Vad som i 6 § 2 mom. föreskrivs om åtgärder för att skydda den registrerades rättigheter tillämpas även vid behandling av sådana personuppgifter som avses i 1 mom. i denna paragraf. 

I ärenden om vilka det bestäms närmare i arbetsordningen och i vilka praxis i fråga om lagens tillämpning är vedertagen och avgörandet av ärendet inte förutsätter föredragning för dataombudsmannen på grund av ärendets rättsliga natur eller innehåll får dataombudsmannen överföra beslutanderätten på tjänstemän som är föredragande. Dataombudsmannen har dock i enskilda fall rätt att överta avgörandet av ett ärende som annars skulle avgöras av en föredragande. 

Dataombudsmannen ska behandla ett klagomål som blivit anhängigt med stöd av artikel 77 i dataskyddsförordningen inom tre månader från det att klagomålet blev anhängigt eller, om ärendet inte kan behandlas inom denna tid, inom tre månader meddela den registrerade en uppskattning om när ett beslut kommer att ges. 

Om dataombudsmannen försummar att iaktta den tidsfrist på tre månader som avses i 3 mom., har den registrerade rätt att anföra besvär hos förvaltningsdomstolen. Besvären ska anföras innan dataombudsmannen har behandlat ärendet eller meddelat en uppskattning om när ett beslut kommer att ges. Besvären anses då avse ett beslut att avvisa ärendet. 

En personbeteckning får behandlas för entydig specificering av den registrerade vid kreditgivning och indrivning av fordringar, i försäkrings-, kreditinstituts-, betaltjänst-, uthyrnings- och utlåningsverksamhet, i kreditupplysningsverksamhet, inom hälso- och sjukvården, inom socialvården och inom annan verksamhet för att tillförsäkra social trygghet samt i ärenden som gäller tjänste- och arbetsavtalsförhållanden och andra anställningsförhållanden och förmåner som har samband med dessa. 

Utöver vad som i 1 och 2 mom. föreskrivs om behandling av personbeteckningar får en personbeteckning lämnas ut för sådan databehandling som sker i syfte att uppdatera adressuppgifter eller undvika mångfaldig postning, om mottagaren redan har tillgång till personbeteckningen. 

En personbeteckning får inte onödigtvis antecknas i handlingar som skrivs ut eller upprättas på basis av ett register. 

Enbart personbeteckningen eller en kombination av personbeteckningen och den registrerades namn får inte användas för utredning av den registrerades identitet med hjälp av uppgifter som den registrerade har uppgett eller lämnat eller med hjälp av handlingar som den registrerade har visat upp (identifiering). 

Denna lag träder i kraft den 20. 

Bestämmelserna i 21 § 3 och 4 mom. i denna lag tillämpas inte på ärenden som är under behandling hos dataombudsmannen vid ikraftträdandet av lagen. 

En personbeteckning får inte onödigtvis antecknas i handlingar som skrivs ut eller upprättas på basis av ett register. 

Enbart personbeteckningen eller en kombination av personbeteckningen och den registrerades namn får inte användas för utredning av den registrerades identitet med hjälp av uppgifter som den registrerade har uppgett eller lämnat eller med hjälp av handlingar som den registrerade har visat upp (identifiering). 

Om inte något annat föreskrivs i lag, får ett beslut inte fattas enbart på grundval av automatiserad behandling av personuppgifter, inbegripet profilering, om beslutet har negativa rättsverkningar för den registrerade eller beslutet annars är betydande för den registrerade. 

Dataombudsmannen ska behandla ett ärende som inletts med stöd av 56 § inom tre månader från det att ärendet inleddes eller, om ärendet inte kan behandlas inom denna tid, inom tre månader meddela den registrerade en uppskattning om när ett beslut kommer att ges. Dataombudsmannen ska också informera den som inlett ärendet om behandlingen av ärendet fördröjs på grund av att en ytterligare utredning behövs eller av något annat skäl. 

Dataombudsmannen kan avbryta behandlingen av ett ärende, om ett ärende som har samband med det är anhängigt i domstol. 

Om dataombudsmannen försummar att iaktta den tidsfrist på tre månader som avses i 1 mom., har den registrerade rätt att anföra besvär hos förvaltningsdomstolen. Besvären ska anföras innan dataombudsmannen har behandlat ärendet eller meddelat en uppskattning om när ett beslut kommer att ges. Besvären anses då avse ett beslut att avvisa ärendet. 

Denna lag träder i kraft den 20. 

På ärenden som är under behandling hos dataombudsmannen vid ikraftträdandet av denna lag tillämpas 57 § i den lydelse den hade vid ikraftträdandet av denna lag.