En snever tolkning av artikkel 85

Den europeiske unions domstol (CJEU) har fastslått at Sveriges brede unntak fra GDPR-reglene, gitt etter artikkel 85 for journalistiske formål, ikke strekker seg langt nok til å omfatte selskaper som selger tilgang til personopplysninger som et kommersielt produkt. Avgjørelsen, avsagt 9. juli 2026, blokkerer Sveriges forsøk på å skjerme visse databehandlingspraksiser fra full GDPR-kontroll ved ganske enkelt å merke dem som journalistiske eller redaksjonelle.

Artikkel 85 i GDPR tillater medlemsland å fastsette unntak for journalistikk, akademisk ytringsfrihet og kunstneriske eller litterære uttrykk, i erkjennelsen av at strenge personvernregler noen ganger kan komme i konflikt med ytringsfriheten. Sverige hadde brukt denne bestemmelsen til å rettferdiggjøre et bredt unntak som enkelte selskaper støttet seg på for å unngå GDPR-forpliktelser. Domstolens avgjørelse trekker en tydeligere grense: unntaket eksisterer for å beskytte genuin journalistikk, ikke for å gi kommersielle dataoperasjoner fritt spillerom.

Fra redaksjonell policy til betalingsmur

Saken i sentrum av denne avgjørelsen gjaldt et selskap som solgte tilgang til rettsavgjørelser og tilhørende personopplysninger, angivelig bak en betalingsmur. Selskapet hevdet at virksomheten kvalifiserte som journalistikk under Sveriges nasjonale unntak, noe som i stor grad ville ha plassert det utenfor rekkevidden av GDPR-forpliktelsene. CJEU var uenig og fant at videresalg av tilgang til personopplysninger som et abonnementsprodukt ikke automatisk forvandles til beskyttet journalistisk virksomhet, selv om selskapet opprettholder noe som ligner en redaksjonell policy.

Dette skillet er viktig fordi det gjenoppliver et tidligere avvist erstatningskrav på 300 000 SEK. En person hvis personopplysninger ble behandlet og solgt under det omstridte unntaket, kan nå forfølge kravet, ettersom den rettslige skjoldet selskapet støttet seg på er blitt innsnevret av domstolen. Avgjørelsen fjerner ikke Sveriges journalistunntak helt, men den innebærer at unntaket ikke lenger kan strekkes til å dekke enhver virksomhet som pakker personopplysninger som søkbart eller kjøpbart innhold.

Det underliggende spørsmålet domstolen måtte besvare, var bedragersk enkelt: rettferdiggjør det å ha en redaksjonell policy alene å behandle en datavirksomhet som journalistikk? CJEUs svar antyder at aktivitetens innhold betyr mer enn hvordan et selskap velger å beskrive seg selv.

Hvorfor dette har betydning utenfor Sverige

Selv om avgjørelsen direkte gjelder svensk rett, gjelder CJEUs tolkninger av GDPR-bestemmelser i hele Den europeiske union. Ethvert medlemsland som har gjennomført et tilsvarende bredt journalist- eller redaksjonelt unntak etter artikkel 85, må nå revurdere hvor langt denne beskyttelsen rekker. Selskaper som selger aggregerte personopplysninger, rettsdokumenter, bakgrunnssjekker eller lignende betalingsmurbaserte produkter, kan ikke lenger anta at det å ramme inn tjenesten som informasjons- eller redaksjonelt innhold holder dem utenfor GDPR-rekkevidde.

Dette passer inn i et bredere mønster der europeiske domstoler og tilsynsmyndigheter strammer inn håndhevingen overfor datameglere og sekundære datamarkeder. Personopplysninger som opprinnelig ble samlet inn eller offentliggjort for ett formål, som offentlige rettsdokumenter, har i økende grad blitt pakket om og videresolgt av mellommenn. Tilsynsmyndigheter over hele Europa har vist økende vilje til å teste om disse forretningsmodellene er i samsvar med personvernlovgivningen, i stedet for å akseptere unntak uten videre.

Hva dette betyr for deg

For vanlige brukere forsterker denne avgjørelsen et enkelt, men viktig poeng: Personopplysninger mister ikke sitt rettslige vern bare fordi et selskap omdefinerer behandlingen av dem som journalistikk eller redaksjonelt arbeid. Hvis personopplysningene dine, enten de kommer fra en rettsavgjørelse, et offentlig register eller en annen kilde, ender opp med å bli solgt som en del av et betalt dataprodukt, kan du ha sterkere rettslig grunnlag for å utfordre behandlingen og kreve erstatning dersom den bryter med GDPR.

Avgjørelsen signaliserer også til datameglere og aggregatorer som opererer i EU, at redaksjonell innramming alene ikke vil tilfredsstille tilsynsmyndigheter eller domstoler i fremtiden. Virksomheter som baserer seg på unntak i stil med artikkel 85, bør forvente tettere granskning av om deres kjernevirksomhet virkelig er journalistisk eller rett og slett kommersielt videresalg av data iført en redaksjonell merkelapp.

Hovedpunkter

  • CJEU har innsnevret Sveriges GDPR-journalistunntak etter artikkel 85, og fastslått at det ikke omfatter selskaper som selger personopplysninger bak en betalingsmur.
  • Et erstatningskrav på 300 000 SEK, som tidligere ble blokkert av unntaket, er som følge av dette gjenopplivet.
  • Det å ha en redaksjonell policy er ikke i seg selv nok til å kvalifisere en kommersiell datavirksomhet som journalistikk.
  • Avgjørelsen bygger på en EU-dekkende argumentasjon, noe som betyr at andre medlemsstater med lignende unntak kan møte tilsvarende juridiske utfordringer.
  • Dersom du mener at personopplysningene dine har blitt videresolgt eller behandlet under et tvilsomt unntakskrav, styrker denne avgjørelsen grunnlaget for å fremme en GDPR-klage eller et erstatningskrav.

Ettersom europeiske domstoler fortsetter å avklare hvor grensene for ytringsfrihetsvernet slutter og kommersiell datautnyttelse begynner, gir denne avgjørelsen forbrukerne et tydeligere og mer presist verktøy for å stå imot selskaper som tjener penger på personopplysninger mens de gjemmer seg bak unntak som er utformet for noe helt annet.