prop · H503254 · 2018-05-02 00:00:00 — Dataskyddsförordningen ska tillämpas i som om den vore nationell rätt, men hindrar inte förekomsten av nationella registerförfattningar. Dessa kommer framöver dock endast att utgöra en komplettering till dataskyddsförordningen, vilket enligt vårt förslag ska klargöras i utlänningsdatalagen. Den rättsliga grunden för den personuppgiftsbehandling som utförs inom utlänningsdatalagens tillämpningsområde utgörs enligt vår bedömning av att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse, för 1Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 2Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Till allra största delen föranleder dataskyddsförordningen inte någon förändring av utlänningsdatalagens ändamålsbestämmelser. Vi föreslår dock att den hänvisning till finalitetsprincipen som finns i lagens sekundära ändamålsbestämmelser ska knyta an till dataskyddsförord- ningens bestämmelser i denna del. Vi föreslår också att det i utlänningsdatalagen klargörs att personuppgifter som behandlas eller har behandlats för lagens primära ändamål ska få behandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, förutsatt att de säkerhetsåtgärder som framgår av artikel 89.1 i dataskyddsförordningen vidtas. Som vi nämnt ovan kommer utlänningsdatalagen framöver att utgöra en komplettering till dataskyddsförordningen. Det är således i förordningen som de grundläggande bestämmelserna om personuppgiftsbehandling kommer att finnas. Till stora delar föranleder dataskyddsförordningen dock inga eller endast redaktionella ändringar av utlänningsdatalagen. Exempelvis kommer bestämmelserna om personuppgiftsansvar, direktåtkomst, avskiljande och gallring att kunna kvarstå oförändrade i materiellt hänseende. Vi föreslår dock att bestämmelserna om behandling av känsliga personuppgifter anpassas till dataskyddsförordningen på så sätt att definitionen av vilka kategorier av personuppgifter som ska anses vara känsliga överensstämmer med dataskyddsförordningens begrepp. Detta innebär att även uppgifter om sexuell läggning, genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person tillkommer. Förändringen ska emellertid inte innebära några hinder mot att – på samma sätt som – behandla personuppgifter som finns i register över fingeravtryck och fotografier. Utlänningsdatalagens nuvarande bestämmelse om personuppgifts- ombud kommer att ersättas med dataskyddsförordningens bestämmelser om skyldighet att utse dataskyddsombud. Förordningen är tydligare vad gäller ombudets ställning och uppgifter. När dataskyddsförordningen börjar tillämpas ska personuppgiftslagen (1998:204) upphävas.3 I enlighet med vad som tidigare gällt i förhållande till personuppgiftslagen föreslår vi att utlänningsdatalagen ska gälla i stället för den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (förkortad dataskyddslagen), som föreslås komplettera EU:s dataskyddsförordning på ett generellt plan i svensk rätt (se betänkande [SOU 2017:39]). Det ska i utlänningsdatalagen särskilt anges vilka bestämmelser i dataskyddslagen som ska gälla inom tillämpningsområdet. 3 Se kommittédirektiv till (Dir. 2016:15 s. 6). Genom hänvisningar till dataskyddslagens bestämmelser kommer stora delar av den tidigare regleringen för personuppgiftsbehandling att Det gäller bl.a. de aktuella myndigheternas rätt att behandla uppgifter om personnummer och samordningsnummer, begränsningen av den registrerades rätt till ett s.k. registerutdrag för uppgifter i löpande text eller minnesanteckningar samt rätten för myndigheterna att återanvända personuppgifter i arkiverade handlingar. Även de undantag som för närvarande finns från den registrerades rätt till information vid insamling av personuppgifter samt från rätten till ett registerutdrag kommer på detta sätt att upprätthållas. Dataskyddsförordningen innehåller bestämmelser som i vissa fall ger För att säkerställa att den registrerade inte genom sådan information får del av uppgifter som det råder sekretess för gentemot honom eller henne, föreslår vi att det införs ett undantag från denna rättighet. Undantaget ska gälla om den personuppgiftsansvarige, enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning, inte får lämna ut uppgifter till den registrerade. De undantag från dataskyddsförordningens bestämmelser om den registrerades rättigheter som vi föreslagit får – tillsammans med de undantag som finns i dataskyddsförordningen – till följd att de aktuella myndigheternas verksamhet kan fortgå även om den registrerade utnyttjar sina rättigheter enligt dataskyddsförordningen. Handläggning av enskilda ärenden behöver inte avstanna, bevarande av handlingar kommer att vara möjlig, personuppgifter i avslutade och arkiverade ärenden kan fortsätta behandlas och allmänhetens tillgång till allmänna handlingar inskränks inte. Dataskyddsförordningen och förslaget till dataskyddslag kommer att förändra systemet för sanktioner vid otillåten personuppgiftsbehandling. Vi föreslår att dataskyddslagens bestämmelser om administrativa sanktionsavgifter mot myndigheter i tillämpliga delar ska gälla även på utlänningsdatalagens tillämpningsområde. Detsamma gäller för data- skyddslagens bestämmelser om tillsynsmyndighetens handläggning och beslut. Genom en hänvisning till dataskyddslagen ska det även klargöras att den rätt till skadestånd för registrerade som framgår av dataskyddsförordningen även gäller vid överträdelser av dataskyddslagens (i tillämpliga delar) och utlänningsdatalagens bestämmelser. Även dataskyddslagens överklagandebestämmelser kommer att gälla på utlänningsdatalagens tillämpningsområde. Förslag till lag om ändring i utlänningsdatalagen (2016:27) Härigenom föreskrivs i fråga om utlänningsdatalagen (2016:27) dels att 10 § ska upphävas, dels att rubriken närmast före 7 § ska utgå, dels att nuvarande 14 § ska betecknas 15 a §, dels att 3, 5–8, 13, 15, 17, 18, 20 och 21 §§ ska ha följande lydelse, dels att rubriken närmast före nuvarande 14 § ska sättas närmast före 15 a §, dels att det ska införas fyra nya paragrafer, 3 a, 6 a, 13 a och 18 a §§, och närmast före 6, 6 a och 18 a §§ nya rubriker av följande lydelse. Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från om verksamheten inte utgör brotts- bekämpande verksamhet. Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från . Denna lag gäller inte vid sådan behandling av personuppgifter som omfattas av brottsdatalagens (2018:xx) tillämpningsområde. Denna lag gäller inte när personuppgifter behandlas med stöd av 1.lagen (2000:344) om Schengens informationssystem, 2.lagen (2006:444) om 810/2009 av om 810/2009 av om införande av en gemenskapskodex införande av en gemenskaps- (viseringskodex), kodex om viseringar (viserings- kodex), eller 603/2013 av om 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelands- medborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekämpande myndigheter begär jämförelser med Eurodac- uppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning). förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brotts- bekämpande myndigheter begär jämförelser med Eurodac- uppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning). När personuppgifter behandlas med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för visering- ar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen), gäller bestämmelserna i 28 och 48 §§ personuppgiftslagen (1998:204) om rättelse och skadestånd om inte något annat följer av VIS- förordningen. I övrigt är denna lag inte tillämplig när personuppgifter behandlas med stöd av VIS- förordningen. När personuppgifter behandlas med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för visering- ar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen) gäller, om inte något annat följer av VIS- förordningen, följande. Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med VIS- förordningen. Den personuppgifts- ansvarige ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbets- insats. Den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med VIS-förordningen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. I övrigt är denna lag inte tillämplig när personuppgifter behandlas med stöd av VIS- förordningen. Förhållandet till annan lagstiftning förordning (EU) 2016/679 av den om skydd för fysiska behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- Om inte något annat anges i 8 §, Om inte något annat anges i 8 §, gäller denna lag i stället för gäller denna lag i stället för lagen personuppgiftslagen (1998:204). enligt denna lag, eller enligt enligt denna lag, eller enligt föreskrifter som har meddelats i föreskrifter som har meddelats i personuppgiftslagen (1998:204): 3 § om definitioner, 1 kap. 4 § första stycket om 9 § om grundläggande krav förhållandet till tryck- och 3 kap. 6 § första stycket om behandling av känsliga person- 25–27 §§ information till den registrerade, 3 kap. 13 § om behandling av 28 § om rättelse, första stycket om säkerheten vid 4 kap. 1 § om användnings- 33–35 §§ personuppgifter till tredjeland, 5 kap. 1 § första stycket och 38–41 §§ 5 kap. 2 § om begränsningar av 1–5 §§ 1, 3 och 48 § om skadestånd, och gallras enligt denna lag, eller meddelats i anslutning till lagen, gäller inte 8 § förenas med vite. 1 Ändringen innebär bl.a. att andra och tredje stycket tas bort. Personuppgifter som behandlas enligt 11 och 12 §§ får även behandlas när det är nödvändigt för att tillhandahålla information till 1.riksdagen eller regeringen, 2.en annan myndighet eller en enskild, om uppgifterna lämnas med stöd av lag eller förordning, eller 3.en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnandet av uppgifterna följer av medlemskap i unionen eller av uppgiftsskyldighet enligt en internationell konvention som har tillträtt eller enligt ett av godkänt avtal med främmande stat eller mellanfolklig organisation. I ett enskilt fall får person- uppgifter som behandlas enligt 11 och 12 §§ även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första stycket under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. I ett enskilt fall får person- uppgifter som behandlas enligt 11 och 12 §§ även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första stycket under förutsättning att behandlingen är tillåten enligt artiklarna 5.1 b och 6.4 i och rådets förordning (EU) 2016/679. Personuppgifter som behandlas eller har behandlats enligt 11– 12 §§ får även behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i och rådets förordning (EU) 2016/679. Första stycket gäller inte om personuppgifter ska gallras enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen. Sådana särskilda kategorier av som anges i 13 § personuppgifts- uppgifter som anges i artikel 9.1 i 11 § 1–4 och 6 samt 13 § uppgifterna är absolut nödvändiga för syftet med behandlingen, eller Vid sökning i personuppgifter får uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberö- vanden inte användas som sökbegrepp. Uppgifter om beslut om förvar enligt utlänningslagen (2005:716) får dock användas som sökbegrepp. 2. i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Vad som sägs i första stycket stöd av 15 a §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Vid sökning i personuppgifter är Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda uppgifter som avslöjar sökbegrepp som avslöjar känsliga 1. ras eller etniskt ursprung, personuppgifter enligt 15 §. 2. politiska åsikter, 4. medlemskap i fackförening, 5. hälsa, eller 6. sexualliv. Vad som sägs i första stycket hindrar inte att känsliga person- uppgifter behandlas med stöd av 15 a §. Vid behandling av personuppgifter för ändamål som anges i 12 § 2 får personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp. Vid sökning i personuppgifter får sådana uppgifter om lagöver- trädelser m.m. som anges i 21 § personuppgiftslagen (1998:204) inte användas som sökbegrepp. Uppgifter om beslut om förvar enligt utlänningslagen (2005:716) får dock användas som sökbegrepp. Begränsningar av vissa rättig- heter och skyldigheter uppgiftsincident enligt artikel 34 i förordning (EU) 2016/679, gäller inte om den personuppgifts- ansvarige, enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning, inte får lämna ut uppgifter till den registrerade. har rätt att ta har rätt att ta enligt 11 eller 14 § vid direkt- enligt 11 eller 15 a § vid direkt- enligt 19 §. enligt 19 §. erna har motsvarande rätt att vid erna har motsvarande rätt att vid direktåtkomst ta del av uppgifter direktåtkomst ta del av uppgifter enligt 11 §. enligt 11 §. Säkerhetspolisen eller en utlands- Säkerhetspolisen eller en utlands- myndighet lämna ut personupp- myndighet lämna ut personupp- enligt 11 § 1 eller 2. enligt 11 § 1 eller 2. verket ska också på begäran av verket ska också på begäran av stycket 1, 2 eller 5. stycket 1, 2 eller 5. till tredjeland även utan den 8 § första stycket 8 är det tillåtet registrerades samtycke om över- att även utan den registrerades föringen är absolut nödvändig för samtycke föra över personuppgifter de ändamål som anges i 11 § 1 och till tredjeland om överföringen är 2 samt 12 § 1, såvida det inte absolut nödvändig för de ändamål möter hinder av sekretess enligt som anges i 11 § 1 och 2 samt 12 § 1, såvida det inte möter hinder av (2009:400). sekretess enligt offentlighets- och sekretesslagen (2009:400). Sådan överföring får ske även om det inte finns något beslut om 45.3 eller lämpliga skyddsåtgärder enligt artikel 46 i Europa- parlamentets och rådets förord- ning (EU) 2016/679. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av möjligheten att föra över personuppgifter till tredjeland. 1.Denna lag träder i kraft i fråga om 3 och 3 a §§ och i övrigt . 2.Äldre föreskrifter gäller fortfarande för överklagande av beslut som ombudsmän, för , tingsrätt, Kammarrätten i , Förvaltningsrätten i , Förvaltningsrätten i , Justitiekanslern, , myndigheten, Säkerhetspolisen, Säkerhets- och integritetsskydds- , , Datainspektionen, Ambassaden , Ambassaden , , Inspektionen för socialförsäkringen, , , universitet (), , Kommuner och (), akademikers (), i (LO), – Svenska sektionen, Rådgivningsbyrån för asylsökande och flyktingar. Ett yttrande har även inkommit från . Förslag till lag om ändring i utlänningsdatalagen (2016:27) Härigenom föreskrivs i fråga om utlänningsdatalagen (2016:27) dels att 7, 8 och 10 §§ ska upphöra att gälla, dels att rubriken närmast före 7 § ska utgå, dels att nuvarande 14 § ska betecknas 15 § och nuvarande 15 § ska betecknas 14 §, dels att 3, 5, 6, 13, den nya 14, 17, 18, 20 och 21 §§ ska ha följande lydelse, dels att rubriken närmast före nuvarande 14 § ska sättas närmast före den nya 15 § och att rubriken närmast före nuvarande 15 § ska sättas närmast före den nya 14 §, dels att det ska införas fem nya paragrafer, 4 a–4 c, 18 a och 18 b §§, och närmast före 4 a, 18 a och 18 b §§ nya rubriker av följande lydelse. Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från om verksamheten inte utgör brotts- bekämpande verksamhet. Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från . Förhållandet till annan reglering Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Denna lag gäller inte vid behandling av personuppgifter som omfattas av brottsdatalagens (2018:000) tillämpningsområde. Denna lag gäller inte när personuppgifter behandlas med stöd av 1.lagen (24) om Schengens informationssystem, 2.lagen (2006:444) om 810/2009 av om 810/2009 av om införande av en gemenskapskodex införande av en gemenskaps- (viseringskodex), kodex om viseringar (viserings- kodex), eller 603/2013 av om 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och förordning (EU) nr 604/2013 om mekanismer för att avgöra vilken kriterier och mekanismer för att medlemsstat som är ansvarig för att avgöra vilken medlemsstat som är pröva en ansökan om internationellt ansvarig för att pröva en ansökan om internationellt skydd som en medborgare eller en statslös person har lämnat in i någon medlemsstat statslös person har lämnat in i någon medlemsstat och för när begär jämförelser med Eurodac- ändamål, samt om ändring av förordning (EU) nr 1077/2011 om ändamål, samt om ändring av inrättande av en Europeisk byrå förordning (EU) nr för den operativa förvaltningen av om inrättande av en Europeisk stora it-system inom området förvaltningen av stora it-system (omarbetning). och rättvisa (omarbetning). Personuppgifter som avses i artikel 9.1 i EU:s dataskydds- förordning (känsliga person- uppgifter) får endast behandlas När personuppgifter behandlas med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för visering- ar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen), gäller bestämmelserna i 28 och 48 §§ personuppgiftslagen (1998:204) om rättelse och skadestånd om inte något annat följer av VIS- förordningen. I övrigt är denna lag inte tillämplig när personuppgifter behandlas med stöd av VIS- förordningen. 2017/18:254 När personuppgifter behandlas Bilaga 5 med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för visering- ar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen) gäller bestämmelserna om rätten till ersättning i artikel 82 i EU:s dataskyddsförordning om inte något annat följer av VIS- förordningen. I övrigt är denna lag inte tillämplig när personuppgifter behandlas med stöd av VIS- förordningen. Personuppgifter som behandlas enligt 11 och 12 §§ får även behandlas när det är nödvändigt för att tillhandahålla information till 1.riksdagen eller regeringen, 2.en annan myndighet eller en enskild, om uppgifterna lämnas med stöd av lag eller förordning, eller 3.en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnandet av uppgifterna följer av medlemskap i unionen eller av uppgiftsskyldighet enligt en internationell konvention som har tillträtt eller enligt ett av godkänt avtal med främmande stat eller mellanfolklig organisation. I ett enskilt fall får person- uppgifter som behandlas enligt 11 och 12 §§ även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första stycket under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Personuppgifter som behandlas enligt 11 och 12 §§ får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. 14 § Sådana känsliga personuppgifter som anges i 13 § personuppgifts- lagen (1998:204) får endast behandlas 1.för de ändamål som anges i 11 § 1–4 och 6 samt 13 § om uppgifterna är absolut nödvändiga för syftet med behandlingen, eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Första stycket hindrar inte att känsliga personuppgifter behandlas med stöd av 15 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Vid sökning i personuppgifter är Det är förbjudet att utföra det förbjudet att som sökbegrepp sökningar i syfte att få fram ett använda uppgifter som avslöjar urval av personer grundat på 1. ras eller etniskt ursprung, 2. politiska åsikter, samma gäller för uppgifter om brott, domar i brottmål, straff- 4. medlemskap i fackförening, 5. hälsa, eller 6. sexualliv. Uppgifter om beslut om förvar omfattas inte av förbudet. Första stycket hindrar inte att behandlas med stöd av 15 §. Vid behandling av personuppgifter för ändamål som anges i 12 § 2 får personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp.