1 
Svensk författningssamling  
Lag 
om Säkerhetspolisens behandling av personuppgifter  
Utfärdad den 28 november 2019  
Enligt riksdagens beslut1 föreskrivs följande.  
1 kap. Allmänna  bestämmelser  
Syftet med lagen  
1 §    Syftet med lagen  är att skydda fysiska personers grundläggande rättig -
heter  och friheter  i samband med behandling av personuppgifter och att 
säker ställa att Säkerhetspolisen kan behandla och utbyta personuppgifter på 
ett ändamålsenligt sätt.  
Lagens tillämpningsområde  
2 §    Denna lag gäller vid behandling av personuppgifter som rör natio nell 
säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verk samhet.  
Lagen gäller vi d Polismyndighetens behandling av personuppgifter när 
myndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från 
Säkerhetspolisen.  
3 §    Lagen gäller vid  sådan behandling av personuppgifter som är helt eller 
delvis automatiserad och för a nnan behandling av personuppgifter som ingår 
i eller är avsedda att ingå i en strukturerad samling av person uppgifter som 
är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.  
Avvikande bestämmelser i annan författning  
4 §    Om en  annan lag eller en förordning innehåller någon bestämmelse 
som avviker från denna lag, tillämpas den bestämmelsen.  
Definitioner  
5 §    I denna lag används följande uttryck med nedan angiven betydelse.  
Uttryck  Betydelse  
Behandling av personuppgifter  En åtgärd eller kombination av åtgärder som 
vidtas i fråga om personuppgifter eller upp -
sättningar av personuppgifter, oavsett om det 
görs automatiserat eller inte, t.ex. insamling, 
registrering, organisering, strukturering, 
lagring, be arbetning eller ändr ing, fram tag-
ning, läs ning, användning, utlämnande, sprid -
ning eller till handa hållande på annat sätt, 
1 Prop. 2018/19:163, bet. 2019/20:JuU9, rskr. 2019/20:44.  SFS 2019:1182
Publicerad  
den 3 december 2019
 
 SFS 
2 justering, sam manföring, begränsning, 
radering eller förstöring.  
Biometriska uppgifter  Personuppgifter som rör en persons fysiska, 
fysiologiska eller beteendemässiga känne -
tecken, som tagits fram genom särskild 
teknisk behandling och som möjliggör eller 
bekräftar unik identifiering av personen.  
Dataskyddsombud  Den fysiska person som utses av den person -
uppgiftsansvarige för att självständigt kon -
trollera att personuppgifter behandlas för fatt-
ningsenligt och på ett korrekt sätt enligt vad 
som närmare anges i lagen.  
Genetiska uppgifter  Personuppgifter som rör en persons nedärvda 
eller förvärvade genetiska kännetecken och 
som härrör från analys av  ett spår av eller ett 
prov från personen.  
Internationell organisation  En organisation och dess underställda organ 
som lyder under folkrätten eller ett annat 
organ som inrättats genom eller på grundval 
av en överenskommelse mellan två eller flera 
stater.  
Mottagare  Den till vilken personuppgifter lämnas ut, 
med undantag av en myndighet som med stöd 
av författning utövar tillsyn, kontroll eller 
revision.  
Personuppgift  Varje upplysning om en identifierad eller 
identifierbar fysisk person som är i livet.  
Personuppgiftsansvarig  Den som ensam eller tillsammans med andra 
bestämmer ändamålen med och medlen för 
behandlingen av personuppgifter.  
Personuppgiftsbiträde  Den som behandlar personuppgifter för den 
personuppgiftsansvariges räkning.  
Registrerad  Den fysiska person som personuppgiften 
gäller.  
Tredjeland  En stat som inte är medlem i Europeiska 
unionen eller Europeiska ekonomiska sam -
arbetsområdet och som inte heller på grund av 
avtal med Europeiska unionen har en mot -
svarande ställning.  
Tredje man  Någon annan än den registrerade, den person -
uppgiftsansvarige, dataskyddsombudet, 
person uppgiftsbiträdet och sådana personer 
som under den personuppgiftsansvariges eller 
personuppgiftsbiträdets direkta ansvar har rätt 
att behandla personuppgifter.  
Uppgift s om rör hälsa  Personuppgift som rör en persons fysiska 
eller psykiska hälsa, inklusive information om 
tillhandahållande av hälso - och sjukvårds -
tjänster som ger upplysning om personens 
hälso status.  
Personuppgiftsansvar  
6 §    Säkerhetspolisen respektive P olismyndigheten är personuppgifts ansvarig  
för den behandling av personuppgifter som myndigheten utför.  
Den personuppgiftsansvarige är ansvarig för all behandling av person -
uppgifter som utförs under dennes ledning eller på dennes vägnar.  
2019:1185
 
 SFS 
3 Behandling av uppgifter om juridiska personer  
7 §    Bestämmelserna om personuppgifter i följande paragrafer gäller också 
vid behandling av uppgifter om juridiska personer:  
1. 6 § om personuppgiftsansvar,  
2. 2 kap. 1 och 2  §§ om rättsliga grunder för behandling av person uppgifter,  
3. 3 kap. 2 och 3  §§ om gemensamt tillgängliga uppgifter,  
4. 4 kap. 1–4 och 6–10 §§ om längsta tid som personuppgifter får be handlas,  
och  
5. 5 kap. 5  § om tillgången till personuppgifter.  
2 kap. Behandling av personuppgifter  
Grundläggan de krav på behandlingen  
Rättsliga grunder  
1 §    Personuppgifter får behandlas om det är nödvändigt för att  
1. förebygga, förhindra eller upptäcka brottslig verksamhet som inne fattar  
a) brott mot Sveriges säkerhet,  
b) terrorbrott, eller  
c) tryckfrihetsbr ott och yttrandefrihetsbrott med rasistiska eller främlings -
fientliga motiv,  
2. utreda eller lagföra sådana brott som avses i 1, eller, efter särskilt beslut, 
annat brott,  
3. fullgöra uppgifter  
a) i samband med personskydd av den centrala statsledningen oc h andra 
som regeringen eller Säkerhetspolisen bestämmer,  
b) enligt säkerhetsskyddslagen (2018:585), eller  
c) enligt utlännings - och medborgarskapslagstiftningen,  
4. fullgöra någon annan uppgift som rör nationell säkerhet och som anges 
i lag eller förordnin g eller särskilt beslut av regeringen, eller  
5. fullgöra förpliktelser som följer av internationella åtaganden.  
 
2 §    Utöver vad som sägs i 1  § får personuppgifter behandlas om  
1. det är nödvändigt för diarieföring, eller  
2. uppgifterna har lämnats till Säkerhetspolisen i en anmälan, ansökan 
eller liknande och behandlingen är nödvändig för handläggningen.  
Ändamål  
3 §    Personuppgifter får behandlas bara för särskilda, uttryckligt an givna 
och berättigade ändamål . De får inte behandlas för något ändamål s om är 
oförenligt med det ändamål de ursprung ligen behandlades  för. 
 
4 §    Personuppgifter som behandlas med stöd av 1  § får även behandlas om 
det är nödvändigt för att tillhandahålla information som behövs  
1. för något av de syften som anges i 1  kap. 2  § brottsdatalagen (2018:1177) 
hos Polismyndigheten, Ekobrottsmyndigheten, Åklagar myndig heten, Tull -
verket, Kustbevakningen eller Skatteverket,  
2. i en myndighets verksamhet, om informationen tillhandahålls i nom 
ramen för myndighetsöverskridande samverkan mot brott,  
3. i Försvarsmaktens försvarsunderrättelseverksamhet och militära säker -
hetstjänst och i Försvarets radioanstalts försvarsunderrättelseverk samhet, 
om det finns särskilda skäl att tillhandahålla i nformationen,  
4. i en myndighets verksamhet om Säkerhetspolisen enligt lag eller för -
ordning ska bistå myndigheten med en viss uppgift,  
2019:1185
 
 SFS 
4 5. i brottsbekämpande verksamhet hos en utländsk myndighet eller mellan -
folklig organisation, eller  
6. i verksamhet hos utländsk underrättelse - eller säkerhetstjänst.  
Personuppgifter som behandlas med stöd av 1  § får även behandlas om 
det är nödvändigt för att tillhandahålla information till riksdagen eller reger -
ingen och, i den utsträckning skyldighet att lämna uppgifter följer av lag 
eller förordning, till andra.  
I ett enskilt fall får personuppgifter som behandlas med stöd av 1  § även 
behandlas för att tillhandahålla information för något annat ändamål än de 
som anges i första och andra styckena, under förutsättning att ända målet inte 
är oförenligt med det ändamål som uppgifterna samlades in för.  
 
5 §    Säkerhetspolisen får behandla personuppgifter för vetenskapliga, statis -
tiska eller historiska ändamål inom denna lags tillämpningsområde.  
Författningsenlig och korrekt behandling  
6 §    Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt.  
Personuppgifternas kvalitet  
7 §    Personuppgifter som behandlas ska vara korrekta och, om det är nöd -
vändigt, uppdaterade.  
Uppgifter som beskriver en persons utsee nde ska utformas på ett objektivt 
sätt med respekt för människovärdet.  
 
8 §    Personuppgifter som behandlas ska vara adekvata och relevanta i för -
hållande till ändamålen med behandlingen. Fler personuppgifter får inte be -
handlas än vad som är nödvändigt m ed hänsyn till ändamålen med behand -
lingen.  
Känsliga personuppgifter  
9 §    Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, 
religiös eller filosofisk över tygelse eller medlemskap i fack förening eller 
som rör hälsa, sexualliv eller se xuell läggning får inte behandlas.  
Om uppgifter om en person behandlas får de dock kompletteras med så -
dana uppgifter som anges i första stycket om det är absolut nödvändigt för 
ända målet med behandlingen.  
 
10 §    Säkerhetspolisen får behandla biometriska uppgifter om det är absolut  
nödvändigt för ändamålet med behandlingen. Genetiska upp gifter får inte 
behandlas.  
 
11 §    Personuppgifter som avses i 9 och 10  §§ (känsliga personuppgif ter) 
får alltid behandlas med stöd av 2  §. 
 
12 §    Det är förbjudet att utföra sökning ar i syfte att få fram ett urval av 
personer  grundat på känsliga personuppgifter.  
Första stycket hindrar inte att brottsrubriceringar, uppgifter om till väga -
gångs sätt vid brott eller uppgifter som beskriver en persons utseende  används 
som sökbegrepp . 
Första stycket hindrar inte heller sökning ar i syfte att få fram ett urval av 
personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk  
övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läg gning, 
om sökningen är absolut nödvändig för något av de syften som anges i 1  §. 
2019:1185
 
 SFS 
5 Rättelse, uppdatering och radering  
13 §    Alla rimliga åtgärder ska vidtas för att personuppgifter som med hän -
syn till ändamålet med behandlingen är felaktiga eller ofullst ändiga utan 
onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut 
eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om 
det är nödvändigt.  
 
14 §    Alla rimliga åtgärder ska vidtas för att personuppgifter som b ehand -
las i strid med någon av 1 –6, 8–10 eller 12 §§, 4 kap. 1 § första stycket eller 
någon av 2 –4 eller 7–10 §§ utan onödigt dröjsmål raderas och för att för -
hindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma 
gäller om rader ing kräv s för att utföra en rättslig förpliktelse.  
Om förutsättningarna i första s tycket för att radera personupp gifter är upp -
fyllda men uppgifterna  behöver finnas kvar av bevisskäl , ska behand lingen 
av uppgifterna i  stället utan onödigt dröjsmål begränsa s. 
Utlämnande av personuppgifter  
15 §    Personuppgifter som är nödvändiga för att framställa rättsstatistik ska 
lämnas till den myndighet som ansvarar för att framställa sådan sta tistik.  
 
16 §    Om det är förenligt med s venska intressen får personupp gifter  lämnas 
ut till  
1. Interpol eller Europol, eller ti ll en polismyndighet eller åkla garmyndig -
het i en stat som är ansluten till Interpol, om det behövs för att mottagaren 
ska kunna förebygga, för hindra  eller upptäcka  brottslig verksamhet eller  ut-
reda eller  lagföra brott, eller  
2. en utländsk underrättelse - eller säkerhetstjänst.  
Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellan -
folklig organisation, om utlämnandet följer av en internationell överens -
kommelse som Sverige har tilltr ätt efter riksdagens godkännande.  
 
17 §    Polismyndigheten har, trots sekretess enligt 21  kap. 3  § första stycket, 
35 kap. 1  § och 37  kap. 1  § offentlighets - och sekretesslagen (2009:400), rätt 
att ta del av personuppgifter som har gjorts gemensamt tillgä ngliga och som 
behandlas med stöd av 1  § 1–3 a och c, om myndig heten behöver upp gifterna  
för ett syfte som anges i 2  kap. 1  § 1 eller 2 lagen (2018:1693) om polisens 
behandling av personuppgifter inom brottsdata lagens område eller för att full -
göra uppgifter enligt utlänningslagen (2005:716) eller lagen (1991:572) om 
särskild utlänningskontroll.  
 
18 §    Försvarsmakten har, trots sekretess enligt 21  kap. 3  § första stycket, 
35 kap. 1  § och 37  kap. 1  § offentlighets - och sekretesslagen (2009:400), rät t 
att ta del av personuppgifter som har gjorts gemensamt tillgängliga och som 
behandlas med stöd av 1  § 1 eller 2, om myndigheten behöver uppgifterna i 
sin försvarsunderrättelseverksam het eller militära säkerhetstjänst. Det samma  
gäller Försvarets radioan stalt, om myndigheten behöver uppgifterna i sin 
försvarsunderrättelse verksamhet.  
 
19 §    Personuppgifter får lämnas ut elektroniskt på annat sätt än genom 
direkt åtkomst om det inte är olämpligt.  
Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den ut sträck -
ning som anges i 3 kap. 5 –7 §§.  
2019:1185
 
 SFS 
6 Personuppgifter från transportföretag  
20 §    Personuppgifter som tillhandahålls av transportföretag enligt 25  § 
polislagen (1984:387) får behandlas för  att utföra en uppgift som anges i 1 §. 
Personuppgifter som avses i för sta stycket får endast i ett en skilt fall be -
handlas för nya ändamål.  
 
21 §    Vid terminalåtkomst enligt 26  § polislagen (1984:387) får person -
uppgifterna inte ändras eller bearbetas  på annat sätt.  
Rätt att meddela föreskrifter  
22 §    Regeringen kan med stöd av 8  kap. 7  § regeringsformen meddela 
föreskrifter om  
1. att personuppgifter får lämnas ut i andra fall än som anges i 15 –18 §§, 
och 
2. begränsning av möjligheten att lämna ut personuppgifter elektroniskt 
enlig t 19 § första stycket.  
3 kap. Gemensamt tillgängliga uppgifter  
Allmän bestämmelse  
1 §    Detta kapitel innehåller särskilda bestämmelser för behandling av person -
uppgifter som görs eller har gjorts gemensamt till gängliga  med stöd av 2  §. 
Uppgifter som enda st ett fåtal personer har rätt att ta del av anses inte som 
gemensamt tillgängliga.  
Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2  kap. 2  §. 
Personuppgifter som får göras gemensamt tillgängliga  
2 §    Personuppgifter får göras gemens amt tillgängliga om det behövs för 
att utföra någon av de uppgifter som anges i 2  kap. 1  §. 
Särskilda upplysningar  
3 §    Om det ändamål som de gemensamt tillgängliga personuppgifterna be -
handlas för inte framgår av sammanhanget eller på något annat sätt, ska det 
tydliggöras genom en särskild upplysning.  
 
4 §    Om uppgifter som har gjorts  gemensamt tillgängliga direkt  kan hän -
föras till en person som inte är misstänkt för  brott eller för  att ha utövat eller 
komma att utöva brottslig verksamhet som avses i 2 kap. 1  § 1 eller 2 , ska det  
genom en särskild upplysning eller på något annat sätt framgå att personen 
inte är misstänkt . 
Uppgifter om en person som kan antas ha direkt samband med sådan 
brotts lig verksamhet som avses i 2  kap. 1  § 1 ska förses med en upplysning 
om uppgiftslämnarens trovärdighet och upp gifternas riktighet i sak , om det 
inte på grund av omständigheterna är onödigt.   
Någon upplysning enligt andra stycket behöver inte heller läm nas om  
1. uppgifterna ingår i en uppgiftssamling som har skap ats för att be arbeta 
och analysera information och som enbart särskilt angivna tjänste män har 
åtkomst till , och 
2. bearbetningen av uppgifterna inte har genomförts.  
2019:1185
 
 SFS 
7 Direktåtkomst  
5 §    Polismyndigheten får för något av de syften som anges i 2  kap. 1  § 
1 eller 2 lagen (2018:1693) om polisens behandling av personuppgifter inom 
brotts datalagens område eller för att fullgöra uppgifter enligt utlännings -
lagen (2005:716) eller lagen (1991:572) om särskild utlänningskontroll med -
ges direkt åtkomst till person uppgifter som behandlas med stöd av 2  kap. 1  § 
1–3 a och c. Direktåtkomsten får endast avse personuppgifter som har gjorts 
gemen samt tillgängliga.  
 
6 §    Försvarsmakten får i försvarsunderrättelseverksamheten och den mili -
tära säkerhetstjänsten medges di rektåtkomst till personuppgifter som be -
handlas med stöd av 2  kap. 1  § 1 eller 2. Detsamma gäl ler Försvarets radio -
anstalt i försvarsunderrättelseverksamheten. Direktåt komsten får endast avse  
personuppgifter som har gjorts gemensamt till gängliga.  
 
7 §    En underrättelse - eller säkerhetstjänst i en medlemsstat i Europeiska 
unionen eller Europeiska ekonomiska samarbetsområdet får medges direkt -
åtkomst till personuppgifter som behandlas med stöd av 2  kap. 1  § 1 b om 
det behövs för samarbetet mot terrorism . Direktåt komsten får endast avse 
personuppgifter som har gjorts gemens amt till gängliga.  
Innan direktåtkomst medges en utländsk underrättelse - eller säkerhets -
tjänst ska Säkerhetspolisen informera  regeringen.  
Rätt att meddela föreskrifter  
8 §    Regeringen eller den myndighet som regeringen bestämmer kan med 
stöd av 8  kap. 7  § regeringsformen meddela föreskrifter om omfatt ningen av 
direktåtkomst enligt 5 –7 §§ och om behörighet och säkerhet vid sådan åt -
komst.  
4 kap. Längsta tid som personuppgifte r får behandlas  
Allmän bestämmelse  
1 §    Personuppgifter får inte behandlas under längre tid än vad som är nöd -
vändigt med hänsyn till ändamålet med behandlingen.  
Bestämmelsen  i första stycket hindrar inte att Säkerhetspolisen arkive rar 
och bevarar allmä nna handlingar eller att arkivmaterial lämnas till en arkiv -
myndighet.  
Vid automatiserad behandling gäller också de begränsningar som följer 
av 2–10 §§. 
Personuppgifter som inte har gjorts gemensamt tillgängliga  
2 §    Personuppgifter som inte har gjorts g emensamt tillgängliga får inte be -
handlas längre än  
1. ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller  
2. ett år efter det att de behandlades automatiserat första gången, om de 
inte kan hänföras till ett ärende.  
Bestämmelsen i 1 § andra stycket gäller inte vid tillämpningen av denna 
paragraf.  
Första stycket gäller inte personuppgifter i ärenden om utredning av eller 
lagföring för brott.  
2019:1185
 
 SFS 
8 Gemensamt tillgängliga uppgifter i ärenden om utredning av eller 
lagföring för brott  
3 §    Om en brottsanmälan avskrivs på grund av att den påstådda gär ningen 
inte utgör brott, får personuppgifter som finns i anmälan och som har gjorts 
gemensamt tillgängliga inte längre behandlas för ändamål inom denna lags 
tillämpningsområde. Om en brottsanmäla n i annat fall inte har lett till för -
undersökning eller annan motsvarande utredning, får personuppgifter som 
har gjorts gemensamt tillgängliga inte behandlas för ändamål inom denna 
lags tillämpningsområde när åtal inte längre får väckas för brottet.  
 
4 §    Om en förundersökning har lett  till åtal eller annan domstols prövning, 
får personuppgifter som finns i förundersökningen och som har gjorts gemen -
samt tillgängliga inte behand las för ändamål inom denna lags tillämpnings -
område längre än fem år efter utgången av det kalenderår då dom stolens 
avgörande fick laga kraft.  
Om en förundersökning har lagts ner eller avslutats på annat sätt än genom 
åtal, får personuppgifter  i förundersökningen inte behandlas för ändamål 
inom denna lags tillämpningsområde län gre än fem år efter utgången av det 
kalenderår då åklagarens eller för undersökningsledarens beslut meddelades.  
Första och andra styckena gäller även personuppgifter i andra utred ningar 
som handläggs enligt bestämmelser i 23  kap. rätte gångsbalken.  
 
5 §    Om en förundersökning mot en person har lagts ner, om ett åtal har 
lagts ner eller om en frikännande dom har fått laga kraft, får personen inte 
längre vara sökbar som misstänkt.  
Övriga gemensamt tillgängliga uppgifter  
6 §    Andra personuppgifter än de som  anges i 3 eller 4  § och som har gjorts 
gemensamt tillgängliga får som längst behandlas under den tid som anges i 
7–10 §§. 
Bestämmelsen i 1  § andra stycket gäller inte vid tillämpningen av 7 –10 §§. 
 
7 §    Personuppgifter får inte behandlas längre än tio år efter utgången av 
det kalenderår då den senaste registreringen gjordes avseende personen.  
Uppgifter om en person som vid tiden för registreringen inte fyllt 18 år 
får dock inte behandlas längre än fem år efter utgången av det kalenderår då 
den senaste registreringen gjordes avseende den unge . Om en ny registrering  
avseende personen görs  efter det att han eller hon fyllt 18 år , gäller i  stället 
den tidsfrist som anges i första stycket för samtliga personupp gifter.  
Första och andra styckena gäller inte sådana personuppgifter som avses i 
8 och 9  §§. 
 
8 §    Personuppgifter som behandlas i en sådan uppgiftssamling som anges 
i 3 kap. 4  § tredje stycket får inte behandlas längre än tre år efter utgången 
av det ka lenderår då den senaste registreringen gjordes av seende personen.  
 
9 §    Personuppgifter som hänför sig till sådan säkerhetshotande verk sam-
het som avses i 18 och 19  kap. brottsbalken och som utövas av främman de 
makt, får inte behandlas längre än 40  år efter utgången av det kalenderår då 
den senaste registreringen gjordes avseende personens anknyt ning till brott 
eller brottslig verksamhet. För personuppgifter som be handlas i en sådan 
uppgifts samling som anges i 3 kap. 4 § tredje stycket gäller 8  §. 
 
2019:1185
SFS 
9 10 §    Om det finns särskilda skäl får Säkerhetspolisen besluta att person -
uppgifter får behandlas under längre tid än vad som anges i 7 –9 §§, om upp -
gifterna fortfarande behövs för det ändamål som de behandlas för. Om 
person uppgifter behandlas med stöd av ett sådant beslut ska frågan om fort -
satt behandling prövas på nytt senast vid utgången av det tionde kalender året 
efter beslutet eller, om det är fråga om uppgifter som avses i 8  §, senast vid  
utgången av det tredje kalenderåret efter beslutet. Tiden som person uppgif terna  
får behandlas får vid varje tillfälle för längas med längst tio år eller, om det 
är fråga om uppgifter som avses i 8  §, med längst tre år.  
Rätt att meddela föreskrifter  
11 §    Regeringen kan med stöd av 8  kap. 7  § regeringsformen meddela före -
skrifter om att vissa kategorier av personuppgifter får fortsätta att be handlas 
för ändamål inom denna lags tillämpningsområde under längre tid än vad 
som anges i 3 och 4  §§. 
12 §    Regeringen eller den myndighet som regeringen bestämmer ka n med 
stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om  
1.att personuppgifter får behandlas för arkivändamål av allmänt intres se
eller vetenskapliga, statistiska eller historiska ändamål under längre tid än 
vad som anges i 2  § första stycket ell er någon av 7 –10 §§, och  
2.begränsning av behandlingen av personuppgifter för ändamål inom denna
lags tillämpningsområde vid digital arkivering.  
5 kap. Skyldigheter som personuppgiftsansvarig  
Åtgärder för att säkerställa författningsenlig behandling  
Tekni ska och organisatoriska åtgärder  
1 §    Säkerhetspolisen ska, genom lämpliga tekniska och organisatoriska åt -
gärder, säkerställa och kunna visa att behandlingen av personuppgifter är 
författnings enlig och att registrerades rättigheter skyddas.  
2 §    Säkerhetspolisen ska när medlen för behandlingen bestäms och vid be -
handlingen, genom lämpliga tekniska och organisatoriska åtgärder, se till att 
nödvändiga skyddsåtgärder integreras i behandlingen (inbyggt data skydd).  
3 §    Säkerhetspolisen ska se till a tt det i automatiserade behandlings system 
som regel inte är möjligt att behandla andra personuppgifter än de som är 
nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd 
som standard).  
4 §    Säkerhetspolisen ska säkerställa att det i automatiserade behandlings -
system förs loggar över personuppgiftsbehandling i den utsträckning det är 
särskilt föreskrivet.  
Tillgången till personuppgifter  
5 §    Säkerhetspolisen ska se till att tillgången till personuppgifter be gränsas 
till vad var och en behöver för att kunna fullgöra sina arbetsupp gifter.  
Konsekvensbedömning och förhandssamråd  
6 §    Om en ny typ av behandling, eller betydande förändringar av  redan 
pågående behandling, kan antas medföra särskild risk för intrång i den regi-
2019:1185
SFS 
10 strerades personliga integritet, ska Säkerhetspolisen innan behand lingen på -
börjas eller förändringen genomförs bedöma konsekvenserna för skyddet av 
personuppgifter.  
Om konsekvensbedömningen visar att de t finns särskild risk för intrång i 
registrerades personliga integritet eller om typen av be handling innebär sär -
skild risk för intrång, ska Säkerhetspolisen samråda med tillsynsmyndig -
heten i god tid innan behandlingen på börjas eller betydande förändringa r 
genom förs (förhandssamråd) . 
Säkerhetsåtgärder  
7 §    Säkerhetspolisen ska vidta lämpliga tekniska och organisatoriska åt gärder 
för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller 
otillåten behandling och mot förlust, förstöring  eller annan oavsiktlig skada.  
Samarbete med tillsynsmyndigheten  
8 §    Säkerhetspolisen ska samarbeta med tillsynsmyndigheten när den ut -
för uppgifter enligt denna lag och föreskrifter som har meddelats i anslutning 
till lagen.  
Dataskyddsombud  
9 §    Säke rhetspolisen ska inom myndigheten utse ett eller flera data skydds -
ombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och 
entledigas.  
10 §    Dataskyddsombud ska  
1.självständigt kontrollera att Säkerhetspolisen behandlar personuppgifter
författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldig -
heter,  
2.informera och ge råd till Säkerhetspolisen och de som behandlar person -
uppgifter under myndighetens ledning om deras skyldigheter vid be handling 
av personuppgifter,  
3.på begäran ge Säkerhetspol isen råd vid en konsekvensbedöm ning och
kontrollera att den genomförs på korrekt sätt,  
4.vara kontaktpunkt för enskilda i frågor som rör behandling av person -
uppgifter, och  
5.samarbeta med tillsynsmyndigheten och vara kontaktpun kt för den vid
förhandssamråd och andra frågor som rör behandling av personuppgifter.  
Personuppgiftsbiträden  
11 §    Säkerhetspolisen får, om det är lämpligt, anlita personuppgifts biträden  
för behandling av personuppgifter på myndighetens vägnar. Innan et t person -
uppgiftsbiträde anlitas ska Säkerhetspolisen försäkra sig om att biträdet 
kommer att vidta de lämpliga tekniska och organisatoriska åtgär der som krävs  
för att behandlingen av personuppgifter ska vara författ ningsenlig och för 
att skydda registre rades rättigheter.  
Personuppgiftsbiträdets behandling av personuppgifter ska regleras i  ett 
skriftligt a vtal eller annan skriftlig över enskommelse.  
12 §    Ett personuppgiftsbiträde får inte anlita ett annat personuppgifts biträde  
utan skriftligt tillstån d från Säkerhetspolisen.  
2019:1185
SFS 
11 13 §    Ett personuppgiftsbiträde och de som arbetar under bit rädets led ning 
ska behandla personuppgifter i enlighet med in struktioner från Säkerhets -
polisen.  
Om ett personuppgiftsbiträde bestämmer  ända målen med och medlen för 
behandlingen, ska biträdet anses vara personuppgiftsansvarig för den behand -
lingen.  
14 §    Det som sägs om Säkerhetspolisens skyldigheter i 4, 5, 7 och 8  §§ 
gäller även för personuppgiftsbiträden.  
6 kap. Enskildas rättigheter  
Rätten till information  
Allmän  information  
1 §    Säkerhetspolisen ska göra följande allmänna information tillgänglig för 
den registrerade:  
1.myndighetens identitet och kontaktuppgifter,
2.dataskyddsombudets kontaktuppgifter,
3.kategorier av ändamål för behandlingen,
4.rätten enlig t 2 § att begära att få information om behandling av person -
uppgifter och att få del av uppgifterna, och  
5.rätten att begära rättelse, radering eller begränsning av behandlingen
enligt 6 och 7  §§. 
Personrelaterad information  
2 §    Säkerhetspolisen ska t ill den som begär det utan onödigt dröjsmål lämna  
skriftligt besked om huruvida personuppgifter som rör honom eller henne 
behandlas. Om sådana uppgifter behandlas, ska sökanden få del av dem och 
få följande skriftliga information:  
1.vilka personuppgifter om sökanden som behandlas,
2.varifrån personuppgifterna kommer,
3.den rättsliga grunden för behandlingen,
4.ändamålen med behandlingen,
5.mottagare eller kategorier av mottagare av personuppgifterna, även i
tredje land eller internationella organisatio ner, 
6.hur länge personuppgifterna får behandlas eller, om det inte är möj ligt
att ange, kriterierna för att fastställa det, och  
7.rätten att begära rättelse, radering eller begränsning av behandlingen
enligt 6 och 7  §§. 
Utlämnande av personuppgifter en ligt första stycket behöver inte om fatta 
sådana personuppgifter som sökanden har tagit del av, om inte han eller hon 
begär det. Det ska dock framgå av informationen att personupp gifterna i 
fråga behandlas.  
Begränsning av rätten till information  
3 §    Informationsskyldigheten i 2  § gäller inte i den utsträckning det är sär -
skilt föreskrivet i lag eller annan författning eller annars framgår av beslut 
som har meddelats med stöd av författning att uppgifter inte får lämnas ut 
till den registrerade.  
Om förut sättningarna i första stycket är uppfyllda, är Säkerhetspolisen inte 
skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga 
om rättelse, radering eller begränsning av behandlingen enligt 6  eller 7  §. 
2019:1185
 
 SFS 
12 4 §    Informationsskyldigheten i 2  § gäller inte personuppgifter i löpande 
text som inte fått sin slutliga utformning när begäran gjordes eller som utgör 
minnes anteckning eller liknande.  
Informationsskyldigheten gäller dock om uppgifterna  
1. har lämnats ut  till tredje man, med undantag för en myndighet som med 
stöd av författning utövar tillsyn, kontroll eller revision,  
2. behandlas enbart för vetenskapliga, statistiska eller historiska ända mål, 
eller  
3. har behandlats under längre tid än ett år i löpande  text som inte har fått 
sin slutliga utformning.  
 
5 §    Om en begäran enligt 2  § är orimlig eller uppenbart ogrundad får Säker -
hetspolisen avslå den.  
Av 9  § andra stycket framgår att Säkerhetspolisen i vissa fall får ta ut av -
gift i  stället för att avslå  begäran.  
Rätten till rättelse, radering och begränsning av behandlingen  
6 §    Säkerhetspolisen ska på begäran av den registrerade utan onödigt dröjs -
mål rätta eller komplettera personuppgifter som rör honom eller henne, om de 
är felaktiga eller ofullstän diga med hänsyn till ändamålet med behand lingen.  
Om Säkerhetspolisen inte kan fastställa att personuppgifterna är korrekta, 
ska behandlingen av uppgifterna i stället utan onödigt dröjsmål begränsas.  
 
7 §    Säkerhetspolisen ska på begäran av den registrer ade utan onödigt dröjs -
mål radera personuppgifter som rör honom eller henne , om de behandlas i 
strid med  någon av  2 kap. 1–6, 8–10 eller 12  §§, 4 kap. 1  § första stycket 
eller någon av 2 –4 eller 7–10 §§. Detsamma gäller om det krävs radering för 
att Säkerh etspolisen ska utföra en rättslig förpliktelse.  
Om förutsättningarna i första stycket för att rad era personupp gifter är upp -
fyllda men uppgifterna  behöver finnas kvar av bevis skäl, ska Säkerhets -
polisen på begäran av den registrerade i  stället utan onödigt  dröjsmål be -
gränsa behandlingen av uppgifterna.  
 
8 §    Säkerhetspolisen avgör vilken åtgärd som ska vidtas med anledning av 
en begäran om rättelse, radering eller begränsning av behandlingen.  
Avgiftsfri information  
9 §    Information enligt 1  § ska lämnas utan avgift. Information och upp -
gifter enligt 2  § ska lämnas utan avgift en gång per år.  
Om någon begär information och uppgifter enligt 2  § oftare än en gång 
per år, får Säkerhetspolisen ta ut en rimlig avgift eller avslå begäran en ligt 
5 § först a stycket.  
7 kap. Tillsyn  
Tillsynsmyndighetens uppgifter  
1 §    Tillsynsmyndigheten ska  
1. utöva allmän tillsyn över personuppgiftsbehandling, och  
2. vid förhandssamråd enligt 5  kap. 6  § och när det i  övrigt är påkallat ge 
råd och stöd till Säkerhetspolise n och personuppgiftsbiträden om deras 
skyldigheter enligt lag eller annan författning.  
 
2019:1185
SFS 
13 2 §    Bestämmelser om tillsyn över Säkerhetspolisens behandling av person -
uppgifter finns även i lagen (2007:980) om tillsyn över viss brottsbekämpande 
verksamhet.  
Tillsynsmyndighetens befogenheter  
Undersökningsbefogenheter  
3 §    Tillsynsmyndigheten har rätt att av Säkerhetspolisen och person uppgifts -
biträdet på begäran få  
1.tillgång till alla personuppgifter som behandlas,
2.upplysningar om och dokumentation av behandlingen av person uppgifter
och säkerhets - och skyddsåtgärder,  
3.tillträde till lokaler som Säkerhetspolisen eller personuppgiftsbiträdet
disponerar samt tillgång till utrustning och andra medel för behandling av 
personuppgifter, och  
4.den hjälp och  den information som behövs för tillsynen.
Förebyggande befogenheter  
4 §    Om tillsynsmyndigheten bedömer att det finns risk för att person uppgifter  
kan komma att behandlas i strid med lag eller annan författ ning, ska myndig -
heten genom råd, rekommendat ioner eller påpekanden försöka förmå Säker -
hetspolisen eller personuppgiftsbiträdet att vidta åt gärder för att motverka 
den risken.  
Tillsynsmyndigheten får utfärda en skriftlig varning för att planerad be -
hand ling av personuppgifter riskerar att stå i s trid med lag eller annan för -
fattning. Detsamma gäller om pågående behandling riskerar att stå i strid 
med lag eller annan författning.  
Korrigerande befogenheter  
5 §    Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i 
strid med lag eller  annan författning eller att Säkerhetspolisen eller person -
uppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter, får till -
synsmyndigheten  
1.genom sådana åtgärder som anges i 4  § första stycket försöka förmå
Säkerhetspolisen eller personupp giftsbiträdet att vidta åtgärder för att be -
handlingen ska bli författningsenlig, eller att uppfylla andra skyldigheter,  
2.förelägga Säkerhetspolisen eller personuppgiftsbiträdet att vidta åt -
gärder för att behandlingen ska bli författningsenlig eller att  uppfylla andra 
skyldigheter, eller  
3.förbjuda fortsatt behandling om bristen är allvarlig.
Om ett föreläggande utfärdas ska det av föreläggandet framgå när åt -
gärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgär der 
som ska vidtas.  
Verkställighet av beslut  
6 §    Tillsynsmyndighetens beslut får inte verkställas omedelbart.  
2019:1185
SFS 
14 8 kap. Skadestånd och överklagande  
Skadestånd  
1 §    Den personuppgiftsansvarige ska ersätta den registrerade för den skada 
och kränkning av den personliga integrit eten som orsakats av behandling av 
personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i 
anslutning till den.  
Överklagande  
Överklagande av den personuppgiftsansvariges beslut  
2 §    Beslut i fråga om rättelse eller komplettering enl igt 6  kap. 6  § första 
stycket, radering enligt 6  kap. 7  § första stycket , eller begränsning  av be -
hand lingen enligt 6  kap. 6  § andra stycket eller 6  kap. 7  § andra stycket, som 
har meddelats av den personuppgiftsansvarig e, får överklagas till allmän 
förvaltningsdomstol. Detsamma gälle r beslut att inte lämna informa tion 
enligt 6  kap. 2  § eller att ta ut avgift enligt 6  kap. 9  § andra stycket.  
Prövningstillstånd krävs vid överklagande till kammarrätten.  
Överklagande av tillsynsmyndighetens beslut  
3 §    Tillsynsmyndighetens beslut enl igt denna lag får överklagas till allmän 
förvaltningsdomstol.  När ett beslut överklagas är tillsynsmyndig heten mot -
part i domstolen.  
Prövningstillstånd krävs vid överklagande till kammarrätten.  
Överklagandeförbud  
4 §    Andra beslut enligt denna lag än de som anges i 2 och  3 §§ får inte 
överklagas.  
9 kap. Överföring av personuppgifter till tredjeland och 
internationella organisationer  
Förutsättningar för överföring  
1 §    Säkerhetspolisen får överföra personuppgifter till  ett tredjeland eller 
en internationell organisation, om personuppgifterna behandlas i Sverige 
eller är avsedda att behandlas i ett tredjeland eller av en inter nationell organi -
sation. Personuppgifterna får dock endast överföras om överföringen  
1.riktas till en brottsbekämpande myndighet eller en underrättelse - eller
säkerhetstjänst i ett tredjeland eller en internationell organisation med brotts -
bekämpande uppdrag och  
2.omfattas av
a)ett beslut om adekvat skyddsnivå enligt 2  §,
b)tillräckliga skyddså tgärder enligt 3  §, eller
c)ett undantag för särskilda situationer enligt 4  §.
Beslut om adekvat skyddsnivå  
2 §    Om Europeiska kommissionen har beslutat att det finns en adekvat 
nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geogra fisk 
eller på annat sätt angiven del av det, får personuppgifter överföras dit under 
de förutsättningar som anges i 1  §. Detsamma gäller om det finns ett sådant 
beslut avseende en internationell organisation.  
2019:1185
SFS 
15 Tillräckliga skyddsåtgärder  
3 §    Om det inte finns något beslut om adekvat skyddsnivå enligt 2  §, får 
personuppgifter, under de förutsättningar som anges i 1  §, ändå över föras till 
ett tredjeland eller en internationell organisation om  
1.skyddsåtgärder för personuppgifter har fastställts i ett avta l som ger
tillräckliga garantier till skydd för den registrerade, eller 
2.mottagaren på annat sätt garanterar tillräckligt skydd för person uppgifterna.
Överföring i särskilda situationer  
4 §    Om det inte finns något beslut om adekvat skyddsnivå enligt  2 § eller 
tillräckliga skyddsåtgärder enligt 3  §, får en överföring eller en samling av 
överföringar av personuppgifter, under de förutsättningar som anges i 1  §, 
göras till ett tredjeland eller en internationell organisa tion endast om över -
föringen är n ödvändig för att  
1.värna den registrerades eller någon annan fysisk persons vitala in tressen
eller andra berättigade intressen som den registrerade har,  
2.i ett enskilt fall förebygga, förhindra eller upptäcka brottslig verk sam-
het eller utreda eller l agföra brott,  
3.i ett enskilt fall kunna fastställa, göra gällande eller försvara ett rätts ligt
anspråk som hänför sig till ett sådant syfte som anges i  2, eller  
4.avvärja en omedelbar och allvarlig fara för allmän säkerhet.
Personuppgifter får inte öve rföras till ett tredjeland eller en internationell
organisation om den registrerades intresse av skydd mot kränkning av rättig -
heter och friheter väger tyngre än det allmännas intresse av en sådan över -
föring som avses i första stycket 2 eller 3.  
Överföring till andra mottagare  
5 §    Säkerhetspolisen får i ett enskilt fall överföra personuppgifter till en 
annan mottagare i ett tredjeland än som anges i 1  § 1. Personuppgifterna får 
överföras endast om de övriga förutsättningarna i 1  § är uppfyllda och om  
1.det är absolut nödvändigt för att Säkerhetspolisen ska kunna utföra en
uppgift enligt 2  kap. 1  §, och  
2.det skulle vara ineffektivt eller olämpligt att överföra dem till en mot -
tagare som anges i 1  § 1 i det tredjelandet.  
Personuppgifter får int e överföras enligt första stycket om den registre -
rades intresse av skydd mot kränkning av rättigheter och friheter väger 
tyngre än det allmännas intresse av att överföringen görs.  
1.Denna lag träder i  kraft den 1  januari 2020.
2.Bestämmelsen i 5  kap. 4  § om loggning tillämpas från och med den
1 oktober 2024 i fråga om automatiserade behandlingssystem som inrättats 
före ikraftträdandet.  
3.Äldre föreskrifter gäller fortfarande för överklagande av beslut som har
meddelats före ikraft trädandet.  
På regeringens vägnar  
STEFAN LÖFVEN  
MIKAEL DAMBERG  
(Justitiedepartementet)  
2019:1185