sou · H5B374 · 2017-10-04 00:00:00 — Tekniska och organisatoriska åtgärder Paragrafen reglerar, tillsammans med 2–4 §§, de krav som ställs på Säkerhetspolisen i fråga om tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personupp- gifter är författningsenlig och att registrerades rättigheter skyddas. Tekniska och organisatoriska åtgärder för att skydda personupp- gifterna regleras i 7 §. Paragrafen, som behandlas i avsnitt 14.14, motsvarar 3 kap. 2 § brottsdatalagen (2018:000). Vad regleringen innebär utvecklas i SOU 2017:29 s. 699 f. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som behandlas i avsnitt 14.14, reglerar skyldigheten att beakta principen om inbyggt dataskydd vid behandling av person- uppgifter. Paragrafen kan ses som en precisering av den övergri- pande skyldigheten i 1 § och är också tätt förknippad med regle- ringen i 3 och 7 §§. Paragrafen motsvarar 3 kap. 3 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 700 f. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som behandlas i avsnitt 14.14, föreskriver att Säker- hetspolisen är skyldig att i automatiserade behandlingssystem in- föra dataskydd som standard. Paragrafen kan i likhet med 2 § ses som en precisering av den övergripande skyldigheten i 1 §. Paragrafen motsvarar 3 kap. 4 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 701 f. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som behandlas i avsnitt 14.14, reglerar Säkerhetspo- skyldighet att säkerställa att det i automatiserade behand- lingssystem förs loggar över vissa typer av behandlingar. Paragrafen motsvarar 3 kap. 5 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 702 f. Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhets- polisen anlitar. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som behandlas i avsnitt 14.14, reglerar den interna till- gången till personuppgifter för dem som arbetar vid Säkerhets- polisen. Paragrafen motsvarar 3 kap. 6 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 703 f. Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhets- polisen anlitar. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som behandlas i avsnitt 14.14, slår fast Säkerhetspoli- sens skyldighet att inför vissa behandlingar göra en konsekvensbe- dömning och samråda med tillsynsmyndigheten. Paragrafen mot- svarar 3 kap. 7 § brottsdatalagen (2018:000). Av första stycket framgår att en konsekvensbedömning ska göras om det kan antas att en viss typ av ny behandling kommer att med- föra särskild risk för intrång i registrerades personliga integritet. Detsamma gäller vid betydande förändringar av redan pågående be- handling som kan antas medföra sådan risk. Vad regleringen inne- bär utvecklas i SOU 2017:29 s. 704. Andra stycket reglerar s.k. förhandssamråd. När en konsekvens- bedömning pekar på att det finns särskild risk för intrång i regist- rerades personliga integritet eller när typen av behandling innebär särskild risk för intrång, ska Säkerhetspolisen samråda med tillsyns- myndigheten. Vad det innebär utvecklas i SOU 2017:29 s. 704. Till- synsmyndighetens roll vid förhandssamråd regleras i 7 kap. 1 § 2. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. I paragrafen, som behandlas i avsnitt 14.14, regleras Säkerhetspoli- sens skyldighet att genom lämpliga tekniska och organisatoriska åtgärder skydda de personuppgifter som behandlas. Paragrafen motsvarar 3 kap. 8 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 705 f. Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhets- polisen anlitar. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. I paragrafen, som behandlas i avsnitt 14.14, regleras Säkerhetspoli- sens skyldighet att samarbeta med tillsynsmyndigheten. Paragrafen motsvarar 3 kap. 12 § brottsdatalagen (2018:000). Skyldigheten omfattar enbart samarbete med den myndighet som enligt lagen har utsetts till tillsynsmyndighet. I 7 kap. 3 § finns ytterligare be- stämmelser om skyldighet att bistå tillsynsmyndigheten. Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhetspolisen anlitar. Paragrafen, som behandlas i avsnitt 14.14, reglerar Säkerhetspoli- sens skyldighet att utse dataskyddsombud. Dataskyddsombud defi- nieras i 1 kap. 9 §. Paragrafen motsvarar 3 kap. 13 § brottsdatalagen (2018:000). I paragrafen föreskrivs att ett eller flera dataskyddsombud ska utses. Dataskyddsombudet ska vara anställd hos myndigheten. Säkerhetspolisen ska anmäla till tillsynsmyndigheten när data- skyddsombud utses och entledigas. I paragrafen, som behandlas i avsnitt 14.14, anges vilka uppgifter dataskyddsombud ska utföra. Paragrafen motsvarar 3 kap. 14 § brottsdatalagen (2018:000). Vad bestämmelsen innebär både i fråga om interna uppgifter, samarbete med tillsynsmyndigheten och kontakter med enskilda utvecklas i SOU 2017:29 s. 710 f. Paragrafen, som behandlas i avsnitt 14.14, reglerar dataskyddsom- budens skyldighet att anmäla brister till tillsynsmyndigheten. Para- grafen motsvarar 3 kap. 15 § brottsdatalagen (2018:000). Vad be- stämmelsen innebär utvecklas i SOU 2017:29 s. 712. Av paragrafen framgår att personuppgiftsbiträden får anlitas om det är lämpligt och vad Säkerhetspolisen måste göra innan ett per- sonuppgiftsbiträde anlitas. Personuppgiftsbiträde definieras i 1 kap. 9 §. Paragrafen, som behandlas i avsnitt 14.14, motsvarar 3 kap. 17 § brottsdatalagen (2018:000). Vad bestämmelsen innebär ut- vecklas i SOU 2017:29 s. 712 f. Paragrafen reglerar förhållandet mellan Säkerhetspolisen och per- sonuppgiftsbiträden. Den behandlas i avsnitt 14.14 och motsvarar 3 kap. 18 § brottsdatalagen (2018:000). I första stycket regleras kravet på att det ska finnas ett skriftligt avtal eller en annan skriftlig överenskommelse med personuppgifts- biträden. I andra stycket föreskrivs att personuppgiftsbiträdet inte får anlita underbiträden utan skriftligt tillstånd från Säkerhetspoli- sen. Vad regleringen innebär utvecklas i SOU 2017:29 s. 713. I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om innehållet i sådana avtal och överenskommelser som avses i första stycket. Paragrafen, som behandlas i avsnitt 14.14, reglerar vad som gäller vid behandling av personuppgifter hos ett personuppgiftsbiträde. Paragrafen motsvarar 3 kap. 19 § brottsdatalagen (2018:000). I första stycket slås fast att personuppgiftsbiträdet och de som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från Säkerhetspolisen. Av andra stycket framgår att ett personuppgiftsbiträde som i strid med Säkerhetspolisens instruktioner fastställer ändamålen med och medlen för behandlingen anses vara personuppgiftsan- svarig för den behandlingen. Vad regleringen innebär utvecklas i SOU 2017:29 s. 714. I paragrafen föreskrivs vilka skyldigheter som gäller för person- uppgiftsbiträden. Paragrafen, som behandlas i avsnitt 14.14, mot- svarar 3 kap. 20 § brottsdatalagen (2018:000). Hänvisningen till 4 och 5 §§ innebär att de personuppgiftbiträ- den som Säkerhetspolisens anlitar är skyldiga att dels säkerställa att loggar förs i automatiserade behandlingssystem, dels se till att an- ställda bara ges tillgång till de personuppgifter som krävs för att fullgöra arbetsuppgifterna. Innebörden av bestämmelserna framgår av SOU 2017:29 s. 702 f. Skyldigheten enligt 7 § att vidta lämpliga skyddsåtgärder gäller även för personuppgiftsbiträden. Innebörden av skyldigheten ut- vecklas i SOU 2017:29 s. 705 f. Personuppgiftsbiträden är också, genom hänvisningen till 8 §, skyldiga att i samma utsträckning som Säkerhetspolisen samarbeta med tillsynsmyndigheten. Innebörden av skyldigheten framgår av kommentaren till den paragrafen. Vad skyldigheten därutöver kan innebära utvecklas i SOU 2017:29 s. 714 f. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte Säkerhetspolisen dess ansvar. Säkerhetspolisen är, som framgår av kommentaren till 1 kap. 7 §, ansvarig för den behandling av person- uppgifter som personuppgiftsbiträdet utför på myndighetens väg- nar. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att tillsynsmyndig- heten vid brister kan vidta åtgärder mot både personuppgiftsbiträ- det och Säkerhetspolisen. I paragrafen, som behandlas i avsnitt 14.14, upplyses om att rege- ringen eller den myndighet som regeringen bestämmer kan med- dela föreskrifter om sådana åtgärder som avses i 1–4, 6 och 7 §§, om tillgången till personuppgifter, om skyldigheten att föra regis- ter över kategorier av behandlingar av personuppgifter, om skyldig- heten att införa rutiner för anmälan av överträdelser och om inne- hållet i sådana avtal och överenskommelser som avses i 13 §. 6 kap. Enskildas rättigheter I paragrafen, som behandlas i avsnitt 14.15, anges vilken allmän information som Säkerhetspolisen på eget initiativ ska göra till- gänglig för registrerade. Informationen, som riktar sig till allmän- heten eller en obestämd, större krets av registrerade, kan göras till- gänglig t.ex. på myndighetens webbplats. Paragrafen motsvarar 4 kap. 1 § brottsdatalagen (2018:000). Enligt punkten 1 ska myndighetens identitet och kontaktupp- gifter göras tillgängliga. Med det avses uppgifter om myndighetens namn, post- och besöksadress, telefonnummer och e-postadress. Säkerhetspolisen är enligt 5 kap. 9 § skyldig att utse dataskydds- ombud. Enligt punkten 2 ska dataskyddsombudets kontaktuppgif- ter anges. Det behöver inte vara en kontaktuppgift direkt till data- skyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. I punkten 3 föreskrivs att ändamålen med behandlingen ska framgå. Det är inte ändamålen med behandlingen av personuppgif- ter i enskilda fall som avses utan för vilka typer av ändamål som myndigheten behandlar personuppgifter. Det kan vara förunder- sökning, underrättelsearbete och åtgärder inom ett särskilt verk- samhetsområde, t.ex. kontraterrorism, eller åtgärder som vidtas inom ramen för säkerhetsskyddsarbetet, exempelvis säkerhets- prövning och registerkontroll. I punkterna 4 och 5 föreskrivs att Säkerhetspolisen ska upplysa om de rättigheter som enskilda har enligt 2, 6 och 7 §§. Det gäller rätten för registrerade att få information om behandlingen av per- sonuppgifter och att få del av dem och rätten att begära rättelse, komplettering, radering eller begränsning av behandlingen. I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan information som regleras i denna paragraf. I paragrafen regleras enskildas rätt att få besked om huruvida deras personuppgifter behandlas, att få del av sådana uppgifter och att få viss information om behandlingen av dem. Paragrafen behandlas i avsnitt 14.15 och motsvarar 4 kap. 3 § brottsdatalagen (2018:000). I första stycket anges vilken information sökanden kan få del av. I andra stycket undantas sådana personuppgifter som sökanden har tagit del av från skyldigheten att lämna ut uppgifterna. Sökanden ska dock informeras om att personuppgifterna i fråga behandlas. Vad regleringen innebär utvecklas i SOU 2017:29 s. 719 f. I 9 § föreskrivs att informationen ska lämnas till den registre- rade avgiftsfritt en gång och att utlämnande därutöver kan avgiftsbeläggas. Om en begäran om information är orimlig eller uppenbart ogrundad får den avslås enligt 5 § första stycket. Beslut att vägra att lämna information får enligt 8 kap. 2 § överklagas. I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan information som regleras i denna paragraf och om kraven på en begäran om information. Begränsning av rätten till information I paragrafen, som behandlas i avsnitt 14.15, görs undantag från Säkerhetspolisens informationsskyldighet. Paragrafen är delvis ut- formad efter mönster av 27 § personuppgiftslagen (1998:204). Enligt första stycket gäller Säkerhetspolisens skyldighet att till- handahålla personrelaterad information enligt 2 § inte i den ut- sträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av för- fattning att uppgifterna inte får lämnas ut. Det är främst sekretess och tystnadsplikt enligt offentlighets- och sekretesslagen som av- ses. Även andra bestämmelser om tystnadsplikt och bestämmelser som begränsar möjligheten att använda uppgifter som en svensk myndighet har fått från en myndighet i en annan stat kan begränsa informationsskyldigheten. Regleringen innebär att Säkerhetspoli- sen får begränsa eller utelämna informationen. Undantaget från informationsskyldigheten gäller även vid beslut som har meddelats med stöd av författning, t.ex. beslut om förbehåll enligt 10 kap. 4 eller 4 a § offentlighets- och sekretesslagen (2009:400). Säkerhetspolisen är enligt andra stycket inte heller skyldig att lämna ut skälen för beslut enligt första stycket och beslut i fråga om rättelse, radering eller begränsning av behandlingen om moti- veringen skulle riskera att skada något av de intressen som sekre- tessen eller tystnadsplikten avser att skydda. I paragrafen föreskrivs i första stycket undantag från informations- skyldigheten i 2 § för personuppgifter i viss typ av text. Undan- taget gäller dock enligt andra stycket inte i vissa fall. Paragrafen, som behandlas i avsnitt 14.15, motsvarar 4 kap. 6 § brottsdata- lagen (2018:000). Vad regleringen innebär utvecklas i SOU 2017:29 s. 723 f. I paragrafen föreskrivs att information enligt 2 § inte behöver läm- nas om begäran är orimlig eller uppenbart ogrundad. Paragrafen, som behandlas i avsnitt 14.15, motsvarar 4 kap. 7 § brottsdatalagen (2018:000). Enligt första stycket får Säkerhetspolisen avslå en begäran om information om behandlingen av personuppgifter och att få del av uppgifterna om begäran är orimlig eller uppenbart ogrundad. Vad regleringen innebär utvecklas i SOU 2017:29 s. 724 f. I andra stycket upplyses det om att myndigheten med stöd av 9 § andra stycket i vissa fall får ta ut avgift i stället för att avslå begäran. Rätten till rättelse, radering och begränsning av behandlingen Paragrafen reglerar enskildas rätt att begära rättelse eller komplet- tering av felaktiga eller ofullständiga personuppgifter. Paragrafen, som behandlas i avsnitt 14.15, motsvarar 4 kap. 9 § brottsdatalagen (2018:000). I 2 kap. 13 § regleras Säkerhetspolisens skyldighet att på eget initiativ rätta felaktiga eller ofullständiga personuppgifter och uppdatera inaktuella personuppgifter. I första stycket regleras registrerades rätt att begära rättelse eller komplettering. Om Säkerhetspolisen inte kan fastställa att person- uppgifterna är korrekta, ska myndigheten enligt andra stycket i stäl- let begränsa behandlingen av dem. Vad regleringen innebär utveck- las i SOU 2017:29 s. 687 och 725 f. Beslut i fråga om rättelse eller komplettering av personuppgifter eller begränsning av behandlingen får enligt 8 kap. 2 § överklagas. I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om kraven på en begäran om korrigeringsåtgärd. Paragrafen reglerar enskildas rätt att vid otillåten behandling av per- sonuppgifter begära radering eller, om personuppgifterna behöver finnas kvar som bevisning, begränsning av behandlingen. Para- grafen behandlas i avsnitt 14.15 och motsvarar 4 kap. 10 § brotts- datalagen (2018:000). I 2 kap. 14 § regleras Säkerhetspolisens skyl- dighet att på eget initiativ radera eller begränsa behandlingen av personuppgifter som behandlas på otillåtet sätt. Enligt första stycket ska Säkerhetspolisen på begäran av den regi- strerade radera personuppgifter som rör honom eller henne om uppgifterna behandlas i strid med 2 kap. 1–6, 8–10 eller 12 § eller 4 kap. 1 § första stycket, 2–4 eller 7–11 § eller om det krävs för att myndigheten ska utföra en rättslig förpliktelse. Vårdnadshavare och andra ställföreträdare kan begära radering för en registrerad som inte har rätt att själv göra det. Vad regleringen innebär utveck- las i SOU 2017:29 s. 726 f. Om förutsättningarna för att radera personuppgifterna är upp- fyllda, men uppgifterna behöver finnas kvar som bevisning, ska Säkerhetspolisen enligt andra stycket på begäran av den registrerade i stället begränsa behandlingen av uppgifterna. Vad det innebär ut- vecklas i SOU 2017:29 s. 727 f. Beslut i fråga om radering av personuppgifter och begränsning av behandlingen får enligt 8 kap. 2 § överklagas. I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om kraven på en begäran om radering eller begränsning av behand- lingen. Enligt paragrafen, som behandlas i avsnitt 14.15 och motsvarar 4 kap. 11 § brottsdatalagen (2018:000), avgör Säkerhetspolisen vil- ken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 728. Paragrafen, som motsvarar 4 kap. 12 § brottsdatalagen (2018:000), föreskriver att information som huvudregel ska vara avgiftsfri. Den behandlas i avsnitt 14.15. I första stycket slås fast att den information som Säkerhetspolisen på eget initiativ ska göra tillgänglig ska vara avgiftsfri, medan den information om behandlingen av den registrerades personuppgifter som lämnas på hans eller hennes begäran ska vara utan avgift en gång . Om någon begär att få information om behandlingen av person- uppgifter och att få del av dem oftare än en gång får Säker- hetspolisen enligt andra stycket ta ut en rimlig avgift för det. sådant beslut får enligt 8 kap. 2 § överklagas. Säkerhetspolisen får, i stället för att ta ut avgift, avslå begäran, vilket regleras i 5 § första stycket. Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 729. I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om avgift för information. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om allmän och personrelaterad information, om kraven på begäran om informa- tion och begäran om rättelse-, raderings- eller begränsningsåtgärder och om avgift för informationen. I paragrafen, som behandlas i avsnitt 15.4.1 och 15.4.2, anges vilka tillsynsuppgifter som tillsynsmyndigheten har. I punkten 1 föreskrivs att tillsynsmyndigheten ska utöva allmän tillsyn över behandlingen av personuppgifter. Vad tillsynen innebär utvecklas i SOU 2017:29 s. 460 f. och 730 f. avgör om och i vilken utsträckning tillsyn ska utövas och hur tillsy- nen ska genomföras. I punkten 2 regleras tillsynsmyndighetens rådgivande uppgifter. De omfattar både allmän rådgivning till personuppgiftsansvariga och personuppgiftsbiträden och rådgivning vid förhandssamråd enligt 5 kap. 6 §. Vad uppgifterna innebär utvecklas i SOU 2017:29 s. 732 f. Paragrafen upplyser om den tillsyn som Säkerhets- och integritets- skyddsnämnden utövar över Säkerhetspolisens personuppgiftsbe- handling enligt lagen (2007:980) om tillsyn över viss brottsbekäm- pande verksamhet. Den behandlas i avsnitt 15.1 och 15.7. I paragrafen, som behandlas i avsnitt 15.5.1, regleras tillsynsmyn- dighetens undersökningsbefogenheter. Undersökningsbefogenheterna omfattar bl.a. rätt att få tillgång till de personuppgifter som behandlas och till dokumentation, lokaler och utrustning. ska också ha rätt till det biträde som behövs för tillsynen. Paragrafen motsvarar 5 kap. 5 § brottsdatalagen (2018:000). Vad den innebär utvecklas i SOU 2017:29 s. 733. Paragrafen, som behandlas i avsnitt 15.5.3, reglerar tillsynsmyndig- hetens befogenheter i det förebyggande arbetet. De åtgärder som regleras i paragrafen är inte av tvingande karaktär. De syftar till att förebygga att framtida behandling av personuppgifter kommer att stå i strid med regelverket. I första stycket regleras vad tillsynsmyndigheten kan göra om den bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning. Det kan gälla såväl planerad som pågående behandling. ska i första hand försöka förmå Säkerhetspolisen eller personuppgifts- biträdet att minska den risken genom råd, rekommendationer eller påpekanden. Bestämmelsen motsvarar 5 kap. 6 § första stycket brottsdatalagen (2018:000). Vad den innebär utvecklas i SOU 2017:29 s. 734 f. I andra stycket regleras tillsynsmyndighetens möjlighet att ut- färda en skriftlig varning för att planerad eller pågående behandling av personuppgifter riskerar att stå i strid med lag eller annan för- fattning. Bestämmelsen motsvarar 5 kap. 6 § andra stycket brotts- datalagen. Vad den innebär utvecklas i SOU 2017:29 s. 735. I paragrafen, som behandlas i avsnitt 15.5.4, regleras tillsynsmyn- dighetens korrigerande befogenheter. De är avsedda att användas om tillsynsmyndigheten har konstaterat att personuppgifter be- handlas i strid med lag eller annan författning. Enligt första stycket punkten 1 får tillsynsmyndigheten även när den har konstaterat att behandlingen inte är författningsenlig an- vända icke bindande påtryckningsmedel i form av råd, rekommen- dationer eller påpekanden för att försöka förmå Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att uppfylla andra skyldigheter. Enligt punkten 2 får tillsynsmyndigheten förelägga Säkerhetspo- lisen eller personuppgiftsbiträdet att vidta en viss åtgärd eller upp- fylla någon annan skyldighet. Sådana förelägganden är bindande för mottagaren. kan t.ex. förelägga Säkerhets- polisen att ändra viss personuppgiftsbehandling eller att uppfylla krav på loggning eller dokumentationsskyldighet. Punkten 3 ger tillsynsmyndigheten möjlighet att förbjuda att viss behandling fortsätter. Ett sådant beslut är också bindande för mottagaren. Förbud får dock bara meddelas om bristen är allvarlig och förutsätter att tillsynsmyndigheten bedömer att det inte finns något annat sätt att komma till rätta med bristen. I andra stycket föreskrivs att det av ett föreläggande ska framgå när åtgärderna senast ska ha vidtagits. Om det är lämpligt ska det också anges vilka åtgärder som ska vidtas. Ett exempel kan vara att en viss personuppgift ska korrigeras eller tas bort. Paragrafen motsvarar 5 kap. 7 § punkterna 1–3 brottsdatalagen (2018:000). I SOU 2017:29 s. 735 f. utvecklas innebörden av befo- genheterna. Paragrafen reglerar tillsynsmyndighetens kommunikationsskyldig- het. Den behandlas i avsnitt 15.6.1. Paragrafen motsvarar 5 kap. 8 § brottsdatalagen. Vad skyldig- heten innebär utvecklas i SOU 2017:29 s 738. I paragrafen, som motsvarar 7 kap. 1 § brottsdatalagen (2018:000), regleras den registrerades rätt till skadestånd för den skada och kränkning som behandling av personuppgifter i strid med regel- verket har orsakat. Paragrafen behandlas i avsnitt 14.16.3. Rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i lagen eller i föreskrifter som meddelats i anslutning till den. Säkerhetspolisen eller ett personuppgiftsbiträde som är personuppgiftsansvarig enligt 5 kap. 14 § andra stycket kan åläggas skadestånd. Vad regleringen innebär utvecklas i SOU 2017:29 s. 749 f. Överklagande av Säkerhetspolisens beslut I paragrafen, som motsvarar 7 kap. 2 § brottsdatalagen (2018:000), anges vilka av Säkerhetspolisens beslut som får överklagas. Paragra- fen behandlas i avsnitt 14.16.4. Vilka typer av beslut som får överklagas räknas upp i första stycket. Uppräkningen är uttömmande.