Utgivningsbevis skyddar inte från GDPR — EU-domstolens dom i ”Lexbase-målet”

Den 9 juli 2026 meddelade EU-domstolen dom i det uppmärksammade ”Lexbase-målet” (mål C-199/24). Domen slår fast att ett utgivningsbevis inte är tillräckligt för att undanta en verksamhet från GDPR.

Bakgrund

Delphi har tidigare rapporterat om målet i samband med att generaladvokat Maciej Szpunar lämnade sitt yttrande, i vilket han ifrågasatte om Lexbases verksamhet verkligen är journalistisk. EU-domstolen gör nu samma bedömning som generaladvokaten.

Lexbase är en databas som gör det möjligt att mot betalning söka fram fällande brottmålsdomar mot enskilda. När en man som dömts för brott år 2011 begärde att få sina personuppgifter raderade av Legal Newsdesk, som är företaget bakom Lexbase, vägrade Legal Newsdesk att göra detta. Skälet till detta var att Legal Newsdesk har ett utgivningsbevis för Lexbase och därför, hävdade Legal Newsdesk, gäller yttrandefrihetsgrundlagen och inte GDPR.

Sedan mannen stämt Legal Newsdesk i Attunda tingsrätt, har tingsrätten begärt ett förhandsavgörande i EU-domstolen för att få klarhet i denna fråga.

Kan också annan behandling än journalistik undantas från GDPR?

Viss personuppgiftsbehandling faller utanför GDPR:s tillämpningsområde. GDPR ger EU:s medlemsstater möjlighet att inom vissa angivna områden, göra avsteg från förordningen under förutsättning att sådana avsteg förenar rätten till integritet med yttrande- och informationsfriheten. EU-domstolen slår dock fast att det tydligt framgår av ordalydelsen i Art. 85.2 i GDPR att avsteg enbart får göras för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Detta innebär att det inte är tillåtet för medlemsländer att i nationell lagstiftning göra avsteg från GDPR för andra ändamål än för dem som uttryckligen framgår av GDPR.

Vad krävs för att en verksamhet ska falla in under journalistik-undantaget i GDPR?

EU-domstolen slår fast att det inte räcker att bara lägga upp oredigerade handlingar på internet för att en verksamhet ska anses bedriva journalistik i GDPR:s mening. För att undantaget i Art. 85.2 GDPR ska gälla krävs att behandlingen av personuppgifter sker i syfte att sprida information, åsikter eller idéer till allmänheten. Dessutom måste verksamheten uppfylla följande krav:

• materialet är föremål för redigering eller bearbetning innan publicering,
• publiceringen sker i enlighet med pressetiska regler och journalistiska yrkesetiska regler, eller åtminstone enligt en redaktionell linje, samt
• påståenden om fakta och omständigheter i materialet granskas innan publicering.

EU-domstolen understryker att detta gäller oavsett om verksamheten bedrivs på internet mot betalning och oavsett om personuppgifterna avser brottmålsdomar. Att, som Legal Newsdesk, enbart tillhandahålla allmänheten offentliga handlingar i form av fällande brottmålsdomar mot betalning utan någon redigering, redaktionell linje eller faktakontroll, uppfyller alltså inte dessa krav. EU-domstolen konstaterar mot denna bakgrund att Lexbases verksamhet inte förefaller uppfylla villkoren för GDPR:s undantag för journalistiska ändamål (även om det formellt ankommer på Attunda tingsrätt att avgöra detta när målet kommer åter till tingsrätten). I praktiken ska det dock mycket till för att nationella domstolar inte går den väg som EU-domstolen har stakat ut.

Räcker det att enskilda kan driva förtalsmål i domstol eller krävs också möjlighet till andra rättsmedel?

Det svenska systemet innebär att en person vars personuppgifter publicerats av en verksamhet med utgivningsbevis, såsom Lexbase, i praktiken bara kan göra gällande sina rättigheter genom att inleda ett domstolsförfarande om förtal. EU-domstolen konstaterar nu att detta strider mot GDPR. När en enskild person vill göra gällande sina rättigheter i förhållande till GDPR ska den enskilde ha tillgång till flera olika rättsmedel såsom rätten att klaga till tillsynsmyndighet, att inleda en domstolsprövning och att kräva skadestånd.

Genom denna dom sätter EU-domstolen stopp för uppfattningen att ett utgivningsbevis utgör ett generellt undantag från GDPR.

Delphi fortsätter att bevaka konsekvenserna av denna dom och målets utveckling när målet kommer åter till Attunda tingsrätt.

Denna artikel är skriven av Associate Elin Staafgård.