En snäv tolkning av artikel 85

Europeiska unionens domstol (EU-domstolen) har slagit fast att Sveriges breda undantag från GDPR-reglerna, som beviljats enligt artikel 85 för journalistiska ändamål, inte sträcker sig tillräckligt långt för att täcka företag som säljer tillgång till personuppgifter som en kommersiell produkt. Beslutet, som meddelades den 9 juli 2026, blockerar Sveriges försök att skydda viss personuppgiftsbehandling från fullständig GDPR-granskning genom att helt enkelt beteckna den som journalistisk eller redaktionell.

Artikel 85 i GDPR ger medlemsstaterna möjlighet att införa undantag för journalistik, akademisk verksamhet samt konstnärligt eller litterärt skapande, med hänsyn till att strikta dataskyddsregler ibland kan kollidera med yttrandefriheten. Sverige hade använt denna bestämmelse för att motivera ett brett undantag som vissa företag åberopade för att undgå GDPR-skyldigheter. EU-domstolens dom drar en tydligare gräns: undantaget finns för att skydda genuin journalistik, inte för att ge kommersiella dataverksamheter fri lejd.

Från redaktionell policy till betalvägg

Målet i centrum för domen gällde ett företag som sålde tillgång till domstolsavgöranden och relaterade personuppgifter, enligt uppgift bakom en betalvägg. Företaget hävdade att dess verksamhet kvalificerade sig som journalistik enligt Sveriges nationella undantag, vilket i stort sett skulle ha placerat den utanför räckvidden för GDPR-skyldigheterna. EU-domstolen höll inte med och fann att återförsäljning av tillgång till personuppgifter som en abonnemangsprodukt inte automatiskt omvandlas till skyddad journalistisk verksamhet, även om företaget upprätthåller något som liknar en redaktionell policy.

Denna åtskillnad är viktig eftersom den återupplivar ett tidigare ogillat skadeståndskrav på 300 000 SEK. En person vars personuppgifter behandlades och såldes med stöd av det omtvistade undantaget kan nu driva det kravet, eftersom den rättsliga sköld som företaget åberopade har smalnats av domstolen. Domen avskaffar inte Sveriges journalistiska undantag helt och hållet, men den innebär att undantaget inte längre kan tänjas för att täcka vilken verksamhet som helst som paketerar personuppgifter som sökbart eller köpbart innehåll.

Den bakomliggande frågan som domstolen var tvungen att besvara var bedrägligt enkel: räcker det med att ha en redaktionell policy för att behandla en dataverksamhet som journalistik? EU-domstolens svar antyder att innehållet i verksamheten väger tyngre än hur ett företag väljer att beskriva sig självt.

Varför detta är viktigt bortom Sverige

Även om domen direkt rör svensk rätt, gäller EU-domstolens avgöranden om tolkningen av GDPR-bestämmelser i hela Europeiska unionen. Varje medlemsstat som har infört ett liknande brett journalistiskt eller redaktionellt undantag enligt artikel 85 kommer nu att behöva ompröva hur långt detta skydd sträcker sig. Företag som säljer aggregerade personuppgifter, domstolsprotokoll, bakgrundskontroller eller liknande betalväggsprodukter kan inte längre anta att genom att rama in sin tjänst som informativt eller redaktionellt innehåll så hålls de utanför GDPR:s räckvidd.

Detta passar in i ett bredare mönster där europeiska domstolar och tillsynsmyndigheter skärper tillsynen kring datahandlare och sekundära datamarknader. Personuppgifter som ursprungligen samlats in eller offentliggjorts för ett syfte, såsom offentliga domstolsprotokoll, har i allt högre grad paketerats om och återförsålts av mellanhänder. Tillsynsmyndigheter i hela Europa har visat en växande vilja att pröva om dessa affärsmodeller följer dataskyddslagstiftningen, snarare än att acceptera undantag utan vidare.

Vad detta innebär för dig

För vanliga användare förstärker denna dom en enkel men viktig poäng: personuppgifter förlorar inte sitt rättsliga skydd bara för att ett företag omstämplar sin behandling av dessa uppgifter som journalistik eller redaktionellt arbete. Om dina personuppgifter, oavsett om de kommer från ett domstolsprotokoll, offentligt register eller en annan källa, hamnar som en del av en betald dataprodukt, kan du ha starkare rättsliga grunder för att ifrågasätta den behandlingen och begära skadestånd om den bryter mot GDPR.

Domen signalerar också till datahandlare och aggregatorer som är verksamma i EU att enbart redaktionell inramning inte kommer att tillfredsställa tillsynsmyndigheter eller domstolar framöver. Företag som förlitar sig på undantag i stil med artikel 85 bör räkna med noggrannare granskning av huruvida deras kärnverksamhet verkligen är journalistisk eller helt enkelt kommersiell återförsäljning av data iklädd en redaktionell etikett.

Viktiga slutsatser

  • EU-domstolen har snävat in Sveriges journalistiska undantag enligt artikel 85 i GDPR och slagit fast att det inte omfattar företag som säljer personuppgifter bakom en betalvägg.
  • Ett skadeståndskrav på 300 000 SEK, som tidigare blockerades av undantaget, har till följd av domen återupplivats.
  • Att ha en redaktionell policy är inte i sig tillräckligt för att en kommersiell dataverksamhet ska kvalificeras som journalistik.
  • Avgörandet tillämpar ett EU-omfattande resonemang, vilket innebär att andra medlemsstater med liknande undantag kan ställas inför jämförbara rättsliga utmaningar.
  • Om du tror att dina personuppgifter har återförsålts eller behandlats med stöd av ett tvivelaktigt undantag, stärker denna dom möjligheten att driva ett GDPR-klagomål eller skadeståndsanspråk.

I takt med att europeiska domstolar fortsätter att finslipa var gränsen går mellan skydd för yttrandefrihet och kommersiellt utnyttjande av data, ger denna dom konsumenterna ett tydligare och vassare verktyg för att stå emot företag som tjänar pengar på personuppgifter medan de gömmer sig bakom undantag som är utformade för något helt annat.