Source: https://lagen.nu/1998:204
Timestamp: 2016-10-28 15:51:48+00:00

Document:
Undantag för behandling av personuppgifter i ostrukturerat
Undantag från informationsskyldigheten vid sekretess och
Undantag från förbudet mot överföring av personuppgifter till
Obligatorisk anmälan av särskilt integritetskänsliga
Upplysningar till allmänheten om behandlingar som inte
anmälts
Personuppgiftslag (1998:204)DepartementJustitiedepartementet L6Utfärdad1998-04-29Ändring infördt.o.m. SFS 2010:1969KällaRegeringskansliets rättsdatabaserSenast hämtad2016-02-16
Texten har ändrats jämfört med ursprungsmaterialet:
Borttagning av bindestreck som skapats genom avstavningKommentar Var kommer de här kommentarerna från? Läs mer...
Personuppgiftslagen (PUL) reglerar hur juridiska och fysiska personer (myndigheter, företag, enskilda, m.fl.) får hantera personuppgifter och tar framförallt sikte på databehandling. Det finns fyra huvudsakliga frågor man måste undersöka: Om PUL är tillämplig (2-8 §§) om behandlingen är tillåten (9-22 §§) om den är anmälningspliktig (36-37 §§) vilka krav som ställs på behandlingen när den är igång (9, 23-35 och 42 §§). Lagen bygger på dataskyddsdirektivet (46/95/EG) och har tillkommit i syfte att skydda den personliga integriteten. PUL kompletteras av personuppgiftsförordningen (PUF) och datainspektionens föreskrifter (DIFS). Härutöver gäller även ett stort antal registerförfattningar, exempelvis domstolsdataförordningen (2015:729). Även europakonventionens artikel 8 (rätt till privatliv) reglerar den personliga integriteten. PUL kommer i framtiden ersättas av EUs dataskyddsförordning (EU) 2016/679, som antogs i april 2016 och som kommer börja tillämpas från och med den 25 maj 2018. På EU-nivå finns ett förslag till dataskyddsförordning (KOM (2012) 11 slutlig) som, om det antas, kommer att ersätta PUL. Hittar du något fel i lagkommentaren? Du får gärna skriva en felrapport.
KommentarI 2 kap 3 § 2 st. regeringsformen stadgas att det ska finnas lagstöd för den personliga integriteten. Det är denna lag som avses. Avvikande bestämmelser i annan författning
KommentarLagen är alltså subsidiär. Ett exempel på en lag som delvis gäller framför PUL är lagen (2001:99) om den offentliga statistiken. Även tryckfrihetsförordningen har företräde framför PUL, dels på grund av denna paragraf och 7-8 §§, men framförallt pga principen om lex superior
. Lagrumshänvisningar hit (6)4 § Lag (2001:454) om behandling av personuppgifter inom socialtjänsten3 § Förordning (2002:287) om behandling av personuppgifter i Kungl. bibliotekets digitala kulturarvsprojekt2 § Lag (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten2 § 2 st Lag (2006:378) om lägenhetsregister15 § 2 st Lag (2010:1767) om geografisk miljöinformation1 kap. 2 § Förordning (2010:1770) om geografisk miljöinformation
En åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av
KommentarEftersom både "behandling" och "personuppgift" har en vid definition faller i stort sett all elektronisk informationshantering in under lagens tillämpningsområde, om den innehåller information om en nu levande människa (avlidna personer skyddas inte av PUL). Detta inkluderar även digitalfotografering, digital ljudinspelning och omnämnande i löpande text. Regleringen för sådana s.k. ostrukturerade personuppgifter är dock enklare än för personuppgifter som ingår i ett strukturerat register. De förra hanteras enligt missbruksmodellen, de senare enligt hanteringsmodellen. Uppgifter om ett hushåll (istället för en enskild person), dvs uppgift som hänförs till en väldigt snäv krets, anses i praxis utgöra personuppgifter. Datainspektionen är tillsynsmyndighet. Se kommentaren till 30 § angående relationen mellan personuppgiftsansvarig och personuppgiftsbiträde. Rättsfall (4)HFD 2012 ref. 21:
Försäkringskassan har vid tillhandahållande av elektroniska...
NJA 2015 s. 180:
Lagring av personuppgifter (domstols dagboksblad) i dator har ansetts inte...
RÅ 2001 ref. 35:
Fråga om manuell behandling av personuppgifter i betygshandlingar som är...
Lagrumshänvisningar hit (2)2 § Lag (1998:527) om det statliga personadressregistret2 § 5 st Lag (2003:460) om etikprövning av forskning som avser människor
KommentarLagen tar i första hand sikte på den personuppgiftsansvariges placering, inte var exempelvis databasservern fysiskt är placerad. En person bosatt i Sverige kan alltså inte undgå att behöva följa PUL genom att använda en dator i utlandet. Däremot kan det vara otillåtet att överföra information till en sådan dator om den står i ett land som saknar lagstiftning i stil med PUL - se 33 §. Behandling av personuppgifter som omfattas av lagen
KommentarPUL är i första hand skriven för datoriserad personuppgiftsbehandling, men kan även bli tillämplig vid manuell pappersbaserad uppgiftsbehandling. För detta krävs dock att uppgifterna är ordnade så att man kan söka och sammanställa uppgifter på ett effektivare sätt än att manuellt läsa igenom hela information från början till slut och att sådan sökning eller sammanställning kan ske på minst två kriterier till exempel via separata index och register enligt RÅ 2001 ref. 35 (KTH). Rättsfall (2)AD 2010 nr 87:
En arbetsgivare är enligt transportavtalet skyldig att till den lokala fackliga...
Bestämmelserna i 9, 10, 13-19, 21-26, 28, 33, 34 och 42 §§ behöver inte tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter.
KommentarOm personuppgifterna finns i ostrukturerat material, exv. löpande text, behöver större delen av PUL (den s.k. hanteringsmodellen) inte tillämpas. Istället används den enklare s.k. missbruksmodellen som beskrivs i andra stycket, och som bara innehåller en regel - personuppgiftshanteringen får inte kränka den personliga integriteten för den/de personer som uppgifterna gäller. De delar av PUL som inte ska användas med missbruksmodellen handlar om grundläggande regler för hur behandlingen ska gå till (9 §), när behandlingen över huvud taget är tillåten (10 §), begreppet "känsliga personuppgifter" (13-19 §§), personuppgifter om lagöverträdelser (21 §), personnummer (22 §), krav om att informera den registrerade (23-26 §§), rättelse av personuppgifter (28 §), överföring till tredje land (33-34 §§ -- se dock nästa stycke) samt information till allmänheten (42 §). Det är enligt 49 § straffbart att behandla känsliga uppgifter (13 §) eller uppgifter om lagöverträdelser (21 §), eller att föra över sådana uppgifter till tredje land i strid med 33 §, om detta innebär en kränkning enligt andra stycket. Rättsfall (7)AD 2010 nr 87:
HFD 2011 ref. 77:
Kameraövervakning av entréer i flerfamiljshus har ansetts otillåten enligt...
HFD 2012 ref. 16:
Kameraövervakning av bl.a. korridorer och uppehållsrum i en gymnasieskola under...
HFD 2015 ref. 3:
Fråga om tillämpning av undantagsregeln i 5 a § personuppgiftslagen.NJA 2013 s. 1046:
Att lägga ut en tvistemålsdom med namn och adressuppgifter på en internetsida...
Lagrumshänvisningar hit (3)7 § 2 st4 §, 8 § Personuppgiftsförordning (1998:1191)Ändringar/Förarbeten (1)Ändrad: SFS
Kommentar"Rent privat bruk" ska tolkas relativt snävt. I RH 2004:51 (Konfirmandlärarmålet) slogs fast att publicering av personuppgifter på en allmänt tillgänglig webbsida inte kunde anses vara privat bruk, även om det görs av en privatperson på fritiden. Rättsfall (3)HFD 2012 ref. 21:
KommentarAtt PUL inte ska tillämpas i strid mot TF/YGL följer även av principen om lex superior samt exklusivitetsprincipen. Undantaget för journalistisk verksamhet i andra stycket har i praxis tolkats brett och omfattar de flesta opinionsbildande yttranden på nätet, se NJA 2001 s. 409 (Ramsbromålet) och Daniel Westmans analys. När detta undantag är tillämpligt ska endast säkerhetsbestämmelserna (framförallt 30-32 §§) tillämpas. Rättsfall (2)NJA 2001 s. 409:
Åtal väcktes för publicering av integritetskränkande och andra personuppgifter...
KommentarÄven om PUL inte direkt hindrar en myndighet från att lämna ut allmäna handlingar, så kan handlingarna beläggas med sekretess enligt OSL 21:7, vilket hindrar utlämnande om det kan antas att detta skulle medföra personuppgiftsbehandling i strid med PUL. I RÅ 2001 ref. 35 ville KTH inte lämna ut studenters betygshandlingar, då de befarade att mottagaren skulle behandlas dessa i strid med PUL (RegR fann dock att det inte fanns anledning att anta detta). Föreskrifter om undantag från vissa bestämmelser
Regeringen får meddela föreskrifter om undantag från 9, 23-26 och 28 §§ samt 29 § andra stycket och 42 §, om det är nödvändigt med hänsyn till
KommentarDetta bemyndigande för regeringen att föreskriva undantag från delar av PUL sker med stöd av artikel 13 i dataskyddsdirektivet. Det infördes samtidigt som regleringen av ostrukturerade personuppgifter (missbruksmodellen), men har inget direkt samband med denna. Inga undantag har dock veterligen föreskrivits med stöd av denna paragraf. Ändringar/Förarbeten (1)Ändrad: SFS
KommentarDessa är de grundläggande krav som enligt hanteringsmodellen ska vara uppfyllda för att personuppgiftsbehandling överhuvudtaget ska få ske. De flesta kraven kretsar kring ändamålen för behandlingen a) Kravet på att behandlingen ska vara laglig kan synas lite överflödigt, men är hämtat från dataskyddsdirektivet artikel 6. b) "God sed" kommer framförallt i uttryck genom branschöverenskommelser, exv Swedmas branschregler. Att följa dessa ger även undantag från anmälningsplikten. c) I "särskilda" ligger ett krav på att ändamålen ska vara någorlunda preciserade, ett allt för allmänt hållet ändamål (exv "på förekommen anledning") godkänns inte. d) Denna punkt uttrycker den s.k. finalitetsprincipen. Se också andra stycket i denna paragraf samt 25 § (om informationsplikt) e), f) och i) Dessa punkter understryker kravet på att ändamålen är preciserade. g) och h) Det finns också ett ansvar att rätta felaktiga uppgifter enligt 28 §
Med "historiska ändamål" avses i första hand arkivering (SOU 1997:39 avsnitt 12.4.6.2). Undantagen för forskning och statistik ska läsas i ljuset av de särskilda undantagen för känsliga uppgifter i 19 § och de krav på etikprövning och sekretess som finns på dessa områden. Rättsfall (5)HFD 2016 ref. 40:
Personuppgiftslagens krav på att personuppgifter får behandlas bara om det är...
RÅ 2006 ref. 86:
Fråga om rättelse av uppgift i utsöknings- och indrivningsdatabasen när det...
RÅ 2008 ref. 83:
Behandling av biometriska data i form av fingeravläsning i samband med...
Lagrumshänvisningar hit (6)5a §, 7 § 2 st, 8a §Kreditupplysningslag (1973:1173)
KommentarDen personuppgiftsansvarige bör börja med att undersöka om uppgifterna i fråga är "vanliga" (10-12 §§), känsliga (13-20 §§), alternativt rör brott (21 §) eller personnummer (22 §) för att sedan undersöka om den tänkta behandlingen är tillåten enligt huvudregeln om samtycke eller något av undantagen. Kraven i 10 § gäller samtliga sorters uppgifter. Huvudregeln enligt hanteringsmodellen är att all behandling som inte uttryckligen är tillåten är förbjuden. "Vanliga" (icke-känsliga) personuppgifter får alltid behandlas om man har den registrerades samtycke (för vilket det inte finns särskilt stränga formkrav, en kryssruta på ett webbformulär eller tillochmed konkludent handlande kan räcka -- men samtycket kan återkallas (12 §). Se även Datainspektionens information om samtycke. Notera att samtycket måste täcka varje enskild behandling - har man fått samtycke till bara insamling kan detta inte rättfärdiga annan behandling, exv spridning, enligt finalitetsprincipen (se även 9 § d). Har man inte samtycke kan behandlingen ändå vara tillåten om någon av tillåtlighetsgrunderna i a-f är uppfyllda. Uppräkningen är uttömande (se även SOU 1997:39 avsnitt 12.5.1). a) För att ett avtal ska kunna utgöra en tillåtlighetsgrund ska det vara slutet med just den registrerade - inte med exempelvis dennes arbetsgivare. b) Med rättslig skyldighet menas i första hand en lagstadgad plikt för ett företag (eller annat privaträttsligt subjekt) att göra något - exempelvis har en arbetsgivare vid uppsägning på grund av arbetsbrist en skyldighet att upprätta turordningslistor över sina anställda (för myndigheters förpliktelser, se punkt e) c) Det är osäkert hur brett "vitala intressen" ska tolkas, men det gäller i vart fall sådant som avgörande betydelse för den registrerades liv (se SOU 1997:39 avsnitt 3.5.5 och dataskyddsdirektivets preambelpunkt 31). d) Exempel på arbetsuppgifter av allmänt intresse är arkivering, forskning och framställning av statistik. e) Med myndighetsutövning menas här sådana uppgifter som en myndighet enligt lag ska utföra och som har rättsliga effekter för den enskilde. Exempelvis får en domstol registrera uppgifter om parter i ett tviste- eller brottmål. f) Denna intresseavvägning används ofta i praktiken då intrånget i den personliga integriteten är litet eller obefintligt, och det är opraktiskt att inhämta samtycke i förhand. Både en ideell förenings allmännyttiga verksamhet såväl som ett privat företags vinstintresse kan utgöra ett "berättigat intresse". Rättsfall (8)AD 2010 nr 87:
RÅ 2001 ref. 68:
Jordbruksverkets adressregister över mjölkproducenter har ansetts kunna lämnas...
RÅ 2002 ref. 54:
Utdrag ur Centrala studiestödsnämndens register över mottagare av studiemedel...
RÅ 2010 ref. 19:
Publicering av konkursbouppteckning på Internet har inte ansetts tillåten...
Lagrumshänvisningar hit (7)14 § 2 st, 19 § 2 st, 5a §5 § 4 st Kreditupplysningslag (1973:1173)
KommentarEn sådan anmälan från den enskilde kan ske genom e-post. Direktmarknadsföraren får inte ta ut någon avgift av den enskilde i samband med en sådan anmälan. Se även 19 och 20 §§
marknadsföringslagen (2008:486) om när direktmarknadsföring till enskild får och inte får ske. Lagrumshänvisningar hit (14)1a § 2 st 4 p Handelsregisterförordning (1974:188)32b § 1 st 3 p, 32c § 1 st 4 p Skogsvårdslag (1979:429)15a § 2 st 4 p Förordning (1987:978) om ekonomiska föreningar13a § 2 st 4 p Förordning (1992:308) om utländska filialer m.m.3 § 2 st 4 p Förordning (1994:1933) om register över europeiska ekonomiska intressegrupperingar2a § 2 st 4 p Stiftelseförordning (1995:1280)2 § 1 st 6 p Lag (2000:224) om fastighetsregister5 § 1 st 5 p Lag (2001:558) om vägtrafikregister4 kap. 3 § 2 st 5 p Förordning (2004:329) om bank- och finansieringsrörelse5 kap. 2 § 2 st 6 p Förordning (2005:411) om försäkringsförmedling2 kap. 1 § 2 st 4 p Aktiebolagsförordning (2005:559)3 § 2 st 4 p Förordning (2009:705) om register över europeiska grupperingar för territoriellt samarbete4 kap. 5 § 2 st 5 p Försäkringsrörelseförordning (2011:257)
KommentarDet finns inget särskilt formkrav för hur ett återkallande av samtycke ska ske, utan det kan ske muntligen till den personuppgiftsansvarige (eller någon som företräder denne). Det är dock den som gör återkallandet som har bevisbördan för att det faktiskt skett. Ett återkallande spelar ingen roll om själva behandlingen sker med stöd av en annan tillåtlighetsgrund än just den registrerades samtycke (dvs någon av grunderna i listan i 10 §). Lagrumshänvisningar hit (1)2 § 2 st Lag (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering
KommentarHuvudregeln för känsliga uppgifter är att de inte får hanteras alls, men i efterföljande paragrafer (14-20 §§) finns ett antal undantag från detta förbud. Att behandla personuppgifter i strid med förbudet är straffbelagt, se 49 §. Ett fotografi på en person räknas normalt inte som uppgift om ras/etniskt ursprung eller hälsa. En uppgift om att en person inte har någon religös övertygelse räknas som känslig. Även relativt harmlösa uppgifter om hälsa (som att en person skadat foten och är deltidssjukskriven) räknas som känsliga uppgifter. Uppgifter om kön eller civilstånd räknas inte som uppgift om sexualliv, däremot kan uppgifter om könsbyte räknas. Rättsfall (1)RH 2004:51:
Lagrumshänvisningar hit (47)14 §, 20 §, 49 § 1 st b p, 49 § 1 st e p, 5a §2 kap. 5a §, 4 kap. 3 § Förordning (1993:1153) om redovisning av studier m.m. vid universitet och högskolor22 § 2 st, 22 § 3 st Rättsinformationsförordning (1999:175)20b §, 20e § Inskrivningsförordning (2000:309)1 kap. 7 § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet1 kap. 6 § Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet1 kap. 7 § Lag (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar1 kap. 6 § Lag (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet1 kap. 7 § Lag (2001:185) om behandling av uppgifter i Tullverkets verksamhet7 § 1 st 2 p Lag (2001:454) om behandling av personuppgifter inom socialtjänsten6 § 2 st Förordning (2001:706) om behandling av personuppgifter i Arbetsmiljöverkets informationssystem om arbetsskador15 § Lag (2001:99) om den officiella statistiken11 §, 6 § Förordning (2002:287) om behandling av personuppgifter i Kungl. bibliotekets digitala kulturarvsprojekt14 §, 8 §, 9 § Lag (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten20e § Förordning (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten3 § 1 st 1 p Lag (2003:460) om etikprövning av forskning som avser människor7 §, 8 § 1 st 1 p Förordning (2006:1226) om Post- och Inrikes Tidningar5 § Förordning (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar13 §, 8 §, 9 § Lag (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen2 kap. 8 §, 7 kap. 8 § 3 st Patientdatalag (2008:355)6 § 2 st Lag (2009:619) om djurskyddskontrollregister4 kap. 2 § Lag (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism114 kap. 11 § Socialförsäkringsbalk (2010:110)7 § Förordning (2011:58) om behandling av personuppgifter i Lantmäteriets databas för arkiverade handlingar4 kap. 13 § Lag (2011:725) om behörighet för lokförare7 §, 7 § 2 st Lag (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering22 § Lag (2014:105) om insyn i finansiering av partier7 § Lag (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter13 § Lag (2015:899) om identitetskort för folkbokförda i Sverige15 § Utlänningsdatalag (2016:27)
Det är trots förbudet i 13 § tillåtet att behandla känsliga personuppgifter i de fall som anges i 15-19 §§.
KommentarDenna paragraf tillför inget materiellt, utan upplyser bara om lagens systematik kring känsliga uppgifter. Samtycke eller offentliggörande
KommentarPrecis som för "vanliga" personuppgifter så är samtycke en tillåtlighetsgrund. Dock ställs högre krav på hur detta samtycke kommer till uttryck ("[...] lämnat sitt uttryckliga samtycke") - underförstått eller konkludent samtycke räcker inte. Utöver detta får man även behandla sådana uppgifter som den registrerade själv offentliggjort på ett tydligt sätt, exempelvis när en person "talat ut" om sin hälsa eller sexliv i massmedier, eller när en person ställer upp i ett val för ett visst parti. Rättsfall (1)RH 2004:51:
Lagrumshänvisningar hit (2)14 §8 § Personuppgiftsförordning (1998:1191)
Kommentara) "arbetsrätten" ska här tolkas ganska brett. Det kan vara fråga om rättigheter/skyldigheter som är lagstadgade, men också sådana som följer av kollektivavtal eller individuella avtal. Exempelvis kan en arbetsgivare behandla uppgifter om de anställdas fackföreningsmedlemsskap, om arbetsgivaren genom kollektivavtal åtagit sig att göra avdrag på lön för fackföreningsavgift, dvs. en skyldighet som följer av avtal (inte lag). b) "Vitala intressen" ska tolkas på samma sätt som i 10 § c.
c) Skattemyndigheten måste behandla uppgifter om medlemsskap i svenska kyrkan för att kunna ta ut kyrkoskatt. Detta skatteanspråk är ett exempel på ett rättsligt anspråk. Ideella organisationer
KommentarDet finns inget uttryckligt krav på att personuppgifterna ska ha någon anknytning till organisationens syfte, men de grundläggande kraven i 9 § sätter stopp för behandling av helt ovidkommande uppgifter. Rätten att behandla uppgifter om en viss person enligt denna paragraf upphör när personen slutar vara medlem. Organisationens syfte måste vara politiskt, filosofiskt, religiöst eller fackligt, men dessa begrepp ska tolkas ganska brett. Exempelvis kan alla organisationer som på något vis vill påverka samhället ses som politiska enligt denna paragraf. Rättsfall (1)RH 2004:51:
Lagrumshänvisningar hit (1)5 § Personuppgiftsförordning (1998:1191)
KommentarUndantaget täcker såväl den vanliga verksamheten, såväl som tillsynsverksamhet inom hälso- och sjukvårdsområdet. Bestämmelser om tystnadsplikt i hälso- och sjukvården finns bland annat i 21 kap.
offentlighets- och sekretesslagen (2009:400) och lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Forskning och statistik
KommentarDefinitionen av forskning finns i 2 § lagen (2003:460) om etikprövning av forskning som avser människor. Se även Etikprövningsnämndens praxis och datainspektionens broschyr "Personuppgifter i forskningen – vilka regler gäller?". Lagrumshänvisningar hit (3)14 §, 5a §8 § Personuppgiftsförordning (1998:1191)Ändringar/Förarbeten (1)Ändrad: SFS
2003:466
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Lag (1998:1436).
KommentarDatainspektionen har inte medelat några generella föreskrifter om undantag från 13 §. Lagrumshänvisningar hit (1)1 § 1 st 2 p Förordning (2013:413) om kosmetiska produkterÄndringar/Förarbeten (1)Ändrad: SFS
1998:1436
KommentarAtt behandla personuppgifter i strid med detta förbud är straffbelagt, se 49 §. Datainspektionen har meddelat en föreskrift om undantag från denna paragraf (DIFS 1998:3), samt medgett undantag i enskilda fall, exv för Antipiratbyrån och IFPI. Det finns även ett stort antal undantag i annan lagstiftning, framförallt i de immaterialrättsliga lagarna (exv 53 g § upphovsrättslagen) och registerförfattningar (jfr 2 § om personuppgiftslagens
subsidiaritet. Rättsfall (2)HFD 2016 ref. 8:
Fråga om undantag från personuppgiftslagens förbud för enskilda att behandla...
Lagrumshänvisningar hit (42)49 § 1 st b p, 49 § 1 st e p, 5a §53g § Lag (1960:729) om upphovsrätt till litterära och konstnärliga verk57g § Patentlag (1967:837)35g § Mönsterskyddslag (1970:485)18f § Firmalag (1974:156)13 § 2 st Förordning (1985:357) om registrering av och underrättelse om domar om förbud mot juridiskt eller ekonomiskt biträde i vissa fall2 kap. 12 § Lag (1991:980) om handel med finansiella instrument9g § Lag (1992:1685) om skydd för kretsmönster för halvledarprodukter9 kap. 5e § Växtförädlarrättslag (1997:306)12 § 2 st 1 p, 9 § Personuppgiftsförordning (1998:1191)1 kap. 7 § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet1 kap. 6 § Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet1 kap. 7 § Lag (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar1 kap. 6 § Lag (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet1 kap. 7 § Lag (2001:185) om behandling av uppgifter i Tullverkets verksamhet11 § Förordning (2002:287) om behandling av personuppgifter i Kungl. bibliotekets digitala kulturarvsprojekt8 §, 9 § 2 st Lag (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten3 § 1 st 2 p Lag (2003:460) om etikprövning av forskning som avser människor7 §, 8 § 1 st 2 p Förordning (2006:1226) om Post- och Inrikes Tidningar5 § Förordning (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar10 §, 8 § Lag (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen2 kap. 7 §, 2 kap. 8 §, 7 kap. 8 § 3 st Patientdatalag (2008:355)114 kap. 12 §, 114 kap. 13 §, 114 kap. 15 § 2 st, 114 kap. 16 §, 114 kap. 27 § Socialförsäkringsbalk (2010:110)10 kap. 3 § Varumärkeslag (2010:1877)7 § 2 st Lag (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering16 § 2 st Förordning (2014:936) om näringsförbud17 § 2 st Lag (2015:899) om identitetskort för folkbokförda i Sverige18 § 2 st Utlänningsdatalag (2016:27)Ändringar/Förarbeten (2)Ändrad: SFS
2008:187, 1998:1436
KommentarHuvudregeln är att personnummer får behandlas om den registrerade frivilligt samtycker till detta. Det ställs dock höga krav på denna frivillighet i datainspektionens praxis: En potentiell kund har inte kunnat anses ge samtycke eftersom denne befunnit sig i en beroendeställning mot ett företag som har en monopolställning (Dnr 246-2007). Små barn har inte ansetts kunna ge giltigt samtycke över huvud taget (samrådsyttrande december 2002). Det finns sparsamt med praxis kring vad som gör ett ändamål "klart motiverat" om samtycke saknas eller inte har inhämtats, men för att använda det som användaridentitet i datorsystem tordes kräva att det finns särskilda säkerhetskrav på systemet (samrådsyttrande mars 2004). Rättsfall (2)NJA 2015 s. 180:
Lagrumshänvisningar hit (6)1 kap. 3 § 2 st Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet1 kap. 3 § 2 st Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet1 kap. 3 § 2 st Lag (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar1 kap. 3 § 2 st Lag (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet1 kap. 3 § 2 st Lag (2001:185) om behandling av uppgifter i Tullverkets verksamhet6 § 2 st Lag (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhetÄndringar/Förarbeten (1)Ändrad: SFS
1999:1059
KommentarSe även 25 § om vilken information som ska lämnas, och 27 § om undantag från informationsskyldigheten. I kravet på att uppgifterna ska lämnas självmant ligger att den registrerade inte ska behöva be om att få informationen. Om insamlingen sker löpande (exempelvis ett kontokortsföretags insamlande av en kunds transaktioner) behöver information inte lämnas vid varje enskilt insamlingstillfälle, så länge som den registrerade blivit informerad om att och hur detta kommer ske, och detta skett senast vid den första insamlingen. Om man till den registrerade meddelar osanna uppgifter enligt 23-26 §§ är detta grund för straffansvar, se 49 §
Lagrumshänvisningar hit (10)8a §3 kap. 1 §, 3 kap. 2a § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet3 kap. 1 § Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet3 kap. 1 § Lag (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar3 kap. 1 § Lag (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet3 kap. 1 § Lag (2001:185) om behandling av uppgifter i Tullverkets verksamhet9 kap. 3e § Utlänningslag (2005:716)2 kap. 2 § 3 st Polisdatalag (2010:361)2 kap. 2 § 3 st Kustbevakningsdatalag (2012:145)
KommentarNär man samlar in uppgifter från någon annan part än den registrerade kan det vara svårare att nå denne med information. Principiellt gäller dock samma regel som i 23 § om att information ska lämnas självmant, men det finns några undantag. För att undantaget i andra stycket ska vara tillämpligt krävs att bestämmelserna är specifika. Vem som helst kan begära ut personuppgifter från myndigheter med stöd av offentlighetsprincipen, som alltså innehåller bestämmelser om utlämnande av (bl.a.) personuppgifter. Offentlighetsprincipen är dock för generell för att insamlaren ska kunna tillämpa detta undantag. Vad gäller undantaget i tredje stycket finns i dataskyddsdirektivets ingress (i punkt 40) en riktlinje för bedömning av vad som utgör en oproportionerligt stor arbetsinsats när det gäller behandling för historiska, statistiska eller vetenskapliga ändamål; "[...] antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas [kan] tas i beaktande"
KommentarMed identitet avses här namn och address till den fysiska eller juridiska person som är personuppgiftsansvarig. Information om ändamålet med behandlingen är viktig för att upprätthålla finalitetsprincipen, och det krävs att ändamålet är preciserat. Det finns inget krav på att informationen ska lämnas skriftligen, men det är den personuppgiftsansvarige som har bevisbördan för att visa att informationen har lämnats. Undantaget i andra stycket leder i praktiken till att informationsplikten inte behöver bli alltför betungande för den personuppgiftsansvarige. Lagrumshänvisningar hit (7)21 § Förordning (2000:836) om Schengens informationssystem3 kap. 1 §, 3 kap. 2a § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet3 kap. 1 § Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet3 kap. 1 § Lag (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar3 kap. 1 § Lag (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet3 kap. 1 § Lag (2001:185) om behandling av uppgifter i Tullverkets verksamhet
KommentarDet här är ett exempel på en insynsrätt, dvs en rätt för den enskilde att på begäran få insyn i myndigheters (och företags) information, i det här fallet information om den enskilde. Andra exempel på insynsrätter är offentlighetsprincipen och partsinsyn (som i första hand gäller mot myndigheter). Eftersom begäran ska vara skriftlig och undertecknad räcker det inte med att skicka ett epostmeddelande, utan det måste vara ett fysiskt brev (den personuppgiftsansvarige kan förstås välja att godta även en begäran via epost, men det finns ingen skyldighet att göra detta). Den enskilde kan även begära att uppgifter ska rättas, om de visar sig vara felaktiga (se 28 §) Rättsfall (1)HFD 2014 ref. 55:
Ett beslut att inte lämna ut information enligt 26 § personuppgiftslagen på...
Lagrumshänvisningar hit (78)27 §, 29 § 2 st, 52 §, 5a §, 8a §38g § Patentkungörelse (1967:838)20f § Mönsterskyddsförordning (1970:486)1g §, 1h § Handelsregisterförordning (1974:188)40 § Skogsvårdslag (1979:429)15 § Förordning (1985:357) om registrering av och underrättelse om domar om förbud mot juridiskt eller ekonomiskt biträde i vissa fall15g §, 15h § Förordning (1987:978) om ekonomiska föreningar7a § Arkivförordning (1991:446)13f §, 13g § Förordning (1992:308) om utländska filialer m.m.1 kap. 6 § Förordning (1993:1153) om redovisning av studier m.m. vid universitet och högskolor3f § Förordning (1994:1933) om register över europeiska ekonomiska intressegrupperingar2g §, 2h § Stiftelseförordning (1995:1280)14 § Förordning (1995:665) om revisorer20 § 2 st 5 p Lag (1996:1156) om receptregister16 § Lag (1999:353) om rättspsykiatriskt forskningsregister10 § Marknadsmissbruksförordning (2000:1101)20f § Inskrivningsförordning (2000:309)21 § 2 st Förordning (2000:836) om Schengens informationssystem3 kap. 2 §, 3 kap. 2a §, 3 kap. 4 § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet3 kap. 2 §, 3 kap. 4 § Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet3 kap. 2 §, 3 kap. 4 § Lag (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar3 kap. 2 §, 3 kap. 4 § Lag (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet3 kap. 2 §, 3 kap. 4 § Lag (2001:185) om behandling av uppgifter i Tullverkets verksamhet10 § Lag (2001:454) om behandling av personuppgifter inom socialtjänsten12 § Lag (2001:617) om behandling av personuppgifter inom kriminalvården8 § Förordning (2001:706) om behandling av personuppgifter i Arbetsmiljöverkets informationssystem om arbetsskador7 § 1 st 7 p Förordning (2001:707) om patientregister hos Socialstyrelsen7 § 1 st 7 p Förordning (2001:708) om medicinskt födelseregister hos Socialstyrelsen7 § 1 st 7 p Förordning (2001:709) om cancerregister hos Socialstyrelsen13 § Förordning (2002:287) om behandling av personuppgifter i Kungl. bibliotekets digitala kulturarvsprojekt6 kap. 7 § 3 st Lag (2002:297) om biobanker i hälso- och sjukvården m.m.18 § Lag (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten10 § Förordning (2003:247) om behandling av personuppgifter i Statistiska centralbyråns undersökning om förtroendevalda i kommuner och landsting 20034 kap. 8a §, 4 kap. 9 § Förordning (2004:329) om bank- och finansieringsrörelse9 § Förordning (2004:330) om inlåningsverksamhet8 § Förordning (2004:331) om anmälningsplikt avseende viss finansiell verksamhet11 § Lag (2005:258) om läkemedelsförteckning6 § 1 st 7 p Förordning (2005:363) om läkemedelsregister hos Socialstyrelsen5 kap. 7 § Förordning (2005:411) om försäkringsförmedling2 kap. 4a § Aktiebolagsförordning (2005:559)9 kap. 3e § Utlänningslag (2005:716)29 §, 30 § Lag (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet16 § Lag (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen6 § 1 st 7 p Förordning (2006:94) om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården6 § 1 st 7 p Förordning (2008:194) om tandhälsoregister hos Socialstyrelsen8 kap. 6 § 2 st 8 p Patientdatalag (2008:355)16 § 2 st 5 p Apoteksdatalag (2009:367)7 § Förordning (2009:705) om register över europeiska grupperingar för territoriellt samarbete114 kap. 30 §, 114 kap. 36 § Socialförsäkringsbalk (2010:110)4 kap. 12 §, 4 kap. 13 § Försäkringsrörelseförordning (2011:257)8 § Förordning (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet12 § Förordning (2011:58) om behandling av personuppgifter i Lantmäteriets databas för arkiverade handlingar13 § 2 st 5 p Lag (2012:453) om register över nationella vaccinationsprogram13 § Lag (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering14 § 2 st 7 p Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa18 § Förordning (2014:936) om näringsförbud20 § Domstolsdatalag (2015:728)21 § 2 st 5 p Lag (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel
I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23–26 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i offentlighets- och sekretesslagen (2009:400) vägra att lämna ut uppgifter till den registrerade. Lag (2009:468).
KommentarEtt exempel på en sådan föreskrift finns i OSL 25:6 (om uppgifter om hälsotillstånd för en vård- eller behandlingsbehövande). Rättsfall (1)HFD 2014 ref. 55:
Lagrumshänvisningar hit (6)21 § Förordning (2000:836) om Schengens informationssystem3 kap. 1 § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet3 kap. 1 § Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet3 kap. 1 § Lag (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar3 kap. 1 § Lag (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet3 kap. 1 § Lag (2001:185) om behandling av uppgifter i Tullverkets verksamhetÄndringar/Förarbeten (1)Ändrad: SFS
2009:468
KommentarGenom att 9 § g kräver att personuppgifter ska vara riktiga så är behandling av felaktiga uppgifter i strid med lagen, och den registrerade kan med stöd av denna paragraf begära att uppgifterna ska rättas. Den personuppgiftsansvarige får dock bestämma vilken åtgärd (rättning, utplåning eller blockering) som ska vidtas. För att uppgifterna ska anses utplånade ska de inte gå att återskapa. Se 3 § för en definition av "blockering". Rättsfall (3)RÅ 2006 ref. 13:
Grund för rättelse av uppgifter i beskattningsdatabasen om en persons...
Lagrumshänvisningar hit (36)52 §, 5a §, 8a §48 § 4 st Lag (1955:227) om inskrivning av rätt till luftfartyg1f § Handelsregisterförordning (1974:188)40 § Skogsvårdslag (1979:429)15f § Förordning (1987:978) om ekonomiska föreningar2 kap. 29 § 4 st Sjölag (1994:1009)3e § Förordning (1994:1933) om register över europeiska ekonomiska intressegrupperingar2f § Stiftelseförordning (1995:1280)16 § Lag (1999:353) om rättspsykiatriskt forskningsregister14 §, 14 § 2 st Lag (2000:224) om fastighetsregister81 § Förordning (2000:308) om fastighetsregister3 kap. 2a § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet4 kap. 19 § 3 st Lag (2004:1199) om handel med utsläppsrätter4 kap. 8 § Förordning (2004:329) om bank- och finansieringsrörelse5 kap. 6 § Förordning (2005:411) om försäkringsförmedling2 kap. 6 § Aktiebolagsförordning (2005:559)6 § Förordning (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar3 kap. 11 § Förordning (2007:572) om värdepappersmarknaden8 kap. 3 §, 8 kap. 6 § 2 st 9 p Patientdatalag (2008:355)4 kap. 21 § 4 st Lag (2008:990) om företagshypotek15 § Studiestödsdatalag (2009:287)4 kap. 5 § Lag (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism9 § Förordning (2009:705) om register över europeiska grupperingar för territoriellt samarbete11 § Förordning (2009:92) om åtgärder mot penningtvätt och finansiering av terrorism26 § Lag (2010:362) om polisens allmänna spaningsregister6 kap. 8 § Lag (2010:751) om betaltjänster4 kap. 11 § Försäkringsrörelseförordning (2011:257)1 kap. 6 § Varumärkesförordning (2011:594)13 § Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa15 § Lag (2015:51) om register över tillträdesförbud vid idrottsarrangemang20 § Domstolsdatalag (2015:728)6 § Utlänningsdatalag (2016:27)
KommentarDenna bestämmelse är till skillnad från resten av lagen väldigt specifikt inriktad på en typ av behandling, nämligen automatiskt fattade beslut. Den är tillämplig både på myndigheter och företag. Tanken är att den enskilde ska ha rätt att få sådana beslut manuellt omprövade (jfr 27 § förvaltningslagen för beslut som fattas av myndigheter). Andra stycket ställer ganska långtgående krav på att den personuppgiftsansvarige kan redogöra för den inre logik i datorsystemet som lett till det automatiska beslutet. Lagrumshänvisningar hit (1)7 § 2 st
KommentarDen fysiska person som är anställd hos ett företag, och som en del av sina arbetsuppgifter utför personuppgiftsbehandling, anses inte som personuppgiftsbiträde utan bara som medhjälpare under den personuppgiftsansvariges (arbetsgivarens) direkta ansvar. Ett personuppgiftsbiträde måste arbetsrättsligt vara självständig, exempelvis en underleverantör (dock kan både personuppgiftsbiträdet och även den personuppgiftsansvarige vara fysiska personer, bestämmelserna är inte enbart tillämpliga på juridiska personer. Om underleverantören självständigt bestämmer hur behandlingen ska gå till kan denne dock betraktas som personuppgiftsansvarig tillsammans med sin uppdragsgivare. I kravet på att avtalet ska vara skriftligt ligger inte något krav på att det är fäst på papper, underskrivet eller liknande (jfr 26 §), utan även exv ett epostmeddelande kan betraktas som skriftligt avtal. Lagrumshänvisningar hit (1)5 § 3 st Kreditupplysningslag (1973:1173)
KommentarDatainspektionen har i sina allmänna råd "Säkerhet för personuppgifter" gett riktlinjer för hur säker personuppgiftsbehandling ska ske. Ju känsligare personuppgifterna är, desto högre ställs säkerhetskraven. Utöver bestämmelserna i personuppgiftslagen kan även sekretessregler i offentlighets- och sekretesslagen inverka på hur känsliga upppgifterna ska anses vara. Säkerhetskraven omfattar inte bara att det ska vara svårt för en obehörig att komma åt lagrade personuppgifter, de kan även kräva att man, när man skickar personuppgifter via e-post, är säker på att man kommunicerar med rätt person och att informationen i meddelandet är krypterad (jfr Dnr 685-2008, Dnr 473-2008) Rättsfall (1)HFD 2012 ref. 21:
Lagrumshänvisningar hit (1)32 §
Rättsfall (1)HFD 2012 ref. 21:
Lagrumshänvisningar hit (2)45 § 2 st5 § 3 st Kreditupplysningslag (1973:1173)
Kommentar"Tredje land" omfattar bara länder utanför EU/EES (jfr 3 §). EU-kommissionen analyserar lagstiftningen i olika länder för att avgöra om denna motsvarar kraven på "adekvat skyddsnivå" och gör rapporterna tillgängliga. USA anses inte generellt ha en adekvat skyddsnivå, men man får överföra uppgifter till ett företag om detta företag tecknat ett s.k. "Safe harbour"-avtal. Att publicera en webbsida med personuppgifter leder normalt till att personuppgifterna kan läsas från hela världen, inklusive tredje land. Det ses dock inte som en överföring enligt denna paragraf (såvida inte själva webbservern fysiskt är placerad i tredje land) enligt EG-domstolens förhandsbesked C-101/01 (i målet RH 2004:51). Att föra över uppgifter till tredje land i strid med 33-35 §§ är straffbelagt, se 49 §. Rättsfall (1)RH 2002:71:
En person som på Internet registrerat flera sexannonser och därvid hänfört sig...
Lagrumshänvisningar hit (20)34 §, 35 §, 35 § 2 st, 35 § 3 st, 49 § 1 st c p, 49 § 1 st f p, 5a §, 7 § 2 st9 kap. 12 § Förordning (1980:789) om åtgärder mot förorening från fartyg13 § Förordning (1985:357) om registrering av och underrättelse om domar om förbud mot juridiskt eller ekonomiskt biträde i vissa fall14 § Personuppgiftsförordning (1998:1191)3 § Förordning (2000:1222) om internationellt tullsamarbete27 § 2 st 4 p, 28 § Lag (2000:343) om internationellt polisiärt samarbete12 § 2 st Lag (2006:1570) om skydd mot internationella hot mot människors hälsa114 kap. 29 § Socialförsäkringsbalk (2010:110)5 § Förordning (2011:704) med kompletterande bestämmelser till EU:s underhållsförordning och 2007 års Haagkonvention om underhållsskyldighet10 § Lag (2012:318) om 1996 års Haagkonvention16 § Förordning (2014:936) om näringsförbud21 § Utlänningsdatalag (2016:27)Ändringar/Förarbeten (1)Ändrad: SFS
1999:1210
Lagrumshänvisningar hit (3)12 §, 5a §27 § 2 st 4 p Lag (2000:343) om internationellt polisiärt samarbete
Regeringen får meddela föreskrifter om undantag från förbudet i 33 § för överföring av personuppgifter till vissa stater. Regeringen får också meddela föreskrifter om att överföring av personuppgifter till tredje land är tilllåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter.
Lagrumshänvisningar hit (2)49 § 1 st c p36 § Kameraövervakningslag (2013:460)Ändringar/Förarbeten (1)Ändrad: SFS
KommentarEn anmälan kan göras via Datainspektionens blankett. Det går i dagsläget inte att skicka in anmälan elektroniskt. Närmare bestämmelser finns i DIFS 1998:2 i lydelse enligt DIFS 2001:1. Datainspektionen gör i normalfallet inte någon rättslig prövning av om den anmälda personuppgiftsbehandlingen är tillåten (se dock 41 § om förhandsprövning av särskilt integritetskänsliga behandlingar). Den personuppgiftsansvarige kan alltså inte förlita sig på att datainspektionen inte lämnat några anmärkningar, utan är alltid ansvarig för att behandlingen är laglig. Det finns i PUF och DIFS ett antal undantag från anmälningsplikten för Behandling som sker på grund av skyldighet i lag, exv myndigheters skyldighet att lämna ut handlingar eller arkivera handlingar (3 § personuppgiftsförordningen (1998:1191)). Behandling av personuppgifter i löpande text eller ostrukturerat material (4 § personuppgiftsförordningen). Vissa organisationers behandling av sådana känsliga uppgifter om sina medlemmar som har samband med organisationens verksamhet (5 § personuppgiftsförordningen). Behandling som sker med den registrerades samtycke (4 §
DIFS 1998:2 i lydelse enligt DIFS 2001:1). Ett antal vanligt förekommande och (sakligt motiverade) typer av behandlingar, exv register över anställda eller kunder (5 § DIFS 1998:2 i lydelse enligt DIFS 2001:1). En anmälan om att ett personombud har utsetts kan också göras via en blankett från datainspektionen. Om man i en anmälan anger osanna uppgifter är detta grund för straffansvar, se 49 §
Lagrumshänvisningar hit (4)39 §, 41 §, 49 § 1 st a p
KommentarFör en organisation som utför fler än ett fåtal olika sorters personuppgiftsbehandlingar kan det alltså vara mycket praktiskt att utse ett personuppgiftsombud. Till skillnad från personuppgiftsansvarig måste ett personuppgiftsombud alltid vara en fysisk person. Ombudet kan vara anställt hos den personuppgiftsansvarige, men måste ha en tillräckligt självständig position för att kunna utföra sitt uppdrag. Uppdraget kan jämföras med ett revisorsuppdrag. Notera att enligt 41 § så måste vissa särskilt integritetskänsliga behandlingar alltid förhandsanmälas, även om det finns ett personuppgiftsombud. Lagrumshänvisningar hit (1)41 §
Regeringen får meddela föreskrifter om att sådana behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten enligt 36 § tre veckor i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. Lag (1998:1436).
KommentarEn lista på sådana särskilt integritetskänsliga behandlingar finns i 1 §
DIFS 1998:2 i lydelse enligt DIFS 2001:1. Datainspektionen har även en informationssida med anmälningsblanketter. Till skillnad från vanlig anmälan enligt 36 § så gör i dessa fall datainspektionen en prövning av om behandlingen är laglig. Lagrumshänvisningar hit (1)49 § 1 st d pÄndringar/Förarbeten (1)Ändrad: SFS
Den personuppgiftsansvarige ska till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiserade eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Upplysningarna ska omfatta det som en anmälan enligt 36 § första stycket skulle ha omfattat. Den personuppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i offentlighets- och sekretesslagen (2009:400) vägra att lämna ut uppgifter. Lag (2009:468).
Lagrumshänvisningar hit (4)52 §, 5a §, 8a §3 kap. 2a § Lag (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhetÄndringar/Förarbeten (1)Ändrad: SFS
Lagrumshänvisningar hit (2)44 §, 49 § 1 st a p
Lagrumshänvisningar hit (2)49 § 3 st, 7 § 2 st
Lagrumshänvisningar hit (7)32 § 2 st, 46 §2 kap. 2 § 4 st Polisdatalag (2010:361)2 kap. 2 § 4 st Kustbevakningsdatalag (2012:145)2 kap. 2 § 3 st Åklagardatalag (2015:433)5 § 2 st Domstolsdatalag (2015:728)8 § 3 st Utlänningsdatalag (2016:27)
Lagrumshänvisningar hit (4)53 §, 7 § 2 st22 §, 22 § 2 st Domstolsdatalag (2015:728)Ändringar/Förarbeten (1)Ändrad: SFS
2009:827
KommentarDenna bestämmelse om skadeståndsskyldighet gäller framför de generella i skadeståndslagen (se 1 kap. 1 § denna lag), men eftersom den inte reglerar samtliga skadeståndsrättsliga frågor måste den läsas tillsammans med skadeståndslagen (se exv 5 kap.
skadeståndslagen om hur skadeståndet beräknas). En kränkning genom felaktig personuppgiftsbehandling kan bedömas både enligt denna paragraf och enligt 2 kap. 3 § skadeståndslagen. Det är bara den personuppgiftsansvarige, inte -biträden eller -ombud, som kan bli skadeståndsansvariga. Det finns relativt mycket praxis från JK i skadeståndsärenden för statens felaktiga personuppgiftsbehandling, exv beslut 2002-10-15 (förväxling av avliden) och beslut 2003-09-11 (oriktig uppgift i belastningsregistret). Rättsfall (2)NJA 2013 s. 1046:
Lagrumshänvisningar hit (30)51 § 4 st Lag (1955:227) om inskrivning av rätt till luftfartyg1e § Handelsregisterförordning (1974:188)15e § Förordning (1987:978) om ekonomiska föreningar22 kap. 4 § 4 st Sjölag (1994:1009)3d § Förordning (1994:1933) om register över europeiska ekonomiska intressegrupperingar2e § Stiftelseförordning (1995:1280)3 § 5 st Förordning (1995:1301) om handläggning av skadeståndsanspråk mot staten13 § Lag (2000:224) om fastighetsregister8 kap. 11 § Lag (2004:1199) om handel med utsläppsrätter4 kap. 7 § Förordning (2004:329) om bank- och finansieringsrörelse5 kap. 5 § Förordning (2005:411) om försäkringsförmedling2 kap. 5 § Aktiebolagsförordning (2005:559)11 § Förordning (2006:1226) om Post- och Inrikes Tidningar6 § Förordning (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar3 kap. 10 § Förordning (2007:572) om värdepappersmarknaden19 § 3 st Lag (2008:1075) om inteckningsbrevsregister10 kap. 1 § Patientdatalag (2008:355)5 kap. 1 § 3 st Lag (2008:990) om företagshypotek15 § Studiestödsdatalag (2009:287)4 kap. 5 § Lag (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism8 § Förordning (2009:705) om register över europeiska grupperingar för territoriellt samarbete10 § Förordning (2009:92) om åtgärder mot penningtvätt och finansiering av terrorism26 § Lag (2010:362) om polisens allmänna spaningsregister6 kap. 8 § Lag (2010:751) om betaltjänster7 kap. 7 § Lag (2011:1200) om elcertifikat4 kap. 10 § Försäkringsrörelseförordning (2011:257)1 kap. 6 § Varumärkesförordning (2011:594)17 § Lag (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa15 § Lag (2015:51) om register över tillträdesförbud vid idrottsarrangemang6 § Utlänningsdatalag (2016:27)
KommentarTill skillnad från skadeståndsansvar kan straff bara utdömas till en fysisk person. Det är den person som faktiskt utfört handlingen (eller, vad gäller punkt d, underlåtit att anmäla behandlingen) som döms till ansvar, inte den personuppgiftsansvarige (såvida dessa inte är en och samma person). Ringa överträdelser är framförallt sådana som orsakar mindre skada eller som inte skett uppsåtligen. Om den personuppgiftsansvarige uppmärksammats på den felaktiga behandlingen, men fortsatt med den, bör handlingen inte betraktas som ringa (jfr NJA 2005 s. 361, och, till det motsatta, RH 2004:51). Rättsfall (2)RH 2002:71:
Lagrumshänvisningar hit (1)7 § 2 stÄndringar/Förarbeten (2)Ändrad: SFS
1999:1210, 2006:398
Rättsfall (1)RÅ 2010 ref. 29:
Datainspektionens beslut att inte vidta någon åtgärd med anledning av ett...
Lagrumshänvisningar hit (1)53 §Ändringar/Förarbeten (1)Ändrad: SFS
Rättsfall (1)HFD 2014 ref. 55:
Lagrumshänvisningar hit (2)53 §Ändringar/Förarbeten (1)Ändrad: SFS
Lagrumshänvisningar hit (1)10 kap. 2 § 3 st Patientdatalag (2008:355)Ändringar/Förarbeten (1)Ändrad: SFS
Prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180, EGTL281/95 s31
Lag (1998:1436) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
Prop. 1997/98:44, bet. 1998/99:KU3, rskr. 1998/99:1, EGTL281/95 s31
Lag (1999:1059) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
Prop. 1999/2000:6, bet. 1999/2000:SkU7, rskr. 1999/2000:66
Lag (1999:1210) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
Prop. 1999/2000:11, bet. 1999/2000:KU7, rskr. 1999/2000:51
Lag (2003:466) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
Lag (2006:398) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
Prop. 2005/06:173, bet. 2005/06:KU37, rskr. 2005/06:254
ändr. 7, 49, 51 §§;nya 5 a, 8 a, 52, 53 §§, rubr. närmast före 5 a, 8 a §§
Lag (2008:187) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
2008:187
Lag (2009:468) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
Lag (2009:827) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)
Lag (2010:1969) om ändring i personuppgiftslagen (1998:204)Officiell version (PDF)

References: § 2
 § 2
 § 2
 § 5
 § 2
 § 2
 § 2
 § 2
 §5
 § 4
 § 2
 § 1
 § 1
 § 2
 § 2
 § 2
 § 2
 § 1
 § 1
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 1
 § 1
 §2
 § 2
 § 3
 § 1
 § 2
 § 1
 § 1
 § 3
 § 2
 § 2
 §8
 §8
 § 1
 § 1
 § 1
 §53
 § 2
 § 2
 § 2
 § 1
 § 1
 § 3
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 §3
 § 3
 § 3
 § 2
 §38
 § 2
 § 2
 § 1
 § 1
 § 1
 § 3
 § 1
 § 1
 § 1
 § 2
 § 2
 § 2
 § 2
 § 2
 §48
 § 4
 § 4
 § 2
 § 3
 § 2
 § 4
 § 2
 § 3
 § 2
 § 3
 § 2
 § 3
 § 1
 § 1
 § 2
 § 2
 § 2
 §27
 § 2
 § 1
 § 1
 § 1
 §3
 § 1
 § 3
 § 2
 § 2
 §2
 § 4
 § 4
 § 3
 § 2
 § 3
 § 2
 § 2
 § 4
 § 4
 § 5
 § 3
 § 3
 § 2
 § 3