Citat:
Ursprungligen postat av
Iq143
Nej, inte helt. Det stämmer att en privatperson kan vara personuppgiftsansvarig enligt GDPR och att läsning/användning av personuppgifter är en behandling enligt artikel 4.2.
Men en privatpersons sökning av en löneuppgift på Ratsit omfattas ofta av privatundantaget i artikel 2.2 c om det sker för rent privat bruk. Det blir därför inte automatiskt en GDPR-behandling med krav på rättslig grund.
Även om GDPR skulle gälla krävs en faktisk överträdelse och en skada för att artikel 82 om skadestånd ska kunna användas. Att någon köper eller läser en offentlig uppgift innebär alltså inte i sig ett skadeståndsansvar.
Artikel 2.2 i GDPR.
"Denna förordning ska inte tillämpas på behandling av personuppgifter som
a) utgör ett led i en verksamhet som inte omfattas av unionsrätten,
b) utförs av medlemsstaterna när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget,
c) utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll,
d) utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder..."
Artikel 2.2 GDPR (tillämpningsområde) räknar upp fyra undantag där förordningen inte gäller.
Punkt c, på svenska
"Denna förordning ska inte tillämpas på behandling av personuppgifter som... utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll"
Skäl 18 i ingressen ger viss vägledning:
"Denna förordning tillämpas inte på fysiska personers behandling av personuppgifter i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll, och som därför saknar koppling till en yrkesmässig eller kommersiell verksamhet. Verksamhet av privat natur eller som har samband med hushållet skulle kunna omfatta korrespondens och förandet av en adressbok eller användning av sociala nätverk och nätaktiviteter som bedrivs inom ramen för sådan verksamhet."
https://eur-lex.europa.eu/legal-content/SV/TXT/?uri=CELEX:32016R0679
Då uppstår följdfrågan:
Vad är den "privata naturen" i att snoka i folks inkomstuppgifter genom att köpa dem från Ratsit?
Vad som faktiskt avgör enligt skäl 18 och praxis är om verksamheten har karaktären av att förvalta ens egen privata sfär, eller om den istället riktar sig utåt mot en annan persons förhållanden.
Titta på skäl 18:s exempel igen: adressbok, korrespondens, sociala nätverksaktiviteter.
Vad har de gemensamt? De handlar alla om att sköta sina egna relationer och sitt eget sociala liv, mina kontakter, min brevväxling, mina inlägg. Det är administrationen av den egna privata sfären.
Att köpa en lönekoll på en annan, namngiven person är strukturellt något helt annat.
Det är inte att förvalta din egen sociala krets, det är att inhämta information om någon annans ekonomiska förhållanden, någon som inte gett sitt samtycke och inte ens vet om det. Det finns inget i skäl 18:s exempel som pekar mot att "undersöka en annan persons privatekonomi av nyfikenhet" skulle falla inom den kategorin, det liknar mer utredning eller övervakning av en tredje part än hushållsadministration.
Ren nyfikenhetsdriven sökning på en annan namngiven persons lön och förmögenhet, utan någon koppling till köparens egen hushålls eller familjeadministration, skyddas inte av artikel 2.2 c, inte för att tjänsten är kommersiell, utan för att aktiviteten i sig (gräva i en annan persons ekonomi) inte har den karaktär av "egen privat sfär" som undantaget är byggt för att skydda.
Det ligger närmare "utredning av en tredje part" än "adressbok eller korrespondens".
EU-domstolen själv tillämpade i C-199/24 (§39, om artikel 85.2), så ska undantag från en förordnings huvudregel tolkas restriktivt. Utgångspunkten är alltså att GDPR gäller; den som åberopar ett undantag har bevisbördan för att just deras situation faller innanför det.
Det gemensamma för samtliga exempel är att de handlar om förvaltning av den egna privata sfären, mina kontakter, min brevväxling, mitt sociala umgänge. Undantaget är byggt för aktiviteter riktade inåt, mot den egna livsföringen, inte mot aktiviteter riktade utåt.
Tidigare EU-praxis bekräftar en synnerligen snäv tolkning, riktad mot just den här gränsen:
Lindqvist (C-101/01): en privatperson som publicerade uppgifter om kollegor på en hemsida tillgänglig för obestämd krets ansågs falla utanför undantaget.
Ryneš (C-212/13): en privatperson vars övervakningskamera även fångade allmän mark utanför det egna hemmet ansågs falla utanför undantaget, eftersom kameran (delvis) riktades utåt.
Det gemensamma mönstret i båda avgörandena är inte spridning i sig, utan att aktiviteten riktas mot eller påverkar tredje part utanför den egna, slutna kretsen.
Domstolen har konsekvent snävat in undantaget varje gång det prövats, aldrig vidgat det.
Att köpa en lönekoll på en namngiven, för köparen extern person är strukturellt en utåtriktad handling i exakt den mening domstolen fäst vikt vid i Lindqvist och Ryneš, det är inte administration av den egna kretsen (adressbok, korrespondens), utan inhämtning av information om en tredje parts personliga förhållanden, en person som inte gett samtycke och inte vet om att sökningen sker.
Det ligger begreppsmässigt närmare "riktad informationsinhämtning om annan" än "hushållsnära administration av mina egna relationer"
Därför gäller inte privatundantaget.
Citat:
Ursprungligen postat av
Roctane
I tråden om Lexbase-fallet har det diskuterats kring just detta, fast att begära ut samma uppgifter från Lexbase och Verifiera AB och sedan rikta skadeståndskrav mot arbetsgivare man sökt hos samt rekryteringsbolag. Eftersom att dessa företag är ganska trotsiga har jag funderat på ifall det är bäst att vänta tills de förklaras i konkurs, och sedan begära ut uppgifterna från konkursförvaltaren. Vad tycker du om detta?
Det är väl en idé, frågan är väl snarare vilket händelseförlopp är snabbast:
Skicka in skadeståndskrav nu, och det tar 1-2 år innan domstolarna processar klart det, alternativt invänta, eventuell konkurs, som är när, om 1-2 år och skicka in då?
Citat:
Ursprungligen postat av
Barrington1975
Kanske kan man få något skadestånd av Ratsit då? I deras marknadsföring trycker de ju just på att det är 100% anonymt.
Jag har kollat upp lite vad branschkollegor tjänar, det skulle kunna vara lite pinsamt för mig.
Ratsits marknadsföring lär mot bakgrund av den utvecklande rättspraxisen inom EU-rätt rörande GDPR och utgivningsbevis klassificeras som vilseledande marknadsföring, då det inte alls är anonymt som man påstår.
https://www.konsumentverket.se/lagar/marknadsforingslagen-konsument/
En anmälan för vilseledande marknadsföring är väl också på sin plats.
https://www.konsumentverket.se/om-oss/anmala-till-konsumentverket/
Vidare dock, så brister ju då Ratsit än en gång mot GDPR, artikel 13.
Enligt artikel 13 ska Ratsit informera köparen korrekt om hur deras uppgifter kommer hanteras och
vilka risker som finns, exempelvis att identiteten kan komma att lämnas ut till den uppslagne. Att istället marknadsföra en absolut anonymitetsgaranti som inte stämmer är en form av bristande, missvisande information gentemot den egna kunden.
Citat:
Ursprungligen postat av
hieroboam
Nej, det finns ett uttryckt undantag för privat bruk. Eller menar du att det inte gäller om man fick tag på datan fel?
Se svaret högst ovanför i detta citat.
