prop · H503232 · 2018-04-19 00:00:00 — får överföras till andra än behöriga myndigheter i tredjeland. Det behöver inte föreskrivas att det ska vara fråga om särskilda fall. Att det rör sig om konkreta fall där det finns ett särskilt behov av att överföra personuppgifter till någon som inte är en behörig myndighet i ett tredje- land ligger redan i uttrycket enskilda fall. Endast en myndighet som har som arbetsuppgift att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda och lagföra brott, verk- ställa straffrättsliga påföljder eller upprätthålla allmän ordning och säker- het bör ges möjlighet att utnyttja undantaget. Andra aktörer som är behöriga myndigheter i ramlagens mening bör alltså inte få göra sådana överföringar. 14.8.2Överföringen ska vara absolut nödvändig Regeringens förslag: För att personuppgifter ska få överföras till andra än behöriga myndigheter i ett tredjeland ska överföringen vara absolut nödvändig för att den svenska myndigheten ska kunna utföra en arbetsuppgift som den har ansvar för och som ligger inom ram- lagens tillämpningsområde. Den som ska ta emot personuppgifterna ska informeras om det eller de specifika ändamål för vilket eller vilka uppgifterna får behandlas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag: Det första villkoret för att personupp- gifter ska få överföras till annan än en behörig myndighet i ett tredjeland är enligt artikel 39.1 a att överföringen är absolut nödvändig för att den överförande myndigheten ska kunna utföra en arbetsuppgift som den ansvarar för enligt unionsrätten eller nationell rätt för de ändamål som omfattas av direktivets tillämpningsområde. Enligt artikel 39.1 e ska den överförande myndigheten informera mottagaren om de specifika ändamål för vilket eller vilka mottagaren får behandla personuppgifterna, förutsatt att den behandlingen är nödvändig. Artiklarna 39.1 a och e bör genom- föras i ramlagen. Det görs lämpligen genom att innehållet i dem anges som villkor för att personuppgifter ska få överföras till andra än behöriga myndigheter i ett tredjeland. Överföringen ska alltså vara absolut nödvändig för att t.ex. en domstol ska kunna utföra en arbetsuppgift. För att markera att undantaget ska till- lämpas restriktivt och att det kan bli fråga om överföring endast i undan- tagsfall bör uttrycket ”absolut nödvändigt” användas. Personuppgifter får således överföras endast om det är absolut nödvändigt för att den överfö- rande myndigheten ska kunna utföra en arbetsuppgift som den ansvarar för inom ramlagens tillämpningsområde. Vidare bör det föreskrivas att den svenska myndighet som överför per- sonuppgifterna ska lämna information om det eller de specifika ändamål för vilket eller vilka uppgifterna får behandlas av mottagaren. Det ligger i sakens natur att det inte går att i svensk rätt föreskriva att behandlingen i tredjelandet ska vara nödvändig. 2017/18:232 14.8.3 Om överföring till behörig myndighet blir ineffektiv eller är olämplig Regeringens förslag: Personuppgifter får överföras till någon som inte är behörig myndighet i ett tredjeland om det skulle vara ineffek- tivt eller olämpligt att överföra uppgifterna till en behörig myndighet där. Regeringens bedömning: Skyldigheten att informera den behöriga myndigheten i tredjelandet om överföringen och undantag från skyl- digheten kan regleras i förordning. Utredningens förslag överensstämmer med regeringens förslag och bedömning. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag och bedömning Överföring till behörig myndighet bör undvikas Enligt artikel 39.1 c får personuppgifter överföras direkt till en mottagare som är etablerad i ett tredjeland om den överförande myndigheten anser att en överföring till en behörig myndighet i tredjelandet skulle bli ineffektiv eller vara olämplig. Det gäller i synnerhet om överföringen inte kan göras inom rimlig tid. Enligt artikel 39.1 d ska behörig myndig- het i tredjelandet utan dröjsmål informeras, såvida det inte blir ineffektivt eller det är olämpligt att lämna informationen. Villkoret i artikel 39.1 c bör framgå av ramlagen. I likhet med utred- ningen anser regeringen att det är tillräckligt att det av paragrafen fram- går att det skulle vara ineffektivt eller olämpligt att överföra personupp- gifterna till en behörig myndighet i mottagarlandet. I kravet på att det skulle vara ineffektivt att föra över personuppgifterna till en behörig myndighet ligger att handläggningen riskerar att fördröjas. Exempel på när det kan vara ineffektivt att gå via en behörig myndighet i ett tredje- land kan vara överföringar till företag som Google eller Facebook, där det kan röra sig om stora mängder personuppgifter som behöver över- föras och det kan vara av avgörande betydelse med ett snabbt svar. I undantagsfall kan det vara olämpligt att överföra en personuppgift via den behöriga myndigheten. Om tidigare kontakter i ärendet med den be- höriga myndigheten fått negativa konsekvenser för den svenska myndig- hetens handläggning bör det kunna vara ett sådant fall. Ett annat exempel är kontakter med ett krigshärjat tredjeland där det kanske inte finns någon behörig myndighet att kommunicera med eller där det är oklart vem som är behörig företrädare för staten. Då är det nödvändigt att kunna överföra personuppgifter till andra än behöriga myndigheter. Det är den överförande myndigheten som ska bedöma om det skulle vara ineffektivt eller på annat sätt olämpligt att överföra personuppgif- terna till en behörig myndighet. Av artikel 39.1.d framgår att den behöriga myndigheten i tredjelandet utan dröjsmål ska informeras om överföringen om det inte är ineffektivt Bestämmelser om informationsskyldigheten och undantag från den kan, som utredningen föreslår, regleras i förordning. En intresseavvägning ska göras Regeringens förslag: Personuppgifter får inte överföras till någon som inte är en behörig myndighet i ett tredjeland om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen efterfrågar djupare analys av risker som kan uppstå vid överföring till andra än behöriga myndigheter och efterfrågar ett tydliggörande av att de grundläggande förutsättning- arna för överföring ska gälla även vid överföring till andra än behöriga Inspektionen anser vidare att den föreslagna intresseavväg- ningen fyller en mycket viktig funktion för integritetsskyddet men att det tydligare bör framgå att integritetsskyddet är ett intresse som ska beaktas Inspektionen ifrågasätter vidare om utredningens för- slag till reglering av intresseavvägningen inte ger ett sämre skydd än vad Skälen för regeringens förslag: Utöver de redan nämnda villkoren för att personuppgifter ska få överföras till andra än behöriga myndigheter, ska enligt artikel 39.1 b den överförande myndigheten ha fastställt att ingen av den berörda registrerades grundläggande rättigheter och friheter väger tyngre än det allmänna intresset som gör överföringen nödvändig i det aktuella fallet. En intresseavvägning ska alltså göras. En bestämmelse som motsvarar innehållet i artikeln bör, som utred- ningen föreslår, tas in i ramlagen. Intresseavvägningen påminner till viss del om den intresseavvägning som föreslås i avsnitt 14.6.7. sen bör därför utformas på liknande sätt. De intressen som ska vägas mot varandra är å ena sidan den registrerades intresse av skydd mot att hans eller hennes rättigheter och friheter kränks genom överföringen och å andra sidan det allmännas intresse av att personuppgifterna överförs. Väger den registrerades intresse av skydd tyngre får överföringen inte Till skillnad från Datainspektionen anser regeringen att de föreslagna bestämmelserna om överföring till andra än behöriga myndigheter väl uppfyller direktivets krav. Det ligger i sakens natur att det inte går att överblicka alla eventuella risker som kan uppstå. dock innebära att det ska röra sig om absolut nödvändiga överföringar i enskilda fall när överföring till behörig myndighet i tredjeland skulle vara ineffektiv eller olämplig. Därtill kommer kravet på information om ändamål till den som ska ta emot uppgifterna och dessutom en intresse- Mot den bakgrunden anser regeringen att den föreslagna regleringen ger ett godtagbart skydd för den enskilde. 2017/18:232 emellertid Datainspektionens uppfattning att en upplysning om att de grundläggande förutsättningarna för överföring till tredjeland och inter- nationella organisationer måste vara uppfyllda även vid överföring till andra än behöriga myndigheter bör föras in i förslaget till bestämmelse. Villkor för användningen av personuppgifter Villkor som ställs upp av utländska myndigheter Regeringens förslag: Om en svensk behörig myndighet har fått per- sonuppgifter från ett tredjeland eller en internationell organisation och gäller på grund av en överenskommelse med tredjelandet eller den internationella organisationen villkor som begränsar möjligheten att använda uppgifterna, ska svenska myndigheter följa villkoren oavsett vad som är föreskrivet i lag eller annan författning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: ser positivt på förslagen i denna del och pekar på att det ur ett internationellt samarbetsperspektiv är av yttersta vikt att respektera en s.k. handling code och inte vidarebe- fordra uppgifter till tredje land om inte medgivande har inhämtats. Skälen för regeringens förslag: När en utländsk myndighet eller internationell organisation överför personuppgifter till en svensk myn- dighet är det inte ovanligt att den ställer upp villkor för hur uppgifterna Det kan handla om för vilka ändamål de får användas eller hur länge uppgifterna får behandlas. Det finns flera författningar som innehåller regler om vad som gäller när en svensk myndighet får personuppgifter från en utländsk myndighet och det ställs villkor för hur uppgifterna får användas. finns bl.a. i 6 kap. 3 § lagen (2017:496) om internationellt polisiärt sam- 5 kap. 1 § lagen (2000:562) om internationell rättslig hjälp i brottmål, 4 kap. 2 § lagen (2000:1219) om internationellt tullsamarbete och 5 § lagen (2003:1174) om vissa former av internationellt samarbete i I 8 § första stycket lag, som bl.a. genomför artikel 12 i rambeslutet, finns en regel om att svenska myndigheter ska följa villkor som begränsar möjligheten att använda personuppgifter som den fått från medlemsstater i EU, , , eller Liech- tenstein, ett EU-organ eller ett EU-informationssystem. innebär att svenska myndigheter är skyldiga att följa de villkor som ställs i fråga om hur lämnad information får användas. Det gäller oavsett om villkoren skulle stå i strid med svensk lagstiftning (se bl.a. JO 2007/08 s. 57 angående tillämpningen). Direktivet föreskriver inte någon skyldighet för medlemsstaternas myndigheter att följa sådana villkor som ett tredjeland eller en internatio- nell organisation har ställt upp för användningen av personuppgifter som överförs av tredjelandet eller den internationella organisationen. ringen delar utredningens uppfattning att det ändå behövs en sådan regle- ring i ramlagen, bl.a. mot bakgrund av att den nuvarande regleringen inte täcker ramlagens hela tillämpningsområde. Av paragrafen bör framgå att Prop. 2017/18:232 svenska myndigheter ska följa villkor som ställts upp av ett tredjeland eller en internationell organisation. Sådana användningsbegränsningar bör följas oavsett vad som annars är föreskrivet i lag eller annan författ- ning. Paragrafen bör utformas efter mönster av andra liknande bestäm- melser. 14.9.2Villkor när personuppgifter överförs av svenska myndigheter Regeringens förslag: En svensk behörig myndighet får, vid över- föring av personuppgifter till ett tredjeland eller en internationell organisation, i ett enskilt fall ställa upp villkor som begränsar möjlig- heten att använda uppgifterna, om det krävs med hänsyn till den en- skildes rätt eller från allmän synpunkt. Sådana villkor får inte strida mot en internationell överenskommelse som är bindande för . Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningens förslag till reglering innehåller inte något krav på att vill- koren inte får strida mot en bindande internationell överenskommelse. Remissinstanserna: anser att det av regleringen även bör framgå av att det krävs stöd i en bindande internationell överenskom- melse. Skälen för regeringens förslag: När en svensk behörig myndighet överför personuppgifter till ett tredjeland eller en internationell organisa- tion finns det ibland skäl att ställa villkor som begränsar användningen av uppgifterna, t.ex. för vilket ändamål och hur länge de får behandlas. Behovet av sådana användningsbegränsningar visar sig normalt redan i samband med att en utländsk myndighet begär att få ut personuppgifter som finns tillgängliga hos en svensk myndighet eller att den svenska myndigheten behöver överföra sådana uppgifter. Att personuppgifterna förses med villkor för användningen kan ibland vara en förutsättning för att det ska anses vara lämpligt att överföra uppgifterna. finns det inom ramlagens tillämpningsområde bestämmelser i flera lagar om att svenska myndigheter under vissa förutsättningar får ställa upp villkor som begränsar möjligheten att använda uppgifter som lämnas till en annan stat. Det gäller 6 kap. 4 § lagen om internationellt polisiärt samarbete, 5 kap. 2 § lagen om internationell rättslig hjälp i brottmål, 2 kap. 7 § lagen om internationellt tullsamarbete och 6 § lagen om vissa former av internationellt samarbete i brottsutredningar. Lagarna i fråga reglerar samarbete över gränserna och utbyte av information i det samarbetet. Regleringen gäller generellt och alltså inte bara i förhållande till tredjeland utan även i samarbetet mellan medlemsstater. Flertalet av dem gäller dock inte i förhållande till internationella organisationer. Lagarna gäller vidare bara för vissa svenska myndigheter. I 9 § lag, som bl.a. genomför artikel 12 i dataskyddsrambeslu- tet, föreskrivs att om en svensk myndighet överför personuppgifter, ska myndigheten underrätta mottagaren om de villkor som gäller för använd- ningen av uppgifterna. Paragrafen gäller endast när personuppgifter över- 2017/18:232 förs till medlemsstater i EU, till , , eller Liech- tenstein eller till ett EU-organ eller ett EU-informationssystem. Direktivet reglerar inte möjligheten för en behörig myndighet i en medlemsstat att ställa upp villkor för hur personuppgifter som överförs till ett tredjeland eller en internationell organisation får användas. Mot bakgrund av de skäl som nämnts delar regeringen utredningens bedömning att det behövs en reglering i ramlagen. En bestämmelse om villkor för användningen av personuppgifter som överförs till tredjeland och internationella organisationer kan inte anses stå i strid med direkti- vet, eftersom det syftar till att stärka skyddet för enskilda. Ett exempel på när det kan finnas behov av att ställa upp villkor för be- handlingen av personuppgifter är när en svensk behörig myndighet vill kunna kontrollera att personuppgifterna inte utan myndighetens vetskap vidareöverförs till ett annat tredjeland (se avsnitt 14.7). Förses person- uppgifterna med ett sådant villkor när de överförs begränsas risken för att uppgifterna sprids vidare. Det bör därför föreskrivas att svenska behöriga myndigheter i ett en- skilt fall får ange villkor för hur personuppgifter som överförs till ett tredjeland eller en internationell organisation får användas, om det krävs med hänsyn till enskildas rätt eller från allmän synpunkt. anser att en ytterligare förutsättning bör vara att det krävs stöd i en bin- dande internationell överenskommelse. Regeringen anser emellertid att bestämmelsen bör utformas i likhet med motsvarande bestämmelser i exempelvis lagen om internationellt polisiärt samarbete och lagen om internationell rättslig hjälp i brottmål, dvs. att villkoren inte får strida mot en bindande internationell överenskommelse. Regeringens bedömning: Skyldigheten att i vissa fall dokumentera överföringar som görs till tredjeland eller internationella organisatio- ner kan regleras i förordning. Detsamma gäller den personuppgifts- ansvariges skyldighet att informera tillsynsmyndigheten om vissa överföringar till tredjeland och internationella organisationer. Utredningens förslag överensstämmer med regeringens bedömning. Datainspektionen anser att det ska framgå vilka uppgifter som ska doku- menteras vid överföring till andra än behöriga myndigheter. Skälen för regeringens bedömning En nyhet i direktivet är att det införs dokumentationskrav och skyldighet att informera tillsynsmyndigheten om vissa typer av överföringar till tredjeland och internationella organisationer. Enligt artikel 37.2 ska den personuppgiftsansvarige informera tillsyns- myndigheten om kategorier av överföringar som görs enligt arti- kel 37.1 b, dvs. på den grunden att den personuppgiftsansvarige har be- Prop. 2017/18:232 dömt att det finns lämpliga skyddsåtgärder för personuppgifterna. överföringar ska enligt artikel 37.3 dokumenteras och dokumentationen ska på begäran göras tillgänglig för tillsynsmyndigheten. Även när en överföring görs enligt artikel 38.1, dvs. i särskilda situationer, ska över- föringen dokumenteras och dokumentationen ska på begäran göras till- gänglig för tillsynsmyndigheten. Det framgår av artikel 38.3. I båda fal- len ska dokumentationen innehålla upplysning om datum och tidpunkt för överföringen, information om den mottagande behöriga myndigheten, skälet till överföringen och de personuppgifter som har överförts. En myndighet, som med stöd av artikel 39.1 har överfört personuppgif- ter direkt till en mottagare som är etablerad i ett tredjeland, ska enligt artikel 39.3 informera tillsynsmyndigheten om överföringen. Även sådana överföringar ska dokumenteras. Informationsskyldighet och krav på dokumentation Regeringen delar utredningens bedömning att det bör finnas bestämmel- ser som genomför direktivets krav på information och dokumentation när personuppgifter överförs till ett tredjeland eller en internationell organi- sation. Detta kan regleras i förordning. Säkerhets- och integritetsskyddsnämndens och Datainspektionens syn- punkter på förordningsregleringen kommer regeringen att ta ställning till vid utformningen av sådana bestämmelser. Regeringens bedömning: Några lagstiftningsåtgärder krävs inte för att stärka delaktighet i det internationella samarbetet till skydd för personuppgifter. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Av artikel 40 framgår att kom- missionen och medlemsstaterna ska vidta lämpliga åtgärder för att ut- veckla rutiner för internationellt samarbete och på internationell nivå erbjuda ömsesidigt bistånd. Syftet är att underlätta en effektiv tillämp- ning av lagstiftningen om skydd av personuppgifter. Det ömsesidiga biståndet kan avse bl.a. underrättelser, klagomål, hjälp vid utredningar och informationsutbyte. Lämpliga åtgärder ska också vidtas för att öka det internationella samarbetet när det gäller tillämpningen av aktuell lagstiftning. Vidare ska medlemsstaterna främja utbyte och dokumenta- tion om lagstiftning och praxis. Några lagstiftningsåtgärder behövs inte för att genomföra reglerna om internationellt samarbete till skydd för personuppgifter. Mot bakgrund av att redan deltar i internationellt samarbete när det gäller bl.a. polisiära och straffrättsliga frågor, i vilket personupp- giftsbehandling är en viktig del, och att det redan finns lagstiftning för det samarbetet (se bl.a. avsnitt 4.2.6 och 4.2.7), ser regeringen i likhet med utredningen inget behov av någon ytterligare lagstiftning. 2017/18:232 Det internationella samarbetet mellan tillsynsmyndigheterna behandlas i avsnitt 11.10. 14.12Sekretess vid överföring till tredjeland 14.12.1 Överföring innebär utlämnande En överföring av personuppgifter från en svensk myndighet till ett tredje- land eller en internationell organisation är ett utlämnande i offentlighets- och sekretesslagens mening (se t.ex. 6 kap. 1 § om utlämnande av allmän handling och 6 kap. 4 § om utlämnande av uppgift). Frågan är då hur för- utsättningarna för att överföra personuppgifter till tredjeland förhåller sig till reglerna om offentlighet och sekretess. Bestämmelserna i direktivet om överföring av personuppgifter till tredjeland är, liksom bestämmel- serna lag och personuppgiftslagen, formellt neutrala i den meningen att det i princip inte påverkar tillämpningen om de personupp- gifter som överförs omfattas av sekretess eller inte hos den utlämnande myndigheten. Det är en annan sak att eventuell sekretess för överförda personuppgifter kan påverka vilken skyddsnivå i mottagarlandet som krävs i det enskilda fallet. Är det fråga om sekretessbelagda uppgifter som ska överföras kan det exempelvis finnas skäl att ställa högre krav på tillräckliga skyddsåtgärder för att överföra personuppgifter på den grunden. 14.12.2Utlämnande av offentliga allmänna handlingar till tredjeland Om personuppgifter och andra uppgifter i en allmän handling är offent- liga – dvs. inte omfattas av sekretess eller träffas av en sekretessbe- stämmelse och vid en prövning inte bedöms vara sekretessbelagda – ska handlingen lämnas ut till en enskild som begär att få ta del av den med stöd av 2 kap. tryckfrihetsförordningen. Det gäller oavsett om han eller hon befinner sig i ett tredjeland och oavsett medborgarskap. En utlänning i tredjeland har alltså samma rätt som en svensk medborgare att enligt 2 kap. 13 § tryckfrihetsförordningen mot avgift få en kopia av hand- lingen. I praktiken betyder det att en myndighet inte kan neka att lämna ut handlingen med hänvisning till att skyddsnivån för personuppgifter i mottagarlandet inte är tillräcklig. Myndigheterna är dock enligt 2 kap. 13 § första stycket andra meningen tryckfrihetsförordningen inte skyl- diga att lämna ut allmänna handlingar i elektronisk form. Behandling av personuppgifter vid utlämnande av allmänna handlingar omfattas som anges i avsnitt 6.6 inte av ramlagens tillämpningsområde. 14.12.3 Uppgifter som inte är sekretessbelagda Vid utlämnande av personuppgifter till ett tredjeland i andra situationer än med stöd av 2 kap. tryckfrihetsförordningen, är regelverket inte lika tydligt. Handlar det om utlämnande enligt bestämmelser om ärendehand- läggning eller liknande, t.ex. bestämmelser om kommunikation eller Prop. 2017/18:232 partsinsyn, görs ingen skillnad på parter i , EU eller tredjeland. Det finns inga generellt tillämpliga bestämmelser som vare sig förplik- tar eller begränsar myndigheter vid utlämnande av offentliga personupp- gifter till tredjeland, t.ex. en myndighet i ett sådant land (jfr SOU 2015:39 s. 484). Att en myndighet enligt 6 kap. 5 § offentlighets- och sekretesslagen på begäran av en annan myndighet är skyldig att lämna ut en uppgift som den förfogar över om uppgiften inte är sekretessbelagd, ses i allmänhet som en precisering av myndigheternas allmänna samverkansskyldighet som tar sikte på svenska förvaltningsmyndigheter och domstolar. Den medför inte någon skyldighet att lämna ut person- uppgifter, vare sig de är sekretessbelagda eller inte, till utländska myn- digheter (jfr bet. 1982/83:KU12 s. 36). En utländsk myndighet anses inte heller ha rätt att överklaga en myndighets beslut att inte lämna ut en allmän handling eller att avslå en begäran om att få del av en personupp- gift. 14.12.4 Uppgifter som är sekretessbelagda Utgångspunkten är att en sekretessbelagd uppgift inte får röjas för en ut- ländsk myndighet eller en mellanfolklig organisation.