prop · H503232 · 2018-04-19 00:00:00 — Regeringen eller den myndighet som regeringen bestämmer har bemyndigats att meddela föreskrifter om ytterligare undantag från över- föringsförbudet. modifierades överföringsförbudet till att bara gälla de fall där det saknas en adekvat skyddsnivå i tredjelandet (prop. 1999/2000:11 s. 14 f.). Ändringen syftade till att skapa ökat utrymme för användning av internet och andra elektroniska kommunikationssätt, t.ex. e-post. Enligt 33 § personuppgiftslagen är det alltså förbjudet att till tredjeland föra över personuppgifter som är under behandling, om landet inte har en adekvat skyddsnivå för personuppgifter. Förbudet gäller även överföring av personuppgifter för behandling där. Frågan om skyddsnivån är ade- kvat ska bedömas med hänsyn till samtliga omständigheter som har sam- band med överföringen. I paragrafen anges vilka omständigheter som ska tillmätas särskild vikt. Den personuppgiftsansvarige anses ha bevisbör- dan för att skyddsnivån i tredjelandet är adekvat (prop. 1999/2000:11 s. 20). Trots avsaknad av adekvat skyddsnivå är enligt 34 § personuppgifts- lagen överföring av personuppgifter till tredjeland tillåten om den en- skilde har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig i vissa särskilt uppräknade fall. Paragrafen reglerar vissa undantag från överföringsförbudet i 33 §. Ett viktigt undantag är att per- sonuppgifter får föras över för användning enbart i en stat som har anslu- tit sig till dataskyddskonventionen (se avsnitt 4.9). Även det nya dataskyddsdirektivet reglerar förutsättningarna för att över- föra personuppgifter till tredjeland. Dessutom regleras överföringar till internationella organisationer. Bestämmelserna, som är förhållandevis detaljerade, finns i artiklarna 35–40. Ett grundläggande krav för överföring av personuppgifter till ett tredje- land eller en internationell organisation är att tredjelandet eller den inter- nationella organisationen säkerställer en adekvat skyddsnivå för uppgif- terna. Kommissionen beslutar om ett tredjeland eller en internationell organisation uppfyller det kravet. Sådana beslut får direkt verkan i med- lemsstaterna. Kommissionen ska i sin bedömning bl.a. ta hänsyn till rättsstatsprincipen, tillgången till rättslig prövning och om det finns obe- roende tillsyn i mottagarlandet. Har kommissionen inte fattat något beslut om adekvat skyddsnivå, Prop. 2017/18:232 finns det ändå möjlighet att föra över personuppgifter till ett tredjeland eller en internationell organisation om överföringen omfattas av lämpliga skyddsåtgärder. Om det inte finns ett beslut om adekvat skyddsnivå och överföringen inte heller omfattas av lämpliga skyddsåtgärder, får över- föringen göras endast om den är nödvändig i en särskild undantags- situation. Huvudregeln är att överföringen ska göras till en behörig myndighet i tredjelandet. Medlemsstaterna ges dock möjlighet att föreskriva att per- sonuppgifter, i enskilda och särskilda fall, får överföras direkt till motta- gare i tredjeland. Regeringens bedömning: Det behövs inte någon definition av vad som avses med överföring. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: anser att det inte kan anses vara en överföring om någon befinner sig i tredje land och har tillgång till data, dvs. en situation när inga data transfereras. anser att uttrycket överföring borde definieras i ramlagen. Skälen för regeringens bedömning Vad avses med överföring? Vilka åtgärder som innebär överföring av personuppgifter har diskuterats bl.a. av och E-offentlighetskommit- tén (SOU 2015:39 s. 478 f. och SOU 2010:4 s. 338). Enligt är det inte fråga om överfö- ring av personuppgifter till tredjeland bara genom att en person befinner sig utanför unionen med personuppgifter i sin besittning. Det krävs en avsikt att personuppgifterna ska nå en mottagare i tredjeland. Om en myndighet skickar, vidarebefordrar eller förmedlar information i elektro- nisk form till en mottagare som befinner sig i ett tredjeland torde det däremot vara fråga om en överföring (SOU 2015:39 s. 479 f.). Det krävs inte att överföringen till tredjelandet innebär att personupp- gifter lämnas ut till tredje man. Det anses vara en överföring även om personuppgifterna lämnas till ett personuppgiftsbiträde i tredjeland för att faktiskt behandlas där, t.ex. om en myndighet använder sig av en ut- ländsk leverantör av en it-tjänst (SOU 2015:39 s. 480). Det saknas vägledande avgöranden i rättspraxis om vad som är att se som en överföring. I den juridiska litteraturen har det förts viss diskus- sion om vad som ska förstås med överföring (se bl.a. m.fl. s. 447 f.). I vilken mån det ska ses som en överföring att befinna sig i ett tredjeland och där ha elektronisk tillgång till personuppgifter som ”finns” i hemlandet anses exempelvis oklart. 2017/18:232 När det gäller publicering på internet antogs det tidigare att all öppen publicering på en webbplats innebar att personuppgifterna blev tillgäng- liga i hela världen och därmed kunde anses överförda till alla länder dataskyddsdirektivs mening. slog emellertid i det s.k. konfirmandlärarmålet fast att det inte är fråga om överföring till tredjeland när en person i en medlemsstat lägger ut personuppgifter på en webbplats på internet som är lagrad hos en fysisk eller juridisk person som har den webbplats där man kan komma åt sidan och som är etable- rad i samma medlemsstat eller i en annan medlemsstat (dom av , , C-101/01). Det har diskuterats hur långt uttalande sträcker sig (se t.ex. SOU 2004:6 s. 232 f.). anser att EU-dom- stolens avgörande klarlagt att det i de flesta fall inte innebär en överfö- ring till tredjeland när information läggs ut på internet. Om uppgifterna t.ex. publiceras på en webbplats på internet och webbplatsen lagras hos en internetleverantör som är etablerad inom EU är det i princip inte fråga om en överföring till tredjeland. Enligt kommittén bör det alltså inte ses som överföring om en myndighet lägger ut information från ett s.k. all- mänt register på sin hemsida så länge den aktuella servern finns inom EU (SOU 2010:4 s. 338). ansåg i NJA 2005 s. 361 att en rektor på en enskilt bedriven skola inte hade överfört personuppgifter till tredjeland genom att publicera uppgifterna på skolans webbplats. Utredningen gör bedömningen att det är fråga om en överföring när en behörig myndighet skickar, vidarebefordrar eller förmedlar information i elektronisk form till någon som befinner sig i ett tredjeland eller till en internationell organisation. Regeringen delar denna bedömning. Det bör också, som utredningen bedömer, ses som överföring att en behörig myn- dighet gör information tillgänglig för ett tredjeland eller en internationell organisation genom att informationen tillförs ett för de behöriga myndig- heterna gemensamt datasystem, t.ex. en databas hos . I likhet med anser regeringen att det inte kan vara fråga om en överföring om inga personuppgifter transfereras, dvs. bara den omstän- digheten att någon befinner sig utanför medlemsstaterna och har tillgång till personuppgifter innebär inte att en överföring kan anses ha ägt rum. Överföring på papper av personuppgifter som inte har undergått automa- tiserad behandling eller har ingått i ett manuellt register bör inte heller betraktas som en överföring. En överföring av personuppgifter från en svensk myndighet till ett tredjeland eller en internationell organisation kan innebära ut- lämnande av allmänna handlingar. Då aktualiseras även bestämmelser om sekretess. Regeringen återkommer till det i avsnitt 14.12.4. Bör det införas en definition av överföring? Dataskyddsdirektivet innehåller inte någon definition av överföring. Det definieras inte heller lag eller i personuppgiftslagen. Till skill- nad från anser regeringen att det inte heller nu finns något behov av att i lag slå fast en definition av uttrycket överföring. Rege- ringen delar därför utredningens bedömning att uttrycket överföring inte ska definieras i ramlagen. Regeringens förslag: Medlemsstat ska definieras som en stat som är medlem i EU samt , , och . Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Vad är en medlemsstat? Kapitel V i direktivet gäller vid all överföring av personuppgifter från en medlemsstat till ett tredjeland eller till en internationell organisation. Kapitlet reglerar också vidareöverföring till ett tredjeland eller en inter- nationell organisation av personuppgifter som tredjelandet eller den internationella organisationen har fått från en medlemsstat. Ordet med- lemsstat används i stor utsträckning i direktivet. Det finns därför anled- ning att titta närmare på vad som avses med en medlemsstat. I vanligt språkbruk benämns en stat som är medlem i EU medlemsstat. Direktivet utgår från att det gäller för alla EU:s medlemsstater. är enligt skäl 100 inte automatiskt bundet av det men beslutade i okto- ber 2016 att ansluta sig. I skäl 99 påminns om att och inte är bundna av de delar av det straffrättsliga och polisiära sam- arbetet som de tidigare valt att stå utanför. Enligt skäl 101–103 är direktivet en vidareutveckling av bestämmel- serna i i förhållande till , , och . De tre förstnämnda är, tillsammans med övriga medlemsstater i EU, anslutna till EES. , som inte ingår i EES, har ingått avtal med EU med liknande innehåll. Liksom utredningen anser regeringen att de stater som är bundna av direktivet ska betraktas som medlemsstater, eftersom de är skyldiga att garantera det skydd för personuppgifter som direktivet föreskriver. Det bör införas en definition av medlemsstat På flera ställen i direktivet används ordet medlemsstat för att bl.a. besk- riva varifrån personuppgifterna som hanteras kommer och vilka staters intressen som ska beaktas i olika sammanhang. Det är svårt att undvika att använda ordet medlemsstat i ramlagen. Eftersom vissa stater som inte är medlemsstater i EU omfattas av direktivet går det inte att använda ordet medlemsstat i ramlagen utan att definiera det. Ett alternativ skulle vara att räkna upp alla berörda stater, men det skulle bli onödigt omfat- tande och komplicerat att göra det i alla bestämmelser. Genom att defini- era medlemsstat blir det tydligt vilka stater regleringen omfattar utan att ramlagen tyngs av långa uppräkningar. Medlemsstat bör därför definieras i ramlagen. Direktivet gäller för alla EU:s medlemsstater. , , och är också bundna av direktivet och bör därför likstäl- las med medlemsstater i ramlagen. Medlemsstat bör följaktligen definie- ras som en stat som är medlem i EU och , , och . Förhållandet till äldre rättsakter som gäller för EU:s medlemsstater Dataskyddsdirektivet ska enligt artikel 60 inte påverka tillämpningen av särskilda bestämmelser om dataskydd i unionsrättsakter på området för straffrättsligt samarbete och polissamarbete som antagits före dagen för antagandet av direktivet. De bestämmelser som avses reglerar behandling av personuppgifter som överförs mellan medlemsstaterna eller tillgång till EU-informationssystem. Eftersom skyddet för personuppgifter ska tillämpas enhetligt i hela unionen ska kommissionen enligt artikel 62.6 se över om äldre rättsakter behöver anpassas till direktivet. Som exempel på äldre rättsakter nämns i skäl 94 Prümrådsbeslutet och konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater (se avsnitt 6.3). Äldre rättsakter på området ska således fortsätta att tillämpas i förhål- lande till EU:s medlemsstater. Förhållandet till och informationssystem En särskild fråga är hur direktivet förhåller sig till och informationssystem. Direktivet reglerar enbart överföringar av person- uppgifter från medlemsstater till tredjeland (eller andra än behöriga myn- digheter i tredjeland, se avsnitt 14.8) och internationella organisationer. EU:s institutioner och organ, t.ex. Europol och Eurojust, och EU- informationssystem, som Schengens informationssystem (SIS II) och tullinformationssystemet (TIS), faller inte in under någon av dessa kate- gorier. Enligt 2 § lag, som bl.a. genomför artikel 1.2 i dataskydds- rambeslutet, gäller den lagen för överföring av personuppgifter till stater som är medlemmar i , , , eller och till EU-organ eller EU-informationssystem. Någon motsvarande regle- ring i förhållande till och informationssystem finns inte i direktivet. Det enda som sägs om dem är att det i artikel 2.3 b anges att direktivet inte tillämpas på personuppgiftsbehandling som utförs av unionens institutioner, organ och byråer. Personuppgiftsbehandlingen inom EU:s institutioner och organ styrs i stället av och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskaps- organen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. Flera rättsakter som har antagits inom EU när det gäller polisiärt och straffrättsligt samarbete innehåller särskilda bestämmelser om skydd av personuppgifter som överförs eller på något annat sätt behandlas i enlig- het med rättsakterna. I några fall utgör dessa bestämmelser en komplett och enhetlig uppsättning regler som omfattar alla relevanta aspekter av dataskydd och som är mer detaljerade än direktivet. Som exempel kan nämnas rättsakter som reglerar funktionssättet för Europol, Eurojust, SIS II och TIS. Rättsakterna möjliggör informationsutbyte mellan med- lemsstaterna och medför även i vissa fall uppgiftsskyldighet för de nationella myndigheterna, se t.ex. artikel 7.6 i Europolförordningen. Uppgiftsskyldighet gäller även exempelvis i förhållande till Europeiska byrån för bedrägeribekämpning () enligt artikel 8 i Europaparlamen- tets och rådets förordning (EU, EURATOM) nr 883/2013 av den Informationsutbyte äger också rum inom ramen för Prop. 2017/18:232 den europeiska gräns- och , Frontex, enligt Europaparla- mentets och rådets förordning (EU) 2016/1624 av om en europeisk gräns- och kustbevakning och om ändring av och rådets förordning (EU) 2016/399 och upphä- vande av och rådets förordning (EG) nr 863/2007, rådets förordning (EG) nr 2007/2004 och rådets beslut /267/EG. Regeringen delar utredningens uppfattning att reglerad uppgiftsskyl- dighet eller andra åtaganden och möjlighet att utbyta information med eller genom EU:s informationssystem som förekommer i andra rättsakter bör gälla framför direktivet (jämför artikel 60 och skäl 94). Det gör att personuppgifter även i fortsättningen kan överföras till t.ex. SIS II och TIS i samma utsträckning som . Om det inte finns några rättsakter får det förutsättas att kommissionen på något annat sätt kommer att reglera informationsflödet och skyddet för personuppgif- ter till unionens institutioner, organ, byråer och informationssystem (se artikel 62.6). Regeringens förslag: Tredjeland ska definieras som en stat som inte är en medlemsstat. Utredningens förslag: överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag: Direktivet innehåller inte någon defi- nition av tredjeland. Regeringen delar utredningens bedömning att de överväganden som gjordes när personuppgiftslagen infördes gör sig gäl- lande även , nämligen att tredjeland bör definieras (SOU 1997:39 s. 343). Särskilt mot bakgrund av det som har sagts om att direktivet även ska tillämpas av några stater utanför EU, är en sådan definition nöd- vändig. Tillämpningsområdet för ramlagens överföringsregler blir också tydligare på det sättet. Definitionen av medlemsstat bör bilda utgångspunkt för hur tredjeland definieras i ramlagen. Som framgår av avsnitt 14.2.2 avses med med- lemsstat en stat som är medlem i EU och , , och . Stater som inte är medlemsstater enligt direktivet ska be- traktas som tredjeland. Definitionen av tredjeland bör därför vara en stat som inte är en medlemsstat. Regeringens förslag: Internationell organisation ska definieras som en organisation och dess underställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av en över- enskommelse mellan två eller flera stater. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. 2017/18:232 Skälen för regeringens förslag: Det är en nyhet i direktivet att reg- lerna om överföring av personuppgifter även omfattar överföringar till internationella organisationer. dataskyddsdirektiv reglerar bara överföring till tredjeland. Dataskyddsrambeslutet innehåller däremot be- stämmelser om överföring till internationella organ (”international bodies”). Reglerna om överföring lag omfattar därför även överföring till sådana organ. Internationell organisation definieras i artikel 3.16. I likhet med utred- ningen anser regeringen att direktivets uttryck internationell organisation, som också används i dataskyddsförordningen, bör användas i ramlagen. För att tydliggöra vad som avses bör det tas in en definition i lagen. Inter- nationell organisation bör definieras som en organisation och dess under- ställda organ som lyder under folkrätten eller ett annat organ som inrät- tats genom eller på grundval av en överenskommelse mellan två eller flera stater. Inom ramlagens tillämpningsområde är det främst till som per- sonuppgifter brukar överföras, men det finns även andra internationella organisationer som kan komma i fråga. Regeringens bedömning: Det behövs inte någon definition av inter- nationella avtal. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: I artikel 39.2 förklaras vad som menas med ett internationellt avtal. Enligt artikeln avses varje gällande bilateralt eller multilateralt internationellt avtal mellan medlemsstater och tredjeländer inom området för straffrättsligt samarbete och polissamar- bete. I artikel 61 slås fast att sådana internationella avtal som rör överfö- ring av personuppgifter till tredjeländer eller internationella organisatio- ner och som medlemsstaterna ingick före och som är förenliga med unionsrätten som den tillämpades före den dagen, ska fortsätta att gälla tills de ändras, ersätts eller återkallas. Det bör inte vara nödvändigt att avtalet i sin helhet gäller personuppgiftsbehandling, utan ett avtal om t.ex. internationellt samarbete som innehåller bestämmelser om dataskydd bör också kunna ses som ett internationellt avtal i direkti- vets mening. Artikel 39.2 behöver inte genomföras i nationell rätt. Liksom utred- ningen ser regeringen inte heller något behov av att definiera internatio- nellt avtal, eftersom uttrycket inte används i ramlagen. Allmänna principer för överföring av Regeringens förslag: En behörig myndighet får, om vissa villkor är uppfyllda, överföra personuppgifter till ett tredjeland eller en interna- tionell organisation, om personuppgifterna behandlas i eller är avsedda att behandlas i ett tredjeland eller av en internationell organi- sation. En behörig myndighet som avser att överföra personuppgifter till ett tredjeland eller en internationell organisation ska särskilt beakta risken för att enskilda får ett försämrat skydd för sina personuppgifter. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: anser att kraven i artikel 35.3 i dataskyddsdirektivet om att skyddsnivån för fysiska personer inte får undergrävas fullt ut måste motsvaras av ramlagens bestämmelser. Även Datainspektionen framhåller vikten av genomförandet av den artikeln och att det måste framgå att kraven är grundläggande förutsättningar för överföring till tredjeland. Inspektionen efterfrågar också vilka konse- kvenserna blir för en behörig myndighet om det konstateras ett försämrat skydd vid den avsedda överföringen. Datainspektionen och efterfrågar vidare en analys av riskerna med att överföra personuppgifter och behöriga myndigheters möjligheter att vidta åtgärder när uppgifter som överförts behandlas på ett sätt som inte avsetts. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering I artikel 35 anges allmänna principer för överföring av personuppgifter till ett tredjeland eller en internationell organisation. En grundläggande förutsättning för överföring av personuppgifter till ett tredjeland eller en internationell organisation är att nationella be- stämmelser om behandling av personuppgifter respekteras och att de villkor som räknas upp i punkterna a–d i artikel 35.1 är uppfyllda (se av- snitt 14.3.2–14.3.4). Det gäller för all överföring av personuppgifter oavsett på vilken grund överföringen görs (med undantag för att kravet i 35.1 b inte behöver vara uppfyllt när personuppgifter får överföras till någon annan än en behörig myndighet, se avsnitt 14.8). Enligt arti- kel 35.1 får behöriga myndigheter överföra personuppgifter som håller på att behandlas eller är avsedda att behandlas efter det att de överförts till ett tredjeland eller en internationell organisation. En liknande bestämmelse finns i 7 § första stycket lag, som genomför artikel 13.1 i dataskyddsrambeslutet. Enligt 33 § personupp- giftslagen omfattar förbudet mot överföring till tredjeland dels person- uppgifter som är under behandling, dels personuppgifter som överförs för behandling i tredjeland. Förutsättningarna för överföring anges Regeringen instämmer i utredningens förslag att artikel 35.1 ska genom- föras i ramlagen. Av paragrafen bör framgå att behöriga myndigheter får överföra personuppgifter till ett tredjeland eller en internationell organi- sation endast om vissa särskilt uppräknade villkor är uppfyllda. Vilka de särskilda villkoren är och hur de ska komma till uttryck i ramlagen disku- teras i det följande. Här räcker det att konstatera att paragrafen bör utfor- mas så att det framgår att samtliga villkor ska vara uppfyllda för att en behörig myndighet ska få överföra personuppgifter till ett tredjeland eller en internationell organisation. Behörig myndighet definieras i ramlagen (se avsnitt 6.4.4). Av paragrafen bör vidare framgå att det ska vara fråga om personupp- gifter som håller på att behandlas, dvs. är föremål för sådan behandling som omfattas av ramlagens tillämpningsområde (se avsnitt 6.4). Kravet på att personuppgifterna ska vara föremål för behandling uttrycks annor- lunda dataskyddsdirektiv. Där talas det i stället om personupp- gifter som är under behandling. I 33 § personuppgiftslagen används samma formulering. Att uttrycket ”håller på att behandlas” används i det nya dataskyddsdirektivet innebär inte någon ändring i sak i förhållande till vad som gäller . Regeringen håller emellertid med utredningen om att ordet behandlas bör användas i ramlagen eftersom det stämmer bättre överens med förslagen i övrigt. Paragrafen bör också reglera överföring av personuppgifter för behand- ling i ett tredjeland eller av en internationell organisation. Det är fråga om sådana personuppgifter som inte är föremål för automatiserad eller annan strukturerad behandling i , utan överförs till ett tredjeland eller en internationell organisation för att automatiseras där t.ex. genom att läggas in i en databas. Det är inte ovanligt att personuppgifter överförs till tredjeland genom så kallade nationella kontaktpunkter inom ramen för internationellt sam- arbete. Syftet med nationella kontaktpunkter är att underlätta det interna- samarbetet genom att varje stat pekar ut en viss myndighet som är ständigt tillgänglig och genom vilken all information till staten kanali- seras, oberoende av vem den slutliga mottagaren är. Kontaktpunkten ser till att informationen vidarebefordras till mottagaren.