prop · H503232 · 2018-04-19 00:00:00 — Det hindrar dock inte att en myndighet som lämnar person- uppgifter till en annan medlemsstat generellt medger att uppgifterna får överföras till ett tredjeland eller en internationell organisation om det skulle bli nödvändigt längre fram. Sådana generella medgivanden kan tänkas bli vanliga i informationsutbytet mellan EU:s medlemsstater. Finns det ett generellt medgivande som omfattar personuppgifterna som 2017/18:232 ska överföras, behöver den svenska myndigheten inte göra något ytterli- gare för att säkerställa att den andra medlemsstaten godtar att uppgifterna överförs till ett tredjeland eller en internationell organisation. Om det på grund av tidsbrist inte går att i förväg inhämta medgivande från den medlemsstat som lämnat personuppgifterna till , finns det enligt andra stycket möjlighet att ändå överföra uppgifterna till ett tredjeland eller en internationell organisation. För att det ska vara tillåtet krävs det att åtgärden är nödvändig för att avvärja en omedelbar och allvarlig fara för allmän säkerhet i eller utomlands, eller för att tillgodose andra väsentliga intressen för eller någon annan med- lemsstat. Möjligheten att överföra personuppgifter utan medgivande i förväg ska betraktas som en nödlösning. I kommentaren till 5 § utvecklas vad som avses med en omedelbar och allvarlig fara för allmän säkerhet. Beslut om adekvat skyddsnivå 3 § Paragrafen, som genomför artikel 36.1, innehåller den första tillåtna grunden för att överföra personuppgifter till ett tredjeland eller till en internationell organisation. Det är först om förutsättningarna i denna paragraf inte är uppfyllda som alternativen att överföra personuppgifter med stöd av reglerna om tillräckliga skyddsåtgärder i 4 § eller särskilda situationer i 5 § ska prövas. Paragrafen behandlas i avsnitt 14.4. Enligt paragrafen får personuppgifter alltid överföras till ett tredjeland eller en internationell organisation som enligt ett beslut av kommissionen har en adekvat skyddsnivå för personuppgifter. Om kommissionen har meddelat ett sådant beslut för ett territorium eller en sektor i ett tredje- land får personuppgifter överföras dit. Avgränsningen avgörs av innehål- let i kommissionens beslut. Förutsättningarna för överföring av personuppgifter till ett tredjeland eller en internationell organisation i 1 § ska alltid vara uppfyllda för att personuppgifter ska få överföras med stöd av ett beslut om adekvat skyddsnivå. Det innebär bl.a. att personuppgifter ska överföras mellan behöriga myndigheter. Ska personuppgifter som en svensk myndighet har fått från en annan medlemsstat överföras ska även kraven i 2 § vara uppfyllda. Om kommissionen beslutar att ett tredjeland, eller en del av det, eller en internationell organisation inte längre säkerställer en adekvat skydds- nivå får personuppgifter inte överföras dit med stöd av den nu aktuella paragrafen. Det hindrar dock inte att personuppgifter överförs till tredje- landet eller den internationella organisationen om någon av de andra tillåtna grunderna för överföring är tillämplig. Tillräckliga skyddsåtgärder 4 § I paragrafen, som genomför artikel 37.1, behandlas den andra tillåtna grunden för överföring av personuppgifter till ett tredjeland eller en inter- nationell organisation. Paragrafen behandlas i avsnitt 14.5. Om det inte finns något beslut om adekvat skyddsnivå enligt 3 § får en behörig myndighet i ändå överföra personuppgifter till en behö- rig myndighet i ett tredjeland, eller till en internationell organisation som är en behörig myndighet, om det finns tillräckliga skyddsåtgärder för uppgifterna där. Förutsättningarna för överföring av personuppgifter till ett tredjeland eller en internationell organisation i 1 § ska alltid vara uppfyllda för att personuppgifter ska få överföras på denna grund. Det innebär bl.a. att personuppgifter ska överföras mellan behöriga myndig- heter. Ska personuppgifter som en svensk myndighet har fått från en annan medlemsstat överföras ska även kraven i 2 § vara uppfyllda. Enligt punkt 1 kan tillräckliga skyddsåtgärder finnas om sådana har fastställts i ett avtal som ger tillräckliga garantier till skydd för den regi- strerade. Personuppgifter kan normalt överföras till länder som är an- slutna till dataskyddskonventionen eller har ingått bindande avtal om internationellt samarbete som innehåller dataskyddsregler som är tillämp- liga på överföringen. Det kan också vara fråga om bilaterala avtal som ingått med ett tredjeland och som sörjer för att kravet på data- skydd uppfylls och registrerades rättigheter respekteras. Enligt punkt 2 får personuppgifter också överföras om den behöriga myndighet som ska ta emot uppgifterna på annat sätt än genom avtal garanterar tillräckligt skydd för dem. Den som ska överföra personupp- gifterna till tredjelandet eller den internationella organisationen ska be- döma alla omständigheter kring överföringen och komma till slutsatsen att skyddsåtgärderna är tillräckliga. Exempel på sådant som kan vägas in vid bedömningen av om tillräckligt skydd garanteras är bl.a. bindande åtaganden att inte sprida personuppgifterna vidare eller att inte använda personuppgifterna efter viss tidpunkt. Det är den personuppgiftsansvarige som har bevisbördan för att skyddsnivån är tillräcklig hos den som tar emot personuppgifterna i tredjelandet eller den internationella organisationen. I de fall där person- uppgifter överförs till ett tredjeland via en nationell kontaktpunkt i det landet bör bedömningen av om tillräckligt skydd för uppgifterna garante- ras avse situationen hos den som slutligen ska ta emot dem. Om det inte är känt till vilken behörig myndighet i tredjelandet som kontaktpunkten kommer att vidarebefordra personuppgifterna får bedömningen i stället göras utifrån vilket dataskydd kontaktpunkten erbjuder. Överföring i särskilda situationer 5 § Paragrafen genomför artiklarna 38.1 och 38.2. Den behandlas i av- snitt 14.6 och är utformad i enlighet med Lagrådets förslag. Paragrafen reglerar möjligheten att överföra personuppgifter till en be- hörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet när det varken finns beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder för uppgifterna. Kravet är då att det ska vara fråga om en särskild situation. Undantagen för särskilda situationer gäller även samlingar av överföringar. avses här flera överföringar som på något sätt är sammankopplade, antingen därför att det är flera personuppgifter som överförs inom ramen för ett ärende, eller för att det är en personuppgift som överförs till flera adressater. En överföring kan också innehålla flera personuppgifter och därmed utgöra en samling, t.ex. ett utdrag från ett register. Det viktiga när det gäller 2017/18:232 samlingar av överföringar är att det i efterhand går att kontrollera vilka personuppgifter som har överförts. Överföringen ska enligt första stycket vara nödvändig i någon av de särskilda situationer som räknas upp i punkterna 1–4. I punkterna 2 och 3 föreskrivs att överföringen ska vara nödvän- dig i det enskilda fallet. Oavsett vilken situation som är för handen ska förutsättningarna för överföring till tredjeland och internationella organi- sationer i 1 § alltid vara uppfyllda. Det innebär bl.a. att överföringen ska göras mellan behöriga myndigheter och i ett syfte som omfattas av lagens Även förutsättningarna i 2 § ska vara uppfyllda om personuppgifter som kommer från en annan medlemsstat ska överföras. I punkt 1 regleras två situationer som kan göra överföringen nödvän- Det är dels för att värna vitala intressen för den registrerade eller någon annan fysisk person, dels för att värna andra berättigade intressen som den registrerade har. I det sistnämnda fallet gäller alltså inte skyddet till förmån för någon annan än den vars personuppgifter ska överföras. Den som är misstänkt för ett brott kan ha ett berättigat intresse av att viss bevisning som finns i ett tredjeland inhämtas därifrån. befinner sig i ett tredjeland kan ha ett berättigat intresse av att hans eller hennes personuppgifter överförs dit för att ett förhör ska kunna komma till stånd där. När det gäller skyddet för vitala intressen kan det gälla både för den som personuppgiften avser och för någon annan fysisk person. t.ex. handla om att överföra uppgifter om en person som misstänks pla- nera ett sprängdåd eller ett värdetransportrån i ett tredjeland. exempel är att någon som har rymt från ett fängelsestraff utgör ett hot mot en målsägande eller ett vittne som bor i tredjeland och polisen där behöver få kännedom om det för att kunna skydda personen. för den enskilde väsentliga intressen som inte är direkt avgörande för liv och död, t.ex. hälsa och ekonomiska intressen, kan värnas med stöd av undantaget för vitala intressen. Punkt 2 tillgodoser behöriga myndigheters behov av att i ett enskilt fall kunna överföra personuppgifter till ett tredjeland eller en internationell organisation som inte uppfyller kraven på adekvat skyddsnivå eller garanterar tillräckligt skydd för personuppgifterna. Som exempel på när personuppgifter kan behöva överföras i ett enskilt fall för ett ändamål som omfattas av lagens tillämpningsområde kan nämnas bevisupptagning vid utländsk domstol, kvarstad på och beslag av egendom som finns i ett tredjeland och husrannsakan i en bostad eller lokal som är belägen där. Ett annat exempel kan vara att överföringen är nödvändig i ett brottmål för att kunna delge en i tredjeland bosatt målsägande kallelse till rätte- gång vid svensk domstol. Åtgärden behöver inte vara nödvändig för att tillgodose svenska myn- digheters behov och intressen. Det kan finnas förutsättningar för att till- lämpa punkten om ett tredjeland behöver få tillgång till svenska person- uppgifter, t.ex. uppgift om att en viss person är dömd för sexuellt utnytt- jande av barn. Personuppgifter kan lämnas både på begäran och på den svenska myndighetens eget initiativ. Punkt 3 innebär att personuppgifter kan överföras till ett tredjeland eller en internationell organisation om överföringen är nödvändig i ett enskilt fall för att kunna fastställa, göra gällande eller försvara ett rättsligt Det rättsliga anspråket ska vara hänförligt till ett ändamål som Prop. 2017/18:232 omfattas av lagens tillämpningsområde. Exempel på sådana rättsliga anspråk är bl.a. skadestånd i anledning av brott. Ett exempel på när det kan vara nödvändigt att överföra person- uppgifter enligt punkt 4 för att avvärja en omedelbar och allvarlig fara för allmän säkerhet är om det finns information om förestående allvarliga störningar i samhällslivet som har samband med brott eller andra sär- skilda händelser som kan vålla omfattande ordningsstörning, t.ex. gatukravaller och plundring. Det kan vara fråga om allmän säkerhet i eller i någon annan stat. Om det är fråga om en omedelbar fara för allmän säkerhet utomlands ligger det i sakens natur att den som vill överföra personuppgifterna har fått veta något av intresse som det är viktigt att tredjelandet eller den internationella organisationen får infor- mation om direkt, t.ex. planer på terroristattentat eller flygplanskapning eller risk för kravaller i samband med en fotbollsmatch. Den överförande myndigheten kan naturligtvis bara beakta sådant som den känner till vid prövningen av om personuppgifterna får överföras. Att det sedan i efter- hand visar sig att överföringen inte var nödvändig, t.ex. därför att faran aldrig realiserades, innebär inte att överföringen var otillåten. Enligt andra stycket ska en intresseavvägning göras när personupp- gifter ska överföras enligt punkt 2 eller 3. De intressen som ska vägas mot varandra är skyddet för den registrerades rättigheter och friheter och det allmännas intresse av att överföringen görs. Om den registrerades intresse väger tyngre än det allmännas får personuppgifterna inte över- föras. Ett exempel där den registrerades intresse väger tyngre kan vara om han eller hon riskerar dödsstraff, kroppsstraff eller tortyr om hans eller hennes personuppgifter överförs till en behörig myndighet i ett tredjeland. Paragrafen reglerar, tillsammans med 7 §, vidareöverföring av person- uppgifter till ett tredjeland eller en internationell organisation. Med vida- reöverföring förstås överföring av personuppgifter mellan tredjeländer och internationella organisationer av sådana personuppgifter som över- förts dit av en medlemsstat. Paragrafen, som genomför artikel 35.1, be- handlas i avsnitt 14.7. I paragrafen anges förutsättningarna för att en svensk behörig myndig- het ska få tillåta en vidareöverföring av personuppgifter som myndighe- ten fått från en annan medlemsstat enligt 2 § första stycket, t.ex. genom att de skickas elektroniskt eller att de har gjorts tillgängliga i ett gemen- samt datasystem, och som sedan har överförts till ett tredjeland eller till en internationell organisation som i sin tur vill vidareöverföra uppgif- terna till ett tredjeland eller en internationell organisation. För det första måste det vara en behörig myndighet i som ger tillåtelse till vidareöverföringen. Dessutom krävs det att den behöriga myndigheten i den medlemsstat som lämnade personuppgifterna till en svensk myndighet har medgett att uppgifterna får vidareöverföras. En annan behörig myndighet i den andra medlemsstaten kan också medge 2017/18:232 vidareöverföring. Om medgivande saknas får den svenska behöriga myn- digheten inte tillåta att personuppgifterna vidareöverförs. Något formkrav för hur medgivandet ska lämnas finns inte. Ett medgi- vande skulle därför kunna lämnas muntligen. Någon form av dokumenta- tion, t.ex. genom en tjänsteanteckning, torde dock vara nödvändig för att tillsynsmyndigheten i efterhand ska kunna kontrollera om nödvändigt medgivande fanns innan den svenska behöriga myndigheten tillät vidare- överföringen. I 10 § regleras möjligheten för en svensk behörig myndighet att ställa upp villkor för tredjelandets eller den internationella organisationens användning av personuppgifterna. I paragrafen, som tillsammans med 6 § genomför artikel 35.1, anges vad en svensk myndighet ska beakta när den tar ställning till en fråga från en annan medlemsstat om att ett tredjeland eller en internationell organisa- tion ska få vidareöverföra personuppgifter som har överförts dit av den andra medlemsstaten. Paragrafen behandlas i avsnitt 14.7. Paragrafen ska alltså tillämpas på personuppgifter som har sitt ur- sprung i en svensk myndighet. Personuppgifterna har sedan överlämnats till en annan medlemsstat som i sin tur har överfört dem till ett tredjeland eller en internationell organisation som vill vidareöverföra uppgifterna. Det är alltid en svensk behörig myndighet som ska medge vidareöver- föringen. Med det avses antingen den svenska behöriga myndigheten som ursprungligen lämnade personuppgifterna till den andra medlems- staten eller en annan svensk behörig myndighet. Om exempelvis Polis- myndigheten har lämnat personuppgifter till en annan medlemsstat, som överfört uppgifterna till ett tredjeland som vill vidareöverföra dem, men ärendet handläggs av svensk åklagare när förfrågan om vidareöverföring görs är det naturligt att prövar frågan om vidare- överföring. Om personuppgifterna har sitt ursprung i en annan myndighet som inte är behörig i lagens mening, t.ex. beskattnings- verksamhet eller verksamhet under Effektiv handel, bör den myndigheten rådfrågas om medgivande till vidareöverföring ska lämnas. Den rådfrågade myndigheten bör då, utifrån vad som är känt för den, beakta motsvarande omständigheter som den behöriga myndigheten ska ta hänsyn till. Vid bedömningen av om medgivande till vidareöverföring ska lämnas, ska enligt paragrafen alla omständigheter som har samband med vidare- överföringen beaktas. Av naturliga skäl kan hänsyn tas endast till sådana omständigheter som är kända när bedömningen görs. Det krävs inte att myndigheten gör omfattande efterforskningar för att få fram alla omstän- digheter som skulle kunna ha betydelse för om medgivande ska lämnas. I paragrafen pekas ut några omständigheter som ska tillmätas särskild vikt när en svensk behörig myndighet ska ta ställning till en förfrågan från en annan medlemsstat om vidareöverföring kan medges. Brottets allvar ska ses i ljuset av varför vidareöverföringen är nödvändig. Är exempelvis vidareöverföringen nödvändig för att förebygga brott är det allvaret i det brottet som ska beaktas. till ett tredjeland för att den allmänna ordningen och säkerheten där ska kunna upprätthållas, är det i stället allvaret i faran som hotar ordningen eller säkerheten som ska beaktas. Även det ändamål för vilket person- uppgifterna ursprungligen lämnades till den andra medlemsstaten ska När det gäller skyddsnivån för personuppgifter, bör bl.a. lagstift- ningen i tredjelandet beaktas. Uppräkningen av omständigheter i paragra- fen är inte avsedd att vara uttömmande. Det finns i och för sig inget som hindrar att en svensk behörig myndig- het i förväg generellt medger att personuppgifter får vidareöverföras om det skulle komma att behövas. Det kan tvärtom ligga i den svenska myn- dighetens intresse att personuppgifterna får stor spridning om det t.ex. är fråga om en efterlyst person som eftersöks. En behörig myndighet ska dock, om den lämnar generella medgivanden till vidareöverföring, beakta att olika tredjeländer och internationella organisationer kan ha olika nivå på skyddet för personuppgifter och att olika personuppgifter kan behöva olika starkt skydd. Överföring till andra än behöriga myndigheter Paragrafen, som genomför artikel 39.1 a–c och e, är ett undantag från kravet i 1 § första stycket 2 att överföring av personuppgifter till tredje- land ska göras till behöriga myndigheter. Om förutsättningarna i paragra- fen är uppfyllda får personuppgifter överföras även till andra än behöriga Det kan t.ex. vara företag och privatpersoner i ett tredje- Överföring till andra än behöriga myndigheter får dock göras endast om samtliga i första stycket punkterna 1–3 angivna förutsättningar Dessutom ska de övriga förutsättningarna i 1 och 2 §§ vara Paragrafen behandlas i avsnitt 14.8 och är utformad i enlighet med Lagrådets förslag. Enligt första stycket punkt 1 ska överföringen vara absolut nödvändig för att den svenska myndigheten ska kunna utföra en uppgift som anges i 1 kap. 2 §. Kravet på absolut nödvändighet innebär att överföringen inte Det kan vara fallet bl.a. vid brådskande delgivning av en fysisk person i ett tredjeland genom ett delgivningsföretag som är etable- Ett annat exempel kan vara att i sin underrättelse- verksamhet kan behöva kontakta ett hotell eller ett transportföretag i ett tredjeland för att snabbt få fram information. Överföring kan också vara nödvändig för att en svensk myndighet ska kunna underrätta en måls- ägande enligt förundersökningskungörelsen (1947:948) när en gripen, anhållen eller häktad avviker eller ett frihetsberövande hävs, eller enligt fängelseförordningen (2010:2010) när en intagen har permission, rym- mer, fritas eller friges. Kravet i punkt 2 innebär en skyldighet för den svenska myndighet som överför personuppgifterna till någon som inte är en behörig myndighet att underrätta den som ska ta emot uppgifterna om för vilket eller vilka specifika ändamål de får behandlas. Enligt punkt 3 krävs slutligen att den svenska myndigheten bedömer att det skulle vara ineffektivt eller på något annat sätt olämpligt att i stället överföra personuppgifterna till en behörig myndighet i tredjelandet. kan vara något i tidigare kontakter med den behöriga myndigheten i det landet eller andra indikationer som ger anledning att tro att syftet med 2017/18:232 överföringen kan komma att förfelas eller att det på något annat sätt skulle vara olämpligt att överföra personuppgifterna via den behöriga myndigheten. Däremot är bestämmelsen inte tillämplig enbart om det skulle ta att kanalisera personuppgifterna via en behörig myn- dighet därför att det t.ex. krävs en formell framställning om rättslig hjälp i brottmål. Ett exempel är de mycket vanliga överföringarna som Polismyndig- heten gör till internetoperatörer för att förhindra och utreda internetrelate- rad brottslighet. Det skulle vara ineffektivt om varje sådan överföring skulle behöva göras genom en behörig myndighet i mottagarlandet både med hänsyn till mängden förfrågningar och den brådska som ofta råder. Ett annat exempel är information som lämnas till en bank för att för- hindra att banken utnyttjas för brottsliga penningöverföringar. I sådana fall kan kontakt behöva tas . När det gäller underrättelser till målsägande enligt förundersökningskungörelsen skulle det kunna med- föra problem för målsäganden om underrättelserna alltid kanaliseras via tredjelandets behöriga myndigheter. Enligt andra stycket ska det göras en intresseavvägning mellan den registrerades intresse av skydd mot kränkning av rättigheter och friheter och det allmännas intresse av att överföringen kommer till stånd. Om den enskildes skyddsintresse väger tyngre får överföringen inte göras. Ett exempel kan vara om personen som uppgifterna avser riskerar förföljelse på grund av sin religion eller politiska åskådning om personuppgifterna överförs till någon annan än en behörig myndighet i ett tredjeland. Intres- seavvägningen motsvarar den som enligt 5 § andra stycket ska göras när personuppgifter ska överföras i vissa särskilda situationer. Begränsningen i tredje stycket innebär att en annan aktör som är behö- rig myndighet enligt definitionen i 1 kap. 6 § inte får överföra person- uppgifter till andra än behöriga myndigheter. I paragrafen anges vad som gäller om en svensk behörig myndighet har fått personuppgifter från ett tredjeland eller en internationell organisation och överföringen försetts med villkor för användningen av uppgifterna. Paragrafen behandlas i avsnitt 14.9.1. Om tredjelandet eller den internationella organisationen som överfört personuppgifterna med stöd av en bindande överenskommelse har ställt upp särskilda villkor för hur en viss personuppgift får behandlas, t.ex. av vem eller på vilket sätt uppgiften får användas eller hur länge den får be- handlas, ska enligt paragrafen villkoren följas av svenska myndigheter. Det gäller oavsett vad som annars är föreskrivet i lag eller annan författ- ning. Ett begränsande villkor följer med personuppgiften om den lämnas vidare till en annan myndighet (se JO 2007/08 s. 57). Den myndighet som lämnar personuppgifter vidare anses vara skyldig att informera om begränsningen. Likartade bestämmelser om användningsbegränsning finns bl.a. i 5 kap. 1 § lagen (2000:562) om internationell rättslig hjälp i brottmål och 6 kap. 3 § lagen (2017:496) om internationellt polisiärt samarbete. Enligt paragrafen får en svensk behörig myndighet, när den överför per- sonuppgifter till ett tredjeland eller en internationell organisation, ställa upp villkor som begränsar tredjelandets eller den internationella organi- sationens möjlighet att använda uppgifterna. Paragrafen behandlas i av- snitt 14.9.2. Förutsättningen för att få ställa upp sådana villkor är dels att de inte strider mot en bindande internationell överenskommelse, dels att det krävs med hänsyn till den enskildes rätt eller från allmän synpunkt. Det får dock bara göras i enskilda fall. Det kan vara aktuellt att ställa upp villkor om den överförande svenska myndigheten vill försäkra sig om att tredjelandet inte vidareöverför upp- gifterna till ett annat tredjeland eller en internationell organisation utan att först inhämta tillstånd från den svenska myndigheten (se kommenta- ren till 6 §). Ett annat exempel kan vara att en svensk myndighet har fått personuppgifter från en annan medlemsstat med villkor som begränsar användningen.