prop · H503232 · 2018-04-19 00:00:00 — fylls och att registrerades rättigheter, däribland rätten till effektiv admi- nistrativ eller rättslig prövning, respekteras. Vid bedömningen av om det finns lämpliga skyddsåtgärder för person- uppgifter bör enligt skäl 71 den personuppgiftsansvarige kunna beakta sådana samarbetsavtal som ingåtts mellan Europol eller Eurojust och tredjeland och som medger utbyte av personuppgifter. kunna beaktas att överföringen kommer att omfattas av tystnadsplikt och Prop. 2017/18:232 att personuppgifterna inte kommer att behandlas i annat syfte än det för vilket de överfördes. Dessutom bör den personuppgiftsansvarige beakta att personuppgifterna inte kommer att användas för att göra framställ- ningar om, meddela eller verkställa ett dödsstraff eller någon annan form av grym eller omänsklig behandling. Den personuppgiftsansvarige bör också kunna begära ytterligare skyddsåtgärder. Enligt artikel 26.2 dataskyddsdirektiv får en medlemsstat till- låta att personuppgifter överförs till ett tredjeland som inte säkerställer en adekvat skyddsnivå om den personuppgiftsansvarige ställer tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas och för utövandet av motsvarande rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausuler. Artikeln har genom- förts i 35 § andra stycket personuppgiftslagen som ger regeringen, eller den myndighet som regeringen bestämmer, möjlighet att meddela före- skrifter om undantag från överföringsförbudet i personuppgiftslagen om det finns tillräckliga garantier till skydd för de registrerades rättigheter. I enskilda fall får regeringen också besluta om undantag på sådan grund eller överlåta till tillsynsmyndigheten att fatta sådana beslut. Regeringen får vidare enligt 35 § första stycket personuppgiftslagen meddela före- skrifter om generella undantag från förbudet mot överföring av person- uppgifter, när överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Av 13 § personupp- giftsförordningen och bilaga 2 till förordningen framgår i vilken utsträck- ning personuppgifter får överföras till ett tredjeland med stöd av vissa standardavtalsklausuler. Ytterligare avtal som har ingåtts med tredjeland har genomförts i genom 13 a § personuppgiftsförordningen och bilaga 3 till förordningen. Enligt 7 § andra stycket lag, som genomför bl.a. artikel 13.3 a i dataskyddsrambeslutet, får personuppgifter överföras även om kravet på adekvat skyddsnivå inte är uppfyllt, om mottagaren i det enskilda fallet tillhandahåller tillräckliga skyddsåtgärder för personuppgifterna. Överföring är tillåten om det finns tillräckliga skyddsåtgärder Det bör, som utredningen föreslår, i ramlagen tas in en bestämmelse om att personuppgifter får överföras till ett tredjeland eller en internationell organisation, trots att det inte finns ett beslut om adekvat skyddsnivå, om lämpliga skyddsåtgärder säkerställs för personuppgiftsbehandlingen där. Paragrafen bör motsvara innehållet i artikel 37.1. överföring av personuppgifter till ett tredjeland eller en internationell organisation ska också vara uppfyllda för att personuppgifter ska få över- I enlighet med artikel 37.1 a bör för det första lämpliga skyddsåtgärder kunna föreligga om ett avtal säkerställer skyddet för personuppgifter. sådant avtal är dataskyddskonventionen (se avsnitt 4.9). träffats ett avtal mellan och EU om skydd av personuppgifter i samband med förebyggande, utredning, avslöjande och lagföring av brott (kallat Umbrella agreement). Avtalet bör betraktas som ett sådant avtal 2017/18:232 som ger tillräckliga garantier till skydd för behandlingen av personupp- gifter. Även andra avtal om internationellt samarbete som innehåller bestämmelser om dataskydd och som respekterar registrerades rättigheter kan garantera tillräckligt skydd för personuppgifter som överförs. För det andra bör personuppgifter få överföras om den personuppgifts- ansvarige har tagit hänsyn till alla omständigheter kring överföringen och dragit slutsatsen att lämpliga skyddsåtgärder för personuppgifterna före- Innebörden är att överföringen är tillåten om den behöriga myn- dighet som personuppgifterna överförs till säkerställer lämpliga skydds- åtgärder för personuppgifterna. Direktivet använder uttrycket ”lämpliga skyddsåtgärder”. intryck av att den som vill överföra personuppgifter kan göra en sköns- mässig bedömning av vilka skyddsåtgärder som är lämpliga, vilket inte lag används uttrycket ”tillräckliga skyddsåtgär- der”, vilket är en lämpligare formulering. Utredningen föreslår att formu- leringen ”skyddsåtgärder för personuppgifter som ger tillräckliga garan- tier till skydd för registrerades rättigheter” används beträffande skydd som garanteras genom avtal. Mot den bakgrunden anser regeringen i lik- het med utredningen att det i den bestämmelse som genomför artikel 37.1 b bör föreskrivas att den behöriga myndighet som personuppgifterna överförs till på annat sätt än genom avtal ska garantera tillräckligt skydd Tillräckliga skyddsåtgärder kan då användas som ett samlingsbegrepp både för garantier genom avtal och för andra garantier. När tillräckliga skyddsåtgärder inte garanteras genom ett avtal ska den personuppgiftsansvarige, inför överföring av personuppgifter till ett tredjeland eller en internationell organisation, bedöma alla omständighe- ter kring överföringen. Vid bedömningen bör den personuppgiftsansva- rige t.ex. kunna beakta att den som ska behandla uppgifterna i tredje- landet eller den internationella organisationen kommer att ha tystnads- plikt som omfattar de överförda uppgifterna eller att det garanteras att personuppgifterna inte kommer att behandlas för något annat ändamål än det för vilket de överförts. Kommer personuppgifterna att omfattas av sekretess efter att de överförts till ett tredjeland eller en internationell organisation kan det också vägas in vid bedömningen av om det finns Den personuppgiftsansvarige bör även kunna beakta vilka regler som gäller för behandling av personuppgifter i tredje- landet eller vilka interna rutiner som tillämpas i den internationella orga- nisation dit personuppgifterna ska föras. Prövningen av ett lands skyddsnivå ska göras med utgångspunkt i om- ständigheterna i det enskilda fallet. Det är alltså inte tillräckligt att det t.ex. görs en bedömning av förhållandena i ett visst tredjeland eller hos en viss organisation och att den bedömningen sedan generellt läggs till grund för beslut att överföra personuppgifter dit. är att överföring av vissa personuppgifter kan vara standardbetonad och ske regelbundet till vissa mottagare. Är det fråga om sådana rutinöver- föringar kan det enligt regeringens mening vara tillräckligt att kontrollera skyddsnivån t.ex. eller när det i övrigt bedöms på- För att tillsynsmyndigheten ska kunna säkerställa att prövningen av skyddsnivån varit fullgod är det lämpligt att en hänvisning görs i det en- skilda fallet till vilka dokument och eventuella upplysningar som har legat till grund för bedömningen. Den omständigheten att det, som Polis- Prop. 2017/18:232 myndigheten påpekar, ibland kan vara svårt att göra en prövning fråntar inte en myndighet ansvaret att göra erforderliga kontroller. 14.6Undantag i särskilda situationer 14.6.1Överföringen ska vara nödvändig i en särskild situation Regeringens förslag: Om det inte finns något beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder får en överföring eller en samling av överföringar av personuppgifter göras till ett tredjeland eller en internationell organisation endast om överföringen är nödvän- dig i vissa särskilda undantagssituationer. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: ser positivt på de möjligheter till undantag i särskilda situationer som tas upp i förslaget. Datainspek- tionen konstaterar att förslaget i denna del innebär en utvidgning i förhål- lande till nuvarande reglering avseende möjligheten att överföra person- uppgifter till tredjeland i särskilda undantagssituationer och efterfrågar analys av eventuella negativa effekter för den personliga integriteteten. Skälen för regeringens förslag Finns det inte något beslut om adekvat skyddsnivå eller lämpliga skydds- åtgärder får en överföring, eller en kategori av överföringar, av person- uppgifter endast äga rum i särskilda undantagssituationer som räknas upp i artikel 38.1. Förutsättningarna för att överföra personuppgifter till ett tredjeland eller en internationell organisation enligt artikel 35 ska dock alltid vara uppfyllda. De situationer som anges i artikel 38.1 är att överföringen ska vara nödvändig för att a)skydda intressen som är av grundläggande betydelse för den regi- strerade eller en annan person, b)skydda den registrerades berättigade intressen om lagstiftningen i den medlemsstat som överför personuppgifterna föreskriver det, c)avvärja en omedelbar eller allvarlig fara för den allmänna säkerheten i en medlemsstat eller i ett tredjeland, d)i ett enskilt fall förebygga, förhindra, avslöja, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot, förebygga och förhindra hot mot den allmänna säkerheten, och e)i ett enskilt fall fastslå, göra gällande eller försvara rättsliga anspråk. Enligt 7 § andra stycket lag, som genomför artikel 13.3 a i data- skyddsrambeslutet, får, om kravet på adekvat skyddsnivå inte är uppfyllt, personuppgifter överföras i ett enskilt fall om överföringen är motiverad av ett berättigat intresse hos den som uppgifterna avser eller av ett sär- skilt viktigt allmänt intresse eller om mottagaren i det enskilda fallet tillhandahåller tillräckliga skyddsåtgärder för personuppgifterna. Överföring är tillåten bara för att tillgodose viktiga intressen Eftersom direktivet reglerar all personuppgiftsbehandling inom tillämp- ningsområdet kommer överföringsreglerna i ramlagen att tillämpas i fler situationer än motsvarande reglering lag. Den lagen är bara tillämplig beträffande sådana personuppgifter som har fått från en annan EU-medlemsstat, , , , eller ett EU-organ eller EU-informationssystem. Det är därför av stor vikt att det i ramlagen tydligt regleras vad som bör gälla i de fall där ett visst tredjeland eller en viss organisation inte omfattas av ett beslut om ade- kvat skyddsnivå och där inte heller tillräckliga skyddsåtgärder garanteras. I enskilda fall kan det nämligen, trots bristen på skydd för personuppgif- ter, vara angeläget att kunna föra över vissa personuppgifter till ett sådant land eller en sådan organisation. Ett exempel på när personuppgifter kan behöva överföras, trots att kra- ven på adekvat skyddsnivå och tillräckliga skyddsåtgärder inte är upp- fyllda, kan vara att en misstänkt har överlämnats till enligt den europeiska arresteringsordern men har lyckats fly från lagföring eller verkställighet av straff och antas befinna sig i ett land utanför EU från vilket svenska myndigheter begär honom eller henne utlämnad. Ett annat exempel kan vara att svenska myndigheter har information om att en misstänkt terrorist befinner sig här i landet men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå brott där. Det bör därför tas in en bestämmelse i ramlagen om att personuppgifter får överföras till ett tredjeland eller en internationell organisation, trots att det inte finns ett beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder, om överföringen är nödvändig i vissa särskilda undan- tagssituationer. Paragrafen bör motsvara innehållet i artikel 38.1. De sär- skilda situationerna behandlas i det följande. Som Datainspektionen konstaterar innebär direktivets bestämmelser och förslaget till ramlag i denna del att ytterligare undantagssituationer då det är möjligt att överföra personuppgifter till tredjeland tillkommer utöver vad som gäller . Den omständigheten ska emellertid inte innebära att ett fullgott skydd för den personliga integriteten äventyras. Direktivet ställer också krav på att skyddsnivån i detta avseende inte undergrävs (se ovan avsnitt 14.3.1) Det bör även i sammanhanget under- strykas att samtliga allmänna förutsättningar för överföring alltid ska vara uppfyllda för att personuppgifter ska få överföras. Detta gäller alltså även i de särskilda undantagsfallen. En nyhet i direktivet är uttrycket ”en kategori av överföringar av person- I den engelska språkversionen av direktivet talas det om ”a category of transfers” och i den tyska används uttrycket ”eine Katagorie Någon förklaring till vad som avses kan inte utlä- sas av direktivet. I dataskyddsförordningens bestämmelse om överföring av personuppgifter till tredjeland i särskilda situationer, artikel 49, talas det om ”uppsättning av överföringar”. Det engelska uttrycket som an- vänds där är ”set of transfers” och det tyska är ” lungen”, vilka motsvarar den svenska språkversionen. Ordet kategori används i andra artiklar, t.ex. kategorier av registrerade i artikel 6 och särskilda kategorier av personuppgifter i artikel 10. fall handlar det om olika grupper av personer, t.ex. personer som dömts för brott eller brottsoffer, respektive typer av personuppgifter, t.ex. gene- tiska uppgifter och uppgifter om hälsa och sexualliv. I artikel 14 b och c talas det om kategorier av personuppgifter respektive kategorier av mot- Kategorier av mottagare kan avse vilken typ av myndighet som får personuppgifterna, t.ex. domstolar. Det är svårt att avgöra vad som avses med kategorier av överföringar bara genom att jämföra med hur ordet kategori används i andra artiklar. Regeringen delar utredningens bedömning att det ligger närmare till hands att anta att det rör sig om överföringar som på något sätt är sam- lade, antingen för att det rör sig om flera överföringar av samma typ av personuppgifter till olika mottagare, flera överföringar i ett ärende eller överföringar av samma personuppgifter till flera mottagare . Som exempel kan nämnas att det i ett tredjeland utreds brott av en större liga som har anknytning till och myndigheter i tredjelandet begär att få utdrag ur belastningsregistret på samtliga misstänkta. exempel kan vara om det till ett tredjeland lämnas ut en digital upptag- ning från en kameraövervakning och det på upptagningen finns flera personuppgifter i form av personer, fordon och andra indirekta person- En utskrift från hemlig avlyssning av elektronisk kommunika- tion som skickas till ett tredjeland eller en internationell organisation kan t.ex. innehålla uppgifter om olika personer som förekommer i en för- Regeringen delar utredningens uppfattning att uttrycket samling av överföringar bör användas i stället för kategori av överföringar. 14.6.2 Enskildas vitala intressen Regeringens förslag: I undantagsfall får personuppgifter överföras om det är nödvändigt för att värna den registrerades eller någon annan fysisk persons vitala intressen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 38.1 a får en överföring, eller en kategori av överföringar, av personuppgifter göras till ett tredjeland eller en internationell organi- sation om det är nödvändigt för att skydda intressen som är av grundläg- gande betydelse för den registrerade eller för en annan person. I 34 § första stycket d personuppgiftslagen, som genomför arti- kel 26.1 e dataskyddsdirektiv, föreskrivs att personuppgifter, trots det generella förbudet, får överföras till ett tredjeland om över- föringen är nödvändig för att vitala intressen för den registrerade ska kunna skyddas. Överföring för att värna enskildas vitala intressen Den första undantagssituationen avser enligt artikel 38.1 a fall där över- föringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person. Det bör tas in en regel i ramlagen som motsvarar innehållet i artikeln. I den svenska språkversionen av dataskyddsdirektiv anges i artikel 7 d, som en allmän princip för behandling av personuppgifter, att behandlingen ska vara nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade. I andra språkversioner av det direktivet används i stället uttryck som vitala eller livsviktiga intres- sen. I skäl 31 till det direktivet används uttrycket ”intressen som är av avgörande betydelse för den registrerades liv”. I artikel 26.1 e dataskyddsdirektiv, som föreskriver undantag från kravet på adekvat skyddsnivå vid överföring till tredjeland, används uttrycket ”intressen som är av avgörande betydelse för den registrerade”. På grund av den osäkerhet som har rått om bestämmelsen direktiv enbart syftar på sådant som är livsviktigt (gäller liv eller död) eller om även sådant som ”bara” är av grundläggande betydelse avses, valde lagstiftaren att i personuppgiftslagen använda uttrycket ”vitala intressen”. Vitala intressen ansågs i svenskan ha såväl en snävare som en bredare innebörd (SOU 1997:39 s. 361). Det talas i den svenska språkversionen av det nya direktivet och data- skyddsförordningen om intressen som är av grundläggande betydelse eller om grundläggande intressen. I skäl 112 till dataskyddsförordningen används uttrycket ett intresse som är väsentligt för den registrerades eller en annan persons vitala intressen, inklusive dennes fysiska integritet och liv. I den tyska språkversionen av direktivet används uttrycket ”lebens- wichtiger Intressen”, dvs. livsviktiga intressen, medan det i den engelska versionen talas om ”vital interests”. I övriga språkversioner används ut- tryck som till svenska kan översättas med vitala intressen, t.ex. ”des inté- rêts vitaux” på franska och ”los intereses ” på spanska. Det är oklart varför formuleringen ”intressen som är av grundläggande betydel- se” – som kan tolkas som mer vittomfattande än vitala intressen – har använts i den svenska versionen. Att ”vitala intressen” används i personuppgiftslagen och därmed är ett inarbetat uttryck talar för att välja den formuleringen även i ramlagen. Vitala intressen är också det uttryck som används i andra språkversioner av direktivet. Regeringen håller därför med utredningen om att ”vitala intressen” är det uttryck som bör användas. Med det bör förstås att det Prop. 2017/18:232 ska vara fråga om ett väsentligt intresse för den enskilde. liv, hälsa eller något annat som är av avgörande betydelse för den enskilde. Åtgärden ska vara nödvändig för att skydda vitala intressen för den registrerade eller en annan person. Vilken annan person det kan vara fråga om kan inte utläsas av direktivet. Någon annan än en fysisk person kan det inte vara fråga om, eftersom målsättningen med direktivet är ett ökat skydd för fysiska personer. Utöver det bör den personkrets som ska omfattas av undantaget inte begränsas ytterligare i ramlagen. Det bör således framgå att överföringen ska vara nödvändig för att skydda vitala intressen för den registrerade eller för en annan fysisk person. Regeringens förslag: I undantagsfall får personuppgifter överföras om det är nödvändigt för att värna den registrerades berättigade intres- sen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över försla- get i denna del. Skälen för regeringens förslag: I artikel 38.1 b regleras den situatio- nen att överföringen av personuppgifter är nödvändig för att skydda den registrerades berättigade intressen, om lagstiftningen i den medlemsstat som överför personuppgifterna föreskriver det. Enligt 7 § andra stycket lag, som genomför bl.a. dataskydds- rambeslutets artikel 13.3 a i, får personuppgifter överföras trots att kravet på adekvat skyddsnivå inte är uppfyllt, om överföringen är motiverad av ett berättigat intresse hos den som uppgiften avser. Medlemsstaterna får välja om det ska föreskrivas undantag till skydd för den registrerades berättigade intressen. Liksom utredningen anser regeringen att den möjligheten bör utnyttjas. Ett särskilt skydd för regi- strerades berättigade intressen finns lag och mot- svarande skydd bör finnas även fortsättningsvis. Behovet tillgodoses inte genom de övriga undantagen för särskilda situationer. Rent språkligt innefattas t.ex. inte alla intressen som kan vara berättigade i vitala intres- sen. I förklaras ordet berättigad som någon som fått något tilldelat sig eller förvärvat något, eller som är i sin fulla rätt att göra något. Berättigad kan också innebära att något är rättmätigt, välgrundat eller grundat på fullgiltiga skäl. Det behöver alltså inte vara fråga om något som är livsviktigt eller annars av avgörande betydelse för den registrerade. En bestämmelse som motsvarar artikel 38.1 b bör tas in i ramlagen. Uttrycket berättigat intresse bör användas eftersom det är inarbetat. I ärenden om utlämning för brott eller övertagande av lagföring kan personuppgifter om den misstänkte behöva överföras t.ex. för att ge den andra staten underlag för att bedöma om det finns tillräcklig grund för att utlämna personen eller att överta lagföringen. Det kan vara ett berättigat intresse för den misstänkte att lagföring kommer till stånd antingen i 2017/18:232 eller i den andra staten. Ett annat exempel på berättigat intresse kan vara att en misstänkt begär att ett vittne som befinner sig i ett tredje- land ska förhöras där. Myndigheters intresse i enskilda fall Regeringens förslag: I undantagsfall får personuppgifter överföras om det är nödvändigt för att en behörig myndighet i ett enskilt fall ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Enligt artikel 38.1 d får en överföring, eller en kategori av överföringar, av personuppgifter – trots avsaknad av beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder – göras till ett tredjeland eller en inter- nationell organisation om överföringen är nödvändig i det enskilda fallet för de ändamål som omfattas av direktivets tillämpningsområde. stämmelsen är till för att tillgodose behöriga myndigheters intresse av att personuppgifter i ett specifikt fall ska kunna överföras till ett tredjeland eller en internationell organisation, trots att landet eller organisationen dit uppgifterna ska överföras inte omfattas av ett beslut om adekvat skydds- nivå och det inte heller finns tillräckliga skyddsåtgärder för personupp- En bestämmelse som motsvarar artikel 38.1 d bör, som utredningen före- slår, tas in i ramlagen. Det är viktigt att behöriga myndigheter har möjlig- het att i enskilda fall överföra personuppgifter till tredjeland eller interna- Utan en sådan möjlighet försvåras brottsbekämp- ning och lagföring. Om polisen t.ex. får tillförlitliga uppgifter om ett nära förestående attentat från personer kopplade till ett visst tredjeland måste information kunna utbytas med behöriga myndigheter där, även om det inte finns ett beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgär- Överföringen ska vara nödvändig för något syfte som om- fattas av ramlagens tillämpningsområde. Att i regeln uttryckligen ange vilka ändamål som avses blir tydligare än att hänvisa till den paragraf där Situationer som skulle kunna göra det nu aktuella undantaget tillämp- ligt är om personuppgifter behöver överföras från till ett tredje- land för delgivning, bevisupptagning eller straffverkställighet där, eller för att få en person utlämnad därifrån för att tillgodose svenska behov. Undantaget kan även bli tillämpligt om ett tredjeland eller en internatio- nell organisation på motsvarande sätt behöver få tillgång till svenska personuppgifter för brottsbekämpning, lagföring eller straffverkställighet.