IMY har utfärdat reprimander mot bolagen bakom söktjänsterna Lexbase och Krimfup, eftersom de behandlat personuppgifter om brott utan lagligt stöd. Beslutet är viktigt för alla som hanterar sökbara register med personuppgifter.
Vad har hänt?
IMY förelägger också bolagen att säkerställa att användare inte kan ta del av sådana uppgifter vid sökning på namn, personnummer eller adress. Enligt IMY måste tjänsterna följa GDPR artikel 10 om personuppgifter om brott och artikel 17 om rätten till radering, och de bedrivs inte med journalistiskt ändamål. IMY anser att EU-rätten går före den svenska regleringen.
Bolagen behöver inte stänga sina webbplatser direkt, men ändringarna ska vara genomförda senast två månader efter att respektive beslut vunnit laga kraft. IMY beslutade inte om några sanktionsavgifter. Lexbase ska enligt uppgift överklaga beslutet.
Vad betyder det för företag?
- Uppgifter om lagöverträdelser kräver särskilt lagligt stöd. Företag som samlar eller publicerar sådana uppgifter bör se över sin rättsliga grund.
- Ett frivilligt utgivningsbevis är inget säkert skydd mot GDPR-tillsyn, om verksamheten inte bedöms ha journalistiskt ändamål.
- Rutiner för att hantera begäranden om radering behöver fungera i praktiken.
- Besluten kan överklagas, så rättsläget kan komma att ändras.
Källa: IMY, Söktjänster behandlar personuppgifter på otillåtet sätt
