sou · H5B329 · 2017-04-05 00:00:00 — Utredningen anser att det är tillräckligt att det av paragrafen framgår att det skulle vara ineffektivt eller olämpligt att överföra personuppgif- terna till en behörig myndighet i mottagarlandet. I kravet på att det skulle vara ineffektivt att föra över personuppgifterna till en behö- rig myndighet ligger att handläggningen riskerar att fördröjas. Exempel på när det kan vara ineffektivt att gå via en behörig myn- dighet i ett tredjeland kan vara överföringar till företag som Google eller Facebook, där det kan röra sig om stora mängder personupp- gifter som behöver överföras och det kan vara av avgö- rande betydelse med ett snabbt svar. I undantagsfall kan det vara olämpligt att överföra en person- uppgift via den behöriga myndigheten. Om tidigare kontakter i ärendet med den behöriga myndigheten fått negativa konsekvenser för den svenska myndighetens handläggning bör det kunna vara ett sådant fall. Ett annat exempel är kontakter med ett krigshärjat tredjeland där det kanske inte finns någon behörig myndighet att kommunicera med eller där det är oklart vem som är behörig företrädare för staten. Då är det nödvändigt att kunna överföra per- sonuppgifter till andra än behöriga myndigheter. Det är den överförande myndigheten som ska bedöma om det skulle vara ineffektivt eller på annat sätt olämpligt att överföra per- sonuppgifterna till en behörig myndighet. Överföring till tredjeland och internationella organisationer Det bör också finnas en bestämmelse som motsvarar innehållet i artikel 39.1 d. Av den bör framgå att om en svensk myndighet har överfört personuppgifter till någon som inte är en behörig myndig- het i ett tredjeland, ska den svenska myndigheten informera den behöriga myndigheten i det landet om överföringen. Vilken myn- dighet som är behörig i det tredjelandet avgörs av det landets regel- system. Informationen bör lämnas efter över- föringen. Det bör dock vara tillräckligt att informationen lämnas utan onödigt dröjsmål. Att visst kortare dröjsmål kan förekomma är naturligt eftersom det handlar om kontakter med tredjeland där det t.ex. kan vara nödvändigt att översätta informationen. Kravet på information ska inte gälla om det skulle vara ineffektivt eller olämpligt att lämna informationen. Det skulle t.ex. kunna vara in- effektivt om behöver informera behörig myn- dighet varje gång det görs en överföring av personuppgifter till Facebook eller Google i syfte att få information om användaren av konton. Bestämmelser om informationsskyldigheten och undantag från den kan tas in i förordning. 15.8.4En intresseavvägning ska göras Utredningens förslag: Personuppgifter får inte överföras till någon som inte är en behörig myndighet i ett tredjeland om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av att överföringen görs. Skälen för utredningens förslag: Utöver de redan nämnda villko- ren för att personuppgifter ska få överföras till andra än behöriga myndigheter, ska enligt artikel 39.1 b den överförande myndighe- ten ha fastställt att ingen av den berörda registrerades grundläg- gande fri- och rättigheter väger tyngre än det allmänna intresset som gör överföringen nödvändig i det aktuella fallet. En intresseav- vägning ska alltså göras. En bestämmelse som motsvarar innehållet i artikeln bör tas in i ramlagen. Intresseavvägningen påminner till viss del om den intres- Överföring till tredjeland och internationella organisationer seavvägning som föreslås i avsnitt 15.6.7. Bestämmelsen bör därför utformas på liknande sätt. De intressen som ska vägas mot varandra är å ena sidan den registrerades intresse av skydd mot att hans eller hennes grundläggande fri- och rättigheter kränks genom över- föringen och å andra sidan det allmännas intresse av att personupp- gifterna överförs. Väger den registrerades intresse av skydd tyngre får överföringen inte göras. 15.9Villkor för användningen av personuppgifter 15.9.1Villkor som ställs upp av utländska myndigheter eller organ Utredningens förslag: Om en svensk behörig myndighet har fått personuppgifter från ett tredjeland eller en internationell organisation och gäller på grund av en överenskommelse med det tredjelandet eller den internationella organisationen villkor som begränsar möjligheten att använda uppgifterna, ska svenska myndigheter följa villkoren oavsett vad som är föreskrivet i lag eller annan författning. Skälen för utredningens förslag: När en utländsk myndighet eller internationell organisation överför personuppgifter till en svensk myndighet är det inte ovanligt att den ställer upp villkor för hur uppgifterna får användas. Det kan handla om för vilka ändamål de får användas eller hur länge uppgifterna får behandlas. Det finns flera författningar som innehåller regler om vad som gäller när en svensk myndighet får personuppgifter från en ut- ländsk myndighet och det ställs villkor för hur uppgifterna får an- vändas. Sådana regler finns bl.a. i 5 kap. 1 § lagen (2000:562) om internationell rättslig hjälp i brottmål, 4 kap. 2 § lagen (2000:1219) om internationellt tullsamarbete och 5 § lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar. I 8 § första stycket lag, som bl.a. genomför artikel 12 i ram- beslutet, finns en regel om att svenska myndigheter ska följa villkor som begränsar möjligheten att använda personuppgifter som den fått från medlemsstater i EU, , , eller Liech- tenstein, ett EU-organ eller ett EU-informationssystem. Överföring till tredjeland och internationella organisationer regler innebär att svenska myndigheter är skyldiga att följa de vill- kor som ställs i fråga om hur lämnad information får användas. Det gäller oavsett om villkoren skulle stå i strid med svensk lagstiftning (se bl.a. JO 2007/08 s. 57 angående tillämpningen). Direktivet föreskriver inte någon skyldighet för medlemsstater- nas myndigheter att följa sådana villkor som ett tredjeland eller en internationell organisation har ställt upp för användningen av per- sonuppgifter som överförs av det tredjelandet eller den interna- organisationen. Utredningen anser att det behövs en sådan reglering i ramlagen, bl.a. mot bakgrund av att den nuvarande regle- ringen inte täcker ramlagens hela tillämpningsområde. Av paragra- fen bör framgå att svenska myndigheter ska följa villkor som ställts upp av ett tredjeland eller en internationell organisation. Sådana användningsbegränsningar bör följas oavsett vad som annars är föreskrivet i lag eller annan författning. Paragrafen bör utformas efter mönster av andra liknande bestämmelser. 15.9.2Villkor när personuppgifter överförs av svenska myndigheter Utredningens förslag: En svensk behörig myndighet får, vid överföring av personuppgifter till ett tredjeland eller en interna- tionell organisation, i ett enskilt fall ställa upp villkor som be- gränsar möjligheten att använda uppgifterna, om det krävs med hänsyn till enskilds rätt eller från allmän synpunkt. Skälen för utredningens förslag: När en svensk behörig myndig- het överför personuppgifter till ett tredjeland eller en internationell organisation finns det ibland skäl att ställa villkor som begränsar användningen av uppgifterna, t.ex. för vilket ändamål och hur länge de får behandlas. Behovet av sådana användningsbegränsningar visar sig normalt redan i samband med att en utländsk myndighet begär att få ut personuppgifter som finns tillgängliga hos en svensk myndighet eller att den svenska myndigheten behöver överföra sådana uppgifter. Att personuppgifterna förses med villkor för an- vändningen kan ibland vara en förutsättning för att det ska anses vara lämpligt att överföra uppgifterna. Överföring till tredjeland och internationella organisationer finns det inom ramlagens tillämpningsområde bestämmel- ser i flera lagar om att svenska myndigheter under vissa förutsätt- ningar får ställa upp villkor som begränsar möjligheten att använda uppgifter som lämnas till en annan stat. Det gäller 5 kap. 2 § lagen om internationell rättslig hjälp i brottmål, 2 kap. 7 § lagen om in- ternationellt tullsamarbete och 6 § lagen om vissa former av inter- nationellt samarbete i brottsutredningar. Lagarna i fråga reglerar samarbete över gränserna och utbyte av information i det samar- betet. Regleringen gäller generellt och alltså inte bara i förhållande till tredjeland utan även i samarbetet mellan medlemsstater. Fler- talet av dem gäller dock inte i förhållande till internationella organi- sationer. Lagarna gäller vidare bara för vissa svenska myndigheter. I 9 § lag, som bl.a. genomför artikel 12 i dataskydds- rambeslutet, föreskrivs att om en svensk myndighet överför per- sonuppgifter, ska myndigheten underrätta mottagaren om de vill- kor som gäller för användningen av uppgifterna. Paragrafen gäller endast när personuppgifter överförs till medlemsstater i EU, till , , eller eller till ett EU-organ eller ett EU-informationssystem. Direktivet reglerar inte möjligheten för en behörig myndighet i en medlemsstat att ställa upp villkor för hur personuppgifter som överförs till ett tredjeland eller en internationell organisation när personuppgifter får användas. Utredningen anser att det behövs en sådan reglering i ramlagen av de skäl som nämnts. En bestäm- melse om villkor för användningen av personuppgifter som över- förs till tredjeland och internationella organisationer kan inte anses stå i strid med direktivet, eftersom det syftar till att stärka skyddet för enskilda. Ett exempel på när det kan finnas behov av att ställa upp villkor för behandlingen av personuppgifter är när en svensk behörig myn- dighet vill kunna kontrollera att personuppgifterna inte utan myn- dighetens vetskap vidareöverförs till ett annat tredjeland (se av- snitt 15.7). Förses personuppgifterna med ett sådant villkor när de överförs begränsas risken för att uppgifterna sprids vidare. Det bör därför föreskrivas att svenska behöriga myndigheter i ett enskilt fall får ange villkor för hur personuppgifter som överförs till ett tredjeland eller en internationell organisation får användas. Överföring till tredjeland och internationella organisationer Utredningens förslag: Skyldigheten att i vissa fall dokumentera överföringar som görs till tredjeland eller internationella organi- sationer ska regleras i förordning. Detsamma gäller den person- uppgiftsansvariges skyldighet att informera tillsynsmyndigheten om vissa överföringar till tredjeland och internationella orga- nisationer. Skälen för utredningens förslag En nyhet i direktivet är att det införs dokumentationskrav och skyldighet att informera tillsynsmyndigheten om vissa typer av överföringar till tredjeland och internationella organisationer. Enligt artikel 37.2 ska den personuppgiftsansvarige informera tillsynsmyndigheten om kategorier av överföringar som görs enligt artikel 37.1 b, dvs. på den grunden att den personuppgiftsansvarige har bedömt att det finns lämpliga skyddsåtgärder för personupp- gifterna. Sådana överföringar ska enligt artikel 37.3 dokumenteras och dokumentationen ska på begäran göras tillgänglig för tillsyns- myndigheten. Även när en överföring görs enligt artikel 38.1, dvs. i särskilda situationer, ska överföringen dokumenteras och doku- mentationen ska på begäran göras tillgänglig för tillsynsmyndighe- ten. Det framgår av artikel 38.3. I båda fallen ska dokumentationen innehålla upplysning om datum och tidpunkt för överföringen, in- formation om den mottagande behöriga myndigheten, skälet till överföringen och de personuppgifter som har överförts. En myndighet, som med stöd av artikel 39.1 har överfört per- sonuppgifter direkt till en mottagare som är etablerad i ett tredje- land, ska enligt artikel 39.3 informera tillsynsmyndigheten om överföringen. Även sådana överföringar ska dokumenteras. Överföring till tredjeland och internationella organisationer Informationsskyldighet och krav på dokumentation Det bör enligt utredningens mening finnas bestämmelser som genomför direktivets krav på information och dokumentation när personuppgifter överförs till ett tredjeland eller en internationell organisation. Bestämmelserna kan tas in i förordning. När en överföring görs på den grunden att den personuppgifts- ansvarige har bedömt att den behöriga myndigheten som person- uppgifterna ska överföras till garanterar ett tillräckligt skydd för uppgifterna på annat sätt än genom avtal, ska överföringen doku- menteras. Dokumentationen ska på begäran göras tillgänglig för tillsynsmyndigheten. Den personuppgiftsansvarige ska dock alltid informera tillsynsmyndigheten om samlingar av överföringar som görs på denna grund. Om personuppgifter överförs med stöd av reglerna om undan- tag för särskilda situationer ska överföringen också dokumenteras och dokumentationen göras tillgänglig för tillsynsmyndigheten på begäran. Syftet är att tillsynsmyndigheten i efterhand ska kunna kontrollera om överföringen har gjorts i enlighet med reglerna. För överföringar i särskilda situationer ställs dock inget krav på att den personuppgiftsansvarige ska informera tillsynsmyndigheten om samlingar av överföringar. När det gäller överföringar som görs till andra än behöriga myndigheter i tredjeland bör det föreskrivas att sådana överföringar ska dokumenteras. Den överförande myndigheten ska också in- formera tillsynsmyndigheten om samtliga överföringar som görs på den grunden. Informationsskyldigheten är alltså mer omfattande än vid överföringar som görs sedan den personuppgiftsansvarige har bedömt alla omständigheter kring överföringen och funnit att den mottagande behöriga myndigheten garanterar ett tillräckligt skydd för personuppgifterna. bör tillsammans med de behöriga myndig- heterna utarbeta rutiner för när och hur informationen bör lämnas. Särskilt om dokumentationen i vissa fall I dokumentationen av överföringar som görs på den grunden att den mottagande myndigheten på annat sätt än genom avtal garante- rar tillräckligt skydd för personuppgifterna eller med stöd av reg- Överföring till tredjeland och internationella organisationer lerna om undantag för särskilda situationer ska det upplysas om datum och tid för överföringen. Det bör alltså framgå när över- föringen gjordes. Dokumentationen ska även innehålla de personuppgifter som har överförts. Är det enbart fråga om någon enstaka personuppgift, t.ex. ett namn, vållar det inga större svårigheter att dokumentera den uppgiften. Om det däremot är fråga om en större mängd per- sonuppgifter, t.ex. alla uppgifter i ett register eller i ett ärende, är det inte rimligt att alla dessa ska framgå av dokumentationen. Det bör vara tillräckligt att dokumentationen innehåller sådan informa- tion som behövs för att det i efterhand ska gå att ta fram vilka per- sonuppgifter som överfördes, exempelvis genom hänvisning till ett ärendenummer hos . Dokumentationen bör även innehålla information om den mot- tagande behöriga myndigheten. Det bör alltså framgå vart per- sonuppgifterna har skickats. Slutligen bör dokumentationen återge skälen för överföringen. I den engelska versionen av direktivet används uttrycket ”the justifi- cation for the transfer”, dvs. motiveringen för överföringen. För att tillsynsmyndigheten ska kunna granska om överföringen har varit tillåten, bör det finnas information om varför den gjordes och hur myndigheten kom fram till att överföringen kunde göras. Under- laget för bedömningen att den mottagande myndigheten garante- rade tillräckligt skydd för personuppgifterna på annat sätt än genom avtal eller att ett undantag för särskilda situationer var för handen är alltså en viktig del av dokumentationen. Utredningen anser att både ändamålet med överföringen och vilken grund för överföring som har tillämpats i det enskilda fallet kan tolkas in i direktivets uttryck skälet till överföringen. För tyd- lighetens skull bör det framgå att både ändamålet med och grunden för överföringen ska dokumenteras. Exempel på sådan information skulle kunna vara att personuppgifter har överförts till ett tredje- land för att svensk åklagare ska utreda ett bedrägeribrott (ändamål inom ramlagens tillämpningsområde) och att den behöriga myndig- heten i det tredjelandet bl.a. har garanterat att uppgifterna inte kommer att användas för något annat ändamål (tillräckliga skydds- åtgärder). Ett annat exempel kan vara att personuppgifter har över- förts till ett tredjeland för att en dömd har begärt (den särskilda situationen berättigat intresse) att få överföra sin straffverkstäl- Överföring till tredjeland och internationella organisationer lighet (ändamål inom ramlagens tillämpningsområde) från till det tredjelandet. Däremot bör det inte vara tillräckligt att enbart ange att personuppgifter har överförts till ett angivet tredjeland med stöd av en viss paragraf i ramlagen. Informations- och dokumentationsskyldigheten kan regleras i förordning. Utredningens bedömning: Några lagstiftningsåtgärder krävs inte för att stärka delaktighet i det internationella sam- arbetet till skydd för personuppgifter. Skälen för utredningens bedömning: Av artikel 40 framgår att kommissionen och medlemsstaterna ska vidta lämpliga åtgärder för att utveckla rutiner för internationellt samarbete och på internatio- nell nivå erbjuda ömsesidigt bistånd. Syftet är att underlätta en effektiv tillämpning av lagstiftningen om skydd av personuppgifter. Det ömsesidiga biståndet kan avse bl.a. underrättelser, klagomål, hjälp vid utredningar och informationsutbyte. Lämpliga åtgärder ska också vidtas öka det internationella samarbetet när det gäller tillämpningen av aktuell lagstiftning. Vidare ska medlemsstaterna främja utbyte och dokumentation om lagstiftning och praxis. Några lagstiftningsåtgärder behövs inte för att genomföra reglerna om internationellt samarbete till skydd för personuppgifter. Mot bakgrund av att redan deltar i internationellt sam- arbete när det gäller bl.a. polisiära och straffrättsliga frågor, i vilket personuppgiftsbehandling är en viktig del, och att det redan finns lagstiftning för det samarbetet (se bl.a. avsnitt 3.2.6 och 3.2.7), ser utredningen inget behov av någon ytterligare lagstiftning. Det internationell samarbetet mellan tillsynsmyndigheterna be- handlas i avsnitt 12.10. Överföring till tredjeland och internationella organisationer 15.12 Sekretess vid överföring till tredjeland 15.12.1 Överföring innebär utlämnande En överföring av personuppgifter från en svensk myndighet till ett tredjeland eller en internationell organisation är ett utlämnande i offentlighets- och sekretesslagens mening (se t.ex. 6 kap. 1 § om utlämnande av allmän handling och 6 kap. 4 § om utlämnande av uppgift). Frågan är då hur förutsättningarna för att överföra per- sonuppgifter till tredjeland förhåller sig till reglerna om offentlig- het och sekretess. Bestämmelserna i direktivet om överföring av personuppgifter till tredjeland är, liksom bestämmelserna lag och personuppgiftslagen, formellt neutrala i den meningen att det i princip inte påverkar tillämpningen om de personuppgifter som överförs omfattas av sekretess eller inte hos den utlämnande myndigheten. Det är en annan sak att eventuell sekretess för över- förda personuppgifter kan påverka vilken skyddsnivå i mottagar- landet som krävs i det enskilda fallet. Är det fråga om sekretess- belagda uppgifter som ska överföras kan det exempelvis finnas skäl att ställa högre krav på tillräckliga skyddsåtgärder för att överföra personuppgifter på den grunden. 15.12.2Utlämnande av offentliga allmänna handlingar till tredjeland Om personuppgifter och andra uppgifter i en allmän handling är offentliga – dvs. inte omfattas av sekretess eller träffas av en sekre- tessbestämmelse men vid en prövning bedöms inte vara sekretess- belagda – ska handlingen lämnas ut till en enskild som begär att få ta del av den med stöd av 2 kap. tryckfrihetsförordningen. Det gäller oavsett om han eller hon befinner sig i ett tredjeland och oav- sett medborgarskap. En utlänning i tredjeland har alltså samma rätt som en svensk medborgare att enligt 2 kap. 13 § tryckfrihetsför- ordningen mot avgift få en kopia av handlingen. I praktiken bety- der det att en myndighet inte kan neka att lämna ut handlingen med hänvisning till att skyddsnivån för personuppgifter i mottagar- landet inte är tillräcklig. Myndigheterna är dock enligt 2 kap. 13 § första stycket andra meningen tryckfrihetsförordningen inte skyl- diga att lämna ut allmänna handlingar i elektronisk form. Överföring till tredjeland och internationella organisationer ling av personuppgifter vid utlämnande av allmänna handlingar reg- leras som anges i avsnitt 7.3 i dataskyddsförordningen. 15.12.3 Uppgifter som inte är sekretessbelagda Vid utlämnande av personuppgifter till ett tredjeland i andra situa- tioner än med stöd av 2 kap. tryckfrihetsförordningen, är regelver- ket inte lika tydligt. Handlar det om utlämnande enligt bestämmel- ser om ärendehandläggning eller liknande, t.ex. bestämmelser om kommunikation eller partsinsyn, görs ingen skillnad på parter i , EU eller tredjeland. Det finns inga generellt tillämpliga bestämmelser som vare sig förpliktar eller begränsar myndigheter vid utlämnande av offentliga personuppgifter till tredjeland, t.ex. en myndighet i ett sådant land (jfr SOU 2015:39 s. 484). Att en myndighet enligt 6 kap. 5 § offentlighets- och sekretesslagen på begäran av en annan myndig- het är skyldig att lämna ut en uppgift som den förfogar över om uppgiften inte är sekretessbelagd, ses i allmänhet som en precise- ring av myndigheternas allmänna samverkansskyldighet som tar sikte på svenska förvaltningsmyndigheter och domstolar. Den medför inte någon skyldighet att lämna ut personuppgifter, vare sig de är sekretessbelagda eller inte, till utländska myndigheter (jfr bet. 1982/83:KU12 s. 36). En utländsk myndighet anses inte heller ha rätt att överklaga en myndighets beslut att inte lämna ut en allmän handling eller att avslå en begäran om att få del av en personuppgift (Lenberg m.fl., supplement 12, , s. 6:7.4 f.). 15.12.4 Uppgifter som är sekretessbelagda Utgångspunkten är att en sekretessbelagd uppgift inte får röjas för en utländsk myndighet eller en mellanfolklig organisation. Enligt 8 kap. 3 § offentlighets- och sekretesslagen får dock sekretessbe- lagda uppgifter lämnas ut till en utländsk myndighet eller en mel- lanfolklig organisation om utlämnandet görs med stöd av särskild föreskrift i lag eller förordning. Med det avses uttryckliga uppgifts- skyldigheter eller andra sekretessbrytande regler. Sekretessbelagda uppgifter får även enligt 8 kap. 3 § offentlig- hets- och sekretesslagen lämnas till en utländsk myndighet eller en Överföring till tredjeland och internationella organisationer mellanfolklig organisation om uppgiften i motsvarande fall får läm- nas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas ut. Om en svensk myndighet i mot- svarande läge inte skulle ha fått uppgifterna på grund av sekretess får de alltså inte lämnas ut. Vid bedömningen av om uppgiftsläm- nandet är förenligt med svenska intressen får bl.a. intresse av internationellt samarbete med den utländska myndigheten eller det mellanfolkliga organet beaktas. Det kan inom ramen för det internationella samarbetet finnas bestämmelser som hindrar att personuppgifter överförs till tredje- land. Enligt t.ex. 10 § lagen (2000:344) om Schengens informa- tionssystem får en uppgift som behandlas i registret inte överföras eller göras tillgänglig för ett tredjeland (med vilket här bör förstås stater som inte är anslutna till ) eller en inter- nationell organisation. 16.1Allmänt om offentlighet och sekretess 16.1.1Rätten att ta del av allmänna handlingar Enligt 2 kap. 1 § tryckfrihetsförordningen har var och en rätt att ta del av allmänna handlingar. Den rätten får enligt 2 kap. 2 § första stycket tryckfrihetsförordningen begränsas bara om det är nödvän- digt med hänsyn till vissa intressen.