IMY: Lexbase och Krimfup olagliga – personsök måste bort
Integritetsskyddsmyndigheten har fattat beslut i tillsynerna mot Lexbase och Krimfup. Båda bryter mot GDPR, och ingen av dem bedriver journalistik. De får därför inte längre erbjuda sökningar på namn, adress eller personnummer.
Sammanfattning
- Båda bryter mot artikel 10 GDPR – IMY konstaterar i beslut den 3 november 2026 att Legal Newsdesk Sweden AB (Lexbase) och Fuplex AB (Krimfup) behandlar personuppgifter om brott utan lagligt stöd.
- Måste ta bort sökfunktion inom 2 månader – tjänsterna föreläggs att inom två månader efter att besluten vunnit laga kraft tillse att det inte längre går att söka på namn, personnummer eller adress för att få fram brottsuppgifter.
- Överklagan pausar beslutet – Både Lexbase och Fuplex har redan meddelat att det överklagar till förvaltningsrätten, och beslutet gäller inte så länge domstolsprocessen pågår.
- Inte journalistik – IMY bedömer, med stöd av EU-domstolens dom i mål C-199/24, att verksamheterna inte har journalistiska ändamål. Lexbases AI-omskrivna ”artiklar” ändrar inte den bedömningen.
- Reprimand men ingen sanktionsavgift – överträdelserna hade normalt gett sanktionsavgift, men IMY tar hänsyn till utgivningsbevisen och till att praxis saknats fram till nyligen.
Efter 19 månaders tillsyn har IMY nu sagt det som EU-domstolen pekade ut i somras: det frivilliga utgivningsbeviset skyddar inte en söktjänst för brottsdomar. Myndigheten sätter den svenska grundlagsregleringen åt sidan och låter EU-rätten gå före.
IMY förbjuder Lexbase och Krimfups sökfunktion
IMY har meddelat två i stort sett likalydande beslut (se IMY-2025-6466 mot Lexbase och IMY-2025-6465 mot Krimfup). Båda bolagen får en reprimand enligt artikel 58.2 b i GDPR och ett föreläggande enligt artikel 58.2 d.
Föreläggandet tar sikte på kärnan i båda tjänsterna: personsökningen. Det ska inte längre vara möjligt att söka på personnamn, personnummer eller adress och ta del av uppgifter om brott som gäller den eftersökta personen. Åtgärderna ska vara på plats senast två månader efter att besluten vunnit laga kraft.
IMY skriver också att syftet med grundlagsskydd för frivilliga utgivningsbevis enligt förarbetena ”aldrig var att skydda den typen av publiceringar som sker genom offentliggörande av sökbara samlingar av personuppgifter”.
Sidornas AI-genererade ”nyhetsartiklar” förändrar inget – har samma syfte enligt IMY
Båda bolagen har gjort om sina sajter under tillsynen. Det har inte hjälpt.
Om Lexbase konstaterar IMY att omvandlingen av domar till artiklar inte ändrar något i sak. Mest talande är hur Lexbases egen beskrivning av söktjänsten står sig mot det IMY har sett.
Lexbase till IMY: ”Ingen artikel i den sökbara databasen innehåller namn, personnummer, adress, bild eller andra direkt identifierande uppgifter.” Namn får enligt bolaget förekomma i träfflistan ”endast för artiklar som har publicerats öppet på webbplatsen och avser en person med offentlig ställning eller roll som brottet har ett samband med”. Träfflistan ”bekräftar inte att sökbegreppet förekommer i källmaterialet”, enligt Lexbase.
IMY, utifrån klagomålen: ”Textrutorna innehåller namn, ålder och ort för den eftersökte personen.” Kopplingen mellan sökord och sökresultat visar att personen ”med hög grad av sannolikhet förekommer i en brottmålsdom”. Och: ”För IMY är det uppenbart att det också är just det som är syftet med sökfunktionen.”
Att artiklarna i sig saknar namn spelar ingen roll. Det bolaget anfört om det ”saknar relevans för bedömningen eftersom det är tydligt att en användare genom att söka på personnummer eller namn kan få fram artiklar baserade på brottmålsdomar avseende den eftersökta personen”. IMY:s slutsats är att det ”i praktiken är samma typ av tjänst med i grunden samma syfte som före förändringarna”.
För Krimfup avser granskningen sajten som den såg ut fram till den 1 oktober 2026, med oredigerade domar och förundersökningsprotokoll som innehöll uppgifter även om målsägande och vittnen. Att Krimfup sedan dess lanserat en omgjord sajt innebär enligt IMY inte att det saknas skäl för ett föreläggande.
Vad händer nu?
Ungefär det vi bedömde inför beslutet: IMY slår ned på verksamheterna, men utan sanktionsavgift och utan omedelbar verkställighet.
Besluten kan överklagas till Förvaltningsrätten i Stockholm inom tre veckor. Överklagar bolagen vinner besluten inte laga kraft förrän domstolarna är klara, och fram till dess kan tjänsterna fortsätta. Överklagar de inte ska personsökningarna vara stoppade som tidigast i slutet av januari 2027.
Lexbase har redan meddelat att bolaget kommer att överklaga. I ett uttalande samma dag kallar Lexbase beslutet ”ett allvarligt ingrepp i den fria journalistiken” och anser att IMY gjort en ”långtgående övertolkning” av EU-domstolens förhandsavgörande – som enligt Lexbase bara gällde den tidigare verksamheten. Bolaget vill att domstol prövar både IMY:s bedömning och föreläggandets omfattning, och uppmanar regeringen att agera.
Krimfup har också meddelat att de tänker överklaga och har sagt till SVT:s Kulturnyheter att de anser att IMY:s bedömning är alltför långtgående och bygger på övertolkning av EU-domstolens förhandsavgörande.
Hur EU-domstolen kom fram till sin bedömning har vi förklarat i vår genomgång av förhandsavgörandet om Lexbase.
Frågor och svar om IMY:s beslut
Nej. Föreläggandet kräver inte att domar eller artiklar raderas, och de gäller inte förrän de har vunnit laga kraft. Kravet är att det inte ska gå att söka på namn, personnummer eller adress och få fram uppgifter om brott som gäller den eftersökta personen.
Beslutet som helhet klargör dock att behandlingen är i strid med GDPR. I förlängningen innebär detta att kopplingen namn och artikel troligen måste tas bort helt. Att ta bort personsöket är endast vad IMY förelägger (säger åt dem att göra), men de grundar det på en lagtolkning som även gör själva publiceringen i stort sett olaglig.
Senast två månader efter att beslutet vunnit laga kraft. Överklagar bolagen inte blir det som tidigast i slutet av januari 2027. Överklagar bolagen gäller inte IMY:s beslut förrän domstolarna är klara, vilket kan ta lång tid.
Ja, inom tre veckor från att de fått del av beslutet, och Lexbase har redan sagt att bolaget kommer att göra det. Överklagandet prövas av förvaltningsrätten i Stockholm (motsvarar tingsrätt, men för tvister som innefattar myndigheter) och kan sedan gå vidare till kammarrätten (motsvarar hovrätt) och sedan Högsta förvaltningsdomstolen, där det krävs prövningstillstånd. Besluten är separata, så det ena bolaget kan överklaga utan att det andra gör det.
Nej, inte nu. IMY skriver att överträdelserna normalt hade gett sanktionsavgift, men stannar vid en reprimand eftersom bolagen har utgivningsbevis och praxis saknats fram till nyligen. Följer ett bolag inte föreläggandet kan IMY ingripa igen – och då kan det bli sanktionsavgift.
Utgivningsbevisen finns kvar, men de skyddar inte mot GDPR i samma utsträckning. IMY bedömer att ingen av tjänsterna är journalistik och låter därför EU-rätten gå före yttrandefrihetsgrundlagen och dataskyddslagen.
Nej, inte direkt. Besluten gäller bara Lexbase.se och Krimfup.se. Men IMY:s resonemang är generellt – undantagen i dataskyddslagen är enligt myndigheten inte nödvändiga för ”söktjänster av det aktuella slaget”. Det har därför betydelse även för andra brottsdatabaser med utgivningsbevis.
Nej, inte besluten mot Lexbase och Krimfup. Däremot fattade IMY samma dag ett beslut om Mrkoll, som innebär att de måste radera personuppgifter när någon begär det.
Du kan begära radering enligt GDPR, och IMY:s beslut stärker den rätten: myndigheten konstaterar att GDPR gäller för tjänsterna trots utgivningsbevisen. Bolagen är dock inte skyldiga att ta bort enskilda domar på grund av besluten, och det är inte säkert att de går med på en sådan begäran – historiskt sett har de aldrig gjort det (de har tagit bort domar, men aldrig erkänt GDPR:s tillämplighet). Säger de nej kan du klaga till IMY.
Nej, inte av besluten. De gäller sökfunktionen på sajterna, inte sökresultat hos Google eller Bing. Sidor som redan finns i sökmotorerna ligger kvar tills sajterna ändras eller de tas bort via separat begäran.
Vi uppdaterar artikeln med en mer utförlig genomgång av besluten.