1 
Svensk författningssamling  
Förordning  
om Säkerhetspolisens behandling av personuppgifter  
Utfärdad den 5 december 2019  
Regeringen föreskriver följande.  
1 kap. Allmänna bestämmelser  
1 §    I denna förordning finns kompletterande föreskrifter om sådan be -
handling av personuppgifter som omfattas av lagen (2019: 1182 ) om Säker -
hetspolisens behandling av personuppgifter.  
2 §    Uttryck som används i denna förordning har samma innebörd och 
tillämpningsområde som i lagen (2019: 1182 ) om Säkerhetspolisens be -
handling av personuppgifter.  
2 kap. Behandling av personuppgifter  
1 §    Om det visar sig att sådana personuppgifter som anges i 2  kap. 13  § 
eller 1 4 § första stycket lagen (2019 :1182 ) om Säkerhetspolisens behandling 
av personuppgifter  har lämnats ut, ska mottagaren omedelbart underrättas 
om det. Om sådana personuppgifter har gjorts tillgängliga ska, så långt det 
är möjligt, även den som har tagit del a v personuppgifterna omedelbart 
underrättas.  
2 §    Av information enligt 3  kap. 7  § andra stycket lagen (2019: 1182 ) om 
Säkerhetspolisens behandling av personuppgifter ska omfattningen av 
direktåtkomsten framgå.  
3 §    Säkerhetspolisen får ställa villkor i fråga om behörighet och säkerhet 
för att myndigheten ska medge direktåtkomst enligt 3  kap. 5–7 §§ lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter.  
Direktåtkomst får inte medges innan Säkerhetspolisen har försäkrat sig 
om att den mot tagande myndigheten uppfyller kraven på behörighet och 
säkerhet.  
3 kap. Längsta tid som personuppgifter får behandlas  
Rutiner för att säkerställa tidsfristerna  
1 §    Säkerhetspolisen ska se till att det finns rutiner för att säkerställa att de 
som behandl ar personuppgifter respekterar tidsfristerna för när personupp -
gifter inte längre får behandlas.  SFS 2019:1235
Publicerad  
den 10 december 2019
 
 2 SFS Digital arkivering  
2 §    När uppgifter och handlingar arkiveras digitalt ska de avskiljas så att 
de inte kan behandlas för att utföra en uppgift som anges i  2 kap. 1  § lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter. Åt -
komsten till arkiverade uppgifter och handlingar ska begränsas till särskilt 
angivna tjänstemän.  
Fortsatt behandling av vissa personuppgifter  
3 §    I 4–6 §§ föreskrivs att vissa kategorier av personuppgifter i brotts -
anmälningar och avslutade förundersökningar får behandlas för ändamål 
som omfattas av tillämpningsområdet för lagen (2019: 1182 ) om Säkerhets -
polisens behandling av personuppgifter, trots att den tid som ange s i 4 kap. 
3 och 4  §§ samma lag har löpt ut. Detsamma gäller personuppgifter i andra 
utredningar som handläggs enligt 23 kap. rättegångsbalken.  
När personuppgifter får behandlas enligt 4 –6 §§ får dessutom följande 
uppgifter behandlas:   
1. ärendenummer ell er liknande referensuppgifter,  
2. brottskoder, och  
3. uppgifter om omständigheterna kring brottet.  
 
4 §    Uppgifter om den dömde i en förundersökning som har lett till fällande 
dom får behandlas trots att den tid som anges i 4 kap. 4 § första stycket lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter har löpt 
ut, om behandlingen av särskilda skäl är nödvändig för att finna samband 
mellan olika brott eller mellan tänkbara gärningsmän.  
Behandlingen ska dock upphöra senast i samband med  att uppgifterna om 
den dömde tas bort ur belastningsregistret enligt lagen (1998:620) om 
belastningsregister.  
 
5 §    Uppgifter om en person som har varit misstänkt i en förundersökning 
som har lagts ner eller avslutats på annat sätt än genom åtal, får i  ett enskilt 
fall behandlas om det är nödvändigt för att kunna lagföra personen trots att 
den tid som anges i 4  kap. 4  § andra stycket lagen (2019: 1182 ) om Säker -
hetspolisens behandling av personuppgifter har löpt ut.  
Behandlingen ska dock upphöra senast då åtal inte längre får väckas för 
brottet eller, i fall som avses i 35  kap. 2  § första stycket brottsbalken, senast 
sjuttio år från den dag då brottet begicks.  
 
6 §    Uppgifter om personer som har dömts för, eller som har varit miss -
tänkta för, brott dä r det finns en betydande risk för återfall i samma eller 
likartad brottslighet, får behandlas trots att den tid som anges i 4  kap. 3 och 
4 §§ lagen (2019: 1182 ) om Säkerhetspolisens behandling av personupp -
gifter har löpt ut, om behandlingen av särskilda sk äl är nödvändig för att 
förebygga, förhindra eller upptäcka brott för vilket det är föreskrivet 
fängelse i fyra år eller mer.   
I fråga om brott som har lett till fällande dom ska dock behandlingen 
upphöra senast i samband med att uppgifterna tas  bort ur b elastningsregistret 
enligt lagen (1998:620) om belastningsregister och i övriga fall senast 
femton år efter det att förundersökningen lades ner eller avslutades på annat 
sätt. 
2019:1235
 
 3 SFS Rätt att meddela föreskrifter  
7 §    Riksarkivet får, efter att ha gett Säkerhet spolisen  tillfälle att yttra sig, 
meddela föreskrifter om att personuppgifter som avses i 4  kap. 2 och 7 –
10 §§ lagen (2019: 1182 ) om Säkerhetspolisens  behandling av personupp -
gifter får behandlas under längre tid för arkivändamål av allmänt intresse 
och vetenskapliga, statistiska eller historiska ändamål.  
 
8 §    Säkerhetspolisen får, efter att ha gett Riksarkivet tillfälle att yttra sig, 
meddela närmare föreskrifter om digital arkivering.  
4 kap. Skyldigheter som personuppgiftsansvarig  
Tekniska och organi satoriska åtgärder  
1 §    De tekniska och organisatoriska åtgärder som Säkerhetspolisen  ska 
vidta enligt 5 kap. 1 och 2 §§ lagen (2019: 1182 ) om Säkerhetspolisens be -
handling av personuppgifter  ska vara rimliga med hänsyn till behandlingens 
art, omfattning , sammanhang och ändamål och de särskilda riskerna med 
behandlingen. När Säkerhetspolisen  vidtar åtgärder enligt 5 kap. 2 § samma 
lag ska även de tekniska möjligheterna och kostnaderna för åtgärderna 
beaktas.  
Dokumentationsskyldighet  
Interna strategier  
2 §    De tekniska och organisatoriska åtgärder som avses i 5 kap. 1 § lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter  ska inne -
fatta antagande och dokumentation av interna strategier för dataskydd , om 
det inte är uppenbart obehövligt me d hänsyn till verksamhetens begränsade 
omfattning.  
Förteckning över behandlingar  
3 §    Säkerhetspolisen  ska föra en förteckning över de kategorier av be -
handlingar av personuppgifter som myndigheten  ansvarar för. Förteck -
ningen ska innehålla namnet på och kontaktuppgifter till myndigheten  och 
dataskyddsombud. Förteckningen ska dessutom, för varje kategori av be -
handling, innehålla följande uppgifter:  
1. den rättsliga grunden för behandlingen,  
2. ändamålen med behandlinge n,  
3. de kategorier av tjänstemän som har tillgång till de personuppgifter som 
behandlas,  
4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut 
till, även i tredjeland eller internationella organisationer,  
5. de kategorier av registrerad e som berörs av behandlingen,  
6. de kategorier av personuppgifter som kan komma att behandlas,  
7. samlingar av överföringar av personuppgifter till tredjeland eller 
internationella organisationer , 
8. användning av profilering,  
9. om det är möjligt, tidsf rister för hur länge kategorierna av personupp -
gifter får behandlas, och  
10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder 
som har vidtagits.  
2019:1235
 
 4 SFS Loggning  
4 §    Skyldigheten att föra loggar i automatiserade behandlingssystem 
enligt 5 kap. 4 § lagen (2019: 1182 ) om Säkerhetspolisens behandling av 
personuppgifter ska omfatta behandlingar som innebär insamling, ändring, 
läsning, utlämning, överföring till tredjeland eller internationella organisa -
tioner, sammanföring och radering av personup pgifter. Loggarna över läs -
ning och utlämning ska visa datum och tidpunkt för behandlingen och, så 
långt det är möjligt, vem som har läst eller lämnat ut person uppgifterna och 
vem som har fått ta del av personuppgifterna.  
Tillgången till personuppgifter  
5 §    Vid tilldelning av behörighet för åtkomst till personuppgifter ska, 
utöver behovet av uppgifterna, utbildning och erfarenhet särskilt beaktas.  
 
6 §    Säkerhetspolisen ansvarar för att det inom myndigheten  finns rutiner 
för tilldelning, förändring, b orttagning och regelbunden uppföljning av 
behörigheter för åtkomst till personuppgifter.  
Konsekvensbedömning och förhandssamråd  
7 §    Konsekvensbedömningar som avses i 5 kap. 6 § första stycket lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter  ska 
dokumenteras och innehålla följande uppgifter:  
1. en allmän beskrivning av den planerade behandlingen,  
2. en bedömning av riskerna för intrång i registrerades personliga 
integritet,  
3. vilka åtgärd er som planeras för att hantera riskerna,  
4. åtgärder och rutiner för att säkerställa skyddet av personuppgifterna, 
och  
5. rutiner för att visa att tillämpliga dataskyddsregler följs.  
 
8 §    Vid förhandssamråd enligt 5 kap. 6  § andra stycket la gen (2019: 1182 ) 
om Säkerhetspolisens behandling av personuppgifter  ska Säkerhetspolisen  
lämna in konsekvensbedömningen till tillsynsmyndigheten och tillhanda -
hålla den övriga information som begärs av myndigheten.  
Vid bedömningen av om typen av behandling innebär e n sådan risk för 
intrång i registrerades personliga integritet att förhandssamråd ska äga rum 
ska ny teknik, nya rutiner eller nya förfaranden särskilt beaktas.  
Anmälan av överträdelser  
9 §    Säkerhetspolisen  ska ha interna rutiner för anmälan av överträd elser 
av bestämmelser om personuppgiftsbehandling som garanterar att an mä-
larens identitet skyddas.  
Säkerhetsåtgärder   
10 §    Säkerhetsåtgärder enligt 5 kap. 7 § lagen (2019: 1182 ) om Säkerhets -
polisens behandling av personuppgifter ska åstadkomma en skyddsnivå som 
är lämplig med hänsyn till  
1. de tekniska möjligheterna,  
2. kostnaderna för åtgärderna,  
3. behandlingens art, omfattning, sammanhang och ändamål,  
4. de särskilda riskerna med behandlingen,  
5. om känsliga personuppgifte r behandlas, och  
2019:1235
 
 5 SFS 6. hur integritetskänsliga övriga personuppgifter som behandlas är.  
Dataskyddsombud   
11 §    Säkerhetspolisen  ska säkerställa att dataskyddsombud ges möjlighet 
att delta i de frågor som rör skyddet av personuppgifter.  
Säkerhetspolisen  ska se till att dataskyddsombud kan utföra de uppgifter 
som anges i 5 kap. 10  § lagen (2019: 1182 ) om Säkerhetspolisens behandling 
av personuppgifter  genom att tillhandahålla nödvändiga resurser, ge tillgång 
till dokumentation om behandling av personuppgifter  och vid behov medge 
åtkomst till personuppgifter som behandlas. Säkerhetspolisen  ska också se 
till att dataskyddsombud har den sakkunskap som krävs och att de ges 
möjlighet att upprätthålla denna.  
Personuppgiftsbiträden   
Avtalets eller överenskommelsens i nnehåll   
12 §    Ett avtal eller en annan överenskommelse enligt 5  kap. 11  § andra 
stycket lagen (2019: 1182 ) om Säkerhetspolisens behandling av personupp -
gifter ska ange vad behandlingen av personuppgifter ska avse, hur länge 
behandlingen ska pågå, dess ar t och ändamål, typen av personuppgifter, 
kategorier av registrerade och Säkerhetspolisens skyldigheter och rättig -
heter. I avtalet eller överenskommelsen ska det särskilt föreskrivas att 
personuppgiftsbiträdet ska  
1. behandla personuppgifter bara enligt i nstruktioner från Säkerhets -
polisen,  
2. säkerställa att personer som har tillstånd att behandla personuppgifter 
antingen har förbundit sig att iaktta regler om tystnadsplikt eller omfattas av 
lagstadgad tystnadsplikt,  
3. hjälpa Säkerhetspolisen att säkerställa att bestämmelserna om registre -
rades rättigheter följs,  
4. radera eller återlämna alla personuppgifter till Säkerhetspolisen när 
uppdraget har slutförts och, om inte annat följer av lag eller förordning, 
radera befintliga kopior,  
5. ge Säkerhetspolisen tillgång till den information som krävs för att visa 
att det som sägs i denna paragraf, 13 § och 5  kap. 1 1–13 §§ lagen  om Säker -
hetspolisens behandling av personuppgifter  följs, och  
6. respektera de villkor som framgår av denna paragra f, 13 § och 5 kap. 
12 § lagen om Säkerhetspolisens behandling av personuppgifter  när ett 
annat personuppgiftsbiträde anlitas.  
Underbiträden   
13 §    Om Säkerhetspolisen har lämnat ett generellt tillstånd enligt 5  kap. 
12 § lagen (2019: 1182 ) om Säkerhetspol isens behandling av person -
uppgifter, ska personuppgiftsbiträdet informera Säkerhetspolisen innan nya 
personuppgiftsbiträden anlitas.  
Förteckning över behandlingar  
14 §    Varje personuppgiftsbiträde ska föra en förteckning över kategorier 
av behandlingar av personuppgifter som utförs för Säkerhetspolisens  
räkning. Förteckningen ska innehålla namnet på och kontaktuppgifter till 
personuppgiftsbiträdet och Säkerhetspolisen och dessutom, för varje kate -
gori av behandling, följande uppgifter:  
1. namnet på och kontaktuppgifter till eventuella underbiträden,  
2019:1235
 
 6 SFS 2. vilka uppgifter som har överförts och till vem, om överföringar av 
personuppgifter har gjorts till ett tredjeland eller en internationell orga -
nisation, och  
3. om det är möjligt, en allm än beskrivning av de säkerhetsåtgärder som 
har vidtagits.  
Övriga skyldigheter  
15 §    Det som sägs om Säkerhetspolisens skyldigheter i 4 och 10 §§ gäller 
även för personuppgiftsbiträden.  
Övriga bestämmelser  
16 §    Innan Säkerhetspolisen meddelar föreskri fter med stöd av denna 
förordning, ska tillsynsmyndigheten ges tillfälle att yttra sig i frågor som 
berör särskilda risker för intrång i den personliga integriteten.  
Rätt att meddela föreskrifter  
17 §    Tillsynsmyndigheten får meddela ytterligare föreskri fter om  
1. sådana åtgärder som avses i 5 kap. 1 –3 och 7 §§ lagen (2019: 1182 ) om 
Säkerhetspolisens behandling av personuppgifter,  
2. krav och rutiner för loggning enligt 5 kap. 4 § lagen om Säkerhets -
polisens behandling av personuppgifter, och  
3. vilka type r av behandlingar som ska omfattas av förhandssamråd enligt 
5 kap. 6 § lagen om Säkerhetspolisens behandling av personuppgifter.  
5 kap. Enskildas rättigheter  
Krav på utformningen av information  
1 §    Information enligt 6  kap. 1 och 2  §§ lagen (2019: 1182 ) om Säkerhets -
polisens behandling av personuppgifter ska vara lättillgänglig och lätt -
begriplig och lämnas i lämplig form. Detsamma gäller information enligt 3–
6 §§ denna förordning.  
Enskilds begäran  
2 §    En begäran enligt 6 kap. 2, 6 eller 7  § lagen (2019: 1182 ) om Säkerhets -
polisens behandling av personuppgifter ska göras skriftligen hos Säkerhets -
polisen.  
Säkerhetspolisen ska säkerställa att begäran görs av en behörig person.  
Beslut  
3 §    Beslut enligt 6  kap. 3  § första stycket, 5  § första stycket, 6 och 7 §§ 
och 9  § andra stycket lagen (2019: 1182 ) om Säkerhetspolisens behandling 
av personuppgifter ska vara skriftliga. Beslut som går den registrerade emot 
ska motiveras.  
Av 6 kap. 3  § andra stycket  lagen om Säkerhetspolisens behandling av 
personuppgif ter framgår att skälen för vissa beslut inte behöver lämnas ut.  
Underrättelser  
Underrättelser till enskilda  
4 §    Sökanden ska utan onödigt dröjsmål underrättas om beslut enligt 
6 kap. 3  § första stycket lagen (2019: 1182 ) om Säkerhetspolisens be -
handling av personuppgifter. Någon underrättelse behöver inte lämnas om 
det skulle skada det intresse som föranleder att information inte lämnas.   
2019:1235
 
 7 SFS 5 §    Sökanden ska underrättas om beslut enligt 6  kap. 5  § första stycket 
eller 9  § andra stycket lagen (201 9:1182 ) om Säkerhetspolisens behandling 
av personuppgifter.  
 
6 §    Den registrerade ska underrättas om följande beslut enligt lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter : 
1. beslut enligt 6 kap. 6 eller 7  §,  
2. beslut om att en b egränsning enligt 6 kap. 6  § andra stycket upphör.  
Underrättelser till andra  
7 §    Den myndighet från vilken personuppgifter kommer ska underrättas 
om beslut enligt 6  kap. 6  § första stycket lagen (2019: 1182 ) om Säkerhets -
polisens behandling av personuppg ifter.  
Den som har tagit emot personuppgifter ska underrättas om beslut enligt 
6 kap. 6 eller 7  § lagen om Säkerhetspolisens behandling av personuppgifter.  
6 kap. Tillsyn  
1 §    Om tillsynsmyndigheten anser att en sådan planerad behandling som 
avses i 5  kap. 6 § andra stycket lagen (2019: 1182 ) om Säkerhetspolisens 
behandling av personuppgifter kan komma att stå i strid med lag eller annan 
författning, ska myndigheten senast sex veckor  efter det att begäran om 
förhands samråd togs emot skriftligen lämna råd enligt 7 kap. 4 § första 
stycket samma lag. Om det finns skäl för det får tiden förlängas.  
 
2 §    Tillsynsmyndigheten ska informera Säkerhets - och integritetsskydds -
nämnden om att förhands samråd enligt 5  kap. 6  § andra stycket lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter har 
begärts. Om det är lämpligt ska nämnden ges tillfälle att yttra sig till till -
synsmyndigheten inom ramen för förhands samrådet. Säkerhets - och integri -
tetsskyddsnämnden har rätt att få tillgång till underl aget för förhands -
samrådet och tillsynsmyndighetens yttrande.  
7 kap. Överföring av personuppgifter till tredjeland och 
internationella organisationer  
1 §    Överföringar av personuppgifter enligt 9  kap. 3 § 2 och 4 § lagen 
(2019: 1182 ) om Säkerhetspolisens behandling av personuppgifter ska 
dokumenteras. Av dokumentationen ska framgå vilka personuppgifter som 
överförts, datum och tidpunkt för överföringen, ändamålet med och grunden 
för överföringen och till vem personuppgifterna överfördes.  
 
2 §    Överföring ar av personuppgifter enligt 9  kap. 5  § lagen  (2019: 1182 ) 
om Säkerhetspolisens behandling av personuppgifter ska dokumenteras.  
                       
1. Denna förordning träder i kraft den 1 januari 2020.   
2. Bestämmelsen i 4 kap. 4  § om loggning tillämpas  från och med den 
1 oktober 2024 i fråga om automatiserade behandlingssystem som inrättats 
före ikraftträdandet.  
 
På regeringens vägnar  
 
MIKAEL DAMBERG  
 Peter Lindström  
 (Justitiedepartementet)  
2019:1235