EU‑domstolen har i ett förhandsavgörande (C-199/24) fastställt att verksamhet som mot ersättning tillhandahåller fällande brottmålsdomar på internet i princip inte utgör personuppgiftsbehandling för journalistiska ändamål och därmed inte kan motivera avvikelser från de skyddsregler och rättsmedel som föreskrivs i dataskyddsförordningen (GDPR).
Bakgrund
Målet rör ett svenskt bolag som driver en databas där användare mot ersättning kan söka på personer som varit föremål för åtal och ta del av fällande brottmålsavgöranden mot dessa personer. En person som år 2011 fällts till ansvar för brott begärde att hans personuppgifter skulle raderas från databasen. Uppgifterna raderades dock först senare, i enlighet med bolagets interna gallringsrutin. Personen väckte talan vid Attunda tingsrätt och yrkade skadestånd med stöd av GDPR.
Bolaget bestred käromålet och gjorde gällande att databasen omfattas av skydd enligt yttrandefrihetsgrundlagen. Enligt svensk rätt är GDPR inte tillämplig i en sådan situation. De enda rättsmedel som i så fall stod till buds för den registrerade var att inleda ett straffrättsligt förfarande om förtal eller att begära skadestånd med anledning av förtal. Attunda tingsrätt ansåg att det var oklart om denna reglering är förenlig med GDPR och begärde förhandsavgörande från EU-domstolen.
Domstolens bedömning
EU-domstolen påpekade att GDPR ålägger medlemsstaterna att i lag förena rätten till skydd av personuppgifter med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Medlemsstaterna får fastställa undantag och avvikelser från vissa bestämmelser i GDPR om detta är nödvändigt för att göra en sådan sammanjämkning. Medlemsstaterna får dock inte föreskriva undantag eller avvikelser för personuppgiftsbehandling som sker för andra ändamål än de ovan angivna. De får inte heller frånta den registrerade dennes rätt att använda de rättsmedel som föreskrivs i GDPR, på så sätt att de enda rättsmedel som står till buds för den registrerade är att inleda ett straffrättsligt förfarande om förtal eller att begära skadestånd med anledning av förtal. Den registrerade måste enligt EU-domstolen, när det gäller behandlingen av hans eller hennes personuppgifter, kunna använda de rättsmedel som direkt står till buds enligt GDPR.
Enligt EU-domstolen är det fråga om personuppgiftsbehandling för ”journalistiska ändamål” när behandlingen har till ändamål att sprida information, åsikter eller idéer till allmänheten, när materialet tagits fram med iakttagande av pressetiska regler och yrkesetiska regler för journalister och är föremål för redigerings- eller bearbetningsarbete, eller åtminstone i enlighet med en redaktionell linje. Framlagda fakta ska ha granskats.
Med förbehåll för den kontroll som Attunda tingsrätt har att företa fann EU-domstolen att verksamhet som mot ersättning tillhandahåller fällande brottmålsdomar på internet inte framstår som att den uppfyller dessa villkor och således kan anses ske för journalistiska ändamål.
Praktiska konsekvenser
Domen innehåller två viktiga klarlägganden. Det första rör vad som faktiskt krävs för att en verksamhet ska anses bedriva journalistik i GDPR:s mening. Det räcker inte att publicera eller tillgängliggöra domar – det krävs redaktionell bearbetning, iakttagande av pressetiska regler och att fakta granskats. En databas som mot betalning ger vem som helst tillgång till fällande brottmålsdomar faller utanför detta och måste följa GDPR fullt ut.
Det andra klarläggandet rör den registrerades möjlighet att försvara sina rättigheter. En medlemsstat får inte utforma sin nationella rätt så att den enda vägen för den registrerade är en förtalstalan. GDPR:s egna rättsmedel måste stå till buds, och det kan nationell lagstiftning inte ta ifrån den enskilde.
Domen väcker även frågor om hur svensk rätt behöver anpassas, något som Attunda tingsrätt nu har att ta ställning till i det underliggande målet.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: EU-domstolen, mål C-199/24.
