prop · H503232 · 2018-04-19 00:00:00 — Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som anges i första stycket när det är absolut nödvändigt för ändamålet med behandlingen. 12 § Biometriska uppgifter och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. 13 § Personuppgifter som avses i 11 och 12 §§ utgör känsliga personupp- gifter. Känsliga personuppgifter får alltid behandlas med stöd av 2 §. 14 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Åtgärder för att säkerställa personuppgifternas kvalitet 15 § Alla rimliga åtgärder ska vidtas för att personuppgifter som med hänsyn till ändamålet med behandlingen är felaktiga eller ofullständiga utan onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. När personuppgifter lämnas ut till en behörig myndighet ska mot- tagaren så långt det är möjligt ges information som gör det möjligt att bedöma i vilken utsträckning uppgifterna är korrekta, fullständiga, upp- daterade och tillförlitliga. 16 § Alla rimliga åtgärder ska vidtas för att personuppgifter som be- handlas i strid med 1, 2, 3 § första stycket eller någon av 4–6 §§ eller 8, 11, 12, 14 eller 17 § första stycket utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Det- samma gäller om radering krävs för att utföra en rättslig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgifter är uppfyllda men uppgifterna behöver finnas kvar som bevis, ska den per- sonuppgiftsansvarige i stället utan onödigt dröjsmål begränsa behand- lingen av uppgifterna. Längsta tid som personuppgifter får behandlas 17 § Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Bestämmelsen i första stycket hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. 18 § Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för ändamål inom denna lags tillämpningsområde, ska den personuppgiftsansvarige se över behovet av att fortsätta behandla personuppgifterna. 19 § Om ett beslut har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne och beslutet enbart grundas på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma hans eller hennes egenskaper, ska personen ha möjlighet att på begäran få beslutet omprövat av någon fysisk person. Automatiserade beslut får inte enbart grundas på känsliga personupp- gifter. 20 § Om det inte är särskilt föreskrivet får villkor för behandling av per- sonuppgifter inte ställas upp i förhållande till en mottagare i en annan medlemsstat eller ett EU-organ, om det inte i motsvarande fall får ställas upp samma typ av villkor i förhållande till en svensk mottagare. 21 § Personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan sta- tistik. Behandling för ändamål utanför denna lags tillämpningsområde 22 § Innan personuppgifter som behandlas med stöd av denna lag be- handlas för ett ändamål utanför lagens tillämpningsområde ska det säker- ställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det ändamålet. I den utsträckning skyldighet att lämna uppgifter följer av lag eller för- ordning ska någon prövning enligt första stycket inte göras. 23 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.underrättelseskyldighet gentemot mottagare av sådana personupp- gifter som dels omfattas av användningsbegränsningar, dels anges i 15 § första stycket och 16 § första stycket, eller 2.åtgärder för att säkerställa att personuppgifter inte behandlas längre än nödvändigt. 3 kap. Personuppgiftsansvarigas skyldigheter 1 § Den personuppgiftsansvarige är ansvarig för all behandling av per- sonuppgifter som utförs under dennes ledning eller på dennes vägnar. Åtgärder för att säkerställa författningsenlig behandling Tekniska och organisatoriska åtgärder 2 § Den personuppgiftsansvarige ska, genom lämpliga tekniska och orga- nisatoriska åtgärder, säkerställa och kunna visa att behandlingen av per- sonuppgifter är författningsenlig och att den registrerades rättigheter skyddas. 3 § Både vid beslut om hur behandlingen ska utföras och vid behand- lingen ska den personuppgiftsansvarige, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen sker författnings- enligt och att nödvändiga skyddsåtgärder integreras i behandlingen (in- byggt dataskydd). 4 § Den personuppgiftsansvarige ska säkerställa att det i automatiserade behandlingssystem som regel endast är möjligt att behandla de person- uppgifter som är nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd som standard). 5 § Den personuppgiftsansvarige ska säkerställa att det i automatiserade behandlingssystem förs loggar över personuppgiftsbehandling i den ut- sträckning det är särskilt föreskrivet. 6 § Den personuppgiftsansvarige ska se till att tillgången till person- uppgifter begränsas till vad varje tjänsteman behöver för att kunna full- göra sina arbetsuppgifter. 7 § Om en ny typ av behandling, eller betydande förändringar av redan pågående behandling, kan antas medföra särskild risk för intrång i den registrerades personliga integritet, ska den personuppgiftsansvarige innan behandlingen påbörjas eller förändringen genomförs bedöma konsekven- serna för skyddet av personuppgifter. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska den personuppgiftsansvarige samråda med tillsynsmyndigheten innan behandlingen påbörjas eller bety- dande förändringar genomförs. 8 § Den personuppgiftsansvarige ska vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstö- ring eller annan oavsiktlig skada. 9 § Senast efter det att den personuppgiftsansvarige fått kän- nedom om en personuppgiftsincident ska den anmälas till tillsynsmyn- digheten, utom i de fall där incidenten ska rapporteras enligt säkerhets- skyddslagen (1996:627) eller föreskrifter som har meddelats i anslutning till den lagen. Anmälan behöver inte göras om det är osannolikt att personuppgifts- incidenten har medfört eller kommer att medföra någon risk för otillbör- ligt intrång i den registrerades personliga integritet. 10 § Om en personuppgiftsincident som ska anmälas enligt 9 § första stycket har medfört eller kan antas medföra särskild risk för otillbörligt intrång i registrerades personliga integritet, ska den personuppgiftsansva- rige utan onödigt dröjsmål underrätta den registrerade om incidenten. Underrättelseskyldigheten enligt första stycket gäller inte om den per- sonuppgiftsansvarige 1.har tillämpat lämpliga tekniska och organisatoriska skyddsåtgärder på de personuppgifter som påverkades av incidenten, 2.har säkerställt att det inte längre finns särskild risk för otillbörligt in- trång i registrerades personliga integritet, eller 3. skulle behöva göra oproportionerliga ansträngningar för att under- rätta alla berörda. I fall som avses i andra stycket 3 ska allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade får nödvändig in- formation. 11 § Den personuppgiftsansvarige får avstå från att lämna information enligt 10 § i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.någon annans fri- och rättigheter skyddas. Om den personuppgiftsansvarige inte är en myndighet, gäller undanta- get i första stycket även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400). 12 § Den personuppgiftsansvarige ska samarbeta med tillsynsmyndig- heten när den utför uppgifter enligt denna lag och föreskrifter som har meddelats i anslutning till den. 13 § Den personuppgiftsansvarige ska utse ett eller flera dataskydds- ombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. 14 § Dataskyddsombud ska 1.självständigt kontrollera att den personuppgiftsansvarige behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till den personuppgiftsansvarige och de som behandlar personuppgifter under dennes ledning om deras skyldigheter vid behandling av personuppgifter, 3.på begäran ge den personuppgiftsansvarige råd vid en konsekvens- bedömning och kontrollera att den genomförs på korrekt sätt, 4.vara kontaktpunkt för enskilda i frågor som rör behandling av per- sonuppgifter, och 5.samarbeta med tillsynsmyndigheten och vara kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av personupp- gifter. 15 § Den som fullgör uppgift som dataskyddsombud får inte obehörigen röja det som han eller hon vid fullgörandet av sin uppgift har fått känne- I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400) i stället för första stycket. 16 § Den personuppgiftsansvarige får, om det är lämpligt, anlita person- När ett personuppgiftsbiträde anlitas ska den person- uppgiftsansvarige försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda den registrerades rättigheter. 17 § Det ska finnas ett skriftligt avtal eller annan skriftlig överenskom- melse om personuppgiftsbiträdets behandling av personuppgifter för den Ett personuppgiftsbiträde får inte utan skriftligt tillstånd från den per- sonuppgiftsansvarige anlita ett annat personuppgiftsbiträde. 18 § Ett personuppgiftsbiträde och de som arbetar under biträdets ledning får behandla personuppgifter bara i enlighet med instruktioner från den Om ett personuppgiftsbiträde fastställer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig för den 19 § Det som sägs om den personuppgiftsansvariges skyldigheter i 5, 6, 8 och 12 §§ gäller även för personuppgiftsbiträden. 20 § Två eller flera behöriga myndigheter är gemensamt personuppgifts- ansvariga om de gemensamt fastställer ändamålen med och medlen för Den registrerade får utöva sina rättigheter enligt lagen mot var och en av de gemensamt personuppgiftsansvariga. 21 § Regeringen får meddela föreskrifter om skyldighet att föra register över kategorier av behandling av personuppgifter och skyldighet att in- föra interna rutiner för anmälan av överträdelser. 22 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. åtgärder som avses i 2–5, 7 och 8 §§, 2. tillgången till personuppgifter, 3. anmälan om personuppgiftsincidenter, 4. underrättelser till registrerade om personuppgiftsincidenter, och 5. innehållet i avtal och överenskommelser enligt 17 §. 4 kap. Enskildas rättigheter 1 § Den personuppgiftsansvarige ska göra följande allmänna information tillgänglig för den registrerade: 1.den personuppgiftsansvariges identitet och kontaktuppgifter, 3.typer av ändamål för behandlingen, 4.rätten enligt 3 § att begära att få information om behandling av per- sonuppgifter och att få del av uppgifterna, 5.rätten att begära rättelse, radering eller begränsning av behandlingen enligt 9 och 10 §§, och 6.möjligheten att lämna in klagomål till tillsynsmyndigheten samt kontaktuppgifterna till myndigheten. 2 § Den personuppgiftsansvarige ska i specifika fall lämna följande in- formation till den registrerade, om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter: 1.den rättsliga grunden för behandlingen, 2.kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer, 3.hur länge personuppgifterna får behandlas eller, om det inte är möj- ligt att ange, kriterierna för att fastställa det, och 4.övrig nödvändig information. Vid bedömningen av om information enligt första stycket 4 ska lämnas ska det särskilt beaktas om personuppgifterna samlats in utan den regi- strerades vetskap. 3 § Den personuppgiftsansvarige ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas, ska sökanden få del av dem och få följande skriftliga information: 1.vilka personuppgifter om sökanden som behandlas, 2.varifrån personuppgifterna kommer, 3.den rättsliga grunden för behandlingen, 4.ändamålen med behandlingen, 5.mottagare eller kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer, 6.hur länge personuppgifterna får behandlas eller, om det inte är möj- ligt att ange, kriterierna för att fastställa det, 7.rätten att begära rättelse, radering eller begränsning av behandlingen enligt 9 och 10 §§, och 8.möjligheten att lämna in klagomål till tillsynsmyndigheten samt kontaktuppgifterna till myndigheten. Utlämnande av personuppgifter enligt första stycket behöver inte om- fatta sådana personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att person- uppgifterna i fråga behandlas. 4 § Den som har varit föremål för ett sådant beslut som avses i 2 kap. 19 § har rätt att på begäran få närmare information om beslutet av den personuppgiftsansvarige. Begränsning av rätten till information 5 § Informationsskyldigheten i 2 och 3 §§ gäller inte i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.någon annans fri- och rättigheter skyddas. Om förutsättningarna i första stycket är uppfyllda, är den person- uppgiftsansvarige inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av be- handlingen enligt 9 eller 10 §. Om den personuppgiftsansvarige inte är en myndighet, gäller undan- tagen i första och andra styckena även för uppgifter som hos en myndig- het skulle ha varit sekretessbelagda enligt offentlighets- och sekretess- lagen (2009:400). 6 § Informationsskyldigheten i 3 § gäller inte personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna 1.har lämnats ut till tredje man, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2.behandlas enbart för vetenskapliga, statistiska eller historiska ända- mål, eller 3.har behandlats i löpande text som inte har fått sin slutliga utformning. 7 § Om en begäran enligt 3 § är orimlig eller uppenbart ogrundad får den personuppgiftsansvarige avslå den. Av 12 § andra stycket framgår att den personuppgiftsansvarige i vissa fall får ta ut avgift i stället för att avslå begäran. Möjligheten att begära kontroll genom tillsynsmyndigheten 8 § I 5 kap. 3 § finns bestämmelser om att en fysisk person får begära att tillsynsmyndigheten kontrollerar om hans eller hennes personuppgifter behandlas författningsenligt. Rätten till rättelse, radering och begränsning av behandlingen 9 § Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål rätta eller komplettera personuppgifter som rör honom eller henne, om de är felaktiga eller ofullständiga med hänsyn till ända- målet med behandlingen. Om den personuppgiftsansvarige inte kan fastställa att personupp- gifterna är korrekta ska behandlingen av uppgifterna i stället utan onödigt dröjsmål begränsas. 10 § Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål radera personuppgifter som rör honom eller henne, om de behandlas i strid med 2 kap. 1, 2, 3 § första stycket eller någon av 4–6 §§ eller 8, 11, 12, 14 eller 17 § första stycket. Detsamma gäller om det krävs radering för att den personuppgiftsansvarige ska utföra en rätts- lig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgifter är uppfyllda men uppgifterna behöver finnas kvar som bevis, ska den per- sonuppgiftsansvarige på begäran av den registrerade i stället utan onödigt dröjsmål begränsa behandlingen av uppgifterna. 11 § Den personuppgiftsansvarige avgör vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. 12 § Information enligt 1, 2 och 4 §§ ska lämnas utan avgift. Information och uppgifter enligt 3 § ska lämnas utan avgift en gång . Om någon begär information och uppgifter enligt 3 § oftare än en gång , får den personuppgiftsansvarige ta ut en rimlig avgift eller avslå begäran enligt 7 § första stycket. 13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.information enligt 1–4 §§, 2.avgift för att lämna ut information som avses i 3 §, och 3.kraven på en begäran enligt 3, 4, 9 eller 10 §. 1 § ska verka både för att fysiska personers grund- läggande fri- och rättigheter skyddas i samband med behandling av per- sonuppgifter och för att underlätta det fria flödet av personuppgifter inom denna lags tillämpningsområde. uppgifter 2 § ska 1.utöva allmän tillsyn över personuppgiftsbehandling inom denna lags tillämpningsområde, 2.handlägga klagomål från registrerade, 3.utföra kontroll enligt 3 §, och 4.på begäran bistå en tillsynsmyndighet i en annan medlemsstat. Tillsynen ska inte omfatta domstolarnas behandling av personuppgifter som sker inom ramen för den dömande verksamheten. 3 § ska på begäran kontrollera om uppgifter om en fysisk person behandlas författningsenligt. Den som begär en sådan kon- troll ska visa att han eller hon har begärt information enligt 4 kap. 3 § eller en åtgärd enligt 4 kap. 9 eller 10 §. Myndigheten får vägra att utföra kontrollen om begäran är orimlig eller uppenbart ogrundad. 4 § ska vid förhandssamråd enligt 3 kap. 7 § och när det i övrigt är påkallat ge råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning. 5 § har rätt att av personuppgiftsansvariga och per- sonuppgiftsbiträden på begäran få 1.tillgång till alla personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av personupp- gifter och säkerhets- och skyddsåtgärder, 3.tillträde till lokaler som den personuppgiftsansvarige eller person- uppgiftsbiträdet disponerar samt tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. 6 § Om tillsynsmyndigheten bedömer att det finns risk för att personuppgif- ter kan komma att behandlas i strid med lag eller annan författning, ska myn- digheten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. 7 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldig- heter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 6 § första stycket försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgär- der för att behandlingen ska bli författningsenlig, eller att uppfylla andra skyldigheter, 2.förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, 3.förbjuda fortsatt behandling om bristen är allvarlig, eller 4.besluta om en sanktionsavgift enligt 6 kap. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åt- gärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgär- der som ska vidtas. 8 § beslut får inte verkställas . Samarbete med tillsynsmyndigheter i andra medlemsstater 9 § En begäran om bistånd från en tillsynsmyndighet i en annan med- lemsstat får vägras endast om det skulle strida mot en lag eller en förord- ning att tillmötesgå den. 10 § När tillsynsmyndigheten utövar tillsyn enligt 2 § 4 har den de be- fogenheter som anges i 5–7 §§. 11 § får, om det är förenligt med svenska intressen, lämna ut en uppgift till en behörig tillsynsmyndighet i annan medlems- stat, även om uppgiften är sekretessbelagd enligt offentlighets- och sek- retesslagen (2009:400). 12 § Information som tillsynsmyndigheten efter begäran har fått från en tillsynsmyndighet i en annan medlemsstat får inte användas för något annat ändamål än det för vilket informationen begärdes. 13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om kraven på en begäran enligt 3 § och samarbete med tillsynsmyndigheter i andra medlemsstater. Överträdelser som kan leda till en sanktionsavgift 1 § En sanktionsavgift får tas ut av en personuppgiftsansvarig vid över- trädelse av någon av 1.2 kap. 1–5, 7–12 eller 14–18 §§, 19 § andra stycket eller 22 §, 2.3 kap. 2–8 §§, eller 3.8 kap. 1–6 §§ eller 8 §. En sanktionsavgift får också tas ut om en personuppgiftsansvarig inte anmäler en personuppgiftsincident enligt 3 kap. 9 § första stycket, inte dokumenterar en sådan incident, låter bli att bistå tillsynsmyndigheten enligt 5 kap. 5 § eller inte följer tillsynsmyndighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3. 2 § En sanktionsavgift får tas ut av ett personuppgiftsbiträde vid överträ- delse av 3 kap. 5, 6 eller 8 §. En sanktionsavgift får också tas ut om ett personuppgiftsbiträde låter bli att bistå tillsynsmyndigheten enligt 5 kap. 5 § eller inte följer tillsynsmyn- dighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3. Hur sanktionsavgiften ska bestämmas 3 § Sanktionsavgiften ska vid överträdelser av 3 kap. 6 eller 7 § eller av bestämmelser om dokumentation av personuppgiftsincidenter bestämmas till högst . Vid överträdelser av övriga bestämmelser som anges i 1 och 2 §§ ska avgiften bestämmas till högst . Om flera bestämmelser har överträtts genom samma personuppgiftsbe- handling, eller om en eller flera bestämmelser har överträtts genom sam- mankopplade personuppgiftsbehandlingar, ska sanktionsavgiften bestäm- mas efter överträdelsernas allvar. Sanktionsavgiften får aldrig överstiga maximibeloppet för den allvarligaste överträdelsen.