Yttrandefrihetens gränser testas i högsta instans

Ett företag som heter Verifiera har beviljats prövningstillstånd av Högsta förvaltningsdomstolen. Företaget erbjuder sina kunder en databas med sökbar information om privatpersoner.

Integritetsskyddsmyndigheten utfärdade den 13 september 2022 en reprimand till bolaget för brott mot artikel 9 i GDPR. Bolaget förelades även att upphöra med att erbjuda en söktjänst där kunder kan söka efter personer med hjälp av de tre variablerna personnamn, personnummer eller adress för att hitta domar enligt lagen (1991:1128) om psykiatrisk tvångsvård (LPT) eller lagen (1988:870) om vård av missbrukare i vissa fall (LVM).

Forum för Dataskydd rapporterade i mars 2023 om ett liknande fall som rör bolaget Mr. Koll. I det ärendet beviljade Högsta domstolen prövningstillstånd i ett mål där en privatperson enligt artikel 17 i GDPR begärde att få sina uppgifter raderade ur söktjänsten.

Grundlagen tillåter vissa inskränkningar

Verifiera överklagade till Förvaltningsrätten i Stockholm, som beslutade att avslå överklagandet den 2 februari 2023. Bolaget överklagade därefter till Kammarrätten i Stockholm, som den 22 juni 2023 även den avslog överklagandet. Den 28 februari 2024 beviljade dock Högsta förvaltningsdomstolen bolagets ansökan om prövningstillstånd. Högsta förvaltningsdomstolen skriver på sin hemsida att den rättsliga frågan är om EU:s dataskyddsförordning utgör en sådan lag som förbjuder offentliggörande av personuppgifter som avses i 1 kap. 20 § yttrandefrihetsgrundlagen (YGL) (mål nr 4588–23, Kammarrätten i Stockholms mål nr 1128-23).

Kärnfrågan i målet är hur GDPR och yttrandefrihetsgrundlagen (YGL) förhåller sig till varandra, särskilt om artikel 9 i dataskyddsförordningen kan anses vara en bestämmelse som förbjuder publicering av personuppgifter om hälsa enligt definitionen i 1 kap. 20 § YGL.

Kammarrätten tolkade 1 kap. 20 § YGL som att det är möjligt att både använda befintlig lag och införa en ny lag för att förbjuda publiceringen av personuppgifter. Enligt domstolen är detta också förenligt med förarbetena (prop. 2017/18:49 s. 147). Eftersom dataskyddsförordningen är direkt tillämplig som lag i Sverige och artikel 9 innehåller ett förbud mot behandling av personuppgifter om bl.a. hälsa kan den därför tillämpas på sådan behandling som utförs av företag med utgivningsbevis som ger den grundlagsskydd (se 1 kap. 7 § första stycket lagen 2018:218 med kompletterande bestämmelser till dataskyddsförordningen).

Underlag till rekryterare är inte journalistik

Förvaltningsrätten och Kammarrättens prövningar visade att Verifieras söktjänst möjliggör bakgrundskontroller av personer. Verktyget kan användas av både reportrar och rekryterare. Verifiera hävdade att dataskyddsförordningens undantag för behandling av personuppgifter för journalistiska ändamål omfattade all denna verksamhet. Förvaltningsrätten slog dock fast att även om EU-domstolen har sagt att begreppet ”journalistiska ändamål” ska tolkas brett, så innebär det inte att det täcker allt som ett företag gör.

Förvaltningsrätten beslutade att de bakgrundskontroller som gavs till journalister visserligen var undantagna för journalistiska ändamål, men att samma sak inte gällde för den tjänst som erbjöds rekryterare. Denna slutsats bekräftades av Kammarrätten.