Grundlagsskyddet är smalare än många trott
Den 9 juli 2026 meddelade EU-domstolen dom i mål C-199/24, ND mot Legal Newsdesk Sweden AB, tidigare Garrapatica AB (ECLI:EU:C:2026:564), efter en begäran om förhandsavgörande från Attunda tingsrätt. Femte avdelningen slog fast att en medlemsstat inte kan använda artikel 85.1 i förordning (EU) 2016/679 för att skapa undantag som går längre än vad artikel 85.2 tillåter, och att den vars brottmålsdomar publiceras mot betalning på internet inte kan hänvisas till förtalsreglerna som enda rättsmedel.
Länge har utgångspunkten hos svenska aktörer varit att ett frivilligt utgivningsbevis, utfärdat av Myndigheten för press, radio och tv, tar bort GDPR helt. Den uppfattningen vilade på 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, vars första stycke anger att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.
Vad prövades i målet?
Legal Newsdesk Sweden driver databasen Lexbase, där användare kan söka på personer och företag som varit föremål för brottmålsprocesser vid svensk domstol. ND dömdes genom en dom av den 17 januari 2011, som förblev tillgänglig till februari 2024. ND begärde radering, men uppgifterna raderades inte omedelbart utan togs bort först senare med stöd av bolagets egen lagringspolicy. ND väckte därefter talan vid Attunda tingsrätt och yrkade 300 000 kronor jämte ränta. Bolaget svarade att utgivningsbeviset, tillsammans med databasregeln i 1 kap. 4 § yttrandefrihetsgrundlagen, satte GDPR helt ur spel.
Vad domstolen kom fram till
Domen besvarar tre frågor, och varje svar har självständig betydelse.
Undantagslistan är uttömmande
Artikel 85.2 ger medlemsstaterna rätt att göra undantag från vissa kapitel för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Domstolen slog fast att artikel 85.1 hindrar medlemsstaterna från att gå längre för behandling som sker för andra ändamål, även när den nationella lagstiftaren anser att det bredare undantaget behövs för att förena dataskydd med yttrandefrihet.
Förtal ersätter inte GDPR:s rättsmedel
En nationell reglering får inte innebära att de enda rättsmedlen för en dömd person, vars uppgifter om brottmålsdomar tillgängliggörs på internet mot betalning, är åtal för förtal eller skadeståndstalan på grund av förtal. De rättsmedel domstolen värnade finns i kapitel VIII: klagomål till tillsynsmyndighet enligt artikel 77.1, rättsmedel mot tillsynsmyndighet enligt artikel 78.1 och 78.2, rättsmedel mot personuppgiftsansvarig eller personuppgiftsbiträde enligt artikel 79.1 samt ersättning enligt artikel 82.1.
Betaltjänst med domar är inte automatiskt journalistik
Att mot betalning tillgängliggöra allmänna handlingar som utgörs av brottmålsdomar för allmänheten på internet kan inte anses ske för journalistiska ändamål enligt artikel 85.2, om inte syftet är att sprida information, åsikter eller idéer till allmänheten, i enlighet med journalistyrkets etiska regler och uppförandekoder, efter redigering eller bearbetning eller åtminstone i enlighet med en redaktionell policy, och efter kontroll av de faktiska uppgifterna. Om Lexbase uppfyller den beskrivningen är en fråga för Attunda tingsrätt.
Vår läsning av domen
En del kommentarer har behandlat detta som ett Lexbase-problem. Det gör domen för liten. Domstolen prövade inte ett enskilt bolags redaktionella arbete, utan tog bort föreställningen att en formell publiceringsstatus kan tränga undan en direkt tillämplig EU-förordning för behandling som inte är journalistisk i sak.
Den andra punkten är den som svenska bolag bör oroa sig mest för, eftersom den öppnar en skadeståndsväg som många utgått från var stängd. Integritetsskyddsmyndigheten uppgav samma dag att man välkomnar klargörandet och ska analysera vad domen innebär för myndighetens fyra pågående tillsyner av söktjänster med utgivningsbevis. Utredningen SOU 2024:75, Personuppgifter och mediegrundlagarna, av den 20 november 2024, föreslog redan att grundlagsundantaget snävas in, men den föregår domen och grundlagsändringar tar tid. Exponeringen finns nu.
Ett praktiskt exempel
Ett svenskt bolag säljer en omvärldstjänst som sammanställer domar, bolagsuppgifter och negativ medieexponering till riskprofiler på namngivna personer. Bolaget skaffade utgivningsbevis efter rådet att detta placerade tjänsten utanför GDPR, och har varken rättslig grund dokumenterad eller raderingsrutin. Efter C-199/24 är den positionen ohållbar om inte tjänsten uppfyller kravet på journalistiska ändamål, vilket en automatiserad produkt utan redaktionell policy får svårt att göra.
Vanliga misstag
Det första är att behandla utgivningsbeviset som en status som fäster vid bolaget i stället för vid behandlingen. Domstolens test tar sikte på vad verksamheten gör, och samma organisation kan ha ett bevis samtidigt som den utför behandling som helt faller utanför artikel 85.2.
Det andra är att utgå från att uppgifter som är offentliga fritt får publiceras vidare. Domstolen konstaterade att känsligheten hos uppgifter om brottmålsdomar enligt artikel 10 har betydelse för om ett undantag är motiverat, men inte för om behandlingen alls ska räknas som journalistik. Det tredje är att köpa en svensk personuppgiftsprodukt för screening eller AI-träning enbart mot säljarens försäkran om grundlagsskydd.
Rekommenderade åtgärder
Om er organisation stödjer sig på ett utgivningsbevis för någon del av behandlingen, dela upp behandlingen i det som är genuint journalistiskt och det som inte är det, och dokumentera gränsdragningen mot domstolens kriterier om redaktionell policy, yrkesetiska regler och faktakontroll. Det som hamnar på fel sida behöver en fullständig GDPR-analys byggd från grunden, med rättslig grund enligt artikel 6 som första steg.
Inför en fungerande raderingsprocess innan den första begäran kommer in, och registrera när varje begäran togs emot och verkställdes, eftersom det är i glappet däremellan skadeståndsanspråken uppstår. Om ni köper uppgifter om identifierbara personer från en svensk leverantör, be skriftligen om leverantörens rättsliga grund.
Vanliga frågor
Är utgivningsbeviset värdelöst nu?
Nej. Det ger fortfarande grundlagsskydd enligt yttrandefrihetsgrundlagen, och undantaget i artikel 85.2 står kvar för behandling som är journalistisk i egentlig mening. Vad det inte längre gör är att sätta GDPR ur spel för kommersiell behandling som inte motsvarar domstolens beskrivning av journalistik.
Gäller domen utanför Sverige?
Tolkningen av artikel 85.1 och artikel 85.2 binder samtliga medlemsstater. Varje nationellt undantag som sträcker sig bortom behandling för journalistiska, akademiska, konstnärliga eller litterära ändamål berörs, så resonemanget når utanför det svenska systemet.
Kan berörda personer nu begära skadestånd?
Domstolen slog fast att nationell rätt inte får begränsa dem till förtalsreglerna, så GDPR:s vägar står öppna, däribland ersättning enligt artikel 82.1. Om ett anspråk vinner framgång beror alltjämt på att överträdelse och faktisk skada kan styrkas i nationell domstol.
Slutsats
C-199/24 är en kort dom med lång räckvidd. Den säger svenska företag att en formell publiceringsstatus inte kan köpa frihet från en förordning som skrivits för att gälla direkt, och den säger personerna i databaserna att de har GDPR:s vanliga verktygslåda ändå. De bolag som hanterar detta väl slutar fråga om de har ett bevis och börjar fråga om deras behandling klarar en prövning mot artikel 6.
På Lawgent hjälper vi företag att bedöma om deras datatjänster ligger innanför eller utanför undantaget för journalistiska ändamål, att bygga om GDPR-dokumentationen för de delar som faller utanför, och att hantera tillsyn och skadeståndsanspråk. Hör av dig om du vill att vi går igenom hur C-199/24 påverkar era produkter.
