattas yttrandefrihetsgrundlagen. Det innebär också att verksamheten generellt sett undantas från dataskyddsförordningens tillämpningsområde. Av 1 kap. 7 § i den svenska dataskyddslagen (2018:218) framgår nämligen att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot reglerna i tryckfrihetsförordningen och yttrandefrihetsgrundlagen.
Den 1 januari 2019 infördes en undantagsbestämmelse i yttrandefrihetsgrundlagen. Undantagsbestämmelsen gör det möjligt att i lag förbjuda offentliggörande av vissa typer av känsliga personuppgifter – bland annat uppgifter om hälsa – utan hinder av grundlagen. Undantagsbestämmelsen förutsätter att uppgifterna ingår i en uppgiftssamling som ordnats så att det är möjligt att söka efter eller sammanställa uppgifterna, samt att det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet.
Som en följd av grundlagsändringen valde IMY att initiera ett tillsynsärende kring den rättsdatabas som Verifiera tillhandahåller genom verifiera.se. Syftet med tillsynen var bland annat att utreda om Verifiera offentliggör känsliga personuppgifter på ett sätt som innebär att undantagsbestämmelsen i yttrandefrihetsgrundlagen är tillämplig – och, i så fall, om bolagets personuppgiftsbehandling är förenlig med dataskyddsförordningen.
Nu har IMY fattat beslut i tillsynsärendet.
”Långt från de syften som grundlagarna är till för att skydda”
I sitt beslut konstaterar IMY att Verifiera tillhandahåller ett stort antal domstolsavgöranden – över 200 000 stycken – i måltyper som typiskt sett innehåller känsliga personuppgifter om hälsa. Det gäller dels avgöranden enligt lagen om psykiatrisk tvångsvård (LPT), dels enligt lagen om vård av missbrukare i vissa fall (LVM).
IMY bedömer också att bolagets databas utgör en uppgiftssamling som är sökbar på det sätt som avses i undantagsbestämmelsen i yttrandefrihetsgrundlagen, och att offentliggörandet av uppgifterna innebär särskilda risker för otillbörliga ingrepp i enskildas personliga integritet. I sitt beslut skriver IMY:
Den uppgiftssamling som Verifiera tillhandahåller är resultatet av en omfattande insamling av rättsliga avgöranden i psykiatrimål och LVM-mål som innehåller mycket integritetskänslig information. Insamlingen sker utan bedömning av vilken relevans det enskilda avgörandet har för t.ex. den allmänna debatten eller granskande journalistik. Resultatet är en uppgiftssamling över alla som sedan år 2008 varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk. Det framgår vidare av utredningen att syftet med uppgiftssamlingen bland annat är att tillhandahålla bakgrundskontroller vid till exempel rekryteringar. Behandling av de aktuella uppgifterna om hälsa i sådana sammanhang kan leda till kännbara konsekvenser för de registrerade.
IMY anser följaktligen att Verifieras offentliggörande av LPT- och LVM-avgöranden i databasen inte omfattas av skyddet i yttrandefrihetsgrundlagen. I sin sammanfattande bedömning konstaterar myndigheten:
Det är enligt IMY:s bedömning fråga om en sådan söktjänst för tillhandahållande av känsliga personuppgifter som, i enlighet med vad konstitutionsutskottet anförde i samband med grundlagsändringen, ligger långt från de syften som grundlagarna är till för att skydda.
IMY anser inte heller att behandlingen är förknippad med journalistiska ändamål, såsom detta begrepp är definierat i dataskyddsförordningen och i EU-domstolens praxis. Därmed, menar IMY, finns det inget hinder mot att tillämpa dataskyddsförordningens regler på behandlingen.
Offentlighetsprincipen inte ”laglig grund” för behandling
IMY anser vidare att Verifiera saknar laglig grund för den aktuella behandlingen. Enligt IMY kan varken yttrandefriheten eller offentlighetsprincipen åberopas som grund för bolagets behandling av LPT- och LVM-avgöranden i tjänsten. Myndigheten skriver:
Det bör framhållas att den svenska dataskyddsregleringen skapar ett stort utrymme att vidarebehandla personuppgifter i allmänna handlingar för att tillgodose den grundläggande betydelse som tryck- och yttrandefriheten har för det svenska statsskicket. Det sker genom undantaget för mediegrundlagarna i 1 kap. 7 § första stycket dataskyddslagen och undantaget för bland annat journalistiska ändamål i 1
kap. 7 § andra stycket dataskyddslagen. Som IMY konstaterar i detta beslut omfattas dock inte den i ärendet aktuella personuppgiftsbehandlingen av dessa undantag.
IMY anser inte heller att de registrerade lämnat giltigt samtycke till behandlingen.
Sammanfattningsvis konstaterar IMY att bolaget har behandlat personuppgifter om hälsa i strid med dataskyddsförordningen.
Slipper ”kännbar sanktionsavgift”
Enligt IMY är överträdelsen av sådan omfattning och allvarlighetsgrad att den normalt skulle föranleda en kännbar sanktionsavgift. Samtidigt konstaterar IMY att det finns vissa förmildrande omständigheter som måste beaktas. IMY framhåller att det är fråga om personuppgiftsbehandling på en webbplats vilken, som utgångspunkt, åtnjuter grundlagsskydd; att det saknas praxis kring hur den aktuella undantagsbestämmelse i yttrandefrihetsgrundlagen ska tillämpas; och att det dessutom förekommit information på IMY:s egen hemsida om att myndigheten inte har någon möjlighet att ingripa mot webbsidor med utgivningsbevis.
Vid en samlad bedömning anser IMY att det finns skäl att avstå från att påföra bolaget en sanktionsavgift. I stället beslutar IMY att meddela en reprimand mot bolaget för den konstaterade överträdelsen. Samtidigt föreläggs Verifiera att, inom åtta veckor, vidta åtgärder för att hindra att dess användare kan ta del av avgöranden i LPT- och LVM-mål genom sökningar på personnamn, personnummer eller adresser.
I en kommentar på bolagets hemsida säger Verifieras styrelseordförande Gunnar Axén att IMY:s beslut kommer att överklagas till förvaltningsrätten.
Om du har frågor om IMY:s beslut, eller om förhållandet mellan dataskyddsförordningen och yttrandefrihetsgrundlagen, är du välkommen att kontakta Esa Kymäläinen, advokat och partner, Fredrik Thorslund, biträdande jurist, eller Gustav Tranvik, biträdande jurist, på TIME DANOWSKY Advokatbyrå.
