sou · H5B357 · 2017-06-22 00:00:00 — Enligt vår tolkning bör således dataskyddsdirektivets mer långtgående krav gälla och inte rambeslutets. Vi menar att skäl 27 i PNR-direktivet ligger i linje med vår uppfattning i denna fråga. Det nya dataskyddsdirektivets bestämmelser om enskildas rätt till information föreslås genomföras i 4 kap. 1–7 §§ BDL och i den tillhörande förordningen. I 4 kap. 12 § BDL finns en bestämmelse om avgifter för informationen. Samtliga angivna bestämmelser är allmänt formulerade och kan tillämpas även för behandlingen av PNR-uppgifter. Brottsdatalagen kommer att gälla utöver den av oss föreslagna lagen beträffande behandling som utförs vid enheten för passagerar- information eller vid sådana behöriga myndigheter som i sin verk- samhet har att tillämpa brottsdatalagen, dvs. , Eko- brottsmyndigheten och som det ser ut . Som tidigare nämnts föreslås Säkerhetspolisen i allt väsentligt inte omfattas av brottsdatalagens tillämpningsområde. Däremot kommer det föreslås särreglering för Säkerhetspolisen. Det är rim- ligt att tro att det i det sammanhanget kommer att föreslås en generell lösning för frågan om enskildas rätt till information gällande Säker- hetspolisens verksamhet. Vi ser ingen anledning att nu föregripa det arbetet med någon särslösning för Säkerhetspolisens del. Vi gör sam- ma bedömning vad gäller Försvarsmakten vars författningsreglering av personuppgiftsbehandlingen inom försvarsunderrättelseverksam- heten och den militära säkerhetstjänsten utreds. Det är alltså vår sammantagna bedömning att särskilda bestämmelser om enskildas rätt till information från berörda myndigheter inte bör föras in i vårt lagförslag. Det bör påpekas att skyldigheten att lämna ut uppgifter i många fall kommer att begränsas av bl.a. bestämmelserna i offentlighets- och sekretesslagen. 20.3Rätt till rättelse, radering eller begränsning av behandlingen av uppgifter I artikel 18 i dataskyddsrambeslutet anges att en registrerad ska ha rätt att förvänta sig att en registeransvarig fullgör sina skyldigheter enligt rambeslutet att rätta, radera eller blockera personuppgifter. Medlemsstaterna ska fastställa hur den registrerade ska kunna göra anspråk på rätten till rättelse, radering och blockering. Om den re- gisteransvariga vägrar att rätta, radera eller blockera uppgifter måste vägran meddelas skriftligen och den registrerade informeras om möjligheterna att anföra klagomål eller begära prövning. När ett klagomål eller en begäran prövats ska den registrerade informeras om huruvida den registeransvarige handlat korrekt eller inte. Vid genomförandet av rambeslutet ansågs bestämmelsen inte kräva några ändringar eller tillägg i personuppgiftslagen (se prop. 2012/13:73 s. 95 f.), där frågan behandlas i 28 §. Se om den bestämmelsen i avsnitt 6.3.2. Artikel 16 i det nya dataskyddsdirektivet innehåller bestämmelser om registrerades rätt till rättelse eller radering av personuppgifter och begränsning av behandling. Artikeln föreslås genomföras genom 4 kap. 9 och 10 §§ BDL. I 4 kap. 9 § BDL anges att den personuppgiftsansvarige på begä- ran av den registrerade utan onödigt dröjsmål ska rätta eller komplet- tera personuppgifter som rör honom eller henne om de är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Om den personuppgiftsansvarige inte kan fastställa att personuppgifterna är korrekta ska behandlingen i stället utan onödigt dröjsmål be- gränsas. I 4 kap. 10 § första stycket BDL anges att den personuppgifts- ansvarige, på begäran av den registrerade, utan onödigt dröjsmål ska radera personuppgifter som rör honom eller henne om de behandlas i strid med vissa särskilt angivna bestämmelser i lagen som innehåller grundläggande krav på behandling av personuppgifter eller lagens bestämmelser om behandling av känsliga personuppgifter, rättslig grund eller ändamål med behandlingen. Detsamma gäller om rade- ring krävs för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. Uttrycket rättslig förpliktelse syftar på en skyldighet som åligger den personuppgiftsansvarige enligt brottsdatalagen, den behöriga myndighetens registerförfattning eller andra författningar med bestämmelser om personuppgiftsbehandling. Med radering avses detsamma som utplåning. För att radera personuppgifter i allmänna handlingar krävs författningsstöd för gallring. Utrymmet för att radera personuppgifter i allmänna handlingar på grund av att person- uppgifterna inte har behandlats författningsenligt torde därför vara begränsat (jfr bl.a. SOU 2015:39 s. 529 och 573 f.). Om förutsättningarna för att radera personuppgifter är uppfyllda, men uppgifterna behöver finnas kvar som bevisning, ska den person- uppgiftsansvarige på begäran av den registrerade i stället utan onödigt dröjsmål begränsa behandlingen av dem (4 kap. 10 § andra stycket). Med begränsning av behandling avses enligt direktivet en markering av lagrade personuppgifter i syfte att begränsa behandlingen av dem . Dagens motsvarighet till begränsning av behandling är blockering. Det är den personuppgiftsansvarige som avgör vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandling (4 kap. 11 §). Som tidigare framgått innehåller brottsdataförordningen flera be- stämmelser om enskildas rättigheter. Här framgår att beslut gällande enskildas rättigheter ska vara skriftliga och att beslut som går den registrerade emot ska motiveras, om inte annat angetts i lagen (4 kap. 3 §). Vidare anges en rad situationer då den registrerade eller andra ska underrättas om beslut och om möjligheten att lämna in klagomål till tillsynsmyndigheten m.m. Bl.a. ska en underrättelse alltid skickas på den personuppgiftsansvariges eget initiativ till den myn- dighet som har mottagit en personuppgift, för det fall denna upp- gift senare har rättats eller raderats eller behandlingen av den har begränsats (4 kap. 8 § andra stycket). 20.3.3Våra överväganden och förslag Vårt förslag: Det förs i lagen in en bestämmelse som anger att rätten till radering eller begränsning av behandling av person- uppgifter enligt 4 kap. 10 § BDL ska gälla vid behandling i strid mot bestämmelserna i vår lag om otillåten behandling av PNR- information, förbud mot behandling av känsliga personuppgifter samt skyldigheten att gallra PNR-uppgifter i PNR-databasen . Sådana beslut kan överklagas till allmän förvaltnings- domstol enligt 7 kap. 2 § BDL. Vår bedömning: Ytterligare bestämmelser om enskildas rätt till rättelse, radering eller begränsning av behandling av uppgifter behöver inte föras in i lagen. Som konstaterats i avsnitt 20.2.4 bör de nationella bestämmelser om enskildas rättigheter som genomför det nya dataskyddsdirektivet fullt ut vara tillämpliga vid sådan personuppgiftsbehandling som regleras i den av oss föreslagna lagen. Brottsdatalagen innehåller bestämmelser om den registrerades rätt till rättelse, radering och begränsning av behandling av person- uppgifter i 4 kap. 9–11 §. Bestämmelserna i 4 kap. 9 och 11 §§ är formulerade på ett sådant allmängiltigt sätt att de blir direkt tillämp- liga vid personuppgiftsbehandling även enligt vår lag, för det fall inget annat anges. Någon hänvisning till dessa bestämmelser behöver därför inte föras in i vårt lagförslag. 4 kap. 10 § anger att den registrerade har rätt till radering eller begränsning av personuppgifter om uppgifterna har behandlats i strid mot vissa angivna bestämmelser i brottsdatalagen. De angivna bestäm- melserna är av så generell natur att överträdelser av dem bör med- föra en rätt för registrerade till radering eller begränsning även vid personuppgiftsbehandling enligt vår lag. Enligt vår mening bör en registrerad dock också ha rätt till radering eller begränsning av be- handling av personuppgifter vid överträdelser av vissa centrala be- stämmelser enligt vårt lagförslag. En sådan rättighet bör förekom- ma när personuppgifter har behandlats i strid mot vår lags förbud mot behandling av känsliga personuppgifter, lagens begränsning i fråga om vad för slags brottslighet som uppgifterna får användas för samt förpliktelsen att gallra PNR-uppgifterna slutligt . Vi föreslår därför att det i lagen förs in en bestämmelse som anger att 4 kap. 10 § BDL ska tillämpas vid behandling i strid mot de an- givna bestämmelserna i vår lag. Vidare föreslår vi att det förs in en upplysning om att det i 7 kap. 2 § BDL föreskrivs att sådana beslut kan överklagas till allmän förvaltningsdomstol (se nedan i av- snitt 20.5.2). Så som vi formulerar bestämmelsen, kommer den att vara tillämp- lig alldeles oavsett vem som i ett enskilt fall har utfört den felaktiga behandlingen; ett lufttrafikföretag, enheten för passagerarinforma- tion eller en behörig myndighet. I praktiken torde den dock bara bli aktuell att tillämpa för de myndigheter som annars omfattas av Alldeles oavsett detta förutser vi dock inte att det kommer att uppstå några tillämpningsproblem med anledning av brottsdatalagbestämmelsens i viss mån vidgade tillämpningsområde. När det gäller Säkerhetspolisen och Försvars- makten gör vi vidare motsvarande bedömningar som ovan i av- snitt 20.2.4 och ser således inte skäl till att i detta lagstiftningsarbete föreslå någon särreglering vad avser motsvarigheter till 4 kap. 9 och 11 §§ BDL. Enligt artikel 19 i dataskyddsrambeslutet har var och en som lidit skada till följd av otillåten behandling av personuppgifter eller någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av rambeslutet, rätt till ersättning av den register- ansvarige, eller av en annan myndighet, för den skada han eller hon lidit. Det är inte möjligt att undgå skadeståndsansvar genom att åberopa att behandlingen avser uppgifter som har överförts från annat land och som var felaktiga redan vid överföringen. Vid genomförandet av dataskyddsrambeslutet ansågs kraven i ram- beslutet vara uppfyllda genom skadeståndsbestämmelsen i 48 § första stycket PUL. Dock ansågs inte den jämkningsmöjlighet som finns i den bestämmelsens andra stycke förenlig med rambeslutet. Därför infördes en bestämmelse i 10 § lagen (2013:329) med vissa bestäm- melser om skydd för personuppgifter vid polissamarbete och straff- rättsligt samarbete inom Europeiska unionen som anger att 48 § andra stycket PUL inte gäller för uppgifter som har överförts vid sådant polisiärt eller straffrättsligt samarbete som rambeslutet omfattar. Enligt 7 kap. 1 § BDL ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integri- teten som behandling av personuppgifter i strid med brottsdata- lagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. Bestämmelsen har utformats med motsvarande bestämmelse i personuppgiftslagen som mönster. Någon möjlighet till jämkning förekommer dock inte. 20.4.3Våra överväganden och förslag Vårt förslag: Det förs i lagen in en bestämmelse som innebär att 7 kap. 1 § BDL om skadestånd ska gälla också i fråga om behand- ling av personuppgifter i strid med bestämmelser enligt den nya lagen eller föreskrifter som meddelats med stöd av lagen. Bestämmelsen om skadestånd enligt brottsdatalagen kommer att gälla om personuppgifter behandlas i strid med den lagen eller föreskrifter som har meddelats i anslutning till den. För att bestämmelsen i brotts- datalagen även ska vara tillämplig vid behandling av personuppgifter i strid med den av oss föreslagna lagen eller med föreskrifter som meddelats med stöd av den lagen behöver en hänvisning till bestäm- melsen föras in i vårt lagförslag. Vi föreslår därför att en hänvisning till 7 kap. 1 § BDL förs in i den av oss föreslagna lagen. Den ska dock bara avse sådana över- trädelser av bestämmelser som avser att ge skydd för personupp- gifter. Om ett lufttrafikföretag bryter mot bestämmelserna i 2 kap. genom att inte skicka PNR-uppgifter till enheten för passagerar- information eller när enheten för passagerarinformation bryter mot sin skyldighet att besvara förfrågningar från behöriga myndigheter eller fullgöra sina förpliktelser om informationsutbyte med andra medlemsstater ska givetvis inte skadeståndsbestämmelsen i 7 kap. 1 § BDL tillämpas. Detta ska framgå i lagen genom att hänvisningen till 7 kap. 1 § BDL endast ska avse behandling i strid med bestämmelser i lagen eller förordningen till skydd för personuppgifter. Enligt artikel 20 i dataskyddsrambeslutet ska den registrerade ha rätt att inför domstol föra talan mot kränkningar av sådana rättigheter som skyddas av den tillämpliga lagstiftningen. En liknande skrivning i det nu gällande dataskyddsdirektivet medförde inte några särskilda lagstiftningsåtgärder vid personuppgiftslagens införande. Rambeslu- tets bestämmelser om överklagande ansågs inte heller kräva några lagstiftningsåtgärder (se prop. 2012/13:73 s. 97 f.). Rätten att vid allmän domstol föra talan mot en personuppgifts- ansvarig eller ett personuppgiftsbiträde om den registrerades rättig- heter har kränkts genom personuppgiftsbehandlingen kräver, enligt Utredningen om 2016 års dataskyddsdirektiv, inga lagstiftnings- åtgärder. Den möjlighet enskilda har att väcka talan vid allmän dom- stol i den ordning som gäller för tvistemål anses vara tillräcklig (se SOU 2017:29 s. 529 f.). Enligt brottsdatalagen ska dock beslut i fråga om rättelse, komplet- tering, radering eller begränsning av behandlingen av personuppgif- ter, som har meddelats av en myndighet i egenskap av personupp- giftsansvarig, få överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna sådan information eller att inte medge omprövning av ett automatiserat beslut. Vid överklagande till kam- marrätten ska, på samma sätt som , krävas prövningstillstånd. Beslut av regeringen, , Högsta förvaltningsdom- stolen eller ombudsmän ska inte kunna överklagas (7 kap. 2 §). En registrerads rätt att lämna in klagomål till en tillsynsmyndig- het om han eller hon anser att hans eller hennes personuppgifter har behandlats felaktigt har inte ansetts kräva några lagstiftningsåtgärder. Däremot föreslås det införas en ny möjlighet för en registrerad att föra en s.k. dröjsmålstalan mot tillsynsmyndigheten. Enligt förslaget ska tillsynsmyndigheten från den dag ett klagomål kom in till myndigheten lämna skriftligt besked om den avser att utöva tillsyn eller i ett särskilt beslut avslå begäran (5 kap. 9 §). Om tillsynsmyndigheten avslår den registrerades begäran om besked om huruvida tillsyn kommer att utövas, får han eller hon överklaga beslutet till allmän förvaltningsdomstol. Om domstolen bifaller ett överklagande av ett avslagsbeslut, ska den förelägga tillsynsmyndig- heten att, inom den tid som domstolen bestämmer, lämna den registrerade besked om tillsyn kommer att utövas. stolen avslå överklagandet. Domstolens beslut får inte överklagas. (Se 7 kap. 3 §.) I 7 kap. 4 § föreskrivs att tillsynsmyndighetens beslut i andra frågor än de som regleras i 3 § får överklagas. Det är framför allt fråga om beslut som tillsynsmyndigheten har fattat med stöd av sina korrigerande befogenheter. Det kan t.ex. vara beslut om rättelse och radering. Det kan även vara beslut om sanktionsavgift. Några andra beslut än de som uttryckligen anges i brottsdata- lagen ska inte få överklagas (7 kap. 5 §). 20.5.3Våra överväganden och förslag Vår bedömning: Ytterligare bestämmelser om enskildas rätt till rättsmedel behöver inte föras in i lagen. Bestämmelser om överklagande har tagits in i 7 kap. 2–5 §§ BDL. Att bestämmelsen i 7 kap. 2 §, som behandlar möjligheten att över- klaga vissa myndighetsbeslut, bör vara tillämplig även vid överkla- gande av sådana beslut om radering eller begränsning av uppgifter som fattas med stöd av vår lag har vi redan angett ovan. Någon hänvisning till bestämmelsen om dröjsmålstalan i 7 kap. 3 § är inte nödvändig för att bestämmelsen ska bli tillämplig för sådan behandling som avses i vår lag. Vidare kommer tillsynsmyndigheten inte att fatta några beslut enligt vår lag utan endast enligt bestäm- melserna i brottsdatalagen. Någon hänvisning till 7 kap. 4 § BDL är därför inte nödvändig i vår lag. Inte heller ser vi det som befogat att hänvisa till 7 kap. 5 § BDL i vår lag. När det gäller Säkerhetspolisen och Försvarsmakten gör vi vidare motsvarande bedömningar som ovan i avsnitt 20.2.4 och ser således inte skäl till att i detta lagstiftningsarbete föreslå någon särreglering vad avser motsvarigheter till 7 kap. 3 och 5 §§ BDL. PNR-direktivet innehåller särskilda bestämmelser om tillsyn. I arti- kel 15.1 anges att varje medlemsstat ska föreskriva att den nationella tillsynsmyndighet som avses i artikel 25 i dataskyddsrambeslutet ska ansvara för att ge riktlinjer för och övervaka tillämpningen av de natio- nella bestämmelser som genomför direktivet. Vid tillsynen ska arti- kel 25 i dataskyddsrambeslutet tillämpas. ska, enligt artikel 15.2, utföra sina uppgifter i syfte att skydda grundläggande rättigheter i samband med behand- ling av personuppgifter. I artikel 15.3 anges att varje nationell till- synsmyndighet också ska a)hantera klagomål från en registrerad, undersöka ärendet och inom rimlig tid informera de registrerade om förloppet för och resultatet av dennes klagomål, b)kontrollera att uppgiftsbehandlingen är laglig, genomföra utred- ningar, inspektioner och revision i enlighet med nationell rätt, antingen på eget initiativ eller på grundval av ett klagomål som avses i led a. Vidare ska, enligt artikel 15.4, varje nationell tillsynsmyndighet på begäran ge registrerade råd om hur de kan utöva de rättigheter som fastställs vid genomförandet av direktivet. Som vi berört i tidigare avsnitt framgår av artikel 6.7 att ärenden kan initieras hos tillsynsmyndigheten av dataskyddsombudet vid enheten för passagerarinformation, nämligen om ombudet anser att enhetens behandling av uppgifter inte varit lagenlig. I artikel 13.5 och 13.6 anges vidare att enheten för passagerarinformation på be- gäran ska göra dokumentation och loggar tillgängliga för tillsyns- myndigheten. 21.2.1Dagens tillsyn över behandling av personuppgifter Datainspektionen utövar tillsyn över all behandling av person- uppgifter, om inte ansvaret uttryckligen har anförtrotts någon annan myndighet. Tillsynen omfattar såväl sådan personuppgiftsbehand- ling som regleras i personuppgiftslagen som i särskilda registerför- fattningar eller andra författningar som innehåller bestämmelser om behandling av personuppgifter. Datainspektionens uppdrag regleras i förordningen (2007:975) med instruktion för Datainspektionen (nedan kallad Datainspektionens instruktion). Inspektionen har utsetts till nationell tillsynsmyndighet enligt flera EU-rättsakter, b.la. Tillsynsuppgifter- na framgår av 2 a och 4 §§ Datainspektionens instruktion. Data- inspektionen är enligt 2 § PUF även tillsynsmyndighet enligt per- sonuppgiftslagen. Datainspektionen har till uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behand- ling av personuppgifter. Inspektionen ska särskilt inrikta sin verk- samhet på att informera om gällande regler och att ge råd och hjälp åt personuppgiftsombud. Vidare ska myndigheten följa och beskriva utvecklingen på it-området när det gäller frågor som rör integritet och ny teknik (1 § Datainspektionens instruktion). Inspektionen har rätt att för sin tillsyn få tillgång till person- uppgifter, upplysningar och dokument och tillträde till lokaler som används för behandling av personuppgifter (43 § PUL). Genom på- pekanden och liknande förfaranden ska Datainspektionen i första hand försöka åstadkomma rättelse och i andra hand besluta om för- bud mot annan behandling än lagring (45 §) eller vid domstol an- söka om utplåning av personuppgifter som behandlats på olagligt sätt (47 §) I vissa fall kan inspektionen förena sina förelägganden med vite (44 och 45 §§). Datainspektionens beslut i tillsynsfrågor får över- klagas (52 §). () utövar också tillsyn över de brottsbekämpande myndigheterna. Nämndens uppdrag regle- ras i lagen (2007:980) om tillsyn över viss brottsbekämpande verk- samhet och förordningen (2007:1141) med instruktion för . SIN utövar tillsyn över brottsbekämpande myndigheters använd- ning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. De myndigheter vars verksam- het med hemliga tvångsmedel berörs av tillsynen är Polismyndighe- ten, Säkerhetspolisen, , och . Nämnden utövar även tillsyn över Säkerhetspolisens och behandling av personuppgifter enligt polis- datalagen och lagen (2010:362) om polisens allmänna spaningsregi- ster. Tillsynen ska särskilt ta sikte på behandlingen av känsliga per- sonuppgifter. SIN utövar sin tillsyn genom inspektioner och andra undersök- ningar. Nämnden är också skyldig att på begäran av en enskild kon- trollera om denne har varit föremål för hemliga tvångsmedel eller sådan behandling av personuppgifter inom nämndens tillsynsområde som strider mot lag eller annan författning. Den enskilde ska under- rättas om att kontrollen genomförts. För sin tillsyn har nämnden rätt att få tillgång till de uppgifter och den hjälp som den begär av den myndighet som tillsynen avser. Om nämnden finner något att anmärka på får den lämna synpunkter på hur bristerna bör avhjälpas. Nämndens rekommendationer är inte bindande och kan inte över- klagas. Om SIN i sin verksamhet uppmärksammar förhållanden som kan utgöra brott, ska nämnden anmäla det till och om nämnden finner något som kan leda till skadeståndsansvar för staten ska det anmälas till JK. Vidare ska nämnden, om den finner omständigheter som Datainspektionen bör uppmärksammas på, anmäla det till inspektionen. JO och JK utövar tillsyn över hur lagar och andra föreskrifter tilläm- pas i offentlig verksamhet. Deras tillsyn omfattar därmed även be- handlingen av personuppgifter och skyddet av enskildas integritet vid sådan behandling. JO:s verksamhet regleras framför allt i reger- ingsformen, riksdagsordningen och lagen (1986:765) med instruktion för ombudsmän. JK:s verksamhet regleras huvudsak- ligen i lagen (1975:1339) om Justitiekanslerns tillsyn och i förord- ningen (1975:1345) med instruktion för Justitiekanslern. Ett granskningsärende kan inledas både efter klagomål från en- skilda och på JO:s eller JK:s eget initiativ. De som står under JO:s och JK:s tillsyn ska på begäran lämna upplysningar och yttranden och ge tillgång till handlingar och protokoll. Såväl JO som JK kan genomföra inspektioner som ett led i granskningen. Tillsynsären- dena kan resultera i beslut som kan innehålla kritik eller vägledande uttalanden. JO och JK kan även väcka åtal mot någon som står under deras tillsyn för brott som begåtts i tjänsten. JO och JK har också rätt att väcka frågor om disciplinär bestraffning. 21.2.2Förslag om förändrat tillsynsansvar Utredningen om tillsyn över den personliga integriteten (Ju 2015:02) har haft till uppdrag att kartlägga vilken tillsyn över behandling av personuppgifter som bedrivs och överväga om tillsynen i större utsträckning kan samlas hos en myndighet. Utredningen har också haft i uppdrag att bl.a. peka ut vilken eller vilka svenska myndigheter som bör vara tillsynsmyndighet enligt dataskyddsförordningen respektive det nya dataskyddsdirektivet. Även frågor om hur tillsyns- verksamheten ska organiseras har ingått i den utredningens uppdrag. Utredningen har avgett betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65). Utredningen föreslår att tillsynen enligt både dataskyddsför- ordningen och det nya dataskyddsdirektivet ska samlas hos Datain- spektionen och att det i myndighetens instruktion ska föreskrivas att Datainspektionen ska vara tillsynsmyndighet enligt de båda rätts- akterna. Enligt förslaget ska SIN – vid sidan av Datainspektionen – även fortsättningsvis utöva tillsyn över Säkerhetspolisens behand- ling av personuppgifter men däremot inte över personuppgiftsbehandling i allmänhet.