SFS 2018:218 Lag med kompletterande bestämmelser till EU:s dataskyddsförordning

Förvaltningsrätt IT-rätt

Start / Förvaltningsrätt / Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning / SFS 2018:218 Lag med kompletterande bestämmelser till EU:s dataskyddsförordning

SFS2018-218.pdf

Källa Regeringskansliets rättsdatabaser m.fl.

<div><style type="text/css">        </style> <div id="page1-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 1 Svensk f�rfattningssamling Lag med kompletterande best�mmelser till EU:s dataskyddsf�rordning Utf�rdad den 19 april 2018 Enligt riksdagens beslut1 f�reskrivs f�ljande. 1 kap. Inledande best�mmelser 1 � Denna lag kompletterar Europaparlamentets och r�dets f�rordning (EU) 2016/679 av den 27 april 2016 om skydd f�r fysiska personer med avseende p� behandling av personuppgifter och om det fria fl�det av s�dana uppgifter och om upph�vande av direktiv 95/46/EG (allm�n dataskydds- f�rordning), h�r ben�mnd EU:s dataskyddsf�rordning. Termer och uttryck i denna lag har samma betydelse som i EU:s data- skyddsf�rordning. Utvidgad till�mpning av best�mmelserna i EU:s dataskyddsf�rordning 2 � Best�mmelserna i EU:s dataskyddsf�rordning, i den ursprungliga lydelsen, och denna lag ska g�lla �ven vid behandling av personuppgifter som utg�r ett led i en verksamhet som inte omfattas av unionsr�tten och i verksamhet som omfattas av avdelning V kapitel 2 i f�rdraget om Euro- peiska unionen. 3 � Best�mmelserna i 2 � g�ller inte i verksamhet som omfattas av 1. lagen (2007:258) om behandling av personuppgifter i F�rsvarsmaktens f�rsvarsunderr�ttelseverksamhet och milit�ra s�kerhetstj�nst, 2. lagen (2007:259) om behandling av personuppgifter i F�rsvarets radioanstalts f�rsvarsunderr�ttelse- och utvecklingsverksamhet, eller 3. 6 kap. polisdatalagen (2010:361). 4 � Artiklarna 33 och 34 i EU:s dataskyddsf�rordning till�mpas inte i fr�ga om personuppgiftsincidenter som ska rapporteras enligt s�kerhets- skyddslagen (1996:627) eller f�reskrifter som har meddelats i anslutning till den lagen. Lagens territoriella till�mpningsomr�de 5 � Denna lag g�ller vid behandling av personuppgifter som utf�rs inom ramen f�r verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgiftsbitr�dens verksamhetsst�llen i Sverige. Lagen g�ller �ven vid behandling av personuppgifter som utf�rs av personuppgiftsansvariga som 1 Prop. 2017/18:105, bet. 2017/18:KU23, rskr. 2017/18: 224. SFS 2018:218 Publicerad den 24 april 2018 </div> <div id="page2-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 2 SFS inte �r etablerade i Sverige, men p� en plats d�r svensk r�tt g�ller enligt folkr�tten. Lagen g�ller ocks� vid behandling av personuppgifter som utf�rs av personuppgiftsansvariga eller personuppgiftsbitr�den som endast �r etable- rade i tredjeland, om behandlingen avser registrerade som befinner sig i Sverige och har anknytning till 1. utbjudande av varor eller tj�nster till s�dana registrerade, eller 2. �vervakning av deras beteende i Sverige. Best�mmelsen i 2 kap. 4 � g�ller vid behandling av personuppgifter som avser barn som bor i Sverige, oavsett var de personuppgiftsansvariga eller personuppgiftsbitr�dena �r etablerade. Avvikande best�mmelser i annan f�rfattning 6 � Om en annan lag eller en f�rordning inneh�ller n�gon best�mmelse som avviker fr�n denna lag, till�mpas den best�mmelsen. F�rh�llandet till tryck- och yttrandefriheten 7 � EU:s dataskyddsf�rordning och denna lag ska inte till�mpas i den utstr�ckning det skulle strida mot tryckfrihetsf�rordningen eller yttrande- frihetsgrundlagen. Artiklarna 530 och 3550 i EU:s dataskyddsf�rordning samt 25 kap. denna lag ska inte till�mpas vid behandling av personuppgifter som sker f�r journalistiska �ndam�l eller f�r akademiskt, konstn�rligt eller litter�rt skapande. Tystnadsplikt f�r dataskyddsombud 8 � Den som fullg�r uppgift som dataskyddsombud enligt artikel 37 i EU:s dataskyddsf�rordning f�r inte obeh�rigen r�ja det som han eller hon vid fullg�randet av sin uppgift har f�tt k�nnedom om. I det allm�nnas verksamhet till�mpas offentlighets- och sekretesslagen (2009:400) i st�llet f�r f�rsta stycket. 2 kap. R�ttslig grund f�r behandling av personuppgifter R�ttslig f�rpliktelse 1 � Personuppgifter f�r behandlas med st�d av artikel 6.1 c i EU:s data- skyddsf�rordning, om behandlingen �r n�dv�ndig f�r att den person- uppgiftsansvarige ska kunna fullg�ra en r�ttslig f�rpliktelse som f�ljer av lag eller annan f�rfattning, av kollektivavtal eller av beslut som har meddelats med st�d av lag eller annan f�rfattning. Uppgift av allm�nt intresse och myndighetsut�vning 2 � Personuppgifter f�r behandlas med st�d av artikel 6.1 e i EU:s data- skyddsf�rordning, om behandlingen �r n�dv�ndig 1. f�r att utf�ra en uppgift av allm�nt intresse som f�ljer av lag eller annan f�rfattning, av kollektivavtal eller av beslut som har meddelats med st�d av lag eller annan f�rfattning, eller 2. som ett led i den personuppgiftsansvariges myndighetsut�vning enligt lag eller annan f�rfattning. 2018:218 </div> <div id="page3-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 3 SFS Enskilda arkiv 3 � Regeringen eller den myndighet som regeringen best�mmer f�r meddela f�reskrifter om att personuppgiftsansvariga som inte omfattas av f�reskrifter om arkiv f�r behandla personuppgifter f�r arkiv�ndam�l av allm�nt intresse. Den myndighet som regeringen best�mmer f�r i enskilda fall besluta att s�dana personuppgiftsansvariga f�r behandla personuppgifter f�r arkiv- �ndam�l av allm�nt intresse. Ett beslut f�r f�renas med villkor. Barns samtycke 4 � Vid erbjudande av informationssamh�llets tj�nster direkt till ett barn som bor i Sverige ska behandling av personuppgifter vara till�ten med st�d av barnets samtycke, om barnet �r minst 13 �r. Om barnet �r under 13 �r, ska s�dan behandling vara till�ten endast om samtycke ges eller godk�nns av den som har f�r�ldraansvar f�r barnet. 3 kap. Behandling av vissa kategorier av personuppgifter K�nsliga personuppgifter 1 � Med k�nsliga personuppgifter avses i denna lag s�dana uppgifter som avses i artikel 9.1 i EU:s dataskyddsf�rordning. Arbetsr�tt, social trygghet och socialt skydd 2 � K�nsliga personuppgifter f�r behandlas med st�d av artikel 9.2 b i EU:s dataskyddsf�rordning, om behandlingen �r n�dv�ndig f�r att den personuppgiftsansvarige eller den registrerade ska kunna fullg�ra sina skyldigheter och ut�va sina s�rskilda r�ttigheter inom arbetsr�tten och inom omr�dena social trygghet och socialt skydd. Personuppgifter som behandlas med st�d av f�rsta stycket f�r l�mnas ut till tredje part endast om det inom arbetsr�tten eller inom omr�dena social trygghet och socialt skydd finns en skyldighet f�r den personuppgifts- ansvarige att g�ra det eller om den registrerade uttryckligen har samtyckt till utl�mnandet. Viktigt allm�nt intresse 3 � K�nsliga personuppgifter f�r behandlas av en myndighet med st�d av artikel 9.2 g i EU:s dataskyddsf�rordning 1. om uppgifterna har l�mnats till myndigheten och behandlingen kr�vs enligt lag, 2. om behandlingen �r n�dv�ndig f�r handl�ggningen av ett �rende, eller 3. i annat fall, om behandlingen �r n�dv�ndig med h�nsyn till ett viktigt allm�nt intresse och inte inneb�r ett otillb�rligt intr�ng i den registrerades personliga integritet. Vid behandling som sker enbart med st�d av f�rsta stycket �r det f�rbjudet att utf�ra s�kningar i syfte att f� fram ett urval av personer grundat p� k�nsliga personuppgifter. Vid till�mpningen av f�rsta stycket 1 ska andra �n myndigheter j�mst�llas med myndigheter, i den utstr�ckning best�mmelserna om allm�nna handlingar och sekretess i tryckfrihetsf�rordningen och offentlighets- och sekretesslagen (2009:400) g�ller i deras verksamhet. 2018:218 </div> <div id="page4-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 4 SFS 4 � Regeringen f�r meddela ytterligare f�reskrifter om s�dan behandling av k�nsliga personuppgifter som �r n�dv�ndig med h�nsyn till ett viktigt allm�nt intresse. H�lso- och sjukv�rd och social omsorg 5 � K�nsliga personuppgifter f�r behandlas med st�d av artikel 9.2 h i EU:s dataskyddsf�rordning, om behandlingen �r n�dv�ndig f�r 1. f�rebyggande h�lso- och sjukv�rd och yrkesmedicin, 2. bed�mningen av en arbetstagares arbetskapacitet, 3. medicinska diagnoser, 4. tillhandah�llande av h�lso- och sjukv�rd eller behandling, 5. social omsorg, eller 6. f�rvaltning av h�lso- och sjukv�rdstj�nster, social omsorg samt deras system. Behandling enligt f�rsta stycket f�r ske under f�ruts�ttning att kravet p� tystnadsplikt i artikel 9.3 i EU:s dataskyddsf�rordning �r uppfyllt. Arkiv 6 � K�nsliga personuppgifter f�r behandlas f�r arkiv�ndam�l av allm�nt intresse med st�d av artikel 9.2 j i EU:s dataskyddsf�rordning, om behand- lingen �r n�dv�ndig f�r att den personuppgiftsansvarige ska kunna f�lja f�reskrifter om arkiv. Regeringen eller den myndighet som regeringen best�mmer f�r meddela f�reskrifter om att personuppgiftsansvariga som inte omfattas av f�reskrifter om arkiv f�r behandla k�nsliga personuppgifter f�r arkiv�ndam�l av allm�nt intresse. Den myndighet som regeringen best�mmer f�r i enskilda fall besluta att s�dana personuppgiftsansvariga f�r behandla k�nsliga personuppgifter f�r arkiv�ndam�l av allm�nt intresse. Ett beslut f�r f�renas med villkor. Statistik 7 � K�nsliga personuppgifter f�r behandlas med st�d av artikel 9.2 j i EU:s dataskyddsf�rordning, om behandlingen �r n�dv�ndig f�r statistiska �ndam�l och samh�llsintresset av det statistikprojekt d�r behandlingen ing�r klart v�ger �ver den risk f�r otillb�rligt intr�ng i enskildas personliga integritet som behandlingen kan inneb�ra. Personuppgifter som r�r lag�vertr�delser 8 � Personuppgifter som avses i artikel 10 i EU:s dataskyddsf�rordning f�r behandlas av myndigheter. �ven andra �n myndigheter f�r behandla s�dana personuppgifter, om behandlingen �r n�dv�ndig f�r att den personuppgiftsansvarige ska kunna f�lja f�reskrifter om arkiv. 9 � Regeringen eller den myndighet som regeringen best�mmer f�r meddela ytterligare f�reskrifter om i vilka fall andra �n myndigheter f�r behandla s�dana personuppgifter som avses i artikel 10 i EU:s dataskydds- f�rordning. Den myndighet som regeringen best�mmer f�r i enskilda fall besluta att andra �n myndigheter f�r behandla s�dana uppgifter. Ett beslut f�r f�renas med villkor. 2018:218 </div> <div id="page5-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 5 SFS Personnummer och samordningsnummer 10 � Personnummer och samordningsnummer f�r behandlas utan samtycke endast n�r det �r klart motiverat med h�nsyn till �ndam�let med behandlingen, vikten av en s�ker identifiering eller n�got annat beaktansv�rt sk�l. 11 � Regeringen f�r meddela ytterligare f�reskrifter om i vilka fall behandling av personnummer och samordningsnummer �r till�ten. 4 kap. Anv�ndningsbegr�nsningar Arkiv 1 � Personuppgifter som behandlas enbart f�r arkiv�ndam�l av allm�nt intresse f�r anv�ndas f�r att vidta �tg�rder i fr�ga om den registrerade endast om det finns synnerliga sk�l med h�nsyn till den registrerades vitala intressen. F�rsta stycket hindrar inte myndigheter fr�n att anv�nda personuppgifter som finns i allm�nna handlingar. Vid till�mpningen av andra stycket ska andra �n myndigheter j�mst�llas med myndigheter, i den utstr�ckning best�mmelserna om allm�nna handlingar och sekretess i tryckfrihetsf�rordningen och offentlighets- och sekretesslagen (2009:400) g�ller i deras verksamhet. Statistik 2 � Personuppgifter som behandlas enbart f�r statistiska �ndam�l f�r anv�ndas f�r att vidta �tg�rder i fr�ga om den registrerade endast om det finns synnerliga sk�l med h�nsyn till den registrerades vitala intressen. 5 kap. Begr�nsningar av vissa r�ttigheter och skyldigheter Information och tillg�ng till personuppgifter 1 � Artiklarna 1315 i EU:s dataskyddsf�rordning om information och r�tt att f� tillg�ng till personuppgifter g�ller inte s�dana uppgifter som den personuppgiftsansvarige inte f�r l�mna ut till den registrerade enligt lag eller annan f�rfattning eller enligt beslut som har meddelats med st�d av f�rfattning. Om den personuppgiftsansvarige inte �r en myndighet, g�ller undantaget i f�rsta stycket �ven f�r uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400). 2 � Artikel 15 i EU:s dataskyddsf�rordning g�ller inte personuppgifter i l�pande text som inte har f�tt sin slutliga utformning n�r beg�ran gjordes eller som utg�r minnesanteckning eller liknande. Undantaget i f�rsta stycket g�ller inte om personuppgifterna 1. har l�mnats ut till tredje part, 2. behandlas enbart f�r arkiv�ndam�l av allm�nt intresse eller statistiska �ndam�l, eller 3. har behandlats under l�ngre tid �n ett �r i l�pande text som inte har f�tt sin slutliga utformning. Bemyndigande 3 � Regeringen f�r meddela ytterligare f�reskrifter om begr�nsningar enligt artiklarna 23, 89.2 och 89.3 i EU:s dataskyddsf�rordning. 2018:218 </div> <div id="page6-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 6 SFS 6 kap. Tillsynsmyndighetens handl�ggning och beslut Befogenheter 1 � De befogenheter som tillsynsmyndigheten har enligt artikel 58.1, 58.2 och 58.3 i EU:s dataskyddsf�rordning g�ller vid tillsyn �ver att best�mmel- serna i denna lag och andra f�reskrifter som kompletterar EU:s dataskydds- f�rordning f�ljs. F�rsta stycket inneb�r inte att tillsynsmyndigheten f�r ta ut sanktions- avgifter vid andra �vertr�delser �n de som avses i artikel 83 i EU:s data- skyddsf�rordning. Sanktionsavgifter 2 � Tillsynsmyndigheten f�r ta ut en sanktionsavgift av en myndighet vid �vertr�delser som avses i artikel 83.4, 83.5 och 83.6 i EU:s dataskydds- f�rordning, i den ursprungliga lydelsen. D� ska artikel 83.1, 83.2 och 83.3 i f�rordningen till�mpas. Sanktionsavgiften ska best�mmas till h�gst 5 000 000 kronor vid �ver- tr�delser som avses i artikel 83.4 i EU:s dataskyddsf�rordning och till h�gst 10 000 000 kronor vid �vertr�delser som avses i artikel 83.5 och 83.6 i f�rordningen. 3 � Tillsynsmyndigheten f�r ta ut en sanktionsavgift vid �vertr�delser av artikel 10 i EU:s dataskyddsf�rordning, i den ursprungliga lydelsen. D� ska artikel 83.1, 83.2 och 83.3 i f�rordningen till�mpas. Avgiftens storlek ska best�mmas med till�mpning av artikel 83.5 i f�rordningen. 4 � En sanktionsavgift f�r inte beslutas om den som avgiften ska tas ut av inte har f�tt tillf�lle att yttra sig inom fem �r fr�n den dag d� �vertr�delsen �gde rum. Ett beslut om sanktionsavgift ska delges. 5 � En sanktionsavgift tillfaller staten. 6 � En sanktionsavgift ska betalas till den myndighet som regeringen best�mmer inom 30 dagar fr�n det att beslutet om att ta ut avgiften har f�tt laga kraft eller inom den l�ngre tid som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i f�rsta stycket, ska myndigheten l�mna den obetalda avgiften f�r indrivning. Best�mmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning f�r verkst�llighet ske enligt uts�kningsbalken. 7 � Regeringen f�r meddela ytterligare f�reskrifter om sanktionsavgifter enligt EU:s dataskyddsf�rordning och denna lag. 7 kap. Skadest�nd och �verklagande Skadest�nd 1 � R�tten till ers�ttning fr�n den personuppgiftsansvarige eller person- uppgiftsbitr�det enligt artikel 82 i EU:s dataskyddsf�rordning g�ller vid �vertr�delser av best�mmelser i denna lag och andra f�reskrifter som kompletterar EU:s dataskyddsf�rordning. 2018:218 </div> <div id="page7-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 7 SFS �verklagande av personuppgiftsansvariga myndigheters beslut 2 � Beslut enligt artiklarna 12.5 och 1521 i EU:s dataskyddsf�rordning som har meddelats av en myndighet i egenskap av personuppgiftsansvarig f�r �verklagas till allm�n f�rvaltningsdomstol. Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten. F�rsta stycket g�ller inte beslut av regeringen, H�gsta domstolen, H�gsta f�rvaltningsdomstolen eller Riksdagens ombudsm�n. �verklagande av tillsynsmyndighetens beslut 3 � Tillsynsmyndighetens beslut enligt EU:s dataskyddsf�rordning och enligt 6 kap. 2 och 3 �� denna lag f�r �verklagas till allm�n f�rvaltnings- domstol. N�r ett beslut �verklagas, �r tillsynsmyndigheten motpart i domstolen. Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten. �verklagande av vissa andra beslut 4 � Beslut enligt 2 kap. 3 � andra stycket, 3 kap. 6 � tredje stycket och 3 kap. 9 � andra stycket denna lag f�r �verklagas till allm�n f�rvaltnings- domstol. Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten. �verklagandef�rbud 5 � Andra beslut enligt EU:s dataskyddsf�rordning eller denna lag �n de som avses i 24 �� f�r inte �verklagas. 1. Denna lag tr�der i kraft den 25 maj 2018. 2. Genom lagen upph�vs personuppgiftslagen (1998:204). 3. I st�llet f�r vad som s�gs i 1 kap. 2 � ska den upph�vda lagen forts�tta att g�lla i s�dan verksamhet hos F�rsvarsmakten, F�rsvarets radioanstalt och Totalf�rsvarets rekryteringsmyndighet som inte omfattas av unionsr�tten. 4. Den upph�vda lagen g�ller fortfarande vid s�dan behandling av person- uppgifter som avses i artikel 2.2 d i EU:s dataskyddsf�rordning, i den ursprungliga lydelsen. 5. Den upph�vda lagen g�ller fortfarande i den utstr�ckning som det i en annan lag eller en f�rordning finns best�mmelser som inneh�ller h�nvis- ningar till den lagen. 6. Den upph�vda lagen g�ller fortfarande f�r �verklagande av beslut som har meddelats med st�d av den lagen. 7. Best�mmelsen i 49 � den upph�vda lagen g�ller fortfarande f�r �vertr�delser som har skett f�re ikrafttr�dandet. 8. Beslut som har meddelats med st�d av 21 � fj�rde stycket den upph�vda lagen g�ller fortfarande. P� regeringens v�gnar STEFAN L�FVEN MORGAN JOHANSSON (Justitiedepartementet) 2018:218 </div> </div>

Svensk f�rfattningssamling

Lag

med kompletterande best�mmelser till EU:s

dataskyddsf�rordning

Utf�rdad den 19 april 2018

Enligt riksdagens beslut1 f�reskrivs f�ljande.

1 kap. Inledande best�mmelser
1 � Denna lag kompletterar Europaparlamentets och r�dets f�rordning
(EU) 2016/679 av den 27 april 2016 om skydd f�r fysiska personer med
avseende p� behandling av personuppgifter och om det fria fl�det av s�dana
uppgifter och om upph�vande av direktiv 95/46/EG (allm�n dataskydds-
f�rordning), h�r ben�mnd EU:s dataskyddsf�rordning.

Termer och uttryck i denna lag har samma betydelse som i EU:s data-

skyddsf�rordning.

Utvidgad till�mpning av best�mmelserna i EU:s

dataskyddsf�rordning
2 � Best�mmelserna i EU:s dataskyddsf�rordning, i den ursprungliga
lydelsen, och denna lag ska g�lla �ven vid behandling av personuppgifter
som utg�r ett led i en verksamhet som inte omfattas av unionsr�tten och i
verksamhet som omfattas av avdelning V kapitel 2 i f�rdraget om Euro-
peiska unionen.

3 � Best�mmelserna i 2 � g�ller inte i verksamhet som omfattas av

1. lagen (2007:258) om behandling av personuppgifter i F�rsvarsmaktens

f�rsvarsunderr�ttelseverksamhet och milit�ra s�kerhetstj�nst,

2. lagen (2007:259) om behandling av personuppgifter i F�rsvarets

radioanstalts f�rsvarsunderr�ttelse- och utvecklingsverksamhet, eller

3. 6 kap. polisdatalagen (2010:361).

4 � Artiklarna 33 och 34 i EU:s dataskyddsf�rordning till�mpas inte i
fr�ga om personuppgiftsincidenter som ska rapporteras enligt s�kerhets-
skyddslagen (1996:627) eller f�reskrifter som har meddelats i anslutning till
den lagen.

Lagens territoriella till�mpningsomr�de
5 � Denna lag g�ller vid behandling av personuppgifter som utf�rs inom
ramen f�r verksamhet som bedrivs vid personuppgiftsansvarigas eller
personuppgiftsbitr�dens verksamhetsst�llen i Sverige. Lagen g�ller �ven vid
behandling av personuppgifter som utf�rs av personuppgiftsansvariga som

1 Prop. 2017/18:105, bet. 2017/18:KU23, rskr. 2017/18:

224.

SFS

2018:218

Publicerad
den

24 april 2018

SFS

inte �r etablerade i Sverige, men p� en plats d�r svensk r�tt g�ller enligt
folkr�tten.

Lagen g�ller ocks� vid behandling av personuppgifter som utf�rs av

personuppgiftsansvariga eller personuppgiftsbitr�den som endast �r etable-
rade i tredjeland, om behandlingen avser registrerade som befinner sig i
Sverige och har anknytning till

1. utbjudande av varor eller tj�nster till s�dana registrerade, eller
2. �vervakning av deras beteende i Sverige.
Best�mmelsen i 2 kap. 4 � g�ller vid behandling av personuppgifter som

avser barn som bor i Sverige, oavsett var de personuppgiftsansvariga eller
personuppgiftsbitr�dena �r etablerade.

Avvikande best�mmelser i annan f�rfattning
6 � Om en annan lag eller en f�rordning inneh�ller n�gon best�mmelse
som avviker fr�n denna lag, till�mpas den best�mmelsen.

F�rh�llandet till tryck- och yttrandefriheten
7 � EU:s dataskyddsf�rordning och denna lag ska inte till�mpas i den
utstr�ckning det skulle strida mot tryckfrihetsf�rordningen eller yttrande-
frihetsgrundlagen.

Artiklarna 530 och 3550 i EU:s dataskyddsf�rordning samt 25 kap.

denna lag ska inte till�mpas vid behandling av personuppgifter som sker f�r
journalistiska �ndam�l eller f�r akademiskt, konstn�rligt eller litter�rt
skapande.

Tystnadsplikt f�r dataskyddsombud
8 � Den som fullg�r uppgift som dataskyddsombud enligt artikel 37 i EU:s
dataskyddsf�rordning f�r inte obeh�rigen r�ja det som han eller hon vid
fullg�randet av sin uppgift har f�tt k�nnedom om.

I det allm�nnas verksamhet till�mpas offentlighets- och sekretesslagen

(2009:400) i st�llet f�r f�rsta stycket.

2 kap. R�ttslig grund f�r behandling av personuppgifter
R�ttslig f�rpliktelse
1 � Personuppgifter f�r behandlas med st�d av artikel 6.1 c i EU:s data-
skyddsf�rordning, om behandlingen �r n�dv�ndig f�r att den person-
uppgiftsansvarige ska kunna fullg�ra en r�ttslig f�rpliktelse som f�ljer av
lag eller annan f�rfattning, av kollektivavtal eller av beslut som har
meddelats med st�d av lag eller annan f�rfattning.

Uppgift av allm�nt intresse och myndighetsut�vning
2 � Personuppgifter f�r behandlas med st�d av artikel 6.1 e i EU:s data-
skyddsf�rordning, om behandlingen �r n�dv�ndig

1. f�r att utf�ra en uppgift av allm�nt intresse som f�ljer av lag eller annan

f�rfattning, av kollektivavtal eller av beslut som har meddelats med st�d av
lag eller annan f�rfattning, eller

2. som ett led i den personuppgiftsansvariges myndighetsut�vning enligt

lag eller annan f�rfattning.

2018:218

SFS

Enskilda arkiv
3 � Regeringen eller den myndighet som regeringen best�mmer f�r
meddela f�reskrifter om att personuppgiftsansvariga som inte omfattas av
f�reskrifter om arkiv f�r behandla personuppgifter f�r arkiv�ndam�l av
allm�nt intresse.

Den myndighet som regeringen best�mmer f�r i enskilda fall besluta att

s�dana personuppgiftsansvariga f�r behandla personuppgifter f�r arkiv-
�ndam�l av allm�nt intresse. Ett beslut f�r f�renas med villkor.

Barns samtycke
4 � Vid erbjudande av informationssamh�llets tj�nster direkt till ett barn
som bor i Sverige ska behandling av personuppgifter vara till�ten med st�d
av barnets samtycke, om barnet �r minst 13 �r. Om barnet �r under 13 �r,
ska s�dan behandling vara till�ten endast om samtycke ges eller godk�nns
av den som har f�r�ldraansvar f�r barnet.

3 kap. Behandling av vissa kategorier av personuppgifter
K�nsliga personuppgifter
1 � Med k�nsliga personuppgifter avses i denna lag s�dana uppgifter som
avses i artikel 9.1 i EU:s dataskyddsf�rordning.

Arbetsr�tt, social trygghet och socialt skydd
2 � K�nsliga personuppgifter f�r behandlas med st�d av artikel 9.2 b i
EU:s dataskyddsf�rordning, om behandlingen �r n�dv�ndig f�r att den
personuppgiftsansvarige eller den registrerade ska kunna fullg�ra sina
skyldigheter och ut�va sina s�rskilda r�ttigheter inom arbetsr�tten och inom
omr�dena social trygghet och socialt skydd.

Personuppgifter som behandlas med st�d av f�rsta stycket f�r l�mnas ut

till tredje part endast om det inom arbetsr�tten eller inom omr�dena social
trygghet och socialt skydd finns en skyldighet f�r den personuppgifts-
ansvarige att g�ra det eller om den registrerade uttryckligen har samtyckt till
utl�mnandet.

Viktigt allm�nt intresse
3 � K�nsliga personuppgifter f�r behandlas av en myndighet med st�d av
artikel 9.2 g i EU:s dataskyddsf�rordning

1. om uppgifterna har l�mnats till myndigheten och behandlingen kr�vs

enligt lag,

2. om behandlingen �r n�dv�ndig f�r handl�ggningen av ett �rende, eller
3. i annat fall, om behandlingen �r n�dv�ndig med h�nsyn till ett viktigt

allm�nt intresse och inte inneb�r ett otillb�rligt intr�ng i den registrerades
personliga integritet.

Vid behandling som sker enbart med st�d av f�rsta stycket �r det f�rbjudet

att utf�ra s�kningar i syfte att f� fram ett urval av personer grundat p�
k�nsliga personuppgifter.

Vid till�mpningen av f�rsta stycket 1 ska andra �n myndigheter j�mst�llas

med myndigheter, i den utstr�ckning best�mmelserna om allm�nna
handlingar och sekretess i tryckfrihetsf�rordningen och offentlighets- och
sekretesslagen (2009:400) g�ller i deras verksamhet.

2018:218

SFS

4 � Regeringen f�r meddela ytterligare f�reskrifter om s�dan behandling
av k�nsliga personuppgifter som �r n�dv�ndig med h�nsyn till ett viktigt
allm�nt intresse.

H�lso- och sjukv�rd och social omsorg
5 � K�nsliga personuppgifter f�r behandlas med st�d av artikel 9.2 h i
EU:s dataskyddsf�rordning, om behandlingen �r n�dv�ndig f�r

1. f�rebyggande h�lso- och sjukv�rd och yrkesmedicin,
2. bed�mningen av en arbetstagares arbetskapacitet,
3. medicinska diagnoser,
4. tillhandah�llande av h�lso- och sjukv�rd eller behandling,
5. social omsorg, eller
6. f�rvaltning av h�lso- och sjukv�rdstj�nster, social omsorg samt deras

system.

Behandling enligt f�rsta stycket f�r ske under f�ruts�ttning att kravet p�

tystnadsplikt i artikel 9.3 i EU:s dataskyddsf�rordning �r uppfyllt.

Arkiv
6 � K�nsliga personuppgifter f�r behandlas f�r arkiv�ndam�l av allm�nt
intresse med st�d av artikel 9.2 j i EU:s dataskyddsf�rordning, om behand-
lingen �r n�dv�ndig f�r att den personuppgiftsansvarige ska kunna f�lja
f�reskrifter om arkiv.

Regeringen eller den myndighet som regeringen best�mmer f�r meddela

f�reskrifter om att personuppgiftsansvariga som inte omfattas av f�reskrifter
om arkiv f�r behandla k�nsliga personuppgifter f�r arkiv�ndam�l av allm�nt
intresse.

Den myndighet som regeringen best�mmer f�r i enskilda fall besluta att

s�dana personuppgiftsansvariga f�r behandla k�nsliga personuppgifter f�r
arkiv�ndam�l av allm�nt intresse. Ett beslut f�r f�renas med villkor.

Statistik
7 � K�nsliga personuppgifter f�r behandlas med st�d av artikel 9.2 j i EU:s
dataskyddsf�rordning, om behandlingen �r n�dv�ndig f�r statistiska
�ndam�l och samh�llsintresset av det statistikprojekt d�r behandlingen ing�r
klart v�ger �ver den risk f�r otillb�rligt intr�ng i enskildas personliga
integritet som behandlingen kan inneb�ra.

Personuppgifter som r�r lag�vertr�delser
8 � Personuppgifter som avses i artikel 10 i EU:s dataskyddsf�rordning f�r
behandlas av myndigheter.

�ven andra �n myndigheter f�r behandla s�dana personuppgifter, om

behandlingen �r n�dv�ndig f�r att den personuppgiftsansvarige ska kunna
f�lja f�reskrifter om arkiv.

9 � Regeringen eller den myndighet som regeringen best�mmer f�r
meddela ytterligare f�reskrifter om i vilka fall andra �n myndigheter f�r
behandla s�dana personuppgifter som avses i artikel 10 i EU:s dataskydds-
f�rordning.

Den myndighet som regeringen best�mmer f�r i enskilda fall besluta att

andra �n myndigheter f�r behandla s�dana uppgifter. Ett beslut f�r f�renas
med villkor.

2018:218

SFS

Personnummer och samordningsnummer
10 � Personnummer och samordningsnummer f�r behandlas utan
samtycke endast n�r det �r klart motiverat med h�nsyn till �ndam�let med
behandlingen, vikten av en s�ker identifiering eller n�got annat beaktansv�rt
sk�l.

11 � Regeringen f�r meddela ytterligare f�reskrifter om i vilka fall
behandling av personnummer och samordningsnummer �r till�ten.

4 kap. Anv�ndningsbegr�nsningar
Arkiv
1 � Personuppgifter som behandlas enbart f�r arkiv�ndam�l av allm�nt
intresse f�r anv�ndas f�r att vidta �tg�rder i fr�ga om den registrerade endast
om det finns synnerliga sk�l med h�nsyn till den registrerades vitala
intressen.

F�rsta stycket hindrar inte myndigheter fr�n att anv�nda personuppgifter

som finns i allm�nna handlingar.

Vid till�mpningen av andra stycket ska andra �n myndigheter j�mst�llas

Statistik
2 � Personuppgifter som behandlas enbart f�r statistiska �ndam�l f�r
anv�ndas f�r att vidta �tg�rder i fr�ga om den registrerade endast om det
finns synnerliga sk�l med h�nsyn till den registrerades vitala intressen.

5 kap. Begr�nsningar av vissa r�ttigheter och skyldigheter
Information och tillg�ng till personuppgifter
1 � Artiklarna 1315 i EU:s dataskyddsf�rordning om information och
r�tt att f� tillg�ng till personuppgifter g�ller inte s�dana uppgifter som den
personuppgiftsansvarige inte f�r l�mna ut till den registrerade enligt lag eller
annan f�rfattning eller enligt beslut som har meddelats med st�d av
f�rfattning.

Om den personuppgiftsansvarige inte �r en myndighet, g�ller undantaget

i f�rsta stycket �ven f�r uppgifter som hos en myndighet skulle ha varit
sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400).

2 � Artikel 15 i EU:s dataskyddsf�rordning g�ller inte personuppgifter i
l�pande text som inte har f�tt sin slutliga utformning n�r beg�ran gjordes
eller som utg�r minnesanteckning eller liknande.

Undantaget i f�rsta stycket g�ller inte om personuppgifterna
1. har l�mnats ut till tredje part,
2. behandlas enbart f�r arkiv�ndam�l av allm�nt intresse eller statistiska

�ndam�l, eller

3. har behandlats under l�ngre tid �n ett �r i l�pande text som inte har f�tt

sin slutliga utformning.

Bemyndigande
3 � Regeringen f�r meddela ytterligare f�reskrifter om begr�nsningar
enligt artiklarna 23, 89.2 och 89.3 i EU:s dataskyddsf�rordning.

2018:218

SFS

6 kap. Tillsynsmyndighetens handl�ggning och beslut
Befogenheter
1 � De befogenheter som tillsynsmyndigheten har enligt artikel 58.1, 58.2
och 58.3 i EU:s dataskyddsf�rordning g�ller vid tillsyn �ver att best�mmel-
serna i denna lag och andra f�reskrifter som kompletterar EU:s dataskydds-
f�rordning f�ljs.

F�rsta stycket inneb�r inte att tillsynsmyndigheten f�r ta ut sanktions-

avgifter vid andra �vertr�delser �n de som avses i artikel 83 i EU:s data-
skyddsf�rordning.

Sanktionsavgifter
2 � Tillsynsmyndigheten f�r ta ut en sanktionsavgift av en myndighet vid
�vertr�delser som avses i artikel 83.4, 83.5 och 83.6 i EU:s dataskydds-
f�rordning, i den ursprungliga lydelsen. D� ska artikel 83.1, 83.2 och 83.3 i
f�rordningen till�mpas.

Sanktionsavgiften ska best�mmas till h�gst 5 000 000 kronor vid �ver-

tr�delser som avses i artikel 83.4 i EU:s dataskyddsf�rordning och till h�gst
10 000 000 kronor vid �vertr�delser som avses i artikel 83.5 och 83.6 i
f�rordningen.

3 � Tillsynsmyndigheten f�r ta ut en sanktionsavgift vid �vertr�delser av
artikel 10 i EU:s dataskyddsf�rordning, i den ursprungliga lydelsen. D� ska
artikel 83.1, 83.2 och 83.3 i f�rordningen till�mpas. Avgiftens storlek ska
best�mmas med till�mpning av artikel 83.5 i f�rordningen.

4 � En sanktionsavgift f�r inte beslutas om den som avgiften ska tas ut av
inte har f�tt tillf�lle att yttra sig inom fem �r fr�n den dag d� �vertr�delsen
�gde rum.

Ett beslut om sanktionsavgift ska delges.

5 � En sanktionsavgift tillfaller staten.

6 � En sanktionsavgift ska betalas till den myndighet som regeringen
best�mmer inom 30 dagar fr�n det att beslutet om att ta ut avgiften har f�tt
laga kraft eller inom den l�ngre tid som anges i beslutet.

Om sanktionsavgiften inte betalas inom den tid som anges i f�rsta stycket,

ska myndigheten l�mna den obetalda avgiften f�r indrivning. Best�mmelser
om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar
m.m. Vid indrivning f�r verkst�llighet ske enligt uts�kningsbalken.

7 � Regeringen f�r meddela ytterligare f�reskrifter om sanktionsavgifter
enligt EU:s dataskyddsf�rordning och denna lag.

7 kap. Skadest�nd och �verklagande
Skadest�nd
1 � R�tten till ers�ttning fr�n den personuppgiftsansvarige eller person-
uppgiftsbitr�det enligt artikel 82 i EU:s dataskyddsf�rordning g�ller vid
�vertr�delser av best�mmelser i denna lag och andra f�reskrifter som
kompletterar EU:s dataskyddsf�rordning.

2018:218

SFS

�verklagande av personuppgiftsansvariga myndigheters beslut
2 � Beslut enligt artiklarna 12.5 och 1521 i EU:s dataskyddsf�rordning
som har meddelats av en myndighet i egenskap av personuppgiftsansvarig
f�r �verklagas till allm�n f�rvaltningsdomstol.

Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten.
F�rsta stycket g�ller inte beslut av regeringen, H�gsta domstolen, H�gsta

f�rvaltningsdomstolen eller Riksdagens ombudsm�n.

�verklagande av tillsynsmyndighetens beslut
3 � Tillsynsmyndighetens beslut enligt EU:s dataskyddsf�rordning och
enligt 6 kap. 2 och 3 �� denna lag f�r �verklagas till allm�n f�rvaltnings-
domstol. N�r ett beslut �verklagas, �r tillsynsmyndigheten motpart i
domstolen.

Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten.

�verklagande av vissa andra beslut
4 � Beslut enligt 2 kap. 3 � andra stycket, 3 kap. 6 � tredje stycket och
3 kap. 9 � andra stycket denna lag f�r �verklagas till allm�n f�rvaltnings-
domstol.

Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten.

�verklagandef�rbud
5 � Andra beslut enligt EU:s dataskyddsf�rordning eller denna lag �n de
som avses i 24 �� f�r inte �verklagas.

1. Denna lag tr�der i kraft den 25 maj 2018.
2. Genom lagen upph�vs personuppgiftslagen (1998:204).
3. I st�llet f�r vad som s�gs i 1 kap. 2 � ska den upph�vda lagen forts�tta

att g�lla i s�dan verksamhet hos F�rsvarsmakten, F�rsvarets radioanstalt och
Totalf�rsvarets rekryteringsmyndighet som inte omfattas av unionsr�tten.

4. Den upph�vda lagen g�ller fortfarande vid s�dan behandling av person-

uppgifter som avses i artikel 2.2 d i EU:s dataskyddsf�rordning, i den
ursprungliga lydelsen.

5. Den upph�vda lagen g�ller fortfarande i den utstr�ckning som det i en

annan lag eller en f�rordning finns best�mmelser som inneh�ller h�nvis-
ningar till den lagen.

6. Den upph�vda lagen g�ller fortfarande f�r �verklagande av beslut som

har meddelats med st�d av den lagen.

7. Best�mmelsen i 49 � den upph�vda lagen g�ller fortfarande f�r

�vertr�delser som har skett f�re ikrafttr�dandet.

8. Beslut som har meddelats med st�d av 21 � fj�rde stycket den upph�vda

lagen g�ller fortfarande.

P� regeringens v�gnar

STEFAN L�FVEN

MORGAN JOHANSSON

(Justitiedepartementet)

2018:218

;

Viktiga lagar inom förvaltningsrätten

Förvaltningslag (2017:900)
Kommunallag (2017:725)
Offentlighets- och sekretesslag (2009:400)

JP Infonets förvaltningsrättsliga tjänster

Hanterar du förvaltningsrättsliga frågeställningar i ditt arbete? Vi på JP Infonet kan hjälpa dig att reda ut förvaltningsrättsliga frågor oavsett om du arbetar på en kommun, statlig myndighet, domstol eller advokatbyrå. Vi ger råd och stöd med bland annat handläggning, kommunalrätt, delegationsordningar, offentlighet och sekretess, omprövning av beslut och laglighetsprövning. Se allt inom förvaltningsrätt.

Tjänster

Utbildningar

Juridisk rådgivning

SFS 2018:218 Lag med kompletterande bestämmelser till EU:s dataskyddsförordning

Viktiga lagar inom förvaltningsrätten

JP Infonets förvaltningsrättsliga tjänster

Om Lagboken.se