prop · H903136 · 2022-03-01 00:00:00 — I skyldigheten ingår att vidta lämpliga åtgärder som stöder upptäckt och analys av säkerhetsincidenter och åtgärder för att hantera en inträffad incident. Enligt artikel 40.5 i EU-direktivet har Europeiska kommissionen möj- lighet att anta genomförandeakter som specificerar vilka tekniska och or- ganisatoriska åtgärder som ska vidtas. Tredje stycket innehåller ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela ytterligare föreskrifter om säkerhetsåtgärderna och föreskrifter om undantag från skyldigheten att vidta sådana åtgärder. Genom sådana föreskrifter kan det exempelvis anges vilka tekniska och organisatoriska åtgärder som ska vidtas utöver de genomförandeåtgärder som Europeiska kommissionen kan komma att besluta om med stöd av artikel 40.5. Det kan bl.a. avse föreskrifter om planering för och hantering av inträffade händelser eller åtgärder avseende åtkomst och behörighet. Vid överträdelser av första stycket och av de föreskrifter som har med- delats med stöd av andra stycket ska tillsynsmyndigheten besluta om sanktionsavgift, se 12 kap. 1 §. 2 § Om det finns särskilda skäl, får tillsynsmyndigheten ålägga den som tillhan- dahåller ett allmänt elektroniskt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst att på egen bekostnad låta ett oberoende kvalifi- cerat organ utföra en säkerhetsgranskning av hela eller delar av verksamheten och att redovisa resultatet av granskningen för myndigheten. Paragrafen ger tillsynsmyndigheten möjlighet att ålägga någon att genom- gå en säkerhetsgranskning. Den saknar motsvarighet i LEK. genomför artikel 41.2 b i EU-direktivet. Övervägandena finns i avsnitt 17.2. Syftet med en säkerhetsgranskning är att det ska kunna bedömas om säkerhetskraven enligt 1 § är uppfyllda. För att kunna ålägga skyldigheten krävs det särskilda skäl. Avsikten är alltså att säkerhetsgranskningar ska Prop. 2021/22:136 ske endast när det är motiverat. En säkerhetsgranskning bör i första hand komma i fråga då tillsynsmyndigheten har tagit del av uppgifter eller bedrivit tillsyn där det har framkommit att ytterligare granskning behövs för att fullständigt besvara nödvändiga frågor om verksamhetens säkerhet. En säkerhetsgranskning behöver inte heller avse hela verksamheten utan kan exempelvis avgränsas till vissa delar av en verksamhet som är särskilt känsliga eller som behöver bli ytterligare granskade. Säkerhetsgransk- ningar kan t.ex. komma i fråga för att testa säkerheten när det gäller internetaccess till viktigare kommunikationsnoder eller anläggningar eller åtgärder som har vidtagits för att komma till rätta med sårbarheter i kom- munikationsprotokoll. Vad som utgör särskilda skäl och när ett åläggande kan anses proportionerligt får avgöras i det enskilda fallet. Ett oberoende kvalificerat organ kan exempelvis vara ett företag som genomför säkerhetsgranskningar. Organet ska vara oberoende i förhållan- de till tillsynsmyndigheten och den tillhandahållare vars verksamhet ska granskas. Att organet ska vara kvalificerat innebär att det ska besitta den sakkunskap som krävs för säkerhetsgranskningen. Det är upp till tillsyns- myndigheten att från fall till fall bedöma om möjliga lämpliga organ att utföra granskningen bör pekas ut eller om det kan överlåtas till tillhanda- hållaren. 3 § Den som tillhandahåller ett allmänt elektroniskt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst ska utan onödigt dröjsmål till tillsynsmyndigheten rapportera säkerhetsincidenter som har haft en betydande på- verkan på nät och tjänster. får, om det ligger i allmänhetens intresse, ålägga den som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster att informera allmänheten om säkerhetsinci- denter. Regeringen eller den myndighet som regeringen bestämmer får meddela 1.ytterligare föreskrifter om rapportering av säkerhetsincidenterna, och 2.föreskrifter om undantag från rapporteringsskyldigheten. I paragrafen regleras rapportering av säkerhetsincidenter. Den motsvarar delvis 5 kap. 6 c § LEK (se prop. 2010/11:115 s. 125 f. och 170). Para- grafen genomför artikel 40.2 i EU-direktivet. En definition av säkerhets- incident finns i 1 kap. 7 §. Övervägandena finns i avsnitt 17.3. Enligt första stycket ska tillsynsmyndigheten underrättas om säkerhets- incidenter som har haft en betydande påverkan på nät och tjänster. Det innebär att aktörerna inte behöver underrätta tillsynsmyndigheten om alla de dagliga och kortvariga störningar och avbrott som normalt uppstår och som endast påverkar ett fåtal användare och där orsaken t.ex. är ström- avbrott eller skada på ledningar i samband med grävarbeten. Omständig- heter som särskilt har betydelse för bedömningen av om en säkerhetsinci- dent har haft en betydande påverkan är t.ex. antalet drabbade användare, storleken på det drabbade geografiska området, hur länge säkerhetsinci- denten varar och i vilken utsträckning säkerhetsincidenten påverkar nätets eller tjänstens funktion eller funktioner i samhället. Rapporteringsskyldigheten gäller även för säkerhetsincidenter hos t.ex. leverantörer till den rapporteringsskyldige och för de följdincidenter det 2021/22:136 kan medföra. Detta påverkar inte den rapporteringsskyldighet som leve- rantören självständigt kan ha med anledning av sin verksamhet. Att rapportering ska göras utan onödigt dröjsmål betyder att den som regel ska ske så snart de första kritiska åtgärderna för att avhjälpa säker- hetsincidenten har vidtagits och de uppgifter som ska lämnas finns till- gängliga. Om det behövs internt utredningsarbete för att kunna samman- ställa samtliga uppgifter som ska lämnas till tillsynsmyndigheten bör myndigheten lämpligen kunna underrättas dels i direkt anslutning till säk- erhetsincidenten om det som då är känt, dels när samtliga uppgifter har sammanställts. En underrättelse bör innehålla de uppgifter som typiskt sett har betydelse för myndighetens bedömning av om kraven på säkerhetsåtgärder är upp- fyllda eller om det finns anledning att vidta tillsynsåtgärder till följd av händelsen. En underrättelse bör därför normalt innehålla uppgifter om när säkerhetsincidenten har inträffat, hur den upptäcktes, vad som har skett, omfattningen och konsekvenserna av incidenten samt vilka åtgärder som vidtagits för att minska konsekvenserna av incidenten och för att förhindra liknande incidenter . Enligt artikel 40.5 i EU-direktivet har Europeiska kommissionen möj- lighet att anta genomförandeakter som specificerar omständigheter, format och förfaranden i samband med rapporteringsskyldigheten. En incident kan även behöva rapporteras enligt andra regelverk, såsom personuppgifts- eller säkerhetsskyddslagstiftningen. Enligt andra stycket får tillsynsmyndigheten, om det ligger i allmän- hetens intresse, ålägga den som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunika- tionstjänster att informera allmänheten om säkerhetsincidenter. Vid be- dömningen av om och hur allmänheten ska informeras ska säker- het beaktas, se 1 kap. 1 §, och säkerhetsskyddslagstiftningen följas. Tredje stycket innehåller ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela ytterligare föreskrifter om rapportering av säkerhetsincidenterna och föreskrifter om undantag från skyldigheten att rapportera sådana incidenter enligt första stycket. Vid överträdelser av första stycket och av de föreskrifter som har med- delats med stöd av tredje stycket ska tillsynsmyndigheten besluta om sanktionsavgift, se 12 kap. 1 §. 4 § Om det finns ett konkret och betydande hot om att en säkerhetsincident ska inträffa, ska den som tillhandahåller ett allmänt elektroniskt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst informera de använ- dare som kan påverkas av hotet om vilka skydds- eller motåtgärder de kan vidta och, om det är lämpligt, om själva hotet. Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om informationsskyldigheten. Paragrafen innebär en skyldighet att informera användare vid hot om säkerhetsincidenter. Den saknar motsvarighet i LEK. Paragrafen genomför artikel 40.3 i EU-direktivet. En definition av säkerhetsincident finns i 1 kap. 7 §. Övervägandena finns i avsnitt 17.3. Enligt första stycket gäller informationsskyldigheten konkreta och bety- dande hot om att en säkerhetsincident ska inträffa som upptäcks. ska vara konkret och betydande innebär att det ska finnas ett konkret hot Prop. 2021/22:136 som kan drabba användare på ett ingående sätt, t.ex. genom att användare kan drabbas av avbrott i tjänster eller att känsliga uppgifter om användare riskerar att spridas. Informationen ska ange vilka skydds- eller motåtgärder som användarna kan vidta. Det kan t.ex. röra sig om användning av krypte- ring, byte av lösenord eller uppgradering av programvara. Vid bedömning- en av om det är lämpligt att informera om själva hotet bör det t.ex. beaktas om spridning av uppgifter om vad en upptäckt säkerhetsbrist består i kan väntas förvärra hotet. Informationsskyldigheten befriar inte aktören från skyldigheten att vidta säkerhetsåtgärder som att avhjälpa hot och återställa en normal säkerhetsnivå, se 1 §. Stycket utformas enligt Lagrådets förslag. I andra stycket finns ett bemyndigande för regeringen eller den myndig- het som regeringen bestämmer att meddela ytterligare föreskrifter om in- formationsskyldigheten. Vid överträdelser av första stycket och av de föreskrifter som har med- delats med stöd av andra stycket ska tillsynsmyndigheten besluta om sanktionsavgift, se 12 kap. 1 §. Skyddsåtgärder vid lagring och annan behandling av trafikuppgifter m.m. för brottsbekämpande ändamål 5 § Den som enligt 9 kap. 19 § är skyldig att lagra uppgifter ska vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda de lagrade upp- gifterna vid behandling. Regeringen eller den myndighet som regeringen bestämmer får meddela före- skrifter om sådana skyddsåtgärder. Paragrafen motsvarar 6 kap. 3 a § LEK (se prop. 2010/11:46 s. 52 f. och 75). Övervägandena finns i avsnitt 18.2. Vid överträdelser av första stycket och av de föreskrifter som har med- delats med stöd av andra stycket ska tillsynsmyndigheten besluta om sanktionsavgift, se 12 kap. 1 §. Skydd av uppgifter vid tillhandahållande av tjänster 6 § Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikations- tjänst ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att uppgifter som behandlas i samband med tillhandahållandet av tjänsten skyddas. Den som tillhandahåller ett allmänt elektroniskt kommunikationsnät ska vidta de åtgärder som är nödvändiga för att upprätthålla motsvarande skydd i nätet. Åtgärderna ska vara ägnade att säkerställa en nivå på säkerheten som, med hän- syn till tillgänglig teknik och kostnaderna för att genomföra åtgärderna, är an- passad till risken för integritetsincidenter. Regeringen eller den myndighet som regeringen bestämmer får meddela ytter- ligare föreskrifter om sådana skyddsåtgärder. Paragrafen innehåller bestämmelser om skyldighet att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa skyddet för upp- gifter som behandlas. Den motsvarar i sak 6 kap. 3 § LEK (se prop. 2002/ 03:110 s. 250 f. och 390 f. och prop. 2010/11:115 s. 129 f. och 181 f.). Paragrafen utformas enligt Lagrådets förslag. Övervägandena finns i av- snitt 18.2. 2021/22:136 Genom den ändrade definitionen av allmänt tillgänglig elektronisk kom- munikationstjänst omfattar bestämmelserna även nummeroberoende inter- personella kommunikationstjänster. Vid överträdelser av första–tredje styckena och av de föreskrifter som har meddelats med stöd av fjärde stycket ska tillsynsmyndigheten besluta om sanktionsavgift, se 12 kap. 1 §. 7 § Om det vid tillhandahållande av en allmänt tillgänglig elektronisk kommu- nikationstjänst finns en särskild risk för bristande skydd av behandlade uppgifter, ska den som tillhandahåller tjänsten informera berörda abonnenter om risken. Om den som tillhandahåller tjänsten inte enligt 6 § är skyldig att vidta de åtgärder som avses där, ska abonnenterna informeras om hur och till vilken ungefärlig kostnad som risken kan elimineras. Paragrafen innehåller bestämmelser om informationsskyldighet vid risk för bristande skydd av behandlade uppgifter. Den motsvarar i sak 6 kap. 4 § LEK (se prop. 2002/03:110 s. 250 f. och 390 f.). Övervägandena finns i avsnitt 18.2. Genom den ändrade definitionen av allmänt tillgänglig elektronisk kom- munikationstjänst omfattar bestämmelserna även nummeroberoende inter- personella kommunikationstjänster. Vid en överträdelse av paragrafen ska tillsynsmyndigheten besluta om sanktionsavgift, se 12 kap. 1 §. 8 § Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikations- tjänst ska utan onödigt dröjsmål underrätta tillsynsmyndigheten om integritetsin- cidenter. Om en incident kan antas inverka negativt på de abonnenter eller använ- dare som de behandlade uppgifterna berör, eller om tillsynsmyndigheten begär det, ska även dessa underrättas utan onödigt dröjsmål. Paragrafen innehåller skyldigheter om underrättelse om integritetsinciden- ter. Den motsvarar delvis 6 kap. 4 a § LEK (prop. 2010/11:115 s. 129 f. och 181 f.). Paragrafen utformas enligt Lagrådets förslag. Övervägandena finns i avsnitt 18.2. Genom den ändrade definitionen av allmänt tillgänglig elektronisk kommunikationstjänst omfattar bestämmelserna även nummeroberoende interpersonella kommunikationstjänster. Vad som avses med integritets- incident finns definieras i 1 kap. 7 §. Vid en överträdelse av paragrafen ska tillsynsmyndigheten besluta om sanktionsavgift, se 12 kap. 1 §. Efter synpunkter från Lagrådet har hittillsvarande 6 kap. 4 a § andra stycket, som innehållit ett bemyndigande för regeringen eller den myndig- het som regeringen bestämmer att meddela föreskrifter om på vilket sätt skyldigheten i paragrafen ska fullgöras och om undantag från den, ingen motsvarighet i förevarande paragraf. Närmare bestämmelser om rapporte- ringen av integritetsincidenter finns i kommissionens förordning (EU) nr 611/2013 av om åtgärder tillämpliga på anmälan av personuppgiftsbrott enligt och rådets direktiv /58/EG vad gäller personlig integritet och elektronisk kommu- nikation. 9 § Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikations- Prop. 2021/22:136 tjänst ska löpande föra en förteckning över integritetsincidenter. Paragrafen reglerar en skyldighet att föra en förteckning över integritets- incidenter. Den motsvarar delvis 6 kap. 4 b § LEK (se prop. 2010/11:115 s. 129 f. och 181 f.). Paragrafen utformas efter synpunkter från Lagrådet. Övervägandena finns i avsnitt 18.1. Genom den ändrade definitionen av allmänt tillgänglig elektronisk kom- munikationstjänst omfattar bestämmelserna även nummeroberoende inter- personella kommunikationstjänster. Efter synpunkter från Lagrådet har hittillsvarande 6 kap. 4 b § andra stycket, som innehållit ett bemyndigande för regeringen eller den myndig- het som regeringen bestämmer att meddela föreskrifter om innehållet i en förteckning över integritetsincidenter, ingen motsvarighet i förevarande paragraf. Föreskrifter om innehållet i en sådan förteckning kan i fortsätt- ningen meddelas med stöd av 8 kap. 7 § regeringsformen. 9 kap. Behandling av trafikuppgifter samt integritetsskydd Rubriken utformas enligt Lagrådets förslag. 1 § Den som tillhandahåller ett allmänt elektroniskt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst ska utplåna eller avidentifi- era trafikuppgifter som har lagrats eller behandlats på något annat sätt när de inte längre behövs för överföring av ett elektroniskt meddelande. Detta gäller under förutsättning att uppgifterna avser användare som är fysiska personer eller abonnenter. Första stycket avser inte uppgifter som sparas för sådan behandling som anges i 2, 15, 19 eller 21 § eller om uppgifterna behövs för en sådan behandling som är tillåten enligt och rådets förordning (EU) 2021/1232 av om ett tillfälligt undantag från vissa bestämmelser i direktiv /58/EG vad gäller användning av teknik hos tillhandahållare av nummer- oberoende interpersonella kommunikationstjänster för behandling av personupp- gifter och andra uppgifter i syfte att bekämpa sexuella övergrepp mot barn på nätet. Paragrafen innehåller huvudregeln om behandling av trafikuppgifter. Den motsvarar i huvudsak 6 kap. 5 § LEK (se prop. 2002/03:110 s. 257 f. och 391 och prop. 2010/11:46 s. 37 f. och 75 f.). Paragrafen utformas en- ligt Lagrådets förslag. Övervägandena finns i avsnitt 18.1. Den nya definitionen av elektronisk kommunikationstjänst (se 1 kap. 7 §) innebär att paragrafen även ska tillämpas på nummeroberoende inter- personella kommunikationstjänster. Första stycket genomför artikel 6.1 i och rådets di- rektiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (e-dataskyddsdirektivet). I förordning (EU) 2021/1232 fastställs tillfälliga regler om undantag från skyddet för konfidentialitet vid kommunikation och trafikuppgifter som följer av artiklarna 5.1 och 6.1 i det direktivet. Som en följd av detta införs i andra stycket ett undantag från skyldigheterna i paragrafen i de fall upp- gifterna behövs för en sådan behandling som tillhandahållare av nummer- oberoende interpersonella kommunikationstjänster tillåts göra i enlighet med förordningen. 2 § Trafikuppgifter som krävs för abonnentfakturering och betalning av avgifter för samtrafik får behandlas till dess att fordran är betald eller preskription har inträtt och det inte längre lagligen går att göra invändningar mot faktureringen eller av- giften. Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst får, efter samtycke av den som uppgifterna rör, behandla de trafikuppgifter som avses i 1 § för att marknadsföra elektroniska kommunikationstjänster eller för att tillhandahålla andra tjänster där uppgifterna behövs. Behandling får ske endast i den utsträckning och som är nödvändig för marknadsföringen eller tjänsten. Ett samtycke får när som helst återkallas. Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska informera den som uppgiften rör om 1.vilken typ av trafikuppgifter som behandlas, och 2.hur länge uppgifterna behandlas för sådana ändamål som anges i första och andra styckena. I fråga om de ändamål som anges i andra stycket ska informationen enligt tredje stycket lämnas innan samtycke inhämtas. Paragrafen innehåller ytterligare bestämmelser om behandling av trafik- uppgifter. Den motsvarar i sak 6 kap. 6 § LEK (se prop. 2002/03:110 s. 257 f. och 391 f.). Övervägandena finns i avsnitt 18.1. Regeringen eller den myndighet som regeringen bestämmer får enligt 5 § meddela föreskrifter om vilka uppgifter som får behandlas enligt första och andra styckena. 3 § Behandling av trafikuppgifter enligt 1 och 2 §§ får utföras endast av den som har fått i uppdrag av någon som tillhandahåller ett allmänt elektroniskt kommuni- kationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst att sköta fakturering, trafikstyrning, kundförfrågningar, marknadsföring av elektroniska kommunikationstjänster eller tillhandahållande av andra tjänster där uppgifterna behövs. Behandlingen ska begränsas till vad som är nödvändigt för verksamheten. Paragrafen reglerar vilka personer som får ta befattning med uppgifterna enligt 1 och 2 §§. Den motsvarar i huvudsak 6 kap. 7 § LEK (se prop. 2002/03:110 s. 257 f. och 392). Övervägandena finns i avsnitt 18.1. Den nya definitionen av elektronisk kommunikationstjänst innebär att paragrafen även ska tillämpas på nummeroberoende interpersonella kom- munikationstjänster. 4 § De begränsningar för behandling av trafikuppgifter som följer av 1–3 §§ gäller inte 1.när en förvaltningsmyndighet eller en domstol behöver tillgång till sådana uppgifter som avses i 1 § för att lösa tvister, 2.för elektroniska meddelanden som omfattas av ett föreläggande enligt 27 kap. 16 § att bevara en viss lagrad uppgift, 3.för elektroniska meddelanden som omfattas av beslut om hemlig avlyssning av elektronisk kommunikation eller hemlig övervakning av elektronisk kommuni- kation, tekniskt bistånd med sådan avlyssning eller övervakning, inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kom- munikation i de brottsbekämpande myndigheternas underrättelseverksamhet, eller 4. i den utsträckning uppgifter som avses i 1 § är nödvändiga för att förhindra Prop. 2021/22:136 eller avslöja obehörig användning av ett elektroniskt kommunikationsnät eller en Paragrafen reglerar undantag från de begränsningar för behandling av trafikuppgifter som följer av 1–3 §§. Den motsvarar i sak 6 kap. 8 § LEK (se prop. 2002/03:110 s. 257 f. och 392, prop. 2011/12:55 s. 142 och prop. 2020/21:72 s. 30 f. och 72). Övervägandena finns i avsnitt 18.1 och 18.3. 5 § Regeringen eller den myndighet som regeringen bestämmer får meddela före- skrifter om vilka uppgifter som får behandlas enligt 2 § första och andra styckena. Paragrafen innehåller ett bemyndigande som anknyter till 2 §. Den mot- svarar i sak 6 kap. 24 § 1 LEK (se prop. 2002/03:110 s. 271 f. och 397). Övervägandena finns i avsnitt 18.1. 6 § Regeringen eller den myndighet som regeringen bestämmer får i fråga om behandling av uppgifter för elektronisk kommunikation meddela föreskrifter om de krav som ska ställas på en talkommunikationstjänst som medger 1.identifiering av det anropande eller uppkopplade telefonnumret, eller Paragrafen innehåller ett bemyndigande att meddela föreskrifter om krav för den som tillhandahåller bl.a. nummerpresentationstjänster. Den mot- svarar i huvudsak 6 kap. 24 § 2 LEK (se prop. 2002/03:110 s. 271 f. och 397). Övervägandena finns i avsnitt 18.1. Uttrycket talkommunikationstjänst ersätter det tidigare uttrycket allmänt tillgänglig telefonitjänst. Med stöd av bemyndigandet kan det t.ex. meddelas föreskrifter om åt- gärder för att motverka att nummerpresentationstjänster manipuleras så att det för mottagaren av ett samtal ser ut som att samtalet kommer från ett visst befintligt nummer, medan det nummer som visas är oriktigt eller fiktivt (s.k. spoofing). Bestämmelser om nummerpresentation och vidare- koppling finns i 13–16 §§. Lokaliseringsuppgifter som inte är trafikuppgifter 7 § Lokaliseringsuppgifter som inte är trafikuppgifter och som rör användare som är fysiska personer eller abonnenter får behandlas endast sedan de har avidentifierats eller användaren eller abonnenten har gett sitt samtycke till behandlingen. Behand- lingen får ske endast i den utsträckning och som krävs för tillhanda- hållandet av en tjänst där uppgifterna behövs. Innan samtycke lämnas ska den som tillhandahåller tjänsten informera om 1.vilken typ av uppgifter som kommer att behandlas, 2.behandlingens syfte och varaktighet, och 3.huruvida uppgifterna kommer att vidarebefordras. Ett samtycke får när som helst återkallas. Paragrafen reglerar hur behandling av lokaliseringsuppgifter som inte är trafikuppgifter får ske. Den motsvarar i sak 6 kap. 9 § första–tredje stycke- na LEK (se prop. 2002/03:110 s. 260 f. och 393). Övervägandena finns i avsnitt 18.1. 2021/22:136 8 § En användare eller en abonnent ska, trots att samtycke har lämnats, på ett enkelt och kostnadsfritt sätt i enskilda fall kunna motsätta sig sådan behandling av uppgifter som avses i 7 § och som sker vid uppkoppling eller överföring av ett elektroniskt meddelande. Paragrafen reglerar möjligheten att motsätta sig behandling av uppgifter i vissa fall. Den motsvarar i sak 6 kap. 9 § fjärde stycket LEK (se prop. 2002/03:110 s. 260 f. och 393). Övervägandena finns i avsnitt 18.1.