sou · H5B329 · 2017-04-05 00:00:00 — ska de grundläggande kraven på behandling av per- sonuppgifter i 9 § personuppgiftslagen alltid vara uppfyllda för att uppgifterna ska få överföras till ett tredjeland. Överföringen ska också vara tillåten enligt 10 § personuppgiftslagen. Är det exempel- vis känsliga personuppgifter, uppgifter om lagöverträdelser eller personnummer som ska överföras, krävs det också att behand- lingen är tillåten enligt 13–22 §§ (se prop. 1997/98:44 s. 137). För att personuppgifter ska få överföras till ett tredjeland eller en internationell organisation bör det krävas att alla de grundläg- gande förutsättningarna för att få behandla personuppgifter är uppfyllda. Det följer av att överföringen som sådan är en behand- ling av personuppgifter i ramlagens mening. Överföringen får naturligtvis inte heller stå i strid med andra bestämmelser i lagen. Överföring till tredjeland och internationella organisationer Skyddsnivån får inte försämras genom överföringen Av artikel 35.3 framgår att alla bestämmelser som gäller överföring ska tillämpas för att den skyddsnivå som säkerställs genom direkti- vet inte ska undergrävas. Enligt skäl 64 är det viktigt att den skyddsnivå som direktivet garanterar fysiska personer inom unio- nen inte undergrävs när personuppgifter överförs från unionen till personuppgiftsansvariga, personuppgiftsbiträden eller andra adres- sater i tredjeland eller till internationella organisationer. Bestämmelsen fyller en viktig funktion för att tydliggöra att en- skildas intresse av skydd för personuppgifter ska värnas även när uppgifterna lämnar medlemssfären. En bestämmelse som motsvarar innehållet i artikeln bör därför tas in i ramlagen. Av den bör framgå att en behörig myndighet som avser att överföra personuppgifter till ett tredjeland eller en internationell organisation särskilt ska beakta risken för att enskilda får ett försämrat skydd för sina per- sonuppgifter. 15.3.2Överföringen ska vara nödvändig för ett visst ändamål och riktas till en behörig myndighet Utredningens förslag: Personuppgifter får överföras till ett tredjeland eller en internationell organisation endast om över- föringen är nödvändig för att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Överföringen ska riktas till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en be- hörig myndighet. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 35.1 a får personuppgifter överföras till ett tredjeland eller till en internationell organisation endast om överföringen är nödvändig för de ändamål som anges i artikel 1.1. Överföring till tredjeland och internationella organisationer keln ska direktivet tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga på- följder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Ett ytterligare villkor för överföring av personuppgifter är enligt artikel 35.1 b att uppgifterna överförs till en personuppgiftsansva- rig i ett tredjeland eller en internationell organisation som är en behörig myndighet för något av de ändamål som anges i artikel 1.1. I skäl 64 framhålls att en överföring endast bör utföras av behöriga myndigheter som agerar som personuppgiftsansvariga, utom när personuppgiftsbiträden uttryckligen har getts i uppdrag att göra överföringar för personuppgiftsansvarigas räkning. lag finns motsvarande bestämmelser i 7 § första stycket 2 och 3, som genomför artikel 13.1 a och b i dataskydds- rambeslutet. Enligt paragrafen får personuppgifter överföras endast om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straff- rättsliga påföljder och endast till en mottagare som har ansvar för sådan verksamhet. Överföring enbart till behöriga myndigheter för vissa ändamål Artiklarna 35.1 a och b bör genomföras i ramlagen. Paragrafen bör formuleras på samma sätt som regleringen av lagens tillämpnings- område, dvs. knytas till arbetsuppgifterna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verk- ställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Utredningen anser att det blir mer överskådligt än att hänvisa till paragrafen som reglerar lagens tillämpningsområde. Det är också så bestämmelsen lag har formulerats. Kravet på att överföringen ska vara nödvändig bör enligt utred- ningens mening tolkas på samma sätt som i allmänt språkbruk, dvs. att det är fråga om något som behövs (se avsnitt 9.1.2). Den per- sonuppgift som överförs kan behövas antingen för att den över- förande eller för att den mottagande myndigheten ska kunna utföra en arbetsuppgift som den har ansvar för inom det angivna tillämp- ningsområdet. En svensk behörig myndighet kan t.ex. behöva över- Överföring till tredjeland och internationella organisationer föra personuppgifter till ett tredjeland för att få hjälp med bevis- upptagning i ett ärende som handläggs i . På motsvarande sätt kan ett tredjeland eller en internationell organisation behöva få tillgång till svenska personuppgifter för sin brottsbekämpning, lagföring eller straffverkställighet. Av paragrafen bör vidare framgå att det bara är tillåtet att föra över personuppgifter om det görs till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Personuppgifterna ska följaktligen överföras till en myndighet eller en annan aktör som har i uppdrag att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Den behöriga myndigheten som personupp- gifterna lämnas till behöver inte ha samma arbetsuppgifter som den svenska myndigheten som överför personuppgifterna. Det bör således inte finnas något hinder mot att exempelvis en svensk åkla- gare lämnar personuppgifter till en utländsk domstol. Det bör inte heller finnas något hinder mot att personuppgifter överförs mellan två nationella kontaktpunkter oavsett vilken typ av myndighet som har utsetts till kontaktpunkt. 15.3.3Viss skyddsnivå ska vara säkerställd Utredningens förslag: Personuppgifter får överföras till ett tredjeland eller en internationell organisation endast om kom- missionen har antagit ett beslut om adekvat skyddsnivå, eller, om det inte finns ett sådant beslut, om personuppgifterna om- fattas av tillräckliga skyddsåtgärder hos adressaten. Om det inte finns ett beslut om adekvat skyddsnivå eller tillräckliga skydds- åtgärder får personuppgifter överföras endast när ett undantag för särskilda situationer är tillämpligt. Skälen för utredningens förslag: Enligt artikel 35.1 d gäller som huvudregel att personuppgifter får överföras till ett tredjeland eller en internationell organisation endast om personuppgiftsbehand- lingen där säkerställer viss skyddsnivå. Tanken är att den skydds- nivå som säkerställs genom direktivet som utgångspunkt ska gälla även när personuppgifter överförs till ett tredjeland eller en inter- Överföring till tredjeland och internationella organisationer För att personuppgifter ska få lämnas ut från en medlemsstat krävs det därför enligt artikel 36 i första hand att det tredjelandet eller den internationella organisationen omfat- tas av ett beslut från kommissionen om att landet eller organisatio- nen säkerställer en adekvat skyddsnivå. Om det inte finns ett så- dant beslut får personuppgifter enligt artikel 37 ändå överföras i vissa fall om lämpliga skyddsåtgärder har vidtagits eller säkerställts. Är inte heller det kravet uppfyllt får personuppgifter endast över- föras i de särskilda undantagssituationer som är uttömmande regle- rade i artikel 38. De tre överföringsgrunderna redovisas mer ingående i samband med att artiklarna 36–38 behandlas. Det räcker därför här att kon- statera att villkoret ska genomföras i svensk rätt genom en be- stämmelse i ramlagen som motsvarar innehållet i artikel 35.1 d. 15.3.4Överföring av uppgifter från andra medlemsstater ska vara medgiven Utredningens förslag: Personuppgifter som en svensk myndig- het har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. Om medgivande på grund av tidsbrist inte kan inhämtas i förväg, får personuppgifter ändå överföras till ett tredjeland eller en internationell organisation om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Det- samma gäller om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller en annan medlemsstat. Att den andra medlemsstaten utan dröjsmål ska informeras om överföringen ska regleras i förordning. Överföring till tredjeland och internationella organisationer Skälen för utredningens förslag Enligt artikel 35.1 c ska den som vill överföra personuppgifter som kommer från en annan medlemsstat till ett tredjeland eller en inter- nationell organisation ha den andra medlemsstatens tillstånd till överföringen. Tillståndet ska ges innan överföringen får äga rum. I artikel 35.2 görs undantag från huvudregeln om förhandstill- stånd. Där anges att det är tillåtet att överföra personuppgifter utan förhandstillstånd om överföringen är nödvändig för att avvärja ett och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland eller mot en medlemsstats väsent- liga intressen och tillstånd inte kan inhämtas . Den myndighet som skulle ha gett tillstånd ska då utan dröjsmål informeras om att överföringen har gjorts. lag finns motsvarande bestämmelse i 7 § första stycket 1, som genomför artikel 13.1 c i dataskyddsrambeslutet. Enligt den bestämmelsen får personuppgifter överföras endast om den som överfört eller gjort uppgifterna tillgängliga har medgett att de över- förs. Enligt 7 § tredje stycket, som genomför artikel 13.2 i rambe- slutet, får, om medgivande på grund av tidsbrist inte kan utverkas i förväg, personuppgifterna ändå överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Det- samma gäller om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller en annan medlemsstat i EU. Den myndighet som skulle ha medgett överföringen ska, enligt 1 § förordningen (2013:343) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, utan dröjs- mål informeras om att överföringen gjorts utan föregående med- givande. Överföring till tredjeland och internationella organisationer Huvudregeln är att förhandstillstånd krävs Artikel 35.1 c bör genomföras i ramlagen. Av paragrafen bör det framgå att personuppgifter som en svensk myndighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en inter- nationell organisation endast om den medlemsstat som lämnat per- sonuppgifterna till en svensk myndighet i förväg har tillåtit det. Utredningen föreslår att ordet medge används i ramlagen, eftersom det på ett bättre sätt speglar vad som avses. Undantag vid allvarlig fara Även artikel 35.2 om undantag från kravet på förhandsmedgivande bör genomföras i ramlagen. Med hänsyn till att bestämmelsen lag är väl anpassad till hur svensk lagstiftning brukar ut- formas finns det skäl att använda en liknande formulering i ram- lagen. Det innebär att ordet fara bör användas i stället för ordet hot, som används i den svenska språkversionen av direktivet. En motsvarande bestämmelse, som också syftar till att tillgodose skyd- det för allmän säkerhet, finns i artikel 38.1 c. Där används ordet fara i den svenska versionen. I den engelska versionen av direktivet används ordet ”threat” i både artikel 35.2 och 38.1 c. Någon saklig skillnad kan därför inte vara avsedd. Det är vidare tillräckligt att det, på samma sätt som lag, anges att det ska vara fara för allmän säkerhet. Tillägget i direk- tivet att det ska gälla säkerheten i en medlemsstat eller ett tredje- land innebär att tillämpningsområdet omfattar alla stater och sak- nar därmed egentligt innehåll. Att använda formuleringen ”den allmänna säkerheten i en stat” skulle inte heller bidra till någon ökad klarhet. De väsentliga intressena, som enligt direktivet gäller till förmån för en medlemsstat, bör däremot avse eller en annan medlemsstat. Det bör föreskrivas att den som har överfört personuppgifter till ett tredjeland eller en internationell organisation utan för- handsmedgivande, när sådant krävs, utan dröjsmål ska informera den medlemsstat som lämnat uppgifterna till om över- föringen. En sådan bestämmelse kan tas in i förordning. Överföring till tredjeland och internationella organisationer 15.4Beslut om adekvat skyddsnivå Utredningens förslag: Om kommissionen har beslutat att det finns adekvat nivå för skyddet av personuppgifter i ett tredje- land, eller en viss geografisk eller på annat sätt angiven del av det, får personuppgifter överföras dit. Detsamma gäller om det finns ett sådant beslut avseende en internationell organisation. Skälen för utredningens förslag Enligt artikel 36.1 får personuppgifter överföras till ett tredjeland eller en internationell organisation om kommissionen har beslutat att det tredjelandet eller den internationella organisationen säker- ställer en adekvat skyddsnivå. Därutöver ska de grundläggande förutsättningarna för överföring i artikel 35 vara uppfyllda. Kommissionen får enligt artikel 36.3, med bindande verkan för medlemsstaterna, besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland, eller en inter- nationell organisation säkerställer en adekvat skyddsnivå. Den ter- ritoriella och sektoriella tillämpningen ska anges i beslutet och det ska också, i förekommande fall, anges vilken eller vilka myndighe- ter som är tillsynsmyndigheter. En mekanism för regelbunden översyn, minst , ska inrättas. Vilka omständigheter kommissionen ska beakta när den beslutar om adekvat skyddsnivå framgår av artikel 36.2. Enligt artikel 36.4 ska kommissionen fort- löpande bevaka om utvecklingen i ett tredjeland eller hos en inter- nationell organisation påverkar ett beslut om adekvat skyddsnivå. Kommissionen får enligt artikel 36.5, även det med bindande verkan för medlemsstaterna, besluta att ett tredjeland, ett territo- rium eller en eller flera specificerade sektorer inom det tredjelan- det, eller en internationell organisation inte längre säkerställer en adekvat skyddsnivå. Kommissionen kan alltså dra tillbaka, ändra eller upphäva ett beslut om adekvat skyddsnivå och även förordna att beslutet ska gälla . Om kommissionen fattar ett sådant beslut är det inte längre tillåtet att överföra personuppgifter dit. Däremot kan en överföring vara tillåten om kraven på lämpliga Överföring till tredjeland och internationella organisationer skyddsåtgärder eller undantag i särskilda situationer är uppfyllda (se skäl 70). Enligt artikel 36.8 ska kommissionen på sin webbplats och i EU:s officiella tidning offentliggöra beslut i fråga om adekvat skyddsnivå. lag finns motsvarande bestämmelse i 7 § första stycket 4, som genomför artikel 13.1 d i dataskyddsrambeslutet. Där anges som krav för överföring att den stat där den mottagande myndig- heten eller det mottagande internationella organet finns har en ade- kvat skyddsnivå för den avsedda personuppgiftsbehandlingen. Kommissionen får, enligt artikel 25.6 i det nu gällande data- skyddsdirektivet, konstatera att ett tredjeland, genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet, har en skyddsnivå som är adekvat. Om kommissio- nen meddelar ett sådant beslut är medlemsstaterna skyldiga att vidta nödvändiga åtgärder för att följa beslutet. Medlemsstaterna och kommissionen ska informera varandra om de anser att ett visst tredjeland inte har en adekvat skyddsnivå. Om kommissionen kommer fram till att ett tredjeland inte har en adekvat skyddsnivå är medlemsstaterna skyldiga att vidta de åtgärder som är nödvän- diga för att förhindra att personuppgifter överförs dit. Kommissio- nen ska i sådant fall vid lämpligt tillfälle inleda förhandlingar med det tredjelandet för att avhjälpa den uppkomna situationen. Möjligheten för kommissionen att besluta om adekvat skydds- nivå enligt artikel 25.6 har utnyttjats i förhållande till vissa länder och områden. Av 13 § personuppgiftsförordningen och bilaga 1 till förordningen framgår i vilken utsträckning personuppgifter får överföras till ett tredjeland, eller till vissa mottagare i ett tredjeland, som har en adekvat dataskyddsnivå. Adekvat skyddsnivå innebär att överföring alltid är tillåten Medlemsstaterna ska alltså, på samma sätt som , vara bundna av kommissionens beslut att ett tredjeland eller en internationell organisation har en adekvat skyddsnivå. Detsamma gäller ett beslut att ett tredjeland eller en internationell organisation inte längre Överföring till tredjeland och internationella organisationer uppfyller kraven på adekvat skyddsnivå. Även om ett tredjeland eller en internationell organisation inte längre säkerställer en ade- kvat skyddsnivå, ska det enligt artikel 36.7 fortfarande vara möjligt att i vissa fall föra över personuppgifter dit om lämpliga skyddsåt- gärder enligt artikel 37 säkerställs eller ett undantag för särskilda situationer i artikel 38 är tillämpligt. Merparten av artikel 36 behandlar kommissionens arbetsupp- gifter och kräver därmed inga lagstiftningsåtgärder. Artiklarna 36.1 och 36.3 bör däremot genomföras i ramlagen. Av paragrafen bör framgå att personuppgifter får överföras till ett tredjeland eller en internationell organisation om kommissionen har beslutat att lan- det eller organisationen säkerställer en adekvat nivå för skyddet av personuppgifter. Detsamma bör gälla om kommissionen har be- slutat att det finns en adekvat skyddsnivå i en viss geografisk eller på annat sätt angiven del av ett tredjeland, vilket motsvarar direkti- vets uttryck ett territorium eller en eller flera specificerade sektorer inom ett tredjeland. Ett sådant beslut skulle kunna avse t.ex. en region eller en viss myndighet i ett tredjeland. De grundläggande förutsättningarna för överföring av personuppgifter till ett tredje- land eller en internationell organisation ska också vara uppfyllda för att personuppgifter ska få överföras. Att kommissionen har återkallat ett beslut om adekvat skydds- nivå bör likställas med att det saknas ett sådant beslut. Det förhål- landet att det inte längre finns en adekvat skyddsnivå hindrar inte att personuppgifterna överförs med stöd av någon av de andra till- låtna grunderna för överföring (lämpliga skyddsåtgärder eller undantag i särskilda situationer). Det följer av övriga bestämmelser Utredningens förslag: Om det inte finns ett beslut om adekvat skyddsnivå, får personuppgifter ändå överföras till ett tredjeland eller en internationell organisation om skyddsåtgärder för per- sonuppgifter har fastställts i ett avtal som ger tillräckliga garan- tier till skydd för registrerades rättigheter, eller om den behöriga myndighet som uppgifterna ska överföras till på annat sätt garanterar tillräckligt skydd för dem. Överföring till tredjeland och internationella organisationer Skälen för utredningens förslag Även om det inte finns något beslut av kommissionen om adekvat skyddsnivå får personuppgifter överföras till ett tredjeland eller en internationell organisation om lämpliga skyddsåtgärder kan säker- ställas i det enskilda fallet. Enligt artikel 37.1 får personuppgifter överföras till ett tredjeland eller en internationell organisation om lämpliga skyddsåtgärder för personuppgifter har fastställts i ett rättsligt bindande instrument, eller om den personuppgiftsansva- rige har bedömt alla omständigheter kring överföringen och dragit slutsatsen att lämpliga skyddsåtgärder för personuppgifterna ändå föreligger. Dessutom ska de grundläggande förutsättningarna för överföring i artikel 35 vara uppfyllda. Som exempel på rättsligt bindande instrument anges i skäl 71 rättsligt bindande bilaterala avtal som har ingåtts av medlemssta- terna och genomförts i staternas rättsordningar och som kan åbe- ropas av registrerade. De bilaterala avtalen ska i sådana fall sörja för att kraven på dataskydd uppfylls och att registrerades rättigheter, däribland rätten till effektiv administrativ eller rättslig prövning, respekteras. Vid bedömningen av om det finns lämpliga skyddsåtgärder för personuppgifter bör enligt skäl 71 den personuppgiftsansvarige kunna beakta sådana samarbetsavtal som ingåtts mellan Europol eller Eurojust och tredjeland och som medger utbyte av person- uppgifter. Det bör också kunna beaktas att överföringen kommer att omfattas av tystnadsplikt och att personuppgifterna inte kom- mer att behandlas i annat syfte än det för vilket de överfördes. Dessutom bör den personuppgiftsansvarige beakta att personupp- gifterna inte kommer att användas för att göra framställningar om, meddela eller verkställa ett dödsstraff eller någon annan form av grym eller omänsklig behandling. Den personuppgiftsansvarige bör också kunna begära ytterligare skyddsåtgärder. Överföring till tredjeland och internationella organisationer Enligt artikel 26.2 i det nu gällande dataskyddsdirektivet får en medlemsstat tillåta att personuppgifter överförs till ett tredjeland som inte säkerställer en adekvat skyddsnivå om den personupp- giftsansvarige ställer tillräckliga garantier för att privatliv och en- skilda personers grundläggande fri- och rättigheter skyddas och för utövandet av motsvarande rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausuler. Artikeln har genomförts i 35 § andra stycket personuppgiftslagen som ger regeringen, eller den myndig- het som regeringen bestämmer, möjlighet att meddela föreskrifter om undantag från överföringsförbudet i personuppgiftslagen om det finns tillräckliga garantier till skydd för de registrerades rättig- heter. I enskilda fall får regeringen också besluta om undantag på sådan grund eller överlåta till tillsynsmyndigheten att fatta sådana beslut. Regeringen får vidare enligt 35 § första stycket personupp- giftslagen meddela föreskrifter om generella undantag från förbu- det mot överföring av personuppgifter, när överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Av 13 § personuppgiftsförordningen och bilaga 2 till förordningen framgår i vilken utsträckning personuppgifter får överföras till ett tredjeland med stöd av vissa standardavtalsklausu- ler. Ytterligare avtal som har ingåtts med tredjeland har genomförts i genom 13 a § personuppgiftsförordningen och bilaga 3 till förordningen. Enligt 7 § andra stycket lag, som genomför bl.a. arti- kel 13.3 a i dataskyddsrambeslutet, får personuppgifter överföras även om kravet på adekvat skyddsnivå inte är uppfyllt, om motta- garen i det enskilda fallet tillhandahåller tillräckliga skyddsåtgärder för personuppgifterna. Överföring är tillåten om det finns tillräckliga skyddsåtgärder Det bör i ramlagen tas in en bestämmelse om att personuppgifter får överföras till ett tredjeland eller en internationell organisation, trots att det inte finns ett beslut om adekvat skyddsnivå, om lämp- liga skyddsåtgärder säkerställs för personuppgiftsbehandlingen där. Paragrafen bör motsvara innehållet i artikel 37.1. De grundläggande förutsättningarna för överföring av personuppgifter till ett tredje- Överföring till tredjeland och internationella organisationer land eller en internationell organisation ska också vara uppfyllda för att personuppgifter ska få överföras.