sou · H5B374 · 2017-10-04 00:00:00 — Utredningen om genomförande av NIS-direktivet anser att det nuvarande sekretesskyddet är tillräckligt och föreslår därför ingen ändring i sekretessregleringen (se SOU 2017:36 s. 253 f.). Den ut- redningen anser att allt tyder på att sekretessbestämmelsen också har tillämpats som det har varit avsett. Utredningen om genomförande av NIS-direktivet hänvisar i sitt betänkande bl.a. till att Kammarrätten i i flera avgöran- den har kommit fram till att incidentrapporter om- fattas av sekretess. Kammarrätten i har däremot – utan att argumentera för varför skaderekvisitet inte var uppfyllt i det enskilda fallet – intagit ståndpunkten att uppgift om att en incidentrapport har lämnats inte skyddas av sekretess (dom i mål 835-17). Datainspektionen har därefter i en skrivelse till väckt frågan om skyndsam ut- redning av sekretessen hos myndigheten för anmälningar om per- sonuppgiftsincidenter (se inspektionens skrivelse , dnr 1704-2017). Det finns anledning att noga följa utvecklingen på området, men utredningen delar Utredningens om genomförande av NIS-direk- tivet uppfattning att det inte nu finns skäl att ändra regleringen avseende sekretess för personuppgiftsincidenter. 17.3Lagen om internationellt polisiärt samarbete Utredningens förslag: Lagen om internationellt polisiärt sam- arbete ska gälla utöver brottsdatalagen. Förhållandet mellan per- sonuppgiftsregleringen i lagen och annan personuppgiftslagstift- ning inom brottsdatalagens tillämpningsområde ska tydliggöras genom en bestämmelse i förstnämnda lag, där också vissa be- stämmelser ska anpassas till brottsdatalagens reglering. Bestämmelser i lagen om internationellt polisiärt samarbete som hänvisar till personuppgiftslagen i fråga om skadestånd ska i stället hänvisa till brottsdatalagen. Skälen för utredningens förslag Anpassningar till brottsdatalagen och registerförfattningarna I lagen om internationellt polisiärt samarbete finns det bestämmel- ser om informationsutbyte i 6–10 kap. Regleringen behöver anpas- sas till den nya personuppgiftsregleringen i flera olika avseenden. Av 6 kap. 1 § framgår att lagen gäller utöver polisdatalagen, kustbevakningsdatalagen och tullbrottsdatalagen. Det innebär att även de generella bestämmelserna i personuppgiftslagen som regi- sterförfattningarna hänvisar till ska tillämpas vid behandling av personuppgifter vid internationellt polisiärt samarbete (se prop. 2010/11:129 s. 47 f). För att samma reglering som ska gälla bör det föreskrivas att lagen om internationellt polisiärt samarbete ska gälla utöver brottsdatalagen. Lagen bör tillämpas i den utsträck- ning den innehåller bestämmelser om personuppgiftsbehandling som avviker från bestämmelserna i brottsdatalagen och de särskilt uppräknade registerförfattningarna. Där bör även Säkerhetspoli- sens datalag nämnas, eftersom myndighetens personuppgiftsbe- handling föreslås regleras i en särskild lag (se avsnitt 14.2.2). I 7 kap. 7 §, 8 kap. 3 §, 9 kap. 5 § och 10 kap. 3 § lagen om inter- nationellt polisiärt samarbete finns det bestämmelser som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. De bestämmelserna bör ersättas med hänvisningar till brottsdata- lagen. När det gäller rättelse behövs inte någon hänvisning, efter- som lagen om internationellt polisiärt samarbete föreslås gälla ut- över brottsdatalagen och den innehåller generella bestämmelser om rättelse. På samma sätt som i registerförfattningarna bör hänvis- ningarna till personuppgiftslagens bestämmelse om skadestånd ändras till hänvisningar till bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen. Av de skäl som anges i avsnitt 5.4.3 bör Justi- tiekanslern handlägga sådana skadeståndsanspråk. I 9 kap. 4 § och 10 kap. 1 § lagen om internationellt polisiärt samarbete finns det hänvisningar till reglerna i 33 och 34 §§ per- sonuppgiftslagen om överföring av personuppgifter till tredjeland. De hänvisningarna bör upphävas. Hänvisningen i 9 kap. 4 § bör ersättas med en hänvisning till motsvarande bestämmelser i brotts- datalagen. Frågan är hur hänvisningen bör utformas, eftersom reg- lerna i personuppgiftslagen utgår från ett förbud mot överföring, medan brottsdatalagen reglerar när överföring är tillåten. Utred- ningen anser att den lämpligaste lösningen är att i 9 kap. 4 § hänvisa till bestämmelsen om grundläggande förutsättningar för överföring av personuppgifter i 8 kap. 1 § brottsdatalagen. Då ger regleringen i princip samma skydd som . När det gäller hänvisningen i 10 kap. 1 § är den av en annan karaktär. Den hör samman med att 33 § personuppgiftslagen förbjuder överföring till tredjeland. Efter- som brottsdatalagen har en annan lagteknisk utformning behövs inte någon motsvarande bestämmelse. Den bör därför inte ersättas. Viss anpassning bör också göras i förordningen (2017:504) om internationellt polisiärt samarbete. Utredningens förslag: Lagen om elimine- ringsdatabas ska gälla utöver brottsdatalagen. Bestämmelser som blir överflödiga till följd av det ska upphävas. Bestämmelserna om gallring ska ändras till bestämmelser om längsta tid som personuppgifter får behandlas. Hänvisningen till personuppgiftslagens bestämmelse om skadestånd ska ändras till en hänvisning till brottsdatalagen. Skälen för utredningens förslag Lagen ska gälla utöver brottsdatalagen Enligt 2 § lagen (2014:400) om eliminerings- databas gäller lagen utöver personuppgiftslagen. Av de skäl som an- ges i avsnitt 5.2 bör lagen om elimineringsdata- bas gälla utöver brottsdatalagen. Den paragraf som anger lagens förhållande till personuppgiftslagen bör därför ändras. Förslaget att lagen om elimineringsdatabas ska gälla utöver brottsdatalagen innebär att 6 § om skyldighet att utse personuppgiftsombud och 7 § om tillgången till personupp- gifter inte längre behövs, eftersom det finns en generell reglering om det i brottsdatalagen. De paragraferna bör därför upphävas. Bestämmelserna om gallring och skadestånd I avsnitt 5.5.1 konstaterar utredningen att vissa bestämmelser om gallring inte är gallringsbestämmelser i arkivrättslig mening utan dataskyddsregler. Utredningen föreslår i avsnitt 5.5.2 att sådana be- stämmelser i myndigheternas registerförfattningar ska formuleras om så att de i stället reglerar hur länge personuppgifter får behand- las. Gallringsbestämmelserna i 11 § lagen om elimineringsdatabas är enligt utredningens mening dataskyddsbe- stämmelser. De bör därför ändras så att de i stället anger hur länge uppgifterna i registret får behandlas. I 12 § föreskrivs att personuppgiftslagens bestämmelser om rättelse och skadestånd ska tillämpas på motsvarande sätt vid per- sonuppgiftsbehandling enligt lagen om elimine- ringsdatabas eller enligt föreskrifter som har meddelats i anslutning till den. Eftersom lagen föreslås gälla utöver brottsdatalagen behövs det ingen särskild bestämmelse om rättelse. Paragrafen bör däremot ändras på det sättet att den hänvisar till brottsdatalagens bestäm- melse om skadestånd. Av de skäl som anges i avsnitt 5.4.3 bör Justitiekanslern handlägga sådana skadeståndsanspråk. Viss anpassning bör också göras i förordningen (2014:405) om elimineringsdatabas. 17.5Hänvisningar till lag ska upphävas Utredningens förslag: Kvarvarande hänvisningar till lag ska upphävas. Skälen för utredningens förslag: I delbetänkandet föreslår utred- ningen att lag ska upphävas (se SOU 2017:29 s. 145 f.). I ett flertal lagar föreskrivs det att bestämmelserna lag har företräde. I delbetänkandet föreslår utredningen att hänvisningarna till lag i lagen (2000:562) om internationell rättslig hjälp i brottmål, lagen (2000:1219) om internationellt tullsamarbete, lagen (2003:1174) om vissa former av internationellt samarbete i brotts- utredningar och lagen om internationellt polisiärt samarbete ska upphävas. Även hänvisningar i andra lagar och förordningar bör upphävas. Det som är aktuellt är upphävande av bestämmelser i lagen om belastningsregister, lagen om misstankeregister och lagen (2001:184) om behandling av personuppgifter i Kronofogdemyn- dighetens verksamhet. Den uppdrag som haft i uppdrag att anpassa domstolsdatalagen till dataskyddsförordningen föreslår att motsva- rande bestämmelse i domstolsdatalagen ska upphävas, varför utred- ningen inte lägger fram något sådant förslag (se Ds 2017:41 s. 127). Utredningens förslag: De nya författningarna, ändringarna i de befintliga registerförfattningarna och övriga författningsförslag ska träda i kraft . Skälen för utredningens förslag: Brottsdatalagen föreslås träda i kraft (se SOU 2017:29 s. 655). Registerförfatt- ningarna föreslås gälla utöver brottsdatalagen. De nya författ- ningarna, ändringarna i de befintliga registerförfattningarna och övriga författningsförslag som behandlas i detta betänkande bör därför träda i kraft . 18.2Samma övergångsbestämmelser för flertalet författningar I delbetänkandet föreslår utredningen övergångsbestämmelser till brottsdatalagen (se SOU 2017:29 s. 655 f.). Viss reglering kommer i fortsättningen enbart att finnas i brottsdatalagen, medan andra bestämmelser kompletteras eller preciseras i registerförfattningarna (se avsnitt 5.2). Det kan då krävas motsvarande övergångsbestäm- melser till registerförfattningarna som till brottsdatalagen. Det är framför allt bestämmelserna om skadestånd och sanktionsavgift som gör att det krävs samma typ av övergångsbestämmelser till registerförfattningarna. I kapitlen som behandlar registerförfatt- ningarna tar utredningen enbart upp frågan om befintliga över- gångsbestämmelser kan behållas eller måste ändras (se avsnitt 8.7 och 10.5) och om det finns behov av nya specifika övergångsbe- stämmelser till en viss registerförfattning (se avsnitt 12.11). Det generella behovet av övergångsbestämmelser behandlas alltså i detta avsnitt. Utredningens förslag: Äldre bestämmelser ska fortsätta att gälla för frågor om skadestånd för skada vid personuppgiftsbe- handling enligt registerförfattningarna, om skadan har orsakats före ikraftträdandet. Skälen för utredningens förslag: Enligt punkten 8 i övergångsbe- stämmelserna till brottsdatalagen ska bestämmelserna om skade- stånd i 48 § personuppgiftslagen fortsätta att gälla för skada som har orsakats före ikraftträdandet av brottsdatalagen vid behandling av personuppgifter som rör brottsbekämpning, lagföring, straff- verkställighet och upprätthållande av allmän ordning och säkerhet (se SOU 2017:29 s. 658 f.). Motsvarande övergångsbestämmelser behövs i registerförfatt- ningarna, eftersom övergångsbestämmelsen till brottsdatalagen inte täcker personuppgiftsbehandling i strid med registerförfattningar- na. Sådana övergångsbestämmelser behövs även i andra författ- ningar som gäller utöver brottsdatalagen och som hänvisar till brottsdatalagens reglering i fråga om skadestånd. Utredningens förslag: Sanktionsavgift ska inte få tas ut för överträdelse av bestämmelser om personuppgiftsbehandling i registerförfattningarna, om överträdelsen har begåtts före ikraft- trädandet. Äldre bestämmelser ska fortsätta att gälla för sådana överträ- delser som kan föranleda straffansvar enligt personupp- giftslagen och som ligger före ikraftträdandet. Skälen för utredningens förslag: Enligt punkten 4 i övergångsbe- stämmelserna till brottsdatalagen får sanktionsavgift inte tas ut för överträdelser av bestämmelser om personuppgiftsbehandling som har begåtts före ikraftträdandet. Om överträdelsen var straffbelagd enligt 49 § personuppgiftslagen ska enligt punkten 5 äldre före- skrifter fortsätta att gälla (se SOU 2017:29 s. 659 f.). Utredningen föreslår att vissa överträdelser av bestämmelser i registerförfattningarna ska kunna leda till att sanktionsavgift tas ut (se avsnitt 5.4.2 och 12.8). Av samma skäl som det behövs över- gångsbestämmelser till bestämmelsen om sanktionsavgift i brotts- datalagen behövs sådana till registerförfattningarna. Straffbestämmelsen i 49 § personuppgiftslagen gäller endast för kriminalvårdens personuppgiftsbehandling. Det är således endast till kriminalvårdens brottsdatalag som det behövs en särskild över- gångsbestämmelse som anger att straffbestämmelsen ska fortsätta att tillämpas på överträdelser som begåtts före ikraftträdandet. 18.3Övergångsbestämmelser till Säkerhetspolisens datalag och domstolarnas brottsdatalag Utredningens bedömning: Det behövs inga övergångsbestäm- melser för Säkerhetspolisens och domstolarnas behandling av personuppgifter. Utredningens förslag: För ärenden om tillsyn över personupp- giftsbehandling som omfattas av de nya lagarnas tillämpnings- område och som inte har avgjorts när de träder i kraft ska äldre bestämmelser om handläggningen fortsätta att gälla. Äldre bestämmelser ska också fortsätta att gälla för överkla- ganden och frågor om skadestånd för skada vid personuppgifts- behandling som orsakats före ikraftträdandet. Skälen för utredningens bedömning och förslag: Utredningen föreslår att det införs nya lagar för Säkerhetspolisens personupp- giftsbehandling som rör nationell säkerhet i myndighetens brotts- bekämpande och lagförande verksamhet och för domstolarnas be- handling av personuppgifter inom brottsdatalagens tillämpnings- område. Det som behöver regleras i övergångsbestämmelser till de nya lagarna är framför allt hur pågående ärenden hos dessa myn- digheter och hos tillsynsmyndigheterna bör hanteras. I frågor som rör behandling av personuppgifter bör den nya lag- stiftningen tillämpas från det att den träder i kraft. Det innebär exempelvis att framställningar om att få del av information, ären- den om rättelse och andra oavslutade ärenden ska hanteras enligt de nya lagarna. Några övergångsbestämmelser för handläggningen av frågor som rör personuppgiftsbehandlingen behövs därmed inte. Beträffande tillsynsåtgärder följer det av allmänna principer att förelägganden och förbud som har meddelats med stöd av person- uppgiftslagen och som rör den nya lagens tillämpningsområde fort- sätter att gälla trots att personuppgiftslagen upphävts (se SOU 2017:29 s. 658). Det behövs därför inte några särskilda övergångs- bestämmelser för det. När det gäller andra frågor om tillsyn över behandling av per- sonuppgifter föreslår utredningen i delbetänkandet att äldre be- stämmelser ska fortsätta att gälla för ärenden som har påbörjats före ikraftträdandet men inte hunnit avgöras när brottsdatalagen träder i kraft (se SOU 2017:29 s. 658 f.). Motsvarande övergångs- bestämmelser bör tas in i de nya lagarna. Av de skäl som anges i delbetänkandet bör äldre bestämmelser fortsätta att gälla vid skada som har orsakats vid personuppgiftsbe- handling enligt nuvarande reglering. Detsamma bör gälla för över- klaganden i ännu inte avslutade ärenden som rör behandlingen av personuppgifter, om det överklagade beslutet har meddelats före ikraftträdandet (se SOU 2017:29 s. 658 f.). Övergångsbestämmel- ser med den innebörden bör därför tas in i de nya lagarna. Utredningens förslag: Bestämmelserna om loggning behöver inte tillämpas förrän i automatiserade behand- lingssystem som Säkerhetspolisen har inrättat före den nya lagens ikraftträdande. Skälen för utredningens förslag Särskilda övergångsbestämmelser för existerande behandlingssystem Utredningen föreslår en övergångsbestämmelse till brottsdatalagen som föreskriver att bestämmelserna om loggning inte behöver till- lämpas förrän i automatiserade behandlingssystem som har inrättats före , vilket är det datum då de författningar som genomför direktivet senast ska vara i kraft. Skälet till det är att det skulle kräva oproportionerliga ansträngningar för myndigheterna att redan när brottsdatalagen träder ikraft anpassa sina system till de nya loggningskraven och att direktivet medger anstånd med anpassningen (se SOU 2017:29 s. 663). Säkerhetspolisen använder automatiserade behandlingssystem som har inrättats före , vilket är det datum då den nya lagen föreslås träda i kraft. Det som har framförts angående övriga myndigheters behov av extra tid för anpassning av systemen är relevant även för Säkerhetspolisen. Det finns därmed behov av en övergångsbestämmelse som reglerar kraven på loggning i den nya lagen med tillhörande förordning. Den bör föreskriva att de nya reglerna om loggning inte behöver tillämpas förrän om det är fråga om automatiserade behandlings- system som har inrättats före den nya lagens ikraftträdande. Enligt utredningens mening bör Säkerhetspolisen få för anpass- ning av it-systemen som övriga brottsbekämpande myndigheter. Övergångsbestämmelsen bör således föreskriva att bestämmelserna om loggning inte behöver tillämpas förrän . Någon motsvarande övergångsbestämmelse behövs inte för domstolarna, eftersom de omfattas av övergångsbestämmelsen till brottsdata- lagen. Som utredningen påpekar i delbetänkandet påverkar den nu aktuella övergångsbestämmelsen inte de generella krav på loggning som redan gäller (se SOU 2017:29 s. 663). 18.4.1Den nya dataskyddsregleringen medför särskilda övergångsproblem Direktivet ska vara genomfört . Utredningen före- slår därför att brottsdatalagen och övriga författningsförslag ska träda i kraft . Dataskyddsförordningen ska däremot börja tillämpas först . Den nationella lagstiftningen som kompletterar den föreslås träda i kraft , då person- uppgiftslagen ska upphöra att gälla. Den omständigheten att tid- punkterna för när direktivet ska vara genomfört och när förord- ningen ska börja tillämpas är olika kan leda till övergångsproblem när det gäller de registerförfattningar som innehåller bestäm- melser inom både brottsdatalagens och dataskyddsförordningens tillämpningsområde. Det gäller kriminalvårdens, och åklagarväsendets registerförfattningar. För Säkerhetspolisen är eventuella övergångsproblem i stället kopplade till om polisdatalagen ändras innan det finns ny lagstift- ning för Säkerhetspolisens personuppgiftsbehandling. För domsto- larna är det den omständigheten att arbetet med att genomföra direktivet kan dra ut som kan medföra problem. Några motsvarande problem finns inte för övriga registerför- fattningar. 18.4.2Problemen med olika ikraftträdandetidpunkter Utredningens bedömning: Om ändringarna i lagen om behand- ling av personuppgifter inom kriminalvården, kustbevaknings- datalagen och åklagardatalagen träder i kraft innan det finns nya författningar som reglerar personuppgiftsbehandlingen utanför brottsdatalagens tillämpningsområde, bör de nuvarande bestäm- melserna i registerförfattningarna i fråga och i personuppgifts- lagen fortsätta att gälla tills vidare. Om ändringarna i polisdatalagen träder i kraft innan det finns ny lagstiftning för Säkerhetspolisen, bör bestämmelserna i polis- datalagen och personuppgiftslagen fortsätta att gälla tills vidare. Utredningens förslag: Vissa bestämmelser som reglerar idrotts- organisationernas behandling av uppgifter om tillträdesförbud ska börja tillämpas senare än ändringarna som reglerar Polis- myndighetens personuppgiftsbehandling i tillträdesförbuds- registret. Skälen för utredningens bedömning och förslag , åklagarväsendets och kriminalvårdens registerförfattningar Utredningen föreslår att endast de delar av , åklagarväsendets och kriminalvårdens personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde ska regleras i de befintliga registerförfattningarna. Det innebär att , då lagstiftningen som genomför direktivet föreslås träda i kraft, kommer de bestämmelser i myndigheternas registerförfatt- ningar som reglerar frågor utanför brottsdatalagens tillämpnings- område att upphävas. Som tidigare nämnts utreds de delar av lagen om behandling av personuppgifter inom kriminalvården och kustbevakningsdatalagen som ligger utanför brottsdatalagens tillämpningsområde av andra utredare, medan motsvarande fråga beträffande åklagardatalagen hanteras i (se avsnitt 9.1.1, 11.1.1 och 13.1.2). De andra utredarna har föreslagit eller förväntas föreslå att personupp- giftsregleringen utanför brottsdatalagens tillämpningsområde ska träda i kraft när dataskyddsförordningen ska börja tillämpas. Om den lagstiftning som genomför direktivet träder i kraft kommer det inte att fin- nas någon reglering för den personuppgiftsbehandling som ligger utanför brottsdatalagens tillämpningsområde. Därför behövs det övergångsbestämmelser så att de bestämmelser i kriminalvårdens, och åklagarväsendets nuvarande registerförfatt- ningar som reglerar frågor utanför brottsdatalagens tillämpnings- område fortsätter att gälla fram till dess att de nya lagarna träder i kraft. Eftersom registerförfattningarna hänvisar till bestämmelser i personuppgiftslagen måste även förhållandet till den lagen regle- ras. En sådan reglering skulle kunna utformas på följande sätt. Lagen om behandling av personuppgifter inom kriminalvården i dess lydelse före och personuppgiftslagen (1998:204) gäller fortfarande för sådan behandling av personuppgifter som inte utförs i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndighet när den utför arbetsuppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Kustbevakningsdatalagen i dess lydelse före och per- sonuppgiftslagen (1998:204) gäller fortfarande för sådan behandling av personuppgifter som inte utförs i syfte att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Åklagardatalagen i dess lydelse före och personupp- giftslagen (1998:204) gäller fortfarande för sådan behandling av per- sonuppgifter som inte utförs i syfte att bekämpa eller lagföra brott eller handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Övergångsbestämmelserna kan upphävas när de nya lagarna träder i kraft. Utredningen föreslår i avsnitt 14.2.2 att Säkerhetspolisens person- uppgiftsbehandling inte längre ska regleras i polisdatalagen utan i en ny lag. De bestämmelser som rör Säkerhetspolisens personupp- giftsbehandling i polisdatalagen ska därför enligt förslaget upphä- vas. Om ändringarna i polisdatalagen träder i kraft innan den nya lagen träder i kraft, kommer Säkerhetspolisens personuppgiftsbe- handling att vara oreglerad . Det behövs därför en övergångsbestämmelse som föreskriver att bestämmelserna i polis- datalagen ska fortsätta att gälla fram till dess att den nya lagen trä- der i kraft. Dessutom måste det säkerställas att de hänvisningar till personuppgiftslagen som görs i polisdatalagen också fortsätter att gälla. En sådan reglering skulle kunna utformas på följande sätt. Polisdatalagen i dess lydelse före och personuppgifts- lagen (1998:204) gäller fortfarande för Säkerhetspolisens behandling av personuppgifter. Övergångsbestämmelsen kan upphävas när den nya lagen träder i kraft. Lagen om register över tillträdesförbud vid idrottsarrangemang När det gäller ändringarna i lagen om register över tillträdesförbud vid idrottsarrangemang bör ändringarna träda i kraft , eftersom bestämmelserna om personupp- giftsbehandling bör börja tillämpas som övriga anpass- ningar av myndighetens registerlagstiftning. Även de ändringar som föreslås för idrottsorganisationernas personuppgiftsbehand- ling kan till största delen börja tillämpas då. Däremot är det inte möjligt att låta de bestämmelser som är knutna till person- uppgiftslagen upphöra förrän dataskyddsförordningen börjar till- lämpas . De paragrafer som hänvisar till bestäm- melser i personuppgiftslagen (4 och 15 §§) bör därför fortsätta att gälla fram till dess. Den bestämmelse som tydliggör att dataskydds- förordningen med kompletterande lagstiftning ska tillämpas vid idrottsorganisationernas personuppgiftsbehandling kan inte börja tillämpas förrän , vilket bör framgå genom en över- gångsbestämmelse. 18.4.3Problem om genomförandet av direktivet fördröjs Utredningens bedömning: Om ändringarna i domstolsdata- lagen träder i kraft före domstolarnas brottsdatalag, bör dom- stolsdatalagen i dess lydelse före och person- uppgiftslagen fortsätta att gälla tills vidare för sådan behandling av personuppgifter som undantas från dataskyddsförordningens tillämpningsområde.