author: Staffan Malmgren

text: Personuppgiftslagen

text: (PUL) reglerar hur

text: juridiska

text: och

text: fysiska personer

text: myndighet

text: er,

text: företag

text: enskilda

text: , m.fl.) får hantera

text: personuppgift

text: er och tar framförallt sikte på databehandling.

text: Det finns fyra huvudsakliga frågor man måste undersöka: # Om PUL är tillämplig (

text: 8 §§

text: ) # om behandlingen är tillåten (

text: 22 §§

text: ) # om den är anmälningspliktig (

text: 37 §§

text: ) # vilka krav som ställs på behandlingen när den är igång (

text: och

text: 42 §§

text: Lagen bygger på dataskyddsdirektivet (

text: ) och har tillkommit i syfte att skydda

text: den personliga integriteten

text: PUL kompletteras av

text: personuppgiftsförordningen (PUF)

text: och

text: datainspektionens föreskrifter (DIFS)

text: . Härutöver gäller även ett stort antal

text: registerförfattning

text: ar, exempelvis

text: domstolsdataförordningen (2015:729)

text: . Även

text: europakonventionen

text: s

text: artikel 8

text: (rätt till privatliv) reglerar den personliga integriteten.

text: PUL kommer i framtiden ersättas av EUs dataskyddsförordning

text: (EU) 2016/679

text: , som antogs i april 2016 och som kommer börja tillämpas från och med den 25 maj 2018.

text: I

text: 2 kap 3 § 2 st. regeringsformen

text: stadgas att det ska finnas lagstöd för den personliga integriteten. Det är denna lag som avses.

heading: 1 §

text: 1 §

text: Lagen är alltså

text: subsidiär

text: . Ett exempel på en lag som delvis gäller framför PUL är

text: lagen (2001:99) om den offentliga statistiken

text: . Även

text: tryckfrihetsförordningen

text: har företräde framför PUL, dels på grund av denna paragraf och

text: 8 §§

text: , men framförallt pga principen om

text: lex superior

heading: 2 §

text: 2 §

text: Eftersom både "behandling" och "

text: personuppgift

text: " har en vid definition faller i stort sett all elektronisk informationshantering in under lagens tillämpningsområde, om den innehåller information om en nu levande människa (avlidna personer skyddas inte av PUL). Detta inkluderar även digitalfotografering, digital ljudinspelning och omnämnande i löpande text. Regleringen för sådana s.k.

text: ostrukturerade personuppgifter

text: är dock enklare än för personuppgifter som ingår i ett strukturerat register. De förra hanteras enligt

text: missbruksmodellen

text: , de senare enligt

text: hanteringsmodellen

text: Uppgifter om ett hushåll (istället för en enskild person), dvs uppgift som hänförs till en väldigt snäv krets, anses i praxis utgöra personuppgifter.

text: Datainspektionen

text: är tillsynsmyndighet.

text: Se kommentaren till

text: 30 §

text: angående relationen mellan personuppgiftsansvarig och personuppgiftsbiträde.

heading: 3 §

text: 3 §

text: Lagen tar i första hand sikte på den

text: personuppgiftsansvarig

text: es placering, inte var exempelvis databasservern fysiskt är placerad. En person bosatt i Sverige kan alltså inte undgå att behöva följa PUL genom att använda en dator i utlandet. Däremot kan det vara otillåtet att överföra information till en sådan dator om den står i ett land som saknar lagstiftning i stil med PUL - se

text: 33 §

heading: 4 §

text: 4 §

text: PUL är i första hand skriven för datoriserad personuppgiftsbehandling, men kan även bli tillämplig vid manuell pappersbaserad uppgiftsbehandling. För detta krävs dock att uppgifterna är ordnade så att man kan söka och sammanställa uppgifter på ett effektivare sätt än att manuellt läsa igenom hela information från början till slut och att sådan sökning eller sammanställning kan ske på minst två kriterier till exempel via separata index och register enligt

text: RÅ 2001 ref. 35 (KTH)

heading: 5 §

text: 5 §

text: Om personuppgifterna finns i

text: ostrukturerat material

text: , exv. löpande text, behöver större delen av PUL (den s.k.

text: hanteringsmodellen

text: ) inte tillämpas. Istället används den enklare s.k.

text: missbruksmodellen

text: som beskrivs i

text: andra stycket

text: , och som bara innehåller en regel - personuppgiftshanteringen får inte kränka den personliga integriteten för den/de personer som uppgifterna gäller.

text: De delar av PUL som inte ska användas med missbruksmodellen handlar om grundläggande regler för hur behandlingen ska gå till (

text: 9 §

text: ), när behandlingen över huvud taget är tillåten (

text: 10 §

text: ), begreppet "känsliga personuppgifter" (

text: 19 §§

text: ), personuppgifter om lagöverträdelser (

text: 21 §

text: ), personnummer (

text: 22 §

text: ), krav om att informera den registrerade (

text: 26 §§

text: ), rättelse av personuppgifter (

text: 28 §

text: ), överföring till tredje land (

text: 34 §§

text: -- se dock nästa stycke) samt information till allmänheten (

text: 42 §

text: Det är enligt

text: 49 §

text: straffbart att behandla känsliga uppgifter (

text: 13 §

text: ) eller uppgifter om lagöverträdelser (

text: 21 §

text: ), eller att föra över sådana uppgifter till tredje land i strid med

text: 33 §

text: , om detta innebär en kränkning enligt

text: andra stycket

heading: 5 a §

text: 5 a §

text: "Rent privat bruk" ska tolkas relativt snävt. I

text: RH 2004:51

text: (Konfirmandlärarmålet) slogs fast att publicering av personuppgifter på en allmänt tillgänglig webbsida inte kunde anses vara privat bruk, även om det görs av en privatperson på fritiden.

heading: 6 §

text: 6 §

text: Att PUL inte ska tillämpas i strid mot TF/YGL följer även av principen om

text: lex superior

text: samt

text: exklusivitetsprincipen

text: Undantaget för journalistisk verksamhet i

text: andra stycket

text: har i praxis tolkats brett och omfattar de flesta opinionsbildande yttranden på nätet, se

text: NJA 2001 s. 409

text: (Ramsbromålet) och

text: Daniel Westmans analys

text: . När detta undantag är tillämpligt ska endast säkerhetsbestämmelserna (framförallt

text: 32 §§

text: ) tillämpas.

heading: 7 §

text: 7 §

text: Även om PUL inte direkt hindrar en myndighet från att lämna ut allmäna handlingar, så kan handlingarna beläggas med sekretess enligt

text: OSL 21:7

text: , vilket hindrar utlämnande om det kan antas att detta skulle medföra personuppgiftsbehandling i strid med PUL. I

text: RÅ 2001 ref. 35

text: ville KTH inte lämna ut studenters betygshandlingar, då de befarade att mottagaren skulle behandlas dessa i strid med PUL (RegR fann dock att det inte fanns anledning att anta detta).

heading: 8 §

text: 8 §

text: Detta bemyndigande för regeringen att föreskriva undantag från delar av PUL sker med stöd av artikel 13 i dataskyddsdirektivet. Det infördes samtidigt som regleringen av ostrukturerade personuppgifter (

text: missbruksmodellen

text: ), men har inget direkt samband med denna. Inga undantag har dock veterligen föreskrivits med stöd av denna paragraf.

heading: 8 a §

text: 8 a §

text: Dessa är de grundläggande krav som enligt

text: hanteringsmodellen

text: ska vara uppfyllda för att personuppgiftsbehandling överhuvudtaget ska få ske. De flesta kraven kretsar kring ändamålen för behandlingen

text: a) Kravet på att behandlingen ska vara laglig kan synas lite överflödigt, men är hämtat från dataskyddsdirektivet

text: artikel 6

text: b) "God sed" kommer framförallt i uttryck genom branschöverenskommelser, exv

text: Swedmas branschregler

text: . Att följa dessa ger även undantag från anmälningsplikten.

text: c) I "särskilda" ligger ett krav på att ändamålen ska vara någorlunda preciserade, ett allt för allmänt hållet ändamål (exv "på förekommen anledning") godkänns inte.

text: d) Denna punkt uttrycker den s.k.

text: finalitetsprincipen

text: . Se också

text: andra stycket

text: i denna paragraf samt

text: 25 §

text: (om informationsplikt)

text: e), f) och i) Dessa punkter understryker kravet på att ändamålen är preciserade.

text: g) och h) Det finns också ett ansvar att rätta felaktiga uppgifter enligt

text: 28 §

text: Med "historiska ändamål" avses i första hand arkivering (

text: SOU 1997:39

text: avsnitt 12.4.6.2). Undantagen för forskning och statistik ska läsas i ljuset av de särskilda undantagen för känsliga uppgifter i

text: 19 §

text: och de krav på etikprövning och sekretess som finns på dessa områden.

heading: 9 §

text: 9 §

text: Den personuppgiftsansvarige bör börja med att undersöka om uppgifterna i fråga är "vanliga" (

text: 12 §§

text: ), känsliga (

text: 20 §§

text: ), alternativt rör brott (

text: 21 §

text: ) eller personnummer (

text: 22 §

text: ) för att sedan undersöka om den tänkta behandlingen är tillåten enligt huvudregeln om samtycke eller något av undantagen. Kraven i

text: 10 §

text: gäller samtliga sorters uppgifter. Huvudregeln enligt

text: hanteringsmodellen

text: är att all behandling som inte uttryckligen är tillåten är förbjuden.

text: "Vanliga" (icke-känsliga) personuppgifter får alltid behandlas om man har den registrerades samtycke (för vilket det inte finns särskilt stränga formkrav, en kryssruta på ett webbformulär eller tillochmed

text: konkludent handlande

text: kan räcka -- men samtycket kan återkallas (

text: 12 §

text: ). Se även

text: Datainspektionens information om samtycke

text: . Notera att samtycket måste täcka varje enskild behandling - har man fått samtycke till bara insamling kan detta inte rättfärdiga annan behandling, exv spridning, enligt

text: finalitetsprincipen

text: (se även

text: 9 § d)

text: Har man inte samtycke kan behandlingen ändå vara tillåten om någon av tillåtlighetsgrunderna i a-f är uppfyllda. Uppräkningen är uttömande (se även

text: SOU 1997:39

text: avsnitt 12.5.1).

text: a) För att ett avtal ska kunna utgöra en tillåtlighetsgrund ska det vara slutet med just den registrerade - inte med exempelvis dennes arbetsgivare.

text: b) Med rättslig skyldighet menas i första hand en lagstadgad plikt för ett företag (eller annat

text: privaträttsligt subjekt

text: ) att göra något - exempelvis har en arbetsgivare vid uppsägning på grund av arbetsbrist en skyldighet att upprätta turordningslistor över sina anställda (för myndigheters förpliktelser, se punkt e)

text: c) Det är osäkert hur brett "vitala intressen" ska tolkas, men det gäller i vart fall sådant som avgörande betydelse för den registrerades liv (se

text: SOU 1997:39

text: avsnitt 3.5.5 och dataskyddsdirektivets preambelpunkt 31).

text: d) Exempel på arbetsuppgifter av allmänt intresse är arkivering, forskning och framställning av statistik.

text: e) Med

text: myndighetsutövning

text: menas här sådana uppgifter som en myndighet enligt lag ska utföra och som har rättsliga effekter för den enskilde. Exempelvis får en domstol registrera uppgifter om parter i ett tviste- eller brottmål.

text: f) Denna intresseavvägning används ofta i praktiken då intrånget i den personliga integriteten är litet eller obefintligt, och det är opraktiskt att inhämta samtycke i förhand. Både en ideell förenings allmännyttiga verksamhet såväl som ett privat företags vinstintresse kan utgöra ett "berättigat intresse".

heading: 10 §

text: 10 §

text: En sådan anmälan från den enskilde kan ske genom e-post. Direktmarknadsföraren får inte ta ut någon avgift av den enskilde i samband med en sådan anmälan. Se även

text: och

text: 20 §§

text: marknadsföringslagen (2008:486)

text: om när direktmarknadsföring till enskild får och inte får ske.

heading: 11 §

text: 11 §

text: Det finns inget särskilt formkrav för hur ett återkallande av samtycke ska ske, utan det kan ske muntligen till den personuppgiftsansvarige (eller någon som företräder denne). Det är dock den som gör återkallandet som har bevisbördan för att det faktiskt skett.

text: Ett återkallande spelar ingen roll om själva behandlingen sker med stöd av en annan tillåtlighetsgrund än just den registrerades samtycke (dvs någon av grunderna i listan i

text: 10 §

heading: 12 §

text: 12 §

text: Huvudregeln för känsliga uppgifter är att de inte får hanteras alls, men i efterföljande paragrafer (

text: 20 §§

text: ) finns ett antal undantag från detta förbud. Att behandla personuppgifter i strid med förbudet är straffbelagt, se

text: 49 §

text: Ett fotografi på en person räknas normalt inte som uppgift om ras/etniskt ursprung eller hälsa.

text: En uppgift om att en person inte har någon religös övertygelse räknas som känslig.

text: Även relativt harmlösa uppgifter om hälsa (som att en person skadat foten och är deltidssjukskriven) räknas som känsliga uppgifter.

text: Uppgifter om kön eller civilstånd räknas inte som uppgift om sexualliv, däremot kan uppgifter om könsbyte räknas.

heading: 13 §

text: 13 §

text: Denna paragraf tillför inget materiellt, utan upplyser bara om lagens systematik kring känsliga uppgifter.

heading: 14 §

text: 14 §

text: Precis som för "vanliga" personuppgifter så är samtycke en tillåtlighetsgrund. Dock ställs högre krav på hur detta samtycke kommer till uttryck ("[...] lämnat sitt uttryckliga samtycke") - underförstått eller

text: konkludent samtycke

text: räcker inte.

text: Utöver detta får man även behandla sådana uppgifter som den registrerade själv offentliggjort på ett tydligt sätt, exempelvis när en person "talat ut" om sin hälsa eller sexliv i massmedier, eller när en person ställer upp i ett val för ett visst parti.

heading: 15 §

text: 15 §

text: a) "arbetsrätten" ska här tolkas ganska brett. Det kan vara fråga om rättigheter/skyldigheter som är lagstadgade, men också sådana som följer av kollektivavtal eller individuella avtal. Exempelvis kan en arbetsgivare behandla uppgifter om de anställdas fackföreningsmedlemsskap, om arbetsgivaren genom kollektivavtal åtagit sig att göra avdrag på lön för fackföreningsavgift, dvs. en skyldighet som följer av avtal (inte lag).

text: b) "Vitala intressen" ska tolkas på samma sätt som i

text: 10 § c.

text: c) Skattemyndigheten måste behandla uppgifter om medlemsskap i svenska kyrkan för att kunna ta ut kyrkoskatt. Detta skatteanspråk är ett exempel på ett rättsligt anspråk.

heading: 16 §

text: 16 §

text: Det finns inget uttryckligt krav på att personuppgifterna ska ha någon anknytning till organisationens syfte, men de grundläggande kraven i

text: 9 §

text: sätter stopp för behandling av helt ovidkommande uppgifter.

text: Rätten att behandla uppgifter om en viss person enligt denna paragraf upphör när personen slutar vara medlem.

text: Organisationens syfte måste vara politiskt, filosofiskt, religiöst eller fackligt, men dessa begrepp ska tolkas ganska brett. Exempelvis kan alla organisationer som på något vis vill påverka samhället ses som politiska enligt denna paragraf.

heading: 17 §

text: 17 §

text: Undantaget täcker såväl den vanliga verksamheten, såväl som tillsynsverksamhet inom hälso- och sjukvårdsområdet. Bestämmelser om tystnadsplikt i hälso- och sjukvården finns bland annat i

text: 21 kap.

text: offentlighets- och sekretesslagen (2009:400)

text: och lagen (

text: ) om yrkesverksamhet på hälso- och sjukvårdens område.

heading: 18 §

text: 18 §

text: Definitionen av

text: forskning

text: finns i

text: 2 § lagen (2003:460)

text: om etikprövning av forskning som avser människor. Se även

text: Etikprövningsnämndens praxis

text: och datainspektionens broschyr "

text: Personuppgifter i forskningen – vilka regler gäller?

heading: 19 §

text: 19 §

text: Datainspektionen har inte medelat några generella föreskrifter om undantag från

text: 13 §

heading: 20 §

text: 20 §

text: Att behandla personuppgifter i strid med detta förbud är straffbelagt, se

text: 49 §

text: Datainspektionen har meddelat en föreskrift om undantag från denna paragraf (

text: DIFS 1998:3

text: ), samt medgett undantag i enskilda fall, exv för

text: Antipiratbyrån och IFPI

text: . Det finns även ett stort antal undantag i annan lagstiftning, framförallt i de immaterialrättsliga lagarna (exv

text: 53 g § upphovsrättslagen

text: ) och registerförfattningar (jfr

text: 2 §

text: om

text: personuppgiftslagens

text: subsidiaritet

heading: 21 §

text: 21 §

text: Huvudregeln är att personnummer får behandlas om den registrerade frivilligt samtycker till detta. Det ställs dock höga krav på denna frivillighet i datainspektionens praxis: En potentiell kund har inte kunnat anses ge samtycke eftersom denne befunnit sig i en beroendeställning mot ett företag som har en monopolställning (

text: Dnr 246-2007

text: ). Små barn har inte ansetts kunna ge giltigt samtycke över huvud taget (

text: samrådsyttrande december 2002

text: Det finns sparsamt med praxis kring vad som gör ett ändamål "klart motiverat" om samtycke saknas eller inte har inhämtats, men för att använda det som användaridentitet i datorsystem tordes kräva att det finns särskilda säkerhetskrav på systemet (

text: samrådsyttrande mars 2004

heading: 22 §

text: 22 §

text: Se även

text: 25 §

text: om vilken information som ska lämnas, och

text: 27 §

text: om undantag från informationsskyldigheten. I kravet på att uppgifterna ska lämnas självmant ligger att den registrerade inte ska behöva be om att få informationen.

text: Om insamlingen sker löpande (exempelvis ett kontokortsföretags insamlande av en kunds transaktioner) behöver information inte lämnas vid varje enskilt insamlingstillfälle, så länge som den registrerade blivit informerad om att och hur detta kommer ske, och detta skett senast vid den första insamlingen.

text: Om man till den registrerade meddelar osanna uppgifter enligt

text: 26 §§

text: är detta grund för straffansvar, se

text: 49 §

heading: 23 §

text: 23 §

text: När man samlar in uppgifter från någon annan part än den registrerade kan det vara svårare att nå denne med information. Principiellt gäller dock samma regel som i

text: 23 §

text: om att information ska lämnas självmant, men det finns några undantag.

text: För att undantaget i

text: andra stycket

text: ska vara tillämpligt krävs att bestämmelserna är specifika. Vem som helst kan begära ut personuppgifter från myndigheter med stöd av offentlighetsprincipen, som alltså innehåller bestämmelser om utlämnande av (bl.a.) personuppgifter. Offentlighetsprincipen är dock för generell för att insamlaren ska kunna tillämpa detta undantag.

text: Vad gäller undantaget i

text: tredje stycket

text: finns i dataskyddsdirektivets ingress (i punkt 40) en riktlinje för bedömning av vad som utgör en oproportionerligt stor arbetsinsats när det gäller behandling för historiska, statistiska eller vetenskapliga ändamål; "[...] antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas [kan] tas i beaktande"

heading: 24 §

text: 24 §

text: Med identitet avses här namn och address till den fysiska eller juridiska person som är personuppgiftsansvarig. Information om ändamålet med behandlingen är viktig för att upprätthålla

text: finalitetsprincipen

text: , och det krävs att ändamålet är preciserat.

text: Det finns inget krav på att informationen ska lämnas skriftligen, men det är den

text: personuppgiftsansvarig

text: e som har

text: bevisbörda

text: n för att visa att informationen har lämnats.

text: Undantaget i

text: andra stycket

text: leder i praktiken till att informationsplikten inte behöver bli alltför betungande för den personuppgiftsansvarige.

heading: 25 §

text: 25 §

text: Det här är ett exempel på en

text: insynsrätt

text: , dvs en rätt för den enskilde att på begäran få insyn i myndigheters (och företags) information, i det här fallet information om den enskilde. Andra exempel på insynsrätter är

text: offentlighetsprincipen

text: och

text: partsinsyn

text: (som i första hand gäller mot myndigheter).

text: Eftersom begäran ska vara skriftlig och undertecknad räcker det inte med att skicka ett epostmeddelande, utan det måste vara ett fysiskt brev (den personuppgiftsansvarige kan förstås välja att godta även en begäran via epost, men det finns ingen skyldighet att göra detta).

text: Den enskilde kan även begära att uppgifter ska rättas, om de visar sig vara felaktiga (se

text: 28 §

heading: 26 §

text: 26 §

text: Ett exempel på en sådan föreskrift finns i

text: OSL 25:6

text: (om uppgifter om hälsotillstånd för en vård- eller behandlingsbehövande).

heading: 27 §

text: 27 §

text: Genom att

text: 9 § g

text: kräver att personuppgifter ska vara riktiga så är behandling av felaktiga uppgifter i strid med lagen, och den registrerade kan med stöd av denna paragraf begära att uppgifterna ska rättas. Den personuppgiftsansvarige får dock bestämma vilken åtgärd (rättning, utplåning eller blockering) som ska vidtas.

text: För att uppgifterna ska anses utplånade ska de inte gå att återskapa. Se

text: 3 §

text: för en definition av "blockering".

heading: 28 §

text: 28 §

text: Denna bestämmelse är till skillnad från resten av lagen väldigt specifikt inriktad på en typ av behandling, nämligen automatiskt fattade beslut. Den är tillämplig både på myndigheter och företag. Tanken är att den enskilde ska ha rätt att få sådana beslut manuellt omprövade (jfr

text: 27 § förvaltningslagen

text: för beslut som fattas av myndigheter).

text: Andra stycket ställer ganska långtgående krav på att den personuppgiftsansvarige kan redogöra för den inre logik i datorsystemet som lett till det automatiska beslutet.

heading: 29 §

text: 29 §

text: Den

text: fysiska person

text: som är anställd hos ett företag, och som en del av sina arbetsuppgifter utför personuppgiftsbehandling, anses inte som personuppgiftsbiträde utan bara som medhjälpare under den personuppgiftsansvariges (arbetsgivarens) direkta ansvar. Ett personuppgiftsbiträde måste arbetsrättsligt vara självständig, exempelvis en underleverantör (dock kan både personuppgiftsbiträdet och även den personuppgiftsansvarige vara fysiska personer, bestämmelserna är inte enbart tillämpliga på

text: juridiska personer

text: . Om underleverantören självständigt bestämmer hur behandlingen ska gå till kan denne dock betraktas som personuppgiftsansvarig tillsammans med sin uppdragsgivare.

text: I kravet på att avtalet ska vara skriftligt ligger inte något krav på att det är fäst på papper, underskrivet eller liknande (jfr

text: 26 §

text: ), utan även exv ett epostmeddelande kan betraktas som skriftligt avtal.

heading: 30 §

text: 30 §

text: Datainspektionen har i sina allmänna råd

text: "Säkerhet för personuppgifter"

text: gett riktlinjer för hur säker personuppgiftsbehandling ska ske. Ju känsligare personuppgifterna är, desto högre ställs säkerhetskraven. Utöver bestämmelserna i

text: personuppgiftslagen

text: kan även sekretessregler i offentlighets- och sekretesslagen inverka på hur känsliga upppgifterna ska anses vara.

text: Säkerhetskraven omfattar inte bara att det ska vara svårt för en obehörig att komma åt lagrade personuppgifter, de kan även kräva att man, när man skickar personuppgifter via e-post, är säker på att man kommunicerar med rätt person och att informationen i meddelandet är krypterad (jfr

text: Dnr 685-2008

text: Dnr 473-2008

heading: 31 §

text: 31 §

text: "Tredje land" omfattar bara länder utanför EU/EES (jfr

text: 3 §

text: ). EU-kommissionen analyserar lagstiftningen i olika länder för att avgöra om denna motsvarar kraven på "adekvat skyddsnivå" och gör

text: rapporterna tillgängliga

text: . USA anses inte generellt ha en adekvat skyddsnivå. Tidigare ansågs det tillåtet att överföra uppgifter till ett USA-baserat företag om detta företag tecknat ett s.k. "Safe harbour"-avtal, men EU-domstolen ogiltigförklade detta i

text: mål C-362/14

text: (Schrems).

text: Att publicera en webbsida med personuppgifter leder normalt till att personuppgifterna kan läsas från hela världen, inklusive tredje land. Det ses dock inte som en överföring enligt denna paragraf (såvida inte själva webbservern fysiskt är placerad i tredje land) enligt EG-domstolens förhandsbesked

text: (i målet

text: RH 2004:51

text: Att föra över uppgifter till tredje land i strid med

text: 35 §§

text: är straffbelagt, se

text: 49 §

heading: 33 §

text: 33 §

text: En anmälan kan göras via

text: Datainspektionens blankett

text: . Det går i dagsläget inte att skicka in anmälan elektroniskt. Närmare bestämmelser finns i

text: DIFS 1998:2

text: i lydelse enligt

text: DIFS 2001:1

text: Datainspektionen gör i normalfallet inte någon rättslig prövning av om den anmälda personuppgiftsbehandlingen är tillåten (se dock

text: 41 §

text: om förhandsprövning av särskilt integritetskänsliga behandlingar). Den personuppgiftsansvarige kan alltså inte förlita sig på att datainspektionen inte lämnat några anmärkningar, utan är alltid ansvarig för att behandlingen är laglig.

text: Det finns i PUF och DIFS ett antal undantag från anmälningsplikten för

text: * Behandling som sker på grund av skyldighet i lag, exv myndigheters skyldighet att lämna ut handlingar eller arkivera handlingar (

text: 3 § personuppgiftsförordningen (1998:1191)

text: ). * Behandling av personuppgifter i löpande text eller

text: ostrukturerat material

text: 4 § personuppgiftsförordningen

text: ). * Vissa organisationers behandling av sådana känsliga uppgifter om sina medlemmar som har samband med organisationens verksamhet (

text: 5 § personuppgiftsförordningen

text: ). * Behandling som sker med den registrerades samtycke (

text: 4 §

text: DIFS 1998:2

text: i lydelse enligt

text: DIFS 2001:1

text: ). * Ett antal vanligt förekommande och (sakligt motiverade) typer av behandlingar, exv register över anställda eller kunder (

text: 5 §

text: DIFS 1998:2

text: i lydelse enligt

text: DIFS 2001:1

text: En anmälan om att ett personombud har utsetts kan också göras via

text: en blankett från datainspektionen

text: Om man i en anmälan anger osanna uppgifter är detta grund för straffansvar, se

text: 49 §

heading: 36 §

text: 36 §

text: För en organisation som utför fler än ett fåtal olika sorters personuppgiftsbehandlingar kan det alltså vara mycket praktiskt att utse ett personuppgiftsombud. Till skillnad från personuppgiftsansvarig måste ett personuppgiftsombud alltid vara en

text: fysisk person

text: . Ombudet kan vara anställt hos den personuppgiftsansvarige, men måste ha en tillräckligt självständig position för att kunna utföra sitt uppdrag. Uppdraget kan jämföras med ett revisorsuppdrag.

text: Notera att enligt

text: 41 §

text: så måste vissa särskilt integritetskänsliga behandlingar alltid förhandsanmälas, även om det finns ett personuppgiftsombud.

heading: 37 §

text: 37 §

text: En lista på sådana särskilt integritetskänsliga behandlingar finns i

text: 1 §

text: DIFS 1998:2

text: i lydelse enligt

text: DIFS 2001:1

text: . Datainspektionen har även

text: en informationssida med anmälningsblanketter

text: Till skillnad från vanlig anmälan enligt

text: 36 §

text: så gör i dessa fall datainspektionen en prövning av om behandlingen är laglig.

heading: 41 §

text: 41 §

text: Denna bestämmelse om skadeståndsskyldighet gäller framför de generella i

text: skadeståndslagen

text: (se

text: 1 kap. 1 §

text: denna lag), men eftersom den inte reglerar samtliga skadeståndsrättsliga frågor måste den läsas tillsammans med

text: skadeståndslagen

text: (se exv

text: 5 kap.

text: skadeståndslagen

text: om hur skadeståndet beräknas). En kränkning genom felaktig personuppgiftsbehandling kan bedömas både enligt denna paragraf och enligt

text: 2 kap. 3 § skadeståndslagen

text: Det är bara den personuppgiftsansvarige, inte -biträden eller -ombud, som kan bli skadeståndsansvariga.

text: Det finns relativt mycket praxis från

text: JK

text: i skadeståndsärenden för statens felaktiga personuppgiftsbehandling, exv

text: beslut 2002-10-15

text: (förväxling av avliden) och

text: beslut 2003-09-11

text: (oriktig uppgift i belastningsregistret).

heading: 48 §

text: 48 §

text: Till skillnad från skadeståndsansvar kan straff bara utdömas till en fysisk person. Det är den person som faktiskt utfört handlingen (eller, vad gäller punkt d, underlåtit att anmäla behandlingen) som döms till ansvar, inte den personuppgiftsansvarige (såvida dessa inte är en och samma person).

text: Ringa överträdelser är framförallt sådana som orsakar mindre skada eller som inte skett uppsåtligen. Om den personuppgiftsansvarige uppmärksammats på den felaktiga behandlingen, men fortsatt med den, bör handlingen inte betraktas som ringa (jfr

text: NJA 2005 s. 361

text: , och, till det motsatta,

text: RH 2004:51

heading: 49 §

text: 49 §


text: An unofficial translation (Ds 2000:61, not updated since 2000) is available from the Government Offices

type: stycke

type: kommentar


text: An unofficial translation is available from the National Board of Housing, Building and Planning


text: An unofficial translation is available from FAO


text: An unofficial translation is available from the Swedish Chemicals Agency


text: An unofficial translation is available from the Arbitration Institute of the Stockholm Chamber of Commerce


text: An unofficial translation is available from the Government Offices


text: An unofficial translation is available at The Government Offices