Lexbase måste stoppa tillgång till brottsuppgifter via personsökningar
Att göra om domstolshandlingar till artiklar ändrade inte IMY:s bedömning av Lexbase. Myndigheten anser att behandlingen i söktjänsten inte sker för journalistiska ändamål, även efter förändringarna under tillsynen. Den 3 november fick Legal Newsdesk Sweden AB, som driver tjänsten, en reprimand för behandling av brottsuppgifter i strid med artikel 10 i GDPR. Bolaget hade framhållit att tjänsten ska informera allmänheten om hur domstolarna dömer i brottmål.
Bolaget föreläggs också att hindra att användare får tillgång till brottsuppgifter om en eftersökt person genom sökning på namn, personnummer eller adress. Föreläggandet är alltså riktat mot vad dessa personsökningar gör tillgängligt, inte ett uttryckligt krav på att stänga hela webbplatsen. Åtgärderna ska vara genomförda senast två månader efter att beslutet vunnit laga kraft. Fristen börjar därmed inte löpa på beslutsdagen.
Granskningen gäller just behandlingen av brottsuppgifter, inte om Lexbase i övrigt följer GDPR. I utredningen beskriver IMY hur sökträffar kunde koppla den eftersökta personen till artiklar med bland annat brottsrubricering och påföljd. Det är denna åtkomst genom personsökningar som bolaget nu måste åtgärda. Läs IMY:s beslut om Lexbase. Säkerhetsvärlden har också beskrivit besluten och bakgrundskontrollföretaget 2Secures reaktion.
Krimfups ändrade tjänst undanröjde inte behovet av föreläggande
Fuplex AB ändrade Krimfup i oktober, men IMY anser att förändringarna inte tar bort behovet av ett framåtsyftande föreläggande. Bolaget ska hindra att brottsuppgifter om en person blir tillgängliga vid sökning på namn, personnummer eller adress. Även här är tidsgränsen två månader efter att beslutet vunnit laga kraft. Beslutet fattades den 3 november.
Den konstaterade överträdelsen gäller däremot söktjänsten som den såg ut fram till den 1 oktober 2026. I den utformningen kunde användare söka på namn och personnummer och ladda ned domar och förundersökningsprotokoll som pdf-filer. Sökningar kunde endast göras på personer som hade blivit tilltalade i mål. IMY:s prövning av artikel 10 omfattar inte all behandling i den förändrade tjänsten och inte heller om bolagets övriga personuppgiftsbehandling följer GDPR.
För den granskade behandlingen får Fuplex en reprimand, men ingen sanktionsavgift. Vid valet av ingripande beaktar IMY att bolaget haft utgivningsbevis och att praxis på området saknats fram till nyligen. Beslutet skiljer därmed mellan vilken tidigare behandling som har prövats och vilka åtgärder bolaget måste vidta framåt. Den nya utformningen har inte i sin helhet prövats genom tillsynen. Läs IMY:s beslut om Fuplex och Krimfup.
Mrkoll raderade först sedan IMY lyft klagomålen
Begäranden om radering hos Mrkoll blev i de granskade exemplen hanterade först när IMY hade uppmärksammat bolaget på klagomålen. Nusvar AB, som driver tjänsten, hade enligt myndigheten inte visat att det fanns grund att neka radering i dessa fall. Den 3 november fick bolaget en reprimand för att ha behandlat personuppgifter i strid med artikel 17.1 i GDPR. IMY bedömer att rätten till radering ska kunna tillämpas trots tjänstens grundlagsskydd genom utgivningsbevis.
Ett av exemplen gällde en person som vid upprepade tillfällen sedan 2023 hade dolt sina uppgifter tillfälligt, men inte fått dem raderade. I ett annat fall hade ett ärende felaktigt markerats som avslutat innan raderingen var utförd. Efter att IMY kommunicerat dessa två exempel lyfte myndigheten ytterligare fem klagomål. Bolaget uppgav därefter att det hade raderat personuppgifterna i enlighet med klagomålen.
Nusvar har uppgett att det infört tvåstegsverifiering i handläggningen för att förhindra att ärenden avslutas felaktigt. Under tillsynen lanserade bolaget också en självbetjäningstjänst för radering med BankID-autentisering. IMY beaktar bolagets åtgärder och rättslägets tidigare osäkerhet vid valet av ingripande. Beslutet innehåller varken sanktionsavgift eller särskilt föreläggande, och granskningen avgör inte om Mrkolls behandling i övrigt följer GDPR. Läs IMY:s beslut om Nusvar och Mrkoll.
Upplysning får reprimand för utebliven radering
Upplysning Checknode AB hade enligt egen uppgift tagit emot omkring 20 000 begäranden om radering fram till sommaren 2025. Bolaget ansåg att tjänsten var journalistisk och att rätten till radering enligt GDPR därför inte gällde. IMY gör en annan bedömning: bolaget har som utgångspunkt varit skyldigt att radera uppgifter efter begäran. Efter många klagomål om utebliven radering konstaterar myndigheten en överträdelse av artikel 17.1 och ger bolaget en reprimand.
Allmänhetens tillgång till söktjänsten pausades den 20 augusti 2026 inför en större omarbetning, enligt bolaget med avsikt att återlansera den. Det sätter också slutpunkten för den granskade perioden, som börjar den 18 juni 2025. Tidigare kunde användare bland annat söka på namn, adress, telefonnummer och personnummer samt filtrera personsökningar på ålder och kön. Inloggade användare hade tillgång till fler uppgifter och en utökad sökfunktion.
Beslutet den 3 november gäller hanteringen av raderingsbegäranden enligt artikel 17.1 c, inte kreditupplysningsverksamheten. IMY har inte heller prövat om bolagets övriga personuppgiftsbehandling är förenlig med GDPR. Reprimanden följs varken av sanktionsavgift eller av ett särskilt föreläggande i beslutet. Tillsynens räckvidd är därmed avgränsad till rättighetshanteringen under den angivna perioden, inte en prövning av hela verksamheten. Läs IMY:s beslut om Upplysning Checknode.
