Undantagen i GDPR – vad gäller egentligen?

Enligt artikel 85.1 GDPR ska medlemsstaterna, i lag, förena rätten för den personliga integriteten med yttrande- och informationsfriheten. Artikel 85.2 GDPR ger medlemsstaterna en uttrycklig möjlighet att göra undantag från stora delar av förordningen (kapitel II–VII och IX), men bara om det gäller behandling för journalistiska ändamål, alternativt akademiskt, konstnärligt eller litterärt skapande, och bara om undantagen är nödvändiga för att skapa en balans mellan integritet och yttrande- och informationsfriheten. EU-domstolen slår i domen fast att artikel 85.1 GDPR inte i sig ger medlemsstaterna rätt att införa avvikelser utöver det som tillåts i artikel 85.2 GDPR. Till följd av detta kan Sverige inte undanta verksamheter från GDPR enbart med hänvisning till yttrandefriheten om behandlingen inte sker för något av de ändamål som anges i GDPR – det vill säga för journalistiska, akademiska, konstnärliga eller litterära ändamål.

Vad krävs för att det ska vara av ”journalistiska ändamål”?

EU-domstolen anger att begreppet journalistiska ändamål visserligen ska tolkas brett, men att det inte omfattar all spridning av yttranden. Tre förutsättningar måste vara uppfyllda för att behandlingen ska anses ske för journalistiska ändamål:

1. Det aktuella materialet ska vara föremål för visst redigerings- eller bearbetningsarbete innan publicering;

2. Publiceringen ska ske med iakttagande av yrkesetiska och pressetiska regler för journalister, eller åtminstone med utgångpunkt i en redaktionell linje; och

3. Påståenden gällande fakta och omständigheter i det relevanta materialet ska granskas innan publicering.

I Lexbase-fallet saknades de tre förutsättningarna ovan. Att bara lägga ut obearbetade brottmålsdomar räcker alltså inte enligt domstolens bedömning. EU-domstolen förtydligar samtidigt att varken det faktum att tjänsten bedrivs mot betalning på internet, eller att personuppgifterna avser brottmålsdomar, i sig utesluter att behandlingen kan ske för journalistiska ändamål.

GDPR:s rättsmedel kan inte uteslutas av grundlagsskyddet

Enligt den svenska ordning som Attunda tingsrätt beskrev i sin begäran om förhandsavgörande har den registrerade, när GDPR till följd av grundlagsskyddet inte varit tillämplig, varit hänvisad till förtalsrättsliga rättsmedel. EU-domstolen klargör att en sådan ordning inte får innebära att de rättsmedel som följer av GDPR sätts ur spel. Kapitel VIII i förordningen – som innehåller rätten att klaga till tillsynsmyndigheten (artikel 77), rätten till domstolsprövning (artiklarna 78 och 79) och rätten till skadestånd (artikel 82) – ingår inte bland de kapitel som får undantas enligt artikel 85.2. Dessa rättsmedel får därför inte uteslutas genom nationell reglering. Medlemsstaterna får bestämma de processuella formerna för hur rättsmedlen utövas, men de kan inte ställa upp andra materiella villkor än de som följer av GDPR.

Vad innebär domen i praktiken?

Domen innebär ett viktigt klargörande av den rättsliga bedömningen av söktjänster som Lexbase och andra databaser med frivilligt utgivningsbevis. För verksamheter som tillhandahåller likartade tjänster finns det nu i praktiken tre alternativ: anpassa verksamheten så att den uppfyller kraven för journalistiskt ändamål (bearbetning, redaktionell linje och pressetik), säkerställa att behandlingen i övrigt uppfyller GDPR krav, inklusive kraven på rättslig grund och behandling av uppgifter om lagöverträdelser, eller upphöra med publiceringen. Att hänvisa till utgivningsbevis eller grundlagsskydd räcker inte.

För enskilda som fått sina brottmålsdomar publicerade på liknande plattformar innebär domen ett förtydligat och i praktiken stärkt skydd. Ett utgivningsbevis är inte i sig tillräckligt för att sätta GDPR ur spel, och den registrerade får inte vara hänvisad enbart till förtalsrättsliga vägar.

Det återstår att se hur målet utvecklas vid Attunda tingsrätt.

Vem ansvarar för streamingen?

En central del av vägledningen rör ansvarsfördelningen. IMY understryker att de faktiska förhållandena avgör vem som är personuppgiftsansvarig, inte vad som står i avtalet. Om en förening sköter hela kedjan själv (kameran, sändningen, publiceringen) är den ensamt ansvarig. Anlitas ett produktionsbolag som bara agerar på föreningens instruktioner blir det ett biträdesförhållande. Bestämmer båda aktörer gemensamt om ändamål och medel uppstår i stället ett gemensamt personuppgiftsansvar.

Särskild uppmärksamhet ägnas kommuners roll som arenaägare. Att en kommun tillåter att en kamera monteras i en idrottshall, eller ställer begränsande villkor för hur hallen får användas, gör inte i sig kommunen till personuppgiftsansvarig. Kommunen måste aktivt ha bestämt varför och hur streamingen ska genomföras för att ansvar ska uppstå.

Vilka rättsliga grunder är aktuella?

Vägledningen pekar ut tre rättsliga grunder som i praktiken kan komma i fråga.

Den första är samtycke, som innebär att varje filmad person (eller dess vårdnadshavare) godkänner sändningen. IMY rekommenderar att vårdnadshavarens samtycke alltid inhämtas för barn som inte ännu har fyllt 13 år. Samtycke är dock svårt att använda i lagsporter: om ett enda barns nej innebär att hela matchen inte kan streamas riskerar både barn och föräldrar att känna sig pressade att säga ja, och då är samtycket ogiltigt. Samtycke lämpar sig därför enligt vägledningen bäst för individuella sporter med få deltagare.

Den andra rättsliga grunden är berättigat intresse (intresseavvägning), där aktören visar att dess intresse av att streama väger tyngre än intrånget i barnens integritet. Tre steg krävs: (i) att identifiera ett berättigat intresse, (ii) att visa att streamingen är nödvändig för att uppnå intresset, och (iii) att väga intresset mot barnens integritetsintresse.

Vägledningen ger inte någon exakt åldersgräns för när streaming är tillåten, men en tydlig skala framträder: yngre ålder, idrott på lägre nivå, obegränsad publik och inspelningar som sparas i efterhand talar för starkare integritetsskydd. Högre ålder, elitnivå och konkreta skyddsåtgärder – såsom åtkomstbegränsningar, fördröjd sändning, utzoomad filmning, eller enbart livesändning – kan skapa större utrymme.

Den tredje grunden är uppgift av allmänt intresse, som framför allt kan bli aktuell för kommuner. Om en kommun får personuppgiftsansvar för streamingen anger IMY att det inte är lämpligt att grunda behandlingen på samtycke eller intresseavvägning. Kommunen måste i stället undersöka om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Uppgiften måste ha stöd i lag eller annan författning, och ju större integritetsintrånget är, desto mer preciserat måste det rättsliga stödet vara. IMY pekar bland annat på att kommunallagen ger kommuner rätt att hantera frågor av allmänt intresse, vilket omfattar exempelvis drift av fritids- och idrottsanläggningar. Kommunen måste dessutom bedöma om streamingen är nödvändig för att utföra uppgiften och proportionerlig i förhållande till det mål som eftersträvas. I den bedömningen påverkar bland annat barnens ålder, sändningens utformning och vilka skyddsåtgärder som vidtas.

Undantag – när gäller inte GDPR?

Vägledningen pekar ut tre situationer där GDPR helt eller delvis inte blir tillämplig. Filmning för rent privat bruk, exempelvis en förälder som filmar och skickar till mor- och farföräldrar, kan omfattas av det så kallade privatundantaget, men så fort filmen publiceras för en obegränsad krets gäller GDPR. Vidare kan sändningar med grundlagsskydd, exempelvis via utgivningsbevis, undantas från GDPR i den del som omfattas av grundlagsskyddet. Undantaget för journalistiska ändamål kan aktualiseras om det centrala syftet med sändningen är att sprida information till allmänheten i journalistisk form.

Avslutande kommentar

Vägledningen visar att frågan inte kan reduceras till om barn- och ungdomsidrott ”får” streamas eller inte. Det handlar om en bedömning i varje enskilt fall som omfattar bland annat ansvarsfördelning, rättslig grund och att beakta barnens ålder, idrottens nivå, sändningens räckvidd och de skyddsåtgärder som vidtagits. Vägledningen ger inga generella svar på när streaming är tillåten – men den ger ett ramverk som relevanta aktörer kan ta sig igenom innan streaming inleds.