prop · H503232 · 2018-04-19 00:00:00 — 15 § Om den personuppgiftsansvarige bryter mot bestämmelser för be- handling av personuppgifter och rättelse inte vidtas, ska dataskydds- ombudet anmäla det till tillsynsmyndigheten. 16 § [Tystnadsplikt för dataskyddsombud] 17 § Den personuppgiftsansvarige får, om det är lämpligt, anlita person- uppgiftsbiträden. När ett personuppgiftsbiträde anlitas, ska den person- uppgiftsansvarige försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. 18 § Det ska finnas ett skriftligt avtal eller annan skriftlig överenskom- melse om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde får inte utan skriftligt tillstånd av den per- sonuppgiftsansvarige anlita ett annat personuppgiftsbiträde. 19 § Ett personuppgiftsbiträde och de som arbetar under biträdets ledning får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Om ett personuppgiftsbiträde i strid med den personuppgiftsansvariges instruktioner fastställer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig för den behandlingen. 20 § Det som sägs om den personuppgiftsansvariges skyldigheter i 5, 6, 8 och 12 §§ gäller även för personuppgiftsbiträden. 21 § Två eller flera behöriga myndigheter får vara gemensamt person- uppgiftsansvariga endast i den utsträckning det följer av lag eller förord- ning eller om regeringen i ett enskilt fall beslutar om det. 22 § Regeringen får meddela föreskrifter om skyldigheten att föra regis- ter över kategorier av behandling av personuppgifter och skyldigheten att införa interna rutiner för anmälan av överträdelser. 23 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.åtgärder som avses i 2–5, 7 och 8 §§, 2.tillgången till personuppgifter, 3.anmälan om personuppgiftsincidenter, 4.underrättelser till registrerade om personuppgiftsincidenter, och 5.innehållet i avtal och överenskommelser enligt 18 §. 4 kap. Enskildas rättigheter 1 § Den personuppgiftsansvarige ska göra följande allmänna information tillgänglig för registrerade. 1.Den personuppgiftsansvariges identitet och kontaktuppgifter. 3.Ändamålen med behandlingen. 4.Rätten enligt 3 § att begära att få information om behandling av per- sonuppgifter och att få del av dem. 5.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 9 och 10 §§. 6.Möjligheten att lämna in klagomål till tillsynsmyndigheten och kon- taktuppgifterna till den. 2 § Den personuppgiftsansvarige ska i specifika fall lämna följande in- formation till den registrerade, om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter. 1.Den rättsliga grunden för behandlingen. 2.Kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer. 3.Hur länge personuppgifterna får behandlas eller, om det inte är möj- ligt att ange, kriterierna för att fastställa det. 4.Övrig nödvändig information. Vid bedömningen av om information enligt första stycket 4 ska lämnas ska det särskilt beaktas om personuppgifterna samlats in utan den regi- strerades vetskap. 3 § Den personuppgiftsansvarige ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökanden få del av dem och få följande skriftliga information. 1.Vilka personuppgifter om sökanden som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möj- ligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 9 och 10 §§. 8.Möjligheten att lämna in klagomål till tillsynsmyndigheten och kon- taktuppgifterna till den. Utlämnande enligt första stycket behöver inte omfatta personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. 4 § Den som har varit föremål för ett sådant beslut som avses i 2 kap. 19 § får av den personuppgiftsansvarige begära närmare information om beslutet. Begränsning av rätten till information 5 § Informationsskyldigheten i 2 och 3 §§ gäller inte i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.annans fri- och rättigheter skyddas. Om förutsättningarna i första stycket är uppfyllda, är den person- uppgiftsansvarige inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 9 eller 10 §. Undantagen från informationsskyldigheten enligt första och andra styckena gäller även för en personuppgiftsansvarig som inte är en myn- dighet i motsvarande fall som avses i offentlighets- och sekretess- lagen (2009:400). 6 § Informationsskyldigheten i 3 § gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna har lämnats ut till tredje man, behandlas enbart för vetenskapliga, statistiska eller histo- riska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . 7 § Om en begäran enligt 3 § är orimlig eller uppenbart ogrundad får den personuppgiftsansvarige avslå den. Av 12 § andra stycket framgår att den personuppgiftsansvarige i vissa fall får ta ut avgift i stället för att avslå begäran. Möjligheten att begära kontroll genom tillsynsmyndigheten 8 § I 5 kap. 3 § finns bestämmelser om att en fysisk person får begära att tillsynsmyndigheten kontrollerar om hans eller hennes personuppgifter behandlas författningsenligt. Rätten till rättelse, radering och begränsning av behandlingen 9 § Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål rätta eller komplettera personuppgifter som rör honom eller henne om de är felaktiga eller ofullständiga med hänsyn till ända- målet med behandlingen. Om den personuppgiftsansvarige inte kan fastställa att personuppgif- terna är korrekta ska behandlingen av uppgifterna i stället utan onödigt dröjsmål begränsas. 10 § Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål radera personuppgifter som rör honom eller henne om de behandlas i strid med 2 kap. 1, 2, 3 § första stycket, 4–6, 8, 11, 12, 14 eller 17 § första stycket. Detsamma gäller om radering krävs för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgifter är uppfyllda men de behöver finnas kvar som bevisning, ska den person- uppgiftsansvarige på begäran av den registrerade i stället utan onödigt dröjsmål begränsa behandlingen av uppgifterna. 11 § Den personuppgiftsansvarige avgör vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av 12 § Information enligt 1, 2 och 4 §§ ska lämnas utan avgift. och uppgifter enligt 3 § ska lämnas utan avgift en gång . Om någon begär information och uppgifter enligt 3 § oftare än en gång , får den personuppgiftsansvarige ta ut en rimlig avgift eller avslå begäran enligt 7 § första stycket. 13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. information enligt 1–4 §§, 2. avgift för information som avses i 3 §, och 3. kraven på en begäran enligt 3, 4, 9 eller 10 §. 1 § ska verka både för att fysiska personers grund- läggande fri- och rättigheter skyddas i samband med behandling av per- sonuppgifter och för att underlätta det fria flödet av personuppgifter inom denna lags tillämpningsområde. 1. utöva allmän tillsyn över personuppgiftsbehandling, 2. handlägga klagomål från registrerade, 3. utföra kontroll enligt 3 §, och 4. på begäran bistå en tillsynsmyndighet i en annan medlemsstat. 3 § ska på begäran kontrollera om uppgifter om en fysisk person behandlas författningsenligt. Den som begär sådan kontroll ska visa att han eller hon har begärt information enligt 4 kap. 3 § eller en åtgärd enligt 4 kap. 9 eller 10 §. Myndigheten får vägra att utföra sådan kontroll som avses i första stycket om begäran är orimlig eller uppenbart ogrundad. 4 § ska ge råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning vid förhandssamråd och när det i övrigt är påkallat. 5 § har rätt att av personuppgiftsansvariga och per- sonuppgiftsbiträden på begäran få 1.tillgång till alla personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till lokaler som den personuppgiftsansvarige eller per- sonuppgiftsbiträdet disponerar och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. 6 § Om tillsynsmyndigheten bedömer att det finns risk för att personupp- gifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. 7 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet annars inte fullgör sina skyldigheter, får till- synsmyndigheten 1.genom sådana åtgärder som anges i 6 § första stycket försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgär- der för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, 2.förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, 3.förbjuda fortsatt behandling om bristen är allvarlig, eller 4.besluta om sanktionsavgift enligt 6 kap. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åt- gärderna senast ska vara genomförda och, om det är lämpligt, vilka åt- gärder som ska vidtas. 8 § Innan tillsynsmyndigheten fattar ett beslut enligt 7 § första stycket 2– 4, ska den som beslutet gäller ges tillfälle att inom en bestämd tid yttra sig över allt material av betydelse för beslutet, om det inte är uppenbart obehövligt. Besked angående handläggningen av ett klagomål 9 § Om tillsynsmyndigheten inte från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska utövas i anledning av klagomålet, ska myndigheten på skriftlig begäran av den registrerade antingen lämna besked i den frågan eller i ett särskilt beslut avslå begäran. Besked eller beslut enligt första stycket ska meddelas från den dag då begäran kom in till myndigheten. 10 § Om tillsynsmyndigheten har avslagit en begäran enligt 9 §, får den registrerade begära nytt besked tidigast efter det att myndig- hetens beslut meddelades. Om den registrerade på nytt begär besked avseende samma klagomål, ska myndigheten avvisa begäran. Samarbete med tillsynsmyndigheter i andra medlemsstater 11 § En begäran om bistånd från en tillsynsmyndighet i en annan med- lemsstat får vägras endast om det skulle strida mot en bindande unions- rättsakt, en lag eller en förordning att tillmötesgå den. 12 § När tillsynsmyndigheten utövar tillsyn enligt 2 § 4 har den de be- fogenheter som anges i 5–7 §§. 13 § får, om det är förenligt med svenska intressen, lämna ut en uppgift till en behörig tillsynsmyndighet i annan medlems- stat, även om uppgiften är sekretessbelagd enligt offentlighets- och sek- retesslagen (2009:400). 14 § Information som tillsynsmyndigheten efter begäran har fått från en tillsynsmyndighet i en annan medlemsstat får inte användas för något annat ändamål än det för vilket informationen begärdes. Ansökan hos allmän förvaltningsdomstol 15 § Om tillsynsmyndigheten vid handläggningen av ett ärende bedömer att det finns särskilda skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av denna lag, får myndigheten hos allmän förvaltningsdomstol ansöka om att en åtgärd som anges i 7 § första stycket 2–4 ska vidtas. Ansökan ska göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av tillsynsmyndighetens beslut. Prövningstillstånd krävs vid överklagande till kammarrätten. 16 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.kraven på en begäran enligt 3 §, 3.samarbete med tillsynsmyndigheter i andra medlemsstater. Överträdelser som kan föranleda sanktionsavgift 1 § Sanktionsavgift får tas ut av en personuppgiftsansvarig vid överträ- delse av bestämmelser i 1.2 kap. 1–5, 7–12, 14–18 eller 19 § andra stycket, 2.3 kap. 2–8 §§, eller 3.8 kap. 1–6 eller 8 §. Sanktionsavgift får också tas ut om en personuppgiftsansvarig inte an- mäler en personuppgiftsincident enligt 3 kap. 9 § första stycket, inte dokumenterar sådana incidenter eller underlåter att bistå tillsynsmyndig- heten enligt 5 kap. 5 § eller att följa tillsynsmyndighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3. 2 § Sanktionsavgift får tas ut av ett personuppgiftsbiträde vid överträ- delse av 3 kap. 5, 6 eller 8 §. Sanktionsavgift får också tas ut om ett personuppgiftsbiträde underlåter att bistå tillsynsmyndigheten enligt 5 kap. 5 § eller inte följer tillsynsmyn- dighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3. Hur sanktionsavgiften ska bestämmas 3 § Sanktionsavgiften ska vid överträdelser av 3 kap. 6 eller 7 § eller av bestämmelser om dokumentation av personuppgiftsincidenter vara och högst . Vid överträdelser av övriga bestämmelser som anges i 1 och 2 §§ ska avgiften vara och högst . Om flera bestämmelser har överträtts genom samma personuppgiftsbe- handling, eller om en eller flera bestämmelser har överträtts genom sam- mankopplade personuppgiftsbehandlingar, ska sanktionsavgiften bestäm- mas efter överträdelsernas allvar. Sanktionsavgiften får aldrig överstiga maximibeloppet för den allvarligaste överträdelsen. 4 § Vid bedömningen av om sanktionsavgift ska tas ut och när storleken på avgiften ska bestämmas ska särskild hänsyn tas till 1.om överträdelsen varit uppsåtlig eller berott på oaktsamhet, 2.den skada, fara eller kränkning som överträdelsen inneburit, 3.överträdelsens karaktär, svårhetsgrad och varaktighet, 4.vad den personuppgiftsansvarige eller personuppgiftsbiträdet gjort för att begränsa skadan, och 5.om den personuppgiftsansvarige eller personuppgiftsbiträdet tidigare ålagts att betala sanktionsavgift. 5 § Sanktionsavgiften får sättas ned helt eller delvis om överträdelsen är ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgift. 6 § beslutar om sanktionsavgift. Sanktionsavgiften tillfaller staten. 7 § Sanktionsavgift får inte beslutas, om den som avgiften ska tas ut av inte har fått tillfälle att yttra sig från den dag då överträ- delsen ägde rum. 8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om handlägg- ningen av beslut om och verkställighet av sanktionsavgift. 1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med denna lag, eller föreskrifter som har med- delats i anslutning till den, har orsakat. Överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig 2 § Beslut i fråga om rättelse eller komplettering enligt 4 kap. 9 § första stycket, radering enligt 4 kap. 10 § första stycket, eller begränsning av behandlingen enligt 4 kap. 9 § andra stycket eller 10 § andra stycket, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information enligt 4 kap. 3 eller 4 §, att ta ut avgift enligt 4 kap. 12 § andra stycket eller att inte medge omprövning av ett automa- tiserat beslut enligt 2 kap. 19 § första stycket. Prövningstillstånd krävs vid överklagande till kammarrätten. Första stycket gäller inte beslut av regeringen, , eller ombudsmän. 3 § beslut att avslå en begäran om besked enligt 5 kap. 9 § får överklagas till allmän förvaltningsdomstol. Om domstolen bifaller överklagandet, ska den förelägga tillsynsmyn- digheten att inom en bestämd tid lämna den registrerade besked i fråga om tillsyn kommer att utövas. Domstolens beslut får inte överklagas. Överklagande av andra beslut av tillsynsmyndigheten 4 § beslut enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till den får överklagas till allmän förvalt- ningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 2017/18:232 Beslut som inte får överklagas Bilaga 3 5 § Andra beslut enligt denna lag än de som anges i 2–4 §§ får inte över- klagas. Överföring av personuppgifter till tredjeland och internationella organisationer Grundläggande förutsättningar för överföring 1 § En behörig myndighet får överföra personuppgifter som behandlas till ett tredjeland eller en internationell organisation. Det gäller även överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organisation. Personuppgifterna får dock endast överföras om överföringen 1.är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.riktas till en behörig myndighet i ett tredjeland eller till en internatio- nell organisation som är en behörig myndighet, och a)ett beslut om adekvat skyddsnivå enligt 3 §, eller b)tillräckliga skyddsåtgärder enligt 4 §, eller c)ett undantag för särskilda situationer enligt 5 §. En behörig myndighet som avser att överföra personuppgifter till ett tredjeland eller en internationell organisation ska särskilt beakta risken för att enskilda får försämrat skydd för sina personuppgifter. 2 § Personuppgifter som en svensk myndighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organi- sation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. Om medgivande enligt första stycket på grund av tidsbrist inte kan in- hämtas i förväg, får personuppgifter ändå överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Det- samma gäller om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller en annan medlemsstat. Tillåtna grunder för överföring Beslut om adekvat skyddsnivå 3 § Om Europeiska kommissionen har beslutat att det finns en adekvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geogra- fisk eller på annat sätt angiven del av det, får personuppgifter överföras dit. Detsamma gäller om det finns ett sådant beslut avseende en interna- tionell organisation. 4 § Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 §, får personuppgifter ändå överföras till ett tredjeland eller en internationell organisation om 1.skyddsåtgärder för personuppgifter har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter, eller 2.den behöriga myndighet som uppgifterna ska överföras till på annat sätt garanterar tillräckligt skydd för dem. Överföring i särskilda situationer 5 § Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 § eller tillräckliga skyddsåtgärder enligt 4 §, får en överföring, eller en samling av överföringar, av personuppgifter göras till ett tredjeland eller en inter- nationell organisation endast om överföringen är nödvändig för att 1.skydda den registrerades eller en annan fysisk persons vitala intres- sen, eller andra berättigade intressen för den registrerade, 2.i ett enskilt fall förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 3.i ett enskilt fall kunna fastställa, göra gällande eller försvara ett rätts- ligt anspråk som hänför sig till ett sådant syfte som anges i 2, eller 4.avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får inte överföras till ett tredjeland eller en internatio- nell organisation om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av en sådan överföring som avses i första stycket 2 eller 3. 6 § En svensk behörig myndighet får inte tillåta att sådana personupp- gifter som anges i 2 § första stycket, och som överförts till ett tredjeland eller en internationell organisation, vidareöverförs till ett tredjeland eller en internationell organisation, om inte en behörig myndighet i den andra medlemsstaten har medgett att uppgifterna får vidareöverföras. 7 § När en behörig myndighet ska ta ställning till om personuppgifter som behandlats i och därefter lämnats till en annan medlemsstat, som överfört dem till ett tredjeland eller en internationell organisation, får vidareöverföras till ett tredjeland eller en internationell organisation, ska alla kända omständigheter som har samband med vidareöverföringen beaktas. Särskild vikt ska läggas vid brottets allvar, allvaret i faran för allmän säkerhet, det ändamål för vilket personuppgifterna ursprungligen lämnades till den andra medlemsstaten och nivån på skyddet av person- uppgifter i det tredjelandet eller hos den internationella organisationen dit uppgifterna ska vidareöverföras. Överföring till andra än behöriga myndigheter 8 § En behörig myndighet, med undantag för en annan aktör som utövar myndighet, får i ett enskilt fall, trots kravet i 1 § 2, överföra personupp- gifter till någon som inte är en behörig myndighet i ett tredjeland. Per- sonuppgifterna får överföras endast om 1.det är absolut nödvändigt för att den svenska myndigheten ska kunna utföra en arbetsuppgift enligt 1 kap. 2 § som den har ansvar för, 2.den svenska myndigheten informerar den som ska ta emot person- uppgifterna om det eller de specifika ändamål för vilket eller vilka upp- gifterna får behandlas, och 3.det skulle vara ineffektivt eller olämpligt att överföra dem till be- hörig myndighet i det tredjelandet. Personuppgifter får inte överföras enligt första stycket om den registre- rades intresse av skydd mot kränkning av grundläggande fri- och rättig- heter väger tyngre än det allmännas intresse av att överföringen görs.