sou · H3B339 · 2015-04-08 00:00:00 — Bedömningen av om skyddsnivån i ett tredjeland är adekvat ska enligt artikel 25.2 ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av upp- gifter. Särskilt ska beaktas uppgiftens art, den eller de avsedda be- handlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rätts- regler som gäller i ifrågavarande tredjeland liksom de regler för yrkes- verksamhet och säkerhet som gäller där. Kommissionen kan besluta att ett tredjeland har en adekvat skyddsnivå. Medlemsstaterna ska se till att kommissionens beslut följs (artikel 25.6). Kommissionen har meddelat ett antal sådana be- slut som omfattar vissa länder eller specificerade mottagare i vissa länder (jfr bilaga 1 till personuppgiftsförordningen). Som exempel kan nämnas kommissionens beslut att en adekvat skyddsnivå upp- nås i genom de principer om integritetsskydd – Privacy Principles – som gäller på frivillig väg genom att organisa- tioner ansluter sig till en uppsättning dataskyddsregler som det amerikanska har utformat. Kommissionen kan också i beslut slå fast att tredjeland inte erbju- der en adekvat skyddsnivå (artikel 25.4). I artikel 26 föreskrivs vissa undantag som innebär att överföring till tredjeland kan få ske trots att det tredjelandet inte har en adekvat skyddsnivå för personuppgifterna. Motsatsvis gäller således ett för- bud mot överföring, dvs. om skyddsnivån inte är adekvat och något undantag inte gäller. Undantag från förbudet gäller enligt artikel 26.1 om a)den registrerade otvetydigt har samtyckt till den planerade över- föringen, b)överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den registeransvarige eller för att på den regi- strerades begäran genomföra åtgärder som vidtas innan avtalet ingås, c)överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den registeransvarige och tredje man i den registrerades intresse, d)överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gäll- ande eller försvara rättsliga anspråk, e)överföringen är nödvändig för att skydda intressen som är av avgörande betydelse för den registrerade, eller f)överföringen görs från ett offentligt register som enligt lagar eller andra författningar är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstiftningen angivna villkoren för tillgänglighet uppfylls i det enskilda fallet. I punkt 58 i ingressen till direktivet anges internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter eller mellan socialförsäkringsmyndigheter som exempel på viktiga allmänna in- tressen. Därutöver får en medlemsstat enligt artikel 26.2 tillåta överför- ing av personuppgifter till ett tredjeland som inte säkerställer en skyddsnivå som är adekvat, om den registeransvarige ställer tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av motsvarande rättig- heter. Sådana garantier kan framgå av lämpliga avtalsklausuler. Kommissionen kan med bindande verkan för medlemsstaterna be- sluta att vissa standardavtalsklausuler erbjuder tillräckliga garantier (artikel 26.4). Så har också skett, bl.a. i fråga om överföring av per- sonuppgifter till personuppgiftsbiträden i tredjeland (jfr bilaga 2 till personuppgiftsförordningen). Dataskyddsdirektivets bestämmelser om överföring till tredjeland har genomförts i genom 33–35 §§ PuL samt genom ytter- ligare bestämmelser i personuppgiftsförordningen. I förarbetena till personuppgiftslagen framhölls att direktivets bestämmelser om över- föring till tredjeland är detaljerade och komplicerade. En mer kom- plicerad reglering än vad som var nödvändigt borde därför inte införas i lagstiftningen (prop. 1997/98:44 s. 95 f.). Det bedömdes därvid som nödvändigt att i personuppgiftslagen införa ett förbud mot överföring till tredjeland liksom de konkreta undantag från förbudet som räknas upp i direktivet. Vidare har regeringen eller den myndighet regeringen bestämmer, dvs. Datainspektionen, be- myndigats att meddela föreskrifter om ytterligare undantag från förbudet mot överföring. Den ursprungliga regleringen i personuppgiftslagen ändrades genom att förbudet modifierades till att bara gälla fall då det saknas en adekvat skyddsnivå i det tredjelandet (prop. 1999/2000:11). Ändringen syftade till att skapa ökat utrymme för användning av internet och andra elektroniska kommunikations- nätverk såsom e-post. I 33 § första stycket PuL anges huvudregeln. Den föreskriver ett förbud mot överföring av personuppgifter som är under behandling till tredjeland som inte har en adekvat nivå för skyddet av person- uppgifter. Förbudet avser även överföring av personuppgifter för behandling. Bestämmelsen överensstämmer i sak med artikel 25.1 i direktivet dock att den föreskriver ett förbud i stället för att, såsom i direktivet, ange under vilka förutsättningar överföring kan tillåtas. I 33 § andra stycket PuL anges hur frågan om adekvat skydds- nivå ska bedömas. Detta ska ske med hänsyn till samtliga omstän- digheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behand- lingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredjelandet. Huruvida det finns en adekvat skyddsnivå ska alltså bedömas beroende på omständigheterna i det enskilda fallet. Det har ansetts att skyddsnivån kan vara adekvat även om dataskydd helt saknas i det tredjelandet, nämligen om det beroende på omständigheterna inte finns något behov av skydd. Ett tredjeland kan vidare ha adekvat skydd på något område men inte på andra (prop. 1999/2000:11 s. 15 f.). Klart är att, som bestämmelsen i 33 § andra stycket formulerats, det ankommer på den personuppgiftsansvarige att i det enskilda fallet göra en bedömning av skyddsnivån med ledning av de faktorer som anges i bestämmelsen. Den person- uppgiftsansvarige anses ha bevisbördan för att skyddsnivån i det tredjelandet är adekvat (a. prop. s. 20). Det bör dock framhållas att överföring av personuppgifter till ett tredjeland inte per automatik är en tillåten personuppgifts- behandling bara därför att tredjelandet har en adekvat skyddsnivå. Behandlingen som sådan måste vara tillåten också enligt person- uppgiftslagens övriga bestämmelser, exempelvis vara förenlig med de grundläggande kraven i 9 §, vara tillåten med stöd av någon av de rättsliga grunderna i 10 § och omfattas av tillräckliga säkerhets- åtgärder enligt 31 §. Enligt 34 § första stycket PuL är överföring trots avsaknad av adekvat skyddsnivå tillåten om den enskilde har lämnat sitt sam- tycke till överföringen eller om överföringen är nödvändig för att a)ett avtal mellan den registrerade och den personuppgiftsansva- rige ska kunna fullgöras eller åtgärder som den registrerade be- gärt ska kunna vidtas innan ett avtal träffas, b)ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse ska kunna ingås eller fullgöras, c)rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller d)vitala intressen för den registrerade ska kunna skyddas. I dessa fall krävs således inte att det finns någon adekvat skydds- nivå för personuppgifterna i mottagarlandet. Bestämmelserna i 34 § första stycket är avsedda att ha samma innebörd som artikel 26.1 i direktivet. Det kan dock noteras att det inte finns någon uttrycklig motsvarighet till direktivets undantag i 26.1 punkt f vilket torde sammanhänga med att den typ av offentliga register som där avses regleras i särskilda registerförfattningar som har företräde framför personuppgiftslagen enligt 2 § PuL. Vidare har artikel 26.1 punkt d om överföring av skäl som rör viktiga allmänna intressen genom- förts på så sätt att regeringen, eller den myndighet regeringen be- stämmer, getts befogenhet att meddela undantag om det behövs med hänsyn till ett viktigt allmänt intresse (35 § andra stycket PuL). I 34 § andra stycket anges att det är tillåtet att överföra per- sonuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Bestämmelsen har ingen mot- svarighet i direktivet. Bakgrunden till bestämmelsen är att till följd av artikel 12 i konventionen inte av integritetsskyddsskäl får hindra att personuppgifter förs över till en annan konventionsstat för att användas där. I förarbetena anförs att konventionsstater får anses ha sådan adekvat skyddsnivå som krävs enligt direktivet (prop. 1997/98:44. s. 96). Enligt 35 § första stycket PuL får regeringen meddela ytterligare föreskrifter om undantag från förbudet i 33 §. Det gäller dels före- skrifter om undantag för överföring av personuppgifter till vissa stater, dels föreskrifter om att överföring av personuppgifter till tredjeland är tillåten om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Rege- ringen har i 13 § PuF meddelat bestämmelser med stöd av 35 § PuL. Av 13 § första stycket 1 PuF följer att överföring till tredjeland får ske om och i den utsträckning kommissionen i enlighet med arti- kel 25.6 i direktivet har beslutat att ett land eller specificerade mot- tagare i ett land har en adekvat skyddsnivå. Kommissionens beslut anges i bilaga 1 till personuppgiftsförordningen. Enligt 13 § första stycket 2 får överföring ske med tillämpning av avtal med sådana standardavtalsklausuler som kommissionen har beslutat om enligt artikel 26.4 i direktivet. Dessa beslut anges i bilaga 2 till personupp- giftsförordningen. I 35 § andra stycket PuL anges vidare att regeringen får meddela föreskrifter om undantag från förbudet i 33 § om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen har genom 14 § PuF vidaredelegerat föreskriftsrätt till Datainspektionen som får meddela föreskrifter om undantag om det finns tillräckliga garantier till skydd för de registrerades intresse. Däremot har Data- inspektionen inte bemyndigats att meddela föreskrifter om undantag som kan behövas med hänsyn till ett viktigt allmänt intresse. I 12 § PuF finns vidare bestämmelser som ger kommuner, lands- ting och kommunalförbund rätt att under vissa förutsättningar över- föra personuppgifter till tredjeland på grund av ett viktigt allmänt intresse. Av paragrafen följer att diarium enligt 5 kap. 2 § OSL samt kallelse till, kungörelse om och justerat protokoll från samman- träde i fullmäktige eller nämnd får med vissa undantag överföras till tredjeland. Syftet med bestämmelsen, som trädde i kraft den 1 janu- ari 2001, var att underlätta för kommuner att publicera personupp- gifter på internet. Det kan diskuteras i vilken mån regleringen nu- mera har någon egentlig praktisk betydelse (jfr dom i mål C-101/01, se nedan). Enligt 35 § tredje stycket PuL får regeringen i enskilda fall besluta om undantag under de förutsättningar som nämns i paragrafens andra stycke. Regeringen kan också överlåta åt tillsynsmyndigheten att fatta sådana beslut. Datainspektionen har genom 14 § PuF getts möj- lighet att fatta sådana beslut i enskilda fall förutsatt att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Förbudet och undantagsbestämmelserna rörande överföring av personuppgifter till tredjeland hör till de regler i personuppgifts- lagen som räknas upp i den s.k. missbruksregeln i 5 a §. Det innebär att 33 och 34 §§ inte behöver tillämpas på behandling av person- uppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter, dvs. behand- ling i ostrukturerat material, och som inte heller är kränkande. I motiven till 5 a § PuL anfördes när det gäller överföring till tredjeland att man i princip skulle kunna hävda att en överföring av personuppgifter i ostrukturerat material, som inte innefattar ett missbruk av personuppgifterna, innebär en överföring till ett land med adekvat skyddsnivå, eftersom, med hänsyn till omständig- heterna vid överföringen, någon särskild skyddsnivå inte krävs i det mottagande landet. En sådan överföring skulle därmed vara tillåten redan enligt gällande rätt (dvs. 33 §). , på vars förslag missbruksregeln bygger, hade emellertid ansett att stöd för att göra undantag från överföringsförbudet för ostruk- turerat material i första hand borde hämtas i artikel 26.1 d. Enligt den artikeln kan överföring till tredjeland utan adekvat skyddsnivå tillåtas om det är nödvändigt av t.ex. skäl som rör viktiga allmänna intressen. Hantering av personuppgifter i ostrukturerat material, t.ex. i form av löpande text och ljud- och bildupptagningar, kan ha betydelse för bl.a. utnyttjandet av yttrande- och informationsfriheten som kan anses vara en fri- och rättighet. Att fri- och rättigheter kan utövas i samhället är naturligtvis ett allmänt intresse och dessutom ett viktigt sådant. Regeringen anförde att oavsett vilket synsätt man anlägger på frågan blir slutsatsen densamma; en överföring till tredje- land av personuppgifter i ostrukturerat material, som inte innefattar ett missbruk av personuppgifterna, står inte strid med direktivet (prop. 2005/06:173 s. 35). I likhet med dataskyddsdirektivet reglerar förslaget till förordning under vilka förutsättningar personuppgifter får överföras till tredje- land. Bestämmelserna finns samlade i artiklarna 40–45. Den före- slagna regleringen innebär en vidareutveckling av motsvarande reg- lering i dataskyddsdirektivet. En nyhet är att bestämmelserna även gäller överföring till en internationell organisation utanför EU (arti- kel 40). Regleringen är förhållandevis detaljerad och i det följande redovisas bara sådant som bedömts vara av särskilt intresse för vårt arbete. Liksom i dataskyddsdirektivet är det enligt artikel 41 i förord- ningen ett grundläggande krav för sådan överföring att det mottag- ande tredjelandet säkerställer en adekvat skyddsnivå för uppgift- erna. Det är kommissionen som ska besluta om ett tredjeland upp- fyller detta krav eller inte. Sådana beslut får direkt verkan i med- lemsstaterna. De kriterier utifrån vilka kommissionen ska göra denna bedömning har utvidgats i förhållande till direktivet till att omfatta bl.a. rättsstatsprincipen, tillgången till rättslig prövning och obero- ende tillsyn i mottagarlandet. Har kommissionen inte fattat något beslut i frågan om adekvat skyddsnivå, finns det möjlighet att överföra uppgifter till tredjeland om vissa juridiskt bindande skyddsåtgärder vidtas, som t.ex. använd- andet av vissa godkända standardbestämmelser om uppgiftsskydd. Detta följer av artikel 42 som alltså bygger på artikel 26.4 i direk- tivet. En nyhet är emellertid att standardiserade uppgiftsskydds- bestämmelser kan antas inte bara av kommissionen utan även av en nationell tillsynsmyndighet i en medlemsstat och av kommissionen sedan förklaras vara allmänt giltiga. En registeransvarig eller register- förare kan vidare överföra personuppgifter efter godkännande från en tillsynsmyndighet av avtalsklausuler mellan den registeransvarige eller registerföraren och mottagaren av uppgifterna. Artikel 44 innehåller bestämmelser om överföring då det varken finns adekvat skyddsnivå enligt artikel 41 eller lämpliga skyddsåtgär- der enligt artikel 42. Bestämmelserna motsvarar i huvudsak arti- kel 26.1 i direktivet, dock med några justeringar och tillägg. Det ska även fortsättningsvis vara tillåtet med överföring om den registrerade samtyckt till överföringen. Dock krävs enligt arti- kel 44.1 a att den registrerade först har blivit informerad om de risker en överföring kan medföra när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder. Vidare får enligt artikel 44.1 d överföring ske om den bedöms gynna viktiga sam- hälleliga intressen. Allmänhetens intresse får dock bara åberopas om intresset har stöd i unionslagstiftning eller i den medlemsstats lagstiftning som är tillämplig på den registeransvarige (artikel 44.5). Dessutom föreskrivs att kommissionen får anta delegerade akter i syfte att precisera villkoren för vad som bedöms ”gynna viktiga sam- hälleliga intressen” (artikel 44.7). Enligt artikel 44.4 gäller bestämmelserna om undantag för det som motsvarar artikel 26.1 b och c i direktivet (34 § första stycket a och b PuL) inte åtgärder som vidtas av offentliga myn- digheter som en del av deras offentliga befogenheter. Liksom i dataskyddsdirektivet föreskrivs undantag i fråga om överföring från ett register som enligt unionens eller medlemsstatens lagstiftning är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i unions- lagstiftningen eller medlemsstatens lagstiftning angivna villkoren för tillgänglighet uppfylls i det enskilda fallet, artikel 44.1. g. Enligt artikel 44.2 får inte överföringen omfatta alla personuppgifter eller hela kategorier av personuppgifter som finns i registret. Om registret är avsett att vara tillgängligt för personer med ett berättigat intresse ska överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. Ett nytt undantag föreslås i artikel 44.1 h enligt vilket överföring under vissa begränsade omständigheter får ske för att tillgodose den registeransvariges berättigade intressen. Det undantaget ska dock inte vara tillämpligt på åtgärder som vidtas av offentliga myndigheter som en del av deras offentliga befogenheter. har vid sin behandling av förordningen lämnat ett mindre antal ändringsförslag i regleringen av överföring till tredje- land. Av intresse här är närmast att parlamentet strukit förslaget i 44.7 om att kommissionen ska kunna anta delegerade akter om villkoren för vad som kan bedömas gynna samhälleliga intressen. I stället föreslås att Europeiska dataskyddsstyrelsen ska anförtros uppgiften att utfärda riktlinjer, rekommendationer och ”best prac- tices”. Vidare föreslår parlamentet att förslaget om ett nytt undan- tag från förbudet mot överföring till tredjeland efter en intresse- bedömning utgår, se ovan angående artikel 44.1 h. Många av de föreslagna bestämmelserna om överföring av person- uppgifter till tredjeland företer alltså stora likheter med dataskydds- direktivet. Men det finns också betydande skillnader. En väsentlig sådan är att kommissionen föreslås få en exklusiv behörighet att göra bedömningar av vad som utgör adekvat skyddsnivå i tredje- land. Den personuppgiftsansvariges möjlighet att göra en egen be- dömning utifrån regleringen i 33 § PuL och de faktorer som där anges ska beaktas tycks helt upphöra. Likaså medför förslaget till förordning att det inte kommer att finnas något utrymme att ut- forma nationell lagstiftning om överföring av personuppgifter till tredjeland utifrån bedömningar av vilken adekvat skyddsnivå som krävs för olika fall. När det gäller undantaget för överföring för det som i direktivet benämns viktiga allmänna intressen men som i förordningen uttrycks med att överföringen bedöms gynna viktiga samhälleliga intressen går det knappast att dra några säkra slutsatser om i vilken mån den nya ordalydelsen innebär någon förändring i sak. Någon tydlig av- sikt till ändring av tillämpningsområdet går i vart fall inte att utläsa av förslaget. Den föreslagna bestämmelsen i artikel 44.5 om att allmänhetens intresse enligt 44.1 d bara får åberopas om det har stöd i unionslag- stiftningen eller i den medlemsstat lagstiftning som är tillämplig på den registeransvarige torde, liksom , möjliggöra nationell lag- stiftning om direkta undantag från överföringsförbudet med hän- syn till det angivna intresset. 12.2Vad avses med begreppet överföring? Som har framgått omfattar överföringsförbudet både personupp- gifter som är under sådan behandling som omfattas av personupp- giftslagens tillämpningsområde, dvs. behandling som är helt eller delvis automatiserad eller sker i register, och personupp- gifter som är avsedda att behandlas i mottagarlandet. I den engelska versionen av direktivet uttrycks detta med att det ska handla om ”transfer to a third country of personal data which are undergoing processing or are intended for processing after transfer”. Det saknas vägledande avgöranden i rättspraxis om vad som rent faktiskt är att se som överföring. I litteraturen har det förts viss diskussion om vad som ska förstås med begreppet. I vilken mån det ska ses som en överföring att befinna sig i ett tredjeland och där ha elektronisk tillgång till personuppgifter som ”finns” i hemlandet är t.ex. oklart. Vad som ska anses gälla om en företrädare för en per- sonuppgiftsansvarig rent fysiskt tar med sig personuppgifter, t.ex. i en bärbar dator, på en tillfällig resa till tredjeland är också omdisku- terat. Enligt vår uppfattning är det emellertid en rimlig tolkning att det knappast kan vara fråga om en överföring av personuppgifter till tredjeland bara genom att en person befinner sig utanför EU/EES med personuppgifter i sin besittning. Det krävs rimligen i vart fall en avsikt att personuppgifterna ska nå en mottagare i tredjeland för att det ska vara fråga om en överföring i lagens mening. Det är en annan sak, menar vi, att ”medförande” av personuppgifter till tredjeland kräver särskilda överväganden när det gäller upprätt- hållandet av tillräcklig säkerhet till skydd för personuppgifterna. Hur rekvisitet ”under behandling” ska förstås är också oklart. Definitionen i 3 § PuL av begreppet behandling av personuppgifter är vidsträckt. I princip alla slags åtgärder omfattas av begreppet. Det synsättet kunde därför anläggas att rekvisitet ”under behand- ling” rimligen bör kopplas till det slags behandling som omfattas av personuppgiftslagens tillämpningsområde såsom detta anges i 5 § PuL. Det skulle då alltså – bortsett från vissa register – bara vara personuppgifter som behandlas helt eller delvis automati- serat, dvs. elektroniskt, som alls träffas av regleringen. Huruvida man sedan bör betrakta själva överföringen som en separat behand- ling, skild från den behandling som annars äger rum hos den person- uppgiftsansvarige, är en annan sak. Om utskrifter av personuppgifter skickas i pappersform per post så kunde det i så fall hävdas att det inte är fråga om en över- föring i nu aktuell mening, förutsatt att överföringen inte syftar till automatiserad behandling i mottagarlandet. Vid en sådan över- föring är uppgifterna nämligen inte ”under behandling” på sätt som anges i 33 § första stycket första meningen PuL (jfr artikel 25.1 i direktivet). Om syftet däremot är att personuppgifterna i pappers- handlingarna ska föras över till ett manuellt register, till dator eller på annat sätt behandlas elektronisk i mottagarlandet skulle det däremot vara fråga om överföring till tredjeland i personuppgifts- lagens och direktivets mening så länge uppgifterna överförs i detta syfte, dvs. ”för behandling”. Ett exempel kan vara enkätundersök- ningar med personuppgifter där svarsblanketter på papper skickas till tredjeland för statistisk bearbetning och analys i elektronisk form. Även beträffande 33 § första stycket andra meningen skulle man alltså måhända kunna anlägga det synsättet att med behandling avses sådan behandling som omfattas av 5 § – helt eller delvis auto- matiserad sådan eller i register – snarare än vad som faller in under definitionen av behandling i 3 §. Men det kan alltså också förhålla sig på det viset att med ”behand- ling” ska förstås detsamma som anges i 3 § PuL.