Suecia
Decisão da autoridade sueca de proteção de dados determina mudanças em plataformas que permitem consultar históricos criminais por nome, endereço ou número de identificação. Medida reforça a aplicação do GDPR e reacende o debate sobre os limites entre publicidade de informações judiciais, liberdade de imprensa e privacidade.
A Autoridade Sueca para a Proteção da Privacidade (Integritetsskyddsmyndigheten — IMY) anunciou, em 3 de novembro de 2026, uma série de decisões contra quatro empresas responsáveis por plataformas digitais de consulta de informações pessoais. A fiscalização identificou irregularidades no tratamento de dados relacionados a infrações penais e no atendimento de solicitações de exclusão de informações formuladas pelos titulares.
As decisões atingem os serviços Lexbase, Krimfup, MrKoll e Upplysning, que disponibilizam informações sobre cidadãos suecos por meio de mecanismos de busca acessíveis ao público.
A medida representa um importante desenvolvimento na interpretação do Regulamento Geral de Proteção de Dados da União Europeia (GDPR), especialmente quanto à utilização comercial de informações obtidas de registros públicos.
Segundo a IMY, aproximadamente 3.800 reclamações foram apresentadas contra as empresas investigadas.
O principal entendimento da autoridade é que a publicidade de documentos oficiais não autoriza, por si só, sua coleta sistemática, indexação e disponibilização indiscriminada em plataformas privadas.
A Suécia possui uma tradição jurídica de transparência administrativa, sustentada pelo princípio da publicidade dos documentos oficiais, conhecido como offentlighetsprincipen.
Esse modelo permite que cidadãos tenham acesso a determinadas informações produzidas ou mantidas pelo poder público, incluindo decisões judiciais, respeitadas as restrições legais aplicáveis.
Empresas privadas desenvolveram serviços que exploram comercialmente essa disponibilidade de informações.
Plataformas como Lexbase e Krimfup passaram a organizar documentos judiciais em bases eletrônicas, permitindo que usuários realizassem consultas por identificadores pessoais.
Em determinadas modalidades, o interessado podia pesquisar o nome de alguém, verificar sua associação a procedimentos ou decisões judiciais e pagar para consultar documentos relacionados.
O funcionamento dessas plataformas envolve operações de tratamento de dados que ultrapassam o simples acesso individual a um documento público.
Entre essas operações estão a coleta, a organização, o armazenamento, a indexação, a recuperação e a divulgação de informações pessoais.
Sob a perspectiva técnica do GDPR, cada uma dessas atividades constitui tratamento de dados pessoais, nos termos do artigo 4º, item 2.
A diferença é relevante: o fato de uma informação estar disponível em um processo judicial não significa que sua exploração comercial, em larga escala, esteja automaticamente autorizada.
A consolidação de milhares de registros individuais em mecanismos de busca pode produzir efeitos sobre a privacidade substancialmente diferentes daqueles decorrentes da consulta a documentos isolados.
A IMY realizou quatro procedimentos de fiscalização, com conclusões distintas conforme a natureza das irregularidades identificadas.
Lexbase — Legal Newsdesk Sweden AB
A autoridade concluiu que a empresa tratou informações relacionadas a infrações penais sem o suporte jurídico exigido pelo artigo 10 do GDPR.
Além de receber uma reprimenda formal, a empresa foi obrigada a adotar medidas para impedir que usuários obtenham informações abrangidas por esse dispositivo mediante pesquisas por nome, número de identificação pessoal ou endereço.
Krimfup — Fuplex AB
A fiscalização identificou irregularidade equivalente no tratamento de informações criminais.
A empresa também recebeu reprimenda e determinação para modificar o funcionamento de seu mecanismo de busca.
MrKoll — Nusvar AB
Nesse caso, a análise concentrou-se no cumprimento do direito à exclusão de dados pessoais.
A autoridade concluiu que a empresa não havia atendido adequadamente às exigências do artigo 17 do GDPR.
Upplysning — Upplysning Checknode AB
A plataforma também recebeu reprimenda por deficiências no atendimento de solicitações de eliminação de informações pessoais.
As decisões não representam uma determinação geral de encerramento das quatro plataformas. O objetivo das medidas é impor o cumprimento das obrigações específicas de proteção de dados examinadas nos procedimentos.
No caso de Lexbase e Krimfup, as determinações preveem prazo de dois meses, contado a partir do momento em que adquirirem definitividade, para a realização das adequações exigidas.
Um dos aspectos juridicamente mais relevantes das decisões está na interpretação do artigo 10 do GDPR.
O dispositivo estabelece um regime específico para o tratamento de dados pessoais relacionados a condenações criminais, infrações penais e medidas de segurança conexas.
Diferentemente de informações pessoais comuns, esses registros não podem ser tratados indiscriminadamente apenas porque uma organização identifica uma finalidade comercial ou um interesse legítimo.
O artigo 10 determina que esse tratamento, quando baseado no artigo 6º, item 1, somente poderá ocorrer sob o controle de uma autoridade pública ou quando autorizado pelo direito da União Europeia ou pela legislação nacional, com garantias adequadas à proteção dos direitos e liberdades dos titulares.
O regulamento também estabelece que registros completos de condenações criminais somente poderão ser mantidos sob o controle de autoridades públicas.
É importante esclarecer que os dados referentes a condenações e infrações penais não integram automaticamente as categorias especiais de dados pessoais previstas no artigo 9º do GDPR.
Eles possuem disciplina própria, estabelecida especificamente pelo artigo 10.
Essa distinção é fundamental para a interpretação técnica do regulamento.
A existência de uma base legal geral, prevista no artigo 6º, não elimina a necessidade de observar as condições adicionais impostas pelo artigo 10.
Portanto, uma empresa não pode simplesmente alegar interesse legítimo para justificar qualquer modalidade de exploração comercial de antecedentes criminais.
O posicionamento da IMY está diretamente relacionado a uma decisão do Tribunal de Justiça da União Europeia (TJUE), proferida em 9 de julho de 2026, no processo C-199/24 — Legal Newsdesk Sweden.
O caso envolveu uma plataforma sueca que disponibilizava, mediante pagamento, decisões judiciais contendo informações sobre condenações criminais.
A controvérsia surgiu após um titular solicitar a exclusão de seus dados de uma base eletrônica. Posteriormente, o interessado buscou reparação judicial com fundamento no GDPR.
O processo chegou ao TJUE por meio de pedido de decisão prejudicial apresentado pelo Tribunal Distrital de Attunda, na Suécia.
Uma das questões centrais consistia em determinar se a disponibilização comercial de documentos judiciais poderia ser considerada tratamento de dados realizado para fins jornalísticos.
Essa classificação é relevante porque o artigo 85 do GDPR prevê a conciliação entre o direito à proteção de dados pessoais e a liberdade de expressão e informação, permitindo determinadas exceções para atividades jornalísticas, artísticas, acadêmicas e literárias.
O tribunal concluiu que a disponibilização remunerada de decisões criminais na internet não caracteriza, por si só, uma atividade jornalística.
Para a aplicação da exceção, é necessário examinar a finalidade da atividade e elementos como tratamento editorial, política editorial, verificação factual e observância de regras profissionais pertinentes.
Consequentemente, o simples armazenamento de decisões judiciais em uma base comercial, seguido de sua disponibilização mediante pagamento, não é suficiente para afastar as garantias estabelecidas pelo GDPR.
O julgamento não criou uma proibição universal de publicar informações sobre processos criminais.
A decisão delimitou as condições para o enquadramento de determinadas atividades como jornalísticas e reforçou a necessidade de conciliar os direitos fundamentais envolvidos.
Esse entendimento forneceu fundamento jurídico para a atuação da autoridade sueca contra as plataformas investigadas.
A controvérsia possui uma particularidade importante no ordenamento jurídico sueco.
As quatro empresas investigadas possuíam certificados voluntários de publicação, conhecidos como utgivningsbevis, que conferem determinadas proteções constitucionais relacionadas à liberdade de expressão e de imprensa.
Historicamente, esse mecanismo permitiu que plataformas privadas invocassem garantias constitucionais para afastar a aplicação de certas regras de proteção de dados.
A IMY, entretanto, concluiu que as exceções previstas na legislação nacional sueca ultrapassavam os limites admitidos pelo direito europeu.
Diante dessa incompatibilidade, a autoridade aplicou o princípio da primazia do direito da União Europeia.
Também entendeu que os serviços examinados não constituíam atividades jornalísticas para os fins da exceção pertinente ao GDPR.
O entendimento estabelece uma distinção importante entre o exercício legítimo da atividade jornalística e a exploração comercial de bases massivas de informações pessoais.
Uma reportagem sobre uma condenação criminal de interesse público não possui necessariamente a mesma natureza jurídica que uma plataforma que permite localizar informações criminais de milhares de cidadãos mediante pesquisas individualizadas.
O contexto, a finalidade, o tratamento editorial e as garantias de proteção dos titulares são fatores determinantes para essa avaliação.
A questão, entretanto, permanece juridicamente controvertida.
Após a divulgação das decisões, Lexbase e Krimfup anunciaram a intenção de recorrer. As empresas sustentam que as restrições ameaçam a liberdade de imprensa e o direito público de acesso à informação.
A Krimfup também informou, em 7 de novembro, que havia realizado modificações em sua plataforma, procurando estruturá-la como um serviço de conteúdo jornalístico.
A existência dessas alterações não implica, automaticamente, que a nova operação esteja em conformidade com o GDPR. A avaliação dependerá das características efetivas do tratamento realizado.
Enquanto os casos Lexbase e Krimfup foram examinados principalmente sob a perspectiva do artigo 10, as irregularidades identificadas nas plataformas MrKoll e Upplysning envolveram o artigo 17 do GDPR.
Esse dispositivo disciplina o direito à eliminação de dados pessoais, frequentemente associado ao chamado direito ao esquecimento.
O regulamento estabelece hipóteses nas quais o titular pode exigir a exclusão de suas informações, incluindo situações em que os dados deixam de ser necessários para a finalidade original, são tratados ilicitamente ou devem ser apagados em cumprimento de obrigação legal.
Entretanto, o direito à eliminação não é absoluto.
O artigo 17 também contempla exceções, inclusive quando a manutenção do tratamento é necessária ao exercício da liberdade de expressão e informação, ao cumprimento de obrigações legais ou à defesa de direitos em processos judiciais.
Por essa razão, a avaliação de pedidos de exclusão exige uma análise individualizada, juridicamente fundamentada.
No caso sueco, a autoridade concluiu que as empresas investigadas não haviam observado adequadamente essas obrigações.
A decisão é particularmente significativa porque demonstra que a existência de proteção constitucional à publicação de informações não elimina, automaticamente, os direitos dos titulares previstos no GDPR.
A discussão ultrapassa o acesso a antecedentes criminais.
O avanço das tecnologias de coleta automatizada, indexação e correlação de dados tornou possível consolidar informações originalmente dispersas em diferentes fontes.
Nomes, endereços, registros empresariais, processos judiciais e outras informações podem ser reunidos em perfis digitais consultáveis instantaneamente.
Do ponto de vista técnico, essas operações ampliam consideravelmente a capacidade de identificação, associação e monitoramento de indivíduos.
Um registro judicial originalmente acessível mediante consulta específica pode adquirir uma exposição muito maior quando associado a mecanismos de pesquisa por nome e ferramentas de agregação de informações.
Além disso, a persistência desses dados pode gerar consequências desproporcionais.
Uma condenação antiga pode continuar facilmente acessível muitos anos depois do cumprimento da pena. Registros processuais podem ser apresentados sem contextualização adequada. Informações relativas a pessoas com nomes semelhantes podem produzir associações equivocadas.
Também existem riscos de discriminação em processos seletivos, restrições em relações comerciais, danos reputacionais e utilização indevida de dados por terceiros.
Esses efeitos ajudam a explicar por que a legislação europeia exige garantias adicionais para determinadas categorias de informações.
A disponibilidade pública de um dado não elimina os riscos decorrentes de sua reutilização, combinação ou divulgação em escala.
Na avaliação de conformidade, não basta verificar a origem legítima da informação. É necessário examinar também a finalidade do tratamento, a base jurídica aplicável, a proporcionalidade e as condições de acesso e conservação.
O caso sueco oferece elementos relevantes para o debate brasileiro, embora os dois ordenamentos jurídicos apresentem diferenças significativas.
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabelece princípios aplicáveis ao tratamento de informações pessoais, incluindo finalidade, adequação, necessidade, transparência, segurança, prevenção e não discriminação.
A LGPD também prevê, no artigo 4º, hipóteses específicas de exclusão de seu âmbito de aplicação, como tratamentos realizados para fins exclusivamente jornalísticos e artísticos e aqueles destinados exclusivamente a atividades de segurança pública e investigação e repressão de infrações penais.
Essas exceções, entretanto, não significam que uma empresa privada possa utilizar indiscriminadamente dados criminais sob o argumento genérico de que as informações são públicas.
É necessário examinar quem realiza o tratamento, para qual finalidade e em qual contexto jurídico.
No Brasil, dados sobre antecedentes criminais também não estão expressamente classificados como dados pessoais sensíveis pelo rol do artigo 5º, inciso II, da LGPD.
Isso não significa que sejam informações desprovidas de proteção jurídica.
Seu tratamento pode apresentar riscos elevados aos direitos dos titulares, especialmente quando envolve exposição pública, criação de perfis ou decisões capazes de produzir efeitos discriminatórios.
Outro ponto relevante é a publicidade dos atos processuais.
O artigo 5º, inciso LX, da Constituição Federal admite restrições à publicidade quando a defesa da intimidade ou o interesse social exigirem. O artigo 93, inciso IX, também estabelece a publicidade dos julgamentos, observadas as hipóteses constitucionais de limitação.
No âmbito do Poder Judiciário, normas específicas disciplinam a divulgação de informações processuais e a consulta eletrônica de processos.
A Resolução nº 121/2010 do Conselho Nacional de Justiça, com suas alterações posteriores, integra esse conjunto normativo.
A proteção de dados pessoais deve, portanto, ser conciliada com a publicidade processual, a transparência institucional e os direitos fundamentais envolvidos.
Não seria tecnicamente correto concluir que a decisão sueca produz efeitos jurídicos diretos no Brasil ou que plataformas brasileiras de consulta processual estejam automaticamente submetidas às mesmas restrições.
A relevância do precedente está na metodologia de análise: a licitude do acesso à informação em sua origem deve ser distinguida da licitude de seu tratamento posterior por terceiros.
As decisões suecas também oferecem orientações importantes para empresas de tecnologia, provedores de serviços de consulta cadastral, plataformas de pesquisa e organizações que utilizam informações provenientes de bases públicas.
A implementação de mecanismos de conformidade deve considerar não apenas a proteção contra acessos não autorizados, mas também a legitimidade das próprias operações de tratamento.
Isso envolve identificar a origem dos dados, documentar a finalidade de sua utilização, verificar a existência de base jurídica adequada e avaliar os riscos decorrentes de sua disponibilização.
Em bases com informações criminais, a análise deve considerar os regimes jurídicos específicos aplicáveis à natureza dos dados e à finalidade de seu uso.
Mecanismos de busca por identificadores pessoais, indexação automatizada, retenção prolongada e divulgação indiscriminada devem receber atenção especial.
Também é necessário estabelecer procedimentos efetivos para atendimento dos direitos dos titulares, incluindo pedidos de acesso, correção e eliminação, quando juridicamente cabíveis.
Medidas técnicas como controle de acesso, limitação de consultas, registros de auditoria e políticas de retenção podem integrar a estratégia de proteção, mas não substituem a necessidade de uma base jurídica válida.
Um sistema tecnicamente seguro pode continuar sendo juridicamente irregular se a própria finalidade do tratamento contrariar a legislação.
Embora as determinações da IMY tenham sido dirigidas a empresas específicas na Suécia, seus fundamentos jurídicos possuem relevância mais ampla.
O GDPR é diretamente aplicável nos Estados-membros da União Europeia, e a interpretação estabelecida pelo Tribunal de Justiça da União Europeia constitui referência obrigatória para sua aplicação.
O julgamento C-199/24 reforça que a atividade jornalística deve ser analisada a partir de sua finalidade efetiva, e não simplesmente da classificação que uma organização atribui a si própria.
Isso pode repercutir sobre modelos de negócios baseados na coleta e comercialização de informações pessoais obtidas de fontes públicas.
Entretanto, cada situação dependerá da legislação aplicável, das características concretas do tratamento e da avaliação dos direitos fundamentais em conflito.
As decisões suecas não estabelecem uma proibição geral de consulta a processos judiciais, tampouco eliminam o princípio da publicidade dos atos estatais.
O que se discute é a possibilidade de organizações privadas transformarem documentos oficiais em bases de dados pesquisáveis por pessoa, com ampla divulgação de informações criminais e sem as garantias jurídicas exigidas pela legislação europeia.
O caso sueco evidencia um dos principais desafios contemporâneos da proteção de dados: conciliar o direito da sociedade à informação com o direito dos indivíduos de não serem submetidos a formas desproporcionais de exposição e monitoramento.
A tecnologia modificou profundamente a escala e a permanência da publicidade de informações pessoais.
Documentos que anteriormente exigiam pesquisas específicas em órgãos públicos podem ser reunidos, indexados e disponibilizados instantaneamente para milhões de usuários.
Essa transformação exige uma avaliação jurídica que considere não apenas o caráter público da informação, mas também sua finalidade, contexto, acessibilidade e potencial de causar danos.
As decisões anunciadas pela IMY demonstram que a legislação europeia procura estabelecer limites à exploração de dados pessoais mesmo quando sua origem está vinculada a registros oficiais.
O resultado definitivo dos procedimentos ainda poderá depender da análise dos recursos anunciados pelas empresas.
Independentemente desse desfecho, o caso consolida uma discussão de alcance internacional: o direito de acessar uma informação pública não equivale necessariamente ao direito de transformá-la em um produto comercial de vigilância e classificação permanente de pessoas.
1. Autoridade Sueca para a Proteção da Privacidade (IMY)
Söktjänster behandlar personuppgifter på otillåtet sätt. Comunicado oficial de 3 de novembro de 2026.
https://www.imy.se/nyheter/soktjanster-behandlar-personuppgifter-pa-otillatet-satt/
2. IMY — Procedimentos de fiscalização
IMY granskningar av söktjänster är avslutade. Informações sobre os quatro procedimentos e respectivas decisões.
https://www.imy.se/privatperson/dataskydd/imys-granskningar-av-soktjanster-ar-avslutade/
3. Tribunal de Justiça da União Europeia
Processo C-199/24 — Legal Newsdesk Sweden. Acórdão de 9 de julho de 2026, ECLI:EU:C:2026:564.
https://juris.curia.europa.eu/juris/document/document.jsf?docid=313495&doclang=en
4. Parlamento Europeu e Conselho da União Europeia
Regulamento (UE) 2016/679 — Regulamento Geral de Proteção de Dados (GDPR), especialmente artigos 4º, 6º, 10, 17 e 85.
https://eur-lex.europa.eu/eli/reg/2016/679/oj
5. Sveriges Television (SVT)
Lexbase och Krimfup kommer överklaga: Pressfriheten måste hålla. Reportagem publicada em 4 de novembro de 2026, atualizada em 5 de novembro de 2026.
https://www.svt.se/kultur/lexbase-och-krimfup-kommer-overklaga-pressfriheten-maste-halla
6. Legislação brasileira para análise comparativa
Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais.
https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
Informações verificadas até 8 de novembro de 2026.
Nova orientação da autoridade francesa de proteção de dados esclarece quando hospitais e profissionais de…
Acordo nos Estados Unidos expõe um mercado pouco transparente de dados de localização e comportamento…
Nova proposta europeia estabelece limites para o acesso de menores às redes sociais e aposta…
Incidente envolvendo o FGC compromete a confidencialidade de informações pessoais e financeiras. Casos registrados em…
Operação internacional desmantela estrutura utilizada para espionagem, fraudes publicitárias e exploração clandestina de conexões domésticas.…
Infraestrutura digital do governo federal enfrentou ataques DDoS de intensidade recorde nos últimos seis meses.…