sou · H5B329 · 2017-04-05 00:00:00 — Besked eller beslut ska enligt andra stycket meddelas från den dag då begäran om besked kom in till tillsynsmyn- digheten. Om myndigheten inte kan ge besked om den avser att utöva tillsyn inom den angivna tiden, ska den i stället avslå begäran om besked genom ett överklagbart och motiverat beslut. Av moti- veringen bör det framgå dels varför myndigheten inte kan ge be- sked, dels hur myndigheten beräknar att den ytterligare behöver för att kunna ta ställning i frågan om den ska utöva tillsyn. I paragrafen, som behandlas i avsnitt 14.6.2, regleras den registrera- des rätt enligt 9 § att begära nytt besked om handläggningen. I paragrafen föreskrivs att den registrerade på nytt kan rikta en begäran om besked till tillsynsmyndigheten efter det förra beslutet. Det ligger i sakens natur att en sådan begäran inte behöver behandlas om tillsynsmyndigheten redan vid det första till- fället beslutade att inte utöva tillsyn. Det är då tillräckligt att till- synsmyndigheten upplyser om sitt tidigare beslut. ska avvisa en begäran om besked som görs innan tremånadersfristen har löpt ut. Avvisningsbeslutet får över- klagas enligt 7 kap. 4 §. Regleringen hindrar inte den enskilde från informella kontakter med myndigheten om handläggningen, men möjligheten att få ett formellt överklagbart beslut begränsas enligt paragrafen. Samarbete med tillsynsmyndigheter i andra medlemsstater Paragrafen, som genomför artikel 50.4, anger i vilka fall en begäran från en tillsynsmyndighet i en annan medlemsstat om bistånd får vägras. Paragrafen behandlas i avsnitt 12.10.1. får vägra att lämna en utländsk tillsyns- myndighet det bistånd den begär bara om det skulle strida mot en bindande unionsrättsakt, en lag eller en förordning att göra det. Det kan vara fallet t.ex. om den svenska lagstiftningen inte medger att tillsynsmyndigheten agerar på det sätt som begärs. Tillsynsmyn- digheten får exempelvis inte med tvång eller i hemlighet bereda sig tillträde till de lokaler som en personuppgiftsansvarig disponerar. I paragrafen, som genomför artikel 50.2, regleras tillsynsmyndig- hetens befogenheter vid internationellt samarbete. Paragrafen be- handlas i avsnitt 12.10.1. har rätt att utnyttja alla de befogenheter som den har i sin vanliga tillsyn när den bistår en utländsk tillsyns- myndighet. Vilka åtgärder som är lämpliga att använda får avgöras i det enskilda fallet. Paragrafen innehåller en sekretessbrytande bestämmelse som gör det möjligt för tillsynsmyndigheten att lämna information till en utländsk tillsynsmyndighet. Paragrafen behandlas i avsnitt 16.3.4. Om det är förenligt med svenska intressen får tillsynsmyndig- heten lämna ut uppgifter till en behörig tillsynsmyndighet i en annan medlemsstat även om uppgifterna omfattas av sekretess en- ligt offentlighets- och sekretesslagen (2009:400). På samma sätt som vid utlämnande med stöd av 8 kap. 3 § andra punkten samma lag ska en avvägning göras mellan intresse av internatio- nellt samarbete på tillsynsområdet och de skäl som talar mot ut- lämnande. Om det bedöms vara oförenligt med svenska intressen att lämna ut uppgifterna utgör det grund för tillsynsmyndigheten att enligt 11 § vägra lämna begärt bistånd när det gäller den infor- mationen. Paragrafen, som genomför delar av artikel 50.3, behandlas i av- snitt 12.10.2. Paragrafen föreskriver att de uppgifter som tillsyns- myndigheten får från en tillsynsmyndighet i en annan medlemsstat inte får användas för något annat ändamål än det för vilket de be- . Regleringen innebär ett förbud att använda upplysningarna för något annat ändamål än det som den svenska tillsynsmyndig- heten angav i sin begäran. Uppgifterna får t.ex. inte lämnas vidare till andra myndigheter för att användas i deras verksamhet. Ansökan hos allmän förvaltningsdomstol Paragrafen gör det möjligt för tillsynsmyndigheten att få giltig- heten av en unionsrättsakt prövad genom en talan vid allmän för- valtningsdomstol. Paragrafen behandlas i avsnitt 12.9. Enligt första stycket har tillsynsmyndigheten möjlighet begära att förvaltningsdomstolen beslutar om en bindande åtgärd som till- synsmyndigheten själv hade kunnat besluta om enligt 7 § första stycket 2–4. I första hand rör det sig om åtgärder som rättelse, komplettering eller radering. Inom ramen för processen kan till- synsmyndigheten begära att domstolen inhämtar förhandsbesked från om huruvida en viss unionsrättsakt strider mot artikel 8 i Europeiska unionens stadga om de grundläggande rättig- heterna (jfr dom av , Schrems, C-362/14). Bestämmelsen ska tillämpas endast om det finns särskilda skäl att ifrågasätta giltigheten av unionsrättsakten. Det räcker inte att tillsynsobjektet gör invändning om rättsaktens giltighet. Tillsyns- myndigheten ska göra en egen bedömning av om förfarandet är nödvändigt. Det kan t.ex. vara särskilda skäl om det finns anledning ifrågasätta ett beslut från kommissionen om att ett visst tredjeland uppfyller kraven på adekvat skyddsnivå. I andra stycket föreskrivs att en ansökan enligt paragrafen ska göras till den förvaltningsrätt som är behörig att pröva ett överkla- gande av tillsynsmyndighetens beslut. Enligt tredje stycket krävs det prövningstillstånd vid överkla- gande till kammarrätten. I paragrafen upplyses om att regeringen eller den myndighet rege- ringen bestämmer kan meddela föreskrifter om bl.a. tillsynsmyn- dighetens anmälningsskyldighet och samarbetet med utländska till- synsmyndigheter. Överträdelser som kan föranleda sanktionsavgift Paragrafen reglerar vid vilka överträdelser sanktionsavgift får tas ut av en personuppgiftsansvarig. Den genomför, tillsammans med 2– 7 §§, artikel 57. Paragrafen behandlas i avsnitt 13.5.1–3. Möjlighe- ten att ålägga personuppgiftsbiträden sanktionsavgift regleras i 2 §. Flertalet av lagens bestämmelser riktar sig till personuppgiftsan- svariga. Även vid ett personuppgiftsbiträdes handlande som lett till överträdelser kan sanktionsavgift tas ut av den personuppgiftsan- svarige, eftersom personuppgiftsansvaret enligt 3 kap. 1 § omfattar all behandling som utförs på deras vägnar. avgör i det enskilda fallet om sanktions- avgift bör tas ut, vilket framgår av formuleringen att avgift får tas ut. I paragrafen anges uttömmande vilka överträdelser av person- uppgiftsansvarigas skyldigheter som kan föranleda sanktionsavgift och i vilka fall underlåtenhet att vidta åtgärder kan göra det. Både överträdelser av bestämmelser i lagen och bestämmelser som har utfärdats i anslutning till lagen kan leda till sanktionsavgift. Ansvaret för överträdelser är strikt. Det krävs alltså varken upp- såt eller oaktsamhet för att sanktionsavgift ska kunna tas ut. tillräckligt att en överträdelse ägt rum. I 4 § anges vilka omständig- heter som särskilt ska beaktas vid bedömning av om avgift ska tas ut och avgiftens storlek. Enligt första stycket punkten 1 kan sanktionsavgift utgå för över- trädelse av flertalet av de grundläggande bestämmelserna i 2 kap. Det innebär bl.a. att behandling av personuppgifter utan rättslig grund, för ändamål som inte är tillräckligt preciserade och behand- ling av fler personuppgifter än som behövs eller än vad som är nödvändigt kan leda till sanktionsavgift. Detsamma gäl- ler otillåten behandling av känsliga personuppgifter eller underlå- tenhet att i tillräcklig utsträckning göra åtskillnad mellan olika slags uppgifter eller att säkerställa personuppgifternas kvalitet, exempel- vis genom att komplettera ofullständiga uppgifter. Enligt punkten 2 kan underlåtenhet att vidta tekniska och orga- nisatoriska åtgärder enligt 3 kap. 2–5 §§ eller skyddsåtgärder enligt 3 kap. 8 § också leda till sanktionsavgift. Överträdelsen kan t.ex. bestå i att den personuppgiftsansvarige tar i bruk ett it-system som inte har det inbyggda dataskydd som krävs. Underlåtenhet att be- gränsa tillgången till personuppgifter internt enligt 3 kap. 6 § eller att göra konsekvensbedömning och förhandssamråda med tillsyns- myndigheten enligt 3 kap. 7 § kan föranleda sanktionsavgift. Vid överträdelser av reglerna om överföring till tredjeland eller internationella organisationer kan enligt punkten 3 sanktionsavgift också tas ut. Sanktionsavgift kan vidare enligt andra stycket utgå för under- låtenhet att anmäla eller dokumentera inträffade personuppgifts- incidenter. Vad som är en personuppgiftsincident definieras i 1 kap. 6 §. Anmälningsskyldigheten utvecklas i kommentaren till 3 kap. 9 §. Vid underlåtenhet att bistå tillsynsmyndigheten enligt någon av punkterna i 5 kap. 5 § får sanktionsavgift också tas ut av den per- sonuppgiftsansvarige. Det gäller också vid underlåtenhet att följa tillsynsmyndighetens förelägganden eller beslut enligt 5 kap. 7 § första stycket 2 eller 3. Innan tillsynsmyndigheten beslutar om sanktionsavgift ska den personuppgiftsansvarige ges tillfälle att yttra sig, se 5 kap. 8 §. I paragrafen regleras vid vilka överträdelser personuppgiftsbiträden får åläggas sanktionsavgift. Paragrafen behandlas i avsnitt 13.5.1–3. Personuppgiftsbiträde definieras i 1 kap. 6 §. De bestämmelser som räknas upp i första stycket innefattar ut- tryckliga skyldigheter för personuppgiftsbiträden. Sanktionsavgift får tas ut om tillgången till personuppgifter inte har begränsats in- ternt eller om personuppgiftsbiträden inte har vidtagit nödvändiga skyddsåtgärder. Även underlåtenhet att logga behandling av per- sonuppgifter kan leda till sanktionsavgift. Vid underlåtenhet att bistå tillsynsmyndigheten enligt någon av punkterna i 5 kap. 5 § får sanktionsavgift enligt andra stycket också tas ut av personuppgiftsbiträden. Detsamma gäller vid underlåten- het att följa tillsynsmyndighetens förelägganden eller beslut enligt 5 kap. 7 § första stycket 2 eller 3. Bestämmelsen anger uttömmande vilka överträdelser som kan leda till sanktionsavgift. Ansvaret är strikt. Innan sanktionsavgift beslutas ska personuppgiftsbiträdet ges tillfälle att yttra sig, se 5 kap. 8 §. I paragrafen fastställs minimi- och maximibelopp för sanktionsav- gift. Överträdelser av alla regler som kan föranleda sanktionsavgift ska, om det inte finns skäl enligt 5 § att sätta ned avgiften, leda till sanktionsavgift inom dessa ramar. Överträdelser av samma slag kan leda till olika höga sanktionsavgifter inom spannet. I paragrafen anges också hur sanktionsavgiften ska beräknas vid flera överträdel- ser. Hur avgiften närmare ska bestämmas regleras i 4 §. Paragrafen behandlas i avsnitt 13.6.1. I första stycket anges sanktionsavgiften för mindre allvarliga överträdelser. Avgiften ska i dessa fall uppgå till minst 25 000 kro- nor och högst . I stycket anges uttömmande vilka överträdelser som ska betraktas som mindre allvarliga. I andra stycket anges minimi- och maximibeloppen för sank- tionsavgift för allvarligare överträdelser, vilket är alla överträdelser utom de som anges i första stycket. Avgiften är i dessa fall lägst och högst . I tredje stycket anges hur avgiften ska bestämmas om flera regler har överträtts genom samma personuppgiftsbehandling, eller om en eller flera regler har överträtts genom sammankopplade personupp- giftsbehandlingar. Det kan t.ex. röra sig om att ett flertal registre- rades personuppgifter har behandlats på samma otillåtna sätt eller i ett otillåtet register. Det kan också vara fråga om att en person- uppgift som borde ha rättats eller raderats har spritts och sedan blivit föremål för ny behandling. Tredje stycket tar alltså sikte på det fallet att samma behandling av personuppgifter inneburit att flera av de regler som räknas upp i 1 eller 2 § överträtts. Sanktions- avgiften ska då bestämmas efter de samlade överträdelsernas allvar. Maximibeloppet för den allvarligaste överträdelsen får dock inte överskridas. Sanktionsavgiften ska framstå som en rimlig reaktion på de samlade överträdelserna. Till skillnad från vad som gäller vid fastställande av skadestånd ska alltså beloppet inte beräknas för varje enskild överträdelse mot varje registrerad utan med utgångs- punkt i vad som är en rimlig total reaktion på överträdelserna. I paragrafen anges vilka omständigheter som särskilt ska beaktas vid bedömningen av om sanktionsavgift ska tas ut och avgiftens storlek. Samma omständigheter ska beaktas vid båda bedömningar- na. Uppräkningen är inte uttömmande. Paragrafen behandlas i av- snitt 13.6.2. Jämkning av avgiften regleras i 5 §. I punkten 1 föreskrivs att det ska beaktas om överträdelsen var uppsåtlig eller berodde på oaktsamhet. Som framgår av kommenta- ren till 1 § är ansvaret strikt. Om det kan konstateras att en över- trädelse är avsiktlig bör det i princip vara uteslutet att avstå från att ta ut sanktionsavgift. Tillvägagångssättet och om det varit fråga om systematiskt handlande har också betydelse. Det finns skäl att se särskilt allvarligt på överträdelser som har tydlig karaktär av non- chalans mot regelverket eller som innebär att förfaranden som tidi- gare lett till påpekanden från tillsynsmyndigheten upprepas. Att en överträdelse varit avsiktlig talar också för högre avgift än i andra fall. Exempel på en avsiktlig överträdelse kan vara att en myndighet medvetet inrättar ett register som det inte är tillåtet att föra. Om en myndighet uppmärksammas på att viss personuppgiftsbehandling är otillåten men trots det fortsätter med behandlingen är det också en avsiktlig överträdelse. Däremot kan en överträdelse inte ses som avsiktlig om myndigheten, efter att den blivit medveten om att personuppgiftsbehandlingen inte är tillåten, fort- sätter att behandla vissa personuppgifter om det inte är möjligt att vidta åtgärder som gör behandlingen författningsenlig. Om överträdelsen haft sin grund i oaktsamhet talar det för lägre sanktionsavgift, såvida inte oaktsamheten är grov. Ju ringare oakt- samheten är, desto starkare skäl kan det finnas att avstå från att ta ut avgift. Om den personuppgiftsansvarige eller personuppgiftsbi- trädet gjort sitt bästa för att agera korrekt men felbedömt rättsläget är utrymmet att avstå från att ta ut sanktionsavgift också större. Det kan dock inte uteslutas att sanktionsavgift i vissa fall bör tas ut även om omständigheterna är mildrande. Det kan vara fallet t.ex. om överträdelsen fått eller riskerat att få allvarliga konsekvenser för de registrerade. Enligt punkten 2 ska det beaktas vilken skada, fara eller kränk- ning som överträdelsen inneburit. Det är främst vad överträdelsen fått för följder för de registrerade som avses. Det behöver inte kon- stateras att skada uppstått utan det räcker att det funnits risk för skada. Som regel blir det fråga om att göra en helhetsbedömning av de potentiella skadeverkningarna. En faktisk skada behöver inte heller vara allvarligare än risken för skada, särskilt om risken varit mycket hög och skadan – om den hade inträffat – skulle ha fått stora konsekvenser. Även överträdelsens karaktär, svårhetsgrad och varaktighet ska enligt punkten 3 beaktas. Vid bedömningen av överträdelsens karaktär och svårhetsgrad bör hänsyn tas till en rad omständig- heter. Vilket slag av behandling det varit fråga om och vilken typ av uppgifter som behandlats är naturligtvis viktigt (t.ex. om det varit känsliga personuppgifter eller annars integritetskänsliga uppgifter). Även hur många personuppgifter som behandlats är relevant lik- som behandlingens omfattning i övrigt (t.ex. om det varit fråga om enstaka uppgifter eller ett register av stor omfattning). Vidare bör hänsyn tas till vilken regel som har överträtts och vikten av det skyddsintresse som den bär upp. Hur behandlingen utförts kan också spela roll, eftersom det t.ex. kan påverka spridningen av uppgifterna. Även hur behandlingen pågått har betydelse, t.ex. om den personuppgiftsansvarige underlåtit att i rätt tid ta bort särskilt integritetskänsliga uppgifter. Generellt sett innebär längre tids behandling oftast att risken för att uppgifter kunnat spridas ökat. För vilka syften uppgifterna har behandlats kan också ha be- tydelse (t.ex. om verksamhetsintressen eller andra motiv legat bakom behandlingen). Ju mer central bestämmelsen som överträtts är för registrerades integritetsskydd, ju fler personuppgifter som behandlats och ju längre de behandlats, desto mindre är utrymmet för att avstå att ta ut avgift eller att sätta sanktionsavgiften lägre. Om känsliga personuppgifter behandlats på ett otillåtet sätt finns det i allmänhet skäl att se strängare på överträdelsen. Om överträ- delsen kan anses vara ringa bör det finnas utrymme för att inte ta ut avgift eller bestämma avgiften till ett förhållandevis lågt belopp. I punkterna 4 och 5 räknas andra omständigheter upp som sär- skilt ska beaktas. Det kan påverka i mildrande riktning om den personuppgiftsansvarige eller personuppgiftsbiträdet har gjort sitt bästa för att förebygga eller begränsa eventuella skadliga verkningar av överträdelsen. Om den personuppgiftsansvarige däremot inte vidtagit några sådana åtgärder alls eller gjort det först efter påtryck- ningar talar det i motsatt riktning. Om den personuppgiftsansvarige eller personuppgiftsbiträdet har ålagts att betala sanktionsavgift för samma typ eller lik- nande överträdelser bör det ses som försvårande. Att de uppräknade omständigheterna ska beaktas särskilt ute- sluter inte att det kan finnas andra omständigheter som i det en- skilda fallet kan tillmätas lika stor eller större betydelse. Paragrafen, som föreskriver att sanktionsavgiften kan sättas ned helt eller delvis, behandlas i avsnitt 13.6.2. Det kan ibland finnas omständigheter som gör att det framstår som oskäligt eller stötande att ta ut sanktionsavgift, trots att förut- sättningarna för att ta ut avgift är uppfyllda. Paragrafen ger möjlig- het att sätta ned sanktionsavgiften, helt eller delvis, om överträ- delsen är ursäktlig eller om det annars med hänsyn till omständig- heterna skulle vara oskäligt att ta ut avgift. Det kan t.ex. röra sig om fall där det har gått så sedan överträdelsen att det skulle vara oskäligt att ta ut sanktionsavgift. Avgift kan också te sig oskälig om den samlade reaktionen med hänsyn till att den personuppgiftsansvarige eller personuppgiftsbi- trädet även ålagts skadestånd skulle bli oproportionerlig i förhål- lande till överträdelsen. Det är däremot inte oskäligt att ta ut avgift när överträdelsen exempelvis har berott på att den personuppgiftsansvarige eller per- sonuppgiftsbiträdet inte känt till reglerna eller överträdelsen berott på dålig ekonomi, tidsbrist, glömska eller dåliga rutiner. Omständigheter utom den avgiftsskyldiges kontroll som lett till överträdelsen kan i undantagsfall göra överträdelsen ursäktlig. I fall där någon t.ex. avsiktligen och i hemlighet har manipulerat ett data- system eller vidtagit liknande åtgärder bör den personuppgifts- ansvarige kunna undgå ansvar. Det förutsätter emellertid att den personuppgiftsansvarige har vidtagit nödvändiga säkerhetsåtgärder. Den omständigheten att ett personuppgiftsbiträde har behandlat personuppgifter i strid med regelverket kan dock aldrig leda till att den personuppgiftsansvarige befrias från ansvar, utom i de fall där personuppgiftsbiträdet enligt 3 kap. 19 § andra stycket själv ska betraktas som personuppgiftsansvarig. Paragrafen behandlas i avsnitt 13.7.1 och 13.7.3. I första stycket föreskrivs att tillsynsmyndigheten beslutar om sanktionsavgift. definieras i 1 kap. 6 §. Av andra stycket framgår att sanktionsavgiften tillfaller staten. Paragrafen föreskriver att möjligheten att besluta om sanktionsav- gift bortfaller om den som ska avgiften ska tas ut av inte har fått tillfälle att yttra sig efter överträdelsen. Paragrafen behandlas i avsnitt 13.7.2. Så länge otillåten eller felaktig behandling pågår är det fråga om en pågående överträdelse som kan leda till sanktionsavgift. Den i paragrafen angivna tiden förskjuts då framåt så länge personuppgif- Tidpunkten för överträdelsen kan emellertid få betydelse om överträdelsen avsåg överföring till tredjeland eller om behandlingen har avbrutits. Tiden bör då räknas från när överfö- ringen gjordes eller när behandlingen upphörde. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om handlägg- ningen av beslut om och verkställighet av sanktionsavgifter. I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen, som har utformats efter mönster av 48 § personuppgiftslagen och genomför artikel 56, behandlas i avsnitt 14.3.2. Paragrafen är en sådan specialbestämmelse om skadestånd som enligt 1 kap. 1 § (1972:207) skadeståndslagen tar över reglerna i den lagen. Om en ersättningsfråga inte berörs i förevarande paragraf – t.ex. frågan om hur ersättningen för en personskada eller sakskada ska beräknas (5 kap. skadeståndslagen) eller hur ansvaret ska för- delas när flera är skadeståndsskyldiga (6 kap. 4 § skadeståndslagen) – tillämpas de allmänna reglerna i skadeståndslagen. Rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i denna lag eller föreskrifter som meddelats i anslutning till lagen. För att den personuppgiftsansvarige ska bli ersättningsskyldig behöver den registrerade bara bevisa att behand- ling av den registrerades personuppgifter stått i strid med reglerna om personuppgiftsbehandling och att den har skadat eller kränkt honom eller henne. Den registrerades rätt till skadestånd omfattar ersättning för skada och för kränkning av den personliga integriteten. avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integri- tet kränkts genom behandlingen. Det är bara sådan skada eller kränkning som behandlingen av personuppgifter har vållat som ersätts, vilket framgår av att be- handlingen ska ha orsakat skada respektive kränkning. Orsakssam- bandet ska vara adekvat. Ersättningen för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Sådana faktorer som att det funnits risk för otillbörlig spridning av käns- liga eller felaktiga personuppgifter eller att den registrerade genom behandlingen av uppgifterna drabbats av beslut eller åtgärder som kunnat få negativa följder hör till det som bör beaktas. Om det t.ex. skett en namnförväxling vid misstanke om rattfylleri och det lett till en felaktig indragning av körkort kan skadestånd aktuali- seras. Har den registrerade själv lämnat en oriktig eller ofullständig personuppgift, kan den personuppgiftsansvariges behandling av den uppgiften inte anses innebära någon sådan kränkning av den personliga integriteten som bör föranleda ersättning. Ersättningen för kränkning bör i princip fastställas för varje person för sig. Gentemot den registrerade är den personuppgiftsansvarige an- svarig för all den behandling som utförs för den personuppgiftsan- svariges räkning. Det gäller även när ett personuppgiftsbiträde eller någon annan utfört behandlingen. Anspråk på skadestånd ska så- ledes riktas mot den personuppgiftsansvarige även i de fallen. Talan om skadestånd ska, om den personuppgiftsansvarige är en myndig- het, riktas mot den juridiska personen, dvs. staten, eller kommunen. Med myndighet avses detsamma som i regeringsfor- men, dvs. samtliga statliga och kommunala organ med undantag av och de kommunala beslutande församlingarna. Någon möjlighet till jämkning av skadeståndet om den person- uppgiftsansvarige hävdar att den felaktiga behandlingen inte beror på dennes handlande finns inte. Vid medvållande kan dock 6 kap. 1 § skadeståndslagen vara tillämplig. Överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig I paragrafen anges i vilken utsträckning beslut som en myndighet har fattat i egenskap av personuppgiftsansvarig får överklagas. Med myndighet avses i denna paragraf detsamma som i regeringsformen, dvs. samtliga statliga och kommunala organ med undantag av riks- dagen och de kommunala beslutande församlingarna. Paragrafen behandlas i avsnitt 14.4. Vilka typer av beslut som får överklagas räknas upp i första stycket. Uppräkningen är uttömmande.