1. Dataskyddsförordningens syfte och rättslig grund

Dataskydd är i det moderna informationssamhället inte enbart en teknisk säkerhetsfråga utan en grundläggande mänsklig rättighet, djupt förankrad i den europeiska rättstraditionen.

1.1 Den dubbla skyddsgrunden

Den juridiska arkitekturen för dataskydd i Europa vilar på två pelare:

• EKMR (Europakonventionen): Artikel 8 garanterar rätten till respekt för privat- och familjeliv. Detta är en "negativ" rättighet som förbjuder staten att inskränka privatlivet utan lagstöd och nödvändighet.
• EU:s rättighetsstadga: Här görs en viktig distinktion. Artikel 7 skyddar privatlivet (som i EKMR), men artikel 8 etablerar en självständig rättighet till skydd av personuppgifter.

Denna distinktion är avgörande. Dataskydd handlar inte bara om hemligheter, utan om kontroll. Därför omfattar GDPR även till synes ”harmlösa” uppgifter om de behandlas i en kontext som möjliggör kartläggning eller övervakning.

2. Historik: Från Datalagen till GDPR

Sverige innehar en särställning i den globala dataskyddshistorien.

2.1 Datalagen 1973 – Världens första datalag

Den 11 maj 1973 antog Sveriges riksdag världens första nationella datalag. Bakgrunden var rädslan för ett "Storebrorssamhälle" och samkörning av statliga register. Lagen byggde på en modell av förhandskontroll där Datainspektionen (nuvarande IMY) gav licenser för varje register.

2.2 PUL (1998) och "Missbruksregeln"

Personuppgiftslagen (PUL) ersatte Datalagen för att införa EU:s dataskyddsdirektiv. En unikt svensk uppfinning i PUL var den s.k. missbruksregeln. Den innebar att personuppgifter i löpande text (ostrukturerat material) som e-post och Word-dokument var undantagna från de flesta regler, så länge behandlingen inte var kränkande.

2.3 Paradigmskiftet 2018 (GDPR)

När GDPR ersatte PUL den 25 maj 2018 innebar det ett paradigmskifte:

• Missbruksregeln avskaffades: All behandling, även i e-post och dokument, omfattas nu fullt ut.
• Ansvarsskyldighet: Fokus flyttades från förhandsanmälan till att organisationer proaktivt måste kunna visa att de följer lagen.
• Sanktioner: Från låga böter i PUL till kännbara sanktionsavgifter (upp till 20 miljoner EUR eller 4% av global omsättning).

3. GDPR som förordning – direkt tillämplig lag

Till skillnad från direktiv gäller GDPR direkt i alla medlemsländer utan att behöva införas genom nationell lag. Sverige har dock infört kompletterande lagstiftning där GDPR tillåter det, exempelvis:

GDPR är alltid grundlagret, medan registerlagar och speciallagar fungerar som kompletterande regleringar.

4. När är GDPR tillämplig? (Praxis)

EU-domstolen har tolkat begreppen i GDPR mycket brett. Här är tre avgörande exempel från praxis:

5. Undantag och Grundlagskonflikt

5.1 Det privata undantaget

GDPR gäller inte behandling av "rent privat natur". Men som målet Ryneš visar tolkas detta mycket strikt. En dashcam eller dörrkamera som filmar allmän plats är inte privat.

5.2 Utgivningsbevis och Grundlagsskydd

Sverige har ett unikt system med frivilliga utgivningsbevis som ger webbplatser skydd enligt Yttrandefrihetsgrundlagen (YGL). Detta har utnyttjats av tjänster som Lexbase, MrKoll och Verifiera för att skapa sökbara databaser över domar och personuppgifter.

6. Territoriell tillämplighet (Artikel 3)

GDPR gäller om:

• behandlingen sker inom EU/EES, eller
• organisationen erbjuder varor/tjänster till personer i EU, eller
• organisationen övervakar beteende i EU.

Inom kommunal verksamhet är detta alltid uppfyllt.

7. Samspel med annan lagstiftning

GDPR är alltid grunden (lex generalis), men kompletteras av:

• Registerförfattningar: T.ex. Patientdatalagen (PDL) och Socialtjänstens dataskyddslagar. Dessa kan specificera lagringstider och behörigheter.
• Offentlighetsprincipen: Enligt 21 kap. 7 § OSL gäller sekretess om mottagaren kan antas behandla uppgifterna i strid med GDPR ("Dataskyddssekretess"). Detta används alltmer för att stoppa massuttag av allmänna handlingar.

8. Tillsyn och Sanktioner

GDPR:s efterlevnad säkerställs genom ett flerlagersystem av tillsyn, där både nationella och europeiska aktörer samverkar. Tillsynen är inte händelsestyrd i första hand, utan riskbaserad, processuell och fortlöpande. Sanktioner är ett av flera verktyg och används normalt först när andra åtgärder bedöms otillräckliga.

8.1 Tillsynsmyndigheter och ansvarsfördelning

Nationell nivå – Integritetsskyddsmyndigheten (IMY)

I Sverige är IMY behörig tillsynsmyndighet enligt artikel 51 GDPR. Myndigheten utövar tillsyn över både offentliga och privata aktörer och har befogenhet att:

• Inleda tillsyn på eget initiativ eller efter klagomål
• Begära in handlingar och upplysningar
• Genomföra inspektioner
• Meddela förelägganden och förbud
• Besluta om administrativa sanktionsavgifter

Europeisk nivå – EDPB och samordnad tillsyn

Vid gränsöverskridande behandling tillämpas den så kallade one-stop-shop-mekanismen. IMY fungerar då som ledande tillsynsmyndighet eller berörd myndighet, medan Europeiska dataskyddsstyrelsen (EDPB) kan anta bindande beslut vid oenighet.

8.2 Hur en tillsyn initieras

En tillsyn kan startas genom flera olika vägar:

8.3 Tillsynsprocessens typiska steg

En tillsyn följer i regel ett strukturerat förfarande:

8.4 Sanktioner – när och hur de används

Administrativa sanktionsavgifter är inte automatiska. Vid bedömningen vägs bland annat in:

• Överträdelsens art, allvar och varaktighet
• Om överträdelsen varit uppsåtlig eller oaktsam
• Vilka tekniska och organisatoriska åtgärder som funnits
• Graden av samarbete med tillsynsmyndigheten
• Om tidigare överträdelser förekommit