sou · H5B329 · 2017-04-05 00:00:00 — I stället för att upprepa det i paragrafen anser utredningen att en hänvisning kan göras till bestämmelsen om överföring för att tillgodose myn- dighetsintressen (se avsnitt 15.6.4). I likhet med vad som gäller för myndighetsintressena bör det framgå att undantaget till skydd för rättsliga anspråk bara får utnyttjas i enskilda fall. 15.6.6Allvarlig fara för allmän säkerhet Utredningens förslag: I undantagsfall får personuppgifter över- föras om det är nödvändigt för att avvärja en omedelbar och all- varlig fara för allmän säkerhet. Skälen för utredningens förslag: Enligt artikel 38.1 c får person- uppgifter överföras, trots avsaknaden av beslut om adekvat skydds- nivå och tillräckliga skyddsåtgärder, om överföringen är nödvändig för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en medlemsstat eller ett tredjeland. Det finns ett liknande krav på fara för allmän säkerhet i 7 § tredje stycket lag, som genomför artikel 13.2 i dataskydds- rambeslutet, för att få överföra personuppgifter till ett tredjeland eller ett internationellt organ när det på grund av tidsbrist inte har gått att utverka ett förhandsmedgivande till överföringen. Det nu aktuella undantaget bör återspeglas i ramlagen. Av para- grafen bör det framgå att personuppgifter i undantagsfall får över- Överföring till tredjeland och internationella organisationer föras till ett tredjeland eller en internationell organisation, om överföringen är nödvändig för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Det är tillräckligt att det, på samma sätt som lag, anges att det ska vara fara för allmän säkerhet. Tillägget i artikeln att det gäller säkerheten i en medlemsstat eller ett tredjeland gör att tillämpningsområdet omfattar alla stater. Det saknar därför materiellt innehåll. Formuleringen den allmänna säkerheten i en stat skulle inte heller bidra till någon ökad klarhet. Bestämmelsen skulle t.ex. kunna tillämpas om överföringen är nödvändig för att avvärja ett terroristattentat eller en flygplanskap- ning. Eftersom det typiskt sett är fråga om en överhängande fara för att något ska hända får prövningen i dessa fall göras med ut- gångspunkt i att åtgärden kan antas vara nödvändig för att avvärja faran. Att faran inte förverkligas behöver inte innebära att över- föringen har varit otillåten. Bedömningen måste självfallet göras med hänsyn till vad som är känt när prövningen görs. 15.6.7En intresseavvägning ska göras i vissa fall Utredningens förslag: Personuppgifter får inte överföras till ett tredjeland eller en internationell organisation om den registrera- des intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av att över- föringen görs i det enskilda fallet för ett myndighetsintresse eller för att kunna fastslå, göra gällande eller försvara ett rättsligt anspråk. Skälen för utredningens förslag: I artikel 38.2 föreskrivs att per- sonuppgifter inte får överföras till ett tredjeland eller en internatio- nell organisation om den överförande behöriga myndigheten fast- ställer att den registrerades grundläggande fri- och rättigheter väger tyngre än det allmänna intresset av en sådan överföring som avses i punkt 1 d och e, dvs. myndigheters intresse av brottsbekämpning, lagföring, straffverkställighet och ordningshållning och rättsliga anspråk som hänför sig till sådana ändamål. Det ska alltså göras en intresseavvägning mellan skyddet för den enskildes fri- och rättig- heter och det allmännas intresse av att överföringen görs för dessa ändamål. Väger den enskildes intresse av skydd mot kränkning av Överföring till tredjeland och internationella organisationer grundläggande fri- och rättigheter tyngre än det allmännas intresse av att personuppgifterna överförs, får uppgifterna inte överföras. Sådana grundläggande fri- och rättigheter kan t.ex. vara yttrandefri- het och religionsfrihet. Artikeln bör genomföras i ramlagen. Lagtexten bör ansluta nära till direktivets text. Det bör framgå att personuppgifter inte får överföras till ett tredjeland eller en internationell organisation om den registrerades intresse av skydd mot kränkning av grundläg- gande fri- och rättigheter väger tyngre än det allmännas intresse av att överföringen görs i det enskilda fallet för något av de två nu aktuella ändamålen. Utredningens förslag: En svensk behörig myndighet får inte tillåta att sådana personuppgifter som en svensk myndighet har fått från en annan medlemsstat, och som överförts till ett tredje- land eller en internationell organisation, vidareöverförs till ett tredjeland eller en internationell organisation om inte en behö- rig myndighet i den andra medlemsstaten, har medgett att upp- gifterna får vidareöverföras. Frågan om en svensk behörig myndighet ska medge vidare- överföring till ett tredjeland eller en internationell organisation av personuppgifter som en svensk myndighet har lämnat till en annan medlemsstat som överfört uppgifterna till ett tredjeland eller en internationell organisation, ska bedömas med hänsyn till alla kända omständigheter som har samband med överföringen. Särskild vikt ska läggas vid brottets allvar, allvaret i faran för allmän säkerhet, det ändamål för vilket personuppgifterna ur- sprungligen lämnades till den andra medlemsstaten och nivån på skyddet av personuppgifter i det tredjelandet eller hos den inter- nationella organisationen dit uppgifterna ska vidareöverföras. Överföring till tredjeland och internationella organisationer Skälen för utredningens förslag Regleringen av överföring av personuppgifter till ett tredjeland eller en internationell organisation omfattar även vidareöverföring av personuppgifter från ett tredjeland eller en internationell organisa- tion till ett annat tredjeland eller en annan internationell organisa- tion. Det följer bl.a. av en bisats i artikel 35.1, i vilken det sägs att de behöriga myndigheterna endast får överföra personuppgifter som håller på att behandlas eller är avsedda att behandlas efter det att de överförts till ett tredjeland eller en internationell organisa- tion, inklusive för vidareöverföring till ett annat tredjeland eller en annan internationell organisation […]. Av artikel 35.1 e framgår att det är den behöriga myndigheten som gjorde den ursprungliga överföringen eller en annan behörig myndighet i samma medlemsstat, som ska godkänna vidareöver- föringen till ett annat tredjeland eller en annan internationell orga- nisation. Myndigheten ska beakta alla relevanta faktorer, inbegripet brottets allvar, det ändamål för vilket personuppgifterna ursprung- ligen överfördes och nivån på skyddet av personuppgifter hos den som ska motta uppgifterna om de vidareöverförs. Med vidareöverföring avses att personuppgifter överförs från ett tredjeland antingen till ett annat tredjeland eller till en internatio- nell organisation. Det kan också vara fråga om att personuppgifter överförs från en internationell organisation till en annan internatio- nell organisation eller till ett tredjeland. Det är fråga om en över- föring i tre led. Personuppgifterna som ska vidareöverföras kom- mer då från en medlemsstat som lämnat dem vidare till en annan medlemsstat som i sin tur har överfört dem till det tredjelandet eller den internationella organisationen som vidareöverför dem. Direktivet utgår från att det är den medlemsstat som först läm- nade personuppgifterna till en annan medlemsstat som ska god- känna vidareöverföringen från ett tredjeland till ett annat. Även om det är den medlemsstat som överförde personuppgifterna till ett tredjeland som förfogat över uppgifterna senast, och därför har lättast att överblicka om vidareöverföringen bör tillåtas, är det alltså den medlemsstat som uppgifterna ursprungligen kom från som ska godkänna att de vidareöverförs. Om ett tredjeland vänder sig till den medlemsstat som det tredjelandet fick personuppgifterna från Överföring till tredjeland och internationella organisationer bör direktivet tolkas så att den medlemsstaten ska inhämta tillstånd till vidareöverföring från den medlemsstat som ursprungligen läm- nade uppgifterna. Bestämmelsen om vidareöverföring bör genomföras i ramlagen. Som artikeln är utformad förefaller det närmast som att det i natio- nell rätt ska föreskrivas vad ett tredjeland (eller en internationell organisation) ska beakta vid överföring av personuppgifter, som kommer från en medlemsstat, till ett annat tredjeland eller till en internationell organisation. Det ligger i sakens natur att det inte är möjligt att reglera det i svensk rätt, annat än genom möjligheten att ställa upp villkor för det tredjelandets eller den internationella organisationens användning av personuppgifterna (se avsnitt 15.9). Regleringen i ramlagen bör i stället utgå från vad en svensk myn- dighet ska göra när den får en förfrågan från ett tredjeland eller en internationell organisation om att vidareöverföra personuppgifter som en svensk myndighet har fått från en annan medlemsstat. Med vidareöverföring avser utredningen den överföring av per- sonuppgifter som görs efter att personuppgifterna har lämnat med- lemssfären, dvs. mellan tredjeländer och internationella organisa- tioner. Rent språkligt är det fråga om vidareöverföring även när en svensk myndighet lämnar vidare personuppgifter som kommer från en annan medlemsstat till ett tredjeland eller till en internationell organisation. Det är sådana situationer som regleras lag. I dessa fall, som behandlas i avsnitt 15.3.4, bör man även i fortsätt- ningen tala om överföring till tredjeland eller internationella orga- nisationer. Av lagtexten bör följaktligen framgå att personuppgifter, som en svensk myndighet har fått från en annan medlemsstat och över- fört till ett tredjeland eller en internationell organisation, inte får vidareöverföras till ett tredjeland eller en internationell organisa- tion, om inte den svenska myndigheten inhämtat godkännande till vidareöverföringen från behörig myndighet i den andra medlems- staten. Medgivande till vidareöverföring kan inhämtas antingen från den myndighet som gjorde den ursprungliga överföringen eller från en annan behörig myndighet i samma medlemsstat. Överföring till tredjeland och internationella organisationer pel kan vara att en tysk polismyndighet ursprungligen lämnade personuppgifterna till men att ärendet, när frå- gan om vidareöverföring väcks, handläggs av tysk åklagare. Det är då naturligt att medgivande inhämtas från den tyska åklagaren. En begäran om medgivande till vidareöverföring kan givetvis även omfatta personuppgifter som har sitt ursprung i den svenska myndigheten, eftersom handläggningen i kan ha genererat information som innehåller fler personuppgifter än vad fick. Den svenska myndigheten får då ta ställning till hur de per- sonuppgifterna ska hanteras. Det kan vara naturligt att ta upp den frågan i dialogen med den behöriga myndigheten i den medlemsstat som lämnade personuppgifterna till , eftersom det eventuellt kan påverka dess syn på om medgivande ska lämnas. I artikeln talas det om vidareöverföring till ett annat tredjeland eller en annan internationell organisation. Tanken kan dock inte ha varit att personuppgifter inte kan vidareöverföras från ett tredje- land till en internationell organisation och vice versa. Paragrafen bör därför inte formuleras så att överföringen ska göras till ett annat tredjeland eller en annan internationell organisation. Exempel på vidareöverföring kan vara att har fått per- sonuppgifter från och överfört dessa till som i sin tur vill vidareöverföra uppgifterna till . Då måste ett med- givande inhämtas från för att ska få lämna person- uppgifterna vidare till . Om inte känner till att har fått uppgifterna från kommer att vända sig till med frågan om personuppgifterna får vidareöverföras. I ett sådant läge kan inte medge vidareöverföringen utan att in- hämta ett medgivande från . Den situationen kan också uppkomma att i det nämnda exemplet i stället vill vidare- överföra personuppgifterna till en internationell organisation, t.ex. FN. Även i det fallet måste inhämta ett medgivande till vidareöverföring från . Bedömningen av om svensk myndighet ska medge vidareöverföring Av ramlagen bör det framgå vad en svensk myndighet ska ta hän- syn till när den tillfrågas om den kan medge vidareöverföring av personuppgifter som har lämnat till en annan medlemsstat Överföring till tredjeland och internationella organisationer som i sin tur har överfört uppgifterna till ett tredjeland eller en internationell organisation som vill vidareöverföra dem. Det bör framgå att det ska vara en svensk behörig myndighet som ska lämna medgivandet. Det bör antingen kunna vara den behöriga myndigheten som ursprungligen lämnade de svenska personuppgif- terna till en annan medlemsstat eller en annan behörig myndighet i . Myndigheten bör beakta alla omständigheter som har sam- band med vidareöverföringen. Utredningen anser att alla omstän- digheter är ett bättre ordval än alla relevanta faktorer. Av naturliga skäl kan bara sådana omständigheter som är kända beaktas. Sådana omständigheter som inte är relevanta bör den tillfrågade myndig- heten kunna bortse från utan att det direkt framgår av lagtexten. Vid bedömningen av om ett medgivande till vidareöverföring ska lämnas, bör särskild vikt läggas vid brottets allvar, allvaret i faran för allmän säkerhet, det ändamål för vilket personuppgifterna ursprungligen lämnades till den andra medlemsstaten och skydds- nivån för personuppgifter i det tredjelandet eller den internationella organisationen dit uppgifterna ska vidareöverföras. I sammanhanget bör nämnas att bestämmelsen om förhands- medgivanden i artikel 35.1 e tar sikte på medgivande i det enskilda fallet. Medgivandet ska alltså avse en viss vidareöverföring av per- sonuppgifter till ett tredjeland eller en internationell organisation. Artikeln hindrar emellertid inte att medgivande ges generellt i för- väg för vidareöverföringar mellan tredjeländer och internationella organisationer som kan komma att bli nödvändiga. Bestämmelsen i ramlagen bör därför utformas så att det blir möjligt. 15.8Överföring till andra än behöriga myndigheter 15.8.1Förutsättningarna för överföring till andra än behöriga myndigheter Utredningens förslag: En myndighet som har till arbetsuppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, ut- reda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet får i ett enskilt fall överföra personuppgifter till någon som inte är behörig myndig- het i ett tredjeland. Överföring till tredjeland och internationella organisationer Skälen för utredningens förslag Enligt artikel 39 får behöriga myndigheter överföra personuppgif- ter, i enskilda och särskilda fall, direkt till mottagare som är etable- rade i tredjeland under förutsättning att direktivets övriga bestäm- melser efterlevs och att samtliga i artikeln uppräknade villkor är uppfyllda. Artikeln reglerar ett undantag från den allmänna princi- pen i artikel 35.1 b att personuppgifter som ska överföras till ett tredjeland eller en internationell organisation ska lämnas till en behörig myndighet. Bestämmelser som meddelas med stöd av arti- kel 39.1 ska dock inte hindra tillämpningen av internationella avtal och ska alltså inte betraktas som undantag från befintliga bilaterala eller multilaterala internationella avtal på området för straffrättsligt och polisiärt samarbete. En grundläggande förutsättning för att personuppgifter ska få överföras till andra än behöriga myndigheter i ett tredjeland är att den överförande myndigheten är en sådan behörig myndighet som avses i artikel 3.7 a. Med det avses en offentlig myndighet som har till arbetsuppgift att förebygga, förhindra, utreda, avslöja eller lag- föra brott, verkställa straffrättsliga påföljder eller upprätthålla den allmänna säkerheten. Någon hänvisning till artikel 3.7 b görs inte, vilket innebär att ett annat organ eller någon annan som har anför- trotts myndighetsutövning inom direktivets tillämpningsområde inte har rätt att överföra personuppgifter till andra än behöriga myndigheter. Bakgrunden framgår av skäl 73 där följande uttalas. Myndighe- ter i medlemsstaterna som är verksamma inom direktivets tillämp- ningsområde tillämpar bilaterala eller multilaterala internationella avtal, som har ingåtts med tredjeländer på området för straffrätts- ligt samarbete och polissamarbete, för att utbyta information. Informationsutbytet sker i princip genom eller i samarbete med de tredjeländernas behöriga myndigheter. kan dock de ordina- rie förfaranden som kräver kontakt med en myndighet i ett tredje- land vara ineffektiva och olämpliga, framför allt för att överföring- en inte kan utföras , eller för att myndigheten i det tredjelandet inte respekterar rättsstatsprincipen eller internationella människo- rättsliga normer och standarder. I sådana fall underlättar det om SOU 2017:29 Överföring till tredjeland och internationella organisationer behöriga myndigheter kan överföra personuppgifter direkt till andra än behöriga myndigheter i dessa tredjeländer. Övriga bestämmelser i direktivet måste också efterlevas. Det in- nebär bl.a. att de grundläggande förutsättningarna i artikel 35 – med undantag för kravet på att överföringen ska göras till en behö- rig myndighet – ska vara uppfyllda. Vidare ska de i artikel 39.1 sär- skilt uppräknade villkoren vara uppfyllda för att överföringen ska vara tillåten. Villkoren kommer att beskrivas mer ingående i det följande. Överföring till någon annan än en behörig myndighet Det finns tillfällen då det underlättar om en svensk myndighet kan överföra personuppgifter till ett tredjeland utan att behöva kanali- sera dem via en behörig myndighet i det landet. Så kan vara fallet när det rör sig om en särskilt brådskande åtgärd och en kontakt med den behöriga myndigheten riskerar att försena åtgärden eller göra den meningslös. Ett exempel är att det finns misstankar om penningtvätt eller annan ekonomisk brottslighet, där möjligheten att snabbt spåra ekonomiska transaktioner kan vara avgörande för att ingripa mot pågående brott och det krävs kontakt med ett organ som inte är en behörig myndighet. Ett annat exempel kan vara att en svensk myndighet snabbt vill kunna stoppa en utbetalning på grund av misstankar om bedrägeri och då behöver kontakta en bank eller ett finansinstitut i ett tredjeland. Det kan också finnas ett akut behov av att direkt kontakta en person som riskerar att utsättas för ett allvarligt våldsbrott. är det också vanligt att i sin brottsut- redande verksamhet överför personuppgifter till t.ex. Google och Facebook, för att få uppgift om vilken fysisk person som ligger bakom ett användarkonto eller alias. Arbetet skulle väsentligt för- dröjas om varje enskild förfrågan skulle behöva gå via en behörig myndighet i det tredjelandet. Mot den bakgrunden anser utredningen att möjligheten att in- föra undantag från kravet på att överföringen ska göras till en be- hörig myndighet bör utnyttjas. Artikel 39.1 bör därför genomföras i ramlagen. Av paragrafen bör framgå att det under vissa förutsätt- ningar är möjligt att i ett enskilt fall föra över personuppgifter till Överföring till tredjeland och internationella organisationer någon som inte är en behörig myndighet i ett tredjeland. Det kan exempelvis vara fråga om överföringar till företag eller privatper- soner i ett tredjeland. Den som personuppgifterna överförs till ska vara etablerad i det tredjelandet. Enligt utredningens mening bör det vara tillräckligt att en fysisk person är stadigvarande bosatt och att en juridisk per- son har sitt säte eller ett fast driftsställe i det tredjelandet för att anses vara etablerad där. Kravet på etablering behöver enligt utred- ningens bedömning inte framgå av lagtexten. Det är tillräckligt att det anges att personuppgifter får överföras till andra än behöriga myndigheter i tredjeland. Det behöver inte föreskrivas att det ska vara fråga om särskilda fall. Att det rör sig om konkreta fall där det finns ett särskilt behov av att överföra personuppgifter till någon som inte är en behörig myndighet i ett tredjeland ligger redan i uttrycket enskilda fall. Endast en myndighet som har som arbetsuppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda och lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet bör ges möjlighet att utnyttja undantaget. Andra aktörer som är behöriga myndigheter i ramlagens mening bör alltså inte få göra sådana överföringar. 15.8.2Överföringen ska vara absolut nödvändig Utredningens förslag: För att personuppgifter ska få överföras till andra än behöriga myndigheter i ett tredjeland ska överfö- ringen vara absolut nödvändig för att den svenska myndigheten ska kunna utföra en arbetsuppgift som den har ansvar för och som ligger inom ramlagens tillämpningsområde. Den som ska ta emot personuppgifterna ska informeras om det eller de specifika ändamål för vilket eller vilka uppgifterna får behandlas. Skälen för utredningens förslag: Det första villkoret för att per- sonuppgifter ska få överföras till annan än en behörig myndighet i ett tredjeland är enligt artikel 39.1 a att överföringen är absolut nödvändig för att den överförande myndigheten ska kunna utföra en arbetsuppgift som den ansvarar för enligt unionsrätten eller nationell rätt för de ändamål som omfattas av direktivets tillämp- Överföring till tredjeland och internationella organisationer Enligt artikel 39.1 e ska den överförande myndighe- ten informera mottagaren om de specifika ändamål för vilket eller vilka mottagaren får behandla personuppgifterna, förutsatt att den behandlingen är nödvändig. Artiklarna 39.1 a och e bör genomföras i ramlagen. Det görs lämpligen genom att innehållet i dem anges som villkor för att personuppgifter ska få överföras till andra än behöriga myndigheter i ett tredjeland. Överföringen ska alltså vara absolut nödvändig för att t.ex. en domstol ska kunna utföra en arbetsuppgift. Med nödvändig avses att det är fråga om något som behöver göras. För att markera att undantaget ska tillämpas restriktivt och att det kan bli fråga om överföring endast i undantagsfall bör uttrycket absolut nödvändigt användas. Personuppgifter får således överföras endast om det är absolut nödvändigt för att den överförande myndigheten ska kunna utföra en arbetsuppgift som den ansvarar för inom ramlagens till- lämpningsområde. Vidare bör det föreskrivas att den svenska myndighet som över- för personuppgifterna ska lämna information om det eller de speci- fika ändamål för vilket eller vilka uppgifterna får behandlas av mot- tagaren. Det ligger i sakens natur att det inte går att i svensk rätt föreskriva att behandlingen i det tredjelandet ska vara nödvändig. 15.8.3Överföring till behörig myndighet blir ineffektiv eller är olämplig Utredningens förslag: Personuppgifter får överföras till någon som inte är behörig myndighet i ett tredjeland om det skulle vara ineffektivt eller olämpligt att överföra uppgifterna till en behörig myndighet där. Skyldigheten att informera om överföringen och undantag från skyldigheten ska regleras i förordning. Överföring till tredjeland och internationella organisationer Skälen för utredningens förslag Överföring till behörig myndighet bör undvikas Enligt artikel 39.1 c får personuppgifter överföras direkt till en mottagare som är etablerad i ett tredjeland om den överförande myndigheten anser att en överföring till en behörig myndighet i det tredjelandet skulle bli ineffektiv eller vara olämplig. Det gäller i synnerhet om överföringen inte kan göras inom rimlig tid. Enligt artikel 39.1 d ska behörig myndighet i det tredjelandet utan dröjs- mål informeras, såvida det inte blir ineffektivt eller det är olämpligt att lämna informationen. Villkoret i artikel 39.1 c bör framgå av ramlagen.