Visa källa för Dataskyddsförordningen

{{Europeisk rättsakt
| officiellt namn          = Dataskyddsförordningen
| formellt namn            = Förordning om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)<br /><br />(Text av betydelse för [[Europeiska ekonomiska samarbetsområdet|EES]])
| aktnummer                = Förordning (EU) 2016/679
| celexnummer              = 32016R0679
| offentliggjort i         = [http://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:32016R0679 EUT L 119, 4.5.2016, s. 1–88]
| rättslig form            = [[Förordning (Europeiska unionen)|Förordning]]
| rättsligt bindande       = [[Fil:Yes check.svg|10px]] Ja
| direkt tillämpligt       = [[Fil:Yes check.svg|10px]] Ja
| tillämpningsområde       = [[Europeiska unionen]] samt [[Island]], [[Liechtenstein]], [[Norge]]
| utfärdat av              = [[Europaparlamentet]] och [[Europeiska unionens råd]]
| rättslig grund           = [[Fördraget om Europeiska unionens funktionssätt|Art. 16 FEUF]]<ref>{{EUTref |fördrag=FEUF |artikel=16 |sida=55}}</ref>
| akt 1 färg               = {{EU/meta/ljusgrön}}
| akt 1 titel              = Förordning (EU) 2016/679
| akt 1 utfärdat           = 2016-04-27
| akt 1 trätt i kraft      = 2016-05-24
| akt 1 tillämpligt        = 2018-05-25
| akt 1 upphävt            = –
| akt 2 färg               = {{EU/meta/ljusröd}}
| akt 2 titel              = [[Dataskyddsdirektivet|Direktiv 95/46/EG]]
| akt 2 utfärdat           = 1995-10-24
| akt 2 trätt i kraft      = 1995-12-13
| akt 2 tillämpligt        = 1998-10-24
| akt 2 upphävt            = 2018-05-25
}}
'''Dataskyddsförordningen''', eller '''allmänna dataskyddsförordningen''' ('''DSF'''<ref>{{Webbref|titel=CURIA - Documents|url=https://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=SV&mode=lst&dir=&occ=first&part=1&cid=3895469|verk=curia.europa.eu|hämtdatum=2023-09-05}}</ref>), mest känd som '''GDPR''' ({{lang-en|General Data Protection Regulation}}), är en [[Förordning (Europeiska unionen)|europeisk förordning]] som reglerar behandlingen av [[personuppgift]]er och det fria flödet av sådana uppgifter inom [[Europeiska unionen]]. Förordningen utgör grunden för skyddet för fysiska personers [[personlig integritet|integritet]] vid behandling av personuppgifter inom unionen, en grundläggande rättighet enligt [[Europeiska unionens stadga om de grundläggande rättigheterna|stadgan om de grundläggande rättigheterna]]. Den utfärdades av [[Europaparlamentet]] och [[Europeiska unionens råd]] den 27 april 2016 och trädde i kraft den 24 maj 2016, men blev tillämplig först den 25 maj 2018. Förordningen ersatte [[dataskyddsdirektivet]] samt de nationella lagar som hade [[Införlivande av direktiv|införlivat]] detta direktiv, till exempel [[personuppgiftslagen]] (PUL) i [[Sverige]].<ref>{{Webbref|url=https://www.datainspektionen.se/dataskyddsreformen/|titel=Introduktion till dataskyddsförordningen|hämtdatum=2017-03-23|utgivare=[[Datainspektionen (Sverige)|Datainspektionen]]|arkivurl=https://web.archive.org/web/20170223222821/http://www.datainspektionen.se/dataskyddsreformen/|arkivdatum=2017-02-23}}</ref><ref>{{SFS|2018|218}}</ref>

Dataskyddsförordningen innehåller en rad bestämmelser gällande behandlingen av personuppgifter. En grundläggande princip är att personuppgifter endast får behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Behandlingen är laglig endast om den grundar sig på någon av de tillåtna [[Rättslig grund|rättsliga grunder]] som anges i förordningen, till exempel genom samtycke av den registrerade.

Förordningen är [[Direkt tillämplighet|direkt tillämplig]] inom hela [[Europeiska unionen]]. Därutöver är den även tillämplig i [[Island]], [[Liechtenstein]] och [[Norge]] genom [[Europeiska ekonomiska samarbetsområdet|EES-avtalet]].<ref name="EUT L 183, 19.7.2018, s. 23-26"/> [[Storbritannien]] omfattades av förordningen under en övergångsperiod fram till och med den 31 december 2020 i enlighet med [[avtalet om Storbritanniens utträde ur Europeiska unionen]].

==Översikt över lagstiftningen==
Dataskyddsförordningen omfattar många bestämmelser, och framför allt hur företag och andra organisationer som verkar inom [[Europeiska unionen]] och övriga [[Europeiska ekonomiska samarbetsområdet|EES]] får behandla och lagra [[personuppgift]]er. Förordningen och dess rättigheter samt skyldigheter aktualiseras enligt artikel 2 endast när personuppgifter förekommer, varför omfattningen av begreppet personuppgifter är av central betydelse.<ref name="l16">{{Webbref|titel=L_2016119SV.01000101.xml|url=https://eur-lex.europa.eu/legal-content/SV/TXT/HTML/?uri=CELEX%3A32016R0679|verk=eur-lex.europa.eu|hämtdatum=2023-09-04}}</ref><ref>{{Bokref|titel=Personuppgifter i EU:s dataskyddsrätt : En rättslig analys av personuppgiftsrekvisitet i EU:s dataskyddsförordning|url=http://www.diva-portal.org/smash/get/diva2:1613111/FULLTEXT01.pdf|datum=2021|hämtdatum=2023-09-04|förnamn=David|efternamn=Granskog}}</ref> Förordningen har enligt dess angivna skäl till syfte att upprätthålla rätten till skydd för personuppgifter som stadgas i artikel 8.1 i [[Europeiska unionens stadga om de grundläggande rättigheterna]]. 

En personuppgift är enligt artikel 4.1 varje upplysning som avser en identifierad eller identifierbar fysisk person.<ref name="l16"/> En fysisk person måste vara vid liv. Med behandling av personuppgift avses insamling, registrering, organisering, lagring, bearbetning, ändring, läsning, överföring, spridning, radering eller förstöring. 

Exempel på så kallad ''vanlig personuppgift'' är ett personnamn eller ett personnummer, och ibland även  ett fotografi, en e-postadress, en IP-adress, en postadress, en [[webbkaka]] eller en karaktärsbeskrivning som kan identifiera en individ. ''Särskilda kategorier av personuppgifter'' som inte får registreras, utom vid särskilda undantag, är individens etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa (exempelvis allergier), sexualliv eller sexuell läggning samt sådana genetiska och biometriska uppgifter som syftar till att identifiera individen. Exempel på sådant undantag är att den registrerade har lämnat samtycke till behandling av uppgiften. 

Personuppgifter får bara behandlas om det har ett tydligt redovisat syfte enligt någon av sex rättsliga grunder: [[samtycke (dataskyddsförordningen)|samtycke]], avtal, rättslig förpliktelse, intresseavvägning, uppgift av allmänt intresse eller myndighetsutövning samt grundläggande intresse.<ref name="DI_RG">{{Webbref |url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/rattslig-grund/ |titel=Rättslig grund för personuppgiftsbehandling |hämtdatum=23 maj 2018 |författare= |efternamn= |förnamn= |författarlänk= |efternamn2= |förnamn2= |datum= |år= |månad= |format= |verk= |utgivare=Datainspektionen |sid= |språk= |doi= |arkivurl= |arkivdatum= |citat= |ref= }}</ref> I de fall individens samtycke behövs ska samtycket dokumenteras, specificera ett tydligt ändamål, vara frivilligt, tidsbegränsat, lätt att förstå och kunna tas tillbaka.

Webbplatser som har frivilligt [[utgivningsbevis]] skyddas av tryckfrihetsförordningen och är enligt den svenska [[yttrandefrihetsgrundlagen]] undantagna från Dataskyddsförordningen.<ref>{{Webbref|titel=Datainspektionen|url=https://www.datainspektionen.se/vagledningar/for-dig-som-privatperson/utgivningsbevis/|verk=www.datainspektionen.se|hämtdatum=2019-05-20|språk=en}}</ref> EU-rätt som GDPR har emellertid företräde framför svensk grundlag, och rättsinstanser prövar (2024) om rättsdatabaser som [[Verifiera AB]] får samla och sälja särskilt känsliga uppgifter om tvångsvård för psykisk ohälsa och missbruk.<ref>{{Webbref|titel=Besked idag: Högsta förvaltningsdomstolen prövar Verifiera-målet|url=https://www.dagensjuridik.se/nyheter/besked-idag-hfd-provar-verifiera-malet/|verk=Dagens Juridik|datum=2024-02-28|hämtdatum=2024-02-28|språk=sv-SE|författare=William Eriksson}}</ref>

Processer ska finnas för att minimera mängden behandlade personuppgifter, exempelvis genom att [[avidentifiering|avidentifiera]] uppgifterna, och för att gallra lagrade personuppgifter om och när de inte längre behövs. Organisationen är skyldig att upprätta ett register över behandlingar av personuppgifter med ändamål.<ref>{{Webbref |url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/fora-register-over-behandling/ |titel=Föra register över behandling |hämtdatum=29 maj 2018 |författare= |efternamn= |förnamn= |författarlänk= |efternamn2= |förnamn2= |datum= |år= |månad= |format= |verk= |utgivare=Datainspektionen |sid= |språk= |doi= |arkivurl= |arkivdatum= |citat= |ref= }}</ref> De personuppgifter som lagras ska skyddas, till exempel med interna riktlinjer, behörighetsstyrning, säkerhetskopiering, kryptering eller [[pseudonymisering]].<ref>{{Webbref |url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/grundlaggande-principer/ |titel=Dataskyddsförordningens grundläggande principer |hämtdatum=4 juli 2018 |författare= |efternamn= |förnamn= |författarlänk= |efternamn2= |förnamn2= |datum= |år= |månad= |format= |verk= |utgivare=Datainspektionen |sid= |språk= |doi= |arkivurl= |arkivdatum= |citat= |ref= }}</ref> 

Den 4 juli 2023 presenterade Europeiska kommissionen ett förslag till ytterligare förfaranderegler avseende verkställighet av dataskyddsförordningen i fall där fysiska personer från flera olika medlemsstater berörs. Syftet är att säkerställa en enhetlig tillämpning av dataskyddsförordningen vid gränsöverskridande situationer. Förslaget måste godkännas av [[Europaparlamentet]] och [[Europeiska unionens råd]] innan det kan träda i kraft.<ref>[https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3609]</ref><ref>[https://eur-lex.europa.eu/resource.html?uri=cellar:d02eb625-1a4d-11ee-806b-01aa75ed71a1.0005.02/DOC_1&format=PDF]</ref>

=== Exempel på skillnader mot personuppgiftslagen ===
Det tidigare svenska undantaget från skydd av behandling av personuppgift i ostrukturerad form, exempelvis löpande text såsom e-post eller enkla listor, finns inte kvar i GDPR.<ref>{{Webbref |url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/samma-regler-for-alla/ |titel=Samma regler för alla – Missbruksregeln försvinner |hämtdatum=23 maj 2018 |författare= |efternamn= |förnamn= |författarlänk= |efternamn2= |förnamn2= |datum= |år= |månad= |format= |verk= |utgivare=Datainspektionen |sid= |språk= |doi= |arkivurl=https://web.archive.org/web/20180524151310/https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/samma-regler-for-alla/ |arkivdatum=24 maj 2018 |citat= |ref= }}</ref> 

Många företag och organisationer behöver utse ett särskilt [[dataskyddsombud]]. De som bryter mot förordningens regler riskerar böter på upp till 4&nbsp;% av sin globala omsättning, eller upp till 20 miljoner euro.<ref>{{Webbref|url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/dataskyddsforordningen---fulltext/#83|titel=Dataskyddsförordningen (GDPR) - Artikel 83, punkt 5 och 6|hämtdatum=2018-11-30|verk=www.datainspektionen.se|språk=sv}}</ref> Incidenter ska anmälas inom 72 timmar, i Sverige till [https://www.imy.se/ Integritetsskyddsmyndigheten].<ref>{{Webbref|url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/dataskyddsforordningen---fulltext/#33|titel=Dataskyddsförordningen (GDPR) - Artikel 33|hämtdatum=2018-11-30|verk=www.datainspektionen.se|språk=sv}}</ref> 

[[Fysisk person|Privatpersoner]] har särskilda rättigheter enligt GDPR<ref>{{Webbref |url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/de-registrerades-rattigheter/ |titel=De registrerades rättigheter |hämtdatum=23 maj 2018 |författare= |efternamn= |förnamn= |författarlänk= |efternamn2= |förnamn2= |datum= |år= |månad= |format= |verk= |utgivare=Datainspektionen |sid= |språk= |doi= |arkivurl= |arkivdatum= |citat= |ref= }}</ref>, bland annat [[rätten att bli bortglömd]] under vissa villkor, det vill säga att begära att känsliga lagrade personuppgifter raderas, eller att användningen av personuppgifter begränsas. Rätten att bli bortglömd kan dock begränsas av andra lagar eller krav enligt rättslig förpliktelse.<ref>{{Webbref |url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/de-registrerades-rattigheter/ |titel=De registrerades rättigheter: Rätt till radering |hämtdatum=23 maj 2018 |författare= |efternamn= |förnamn= |författarlänk= |efternamn2= |förnamn2= |datum= |år= |månad= |format= |verk= |utgivare=Datainspektionen |sid= |språk= |doi= |arkivurl= |arkivdatum= |citat= |ref= }}</ref> Den registrerade har rätt till dataportabilitet, det vill säga att få överföra egna personuppgifter till andra tjänsteleverantörer.<ref>{{Webbref|url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/dataskyddsforordningen---fulltext/#20|titel=Dataskyddsförordningen (GDPR) - Artikel 20|hämtdatum=2018-11-30|verk=www.datainspektionen.se|språk=sv}}</ref>

====Webbkakor====
För att få lagra icke-nödvändiga [[webbkakor]] (cookies) på användarens dator måste ett företag ha fått [[Samtycke (dataskyddsförordningen)|samtycke]] i förväg ([[opt-in]]) av användaren. Det räcker inte att bara informera om webbkakan och erbjuda möjlighet att avstå ([[opt-out]]), som äldre lagstiftning krävde, i Sverige [[lagen om elektronisk kommunikation]] från 2003. Undantag från detta krav är webbkakor som är nödvändiga för att tillhandahålla den funktion användaren begär, exempelvis för att kunna koppla samman webbvisningar som hör till samma användarsession (ett köp med en betalning, eller möjliggöra elektroniska meddelanden<ref>https://webbriktlinjer.se/riktlinjer/20-upplys-hur-juridisk-information-och-kakor-hanteras/</ref>), eller som företaget har ett berättigat intresse av att lagra. Dessa kräver inte samtycke, utan enbart att användaren informeras.<ref>https://gdpr.se/samtycke-eller-bara-information-till-anvandaren/</ref>

===Myndigheter===
En myndighet får behandla personuppgifter utan individens samtycke när det krävs för fullgörande av lagstadgad myndighetsutövning, exempelvis arkivering av uppgifter som enligt svensk lag är [[allmän handling]] och skyldighet att sprida information om verksamheten till allmänheten. Myndigheten är ändå skyldig att redovisa syftet.

Baserat på GDPR i kombination med olika specialregler får europeiska myndigheter överföra personuppgifter till servrar i annat land, exempelvis molnbaserad e-post och andra [[molntjänst]]er, utan samtycke med individen om servrarna är geografiskt placerade inom [[EES]] och om organisationen har kontroll över servrarna. I sammanhanget bör nämnas att information som är [[Säkerhetsskydd i Sverige|säkerhetsskyddad]], i Sverige enligt [[offentlighets- och sekretesslagen]] och som rör rikets säkerhet, inte får lagras okrypterad på servrar som hanteras av stater som Sverige inte har [[Sveriges överenskommelser med främmande makter|internationellt säkerhetsskyddsavtal]] med, och till vilka personal som inte har genomgått svensk säkerhetsutbildning har tillträde.

===Överföring till länder utanför EES===
Överföring kan ske till servrar i tredjeland (utanför EES) utan att samtycke om avtal finns om adekvat skyddsnivå, och om avtalet håller juridiskt vid [[EU-kommissionen]]s återkommande granskning. Många amerikanska företag hade anslutit sig till avtalet {{ILL|en|EU–US Privacy Shield}}<ref>[https://www.privacyshield.gov/list Lista över amerikanska företaget som har anslutit sig till EU–US Privacy Shield]</ref> – dock är detta avtal ogiltigförklarat sedan den 16 juli 2020 i och med [[Europeiska unionens domstol|EU-domstolens]] dom i {{ILL|en|Schrems_II-målet|Schrems II}}. I många andra OECD-länder är dock skyddsnivån tillräckligt hög enligt EU-kommissionens beslut.<ref>{{Webbref|titel=Datainspektionen|url=https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/tredjelandsoverforing/sa-har-paverkar-schrems-ii-domen-overforingar-till-tredje-land/|verk=www.datainspektionen.se|hämtdatum=2020-11-05|språk=en}}</ref><ref>https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/tredjelandsoverforing/hur-vet-vi-om-ett-tredje-land-har-adekvat-skyddsniva/</ref> I juli 2023 antog kommissionen ett nytt beslut om överföring av personuppgifter mellan EU och USA.<ref>[https://www.euractiv.com/section/data-privacy/news/eu-commission-adopts-new-eu-us-data-transfer-framework/]</ref><ref>[https://ec.europa.eu/commission/presscorner/detail/en/qanda_23_3752]</ref><ref>[https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3721]</ref>

Många myndigheter har som policy att begära medgivande inför fotopublicering på [[sociala medier]], som i allmänhet lagras på servrar i USA.{{Källa behövs|datum=2022-03}} I december 2022 presenterade [[Europeiska kommissionen]] ett förslag om att ge USA status som ett tredjeland med adekvat skyddsnivå.<ref>[https://ec.europa.eu/commission/presscorner/detail/en/ip_22_7631]</ref> Innan beslutet kan träda i kraft måste det granskas av [[Europeiska dataskyddsstyrelsen]] och godkännas av en kommitté bestående av företrädare för medlemsstaterna.<ref>[https://ec.europa.eu/commission/presscorner/detail/en/qanda_22_7632]</ref>

Totalt finns 16 beslut om adekvat skyddsnivå och som omfattar [[Andorra]], [[Argentina]], [[Kanada]] (för kommersiella organisationer), [[Färöarna]], [[Guernsey]], [[Israel]], [[Isle of Man]], [[Japan]], [[Jersey]], [[Nya Zeeland]], [[Schweiz]], [[Storbritannien]], [[Sydkorea]], [[Uruguay]] och [[USA]] (för kommersiella organisationer under ramen för dataskydd mellan EU och USA).<ref>[https://ec.europa.eu/commission/presscorner/detail/en/ip_24_161]</ref>

== Följder ==
Flera webbsidor, företrädesvis utomeuropeiska sådana, stängde ned helt eller blockerade sina tjänster för kunder som använder europeiska IP-adresser med hänvisning till GDPR:s införande eller oklarheter i tolkningen av GDPR. Detta gäller exempelvis ett antal dagstidningar,<ref>[https://www.marketwatch.com/story/chicago-tribune-la-times-go-dark-in-europe-after-gdpr-fail-2018-05-25 Chicago Tribune and LA Times go dark in Europe after GDPR fail], Marketwatch 2018-04-25</ref> annonsplattformar,<ref>[https://www.dagensanalys.se/2018/04/annonsplattformen-som-stanger-ned-i-europa-pagrund-av-gdpr/ Annonsplattformar som stänger ned i Europa på grund av GDPR] {{Wayback|url=https://www.dagensanalys.se/2018/04/annonsplattformen-som-stanger-ned-i-europa-pagrund-av-gdpr/ |date=20180529130226 }}, Dagens analys 2018-04-19</ref><ref>[http://www.hifimagasinet.com/ Hifimagasinet] {{Wayback|url=http://www.hifimagasinet.com/ |date=20180626135911 }}: "EU:s nya datalagstiftning GDPR har inneburit mycket huvudbry för oss och vi har kommit fram till att vi inte kan fortsätta att driva Hifimagasinet efter den 25 maj 2018" Läst 2018-06-26</ref>, bloggsajter<ref>[https://www.aftonbladet.se/nojesbladet/a/7lwy3w/bloggsajten-stangs-ner-pa-grund-av-nya-lagen Bloggsajten stängs ner på grund av nya lagen], Aftonbladet 2018-05-22</ref><ref>{{webbref|titel=Mindre forum som till exempel Linuxportalen.se hänvisar till GDPR och inaktiverar webbsidan|url=http://linuxportalen.se/}}</ref>, onlinespel<ref>[https://www.di.se/nyheter/spelbolag-stanger-ner-i-europa-infor-gdpr/ Spelbolag stänger ner i Euopa inför GDPR], Dagens industri 2018-05-16</ref> och sajter för DNA-baserad släktforskning.<ref>[http://dna.scangen.se/index.php?show=intro&lang=sv Svenska haplogruppsdatabasen] {{Wayback|url=http://dna.scangen.se/index.php?show=intro&lang=sv |date=20180529054248 }}: "På grund av oklarheter vad som gäller med de nya EU-reglerna rörande GDPR (General Data Protection Regulation) har SHD tills vidare stängt. Läst 2018-05-28.</ref>

[[TV4]] vägrade gå med på [[Google]]s krav att det ska stå i användaravtalet att TV4:s användare ska godkänna att TV4 skulle sälja uppgifter till Google och deras kunder. Det gör att TV4 inte får använda Googles mycket använda annonsplattform.<ref>[https://www.dagensmedia.se/medier/rorligt/tv4-om-gdpr-vi-hamtar-inte-in-samtycke-at-google-6916424 TV4 om GDPR: "Vi hämtar inte in samtycke åt Google"]</ref>

Synliga följder av förordningen för vanliga användare är ett stort antal [[e-post]]meddelanden våren 2018 från olika webbplatser som informerar om villkor eller begär användarens medgivande. På många nätsajter kom det under införandet upp fönster där man ska godkänna ett avtal eller läsa mer information. Redan enligt tidigare europeisk lagstiftning, i Sverige enligt [[Lagen om elektronisk kommunikation]] (LEK), krävs att webbplatser informerar om och ger möjlighet till [[opt-out]] vid [[webbkaka|webbkakor]], men i spåren av GDPR har fler webbplatser, även utanför Europa, börjat informera om webbkakor, och även börjat begära medgivande ([[opt-in]]) vid webbkakor.   

Ärenden och meddelanden som har skickats i e-tjänsten 1177.se gallras efter två år så att användaren inte kan läsa sina egna meddelanden.<ref>{{Webbref|titel=Så skyddas och hanteras dina uppgifter när du är inloggad - 1177 Vårdguiden|url=https://www.1177.se/stockholm/om-1177-vardguiden/e-tjanster-pa-1177-vardguiden/support-och-tekniska-krav-for-e-tjansterna/sa-skyddas-och-hanteras-dina-uppgifter-nar-du-ar-inloggad/|verk=www.1177.se|hämtdatum=2019-05-22}}</ref> I september 2019, 16 månader efter att lagen trätt i kraft, tilldelade datainspektionen den första administrativa sanktionsavgiften till Skellefteå kommun.  Bakgrunden till sanktionsavgiften var att en gymnasieskola i kommunen på prov använt ansiktsigenkänning via kamera för att registrera elevers närvaro på lektionerna. Avgiften var på 200 000 SEK<ref>{{Webbref|titel=Sveriges första sanktionsavgift för GDPR kring ansiktsigenkänning|url=https://gdpr.se/sveriges-forsta-sanktionsavgift-for-gdpr-kring-ansiktsigenkanning/|verk=GDPR.se|datum=2019-08-21|hämtdatum=2019-09-17|språk=sv-SE|förnamn=Fredrik|efternamn=Jonasson}}</ref>

Fram till maj 2023 – fem år efter att dataskyddsförordningen hade trätt i kraft – hade böter motsvarande totalt 2,5 miljarder euro utdömts av de nationella tillsynsmyndigheterna för avvikelser från förordningens bestämmelser.<ref>[https://ec.europa.eu/commission/presscorner/detail/en/statement_23_2884]</ref>

I december 2023 konstaterade EU-domstolen att det krävs vållande för att administrativa sanktionsavgifter ska påföras genom dataskyddsförordningen, antingen genom uppsåtlig handling eller genom oaktsamhet.<ref>[https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230184sv.pdf För att administrativa sanktionsavgifter ska kunna påföras för en överträdelse av EU:s allmänna dataskyddsförordning krävs att överträdelsen har begåtts uppsåtligen eller av oaktsamhet]</ref>

== Territoriellt tillämpningsområde ==
{{Huvudartikel|Europeiska unionsrättens territoriella tillämpningsområde}}
Dataskyddsförordningen omfattar alla [[Europeiska unionens medlemsstater]]. Den trädde i kraft den 24 maj 2016, men blev [[Direkt tillämplighet|direkt tillämplig]] inom hela unionen först den 25 maj 2018. Genom [[Europeiska ekonomiska samarbetsområdet|EES-avtalet]] omfattas även [[Island]], [[Liechtenstein]] och [[Norge]] av förordningen.<ref name="EUT L 183, 19.7.2018, s. 23-26">{{webbref |url=http://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:22018D1022 |titel=Gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018 om ändring av bilaga XI (Elektronisk kommunikation, audiovisuella tjänster och informationssamhället) och protokoll 37 (med den förteckning som avses i artikel 101) till EES-avtalet |verk=EUT L 183, 19.7.2018, s. 23-26 |utgivare=EUR-Lex}}</ref> Storbritannien omfattades av förordningen under en övergångsperiod fram till och med den 31 december 2020 i enlighet med [[avtalet om Storbritanniens utträde ur Europeiska unionen]].

== Se även ==
* [[Datalagringsdirektivet]]
* [[Lagen om elektronisk kommunikation]]
* [[Personlig integritet]]
* [[Sekretess]]
* [[Trafikdatalagring]]

== Referenser ==
=== Noter ===
<references/>

{{EU-portalen}}

[[Kategori:Europeiska unionens förordningar]]
[[Kategori:Skydd av personuppgifter inom Europeiska unionen]]