prop · H503232 · 2018-04-19 00:00:00 — är endast skyldig att underrätta den sökande om att kontrollen har utförts, men inte att röja vad kontrollen har resulterat i. Enligt andra stycket kan tillsynsmyndigheten vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad. En begäran kan vara orimlig om den upprepas för ofta. En begäran kan även vägras om den är så opreciserad att det skulle krävas oproportionerligt stora ansträngningar av tillsynsmyndigheten för att utföra den. En begäran är uppenbart ogrundad om någon av de grundläggande förutsättningarna brister, t.ex. om den som begär kontroll inte först har vänt sig till den personuppgifts- ansvarige. har bevisbördan för att begäran är orim- lig eller uppenbart ogrundad. Ett beslut att vägra att utföra kontroll kan överklagas till allmän förvaltningsdomstol, se kommentaren till 7 kap. 3 §. Paragrafen, som genomför delar av artikel 46.1, reglerar tillsynsmyndig- hetens skyldighet att lämna råd och stöd till personuppgiftsansvariga och till personuppgiftsbiträden. Paragrafen behandlas i avsnitt 11.6.1 och 11.6.4. Med råd avses både muntliga och skriftliga råd. Det kan vara fråga om allmänna råd eller rådgivning i ett enskilt fall. Det kan även vara fråga om rådgivning vid förhandssamråd enligt 3 kap. 7 §. Rådgivning av sist- nämnda slag är tillsynsmyndigheten skyldig att bistå med, medan myn- digheten i övrigt ska ge råd och stöd bara när den anser att det är påkal- lat. Rådgivningen och stödet ska avse personuppgiftsansvarigas och personuppgiftsbiträdens allmänna skyldigheter. Råd kan t.ex. lämnas genom information på tillsynsmyndighetens hem- sida, genom publicering av allmänna råd eller andra riktlinjer eller någon funktion för rådgivning per telefon eller e-post. Paragrafen ger således ingen rätt för personuppgiftsansvariga eller personuppgiftsbiträden att avkräva tillsynsmyndigheten råd i en konkret fråga, om det inte är sär- skilt reglerat. Förhandssamråd är exempel på det sistnämnda. Paragrafen, som genomför artiklarna 25.3 och 47.1, reglerar tillsynsmyn- dighetens undersökningsbefogenheter. Den behandlas i avsnitt 11.7.3. Enligt punkt 1 har tillsynsmyndigheten rätt att för sin tillsyn från per- sonuppgiftsansvariga och personuppgiftsbiträden få tillgång till alla per- sonuppgifter som behandlas. Det innebär att tillsynsobjektet ska lämna de begärda uppgifterna även om det kräver viss efterforskning. Att till- synsmyndigheten har rätt att få del av annan information framgår av punkterna 2 och 4 och rätten att få hjälp med de sökningar i behandlings- system som myndigheten begär regleras i punkten 4. Punkt 2 ger tillsynsmyndigheten rätt till upplysningar och dokumenta- tion som rör behandling av personuppgifter och vilka åtgärder som har vidtagits för att säkerställa skyddet för personuppgifterna och registrera- des personliga integritet. Dokumentationen kan avse exempelvis de register eller loggar som personuppgiftsansvariga och personuppgiftsbi- träden ska föra. Det kan också vara fråga om upplysningar om och dokumentation av vilka organisatoriska och tekniska åtgärder som vid- togs i samband med att ett register inrättades eller en viss typ av behand- ling påbörjades. Det kan också röra sig om åtgärder för att garantera säkerheten, begränsa den interna tillgången till uppgifter eller förhindra otillåten behandling och åtgärder för intern kontroll. Informationen kan avse exempelvis ändamålen med behandlingen eller loggar och för- teckningar över pågående behandlingar. Att en myndighet saknar faktisk möjlighet att påverka hur uppgifter hanteras innan de blir tillgängliga hos myndigheten hindrar inte att den är skyldig att redovisa säkerheten vid behandlingen (se HFD 2012 ref. 21). I punkt 3 regleras tillsynsmyndighetens rätt att få tillträde till lokaler som den personuppgiftsansvarige eller personuppgiftsbiträdet disponerar samt tillgång till utrustning och andra medel som används för behand- lingen. Rätten till tillträde ger inte myndigheten rätt att bereda sig till- träde med tvång. Om den personuppgiftsansvarige eller personupp- giftsbiträdet inte samarbetar kan tillsynsmyndigheten utnyttja sina korri- gerande befogenheter enligt 7 §. har också rätt att få tillgång till den utrustning som tillsynsobjektet disponerar för att, med hjälp av tillsynsobjektets personal, kunna göra nödvändiga körningar och kontroller. Punkten ger således inte tillsynsmyndigheten någon rätt att fritt använda tillsynsobjektets utrustning och datasystem. Punkt 4 klargör att tillsynsmyndigheten har rätt att få hjälp med de sök- ningar och andra åtgärder som den begär och annan nödvändig hjälp för att genomföra tillsynen. Punkten ger även tillsynsmyndigheten rätt till information som inte har direkt anknytning till behandlingen av person- uppgifter men som myndigheten behöver för tillsynen. Informationen kan avse t.ex. verksamhetsplaner som beskriver den verksamhet där behandlingen utförs. Förebyggande befogenheter 6 § Paragrafen reglerar tillsynsmyndighetens befogenheter i det före- byggande arbetet. De åtgärder som regleras i paragrafen är inte av tving- ande karaktär. De syftar till att förebygga att framtida behandling av personuppgifter står i strid med regelverket. Paragrafen genomför delar av artikel 47.2 och behandlas i avsnitt 11.7.4, 11.7.5 och 9.2.5. Av första stycket framgår att tillsynsmyndigheten, om det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska försöka förmå den personuppgiftsansvarige eller person- uppgiftsbiträdet att motverka risken genom råd, rekommendationer och påpekanden. Det kan vara fråga om ett nytt register som ska inrättas, en ny typ av behandling som ska påbörjas eller en större förändring av på- gående behandling. kan också identifiera risker i pågående behandling som skulle kunna innebära att regelverket inte kommer att följas. Rådgivning kan avse såväl formella som informella samråd. Av 7 § första stycket 1 framgår att de befogenheter som räknas upp i detta stycke även i vissa fall får användas i korrigerande syfte. Enligt andra stycket får tillsynsmyndigheten skriftligen varna för att viss behandling riskerar att strida mot regelverket. En varning är en mer ingripande åtgärd än åtgärderna i första stycket. Varning kan användas för att visa hur allvarligt tillsynsmyndigheten ser på den planerade behandlingen. behöver inte ha uttömt andra före- byggande åtgärder innan den utfärdar en varning. En varning ska vara skriftlig. Av den ska framgå varför tillsynsmyndigheten bedömt att behandlingen inte kommer att vara författningsenlig. Åtgärden är inte tvingande, men den som får en varning förväntas rätta sig efter den. Om tillsynsmyndigheten finner det lämpligt kan den i beslutet om varning erinra om att – om tillsynsobjektet skulle sätta sina planer i verket – det skulle kunna leda till ett beslut om sanktionsavgift om förutsättningarna för det är uppfyllda. Varning får också utfärdas om pågående behandling riskerar att stå i strid med lag eller annan författning. Det kan t.ex. aktualiseras om det vid förhandssamråd enligt 3 kap. 7 § andra stycket visar sig att det finns risk för att de förändringar som planeras kan göra att den framtida be- handlingen inte blir författningsenlig. Korrigerande befogenheter 7 § I paragrafen regleras tillsynsmyndighetens korrigerande befogenheter. Paragrafen, som genomför delar av artikel 47.2, behandlas i av- snitt 11.7.4 och 11.7.6. har möjlighet att successivt använda olika medel och därigenom stegra påtryckningarna på den som inte självmant rättar sig. Förutom de medel som anges i första stycket 1 är befogenheterna tvingande. De sträcker sig från förelägganden till möjligheten att besluta om sanktionsavgift. Befogenheterna anges i stegrande ordning men är inte kopplade till varandra på det sättet att en strängare åtgärd förutsätter att mindre ingripande åtgärder redan har prövats. De korrigerande befogenheterna får användas när tillsynsmyndigheten konstaterar att den personuppgiftsansvarige behandlar personuppgifter i strid med lag eller annan författning eller på något annat sätt inte fullgör sina skyldigheter. De skyldigheter som avses är framför allt skyldig- heterna i 3 kap. Den personuppgiftsansvarige har emellertid också skyl- digheter enligt 4 och 8 kap. och skyldighet att bistå tillsynsmyndigheten enligt 5 §. Även underlåtenhet att fullgöra sådana skyldigheter och skyl- digheter som regleras i myndigheternas registerförfattningar eller i före- skrifter med anledning av denna lag omfattas. Enligt första stycket punkt 1 får tillsynsmyndigheten använda de före- byggande befogenheter som regleras i 6 § första stycket för att försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter. Vilka befogenheter tillsynsmyndigheten kan använda utvecklas i kommentaren till 6 §. Vad som avses med författningsenlig utvecklas i kommentaren till 2 kap. 6 §. Enligt punkt 2 får tillsynsmyndigheten förelägga den personuppgifts- ansvarige eller personuppgiftsbiträdet att vidta åtgärder för att viss be- handling av personuppgifter ska bli författningsenlig eller för att de ska uppfylla andra skyldigheter. Sådana förelägganden är bindande för mot- tagaren. kan t.ex. förelägga den personuppgiftsansvarige att förändra viss personuppgiftsbehandling eller att uppfylla krav på loggning, dokumentations- eller underrättelseskyldighet. Ett föreläggan- de kan också avse att den personuppgiftsansvarige ska rätta, komplettera eller radera en personuppgift. kan även förelägga den behöriga myndigheten att vidta ytterligare tekniska eller organisa- toriska åtgärder för säkerheten vid behandling eller att inrätta en intern ordning för anmälan av överträdelser av bestämmelserna, upprätta konse- kvensbedömning eller fullgöra samrådsskyldighet. Punkt 3 ger tillsynsmyndigheten rätt att förbjuda fortsatt behandling, om den personuppgiftsansvarige eller biträdet allvarligt brister i sina Med förbud mot fortsatt behandling avses att uppgifter inte Prop. 2017/18:232 längre får behandlas för de ändamål som den personuppgiftsansvarige har bestämt, utan endast får behandlas i syfte att uppfylla 2 kap. tryckfri- hetsförordningen. För förbud bör krävas, förutom att det är fråga om allvarliga brister, att bristerna i fråga inte kan avhjälpas genom andra mindre ingripande åtgärder. En sådan allvarlig brist kan vara att person- uppgifter behandlas för ändamål som inte är tillåtna. Att tillsynsmyndig- heten inte på begäran får det underlag eller den hjälp som den har rätt till enligt 5 § kan i vissa fall vara en allvarlig brist, t.ex. att myndigheten vägras tillträde. Det kan också vara en allvarlig brist om den personupp- giftsansvarige eller personuppgiftsbiträdet inte rättar sig efter ett föreläg- gande eller negligerar en skriftlig varning. Ett förbud enligt punkt 3 kan vara permanent. kan också meddela tillfälligt förbud om den anser att det finns förutsätt- ningar för att bristen, trots att den är allvarlig, ska kunna åtgärdas. Det ankommer på den personuppgiftsansvarige eller personuppgiftsbi- trädet att vidta de tekniska åtgärder som krävs för att personuppgifterna inte längre ska kunna behandlas om fortsatt behandling förbjuds. Av punkt 4 framgår att tillsynsmyndigheten får besluta om en sank- tionsavgift. De närmare reglerna om det finns i 6 kap. Beslut enligt första stycket punkterna 2–4 ska vara skriftliga och moti- veras. beslut gäller först efter att de har fått laga kraft enligt 8 §. Besluten kan överklagas enligt 7 kap. 3 §. I andra stycket föreskrivs att det av ett föreläggande alltid ska framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. Om föreläggandet avser rättelse, komplettering, radering eller begränsning av behandlingen bör det framgå av föreläg- gandet vad som ska göras. får emellertid överlåta åt den granskade myndigheten att avgöra vilka åtgärder som ska vidtas för att behandlingen ska bli författningsenlig eller hur andra skyldigheter ska fullgöras. Det kan vara lämpligt när det är fråga om tekniska eller organi- satoriska åtgärder som ska vidtas eller när det annars finns olika alterna- tiv för vilka åtgärder som kan vidtas och hur de bör genomföras. Verkställighet av beslut 8 § Paragrafen, som behandlas i avsnitt 11.8.3, reglerar när tillsynsmyndig- hetens beslut kan verkställas. Paragrafen innebär ett undantag från förvaltningslagens bestämmelser om verkställighet. beslut ska endast kunna verk- ställas efter att det har fått laga kraft. Bestämmelsen innebär att förvalt- ningslagens möjligheter att i vissa fall göra undantag från huvudregeln om att laga kraft är en förutsättning för verkställighet, inte gäller för tillsynsmyndighetens beslut. Samarbete med tillsynsmyndigheter i andra medlemsstater Paragrafen, som genomför artikel 50.4, anger i vilka fall en begäran från en tillsynsmyndighet i en annan medlemsstat om bistånd får vägras. Para- grafen behandlas i avsnitt 11.10.1. får vägra att lämna en utländsk tillsynsmyndighet det bistånd den begär bara om det skulle strida mot en lag eller en förord- ning att tillmötesgå den. Det kan vara fallet t.ex. om den svenska lagstift- ningen inte medger att tillsynsmyndigheten agerar på det sätt som begärs. får exempelvis inte med tvång eller i hemlighet bereda sig tillträde till de lokaler som en personuppgiftsansvarig disponerar. Enligt lagen (1994:1500) med anledning av anslut- ning till Europeiska unionen gäller EU-rättsakter här i landet med den verkan som följer av . EU-förordningar är att jämställa med svensk lag. I paragrafen, som genomför artikel 50.2, regleras tillsynsmyndighetens befogenheter vid internationellt samarbete. Paragrafen behandlas i av- snitt 11.10.1. har rätt att utnyttja alla de befogenheter som den har i sin vanliga tillsyn när den bistår en utländsk tillsynsmyndighet. Vilka åtgärder som är lämpliga att vidta får avgöras i det enskilda fallet. Paragrafen innehåller en sekretessbrytande bestämmelse som gör det möjligt för tillsynsmyndigheten att lämna information till en utländsk tillsynsmyndighet. Paragrafen behandlas i avsnitt 15.2.4. Om det är förenligt med svenska intressen får tillsynsmyndigheten lämna ut uppgifter till en behörig tillsynsmyndighet i en annan medlems- stat även om uppgifterna omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400). På samma sätt som vid utlämnande med stöd av 8 kap. 3 § 2 samma lag ska en avvägning göras mellan intresse av internationellt samarbete på tillsynsområdet och de skäl som talar mot utlämnande. Om det bedöms vara oförenligt med svenska in- tressen att lämna ut uppgifterna utgör det grund för tillsynsmyndigheten att enligt 9 § vägra lämna begärt bistånd när det gäller den informationen. Paragrafen, som genomför delar av artikel 50.3, behandlas i av- snitt 11.10.2. Paragrafen föreskriver att de uppgifter som tillsynsmyndig- heten får från en tillsynsmyndighet i en annan medlemsstat inte får användas för något annat ändamål än det för vilket de begärdes. Regle- ringen innebär ett förbud att använda upplysningarna för något annat ändamål än det som den svenska tillsynsmyndigheten angav i sin begä- ran. Uppgifterna får t.ex. inte lämnas vidare till andra myndigheter för att användas i deras verksamhet. Överträdelser som kan leda till en sanktionsavgift Paragrafen reglerar vid vilka överträdelser en sanktionsavgift får tas ut av en personuppgiftsansvarig. Den genomför, tillsammans med 2–8 §§, arti- kel 57. Paragrafen behandlas i avsnitt 12.5.1–3. Möjligheten att ålägga personuppgiftsbiträden sanktionsavgift regleras i 2 §. Flertalet av lagens bestämmelser riktar sig till personuppgiftsansvariga. Även vid ett personuppgiftsbiträdes handlande som lett till överträdelser kan sanktionsavgift tas ut av den personuppgiftsansvarige, eftersom per- sonuppgiftsansvaret enligt 3 kap. 1 § omfattar all behandling som utförs på dennes vägnar. avgör i det enskilda fallet om en sanktionsavgift bör tas ut, vilket framgår av formuleringen att en avgift får tas ut. I para- grafen anges uttömmande vilka överträdelser av personuppgiftsansva- rigas skyldigheter som kan föranleda sanktionsavgift enligt den här lagen och i vilka fall underlåtenhet att vidta åtgärder kan göra det. Både över- trädelser av bestämmelser i lagen och bestämmelser som har utfärdats i anslutning till lagen kan leda till en sanktionsavgift. Ansvaret för överträdelser är strikt. Det krävs alltså varken uppsåt eller oaktsamhet för att sanktionsavgift ska kunna tas ut. Det är tillräckligt att en överträdelse ägt rum. I 4 § anges vilka omständigheter som särskilt ska beaktas vid bedömning av om avgift ska tas ut och avgiftens storlek. Enligt första stycket punkt 1 kan en sanktionsavgift utgå för över- trädelse av flertalet av de grundläggande bestämmelserna i 2 kap. Det innebär bl.a. att behandling av personuppgifter utan rättslig grund, för ändamål som inte är tillräckligt preciserade och behandling av fler per- sonuppgifter än som behövs eller än vad som är nödvändigt kan leda till sanktionsavgift. Detsamma gäller otillåten behandling av känsliga personuppgifter eller underlåtenhet att i tillräcklig utsträckning göra åtskillnad mellan olika slags uppgifter eller att säkerställa person- uppgifternas kvalitet, exempelvis genom att inte komplettera ofullstän- diga uppgifter. Även överträdelse av bestämmelsen om behandling för nya ändamål utanför ramlagens tillämpningsområde kan föranleda sank- tionsavgift. Enligt punkt 2 kan underlåtenhet att vidta tekniska och organisatoriska åtgärder enligt någon av bestämmelserna i 3 kap. 2–5 §§ eller säkerhets- åtgärder enligt 3 kap. 8 § också leda till en sanktionsavgift. Överträdelsen kan t.ex. bestå i att den personuppgiftsansvarige tar i bruk ett it-system som inte har det inbyggda dataskydd som krävs. Underlåtenhet att be- gränsa tillgången till personuppgifter internt enligt 3 kap. 6 § eller att göra konsekvensbedömning och förhandssamråda med tillsynsmyndig- heten enligt 3 kap. 7 § kan föranleda en sanktionsavgift. Vid överträdelser av reglerna om överföring till tredjeland eller inter- nationella organisationer kan enligt punkt 3 en sanktionsavgift också tas ut. En sanktionsavgift kan vidare enligt andra stycket utgå för underlåten- het att anmäla eller dokumentera inträffade personuppgiftsincidenter. 2017/18:232 Vad som är en personuppgiftsincident definieras i 1 kap. 6 §. Anmäl- ningsskyldigheten utvecklas i kommentaren till 3 kap. 9 §. Vid underlåtenhet att bistå tillsynsmyndigheten enligt någon av punk- terna i 5 kap. 5 § får en sanktionsavgift också tas ut av den person- uppgiftsansvarige. Det gäller också vid underlåtenhet att följa tillsyns- myndighetens förelägganden eller beslut enligt 5 kap. 7 § första stycket 2 eller 3. Innan tillsynsmyndigheten beslutar om en sanktionsavgift ska den per- sonuppgiftsansvarige ges tillfälle att yttra sig. Detta följer av förvalt- ningslagen (2017:900). I paragrafen regleras vid vilka överträdelser personuppgiftsbiträden får åläggas en sanktionsavgift. Paragrafen behandlas i avsnitt 12.5.1–3. Per- sonuppgiftsbiträde definieras i 1 kap. 6 §. De bestämmelser som räknas upp i första stycket innefattar uttryckliga skyldigheter för personuppgiftsbiträden. En sanktionsavgift får tas ut om tillgången till personuppgifter inte har begränsats internt eller om person- uppgiftsbiträden inte har vidtagit nödvändiga säkerhetsåtgärder. Även underlåtenhet att logga behandling av personuppgifter kan leda till en sanktionsavgift. Vid underlåtenhet att bistå tillsynsmyndigheten enligt någon av punk- terna i 5 kap. 5 § får en sanktionsavgift enligt andra stycket också tas ut av personuppgiftsbiträden. Detsamma gäller vid underlåtenhet att följa tillsynsmyndighetens förelägganden eller beslut enligt 5 kap. 7 § första stycket 2 eller 3. Bestämmelsen anger uttömmande vilka överträdelser som kan leda till en sanktionsavgift enligt den här lagen. Ansvaret är strikt. Innan sanktionsavgift beslutas ska personuppgiftsbiträdet ges tillfälle att yttra sig. Detta följer av förvaltningslagen (2017:900). Hur sanktionsavgiften ska bestämmas I paragrafen fastställs maximibelopp för sanktionsavgift. Överträdelser av alla regler som kan föranleda sanktionsavgift ska, om det inte finns skäl enligt 5 § att sätta ned avgiften, leda till sanktionsavgift inom dessa ramar. Överträdelser av samma slag kan leda till olika höga sanktions- avgifter inom spannet. I paragrafen anges också hur sanktionsavgiften ska beräknas vid flera överträdelser. Hur avgiften närmare ska bestäm- mas regleras i 4 §. Paragrafen behandlas i avsnitt 12.6.1. I första stycket anges sanktionsavgiften för mindre allvarliga över- trädelser. Avgiften ska i dessa fall uppgå till högst . I stycket anges uttömmande vilka överträdelser som ska betraktas som mindre allvarliga. I andra stycket anges maximibeloppen för sanktionsavgift för allvarli- gare överträdelser, vilket är alla överträdelser utom de som anges i första stycket. Avgiften är i dessa fall högst . I tredje stycket anges hur avgiften ska bestämmas om flera regler har överträtts genom samma personuppgiftsbehandling, eller om en eller flera regler har överträtts genom sammankopplade personuppgifts- behandlingar. Det kan t.ex. röra sig om att ett flertal registrerades per- sonuppgifter har behandlats på samma otillåtna sätt eller i ett otillåtet register. Det kan också vara fråga om att en personuppgift som borde ha rättats eller raderats har spritts och sedan blivit föremål för ny behand- ling. Tredje stycket tar alltså sikte på det fallet att samma behandling av personuppgifter inneburit att flera av de regler som räknas upp i 1 eller 2 § överträtts. Sanktionsavgiften ska då bestämmas efter de samlade överträdelsernas allvar. Maximibeloppet för den allvarligaste överträdel- sen får dock inte överskridas. Sanktionsavgiften ska framstå som en rimlig reaktion på de samlade överträdelserna. Till skillnad från vad som gäller vid fastställande av skadestånd ska alltså beloppet inte beräknas för varje enskild överträdelse mot varje registrerad utan med utgångs- punkt i vad som är en rimlig total reaktion på överträdelserna. I paragrafen anges vilka omständigheter som särskilt ska beaktas vid bedömningen av om någon sanktionsavgift ska tas ut och avgiftens stor- lek. Samma omständigheter ska beaktas vid båda bedömningarna. Upp- räkningen är inte uttömmande. Paragrafen behandlas i avsnitt 12.6.2. Jämkning av avgiften regleras i 5 §. I punkt 1 föreskrivs att det ska beaktas om överträdelsen var uppsåtlig eller berodde på oaktsamhet. Som framgår av kommentaren till 1 § är ansvaret strikt. Det ska emellertid inte vara obligatoriskt att ta ut sank- tionsavgift när en bestämmelse i ramlagen som kan föranleda avgift har överträtts. Om det kan konstateras att en överträdelse är avsiktlig bör det dock i princip vara uteslutet att avstå från att ta ut en sanktionsavgift. Tillvägagångssättet och om det varit fråga om systematiskt handlande har också betydelse. Det finns skäl att se särskilt allvarligt på överträdelser som har tydlig karaktär av nonchalans mot regelverket eller som innebär att förfaranden som tidigare lett till påpekanden från tillsynsmyndigheten upprepas. Att en överträdelse varit avsiktlig talar också för högre avgift än i andra fall. Exempel på en avsiktlig överträdelse kan vara att en myn- dighet medvetet inrättar ett register som det inte är tillåtet att föra. Om en myndighet uppmärksammas på att viss personuppgiftsbehandling är otillåten men trots det fortsätter med behandlingen är det också en avsikt- lig överträdelse. Däremot kan en överträdelse inte ses som avsiktlig om myndigheten, efter att den blivit medveten om att personuppgiftsbehand- lingen inte är tillåten, fortsätter att behandla vissa per- sonuppgifter om det inte är möjligt att vidta åtgärder som gör behandlingen författningsenlig.