Datalag (1973:289)

2 §  Personregister får inrättas och föras endast av den som har anmält sig hos Datainspektionen och fått bevis om detta av inspektionen (licens).

Utöver licens behövs tillstånd av Datainspektionen för att inrätta och föra personregister som skall innehålla

• 1. uppgifter som anges i 4 §,
• 2. uppgifter som anges i 6 § andra stycket,
• 3. uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande,
• 4. personuppgifter som inhämtas från något annat personregister, om inte registreringen av uppgifterna eller utlämnandet av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande.

Första och andra stycket gäller inte personregister som en enskild person inrättar eller för uteslutande för personligt bruk.

Med inrättande av personregister förstås även insamling av uppgifter som skall ingå i registret.

2 a §  Tillstånd av Datainspektionen behövs inte för personregister

• 1. vars inrättande beslutas av riksdagen eller regeringen,
• 2. som inrättas och förs i enlighet med föreskrifter som beslutats med stöd av 19 §,
• 3. som har tagits emot för förvaring av en arkivmyndighet.

Utan hinder av 2 § andra stycket 1 får

• 1. sammanslutningar inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen,
• 2. myndigheter inom hälso- och sjukvården för vård- eller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom eller hälsotillstånd i övrigt,
• 3. myndigheter inom socialtjänsten inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten,
• 4. läkare och tandläkare inrätta och föra personregister som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har erfarit i sin yrkesverksamhet,
• 5. arbetsgivare inrätta och föra personregister, som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 § andra stycket lagen (1962:381) om allmän försäkring.

3 §  Datainspektionen skall meddela tillstånd till inrättande och förande av personregister, om det saknas anledning antaga att, med iakttagande av de föreskrifter som meddelas enligt 5 och 6 §§, otillbörligt intrång i registrerads personliga integritet skall uppkomma.

Vid bedömandet av om otillbörligt intrång kan uppkomma skall särskilt beaktas arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt den inställning till registret som föreligger eller kan antagas föreligga hos dem som kan komma att registreras. Vidare skall särskilt beaktas att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret.

3 a §  Tillstånd att inrätta och föra personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning till denne får meddelas endast om särskilda skäl föreligger.

4 §  Tillstånd att inrätta och föra personregister som innehåller uppgift om att någon misstänks eller har dömts för brott eller har avtjänat straff eller undergått annan påföljd för brott eller har varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda eller utlänningslagen (1989:529) får endast om synnerliga skäl föreligger meddelas annan än myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter.

Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgift om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen får endast om särskilda skäl föreligger meddelas annan än myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter.

Tillstånd att inrätta och föra personregister som innehåller uppgift om någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt får meddelas endast om särskilda skäl föreligger.

5 §  I samband med att tillstånd lämnas till inrättande och förande av personregister, skall Datainspektionen meddela föreskrift om ändamålet med registret. Föreligger särskilda skäl, får tillståndet begränsas till viss tid.

6 §  Lämnas tillstånd till inrättande och förande av personregister, skall Datainspektionen, i den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet, meddela föreskrift för registret om

• 1. inhämtande av uppgifter för personregistret,
• 2. vilka personuppgifter som får ingå i personregistret,
• 3. utförandet av den automatiska databehandlingen,
• 4. den tekniska utrustningen,
• 5. de bearbetningar av personuppgifterna i registret som får göras med automatisk databehandling,
• 6. underrättelse till berörda personer,
• 7. de personuppgifter som får göras tillgängliga,
• 8. utlämnande och annan användning av personuppgift,
• 9. bevarande och gallring av personuppgifter,
• 10. kontroll och säkerhet,
• 11. rättelse och andra åtgärder i fråga om oriktiga och missvisande uppgifter.

Vid bedömandet av om föreskrift för ett visst register behövs skall särskilt beaktas huruvida registret innehåller personuppgift som utgör omdöme eller annan värderande upplysning om den registrerade.

Föreskrift för ett visst register rörande utlämnande av personuppgift får inte inskränka en myndighets skyldigheter enligt tryckfrihetsförordningen.

6 a §  Bestämmelserna i 5 och 6 §§ om skyldighet för Datainspektionen att meddela föreskrift för ett visst register gäller även i fråga om personregister som avses i 2 a § första stycket 1, om registret skall innehålla uppgifter som avses i 2 § andra stycket och regeringen eller riksdagen inte har meddelat föreskrift i samma hänseende.

7 §  Personregister skall inrättas och föras så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. Därvid skall särskilt iakttas

• 1. att registret förs för ett bestämt ändamål,
• 2. att inte andra uppgifter registreras än som står i överensstämmelse med registrets ändamål,
• 3. att uppgifter inte utan medgivande av den registrerade, av myndigheter försäljs annat än i enlighet med lag, förordning eller särskilt beslut av regeringen,
• 4. att i övrigt uppgifter inte samlas in, lämnas ut eller används annat än i överensstämmelse med registrets ändamål eller vad som gäller enligt lag eller annan författning eller i enlighet med den registrerades medgivande,
• 5. att uppgifterna i registret skyddas mot oavsiktlig eller otillåten förstörelse eller mot otillåten ändring eller spridning.

I fråga om personnummer gäller dessutom att registrering får ske endast när det klart är motiverat med hänsyn till registrets ändamål, vikten av en säker identifiering eller av annat beaktansvärt skäl. Vidare gäller att personnummer får återges på datautskrifter endast när det finns särskilda skäl.

7 a §  Hos den registeransvarige skall finnas en aktuell förteckning över de personregister som han är ansvarig för. Förteckningen skall innehålla uppgift om

• 1. registrets benämning,
• 2. registrets ändamål,
• 3. lokalen där den automatiska databehandlingen huvudsakligen utförs,
• 4. numret på den registeransvariges licens hos Datainspektionen,
• 5. i vad mån personuppgifter lämnas ut för automatisk databehandling i utlandet,
• 6. i vad mån personnummer registreras.

Hos en myndighet som har rätt att sälja personuppgifter skall förteckningen också innehålla uppgift om den registrerades medgivande till sådan försäljning eller om det stöd i författning eller särskilt beslut av regeringen som finns för sådan försäljning.

Förteckningen skall hållas tillgänglig för Datainspektionen och på begäran av denna ges in till inspektionen.

När en registeransvarig sänder en handling som innehåller personuppgifter ur ett personregister till den registrerade, skall upplysning samtidigt lämnas om vem som är avsändare eller om den registeransvariges licensnummer hos Datainspektionen.

Bestämmelserna i denna paragraf gäller inte personregister som en enskild person för uteslutande för personligt bruk eller som en arkivmyndighet har tagit emot för förvaring.

8 §  Förekommer anledning till misstanke att en personuppgift som ingår i ett personregister är oriktig eller missvisande, skall den registeransvarige utan dröjsmål företa skälig utredning. En oriktig eller missvisande uppgift skall rättas, ändras eller uteslutas, om det inte saknas anledning att anta att otillbörligt intrång i den registrerades personliga integritet skall uppkomma.

Har en uppgift som rättas, ändras eller utesluts lämnats ut till någon annan än den registrerade, skall den registeransvarige underrätta mottagaren om rättelsen, ändringen eller uteslutningen, om den registrerade begär det eller om det föreligger risk för otillbörligt intrång i personlig integritet.

En registrerad som har anmält en misstanke om att en personuppgift är oriktig eller missvisande skall underrättas om vilken åtgärd anmälan föranleder.

Den registeransvarige skall utse en eller flera personer som skall bistå de registrerade vid misstanke om oriktig eller missvisande personuppgift och som skall lämna underrättelse enligt tredje stycket. Uppgift om vem som har utsetts skall hållas tillgänglig för allmänheten.

Bestämmelserna i denna paragraf gäller inte register som har överlämnats till en arkivmyndighet för förvaring. Datainspektionen får befria en registeransvarig från skyldighet enligt paragrafen.

9 §  Om personregister innehåller personuppgift som med hänsyn till registrets ändamål måste anses ofullständig eller om det i personregister som utgör förteckning över personer saknas någon som med hänsyn till registrets ändamål måste förväntas ingå däri, bör den registeransvarige vidtaga den komplettering som behövs. Sådan komplettering skall alltid göras, om ofullständigheten kan antagas medföra otillbörligt intrång i personlig integritet eller fara för rättsförlust.

10 §  Den registeransvarige skall på begäran av enskild så snart det kan ske underrätta denne antingen om innehållet i personuppgift som ingår i personregistret och innefattar upplysning om honom eller om att sådan uppgift ej förekommer i registret. Sådan begäran skall framställas skriftligen och vara egenhändigt undertecknad av den enskilde. Har underrättelse lämnats, behöver ny underrättelse icke lämnas till samme enskilde förrän tolv månader därefter. I de fall myndigheten har rätt att sälja uppgifter ur registret skall underrättelsen innehålla upplysning om att försäljning sker med de registrerades medgivande eller om det stöd i författning eller särskilt beslut av regeringen som finns för sådan försäljning.

Underrättelse enligt första stycket skall lämnas utan kostnad för den enskilde. Föreligger särskilda skäl, får dock Datainspektionen i fråga om visst slag av personuppgifter eller i fråga om underrättelse om att personuppgift om enskild ej förekommer i registret medge att avgift tages ut.

Första stycket gäller inte uppgifter i personregister som har tagits emot för förvaring av en arkivmyndighet och inte heller uppgifter som enligt lag eller annan författning eller enligt myndighets beslut som meddelats med stöd av författning ej får lämnas ut till den registrerade.

Första stycket gäller icke heller, om det i fråga om visst slag av personuppgifter är uppenbart att underrättelse kan underlåtas på grund av att det inte föreligger någon risk för otillbörligt intrång i registrerads personliga integritet. Underrättelse får dock underlåtas endast efter medgivande från Datainspektionen.

11 §  Personuppgift som ingår i personregister får ej lämnas ut, om det finns anledning antaga att uppgiften skall användas för automatisk databehandling i strid med denna lag. Finns det anledning antaga att personuppgift skall användas för automatisk databehandling i utlandet, får uppgiften lämnas ut endast efter medgivande av Datainspektionen. Sådant medgivande får lämnas endast om det kan antagas att utlämnandet av uppgiften icke kommer att medföra otillbörligt intrång i personlig integritet. Något medgivande behövs dock inte, om personuppgift skall användas för automatisk databehandling enbart i en stat som har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter.

I det allmännas verksamhet tillämpas i stället bestämmelserna i sekretesslagen (1980:100).

12 §  Personuppgift som kan hänföras till den som avses med uppgiften skall utgå ur personregistret då uppgiften inte längre behövs med hänsyn till ändamålet med registret, om inte uppgiften även därefter skall bevaras på grund av bestämmelse i lag eller annan författning eller enligt myndighets beslut som meddelats med stöd av författning. Detsamma gäller då den registeransvarige upphör att föra personregistret.

Upphör en registeransvarig att föra ett personregister för vilket Datainspektionen har meddelat tillstånd, skall han anmäla detta till inspektionen. Detsamma gäller i fråga om sådant personregister som avses i 2 a § första stycket 1, om registret innehåller uppgifter som avses i 2 § andra stycket.

13 §  Registeransvarig eller annan som tagit befattning med personregister eller med uppgifter som samlats in för att ingå i sådant register får inte obehörigen röja vad han till följd därav fått veta om enskilds personliga förhållanden. I det allmännas verksamhet tillämpas i stället för vad som nu har sagts bestämmelserna i sekretesslagen (1980:100).

Har personuppgift i enlighet med föreskrift, meddelad enligt 6 eller 18 §, lämnats ut på villkor som inskränker enskild mottagares rätt att vidarebefordra uppgiften, får mottagaren eller den som i hans verksamhet tagit befattning med uppgiften inte obehörigen röja vad han därigenom fått veta om enskilds personliga förhållanden.

14 §  Om myndighet för handläggning av mål eller ärende använder sig av upptagning för automatisk databehandling, skall upptagningen tillföras handlingarna i målet eller ärendet i läsbar form, om ej särskilda skäl föranleder annat.

15 §  Datainspektionen utövar tillsyn över att automatisk databehandling icke medför otillbörligt intrång i personlig integritet.

Tillsynen skall utövas så, att den icke vållar större kostnad eller olägenhet än som är nödvändig.

16 §  Datainspektionen har rätt att för tillsynen erhålla tillträde till lokal där automatisk databehandling utföres eller där datamaskin eller utrustning eller upptagning för automatisk databehandling förvaras. Inspektionen har vidare rätt att få tillgång till handling som rör automatisk databehandling samt föranstalta om körning av datamaskin.

17 §  Den registeransvarige skall lämna Datainspektionen de uppgifter rörande den automatiska databehandlingen som inspektionen begär för sin tillsyn. Vad som sagts nu gäller även den som för registeransvarigs räkning handhar personregister.

18 §  Har förandet av personregister lett till otillbörligt intrång i personlig integritet eller finns anledning antaga att sådant intrång skall uppkomma, får Datainspektionen för ett visst register i mån av behov meddela föreskrift i sådant avseende som anges i 5 eller 6 § eller ändra föreskrift som tidigare meddelats. I fråga om register som avses i 2 a § första stycket 1 får Datainspektionen vidta åtgärd som nu nämnts endast i den mån den ej står i strid med beslut av regeringen eller riksdagen.

Kan skydd mot otillbörligt intrång i personlig integritet inte åstadkommas på annat sätt, får Datainspektionen förbjuda fortsatt förande av personregister eller återkalla meddelat tillstånd. Detta gäller dock inte sådana register som avses i 2 a § första stycket 1.

Föreskrift enligt första stycket och förbud enligt andra stycket får förenas med vite.

19 §  Regeringen eller, efter regeringens bemyndigande, Datainspektionen får inom ramen för denna lag meddela närmare föreskrifter för personregister som ofta förekommer inom en viss verksamhet för ett visst ändamål.

20 §  Till böter eller fängelse i högst ett år döms den som uppsåtligen eller av oaktsamhet

• 1. inrättar eller för personregister utan licens eller tillstånd enligt denna lag, när detta erfordras,
• 2. bryter mot föreskrift eller förbud som meddelats enligt 5, 6 eller 18 §,
• 3. lämnar ut personuppgift i strid mot 11 §,
• 4. bryter mot 12 §,
• 5. lämnar osann uppgift vid fullgörande av skyldighet att lämna underrättelse enligt 10 §,
• 6. lämnar osann uppgift i fall som avses i 17 §, eller
• 7. bryter mot föreskrift som meddelats enligt 19 §.

Den som överträtt ett vitesföreläggande enligt 18 § tredje stycket döms inte till ansvar för en gärning som omfattas av föreläggandet.

Till böter döms den som uppsåtligen eller av oaktsamhet bryter mot 7 a § första eller tredje stycket.

21 §  Den som olovligen bereder sig tillgång till upptagning för automatisk databehandling eller olovligen ändrar eller utplånar eller i register för in sådan upptagning dömes för dataintrång till böter eller fängelse i högst två år, om ej gärningen är belagd med straff i brottsbalken eller i lagen (1990:409) om skydd för företagshemligheter. Med upptagning avses härvid även uppgifter som är under befordran via elektroniskt eller annat liknande hjälpmedel för att användas för automatisk databehandling.

För försök eller förberedelse till dataintrång döms till ansvar enligt 23 kap. brottsbalken. Skulle brottet, om det hade fullbordats, ha varit att anse som ringa, får dock inte dömas till ansvar enligt vad som nu har sagts.

22 §  Har personregister inrättats eller förts utan licens eller tillstånd enligt denna lag, när licens eller tillstånd behövs, skall registret förklaras förverkat, om det ej är uppenbart obilligt. Detsamma gäller, om personregister har förts i strid mot förbud enligt 18 § andra stycket.

23 §  Om registrerad tillfogas skada genom att personregister innehåller oriktig eller missvisande uppgift om honom, skall den registeransvarige ersätta skadan.

Om någon tillfogas skada genom brott som avses i 20 § första stycket eller 21 §, skall den som har gjort sig skyldig till brottet ersätta skadan.

Vid bedömande om och i vad mån skada enligt första eller andra stycket har uppstått skall hänsyn även tas till lidande och andra omständigheter av annan än rent ekonomisk betydelse.

24 §  Om registeransvarig eller den som för registeransvarigs räkning handhar personregister underlåter att lämna tillträde till lokal eller tillgång till handling i fall som avses i 16 § eller att lämna uppgift enligt 17 §, får Datainspektionen förelägga vite. Detsamma gäller, om registeransvarig icke fullgör vad som åligger honom enligt 7 a § andra stycket, 8, 9 eller 10 §.

25 §  Datainspektionens beslut enligt denna lag får överklagas hos allmän förvaltningsdomstol. Om det är en statlig myndighet som är registeransvarig överklagas dock beslutet hos regeringen.

Justitiekanslern får överklaga ett beslut enligt denna lag för att tillvarata allmänna intressen.

Om en myndighet som är registeransvarig avslår en begäran om underrättelse enligt 10 §, överklagas beslutet på samma sätt som gäller ett beslut av myndigheten att avslå en begäran om utlämnande av allmän handling. Med myndighet jämställs därvid ett annat organ i den utsträckning som anges i 1 kap. 8 och 9 §§ sekretesslagen (1980:100).

Prövningstillstånd krävs vid överklagande till kammarrätten av beslut om föreläggande av vite.

26 §  För de ändamål som anges i denna paragraf finns ett statligt person- och adressregister (SPAR). Registret förs med hjälp av automatisk databehandling.

Uppgifterna i SPAR används för

• 1. aktualisering, komplettering och kontroll av uppgifter i andra personregister,
• 2. komplettering och kontroll av personuppgifter i övrigt,
• 3. uttag av urval av personuppgifter (urvalsdragning).

SPAR får användas av myndigheter och enskilda.

27 §  Uppgifterna i SPAR hämtas från aviseringsregistret enligt lagen (1995:743) om aviseringsregister samt de statliga personregister som används för inkomsttaxering och fastighetstaxering. Till dessa uppgifter får fogas anteckning om att en enskild person inte önskar adresserad direktreklam.

28 §  Den som begär att få uppgifter ur en myndighets personregister för ett sådant ändamål som avses i 26 § andra stycket 1 och 3 och som kan tillgodoses genom SPAR eller aviseringsregistret skall hänvisas till dessa register.

Föreskrifterna i denna paragraf inskränker inte myndigheternas skyldigheter enligt reglerna om allmänna handlingars offentlighet i tryckfrihetsförordningen.