Post 969 av 10975 träffar
SFS-nummer ·
2018:1177 ·
Visa register
Brottsdatalag (2018:1177)
Departement: Justitiedepartementet L4
Utfärdad: 2018-06-20
Ändring införd: t.o.m. SFS 2024:650
Ikraft: 2018-08-01 överg.best.
1 kap. Allmänna bestämmelser
Syftet med lagen
1 § Genom denna lag genomförs Europaparlamentets och
rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd
för fysiska personer med avseende på behöriga myndigheters
behandling av personuppgifter för att förebygga, förhindra,
utreda, avslöja eller lagföra brott eller verkställa
straffrättsliga påföljder, och det fria flödet av sådana
uppgifter och om upphävande av rådets rambeslut 2008/977/RIF,
här benämnt dataskyddsdirektivet.
Syftet med lagen är att skydda fysiska personers
grundläggande rättigheter och friheter i samband med
behandling av personuppgifter och att säkerställa att
behöriga myndigheter kan behandla och utbyta personuppgifter
med varandra på ett ändamålsenligt sätt.
Lagens tillämpningsområde
2 § Denna lag gäller vid behandling av personuppgifter som
utförs av behöriga myndigheter i syfte att förebygga,
förhindra eller upptäcka brottslig verksamhet, utreda eller
lagföra brott eller verkställa straffrättsliga påföljder. Den
gäller också vid behandling av personuppgifter som en behörig
myndighet utför i syfte att upprätthålla allmän ordning och
säkerhet.
3 § Lagen gäller vid sådan behandling av personuppgifter
som är helt eller delvis automatiserad och för annan
behandling av personuppgifter som ingår i eller är avsedda
att ingå i en strukturerad samling av personuppgifter som är
tillgängliga för sökning eller sammanställning enligt
särskilda kriterier.
4 § Lagen gäller inte vid Säkerhetspolisens behandling av
personuppgifter som rör nationell säkerhet eller om
Polismyndigheten har övertagit en arbetsuppgift som rör
nationell säkerhet från Säkerhetspolisen.
Lagen gäller inte i verksamhet enligt lagen (2021:1171) om
behandling av personuppgifter vid Försvarsmakten.
Lag (2021:1175).
Avvikande bestämmelser i annan författning
5 § Om en annan lag eller en förordning innehåller någon
bestämmelse som avviker från denna lag, tillämpas den
bestämmelsen.
Definitioner
6 § I denna lag används följande uttryck med nedan angiven
betydelse.
Uttryck Betydelse
Behandling av personuppgifter En åtgärd eller kombination av
åtgärder som vidtas i fråga om
personuppgifter eller
uppsättningar av personuppgifter,
oavsett om det görs automatiserat
eller inte, t.ex. insamling,
registrering, organisering,
strukturering, lagring, bearbetning
eller ändring, framtagning, läsning,
användning, utlämnande, spridning
eller tillhandahållande på annat
sätt, justering, sammanföring,
begränsning, radering eller
förstöring.
Behörig myndighet 1. En myndighet som har till uppgift
att förebygga, förhindra eller
upptäcka brottslig verksamhet,
utreda eller lagföra brott,
verkställa straffrättsliga påföljder,
eller upprätthålla allmän ordning
och säkerhet, när den behandlar
personuppgifter för ett sådant syfte,
eller
2. en annan aktör som har
anförtrotts myndighetsutövning för
ett syfte som anges i 1, när den
behandlar personuppgifter för ett
sådant syfte.
Biometriska uppgifter Personuppgifter som rör en persons
fysiska, fysiologiska eller
beteendemässiga kännetecken, som
tagits fram genom särskild teknisk
behandling och som möjliggör eller
bekräftar unik identifiering av
personen.
Dataskyddsombud Den som utses av den
personuppgiftsansvarige för att
självständigt kontrollera att
personuppgifter behandlas
författningsenligt och på ett korrekt
sätt enligt vad som närmare anges i
lagen.
Genetiska uppgifter Personuppgifter som rör en persons
nedärvda eller förvärvade genetiska
kännetecken och som härrör från
analys av ett spår av eller ett prov
från personen.
Internationell organisation En organisation och dess underställda
organ som lyder under folkrätten eller
ett annat organ som inrättats genom
eller på grundval av en överenskommelse
mellan två eller flera stater.
Medlemsstat En stat som är medlem i Europeiska
unionen samt Island, Liechtenstein,
Norge och Schweiz.
Mottagare Den till vilken personuppgifter lämnas
ut, med undantag av en myndighet som
med stöd av författning utövar tillsyn,
kontroll eller revision.
Personuppgift Varje upplysning om en identifierad
eller identifierbar fysisk person som
är i livet.
Personuppgiftsansvarig Den behöriga myndighet som ensam eller
tillsammans med andra bestämmer
ändamålen med och medlen för
behandlingen av personuppgifter.
Personuppgiftsbiträde Den som behandlar personuppgifter för
den personuppgiftsansvariges räkning.
Personuppgiftsincident En säkerhetsincident som leder till
oavsiktlig eller olaglig förstöring,
förlust eller ändring eller obehörigt
röjande av eller obehörig åtkomst till
personuppgifter.
Registrerad Den fysiska person som personuppgiften
gäller.
Tillsynsmyndigheten Myndighet som regeringen utser enligt
dataskyddsdirektivet för att utöva
tillsyn över behandling av
personuppgifter som utförs av behöriga
myndigheter i syfte att förebygga,
förhindra eller upptäcka brottslig
verksamhet, utreda eller lagföra brott,
verkställa straffrättsliga påföljder
eller upprätthålla allmän ordning och
säkerhet.
Tredjeland En stat som inte är en medlemsstat.
Tredje man Någon annan än den registrerade, den
personuppgiftsansvarige,
dataskyddsombudet,
personuppgiftsbiträdet och sådana
personer som under den
personuppgiftsansvariges eller
personuppgiftsbiträdets direkta ansvar
har rätt att behandla personuppgifter.
Uppgift som rör hälsa Personuppgift som rör en persons
fysiska eller psykiska hälsa, inklusive
information om tillhandahållande av
hälso- och sjukvårdstjänster som ger
upplysning om personens hälsostatus.
2 kap. Behandling av personuppgifter
Grundläggande krav på behandlingen
Rättsliga grunder
1 § Personuppgifter får behandlas om det är nödvändigt för
att en behörig myndighet ska kunna utföra sin uppgift att
förebygga, förhindra eller upptäcka brottslig verksamhet,
utreda eller lagföra brott, verkställa straffrättsliga
påföljder eller upprätthålla allmän ordning och säkerhet.
Med en behörig myndighets uppgift avses en uppgift som
framgår av lag, förordning eller ett särskilt beslut i vilket
regeringen uppdragit åt myndigheten att utföra uppgiften.
2 § Utöver vad som sägs i 1 § får personuppgifter
behandlas om
1. det är nödvändigt för diarieföring, eller
2. uppgifterna har lämnats till en behörig myndighet i en
anmälan, ansökan eller liknande och behandlingen är nödvändig
för myndighetens handläggning.
Ändamål
3 § Personuppgifter får behandlas bara för särskilda,
uttryckligt angivna och berättigade ändamål.
Om det ändamål som personuppgifterna behandlas för inte
framgår av sammanhanget eller på annat sätt, ska det
tydliggöras genom en särskild upplysning.
4 § Innan personuppgifter får behandlas för ett nytt
ändamål ska det säkerställas att
1. det finns en rättslig grund enligt 1 § för den nya
behandlingen, och
2. det är nödvändigt och proportionerligt att
personuppgifterna behandlas för det nya ändamålet.
I den utsträckning skyldighet att lämna uppgifter följer av
lag eller förordning ska någon prövning enligt första stycket
inte göras.
5 § En behörig myndighet får behandla personuppgifter för
vetenskapliga, statistiska eller historiska ändamål inom
denna lags tillämpningsområde.
Författningsenlig och korrekt behandling
6 § Personuppgifter ska behandlas författningsenligt och
på ett korrekt sätt.
Personuppgifternas kvalitet
7 § Personuppgifter som behandlas ska vara korrekta och,
om det är nödvändigt, uppdaterade.
Uppgifter som beskriver en persons utseende ska utformas på
ett objektivt sätt med respekt för människovärdet.
8 § Personuppgifter som behandlas ska vara adekvata och
relevanta i förhållande till ändamålen med behandlingen. Fler
personuppgifter får inte behandlas än vad som är nödvändigt
med hänsyn till ändamålen med behandlingen.
Åtskillnad mellan olika slag av personuppgifter
9 § Så långt det är möjligt ska personuppgifter som rör
olika kategorier av registrerade särskiljas så att det
framgår om personen är misstänkt, dömd för brott, brottsoffer
eller någon annan som berörs av ett brott. Om det inte
framgår av sammanhanget eller på annat sätt till vilken
kategori personen hör, ska det tydliggöras genom en särskild
upplysning.
10 § Så långt det är möjligt ska personuppgifter som
grundar sig på fakta särskiljas från personuppgifter som
grundar sig på personliga bedömningar. Om det inte framgår av
sammanhanget eller på annat sätt vad uppgiften grundas på ska
det tydliggöras genom en särskild upplysning.
Känsliga personuppgifter
11 § Personuppgifter som avslöjar ras, etniskt ursprung,
politiska åsikter, religiös eller filosofisk övertygelse
eller medlemskap i fackförening eller som rör hälsa,
sexualliv eller sexuell läggning får inte behandlas.
Om uppgifter om en person behandlas får de dock kompletteras
med sådana uppgifter som anges i första stycket när det är
absolut nödvändigt för ändamålet med behandlingen.
12 § Biometriska uppgifter och genetiska uppgifter får
behandlas endast om det är särskilt föreskrivet och det är
absolut nödvändigt för ändamålet med behandlingen.
13 § Personuppgifter som avses i 11 och 12 §§ (känsliga
personuppgifter) får alltid behandlas med stöd av 2 §.
14 § Det är förbjudet att utföra sökningar i syfte att få
fram ett urval av personer grundat på känsliga
personuppgifter.
Rättelse, uppdatering och radering
15 § Alla rimliga åtgärder ska vidtas för att
personuppgifter som med hänsyn till ändamålet med
behandlingen är felaktiga eller ofullständiga utan onödigt
dröjsmål rättas och för att förhindra att sådana uppgifter
lämnas ut eller görs tillgängliga. Personuppgifter som är
inaktuella ska uppdateras om det är nödvändigt.
När personuppgifter lämnas ut till en behörig myndighet ska
mottagaren så långt det är möjligt ges information som gör
att det går att bedöma i vilken utsträckning uppgifterna är
korrekta, fullständiga, uppdaterade och tillförlitliga.
16 § Alla rimliga åtgärder ska vidtas för att
personuppgifter som behandlas i strid med 1, 2, 3 § första
stycket eller någon av 4–6 §§ eller 8, 11, 12, 14 eller 17 §
första stycket utan onödigt dröjsmål raderas och för att
förhindra att sådana uppgifter lämnas ut eller görs
tillgängliga. Detsamma gäller om radering krävs för att
utföra en rättslig förpliktelse.
Om förutsättningarna i första stycket för att radera
personuppgifter är uppfyllda men uppgifterna behöver finnas
kvar av bevisskäl, ska behandlingen av uppgifterna i stället
utan onödigt dröjsmål begränsas.
Längsta tid som personuppgifter får behandlas
17 § Personuppgifter får inte behandlas under längre tid
än vad som är nödvändigt med hänsyn till ändamålet med
behandlingen.
Bestämmelsen i första stycket hindrar inte att en behörig
myndighet arkiverar och bevarar allmänna handlingar eller att
arkivmaterial lämnas till en arkivmyndighet.
18 § Om det inte är föreskrivet i lag eller annan
författning när en viss kategori av personuppgifter inte
längre får behandlas för ändamål inom denna lags
tillämpningsområde, ska den personuppgiftsansvarige årligen
se över behovet av att fortsätta behandla
personuppgifterna.
Automatiserade beslut
19 § Om ett beslut har rättsliga följder för en fysisk
person eller annars i betydande grad påverkar honom eller
henne och beslutet enbart grundas på automatiserad behandling
av sådana personuppgifter som är avsedda att bedöma hans
eller hennes egenskaper, ska personen ha möjlighet att på
begäran få beslutet prövat på nytt av någon person.
Automatiserade beslut får inte enbart grundas på känsliga
personuppgifter.
Överföring av personuppgifter till eller från en annan
medlemsstat
20 § Om det inte är särskilt föreskrivet får villkor för
behandling av personuppgifter inte ställas upp i förhållande
till en mottagare i en annan medlemsstat eller ett EU-organ,
om det inte i motsvarande fall får ställas upp samma typ av
villkor i förhållande till en svensk mottagare.
20 a § Om en svensk behörig myndighet har fått personuppgifter
från en annan medlemsstat eller ett EU-organ och det finns
villkor som begränsar möjligheten att använda uppgifterna, ska
svenska myndigheter följa villkoren oavsett vad som är
föreskrivet i lag eller annan författning. Lag (2022:737).
Uppgiftslämnande för rättsstatistik
21 § Personuppgifter som är nödvändiga för att framställa
rättsstatistik ska lämnas till den myndighet som ansvarar för
att framställa sådan statistik.
Behandling för ändamål utanför denna lags
tillämpningsområde
22 § Innan personuppgifter som
behandlas med stöd av denna lag behandlas för ett ändamål
utanför lagens tillämpningsområde ska det säkerställas att
det är nödvändigt och proportionerligt att personuppgifterna
behandlas för det ändamålet.
I den utsträckning skyldighet att lämna uppgifter följer av
lag eller förordning ska någon prövning enligt första stycket
inte göras.
3 kap. Personuppgiftsansvarigas skyldigheter
Personuppgiftsansvarets omfattning
1 § Den personuppgiftsansvarige är ansvarig för all
behandling av personuppgifter som utförs under dennes ledning
eller på dennes vägnar.
Åtgärder för att säkerställa författningsenlig behandling
Tekniska och organisatoriska åtgärder
2 § Den personuppgiftsansvarige ska, genom lämpliga
tekniska och organisatoriska åtgärder, säkerställa och kunna
visa att behandlingen av personuppgifter är författningsenlig
och att den registrerades rättigheter skyddas.
3 § Den personuppgiftsansvarige ska när medlen för
behandlingen bestäms och vid behandlingen, genom lämpliga
tekniska och organisatoriska åtgärder, se till att nödvändiga
skyddsåtgärder integreras i behandlingen (inbyggt
dataskydd).
4 § Den personuppgiftsansvarige ska se till att det i
automatiserade behandlingssystem som regel inte är möjligt
att behandla andra personuppgifter än de som är nödvändiga
för varje särskilt angivet ändamål med behandlingen
(dataskydd som standard).
5 § Den personuppgiftsansvarige ska säkerställa att det i
automatiserade behandlingssystem förs loggar över
personuppgiftsbehandling i den utsträckning det är särskilt
föreskrivet.
Tillgången till personuppgifter
6 § Den personuppgiftsansvarige ska se till att tillgången
till personuppgifter begränsas till vad var och en behöver
för att kunna fullgöra sina arbetsuppgifter.
Konsekvensbedömning och förhandssamråd
7 § Om en ny typ av behandling, eller betydande
förändringar av redan pågående behandling, kan antas medföra
särskild risk för intrång i den registrerades personliga
integritet, ska den personuppgiftsansvarige innan
behandlingen påbörjas eller förändringen genomförs bedöma
konsekvenserna för skyddet av personuppgifter.
Om konsekvensbedömningen visar att det finns särskild risk
för intrång i registrerades personliga integritet eller om
typen av behandling innebär särskild risk för intrång, ska
den personuppgiftsansvarige samråda med tillsynsmyndigheten i
god tid innan behandlingen påbörjas eller betydande
förändringar genomförs (förhandssamråd).
Säkerheten för personuppgifter
Säkerhetsåtgärder
8 § Den personuppgiftsansvarige ska vidta lämpliga
tekniska och organisatoriska åtgärder för att skydda de
personuppgifter som behandlas, särskilt mot obehörig eller
otillåten behandling och mot förlust, förstöring eller annan
oavsiktlig skada.
Personuppgiftsincidenter
9 § Senast 72 timmar efter det att den
personuppgiftsansvarige fått kännedom om en
personuppgiftsincident ska den anmälas till
tillsynsmyndigheten, utom i de fall där incidenten ska
rapporteras enligt säkerhetsskyddslagen (2018:585) eller
föreskrifter som har meddelats i anslutning till den lagen.
Anmälan behöver inte göras om det är osannolikt att
personuppgiftsincidenten har medfört eller kommer att medföra
någon risk för otillbörligt intrång i den registrerades
personliga integritet. Lag (2018:1249).
10 § Om en personuppgiftsincident som ska anmälas enligt
9 § första stycket har medfört eller kan antas medföra särskild
risk för otillbörligt intrång i registrerades personliga
integritet, ska den personuppgiftsansvarige utan onödigt
dröjsmål underrätta den registrerade om incidenten.
Underrättelseskyldigheten gäller inte om den
personuppgiftsansvarige
1. har tillämpat lämpliga tekniska och organisatoriska
skyddsåtgärder på de personuppgifter som påverkades av
incidenten,
2. har säkerställt att det inte längre finns särskild risk
för otillbörligt intrång i registrerades personliga
integritet, eller
3. skulle behöva göra oproportionerliga ansträngningar för
att underrätta alla berörda.
I fall som avses i andra stycket 3 ska allmänheten informeras
eller en liknande åtgärd vidtas genom vilken de registrerade
får nödvändig information.
11 § Den personuppgiftsansvarige får avstå från att lämna
information enligt 10 § i den utsträckning det är särskilt
föreskrivet i lag eller annan författning eller annars
framgår av beslut som har meddelats med stöd av författning
att uppgifter inte får lämnas ut av hänsyn till intresset av
att
1. förebygga, förhindra eller upptäcka brottslig verksamhet,
utreda eller lagföra brott, verkställa straffrättsliga
påföljder eller upprätthålla allmän ordning och säkerhet,
2. andra rättsliga utredningar eller undersökningar inte
hindras,
3. nationell säkerhet skyddas, eller
4. någon annans rättigheter och friheter skyddas.
Om den personuppgiftsansvarige inte är en myndighet, gäller
undantaget i första stycket även för uppgifter som hos en
myndighet skulle ha varit sekretessbelagda enligt
offentlighets- och sekretesslagen (2009:400).
Samarbete med tillsynsmyndigheten
12 § Den personuppgiftsansvarige ska samarbeta med
tillsynsmyndigheten när den utför uppgifter enligt denna lag
och föreskrifter som har meddelats i anslutning till lagen.
Dataskyddsombud
13 § Den personuppgiftsansvarige ska utse ett eller flera
dataskyddsombud och anmäla till tillsynsmyndigheten när
dataskyddsombud utses och entledigas.
14 § Dataskyddsombud ska
1. självständigt kontrollera att den personuppgiftsansvarige
behandlar personuppgifter författningsenligt och på ett
korrekt sätt och i övrigt fullgör sina skyldigheter,
2. informera och ge råd till den personuppgiftsansvarige och
de som behandlar personuppgifter under dennes ledning om
deras skyldigheter vid behandling av personuppgifter,
3. på begäran ge den personuppgiftsansvarige råd vid en
konsekvensbedömning och kontrollera att den genomförs på
korrekt sätt,
4. vara kontaktpunkt för enskilda i frågor som rör behandling
av personuppgifter, och
5. samarbeta med tillsynsmyndigheten och vara kontaktpunkt
för den vid förhandssamråd och andra frågor som rör
behandling av personuppgifter.
15 § Den som fullgör uppgift som dataskyddsombud får inte
obehörigen röja det som han eller hon vid fullgörandet av sin
uppgift har fått kännedom om.
I det allmännas verksamhet tillämpas offentlighets- och
sekretesslagen (2009:400) i stället för första stycket.
Personuppgiftsbiträden
16 § Den personuppgiftsansvarige får, om det är lämpligt,
anlita personuppgiftsbiträden för behandling av
personuppgifter på den personuppgiftsansvariges vägnar. Innan
ett personuppgiftsbiträde anlitas ska den
personuppgiftsansvarige försäkra sig om att biträdet kommer
att vidta de lämpliga tekniska och organisatoriska åtgärder
som krävs för att behandlingen av personuppgifter ska vara
författningsenlig och för att skydda registrerades
rättigheter.
Personuppgiftsbiträdets behandling av personuppgifter ska
regleras i ett skriftligt avtal eller annan skriftlig
överenskommelse.
17 § Ett personuppgiftsbiträde får inte anlita ett annat
personuppgiftsbiträde utan skriftligt tillstånd från den
personuppgiftsansvarige.
18 § Ett personuppgiftsbiträde och de som arbetar under
biträdets ledning ska behandla personuppgifter i enlighet med
instruktioner från den personuppgiftsansvarige.
Om ett personuppgiftsbiträde bestämmer ändamålen med och
medlen för behandlingen, ska biträdet anses vara
personuppgiftsansvarig för den behandlingen.
19 § Det som sägs om den personuppgiftsansvariges
skyldigheter i 5, 6, 8 och 12 §§ gäller även för
personuppgiftsbiträden.
Gemensamt personuppgiftsansvar
20 § Två eller flera behöriga myndigheter är gemensamt
personuppgiftsansvariga om de gemensamt bestämmer ändamålen
med och medlen för personuppgiftsbehandlingen.
Den registrerade får utöva sina rättigheter enligt lagen mot
var och en av de gemensamt personuppgiftsansvariga.
Bemyndigande
21 § Regeringen får meddela föreskrifter om skyldighet att
föra register över kategorier av behandling av
personuppgifter och skyldighet att införa interna rutiner för
anmälan av överträdelser.
4 kap. Enskildas rättigheter
Rätten till information
Allmän information
1 § Den personuppgiftsansvarige ska göra följande allmänna
information tillgänglig för den registrerade:
1. den personuppgiftsansvariges identitet och
kontaktuppgifter,
2. dataskyddsombudets kontaktuppgifter,
3. kategorier av ändamål för behandlingen,
4. rätten enligt 3 § att begära att få information om
behandling av personuppgifter och att få del av
uppgifterna,
5. rätten att begära rättelse, radering eller
begränsning av behandlingen enligt 9 och 10 §§, och
6. möjligheten att lämna in klagomål till tillsynsmyndigheten
samt kontaktuppgifterna till myndigheten.
Personrelaterad information
2 § Den personuppgiftsansvarige ska i ett enskilt fall
lämna följande information till den registrerade, om det
behövs för att han eller hon ska kunna ta till vara sina
rättigheter:
1. den rättsliga grunden för behandlingen,
2. kategorier av mottagare av personuppgifterna, även i
tredjeland eller internationella organisationer,
3. hur länge personuppgifterna får behandlas eller, om det
inte är möjligt att ange, kriterierna för att fastställa det,
och
4. övrig nödvändig information.
Vid bedömningen av om information enligt första stycket 4 ska
lämnas ska det särskilt beaktas om personuppgifterna samlats
in utan den registrerades vetskap.
3 § Den personuppgiftsansvarige ska till den som begär det
utan onödigt dröjsmål lämna skriftligt besked om huruvida
personuppgifter som rör honom eller henne behandlas. Om
sådana uppgifter behandlas, ska sökanden få del av dem och få
följande skriftliga information:
1. vilka personuppgifter om sökanden som behandlas,
2. varifrån personuppgifterna kommer,
3. den rättsliga grunden för behandlingen,
4. ändamålen med behandlingen,
5. mottagare eller kategorier av mottagare av
personuppgifterna, även i tredjeland eller internationella
organisationer,
6. hur länge personuppgifterna får behandlas eller, om det
inte är möjligt att ange, kriterierna för att fastställa
det,
7. rätten att begära rättelse, radering eller begränsning av
behandlingen enligt 9 och 10 §§, och
8. möjligheten att lämna in klagomål till tillsynsmyndigheten
samt kontaktuppgifterna till myndigheten.
Utlämnande av personuppgifter enligt första stycket behöver
inte omfatta sådana personuppgifter som sökanden har tagit
del av, om inte han eller hon begär det. Det ska dock framgå
av informationen att personuppgifterna i fråga behandlas.
4 § Den som har varit föremål för ett sådant beslut som
avses i 2 kap. 19 § har rätt att på begäran få närmare
information om beslutet av den personuppgiftsansvarige.
Begränsning av rätten till information
5 § Informationsskyldigheten i 2 och 3 §§ gäller inte i
den utsträckning det är särskilt föreskrivet i lag eller
annan författning eller annars framgår av beslut som har
meddelats med stöd av författning att uppgifter inte får
lämnas ut av hänsyn till intresset av att
1. förebygga, förhindra eller upptäcka brottslig verksamhet,
utreda eller lagföra brott, verkställa straffrättsliga
påföljder eller upprätthålla allmän ordning och säkerhet,
2. andra rättsliga utredningar eller undersökningar inte
hindras,
3. nationell säkerhet skyddas, eller
4. någon annans rättigheter och friheter skyddas.
Om förutsättningarna i första stycket är uppfyllda, är den
personuppgiftsansvarige inte skyldig att lämna ut skälen för
beslut enligt första stycket eller beslut i fråga om
rättelse, radering eller begränsning av behandlingen enligt 9
eller 10 §.
Om den personuppgiftsansvarige inte är en myndighet, gäller
undantagen i första och andra styckena även för uppgifter som
hos en myndighet skulle ha varit sekretessbelagda enligt
offentlighets- och sekretesslagen (2009:400).
6 § Informationsskyldigheten i 3 § gäller inte
personuppgifter i löpande text som inte har fått sin slutliga
utformning när begäran gjordes eller som utgör
minnesanteckning eller liknande.
Informationsskyldigheten gäller dock om uppgifterna
1. har lämnats ut till tredje man, med undantag för en
myndighet som med stöd av författning utövar tillsyn,
kontroll eller revision,
2. behandlas enbart för vetenskapliga, statistiska eller
historiska ändamål, eller
3. har behandlats under längre tid än ett år i löpande text
som inte har fått sin slutliga utformning.
7 § Om en begäran enligt 3 § är orimlig eller uppenbart
ogrundad får den personuppgiftsansvarige avslå den.
Av 12 § andra stycket framgår att den personuppgiftsansvarige
i vissa fall får ta ut avgift i stället för att avslå
begäran.
Möjligheten att begära kontroll genom tillsynsmyndigheten
8 § I 5 kap. 3 § finns bestämmelser om att en fysisk
person får begära att tillsynsmyndigheten kontrollerar om
hans eller hennes personuppgifter behandlas
författningsenligt.
Rätten till rättelse, radering och begränsning av
behandlingen
9 § Den personuppgiftsansvarige ska på begäran av den
registrerade utan onödigt dröjsmål rätta eller komplettera
personuppgifter som rör honom eller henne, om de är felaktiga
eller ofullständiga med hänsyn till ändamålet med
behandlingen.
Om den personuppgiftsansvarige inte kan fastställa att
personuppgifterna är korrekta ska behandlingen av uppgifterna
i stället utan onödigt dröjsmål begränsas.
10 § Den personuppgiftsansvarige ska på begäran av den
registrerade utan onödigt dröjsmål radera personuppgifter som
rör honom eller henne, om de behandlas i strid med 2 kap. 1,
2, 3 § första stycket eller någon av 4–6 §§ eller 8, 11, 12,
14 eller 17 § första stycket. Detsamma gäller om det krävs
radering för att den personuppgiftsansvarige ska utföra en
rättslig förpliktelse.
Om förutsättningarna i första stycket för att radera
personuppgifter är uppfyllda men uppgifterna behöver finnas
kvar av bevisskäl, ska den personuppgiftsansvarige på begäran
av den registrerade i stället utan onödigt dröjsmål begränsa
behandlingen av uppgifterna.
11 § Den personuppgiftsansvarige avgör vilken åtgärd som
ska vidtas med anledning av en begäran om rättelse, radering
eller begränsning av behandlingen.
Avgiftsfri information
12 § Information enligt 1, 2 och 4 §§ ska lämnas utan
avgift. Information och uppgifter enligt 3 § ska lämnas utan
avgift en gång per år.
Om någon begär information och uppgifter enligt 3 § oftare än
en gång per år, får den personuppgiftsansvarige ta ut en
rimlig avgift eller avslå begäran enligt 7 § första
stycket.
5 kap. Tillsyn
Tillsynsmyndighetens uppdrag
1 § Tillsynsmyndigheten ska verka både för att fysiska
personers grundläggande rättigheter och friheter skyddas i
samband med behandling av personuppgifter och för att
underlätta det fria flödet av personuppgifter inom denna lags
tillämpningsområde.
Tillsynsmyndighetens uppgifter
2 § Tillsynsmyndigheten ska
1. utöva allmän tillsyn över personuppgiftsbehandling,
2. handlägga klagomål från registrerade,
3. utföra kontroll enligt 3 §, och
4. på begäran bistå en tillsynsmyndighet i en annan
medlemsstat.
Tillsynen ska inte omfatta behandling av personuppgifter inom
ramen för domstolarnas dömande verksamhet.
3 § Tillsynsmyndigheten ska på begäran kontrollera om
uppgifter om en fysisk person behandlas författningsenligt.
Den som begär en sådan kontroll ska visa att han eller hon
har begärt information enligt 4 kap. 3 § eller en åtgärd
enligt 4 kap. 9 eller 10 §.
Myndigheten får vägra att utföra kontrollen om begäran är
orimlig eller uppenbart ogrundad.
4 § Tillsynsmyndigheten ska vid förhandssamråd enligt
3 kap. 7 § och när det i övrigt är påkallat ge råd och stöd
till personuppgiftsansvariga och personuppgiftsbiträden om
deras skyldigheter enligt lag eller annan författning.
Tillsynsmyndighetens befogenheter
Undersökningsbefogenheter
5 § Tillsynsmyndigheten har rätt att av
personuppgiftsansvariga och personuppgiftsbiträden på begäran
få
1. tillgång till alla personuppgifter som behandlas,
2. upplysningar om och dokumentation av behandlingen av
personuppgifter och säkerhets- och skyddsåtgärder,
3. tillträde till lokaler som den personuppgiftsansvarige
eller personuppgiftsbiträdet disponerar samt tillgång till
utrustning och andra medel för behandling av personuppgifter,
och
4. den hjälp och den information som behövs för tillsynen.
Förebyggande befogenheter
6 § Om tillsynsmyndigheten bedömer att det finns risk för
att personuppgifter kan komma att behandlas i strid med lag
eller annan författning, ska myndigheten genom råd,
rekommendationer eller påpekanden försöka förmå den
personuppgiftsansvarige eller personuppgiftsbiträdet att
vidta åtgärder för att motverka den risken.
Tillsynsmyndigheten får utfärda en skriftlig varning för att
planerad behandling av personuppgifter riskerar att stå i
strid med lag eller annan författning. Detsamma gäller om
pågående behandling riskerar att stå i strid med lag eller
annan författning.
Korrigerande befogenheter
7 § Om tillsynsmyndigheten konstaterar att personuppgifter
behandlas i strid med lag eller annan författning eller att
den personuppgiftsansvarige eller personuppgiftsbiträdet på
något annat sätt inte fullgör sina skyldigheter, får
tillsynsmyndigheten
1. genom sådana åtgärder som anges i 6 § första stycket
försöka förmå den personuppgiftsansvarige eller
personuppgiftsbiträdet att vidta åtgärder för att
behandlingen ska bli författningsenlig, eller att uppfylla
andra skyldigheter,
2. förelägga den personuppgiftsansvarige eller
personuppgiftsbiträdet att vidta åtgärder för att
behandlingen ska bli författningsenlig eller att uppfylla
andra skyldigheter,
3. förbjuda fortsatt behandling om bristen är allvarlig,
eller
4. besluta om en sanktionsavgift enligt 6 kap.
Om ett föreläggande utfärdas ska det av föreläggandet framgå
när åtgärderna senast ska vara genomförda och, om det är
lämpligt, vilka åtgärder som ska vidtas.
Verkställighet av beslut
8 § Tillsynsmyndighetens beslut får inte verkställas
omedelbart.
Samarbete med tillsynsmyndigheter i andra medlemsstater
9 § Tillsynsmyndigheten får vägra en begäran om bistånd
från en tillsynsmyndighet i en annan medlemsstat endast om
det skulle strida mot en lag eller en förordning att
tillmötesgå den.
10 § När tillsynsmyndigheten på begäran bistår en
tillsynsmyndighet i en annan medlemsstat har den de
befogenheter som anges i 5–7 §§.
11 § Tillsynsmyndigheten får, om det är förenligt med
svenska intressen, lämna ut en uppgift till en
tillsynsmyndighet i en annan medlemsstat, även om uppgiften
är sekretessbelagd enligt offentlighets- och sekretesslagen
(2009:400).
12 § Information som tillsynsmyndigheten efter begäran har
fått från en tillsynsmyndighet i en annan medlemsstat får
inte användas för något annat ändamål än det för vilket
informationen begärdes.
6 kap. Administrativa sanktionsavgifter
Överträdelser som kan leda till en sanktionsavgift
1 § En sanktionsavgift får tas ut av en
personuppgiftsansvarig vid överträdelse av någon av
1. 2 kap. 1–5, 7–12 eller 14–18 §§, 19 § andra stycket eller
22 §,
2. 3 kap. 2–8 §§, eller
3. 8 kap. 1–6 §§ eller 8 §.
En sanktionsavgift får också tas ut om en
personuppgiftsansvarig inte anmäler en personuppgiftsincident
enligt 3 kap. 9 § första stycket, inte dokumenterar en sådan
incident, låter bli att bistå tillsynsmyndigheten enligt
5 kap. 5 § eller inte följer tillsynsmyndighetens beslut enligt
5 kap. 7 § första stycket 2 eller 3.
2 § En sanktionsavgift får tas ut av ett
personuppgiftsbiträde vid överträdelse av 3 kap. 5, 6 eller
8 §.
En sanktionsavgift får också tas ut om ett
personuppgiftsbiträde låter bli att bistå tillsynsmyndigheten
enligt 5 kap. 5 § eller inte följer tillsynsmyndighetens
beslut enligt 5 kap. 7 § första stycket 2 eller 3.
Hur sanktionsavgiften ska bestämmas
3 § Sanktionsavgiften ska vid överträdelser av 3 kap. 6
eller 7 § eller av bestämmelser om dokumentation av
personuppgiftsincidenter bestämmas till högst 5 000 000
kronor.
Vid överträdelser av övriga bestämmelser som anges i 1 och
2 §§ ska avgiften bestämmas till högst 10 000 000 kronor.
Om flera bestämmelser har överträtts genom samma
personuppgiftsbehandling, eller om en eller flera
bestämmelser har överträtts genom sammankopplade
personuppgiftsbehandlingar, ska sanktionsavgiften bestämmas
efter överträdelsernas allvar. Sanktionsavgiften får aldrig
överstiga maximibeloppet för den allvarligaste
överträdelsen.
4 § Vid bedömningen av om någon sanktionsavgift ska tas ut
och när storleken på avgiften ska bestämmas ska särskild
hänsyn tas till
1. om överträdelsen varit uppsåtlig eller berott på
oaktsamhet,
2. den skada, fara eller kränkning som överträdelsen
inneburit,
3. överträdelsens karaktär, svårhetsgrad och varaktighet,
4. vad den personuppgiftsansvarige eller
personuppgiftsbiträdet gjort för att begränsa verkningarna av
överträdelsen, och
5. om den personuppgiftsansvarige eller
personuppgiftsbiträdet tidigare ålagts att betala en
sanktionsavgift.
5 § Sanktionsavgiften får sättas ned helt eller delvis om
överträdelsen är ursäktlig eller om det annars med hänsyn
till omständigheterna skulle vara oskäligt att ta ut en
avgift.
Beslut om sanktionsavgift
6 § Tillsynsmyndigheten beslutar om sanktionsavgift.
Sanktionsavgiften tillfaller staten.
7 § En sanktionsavgift får inte beslutas om den som
avgiften ska tas ut av inte har fått tillfälle att yttra sig
inom fem år från den dag då överträdelsen ägde rum.
Ett beslut om sanktionsavgift ska delges.
Betalning av sanktionsavgift
8 § En sanktionsavgift ska betalas till den myndighet som
regeringen bestämmer inom 30 dagar från det att beslutet om
att ta ut avgiften har fått laga kraft eller inom den längre
tid som anges i beslutet.
Om sanktionsavgiften inte betalas inom den tid som anges i
första stycket, ska myndigheten lämna den obetalda avgiften
för indrivning. Bestämmelser om indrivning finns i lagen
(1993:891) om indrivning av statliga fordringar m.m. Vid
indrivning får verkställighet ske enligt utsökningsbalken.
Bemyndigande
9 § Regeringen får meddela ytterligare föreskrifter om
sanktionsavgifter enligt denna lag.
7 kap. Skadestånd och överklagande
Skadestånd
1 § Den personuppgiftsansvarige ska ersätta den
registrerade för den skada och kränkning av den personliga
integriteten som orsakats av behandling av personuppgifter i
strid med denna lag, eller föreskrifter som har meddelats i
anslutning till den.
Överklagande
Överklagande av personuppgiftsansvariga myndigheters beslut
2 § Beslut i fråga om rättelse eller komplettering enligt
4 kap. 9 § första stycket, radering enligt 4 kap. 10 § första
stycket, eller begränsning av behandlingen enligt 4 kap. 9 §
andra stycket eller 10 § andra stycket, som har meddelats av
en myndighet i egenskap av personuppgiftsansvarig, får
överklagas till allmän förvaltningsdomstol. Detsamma gäller
beslut att inte lämna information enligt 4 kap. 3 §, att ta
ut avgift enligt 4 kap. 12 § andra stycket eller att inte
medge prövning av ett automatiserat beslut enligt 2 kap. 19 §
första stycket.
Prövningstillstånd krävs vid överklagande till
kammarrätten.
Första stycket gäller inte beslut av
regeringen, Högsta domstolen, Högsta förvaltningsdomstolen
eller Riksdagens ombudsmän.
Överklagande av tillsynsmyndighetens beslut
3 § Tillsynsmyndighetens beslut enligt denna lag får
överklagas till allmän förvaltningsdomstol. När ett beslut
överklagas är tillsynsmyndigheten motpart i domstolen.
Prövningstillstånd krävs vid överklagande till
kammarrätten.
Överklagandeförbud
4 § Andra beslut enligt denna lag än de som avses i 2 och
3 §§ får inte överklagas.
8 kap. Överföring av personuppgifter till tredjeland och
internationella organisationer
Förutsättningar för överföring
1 § En behörig myndighet får överföra personuppgifter till
ett tredjeland eller en internationell organisation, om
personuppgifterna behandlas i Sverige eller är avsedda att
behandlas i ett tredjeland eller av en internationell
organisation. Personuppgifterna får dock endast överföras om
överföringen
1. är nödvändig för att förebygga, förhindra eller upptäcka
brottslig verksamhet, utreda eller lagföra brott, verkställa
straffrättsliga påföljder eller upprätthålla allmän ordning
och säkerhet,
2. riktas till en behörig myndighet i ett tredjeland eller
till en internationell organisation som är en behörig
myndighet, och
3. omfattas av
a) ett beslut om adekvat skyddsnivå enligt 3 §,
b) tillräckliga skyddsåtgärder enligt 4 §, eller
c) ett undantag för särskilda situationer enligt 5 §.
En behörig myndighet som avser att överföra personuppgifter
till ett tredjeland eller en internationell organisation, ska
särskilt beakta risken för att enskilda får ett försämrat
skydd för sina personuppgifter.
2 § Personuppgifter som en svensk myndighet har fått från en
annan medlemsstat får överföras till ett tredjeland eller en
internationell organisation endast om den medlemsstat som
lämnat uppgifterna till en svensk myndighet har medgett att de
överförs.
Om medgivandet på grund av tidsbrist inte kan inhämtas i
förväg, får personuppgifter ändå överföras om det är
nödvändigt för att avvärja en omedelbar och allvarlig fara för
allmän säkerhet. Detsamma gäller om det är nödvändigt för att
avvärja en omedelbar och allvarlig fara för andra väsentliga
intressen för Sverige eller någon annan medlemsstat.
För personuppgifter som en svensk myndighet har fått från
Europeiska åklagarmyndigheten gäller artikel 80.3 i rådets
förordning (EU) 2017/1939 av den 12 oktober 2017 om
genomförande av fördjupat samarbete om inrättande av
Europeiska åklagarmyndigheten. Lag (2024:465).
Beslut om adekvat skyddsnivå
3 § Om Europeiska kommissionen har beslutat att det finns
en adekvat nivå för skyddet av personuppgifter i ett
tredjeland, eller en viss geografisk eller på annat sätt
angiven del av det, får personuppgifter överföras dit under
de förutsättningar som anges i 1 och 2 §§. Detsamma gäller om
det finns ett sådant beslut avseende en internationell
organisation.
Tillräckliga skyddsåtgärder
4 § Om det inte finns något beslut om adekvat skyddsnivå
enligt 3 §, får personuppgifter, under de förutsättningar som
anges i 1 och 2 §§, ändå överföras till ett tredjeland eller
en internationell organisation om
1. skyddsåtgärder för personuppgifterna har fastställts i ett
avtal som ger tillräckliga garantier till skydd för den
registrerade, eller
2. den behöriga myndighet som uppgifterna ska överföras till
på annat sätt garanterar tillräckligt skydd för dem.
Överföring i särskilda situationer
5 § Om det inte finns något beslut om adekvat skyddsnivå
enligt 3 § eller tillräckliga skyddsåtgärder enligt 4 §, får
en överföring, eller en samling av överföringar, av
personuppgifter, under de förutsättningar som anges i 1 och
2 §§, göras till ett tredjeland eller en internationell
organisation endast om överföringen är nödvändig för att
1. värna den registrerades eller någon annan fysisk persons
vitala intressen, eller andra berättigade intressen som den
registrerade har,
2. i ett enskilt fall förebygga, förhindra eller upptäcka
brottslig verksamhet, utreda eller lagföra brott, verkställa
straffrättsliga påföljder eller upprätthålla allmän ordning
och säkerhet,
3. i ett enskilt fall kunna fastställa, göra gällande eller
försvara ett rättsligt anspråk som hänför sig till ett sådant
syfte som anges i 2, eller
4. avvärja en omedelbar och allvarlig fara för allmän
säkerhet.
Personuppgifter får inte överföras till ett tredjeland eller
en internationell organisation om den registrerades intresse
av skydd mot kränkning av rättigheter och friheter väger
tyngre än det allmännas intresse av en sådan överföring som
avses i första stycket 2 eller 3.
Vidareöverföring
6 § En svensk behörig myndighet får inte tillåta att
sådana personuppgifter som anges i 2 § första stycket, och
som överförts till ett tredjeland eller en internationell
organisation, vidareöverförs till ett tredjeland eller en
internationell organisation, om inte någon behörig myndighet
i den andra medlemsstaten har medgett att uppgifterna får
vidareöverföras.
7 § När en svensk behörig myndighet ska ta ställning till
om personuppgifter som har överförts från Sverige till en
annan medlemsstat, som har överfört dem till ett tredjeland
eller en internationell organisation, får vidareöverföras
till ett tredjeland eller en internationell organisation, ska
alla kända omständigheter som har samband med
vidareöverföringen beaktas. Särskild vikt ska läggas vid
brottets allvar, allvaret i faran för allmän säkerhet, det
ändamål för vilket personuppgifterna ursprungligen lämnades
till den andra medlemsstaten och nivån på skyddet av
personuppgifter i tredjelandet eller hos den internationella
organisationen som uppgifterna ska vidareöverföras till.
Överföring till andra än behöriga myndigheter
8 § En svensk behörig myndighet får i ett enskilt fall
överföra personuppgifter till någon som inte är en behörig
myndighet i ett tredjeland. Personuppgifterna får överföras
endast om de övriga förutsättningarna i 1 och 2 §§ är
uppfyllda och om
1. det är absolut nödvändigt för att den svenska myndigheten
ska kunna utföra en uppgift enligt 1 kap. 2 § som den har
ansvar för,
2. den svenska myndigheten informerar den som ska ta emot
personuppgifterna om det eller de specifika ändamål för
vilket eller vilka uppgifterna får behandlas, och
3. det skulle vara ineffektivt eller olämpligt att överföra
dem till en behörig myndighet i tredjelandet.
Personuppgifter får inte överföras enligt första stycket om
den registrerades intresse av skydd mot kränkning av
rättigheter och friheter väger tyngre än det allmännas
intresse av att överföringen görs.
Första och andra styckena gäller inte en sådan annan aktör
som är behörig myndighet enligt definitionen i 1 kap. 6 §.
Villkor om användningsbegränsning
9 § Om en svensk behörig myndighet har fått
personuppgifter från ett tredjeland eller en internationell
organisation och gäller på grund av en överenskommelse med
tredjelandet eller den internationella organisationen villkor
som begränsar möjligheten att använda uppgifterna, ska
svenska myndigheter följa villkoren oavsett vad som är
föreskrivet i lag eller annan författning.
10 § En svensk behörig myndighet får vid överföring av
personuppgifter till ett tredjeland eller en internationell
organisation i ett enskilt fall ställa upp villkor som
begränsar möjligheten att använda uppgifterna, om det krävs
med hänsyn till den enskildes rätt eller från allmän
synpunkt. Sådana villkor får inte strida mot en
internationell överenskommelse som är bindande för Sverige.
Övergångsbestämmelser
2018:1177
1. Denna lag träder i kraft den 1 augusti 2018.
2. Genom lagen upphävs lagen (2013:329) med vissa
bestämmelser om skydd för personuppgifter vid polissamarbete
och straffrättsligt samarbete inom Europeiska unionen.
3. Bestämmelsen i 3 kap. 5 § om loggning tillämpas från och
med den 6 maj 2023 i fråga om automatiserade
behandlingssystem som inrättats före den 6 maj 2016.
4. En sanktionsavgift enligt 6 kap. får beslutas endast för
överträdelser som har skett efter ikraftträdandet.
5. Äldre föreskrifter gäller fortfarande för överträdelser
som har skett före ikraftträdandet.
6. Äldre föreskrifter gäller fortfarande för överklagande av
beslut som har meddelats före ikraftträdandet.