prop · H603163 · 2019-09-09 00:00:00 — Löpande text som är avsedd att ändras eller kompletteras och därför aldrig får någon slutlig utformning omfattas inte. Det sistnämnda kan t.ex. vara diarier, journaler, register eller förteckningar som förs löpande. Med minnesanteckning avses anteckningar som utgör hjälpmedel för handläggningen, t.ex. promemorior och andra anteckningar eller upptagningar som har skapats bara för att förbereda ett ärende för avgörande och som inte har tillfört ärendet något i sak. Av andra stycket framgår att undantaget från informationsskyldigheten inte gäller under vissa förhållanden. Sökanden har då rätt att få del av 2018/19:163 personuppgifter även i löpande text som inte fått sin slutliga utformning eller i minnesanteckningar och liknande. Enligt punkt 1 gäller undantaget inte om personuppgifterna har lämnats ut till tredje man, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Tredje man definieras i 1 kap. 5 §. Det är den version av uppgifterna i t.ex. utkastet som lämnades till tredje man som informationsskyldigheten omfattar, även om utkastet därefter har ändrats. Enligt punkt 2 gäller undantaget inte om personuppgifterna behandlas enbart för vetenskapliga, statistiska eller historiska ändamål. Om ett utkast eller en minnesanteckning endast används vid statistikproduktion eller för vetenskapliga eller historiska ändamål inom lagens tillämpningsområde ska alltså information om behandlingen av personuppgifterna lämnas ut. I punkt 3 anges att undantaget inte heller gäller för personuppgifter som har behandlats i löpande text som inte har fått sin slutliga utformning. Det är tidpunkten för begäran som är avgörande för bedömningen av om något av undantagen gäller. Både ettårsfristen och frågan om uppgifterna har lämnats ut till tredje man eller behandlas för vetenskapliga, statistiska eller historiska ändamål ska bedömas i förhållande till när begäran om information gjordes (jfr prop. 1997/98:44 s. 83 f.). Paragrafen föreskriver att information enligt 2 § inte behöver lämnas om begäran är orimlig eller uppenbart ogrundad. Övervägandena finns i avsnitt 14.3.3. I första stycket föreskrivs att Säkerhetspolisen får avslå en begäran att få information om behandlingen av personuppgifter och få del av dem om begäran är orimlig eller uppenbart ogrundad. En begäran kan vara orimlig t.ex. om den upprepas ofta. En begäran kan också vara orimlig om den är så oprecis att det skulle vara närmast omöjligt att besvara den, t.ex. om den rör hela verksamheten. Normalt bör i sådana fall begäran kunna preciseras till viss verksamhet, visst ärende eller någon annan liknande avgränsning. En begäran kan vara uppenbart ogrundad t.ex. om sökanden missbrukar sin rätt till information genom att exempelvis lämna felaktiga eller missvisande uppgifter i sin begäran. Säkerhetspolisen har bevisbördan för att en begäran är orimlig eller uppenbart ogrundad. I andra stycket upplyses att Säkerhetspolisen, med stöd av 9 § andra stycket, i vissa fall får ta ut avgift i stället för att avslå begäran. Rätten till rättelse, radering och begränsning av behandlingen Paragrafen reglerar den enskildes rätt att begära rättelse eller komplettering av felaktiga eller ofullständiga personuppgifter och begränsning av behandlingen av personuppgifterna. Övervägandena finns i avsnitt 14.4.1 och 14.4.3. I 2 kap. 13 § regleras Säkerhetspolisens skyldighet att på eget initiativ rätta felaktiga eller ofullständiga personuppgifter och uppdatera inaktuella personuppgifter. Enligt första stycket ska Säkerhetspolisen på begäran av den registrerade rätta eller komplettera personuppgifter som rör honom eller henne, om de är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Vårdnadshavare och andra ställföreträdare kan begära rättelse eller komplettering åt en registrerad som inte själv har rätt att göra det. I kommentaren till 2 kap. 7 § framgår vad som avses med att en personuppgift är korrekt och vilka bedömningar som ska göras. Rättelse eller komplettering ska göras utan onödigt dröjsmål. Det innebär att Säkerhetspolisen skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt genomföra åtgärden. Säkerhetspolisen ska enligt andra stycket begränsa behandlingen av personuppgifter som rör den registrerade om han eller hon ifrågasätter att de är korrekta. Den registrerade kan ha en annan uppfattning än Säkerhetspolisen om huruvida en personuppgift är korrekt. Om korrektheten ifrågasätts är myndigheten skyldig att försöka klarlägga hur det förhåller sig. Om Säkerhetspolisens utredning om den omstridda personuppgiften inte kan slutföras inom den tid som en personuppgift ska rättas eller kompletteras, ska behandlingen begränsas under utrednings- tiden. Har behandlingen av en personuppgift begränsats får uppgiften som utgångspunkt inte längre behandlas av vare sig Säkerhetspolisen, ett personuppgiftsbiträde eller någon annan, utom för de ändamål för vilka behandlingen begränsades. Uppgiften får dock lämnas ut med stöd av 2 kap. tryckfrihetsförordningen. Säkerhetspolisen ska vidta åtgärder som visar att behandlingen av personuppgiften har begränsats. En sådan åtgärd kan vara att föra över uppgiften från det datasystem där den behandlas, t.ex. myndighetens verksamhetssystem, till ett arkivsystem. Andra åtgärder kan vara att göra personuppgiften oåtkomlig genom en teknisk begränsning eller annan inskränkning av tillgången till uppgiften. När utredningen om personuppgiften är avslutad ska begränsningen av behandlingen upphöra. Då ska personuppgiften antingen rättas eller fortsätta att behandlas som . Paragrafen reglerar den enskildes rätt att vid otillåten behandling av personuppgifter begära radering eller, om personuppgifterna behöver finnas kvar av bevisskäl, begränsning av behandlingen. Övervägandena finns i avsnitt 14.4.2 och 14.4.3. I 2 kap. 14 § regleras Säkerhetspolisen skyldighet att på eget initiativ radera eller begränsa behandlingen av personuppgifter som behandlas på otillåtet sätt. Enligt första stycket ska Säkerhetspolisen på begäran av den registrerade radera personuppgifter som rör honom eller henne, om de behandlas i strid med någon av 2 kap. 1–6, 8–10 eller 12 §§, 4 kap. 1 § första stycket eller någon av 2–4 eller 7–10 §§, eller om det krävs för att Säkerhetspolisen ska utföra en rättslig förpliktelse. Vårdnadshavare och andra ställföreträdare kan begära radering för en registrerad som inte har rätt att själv göra det. Om personuppgifter behandlas i strid med någon av de bestämmelser som räknas upp i paragrafen ska de på begäran av den registrerade raderas. Med radering avses att personuppgifter tas bort från informations- samlingar på ett sådant sätt att de kan återskapas. 2018/19:163 bestämmelserna föreskrivs bl.a. att personuppgifter ska vara adekvata och relevanta, att inte fler personuppgifter än nödvändigt får behandlas och att de bara får behandlas om det finns en rättslig grund och för särskilt angivna ändamål. Där regleras också behandling av känsliga personuppgifter och hur länge personuppgifter får behandlas. Frågan om en personuppgift ska raderas ska bedömas mot bakgrund av kraven i dessa bestämmelser. Personuppgifter ska också raderas på begäran av den registrerade om det krävs för att Säkerhetspolisen ska utföra en rättslig förpliktelse. Rättslig förpliktelse kan avse en skyldighet som rör hur personuppgifter får behandlas enligt denna lag eller annan författning, t.ex. lagen (1998:621) om misstankeregister. Utrymmet för att radera uppgifter i allmänna handlingar begränsas av arkivlagstiftningen genom att det krävs författningsstöd för gallring. Radering ska göras utan onödigt dröjsmål. Det innebär att Säkerhetspolisen skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt radera uppgiften. Om förutsättningarna för att radera personuppgifterna är uppfyllda, men uppgifterna behöver finnas kvar av bevisskäl, ska Säkerhetspolisen enligt andra stycket på begäran av den registrerade i stället begränsa behandlingen av uppgifterna. En begränsning kan bara göras i de fall där personuppgifterna behandlas otillåtet, eftersom det endast är då som radering kan komma i fråga. För att personuppgifterna inte ska raderas ska de behövas som bevisning, t.ex. i en rättsprocess angående otillåten personuppgiftsbehandling. Däremot är det inte tillåtet att ha kvar personuppgifter som ska raderas i syfte att använda dem t.ex. för brottsbekämpning. Begränsning av behandlingen är inte en permanent åtgärd. När personuppgifterna inte längre behöver finnas kvar av bevisskäl, t.ex. för att domen eller beslutet i skadeståndsmålet har fått laga kraft, ska begränsningen upphöra och personuppgifterna raderas. Behandlingen ska begränsas utan onödigt dröjsmål. Hur det kan göras utvecklas i kommentaren till 6 §. Enligt paragrafen avgör Säkerhetspolisen vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. Övervägandena finns i avsnitt 14.4.4. Paragrafen innebär att Säkerhetspolisen – med beaktande av vilken åtgärd som är lagligen möjlig att vidta – ska se till att den lämpligaste åtgärden vidtas oavsett vilken åtgärd som begärs av den registrerade. Vad som är mest lämpligt ska bedömas med utgångspunkt i både verksamhetens behov och den registrerades rätt till skydd för sina personuppgifter. Paragrafen föreskriver att information som huvudregel ska vara avgiftsfri. Övervägandena finns i avsnitt 14.3.3 och 14.5. I första stycket slås fast att den information som Säkerhetspolisen på eget Prop. 2018/19:163 initiativ ska göra tillgänglig för registrerade ska vara avgiftsfri, medan den information om behandlingen av den registrerades personuppgifter som lämnas på begäran ska vara avgiftsfri en gång . I andra stycket föreskrivs att om någon begär att få information om behandlingen av personuppgifter och få del av dem oftare än en gång får Säkerhetspolisen ta ut en rimlig avgift för det. Myndigheten får, i stället för att ta ut avgift, avslå begäran, vilket regleras i 5 § första stycket. Utgångspunkten bör vara att Säkerhetspolisen i första hand tar ut avgift och i andra hand avslår begäran om information. Vilken åtgärd som är lämpligast får avgöras med utgångspunkt i omständigheterna i det enskilda fallet. En viktig faktor är hur många framställningar om information som personen har gjort och hur som förflutit efter den senaste framställan. Även omständigheter som hur preciserad eller komplicerad begäran är och vilka skäl han eller hon anger för sin begäran bör beaktas. Om Säkerhetspolisen avser att ta ut avgift bör den som begärt informationen underrättas om det. Myndigheten bör förhöra sig om begäran vidhålls. Avgiften ska vara rimlig, vilket innebär att den inte får överstiga de administrativa kostnaderna för att besvara begäran. Paragrafen reglerar tillsynsmyndighetens uppgifter. i avsnitt 15.4. I paragrafen anges de huvudsakliga tillsynsuppgifterna. myndigheten avgör i vilken utsträckning tillsyn ska utövas och hur den ska Myndigheten ska agera helt oberoende vid denna bedömning. Det innebär att ingen kan kräva att myndigheten ska utöva viss tillsyn. finns inte heller några formella krav på hur tillsynen ska utövas, med undantag från vissa bestämmelser i denna lag och i föreskrifter som beslutas i anslutning till den. Om tillsynsmyndigheten beslutar att inleda ett tillsynsärende tillämpas förvaltningslagen (2017:900) på handläggningen om det inte finns avvikande bestämmelser (se I punkt 1 anges tillsynsmyndighetens allmänna uppgift att utöva tillsyn över behandlingen av personuppgifter. Vad det innebär utvecklas i I punkt 2 regleras tillsynsmyndighetens skyldighet att lämna råd och stöd till Säkerhetspolisen och till personuppgiftsbiträden. Med råd avses både muntliga och skriftliga råd. Det kan vara fråga om allmänna råd eller rådgivning i ett enskilt fall. Det kan även vara fråga om rådgivning vid förhandssamråd enligt 5 kap. 6 §. Rådgivning av sistnämnda slag är tillsynsmyndigheten skyldig att bistå med, medan myndigheten i övrigt ska ge råd och stöd bara när den anser att det är påkallat. och stödet ska avse Säkerhetspolisens och personuppgiftsbiträdens Råd kan t.ex. lämnas genom information på tillsynsmyndighetens hemsida, genom publicering av allmänna råd eller andra riktlinjer eller 2018/19:163 någon funktion för rådgivning per telefon eller e-post. Paragrafen ger således ingen rätt för Säkerhetspolisen eller personuppgiftsbiträden att avkräva tillsynsmyndigheten råd i en konkret fråga, om det inte är särskilt Förhandssamråd är exempel på det sistnämnda. Paragrafen upplyser om att bestämmelser om tillsyn över Säkerhets- polisens personuppgiftsbehandling även finns i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet. avsnitt 15.3 och 15.7. Paragrafen reglerar tillsynsmyndighetens undersökningsbefogenheter. Övervägandena finns i avsnitt 15.5.1. Enligt punkt 1 har tillsynsmyndigheten rätt att för sin tillsyn från Säkerhetspolisen och personuppgiftsbiträden få tillgång till alla personuppgifter som behandlas. Det innebär att Säkerhetspolisen ska lämna de begärda uppgifterna även om det kräver viss efterforskning. Punkt 2 ger tillsynsmyndigheten rätt till upplysningar och dokumenta- tion som rör behandlingen av personuppgifter och vilka åtgärder som har vidtagits för att säkerställa skyddet för personuppgifterna och registrerades Dokumentationen kan avse exempelvis loggar som Säkerhetspolisen och personuppgiftsbiträden ska föra. Det kan också vara fråga om upplysningar om och dokumentation av vilka organisatoriska och tekniska åtgärder som vidtogs i samband med att ett register inrättades eller en viss typ av behandling påbörjades. Det kan vidare röra sig om åtgärder för att garantera säkerheten, begränsa den interna tillgången till uppgifter eller förhindra otillåten behandling och åtgärder för intern Informationen kan avse exempelvis ändamålen med be- handlingen eller loggar och förteckningar över pågående behandlingar. en myndighet saknar faktisk möjlighet att påverka hur uppgifter hanteras innan de blir tillgängliga hos myndigheten hindrar inte att den är skyldig att redovisa säkerheten vid behandlingen (se HFD 2012 ref. 21). I punkt 3 regleras tillsynsmyndighetens rätt att få tillträde till lokaler som Säkerhetspolisen eller personuppgiftsbiträdet disponerar samt tillgång till utrustning och andra medel som används för behandlingen. tillträde ger inte myndigheten rätt att bereda sig tillträde med tvång. Säkerhetspolisen eller personuppgiftsbiträdet inte samarbetar kan tillsynsmyndigheten utnyttja sina korrigerande befogenheter enligt 5 §. har också rätt att få tillgång till den utrustning som Säkerhetspolisen eller personuppgiftsbiträdet disponerar för att, med hjälp av Säkerhetspolisens eller personuppgiftsbiträdets personal, kunna göra nödvändiga körningar och kontroller. Punkten ger således inte tillsynsmyndigheten någon rätt att fritt använda Säkerhetspolisens eller personuppgiftsbiträdets utrustning och datasystem. Punkt 4 klargör att tillsynsmyndigheten har rätt att få hjälp med de sökningar och andra åtgärder som den begär och annan nödvändig hjälp för att genomföra tillsynen. Punkten ger även tillsynsmyndigheten rätt till information som inte har direkt anknytning till behandlingen av person- uppgifter, men som myndigheten behöver för tillsynen. Informationen kan avse t.ex. verksamhetsplaner som beskriver den verksamhet där behandlingen utförs. tillgång till information och lokaler är underkastad de begränsningar som följer av t.ex. säkerhetsskyddslagen (2018:585) i fråga om bl.a. krav på säkerhetsprövning av tillsynsmyndig- hetens personal. Förebyggande befogenheter 4 § Paragrafen reglerar tillsynsmyndighetens befogenheter i det före- byggande arbetet. De åtgärder som regleras i paragrafen är inte av tving- ande karaktär. De syftar till att förebygga att framtida behandling av personuppgifter står i strid med regelverket. Övervägandena finns i avsnitt 15.5.3. Av första stycket framgår att tillsynsmyndigheten, om det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska försöka förmå Säkerhetspolisen eller personuppgifts- biträdet att motverka risken genom råd, rekommendationer och på- pekanden. Det kan vara fråga om ett nytt register som ska inrättas, en ny typ av behandling som ska påbörjas eller en större förändring av pågående behandling. kan också identifiera risker i pågående behandling som skulle kunna innebära att regelverket inte kommer att följas. Rådgivning kan avse såväl formella som informella samråd. Av 5 § första stycket 1 framgår att de befogenheter som räknas upp i detta stycke även i vissa fall får användas i korrigerande syfte. Enligt andra stycket får tillsynsmyndigheten skriftligen varna för att viss behandling riskerar att strida mot regelverket. En varning är en mer in- gripande åtgärd än åtgärderna i första stycket. Varning kan användas för att visa hur allvarligt tillsynsmyndigheten ser på den planerade be- handlingen. behöver inte ha uttömt andra före- byggande åtgärder innan den utfärdar en varning. En varning ska vara skriftlig. Av den ska framgå varför tillsynsmyndigheten bedömt att be- handlingen inte kommer att vara författningsenlig. Åtgärden är inte tvingande, men den som får en varning förväntas rätta sig efter den. Varning får också utfärdas om pågående behandling riskerar att stå i strid med lag eller annan författning. Det kan t.ex. aktualiseras om det vid förhandssamråd enligt 5 kap. 6 § andra stycket visar sig att det finns risk för att de förändringar som planeras kan göra att den framtida be- handlingen inte blir författningsenlig. Korrigerande befogenheter 5 § I paragrafen regleras tillsynsmyndighetens korrigerande befogenheter. Övervägandena finns i avsnitt 15.5.4. har möjlighet att successivt använda olika medel och därigenom stegra påtryckningarna på den som inte självmant rättar sig. 2018/19:163 Förutom de medel som anges i första stycket 1 är befogenheterna tvingande. Befogenheterna anges i stegrande ordning, men är inte kopplade till varandra på det sättet att en strängare åtgärd förutsätter att mindre ingripande åtgärder redan har prövats. De korrigerande befogenheterna får användas när tillsynsmyndigheten konstaterar att Säkerhetspolisen behandlar personuppgifter i strid med lag eller annan författning eller på något annat sätt inte fullgör sina De skyldigheter som avses är framför allt skyldigheterna i 5 kap. Säkerhetspolisen har emellertid också skyldigheter enligt 6 och 9 kap. och skyldighet att bistå tillsynsmyndigheten enligt 3 §. underlåtenhet att fullgöra sådana skyldigheter och skyldigheter som regleras i föreskrifter med anledning av denna lag omfattas. Enligt första stycket punkt 1 får tillsynsmyndigheten använda de förebyggande befogenheter som regleras i 4 § första stycket för att försöka förmå Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra Vilka befogenheter tillsynsmyndigheten kan använda utvecklas i kommentaren till 4 §. Vad som avses med författningsenlig utvecklas i kommentaren till 2 kap. 6 §. Enligt punkt 2 får tillsynsmyndigheten förelägga Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att viss behandling av personuppgifter ska bli författningsenlig eller för att de ska uppfylla andra Sådana förelägganden är bindande för mottagaren. kan t.ex. förelägga Säkerhetspolisen att förändra viss personuppgiftsbehandling eller att uppfylla krav på loggning eller Ett föreläggande kan också avse att myndigheten ska rätta, komplettera eller radera en personuppgift. kan även förelägga Säkerhetspolisen att vidta ytterligare tekniska eller organisatoriska åtgärder för säkerheten vid behandling eller att inrätta en intern ordning för anmälan av överträdelser av bestämmelserna, upprätta konsekvensbedömning eller fullgöra sam- Punkt 3 ger tillsynsmyndigheten rätt att förbjuda fortsatt behandling, om Säkerhetspolisen eller biträdet allvarligt brister i sina skyldigheter. förbud mot fortsatt behandling avses att uppgifter inte längre får behandlas för de ändamål som Säkerhetspolisen har bestämt, utan endast får behandlas i syfte att uppfylla 2 kap. tryckfrihetsförordningen. bör krävas, förutom att det är fråga om allvarliga brister, att bristerna i fråga inte kan avhjälpas genom andra mindre ingripande åtgärder. sådan allvarlig brist kan vara att personuppgifter behandlas för ändamål som inte är tillåtna. Att tillsynsmyndigheten inte på begäran får det underlag eller den hjälp som den har rätt till enligt 3 § kan i vissa fall vara en allvarlig brist, t.ex. att myndigheten vägras tillträde. Det kan också vara en allvarlig brist om Säkerhetspolisen eller personuppgiftsbiträdet inte rättar sig efter ett föreläggande eller negligerar en skriftlig varning. Ett förbud enligt punkt 3 kan vara permanent. också meddela ett tillfälligt förbud om den anser att det finns förutsättningar för att bristen, trots att den är allvarlig, ska kunna åtgärdas. Det ankommer på Säkerhetspolisen eller personuppgiftsbiträdet att vidta de tekniska åtgärder som krävs för att personuppgifterna inte längre ska kunna behandlas om fortsatt behandling förbjuds. Beslut enligt första stycket punkterna 2 och 3 ska vara skriftliga och Prop. 2018/19:163 motiveras. beslut gäller först efter att de har fått laga kraft (jfr 6 §). Besluten kan överklagas enligt 8 kap. 3 §. I andra stycket föreskrivs att det av ett föreläggande alltid ska framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. Om föreläggandet avser rättelse, komplettering, radering eller begränsning av behandlingen bör det framgå av före- läggandet vad som ska göras. får emellertid överlåta åt Säkerhetspolisen att avgöra vilka åtgärder som ska vidtas för att behandlingen ska bli författningsenlig eller hur andra skyldigheter ska fullgöras. Det kan vara lämpligt när det är fråga om tekniska eller organisatoriska åtgärder som ska vidtas eller när det annars finns olika alternativ för vilka åtgärder som kan vidtas och hur de bör genomföras. Verkställighet av beslut 6 § Paragrafen reglerar när tillsynsmyndighetens beslut kan verkställas. Övervägandena finns i avsnitt 15.6.3. Paragrafen innebär ett undantag från förvaltningslagens bestämmelser om verkställighet. beslut ska endast kunna verk- ställas efter att de har fått laga kraft. Bestämmelsen innebär att förvaltningslagens möjligheter att i vissa fall göra undantag från huvud- regeln om att laga kraft är en förutsättning för verkställighet, inte gäller för tillsynsmyndighetens beslut. I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Övervägandena finns i avsnitt 16.3.2. Paragrafen är en sådan specialbestämmelse om skadestånd som enligt 1 kap. 1 § skadeståndslagen (1972:207) tar över reglerna i den lagen. Om en ersättningsfråga inte berörs i paragrafen – t.ex. frågan om hur ersättningen för en personskada eller sakskada ska beräknas (5 kap. skadeståndslagen) eller hur ansvaret ska fördelas när flera är skadeståndsskyldiga (6 kap. 4 § skadeståndslagen) – tillämpas de allmänna reglerna i skadeståndslagen. Rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i denna lag eller föreskrifter som meddelats i anslutning till lagen. För att den personuppgiftsansvarige ska bli ersättningsskyldig behöver den registrerade bevisa att behandling av hans eller hennes personuppgifter stått i strid med reglerna om personuppgiftsbehandling och att den har skadat eller kränkt honom eller henne. Den registrerades rätt till skadestånd omfattar ersättning för skada och för kränkning av den personliga integriteten. Med skada avses person- skada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom