sou · GZB320 · 2011-03-15 00:00:00 — Om den överförande medlemsstatens nationella lagstiftning innehåller bestämmelser i fråga om utbyte av uppgifter mellan behöriga myndigheter inom den medlemsstaten, ska den överförande myndigheten informera mottagaren om dessa begränsningar. I sådana fall ska mottagaren följa begränsningarna för behandlingen. Medlemsstaterna får inte tillämpa några andra begränsningar när det gäller överföring av uppgifter till en annan stat än de som gäller motsvarande nationella överföringar av uppgifter. Artikel 12 i dataskyddsrambeslutet har följande lydelse. Iakttagande av nationella restriktioner för behandling av uppgifter 1.Om det, enligt den överförande medlemsstatens nationella lagstift- ning, under särskilda omständigheter gäller särskilda begränsningar i fråga om utbyte av uppgifter mellan behöriga myndigheter inom den medlemsstaten, ska den överförande myndigheten informera mottagaren om dessa begränsningar. Mottagaren ska se till att dessa begränsningar för behandlingen följs. 2.Vid tillämpning av punkt 1 ska medlemsstaterna inte tillämpa några andra begränsningar när det gäller överföringen av uppgifter till andra medlemsstater eller till byråer eller organ som inrättats i enlighet med avdelning VI i fördraget om Europeiska unionen än de som gäller motsvarande nationella överföringar av uppgifter. I artikel 12.1 anges således regler om viss informationsskyldighet från den överförande staten till mottagaren vad gäller särskilda begränsningar enligt den överförande statens lagstiftning i fråga om utbyte av personuppgifter mellan nationella myndigheter. Mottagaren ska å sin sida se till att dessa begränsningar för behandling följs. Medlemsstaterna får enligt artikel 12.2 inte tillämpa några andra begränsningar när det gäller överföring av uppgifter till en annan stat än de som gäller motsvarande nationella överföringar. 2008/09:16 s. 41 har angetts att de befintliga reglerna om användningsbegränsningar i svensk rätt i huvudsak är tillräckliga för att uppfylla dataskyddsrambeslutet i dessa delar, men att behovet av lagändringar kan behöva analyseras närmare. Vad gäller regler om information till den registrerade finns bestämmelser i artikel 16.2 (se avsnitt 13.1.5 nedan). Vi gör i denna del bedömningen att artikel 12 innehåller sådana användningsbegränsningar som bör föranleda ett tillägg i svensk rätt. Angående andra stycket i vår föreslagna paragraf kan det i och för sig ifrågasättas om det inte är tillräckligt med den formulering som vi föreslår i första stycket, sista meningen. Då det i dataskyddsrambeslutet uttryckligen har förts in bestämmelser i artikel 12.2 föreslår vi dock att det även i svensk rätt ska föras in en motsvarande förtydligande bestämmelse. Vi föreslår därför att det i den av oss föreslagna nya lagen om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, införs en bestämmelse om iakttagande av nationella restriktioner för behandling av uppgifter (7 §) med följande innehåll. Om den överförande medlemsstatens nationella lagstiftning innehåller bestämmelser i fråga om utbyte av uppgifter mellan behöriga myndigheter inom den medlemsstaten, ska den överförande myndigheten informera mottagaren om dessa begränsningar. I sådana fall ska mottagaren följa begränsningarna för behandlingen. Medlemsstaterna får inte tillämpa några andra begränsningar när det gäller överföring av uppgifter till en annan stat än de som gäller motsvarande nationella överföringar av uppgifter. 12.8Överföring till behöriga myndigheter i tredjestater eller till internationella organ (artikel 13) Våra förslag: I den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättligt samarbete inom Europeiska unionen införs en bestämmelse om överföring av personuppgifter till tredje land eller till internationella organ (5 §) med följande innehåll. Personuppgifter som har överförts eller gjorts tillgängliga av en myndighet i en annan medlemsstat får föras över till ett tredje land eller ett internationellt organ om a)det är nödvändigt för att förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, b)mottagaren har ansvar för sådan verksamhet som anges i a), c)den stat från vilken uppgifterna har tagits emot har samtyckt till överföringen, och d)mottagaren har en adekvat skyddsnivå för den avsedda databehandlingen. Uppgifter får föras över utan samtycke enligt första stycket om det är absolut nödvändigt, antingen för att avvärja en omedelbar och allvarlig fara för allmän säkerhet eller för en medlemsstats väsentliga intresse, och ett sådant samtycke inte kan erhållas . 12.8.1Allmänt om artikel 13 Artikel 13 i dataskyddsrambeslutet har följande lydelse. Överföring till behöriga myndigheter i tredjestater eller till internationella organ 1.Medlemsstaterna ska föreskriva att personuppgifter som överförts eller gjorts tillgängliga av den behöriga myndigheten i en annan medlemsstat får överföras till tredjestater eller internationella organ endast om a)detta är nödvändigt för förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, b)den mottagande myndigheten i tredjestaten eller det mottagande internationella organet har ansvar för förebyggande, utredning, avslöjande eller lagföring av brott eller för verkställigheten av straff- rättsliga påföljder, c)den medlemsstat från vilken uppgifterna erhölls har gett sitt samtycke till överföringen i enlighet med sin nationella lagstiftning, och om d)berörd tredjestat eller internationellt organ sörjer för en adekvat skyddsnivå för den avsedda databehandlingen. 2.Överföring utan förhandsmedgivande enligt punkt 1 c ska tillåtas endast om överföringen av uppgifter är absolut nödvändig för att kunna avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en medlemsstat eller en tredjestat eller för en medlems- stats väsentliga intressen och ett förhandsmedgivande inte kan erhållas Den myndighet som ansvarar för att bevilja medgivandet ska informeras utan dröjsmål. 3.Med avvikelse från punkt 1 d får personuppgifter överföras om a)den nationella lagstiftningen i den medlemsstat som överför uppgifterna föreskriver detta på grund av i)den registrerades legitima specifika intressen, eller ii)legitima faktiska intressen, främst viktiga allmänna intressen, eller b)tredjestaten eller mottagande internationella organ sörjer för skyddsåtgärder som av den berörda medlemsstaten bedöms som adekvata i enlighet med dennas nationella lagstiftning. 4.Bedömningen av om den skyddsnivå som avses i punkt 1 d är adekvat ska ske på grundval av alla de förhållanden som har samband med en eller flera överföringar av personuppgifter. Särskild hänsyn ska tas till uppgifternas art, den föreslagna behandlingens eller behandlingarnas ändamål och varaktighet, ursprungsstaten och den stat eller internationella organ som utgör slutdestination för uppgifterna, den lagstiftning, både allmän och sektoriell, som gäller i den berörda tredjestaten eller för det berörda internationella organet samt de yrkesregler och säkerhetsbestämmelser som ska tillämpas. Bestämmelserna i dataskyddsrambeslutet – som innehåller förbud mot överföring av uppgifter till tredjeland, internationella organ eller organisationer – begränsar rätten att använda uppgifterna. Artikeln ställer således upp vissa krav på när uppgifter som omfattas av dataskyddsrambeslutet ska få föras över eller göras tillgängliga. Sådan överföring får ske endast om den är nödvändig för att förebygga, utreda, upptäcka eller lagföra brott eller för verkställighet av en straffrättslig påföljd, mottagaren har ansvar för sådan verksamhet, den stat från vilken uppgifterna har erhållits har gett samtycke till överföringen, och mottagaren har en adekvat skyddsnivå för databehandling. För att det ska vara tillåtet att föra över uppgifter eller att göra dessa tillgängliga för ett tredjeland eller ett internationellt organ måste således samtliga dessa villkor som huvudregel vara uppfyllda. I artikel 13.2 anges som undantag från kraven på förhands- medgivande till överföring att detta endast får ske om överföringen är absolut nödvändig, antingen för att avvärja en omedelbar och allvarlig fara för allmän säkerhet, eller för en medlemsstats väsentliga intressen och ett förhandsmedgivande inte hinner utverkas . I sådana fall ska den myndighet som ska medge överföring underrättas utan dröjsmål. Från kravet på adekvat skyddsnivå hos mottagaren medges också – enligt artikel 13.3 och 13.4 – vissa undantag, nämligen om den nationella lagstiftningen hos den medlemsstat som överför uppgifterna föreskriver detta på grund av vissa viktiga intressen eller om mottagaren sörjer för skyddsåtgärder som den överförande staten bedömer vara tillräckliga enligt sin lagstiftning. Vid bedömningen av om skyddsnivån är adekvat ska hänsyn tas till alla relevanta omständigheter, bl.a. uppgifternas art, syftet med behandlingen och varaktigheten av densamma. Angående vårt ställningstagande vad gäller uppgifter som tagits emot från en eller ett informationssystem inom EU, se avsnitt 8.2.5 ovan. Formuleringen i artikel 13 i dataskyddsrambeslutet – vilken även återfinns i 5 § i vårt förslag till ny lag inom området (se avsnitt 12.8.2 nedan) – att personuppgifter har gjorts tillgängliga för medlemsstaten, anser vi dessutom tillräckligt tydliggörande i denna del. Eftersom personuppgifterna i grunden är hänförliga till medlemsstaterna är det enligt vår mening i detta sammanhang tillräckligt att i vår nya lag (se avsnitt 12.8.2) enbart referera till medlemsstaterna. 12.8.2Jämförelse med svensk rätt I 33–35 §§ personuppgiftslagen (1998:204) anges följande Förbud mot överföring av personuppgifter till tredje land Det är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller också överföring av person- uppgifter för behandling i tredje land. Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestäm- melselandet och de regler som finns för behandlingen i det tredje landet. Undantag från förbudet mot överföring av personuppgifter till tredje land Det är trots förbudet i 33 § tillåtet att föra över personuppgifter till tredje land, om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig för att a)ett avtal mellan den registrerade och den personuppgifts- ansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b)ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, c)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller d)vitala intressen för den registrerade skall kunna skyddas. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen får meddela föreskrifter om undantag från förbudet i 33 § för överföring av personuppgifter till vissa stater. Regeringen får också meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen eller den myndighet som regeringen bestämmer får vidare meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen får under de förutsättningar som nämns i andra stycket i enskilda fall besluta om undantag från förbudet i 33 §. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. Personuppgiftslagen föreskriver således ett generellt förbud mot överföring av personuppgifter till tredje land, nämligen om landet inte har en adekvat nivå för skyddet av personuppgifterna. Personuppgiftslagen innehåller dock inte något generellt förbud mot överföring av personuppgifter till internationella organ. Flera av de författningar som avser internationellt samarbete (se avsnitt 12.3.1 och kap. 5) innehåller särskilda regler om t.ex. utlämnande av uppgifter till såväl utländska myndigheter som mellanfolkliga organisationer, såsom 5 kap. 1 och 4 §§ lagen (2000:562) om internationell rättshjälp i brottmål, 3 a § lagen (2000:343) om internationellt polisiärt samarbete, 1 kap. 1 § och 2 kap. 6 och 8 §§ lagen (2000:1219) om inter- nationellt tullsamarbete, och I 6 och 7 §§ lagen (2003:1174) om vissa former av interna- tionellt samarbete i brottsutredningar finns enbart bestämmelser om utlämnande av uppgifter till utländska myndigheter. I 10 § första stycket lagen (2000:344) om Schengens informations- system stadgas att en uppgift som behandlas i registret inte får överföras eller göras tillgänglig för ett tredje land eller en interna- tionell organisation. Reglerna är i stort sett utformade på samma sätt. De tillåter att uppgifter lämnas ut om detta följer av en internationell överens- kommelse som har godkänts av eller om en för bindande överenskommelse har träffats med en annan stat. 2008/09:16 s. 43 har – angående svensk rätt jämförd med artikel 13 i dataskyddsrambeslutet – framhållits att de nu nämnda reglerna om förutsättningarna för att föra över uppgifter till tredje land eller till mellanfolkliga organ, inte innehåller begränsningar i den utsträckning som artikel 13 kräver. – I propositionen görs bedömningen att de svenska bestämmelserna om användningsbegränsningar i huvudsak uppfyller dataskydds- rambeslutet i denna del, men anges vidare -- att behovet av lagändringar inom vissa verksamhetsområden kan behöva analyseras närmare. Med beaktande av vad vi ovan anfört om att dataskydds- rambeslutet endast reglerar vidarebehandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (se avsnitt 12.3.2) är det av huvudsakligt intresse för vår bedömning om registerförfattningarna i svensk rätt innehåller motsvarande regler. Vid en jämförelse mellan sistnämnda författningars bestäm- melser och reglerna i artikel 13 dataskyddsrambeslutet, finner vi att svensk rätt inte överensstämmer med dataskyddsrambeslutets angivna användningsbegränsningar. Mot bakgrund härav anser vi att nya bestämmelser med motsvarande begränsningar som finns i artikel 13 ska införas i vår föreslagna nya lag om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (5 §) enligt följande. Personuppgifter som har överförts eller gjorts tillgängliga av en myndighet i en annan medlemsstat får föras över till ett tredje land eller ett internationellt organ om a)det är nödvändigt för att förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, b)mottagaren har ansvar för sådan verksamhet som anges i a), c)den stat från vilken uppgifterna har tagits emot har samtyckt till överföringen, och d)mottagaren har en adekvat skyddsnivå för den avsedda databehandlingen. Uppgifter får föras över utan samtycke enligt första stycket om det är absolut nödvändigt, antingen för att avvärja en omedelbar och allvarlig fara för allmän säkerhet eller för en medlemsstats väsentliga intresse, och ett sådant samtycke inte kan erhållas . Skäl att föra in ytterligare delar av artikel 13 föreligger inte. 12.8.3Närmare om vissa begrepp i artikel 13 I artikel 13 finns regler om hur personuppgifter ska få föras över till tredjestater. I den engelska versionen av dataskyddsrambeslutet anges motsvarande begrepp som third States. I svensk rätt – se 3 § personuppgiftslagen – anges begreppet tredje land som en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Den engelska översättningen av denna term är third countries. Vi anser att det inte finns någon saklig skillnad mellan begreppen och har i våra förslag genomgående använt begreppet tredje land. I artikeln anges vidare hur personuppgifter ska få föras över till internationella organ. I den engelska versionen av dataskyddsram- beslutet anges motsvarande begrepp som international bodies. Allmänt torde en internationell organisation vara en organisation vars verksamhet eller medlemsbas överskrider enskilda nations- och statsgränser. En internationell organisation kan antingen vara mellanstatlig eller icke-statlig. Exempel på mellan- statliga organisationer är Förenade Nationerna och världshandels- organisationen . Exempel på icke-statliga organisationer är Röda Korset och Amnesty, som är så kallade NGO:s (). I svensk rätt förekommer i detta sammanhang ett flertal snarlika begrepp; internationellt organ eller internationell organisation, mellanfolkligt organ eller mellanfolklig organisation. Någon tydlig linje hur begreppen skiljer sig åt är svårt att läsa ut i här aktuella svenska bestämmelser. Detta speglas bl.a. genom att det i den proposition som låg till grund för det preliminära godkännandet av dataskyddsrambeslutet i (prop. 2008/09:16 s. 43) i samma stycke används ett flertal olika begrepp, som regeringen torde avse ha samma innebörd. Personuppgiftslagen innehåller dock inte något generellt förbud mot överföring av personuppgifter till internationella organ. Flera av de författningar som är aktuella innehåller särskilda regler om utlämnande av uppgifter till såväl utländska myndigheter som mellan- folkliga organisationer. Reglerna är i stort sett utformade på samma De tillåter att uppgifter lämnas ut om detta följer av en internationell överenskommelse som har godkänts av eller om en för bindande överenskommelse har träffats med en annan stat. De nu nämnda reglerna om förutsättningarna för att överföra uppgifter till tredjeland eller till mellanfolkliga organ innehåller dock inte begränsningar i den utsträckning som artikel 13 kräver. Bestämmelserna i rambeslutet om förbud mot överföring av uppgifter till tredjeland, internationella organ eller organisationer begränsar rätten att använda uppgifterna. I lagen (1946:818) om bevisupptagning åt internationella organ används begreppet internationella organ. Detta görs också i prop. 2009/10:245 Folkbokföring av personer med anknytning till internationella organ. I flera av ovan nämnda lagar (se avsnitt 12.3.1) och i 2 kap. 8 § lagen (2000:1219) om internationellt tullsamarbete används dock begreppet mellanfolklig organisation. Andra exempel där detta begrepp används är bl.a. i 8 kap. 3 § och 15 kap. 1 § offentlighets- och sekretesslagen (2009:400). Begreppet mellanfolklig organisation används också i 10 kap. 1 § regeringsformen för att beskriva staten förhållande till sådan organisation. Med mellanfolklig organisation i detta sammanhang avses endast organisationer som är rättssubjekt enligt folkrätten, dvs. i huvudsak sådana där stater är medlemmar (kommentar i Karnov). Då olika begrepp förekommer i svensk rätt och i prop. 2008/09:16 ovan har vi i våra förslag till nya bestämmelser och ändringar i gällande svensk rätt valt att använda oss av det begrepp som finns i dataskyddsrambeslutet; nämligen internationella organ. En grundläggande förutsättning enligt artikeln är att överföringen ska ske till behörig myndighet i tredje land. I artikel 2 h) definieras behöriga myndigheter enligt följande. Behöriga myndigheter: byråer eller organ som inrättats genom rätts- akter antagna av rådet enligt avdelning VI i fördraget om Europeiska unionen, samt polismyndigheter, tullmyndigheter, domstolar eller andra behöriga myndigheter i medlemsstaterna som genom nationell lagstiftning är bemyndigade att behandla personuppgifter inom tillämpningsområdet för detta rambeslut. 12.9Överföring till privata parter i medlemsstaterna (artikel 14) Våra förslag och vår bedömning: I den av oss föreslagna nya lagen om användningsbegränsningar vid behandling av person- uppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen införs en bestämmelse om överföring till privata parter i medlemsstaterna (6 §) med följande innehåll. Personuppgifter som har överförts från eller gjorts tillgängliga av en myndighet i en annan medlemsstat får föras över till en privat part i en annan medlemsstat under förutsättning att 1.myndigheten i den medlemsstat från vilken uppgifterna har tagits emot har samtyckt till överföringen, 2.inga berättigade intressen för den som omfattas av uppgifterna hindrar överföringen, och 3.överföringen är absolut nödvändig för att a)utföra en författningsenlig uppgift, b)förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, c)avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller d)förhindra att enskildas rättigheter lider allvarlig skada. Vid överföringen ska mottagaren underrättas om för vilka ändamål uppgifterna uteslutande får användas. Undantaget från innehållet i artikel 14 i dataskyddsram- beslutet som redogörs för i skäl 18 i dataskyddsrambeslutets inledande delar bör inte föras in i vår lag. Artikel 14 i dataskyddsrambeslutet har följande lydelse. Överföring till privata parter i medlemsstaterna Medlemsstaterna ska föreskriva att personuppgifter som överförts från eller gjorts tillgängliga av den behöriga myndigheten i en annan medlemsstat endast får överföras till privata parter om a)den behöriga myndigheten i den medlemsstat från vilken uppgifterna erhållits har samtyckt till överföring i enlighet med sin nationella lagstiftning, b)inga legitima specifika intressen för den registrerade personen hindrar överföringen, och om c) överföringen i särskilda fall är absolut nödvändig för att den behöriga myndighet som överför uppgifterna till en privat part ska kunna i)utföra en uppgift den lagenligen tilldelats, ii)förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, iii)avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller iv)förhindra att enskilda personers rättigheter lider allvarlig skada. 2.Den behöriga myndighet som överför uppgifterna till en privat part ska underrätta denna om för vilka ändamål uppgifterna uteslutande får användas. För vidarebehandling i form av överföring av personuppgifter som har erhållits från en annan medlemsstat till privata parter i medlemsstaterna ställs således enligt artikeln särskilt stränga krav. Överföring är tillåten endast om behörig myndighet i den andra staten har samtyckt till överföring och inga legitima intressen för den registrerade hindrar överföringen samt överföringen i det enskilda fallet är absolut nödvändig för att utföra en författningsenlig uppgift, förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga påföljder, avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller förhindra att enskildas rättigheter lider allvarlig skada. Något av de ovan nämnda skälen ska alltså vara uppfyllda. Enligt artikel 14.2 ska vidare myndigheten – vid överföringen – underrätta mottagaren om för vilket ändamål uppgifterna ute- slutande får användas. En bokstavstolkning av innehållet i artikel 14 – artikelns rubrik privata parter i medlemsstaterna och första stycket får överföras till privata parter – innebär att artikeltexten om överföring av personuppgifter till privata parter skulle kunna tolkas så att den skulle omfatta alla medlemsstater inom Europeiska unionen, inklusive förhållandena inom .