prop · H503232 · 2018-04-19 00:00:00 — Som exempel kan nämnas att är nationell kontaktpunkt bl.a. när det gäller FN:s vapenprogram (resolution 55/255, antagen av generalförsamlingen, tilläggsproto- koll mot olaglig tillverkning av och handel med skjutvapen, deras delar och komponenter och ammunition till konvention mot gränsöverskridande organiserad brottslighet) och enligt FN:s kon- ventioner om bekämpande av nukleär terrorism och brott mot sjöfartens säkerhet (konvention för bekäm- pande av nukleär terrorism och konvention för bekämpande av brott mot sjöfartens säkerhet med dess protokoll ). Regeringen delar utredningens uppfatt- ning att ramlagens reglering av överföring inte bör hindra att sådant sam- arbete är möjligt även i fortsättningen. Det är dock endast behöriga myn- digheter som kan fungera som kontaktpunkter för informationsutbyte inom ramlagens tillämpningsområde. Det kan, som Datainspektionen och påpekar, vara förenat med viss osäkerhet att överföra personuppgifter till tredje- land eller en internationell organisation. Det kommer att vila ett stort ansvar på de behöriga myndigheter som gör bedömningarna i vilka fall personuppgifter kan överföras. Det är av stor vikt att det finns ett fullgott skydd för den enskildes personliga integritet och att regleringarna i ram- lagen motsvarar de krav direktivet ställer i detta avseende. I samman- hanget bör emellertid nämnas att stora delar av direktivet i denna del ansluter nära till vad som gäller enligt befintlig lagstiftning. Överföringen ska vara förenlig med övriga bestämmelser i ramlagen Ett krav för att personuppgifter ska få överföras till ett tredjeland eller en internationell organisation är enligt artikel 35.1 att de nationella bestäm- melserna som antas i enlighet med andra bestämmelser i direktivet respekteras. ska de grundläggande kraven på behandling av personupp- gifter i 9 § personuppgiftslagen alltid vara uppfyllda för att uppgifterna ska få överföras till ett tredjeland. Överföringen ska också vara tillåten enligt 10 § personuppgiftslagen. Är det exempelvis känsliga personupp- gifter, uppgifter om lagöverträdelser eller personnummer som ska över- föras, krävs det också att behandlingen är tillåten enligt 13–22 §§ (prop. 1997/98:44 s. 137). För att personuppgifter ska få överföras till ett tredjeland eller en inter- nationell organisation bör det krävas att alla allmänna förutsättningarna för att få behandla personuppgifter är uppfyllda. Det följer av att över- föringen som sådan är en behandling av personuppgifter i ramlagens mening. Överföringen får naturligtvis inte heller stå i strid med andra bestämmelser i lagen. Skyddsnivån får inte försämras genom överföringen Av artikel 35.3 framgår att alla bestämmelser som gäller överföring ska tillämpas för att den skyddsnivå som säkerställs genom direktivet inte ska undergrävas. Enligt skäl 64 är det viktigt att den skyddsnivå som direktivet garanterar fysiska personer inom unionen inte undergrävs när personuppgifter överförs från unionen till personuppgiftsansvariga, per- sonuppgiftsbiträden eller andra adressater i tredjeland eller till interna- organisationer. Bestämmelsen, som är av mer upplysande karaktär, fyller en viktig funktion för att tydliggöra att enskildas intresse av skydd för personupp- gifter ska värnas även när uppgifterna lämnar medlemssfären. En be- stämmelse som motsvarar innehållet i artikeln bör därför tas in i ram- lagen. Av den bör framgå att en behörig myndighet som avser att över- föra personuppgifter till ett tredjeland eller en internationell organisation särskilt ska beakta risken för att enskilda får ett försämrat skydd för sina personuppgifter. Till skillnad från vad och Datainspektionen anför anser regeringen att bestämmelsen därigenom väl uppfyller kraven i arti- kel 35.3. Det ligger i sakens natur att det inte alltid är möjligt att fullt ut överblicka konsekvenserna av en överföring till tredje land. Om det där- emot konstateras att en överföring lett till ett försämrat skydd bör givet- 2017/18:232 vis detta föranleda att myndigheten vidtar åtgärder för att dels begränsa konsekvenserna, dels säkerställa att motsvarande situation inte uppstår igen. Det kan även bli aktuellt med åtgärder inom ramen för tillsyn om överträdelse kan konstateras (se närmare avsnitt 11 och 12). Överföringen ska vara nödvändig för ett visst ändamål och riktas till en behörig myndighet Regeringens förslag: Personuppgifter får överföras till ett tredjeland eller en internationell organisation endast om överföringen är nödvän- dig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upp- rätthålla allmän ordning och säkerhet. Överföringen ska riktas till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot förslaget. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 35.1 a får personuppgifter överföras till ett tredjeland eller till en internationell organisation endast om överföringen är nödvändig för de ändamål som anges i artikel 1.1. Enligt den artikeln ska direktivet tillämpas på behandling av personuppgifter som utförs av behöriga myn- digheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Ett ytterligare villkor för överföring av personuppgifter är enligt arti- kel 35.1 b att uppgifterna överförs till en personuppgiftsansvarig i ett tredjeland eller en internationell organisation som är en behörig myndig- het för något av de ändamål som anges i artikel 1.1. I skäl 64 framhålls att en överföring endast bör utföras av behöriga myndigheter som agerar som personuppgiftsansvariga, utom när personuppgiftsbiträden uttryckli- gen har getts i uppdrag att göra överföringar för personuppgiftsansvari- lag finns motsvarande bestämmelser i 7 § första stycket 2 och 3, som genomför artikel 13.1 a och b i dataskyddsrambeslutet. paragrafen får personuppgifter överföras endast om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder och endast till en mot- tagare som har ansvar för sådan verksamhet. Överföring enbart till behöriga myndigheter för vissa ändamål Artikel 35.1 a och b bör, som utredningen föreslår, genomföras i ram- Paragrafen bör formuleras på samma sätt som regleringen av lagens tillämpningsområde, dvs. knytas till arbetsuppgifterna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och Det blir mer överskådligt än att hänvisa till paragrafen som Prop. 2017/18:232 reglerar ramlagens tillämpningsområde. Det är också så bestämmelsen i lag har formulerats. Regeringen delar utredningens bedömning att kravet på att överfö- ringen ska vara nödvändig bör tolkas på samma sätt som i allmänt språk- bruk, dvs. att det är fråga om något som behövs (se avsnitt 7.2). Den per- sonuppgift som överförs kan behövas antingen för att den överförande eller för att den mottagande myndigheten ska kunna utföra en arbetsupp- gift som den har ansvar för inom det angivna tillämpningsområdet. En svensk behörig myndighet kan t.ex. behöva överföra personuppgifter till ett tredjeland för att få hjälp med bevisupptagning i ett ärende som hand- läggs i . På motsvarande sätt kan ett tredjeland eller en interna- tionell organisation behöva få tillgång till svenska personuppgifter för sin brottsbekämpning, lagföring eller straffverkställighet. Av paragrafen bör vidare framgå att det bara är tillåtet att föra över personuppgifter om det görs till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Personuppgifterna ska följaktligen överföras till en myndighet eller en annan aktör som har i uppdrag att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Den behöriga myndigheten som personuppgifterna lämnas till behöver inte ha samma arbetsuppgifter som den svenska myndigheten som överför personupp- gifterna. Det bör således inte finnas något hinder mot att exempelvis en svensk åklagare lämnar personuppgifter till en utländsk domstol. Det bör inte heller finnas något hinder mot att personuppgifter överförs mellan två nationella kontaktpunkter oavsett vilken typ av myndighet som har utsetts till kontaktpunkt. 14.3.3Viss skyddsnivå ska vara säkerställd Regeringens förslag: Personuppgifter får överföras till ett tredjeland eller en internationell organisation endast om kommissionen har anta- git ett beslut om adekvat skyddsnivå, eller, om det inte finns ett sådant beslut, om personuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressaten. Om det inte finns ett beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder får personuppgifter överföras endast när ett undantag för särskilda situationer är tillämpligt. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Remissynpunkter angående adekvat skyddsnivå, tillräckliga skyddsåtgärder och undantag i särskilda situationer redovisas i avsnitt 14.4–6. Skälen för regeringens förslag: Enligt artikel 35.1 d gäller som huvudregel att personuppgifter får överföras till ett tredjeland eller en internationell organisation endast om viss skyddsnivå är säkerställd för personuppgiftsbehandlingen. Tanken är att den skyddsnivå som säker- ställs genom direktivet som utgångspunkt ska gälla även när personupp- gifter överförs till ett tredjeland eller en internationell organisation. att personuppgifter ska få lämnas ut från en medlemsstat krävs det därför 2017/18:232 enligt artikel 36 i första hand att tredjelandet eller den internationella organisationen omfattas av ett beslut från kommissionen om att landet eller organisationen säkerställer en adekvat skyddsnivå. Om det inte finns ett sådant beslut får personuppgifter enligt artikel 37 ändå överföras i vissa fall om lämpliga skyddsåtgärder har vidtagits eller säkerställts. Är inte heller det kravet uppfyllt får personuppgifter endast överföras i de särskilda undantagssituationer som är uttömmande reglerade i artikel 38. De tre överföringsgrunderna redovisas mer ingående i samband med att artiklarna 36–38 behandlas. Det räcker därför här att konstatera att vill- koret ska genomföras i svensk rätt genom en bestämmelse i ramlagen som motsvarar innehållet i artikel 35.1 d. 14.3.4Överföring av uppgifter från andra medlemsstater ska vara medgiven Regeringens förslag: Personuppgifter som en svensk myndighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. Om ett medgivande på grund av tidsbrist inte kan inhämtas i förväg, får personuppgifter ändå överföras till ett tredjeland eller en interna- tionell organisation om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Detsamma gäller om det är nöd- vändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller någon annan medlemsstat. Regeringens bedömning: Att den andra medlemsstaten utan dröjs- mål ska informeras om överföringen kan regleras i förordning. Utredningens förslag överensstämmer med regeringens förslag och bedömning. Remissinstanser: anser att det av bestämmelsen måste framgå att samtliga grundläggande förutsätt- ningar krävs vid överföring även när medgivande lämnats från en med- lemsstat. Skälen för regeringens förslag och bedömning Enligt artikel 35.1 c ska den som vill överföra personuppgifter som kom- mer från en annan medlemsstat till ett tredjeland eller en internationell organisation ha den andra medlemsstatens tillstånd till överföringen. Till- ståndet ska ges innan överföringen får äga rum. I artikel 35.2 görs undantag från huvudregeln om förhandstillstånd. Där anges att det är tillåtet att överföra personuppgifter utan förhandstillstånd om överföringen är nödvändig för att avvärja ett och allvar- ligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland eller mot en medlemsstats väsentliga intressen och tillstånd inte kan inhämtas . Den som skulle ha gett tillstånd ska då utan dröjsmål informeras om att överföringen har gjorts. lag finns motsvarande bestämmelse i 7 § första stycket 1, som genomför artikel 13.1 c i dataskyddsrambeslutet. Enligt den bestämmel- sen får personuppgifter överföras endast om den som överfört eller gjort uppgifterna tillgängliga har medgett att de överförs. Enligt 7 § tredje stycket, som genomför artikel 13.2 i rambeslutet, får, om medgivande på grund av tidsbrist inte kan utverkas i förväg, personuppgifterna ändå överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Detsamma gäller om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller en annan medlemsstat i EU. Den myndighet som skulle ha medgett överföringen ska, enligt 1 § förordningen (2013:343) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, utan dröjsmål infor- meras om att överföringen gjorts utan föregående medgivande. Huvudregeln är att förhandstillstånd krävs Artikel 35.1 c bör, som utredningen föreslagit, genomföras i ramlagen. Av paragrafen bör det framgå att personuppgifter som en svensk myn- dighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som läm- nat personuppgifterna till en svensk myndighet i förväg har tillåtit det. Regeringen håller med utredningen om att ordet medge bör användas, eftersom det på ett bättre sätt speglar vad som avses. Som påpekar kompletterar kravet på medgivande övriga krav som direktivet ställer för att person- uppgifter ska få överföras till tredjeland. Detta framgår enligt regeringens bedömning tydligt genom det nu aktuella förslaget. Undantag vid allvarlig fara Även artikel 35.2 om undantag från kravet på förhandsmedgivande bör genomföras i ramlagen. Motsvarande bestämmelse lag är väl anpassad till hur svensk lagstiftning brukar utformas. Regeringen delar därför utredningens bedömning att det finns det skäl att använda en lik- nande formulering i ramlagen. Det innebär att ordet fara bör användas i stället för ordet hot, som används i den svenska språkversionen av direktivet. En motsvarande bestämmelse, som också syftar till att tillgo- dose skyddet för allmän säkerhet, finns i artikel 38.1 c. Där används ordet fara i den svenska versionen. I den engelska versionen av direktivet används ordet ”threat” i både artikel 35.2 och 38.1 c. Någon saklig skill- nad kan därför inte vara avsedd. Det är vidare, som utredningen föreslår, tillräckligt att det på samma sätt som lag anges att det ska vara fara för allmän säkerhet. Tillägget i direktivet att det ska gälla säkerheten i en medlemsstat eller ett tredjeland innebär att tillämpningsområdet omfattar alla stater och saknar därmed egentligt innehåll. Att använda formuleringen ”den all- männa säkerheten i en stat” skulle inte heller bidra till någon ökad klar- het. De väsentliga intressena, som enligt direktivet gäller till förmån för en medlemsstat, bör däremot avse eller en annan medlemsstat. 2017/18:232 Av artikel 35.2 framgår att den som har överfört personuppgifter till ett tredjeland eller en internationell organisation utan förhandsmedgivande, när sådant krävs, utan dröjsmål ska informera den medlemsstat som läm- nat uppgifterna till om överföringen. Detta kan regleras i förordning. 14.4Beslut om adekvat skyddsnivå Regeringens förslag: Om kommissionen har beslutat att det finns adekvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geografisk eller på annat sätt angiven del av det, får personuppgif- ter överföras dit. Detsamma gäller om det finns ett sådant beslut avse- ende en internationell organisation. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: och anser att det tydligare bör framgå vad som gäller om det finns tveksamheter angå- ende kommissionens beslut om adekvat skyddsnivå och den nationella tillsynsmyndighetens uppgifter i sådana situationer. Skälen för regeringens förslag Enligt artikel 36.1 får personuppgifter överföras till ett tredjeland eller en internationell organisation om kommissionen har beslutat att tredjelandet eller den internationella organisationen säkerställer en adekvat skydds- nivå. Därutöver ska förutsättningarna för överföring i artikel 35 vara upp- fyllda. Kommissionen får enligt artikel 36.3 besluta med bindande verkan för medlemsstaterna att ett tredjeland, ett territorium eller en eller flera spe- cificerade sektorer inom ett tredjeland, eller en internationell organisation säkerställer en adekvat skyddsnivå. Den territoriella och sektoriella till- lämpningen ska anges i beslutet och det ska också, i förekommande fall, anges vilken eller vilka myndigheter som är tillsynsmyndigheter. En mekanism för regelbunden översyn, minst , ska inrättas. Vilka omständigheter kommissionen ska beakta när den beslutar om adekvat skyddsnivå framgår av artikel 36.2. Enligt artikel 36.4 ska kom- missionen fortlöpande bevaka om utvecklingen i ett tredjeland eller hos en internationell organisation påverkar ett beslut om adekvat skyddsnivå. Kommissionen får enligt artikel 36.5, även det med bindande verkan för medlemsstaterna, besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom tredjelandet i fråga, eller en inter- nationell organisation inte längre säkerställer en adekvat skyddsnivå. Kommissionen kan alltså dra tillbaka, ändra eller upphäva ett beslut om adekvat skyddsnivå och även förordna att beslutet ska gälla . Om kommissionen fattar ett sådant beslut är det inte längre tillåtet att överföra personuppgifter dit. Däremot kan en överföring vara tillåten om kraven på lämpliga skyddsåtgärder eller undantag i särskilda situationer är uppfyllda (se skäl 70). Enligt artikel 36.8 ska kommissionen på sin webbplats och i EU:s officiella tidning offentliggöra beslut i fråga om Prop. 2017/18:232 adekvat skyddsnivå. lag finns motsvarande bestämmelse i 7 § första stycket 4, som genomför artikel 13.1 d i dataskyddsrambeslutet. Där anges som krav för överföring att den stat där den mottagande myndigheten eller det motta- gande internationella organet finns har en adekvat skyddsnivå för den av- sedda personuppgiftsbehandlingen. Kommissionen får enligt artikel 25.6 dataskyddsdirektiv konstatera att ett tredjeland, genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet, har en skyddsnivå som är adekvat. Om kommissionen meddelar ett sådant beslut är med- lemsstaterna skyldiga att vidta nödvändiga åtgärder för att följa beslutet. Medlemsstaterna och kommissionen ska informera varandra om de anser att ett visst tredjeland inte har en adekvat skyddsnivå. kommer fram till att ett tredjeland inte har en adekvat skyddsnivå är medlemsstaterna skyldiga att vidta de åtgärder som är nödvändiga för att förhindra att personuppgifter överförs dit. Kommissionen ska i sådant fall vid lämpligt tillfälle inleda förhandlingar med tredjelandet för att avhjälpa den uppkomna situationen. Möjligheten för kommissionen att besluta om adekvat skyddsnivå en- ligt artikel 25.6 har utnyttjats i förhållande till vissa länder och områden. Av 13 § personuppgiftsförordningen och bilaga 1 till förordningen fram- går i vilken utsträckning personuppgifter får överföras till ett tredjeland, eller till vissa mottagare i ett tredjeland, som har en adekvat dataskydds- Adekvat skyddsnivå innebär att överföring alltid är tillåten Medlemsstaterna ska alltså, på samma sätt som , vara bundna av kommissionens beslut att ett tredjeland eller en internationell organisa- tion har en adekvat skyddsnivå. Detsamma gäller ett beslut att ett tredje- land eller en internationell organisation inte längre uppfyller kraven på Även om ett tredjeland eller en internationell orga- nisation inte längre säkerställer en adekvat skyddsnivå, ska det enligt artikel 36.7 fortfarande vara möjligt att i vissa fall föra över personupp- gifter dit om lämpliga skyddsåtgärder enligt artikel 37 säkerställs eller ett undantag för särskilda situationer i artikel 38 är tillämpligt. Merparten av artikel 36 behandlar kommissionens arbetsuppgifter och kräver därmed inga lagstiftningsåtgärder. Artiklarna 36.1 och 36.3 bör däremot, som föreslås av utredningen, genomföras i ramlagen. grafen bör framgå att personuppgifter får överföras till ett tredjeland eller en internationell organisation om kommissionen har beslutat att landet eller organisationen säkerställer en adekvat nivå för skyddet av person- Detsamma bör gälla om kommissionen har beslutat att det finns en adekvat skyddsnivå i en viss geografisk eller på annat sätt angi- ven del av ett tredjeland, vilket motsvarar direktivets uttryck ett territo- rium eller en eller flera specificerade sektorer inom ett tredjeland. sådant beslut skulle kunna avse t.ex. en region eller en viss myndighet i Förutsättningarna för överföring av personuppgifter till ett 2017/18:232 tredjeland eller en internationell organisation ska också vara uppfyllda för att personuppgifter ska få överföras. Att kommissionen har återkallat ett beslut om adekvat skyddsnivå bör likställas med att det saknas ett sådant beslut. Det förhållandet att det inte längre finns en adekvat skyddsnivå hindrar inte att personuppgifterna överförs med stöd av någon av de andra tillåtna grunderna för överföring (lämpliga skyddsåtgärder eller undantag i särskilda situationer). Det följer av övriga bestämmelser i ramlagen. och har lyft frågan om tillsynsmyndighetens roll vid tveksam- heter om adekvat skyddsnivå kan anses föreligga trots ett föreliggande kommissionsbeslut. Regeringen behandlar denna fråga i avsnitt 11.9. Regeringens förslag: Om det inte finns något beslut om adekvat skyddsnivå, får personuppgifter ändå överföras till ett tredjeland eller en internationell organisation om skyddsåtgärder för personuppgif- terna har fastställts i ett avtal som ger tillräckliga garantier till skydd för den registrerade, eller om den behöriga myndighet som uppgif- terna ska överföras till på annat sätt garanterar tillräckligt skydd för Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: påpekar att individuell pröv- ning av skyddsnivån i ett land kommer att vara mycket svår att genom- föra utom kontorstid. Skälen för regeringens förslag Även om det inte finns något beslut av kommissionen om adekvat skyddsnivå får personuppgifter överföras till ett tredjeland eller en inter- nationell organisation om lämpliga skyddsåtgärder kan säkerställas i det Enligt artikel 37.1 får personuppgifter överföras till ett tredjeland eller en internationell organisation om lämpliga skyddsåtgär- der för personuppgifter har fastställts i ett rättsligt bindande instrument, eller om den personuppgiftsansvarige har bedömt alla omständigheter kring överföringen och dragit slutsatsen att lämpliga skyddsåtgärder för personuppgifterna ändå föreligger. Dessutom ska förutsättningarna för överföring i artikel 35 vara uppfyllda. Som exempel på rättsligt bindande instrument anges i skäl 71 rättsligt bindande bilaterala avtal som har ingåtts av medlemsstaterna och genom- förts i staternas rättsordningar och som kan åberopas av registrerade. bilaterala avtalen ska i sådana fall sörja för att kraven på dataskydd upp-