prop · H503232 · 2018-04-19 00:00:00 — Den personupp- giftsansvarige har dock ingen skyldighet att lämna ut en kopia om sökan- dens rättigheter kan säkerställas på annat sätt, t.ex. genom en samman- fattning av vilka personuppgifter som behandlas. Sökanden ska också informeras om behandlingen av personuppgif- terna. Enligt punkt 1 och 2 ska informationen avse vilka personuppgifter om sökanden som behandlas och, om det är känt, varifrån uppgifterna kommer. I punkt 3 föreskrivs att den rättsliga grunden för behandlingen ska anges. Den rättsliga grunden kan t.ex. vara att det är nödvändigt att be- handla personuppgifterna vid utredning av brott eller verkställighet av straffrättsliga påföljder. Vidare ska enligt punkt 4 information om ända- målen med behandlingen lämnas. Det som avses är ändamålen i det enskilda fallet, t.ex. vilket ärende eller vilken förundersökning det är fråga om. Vidare ska information om mottagare eller kategorier av mottagare av personuppgifterna lämnas enligt punkt 5. Mottagare definieras i 1 kap. 6 §. Det som sägs i kommentaren till 2 § gäller även de uppgifter som är aktuella här. 2017/18:232 Enligt punkt 6 ska information också lämnas om hur länge personupp- gifterna får behandlas. Det som sägs i kommentaren till 2 § gäller även de uppgifter som är aktuella här. I punkt 7 föreskrivs att den personuppgiftsansvarige ska informera om rätten att begära rättelse, radering eller begränsning av behandlingen. Den personuppgiftsansvarige ska även enligt punkt 8 upplysa om möjlig- heten att lämna in klagomål till tillsynsmyndigheten och kontaktuppgif- terna till myndigheten. Punkterna motsvarar 1 § 5 och 6 och behandlas i kommentaren till den paragrafen. I andra stycket begränsas rätten att få del av personuppgifter. Om sökanden redan har tagit del av personuppgifterna behöver de inte läm- nas ut till honom eller henne. Det har ingen betydelse på vilket sätt sökanden fått del av dem. Det kan t.ex. vara personuppgifter i handlingar som sökanden själv har skickat in till myndigheten eller som myndighe- ten har expedierat till honom eller henne. Den personuppgiftsansvarige måste emellertid tydligt ange vilka personuppgifter som behandlas och ge sökanden en förteckning över dem. Den personuppgiftsansvarige måste också lämna information om behandlingen enligt första stycket 2– 8. Vidare har sökanden rätt att få del av personuppgifterna om han eller hon begär det. Om en begäran om information är orimlig eller uppenbart ogrundad får den avslås enligt 7 § första stycket. I 12 § föreskrivs att information enligt förevarande paragraf ska lämnas till den registrerade avgiftsfritt en gång och att utlämnande därut- över kan avgiftsbeläggas. Paragrafen, som genomför delar av artikel 11, ger den som har varit före- mål för ett automatiserat beslut rätt till information. Paragrafen behandlas i avsnitt 10.2.9. Paragrafen innebär att den registrerade har rätt att på begäran få när- mare information av den personuppgiftsansvarige om beslutet. Det kan t.ex. gälla frågor om omständigheterna som ledde fram till beslutet. I 12 § första stycket föreskrivs att avgift inte får tas ut för information enligt förevarande paragraf. Begränsning av rätten till information Paragrafen, som genomför artiklarna 13.3, 15.1 och 16.4, gör undantag från den personuppgiftsansvariges informationsskyldighet. Paragrafen har utformats i enlighet med Lagrådets förslag. Paragrafen är också del- vis utformad efter mönster av 27 § personuppgiftslagen och behandlas i avsnitt 10.3.1. I 3 kap. 11 § regleras i vilka fall information till registre- rade om personuppgiftsincidenter får begränsas. Enligt första stycket gäller den personuppgiftsansvariges skyldighet att lämna personrelaterad information enligt 2 och 3 §§ inte i den utsträck- ning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgif- terna inte får lämnas ut. Regleringen innebär att den personuppgiftsan- svarige får begränsa eller utelämna informationen. Det är främst sekre- tess och tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) som avses. Även andra bestämmelser om tystnadsplikt och bestämmelser som begränsar möjligheten att använda uppgifter som en svensk myndig- het har fått från en myndighet i en annan stat kan begränsa informations- skyldigheten. Undantaget från informationsskyldigheten gäller även vid beslut som har meddelats med stöd av författning, t.ex. beslut om förbe- håll enligt 10 kap. 14 § offentlighets- och sekretesslagen. Även andra för- fattningar kan innehålla bestämmelser som gör paragrafen tillämplig, t.ex. 6 kap. 6 § lagen (2010:751) om betaltjänster. Det är dock endast bestämmelser om att uppgifter inte får lämnas som hänför sig till de intressen som räknas upp i paragrafen som inskränker rätten till informa- tion. I avsnitt 10.3.1 redovisas ingående vilken prövning den personupp- giftsansvarige ska göra och hur den förhåller sig till de i paragrafen upp- räknade intressena. I punkt 1 skyddas intresset av att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Det rör sig alltså om skydd för allmänna intressen. Punkt 2 skyddar intresset av att andra rättsliga utredningar eller undersökningar inte hindras. Det kan exempel- vis vara fråga om utredning om administrativa avgifter som vattenförore- ningsavgift vid oljeutsläpp. I punkt 3 skyddas nationell säkerhet. Intresset av att skydda annans rättigheter och friheter regleras i punkt 4. Det är inte den registrerades rättigheter och friheter som skyddas, utan andra perso- ners. Den personuppgiftsansvarige är enligt andra stycket inte heller skyldig att lämna ut skälen för beslut enligt första stycket och beslut i fråga om rättelse, radering eller begränsning av behandlingen om motiveringen skulle riskera att skada något av de intressen som anges i första stycket. Eftersom lagen är tillämplig på andra aktörer än myndigheter före- skrivs i tredje stycket att även en personuppgiftsansvarig som inte är en myndighet i motsvarande utsträckning får begränsa eller underlåta att lämna information av hänsyn till något av de intressen som anges i första stycket. Paragrafen, som har sin grund i artikel 15.1 e, föreskriver undantag från informationsskyldigheten i 3 § för personuppgifter i viss typ av text. Paragrafen behandlas i avsnitt 10.3.3. Den personuppgiftsansvariges skyldighet att lämna personrelaterad information enligt 3 § gäller enligt första stycket inte för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller text som utgör minnesanteckningar eller liknande. Med löpande text avses information som inte har strukturerats så att sökning av personupp- gifter underlättas. Bild- och ljudupptagningar omfattas inte av undantaget eftersom det bara gäller text. Med text som inte fått sin slutliga utform- ning avses koncept eller utkast till protokoll, skrivelser, beslut eller lik- nande. Löpande text som är avsedd att ändras eller kompletteras och därför aldrig får någon slutlig utformning omfattas inte. Det sist- nämnda kan t.ex. vara diarier, journaler, register eller förteckningar som 2017/18:232 förs löpande. Med minnesanteckning avses anteckningar som utgör hjälpmedel för handläggningen, t.ex. promemorior och andra an- teckningar eller upptagningar som har skapats bara för att förbereda ett ärende för avgörande och som inte har tillfört ärendet något i sak. Av andra stycket framgår att undantaget från informationsskyldigheten inte gäller under vissa förhållanden. Sökanden har då rätt att få del av personuppgifter även i ofärdig löpande text eller i minnesanteckningar och liknande. Enligt punkt 1 gäller undantaget inte om personuppgifterna har lämnats ut till tredje man, med undantag för en myndighet som med stöd av för- fattning utövar tillsyn, kontroll eller revision. Tredje man definieras i 1 kap. 6 §. Det är den version av uppgifterna i t.ex. utkastet som lämna- des till tredje man som informationsskyldigheten omfattar, även om utkastet därefter har ändrats. Enligt punkt 2 gäller undantaget inte om personuppgifterna behandlas enbart för vetenskapliga, statistiska eller historiska ändamål. Om ett utkast eller en minnesanteckning endast används vid statistikproduktion eller för vetenskapliga eller historiska ändamål inom lagens tillämp- ningsområde ska alltså information om behandlingen av personuppgif- terna lämnas ut. I punkt 3 anges att undantaget inte heller gäller för per- sonuppgifter som har behandlats i löpande text som inte har fått sin slutliga utformning. Det är tidpunkten för begäran som är avgörande för bedömningen av om något av undantagen gäller. Både ettårsfristen och frågan om uppgif- terna har lämnats ut till tredje man eller behandlas för vetenskapliga, statistiska eller historiska ändamål ska bedömas i förhållande till när begäran om information gjordes (jfr prop. 1997/98:44 s. 83 f.). Paragrafen, som tillsammans med 12 § genomför delar av artikel 12.4, behandlas i avsnitt 10.3.4. Paragrafen föreskriver att information enligt 3 § inte behöver lämnas om begäran är orimlig eller uppenbart ogrundad. I första stycket föreskrivs att den personuppgiftsansvarige får avslå en begäran att få information om behandlingen av personuppgifter och få del av dem om begäran är orimlig eller uppenbart ogrundad. En begäran kan vara orimlig t.ex. om den upprepas ofta. En begäran kan också vara orimlig om den är så oprecis att det skulle vara närmast omöjligt att be- svara den, t.ex. om den rör en större myndighets hela verksamhet. Nor- malt bör i sådana fall begäran kunna preciseras till viss verksamhet, visst ärende eller någon annan liknande avgränsning. En begäran kan vara uppenbart ogrundad t.ex. om sökanden missbrukar sin rätt till informa- tion genom att exempelvis lämna felaktiga eller missvisande uppgifter i sin begäran. Den personuppgiftsansvarige har bevisbördan för att en begäran är orimlig eller uppenbart ogrundad. I andra stycket upplyses att den personuppgiftsansvarige med stöd av 12 § andra stycket i vissa fall får ta ut avgift i stället för att avslå begäran. Möjligheten att begära kontroll genom tillsynsmyndigheten I paragrafen, som behandlas i avsnitt 10.3.1, upplyses om att den regi- strerade med stöd av 5 kap. 3 § kan begära att tillsynsmyndigheten kon- trollerar om hans eller hennes personuppgifter behandlas författnings- enligt. Rätten till rättelse, radering och begränsning av behandlingen Paragrafen reglerar den enskildes rätt att begära rättelse eller komplette- ring av felaktiga eller ofullständiga personuppgifter och begränsning av behandlingen av personuppgifterna. Den genomför artikel 16.1 och, till- sammans med 10 §, artikel 16.3. Paragrafen behandlas i avsnitt 10.4.1 och 10.4.3. I 2 kap. 15 § regleras personuppgiftsansvarigas skyldighet att på eget initiativ rätta felaktiga eller ofullständiga personuppgifter och uppdatera inaktuella personuppgifter. Enligt första stycket ska den personuppgiftsansvarige på begäran av den registrerade rätta eller komplettera personuppgifter som rör honom eller henne, om de är felaktiga eller ofullständiga med hänsyn till ända- målet med behandlingen. Vårdnadshavare och andra ställföreträdare kan begära rättelse eller komplettering åt en registrerad som inte själv har rätt att göra det. I kommentaren till 2 kap. 7 § framgår vad som avses med att en personuppgift är korrekt och vilka bedömningar som ska göras. Rättelse eller komplettering ska göras utan onödigt dröjsmål. Det inne- bär att den personuppgiftsansvarige skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt genomföra åtgärden. Den personuppgiftsansvarige ska enligt andra stycket begränsa be- handlingen av personuppgifter som rör den registrerade om han eller hon ifrågasätter att de är korrekta. Den registrerade kan ha en annan uppfatt- ning än den personuppgiftsansvarige om huruvida en personuppgift är korrekt. Om korrektheten ifrågasätts är den personuppgiftsansvarige skyldig att försöka klarlägga hur det förhåller sig. Om den personupp- giftsansvariges utredning om den omstridda personuppgiften inte kan slutföras inom den tid som en personuppgift ska rättas eller kompletteras, ska behandlingen begränsas . Har behandlingen av en personuppgift begränsats får uppgiften som ut- gångspunkt inte längre behandlas av vare sig den personuppgiftsansva- rige, ett personuppgiftsbiträde eller någon annan, utom för de ändamål för vilka behandlingen begränsades. Uppgiften får dock lämnas ut med stöd av 2 kap. tryckfrihetsförordningen. Den personuppgiftsansvarige ska vidta åtgärder som visar att behandlingen av personuppgiften har begrän- sats. En sådan åtgärd kan vara att föra över uppgiften från det datasystem där den behandlas, t.ex. myndighetens verksamhetssystem, till ett arkiv- system. Andra åtgärder kan vara att göra personuppgiften oåtkomlig genom en teknisk begränsning eller annan inskränkning av tillgången till uppgiften. När utredningen om personuppgiften är avslutad ska begräns- ningen av behandlingen upphöra. Då ska personuppgiften antingen rättas eller fortsätta att behandlas som . Paragrafen reglerar den enskildes rätt att vid otillåten behandling av per- sonuppgifter begära radering eller, om personuppgifterna behöver finnas kvar av bevisskäl, begränsning av behandlingen. Den genomför arti- kel 16.2 och, tillsammans med 9 §, artikel 16.3. Paragrafen behandlas i avsnitt 10.4.2 och 10.4.3. I 2 kap. 16 § regleras personuppgiftsansvarigas skyldighet att på eget initiativ radera eller begränsa behandlingen av per- sonuppgifter som behandlas på otillåtet sätt. Enligt första stycket ska den personuppgiftsansvarige på begäran av den registrerade radera personuppgifter som rör honom eller henne, om de behandlas i strid med 2 kap. 1, 2, 3 § första stycket, 4–6, 8, 11, 12, 14 eller 17 § första stycket eller om det krävs för att den personuppgifts- ansvarige ska utföra en rättslig förpliktelse. Vårdnadshavare och andra ställföreträdare kan begära radering för en registrerad som inte har rätt att själv göra det. Om personuppgifter behandlas i strid med någon av de bestämmelser som räknas upp i paragrafen ska de på begäran av den registrerade rade- ras. Med radering avses att personuppgifter tas bort från informations- samlingar på ett sådant sätt att de kan återskapas. I de aktuella bestämmelserna föreskrivs bl.a. att personuppgifter ska vara adekvata och relevanta, att inte fler personuppgifter än nödvändigt får behandlas och att de bara får behandlas om det finns en rättslig grund och för sär- skilt angivna ändamål. Där regleras också behandling av känsliga per- sonuppgifter och hur länge personuppgifter får behandlas. Frågan om en personuppgift ska raderas ska bedömas mot bakgrund av kraven i dessa bestämmelser. Personuppgifter ska också raderas på begäran av den registrerade om det krävs för att den personuppgiftsansvarige ska utföra en rättslig för- pliktelse. Rättslig förpliktelse kan avse en skyldighet som rör hur person- uppgifter får behandlas enligt denna lag, myndighetens registerförfatt- ning eller annan författning om ett enskilt register, t.ex. lagen (1998:621) om misstankeregister. Utrymmet för att radera uppgifter i allmänna handlingar begränsas av arkivlagstiftningen genom att det krävs författningsstöd för gallring. Radering ska göras utan onödigt dröjsmål. Det innebär att den person- uppgiftsansvarige skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt radera uppgiften. Om förutsättningarna för att radera personuppgifterna är uppfyllda, men uppgifterna behöver finnas kvar av bevisskäl, ska enligt andra stycket den personuppgiftsansvarige på begäran av den registrerade i stället begränsa behandlingen av uppgifterna. En begränsning kan bara göras i de fall där personuppgifterna behand- las otillåtet, eftersom det endast är då som radering kan komma i fråga. För att personuppgifterna inte ska raderas ska de behövas som bevisning, t.ex. i en rättsprocess angående otillåten personuppgiftsbehandling. Där- emot är det inte tillåtet att ha kvar personuppgifter som ska raderas i syfte att använda dem t.ex. för brottsbekämpning. Begränsning av behandlingen är inte en permanent åtgärd. När person- uppgifterna inte längre behöver finnas kvar av bevisskäl, t.ex. för att domen eller beslutet i skadeståndsmålet har fått laga kraft, ska begräns- Prop. 2017/18:232 ningen upphöra och personuppgifterna raderas. Behandlingen ska begränsas utan onödigt dröjsmål. Hur det kan göras utvecklas i kommentaren till 9 §. Enligt paragrafen, som behandlas i avsnitt 10.4.4, avgör den personupp- giftsansvarige vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. Paragrafen innebär att den personuppgiftsansvarige – med beaktande av vilken åtgärd som är lagligen möjlig att vidta – ska se till att den lämpligaste åtgärden vidtas oavsett vilken åtgärd som begärs av den registrerade. Vad som är mest lämpligt ska bedömas med utgångspunkt i både verksamhetens behov och den registrerades rätt till skydd för sina personuppgifter. Paragrafen, som tillsammans med 7 § genomför delar av artikel 12.4, föreskriver att information som huvudregel ska vara avgiftsfri. Den be- handlas i avsnitt 10.3.4 och 10.5.9. I första stycket slås fast att den information som den personuppgiftsan- svarige på eget initiativ ska lämna till en registrerad om behandlingen av hans eller hennes personuppgifter och information om automatiserade beslut ska vara avgiftsfri, medan den information om behandlingen av den registrerades personuppgifter som lämnas på begäran ska vara utan avgift en gång . I andra stycket föreskrivs att om någon begär att få information om be- handlingen av personuppgifter och få del av dem oftare än en gång får den personuppgiftsansvarige ta ut en rimlig avgift för det. Den per- sonuppgiftsansvarige får, i stället för att ta ut avgift, avslå begäran, vilket regleras i 7 § första stycket. Utgångspunkten bör vara att den personupp- giftsansvarige i första hand tar ut avgift och i andra hand avslår begäran om information. Vilken åtgärd som är lämpligast får avgöras med ut- gångspunkt i omständigheterna i det enskilda fallet. En viktig faktor kan vara hur många framställningar om information som personen har gjort och hur som förflutit efter den senaste framställan. Även omständigheter som hur preciserad eller komplicerad begäran är och vilka skäl han eller hon anger för sin begäran bör beaktas. Om den personuppgiftsansvarige avser att ta ut avgift bör den som be- gärt informationen underrättas om det. Den personuppgiftsansvarige bör förhöra sig om begäran vidhålls. Avgiften ska vara rimlig, vilket innebär att den inte får överstiga de administrativa kostnaderna för att besvara begäran. 2017/18:232 5 kap. Paragrafen, som genomför artikel 41.1 och behandlas i avsnitt 11.5, reg- lerar tillsynsmyndighetens uppdrag. Den har utformats i enlighet med Lagrådets förslag. Definitionen av tillsynsmyndigheten finns i 1 kap. 6 §. Paragrafen tydliggör att tillsynsmyndigheten ska ha dubbla perspektiv vid sin tillsyn. Den innebär att tillsynsmyndigheten i sin tillsyn ska verka både för att fysiska personers grundläggande rättigheter och friheter skyddas i samband med behandling av personuppgifter och för att under- lätta det fria flödet av personuppgifter inom denna lags tillämpningsom- råde. Vid sin tolkning och tillämpning av regelverket ska tillsynsmyn- digheten bl.a. beakta hur tillsynen påverkar informationsutbytet både nationellt och internationellt, t.ex. vid bedömning av vad som utgör lämpliga skyddsåtgärder och en tillräcklig skyddsnivå. Om myndigheten exempelvis i sin tillsyn konstaterar att den personuppgiftsansvarige ska vidta en åtgärd och det finns flera alternativ som är likvärdiga ur integri- tetssynpunkt, bör den åtgärd som innebär minst hinder för det fria flödet av personuppgifter förordas. Intresseavvägningen ska även speglas i tillsynsmyndighetens föreskrifter, råd och annan information som myn- digheten tar fram. Paragrafen genomför delar av artiklarna 46 och 50.1 och reglerar, till- sammans med 3 och 4 §§, tillsynsmyndighetens uppgifter. Paragrafen behandlas i avsnitt 11.6.1, 11.6.2 och 11.10.1. I paragrafen räknas de huvudsakliga tillsynsuppgifterna upp. Tillsyns- myndigheten avgör om och i vilken utsträckning tillsyn ska utövas och hur den ska genomföras. Myndigheten ska agera helt oberoende vid denna bedömning. Det innebär att ingen kan kräva att myndigheten ska utöva tillsyn, förutom när det gäller kontroll enligt 3 §. Det finns inte heller några formella krav på hur tillsynen ska utövas, med undantag från vissa bestämmelser i denna lag och i föreskrifter som beslutas i anslut- ning till den. Om tillsynsmyndigheten beslutar att inleda ett tillsyns- ärende tillämpas förvaltningslagen (2017:900) på handläggningen om det inte finns avvikande bestämmelser (se avsnitt 11.8.1). I punkt 1 anges tillsynsmyndighetens allmänna uppgift att utöva tillsyn över behandlingen av personuppgifter. Vad det innebär utvecklas i av- snitt 11.7.1. Av punkt 2 framgår att handläggning av klagomål från regi- strerade är en tillsynsuppgift. är skyldig att åtmin- stone hantera inkomna klagomål och ta ställning till om klagomålet bör föranleda någon tillsynsåtgärd och att underrätta klaganden om resultatet. är dock bara skyldig att utreda klagomål i den ut- sträckning den finner det lämpligt. Punkt 3 hänvisar till 3 § när det gäller kontroll av om viss behandling är författningsenlig. I punkt 4 regleras tillsynsmyndighetens skyldighet att på begäran bistå en tillsynsmyndig- het i en annan medlemsstat. Det kan exempelvis vara fråga om att inhämta handlingar från en svensk myndighet eller att undersöka hur Prop. 2017/18:232 personuppgifter som har överförts till har behandlats. regleras i 9, 10 och 12 §§. I andra stycket, som genomför artikel 45.2, regleras ett undantag för dömande verksamhet. Undantaget behandlas i avsnitt 11.3.2. Undantaget innebär att tillsynsmyndighetens tillsyn inte ska omfatta behandling av personuppgifter inom ramen för domstolarnas dömande verksamhet. Ut- trycket dömande verksamhet har samma innebörd som i artikel 45.2. Syftet med den bestämmelsen är enligt skäl 80 till direktivet att garantera domarnas oberoende när de utför sina rättsliga uppgifter. Vidare anges att undantaget bör vara inskränkt till rättsliga verksamheter i domstolsmål och inte vara tillämpligt på övriga verksamheter där domare i enlighet med medlemsstaternas nationella rätt kan medverka. I paragrafen, som genomför artiklarna 17.1 och 46.4 och delar av arti- kel 46.1, regleras tillsynsmyndighetens skyldighet att kontrollera om viss personuppgiftsbehandling är författningsenlig. Paragrafen behandlas i av- snitt 11.6.1 och 11.6.3. I första stycket anges förutsättningarna för kontroll. Om en fysisk per- son inte fått tillgång till eller information om uppgifter som behandlas om honom eller henne, eller fått uppgifter korrigerade, kan den enskilde begära att tillsynsmyndigheten kontrollerar om uppgifterna behandlas författningsenligt. En förutsättning för att tillsynsmyndigheten ska vara skyldig att utföra kontrollen är att den som begär kontrollen först har begärt information eller en korrigeringsåtgärd av den personuppgifts- ansvarige. Juridiska personer har inte rätt att begära kontroll. Kontrollen ska avse om uppgifter om personen i fråga behandlas och i så fall om de behandlas i enlighet med denna lag och andra författningar som reglerar behandling av personuppgifter inom lagens tillämpningsom- råde. Med utgångspunkt i uppgifterna i begäran avgör tillsynsmyn- digheten hur omfattande kontroll som behövs i det enskilda fallet. Den enskilde själv kan begära kontroll, men kontroll kan också begäras av en vårdnadshavare eller ett ombud, jfr kommentaren till 4 kap. 3 §.