sou · H3B373 · 2015-08-03 00:00:00 — Syftet är att ge , , Säkerhetspolisen och utlands- myndigheterna möjlighet att behandla personuppgifter på ett ända- målsenligt sätt i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Övervägandena finns i av- snitt 7.2. I bestämmelsen kommer lagens dubbla syfte till uttryck. Verk- samhet på utlännings- och medborgarskapsområdet innebär om- fattande behandling av personuppgifter, även av integritetskänslig art. Det är viktigt att , , Säkerhets- polisen och utlandsmyndigheterna har möjlighet att behandla person- uppgifter på ett ändamålsenligt och effektivt sätt med hjälp av väl fungerande informationsteknik. För detta krävs en särreglering i förhållande till personuppgiftslagen (1998:204, PUL). Exempelvis ger utlänningsdatalagen myndigheterna möjlighet att behandla käns- liga personuppgifter i större utsträckning än personuppgiftslagen medger. är lagens syfte att skydda människor mot att deras personliga integritet kränks vid denna behandling. För att stärka skyddet för den personliga integriteten innehåller lagen sär- skilda regler om för vilka ändamål behandlingen är tillåten, tillgången till personuppgifter, sökbegränsningar, direktåtkomst, myndighets krav på att utse personuppgiftsombud, gallring i vissa fall och avskiljande. Därutöver gäller personuppgiftslagens bestämmelser om grundläggande krav på behandlingen, säkerhet vid behandlingen, personuppgiftsombudets uppgifter och tillsynsmyndighetens befog- enheter. 2 § Denna lag gäller vid behandling av personuppgifter i och utlandsmyndigheternas verksamhet som rör: 1.utlänningars inresa i eller i en stat som ingår i Europeiska unionen eller i en stat som är ansluten till Europeiska ekonomiska sam- arbetsområdet, vistelse eller arbete i samt utresa från , 3.mottagande av asylsökande och andra utlänningar, 4.bistånd och stöd till utlänningar, 6.statlig ersättning för kostnader för utlänningar eller 7.bosättning av utlänningar. Paragrafen anger lagens tillämpningsområde vad avser Migrations- verket och utlandsmyndigheterna. Övervägandena finns i avsnitt 7.3.4. I 2 och 3 §§ anges uttömmande vilka myndigheters behandling av personuppgifter som regleras av lagen. Personuppgiftsbehand- ling som utförs inom sådan verksamhet som anges i bestämmelser- na, men som utförs av annan myndighet än de som anges i lagen, faller således utanför lagens tillämpningsområde. Det gäller även personuppgiftsbehandling som utförs av enskilda. Begreppen behandling och personuppgifter har samma betydelse som i 3 § PUL. Av det följer att behandling av personuppgifter som rör avlidna, ännu inte födda eller juridiska personer inte omfattas av lagens bestämmelser. Det finns dock inget hinder mot att utlän- ningsdatalagen ändå tillämpas vid behandling av sådana uppgifter. I punkterna 1−7 beskrivs närmare vilken verksamhet som regleras av lagen. Uppräkningen är uttömmande. Fler än en av punkterna kan dock vara tillämpliga . och utlandsmyndigheternas verksamhet på utlännings- och medborgarskapsområdet har beskrivits närmare i avsnitt 7.3.4. Nedan kommenteras de olika punkterna översiktligt. Med punkten 1 avses främst och utlandsmyn- digheternas verksamhet enligt utlänningslagen (2005:716, UtlL) och utlänningsförordningen (2006:97) som rör visering, uppehållstill- stånd, arbetstillstånd, avvisning, utvisning, kontroll och verkställighet av beslut. Även utlandsmyndigheternas biträde med utredning i utlännings- och medborgarskapsärenden med stöd av förordningen (1992:247) med instruktion för utrikesrepresenta- tionen avses. Vidare faller behandling av person- uppgifter i ärenden om utvisning, förvar m.m. av utlänningar med stöd av lagen (1991:572) om särskild utlänningskontroll under denna punkt. Punkten 2 omfattar behandling av person- uppgifter i anledning av beslut om eller återkallelse av statusförkla- ring enligt 4 kap. 3−3 c och 5 b−5 c §§ UtlL. Med punkten 3 avses verksamhet enligt lagen (1994:137) om mottagande av asylsökande m.fl. och anslutande för- ordning, med undantag för sådan verksamhet som avser ekonomiskt bistånd eller stöd. Verksamhet som avser ekonomiskt bistånd eller stöd behandlas i punkten 4. Till punkten 3 hör också Migrations- verkets verksamhet i samband med mottagande av kvotflyktingar, alltså flyktingar som blir erbjudna vidarebosättning i genom . Punkten 4 rör verksamhet som gäller ekono- miskt bistånd enligt lagen (1994:137) om mottagande av asylsökande m.fl. och den anslutande förordningen (1994:361) om mottagande av asylsökande m.fl. Även verksamhet som följer av förordningen (1984:890) om bidrag till utlänningars resor från för bosättning i annat land, förordningen (1984:936) om bi- drag till flyktingar för kostnader för anhörigs resor till , för- ordningen (2008:778) om återetableringsstöd för vissa utlänningar och förordningen (2010:1345) om särskild dagersättning till vissa nyanlända invandrare avses. Med punkten 5 avses och utlandsmyndigheter- nas verksamhet enligt lagen (2001:82) om svenskt medborgarskap och medborgarskapsförordningen (2001:218). Punkten 6 omfattar verksamhet som gäller ersättning till kommuner, landsting, kommunalförbund och öppen- vårdsapotek för vissa kostnader för utlänningar. Bestämmelser om sådan ersättning finns i förordningen (1990:927) om statlig ersätt- ning för flyktingmottagande m.m., förordningen (2010:1122) om statlig ersättning för insatser för vissa utlänningar, förordningen (1996:1357) om statlig ersättning för hälso- och sjukvård till asyl- sökande och förordningen (2002:1118) om statlig ersättning för asyl- sökande m.fl. Punkten 7 innefattar verksamhet som rör bo- sättning av utlänningar. Bestämmelser om denna verksamhet finns i lagen (1994:137) om mottagande av asylsökande m.fl. och förord- ningen (2010:408) om mottagande för bosättning av vissa nyanlända invandrare. Av uppräkningen ovan följer att lagen inte är tillämplig på myn- digheternas interna administrativa ärendehantering som rör till exempel ekonomi- och personalfrågor. För behandling av person- uppgifter i denna verksamhet gäller bestämmelserna i personuppgifts- lagen. Även verksamhet som rör den europeiska flyktingfonden och den europeiska återvändandefonden faller utanför lagens tillämp- ningsområde. 3 § Denna lag gäller också vid behandling av personuppgifter i Polismyn- dighetens och Säkerhetspolisens verksamhet som rör utlänningars inresa i, utresa från, vistelse i eller avlägsnande från . Paragrafen anger lagens tillämpningsområde vad avser Polismyndig- heten och Säkerhetspolisen. Övervägandena finns i avsnitt 7.3.4. Lagen gäller vid behandling av personuppgifter i den verksamhet som utför med stöd av utlänningslagen och med- borgarskapslagen och anslutande förordningar. Även myndighetens verksamhet enligt lagen om särskild utlänningskontroll omfattas. Det innefattar personuppgiftsbehandling i sam- band med personkontroller vid yttre gräns i samband med inresa och utresa samt inre utlänningskontroll. Inom tillämpningsområdet faller också personuppgiftsbehandling i samband med beslut om avvisning och verkställighet av sådana beslut samt verkställighet av allmän domstols beslut om utvisning på grund av brott och beslut om utvisning och avvisning. Paragrafen omfattar också personuppgiftsbehandling i samband med verkställighet av utlämningar och personuppgiftsbehandling vid över- lämnande med stöd av lagen (1957:668) om utlämning för brott, lagen (2003:1156) om överlämnande från enligt en europeisk arresteringsorder, lagen (2011:1165) om överlämnande från enligt en nordisk arresteringsorder samt lagen (1970:375)om utläm- ning till , , eller för verkställighet av beslut om vård eller behandling. Även Säkerhetspolisen har vissa uppgifter som regleras i utlän- ningslagstiftningen. Även om Säkerhetspolisen i huvudsak inom detta område bedriver verksamhet som omfattas av polisdatalagen kan det inte uteslutas att myndigheten även utför viss verksamhet där något brottsbekämpande inslag inte finns. Exempel på sådana situationer kan vara vid verkställighetsärenden som rör beslut om avvisning eller utvisning. Utlänningsdatalagen ska tillämpas i dessa fall. 4 § Lagen gäller endast om behandlingen av personuppgifter enligt 2 och 3 §§ är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I paragrafen anges vilken personuppgiftsbehandling som regleras av lagen. Övervägandena finns i avsnitt 6.4.5 och 7.3.4. Med personuppgifter avses detsamma som i 3 § PUL, dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Även begreppet behandling har samma innebörd som i den bestämmelsen. Därmed avses alltså varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, till exempel insam- ling, registrering, organisering, lagring, bearbetning, användning, spridning eller annat tillhandahållande, sammanställning eller sam- körning samt utplåning eller förstöring. Lagen är endast tillämplig om behandlingen av personuppgifter är helt eller delvis automatiserad eller om de ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gänglig för sökning eller sammanställning enligt särskilda kriterier. Lagen har i detta avseende samma tillämpningsområde som person- uppgiftslagen, se 5 § PUL. Lagens gäller således inte helt behandling av personuppgifter som inte ingår i en samling som är tillgänglig för sökning. 5 § Denna lag gäller inte, utöver vad som framgår av andra stycket, då per- sonuppgifter behandlas med stöd av 1.lagen (2000:344) om Schengens informationssystem, 2.Europaparlamentets och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS- förordningen)(1), 3.Europaparlamentets och rådets förordning (EG) nr 810/2009 av om införande av en gemenskapskodex om viseringar (vise- ringskodex), 4.polisdatalagen (2010:361) eller 5.Europaparlamentets och rådets förordning (EU) nr 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlems- staternas brottsbekämpande myndigheter begär jämförelser med Eurodac- uppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rätt- visa (omarbetning). Vid behandling av personuppgifter enligt VIS-förordningen gäller bestäm- melserna i 28 och 48 §§ personuppgiftslagen (1998:204) om rättelse och skadestånd på motsvarande sätt i den mån inte annat följer av den förord- ningen. Det finns vissa lagar och EU-förordningar vars tillämpningsområde träffas av den beskrivning av utlänningsdatalagens tillämpningsområde som anges i 2 och 3 §§. I bestämmelsen förtydligas vilka sådana lagar och förordningar som ska ha företräde framför utlännings- datalagen vid överlappande tillämpningsområden. Utlänningsdata- lagen ska således inte tillämpas inom verksamhet som regleras av de i bestämmelsen angivna lagarna och EU-förordningarna. Övervägan- dena finns i avsnitt 7.4. Lagen (2000:344) Schengens informationssystem reglerar behand- ling av personuppgifter som utförs av främst . Behandling av personuppgifter enligt och rådets förordning (EG) nr 767/2008 av om informa- tionssystemet för viseringar (VIS) och utbytet mellan medlemsstater- na av uppgifter om viseringar för kortare vistelse (VIS-förordningen) (1) utförs av , och utlandsmyn- digheterna. och rådets förordning (EG) nr 810/2009 av om införande av en gemenskapskodex om viseringar (viseringskodex) reglerar utlandsmyndigheternas och Polismyndig- hetens verksamhet som rör viseringar. och Säkerhetspolisens personuppgiftsbehand- ling i brottsbekämpande verksamhet regleras av polisdatalagen. Se närmare om gränsdragningen mellan brottsbekämpande verksamhet och och Säkerhetspolisens verksamhet enligt ut- lännings- och medborgarskapslagstiftningen i avsnitt 7.3.4. Av para- grafen följer att polisdatalagen och inte utlänningsdatalagen ska tillämpas då personuppgifter behandlas med stöd av polisdatalagen. Bestämmelser som reglerar och Polismyndig- hetens personuppgiftsbehandling i det s.k. Eurodacsystemet finns i och rådets förordning (EU) nr 603/2013 av om inrättande av Eurodac för jämförelse av finger- avtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekäm- pande myndigheter begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning) (Eurodacförordningen). I andra stycket anges att bestämmelserna i 28 och 48 §§ PUL om rättelse och skadestånd gäller vid behandling av personuppgifter enligt VIS-förordningen, i den mån inte annat följer av den förord- ningen. Övervägandena finns i avsnitt 7.4 Eftersom personuppgifts- lagens bestämmelser om rättelse m.m. och skadestånd enligt sin ordalydelse endast gäller vid behandling som skett i strid med per- sonuppgiftslagen eller föreskrifter som meddelats med stöd av den lagen, krävs för att bestämmelserna ska vara tillämpliga en uttryck- lig hänvisning till personuppgiftslagens bestämmelser. i VIS-förordningen har företräde framför personuppgiftslagens be- stämmelser. 6 § Behandling av personuppgifter som är tillåten enligt denna lag får ut- föras även om den enskilde motsätter sig den. Enligt paragrafen får personuppgiftsbehandling som är tillåten enligt utlänningsdatalagen utföras även om den enskilde motsätter sig den. Övervägandena finns i avsnitt 7.5. 7 § Om inte annat anges i 8 §, gäller denna lag i stället för personupp- giftslagen (1998:204) eller föreskrifter som har meddelats i anslutning till den lagen. Paragrafen reglerar utlänningsdatalagens förhållande till person- uppgiftslagen. Bestämmelsen innebär att utlänningsdatalagen inom sitt tillämpningsområde helt ersätter personuppgiftslagen, utom i de fall som uttryckligen anges i 8 §. Det innebär att vid personupp- giftsbehandling som omfattas av lagen ska bestämmelser i person- uppgiftslagen tillämpas endast om det finns en hänvisning till dem i 8 §. Övervägandena finns i avsnitt 7.6. 8 § Följande bestämmelser i personuppgiftslagen (1998:204) tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen: 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 § om grundläggande krav på behandling av personuppgifter, 4.22 § om behandling av personnummer, 5.23 och 25–27 §§ om information till den registrerade, 6.28 § om rättelse m.m., 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.33−35 §§ om överföring av personuppgifter till tredjeland, 9.38–41 §§ om personuppgiftsombud m.m., 10.42 § om upplysningar till allmänheten om vissa behandlingar, 11.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befogenheter, 12.48 § om skadestånd och 13.51 §, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen gäller inte 8 § andra stycket per- sonuppgiftslagen. Förbud enligt 44 eller 45 § personuppgiftslagen får inte förenas med vite. Paragrafen anger vilka bestämmelser i personuppgiftslagen som är tillämpliga vid personuppgiftsbehandling i verksamhet enligt 2 och 3 §§. Övervägandena finns i avsnitt 7.7. Det följer av 7 § att bestämmelserna i personuppgiftslagen inte ska tillämpas vid sådan behandling av personuppgifter som omfattas av förevarande lag eller föreskrifter som meddelats i anslutning till lagen. I första stycket anges i tretton punkter vilka bestämmelser i personuppgiftslagen som trots detta ska tillämpas på motsvarande sätt vid behandling av personuppgifter i verksamhet enligt 2 och 3 §§. Uppräkningen är uttömmande. Av punkten 1 följer att de definitioner som anges i 3 § PUL tilläm- pas även vid behandling av personuppgifter som omfattas av före- varande lag. Punkten 2 hänvisar till 8 § PUL. Hänvisningen till 8 § PUL första stycket medför att bestämmelserna i utlänningsdatalagen eller de bestämmelser till vilka lagen hänvisar inte ska tillämpas, om de skulle inskränka de tillämpande myndigheternas skyldighet enligt 2 kap. TF att lämna ut allmänna handlingar. Genom hänvisningen till 8 § andra stycket PUL slås fast att be- stämmelser i personuppgiftslagen inte hindrar att en myndighet arkiverar eller bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. För vissa personuppgifter finns det dock särskilda gallringsföreskrifter, se 3, 12 och 13 §§ i utredning- ens förslag till förordning med kompletterande föreskrifter rörande personuppgiftsbehandlingen. Dessa bestämmelser har företräde fram- för bestämmelsen i 8 § andra stycket PUL. Det följer av paragrafens andra stycke. Punkten 3 hänvisar till 9 § PUL. Paragrafen innehåller vissa grund- läggande krav på behandlingen av personuppgifter. Hänvisningen till 9 § PUL innebär att den personuppgiftsansvarige ska se till att uppgifterna behandlas bara om det är lagligt och att de behandlas på ett korrekt sätt och i enlighet med god sed (9 § första stycket a−b PUL). Hänvisningen innebär också att den personuppgiftsansvarige ska se till att personuppgifterna samlas in bara för särskilda, uttryck- ligt angivna ändamål (9 § första stycket c PUL). Genom hänvis- ningen gäller dessutom att personuppgifter inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket de sam- lades in (9 § första stycket d PUL). Finalitetsprincipens närmare betydelse på utlännings- och medborgarskapsområdet framgår av 13 §. För behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särskilda regler. Behandling av personuppgifter för dessa ändamål ska inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in (9 § andra stycket PUL). Vid behandling för historiska, statistiska och vetenskapliga ändamål gäller emellertid vissa begränsningar för hur uppgifterna får användas (9 § fjärde stycket PUL). Hänvisningen till 9 § PUL medför vidare att den personuppgifts- ansvarige ska se till att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter behandlas än som är nödvändigt med hän- syn till ändamålen för behandlingen, att de behandlade personupp- gifterna är riktiga och, om det är nödvändigt, aktuella samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen (9 § första stycket e–h PUL). Slut- ligen innebär hänvisningen att den personuppgiftsansvarige ska se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen (9 § första stycket i PUL). Bestämmelsen gäller endast för personuppgifter som inte ingår i allmänna handlingar. När det gäller personuppgifter som finns i allmänna handlingar har bestämmelsen i 8 § andra stycket PUL företräde. Enligt 9 § tredje stycket PUL får personuppgifter bevaras för historiska, statistiska eller vetenskapliga ändamål än som anges i 9 § första stycket i PUL, dock inte längre än som behövs för dessa ändamål. I punkten 4 hänvisas till 22 § PUL. Bestämmelsen innebär att upp- gifter om personnummer eller samordningsnummer får behandlas i den verksamhet som definieras i 2 och 3 §§ utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Hänvisningen i punkten 5 till 23 § och 25–27 §§ PUL medför att den registrerades rätt till information enligt personuppgiftslagen ska tillämpas även vid behandling av personuppgifter enligt utlännings- datalagen. Enligt 23 § PUL ska den personuppgiftsansvarige i sam- band med att personuppgifter samlas in självmant lämna den registre- rade information om behandlingen av uppgifterna. I 25 § första stycket PUL anges att informationen ska omfatta uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med be- handlingen och all övrig information som behövs för att den registre- rade ska kunna ta tillvara sina rättigheter i samband med behand- lingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Av 25 § andra stycket PUL framgår emellertid att infor- mation inte behöver lämnas om sådant som den registrerade redan känner till. Enligt 26 och 27 §§ PUL är den personuppgiftsansva- rige skyldig att en gång efter skriftlig ansökan lämna gratis information om huruvida personuppgifter som rör den sökande behandlas. Om sådan behandling sker, ska upplysning också lämnas om bland annat ändamålet med behandlingen. Undantag från infor- mationsskyldigheten gäller för personuppgifter i löpande text som inte fått sin slutliga utformning, minnesanteckningar och liknande. Informationsplikten gäller inte heller i den utsträckning det råder sekretess eller tystnadsplikt för informationen. I punkten 6 görs en hänvisning till 28 § PUL, som innehåller bestämmelser om rättelse, blockering och utplåning av uppgifter. Den personuppgiftsansvarige är skyldig att på begäran av den registrera- de rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med utlänningsdatalagen eller de be- stämmelser i personuppgiftslagen som lagen hänvisar till. Punkten 7 hänvisar till 30 och 31 §§ samt 32 § första stycket PUL som rör säkerhet vid behandling av personuppgifter. I punkten 8 hänvisas till 33−35 §§ PUL som rör utlämnande av personuppgifter till tredjeland. Med tredjeland avses enligt 3 § PUL en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Enligt 33 § PUL gäller ett förbud mot att till tredjeland föra över personuppgifter som är under behandling eller ska behandlas i tredjeland, om inte det aktuella landet har en adekvat skyddsnivå för uppgifterna. I 34 § PUL och i 19 § utlänningsdatalagen, se nedan, finns undantag från förbudet i 33 § PUL. I punkten 9 finns en hänvisning till 38–41 §§ PUL om person- uppgiftsombud m.m. I 9 och 10 §§ utlänningsdatalagen finns vissa särskilda bestämmelser om personuppgiftsansvar för Migrations- verket, och utlandsmyndigheter- na. I 38−41 §§ PUL regleras personuppgiftsombudets uppgifter. En hänvisning görs i punkten 10 till 42 § PUL. Bestämmelsen rör upplysningar till allmänheten om vissa behandlingar som inte anmälts till Datainspektionen. I punkten 11 finns en hänvisning till 43 och 44 §§, 45 § första stycket och 47 § PUL. Bestämmelserna rör Datainspektionens be- fogenheter. Enligt 43 § PUL har Datainspektionen möjlighet att på begäran få tillgång till de personuppgifter som behandlas, upplys- ningar om och dokumentation av behandlingen och säkerheten vid denna samt tillträde till den personuppgiftsansvariges lokaler.