sou · H5B339 · 2017-05-12 00:00:00 — Bestämmelsen har, liksom 8 kap. 3 §, sin grund i artikel 78.2 i dataskyddsförordningen. Av paragrafens första stycke följer att en registrerad som har lämnat in ett klagomål till tillsynsmyndigheten skriftligen får begära besked i ärendet, om tillsynsmyndigheten inte har behandlat klagomålet. ska då antingen lämna besked i frågan om myndigheten avser att utöva tillsyn med anledning av klagomålet eller i ett särskilt beslut avslå den registrerades begäran om besked. En begäran om besked ska vara skriftlig, men skriftlighetskravet är teknikoberoende. Det förutsätter endast att framställningen görs i en form som är läsbar för myndigheten. Det kan ske både i elektronisk form och på papper. Om en begäran görs muntligen – per telefon eller vid en personlig inställelse på myndigheten – är bestämmelsen alltså inte tillämplig. I ett sådant fall bör myndigheten dock, i enlighet med bestämmelserna i förvaltningslagen om myndigheternas service- skyldighet, upplysa parten om formkravet. Det är bara framställningar som görs har förflutit efter det att klagomålet lämnades in som måste beaktas vid tillämpningen av denna bestämmelse. Om en begäran om besked i ärendet görs innan denna spärrtid har passerat behöver tillsynsmyn- digheten alltså inte ta ställning till begäran på det sätt som anges i bestämmelsen. Begäran kan då i stället avvisas. Ett besked om att tillsynsmyndigheten avser att utöva tillsyn behöver inte innebära att tillsynsmyndigheten kommer att vidta någon av de korrigerande åtgärderna i artikel 58.2 i förordningen. utövar tillsyn även när den vidtar sådana utredningsåtgärder som avses i artikel 58.1, som till exempel att beor- dra den personuppgiftsansvarige att lämna information rörande behandlingen av personuppgifter. möjlighet att, i stället för att lämna besked, avslå den registrerades begäran ska användas restriktivt. Beslut om avslag bör fattas endast i de fall då ytterligare handläggningstid är motiverad av sakliga skäl som är kopplade till det aktuella ärendet. En sådan situation kan till exempel uppstå om samma sakfråga som den som klagomålet gäller, men rörande en annan personuppgiftsansvarig, är föremål för domstols- prövning och utgången i målet är oviss. beslut att avslå en begäran om besked får överklagas av den registrerade enligt 8 kap. 3 §. Av andra stycket följer att tillsynsmyndigheten från den dag då begäran kom in antingen ska lämna besked eller i ett särskilt beslut avslå begäran. Myndigheten kan alltså inte välja att förhålla sig helt passiv. Eftersom beslutet ska kunna överklagas är det lämpligt att myndigheten dokumenterar beslutet skriftligt och anger skälen för detta. Om tillsynsmyndigheten har avslagit en begäran om besked föl- jer det av tredje stycket att den registrerade inte kan påkalla ett nytt besked i samma ärende förrän . Om en förnyad begäran kommer in till tillsynsmyndigheten innan denna spärrtid har förflutit, ska tillsynsmyndigheten avvisa den nya begä- ran. Ett sådant avvisningsbeslut får inte överklagas enligt 8 kap. 3 §, jfr 8 kap. 5 §. 1 § Sanktionsavgift får tas ut av en myndighet vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 i dataskyddsförordningen, varvid artikel 83.1, 83.2 och 83.3 i förordningen ska tillämpas. Vid överträdelser som avses i artikel 83.4 i dataskyddsförordningen ska avgiften bestämmas till högst och annars till högst . Paragrafen innebär att sanktionsavgifter enligt förordningen kan tas ut även av myndigheter, och anger de övre beloppsgränser som gäller i sådana fall. Paragrafen har ingen motsvarighet i person- uppgiftslagen. Övervägandena finns i avsnitt 18.5.3. Bestämmelserna i paragrafen har sin grund i artikel 83.7 i data- skyddsförordningen, enligt vilken varje medlemsstat får reglera om och i vilken utsträckning det ska vara möjligt att besluta om sank- tionsavgifter mot offentliga myndigheter och organ. Bestämmelsen i första stycket innebär att den reglering avseende påförande av sanktionsavgifter som finns i artikel 83.1–3 i för- ordningen gäller vid beslut även mot myndigheter. Avgiftens storlek i det enskilda fallet ska alltså bestämmas med beaktande av vad som stadgas där, men inom de beloppsmässiga ramar som fram- går av bestämmelsen i andra stycket. 2 § Sanktionsavgift får tas ut vid överträdelser av artikel 10 i data- skyddsförordningen, varvid artikel 83.1, 83.2 och 83.3 i förordningen ska tillämpas. Avgiftens storlek ska bestämmas med tillämpning av arti- kel 83.5 i förordningen. Paragrafen, som innebär att administrativa sanktionsavgifter kan påföras även avseende överträdelser mot förordningens reglering av behandling av uppgifter om lagöverträdelser m.m. i artikel 10, sak- nar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 18.6.4. Det framgår av artikel 83.4–6 i dataskyddsförordningen att någon möjlighet att påföra sanktionsavgifter vid överträdelser mot artikel 10 inte följer direkt av förordningen. Bestämmelsen medför att samma reglering för sanktionsavgifter ska gälla som enligt förordningen, och att det är den övre beloppsgränsen enligt artikel 83.5 i förordningen som gäller för sådana överträdelser. Det bör noteras att enligt artikel 10 får myndigheter behandla personuppgifter som rör lagöverträdelser. Det blir därmed inte aktu- ellt att ta ut sanktionsavgift av en myndighet enligt denna paragraf. 3 § Sanktionsavgift får inte beslutas, om den som avgiften ska tas ut av inte har fått tillfälle att yttra sig enligt 6 kap. 3 § från den dag då överträdelsen ägde rum. Paragrafen, som saknar motsvarighet i personuppgiftslagen, inne- bär att det finns en bortre tidsgräns för när sanktionsavgift får beslutas. Övervägandena finns i avsnitt 19.5.3. Bestämmelsen innebär att om kommunikation enligt 6 kap. 3 § inte har skett mot den som ska påföras avgiften från överträdelsen, får den inte beivras. Bevisbördan för att kommu- nikation har skett åligger tillsynsmyndigheten, vilket i praktiken innebär att underrättelsen bör delges. Tidsfristen börjar löpa när behandlingen upphör. Så länge otillåten eller felaktig behandling pågår är det fråga om en pågående överträdelse. Den i paragrafen angivna tiden förskjuts då framåt så länge behandlingen pågår. 4 § En sanktionsavgift som beslutats enligt dataskyddsförordningen eller denna lag tillfaller staten. Paragrafen, som saknar motsvarighet i personuppgiftslagen, föreskri- ver att sanktionsavgifter som tas ut enligt dataskyddsförordningen eller denna lag ska tillfalla staten. Övervägandena finns i av- snitt 18.7.1. 1 § Rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller även vid överträdelser av bestämmelser i denna lag och andra författningar som kompletterar dataskyddsförordningen. Paragrafen avser rätten till skadestånd vid överträdelser av bestäm- melser om behandling av personuppgifter som kompletterar data- skyddsförordningen. Bestämmelsen saknar motsvarighet i person- uppgiftslagen. Övervägandena finns i avsnitt 19.3.3. Bestämmelsen, som har sin grund i förordningens artikel 82 och skäl 146, upplyser om att den rätt till ersättning som regleras i dataskyddsförordningen även gäller vid överträdelser av de bestäm- melser om behandling av personuppgifter som finns i lagen och i andra författningar som kompletterar dataskyddsförordningen. 2 § Beslut enligt artiklarna 12.5, 15–19 eller 21 i dataskyddsförord- ingen som har meddelats av en myndighet i egenskap av personupp- giftsansvarig får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Första stycket gäller inte beslut av , regeringen, Högsta domstolen, eller ombudsmän. Paragrafen reglerar rätten att överklaga beslut som en personupp- giftsansvarig myndighet meddelar med anledning av att en registrerad utövar sina rättigheter enligt dataskyddsförordningen. Paragrafen, som har sin grund i allmänna förvaltningsrättsliga principer, mot- svarar i sak 52 § PUL. Övervägandena finns i avsnitt 19.3.3. 3 § beslut att avslå en begäran om besked enligt 6 kap. 5 § får överklagas till allmän förvaltningsdomstol. Om domstolen bifaller överklagandet, ska den förelägga tillsyns- myndigheten att inom en bestämd tid lämna besked till den registrerade i frågan om tillsyn kommer att utövas. Domstolens beslut får inte överklagas. Paragrafen reglerar rätten till dröjsmålstalan i domstol avseende tillsynsmyndighetens handläggning av ett klagomål. Bestämmelsen saknar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 19.7.3. Bestämmelsen har, liksom 6 kap. 5 §, sin grund i artikel 78.2 i data- skyddsförordningen. Av första stycket i paragrafen följer att tillsyns- myndighetens beslut att avslå en begäran om besked rörande hand- läggningen av ett klagomål får överklagas till förvaltningsrätten. Beslut att avvisa en begäran om besked, till exempel på grund av att spärrtiden enligt 6 kap. 5 § första eller tredje stycket inte har löpt ut, får däremot inte överklagas. I andra stycket anges att domstolen, om den bifaller överkla- gandet, ska förelägga tillsynsmyndigheten att lämna besked i ären- det. Domstolen ska alltså inte pröva om klagomålet till tillsyns- myndigheten är befogat, utan endast ta ställning till om handlägg- ningstiden hos tillsynsmyndigheten är berättigad och motiverad. Domstolens beslut med anledning av den registrerades dröjsmåls- talan får enligt tredje stycket inte överklagas. 4 § beslut enligt dataskyddsförordningen och enligt 7 kap. 1 och 2 §§ denna lag får överklagas till allmän förvalt- ningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen avser rätten att överklaga tillsynsmyndighetens beslut enligt dataskyddsförordningen samt om administrativa sanktions- avgifter enligt lagen. Bestämmelsen har sin grund i artikel 78.1 i data- skyddsförordningen och motsvarar 51 § och 53 § andra stycket PUL. Övervägandena finns i avsnitt 19.7.3. 5 § Beslut enligt 2 kap. 5 § andra stycket, 3 kap. 6 § tredje stycket och 3 kap. 10 § denna lag får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen avser rätten att överklaga sådana beslut i enskilda fall som den myndighet som regeringen bestämmer meddelar avseende behandling av personuppgifter för arkivändamål av allmänt intresse samt avseende behandling av personuppgifter som rör lagöverträ- delser. Bestämmelsen har sin grund i allmänna förvaltningsrättsliga principer. Övervägandena finns i avsnitt 19.8. 6 § Andra beslut enligt denna lag än de som avses i 2–5 §§ och 6 kap. 2 § får inte överklagas. Paragrafen avser överklagande och motsvarar i sak 53 § PUL. Övervägandena finns i avsnitt 19.8. Bestämmelsen innebär att tillsynsmyndighetens beslut att avvisa eller avskriva en begäran om besked enligt 6 kap. 5 § inte får över- klagas. Beslut att meddela föreskrifter med stöd av bemyndigandena i lagen får inte heller överklagas. 22.2Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) 27 § Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretess- belagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Första stycket gäller inte i fråga om sekretess enligt 24 kap. 2 a och 8 §§, 25 kap. 1–8 §§, 26 kap. 1–6 §§, 29 kap. 1 och 2 §§, 31 kap. 1 § första stycket, 2 och 12 §§, 33 kap. 2 §, 36 kap. 3 § samt 40 kap. 2 och 5 §§. Första stycket gäller inte heller om utlämnandet strider mot lag eller förordning. Paragrafen behandlas i avsnitt 17.6.2. Den reglerar utlämnande av uppgifter som omfattas av sekretess mellan myndigheter i fall då det saknas uttryckliga sekretessbrytande regler. Ändringen innebär att tredje styckets hänvisning till föreskrifter som har meddelats med stöd av personuppgiftslagen stryks. Tredje styckets hänvisning till lag eller förordning innefattar också EU-förordningar. Detta medför att ett utlämnande till annan myndighet som strider mot dataskyddsförordningen eller dataskydds- lagen inte kan ske med stöd av generalklausulen. Behandling i strid med dataskyddsregleringen 7 § Sekretess gäller för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), i den ursprungliga lydelsen, eller lagen (2018:xx) med kompletterande bestäm- melser till EU:s dataskyddsförordning. Paragrafen behandlas i avsnitt 17.5.2. Ändringen innebär dels ett förtydligande av att prövningen enligt denna bestämmelse gäller den behandling som kommer att ske efter ett eventuellt utlämnande, dels att hänvisningen till personuppgiftslagen ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. En konsekvens av att hänvisningen inte enbart avser nationell rätt är att utlämnanden till utländska mottagare som omfattas av dataskyddsförordningens tillämpningsområde också omfattas av sekretessbestämmelsen. I övrigt är äldre förarbetsuttalanden relevanta även fortsättningsvis. Hänvisningen till dataskyddsförordningen i denna paragraf är statisk, dvs. avser den ursprungliga lydelsen av förordningen. 5 § Sekretess gäller för uppgift om en enskilds personliga eller ekono- miska förhållanden i verksamhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning av sådana personuppgifter som avses i artikel 4.1 i och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Paragrafen behandlas i avsnitt 17.7.2. Ändringen innebär att hänvis- ningen till personuppgiftslagen ersätts med en hänvisning till data- skyddsförordningen. Hänvisningen till förordningen medför att förordningens defini- tion av personuppgifter blir avgörande för sekretessens räckvidd. I övrigt är tidigare förarbetsuttalanden relevanta även fortsättningsvis. Av dessa framgår följande. Sekretessen gäller hos en myndighet som behandlar personuppgifter såväl då det är fråga om bearbetning eller lagring för enskildas räkning som då det gäller bearbetning eller lag- ring av en annan myndighets personuppgifter. Med teknisk bearbet- ning avses t.ex. att myndigheten scannar in text på papper för att lagra elektroniskt. Teknisk lagring avser alla former av lagring som kräver särskilda tekniska anordningar, t.ex. lagring av information på hård- disk eller i molntjänster. Personuppgifter som förvaras hos en arkiv- myndighet anses normalt inte tekniskt lagrade för någon annans räkning. Sekretessen enligt paragrafen är absolut. Tryckfrihetsförordning- ens reglering i 2 kap. 10 § första stycket innebär dock att handlingar som förvaras hos en myndighet endast som ett led i teknisk bearbetning eller lagring inte är att anse som allmänna handlingar där. Det innebär i sin tur att bestämmelsen i 40 kap. 5 § OSL inte har någon praktisk betydelse för utlämnande av uppgifter i allmänna handlingar, utan endast fyller funktionen av en tystnadspliktsbestäm- melse som hindrar utlämnande på myndighetens eller befattnings- havarens eget initiativ. Hänvisningen till dataskyddsförordningen i denna paragraf är dynamisk, dvs. avser den gällande definitionen av personuppgiftsbegreppet i förordningen. förväntas EU besluta om en förordning som utgör en ny generell reglering för personuppgiftsbehandling inom EU. En sär- skild utredare ska föreslå de anpassningar och kompletterande för- fattningsbestämmelser på generell nivå som denna förordning ger anledning till. Syftet är att säkerställa att det finns en ändamålsenlig och välbalanserad kompletterande nationell reglering om personupp- giftsbehandling på plats när förordningen börjar tillämpas. •undersöka vilka kompletterande nationella föreskrifter, exem- pelvis processuella bestämmelser, som förordningen kräver, •analysera vilka bestämmelser om administrativa sanktionsavgif- ter och andra sanktioner som behöver eller bör införa, •överväga vilka kompletterande bestämmelser om t.ex. behandling av känsliga personuppgifter och personnummer som bör införas i den svenska generella regleringen, •undersöka om det finns behov av generella bestämmelser för per- sonuppgiftsbehandling utanför tillämpningsområde, och •lämna sådana författningsförslag som är behövliga och lämpliga. I uppdraget ingår inte att överväga eller lämna förslag till grund- lagsändringar. Uppdraget ska redovisas . Den nuvarande och den nya regleringen Dataskyddsdirektivet – den nuvarande EU-regleringen Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseen- de på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av per- sonuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet gäller inte för behandling av personupp- gifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straff- rättens område. Personuppgiftslagen – den nuvarande svenska regleringen Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. Bestämmel- serna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av person- uppgifter. Personuppgiftslagen följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. per- sonuppgiftsansvar, grundläggande krav för behandling av person- uppgifter, information till den registrerade, skadestånd och straff. Personuppgiftslagen är tillämplig även utanför område och gäller både för myndigheter och enskilda som behandlar person- uppgifter. Personuppgiftslagen är subsidiär vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestämmelser i s.k. särskilda registerförfattningar som främst reglerar hur olika myndigheter får behandla personuppgifter, t.ex. studiestödsdatalagen (2009:287) och polisdatalagen (2010:361). Men det finns också sådana bestämmelser i regleringar som primärt har andra syften än att reglera personuppgiftsbehandling, exempelvis i vapenlagen (1996:67) och kreditupplysningslagen (1973:1173). Personuppgiftslagen kompletteras också av bestämmelser i per- sonuppgiftsförordningen (1998:1191), förkortad PUF, som bl.a. pekar ut Datainspektionen som tillsynsmyndighet enligt lagen. Data- inspektionen bemyndigas i förordningen att meddela närmare före- skrifter om bl.a. i vilka fall behandling av personuppgifter är tillåten och vilka krav som ställs på den personuppgiftsansvarige. Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling anges i 2 kap. 6 § andra stycket regerings- formen att var och en gentemot det allmänna är skyddad mot bety- dande intrång i den personliga integriteten, om det sker utan sam- tycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § första stycket regeringsformen under vissa förut- sättningar göras genom lag. Regleringen i regeringsformen innebär att viss personuppgiftsbehandling måste regleras i lag. Dataskyddsförordningen – den nya regleringen förväntas och rådet fatta beslut om förordningen om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter (allmän uppgiftsskyddsförordning), nedan dataskyddsförord- ningen.1 Förordningen utgör en ny generell reglering för person- uppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet. Förordningen ska börja tillämpas räknat från den tjugonde dagen efter publicering i Europeiska unionens offi- 1 Kommittédirektiven utgår från den version av förslaget som finns i dok. 5455/16 av . Det huvudsakliga syftet med förordningen är att ytter- ligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kon- troll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på dataskyddsdirek- tivets struktur och innehåll men innebär även en rad nyheter såsom en utökad informationsskyldighet, administrativa sanktionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen. Dataskyddsför- ordningen är direkt tillämplig i medlemsstaterna men både förutsät- ter och möjliggör kompletterande nationella bestämmelser av olika slag. Det finns t.ex. ett förhållandevis stort utrymme att behålla eller införa särregleringar för sådan personuppgiftsbehandling som är nöd- vändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet, utföra en arbetsuppgift av allmänt intresse eller behandla uppgifter i samband med myndighetsutövning. Från dataskyddsförordningens tillämpningsområde undantas behandling av personuppgifter som utgör ett led i en verksamhet som a) inte omfattas av unionsrätten, b) utförs av medlemsstaterna när de utför aktiviteter som omfattas av den gemensamma utrikes- och säkerhetspolitiken, c) utförs av en fysisk person som ett led i verk- samhet av privat natur eller som har samband med dennes hushåll eller d) utförs av behöriga myndigheter för ändamålen att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga på- följder, inkluderande skydd mot samt förebyggande av hot mot all- män säkerhet. Förordningen gäller inte heller för behandling av per- sonuppgifter som utförs av EU:s institutioner, organ och byråer. Sådan behandling regleras i stället i och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. med dataskyddsförordningen förväntas Europaparla- mentet och rådet anta direktivet om skyddet av enskilda vid behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påfölj- der, samt fri rörlighet för sådana uppgifter, nedan ”det nya data- skyddsdirektivet”. Direktivet innehåller särregler för sådan person- uppgiftsbehandling som behöriga myndigheter utför i syfte att före- bygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inkluderande skydd mot samt förebyggande av hot mot allmän säkerhet. Direktivet ska ersätta det gällande dataskyddsram- beslutet (2008/977/RIF) som reglerar utbyte av personuppgifter mel- lan medlemsstaterna inom denna sektor. Direktivets tillämpnings- område omfattar till skillnad från rambeslutet emellertid även rent nationell personuppgiftsbehandling på området för brottsbekämp- ning, brottmålshantering och straffverkställighet. Direktivet ska ha genomförts i svensk rätt senast efter att det har trätt i kraft. Vid vissa myndigheter, bl.a. de allmänna domstolarna, Kriminal- våden och , kommer personuppgiftsbehandlingen att omfattas av antingen dataskyddsförordningen eller det nya data- skyddsdirektivet beroende på vilket syfte uppgifterna behandlas för. Det gäller även som vid sidan av den brotts- bekämpande verksamheten t.ex. sköter handräckning och handlägger olika typer av tillståndsärenden. Myndigheter vars kärnverksamhet huvudsakligen omfattas av det nya dataskyddsdirektivets tillämp- ningsområde kommer också att tillämpa dataskyddsförordningen när de exempelvis överför uppgifter för ändamål utanför direktivets tillämpningsområde.