Högsta domstolen har i mål Ä 3169-24 (25 februari 2025) satt en ny praktisk och juridisk gräns för hur brottmålsdomar och andra känsliga domstolshandlingar får användas kommersiellt. Domstolen säger att svenska domstolar får lämna ut handlingar, men bara om mottagaren accepterar villkor som förhindrar att personnamn, personnummer och adresser görs sökbara eller sprids till kunder. Domen träffar direkt affärsmodellen där brottsuppgifter om enskilda personer görs möjliga att slå upp i efterhand, till exempel inför bakgrundskontroller.

HD:s beslut mot massökning av brottsuppgifter - detta innebär domen mot Trobar

Vad tvisten gällde

Trobar AB driver en rättsdatabas som samlar in domar, beslut, protokoll, dagboksblad, strafförelägganden och åtalsunderlåtelser från domstolar och åklagande myndigheter. Tjänsten riktas till företag och organisationer som bland annat gör bakgrundskontroller, följer rättsprocesser eller bevakar personkopplade händelser.

Bolaget begärde från Umeå tingsrätt att löpande få ut brottmålsdomar och relaterade handlingar. Domstolen sa nej, med hänvisning till att ett utlämnande i den omfattningen riskerade att leda till behandling som strider mot GDPR, särskilt artikel 10 som skyddar uppgifter om lagöverträdelser och fällande domar. Hovrätten höll med tingsrätten. Ärendet hamnade därefter i Högsta domstolen.

Högsta domstolens avgörande

Högsta domstolen ändrar hovrättens beslut. Domstolen säger att handlingarna ska lämnas ut – men endast med ett förbehåll, alltså ett bindande villkor för mottagaren.

Förbehållet innebär tre centrala begränsningar:

• Mottagaren får inte tillhandahålla materialet till allmänheten eller betalande kunder på ett sätt som avslöjar personnamn, personnummer eller adress till enskilda personer.

• Mottagaren får inte erbjuda sökfunktioner som låter allmänheten eller betalande kunder hitta personnamn, personnummer eller adress genom att söka i handlingarna.

• Mottagaren får inte använda handlingarna för att avisera (bevaka och notifiera) kunder om att en viss person förekommer i en handling.

Det sista är viktigt. Högsta domstolen förbjuder uttryckligen tjänster där en kund kan lägga in ett personnummer och därefter få larm när den personen nämns i nya domar.

Varför Högsta domstolen sätter denna gräns

Högsta domstolen gör två stora principiella ställningstaganden i domen.

1. Uppgifter om lagöverträdelser är extra skyddsvärda

Artikel 10 i GDPR säger att uppgifter om brott, misstanke om brott, fällande domar och straffrättsliga påföljder bara får behandlas under myndighetskontroll eller när nationell rätt uttryckligen tillåter det, och då med lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Ett privat, fritt sökbart register över lagöverträdelser om enskilda personer är just det som artikeln ska förhindra.

Högsta domstolen konstaterar att de typiska brottmålsdomarna som lämnas ut innehåller långt mer än bara uppgift om den tilltalades namn och påföljd. De kan innehålla uppgifter om målsäganden, vittnen, personliga förhållanden, hälsa, social situation och detaljerade händelsebeskrivningar som kan knytas till identifierbara privatpersoner. Det är alltså inte bara en "brottsanteckning". Det är en full personprofil.

2. Svensk offentlighetsprincip kan inte användas för att kringgå GDPR

I svensk tradition har domar i brottmål normalt lämnats ut i sin helhet, även i stora mängder, och sedan kunnat indexeras kommersiellt. Offentlighetsprincipen har setts som överordnad.

Högsta domstolen säger i klartext att detta inte längre håller i ljuset av EU-rätten. Dataskyddsförordningen och särskilt artikel 10 måste beaktas redan vid utlämnandet. Om det kan antas att uppgifterna kommer att behandlas på ett sätt som strider mot GDPR måste myndigheten tillämpa sekretess enligt offentlighets- och sekretesslagens regler och inte lämna ut personuppgifterna fritt.

Med andra ord: Domstolen måste väga integritetsskyddet innan material går ut – inte hoppas att mottagaren hanterar det ansvarsfullt sedan.

Yttrandefrihet och journalistik är viktigt – men inte ett frikort

Trobar invände att deras databas har utgivningsbevis och därmed omfattas av yttrandefrihetsgrundlagen, och att materialet används bland annat för journalistiska ändamål och forskning.

Högsta domstolen gör här en nyanserad avvägning. Domstolen säger att journalistisk granskning ska kunna fortsätta. Det är legitimt att använda rättsligt material för nyhetsrapportering och redaktionell analys.

Men domstolen accepterar inte att samma skydd ska gälla för kommersiell massdistribution av sökbara personuppgifter för bakgrundskontroll och bevakningstjänster. Domstolen pekar på att just bakgrundskontrolltjänster där en viss individ kan bevakas över tid är mycket integritetskänsliga och väger tungt mot den enskilde.

Högsta domstolens lösning blir därför att tillåta utlämnande med ett skräddarsytt förbehåll som både skyddar individens integritet och ändå låter mottagaren använda materialet som underlag för journalistik och analys.

Vad detta betyder för bakgrundskontroller och screeningtjänster

Det Högsta domstolen gör är att dra en skarp linje: Att sätta upp privata register där du kan söka på ett namn eller personnummer och få fram brottsuppgifter är inte längre något som kan bygga direkt på svenska domstolars utlämningar utan restriktioner.

Det gäller även bevakningstjänster som automatiskt pingar en kund när en viss individ förekommer i en ny handling från domstol. Sådana notifieringar får inte erbjudas med hjälp av rå, identifierande persondata.

I praktiken innebär det att alla aktörer som gör bakgrundskontroller med rättsdata måste anpassa sina processer. Antingen tar de emot avidentifierat eller pseudonymiserat material, eller så kommer domstolarna att neka utlämning eller bara lämna ut mot mycket hårda förbehåll.

Hur vår tjänst uppfyller Högsta domstolens krav i praktiken

Vår tjänst är byggd för exakt det scenario Högsta domstolen nu beskriver. Vi löser tre centrala problem som domen tar upp.

1. Avidentifiering före utlämnande

Vi automatiserar avidentifiering av domar, beslut, protokoll och dagboksblad innan de lämnas vidare. Namn, personnummer, adresser och andra direkta identifierare maskas eller ersätts med kontrollerade pseudonymer. Resultatet går att läsa, citera och analysera utan att avslöja den faktiska identiteten på den tilltalade, målsäganden, vittnen eller andra enskilda. Detta ligger helt i linje med Högsta domstolens krav att personnamn, personnummer och adress inte ska göras tillgängliga för kunder eller allmänhet.

2. Kontrollerad sökbarhet utan personidentifiering

Vi kan leverera en version av materialet där sökning är möjlig på till exempel brottskategori, domstol, datumintervall eller typ av beslut – men inte på en individs namn eller personnummer. Det motsvarar Högsta domstolens uttryckliga förbud mot att bygga söktjänster som gör det möjligt att hitta en person via namn, personnummer eller adress.

3. Blockerade bevakningslarm på individer

Domen förbjuder inte bara sökningar. Den förbjuder också att använda handlingarna för avisering, det vill säga att automatiskt meddela kunder när ett visst personnummer eller namn förekommer i nytt material.

Vår lösning kan tekniskt hindra den typen av notifieringslogik genom att ta bort eller pseudonymisera den identifierande nyckeln redan i källdata. Det gör att du kan ha intern statistik, kvalitetsuppföljning och riskindikatorer utan att skapa en kommersiell "övervakningsfeed" av privatpersoner.

Vad detta betyder för myndigheter

Myndigheter och domstolar får genom Högsta domstolens avgörande två skyldigheter:

• De måste göra en faktisk proportionalitetsbedömning innan de lämnar ut brottmålsdata i bulk. Är det rimligt att anta att mottagaren kommer att använda materialet på ett sätt som strider mot GDPR artikel 10. Om ja, då gäller sekretess för personuppgifterna.

• Om utlämnande ändå ska ske ska det ske med förbehåll som förbjuder masspridning av identifierande uppgifter, förbjuder sökning på namn och personnummer och förbjuder aviseringstjänster kopplade till enskilda individer.

Med vår plattform kan myndigheten redan från början lämna ut en kontrollerad version där dessa risker är tekniskt reducerade. Den utlämnade versionen saknar öppet namn, personnummer och adress. Nyckeln som kan koppla en pseudonym till en verklig identitet hanteras separat, med rollbaserad åtkomst och full loggning. Det ligger helt i linje med Högsta domstolens modell att bara möjliggöra insyn på ett sätt som inte skadar den registrerades integritet.

Sammanfattning

Högsta domstolens beslut i mål Ä 3169-24 markerar ett skifte i svensk rättstillämpning. Offentlighetsprincipen står fast, men den kan inte längre användas för att bygga kommersiellt sökbara brottsregister över privatpersoner. Uppgifter som rör lagöverträdelser omfattas av ett förstärkt skydd enligt GDPR artikel 10, och myndigheter måste väga den enskildes integritet redan vid utlämnandet.

För dig som arbetar med rättsinformation, bakgrundskontroller, journalistik, intern regelefterlevnad eller intern kvalitetssäkring innebär detta två saker:

• Du måste kunna arbeta med innehållet i domar utan att okontrollerat sprida namn, personnummer och adresser.

• Du måste kunna visa att du inte bygger en söktjänst eller larmtjänst som låter någon bevaka enskilda individer över tid.

Det är exakt vad vår plattform levererar. Vi automatiserar avidentifiering, pseudonymisering och maskning av känsliga personuppgifter. Vi hindrar otillåtna personsökningar och personlarm. Och vi håller kopplingen tillbaka till verklig identitet inlåst, rollstyrd och loggad, så att återidentifiering bara kan ske när det finns lagstöd. Det gör att du kan fortsätta använda rättsinformation på ett lagligt, säkert och affärsmässigt sätt – även efter Högsta domstolens nya praxis.