prop · H603163 · 2019-09-09 00:00:00 — I förarbetena till polisdatalagen påtalas vikten av att det säkerställs att integritetskänsliga personuppgifter görs tillgängliga bara för dem som behöver uppgifterna för sitt arbete. Vem som har rätt att använda personuppgifterna och hur uppgifterna sprids är omständigheter som påverkar risken för intrång i den personliga integriteten (Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 94). I förarbetena till den nu upphävda åklagardatalagen konstateras att det är en hörnsten i skyddet av enskildas integritet att åtkomst endast medges till de person- uppgifter som den enskilde tjänstemannen behöver för att kunna utföra sina arbetsuppgifter (prop. 2014/15:63 s. 59). Ju fler personer i en myndighet som har tillgång till personuppgifter, desto större är risken för obehörig åtkomst eller spridning av uppgifterna. Att utbilda användarna i informationssäkerhets- och dataskyddsfrågor är en viktig organisatorisk säkerhetsåtgärd, men det är ofta inte tillräckligt. Att tillgången till personuppgifter i så stor utsträckning som möjligt fak- tiskt begränsas till vad var och en behöver för att utföra sitt arbete är viktigt för att skapa ett tillfredsställande internt skydd för personuppgifter vid myndigheters informationshantering. Mot den bakgrunden finns det ett generellt behov av att begränsa till- gången till personuppgifter. En bestämmelse som motsvarar 3 kap. 6 § brottsdatalagen bör därför tas in i den nya lagen. Säkerhetspolisen ska alltid vara skyldig att pröva anställdas behov av tillgång till personupp- gifter utifrån vad arbetsuppgifterna kräver och begränsa tillgången i en- lighet med det. Bestämmelsen bör gälla personuppgifter både i Säker- hetspolisens egna system och i system som myndigheten får tillgång till genom direktåtkomst eller andra former av informationsutbyte. Eftersom bestämmelsen bör vara generell kan det finnas behov av när- mare riktlinjer för hur tillgången till personuppgifter bör avgränsas för de enskilda tjänstemännen. Det kan regleras i föreskrifter på myndighetsnivå eller i interna styrdokument hos myndigheten. 2018/19:163 13.2.5 Konsekvensbedömning och förhandssamråd med tillsynsmyndigheten Regeringens förslag: Om en ny typ av behandling, eller betydande förändringar av redan pågående behandling, kan antas medföra särskild risk för intrång i den registrerades personliga integritet, ska Säkerhetspolisen innan behandlingen påbörjas eller förändringen genomförs bedöma konsekvenserna för skyddet av personuppgifter. Om konsekvensbedömningen visar att det finns särskild risk för in- trång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska Säkerhetspolisen samråda med tillsynsmyndigheten innan behandlingen påbörjas eller bety- dande förändringar genomförs (förhandssamråd). Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser, med hänvisning till utta- landen på dataskyddsförordningens område från den s.k. artikel 29-grup- pen, att den personuppgiftsansvarige inte bör vara skyldig att samråda med tillsynsmyndigheten om åtgärder har vidtagits för att minska risken för intrång i den registrerades personliga integritet i tillräcklig omfattning. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Enligt 3 kap. 7 § första stycket brottsdatalagen är den personuppgifts- ansvarige skyldig att göra konsekvensbedömningar. En konsekvensbe- dömning ska göras om det kan antas att en ny typ av behandling kommer att medföra särskild risk för intrång i registrerades personliga integritet. Detsamma gäller om betydande förändringar av redan pågående behand- lingar förväntas leda till sådan risk. Vid riskbedömningen ska bl.a. användningen av ny teknik och behandlingens art, omfattning, samman- hang och ändamål beaktas. En konsekvensbedömning ska omfatta rele- vanta system och processer för behandlingen, men inte behandlingen i enskilda fall (se prop. 2017/18:232 s. 181 f.). I 3 kap. 7 § andra stycket regleras förhandssamråd. När en konsekvens- bedömning visar att det finns särskild risk för intrång i registrerades per- sonliga integritet ska den personuppgiftsansvarige samråda med tillsyns- myndigheten. Samråd aktualiseras också om typen av behandling, särskilt med beaktande av ny teknik, nya rutiner eller nya förfaranden, i sig innebär särskild risk för intrång i registrerades personliga integritet och en konsekvensbedömning med anledning av det har gjorts. I sådana fall är resultatet av konsekvensbedömningen inte avgörande för om samråd med tillsynsmyndigheten ska äga rum. För att underlätta för den person- uppgiftsansvarige och för att säkerställa att förhandssamrådet träffar rätt situationer kan tillsynsmyndigheten genom föreskrifter ange vilka typer av behandlingar som ska omfattas av förhandssamråd. Säkerhetspolisen bör göra konsekvensbedömningar och genomföra I 2 § polisdataförordningen (2010:1155) regleras när Säkerhetspolisen ska samråda med Datainspektionen. Sådant samråd ska äga rum när myn- digheten planerar nya it-system av större omfattning eller nya it-system som kan innebära särskilda risker för intrång i den personliga integriteten och när det genomförs betydande förändringar i sådana system. ska äga rum innan beslut i frågan fattas. även samråd med i vissa frågor. hade tidigare motsvarande samrådsskyldighet och skulle i liknande situationer samråda med Data- För och har samrådsskyldigheten ersatts av regleringen i 3 kap. 7 § brottsdatalagen. För att uppnå enhetlighet för tillsynsmyndigheten bör enligt regeringens mening samrådsskyldig- heten för Säkerhetspolisen formuleras på samma sätt som i Regeringen återkommer till frågan om vilken tillsyns- myndighet som Säkerhetspolisen ska samråda med i avsnitt 15. Det är viktigt att samrådet äger rum så tidigt i utvecklingsprocessen som Då kan frågor om integritetsskydd beaktas på ett bättre sätt. bör förhandssamrådet inte äga rum så tidigt att det inte finns något konkret förslag på teknisk lösning för tillsynsmyndigheten att ta Samrådet bör äga rum innan behandlingen påbörjas eller större förändringar av redan pågående behandlingar genomförs. Datainspektionen anser att samråd inte ska behöva hållas när den per- sonuppgiftsansvarige har vidtagit tillräckliga åtgärder för att minska risken Som anges i förarbetena till brottsdatalagen kan det vara svårt för den personuppgiftsansvarige att på egen hand avgöra vilka åtgärder som är tillräckliga. Det är dock inte uteslutet att vidtagna åtgärder från den personuppgiftsansvariges sida kan befria från samrådsskyldigheten. Regeringen har i förarbetena till brottsdatalagen bedömt att frågan om i vilken utsträckning samråd inte borde krävas för att den per- sonuppgiftsansvarige har vidtagit åtgärder som minskat risken för intrång till en godtagbar nivå får överlämnas åt rättstillämpningen 2017/18:232 s. 188). Det finns inte skäl att nu göra någon annan Eftersom samrådsskyldigheten i brottsdatalagen är knuten till skyldig- heten att göra konsekvensbedömningar bör även Säkerhetspolisen ha motsvarande skyldighet att göra konsekvensbedömningar som behöriga myndigheter har enligt brottsdatalagen. samråda med tillsynsmyndigheten kommer härigenom att förändras något, men regeringen anser i likhet med utredningen att kravet på kon- sekvensbedömning fyller en viktig funktion ur ett integritetsperspektiv. Det bör regleras vilken information konsekvensbedömningen ska inne- hålla och att den ska dokumenteras, men detta kan göras i förordning. Vid förhandssamråd bör Säkerhetspolisen lämna in konsekvens- bedömningen och eventuell annan information som tillsynsmyndigheten kan behöva för sin prövning. 2018/19:163 befogenheter ska inom ramen för förhandssamrådet använda sina befogenheter, om den anser att den planerade behandlingen inte kommer att vara författningsenlig. bör i dessa situationer ha möjlighet att använda sina förebyggande befogenheter gentemot Säker- hetspolisen. ska inom ramen för förhandssamrådet ge Säkerhetspolisen skriftliga råd. har också möj- lighet att utfärda varning för att behandla personuppgifterna på det plane- rade sättet (avsnitt 15.5.3). Om Säkerhetspolisen ignorerar råden och var- ningen och påbörjar behandlingen kan tillsynsmyndigheten vidta andra åtgärder, t.ex. utfärda ett föreläggande (avsnitt 15.5.4). Korrigerande åtgärder ska dock inte vidtas inom ramen för förhandssamrådet utan är i stället ett led i tillsynsmyndighetens allmänna tillsynsuppgifter enligt lagen. Detaljbestämmelser om tillsynsmyndighetens roll vid förhandssamråd motsvarande dem som finns i brottsdataförordningen (2018:1202) kan även för Säkerhetspolisens del finnas i förordning. Regeringens förslag: Säkerhetspolisen ska samarbeta med tillsyns- myndigheten när den utför sina uppgifter enligt lagen och föreskrifter som har meddelats i anslutning till lagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna har inte något att invända mot förslaget. Skälen för regeringens förslag: I 3 kap. 12 § brottsdatalagen föreskrivs att den personuppgiftsansvarige ska samarbeta med tillsynsmyndigheten när den utför uppgifter enligt lagen eller föreskrifter som har meddelats i anslutning till den. Någon sådan uttrycklig skyldighet har inte funnits tidigare. Samarbetsskyldigheten innebär inte bara att den personuppgifts- ansvarige ska ge tillsynsmyndigheten tillgång till det material och de resurser som den har rätt till. Bestämmelsen innebär även att den personuppgiftsansvarige ska underlätta för tillsynsmyndigheten att utöva sina tillsynsbefogenheter på ett effektivt sätt. Även om tillsynsmyndig- heten inte får använda tvång mot den personuppgiftsansvarige för att kunna utöva sin tillsyn är det viktigt att den personuppgiftsansvarige ges en uttrycklig skyldighet att samarbeta med tillsynsmyndigheten (prop. 2017/18:232 s. 189 f.). Samarbetsskyldigheten aktualiseras när tillsynsmyndigheten utför sina uppgifter enligt brottsdatalagen och de föreskrifter som utfärdas i anslutning till den. Den personuppgifts- ansvarige är således skyldig att samarbeta med tillsynsmyndigheten när den bl.a. utövar allmän tillsyn över personuppgiftsbehandling. Det är rimligt att kräva att Säkerhetspolisen i samma utsträckning som andra brottsbekämpande myndigheter ska samarbeta med den myndighet som enligt lagen utövar tillsyn över myndighetens personuppgifts- behandling. En bestämmelse motsvarande 3 kap. 12 § brottsdatalagen om skyldigheten att samarbeta med tillsynsmyndigheten bör därför tas in i den nya lagen. Vad samarbetsskyldigheten mer konkret kommer att innebära för Prop. 2018/19:163 Säkerhetspolisen hör samman med vilka befogenheter som tillsynsmyn- Den frågan behandlas i avsnitt 15. Regeringens förslag: Säkerhetspolisen ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att de faktorer som anges i artikel 29.1 i dataskyddsdirektivet bör komma till uttryck i lagen i stället för i förordning. Övriga remissinstanser yttrat sig inte särskilt i denna del. Skälen för regeringens förslag I 31 § första stycket personuppgiftslagen föreskrivs att den personupp- giftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas och att åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekni- ska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur känsliga de behandlade personuppgifterna är. Vidare föreskrivs i 32 § personuppgiftslagen att tillsynsmyndigheten i enskilda fall får besluta om säkerhetsåtgärder enligt 31 §. Bestämmelserna gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 7 och 6 kap. 4 § 1 polisdatalagen. Bestämmelser om informationssäkerhet finns även i andra författningar, t.ex. i arkivlagen (1990:782) och säkerhetsskydds- lagen (2018:585) med tillhörande förordningar och föreskrifter samt i föreskrifter meddelade av Myndigheten för samhällsskydd och beredskap (exempelvis MSBFS 2016:1 Föreskrifter och allmänna råd om statliga myndigheters informationssäkerhet). I 3 kap. 8 § brottsdatalagen regleras vilka skyddsåtgärder den person- uppgiftsansvarige ska vidta. Regleringen motsvarar 31 § personuppgifts- lagen och gäller således för Säkerhetspolisen . En bestämmelse med motsvarande innehåll bör tas in i den nya lagen. I brottsdatalagen har skyldigheten preciserats genom att det anges att personuppgifterna särskilt ska skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom oavsiktliga händelser. Motsvarande precisering bör göras i den nya lagen. Regeringen anser i likhet med utredningen, men till skillnad från Data- inspektionen, att vilka omständigheter som bör beaktas för att uppnå en lämplig skyddsnivå kan regleras i förordning. Utöver de omständigheter som anges i 31 § personuppgiftslagen bör behandlingens art, omfattning, sammanhang och ändamål beaktas. Särskild hänsyn bör tas till i vilken utsträckning känsliga personuppgifter behandlas och hur integritetskäns- liga övriga personuppgifter som behandlas är. (jfr prop. 2017/18:232 s. 196). 2018/19:163 13.2.8 Ingen skyldighet att anmäla personuppgiftsincidenter Regeringens bedömning: Säkerhetspolisen bör inte vara skyldig att anmäla personuppgiftsincidenter till tillsynsmyndigheten. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: instämmer i utredningens Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: I 3 kap. 9–11 §§ brottsdatalagen regleras den personuppgiftsansvariges skyldigheter vid en person- uppgiftsincident. Där föreskrivs bl.a. att sådana incidenter ska anmälas till tillsynsmyndigheten och att den registrerade i vissa fall ska underrättas om incidenten. Enligt 3 kap. 9 § första stycket gäller anmälningsskyldigheten inte om personuppgiftsincidenten rör nationell säkerhet. It-incidenter ska som huvudregel anmälas till Myndigheten för sam- hällsskydd och beredskap. Det framgår av 20 § första stycket förordning- en (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Det gäller dock inte sådana it-incidenter som enligt 2 kap. 10 § första stycket 2 säkerhetsskyddsförordningen (2018:658) ska rapporteras till Säkerhetspolisen eller Försvarsmakten. Exempel på sådana incidenter är incidenter i informationssystem där uppgifter som gäller säkerhet behandlas. Behovet av att skydda sådan information anses vara så stort att endast den myndighet som utövar tillsyn över säkerhetsskyddet ska få ta del av den. Mot bakgrund av det, och då nationell säkerhet ligger utanför direktivets tillämpningsområde, har personuppgiftsincidenter som rör nationell säkerhet undantagits från anmälningsskyldigheten i brottsdatalagen. Motsvarande undantag gäller enligt 1 kap. 4 § dataskyddslagen. Den nya lagen ska tillämpas vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. Personuppgiftsincidenter som inträffar i myndighetens infor- mationssystem och som drabbar personuppgifter som behandlas med stöd av den nya lagen kommer alltid att röra nationell säkerhet och därmed, enligt brottsdatalagens reglering, vara undantagna från anmälnings- skyldighet. Det finns därför inte skäl att i den nya lagen ta in bestämmelser som reglerar anmälan av personuppgiftsincidenter till tillsynsmyndig- heten. Regeringens förslag: Dataskyddsombud ska i lagen definieras som den fysiska person som utses av den personuppgiftsansvarige för att självständigt kontrollera att personuppgifter behandlas författnings- enligt och på ett korrekt sätt enligt vad som närmare anges i lagen. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen anser att definitionen av data- Prop. 2018/19:163 skyddsombud bör inkludera juridiska personer. yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: I 3 § personuppgiftslagen definieras personuppgiftsombud, som motsvarar det som i dataskyddsdirektivet kal- las dataskyddsombud. Där anges att ett personuppgiftsombud är den fysi- ska person som, efter förordnande av den personuppgiftsansvarige, själv- ständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Personuppgiftsombud är visserligen ett inarbetat begrepp, men data- skyddsombud är den term som används både i brottsdatalagen och i data- skyddsförordningen. Den termen bör därför användas även i den nya lagen. Dataskyddsombud bör definieras i lagen. Eftersom dataskyddsombudet föreslås vara en anställd hos (avsnitt 13.3.2) kan definitionen inte, till skillnad från vad Datainspektionen anfört, inkludera juridiska personer. Det bör i stället framgå av definitionen att dataskydds- ombudet ska vara en fysisk person. I övrigt bör definitionen överens- stämma med motsvarande definition i brottsdatalagen. Dataskyddsombud är således den fysiska person som utses av den personuppgiftsansvarige för att självständigt kontrollera att personuppgifter behandlas författ- ningsenligt och på ett korrekt sätt enligt vad som närmare anges i lagen. 13.3.2Krav att utse dataskyddsombud Regeringens förslag: Säkerhetspolisen ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen välkomnar förslaget att Säker- hetspolisen ska vara skyldig att utse dataskyddsombud. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Enligt 3 kap. 13 § brottsdatalagen ska den personuppgiftsansvarige utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledi- gas. Säkerhetspolisen har enligt 6 kap. 5 § andra stycket polisdatalagen en skyldighet att utse personuppgiftsombud och bör liksom övriga brottsbekämpande myndigheter även fortsättningsvis vara skyldig att utse ett eller flera dataskyddsombud. En bestämmelse om skyldighet att utse dataskyddsombud bör därför tas in i den nya lagen. Dataskyddsombud bör vara en anställd hos . Kraven på dataskyddsombudets kvalifikationer kan anges i förordning. Säkerhetspolisen bör anmäla till tillsynsmyndigheten vem som har ut- setts till dataskyddsombud och när ombudet entledigas. Det är viktigt att tillsynsmyndigheten får information om det, eftersom ombuden bl.a. ska ha till uppgift att samarbeta med tillsynsmyndigheten och fungera som kontaktpunkt för den i vissa fall (avsnitt 13.3.3). Regeringens förslag: Dataskyddsombud ska ha vissa i lagen angivna Utredningens förslag överensstämmer i huvudsak med regeringens. Enligt utredningens förslag ska dataskyddsombud vara skyldiga att anmäla till tillsynsmyndigheten om Säkerhetspolisen bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Enligt 38–40 §§ personuppgiftslagen ska personuppgiftsombud självstän- digt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed och påpeka eventu- Har personuppgiftsombudet anledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för be- handlingen av personuppgifter, och vidtas inte rättelse efter påpekande, ska ombudet anmäla det till tillsynsmyndigheten. ska även i övrigt samråda med tillsynsmyndigheten. ombuden ska också föra förteckning över de behandlingar som den per- sonuppgiftsansvarige utför och som skulle ha omfattats av anmälnings- skyldighet om inte ombudet hade funnits. dessutom hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Dessa bestämmelser gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 9 och 6 kap. 4 § 1 polisdatalagen. Ombudens arbetsuppgifter bör vara desamma som enligt brottsdatalagen Dataskyddsombudens roll påminner i stora delar om personuppgiftsom- Dataskyddsombuden har dock genom brottsdatalagen fått delvis nya arbetsuppgifter och en något förändrad roll. Flertalet av de arbets- uppgifter som ska anförtros dataskyddsombud har t.ex. karaktären av intern rådgivning, vilket inte är fallet . fått ett tydligare uppdrag att bistå tillsynsmyndigheten. dataskyddsombudens arbetsuppgifter bör vara enhetliga bör bestämmelser motsvarande 3 kap. 14 § brottsdatalagen tas in i den nya lagen. hetspolisens dataskyddsombud kommer därmed att få en något förändrad roll och några fler arbetsuppgifter. I den nya lagen bör det således föreskrivas att dataskyddsombud själv- ständigt ska kontrollera att Säkerhetspolisen behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör de skyldigheter som åligger myndigheten som personuppgiftsansvarig. kravet innebär att Säkerhetspolisen inte bör utse ett ombud som har en alltför underordnad ställning i organisationen. För att ombudet ska vara oberoende måste han eller hon också ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina arbetsuppgifter på ett självständigt sätt. Dataskyddsombud bör vidare informera och ge råd till Säkerhetspolisen och de som behandlar personuppgifter under myndighetens ledning om deras skyldigheter enligt lagen och andra författningar som rör personupp- Prop. 2018/19:163 giftsbehandling. Det handlar främst om att göra Säkerhetspolisen och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att informera registrerade, att ha säkerhetsrutiner och att dokumentera personuppgiftsbehandlingen. Om Säkerhetspolisen begär det ska ombudet ge råd vid en konsekvensbedömning och kontrollera att bedömningen genomförs på rätt sätt. Dataskyddsombudens roll påminner i dessa delar om internrevisorers. För att ombuden ska kunna utöva intern kontroll bör de inte ges arbets- uppgifter som kan komma i konflikt med kontrolluppgiften. Det kan t.ex. vara olämpligt att låta dataskyddsombud utbilda personalen eller ansvara för att den får annan information, eftersom det är åtgärder som omfattas av den interna granskningen. Det är viktigt att dataskyddsombudet trots sin dubbla roll kan utöva kontrollen på ett oberoende sätt. Enligt personuppgiftslagen ska ett personuppgiftsombud anmäla till tillsynsmyndigheten om han eller hon misstänker att den personuppgifts- ansvarige bryter mot gällande bestämmelser och inte vidtar rättelse. Som utredningen påpekar är det viktigt att dataskyddsombud uppmärksammar tillsynsmyndigheten på eventuella problem och brister, särskilt om den personuppgiftsansvarige inte rättar sig efter ombudets påpekanden. Med hänsyn till att motsvarande anmälningsskyldighet inte gäller på data- skyddsförordningens område var det enligt regeringen inte motiverat att införa en sådan skyldighet i brottsdatalagen (prop. 2017/18:232 s. 210). Någon sådan anmälningsskyldighet bör därför inte heller införas i den nya lagen. Dataskyddsombud bör även samarbeta med och fungera som kontakt- punkt för tillsynsmyndigheten i frågor som rör behandling av personupp- gifter. Det gäller särskilt vid sådant förhandssamråd som avses i av- snitt 13.2.5. Samarbetet innebär också att ombudet, när det är lämpligt, ska samråda med tillsynsmyndigheten även i andra frågor som rör person- uppgiftsbehandling. Dataskyddsombud bör också ha samma roll i förhållande till enskilda som personuppgiftsombud har . De bör därför vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter. Dataskyddsombudens verksamhet ska underlättas