Kan ägarna till Lexbase simma lugnt med sitt grundlagsskydd?

Vad ska egentligen räknas som journalistik? Frågan har under senare år aktualiserats i och med att det dykt upp kommersiella tjänster som enbart består av möjligheten att söka fram känsliga personuppgifter som exempelvis vilka brott en person är dömd för. Sajter som Lexbase har skaffat sig utgivningsbevis och skyddas därmed av Yttrandefrihetsgrundlagen YGL.

Detta var knappast egentligen syftet med YGL, och regeringen har drivit på för en ändring specifikt för att frånta dessa tjänster deras möjlighet till grundlagsskydd. Dock hittills utan framgång. Frågan om var gränsen egentligen ska gå är nämligen inte helt okomplicerad.

Den 25 maj 2018 trädde EU:s dataskyddsförordning, även känd som GDPR, i kraft.

Den som bedriver opinion eller skildrar sin omvärld på exempelvis en blogg omfattas också.

För att ta det väldigt kortfattat innebär GDPR betydande rättigheter för den enskilde när det gäller vilka personuppgifter som får behandlas, och hur. På motsvarande vis har myndigheter, företag och andra långtgående skyldigheter gentemot den enskilde, och vitesbeloppen kan bli enorma.

Samtidigt med GDPR började en ny svensk lag gälla: Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, eller helt enkelt dataskyddslagen.

Kan trumfa EU

GDPR tillåter medlemsstater att göra undantag för journalistisk, akademisk och konstnärlig verksamhet. Något som den svenska dataskyddslagen tagit fasta på, och det rejält: I första kapitlets sjunde paragraf slås fast att varken artiklarna 5–30 och 35–50 i GDPR eller kapitlen 2–5 i dataskyddslagen själv ska tillämpas om personuppgifter behandlas för ”journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande”. Dessutom ska varken dataskyddslagen eller GDPR tillämpas om det skulle strida mot tryckfrihetsförordningen, TF, eller YGL. Ägarna till Lexbase och liknande sajter kan simma lugnt. Eller?

Det kan hända att dataskyddslagens undantag och dess hävdande att svensk grundlag trumfar EU:s förordningar skulle klara en prövning i högsta instans – men någon sådan har ännu inte gjorts, så det kan vi inte veta säkert.

Gränsen går inte vid medier

Den svenska myndighet som ska ta till vara individens rättigheter enligt GDPR heter Integritetsskyddsmyndigheten, IMY – för gemene man troligen mer bekant under det gamla namnet Datainspektionen. I slutet av juni kom IMY med ett så kallat rättsligt ställningstagande kring vad som egentligen ska ses som ”journalistiska ändamål” enligt 1 kap 7 § dataskyddslagen. IMY:s rättsliga ställningstaganden är redogörelser för myndighetens uppfattning i rättsliga frågor när vägledande domstolspraxis saknas.

IMY är mycket tydliga med att gränsen inte ska gå vid traditionella medier eller yrkesutövande journalister. Den som bedriver opinion eller skildrar sin omvärld på exempelvis en blogg omfattas också.

Lexbase kan prövas på EU-nivå

Något som uttryckligen faller utanför IMY:s gränser är däremot – just det – ”en till allmänheten riktad renodlad söktjänst avseende fällande brottmålsdomar”.

Samtidigt åtnjuter alltså dessa tjänster grundlagsskydd i den mån de har utgivningsbevis, och är därigenom i dagsläget fredade från GDPR och dess svenska tillsynsmyndighet IMY.

Så, IMY:s rättsliga ställningstagande kring vad som är journalistik innebär i sig knappast ens början till slutet för tjänster som Lexbase. Däremot kan det mycket väl vara ett steg på en lång och vindlande väg mot en rättslig prövning av undantagen i dataskyddslagen på EU-nivå.