第１条　この法律の目的は、個人情報の処理に伴う人権侵害から個人を保護することにある。(EG-direktivet artikel 1, ingresspunkt 7-11)

第２条　本法以外の法律，政令において別段の定めある場合、本法の規定は適用されない。

第３条　次に掲げる用語は本法において次の意味に用いる。

　個人情報の処理(Behandling (av personuppgifter))　個人情報の処理とは、個人情報の処理がコンピュータによって処理されていると否とにかかわらず、個人情報処理のために行われる個人情報の収集、記録、編集、蓄積、改訂または変更、授受、利用、第三者を通じての情報の提供、拡散、その他、情報の供給、編成、合成、封鎖、消去または破壊等に関する個別的または一連の作業のことをいう。

個人情報の封鎖(Blockering (av personuppgifter))　個人情報の封鎖とは、個人情報のアクセスが制限されているという情報および制限されている理由に関する情報と結合しているため、または個人情報が印刷・出版の自由に関する法律第２章の規定による以外の方法で第三者に提供することができないために行われる作業のことをいう。

受取人(Mottagare)　受取人とは、個人情報を受け取る者のことをいう。監督、検査または監査のため処理された個人情報が監督官庁に提供される場合、監督官庁は受取人とみなされない。

個人情報(personuppgifter)　個人情報とは、処理の対象となっている生存者に関する直接的または間接的なすべての個人情報のことをいう。

個人情報管理者(Personuppgiftsansvarig)　個人情報管理者とは、個人情報を処理する場合、単独または他人と共同して、その目的、方法を決定することができる者のことをいう。

個人情報処理業務代行者(Persongiftsbiträde)　個人情報処理業務代行者とは、個人情報管理者のために個人情報管理者に代わって個人情報を処理する者のことをいう。

個人情報代理人(Personuppgiftsombud)　個人情報代理人とは、個人情報管理者によって選任された後、独立して、個人情報が適法，且つ適正な方法で処理されているか否かを監視する自然人のことをいう。

被記録者(Den registrerade)　被記録者とは、個人情報の処理の対象となっている者のことをいう。

同　意(Samtycke)　同意とは、個人情報の処理に際し、被記録者が個人情報管理者からインフォメーションを受けた後、被記録者から自由、任意、且つ明白になされた個人情報管理者に対する個人情報処理に関する承諾の意思表示のことをいう。

監督官庁(Tillsynmindigheten)　監督官庁とは、監督業務を行うため、政府から指定された行政官庁のことをいう。

第三国(Tredje land)　第三国とは、ヨーロッパ連合またはヨーロッパ経済共同体加盟国以外の国のことをいう。

第三者(Tredje man)　第三者とは、被記録者、個人情報管理者、個人情報処理業務代行者及び個人情報管理者または個人情報処理業務代行者の許で個人情報処理業務に従事する者以外の者のことをいう。

第４条　この法律は、スウェーデン国内に設置されている個人情報管理者に適用される。

第５条　この法律は、個人情報の全部またはその一部がコンピュータによって処理される場合に適用される。

　第６条　本法の規定は、自然人が専ら自己の私的利用を目的として他人の個人情報を処理する場合には適用されない。

第７条　本法の規定が印刷・出版の自由に関する法律または表現の自由に関する法律に規定されている印刷・出版及び表現の自由に抵触する場合、抵触する限度において本法の規定は適用されない。

第８条　印刷・出版の自由に関する法律第２章に規定されている個人情報を提供すべき行政官庁の義務を制限する場合、本法の規定は適用されない。

第９条　個人情報管理者は、他人の個人情報を処理する場合、次の事項に注意しなければならない。

　　a　個人情報が適法に処理されていること

　　b　個人情報が常に正しく、且つ個人情報倫理に従って処理されていること

　　c　個人情報が特別、明確に示され、且つ正当な目的のために収集されていること

　　d　個人情報が所定の目的以外のことに利用されていないこと

　　e　処理されている個人情報がその目的から見て適切、且つ相当とみなされること

　　f　情報処理の目的からみて必要とされている範囲を超えて複数の個人情報が処理されていないこと

　　g　情報処理の対象となっている個人情報が正確でありその必要がある場合、最新の情報であること

　h　情報処理の目的からみて、その個人情報が誤っている場合、または不完全な場合、常にその誤りを訂正、封鎖または抹消するため万全の措置が講じられていること

　　i　個人情報が情報処理の目的から見て必要以上の期間保存されないこと

　個人情報処理の基本的要件

第１０条　個人情報管理者は被記録者が自己の個人情報を処理することに対して同意を与えている場合、または次の各号に掲げる事由によって個人情報を処理する必要がある場合、被記録者の個人情報を処理することができる。

　a　被記録者との契約を履行するためまたは被記録者から要求に基づいて契約が締結される前にその措置をすることが必要とされる場合

　b　個人情報管理者がその法的義務を履行するために必要な場合、

　c　被記録者の重大な利益を保護するために必要とする場合

　d　公共の利益から業務資料が作成される場合

　e　個人情報管理者また個人情報の提供を受ける第三者が行政官庁との関係において業務資料作成のためその必要がある場合

　f　個人情報を処理することが個人情報管理者または個人情報の提供を受ける者の法的利益が被記録者の人権の保護よりも重要な場合

ダイレクトメール利用を目的とした個人情報に関する特則(Direkt marknadsföring)

第１１条　被記録者から個人情報管理者に対して、書面によって、自己の個人情報をダイレクトメールに利用することについて反対の意思表示が行われた場合、個人情報管理者は、以後、その者の個人情報をダイレクトメールに利用することができない。

第１２条　個人情報管理者が第１０条、第１５条または第３４条の規定によって被記録者の同意をもって被記録者の個人情報を処理している場合、被記録者は何時でも、その同意を撤回することができる。同意の撤回が行われた場合、それ以後、個人情報管理者は被記録者の個人情報を処理することができない。

　センシテｲーヴ個人情報の処理禁止

第１３条　次に掲げる個人情報の処理を禁止する。

　a　人種、出身民族

　b　政治信条

　c　信教、思想

　d　労働組合の構成員

　センシテｲーヴ個人情報処理の禁止に関する例外

第１４条　第１５条乃至第１９条に規定されている場合、第１３条の規定と関係なくセンシテｲーヴ個人情報を処理することができる。

第１５条　センシテｲーヴ個人情報は、被記録者がその情報処理に対して明白な同意を与えている場合、または明確な仕方で被記録者の個人情報が公開されている場合、センシテｲーヴ個人情報を処理することができる。

第１６条　次の各号に掲げられている場合、センシテｲーヴ個人情報を処理することができる。

　a　個人情報管理者が労働法上の権利を行使し、義務を履行する場合　

ｂ被記録者または他人の重要な利益を保護するために必要な場合で、且つ被記録者か個人情報の処理について同意が得られない場合

第１項aの規定によって処理された個人情報は、それが労働法上、それを行うことが個人情報管理者にとって義務づけられている場合で、且つ被記録者が明確にその提供に同意を与えている場合、第三者に提供することができる。

第１７条　政治的、思想的、宗教的または専門的目的をもっている非営利団体は、その活動の範囲内において、団体構成員及び団体の目的ために必要なセンシテｲーヴ個人情報を処理することができる。

第１８条　保健、医療事務を処理するため、次の場合、センシテｲーヴ個人情報を処理することができる。

a　保健、医療に必要な場合

b　診療に必要な場合

c　入院またはその他の処置を行うために必要な場合

d　保健、医療管理のために必要な場合

第１９条　センシテｲーヴ個人情報は、その処理が第１０条に規定されている方法で行われ、且つまたその処理が、公共の福祉のために、被記録者に対する人権保護よりも学術研究または統計処理上、必要と認められる場合、センシテｲーヴ個人情報を処理することができる。

センシテｲーヴ個人情報の処理に際し、研究技術コミッテー(forskningsetisk kommitté)によってその承認を受けている場合、第１項に規定されている条件は満たされているものとみなされる。ここに技術的コミッテーとは、研究技術開発のために、社会に対しても研究に対しても、責任者をもっている特別の機関で、且つ大学、高等専門学校または大学，高等専門学校と同等以上の研究機関に結合している倫理問題審査機関のことをいう。個人情報は秘密保護法及び守秘義務に反しない限り、第１項に規定されているそのようなプロジェクトにおいて利用されるために提供することができる。

第２０条　公共の利益からみてさらに例外規定を設ける必要があるとみなされる場合、政府または政府によって指定された行政官庁は、第１３条に規定されている禁止事項の例外を設けることができる。（1998年法律第1436号にて改正）

第２１条　個人にかかわる犯罪、犯罪事件に関する判決、刑事訴訟法的な強制手段または行政的自由拘束に関する個人情報は所管行政官庁以外の者はこれを処理してはならない。

政府は個別的事件において、第１項に規定されている禁止事項以外にも例外を設けることができる。政府は監督官庁に対してその決定を行うことを委任することができる。（1998年法律第1436号にて改正）

第２２条　個人番号及び整理番号は

　a.処理される個人情報の目的

　b身元確認の必要性がある場合

　c　その他相当とみなされる理由がある場合においてのみ処理することができる。（１９９９年法律第１０５９号において改正）

第２３条　個人情報管理者が直接、被記録者本人から個人情報を収集する場合、個人情報管理者は被記録者に対して、自発的に個人情報処理に関するインフォメーションを与えなければならない。

　第２４条　個人情報管理者が被記録者本人以外の者から、間接的に被記録者の個人情報を収集する場合、個人情報管理者は、被記録者に対して、自発的に個人情報処理に関するインフォメーションを与えなければならない。個人情報が第三者に提供することを目的として処理されている場合、個人情報管理者は、処理された個人情報が第三者に提供された後、被記録者に対して個人情報処理に関するインフォメーションを与えなければならない。

第２５条　第２３条または第２４条の規定によって提供されるインフォメーションには、次に掲げる事項を記載しておかなければならない。

　a　個人情報管理者の身元に関する情報

b　個人情報処理の目的に関する事項

　c　 情報受領者に関する情報、個人情報管理者のインフォメーション義務、被記録者の個人情報開示請求権および訂正請求権等、被記録者の個人情報が処理される場合に被記録者の利益を保護するために必要なすべての情報

第２６条　被記録者であると否とにかかわらず個人情報の開示が求められた場合、個人情報管理者は、一暦年に一回、無料で請求者に関する個人情報の有無を通知しなければならない。

　a　処理されている請求者の情報の種類

　b　情報の収集先

　c　処理の目的

　d　個人情報が提供される宛先

第２７条　本法、その他の法令または被記録者に対して提供すべきでないという考え方に基づいて行われた決定において、別段の定めがある場合、第２３条乃至第２６条の規定は適用されない。行政官庁に届け出ない個人情報管理者は、その際、秘密保護法(sekretesslagen 1980:100)に規定されている場合、被記録者に対する情報の提供を拒否することができる。

　訂　正

第２８条　個人情報管理者は被記録者からの請求が行われた場合、本法または本法の規定に基づいて公布されているその他の法令によって処理されない個人情報を訂正、封鎖または抹消しなければならない。個人情報管理者は被記録者から請求が行われた場合、または被記録者の損害または不利益が報告によって回避することができる場合、個人情報の提供を受けている第三者に対してそのことを報告しなければならない。但し、そのことが不可能な場合、または必要以上に大きな負担となる場合、その通知は行われない。

第２９条　自然人に対して法的な効果または明白な影響を及ぼす資格判定に関する決定が自動電算処理に基づいて行われた場合、その決定によって影響を受けた者は、人による再審査請求を行うことができる。

　個人情報を処理する場合の安全

第３０条　個人情報処理業務代行者、個人情報代行者または個人情報管理者の指揮の許に個人情報を処理している者は、個人情報管理者の指図にしたがってのみ個人情報を処理することができる。

公的業務の場合，第1項に規定されている個人情報の処理に関し、法律、その他の法令において、別段の定めがあるとき、その規定が個人情報管理者の指示に優先して適用される。

第３１条　個人情報管理者は相当な技術的、組織的な安全対策を講じなければならない。処理されている個人情報を保護するために、次の各号に規定する措置を講じなければならない。

　a　利用できる技術的な可能性

　b　安全対策の費用

　c　個人情報を処理する場合に生ずる特別の危険

　d　処理されている個人情報の内容

1. 　監督官庁は個人情報管理者に対して、個別的に第３１条に規定されていることを

　　第三国に対する個人情報の移動

　　保護体制が相当であるか否かは個人情報の第三国移動に際し、すべての事情を考慮して判断されなければならない。特にその場合、第三国に移動される個人情報の種類、処理目的、保存期間、原産国、最終的決定国および移動先国における個人情報処理に関する諸規則に留意しなければならない。(1999年法律第１２１０号にて改正)

第３４条　第３３条の規定によって、個人情報を国外に持ち出すことが禁止されている場合であっても、被記録者の同意がある場合、または個人情報を国外に持ち出す必要がある場合、個人情報を国外の持ち出すことができる。

a　個人情報管理者が被記録者との契約を履行するため、または契約が締結される前に被記録者から要求された措置を契約の締結される前に講じておく必要がある場合

b　被記録者のために個人情報管理者と第三者との間に締結されている契約を履行するために必要とされる場合

c　法的権利の確定、主張、防禦するために必要な場合、または

d 被記録者にとって重要な利益を保護する要がある場合

　第３５条　個人情報の特定国への移動に関し、政府は第３３条に規定されている禁止事項の例外を設けることができる。契約によって、被記録者の権利を保護するに十分な保証が与えられている場合、政府はまた、第３国への個人情報の移動に関し、規則を設けることができる。

政府は第２項に規定されている前提の許で、個別的に第３３条の例外規定を設けることができる。政府はその決定を監督官庁に委ねることができる。（1998年法律第1436号にて改正）

第３６条　個人情報の全部またはその一部が自動電算機によって処理される場合、個人情報管理者は個人情報の処理に先立って、同一目的をもって一連の個人情報が処理される場合にはその情報処理に先立って、書面をもって監督官庁に届け出なければならない。

　第３７条　個人情報管理者が監督官庁に対して、個人情報代理人の選任届を提出している場合、個人情報管理者は、第３６条に規定されている届け出の義務を免除される。

第３８条　個人情報代理人は独立して、個人情報管理者が適法、適正、且つ個人情報倫理にしたがって、個人情報を処理しているか否かを監視し、処理の方法に瑕疵を発見した場合、そのことを指摘しなければならない。

第３９条　個人情報代理人は個人情報管理者の保有している個人情報で、且つ個人情報代理人が選任されていなかったらならば届出の対象となるべき個人情報に関するリストを作成しておかなければならない。リストには少なくとも第３６条に規定されている個人情報管理者の届け出義務の対象となる個人情報を含んでいなければならない。

　第４０条　処理されている個人情報に誤りがあると思われる場合、または不完全であると思われる場合、その訂正を行うことため、個人情報代理人は被記録者を援助しなければならない。

第４１条　処理される個人情報の中に、不当な人権侵害の危険性が含まれている場合、政府は、事前審査のため、３週間前に、第３６条の規定により、監督官庁に対して届けを行うことを義務付けることができる。政府がそのような規定を設けた場合、第３７条に規定されている届け出義務からの例外は適用されない。（1998年法律第1436号にて改正）

　未届個人情報の公開

　第４２条　自動伝先によって処理された個人情報で、且つ監督官庁に届け出られていない個人情報について、一般人から情報の開示を求められた場合、個人情報管理者は、早急な適切な方法で、情報の開示を請求した者に対して自己の保有する個人情報についてインフォメーションを与えなければならない。提供される情報には、本法第３６条第１項に規定されている情報を記載しておかなければならない。但し、行政機関以外の個人情報管理者は、請求事項が秘密保護法(Sekretesslagen 1980:100)に規定されている場合、その情報の提供を拒否することができる。

　監督官庁の権限

第４３条　監督官庁は監督を行うため、次に掲げる事項を要請することができる。

　a　処理されている個人情報の提出

　b　処理されている個人情報及び個人情報処理に際しての安全に関する情報、資料の提出、及び

　c　個人情報の処理が行われている場所に立ち入り

　第４４条　監督官庁が第４３条の規定に基づいて要請を行った後、監督官庁において個人情報処理が適法に行われているということを確認するにたる十分な根拠を入手することができなかった場合、監督官庁は制裁金を付して、個人情報管理者に対して貯蔵以外の方法で、個人情報処理の中止を命ずることができる

　第４５条　監督官庁において個人情報が違法な方法で処理されているとみなされた場合、または違法な方法で処理されるおそれがある場合、監督官庁は指示その他の方法で改善が求めることができる。指示、その他の方法で改善ができないと思われる場合、またはそのことが急を要する場合、監督官庁は制裁金を付して責任者に対して個人情報の処理を中止させることができる。

　第４６条　監督官庁は、第４４条または第４５条の規定によって制裁金の賦課決定を行う前に、個人情報管理者に対して、意見を述べる機会を与えなければならない。事態が急を要する場合、監督官庁は意見聴取に先だって、制裁金を付して暫定的な決定を行うことができる。

暫定的決定を行った場合、監督官庁は暫定決定期間が終了したとき再審査を行わなければならない。通知に関する法律(Delgivingslagen[1970:428])第１２条の規定は、個人情報管理者が逃亡、その他の方法でその居所が不明の場合においてのみ使用することができる。

　第４７条　監督官庁は、監督官庁所在地県の地方行政裁判所に対して、違法に処理された個人情報の撤去を請求することができる。

　損害賠償

　第４８条　個人情報管理者が個人情報の処理に際し、本法の規定に反して他人に対して損害を与えた場合、または人権侵害によって被記録者に対して損害を与えた場合、個人情報管理者はその損害を賠償しなければならない。

　刑　罰

　第４９条　故意、過失によって、次に掲げる事項に反した場合、罰金または６ヶ月以内の懲に処する。犯罪の内容が重大な場合、最高２年の懲役に処する。

　　a　本法に規定されている被記録者に対して提供された情報において不真実情報を提供した場合、

　　b　第３６条に規定されている監督官庁に対して提供された報告書に不真実を記載した場合、または第４３条の規定によって監督官庁から請求された報告に不信実情報を記載、提供した場合

　　c　第３３条乃至第３５条の規定に反して第３国に対して個人情報を移動した場合

　　d　第３６条第１項の規定により届け出義務を怠った場合または第４１条の規定に基づいて行われた規則による届け出義務を怠った場合

　第１項の規定に反する犯罪のないようが軽微な場合、その責任を免除する。(1999年１２１０号にて改正)

　規則制定権

第５０条　政府または政府の指定する行政官庁は、次の掲げる事項について個人情報処理に関する規則を設けることができる。

　a　個人情報の処理が許される場合の条件

　b　個人情報が処理される場合の条件

　c　個人番号の使用が許される場合の条件

　d　個人情報管理者に対する報告、申請に含まれるべき事項

　e　被記録者に対して提供される情報の内容及びその提供方法

　f　監督官庁に対する届け出及び届け出事項が変更された場合の変更手続き

　（1998年法律第1436号にて改正）

第５１条　本法の規定による監督官庁の決定に対して異議ある者は、その決定がデータ検査院通達の場合を除いて、普通行政裁判所に対して異議の申し立てを行うことができる。

１．この法律は１９９８年１０月２４日から施行する。本法の施行と同時にデータ法(Datalgaen 1973:289)を廃止する。但し、１９９８年１０月２４日前に行われた決定に対する異議の申し立てについてはデータ法の規定が適用される。