Ratsits "lönekollar" inte längre anonymt - går att få ut identiteten på köpare

Ja den gavs ut första gången 1905. Tämligen övertygad om att TS långtgående tolkning är felaktig. Stor skillnad på domar och inkomstuppgifter.

Att det är skillnad förstår man, jag menar om inte Ratsit eller andra liknande sidor får ge ut inkomstuppgifter så kan väl inte taxeringskalender heller få finnas kvar?

Bara för att det handlar om en specifik typ av publicering av brottmålsdomar och kan inte direkt överföras stämmer inte för de delar av domen i C199/24 som faktiskt är generella.

Två saker att skilja på :

1) Kapitel VIII-resonemanget (rättsmedlen) är inte alls knutet till brottmålsdomar. Domstolens slutsats att artikel 85 aldrig kan användas för att undanta kapitel VIII (klagorätt, skadestånd) är en ren strukturell/textuell tolkning av hur artikel 85.1 och 85.2 hänger ihop, den bygger inte på vilken typ av uppgifter det rör sig om.

Den delen av domen gäller lika mycket för inkomstuppgifter som för brottmålsdomar. Det är den delen som är starkast och mest direkt överförbar till Ratsit.

2) Fyrastegstestet för "journalistiska ändamål" (punkt 73) är också generellt, det bygger på Europadomstolens allmänna presspraxis (Axel Springer, Fressoz och Roire, Ólafsson m.fl.), inte på något som är specifikt för brottsuppgifter.

Domstolen är dessutom uttryckligen tydlig på just den punkt kritikern lyfter: i punkt 69 skriver domstolen att varken att verksamheten bedrivs mot ersättning på internet eller att uppgifterna rör brottmålsdomar i sig utesluter att behandlingen ändå kan vara journalistisk. Det är alltså domstolen själv som säger att ämnestypen (brottmål) inte är avgörande, vilket motsäger tanken att domen skulle vara låst till just den kategorin av uppgifter.



Det fanns redan innan C199/24 kom, pågående rättsprocesser mot bl.a. Skatteverket här i Sverige, där NOYB stämt Skatteverket för att de säljer inkomstuppgifter till bl.a Ratsit och Taxeringskalendern.

Just nu är stämningen av Skatteverket överklagad till HFD, mål nr 4446-26.

Stämningen av Skatteverket lutade sig även mot ett annan EU-dom, C-73/07 som kom 2008.

C-73/07
https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:62007CJ0073

Denna dom behandlade hur en liknande verksamhet till Ratsit, fast i Finland, kunde klassificeras som journalistik. Redan 2008, konstaterade EU-domstolen att inkomstuppgifter kategoriseras som personuppgifter och därför är GDPR tillämpligt.

I Finland kunde du SMS:a Satamedia Oy, och för 2€ få tillgång till en persons förmögenhets och inkomstuppgifter. När förhandsavgörandet väl kom, så beslutande den hänskjutande domstolen i Finland att klassificera att SMS-tjänsten bröt mot GDPR och varpå finska dataskyddsmyndigheten förbjöd SMS-tjänsten.

När SMS-tjänsten väl förbjöds, så överklagades detta till Europa-domstolen för mänskliga rättigheter
(931/13), då man ansåg att det var ett alldeles för stort ingrepp i artikel 10 (yttrandefrihet) kontra artikel 8 (rätten till privatliv).

Europa-domstolen för mänskliga rättigheter, gav finska dataskyddsmyndigheten rätt, där man ansåg att det var rätt att förbjuda SMS-tjänsten i domen, 931/13 år 2017. Rätten till privatliv vägde alltså tyngre.

931/13
https://hudoc.echr.coe.int/eng?i=001-175121

SMS-tjänsten som är den funktionellt jämförbara produkten med Ratsits Lönekoll, sök på en specifik person, få omedelbart svar om just den personens ekonomiska uppgifter.

Intressant nog vägde den finska domstolen, att leveransformen av inkomstuppgifter, hade en stor betydelse, där den tryckta katalogen åtnjöt ett journalistiskt undantag, men inte SMS-tjänsten som räknades som en sökbar, personifierad, betalningsbaserad uppslagstjänst.

Så det finns redan prejudikat på EU-nivå rörande inkomstuppgifter, och en nationell tillämpning av det specifika förhandsavgörandet, fast i grannlandet Finland

Hur svensk domstol skulle klassificera Taxeringskalendern i tryckformat, är oklart, men antagligen skulle det falla under det journalistiska undantaget, medan Ratsit i helhet skulle förbjudas då det är en renodlad databastjänst. Precis som den finska dataskyddsmyndigheten förbjöd SMS-tjänsten i Finland.

Så sammanfattningsvis ser det väldigt mörkt ut för Ratsits fortsätta verksamhet, om inte för att hela affärsmodellen lär fullständigt kollapsa då kunder lär bli rädda att köpa kollar, då det inte längre går att garantera anonymitet, då man kan lätt få ut identiteten på köpare genom GDPR.

Men så också för att IMY lär väl gå på hårt mot Ratsit när de är klara med sina tillsyner mot rättsdatabaserna och förbjuda Ratsit, precis som finska dataskyddsmyndigheten gjorde med motsvarigheten i Finland där man hade en SMS-tjänst folk kunde kolla upp folks deklarerade inkomstuppgifter.

Sen om NOYB vinner i HFD och Skatteverket inte får dela med sig av inkomstuppgiter till privata företag, ja, då är det godnatt för hela affärsverksamheten där också för Ratsit då de hämtar in allt från Skatteverket.

Kan vara av intresse att se vad ens kollegor tjänar för att få ett bättre hum om var man själv bör lägga sig i löneförhandlingar.

Kommer att ha absolut noll effekt .
Då folk bara kommer att gå via nåt bolag eller annan person som agerar målvakt .
I slutändan kan kriminella helt ostörd tanka hem uppgifter om dig ,medan du inte kan få veta om de är kriminella

Skatteverket kommer antagligen inte fortsätta att lämna ut inkomstuppgifter via API till bolag som inte följer GDPR.

Troligtvis kommer du, kriminella, mfl, fortfarande kunna få ut inkomstuppgifter från Skatteverket på papper brevledes och i begränsad mängd.

Om man arbetar på en arbetsplats där det råder sådan tystnadskultur är det nog dags att söka sig ett nytt jobb, känns inte som någon trevlig arbetsmiljö. Vilka andra ämnen har arbetsgivaren skrämt er till tystnad om?

Företag får absolut inte lämna ut sitt kundregister till en privatperson. Det i sig vore ett brott mot GDPR. Att en dömd kan begära ut info om vem som plockat ut ens dom från tex tingsrätten handlar ju om att en begäran som inkommer dit blir en offentlig handling. Ett företags kundregister är under inga omständigheter en offentlig handling.

Gällande Lexbase mfl måste man hålla isär den "journalistiska" verksamheten (där den publicerade informationen finns) och själva affärsverksamheten (där kunderna finns).

De dömda har enl GDPR rätt att få ut den info som finns lagrade om dem själva, samt att på begäran få den raderad.

Det enda som skulle kunna tvinga Lexbase mfl att lämna ut sitt kundregister är en ev brottsutredning och ett domstolsbeslut.

Skadeståndskrav på privatpersoner? Genom en lag som bara gäller organisationer? Tveksamt.

folk med hög lön ljuger oftast om sin lön. Om jag tjänar 5 tusen mer än min kollega så kommer hen sacka efter och lassa över arbetsuppgifter på mig, lite osynligt och diskret.

Börja med att läsa EU domarna jag länkat, specifikt C-154/21.

Artikel 15.1 c ger dig rätt att få veta vilka mottagare som tagit del av just DINA personuppgifter, inte en lista över Ratsits alla kunder i allmänhet.

Det är en smal, personspecifik fråga:
"av alla som köpt något av er, vilka har köpt en koll specifikt på mig?"

Det är strukturellt en helt annan sak än att begära ut ett generellt kundregister, och det är exakt den distinktionen GDPR:s artikel 15.1 c är byggd för att hantera.

Köparens namn är också köparens egen personuppgift, och det finns en avvägningsregel i GDPR (artikel 15.4 och skäl 63) som säger att rätten till tillgång inte får inkräkta otillbörligt på andras fri och rättigheter. Det är en genuin motvikt.

Men om den motvikten alltid fick väga tyngre skulle artikel 15.1c aldrig kunna tillämpas överhuvudtaget eftersom en mottagare per definition är en identifierbar person eller ett företag, och att namnge en mottagare alltid innebär att man avslöjar den mottagarens identitet.

Bestämmelsen skulle vara innehållslös om den kunde blockeras just genom att mottagaren är en identifierbar person.

Det är också precis den typen av invändning Österreichische Post reste i C-154/21 (att det är för betungande & inkräktande att peka ut enskilda mottagare), och EU-domstolen avvisade den invändningen och fastslog att den registrerade har rätt till den faktiska identiteten, så länge den är känd för den personuppgiftsansvarige, med endast begränsade undantag (uppenbart ogrundade & orimliga begäranden enligt artikel 12.5, eller om mottagarna faktiskt inte går att identifiera).

GDPR gäller inte enbart organisationer, utan även privatpersoner.

Artikel 4.7 GDPR, definitioner:

"Personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

Mottagare: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ till vilket personuppgifterna utlämnas, vare sig det är en tredje part eller inte"

https://eur-lex.europa.eu/legal-content/SV/TXT/?uri=CELEX:32016R0679

När en privatperson eller ett företag köper och läser av din löneuppgift på Ratsit, utför den personen samtidigt en egen behandling av dina personuppgifter (att "läsa" och "använda" räknas som behandling, artikel 4.2). I den stunden blir köparen själv personuppgiftsansvarig för just den behandlingen, det är köparen som bestämmer ändamålet ("jag vill veta X person löneuppgift") och medlen (söker via Ratsit).

Köparens egen sökning --> en självständig behandling, vilket gör köparen till personuppgiftsansvarig för just den handlingen (artikel 4.7).

Om den behandlingen saknar rättslig grund (artikel 6) --> så aktiveras artikel 82 i GDPR där man kan kräva skadestånd av köparen (personuppgiftsansvarig).