prop · H603163 · 2019-09-09 00:00:00 — Säkerhetspolisen kommer att tillämpa både dataskyddsförordningen och brottsdatalagen i delar av sin verksamhet. För att underlätta tillämpningen bör definitionerna i den nya lagen därför så långt möjligt överensstämma med de definitioner som används i brottsdatalagen. Det innebär att motsvarande definitioner som tidigare använts i personuppgiftslagen inte bör användas i den mån de avviker från brottsdatalagens terminologi, trots att de har tillämpats och stämmer bättre överens med terminologin i svensk lagstiftning (prop. 2017/18:232 s. 84). Nedan följer en redogörelse för ett antal centrala definitioner som bör finnas i den nya lagen. Regeringen återkommer till definitionerna av dataskyddsombud (avsnitt 13.3.1), internationell organisation (av- snitt 17.2), personuppgiftsansvarig (avsnitt 13.1.1), personuppgiftsbiträde (avsnitt 13.4.1), tredjeland (avsnitt 17.2) och tredje man (avsnitt 14.3.2). I brottsdatalagen avses med behandling av personuppgifter en åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, be- arbetning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring. Uttrycket omfattar alla åtgärder som vidtas med personuppgifter. Uttrycket är centralt och definitionen bör var densamma som i brottsdatalagen. Varken dataskyddsdirektiv eller personuppgiftslagen innehåller någon definition av biometriska uppgifter. Inte heller i andra författningar finns det någon sådan definition, men uttrycket biometriska data används i bl.a. passlagen (1978:302). Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras (jfr propositionen Fingeravtryck i pass, prop. 2008/09:132, s. 6 f.). När det gäller pass är det framför allt mönster av fingeravtryck, ansiktsgeometri och ögats iris som används, men även regnbågshinna, näthinna, röst, hand, blodkärl, dna eller gång går att använda. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. uppgifter kan användas för att skapa en referensmall eller för att jämföra Prop. 2018/19:163 med tidigare lagrade referensmallar i syfte att kontrollera en persons Biometriska uppgifter definieras i brottsdatalagen som personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga känne- tecken, som tagits fram genom särskild teknisk behandling och som möj- liggör eller bekräftar unik identifiering av personen i fråga. Definitionen bör användas även i den nya lagen. Fotografier och filmer som inte bearbetas tekniskt i syfte att åstad- komma unik identifiering faller utanför definitionen. Bearbetning av bilder av personer för att förbättra bildkvaliteten, förstärka detaljer och liknande omfattas alltså inte. Om bilder däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram i syfte att identifiera personer omfattas de av definitionen. Det kan även anmärkas att sådana personuppgifter, t.ex. fingeravtryck, som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska uppgifter däremot inte i sig utgör biometriska uppgifter. Definitionen omfattar Säkerhetspolisens hantering av fingeravtryck. Fingeravtryck som har tagits med stöd av eller lagen (1991:572) om särskild utlänningskontroll får behandlas i de fingerav- trycks- och signalementsregister som för enligt 5 kap. 11 § polisens brottsdatalag. Uppgifter om fingeravtryck som inte kan hänföras till en identifierbar person får också behandlas om uppgiften kommit fram vid utredning om brott. Även oidentifierade fingeravtryck omfattas således av definitionen av biometriska uppgifter, eftersom det är möjligt att med hjälp av dem identifiera personen som har avsatt dem. Genetiska uppgifter definieras inte dataskyddsdirektiv eller i personuppgiftslagen. Med genetiska uppgifter avses i brottsdatalagen personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen i fråga. All information som rör en persons nedärvda eller för- värvade genetiska kännetecken och som kan tas fram ur ett spår från t.ex. en brottsplats eller ett prov från människokroppen omfattas av definitio- nen. En motsvarande definition bör tas in i den nya lagen. Genetiska uppgifter behandlas vid dna-analyser i forensisk verksamhet för att ta fram dna-profiler eller forensiska uppslag. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Eftersom nedärvda eller förvärvade genetiska kännetecken för en person kan framgå av ett spår som påträffas vid utredning av ett brott, omfattas även analys av spåren av definitionen, trots att de inte går att härleda till en identifierad person. Själva dna-profilen, som behandlas i framför allt dna-register, är endast en sifferkombination och därmed ingen genetisk uppgift. Den är däremot en biometrisk uppgift, eftersom det är möjligt att med hjälp av den unikt identifiera en person. 2018/19:163 Mottagare I 3 § personuppgiftslagen, som genomförde artikel data- skyddsdirektiv, anges att en myndighet inte ska anses som mottagare när personuppgifter lämnas ut till myndigheten för att den ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta. Vilka myndighetsuppdrag som avses kommenteras inte i förarbetena, utan där anges endast att definitionen av mottagare är avsedd att ha samma inne- börd som motsvarande uttryck i direktivet (Personuppgiftslag, prop. 1997/98:44, s. 116). Ett motsvarande undantag har ansetts behövas i brottsdatalagen (prop. 2017/18:232 s. 89). Mottagare definieras därför i brottsdatalagen som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Definitionen bör användas även i den nya lagen. Personuppgifter är enligt brottsdatalagen varje upplysning om en identi- fierad eller identifierbar fysisk person som är i livet. En motsvarande definition bör tas in i den nya lagen. All information som kan hänföras till en fysisk person är en person- uppgift. Det gäller även information som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informationen. Det krävs inte att den personuppgiftsansvarige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade finger- avtryck och dna-profiler är personuppgifter, eftersom det är möjligt att identifiera en person med hjälp av dem. Även bild- eller ljudupptagningar kan utgöra personuppgifter, om man direkt eller indirekt kan avgöra vilken individ som upptagningen avser. Uppgifter om avlidna personer omfattas inte av definitionen. I brottsdatalagen avses med registrerad den fysiska person som person- uppgiften gäller. En motsvarande definition bör tas in i den nya lagen. Uppgift som rör hälsa Varken dataskyddsdirektiv eller personuppgiftslagen definierade vad som avses med uppgift om hälsa. I brottsdatalagen definieras uttrycket som en personuppgift som rör en persons fysiska eller psykiska hälsa, inklusive information om tillhandahållande av hälso- och sjukvårdstjänster som ger upplysning om personens hälsostatus. En motsvarande definition bör tas in i den nya lagen. 7.8Uppgifter om juridiska personer Regeringens förslag: Lagen ska i viss utsträckning tillämpas vid be- handling av uppgifter om juridiska personer. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna yttrar sig särskilt i Prop. 2018/19:163 denna del. Skälen för regeringens förslag: I 1 kap. 6 § polisdatalagen föreskrivs att vissa bestämmelser i lagen även ska tillämpas på uppgifter om juridiska personer. För Säkerhetspolisens del gäller det bestämmelserna om ändamålen med behandlingen, tillgången till personuppgifter, bevarande och gallring och gemensamt tillgängliga uppgifter. Vid den översyn av registerförfattningarna som gjorts med anledning av införandet av brotts- datalagen har bestämmelser om skydd för uppgifter om juridiska personer behållits (prop. 2017/18:269 s. 112 f.). Regeringen anser att det bör gälla även för Säkerhetspolisen och en motsvarande reglering bör därför tas in i den nya lagen. 8Rättslig grund och ändamål för behandlingen av personuppgifter 8.1Skillnad mellan ändamålsbestämmelser och bestämmelser om rättslig grund En grundläggande princip för all personuppgiftsbehandling är att person- uppgifter får samlas in bara för särskilda, uttryckligt angivna och berätti- gade ändamål. Principen kommer till uttryck i både dataskydds- förordningen och brottsdatalagen (2018:1177). Både förordningen och lagen utgår också från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså endast om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas. Kravet är inte nytt utan framgår av artikel 7 dataskyddsdirektiv och kom till uttryck i bl.a. 10 § personuppgiftslagen (1998:204). Det fördes dock inga resonemang kring kravet på rättslig grund i förarbetena till de registerförfattningar som tidigare gällde för de brottsbekämpande myndigheterna. I förarbetena till brottsdatalagen tog regeringen därför upp frågan om hur kravet på rättslig grund förhöll sig till de s.k. primära och sekundära ändamålsbestämmelserna i registerförfattningarna. Regeringen konstaterade med hänvisning till Informationshanterings- utredningen att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman (SOU 2015:39 s. 277 f.). Det kan leda till att tillämparen förväxlar ändamål med rättslig grund och godtar ett i författning angivet allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål i det enskilda fallet. Det borde därför göras tydligare skillnad mellan bestämmelser om rättslig grund och ändamåls- bestämmelser (Brottsdatalag, prop. 2017/18:232, s. 115). I myndigheter- nas registerförfattningar på brottsdatalagens område ersattes därefter de primära ändamålsbestämmelserna med bestämmelser om rättslig grund, se t.ex. 2 kap. 1 § polisens brottsdatalag, som ersatte 2 kap. 7 § polisdata- lagen (2010:361). 2018/19:163 I detta kapitel diskuteras först hur man bör se på ändamålsbestämmelser- na i 6 kap. 1 och 2 §§ polisdatalagen (avsnitt 8.2). Hur regleringen bör utformas diskuteras i avsnitt 8.3 och hur ändamålen för behandling av personuppgifter ska bestämmas finns i avsnitt 8.4. 8.2Dagens primära ändamålsbestämmelser är bestämmelser om rättslig grund Regeringens bedömning: Det som kallas primära ändamåls– bestämmelser är en del av den rättsliga grunden för behandling av personuppgifter. Det som kallas sekundära ändamålsbestämmelser bör dock fortfarande anses vara ändamålsbestämmelser. Regleringen bör ha i huvudsak samma innehåll som . Utredningens bedömning överensstämmer delvis med regeringens. Utredningen föreslår att även det som kallas sekundära ändamålsbestämmelser ska vara en del av den rättsliga grunden för behandlingen av personuppgifter. Remissinstanserna: Endast Säkerhetspolisen yttrar sig i denna del och anser att 6 kap. 1 polisdatalagen är tillräckligt preciserad för att utgöra en ändamålsbestämmelse och att det därför saknas skäl att ändra den gällande ordningen. Skälen för regeringens bedömning I 6 kap. 1 och 2 §§ polisdatalagen föreskrivs för vilka ändamål Säker- hetspolisen får behandla personuppgifter i sin brottsbekämpande verk- samhet. Ändamålen delas upp i primära och sekundära. De primära ända- målen reglerar behandlingen av de personuppgifter som behövs i Säker- hetspolisens egen brottsbekämpande verksamhet. Myndigheten får t.ex. behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar bl.a. brott mot rikets säkerhet och terroristbrott. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att lämnas ut till andra för att tillgodose deras behov. Säkerhetspolisen får t.ex. behandla redan insamlade uppgifter när det är nödvändigt för att tillhandahålla information som behövs i brotts- bekämpande verksamhet hos vissa andra myndigheter. Primära ändamålsbestämmelser är bestämmelser om rättslig grund Som framgår i avsnitt 8.1 anser regeringen att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman. Det kan leda till att tillämparen förväxlar ändamål med rättslig grund och godtar ett i författning angivet allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål i det enskilda fallet. Det bör därför göras tydligare skillnad mellan bestämmelser om rättslig grund och ändamålsbestäm- I avsnitt 8.4.1 föreslås att all behandling av personuppgifter även i fortsättningen ska utföras för särskilda, uttryckligt angivna och berättigade ändamål. Det är i förhållande till ändamålen som det ska prövas vilka personuppgifter som är adekvata och relevanta för behandlingen och att inte för många personuppgifter behandlas. Prövningen av att per- sonuppgifter inte behandlas än nödvändigt ska också ske i förhållande till ändamålen (avsnitt 12.2.1). Ändamålen måste därmed vara tillräckligt specifika för att ge ledning för dessa bedömningar. Mot den bakgrunden ansåg regeringen i förarbetena till brottsdatalagen att de primära ändamålsbestämmelserna i de brottsbekämpande myndigheternas registerförfattningar borde ses som bestämmelser om rättslig grund. Be- stämmelserna tydliggör att personuppgiftsbehandling är tillåten när upp- gifterna fullgörs (prop. 2017/18:232 s. 123 f.). Frågan är om samma be- dömning bör göras beträffande de primära och sekundära ändamålsbe- stämmelserna i 6 kap. 1 och 2 §§ polisdatalagen. Säkerhetspolisen har invänt att 6 kap. 1 § polisdatalagen är tillräckligt preciserad för att utgöra en ändamålsbestämmelse och att det därför saknas skäl att ändra gällande ordning. Regleringen i 6 kap. 1 § polisdatalagen är delvis annorlunda utformad än de tidigare primära ändamålsbestämmelserna i t.ex. 2 kap. 7 § polisdatalagen. Paragrafen är mer detaljerad. Det beror framför allt på att Säkerhetspolisen har ett betydligt mer begränsat uppdrag än exempelvis . Som utredningen framhåller ger dock paragrafen inte någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. Det anges endast att Säkerhetspolisen får behandla personuppgifter för att utföra vissa av sina arbetsuppgifter. Syftet är att precisera när personuppgifter alls får behandlas i Säkerhetspolisens brottsbekämpande verksamhet. Paragrafen utgör därmed den yttre ram inom vilken de särskilda, uttryckligt angivna och berättigade ändamålen med behandlingen i enskilda fall ska bestämmas. Regeringen delar mot den bakgrunden utredningens bedömning att de primära ändamåls- bestämmelserna i 6 kap. 1 § polisdatalagen inte är ändamålsbestämmelser i egentlig mening, utan en del av den rättsliga grunden. Vad Säkerhetspolisen anfört i denna del föranleder ingen annan bedömning. När det gäller de sekundära ändamålsbestämmelserna i 6 kap. 2 § polisdatalagen är situationen en annan än för de primära ändamåls- bestämmelserna i 6 kap. 1 §. De sekundära ändamålsbestämmelserna anger endast i vilken utsträckning som Säkerhetspolisen får lämna person- uppgifter till andra och förutsätter att det redan finns stöd för behandlingen enligt 1 §. Det är alltså inte tillåtet att samla in personuppgifter enbart i syfte att behandla dem med stöd av 2 §. Vidare innehåller paragrafen en uppräkning av flera förhållandevis specifika situationer. Mot den bakgrunden anser regeringen, till skillnad från utredningen, att de nuvarande sekundära ändamålsbestämmelserna inte kan ses som en del av den rättsliga grunden för behandling av personuppgifter. Den rättsliga grunden finns även i dessa situationer angiven i 1 §. Systematiken i lagen kommer då också att i högre grad motsvara systematiken på brottsdatalagens område, där det endast finns mer allmänt hållna bestämmelser om rättslig grund (se t.ex. 2 kap. 1 § brottsdatalagen och 2 kap. 1 § polisens brottsdatalag). Regeringen instämmer dock i 2018/19:163 utredningens bedömning att regleringen bör i huvudsak ha samma sakliga innehåll som , vilket utvecklas i avsnitt 8.4.3. 8.3Rättslig grund för behandling 8.3.1Rättslig grund för behandling – huvudregeln Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att Säkerhetspolisen ska kunna 1.förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar a) brott mot säkerhet, b) terrorbrott, eller c) tryckfrihetsbrott och yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv, 2.utreda eller lagföra sådana brott som avses i 1, eller, efter särskilt beslut, annat brott, a)i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, b)enligt säkerhetsskyddslagen (2018:585), eller c)enligt utlännings- och medborgarskapslagstiftningen, 4.fullgöra annan uppgift som rör nationell säkerhet och som anges i lag eller förordning eller särskilt beslut av regeringen, eller 5.fullgöra förpliktelser som följer av internationella åtaganden. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår också att det i lagen uttryckligen ska anges att uppgiften ska framgå av lag, förordning eller av ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Remissinstanserna: Endast Säkerhetspolisen uttalar sig i denna del och anser att rekvisitet nödvändigt ska ersättas med behövs som i 6 kap. 1 § polisdatalagen. Skälen för regeringens förslag En bestämmelse om rättsliga grunder behövs Som framgår av avsnitt 8.1 utgår både dataskyddsdirektivet och data- skyddsförordningen från att varje behandling måste vila på en rättslig grund för att vara laglig. I artikel 6.1 i förordningen finns det en uttöm- mande uppräkning av de rättsliga grunderna för behandling av person- uppgifter enligt förordningen. Någon motsvarande uppräkning finns inte i Däremot anges förutsättningarna för att en behandling ska vara laglig i artikel 8.1. Brottsdatalagen innehåller bestämmelser om rättsliga grunder. 2 kap. 1 § får personuppgifter behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften Prop. 2018/19:163 (prop. 2017/18:232 s. 116–118). För att personuppgiftsbehandling ska vara tillåten enligt brottsdatalagen krävs det således både en reglerad arbetsuppgift och bestämmelser om att personuppgifter får behandlas för att utföra uppgiften. Detsamma bör gälla för Säkerhetspolisen. Regeringen delar därför utredningens bedömning att det bör finnas en bestämmelse i den nya lagen som anger de rättsliga grunderna för personuppgifts- behandlingen. Regleringen i 6 kap. 1 § polisdatalagen korresponderar i princip med 3 § polislagen (1984:387) som anger Säkerhetspolisens huvudsakliga uppgif- ter. Bestämmelsen har endast förändrats marginellt sedan polisdatalagens tillkomst. Den bedömning av Säkerhetspolisens behov av att behandla personuppgifter som gjordes då gör sig fortfarande gällande (Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 255 f.). Den nya lagen bör i huvudsak innehålla samma reglering. Utredningen föreslår att det särskilt ska anges att uppgifterna ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Att ett sådant krav infördes i brottsdatalagen var en följd av regleringen i dataskyddsdirektivet. En förutsättning för att Säkerhetspolisen ska få behandla personuppgifter är att Säkerhetspolisens har ålagts att utföra en viss arbetsuppgift. Vilka arbetsuppgifter Säkerhetspolisen har framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Ett motsvarande krav behöver därför inte särskilt anges i förevarande paragraf. Säkerhetspolisen förespråkar att ordet ”behövs” används i lagtexten för att det inte ska framstå som att kravet för att få behandla personuppgifter har höjts. Eftersom ”nödvändigt” är det ord som finns i artikeln om rättslig grund i dataskyddsförordningen valdes det ordet även i brottsdatalagens bestämmelse om rättslig grund. Även om det inte finns något som hindrar att den nya lagen i detta avseende utformas på annat sätt än brottsdatalagen anser regeringen att skälen för en enhetlig terminologi överväger. Samma uttryckssätt som i brottsdatalagen bör därför användas i den nya lagen. Som anges i förarbetena till brottsdatalagen bör ordet ”nödvändigt” i detta sammanhang tolkas som att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra uppgiften (prop. 2017/18:232 s. 117). Trots att terminologin ändras blir det därför inte fråga om någon ändring i förhållande till vad som krävs enligt dagens reglering. Enligt 6 kap. 1 § 5 polisdatalagen får Säkerhetspolisen behandla per- sonuppgifter om det behövs för att lämna tekniskt biträde till vissa andra brottsbekämpande myndigheter. Den uppgiften omfattas av brottsdatalagens tillämpningsområde (prop. 2017/18:232 s. 105). Person- uppgiftsbehandling för sådant biträde bör därför inte regleras i den nya lagen. 2018/19:163 Uppgifter enligt utlännings- och medborgarskapslagstiftningen Säkerhetspolisen har vissa uppgifter enligt utlännings- och medborgar- skapslagstiftningen (avsnitt 4.1). Det framgår inte av förarbetena till polis- datalagen hur lagstiftaren ser på personuppgiftsbehandling för sådana ändamål. I förarbetena till utlänningsdatalagen (2016:27) konstaterar regeringen att all verksamhet hos i någon mening är brottsbekäm- pande. Mot den bakgrunden och då Säkerhetspolisens uppgifter på utlän- nings- och medborgarskapsområdet är förhållandevis begränsade ansågs det inte vara ändamålsenligt att låta Säkerhetspolisen omfattas av utlän- ningsdatalagens reglering. Konsekvensen blev att Säkerhetspolisen i stäl- let antingen ska tillämpa de särskilda regler om personuppgiftsbehandling som gäller för myndigheten enligt polisdatalagen eller personupp- giftslagen (Utlänningsdatalag, prop. 2015/16:65, s. 40). Mot bakgrund av förarbetsuttalandena och att personuppgiftslagen har upphävts är det nöd- vändigt att reglera myndighetens personuppgiftsbehandling på området. Säkerhetspolisens arbetsuppgifter enligt utlännings- och medborgar- skapslagstiftningen syftar till att förhindra att individer som är eller kan bli ett säkerhetshot mot etablerar sig i landet. Utifrån vad som är känt om personens bakgrund, kontakter eller egna aktiviteter gör Säker- hetspolisen en bedömning av om han eller hon kan komma att ägna sig åt säkerhetshotande verksamhet. Säkerhetsskälen kan exempelvis bestå av kopplingar till personer som antas syssla med olovlig underrättelseverk- samhet eller terrorism. Mot den bakgrunden anser regeringen, i likhet med utredningen, att Säkerhetspolisens uppgifter enligt utlännings- och medborgarskapslagstiftningen är ett led i uppgifterna som rör nationell säkerhet och därför bör anges som en tillåten rättslig grund för behandling av personuppgifter i den nya lagen.