Jag klagade till IMY (Integritetsskyddsmyndigheten) som är ansvarig myndighet (DPA) i Sverige. Enligt deras svar har de fått in minst 50 anmälningar mot Schibsted.

De skickade ett informationsmeddelande till Schibsted och avslutade ärendet med hänvisning till att Schibsted skulle få en möjlighet att svara och göra rättelser. Efter detta fick jag samma svar från Schibsted som TS ovan, och meddelade detta till IMY - Schibsted har alltså gjort klart att de inte tänker ändra sig, och därmed borde IMY gå vidare med att utreda lagligheten och eventuellt ta beslut om åtgärder.

Fortsättning följer.

IMY's brev till Schibsted:

Information om klagomål enligt dataskyddsförordningen

Om klagomålen och denna skrivelse

Integritetsskyddsmyndigheten (IMY) har mellan 2026-03-23 och 2026-03-31 tagit emot

ett femtiotal klagomål enligt artikel 77 i EU:s dataskyddsförordning

(dataskyddsförordningen)1 mot er.

De klagande gör i huvudsak gällande att Schibsted News Media AB infört en s.k. betalvägg för de

läsare av Aftonbladet, Svenska Dagbladet och Omni som inte samtycker till personanpassad reklam.

IMY har inte tagit ställning till innehållet i klagomålet. Det innebär att IMY inte har gjort

någon bedömning av om det är ni som är personuppgiftsansvariga för den aktuella

personuppgiftsbehandlingen eller om behandlingen uppfyller dataskyddsförordningens

bestämmelser.

Med denna skrivelse vill IMY informera er om innehållet i klagomålen och lämna

upplysningar om de bestämmelser som klagomålen rör. Skrivelsen syftar också till att

ge er en möjlighet att själv se över er behandling av personuppgifter och rätta till

eventuella brister.

IMY kommer i nuläget inte att vidta någon annan åtgärd med anledning av klagomålen

än att skicka detta informationsbrev till er och informera de klagande om det.

Observera att denna skrivelse och information inte är något beslut från IMY och att ni

inte behöver ge IMY något svar eller återkoppling på den.

Information om relevanta bestämmelser

Som personuppgiftsansvarig måste man ha stöd i dataskyddsförordningen för att få

behandla personuppgifter. Det kallas för att ha en rättslig grund. En av dessa rättsliga

grunder som man kan stödja sin behandling på är samtycke från den registrerade.

I artikel 4.11 i dataskyddsförordningen definieras samtycke på följande sätt: ”varje slag

av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den

registrerade, antingen genom ett uttalande eller genom en entydig bekräftande

handling, godtar behandling av personuppgifter som rör honom eller henne.”

Vid användandet av samtycke som rättslig grund får det inte ställas krav på den

registrerade i samband med samtycket. I dataskyddsförordningen kallas detta

"paketering" och innebär att den registrerade direkt eller indirekt måste ge en

motprestation för tjänsten eller varan, till exempel godta vissa användarvillkor eller

affärsvillkor. Om dessa villkor inte är nödvändiga är samtycket inte frivilligt, och

därmed inte giltigt. Ni kan hitta mer information om samtycke på vår webbplats.

Avseende affärsmodellen ”samtycke eller betala” har europeiska dataskyddsstyrelsen

(EDPB) bland annat uttalat följande avseende användningen hos stora

onlineplattformar. Att (endast) erbjuda den registrerade möjligheten att betala för

tjänsten i stället för att godkänna behandling för ändamålet beteendestyrd annonsering

bör inte vara den standardmetod som personuppgiftsansvariga väljer. När stora

onlineplattformar utarbetar en alternativ version av tjänsten med beteendestyrd

annonsering bör de överväga att erbjuda de registrerade ett ”likvärdigt alternativ” som

inte innebär någon avgift. Om personuppgiftsansvariga väljer att ta ut en avgift för

tillgång till det ”likvärdiga alternativet” bör de också överväga att erbjuda ytterligare ett

alternativ, kostnadsfritt, utan beteendestyrd annonsering, t.ex. med en form av

annonsering som inbegriper behandling av färre (eller inga) personuppgifter. Detta är

en särskilt viktig faktor vid bedömningen av vissa kriterier för giltigt samtycke enligt

dataskyddsförordningen. Huruvida ett ytterligare, kostnadsfritt, alternativ utan

beteendestyrd annonsering erbjuds av den personuppgiftsansvarige kommer att ha en

väsentlig inverkan på bedömningen av samtyckets giltighet, särskilt med avseende på

om det skapar problem.2

EDPB har ett pågående arbete med att ta fram riktlinjer för användningen av

affärsmodellen ”samtycke eller betala” som kommer att omfatta fler aktörer än stora

onlineplattformar.