prop · H503232 · 2018-04-19 00:00:00 — Överföringen ska vara nödvändig i det enskilda fallet t.ex. för att få fram Prop. 2017/18:232 upplysningar om en person som är misstänkt för ett mord i och som polisen tror uppehåller sig i ett tredjeland. Ett annat exempel kan vara att överföringen är nödvändig för att kunna delge en i bosatt målsägande kallelse till en brottmålsrättegång vid svensk domstol. I direktivet görs klart att undantaget bara får utnyttjas i enskilda fall. Man skulle kunna hävda att varje överföring av personuppgifter avser en- skilda fall, men det kan noteras att ingen sådan begränsning görs när det gäller undantagen till skydd för enskildas intressen. Regeringen instäm- mer i utredningens tolkning att inskränkningen till enskilda fall i denna punkt får ses som ett uttryck för att undantaget för myndighetsintressen inte får utnyttjas för bl.a. storskaliga överföringar (se skäl 72). Mot den bakgrunden bör det av lagtexten framgå att det ska vara fråga om enskilda fall. 14.6.5Rättsliga anspråk i enskilda fall Regeringens förslag: I undantagsfall får personuppgifter överföras om det i ett enskilt fall är nödvändigt för att kunna fastställa, göra gäl- lande eller försvara ett sådant rättsligt anspråk som hänför sig till ett sådant syfte som omfattas av ramlagens tillämpningsområde. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering I artikel 38.1 e regleras den situationen att överföring av personuppgifter är nödvändig i ett enskilt fall för att fastslå, göra gällande eller försvara rättsliga anspråk som hänför sig till de syften som omfattas av direktivets tillämpningsområde. Även här pekar direktivet ut att det ska vara fråga om en överföring som är nödvändig i ett enskilt fall. I 34 § första stycket c personuppgiftslagen, som genomför bl.a. artikel 26.1 d dataskyddsdirektiv, föreskrivs att personuppgifter, trots överföringsförbudet, får överföras till ett tredjeland om överföringen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Det krävs inte att det rättsliga anspråket är knutet till något särskilt ändamål. Överföring för att skydda rättsliga anspråk En bestämmelse som motsvarar artikel 38.1 e bör tas in i ramlagen. Rättsligt anspråk används förutom i 34 § första stycket c också i 16 § första stycket c personuppgiftslagen, där det anges som en grund för att få behandla känsliga personuppgifter. I kommentaren till sistnämnda bestämmelse sägs att det inte är helt klart vad som avses med rättsliga anspråk. Förmodligen avses sådana anspråk om vilka man kan föra talan i domstol eller ett domstolsliknande organ och som kan utkrävas av eller med hjälp av statsmakterna, t.ex. (m.fl. 2017/18:232 s. 301). I den tyska versionen av dataskyddsdirektiv (arti- kel 8.2 e) talas det om ”vor Gericht”, alltså inför domstol. Det råder viss oklarhet om vad som avses med ett rättsligt anspråk i personuppgiftslagen. Regeringen delar ändå utredningens bedömning att det uttrycket bör användas i ramlagen, eftersom uttrycket är inarbetat. Dessutom är det betydligt enklare att identifiera vad som kan vara ett rättsligt anspråk inom ramlagens tillämpningsområde. Det kan t.ex. vara ett enskilt anspråk i anledning av brott. Även uttrycken fastställa, göra gällande och försvara är inarbetade och bör användas i ramlagen. Av paragrafen bör det framgå att det rättsliga anspråket ska hänföra sig till att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla all- män ordning och säkerhet. I stället för att upprepa det i paragrafen kan en hänvisning kan göras till bestämmelsen om överföring för att tillgodose myndighetsintressen (se avsnitt 14.6.4). I likhet med vad som gäller för myndighetsintressena bör det framgå att undantaget till skydd för rätts- liga anspråk bara får utnyttjas i enskilda fall. 14.6.6Allvarlig fara för allmän säkerhet Regeringens förslag: I undantagsfall får personuppgifter överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag: Enligt artikel 38.1 c får personuppgif- ter överföras, trots avsaknaden av beslut om adekvat skyddsnivå och till- räckliga skyddsåtgärder, om överföringen är nödvändig för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en medlems- stat eller ett tredjeland. Det finns ett liknande krav på fara för allmän säkerhet i 7 § tredje stycket lag, som genomför artikel 13.2 i dataskyddsrambeslutet, för att få överföra personuppgifter till ett tredjeland eller ett internatio- nellt organ när det på grund av tidsbrist inte har gått att utverka ett för- handsmedgivande till överföringen. Det nu aktuella undantaget bör återspeglas i ramlagen. Av paragrafen bör det framgå att personuppgifter i undantagsfall får överföras till ett tredjeland eller en internationell organisation, om överföringen är nöd- vändig för att avvärja en omedelbar och allvarlig fara för allmän säker- het. Det är som utredningen föreslår tillräckligt att det, på samma sätt som lag, anges att det ska vara fara för allmän säkerhet. Till- lägget i artikeln att det gäller säkerheten i en medlemsstat eller ett tredje- land gör att tillämpningsområdet omfattar alla stater. Det saknar därför materiellt innehåll. Formuleringen ”den allmänna säkerheten i en stat” skulle inte heller bidra till någon ökad klarhet. Bestämmelsen skulle t.ex. kunna tillämpas om överföringen är nödvän- dig för att avvärja ett terroristattentat eller en flygplanskapning. Eftersom det typiskt sett är fråga om en överhängande fara för att något ska hända får prövningen i dessa fall göras med utgångspunkt i att åtgärden kan antas vara nödvändig för att avvärja faran. Att faran inte förverkligas Prop. 2017/18:232 behöver inte innebära att överföringen har varit otillåten. måste självfallet göras med hänsyn till vad som är känt när prövningen görs. 14.6.7En intresseavvägning ska göras i vissa fall Regeringens förslag: Personuppgifter får inte överföras till ett tredje- land eller en internationell organisation om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs i det enskilda fallet för ett myndighetsintresse eller för att kunna fastslå, göra gällande eller för- svara ett rättsligt anspråk. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att den föreslagna intres- seavvägningen fyller en mycket viktig funktion för integritetsskyddet, men att det tydligare bör framgå att integritetsskyddet är ett intresse som ska beaktas vid avvägningen. Inspektionen ifrågasätter vidare om utred- ningens förslag till reglering av intresseavvägningen inte ger ett sämre skydd än vad direktivet medger. Skälen för regeringens förslag: I artikel 38.2 föreskrivs att person- uppgifter inte får överföras till ett tredjeland eller en internationell orga- nisation om den överförande behöriga myndigheten fastställer att den registrerades grundläggande rättigheter och friheter väger tyngre än det allmänna intresset av en sådan överföring som avses i punkt 1 d och e, dvs. myndigheters intresse av brottsbekämpning, lagföring, straffverk- ställighet och ordningshållning och rättsliga anspråk som hänför sig till sådana ändamål. Det ska alltså göras en intresseavvägning mellan skyd- det för den enskildes rättigheter och friheter och det allmännas intresse av att överföringen görs för dessa ändamål. Väger den enskildes intresse av skydd mot kränkning av rättigheter och friheter tyngre än det allmän- nas intresse av att personuppgifterna överförs, får uppgifterna inte över- föras. Sådana rättigheter och friheter kan t.ex. vara yttrandefrihet och religionsfrihet. Artikeln bör genomföras i ramlagen. Lagtexten bör ansluta nära till direktivets text. Det bör framgå att personuppgifter inte får överföras till ett tredjeland eller en internationell organisation om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs i det enskilda fallet för något av de två nu aktuella ändamålen. Regeringen anser, till skillnad från Datainspektionen, att den före- slagna utformningen av bestämmelsen är lämplig och på ett fullgott sätt beskriver den intresseavvägning som ska göras enligt direktivet. Regeringens förslag: En svensk behörig myndighet får inte tillåta att sådana personuppgifter som en svensk myndighet har fått från en annan medlemsstat, och som överförts till ett tredjeland eller en inter- nationell organisation, vidareöverförs till ett tredjeland eller en inter- nationell organisation om inte någon behörig myndighet i den andra medlemsstaten har medgett att uppgifterna får vidareöverföras. Frågan om en svensk behörig myndighet ska medge vidareöver- föring till ett tredjeland eller en internationell organisation av person- uppgifter som en svensk myndighet har lämnat till en annan medlems- stat som överfört uppgifterna till ett tredjeland eller en internationell organisation, ska bedömas med hänsyn till alla kända omständigheter som har samband med överföringen. Särskild vikt ska läggas vid brot- tets allvar, allvaret i faran för allmän säkerhet, det ändamål för vilket personuppgifterna ursprungligen lämnades till den andra medlemssta- ten och nivån på skyddet av personuppgifter i tredjelandet eller hos den internationella organisationen som uppgifterna ska vidareöverfö- Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över försla- get i denna del. Skälen för regeringens förslag Regleringen av överföring av personuppgifter till ett tredjeland eller en internationell organisation omfattar även vidareöverföring av personupp- gifter från ett tredjeland eller en internationell organisation till ett annat tredjeland eller en annan internationell organisation. Det följer bl.a. av en bisats i artikel 35.1, i vilken det sägs att de behöriga myndigheterna endast får överföra personuppgifter som håller på att behandlas eller är avsedda att behandlas efter det att de överförts till ett tredjeland eller en internationell organisation, inklusive för vidareöverföring till ett annat tredjeland eller en annan internationell organisation […]. Av artikel 35.1 e framgår att det är den behöriga myndigheten som gjorde den ursprungliga överföringen eller en annan behörig myndighet i samma medlemsstat, som ska godkänna vidareöverföringen till ett annat tredjeland eller en annan internationell organisation. beakta alla relevanta faktorer, inbegripet brottets allvar, det ändamål för vilket personuppgifterna ursprungligen överfördes och nivån på skyddet av personuppgifter hos den som ska motta uppgifterna om de vidare- Med vidareöverföring avses att personuppgifter överförs från ett tredje- land antingen till ett annat tredjeland eller till en internationell organisa- Det kan också vara fråga om att personuppgifter överförs från en internationell organisation till en annan internationell organisation eller till ett tredjeland. Det är fråga om en överföring i tre led. terna som ska vidareöverföras kommer då från en medlemsstat som läm- nat dem vidare till en annan medlemsstat som i sin tur har överfört dem till ett tredjeland eller en internationell organisation som vidareöverför Prop. 2017/18:232 dem. Direktivet utgår från att det är den medlemsstat som först lämnade per- sonuppgifterna till en annan medlemsstat som ska godkänna vidareöver- föringen från ett tredjeland till ett annat. Även om det är den medlemsstat som överförde personuppgifterna till ett tredjeland som förfogat över uppgifterna senast, och därför har lättast att överblicka om vidareöver- föringen bör tillåtas, är det alltså den medlemsstat som uppgifterna ur- sprungligen kom från som ska godkänna att de vidareöverförs. Om ett tredjeland vänder sig till den medlemsstat som tredjelandet fick person- uppgifterna från bör direktivet tolkas så att den medlemsstaten ska in- hämta tillstånd till vidareöverföring från den medlemsstat som ursprung- ligen lämnade uppgifterna. Bestämmelsen om vidareöverföring bör genomföras i ramlagen. Som artikeln är utformad förefaller det närmast som att det i nationell rätt ska föreskrivas vad ett tredjeland (eller en internationell organisation) ska be- akta vid överföring av personuppgifter som kommer från en medlemsstat till ett annat tredjeland eller till en internationell organisation. Som utred- ningen konstaterar ligger det i sakens natur att det inte är möjligt att reglera det i svensk rätt, annat än genom möjligheten att ställa upp villkor för tredjelandets eller den internationella organisationens användning av personuppgifterna (se avsnitt 14.9). Regleringen i ramlagen bör i stället utgå från vad en svensk myndighet ska göra när den får en förfrågan från ett tredjeland eller en internationell organisation om att vidareöverföra personuppgifter som en svensk myndighet har fått från en annan med- lemsstat. Med vidareöverföring avses här den överföring av personuppgifter som görs efter att personuppgifterna har lämnat medlemssfären, dvs. mellan tredjeländer och internationella organisationer. Rent språkligt är det fråga om vidareöverföring även när en svensk myndighet lämnar vidare per- sonuppgifter som kommer från en annan medlemsstat till ett tredjeland eller till en internationell organisation. Det är sådana situationer som regleras lag. I dessa fall, som behandlas i avsnitt 14.3.4, bör man även i fortsättningen tala om överföring till tredjeland eller interna- organisationer. Av lagtexten bör följaktligen framgå att personuppgifter, som en svensk myndighet har fått från en annan medlemsstat och överfört till ett tredjeland eller en internationell organisation, inte får vidareöverföras till ett tredjeland eller en internationell organisation, om inte den svenska myndigheten inhämtat godkännande till vidareöverföringen från behörig myndighet i den andra medlemsstaten. Medgivande till vidareöverföring kan inhämtas antingen från den myndighet som gjorde den ursprungliga överföringen eller från en annan behörig myndighet i samma medlems- stat. Ett exempel kan vara att en tysk polismyndighet ursprungligen läm- nade personuppgifterna till men att ärendet, när frågan om vidareöverföring väcks, handläggs av tysk åklagare. Det är då natur- ligt att medgivande inhämtas från den tyska åklagaren. 2017/18:232 En begäran om medgivande till vidareöverföring kan givetvis även om- fatta personuppgifter som har sitt ursprung i den svenska myndigheten, eftersom handläggningen i kan ha genererat information som innehåller fler personuppgifter än vad fick. Den svenska myn- digheten får då ta ställning till hur de personuppgifterna ska hanteras. Det kan vara naturligt att ta upp den frågan i dialogen med den behöriga myndigheten i den medlemsstat som lämnade personuppgifterna till , eftersom det eventuellt kan påverka dess syn på om medgivande ska lämnas. I artikeln talas det om vidareöverföring till ett annat tredjeland eller en annan internationell organisation. Regeringen delar utredningens bedöm- ning att tanken inte kan vara att personuppgifter inte kan vidareöverföras från ett tredjeland till en internationell organisation och vice versa. Para- grafen bör därför inte formuleras så att överföringen ska göras till ett annat tredjeland eller en annan internationell organisation. Exempel på vidareöverföring kan vara att har fått personupp- gifter från och överfört dessa till som i sin tur vill vida- reöverföra uppgifterna till . Då måste ett medgivande inhämtas från för att ska få lämna personuppgifterna vidare till . Om inte känner till att har fått uppgifterna från kommer att vända sig till med frågan om person- uppgifterna får vidareöverföras. I ett sådant läge kan inte medge vidareöverföringen utan att inhämta ett medgivande från . Den situationen kan också uppkomma att i det nämnda exemplet i stället vill vidareöverföra personuppgifterna till en internationell orga- nisation, t.ex. FN. Även i det fallet måste inhämta ett medgi- vande till vidareöverföring från . Bedömningen av om svensk myndighet ska medge vidareöverföring Av ramlagen bör det framgå vad en svensk myndighet ska ta hänsyn till när den tillfrågas om den kan medge vidareöverföring av personuppgifter som har lämnat till en annan medlemsstat som i sin tur har över- fört uppgifterna till ett tredjeland eller en internationell organisation som vill vidareöverföra dem. Det bör framgå att det ska vara en svensk behö- rig myndighet som ska lämna medgivandet. Det bör antingen kunna vara den behöriga myndigheten som ursprungligen lämnade de svenska per- sonuppgifterna till en annan medlemsstat eller en annan behörig myndig- het i . Myndigheten bör beakta alla omständigheter som har sam- band med vidareöverföringen. Regeringen delar utredningens uppfattning att alla omständigheter är ett bättre ordval än alla relevanta faktorer. Av naturliga skäl kan bara sådana omständigheter som är kända beaktas. Sådana omständigheter som inte är relevanta bör den tillfrågade myndig- heten kunna bortse från utan att det direkt framgår av lagtexten. Vid bedömningen av om ett medgivande till vidareöverföring ska läm- nas, bör särskild vikt läggas vid brottets allvar, allvaret i faran för allmän säkerhet, det ändamål för vilket personuppgifterna ursprungligen lämna- des till den andra medlemsstaten och skyddsnivån för personuppgifter i tredjelandet eller den internationella organisationen som uppgifterna ska vidareöverföras till. I sammanhanget bör nämnas att bestämmelsen om förhandsmedgivan- Prop. 2017/18:232 den i artikel 35.1 e tar sikte på medgivande i det enskilda fallet. vandet ska alltså avse en viss vidareöverföring av personuppgifter till ett tredjeland eller en internationell organisation. Artikeln hindrar emellertid inte att medgivande ges generellt i förväg för vidareöverföringar mellan tredjeländer och internationella organisationer som kan komma att bli nödvändiga. Bestämmelsen i ramlagen bör därför utformas så att det blir möjligt. 14.8Överföring till andra än behöriga myndigheter Förutsättningarna för överföring till andra än Regeringens förslag: En myndighet som har till uppgift att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lag- föra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet får i ett enskilt fall överföra personuppgifter till någon som inte är behörig myndighet i ett tredjeland. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionens synpunkter gällande över- föring till andra än behöriga myndigheter finns i avsnitt 14.8.4. Skälen för regeringens förslag Enligt artikel 39 får behöriga myndigheter överföra personuppgifter, i enskilda och särskilda fall, direkt till mottagare som är etablerade i tredjeland under förutsättning att direktivets övriga bestämmelser efter- levs och att samtliga i artikeln uppräknade villkor är uppfyllda. reglerar ett undantag från den allmänna principen i artikel 35.1 b att per- sonuppgifter som ska överföras till ett tredjeland eller en internationell organisation ska lämnas till en behörig myndighet. meddelas med stöd av artikel 39.1 ska dock inte hindra tillämpningen av internationella avtal och ska alltså inte betraktas som undantag från be- fintliga bilaterala eller multilaterala internationella avtal på området för straffrättsligt och polisiärt samarbete. En förutsättning för att personuppgifter ska få överföras till andra än behöriga myndigheter i ett tredjeland är att den överförande myndigheten är en sådan behörig myndighet som avses i artikel 3.7 a. en offentlig myndighet som har till arbetsuppgift att förebygga, för- hindra, utreda, avslöja eller lagföra brott, verkställa straffrättsliga påfölj- der eller upprätthålla den allmänna säkerheten. artikel 3.7 b görs inte, vilket innebär att ett annat organ eller någon annan som har anförtrotts myndighetsutövning inom direktivets tillämpnings- område inte har rätt att överföra personuppgifter till andra än behöriga Bakgrunden framgår av skäl 73 där följande uttalas. medlemsstaterna som är verksamma inom direktivets tillämpningsom- 2017/18:232 råde tillämpar bilaterala eller multilaterala internationella avtal, som har ingåtts med tredjeländer på området för straffrättsligt samarbete och polissamarbete, för att utbyta information. Informationsutbytet sker i princip genom eller i samarbete med de tredjeländernas behöriga myn- digheter. kan dock de ordinarie förfaranden som kräver kontakt med en myndighet i ett tredjeland vara ineffektiva och olämpliga, fram- för allt för att överföringen inte kan utföras , eller för att myndighe- ten i tredjelandet inte respekterar rättsstatsprincipen eller internationella människorättsliga normer och standarder. I sådana fall underlättar det om behöriga myndigheter kan överföra personuppgifter direkt till andra än behöriga myndigheter i dessa tredjeländer. Övriga bestämmelser i direktivet måste också efterlevas. Det innebär bl.a. att förutsättningarna i artikel 35 – med undantag för kravet på att överföringen ska göras till en behörig myndighet – ska vara uppfyllda. Vidare ska de i artikel 39.1 särskilt uppräknade villkoren vara uppfyllda för att överföringen ska vara tillåten. Villkoren kommer att beskrivas mer ingående i det följande. Överföring till någon annan än en behörig myndighet Det finns tillfällen då det underlättar om en svensk myndighet kan över- föra personuppgifter till ett tredjeland utan att behöva kanalisera dem via en behörig myndighet i det landet. Så kan vara fallet när det rör sig om en särskilt brådskande åtgärd och en kontakt med den behöriga myndig- heten riskerar att försena åtgärden eller göra den meningslös. Ett exempel är att det finns misstankar om penningtvätt eller annan ekonomisk brotts- lighet, där möjligheten att snabbt spåra ekonomiska transaktioner kan vara avgörande för att ingripa mot pågående brott och det krävs kontakt med ett organ som inte är en behörig myndighet. Ett annat exempel kan vara att en svensk myndighet snabbt vill kunna stoppa en utbetalning på grund av misstankar om bedrägeri och då behöver kontakta en bank eller ett finansinstitut i ett tredjeland. Det kan också finnas ett akut behov av att direkt kontakta en person som riskerar att utsättas för ett allvarligt våldsbrott. är det också vanligt att i sin brottsutredande verksamhet överför personuppgifter till t.ex. Google och Facebook, för att få uppgift om vilken fysisk person som ligger bakom ett användar- konto eller alias. Arbetet skulle väsentligt fördröjas om varje enskild förfrågan skulle behöva gå via en behörig myndighet i tredjelandet. Mot den bakgrunden delar regeringen utredningens bedömning att möjligheten att införa undantag från kravet på att överföringen ska göras till en behörig myndighet bör utnyttjas. Artikel 39.1 bör därför genomfö- ras i ramlagen. Av paragrafen bör framgå att det under vissa förutsätt- ningar är möjligt att i ett enskilt fall föra över personuppgifter till någon som inte är en behörig myndighet i ett tredjeland. Det kan exempelvis vara fråga om överföringar till företag eller privatpersoner i ett tredje- land. Den som personuppgifterna överförs till ska vara etablerad i tredje- landet. Regeringen anser i likhet med utredningen att det bör vara till- räckligt att en fysisk person är stadigvarande bosatt och att en juridisk person har sitt säte eller ett fast driftsställe i tredjelandet för att anses vara Kravet på etablering behöver inte framgå av lagtexten. 2017/18:232 är enligt regeringens mening tillräckligt att det anges att personuppgifter