Source: https://lagen.nu/1998:204/konsolidering/2009:468
Timestamp: 2019-08-26 03:06:19+00:00
Document Index: 26130879

Matched Legal Cases: ['§ 2', '§ 2', 'domstolen ', '§ 2', '§ 2', '§ 1', '§ 2', '§ 2', '§ 2', '§ 1', '§ 1', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§ 1', '§ 2', '§ 2', '§ 2', 'domstolen ', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§ 1', '§ 1', '§ 1', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', 'domstolen ', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', '§\n2', '§ 3', '§ 3', '§ 3', '§ 3', '§ 2', '§\n21', '§ 2', '§ 2', '§ 2', '§ 2', '§ 1', '§ 1', '§ 3', '§\n4', '§ 4', '§ 4', 'domstolen ', '§ 1', '§ 2', '§ 1', '§ 3', '§ 2', '§\n14', '§ 2', '§\n2', '§ 3', '§ 1', '§ 1', '§ 1', '§ 1', '§\n49', '§ 3', '§ 2', '§ 2', '§ 4', '§ 4', '§ 4', '§ 4', '§ 3', '§ 2', '§ 3', '§ 3']

SFS 1998 i lydelse enligt SFS 2009:468
Datalag (1973:289)
Huvudförfattare: Staffan Malmgren
Personuppgiftslagen (PUL) reglerar hur juridiska och fysiska personer (myndigheter, företag, enskilda, m.fl.) får hantera personuppgifter och tar framförallt sikte på databehandling.
Det finns fyra huvudsakliga frågor man måste undersöka:
Om PUL är tillämplig (2-8 §§)
om behandlingen är tillåten (9-22 §§)
om den är anmälningspliktig (36-37 §§)
vilka krav som ställs på behandlingen när den är igång (9, 23-35 och 42 §§).
Lagen bygger på dataskyddsdirektivet (46/95/EG) och har tillkommit i syfte att skydda den personliga integriteten.
PUL kompletteras av personuppgiftsförordningen (PUF) och datainspektionens föreskrifter (DIFS). Härutöver gäller även ett stort antal registerförfattningar, exempelvis domstolsdataförordningen (2015:729). Även europakonventionens artikel 8 (rätt till privatliv) reglerar den personliga integriteten.
PUL kommer i framtiden ersättas av EUs dataskyddsförordning (EU) 2016/679, som antogs i april 2016 och som kommer börja tillämpas från och med den 25 maj 2018.
I 2 kap 3 § 2 st. regeringsformen stadgas att det ska finnas lagstöd för den personliga integriteten. Det är denna lag som avses.
Prop. 1997/98:44: Paragrafen innehåller en upplysning om syftet med lagen och överensstämmer i huvudsak med Datalagskommitténs förslag.
Rikspolisstyrelsen har föreslagit att syftet enligt EG-direktivet att åstadkomma ett fritt flöde av personuppgifter mellan medlemsstaterna i Europeiska unionen också bör komma till uttryck i lagtexten. Detta syfte uppfylls emellertid just genom att medlemsstaterna genomför en åtminstone delvis harmoniserad lagstiftning till skydd mot kränkning av personlig ...
Lagen är alltså subsidiär. Ett exempel på en lag som delvis gäller framför PUL är lagen (2001:99) om den offentliga statistiken. Även tryckfrihetsförordningen har företräde framför PUL, dels på grund av denna paragraf och 7-8 §§, men framförallt pga principen om lex superior.
Prop. 1997/98:44: Av paragrafen framgår att personuppgiftslagen är subsidiär i förhållande till andra författningar. Paragrafen har behandlats i avsnitt 6.2. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 8.2.2 i kommitténs betänkande.
3 § Förordning (2002:287) om behandling av personuppgifter i Kungl. bibliotekets digitala kulturarvsprojekt
Eftersom både "behandling" och "personuppgift" har en vid definition faller i stort sett all elektronisk informationshantering in under lagens tillämpningsområde, om den innehåller information om en nu levande människa (avlidna personer skyddas inte av PUL). Detta inkluderar även digitalfotografering, digital ljudinspelning och omnämnande i löpande text. Regleringen för sådana s.k. ostrukturerade personuppgifter är dock enklare än för personuppgifter som ingår i ett strukturerat register. De förra hanteras enligt missbruksmodellen, de senare enligt hanteringsmodellen.
Uppgifter om ett hushåll (istället för en enskild person), dvs uppgift som hänförs till en väldigt snäv krets, anses i praxis utgöra personuppgifter.
Se kommentaren till 30 § angående relationen mellan personuppgiftsansvarig och personuppgiftsbiträde.
Prop. 1997/98:44: Paragrafen innehåller definitioner av viktigare uttryck och begrepp som används i lagen. Den har jämkats något i förhållande till Datalags-
kommitténs förslag. Definitionerna har berörts i avsnitt 12.2 i kommitténs betänkande.
Definitionerna av behandling ...
HFD 2012:21:Försäkringskassan har vid tillhandahållande av elektroniska självbetjäningstjänster ansetts personuppgiftsansvarig för den behandling som sker innan uppgifterna blir tillgängliga för kassan.
NJA 2015 s. 180:Lagring av personuppgifter (domstols dagboksblad) i dator har ansetts inte omfattad av undantaget för privat behandling av personuppgifter i 6 § personuppgiftslagen (1998:204). Även fråga om det krävs prövningstillstånd i Högsta domstolen.
AD 2013 nr 19:Frågor om arbetstagarna skulle genomgå alkoholtest hos en av bolagets kunder inneburit brott mot dels ett mellan förbundet och bolaget träffat kollektivavtal om hantering och rutiner av alkolås i företagets fordon, dels transportavtalet och dels personuppgiftslagen. Även fråga om det är av avsevärd betydelse för käranden att få en fastställelsetalan prövad.
RÅ 2001:35:Fråga om manuell behandling av personuppgifter i betygshandlingar som är sorterade i bokstavsordning och som genom behandlingen kommer att sorteras med ledning av varje students betygsgenomsnitt omfattas av 5 § personuppgiftslagen (1998:204).
RH 2004:51:Hemsida på Internet med personuppgifter. Överträdelse av personuppgiftslagens bestämmelser om anmälningsskyldighet och förbud mot behandling av känsliga personuppgifter utan uttryckligt samtycke har i visst fall ansetts som ringa och därmed straffritt. - Fråga om direktivkonform lagtolkning, begreppet automatiserad behandling av personuppgifter, begreppet privat behandling av personuppgifter, undantag för personuppgifter i löpande text, begreppet hälsa, lagens förenlighet med regeringsformens och Europakonventionens bestämmelser om yttrandefrihet, det gemenskapsrättsliga proportionalitetsbegreppet, legalitetsprincipen samt straffrihet för ringa fall.
Lagen tar i första hand sikte på den personuppgiftsansvariges placering, inte var exempelvis databasservern fysiskt är placerad. En person bosatt i Sverige kan alltså inte undgå att behöva följa PUL genom att använda en dator i utlandet. Däremot kan det vara otillåtet att överföra information till en sådan dator om den står i ett land som saknar lagstiftning i stil med PUL - se 33 §.
Prop. 1997/98:44: Paragrafen har behandlats i avsnitt 9. Den överensstämmer med Datalagskommitténs förslag, dock att en av kommittén föreslagen bestämmelse om skyldighet att till tillsynsmyndigheten lämna in en anmälan om en utsedd företrädare inte tagits med. Paragrafen har berörts i avsnitt 12.3 i kommitténs betänkande.
Avsikten är att paragrafen ...
PUL är i första hand skriven för datoriserad personuppgiftsbehandling, men kan även bli tillämplig vid manuell pappersbaserad uppgiftsbehandling. För detta krävs dock att uppgifterna är ordnade så att man kan söka och sammanställa uppgifter på ett effektivare sätt än att manuellt läsa igenom hela information från början till slut och att sådan sökning eller sammanställning kan ske på minst två kriterier till exempel via separata index och register enligt RÅ 2001 ref. 35 (KTH).
Prop. 1997/98:44: Frågan om en teknikoberoende lag har behandlats i avsnitt 6.1. Paragrafen överensstämmer i sak med Datalagskommitténs förslag och har berörts i avsnitt 7.2.1, 12.2.8 och 12.2.12 i kommitténs betänkande. ...
AD 2010 nr 87:En arbetsgivare är enligt transportavtalet skyldig att till den lokala fackliga organisationen insända kopia av upprättat anställningsbevis i samband med att anställningsavtal träffas. En arbetsgivare har underlåtit att tillämpa bestämmelsen och har därvid anfört att detta skulle strida mot personuppgiftslagen. Fråga huruvida arbetsgivarens underlåtenhet har inneburit ett brott mot transportavtalet.
HFD 2015 not 1:Personuppgifter i enkla digitala dokument ansågs visserligen strukturerade men inte för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter varför behandling av personuppgifterna omfattades av undantagsregeln i 5 a § första stycket personuppgiftslagen
Om personuppgifterna finns i ostrukturerat material, exv. löpande text, behöver större delen av PUL (den s.k. hanteringsmodellen) inte tillämpas. Istället används den enklare s.k. missbruksmodellen som beskrivs i andra stycket, och som bara innehåller en regel - personuppgiftshanteringen får inte kränka den personliga integriteten för den/de personer som uppgifterna gäller.
De delar av PUL som inte ska användas med missbruksmodellen handlar om grundläggande regler för hur behandlingen ska gå till (9 §), när behandlingen över huvud taget är tillåten (10 §), begreppet "känsliga personuppgifter" (13-19 §§), personuppgifter om lagöverträdelser (21 §), personnummer (22 §), krav om att informera den registrerade (23-26 §§), rättelse av personuppgifter (28 §), överföring till tredje land (33-34 §§ -- se dock nästa stycke) samt information till allmänheten (42 §).
Det är enligt 49 § straffbart att behandla känsliga uppgifter (13 §) eller uppgifter om lagöverträdelser (21 §), eller att föra över sådana uppgifter till tredje land i strid med 33 §, om detta innebär en kränkning enligt andra stycket.
Prop. 2005/06:173: Paragrafen, som är ny och som har utformats i enlighet med Lagrådets förslag, har behandlats i avsnitt 8.1–8.4.
Den syftar till att underlätta sådan behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Som en sammanfattande benämning på vad som ...
NJA 2013 s. 1046:Att lägga ut en tvistemålsdom med namn och adressuppgifter på en internetsida utgör inte en sådan behandling av personuppgifter som omfattas av de s.k. hanteringsreglerna i personuppgiftslagen (1998:204). Däremot har behandlingen inneburit att den namngivnes personliga integritet har kränkts på ett sådant sätt att skadestånd ska utgå. Ersättningen har bestämts till ett schablonbelopp på 3 000 kr.
HFD 2012:16:Kameraövervakning av bl.a. korridorer och uppehållsrum i en gymnasieskola under ordinarie skoltid har ansetts otillåten enligt personuppgiftslagen.
HFD 2015:3:Fråga om tillämpning av undantagsregeln i 5 a § personuppgiftslagen.
HFD 2011:77:Kameraövervakning av entréer i flerfamiljshus har ansetts otillåten enligt personuppgiftslagen.
8 §, 4 § Personuppgiftsförordning (1998:1191)
Införd: SFS 2006:398 (Översyn av personuppgiftslagen)
"Rent privat bruk" ska tolkas relativt snävt. I RH 2004:51 (Konfirmandlärarmålet) slogs fast att publicering av personuppgifter på en allmänt tillgänglig webbsida inte kunde anses vara privat bruk, även om det görs av en privatperson på fritiden.
Prop. 1997/98:44: Paragrafen har behandlats i avsnitt 8.3. Den överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 7.2.4 i kommitténs betänkande.
Avsikten är att paragrafen skall ha samma innebörd som artikel 3.2 andra strecksatsen i EG-direktivet, se bilaga 1. Paragrafen för med sig t.ex. att enskilda för rent privat bruk kan ...
Att PUL inte ska tillämpas i strid mot TF/YGL följer även av principen om lex superior samt exklusivitetsprincipen.
Undantaget för journalistisk verksamhet i andra stycket har i praxis tolkats brett och omfattar de flesta opinionsbildande yttranden på nätet, se NJA 2001 s. 409 (Ramsbromålet) och Daniel Westmans analys. När detta undantag är tillämpligt ska endast säkerhetsbestämmelserna (framförallt 30-32 §§) tillämpas.
Prop. 2005/06:173: I andra stycket har 5 a § lagts till i uppräkningen. Ändringen är en följdändring och innebär att den nya föreslagna paragrafen inte – i likhet med de flesta andra bestämmelser i personuppgiftslagen – skall tillämpas på
sådan behandling av personuppgifter som sker uteslutande för journalistiska ...
Prop. 1997/98:44: Frågan om undantag med hänsyn till tryck- och yttrandefriheten har behandlats i avsnitt 8.2. Paragrafen överensstämmer delvis med Datalagskommitténs förslag. Paragrafen har berörts i avsnitt 10 i kommitténs betänkande....
Ändrad: SFS 2006:398 (Översyn av personuppgiftslagen)
Även om PUL inte direkt hindrar en myndighet från att lämna ut allmäna handlingar, så kan handlingarna beläggas med sekretess enligt OSL 21:7, vilket hindrar utlämnande om det kan antas att detta skulle medföra personuppgiftsbehandling i strid med PUL. I RÅ 2001 ref. 35 ville KTH inte lämna ut studenters betygshandlingar, då de befarade att mottagaren skulle behandlas dessa i strid med PUL (RegR fann dock att det inte fanns anledning att anta detta).
Prop. 1997/98:44: Frågan om hur EG-direktivet förhåller sig till offentlighetsprincipen har behandlats i avsnitt 8.1. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 9.2, 9.4 och 12.4.6.3 ...
allmän säkerhet,
förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler som gäller för lagreglerade yrken,
åtal för brott,
ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen,
myndighetsutövning som avser tillsyn, inspektion eller reglering i fråga om sådant som nämns i c-f, eller
skyddet av fri- och rättigheter. Lag (2006:398).
Detta bemyndigande för regeringen att föreskriva undantag från delar av PUL sker med stöd av artikel 13 i dataskyddsdirektivet. Det infördes samtidigt som regleringen av ostrukturerade personuppgifter (missbruksmodellen), men har inget direkt samband med denna. Inga undantag har dock veterligen föreskrivits med stöd av denna paragraf.
Prop. 2005/06:173: Paragrafen, som är ny, har behandlats i avsnitt 9.4.
I paragrafen bemyndigas regeringen att meddela föreskrifter om undantag från vissa bestämmelser i personuppgiftslagen.
I fråga om både vilka bestämmelser som undantag kan medges ifrån och under vilka förutsättningar så kan ske skall paragrafen ha samma innebörd som artikel ...
Dessa är de grundläggande krav som enligt hanteringsmodellen ska vara uppfyllda för att personuppgiftsbehandling överhuvudtaget ska få ske. De flesta kraven kretsar kring ändamålen för behandlingen
a) Kravet på att behandlingen ska vara laglig kan synas lite överflödigt, men är hämtat från dataskyddsdirektivet artikel 6.
b) "God sed" kommer framförallt i uttryck genom branschöverenskommelser, exv Swedmas branschregler. Att följa dessa ger även undantag från anmälningsplikten.
c) I "särskilda" ligger ett krav på att ändamålen ska vara någorlunda preciserade, ett allt för allmänt hållet ändamål (exv "på förekommen anledning") godkänns inte.
d) Denna punkt uttrycker den s.k. finalitetsprincipen. Se också andra stycket i denna paragraf samt 25 § (om informationsplikt)
e), f) och i) Dessa punkter understryker kravet på att ändamålen är preciserade.
g) och h) Det finns också ett ansvar att rätta felaktiga uppgifter enligt 28 §
Med "historiska ändamål" avses i första hand arkivering (SOU 1997:39 avsnitt 12.4.6.2). Undantagen för forskning och statistik ska läsas i ljuset av de särskilda undantagen för känsliga uppgifter i 19 § och de krav på etikprövning och sekretess som finns på dessa områden.
Prop. 1997/98:44: I paragrafen läggs det fast vissa grundläggande krav på den personuppgiftsansvariges behandling av personuppgifter. De grundläggande kraven på behandlingen av personuppgifter har behandlats i avsnitt 11.2. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 11.6.5 och ...
HFD 2019:9:Fråga om bevisbörda och beviskrav vid ändring av identitetsuppgifter i folkbokföringen.
HFD 2016:40:Personuppgiftslagens krav på att personuppgifter får behandlas bara om det är lagligt innebär att behandlingen ska vara förenlig med bestämmelserna i den lagen och i föreskrifter som har meddelats med stöd av lagen. Tillämpning av 21 kap. 7 § offentlighets- och sekretesslagen.
RÅ 2008:83:Behandling av biometriska data i form av fingeravläsning i samband med skolmåltider har ansetts kräva samtycke för att vara tillåten enligt personuppgiftslagen.
5a §, 8a §, övg. best. SFS 1998:204 3 p, övg. best. SFS 1998:204 4 p, 7 § 2 st
övg. best. SFS 2001:164 2 pKreditupplysningslag (1973:1173)
Den personuppgiftsansvarige bör börja med att undersöka om uppgifterna i fråga är "vanliga" (10-12 §§), känsliga (13-20 §§), alternativt rör brott (21 §) eller personnummer (22 §) för att sedan undersöka om den tänkta behandlingen är tillåten enligt huvudregeln om samtycke eller något av undantagen. Kraven i 10 § gäller samtliga sorters uppgifter. Huvudregeln enligt hanteringsmodellen är att all behandling som inte uttryckligen är tillåten är förbjuden.
"Vanliga" (icke-känsliga) personuppgifter får alltid behandlas om man har den registrerades samtycke (för vilket det inte finns särskilt stränga formkrav, en kryssruta på ett webbformulär eller tillochmed konkludent handlande kan räcka -- men samtycket kan återkallas (12 §). Se även Datainspektionens information om samtycke. Notera att samtycket måste täcka varje enskild behandling - har man fått samtycke till bara insamling kan detta inte rättfärdiga annan behandling, exv spridning, enligt finalitetsprincipen (se även 9 § d).
Har man inte samtycke kan behandlingen ändå vara tillåten om någon av tillåtlighetsgrunderna i a-f är uppfyllda. Uppräkningen är uttömande (se även SOU 1997:39 avsnitt 12.5.1).
a) För att ett avtal ska kunna utgöra en tillåtlighetsgrund ska det vara slutet med just den registrerade - inte med exempelvis dennes arbetsgivare.
b) Med rättslig skyldighet menas i första hand en lagstadgad plikt för ett företag (eller annat privaträttsligt subjekt) att göra något - exempelvis har en arbetsgivare vid uppsägning på grund av arbetsbrist en skyldighet att upprätta turordningslistor över sina anställda (för myndigheters förpliktelser, se punkt e)
c) Det är osäkert hur brett "vitala intressen" ska tolkas, men det gäller i vart fall sådant som avgörande betydelse för den registrerades liv (se SOU 1997:39 avsnitt 3.5.5 och dataskyddsdirektivets preambelpunkt 31).
d) Exempel på arbetsuppgifter av allmänt intresse är arkivering, forskning och framställning av statistik.
e) Med myndighetsutövning menas här sådana uppgifter som en myndighet enligt lag ska utföra och som har rättsliga effekter för den enskilde. Exempelvis får en domstol registrera uppgifter om parter i ett tviste- eller brottmål.
f) Denna intresseavvägning används ofta i praktiken då intrånget i den personliga integriteten är litet eller obefintligt, och det är opraktiskt att inhämta samtycke i förhand. Både en ideell förenings allmännyttiga verksamhet såväl som ett privat företags vinstintresse kan utgöra ett "berättigat intresse".
Prop. 1997/98:44: I paragrafen finns det en uttömmande uppräkning av i vilka fall personuppgifter får behandlas. Om känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer skall behandlas, måste behandlingen dessutom vara tillåten i enlighet med 13–22 §§. I 12 §
andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat ...
RÅ 2002:54:Utdrag ur Centrala studiestödsnämndens register över mottagare av studiemedel har ansetts kunna lämnas ut för kommersiellt ändamål. Tillämpning av 7 kap. 16 § sekretesslagen och 10 § f personuppgiftslagen.
RÅ 2010:19:Publicering av konkursbouppteckning på Internet har inte ansetts tillåten enligt personuppgiftslagen.
RÅ 2001:68:Jordbruksverkets adressregister över mjölkproducenter har ansetts kunna lämnas ut för kommersiellt ändamål. Tillämpning av 7 kap. 16 § sekretesslagen (1980:100) och 10 § f personuppgiftslagen (1998:204).
AD 2018 nr 65:I väg- och banavtalet finns en bestämmelse om lönegranskning som ger den lokala fackliga organisationen rätt att fortlöpande granska löneförhållandena och ta del av avlöningslistor. Fråga om ett bolag brutit mot avtalet genom att inte låta förbundets fackliga förtroendemän ta del av begärda avlöningslistor med löneuppgifter som kan knytas till identifierbara arbetstagare, såvitt avser utanförstående arbetstagare och om det skulle ha varit i strid med den tidigare gällande personuppgiftslagen att lämna ut de omtvistade uppgif-terna. Arbetsdomstolen har funnit att en behandling av personuppgifterna, genom att lämna ut uppgifterna till förbundet, skulle ha varit tillåten enligt 10 § f) personuppgiftslagen och att bolaget därmed gjort sig skyldigt till kol-lektivavtalsbrott genom att inte lämna ut uppgifterna.
19 § 2 st, 5a §, övg. best. SFS 1998:204 3 p, övg. best. SFS 1998:204 4 p, övg. best. SFS 1998:204 7 p, 14 § 2 st
En sådan anmälan från den enskilde kan ske genom e-post. Direktmarknadsföraren får inte ta ut någon avgift av den enskilde i samband med en sådan anmälan. Se även 19 och 20 §§marknadsföringslagen (2008:486) om när direktmarknadsföring till enskild får och inte får ske.
Prop. 1997/98:44: Paragrafen reglerar den registrerades rätt att motsätta sig behandling för direkt marknadsföring. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.5.2.3 i kommitténs betänkande.
Uttrycket ”behandlas för ändamål som rör direkt marknadsföring” är avsett att ha samma innebörd som enligt artikel 14 första stycket b i EGdirektivet, se bilaga 1.
5 § 1 st 5 p Lag (2001:558) om vägtrafikregister
3a § 2 st 5 p Kungörelse (1972:291) om understödsföreningsregister
34a § 2 st 5 p Försäkringsrörelseförordning (1982:790)
40a § 2 st 5 p Bankrörelseförordning (1987:647)
Det finns inget särskilt formkrav för hur ett återkallande av samtycke ska ske, utan det kan ske muntligen till den personuppgiftsansvarige (eller någon som företräder denne). Det är dock den som gör återkallandet som har bevisbördan för att det faktiskt skett.
Ett återkallande spelar ingen roll om själva behandlingen sker med stöd av en annan tillåtlighetsgrund än just den registrerades samtycke (dvs någon av grunderna i listan i 10 §).
Prop. 1997/98:44: Paragrafen reglerar vad som gäller när den registrerade återkallar ett redan lämnat samtycke till behandling av personuppgifter och i vilka fall den registrerade i övrigt skall ha rätt att motsätta sig sådan behandling. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.5.2.2 och 11.6.6 i kommitténs betänkande....
Huvudregeln för känsliga uppgifter är att de inte får hanteras alls, men i efterföljande paragrafer (14-20 §§) finns ett antal undantag från detta förbud. Att behandla personuppgifter i strid med förbudet är straffbelagt, se 49 §.
Ett fotografi på en person räknas normalt inte som uppgift om ras/etniskt ursprung eller hälsa.
En uppgift om att en person inte har någon religös övertygelse räknas som känslig.
Även relativt harmlösa uppgifter om hälsa (som att en person skadat foten och är deltidssjukskriven) räknas som känsliga uppgifter.
Uppgifter om kön eller civilstånd räknas inte som uppgift om sexualliv, däremot kan uppgifter om könsbyte räknas.
Prop. 1997/98:44: Paragrafen innehåller ett principiellt förbud mot att behandla vad som enligt paragrafen är att beteckna som känsliga personuppgifter. I 14– 20 §§ finns det bestämmelser som för med sig att sådana personuppgifter i vissa fall ändå får behandlas.
Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4.1. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i ...
Lagrumshänvisningar hit35
20 §, 5a §, övg. best. SFS 1998:204 3 p, övg. best. SFS 1998:204 4 p, 49 § 1 st e p, 14 §, 49 § 1 st b p
22 § Lag (2014:105) om insyn i finansiering av partier
11 §, 6 § Förordning (2002:287) om behandling av personuppgifter i Kungl. bibliotekets digitala kulturarvsprojekt
6 § 2 st Förordning (2001:706) om behandling av personuppgifter i Arbetsmiljöverkets informationssystem om arbetsskador
4 kap. 2 § Lag (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism
3 § 2 st, 7 § 2 st, 4 § Förordning (2001:642) om registerföring m.m. vid hyres- och arrendenämnderna med hjälp av automatiserad behandling
7 § 2 st, 4 §, 3 § 2 st Förordning (2001:640) om registerföring m.m. vid förvaltningsrätt med hjälp av automatiserad behandling
7 § Socialförsäkringsregisterlag (1997:934)
1 § 1 st 1 p Lag (1995:606) om vissa personregister för officiell statistik
16 § Lag (2002:624) om rekryteringsbidrag till vuxenstuderande
7 §, 12 § 2 st, 5 § Förordning (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen
5 §, 8 § 2 st, 4 § 2 st Förordning (2001:641) om registerföring m.m. vid Högsta förvaltningsdomstolen och kammarrätterna med hjälp av automatiserad behandling
18 § 2 st Förordning (2006:937) om behandling av personuppgifter inom åklagarväsendet
7 § 2 st, 3 § 2 st, 4 § Förordning (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling
12 § 2 st Förordning (2009:284) om identitetskort för folkbokförda i Sverige
10 § Lag (2003:763) om behandling av personuppgifter inom socialförsäkringens administration
3 § 2 st 1 p Förordning (1996:434) om provverksamhet avseende hushålls- och bostadsuppgifter
13a § 2 st Skatteregisterlag (1980:343)
Denna paragraf tillför inget materiellt, utan upplyser bara om lagens systematik kring känsliga uppgifter.
Prop. 1997/98:44: Paragrafen innehåller i första stycket en upplysning om att det trots det principiella förbudet i 13 § är tillåtet att behandla personuppgifter i de fall som anges i 15–19 §§.
I andra stycket finns det en erinran om att även i de fall som anges i 15–19 §§ måste behandlingen vara tillåten enligt 10 §. Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen överensstämmer ...
Precis som för "vanliga" personuppgifter så är samtycke en tillåtlighetsgrund. Dock ställs högre krav på hur detta samtycke kommer till uttryck ("[...] lämnat sitt uttryckliga samtycke") - underförstått eller konkludent samtycke räcker inte.
Utöver detta får man även behandla sådana uppgifter som den registrerade själv offentliggjort på ett tydligt sätt, exempelvis när en person "talat ut" om sin hälsa eller sexliv i massmedier, eller när en person ställer upp i ett val för ett visst parti.
Prop. 1997/98:44: Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.5.3.3 i kommitténs betänkande.
I 12 § andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat samtycke.
8 § Personuppgiftsförordning (1998:1191)
a) "arbetsrätten" ska här tolkas ganska brett. Det kan vara fråga om rättigheter/skyldigheter som är lagstadgade, men också sådana som följer av kollektivavtal eller individuella avtal. Exempelvis kan en arbetsgivare behandla uppgifter om de anställdas fackföreningsmedlemsskap, om arbetsgivaren genom kollektivavtal åtagit sig att göra avdrag på lön för fackföreningsavgift, dvs. en skyldighet som följer av avtal (inte lag).
b) "Vitala intressen" ska tolkas på samma sätt som i 10 § c.
c) Skattemyndigheten måste behandla uppgifter om medlemsskap i svenska kyrkan för att kunna ta ut kyrkoskatt. Detta skatteanspråk är ett exempel på ett rättsligt anspråk.
Prop. 1997/98:44: Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.5.3.3 i kommitténs betänkande.
Första stycket skall ha samma innebörd som EG-direktivets artikel 8.2 punkt b och c samt andra ledet i punkt e, se bilaga 1. Punkten ...
Det finns inget uttryckligt krav på att personuppgifterna ska ha någon anknytning till organisationens syfte, men de grundläggande kraven i 9 § sätter stopp för behandling av helt ovidkommande uppgifter.
Rätten att behandla uppgifter om en viss person enligt denna paragraf upphör när personen slutar vara medlem.
Organisationens syfte måste vara politiskt, filosofiskt, religiöst eller fackligt, men dessa begrepp ska tolkas ganska brett. Exempelvis kan alla organisationer som på något vis vill påverka samhället ses som politiska enligt denna paragraf.
Paragrafen skall ha samma innebörd som artikel 8.2 punkt d i EGdirektivet, se bilaga 1.
Det är vid tvist den personuppgiftsansvarige ...
5 § Personuppgiftsförordning (1998:1191)
Undantaget täcker såväl den vanliga verksamheten, såväl som tillsynsverksamhet inom hälso- och sjukvårdsområdet. Bestämmelser om tystnadsplikt i hälso- och sjukvården finns bland annat i 21 kap.offentlighets- och sekretesslagen (2009:400) och lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område.
Prop. 1997/98:44: Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4.
Paragrafen skall ha samma innebörd som artikel 8.3 i EG-direktivet, se bilaga 1.
Paragrafen har – i enlighet med vad som föreslagits av Stockholms läns landsting – i förhållande till Datalagskommitténs förslag kompletterats såvitt avser regeln i nyss nämnda artikel om att den som inte är verksam på hälso- ...
Definitionen av forskning finns i 2 § lagen (2003:460) om etikprövning av forskning som avser människor. Se även Etikprövningsnämndens praxis och datainspektionens broschyr "Personuppgifter i forskningen – vilka regler gäller?".
Prop. 2002/03:50: I etikprövningslagen införs en bestämmelse om krav på etikgodkännande av forskning som sker utan att den enskilde lämnat sitt uttryckliga samtycke och som bl.a. avser känsliga personuppgifter enligt 13 § personuppgiftslagen. Forskningen får inte bedrivas om den inte godkänts vid en etikprövning. Ändringen innebär bl.a. att den möjlighet forskaren hittills haft att själv (efter förhandsanmälan till Datainspektionen, 10 § 1 ...
Prop. 1997/98:44: Paragrafen reglerar när känsliga personuppgifter får behandlas för forsknings- och statistikändamål utan samtycke. Den frågan har behandlats i avsnitt 11.4.2. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 11.6.3 i kommitténs betänkande.
Med forskning avses i paragrafen i första ...
5a §, 14 §
Ändrad: SFS 2003:466 (Etikprövning av forskning)
Datainspektionen har inte medelat några generella föreskrifter om undantag från 13 §.
Prop. 1997/98:44: Paragrafen innehåller ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter. Frågan om normgivningsdelegation har behandlats i avsnitt 10. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.5.3.3 i kommitténs betänkande.
Av förslaget till lag ...
Ändrad: SFS 1998:1436 (Personuppgiftslag)
Att behandla personuppgifter i strid med detta förbud är straffbelagt, se 49 §.
Datainspektionen har meddelat en föreskrift om undantag från denna paragraf (DIFS 1998:3), samt medgett undantag i enskilda fall, exv för Antipiratbyrån och IFPI. Det finns även ett stort antal undantag i annan lagstiftning, framförallt i de immaterialrättsliga lagarna (exv 53 g § upphovsrättslagen) och registerförfattningar (jfr 2 § om personuppgiftslagenssubsidiaritet.
Prop. 2007/08:44: I paragrafen regleras behandling av personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.
I andra stycket som är nytt anges att personuppgifter som avses i första stycket får behandlas för forskningsändamål av andra än myndigheter, om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser ...
Prop. 1997/98:44: Frågan om behandling av uppgifter om lagöverträdelser har behandlats i avsnitt 11.4.3. Paragrafens två första stycken överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.5.3.4 i kommitténs betänkande.
Uttrycken ”myndighet”, ”lagöverträdelser” och ”domar i brottmål” skall ha samma innebörd ...
HFD 2016:8:Fråga om undantag från personuppgiftslagens förbud för enskilda att behandla personuppgifter om lagöverträdelser som innefattar brott.
Lagrumshänvisningar hit32
5a §, övg. best. SFS 1998:204 3 p, övg. best. SFS 1998:204 4 p, 49 § 1 st e p, 49 § 1 st b p
9 §, 12 § 2 st 1 p Personuppgiftsförordning (1998:1191)
11 § Förordning (2002:287) om behandling av personuppgifter i Kungl. bibliotekets digitala kulturarvsprojekt
18f § Firmalag (1974:156)
3 § 2 st, 7 § 2 st Förordning (2001:642) om registerföring m.m. vid hyres- och arrendenämnderna med hjälp av automatiserad behandling
7 § 2 st, 3 § 2 st Förordning (2001:640) om registerföring m.m. vid förvaltningsrätt med hjälp av automatiserad behandling
7 § Lag (1998:544) om vårdregister
8 § 2 st, 4 § 2 st Förordning (2001:641) om registerföring m.m. vid Högsta förvaltningsdomstolen och kammarrätterna med hjälp av automatiserad behandling
12 § 2 st Förordning (1986:441) om underrättelser angående näringsförbud m.m.
7 § 2 st, 3 § 2 st Förordning (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling
37g § Varumärkeslag (1960:644)
11 §, 14 § 2 st, 24 §, 12 §, 11 § 2 st, 15 § Lag (2003:763) om behandling av personuppgifter inom socialförsäkringens administration
7 § Förordning (2003:188) om behandling av personuppgifter inom Kustbevakningen
3 § 2 st 2 p Förordning (1996:434) om provverksamhet avseende hushålls- och bostadsuppgifter
Ändrad: SFS 1998:1436 (Personuppgiftslag), 2008:187 (Vissa etikprövningsfrågor m.m.)
Huvudregeln är att personnummer får behandlas om den registrerade frivilligt samtycker till detta. Det ställs dock höga krav på denna frivillighet i datainspektionens praxis: En potentiell kund har inte kunnat anses ge samtycke eftersom denne befunnit sig i en beroendeställning mot ett företag som har en monopolställning (Dnr 246-2007). Små barn har inte ansetts kunna ge giltigt samtycke över huvud taget (samrådsyttrande december 2002).
Det finns sparsamt med praxis kring vad som gör ett ändamål "klart motiverat" om samtycke saknas eller inte har inhämtats, men för att använda det som användaridentitet i datorsystem tordes kräva att det finns särskilda säkerhetskrav på systemet (samrådsyttrande mars 2004).
Prop. 1999/2000:6: Ändringen föranleds av att personer som inte är eller har varit folkbokförda här i landet från och med den 1 januari 2000 skall tilldelas ett särskilt samordningsnummer i stället för personnummer (prop. 1997/97:9). Samordningsnumret är i likhet med personnumret ett unikt identifikationsnummer och samma regler bör därför gälla för användningen av samordningsnummer som för personnummer.
Prop. 1997/98:44: Frågan om behandling av personnummer har behandlats i avsnitt 11.4.4. Paragrafen överensstämmer i stort med Datalagskommitténs förslag och har berörts i avsnitt 12.6 i kommitténs betänkande.
Till paragrafen har utan någon betydande ändring i sak förts över de bestämmelser som finns i 7 § andra stycket i den nuvarande ...
6 § 2 st Lag (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet
Ändrad: SFS 1999:1059 (Förmånsbeskattning av miljöbilar, m.m.)
Se även 25 § om vilken information som ska lämnas, och 27 § om undantag från informationsskyldigheten. I kravet på att uppgifterna ska lämnas självmant ligger att den registrerade inte ska behöva be om att få informationen.
Om insamlingen sker löpande (exempelvis ett kontokortsföretags insamlande av en kunds transaktioner) behöver information inte lämnas vid varje enskilt insamlingstillfälle, så länge som den registrerade blivit informerad om att och hur detta kommer ske, och detta skett senast vid den första insamlingen.
Om man till den registrerade meddelar osanna uppgifter enligt 23-26 §§ är detta grund för straffansvar, se 49 §
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.7.2 i kommitténs betänkande.
Paragrafen skall ha samma innebörd som artikel 10 i EG-direktivet, se bilaga 1.
I 25 § finns det bestämmelser om vilken information som skall lämnas, och i 27 § finns det bestämmelser om vissa undantag från informationsskyldigheten.
8a §, 27 §
2 kap. 2 § 3 st Polisdatalag (2010:361)
2 kap. 2 § 3 st Kustbevakningsdatalag (2012:145)
2 kap. 2 § 3 st Skattebrottsdatalag (2017:452)
2 kap. 2 § 3 st Tullbrottsdatalag (2017:447)
20 § Socialförsäkringsregisterlag (1997:934)
När man samlar in uppgifter från någon annan part än den registrerade kan det vara svårare att nå denne med information. Principiellt gäller dock samma regel som i 23 § om att information ska lämnas självmant, men det finns några undantag.
För att undantaget i andra stycket ska vara tillämpligt krävs att bestämmelserna är specifika. Vem som helst kan begära ut personuppgifter från myndigheter med stöd av offentlighetsprincipen, som alltså innehåller bestämmelser om utlämnande av (bl.a.) personuppgifter. Offentlighetsprincipen är dock för generell för att insamlaren ska kunna tillämpa detta undantag.
Vad gäller undantaget i tredje stycket finns i dataskyddsdirektivets ingress (i punkt 40) en riktlinje för bedömning av vad som utgör en oproportionerligt stor arbetsinsats när det gäller behandling för historiska, statistiska eller vetenskapliga ändamål; "[...] antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas [kan] tas i beaktande"
Paragrafen skall ha samma innebörd som artikel 11 i EG-direktivet, se bilaga 1.
Bestämmelsen i sista ...
Med identitet avses här namn och address till den fysiska eller juridiska person som är personuppgiftsansvarig. Information om ändamålet med behandlingen är viktig för att upprätthålla finalitetsprincipen, och det krävs att ändamålet är preciserat.
Det finns inget krav på att informationen ska lämnas skriftligen, men det är den personuppgiftsansvarige som har bevisbördan för att visa att informationen har lämnats.
Undantaget i andra stycket leder i praktiken till att informationsplikten inte behöver bli alltför betungande för den personuppgiftsansvarige.
Prop. 1997/98:44: Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.7.2.3 i kommitténs betänkande.
Paragrafen skall ha samma innebörd som artikel 10 och 11.1 i EGdirektivet, se bilaga 1.
I 27 § finns det bestämmelser om vissa undantag från informationsskyldigheten.
21 § Förordning (2000:836) om Schengens informationssystem
Det här är ett exempel på en insynsrätt, dvs en rätt för den enskilde att på begäran få insyn i myndigheters (och företags) information, i det här fallet information om den enskilde. Andra exempel på insynsrätter är offentlighetsprincipen och partsinsyn (som i första hand gäller mot myndigheter).
Eftersom begäran ska vara skriftlig och undertecknad räcker det inte med att skicka ett epostmeddelande, utan det måste vara ett fysiskt brev (den personuppgiftsansvarige kan förstås välja att godta även en begäran via epost, men det finns ingen skyldighet att göra detta).
Den enskilde kan även begära att uppgifter ska rättas, om de visar sig vara felaktiga (se 28 §)
Prop. 1997/98:44: Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.7.3 och 11.6.7 i kommitténs betänkande.
Första stycket i paragrafen skall i tillämpliga delar ha samma innebörd som artikel 12 ...
HFD 2014:55:Ett beslut att inte lämna ut information enligt 26 § personuppgiftslagen på grund av sekretess överklagas i den ordning som anvisas i offentlighets- och sekretesslagen.
5a §, 8a §, 52 §, 29 § 2 st, övg. best. SFS 1998:204 7 p, 27 §
21 § 2 st Förordning (2000:836) om Schengens informationssystem
övg. best. SFS 2001:454 3 pLag (2001:454) om behandling av personuppgifter inom socialtjänsten
29 §, 30 § Lag (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet
12 § Lag (2001:617) om behandling av personuppgifter inom kriminalvården
9 kap. 2 § Alkohollag (1994:1738)
11 § 2 st 6 p Lag (1998:544) om vårdregister
20 § 2 st, 21b §, 21 § 2 st 3 p Socialförsäkringsregisterlag (1997:934)
10 § Lag (1997:158) om röstlängdsregister
Förordning (1995:1060) om vissa personregister för officiell statistik
8 kap. 2 § 1 st 6 p Lag (2003:113) om elcertifikat
9 § 1 st 7 p Förordning (2001:710) om biverkningsregister angående läkemedel hos Läkemedelsverket
34e §, 34h § Försäkringsrörelseförordning (1982:790)
33 §, 27 § Lag (2003:763) om behandling av personuppgifter inom socialförsäkringens administration
10 § Lag (1991:876) om register för betalningsföreläggande och handräckning
9 § 3 st Lag (1963:197) om allmänt kriminalregister
27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 2326 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i offentlighets- och sekretesslagen (2009:400) vägra att lämna ut uppgifter till den registrerade. Lag (2009:468).
Ett exempel på en sådan föreskrift finns i OSL 25:6 (om uppgifter om hälsotillstånd för en vård- eller behandlingsbehövande).
Prop. 1997/98:44: Paragrafen har behandlats i avsnitt 11.5.2. Datalagskommittén har berört frågan i avsnitt 12.7.4 i sitt betänkande.
Första meningen motsvarar delvis 10 § tredje stycket i den nuvarande datalagen. Meningen överensstämmer med Datalagskommitténs förslag....
Ändrad: SFS 2009:468 (Offentlighets- och sekretesslag)
Genom att 9 § g kräver att personuppgifter ska vara riktiga så är behandling av felaktiga uppgifter i strid med lagen, och den registrerade kan med stöd av denna paragraf begära att uppgifterna ska rättas. Den personuppgiftsansvarige får dock bestämma vilken åtgärd (rättning, utplåning eller blockering) som ska vidtas.
För att uppgifterna ska anses utplånade ska de inte gå att återskapa. Se 3 § för en definition av "blockering".
Prop. 1997/98:44: Frågan om korrigering av personuppgifter har behandlats i avsnitt 11.6. Korrigering av personuppgifter hos myndigheter har berörts i avsnitt 8.1. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.8 och ...
5a §, 8a §, 52 §
4 kap. 5 § Lag (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism
26 § Lag (2010:362) om polisens allmänna spaningsregister
2 kap. 21 § 4 st Lag (2003:528) om företagsinteckning
15 § Förordning (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen
4 kap. 22 § 4 st Lag (1984:649) om företagshypotek
Denna bestämmelse är till skillnad från resten av lagen väldigt specifikt inriktad på en typ av behandling, nämligen automatiskt fattade beslut. Den är tillämplig både på myndigheter och företag. Tanken är att den enskilde ska ha rätt att få sådana beslut manuellt omprövade (jfr 27 § förvaltningslagen för beslut som fattas av myndigheter).
Andra stycket ställer ganska långtgående krav på att den personuppgiftsansvarige kan redogöra för den inre logik i datorsystemet som lett till det automatiska beslutet.
Prop. 1997/98:44: Frågan om automatiserade beslut har behandlats i avsnitt 11.7. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.9 i kommitténs betänkande.
Definitionen av de beslut som avses i paragrafen skall ha samma innebörd som enligt artikel 15.1 i EG-direktivet, se bilaga 1.
Den fysiska person som är anställd hos ett företag, och som en del av sina arbetsuppgifter utför personuppgiftsbehandling, anses inte som personuppgiftsbiträde utan bara som medhjälpare under den personuppgiftsansvariges (arbetsgivarens) direkta ansvar. Ett personuppgiftsbiträde måste arbetsrättsligt vara självständig, exempelvis en underleverantör (dock kan både personuppgiftsbiträdet och även den personuppgiftsansvarige vara fysiska personer, bestämmelserna är inte enbart tillämpliga på juridiska personer. Om underleverantören självständigt bestämmer hur behandlingen ska gå till kan denne dock betraktas som personuppgiftsansvarig tillsammans med sin uppdragsgivare.
I kravet på att avtalet ska vara skriftligt ligger inte något krav på att det är fäst på papper, underskrivet eller liknande (jfr 26 §), utan även exv ett epostmeddelande kan betraktas som skriftligt avtal.
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.10.2 i kommitténs betänkande.
Första stycket skall ha samma innebörd som artikel 16 i EG-direktivet, se bilaga 1.
Andra stycket skall ha samma innebörd som artikel 17.3 och 17.4 i direktivet. Skriftlighetskravet innebär att avtalet måste vara uttryckt i text, men texten kan finnas på ...
Datainspektionen har i sina allmänna råd "Säkerhet för personuppgifter" gett riktlinjer för hur säker personuppgiftsbehandling ska ske. Ju känsligare personuppgifterna är, desto högre ställs säkerhetskraven. Utöver bestämmelserna i personuppgiftslagen kan även sekretessregler i offentlighets- och sekretesslagen inverka på hur känsliga upppgifterna ska anses vara.
Säkerhetskraven omfattar inte bara att det ska vara svårt för en obehörig att komma åt lagrade personuppgifter, de kan även kräva att man, när man skickar personuppgifter via e-post, är säker på att man kommunicerar med rätt person och att informationen i meddelandet är krypterad (jfr Dnr 685-2008, Dnr 473-2008)
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.10.2–4 i kommitténs betänkande.
Paragrafen skall ha samma innebörd som artikel 17.1 och 17.2 i EGdirektivet, se bilaga 1.
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.10.3 i kommitténs betänkande. Paragrafen fastslår att tillsynsmyndigheten i enskilda fall kan bestämma vilka säkerhetsåtgärder som skall vidtas.
"Tredje land" omfattar bara länder utanför EU/EES (jfr 3 §). EU-kommissionen analyserar lagstiftningen i olika länder för att avgöra om denna motsvarar kraven på "adekvat skyddsnivå" och gör rapporterna tillgängliga. USA anses inte generellt ha en adekvat skyddsnivå. Tidigare ansågs det tillåtet att överföra uppgifter till ett USA-baserat företag om detta företag tecknat ett s.k. "Safe harbour"-avtal, men EU-domstolen ogiltigförklade detta i mål C-362/14 (Schrems).
Att publicera en webbsida med personuppgifter leder normalt till att personuppgifterna kan läsas från hela världen, inklusive tredje land. Det ses dock inte som en överföring enligt denna paragraf (såvida inte själva webbservern fysiskt är placerad i tredje land) enligt EG-domstolens förhandsbesked C-101/01 (i målet RH 2004:51).
Att föra över uppgifter till tredje land i strid med 33-35 §§ är straffbelagt, se 49 §.
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.11.2 i kommitténs betänkande.
De överföringar som avses i paragrafen är desamma som avses i artikel 25.1 i EG-direktivet, se bilaga 1.
RH 2002:71:En person som på Internet registrerat flera sexannonser och därvid hänfört sig till sin f.d. sambo har dömts för grovt förtal och brott mot personuppgiftslagen till ett fängelsestraff. Även fråga om storleken av kränkningsersättning till målsäganden.
49 § 1 st f p, 5a §, 35 § 2 st, 34 §, 49 § 1 st c p, 35 § 3 st, 7 § 2 st, 35 §
14 § Personuppgiftsförordning (1998:1191)
12 § Förordning (1986:441) om underrättelser angående näringsförbud m.m.
26 § Lag (2003:763) om behandling av personuppgifter inom socialförsäkringens administration
27 § 2 st 4 p Lag (2000:343) om internationellt polisiärt samarbete
Ändrad: SFS 1999:1210 (Personuppgiftslagens överföringsregler)
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.11.3 i kommitténs betänkande.
Paragrafen innehåller en uppräkning av i vilka fall det är tillåtet att föra över personuppgifter till tredje land. För att personuppgifter skall få föras över till tredje land krävs dock inte bara att överföringen faller under något av fallen i uppräkningen. Den behandling som överföringen ...
5a §, 12 §
2 kap. 6 § 3 st Aktiekontolag (1989:827)
Prop. 1997/98:44: Frågan om normgivningsdelegation har behandlats i avsnitt 10. Paragrafens två första stycken överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.11.4 i kommitténs betänkande. I tredje stycket har förtydligats att regeringen, eller om regeringen så bestämmer, tillsynsmyndigheten, i enskilda fall kan besluta om undantag ...
49 § 1 st c p
36 § Kameraövervakningslag (2013:460)
En anmälan kan göras via Datainspektionens blankett. Det går i dagsläget inte att skicka in anmälan elektroniskt. Närmare bestämmelser finns i DIFS 1998:2 i lydelse enligt DIFS 2001:1.
Datainspektionen gör i normalfallet inte någon rättslig prövning av om den anmälda personuppgiftsbehandlingen är tillåten (se dock 41 § om förhandsprövning av särskilt integritetskänsliga behandlingar). Den personuppgiftsansvarige kan alltså inte förlita sig på att datainspektionen inte lämnat några anmärkningar, utan är alltid ansvarig för att behandlingen är laglig.
Det finns i PUF och DIFS ett antal undantag från anmälningsplikten för
Behandling som sker på grund av skyldighet i lag, exv myndigheters skyldighet att lämna ut handlingar eller arkivera handlingar (3 § personuppgiftsförordningen (1998:1191)).
Behandling av personuppgifter i löpande text eller ostrukturerat material (4 § personuppgiftsförordningen).
Vissa organisationers behandling av sådana känsliga uppgifter om sina medlemmar som har samband med organisationens verksamhet (5 § personuppgiftsförordningen).
Behandling som sker med den registrerades samtycke (4 §DIFS 1998:2 i lydelse enligt DIFS 2001:1).
Ett antal vanligt förekommande och (sakligt motiverade) typer av behandlingar, exv register över anställda eller kunder (5 § DIFS 1998:2 i lydelse enligt DIFS 2001:1).
En anmälan om att ett personombud har utsetts kan också göras via en blankett från datainspektionen.
Om man i en anmälan anger osanna uppgifter är detta grund för straffansvar, se 49 §
Prop. 1997/98:44: Paragrafen överensstämmer i stort med Datalagskommitténs förslag och har berörts i avsnitt 12.12 i kommitténs betänkande.
Första stycket skall ha samma innebörd som artikel 18.1 i EGdirektivet, se bilaga 1. Enligt 50 § f får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats....
39 §, övg. best. SFS 1998:204 5 p, 41 §, 49 § 1 st a p
För en organisation som utför fler än ett fåtal olika sorters personuppgiftsbehandlingar kan det alltså vara mycket praktiskt att utse ett personuppgiftsombud. Till skillnad från personuppgiftsansvarig måste ett personuppgiftsombud alltid vara en fysisk person. Ombudet kan vara anställt hos den personuppgiftsansvarige, men måste ha en tillräckligt självständig position för att kunna utföra sitt uppdrag. Uppdraget kan jämföras med ett revisorsuppdrag.
Notera att enligt 41 § så måste vissa särskilt integritetskänsliga behandlingar alltid förhandsanmälas, även om det finns ett personuppgiftsombud.
Prop. 1997/98:44: Beteckningen personuppgiftsombud har behandlats i avsnitt 12. Paragrafen har berörts i avsnitt 12.12 i Datalagskommitténs betänkande.
Det är bara behandlingar som påbörjas efter det att personuppgiftsombudet har anmälts till tillsynsmyndigheten som är undantagna från anmälningsskyldigheten.
Personuppgiftsombudet ...
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har behandlats i avsnitt 12.12.2.4 i kommitténs betänkande.
Första stycket motsvarar artikel 18.2 första strecksatsen i den andra strecksatsen i EG-direktivet, se bilaga 1. Personuppgiftsombudet skall se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed. Detta ...
Prop. 1997/98:44: Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.12.2.4 i kommitténs betänkande.
Paragrafen skall ha samma innebörd som artikel 18.2 andra strecksatsen i andra strecksatsen i EG-direktivet, se bilaga 1.
Paragrafen motsvarar 8 § fjärde stycket i den nuvarande datalagen.
En lista på sådana särskilt integritetskänsliga behandlingar finns i 1 §DIFS 1998:2 i lydelse enligt DIFS 2001:1. Datainspektionen har även en informationssida med anmälningsblanketter.
Till skillnad från vanlig anmälan enligt 36 § så gör i dessa fall datainspektionen en prövning av om behandlingen är laglig.
Prop. 1997/98:44: Frågan om normgivningsdelegation har berörts i avsnitt 10. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.12.2.5 i kommitténs betänkande.
Av förslaget till lag om ändring i personuppgiftslagen (...
49 § 1 st d p
Prop. 1997/98:44: Frågan om upplysningar till allmänheten om behandlingar har behandlats i avsnitt 12. Paragrafen överensstämmer delvis med Datalagskommitténs förslag och har berörts i avsnitt 12.12.2.6 i kommitténs betänkande.
Paragrafen skall ha samma innebörd som artikel 21.3 första stycket i EG-direktivet, se bilaga 1.
49 § 1 st a p, 44 §
49 § 3 st, 7 § 2 st
46 §, 32 § 2 st
2 kap. 2 § 4 st Polisdatalag (2010:361)
2 kap. 2 § 4 st Kustbevakningsdatalag (2012:145)
2 kap. 2 § 4 st Skattebrottsdatalag (2017:452)
2 kap. 2 § 4 st Tullbrottsdatalag (2017:447)
2 kap. 2 § 3 st Åklagardatalag (2015:433)
Ändrad: SFS 2010:1969 (Ny delgivningslag)
Prop. 1997/98:44: Frågan om tillsynsmyndighetens befogenheter har behandlats i avsnitt 13. Bestämmelserna i 43–47 §§ överensstämmer i huvudsak med Datalagskommitténs förslag och har berörts i avsnitt 12.14.1 i kommitténs betänkande.
Det bör betonas att möjligheten enligt 46 § att meddela ett tillfälligt beslut om vite är avsedd att utnyttjas ...
7 § 2 st, 53 §
Ändrad: SFS 2009:827 (En långsiktigt hållbar organisation för de allmänna förvaltningsdomstolarna i första instans)
Denna bestämmelse om skadeståndsskyldighet gäller framför de generella i skadeståndslagen (se 1 kap. 1 § denna lag), men eftersom den inte reglerar samtliga skadeståndsrättsliga frågor måste den läsas tillsammans med skadeståndslagen (se exv 5 kap.skadeståndslagen om hur skadeståndet beräknas). En kränkning genom felaktig personuppgiftsbehandling kan bedömas både enligt denna paragraf och enligt 2 kap. 3 § skadeståndslagen.
Det är bara den personuppgiftsansvarige, inte -biträden eller -ombud, som kan bli skadeståndsansvariga.
Det finns relativt mycket praxis från JK i skadeståndsärenden för statens felaktiga personuppgiftsbehandling, exv beslut 2002-10-15 (förväxling av avliden) och beslut 2003-09-11 (oriktig uppgift i belastningsregistret).
Prop. 1997/98:44: Frågan om skadestånd har behandlats i avsnitt 14. Paragrafen överensstämmer i huvudsak med Datalagskommitténs förslag, dock att kommittén föreslog att skadestånd även kunde utgå vid behandling i strid med föreskrifter som meddelats med stöd av lagen, och har även berörts i avsnitt 12.13.2.1–3 i kommitténs betänkande.
Bestämmelserna ...
3d § Kungörelse (1972:291) om understödsföreningsregister
3 kap. 1 § 3 st Lag (2003:528) om företagsinteckning
7 kap. 7 § Lag (2003:113) om elcertifikat
34f § Försäkringsrörelseförordning (1982:790)
40e § Bankrörelseförordning (1987:647)
5 kap. 1 § 3 st Lag (1984:649) om företagshypotek
38e § Aktiebolagsförordning (1975:1387)
för över personuppgifter till tredje land i strid med 33-35 §§,
låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §,
behandlar sådana personuppgifter som avses i 13 och 21 §§ i strid med 5 a § andra stycket, eller
i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av personuppgifterna som avses i 33 §.
Till skillnad från skadeståndsansvar kan straff bara utdömas till en fysisk person. Det är den person som faktiskt utfört handlingen (eller, vad gäller punkt d, underlåtit att anmäla behandlingen) som döms till ansvar, inte den personuppgiftsansvarige (såvida dessa inte är en och samma person).
Ringa överträdelser är framförallt sådana som orsakar mindre skada eller som inte skett uppsåtligen. Om den personuppgiftsansvarige uppmärksammats på den felaktiga behandlingen, men fortsatt med den, bör handlingen inte betraktas som ringa (jfr NJA 2005 s. 361, och, till det motsatta, RH 2004:51).
Prop. 2005/06:173: I paragrafen har två nya punkter (e och f) införts. Dessa tillägg har behandlats i avsnitt 8.5. Vidare har paragrafen ändrats så att de i bestämmelsen angivna gärningarna inte är straffbara om de begås av oaktsamhet av normalgraden. Skälen härtill har redovisats i avsnitt 9.1.2.
Den som uppsåtligen eller av grov oaktsamhet ...
Prop. 1997/98:44: Frågan om straff har behandlats i avsnitt 14. Paragrafen har i förhållande till Datalagskommitténs förslag kompletterats med bestämmelserna i punkt b–d. Datalagskommitténs förslag har berörts i avsnitt 12.13.2.4 i kommitténs betänkande.
Vid bedömandet av om brottet är grovt kan beaktas sådana omständigheter som att de olagligt ...
Ändrad: SFS 2006:398 (Översyn av personuppgiftslagen), 1999:1210 (Personuppgiftslagens överföringsregler)
Prop. 1997/98:44: Frågan om normgivningsdelegation har behandlats i avsnitt 10. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.1.2 i kommitténs betänkande.
Prop. 2005/06:173: Efter förslag från Lagrådet har andra stycket om att prövningstillstånd krävs vid överklagande till kammarrätt flyttats till en ny paragraf, 53 §.
Prop. 1997/98:44: Frågan om överklagande har behandlats i avsnitt 13. Paragrafen överensstämmer med Datalagskommitténs förslag och har berörts i avsnitt 12.14.2 i kommitténs betänkande.
Kravet på prövningstillstånd i andra stycket avser överklagande av länsrättens beslut enligt såväl första stycket som 47 §.
Prop. 2005/06:173: Paragrafen, som är ny och som har utformats i enlighet med Lagrådets förslag, har behandlats i avsnitt 9.3 och innebär att sådana beslut enligt personuppgiftslagen som fattats av myndighet och som direkt berör den enskilde skall kunna överklagas till allmän förvaltningsdomstol. Av den nya 53 § framgår att prövningstillstånd krävs vid överklagande till kammarrätt. ...
övg. best. SFS 2006:398 1 st, 53 §
Prop. 2005/06:173: Paragrafen, som är ny, har införts på inrådan av Lagrådet. För att det inte skall råda någon tvekan om att inte bara beslut enligt 51 och 52 §§, utan också länsrätts beslut enligt 47 §, kan överklagas har dock regeringen valt en annan formulering av paragrafen än den av Lagrådet föreslagna. Kravet på prövningstillstånd i andra stycket gäller för beslut som avses i såväl 47 § som 51 och 52 §§.