sou · H5B329 · 2017-04-05 00:00:00 — I enlighet med artikel 37.1 a bör för det första lämpliga skydds- åtgärder kunna föreligga om ett avtal säkerställer skyddet för per- sonuppgifter. Ett sådant avtal är dataskyddskonventionen (se av- snitt 4.3). Det har också träffats ett avtal mellan och EU om skydd av personuppgifter i samband med förebyggande, utredning, avslöjande och lagföring av brott (kallat Umbrella agreement). Av- talet bör betraktas som ett sådant avtal som ger tillräckliga garan- tier till skydd för behandlingen av personuppgifter. Även andra avtal om internationellt samarbete som innehåller bestämmelser om dataskydd och som respekterar registrerades rättigheter kan garan- tera tillräckligt skydd för personuppgifter som överförs. För det andra bör personuppgifter få överföras om den person- uppgiftsansvarige har tagit hänsyn till alla omständigheter kring överföringen och dragit slutsatsen att lämpliga skyddsåtgärder för personuppgifterna föreligger. Innebörden är att överföringen är tillåten om den behöriga myndighet som personuppgifterna över- förs till säkerställer lämpliga skyddsåtgärder för personuppgifterna. Direktivet använder uttrycket lämpliga skyddsåtgärder. Att an- vända uttrycket lämpliga skyddsåtgärder kan ge intryck av att den som vill överföra personuppgifter kan göra en skönsmässig bedöm- ning av vilka skyddsåtgärder som är lämpliga, vilket inte är avsik- ten. lag används uttrycket tillräckliga skyddsåtgärder, vilket är en lämplig formulering. Utredningen föreslår att formu- leringen skyddsåtgärder för personuppgifter som ger tillräckliga garantier till skydd för registrerades rättigheter används beträffande skydd som garanteras genom avtal. I den bestämmelse som genom- för artikel 37.1 b bör därför föreskrivas att den behöriga myndighet som personuppgifterna överförs till på annat sätt än genom avtal ska garantera tillräckligt skydd för uppgifterna. Tillräckliga skydds- åtgärder kan då användas som ett samlingsbegrepp både för garan- tier genom avtal och för andra garantier. När tillräckliga skyddsåtgärder inte garanteras genom ett avtal ska den personuppgiftsansvarige, inför överföring av personupp- gifter till ett tredjeland eller en internationell organisation, bedöma alla omständigheter kring överföringen. Vid bedömningen bör den personuppgiftsansvarige t.ex. kunna beakta att den som ska be- handla uppgifterna i det tredjelandet eller den internationella orga- Överföring till tredjeland och internationella organisationer nisationen kommer att ha tystnadsplikt som omfattar de överförda uppgifterna eller att det garanteras att personuppgifterna inte kommer att behandlas för något annat ändamål än det för vilket de överförts. Kommer personuppgifterna att omfattas av sekretess efter att de överförts till ett tredjeland eller en internationell orga- nisation kan det också vägas in vid bedömningen av om det finns tillräckliga skyddsåtgärder. Den personuppgiftsansvarige bör även kunna beakta vilka regler som gäller för behandling av personupp- gifter i det tredjelandet eller vilka interna rutiner som tillämpas i den internationella organisation dit personuppgifterna ska föras. Prövningen av ett lands skyddsnivå ska göras med utgångspunkt i omständigheterna i det enskilda fallet. Det är alltså inte tillräckligt att det t.ex. görs en bedömning av förhållandena i ett visst tredjeland eller hos en viss organisation och att den bedömningen sedan generellt läggs till grund för beslut att överföra personupp- gifter dit. En annan sak är att överföring av vissa personuppgifter kan vara standardbetonad, t.ex. att översända utdrag ur belastnings- registret. Är det fråga om sådana rutinöverföringar räcker det enligt utredningens mening att kontrollera skyddsnivån medan det inte krävs någon särskild bedömning av innehållet i registerutdraget. För att tillsynsmyndigheten ska kunna säkerställa att pröv- ningen av skyddsnivån varit fullgod är det nödvändigt att en hän- visning görs i det enskilda fallet till vilka dokument och eventuella upplysningar som har legat till grund för bedömningen. 15.6Undantag i särskilda situationer 15.6.1Överföringen ska vara nödvändig i en särskild situation Utredningens förslag: Om det inte finns ett beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder får en överföring, eller en samling av överföringar, av personuppgifter göras till ett tredjeland eller en internationell organisation endast om över- föringen är nödvändig i vissa särskilda undantagssituationer. Överföring till tredjeland och internationella organisationer Skälen för utredningens förslag Finns det inte ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder får en överföring, eller en kategori av överföringar, av personuppgifter endast äga rum i särskilda undantagssituationer som räknas upp i artikel 38.1. De grundläggande förutsättningarna för att överföra personuppgifter till ett tredjeland eller en inter- nationell organisation enligt artikel 35 ska dock alltid vara upp- fyllda. De situationer som anges i artikel 38.1 är att överföringen ska vara nödvändig för att a)skydda intressen som är av grundläggande betydelse för den registrerade eller en annan person, b)skydda den registrerades berättigade intressen om lagstiftningen i den medlemsstat som överför personuppgifterna föreskriver det, c)avvärja en omedelbar eller allvarlig fara för den allmänna säker- heten i en medlemsstat eller i ett tredjeland, d)i ett enskilt fall förebygga, förhindra, avslöja, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot, förebygga och förhindra hot mot den allmänna säkerheten, och e)i ett enskilt fall fastslå, göra gällande eller försvara rättsliga an- språk. Enligt 7 § andra stycket lag, som genomför artikel 13.3 a i dataskyddsrambeslutet, får, om kravet på adekvat skyddsnivå inte är uppfyllt, personuppgifter överföras i ett enskilt fall om överfö- ringen är motiverad av ett berättigat intresse hos den som uppgif- terna avser eller av ett särskilt viktigt allmänt intresse eller om mottagaren i det enskilda fallet tillhandahåller tillräckliga skyddsåt- gärder för personuppgifterna. Överföring till tredjeland och internationella organisationer Överföring är tillåten bara för att tillgodose viktiga intressen Eftersom direktivet reglerar all personuppgiftsbehandling inom tillämpningsområdet kommer överföringsreglerna i ramlagen att tillämpas i fler situationer än motsvarande reglering lag. Den lagen är bara tillämplig beträffande sådana personuppgifter som har fått från en annan EU-medlemsstat, , , , eller ett EU-organ eller EU-informations- system. Det är därför av stor vikt att det i ramlagen tydligt regleras vad som bör gälla i de fall där ett visst tredjeland eller en viss orga- nisation inte omfattas av ett beslut om adekvat skyddsnivå och där inte heller tillräckliga skyddsåtgärder garanteras. I enskilda fall kan det nämligen, trots bristen på skydd för personuppgifter, vara angeläget att kunna föra över vissa personuppgifter till ett sådant land eller en sådan organisation. Ett exempel på när personuppgifter kan behöva överföras, trots att kraven på adekvat skyddsnivå och tillräckliga skyddsåtgärder inte är uppfyllda, kan vara att en misstänkt har överlämnats till enligt den europeiska arresteringsordern men har lyckats fly från lagföring eller verkställighet av straff och antas befinna sig i exempelvis ett land i eller från vilket svenska myndigheter begär honom eller henne utlämnad. Ett annat exempel kan vara att svenska myndigheter har information om att en miss- tänkt terrorist befinner sig här i landet men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå brott där. Det bör därför tas in en bestämmelse i ramlagen om att person- uppgifter får överföras till ett tredjeland eller en internationell organisation, trots att det inte finns ett beslut om adekvat skydds- nivå eller tillräckliga skyddsåtgärder, om överföringen är nödvändig i vissa särskilda undantagssituationer. Paragrafen bör motsvara innehållet i artikel 38.1. De särskilda situationerna behandlas i det följande. Det bör dock understrykas att de grundläggande förut- sättningarna för överföring alltid ska vara uppfyllda för att per- sonuppgifter ska få överföras i de särskilda undantagsfallen. Överföring till tredjeland och internationella organisationer En nyhet i direktivet är uttrycket en kategori av överföringar av personuppgifter. I den engelska språkversionen av direktivet talas det om ”a category of transfers” och i den tyska används uttrycket ”eine ”. Någon förklaring till vad som avses kan inte utläsas av direktivet. I dataskyddsförordningens bestämmelse om överföring av personuppgifter till tredjeland i särskilda situationer, artikel 49, talas det om uppsättning av över- föringar. Det engelska uttrycket som används där är ”set of trans- fers” och det tyska är ””, vilka motsvarar den svenska språkversionen. Ordet kategori används i andra artiklar, t.ex. kategorier av regi- strerade i artikel 6 och särskilda kategorier av personuppgifter i artikel 10. I dessa fall handlar det om olika grupper av personer, t.ex. personer som dömts för brott eller brottsoffer, respektive typer av personuppgifter, t.ex. genetiska uppgifter och uppgifter om hälsa och sexualliv. I artikel 14 b och c talas det om kategorier av personuppgifter respektive kategorier av mottagare. Kategorier av mottagare kan avse vilken typ av myndighet som får personupp- gifterna, t.ex. domstolar. Det är svårt att förstå vad som avses med kategorier av över- föringar bara genom att jämföra med hur ordet kategori används i andra artiklar. Det ligger närmare till hands att anta att det rör sig om överföringar som på något sätt är samlade, antingen för att det rör sig om flera överföringar av samma typ av personuppgifter till olika mottagare, flera överföringar i ett ärende eller överföringar av samma personuppgifter till flera mottagare . Som exempel kan nämnas att det i ett tredjeland utreds brott av en större liga som har anknytning till och myndigheter i det tredjelandet begär att få utdrag ur belastningsregistret på samtliga misstänkta. Ett annat exempel kan vara om det till ett tredjeland lämnas ut en digital upptagning från en kameraövervakning och det på upptag- ningen finns flera personuppgifter i form av personer, fordon och andra indirekta personuppgifter. En utskrift från hemlig avlyssning av elektronisk kommunikation som skickas till ett tredjeland eller en internationell organisation kan t.ex. innehålla uppgifter om olika personer som förekommer i en förundersökning. Överföring till tredjeland och internationella organisationer Utredningen anser att uttrycket samling av överföringar bör an- vändas i stället för kategori av överföringar, eftersom det bättre speglar vad vi uppfattar avses i direktivet. Utredningens förslag: I undantagsfall får personuppgifter över- föras om det är nödvändigt för att skydda den registrerades eller en annan fysisk persons vitala intressen. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 38.1 a får en överföring, eller en kategori av överfö- ringar, av personuppgifter göras till ett tredjeland eller en interna- tionell organisation om det är nödvändigt för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person. I 34 § första stycket d personuppgiftslagen, som genomför arti- kel 26.1 e i det nu gällande dataskyddsdirektivet, föreskrivs att per- sonuppgifter, trots det generella förbudet, får överföras till ett tredjeland om överföringen är nödvändig för att vitala intressen för den registrerade ska kunna skyddas. Överföring för att skydda enskildas vitala intressen Den första undantagssituationen avser enligt artikel 38.1 a fall där överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person. Det bör tas in en regel i ramlagen som motsvarar innehållet i artikeln. Beträffande uttrycket grundläggande betydelse gör ut- redningen följande bedömning. I den svenska språkversionen av det nu gällande dataskyddsdi- rektivet anges i artikel 7 d, som en allmän princip för behandling av personuppgifter, att behandlingen ska vara nödvändig för att skydda intressen som är av grundläggande betydelse för den regi- Överföring till tredjeland och internationella organisationer I andra språkversioner av det direktivet används i stället uttryck som vitala eller livsviktiga intressen. I skäl 31 till det direk- tivet används uttrycket intressen som är av avgörande betydelse för den registrerades liv. I artikel 26.1 e i det nu gällande dataskyddsdi- rektivet, som föreskriver undantag från kravet på adekvat skydds- nivå vid överföring till tredjeland, används uttrycket intressen som är av avgörande betydelse för den registrerade. På grund av den osäkerhet som har rått om bestämmelsen i det nu gällande direkti- vet enbart syftar på sådant som är livsviktigt (gäller liv eller död) eller om även sådant som ”bara” är av grundläggande betydelse avses, valde lagstiftaren att i personuppgiftslagen använda uttrycket vitala intressen. Vitala intressen ansågs i svenskan ha såväl en snä- vare som en bredare innebörd (SOU 1997:39 s. 361). Det talas i den svenska språkversionen av det nya direktivet och dataskyddsförordningen om intressen som är av grundläggande betydelse eller om grundläggande intressen. I skäl 112 till data- skyddsförordningen används uttrycket ett intresse som är väsent- ligt för den registrerades eller en annan persons vitala intressen, inklusive dennes fysiska integritet och liv. I den tyska språkversio- nen av direktivet används uttrycket ”lebenswichtiger Intressen”, dvs. livsviktiga intressen, medan det i den engelska versionen talas om ”vital interests”. I övriga språkversioner används uttryck som till svenska kan översättas med vitala intressen, t.ex. ”des intérêts vitaux” på franska och ”los intereses ” på spanska. Det är oklart varför formuleringen intressen som är av grundläggande betydelse – som kan tolkas som mer vittomfattande än vitala in- tressen – har använts i den svenska versionen. Att vitala intressen används i personuppgiftslagen och därmed är ett inarbetat uttryck talar för att välja den formuleringen även i ramlagen. Vitala intressen är också det uttryck som används i andra språkversioner av direktivet. Utredningen anser därför att vitala intressen är det uttryck som bör användas. Med det bör förstås att det ska vara fråga om ett väsentligt intresse för den enskilde. Det kan röra liv, hälsa eller något annat som är av avgörande betydelse för den enskilde. Åtgärden ska vara nödvändig för att skydda vitala intressen för den registrerade eller en annan person. Vilken annan person det kan vara fråga om kan inte utläsas av direktivet. Någon annan än en fysisk person bör det enligt utredningen inte vara fråga om, efter- Överföring till tredjeland och internationella organisationer som målsättningen med direktivet är ett ökat skydd för fysiska personer. Utöver det bör den personkrets som ska omfattas av undantaget inte begränsas ytterligare i ramlagen. Det bör således framgå att överföringen ska vara nödvändig för att skydda vitala intressen för den registrerade eller för en annan fysisk person. Utredningens förslag: I undantagsfall får personuppgifter över- föras om det är nödvändigt för att skydda den registrerades berättigade intressen. Skälen för utredningens förslag: I artikel 38.1 b regleras den situa- tionen att överföringen av personuppgifter är nödvändig för att skydda den registrerades berättigade intressen, om lagstiftningen i den medlemsstat som överför personuppgifterna föreskriver det. Enligt 7 § andra stycket lag, som genomför bl.a. data- skyddsrambeslutets artikel 13.3 a i, får personuppgifter överföras trots att kravet på adekvat skyddsnivå inte är uppfyllt, om över- föringen är motiverad av ett berättigat intresse hos den som uppgif- ten avser. Medlemsstaterna får välja om det ska föreskrivas undantag till skydd för den registrerades berättigade intressen. Utredningen anser att den möjligheten bör utnyttjas för att registrerades skydd vid personuppgiftsbehandling inte ska bli för svagt. Ett särskilt skydd för registrerades berättigade intressen finns lag och motsvarande skydd bör finnas även fortsättnings- vis. Behovet tillgodoses inte genom de övriga undantagen för sär- skilda situationer. Rent språkligt innefattas t.ex. inte alla intressen som kan vara berättigade i vitala intressen. I förklaras ordet berättigad som någon som fått något till- delat sig eller förvärvat något, eller som är i sin fulla rätt att göra något. Berättigad kan också innebära att något är rättmätigt, väl- grundat eller grundat på fullgiltiga skäl. Det behöver alltså inte vara fråga om något som är livsviktigt eller annars av avgörande bety- delse för den registrerade. En bestämmelse som motsvarar arti- kel 38.1 b bör tas in i ramlagen. Uttrycket berättigat intresse bör användas eftersom det är inarbetat. Överföring till tredjeland och internationella organisationer I ärenden om utlämning för brott eller övertagande av lagföring kan personuppgifter om den misstänkte behöva överföras t.ex. för att ge den andra staten underlag för att bedöma om det finns till- räcklig grund för att utlämna personen eller att överta lagföringen. Det kan vara ett berättigat intresse för den misstänkte att lagföring kommer till stånd antingen i eller i den andra staten. Ett annat exempel på berättigat intresse kan vara att en misstänkt begär att ett vittne som befinner sig i ett tredjeland ska förhöras där. 15.6.4Myndigheters intresse i enskilda fall Utredningens förslag: I undantagsfall får personuppgifter över- föras om det är nödvändigt för att en behörig myndighet i ett enskilt fall ska kunna förebygga, förhindra eller upptäcka brotts- lig verksamhet, utreda eller lagföra brott, verkställa straffrätts- liga påföljder eller upprätthålla allmän ordning och säkerhet. Skälen för utredningens förslag Enligt artikel 38.1 d får en överföring, eller en kategori av överfö- ringar, av personuppgifter – trots avsaknad av beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder – göras till ett tredje- land eller en internationell organisation om överföringen är nöd- vändig i det enskilda fallet för de ändamål som omfattas av direkti- vets tillämpningsområde. Bestämmelsen är till för att tillgodose behöriga myndigheters intresse av att personuppgifter i ett speci- fikt fall ska kunna överföras till ett tredjeland eller en internationell organisation, trots att landet eller organisationen dit uppgifterna ska överföras inte omfattas av ett beslut om adekvat skyddsnivå och det inte heller finns tillräckliga skyddsåtgärder för personupp- gifterna. Överföring till tredjeland och internationella organisationer En bestämmelse som motsvarar artikel 38.1 d bör tas in i ramlagen. Det är viktigt att behöriga myndigheter har möjlighet att i enskilda fall överföra personuppgifter till tredjeland eller internationella organisationer. Utan en sådan möjlighet försvåras brottsbekämp- ning och lagföring. Om polisen t.ex. får tillförlitliga uppgifter om ett nära förestående attentat från personer kopplade till ett visst tredjeland måste information kunna utbytas med behöriga myn- digheter där, även om det inte finns ett beslut om adekvat skydds- nivå eller tillräckliga skyddsåtgärder garanteras. Överföringen ska vara nödvändig för något syfte som omfattas av ramlagens tillämp- ningsområde. Utredningen anser att det blir tydligare att i regeln uttryckligen ange vilka ändamål som avses än att hänvisa till den paragraf där tillämpningsområdet regleras. Situationer som skulle kunna göra det nu aktuella undantaget tillämpligt är om personuppgifter behöver överföras från till ett tredjeland för delgivning, bevisupptagning eller straffverk- ställighet där, eller för att få en person utlämnad därifrån för att tillgodose svenska behov. Undantaget kan även bli tillämpligt om ett tredjeland eller en internationell organisation på motsvarande sätt behöver få tillgång till svenska personuppgifter för brottsbe- kämpning, lagföring eller straffverkställighet. Överföringen ska vara nödvändig i det enskilda fallet t.ex. för att få fram upplys- ningar om en person som är misstänkt för ett mord i och som polisen tror uppehåller sig i . Ett annat exempel kan vara att överföringen är nödvändig för att kunna delge en i bosatt målsägande kallelse till en brottsmålsrättegång vid svensk domstol. I direktivet görs klart att undantaget bara får utnyttjas i enskilda fall. Det kan visserligen hävdas att varje överföring av personupp- gifter avser enskilda fall, men utredningen noterar att ingen sådan begränsning görs när det gäller undantagen till skydd för enskildas intressen. Utredningen tolkar inskränkningen till enskilda fall i denna punkt som ett uttryck för att undantaget för myndighetsin- tressen inte får utnyttjas för bl.a. strukturella och storskaliga överföringar (se skäl 72). Mot den bakgrunden bör det av lagtexten framgå att det ska vara fråga om enskilda fall. Överföring till tredjeland och internationella organisationer 15.6.5Rättsliga anspråk i enskilda fall Utredningens förslag: I undantagsfall får personuppgifter över- föras om det i ett enskilt fall är nödvändigt för att kunna fast- ställa, göra gällande eller försvara ett sådant rättsligt anspråk som hänför sig till ett sådant syfte som omfattas av ramlagens tillämpningsområde. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering I artikel 38.1 e regleras den situationen att överföring av person- uppgifter är nödvändig i ett enskilt fall för att fastslå, göra gällande eller försvara rättsliga anspråk som hänför sig till de syften som omfattas av direktivets tillämpningsområde. Även här pekar direk- tivet ut att det ska vara fråga om en överföring som är nödvändig i ett enskilt fall. I 34 § första stycket c personuppgiftslagen, som genomför bl.a. artikel 26.1 d i det nu gällande dataskyddsdirektivet, föreskrivs att personuppgifter, trots överföringsförbudet, får överföras till ett tredjeland om överföringen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Det krävs inte att det rättsliga anspråket är knutet till något särskilt ändamål. Överföring för att skydda rättsliga anspråk En bestämmelse som motsvarar artikel 38.1 e bör tas in i ramlagen. Beträffande uttrycket rättsligt anspråk gör utredningen följande bedömning. Rättsligt anspråk används förutom i 34 § första stycket c också i 16 § första stycket c personuppgiftslagen, där det anges som en grund för att få behandla känsliga personuppgifter. I kommen- taren till sistnämnda bestämmelse sägs att det inte är helt klart vad som avses med rättsliga anspråk. Förmodligen avses sådana anspråk om vilka man kan föra talan i domstol eller ett domstolsliknande organ och som kan utkrävas av eller med hjälp av statsmakterna, t.ex. (m.fl. s. 301). Överföring till tredjeland och internationella organisationer versionen av det nu gällande dataskyddsdirektivet (artikel 8.2 e) talas det om ”vor Gericht”, alltså inför domstol. Trots att det råder viss oklarhet om vad som avses med ett rättsligt anspråk i personuppgiftslagen anser utredningen att det ut- trycket bör användas i ramlagen, eftersom uttrycket är inarbetat. Dessutom är det betydligt enklare att identifiera vad som kan vara ett rättsligt anspråk inom ramlagens tillämpningsområde. Det kan t.ex. vara ett enskilt anspråk i anledning av brott. Även uttrycken fastställa, göra gällande och försvara är inarbetade och bör användas i ramlagen. Av paragrafen bör det framgå att det rättsliga anspråket ska hänföra sig till att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga på- följder eller upprätthålla allmän ordning och säkerhet.