sou · H5B374 · 2017-10-04 00:00:00 — Paragrafen, som motsvarar nuvarande 2 kap. 10 § tredje stycket och behandlas i avsnitt 5.5.2, reglerar hur länge personuppgifter som inte kan hänföras till ett ärende får behandlas. Någon ändring av hur länge personuppgifter får behandlas görs inte. Terminologin anpassas till den som används i lagen i övrigt och vissa redaktionella ändringar görs. Det klargör att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna får behandlas för arkiv- ändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 5 §). I paragrafen, som motsvarar nuvarande 2 kap. 11 §, upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att uppgifter i vissa ärendetyper eller vissa kategorier av personuppgifter får fortsätta att behandlas för ända- mål inom lagens tillämpningsområde än vad som anges i 2 §, om att personuppgifter som inte kan hänföras till ett ärende, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål och om begräns- ning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering. Frågorna behandlas i av- snitt 5.5.2 och 5.5.3. Administrativa sanktionsavgifter och rättsmedel Paragrafen, som är ny, reglerar vid vilka överträdelser sanktionsav- gift får tas ut. Frågan behandlas i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder och längsta tid som personupp- gifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen med tillhörande förordning regleras också hand- läggningen av frågor om sanktionsavgift. I andra stycket anges storleken på de sanktionsavgifter som kan komma i fråga. De överträdelser som enligt lagen kan föranleda sanktionsavgift är alla av allvarligt slag. Lägsta sanktionsavgift är därför . I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen be- handlas i avsnitt 5.4.3. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen (2018:000), som ska tillämpas på motsvarande sätt när det har förekommit fel- aktig behandling av personuppgifter enligt förevarande lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behand- lingen av personuppgifter har orsakat. Med skada avses person- skada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Någon möjlighet till jämkning av skadeståndet finns inte. I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas. Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2. Punkten 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet. Punkten 3 innebär att bestämmelsen om skadestånd i 48 § per- sonuppgiftslagen fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt lagen eller föreskrifter som har meddelats i anslutning till den. 20.18Förslaget till lag om ändring i utlänningsdatalagen (2016:27) Paragrafen reglerar rätt att föra register över fingeravtryck och för vilka ändamål registret får användas. En hän- visning i andra stycket till en lag som byter namn ändras, vilket be- handlas i avsnitt 7.1.2. Stycket ändras också redaktionellt. Första och tredje styckena är oförändrade. 20.19Förslaget till lag om ändring i tullagen (2016:253) I paragrafen, som behandlas i avsnitt 8.4.2, regleras på vilket sätt får ta del av uppgifter som lämnas av transportföretag med stöd av 6 §. Första stycket är oförändrat. I andra stycket regleras numera endast i vilken omfattning Tull- verket får ta del av uppgifter genom terminalåtkomst. Myndighe- tens behandling av sådana personuppgifter regleras i brottsdatalag (2017:447). 20.20Förslaget till lag om ändring i tullbrottsdatalagen (2017:447) Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till omarbetning av den och att två kapitel upphävs och ersätts med nya. Vissa paragrafer upphävs, som nya paragrafer till- kommer. Bestämmelserna om föreskrifter samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer. Vidare flyttas bestämmelserna om behandling av personuppgifter som transportföretag tillhandahåller myndigheten enligt bestämmelser i lagen (1996:701) om befogen- heter vid gräns mot ett annat land inom Europeiska unio- nen och tullagen (2016:253) till den nu aktuella lagen. Som en anpassning till brottsdatalagen införs ett nytt kapitel om administrativa sanktionsavgifter och rättsmedel. De generella ändringarna i lagen behandlas i kapitel 4, 5 och 6 och övriga ändringar i kapitel 8. Lagen får också ett nytt namn, brottsdatalag. 1 kap. Allmänna bestämmelser I paragrafen, som behandlas i avsnitt 8.2, anges lagens tillämpnings- område. Lagen gäller utöver brottsdatalagen när i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter för vissa syften. Behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000). Att lagen gäller utöver brottsdatalagen innebär bl.a. att lagen enligt 1 kap. 3 § brottsdatalagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. I brottsdatalagen finns alla de grundläggande bestämmelserna om hur personuppgifter får behandlas. Den nu aktuella lagen inne- håller bestämmelser som innebär preciseringar, undantag eller av- vikelser från bestämmelser i brottsdatalagen. Det innebär att be- stämmelserna i lagen ska läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Lagen gäller när behandlar personuppgifter om syftet med behandlingen är att bekämpa eller lagföra brott. Vad det inne- bär utvecklas i kommentaren till 2 kap. 1 §. Paragrafen, som motsvarar nuvarande 1 kap. 3 § första och tredje styckena, anger hur regleringen i lagen förhåller sig till regleringen i lagen (2017:496) om internationellt polisiärt samarbete. Frågan be- handlas i avsnitt 17.3. I paragrafen, som motsvarar nuvarande 2 kap. 3 §, regleras person- uppgiftsansvaret. Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen (2018:000). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen. Lagens tillämpning på uppgifter om juridiska personer I paragrafen, som motsvarar nuvarande 1 kap. 4 §, anges vilka be- stämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Frågan behandlas i avsnitt 5.4.1. Uppräkningen i paragrafen av bestämmelser som ska gälla vid behandling av uppgifter om juridiska personer motsvarar nuva- rande reglering. Grundläggande bestämmelser om behandling Tillåtna rättsliga grunder för behandling av personuppgifter Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 6.1, 6.3 och 8.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter är utformade i 2 kap. 1 § brottsdata- lagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger myndigheten rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig handläggning, trots brist på stöd i denna paragraf. Personuppgifter får enligt första stycket behandlas om det är nödvändigt för att utföra en arbetsuppgift i vissa särskilt angivna syften inom lagens tillämpningsområde. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Enligt punkten 1 får personuppgifter behandlas i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet. Det är fram- för allt underrättelseverksamhet som regleras i punk- ten. Med det avses arbete med insamling, bearbetning och analys av information i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet när det ännu inte finns konkreta misstankar om att något konkret brott har begåtts (se prop. 2016/17:91 s. 198 f.). Personuppgiftsbehandling i brottsförebyggande arbete som rör införsel av varor, liksom kartläggning och spaning som inte är hänförlig till en förundersökning men utförs i syfte att upp- täcka brottslig verksamhet, omfattas också. Behandling av uppgifter om vilka personer som kommer med en viss transport, t.ex. en viss färja, går i stor utsträckning ut på att förebygga, förhindra och upptäcka smuggling av framför allt nar- kotika genom att studera resmönster, betalningssätt, vilka som reser i sällskap och liknande. När uppslag om kontrollobjekt som är intressanta ur brottsbekämpningssynpunkt vidarebefordras till myndighetens kontrollverksamhet görs det i syfte att förhindra och upptäcka brottslig verksamhet. Viss personuppgiftsbehandling som är nödvändig för att planera kontroller, välja ut kontrollobjekt och utföra begärda kontroller i brottsbekämpande verksam- het ryms därför under punkten. Om personuppgiftsbehandling i samband med kontroller omfattas av lagen avgörs av om kontrollen görs i syfte att upptäcka, förebygga eller förhindra brottslig verk- samhet eller inte. Enligt punkten 2 får personuppgifter behandlas i syfte att utreda eller lagföra brott. Att utreda brott innebär framför allt att genom- föra förundersökning enligt 23 kap. . Med brott avses konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Även personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rätte- gångsbalken och vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ omfattas. Med lagföra brott avses framför allt att utfärda strafföreläggan- den och förelägganden av ordningsbot. åklagare får även väcka åtal och föra talan vid domstol i vissa typer av mål. Den personuppgiftsbehandling som är nödvändig för dessa åklagarupp- gifter har stöd i denna punkt. Personuppgifter får enligt punkten 3 också behandlas i syfte att fullgöra förpliktelser som följer av internationella åtaganden. Punk- ten tar sikte på förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2016/17:91 s. 199). I andra stycket anges att det ska vara fråga om en arbetsuppgift som framgår av en bindande unionsrättsakt eller av en lag, en för- ordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. Motsvarande be- stämmelse finns i 2 kap. 1 § brottsdatalagen. Vad den innebär ut- vecklas i SOU 2017:29 s. 238. I paragrafen, som behandlas i avsnitt 8.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya ända- mål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utan- för brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i SOU 2017:29 s. 249 f. och avsnitt 6.4.3. I paragrafen, som behandlas i avsnitt 5.3.10, görs det undantag från bestämmelserna om särskilda upplysningar i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000). Det är endast per- sonuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § som i vissa fall ska förses med särskilda upplysningar. Det innebär att när personuppgifter behandlas bara av ett fåtal per- soner behöver särskilda upplysningar inte lämnas. I paragrafen, som behandlas i avsnitt 8.3.2, regleras när får behandla biometriska uppgifter. Biometriska uppgifter definie- ras i 1 kap. 6 § brottsdatalagen (2018:000). Bestämmelsen möjliggör användning av särskild teknisk behand- ling för att bekräfta unik identifiering av en person. Regleringen innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster kan användas för att identifiera en person. Biometriska uppgifter får behandlas enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Behandlingen ska vara absolut nödvändig för ändamålet med behandlingen. Det innebär att behovet av att behandla biometriska uppgifter måste prövas noga i det enskilda fallet. I paragrafen, som tillsammans med 6 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) Paragrafen behandlas i avsnitt 8.3.3. Undantaget gäller vid sökning i alla slags personuppgifter, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Sökförbudet hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning, även om det skulle leda till ett per- sonurval grundat på känsliga personuppgifter. Med uppgifter som beskriver en persons utseende avses signa- lementsuppgifter som t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar (jfr prop. 2011/12:45 s. 124). En sökning på ett fysiskt särdrag kan ge ett personurval grundat på uppgifter som rör hälsa. Med uppgifter om tillvägagångssätt vid brott avses t.ex. uppgifter om smugglingsmetoder eller särskilda föremål som kan användas som brottsverktyg. Vid exempelvis kontroll av för- bud mot införsel och utförsel av barnpornografi kan sökning på brottsrubricering och särskilda föremål avslöja en persons sexualliv eller sexuella läggning. Sökning på tillvägagångssätt vid brott kan t.ex. resultera i ett personurval grundat på hälsa. Det gäller exempelvis sökning på s.k. sväljare. Sökning på uppgifter om en persons utseende kan avse exempelvis fysiska skador eller särdrag som kan avslöja uppgifter om hälsa eller uppgifter om tatueringar som kan avslöja viss poli- tisk åsikt eller religiös övertygelse. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata- lagen. Rätten enligt denna paragraf att göra sökning medför således inte en generell rätt att fortsätta att behandla uppgifterna. I paragrafen, som tillsammans med 5 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs undantag från sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Paragrafen behandlas i avsnitt 8.3.3. Undantaget gäller enbart vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. personuppgifter som enbart ett fåtal har tillgång till. Sökning i sådana uppgifter får göras i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Sådana sökningar kan aktua- liseras bl.a. om det är känt att en viss narkotikasort används av en grupp med visst etniskt ursprung eller religiös övertygelse. Drogen kat som endast odlas utomlands är ett exempel på det. kan även behöva göra sökningar i syfte att få fram uppgifter om ideologiskt motiverade grupperingar som är kända för att finansiera sin verksamhet genom smuggling av narkotika eller andra otillåtna föremål. kan även ha skäl att söka på ordet pedofil eller vissa typer av föremål i syfte att förebygga, förhindra eller upptäcka smuggling av barnpornografi. Rätten att söka på känsliga personuppgifter gäller dock inte sökning på ras eller medlemskap i fackförening eller sökning i genetiska eller biometriska uppgifter. Sökning som syftar till att få fram ett personurval grundat på sådana uppgifter är alltså inte tillåten. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata- lagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna. Paragrafen innehåller sekretessbrytande bestämmelser om utläm- nande till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar nuvarande 2 kap. 12 §. I första stycket görs endast en redaktionell ändring. Av andra stycket framgår att personuppgifter får lämnas ut bara om mottagaren behöver dem för något av de syften som räknas upp i 1 §. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen (2018:000) också beaktas. Tredje stycket ändras endast redaktionellt. Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myn- digheter. Den motsvarar nuvarande 2 kap. 13 §. I paragrafen tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vil- ket behandlas i avsnitt 4.4.1. Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e- post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Frågan behandlas i avsnitt 5.6.4. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113, jfr SOU 2015:39 s. 447 f.). När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att sända en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i hand- lingen, vem som är mottagare, behovet av att kunna visa att perso- nen i fråga har tagit del av handlingen och andra omständigheter. Är det fråga om processmaterial som översänds till parter eller om- bud bör även principen om equality of arms beaktas. Frågan är särskilt svårbedömd när uppgifter ska lämnas ut till enskilda och det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer myndigheten att det finns risk för att personupp- gifterna kan komma att missbrukas om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess. Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.). Vid prövningen av om personuppgifter bör lämnas ut elektro- niskt bör givetvis även informationssäkerheten vägas in. Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får den utlämnande myndigheten inte efterforska syftet med begäran. Det kan ha betydelse för möjlig- heten att få underlag för att bedöma om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt (se JO dnr 4171-2011). Elektroniskt utlämnande genom direktåtkomst regleras i andra stycket, som motsvarar nuvarande 2 kap. 17 §. Det är tillåtet bara i den utsträckning som anges i lagen. Paragrafen, som motsvarar nuvarande 2 kap. 8 § första stycket och behandlas i avsnitt 8.4.1 och 8.4.2, reglerar hur personuppgifter som transportföretag tillhandahåller får behandlas. Det är fråga om uppgifter om ankommande eller avgående transporter av varor, passagerare eller fordon som företagen befordrar till och från . Det rör sig om bokningsuppgifter i framför allt flyg- och färjetrafik. Transportföretagens skyldighet att tillhandahålla uppgifter regleras alltjämt i lagen (1996:701) om befo- genheter vid gräns mot ett annat land inom Europeiska unionen och tullagen (2016:253). Personuppgifter från transportföretag får enligt första stycket behandlas för att planera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Det innebär att arbetet inriktas på att få fram kontrollobjekt för vilka det råder förhöjd risk för smuggling eller andra brott. Sådana uppgifter får också behandlas i syfte att utreda eller lagföra brott. Möjligheten att söka i sådana personuppgifter med hjälp av person- nummer och andra identitetsbeteckningar regleras i 12 §. Om det vid den behandling som görs, eller vid kontroll vid an- komsten till , uppkommer skäl att behandla personuppgif- terna för ett nytt ändamål inom lagens tillämpningsområde får det enligt andra stycket bara göras om förutsättningarna för behandling för nya ändamål i 2 kap. 4 § brottsdatalagen (2018:000) är uppfyllda i det enskilda fallet. Ett typiskt exempel är att ett brott upptäcks när någon har tagits ut för kontroll och att uppgifterna behövs för att utreda och lagföra brottet. Det kan också visa sig att vissa av uppgifterna behövs i ett underrättelseärende, t.ex. för kartläggning av nya smugglingsmetoder. Det kan inte uteslutas att personupp- gifterna behöver behandlas för ett nytt ändamål utanför lagens till- lämpningsområde, t.ex. för att lämnas ut enligt tryckfrihetsförord- Hänvisning görs därför även till prövningen i 2 kap. 22 § brottsdatalagen. Av 3 kap. 2 § andra stycket framgår i vilken utsträckning per- sonuppgifter som transportföretag tillhandahåller får göras gemen- samt tillgängliga. I paragrafen anges hur personuppgifter som får del av genom terminalåtkomst får behandlas. Bestämmelsen motsvarar nuvarande 16 § andra stycket lagen (1996:701) om be- fogenheter vid gräns mot ett annat land inom Europeiska unionen och 4 kap. 8 § andra stycket tullagen (2016:253). Paragra- fen behandlas i avsnitt 8.4.2. Paragrafen reglerar enbart behandling vid terminalåtkomst till personuppgifter hos transportföretag, medan 10 och 12 §§ anger vad som gäller i fråga om personuppgifter som förs över till myn- dighetens it-system eller behandlas strukturerat på annat sätt. Genom terminalåtkomsten till företagens it-system får Tullver- ket tillgång till omfattande överskottsinformation om resande. Myndigheten får inte ändra eller på annat sätt bearbeta uppgifter i sådana system.