EU-domstolen sätter gränser för hur Sverige kan begränsa GDPR

Bakgrund

Legal Newsdesk, som driver Lexbase, vägrade att radera personuppgifter om en person som dömts för brott år 2011. Personen stämde bolaget och yrkade skadestånd om 300 000 kronor för påstådda överträdelser av dataskyddsförordningen (GDPR). Bolaget invände att Lexbase omfattas av utgivningsbevis och att GDPR därför inte är tillämplig eftersom GDPR enligt 1 kap. 7 § i dataskyddslagen inte gäller i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Den registrerades enda rättsmedel skulle i så fall vara att antingen inleda ett straffrättsligt förfarande om förtal eller begära skadestånd på samma grund.

Attunda tingsrätt valde att hänskjuta tre tolkningsfrågor till EU-domstolen.

EU-domstolens svar

EU-domstolen besvarade samtliga tre frågor och slog fast följande.

Undantag från GDPR kräver journalistiskt, akademiskt eller konstnärligt ändamål

Medlemsstaterna är visserligen skyldiga att förena dataskyddet med yttrandefriheten, men den möjlighet som finns att göra undantag från GDPR avser enbart behandling för journalistiska, akademiska, konstnärliga eller litterära ändamål. Sverige kan alltså inte med stöd av artikel 85.1 inrätta vidare undantag för annan personuppgiftsbehandling, hur tungt vägande yttrandefrihetsintresset än må framstå.

Registrerade måste ha tillgång till dataskyddsförordningens rättsmedel

Kapitel VIII i GDPR, som bl.a. ger den registrerade rätt att klaga till tillsynsmyndigheten, rätt till effektiv domstolsprövning och rätt till skadestånd, kan aldrig inskränkas. En nationell ordning där den registrerade enbart kan agera via ett straffrättsligt förtalsförfarande är därmed oförenlig med GDPR.

Lexbase-modellen uppfyller sannolikt inte kraven för journalistikundantaget

Den tredje frågan från tingsrätten avsåg i vilken utsträckning Lexbases verksamhet kan anses utgöra behandling av personuppgifter för journalistiska ändamål i den mening som avses i artikel 85.2 i GDPR.

EU-domstolen konstaterade att begreppet visserligen ska tolkas brett, men att det måste vara fråga om behandling som har till ändamål att sprida information, åsikter eller idéer till allmänheten. För detta krävs att det aktuella materialet är föremål för visst redigerings- eller bearbetningsarbete innan det publiceras och att publiceringen sker med iakttagande av pressetiska regler och yrkesetiska regler för journalister, eller åtminstone i enlighet med en redaktionell linje, samt att påståenden om fakta och omständigheter i materialet granskas före publicering.

En tjänst som utan bearbetning eller redaktionell prövning tillhandahåller vem som helst fällande domar i brottmål mot betalning uppfyller enligt domstolens mening inte dessa krav. Det ankommer visserligen på Attunda tingsrätt att göra den slutliga kontrollen, men EU-domstolen lämnar tydliga signaler om hur bedömningen bör falla ut utifrån hur de har uppfattat omständigheterna i det svenska målet. Målet återgår nu till Attunda tingsrätt för avgörande, och det är inte osannolikt att det slutliga utfallet kommer att överklagas.

Vad innebär domen i praktiken?

Domen får direkta konsekvenser för verksamheter som Lexbase, då EU-domstolen underkänner den svenska modellen där GDPR alltid får ge vika vid konflikt med yttrandefrihetsgrundlagarna. Det är således inte längre möjligt att undvika GDPR:s tillämplighet enbart genom att ha ett utgivningsbevis, avgörande är om verksamheten faktiskt uppfyller kraven för journalistikundantaget.

För aktörer som publicerar personuppgifter med utgivningsbevis är det nu angeläget att se över om verksamheten verkligen uppfyller de krav på redaktionellt arbete, etisk granskning och redaktionell linje som EU-domstolen ställer upp. Gör den inte det, faller journalistikundantaget och GDPR gäller fullt ut.

Domen ger ny vägledning i en rättslig fråga som länge präglats av osäkerhet. Har du frågor om vad domen innebär för din verksamhet? Våra experter inom dataskydd hjälper dig att orientera dig och vidta rätt åtgärder.