Nyheter om personsöktjänster och GDPR

En omdiskuterad fråga sedan dataskyddsförordningen (GDPR) trädde i kraft har varit den personuppgiftsbehandling som sker inom ramen för så kallade personsöktjänster, dvs hemsidor som masspublicerar information om privatpersoner. Datainspektionen har nyligen tittat närmare på dessa frågeställningar genom utfärdandet av en sanktionsavgift till företaget bakom hemsidan Mrkoll i december 2019 och publicerade den 28 januari 2020 även en rapport som handlar om allmänhetens klagomål rörande personsöktjänster.

Datainspektionens beslut om sanktionsavgift mot Mrkoll
I december 2019 beslutade Datainspektionen att utfärda en sanktionsavgift på 35 000 euro mot företaget Nusvar AB som står bakom sajten Mrkoll, för brott mot både kreditupplysningslagen och GDPR.

Mrkoll är en webbplats som syftar till att tillgängliggöra offentlig information om privatpersoner, exempelvis personnummer, bostadssituation och fordonsinnehav. Databasen omfattar information om drygt 8 miljoner personer över 16 år, som sajtens användare kostnadsfritt kan ta del av. Sajten bedrivs med ett så kallat frivilligt utgivningsbevis enligt 1 kap. 5 § yttrandefrihetsgrundlagen (YGL). Ett utgivningsbevis ger ett grundlagsskydd vilket innebär att databaser med beviljat utgivningsbevis inte behöver följa GDPR i den mån det skulle inkräkta på rättigheter enligt YGL.

Mrkoll har dock publicerat uppgifter om att personer saknar betalningsanmärkningar, vilket räknas som kreditupplysningar. Med anledning av detta måste sajten följa reglerna i kreditupplysningslagen samt GDPR, trots utgivningsbeviset. Vidare har uppgifter om att personer begått lagöverträdelser publicerats på sajten vilket utgör uppgifter som omfattas av särskilda regler i GDPR och som inte får publiceras i kreditupplysningsverksamhet utan att Datainspektionen medger det. Datainspektionen har inte lämnat ett sådant medgivande i det aktuella fallet. Datainspektionen konstaterar dock att sajter med utgivningsbevis inte behöver tillstånd för att bedriva kreditupplysningsverksamhet, men måste däremot följa reglerna i kreditupplysningslagen. Vidare konstateras att sajten bedrivit kreditupplysningsverksamhet på ett sätt som inte är förenligt med varken reglerna i kreditupplysningslagen eller GDPR.

Datainspektionens beslut avser Nusvars verksamhet på webbplatsen Mrkoll under tidsperioden från och med december 2018 till och med den 8 april 2019. Mrkoll publicerar inte längre uppgifter om betalningsanmärkningar varför beslutet inte påverkar den fortsatta driften av sajten. I Datainspektionens beslut har det ansetts försvårande att uppgifterna på webbplatsen omfattat samtliga svenska medborgare över 16 år, att publiceringen utgör Nusvars kärnverksamhet, att behandlingen skett i vinstsyfte, att kreditupplysningsuppgifter publicerats i kombination med uppgifter om lagöverträdelser och att den potentiella spridningen varit omfattande. Sanktionsavgiften i beslutet var hög i förhållande till bolagets uppskattade omsättning för 2019.

Allmänhetens klagomål mot personsöktjänster med frivilligt utgivningsbevis
Det var genom allmänhetens klagomål som Datainspektionen uppmärksammades på fallet med Mrkoll och därmed inledde ett tillsynsärende. Datainspektionen har nu publicerat en rapport som beskriver de klagomål som myndigheten har fått mot personsöktjänster som masspublicerar personuppgifter, en kategori av klagomål som utgör det enskilt vanligaste klagomålet som inkommer till myndigheten. Syftet med rapporten är att ge en fördjupad bild av hur medborgare upplever risker, oro och konsekvenser kopplat till personsöktjänster med utgivningsbevis.

Var femte klagomål som inkommit till Datainspektionen sedan GDPR började gälla rör personsöktjänster på internet som omfattas av ett frivilligt utgivningsbevis. De sajter som står i centrum för klagomålen är bland annat Mrkoll, Merinfo och Ratsit. Gemensamt för dessa är att de publicerar uppgifter om privatpersoner som hämtats och sammanställts från svenska myndigheter. Även om uppgifterna som publiceras av sajterna är offentliga hos svenska myndigheter blir de betydligt mer lättillgängliga när de sammanställs på personsöktjänster.

Av de klagomål som inkommit till Datainspektionen framgår att medborgare upplever personsökstjänster på internet som ett stort integritetsintrång, samtidigt som det finns en rädsla för att informationen ska användas av kriminella i syfte att begå brott som id-kapning, bedrägeri eller inbrott. I klagomålen förekommer kritik mot lagstiftningen och frågor om det frivilliga grundlagsskyddets förenlighet med GDPR och dess syfte att stärka skyddet för den personliga integriteten. Samtidigt som allmänheten riktat kritik mot det frivilliga utgivningsbeviset, ökade antalet ansökningar om utgivningsbevis kraftigt i samband med att GDPR trädde i kraft i maj 2018.

Ändrade mediegrundlagar
Den rättsliga frågan kring grundlagsskydd genom frivilligt utgivningsbevis har länge varit föremål för diskussion. I november 2018 fattade riksdagen beslut om ett antal ändringar i mediegrundlagarna; lag om ändring i tryckfrihetsförordningen och lag om ändring i yttrandefrihetsgrundlagen. Beslutet utgjorde det andra av två beslut som krävs för att ändra i en grundlag och ändringarna trädde ikraft den 1 januari 2019.

En särskilt intressant ändring, mot bakgrund av Mrkoll-fallet, är den som innebär att det i vanlig lag ska bli möjligt att införa förbud för söktjänster som innehåller vissa känsliga uppgifter om de finns tillgängliga på ett sätt som innebär stora risker för att privatpersoners personliga integritet skadas. Exempel på sådana uppgifter kan vara uppgifter om etniskt ursprung, politiska åsikter, sexuell läggning, hälsa eller genetiska uppgifter. I juni 2019 gav regeringen 2018 års tryck- och yttrandefrihetskommitté i uppdrag att utreda behovet av ett inskränkt grundlagsskydd för söktjänster som offentliggör uppgifter om enskildas lagöverträdelser. Kommittén ska bland annat göra en avvägning mellan intresset av yttrande- och informationsfrihet och intresset att skydda enskildas personliga integritet. Uppdraget ska redovisas senast i augusti 2020.