Integritetsskyddsmyndigheten (IMY) fick in klagomål beträffande Verifiera AB:s tjänster. IMY inledde därefter på eget initiativ tillsyn mot Verifiera mot bakgrund av den beskrivning av sina tjänster som bolaget har lämnat på sin webbplats www.verifiera.se. Granskningen fick många att höja på ögonbrynen eftersom det plötsligt stod klart för branschen att utgivningsbevis inte är ett frikort för publicering av känsliga personuppgifter.
Enligt 1 kap. 20 § första stycket 2 YGL hindrar dock inte bestämmelserna i YGL att det i lag meddelas föreskrifter om förbud mot offentliggörande av personuppgifter om bland annat hälsa.
Den första frågan som IMY hade att ta ställning till var således om bestämmelserna i dataskyddsförordningen utgör sådana föreskrifter om förbud meddelade i lag som avses i 1 kap. 20 § YGL.
IMY kom fram till att dataskyddsförordningen ska tillämpas i de fall förutsättningarna i 1 kap. 20 § YGL är uppfyllda. Med andra ord är undantagsbestämmelsen i 1 kap. 7 § första stycket dataskyddslagen inte tillämplig på sådan behandling eftersom en tillämpning av dataskyddsförordningen inte skulle strida mot YGL.
IMY konstaterade att den uppgiftssamling som Verifiera tillhandahåller är resultatet av en omfattande insamling av rättsliga avgöranden i psykiatrimål och LVM-mål som innehåller mycket integritetskänslig information. Insamlingen sker utan bedömning av vilken relevans det enskilda avgörandet har för t.ex. den allmänna debatten eller granskande journalistik. Resultatet är en uppgiftssamling över alla som sedan år 2008 varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk.
Det framgår vidare av utredningen att syftet med uppgiftssamlingen bland annat är att tillhandahålla bakgrundskontroller vid till exempel rekryteringar. Behandling av de aktuella uppgifterna om hälsa i sådana sammanhang kan leda till kännbara konsekvenser för de registrerade.
Av Verifieras egna uppgifter framgår att uppgiftsamlingen har strukturerats på så sätt att det vid personsökning finns särskilda sökfält för namn, personnummer, ort, adress och fritext och att sökresultat visas i realtid. Det har vidare inte framkommit att Verifiera vidtagit några åtgärder för att exkludera eller begränsa möjligheten att söka på uppgifter som direkt kan hänföras till en fysisk person, såsom namn eller personnummer. Det har inte heller framkommit att Verifiera tagit bort eller maskerat sådana uppgifter i dokumenten.
Denna del av uppgiftssamlingen har således, slår myndigheten fast, inte skydd enligt YGL, vilket innebär att undantaget i 1 kap. 7 § första stycket dataskyddslagen inte är tillämpligt på behandlingen.
Nästa fråga som IMY hade att bedöma är om undantaget för journalistiska ändamål i 1 kap. 7 § andra stycket dataskyddslagen är tillämpligt på behandlingen. Verifiera uppger att man är en nyhetsbyrå avseende bland annat research och bakgrundskontromen men IMY konstaterade att det förhållandet att en hemsida innehåller vissa publiceringar med ett journalistiskt ändamål inte innebär att alla publiceringar på den hemsidan ska anses ha ett journalistiskt ändamål. Att det i anslutning till en uppgiftssamling med rättsliga avgöranden förekommer fristående artiklar och rättsliga analyser innebär således inte per automatik att hela uppgiftssamlingen har ett journalistiskt ändamål. Det bör krävas att kopplingen mellan personuppgifterna och det redaktionella inslaget framstår som tydlig och relevant för att undantaget för journalistisk verksamhet ska kunna åberopas. Det har i ärendet inte framkommit att det finns ett redaktionellt innehåll med en tydlig och relevant koppling till den i ärendet aktuella delen av uppgiftssamlingen med avgöranden i psykiatrimål och LVM-mål.
IMY gjorde sammanfattningsvis bedömningen att Verifieras publicering av avgöranden i de aktuella måltyperna inte omfattas av undantaget i 1 kap. 7 § andra stycket dataskyddslagen.
Då det inte framkommit något som talar för att något annat undantag i artikel 9.2 är tillämpligt fann IMY att Verifiera under perioden den 6 april 2022-28 juni 2022 har behandlat känsliga personuppgifter (uppgifter om hälsa) i strid med artikel 9 i dataskyddsförordningen i sina tjänster på www.verifiera.se.
När det gäller val av ingripande menade myndigheten att det är fråga om behandling av personuppgifter på en webbplats som har ett utgivningsbevis och som utgångspunkt har grundlagsskydd enligt mediegrundlagarna bland annat. Därför blev det ingen sanktionsavgift.
Offentliggörandet av de känsliga personuppgifterna innebär dock, menar IMY, ett allvarligt integritetsintrång för de berörda personerna. IMY bedömde därför att det fanns skäl att förelägga Verifiera enligt artikel 58.2 d i dataskyddsförordningen att vidta åtgärder så att det i de tjänster som Verifiera erbjuder på www.verifiera.se inte längre är möjligt för användare av tjänsterna att vid sökning på personer med någon av sökparametrarna personnamn, personnummer eller adress ta del av avgöranden i mål enligt lagen om psykiatrisk tvångsvård eller lagen om vård av missbrukare i vissa fall som gäller den eftersökta personen. Åtgärderna ska ha vidtagits senast åtta veckor efter att detta beslut vunnit laga kraft.
Förvaltningsrätten i Stockholm delade IMY:s bedömning. Förvaltningsrätten ansåg att dataskyddsförordningens bestämmelser kan utgöra sådana föreskrifter om förbud som avses i 1 kap. 20 YGL, utan hinder av att de redan existerade när bestämmelsen infördes i YGL.
Nästa fråga var om undantaget för behandling för journalistiska ändamål var tillämpligt. EU-domstolen har slagit fast att begreppet journalistik ska tolkas i vid mening. Med journalistisk verksamhet avses enligt EU-domstolen sådan verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium detta sker.
Förvaltningsrätten ifrågasatte inte att delar av Verifiera AB:s verksamhet utgörs av journalistisk verksamhet. Enligt förvaltningsrätten kan däremot en funktion för bakgrundskontroller för rekryterare inte anses utgöra verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten.
Förvaltningsrätten ansåg därför att den behandling av personuppgifter som sker vid tillhandahållande av den tjänsten inte sker för journalistiska ändamål. Det har enligt förvaltningsrätten inte kommit fram att bolagets tillhandahållande av sökmöjligheter för att ta del av avgöranden i LVM- eller LPT-mål i något annat avseende utgör journalistisk verksamhet. Det finns därför inte något hinder med stöd av 1 kap. 7 § andra stycket dataskyddslagen att tillämpa artikel 9 i dataskyddsförordningen på den delen av bolagets verksamhet.
Förvaltningsrätten ansåg slutligen att Verifiera AB tillhandahåller en sådan uppgiftssamling som avses i 1 kap. 20 § YGL. Verifiera AB:s tillhandahållande av uppgiftssamlingen innebär att bolaget behandlar uppgifter om enskildas hälsa. Behandlingen strider därmed mot artikel 9 i dataskyddsförordningen.
Förvaltningsrätten instämde i IMY:s bedömning att det är angeläget att säkerställa att Verifiera AB:s behandling av personuppgifter i strid med dataskyddsförordningen upphör och att det därför finns skäl att rikta ett föreläggande mot bolaget i enlighet med det överklagade beslutet.
Enligt förvaltningsrätten är uppgiften att någon förekommer i ett avgörande enligt LPT eller LVM i sig en känslig uppgift. Det som Verifiera AB för fram om att föreläggandet är för generellt och omfattar LPT- och LVM-domar som inte innehåller några känsliga uppgifter medför därför inte skäl att ändra eller upphäva det av IMY beslutade föreläggandet. Överklagandet skulle mot den bakgrunden avslås.
Kammarrätten i Stockholm instämmer nu i underinstansernas bedömning att artikel 9 i EU:s dataskyddsförordning kan tillämpas trots att Verifiera AB har ett utgivningsbevis.
Domstolen anser inte att personuppgiftsbehandlingen i fråga kan anses ske för journalistiska ändamål varför den strider mot artikel 9 i EU:s dataskyddsförordning.
Verifiera AB ska vidta åtgärder så att det på www.verifiera.se inte längre går att söka på personnamn, personnummer eller adress för att ta del av avgöranden i mål enligt LPT eller LVM för den person som sökningen gäller. Verifiera ska ha vidtagit dessa åtgärder senast åtta veckor efter det att kammarrättens dom fått laga kraft.