Integritetsskyddsmyndigheten kräver att Lexbase och Krimfup ändrar sina söktjänster så att det inte längre går att söka fram brottsuppgifter om personer på samma sätt som tidigare. Samtidigt får Mrkoll och Upplysning kritik för att inte ha respekterat privatpersoners rätt att få sina uppgifter raderade. Besluten kommer efter tusentals klagomål.

Integritetsskyddsmyndigheten (IMY) meddelade den 3 november 2026 fyra tillsynsbeslut mot några av Sveriges mest kända söktjänster för personuppgifter. Myndigheten har fått omkring 3 800 klagomål mot de berörda företagen.

Samtliga fyra får reprimander för överträdelser av dataskyddsreglerna. Men besluten skiljer sig åt när det gäller vad företagen faktiskt måste göra.

För Lexbase och Krimfup handlar det om konkreta krav på att förändra tjänsterna. För Mrkoll och Upplysning gäller kritiken framför allt hur företagen hanterat begäranden om att ta bort personuppgifter.

Lexbase och Krimfup måste ändra sina sökfunktioner

IMY har beslutat att Legal Newsdesk Sweden AB, som driver Lexbase, och Fuplex AB, som driver Krimfup, måste vidta åtgärder så att brottsuppgifter inte längre kan sökas fram med hjälp av personnamn, personnummer eller adress.

Det gäller också sökfunktioner där användaren på andra sätt kan koppla en identifierad person till uppgifter om brott.

Myndigheten anser att företagens behandling av dessa uppgifter saknar tillräckligt rättsligt stöd.

Besluten innebär däremot inte att Lexbase och Krimfup omedelbart måste stänga sina webbplatser. De är inte heller ett generellt förbud mot att publicera domstolshandlingar eller bedriva journalistik om brott.

Det är möjligheten att söka fram brottsuppgifter om enskilda personer som står i centrum för ingripandena.

Företagen ska ha genomfört ändringarna senast två månader efter att respektive beslut har vunnit laga kraft.

Det innebär att tidsfristen inte automatiskt löper ut två månader efter beslutsdatumet den 3 november. Om besluten överklagas kan tidpunkten påverkas.

Mrkoll och Upplysning får kritik för utebliven radering

De två andra besluten gäller en annan del av dataskyddslagstiftningen: rätten att få personuppgifter raderade.

IMY anser att Nusvar AB, som driver Mrkoll, och Upplysning Checknode AB, som driver Upplysning, har brutit mot artikel 17 i dataskyddsförordningen, GDPR.

Enligt myndigheten har företagen inte hanterat privatpersoners begäranden om radering på det sätt som reglerna kräver.

Mrkoll har under tillsynen uppgett att bolaget raderat uppgifter i flera av de granskade ärendena och infört en tjänst där användare kan identifiera sig med BankID för att hantera sina uppgifter.

IMY konstaterar ändå att flera begäranden hanterats först efter myndighetens ingripande.

Upplysning pausade allmänhetens tillgång till sin söktjänst den 20 augusti 2026 inför en omarbetning. Företaget har uppgett att tjänsten ska återlanseras.

Till skillnad från besluten mot Lexbase och Krimfup innehåller dessa två beslut inget särskilt föreläggande om att ändra en sökfunktion inom två månader. Skyldigheten att följa GDPR gäller ändå.

Därför räcker inte företagens utgivningsbevis

En central fråga i granskningen är att samtliga fyra tjänster har utgivningsbevis, vilket ger databaserna ett grundlagsskydd enligt yttrandefrihetsgrundlagen.

Företagen har under tillsynen hänvisat till detta skydd och argumenterat för att deras verksamheter helt eller delvis omfattas av undantag från GDPR.

IMY gör en annan bedömning.

Myndigheten anser att de omfattande, sökbara sammanställningarna av personuppgifter inte omfattas av undantaget för journalistiska ändamål på det sätt som företagen hävdat.

Bedömningen bygger bland annat på rättsutvecklingen i svenska domstolar och EU-domstolen, där förhållandet mellan dataskydd och yttrandefrihet har prövats.

Besluten innebär inte att alla webbplatser med utgivningsbevis automatiskt omfattas av identiska begränsningar. IMY har bedömt de aktuella företagens verksamheter och hur personuppgifter behandlas i deras tjänster.

Så kan du begära att dina uppgifter tas bort

För privatpersoner aktualiserar besluten en viktig fråga: vad kan man göra om ens namn, adress eller andra personuppgifter finns på en söktjänst?

Den som vill få uppgifter borttagna behöver normalt börja med att kontakta företaget som publicerar informationen.

En begäran om radering kan göras med hänvisning till artikel 17 i GDPR. Det är klokt att beskriva vilka uppgifter det gäller och spara en kopia av begäran.

Företaget ska normalt svara inom en månad. I vissa mer komplicerade ärenden får svarstiden förlängas enligt reglerna.

Om företaget vägrar radera uppgifterna eller inte svarar kan den enskilde lämna ett klagomål till IMY.

Rätten till radering är dock inte absolut. Det kan finnas situationer där exempelvis yttrande- och informationsfriheten väger tyngre.

IMY har i de aktuella besluten mot Mrkoll och Upplysning bedömt att privatpersonernas integritetsintressen som utgångspunkt väger tyngre när det gäller den granskade behandlingen.

Myndigheten har också en vägledning för den som vill få bort personuppgifter från söktjänster.

Det är viktigt att skilja mellan att uppgifter tas bort från en söktjänst och att en offentlig handling försvinner. En domstolshandling kan fortfarande vara offentlig även om den inte längre går att hitta genom en viss kommersiell sökfunktion.

Inga böter – men företagen kan överklaga

Trots de konstaterade överträdelserna beslutar IMY inte om några sanktionsavgifter mot de fyra företagen.

Myndigheten har bland annat tagit hänsyn till det tidigare oklara rättsläget och åtgärder som företagen vidtagit.

Lexbase och Krimfup får däremot bindande förelägganden om förändringar av sina tjänster, utöver reprimanderna.

Samtliga företag har möjlighet att överklaga besluten till Förvaltningsrätten i Stockholm. Överklagandet ska lämnas till IMY inom tre veckor från det att respektive företag fick del av sitt beslut.

Det är ännu inte bekräftat om något av bolagen kommer att överklaga.

De fyra besluten från IMY markerar därmed ett tydligt ingripande mot hur personuppgifter används i svenska söktjänster. Hur snabbt förändringarna får genomslag beror bland annat på om besluten överklagas och när föreläggandena mot Lexbase och Krimfup vinner laga kraft.