sou · H5B374 · 2017-10-04 00:00:00 — I 3 kap. 13 § föreskrivs att om en förundersökning har lagts ned, om åtal har lagts ned eller om frikännande dom som har vunnit laga kraft har meddelats, får personen inte vara sökbar som misstänkt. Att bestämmelserna gäller i Säkerhetspolisens verksamhet framgår genom en hänvisning i 6 kap. 13 § polisdatalagen. Bestämmelserna om längsta tid för behandling av personuppgifter i ärenden om utredning av och lagföring för brott är utförligt moti- verade i förarbetena (se prop. 2009/10:85 s. 223 f.). Skälen bakom den nuvarande ordningen gör sig fortfarande gällande. Säkerhetspolisens behandling av personuppgifter heller framkommit skäl att ändra regelverket. Därför bör bestäm- melser med motsvarande innehåll tas in i den nya lagen. Bestämmelserna i 3 kap. 10 och 11 §§ polisdatalagen hindrar inte att personuppgifter som behandlas automatiserat i den brottsbe- kämpande verksamheten fortsätter att behandlas automatiserat för ändamål utanför lagens tillämpningsområde än vad som anges i bestämmelserna. De inskränker alltså enbart behand- ling i den brottsbekämpande verksamheten, vilket innebär att per- sonuppgifterna t.ex. får behandlas automatiserat för arkivändamål. För att tydliggöra det bör det framgå av bestämmelserna i den nya lagen att de enbart reglerar hur länge personuppgifter får behandlas för ändamål inom lagens tillämpningsområde. 14.13.7 Möjlighet att förlänga tiden för behandling Utredningens förslag: Om det finns särskilda skäl ska Säker- hetspolisen få besluta att personuppgifter får behandlas än vad som anges för en viss kategori av uppgifter, om de fortfarande behövs för det ändamål för vilket de behandlas. Om personuppgifter behandlas med stöd av ett sådant beslut ska frågan om fortsatt behandling prövas på nytt senast vid utgången av det tionde kalenderåret efter beslutet eller, om det är fråga om uppgifter i en uppgiftssamling som har skapats för att bearbeta och analysera information, senast vid utgången av det tredje kalenderåret efter beslutet. Tiden för behandling får förlängas med längst som den ursprung- liga eller, om uppgifterna rör säkerhetshotande verksamhet eller avser någon som är , längst . Skälen för utredningens förslag: Säkerhetspolisen har enligt 6 kap. 12 § tredje stycket polisdatalagen möjlighet att besluta att personuppgifter får bevaras längre än vad som anges i paragrafen, om det finns särskilda skäl och uppgifterna fortfarande behövs för det ändamål för vilket de behandlas. För uppgifter som får bevaras längst får tiden förlängas med och för uppgifter som får bevaras längst får tiden förlängas med . Säkerhetspolisen bör även fortsättningsvis ha möjlighet att i vissa fall besluta om förlängd tid för behandling. Säkerhetspolisens behandling av personuppgifter bestämmelse bör därför tas in i den nya lagen, men den bör formu- leras så att den anger hur länge uppgifterna får behandlas. Det bör enligt utredningens mening inte införas någon särskild frist för uppgifter om personer som vid tiden för registreringen inte har fyllt . Om Säkerhetspolisen gör bedömningen att det i ett enskilt fall finns särskilda skäl att förlänga fristen för behandling av sådana personuppgifter bör de kunna behandlas som längst . Enligt utredningens mening bör Säkerhetspolisen ges möjlighet att förlänga tidsfristen även för behandling av personuppgifter som enligt den särskilda bestämmelsen om personuppgifter som rör viss säkerhetshotande verksamhet får behandlas längst . En för- längning motsvarande den tid som personuppgifterna ursprung- ligen får behandlas skulle dock i dessa fall leda till att uppgifterna får behandlas alltför . I likhet med vad som gäller för gemen- samt tillgängliga uppgifter i övrigt bör uppgifterna få behandlas som längst efter beslutet, om inte ett nytt beslut om förläng- ning fattas inom den fristen. Utredningens förslag: Regeringen ska kunna meddela före- skrifter om att vissa kategorier av personuppgifter får behandlas för ändamål inom den nya lagens tillämpningsområde än vad som anges i lagen. Regeringen eller den myndighet som regeringen bestämmer ska kunna meddela föreskrifter om att personuppgifter får be- handlas än vad som anges i den nya lagen för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål och om begränsning av behandlingen av personuppgifter för ändamål inom den nya lagens tillämpnings- område vid digital arkivering. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag Föreskrifter om fortsatt behandling av vissa kategorier av personuppgifter Enligt 3 kap. 12 § polisdatalagen har regeringen möjlighet att med- dela föreskrifter om att vissa kategorier av personuppgifter i en brottsanmälan, förundersökning eller annan utredning som hand- läggs enligt bestämmelserna i 23 kap. får behand- las i den brottsbekämpande verksamheten än vad som anges i 3 kap. 10 och 11 §§. Skälen för regleringen är utförligt redovisade i förarbetena till polisdatalagen (se prop. 2009/10:85 s. 226 f.). De gör sig alltjämt gällande och en motsvarande före- skriftsrätt bör därför tas in i den nya lagen. Föreskrifter om fortsatt behandling för arkivändamål Regeringen eller den myndighet som regeringen bestämmer har enligt 6 kap. 7 § tredje stycket och 14 § polisdatalagen möjlighet att meddela föreskrifter om att personuppgifter får bevaras för histo- riska, statistiska eller vetenskapliga ändamål. Motsvarande före- skriftsrätt bör finnas i den nya lagen. För att terminologin ska stämma överens med dataskyddsförordningen och övriga register- författningar inom brottsdatalagens tillämpningsområde bör det göras ett tillägg som innebär att föreskriftsrätten även omfattar behandling för arkivändamål av allmänt intresse (jfr avsnitt 5.5.2). Föreskrifter om digital arkivering Regeringen eller den myndighet som regeringen bestämmer har enligt 6 kap. 6 § tredje stycket polisdatalagen möjlighet att meddela föreskrifter om digital arkivering. Brottsanmälningar, förundersök- ningar och andra brottsutredningar bör få behandlas för arkivända- mål med stöd av arkivlagen trots att de inte längre får behandlas i den brottsbekämpande verksamheten. Mot bakgrund av att arkiv- lagen inte hindrar eller ställer upp några begränsningar för fortsatt behandling av digitalt arkiverade uppgifter i den brottsbekämpande verksamheten, behövs det föreskrifter som anger ramen för fortsatt behandling inom lagens tillämpningsområde för att skapa nödvän- Säkerhetspolisens behandling av personuppgifter digt integritetsskydd (jfr avsnitt 5.5.3). Sådana föreskrifter kan tas in i förordning. Det bör därför finnas en bestämmelse om före- skriftsrätt som motsvarar 6 kap. 6 § tredje stycket polisdatalagen i den nya lagen. 14.14 Skyldigheter som personuppgiftsansvarig Utredningens förslag: Det ska i den nya lagen tas in bestäm- melser motsvarande dem i brottsdatalagen om den personupp- giftsansvariges skyldigheter i fråga om –tekniska och organisatoriska åtgärder, –tillgången till personuppgifter, –konsekvensbedömning och förhandssamråd, –samarbete med tillsynsmyndigheten, –dataskyddsombud, och Skyldigheten att föra register över kategorier av behandling av personuppgifter och att införa interna rutiner för anmälan av överträdelser ska regleras i förordning. Föreskrifter som fyller ut och preciserar bestämmelserna om Säkerhetspolisens skyldig- heter som personuppgiftsansvarig ska också tas in i förordning. Skälen för utredningens förslag Som personuppgiftsansvarig är Säkerhetspolisen skyldig att vidta en mängd åtgärder, bl.a. för att säkerställa att personuppgiftsbe- handlingen utförs författningsenligt och att skydda personuppgif- terna. Skyldigheterna regleras dels i personuppgiftslagen, dels i polisdatalagen. Säkerhetspolisens behandling av personuppgifter I 30 och 31 §§ personuppgiftslagen finns det bestämmelser om säkerhetsåtgärder och krav vid anlitande av personuppgiftsbiträden och i 38–40 §§ regleras personuppgiftsombudens uppgifter. I 2 kap. 11 § polisdatalagen föreskrivs att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter och i 6 kap. 5 § andra stycket föreskrivs att Säkerhetspolisen ska utse ett eller flera personuppgiftsombud. Vidare ska Säkerhetspolisen enligt 2 § polisdataförordningen i vissa situationer samråda med Datainspektionen och . I 3 kap. brottsdatalagen regleras de personuppgiftsansvarigas skyl- digheter. Där ställs krav på olika åtgärder för att säkerställa författ- ningsenlig personuppgiftsbehandling och lämplig säkerhetsnivå. Det föreskrivs också att ett eller flera dataskyddsombud ska utses och det regleras utförligt vilka arbetsuppgifter ombuden ska ha. Det finns också bestämmelser om vad som gäller vid anlitande av personuppgiftsbiträden och vilka skyldigheter sådana biträden har. Vidare ställs det krav på samarbete med tillsynsmyndigheten. Rege- ringen kan meddela föreskrifter om skyldigheten att föra register över behandlingar och skyldigheten att införa interna rutiner för anmälan av överträdelser. Regleringen bör vara densamma som i brottsdatalagen Flertalet av de skyldigheter som behöriga myndigheter har enligt brottsdatalagen i egenskap av personuppgiftsansvariga gäller redan för Säkerhetspolisen. Vissa bestämmelser har motsvarigheter i Säkerhetspolisens nuvarande reglering, men är mer detaljerade eller har en något annorlunda utformning i brottsdatalagen. En del be- stämmelser har emellertid ingen motsvarighet i dagens reglering och innebär således nya skyldigheter. Enligt utredningens mening är huvuddelen av bestämmelserna om personuppgiftsansvarigas skyldigheter i brottsdatalagen av så- dan karaktär att de bör tillämpas av Säkerhetspolisen. Ett flertal av skyldigheterna gäller . Mot bakgrund av det anser utred- Säkerhetspolisens behandling av personuppgifter ningen att merparten av bestämmelserna i 3 kap. brottsdatalagen bör ha sin motsvarighet i den nya lagen. Vilka bestämmelser bör gälla för Säkerhetspolisen? Bestämmelserna i 3 kap. 2–5 §§ brottsdatalagen som reglerar kraven på tekniska och organisatoriska åtgärder, t.ex. inbyggt dataskydd, dataskydd som standard och loggning, har ingen direkt motsva- righet (se SOU 2017:29 s. 300 f.). Det bör dock i detta avse- ende ställas samma krav på Säkerhetspolisen som på övriga brotts- bekämpande myndigheter. Det bör därför tas in bestämmelser med samma innehåll i den nya lagen. Eftersom Säkerhetspolisen enligt polisdatalagen är skyldig att se till att tillgången till personuppgifter begränsas till vad varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter bör en bestämmelse som motsvarar 3 kap. 6 § brottsdatalagen tas in i den nya lagen. Säkerhetspolisen är skyldig att i vissa situationer samråda med Datainspektionen och Säkerhets- och integritetsskyddsnämn- den. har motsvarande samrådsskyldighet och ska i liknande situationer samråda med Datain- spektionen. För och kommer samrådsskyldigheten att ersättas av regleringen i 3 kap. 7 § brotts- datalagen. För att uppnå enhetlighet för tillsynsmyndigheten bör enligt utredningens mening samrådsskyldigheten för Säkerhetspo- lisen formuleras på samma sätt som i brottsdatalagen. Eftersom samrådsskyldigheten i brottsdatalagen är knuten till skyldigheten att göra konsekvensbedömningar bör även en bestämmelse som föreskriver sådan skyldighet tas in i den nya lagen. Säkerhetspoli- sens skyldighet att samråda med tillsynsmyndigheten kommer häri- genom att förändras något, men utredningen anser att kravet på konsekvensbedömning fyller en viktig funktion ur ett integritets- perspektiv. Utredningen återkommer till frågan om vilken tillsyns- myndighet som Säkerhetspolisen ska samråda med i avsnitt 15.4.2. I 3 kap. 8 § brottsdatalagen regleras vilka skyddsåtgärder den personuppgiftsansvarige ska vidta. Regleringen motsvarar 31 § per- sonuppgiftslagen och gäller således för Säkerhetspolisen . I brottsdatalagen har skyldigheten dock preciserats genom att det Säkerhetspolisens behandling av personuppgifter anges vad personuppgifterna särskilt ska skyddas mot. En bestäm- melse med motsvarande innehåll bör tas in i den nya lagen. Det är enligt utredningens mening rimligt att kräva att Säker- hetspolisen i samma utsträckning som andra brottsbekämpande myndigheter ska samarbeta med den myndighet som utövar tillsyn över myndighetens personuppgiftsbehandling. En bestämmelse motsvarande 3 kap. 12 § brottsdatalagen om skyldigheten att sam- arbeta med tillsynsmyndigheten bör därför tas in i den nya lagen. Liksom bör Säkerhetspolisen också vara skyldig att utse ett eller flera dataskyddsombud och anmäla det till tillsynsmyndig- heten. Dataskyddsombud bör vara anställda vid myndigheten. En bestämmelse om skyldigheten att utse dataskyddsombud bör tas in i den nya lagen. Eftersom dataskyddsombudens arbetsuppgifter bör vara enhetliga bör också bestämmelser motsvarande 3 kap. 14 och 15 §§ brottsdatalagen tas in i den nya lagen. Säkerhetspolisens data- skyddsombud kommer därmed att få en något förändrad roll och några fler arbetsuppgifter (se SOU 2017:29 s. 344 f.) Bestämmelserna om personuppgiftsbiträden och sådana biträ- dens skyldigheter i 3 kap. 17–20 §§ brottsdatalagen bör för Säker- hetspolisens del utformas på samma sätt. De motsvarar i allt väsentligt vad som redan gäller enligt personuppgiftslagen. Skyldigheten att föra register över kategorier av behandlingar och skyldigheten att införa interna rutiner för anmälan av överträ- delser bör enligt utredningens mening gälla även för Säkerhetspoli- sen. Det kan regleras i förordning (jfr SOU 2017:29 s. 319 f. och 323 f.). En förteckning över de behandlingar som utförs av myn- digheten förs av personuppgiftsombudet. Den nya ordningen innebär att skyldigheten i stället läggs på myndigheten i egenskap av personuppgiftsansvarig. Skyldigheten att införa interna rutiner för anmälan av överträdelser har ingen motsvarighet . Det kan finnas behov av att precisera och fylla ut de bestämmel- ser som reglerar Säkerhetspolisens skyldigheter som personupp- giftsansvarig (jfr SOU 2017:29 s. 364 f.). Det kan t.ex. röra sig om dokumentations- eller underrättelseskyldigheter eller bestämmelser som reglerar ett visst förfarande. För att undvika en alltför detalje- rad lagreglering bör sådana bestämmelser tas in i förordning. Säkerhetspolisens behandling av personuppgifter Ingen skyldighet att anmäla personuppgiftsincidenter I 3 kap. 9–11 §§ brottsdatalagen regleras den personuppgiftsansva- riges skyldigheter vid en personuppgiftsincident. Där föreskrivs bl.a. att sådana incidenter ska anmälas till tillsynsmyndigheten och att den registrerade i vissa fall ska underrättas om incidenten. Enligt 3 kap. 9 § första stycket gäller anmälningsskyl- digheten inte om personuppgiftsincidenten rör nationell säkerhet. It-incidenter ska som huvudregel anmälas till Myndigheten för samhällsskydd och beredskap. Det framgår av 20 § första stycket förordningen (2015:1052) om krisberedskap och bevakningsansva- riga myndigheters åtgärder vid höjd beredskap. Det gäller dock inte sådana it-incidenter som enligt 10 a § säkerhetsskyddsförordningen (1996:633) ska rapporteras till Säkerhetspolisen eller Försvarsmak- ten. Exempel på sådana incidenter är incidenter i informationssys- tem där hemliga uppgifter som gäller säkerhet behandlas eller i informationssystem som särskilt behöver skyddas mot terro- rism. Behovet av att skydda sådan information anses vara så viktigt att endast den myndighet som utövar tillsyn över säkerhetsskyddet ska få ta del av den. Mot bakgrund av det, och då nationell säkerhet ligger utanför direktivets tillämpningsområde, har personuppgifts- incidenter som rör nationell säkerhet undantagits från anmälnings- skyldigheten i brottsdatalagen (se SOU 2017:29 s. 331 f.). Den nya lagen ska tillämpas vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. Personuppgiftsincidenter som inträffar i myndighetens informationssystem och som drabbar personupp- gifter som behandlas med stöd av den nya lagen kommer alltid att röra nationell säkerhet och därmed, enligt brottsdatalagens reg- lering, vara undantagna från anmälningsskyldighet. Det finns där- för inte skäl att i den nya lagen ta in bestämmelser som reglerar anmälan av personuppgiftsincidenter till tillsynsmyndigheten. Säkerhetspolisens behandling av personuppgifter Utredningens förslag: Det ska i den nya lagen tas in bestäm- melser om Säkerhetspolisens skyldighet att –lämna allmän information till registrerade, –på begäran lämna besked om personuppgiftsbehandling, och –på begäran rätta, radera eller begränsa behandlingen av per- sonuppgifter. Det ska också tas in bestämmelser som reglerar möjligheten att begränsa rätten till information och som anger när avgift får tas ut för informationen. Föreskrifter som fyller ut och preciserar bestämmelserna om enskildas rättigheter ska tas in i förordning. Skälen för utredningens förslag I 23 och 25–27 §§ personuppgiftslagen, som genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen ska tillämpas av Säkerhets- polisen, regleras vilken information som ska lämnas till den regist- rerade och när informationsskyldigheten inte gäller. I 23 och 25 §§ regleras vad som gäller om uppgifterna har lämnats av den registre- rade själv och vilken information som den personuppgiftsansvarige då ska lämna. För Säkerhetspolisen görs enligt 2 kap. 2 § tredje stycket polisdatalagen undantag från informationsskyldigheten i 23 § dels vid insamling av personuppgifter genom bilder eller ljud, dels om uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informatio- nen. I 26 § personuppgiftslagen föreskrivs att den personuppgifts- ansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Det anges också vilken informa- tion som i sådana fall ska lämnas. Av 27 § framgår att undantag från informationsskyldigheten gäller vid sekretess och tystnadsplikt. Säkerhetspolisens behandling av personuppgifter I 28 § personuppgiftslagen regleras den personuppgiftsansvari- ges skyldighet att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats på det sätt som föreskrivs i lagen eller föreskrifter som har utfärdats med stöd av den. Bestämmelsen gäller genom nämnda hänvisningar för Säkerhetspolisen. I 4 kap. 1–3 §§ brottsdatalagen regleras dels vilken allmän informa- tion som ska göras tillgänglig för registrerade, dels vilken person- relaterad information som ska lämnas till den registrerade om det behövs i specifika fall eller om den enskilde begär det. I 4 kap. 5–7 §§ regleras begränsning av rätten till personrelaterad information. Informationen får bara begränsas för vissa i lagen an- givna syften. Liksom i personuppgiftslagen föreskrivs att informa- tionsskyldigheten inte omfattar personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckningar eller liknande. Om en begäran om information är orimlig eller uppenbart ogrundad får den personuppgiftsansva- rige avslå den. Rätten till rättelse, radering och begränsning av behandling reg- leras i 4 kap. 9 och 10 §§. Bestämmelserna motsvarar i princip 28 § personuppgiftslagen men är mer detaljerade och anger tydligare när rättelse, radering respektive begränsning ska vidtas. I 4 kap. 12 § regleras förutsättningarna för att ta ut avgift för personrelaterad information. Merparten av bestämmelserna bör tillämpas av Säkerhetspolisen Bestämmelser som reglerar enskildas rättigheter fyller en mycket viktig funktion i dataskyddslagstiftningen. Enligt utredningens mening bör i princip samma krav ställas på Säkerhetspolisen som på andra myndigheter när det gäller enskildas rättigheter. På så sätt blir det lättare för den enskilde att ta tillvara sina rättigheter. Regle- ringen i brottsdatalagen skiljer sig inte i någon större utsträckning från vad som gäller enligt personuppgiftslagen. Enligt utredningens bedömning kan merparten av bestämmelserna i 4 kap. brottsdatala- Säkerhetspolisens behandling av personuppgifter gen utan problem tillämpas av Säkerhetspolisen. Mot den bakgrun- den bör huvuddelen av bestämmelserna i brottsdatalagen som reg- lerar enskildas rättigheter ha sin motsvarighet i den nya lagen. Vilka bestämmelser bör gälla för Säkerhetspolisen? Det bör finnas en bestämmelse som reglerar Säkerhetspolisens skyldighet att självmant göra allmän information om myndighetens personuppgiftsbehandling tillgänglig. Det bör också finnas en be- stämmelse som föreskriver att Säkerhetspolisen ska lämna skriftligt besked till den som begär det om personuppgifter som rör honom eller henne behandlas, s.k. registerutdrag. Bestämmelserna bör for- muleras på samma sätt som motsvarande bestämmelser i brotts- datalagen. En närmare genomgång av vilken information det är fråga om finns i delbetänkandet (se SOU 2017:29 s. 377 f. och 381 f.). Brottsdatalagen föreskriver att behöriga myndigheter ska informera om möjligheten att lämna in klagomål till tillsynsmyn- digheten och kontaktuppgifter till den, eftersom direktivet kräver det och har en särskild reglering för handläggningen av klagomål. Utredningen föreslår ingen motsvarighet till den regleringen i den nya lagen. Säkerhetspolisens informationsskyldighet bör därför inte omfatta sådana uppgifter. Sådan allmän information som ska göras tillgänglig får enligt brottsdatalagen inte begränsas med hänsyn till sekretess utan ska alltid finnas tillgänglig för de registrerade. Det rör sig om så allmän information att det enligt utredningens mening inte bör utgöra något problem för Säkerhetspolisen att leva upp till kraven. Reg- leringen i den nya lagen bör mot den bakgrunden utformas på samma sätt som i brottsdatalagen. Eftersom hantering av frågor som rör nationell säkerhet är av mycket känslig natur bör det inte ställas krav på att Säkerhetspo- lisen självmant ska lämna ut information i andra situationer än de tidigare nämnda. Någon bestämmelse motsvarande 4 kap. 2 § brottsdatalagen bör därför inte tas in i den nya lagen. Eftersom det inte förekommer automatiserade beslut i Säkerhetspolisens verk- samhet behöver inte heller information om sådana beslut regleras. Säkerhetspolisens möjlighet att begränsa rätten till information bör också regleras i den nya lagen. Till skillnad från vad som gäller Säkerhetspolisens behandling av personuppgifter enligt brottsdatalagen bör sådan begränsning dock inte enbart få göras med hänsyn till vissa angivna intressen. Det kravet ställs upp i direktivet men bör inte gälla för Säkerhetspolisen. Regleringen bör i stället utformas med 27 § personuppgiftslagen som mönster. Be- stämmelserna om begränsning av rätten till information bör i övrigt formuleras på samma sätt som i 4 kap. brottsdatalagen. Bestämmelser som reglerar den enskildes rätt till rättelse, rade- ring och begränsning av behandling bör också finnas i den nya lagen. De bör formuleras på samma sätt som 4 kap. 9–11 §§ brotts- datalagen. Regleringen kommer således, liksom för övriga brotts- bekämpande myndigheter, att bli mer preciserad än . Innebör- den är dock i stort sett densamma. Säkerhetspolisen bör också få avgöra vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. På samma sätt som för övriga myndigheter bör den information som Säkerhetspolisen lämnar som huvudregel vara kostnadsfri. En bestämmelse som anger det bör tas in i den nya lagen. Den bör formuleras på samma sätt som 4 kap. 12 § brottsdatalagen. Säker- hetspolisen ges då möjlighet att ta ut avgift för personrelaterad information om sådan begärs oftare än en gång . Det kan finnas behov av att på olika sätt kunna precisera och fylla ut bestämmelserna om enskildas rättigheter. Sådana bestäm- melser bör tas in i förordning. 14.16 Sanktioner, skadestånd och rättsmedel