Jag har överklagat Integritetsskyddsmyndighetens beslut att avsluta ett klagomål som jag gjort mot Schibsted/Aftonbladets modell där användaren i praktiken får välja mellan att samtycka till behandling av personuppgifter för riktad reklam eller betala för att slippa.
Målet ligger nu hos Förvaltningsrätten i Stockholm och jag har skickat in ett yttrande som svar på IMY argumentation.
Det jag framför allt är intresserad av är följande:
Tror ni att jag kommer att vinna målet och få IMY beslut upphävt och ärendet återförvisat till myndigheten? Jag är särskilt intresserad av synpunkter från personer som kan förvaltningsrätt, GDPR eller tillsynsmyndigheters skyldigheter att utreda klagomål.
Det är viktigt att skilja på två frågor. Jag begär inte att Förvaltningsrätten i det här målet ska avgöra om Aftonbladets modell faktiskt strider mot GDPR. Mitt yrkande är betydligt snävare, det vill säga att IMY:s beslut ska upphävas och att myndigheten ska få göra en ny bedömning av hur klagomålet ska handläggas.
Bakgrunden är i korthet följande.
IMY valde att avsluta mitt klagomål utan någon egentlig utredning av Schibsteds modell. Myndigheten hänvisar bland annat till att man redan hade skickat ett informationsbrev till Schibsted, att flera liknande klagomål hade kommit in och att Europeiska dataskyddsstyrelsen, EDPB, arbetar med nya riktlinjer om så kallade "consent or pay"-modeller.
Min invändning är inte att IMY måste bedriva en fullständig tillsynsutredning varje gång någon skickar in ett klagomål. Frågan är i stället om IMY verkligen hade tillräckliga skäl för att avsluta just mitt klagomål utan någon ytterligare utredningsåtgärd.
Det finns några omständigheter som jag tycker gör målet särskilt intressant.
1. Schibsted verkar inte ha haft någon avsikt att rätta eventuella brister
IMY:s syfte med informationsbrevet var att Schibsted skulle få möjlighet att själv se över sin behandling och rätta eventuella brister. Men informationsbrevet innehöll inget krav på att Schibsted skulle svara IMY eller redovisa vilka åtgärder man tänkte vidta.
Jag kontaktade själv Aftonbladet/Schibsted och fick den 2 april ett skriftligt svar där bolaget i princip säger att man redan har analyserat modellen noggrant, att man anser att samtycket är frivilligt och att modellen uppfyller GDPR. Det är alltså inte fråga om ett företag som fått information från IMY och därefter upptäckt att något kanske borde ändras. Bolagets uttryckliga uppfattning verkar tvärtom vara att inget behöver rättas.
IMY har samtidigt ett internt arbetsdokument där ett av kriterierna för att avsluta ett klagomål med informationsbrev är att det framstår som sannolikt att mottagaren faktiskt kommer att vidta rättande åtgärder om behandlingen inte är förenlig med reglerna.
Schibsted har dessutom offentligt uppgett att striktare krav på samtycke skulle kunna innebära ett årligt intäktsbortfall på 400–500 miljoner norska kronor för koncernens verksamheter i Sverige och Norge.
Jag menar därför att det åtminstone borde krävas någon förklaring till varför IMY ansåg att ett informationsbrev utan svarskrav eller uppföljning var tillräckligt i just detta fall när det inte kan anses sannolikt att Schibsted skulle vidta rättande åtgärder.
2. IMY argument om kommande EDPB-riktlinjer känns motsägelsefullt
IMY säger samtidigt att man inte vill gå vidare med enskilda klagomål eftersom EDPB håller på att ta fram ytterligare riktlinjer om den här typen av modeller. Samtidigt så ska informationsbrev enligt IMY:s interna arbetsdokument enbart skickas när rättsläget är tydligt.
Jag tycker att det uppstår ett märkligt problem där. Om rättsläget redan är tillräckligt tydligt för att ett enkelt informationsbrev ska vara en lämplig och tillräcklig åtgärd, varför behöver IMY då avvakta kommande EDPB-riktlinjer? Om rättsläget tvärtom är så osäkert att myndigheten tycker att man bör vänta på nya riktlinjer, hur kan man samtidigt vara säker på att ett generellt informationsbrev utan svar eller uppföljning var tillräckligt?
Det finns dessutom redan bestämmelser i GDPR, EDPB riktlinjer om samtycke och EDPB yttrande 08/2024 om ”consent or pay”. IMY skriver även själv på sin webbplats att sådana modeller måste bedömas utifrån omständigheterna i varje enskilt fall.
3. IMY tycks ha utgått från fel datum
IMY skriver att mitt klagomål kom in den 13 april 2026, alltså efter att myndigheten skickade sitt informationsbrev till Schibsted den 1 april. Det används som en del av motiveringen till varför ytterligare åtgärder inte behövdes. Problemet är att jag skickade klagomålet till IMY e-postadress redan den 27 mars, och IMY bekräftade mottagandet samma dag.
Enligt 22 § förvaltningslagen är en handling som huvudregel inkommen när den når myndigheten. Att den eventuellt diarieförts eller registrerats senare borde därför inte förändra inkomstdagen.
Det innebär alltså att klagomålet kom in före informationsbrevet, inte efter. Eftersom IMY uttryckligen har använt tidpunkten som argument är frågan om det kan ha betydelse för domstolens bedömning.
4. IMY hänvisar till ett tidigare kammarrättsfall, men omständigheterna är ganska annorlunda
IMY stödjer sig bland annat på en dom från Kammarrätten i Stockholm där det godtogs att ett klagomål avslutades efter informationsbrev.
Men i det målet framhöll IMY att klagomålet inte rörde ett återkommande fall, att det saknades konkreta indikatorer på att den personuppgiftsansvarige skulle vara ointresserad av frivillig rättelse och att den påstådda överträdelsen inte bedömdes vara av allvarlig karaktär. Kammarrätten fäste dessutom vikt vid att det fanns konkreta uppgifter om den personuppgiftsansvariges rättsliga grund och syftet med behandlingen samt noterade att Region Uppsala enligt lagen(2010:1065) om kollektivtrafik har ansvar för kollektivtrafik. Det innebar att den rättsliga grund som uppgavs i det målet hade en konkret förankring i regionens lagreglerade verksamhet. Det gav kammarrätten ett konkret underlag för bedömningen att de befintliga förklaringarna räckte för att IMY inte skulle behöva utreda saken vidare.
Här tycker jag att situationen snarare är den motsatta.
Schibsted säger uttryckligen att modellen är förenlig med GDPR och inte behöver rättas, företaget har ett betydande ekonomiskt intresse av modellen och IMY har själv fått flera klagomål om samma företeelse.
Så vad tror Flashbacks juridiska expertis?
Är det här tillräckligt för att Förvaltningsrätten ska upphäva IMY beslut och återförvisa ärendet?
Eller kommer domstolen sannolikt att ge IMY ett så stort handlingsutrymme vid hanteringen av GDPR-klagomål att överklagandet avslås ändå?
Jag är särskilt intresserad av hur ni bedömer:
Hur stort handlingsutrymme artikel 57.1 f GDPR egentligen ger IMY.
Schibsteds uttryckliga inställning att modellen följer GDPR, vilket därmed utgör en indikation som talar emot frivillig rättelse.
Att informationsbrevet saknade krav på svar eller uppföljning, trots indikationer som talar emot frivillig rättelse och trots att informationsbrevets syfte var att ge tillfälle till frivillig rättelse om Schibsted finner att att modellen strider mot GDPR.
IMY egna kriterier för när informationsbrev är en lämplig avslutningsåtgärd.
Argumentet om EDPB kommande riktlinjer.
Betydelsen av den felaktiga inkomstdagen.
Sannolikheten för återförvisning eller avslag.
Hela mitt yttrande till Förvaltningsrätten, som är ett svar på Integritetsskyddsmyndighetens yttrande till Förvaltningsrätten, finns här för den som vill läsa argumentationen och källorna i sin helhet:
https://mega.nz/folder/ppIGXbZb#lhMilwppk5BMpHXzHxXiMw
IMY hänvisar till flera lagar och propositioner i sitt yttrande som jag bemöter i mitt yttrande, eftersom att IMY:s tolkning är felaktig.
Jag tar gärna emot kritik mot min argumentation också. Det intressanta är inte att folk håller med mig, utan om resonemanget faktiskt håller juridiskt och hur ni tror att Förvaltningsrätten kommer att döma.
Målet ligger nu hos Förvaltningsrätten i Stockholm och jag har skickat in ett yttrande som svar på IMY argumentation.
Det jag framför allt är intresserad av är följande:
Tror ni att jag kommer att vinna målet och få IMY beslut upphävt och ärendet återförvisat till myndigheten? Jag är särskilt intresserad av synpunkter från personer som kan förvaltningsrätt, GDPR eller tillsynsmyndigheters skyldigheter att utreda klagomål.
Det är viktigt att skilja på två frågor. Jag begär inte att Förvaltningsrätten i det här målet ska avgöra om Aftonbladets modell faktiskt strider mot GDPR. Mitt yrkande är betydligt snävare, det vill säga att IMY:s beslut ska upphävas och att myndigheten ska få göra en ny bedömning av hur klagomålet ska handläggas.
Bakgrunden är i korthet följande.
IMY valde att avsluta mitt klagomål utan någon egentlig utredning av Schibsteds modell. Myndigheten hänvisar bland annat till att man redan hade skickat ett informationsbrev till Schibsted, att flera liknande klagomål hade kommit in och att Europeiska dataskyddsstyrelsen, EDPB, arbetar med nya riktlinjer om så kallade "consent or pay"-modeller.
Min invändning är inte att IMY måste bedriva en fullständig tillsynsutredning varje gång någon skickar in ett klagomål. Frågan är i stället om IMY verkligen hade tillräckliga skäl för att avsluta just mitt klagomål utan någon ytterligare utredningsåtgärd.
Det finns några omständigheter som jag tycker gör målet särskilt intressant.
1. Schibsted verkar inte ha haft någon avsikt att rätta eventuella brister
IMY:s syfte med informationsbrevet var att Schibsted skulle få möjlighet att själv se över sin behandling och rätta eventuella brister. Men informationsbrevet innehöll inget krav på att Schibsted skulle svara IMY eller redovisa vilka åtgärder man tänkte vidta.
Jag kontaktade själv Aftonbladet/Schibsted och fick den 2 april ett skriftligt svar där bolaget i princip säger att man redan har analyserat modellen noggrant, att man anser att samtycket är frivilligt och att modellen uppfyller GDPR. Det är alltså inte fråga om ett företag som fått information från IMY och därefter upptäckt att något kanske borde ändras. Bolagets uttryckliga uppfattning verkar tvärtom vara att inget behöver rättas.
IMY har samtidigt ett internt arbetsdokument där ett av kriterierna för att avsluta ett klagomål med informationsbrev är att det framstår som sannolikt att mottagaren faktiskt kommer att vidta rättande åtgärder om behandlingen inte är förenlig med reglerna.
Schibsted har dessutom offentligt uppgett att striktare krav på samtycke skulle kunna innebära ett årligt intäktsbortfall på 400–500 miljoner norska kronor för koncernens verksamheter i Sverige och Norge.
Jag menar därför att det åtminstone borde krävas någon förklaring till varför IMY ansåg att ett informationsbrev utan svarskrav eller uppföljning var tillräckligt i just detta fall när det inte kan anses sannolikt att Schibsted skulle vidta rättande åtgärder.
2. IMY argument om kommande EDPB-riktlinjer känns motsägelsefullt
IMY säger samtidigt att man inte vill gå vidare med enskilda klagomål eftersom EDPB håller på att ta fram ytterligare riktlinjer om den här typen av modeller. Samtidigt så ska informationsbrev enligt IMY:s interna arbetsdokument enbart skickas när rättsläget är tydligt.
Jag tycker att det uppstår ett märkligt problem där. Om rättsläget redan är tillräckligt tydligt för att ett enkelt informationsbrev ska vara en lämplig och tillräcklig åtgärd, varför behöver IMY då avvakta kommande EDPB-riktlinjer? Om rättsläget tvärtom är så osäkert att myndigheten tycker att man bör vänta på nya riktlinjer, hur kan man samtidigt vara säker på att ett generellt informationsbrev utan svar eller uppföljning var tillräckligt?
Det finns dessutom redan bestämmelser i GDPR, EDPB riktlinjer om samtycke och EDPB yttrande 08/2024 om ”consent or pay”. IMY skriver även själv på sin webbplats att sådana modeller måste bedömas utifrån omständigheterna i varje enskilt fall.
3. IMY tycks ha utgått från fel datum
IMY skriver att mitt klagomål kom in den 13 april 2026, alltså efter att myndigheten skickade sitt informationsbrev till Schibsted den 1 april. Det används som en del av motiveringen till varför ytterligare åtgärder inte behövdes. Problemet är att jag skickade klagomålet till IMY e-postadress redan den 27 mars, och IMY bekräftade mottagandet samma dag.
Enligt 22 § förvaltningslagen är en handling som huvudregel inkommen när den når myndigheten. Att den eventuellt diarieförts eller registrerats senare borde därför inte förändra inkomstdagen.
Det innebär alltså att klagomålet kom in före informationsbrevet, inte efter. Eftersom IMY uttryckligen har använt tidpunkten som argument är frågan om det kan ha betydelse för domstolens bedömning.
4. IMY hänvisar till ett tidigare kammarrättsfall, men omständigheterna är ganska annorlunda
IMY stödjer sig bland annat på en dom från Kammarrätten i Stockholm där det godtogs att ett klagomål avslutades efter informationsbrev.
Men i det målet framhöll IMY att klagomålet inte rörde ett återkommande fall, att det saknades konkreta indikatorer på att den personuppgiftsansvarige skulle vara ointresserad av frivillig rättelse och att den påstådda överträdelsen inte bedömdes vara av allvarlig karaktär. Kammarrätten fäste dessutom vikt vid att det fanns konkreta uppgifter om den personuppgiftsansvariges rättsliga grund och syftet med behandlingen samt noterade att Region Uppsala enligt lagen(2010:1065) om kollektivtrafik har ansvar för kollektivtrafik. Det innebar att den rättsliga grund som uppgavs i det målet hade en konkret förankring i regionens lagreglerade verksamhet. Det gav kammarrätten ett konkret underlag för bedömningen att de befintliga förklaringarna räckte för att IMY inte skulle behöva utreda saken vidare.
Här tycker jag att situationen snarare är den motsatta.
Schibsted säger uttryckligen att modellen är förenlig med GDPR och inte behöver rättas, företaget har ett betydande ekonomiskt intresse av modellen och IMY har själv fått flera klagomål om samma företeelse.
Så vad tror Flashbacks juridiska expertis?
Är det här tillräckligt för att Förvaltningsrätten ska upphäva IMY beslut och återförvisa ärendet?
Eller kommer domstolen sannolikt att ge IMY ett så stort handlingsutrymme vid hanteringen av GDPR-klagomål att överklagandet avslås ändå?
Jag är särskilt intresserad av hur ni bedömer:
Hur stort handlingsutrymme artikel 57.1 f GDPR egentligen ger IMY.
Schibsteds uttryckliga inställning att modellen följer GDPR, vilket därmed utgör en indikation som talar emot frivillig rättelse.
Att informationsbrevet saknade krav på svar eller uppföljning, trots indikationer som talar emot frivillig rättelse och trots att informationsbrevets syfte var att ge tillfälle till frivillig rättelse om Schibsted finner att att modellen strider mot GDPR.
IMY egna kriterier för när informationsbrev är en lämplig avslutningsåtgärd.
Argumentet om EDPB kommande riktlinjer.
Betydelsen av den felaktiga inkomstdagen.
Sannolikheten för återförvisning eller avslag.
Hela mitt yttrande till Förvaltningsrätten, som är ett svar på Integritetsskyddsmyndighetens yttrande till Förvaltningsrätten, finns här för den som vill läsa argumentationen och källorna i sin helhet:
https://mega.nz/folder/ppIGXbZb#lhMilwppk5BMpHXzHxXiMw
IMY hänvisar till flera lagar och propositioner i sitt yttrande som jag bemöter i mitt yttrande, eftersom att IMY:s tolkning är felaktig.
Jag tar gärna emot kritik mot min argumentation också. Det intressanta är inte att folk håller med mig, utan om resonemanget faktiskt håller juridiskt och hur ni tror att Förvaltningsrätten kommer att döma.
__________________
Senast redigerad av Victor-Cronhielm 2026-10-06 kl. 18:39.
Senast redigerad av Victor-Cronhielm 2026-10-06 kl. 18:39.
