prop · H503232 · 2018-04-19 00:00:00 — Säkerhetspolisen ska få lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Säkerhetspolisen ska få medge , Försvarsmakten och direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar för vissa Även underrättelse- och säkerhetstjänster inom EU och EES ska få medges direktåtkomst till uppgifter som Säkerhetspolisen behandlar för vissa syften om det behövs för samarbetet mot terrorism. direktåtkomst ska dock endast få medges till personuppgifter i en avskild uppgiftssamling och regeringen ska underrättas innan direktåtkomst Längsta tid för behandling Personuppgifter ska inte få behandlas än vad som behövs för något eller några av de syften för vilka Säkerhetspolisen får behandla personuppgifter. Huvudregeln ska på samma sätt som vara att per- sonuppgifter som har gjorts gemensamt tillgängliga inte får behandlas längre än då den senaste registreringen avseende perso- nen gjordes. Uppgifter om personer som ännu inte fyllt ska dock inte få behandlas längre än från den senaste registreringen. Per- sonuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. ska inte få behandlas längre än då den senaste registreringen gjordes. På samma sätt som ska Säkerhetspolisen kunna besluta att personuppgifter får behand- las om det finns särskilda skäl. Tillsyn över Säkerhetspolisens personuppgiftsbehandling Både Datainspektionen och ska på i huvudsak samma sätt som utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. Datainspektionen ska utöva allmän tillsyn över personuppgiftsbehand- ling enligt den nya lagen och ge råd och stöd till Säkerhetspolisen. Inspektionen ska i huvudsak ha samma befogenheter som enligt brotts- datalagen. Säkerhetspolisen ska dock inte kunna påföras administrativ sanktionsavgift. ska utöva tillsyn över Säker- hetspolisens personuppgiftsbehandling och på begäran av enskild kon- trollera om behandlingen av personuppgifter är författningsenlig. De nya registerförfattningarna och ändringarna i de befintliga registerför- fattningarna föreslås träda i kraft . Det krävs särskilda övergångsbestämmelser för det nya sanktionssystemet och för ersättning för skador som har vållats före ikraftträdandet. Till de nya lagarna krävs det övergångsbestämmelser dels för mål och ärenden som rör behand- lingen av personuppgifter som har påbörjats före ikraftträdandet men inte hunnit slutföras, dels för mål som har överklagats men som inte har hun- nit slutföras inom . Lagförslag i SOU 2017:74 lag om ändring i lagen (1998:620) om belastningsregister Härigenom föreskrivs att 1 b § lagen (1998:620)1 om belastningsre- gister ska upphöra att gälla vid utgången av . 1 Senaste lydelse av 1 b § 2013:331. lag om ändring i lagen (1998:621) om misstankeregister Härigenom föreskrivs att 1 b § lagen (1998:621)1 om misstankeregister ska upphöra att gälla vid utgången av 1 Senaste lydelse av 1 b § 2013:332. lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs att 18 kap. 2 och 18 §§, 35 kap. 1, 4 a, 4 b §, 10 och 10 b §§ och 37 kap. 7 § offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse. Sekretess gäller för uppgift som Sekretess gäller för uppgift som hänför sig till sådan verksamhet hänför sig till sådan verksamhet 2 kap. 7 § 1 eller (2010:361), om det inte står klart att uppgiften kan röjas utan att syf- tet med beslutade eller förutsedda (2018:000), om det inte står klart att åtgärder motverkas eller den fram- uppgiften kan röjas utan att syftet tida verksamheten skadas. med beslutade eller förutsedda åt- gärder motverkas eller den fram- tida verksamheten skadas. Sekretess gäller, under motsva- Sekretess gäller, under motsva- rande förutsättningar som anges i rande förutsättningar som anges i första stycket, för uppgift som hän- första stycket, för uppgift som hän- för sig till sådan verksamhet som 1. sådan verksamhet som avses i (2017:452), (2012:145), 2. sådan verksamhet som avses i (2017:447), eller (2017:447), eller 3. sådan verksamhet som avses i lagen (2012:145). (2017:452). Sekretess enligt första stycket gäller inte för uppgift som hänför sig till verksamhet hos och som har förts in i en allmän hand- ling . För uppgift i en allmän handling gäller sekretessen i högst . 1 Senaste lydelse 2017:456. Sekretessen enligt 17 § andra Sekretessen enligt 17 § andra stycket hindrar inte att en uppgift stycket hindrar inte att en uppgift lämnas ut enligt vad som lämnas ut enligt vad som föreskrivs i lagen (2000:344) om föreskrivs i lagen (2000:344) om polisdatalagen (2010:361). polisens brottsdatalag (2010:361). Lydelse enligt prop. Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i 1.utredning enligt bestämmelserna om förundersökning i brottmål, 2.angelägenhet som avser användning av tvångsmedel i brottmål eller iannan verksamhet för att förebygga brott, 3.angelägenhet som avser registerkontroll och särskild personutred- ning enligt säkerhetsskyddslagen (1996:627), 4.annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, , , , eller , 5. register som förs av Polismyn- 5. register som förs av Polismyn- digheten enligt 4 kap. polisdata- lagen (2010:361) eller som annars (2010:361) eller behandlas med stöd av de bestäm- annars behandlas med stöd av de melserna eller uppgifter som be- bestämmelserna, eller uppgifter som behandlas av Säkerhetspolisen med stöd av 6 kap. samma lag, lag (2018:000), 6. register som förs enligt lagen (1998:621) om misstankeregister, 7. register som förs av Skattever- 7. register som förs av Skattever- (2017:452) eller som annars be- lag (2017:452) eller som annars be- handlas där med stöd av samma handlas där med stöd av samma lag, brottmål som förs av åklagarmyn- brottmål som förs av åklagarmyn- dighet, om uppgiften inte hänför dighet, om uppgiften inte hänför till registrering som avses i 5 kap. 1 §, 5 kap. 1 §, eller 9. register som förs av 9. register som förs av (2017:447) eller som annars be- (2017:447) eller som annars be- med stöd av samma 2 Senaste lydelse 2010:369. 10. register som lagen (2010:362) om polisens all- männa spaningsregister. Sekretessen enligt första stycket 2 gäller hos domstol i dess rätt- skipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Vid förhandling om användning av tvångsmedel gäller sekretess för uppgift om vem som är misstänkt endast om det kan antas att fara uppkommer för att den misstänkte eller någon närstående till honom eller henne utsätts för våld eller lider annat allvarligt men om uppgiften röjs. Första stycket gäller inte om annat följer av 2, 6 eller 7 §. För uppgift i en allmän handling gäller sekretessen i högst . Sekretess gäller i verksamhet Sekretess gäller i verksamhet som avser förande av register som avser förande av tillträdes- enligt lagen (2015:51) om register förbudsregistret enligt 5 kap. poli- över tillträdesförbud vid idrottsar- sens brottsdatalag (2010:361) för rangemang för uppgift om en en- uppgift om en enskilds personliga skilds personliga förhållanden, om förhållanden, om det inte står klart det inte står klart att uppgiften kan att uppgiften kan röjas utan att den röjas utan att den enskilde eller enskilde eller någon närstående till någon närstående till denne lider honom eller henne lider men. För uppgift i en allmän handling gäller sekretessen i högst . Lydelse enligt SOU 2017:29 Sekretess gäller hos en behörig (2018:000) för uppgift i ett sådant brottsdatalagen (2018:000) avses i 2 kap. uppgift i ett sådant personurval 14 § samma lag. som avses i 2 kap. 14 § samma lag, Säkerhetspolisen för uppgift i ett sådant personurval som avses i datalag (2018:000). För uppgift i en allmän handling För uppgift i en allmän handling gäller sekretessen högst . gäller sekretessen i högst . 3 Senaste lydelse 2015:53. Nuvarande lydelse Föreslagen lydelse Sekretessen enligt 1 § hindrar inte att en uppgift lämnas ut 1. till en enskild enligt vad som föreskrivs i lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare, 2. till en enskild enligt vad som 2. till en enskild enligt vad som (1996:627) samt i förordning som (1996:627) och i förordning som har meddelats med stöd i den lagen, har meddelats med stöd i den 3. till en enskild enligt vad som 3. enligt vad som föreskrivs i 4. enligt vad som föreskrivs i – lagen (1998:621) om misstankeregister, – polisdatalagen (2010:361), (2010:361), (2017:452), lag (2012:145), (2017:447), lag (2015:433), (2012:145), (2017:447), – åklagardatalagen (2015:433), (2017:452), (2018:000), eller som har stöd i dessa lagar, eller 4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångs- enligt 4 a § hindrar inte att en uppgift lämnas ut enligt inte att en uppgift lämnas ut till en vad som föreskrivs i lagen idrottsorganisation enligt vad som (2015:51) om register över till- 2 kap. 14 § brottsdatalag (2010:361). 4Senaste lydelse 2017:456. 5Senaste lydelse 2015:53. Sekretessen enligt 6 § inte att uppgift lämnas ut enligt inte att uppgift lämnas ut vad som föreskrivs i lagen (2000:344) om Schengens infor- mationssystem och polisens brotts- lagen (2010:361). datalag (2010:361). 1.Denna lag träder i kraft . 2.Äldre bestämmelser gäller fortfarande för uppgifter i handlingar som har omhändertagits för arkivering före ikraftträdandet av denna lag. 6 Senaste lydelse 2010:369. Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för ändamål inom denna lags tillämpningsom- råde, ska den personuppgiftsansva- rige se över behovet av att fortsatt behandla personuppgif- terna. lag om ändring i brottsdatalagen (2018:000) Härigenom föreskrivs i fråga om brottsdatalagen (2018:000) dels att nuvarande 2 kap. 21 § ska betecknas 2 kap. 22 § och att rubri- ken före nuvarande 2 kap. 21 § ska placeras före nya 2 kap. 22 §, nu- varande 2 kap. 22 § ska betecknas 2 kap. 23 § och att rubriken före nu- varande 2 kap. 22 § ska placeras före nya 2 kap. 23 §, dels att 2 kap. 4, 13 och 18 §§, 6 kap. 1 § och nya 2 kap. 22 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 2 kap. 21 § och 3 kap. 16 §, och en ny rubrik före 2 kap. 21 § av följande lydelse. Lydelse enligt SOU 2017:29 Innan personuppgifter får behandlas för ett nytt ändamål inom denna lags tillämpningsområde ska det säkerställas att 1. det finns en tillåten rättslig 1. det finns grund enligt 1 § för den nya be- 2. behandlingen är nödvändig och proportionerlig för det nya ända- målet. I den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning behöver någon pröv- ning enligt första stycket inte göras. Det gäller dock inte upp- giftslämnande med stöd av 6 kap. 5 § offentlighets- och sekretess- lagen. Personuppgifter som avses i 11 Personuppgifter som avses i 11 och 12 §§ betecknas i denna lag och 12 §§ betecknas som känsliga som känsliga personuppgifter. Känsliga personuppgifter får be- uppgifter får behandlas med stöd handlas med stöd av 2 §. av 2 §. 18 § Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för andra ändamål än arkivändamål, ska den personuppgiftsansvarige se över behovet av att fortsatt be- handla personuppgifterna. Det gäller dock inte upp- giftslämnande med stöd av 6 kap. 5 § offentlighets- och sekretess- lagen. Personuppgifter som är nödvän- diga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. 22 § Av artikel 2.1 d i Europapar- lamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska per- soner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i den ursprungliga lydelsen, framgår att dataskyddsförordningen ska till- lämpas när en behörig myndighet behandlar personuppgifter för ändamål utanför denna lags till- lämpningsområde. Den som fullgör uppgift som dataskyddsombud får inte obe- hörigen röja eller utnyttja det som han eller hon då har fått veta om enskilds personliga eller ekono- miska förhållanden. 2 kap. 1–5, 7–12, 14–18 §, 19 § andra stycket eller 22 § andra stycket,2. 3 kap. 2–8 §, eller I det allmännas verksamhet till- lämpas offentlighets- och sekre- tesslagen (2009:400) i stället för första stycket. Sanktionsavgift får tas ut av en personuppgiftsansvarig vid överträ- delse av bestämmelser i 2 kap. 1–5, 7–12, 14–18 eller 19 § andra stycket, 3 kap. 2–8 §§, eller 8 kap. 1–6 eller 8 §. Sanktionsavgift får också tas ut om en personuppgiftsansvarig inte anmäler en personuppgiftsincident enligt 3 kap. 9 § första stycket, inte dokumenterar sådana incidenter eller underlåter att bistå tillsynsmyndig- heten enligt 5 kap. 5 § eller att följa tillsynsmyndighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3. Denna lag träder i kraft . Förteckning över remissinstanserna (SOU 2017:74) Följande remissinstanser har kommit in med yttrande över SOU 2017:74 Brottsdatalag – kompletterande lagstiftning: ombudsmän, , Hovrätten för , , Eskil- stuna tingsrätt, , , Kammarrätten i , Kammarrätten i , Förvaltningsrätten i , Förvaltningsrätten i , Förvaltningsrätten i , Förvalt- ningsrätten i , Justitiekanslern, , Åklagarmyn- digheten, , , , , , , , Brottsoffer- myndigheten, , Myndigheten för samhällsskydd och beredskap, , , Datainspektionen, För- svarsmakten, , , , Inspektionen för vård och omsorg, , Pensions- myndigheten, , , , Kronofogde- myndigheten, , , , , kommun, Hallstaham- mars kommun, kommun, kommun, , Sala kommun, , Statskontoret, , juridiska fakulteten, , juridiska institutionen, Natur- vårdsverket, Havs- och vattenmyndigheten, , Sjö- fartsverket, , , , Tidningsutgivarna, , och . Följande remissinstanser har avstått från att yttra sig respektive inte hörts av: , landsting, , , kommun, Borg- holms kommun, kommun, Falu kommun, kom- mun, , , , kommun, kommun, , kommun, , , kommun, Trelle- borgs kommun, kommun, kommun, kommun, Åmåls kommun, kommun, kommun, Aka- demikers (), i (LO), (), , Kommuner och Landsting (SKL), vakter, och . I vårt moderna och teknikutvecklade samhälle behandlas personuppgifter i en mycket stor omfattning, av både privatpersoner, företag och myndigheter. Överföringen av personuppgifter mellan aktörer i olika län- der ökar också i omfattning. som sådan behandling ofta medför en positiv förenkling och effektivisering, och är nödvändig för att en verksamhet ska kunna bedrivas ändamålsenligt, medför all per- sonuppgiftsbehandling risker för intrång i den enskildes personliga inte- gritet. Uppgifter som av den enskilde kan uppfattas som känsliga och integritetskränkande kan t.ex. behandlas i olika slags register, uppkomma genom kameraövervakning eller publiceras i inlägg på internet. För att skydda enskildas integritet finns därför ett behov av bestämmelser som bland annat begränsar vilka personuppgifter som får behandlas och för vilka ändamål, och som föreskriver att en otillåten behandling ska rättas eller upphöra. Det är vidare viktigt att de personuppgiftsansvariga har tillräcklig kunskap om gällande bestämmelser kring personuppgiftsbe- handling och att det finns en fungerande ordning som verkar för att be- stämmelserna följs. Dessa behov kan delvis tillgodoses genom en väl fungerande tillsyn, som därmed bidrar till att skyddet för den enskildes personliga integritet stärks. I de fall personuppgifter har behandlats på ett otillåtet sätt kan till- synen också innebära t.ex. att den enskilde får felaktiga uppgifter rättade och tillerkänns kompensation i form av skadestånd, eller att den person- uppgiftsansvarige föreläggs att upphöra med en felaktig behandling. Den alltmer omfattande behandlingen av personuppgifter också på en internationell nivå har inte minst inom EU lett till ett ökat fokus på beho- vet av skydd för den enskildes personliga integritet. I EU:s genomförda dataskyddsreform har frågor om tillsyn och tillsynsmyndig- heternas befogenheter ett ökat fokus. I vårt uppdrag har ingått att kartlägga den tillsyn över behandling av personuppgifter som bedrivs av dels en central tillsynsmyndighet med ett övergripande tillsynsansvar, dels några andra myndigheter med ett tillsynsansvar inom avgränsade sakområden. Vi har dessutom haft i uppdrag att analysera för- och nackdelar med ett i högre grad samlat till- synsansvar och att utreda hur skyddet för den enskildes personliga inte- gritet kan förstärkas genom att tillsynen över behandling av personupp- gifter i högre grad samlas hos en myndighet. Härutöver har vi haft att lämna förslag som innebär att lever upp till vissa av de krav som ställs på nationella tillsynsmyndigheter i den dataskyddsförordning och det nya dataskyddsdirektiv som har blivit resultatet av EU:s dataskydds- Den granskning av behandling av personuppgifter som bedrivs vid Sta- tens inspektion för försvarsunderrättelseverksamheten (Siun) har inte omfattats av vårt uppdrag. Uppdraget i sin helhet framgår av utredningens direktiv (bilaga 1 och 2). I det följande redovisar vi en sammanfattning av våra överväganden Vi kan dock redan nu konstatera att våra förslag har en stark koppling till frågor som regleras i de beslutade EU-rättsakterna Detta innebär att de utredningar som har i upp- drag att föreslå vilka anpassningar som är nödvändiga med anledning av rättsakterna kan ha anledning att på nytt överväga de frågor som omfattas av vårt uppdrag. Är det möjligt att samla all tillsyn hos en myndighet? Vi har i enlighet med uppdraget genomfört en kartläggning av dagens tillsyn över behandling av personuppgifter. Kartläggningsarbetet redovi- sas i kapitel 6. Vi har valt att uppfatta uppdraget så att kartläggningsar- betet på ett så heltäckande sätt som möjligt ska redovisa alla de myndig- heter som åtminstone teoretiskt kan sägas ha ett tillsynsuppdrag som om- fattar behandlingen av personuppgifter i den granskade verksamheten. Det innebär att kartläggningen omfattar inte bara myndigheter som exempelvis Datainspektionen och Säkerhets- och integritetsskyddsnämn- den (SIN), som helt eller till stor del ägnar sig åt tillsyn över personupp- giftsbehandling. Några av de myndigheter som ingår i redovisningen har ett huvudsakligt tillsynsuppdrag inom helt andra områden än dataskydd och skyddet för den personliga integriteten. Ytterligare några är inte huvudsakligen tillsynsmyndigheter utan har tilldelats ett visst tillsynsan- svar utöver sina andra uppgifter. I kapitel 8 redovisar vi våra iakttagelser med anledning av kartlägg- ningen. Det gäller bland annat frågan om var det finns gränsdragnings- problem mellan olika myndigheters tillsynsuppdrag, och våra slutsatser när det gäller vilka för- och nackdelar det skulle innebära att samla all tillsyn över behandling av personuppgifter hos en myndighet. Vår kartläggning visar att den centrala tillsynsmyndigheten spektionen har ett mycket brett och omfattande tillsynsområde som inne- fattar personuppgiftsbehandling inom både privat och offentlig verksam- het. Datainspektionen har behörighet att utöva tillsyn över all behandling av personuppgifter. Utöver renodlad tillsynsverksamhet bedriver Datain- spektionen ett förebyggande arbete som syftar till att öka kunskapen om de bestämmelser som ska skydda den enskildes personliga integritet vid behandling av personuppgifter. Om de personuppgiftsansvariga har god kännedom om vad som gäller vid personuppgiftsbehandlingen ökar för- utsättningarna för ett gott integritetsskydd utan behov av ingripanden från en tillsynsmyndighet. Vid sidan av Datainspektionens tillsyn utövar en handfull andra myn- digheter tillsyn över sådan personuppgiftsbehandling som förekommer i vissa särskilda verksamheter. Tillsynen kompletterar eller ersätter här Datainspektionens tillsyn. Ett sådant tillsynsansvar har bland annat (), SIN, , Centrala etikprövnings- nämnden och länsstyrelserna. Vi har kunnat konstatera vissa brister när det gäller fördelningen av tillsynsansvar mellan Datainspektionen å ena sidan och PTS, SIN, Cen- trala etikprövningsnämnden samt Inspektionen för vård och omsorg () å den andra. Lagstiftningen är vidare i några fall utformad på ett sådant sätt att några myndigheter kan sägas ha ett i vart fall teoretiskt tillsynsansvar även över behandling av personuppgifter, trots att tillsynen i dessa fall i realiteten uteslutande bedrivs av Datainspektionen och något annat inte torde ha varit avsikten. Vi har övervägt om ett ännu mera samlat tillsynsansvar skulle kunna vara en fördel när det gäller effektivitet, resursutnyttjande och enhetlig- het i tillsynsarbetet. Om det bara fanns en enda myndighet som hade ansvar för tillsynen av den personliga integriteten skulle det onekligen vara tydligt vilken myndighet som bär ansvaret. Det skulle också kunna ses som en fördel för tillsynsobjekten om en mera samlad tillsyn innebar att de skulle slippa bli föremål för tillsyn från olika håll. Vår kartläggning visar emellertid att tillsynen till stor del är samlad hos en myndighet, Datainspektionen, som också har ett övergri- pande ansvar när det gäller skyddet för den personliga integriteten. Att även ett antal andra myndigheter har ett till vissa områden avgränsat till- synsansvar har ofta motiverats med att den personuppgiftsbehandling det då handlar om utgör en del av och har en naturlig och nära koppling till den verksamhet som i övrigt är föremål för myndighetens ansvarsområde och tillsyn. Detta gäller exempelvis för den tillsyn som utförs av PTS, och Lotteriinspektionen. Den personuppgiftsbehand- ling som är föremål för särskild tillsyn, utöver eller vid sidan av den till- syn som utförs av Datainspektionen, kan vidare avse en verksamhet där det har ansetts att det krävs speciell kunskap om och erfarenhet av den granskade verksamheten. Tillsynen är i dessa fall inriktad på områden som kan ge upphov till särskilda risker från integritetssynpunkt. Detta gäller den tillsyn som utförs av SIN. Det kan dessutom vara omöjligt att särskilja de åtgärder som innebär att en personuppgift har behandlats från andra åtgärder som också är föremål för en viss myndighets tillsyn. De behandlingsregler i lagen om elektronisk kommunikation (2003:389) som är föremål för tillsyn av PTS kan exempelvis, men behöver inte, innehålla personuppgifter som går att koppla till en fysisk person. Sammanfattningsvis tydliggör kartläggningen att behandling av per- sonuppgifter förekommer inom alla delar av samhället, i en mycket stor omfattning och i mycket varierande typer av verksamheter. Det är när det gäller viss sådan verksamhet värdefullt och rent av nödvändigt att tillsynen bedrivs av en myndighet som har särskilda expertkunskaper på det område där behandlingen äger rum. Att uppdra åt en enda myndighet att utöva tillsyn över all personuppgiftsbehandling, oavsett i vilket sam- manhang och i vilken verksamhet den förekommer, skulle enligt vår be- dömning inte ge ett bättre skydd för enskildas personliga integritet. Man skulle i stället gå miste om fördelarna med att inom vissa för enskildas personliga integritet särskilt viktiga områden kunna utnyttja expertmyn- digheternas kunskap om de granskade verksamheterna. Till detta kom- mer att det inte ens är möjligt att särskilja åtgärder som innebär att personuppgifter behandlas från andra åtgärder som också är föremål för tillsyn. Vår slutsats är därför att det inte är möjligt eller ens lämpligt att samla all tillsyn över behandling av personuppgifter hos en enda myndighet. Datainspektionen bör även i fortsättningen vara den centrala myndighe- ten när det gäller personuppgiftsbehandling, men viss tillsyn härutöver