Lag (2024:500) med kom­plet­te­rande bestäm­mel­ser till EU:s data­för­valt­nings­för­ord­ning

1 §   Denna lag kom­plet­te­rar Euro­pa­par­la­men­tets och rådets för­ord­ning (EU) 2022/868 av den 30 maj 2022 om euro­pe­isk data­för­valt­ning och om änd­ring av för­ord­ning (EU) 2018/1724 (data­för­valt­nings­ak­ten), i denna lag benämnd EU:s data­för­valt­nings­för­ord­ning.

Ord och uttryck i lagen har samma bety­delse som i EU:s data­för­valt­nings­för­ord­ning.

Till­syns­myn­dig­het

2 §   Den myn­dig­het som rege­ringen bestäm­mer ska vara till­syns­myn­dig­het enligt denna lag.

Till­syns­myn­dig­he­ten ska vara behö­rig myn­dig­het för data­för­med­lings­tjäns­ter enligt arti­kel 13 i EU:s data­för­valt­nings­för­ord­ning och för regi­stre­ring av dataal­tru­is­m­or­ga­ni­sa­tio­ner enligt arti­kel 23 i EU:s data­för­valt­nings­för­ord­ning.

Upp­gifts­skyl­dig­het

3 §   De myn­dig­he­ter som rege­ringen bestäm­mer ska på begä­ran lämna till­syns­myn­dig­he­ten de upp­gif­ter som den behö­ver i sin till­syns­verk­sam­het.

4 §   Till­syns­myn­dig­he­ten ska på begä­ran lämna de upp­gif­ter som en annan myn­dig­het behö­ver i sin till­syns­verk­sam­het.

Rege­ringen bestäm­mer vilka myn­dig­he­ter som ska ha rätt att få upp­gif­ter enligt första styc­ket.

Var­ning

5 §   Till­syns­myn­dig­he­ten får med­dela en var­ning till en leve­ran­tör av data­för­med­lings­tjäns­ter som bry­ter mot anmäl­nings­skyl­dig­he­ten enligt arti­kel 11, vill­ko­ren för till­han­da­hål­lande av data­för­med­lings­tjäns­ter enligt arti­kel 12 eller vill­ko­ren för över­fö­ring av andra data än per­son­upp­gif­ter till tred­je­land enligt arti­kel 31 i EU:s data­för­valt­nings­för­ord­ning.

6 §   Till­syns­myn­dig­he­ten får med­dela en var­ning till en fysisk eller juri­disk per­son som har bevil­jats rät­ten att vida­reut­nyttja andra data än per­son­upp­gif­ter för över­trä­del­ser av arti­kel 5.14 i EU:s data­för­valt­nings­för­ord­ning.

7 §   Till­syns­myn­dig­he­ten får med­dela en var­ning till en erkänd dataal­tru­is­m­or­ga­ni­sa­tion som bry­ter mot
   1. vill­ko­ren för regi­stre­ring som erkänd dataal­tru­is­m­or­ga­ni­sa­tion enligt artik­larna 18, 20, 21 eller 22, eller
   2. vill­ko­ren för över­fö­ring av andra data än per­son­upp­gif­ter till tred­je­land enligt arti­kel 31 i EU:s data­för­valt­nings­för­ord­ning.

Före­läg­gande och vite

8 §   Till­syns­myn­dig­he­ten får besluta de före­läg­gan­den som behövs för att EU:s data­för­valt­nings­för­ord­ning, denna lag eller före­skrif­ter som har med­de­lats i anslut­ning till lagen ska föl­jas.

Till­syns­myn­dig­he­ten får för­ena ett före­läg­gande enligt arti­kel 14 i EU:s data­för­valt­nings­för­ord­ning med vite.

Sank­tions­av­gift

9 §   Till­syns­myn­dig­he­ten ska besluta att ta ut en sank­tions­av­gift från en leve­ran­tör av data­för­med­lings­tjäns­ter vid över­trä­del­ser av
   - anmäl­nings­skyl­dig­he­ten enligt arti­kel 11,
   - vill­ko­ren för till­han­da­hål­lande av data­för­med­lings­tjäns­ter enligt arti­kel 12, eller
   - vill­ko­ren för över­fö­ring av andra data än per­son­upp­gif­ter till tred­je­land enligt arti­kel 31 i EU:s data­för­valt­nings­för­ord­ning.

Om det kan anses till­räck­ligt får till­syns­myn­dig­he­ten, i stäl­let för att besluta en sank­tions­av­gift vid över­trä­del­ser enligt första styc­ket, med­dela en var­ning enligt 5 §.

10 §   Till­syns­myn­dig­he­ten ska besluta att ta ut en sank­tions­av­gift av en fysisk eller juri­disk per­son som har bevil­jats rät­ten att vida­reut­nyttja andra data än per­son­upp­gif­ter för över­trä­del­ser av arti­kel 5.14 i EU:s data­för­valt­nings­för­ord­ning.

Om det kan anses till­räck­ligt får till­syns­myn­dig­he­ten, i stäl­let för att besluta en sank­tions­av­gift vid över­trä­del­ser enligt första styc­ket, med­dela en var­ning enligt 6 §.

11 §   En sank­tions­av­gift enligt 9 eller 10 § ska bestäm­mas till lägst 5 000 kro­nor och högst 10 000 000 kro­nor.

När avgif­tens stor­lek bestäms ska hän­syn tas till
   1. över­trä­del­sens art, all­var, omfatt­ning och var­ak­tig­het,
   2. åtgär­der som har vid­ta­gits för att begränsa eller avhjälpa den skada som över­trä­del­sen har orsa­kat,
   3. tidi­gare över­trä­del­ser,
   4. de eko­no­miska vins­ter som har gjorts eller de för­lus­ter som har und­vi­kits till följd av över­trä­del­sen, och
   5. för­svå­rande eller förmild­rande omstän­dig­he­ter utö­ver dem i 1-4.

Till­syns­myn­dig­he­ten får avstå från att ta ut en sank­tions­av­gift helt eller del­vis om över­trä­del­sen är ringa eller ursäkt­lig eller om det annars med hän­syn till omstän­dig­he­terna skulle vara oskä­ligt att ta ut avgif­ten.

12 §   En sank­tions­av­gift får inte beslu­tas om över­trä­del­sen omfat­tas av ett före­läg­gande som har för­e­nats med vite och över­trä­del­sen lig­ger till grund för en ansö­kan om utdö­mande av vitet.

13 §   En sank­tions­av­gift får beslu­tas endast om den som avgif­ten ska tas ut av har fått till­fälle att yttra sig inom två år från den dag då över­trä­del­sen ägde rum.

Ett beslut om sank­tions­av­gift ska del­ges.

14 §   En sank­tions­av­gift ska beta­las till till­syns­myn­dig­he­ten inom 30 dagar från det att beslu­tet om att ta ut avgif­ten har fått laga kraft eller inom den längre tid som anges i beslu­tet.

Om sank­tions­av­gif­ten inte beta­las i tid, ska myn­dig­he­ten lämna den obe­talda avgif­ten för indriv­ning. Bestäm­mel­ser om indriv­ning finns i lagen (1993:891) om indriv­ning av stat­liga ford­ringar m.m.

Sank­tions­av­gif­ten till­fal­ler sta­ten.

15 §   En sank­tions­av­gift fal­ler bort till den del beslu­tet om avgif­ten inte har verk­ställts inom fem år från det att beslu­tet fick laga kraft.

Avgif­ter

16 §   Till­syns­myn­dig­he­ten får ta ut avgif­ter från leve­ran­tö­rer av data­för­med­lings­tjäns­ter för anmä­lan, regis­ter­håll­ning och till­syn av leve­ran­tö­rer av data­för­med­lings­tjäns­ter enligt EU:s data­för­valt­nings­för­ord­ning och denna lag.

Rege­ringen eller den myn­dig­het som rege­ringen bestäm­mer får med­dela ytter­li­gare före­skrif­ter om avgif­terna.

Över­kla­gande

17 §   Till­syns­myn­dig­he­tens beslut enligt artik­larna 14, 19 och 24 i EU:s data­för­valt­nings­för­ord­ning eller enligt denna lag får över­kla­gas till all­män för­valt­nings­dom­stol.

Pröv­nings­till­stånd krävs vid över­kla­gande till kam­mar­rät­ten.