sou · H5B329 · 2017-04-05 00:00:00 — 1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med denna lag, eller föreskrifter som har med- delats i anslutning till den, har orsakat. Överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig 2 § Beslut i fråga om rättelse eller komplettering enligt 4 kap. 9 § första stycket, radering enligt 4 kap. 10 § första stycket, eller begräns- ning av behandlingen enligt 4 kap. 9 § andra stycket eller 10 § andra stycket, som har meddelats av en myndighet i egenskap av personupp- giftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsam- ma gäller beslut att inte lämna information enligt 4 kap. 3 eller 4 §, att ta ut avgift enligt 4 kap. 12 § andra stycket eller att inte medge om- prövning av ett automatiserat beslut enligt 2 kap. 19 § första stycket. Prövningstillstånd krävs vid överklagande till kammarrätten. Första stycket gäller inte beslut av regeringen, , eller ombudsmän. 3 § beslut att avslå en begäran om besked enligt 5 kap. 9 § får överklagas till allmän förvaltningsdomstol. Om domstolen bifaller överklagandet, ska den förelägga tillsyns- myndigheten att inom en bestämd tid lämna den registrerade besked i fråga om tillsyn kommer att utövas. Domstolens beslut får inte överklagas. Överklagande av andra beslut av tillsynsmyndigheten 4 § beslut enligt denna lag eller enligt föreskrif- ter som har meddelats i anslutning till den får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Beslut som inte får överklagas 5 § Andra beslut enligt denna lag än de som anges i 2–4 §§ får inte överklagas. Överföring av personuppgifter till tredjeland och internationella organisationer Grundläggande förutsättningar för överföring 1 § En behörig myndighet får överföra personuppgifter som behandlas till ett tredjeland eller en internationell organisation. Det gäller även överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organisation. Personuppgifterna får dock endast överföras om överföringen 1. är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påfölj- der eller upprätthålla allmän ordning och säkerhet, 2.riktas till en behörig myndighet i ett tredjeland eller till en inter- nationell organisation som är en behörig myndighet, och a)ett beslut om adekvat skyddsnivå enligt 3 §, eller b)tillräckliga skyddsåtgärder enligt 4 §, eller c)ett undantag för särskilda situationer enligt 5 §. En behörig myndighet som avser att överföra personuppgifter till ett tredjeland eller en internationell organisation ska särskilt beakta risken för att enskilda får försämrat skydd för sina personuppgifter. 2 § Personuppgifter som en svensk myndighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. Om medgivande enligt första stycket på grund av tidsbrist inte kan inhämtas i förväg, får personuppgifter ändå överföras om det är nöd- vändigt för att avvärja en omedelbar och allvarlig fara för allmän säker- het. Detsamma gäller om det är nödvändigt för att avvärja en omedel- bar och allvarlig fara för andra väsentliga intressen för eller en annan medlemsstat. Tillåtna grunder för överföring Beslut om adekvat skyddsnivå 3 § Om Europeiska kommissionen har beslutat att det finns en ade- kvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geografisk eller på annat sätt angiven del av det, får personuppgifter överföras dit. Detsamma gäller om det finns ett sådant beslut avseende en internationell organisation. 4 § Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 §, får personuppgifter ändå överföras till ett tredjeland eller en internationell organisation om 1. skyddsåtgärder för personuppgifter har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter, eller 2. den behöriga myndighet som uppgifterna ska överföras till på annat sätt garanterar tillräckligt skydd för dem. Överföring i särskilda situationer 5 § Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 § eller tillräckliga skyddsåtgärder enligt 4 §, får en överföring, eller en sam- ling av överföringar, av personuppgifter göras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig för att 1.skydda den registrerades eller en annan fysisk persons vitala in- tressen, eller andra berättigade intressen för den registrerade, 2.i ett enskilt fall förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påfölj- der eller upprätthålla allmän ordning och säkerhet, 3.i ett enskilt fall kunna fastställa, göra gällande eller försvara ett rättsligt anspråk som hänför sig till ett sådant syfte som anges i 2, eller 4.avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får inte överföras till ett tredjeland eller en inter- nationell organisation om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av en sådan överföring som avses i första stycket 2 eller 3. 6 § En svensk behörig myndighet får inte tillåta att sådana person- uppgifter som anges i 2 § första stycket, och som överförts till ett tredjeland eller en internationell organisation, vidareöverförs till ett tredjeland eller en internationell organisation, om inte en behörig myndighet i den andra medlemsstaten har medgett att uppgifterna får vidareöverföras. 7 § När en behörig myndighet ska ta ställning till om personuppgifter som behandlats i och därefter lämnats till en annan medlems- stat, som överfört dem till ett tredjeland eller en internationell organi- sation, får vidareöverföras till ett tredjeland eller en internationell organisation, ska alla kända omständigheter som har samband med vidareöverföringen beaktas. Särskild vikt ska läggas vid brottets allvar, allvaret i faran för allmän säkerhet, det ändamål för vilket personupp- gifterna ursprungligen lämnades till den andra medlemsstaten och nivån på skyddet av personuppgifter i det tredjelandet eller hos den internationella organisationen dit uppgifterna ska vidareöverföras. Överföring till andra än behöriga myndigheter 8 § En behörig myndighet, med undantag för en annan aktör som ut- övar myndighet, får i ett enskilt fall, trots kravet i 1 § 2, överföra per- sonuppgifter till någon som inte är en behörig myndighet i ett tredje- land. Personuppgifterna får överföras endast om 1.det är absolut nödvändigt för att den svenska myndigheten ska kunna utföra en arbetsuppgift enligt 1 kap. 2 § som den har ansvar för, 2.den svenska myndigheten informerar den som ska ta emot per- sonuppgifterna om det eller de specifika ändamål för vilket eller vilka uppgifterna får behandlas, och 3.det skulle vara ineffektivt eller olämpligt att överföra dem till be- hörig myndighet i det tredjelandet. Personuppgifter får inte överföras enligt första stycket om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av att över- föringen görs. 9 § Om en svensk behörig myndighet har fått personuppgifter från ett tredjeland eller en internationell organisation och gäller på grund av en överenskommelse med det tredjelandet eller den internationella orga- nisationen villkor som begränsar möjligheten att använda uppgifterna, ska svenska myndigheter följa villkoren oavsett vad som är föreskrivet i lag eller annan författning. 10 § En svensk behörig myndighet får, vid överföring av personupp- gifter till ett tredjeland eller en internationell organisation, i ett enskilt fall ställa upp villkor som begränsar möjligheten att använda uppgifter- na, om det krävs med hänsyn till enskilds rätt eller från allmän syn- punkt. 11 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.information till annan medlemsstat när personuppgifter över- förts utan förhandsmedgivande enligt 2 § andra stycket, 2.information till behörig myndighet i tredjeland när personupp- gifter överförts enligt 8 §, och 3.dokumentation av överföringar och information om sådana till tillsynsmyndigheten. 1.Denna lag träder i kraft . 2.Genom lagen upphävs lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. 3.Bestämmelsen i 3 kap. 5 § om loggning behöver inte tillämpas på automatiserade behandlingssystem som inrättats före förrän . 4.Sanktionsavgift enligt 6 kap. får beslutas endast för överträdelser som har begåtts efter ikraftträdandet. 5.För överträdelser av bestämmelser om personuppgiftsbehandling som rör brottsbekämpning, lagföring, straffverkställighet och upprätt- hållande av allmän ordning och säkerhet som begåtts före ikraftträdan- det gäller fortfarande äldre föreskrifter. 6.Ärenden om tillsyn över personuppgiftsbehandling och som Datainspektionen eller inte har avgjort före ikraftträdandet handläggs enligt äldre föreskrifter. 7.Äldre föreskrifter gäller fortfarande för överklagande av beslut som meddelats före ikraftträdandet och som rör behandling av person- uppgifter för brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet. 8.Bestämmelserna om skadestånd i 48 § i personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats vid behand- ling av personuppgifter som rör brottsbekämpning, lagföring, straff- verkställighet och upprätthållande av allmän ordning och säkerhet före ikraftträdandet. brottsdataförordning (2018:000) Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § I denna förordning finns kompletterande föreskrifter beträffande sådan behandling av personuppgifter som omfattas av brottsdatalagen (2018:000). 2 § Uttryck som används i denna förordning har samma innebörd och tillämpningsområde som i brottsdatalagen (2018:000). 2 kap. Behandling av personuppgifter 1 § Om det visar sig att sådana personuppgifter som anges i 2 kap. 15 § första stycket eller 16 § första stycket brottsdatalagen (2018:000) har lämnats ut ska mottagaren underrättas om det. Detsamma gäller så långt möjligt den som har tagit del av sådana personuppgifter som har gjorts tillgängliga. 2 § Den personuppgiftsansvarige ska se till att det finns rutiner för 1.att säkerställa att de som behandlar personuppgifter respekterar fristerna för när personuppgifter inte längre får behandlas, och 2.årlig översyn av behovet av att lagra personuppgifter. 3 § Den som lämnar ut personuppgifter ska underrätta mottagaren om sådana särskilda villkor för behandlingen som har ställts upp med stöd av en bindande unionsrättsakt, en lag eller en förordning. 3 kap. Personuppgiftsansvarigas skyldigheter Tekniska och organisatoriska åtgärder 1 § De åtgärder som den personuppgiftsansvarige ska vidta enligt 3 kap. 2 och 3 §§ brottsdatalagen (2018:000) ska vara rimliga med be- aktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen. ansvarige vidtar åtgärder enligt 3 kap. 3 § samma lag ska även de tek- niska möjligheterna och kostnaderna för åtgärderna beaktas. 2 § De åtgärder som avses i 3 kap. 2 § brottsdatalagen (2018:000) ska, om det inte är uppenbart obehövligt med hänsyn till verksamhetens begränsade omfattning, innefatta antagande och dokumentation av interna strategier för dataskydd. 3 § Den personuppgiftsansvarige ska förteckna kategorier av behand- lingar av personuppgifter som denne ansvarar för. Registret ska, för- utom namnet på och kontaktuppgifter till den personuppgiftsansva- rige, gemensamt personuppgiftsansvariga och dataskyddsombud, för varje kategori av behandling innehålla följande uppgifter. 1.Den rättsliga grunden för behandlingen. 2.Ändamålen med behandlingen. 3.Kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas. 4.Kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, även i tredjeland eller internationella organisationer. 5.Kategorier av registrerade som berörs av behandlingen. 6.Kategorier av personuppgifter som kan komma att behandlas. 7.Samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer. 8.Användning av profilering. 9.Om det är möjligt, tidsfrister för hur länge kategorierna av per- sonuppgifter får behandlas. 10.Om det är möjligt, en allmän beskrivning av vilka säkerhetsåt- gärder som har vidtagits. 4 § Skyldigheten att föra loggar i automatiserade behandlingssystem enligt 3 kap. 5 § brottsdatalagen (2018:000) ska omfatta behandlingar som innebär insamling, ändring, läsning, utlämning, överföring till tredjeland eller internationella organisationer, sammanföring och rade- ring av personuppgifter. Loggarna över läsning och utlämning ska visa datum och tidpunkt för behandlingen och, så långt möjligt, vem som har läst eller lämnat ut personuppgifterna och vem som har fått ta del av personuppgifterna. 5 § Konsekvensbedömningar som avses i 3 kap. 7 § första stycket brottsdatalagen (2018:000) ska dokumenteras och innehålla följande uppgifter. 1.En allmän beskrivning av den planerade behandlingen. 2.En bedömning av riskerna för intrång i registrerades personliga integritet. 3.Vilka åtgärder som planeras för att hantera riskerna. 4.Åtgärder och rutiner för att säkerställa skyddet av personuppgif- terna. 5.Rutiner för att visa att tillämpliga dataskyddsregler följs. 6 § Vid förhandssamråd enligt 3 kap. 7 § andra stycket brottsdatalagen (2018:000) ska den personuppgiftsansvarige ge in konsekvensbedöm- ningen till tillsynsmyndigheten och tillhandahålla den övriga informa- tion som begärs av myndigheten. Vid bedömningen av om typen av behandling innebär sådan risk för intrång i registrerades personliga integritet att förhandssamråd ska äga rum ska ny teknik, nya rutiner eller nya förfaranden särskilt beaktas. 7 § Den personuppgiftsansvarige ska ha interna rutiner för anmälan av överträdelser av bestämmelser om personuppgiftsbehandling som garanterar att anmälarens identitet skyddas. Säkerheten vid behandling av personuppgifter 8 § Skyddsåtgärder enligt 3 kap. 8 § brottsdatalagen (2018:000) ska åstadkomma en skyddsnivå som är lämplig med beaktande av 1.de tekniska möjligheterna, 2.kostnaderna för åtgärderna, 3.behandlingens art, omfattning, sammanhang och ändamål, 4.de särskilda riskerna med behandlingen, 5.om känsliga personuppgifter behandlas, och 6.hur integritetskänsliga övriga personuppgifter som behandlas är. 9 § Av 10 a och 39 §§ säkerhetsskyddsförordningen (1996:633) fram- går vilka incidenter som enligt 3 kap. 9 § första stycket brottsdatalagen (2018:000) inte ska anmälas till tillsynsmyndigheten på grund av att de rör nationell säkerhet. 10 § En anmälan enligt 3 kap. 9 § första stycket brottsdatalagen (2018:000) ska innehålla följande information. 1.En beskrivning av personuppgiftsincidenten och när den inträf- 2.Kategorier av registrerade och det uppskattade antalet registre- rade som berörs. 3.Kategorier av personuppgiftsposter och det uppskattade antalet poster som berörs. 4.Sannolika konsekvenser av incidenten. 5.Vilka åtgärder som vidtagits eller kommer att vidtas med anled- ning av incidenten. 6.Genomförda eller planerade underrättelser till registrerade. 7.Namnet på och kontaktuppgifter till dataskyddsombud eller annan lämplig kontaktpunkt. All information enligt första stycket ska lämnas om det är möjligt. Om anmälan görs senare än efter att personuppgifts- incidenten blev känd för den personuppgiftsansvarige ska förseningen förklaras. 11 § En underrättelse enligt 3 kap. 10 § första stycket brottsdatalagen (2018:000) ska innehålla följande uppgifter. 1.En beskrivning av personuppgiftsincidenten och när den inträf- 2.Bedömda konsekvenser för den registrerade. 3.Vilka åtgärder som vidtagits eller kommer att vidtas med anled- ning av personuppgiftsincidenten. 4.Åtgärder som den registrerade kan vidta för att begränsa skadan. 5.Kontaktuppgifter till dataskyddsombud eller annan lämplig kon- taktpunkt. 12 § Den personuppgiftsansvarige ska dokumentera alla personupp- giftsincidenter. Av dokumentationen ska framgå omständigheterna rörande incidenten, dess effekter och de åtgärder som vidtagits med anledning av den. 13 § Om en personuppgiftsincident rör personuppgifter som kommer från eller har lämnats till en behörig myndighet i en annan medlems- stat ska sådan information som anges i 10 § första stycket utan onö- digt dröjsmål lämnas till den myndigheten. 14 § Den personuppgiftsansvarige ska säkerställa att dataskyddsom- bud ges möjlighet att delta i de frågor som rör skyddet av personupp- gifter. Den personuppgiftsansvarige ska se till att dataskyddsombud kan utföra de uppgifter som anges i 3 kap. 14 och 15 §§ brottsdatalagen (2018:000) genom att tillhandahålla nödvändiga resurser, ge tillgång till dokumentation om behandling av personuppgifter och vid behov medge åtkomst till personuppgifter som behandlas. Den personupp- giftsansvarige ska också se till att dataskyddsombud ges möjlighet att upprätthålla sin sakkunskap. Avtalets eller överenskommelsens innehåll 15 § Ett avtal eller en annan överenskommelse enligt 3 kap. 18 § brottsdatalagen (2018:000) ska åtminstone ange vad behandlingen ska avse, hur länge behandlingen ska pågå, dess art och ändamål, typen av personuppgifter, kategorier av registrerade och den personuppgiftsan- svariges skyldigheter och rättigheter. I avtalet eller överenskommelsen ska det särskilt föreskrivas att personuppgiftsbiträdet ska 1.behandla personuppgifter bara enligt instruktioner från den per- sonuppgiftsansvarige, 2.säkerställa att personer som har tillstånd att behandla personupp- gifter har förbundit sig att iaktta regler om tystnadsplikt eller omfattas av lagstadgad tystnadsplikt, 3.hjälpa den personuppgiftsansvarige att säkerställa att bestämmel- serna om registrerades rättigheter följs, 4.radera eller återlämna alla personuppgifter till den personupp- giftsansvarige när uppdraget har slutförts och, om inte annat följer av lag eller förordning, radera befintliga kopior, 5.ge den personuppgiftsansvarige tillgång till den information som krävs för att visa att det som sägs i denna paragraf, 16 § och 3 kap. 17– 19 §§ brottsdatalagen följs, och 6. respektera de villkor som framgår av denna paragraf, 16 § och 3 kap. 18 § brottsdatalagen vid anlitande av ett annat personuppgifts- biträde. 16 § Har den personuppgiftsansvarige lämnat ett generellt tillstånd enligt 3 kap. 18 § andra stycket brottsdatalagen (2018:000), ska per- sonuppgiftsbiträdet informera den personuppgiftsansvarige innan nya personuppgiftsbiträden anlitas. 17 § Varje personuppgiftsbiträde ska förteckna kategorier av behand- ling av personuppgifter som utförs för en personuppgiftsansvarigs räkning. Registret ska innehålla namnet på och kontaktuppgifter till personuppgiftsbiträdet och för varje kategori av behandling följande uppgifter. 1.Namnet på och kontaktuppgifter till eventuella underbiträden. 2.Namnet på och kontaktuppgifter till den personuppgiftsansva- rige för vars räkning personuppgiftsbiträdet agerar. 3.Om överföringar av personuppgifter har gjorts till ett tredjeland eller en internationell organisation, vilka uppgifter som har överförts och till vem. 4.Om möjligt, en allmän beskrivning av de säkerhetsåtgärder som har vidtagits. 18 § Ett personuppgiftsbiträde ska utan onödigt dröjsmål underrätta den personuppgiftsansvarige om en personuppgiftsincident. 19 § Det som sägs om den personuppgiftsansvariges skyldigheter i 4 och 8 §§ gäller även för personuppgiftsbiträden. 20 § Gemensamt personuppgiftsansvariga ska i en skriftlig överens- kommelse reglera sina respektive förpliktelser i egenskap av person- uppgiftsansvarig. I överenskommelsen ska det särskilt regleras 1.hur ansvaret för enskildas rättigheter ska utövas och vars och ens skyldighet att tillhandahålla information enligt 4 kap. 1 och 2 §§ brottsdatalagen (2018:000), och 2.vem som ska vara kontaktpunkt för registrerade. En sådan överenskommelse som anges i första stycket får inte inne- bära att de personuppgiftsansvarigas författningsenliga skyldigheter inte fullgörs. Den registrerade får, trots en sådan överenskommelse som avses i första stycket, utöva sina rättigheter gentemot var och en av de per- sonuppgiftsansvariga. 21 § får meddela närmare föreskrifter om 1.sådana åtgärder som avses i 3 kap. 2–4 och 8 §§ brottsdatalagen (2018:000), 2.krav och rutiner för loggning enligt 3 kap. 5 § brottsdatalagen, 3.vilka typer av behandlingar som ska omfattas av förhandssamråd enligt 3 kap. 7 § andra stycket brottsdatalagen, och 4.anmälan och underrättelse om personuppgiftsincidenter. 4 kap. Enskildas rättigheter Krav på utformningen av information 1 § Information enligt 3 kap. 10 § första stycket och 4 kap. 1–4 §§ brottsdatalagen (2018:000) ska vara lättillgänglig och lättbegriplig och lämnas i lämplig form. Detsamma gäller information enligt 3–7 §§, 3 kap. 11 § och 5 kap. 2 § denna förordning. 2 § Begäran enligt 4 kap. 3, 4, 9 eller 10 § brottsdatalagen (2018:000) ska göras skriftligen hos den personuppgiftsansvarige. Den personuppgiftsansvarige ska säkerställa att begäran görs av en behörig person. 3 § Beslut enligt 4 kap. 5, 7, 9 och 10 §§ och 12 § andra stycket brotts- datalagen (2018:000) ska vara skriftliga. Beslut som går den registre- rade emot ska motiveras. Av 4 kap. 5 § andra och tredje styckena brottsdatalagen framgår att skälen för vissa beslut inte behöver lämnas ut. 4 § Sökanden ska utan onödigt dröjsmål underrättas om beslut enligt 4 kap. 5 § första eller tredje stycket brottsdatalagen (2018:000) i fråga om information enligt 4 kap. 3 § samma lag. Sökanden ska i sådana fall också underrättas om möjligheterna att lämna in klagomål till en till- synsmyndighet och att begära kontroll enligt 5 kap. 3 § brottsdata- lagen. Någon underrättelse behöver inte lämnas om det skulle skada det intresse som föranleder att information inte lämnas. 5 § Sökanden ska underrättas om beslut enligt 4 kap. 7 § första stycket eller 12 § andra stycket brottsdatalagen (2018:000). 6 § Den registrerade ska underrättas om beslut enligt 4 kap. 9 eller 10 § brottsdatalagen (2018:000) och om möjligheten att lämna in kla- gomål till tillsynsmyndigheten. Om den personuppgiftsansvarige med stöd av 4 kap. 5 § andra eller tredje stycket brottsdatalagen inte har lämnat ut skälen för beslutet ska den registrerade också underrättas om möjligheten att begära kontroll enligt 5 kap. 3 § brottsdatalagen. 7 § Den registrerade ska underrättas innan en begränsning enligt 4 kap. 9 § andra stycket brottsdatalagen (2018:000) upphör. 8 § Den myndighet från vilken personuppgifter kommer ska under- rättas om beslut enligt 4 kap. 9 § första stycket brottsdatalagen (2018:000). Den som har tagit emot personuppgifter ska underrättas om beslut enligt 4 kap. 9 eller 10 § brottsdatalagen. 1 § En begäran enligt 5 kap. 3 § brottsdatalagen (2018:000) ska göras skriftligen och ange vilken behörig myndighet och vilket mål, ärende, register eller verksamhetsområde som begäran om kontroll gäller. ska säkerställa att begäran görs av en behörig person. 2 § ska skriftligen underrätta den sökande om att kontroll enligt 5 kap. 3 § brottsdatalagen (2018:000) har utförts. Beslut att vägra utföra kontroll ska vara skriftliga och motiveras. 3 § Om tillsynsmyndigheten i sin tillsynsverksamhet uppmärksammar förhållanden som kan utgöra brott, ska myndigheten anmäla det till . Om tillsynsmyndigheten uppmärksammar felaktigheter som kan medföra skadeståndsansvar för staten, ska den anmäla det till Justitie- kanslern.