Lag (2024:500) med kompletterande bestämmelser till EU:s dataförvaltningsförordning

1 §   Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2022/868 av den 30 maj 2022 om europeisk dataförvaltning och om ändring av förordning (EU) 2018/1724 (dataförvaltningsakten), i denna lag benämnd EU:s dataförvaltningsförordning.

Ord och uttryck i lagen har samma betydelse som i EU:s dataförvaltningsförordning.

Tillsynsmyndighet

2 §   Den myndighet som regeringen bestämmer ska vara tillsynsmyndighet enligt denna lag.

Tillsynsmyndigheten ska vara behörig myndighet för dataförmedlingstjänster enligt artikel 13 i EU:s dataförvaltningsförordning och för registrering av dataaltruismorganisationer enligt artikel 23 i EU:s dataförvaltningsförordning.

Uppgiftsskyldighet

3 §   De myndigheter som regeringen bestämmer ska på begäran lämna tillsynsmyndigheten de uppgifter som den behöver i sin tillsynsverksamhet.

4 §   Tillsynsmyndigheten ska på begäran lämna de uppgifter som en annan myndighet behöver i sin tillsynsverksamhet.

Regeringen bestämmer vilka myndigheter som ska ha rätt att få uppgifter enligt första stycket.

Varning

5 §   Tillsynsmyndigheten får meddela en varning till en leverantör av dataförmedlingstjänster som bryter mot anmälningsskyldigheten enligt artikel 11, villkoren för tillhandahållande av dataförmedlingstjänster enligt artikel 12 eller villkoren för överföring av andra data än personuppgifter till tredjeland enligt artikel 31 i EU:s dataförvaltningsförordning.

6 §   Tillsynsmyndigheten får meddela en varning till en fysisk eller juridisk person som har beviljats rätten att vidareutnyttja andra data än personuppgifter för överträdelser av artikel 5.14 i EU:s dataförvaltningsförordning.

7 §   Tillsynsmyndigheten får meddela en varning till en erkänd dataaltruismorganisation som bryter mot
   1. villkoren för registrering som erkänd dataaltruismorganisation enligt artiklarna 18, 20, 21 eller 22, eller
   2. villkoren för överföring av andra data än personuppgifter till tredjeland enligt artikel 31 i EU:s dataförvaltningsförordning.

Föreläggande och vite

8 §   Tillsynsmyndigheten får besluta de förelägganden som behövs för att EU:s dataförvaltningsförordning, denna lag eller föreskrifter som har meddelats i anslutning till lagen ska följas.

Tillsynsmyndigheten får förena ett föreläggande enligt artikel 14 i EU:s dataförvaltningsförordning med vite.

Sanktionsavgift

9 §   Tillsynsmyndigheten ska besluta att ta ut en sanktionsavgift från en leverantör av dataförmedlingstjänster vid överträdelser av
   - anmälningsskyldigheten enligt artikel 11,
   - villkoren för tillhandahållande av dataförmedlingstjänster enligt artikel 12, eller
   - villkoren för överföring av andra data än personuppgifter till tredjeland enligt artikel 31 i EU:s dataförvaltningsförordning.

Om det kan anses tillräckligt får tillsynsmyndigheten, i stället för att besluta en sanktionsavgift vid överträdelser enligt första stycket, meddela en varning enligt 5 §.

10 §   Tillsynsmyndigheten ska besluta att ta ut en sanktionsavgift av en fysisk eller juridisk person som har beviljats rätten att vidareutnyttja andra data än personuppgifter för överträdelser av artikel 5.14 i EU:s dataförvaltningsförordning.

Om det kan anses tillräckligt får tillsynsmyndigheten, i stället för att besluta en sanktionsavgift vid överträdelser enligt första stycket, meddela en varning enligt 6 §.

11 §   En sanktionsavgift enligt 9 eller 10 § ska bestämmas till lägst 5 000 kronor och högst 10 000 000 kronor.

När avgiftens storlek bestäms ska hänsyn tas till
   1. överträdelsens art, allvar, omfattning och varaktighet,
   2. åtgärder som har vidtagits för att begränsa eller avhjälpa den skada som överträdelsen har orsakat,
   3. tidigare överträdelser,
   4. de ekonomiska vinster som har gjorts eller de förluster som har undvikits till följd av överträdelsen, och
   5. försvårande eller förmildrande omständigheter utöver dem i 1-4.

Tillsynsmyndigheten får avstå från att ta ut en sanktionsavgift helt eller delvis om överträdelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.

12 §   En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande som har förenats med vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.

13 §   En sanktionsavgift får beslutas endast om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från den dag då överträdelsen ägde rum.

Ett beslut om sanktionsavgift ska delges.

14 §   En sanktionsavgift ska betalas till tillsynsmyndigheten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.

Om sanktionsavgiften inte betalas i tid, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m.

Sanktionsavgiften tillfaller staten.

15 §   En sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.

Avgifter

16 §   Tillsynsmyndigheten får ta ut avgifter från leverantörer av dataförmedlingstjänster för anmälan, registerhållning och tillsyn av leverantörer av dataförmedlingstjänster enligt EU:s dataförvaltningsförordning och denna lag.

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om avgifterna.

Överklagande

17 §   Tillsynsmyndighetens beslut enligt artiklarna 14, 19 och 24 i EU:s dataförvaltningsförordning eller enligt denna lag får överklagas till allmän förvaltningsdomstol.

Prövningstillstånd krävs vid överklagande till kammarrätten.