Nyheter inom Integritet & Dataskydd

JUNI 2026

Dataskydd våren 2026; skärpta krav och tydligare gränser

Vårens utveckling inom dataskydd och integritet visar en fortsatt förskjutning mot en mer konkret och strikt tillämpning av regelverket. Flera aktuella avgöranden ger tydligare besked om var gränserna går, inte minst i frågor som rör kamerabevakning, säkerhetsåtgärder och bakgrundskontroller.

I denna upplaga har vi därför samlat några av de viktigaste nyheterna och den senaste rättsutvecklingen i Sverige och EU under våren 2026 – med fokus på sådant som kan få praktisk betydelse för er verksamhet. Vår ambition är att ge en överskådlig och användbar uppdatering inom ett område som fortsätter att utvecklas i snabb takt.

Vi hoppas att nyhetsbrevet ger er värdefulla insikter och stöd i det fortsatta arbetet med dataskyddsfrågor. Om ni vill diskutera hur utvecklingen kan påverka just er verksamhet, eller om det finns något särskilt område ni vill att vi belyser i kommande utskick, är ni varmt välkomna att höra av er.

Vi passar på att önska er alla glad sommar!

Med vänliga hälsningar,

Anna Eidvall och Karin Schurmann

PS. Du kan också registrera dig för MAQS kommande nyhetsbrev och events inom integritet & dataskydd via knappen nedan.

 Registrering nyhetsbrev
 

Den svenska dataskyddsvärlden har varit allt annat än stillastående under våren 2026. Ny lagstiftning har trätt i kraft och en rad principiellt viktiga domar har gett oss nya insikter i hur GDPR ska tolkas. Här är några av de viktigaste svenska nyheterna ni bör känna till.

Integritetsskyddsmyndigheten (IMY) 

Skydd av egendom väger inte (alltid) tyngre än den personliga integriteten

IMY har granskat Securitas Sverige AB:s användning av bevakningskameror monterade inuti bolagets tjänstebilar. Kamerorna aktiverades vid vissa händelser och spelade in bildmaterial från bilens interiör, vilket innebar att anställda och andra personer som befann sig i fordonen blev föremål för bevakning i realtid. Securitas anförde att behandlingen var nödvändig för att skydda bolagets egendom och för att utreda incidenter, samt att det varit fråga om ett pilotprojekt.

Kärnfrågan i ärendet var huruvida Securitas haft rättslig grund för den personuppgiftsbehandling som skedde genom kamerabevakningen i bilarna. IMY prövade särskilt om behandlingen kunde stödjas på en intresseavvägning. Det vill säga om Securitas berättigade intresse av att använda kamerorna vägde tyngre än de registrerades intresse av skydd för sin personliga integritet. Myndigheten kom fram till att Securitas saknat rättslig grund för behandlingen då det integritetsintrång som bevakningen innebar inte stod i proportion till bolagets angivna syften. IMY meddelade Securitas en reprimand för överträdelsen.

Ärendet är av betydelse för alla arbetsgivare och organisationer som överväger att använda kamerabevakning i fordon eller andra utrymmen där anställda vistas. Beslutet understryker att en arbetsgivares berättigade intresse av att skydda egendom eller utreda incidenter inte utan vidare utgör tillräcklig rättslig grund för bevakning som samtidigt innebär ett påtagligt integritetsintrång för de anställda. Organisationer som använder eller planerar att införa liknande bevakningslösningar bör noggrant dokumentera sin intresseavvägning, överväga mindre integritetskränkande alternativ och säkerställa att bevakningen är proportionerlig i förhållande till det syfte som eftersträvas. Beslutet är även en påminnelse om att kamerabevakning av anställda i regel kräver en konsekvensbedömning.

SportAdmin

IMY har granskat SportAdmin i Skandinavien AB efter den uppmärksammade personuppgiftsincidenten i januari 2025. SportAdmin tillhandahåller en molnbaserad plattform för administration av idrottsföreningar och hanterar i den rollen personuppgifter för ett stort antal föreningar i egenskap av personuppgiftsbiträde. Incidenten innebar att obehöriga fick åtkomst till personuppgifter i bolagets system, vilket drabbade ett betydande antal registrerade. Hanteringen innefattade bland annat integritetskänsliga uppgifter om barn, allergier och funktionsvariationer.

Kärnfrågan i ärendet var huruvida SportAdmin hade vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som var anpassad till riskerna med behandlingen. IMY:s utredning visade att bolaget hade brister i sitt säkerhetsarbete redan innan incidenten inträffade och att dessa brister kvarstod vid tidpunkten för intrånget. Dessa brister ledde till en administrativ sanktionsavgift om 6 000 000 kronor.

Ärendet understryker vikten av att personuppgiftsansvariga som anlitar personuppgiftsbiträden inte enbart kan förlita sig på biträdesavtalet som sådant, utan aktivt måste säkerställa att biträdet upprätthåller en adekvat säkerhetsnivå. Beslutet är också en påminnelse om att organisationer bör genomföra regelbundna uppföljningar och revisioner av sitt säkerhetsarbete – särskilt vid hantering av stora volymer personuppgifter och/eller känsliga uppgifter. Om ett biträde brister i sin säkerhet kan det i förlängningen även aktualisera frågor om den personuppgiftsansvariges eget ansvar för valet och övervakningen av biträdet.

Löpande bakgrundskontroller – 2Secure tar frågan till förvaltningsrätten

Säkerhetsbolaget 2Secure har valt att gå vidare till förvaltningsrätten för att få prövat en central fråga inom området bakgrundskontroller: om det ska vara möjligt att utföra löpande, riskbaserade bakgrundskontroller under pågående anställningar och affärsrelationer.

Frågan har aktualiserats genom IMY:s beslut den 10 december 2025, där 2Secures ansökan om utökat tillstånd beviljades i flera delar men avslogs i den del som gäller löpande kontroller enligt fast rutin. IMY har sedan dess fattat flera liknande beslut mot olika aktörer i branschen. I dagsläget finns det inte någon privat aktör i Sverige som har tillstånd att utföra löpande bakgrundskontroller avseende uppgifter om lagöverträdelser. Behandling av sådana uppgifter kräver enligt artikel 10 i GDPR och 3 kap. 9 § dataskyddslagen ett uttryckligt tillstånd från IMY.

Bakgrunden till ansökan och sedermera överklagan är att hotbilden mot organisationer förändrats. En engångs-bakgrundskontroll vid anställning ger inte en fullständig bild över tid. Sårbarheter som ekonomiska problem, påtryckningar från kriminella nätverk eller lojalitetsförändringar kan uppstå när som helst under anställningstiden. I sammanhanget kan också nämnas att regeringen har tillsatt en utredning om ett ändamålsenligt regelverk för bakgrundskontroller (Dir. 2025:83).

Ärendet är av stor praktisk betydelse för många verksamheter som ser behov av att genomföra löpande kontroller. Företag som idag köper tjänster för löpande bakgrundskontroller kan utgå från att det idag saknas det rättsliga stöd som krävs för att hantera personuppgifter om lagöverträdelser. Förvaltningsrättens avgörande väntas ge vägledning kring vilka förutsättningar som ska gälla för denna del av den omdiskuterade frågan om genomförande av bakgrundskontroller.

Oklart rättsläge: Får IMY pausa individuella klagomål?

En av vårens hetaste juridiska frågor har varit hur IMY ska hantera den stora mängden klagomål mot söktjänster med utgivningsbevis. Får myndigheten pausa handläggningen av individuella klagomål och i stället fokusera på en bredare, egeninitierad tillsyn mot branschen? Domar från förvaltningsdomstolarna under våren 2026 ger motstridiga besked.

I ett mål i mars 2026 (FR-2885-26) slog Förvaltningsrätten i Stockholm fast att rätten att få sitt klagomål prövat är en individuell rättighet enligt artikel 77 i GDPR. Domstolen upphävde IMY:s beslut att avsluta ett ärende med hänvisning till en pågående generell tillsyn och återförvisade målet till IMY för fortsatt handläggning. Domstolen menade att en generell tillsyn inte ersätter den enskildes rätt att få sitt specifika fall prövat.

I ett annat mål i mars 2026 (FR-1198-26) kom Förvaltningsrätten i Stockholm till motsatt slutsats. Domstolen ansåg att det ligger inom IMY:s bedömningsutrymme att hantera ett stort antal likartade klagomål genom en samlad, egeninitierad tillsyn. Att avsluta det enskilda klagomålet ansågs därför vara riktigt.

Detta oklara rättsläge skapar en osäkerhet för både enskilda och de företag som granskas. För företag som är föremål för en bredare tillsyn från IMY är det oklart om de parallellt måste hantera och bemöta enskilda klagomål som rör samma frågor. Utgången av dessa principiellt viktiga mål, som sannolikt kommer att prövas i högre instans, kan komma att bli avgörande för hur IMY:s tillsynsarbete ska bedrivas i framtiden.

Krav på tydlighet i klagomål till IMY

Två andra domar från mars 2026 bekräftar att det även ställs krav på den som klagar till IMY. Om ett klagomål är otydligt eller inte konkret kring vilken personuppgiftsbehandling som påstås strida mot GDPR, har IMY rätt att avsluta ärendet utan vidare utredning.

I det ena fallet (FR-666-26) avslutade IMY ett ärende då det var oklart på vilket sätt det som anfördes utgjorde en brist i förhållande till GDPR, ett beslut som fastställdes av förvaltningsrätten. I det andra fallet (FR-23132-25) ansåg IMY och förvaltningsrätten att de uppgifter som lämnats inte gav anledning att misstänka någon överträdelse, och ärendet avslutades. Detsamma gäller en dom från mars 2026 (FR-19985-25) där en person hade klagat på att dennes namn och adress pekades ut i en bok. IMY avslutade ärendet med hänvisning till undantaget för litterärt skapande i 1 kap. 7 § dataskyddslagen. Förvaltningsrätten fastställde IMY:s beslut och konstaterade att det inte på ett tillräckligt tydligt sätt framgått av klagomålet på vilket sätt det skulle ha förekommit brister i förhållande till GDPR.

Dessa avgöranden är viktiga för alla personuppgiftsansvariga. De visar att även om enskilda har en stark rätt att klaga (och IMY en långtgående skyldighet att utreda), ligger bevisbördan initialt på den klagande att tydligt formulera vad överträdelsen består i. Detta kan vara en relevant aspekt i er dialog med registrerade.

Digital Omnibus

EU-kommissionen presenterade i november 2025 det s.k. Digital Omnibus-paketet, bestående av två separata förordningsförslag. Det första – Digital Omnibus on AI – innehåller ändringar av AI-förordningen och syftar till att underlätta genomförandet av de regler som börjar tillämpas under 2026 och 2027. Det andra – Digital Omnibus – är ett bredare förslag om förenkling av det digitala regelverket i stort, med föreslagna ändringar i bland annat GDPR, ePrivacy-direktivet, Data Act och NIS2. Bland de föreslagna ändringarna i det bredare paketet märks harmoniserade incidentrapporteringskrav, samordnade tillsynsförfaranden, nya regler om cookiesamtycke och förtydligande av GDPR:s tillämplighet vid AI-träning.

Digital Omnibus on AI har drivits med högsta prioritet eftersom reglerna om högrisk-AI i AI-förordningen annars skulle ha trätt i kraft den 2 augusti 2026. Parlamentet och rådet nådde en provisorisk överenskommelse den 7 maj 2026, och den 16 juni 2026 röstade parlamentet för förslaget med bred majoritet. Förslaget inväntar nu framförallt rådets formella antagande, en process som väntas vara klar före den 2 augusti 2026. Det bredare Digital Omnibus-förslaget avseende bland annat GDPR och ePrivacy befinner sig däremot i ett tidigare skede. Parlamentet har ännu inte inlett sina formella förhandlingar om GDPR-delarna och rådet utarbetar sin position. Antagande förväntas inte förrän senare under 2026 i bästa fall, och texten kan sannolikt komma att ändras väsentligt under trilogförfarandet.

För företag och organisationer är båda spåren av stor praktisk betydelse, om än med olika tidshorisont. Den mest uppmärksammade ändringen i Digital Omnibus on AI är att tillämpningen av reglerna om högrisk-AI-system skjuts upp – från den 2 augusti 2026 till den 2 december 2027 för fristående högrisk-system och till den 2 augusti 2028 för högrisk-AI inbyggd i produkter. Organisationer som utvecklar eller använder sådana system bör noggrant bevaka det slutliga ikraftträdandet och utnyttja den förlängda övergångsperioden för att säkerställa fullständig regelefterlevnad. När det gäller det bredare Digital Omnibus-förslaget bör företag följa trilogförhandlingarna noga. Bland de ändringsförslag som kan få störst praktisk påverkan märks förslaget om att samla cookieregler under GDPR, ett förtydligande om berättigat intresse som rättslig grund för AI-träning, samt en gemensam rapporteringsportal för incidenter under GDPR, NIS2 och DORA. Bl.a. har EDPB och EDPS riktat kritik mot det föreslagna förtydligandet av definitionen av personuppgifter i GDPR – den slutliga utformningen av texten är alltså osäker.

Adekvansbeslutet för Storbritannien – vad innebär den långsiktiga säkerheten?

EU-kommissionen har förlängt Storbritanniens adekvansbeslut fram till slutet av 2031. Beslutet innebär att Storbritannien anses ha en skyddsnivå för personuppgifter som är "väsentligen likvärdig" med den inom EU. Detta gäller både för behandlingar under GDPR och för överföringar inom brottsbekämpning enligt brottsdatadirektivet.

Förlängningen ger en välkommen och långsiktig stabilitet. Ni kan fortsätta överföra personuppgifter till mottagare i Storbritannien (t.ex. koncernbolag, kunder eller tjänsteleverantörer) precis som om de vore inom EU, utan krav på andra skyddsåtgärder som standardavtalsklausuler (SCC) eller bindande företagsbestämmelser (BCR).

Det är dock viktigt att notera att detta inte är en "skrivet i sten"-garanti. Kommissionen har förbundit sig att kontinuerligt övervaka den brittiska dataskyddslagstiftningen och kommer att genomföra en ny fullständig granskning minst vart fjärde år. Om Storbritannien skulle avvika från sin nuvarande skyddsnivå kan kommissionen ändra, suspendera eller helt återkalla beslutet. Er organisation bör därför ha en beredskap för detta och hålla ett öga på utvecklingen i brittisk rätt.

Ny EU-förordning för gränsöverskridande ärenden – mot en mer enhetlig tillsyn

Den nya förordningen (EU) 2025/2518 syftar till att lösa de flaskhalsar och inkonsekventa handläggningstider som har präglat stora, gränsöverskridande GDPR-ärenden. Den inför detaljerade och bindande procedurregler för hur den ansvariga tillsynsmyndigheten (”Lead Supervisory Authority”) ska samarbeta med andra berörda myndigheter och hur tvister dem emellan ska lösas inom EDPB. Förordningen inkluderar bland annat regler kring:

• Tidsfrister för utredningar: En förväntad handläggningstid på 15 månader för normala ärenden och 12 månader för förenklade förfaranden.

• Utökade rättigheter för parterna: Både den som lämnar in klagomålet (den registrerade) och organisationen som utreds får rätt att ta del av preliminära bedömningar och yttra sig innan slutgiltigt beslut fattas.

• Harmoniserade krav: Reglerar vad ett gränsöverskridande klagomål måste innehålla för att tas upp till prövning.

• Förenklat samarbete: Dataskyddsmyndigheterna inom EU och EES ges möjlighet att använda ett enklare samarbetsförfarande för okomplicerade ärenden.

Förordningen är antagen men börjar gälla först den 2 april 2027. När förordningen börjar gälla kommer den att innebära en mer förutsägbar och effektiv tillsynsprocess. För företag som verkar i många EU-länder kan detta vara en fördel, då man slipper navigera olika nationella tolkningar av procedurreglerna. Samtidigt innebär det sannolikt att tillsynsmyndigheterna blir mer samkörda och slagkraftiga. Företag bör förvänta sig snabbare och mer konsekventa beslut, vilket kan leda till att sanktioner påförs mer effektivt i framtiden.

EDPB:s riktlinjer om vetenskaplig forskning – en guide för innovation 

EDPB:s nya riktlinjer (1/2026) är ett viktigt verktyg för alla som behandlar personuppgifter i forskningssyfte. De balanserar forskningens frihet mot individens rätt till skydd för sina personuppgifter.

Riktlinjerna ger konkret vägledning inom flera nyckelområden:

• Definition av forskning: Riktlinjerna innehåller sex vägledande faktorer för att avgöra om ett projekt utgör "vetenskaplig forskning" enligt GDPR, vilket är avgörande för att få använda de särskilda undantagsreglerna som finns för detta i GDPR. Faktorerna inkluderar bland annat ett metodiskt tillvägagångssätt, efterlevnad av etiska standarder och att forskningen syftar till att öka samhällets kunskap.

• Presumtion om förenlighet: En central punkt är att vidarebehandling av insamlade data för forskningsändamål som utgångspunkt anses vara förenlig med det ursprungliga syftet. Detta underlättar avsevärt för återanvändning av befintliga datamängder.

• "Brett samtycke": Riktlinjerna bekräftar möjligheten att använda "brett samtycke", där en person kan samtycka till behandling inom ett visst forskningsområde (t.ex. cancerforskning) utan att varje enskilt projekt är specificerat vid insamlingstillfället. Detta innebär avgörande flexibilitet för långsiktiga forskningsprogram.

• Krav på skyddsåtgärder: All användning av forskningsundantagen är villkorad av att "lämpliga skyddsåtgärder" vidtas. Riktlinjerna betonar särskilt pseudonymisering och, där det är möjligt, anonymisering.

Samtidigt med riktlinjerna kom EDPB och EDPS med ett utlåtande avseende förslaget till ny Biotech Act. Där betonas behovet av att säkerställa full överensstämmelse mellan den föreslagna förordningen och dataskyddsregelverket, särskilt vad gäller behandling av genetiska data och hälsodata. EDPB och EDPS framhåller bland annat vikten av tydliga rättsliga grunder, starka skyddsåtgärder och att de registrerades rättigheter inte urholkas genom sektorsspecifik lagstiftning. För er som bedriver forskning är dessa riktlinjer obligatorisk läsning. De ger en tydligare ram för hur ni kan utforma era projekt på ett GDPR-säkert sätt och motivera era val avseende rättslig grund och behandlingens omfattning.

EU-domstolen

C-422/24: IMY:s första mål i EU-domstolen

Målet C-422/24 har sin bakgrund i ett tillsynsbeslut från IMY avseende Storstockholms lokaltrafiks (SL) användning av biljettkontrollanter utrustade med kroppsburna kameror. Kamerorna filmade resenärer i samband med biljettkontroller, vilket innebar att personuppgifter samlades in genom observation i realtid. IMY konstaterade att SL hade brustit i sin informationsskyldighet gentemot de registrerade och påförde bolaget en sanktionsavgift. Målet är det första i EU-domstolen där IMY är part och har principiell betydelse för hur informationskraven vid kamerabevakning ska tolkas.

Kärnfrågan i målet var vilken bestämmelse i dataskyddsförordningen som reglerar informationsplikten vid kamerabevakning – artikel 13 (information som ska lämnas när uppgifter samlas in direkt från den registrerade) eller artikel 14 (information som ska lämnas när uppgifter inte erhålls direkt från den registrerade). IMY hade grundat sitt beslut på artikel 13, men Kammarrätten i Stockholm undanröjde sanktionsavgiften i den delen med motiveringen att det i stället var artikel 14 som var tillämplig, eftersom de filmade personerna inte aktivt lämnade uppgifter till SL. Högsta förvaltningsdomstolen, som meddelade prövningstillstånd, valde att inhämta förhandsavgörande från EU-domstolen för att klargöra den korrekta rättsliga grunden för informationsplikten vid kamerabevakning.

EU-domstolen bekräftade IMY:s tolkning och slog fast att artikel 13 i dataskyddsförordningen är tillämplig vid kamerabevakning. Domstolen konstaterade att personuppgifter som samlas in genom kamerabevakning erhålls direkt från den registrerade i den mening som avses i artikel 13, oavsett att den filmade personen inte aktivt eller medvetet lämnar uppgifterna. Avgörandet innebär att den personuppgiftsansvarige måste tillhandahålla den information som anges i artikel 13 vid den tidpunkt då personuppgifterna samlas in – det vill säga i anslutning till att bevakningen sker. Domstolen framhöll vidare att möjligheterna till undantag från denna informationsplikt är mycket begränsade och att den personuppgiftsansvarige bär bevisbördan för att ett undantag är tillämpligt. Målet har nu återförvisats till Högsta förvaltningsdomstolen för slutligt avgörande i den nationella processen.

Avgörandet har betydande praktiska konsekvenser för organisationer som använder kamerabevakning – oavsett om det rör sig om fasta övervakningskameror, kroppsburna kameror, drönare eller andra former av visuell övervakning. Genom att fastslå att artikel 13 är tillämplig ställs delvis andra krav på informationens innehåll och tidpunkt jämfört med vad som hade gällt under artikel 14. Organisationer måste säkerställa att de registrerade informeras om behandlingen redan vid tidpunkten för insamlingen, exempelvis genom tydlig skyltning eller andra omedelbara informationsåtgärder i anslutning till det bevakade området.

Målet är det första i EU-domstolen där IMY är part. Det är nu upp till Högsta förvaltningsdomstolen att ta ställning till hur frågan om SL brustit i sin informationslämning enligt artikel 13 ska avgöras i den nationella domstolsprocessen.

Mål C-526/24: Avslag på orimliga registerutdrag

Målet har sin bakgrund i att en person upprepade gånger begärde registerutdrag från ett företag i syfte att identifiera brister som kunde ligga till grund för skadeståndsanspråk. Företaget nekade begäran med hänvisning till att den var uppenbart ogrundad eller orimlig enligt artikel 12.5 GDPR. Frågan hänsköts till EU-domstolen för att klargöra under vilka omständigheter en personuppgiftsansvarig kan avslå en begäran om tillgång enligt artikel 15, även när det rör sig om den registrerades första formella begäran.

EU-domstolen slog fast att rätten till tillgång enligt artikel 15 GDPR inte är absolut. En personuppgiftsansvarig kan neka en begäran om registerutdrag även om det är den registrerades första begäran, förutsatt att den personuppgiftsansvarige kan visa att begäran har ett otillbörligt syfte eller utgör rättsmissbruk. Domstolen framhöll att bedömningen ska göras utifrån samtliga omständigheter i det enskilda fallet och att bevisbördan för att begäran är orimlig eller ogrundad vilar på den personuppgiftsansvarige.

Avgörandet är av praktisk betydelse för företag och organisationer som tar emot begäranden om registerutdrag. Domen bekräftar att det finns ett utrymme att avslå begäranden som framställs i ett uppenbart annat syfte än att kontrollera den egna personuppgiftsbehandlingen – exempelvis för att systematiskt framkalla skadeståndsanspråk eller för att utöva påtryckning. Företag bör dock iaktta stor försiktighet vid tillämpningen av detta undantag. Bevisbördan är hög och en felaktig bedömning kan i sig utgöra en överträdelse av artikel 15 GDPR. Organisationer rekommenderas att dokumentera de omständigheter som motiverar ett avslag och att ha tydliga interna riktlinjer för hur sådana bedömningar ska göras.

Att bevaka från EU-domstolen

Mål C-523/25: Grupptalan och skadestånd – ökar risken för masskrav?

En holländsk stiftelse har väckt en grupptalan mot Amazon för påstådda GDPR-överträdelser. Målet har hänskjutits till EU-domstolen, som nu ska ta ställning till huruvida de holländska reglerna för sådan grupptalan – vilka ställer förhållandevis höga krav på den organisation som väcker talan – är förenliga med GDPR.

EU-domstolen ska bland annat ta ställning till om en medlemsstat får ställa upp strängare krav för en intresseorganisation att väcka talan (t.ex. krav på representativitet) än vad som följer av artikel 80 i GDPR. Domstolen ska även ta ställning till vad kravet på "mandat" i artikel 80 innebär – måste varje enskild person aktivt ge sitt godkännande, eller räcker det med en "opt-out"-modell där organisationen företräder alla som inte aktivt tackar nej?

Svaren på dessa frågor har potential att öppna dörrarna för en våg av kollektiva skadeståndskrav i hela EU. Om domstolen slår fast att nationella lagar inte får försvåra för intresseorganisationer att väcka talan, kan det bli betydligt enklare och billigare att driva masskrav mot företag för GDPR-överträdelser. En sådan utveckling skulle markant öka den finansiella risken kopplad till personuppgiftsincidenter och andra regelbrott. Alla organisationer som hanterar stora mängder personuppgifter bör därför följa detta mål med största intresse.

Mål C-185/25: Personuppgiftsansvar och rätten till tillgång – vem är ansvarig och hur mycket måste ni berätta?

Ett komplext österrikiskt mål ställer flera principiellt viktiga frågor på sin spets. Den första rör personuppgiftsansvar: kan en enskild chef för en organisation, som agerar i sin yrkesroll, personligen anses vara personuppgiftsansvarig enligt artikel 4.7 i GDPR och därmed stämmas vid domstol? Den andra frågan gäller rätten till tillgång: när en registrerad begär information om källan till ett påstående i ett e-postmeddelande (artikel 15.1.g), omfattar det bara e-postmeddelandets författare, eller även de personer som författaren kan ha pratat med informellt innan mejlet skrevs? En tredje fråga avser skadestånd: kan en ren överträdelse av skyldigheten att ge tillgång enligt artikel 15 i sig utgöra en ersättningsgill skada enligt artikel 82, även om ingen annan konkret skada har uppstått?

Målet kan få stora konsekvenser. Om chefer kan hållas personligt ansvariga skulle det innebära en dramatisk skärpning av ansvaret för regelefterlevnad. Frågan om källan till informationen är minst lika sprängkraftig för hanteringen av registerutdrag – om organisationer tvingas redogöra för informella, odokumenterade samtal skulle det skapa ett administrativt kaos och stora gränsdragningsproblem. Därtill kommer att om en sen eller ofullständig hantering av en begäran om tillgång i sig kan leda till skadestånd, riskerar det att utlösa en explosion av mindre skadeståndskrav och förvandla rätten till tillgång till ett verktyg för att söka ersättning snarare än information.

Mål C-676/25: Tillgång till arkiverade uppgifter – gäller GDPR:s rättigheter för "låst" data?

Målet rör bland annat rätten till tillgång och dataportabilitet för personuppgifter som en bank arkiverat enbart för att uppfylla lagstadgade krav, såsom penningtvättslagen. Den centrala frågan är huruvida artikel 15 (tillgång) och artikel 20 (dataportabilitet) gäller fullt ut för data som enbart sparas för att uppfylla en rättslig förpliktelse, eller om nationell lag kan begränsa dessa rättigheter med hänvisning till allmänintresset av att bekämpa brottslighet i enlighet med artikel 23 i GDPR.

Detta är en viktig fråga för alla reglerade branscher (bank, finans, försäkring, telekom etc.) med lagstadgade krav på datalagring. Många har argumenterat för att sådana arkiverade data bör betraktas som "frysta" och undantagna från normala rättigheter. Om EU-domstolen underkänner detta resonemang kommer det att kräva att organisationer bygger tekniska lösningar för att kunna extrahera och leverera data från sina arkiv, vilket kan vara både dyrt och komplicerat. Avgörandet kommer att klargöra balansen mellan GDPR och andra tvingande lagstiftning.

Mål C-730/25: Preskription och "shadow banning" – spelregler för sanktioner och innehållsmoderering

Den litauiska högsta förvaltningsdomstolen har hänskjutit sju tolkningsfrågor till EU-domstolen som rör den populära andrahandsplattformen Vinted. Målet har sin bakgrund i att den litauiska dataskyddsmyndigheten år 2024 ålade Vinted en sanktionsavgift om drygt 2,3 miljoner euro för bland annat olaglig tillämpning av shadow banning, dvs. plattformens metod att i hemlighet göra en användares innehåll osynligt för andra utan att informera användaren om detta, och vägran att radera användares personuppgifter. Vinted överklagade beslutet, vilket i förlängningen lett till att den litauiska domstolen nu begär EU-domstolens vägledning i flera principiellt viktiga GDPR-frågor.

En av de centrala frågorna är huruvida en nationell preskriptionstid för att utfärda administrativa sanktionsavgifter hindrar tillsynsmyndigheten från att agera. GDPR innehåller nämligen ingen uttrycklig preskriptionsbestämmelse för tillsynsmyndigheternas sanktioner, vilket gör frågan rättsligt olöst på EU-nivå. EU-domstolen ska ta ställning till om det är förenligt med GDPR:s bestämmelser om tillsynsmyndigheternas befogenheter (artiklarna 55–58 och 60 GDPR) att en nationell frist sätter stopp för myndighetens möjlighet att såväl utfärda böter som vidta övriga korrigerande åtgärder – såsom förelägganden, varningar och begränsning av behandling.

Två av tolkningsfrågorna rör specifikt shadow banning. Den avgörande GDPR-frågan handlar här inte primärt om huruvida shadow banning överhuvudtaget utgör personuppgiftsbehandling – det förutsätts – utan om huruvida metoden uppfyller GDPR:s transparenskrav och krav på rättslig grund.

Målet rymmer dessutom flera frågor om hur tillsynsmyndigheter ska hantera GDPR-klagomål i praktiken:

• Får – eller måste – tillsynsmyndigheten, när den utreder ett klagomål, även ingripa mot andra GDPR-överträdelser som rör samma behandling och som uppdagats under utredningens gång, även om de inte angavs i ursprungsklagomålet?

• Kräver GDPR att tillsynsmyndigheten tydligt definierar utredningens omfång och specificerar vilken information den begär in från den personuppgiftsansvarige?

• Innebär ansvarsprincipen att den personuppgiftsansvarige måste bevara alla uppgifter om den klagande under hela handläggningstiden, och är i så fall en sådan lagring förenlig med dataminimerings- och lagringsbegränsningsprinciperna?

• Hur ska transparensprincipen tolkas vid ett ofullständigt raderingsyrkande – måste den personuppgiftsansvarige vid avslag informera användaren om alla skäl till varför uppgifterna fortsatt behandlas?

Svaren från EU-domstolen väntas få stor praktisk betydelse. Frågorna om shadow banning berör direkt alla plattformar som tillämpar innehållsmoderering utan att uttryckligen informera berörda användare. Om EU-domstolen slår fast att sådana åtgärder kräver individuell information och tydlig rättslig grund, tvingas plattformarna se över sina modereringssystem i grunden. Preskriptionsfrågan är i sin tur av stor betydelse för hur länge personuppgiftsansvariga och personuppgiftsbiträden riskerar retroaktiva ingripanden, och kan komma att påverka hur tillsynsmyndigheternas befogenheter tolkas i samtliga EU:s medlemsstater.

Att bevaka lite extra från EU-domstolen: Lexbase-avgörandet väntas den 9 juli

GDPR vs. grundlagsskyddad databas – domen kan förändra spelreglerna för svenska söktjänster

Den 9 juli 2026 väntas EU-domstolens avgörande i mål C-199/24 (Legal Newsdesk Sweden). Målet rör tjänsten Lexbase – en betaltjänst som mot ersättning tillhandahåller allmänheten offentliga fällande brottmålsdomar på internet, utan redaktionell bearbetning.

Bakgrunden är att en person stämde bolaget bakom Lexbase efter att tjänsten fortsatt publicera uppgifter som gallrats från belastningsregistret, trots upprepade raderingsbegäranden. Kärnan i målet är avvägningen mellan GDPR:s integritetsskydd och den svenska yttrandefrihetsgrundlagen (YGL): ett företag med frivilligt utgivningsbevis för sin databas åtnjuter grundlagsskydd enligt YGL, och svensk lag har ansetts innebära att innehållet därmed undantas GDPR.

EU-domstolen ska ta ställning till tre tolkningsfrågor. Den första är om GDPR ger medlemsstaterna möjlighet att anta lagstiftningsåtgärder utöver de som måste antas enligt GDPR – dvs. om grundlagsskyddet kan sträcka sig längre än journalistundantaget. Den andra frågan är om GDPR tillåter att det enda tillgängliga rättsmedlet för den vars brottmålsdom publiceras på internet är att inleda straffrättsliga förfaranden om förtal eller begära skadestånd. Den tredje – om den första frågan besvaras nekande – är om tillhandahållandet av brottmålsdomar mot betalning utan redaktionell bearbetning kan utgöra behandling för journalistiska ändamål enligt GDPR.

Den 4 september 2025 lämnade generaladvokat Szpunar sitt förslag till avgörande, som i väsentliga delar underkänner de svenska grundlagsundantagen. Generaladvokaten ansåg att rättsdatabaser som utan bearbetning tillhandahåller brottmålsdomar mot ersättning inte utgör behandling av personuppgifter för journalistiska ändamål. Det svenska undantaget i dataskyddslagen bedömdes vara för långtgående, då GDPR inte öppnar upp för att medlemsstater ska undanta tillämpligheten av GDPR i dess helhet – och det finns inte utrymme för undantag från regler om rättsmedel, ansvar och sanktioner.

Generaladvokatens yttrande är inte bindande för EU-domstolen, men brukar väga tungt. Om domstolen följer förslaget kan det få genomgripande konsekvenser för svenska söktjänster och rättsdatabaser med frivilliga utgivningsbevis – och tvinga fram en omprövning av hur YGL förhåller sig till GDPR:s skyddsregim. Avgörandet är av särskilt intresse för aktörer som hanterar offentliga handlingar innehållande personuppgifter (och de som använder dessa tjänster), inklusive bakgrundskontrollsföretag.