sou · H6B352 · 2018-06-28 00:00:00 — I andra stycket ges möjlighet till undantag från huvudregeln. I den utsträckning ändamålet med behandlingen av personuppgifter i något fall inte kan uppnås med pseudonymiserade uppgifter, får myndig- hetschefen för ett särskilt fall besluta om att personuppgifter inte ska pseudonymiseras. Det kan t.ex. vara aktuellt om det i ett projekt behövs en sammanställning av kontaktuppgifter avseende de perso- ner som ska få del av ett frågeformulär. I ett sådant fall är det inte ändamålsenligt att pseudonymisera personuppgifterna, och det finns anledning att besluta om undantag från kravet på pseudonymisering i samband med beslut om ändamålet för behandlingen enligt 3 §. Enligt tredje stycket ska myndighetschefen besluta om riktlinjer och villkor för när och hur pseudonymiserade personuppgifter får göras identifierbara. Personuppgifterna ska göras identifierbara igen endast om det finns starka skäl för detta. Sådana skäl kan t.ex. vara att det av omständigheter hänförliga till arbetsmetodik, t.ex. behov av samkörning, finns tydliga behov av att hänföra uppgifterna till individer. Detta kan då eventuellt ske under begränsade och säker- ställda former. Riktlinjerna och villkoren måste förstås vara förenliga med gällande rätt. Av riktlinjerna och villkoren bör även framgå på vilket sätt myndigheten säkerställer pseudonymiseringen, t.ex. genom att en kodnyckel förvaras separat från övriga personuppgifter och med en begränsad åtkomst. De pseudonymiserade uppgifterna får inte i andra fall än de som noggrant övervägts och beslutats om av myndighetschefen samman- föras med direkt identifierbara personuppgifter som namn och per- sonnummer. Myndighetschefen ska därför också besluta om ett förbud mot att, i andra fall än de som uttryckligen framgår av de av myndighetschefen beslutade riktlinjerna och villkoren, sammanföra pseudonymiserade personuppgifter med personuppgifter som är direkt hänförliga till individer. Enligt 10 § förordningen med instruktion för Myndigheten för vård- och omsorgsanalys är generaldirektören myndighetschef. Generaldirektören får inte delegera beslutanderätten enligt denna para- graf. Enligt 24 § första stycket myndighetsförordningen kan dock myndighetschefens ställföreträdare tjänstgöra i myndighetschefens ställe när myndighetschefen inte är i tjänst och då fatta beslut enligt paragrafen. 10 § Behörighet för åtkomst till personuppgifter ska begränsas till vad som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter. Myndighetschefen ska bestämma villkoren för tilldelning av behö- righet för åtkomst till personuppgifter. Åtkomsten till personuppgifter ska registreras och det ska finnas en funktion vid myndigheten som regelbundet kontrollerar registreringarna i syfte att upptäcka och åtgär- da obehörig åtkomst. Paragrafen reglerar åtkomst till personuppgifter. Övervägandena finns i avsnitt 14.6. I första stycket anges att behörighet för åtkomst till personupp- gifter ska begränsas till vad som behövs för att den enskilde tjänste- mannen ska kunna fullgöra sina arbetsuppgifter. I vilken omfattning en enskild tjänsteman behöver ha tillgång till personuppgifter för att kunna fullgöra sina arbetsuppgifter och vilka enskilda personupp- gifter som han eller hon ska få tillgång till får avgöras från fall till fall. Det krävs således att myndigheten aktivt tar ställning till vilket behov ett visst tjänsteåliggande eller uppdrag innebär och att tjänste- mannen tilldelas behörighet till olika uppgiftssamlingar utifrån detta. Det kan finnas skäl att förändra behörigheten , beroende på hur arbetet vid myndigheten är organiserat och beroende på vilka projekt som bedrivs. Beslutet om tilldelning av behörigheter bör kompletteras med tekniska begränsningar som förhindrar att tjänste- mannen elektroniskt kommer åt personuppgifter som han eller hon inte har behov av i sitt arbete och följaktligen inte ska ha åtkomst till. Den tekniska lösning som väljs ska garantera att tillräcklig säker- het uppnås utifrån de krav som artikel 32 i dataskyddsförordningen ställer. Enligt andra stycket ska myndighetschefen bestämma villkoren för tilldelning av behörighet för åtkomst till personuppgifter. Enligt 10 § förordningen med instruktion för Myndigheten för vård- och omsorgsanalys är generaldirektören myndighetschef. Generaldirektören får inte delegera beslutanderätten enligt denna paragraf. Enligt 24 § första stycket myndighetsförordningen kan dock myndighetschefens ställföreträdare tjänstgöra i myndighets- chefens ställe när myndighetschefen inte är i tjänst och då fatta beslut enligt andra stycket. Myndighetschefen behöver inte besluta om tilldelningen av be- hörighet enligt de beslutade villkoren, utan de kan någon annan be- hörig tjänsteman göra. Beslut om tilldelning av behörigheter bör dokumenteras eftersom de kan få betydelse vid tillämpningen av bestämmelser om straff- ansvar, bl.a. för dataintrång enligt 4 kap. 9 c § . Andra stycket ställer också krav på att åtkomsten till personupp- gifter registreras, lämpligen i en logg. Registreringen ska göras i syfte att kunna upptäcka och åtgärda obehörig åtkomst. Det ska också finnas en funktion hos myndigheten, t.ex. en viss tjänsteman, som regelbundet kontrollerar om någon obehörig åtkomst till person- uppgifterna har förekommit. Det räcker alltså inte att loggarna kon- trolleras bara när myndigheten av någon orsak har fått anledning att misstänka att obehörig åtkomst har förekommit, utan kontroller ska ske systematiskt och återkommande. Det är i första hand upp till myndigheten att bedöma när och hur kontrollerna ska genomföras. 11 § Personuppgifter som behandlas i ett projekt ska gallras senast efter att projektet är slutfört, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat om att gallring ska ske senast eller att uppgifter får bevaras för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål. Paragrafen anger de särskilda bestämmelser om bevarande och gall- ring som ska gälla inom lagens tillämpningsområde. Övervägandena finns i avsnitt 15.2. Av bestämmelsen framgår att personuppgifter som huvudregel ska gallras senast efter att projektet är slutfört. Med gallring avses utplånande av personuppgifterna eller avidentifiering av uppgifterna på ett sådant sätt att alla identifieringsmöjligheter avlägsnas. Uppgifterna ska efter gallringen alltså ha upphört att ut- göra personuppgifter enligt definitionen i artikel 4 punkt 1 i data- skyddsförordningen. Från huvudregeln görs undantag om regeringen eller den myn- dighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat om att gallring ska ske senast . Regeringen eller den myndighet regeringen bestämmer har dessutom möjlighet att besluta att personuppgifter som ingår i ett projekt som är slutfört ska kunna bevaras för arkivändamål av all- mänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. 20.2Förslaget till lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor 24 § ska pröva 1.ansökningar som anges i 23 §, 2.vissa frågor i samband med inrättande av biobanker enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m., och 3.vissa frågor enligt lagen (2019:xx) om behandling av personupp- gifter vid Myndigheten för vård- och omsorgsanalys. Paragrafen anger arbetsuppgifter. Över- vägandena finns i kapitel 10. Paragrafen har anpassats så att arbetsuppgiften att etikpröva pro- jekt enligt den föreslagna lagen om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys har lagts till. Därut- över har vissa redaktionella ändringar gjorts. 31§ pröva överklaganden av sådana beslut av etikprövningsmyndigheten som anges i 36 §. Nämnden ska även pröva ärenden som har lämnat över enligt 29 § och utöva tillsyn enligt 34 och 35 §§. Nämnden har också till uppgift att pröva vissa frågor i samband med inrättande av biobanker enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m. och vissa frågor enligt lagen (2019:xx) om be- handling av personuppgifter vid Myndigheten för vård- och omsorgs- analys. Paragrafen anger arbets- uppgifter. Övervägandena finns i kapitel 10. Paragrafen har anpassats så att arbetsuppgiften att etikpröva pro- jekt enligt den föreslagna lagen om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys har lagts till. betänkande KU 1973:26 med anledning av propositionen 1973:90 med förslag till ny regeringsform och ny riksdagsordning m. m. jämte motioner. betänkande 1990/91:KU11 Offentlighet, integritet och ADB. betänkande 1997/98:KU18 Personuppgiftslag. 1975/76:209 om ändring i regeringsformen. 1979/80:2 med förslag till sekretesslag m.m. 1989/90:72 om arkiv m.m. 1990/91:60 om offentlighet, integritet och ADB. 1991/92:118 om förenklad statistikreglering. 1994/95:200 Lag om vissa personregister för officiell statistik m.m. Prop. 1997/98:44 Personuppgiftslag. 1997/98:97 Polisens register. 1998/99:72 Rättspsykiatriskt forskningsregister. 1999/2000:39 Registrering av fastighetsrättsliga förhållanden, m.m. Prop. 2000/01:27 En ny statistiklagstiftning 2000/01:33 Behandling av personuppgifter inom skatt, tull och exekution. 2000/01:80 Ny socialtjänstlag m.m. 2002/03:50 Etikprövning av forskning. 2002/03:135 Behandling av personuppgifter inom socialförsäk- ringens administration. 2005/06:70 Ändringar i läkemedelslagstiftningen m.m. Prop. 2005/06:173 Översyn av personuppgiftslagen. 2007/08:44 Vissa etikprövningsfrågor m.m. Prop. 2007/08:126 m.m. 2008/09:145 Omreglering av apoteksmarknaden. 2008/09:150 Offentlighets- och sekretesslag. 2009/10:80 En reformerad grundlag. 2009/10:83 Etisk bedömning av nya metoder i vården. 2009/10:85 Integritet och effektivitet i polisens brottsbekämpande verksamhet. 2011/12:45 Kustbevakningsdatalag. 2011/12:176 Behandling av personuppgifter vid utvärdering. 2013/14:162 Ändringar av statistiksekretessen. 2015/16:156 Ändringar i lagen om tillämpning av Europeiska unionens statsstödsregler. 2016/17:180 En modern och rättssäker förvaltning – ny förvalt- ningslag. 2017/18:45 En ny organisation för etikprövning av forskning som avser människor. 2017/18:95 Anpassningar av vissa författningar inom skatt, tull och exekution till EU:s dataskyddsförordning. 2017/18:105 Ny dataskyddslag. 2017/18:107 Ändringar i vissa författningar inom Finansdeparte- mentets ansvarsområde med anledning av EU:s dataskyddsreform. 2017/18:112 Anpassningar av registerförfattningar på arbets- marknadsområdet till EU:s dataskyddsförordning. 2017/18:171 Dataskydd inom verksam- hetsområde– en anpassning till EU:s dataskyddsförordning. 2017/18:232 Brottsdatalag. SOU 1987:31 Integritetsskyddet i informationssamhället 4. SOU 1997:39 Integritet ∙ Offentlighet ∙ Informationsteknik. SOU 1997:65 Polisens register. SOU 1999:109 Behandling av personuppgifter inom . SOU 2003:99 Ny sekretesslag. SOU 2008:3 Skyddet för den personliga integriteten. Bedömningar och förslag. SOU 2014:67 Inbyggd integritet inom Inspektionen för socialförsäk- ringen. SOU 2015:39 Myndighetsdatalag. SOU 2017:29 Brottsdatalag. SOU 2017:39 Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning. SOU 2017:50 Personuppgiftsbehandling för forskningsändamål. SOU 2017:66 Dataskydd inom verksamhets- område – en anpassning till EU:s dataskyddsförordning. SOU 2017:74 Brottsdatalag – kompletterande lagstiftning. SOU 2017:104 Etikprövning – en översyn av reglerna om forskning och hälso- och sjukvård. Ds 2016:46 En ny organisation för etikprövning av forskning. Ds 2017:28 En anpassning till dataskyddsförordningen av dataskydds- bestämmelser inom verksamhetsområde. Ds 2017:33 Anpassningar till dataskyddsförordningen av registerför- fattningar inom ansvarsområde. Promemoria av Utredningen om inrättande av en ny oberoende gransk- ningsmyndighet med ansvar för uppföljning och utvärdering av hälso- och sjukvården (S 2010:05). promemoria, EU:s dataskyddsförordning: Anpassade regler om personuppgiftsbehandling inom skatt, tull och exekution, dnr Fi2017/02899/S3. Dir. 2010:58 Inrättande av en ny oberoende granskningsmyndighet med ansvar för uppföljning och utvärdering av hälso- och sjukvården. Dir. 2016:45 Översyn av regelverken för forskningsetik och gräns- området mellan klinisk forskning och hälso- och sjukvård. Dir. 2017:52 Tilläggsdirektiv till Utredningen om översyn av etikpröv- ningen (U 2016:02). Dir. 2017:67 Tilläggsdirektiv till (S 2016:05). Dir. 2018:1 Tilläggsdirektiv till (S 2016:05). Ändring av uppdrag att följa upp och utvärdera handlingsplanen PRIO psykisk ohälsa 2012–2016, dnr S2012/4529/FS. Regleringsbrev för avseende Myndigheten för vård- och omsorgsanalys, dnr S2015/04519/RS och S2015/08135/RS (delvis). Uppdrag att följa och utvärdera nyttan med arbetet som syftar till ett ordnat nationellt införande av nya läkemedel, dnr S2016/01693/FS (delvis). Uppdrag att följa upp regeringens satsning på förlossningsvården och andra insatser för kvinnors hälsa 2015–2019, dnr S2016/06723/FS. Regleringsbrev för avseende Myndigheten för vård- och omsorgsanalys, dnr S2016/07779/RS (delvis). Uppdrag att ta fram ett kunskapsunderlag kring införande, använd- ning och uppföljning av cancerläkemedel, dnr S2017/00359/FS (delvis). m.fl., – En kommentar (, Zeteo). , Personuppgiftslagen – En kommentar (, Zeteo). dom av , Huber C-524/06, EU:C:2008:724. RÅ 1992 not 456. RÅ 2005 ref 9. Ansökan om etikprövning, Artikel 29-gruppens yttrande 15/2011 om definitionen av begreppet ”samtycke”. Brottsförebyggande rådets årsredovisning 2016. Brottsförebyggande rådets rapport 2016:21 Skolundersökningen om brott 2015 – Om utsatthet och delaktighet i brott. Brottsförebyggande rådets rapport 2017:1 Nationella trygghetsunder- sökningen 2016 – Om utsatthet, otrygghet och förtroende. Centrala Etikprövningsnämndens beslut, Dnr Ö 12-2014. Datainspektionens rapport 2002:1 . Datainspektionens yttrande, dnr 2529-2014. Datainspektionens yttrande, dnr 1125-2015. Myndigheten för vård- och omsorgsanalys analysplan . Myndigheten för vård- och omsorgsanalys analysplan . –behandling av personuppgifter och anpassningar av författningar EU har beslutat om en förordning som utgör en ny generell regler- ing för personuppgiftsbehandling inom EU. En särskild utredare ska analysera vilka konsekvenser förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), nedan kallad dataskyddsförordningen, medför i fråga om personuppgiftsbehandling inom verksamhetsområde samt föreslå behövliga och lämpliga anpass- ningar av författningar inom verksamhetsområdet till följd av den nya förordningen. –undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandling inom verksamhetsområde, –undersöka vilka anpassningar som är behövliga eller lämpliga med anledning av den nya förordningen, –överväga behovet av anpassningar av bestämmelser om undantag från förbudet att behandla särskilda kategorier av personuppgifter, –undersöka om det behövs nationella anpassningar avseende skyldig- heter och rättigheter enligt dataskyddsförordningen, t.ex. rätten för den registrerade att göra invändningar mot behandling av personuppgifter, –undersöka om det behövs kompletterande föreskrifter för vissa myndigheter och verksamheter som saknar särskilda register- författningar. Om utredaren bedömer att författningar behöver ändras, ska utre- daren lämna förslag till författningsändringar. Uppdraget ska redo- visas . Den nuvarande och den nya regleringen Dataskyddsdirektivet – den nuvarande EU-regleringen Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet gäller inte för behandling av personuppgifter på områden som faller utanför unionsrätten, t.ex. allmän säkerhet och försvar samt statens verksamhet på straffrättens område. antogs och rådets förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och ersätter det nuvarande dataskyddsdirektivet när den börjar tillämpas . Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina per- sonuppgifter. Dataskyddsförordningen baseras till stor del på dataskydds- direktivets struktur och innehåll men innebär även en rad nyheter såsom en utökad informationsskyldighet, administrativa sanktions- avgifter och inrättandet av Europeiska dataskyddsstyrelsen. Data- skyddsförordningen är direkt tillämplig i medlemsstaterna men både förutsätter och möjliggör kompletterande nationella bestämmelser av olika slag. Av artikel 6.2 framgår exempelvis att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen för sådan personuppgiftsbehand- ling som är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Medlemsstaterna får i fråga om sådan behandling närmare fastställa specifika krav och andra åtgärder för att säkerställa en laglig och rättvis behandling av upp- gifterna. Enligt artikel 6.3 i förordningen ska i dessa fall grunden för behandlingen fastställas i enlighet med unionsrätten eller nationell rätt. Personuppgiftslagen – den nuvarande svenska regleringen Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Bestämmelserna i person- uppgiftslagen har till syfte att skydda människor mot att deras per- sonliga integritet kränks genom behandling av personuppgifter. Personuppgiftslagen följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personupp- giftsansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade. Personuppgiftslagen är tillämplig även utanför om- råde och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är subsidiär vilken innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestämmelser i s.k. särskilda registerförfattningar som främst reglerar hur olika myndigheter får behandla personupp- gifter. Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling I 2 kap. 6 § andra stycket regeringsformen anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den per- sonliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § reger- ingsformen under vissa förutsättningar göras genom lag. Regleringen i regeringsformen innebär att viss personuppgiftsbehandling måste regleras i lag. Särskilda registerförfattningar inom verksamhetsområde Inom verksamhetsområde finns ett stort antal författningar som innehåller bestämmelser om personuppgiftsbehand- ling av olika slag. Exempelvis kan följande författningar nämnas: lagen (1996:1156) om receptregister, lagen (1998:543) om hälsodata- register med flera tillhörande s.k. hälsodataförordningar, lagen (2001:454) om behandling av personuppgifter inom , lagen (2002:297) om biobanker i hälso- och sjukvården m.m., lagen (2005:258) om läkemedelsförteckning, lagen (2006:496) om blod- säkerhet, lagen (2006:1570) om internationella hot mot människors hälsa, lagen (2008:286) om kvalitets- och säkerhetnormer vid han- tering av mänskliga vävnader och celler, patientdatalagen (2008:355), apoteksdatalagen (2009:367), socialförsäkringsbalken, lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ, lagen (2012:453) om register över nationella vaccinationsprogram samt läkemedelslagen (2015:315). Regeringen har vidare föreslagit en ny lag om behandling av person- uppgifter i ärenden om licens för läkemedel, se prop. 2015/16:143. I författningar tillhörande verksamhets- område finns dessutom hänvisningar till personuppgiftslagen exem- pelvis i lagen (2006:351) om genetisk integritet m.m. och alkohol- lagen (2010:1622). Allmänna riktlinjer för uppdraget Dataskyddsförordningen kommer att utgöra grunden för generell personuppgiftsbehandling inom EU. I egenskap av förordning har den allmän giltighet och är bindande och direkt tillämplig i med- lemsstaterna. Utgångspunkten är att en EU-förordning inte ska genomföras nationellt, men förordningen kan innebära behov av att anpassa nationella författningar och t.ex. upphäva nationella bestäm- melser som står i strid med förordningen. Den nya dataskydds- förordningen medför bl.a. att personuppgiftslagen och person- uppgiftsförordningen samt Datainspektionens föreskrifter i anslut- ning till denna reglering måste upphävas. Regeringen har bedömt att det finns ett behov av att ta fram en nationell reglering som på ett generellt plan kompletterar förord- ningen och har därför tillsatt en utredning som ska lämna sådana förslag (Ju 2016:04). Utredningen ska bl.a. undersöka vilka kom- pletterande nationella föreskrifter, exempelvis processuella bestäm- melser, som förordningen kräver och överväga vilka kompletterande bestämmelser om t.ex. behandling av känsliga personuppgifter och personnummer som bör införas i den svenska generella regleringen. Det nämnda uppdraget omfattar däremot inte att se över eller lämna förslag till förändringar av sådan sektorsspecifik reglering om be- handling av personuppgifter som bl.a. finns i de särskilda register- författningarna. Inom verksamhetsområde finns som redo- visats tidigare flera särskilda registerförfattningar och andra författ- ningar som reglerar departementets myndigheters personuppgifts- behandling eller personuppgiftsbehandling i övrigt inom departe- mentets verksamhetsområden. Regeringen anser att det finns behov av att samlat undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om person- uppgiftsbehandling inom verksamhetsområde samt analysera vilka anpassningar av författningar som krävs eller bör göras med anledning av den nya EU-regleringen och person- uppgiftslagens upphävande. Inom ramen för en sådan undersökning behöver bl.a. förutsättningarna för att behålla eller införa nationell reglering i enlighet med artikel 6.2 i dataskyddsförordningen analyseras. Om utredaren bedömer att författningar måste eller bör ändras, ska utredaren lämna förslag till författningsändringar. Utifrån den utredningstid som finns tillgänglig för att hinna ut- reda och ta fram förslag till ändringar i författningar som är behöv- liga för att det ska finns rättsligt stöd för befintlig personuppgifts- behandling och anpassa de befintliga registerförfattningarna till dataskyddsförordningen så bedöms det att utredningens arbete be- höver inrikta sig på sådana ändringar. Möjligheter att utreda och föreslå andra materiella ändringar, dvs. mer allmänna översyner, är därmed begränsad.