Nyheter

Högsta domstolen har konstaterat att det inte är förenligt med unionsrätten att fullständigt undanta grundlagsskyddade verksamheter från tillämpningen av GDPR och dataskyddslagen

Högsta domstolen har meddelat beslut i två mål som gäller utlämnande av brottmålsdomar till en nyhetsbyrå och ett företag som tillhandahåller bakgrundskontroller. Domarna innebär att grundlagsskyddade verksamheter som vill begära ut domar inte får tillhandahålla dessa till allmänheten eller betalande kunder. Inte heller får grundlagsskyddade verksamheter erbjuda allmänheten eller betalande kunder sökmöjligheter, om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer.

Bakgrunden till den första domen är att Nyhetsbyrån Siren hos Hovrätten för övre Norrland hade begärt att få ta del av ett större antal brottmålshandlingar. Hovrätten beslutade att de begärda handlingarna skulle lämnas ut – dock med vissa förbehåll innebärande bland annat att personnamn, personnummer och adress för enskilda personer inte skulle få tillhandahållas allmänheten eller betalande kunder genom nyhetsbyråns databas eller register. Bolaget bakom Nyhetsbyrån Siren yrkade att Högsta domstolen skulle undanröja hovrättens beslut och bifalla bolagets begäran om att få ta del av de önskade handlingarna utan förbehåll.

Högsta domstolen konstaterade att lagstiftaren med 1 kap. 7 § första stycket dataskyddslagen får anses ha avsett att dataskyddsförordningen och dataskyddslagen överhuvudtaget inte ska tillämpas på verksamheter på vilka tryckfrihetsförordningen eller yttrandefrihetsgrundlagen är tillämplig. Vidare konstaterades att en sådan ordning, som bland annat innebär att brottmålsdomar i stor omfattning lämnas ut med följd att en betydande mängd personuppgifter rörande lagöverträdelser därefter kan behandlas i en databas och göras tillgängliga för andra, undergräver det skydd vid behandling av uppgifter om lagöverträdelser som GDPR syftar till att ge. Högsta domstolen konstaterade därefter att det finns utrymme att – i ljuset av unionsrätten – tolka 1 kap. 7 § dataskyddslagen på så sätt att bestämmelsen inte hindrar att GDPR:s krav beaktas när myndigheter avgör huruvida allmänna handlingar som innehåller personuppgifter ska lämnas ut, varken inom eller utom det grundlagsskyddade området.

Avslutningsvis konstaterade Högsta domstolen att eftersom Nyhetsbyrån Siren återkommande begärt att få ut ett större antal handlingar innehållandes uppgifter om lagöverträdelser och andra uppgifter av känslig natur, samt med beaktande av den omfattande behandling av personuppgifter av detta slag som sker hos nyhetsbyrån, kan det antas att personuppgifter som finns i de begärda handlingarna kommer att behandlas på ett sätt som är oförenligt med artikel 10 i GDPR. Således fastslog Högsta domstolen att sekretess gällde för de personuppgifter som finns i handlingarna som begärts ut. Högsta domstolen beslutade sammanfattningsvis att handlingarna skulle lämnas ut, men med förbehåll om att handlingarna inte får tillhandahållas allmänheten eller betalande kunder, samt att Nyhetsbyrån Siren inte får erbjuda allmänheten eller betalande kunder sökmöjligheter, om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer.

Tre justitieråd var skiljaktiga, varav två ansåg att det inte kan anses stå i strid med unionsrätten att – såvitt avser Nyhetsbyrån Sirens begäran om utfående av allmänna handlingar – låta grundlagsskyddet gälla på det sätt som den svenska lagstiftaren avsett.

Den andra domen fick samma utgång, men gällde ett företag som tillhandahöll information för bakgrundskontroller och som även i viss utsträckning ägnade sig åt journalistisk verksamhet.

EDPB antar riktlinjer avseende pseudonymisering

Europeiska dataskyddstyrelsen (”EDPB”) har antagit riktlinjer om pseudonymisering. I riktlinjerna klargör EDPB definitionen och tillämpligheten av pseudonymisering samt ger konkreta exempel på hur pseudonymisering kan utföras. I riktlinjerna framhålls att pseudonymisering är en användbar åtgärd för dataskydd men att den ofta kan behövas kompletteras med ytterligare åtgärder för att vara effektiv.

Meta har efter påtryckningar presenterat ett tredje kostnadsfritt alternativ till ”consent or pay” för användare av Facebook och Instagram

EDPB har tidigare uttryckt oro över att plattformar som Facebook och Instagram endast använder sig av samtyckes- eller betalmodeller avseende beteendestyrd marknadsföring. Detta då det kan innebära att användare av stora onlineplattformar faktiskt inte har ett verkligt val när de ombeds att samtycka till behandlingen av sina personuppgifter. EDPB har därför efterlyst ett tredje konstadsfritt alternativ, vilket Meta nu har presenterat. Det ska nu vara möjligt för användare att använda tjänsterna gratis samtidigt som annonserna baseras på mindre personuppgifter än tidigare.

Yttrande från EDPB om användning av personuppgifter för utveckling och införande av AI-modeller

EDPB har, på begäran från den irländska dataskyddsmyndigheten, antagit ett yttrande kring vissa aspekter i GDPR och dess effekt för framtagande och användning av AI-modeller.

I yttrandet uttalar sig EDPB om följande frågor:

1. När och hur personuppgifter i en AI-modell kan betraktas som anonymiserade.
2. Om och hur berättigat intresse kan användas som en lämplig rättslig grund under utvecklings- och driftsättningsfasen av AI-modeller.
3. Vilka konsekvenser olaglig behandling av personuppgifter vid utvecklingen av en AI-modell får för den efterföljande behandlingen eller driften av AI-modellen.

Vad gäller den första frågan uttalar EDPB att för att personuppgifter i en AI-modell ska anses vara anonymiserade måste följande kumulativa kriterier uppfyllas:

1. Sannolikheten för att direkt eller probabilistiskt extrahera personuppgifter som tillhör den registrerade, vars uppgifter användes för att utveckla AI-modellen, måste vara obetydlig.
2. Sannolikheten för att avsiktligt eller oavsiktligt erhålla sådana personuppgifter vid sökningar som utförs med hjälp av AI-modellen måste också vara obetydlig.

Båda dessa kriterier ska bedömas med hänsyn till alla hjälpmedel som rimligen kan användas för att direkt eller indirekt identifiera de registrerade. EDPB betonar dock att en bedömning måste ske i varje enskilt fall.

Vad gäller den andra och tredje frågan hänvisar EDPB till de riktlinjer de tagit fram gällande den rättsliga grunden berättigat intresse och de bedömningar som måste göras enligt riktlinjerna. EDPB konstaterar vidare att om en AI-modell har tagits fram med personuppgifter som behandlats olagligt, kan detta påverka den fortsatta användningen av modellen i vissa fall.

Kommande event