sou · H5B329 · 2017-04-05 00:00:00 — Beslut i fråga om rättelse, komplettering eller radering av personuppgifter eller begränsning av behandlingen av personuppgifter får överklagas om den registre- rade har begärt åtgärden och beslutet har gått honom eller henne emot. Rätten att överklaga kan gälla även i de fall där myndigheten vidtagit en annan åtgärd än den som den registrerade begärt. Beslut som innebär att en personuppgiftsansvarig myndighet, helt eller delvis, inte har tillmötesgått en begäran om personrelate- rad information får också överklagas. Detsamma gäller beslut att vägra att ompröva ett automatiserat beslut och beslut att ta ut av- gift för viss information. Besluten ska överklagas till allmän förvaltningsdomstol. Vilken förvaltningsdomstol som är behörig framgår av 14 § förordningen (1977:937) om allmänna förvaltningsdomstolars behörighet m.m. För prövning i kammarrätten krävs det enligt andra stycket pröv- ningstillstånd. Av tredje stycket framgår att det inte finns någon möjlighet att överklaga beslut av de högsta statsorganen. Paragrafen reglerar domstolens handläggning av en s.k. dröjsmåls- talan. Den genomför, tillsammans med 5 kap. 9 §, artikel 53.2 och behandlas i avsnitt 14.6.3. I första stycket föreskrivs att tillsynsmyndighetens beslut att av- slå en begäran om besked enligt 5 kap. 9 § får överklagas till allmän förvaltningsdomstol. Om domstolen bifaller överklagandet, ska den enligt andra stycket förelägga tillsynsmyndigheten att meddela den registrerade om tillsyn kommer att utövas. Domstolen ska inte pröva frågan om tillsyn bör utövas utan enbart om handläggningen i onödan dragit ut . Prövningen är alltså begränsad till om frågan om tillsyn ska utövas är klar för avgörande. För sin bedöm- ning behöver domstolen ta del av handlingarna så att den kan ta ställning till om tillsynsmyndigheten haft tillräckligt underlag för att avgöra frågan. Om domstolen konstaterar att dröjsmålet är motiverat, dvs. att skälen till att något besked inte har lämnats är godtagbara, ska den avslå överklagandet. Vid bedömningen av om skälen för fördröjningen är godtagbara kan domstolen bl.a. behöva pröva om ärendet har handlagts med den skyndsamhet som varit påkallad och om eventuella avbrott i handläggningen kan accepteras. Det är inte möjligt att ange gene- rellt hur tillsynsmyndigheten bör få på sig. En prövning måste göras i det enskilda fallet. Allmänna invändningar om arbets- anhopning och resursbrist kan normalt sett inte accepteras som skäl för dröjsmål. Domstolen bör dock i undantagsfall kunna ta hänsyn till vilka resurser som tillsynsmyndigheten haft till sitt förfogande. är mycket begränsad och med tanke på ären- dets natur är det angeläget att domstolsprövningen görs snabbt. Eftersom prövningen är okomplicerad bör frågan kunna avgöras av ensamdomare. Om domstolen finner att tillsynsmyndigheten dragit ut på handläggningen ska den förelägga myndigheten att fatta beslut om tillsyn ska utövas och att ge klaganden besked i frågan. Det kan av naturliga skäl inte bli fråga om , eftersom domstolen genom att bifalla överklagandet har konstate- rat att tillsynsmyndigheten redan har dragit ut på handläggningen. Någon möjlighet för domstolen att förena föreläggandet med vite eller någon annan sanktion finns inte. Domstolens beslut får enligt tredje stycket inte överklagas. Det gäller oavsett om överklagandet bifalls eller avslås. Det innebär att varken tillsynsmyndigheten eller klaganden kan överklaga beslutet. Överklagande av andra beslut av tillsynsmyndigheten I paragrafen, som har utformats efter mönster av 51 § personupp- giftslagen, föreskrivs att tillsynsmyndighetens beslut i andra frågor än som regleras i 3 § får överklagas. Bestämmelsen genomför arti- kel 53.1 och behandlas i avsnitt 14.7.1. Utgångspunkten enligt första stycket är att tillsynsmyndighetens beslut enligt lagen eller enligt föreskrifter som meddelats i anslut- ning till lagen får överklagas. Det är framför allt fråga om beslut som tillsynsmyndigheten har fattat med stöd av sina korrigerande befogenheter i 5 kap. 7 §. Det kan t.ex. vara beslut om rättelse eller radering. Det kan också vara beslut om sanktionsavgift. Även be- slut enligt 5 kap. 9 § att avslå en begäran om besked om tillsyn kommer att utövas eller beslut enligt 5 kap. 3 § andra stycket att vägra utföra kontroll får överklagas. För att kammarrätten ska ta upp ett överklagande krävs det en- ligt andra stycket prövningstillstånd. Beslut som inte får överklagas Enligt paragrafen, som behandlas i avsnitt 14.4, får inga andra be- slut än de som räknas upp i 2–4 §§ överklagas. Uppräkningen är uttömmande. Någon rätt att med stöd av för- valtningslagen överklaga andra beslut som en myndighet eller annan har fattat med stöd av lagen finns alltså inte. Det gäller både beslut av personuppgiftsansvariga, tillsynsmyndigheten och per- sonuppgiftsbiträden. Överföring av personuppgifter till tredjeland och internationella organisationer Grundläggande förutsättningar för överföring I paragrafen, som genomför artikel 35.1 a, b och d och artikel 35.3, anges de grundläggande förutsättningarna för att få överföra per- sonuppgifter till ett tredjeland eller en internationell organisation. Paragrafen behandlas i avsnitt 15.3.1–3. Enligt första stycket får personuppgifter överföras till ett tredje- land eller en internationell organisation om uppgifterna behandlas i . Det gäller också om personuppgifterna överförs till ett tredjeland eller en internationell organisation för att behandlas där. Tredjeland och internationell organisation definieras i 1 kap. 6 §. Med behandlas förstås sådan behandling av personuppgifter som lagen reglerar. Behandling av personuppgifter definieras i 1 kap. 6 §. Överföring är en form av personuppgiftsbehandling. För att per- sonuppgifter ska få överföras till ett tredjeland eller en internatio- nell organisation måste därför de grundläggande förutsättningarna för att få behandla personuppgifter alltid vara uppfyllda. Med överföring avses att en behörig myndighet skickar, vidare- befordrar eller förmedlar information i elektronisk form till någon som befinner sig i ett tredjeland eller till en internationell organisa- tion. Det är också fråga om en överföring när en behörig myndig- het gör information tillgänglig för ett tredjeland eller en internatio- nell organisation genom att informationen tillförs ett gemensamt datasystem, t.ex. en databas hos . Däremot omfattar para- grafen normalt inte överföringar på papper av personuppgifter som inte har undergått automatiserad behandling. Personuppgifter som har samlats in och behandlats automatise- rat i och som skickas till ett personuppgiftsbiträde i tredje- land för vidarebearbetning omfattas av regleringen. Överföring av personuppgifter till ett tredjeland eller en internationell organisa- tion för behandling där avser bl.a. den situationen att uppgifterna inte behandlas automatiserat i , utan överförs till ett tredje- land eller en internationell organisation för att automatiseras där. Som exempel kan nämnas blanketter, formulär eller undersök- ningar som fyllts i för hand och som skickas per post till ett per- sonuppgiftsbiträde i ett tredjeland där personuppgifterna läggs in i en databas. Endast behöriga myndigheter har enligt paragrafen rätt att över- föra personuppgifter till ett tredjeland eller en internationell orga- nisation. Behörig myndighet definieras i 1 kap. 6 §. En behörig myndighet kan även vara en kontaktpunkt hos en behörig myndighet. är kontaktpunkt enligt bl.a. FN:s vapenprotokoll och FN:s konvention för bekämpande av nukleär terrorism. Genom sådana kontaktpunkter kan även andra än den egna myndighetens personuppgifter överföras. Kontakt- punkten ansvarar då i sin egenskap av behörig myndighet för att överföringen följer de regler som gäller för överföring av person- uppgifter till tredjeland och internationella organisationer. En kon- taktpunkt som vidarebefordrar andra myndigheters personuppgif- ter kan behöva samråda med den myndighet från vilken uppgifterna kommer om det är lämpligt att de överförs till ett tredjeland eller en internationell organisation och vilket skydd personuppgifterna i så fall behöver. Bestämmelserna om överföring reglerar inte på vems initiativ personuppgifterna överförs, om det är den svenska behöriga myn- dighetens eller den utländska behöriga myndighetens. Överföring till ett tredjeland eller en internationell organisation får endast göras om både de i punkterna 1 och 2 angivna villkoren och något av alternativen i punkten 3 är uppfyllda. Punkten 1 innebär en begränsning av de syften för vilka person- uppgifter får överföras till ett tredjeland eller en internationell organisation. Överföringen av personuppgifter måste vara nödvän- dig för ett syfte som omfattas av lagens tillämpningsområde (jfr 1 kap. 2 §). Det är således inte tillåtet att till en behörig myndighet i ett tredjeland eller en internationell organisation överföra person- uppgifter i något annat syfte, t.ex. för att uppgifterna behövs i ett migrationsärende. Nödvändighetsrekvisitet innebär att det ska prövas om person- uppgifterna behövs för att en behörig myndighet ska kunna utföra en arbetsuppgift som den har ansvar för och som omfattas av denna lags tillämpningsområde. Överföringen kan vara nödvändig för att en svensk myndighet t.ex. ska kunna utreda ett brott som har be- gåtts här men där viss bevisning finns i ett tredjeland. Ett typiskt exempel är att målsäganden eller ett vittne befinner sig i tredjeland och att förhör under förundersökningen behöver hållas där. Ett annat exempel är att personuppgifter rörande någon som är inter- nationellt efterlyst sänds till . Överföringen kan också vara nödvändig t.ex. för att en behörig myndighet i ett tredjeland ska kunna lagföra ett brott. Kravet är också uppfyllt om en internationell organisation som är en behörig myndighet behöver personuppgifter för ett syfte som omfattas av tillämpningsområdet. Ett exempel kan vara att det i en svensk för- undersökning kommer fram information om en person som kan misstänkas för människohandel i ett tredjeland. Ett annat exempel kan vara en narkotikahärva där en försäljare av narkotika i berättar om en distributör i . Svensk behörig myndighet kan i båda fallen överföra personuppgifter till det tredjelandet om de behövs för att upptäcka eller utreda brott där. Om en myndighet i ett tredjeland begär att få personuppgifter av en svensk behörig myndighet ska den svenska myndigheten pröva om den utländska myndigheten behöver uppgifterna för ett syfte som omfattas av lagens tillämpningsområde. Punkten 2 begränsar till vilka utländska adressater personuppgif- ter får överföras. Personuppgifter får som huvudregel bara över- föras till en behörig myndighet i ett tredjeland eller till en inter- nationell organisation som är en behörig myndighet. Av kravet på att överföringen ska göras till en behörig myndig- het följer att den myndighet eller organisation som ska ta emot personuppgifterna ska ha som arbetsuppgift att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Den som personuppgiften överförs till behö- ver inte ha samma arbetsuppgifter som den svenska myndigheten, men ska vara behörig genom att den har en arbetsuppgift som om- fattas av lagens tillämpningsområde. Exempelvis kan Polismyn- digheten lämna personuppgifter till en åklagarmyndighet i ett tredjeland. När det gäller internationella organisationer är det fram- för allt som är av intresse. Även vissa utredningsorgan under FN torde kunna ha arbetsuppgifter som omfattas av lagens tillämpningsområde, liksom internationella tribunaler. Om en svensk behörig myndighet behöver överföra personuppgifter till en myndighet eller en organisation som inte har en sådan arbetsupp- gift, t.ex. en migrationsmyndighet i ett tredjeland, är lagen inte tillämplig. I punkten 3 ställs dessutom krav på viss skyddsnivå för person- uppgifter som överförs till ett tredjeland eller till en internationell organisation. Personuppgifter får alltid överföras till ett tredjeland eller till en internationell organisation för vilket eller vilken kom- missionen har beslutat att det finns en adekvat skyddsnivå (se 3 §). Om det inte finns ett sådant beslut får personuppgifterna ändå överföras om uppgifterna kommer att omfattas av tillräckliga säkerhetsåtgärder hos den som mottar dem (se 4 §). Finns det inte något beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgär- der får personuppgifter överföras endast när ett undantag för sär- skilda situationer gäller (se 5 §). Överföringsgrunderna är alterna- tiva men ska prövas i den ordning som anges i paragrafen. I första hand ska det alltså prövas om det finns beslut om adekvat skydds- nivå och i andra hand om det finns tillräckliga skyddsåtgärder. Först därefter finns det anledning att se om någon av undantags- situationerna är för handen. Om personuppgifter ska överföras till en internationell organi- sation, t.ex. , är det organisationen som sådan, och inte de enskilda stater som är medlemmar i organisationen, som ska upp- fylla kravet på skyddsnivå. Ska personuppgiften skickas till ett tredjeland, men överföringen görs med hjälp av , ska där- emot skyddsnivån i det tredjelandet bedömas. Det finns alltid risk för att skyddet för enskildas integritet för- sämras när personuppgifter överförs till ett tredjeland eller en in- ternationell organisation som inte har samma dataskyddsnivå som direktivet kräver av medlemsstaterna. Den risken ska därför enligt andra stycket alltid beaktas särskilt vid bedömningen av hur viktigt det är att personuppgifterna överförs till det tredjelandet eller den internationella organisationen. Paragrafen, som genomför artiklarna 35.1 c och 35.2, anger förut- sättningarna för att få överföra personuppgifter som en svensk myndighet har fått från en annan medlemsstat till ett tredjeland eller till en internationell organisation. Paragrafen behandlas i av- snitt 15.3.4. Enligt första stycket krävs medgivande från den medlemsstat som en svensk myndighet har fått personuppgifterna från för att upp- gifterna ska få överföras till ett tredjeland eller en internationell organisation. Medlemsstat definieras i 1 kap. 6 §. Det behöver inte vara en behörig myndighet i som har tagit emot personupp- gifterna. Paragrafen är även tillämplig på personuppgifter som har lämnats till en annan svensk myndighet och som sedan används i t.ex. brottsbekämpande verksamhet. Personuppgifterna kan ha lämnats till svensk myndighet t.ex. genom att de skickats elektro- niskt eller gjorts tillgängliga i ett gemensamt informationssystem. Medgivandet till överföring ska som huvudregel ges i förväg, innan personuppgifterna överförs till det tredjelandet eller den internationella organisationen. Det hindrar dock inte att en myn- dighet som lämnar personuppgifter till en annan medlemsstat gene- rellt medger att uppgifterna får överföras till ett tredjeland eller en internationell organisation om det skulle bli nödvändigt längre fram. Sådana generella medgivanden kan tänkas bli vanliga i infor- mationsutbytet mellan EU:s medlemsstater. Finns det ett generellt medgivande som omfattar personuppgifterna som ska överföras, behöver den svenska myndigheten inte göra något ytterligare för att säkerställa att den andra medlemsstaten godtar att uppgifterna överförs till ett tredjeland eller en internationell organisation. Om det på grund av tidsbrist inte går att i förväg inhämta med- givande från den medlemsstat som lämnat personuppgifterna till , finns det enligt andra stycket möjlighet att ändå överföra uppgifterna till ett tredjeland eller en internationell organisation. För att det ska vara tillåtet krävs det att åtgärden är nödvändig för att avvärja en omedelbar och allvarlig fara för allmän säkerhet i eller utomlands, eller för att tillgodose andra väsentliga intressen för eller en annan medlemsstat. Möjligheten att överföra personuppgifter utan medgivande i förväg ska betraktas som en nödlösning. I kommentaren till 5 § utvecklas vad som avses med en omedelbar och allvarlig fara för allmän säkerhet. Tillåtna grunder för överföring Beslut om adekvat skyddsnivå Paragrafen, som genomför artikel 36.1, innehåller den första tillåtna grunden för att överföra personuppgifter till ett tredjeland eller till en internationell organisation. Det är först om förutsättningarna i denna paragraf inte är uppfyllda som alternativen att överföra per- sonuppgifter med stöd av reglerna om tillräckliga skyddsåtgärder i 4 § eller särskilda situationer i 5 § ska prövas. Paragrafen behandlas i avsnitt 15.4. Enligt paragrafen får personuppgifter alltid överföras till ett tredjeland eller en internationell organisation som enligt ett beslut av kommissionen har en adekvat skyddsnivå för personuppgifter. Om kommissionen har meddelat ett sådant beslut för ett territo- rium eller en sektor i ett tredjeland får personuppgifter överföras dit. Avgränsningen avgörs av innehållet i kommissionens beslut. De grundläggande förutsättningarna för överföring av person- uppgifter till ett tredjeland eller en internationell organisation i 1 § ska alltid vara uppfyllda för att personuppgifter ska få överföras med stöd av ett beslut om adekvat skyddsnivå. Det innebär bl.a. att personuppgifter ska överföras mellan behöriga myndigheter. Ska personuppgifter som svensk myndighet har fått från en annan med- lemsstat överföras ska även kraven i 2 § vara uppfyllda. Om kommissionen beslutar att ett tredjeland, eller en del av det, eller en internationell organisation inte längre säkerställer en ade- kvat skyddsnivå får personuppgifter inte överföras dit med stöd av den nu aktuella paragrafen. Det hindrar dock inte att personupp- gifter överförs till det tredjelandet eller den internationella organi- sationen om någon av de andra tillåtna grunderna för överföring är tillämplig. I paragrafen, som genomför artikel 37.1, behandlas den andra tillåt- na grunden för överföring av personuppgifter till ett tredjeland eller en internationell organisation. Paragrafen behandlas i av- snitt 15.5. Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 § får en behörig myndighet i ändå överföra personuppgifter till en behörig myndighet i ett tredjeland, eller till en internationell organisation som är en behörig myndighet, om det finns tillräckliga skyddsåtgärder för uppgifterna där. De grundläggande förutsätt- ningarna i 1 och 2 §§ ska alltid vara uppfyllda för att personuppgif- ter ska få överföras på denna grund. Enligt punkten 1 kan tillräckliga skyddsåtgärder finnas om så- dana har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter. Personuppgifter kan normalt över- föras till länder som är anslutna till dataskyddskonventionen eller har ingått bindande avtal om internationellt samarbete som inne- håller dataskyddsregler som är tillämpliga på överföringen. Det kan också vara fråga om bilaterala avtal som ingått med ett tredjeland och som sörjer för att kravet på dataskydd uppfylls och registrerades rättigheter respekteras. Enligt punkten 2 får personuppgifter också överföras om den behöriga myndighet som ska ta emot uppgifterna på annat sätt än genom avtal garanterar tillräckligt skydd för dem. Den som ska överföra personuppgifterna till det tredjelandet eller den interna- organisationen ska bedöma alla omständigheter kring över- föringen och komma till slutsatsen att skyddsåtgärderna är tillräck- liga. Exempel på sådant som kan vägas in vid bedömningen av om tillräckligt skydd garanteras är bl.a. bindande åtaganden att inte sprida personuppgifterna vidare eller att inte använda personupp- gifterna efter viss tidpunkt. Det är den personuppgiftsansvarige som har bevisbördan för att skyddsnivån är tillräcklig hos den som tar emot personuppgifterna i det tredjelandet eller den internationella organisationen. I de fall där personuppgifter överförs till ett tredjeland via en nationell kontaktpunkt i det landet bör bedömningen av om tillräckligt skydd för uppgifterna garanteras avse situationen hos den som slutligen ska ta emot dem. Om det inte är känt till vilken behörig myndighet i det tredjelandet som kontaktpunkten kommer att vidarebefordra personuppgifterna får bedömningen i stället göras utifrån vilket dataskydd kontaktpunkten erbjuder. Överföring i särskilda situationer Paragrafen genomför artiklarna 38.1 och 38.2. Den behandlas i av- snitt 15.6. Paragrafen reglerar möjligheten att överföra personuppgifter till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet när det varken finns beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder för uppgifterna. Kravet är då att det ska vara fråga om en särskild situa- tion. Undantagen för särskilda situationer gäller även samlingar av överföringar. avses här flera överföringar som på något sätt är sammankopplade, antingen därför att det är flera per- sonuppgifter som överförs inom ramen för ett ärende, eller för att det är en personuppgift som överförs till flera adressater. En över- föring kan också innehålla flera personuppgifter och därmed utgöra en samling, t.ex. ett utdrag från ett register. Det viktiga när det gäl- ler samlingar av överföringar är att det i efterhand går att kontrol- lera vilka personuppgifter som har överförts. Överföringen ska enligt första stycket vara nödvändig i någon av de särskilda situationer som räknas upp i punkterna 1–4. Punkterna är alternativa. I punkterna 2 och 3 föreskrivs att överföringen ska vara nödvändig i det enskilda fallet. Oavsett vilken situation som är för handen ska de grundläggande förutsättningarna för överföring till tredjeland och internationella organisationer i 1 § alltid vara uppfyllda. Det innebär bl.a. att överföringen ska göras mellan be- höriga myndigheter och i ett syfte som omfattas av lagens tillämp- ningsområde. Även förutsättningarna i 2 § ska vara uppfyllda om personuppgifter som kommer från en annan medlemsstat ska överföras. I punkten 1 regleras två situationer som kan göra överföringen nödvändig. Det är dels för att skydda vitala intressen för den regi- strerade eller en annan fysisk person, dels för att skydda andra be- rättigade intressen för den registrerade. I det sistnämnda fallet gäller alltså inte skyddet till förmån för någon annan än den vars personuppgifter ska överföras. Den som är misstänkt för ett brott kan ha ett berättigat intresse av att viss bevisning som finns i ett tredjeland inhämtas därifrån. Ett vittne som befinner sig i ett tredjeland kan ha ett berättigat intresse av att hans eller hennes personuppgifter överförs dit för att ett förhör ska kunna komma till stånd där. När det gäller skyddet för vitala intressen kan det gälla både för den som personuppgiften avser och för någon annan fysisk person. Det kan t.ex. handla om att överföra uppgifter om en person som misstänks planera ett sprängdåd eller ett värdetransportrån i ett tredjeland. Ett annat exempel är att någon som har rymt från ett fängelsestraff utgör ett hot mot en målsägande eller ett vittne som bor i tredjeland och polisen där behöver få kännedom om det för att kunna skydda personen. Även andra för den enskilde väsentliga intressen som inte är direkt avgörande för liv och död, t.ex. hälsa och ekonomiska intressen, kan skyddas med stöd av undantaget för vitala intressen. Punkten 2 tillgodoser behöriga myndigheters behov av att i ett enskilt fall kunna överföra personuppgifter till ett tredjeland eller en internationell organisation som inte uppfyller kraven på adekvat skyddsnivå eller garanterar tillräckligt skydd för personuppgifterna.