sou · H5B329 · 2017-04-05 00:00:00 — Det ansågs ofrån- komligt att i personuppgiftslagen föreskriva förbud mot att över- föra personuppgifter till tredjeland och de konkreta undantag från förbudet som räknas upp i direktivet (prop. 1997/98:44 s. 96). Regeringen eller den myndighet som regeringen bestämmer har bemyndigats att meddela föreskrifter om ytterligare undantag från överföringsförbudet. modifierades överföringsförbudet till att bara gälla de fall där det saknas en adekvat skyddsnivå i det tredjelandet (se Personuppgiftslagens överföringsregler, prop. 1999/2000:11, s. 14 f.). Ändringen syftade till att skapa ökat utrymme för använd- ning av internet och andra elektroniska kommunikationssätt, t.ex. e-post. Överföring till tredjeland och internationella organisationer Enligt 33 § personuppgiftslagen är det alltså förbjudet att till tredjeland föra över personuppgifter som är under behandling, om landet inte har en adekvat skyddsnivå för personuppgifter. Förbu- det gäller även överföring av personuppgifter för behandling där. Frågan om skyddsnivån är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. I paragrafen anges vilka omständigheter som ska tillmätas särskild vikt. Den personuppgiftsansvarige anses ha bevisbördan för att skyddsnivån i det tredjelandet är adekvat (se prop. 1999/2000:11 s. 20). Trots avsaknad av adekvat skyddsnivå är enligt 34 § personupp- giftslagen överföring av personuppgifter till tredjeland tillåten om den enskilde har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig i vissa särskilt uppräknade fall. Paragra- fen reglerar vissa undantag från överföringsförbudet i 33 §. Ett viktigt undantag är att personuppgifter får föras över för använd- ning enbart i en stat som har anslutit sig till dataskyddskonventio- nen (se avsnitt 4.3). Även det nya dataskyddsdirektivet reglerar förutsättningarna för att överföra personuppgifter till tredjeland. Dessutom regleras överföringar till internationella organisationer. Bestämmelserna, som är förhållandevis detaljerade, finns i artiklarna 35–40. Ett grundläggande krav för överföring av personuppgifter till ett tredjeland eller en internationell organisation är att det tredjelandet eller den internationella organisationen säkerställer en adekvat skyddsnivå för uppgifterna. Kommissionen beslutar om ett tredje- land eller en internationell organisation uppfyller det kravet. Sådana beslut får direkt verkan i medlemsstaterna. Kommissionen ska i sin bedömning bl.a. ta hänsyn till rättsstatsprincipen, tillgången till rättslig prövning och om det finns oberoende tillsyn i mottagar- landet. Har kommissionen inte fattat något beslut om adekvat skydds- nivå, finns det ändå möjlighet att föra över personuppgifter till ett tredjeland eller en internationell organisation om överföringen om- fattas av lämpliga skyddsåtgärder. Om det inte finns ett beslut om Överföring till tredjeland och internationella organisationer adekvat skyddsnivå och överföringen inte heller omfattas av lämp- liga skyddsåtgärder, får överföringen göras endast om den är nöd- vändig i en särskild undantagssituation. Huvudregeln är att överföringen ska göras till en behörig myn- dighet i det tredjelandet. Medlemsstaterna ges dock möjlighet att föreskriva att personuppgifter, i enskilda och särskilda fall, får överföras direkt till mottagare i tredjeland. Utredningens bedömning: Det behövs inte någon definition av vad som avses med överföring. Skälen för utredningens bedömning Vad avses med överföring? Vilka åtgärder som innebär överföring av personuppgifter har dis- kuterats bl.a. av och (se SOU 2015:39 s. 478 f. och Allmänna hand- lingar i elektronisk form – offentlighet och integritet, SOU 2010:4, s. 338). Enligt är det inte fråga om överföring av personuppgifter till tredjeland bara genom att en person befinner sig utanför unionen med personuppgifter i sin be- sittning. Det krävs en avsikt att personuppgifterna ska nå en mot- tagare i tredjeland. Om en myndighet skickar, vidarebefordrar eller förmedlar information i elektronisk form till en mottagare som befinner sig i ett tredjeland torde det däremot vara fråga om en överföring (SOU 2015:39 s. 479 f.). Det krävs inte att överföringen till det tredjelandet innebär att personuppgifter lämnas ut till tredje man. Det anses vara en över- föring även om personuppgifterna lämnas till ett personuppgifts- biträde i tredjeland för att faktiskt behandlas där, t.ex. om en myn- dighet använder sig av en utländsk leverantör av en it-tjänst (SOU 2015:39 s. 480). Överföring till tredjeland och internationella organisationer Det saknas vägledande avgöranden i rättspraxis om vad som är att se som en överföring. I den juridiska litteraturen har det förts viss diskussion om vad som ska förstås med överföring (se bl.a. m.fl. s. 447 f.). I vilken mån det ska ses som en överföring att befinna sig i ett tredjeland och där ha elektronisk tillgång till personuppgifter som ”finns” i hemlandet anses exempelvis oklart. När det gäller publicering på internet antogs det tidigare att all öppen publicering på en webbplats innebar att personuppgifterna blev tillgängliga i hela världen och därmed kunde anses överförda till alla länder i det nu gällande dataskyddsdirektivets mening. EU- domstolen slog emellertid i det s.k. konfirmandlärarmålet fast att det inte är fråga om överföring till tredjeland när en person i en medlemsstat lägger ut personuppgifter på en webbplats på internet som är lagrad hos en fysisk eller juridisk person som har den webb- plats där man kan komma åt sidan och som är etablerad i samma medlemsstat eller i en annan medlemsstat (dom av , , C-101/01). Det har diskuterats hur långt uttalande sträcker sig (se t.ex. SOU 2004:6 s. 232 f.). anser att avgörande klarlagt att det i de flesta fall inte innebär en överföring till tredjeland när information läggs ut på internet. Om uppgifterna t.ex. publiceras på en webbplats på inter- net och webbplatsen lagras hos en internetleverantör som är etab- lerad inom EU är det i princip inte fråga om en överföring till tredjeland. Enligt kommittén bör det alltså inte ses som överföring om en myndighet lägger ut information från ett s.k. allmänt regis- ter på sin hemsida så länge den aktuella servern finns inom EU (SOU 2010:4 s. 338). ansåg i NJA 2005 s. 361 att en rektor på en enskilt bedriven skola inte hade överfört personuppgifter till tredjeland genom att publicera uppgifterna på skolans webbplats. Utredningen anser att det är fråga om överföring när en behörig myndighet skickar, vidarebefordrar eller förmedlar information i elektronisk form till någon som befinner sig i ett tredjeland eller till en internationell organisation. Det bör också ses som överföring att en behörig myndighet gör information tillgänglig för ett tredje- land eller en internationell organisation genom att informationen tillförs ett för de behöriga myndigheterna gemensamt datasystem, t.ex. en databas hos . Överföring på papper av personupp- Överföring till tredjeland och internationella organisationer gifter som inte har undergått automatiserad behandling eller har in- gått i ett manuellt register bör däremot inte betraktas som en över- föring. En överföring av personuppgifter från en svensk myndighet till ett tredjeland eller en internationell organisation kan innebära utlämnande av allmänna handlingar. Då aktualiseras även bestämmelser om sekretess. Utredningen återkommer till det i av- snitt 15.12.4. Bör det införas en definition av överföring? Dataskyddsdirektivet innehåller inte någon definition av över- föring. Det definieras inte heller lag eller i personupp- giftslagen. Något behov av att i lag slå fast vad överföring innebär finns inte heller . Överföring bör därför inte definieras i ram- lagen. Utredningens förslag: Medlemsstat ska i ramlagen definieras som en stat som är medlem i EU och , , och . Skälen för utredningens förslag Vad är en medlemsstat? Kapitel V i direktivet gäller vid all överföring av personuppgifter från en medlemsstat till ett tredjeland eller till en internationell organisation. Kapitlet reglerar också vidareöverföring till ett tredje- land eller en internationell organisation av personuppgifter som det tredjelandet eller den internationella organisationen har fått från en medlemsstat. Ordet medlemsstat används i stor utsträckning i direktivet. Det finns därför anledning att titta närmare på vad som avses med en medlemsstat. I vanligt språkbruk benämns en stat som är medlem i EU med- lemsstat. Direktivet utgår från att det gäller för alla EU:s medlems- Överföring till tredjeland och internationella organisationer är enligt skäl 100 inte automatiskt bundet av det men beslutade att ansluta sig. I skäl 99 påminns om att och inte är bundna av de delar av det straffrättsliga och polisiära samarbetet som de tidigare valt att stå utanför. Enligt skäl 101–103 är direktivet en vidareutveckling av bestäm- melserna i i förhållande till , Liechten- stein, och . De tre förstnämnda är, tillsammans med övriga medlemsstater i EU, anslutna till EES. , som inte ingår i EES, har ingått avtal med EU med liknande innehåll. Utredningen anser att de stater som är bundna av direktivet ska betraktas som medlemsstater, eftersom de är skyldiga att garantera det skydd för personuppgifter som direktivet föreskriver. Det bör införas en definition av medlemsstat På flera ställen i direktivet används ordet medlemsstat för att bl.a. beskriva varifrån personuppgifterna som hanteras kommer och vilka staters intressen som ska beaktas i olika sammanhang. Det är svårt att undvika att använda ordet medlemsstat i ramlagen. Efter- som vissa stater som inte är medlemsstater i EU omfattas av direk- tivet går det inte att använda ordet medlemsstat i ramlagen utan att definiera det. Ett alternativ skulle vara att räkna upp alla berörda stater, men det skulle bli onödigt omfattande och komplicerat att göra det i alla bestämmelser. Genom att definiera medlemsstat blir det tydligt vilka stater regleringen omfattar utan att ramlagen tyngs av långa uppräkningar. Medlemsstat bör därför definieras i ram- lagen. Direktivet gäller för alla EU:s medlemsstater. , Liechten- stein, och är också bundna av direktivet och bör därför likställas med medlemsstater i ramlagen. Medlemsstat bör definieras som en stat som är medlem i EU och , Liechten- stein, och . Överföring till tredjeland och internationella organisationer Förhållandet till äldre rättsakter som gäller för EU:s medlemsstater Dataskyddsdirektivet ska enligt artikel 60 inte påverka tillämp- ningen av särskilda bestämmelser om dataskydd i unionsrättsakter på området för straffrättsligt samarbete och polissamarbete som antagits före dagen för antagandet av direktivet. De bestämmelser som avses reglerar behandling av personuppgifter som överförs mellan medlemsstaterna eller tillgång till EU-informationssystem. Eftersom skyddet för personuppgifter ska tillämpas enhetligt i hela unionen ska kommissionen enligt artikel 62.6 se över om äldre rättsakter behöver anpassas till direktivet. Som exempel på äldre rättsakter nämns i skäl 94 Prümrådsbe- slutet och konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater. Ett annat exempel är rambeslutet och rådsbeslutet om elektroniskt utbyte av uppgifter ur kriminalregister, Ecris (se avsnitt 6.3). Äldre rättsakter på området ska således fortsätta att tillämpas i förhållande till EU:s medlemsstater. Förhållandet till och informationssystem En särskild fråga är hur direktivet förhåller sig till och informationssystem. Direktivet reglerar enbart överföringar av personuppgifter från medlemsstater till tredjeland (eller andra än behöriga myndigheter i tredjeland, se avsnitt 15.8) och internatio- nella organisationer. EU:s institutioner och organ, t.ex. Europol och Eurojust, och EU-informationssystem, som Schengens infor- mationssystem (SIS II) och tullinformationssystemet (TIS), faller inte in under någon av dessa kategorier. Enligt 2 § lag, som bl.a. genomför artikel 1.2 i data- skyddsrambeslutet, gäller den lagen för överföring av personupp- gifter till stater som är medlemmar i , , , eller och till EU-organ eller EU-informationssys- tem. Någon motsvarande reglering i förhållande till och informationssystem finns inte i direktivet. Det enda som sägs om dem är att det i artikel 2.3 b anges att direktivet inte tillämpas på personuppgiftsbehandling som utförs av unionens institutioner, organ och byråer. Personuppgiftsbehandlingen inom EU:s institu- tioner och organ styrs i stället av och rådets Överföring till tredjeland och internationella organisationer förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. Flera rättsakter som har antagits inom EU när det gäller poli- siärt och straffrättsligt samarbete innehåller särskilda bestämmelser om skydd av personuppgifter som överförs eller på något annat sätt behandlas i enlighet med rättsakterna. I några fall utgör dessa be- stämmelser en komplett och enhetlig uppsättning regler som om- fattar alla relevanta aspekter av dataskydd och som är mer detalje- rade än direktivet. Som exempel kan nämnas rättsakter som reglerar funktionssättet för Europol, Eurojust, SIS II och TIS. Rättsakterna möjliggör informationsutbyte mellan medlemsstaterna och medför även i vissa fall uppgiftsskyldighet för de nationella myndigheterna, se t.ex. artikel 7.6 i Europolförordningen. Uppgiftsskyldighet gäller även exempelvis i förhållande till Europeiska byrån för bedrägeri- bekämpning () enligt artikel 8 i och rådets förordning (EU, EURATOM) nr 883/2013 av . Informationsutbyte äger också rum också inom ramen för den europeiska gräns- och , Frontex, enligt Euro- paparlamentets och rådets förordning (EU) 2016/1624 av om en europeisk gräns- och kustbevakning och om ändring av och rådets förordning (EU) 2016/399 och upphävande av och rådets för- ordning (EG) nr 863/2007, rådets förordning (EG) nr 2007/2004 och rådets beslut /267/EG. När uppgiftsskyldighet eller andra åtaganden och möjlighet att utbyta information med eller genom EU:s informa- tionssystem regleras i andra rättsakter bör de enligt utredningens mening gälla framför direktivet (jämför artikel 60 och skäl 94). Det gör att personuppgifter även i fortsättningen kan överföras till t.ex. SIS II och TIS i samma utsträckning som . Om det inte finns några rättsakter utgår utredningen från att kommissionen på något annat sätt kommer att reglera informationsflödet och skyddet för personuppgifter till unionens institutioner, organ, byråer och in- formationssystem (se artikel 62.6). Överföring till tredjeland och internationella organisationer Utredningens förslag: Tredjeland ska i ramlagen definieras som en stat som inte är en medlemsstat. Skälen för utredningens förslag: Direktivet innehåller inte någon definition av tredjeland. Utredningen gör samma bedömning som gjordes när personuppgiftslagen infördes, nämligen att tredjeland bör definieras (SOU 1997:39 s. 343). Särskilt mot bakgrund av det som har sagts om att direktivet även ska tillämpas av några stater utanför EU, är en sådan definition nödvändig. Tillämpnings- området för ramlagens överföringsregler blir också tydligare på det sättet. Utredningen anser att definitionen av medlemsstat bör bilda utgångspunkt för hur tredjeland definieras i ramlagen. Som framgår av avsnitt 15.2.2 avses med medlemsstat en stat som är medlem i EU och , , och . Stater som inte är medlemsstater enligt direktivet ska betraktas som tredjeland. Definitionen av tredjeland bör därför vara en stat som inte är en medlemsstat. Utredningens förslag: Internationell organisation ska i ramla- gen definieras som en organisation och dess underställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två eller flera stater. Skälen för utredningens förslag: Det är en nyhet i direktivet att reglerna om överföring av personuppgifter även omfattar över- föringar till internationella organisationer. Det nu gällande data- skyddsdirektivet reglerar bara överföring till tredjeland. Data- skyddsrambeslutet innehåller däremot bestämmelser om överföring till internationella organ (”international bodies”). Reglerna om överföring lag omfattar därför även överföring till sådana organ. Överföring till tredjeland och internationella organisationer Internationell organisation definieras i artikel 3.16. Utredningen anser att direktivets uttryck internationell organisation, som också används i dataskyddsförordningen, bör användas i ramlagen. För att tydliggöra vad som avses bör det tas in en definition i lagen. Internationell organisation bör definieras som en organisation och dess underställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av en överenskom- melse mellan två eller flera stater. Inom ramlagens tillämpningsområde är det främst till som personuppgifter brukar överföras, men det finns även andra internationella organisationer som kan komma i fråga. Utredningens bedömning: Det behövs inte någon definition av internationella avtal. Skälen för utredningens bedömning: I artikel 39.2 förklaras vad som menas med ett internationellt avtal. Enligt artikeln avses varje gällande bilateralt eller multilateralt internationellt avtal mellan medlemsstater och tredjeländer inom området för straffrättsligt samarbete och polissamarbete. I artikel 61 slås fast att sådana inter- nationella avtal som rör överföring av personuppgifter till tredje- länder eller internationella organisationer och som medlemssta- terna ingick före och är förenliga med unionsrätten som den tillämpades före den dagen, ska fortsätta att gälla tills de ändras, ersätts eller återkallas. Det torde inte vara nödvändigt att avtalet i sin helhet gäller personuppgiftsbehandling, utan ett avtal om t.ex. internationellt samarbete som innehåller bestämmelser om dataskydd bör också kunna ses som ett internationellt avtal i direktivets mening. Artikel 39.2 behöver inte genomföras i nationell rätt. Utred- ningen ser inte heller något behov av att definiera internationellt avtal, eftersom uttrycket inte används i ramlagen. Överföring till tredjeland och internationella organisationer 15.3Allmänna principer för överföring av personuppgifter 15.3.1Grundläggande förutsättningar för överföring Utredningens förslag: Behöriga myndigheter får, om vissa vill- kor är uppfyllda, överföra personuppgifter som behandlas till ett tredjeland eller en internationell organisation. Det gäller även överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organisation. En behörig myndighet som avser att överföra personuppgif- ter till ett tredjeland eller en internationell organisation ska sär- skilt beakta risken för att enskilda får försämrat skydd för sina personuppgifter. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering I artikel 35 anges allmänna principer för överföring av personupp- gifter till ett tredjeland eller en internationell organisation. En grundläggande förutsättning för överföring av personupp- gifter till ett tredjeland eller en internationell organisation är att nationella bestämmelser om behandling av personuppgifter respek- teras och att de villkor som räknas upp i punkterna a–d i arti- kel 35.1 är uppfyllda (se avsnitt 15.3.2–15.3.4). Det gäller för all överföring av personuppgifter oavsett på vilken grund överföringen görs (med undantag för att kravet i 35.1 b inte behöver vara upp- fyllt när personuppgifter får överföras till någon annan än en behö- rig myndighet, se avsnitt 15.8). Enligt artikel 35.1 får behöriga myndigheter överföra personuppgifter som håller på att behandlas eller är avsedda att behandlas efter det att de överförts till ett tredjeland eller en internationell organisation. En liknande bestämmelse finns i 7 § första stycket lag, som genomför artikel 13.1 i dataskyddsrambeslutet. Enligt 33 § personuppgiftslagen omfattar förbudet mot överföring till tredje- land dels personuppgifter som är under behandling, dels person- uppgifter som överförs för behandling i tredjeland. Överföring till tredjeland och internationella organisationer De grundläggande förutsättningarna för överföring anges i ramlagen Artikel 35.1 bör genomföras i ramlagen. Av paragrafen bör framgå att behöriga myndigheter får överföra personuppgifter till ett tredjeland eller en internationell organisation endast om vissa sär- skilt uppräknade villkor är uppfyllda. Vilka de särskilda villkoren är och hur de ska komma till uttryck i ramlagen diskuteras i det föl- jande. Här räcker det att konstatera att paragrafen bör utformas så att det framgår att samtliga villkor ska vara uppfyllda för att en behörig myndighet ska få överföra personuppgifter till ett tredje- land eller en internationell organisation. Behörig myndighet defi- nieras i ramlagen (se avsnitt 7.1.4). Av paragrafen bör vidare framgå att det ska vara fråga om per- sonuppgifter som håller på att behandlas, dvs. är föremål för sådan behandling som omfattas av ramlagens tillämpningsområde (se av- snitt 7.1.6). Kravet på att personuppgifterna ska vara föremål för behandling uttrycks annorlunda i det nu gällande dataskyddsdirek- tivet. Där talas det i stället om personuppgifter som är under be- handling. I 33 § personuppgiftslagen används samma formulering. Att uttrycket håller på att behandlas används i det nya dataskydds- direktivet innebär enligt utredningens mening inte någon ändring i sak i förhållande till vad som gäller . Utredningen anser emel- lertid att ordet behandlas bör användas i ramlagen eftersom det stämmer bättre överens med förslagen i övrigt. Paragrafen bör också reglera överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organisation. Det är fråga om sådana personuppgifter som inte är föremål för automatiserad eller annan strukturerad behandling i , utan överförs till ett tredjeland eller en internationell organisation för att automatiseras där t.ex. genom att läggas in i en databas. Det är inte ovanligt att personuppgifter överförs till tredjeland genom så kallade nationella kontaktpunkter inom ramen för inter- nationellt samarbete. Syftet med nationella kontaktpunkter är att underlätta det internationella samarbetet genom att varje stat pekar ut en viss myndighet som är ständigt tillgänglig och genom vilken all information till staten kanaliseras, oberoende av vem den slutliga mottagaren är. Kontaktpunkten ser till att informationen omedel- bart vidarebefordras till mottagaren. Som exempel kan nämnas att är nationell kontaktpunkt bl.a. när det gäller Överföring till tredjeland och internationella organisationer FN:s vapenprogram (resolution 55/255, anta- gen av generalförsamlingen, tilläggsprotokoll mot olaglig tillverkning av och handel med skjutvapen, deras delar och komponenter och ammunition till konvention mot gränsöverskridande organiserad brottslighet) och enligt FN:s konventioner om bekämpande av nukleär terrorism och brott mot sjöfartens säkerhet (konvention för bekämpande av nukleär terrorism och konvention för bekämpande av brott mot sjöfar- tens säkerhet med dess protokoll ). Ramlagens reglering av överföring bör enligt utredningens mening inte hindra att sådant samarbete är möjligt även i fortsättningen. Det är dock endast behöriga myndigheter som kan fungera som kontaktpunkter för informationsutbyte inom ramlagens tillämpningsområde. Överföringen ska vara förenlig med övriga bestämmelser i ramlagen Ett krav för att personuppgifter ska få överföras till ett tredjeland eller en internationell organisation är enligt artikel 35.1 att de nationella bestämmelserna som antas i enlighet med andra bestäm- melser i direktivet respekteras.