# Europeiska unionens L 360/2021

| | ISSN 1977-0820 |
| --- | --- |
| Europeiska unionens
  officiella tidning | L 360 |
| | |
| Svensk utgåva | Lagstiftning | 64 årgången11 oktober 2021 |

ISSN 1977-0820

Europeiska unionens

officiella tidning

L 360

Svensk utgåva

Lagstiftning

64 årgången11 oktober 2021

---

| Innehållsförteckning | | II   Icke-lagstiftningsakter | Sida |
| --- | --- | --- | --- |
| | | BESLUT |
| | * | Kommissionens genomförandeförordning (EU) 2021/1772 av den 28 juni 2021 i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/679 om adekvat skydd av personuppgifter i Förenade kungariket
  [delgivet med nr C(2021) 4800]

   (
  1
  ) | 1 |
| | * | Kommissionens genomförandebeslut (EU) 2021/1773 av den 28 juni 2021 i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/680 om adekvat skydd av personuppgifter i Förenade kungariket
  [delgivet med nr C(2021) 4801] | 69 |
| | * | Rådets genomförandebeslut (EU) 2021/1774 av den 5 oktober 2021 om ändring av genomförandebeslut (EU) 2018/1493 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artiklarna 26.1 a, 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt | 108 |
| | * | Rådets genomförandebeslut (EU) 2021/1775 av den 5 oktober 2021 om ändring av genomförandebeslut (EU) 2018/789 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt | 110 |
| | * | Rådets genomförandebeslut (EU) 2021/1776 av den 5 oktober 2021 om ändring av beslut 2009/791/EG om bemyndigande för Förbundsrepubliken Tyskland att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt | 112 |
| | * | Rådets genomförandebeslut (EU) 2021/1777 av den 5 oktober 2021 om tillstånd för Italien att tillämpa nedsatta skattesatser för dieselbrännolja för uppvärmning och för elektricitet som levereras i kommunen Campione d’Italia | 115 |
| | * | Rådets genomförandebeslut (EU) 2021/1778 av den 5 oktober 2021 om bemyndigande för Förbundsrepubliken Tyskland att tillämpa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt | 117 |
| | * | Rådets genomförandebeslut (EU) 2021/1779 av den 5 oktober 2021 om ändring av genomförandebeslut 2009/1013/EU om bemyndigande för Republiken Österrike att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt | 120 |
| | * | Rådets genomförandebeslut (EU) 2021/1780 av den 5 oktober 2021 om ändring av beslut 2009/790/EG om bemyndigande för Republiken Polen att tillämpa en åtgärd som avviker från artikel 287 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt | 122 |
| | * | Rådets genomförandebeslut (EU) 2021/1781 av den 7 oktober 2021 om tillfälligt upphävande av vissa bestämmelser i Europaparlamentets och rådets förordning (EG) nr 810/2009 med avseende på Gambia | 124 |
| | | REKOMMENDATIONER |
| | * | Rådets rekommendation (EU) 2021/1782 av den 8 oktober 2021 om ändring av rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner | 128 |

Innehållsförteckning

II   Icke-lagstiftningsakter

Sida

BESLUT

*

Kommissionens genomförandeförordning (EU) 2021/1772 av den 28 juni 2021 i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/679 om adekvat skydd av personuppgifter i Förenade kungariket
  [delgivet med nr C(2021) 4800]

   (
  1
  )

[delgivet med nr C(2021) 4800]

1

1

*

Kommissionens genomförandebeslut (EU) 2021/1773 av den 28 juni 2021 i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/680 om adekvat skydd av personuppgifter i Förenade kungariket
  [delgivet med nr C(2021) 4801]

[delgivet med nr C(2021) 4801]

69

*

Rådets genomförandebeslut (EU) 2021/1774 av den 5 oktober 2021 om ändring av genomförandebeslut (EU) 2018/1493 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artiklarna 26.1 a, 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

108

*

Rådets genomförandebeslut (EU) 2021/1775 av den 5 oktober 2021 om ändring av genomförandebeslut (EU) 2018/789 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

110

*

Rådets genomförandebeslut (EU) 2021/1776 av den 5 oktober 2021 om ändring av beslut 2009/791/EG om bemyndigande för Förbundsrepubliken Tyskland att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

112

*

Rådets genomförandebeslut (EU) 2021/1777 av den 5 oktober 2021 om tillstånd för Italien att tillämpa nedsatta skattesatser för dieselbrännolja för uppvärmning och för elektricitet som levereras i kommunen Campione d’Italia

115

*

Rådets genomförandebeslut (EU) 2021/1778 av den 5 oktober 2021 om bemyndigande för Förbundsrepubliken Tyskland att tillämpa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

117

*

Rådets genomförandebeslut (EU) 2021/1779 av den 5 oktober 2021 om ändring av genomförandebeslut 2009/1013/EU om bemyndigande för Republiken Österrike att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

120

*

Rådets genomförandebeslut (EU) 2021/1780 av den 5 oktober 2021 om ändring av beslut 2009/790/EG om bemyndigande för Republiken Polen att tillämpa en åtgärd som avviker från artikel 287 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

122

*

Rådets genomförandebeslut (EU) 2021/1781 av den 7 oktober 2021 om tillfälligt upphävande av vissa bestämmelser i Europaparlamentets och rådets förordning (EG) nr 810/2009 med avseende på Gambia

124

REKOMMENDATIONER

*

Rådets rekommendation (EU) 2021/1782 av den 8 oktober 2021 om ändring av rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner

128

| | |
| --- | --- |
| | (1)   Text av betydelse för EES. |

---

(1)   Text av betydelse för EES.

1

| SV | De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.
  Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk. |
| --- | --- |

SV

De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.

Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk.

---

II Icke-lagstiftningsakter

BESLUT

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/1 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/1

---

KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) 2021/1772

av den 28 juni 2021

i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/679 om adekvat skydd av personuppgifter i Förenade kungariket

[delgivet med nr C(2021) 4800]

(Text av betydelse för EES)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (1), särskilt artikel 45.3, och

av följande skäl:

1.   INLEDNING

INLEDNING

| (1) | I förordning (EU) 2016/679 fastställs regler för överföring av personuppgifter från personuppgiftsansvariga eller personuppgiftsbiträden i Europeiska unionen till tredjeländer och internationella organisationer i den mån sådana överföringar omfattas av förordningens tillämpningsområde. Reglerna om internationella överföringar av uppgifter fastställs i kapitel V i den förordningen, dvs. i artiklarna 44–50. Flödet av personuppgifter till och från länder utanför Europeiska unionen är av avgörande betydelse för det internationella samarbetet och den gränsöverskridande handeln men skyddet av personuppgifter i Europeiska unionen får inte undergrävas av överföringar till tredjeländer (2). |
| --- | --- |

(1)

I förordning (EU) 2016/679 fastställs regler för överföring av personuppgifter från personuppgiftsansvariga eller personuppgiftsbiträden i Europeiska unionen till tredjeländer och internationella organisationer i den mån sådana överföringar omfattas av förordningens tillämpningsområde. Reglerna om internationella överföringar av uppgifter fastställs i kapitel V i den förordningen, dvs. i artiklarna 44–50. Flödet av personuppgifter till och från länder utanför Europeiska unionen är av avgörande betydelse för det internationella samarbetet och den gränsöverskridande handeln men skyddet av personuppgifter i Europeiska unionen får inte undergrävas av överföringar till tredjeländer (2).

2

| (2) | Enligt artikel 45.3 i förordning (EU) 2016/679 får kommissionen genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer i ett tredjeland eller en internationell organisation säkerställer en adekvat skyddsnivå. Enligt detta villkor får överföring av personuppgifter till ett tredjeland ske utan ytterligare tillstånd enligt artikel 45.1 och skäl 103 i den förordningen. |
| --- | --- |

(2)

Enligt artikel 45.3 i förordning (EU) 2016/679 får kommissionen genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer i ett tredjeland eller en internationell organisation säkerställer en adekvat skyddsnivå. Enligt detta villkor får överföring av personuppgifter till ett tredjeland ske utan ytterligare tillstånd enligt artikel 45.1 och skäl 103 i den förordningen.

| (3) | Enligt artikel 45.2 i förordning (EU) 2016/679 måste antagandet av ett beslut om adekvat skyddsnivå grundas på en omfattande analys av tredjelandets rättsordning som omfattar både de regler som är tillämpliga på uppgiftsinföraren, begränsningarna och skyddsåtgärderna när det gäller myndigheters tillgång till personuppgifter. I sin bedömning måste kommissionen avgöra om det berörda tredjelandet garanterar en skyddsnivå som ”i allt väsentligt är likvärdig” med den som säkerställs inom Europeiska unionen (skäl 104 i förordning (EU) 2016/679). Den standard mot vilken den ”väsentliga likvärdigheten” bedöms är den som fastställs i EU-lagstiftningen, särskilt förordning (EU) 2016/679 samt rättspraxis från Europeiska unionens domstol (3). Europeiska dataskyddsstyrelsens referensram för adekvat skyddsnivå är också av betydelse i detta avseende (4). |
| --- | --- |

(3)

Enligt artikel 45.2 i förordning (EU) 2016/679 måste antagandet av ett beslut om adekvat skyddsnivå grundas på en omfattande analys av tredjelandets rättsordning som omfattar både de regler som är tillämpliga på uppgiftsinföraren, begränsningarna och skyddsåtgärderna när det gäller myndigheters tillgång till personuppgifter. I sin bedömning måste kommissionen avgöra om det berörda tredjelandet garanterar en skyddsnivå som ”i allt väsentligt är likvärdig” med den som säkerställs inom Europeiska unionen (skäl 104 i förordning (EU) 2016/679). Den standard mot vilken den ”väsentliga likvärdigheten” bedöms är den som fastställs i EU-lagstiftningen, särskilt förordning (EU) 2016/679 samt rättspraxis från Europeiska unionens domstol (3). Europeiska dataskyddsstyrelsens referensram för adekvat skyddsnivå är också av betydelse i detta avseende (4).

3

4

| (4) | Enligt EU-domstolen kräver detta inte att en identisk skyddsnivå uppnås (5). I synnerhet kan de medel som tredjelandet i fråga har till sitt förfogande för att skydda personuppgifter skilja sig från dem som används i Europeiska unionen förutsatt att de i praktiken visar sig vara effektiva för att säkerställa en adekvat skyddsnivå (6). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Det handlar snarare om huruvida det utländska systemet som helhet, genom innehållet i rätten till dataskydd och dess faktiska genomförande, övervakning och verkställighet, uppnår den skyddsnivå som krävs (7). |
| --- | --- |

(4)

Enligt EU-domstolen kräver detta inte att en identisk skyddsnivå uppnås (5). I synnerhet kan de medel som tredjelandet i fråga har till sitt förfogande för att skydda personuppgifter skilja sig från dem som används i Europeiska unionen förutsatt att de i praktiken visar sig vara effektiva för att säkerställa en adekvat skyddsnivå (6). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Det handlar snarare om huruvida det utländska systemet som helhet, genom innehållet i rätten till dataskydd och dess faktiska genomförande, övervakning och verkställighet, uppnår den skyddsnivå som krävs (7).

5

6

7

| (5) | Kommissionen har noggrant analyserat Förenade kungarikets lagstiftning och praxis. På grundval av konstateranden som utvecklas i skälen 8–270 drar kommissionen slutsatsen att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som inom tillämpningsområdet för förordning (EU) 2016/679 överförs från Europeiska unionen till Förenade kungariket. |
| --- | --- |

(5)

Kommissionen har noggrant analyserat Förenade kungarikets lagstiftning och praxis. På grundval av konstateranden som utvecklas i skälen 8–270 drar kommissionen slutsatsen att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som inom tillämpningsområdet för förordning (EU) 2016/679 överförs från Europeiska unionen till Förenade kungariket.

| (6) | Denna slutsats rör inte personuppgifter som överförs för användning i Förenade kungarikets invandringskontroll eller som på annat sätt omfattas av undantaget från vissa registrerades rättigheter i fråga om upprätthållandet av en effektiv invandringskontroll (”invandringsundantaget”) enligt artikel 4.1 i tillägg 2 till den brittiska dataskyddslagen (UK Data Protection Act). Giltigheten och tolkningen av invandringsundantaget enligt brittisk lagstiftning har ännu inte fastställts, på grund av ett beslut från appellationsdomstolen för England och Wales av den 26 maj 2021. Även om appellationsdomstolen har bekräftat att registrerades rättigheter i princip kan begränsas när det gäller invandringskontroll som ”en fråga av viktigt allmänintresse ” har den slagit fast att invandringsundantaget i sin nuvarande form är oförenligt med brittisk rätt, eftersom lagstiftningsåtgärden saknar specifika bestämmelser som fastställer de skyddsåtgärder som anges i artikel 23.2 i Förenade kungarikets allmänna dataskyddsförordning (den brittiska dataskyddsförordningen) (8). Under dessa förhållanden bör överföring av personuppgifter från unionen till Förenade kungariket undantas från detta besluts tillämpningsområde om personuppgifterna i fråga omfattas av invandringsundantaget (9). När den brittiska lagstiftningen har gjorts förenlig bör invandringsundantaget och behovet av att upprätthålla begränsningen av detta besluts tillämpningsområde tas upp till förnyad bedömning. |
| --- | --- |

(6)

Denna slutsats rör inte personuppgifter som överförs för användning i Förenade kungarikets invandringskontroll eller som på annat sätt omfattas av undantaget från vissa registrerades rättigheter i fråga om upprätthållandet av en effektiv invandringskontroll (”invandringsundantaget”) enligt artikel 4.1 i tillägg 2 till den brittiska dataskyddslagen (UK Data Protection Act). Giltigheten och tolkningen av invandringsundantaget enligt brittisk lagstiftning har ännu inte fastställts, på grund av ett beslut från appellationsdomstolen för England och Wales av den 26 maj 2021. Även om appellationsdomstolen har bekräftat att registrerades rättigheter i princip kan begränsas när det gäller invandringskontroll som ”en fråga av viktigt allmänintresse ” har den slagit fast att invandringsundantaget i sin nuvarande form är oförenligt med brittisk rätt, eftersom lagstiftningsåtgärden saknar specifika bestämmelser som fastställer de skyddsåtgärder som anges i artikel 23.2 i Förenade kungarikets allmänna dataskyddsförordning (den brittiska dataskyddsförordningen) (8). Under dessa förhållanden bör överföring av personuppgifter från unionen till Förenade kungariket undantas från detta besluts tillämpningsområde om personuppgifterna i fråga omfattas av invandringsundantaget (9). När den brittiska lagstiftningen har gjorts förenlig bör invandringsundantaget och behovet av att upprätthålla begränsningen av detta besluts tillämpningsområde tas upp till förnyad bedömning.

UK Data Protection Act

8

9

| (7) | Detta beslut bör inte påverka den direkta tillämpningen av förordning (EU) 2016/679 på organisationer som är etablerade i Förenade kungariket om villkoren för den förordningens territoriella tillämpningsområde, som fastställs i artikel 3 i den förordningen, är uppfyllda. |
| --- | --- |

(7)

Detta beslut bör inte påverka den direkta tillämpningen av förordning (EU) 2016/679 på organisationer som är etablerade i Förenade kungariket om villkoren för den förordningens territoriella tillämpningsområde, som fastställs i artikel 3 i den förordningen, är uppfyllda.

2.   REGLER FÖR BEHANDLING AV PERSONUPPGIFTER

REGLER FÖR BEHANDLING AV PERSONUPPGIFTER

2.1   Den konstitutionella ramen

Den konstitutionella ramen

| (8) | Förenade kungariket är en parlamentarisk demokrati som har en konstitutionell monark som statschef. Det har ett suveränt parlament som är högsta instans för alla andra statliga institutioner, en verkställande makt som är utvald av och ansvarig inför parlamentet och ett oberoende rättsväsende. Den verkställande makten får sitt bemyndigande från sin förmåga att upprätthålla det valda underhusets förtroende och är ansvarig inför båda kamrarna i parlamentet som ansvarar för att granska regeringen samt debattera och stifta lagar. |
| --- | --- |

(8)

Förenade kungariket är en parlamentarisk demokrati som har en konstitutionell monark som statschef. Det har ett suveränt parlament som är högsta instans för alla andra statliga institutioner, en verkställande makt som är utvald av och ansvarig inför parlamentet och ett oberoende rättsväsende. Den verkställande makten får sitt bemyndigande från sin förmåga att upprätthålla det valda underhusets förtroende och är ansvarig inför båda kamrarna i parlamentet som ansvarar för att granska regeringen samt debattera och stifta lagar.

| (9) | Det brittiska parlamentet har delegerat ansvaret till det skotska parlamentet, det walesiska parlamentet (Senedd Cymru) och Nordirlands parlament för att lagstifta om inrikes frågor i Skottland, Wales och Nordirland vilket det brittiska parlamentet inte har förbehållit sig självt. Uppgiftsskydd är en reserverad fråga, dvs. samma lagstiftning gäller i hela landet, medan andra politikområden som är relevanta för detta beslut har delegerats. Till exempel har Skottlands och Nordirlands straffrättsliga system, inklusive polisväsendet, delegerats till det skotska parlamentet respektive Nordirlands parlament. Förenade kungariket har inte någon kodifierad konstitution i form av ett grundläggande konstituerande dokument. Konstitutionella principer har med tiden vuxit fram, särskilt från rättspraxis och konvention. Det konstitutionella värdet av vissa lagar, till exempel Magna Carta, Bill of Rights 1689 och Human Rights Act 1998, har erkänts av domstolarna. Enskilda personers grundläggande rättigheter har utvecklats, som en del av konstitutionen, genom common law, dessa stadgar och internationella fördrag, särskilt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna som Förenade kungariket ratificerade 1951. Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) 1987 (10). |
| --- | --- |

(9)

Det brittiska parlamentet har delegerat ansvaret till det skotska parlamentet, det walesiska parlamentet (Senedd Cymru) och Nordirlands parlament för att lagstifta om inrikes frågor i Skottland, Wales och Nordirland vilket det brittiska parlamentet inte har förbehållit sig självt. Uppgiftsskydd är en reserverad fråga, dvs. samma lagstiftning gäller i hela landet, medan andra politikområden som är relevanta för detta beslut har delegerats. Till exempel har Skottlands och Nordirlands straffrättsliga system, inklusive polisväsendet, delegerats till det skotska parlamentet respektive Nordirlands parlament. Förenade kungariket har inte någon kodifierad konstitution i form av ett grundläggande konstituerande dokument. Konstitutionella principer har med tiden vuxit fram, särskilt från rättspraxis och konvention. Det konstitutionella värdet av vissa lagar, till exempel Magna Carta, Bill of Rights 1689 och Human Rights Act 1998, har erkänts av domstolarna. Enskilda personers grundläggande rättigheter har utvecklats, som en del av konstitutionen, genom common law, dessa stadgar och internationella fördrag, särskilt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna som Förenade kungariket ratificerade 1951. Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) 1987 (10).

Senedd Cymru

Magna Carta

Bill of Rights 1689

Human Rights Act 1998

10

| (10) | Genom Human Rights Act 1998 införlivas rättigheterna i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna i Förenade kungarikets lagstiftning. Human Rights Act ger varje enskild de grundläggande rättigheter och friheter som föreskrivs i artiklarna 2–12 och 14 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, artiklarna 1, 2 och 3 i dess första protokoll och artikel 1 i dess trettonde protokoll, jämförda med artiklarna 16, 17 och 18 i den konventionen. Detta inbegriper rätten till respekt för privatlivet och familjelivet (och rätten till skydd av personuppgifter som en del av denna rätt) och rätten till en rättvis rättegång (11). Enligt artikel 8 i den konventionen får en myndighet endast ingripa i rätten till privatliv i enlighet med lag om det är nödvändigt i ett demokratiskt samhälle med hänsyn till den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, för att förebygga oordning eller brott, för att skydda hälsa eller moral eller för att skydda andras fri- och rättigheter. |
| --- | --- |

(10)

Genom Human Rights Act 1998 införlivas rättigheterna i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna i Förenade kungarikets lagstiftning. Human Rights Act ger varje enskild de grundläggande rättigheter och friheter som föreskrivs i artiklarna 2–12 och 14 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, artiklarna 1, 2 och 3 i dess första protokoll och artikel 1 i dess trettonde protokoll, jämförda med artiklarna 16, 17 och 18 i den konventionen. Detta inbegriper rätten till respekt för privatlivet och familjelivet (och rätten till skydd av personuppgifter som en del av denna rätt) och rätten till en rättvis rättegång (11). Enligt artikel 8 i den konventionen får en myndighet endast ingripa i rätten till privatliv i enlighet med lag om det är nödvändigt i ett demokratiskt samhälle med hänsyn till den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, för att förebygga oordning eller brott, för att skydda hälsa eller moral eller för att skydda andras fri- och rättigheter.

Human Rights Act 1998

Human Rights Act

11

| (11) | I enlighet med Human Rights Act 1998 måste alla åtgärder som vidtas av myndigheter vara förenliga med en rättighet enligt konventionen (12). Dessutom måste primär- och sekundärrätten läsas och genomföras på ett sätt som är förenligt med konventionens rättigheter (13). |
| --- | --- |

(11)

I enlighet med Human Rights Act 1998 måste alla åtgärder som vidtas av myndigheter vara förenliga med en rättighet enligt konventionen (12). Dessutom måste primär- och sekundärrätten läsas och genomföras på ett sätt som är förenligt med konventionens rättigheter (13).

Human Rights Act 1998

12

13

2.2   Förenade kungarikets dataskyddsram

Förenade kungarikets dataskyddsram

| (12) | Storbritannien lämnade EU den 31 januari 2020. På grundval av avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen (14) fortsatte unionsrätten att tillämpas i Förenade kungariket under övergångsperioden till och med den 31 december 2020. Före utträdet och under övergångsperioden bestod den rättsliga ramen för skydd av personuppgifter i Förenade kungariket av relevant EU-lagstiftning (särskilt förordning (EU) 2016/679 och Europaparlamentets och rådets direktiv (15) (EU) 2016/680) och nationell lagstiftning, särskilt 2018 års dataskyddslag (16) som innehöll nationella bestämmelser, när så var tillåtet enligt förordning (EU) 2016/679, som preciserade och begränsade tillämpningen av bestämmelserna i förordning (EU) 2016/679 och införlivade direktiv (EU) 2016/680. |
| --- | --- |

(12)

Storbritannien lämnade EU den 31 januari 2020. På grundval av avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen (14) fortsatte unionsrätten att tillämpas i Förenade kungariket under övergångsperioden till och med den 31 december 2020. Före utträdet och under övergångsperioden bestod den rättsliga ramen för skydd av personuppgifter i Förenade kungariket av relevant EU-lagstiftning (särskilt förordning (EU) 2016/679 och Europaparlamentets och rådets direktiv (15) (EU) 2016/680) och nationell lagstiftning, särskilt 2018 års dataskyddslag (16) som innehöll nationella bestämmelser, när så var tillåtet enligt förordning (EU) 2016/679, som preciserade och begränsade tillämpningen av bestämmelserna i förordning (EU) 2016/679 och införlivade direktiv (EU) 2016/680.

14

15

16

| (13) | Som en förberedelse inför EU-utträdet antog Förenade kungarikets regering European Union (Withdrawal) Act 2018 (17) som införlivar direkt tillämplig unionslagstiftning i Förenade kungarikets lagstiftning (18). Denna så kallade bibehållna EU-lagstiftning omfattar förordning (EU) 2016/679 i sin helhet (inklusive skälen) (19). I enlighet med den akten måste den oförändrat bibehållna EU-lagstiftningen tolkas av domstolarna i Förenade kungariket i enlighet med relevant rättspraxis från Europeiska unionens domstol och allmänna principer i unionsrätten eftersom de har verkan omedelbart före övergångsperiodens utgång (bibehållen EU-rättspraxis respektive bibehållen allmän EU-rättspraxis) (20). |
| --- | --- |

(13)

Som en förberedelse inför EU-utträdet antog Förenade kungarikets regering European Union (Withdrawal) Act 2018 (17) som införlivar direkt tillämplig unionslagstiftning i Förenade kungarikets lagstiftning (18). Denna så kallade bibehållna EU-lagstiftning omfattar förordning (EU) 2016/679 i sin helhet (inklusive skälen) (19). I enlighet med den akten måste den oförändrat bibehållna EU-lagstiftningen tolkas av domstolarna i Förenade kungariket i enlighet med relevant rättspraxis från Europeiska unionens domstol och allmänna principer i unionsrätten eftersom de har verkan omedelbart före övergångsperiodens utgång (bibehållen EU-rättspraxis respektive bibehållen allmän EU-rättspraxis) (20).

European Union (Withdrawal) Act 2018

17

18

19

20

| (14) | Enligt European Union (Withdrawal) Act 2018 har Förenade kungarikets ministrar befogenhet att införa sekundärlagstiftning genom förordningar, för att göra nödvändiga ändringar av bibehållen EU-lagstiftning till följd av Förenade kungarikets utträde ur Europeiska unionen. Ministrarna utövade denna befogenhet genom 2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar osv.) (EU Exit) (DPPEC-förordningarna) (21). DPPEC-förordningarna ändrar förordning (EU) 2016/679 så som den införlivats i brittisk lagstiftning genom European Union (Withdrawal) Act 2018, 2018 års dataskyddslag och annan dataskyddslagstiftning för att passa det inhemska sammanhanget (22). |
| --- | --- |

(14)

Enligt European Union (Withdrawal) Act 2018 har Förenade kungarikets ministrar befogenhet att införa sekundärlagstiftning genom förordningar, för att göra nödvändiga ändringar av bibehållen EU-lagstiftning till följd av Förenade kungarikets utträde ur Europeiska unionen. Ministrarna utövade denna befogenhet genom 2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar osv.) (EU Exit) (DPPEC-förordningarna) (21). DPPEC-förordningarna ändrar förordning (EU) 2016/679 så som den införlivats i brittisk lagstiftning genom European Union (Withdrawal) Act 2018, 2018 års dataskyddslag och annan dataskyddslagstiftning för att passa det inhemska sammanhanget (22).

European Union (Withdrawal) Act 2018

EU Exit

DPPEC-förordningarna

21

European Union (Withdrawal) Act 2018

22

| (15) | Den rättsliga ramen för skydd av personuppgifter i Förenade kungariket efter övergångsperiodens utgång består följaktligen av följande:






  — | United Kingdom General Data Protection Regulation (den brittiska dataskyddsförordningen), införlivad i Förenade kungarikets lagstiftning enligt European Union (Withdrawal) Act 2018 och ändrad genom DPPEC Regulations
   (23), och |
| --- | --- | --- |

(15)

Den rättsliga ramen för skydd av personuppgifter i Förenade kungariket efter övergångsperiodens utgång består följaktligen av följande:

—

United Kingdom General Data Protection Regulation (den brittiska dataskyddsförordningen), införlivad i Förenade kungarikets lagstiftning enligt European Union (Withdrawal) Act 2018 och ändrad genom DPPEC Regulations
   (23), och

United Kingdom General Data Protection Regulation

European Union (Withdrawal) Act 2018

DPPEC Regulations

23

| — | 2018 års dataskyddslag (24), ändrad genom de brittiska DPPEC-förordningarna. |
| --- | --- |

—

2018 års dataskyddslag (24), ändrad genom de brittiska DPPEC-förordningarna.

24

| (16) | Eftersom den brittiska dataskyddsförordningen bygger på EU-lagstiftningen återspeglar dataskyddsbestämmelserna i Förenade kungariket i många avseenden nära motsvarande regler som är tillämpliga inom Europeiska unionen. |
| --- | --- |

(16)

Eftersom den brittiska dataskyddsförordningen bygger på EU-lagstiftningen återspeglar dataskyddsbestämmelserna i Förenade kungariket i många avseenden nära motsvarande regler som är tillämpliga inom Europeiska unionen.

| (17) | Utöver de befogenheter som den ansvariga ministern (Secretary of State) ges genom European Union (Withdrawal) Act 2018 ger flera bestämmelser i 2018 års dataskyddslag den ansvariga ministern befogenhet att anta sekundärlagstiftning för att ändra vissa bestämmelser i lagen eller föreskriva kompletterande och ytterligare regler (25). Den ansvariga ministern har hittills endast utövat sin befogenhet enligt avsnitt 137 i 2018 års dataskyddslag att anta 2019 års förordningar om skydd av personuppgifter (Avgifter och information) (Ändring) som anger under vilka omständigheter personuppgiftsansvariga är skyldiga att betala en årlig avgift till Förenade kungarikets oberoende dataskyddsmyndighet, the Information Commissioner. |
| --- | --- |

(17)

Utöver de befogenheter som den ansvariga ministern (Secretary of State) ges genom European Union (Withdrawal) Act 2018 ger flera bestämmelser i 2018 års dataskyddslag den ansvariga ministern befogenhet att anta sekundärlagstiftning för att ändra vissa bestämmelser i lagen eller föreskriva kompletterande och ytterligare regler (25). Den ansvariga ministern har hittills endast utövat sin befogenhet enligt avsnitt 137 i 2018 års dataskyddslag att anta 2019 års förordningar om skydd av personuppgifter (Avgifter och information) (Ändring) som anger under vilka omständigheter personuppgiftsansvariga är skyldiga att betala en årlig avgift till Förenade kungarikets oberoende dataskyddsmyndighet, the Information Commissioner.

Secretary of State

European Union (Withdrawal) Act 2018

25

the Information Commissioner

| (18) | Slutligen ges ytterligare vägledning om Förenade kungarikets dataskyddslagstiftning i de uppförandekoder och andra riktlinjer som antagits av the Information Commissioner. Även om vägledningen inte är formellt rättsligt bindande har den tolkningstyngd och visar hur dataskyddslagstiftningen tillämpas och verkställs av the Commissioner i praktiken. Enligt avsnitten 121–125 i 2018 års dataskyddslag ska the Commissioner utarbeta uppförandekoder för datadelning, direktmarknadsföring, åldersanpassad utformning samt dataskydd och journalistik. |
| --- | --- |

(18)

Slutligen ges ytterligare vägledning om Förenade kungarikets dataskyddslagstiftning i de uppförandekoder och andra riktlinjer som antagits av the Information Commissioner. Även om vägledningen inte är formellt rättsligt bindande har den tolkningstyngd och visar hur dataskyddslagstiftningen tillämpas och verkställs av the Commissioner i praktiken. Enligt avsnitten 121–125 i 2018 års dataskyddslag ska the Commissioner utarbeta uppförandekoder för datadelning, direktmarknadsföring, åldersanpassad utformning samt dataskydd och journalistik.

the Information Commissioner

the Commissioner

the Commissioner

| (19) | Den brittiska rättsliga ram som är tillämplig på uppgifter som överförs enligt detta beslut är således mycket lik den som gäller i Europeiska unionen i dess struktur och huvudkomponenter. Detta inbegriper det faktum att en sådan ram inte enbart bygger på skyldigheter som föreskrivs i nationell rätt, som har utformats genom unionsrätten, utan även på skyldigheter som följer av internationell rätt, särskilt genom Förenade kungarikets anslutning till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och konvention 108 samt dess överlämnande till Europeiska domstolen för de mänskliga rättigheternas jurisdiktion. Dessa skyldigheter som följer av rättsligt bindande internationella instrument, särskilt när det gäller skydd av personuppgifter, är därför en särskilt viktig del av den rättsliga ram som bedöms i detta beslut. |
| --- | --- |

(19)

Den brittiska rättsliga ram som är tillämplig på uppgifter som överförs enligt detta beslut är således mycket lik den som gäller i Europeiska unionen i dess struktur och huvudkomponenter. Detta inbegriper det faktum att en sådan ram inte enbart bygger på skyldigheter som föreskrivs i nationell rätt, som har utformats genom unionsrätten, utan även på skyldigheter som följer av internationell rätt, särskilt genom Förenade kungarikets anslutning till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och konvention 108 samt dess överlämnande till Europeiska domstolen för de mänskliga rättigheternas jurisdiktion. Dessa skyldigheter som följer av rättsligt bindande internationella instrument, särskilt när det gäller skydd av personuppgifter, är därför en särskilt viktig del av den rättsliga ram som bedöms i detta beslut.

2.3   Materiellt och territoriellt tillämpningsområde

Materiellt och territoriellt tillämpningsområde

| (20) | I likhet med förordning (EU) 2016/679 är den brittiska dataskyddsförordningen tillämplig på behandling av personuppgifter helt eller delvis på automatisk väg eller på annan behandling om personuppgifterna ingår i ett register (26). Definitionerna av ”personuppgifter”, ”den registrerade” och ”behandling” i den brittiska dataskyddsförordningen är identiska med definitionerna i förordning (EU) 2016/679 (27). Dessutom är den brittiska dataskyddsförordningen tillämplig på behandling av manuella ostrukturerade personuppgifter (28) som innehas av vissa brittiska myndigheter (29) även om brittiska principer och rättigheter som inte är relevanta för sådana personuppgifter inte tillämpas i avsnitten 24 och 25 i 2018 års dataskyddslag. I likhet med vad som föreskrivs i förordning (EU) 2016/679 är den brittiska dataskyddsförordningen inte tillämplig på behandling av personuppgifter som utförs av en enskild person i samband med verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll (30). |
| --- | --- |

(20)

I likhet med förordning (EU) 2016/679 är den brittiska dataskyddsförordningen tillämplig på behandling av personuppgifter helt eller delvis på automatisk väg eller på annan behandling om personuppgifterna ingår i ett register (26). Definitionerna av ”personuppgifter”, ”den registrerade” och ”behandling” i den brittiska dataskyddsförordningen är identiska med definitionerna i förordning (EU) 2016/679 (27). Dessutom är den brittiska dataskyddsförordningen tillämplig på behandling av manuella ostrukturerade personuppgifter (28) som innehas av vissa brittiska myndigheter (29) även om brittiska principer och rättigheter som inte är relevanta för sådana personuppgifter inte tillämpas i avsnitten 24 och 25 i 2018 års dataskyddslag. I likhet med vad som föreskrivs i förordning (EU) 2016/679 är den brittiska dataskyddsförordningen inte tillämplig på behandling av personuppgifter som utförs av en enskild person i samband med verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll (30).

26

27

28

29

30

| (21) | Den brittiska dataskyddsförordningen utvidgar tillämpningsområdet till att även omfatta behandling inom ramen för en verksamhet som omedelbart före övergångsperiodens utgång inte omfattades av unionsrättens tillämpningsområde (t.ex. nationell säkerhet) (31) eller omfattades av kapitel 2 i avdelning 5 i fördraget om Europeiska unionen (verksamhet inom den gemensamma utrikes- och säkerhetspolitiken) (32). På samma sätt som i Europeiska unionens system är den brittiska dataskyddsförordningen inte tillämplig på en behörig myndighets behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten (så kallade brottsbekämpande ändamål) – sådan behandling regleras i stället av del 3 i 2018 års dataskyddslag vilket är fallet för direktiv (EU) 2016/680 enligt EU-rätten – eller behandling av personuppgifter som utförs av underrättelsetjänster (Security Service, Secret Intelligence Service och the Government Communications Headquarters) som omfattas av enligt unionsrätten – eller behandling av personuppgifter som täcks av del 4 i 2018 års dataskyddslag (33). |
| --- | --- |

(21)

Den brittiska dataskyddsförordningen utvidgar tillämpningsområdet till att även omfatta behandling inom ramen för en verksamhet som omedelbart före övergångsperiodens utgång inte omfattades av unionsrättens tillämpningsområde (t.ex. nationell säkerhet) (31) eller omfattades av kapitel 2 i avdelning 5 i fördraget om Europeiska unionen (verksamhet inom den gemensamma utrikes- och säkerhetspolitiken) (32). På samma sätt som i Europeiska unionens system är den brittiska dataskyddsförordningen inte tillämplig på en behörig myndighets behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten (så kallade brottsbekämpande ändamål) – sådan behandling regleras i stället av del 3 i 2018 års dataskyddslag vilket är fallet för direktiv (EU) 2016/680 enligt EU-rätten – eller behandling av personuppgifter som utförs av underrättelsetjänster (Security Service, Secret Intelligence Service och the Government Communications Headquarters) som omfattas av enligt unionsrätten – eller behandling av personuppgifter som täcks av del 4 i 2018 års dataskyddslag (33).

31

32

33

| (22) | Den brittiska dataskyddsförordningens territoriella tillämpningsområde anges i artikel 3 i den brittiska dataskyddsförordningen (34) och omfattar behandling av personuppgifter (oavsett var de äger rum) i samband med verksamhet vid en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe i Förenade kungariket samt behandling av personuppgifter om registrerade som befinner sig i Förenade kungariket om behandlingen har samband med erbjudande av varor eller tjänster till sådana registrerade eller övervakning av deras beteende (35). Detta återspeglar tillvägagångssättet i artikel 3 i förordning (EU) 2016/679. |
| --- | --- |

(22)

Den brittiska dataskyddsförordningens territoriella tillämpningsområde anges i artikel 3 i den brittiska dataskyddsförordningen (34) och omfattar behandling av personuppgifter (oavsett var de äger rum) i samband med verksamhet vid en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe i Förenade kungariket samt behandling av personuppgifter om registrerade som befinner sig i Förenade kungariket om behandlingen har samband med erbjudande av varor eller tjänster till sådana registrerade eller övervakning av deras beteende (35). Detta återspeglar tillvägagångssättet i artikel 3 i förordning (EU) 2016/679.

34

35

2.4   Definitioner av personuppgifter samt begreppen personuppgiftsansvarig och personuppgiftsbiträde

Definitioner av personuppgifter samt begreppen personuppgiftsansvarig och personuppgiftsbiträde

| (23) | Definitionerna av personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde och definitionen av pseudonymisering i förordning (EU) 2016/679 har behållits i den brittiska dataskyddsförordningen utan väsentliga ändringar (36). Dessutom definieras särskilda kategorier av uppgifter i artikel 9.1 i den brittiska dataskyddsförordningen på samma sätt som i förordning (EU) 2016/679 (”avslöjande av ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter i syfte att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning”). I avsnitt 205 i 2018 års dataskyddslag definieras ”biometriska uppgifter” (37), ”uppgifter om hälsa” (38) och ”genetiska uppgifter” (39). |
| --- | --- |

(23)

Definitionerna av personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde och definitionen av pseudonymisering i förordning (EU) 2016/679 har behållits i den brittiska dataskyddsförordningen utan väsentliga ändringar (36). Dessutom definieras särskilda kategorier av uppgifter i artikel 9.1 i den brittiska dataskyddsförordningen på samma sätt som i förordning (EU) 2016/679 (”avslöjande av ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter i syfte att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning”). I avsnitt 205 i 2018 års dataskyddslag definieras ”biometriska uppgifter” (37), ”uppgifter om hälsa” (38) och ”genetiska uppgifter” (39).

36

37

38

39

2.5.   Skyddsåtgärder, rättigheter och skyldigheter

Skyddsåtgärder, rättigheter och skyldigheter

2.5.1   Laglig och korrekt behandling

Laglig och korrekt behandling

| (24) | Personuppgifter bör behandlas på ett lagligt och korrekt sätt. |
| --- | --- |

(24)

Personuppgifter bör behandlas på ett lagligt och korrekt sätt.

| (25) | Principerna om laglighet, rättvisa och öppenhet samt grunderna för laglig behandling garanteras i Förenade kungarikets lagstiftning genom artiklarna 5.1 a och 6.1 i den brittiska dataskyddsförordningen som är identiska med respektive bestämmelser i förordning (EU) 2016/679. (40) Avsnitt 8 i 2018 års dataskyddslag kompletterar artikel 6.1 e genom att föreskriva att behandling av personuppgifter enligt artikel 6.1 e i den brittiska dataskyddsförordningen (som är nödvändig för att utföra en uppgift av allmänintresse eller som ett led i utövandet av den personuppgiftsansvarigas officiella befogenheter) omfattar behandling av personuppgifter som är nödvändig för rättskipningen, utövande av en funktion i någondera av parlamentets kammare, utövande av en funktion som tilldelats en person genom förordning eller en rättsregel, främjar utövandet av kronans funktioner, en av kronans ministrar eller ett regeringsministerium eller en aktivitet som stöder eller gynnar demokratiskt engagemang. |
| --- | --- |

(25)

Principerna om laglighet, rättvisa och öppenhet samt grunderna för laglig behandling garanteras i Förenade kungarikets lagstiftning genom artiklarna 5.1 a och 6.1 i den brittiska dataskyddsförordningen som är identiska med respektive bestämmelser i förordning (EU) 2016/679. (40) Avsnitt 8 i 2018 års dataskyddslag kompletterar artikel 6.1 e genom att föreskriva att behandling av personuppgifter enligt artikel 6.1 e i den brittiska dataskyddsförordningen (som är nödvändig för att utföra en uppgift av allmänintresse eller som ett led i utövandet av den personuppgiftsansvarigas officiella befogenheter) omfattar behandling av personuppgifter som är nödvändig för rättskipningen, utövande av en funktion i någondera av parlamentets kammare, utövande av en funktion som tilldelats en person genom förordning eller en rättsregel, främjar utövandet av kronans funktioner, en av kronans ministrar eller ett regeringsministerium eller en aktivitet som stöder eller gynnar demokratiskt engagemang.

40

| (26) | När det gäller samtycke (en av grunderna för laglig behandling) behåller den brittiska dataskyddsförordningen även de villkor som anges i artikel 7 i förordning (EU) 2016/679 utan ändringar, dvs. att den personuppgiftsansvariga måste kunna visa att den registrerade har gett sitt samtycke, att en skriftlig begäran om samtycke måste lämnas in på ett klart och tydligt språk, att den registrerade måste ha rätt att när som helst dra tillbaka sitt samtycke och vid bedömningen av huruvida samtycket lämnas frivilligt bör hänsyn tas till huruvida fullgörandet av ett avtal är villkorat av att samtycke inte krävs för behandling av personuppgifter. Enligt artikel 8 i den brittiska dataskyddsförordningen är dessutom ett barns samtycke i samband med tillhandahållande av informationssamhällets tjänster lagligt endast om barnet är minst 13 år gammalt. Detta ligger inom den åldersgrupp som fastställs i artikel 8 i förordning (EU) 2016/679. |
| --- | --- |

(26)

När det gäller samtycke (en av grunderna för laglig behandling) behåller den brittiska dataskyddsförordningen även de villkor som anges i artikel 7 i förordning (EU) 2016/679 utan ändringar, dvs. att den personuppgiftsansvariga måste kunna visa att den registrerade har gett sitt samtycke, att en skriftlig begäran om samtycke måste lämnas in på ett klart och tydligt språk, att den registrerade måste ha rätt att när som helst dra tillbaka sitt samtycke och vid bedömningen av huruvida samtycket lämnas frivilligt bör hänsyn tas till huruvida fullgörandet av ett avtal är villkorat av att samtycke inte krävs för behandling av personuppgifter. Enligt artikel 8 i den brittiska dataskyddsförordningen är dessutom ett barns samtycke i samband med tillhandahållande av informationssamhällets tjänster lagligt endast om barnet är minst 13 år gammalt. Detta ligger inom den åldersgrupp som fastställs i artikel 8 i förordning (EU) 2016/679.

2.5.2   Behandling av särskilda kategorier av personuppgifter

Behandling av särskilda kategorier av personuppgifter

| (27) | Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” behandlas. |
| --- | --- |

(27)

Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” behandlas.

| (28) | Den brittiska dataskyddsförordningen och 2018 års dataskyddslag innehåller särskilda regler för behandling av särskilda kategorier av personuppgifter som definieras i artikel 9.1 i den brittiska dataskyddsförordningen på samma sätt som i förordning (EU) 2016/679 (se skäl 23 ovan). Enligt artikel 9 i den brittiska dataskyddsförordningen är behandling av särskilda kategorier av uppgifter i princip förbjuden, såvida inte ett särskilt undantag gäller. |
| --- | --- |

(28)

Den brittiska dataskyddsförordningen och 2018 års dataskyddslag innehåller särskilda regler för behandling av särskilda kategorier av personuppgifter som definieras i artikel 9.1 i den brittiska dataskyddsförordningen på samma sätt som i förordning (EU) 2016/679 (se skäl 23 ovan). Enligt artikel 9 i den brittiska dataskyddsförordningen är behandling av särskilda kategorier av uppgifter i princip förbjuden, såvida inte ett särskilt undantag gäller.

| (29) | Dessa undantag (som förtecknas i artikel 9.2 och 3 i den brittiska dataskyddsförordningen) ändrar inte innehållet i artikel 9.2 och 3 i förordning (EU) 2016/679. Såvida inte den registrerade har lämnat sitt uttryckliga samtycke till behandlingen av dessa personuppgifter är behandling av särskilda kategorier av personuppgifter endast tillåten under särskilda och begränsade omständigheter. I de flesta fall måste behandlingen av känsliga uppgifter vara nödvändig för ett specifikt ändamål som definieras i den relevanta bestämmelsen (se artikel 9.2 b, c, f, g, h, i och j). |
| --- | --- |

(29)

Dessa undantag (som förtecknas i artikel 9.2 och 3 i den brittiska dataskyddsförordningen) ändrar inte innehållet i artikel 9.2 och 3 i förordning (EU) 2016/679. Såvida inte den registrerade har lämnat sitt uttryckliga samtycke till behandlingen av dessa personuppgifter är behandling av särskilda kategorier av personuppgifter endast tillåten under särskilda och begränsade omständigheter. I de flesta fall måste behandlingen av känsliga uppgifter vara nödvändig för ett specifikt ändamål som definieras i den relevanta bestämmelsen (se artikel 9.2 b, c, f, g, h, i och j).

| (30) | Om ett undantag enligt artikel 9.2 i den brittiska dataskyddsförordningen kräver tillstånd enligt lag eller hänvisar till allmänintresset anges dessutom i avsnitt 10 i 2018 års dataskyddslag tillsammans med tillägg 1 till samma lag vilka villkor som måste vara uppfyllda för att undantagen ska kunna åberopas. När det till exempel gäller behandling av känsliga uppgifter för att skydda ”folkhälsan” (artikel 9.2 i) i den brittiska dataskyddsförordningen) krävs det i punkt 3 b i del 1 i tillägg 1 att sådan behandling, utöver nödvändighetstestet, utförs ”av eller på ansvar av hälso- och sjukvårdspersonal” eller ”av en annan person som är skyldig att iaktta tystnadsplikt enligt en lag eller en rättsregel”, inbegripet enligt den väletablerade sedvanerättsliga tystnadsplikten. |
| --- | --- |

(30)

Om ett undantag enligt artikel 9.2 i den brittiska dataskyddsförordningen kräver tillstånd enligt lag eller hänvisar till allmänintresset anges dessutom i avsnitt 10 i 2018 års dataskyddslag tillsammans med tillägg 1 till samma lag vilka villkor som måste vara uppfyllda för att undantagen ska kunna åberopas. När det till exempel gäller behandling av känsliga uppgifter för att skydda ”folkhälsan” (artikel 9.2 i) i den brittiska dataskyddsförordningen) krävs det i punkt 3 b i del 1 i tillägg 1 att sådan behandling, utöver nödvändighetstestet, utförs ”av eller på ansvar av hälso- och sjukvårdspersonal” eller ”av en annan person som är skyldig att iaktta tystnadsplikt enligt en lag eller en rättsregel”, inbegripet enligt den väletablerade sedvanerättsliga tystnadsplikten.

| (31) | När känsliga uppgifter behandlas av skäl som rör ett väsentligt allmänintresse (artikel 9.2 g i den brittiska dataskyddsförordningen) innehåller del 2 i bilaga 1 till 2018 års dataskyddslag en uttömmande förteckning över ändamål som kan anses vara av väsentligt allmänt intresse och för vart och ett av dessa syften fastställs särskilda ytterligare villkor. Till exempel erkänns främjande av mångfald när det gäller rastillhörighet och etniskt ursprung på högre nivåer i organisationer som ett viktigt allmänintresse. Behandling av känsliga uppgifter för detta särskilda ändamål omfattas av detaljerade krav, bland annat att behandlingen utförs som ett led i en process för att identifiera lämpliga personer som kan inneha höga befattningar och är nödvändig för att främja mångfald när det gäller raser samt etnisk mångfald och sannolikt inte kommer att orsaka den registrerade betydande skada eller betydande lidande. |
| --- | --- |

(31)

När känsliga uppgifter behandlas av skäl som rör ett väsentligt allmänintresse (artikel 9.2 g i den brittiska dataskyddsförordningen) innehåller del 2 i bilaga 1 till 2018 års dataskyddslag en uttömmande förteckning över ändamål som kan anses vara av väsentligt allmänt intresse och för vart och ett av dessa syften fastställs särskilda ytterligare villkor. Till exempel erkänns främjande av mångfald när det gäller rastillhörighet och etniskt ursprung på högre nivåer i organisationer som ett viktigt allmänintresse. Behandling av känsliga uppgifter för detta särskilda ändamål omfattas av detaljerade krav, bland annat att behandlingen utförs som ett led i en process för att identifiera lämpliga personer som kan inneha höga befattningar och är nödvändig för att främja mångfald när det gäller raser samt etnisk mångfald och sannolikt inte kommer att orsaka den registrerade betydande skada eller betydande lidande.

| (32) | I avsnitt 11.1 i 2018 års dataskyddslag fastställs villkor för behandling av personuppgifter under de omständigheter som beskrivs i artikel 9.3 i den brittiska dataskyddsförordningen avseende tystnadsplikt. Detta inbegriper omständigheter under vilka det utförs av eller under ansvar av hälso- och sjukvårdspersonal eller socialarbetare eller av en annan person som under dessa omständigheter är skyldig att iaktta tystnadsplikt enligt en lag eller en rättsregel. |
| --- | --- |

(32)

I avsnitt 11.1 i 2018 års dataskyddslag fastställs villkor för behandling av personuppgifter under de omständigheter som beskrivs i artikel 9.3 i den brittiska dataskyddsförordningen avseende tystnadsplikt. Detta inbegriper omständigheter under vilka det utförs av eller under ansvar av hälso- och sjukvårdspersonal eller socialarbetare eller av en annan person som under dessa omständigheter är skyldig att iaktta tystnadsplikt enligt en lag eller en rättsregel.

| (33) | Dessutom kräver många av de undantag som anges i artikel 9.2 i den brittiska dataskyddsförordningen lämpliga och specifika skyddsåtgärder för att de ska kunna användas. Beroende på behandlingens art och risknivån för de registrerades rättigheter och friheter fastställs olika skyddsåtgärder i villkoren för behandling i bilaga 1 – till 2018 års dataskyddslag. I tillägg 1 anges villkoren för varje behandlingssituation i tur och ordning. |
| --- | --- |

(33)

Dessutom kräver många av de undantag som anges i artikel 9.2 i den brittiska dataskyddsförordningen lämpliga och specifika skyddsåtgärder för att de ska kunna användas. Beroende på behandlingens art och risknivån för de registrerades rättigheter och friheter fastställs olika skyddsåtgärder i villkoren för behandling i bilaga 1 – till 2018 års dataskyddslag. I tillägg 1 anges villkoren för varje behandlingssituation i tur och ordning.

| (34) | I vissa fall reglerar och begränsar 2018 års dataskyddslag den typ av känsliga uppgifter som får behandlas för att en viss rättslig grund ska efterlevas. Exempelvis är det enligt punkt 8 i tillägg 1 tillåtet att behandla känsliga uppgifter i syfte att främja lika möjligheter eller likabehandling. Detta behandlingstillstånd får endast användas om uppgifterna avslöjar ras eller etniskt ursprung, religiös eller filosofisk övertygelse, sexuell läggning eller hälsouppgifter. |
| --- | --- |

(34)

I vissa fall reglerar och begränsar 2018 års dataskyddslag den typ av känsliga uppgifter som får behandlas för att en viss rättslig grund ska efterlevas. Exempelvis är det enligt punkt 8 i tillägg 1 tillåtet att behandla känsliga uppgifter i syfte att främja lika möjligheter eller likabehandling. Detta behandlingstillstånd får endast användas om uppgifterna avslöjar ras eller etniskt ursprung, religiös eller filosofisk övertygelse, sexuell läggning eller hälsouppgifter.

| (35) | I vissa fall begränsar 2018 års dataskyddslag den typ av personuppgiftsansvarig som får använda behandlingsvillkoret. I punkt 23 i tillägg 1 föreskrivs exempelvis behandling av känsliga uppgifter i samband med de förtroendevaldas svar till allmänheten. Detta behandlingsvillkor kan endast användas om den personuppgiftsansvariga är vald företrädare eller agerar under deras överinseende. |
| --- | --- |

(35)

I vissa fall begränsar 2018 års dataskyddslag den typ av personuppgiftsansvarig som får använda behandlingsvillkoret. I punkt 23 i tillägg 1 föreskrivs exempelvis behandling av känsliga uppgifter i samband med de förtroendevaldas svar till allmänheten. Detta behandlingsvillkor kan endast användas om den personuppgiftsansvariga är vald företrädare eller agerar under deras överinseende.

| (36) | I vissa andra fall fastställs gränser för vilka kategorier av registrerade som får användas i 2018 års dataskyddslag. I punkt 21 i tillägg 1 regleras exempelvis behandlingen av känsliga uppgifter för tjänstepensionssystem. Detta villkor kan endast användas om den registrerade är syskon, förälder, mor- eller farförälder eller gammelmor- eller gammelfarförälder till försäkringstagaren. |
| --- | --- |

(36)

I vissa andra fall fastställs gränser för vilka kategorier av registrerade som får användas i 2018 års dataskyddslag. I punkt 21 i tillägg 1 regleras exempelvis behandlingen av känsliga uppgifter för tjänstepensionssystem. Detta villkor kan endast användas om den registrerade är syskon, förälder, mor- eller farförälder eller gammelmor- eller gammelfarförälder till försäkringstagaren.

| (37) | När den personuppgiftsansvariga dessutom åberopar de undantag i artikel 9.2 i den brittiska dataskyddsförordningen som specificeras närmare i avsnitt 10 i 2018 års dataskyddslag tillsammans med tillägg 1 till 2018 års dataskyddslag måste den personuppgiftsansvariga i de flesta fall utarbeta ett lämpligt policydokument. Det måste beskriva den personuppgiftsansvariges förfaranden för att säkerställa överensstämmelse med principerna i artikel 5 i den brittiska dataskyddsförordningen. Det ska också innehålla riktlinjer för lagring och radering med uppgift om den sannolika lagringsperioden. Personuppgiftsansvariga ska se över och uppdatera detta dokument när så är lämpligt. Den personuppgiftsansvariga ska bevara policydokumentet i sex månader efter det att behandlingen avslutats och på begäran göra det tillgängligt för the Information Commissioner (41). |
| --- | --- |

(37)

När den personuppgiftsansvariga dessutom åberopar de undantag i artikel 9.2 i den brittiska dataskyddsförordningen som specificeras närmare i avsnitt 10 i 2018 års dataskyddslag tillsammans med tillägg 1 till 2018 års dataskyddslag måste den personuppgiftsansvariga i de flesta fall utarbeta ett lämpligt policydokument. Det måste beskriva den personuppgiftsansvariges förfaranden för att säkerställa överensstämmelse med principerna i artikel 5 i den brittiska dataskyddsförordningen. Det ska också innehålla riktlinjer för lagring och radering med uppgift om den sannolika lagringsperioden. Personuppgiftsansvariga ska se över och uppdatera detta dokument när så är lämpligt. Den personuppgiftsansvariga ska bevara policydokumentet i sex månader efter det att behandlingen avslutats och på begäran göra det tillgängligt för the Information Commissioner (41).

the Information Commissioner

41

| (38) | Enligt punkt 41 i bilaga 1 till 2018 års dataskyddslag ska policydokumentet alltid åtföljas av en utökad registrering av behandlingen. Detta register måste följa de åtaganden som ingår i policydokumentet, dvs. huruvida uppgifterna raderas eller lagras i enlighet med riktlinjerna. Om riktlinjerna inte har följts ska skälen till detta registreras i protokollet. I dokumentationen ska det också beskrivas hur behandlingen uppfyller artikel 6 i den brittiska dataskyddsförordningen (behandlingens laglighet) och det särskilda villkoret i tillägg 1 till 2018 års dataskyddslag som åberopas. |
| --- | --- |

(38)

Enligt punkt 41 i bilaga 1 till 2018 års dataskyddslag ska policydokumentet alltid åtföljas av en utökad registrering av behandlingen. Detta register måste följa de åtaganden som ingår i policydokumentet, dvs. huruvida uppgifterna raderas eller lagras i enlighet med riktlinjerna. Om riktlinjerna inte har följts ska skälen till detta registreras i protokollet. I dokumentationen ska det också beskrivas hur behandlingen uppfyller artikel 6 i den brittiska dataskyddsförordningen (behandlingens laglighet) och det särskilda villkoret i tillägg 1 till 2018 års dataskyddslag som åberopas.

| (39) | I likhet med förordning (EU) 2016/679 innehåller den brittiska dataskyddsförordningen också allmänna skyddsåtgärder för viss behandling av särskilda kategorier av uppgifter. Enligt artikel 35 i den brittiska dataskyddsförordningen krävs en konsekvensbedömning avseende dataskydd om särskilda kategorier av uppgifter behandlas i stor skala. Enligt artikel 37 i den brittiska dataskyddsförordningen måste en personuppgiftsansvarig eller ett personuppgiftsbiträde utse ett dataskyddsombud om hans eller hennes kärnverksamhet består i behandling av särskilda kategorier av uppgifter i stor skala. |
| --- | --- |

(39)

I likhet med förordning (EU) 2016/679 innehåller den brittiska dataskyddsförordningen också allmänna skyddsåtgärder för viss behandling av särskilda kategorier av uppgifter. Enligt artikel 35 i den brittiska dataskyddsförordningen krävs en konsekvensbedömning avseende dataskydd om särskilda kategorier av uppgifter behandlas i stor skala. Enligt artikel 37 i den brittiska dataskyddsförordningen måste en personuppgiftsansvarig eller ett personuppgiftsbiträde utse ett dataskyddsombud om hans eller hennes kärnverksamhet består i behandling av särskilda kategorier av uppgifter i stor skala.

| (40) | När det gäller personuppgifter som rör fällande domar i brottmål och brott är artikel 10 i den brittiska dataskyddsförordningen identisk med artikel 10 i förordning (EU) 2016/679. Den tillåter behandling av personuppgifter som rör fällande domar i brottmål och överträdelser endast under kontroll av en myndighet eller när behandlingen är tillåten enligt nationell lagstiftning som föreskriver lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. |
| --- | --- |

(40)

När det gäller personuppgifter som rör fällande domar i brottmål och brott är artikel 10 i den brittiska dataskyddsförordningen identisk med artikel 10 i förordning (EU) 2016/679. Den tillåter behandling av personuppgifter som rör fällande domar i brottmål och överträdelser endast under kontroll av en myndighet eller när behandlingen är tillåten enligt nationell lagstiftning som föreskriver lämpliga skyddsåtgärder för de registrerades rättigheter och friheter.

| (41) | Om behandlingen av uppgifter som rör fällande domar i brottmål och överträdelser inte sker under kontroll av en myndighet, föreskrivs i avsnitt 10.5 i 2018 års dataskyddslag att sådan behandling endast får ske för de särskilda ändamål/i de särskilda situationer som anges i delarna 1, 2 och 3 i bilaga 1 till 2018 års dataskyddslag och omfattas av de särskilda krav som fastställs för vart och ett av dessa ändamål/situationer. Uppgifter om fällande domar i brottmål kan till exempel behandlas av organ utan vinstsyfte om behandlingen utförs a) inom ramen för dess legitima verksamhet med lämpliga skyddsåtgärder av en stiftelse, en förening eller ett annat icke vinstdrivande organ med politiskt, filosofiskt, religiöst eller fackligt syfte och b) under förutsättning att i) behandlingen endast avser organets medlemmar eller tidigare medlemmar eller personer som har regelbunden kontakt med organet i samband med dess ändamål och ii) personuppgifterna inte lämnas ut. |
| --- | --- |

(41)

Om behandlingen av uppgifter som rör fällande domar i brottmål och överträdelser inte sker under kontroll av en myndighet, föreskrivs i avsnitt 10.5 i 2018 års dataskyddslag att sådan behandling endast får ske för de särskilda ändamål/i de särskilda situationer som anges i delarna 1, 2 och 3 i bilaga 1 till 2018 års dataskyddslag och omfattas av de särskilda krav som fastställs för vart och ett av dessa ändamål/situationer. Uppgifter om fällande domar i brottmål kan till exempel behandlas av organ utan vinstsyfte om behandlingen utförs a) inom ramen för dess legitima verksamhet med lämpliga skyddsåtgärder av en stiftelse, en förening eller ett annat icke vinstdrivande organ med politiskt, filosofiskt, religiöst eller fackligt syfte och b) under förutsättning att i) behandlingen endast avser organets medlemmar eller tidigare medlemmar eller personer som har regelbunden kontakt med organet i samband med dess ändamål och ii) personuppgifterna inte lämnas ut.

| (42) | I del 3 i tillägg 1 till 2018 års dataskyddslag anges dessutom ytterligare omständigheter under vilka uppgifter om fällande domar i brottmål får användas som motsvarar de rättsliga grunderna för behandling av känsliga uppgifter i artikel 9.2 i förordning (EU) 2016/679 och den brittiska dataskyddsförordningen (t.ex. den registrerades samtycke, en persons vitala intressen om den registrerade är rättsligt eller fysiskt oförmögen att ge sitt samtycke, om uppgifterna redan på ett uppenbart sätt har offentliggjorts av den registrerade, om behandlingen är nödvändig för att fastställa, göra gällande eller försvara ett rättsligt anspråk osv.). |
| --- | --- |

(42)

I del 3 i tillägg 1 till 2018 års dataskyddslag anges dessutom ytterligare omständigheter under vilka uppgifter om fällande domar i brottmål får användas som motsvarar de rättsliga grunderna för behandling av känsliga uppgifter i artikel 9.2 i förordning (EU) 2016/679 och den brittiska dataskyddsförordningen (t.ex. den registrerades samtycke, en persons vitala intressen om den registrerade är rättsligt eller fysiskt oförmögen att ge sitt samtycke, om uppgifterna redan på ett uppenbart sätt har offentliggjorts av den registrerade, om behandlingen är nödvändig för att fastställa, göra gällande eller försvara ett rättsligt anspråk osv.).

2.5.3   Ändamålsbegränsning, noggrannhet, dataminimering, lagringsbegränsning och datasäkerhet

Ändamålsbegränsning, noggrannhet, dataminimering, lagringsbegränsning och datasäkerhet

| (43) | Personuppgifter ska behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål. |
| --- | --- |

(43)

Personuppgifter ska behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål.

| (44) | Denna princip föreskrivs i artikel 5.1 b i förordning (EU) 2016/679 och har behållits utan ändringar i artikel 5.1 b i den brittiska dataskyddsförordningen. Villkoren för ytterligare förenlig behandling enligt artikel 6.4 i förordning (EU) 2016/679 har också behållits utan några väsentliga ändringar i artikel 6.4 a–e i den brittiska dataskyddsförordningen. |
| --- | --- |

(44)

Denna princip föreskrivs i artikel 5.1 b i förordning (EU) 2016/679 och har behållits utan ändringar i artikel 5.1 b i den brittiska dataskyddsförordningen. Villkoren för ytterligare förenlig behandling enligt artikel 6.4 i förordning (EU) 2016/679 har också behållits utan några väsentliga ändringar i artikel 6.4 a–e i den brittiska dataskyddsförordningen.

| (45) | Dessutom bör uppgifterna vara korrekta och vid behov hållas aktuella. De bör också vara adekvata, relevanta och inte överdrivet omfattande i förhållande till de ändamål för vilka de behandlas och i princip inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. |
| --- | --- |

(45)

Dessutom bör uppgifterna vara korrekta och vid behov hållas aktuella. De bör också vara adekvata, relevanta och inte överdrivet omfattande i förhållande till de ändamål för vilka de behandlas och i princip inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas.

| (46) | Principerna om uppgiftsminimering, noggrannhet och lagringsbegränsning fastställs i artikel 5.1 c-e i förordning (EU) 2016/679 och behålls utan ändringar i artikel 5.1 c-e i den brittiska dataskyddsförordningen. |
| --- | --- |

(46)

Principerna om uppgiftsminimering, noggrannhet och lagringsbegränsning fastställs i artikel 5.1 c-e i förordning (EU) 2016/679 och behålls utan ändringar i artikel 5.1 c-e i den brittiska dataskyddsförordningen.

| (47) | Personuppgifter bör också behandlas på ett sätt som innebär att säkerheten garanteras, inbegripet skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstörelse eller skada. I detta syfte bör de ekonomiska aktörerna vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder bör utvärderas med hänsyn till den senaste tekniken och kostnaderna. |
| --- | --- |

(47)

Personuppgifter bör också behandlas på ett sätt som innebär att säkerheten garanteras, inbegripet skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstörelse eller skada. I detta syfte bör de ekonomiska aktörerna vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder bör utvärderas med hänsyn till den senaste tekniken och kostnaderna.

| (48) | Datasäkerhet är förankrad i Förenade kungarikets lagstiftning genom principen om integritet och konfidentialitet i artikel 5.1 f i den brittiska dataskyddsförordningen och i artikel 32 i den brittiska dataskyddsförordningen om säkerhet vid behandling. Dessa bestämmelser är identiska med respektive bestämmelser i förordning (EU) 2016/679. Enligt samma villkor som de som anges i artiklarna 33 och 34 i förordning (EU) 2016/679 kräver den brittiska dataskyddsförordningen dessutom att en personuppgiftsincident anmäls till tillsynsmyndigheten (artikel 33 i den brittiska dataskyddsförordningen) och att en personuppgiftsincident meddelas den registrerade (artikel 34 i den brittiska dataskyddsförordningen). |
| --- | --- |

(48)

Datasäkerhet är förankrad i Förenade kungarikets lagstiftning genom principen om integritet och konfidentialitet i artikel 5.1 f i den brittiska dataskyddsförordningen och i artikel 32 i den brittiska dataskyddsförordningen om säkerhet vid behandling. Dessa bestämmelser är identiska med respektive bestämmelser i förordning (EU) 2016/679. Enligt samma villkor som de som anges i artiklarna 33 och 34 i förordning (EU) 2016/679 kräver den brittiska dataskyddsförordningen dessutom att en personuppgiftsincident anmäls till tillsynsmyndigheten (artikel 33 i den brittiska dataskyddsförordningen) och att en personuppgiftsincident meddelas den registrerade (artikel 34 i den brittiska dataskyddsförordningen).

2.5.4   Insyn

Insyn

| (49) | De registrerade bör underrättas om de viktigaste dragen i behandlingen av sina personuppgifter. |
| --- | --- |

(49)

De registrerade bör underrättas om de viktigaste dragen i behandlingen av sina personuppgifter.

| (50) | Detta säkerställs genom artiklarna 13 och 14 i den brittiska dataskyddsförordningen som utöver en allmän princip om öppenhet innehåller regler om vilken information som ska lämnas till den registrerade (42). Den brittiska dataskyddsförordningen innebär inga väsentliga ändringar av dessa regler jämfört med motsvarande artiklar i förordning (EU) 2016/679. Liksom enligt förordning (EU) 2016/679 omfattas dock transparenskraven i dessa artiklar av flera undantag som fastställs i 2018 års dataskyddslag (se skälen 55–72). |
| --- | --- |

(50)

Detta säkerställs genom artiklarna 13 och 14 i den brittiska dataskyddsförordningen som utöver en allmän princip om öppenhet innehåller regler om vilken information som ska lämnas till den registrerade (42). Den brittiska dataskyddsförordningen innebär inga väsentliga ändringar av dessa regler jämfört med motsvarande artiklar i förordning (EU) 2016/679. Liksom enligt förordning (EU) 2016/679 omfattas dock transparenskraven i dessa artiklar av flera undantag som fastställs i 2018 års dataskyddslag (se skälen 55–72).

42

2.5.5   Individuella rättigheter

Individuella rättigheter

| (51) | De registrerade bör ha vissa rättigheter som kan göras gällande mot den personuppgiftsansvariga eller personuppgiftsbiträdet, särskilt rätten till tillgång till uppgifter, rätten att invända mot behandlingen och rätten att få uppgifter rättade och raderade. Samtidigt kan sådana rättigheter omfattas av restriktioner i den mån dessa begränsningar är nödvändiga och proportionerliga för att skydda den allmänna säkerheten eller andra viktiga mål av allmänt intresse. |
| --- | --- |

(51)

De registrerade bör ha vissa rättigheter som kan göras gällande mot den personuppgiftsansvariga eller personuppgiftsbiträdet, särskilt rätten till tillgång till uppgifter, rätten att invända mot behandlingen och rätten att få uppgifter rättade och raderade. Samtidigt kan sådana rättigheter omfattas av restriktioner i den mån dessa begränsningar är nödvändiga och proportionerliga för att skydda den allmänna säkerheten eller andra viktiga mål av allmänt intresse.

2.5.5.1   Materiella rättigheter

Materiella rättigheter

| (52) | Den brittiska dataskyddsförordningen ger enskilda samma verkställbara rättigheter som förordning (EU) 2016/679. Bestämmelserna om enskildas rättigheter har bibehållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar. |
| --- | --- |

(52)

Den brittiska dataskyddsförordningen ger enskilda samma verkställbara rättigheter som förordning (EU) 2016/679. Bestämmelserna om enskildas rättigheter har bibehållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar.

| (53) | Rättigheterna omfattar den registrerades rätt till tillgång (artikel 15 i den brittiska dataskyddsförordningen), rätten till rättelse (artikel 16 i den brittiska dataskyddsförordningen), rätten till radering (artikel 17 i den brittiska dataskyddsförordningen), rätten till begränsning av behandlingen (artikel 18 i den brittiska dataskyddsförordningen), en anmälningsskyldighet avseende rättelse eller radering av personuppgifter eller begränsning av behandling (artikel 19 i den brittiska dataskyddsförordningen), rätten till dataportabilitet (artikel 20 i den brittiska dataskyddsförordningen) och rätten att göra invändningar (artikel 21 i den brittiska dataskyddsförordningen) (43). Det senare omfattar också den registrerades rätt att invända mot behandling av personuppgifter för direkt marknadsföring enligt artikel 21.2 och 3 i förordning (EU) 2016/679. Dessutom ska the Information Commissioner enligt avsnitt 122 i 2018 års dataskyddslag utarbeta en uppförandekod för genomförandet av direktmarknadsföring i enlighet med kraven i dataskyddslagstiftningen (och 2003 års förordning om integritet och elektronisk kommunikation) och sådana andra riktlinjer för att främja god praxis vid direktmarknadsföring som the Information Commissioner anser vara lämpliga. ICO (Information Commissioner’s Office) håller för närvarande på att utarbeta en uppförandekod för direktmarknadsföring (44). |
| --- | --- |

(53)

Rättigheterna omfattar den registrerades rätt till tillgång (artikel 15 i den brittiska dataskyddsförordningen), rätten till rättelse (artikel 16 i den brittiska dataskyddsförordningen), rätten till radering (artikel 17 i den brittiska dataskyddsförordningen), rätten till begränsning av behandlingen (artikel 18 i den brittiska dataskyddsförordningen), en anmälningsskyldighet avseende rättelse eller radering av personuppgifter eller begränsning av behandling (artikel 19 i den brittiska dataskyddsförordningen), rätten till dataportabilitet (artikel 20 i den brittiska dataskyddsförordningen) och rätten att göra invändningar (artikel 21 i den brittiska dataskyddsförordningen) (43). Det senare omfattar också den registrerades rätt att invända mot behandling av personuppgifter för direkt marknadsföring enligt artikel 21.2 och 3 i förordning (EU) 2016/679. Dessutom ska the Information Commissioner enligt avsnitt 122 i 2018 års dataskyddslag utarbeta en uppförandekod för genomförandet av direktmarknadsföring i enlighet med kraven i dataskyddslagstiftningen (och 2003 års förordning om integritet och elektronisk kommunikation) och sådana andra riktlinjer för att främja god praxis vid direktmarknadsföring som the Information Commissioner anser vara lämpliga. ICO (Information Commissioner’s Office) håller för närvarande på att utarbeta en uppförandekod för direktmarknadsföring (44).

43

the Information Commissioner

the Information Commissioner

Information Commissioner’s Office

44

| (54) | Den registrerades rätt att inte bli föremål för ett beslut som enbart grundar sig på automatiserad behandling som har rättsliga följder för dem eller som på liknande sätt påverkar dem på ett betydande sätt i enlighet med artikel 22 i dataskyddsförordningen har också behållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar. En ny punkt 3A har dock lagts till för att hänvisa till att avsnitt 14 i 2018 års dataskyddslag innehåller skyddsåtgärder för registrerades rättigheter, friheter och berättigade intressen när behandlingen utförs enligt artikel 22.2 b i den brittiska dataskyddsförordningen. Detta gäller endast när grunden för ett sådant beslut är ett tillstånd eller ett krav enligt brittisk lag och inte om beslutet är nödvändigt enligt ett avtal eller med den registrerades uttryckliga samtycke. Om avsnitt 14 i 2018 års dataskyddslag är tillämpligt ska den personuppgiftsansvariga så snart det rimligen är praktiskt möjligt skriftligen underrätta den registrerade om att ett beslut har fattats enbart på grundval av automatiserad behandling. Den registrerade har rätt att begära att den personuppgiftsansvariga – inom en månad efter mottagandet av underrättelsen – ompröva beslutet eller att fatta ett nytt beslut som inte enbart grundar sig på automatiserad behandling. Den ansvariga ministern har befogenhet att anta ytterligare skyddsåtgärder när det gäller automatiserat beslutsfattande. Denna befogenhet har ännu inte utövats. |
| --- | --- |

(54)

Den registrerades rätt att inte bli föremål för ett beslut som enbart grundar sig på automatiserad behandling som har rättsliga följder för dem eller som på liknande sätt påverkar dem på ett betydande sätt i enlighet med artikel 22 i dataskyddsförordningen har också behållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar. En ny punkt 3A har dock lagts till för att hänvisa till att avsnitt 14 i 2018 års dataskyddslag innehåller skyddsåtgärder för registrerades rättigheter, friheter och berättigade intressen när behandlingen utförs enligt artikel 22.2 b i den brittiska dataskyddsförordningen. Detta gäller endast när grunden för ett sådant beslut är ett tillstånd eller ett krav enligt brittisk lag och inte om beslutet är nödvändigt enligt ett avtal eller med den registrerades uttryckliga samtycke. Om avsnitt 14 i 2018 års dataskyddslag är tillämpligt ska den personuppgiftsansvariga så snart det rimligen är praktiskt möjligt skriftligen underrätta den registrerade om att ett beslut har fattats enbart på grundval av automatiserad behandling. Den registrerade har rätt att begära att den personuppgiftsansvariga – inom en månad efter mottagandet av underrättelsen – ompröva beslutet eller att fatta ett nytt beslut som inte enbart grundar sig på automatiserad behandling. Den ansvariga ministern har befogenhet att anta ytterligare skyddsåtgärder när det gäller automatiserat beslutsfattande. Denna befogenhet har ännu inte utövats.

2.5.5.2   Begränsningar av individuella rättigheter och andra bestämmelser

Begränsningar av individuella rättigheter och andra bestämmelser

| (55) | 2018 års dataskyddslag innehåller flera begränsningar av individuella rättigheter som passar inom ramen för artikel 23 i den brittiska dataskyddsförordningen. Inga begränsningar införs inom denna ram när det gäller rätten att invända mot direkt marknadsföring enligt artikel 21.2 och 3 i den brittiska dataskyddsförordningen eller rätten att inte bli föremål för automatiserat beslutsfattande i enlighet med artikel 22 i den brittiska dataskyddsförordningen. |
| --- | --- |

(55)

2018 års dataskyddslag innehåller flera begränsningar av individuella rättigheter som passar inom ramen för artikel 23 i den brittiska dataskyddsförordningen. Inga begränsningar införs inom denna ram när det gäller rätten att invända mot direkt marknadsföring enligt artikel 21.2 och 3 i den brittiska dataskyddsförordningen eller rätten att inte bli föremål för automatiserat beslutsfattande i enlighet med artikel 22 i den brittiska dataskyddsförordningen.

| (56) | Begränsningarna beskrivs närmare i bilagorna 2–4 till 2018 års dataskyddslag. De brittiska myndigheterna har förklarat att de vägleds av principen om specificitet (en detaljerad strategi, uppdelning av breda begränsningar i flera, mer specifika bestämmelser) och principen om villkorlighet (varje bestämmelse kompletteras med skyddsåtgärder i form av begränsningar eller villkor för att förhindra missbruk) (45). |
| --- | --- |

(56)

Begränsningarna beskrivs närmare i bilagorna 2–4 till 2018 års dataskyddslag. De brittiska myndigheterna har förklarat att de vägleds av principen om specificitet (en detaljerad strategi, uppdelning av breda begränsningar i flera, mer specifika bestämmelser) och principen om villkorlighet (varje bestämmelse kompletteras med skyddsåtgärder i form av begränsningar eller villkor för att förhindra missbruk) (45).

45

| (57) | De begränsningar som beskrivs i artikel 23.1 i den brittiska dataskyddsförordningen är utformade för att säkerställa att de endast tillämpas under särskilda omständigheter när detta är nödvändigt i ett demokratiskt samhälle och står i proportion till det legitima mål som de eftersträvar. I enlighet med etablerad rättspraxis om tolkning av begränsningar kan dessutom ett undantag från ordningen för dataskydd endast tillämpas i varje enskilt fall om det är nödvändigt och proportionerligt för att göra det (46). Nödvändighetstestet ska vara ”strikt, vilket innebär att varje ingrepp i den registrerades rättigheter ska stå i proportion till hur allvarligt hotet mot allmänintresset är. Det handlar därför om en klassisk proportionalitetsanalys (47)”. |
| --- | --- |

(57)

De begränsningar som beskrivs i artikel 23.1 i den brittiska dataskyddsförordningen är utformade för att säkerställa att de endast tillämpas under särskilda omständigheter när detta är nödvändigt i ett demokratiskt samhälle och står i proportion till det legitima mål som de eftersträvar. I enlighet med etablerad rättspraxis om tolkning av begränsningar kan dessutom ett undantag från ordningen för dataskydd endast tillämpas i varje enskilt fall om det är nödvändigt och proportionerligt för att göra det (46). Nödvändighetstestet ska vara ”strikt, vilket innebär att varje ingrepp i den registrerades rättigheter ska stå i proportion till hur allvarligt hotet mot allmänintresset är. Det handlar därför om en klassisk proportionalitetsanalys (47)”.

46

47

| (58) | Syftet med dessa begränsningar motsvarar dem som förtecknas i artikel 23 i förordning (EU) 2016/679 med undantag för de begränsningar för nationell säkerhet och försvar som i stället regleras genom avsnitt 26 i 2018 års dataskyddslag men som omfattas av samma krav på nödvändighet och proportionalitet (se skälen 63–66). |
| --- | --- |

(58)

Syftet med dessa begränsningar motsvarar dem som förtecknas i artikel 23 i förordning (EU) 2016/679 med undantag för de begränsningar för nationell säkerhet och försvar som i stället regleras genom avsnitt 26 i 2018 års dataskyddslag men som omfattas av samma krav på nödvändighet och proportionalitet (se skälen 63–66).

| (59) | Vissa av begränsningarna, till exempel de som rör förebyggande eller avslöjande av brott, gripande eller lagföring av gärningsmän och fastställande eller uppbörd av skatter eller avgifter (48) tillåter begränsningar av alla individuella rättigheter och skyldigheter avseende insyn (med undantag för rättigheter enligt artikel 21.2 och artikel 22). Tillämpningsområdet för andra begränsningar är begränsat till skyldigheter avseende transparens och tillträdesrätt, till exempel begränsningar av advokatsekretessen (49), rätten till frihet från ett krav på att lämna information som skulle leda till självangivelse (50) och till företagsfinansiering, särskilt förhindrande av insiderhandel (51). Få av begränsningarna tillåter en begränsning av den personuppgiftsansvarigas skyldighet att informera den registrerade om ett personuppgiftsbrott och principerna om ändamålsbegränsning samt om laglighet, rättvisa och insyn i behandlingen (52). |
| --- | --- |

(59)

Vissa av begränsningarna, till exempel de som rör förebyggande eller avslöjande av brott, gripande eller lagföring av gärningsmän och fastställande eller uppbörd av skatter eller avgifter (48) tillåter begränsningar av alla individuella rättigheter och skyldigheter avseende insyn (med undantag för rättigheter enligt artikel 21.2 och artikel 22). Tillämpningsområdet för andra begränsningar är begränsat till skyldigheter avseende transparens och tillträdesrätt, till exempel begränsningar av advokatsekretessen (49), rätten till frihet från ett krav på att lämna information som skulle leda till självangivelse (50) och till företagsfinansiering, särskilt förhindrande av insiderhandel (51). Få av begränsningarna tillåter en begränsning av den personuppgiftsansvarigas skyldighet att informera den registrerade om ett personuppgiftsbrott och principerna om ändamålsbegränsning samt om laglighet, rättvisa och insyn i behandlingen (52).

48

49

50

51

52

| (60) | Vissa av begränsningarna gäller automatiskt ”i sin helhet” för en viss typ av behandling av personuppgifter (till exempel är tillämpningen av öppenhetsskyldigheter och individuella rättigheter utesluten när personuppgifter behandlas för att bedöma en persons lämplighet för domarämbetet eller personuppgifter behandlas av en domstol eller en enskild person som handlar i egenskap av en dömande myndighet). |
| --- | --- |

(60)

Vissa av begränsningarna gäller automatiskt ”i sin helhet” för en viss typ av behandling av personuppgifter (till exempel är tillämpningen av öppenhetsskyldigheter och individuella rättigheter utesluten när personuppgifter behandlas för att bedöma en persons lämplighet för domarämbetet eller personuppgifter behandlas av en domstol eller en enskild person som handlar i egenskap av en dömande myndighet).

| (61) | I de flesta fall anges dock i den relevanta punkten i tillägg 2 till 2018 års dataskyddslag att begränsningen endast gäller när (och i den mån) tillämpningen av bestämmelserna ”sannolikt skulle skada” det berättigade mål som eftersträvas med begränsningen och exempelvis är de angivna bestämmelserna i den brittiska dataskyddsförordningen inte tillämpliga på personuppgifter som behandlas för att förebygga eller upptäcka brott, gripa eller lagföra gärningsmän eller för att fastställa eller uppbära en skatt eller avgift ”i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada” någon av dessa frågor (53). |
| --- | --- |

(61)

I de flesta fall anges dock i den relevanta punkten i tillägg 2 till 2018 års dataskyddslag att begränsningen endast gäller när (och i den mån) tillämpningen av bestämmelserna ”sannolikt skulle skada” det berättigade mål som eftersträvas med begränsningen och exempelvis är de angivna bestämmelserna i den brittiska dataskyddsförordningen inte tillämpliga på personuppgifter som behandlas för att förebygga eller upptäcka brott, gripa eller lagföra gärningsmän eller för att fastställa eller uppbära en skatt eller avgift ”i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada” någon av dessa frågor (53).

53

| (62) | Normen ”sannolikt skulle skada” har konsekvent tolkats av brittiska domstolar som ”en mycket betydande och tungt vägande risk för skada för det identifierade allmänintresset” (54). En begränsning som omfattas av prövningen av konkret och faktisk skada kan därför endast åberopas om och i den mån det föreligger en mycket betydande och tungt vägande risk för att beviljandet av en viss rättighet skulle skada det berörda allmänintresset. Den personuppgiftsansvariga ansvarar för att från fall till fall bedöma om dessa villkor är uppfyllda (55). |
| --- | --- |

(62)

Normen ”sannolikt skulle skada” har konsekvent tolkats av brittiska domstolar som ”en mycket betydande och tungt vägande risk för skada för det identifierade allmänintresset” (54). En begränsning som omfattas av prövningen av konkret och faktisk skada kan därför endast åberopas om och i den mån det föreligger en mycket betydande och tungt vägande risk för att beviljandet av en viss rättighet skulle skada det berörda allmänintresset. Den personuppgiftsansvariga ansvarar för att från fall till fall bedöma om dessa villkor är uppfyllda (55).

54

55

| (63) | Utöver de begränsningar som anges i tillägg 2 till 2018 års dataskyddslag föreskrivs i avsnitt 26 i denna lag ett undantag som kan tillämpas på vissa bestämmelser i den brittiska dataskyddsförordningen och 2018 års dataskyddslag om detta undantag krävs för att skydda den nationella säkerheten eller för försvarsändamål. Detta undantag gäller dataskyddsprinciperna (med undantag för principen om laglighet), transparenskraven, den registrerades rättigheter, skyldigheten att anmäla ett uppgiftsbrott, regler om internationella överföringar, vissa av skyldigheter och befogenheter som the Information Commissioner har samt reglerna om rättsmedel, ansvar och påföljder, med undantag för bestämmelsen om de allmänna villkoren för åläggande av administrativa sanktionsavgifter i artikel 83 i den brittiska dataskyddsförordningen och bestämmelsen om påföljder i artikel 84 i den brittiska dataskyddsförordningen. Avsnitt 28 i 2018 års dataskyddslag ändrar dessutom tillämpningen av artikel 9.1 för att möjliggöra behandling av särskilda kategorier av uppgifter i artikel 9.1 i den brittiska dataskyddsförordningen i den mån behandlingen utförs för att skydda den nationella säkerheten eller för försvarsändamål och med lämpliga skyddsåtgärder för de registrerades rättigheter och friheter (56). |
| --- | --- |

(63)

Utöver de begränsningar som anges i tillägg 2 till 2018 års dataskyddslag föreskrivs i avsnitt 26 i denna lag ett undantag som kan tillämpas på vissa bestämmelser i den brittiska dataskyddsförordningen och 2018 års dataskyddslag om detta undantag krävs för att skydda den nationella säkerheten eller för försvarsändamål. Detta undantag gäller dataskyddsprinciperna (med undantag för principen om laglighet), transparenskraven, den registrerades rättigheter, skyldigheten att anmäla ett uppgiftsbrott, regler om internationella överföringar, vissa av skyldigheter och befogenheter som the Information Commissioner har samt reglerna om rättsmedel, ansvar och påföljder, med undantag för bestämmelsen om de allmänna villkoren för åläggande av administrativa sanktionsavgifter i artikel 83 i den brittiska dataskyddsförordningen och bestämmelsen om påföljder i artikel 84 i den brittiska dataskyddsförordningen. Avsnitt 28 i 2018 års dataskyddslag ändrar dessutom tillämpningen av artikel 9.1 för att möjliggöra behandling av särskilda kategorier av uppgifter i artikel 9.1 i den brittiska dataskyddsförordningen i den mån behandlingen utförs för att skydda den nationella säkerheten eller för försvarsändamål och med lämpliga skyddsåtgärder för de registrerades rättigheter och friheter (56).

the Information Commissioner

56

| (64) | Undantaget kan endast tillämpas i den mån det krävs för att skydda den nationella säkerheten eller försvaret. Precis som för de övriga undantag som föreskrivs i 2018 års dataskyddslag måste detta beaktas och åberopas av den personuppgiftsansvariga från fall till fall. Dessutom måste varje tillämpning av undantaget vara förenlig med människorättsnormer (med stöd av Human Rights Act 1998) enligt vilken varje ingrepp i rätten till integritet bör vara nödvändigt och proportionerligt i ett demokratiskt samhälle (57). |
| --- | --- |

(64)

Undantaget kan endast tillämpas i den mån det krävs för att skydda den nationella säkerheten eller försvaret. Precis som för de övriga undantag som föreskrivs i 2018 års dataskyddslag måste detta beaktas och åberopas av den personuppgiftsansvariga från fall till fall. Dessutom måste varje tillämpning av undantaget vara förenlig med människorättsnormer (med stöd av Human Rights Act 1998) enligt vilken varje ingrepp i rätten till integritet bör vara nödvändigt och proportionerligt i ett demokratiskt samhälle (57).

Human Rights Act 1998

57

| (65) | Denna tolkning av undantaget bekräftas av ICO, som har utfärdat detaljerad vägledning om tillämpningen av undantaget avseende nationell säkerhet och försvaret, och där det klargörs att den personuppgiftsansvariga måste överväga och tillämpa undantaget från fall till fall (58). I vägledningen betonas särskilt att ”[d]etta inte är ett generellt undantag” och att det för att åberopa undantaget ”inte är tillräckligt att uppgifterna behandlas för ändamål som rör nationell säkerhet”. Tvärtom måste personuppgiftsansvariga som åberopar undantaget ”visa att det finns en verklig risk för att den nationella säkerheten kan påverkas negativt”, och den personuppgiftsansvariga förväntas vid behov ”förse ICO med uppgifter som styrker [den personuppgiftsansvarigas] beslut att tillämpa detta undantag”. Vägledningen innehåller en checklista och ett antal exempel för att ytterligare klargöra villkoren för att åberopa detta undantag. |
| --- | --- |

(65)

Denna tolkning av undantaget bekräftas av ICO, som har utfärdat detaljerad vägledning om tillämpningen av undantaget avseende nationell säkerhet och försvaret, och där det klargörs att den personuppgiftsansvariga måste överväga och tillämpa undantaget från fall till fall (58). I vägledningen betonas särskilt att ”[d]etta inte är ett generellt undantag” och att det för att åberopa undantaget ”inte är tillräckligt att uppgifterna behandlas för ändamål som rör nationell säkerhet”. Tvärtom måste personuppgiftsansvariga som åberopar undantaget ”visa att det finns en verklig risk för att den nationella säkerheten kan påverkas negativt”, och den personuppgiftsansvariga förväntas vid behov ”förse ICO med uppgifter som styrker [den personuppgiftsansvarigas] beslut att tillämpa detta undantag”. Vägledningen innehåller en checklista och ett antal exempel för att ytterligare klargöra villkoren för att åberopa detta undantag.

58

| (66) | Det faktum att uppgifterna behandlas för ändamål som rör den nationella säkerheten eller försvaret är därför inte i sig tillräckligt för att undantaget ska kunna tillämpas. En personuppgiftsansvarig måste överväga de faktiska konsekvenserna för den nationella säkerheten om han eller hon måste följa den särskilda dataskyddsbestämmelsen. Undantaget kan endast tillämpas på de särskilda bestämmelser som har fastställts utgöra en risk och måste tillämpas så restriktivt som möjligt (59). |
| --- | --- |

(66)

Det faktum att uppgifterna behandlas för ändamål som rör den nationella säkerheten eller försvaret är därför inte i sig tillräckligt för att undantaget ska kunna tillämpas. En personuppgiftsansvarig måste överväga de faktiska konsekvenserna för den nationella säkerheten om han eller hon måste följa den särskilda dataskyddsbestämmelsen. Undantaget kan endast tillämpas på de särskilda bestämmelser som har fastställts utgöra en risk och måste tillämpas så restriktivt som möjligt (59).

59

| (67) | Detta synsätt har bekräftats av Information Tribunal (60). I målet Baker/Secretary of State for the Home Department (”Baker/Secretary of State”) fastställde tribunalen att det var olagligt att tillämpa undantaget för nationell säkerhet som ett generellt undantag för ansökningar om tillgång till handlingar som mottagits av underrättelsetjänsterna. I stället var det nödvändigt att tillämpa undantaget från fall till fall genom att undersöka varje begäran på grundval av sina egna meriter och med hänsyn till enskildas rätt till respekt för sitt privatliv (61). |
| --- | --- |

(67)

Detta synsätt har bekräftats av Information Tribunal (60). I målet Baker/Secretary of State for the Home Department (”Baker/Secretary of State”) fastställde tribunalen att det var olagligt att tillämpa undantaget för nationell säkerhet som ett generellt undantag för ansökningar om tillgång till handlingar som mottagits av underrättelsetjänsterna. I stället var det nödvändigt att tillämpa undantaget från fall till fall genom att undersöka varje begäran på grundval av sina egna meriter och med hänsyn till enskildas rätt till respekt för sitt privatliv (61).

60

61

2.5.6   Begränsningar för personuppgifter som behandlas för journalistiska, konstnärliga, akademiska och litterära ändamål samt för arkivering och forskning

Begränsningar för personuppgifter som behandlas för journalistiska, konstnärliga, akademiska och litterära ändamål samt för arkivering och forskning

| (68) | Enligt artikel 85.2 i den brittiska dataskyddsförordningen får personuppgifter som behandlas för journalistiska, konstnärliga, akademiska och litterära ändamål undantas från flera bestämmelser i den brittiska dataskyddsförordningen. I del 5 i tillägg 2 till 2018 års dataskyddslag anges undantagen för behandling för dessa ändamål. Det innehåller bestämmelser om undantag från dataskyddsprinciperna (med undantag för principen om integritet och konfidentialitet), de rättsliga grunderna för behandling (däribland särskilda kategorier av uppgifter och fällande domar i brottmål osv.), villkoren för samtycke, transparenskraven, de registrerades rättigheter, skyldigheten att anmäla personuppgiftsbrott, kravet på samråd med the Information Commissioner före behandling med hög risk och reglerna om internationella överföringar (62). I detta avseende avviker den brittiska dataskyddsförordningen inte i sak från förordning (EU) 2016/679 som i artikel 85 också föreskriver en möjlighet att undanta behandling som utförs för journalistiska ändamål eller för akademiska, konstnärliga eller litterära ändamål från ett antal krav i förordning (EU) 2016/679. Bestämmelserna i 2018 års dataskyddslag, särskilt tillägg 2 del 5, är förenliga med den brittiska dataskyddsförordningen. |
| --- | --- |

(68)

Enligt artikel 85.2 i den brittiska dataskyddsförordningen får personuppgifter som behandlas för journalistiska, konstnärliga, akademiska och litterära ändamål undantas från flera bestämmelser i den brittiska dataskyddsförordningen. I del 5 i tillägg 2 till 2018 års dataskyddslag anges undantagen för behandling för dessa ändamål. Det innehåller bestämmelser om undantag från dataskyddsprinciperna (med undantag för principen om integritet och konfidentialitet), de rättsliga grunderna för behandling (däribland särskilda kategorier av uppgifter och fällande domar i brottmål osv.), villkoren för samtycke, transparenskraven, de registrerades rättigheter, skyldigheten att anmäla personuppgiftsbrott, kravet på samråd med the Information Commissioner före behandling med hög risk och reglerna om internationella överföringar (62). I detta avseende avviker den brittiska dataskyddsförordningen inte i sak från förordning (EU) 2016/679 som i artikel 85 också föreskriver en möjlighet att undanta behandling som utförs för journalistiska ändamål eller för akademiska, konstnärliga eller litterära ändamål från ett antal krav i förordning (EU) 2016/679. Bestämmelserna i 2018 års dataskyddslag, särskilt tillägg 2 del 5, är förenliga med den brittiska dataskyddsförordningen.

the Information Commissioner

62

| (69) | Den centrala avvägning som ska göras enligt artikel 85 i den brittiska dataskyddsförordningen gäller huruvida ett undantag från de dataskyddsregler som nämns i skäl 68 är ”nödvändigt för att förena rätten till skydd av personuppgifter med yttrande- och informationsfriheten” (63). Enligt bilaga 2, punkterna 26.2 och 3 i 2018 års dataskyddslag, tillämpar Förenade kungariket ett skälighetstest för att uppnå denna balans. För att ett undantag ska vara motiverat måste den personuppgiftsansvariga rimligen tro i) att offentliggörandet ligger i allmänhetens intresse, och ii) att tillämpningen av den relevanta bestämmelsen i dataskyddsförordningen skulle vara oförenlig med journalistiska, akademiska, konstnärliga eller litterära ändamål. Enligt rättspraxis (64) har kriteriet om rimlig tro både en subjektiv och en objektiv komponent för det räcker inte för den personuppgiftsansvariga att visa att han eller hon själv trodde att kraven inte var uppfyllda. Hans eller hennes övertygelse måste vara rimlig, dvs. den kan antas av en förnuftig person som känner till relevanta fakta. Den personuppgiftsansvariga måste därför visa tillbörlig aktsamhet när han eller hon bildar sin tro för att kunna visa rimlighet. Enligt de förklaringar som lämnats av de brittiska myndigheterna måste skälighetstestet genomföras på grundval av undantag för varje enskilt fall (65). Om villkoren är uppfyllda anses undantaget vara nödvändigt och proportionerligt enligt Förenade kungarikets lagstiftning. |
| --- | --- |

(69)

Den centrala avvägning som ska göras enligt artikel 85 i den brittiska dataskyddsförordningen gäller huruvida ett undantag från de dataskyddsregler som nämns i skäl 68 är ”nödvändigt för att förena rätten till skydd av personuppgifter med yttrande- och informationsfriheten” (63). Enligt bilaga 2, punkterna 26.2 och 3 i 2018 års dataskyddslag, tillämpar Förenade kungariket ett skälighetstest för att uppnå denna balans. För att ett undantag ska vara motiverat måste den personuppgiftsansvariga rimligen tro i) att offentliggörandet ligger i allmänhetens intresse, och ii) att tillämpningen av den relevanta bestämmelsen i dataskyddsförordningen skulle vara oförenlig med journalistiska, akademiska, konstnärliga eller litterära ändamål. Enligt rättspraxis (64) har kriteriet om rimlig tro både en subjektiv och en objektiv komponent för det räcker inte för den personuppgiftsansvariga att visa att han eller hon själv trodde att kraven inte var uppfyllda. Hans eller hennes övertygelse måste vara rimlig, dvs. den kan antas av en förnuftig person som känner till relevanta fakta. Den personuppgiftsansvariga måste därför visa tillbörlig aktsamhet när han eller hon bildar sin tro för att kunna visa rimlighet. Enligt de förklaringar som lämnats av de brittiska myndigheterna måste skälighetstestet genomföras på grundval av undantag för varje enskilt fall (65). Om villkoren är uppfyllda anses undantaget vara nödvändigt och proportionerligt enligt Förenade kungarikets lagstiftning.

63

64

65

| (70) | Enligt avsnitt 124 i 2018 års dataskyddslag ska ICO utarbeta en uppförandekod om dataskydd och journalistik. Arbetet med denna kod pågår. Vägledning i frågan har utfärdats enligt dataskyddslagen från 1998 där det särskilt betonas att det för att åberopa detta undantag inte räcker att endast ange att efterlevnad skulle vara en olägenhet för journalisternas verksamhet utan det måste finnas ett tydligt argument för att bestämmelsen i fråga utgör ett hinder för ansvarsfull journalistik (66). Vägledning om tillämpningen av prövningen av allmänintresset och avvägningen mellan allmänintresset och en enskilds intresse av personlig integritet har också offentliggjorts av Förenade kungarikets tillsynsmyndighet för telekommunikation OFCOM och BBC i dess redaktionella riktlinjer (67). I riktlinjerna ges särskilt exempel på information som kan anses ligga i allmänhetens intresse och behovet av att kunna visa att allmänintresset väger tyngre än rätten till integritet under de särskilda omständigheterna i fallet förklaras. |
| --- | --- |

(70)

Enligt avsnitt 124 i 2018 års dataskyddslag ska ICO utarbeta en uppförandekod om dataskydd och journalistik. Arbetet med denna kod pågår. Vägledning i frågan har utfärdats enligt dataskyddslagen från 1998 där det särskilt betonas att det för att åberopa detta undantag inte räcker att endast ange att efterlevnad skulle vara en olägenhet för journalisternas verksamhet utan det måste finnas ett tydligt argument för att bestämmelsen i fråga utgör ett hinder för ansvarsfull journalistik (66). Vägledning om tillämpningen av prövningen av allmänintresset och avvägningen mellan allmänintresset och en enskilds intresse av personlig integritet har också offentliggjorts av Förenade kungarikets tillsynsmyndighet för telekommunikation OFCOM och BBC i dess redaktionella riktlinjer (67). I riktlinjerna ges särskilt exempel på information som kan anses ligga i allmänhetens intresse och behovet av att kunna visa att allmänintresset väger tyngre än rätten till integritet under de särskilda omständigheterna i fallet förklaras.

66

67

| (71) | I likhet med vad som föreskrivs i artikel 89 i dataskyddsförordningen kan personuppgifter som behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål också undantas från ett antal förtecknade bestämmelser i den brittiska dataskyddsförordningen (68). Beträffande forskning och statistik är det möjligt att göra undantag från bestämmelserna i den brittiska dataskyddsförordningen vad gäller bekräftelse av behandling och tillgång till uppgifter och skyddsåtgärder för överföringar från tredjeland, rätt till rättelse, begränsning av behandling och invändningar mot behandling. När det gäller arkivering i allmänhetens intresse är det också möjligt att göra undantag från anmälningsskyldigheten när det gäller rättelse eller radering av personuppgifter eller begränsning av behandling och rätten till dataportabilitet. |
| --- | --- |

(71)

I likhet med vad som föreskrivs i artikel 89 i dataskyddsförordningen kan personuppgifter som behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål också undantas från ett antal förtecknade bestämmelser i den brittiska dataskyddsförordningen (68). Beträffande forskning och statistik är det möjligt att göra undantag från bestämmelserna i den brittiska dataskyddsförordningen vad gäller bekräftelse av behandling och tillgång till uppgifter och skyddsåtgärder för överföringar från tredjeland, rätt till rättelse, begränsning av behandling och invändningar mot behandling. När det gäller arkivering i allmänhetens intresse är det också möjligt att göra undantag från anmälningsskyldigheten när det gäller rättelse eller radering av personuppgifter eller begränsning av behandling och rätten till dataportabilitet.

68

| (72) | Enligt punkterna 27.1 och 28.1 i tillägg 2 till 2018 års dataskyddslag är undantag från de förtecknade bestämmelserna i den brittiska dataskyddsförordningen möjliga om tillämpningen av bestämmelserna skulle ”hindra eller allvarligt försämra uppnåendet” av ändamålen i fråga (69). |
| --- | --- |

(72)

Enligt punkterna 27.1 och 28.1 i tillägg 2 till 2018 års dataskyddslag är undantag från de förtecknade bestämmelserna i den brittiska dataskyddsförordningen möjliga om tillämpningen av bestämmelserna skulle ”hindra eller allvarligt försämra uppnåendet” av ändamålen i fråga (69).

69

| (73) | Med tanke på deras relevans för ett effektivt utövande av individuella rättigheter kommer all relevant utveckling när det gäller tolkning och tillämpning av de ovannämnda undantagen i praktiken (utöver undantaget om upprätthållande av en ändamålsenlig invandringskontroll såsom förklaras i skäl 6), inklusive ytterligare utveckling av rättspraxis samt vägledning och verkställande åtgärder från ICO, vederbörligen beaktas i samband med den fortlöpande övervakningen av detta beslut (70). |
| --- | --- |

(73)

Med tanke på deras relevans för ett effektivt utövande av individuella rättigheter kommer all relevant utveckling när det gäller tolkning och tillämpning av de ovannämnda undantagen i praktiken (utöver undantaget om upprätthållande av en ändamålsenlig invandringskontroll såsom förklaras i skäl 6), inklusive ytterligare utveckling av rättspraxis samt vägledning och verkställande åtgärder från ICO, vederbörligen beaktas i samband med den fortlöpande övervakningen av detta beslut (70).

70

2.5.7   Begränsningar av vidare överföringar

Begränsningar av vidare överföringar

| (74) | Den skyddsnivå som ges för personuppgifter som överförs från Europeiska unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket får inte undergrävas av vidare överföring av sådana uppgifter till mottagare i ett tredjeland. Sådana ”vidare överföringar” som ur den personuppgiftsansvarigas eller personuppgiftsbiträdets synvinkel utgör internationella överföringar från Förenade kungariket bör endast tillåtas om den ytterligare mottagaren utanför Förenade kungariket själv omfattas av regler som säkerställer en skyddsnivå som liknar den som garanteras i Förenade kungarikets rättsordning. Därför är tillämpningen av bestämmelserna i den brittiska dataskyddsförordningen och 2018 års dataskyddslag på internationella överföringar av personuppgifter en viktig faktor för att säkerställa kontinuiteten i skyddet när det gäller personuppgifter som överförs från Europeiska unionen till Förenade kungariket enligt detta beslut. |
| --- | --- |

(74)

Den skyddsnivå som ges för personuppgifter som överförs från Europeiska unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket får inte undergrävas av vidare överföring av sådana uppgifter till mottagare i ett tredjeland. Sådana ”vidare överföringar” som ur den personuppgiftsansvarigas eller personuppgiftsbiträdets synvinkel utgör internationella överföringar från Förenade kungariket bör endast tillåtas om den ytterligare mottagaren utanför Förenade kungariket själv omfattas av regler som säkerställer en skyddsnivå som liknar den som garanteras i Förenade kungarikets rättsordning. Därför är tillämpningen av bestämmelserna i den brittiska dataskyddsförordningen och 2018 års dataskyddslag på internationella överföringar av personuppgifter en viktig faktor för att säkerställa kontinuiteten i skyddet när det gäller personuppgifter som överförs från Europeiska unionen till Förenade kungariket enligt detta beslut.

| (75) | Ordningen för internationella överföringar av personuppgifter från Förenade kungariket fastställs i artiklarna 44–49 i den brittiska dataskyddsförordningen, kompletterad av 2018 års dataskyddslag, och är i sak identisk med de bestämmelser som fastställs i kapitel V i förordning (EU) 2016/679 (71). Överföring av personuppgifter till ett tredjeland eller en internationell organisation kan endast ske på grundval av förordningar om adekvat skyddsnivå (Förenade kungariket motsvarar ett beslut om adekvat skyddsnivå enligt förordning (EU) 2016/679), eller i avsaknad av förordningar om adekvat skyddsnivå, om den personuppgiftsansvariga eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder i enlighet med artikel 46 i den brittiska dataskyddsförordningen. I avsaknad av förordningar om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan en överföring endast ske på grundval av de undantag som anges i artikel 49 i den brittiska dataskyddsförordningen. |
| --- | --- |

(75)

Ordningen för internationella överföringar av personuppgifter från Förenade kungariket fastställs i artiklarna 44–49 i den brittiska dataskyddsförordningen, kompletterad av 2018 års dataskyddslag, och är i sak identisk med de bestämmelser som fastställs i kapitel V i förordning (EU) 2016/679 (71). Överföring av personuppgifter till ett tredjeland eller en internationell organisation kan endast ske på grundval av förordningar om adekvat skyddsnivå (Förenade kungariket motsvarar ett beslut om adekvat skyddsnivå enligt förordning (EU) 2016/679), eller i avsaknad av förordningar om adekvat skyddsnivå, om den personuppgiftsansvariga eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder i enlighet med artikel 46 i den brittiska dataskyddsförordningen. I avsaknad av förordningar om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan en överföring endast ske på grundval av de undantag som anges i artikel 49 i den brittiska dataskyddsförordningen.

71

| (76) | I de bestämmelser om adekvat skyddsnivå som utfärdas av den ansvariga ministern kan det föreskrivas att ett tredjeland (eller ett territorium eller en sektor inom ett tredjeland), en internationell organisation eller en beskrivning (72) av ett sådant land, territorium, sektor eller organisation säkerställer en adekvat skyddsnivå för personuppgifter. Vid bedömningen av om skyddsnivån är adekvat måste den ansvarige ministern beakta samma faktorer som kommissionen är skyldig att bedöma enligt artikel 45.2 a-c i förordning (EU) 2016/679, tolkad tillsammans med skäl 104 i förordning (EU) 2016/679 och bibehållen EU-rättspraxis. Detta innebär att vid bedömningen av en adekvat skyddsnivå i ett tredjeland kommer den relevanta normen att vara huruvida det berörda tredjelandet säkerställer en skyddsnivå som ”i allt väsentligt är likvärdig” med den som garanteras i Förenade kungariket. |
| --- | --- |

(76)

I de bestämmelser om adekvat skyddsnivå som utfärdas av den ansvariga ministern kan det föreskrivas att ett tredjeland (eller ett territorium eller en sektor inom ett tredjeland), en internationell organisation eller en beskrivning (72) av ett sådant land, territorium, sektor eller organisation säkerställer en adekvat skyddsnivå för personuppgifter. Vid bedömningen av om skyddsnivån är adekvat måste den ansvarige ministern beakta samma faktorer som kommissionen är skyldig att bedöma enligt artikel 45.2 a-c i förordning (EU) 2016/679, tolkad tillsammans med skäl 104 i förordning (EU) 2016/679 och bibehållen EU-rättspraxis. Detta innebär att vid bedömningen av en adekvat skyddsnivå i ett tredjeland kommer den relevanta normen att vara huruvida det berörda tredjelandet säkerställer en skyddsnivå som ”i allt väsentligt är likvärdig” med den som garanteras i Förenade kungariket.

72

| (77) | När det gäller förfarandet omfattas förordningar om adekvat skyddsnivå av de ”allmänna” formföreskrifter som anges i avsnitt 182 i 2018 års dataskyddslag. Enligt detta förfarande måste den ansvarige ministern samråda med the Information Commissioner vid förslag om antagande av brittiska förordningar om adekvat skyddsnivå ska antas (73). När dessa förordningar har antagits av den ansvarige ministern läggs de fram inför parlamentet och omfattas av förfarandet för ”negativ resolution” enligt vilket båda kamrarna kan granska förordningarna och kunna anta ett förslag om ogiltigförklaring av förordningarna inom en 40-dagarsperiod (74). |
| --- | --- |

(77)

När det gäller förfarandet omfattas förordningar om adekvat skyddsnivå av de ”allmänna” formföreskrifter som anges i avsnitt 182 i 2018 års dataskyddslag. Enligt detta förfarande måste den ansvarige ministern samråda med the Information Commissioner vid förslag om antagande av brittiska förordningar om adekvat skyddsnivå ska antas (73). När dessa förordningar har antagits av den ansvarige ministern läggs de fram inför parlamentet och omfattas av förfarandet för ”negativ resolution” enligt vilket båda kamrarna kan granska förordningarna och kunna anta ett förslag om ogiltigförklaring av förordningarna inom en 40-dagarsperiod (74).

the Information Commissioner

73

74

| (78) | Enligt avsnitt 17B.1 i 2018 års dataskyddslag ska bestämmelserna om adekvat skyddsnivå ses över med högst fyra års mellanrum och ministern ska fortlöpande övervaka utvecklingen i tredjeländer och internationella organisationer som skulle kunna påverka beslut om att utfärda föreskrifter om adekvat skyddsnivå eller att ändra eller upphäva sådana föreskrifter. Om ministern får kännedom om att ett visst land eller en angiven organisation inte längre säkerställer en adekvat skyddsnivå för personuppgifter ska han eller hon, i den utsträckning det är nödvändigt, ändra eller upphäva föreskrifterna och inleda samråd med det berörda tredjelandet eller den berörda internationella organisationen för att avhjälpa bristen på en adekvat skyddsnivå. Dessa förfarandefrågor återspeglar också motsvarande krav i förordning (EU) 2016/679. |
| --- | --- |

(78)

Enligt avsnitt 17B.1 i 2018 års dataskyddslag ska bestämmelserna om adekvat skyddsnivå ses över med högst fyra års mellanrum och ministern ska fortlöpande övervaka utvecklingen i tredjeländer och internationella organisationer som skulle kunna påverka beslut om att utfärda föreskrifter om adekvat skyddsnivå eller att ändra eller upphäva sådana föreskrifter. Om ministern får kännedom om att ett visst land eller en angiven organisation inte längre säkerställer en adekvat skyddsnivå för personuppgifter ska han eller hon, i den utsträckning det är nödvändigt, ändra eller upphäva föreskrifterna och inleda samråd med det berörda tredjelandet eller den berörda internationella organisationen för att avhjälpa bristen på en adekvat skyddsnivå. Dessa förfarandefrågor återspeglar också motsvarande krav i förordning (EU) 2016/679.

| (79) | I avsaknad av förordningar om adekvat skyddsnivå kan internationella överföringar äga rum där den personuppgiftsansvariga eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder i enlighet med artikel 46 i den brittiska dataskyddsförordningen. Dessa skyddsåtgärder liknar dem i artikel 46 i förordning (EU) 2016/679. De omfattar rättsligt bindande och verkställbara instrument mellan myndigheter eller organ, bindande företagsregler (75), standardiserade dataskyddsbestämmelser, godkända uppförandekoder, godkända certifieringsmekanismer och med tillstånd från the Information Commissioner, avtalsklausuler mellan personuppgiftsansvariga (eller personuppgiftsbiträden) eller administrativa överenskommelser mellan myndigheter. Bestämmelserna har dock ändrats ur förfarandemässig synvinkel för att fungera inom ramen för Förenade kungariket och i synnerhet kan standardklausulerna om dataskydd antas av ministern (avsnitt 17C) eller the Information Commissioner (avsnitt 119A) i enlighet med 2018 års dataskyddslag. |
| --- | --- |

(79)

I avsaknad av förordningar om adekvat skyddsnivå kan internationella överföringar äga rum där den personuppgiftsansvariga eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder i enlighet med artikel 46 i den brittiska dataskyddsförordningen. Dessa skyddsåtgärder liknar dem i artikel 46 i förordning (EU) 2016/679. De omfattar rättsligt bindande och verkställbara instrument mellan myndigheter eller organ, bindande företagsregler (75), standardiserade dataskyddsbestämmelser, godkända uppförandekoder, godkända certifieringsmekanismer och med tillstånd från the Information Commissioner, avtalsklausuler mellan personuppgiftsansvariga (eller personuppgiftsbiträden) eller administrativa överenskommelser mellan myndigheter. Bestämmelserna har dock ändrats ur förfarandemässig synvinkel för att fungera inom ramen för Förenade kungariket och i synnerhet kan standardklausulerna om dataskydd antas av ministern (avsnitt 17C) eller the Information Commissioner (avsnitt 119A) i enlighet med 2018 års dataskyddslag.

75

the Information Commissioner

the Information Commissioner

| (80) | I avsaknad av ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan en överföring endast ske på grundval av de undantag som anges i artikel 49 i den brittiska dataskyddsförordningen (76). Den brittiska dataskyddsförordningen innebär inga väsentliga ändringar av undantagen jämfört med motsvarande regler i förordning (EU) 2016/679. Enligt den brittiska dataskyddsförordningen, liksom enligt förordning (EU) 2016/679, kan vissa undantag endast åberopas om överföringen sker tillfälligt (77). Dessutom klargör ICO följande i sin vägledning om internationella överföringar: ”Ni bör endast använda dessa som verkliga ’undantag’ från den allmänna regeln att ni inte bör göra en begränsad överföring om den inte omfattas av ett beslut om adekvat skyddsnivå eller om det finns lämpliga skyddsåtgärder” (78). När det gäller överföringar som är nödvändiga av viktiga skäl av allmänt intresse (artikel 49.1 d) kan ministern utfärda förordningar för att specificera under vilka omständigheter en överföring av personuppgifter till ett tredjeland eller en internationell organisation är nödvändig eller inte är nödvändig av viktiga skäl av allmänt intresse. Dessutom kan ministern genom förordningar begränsa överföringen av en kategori personuppgifter till ett tredjeland eller en internationell organisation om överföringen inte kan ske på grundval av bestämmelser om adekvat skyddsnivå och den ansvariga ministern anser att begränsningen är nödvändig av viktiga skäl av allmänt intresse. Hittills har inga sådana förordningar antagits. |
| --- | --- |

(80)

I avsaknad av ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan en överföring endast ske på grundval av de undantag som anges i artikel 49 i den brittiska dataskyddsförordningen (76). Den brittiska dataskyddsförordningen innebär inga väsentliga ändringar av undantagen jämfört med motsvarande regler i förordning (EU) 2016/679. Enligt den brittiska dataskyddsförordningen, liksom enligt förordning (EU) 2016/679, kan vissa undantag endast åberopas om överföringen sker tillfälligt (77). Dessutom klargör ICO följande i sin vägledning om internationella överföringar: ”Ni bör endast använda dessa som verkliga ’undantag’ från den allmänna regeln att ni inte bör göra en begränsad överföring om den inte omfattas av ett beslut om adekvat skyddsnivå eller om det finns lämpliga skyddsåtgärder” (78). När det gäller överföringar som är nödvändiga av viktiga skäl av allmänt intresse (artikel 49.1 d) kan ministern utfärda förordningar för att specificera under vilka omständigheter en överföring av personuppgifter till ett tredjeland eller en internationell organisation är nödvändig eller inte är nödvändig av viktiga skäl av allmänt intresse. Dessutom kan ministern genom förordningar begränsa överföringen av en kategori personuppgifter till ett tredjeland eller en internationell organisation om överföringen inte kan ske på grundval av bestämmelser om adekvat skyddsnivå och den ansvariga ministern anser att begränsningen är nödvändig av viktiga skäl av allmänt intresse. Hittills har inga sådana förordningar antagits.

76

77

78

| (81) | Denna ram för internationella överföringar har blivit tillämplig i slutet av övergångsperioden (79). I punkt 4 i tillägg 21 till 2018 års dataskyddslag (införd genom DPPEC Regulations) föreskrivs emellertid att vissa överföringar av personuppgifter från och med övergångsperiodens utgång behandlas som om de grundar sig på förordningar om adekvat skyddsnivå. Dessa överföringar omfattar överföringar till en EES-stat, territoriet Gibraltar, en unionsinstitution, ett unionsorgan eller en unionsbyrå som inrättats av eller på grundval av EU-fördraget och tredjeländer som var föremål för ett EU-beslut om adekvat skyddsnivå vid övergångsperiodens utgång. Följaktligen kan överföringarna till dessa länder fortsätta som före Förenade kungarikets utträde ur EU. Efter övergångsperiodens utgång måste ministern under en fyraårsperiod, dvs. före utgången av december 2024, göra en översyn av dessa konstateranden om adekvat skyddsnivå. Enligt den förklaring som lämnats av de brittiska myndigheterna innehåller övergångsbestämmelserna inte någon bestämmelse om tidsbegränsning, även om den ansvariga ministern måste göra en sådan översyn senast i slutet av december 2024, och de relevanta övergångsbestämmelserna kommer inte automatiskt att upphöra att gälla om en översyn inte är slutförd i slutet av december 2024. |
| --- | --- |

(81)

Denna ram för internationella överföringar har blivit tillämplig i slutet av övergångsperioden (79). I punkt 4 i tillägg 21 till 2018 års dataskyddslag (införd genom DPPEC Regulations) föreskrivs emellertid att vissa överföringar av personuppgifter från och med övergångsperiodens utgång behandlas som om de grundar sig på förordningar om adekvat skyddsnivå. Dessa överföringar omfattar överföringar till en EES-stat, territoriet Gibraltar, en unionsinstitution, ett unionsorgan eller en unionsbyrå som inrättats av eller på grundval av EU-fördraget och tredjeländer som var föremål för ett EU-beslut om adekvat skyddsnivå vid övergångsperiodens utgång. Följaktligen kan överföringarna till dessa länder fortsätta som före Förenade kungarikets utträde ur EU. Efter övergångsperiodens utgång måste ministern under en fyraårsperiod, dvs. före utgången av december 2024, göra en översyn av dessa konstateranden om adekvat skyddsnivå. Enligt den förklaring som lämnats av de brittiska myndigheterna innehåller övergångsbestämmelserna inte någon bestämmelse om tidsbegränsning, även om den ansvariga ministern måste göra en sådan översyn senast i slutet av december 2024, och de relevanta övergångsbestämmelserna kommer inte automatiskt att upphöra att gälla om en översyn inte är slutförd i slutet av december 2024.

79

| (82) | Vad gäller den framtida utvecklingen av det brittiska systemet för internationella överföringar – genom antagandet av de nya bestämmelserna om adekvat skyddsnivå, ingåendet av internationella avtal eller utveckling av andra överföringsmekanismer – kommer kommissionen noga övervaka situationen, bedöma om de olika överföringsmekanismerna används på ett sätt som säkerställer fortsatt skydd och, vid behov, vidta lämpliga åtgärder för att hantera eventuella negativa verkningar för ett sådant fortsatt skydd (se skälen 278–287). Eftersom EU och Förenade kungariket har liknande regler för internationella överföringar förväntas problematiska avvikelser även kunna undvikas genom samarbete, informationsutbyte och erfarenhetsutbyte, bland annat mellan ICO och Europeiska dataskyddsstyrelsen. |
| --- | --- |

(82)

Vad gäller den framtida utvecklingen av det brittiska systemet för internationella överföringar – genom antagandet av de nya bestämmelserna om adekvat skyddsnivå, ingåendet av internationella avtal eller utveckling av andra överföringsmekanismer – kommer kommissionen noga övervaka situationen, bedöma om de olika överföringsmekanismerna används på ett sätt som säkerställer fortsatt skydd och, vid behov, vidta lämpliga åtgärder för att hantera eventuella negativa verkningar för ett sådant fortsatt skydd (se skälen 278–287). Eftersom EU och Förenade kungariket har liknande regler för internationella överföringar förväntas problematiska avvikelser även kunna undvikas genom samarbete, informationsutbyte och erfarenhetsutbyte, bland annat mellan ICO och Europeiska dataskyddsstyrelsen.

2.5.8   Ansvarsskyldighet

Ansvarsskyldighet

| (83) | Enligt principen om ansvarsskyldighet är enheter som behandlar uppgifter skyldiga att införa lämpliga tekniska och organisatoriska åtgärder för att effektivt fullgöra sina skyldigheter att skydda uppgifter och kunna uppvisa sådan överensstämmelse, särskilt för den behöriga tillsynsmyndigheten. |
| --- | --- |

(83)

Enligt principen om ansvarsskyldighet är enheter som behandlar uppgifter skyldiga att införa lämpliga tekniska och organisatoriska åtgärder för att effektivt fullgöra sina skyldigheter att skydda uppgifter och kunna uppvisa sådan överensstämmelse, särskilt för den behöriga tillsynsmyndigheten.

| (84) | Principen om ansvarsskyldighet i förordning (EU) 2016/679 har behållits i artikel 5.2 i den brittiska dataskyddsförordningen utan någon väsentlig ändring och detsamma gäller artikel 24 om den personuppgiftsansvarigas ansvar, artikel 25 om inbyggt dataskydd, dataskydd som standard och artikel 30 om register över behandlingsverksamhet. Artiklarna 35 och 36 om konsekvensbedömning avseende dataskydd och föregående samråd med tillsynsmyndigheten har också behållits. Artiklarna 37–39 i förordning (EU) 2016/679 om att utse dataskyddsombud och dataskyddsombudens uppgifter har behållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar. Dessutom har bestämmelserna i artiklarna 40 och 42 i förordning (EU) 2016/679 om uppförandekoder och certifiering behållits i den brittiska dataskyddsförordningen (80). |
| --- | --- |

(84)

Principen om ansvarsskyldighet i förordning (EU) 2016/679 har behållits i artikel 5.2 i den brittiska dataskyddsförordningen utan någon väsentlig ändring och detsamma gäller artikel 24 om den personuppgiftsansvarigas ansvar, artikel 25 om inbyggt dataskydd, dataskydd som standard och artikel 30 om register över behandlingsverksamhet. Artiklarna 35 och 36 om konsekvensbedömning avseende dataskydd och föregående samråd med tillsynsmyndigheten har också behållits. Artiklarna 37–39 i förordning (EU) 2016/679 om att utse dataskyddsombud och dataskyddsombudens uppgifter har behållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar. Dessutom har bestämmelserna i artiklarna 40 och 42 i förordning (EU) 2016/679 om uppförandekoder och certifiering behållits i den brittiska dataskyddsförordningen (80).

80

2.6   Tillsyn och efterlevnad

Tillsyn och efterlevnad

2.6.1   Oberoende tillsyn

Oberoende tillsyn

| (85) | För att säkerställa att en adekvat dataskyddsnivå garanteras i praktiken bör det finnas en oberoende tillsynsmyndighet med befogenhet att övervaka och verkställa efterlevnaden av dataskyddsbestämmelserna. Denna myndighet bör agera helt oavhängigt och opartiskt vid fullgörandet av sina skyldigheter och utövandet av sina befogenheter. |
| --- | --- |

(85)

För att säkerställa att en adekvat dataskyddsnivå garanteras i praktiken bör det finnas en oberoende tillsynsmyndighet med befogenhet att övervaka och verkställa efterlevnaden av dataskyddsbestämmelserna. Denna myndighet bör agera helt oavhängigt och opartiskt vid fullgörandet av sina skyldigheter och utövandet av sina befogenheter.

| (86) | I Förenade kungariket övervakas och verkställs efterlevnaden av den brittiska dataskyddsförordningen och 2018 års dataskyddslag av the Information Commissioner. The Information Commissioner är en ”Corporation Sole”, en separat juridisk person som består av en enda person. The Information Commissioner bistås i sitt arbete av ett kontor. Den 31 mars 2020 hade ICO 768 fast anställda (81). Uppdragsgivande ministerium för the Information Commissioner är ministeriet för digitala frågor, kultur, media och idrott (82). |
| --- | --- |

(86)

I Förenade kungariket övervakas och verkställs efterlevnaden av den brittiska dataskyddsförordningen och 2018 års dataskyddslag av the Information Commissioner. The Information Commissioner är en ”Corporation Sole”, en separat juridisk person som består av en enda person. The Information Commissioner bistås i sitt arbete av ett kontor. Den 31 mars 2020 hade ICO 768 fast anställda (81). Uppdragsgivande ministerium för the Information Commissioner är ministeriet för digitala frågor, kultur, media och idrott (82).

the Information Commissioner

The Information Commissioner

The Information Commissioner

81

the Information Commissioner

82

| (87) | Att the Commissioner är oberoende fastställs uttryckligen i artikel 52 i den brittiska dataskyddsförordningen som inte innebär några väsentliga ändringar av artikel 52.1–3 i dataskyddsförordningen. The Commissioner måste agera fullständigt oberoende vid utförandet av sina uppgifter och utöva sina befogenheter i enlighet med den brittiska dataskyddsförordningen, vara fri från yttre påverkan, direkt eller indirekt, i förhållande till dessa uppgifter och befogenheter och varken begära eller ta emot instruktioner från någon. The Commissioner ska också avhålla sig från varje handling som är oförenlig med hans eller hennes uppdrag och får inte utöva någon avlönad eller oavlönad yrkesverksamhet under tiden som han eller hon innehar sitt ämbete. |
| --- | --- |

(87)

Att the Commissioner är oberoende fastställs uttryckligen i artikel 52 i den brittiska dataskyddsförordningen som inte innebär några väsentliga ändringar av artikel 52.1–3 i dataskyddsförordningen. The Commissioner måste agera fullständigt oberoende vid utförandet av sina uppgifter och utöva sina befogenheter i enlighet med den brittiska dataskyddsförordningen, vara fri från yttre påverkan, direkt eller indirekt, i förhållande till dessa uppgifter och befogenheter och varken begära eller ta emot instruktioner från någon. The Commissioner ska också avhålla sig från varje handling som är oförenlig med hans eller hennes uppdrag och får inte utöva någon avlönad eller oavlönad yrkesverksamhet under tiden som han eller hon innehar sitt ämbete.

the Commissioner

The Commissioner

The Commissioner

| (88) | Villkoren för utnämning och avsättning av the Information Commissioner anges i bilaga 12 till 2018 års dataskyddslag. The Information Commissioner utses av drottningen på rekommendation av regeringen i enlighet med ett rättvist och öppet uttagningsförfarande. Den sökande måste ha lämpliga kvalifikationer, färdigheter och kompetenser. I enlighet med förvaltningskodexen om offentliga utnämningar (83) upprättas en förteckning över kandidater som kan utnämnas av en rådgivande utvärderingspanel. Innan ministern vid ministeriet för digitala frågor, kultur, media och idrott slutför sitt beslut måste det berörda särskilda utskottet i parlamentet genomföra en kontroll före utnämningen. Kommitténs ståndpunkt offentliggörs (84). |
| --- | --- |

(88)

Villkoren för utnämning och avsättning av the Information Commissioner anges i bilaga 12 till 2018 års dataskyddslag. The Information Commissioner utses av drottningen på rekommendation av regeringen i enlighet med ett rättvist och öppet uttagningsförfarande. Den sökande måste ha lämpliga kvalifikationer, färdigheter och kompetenser. I enlighet med förvaltningskodexen om offentliga utnämningar (83) upprättas en förteckning över kandidater som kan utnämnas av en rådgivande utvärderingspanel. Innan ministern vid ministeriet för digitala frågor, kultur, media och idrott slutför sitt beslut måste det berörda särskilda utskottet i parlamentet genomföra en kontroll före utnämningen. Kommitténs ståndpunkt offentliggörs (84).

the Information Commissioner

The Information Commissioner

83

84

| (89) | The Information Commissioner har en mandatperiod på upp till sju år. En person kan inte utses till Information Commissioner mer än en gång. The Information Commissioner kan avsättas av drottningen efter en address från båda kamrarna i parlamentet (85). Ingen begäran om entledigande av the Information Commissioner kan lämnas in till någon av parlamentets kammare om inte en minister har lagt fram en rapport som visar att han eller hon är övertygad om att the Information Commissioner gjort sig skyldig till allvarlig försummelse och/eller inte längre uppfyller de villkor som krävs för att kunna fullgöra sina uppgifter (86). |
| --- | --- |

(89)

The Information Commissioner har en mandatperiod på upp till sju år. En person kan inte utses till Information Commissioner mer än en gång. The Information Commissioner kan avsättas av drottningen efter en address från båda kamrarna i parlamentet (85). Ingen begäran om entledigande av the Information Commissioner kan lämnas in till någon av parlamentets kammare om inte en minister har lagt fram en rapport som visar att han eller hon är övertygad om att the Information Commissioner gjort sig skyldig till allvarlig försummelse och/eller inte längre uppfyller de villkor som krävs för att kunna fullgöra sina uppgifter (86).

The Information Commissioner

Information Commissioner

The Information Commissioner

address

85

the Information Commissioner

the Information Commissioner

86

| (90) | Finansieringen av the Information Commissioner kommer från följande tre källor: i) Avgifter för dataskydd som betalas av personuppgiftsansvariga, som fastställs i den ansvarige ministerns föreskrifter (87) (Data Protection (Charges and Information) Regulations 2018) och uppgår till 85 % – 90 % av myndighetens årliga budget (88). ii) Bidrag i form av statligt stöd till the Informations Commissioner. Bidrag i form av stöd används främst för att finansiera de driftskostnader the Information Commissioner har vad gäller uppgifter som inte rör dataskydd (89). iii) Avgifter som tas ut för tjänster (90). För närvarande tas inga sådana avgifter ut. |
| --- | --- |

(90)

Finansieringen av the Information Commissioner kommer från följande tre källor: i) Avgifter för dataskydd som betalas av personuppgiftsansvariga, som fastställs i den ansvarige ministerns föreskrifter (87) (Data Protection (Charges and Information) Regulations 2018) och uppgår till 85 % – 90 % av myndighetens årliga budget (88). ii) Bidrag i form av statligt stöd till the Informations Commissioner. Bidrag i form av stöd används främst för att finansiera de driftskostnader the Information Commissioner har vad gäller uppgifter som inte rör dataskydd (89). iii) Avgifter som tas ut för tjänster (90). För närvarande tas inga sådana avgifter ut.

the Information Commissioner

87

88

the Informations Commissioner

the Information Commissioner

89

90

| (91) | De allmänna arbetsuppgifter som the Information Commissioner har vad gäller behandling av personuppgifter som omfattas av den brittiska dataskyddsförordningen fastställs i artikel 57 i den brittiska dataskyddsförordningen som nära återspeglar motsvarande regler i förordning (EU) 2016/679. Dess uppgifter omfattar övervakning och verkställande av den brittiska dataskyddsförordningen, främjande av allmänhetens medvetenhet, hantering av klagomål från registrerade, genomförande av utredningar osv. I avsnitt 115 i 2018 års dataskyddslag fastställs dessutom andra allmänna uppgifter för the Commissioner, däribland en skyldighet att ge råd till parlamentet, regeringen och andra institutioner och organ om lagstiftningsåtgärder och administrativa åtgärder som rör skyddet av enskildas fri- och rättigheter i samband med behandling av personuppgifter och en befogenhet att på eget initiativ eller på begäran avge yttranden till parlamentet, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skyddet av personuppgifter. För att upprätthålla rättsväsendets oberoende är the Information Commissioner inte behörig att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap av en dömande myndighet eller av en domstol eller tribunal som agerar inom ramen för sin dömande verksamhet. Tillsynen över rättsväsendet säkerställs dock av specialiserade organ (se skälen 99–103). |
| --- | --- |

(91)

De allmänna arbetsuppgifter som the Information Commissioner har vad gäller behandling av personuppgifter som omfattas av den brittiska dataskyddsförordningen fastställs i artikel 57 i den brittiska dataskyddsförordningen som nära återspeglar motsvarande regler i förordning (EU) 2016/679. Dess uppgifter omfattar övervakning och verkställande av den brittiska dataskyddsförordningen, främjande av allmänhetens medvetenhet, hantering av klagomål från registrerade, genomförande av utredningar osv. I avsnitt 115 i 2018 års dataskyddslag fastställs dessutom andra allmänna uppgifter för the Commissioner, däribland en skyldighet att ge råd till parlamentet, regeringen och andra institutioner och organ om lagstiftningsåtgärder och administrativa åtgärder som rör skyddet av enskildas fri- och rättigheter i samband med behandling av personuppgifter och en befogenhet att på eget initiativ eller på begäran avge yttranden till parlamentet, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skyddet av personuppgifter. För att upprätthålla rättsväsendets oberoende är the Information Commissioner inte behörig att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap av en dömande myndighet eller av en domstol eller tribunal som agerar inom ramen för sin dömande verksamhet. Tillsynen över rättsväsendet säkerställs dock av specialiserade organ (se skälen 99–103).

the Information Commissioner

the Commissioner

the Information Commissioner

2.6.2   Verkställighet, inklusive påföljder

Verkställighet, inklusive påföljder

| (92) | De befogenheter som the Information Commissioner har finns fastställda i artikel 58 i den brittiska dataskyddsförordningen som inte innebär några väsentliga ändringar av motsvarande artikel i förordning (EU) 2016/679. 2018 års dataskyddslag innehåller kompletterande bestämmelser om hur dessa befogenheter kan utövas. The Commissioner har särskilt befogenhet att a) förelägga den personuppgiftsansvariga och personuppgiftsbiträdet (och under vissa omständigheter valfri annan person) att lämna nödvändig information genom att utfärda ett informationsföreläggande (”information notice”) (91), b) utföra utredningar och revisioner genom ett utfärda ett bedömningsföreläggande (”assessment notice”) som kan ålägga den personuppgiftsansvariga eller personuppgiftsbiträdet att ge the Commissioner tillträde till särskilda lokaler, inspekterar eller undersöker handlingar eller utrustning, frågar ut personer som behandlar personuppgifter för den personuppgiftsansvarigas räkning osv. (92), c) på annat sätt få tillgång till handlingar m.m. för personuppgiftsansvariga och personuppgiftsbiträden och tillträde till deras lokaler i enlighet med avsnitt 154 i 2018 års dataskyddslag (”befogenheter för tillträde och inspektion”), d) utöva korrigerande befogenheter, bland annat genom varningar och reprimander eller utfärda förelägganden genom att utfärda ett verkställighetsföreläggande (”enforcement notice”), genom vilka personuppgiftsansvariga/personuppgiftsbiträden åläggs att vidta eller avstå från att vidta specificerade åtgärder, däribland att förelägga den personuppgiftsansvariga eller personuppgiftsbiträdet att utföra något som anges i artikel 58.2 c-g och j i den brittiska dataskyddsförordningen (93) e) och utdöma administrativa sanktionsavgifter i form av ett påföljdsföreläggande (”penalty notice”) (94). Påföljdsföreläggande kan även utfärdas om en myndighet inte har följt bestämmelserna i den brittiska dataskyddsförordningen (95). |
| --- | --- |

(92)

De befogenheter som the Information Commissioner har finns fastställda i artikel 58 i den brittiska dataskyddsförordningen som inte innebär några väsentliga ändringar av motsvarande artikel i förordning (EU) 2016/679. 2018 års dataskyddslag innehåller kompletterande bestämmelser om hur dessa befogenheter kan utövas. The Commissioner har särskilt befogenhet att a) förelägga den personuppgiftsansvariga och personuppgiftsbiträdet (och under vissa omständigheter valfri annan person) att lämna nödvändig information genom att utfärda ett informationsföreläggande (”information notice”) (91), b) utföra utredningar och revisioner genom ett utfärda ett bedömningsföreläggande (”assessment notice”) som kan ålägga den personuppgiftsansvariga eller personuppgiftsbiträdet att ge the Commissioner tillträde till särskilda lokaler, inspekterar eller undersöker handlingar eller utrustning, frågar ut personer som behandlar personuppgifter för den personuppgiftsansvarigas räkning osv. (92), c) på annat sätt få tillgång till handlingar m.m. för personuppgiftsansvariga och personuppgiftsbiträden och tillträde till deras lokaler i enlighet med avsnitt 154 i 2018 års dataskyddslag (”befogenheter för tillträde och inspektion”), d) utöva korrigerande befogenheter, bland annat genom varningar och reprimander eller utfärda förelägganden genom att utfärda ett verkställighetsföreläggande (”enforcement notice”), genom vilka personuppgiftsansvariga/personuppgiftsbiträden åläggs att vidta eller avstå från att vidta specificerade åtgärder, däribland att förelägga den personuppgiftsansvariga eller personuppgiftsbiträdet att utföra något som anges i artikel 58.2 c-g och j i den brittiska dataskyddsförordningen (93) e) och utdöma administrativa sanktionsavgifter i form av ett påföljdsföreläggande (”penalty notice”) (94). Påföljdsföreläggande kan även utfärdas om en myndighet inte har följt bestämmelserna i den brittiska dataskyddsförordningen (95).

the Information Commissioner

The Commissioner

91

the Commissioner

92

93

94

95

| (93) | I ICO:s policy för lagstiftningsåtgärder anges under vilka omständigheter det kommer att utfärda ett föreläggande om information, bedömning, verkställighet eller påföljder (96). Ett verkställighetsföreläggande som lämnas till följd av personuppgiftsansvarigs eller ett personuppgiftsbiträdes underlåtenhet får endast ställa krav som the Commissioner anser vara lämpliga för att avhjälpa underlåtenheten. Verkställighetsförelägganden och påföljdsförelägganden får utfärdas till en personuppgiftsansvariga eller ett personuppgiftsbiträde i samband med överträdelser av kapitel II i den brittiska dataskyddsförordningen (principerna för behandling), artiklarna 12–22 (den registrerades rättigheter), artiklarna 25–39 (skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden) och artiklarna 44–49 (internationella överföringar) i den brittiska dataskyddsförordningen. Ett verkställighetsföreläggande får även lämnas om en personuppgiftsansvarig har underlåtit att uppfylla skyldigheten att betala en avgift enligt föreskrifter i avsnitt 137 i 2018 års dataskyddslag. Dessutom kan ett övervakningsorgan enligt artikel 41 eller en tillhandahållare av certifiering få ett verkställighetsföreläggande om de underlåter att uppfylla sina skyldigheter enligt den brittiska dataskyddsförordningen. Ett påföljdsföreläggande kan även lämnas till en person som inte har följt ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande. |
| --- | --- |

(93)

I ICO:s policy för lagstiftningsåtgärder anges under vilka omständigheter det kommer att utfärda ett föreläggande om information, bedömning, verkställighet eller påföljder (96). Ett verkställighetsföreläggande som lämnas till följd av personuppgiftsansvarigs eller ett personuppgiftsbiträdes underlåtenhet får endast ställa krav som the Commissioner anser vara lämpliga för att avhjälpa underlåtenheten. Verkställighetsförelägganden och påföljdsförelägganden får utfärdas till en personuppgiftsansvariga eller ett personuppgiftsbiträde i samband med överträdelser av kapitel II i den brittiska dataskyddsförordningen (principerna för behandling), artiklarna 12–22 (den registrerades rättigheter), artiklarna 25–39 (skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden) och artiklarna 44–49 (internationella överföringar) i den brittiska dataskyddsförordningen. Ett verkställighetsföreläggande får även lämnas om en personuppgiftsansvarig har underlåtit att uppfylla skyldigheten att betala en avgift enligt föreskrifter i avsnitt 137 i 2018 års dataskyddslag. Dessutom kan ett övervakningsorgan enligt artikel 41 eller en tillhandahållare av certifiering få ett verkställighetsföreläggande om de underlåter att uppfylla sina skyldigheter enligt den brittiska dataskyddsförordningen. Ett påföljdsföreläggande kan även lämnas till en person som inte har följt ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande.

96

the Commissioner

| (94) | Enligt påföljdsföreläggandet ska personen betala ett belopp som anges i föreläggandet till the Information Commissioner. Vid fastställandet av huruvida en person ska få ett påföljdsföreläggande och bestämning av storleken på sanktionsavgiften måste the Information Commissioner beakta de omständigheter som anges i artikel 83.1 och 2 i den brittiska dataskyddsförordningen som är identiska med motsvarande bestämmelser i förordning (EU) 2016/679 (97). Enligt artikel 83.4 och 5 är det högsta beloppet för administrativa sanktionsavgifter vid underlåtenhet att uppfylla de skyldigheter som avses i dessa bestämmelser 8 700 000 pund respektive 17 500 000 pund. När det gäller ett företag kan the Information Commissioner också ålägga sanktionsavgifter som en procentandel av den globala årsomsättningen om detta ger ett högre belopp. Liksom i motsvarande bestämmelser i förordning (EU) 2016/679 fastställs dessa belopp till 2 % respektive 4 % i artiklarna 83.4 och 5. Vid underlåtenhet att följa ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande är den högsta påföljdsbelopp som kan utdömas genom ett påföljdsföreläggande det högre av 17 500 000 GBP eller, om det rör sig om ett företag, 4 % av den globala årsomsättningen. |
| --- | --- |

(94)

Enligt påföljdsföreläggandet ska personen betala ett belopp som anges i föreläggandet till the Information Commissioner. Vid fastställandet av huruvida en person ska få ett påföljdsföreläggande och bestämning av storleken på sanktionsavgiften måste the Information Commissioner beakta de omständigheter som anges i artikel 83.1 och 2 i den brittiska dataskyddsförordningen som är identiska med motsvarande bestämmelser i förordning (EU) 2016/679 (97). Enligt artikel 83.4 och 5 är det högsta beloppet för administrativa sanktionsavgifter vid underlåtenhet att uppfylla de skyldigheter som avses i dessa bestämmelser 8 700 000 pund respektive 17 500 000 pund. När det gäller ett företag kan the Information Commissioner också ålägga sanktionsavgifter som en procentandel av den globala årsomsättningen om detta ger ett högre belopp. Liksom i motsvarande bestämmelser i förordning (EU) 2016/679 fastställs dessa belopp till 2 % respektive 4 % i artiklarna 83.4 och 5. Vid underlåtenhet att följa ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande är den högsta påföljdsbelopp som kan utdömas genom ett påföljdsföreläggande det högre av 17 500 000 GBP eller, om det rör sig om ett företag, 4 % av den globala årsomsättningen.

the Information Commissioner

the Information Commissioner

97

the Information Commissioner

| (95) | Den brittiska dataskyddsförordningen har tillsammans med 2018 års dataskyddslag också stärkt andra befogenheter för the Information Commissioner. Till exempel kan the Commissioner nu utföra obligatoriska revisioner av alla personuppgiftsansvariga eller personuppgiftsbiträden med hjälp av bedömningsförelägganden medan the Commissioner enligt den tidigare lagstiftningen, dataskyddslagen från 1998, endast hade denna befogenhet när det gäller statliga myndighetsorgan samt hälso- och sjukvårdsorganisationer medan andra måste samtycka till en revision. |
| --- | --- |

(95)

Den brittiska dataskyddsförordningen har tillsammans med 2018 års dataskyddslag också stärkt andra befogenheter för the Information Commissioner. Till exempel kan the Commissioner nu utföra obligatoriska revisioner av alla personuppgiftsansvariga eller personuppgiftsbiträden med hjälp av bedömningsförelägganden medan the Commissioner enligt den tidigare lagstiftningen, dataskyddslagen från 1998, endast hade denna befogenhet när det gäller statliga myndighetsorgan samt hälso- och sjukvårdsorganisationer medan andra måste samtycka till en revision.

the Information Commissioner

the Commissioner

the Commissioner

| (96) | Sedan förordning (EU) 2016/679 infördes hanterar ICO omkring 40 000 klagomål från registrerade per år (98) och genomför dessutom cirka 2 000 undersökningar på eget initiativ (99). En majoritet av klagomålen rör rätten att få tillgång till och utlämnande av uppgifter. Efter sina utredningar vidtar the Commissioner verkställighetsåtgärder inom en rad olika sektorer. Enligt de senaste årsrapporten från the Information Commissioner (2019–2020) (100) utfärdade denne närmare bestämt 54 informationsföreläggande, 8 påföljdsförelägganden, 7 verkställighetsföreläggande, 4 varningar, 8 åtal och 15 sanktionsavgifter under rapporteringsperioden (101). |
| --- | --- |

(96)

Sedan förordning (EU) 2016/679 infördes hanterar ICO omkring 40 000 klagomål från registrerade per år (98) och genomför dessutom cirka 2 000 undersökningar på eget initiativ (99). En majoritet av klagomålen rör rätten att få tillgång till och utlämnande av uppgifter. Efter sina utredningar vidtar the Commissioner verkställighetsåtgärder inom en rad olika sektorer. Enligt de senaste årsrapporten från the Information Commissioner (2019–2020) (100) utfärdade denne närmare bestämt 54 informationsföreläggande, 8 påföljdsförelägganden, 7 verkställighetsföreläggande, 4 varningar, 8 åtal och 15 sanktionsavgifter under rapporteringsperioden (101).

98

99

the Commissioner

the Information Commissioner

100

101

| (97) | Detta inbegriper flera betydande sanktionsavgifter som utdömts enligt förordning (EU) 2016/679 och 2018 års dataskyddslag. I oktober 2020 bötfällde the Information Commissioner ett brittiskt flygbolag med 20 miljoner pund för ett uppgiftsbrott som berörde mer än 400 000 kunder. I slutet av oktober 2020 bötfälldes en internationell hotellkedja med 18,4 miljoner pund för att ha underlåtit att skydda miljontals kunders personuppgifter och i november 2020 bötfälldes en brittisk tjänsteleverantör som sålde evenemangsbiljetter online med 1,25 miljoner pund för att ha underlåtit att skydda kundernas betalningsuppgifter (102). |
| --- | --- |

(97)

Detta inbegriper flera betydande sanktionsavgifter som utdömts enligt förordning (EU) 2016/679 och 2018 års dataskyddslag. I oktober 2020 bötfällde the Information Commissioner ett brittiskt flygbolag med 20 miljoner pund för ett uppgiftsbrott som berörde mer än 400 000 kunder. I slutet av oktober 2020 bötfälldes en internationell hotellkedja med 18,4 miljoner pund för att ha underlåtit att skydda miljontals kunders personuppgifter och i november 2020 bötfälldes en brittisk tjänsteleverantör som sålde evenemangsbiljetter online med 1,25 miljoner pund för att ha underlåtit att skydda kundernas betalningsuppgifter (102).

the Information Commissioner

102

| (98) | Utöver de tillsynsbefogenheter som the Information Commissioner har, som beskrivs i skäl 92, utgör vissa överträdelser av dataskyddslagstiftningen lagbrott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i 2018 års dataskyddslag). Detta gäller till exempel medvetet eller vårdslöst erhållande eller utlämnande av personuppgifter utan den personuppgiftsansvarigas samtycke, säkerställande av utlämnande av personuppgifter till en annan person utan den personuppgiftsansvarigas (103) samtycke, återidentifiering av information som är avidentifierade personuppgifter (104) utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen, avsiktlig inskränkning av den rätt the Commissioner har att utöva sina befogenheter vad gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (105), lämnande av oriktiga uppgifter som svar på ett informationsföreläggande eller förstörande av information i samband med informations- och bedömningsförelägganden (106). |
| --- | --- |

(98)

Utöver de tillsynsbefogenheter som the Information Commissioner har, som beskrivs i skäl 92, utgör vissa överträdelser av dataskyddslagstiftningen lagbrott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i 2018 års dataskyddslag). Detta gäller till exempel medvetet eller vårdslöst erhållande eller utlämnande av personuppgifter utan den personuppgiftsansvarigas samtycke, säkerställande av utlämnande av personuppgifter till en annan person utan den personuppgiftsansvarigas (103) samtycke, återidentifiering av information som är avidentifierade personuppgifter (104) utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen, avsiktlig inskränkning av den rätt the Commissioner har att utöva sina befogenheter vad gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (105), lämnande av oriktiga uppgifter som svar på ett informationsföreläggande eller förstörande av information i samband med informations- och bedömningsförelägganden (106).

the Information Commissioner

103

104

the Commissioner

105

106

2.6.3   Tillsyn över rättsväsendet

Tillsyn över rättsväsendet

| (99) | Tillsynen över domstolarnas och rättsväsendets behandling av personuppgifter är dubbel. Om en innehavare av ett domarämbete eller en domstol inte agerar inom ramen för sin dömande verksamhet står ICO för tillsyn. Om den personuppgiftsansvariga agerar inom ramen för sin dömande verksamhet kan ICO inte utöva sina tillsynsfunktioner (107) utan tillsynen utförs av särskilda organ. Detta återspeglar det tillvägagångssätt som antagits i förordning (EU) 2016/679 (artikel 55.3). |
| --- | --- |

(99)

Tillsynen över domstolarnas och rättsväsendets behandling av personuppgifter är dubbel. Om en innehavare av ett domarämbete eller en domstol inte agerar inom ramen för sin dömande verksamhet står ICO för tillsyn. Om den personuppgiftsansvariga agerar inom ramen för sin dömande verksamhet kan ICO inte utöva sina tillsynsfunktioner (107) utan tillsynen utförs av särskilda organ. Detta återspeglar det tillvägagångssätt som antagits i förordning (EU) 2016/679 (artikel 55.3).

107

| (100) | I synnerhet i det andra scenariot, för domstolarna i England och Wales samt First-tier Tribunals och Upper Tribunals i England och Wales, tillhandahålls sådan tillsyn av Judicial Data Protection Panel (108). Lord Chief Justice och Chief President of Tribunals har dessutom utfärdat ett meddelande om skydd av personuppgifter (109) som beskriver hur domstolarna i England och Wales behandlar personuppgifter för en rättslig funktion. Ett liknande meddelande har utfärdats av de nordirländska (110) och skotska domstolarna (111). |
| --- | --- |

(100)

I synnerhet i det andra scenariot, för domstolarna i England och Wales samt First-tier Tribunals och Upper Tribunals i England och Wales, tillhandahålls sådan tillsyn av Judicial Data Protection Panel (108). Lord Chief Justice och Chief President of Tribunals har dessutom utfärdat ett meddelande om skydd av personuppgifter (109) som beskriver hur domstolarna i England och Wales behandlar personuppgifter för en rättslig funktion. Ett liknande meddelande har utfärdats av de nordirländska (110) och skotska domstolarna (111).

First-tier Tribunals

Upper Tribunals

Judicial Data Protection Panel

108

Lord Chief Justice

Chief President of Tribunals

109

110

111

| (101) | I Nordirland har dessutom Lord Chief Justice of Northern Ireland utsett en domare vid High Court som datatillsynsdomare (Data Supervisory Judge, DSJ) (112). De har också gett vägledning till det nordirländska domstolsväsendet om vad som ska göras i händelse av förlust eller potentiell förlust av uppgifter och förfarandet för att hantera eventuella problem som uppstår till följd av detta (113). |
| --- | --- |

(101)

I Nordirland har dessutom Lord Chief Justice of Northern Ireland utsett en domare vid High Court som datatillsynsdomare (Data Supervisory Judge, DSJ) (112). De har också gett vägledning till det nordirländska domstolsväsendet om vad som ska göras i händelse av förlust eller potentiell förlust av uppgifter och förfarandet för att hantera eventuella problem som uppstår till följd av detta (113).

Lord Chief Justice of Northern Ireland

Data Supervisory Judge

112

113

| (102) | I Skottland har Lord President utsett en datatillsynsdomare som ska utreda eventuella klagomål med hänvisning till dataskydd. Detta anges i de regler för klagomål till domstol som motsvarar dem som gäller för England och Wales (114). |
| --- | --- |

(102)

I Skottland har Lord President utsett en datatillsynsdomare som ska utreda eventuella klagomål med hänvisning till dataskydd. Detta anges i de regler för klagomål till domstol som motsvarar dem som gäller för England och Wales (114).

114

| (103) | I högsta domstolen utses slutligen en av högsta domstolens domare för att övervaka dataskyddet. |
| --- | --- |

(103)

I högsta domstolen utses slutligen en av högsta domstolens domare för att övervaka dataskyddet.

2.6.4   Prövningsmöjligheter

Prövningsmöjligheter

| (104) | För att säkerställa adekvat skydd, och i synnerhet tillämpningen av individuella rättigheter, bör den registrerade tillförsäkras effektiv administrativ och rättslig prövning, inbegripet ersättning för skador. |
| --- | --- |

(104)

För att säkerställa adekvat skydd, och i synnerhet tillämpningen av individuella rättigheter, bör den registrerade tillförsäkras effektiv administrativ och rättslig prövning, inbegripet ersättning för skador.

| (105) | För det första har en registrerad rätt att lämna in ett klagomål till the Information Commissioner om den registrerade anser att det föreligger en överträdelse av den brittiska dataskyddsförordningen i samband med personuppgifter som rör honom eller henne (115). Den brittiska dataskyddsförordningen bibehåller bestämmelserna om denna rätt i artikel 77 i förordning (EU) 2016/679 utan några väsentliga ändringar. Detsamma gäller för artikel 57.1 f och 57.2 som fastställer the Commissioner uppgifter i samband med handläggningen av klagomål. Enligt beskrivningen i skälen 92–98 ovan har the Information Commissioner befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av den brittiska dataskyddsförordningen och 2018 års dataskyddslag och kräva att de vidtar eller avstår från att vidta nödvändiga åtgärder vid bristande efterlevnad och att utdöma sanktionsavgifter. |
| --- | --- |

(105)

För det första har en registrerad rätt att lämna in ett klagomål till the Information Commissioner om den registrerade anser att det föreligger en överträdelse av den brittiska dataskyddsförordningen i samband med personuppgifter som rör honom eller henne (115). Den brittiska dataskyddsförordningen bibehåller bestämmelserna om denna rätt i artikel 77 i förordning (EU) 2016/679 utan några väsentliga ändringar. Detsamma gäller för artikel 57.1 f och 57.2 som fastställer the Commissioner uppgifter i samband med handläggningen av klagomål. Enligt beskrivningen i skälen 92–98 ovan har the Information Commissioner befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av den brittiska dataskyddsförordningen och 2018 års dataskyddslag och kräva att de vidtar eller avstår från att vidta nödvändiga åtgärder vid bristande efterlevnad och att utdöma sanktionsavgifter.

the Information Commissioner

115

the Commissioner

the Information Commissioner

| (106) | För det andra ger den brittiska dataskyddsförordningen och 2018 års dataskyddslag rätt till rättsmedel mot the Information Commissioner. Enligt artikel 78.1 i den brittiska dataskyddsförordningen har enskilda rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av the Commissioner. Inom ramen för domstolsprövningen prövar domaren det beslut som ifrågasätts i ansökan och prövar huruvida the Information Commissioner har handlat lagenligt. Enligt artikel 78.2 i den brittiska dataskyddsförordningen har den klagande dessutom tillgång till rättsmedel om the Commissioner underlåter att behandla ett klagomål från den registrerade (116). Han eller hon kan vända sig till en First Tier Tribunal för att förelägga the Information Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (117). Dessutom kan varje person som delgetts ett av de ovannämnda föreläggandena (information, bedömning, verkställighet eller påföljd) av the Information Commissioner överklaga till en First Tier Tribunal (118). Om tribunalen anser att det beslut som the Commissioner har fattat inte är förenligt med lagen eller att the Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som the Information Commissioner skulle ha kunnat lämna eller fatta. |
| --- | --- |

(106)

För det andra ger den brittiska dataskyddsförordningen och 2018 års dataskyddslag rätt till rättsmedel mot the Information Commissioner. Enligt artikel 78.1 i den brittiska dataskyddsförordningen har enskilda rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av the Commissioner. Inom ramen för domstolsprövningen prövar domaren det beslut som ifrågasätts i ansökan och prövar huruvida the Information Commissioner har handlat lagenligt. Enligt artikel 78.2 i den brittiska dataskyddsförordningen har den klagande dessutom tillgång till rättsmedel om the Commissioner underlåter att behandla ett klagomål från den registrerade (116). Han eller hon kan vända sig till en First Tier Tribunal för att förelägga the Information Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (117). Dessutom kan varje person som delgetts ett av de ovannämnda föreläggandena (information, bedömning, verkställighet eller påföljd) av the Information Commissioner överklaga till en First Tier Tribunal (118). Om tribunalen anser att det beslut som the Commissioner har fattat inte är förenligt med lagen eller att the Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som the Information Commissioner skulle ha kunnat lämna eller fatta.

the Information Commissioner

the Commissioner

the Information Commissioner

the Commissioner

116

First Tier Tribunal

the Information Commissioner

117

the Information Commissioner

First Tier Tribunal

118

the Commissioner

the Information Commissioner

the Information Commissioner

| (107) | För det tredje kan enskilda personer få rättslig prövning av personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol i enlighet med artikel 79 i den brittiska dataskyddsförordningen och avsnitt 167 i 2018 års dataskyddslag. Om en domstol på begäran av en registrerad är övertygad om att det har skett en överträdelse av den registrerades rättigheter enligt dataskyddslagstiftningen får domstolen förelägga den personuppgiftsansvariga att vidta de åtgärder som anges i beslutet eller att avstå från att vidta de åtgärder som anges i beslutet. |
| --- | --- |

(107)

För det tredje kan enskilda personer få rättslig prövning av personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol i enlighet med artikel 79 i den brittiska dataskyddsförordningen och avsnitt 167 i 2018 års dataskyddslag. Om en domstol på begäran av en registrerad är övertygad om att det har skett en överträdelse av den registrerades rättigheter enligt dataskyddslagstiftningen får domstolen förelägga den personuppgiftsansvariga att vidta de åtgärder som anges i beslutet eller att avstå från att vidta de åtgärder som anges i beslutet.

| (108) | Enligt artikel 82 i den brittiska dataskyddsförordningen och avsnitt 168 i 2018 års dataskyddslag har dessutom varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av den brittiska dataskyddsförordningen rätt att få ersättning från den personuppgiftsansvariga eller personuppgiftsbiträdet för den skada som lidits. Reglerna om ersättning och ansvar i artikel 82.1–5 i den brittiska dataskyddsförordningen är identiska med motsvarande regler i förordning (EU) 2016/679. Enligt avsnitt 168 i 2018 års dataskyddslag omfattar ideell skada även lidande. Enligt artikel 80 i den brittiska dataskyddsförordningen har den registrerade också rätt att ge ett representativt organ eller en representativ organisation i uppdrag att lämna in klagomål till the Commissioner för hans eller hennes räkning (enligt artikel 77 i den brittiska dataskyddsförordningen) och att utöva de rättigheter som avses i artiklarna 78 (rätt till effektivt rättsmedel mot the Commissioner), 79 (rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde) och 82 (rätt till ersättning och ansvar) i den brittiska dataskyddsförordningen för hans eller hennes räkning. |
| --- | --- |

(108)

Enligt artikel 82 i den brittiska dataskyddsförordningen och avsnitt 168 i 2018 års dataskyddslag har dessutom varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av den brittiska dataskyddsförordningen rätt att få ersättning från den personuppgiftsansvariga eller personuppgiftsbiträdet för den skada som lidits. Reglerna om ersättning och ansvar i artikel 82.1–5 i den brittiska dataskyddsförordningen är identiska med motsvarande regler i förordning (EU) 2016/679. Enligt avsnitt 168 i 2018 års dataskyddslag omfattar ideell skada även lidande. Enligt artikel 80 i den brittiska dataskyddsförordningen har den registrerade också rätt att ge ett representativt organ eller en representativ organisation i uppdrag att lämna in klagomål till the Commissioner för hans eller hennes räkning (enligt artikel 77 i den brittiska dataskyddsförordningen) och att utöva de rättigheter som avses i artiklarna 78 (rätt till effektivt rättsmedel mot the Commissioner), 79 (rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde) och 82 (rätt till ersättning och ansvar) i den brittiska dataskyddsförordningen för hans eller hennes räkning.

the Commissioner

the Commissioner

| (109) | För det fjärde, och utöver de möjligheter till rättslig prövning som beskrivs ovan, kan varje person som anser att hans eller hennes rättigheter, däribland rätten till integritet och dataskydd, har kränkts av myndigheter, få sin sak prövad i domstol i Förenade kungariket enligt Human Rights Act 1998 (119). En enskild person som hävdar att en myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en rättighet enligt konventionen och följaktligen är olaglig enligt avsnitt 6.1 i Human Rights Act 1998 kan väcka talan mot myndigheten vid behörig domstol eller åberopa de berörda rättigheterna i ett rättsligt förfarande när han eller hon är (eller skulle vara) offer för den olagliga handlingen. |
| --- | --- |

(109)

För det fjärde, och utöver de möjligheter till rättslig prövning som beskrivs ovan, kan varje person som anser att hans eller hennes rättigheter, däribland rätten till integritet och dataskydd, har kränkts av myndigheter, få sin sak prövad i domstol i Förenade kungariket enligt Human Rights Act 1998 (119). En enskild person som hävdar att en myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en rättighet enligt konventionen och följaktligen är olaglig enligt avsnitt 6.1 i Human Rights Act 1998 kan väcka talan mot myndigheten vid behörig domstol eller åberopa de berörda rättigheterna i ett rättsligt förfarande när han eller hon är (eller skulle vara) offer för den olagliga handlingen.

Human Rights Act 1998

119

Human Rights Act 1998

| (110) | Om domstolen finner att en åtgärd som vidtas av en myndighet är rättsstridig kan den bevilja en sådan befrielse eller ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter som den anser vara skäligt och lämpligt (120). Domstolen kan också förklara att en bestämmelse i primärrätten är oförenlig med en rättighet enligt konventionen. |
| --- | --- |

(110)

Om domstolen finner att en åtgärd som vidtas av en myndighet är rättsstridig kan den bevilja en sådan befrielse eller ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter som den anser vara skäligt och lämpligt (120). Domstolen kan också förklara att en bestämmelse i primärrätten är oförenlig med en rättighet enligt konventionen.

120

| (111) | Slutligen kan en enskild person, efter att ha uttömt nationella rättsmedel, vända sig till Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen om de mänskliga rättigheterna. |
| --- | --- |

(111)

Slutligen kan en enskild person, efter att ha uttömt nationella rättsmedel, vända sig till Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen om de mänskliga rättigheterna.

3.   TILLGÅNG TILL OCH ANVÄNDNING AV PERSONUPPGIFTER SOM ÖVERFÖRS FRÅN EUROPEISKA UNIONEN AV MYNDIGHETER I FÖRENADE KUNGARIKET

TILLGÅNG TILL OCH ANVÄNDNING AV PERSONUPPGIFTER SOM ÖVERFÖRS FRÅN EUROPEISKA UNIONEN AV MYNDIGHETER I FÖRENADE KUNGARIKET

| (112) | Kommissionen bedömde också Förenade kungarikets rättsliga ram för insamling och senare användning av personuppgifter som brittiska myndigheter överfört till näringsidkare i Förenade kungariket i allmänhetens intresse, särskilt för ändamål som rör brottsbekämpning och nationell säkerhet (”myndigheternas tillgång”). Vid bedömningen av om villkoren för myndigheternas tillgång till uppgifter som överförs till Förenade kungariket enligt detta beslut skulle uppfylla kriteriet om ”väsentlig likvärdighet” i enlighet med artikel 45.1 i förordning (EU) 2016/679 som den tolkats av Europeiska unionens domstol mot bakgrund av stadgan om de grundläggande rättigheterna, tog kommissionen särskilt hänsyn till följande kriterier. |
| --- | --- |

(112)

Kommissionen bedömde också Förenade kungarikets rättsliga ram för insamling och senare användning av personuppgifter som brittiska myndigheter överfört till näringsidkare i Förenade kungariket i allmänhetens intresse, särskilt för ändamål som rör brottsbekämpning och nationell säkerhet (”myndigheternas tillgång”). Vid bedömningen av om villkoren för myndigheternas tillgång till uppgifter som överförs till Förenade kungariket enligt detta beslut skulle uppfylla kriteriet om ”väsentlig likvärdighet” i enlighet med artikel 45.1 i förordning (EU) 2016/679 som den tolkats av Europeiska unionens domstol mot bakgrund av stadgan om de grundläggande rättigheterna, tog kommissionen särskilt hänsyn till följande kriterier.

| (113) | För det första ska varje begränsning av rätten till skydd av personuppgifter föreskrivas i lag och den rättsliga grund som möjliggör ett ingrepp i en sådan rättighet måste själv definiera omfattningen av begränsningen av utövandet av den berörda rättigheten (121). |
| --- | --- |

(113)

För det första ska varje begränsning av rätten till skydd av personuppgifter föreskrivas i lag och den rättsliga grund som möjliggör ett ingrepp i en sådan rättighet måste själv definiera omfattningen av begränsningen av utövandet av den berörda rättigheten (121).

121

| (114) | För att uppfylla proportionalitetskravet, enligt vilket undantag från och begränsningar av skyddet av personuppgifter endast får tillämpas i den mån det är absolut nödvändigt i ett demokratiskt samhälle för att uppfylla särskilda mål av allmänintresse som motsvarar dem som erkänns av EU, ska det i lagstiftningen i det berörda tredjelandet, enligt vilken ingreppet är tillåtet, fastställas klara och precisa regler för omfattningen och tillämpningen av åtgärderna i fråga och införas minimigarantier så att de personer vars uppgifter har överförts har tillräckliga garantier för att effektivt skydda sina personuppgifter mot risken för missbruk (122). Lagstiftningen måste särskilt ange under vilka omständigheter och på vilka villkor en åtgärd som föreskriver behandling av sådana uppgifter får antas (123) samt ställa krav på oberoende tillsyn för uppfyllandet av dessa krav (124). |
| --- | --- |

(114)

För att uppfylla proportionalitetskravet, enligt vilket undantag från och begränsningar av skyddet av personuppgifter endast får tillämpas i den mån det är absolut nödvändigt i ett demokratiskt samhälle för att uppfylla särskilda mål av allmänintresse som motsvarar dem som erkänns av EU, ska det i lagstiftningen i det berörda tredjelandet, enligt vilken ingreppet är tillåtet, fastställas klara och precisa regler för omfattningen och tillämpningen av åtgärderna i fråga och införas minimigarantier så att de personer vars uppgifter har överförts har tillräckliga garantier för att effektivt skydda sina personuppgifter mot risken för missbruk (122). Lagstiftningen måste särskilt ange under vilka omständigheter och på vilka villkor en åtgärd som föreskriver behandling av sådana uppgifter får antas (123) samt ställa krav på oberoende tillsyn för uppfyllandet av dessa krav (124).

122

123

124

| (115) | För det tredje måste denna lagstiftning vara rättsligt bindande enligt nationell rätt och dessa rättsliga krav måste inte bara vara bindande för myndigheterna utan även kunna göras gällande inför domstol mot myndigheterna i det berörda tredjelandet (125). I synnerhet måste de registrerade ha möjlighet att väcka talan vid en oberoende och opartisk domstol för att få tillgång till sina personuppgifter eller för att få dessa uppgifter rättade eller raderade (126). |
| --- | --- |

(115)

För det tredje måste denna lagstiftning vara rättsligt bindande enligt nationell rätt och dessa rättsliga krav måste inte bara vara bindande för myndigheterna utan även kunna göras gällande inför domstol mot myndigheterna i det berörda tredjelandet (125). I synnerhet måste de registrerade ha möjlighet att väcka talan vid en oberoende och opartisk domstol för att få tillgång till sina personuppgifter eller för att få dessa uppgifter rättade eller raderade (126).

125

126

3.1   Lagstiftning

Lagstiftning

| (116) | I egenskap av myndighetsutövning måste myndigheternas tillgång i Förenade kungariket ske med full respekt för lagen. Förenade kungariket har ratificerat den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (se skäl 9) och alla brittiska myndigheter är skyldiga att agera i enlighet med konventionen (127). I artikel 8 i konventionen föreskrivs att varje ingrepp i privatlivet ska vara förenligt med lagen, med hänsyn till något av de syften som anges i artikel 8.2, och stå i proportion till detta syfte. I artikel 8 föreskrivs också att ingreppet ska vara ”förutsebart”, dvs. ha en tydlig och tillgänglig rättslig grund och att lagen ska innehålla lämpliga skyddsåtgärder för att förhindra missbruk. |
| --- | --- |

(116)

I egenskap av myndighetsutövning måste myndigheternas tillgång i Förenade kungariket ske med full respekt för lagen. Förenade kungariket har ratificerat den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (se skäl 9) och alla brittiska myndigheter är skyldiga att agera i enlighet med konventionen (127). I artikel 8 i konventionen föreskrivs att varje ingrepp i privatlivet ska vara förenligt med lagen, med hänsyn till något av de syften som anges i artikel 8.2, och stå i proportion till detta syfte. I artikel 8 föreskrivs också att ingreppet ska vara ”förutsebart”, dvs. ha en tydlig och tillgänglig rättslig grund och att lagen ska innehålla lämpliga skyddsåtgärder för att förhindra missbruk.

127

| (117) | Dessutom har Europeiska domstolen för de mänskliga rättigheterna i sin rättspraxis angett att varje ingrepp i rätten till integritet och dataskydd bör omfattas av ett effektivt, oberoende och opartiskt tillsynssystem som ska tillhandahållas antingen av en domare eller av ett annat oberoende organ (128) (t.ex. en administrativ myndighet eller ett parlamentariskt organ). |
| --- | --- |

(117)

Dessutom har Europeiska domstolen för de mänskliga rättigheterna i sin rättspraxis angett att varje ingrepp i rätten till integritet och dataskydd bör omfattas av ett effektivt, oberoende och opartiskt tillsynssystem som ska tillhandahållas antingen av en domare eller av ett annat oberoende organ (128) (t.ex. en administrativ myndighet eller ett parlamentariskt organ).

128

| (118) | Dessutom måste enskilda ges tillgång till ett effektivt rättsmedel och Europeiska domstolen för de mänskliga rättigheterna har klargjort att rättsmedlet måste erbjudas av ett oberoende och opartiskt organ som har antagit sin egen arbetsordning bestående av medlemmar som måste inneha eller ha innehaft höga domarämbeten eller ha erfarenhet av jurister och att det inte får finnas någon bevisbörda som behöver övervinnas för att lämna in en ansökan till domstolen. När det oberoende och opartiska organet granskar klagomål från enskilda bör det ha tillgång till all relevant information, inklusive hemligt material. Slutligen bör det ha befogenhet att åtgärda bristande efterlevnad (129). |
| --- | --- |

(118)

Dessutom måste enskilda ges tillgång till ett effektivt rättsmedel och Europeiska domstolen för de mänskliga rättigheterna har klargjort att rättsmedlet måste erbjudas av ett oberoende och opartiskt organ som har antagit sin egen arbetsordning bestående av medlemmar som måste inneha eller ha innehaft höga domarämbeten eller ha erfarenhet av jurister och att det inte får finnas någon bevisbörda som behöver övervinnas för att lämna in en ansökan till domstolen. När det oberoende och opartiska organet granskar klagomål från enskilda bör det ha tillgång till all relevant information, inklusive hemligt material. Slutligen bör det ha befogenhet att åtgärda bristande efterlevnad (129).

129

| (119) | Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) och undertecknade 2018 protokollet om ändring av konventionen om skydd för enskilda personer vid automatisk databehandling av personuppgifter (kallad konvention 108+) (130). I artikel 9 i konvention 108 föreskrivs att undantag från de allmänna dataskyddsprinciperna (artikel 5 om uppgifternas kvalitet), bestämmelserna om särskilda kategorier av uppgifter (artikel 6 Särskilda kategorier av uppgifter) och den registrerades rättigheter (artikel 8 Ytterligare skyddsåtgärder för den registrerade) endast är tillåtna när ett sådant undantag föreskrivs i partens lagstiftning och utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda statens säkerhet, den allmänna säkerheten, statens ekonomiska intressen eller bekämpande av brott eller för att skydda den registrerade eller andra personers fri- och rättigheter (131). |
| --- | --- |

(119)

Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) och undertecknade 2018 protokollet om ändring av konventionen om skydd för enskilda personer vid automatisk databehandling av personuppgifter (kallad konvention 108+) (130). I artikel 9 i konvention 108 föreskrivs att undantag från de allmänna dataskyddsprinciperna (artikel 5 om uppgifternas kvalitet), bestämmelserna om särskilda kategorier av uppgifter (artikel 6 Särskilda kategorier av uppgifter) och den registrerades rättigheter (artikel 8 Ytterligare skyddsåtgärder för den registrerade) endast är tillåtna när ett sådant undantag föreskrivs i partens lagstiftning och utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda statens säkerhet, den allmänna säkerheten, statens ekonomiska intressen eller bekämpande av brott eller för att skydda den registrerade eller andra personers fri- och rättigheter (131).

130

131

| (120) | Genom medlemskap i Europarådet, anslutning till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och hänvändelse till Europeiska domstolen för de mänskliga rättigheterna omfattas Förenade kungariket därför av ett antal skyldigheter som är inskrivna i internationell rätt, som utgör ramen för landets system för statlig tillgång på grundval av principer, skyddsåtgärder och individuella rättigheter som liknar dem som garanteras enligt unionsrätten och som är tillämpliga på medlemsstaterna. Enligt skäl 19 är fortsatt anslutning till sådana instrument därför ett särskilt viktigt inslag i den bedömning som ligger till grund för detta beslut. |
| --- | --- |

(120)

Genom medlemskap i Europarådet, anslutning till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och hänvändelse till Europeiska domstolen för de mänskliga rättigheterna omfattas Förenade kungariket därför av ett antal skyldigheter som är inskrivna i internationell rätt, som utgör ramen för landets system för statlig tillgång på grundval av principer, skyddsåtgärder och individuella rättigheter som liknar dem som garanteras enligt unionsrätten och som är tillämpliga på medlemsstaterna. Enligt skäl 19 är fortsatt anslutning till sådana instrument därför ett särskilt viktigt inslag i den bedömning som ligger till grund för detta beslut.

| (121) | Dessutom garanteras särskilda dataskyddsgarantier och rättigheter av 2018 års dataskyddslag när uppgifter behandlas av myndigheter, inbegripet brottsbekämpande organ och nationella säkerhetsorgan. |
| --- | --- |

(121)

Dessutom garanteras särskilda dataskyddsgarantier och rättigheter av 2018 års dataskyddslag när uppgifter behandlas av myndigheter, inbegripet brottsbekämpande organ och nationella säkerhetsorgan.

| (122) | I synnerhet fastställs ordningen för behandling av personuppgifter i samband med brottsbekämpning i del 3 i 2018 års dataskyddslag, som antogs för att införliva direktiv (EU) 2016/680. Del 3 i 2018 års dataskyddslag är tillämplig på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet att skydda mot samt förebygga hot mot den allmänna säkerheten (132). |
| --- | --- |

(122)

I synnerhet fastställs ordningen för behandling av personuppgifter i samband med brottsbekämpning i del 3 i 2018 års dataskyddslag, som antogs för att införliva direktiv (EU) 2016/680. Del 3 i 2018 års dataskyddslag är tillämplig på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet att skydda mot samt förebygga hot mot den allmänna säkerheten (132).

132

| (123) | Begreppet ”behörig myndighet” definieras i avsnitt 30 i dataskyddslagen som en person som förtecknas i tillägg 7 till 2018 års dataskyddslag samt varje annan person i den mån personen har lagstadgade uppgifter för något av de brottsbekämpande ändamålen (133). Såsom förklaras ovan (se skäl 139), kan vissa behöriga myndigheter (t.ex. den nationella brottsmyndigheten (National Crime Agency) på vissa villkor använda de befogenheter som anges i Investigatory Power Act 2016 (2016 års lag om utredningsbefogenheter). I detta fall gäller skyddsåtgärderna enligt 2016 års lag om utredningsbefogenheter utöver de skyddsåtgärder som anges i del 3 i 2018 års dataskyddslag. Underrättelsetjänsterna (Secret Intelligence Service, Security Service och Government Communications Headquarters) är inte behöriga myndigheter (134) enligt del 3 i 2018 års dataskyddslag, och bestämmelserna däri är därför inte tillämpliga på någon av deras verksamheter. En del av 2018 års dataskyddslag (del 4) ägnas särskilt åt underrättelsetjänsters behandling av personuppgifter (närmare information ges i skäl 125) |
| --- | --- |

(123)

Begreppet ”behörig myndighet” definieras i avsnitt 30 i dataskyddslagen som en person som förtecknas i tillägg 7 till 2018 års dataskyddslag samt varje annan person i den mån personen har lagstadgade uppgifter för något av de brottsbekämpande ändamålen (133). Såsom förklaras ovan (se skäl 139), kan vissa behöriga myndigheter (t.ex. den nationella brottsmyndigheten (National Crime Agency) på vissa villkor använda de befogenheter som anges i Investigatory Power Act 2016 (2016 års lag om utredningsbefogenheter). I detta fall gäller skyddsåtgärderna enligt 2016 års lag om utredningsbefogenheter utöver de skyddsåtgärder som anges i del 3 i 2018 års dataskyddslag. Underrättelsetjänsterna (Secret Intelligence Service, Security Service och Government Communications Headquarters) är inte behöriga myndigheter (134) enligt del 3 i 2018 års dataskyddslag, och bestämmelserna däri är därför inte tillämpliga på någon av deras verksamheter. En del av 2018 års dataskyddslag (del 4) ägnas särskilt åt underrättelsetjänsters behandling av personuppgifter (närmare information ges i skäl 125)

133

National Crime Agency

Investigatory Power Act 2016

2016 års lag om utredningsbefogenheter

Secret Intelligence Service, Security Service och Government Communications Headquarters

134

| (124) | I likhet med direktiv (EU) 2016/680 fastställs i del 3 i 2018 års dataskyddslag principerna om laglighet och rättvisa (135), ändamålsbegränsning (136), uppgiftsminimering (137), noggrannhet (138), lagringsbegränsning (139) och säkerhet (140). Lagstiftningen föreskriver särskilda transparenskrav (141) och ger enskilda personer rätt till tillgång (142), rättelse och radering (143) samt rätt att inte bli föremål för automatiserat beslutsfattande (144). De behöriga myndigheterna är också skyldiga att införa inbyggt dataskydd som standard, att föra register över behandling och, för vissa typer av behandling, att genomföra konsekvensbedömningar avseende dataskydd och att i förväg samråda med the Information Commissioner (145). Enligt avsnitt 56 i 2018 års dataskyddslag är de skyldiga att visa att de uppfyller kraven. De är dessutom skyldiga att vidta lämpliga åtgärder för att säkerställa behandlingens säkerhet (146) och omfattas av särskilda skyldigheter vid ett personuppgiftsbrott, inbegripet anmälan av sådana överträdelser till the Information Commissioner och de registrerade (147). Liksom i direktiv (EU) 2016/680 finns det också ett krav på att en personuppgiftsansvarig (såvida det inte är en domstol eller annan rättslig myndighet som agerar inom ramen för sin rättsliga verksamhet) utser ett dataskyddsombud (148) som hjälper den personuppgiftsansvariga att fullgöra sina skyldigheter och övervaka efterlevnaden (149). Dessutom innehåller lagstiftningen särskilda krav för internationella överföringar av personuppgifter för brottsbekämpande ändamål till tredjeländer eller internationella organisationer för att säkerställa kontinuitet i skyddet (150). Samma dag som detta beslut [antog] kommissionen ett beslut om adekvat skyddsnivå på grundval av artikel 36.3 i direktiv (EU) 2016/680 där den konstaterade att det system för dataskydd som är tillämpligt på behandling som utförs av brittiska brottsbekämpande myndigheter säkerställer en skyddsnivå som i allt väsentligt är likvärdig med den som garanteras enligt direktiv (EU) 2016/680. |
| --- | --- |

(124)

I likhet med direktiv (EU) 2016/680 fastställs i del 3 i 2018 års dataskyddslag principerna om laglighet och rättvisa (135), ändamålsbegränsning (136), uppgiftsminimering (137), noggrannhet (138), lagringsbegränsning (139) och säkerhet (140). Lagstiftningen föreskriver särskilda transparenskrav (141) och ger enskilda personer rätt till tillgång (142), rättelse och radering (143) samt rätt att inte bli föremål för automatiserat beslutsfattande (144). De behöriga myndigheterna är också skyldiga att införa inbyggt dataskydd som standard, att föra register över behandling och, för vissa typer av behandling, att genomföra konsekvensbedömningar avseende dataskydd och att i förväg samråda med the Information Commissioner (145). Enligt avsnitt 56 i 2018 års dataskyddslag är de skyldiga att visa att de uppfyller kraven. De är dessutom skyldiga att vidta lämpliga åtgärder för att säkerställa behandlingens säkerhet (146) och omfattas av särskilda skyldigheter vid ett personuppgiftsbrott, inbegripet anmälan av sådana överträdelser till the Information Commissioner och de registrerade (147). Liksom i direktiv (EU) 2016/680 finns det också ett krav på att en personuppgiftsansvarig (såvida det inte är en domstol eller annan rättslig myndighet som agerar inom ramen för sin rättsliga verksamhet) utser ett dataskyddsombud (148) som hjälper den personuppgiftsansvariga att fullgöra sina skyldigheter och övervaka efterlevnaden (149). Dessutom innehåller lagstiftningen särskilda krav för internationella överföringar av personuppgifter för brottsbekämpande ändamål till tredjeländer eller internationella organisationer för att säkerställa kontinuitet i skyddet (150). Samma dag som detta beslut [antog] kommissionen ett beslut om adekvat skyddsnivå på grundval av artikel 36.3 i direktiv (EU) 2016/680 där den konstaterade att det system för dataskydd som är tillämpligt på behandling som utförs av brittiska brottsbekämpande myndigheter säkerställer en skyddsnivå som i allt väsentligt är likvärdig med den som garanteras enligt direktiv (EU) 2016/680.

135

136

137

138

139

140

141

142

143

144

the Information Commissioner

145

146

the Information Commissioner

147

148

149

150

| (125) | Del 4 i 2018 års dataskyddslag gäller all behandling som utförs av underrättelsetjänsterna eller för deras räkning. Framför allt fastställs de viktigaste dataskyddsprinciperna (laglighet, rättvisa och öppenhet (151), ändamålsbegränsning (152), uppgiftsminimering (153), precision (154), lagringsbegränsningar (155) och säkerhet (156), villkor för behandling av särskilda kategorier av uppgifter (157), bestämmelser om registrerades rättigheters (158), krav på inbyggt dataskydd (159) och internationella överföringar av personuppgifter (160). ICO har nyligen utfärdat detaljerad vägledning om underrättelsetjänsters behandling av personuppgifter enligt del 4 i 2018 års dataskyddslag (161). |
| --- | --- |

(125)

Del 4 i 2018 års dataskyddslag gäller all behandling som utförs av underrättelsetjänsterna eller för deras räkning. Framför allt fastställs de viktigaste dataskyddsprinciperna (laglighet, rättvisa och öppenhet (151), ändamålsbegränsning (152), uppgiftsminimering (153), precision (154), lagringsbegränsningar (155) och säkerhet (156), villkor för behandling av särskilda kategorier av uppgifter (157), bestämmelser om registrerades rättigheters (158), krav på inbyggt dataskydd (159) och internationella överföringar av personuppgifter (160). ICO har nyligen utfärdat detaljerad vägledning om underrättelsetjänsters behandling av personuppgifter enligt del 4 i 2018 års dataskyddslag (161).

151

152

153

154

155

156

157

158

159

160

161

| (126) | Samtidigt föreskrivs i avsnitt 110 i 2018 års dataskyddslag ett undantag från de specificerade bestämmelserna i del 4 i denna lag (162) när ett sådant undantag krävs för att skydda den nationella säkerheten. Detta undantag kan grundas på en analys från fall till fall (163). Enligt de brittiska myndigheternas förklaring och enligt bekräftelse i rättspraxis måste personuppgiftsansvariga beakta de faktiska konsekvenserna för den nationella säkerheten eller försvaret om de var tvungna att följa den särskilda dataskyddsbestämmelsen och om de rimligen kunde följa den vanliga regeln utan att det påverkar den nationella säkerheten eller det nationella försvaret (164). Huruvida undantaget har använts på lämpligt sätt omfattas av ICO:s tillsyn (165). |
| --- | --- |

(126)

Samtidigt föreskrivs i avsnitt 110 i 2018 års dataskyddslag ett undantag från de specificerade bestämmelserna i del 4 i denna lag (162) när ett sådant undantag krävs för att skydda den nationella säkerheten. Detta undantag kan grundas på en analys från fall till fall (163). Enligt de brittiska myndigheternas förklaring och enligt bekräftelse i rättspraxis måste personuppgiftsansvariga beakta de faktiska konsekvenserna för den nationella säkerheten eller försvaret om de var tvungna att följa den särskilda dataskyddsbestämmelsen och om de rimligen kunde följa den vanliga regeln utan att det påverkar den nationella säkerheten eller det nationella försvaret (164). Huruvida undantaget har använts på lämpligt sätt omfattas av ICO:s tillsyn (165).

162

163

164

165

| (127) | När det gäller möjligheten att för skyddet av ”nationell säkerhet” begränsa tillämpningen av de ovannämnda bestämmelserna i avsnitt 111 i 2018 års dataskyddslag kan dessutom en personuppgiftsansvarig ansöka om ett intyg som undertecknats av en minister eller Attorney General som intygar att en begränsning av sådana rättigheter är en nödvändig och proportionerlig åtgärd för att skydda den nationella säkerheten (166). |
| --- | --- |

(127)

När det gäller möjligheten att för skyddet av ”nationell säkerhet” begränsa tillämpningen av de ovannämnda bestämmelserna i avsnitt 111 i 2018 års dataskyddslag kan dessutom en personuppgiftsansvarig ansöka om ett intyg som undertecknats av en minister eller Attorney General som intygar att en begränsning av sådana rättigheter är en nödvändig och proportionerlig åtgärd för att skydda den nationella säkerheten (166).

Attorney General

166

| (128) | Den brittiska regeringen har utfärdat riktlinjer för att bistå personuppgiftsansvariga när de överväger huruvida de ska ansöka om ett nationellt säkerhetsintyg enligt 2018 års dataskyddslag där det särskilt betonas att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (167). Alla nationella säkerhetsintyg måste publiceras på ICO:s webbplats (168). |
| --- | --- |

(128)

Den brittiska regeringen har utfärdat riktlinjer för att bistå personuppgiftsansvariga när de överväger huruvida de ska ansöka om ett nationellt säkerhetsintyg enligt 2018 års dataskyddslag där det särskilt betonas att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (167). Alla nationella säkerhetsintyg måste publiceras på ICO:s webbplats (168).

167

168

| (129) | Intyget bör gälla för en bestämd period på högst fem år så att det regelbundet ses över av den verkställande makten (169). I ett certifikat ska det anges vilka personuppgifter eller kategorier av personuppgifter som omfattas av undantaget samt vilka bestämmelser i 2018 års dataskyddslag som undantaget gäller (170). |
| --- | --- |

(129)

Intyget bör gälla för en bestämd period på högst fem år så att det regelbundet ses över av den verkställande makten (169). I ett certifikat ska det anges vilka personuppgifter eller kategorier av personuppgifter som omfattas av undantaget samt vilka bestämmelser i 2018 års dataskyddslag som undantaget gäller (170).

169

170

| (130) | Det är viktigt att notera att nationella säkerhetsintyg inte utgör en ytterligare grund för att begränsa dataskyddsrättigheter av skäl som rör den nationella säkerheten. Den personuppgiftsansvariga eller personuppgiftsbiträdet kan med andra ord endast förlita sig på ett intyget när han eller hon har konstaterat att det är nödvändigt att förlita sig på undantaget för nationell säkerhet vilket, enligt förklaringen ovan, måste tillämpas från fall till fall (171). Även om ett nationellt säkerhetsintyg är tillämpligt på ärendet i fråga kan ICO undersöka om det var motiverat att åberopa undantaget för nationell säkerhet i ett visst fall (172). |
| --- | --- |

(130)

Det är viktigt att notera att nationella säkerhetsintyg inte utgör en ytterligare grund för att begränsa dataskyddsrättigheter av skäl som rör den nationella säkerheten. Den personuppgiftsansvariga eller personuppgiftsbiträdet kan med andra ord endast förlita sig på ett intyget när han eller hon har konstaterat att det är nödvändigt att förlita sig på undantaget för nationell säkerhet vilket, enligt förklaringen ovan, måste tillämpas från fall till fall (171). Även om ett nationellt säkerhetsintyg är tillämpligt på ärendet i fråga kan ICO undersöka om det var motiverat att åberopa undantaget för nationell säkerhet i ett visst fall (172).

171

172

| (131) | Varje person som direkt berörs av utfärdandet av certifikatet kan överklaga detta till Upper Tribunal (173) eller (174) bestrida tillämpningen av certifikatet när det gäller specifika uppgifter om certifikatet identifierar uppgifter med hjälp av en allmän beskrivning, (175). Skiljedomstolen kommer att ompröva beslutet att utfärda ett certifikat och besluta om det fanns rimliga skäl att utfärda intyget (176). Den kan behandla ett stort antal frågor, bland annat nödvändighet, proportionalitet och laglighet, med beaktande av konsekvenserna för de registrerades rättigheter och avvägningen av behovet av att skydda den nationella säkerheten. Till följd av detta kan domstolen fastställa att intyget inte är tillämpligt på specifika personuppgifter som är föremål för överklagandet (177). |
| --- | --- |

(131)

Varje person som direkt berörs av utfärdandet av certifikatet kan överklaga detta till Upper Tribunal (173) eller (174) bestrida tillämpningen av certifikatet när det gäller specifika uppgifter om certifikatet identifierar uppgifter med hjälp av en allmän beskrivning, (175). Skiljedomstolen kommer att ompröva beslutet att utfärda ett certifikat och besluta om det fanns rimliga skäl att utfärda intyget (176). Den kan behandla ett stort antal frågor, bland annat nödvändighet, proportionalitet och laglighet, med beaktande av konsekvenserna för de registrerades rättigheter och avvägningen av behovet av att skydda den nationella säkerheten. Till följd av detta kan domstolen fastställa att intyget inte är tillämpligt på specifika personuppgifter som är föremål för överklagandet (177).

Upper Tribunal

173

174

175

176

177

| (132) | En annan uppsättning möjliga begränsningar gäller dem som enligt tillägg 11 till 2018 års dataskyddslag är tillämpliga på vissa bestämmelser i del 4 i denna lag (178) för att skydda andra viktiga mål av allmänt intresse eller skyddade intressen, till exempel parlamentariska privilegier, rätten till förtrolig kommunikation mellan advokat och klient, genomförandet av rättsliga förfaranden eller de väpnade styrkornas stridsförmåga (179). Tillämpningen av dessa bestämmelser är antingen undantagen för vissa kategorier av information (”typbaserad”) eller undantagen i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada det skyddade intresset (”skadebaserat”) (180). Skadebaserade undantag kan endast åberopas i den mån tillämpningen av den angivna dataskyddsbestämmelsen sannolikt skulle skada det specifika intresset i fråga. Användning av ett undantag måste därför alltid motiveras med hänvisning till den relevanta skada som sannolikt skulle uppstå i det enskilda fallet. Typbaserade undantag kan endast åberopas med avseende på den specifika, snävt definierade informationskategori för vilken undantaget beviljas. Dessa liknar varandra i syfte och verkan med flera av undantagen i den brittiska dataskyddsförordningen (enligt förteckning 2 (Schedule 2) i 2018 års dataskyddslag) som i sin tur återspeglar undantagen i artikel 23 i dataskyddsförordningen. |
| --- | --- |

(132)

En annan uppsättning möjliga begränsningar gäller dem som enligt tillägg 11 till 2018 års dataskyddslag är tillämpliga på vissa bestämmelser i del 4 i denna lag (178) för att skydda andra viktiga mål av allmänt intresse eller skyddade intressen, till exempel parlamentariska privilegier, rätten till förtrolig kommunikation mellan advokat och klient, genomförandet av rättsliga förfaranden eller de väpnade styrkornas stridsförmåga (179). Tillämpningen av dessa bestämmelser är antingen undantagen för vissa kategorier av information (”typbaserad”) eller undantagen i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada det skyddade intresset (”skadebaserat”) (180). Skadebaserade undantag kan endast åberopas i den mån tillämpningen av den angivna dataskyddsbestämmelsen sannolikt skulle skada det specifika intresset i fråga. Användning av ett undantag måste därför alltid motiveras med hänvisning till den relevanta skada som sannolikt skulle uppstå i det enskilda fallet. Typbaserade undantag kan endast åberopas med avseende på den specifika, snävt definierade informationskategori för vilken undantaget beviljas. Dessa liknar varandra i syfte och verkan med flera av undantagen i den brittiska dataskyddsförordningen (enligt förteckning 2 (Schedule 2) i 2018 års dataskyddslag) som i sin tur återspeglar undantagen i artikel 23 i dataskyddsförordningen.

178

179

180

| (133) | Av ovanstående följer att begränsningar och villkor finns i tillämplig brittisk lagstiftning, som den också tolkas av domstolarna och the Information Commission, för att säkerställa att dessa undantag och begränsningar håller sig inom gränserna för vad som är nödvändigt och proportionerligt för att skydda den nationella säkerheten. |
| --- | --- |

(133)

Av ovanstående följer att begränsningar och villkor finns i tillämplig brittisk lagstiftning, som den också tolkas av domstolarna och the Information Commission, för att säkerställa att dessa undantag och begränsningar håller sig inom gränserna för vad som är nödvändigt och proportionerligt för att skydda den nationella säkerheten.

the Information Commission

3.2   Tillgång till och användning av brittiska myndigheter i brottsbekämpningssyfte

Tillgång till och användning av brittiska myndigheter i brottsbekämpningssyfte

| (134) | Förenade kungarikets lagstiftning föreskriver ett antal begränsningar av tillgången till och användningen av personuppgifter i brottsbekämpningssyfte och tillhandahåller tillsyns- och prövningsmekanismer på detta område som är i linje med de krav som avses i skälen 113–115 i detta beslut. Villkoren för sådan tillgång och de garantier som gäller för utövandet av dessa befogenheter bedöms i detalj i följande avsnitt. |
| --- | --- |

(134)

Förenade kungarikets lagstiftning föreskriver ett antal begränsningar av tillgången till och användningen av personuppgifter i brottsbekämpningssyfte och tillhandahåller tillsyns- och prövningsmekanismer på detta område som är i linje med de krav som avses i skälen 113–115 i detta beslut. Villkoren för sådan tillgång och de garantier som gäller för utövandet av dessa befogenheter bedöms i detalj i följande avsnitt.

3.2.1   Rättslig grund och tillämpliga begränsningar och skyddsåtgärder

Rättslig grund och tillämpliga begränsningar och skyddsåtgärder

| (135) | Enligt den legalitetsprincip som garanteras i avsnitt 35 i 2018 års dataskyddslag är behandling av personuppgifter för något av de brottsbekämpande ändamålen laglig endast om den registrerade har lämnat sitt samtycke till behandlingen för detta ändamål (181) eller om behandlingen är nödvändig för att utföra en arbetsuppgift som utförs för detta ändamål av en behörig myndighet. |
| --- | --- |

(135)

Enligt den legalitetsprincip som garanteras i avsnitt 35 i 2018 års dataskyddslag är behandling av personuppgifter för något av de brottsbekämpande ändamålen laglig endast om den registrerade har lämnat sitt samtycke till behandlingen för detta ändamål (181) eller om behandlingen är nödvändig för att utföra en arbetsuppgift som utförs för detta ändamål av en behörig myndighet.

181

3.2.1.1   Beslut om husrannsakan och utlämnandeorder

Beslut om husrannsakan och utlämnandeorder

| (136) | I Förenade kungarikets rättsliga ram är insamling av personuppgifter från näringsidkare, däribland sådana som skulle behandla uppgifter som överförts från EU enligt detta beslut om adekvat skyddsnivå, tillåten i brottsbekämpningssyfte på grundval av beslut om husrannsakan (182) och utlämnandeorder (183). |
| --- | --- |

(136)

I Förenade kungarikets rättsliga ram är insamling av personuppgifter från näringsidkare, däribland sådana som skulle behandla uppgifter som överförts från EU enligt detta beslut om adekvat skyddsnivå, tillåten i brottsbekämpningssyfte på grundval av beslut om husrannsakan (182) och utlämnandeorder (183).

182

183

| (137) | Beslut om husrannsakan utfärdas av en domstol, vanligtvis på begäran av utredaren. De gör det möjligt för tjänstemän att få tillträde till lokaler för att söka efter material eller personer som är relevanta för deras utredning och behålla allt för vilket en husrannsakan har bemyndigats, däribland alla relevanta handlingar eller material som innehåller personuppgifter (184). En utlämnandeorder, som också måste utfärdas av en domstol, kräver att den person som anges i beslutet framställer eller ger tillgång till material som de innehar eller kontrollerar. Sökanden måste motivera för domstolen varför beslutet eller ordern är nödvändigt samt varför det ligger i allmänhetens intresse. Det finns flera lagstadgade befogenheter som gör det möjligt att utfärda ett beslut om husrannsakan och en utlämnandeorder. Varje bestämmelse har en egen uppsättning lagstadgade villkor som måste vara uppfyllda för att ett beslut om husrannsakan (185) eller en utlämnandeorder (186) ska kunna utfärdas. |
| --- | --- |

(137)

Beslut om husrannsakan utfärdas av en domstol, vanligtvis på begäran av utredaren. De gör det möjligt för tjänstemän att få tillträde till lokaler för att söka efter material eller personer som är relevanta för deras utredning och behålla allt för vilket en husrannsakan har bemyndigats, däribland alla relevanta handlingar eller material som innehåller personuppgifter (184). En utlämnandeorder, som också måste utfärdas av en domstol, kräver att den person som anges i beslutet framställer eller ger tillgång till material som de innehar eller kontrollerar. Sökanden måste motivera för domstolen varför beslutet eller ordern är nödvändigt samt varför det ligger i allmänhetens intresse. Det finns flera lagstadgade befogenheter som gör det möjligt att utfärda ett beslut om husrannsakan och en utlämnandeorder. Varje bestämmelse har en egen uppsättning lagstadgade villkor som måste vara uppfyllda för att ett beslut om husrannsakan (185) eller en utlämnandeorder (186) ska kunna utfärdas.

184

185

186

| (138) | Utlämnandeorder och beslut om husrannsakan kan överklagas genom rättslig prövning (187). När det gäller skyddsåtgärder bör alla brottsbekämpande myndigheter som omfattas av del 3 i 2018 års dataskyddslag endast få tillgång till personuppgifter – vilket är en form av behandling – i enlighet med de principer och krav som fastställs i den lagen (se skälen 122 och 124 ovan). Därför bör en begäran från en brottsbekämpande myndighet vara förenlig med principen att ändamålen med behandlingen måste specificeras, vara uttryckliga och berättigade (188) och att de personuppgifter som behandlas av en behörig myndighet måste vara relevanta för detta ändamål och inte överdrivna (189). |
| --- | --- |

(138)

Utlämnandeorder och beslut om husrannsakan kan överklagas genom rättslig prövning (187). När det gäller skyddsåtgärder bör alla brottsbekämpande myndigheter som omfattas av del 3 i 2018 års dataskyddslag endast få tillgång till personuppgifter – vilket är en form av behandling – i enlighet med de principer och krav som fastställs i den lagen (se skälen 122 och 124 ovan). Därför bör en begäran från en brottsbekämpande myndighet vara förenlig med principen att ändamålen med behandlingen måste specificeras, vara uttryckliga och berättigade (188) och att de personuppgifter som behandlas av en behörig myndighet måste vara relevanta för detta ändamål och inte överdrivna (189).

187

188

189

3.2.1.2   Utredningsbefogenheter för brottsbekämpande ändamål

Utredningsbefogenheter för brottsbekämpande ändamål

| (139) | För att förebygga eller endast för att upptäcka grova brott (190) kan vissa brottsbekämpande myndigheter, till exempel National Crime Agency eller Chief of Police (191), använda riktade utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter. I detta fall gäller skyddsåtgärderna enligt 2016 års lag om utredningsbefogenheter utöver de skyddsåtgärder som anges i del 3 i 2018 års dataskyddslag. De specifika utredningsbefogenheter som dessa brottsbekämpande myndigheter kan förlita sig till är riktad avlyssning (del 2 i 2016 års lag om utredningsbefogenheter), inhämtande av kommunikationsuppgifter (del 3 i 2016 års lag om utredningsbefogenheter), lagring av kommunikationsuppgifter (del 4 i 2016 års lag om utredningsbefogenheter) och riktat ingrepp i utrustning (del 5 i 2016 års lag om utredningsbefogenheter). Avlyssning omfattar inhämtande av innehållet i en kommunikation (192) medan inhämtande och lagring av kommunikationsuppgifter inte syftar till att erhålla innehållet i kommunikationen utan till ”vem”, ”när”, ”var” och ”hur” när det gäller kommunikationen. Detta omfattar t.ex. tid och varaktighet för kommunikationen, telefonnumret eller e-postadressen till avsändaren och mottagaren av kommunikationen och ibland platsen för den utrustning från vilken kommunikationen gjordes, abonnenten på en telefonitjänst eller en specificerad räkning (193). Utrustning är en uppsättning tekniktyper som används för att erhålla olika data från utrustning, däribland datorer, surfplattor och smarttelefoner samt kablar, ledningar och lagringsenheter (194). |
| --- | --- |

(139)

För att förebygga eller endast för att upptäcka grova brott (190) kan vissa brottsbekämpande myndigheter, till exempel National Crime Agency eller Chief of Police (191), använda riktade utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter. I detta fall gäller skyddsåtgärderna enligt 2016 års lag om utredningsbefogenheter utöver de skyddsåtgärder som anges i del 3 i 2018 års dataskyddslag. De specifika utredningsbefogenheter som dessa brottsbekämpande myndigheter kan förlita sig till är riktad avlyssning (del 2 i 2016 års lag om utredningsbefogenheter), inhämtande av kommunikationsuppgifter (del 3 i 2016 års lag om utredningsbefogenheter), lagring av kommunikationsuppgifter (del 4 i 2016 års lag om utredningsbefogenheter) och riktat ingrepp i utrustning (del 5 i 2016 års lag om utredningsbefogenheter). Avlyssning omfattar inhämtande av innehållet i en kommunikation (192) medan inhämtande och lagring av kommunikationsuppgifter inte syftar till att erhålla innehållet i kommunikationen utan till ”vem”, ”när”, ”var” och ”hur” när det gäller kommunikationen. Detta omfattar t.ex. tid och varaktighet för kommunikationen, telefonnumret eller e-postadressen till avsändaren och mottagaren av kommunikationen och ibland platsen för den utrustning från vilken kommunikationen gjordes, abonnenten på en telefonitjänst eller en specificerad räkning (193). Utrustning är en uppsättning tekniktyper som används för att erhålla olika data från utrustning, däribland datorer, surfplattor och smarttelefoner samt kablar, ledningar och lagringsenheter (194).

190

National Crime Agency

Chief of Police

191

192

193

194

| (140) | Riktade avlyssningsbefogenheter kan också användas när det är nödvändigt för att ge verkan åt bestämmelserna i ett EU-instrument för ömsesidigt bistånd eller ett internationellt avtal om ömsesidigtbistånd (så kallad beslut om ömsesidigt bistånd (195)). Beslut om ömsesidigt bistånd ges endast i samband med avlyssning, inte inhämtande av kommunikationsuppgifter eller ingrepp i utrustning. Dessa riktade befogenheter regleras i 2016 års lag om utredningsbefogenheter (IPA 2016) (196) som tillsammans med 2000 års lag om utredningsbefogenheter (RIPA) för England, Wales and Nordirland och 2000 års lag om utredningsbefogenheter (Skottland) (Regulation of Investigatory Powers (Scotland) Act 2000, RIPSA) för Skottland utgör den rättsliga grunden och fastställer tillämpliga begränsningar och skyddsåtgärder för användningen av sådana befogenheter. 2016 års lag om masutredningsbefogenheter innehåller också ett system för utnyttjande av massutredningsbefogenheter även om dessa inte är tillgängliga för brottsbekämpande myndigheter (endast underrättelsetjänster kan utnyttja dem) (197). |
| --- | --- |

(140)

Riktade avlyssningsbefogenheter kan också användas när det är nödvändigt för att ge verkan åt bestämmelserna i ett EU-instrument för ömsesidigt bistånd eller ett internationellt avtal om ömsesidigtbistånd (så kallad beslut om ömsesidigt bistånd (195)). Beslut om ömsesidigt bistånd ges endast i samband med avlyssning, inte inhämtande av kommunikationsuppgifter eller ingrepp i utrustning. Dessa riktade befogenheter regleras i 2016 års lag om utredningsbefogenheter (IPA 2016) (196) som tillsammans med 2000 års lag om utredningsbefogenheter (RIPA) för England, Wales and Nordirland och 2000 års lag om utredningsbefogenheter (Skottland) (Regulation of Investigatory Powers (Scotland) Act 2000, RIPSA) för Skottland utgör den rättsliga grunden och fastställer tillämpliga begränsningar och skyddsåtgärder för användningen av sådana befogenheter. 2016 års lag om masutredningsbefogenheter innehåller också ett system för utnyttjande av massutredningsbefogenheter även om dessa inte är tillgängliga för brottsbekämpande myndigheter (endast underrättelsetjänster kan utnyttja dem) (197).

195

196

Regulation of Investigatory Powers (Scotland) Act 2000

197

| (141) | För att kunna utöva dessa befogenheter måste myndigheterna erhålla ett beslut (198) som utfärdats av behörig myndighet (199) och som godkänts av en oberoende Judicial Commissioner (200) (det så kallade ”double lock-förfarandet”). Erhållandet av ett sådant beslut är föremål för en nödvändighets- och proportionalitetsprövning (201). Eftersom dessa riktade utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter är desamma som de som nationella säkerhetsmyndigheter har tillgång till behandlas de villkor, begränsningar och skyddsåtgärder som gäller för sådana befogenheter i detalj i avsnittet om brittiska myndigheters tillgång till och användning av personuppgifter för ändamål som rör nationell säkerhet (se skäl 177 och följande). |
| --- | --- |

(141)

För att kunna utöva dessa befogenheter måste myndigheterna erhålla ett beslut (198) som utfärdats av behörig myndighet (199) och som godkänts av en oberoende Judicial Commissioner (200) (det så kallade ”double lock-förfarandet”). Erhållandet av ett sådant beslut är föremål för en nödvändighets- och proportionalitetsprövning (201). Eftersom dessa riktade utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter är desamma som de som nationella säkerhetsmyndigheter har tillgång till behandlas de villkor, begränsningar och skyddsåtgärder som gäller för sådana befogenheter i detalj i avsnittet om brittiska myndigheters tillgång till och användning av personuppgifter för ändamål som rör nationell säkerhet (se skäl 177 och följande).

198

199

Judicial Commissioner

200

201

3.2.2   Vidare användning av de insamlade uppgifterna

Vidare användning av de insamlade uppgifterna

| (142) | En brottsbekämpande myndighets delning av uppgifter med en annan myndighet för andra ändamål än de för vilka de ursprungligen samlades in (s.k. vidare delning) omfattas av vissa villkor. |
| --- | --- |

(142)

En brottsbekämpande myndighets delning av uppgifter med en annan myndighet för andra ändamål än de för vilka de ursprungligen samlades in (s.k. vidare delning) omfattas av vissa villkor.

| (143) | I likhet med vad som föreskrivs i artikel 4.2 i direktiv (EU) 2016/680 tillåter avsnitt 36.3 i 2018 års dataskyddslag att personuppgifter som samlats in av en behörig myndighet för brottsbekämpande ändamål får behandlas ytterligare (antingen av den ursprungliga personuppgiftsansvariga eller av en annan personuppgiftsansvarig) för andra brottsbekämpande ändamål, förutsatt att den personuppgiftsansvariga enligt lag är bemyndigad att behandla uppgifter för det andra ändamålet och att behandlingen är nödvändig och står i proportion till detta ändamål (202). I detta fall gäller alla skyddsåtgärder som föreskrivs i del 3 i 2018 års dataskyddslag och som avses i skälen 122 och 124 är tillämpliga på den behandling som utförs av den mottagande myndigheten. |
| --- | --- |

(143)

I likhet med vad som föreskrivs i artikel 4.2 i direktiv (EU) 2016/680 tillåter avsnitt 36.3 i 2018 års dataskyddslag att personuppgifter som samlats in av en behörig myndighet för brottsbekämpande ändamål får behandlas ytterligare (antingen av den ursprungliga personuppgiftsansvariga eller av en annan personuppgiftsansvarig) för andra brottsbekämpande ändamål, förutsatt att den personuppgiftsansvariga enligt lag är bemyndigad att behandla uppgifter för det andra ändamålet och att behandlingen är nödvändig och står i proportion till detta ändamål (202). I detta fall gäller alla skyddsåtgärder som föreskrivs i del 3 i 2018 års dataskyddslag och som avses i skälen 122 och 124 är tillämpliga på den behandling som utförs av den mottagande myndigheten.

202

| (144) | I Förenade kungarikets rättsordning tillåter olika lagar uttryckligen sådan vidare delning. I synnerhet i) 2017 års lag om den digitala ekonomin tillåter delning mellan myndigheter för flera ändamål, till exempel vid bedrägeri mot den offentliga sektorn som skulle innebära förlust eller risk för förlust för en myndighet (203) eller vid en skuld till en myndighet eller till staten (204), ii) Crime and Courts Act 2013 som tillåter informationsutbyte med den nationella brottsmyndigheten för bekämpning (205), utredning och lagföring av grov och organiserad brottslighet, iii) Serious Crime Act 2007 som gör det möjligt för myndigheter att lämna ut information till bedrägeribekämpningsorganisationer i syfte att förebygga bedrägeri (206). |
| --- | --- |

(144)

I Förenade kungarikets rättsordning tillåter olika lagar uttryckligen sådan vidare delning. I synnerhet i) 2017 års lag om den digitala ekonomin tillåter delning mellan myndigheter för flera ändamål, till exempel vid bedrägeri mot den offentliga sektorn som skulle innebära förlust eller risk för förlust för en myndighet (203) eller vid en skuld till en myndighet eller till staten (204), ii) Crime and Courts Act 2013 som tillåter informationsutbyte med den nationella brottsmyndigheten för bekämpning (205), utredning och lagföring av grov och organiserad brottslighet, iii) Serious Crime Act 2007 som gör det möjligt för myndigheter att lämna ut information till bedrägeribekämpningsorganisationer i syfte att förebygga bedrägeri (206).

203

204

Crime and Courts Act 2013

205

Serious Crime Act 2007

206

| (145) | I dessa lagar föreskrivs uttryckligen att informationsutbytet bör ske i enlighet med de principer som fastställs i 2018 års dataskyddslag. Dessutom har polisakademin utfärdat en auktoriserad yrkespraxis för informationsutbyte (207) för att hjälpa polisen att uppfylla sina dataskyddsskyldigheter enligt den brittiska dataskyddsförordningen, dataskyddslagen och Human Rights Act 1998. Naturligtvis äger en rättslig prövning rum för att undersöka om utbytet överensstämmer med den tillämpliga rättsliga ramen för dataskydd (208). |
| --- | --- |

(145)

I dessa lagar föreskrivs uttryckligen att informationsutbytet bör ske i enlighet med de principer som fastställs i 2018 års dataskyddslag. Dessutom har polisakademin utfärdat en auktoriserad yrkespraxis för informationsutbyte (207) för att hjälpa polisen att uppfylla sina dataskyddsskyldigheter enligt den brittiska dataskyddsförordningen, dataskyddslagen och Human Rights Act 1998. Naturligtvis äger en rättslig prövning rum för att undersöka om utbytet överensstämmer med den tillämpliga rättsliga ramen för dataskydd (208).

207

Human Rights Act 1998

208

| (146) | I likhet med vad som anges i artikel 9 i direktiv (EU) 2016/680 föreskriver 2018 års dataskyddslag dessutom att personuppgifter som samlas in för brottsbekämpningsändamål får behandlas för ett ändamål som inte är brottsbekämpningssyfte när behandlingen är tillåten enligt lag (209). |
| --- | --- |

(146)

I likhet med vad som anges i artikel 9 i direktiv (EU) 2016/680 föreskriver 2018 års dataskyddslag dessutom att personuppgifter som samlas in för brottsbekämpningsändamål får behandlas för ett ändamål som inte är brottsbekämpningssyfte när behandlingen är tillåten enligt lag (209).

209

| (147) | Denna typ av delning omfattar de två scenarierna 1) när en brottsbekämpande myndighet delar uppgifter med en annan icke-straffrättslig brottsbekämpande myndighet än en underrättelsetjänst (t.ex. en finans- eller skattemyndighet, en konkurrensmyndighet, en barn- och ungdomsmyndighet osv.) och 2) när en brottsbekämpande myndighet delar uppgifter med en underrättelsetjänst. I det första scenariot kommer behandlingen av personuppgifter att omfattas av den brittiska dataskyddsförordningen och av del 2 i 2018 års dataskyddslag. Kommissionen har bedömt de skyddsåtgärder som föreskrivs i den brittiska dataskyddsförordningen och del 2 i 2018 års dataskyddslag i skälen 12–111 och har dragit slutsatsen att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som överförs inom tillämpningsområdet för förordning (EU) 2016/679 från Europeiska unionen till Förenade kungariket. |
| --- | --- |

(147)

Denna typ av delning omfattar de två scenarierna 1) när en brottsbekämpande myndighet delar uppgifter med en annan icke-straffrättslig brottsbekämpande myndighet än en underrättelsetjänst (t.ex. en finans- eller skattemyndighet, en konkurrensmyndighet, en barn- och ungdomsmyndighet osv.) och 2) när en brottsbekämpande myndighet delar uppgifter med en underrättelsetjänst. I det första scenariot kommer behandlingen av personuppgifter att omfattas av den brittiska dataskyddsförordningen och av del 2 i 2018 års dataskyddslag. Kommissionen har bedömt de skyddsåtgärder som föreskrivs i den brittiska dataskyddsförordningen och del 2 i 2018 års dataskyddslag i skälen 12–111 och har dragit slutsatsen att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som överförs inom tillämpningsområdet för förordning (EU) 2016/679 från Europeiska unionen till Förenade kungariket.

| (148) | I det andra scenariot, när det gäller utbyte av uppgifter som samlats in av en brottsbekämpande myndighet med en underrättelsetjänst för ändamål som rör nationell säkerhet är den rättsliga grunden för sådant utbyte avsnitt 19 i Counter Terrorism Act 2008 (CTA 2008) (210). Enligt denna lag får var och en lämna uppgifter till någon av underrättelsetjänsterna i syfte att fullgöra någon av dess funktioner, inbegripet ”nationell säkerhet”. |
| --- | --- |

(148)

I det andra scenariot, när det gäller utbyte av uppgifter som samlats in av en brottsbekämpande myndighet med en underrättelsetjänst för ändamål som rör nationell säkerhet är den rättsliga grunden för sådant utbyte avsnitt 19 i Counter Terrorism Act 2008 (CTA 2008) (210). Enligt denna lag får var och en lämna uppgifter till någon av underrättelsetjänsterna i syfte att fullgöra någon av dess funktioner, inbegripet ”nationell säkerhet”.

Counter Terrorism Act 2008

210

| (149) | När det gäller villkoren för utbyte av uppgifter för nationella säkerhetsändamål begränsar Intelligence Services Act (211) och Security Services Act (212) underrättelsetjänsternas möjligheter att inhämta uppgifter till vad som är nödvändigt för att de ska kunna fullgöra sina lagstadgade uppgifter. Brottsbekämpande organ som vill utbyta uppgifter med underrättelsetjänsterna kommer att behöva ta hänsyn till ett antal faktorer/begränsningar, utöver myndigheternas lagstadgade uppgifter som fastställs i lagen om underrättelsetjänster och lagen om säkerhetstjänster (213). I avsnitt 20 i Counter Terrorism Act 2008 klargörs att all datadelning enligt avsnitt 19 fortfarande måste vara förenlig med dataskyddslagstiftningen, vilket innebär att alla begränsningar och krav i del 3 i 2018 års dataskyddslag gäller. Eftersom behöriga myndigheter är myndigheter i den mening som avses i Human Rights Act 1998 måste de dessutom se till att de agerar i enlighet med rättigheterna i konventionen, däribland artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Dessa begränsningar säkerställer att allt uppgiftsutbyte mellan brottsbekämpande organ och underrättelsetjänster är förenligt med dataskyddslagstiftningen och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. |
| --- | --- |

(149)

När det gäller villkoren för utbyte av uppgifter för nationella säkerhetsändamål begränsar Intelligence Services Act (211) och Security Services Act (212) underrättelsetjänsternas möjligheter att inhämta uppgifter till vad som är nödvändigt för att de ska kunna fullgöra sina lagstadgade uppgifter. Brottsbekämpande organ som vill utbyta uppgifter med underrättelsetjänsterna kommer att behöva ta hänsyn till ett antal faktorer/begränsningar, utöver myndigheternas lagstadgade uppgifter som fastställs i lagen om underrättelsetjänster och lagen om säkerhetstjänster (213). I avsnitt 20 i Counter Terrorism Act 2008 klargörs att all datadelning enligt avsnitt 19 fortfarande måste vara förenlig med dataskyddslagstiftningen, vilket innebär att alla begränsningar och krav i del 3 i 2018 års dataskyddslag gäller. Eftersom behöriga myndigheter är myndigheter i den mening som avses i Human Rights Act 1998 måste de dessutom se till att de agerar i enlighet med rättigheterna i konventionen, däribland artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Dessa begränsningar säkerställer att allt uppgiftsutbyte mellan brottsbekämpande organ och underrättelsetjänster är förenligt med dataskyddslagstiftningen och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna.

r Intelligence Services Act

211

Security Services Act

212

213

Counter Terrorism Act 2008

Human Rights Act 1998

| (150) | När en behörig myndighet avser att dela personuppgifter som behandlas enligt del 3 i 2018 års dataskyddslag med brottsbekämpande myndigheter i ett tredjeland gäller särskilda krav (214). Sådana överföringar kan i synnerhet äga rum när de grundar sig på bestämmelser om adekvat skyddsnivå som utfärdats av ministern eller, i avsaknad av sådana bestämmelser, måste säkerställas. I avsnitt 75 i 2018 års dataskyddslag föreskrivs att lämpliga skyddsåtgärder ska vidtas om det fastställs i ett rättsligt instrument som binder den avsedda mottagaren, eller om den personuppgiftsansvariga, efter att ha bedömt alla omständigheter kring överföringar av denna typ av personuppgifter till tredjelandet eller den internationella organisationen, drar slutsatsen att det finns lämpliga skyddsåtgärder för att skydda uppgifterna. |
| --- | --- |

(150)

När en behörig myndighet avser att dela personuppgifter som behandlas enligt del 3 i 2018 års dataskyddslag med brottsbekämpande myndigheter i ett tredjeland gäller särskilda krav (214). Sådana överföringar kan i synnerhet äga rum när de grundar sig på bestämmelser om adekvat skyddsnivå som utfärdats av ministern eller, i avsaknad av sådana bestämmelser, måste säkerställas. I avsnitt 75 i 2018 års dataskyddslag föreskrivs att lämpliga skyddsåtgärder ska vidtas om det fastställs i ett rättsligt instrument som binder den avsedda mottagaren, eller om den personuppgiftsansvariga, efter att ha bedömt alla omständigheter kring överföringar av denna typ av personuppgifter till tredjelandet eller den internationella organisationen, drar slutsatsen att det finns lämpliga skyddsåtgärder för att skydda uppgifterna.

214

| (151) | Om en överföring inte grundar sig på en förordning om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan den endast ske under vissa, specificerade omständigheter, så kallade särskilda omständigheter (215). Detta är fallet när överföringen är nödvändig a) för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person, b) för att skydda den registrerades berättigade intressen, c) för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland, d) för att i enskilda fall för något av de brottsbekämpande ändamålen eller e) för att i enskilda fall för ett rättsligt ändamål (t.ex. i samband med rättsliga förfaranden eller för att erhålla juridisk rådgivning). Det kan noteras att d) och e) inte är tillämpliga om den registrerades rättigheter och friheter väger tyngre än det allmänna intresset av överföringen. Dessa omständigheter motsvarar de särskilda situationer och villkor som räknas som ”undantag” enligt artikel 38 i direktiv (EU) 2016/680. |
| --- | --- |

(151)

Om en överföring inte grundar sig på en förordning om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan den endast ske under vissa, specificerade omständigheter, så kallade särskilda omständigheter (215). Detta är fallet när överföringen är nödvändig a) för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person, b) för att skydda den registrerades berättigade intressen, c) för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland, d) för att i enskilda fall för något av de brottsbekämpande ändamålen eller e) för att i enskilda fall för ett rättsligt ändamål (t.ex. i samband med rättsliga förfaranden eller för att erhålla juridisk rådgivning). Det kan noteras att d) och e) inte är tillämpliga om den registrerades rättigheter och friheter väger tyngre än det allmänna intresset av överföringen. Dessa omständigheter motsvarar de särskilda situationer och villkor som räknas som ”undantag” enligt artikel 38 i direktiv (EU) 2016/680.

215

| (152) | När det material som de brottsbekämpande myndigheterna inhämtat inom ramen för ett beslut som tillåter användning av avlyssning eller ingrepp i utrustning överlämnas till tredjeland införs ytterligare skyddsåtgärder genom 2016 års lag om utredningsbefogenheter. Ett sådant utlämnande, definierad som ”utlämnande till utlandet” är endast tillåten om den utfärdande myndigheten anser att det finns särskilda lämpliga arrangemang som begränsar antalet personer till vilka uppgifterna lämnas ut, i vilken utsträckning allt material lämnas ut eller görs tillgängligt samt i vilken utsträckning något av materialet kopieras och antalet kopior. Den utfärdande myndigheten får dessutom ta hänsyn till att lämpliga arrangemang är nödvändiga för att säkerställa att varje kopia av någon del av materialet förstörs så snart det inte längre finns några relevanta skäl att behålla det (om det inte har förstörts tidigare) (216). |
| --- | --- |

(152)

När det material som de brottsbekämpande myndigheterna inhämtat inom ramen för ett beslut som tillåter användning av avlyssning eller ingrepp i utrustning överlämnas till tredjeland införs ytterligare skyddsåtgärder genom 2016 års lag om utredningsbefogenheter. Ett sådant utlämnande, definierad som ”utlämnande till utlandet” är endast tillåten om den utfärdande myndigheten anser att det finns särskilda lämpliga arrangemang som begränsar antalet personer till vilka uppgifterna lämnas ut, i vilken utsträckning allt material lämnas ut eller görs tillgängligt samt i vilken utsträckning något av materialet kopieras och antalet kopior. Den utfärdande myndigheten får dessutom ta hänsyn till att lämpliga arrangemang är nödvändiga för att säkerställa att varje kopia av någon del av materialet förstörs så snart det inte längre finns några relevanta skäl att behålla det (om det inte har förstörts tidigare) (216).

216

| (153) | Slutligen skulle särskilda former av vidare överföring från Förenade kungariket till Förenta staterna i framtiden kunna ske på grundval av avtalet mellan Förenade konungariket Storbritannien och Nordirlands regering och Amerikas förenta staters regering om tillgång till elektroniska uppgifter för bekämpning av grov brottslighet (avtalet mellan Förenade kungariket och Förenta staterna eller avtalet) (217) som ingicks i oktober 2019 (218). Avtalet mellan Förenade kungariket och Förenta staterna har ännu inte trätt i kraft vid tidpunkten för antagandet av detta beslut men dess förväntade ikraftträdande kan påverka vidare överföringar till Förenta staterna av uppgifter som först överfördes till Förenade kungariket på grundval av beslutet. Närmare bestämt skulle uppgifter som överförs från EU till tjänsteleverantörer i Förenade kungariket kunna bli föremål för förelägganden om framläggande av elektroniska bevis som utfärdats av behöriga amerikanska brottsbekämpande myndigheter och gjorts tillämpliga i Förenade kungariket enligt detta avtal så snart det trätt i kraft. Av dessa skäl är bedömningen av de villkor och skyddsåtgärder enligt vilka sådana förelägganden kan utfärdas och verkställas relevant för detta beslut. |
| --- | --- |

(153)

Slutligen skulle särskilda former av vidare överföring från Förenade kungariket till Förenta staterna i framtiden kunna ske på grundval av avtalet mellan Förenade konungariket Storbritannien och Nordirlands regering och Amerikas förenta staters regering om tillgång till elektroniska uppgifter för bekämpning av grov brottslighet (avtalet mellan Förenade kungariket och Förenta staterna eller avtalet) (217) som ingicks i oktober 2019 (218). Avtalet mellan Förenade kungariket och Förenta staterna har ännu inte trätt i kraft vid tidpunkten för antagandet av detta beslut men dess förväntade ikraftträdande kan påverka vidare överföringar till Förenta staterna av uppgifter som först överfördes till Förenade kungariket på grundval av beslutet. Närmare bestämt skulle uppgifter som överförs från EU till tjänsteleverantörer i Förenade kungariket kunna bli föremål för förelägganden om framläggande av elektroniska bevis som utfärdats av behöriga amerikanska brottsbekämpande myndigheter och gjorts tillämpliga i Förenade kungariket enligt detta avtal så snart det trätt i kraft. Av dessa skäl är bedömningen av de villkor och skyddsåtgärder enligt vilka sådana förelägganden kan utfärdas och verkställas relevant för detta beslut.

217

218

| (154) | I detta avseende bör det för det första noteras att avtalet, när det gäller dess materiella tillämpningsområde, endast är tillämpligt på brott som är belagda med ett maximistraff på minst tre års fängelse (definierat som ”allvarlig brottslighet”) (219), inbegripet ”terroristverksamhet”. För det andra får uppgifter som behandlas i den andra jurisdiktionen inhämtas enligt detta avtal endast efter ett ”föreläggandet [...] som är föremål för prövning eller tillsyn enligt den utfärdande partens nationella lagstiftning av en domstol, en domare, en fredsdomare eller en annan oberoende myndighet före eller i samband med ett förfarande för verkställighet av föreläggandet” (220). För det tredje måste varje föreläggande ”grundas på krav på rimlig motivering baserad på tydliga och trovärdiga fakta, utmärkande drag, laglighet och allvarlighetsgrad när det gäller det beteende som utreds” (221) och ”vara inriktad på specifika konton samt identifiera en viss person, ett visst konto, en särskild adress eller en personlig anordning eller någon annan specifik identifierare” (222). För det fjärde omfattas uppgifter som erhålls inom ramen för detta avtal av samma skydd som de särskilda skyddsåtgärder som föreskrivs i det så kallade paraplyavtalet mellan EU och USA (223) – ett omfattande avtal om dataskydd som EU och Förenta staterna ingick i december 2016 och som fastställer skyddsåtgärder och rättigheter som är tillämpliga på dataöverföringar på området för brottsbekämpande samarbete – som alla införlivas i detta avtal genom hänvisning på motsvarande sätt för att särskilt ta hänsyn till den särskilda karaktären hos överföringarna (dvs. överföringar från privata aktörer till brottsbekämpande myndigheter, snarare än överföringar mellan brottsbekämpande myndigheter) (224). I avtalet mellan Förenade kungariket och Förenta staterna föreskrivs särskilt att skydd som är likvärdigt med det som ges i paraplyavtalet mellan EU och Förenta Staterna ska tillämpas ”på all personlig information som framställs i samband med verkställandet av de beslut som omfattas av avtalet i syfte att ge likvärdigt skydd” (225). |
| --- | --- |

(154)

I detta avseende bör det för det första noteras att avtalet, när det gäller dess materiella tillämpningsområde, endast är tillämpligt på brott som är belagda med ett maximistraff på minst tre års fängelse (definierat som ”allvarlig brottslighet”) (219), inbegripet ”terroristverksamhet”. För det andra får uppgifter som behandlas i den andra jurisdiktionen inhämtas enligt detta avtal endast efter ett ”föreläggandet [...] som är föremål för prövning eller tillsyn enligt den utfärdande partens nationella lagstiftning av en domstol, en domare, en fredsdomare eller en annan oberoende myndighet före eller i samband med ett förfarande för verkställighet av föreläggandet” (220). För det tredje måste varje föreläggande ”grundas på krav på rimlig motivering baserad på tydliga och trovärdiga fakta, utmärkande drag, laglighet och allvarlighetsgrad när det gäller det beteende som utreds” (221) och ”vara inriktad på specifika konton samt identifiera en viss person, ett visst konto, en särskild adress eller en personlig anordning eller någon annan specifik identifierare” (222). För det fjärde omfattas uppgifter som erhålls inom ramen för detta avtal av samma skydd som de särskilda skyddsåtgärder som föreskrivs i det så kallade paraplyavtalet mellan EU och USA (223) – ett omfattande avtal om dataskydd som EU och Förenta staterna ingick i december 2016 och som fastställer skyddsåtgärder och rättigheter som är tillämpliga på dataöverföringar på området för brottsbekämpande samarbete – som alla införlivas i detta avtal genom hänvisning på motsvarande sätt för att särskilt ta hänsyn till den särskilda karaktären hos överföringarna (dvs. överföringar från privata aktörer till brottsbekämpande myndigheter, snarare än överföringar mellan brottsbekämpande myndigheter) (224). I avtalet mellan Förenade kungariket och Förenta staterna föreskrivs särskilt att skydd som är likvärdigt med det som ges i paraplyavtalet mellan EU och Förenta Staterna ska tillämpas ”på all personlig information som framställs i samband med verkställandet av de beslut som omfattas av avtalet i syfte att ge likvärdigt skydd” (225).

219

220

221

222

223

224

225

| (155) | Uppgifter som överförs till de amerikanska myndigheterna enligt avtalet mellan Förenade kungariket och Förenta staterna bör därför omfattas av det skydd som föreskrivs i ett EU-rättsligt instrument med nödvändiga anpassningar för att återspegla typen av överföringar i fråga. De brittiska myndigheterna har vidare bekräftat att skyddet i paraplyavtalet kommer att gälla för all personlig information som framställs eller bevaras enligt avtalet, oavsett typ eller typ av organ som begär det (t.ex. både federala och statliga brottsbekämpande myndigheter i Förenta staterna), så att likvärdigt skydd alltid måste ges. De brittiska myndigheterna har dock också förklarat att detaljerna i det konkreta genomförandet av dataskyddsgarantierna fortfarande är föremål för diskussioner mellan Förenade kungariket och USA. I samband med samtalen med Europeiska kommissionens avdelningar om detta beslut bekräftade de brittiska myndigheterna att de inte kommer att låta avtalet träda i kraft förrän de har försäkrat sig om att genomförandet är förenligt med de rättsliga skyldigheterna i avtalet, inbegripet klarhet när det gäller efterlevnaden av dataskyddsstandarderna för alla uppgifter som begärs enligt detta avtal. Eftersom ett eventuellt ikraftträdande av avtalet kan påverka den skyddsnivå som bedöms i detta beslut bör Förenade kungariket, så snart det blir tillgängligt och i alla händelser före avtalets ikraftträdande, meddela Europeiska kommissionen all information och eventuella framtida klargöranden om hur Förenta staterna kommer att fullgöra sina skyldigheter enligt avtalet, för att säkerställa en korrekt övervakning av detta beslut i enlighet med artikel 45.4 i förordning (EU) 2016/679. Särskild uppmärksamhet kommer att ägnas åt tillämpningen och anpassningen av paraplyavtalets skydd till den särskilda typ av överföringar som omfattas av avtalet mellan Förenade kungariket och Förenta staterna. |
| --- | --- |

(155)

Uppgifter som överförs till de amerikanska myndigheterna enligt avtalet mellan Förenade kungariket och Förenta staterna bör därför omfattas av det skydd som föreskrivs i ett EU-rättsligt instrument med nödvändiga anpassningar för att återspegla typen av överföringar i fråga. De brittiska myndigheterna har vidare bekräftat att skyddet i paraplyavtalet kommer att gälla för all personlig information som framställs eller bevaras enligt avtalet, oavsett typ eller typ av organ som begär det (t.ex. både federala och statliga brottsbekämpande myndigheter i Förenta staterna), så att likvärdigt skydd alltid måste ges. De brittiska myndigheterna har dock också förklarat att detaljerna i det konkreta genomförandet av dataskyddsgarantierna fortfarande är föremål för diskussioner mellan Förenade kungariket och USA. I samband med samtalen med Europeiska kommissionens avdelningar om detta beslut bekräftade de brittiska myndigheterna att de inte kommer att låta avtalet träda i kraft förrän de har försäkrat sig om att genomförandet är förenligt med de rättsliga skyldigheterna i avtalet, inbegripet klarhet när det gäller efterlevnaden av dataskyddsstandarderna för alla uppgifter som begärs enligt detta avtal. Eftersom ett eventuellt ikraftträdande av avtalet kan påverka den skyddsnivå som bedöms i detta beslut bör Förenade kungariket, så snart det blir tillgängligt och i alla händelser före avtalets ikraftträdande, meddela Europeiska kommissionen all information och eventuella framtida klargöranden om hur Förenta staterna kommer att fullgöra sina skyldigheter enligt avtalet, för att säkerställa en korrekt övervakning av detta beslut i enlighet med artikel 45.4 i förordning (EU) 2016/679. Särskild uppmärksamhet kommer att ägnas åt tillämpningen och anpassningen av paraplyavtalets skydd till den särskilda typ av överföringar som omfattas av avtalet mellan Förenade kungariket och Förenta staterna.

| (156) | Mer allmänt kommer all relevant utveckling när det gäller avtalets ikraftträdande och tillämpning att vederbörligen beaktas i samband med den fortlöpande övervakningen av detta beslut även när det gäller de nödvändiga konsekvenser som ska dras om det finns tecken på att en väsentligen likvärdig skyddsnivå inte längre säkerställs. |
| --- | --- |

(156)

Mer allmänt kommer all relevant utveckling när det gäller avtalets ikraftträdande och tillämpning att vederbörligen beaktas i samband med den fortlöpande övervakningen av detta beslut även när det gäller de nödvändiga konsekvenser som ska dras om det finns tecken på att en väsentligen likvärdig skyddsnivå inte längre säkerställs.

3.2.3   Tillsyn

Tillsyn

| (157) | Beroende på de befogenheter som de behöriga myndigheterna använder när de behandlar personuppgifter för brottsbekämpande ändamål (antingen enligt 2018 års dataskyddslag eller 2016 års lag om utredningsbefogenheter) säkerställer olika organ tillsynen över användningen av dessa befogenheter. I synnerhet övervakar the Information Commissioner behandlingen av personuppgifter när den omfattas av del 3 i 2018 års dataskyddslag (226). Oberoende och rättslig tillsyn över användningen av utredningsbefogenheter inom ramen för 2016 års lag om utredningsbefogenheter säkerställs av IPCO (Investigatory Powers Commissioner’s Office) (227) (denna del behandlas i skälen 250–255). Dessutom garanteras ytterligare tillsyn av parlamentet och andra organ. |
| --- | --- |

(157)

Beroende på de befogenheter som de behöriga myndigheterna använder när de behandlar personuppgifter för brottsbekämpande ändamål (antingen enligt 2018 års dataskyddslag eller 2016 års lag om utredningsbefogenheter) säkerställer olika organ tillsynen över användningen av dessa befogenheter. I synnerhet övervakar the Information Commissioner behandlingen av personuppgifter när den omfattas av del 3 i 2018 års dataskyddslag (226). Oberoende och rättslig tillsyn över användningen av utredningsbefogenheter inom ramen för 2016 års lag om utredningsbefogenheter säkerställs av IPCO (Investigatory Powers Commissioner’s Office) (227) (denna del behandlas i skälen 250–255). Dessutom garanteras ytterligare tillsyn av parlamentet och andra organ.

the Information Commissioner

226

(Investigatory Powers Commissioner’s Office

227

3.2.3.1   Tillsyn över del 3 i 2018 års dataskyddslag

Tillsyn över del 3 i 2018 års dataskyddslag

| (158) | De allmänna arbetsuppgifter som the Information Commissioner har – vars oberoende och organisation förklaras i skäl 87 – när det gäller behandling av personuppgifter som omfattas av del 3 i 2018 års dataskyddslag fastställs i bilaga 13 till denna lag. ICO har som huvuduppgift att övervaka och verkställa del 3 i 2018 års dataskyddslag samt att främja allmänhetens medvetenhet, ge råd till parlamentet, regeringen och andra institutioner och organ. För att upprätthålla rättsväsendets oberoende är the Information Commissioner inte bemyndigad att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap en av dömande myndighet eller av en domstol som agerar inom ramen för sin dömande verksamhet. Under dessa omständigheter skulle andra organ utöva tillsynsfunktionerna enligt skälen 99–103. |
| --- | --- |

(158)

De allmänna arbetsuppgifter som the Information Commissioner har – vars oberoende och organisation förklaras i skäl 87 – när det gäller behandling av personuppgifter som omfattas av del 3 i 2018 års dataskyddslag fastställs i bilaga 13 till denna lag. ICO har som huvuduppgift att övervaka och verkställa del 3 i 2018 års dataskyddslag samt att främja allmänhetens medvetenhet, ge råd till parlamentet, regeringen och andra institutioner och organ. För att upprätthålla rättsväsendets oberoende är the Information Commissioner inte bemyndigad att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap en av dömande myndighet eller av en domstol som agerar inom ramen för sin dömande verksamhet. Under dessa omständigheter skulle andra organ utöva tillsynsfunktionerna enligt skälen 99–103.

the Information Commissioner

the Information Commissioner

| (159) | The Commissioner har allmänna undersökande, korrigerande, tillståndsrelaterade och rådgivande befogenheter när det gäller behandling av personuppgifter som omfattas av del 3. I synnerhet har the Commissioner befogenhet att underrätta den personuppgiftsansvariga eller personuppgiftsbiträdet om en påstådd överträdelse av del 3 i 2018 års dataskyddslag, att utfärda varningar eller en reprimand till en personuppgiftsansvarig eller ett personuppgiftsbiträde som har överträtt bestämmelserna i del 3 i lagen, samt att på eget initiativ eller på begäran avge yttranden till parlamentet, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skydd av personuppgifter (228). |
| --- | --- |

(159)

The Commissioner har allmänna undersökande, korrigerande, tillståndsrelaterade och rådgivande befogenheter när det gäller behandling av personuppgifter som omfattas av del 3. I synnerhet har the Commissioner befogenhet att underrätta den personuppgiftsansvariga eller personuppgiftsbiträdet om en påstådd överträdelse av del 3 i 2018 års dataskyddslag, att utfärda varningar eller en reprimand till en personuppgiftsansvarig eller ett personuppgiftsbiträde som har överträtt bestämmelserna i del 3 i lagen, samt att på eget initiativ eller på begäran avge yttranden till parlamentet, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skydd av personuppgifter (228).

The Commissioner

the Commissioner

228

| (160) | Dessutom har the Commissioner befogenhet att utfärda informationsförelägganden (229), bedömningsförelägganden (230) och verkställighetsförelägganden (231) samt befogenhet att få tillgång till personuppgiftsansvarigas och personuppgiftsbiträdens handlingar, att få tillträde till deras lokaler (232) och att utfärda administrativa sanktionsavgifter i form av påföljdsförelägganden (233). I ICO:s policy för regleringsåtgärder (Information Commissioner’s Office Regulatory Action Policy) anges under vilka omständigheter den utfärdar förelägganden om information, bedömning, verkställighet och påföljder (234) (se även skäl 93 i direktiv (EU) 2016/680 om adekvat skyddsnivå, skälen 101–102). |
| --- | --- |

(160)

Dessutom har the Commissioner befogenhet att utfärda informationsförelägganden (229), bedömningsförelägganden (230) och verkställighetsförelägganden (231) samt befogenhet att få tillgång till personuppgiftsansvarigas och personuppgiftsbiträdens handlingar, att få tillträde till deras lokaler (232) och att utfärda administrativa sanktionsavgifter i form av påföljdsförelägganden (233). I ICO:s policy för regleringsåtgärder (Information Commissioner’s Office Regulatory Action Policy) anges under vilka omständigheter den utfärdar förelägganden om information, bedömning, verkställighet och påföljder (234) (se även skäl 93 i direktiv (EU) 2016/680 om adekvat skyddsnivå, skälen 101–102).

the Commissioner

229

230

231

232

233

Information Commissioner’s Office Regulatory Action Policy

234

| (161) | Enligt sina senaste årsrapporter (2018–2019 (235), 2019-2020 (236)) har the Information Commissioner genomfört ett antal utredningar och vidtagit verkställighetsåtgärder med avseende på brottsbekämpande myndigheters behandling av uppgifter. Till exempel genomförde the Commissioner en utredning och offentliggjorde ett yttrande i oktober 2019 om brottsbekämpande myndigheters användning av ansiktsigenkänningsteknik på offentliga platser. Utredningen inriktades särskilt på hur South Wales Police och Metropolitan Police Service (MPS) använder sig av kapacitet för ansiktsigenkänning på plats. The Information Commissioner undersökte också Metropolitan Police Service”Gangs matrix” (237) och fann en rad allvarliga överträdelser av dataskyddslagstiftningen som sannolikt skulle undergräva allmänhetens förtroende för matrisen och hur uppgifterna användes. I november 2018 utfärdade the Information Commissioner ett verkställighetsföreläggande och därefter vidtog Metropolitan Police Service de åtgärder som krävdes för att öka säkerheten och ansvarsskyldigheten och se till att uppgifterna användes på ett proportionerligt sätt. Ett annat exempel på verkställighetsåtgärder på detta område är de sanktionsavgifter på 325 000 pund som the Commissioner utfärdade mot åklagarmyndigheten i maj 2018 för att ha förlorat okrypterade dvd-skivor som innehöll inspelningar av polisförhör. The Information Commissioner genomförde också utredningar av bredare frågor, till exempel under första halvåret 2020 om användningen av avlyssning av mobiltelefoner för polisändamål och polisens behandling av brottsoffrens uppgifter. Dessutom utreder the Commissioner för närvarande ett ärende som inbegriper brottsbekämpande myndigheters tillgång till uppgifter som innehas av en enhet i den privata sektorn, Clearview AI Inc. (238) |
| --- | --- |

(161)

Enligt sina senaste årsrapporter (2018–2019 (235), 2019-2020 (236)) har the Information Commissioner genomfört ett antal utredningar och vidtagit verkställighetsåtgärder med avseende på brottsbekämpande myndigheters behandling av uppgifter. Till exempel genomförde the Commissioner en utredning och offentliggjorde ett yttrande i oktober 2019 om brottsbekämpande myndigheters användning av ansiktsigenkänningsteknik på offentliga platser. Utredningen inriktades särskilt på hur South Wales Police och Metropolitan Police Service (MPS) använder sig av kapacitet för ansiktsigenkänning på plats. The Information Commissioner undersökte också Metropolitan Police Service”Gangs matrix” (237) och fann en rad allvarliga överträdelser av dataskyddslagstiftningen som sannolikt skulle undergräva allmänhetens förtroende för matrisen och hur uppgifterna användes. I november 2018 utfärdade the Information Commissioner ett verkställighetsföreläggande och därefter vidtog Metropolitan Police Service de åtgärder som krävdes för att öka säkerheten och ansvarsskyldigheten och se till att uppgifterna användes på ett proportionerligt sätt. Ett annat exempel på verkställighetsåtgärder på detta område är de sanktionsavgifter på 325 000 pund som the Commissioner utfärdade mot åklagarmyndigheten i maj 2018 för att ha förlorat okrypterade dvd-skivor som innehöll inspelningar av polisförhör. The Information Commissioner genomförde också utredningar av bredare frågor, till exempel under första halvåret 2020 om användningen av avlyssning av mobiltelefoner för polisändamål och polisens behandling av brottsoffrens uppgifter. Dessutom utreder the Commissioner för närvarande ett ärende som inbegriper brottsbekämpande myndigheters tillgång till uppgifter som innehas av en enhet i den privata sektorn, Clearview AI Inc. (238)

235

236

the Information Commissioner

the Commissioner

The Information Commissioner

Metropolitan Police Service

237

the Information Commissioner

Metropolitan Police Service

the Commissioner

The Information Commissioner

the Commissioner

238

| (162) | Förutom de verkställande befogenheter som the Information Commissioner har som nämns i skälen 160 och 161 utgör vissa överträdelser av dataskyddslagstiftningen brott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i 2018 års dataskyddslag). Detta gäller till exempel för att erhålla, röja eller lagra personuppgifter utan den personuppgiftsansvarigas samtycke och för att säkerställa att personuppgifter lämnas ut till en annan person utan den personuppgiftsansvarigas samtycke” (239), återidentifierande information som utgörs av avidentifierade personuppgifter utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen av personuppgifterna (240), avsiktligen hindra the Commissioner från att utöva sina befogenheter när det gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (241), lämna oriktiga uppgifter om svar på ett informationsföreläggande eller förstöra information i samband med informations- och bedömningsförelägganden (242). |
| --- | --- |

(162)

Förutom de verkställande befogenheter som the Information Commissioner har som nämns i skälen 160 och 161 utgör vissa överträdelser av dataskyddslagstiftningen brott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i 2018 års dataskyddslag). Detta gäller till exempel för att erhålla, röja eller lagra personuppgifter utan den personuppgiftsansvarigas samtycke och för att säkerställa att personuppgifter lämnas ut till en annan person utan den personuppgiftsansvarigas samtycke” (239), återidentifierande information som utgörs av avidentifierade personuppgifter utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen av personuppgifterna (240), avsiktligen hindra the Commissioner från att utöva sina befogenheter när det gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (241), lämna oriktiga uppgifter om svar på ett informationsföreläggande eller förstöra information i samband med informations- och bedömningsförelägganden (242).

the Information Commissioner

239

240

the Commissioner

241

242

3.2.3.2   Andra tillsynsorgan på området brottsbekämpning

Andra tillsynsorgan på området brottsbekämpning

| (163) | Utöver the Information Commissioner finns det flera tillsynsorgan på det straffrättsliga området med särskilda mandat som är relevanta för dataskyddsfrågor. Detta inbegriper till exempel the Biometrics Commissioner (243) och the Surveillance Camera Commissioner (244). |
| --- | --- |

(163)

Utöver the Information Commissioner finns det flera tillsynsorgan på det straffrättsliga området med särskilda mandat som är relevanta för dataskyddsfrågor. Detta inbegriper till exempel the Biometrics Commissioner (243) och the Surveillance Camera Commissioner (244).

the Information Commissioner

the Biometrics Commissioner

243

the Surveillance Camera Commissioner

244

3.2.3.3   Parlamentarisk tillsyn på området brottsbekämpning

| (164) | Home Affairs Select Committee (HASC) utövar parlamentarisk tillsyn på området brottsbekämpning. Detta utskott består av 11 parlamentsledamöter från de tre största politiska partierna. Utskottet har till uppgift att granska inrikesministeriets och därmed sammanhängande offentliga organs utgifter, administration och politik, dvs. polisen och NCA – vars arbete utskottet kan granska särskilt (245). |
| --- | --- |

(164)

Home Affairs Select Committee (HASC) utövar parlamentarisk tillsyn på området brottsbekämpning. Detta utskott består av 11 parlamentsledamöter från de tre största politiska partierna. Utskottet har till uppgift att granska inrikesministeriets och därmed sammanhängande offentliga organs utgifter, administration och politik, dvs. polisen och NCA – vars arbete utskottet kan granska särskilt (245).

245

| (165) | Utskottet kan, inom ramen för sitt ansvarsområde, välja sitt eget undersökningsobjekt, inklusive särskilda fall, så länge frågan inte är under rättslig prövning. Utskottet får också begära skriftliga och muntliga bevis från ett brett spektrum av relevanta grupper och individer. Det utarbetar rapporter om sina iakttagelser och utfärdar rekommendationer till regeringen (246). Regeringen förväntas svara på var och en av rapportens rekommendationer och måste svara inom 60 dagar (247). |
| --- | --- |

(165)

Utskottet kan, inom ramen för sitt ansvarsområde, välja sitt eget undersökningsobjekt, inklusive särskilda fall, så länge frågan inte är under rättslig prövning. Utskottet får också begära skriftliga och muntliga bevis från ett brett spektrum av relevanta grupper och individer. Det utarbetar rapporter om sina iakttagelser och utfärdar rekommendationer till regeringen (246). Regeringen förväntas svara på var och en av rapportens rekommendationer och måste svara inom 60 dagar (247).

246

247

| (166) | På övervakningsområdet utarbetade utskottet även en rapport om 2000 års lag om utredningsbefogenheter (RIPA 2000) (248) där det konstaterades att 2000 års lag om utredningsbefogenheter inte var ändamålsenlig. Deras rapport beaktades när betydande delar av 2000 års lag om utredningsbefogenheter ersattes med 2016 års lag om utredningsbefogenheter En fullständig förteckning över undersökningar finns på utskottets webbplats (249). |
| --- | --- |

(166)

På övervakningsområdet utarbetade utskottet även en rapport om 2000 års lag om utredningsbefogenheter (RIPA 2000) (248) där det konstaterades att 2000 års lag om utredningsbefogenheter inte var ändamålsenlig. Deras rapport beaktades när betydande delar av 2000 års lag om utredningsbefogenheter ersattes med 2016 års lag om utredningsbefogenheter En fullständig förteckning över undersökningar finns på utskottets webbplats (249).

248

249

| (167) | HASC:s uppgifter utförs i Skottland av the Justice Subcommittee on Policing och i Nordirland av the Committee for Justice (250). |
| --- | --- |

(167)

HASC:s uppgifter utförs i Skottland av the Justice Subcommittee on Policing och i Nordirland av the Committee for Justice (250).

the Justice Subcommittee on Policing

the Committee for Justice

250

3.2.4   Prövningsmöjligheter

Prövningsmöjligheter

| (168) | När det gäller brottsbekämpande myndigheters behandling av uppgifter finns prövningsmekanismer tillgängliga i del 3 i 2018 års dataskyddslag och inom ramen för 2016 års lag om utredningsbefogenheter samt enligt Human Rights Act 1998. |
| --- | --- |

(168)

När det gäller brottsbekämpande myndigheters behandling av uppgifter finns prövningsmekanismer tillgängliga i del 3 i 2018 års dataskyddslag och inom ramen för 2016 års lag om utredningsbefogenheter samt enligt Human Rights Act 1998.

Human Rights Act 1998

| (169) | Denna serie av mekanismer ger de registrerade effektiva administrativa och rättsliga prövningsmöjligheter som gör det möjligt för dem att särskilt säkerställa sina rättigheter, inbegripet rätten att få tillgång till sina personuppgifter eller att få dessa uppgifter rättade eller raderade. |
| --- | --- |

(169)

Denna serie av mekanismer ger de registrerade effektiva administrativa och rättsliga prövningsmöjligheter som gör det möjligt för dem att särskilt säkerställa sina rättigheter, inbegripet rätten att få tillgång till sina personuppgifter eller att få dessa uppgifter rättade eller raderade.

| (170) | För det första har den registrerade enligt avsnitt 165 i 2018 års dataskyddslag rätt att lämna in ett klagomål till the Information Commissioner om den registrerade anser att det föreligger en överträdelse av del 3 i 2018 års dataskyddslag i samband med personuppgifter som rör honom eller henne (251). The Information Commissioner har befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av 2018 års dataskyddslag, kräva att han eller hon vidtar nödvändiga åtgärder vid bristande efterlevnad och utdöma sanktionsavgifter. |
| --- | --- |

(170)

För det första har den registrerade enligt avsnitt 165 i 2018 års dataskyddslag rätt att lämna in ett klagomål till the Information Commissioner om den registrerade anser att det föreligger en överträdelse av del 3 i 2018 års dataskyddslag i samband med personuppgifter som rör honom eller henne (251). The Information Commissioner har befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av 2018 års dataskyddslag, kräva att han eller hon vidtar nödvändiga åtgärder vid bristande efterlevnad och utdöma sanktionsavgifter.

the Information Commissioner

251

The Information Commissioner

| (171) | För det andra ger 2018 års dataskyddslag rätt till rättsmedel mot the Information Commissioner om denne inte behandlar ett klagomål från den registrerade på lämpligt sätt. Om the Commissioner underlåter att ”gå vidare” (252) med ett klagomål från den registrerade har klaganden tillgång till rättsmedel, eftersom de kan ansöka hos en First Tier Tribunal (253) att den ska ålägga the Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (254). Dessutom kan varje person som får något av de nämnda tillkännagivandena (informations-, bedömnings-, verkställighets- eller påföljdsföreläggandet) från the Commissioner överklaga till en First Tier Tribunal. Om tribunalen anser att det beslut the Commissioner fattar inte är förenligt med lagen eller att the Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt, ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som the Information Commissioner skulle ha kunnat avge eller fatta (255). |
| --- | --- |

(171)

För det andra ger 2018 års dataskyddslag rätt till rättsmedel mot the Information Commissioner om denne inte behandlar ett klagomål från den registrerade på lämpligt sätt. Om the Commissioner underlåter att ”gå vidare” (252) med ett klagomål från den registrerade har klaganden tillgång till rättsmedel, eftersom de kan ansöka hos en First Tier Tribunal (253) att den ska ålägga the Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (254). Dessutom kan varje person som får något av de nämnda tillkännagivandena (informations-, bedömnings-, verkställighets- eller påföljdsföreläggandet) från the Commissioner överklaga till en First Tier Tribunal. Om tribunalen anser att det beslut the Commissioner fattar inte är förenligt med lagen eller att the Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt, ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som the Information Commissioner skulle ha kunnat avge eller fatta (255).

the Information Commissioner

the Commissioner

252

First Tier Tribunal

253

the Commissioner

254

the Commissioner

First Tier Tribunal

the Commissioner

the Information Commissioner

the Information Commissioner

255

| (172) | För det tredje kan enskilda erhålla rättslig prövning av personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol. Enligt avsnitt 167 i 2018 års dataskyddslag får en registrerad lämna in en ansökan till domstolen om intrång i hans eller hennes rätt enligt dataskyddslagstiftningen och domstolen kan genom ett föreläggande begära att den personuppgiftsansvariga vidtar (eller avstår från att vidta) varje åtgärd med avseende på behandlingen för att följa 2018 års dataskyddslag. Enligt avsnitt 169 i 2018 års dataskyddslag har dessutom varje person som lidit skada till följd av en överträdelse av ett krav i dataskyddslagstiftningen (inklusive del 3 i 2018 års dataskyddslag), med undantag för brittiska dataskyddsförordningen, rätt till ersättning för denna skada från den personuppgiftsansvariga eller personuppgiftsbiträdet, utom om den personuppgiftsansvariga eller personuppgiftsbiträdet bevisar att den personuppgiftsansvariga eller personuppgiftsbiträdet inte på något sätt är ansvarig för den händelse som orsakade skadan. Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge. |
| --- | --- |

(172)

För det tredje kan enskilda erhålla rättslig prövning av personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol. Enligt avsnitt 167 i 2018 års dataskyddslag får en registrerad lämna in en ansökan till domstolen om intrång i hans eller hennes rätt enligt dataskyddslagstiftningen och domstolen kan genom ett föreläggande begära att den personuppgiftsansvariga vidtar (eller avstår från att vidta) varje åtgärd med avseende på behandlingen för att följa 2018 års dataskyddslag. Enligt avsnitt 169 i 2018 års dataskyddslag har dessutom varje person som lidit skada till följd av en överträdelse av ett krav i dataskyddslagstiftningen (inklusive del 3 i 2018 års dataskyddslag), med undantag för brittiska dataskyddsförordningen, rätt till ersättning för denna skada från den personuppgiftsansvariga eller personuppgiftsbiträdet, utom om den personuppgiftsansvariga eller personuppgiftsbiträdet bevisar att den personuppgiftsansvariga eller personuppgiftsbiträdet inte på något sätt är ansvarig för den händelse som orsakade skadan. Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge.

| (173) | Slutligen kan var och en om han eller hon anser att hans eller hennes rättigheter, inklusive rätten till integritet och dataskydd, har kränkts av alla myndigheter få sin sak prövad i domstol i Förenade kungariket enligt Human Rights Act 1998 (256) och efter att ha uttömt nationella rättsmedel kan en person, en icke-statlig organisation och grupper av enskilda få upprättelse inför Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt den europeiska konventionen om mänskliga rättigheter (257) (se skäl 111). |
| --- | --- |

(173)

Slutligen kan var och en om han eller hon anser att hans eller hennes rättigheter, inklusive rätten till integritet och dataskydd, har kränkts av alla myndigheter få sin sak prövad i domstol i Förenade kungariket enligt Human Rights Act 1998 (256) och efter att ha uttömt nationella rättsmedel kan en person, en icke-statlig organisation och grupper av enskilda få upprättelse inför Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt den europeiska konventionen om mänskliga rättigheter (257) (se skäl 111).

Human Rights Act 1998

256

257

3.2.4.1   Prövningsmekanismer inom 2016 års lag om utredningsbefogenheter

Prövningsmekanismer inom 2016 års lag om utredningsbefogenheter

| (174) | Enskilda personer kan erhålla rättslig prövning av överträdelser av 2016 års lag om utredningsbefogenheter inför tribunalen för utredningsbefogenheter. De möjligheter till rättslig prövning som står till buds inom ramen för 2016 års lag om utredningsbefogenheter beskrivs i skälen 263–269 nedan. |
| --- | --- |

(174)

Enskilda personer kan erhålla rättslig prövning av överträdelser av 2016 års lag om utredningsbefogenheter inför tribunalen för utredningsbefogenheter. De möjligheter till rättslig prövning som står till buds inom ramen för 2016 års lag om utredningsbefogenheter beskrivs i skälen 263–269 nedan.

3.3   Tillgång till och användning av brittiska myndigheter för ändamål som rör nationell säkerhet

Tillgång till och användning av brittiska myndigheter för ändamål som rör nationell säkerhet

| (175) | I Förenade kungarikets rättsordning är de underrättelsetjänster som har befogenhet att samla in elektronisk information som innehas av personuppgiftsansvariga eller personuppgiftsbiträden av nationella säkerhetsskäl, i situationer som är relevanta för ett adekvat scenario, the Security Service (258) (MI5), the Secret Intelligence Service (259) (SIS) och the Government Communications Headquarters (260) (GCHQ) (261). |
| --- | --- |

(175)

I Förenade kungarikets rättsordning är de underrättelsetjänster som har befogenhet att samla in elektronisk information som innehas av personuppgiftsansvariga eller personuppgiftsbiträden av nationella säkerhetsskäl, i situationer som är relevanta för ett adekvat scenario, the Security Service (258) (MI5), the Secret Intelligence Service (259) (SIS) och the Government Communications Headquarters (260) (GCHQ) (261).

the Security Service

258

the Secret Intelligence Service

259

the Government Communications Headquarters

260

261

3.3.1   Rättsliga grunder, begränsningar och skyddsåtgärder

Rättsliga grunder, begränsningar och skyddsåtgärder

| (176) | I Förenade kungariket definieras underrättelsetjänsternas befogenheter i 2016 års lag om utredningsbefogenheter och 2000 års lag om utredningsbefogenheter som tillsammans med 2018 års dataskyddslag fastställer det materiella och personliga tillämpningsområdet för dessa befogenheter samt begränsningar och skyddsåtgärder för utövandet av dem. Dessa befogenheter samt de begränsningar och skyddsåtgärder som är tillämpliga på dem bedöms i detalj i följande avsnitt. |
| --- | --- |

(176)

I Förenade kungariket definieras underrättelsetjänsternas befogenheter i 2016 års lag om utredningsbefogenheter och 2000 års lag om utredningsbefogenheter som tillsammans med 2018 års dataskyddslag fastställer det materiella och personliga tillämpningsområdet för dessa befogenheter samt begränsningar och skyddsåtgärder för utövandet av dem. Dessa befogenheter samt de begränsningar och skyddsåtgärder som är tillämpliga på dem bedöms i detalj i följande avsnitt.

3.3.1.1   Utredningsbefogenheter som utövas inom ramen för nationell säkerhet

Utredningsbefogenheter som utövas inom ramen för nationell säkerhet

| (177) | 2016 års lag om utredningsbefogenheter utgör den rättsliga ramen för användningen av utredningsbefogenheter, dvs. befogenhet att avlyssna, få tillgång till kommunikationsuppgifter och utföra ingrepp i utrustningen. 2016 års lag om utredningsbefogenheter inför ett allmänt förbud och gör det straffbart att använda teknik som möjliggör åtkomst till kommunikationsinnehåll, åtkomst till kommunikationsuppgifter eller ingrepp i utrustning utan laglig auktoritet (262). Detta återspeglas i det faktum att användningen av dessa utredningsbefogenheter endast är laglig när den utförs på grundval av ett beslut eller ett tillstånd (263). |
| --- | --- |

(177)

2016 års lag om utredningsbefogenheter utgör den rättsliga ramen för användningen av utredningsbefogenheter, dvs. befogenhet att avlyssna, få tillgång till kommunikationsuppgifter och utföra ingrepp i utrustningen. 2016 års lag om utredningsbefogenheter inför ett allmänt förbud och gör det straffbart att använda teknik som möjliggör åtkomst till kommunikationsinnehåll, åtkomst till kommunikationsuppgifter eller ingrepp i utrustning utan laglig auktoritet (262). Detta återspeglas i det faktum att användningen av dessa utredningsbefogenheter endast är laglig när den utförs på grundval av ett beslut eller ett tillstånd (263).

262

263

| (178) | I 2016 års lag om utredningsbefogenheter fastställs detaljerade bestämmelser om omfattningen och tillämpningen av varje utredningsbefogenhet samt respektive begränsningar och skyddsåtgärder. Olika regler gäller beroende på vilken typ av utredningsbefogenheter det rör sig om (avlyssning av kommunikation, inhämtande och lagring av kommunikationsuppgifter och ingrepp i utrustning) (264) samt huruvida befogenheten utövas på ett visst mål eller i massomfattning. Uppgifter om tillämpningsområde, skyddsåtgärder och begränsningar för varje åtgärd enligt 2016 års lag om utredningsbefogenheter anges i ett särskilt avsnitt nedan. |
| --- | --- |

(178)

I 2016 års lag om utredningsbefogenheter fastställs detaljerade bestämmelser om omfattningen och tillämpningen av varje utredningsbefogenhet samt respektive begränsningar och skyddsåtgärder. Olika regler gäller beroende på vilken typ av utredningsbefogenheter det rör sig om (avlyssning av kommunikation, inhämtande och lagring av kommunikationsuppgifter och ingrepp i utrustning) (264) samt huruvida befogenheten utövas på ett visst mål eller i massomfattning. Uppgifter om tillämpningsområde, skyddsåtgärder och begränsningar för varje åtgärd enligt 2016 års lag om utredningsbefogenheter anges i ett särskilt avsnitt nedan.

264

| (179) | Dessutom kompletteras 2016 års lag om utredningsbefogenheter med ett antal lagstadgade uppförandekoder, utfärdade av den ansvariga ministern, godkända av båda kamrarna i parlamentet (265) och tillämpliga i hela landet, som ger ytterligare vägledning om hur dessa befogenheter ska användas (266). Även om registrerade direkt kan förlita sig till bestämmelserna i 2016 års lag om utredningsbefogenheter för att utöva sina rättigheter, föreskriver punkt 5 i tillägg 7 till lagen att uppförandekoderna är tillåtna som bevis i civilrättsliga och straffrättsliga förfaranden och att domstolen eller tillsynsmyndigheten får ta hänsyn till bristande efterlevnad av uppförandekoderna när den avgör en relevant fråga i rättsliga förfaranden (267). I samband med bedömningen av ”lagstiftningens kvalitet” i Förenade kungarikets tidigare lagstiftning på övervakningsområdet, dvs. 2000 års lag om utredningsbefogenheter, bekräftade Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen) uttryckligen de brittiska uppförandekodernas relevans och godtog att bestämmelserna kunde beaktas i bedömningen av förutsägbarheten hos den lagstiftning som tillåter övervakning av (268). |
| --- | --- |

(179)

Dessutom kompletteras 2016 års lag om utredningsbefogenheter med ett antal lagstadgade uppförandekoder, utfärdade av den ansvariga ministern, godkända av båda kamrarna i parlamentet (265) och tillämpliga i hela landet, som ger ytterligare vägledning om hur dessa befogenheter ska användas (266). Även om registrerade direkt kan förlita sig till bestämmelserna i 2016 års lag om utredningsbefogenheter för att utöva sina rättigheter, föreskriver punkt 5 i tillägg 7 till lagen att uppförandekoderna är tillåtna som bevis i civilrättsliga och straffrättsliga förfaranden och att domstolen eller tillsynsmyndigheten får ta hänsyn till bristande efterlevnad av uppförandekoderna när den avgör en relevant fråga i rättsliga förfaranden (267). I samband med bedömningen av ”lagstiftningens kvalitet” i Förenade kungarikets tidigare lagstiftning på övervakningsområdet, dvs. 2000 års lag om utredningsbefogenheter, bekräftade Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen) uttryckligen de brittiska uppförandekodernas relevans och godtog att bestämmelserna kunde beaktas i bedömningen av förutsägbarheten hos den lagstiftning som tillåter övervakning av (268).

265

266

267

268

| (180) | Det bör noteras att riktade befogenheter (riktad avlyssning (269), inhämtande av kommunikationsuppgifter (270), lagring av kommunikationsuppgifter (271) och riktade ingrepp i utrustning (272)) är tillgängliga för nationella säkerhetsmyndigheter (273) och vissa brottsbekämpande myndigheter, medan endast underrättelsetjänster får använda sig av ”massbefogenheter” (dvs. massavlyssning (274), massinhämtning av kommunikationsuppgifter (275), massingrepp i utrustning (276) och massdataset av personuppgifter (277)). |
| --- | --- |

(180)

Det bör noteras att riktade befogenheter (riktad avlyssning (269), inhämtande av kommunikationsuppgifter (270), lagring av kommunikationsuppgifter (271) och riktade ingrepp i utrustning (272)) är tillgängliga för nationella säkerhetsmyndigheter (273) och vissa brottsbekämpande myndigheter, medan endast underrättelsetjänster får använda sig av ”massbefogenheter” (dvs. massavlyssning (274), massinhämtning av kommunikationsuppgifter (275), massingrepp i utrustning (276) och massdataset av personuppgifter (277)).

269

270

271

272

273

274

275

276

277

| (181) | Vid beslut om vilken utredningsbefogenhet som ska användas måste underrättelsetjänsten uppfylla de ”allmänna skyldigheter i fråga om integritet” som anges i avsnitt 2.2 a i 2016 års lag om utredningsbefogenheter vilket inbegriper en nödvändighets- och proportionalitetsprövning. Närmare bestämt ska en myndighet som har för avsikt att utnyttja en utredningsbefogenhet enligt denna bestämmelse i) överväga huruvida det som eftersträvas med beslutet, tillståndet eller föreläggandet rimligen skulle kunna uppnås med andra mindre ingripande medel, ii) huruvida den skyddsnivå som ska tillämpas vid inhämtande av information enligt beslutet, tillståndet eller föreläggandet är högre på grund av informationens särskilda känslighet, iii) allmänintresset av telekommunikationssystemens och posttjänsternas integritet och säkerhet och iv) alla andra aspekter av allmänintresset av integritetsskydd (278). |
| --- | --- |

(181)

Vid beslut om vilken utredningsbefogenhet som ska användas måste underrättelsetjänsten uppfylla de ”allmänna skyldigheter i fråga om integritet” som anges i avsnitt 2.2 a i 2016 års lag om utredningsbefogenheter vilket inbegriper en nödvändighets- och proportionalitetsprövning. Närmare bestämt ska en myndighet som har för avsikt att utnyttja en utredningsbefogenhet enligt denna bestämmelse i) överväga huruvida det som eftersträvas med beslutet, tillståndet eller föreläggandet rimligen skulle kunna uppnås med andra mindre ingripande medel, ii) huruvida den skyddsnivå som ska tillämpas vid inhämtande av information enligt beslutet, tillståndet eller föreläggandet är högre på grund av informationens särskilda känslighet, iii) allmänintresset av telekommunikationssystemens och posttjänsternas integritet och säkerhet och iv) alla andra aspekter av allmänintresset av integritetsskydd (278).

278

| (182) | Det sätt på vilket dessa kriterier ska tillämpas – och det sätt på vilket deras efterlevnad bedöms som en del av den ansvariga ministerns och the Judicial Commissioners tillstånd att använda sådana befogenheter – specificeras närmare i de relevanta uppförandekoderna. I synnerhet måste användningen av en av dessa utredningsbefogenheter alltid stå i ”proportion till vad som eftersträvas [vilket] involverar en avvägning mellan allvaret i intrånget i den personliga integriteten (och andra överväganden som anges i avsnitt 2.2) och behovet av utredningsåtgärder, operativa åtgärder eller förmågor”. Detta innebär i synnerhet att det ”bör erbjuda realistiska utsikter att ge den förväntade nyttan och inte vara oproportionerligt eller godtyckligt” och att ”[i]nget intrång i privatlivet bör anses vara proportionerligt om den information som efterfrågas rimligen kan erhållas med andra mindre inkräktande medel” (279). Närmare bestämt ska iakttagandet av proportionalitetsprincipen bedömas med beaktande av ”i) omfattningen av det föreslagna intrånget i privatlivet i förhållande till vad som är avsett att uppnås, ii) hur och varför de metoder som ska antas kommer att orsaka minsta möjliga ingrepp för personen och andra, iii) huruvida verksamheten är en lämplig användning av lagen och ett rimligt sätt att, efter att ha övervägt alla rimliga alternativ, uppnå det som eftersträvas, iv) vilka andra metoder, beroende på vad som är lämpligt, som antingen inte har genomförts eller har använts men som bedöms vara otillräckliga för att uppfylla de operativa målen utan användning av den föreslagna utredningsbefogenheten” (280). |
| --- | --- |

(182)

Det sätt på vilket dessa kriterier ska tillämpas – och det sätt på vilket deras efterlevnad bedöms som en del av den ansvariga ministerns och the Judicial Commissioners tillstånd att använda sådana befogenheter – specificeras närmare i de relevanta uppförandekoderna. I synnerhet måste användningen av en av dessa utredningsbefogenheter alltid stå i ”proportion till vad som eftersträvas [vilket] involverar en avvägning mellan allvaret i intrånget i den personliga integriteten (och andra överväganden som anges i avsnitt 2.2) och behovet av utredningsåtgärder, operativa åtgärder eller förmågor”. Detta innebär i synnerhet att det ”bör erbjuda realistiska utsikter att ge den förväntade nyttan och inte vara oproportionerligt eller godtyckligt” och att ”[i]nget intrång i privatlivet bör anses vara proportionerligt om den information som efterfrågas rimligen kan erhållas med andra mindre inkräktande medel” (279). Närmare bestämt ska iakttagandet av proportionalitetsprincipen bedömas med beaktande av ”i) omfattningen av det föreslagna intrånget i privatlivet i förhållande till vad som är avsett att uppnås, ii) hur och varför de metoder som ska antas kommer att orsaka minsta möjliga ingrepp för personen och andra, iii) huruvida verksamheten är en lämplig användning av lagen och ett rimligt sätt att, efter att ha övervägt alla rimliga alternativ, uppnå det som eftersträvas, iv) vilka andra metoder, beroende på vad som är lämpligt, som antingen inte har genomförts eller har använts men som bedöms vara otillräckliga för att uppfylla de operativa målen utan användning av den föreslagna utredningsbefogenheten” (280).

the Judicial Commissioners

279

280

| (183) | I praktiken, vilket de brittiska myndigheterna förklarar, säkerställer detta att en underrättelsetjänst, för det första, fastställer det operativa målet (och därmed avgränsar insamlingen, t.ex. ett internationellt terrorismbekämpningsändamål i ett specifikt geografiskt område) och, för det andra, på grundval av detta operativa mål måste överväga vilket tekniskt alternativ (t.ex. riktad avlyssning eller massavlyssning, ingrepp i utrustning, inhämtande av kommunikationsuppgifter) som är mest proportionerligt (dvs. det minst inkräktande på integriteten, jfr avsnitt 2.2 i Investigatory Powers Act) mot vad som är tillåtet enligt en av de lagstadgade grunderna och som därför kan uppnås. |
| --- | --- |

(183)

I praktiken, vilket de brittiska myndigheterna förklarar, säkerställer detta att en underrättelsetjänst, för det första, fastställer det operativa målet (och därmed avgränsar insamlingen, t.ex. ett internationellt terrorismbekämpningsändamål i ett specifikt geografiskt område) och, för det andra, på grundval av detta operativa mål måste överväga vilket tekniskt alternativ (t.ex. riktad avlyssning eller massavlyssning, ingrepp i utrustning, inhämtande av kommunikationsuppgifter) som är mest proportionerligt (dvs. det minst inkräktande på integriteten, jfr avsnitt 2.2 i Investigatory Powers Act) mot vad som är tillåtet enligt en av de lagstadgade grunderna och som därför kan uppnås.

Investigatory Powers Act

| (184) | Det är värt att notera att denna hänvisning till normer för nödvändighet och proportionalitet också har noterats och välkomnats av Joseph Cannataci, FN:s särskilde rapportör för rätten till integritet, som i fråga om det system som inrättats genom 2016 års lag om utredningsbefogenheter konstaterade att ”[d]e förfaranden som tillämpas både inom underrättelsetjänsterna och inom de brottsbekämpande organen förefaller kräva systematiskt att man överväger om en övervakningsåtgärd eller en övervakningsuppgift är nödvändig och proportionerlig innan den rekommenderas för godkännande samt en översyn av den på samma grunder” (281). Han påpekade också att han vid sitt möte med företrädare för brottsbekämpande myndigheter och nationella säkerhetsmyndigheter ”hade en samsyn om att rätten till integritet måste vara en grundläggande fråga för alla beslut om övervakningsåtgärder. Alla tolkade och uppskattade nödvändigheten och proportionaliteten som de grundläggande principer som ska beaktas”. |
| --- | --- |

(184)

Det är värt att notera att denna hänvisning till normer för nödvändighet och proportionalitet också har noterats och välkomnats av Joseph Cannataci, FN:s särskilde rapportör för rätten till integritet, som i fråga om det system som inrättats genom 2016 års lag om utredningsbefogenheter konstaterade att ”[d]e förfaranden som tillämpas både inom underrättelsetjänsterna och inom de brottsbekämpande organen förefaller kräva systematiskt att man överväger om en övervakningsåtgärd eller en övervakningsuppgift är nödvändig och proportionerlig innan den rekommenderas för godkännande samt en översyn av den på samma grunder” (281). Han påpekade också att han vid sitt möte med företrädare för brottsbekämpande myndigheter och nationella säkerhetsmyndigheter ”hade en samsyn om att rätten till integritet måste vara en grundläggande fråga för alla beslut om övervakningsåtgärder. Alla tolkade och uppskattade nödvändigheten och proportionaliteten som de grundläggande principer som ska beaktas”.

281

| (185) | De särskilda kriterierna för utfärdande av de olika beslut samt de begränsningar och skyddsåtgärder som fastställs i 2016 års lag om utredningsbefogenheter för varje utredningsbefogenhet anges i skälen 186–243. |
| --- | --- |

(185)

De särskilda kriterierna för utfärdande av de olika beslut samt de begränsningar och skyddsåtgärder som fastställs i 2016 års lag om utredningsbefogenheter för varje utredningsbefogenhet anges i skälen 186–243.

3.3.1.1.1   Riktad avlyssning och granskning

| (186) | Det finns tre typer av beslut för riktad avlyssning: beslut om riktad avlyssning (282), beslut om riktad granskning och beslut om ömsesidigt bistånd (283). Villkoren för att erhålla sådana beslut och relevanta skyddsåtgärder anges i del 2 kapitel 1 i 2016 års lag om utredningsbefogenheter. |
| --- | --- |

(186)

Det finns tre typer av beslut för riktad avlyssning: beslut om riktad avlyssning (282), beslut om riktad granskning och beslut om ömsesidigt bistånd (283). Villkoren för att erhålla sådana beslut och relevanta skyddsåtgärder anges i del 2 kapitel 1 i 2016 års lag om utredningsbefogenheter.

282

283

| (187) | Ett beslut om riktad avlyssning tillåter avlyssning av de meddelanden som beskrivs i beslutet i samband med överföring och inhämtande av andra uppgifter som är relevanta för denna kommunikation (284), inbegripet sekundära uppgifter (285). Ett riktat beslut om granskning ger en person rätt att göra urvalet för granskning av avlyssnat innehåll som erhållits inom ramen för ett beslut om massavlyssning (286). |
| --- | --- |

(187)

Ett beslut om riktad avlyssning tillåter avlyssning av de meddelanden som beskrivs i beslutet i samband med överföring och inhämtande av andra uppgifter som är relevanta för denna kommunikation (284), inbegripet sekundära uppgifter (285). Ett riktat beslut om granskning ger en person rätt att göra urvalet för granskning av avlyssnat innehåll som erhållits inom ramen för ett beslut om massavlyssning (286).

284

285

286

| (188) | Varje beslut enligt del 2 i 2016 års lag om utredningsbefogenheter kan utfärdas av den ansvariga ministern (287) och godkännas av en Judicial Commissioner (288). I samtliga fall är varaktigheten för varje typ av riktat beslut begränsad till 6 månader (289) och särskilda regler gäller för ändring (290) och förnyelse av ett sådant beslut (291). |
| --- | --- |

(188)

Varje beslut enligt del 2 i 2016 års lag om utredningsbefogenheter kan utfärdas av den ansvariga ministern (287) och godkännas av en Judicial Commissioner (288). I samtliga fall är varaktigheten för varje typ av riktat beslut begränsad till 6 månader (289) och särskilda regler gäller för ändring (290) och förnyelse av ett sådant beslut (291).

287

Judicial Commissioner

288

289

290

291

| (189) | Innan den ansvariga ministern utfärdar beslutet måste han eller hon göra en nödvändighets- och proportionalitetsbedömning (292). När det gäller ett beslut om riktad avlyssning och ett beslut om riktad undersökning bör den ansvariga ministern särskilt kontrollera om åtgärden är nödvändig på grund av nationella säkerhetsintressen, förebyggande eller avslöjande av allvarliga brott eller ett intresse för Förenade kungarikets (293) ekonomiska välstånd i den mån dessa intressen även är relevanta för den nationella säkerheten (294). Å andra sidan kan ett beslut om ömsesidigt bistånd (se skäl 139 ovan) utfärdas endast om den ansvariga ministern anser att omständigheterna är likvärdiga med dem under vilka han eller hon skulle utfärda ett beslut i syfte att förebygga och eller upptäcka allvarlig brottslighet (295). |
| --- | --- |

(189)

Innan den ansvariga ministern utfärdar beslutet måste han eller hon göra en nödvändighets- och proportionalitetsbedömning (292). När det gäller ett beslut om riktad avlyssning och ett beslut om riktad undersökning bör den ansvariga ministern särskilt kontrollera om åtgärden är nödvändig på grund av nationella säkerhetsintressen, förebyggande eller avslöjande av allvarliga brott eller ett intresse för Förenade kungarikets (293) ekonomiska välstånd i den mån dessa intressen även är relevanta för den nationella säkerheten (294). Å andra sidan kan ett beslut om ömsesidigt bistånd (se skäl 139 ovan) utfärdas endast om den ansvariga ministern anser att omständigheterna är likvärdiga med dem under vilka han eller hon skulle utfärda ett beslut i syfte att förebygga och eller upptäcka allvarlig brottslighet (295).

292

293

294

295

| (190) | Dessutom ska den ansvariga ministern bedöma huruvida åtgärden står i proportion till vad som är avsett att uppnås (296). Vid bedömningen av huruvida de begärda åtgärderna är proportionerliga måste hänsyn tas till de allmänna skyldigheter i fråga om personlig integritet som anges i avsnitt 2.2 i 2016 års lag om utredningsbefogenheter, särskilt behovet av att bedöma huruvida det som eftersträvas med beslutet, tillståndet eller föreläggandet rimligen skulle kunna uppnås med andra mindre inkräktande medel och huruvida den skyddsnivå som ska tillämpas vid inhämtande av information enligt beslutet är högre på grund av den särskilda känsligheten hos denna information (se skäl 181 ovan). |
| --- | --- |

(190)

Dessutom ska den ansvariga ministern bedöma huruvida åtgärden står i proportion till vad som är avsett att uppnås (296). Vid bedömningen av huruvida de begärda åtgärderna är proportionerliga måste hänsyn tas till de allmänna skyldigheter i fråga om personlig integritet som anges i avsnitt 2.2 i 2016 års lag om utredningsbefogenheter, särskilt behovet av att bedöma huruvida det som eftersträvas med beslutet, tillståndet eller föreläggandet rimligen skulle kunna uppnås med andra mindre inkräktande medel och huruvida den skyddsnivå som ska tillämpas vid inhämtande av information enligt beslutet är högre på grund av den särskilda känsligheten hos denna information (se skäl 181 ovan).

296

| (191) | För detta ändamål måste ministern beakta alla delar av ansökan som lämnats in av den myndighet som lämnar in begäran, särskilt de som rör de personer som ska avlyssnas och åtgärdens relevans för utredningen. Sådana inslag anges i uppförandekoden om avlyssning av kommunikation och måste beskrivas på en viss nivå av specifik karaktär (297). Dessutom krävs det i avsnitt 17 i 2016 års lag om utredningsbefogenheter att varje beslut som utfärdas enligt dess kapitel 2 ska namnge eller beskriva den specifika person eller grupp av personer, organisationer eller lokaler som ska avlyssnas (målet). Vid ett beslut om riktad avlyssning eller ett beslut om riktad granskning kan dessa även avse en grupp av personer, mer än en person eller organisation eller fler än ett komplex av lokaler (även kallat tematiskt beslut) (298). I dessa fall bör beslutet beskriva det gemensamma syftet eller den gemensamma aktiviteten eller verksamheten/utredningarna och ange eller beskriva så många av dessa personer/organisationer eller komplex av lokaler där detta rimligen är praktiskt genomförbart (299). Slutligen ska alla beslut som utfärdas enligt del 2 i 2016 års lag om utredningsbefogenheter innehålla uppgifter om adresser, nummer, apparatur, faktorer eller kombinationer av faktorer som ska användas för att identifiera kommunikationen (300). I detta avseende anges det i uppförandekoden om avlyssning att när det rör sig om beslut om riktad avlyssning och beslut om riktad granskning ”måste det i beslutet specificeras (eller beskrivas) vilka faktorer eller kombinationer av faktorer som ska användas för att identifiera kommunikationen. Om kommunikationen ska identifieras med hjälp av ett telefonnummer (till exempel) måste numret specificeras genom att det i sin helhet anges. Men när mycket komplexa eller ständigt föränderliga internetväljare ska användas för att identifiera kommunikationen bör dessa valörer beskrivas så långt det är möjligt” (301). |
| --- | --- |

(191)

För detta ändamål måste ministern beakta alla delar av ansökan som lämnats in av den myndighet som lämnar in begäran, särskilt de som rör de personer som ska avlyssnas och åtgärdens relevans för utredningen. Sådana inslag anges i uppförandekoden om avlyssning av kommunikation och måste beskrivas på en viss nivå av specifik karaktär (297). Dessutom krävs det i avsnitt 17 i 2016 års lag om utredningsbefogenheter att varje beslut som utfärdas enligt dess kapitel 2 ska namnge eller beskriva den specifika person eller grupp av personer, organisationer eller lokaler som ska avlyssnas (målet). Vid ett beslut om riktad avlyssning eller ett beslut om riktad granskning kan dessa även avse en grupp av personer, mer än en person eller organisation eller fler än ett komplex av lokaler (även kallat tematiskt beslut) (298). I dessa fall bör beslutet beskriva det gemensamma syftet eller den gemensamma aktiviteten eller verksamheten/utredningarna och ange eller beskriva så många av dessa personer/organisationer eller komplex av lokaler där detta rimligen är praktiskt genomförbart (299). Slutligen ska alla beslut som utfärdas enligt del 2 i 2016 års lag om utredningsbefogenheter innehålla uppgifter om adresser, nummer, apparatur, faktorer eller kombinationer av faktorer som ska användas för att identifiera kommunikationen (300). I detta avseende anges det i uppförandekoden om avlyssning att när det rör sig om beslut om riktad avlyssning och beslut om riktad granskning ”måste det i beslutet specificeras (eller beskrivas) vilka faktorer eller kombinationer av faktorer som ska användas för att identifiera kommunikationen. Om kommunikationen ska identifieras med hjälp av ett telefonnummer (till exempel) måste numret specificeras genom att det i sin helhet anges. Men när mycket komplexa eller ständigt föränderliga internetväljare ska användas för att identifiera kommunikationen bör dessa valörer beskrivas så långt det är möjligt” (301).

297

298

299

300

301

| (192) | En viktig garanti i detta sammanhang är att den bedömning som den ansvariga ministern gör för att utfärda ett beslut måste godkännas av en oberoende Judicial Commissioner (302) som framför allt kontrollerar om beslutet om att godkänna husrannsakan är förenligt med nödvändighets- och proportionalitetsprinciperna (303) (vad gäller den ställning och roll som the Judicial Commissioner har, se skälen 251–256 nedan). I 2016 års lag om utredningsbefogenheter klargörs också att the Judicial Commissioner, när han eller hon utför en sådan kontroll, måste tillämpa samma principer som en domstol skulle tillämpa vid en ansökan om rättslig prövning (304). Detta säkerställer att efterlevnaden av nödvändighets- och proportionalitetsprinciperna systematiskt kontrolleras av ett oberoende organ i varje enskilt fall och innan tillgången till uppgifter äger rum. |
| --- | --- |

(192)

En viktig garanti i detta sammanhang är att den bedömning som den ansvariga ministern gör för att utfärda ett beslut måste godkännas av en oberoende Judicial Commissioner (302) som framför allt kontrollerar om beslutet om att godkänna husrannsakan är förenligt med nödvändighets- och proportionalitetsprinciperna (303) (vad gäller den ställning och roll som the Judicial Commissioner har, se skälen 251–256 nedan). I 2016 års lag om utredningsbefogenheter klargörs också att the Judicial Commissioner, när han eller hon utför en sådan kontroll, måste tillämpa samma principer som en domstol skulle tillämpa vid en ansökan om rättslig prövning (304). Detta säkerställer att efterlevnaden av nödvändighets- och proportionalitetsprinciperna systematiskt kontrolleras av ett oberoende organ i varje enskilt fall och innan tillgången till uppgifter äger rum.

Judicial Commissioner

302

303

the Judicial Commissioner

the Judicial Commissioner

304

| (193) | I 2016 års lag om utredningsbefogenheter föreskrivs ett fåtal specifika och snäva undantag från utförandet av riktad avlyssning utan beslut. Dessa begränsade fall anges i lagen (305) och förutom det beslut som baseras på sändarens/mottagarens ”samtycke”, utförs de av andra personer (privata eller offentliga organ) än personer vid de nationella säkerhetsmyndigheterna. Denna typ av avlyssningar utförs dessutom för andra ändamål än insamling av ”underrättelseuppgifter” (306), och i vissa fall är det mycket osannolikt att insamlingen kan ske inom ramen för ett ”överföringsscenario” (t.ex. vid avlyssning som utförs vid en psykiatrisk klinik eller i ett fängelse). Med tanke på den typ av organ som dessa särskilda fall gäller (andra organ än nationella säkerhetsmyndigheter) är alla skyddsåtgärder i del 2 i 2018 års dataskyddslag och den brittiska dataskyddsförordningen tillämpliga, även vad gäller ICO:s tillsyn och tillgängliga rättsliga prövningsmekanismer. Utöver skyddsåtgärderna enligt 2018 års dataskyddslag föreskriver dessutom 2016 års lag om utredningsbefogenheter i vissa fall befogenheter för IPCO:s efterhandstillsyn (307). |
| --- | --- |

(193)

I 2016 års lag om utredningsbefogenheter föreskrivs ett fåtal specifika och snäva undantag från utförandet av riktad avlyssning utan beslut. Dessa begränsade fall anges i lagen (305) och förutom det beslut som baseras på sändarens/mottagarens ”samtycke”, utförs de av andra personer (privata eller offentliga organ) än personer vid de nationella säkerhetsmyndigheterna. Denna typ av avlyssningar utförs dessutom för andra ändamål än insamling av ”underrättelseuppgifter” (306), och i vissa fall är det mycket osannolikt att insamlingen kan ske inom ramen för ett ”överföringsscenario” (t.ex. vid avlyssning som utförs vid en psykiatrisk klinik eller i ett fängelse). Med tanke på den typ av organ som dessa särskilda fall gäller (andra organ än nationella säkerhetsmyndigheter) är alla skyddsåtgärder i del 2 i 2018 års dataskyddslag och den brittiska dataskyddsförordningen tillämpliga, även vad gäller ICO:s tillsyn och tillgängliga rättsliga prövningsmekanismer. Utöver skyddsåtgärderna enligt 2018 års dataskyddslag föreskriver dessutom 2016 års lag om utredningsbefogenheter i vissa fall befogenheter för IPCO:s efterhandstillsyn (307).

305

306

307

| (194) | När avlyssning utförs är ytterligare begränsningar och skyddsåtgärder tillämpliga mot bakgrund av den eller de avlyssnade personernas status (308). Avlyssning av ärenden som omfattas av rättsliga privilegier är till exempel endast tillåten om det föreligger exceptionella och tvingande omständigheter, den person som utfärdar beslutet måste ta hänsyn till allmänintresset av att ärenden som omfattas av tystnadsplikt behandlas konfidentiellt och att det finns särskilda krav för hantering, lagring och utlämnande av sådant material (309). |
| --- | --- |

(194)

När avlyssning utförs är ytterligare begränsningar och skyddsåtgärder tillämpliga mot bakgrund av den eller de avlyssnade personernas status (308). Avlyssning av ärenden som omfattas av rättsliga privilegier är till exempel endast tillåten om det föreligger exceptionella och tvingande omständigheter, den person som utfärdar beslutet måste ta hänsyn till allmänintresset av att ärenden som omfattas av tystnadsplikt behandlas konfidentiellt och att det finns särskilda krav för hantering, lagring och utlämnande av sådant material (309).

308

309

| (195) | I 2016 års lag om utredningsbefogenheter föreskrivs dessutom särskilda skyddsåtgärder i fråga om säkerhet, lagring och utlämnande som den ansvariga ministern bör beakta innan en riktat beslut utfärdas (310). I synnerhet föreskrivs i avsnitt 53.5 i 2016 års lag om utredningsbefogenheter att varje kopia av det material som samlats in inom ramen för beslutet ska förvaras på ett säkert sätt och förstöras så snart det inte längre finns några relevanta skäl att behålla det medan det i avsnitt 53.2 i 2016 års lag om utredningsbefogenheter föreskrivs att antalet personer till vilka materialet lämnas ut och i vilken utsträckning allt material lämnas ut, görs tillgängligt eller kopieras ska begränsas till vad som är absolut nödvändigt för de lagstadgade ändamålen. |
| --- | --- |

(195)

I 2016 års lag om utredningsbefogenheter föreskrivs dessutom särskilda skyddsåtgärder i fråga om säkerhet, lagring och utlämnande som den ansvariga ministern bör beakta innan en riktat beslut utfärdas (310). I synnerhet föreskrivs i avsnitt 53.5 i 2016 års lag om utredningsbefogenheter att varje kopia av det material som samlats in inom ramen för beslutet ska förvaras på ett säkert sätt och förstöras så snart det inte längre finns några relevanta skäl att behålla det medan det i avsnitt 53.2 i 2016 års lag om utredningsbefogenheter föreskrivs att antalet personer till vilka materialet lämnas ut och i vilken utsträckning allt material lämnas ut, görs tillgängligt eller kopieras ska begränsas till vad som är absolut nödvändigt för de lagstadgade ändamålen.

310

| (196) | När slutligen det material som har avlyssnats antingen genom ett beslut om riktad avlyssning eller genom ett beslut om ömsesidigt bistånd ska överlämnas till ett tredjeland (”utlämnanden till utlandet”) föreskrivs i 2016 års lag om utredningsbefogenheter att den ansvariga ministern ska se till att lämpliga åtgärder vidtas för att säkerställa att liknande garantier för säkerhet, lagring och utlämnande finns i det tredjelandet (311). Enligt avsnitt 109.2 i 2018 års dataskyddslag får underrättelsetjänster endast överföra personuppgifter utanför Förenade kungarikets territorium om överföringen är nödvändig och proportionell med hänsyn till den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i avsnitt 2.2 a i Security Services Act 1989 eller avsnitten 2.2 a och 4.2 a i Intelligence Services Act 1994 (312). Det är viktigt att notera att dessa krav även gäller i situationer där undantaget avseende nationell säkerhet enligt avsnitt 110 i 2018 års dataskyddslag åberopas, eftersom avsnitt 109 inte anges i samma lags avsnitt 110 som en av de bestämmelser som kan upphöra att gälla om ett undantag från vissa bestämmelser krävs för att skydda den nationella säkerheten. |
| --- | --- |

(196)

När slutligen det material som har avlyssnats antingen genom ett beslut om riktad avlyssning eller genom ett beslut om ömsesidigt bistånd ska överlämnas till ett tredjeland (”utlämnanden till utlandet”) föreskrivs i 2016 års lag om utredningsbefogenheter att den ansvariga ministern ska se till att lämpliga åtgärder vidtas för att säkerställa att liknande garantier för säkerhet, lagring och utlämnande finns i det tredjelandet (311). Enligt avsnitt 109.2 i 2018 års dataskyddslag får underrättelsetjänster endast överföra personuppgifter utanför Förenade kungarikets territorium om överföringen är nödvändig och proportionell med hänsyn till den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i avsnitt 2.2 a i Security Services Act 1989 eller avsnitten 2.2 a och 4.2 a i Intelligence Services Act 1994 (312). Det är viktigt att notera att dessa krav även gäller i situationer där undantaget avseende nationell säkerhet enligt avsnitt 110 i 2018 års dataskyddslag åberopas, eftersom avsnitt 109 inte anges i samma lags avsnitt 110 som en av de bestämmelser som kan upphöra att gälla om ett undantag från vissa bestämmelser krävs för att skydda den nationella säkerheten.

311

Security Services Act 1989

Intelligence Services Act 1994

312

3.3.1.1.2   Riktat inhämtande och lagring av kommunikationsuppgifter

| (197) | Enligt 2016 års lag om utredningsbefogenheter får ministern ålägga teleoperatörer att lagra kommunikationsuppgifter för riktad åtkomst för en rad myndigheter, däribland brottsbekämpande myndigheter och underrättelsetjänster. Del 4 i 2016 års lag om utredningsbefogenheter innehåller bestämmelser om lagring av kommunikationsuppgifter, medan del 3 föreskriver riktat inhämtande av kommunikationsuppgifter. I del 3 och del 4 i 2016 års lag om utredningsbefogenheter fastställs också särskilda begränsningar av användningen av dessa befogenheter och särskilda skyddsåtgärder. |
| --- | --- |

(197)

Enligt 2016 års lag om utredningsbefogenheter får ministern ålägga teleoperatörer att lagra kommunikationsuppgifter för riktad åtkomst för en rad myndigheter, däribland brottsbekämpande myndigheter och underrättelsetjänster. Del 4 i 2016 års lag om utredningsbefogenheter innehåller bestämmelser om lagring av kommunikationsuppgifter, medan del 3 föreskriver riktat inhämtande av kommunikationsuppgifter. I del 3 och del 4 i 2016 års lag om utredningsbefogenheter fastställs också särskilda begränsningar av användningen av dessa befogenheter och särskilda skyddsåtgärder.

| (198) | Termen ”kommunikationsuppgifter” omfattar ”vem”, ”när”, ”var” och ”hur” i en kommunikation men inte innehållet, dvs. vad som sades eller skrevs. Till skillnad från avlyssning syftar inhämtandet och lagringen av kommunikationsuppgifter inte till att få fram innehållet i kommunikationen utan till att erhålla information, t.ex. om abonnenten av en telefonitjänst eller en specificerad räkning. Detta kan omfatta tid och varaktighet för kommunikationen, upphovsmannens och mottagarens nummer eller e-postadress och ibland lokaliseringen av de anordningar från vilka telekommunikationen gjordes (313). |
| --- | --- |

(198)

Termen ”kommunikationsuppgifter” omfattar ”vem”, ”när”, ”var” och ”hur” i en kommunikation men inte innehållet, dvs. vad som sades eller skrevs. Till skillnad från avlyssning syftar inhämtandet och lagringen av kommunikationsuppgifter inte till att få fram innehållet i kommunikationen utan till att erhålla information, t.ex. om abonnenten av en telefonitjänst eller en specificerad räkning. Detta kan omfatta tid och varaktighet för kommunikationen, upphovsmannens och mottagarens nummer eller e-postadress och ibland lokaliseringen av de anordningar från vilka telekommunikationen gjordes (313).

313

| (199) | Det bör noteras att lagring och inhämtande av kommunikationsuppgifter normalt inte gäller personuppgifter om registrerade i EU som överförs till Förenade kungariket enligt detta beslut. Skyldigheten att lagra eller lämna ut kommunikationsuppgifter enligt del 3 och 4 i 2016 års lag om utredningsbefogenheter omfattar uppgifter som samlas in av teleoperatörer i Förenade kungariket direkt från användarna av en telekommunikationstjänst (314). Denna typ av ”kundtillvänd” behandling omfattar vanligtvis inte en överföring på grundval av detta beslut, dvs. en överföring från en personuppgiftsansvarig/ett personuppgiftsbiträde i EU till en personuppgiftsansvarig/ett personuppgiftsbiträde i Förenade kungariket. |
| --- | --- |

(199)

Det bör noteras att lagring och inhämtande av kommunikationsuppgifter normalt inte gäller personuppgifter om registrerade i EU som överförs till Förenade kungariket enligt detta beslut. Skyldigheten att lagra eller lämna ut kommunikationsuppgifter enligt del 3 och 4 i 2016 års lag om utredningsbefogenheter omfattar uppgifter som samlas in av teleoperatörer i Förenade kungariket direkt från användarna av en telekommunikationstjänst (314). Denna typ av ”kundtillvänd” behandling omfattar vanligtvis inte en överföring på grundval av detta beslut, dvs. en överföring från en personuppgiftsansvarig/ett personuppgiftsbiträde i EU till en personuppgiftsansvarig/ett personuppgiftsbiträde i Förenade kungariket.

314

| (200) | För fullständighetens skull analyseras dock de villkor och skyddsåtgärder som gäller för dessa system för inhämtande och lagring i följande skäl. |
| --- | --- |

(200)

För fullständighetens skull analyseras dock de villkor och skyddsåtgärder som gäller för dessa system för inhämtande och lagring i följande skäl.

| (201) | Som en förutsättning måste det noteras att lagringen och riktat inhämtande av kommunikationsuppgifter finns tillgängliga både för nationella säkerhetsmyndigheter och vissa brottsbekämpande myndigheter (315). Villkoren för att begära lagring och/eller inhämtande av kommunikationsuppgifter kan variera beroende på grunden för att begära en sådan åtgärd, nämligen ändamål som rör nationell säkerhet eller brottsbekämpande ändamål. |
| --- | --- |

(201)

Som en förutsättning måste det noteras att lagringen och riktat inhämtande av kommunikationsuppgifter finns tillgängliga både för nationella säkerhetsmyndigheter och vissa brottsbekämpande myndigheter (315). Villkoren för att begära lagring och/eller inhämtande av kommunikationsuppgifter kan variera beroende på grunden för att begära en sådan åtgärd, nämligen ändamål som rör nationell säkerhet eller brottsbekämpande ändamål.

315

| (202) | I och med det nya systemet har ett allmänt krav på förhandstillstånd från ett oberoende organ införts. Kravet kommer att gälla i alla situationer där kommunikationsuppgifter lagras och/eller inhämtas (antingen för brottsbekämpande ändamål eller ändamål som rör nationell säkerhet). Efter domstolens dom i målet Tele2/Watson (316) har dock särskilda skyddsåtgärder införts när åtgärden begärs för brottsbekämpande ändamål. När lagring eller inhämtande av kommunikationsuppgifter begärs för brottsbekämpande ändamål måste förhandstillståndet i synnerhet alltid utfärdas av the Investigatory Power Commissioner. Så är inte alltid fallet om åtgärden begärs för ändamål som rör nationell säkerhet, eftersom sådana typer av åtgärder i vissa fall, vilka beskrivs nedan, kan godkänns av olika ”tillståndsgivande personer”. I det nya systemet har tröskeln för när lagring och inhämtande av kommunikationsuppgifter kan tillåtas dessutom höjts till ”grova brott” (317). |
| --- | --- |

(202)

I och med det nya systemet har ett allmänt krav på förhandstillstånd från ett oberoende organ införts. Kravet kommer att gälla i alla situationer där kommunikationsuppgifter lagras och/eller inhämtas (antingen för brottsbekämpande ändamål eller ändamål som rör nationell säkerhet). Efter domstolens dom i målet Tele2/Watson (316) har dock särskilda skyddsåtgärder införts när åtgärden begärs för brottsbekämpande ändamål. När lagring eller inhämtande av kommunikationsuppgifter begärs för brottsbekämpande ändamål måste förhandstillståndet i synnerhet alltid utfärdas av the Investigatory Power Commissioner. Så är inte alltid fallet om åtgärden begärs för ändamål som rör nationell säkerhet, eftersom sådana typer av åtgärder i vissa fall, vilka beskrivs nedan, kan godkänns av olika ”tillståndsgivande personer”. I det nya systemet har tröskeln för när lagring och inhämtande av kommunikationsuppgifter kan tillåtas dessutom höjts till ”grova brott” (317).

316

the Investigatory Power Commissioner

317

i)   Tillstånd för erhållande av kommunikationsuppgifter

Tillstånd för erhållande av kommunikationsuppgifter

| (203) | Enligt del 3 i 2016 års lag om utredningsbefogenheter har berörda myndigheter rätt att erhålla kommunikationsuppgifter från en teleoperatör eller från varje person som kan inhämta och lämna ut sådana uppgifter. Tillståndet får inte tillåta avlyssning av kommunikationsinnehållet (318) och upphör att gälla efter en månad (319) med möjlighet till förlängning med ytterligare tillstånd (320). För inhämtande av kommunikationsdata krävs tillstånd från the Investigatory Powers Commissioner (321) (om dennes status och befogenheter se skälen 250–251 nedan). Så är alltid fallet om inhämtande av kommunikationsuppgifter begärs av en relevant brottsbekämpande myndighet. I avsnitt 61 i 2016 års lag om utredningsbefogenheter föreskrivs dock att när uppgifter inhämtas av hänsyn till den nationella säkerheten eller det ekonomiska välståndet i Förenade kungariket, om de är relevanta för den nationella säkerheten, eller när en ansökan görs av en medarbetare i en underrättelsetjänst enligt avsnitt 61.7 b (322), får inhämtandet alternativt (323) godkännas av the Investigatory Powers Commissioner eller av en utsedd högre tjänsteman (324). I the Code of Practice on Communications Data anges vidare att den utsedda handläggaren måste vara oberoende av den berörda utredningen eller insatsen och ha praktiska kunskaper om människorättsprinciper och människorättslagstiftning, särskilt principerna om nödvändighet och proportionalitet (325). Det beslut som fattas av den utsedda tjänstemannen kommer att bli föremål för den efterhandsöversyn som the Investigatory Powers Commissioner utför (se skäl 254 nedan för mer information om den efterhandstillsyn the Investigatory Powers Commissioner utövar). |
| --- | --- |

(203)

Enligt del 3 i 2016 års lag om utredningsbefogenheter har berörda myndigheter rätt att erhålla kommunikationsuppgifter från en teleoperatör eller från varje person som kan inhämta och lämna ut sådana uppgifter. Tillståndet får inte tillåta avlyssning av kommunikationsinnehållet (318) och upphör att gälla efter en månad (319) med möjlighet till förlängning med ytterligare tillstånd (320). För inhämtande av kommunikationsdata krävs tillstånd från the Investigatory Powers Commissioner (321) (om dennes status och befogenheter se skälen 250–251 nedan). Så är alltid fallet om inhämtande av kommunikationsuppgifter begärs av en relevant brottsbekämpande myndighet. I avsnitt 61 i 2016 års lag om utredningsbefogenheter föreskrivs dock att när uppgifter inhämtas av hänsyn till den nationella säkerheten eller det ekonomiska välståndet i Förenade kungariket, om de är relevanta för den nationella säkerheten, eller när en ansökan görs av en medarbetare i en underrättelsetjänst enligt avsnitt 61.7 b (322), får inhämtandet alternativt (323) godkännas av the Investigatory Powers Commissioner eller av en utsedd högre tjänsteman (324). I the Code of Practice on Communications Data anges vidare att den utsedda handläggaren måste vara oberoende av den berörda utredningen eller insatsen och ha praktiska kunskaper om människorättsprinciper och människorättslagstiftning, särskilt principerna om nödvändighet och proportionalitet (325). Det beslut som fattas av den utsedda tjänstemannen kommer att bli föremål för den efterhandsöversyn som the Investigatory Powers Commissioner utför (se skäl 254 nedan för mer information om den efterhandstillsyn the Investigatory Powers Commissioner utövar).

318

319

320

the Investigatory Powers Commissioner

321

322

323

the Investigatory Powers Commissioner

324

the Code of Practice on Communications Data

325

the Investigatory Powers Commissioner

the Investigatory Powers Commissioner

| (204) | Tillståndet att inhämta kommunikationsuppgifter grundar sig på en bedömning av åtgärdens nödvändighet och proportionalitet. Närmare bestämt bedöms åtgärdens nödvändighet mot bakgrund av de skäl som anges i lagstiftningen (326). Med tanke på att denna åtgärd är riktad måste den också vara nödvändig för en specifik utredning eller insats (327). Ytterligare krav på bedömningen av åtgärdernas nödvändighet fastställs i uppförandekoden för kommunikationsuppgifter (328). I denna uppförandekod föreskrivs särskilt att den ansökan som lämnas in av den begärande myndigheten ska identifiera minst tre faktorer för att motivera behovet av en sådan begäran och dessa faktorer är i) den händelse som utreds, till exempel ett brott eller en plats där en utsatt försvunnen person befinner sig, ii) den person vars uppgifter begärs, till exempel misstänkta, vittne eller försvunna personer och hur de är kopplade till händelsen och iii) de kommunikationsuppgifter som efterfrågas, till exempel telefonnummer eller IP-adress och hur dessa uppgifter är kopplade till personen och händelsen (329). |
| --- | --- |

(204)

Tillståndet att inhämta kommunikationsuppgifter grundar sig på en bedömning av åtgärdens nödvändighet och proportionalitet. Närmare bestämt bedöms åtgärdens nödvändighet mot bakgrund av de skäl som anges i lagstiftningen (326). Med tanke på att denna åtgärd är riktad måste den också vara nödvändig för en specifik utredning eller insats (327). Ytterligare krav på bedömningen av åtgärdernas nödvändighet fastställs i uppförandekoden för kommunikationsuppgifter (328). I denna uppförandekod föreskrivs särskilt att den ansökan som lämnas in av den begärande myndigheten ska identifiera minst tre faktorer för att motivera behovet av en sådan begäran och dessa faktorer är i) den händelse som utreds, till exempel ett brott eller en plats där en utsatt försvunnen person befinner sig, ii) den person vars uppgifter begärs, till exempel misstänkta, vittne eller försvunna personer och hur de är kopplade till händelsen och iii) de kommunikationsuppgifter som efterfrågas, till exempel telefonnummer eller IP-adress och hur dessa uppgifter är kopplade till personen och händelsen (329).

326

327

328

329

| (205) | Dessutom måste inhämtande av kommunikationsuppgifter stå i proportion till vad som eftersträvas (330). I Code of Practice on Communication Data klargörs att den tillståndsgivande personen vid genomförandet av en sådan bedömning bör göra en avvägning mellan ”omfattningen av ingreppet i en persons rättigheter och friheter och en specifik fördel för den utredning eller verksamhet som genomförs av en relevant myndighet i det allmännas intresse” och att med beaktande av alla överväganden i ett enskilt fall ”kan ett ingrepp i en enskilds rättigheter fortfarande inte vara motiverat på grund av att den negativa inverkan på en annan enskilds eller en enskilds rättigheter är alltför allvarlig”. För att specifikt bedöma åtgärdens proportionalitet förtecknas i uppförandekoden dessutom ett antal faktorer som bör ingå i den ansökan som den begärande myndigheten lämnar in (331). Dessutom måste särskild hänsyn tas till vilken typ av kommunikationsuppgifter (”entitet” eller ”händelsedata” (332)) som ska inhämtas och företräde måste ges åt användning av en mindre inkräktande uppgiftskategori (333). Uppförandekoden för kommunikationsuppgifter innehåller också särskilda instruktioner för tillstånd som omfattar kommunikationsuppgifter för personer i särskilda yrken (t.ex. läkare, advokater, journalister, parlamentsledamöter eller religiösa ministrar) (334) som omfattas av ytterligare skyddsåtgärder (335). |
| --- | --- |

(205)

Dessutom måste inhämtande av kommunikationsuppgifter stå i proportion till vad som eftersträvas (330). I Code of Practice on Communication Data klargörs att den tillståndsgivande personen vid genomförandet av en sådan bedömning bör göra en avvägning mellan ”omfattningen av ingreppet i en persons rättigheter och friheter och en specifik fördel för den utredning eller verksamhet som genomförs av en relevant myndighet i det allmännas intresse” och att med beaktande av alla överväganden i ett enskilt fall ”kan ett ingrepp i en enskilds rättigheter fortfarande inte vara motiverat på grund av att den negativa inverkan på en annan enskilds eller en enskilds rättigheter är alltför allvarlig”. För att specifikt bedöma åtgärdens proportionalitet förtecknas i uppförandekoden dessutom ett antal faktorer som bör ingå i den ansökan som den begärande myndigheten lämnar in (331). Dessutom måste särskild hänsyn tas till vilken typ av kommunikationsuppgifter (”entitet” eller ”händelsedata” (332)) som ska inhämtas och företräde måste ges åt användning av en mindre inkräktande uppgiftskategori (333). Uppförandekoden för kommunikationsuppgifter innehåller också särskilda instruktioner för tillstånd som omfattar kommunikationsuppgifter för personer i särskilda yrken (t.ex. läkare, advokater, journalister, parlamentsledamöter eller religiösa ministrar) (334) som omfattas av ytterligare skyddsåtgärder (335).

330

Code of Practice on Communication Data

331

332

333

334

335

ii)   Föreläggande om lagring av kommunikationsuppgifter

Föreläggande om lagring av kommunikationsuppgifter

| (206) | Del 4 i 2016 års lag om utredningsbefogenheter innehåller bestämmelser om lagring av kommunikationsuppgifter, särskilt de kriterier som gör det möjligt för den ansvariga ministern att utfärda ett föreläggande om lagring (336). De skyddsåtgärder som införs genom lagen om utredningsbefogenheter är desamma, vare sig uppgifterna lagras i brottsbekämpningssyfte eller i den nationella säkerhetens intresse. |
| --- | --- |

(206)

Del 4 i 2016 års lag om utredningsbefogenheter innehåller bestämmelser om lagring av kommunikationsuppgifter, särskilt de kriterier som gör det möjligt för den ansvariga ministern att utfärda ett föreläggande om lagring (336). De skyddsåtgärder som införs genom lagen om utredningsbefogenheter är desamma, vare sig uppgifterna lagras i brottsbekämpningssyfte eller i den nationella säkerhetens intresse.

336

| (207) | Utfärdandet av sådana förelägganden om lagring syftar till att säkerställa att teleoperatörer under en period av högst 12 månader behåller relevanta kommunikationsuppgifter som annars skulle raderas när de inte längre behövs för affärsändamål (337).Europeiska domstolen för de mänskliga rättigheterna De lagrade uppgifterna ska förbli tillgängliga under den tid som krävs om det senare skulle bli nödvändigt för en myndighet att inhämta dem inom ramen för ett tillstånd för riktat inhämtande av kommunikationsuppgifter enligt del 3 i 2016 års lag om utredningsbefogenheter som beskrivs i skälen 203–205. |
| --- | --- |

(207)

Utfärdandet av sådana förelägganden om lagring syftar till att säkerställa att teleoperatörer under en period av högst 12 månader behåller relevanta kommunikationsuppgifter som annars skulle raderas när de inte längre behövs för affärsändamål (337).Europeiska domstolen för de mänskliga rättigheterna De lagrade uppgifterna ska förbli tillgängliga under den tid som krävs om det senare skulle bli nödvändigt för en myndighet att inhämta dem inom ramen för ett tillstånd för riktat inhämtande av kommunikationsuppgifter enligt del 3 i 2016 års lag om utredningsbefogenheter som beskrivs i skälen 203–205.

337

| (208) | Utövandet av befogenheten att ålägga att vissa uppgifter ska lagras omfattas av ett antal begränsningar och skyddsåtgärder. Närmare bestämt kan den ansvariga ministern endast utfärda ett föreläggande om lagring till en eller flera operatörer (338) endast om han eller hon anser att kravet på lagring av uppgifterna är nödvändigt för ett av de lagstadgade ändamålen (339) och står i proportion till vad som eftersträvas (340). Såsom klargörs i själva 2016 års lag om utredningsbefogenheter (341), ska den ansvariga ministern, innan han eller hon utfärdar ett föreläggande om lagring, beakta de sannolika fördelarna med föreläggandet (342), en beskrivning av telekommunikationstjänsterna, lämpligheten av att begränsa de uppgifter som ska lagras med hänvisning till plats eller beskrivningar av personer till vilka telekommunikationstjänster tillhandahålls (343), det sannolika antalet användare (om de är kända) av en telekommunikationstjänst som föreläggandet avser (344), den tekniska genomförbarheten av att följa föreläggandet och den troliga kostnaden för att följa föreläggandet och alla andra konsekvenser av föreläggandet för den teleoperatör (eller beskrivning av operatörer) som föreläggandet avser (345). I kapitel 17 i uppförandekoden för kommunikationsuppgifter beskrivs att alla förelägganden om lagring måste ange varje datatyp som ska lagras och hur denna typ av uppgifter uppfyller de nödvändiga testerna för lagring. |
| --- | --- |

(208)

Utövandet av befogenheten att ålägga att vissa uppgifter ska lagras omfattas av ett antal begränsningar och skyddsåtgärder. Närmare bestämt kan den ansvariga ministern endast utfärda ett föreläggande om lagring till en eller flera operatörer (338) endast om han eller hon anser att kravet på lagring av uppgifterna är nödvändigt för ett av de lagstadgade ändamålen (339) och står i proportion till vad som eftersträvas (340). Såsom klargörs i själva 2016 års lag om utredningsbefogenheter (341), ska den ansvariga ministern, innan han eller hon utfärdar ett föreläggande om lagring, beakta de sannolika fördelarna med föreläggandet (342), en beskrivning av telekommunikationstjänsterna, lämpligheten av att begränsa de uppgifter som ska lagras med hänvisning till plats eller beskrivningar av personer till vilka telekommunikationstjänster tillhandahålls (343), det sannolika antalet användare (om de är kända) av en telekommunikationstjänst som föreläggandet avser (344), den tekniska genomförbarheten av att följa föreläggandet och den troliga kostnaden för att följa föreläggandet och alla andra konsekvenser av föreläggandet för den teleoperatör (eller beskrivning av operatörer) som föreläggandet avser (345). I kapitel 17 i uppförandekoden för kommunikationsuppgifter beskrivs att alla förelägganden om lagring måste ange varje datatyp som ska lagras och hur denna typ av uppgifter uppfyller de nödvändiga testerna för lagring.

338

339

340

341

342

343

344

345

| (209) | I samtliga fall (både för ändamål som rör nationell säkerhet och brottsbekämpande ändamål) måste ett beslut om att utfärda ett föreläggande om lagring från den ansvariga ministern godkännas av en oberoende Judicial Commissioner enligt det så kallade double lock-förfarandet. The Judicial Commissioner ska särskilt kontrollera om föreläggandet om lagring av relevanta kommunikationsuppgifter är nödvändigt och står i proportion till ett eller flera av de lagstadgade ändamålen (346). |
| --- | --- |

(209)

I samtliga fall (både för ändamål som rör nationell säkerhet och brottsbekämpande ändamål) måste ett beslut om att utfärda ett föreläggande om lagring från den ansvariga ministern godkännas av en oberoende Judicial Commissioner enligt det så kallade double lock-förfarandet. The Judicial Commissioner ska särskilt kontrollera om föreläggandet om lagring av relevanta kommunikationsuppgifter är nödvändigt och står i proportion till ett eller flera av de lagstadgade ändamålen (346).

Judicial Commissioner

double lock

The Judicial Commissioner

346

3.3.1.1.3   Ingrepp i utrustning

| (210) | Ingrepp i utrustning är en uppsättning tekniker som används för att erhålla en mängd olika data från utrustning (347), bl.a. datorer, surfplattor och smarttelefoner samt kablar, ledningar och lagringsanordningar (348). Ingrepp i utrustning gör det möjligt att få tillgång till både kommunikationsinnehåll och utrustningsdata (349). |
| --- | --- |

(210)

Ingrepp i utrustning är en uppsättning tekniker som används för att erhålla en mängd olika data från utrustning (347), bl.a. datorer, surfplattor och smarttelefoner samt kablar, ledningar och lagringsanordningar (348). Ingrepp i utrustning gör det möjligt att få tillgång till både kommunikationsinnehåll och utrustningsdata (349).

347

348

349

| (211) | I enlighet med avsnitt 13.1 i 2016 års lag om utredningsbefogenheter måste en underrättelsetjänst för att använda ingrepp i utrustning ha tillstånd i form av ett beslut inom ramen för double lock-förfarandet som inrättats genom 2016 års lag om utredningsbefogenheter, förutsatt att det finns en ”koppling till de brittiska öarna” (350). Enligt de brittiska myndigheternas förklaringar skulle det alltid finnas en ”koppling till de brittiska öarna” i situationer där uppgifter överförs från Europeiska unionen till Förenade kungariket inom ramen för detta beslut och varje ingrepp i utrustning som innefattar sådana uppgifter skulle därför omfattas av kravet på obligatoriskt beslut i avsnitt 13.1 i 2016 års lag om utredningsbefogenheter (351). |
| --- | --- |

(211)

I enlighet med avsnitt 13.1 i 2016 års lag om utredningsbefogenheter måste en underrättelsetjänst för att använda ingrepp i utrustning ha tillstånd i form av ett beslut inom ramen för double lock-förfarandet som inrättats genom 2016 års lag om utredningsbefogenheter, förutsatt att det finns en ”koppling till de brittiska öarna” (350). Enligt de brittiska myndigheternas förklaringar skulle det alltid finnas en ”koppling till de brittiska öarna” i situationer där uppgifter överförs från Europeiska unionen till Förenade kungariket inom ramen för detta beslut och varje ingrepp i utrustning som innefattar sådana uppgifter skulle därför omfattas av kravet på obligatoriskt beslut i avsnitt 13.1 i 2016 års lag om utredningsbefogenheter (351).

double lock

350

351

| (212) | Reglerna för beslut om riktat ingrepp i utrustning anges i del 5 av 2016 års lag om utredningsbefogenheter. I likhet med riktad avlyssning måste riktat ingrepp i utrustning avse ett specifikt ”mål” som ska uppges i beslutet (352). Närmare uppgifter om hur ett ”mål” ska fastställas beror på vilken fråga och vilken typ av utrustning som ska påverkas. I synnerhet i avsnitt 115.3 i IPA anges vilken information som bör ingå i beslutet (t.ex. namn på personen eller organisationen, beskrivning av platsen) exempelvis beroende på om ingreppet gäller utrustning som tillhör, används eller innehas av en viss person, en organisation eller en grupp av personer, befinner sig på en viss plats och så vidare (353). Det är den myndighet som ansöker om ett beslut om ingrepp i utrustning som avgör för vilka syften ett beslut om ingrepp i utrustning kan utfärdas (354). |
| --- | --- |

(212)

Reglerna för beslut om riktat ingrepp i utrustning anges i del 5 av 2016 års lag om utredningsbefogenheter. I likhet med riktad avlyssning måste riktat ingrepp i utrustning avse ett specifikt ”mål” som ska uppges i beslutet (352). Närmare uppgifter om hur ett ”mål” ska fastställas beror på vilken fråga och vilken typ av utrustning som ska påverkas. I synnerhet i avsnitt 115.3 i IPA anges vilken information som bör ingå i beslutet (t.ex. namn på personen eller organisationen, beskrivning av platsen) exempelvis beroende på om ingreppet gäller utrustning som tillhör, används eller innehas av en viss person, en organisation eller en grupp av personer, befinner sig på en viss plats och så vidare (353). Det är den myndighet som ansöker om ett beslut om ingrepp i utrustning som avgör för vilka syften ett beslut om ingrepp i utrustning kan utfärdas (354).

352

353

354

| (213) | I likhet med riktad avlyssning måste den utfärdande myndigheten överväga om åtgärden är nödvändig för att uppnå ett specifikt syfte och om den står i proportion till vad som eftersträvas (355). Dessutom bör kommissionen också överväga om det finns skyddsåtgärder i fråga om säkerhet, lagring och utlämnande samt när det gäller ”utlämnande till utlandet” (356) (se skäl 196). |
| --- | --- |

(213)

I likhet med riktad avlyssning måste den utfärdande myndigheten överväga om åtgärden är nödvändig för att uppnå ett specifikt syfte och om den står i proportion till vad som eftersträvas (355). Dessutom bör kommissionen också överväga om det finns skyddsåtgärder i fråga om säkerhet, lagring och utlämnande samt när det gäller ”utlämnande till utlandet” (356) (se skäl 196).

355

356

| (214) | Beslutet måste godkännas av en justitieombudsman, utom i brådskande fall (357). I det senare fallet måste en rättslig myndighet underrättas om att ett beslut har utfärdats och måste godkänna den inom tre arbetsdagar. Om the Judicial Commissioner vägrar att godkänna beslutet upphör beslutet att gälla och kan inte förnyas (358). The Judicial Commissioner är dessutom behörig att kräva att alla uppgifter som inhämtades enligt beslutet raderas (359). Den omständigheten att ett beslut utfärdades som brådskande påverkar inte tillsynen i efterhand (se skälen 244–255) eller enskilda personers möjligheter att ansöka om rättslig prövning (se skälen 260–270). Enskilda personer kan inge klagomål till ICO eller framställa krav till tribunalen för utredningsbefogenheter enligt de normala förfarandena. I samtliga fall är det kriterium som tillämpas av the Judicial Commissioner när han eller hon beslutar att godkänna eller avslå ett beslut nödvändighets- och proportionalitetsprövningen, som är tillämplig på begäranden om riktad avlyssning (360) (se skäl 192 ovan). |
| --- | --- |

(214)

Beslutet måste godkännas av en justitieombudsman, utom i brådskande fall (357). I det senare fallet måste en rättslig myndighet underrättas om att ett beslut har utfärdats och måste godkänna den inom tre arbetsdagar. Om the Judicial Commissioner vägrar att godkänna beslutet upphör beslutet att gälla och kan inte förnyas (358). The Judicial Commissioner är dessutom behörig att kräva att alla uppgifter som inhämtades enligt beslutet raderas (359). Den omständigheten att ett beslut utfärdades som brådskande påverkar inte tillsynen i efterhand (se skälen 244–255) eller enskilda personers möjligheter att ansöka om rättslig prövning (se skälen 260–270). Enskilda personer kan inge klagomål till ICO eller framställa krav till tribunalen för utredningsbefogenheter enligt de normala förfarandena. I samtliga fall är det kriterium som tillämpas av the Judicial Commissioner när han eller hon beslutar att godkänna eller avslå ett beslut nödvändighets- och proportionalitetsprövningen, som är tillämplig på begäranden om riktad avlyssning (360) (se skäl 192 ovan).

357

the Judicial Commissioner

358

The Judicial Commissioner

359

the Judicial Commissioner

360

| (215) | Slutligen gäller särskilda skyddsåtgärder för riktad avlyssning även för ingrepp i utrustning när det gäller varaktighet, förnyelse och ändring av beslutet samt avlyssning av parlamentsledamöter, föremål som omfattas av rättsliga privilegier och journalistiskt material (se närmare uppgifter i skäl 193). |
| --- | --- |

(215)

Slutligen gäller särskilda skyddsåtgärder för riktad avlyssning även för ingrepp i utrustning när det gäller varaktighet, förnyelse och ändring av beslutet samt avlyssning av parlamentsledamöter, föremål som omfattas av rättsliga privilegier och journalistiskt material (se närmare uppgifter i skäl 193).

3.3.1.1.4   Utövande av ”massbefogenheter”

| (216) | Massbefogenheter regleras i del 6 av 2016 års lag om utredningsbefogenheter. Dessutom innehåller riktlinjerna för praxis mer information om användningen av massbefogenheter. Även om det inte finns någon definition i brittisk lag av ”massbefogenheter” har den inom ramen för 2016 års lag om utredningsbefogenheter beskrivits som insamling och lagring av stora mängder uppgifter som regeringen inhämtat på olika sätt (dvs. befogenheter gällande massavlyssning, massinhämtande, massingrepp i utrustning och massdataset av personuppgifter) som myndigheterna därefter kan få tillgång till. Denna beskrivning förtydligas genom att den står i kontrast till vad som inte är ”massbefogenhet” enligt följande: Den motsvarar inte så kallad massövervakning utan begränsningar eller skyddsåtgärder. Tvärtom innehåller den, enligt förklaringen nedan, begränsningar och skyddsåtgärder som syftar till att säkerställa att tillgång till uppgifter inte ges på ett urskillningslöst eller omotiverat sätt (361). I synnerhet kan massbefogenheter endast användas om det finns en koppling mellan den tekniska åtgärd som en nationell underrättelsetjänst avser att använda och det operativa mål för vilket en sådan åtgärd begärs. |
| --- | --- |

(216)

Massbefogenheter regleras i del 6 av 2016 års lag om utredningsbefogenheter. Dessutom innehåller riktlinjerna för praxis mer information om användningen av massbefogenheter. Även om det inte finns någon definition i brittisk lag av ”massbefogenheter” har den inom ramen för 2016 års lag om utredningsbefogenheter beskrivits som insamling och lagring av stora mängder uppgifter som regeringen inhämtat på olika sätt (dvs. befogenheter gällande massavlyssning, massinhämtande, massingrepp i utrustning och massdataset av personuppgifter) som myndigheterna därefter kan få tillgång till. Denna beskrivning förtydligas genom att den står i kontrast till vad som inte är ”massbefogenhet” enligt följande: Den motsvarar inte så kallad massövervakning utan begränsningar eller skyddsåtgärder. Tvärtom innehåller den, enligt förklaringen nedan, begränsningar och skyddsåtgärder som syftar till att säkerställa att tillgång till uppgifter inte ges på ett urskillningslöst eller omotiverat sätt (361). I synnerhet kan massbefogenheter endast användas om det finns en koppling mellan den tekniska åtgärd som en nationell underrättelsetjänst avser att använda och det operativa mål för vilket en sådan åtgärd begärs.

361

| (217) | Dessutom har endast underrättelsetjänsterna tillgång till massbefogenheter och är alltid föremål för ett beslut som utfärdas av den ansvariga ministern och godkänns av en Judicial Commissionar. När man väljer metoder för att samla in underrättelser måste man ta hänsyn till om målet i fråga kan uppnås med hjälp av ”mindre inkräktande medel” (362). Detta tillvägagångssätt följer av den rättsliga ram som bygger på proportionalitetsprincipen och därför prioriteras målinriktad insamling framför massinsamling. |
| --- | --- |

(217)

Dessutom har endast underrättelsetjänsterna tillgång till massbefogenheter och är alltid föremål för ett beslut som utfärdas av den ansvariga ministern och godkänns av en Judicial Commissionar. När man väljer metoder för att samla in underrättelser måste man ta hänsyn till om målet i fråga kan uppnås med hjälp av ”mindre inkräktande medel” (362). Detta tillvägagångssätt följer av den rättsliga ram som bygger på proportionalitetsprincipen och därför prioriteras målinriktad insamling framför massinsamling.

Judicial Commissionar

362

3.3.1.1.4.1   Massavlyssning och massingrepp i utrustning

| (218) | Ordningen för massavlyssning föreskrivs i del 6 kapitel 1 i 2016 års lag om utredningsbefogenheter medan massingrepp i utrustning regleras i kapitel 3 i samma del. Dessa ordningar är i stort sett desamma, så de villkor och ytterligare skyddsåtgärder som gäller för dessa beslut analyseras tillsammans. |
| --- | --- |

(218)

Ordningen för massavlyssning föreskrivs i del 6 kapitel 1 i 2016 års lag om utredningsbefogenheter medan massingrepp i utrustning regleras i kapitel 3 i samma del. Dessa ordningar är i stort sett desamma, så de villkor och ytterligare skyddsåtgärder som gäller för dessa beslut analyseras tillsammans.

i)   Villkor och kriterier för utfärdande av beslutet

Villkor och kriterier för utfärdande av beslutet

| (219) | Ett beslut om massavlyssning är begränsat till avlyssning av kommunikation i samband med överföring som sänds eller tas emot av enskilda personer som befinner sig utanför de brittiska öarna (363), så kallad ”utlandsrelaterad kommunikation” (364), samt andra relevanta uppgifter och det efterföljande urvalet för granskning av det avlyssnade materialet (365). En beslut om massingrepp i utrustning (366) gör det möjligt för mottagaren att säkra ingrepp i all utrustning i syfte att erhålla utlandsrelaterad kommunikation (däribland allt som omfattar tal, musik, ljud, visuella bilder eller data av valfri beskrivning), utrustningsdata (data som möjliggör eller underlättar funktionen för en posttjänst, ett telekommunikationssystem, telekommunikationstjänster) eller annan information (367). |
| --- | --- |

(219)

Ett beslut om massavlyssning är begränsat till avlyssning av kommunikation i samband med överföring som sänds eller tas emot av enskilda personer som befinner sig utanför de brittiska öarna (363), så kallad ”utlandsrelaterad kommunikation” (364), samt andra relevanta uppgifter och det efterföljande urvalet för granskning av det avlyssnade materialet (365). En beslut om massingrepp i utrustning (366) gör det möjligt för mottagaren att säkra ingrepp i all utrustning i syfte att erhålla utlandsrelaterad kommunikation (däribland allt som omfattar tal, musik, ljud, visuella bilder eller data av valfri beskrivning), utrustningsdata (data som möjliggör eller underlättar funktionen för en posttjänst, ett telekommunikationssystem, telekommunikationstjänster) eller annan information (367).

363

364

365

366

367

| (220) | Den ansvariga ministern kan utfärda ett ”massbeslut” endast på begäran av en chef för en underrättelsetjänst (368). Ett beslut om att tillåta massavlyssning eller massingrepp i utrustning får endast utfärdas om det är nödvändigt för den nationella säkerhetens intresse och för ett annat syfte att förebygga eller upptäcka allvarliga brott eller vad som är bäst för Förenade kungarikets ekonomiska välstånd när det är relevant för den nationella säkerheten (369). I avsnitt 142.7 i 2016 års lag om utredningsbefogenheter föreskrivs dessutom att ett beslut om massavlyssning måste anges mer detaljerat än en enkel hänvisning till ”vad som är bäst för den nationella säkerheten”, ”Förenade kungarikets ekonomiska välstånd” och ”förebyggande och bekämpning av grov brottslighet” och en koppling mellan den åtgärd som ska begäras och ett eller flera operativa syften som måste ingå i beslutet måste fastställas. |
| --- | --- |

(220)

Den ansvariga ministern kan utfärda ett ”massbeslut” endast på begäran av en chef för en underrättelsetjänst (368). Ett beslut om att tillåta massavlyssning eller massingrepp i utrustning får endast utfärdas om det är nödvändigt för den nationella säkerhetens intresse och för ett annat syfte att förebygga eller upptäcka allvarliga brott eller vad som är bäst för Förenade kungarikets ekonomiska välstånd när det är relevant för den nationella säkerheten (369). I avsnitt 142.7 i 2016 års lag om utredningsbefogenheter föreskrivs dessutom att ett beslut om massavlyssning måste anges mer detaljerat än en enkel hänvisning till ”vad som är bäst för den nationella säkerheten”, ”Förenade kungarikets ekonomiska välstånd” och ”förebyggande och bekämpning av grov brottslighet” och en koppling mellan den åtgärd som ska begäras och ett eller flera operativa syften som måste ingå i beslutet måste fastställas.

368

369

| (221) | Valet av operativt syfte är ett resultat av en process i flera lager. I avsnitt 142.4 föreskrivs att de operativa syften som anges i beslutet ska anges i en förteckning som förs av cheferna för underrättelsetjänsterna eftersom de anser att det är fråga om operativa ändamål för vilka avlyssnat innehåll eller sekundära uppgifter som erhållits i samband med beslut om massavlyssning kan väljas ut för granskning. Förteckningen över operativa ändamål ska godkännas av ministern. En ansvariga ministern får ge ett sådant godkännande endast om han eller hon är förvissad om att det operativa syftet är mer detaljerat än de allmänna grunderna för beviljande av tillstånd (nationell säkerhet eller nationell säkerhet och ekonomiskt välstånd eller förhindrande av allvarlig brottslighet) (370). Vid utgången av varje relevant tremånadersperiod ska ministern lämna en kopia av förteckningen över operativa ändamål till parlamentets underrättelse-och säkerhetsutskott. Slutligen måste premiärministern se över förteckningen över operativa syften minst en gång om året (371). High Court har påpekat att ”dessa inte ska behandlas som obetydliga skyddsåtgärder eftersom de tillsammans bygger upp en invecklad uppsättning metoder för ansvarsskyldighet som inbegriper såväl parlamentet som regeringsledamöter på högsta nivå” (372). |
| --- | --- |

(221)

Valet av operativt syfte är ett resultat av en process i flera lager. I avsnitt 142.4 föreskrivs att de operativa syften som anges i beslutet ska anges i en förteckning som förs av cheferna för underrättelsetjänsterna eftersom de anser att det är fråga om operativa ändamål för vilka avlyssnat innehåll eller sekundära uppgifter som erhållits i samband med beslut om massavlyssning kan väljas ut för granskning. Förteckningen över operativa ändamål ska godkännas av ministern. En ansvariga ministern får ge ett sådant godkännande endast om han eller hon är förvissad om att det operativa syftet är mer detaljerat än de allmänna grunderna för beviljande av tillstånd (nationell säkerhet eller nationell säkerhet och ekonomiskt välstånd eller förhindrande av allvarlig brottslighet) (370). Vid utgången av varje relevant tremånadersperiod ska ministern lämna en kopia av förteckningen över operativa ändamål till parlamentets underrättelse-och säkerhetsutskott. Slutligen måste premiärministern se över förteckningen över operativa syften minst en gång om året (371). High Court har påpekat att ”dessa inte ska behandlas som obetydliga skyddsåtgärder eftersom de tillsammans bygger upp en invecklad uppsättning metoder för ansvarsskyldighet som inbegriper såväl parlamentet som regeringsledamöter på högsta nivå” (372).

370

371

High Court

372

| (222) | Sådana operativa syften begränsar också omfattningen av urvalet av avlyssningsmaterial för granskningsfasen. Urvalet för granskning av eventuellt material som samlats in inom ramen för ”massbeslutet” måste motiveras mot bakgrund av det/de operativa syftet/syftena. Enligt de brittiska myndigheternas förklaring innebär detta att de praktiska arrangemangen för granskning måste bedömas av den ansvariga ministern redan i samband med beslutet, med tillräckligt detaljerade uppgifter för att uppfylla de lagstadgade skyldigheterna enligt avsnitten 152 och 193 i 2016 års lag om utredningsbefogenheter (373). De uppgifter som lämnas till den ansvariga ministern i samband med dessa arrangemang skulle till exempel behöva innehålla information (i förekommande fall) om hur filtreringsarrangemangen kan variera under den tid som ett beslut kommer att ha verkan (374). För närmare uppgifter om processen och de skyddsåtgärder som tillämpas under filtrerings- och granskningsfaserna, se skäl 229 nedan. |
| --- | --- |

(222)

Sådana operativa syften begränsar också omfattningen av urvalet av avlyssningsmaterial för granskningsfasen. Urvalet för granskning av eventuellt material som samlats in inom ramen för ”massbeslutet” måste motiveras mot bakgrund av det/de operativa syftet/syftena. Enligt de brittiska myndigheternas förklaring innebär detta att de praktiska arrangemangen för granskning måste bedömas av den ansvariga ministern redan i samband med beslutet, med tillräckligt detaljerade uppgifter för att uppfylla de lagstadgade skyldigheterna enligt avsnitten 152 och 193 i 2016 års lag om utredningsbefogenheter (373). De uppgifter som lämnas till den ansvariga ministern i samband med dessa arrangemang skulle till exempel behöva innehålla information (i förekommande fall) om hur filtreringsarrangemangen kan variera under den tid som ett beslut kommer att ha verkan (374). För närmare uppgifter om processen och de skyddsåtgärder som tillämpas under filtrerings- och granskningsfaserna, se skäl 229 nedan.

373

374

| (223) | En massbefogenhet kan endast godkännas om den står i proportion till vad som eftersträvas (375). Enligt Code of Practice on Interception innebär varje proportionalitetsbedömning en avvägning mellan allvaret i intrånget i den personliga integriteten (och andra överväganden som anges i avsnitt 2.2) och behovet av utredningsåtgärder, operativa åtgärder eller förmågor. Det godkända beteendet bör erbjuda en realistisk möjlighet att uppnå den förväntade nyttan och bör inte vara oproportionerligt eller godtyckligt” (376). Som redan nämnts innebär detta i praktiken att proportionalitetstestet baseras på ett avvägningstest mellan vad som eftersträvas (”operativt syfte/operativa syften”) och tillgängliga tekniska alternativ (t.ex. riktad eller massavlyssning, ingrepp i utrustningen, inhämtande av kommunikationsuppgifter) med företräde för de minst inkräktande medlen (se skälen 181 och 182 ovan). Om mer än en åtgärd är lämplig för målet måste de mindre inkräktande åtgärderna föredras. |
| --- | --- |

(223)

En massbefogenhet kan endast godkännas om den står i proportion till vad som eftersträvas (375). Enligt Code of Practice on Interception innebär varje proportionalitetsbedömning en avvägning mellan allvaret i intrånget i den personliga integriteten (och andra överväganden som anges i avsnitt 2.2) och behovet av utredningsåtgärder, operativa åtgärder eller förmågor. Det godkända beteendet bör erbjuda en realistisk möjlighet att uppnå den förväntade nyttan och bör inte vara oproportionerligt eller godtyckligt” (376). Som redan nämnts innebär detta i praktiken att proportionalitetstestet baseras på ett avvägningstest mellan vad som eftersträvas (”operativt syfte/operativa syften”) och tillgängliga tekniska alternativ (t.ex. riktad eller massavlyssning, ingrepp i utrustningen, inhämtande av kommunikationsuppgifter) med företräde för de minst inkräktande medlen (se skälen 181 och 182 ovan). Om mer än en åtgärd är lämplig för målet måste de mindre inkräktande åtgärderna föredras.

375

Code of Practice on Interception

376

| (224) | Ytterligare en garanti för bedömningen av den begärda åtgärdens proportionalitet säkerställs genom det faktum att ministern måste få den relevanta information som behövs för att kunna göra sin bedömning på ett korrekt sätt. I synnerhet krävs det enligt uppförandekoden om avlyssning och uppförandekoden om ingrepp i utrustning att den ansökan som lämnas in av den berörda myndigheten ska innehålla uppgifter om bakgrunden till ansökan, beskrivning av den kommunikation som ska avlyssnas och de teleoperatörer som är skyldiga att bistå, en beskrivning av det beteende som ska godkännas, de operativa ändamålen och en förklaring till varför beteendet är nödvändigt och proportionerligt (377). |
| --- | --- |

(224)

Ytterligare en garanti för bedömningen av den begärda åtgärdens proportionalitet säkerställs genom det faktum att ministern måste få den relevanta information som behövs för att kunna göra sin bedömning på ett korrekt sätt. I synnerhet krävs det enligt uppförandekoden om avlyssning och uppförandekoden om ingrepp i utrustning att den ansökan som lämnas in av den berörda myndigheten ska innehålla uppgifter om bakgrunden till ansökan, beskrivning av den kommunikation som ska avlyssnas och de teleoperatörer som är skyldiga att bistå, en beskrivning av det beteende som ska godkännas, de operativa ändamålen och en förklaring till varför beteendet är nödvändigt och proportionerligt (377).

377

| (225) | Slutligen är det viktigt att den ansvariga ministerns beslut att utfärda beslutet måste godkännas av en oberoende Judicial Commissioner som bedömer huruvida den föreslagna åtgärden är nödvändig och proportionerlig med tillämpning av samma principer som en domstol skulle använda i en ansökan om rättslig prövning (378). The Judicial Commissioner kommer närmare bestämt att granska den ansvariga ministerns slutsatser om huruvida beslutet är nödvändigt och huruvida beteendet är proportionerligt mot bakgrund av de principer som fastställs i avsnitt 2.2 i 2016 års lag om utredningsbefogenheter (allmänna skyldigheter i fråga om integritet). The Judicial Commissioner kommer också att granska ministerns slutsatser om huruvida vart och ett av de operativa syften som anges i beslutet är ett syfte för vilket urvalet är eller kan vara nödvändigt. Om the Judicial Commissioner vägrar att godkänna beslutet att utfärda ett beslut om husrannsakan kan den ansvariga ministern antingen i) godta beslutet och därför inte utfärda beslutet om husrannsakan eller ii) hänskjuta ärendet till den utredande myndigheten för beslut (såvida inte den utredande myndigheten har fattat det ursprungliga beslutet) (379). |
| --- | --- |

(225)

Slutligen är det viktigt att den ansvariga ministerns beslut att utfärda beslutet måste godkännas av en oberoende Judicial Commissioner som bedömer huruvida den föreslagna åtgärden är nödvändig och proportionerlig med tillämpning av samma principer som en domstol skulle använda i en ansökan om rättslig prövning (378). The Judicial Commissioner kommer närmare bestämt att granska den ansvariga ministerns slutsatser om huruvida beslutet är nödvändigt och huruvida beteendet är proportionerligt mot bakgrund av de principer som fastställs i avsnitt 2.2 i 2016 års lag om utredningsbefogenheter (allmänna skyldigheter i fråga om integritet). The Judicial Commissioner kommer också att granska ministerns slutsatser om huruvida vart och ett av de operativa syften som anges i beslutet är ett syfte för vilket urvalet är eller kan vara nödvändigt. Om the Judicial Commissioner vägrar att godkänna beslutet att utfärda ett beslut om husrannsakan kan den ansvariga ministern antingen i) godta beslutet och därför inte utfärda beslutet om husrannsakan eller ii) hänskjuta ärendet till den utredande myndigheten för beslut (såvida inte den utredande myndigheten har fattat det ursprungliga beslutet) (379).

Judicial Commissioner

378

The Judicial Commissioner

The Judicial Commissioner

the Judicial Commissioner

379

ii)   Ytterligare skyddsåtgärder

Ytterligare skyddsåtgärder

| (226) | Genom 2016 års lag om utredningsbefogenheter infördes ytterligare begränsningar för varaktigheten, förnyelse och ändring av ett ”massbeslut”. Beslutet ska ha en giltighetstid på högst sex månader och varje beslut om att förnya eller ändra (med undantag för mindre ändringar) beslutet måste också godkännas av en Judicial Commissioner (380). I uppförandekoden om avlyssning av kommunikation och i uppförandekoden om ingrepp i utrustning anges att en ändring av de operativa syftena med beslutet betraktas som en betydande ändring av beslutet (381). |
| --- | --- |

(226)

Genom 2016 års lag om utredningsbefogenheter infördes ytterligare begränsningar för varaktigheten, förnyelse och ändring av ett ”massbeslut”. Beslutet ska ha en giltighetstid på högst sex månader och varje beslut om att förnya eller ändra (med undantag för mindre ändringar) beslutet måste också godkännas av en Judicial Commissioner (380). I uppförandekoden om avlyssning av kommunikation och i uppförandekoden om ingrepp i utrustning anges att en ändring av de operativa syftena med beslutet betraktas som en betydande ändring av beslutet (381).

Judicial Commissioner

380

381

| (227) | I likhet med vad som föreskrivs för riktad avlyssning föreskrivs i del 6 i 2016 års lag om utredningsbefogenheter att den ansvariga ministern ska se till att det finns gällande bestämmelser om lagring och utlämnande av material som erhållits i enlighet med beslutet (382) samt om utlämnande utomlands (383). I synnerhet föreskrivs i avsnitten 150.5 och 191.5 i 2016 års lag om utredningsbefogenheter att varje kopia av sådant material som samlats in enligt beslutet ska förvaras på ett säkert sätt och förstöras så snart det inte längre finns några relevanta skäl för att behålla det medan det i avsnitten 150.2 och 191.2 krävs att antalet personer till vilka materialet lämnas ut och i vilken omfattning materialet lämnas ut görs tillgängligt eller kopieras ska begränsas till vad som är absolut nödvändigt för de lagstadgade ändamålen (384). |
| --- | --- |

(227)

I likhet med vad som föreskrivs för riktad avlyssning föreskrivs i del 6 i 2016 års lag om utredningsbefogenheter att den ansvariga ministern ska se till att det finns gällande bestämmelser om lagring och utlämnande av material som erhållits i enlighet med beslutet (382) samt om utlämnande utomlands (383). I synnerhet föreskrivs i avsnitten 150.5 och 191.5 i 2016 års lag om utredningsbefogenheter att varje kopia av sådant material som samlats in enligt beslutet ska förvaras på ett säkert sätt och förstöras så snart det inte längre finns några relevanta skäl för att behålla det medan det i avsnitten 150.2 och 191.2 krävs att antalet personer till vilka materialet lämnas ut och i vilken omfattning materialet lämnas ut görs tillgängligt eller kopieras ska begränsas till vad som är absolut nödvändigt för de lagstadgade ändamålen (384).

382

383

384

| (228) | När slutligen det material som har avlyssnats antingen genom en massavlyssning eller ett massingrepp i utrustning ska överlämnas till tredjeland (”utlämnande till utlandet”) föreskrivs i 2016 års lag om utredningsbefogenheter att den ansvariga ministern ska se till att lämpliga åtgärder vidtas för att säkerställa att liknande skyddsåtgärder för säkerhet, lagring och utlämnande finns i det tredjelandet (385). I avsnitt 109 i 2018 års dataskyddslag fastställs dessutom särskilda krav för underrättelsetjänsters internationella överföringar av personuppgifter till tredjeländer eller internationella organisationer. Enligt dessa bestämmelser får personuppgifter inte överföras till ett land eller territorium utanför Förenade kungariket eller till en internationell organisation om inte överföringen är nödvändig och proportionell med hänsyn till den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i avsnitt 2.2 a i Security Services Act 1989 eller avsnitten 2.2 a och 4.2 a i Intelligence Services Act 1994 (386). Det är viktigt att notera att dessa krav även gäller i situationer där undantaget avseende nationell säkerhet enligt avsnitt 110 i 2018 års dataskyddslag åberopas, eftersom avsnitt 109 inte anges i samma lags avsnitt 110 som en av de bestämmelser som kan upphöra att gälla om ett undantag från vissa bestämmelser krävs för att skydda den nationella säkerheten. |
| --- | --- |

(228)

När slutligen det material som har avlyssnats antingen genom en massavlyssning eller ett massingrepp i utrustning ska överlämnas till tredjeland (”utlämnande till utlandet”) föreskrivs i 2016 års lag om utredningsbefogenheter att den ansvariga ministern ska se till att lämpliga åtgärder vidtas för att säkerställa att liknande skyddsåtgärder för säkerhet, lagring och utlämnande finns i det tredjelandet (385). I avsnitt 109 i 2018 års dataskyddslag fastställs dessutom särskilda krav för underrättelsetjänsters internationella överföringar av personuppgifter till tredjeländer eller internationella organisationer. Enligt dessa bestämmelser får personuppgifter inte överföras till ett land eller territorium utanför Förenade kungariket eller till en internationell organisation om inte överföringen är nödvändig och proportionell med hänsyn till den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i avsnitt 2.2 a i Security Services Act 1989 eller avsnitten 2.2 a och 4.2 a i Intelligence Services Act 1994 (386). Det är viktigt att notera att dessa krav även gäller i situationer där undantaget avseende nationell säkerhet enligt avsnitt 110 i 2018 års dataskyddslag åberopas, eftersom avsnitt 109 inte anges i samma lags avsnitt 110 som en av de bestämmelser som kan upphöra att gälla om ett undantag från vissa bestämmelser krävs för att skydda den nationella säkerheten.

385

Security Services Act 1989

Intelligence Services Act 1994

386

| (229) | När beslutet har godkänts och uppgifterna har samlats in i massomfattning kommer uppgifterna att bli föremål för ett urval innan de granskas. Urvals- och granskningsfasen är föremål för ytterligare ett proportionalitetstest som utförs av analytikern och som på grundval av de operativa syften som ingår i beslutet (och eventuellt befintliga filtreringsarrangemang) definierar urvalskriterierna. Enligt avsnitt 152 och 193 i IPA måste ministern vid utfärdandet av beslutet se till att det finns arrangemang som garanterar att urvalet av materialet endast sker för de angivna operativa ändamålen och att det är nödvändigt och proportionerligt under alla omständigheter. I detta avseende klargjorde de brittiska myndigheterna att det material som massavlyssnats först och främst väljs ut genom automatisk filtrering i syfte att göra sig av med uppgifter som sannolikt inte är av nationellt säkerhetsintresse. Filtren kommer att variera från tid till annan (allteftersom mönstren, typerna och protokollen för Internettrafik ändras) och kommer att bero på tekniken och det operativa sammanhanget. Efter denna fas kan uppgifterna väljas ut för granskning endast om de är relevanta för de operativa syften som anges i beslutet (387). De skyddsåtgärder som föreskrivs i 2016 års lag om utredningsbefogenheter vad gäller granskning av insamlat material är tillämpliga på alla typer av uppgifter (både avlyssnat innehåll och sekundära uppgifter) (388). I avsnitten 152 och 193 i 2016 års lag om utredningsbefogenheter föreskrivs även ett allmänt förbud mot att välja ut material för granskning som avser samtal som sänds av eller är avsedda för personer som befinner sig på de brittiska öarna. Om myndigheterna vill granska sådant material ska de lämna in en begäran om ett beslut om en riktad granskning enligt del 2 och del 4 i 2016 års lag om utredningsbefogenheter utfärdad av den ansvariga ministern och godkänd av en Judicial Commissioner (389). Om en person avsiktligt väljer ut avlyssnat innehåll för granskning i strid med kraven i lagstiftningen (390) begår han eller hon ett brott (391). |
| --- | --- |

(229)

När beslutet har godkänts och uppgifterna har samlats in i massomfattning kommer uppgifterna att bli föremål för ett urval innan de granskas. Urvals- och granskningsfasen är föremål för ytterligare ett proportionalitetstest som utförs av analytikern och som på grundval av de operativa syften som ingår i beslutet (och eventuellt befintliga filtreringsarrangemang) definierar urvalskriterierna. Enligt avsnitt 152 och 193 i IPA måste ministern vid utfärdandet av beslutet se till att det finns arrangemang som garanterar att urvalet av materialet endast sker för de angivna operativa ändamålen och att det är nödvändigt och proportionerligt under alla omständigheter. I detta avseende klargjorde de brittiska myndigheterna att det material som massavlyssnats först och främst väljs ut genom automatisk filtrering i syfte att göra sig av med uppgifter som sannolikt inte är av nationellt säkerhetsintresse. Filtren kommer att variera från tid till annan (allteftersom mönstren, typerna och protokollen för Internettrafik ändras) och kommer att bero på tekniken och det operativa sammanhanget. Efter denna fas kan uppgifterna väljas ut för granskning endast om de är relevanta för de operativa syften som anges i beslutet (387). De skyddsåtgärder som föreskrivs i 2016 års lag om utredningsbefogenheter vad gäller granskning av insamlat material är tillämpliga på alla typer av uppgifter (både avlyssnat innehåll och sekundära uppgifter) (388). I avsnitten 152 och 193 i 2016 års lag om utredningsbefogenheter föreskrivs även ett allmänt förbud mot att välja ut material för granskning som avser samtal som sänds av eller är avsedda för personer som befinner sig på de brittiska öarna. Om myndigheterna vill granska sådant material ska de lämna in en begäran om ett beslut om en riktad granskning enligt del 2 och del 4 i 2016 års lag om utredningsbefogenheter utfärdad av den ansvariga ministern och godkänd av en Judicial Commissioner (389). Om en person avsiktligt väljer ut avlyssnat innehåll för granskning i strid med kraven i lagstiftningen (390) begår han eller hon ett brott (391).

387

388

Judicial Commissioner

389

390

391

| (230) | Analytikerns bedömning av urvalet av materialet är föremål för en efterhandsöversyn av the Investigatory Powers Commissioner som utvärderar efterlevnaden av de särskilda skyddsåtgärder som fastställs i 2016 års lag om utredningsbefogenheter för granskningsfasen (392) (se även skäl 229). The Investigatory Powers Commissioner måste övervaka (bland annat genom revisioner, inspektioner och utredningar) myndigheternas utövande av de utredningsbefogenheter som nämns i 2016 års lag om utredningsbefogenheter (393). I detta avseende klargörs det i uppförandekoden om avlyssning av kommunikation och uppförandekoden om ingrepp i utrustning att myndigheten måste föra register för efterföljande granskningar och revisioner och i dessa register ska anges varför behöriga personers tillgång till materialet är nödvändig och proportionell och de tillämpliga operativa ändamålen (394). I sin årsrapport för 2018 drar IPCO (395) slutsatsen att analytikernas motiveringar för granskningen av visst material som samlats in i massomfattning uppfyllde kraven på proportionalitet genom att tillhandahålla tillräckliga uppgifter om skälen till deras ”frågor” i förhållande till det syfte som skulle uppnås (396). I sin rapport om massbefogenheter från 2019 uttryckte IPCO klart sin avsikt att fortsätta inspektionerna av massavlyssningar, inklusive en detaljerad granskning av urvals- och sökkriterierna (397). IPCO kommer även att fortsätta att noggrant och från fall till fall kontrollera valet av övervakningsåtgärder (riktade åtgärder eller massåtgärder) i samband med handläggning av ansökningar om betyg enligt double lock-förfarandet och vid inspektioner (398) Kommissionen kommer vederbörligen att beakta denna ytterligare övervakning när den övervakar detta beslut enligt skälen 281–284. |
| --- | --- |

(230)

Analytikerns bedömning av urvalet av materialet är föremål för en efterhandsöversyn av the Investigatory Powers Commissioner som utvärderar efterlevnaden av de särskilda skyddsåtgärder som fastställs i 2016 års lag om utredningsbefogenheter för granskningsfasen (392) (se även skäl 229). The Investigatory Powers Commissioner måste övervaka (bland annat genom revisioner, inspektioner och utredningar) myndigheternas utövande av de utredningsbefogenheter som nämns i 2016 års lag om utredningsbefogenheter (393). I detta avseende klargörs det i uppförandekoden om avlyssning av kommunikation och uppförandekoden om ingrepp i utrustning att myndigheten måste föra register för efterföljande granskningar och revisioner och i dessa register ska anges varför behöriga personers tillgång till materialet är nödvändig och proportionell och de tillämpliga operativa ändamålen (394). I sin årsrapport för 2018 drar IPCO (395) slutsatsen att analytikernas motiveringar för granskningen av visst material som samlats in i massomfattning uppfyllde kraven på proportionalitet genom att tillhandahålla tillräckliga uppgifter om skälen till deras ”frågor” i förhållande till det syfte som skulle uppnås (396). I sin rapport om massbefogenheter från 2019 uttryckte IPCO klart sin avsikt att fortsätta inspektionerna av massavlyssningar, inklusive en detaljerad granskning av urvals- och sökkriterierna (397). IPCO kommer även att fortsätta att noggrant och från fall till fall kontrollera valet av övervakningsåtgärder (riktade åtgärder eller massåtgärder) i samband med handläggning av ansökningar om betyg enligt double lock-förfarandet och vid inspektioner (398) Kommissionen kommer vederbörligen att beakta denna ytterligare övervakning när den övervakar detta beslut enligt skälen 281–284.

the Investigatory Powers Commissioner

392

The Investigatory Powers Commissioner

393

394

395

396

397

double lock

398

3.3.1.1.4.2   Massinhämtande av kommunikationsuppgifter

| (231) | Kapitel 2 i del 6 i 2016 års lag om utredningsbefogenheter reglerar beslut om massinhämtande som ger mottagaren rätt att kräva att en teleoperatör lämnar ut eller erhåller eventuella kommunikationsuppgifter som operatören förfogar över. Dessa beslut godkänner också att den begärande myndigheten väljer ut uppgifterna för den fortsatta fasen av granskningen. Precis som när det gäller riktad lagring och inhämtande av kommunikationsuppgifter (se skäl 199) rör det mesta massinhämtande av kommunikationsuppgifter normalt inte personuppgifter om registrerade i EU som överförs till Förenade kungariket enligt detta beslut. Skyldigheten att lämna ut kommunikationsuppgifter enligt kapitel 2 i del 6 i 2016 års lag om utredningsbefogenheter omfattar uppgifter som samlas in av teleoperatörer i Förenade kungariket direkt från användarna av en telekommunikationstjänst (399). Denna typ av ”kundtillvänd” behandling omfattar vanligtvis inte en överföring på grundval av detta beslut, dvs. en överföring från en personuppgiftsansvarig/ett personuppgiftsbiträde i EU till en personuppgiftsansvarig/ett personuppgiftsbiträde i Förenade kungariket. |
| --- | --- |

(231)

Kapitel 2 i del 6 i 2016 års lag om utredningsbefogenheter reglerar beslut om massinhämtande som ger mottagaren rätt att kräva att en teleoperatör lämnar ut eller erhåller eventuella kommunikationsuppgifter som operatören förfogar över. Dessa beslut godkänner också att den begärande myndigheten väljer ut uppgifterna för den fortsatta fasen av granskningen. Precis som när det gäller riktad lagring och inhämtande av kommunikationsuppgifter (se skäl 199) rör det mesta massinhämtande av kommunikationsuppgifter normalt inte personuppgifter om registrerade i EU som överförs till Förenade kungariket enligt detta beslut. Skyldigheten att lämna ut kommunikationsuppgifter enligt kapitel 2 i del 6 i 2016 års lag om utredningsbefogenheter omfattar uppgifter som samlas in av teleoperatörer i Förenade kungariket direkt från användarna av en telekommunikationstjänst (399). Denna typ av ”kundtillvänd” behandling omfattar vanligtvis inte en överföring på grundval av detta beslut, dvs. en överföring från en personuppgiftsansvarig/ett personuppgiftsbiträde i EU till en personuppgiftsansvarig/ett personuppgiftsbiträde i Förenade kungariket.

399

| (232) | För fullständighetens skull beskrivs dock de villkor och skyddsåtgärder som gäller för massinhämtande av kommunikationsuppgifter nedan. |
| --- | --- |

(232)

För fullständighetens skull beskrivs dock de villkor och skyddsåtgärder som gäller för massinhämtande av kommunikationsuppgifter nedan.

| (233) | 2016 års lag om utredningsbefogenheter ersätter den lagstiftning om massinhämtande av kommunikationsuppgifter som var föremål för EU-domstolens dom i målet Privacy International. Den lagstiftning som var i fråga i det målet upphävdes och det nya systemet innehåller särskilda villkor och garantier för att en sådan åtgärd ska kunna godkännas. |
| --- | --- |

(233)

2016 års lag om utredningsbefogenheter ersätter den lagstiftning om massinhämtande av kommunikationsuppgifter som var föremål för EU-domstolens dom i målet Privacy International. Den lagstiftning som var i fråga i det målet upphävdes och det nya systemet innehåller särskilda villkor och garantier för att en sådan åtgärd ska kunna godkännas.

| (234) | I synnerhet kräver 2016 års lag om utredningsbefogenheter, till skillnad från det tidigare systemet enligt vilket den ansvariga ministern hade full handlingsfrihet när det gäller att godkänna åtgärden (400), att den ansvariga ministern endast ska utfärda ett beslut om åtgärden är nödvändig och proportionerlig. Detta innebär i praktiken att det bör finnas en koppling mellan tillgången till uppgifterna och det eftersträvade målet (401). Närmare bestämt måste den ansvariga ministern bedöma om det finns ett samband mellan den begärda åtgärden och ett eller flera ”operativa ändamål” som anges i beslutet (se skäl 219) med avseende på proportionalitetsbedömningen och i den relevanta uppförandekoden anges att ”ministern måste beakta huruvida det som avses med beslutet rimligen skulle kunna uppnås med andra mindre inkräktande medel (avsnitt 2.2 a i lagen). Till exempel inhämtande av den begärda informationen genom en mindre inkräktande befogenhet, till exempel riktat inhämtande av kommunikationsuppgifter” (402). |
| --- | --- |

(234)

I synnerhet kräver 2016 års lag om utredningsbefogenheter, till skillnad från det tidigare systemet enligt vilket den ansvariga ministern hade full handlingsfrihet när det gäller att godkänna åtgärden (400), att den ansvariga ministern endast ska utfärda ett beslut om åtgärden är nödvändig och proportionerlig. Detta innebär i praktiken att det bör finnas en koppling mellan tillgången till uppgifterna och det eftersträvade målet (401). Närmare bestämt måste den ansvariga ministern bedöma om det finns ett samband mellan den begärda åtgärden och ett eller flera ”operativa ändamål” som anges i beslutet (se skäl 219) med avseende på proportionalitetsbedömningen och i den relevanta uppförandekoden anges att ”ministern måste beakta huruvida det som avses med beslutet rimligen skulle kunna uppnås med andra mindre inkräktande medel (avsnitt 2.2 a i lagen). Till exempel inhämtande av den begärda informationen genom en mindre inkräktande befogenhet, till exempel riktat inhämtande av kommunikationsuppgifter” (402).

400

401

402

| (235) | För att göra en sådan bedömning kommer den ansvariga ministern att förlita sig på uppgifter som underrättelsetjänsterna (403) är skyldiga att lämna i sin ansökan, till exempel skälen till att åtgärden anses nödvändig på grund av en av de lagstadgade grunderna och skälen till att det som eftersträvas inte rimligen skulle kunna uppnås med andra, mindre inkräktande medel (404). Dessutom begränsar de operativa ändamålen det område inom vilket de uppgifter som erhållits inom ramen för beslutet kan väljas ut för granskning (405). Enligt den relevanta uppförandekoden ska de operativa ändamålen beskriva ett tydligt krav och vara tillräckligt detaljerade för att övertyga den ansvariga ministern om att inhämtade uppgifter endast får väljas ut för granskning av särskilda skäl (406). Den ansvariga ministern måste nämligen, innan beslutet godkänns, se till att det finns särskilda arrangemang för att säkerställa att endast det material som har bedömts vara nödvändigt för ett operativt ändamål och ett lagstadgat syfte väljs ut för granskningen och att det bör vara proportionerligt och nödvändigt under alla omständigheter. Detta särskilda krav, som återspeglas i avsnitten 158 och 172 (407) i 2016 års lag om utredningsbefogenheter, när det gäller förhandsbedömningen av nödvändigheten och proportionaliteten för de kriterier som används för urvalet utgör en annan viktig nyhet i den ordning som infördes genom 2016 års lag om utredningsbefogenheter jämfört med den tidigare ordningen. |
| --- | --- |

(235)

För att göra en sådan bedömning kommer den ansvariga ministern att förlita sig på uppgifter som underrättelsetjänsterna (403) är skyldiga att lämna i sin ansökan, till exempel skälen till att åtgärden anses nödvändig på grund av en av de lagstadgade grunderna och skälen till att det som eftersträvas inte rimligen skulle kunna uppnås med andra, mindre inkräktande medel (404). Dessutom begränsar de operativa ändamålen det område inom vilket de uppgifter som erhållits inom ramen för beslutet kan väljas ut för granskning (405). Enligt den relevanta uppförandekoden ska de operativa ändamålen beskriva ett tydligt krav och vara tillräckligt detaljerade för att övertyga den ansvariga ministern om att inhämtade uppgifter endast får väljas ut för granskning av särskilda skäl (406). Den ansvariga ministern måste nämligen, innan beslutet godkänns, se till att det finns särskilda arrangemang för att säkerställa att endast det material som har bedömts vara nödvändigt för ett operativt ändamål och ett lagstadgat syfte väljs ut för granskningen och att det bör vara proportionerligt och nödvändigt under alla omständigheter. Detta särskilda krav, som återspeglas i avsnitten 158 och 172 (407) i 2016 års lag om utredningsbefogenheter, när det gäller förhandsbedömningen av nödvändigheten och proportionaliteten för de kriterier som används för urvalet utgör en annan viktig nyhet i den ordning som infördes genom 2016 års lag om utredningsbefogenheter jämfört med den tidigare ordningen.

403

404

405

406

407

| (236) | Genom 2016 års lag om utredningsbefogenheter infördes också en skyldighet för den ansvariga ministern att se till att vissa begränsningar finns vad gäller säkerhet, lagring och utlämnande är begränsade innan beslut om massinhämtande av kommunikationsuppgifter utfärdas (408). Vad gäller utlämnande till utlandet gäller de skyddsåtgärder som beskrivs i skäl 227 även i detta sammanhang för massavlyssning och massingrepp i utrustning (409). Ytterligare begränsningar fastställs i lagstiftningen om giltighetstid (410), förnyelse (411) och ändring av ”massbesluten” (412). |
| --- | --- |

(236)

Genom 2016 års lag om utredningsbefogenheter infördes också en skyldighet för den ansvariga ministern att se till att vissa begränsningar finns vad gäller säkerhet, lagring och utlämnande är begränsade innan beslut om massinhämtande av kommunikationsuppgifter utfärdas (408). Vad gäller utlämnande till utlandet gäller de skyddsåtgärder som beskrivs i skäl 227 även i detta sammanhang för massavlyssning och massingrepp i utrustning (409). Ytterligare begränsningar fastställs i lagstiftningen om giltighetstid (410), förnyelse (411) och ändring av ”massbesluten” (412).

408

409

410

411

412

| (237) | Det är viktigt att den ansvariga ministern innan beslutet utfärdas måste få ett godkännande av en Judicial Commissioner på samma sätt som gäller för övriga massbefogenheter (413). Detta är ett centralt inslag i den ordning som infördes genom 2016 års lag om utredningsbefogenheter. |
| --- | --- |

(237)

Det är viktigt att den ansvariga ministern innan beslutet utfärdas måste få ett godkännande av en Judicial Commissioner på samma sätt som gäller för övriga massbefogenheter (413). Detta är ett centralt inslag i den ordning som infördes genom 2016 års lag om utredningsbefogenheter.

Judicial Commissioner

413

| (238) | The Investigatory Powers Commissioner utför en efterhandsöversyn av granskningsförfarandet över det material (kommunikationsuppgifter) som inhämtats i massomfattning (se skäl 254 nedan). I 2016 års lag om utredningsbefogenheter infördes i detta avseende ett krav på att underrättelseanalytikern måste registrera skälen till att den föreslagna granskningen är nödvändig och proportionerlig för ett bestämt operativt syfte innan han eller hon väljer ut de uppgifter som ska granskas (414). I IPCO:s årsrapport 2019 konstaterades med avseende på Government Communications Headquarters och säkerhetstjänsten MI5:s praxis att ”den avgörande roll som data från masskommunikationsuppgifter spelar för den verksamhet som bedrivs vid Government Communications Headquarters var väl förankrad i det arbete som vi inspekterade. Vi bedömde de begärda uppgifternas art och de angivna underrättelsekraven och var övertygade om att dokumentationen visade att deras tillvägagångssätt var nödvändigt och proportionerligt” (415). MI5:s registrerade motiveringar var av god standard och uppfyllde principerna om nödvändighet och proportionalitet” (416). |
| --- | --- |

(238)

The Investigatory Powers Commissioner utför en efterhandsöversyn av granskningsförfarandet över det material (kommunikationsuppgifter) som inhämtats i massomfattning (se skäl 254 nedan). I 2016 års lag om utredningsbefogenheter infördes i detta avseende ett krav på att underrättelseanalytikern måste registrera skälen till att den föreslagna granskningen är nödvändig och proportionerlig för ett bestämt operativt syfte innan han eller hon väljer ut de uppgifter som ska granskas (414). I IPCO:s årsrapport 2019 konstaterades med avseende på Government Communications Headquarters och säkerhetstjänsten MI5:s praxis att ”den avgörande roll som data från masskommunikationsuppgifter spelar för den verksamhet som bedrivs vid Government Communications Headquarters var väl förankrad i det arbete som vi inspekterade. Vi bedömde de begärda uppgifternas art och de angivna underrättelsekraven och var övertygade om att dokumentationen visade att deras tillvägagångssätt var nödvändigt och proportionerligt” (415). MI5:s registrerade motiveringar var av god standard och uppfyllde principerna om nödvändighet och proportionalitet” (416).

The Investigatory Powers Commissioner

414

Government Communications Headquarters

Government Communications Headquarters

415

416

3.3.1.1.4.3   Lagring och granskning av massdataset av personuppgifter

| (239) | Genom beslut om massdataset av personuppgifter (417) får underrättelsetjänster tillstånd får lagra och undersöka dataset som innehåller personuppgifter som rör ett antal enskilda personer. Enligt de brittiska myndigheternas förklaringar kan analysen av sådana dataset vara ”det enda sättet för UKIC att gå vidare med utredningar och identifiera terrorister från mycket begränsade ledande underrättelser eller när deras kommunikation avsiktligt har dolts” (418). Det finns två typer av beslut enligt följande: ”Typbeslut om massdataset av personuppgifter” (419) som avser en viss kategori av dataset, dvs. dataset som liknar varandra i fråga om innehåll och föreslagen användning och som tar upp liknande överväganden som exempelvis graden av intrång och känslighet och proportionaliteten i användningen av uppgifterna, vilket gör det möjligt för den ansvariga ministern att beakta nödvändigheten och proportionaliteten av att samla in alla uppgifter inom den relevanta typen vid en enda tidpunkt. Till exempel kan ett typbeslut om massdataset av personuppgifter omfatta resedataset som avser liknande rutter (420). ”specifika beslut om massdataset av personuppgifter” (421) avser i stället ett specifikt dataset, till exempel ett dataset av en ny eller ovanlig typ av information som inte omfattas av en befintlig typ av beslut om massdataset av personuppgifter eller ett dataset som rör specifika typer av personuppgifter (422) och därför kräver ytterligare skyddsåtgärder (423). Bestämmelserna i 2016 års lag om utredningsbefogenheter gällande massdataste av personuppgifter tillåter att sådana dataset granskas och lagras endast om det är nödvändigt och proportionerligt att göra detta (424) och i enlighet med de allmänna skyldigheterna i fråga om integritet (425). |
| --- | --- |

(239)

Genom beslut om massdataset av personuppgifter (417) får underrättelsetjänster tillstånd får lagra och undersöka dataset som innehåller personuppgifter som rör ett antal enskilda personer. Enligt de brittiska myndigheternas förklaringar kan analysen av sådana dataset vara ”det enda sättet för UKIC att gå vidare med utredningar och identifiera terrorister från mycket begränsade ledande underrättelser eller när deras kommunikation avsiktligt har dolts” (418). Det finns två typer av beslut enligt följande: ”Typbeslut om massdataset av personuppgifter” (419) som avser en viss kategori av dataset, dvs. dataset som liknar varandra i fråga om innehåll och föreslagen användning och som tar upp liknande överväganden som exempelvis graden av intrång och känslighet och proportionaliteten i användningen av uppgifterna, vilket gör det möjligt för den ansvariga ministern att beakta nödvändigheten och proportionaliteten av att samla in alla uppgifter inom den relevanta typen vid en enda tidpunkt. Till exempel kan ett typbeslut om massdataset av personuppgifter omfatta resedataset som avser liknande rutter (420). ”specifika beslut om massdataset av personuppgifter” (421) avser i stället ett specifikt dataset, till exempel ett dataset av en ny eller ovanlig typ av information som inte omfattas av en befintlig typ av beslut om massdataset av personuppgifter eller ett dataset som rör specifika typer av personuppgifter (422) och därför kräver ytterligare skyddsåtgärder (423). Bestämmelserna i 2016 års lag om utredningsbefogenheter gällande massdataste av personuppgifter tillåter att sådana dataset granskas och lagras endast om det är nödvändigt och proportionerligt att göra detta (424) och i enlighet med de allmänna skyldigheterna i fråga om integritet (425).

417

418

419

420

421

422

423

424

425

| (240) | Befogenheten att utfärda ett beslut om massdatset av personuppgifter omfattas av double lock-förfarandet där bedömningen av åtgärdens nödvändighet och proportionalitet görs först av den ansvariga ministern och därefter av the Judicial Commissioner (426). Den ansvariga ministern är skyldig att beakta arten och omfattningen av den typ av beslut som begärs, vilken kategori av uppgifter det rör sig om och antalet enskilda massdataset av personuppgifter som sannolikt omfattas av den specifika typen av beslut (427). Enligt vad som anges i uppförandekoden för underrättelsetjänsters lagring och användning av massdataset av personuppgifter ska detaljerade register föras och omfattas av revision av the Investigatory Powers Commissioner (428). Att lagra och granska massdatset av personuppgifter utanför begränsningarna i 2016 års lag om utredningsbefogenheter är ett brott (429). |
| --- | --- |

(240)

Befogenheten att utfärda ett beslut om massdatset av personuppgifter omfattas av double lock-förfarandet där bedömningen av åtgärdens nödvändighet och proportionalitet görs först av den ansvariga ministern och därefter av the Judicial Commissioner (426). Den ansvariga ministern är skyldig att beakta arten och omfattningen av den typ av beslut som begärs, vilken kategori av uppgifter det rör sig om och antalet enskilda massdataset av personuppgifter som sannolikt omfattas av den specifika typen av beslut (427). Enligt vad som anges i uppförandekoden för underrättelsetjänsters lagring och användning av massdataset av personuppgifter ska detaljerade register föras och omfattas av revision av the Investigatory Powers Commissioner (428). Att lagra och granska massdatset av personuppgifter utanför begränsningarna i 2016 års lag om utredningsbefogenheter är ett brott (429).

double lock

the Judicial Commissioner

426

427

the Investigatory Powers Commissioner

428

429

3.3.2   Vidare användning av de insamlade uppgifterna

Vidare användning av de insamlade uppgifterna

| (241) | Personuppgifter som behandlas enligt del 4 i 2018 års dataskyddslag får inte behandlas på ett sätt som är oförenligt med det syfte för vilket de samlades in (430). 2018 års dataskyddslag föreskriver att den personuppgiftsansvariga får behandla uppgifterna för ett annat ändamål än det för vilket uppgifterna samlades in om det är förenligt med det ursprungliga ändamålet och förutsatt att den personuppgiftsansvariga enligt lag har rätt att behandla uppgifterna och att behandlingen är nödvändig och proportionerlig (431). I Security Services Act 1989 och Intelligence Services Act 1994 anges dessutom att cheferna för underrättelsetjänsterna är skyldiga att se till att ingen information erhålls eller röjs utom i den mån det är nödvändigt för att myndigheten ska kunna fullgöra sina uppgifter på ett korrekt sätt eller för de andra begränsade och specifika ändamål som anges i de relevanta bestämmelserna (432). |
| --- | --- |

(241)

Personuppgifter som behandlas enligt del 4 i 2018 års dataskyddslag får inte behandlas på ett sätt som är oförenligt med det syfte för vilket de samlades in (430). 2018 års dataskyddslag föreskriver att den personuppgiftsansvariga får behandla uppgifterna för ett annat ändamål än det för vilket uppgifterna samlades in om det är förenligt med det ursprungliga ändamålet och förutsatt att den personuppgiftsansvariga enligt lag har rätt att behandla uppgifterna och att behandlingen är nödvändig och proportionerlig (431). I Security Services Act 1989 och Intelligence Services Act 1994 anges dessutom att cheferna för underrättelsetjänsterna är skyldiga att se till att ingen information erhålls eller röjs utom i den mån det är nödvändigt för att myndigheten ska kunna fullgöra sina uppgifter på ett korrekt sätt eller för de andra begränsade och specifika ändamål som anges i de relevanta bestämmelserna (432).

430

431

Security Services Act 1989

Intelligence Services Act 1994

432

| (242) | I avsnitt 109 i 2018 års dataskyddslag fastställs dessutom särskilda krav för underrättelsetjänsters internationella överföring av personuppgifter till tredjeländer eller internationella organisationer. Enligt denna bestämmelse får personuppgifter inte överföras till ett land eller territorium utanför Förenade kungariket eller till en internationell organisation om inte överföringen är nödvändig och proportionell med hänsyn till den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i avsnitt 2.2 a i Security Services Act 1989 eller avsnitten 2.2 a och 4.2 a i Intelligence Services Act 1994 (433). Det är viktigt att notera att dessa krav även gäller i situationer där undantaget avseende nationell säkerhet enligt avsnitt 110 i 2018 års dataskyddslag åberopas, eftersom avsnitt 109 inte anges i samma lags avsnitt 110 som en av de bestämmelser som kan upphöra att gälla om ett undantag från vissa bestämmelser krävs för att skydda den nationella säkerheten. |
| --- | --- |

(242)

I avsnitt 109 i 2018 års dataskyddslag fastställs dessutom särskilda krav för underrättelsetjänsters internationella överföring av personuppgifter till tredjeländer eller internationella organisationer. Enligt denna bestämmelse får personuppgifter inte överföras till ett land eller territorium utanför Förenade kungariket eller till en internationell organisation om inte överföringen är nödvändig och proportionell med hänsyn till den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i avsnitt 2.2 a i Security Services Act 1989 eller avsnitten 2.2 a och 4.2 a i Intelligence Services Act 1994 (433). Det är viktigt att notera att dessa krav även gäller i situationer där undantaget avseende nationell säkerhet enligt avsnitt 110 i 2018 års dataskyddslag åberopas, eftersom avsnitt 109 inte anges i samma lags avsnitt 110 som en av de bestämmelser som kan upphöra att gälla om ett undantag från vissa bestämmelser krävs för att skydda den nationella säkerheten.

Security Services Act 1989

Intelligence Services Act 1994

433

| (243) | Såsom ICO framhåller i sin vägledning om underrättelsetjänsters behandling av personuppgifter omfattas underrättelsetjänster när de utbyter uppgifter med ett underrättelseorgan i ett tredjeland, utöver skyddsåtgärderna enligt avsnitt 4 i 2018 års dataskyddslag, även av skyddsåtgärder enligt andra lagstiftningsåtgärder som är tillämpliga på dem, i syfte att säkerställa att personuppgifter inhämtas, utbyts och hanteras på ett lagligt och ansvarsfullt sätt (434). Exempelvis fastställs i 2016 års lag om utredningsbefogenheter ytterligare skyddsåtgärder när det gäller överföring till tredjeland av material som samlats in genom riktad avlyssning (435), riktade ingrepp i utrustning (436), massavlyssning (437), massinhämtande av kommunikationsuppgifter (438) och massingrepp i utrustning (439) (så kallade utlämnanden till utlandet). I synnerhet måste den myndighet som utfärdar beslutet se till att det finns gällande arrangemang för att säkerställa att det tredjeland som mottar uppgifterna begränsar antalet personer som ser materialet, omfattningen av utlämnandet och antalet kopior av allt material till det minimum som krävs för de godkända ändamål som anges i 2016 års lag om utredningsbefogenheter (440). |
| --- | --- |

(243)

Såsom ICO framhåller i sin vägledning om underrättelsetjänsters behandling av personuppgifter omfattas underrättelsetjänster när de utbyter uppgifter med ett underrättelseorgan i ett tredjeland, utöver skyddsåtgärderna enligt avsnitt 4 i 2018 års dataskyddslag, även av skyddsåtgärder enligt andra lagstiftningsåtgärder som är tillämpliga på dem, i syfte att säkerställa att personuppgifter inhämtas, utbyts och hanteras på ett lagligt och ansvarsfullt sätt (434). Exempelvis fastställs i 2016 års lag om utredningsbefogenheter ytterligare skyddsåtgärder när det gäller överföring till tredjeland av material som samlats in genom riktad avlyssning (435), riktade ingrepp i utrustning (436), massavlyssning (437), massinhämtande av kommunikationsuppgifter (438) och massingrepp i utrustning (439) (så kallade utlämnanden till utlandet). I synnerhet måste den myndighet som utfärdar beslutet se till att det finns gällande arrangemang för att säkerställa att det tredjeland som mottar uppgifterna begränsar antalet personer som ser materialet, omfattningen av utlämnandet och antalet kopior av allt material till det minimum som krävs för de godkända ändamål som anges i 2016 års lag om utredningsbefogenheter (440).

434

435

436

437

438

439

440

3.3.3   Tillsyn

Tillsyn

| (244) | Statliga myndigheters tillträde för ändamål som rör nationell säkerhet övervakas av ett antal olika organ. The Information Commissioner övervakar behandlingen av personuppgifter mot bakgrund av 2018 års dataskyddslag (för mer information om dennes oberoende, utnämningsfunktion och befogenheter, se skälen 85–98) medan oberoende och rättslig tillsyn av användningen av utredningsbefogenheter inom ramen för 2016 års lag om utredningsbefogenheter tillhandahålls av the Investigatory Powers Commissioner. The Investigatory Powers Commissioner övervakar både brottsbekämpande och nationella säkerhetsmyndigheters användning av utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter. Den politiska tillsynen garanteras av parlamentets utskott för underrättelsetjänsten (Intelligence Service Committee). |
| --- | --- |

(244)

Statliga myndigheters tillträde för ändamål som rör nationell säkerhet övervakas av ett antal olika organ. The Information Commissioner övervakar behandlingen av personuppgifter mot bakgrund av 2018 års dataskyddslag (för mer information om dennes oberoende, utnämningsfunktion och befogenheter, se skälen 85–98) medan oberoende och rättslig tillsyn av användningen av utredningsbefogenheter inom ramen för 2016 års lag om utredningsbefogenheter tillhandahålls av the Investigatory Powers Commissioner. The Investigatory Powers Commissioner övervakar både brottsbekämpande och nationella säkerhetsmyndigheters användning av utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter. Den politiska tillsynen garanteras av parlamentets utskott för underrättelsetjänsten (Intelligence Service Committee).

The Information Commissioner

the Investigatory Powers Commissioner. The Investigatory Powers Commissioner

Intelligence Service Committee

3.3.3.1   Tillsyn enligt del 4 i dataskyddslagen

Tillsyn enligt del 4 i dataskyddslagen

| (245) | Underrättelsetjänsternas behandling av personuppgifter enligt del 4 i 2018 års dataskyddslag övervakas av the Information Commissioner (441). |
| --- | --- |

(245)

Underrättelsetjänsternas behandling av personuppgifter enligt del 4 i 2018 års dataskyddslag övervakas av the Information Commissioner (441).

the Information Commissioner

441

| (246) | De allmänna arbetsuppgifter som the Information Commissioner har vad gäller underrättelsetjänsters behandling av personuppgifter enligt del 4 i 2018 års dataskyddslag fastställs i tillägg 13 till 2018 års dataskyddslag. Uppgifterna omfattar, men är inte begränsade till, övervakning och efterlevnad av del 4 i 2018 års dataskyddslag, främjande av allmänhetens medvetenhet, rådgivning till parlamentet, regeringen och andra institutioner om lagstiftningsåtgärder och administrativa åtgärder, främjande av personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter, tillhandahållande av information till registrerade om utövande av den registrerades rättigheter, genomförande av utredningar osv. |
| --- | --- |

(246)

De allmänna arbetsuppgifter som the Information Commissioner har vad gäller underrättelsetjänsters behandling av personuppgifter enligt del 4 i 2018 års dataskyddslag fastställs i tillägg 13 till 2018 års dataskyddslag. Uppgifterna omfattar, men är inte begränsade till, övervakning och efterlevnad av del 4 i 2018 års dataskyddslag, främjande av allmänhetens medvetenhet, rådgivning till parlamentet, regeringen och andra institutioner om lagstiftningsåtgärder och administrativa åtgärder, främjande av personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter, tillhandahållande av information till registrerade om utövande av den registrerades rättigheter, genomförande av utredningar osv.

the Information Commissioner

| (247) | The Commissioner har, liksom för del 3 i 2018 års dataskyddslag, befogenhet att underrätta personuppgiftsansvariga om en påstådd överträdelse och utfärda varningar om att en behandling sannolikt kommer att strida mot reglerna och utfärda reprimander när överträdelsen bekräftas. Han eller hon kan också utfärda förelägganden om verkställighet och påföljder för överträdelser av vissa bestämmelser i lagen (442). I motsats till vad som gäller för andra delar av 2018 års dataskyddslag kan dock the Commissioner inte utfärda att bedömningsföreläggande till ett nationellt säkerhetsorgan (443). |
| --- | --- |

(247)

The Commissioner har, liksom för del 3 i 2018 års dataskyddslag, befogenhet att underrätta personuppgiftsansvariga om en påstådd överträdelse och utfärda varningar om att en behandling sannolikt kommer att strida mot reglerna och utfärda reprimander när överträdelsen bekräftas. Han eller hon kan också utfärda förelägganden om verkställighet och påföljder för överträdelser av vissa bestämmelser i lagen (442). I motsats till vad som gäller för andra delar av 2018 års dataskyddslag kan dock the Commissioner inte utfärda att bedömningsföreläggande till ett nationellt säkerhetsorgan (443).

The Commissioner

442

the Commissioner

443

| (248) | I avsnitt 110 i 2018 års dataskyddslag föreskrivs dessutom ett undantag från användningen av vissa av de befogenheter the Commissioner har när detta krävs för att skydda den nationella säkerheten. Detta inbegriper de befogenheter the Commissioner har att utfärda (alla typer av) förelägganden enligt dataskyddslagen (information, bedömning, verkställighet och påföljder), befogenhet att utföra inspektioner i enlighet med internationella skyldigheter, befogenheter för tillträde och inspektion samt regler om brott (444). Enligt skäl 126 gäller dessa undantag endast om det är nödvändigt och proportionerligt samt från fall till fall. |
| --- | --- |

(248)

I avsnitt 110 i 2018 års dataskyddslag föreskrivs dessutom ett undantag från användningen av vissa av de befogenheter the Commissioner har när detta krävs för att skydda den nationella säkerheten. Detta inbegriper de befogenheter the Commissioner har att utfärda (alla typer av) förelägganden enligt dataskyddslagen (information, bedömning, verkställighet och påföljder), befogenhet att utföra inspektioner i enlighet med internationella skyldigheter, befogenheter för tillträde och inspektion samt regler om brott (444). Enligt skäl 126 gäller dessa undantag endast om det är nödvändigt och proportionerligt samt från fall till fall.

the Commissioner

the Commissioner

444

| (249) | ICO och brittiska underrättelsetjänster har undertecknat ett samförståndsavtal (445) som fastställer en ram för samarbete i ett antal frågor, bland annat anmälningar om personuppgiftsbrott och hantering av klagomål från registrerade. Det föreskrivs särskilt att ICO, efter att ha mottagit ett klagomål, ska bedöma om tillämpningen av eventuella undantag för nationell säkerhet har använts på lämpligt sätt. Svar på ICO frågor i samband med granskningen av enskilda klagomål måste lämnas inom 20 arbetsdagar av den berörda underrättelsetjänsten med hjälp av lämpliga säkra kanaler om det rör sig om sekretessbelagd information. Från april 2018 till dags dato har ICO mottagit 21 klagomål från enskilda personer om underrättelsetjänsterna. Varje klagomål bedömdes och resultatet meddelades den registrerade (446). |
| --- | --- |

(249)

ICO och brittiska underrättelsetjänster har undertecknat ett samförståndsavtal (445) som fastställer en ram för samarbete i ett antal frågor, bland annat anmälningar om personuppgiftsbrott och hantering av klagomål från registrerade. Det föreskrivs särskilt att ICO, efter att ha mottagit ett klagomål, ska bedöma om tillämpningen av eventuella undantag för nationell säkerhet har använts på lämpligt sätt. Svar på ICO frågor i samband med granskningen av enskilda klagomål måste lämnas inom 20 arbetsdagar av den berörda underrättelsetjänsten med hjälp av lämpliga säkra kanaler om det rör sig om sekretessbelagd information. Från april 2018 till dags dato har ICO mottagit 21 klagomål från enskilda personer om underrättelsetjänsterna. Varje klagomål bedömdes och resultatet meddelades den registrerade (446).

445

446

3.3.3.2   Översyn av användningen av utredningsbefogenheter inom ramen för 2016 års lag om utredningsbefogenheter

Översyn av användningen av utredningsbefogenheter inom ramen för 2016 års lag om utredningsbefogenheter

| (250) | Enligt del 8 i 2016 års lag om utredningsbefogenheter utövas tillsynen över användningen av utredningsbefogenheter av the Investigatory Powers Commissioner. The Investigatory Powers Commissioner bistås av andra rättsliga Judicial Commissioners som tillsammans kallas Judicial Commissioners (447). I 2016 års lag om utredningsbefogenheter fastställs garantier som skyddar Judicial Commissioners oberoende. Judicial Commissioners måste inneha eller ha innehaft ett högt domarämbete (dvs. de måste vara eller ha varit ledamöter av överdomstolarna) (448) och de har, i egenskap av domare, en oberoende ställning i förhållande till regeringen (449). Enligt avsnitt 227 i 2016 års lag om utredningsbefogenheter är det premiärministern som utser IPC och så många Judicial Commissioners som han eller hon anser vara nödvändiga. Alla Commissioners, vare sig där är aktiva eller tidigare verksamma inom rättsväsendet, får endast utses på grundval av en gemensam rekommendation från de tre Chief Justices for England & Wales, Scotland and Northern Ireland och Lord Chancellor (450). Den ansvarige ministern måste förse the Investigatory Powers Commissioner med personal, inkvartering, utrustning och andra faciliteter och tjänster (451). Mandatperiod för en Commissioner är tre år och de kan utnämnas på nytt (452). Som en ytterligare garanti för deras oberoende kan Judicial Commissioners endast avsättas enligt stränga villkor med en hög tröskel antingen av premiärministern under de särskilda omständigheter som anges på ett uttömmande sätt i avsnitt 228.5 i 2016 års lag om utredningsbefogenheter (t.ex. konkurs eller fängelse) eller om båda kamrarna har antagit en resolution om att godkänna avsättningen (453). |
| --- | --- |

(250)

Enligt del 8 i 2016 års lag om utredningsbefogenheter utövas tillsynen över användningen av utredningsbefogenheter av the Investigatory Powers Commissioner. The Investigatory Powers Commissioner bistås av andra rättsliga Judicial Commissioners som tillsammans kallas Judicial Commissioners (447). I 2016 års lag om utredningsbefogenheter fastställs garantier som skyddar Judicial Commissioners oberoende. Judicial Commissioners måste inneha eller ha innehaft ett högt domarämbete (dvs. de måste vara eller ha varit ledamöter av överdomstolarna) (448) och de har, i egenskap av domare, en oberoende ställning i förhållande till regeringen (449). Enligt avsnitt 227 i 2016 års lag om utredningsbefogenheter är det premiärministern som utser IPC och så många Judicial Commissioners som han eller hon anser vara nödvändiga. Alla Commissioners, vare sig där är aktiva eller tidigare verksamma inom rättsväsendet, får endast utses på grundval av en gemensam rekommendation från de tre Chief Justices for England & Wales, Scotland and Northern Ireland och Lord Chancellor (450). Den ansvarige ministern måste förse the Investigatory Powers Commissioner med personal, inkvartering, utrustning och andra faciliteter och tjänster (451). Mandatperiod för en Commissioner är tre år och de kan utnämnas på nytt (452). Som en ytterligare garanti för deras oberoende kan Judicial Commissioners endast avsättas enligt stränga villkor med en hög tröskel antingen av premiärministern under de särskilda omständigheter som anges på ett uttömmande sätt i avsnitt 228.5 i 2016 års lag om utredningsbefogenheter (t.ex. konkurs eller fängelse) eller om båda kamrarna har antagit en resolution om att godkänna avsättningen (453).

the Investigatory Powers Commissioner

The Investigatory Powers Commissioner

Judicial Commissioners

447

Judicial Commissioners

Judicial Commissioners

448

449

Judicial Commissioners

Commissioners

Chief Justices for England & Wales, Scotland and Northern Ireland

Lord Chancellor

450

the Investigatory Powers Commissioner

451

Commissioner

452

Judicial Commissioners

453

| (251) | The Investigatory Powers Commissioner och the Judicial Commissioners bistås i sina roller av IPCO. IPCO:s personal består av en grupp inspektörer, intern juridisk och teknisk expertis och en teknisk rådgivande panel som ska ge expertråd. Liksom är fallet för de individuella Judicial Commissioners skyddas oberoendet för IPCO. IPCO är ett ”organ på armlängds avstånd” inom inrikesministeriet, dvs. det får finansiering från inrikesministeriet men utför sina uppgifter självständigt (454). |
| --- | --- |

(251)

The Investigatory Powers Commissioner och the Judicial Commissioners bistås i sina roller av IPCO. IPCO:s personal består av en grupp inspektörer, intern juridisk och teknisk expertis och en teknisk rådgivande panel som ska ge expertråd. Liksom är fallet för de individuella Judicial Commissioners skyddas oberoendet för IPCO. IPCO är ett ”organ på armlängds avstånd” inom inrikesministeriet, dvs. det får finansiering från inrikesministeriet men utför sina uppgifter självständigt (454).

The Investigatory Powers Commissioner

the Judicial Commissioners

Judicial Commissioners

454

| (252) | Judicial Commissioners huvuduppgifter anges i avsnitt 229 i 2016 års lag om utredningsbefogenheter (455). I synnerhet har Judicial Commissioners omfattande befogenheter att förhandsgodkänna, vilket är en del av de garantier som införts i Förenade kungarikets rättsliga ram genom 2016 års lag om utredningsbefogenheter. Beslut i samband med riktad avlyssning, ingrepp i utrustning, masdataset av personuppgifter, massinhämtande av kommunikationsuppgifter samt förelägganden om lagring av kommunikationsuppgifter måste alla godkännas av Judicial Commissioners (456). The Investigatory Powers Commissioner måste också alltid förhandsgodkänna inhämtande av kommunikationsuppgifter för brottsbekämpande ändamål (457). Om en Commissioner vägrar att godkänna ett beslut kan den ansvariga ministern överklaga till the Investigatory Powers Commissioner, vars beslut är slutgiltigt. |
| --- | --- |

(252)

Judicial Commissioners huvuduppgifter anges i avsnitt 229 i 2016 års lag om utredningsbefogenheter (455). I synnerhet har Judicial Commissioners omfattande befogenheter att förhandsgodkänna, vilket är en del av de garantier som införts i Förenade kungarikets rättsliga ram genom 2016 års lag om utredningsbefogenheter. Beslut i samband med riktad avlyssning, ingrepp i utrustning, masdataset av personuppgifter, massinhämtande av kommunikationsuppgifter samt förelägganden om lagring av kommunikationsuppgifter måste alla godkännas av Judicial Commissioners (456). The Investigatory Powers Commissioner måste också alltid förhandsgodkänna inhämtande av kommunikationsuppgifter för brottsbekämpande ändamål (457). Om en Commissioner vägrar att godkänna ett beslut kan den ansvariga ministern överklaga till the Investigatory Powers Commissioner, vars beslut är slutgiltigt.

Judicial Commissioners

455

Judicial Commissioners

Judicial Commissioners

456

The Investigatory Powers Commissioner

457

Commissioner

the Investigatory Powers Commissioner

| (253) | FN:s särskilda rapportör för rätten till integritet välkomnade varmt inrättandet av Judicial Commissioners i 2016 års lag om utredningsbefogenheter, eftersom ”alla mer känsliga eller inkräktande begäranden om att genomföra övervakning måste godkännas av både en minister och IPCO”. Han betonade särskilt att denna del av domstolsprövningen [genom den roll som the Investigatory Powers Commissioner har] med hjälp av en grupp erfarna inspektörer och tekniska experter med bättre resurser är en av de viktigaste nya skyddsåtgärder som införts genom lagen om utredningsbefogenheter, som ersatte ett tidigare splittrat system av tillsynsmyndigheter och kompletterar den roll som parlamentets underrättelse- och säkerhetsutskott och tribunalen för utredningsbefogenheter spelar (458). |
| --- | --- |

(253)

FN:s särskilda rapportör för rätten till integritet välkomnade varmt inrättandet av Judicial Commissioners i 2016 års lag om utredningsbefogenheter, eftersom ”alla mer känsliga eller inkräktande begäranden om att genomföra övervakning måste godkännas av både en minister och IPCO”. Han betonade särskilt att denna del av domstolsprövningen [genom den roll som the Investigatory Powers Commissioner har] med hjälp av en grupp erfarna inspektörer och tekniska experter med bättre resurser är en av de viktigaste nya skyddsåtgärder som införts genom lagen om utredningsbefogenheter, som ersatte ett tidigare splittrat system av tillsynsmyndigheter och kompletterar den roll som parlamentets underrättelse- och säkerhetsutskott och tribunalen för utredningsbefogenheter spelar (458).

Judicial Commissioners

the Investigatory Powers Commissioner

458

| (254) | Dessutom har the Investigatory Powers Commissioner befogenhet att i efterhand, inklusive genom revisioner, inspektioner och utredningar, övervaka (459) användningen av utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter och vissa andra befogenheter och funktioner som föreskrivs i relevant lagstiftning (460). Resultaten av denna efterhandskontroll ingår i den rapport som the Investigatory Powers Commissioner årligen ska utarbeta och lägga fram för premiärministern (461) och som ska offentliggöras och läggas fram för parlamentet (462). Rapporten innehåller relevant statistik och information om underrättelsetjänsters och brottsbekämpande myndigheters användning av utredningsbefogenheter samt införandet av skyddsåtgärder i samband med föremål som omfattas av rättsliga privilegier, konfidentiellt journalistiskt material och källor till journalistisk information, information om de arrangemang som vidtagits och de operativa ändamål som används i samband med ”massbeslut”. I IPCO Annual Report anges slutligen vilka områdesrekommendationer som har lämnats till myndigheter och hur de har åtgärdats (463). |
| --- | --- |

(254)

Dessutom har the Investigatory Powers Commissioner befogenhet att i efterhand, inklusive genom revisioner, inspektioner och utredningar, övervaka (459) användningen av utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter och vissa andra befogenheter och funktioner som föreskrivs i relevant lagstiftning (460). Resultaten av denna efterhandskontroll ingår i den rapport som the Investigatory Powers Commissioner årligen ska utarbeta och lägga fram för premiärministern (461) och som ska offentliggöras och läggas fram för parlamentet (462). Rapporten innehåller relevant statistik och information om underrättelsetjänsters och brottsbekämpande myndigheters användning av utredningsbefogenheter samt införandet av skyddsåtgärder i samband med föremål som omfattas av rättsliga privilegier, konfidentiellt journalistiskt material och källor till journalistisk information, information om de arrangemang som vidtagits och de operativa ändamål som används i samband med ”massbeslut”. I IPCO Annual Report anges slutligen vilka områdesrekommendationer som har lämnats till myndigheter och hur de har åtgärdats (463).

the Investigatory Powers Commissioner

459

460

the Investigatory Powers Commissioner

461

462

IPCO Annual Report

463

| (255) | I enlighet med avsnitt 231 i 2016 års lag om utredningsbefogenheter ska theInvestigatory Powers Commissioner, om han eller hon får kännedom om ett relevant fel som begåtts av myndigheter vid utövandet av sina utredningsbefogenheter, informera den berörda personen om han eller hon anser att felet är allvarligt och det ligger i allmänhetens intresse att personen informeras (464). I avsnitt 231 i 2016 års lag om utredningsbefogenheter anges särskilt att the Investigatory Powers Commissioner, när en person informeras om ett misstag, ska lämna information om eventuella rättigheter som han eller hon har att vända sig till tribunalen för utredningsbefogenheter och lämna sådana uppgifter som the Commissioner anser vara nödvändiga för utövandet av dessa rättigheter och det finns ett allmänintresse av att informationen lämnas ut (465). |
| --- | --- |

(255)

I enlighet med avsnitt 231 i 2016 års lag om utredningsbefogenheter ska theInvestigatory Powers Commissioner, om han eller hon får kännedom om ett relevant fel som begåtts av myndigheter vid utövandet av sina utredningsbefogenheter, informera den berörda personen om han eller hon anser att felet är allvarligt och det ligger i allmänhetens intresse att personen informeras (464). I avsnitt 231 i 2016 års lag om utredningsbefogenheter anges särskilt att the Investigatory Powers Commissioner, när en person informeras om ett misstag, ska lämna information om eventuella rättigheter som han eller hon har att vända sig till tribunalen för utredningsbefogenheter och lämna sådana uppgifter som the Commissioner anser vara nödvändiga för utövandet av dessa rättigheter och det finns ett allmänintresse av att informationen lämnas ut (465).

theInvestigatory Powers Commissioner

464

the Investigatory Powers Commissioner

the Commissioner

465

3.3.3.3   Parlamentarisk tillsyn av underrättelsetjänster

Parlamentarisk tillsyn av underrättelsetjänster

| (256) | Den parlamentariska tillsyn som utförs av underrättelse-och säkerhetsutskottet har sin rättsliga grund i Justice and Security Act 2013 (JSA 2013) (466). Genom lagen inrättas underrättelse-och säkerhetsutskottet i det brittiska parlamentet. Sedan 2013 har underrättelse-och säkerhetsutskottet fått större befogenheter, bland annat tillsyn över säkerhetstjänsternas operativa verksamhet. Enligt avsnitt 2 i Justice and Security Act 2013 har underrättelse-och säkerhetsutskottet till uppgift att övervaka de nationella säkerhetsorganens utgifter, administration, politik och verksamhet. I Justice and Security Act 2013 anges att underrättelse-och säkerhetsutskottet kan genomföra utredningar i operativa frågor som inte rör pågående insatser (467). I det samförståndsavtal som premiärministern och underrättelse-och säkerhetsutskottet (468) kommit överens om anges i detalj vilka faktorer som ska beaktas när man överväger om en verksamhet inte är en del av en pågående insats (469). Underrättelse-och säkerhetsutskottet kan också uppmanas att utreda pågående insatser av premiärministern och kan granska information som tillhandahålls frivilligt av organen. |
| --- | --- |

(256)

Den parlamentariska tillsyn som utförs av underrättelse-och säkerhetsutskottet har sin rättsliga grund i Justice and Security Act 2013 (JSA 2013) (466). Genom lagen inrättas underrättelse-och säkerhetsutskottet i det brittiska parlamentet. Sedan 2013 har underrättelse-och säkerhetsutskottet fått större befogenheter, bland annat tillsyn över säkerhetstjänsternas operativa verksamhet. Enligt avsnitt 2 i Justice and Security Act 2013 har underrättelse-och säkerhetsutskottet till uppgift att övervaka de nationella säkerhetsorganens utgifter, administration, politik och verksamhet. I Justice and Security Act 2013 anges att underrättelse-och säkerhetsutskottet kan genomföra utredningar i operativa frågor som inte rör pågående insatser (467). I det samförståndsavtal som premiärministern och underrättelse-och säkerhetsutskottet (468) kommit överens om anges i detalj vilka faktorer som ska beaktas när man överväger om en verksamhet inte är en del av en pågående insats (469). Underrättelse-och säkerhetsutskottet kan också uppmanas att utreda pågående insatser av premiärministern och kan granska information som tillhandahålls frivilligt av organen.

Justice and Security Act 2013

466

Justice and Security Act 2013

Justice and Security Act 2013

467

468

469

| (257) | Enligt bilaga 1 till Justice and Security Act 2013 får underrättelse-och säkerhetsutskottet begära att cheferna för någon av de tre underrättelsetjänsterna lämnar ut all slags information. Myndigheten ska göra sådan information tillgänglig, såvida inte den ansvariga ministern lägger in sitt veto mot den (470). Enligt de förklaringar som lämnats av de brittiska myndigheterna undanhålls i praktiken mycket lite information från underrättelse-och säkerhetsutskottet (471). |
| --- | --- |

(257)

Enligt bilaga 1 till Justice and Security Act 2013 får underrättelse-och säkerhetsutskottet begära att cheferna för någon av de tre underrättelsetjänsterna lämnar ut all slags information. Myndigheten ska göra sådan information tillgänglig, såvida inte den ansvariga ministern lägger in sitt veto mot den (470). Enligt de förklaringar som lämnats av de brittiska myndigheterna undanhålls i praktiken mycket lite information från underrättelse-och säkerhetsutskottet (471).

Justice and Security Act 2013

470

471

| (258) | Underrättelse-och säkerhetsutskottet består av ledamöter som tillhör någon av parlamentets kammare och utses av premiärministern efter samråd med oppositionsledaren (472). Underrättelse-och säkerhetsutskottet ska lämna en årlig rapport till parlamentet om fullgörandet av sina uppgifter och andra rapporter som den anser lämpliga (473). Dessutom har underrättelse-och säkerhetsutskottet rätt att var tredje månad få en förteckning över de operativa ändamål som används för att undersöka material som erhållits i massomfattning (474). Premiärministern delger underrättelse-och säkerhetsutskottet de utredningar, inspektioner eller revisioner som görs av the Investigatory Power Commissioner när frågan om rapporterna är relevant för utskottets lagstadgade befogenheter (475). Slutligen kan utskottet be the Investigatory Powers Commissioner att göra en utredning och the Commissioner måste informera underrättelse-och säkerhetsutskottet om huruvida en sådan utredning ska genomföras (476). |
| --- | --- |

(258)

Underrättelse-och säkerhetsutskottet består av ledamöter som tillhör någon av parlamentets kammare och utses av premiärministern efter samråd med oppositionsledaren (472). Underrättelse-och säkerhetsutskottet ska lämna en årlig rapport till parlamentet om fullgörandet av sina uppgifter och andra rapporter som den anser lämpliga (473). Dessutom har underrättelse-och säkerhetsutskottet rätt att var tredje månad få en förteckning över de operativa ändamål som används för att undersöka material som erhållits i massomfattning (474). Premiärministern delger underrättelse-och säkerhetsutskottet de utredningar, inspektioner eller revisioner som görs av the Investigatory Power Commissioner när frågan om rapporterna är relevant för utskottets lagstadgade befogenheter (475). Slutligen kan utskottet be the Investigatory Powers Commissioner att göra en utredning och the Commissioner måste informera underrättelse-och säkerhetsutskottet om huruvida en sådan utredning ska genomföras (476).

472

473

474

the Investigatory Power Commissioner

475

the Investigatory Powers Commissioner

the Commissioner

476

| (259) | Underrättelse-och säkerhetsutskottet bidrog också till utkastet till 2016 års lag om utredningsbefogenheter, vilket resulterade i ett antal ändringar som nu återspeglas i 2016 års lag om utredningsbefogenheter (477). I synnerhet rekommenderade underrättelse-och säkerhetsutskottet en förstärkning av integritetsskyddet genom att införa en uppsättning integritetsskydd som omfattar alla utredningsbefogenheter (478). Det föreslog också ändringar av den föreslagna kapaciteten när det gäller ingrepp i utrustning, massdatset av personuppgifter och kommunikationsuppgifter samt begärde andra specifika ändringar för att stärka begränsningarna och skyddsåtgärderna för användningen av utredningsbefogenheter (479). |
| --- | --- |

(259)

Underrättelse-och säkerhetsutskottet bidrog också till utkastet till 2016 års lag om utredningsbefogenheter, vilket resulterade i ett antal ändringar som nu återspeglas i 2016 års lag om utredningsbefogenheter (477). I synnerhet rekommenderade underrättelse-och säkerhetsutskottet en förstärkning av integritetsskyddet genom att införa en uppsättning integritetsskydd som omfattar alla utredningsbefogenheter (478). Det föreslog också ändringar av den föreslagna kapaciteten när det gäller ingrepp i utrustning, massdatset av personuppgifter och kommunikationsuppgifter samt begärde andra specifika ändringar för att stärka begränsningarna och skyddsåtgärderna för användningen av utredningsbefogenheter (479).

477

478

479

3.3.4   Prövningsmöjligheter

Prövningsmöjligheter

| (260) | När det gäller statlig åtkomst för ändamål som rör nationell säkerhet måste de registrerade ha möjlighet att väcka talan vid en oberoende och opartisk domstol för att få tillgång till sina personuppgifter eller för att få dessa uppgifter rättade eller raderade (480). Ett sådant rättsligt organ måste särskilt ha befogenhet att anta bindande beslut om underrättelsetjänsten (481). I Förenade kungariket ger ett antal möjligheter till rättslig prövning, vilket förklaras i skälen 261–271, en möjlighet för registrerade att utnyttja och erhålla sådana rättsmedel. |
| --- | --- |

(260)

När det gäller statlig åtkomst för ändamål som rör nationell säkerhet måste de registrerade ha möjlighet att väcka talan vid en oberoende och opartisk domstol för att få tillgång till sina personuppgifter eller för att få dessa uppgifter rättade eller raderade (480). Ett sådant rättsligt organ måste särskilt ha befogenhet att anta bindande beslut om underrättelsetjänsten (481). I Förenade kungariket ger ett antal möjligheter till rättslig prövning, vilket förklaras i skälen 261–271, en möjlighet för registrerade att utnyttja och erhålla sådana rättsmedel.

480

481

3.3.4.1   Prövningsmekanismer enligt del 4 i dataskyddslagen

Prövningsmekanismer enligt del 4 i dataskyddslagen

| (261) | Enligt avsnitt 165 i 2018 års dataskyddslag har den registrerade rätt att lämna in ett klagomål till the Infomation Commissioner om den registrerade anser att det föreligger en överträdelse av del 4 i 2018 års dataskyddslag i samband med personuppgifter som rör honom eller henne. The Information Commissioner har befogenhet att bedöma om den personuppgiftsansvariga och personuppgiftsbiträdet efterlever 2018 års dataskyddslag och kräva att de vidtar nödvändiga åtgärder. Enligt del 4 i 2018 års dataskyddslag har enskilda dessutom rätt att ansöka hos High Court (eller Court of Session in Scotland) om ett föreläggande om att den personuppgiftsansvariga ska iaktta rätten till tillgång till uppgifter (482), invända mot behandling (483) och rättelse eller radering (484). |
| --- | --- |

(261)

Enligt avsnitt 165 i 2018 års dataskyddslag har den registrerade rätt att lämna in ett klagomål till the Infomation Commissioner om den registrerade anser att det föreligger en överträdelse av del 4 i 2018 års dataskyddslag i samband med personuppgifter som rör honom eller henne. The Information Commissioner har befogenhet att bedöma om den personuppgiftsansvariga och personuppgiftsbiträdet efterlever 2018 års dataskyddslag och kräva att de vidtar nödvändiga åtgärder. Enligt del 4 i 2018 års dataskyddslag har enskilda dessutom rätt att ansöka hos High Court (eller Court of Session in Scotland) om ett föreläggande om att den personuppgiftsansvariga ska iaktta rätten till tillgång till uppgifter (482), invända mot behandling (483) och rättelse eller radering (484).

the Infomation Commissioner

The Information Commissioner

High Court

Court of Session in Scotland

482

483

484

| (262) | Enskilda har också rätt att från den personuppgiftsansvariga eller personuppgiftsbiträdet begära ersättning för skada till följd av överträdelse av ett krav i del 4 i 2018 års dataskyddslag (485). Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge (486). |
| --- | --- |

(262)

Enskilda har också rätt att från den personuppgiftsansvariga eller personuppgiftsbiträdet begära ersättning för skada till följd av överträdelse av ett krav i del 4 i 2018 års dataskyddslag (485). Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge (486).

485

486

3.3.4.2   Prövningsmekanismer inom 2016 års lag om utredningsbefogenheter

Prövningsmekanismer inom 2016 års lag om utredningsbefogenheter

| (263) | Enskilda personer kan erhålla rättslig prövning av överträdelser av 2016 års lag om utredningsbefogenheter inför tribunalen för utredningsbefogenheter. |
| --- | --- |

(263)

Enskilda personer kan erhålla rättslig prövning av överträdelser av 2016 års lag om utredningsbefogenheter inför tribunalen för utredningsbefogenheter.

| (264) | Tribunalen för utredningsbefogenheter inrättas av 2000 års lag om utredningsbefogenheter och är oberoende av den verkställande makten (487). I enlighet med avsnitt 65 i 2000 års lag om utredningsbefogenheter utses tribunalens ledamöter av drottningen för en femårsperiod. En ledamot i tribunalen kan avsättas från sitt ämbete av drottningen efter en framställning (488) från båda kamrarna i parlamentet (489). |
| --- | --- |

(264)

Tribunalen för utredningsbefogenheter inrättas av 2000 års lag om utredningsbefogenheter och är oberoende av den verkställande makten (487). I enlighet med avsnitt 65 i 2000 års lag om utredningsbefogenheter utses tribunalens ledamöter av drottningen för en femårsperiod. En ledamot i tribunalen kan avsättas från sitt ämbete av drottningen efter en framställning (488) från båda kamrarna i parlamentet (489).

487

488

489

| (265) | Enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter är tribunalen det lämpliga rättsliga organet för klagomål från en person som lidit skada på grund av handlingar inom ramen för 2016 års lag om utredningsbefogenheter, 2000 års lag om utredningsbefogenheter eller valfritt agerande från underrättelsetjänsternas sida (490). |
| --- | --- |

(265)

Enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter är tribunalen det lämpliga rättsliga organet för klagomål från en person som lidit skada på grund av handlingar inom ramen för 2016 års lag om utredningsbefogenheter, 2000 års lag om utredningsbefogenheter eller valfritt agerande från underrättelsetjänsternas sida (490).

490

| (266) | För att väcka talan vid tribunalen för utredningsbefogenheter (”obligatoriska krav”) enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter måste en enskild tro (491) att en underrättelsetjänst har agerat med avseende på honom, hans egendom, alla meddelanden som skickats av eller till honom eller som är avsedda för honom eller hans användning av posttjänster, telekommunikationstjänster eller telekommunikationssystem” (492). Dessutom är klaganden skyldig att tro att beteendet har ägt rum under ”omständigheter mot vilka talan kan väckas” (493) eller ”har utförts av underrättelsetjänsterna eller för deras räkning” (494). Eftersom denna ”övertygelse” i synnerhet har tolkats ganska brett (495), omfattas ett mål vid tribunalen av låga obligatoriska krav. |
| --- | --- |

(266)

För att väcka talan vid tribunalen för utredningsbefogenheter (”obligatoriska krav”) enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter måste en enskild tro (491) att en underrättelsetjänst har agerat med avseende på honom, hans egendom, alla meddelanden som skickats av eller till honom eller som är avsedda för honom eller hans användning av posttjänster, telekommunikationstjänster eller telekommunikationssystem” (492). Dessutom är klaganden skyldig att tro att beteendet har ägt rum under ”omständigheter mot vilka talan kan väckas” (493) eller ”har utförts av underrättelsetjänsterna eller för deras räkning” (494). Eftersom denna ”övertygelse” i synnerhet har tolkats ganska brett (495), omfattas ett mål vid tribunalen av låga obligatoriska krav.

491

492

493

494

495

| (267) | När tribunalen för utredningsbefogenheter prövar ett klagomål som ingetts till dem är det tribunalens uppgift att undersöka huruvida de personer som anklagas i klagomålet har handlat i förhållande till den klagande samt att utreda vilken myndighet som påstås ha gjort sig skyldig till överträdelserna och huruvida det påstådda beteendet har ägt rum (496). När tribunalen prövar ett mål ska den tillämpa samma principer för att avgöra målet som en domstol skulle tillämpa vid en ansökan om rättslig prövning (497). Dessutom är mottagarna av besluten eller föreläggandena enligt 2016 års lag om utredningsbefogenheter och alla andra personer som tjänstgör under kronan och som är anställda av polisen eller the Police Investigations and Review Commissioner skyldiga att lämna ut eller till tribunalen lämna ut alla handlingar och all information som tribunalen kan behöva för att kunna utöva sin behörighet (498). |
| --- | --- |

(267)

När tribunalen för utredningsbefogenheter prövar ett klagomål som ingetts till dem är det tribunalens uppgift att undersöka huruvida de personer som anklagas i klagomålet har handlat i förhållande till den klagande samt att utreda vilken myndighet som påstås ha gjort sig skyldig till överträdelserna och huruvida det påstådda beteendet har ägt rum (496). När tribunalen prövar ett mål ska den tillämpa samma principer för att avgöra målet som en domstol skulle tillämpa vid en ansökan om rättslig prövning (497). Dessutom är mottagarna av besluten eller föreläggandena enligt 2016 års lag om utredningsbefogenheter och alla andra personer som tjänstgör under kronan och som är anställda av polisen eller the Police Investigations and Review Commissioner skyldiga att lämna ut eller till tribunalen lämna ut alla handlingar och all information som tribunalen kan behöva för att kunna utöva sin behörighet (498).

496

497

the Police Investigations and Review Commissioner

498

| (268) | Tribunalen för utredningsbefogenheter ska underrätta den klagande om huruvida det har fällts ett utslag till hans eller hennes fördel eller inte (499). Enligt avsnitten 67.6 och 67.7 i 2000 års lag om utredningsbefogenheter är tribunalen behörig att besluta om interimistiska åtgärder och att meddela sådan ersättning eller andra förelägganden som den finner lämpliga. Detta kan inbegripa ett beslut om att ogiltigförklara eller upphäva varje beslut eller tillstånd och ett beslut om att förstöra alla register över uppgifter som erhållits i samband med utövandet av befogenheter som erhållits genom ett beslut, ett tillstånd eller ett föreläggande eller på annat sätt innehas av en myndighet med avseende på en person (500). Enligt avsnitt 67A i 2000 års lag om utredningsbefogenheter kan ett avgörande från tribunalen överklagas med förbehåll för tribunalens eller den relevanta appellationsdomstolens tillstånd. |
| --- | --- |

(268)

Tribunalen för utredningsbefogenheter ska underrätta den klagande om huruvida det har fällts ett utslag till hans eller hennes fördel eller inte (499). Enligt avsnitten 67.6 och 67.7 i 2000 års lag om utredningsbefogenheter är tribunalen behörig att besluta om interimistiska åtgärder och att meddela sådan ersättning eller andra förelägganden som den finner lämpliga. Detta kan inbegripa ett beslut om att ogiltigförklara eller upphäva varje beslut eller tillstånd och ett beslut om att förstöra alla register över uppgifter som erhållits i samband med utövandet av befogenheter som erhållits genom ett beslut, ett tillstånd eller ett föreläggande eller på annat sätt innehas av en myndighet med avseende på en person (500). Enligt avsnitt 67A i 2000 års lag om utredningsbefogenheter kan ett avgörande från tribunalen överklagas med förbehåll för tribunalens eller den relevanta appellationsdomstolens tillstånd.

499

500

| (269) | Slutligen är det värt att notera att den roll som spelas av tribunalen för utredningsbefogenheter har diskuterats i samband med rättsliga förfaranden vid Europeiska domstolen för de mänskliga rättigheterna vid flera tillfällen, särskilt i målet Kennedy/United Kingdom (501) och mer nyligen i målet Big Brother Watch m.fl./United Kingdom (502), där domstolen förklarade att domstolen för utredningsbefogenheter erbjöd ett gedigen rättsmedel för alla som misstänkte att hans eller hennes kommunikation hade avlyssnats av underrättelsetjänsterna (503). |
| --- | --- |

(269)

Slutligen är det värt att notera att den roll som spelas av tribunalen för utredningsbefogenheter har diskuterats i samband med rättsliga förfaranden vid Europeiska domstolen för de mänskliga rättigheterna vid flera tillfällen, särskilt i målet Kennedy/United Kingdom (501) och mer nyligen i målet Big Brother Watch m.fl./United Kingdom (502), där domstolen förklarade att domstolen för utredningsbefogenheter erbjöd ett gedigen rättsmedel för alla som misstänkte att hans eller hennes kommunikation hade avlyssnats av underrättelsetjänsterna (503).

501

502

503

3.3.4.3   Andra tillgängliga rättsliga prövningsmekanismer

Andra tillgängliga rättsliga prövningsmekanismer

| (270) | Enligt skälen 109–111 finns rättsmedel enligt Human Rights Act 1998 och genom Europeiska domstolen för de mänskliga rättigheterna (504) också på området nationell säkerhet. I avsnitt 65.2 i 2000 års lag om utredningsbefogenheter föreskrivs att tribunalen för utredningsbefogenheter har exklusiv behörighet att pröva alla anspråk i lagen om mänskliga rättigheter i förhållande till underrättelsetjänsterna (505). Detta innebär, som överdomstolen (High Court) har påpekat, att ”huruvida det har förekommit ett brott mot Human Rights Act i ett enskilt fall är något som i princip kan tas upp och avgöras av en oberoende tribunal som kan få tillgång till allt relevant material, inbegripet hemligt material. [...] Vi har också i detta sammanhang i åtanke att tribunalen själv nu kan överklaga till en lämplig appellationsdomstol (i England och Wales är det appellationsdomstolen (Court of Appeal)) och att högsta domstolen nyligen har beslutat att domstolen i princip kan bli föremål för domstolsprövning. se R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22, [2019] 2 WLR 1219” (506). |
| --- | --- |

(270)

Enligt skälen 109–111 finns rättsmedel enligt Human Rights Act 1998 och genom Europeiska domstolen för de mänskliga rättigheterna (504) också på området nationell säkerhet. I avsnitt 65.2 i 2000 års lag om utredningsbefogenheter föreskrivs att tribunalen för utredningsbefogenheter har exklusiv behörighet att pröva alla anspråk i lagen om mänskliga rättigheter i förhållande till underrättelsetjänsterna (505). Detta innebär, som överdomstolen (High Court) har påpekat, att ”huruvida det har förekommit ett brott mot Human Rights Act i ett enskilt fall är något som i princip kan tas upp och avgöras av en oberoende tribunal som kan få tillgång till allt relevant material, inbegripet hemligt material. [...] Vi har också i detta sammanhang i åtanke att tribunalen själv nu kan överklaga till en lämplig appellationsdomstol (i England och Wales är det appellationsdomstolen (Court of Appeal)) och att högsta domstolen nyligen har beslutat att domstolen i princip kan bli föremål för domstolsprövning. se R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22, [2019] 2 WLR 1219” (506).

Human Rights Act 1998

504

505

Human Rights Act

506

| (271) | Av ovanstående följer att när brittiska brottsbekämpande myndigheter eller nationella säkerhetsmyndigheter får åtkomst till personuppgifter som omfattas av detta beslut regleras sådan åtkomst av lagar som fastställer villkoren för åtkomst och säkerställer att åtkomst och vidare användning av uppgifterna begränsas till vad som är nödvändigt och står i proportion till det mål som eftersträvas med brottsbekämpning eller nationell säkerhet. För sådan åtkomst krävs dessutom i de flesta fall förhandstillstånd från ett rättsligt organ, genom godkännande av ett beslut eller en utlämnandeorder och under alla omständigheter av oberoende tillsyn. När myndigheter har fått åtkomst till uppgifterna omfattas behandlingen av dem, inbegripet ytterligare delning och vidareöverföring, av särskilda dataskyddsgarantier enligt del 3 i 2018 års dataskyddslag i enlighet med bestämmelserna i direktiv (EU) 2016/680 för behandling som utförs av brottsbekämpande myndigheter och del 4 i 2018 års dataskyddslag för behandling som utförs av underrättelsetjänster. Slutligen åtnjuter registrerade på detta område effektiva administrativa och rättsliga prövningsrättigheter, inbegripet rätten att få tillgång till sina uppgifter eller rättelse eller radering av sådana uppgifter. |
| --- | --- |

(271)

Av ovanstående följer att när brittiska brottsbekämpande myndigheter eller nationella säkerhetsmyndigheter får åtkomst till personuppgifter som omfattas av detta beslut regleras sådan åtkomst av lagar som fastställer villkoren för åtkomst och säkerställer att åtkomst och vidare användning av uppgifterna begränsas till vad som är nödvändigt och står i proportion till det mål som eftersträvas med brottsbekämpning eller nationell säkerhet. För sådan åtkomst krävs dessutom i de flesta fall förhandstillstånd från ett rättsligt organ, genom godkännande av ett beslut eller en utlämnandeorder och under alla omständigheter av oberoende tillsyn. När myndigheter har fått åtkomst till uppgifterna omfattas behandlingen av dem, inbegripet ytterligare delning och vidareöverföring, av särskilda dataskyddsgarantier enligt del 3 i 2018 års dataskyddslag i enlighet med bestämmelserna i direktiv (EU) 2016/680 för behandling som utförs av brottsbekämpande myndigheter och del 4 i 2018 års dataskyddslag för behandling som utförs av underrättelsetjänster. Slutligen åtnjuter registrerade på detta område effektiva administrativa och rättsliga prövningsrättigheter, inbegripet rätten att få tillgång till sina uppgifter eller rättelse eller radering av sådana uppgifter.

| (272) | Med tanke på betydelsen av sådana villkor, begränsningar och skyddsåtgärder för ändamålen med detta beslut kommer kommissionen noggrant att övervaka tillämpningen och tolkningen av Förenade kungarikets beslut om regeringens tillgång till personuppgifter. Övervakningen kommer att omfatta relevant utveckling i fråga om lagstiftning, reglering och rättspraxis samt ICO:s och andra tillsynsmyndigheters verksamheter på detta område. Särskild uppmärksamhet kommer också att ägnas Förenade kungarikets verkställande av relevanta domar från Europeiska domstolen för de mänskliga rättigheterna, inklusive åtgärder som anges i de ”åtgärdsplaner” och ”åtgärdsrapporter” som lämnas till ministerkommittén i samband med övervakningen av domstolens beslut. |
| --- | --- |

(272)

Med tanke på betydelsen av sådana villkor, begränsningar och skyddsåtgärder för ändamålen med detta beslut kommer kommissionen noggrant att övervaka tillämpningen och tolkningen av Förenade kungarikets beslut om regeringens tillgång till personuppgifter. Övervakningen kommer att omfatta relevant utveckling i fråga om lagstiftning, reglering och rättspraxis samt ICO:s och andra tillsynsmyndigheters verksamheter på detta område. Särskild uppmärksamhet kommer också att ägnas Förenade kungarikets verkställande av relevanta domar från Europeiska domstolen för de mänskliga rättigheterna, inklusive åtgärder som anges i de ”åtgärdsplaner” och ”åtgärdsrapporter” som lämnas till ministerkommittén i samband med övervakningen av domstolens beslut.

4.   SLUTSATS

SLUTSATS

| (273) | Kommissionen anser att den brittiska dataskyddsförordningen och 2018 års dataskyddslag säkerställer en skyddsnivå för personuppgifter som överförs från Europeiska unionen som i allt väsentligt motsvarar den som garanteras genom förordning (EU) 2016/679. |
| --- | --- |

(273)

Kommissionen anser att den brittiska dataskyddsförordningen och 2018 års dataskyddslag säkerställer en skyddsnivå för personuppgifter som överförs från Europeiska unionen som i allt väsentligt motsvarar den som garanteras genom förordning (EU) 2016/679.

| (274) | Kommissionen anser dessutom att tillsynsmekanismerna och möjligheterna till prövning enligt brittisk rätt sammantaget gör det möjligt att upptäcka och bestraffa överträdelser i praktiken och erbjuda den registrerade rättsmedel för att få tillgång till personuppgifter som rör honom eller henne och, i slutändan, rättelse eller radering av sådana uppgifter. |
| --- | --- |

(274)

Kommissionen anser dessutom att tillsynsmekanismerna och möjligheterna till prövning enligt brittisk rätt sammantaget gör det möjligt att upptäcka och bestraffa överträdelser i praktiken och erbjuda den registrerade rättsmedel för att få tillgång till personuppgifter som rör honom eller henne och, i slutändan, rättelse eller radering av sådana uppgifter.

| (275) | På grundval av tillgänglig information om Förenade kungarikets rättsordning anser kommissionen slutligen att varje ingrepp i de grundläggande rättigheterna för de personer vars personuppgifter överförs från Europeiska unionen till Förenade kungariket av brittiska myndigheter för ändamål av allmänt intresse, särskilt brottsbekämpning och nationell säkerhet, kommer att begränsas till vad som är absolut nödvändigt för att uppnå det legitima målet i fråga och att det finns ett effektivt rättsligt skydd mot sådana intrång. |
| --- | --- |

(275)

På grundval av tillgänglig information om Förenade kungarikets rättsordning anser kommissionen slutligen att varje ingrepp i de grundläggande rättigheterna för de personer vars personuppgifter överförs från Europeiska unionen till Förenade kungariket av brittiska myndigheter för ändamål av allmänt intresse, särskilt brottsbekämpning och nationell säkerhet, kommer att begränsas till vad som är absolut nödvändigt för att uppnå det legitima målet i fråga och att det finns ett effektivt rättsligt skydd mot sådana intrång.

| (276) | Mot bakgrund av slutsatserna i detta beslut bör det därför beslutas att Förenade kungariket säkerställer en adekvat skyddsnivå i den mening som avses i artikel 45 i förordning (EU) 2016/679, tolkad mot bakgrund av Europeiska unionens stadga om de grundläggande rättigheterna. |
| --- | --- |

(276)

Mot bakgrund av slutsatserna i detta beslut bör det därför beslutas att Förenade kungariket säkerställer en adekvat skyddsnivå i den mening som avses i artikel 45 i förordning (EU) 2016/679, tolkad mot bakgrund av Europeiska unionens stadga om de grundläggande rättigheterna.

| (277) | Denna slutsats grundar sig på både Förenade kungarikets relevanta inhemska system och dess internationella åtaganden, särskilt anslutningen till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och hänvändelse till Europeiska domstolen för de mänskliga rättigheterna. Fortsatt efterlevnad av sådana internationella förpliktelser är därför ett särskilt viktigt inslag i den bedömning som ligger till grund för detta beslut. |
| --- | --- |

(277)

Denna slutsats grundar sig på både Förenade kungarikets relevanta inhemska system och dess internationella åtaganden, särskilt anslutningen till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och hänvändelse till Europeiska domstolen för de mänskliga rättigheterna. Fortsatt efterlevnad av sådana internationella förpliktelser är därför ett särskilt viktigt inslag i den bedömning som ligger till grund för detta beslut.

5.   EFFEKTERNA AV DETTA BESLUT OCH DATASKYDDSMYNDIGHETERNAS ÅTGÄRDER

EFFEKTERNA AV DETTA BESLUT OCH DATASKYDDSMYNDIGHETERNAS ÅTGÄRDER

| (278) | Medlemsstaterna och deras organ är skyldiga att vidta de åtgärder som är nödvändiga för att följa unionsinstitutionernas rättsakter, eftersom dessa antas vara lagenliga och följaktligen har rättsverkningar fram till dess att de löper ut, återkallas, ogiltigförklaras inom ramen för en talan om ogiltigförklaring eller förklaras ogiltiga till följd av en begäran om förhandsavgörande eller en invändning om rättsstridighet. |
| --- | --- |

(278)

Medlemsstaterna och deras organ är skyldiga att vidta de åtgärder som är nödvändiga för att följa unionsinstitutionernas rättsakter, eftersom dessa antas vara lagenliga och följaktligen har rättsverkningar fram till dess att de löper ut, återkallas, ogiltigförklaras inom ramen för en talan om ogiltigförklaring eller förklaras ogiltiga till följd av en begäran om förhandsavgörande eller en invändning om rättsstridighet.

| (279) | Ett beslut om adekvat skyddsnivå som antas av kommissionen enligt artikel 45.3 i förordning (EU) 2016/679 är följaktligen bindande för alla organ i medlemsstaterna som det riktar sig till, också för deras oberoende tillsynsmyndigheter. Under tillämpningsperioden för detta beslut får överföringar från en personuppgiftsansvarig eller ett personuppgiftsbiträde i Europeiska unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket ske utan ytterligare tillstånd. |
| --- | --- |

(279)

Ett beslut om adekvat skyddsnivå som antas av kommissionen enligt artikel 45.3 i förordning (EU) 2016/679 är följaktligen bindande för alla organ i medlemsstaterna som det riktar sig till, också för deras oberoende tillsynsmyndigheter. Under tillämpningsperioden för detta beslut får överföringar från en personuppgiftsansvarig eller ett personuppgiftsbiträde i Europeiska unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket ske utan ytterligare tillstånd.

| (280) | Det bör erinras om att enligt artikel 58.5 i förordning (EU) 2016/679, och såsom domstolen förklarade i Schrems-domen (507), ska en nationell dataskyddsmyndighet, även vid klagomål, ifrågasätta huruvida ett kommissionsbeslut om adekvat skyddsnivå är förenligt med den enskildas grundläggande rätt till integritet och skydd av personuppgifter och därför måste den nationella lagstiftningen innehålla ett rättsmedel för att framföra dessa invändningar till en nationell domstol som kan vara skyldig att begära ett förhandsavgörande från EU-domstolen (508). |
| --- | --- |

(280)

Det bör erinras om att enligt artikel 58.5 i förordning (EU) 2016/679, och såsom domstolen förklarade i Schrems-domen (507), ska en nationell dataskyddsmyndighet, även vid klagomål, ifrågasätta huruvida ett kommissionsbeslut om adekvat skyddsnivå är förenligt med den enskildas grundläggande rätt till integritet och skydd av personuppgifter och därför måste den nationella lagstiftningen innehålla ett rättsmedel för att framföra dessa invändningar till en nationell domstol som kan vara skyldig att begära ett förhandsavgörande från EU-domstolen (508).

507

508

6.   ÖVERVAKNING, TILLFÄLLIGT UPPHÄVANDE, UPPHÄVANDE ELLER ÄNDRING AV DETTA BESLUT

ÖVERVAKNING, TILLFÄLLIGT UPPHÄVANDE, UPPHÄVANDE ELLER ÄNDRING AV DETTA BESLUT

| (281) | Enligt artikel 45.4 i förordning (EU) 2016/679 ska kommissionen fortlöpande övervaka relevant utveckling i Förenade kungariket efter antagandet av detta beslut för att bedöma om det fortfarande säkerställer en väsentligen likvärdig skyddsnivå. En sådan övervakning är särskilt viktig i detta fall, eftersom Förenade kungariket kommer att administrera, tillämpa och verkställa ett nytt system för dataskydd som inte längre omfattas av unionsrätten och som kan komma att utvecklas. I detta avseende kommer särskild uppmärksamhet att ägnas åt den praktiska tillämpningen av Förenade kungarikets regler om överföring av personuppgifter till tredjeländer och de verkningar som sådana överföringar kan ha på skyddsnivån för uppgifter som överförs enligt detta beslut, på ändamålsenligheten när det gäller utövandet av individuella rättigheter, inklusive eventuell relevant utveckling av lag och praxis för undantag från eller begränsningar av sådana rättigheter (särskilt avseende upprätthållandet av en ändamålsenlig invandringskontroll), samt efterlevnaden av begränsningar och skyddsåtgärder i samband med regeringens tillgång till personuppgifter. Bland annat kommer utveckling av rättspraxis och ICO:s och andra oberoende organs tillsyn ligga till grund för kommissionens övervakning. |
| --- | --- |

(281)

Enligt artikel 45.4 i förordning (EU) 2016/679 ska kommissionen fortlöpande övervaka relevant utveckling i Förenade kungariket efter antagandet av detta beslut för att bedöma om det fortfarande säkerställer en väsentligen likvärdig skyddsnivå. En sådan övervakning är särskilt viktig i detta fall, eftersom Förenade kungariket kommer att administrera, tillämpa och verkställa ett nytt system för dataskydd som inte längre omfattas av unionsrätten och som kan komma att utvecklas. I detta avseende kommer särskild uppmärksamhet att ägnas åt den praktiska tillämpningen av Förenade kungarikets regler om överföring av personuppgifter till tredjeländer och de verkningar som sådana överföringar kan ha på skyddsnivån för uppgifter som överförs enligt detta beslut, på ändamålsenligheten när det gäller utövandet av individuella rättigheter, inklusive eventuell relevant utveckling av lag och praxis för undantag från eller begränsningar av sådana rättigheter (särskilt avseende upprätthållandet av en ändamålsenlig invandringskontroll), samt efterlevnaden av begränsningar och skyddsåtgärder i samband med regeringens tillgång till personuppgifter. Bland annat kommer utveckling av rättspraxis och ICO:s och andra oberoende organs tillsyn ligga till grund för kommissionens övervakning.

| (282) | För att underlätta denna övervakning bör de brittiska myndigheterna omgående informera kommissionen om alla väsentliga ändringar av den brittiska rättsordningen som påverkar den rättsliga ram som är föremål för detta beslut, liksom om eventuella förändringar av praxis i samband med behandling av personuppgifter som bedöms i detta beslut, både vad gäller personuppgiftsansvarigas och personuppgiftsbiträdens behandling av personuppgifter enligt den brittiska dataskyddsförordningen och de begränsningar och skyddsåtgärder som är tillämpliga på myndigheters tillgång till personuppgifter. Detta bör omfatta utveckling gällande de faktorer som nämns i skäl 281. |
| --- | --- |

(282)

För att underlätta denna övervakning bör de brittiska myndigheterna omgående informera kommissionen om alla väsentliga ändringar av den brittiska rättsordningen som påverkar den rättsliga ram som är föremål för detta beslut, liksom om eventuella förändringar av praxis i samband med behandling av personuppgifter som bedöms i detta beslut, både vad gäller personuppgiftsansvarigas och personuppgiftsbiträdens behandling av personuppgifter enligt den brittiska dataskyddsförordningen och de begränsningar och skyddsåtgärder som är tillämpliga på myndigheters tillgång till personuppgifter. Detta bör omfatta utveckling gällande de faktorer som nämns i skäl 281.

| (283) | För att kommissionen ska kunna utföra sin övervakningsfunktion på ett effektivt sätt bör medlemsstaterna dessutom informera kommissionen om alla relevanta åtgärder som vidtas av de nationella dataskyddsmyndigheterna, särskilt när det gäller förfrågningar eller klagomål från registrerade i EU om överföring av personuppgifter från unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket. Kommissionen bör också informeras om eventuella indikationer på att de åtgärder som vidtas av brittiska myndigheter med ansvar för att förebygga, utreda, avslöja eller lagföra brott eller för nationell säkerhet, inbegripet eventuella tillsynsorgan, inte säkerställer den skyddsnivå som krävs. |
| --- | --- |

(283)

För att kommissionen ska kunna utföra sin övervakningsfunktion på ett effektivt sätt bör medlemsstaterna dessutom informera kommissionen om alla relevanta åtgärder som vidtas av de nationella dataskyddsmyndigheterna, särskilt när det gäller förfrågningar eller klagomål från registrerade i EU om överföring av personuppgifter från unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket. Kommissionen bör också informeras om eventuella indikationer på att de åtgärder som vidtas av brittiska myndigheter med ansvar för att förebygga, utreda, avslöja eller lagföra brott eller för nationell säkerhet, inbegripet eventuella tillsynsorgan, inte säkerställer den skyddsnivå som krävs.

| (284) | Om tillgänglig information, särskilt information från övervakningen av detta beslut eller från Förenade kungarikets eller medlemsstaternas myndigheter, visar att den skyddsnivå som Förenade kungariket erbjuder kanske inte längre är adekvat, bör kommissionen informera de behöriga brittiska myndigheterna om detta och begära att lämpliga åtgärder vidtas inom en angiven tidsram, som får vara högst tre månader. Vid behov kan denna tidsram förlängas med en angiven tidsperiod, med beaktande av den aktuella frågan och/eller de åtgärder som ska vidtas. Ett sådant förfarande skulle till exempel inledas i fall där vidare överföringar, även på grundval av de nya bestämmelser om adekvat skyddsnivå som antas av den ansvariga ministern eller enligt internationella avtal som ingås av Förenade kungariket, inte längre utförs enligt skyddsåtgärder som säkerställer ett fortsatt skydd i den mening som avses i artikel 44 i förordning (EU) 2016/679. |
| --- | --- |

(284)

Om tillgänglig information, särskilt information från övervakningen av detta beslut eller från Förenade kungarikets eller medlemsstaternas myndigheter, visar att den skyddsnivå som Förenade kungariket erbjuder kanske inte längre är adekvat, bör kommissionen informera de behöriga brittiska myndigheterna om detta och begära att lämpliga åtgärder vidtas inom en angiven tidsram, som får vara högst tre månader. Vid behov kan denna tidsram förlängas med en angiven tidsperiod, med beaktande av den aktuella frågan och/eller de åtgärder som ska vidtas. Ett sådant förfarande skulle till exempel inledas i fall där vidare överföringar, även på grundval av de nya bestämmelser om adekvat skyddsnivå som antas av den ansvariga ministern eller enligt internationella avtal som ingås av Förenade kungariket, inte längre utförs enligt skyddsåtgärder som säkerställer ett fortsatt skydd i den mening som avses i artikel 44 i förordning (EU) 2016/679.

| (285) | Om de behöriga brittiska myndigheterna vid utgången av den angivna tidsfristen underlåter att vidta dessa åtgärder eller på annat tillfredsställande sätt visar att detta beslut fortfarande bygger på en adekvat skyddsnivå, kommer kommissionen att inleda det förfarande som avses i artikel 93.2 i förordning (EU) 2016/679 i syfte att helt eller delvis tillfälligt upphäva eller upphäva detta beslut. |
| --- | --- |

(285)

Om de behöriga brittiska myndigheterna vid utgången av den angivna tidsfristen underlåter att vidta dessa åtgärder eller på annat tillfredsställande sätt visar att detta beslut fortfarande bygger på en adekvat skyddsnivå, kommer kommissionen att inleda det förfarande som avses i artikel 93.2 i förordning (EU) 2016/679 i syfte att helt eller delvis tillfälligt upphäva eller upphäva detta beslut.

| (286) | Alternativt kommer kommissionen att inleda detta förfarande i syfte att ändra beslutet, särskilt genom att underställa överföringar av uppgifter ytterligare villkor eller genom att begränsa räckvidden för konstaterandet om adekvat skyddsnivå endast till uppgiftsöverföringar för vilka en adekvat skyddsnivå fortfarande säkerställs. |
| --- | --- |

(286)

Alternativt kommer kommissionen att inleda detta förfarande i syfte att ändra beslutet, särskilt genom att underställa överföringar av uppgifter ytterligare villkor eller genom att begränsa räckvidden för konstaterandet om adekvat skyddsnivå endast till uppgiftsöverföringar för vilka en adekvat skyddsnivå fortfarande säkerställs.

| (287) | Vid vederbörligen motiverade och tvingande skäl till skyndsamhet kommer kommissionen att utnyttja möjligheten att, i enlighet med det förfarande som avses i artikel 93.3 i förordning (EU) 2016/679, anta genomförandeakter med omedelbar verkan som tillfälligt upphäver, upphäver eller ändrar beslutet. |
| --- | --- |

(287)

Vid vederbörligen motiverade och tvingande skäl till skyndsamhet kommer kommissionen att utnyttja möjligheten att, i enlighet med det förfarande som avses i artikel 93.3 i förordning (EU) 2016/679, anta genomförandeakter med omedelbar verkan som tillfälligt upphäver, upphäver eller ändrar beslutet.

7.   GILTIGHETSTID OCH FÖRLÄNGNING AV DETTA BESLUT

GILTIGHETSTID OCH FÖRLÄNGNING AV DETTA BESLUT

| (288) | Kommissionen måste ta hänsyn till att Förenade kungariket, i och med att övergångsperioden enligt utträdesavtalet löper ut och så snart övergångsbestämmelsen i artikel 782 i handels- och samarbetsavtalet mellan EU och Förenade kungariket upphör att gälla, kommer att administrera, tillämpa och verkställa ett nytt system för dataskydd jämfört med det system som gällde när landet var bundet av EU-lagstiftningen. Detta kan särskilt omfatta ändringar eller ändringar av ramen för dataskydd som bedöms i detta beslut, liksom annan relevant utveckling. |
| --- | --- |

(288)

Kommissionen måste ta hänsyn till att Förenade kungariket, i och med att övergångsperioden enligt utträdesavtalet löper ut och så snart övergångsbestämmelsen i artikel 782 i handels- och samarbetsavtalet mellan EU och Förenade kungariket upphör att gälla, kommer att administrera, tillämpa och verkställa ett nytt system för dataskydd jämfört med det system som gällde när landet var bundet av EU-lagstiftningen. Detta kan särskilt omfatta ändringar eller ändringar av ramen för dataskydd som bedöms i detta beslut, liksom annan relevant utveckling.

| (289) | Det är därför lämpligt att föreskriva att detta beslut ska tillämpas under en period av fyra år från och med dess ikraftträdande. |
| --- | --- |

(289)

Det är därför lämpligt att föreskriva att detta beslut ska tillämpas under en period av fyra år från och med dess ikraftträdande.

| (290) | Om framför allt information från övervakningen av detta beslut visar att slutsatserna om den skyddsnivå som säkerställs i Förenade kungariket fortfarande är sakligt och rättsligt motiverade, bör kommissionen senast sex månader innan detta beslut upphör att gälla inleda förfarandet för att ändra detta beslut genom att i princip förlänga dess tidsmässiga tillämpningsområde med ytterligare fyra år. En eventuell sådan genomförandeakt som ändrar detta beslut ska antas i överensstämmelse med det förfarande som nämns i artikel 93.2 i förordning (EU) 2016/679. |
| --- | --- |

(290)

Om framför allt information från övervakningen av detta beslut visar att slutsatserna om den skyddsnivå som säkerställs i Förenade kungariket fortfarande är sakligt och rättsligt motiverade, bör kommissionen senast sex månader innan detta beslut upphör att gälla inleda förfarandet för att ändra detta beslut genom att i princip förlänga dess tidsmässiga tillämpningsområde med ytterligare fyra år. En eventuell sådan genomförandeakt som ändrar detta beslut ska antas i överensstämmelse med det förfarande som nämns i artikel 93.2 i förordning (EU) 2016/679.

8.   SLUTLIGA ÖVERVÄGANDEN

SLUTLIGA ÖVERVÄGANDEN

| (291) | Europeiska dataskyddsstyrelsen offentliggjorde sitt yttrande (509), vilket har beaktats vid utarbetandet av detta beslut. |
| --- | --- |

(291)

Europeiska dataskyddsstyrelsen offentliggjorde sitt yttrande (509), vilket har beaktats vid utarbetandet av detta beslut.

509

| (292) | De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats i enlighet med artikel 93 i förordning (EU) 2016/679. |
| --- | --- |

(292)

De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats i enlighet med artikel 93 i förordning (EU) 2016/679.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

1.   Vid tillämpningen av artikel 45 i förordning (EU) 2016/679 säkerställer Förenade kungariket en adekvat skyddsnivå för personuppgifter som överförs från Europeiska unionen till Förenade kungariket inom tillämpningsområdet för förordning (EU) 2016/679.

2.   Detta beslut omfattar inte personuppgifter som överförs för Förenade kungarikets invandringskontroll eller som på annat sätt omfattas av undantaget från vissa registrerades rättigheter i fråga om upprätthållandet av en effektiv invandringskontroll enligt artikel 4.1 i tillägg 2 till 2018 års dataskyddslag.

Artikel 2

Närhelst de behöriga tillsynsmyndigheterna i medlemsstaterna, i syfte att skydda enskilda personer med avseende på behandlingen av deras personuppgifter, utövar sina befogenheter enligt artikel 58 i förordning (EU) 2016/679 med avseende på uppgiftsöverföringar som omfattas av det tillämpningsområde som anges i artikel 1, ska den berörda medlemsstaten utan dröjsmål underrätta kommissionen därom.

Artikel 3

1.   Kommissionen ska fortlöpande övervaka tillämpningen av den rättsliga ram som ligger till grund för detta beslut, inbegripet de villkor enligt vilka vidare överföring genomförs, individuella rättigheter utövas och brittiska myndigheter har tillgång till uppgifter som överförs på grundval av detta beslut, i syfte att bedöma om Förenade kungariket fortsatt säkerställer en adekvat skyddsnivå i den mening som avses i artikel 1.

2.   Medlemsstaterna och kommissionen ska underrätta varandra om fall där the Information Commissioner eller någon annan behörig brittisk myndighet underlåter att säkerställa att den rättsliga ram som ligger till grund för detta beslut efterlevs.

3.   Medlemsstaterna och kommissionen ska underrätta varandra om alla indikationer på att de brittiska myndigheternas ingripanden i enskildas rätt till skydd av sina personuppgifter går utöver vad som är absolut nödvändigt eller att det inte finns något effektivt rättsligt skydd mot sådana ingrepp.

4.   Om kommissionen har indikationer på att en adekvat skyddsnivå inte längre säkerställs ska kommissionen underrätta de behöriga myndigheterna i Förenade kungariket och får tillfälligt upphäva, upphäva eller ändra detta beslut.

5.   Kommissionen får tillfälligt upphäva, upphäva eller ändra detta beslut om den brittiska regeringens bristande samarbete hindrar kommissionen från att avgöra om konstaterandet i artikel 1.1 påverkas.

Artikel 4

Detta beslut ska upphöra att gälla den 27 juni 2025, såvida det inte förlängs i enlighet med det förfarande som avses i artikel 93.2 i direktiv (EU) 2016/679.

Artikel 5

Detta beslut riktar sig till medlemsstaterna.

Utfärdat i Bryssel den 28 juni 2021.

På kommissionens vägnar

Didier REYNDERS

Ledamot av kommissionen

---

(1)  
  EUT L 119, 4.5.2016, s. 1.

1

(2)  Se skäl 101 i förordning (EU) 2016/679.

2

(3)  Se det senaste målet C-311/18, Facebook Ireland och Schrems (Schrems II), ECLI:EU:C:2020:559.

3

(4)  Europeiska dataskyddsstyrelsen, Adequacy Referential, WP 254 rev. 01. Finns på följande länk: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108.

4

Adequacy Referential

(5)  Mål C-362/14, Schrems (Schrems I), ECLI:EU:C:2015:650, punkt 73.

5

(6)  Schrems I, punkt 74.

6

(7)  Se meddelande från kommissionen till Europaparlamentet och rådet, Utbyte och skydd av personuppgifter i en globaliserad värld, COM(2017) 7 final, 10.1.2017, avsnitt 3.1, s. 6–7, som finns på följande länk: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52017DC0007&from=EN.

7

Utbyte och skydd av personuppgifter i en globaliserad värld

(8)  Appellationsdomstolen (civilrättsligt beslut), Open Rights Group/Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport, [2021] EWCA Civ 800, punkterna 53–56. Appellationsdomstolen upphävde överdomstolens beslut, som tidigare hade bedömt undantaget mot bakgrund av förordning (EU) 2016/679 (särskilt dess artikel 23) och Europeiska unionens stadga om de grundläggande rättigheterna, och slagit fast att undantaget var lagligt (Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor [2019] EWHC 2562).

8

Open Rights Group/Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport

On the Application Of)/Secretary of State for the Home Department & Anor

(9)  Under förutsättning att de tillämpliga villkoren är uppfyllda får överföringar för Förenade kungarikets invandringskontroll utföras enligt de överföringsmekanismer som anges i artiklarna 46–49 i förordning (EU) 2016/679.

9

(10)  Principerna i konvention 108 införlivades ursprungligen i Förenade kungarikets lagstiftning genom 1984 års dataskyddslag (Data Protection Act 1984) som ersattes av 1998 års dataskyddslag (Data Protection Act 1998) och därefter i sin tur av 2018 års dataskyddslag (Data Protection Act 2018) (enligt den brittiska dataskyddsförordningen). Förenade kungariket undertecknade också 2018 protokollet om ändring av konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (konvention 108+) och håller för närvarande på att ratificera konventionen.

10

(Data Protection Act 1984

Data Protection Act 1998

(Data Protection Act 2018

konvention 108+

(11)  Artiklarna 6 och 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (se även tillägg 1 till Human Rights Act 1998).

11

Human Rights Act 1998

(12)  Avsnitt 6 i Human Rights Act 1998.

12

Human Rights Act 1998

(13)  Avsnitt 3 i Human Rights Act 1998.

13

Human Rights Act 1998

(14)  Avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen 2019/C 384 I/01, XT/21054/2019/INIT, (EUT C 384I, 12.11.2019, s. 1), som finns på följande länk: https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=SV

14

(15)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89), som finns på följande länk: https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:32016L0680&from=EN .

15

(16)  2018 års dataskyddslag, finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted.

16

(17)  
  European Union Withdrawal Act 2018 finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/16/contents.

17

European Union Withdrawal Act 2018

(18)  Avsikten med och verkan av European Union (Withdrawal) Act 2018 är att all direkt unionslagstiftning som införlivades i Förenade kungarikets lagstiftning vid övergångsperiodens utgång införlivas i Förenade kungarikets lagstiftning eftersom den har verkan i unionsrätten omedelbart före övergångsperiodens utgång, se avsnitt 3 i European Union (Withdrawal) Act 2018.

18

European Union (Withdrawal) Act 2018

European Union (Withdrawal) Act 2018

(19)  I de förklarande anmärkningarna till European Union (Withdrawal) Act 2018 anges följande: ”När lagstiftning omvandlas enligt detta avsnitt är det själva lagtexten som kommer att utgöra en del av den nationella lagstiftningen. Detta kommer att inbegripa den fullständiga texten till alla EU-instrument (inklusive skälen i ingressen).” (Förklarande anmärkningar till European Union (Withdrawal) Act 2018, punkt 83, finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf). Enligt uppgifter från de brittiska myndigheterna var det inte nödvändigt att ändra dem på samma sätt som artiklarna i förordning (EU) 2016/679 har ändrats genom förordningar om dataskydd, integritet och elektronisk kommunikation (DPPEC-förordningarna) eftersom skälen inte har status som bindande rättsliga bestämmelser.

19

European Union (Withdrawal) Act 2018

European Union (Withdrawal) Act 2018

(20)  Avsnitt 6 i European Union (Withdrawal) Act 2018.

20

European Union (Withdrawal) Act 2018

(21)  2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar etc.) (EU Exit), finns på följande länk: https://www.legislation.gov.uk/uksi/2019/419/contents/made, ändrad genom DPPEC Regulations 2020 och finns på följande länk: https://www.legislation.gov.uk/ukdsi/2020/9780348213522.

21

EU Exit

(22)  Dessa ändringar av den brittiska dataskyddsförordningen och 2018 års dataskyddslag är för det mesta av teknisk natur, t.ex. strykning av hänvisningar till ”medlemsstater” eller anpassning av terminologin, t.ex. ersättande av hänvisningar till förordning (EU) 2016/679 med hänvisningar till den brittiska dataskyddsförordningen. I vissa fall krävdes ändringar för att återspegla bestämmelsernas rent inhemska sammanhang, till exempel när det gäller ”vem” antar ”förordningar om adekvat skyddsnivå” i enlighet med Förenade kungarikets lagstiftning om dataskydd (se avsnitt 17A i 2018 års dataskyddslag), dvs. den ansvariga ministern i stället för Europeiska kommissionen.

22

(23)  Den allmänna dataskyddsförordningen, Keeling Schedule, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf.

23

Keeling Schedule

(24)  2018 års dataskyddslag, Keeling Schedule, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf.

24

Keeling Schedule

(25)  Sådana befogenheter finns till exempel i avsnitt 16 (befogenhet att i specifika, snävt avgränsade situationer göra ytterligare undantag från specifika bestämmelser i den brittiska dataskyddsförordningen), 17A (befogenhet att anta förordningar om adekvat skyddsnivå), 212 och 213 (befogenheter att inleda lagstiftning och vidta övergångsåtgärder) och 211 (befogenhet att göra mindre och följdändringar) i 2018 års dataskyddslag.

25

(26)  Artiklarna 2.1 och 5 i den brittiska dataskyddsförordningen.

26

(27)  Artikel 4.1 och 4.2 i den brittiska dataskyddsförordningen.

27

(28)  Manuell ostrukturerad behandling av personuppgifter definieras i artikel 2.5 b som behandling av personuppgifter som inte är automatisk eller strukturerad behandling av personuppgifter.

28

(29)  I artikel 2.1a i den brittiska dataskyddsförordningen föreskrivs att förordningen också är tillämplig på manuell ostrukturerad behandling av personuppgifter som innehas av en myndighet som omfattas av lagen informationsfrihet. Med myndighet som omfattas av lagen om informationsfrihet avses alla myndigheter enligt definitionen i Freedom of Information Act 2000 eller alla skotska myndigheter enligt definitionen i Freedom of Information (Scotland) Act 2002 (asp 13). Avsnitt 21.5 i 2018 års dataskyddslag.

29

Freedom of Information Act 2000

Freedom of Information (Scotland) Act 2002

(30)  Artikel 2.2 a i den brittiska dataskyddsförordningen.

30

(31)  Nationell säkerhetsverksamhet omfattas endast av den brittiska dataskyddsförordningens tillämpningsområde i den mån den inte utförs av en behörig myndighet för brottsbekämpande ändamål, då del 3 i 2018 års dataskyddslag är tillämplig eller av en underrättelsetjänst, eller för dess räkning, vars verksamhet inte omfattas av den brittiska dataskyddsförordningen och omfattas av del 4 2018 års dataskyddslag i enlighet med artikel 2.2 c i den brittiska dataskyddsförordningen. Till exempel kan en polisstyrka utföra säkerhetskontroller av en anställd för att säkerställa att han eller hon är pålitlig nog att få tillgång till nationellt säkerhetsmaterial. Trots att polisen är en behörig myndighet för brottsbekämpande ändamål är behandlingen i fråga inte avsedd för brottsbekämpning och den brittiska dataskyddsförordningen skulle vara tillämplig. Se UK Explanatory Framework for Adequacy Discussions Section H: National Security Data Protection and Investigatory Powers Framework, s. 8, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf.

31

UK Explanatory Framework for Adequacy Discussions Section H: National Security Data Protection and Investigatory Powers Framework

(32)  Artikel 2.1 a och 2.1 b i den brittiska dataskyddsförordningen.

32

(33)  Artikel 2.2 b och 2.2 c i den brittiska dataskyddsförordningen.

33

(34)  Samma territoriella tillämpningsområde gäller för behandling av personuppgifter enligt del 2 i 2018 års dataskyddslag som kompletterar den brittiska dataskyddsförordningen (avsnitt 207 (1A)).

34

(35)  Detta innebär i synnerhet att 2018 års dataskyddslag, och därmed detta beslut, inte är tillämpliga på Förenade kungarikets kronbesittningar (Jersey, Guernsey och Isle of Man) och utomeuropeiska territorier, till exempel Falklandsöarna och territoriet Gibraltar.

35

(36)  Artiklarna 4.1, 4.2, 4.5, 4.7 och 4.8 i den brittiska dataskyddsförordningen.

36

(37)  Biometriska uppgifter innebär personuppgifter som härrör från en specifik teknisk behandling som rör en persons fysiska, fysiologiska eller beteendemässiga egenskaper och som möjliggör eller bekräftar en unik identifiering av den personen, till exempel ansiktsbilder eller fingeravtrycksuppgifter.

37

(38)  Uppgifter om hälsa innebär personuppgifter om en persons fysiska eller psykiska hälsa, inbegripet hälso- och sjukvårdstjänster, som avslöjar information om personens hälsotillstånd.

38

(39)  Genetiska uppgifter innebär personuppgifter som rör en individs ärvda eller förvärvade genetiska egenskaper och som ger unik information om den personens fysiologi eller hälsa och som i synnerhet är resultatet av en analys av ett biologiskt prov från den berörda personen.

39

(40)  Enligt artikel 6.1 i den brittiska dataskyddsförordningen är behandling laglig endast om och i den utsträckning som a) den registrerade har lämnat sitt samtycke till att hans eller hennes personuppgifter behandlas för ett eller flera specifika ändamål, b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås, c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvariga, d) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, e) behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvariga och f) behandlingen är nödvändig för ändamål som rör den personuppgiftsansvarigas eller en tredje parts berättigade intressen, utom när sådana intressen uppvägs av den registrerades intressen respektive hans eller hennes grundläggande fri- och rättigheter som kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

40

(41)  Punkterna 38–40 i tillägg 1 till 2018 års dataskyddslag.

41

(42)  I artiklarna 13.1 f och 14.1 f har hänvisningarna till kommissionens beslut om adekvat skyddsnivå ersatts med hänvisningar till motsvarande instrument i Förenade kungariket, dvs. förordningar om adekvat skyddsnivå enligt 2018 års dataskyddslag. I artiklarna 14.5 c–d har hänvisningarna till EU:s eller medlemsstaternas lagstiftning ersatts med en hänvisning till nationell lagstiftning (som exempel på sådan nationell lagstiftning som kan omfattas av artikel 14.5 c har Förenade kungariket hänvisat till avsnitt 7 i Scrap Metal Dealers Act 2013 som innehåller regler för register över metallskrotningstillstånd eller del 35 i Companies Act 2006 som innehåller regler för bolagsregistret. På liknande sätt skulle ett exempel på nationell lagstiftning som kan omfattas av artikel 14.5 d kunna omfatta lagstiftning som fastställer regler om tystnadsplikt eller skyldigheter som återspeglas i anställningsavtal eller den allmänna lagstiftningens tystnadsplikt (t.ex. personuppgifter som behandlas av hälso- och sjukvårdspersonal, personal, socialarbetare osv.).

42

Scrap Metal Dealers Act 2013

Companies Act 2006

(43)  I artiklarna 17.1 e och 17.3 b har hänvisningarna till EU:s eller medlemsstaternas lagstiftning ersatts med en hänvisning till nationell rätt (som exempel på sådan nationell lagstiftning enligt artikel 17.1 e har Förenade kungariket nämnt Education (Pupil Information) (England) Regulations 2006 som föreskriver att elevers namn ska raderas ur skolregistret efter det att de har lämnat skolan eller Medical Act 1983, avsnitt 34F, som innehåller bestämmelser om strykning av namn från General Practitioner Register och Specialist Register.

43

Education (Pupil Information) (England) Regulations 2006

Medical Act 1983

General Practitioner Register

Specialist Register

(44)  Utkastet till uppförandekod finns på följande länk: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf.

44

(45)  
  UK Explanatory Framework for Adequacy Discussions, Section E: Restrictions, s. 1, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf.

45

UK Explanatory Framework for Adequacy Discussions, Section E

Restrictions

(46)  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor [2019] EWHC 2562 (Admin), punkterna 40 och 41.

46

On the Application Of)/Secretary of State for the Home Department & Anor

(47)  Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punkt 43. Se även domen i det ovannämnda målet Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), punkt 80.

47

(48)  Punkt 2 i tillägg 2 till 2018 års dataskyddslag.

48

(49)  Punkt 19 i tillägg 2 till 2018 års dataskyddslag.

49

(50)  Punkt 20 i tillägg 2 till 2018 års dataskyddslag.

50

(51)  Punkt 21 i tillägg 2 till 2018 års dataskyddslag.

51

(52)  Begränsningar av rätten till anmälan av personuppgiftsbrott är exempelvis endast tillåtna när det gäller brott och beskattning (punkt 2 i bilaga 2 till 2018 års dataskyddslag), parlamentariska privilegier (punkt 13 i tillägg 2 till 2018 års dataskyddslag) och behandling för journalistiska, akademiska, konstnärliga och litterära ändamål (punkt 26 i tillägg 2 till 2018 års dataskyddslag).

52

(53)  Punkt 2 i tillägg 2 till 2018 års dataskyddslag.

53

(54)  
  R (Lord)/Secretary of State for the Home Department [2003] EWHC 2073 (Admin), punkt 100, och Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punkt 43.

54

R (Lord)/Secretary of State for the Home Department

(55)  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor, punkt 31.

55

(56)  Enligt den information som lämnats av de brittiska myndigheterna kommer personuppgiftsansvariga, när behandlingen sker i ett nationellt säkerhetssammanhang, vanligtvis att tillämpa skärpta skyddsåtgärder och säkerhetsåtgärder på behandlingen, vilket återspeglar behandlingens känsliga karaktär. Vilka skyddsåtgärder som är lämpliga beror på riskerna med den behandling som utförs. Detta skulle kunna omfatta begränsningar av tillgången till uppgifterna så att de endast kan göras tillgängliga för behöriga personer med lämplig säkerhetsprövning, strikta restriktioner för utbyte av uppgifter och den höga säkerhetsstandard som tillämpas på lagrings- och hanteringsförfarandena.

56

(57)  Se även Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punkt 45, Lin/Commissioner of the Police for the Metropolis [2015] EWHC 2484 (QB), punkt 80.

57

(58)  Se ICO:s vägledning om undantaget avseende nationell säkerhet och försvar, som finns på följande länk https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/

58

(59)  Enligt ett exempel från de brittiska myndigheterna skulle det, om en misstänkt terrorist som är föremål för en aktiv utredning av MI5 har lämnat in en begäran om tillgång till inrikesministeriet (t.ex. på grund av att han är inblandad i en tvist med inrikesministeriet om invandringsfrågor), vara nödvändigt att undanhålla den registrerade eventuella uppgifter som MI5 kan ha delat med inrikesministeriet om pågående utredningar som kan skada känsliga källor, metoder eller tekniker och/eller leda till en ökning av hotet från den enskilda. Under sådana omständigheter är det sannolikt att tröskeln för att tillämpa undantaget i avsnitt 26 skulle ha uppnåtts och att ett undantag från skyldigheten att lämna ut information skulle krävas för att skydda den nationella säkerheten. Om inrikesministeriet emellertid även innehade personuppgifter om den enskilde som inte avsåg MI5-utredningen och denna information kunde lämnas utan risk för att den nationella säkerheten skadas skulle undantaget för nationell säkerhet inte vara tillämpligt när man överväger att lämna ut information till den enskilda. ICO håller för närvarande på att utarbeta vägledning om hur personuppgiftsansvariga bör närma sig tillämpningen av undantaget i avsnitt 26. Vägledningen förväntas offentliggöras i slutet av mars 2021.

59

(60)  Information Tribunal inrättades för att handlägga överklaganden av dataskydd enligt dataskyddslagen från 1984. År 2010 blev Information Tribunal en del av General Regulatory Chamber av First Tier Tribunal, som en del av reformen av det brittiska domstolssystemet.

60

Information Tribunal

General Regulatory Chamber

First Tier Tribunal

(61)  Se Baker/Secretary of State for the Home Department [2001] UKIT NSA2 (”Baker mot Secretary of State”).

61

(62)  Se artikel 85 i den brittiska dataskyddsförordningen och tillägg 2, del 5, punkt 26.9 i 2018 års dataskyddslag.

62

(63)  I enlighet med tillägg 2 del 5 punkt 26.2 till 2018 års dataskyddslag är undantaget tillämpligt på behandling av personuppgifter som utförs för särskilda ändamål (journalistiska, akademiska, konstnärliga och litterära ändamål) om behandlingen utförs i syfte att en person ska publicera journalistiskt, akademiskt, konstnärligt eller litterärt material och den personuppgiftsansvariga rimligen tror att offentliggörandet av detta material skulle ligga i allmänhetens intresse. Vid bedömningen av huruvida ett offentliggörande skulle vara i allmänhetens intresse måste den personuppgiftsansvariga ta hänsyn till det allmänna intressets särskilda betydelse för yttrande- och informationsfriheten. Dessutom måste den personuppgiftsansvariga beakta uppförandekoder eller riktlinjer som är relevanta för offentliggörandet i fråga (BBC Editorial Guidelines, Ofcom Broadcasting Code och Editors’ Code of Practice). För att ett undantag ska vara tillämpligt måste den personuppgiftsansvariga dessutom rimligen tro att överensstämmelse med den relevanta bestämmelsen skulle vara oförenlig med de särskilda ändamålen (punkt 26.3 i bilaga 2 till 2018 års dataskyddslag).

63

BBC Editorial Guidelines

Ofcom Broadcasting Code

Editors’ Code of Practice

(64)  I domen NT1/Google [2018] EWHC 799 (QB), punkt 102, behandlades en diskussion om huruvida den personuppgiftsansvariga hade rimliga skäl att anse att offentliggörandet låg i allmänhetens intresse och att efterlevnaden av de relevanta bestämmelserna var oförenlig med de särskilda ändamålen. Domstolen konstaterade att avsnitt 32.1 b och c i dataskyddslagen från 1998 hade följande subjektiva och objektiva inslag: Den personuppgiftsansvariga måste visa att han eller hon trodde att ett offentliggörande skulle ligga i allmänhetens intresse och att denna uppfattning var objektivt rimlig. Det är nödvändigt att fastställa en subjektiv övertygelse om att det skulle vara oförenligt med det särskilda ändamålet i fråga att iaktta den bestämmelse från vilken den har ansökt om undantag.

64

(65)  Ett exempel på hur testet med ”skälig misstanke” tillämpas ingår ICO om att bötfälla True Visions Productions som fattades enligt dataskyddslagen från 1998. ICO godtog att den personuppgiftsansvariga hade en subjektiv övertygelse om att efterlevnaden av den första principen om dataskydd (rättvisa och lagenlighet) var oförenlig med journalistiska ändamål. ICO godtog dock inte denna uppfattning objektivt sett. ICO:s beslut finns på följande länk: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf.

65

(66)  Enligt vägledningen måste organisationerna kunna förklara varför det är oförenligt med journalistikens syften att följa den relevanta bestämmelsen i dataskyddslagen från 1998. Personuppgiftsansvariga måste särskilt väga den negativa effekt som efterlevnaden skulle ha på journalistiken mot den negativa inverkan bristande efterlevnad skulle ha på den registrerades rättigheter. Om en journalist rimligen kan uppnå sina redaktionella syften på ett sätt som överensstämmer med standardbestämmelserna i dataskyddslagen, måste han eller hon göra detta. Organisationerna måste kunna motivera sin användning av begränsningen med avseende på varje bestämmelse som de inte har följt. Data protection and journalism: a guide for the media, finns på följande länk: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf.

66

Data protection and journalism: a guide for the media

(67)  Exempel på allmänintresse är att avslöja eller upptäcka brott, skydda folkhälsan eller den allmänna säkerheten, avslöja vilseledande påståenden från enskilda eller organisationer eller avslöja inkompetens som påverkar allmänheten. Se OFCOM:s vägledning på följande länk: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf och BBC:s redaktionella riktlinjer, finns på följande länk: https://www.bbc.com/editorialguidelines/guidelines/privacy.

67

(68)  Se artikel 89 i den brittiska dataskyddsförordningen och punkterna 27.2 och 28.2 i del 6 i tillägg 2 till 2018 års dataskyddslag.

68

(69)  Detta omfattas av kravet att personuppgifter ska behandlas i enlighet med artikel 89.1 i den brittiska dataskyddsförordningen, kompletterad genom avsnitt 19 i 2018 års dataskyddslag.

69

(70)  Se skälen 281–287.

70

(71)  Med undantag för artikel 48 i förordning (EU) 2016/679 som Förenade kungariket har valt att inte ta med i den brittiska dataskyddsförordningen. I detta sammanhang bör det först och främst erinras om att den standard som ska anses tillhandahålla en adekvat skyddsnivå är standarden för ”väsentlig likvärdighet”, inte identitet, vilket har klargjorts av EU-domstolen (Schrems I, punkterna 73–74) och bekräftats av Europeiska dataskyddsstyrelsen (Adequacy Referential, s. 3). Såsom Europeiska dataskyddsstyrelsen förklarar i sin referensram för adekvat skyddsnivå är ”målet inte att standarden för adekvat skyddsnivå punkt för punkt ska efterlikna EU-lagstiftningen, utan att fastställa de grundläggande och avgörande kraven i denna lagstiftning”. I detta avseende är det viktigt att notera att även om Förenade kungarikets rättsordning inte formellt innehåller en bestämmelse som är identisk med artikel 48, garanteras samma effekt av andra rättsliga bestämmelser och principer, dvs. att vid en begäran om tillgång till personuppgifter från en domstol eller en administrativ myndighet i ett tredjeland kan personuppgifter endast överföras till det tredjelandet om det finns ett internationellt avtal – på grundval av vilket tredjelandets domstolsbeslut eller administrativa beslut i fråga erkänns eller verkställs i Förenade kungariket – eller om det grundar sig på en av de överföringsmekanismer som anges i kapitel V i den brittiska dataskyddsförordningen. Närmare bestämt måste domstolarna i Förenade kungariket kunna hänvisa till common law eller en lag som medger att den kan verkställas för att verkställa en utländsk dom. Varken i common law (se Adams and Others/Cape Industries Plc., [1990] 2 W.L.R. 657) eller i lagen finns det några bestämmelser om verkställighet av utländska domar som kräver överföring av uppgifter utan ett internationellt avtal. Detta innebär att begäranden om tillgång till personuppgifter inte är giltiga enligt brittisk lag om det inte finns ett sådant internationellt avtal. All överföring av personuppgifter till tredjeländer – även på begäran från en utländsk domstol eller administrativ myndighet – omfattas dessutom även fortsättningsvis av de begränsningar som anges i kapitel V i den brittiska dataskyddsförordningen, vilka är identiska med de motsvarande bestämmelserna i förordning (EU) 2016/679, vilket i sin tur innebär att begäran måste baseras på en av de grunder för överföring som anges i kapitel V i enlighet med de särskilda villkor som överföringen omfattas av enligt det kapitlet.

71

Adequacy Referential

(72)  De brittiska myndigheterna har förklarat att beskrivningen av ett land eller en internationell organisation avser en situation där det skulle vara nödvändigt att göra ett specifikt och partiellt fastställande av adekvat skyddsnivå med fokuserade begränsningar (t.ex. förordningar om adekvat skyddsnivå när det gäller endast vissa typer av uppgiftsöverföringar).

72

(73)  Se samförståndsavtalet mellan ministern för digitala frågor, kultur, media och idrott och ICO om ICO:s roll inom ramen för Förenade kungarikets nya tillräcklighetsbedömning, som finns på följande länk: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

73

(74)  Om en sådan omröstning antas kommer förordningarna i slutändan att upphöra att ha någon ytterligare rättslig verkan.

74

(75)  I den brittiska dataskyddsförordningen behålls reglerna i artikel 47 i förordning (EU) 2016/679 med förbehåll endast för ändringar för att anpassa reglerna till inhemska sammanhang, till exempel genom att hänvisningarna till den behöriga tillsynsmyndigheten ersätts med the Information Commissioner, strykning av hänvisningen till mekanismen för enhetlighet i punkt 1 och strykning av hela punkt 3.

75

the Information Commissioner

(76)  Enligt artikel 49 i den brittiska dataskyddsförordningen är överföringar möjliga om ett av följande villkor är uppfyllt: a) Den registrerade har uttryckligen samtyckt till den föreslagna överföringen efter att ha informerats om de möjliga riskerna med sådana överföringar för den registrerade på grund av att det saknas ett beslut om adekvat skyddsnivå och lämpliga skyddsåtgärder. b) Överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den personuppgiftsansvariga eller för att genomföra åtgärder som vidtas innan avtal ingås på den registrerades begäran. c) Överföringen är nödvändig för att ingå eller fullgöra ett avtal som ingåtts i den registrerades intresse mellan den personuppgiftsansvariga och en annan fysisk eller juridisk person. d) Överföringen är nödvändig av viktiga skäl av allmänt intresse. e) Överlåtelsen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. f) Överföringen är nödvändig för att skydda den registrerades eller andra personers vitala intressen om den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke. g) Överföringen sker från ett register som enligt nationell rätt är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse men endast i den mån som de villkor för tillgång som föreskrivs i nationell rätt är uppfyllda i det enskilda fallet. Om inget av ovanstående villkor är tillämpligt får en överföring dessutom endast ske om den inte upprepas, berör endast ett begränsat antal registrerade, är nödvändig för att uppnå tvingande berättigade intressen hos den personuppgiftsansvariga som inte uppvägs av den registrerades intressen eller rättigheter och friheter och den personuppgiftsansvariga har bedömt alla omständigheter kring uppgiftsöverföringen och på grundval av denna bedömning har vidtagit lämpliga skyddsåtgärder med avseende på skyddet av personuppgifter.

76

(77)  I skäl 111 i den brittiska dataskyddsförordningen anges att överföringar i samband med ett avtal eller ett rättsligt anspråk endast får ske om de är tillfälliga.

77

(78)  Vägledning från ICO om internationella överföringar, finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7.

78

(79)  Under en period på högst sex månader som slutar senast den 30 juni 2021 måste tillämpningen av denna nya ram läsas mot bakgrund av artikel 782 i handels- och samarbetsavtalet mellan Europeiska unionen och Europeiska atomenergigemenskapen, å ena sidan, och Förenade konungariket Storbritannien och Nordirland, å andra sidan (EUT L 444, 31.12.2020, s. 14) (avtalet om handel och samarbete mellan EU och Förenade kungariket), som finns på följande länk: https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:22020A1231(01)&from=EN.

79

avtalet om handel och samarbete mellan EU och Förenade kungariket

(80)  Vid behov ersätts dessa hänvisningar med hänvisningar till de brittiska myndigheterna. Enligt avsnitt 17 i 2018 års dataskyddslag kan t.ex. the Information Commissioner eller det nationella ackrediteringsorganet i Förenade kungariket ackreditera en person som uppfyller kraven i artikel 43 i den brittiska dataskyddsförordningen för att övervaka efterlevnaden av en certifiering.

80

the Information Commissioner

(81)  Information Commissioner: Annual Report and Financial Statements 2019–2020, som finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

81

Annual Report and Financial Statements 2019–2020

(82)  Ett förvaltningsavtal reglerar förhållandet mellan dem. De viktigaste uppgifterna för ministeriet för digitala frågor, kultur, media och idrott, i egenskap av uppdragsgivande avdelning, omfattar följande: Se till att the Information Commissioner får tillräcklig finansiering och tillräckliga resurser. Företräda de intressen som the Information Commissioner har inför parlamentet och andra regeringsministerier. Se till att det finns en stabil nationell ram för dataskydd. Ge vägledning och stöd till ICO om företagsfrågor som fastighetsfrågor, hyresavtal och upphandling (förvaltningsavtalet 2018–2021, som finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

82

the Information Commissioner

the Information Commissioner

(83)  Styrningskoden för offentliga utnämningar, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf.

83

(84)  Andra rapporten från sammanträdesperioden 2015–2016 från utskottet för kultur, medier och idrott i underhuset finns på följande länk: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf.

84

(85)  Framställningen utgörs av en address som en motion som lagts fram för parlamentet och som syftar till att göra monarken medveten om parlamentets yttranden i en viss fråga.

85

address

(86)  Punkt 3.3 i tillägg 12 till 2018 års dataskyddslag.

86

(87)  Avsnitt 137 i 2018 års dataskyddslag, se skäl 17.

87

(88)  Avsnitten 137 och 138 i 2018 års dataskyddslagen innehåller ett antal skyddsåtgärder för att säkerställa att avgifterna fastställs på en lämplig nivå. Särskilt avsnitt 137.4 innehåller en förteckning över de omständigheter som ministern måste beakta när han eller hon fastställer det belopp som olika organisationer ska betala. För det andra innehåller avsnitt 138.1 och avsnitt 182 i 2018 års dataskyddslag även en rättslig skyldighet för ministern att samråda med the Information Commissioner och andra företrädare för personer som kan komma att beröras av förordningarna innan de framförs för att deras synpunkter ska kunna beaktas. Enligt avsnitt 138.2 i 2018 års dataskyddslag är the Information Commissioner dessutom skyldig att se över avgiftsförordningarnas funktion och kan lämna förslag till ministern om ändringar av förordningarna. Slutligen, utom i de fall då bestämmelser endast utarbetas för att ta hänsyn till en ökning av konsumentprisindex (då de kommer att omfattas av ett negativt resolutionsförfarande), omfattas föreskrifterna av ett positivt resolutionsförfarande och får inte utfärdas förrän de har godkänts genom ett beslut av varje kammare.

88

the Information Commissioner

the Information Commissioner

(89)  I förvaltningsavtalet klargjordes att den ansvarige ministern får göra utbetalningar till Information Commissioner med medel som tillhandahålls av parlamentet enligt punkt 9 i bilaga 12 till 2018 års dataskyddslag. Efter samråd med the Information Commissioner ska DCMS betala lämpliga belopp (bidraget i form av stöd) för ICO:s administrativa kostnader och utövandet av de arbetsuppgifter som the Information Commissioner har i samband med ett antal specifika funktioner, däribland informationsfrihet” (förvaltningsavtal 2018–2021, punkt 1.12, se fotnot 82).

89

the Information Commissioner

the Information Commissioner

(90)  Se avsnitt 134 i 2018 års dataskyddslag.

90

(91)  Avsnitt 142 i 2018 års dataskyddslag (med förbehåll för begränsningarna i avsnitt 143 i 2018 års dataskyddslag).

91

(92)  Avsnitt 146 i 2018 års dataskyddslag (med förbehåll för begränsningarna i avsnitt 147 i 2018 års dataskyddslag).

92

(93)  Avsnitt 149–151 i 2018 års dataskyddslag (med förbehåll för begränsningarna i avsnitt 152 i 2018 års dataskyddslag).

93

(94)  Avsnitt 155 i 2018 års dataskyddslag och artikel 83 i den brittiska dataskyddsförordningen.

94

(95)  Detta följer av avsnitt 155.1 jämfört med avsnitt 149.2 och 149.5 samt avsnitt 156.4 i 2018 års dataskyddslag, som begränsar utfärdandet av påföljdsföreläggande med avseende på the Crown Estate Commissioners och personuppgiftsansvariga från de kungliga hovstaterna (Royal Household) enligt avsnitt 209.4 i 2018 års dataskyddslag.

95

the Crown Estate Commissioners

Royal Household

(96)  Policyn för lagstiftningsåtgärder (Regulatory Action Policy), finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf.

96

Regulatory Action Policy

(97)  Inbegripet överträdelsens art och allvar (med beaktande av den berörda behandlingens art eller syfte samt antalet registrerade som påverkas och omfattningen av den skada som de lidit), överträdelsens avsiktliga eller försumliga karaktär, alla åtgärder som vidtas av den personuppgiftsansvariga för att lindra den skada som de registrerade lidit, den personuppgiftsansvarigas eller personuppgiftsbiträdets grad av ansvar (med beaktande av den personuppgiftsansvarigas eller personuppgiftsbiträdets tekniska och organisatoriska åtgärder), alla relevanta tidigare överträdelser som den personuppgiftsansvariga eller personuppgiftsbiträdet gjort sig skyldig till, graden av samarbete med the Commissioner, de kategorier av personuppgifter som påverkas av misslyckandet, andra försvårande eller förmildrande faktorer som är tillämpliga på omständigheterna i fallet, till exempel ekonomiska fördelar eller förluster som direkt eller indirekt undvikits genom överträdelsen.

97

the Commissioner

(98)  Enligt den information som lämnats av de brittiska myndigheterna konstaterades under den period som omfattas av the Information Commissioner’s Annual Report 2019–2020 ingen överträdelse i omkring 25 % av fallen, i omkring 29 % av fallen ombads den registrerade antingen att ta upp frågan med den personuppgiftsansvariga första gången, att invänta den personuppgiftsansvarigas svar eller att fortsätta en pågående dialog med den personuppgiftsansvariga, i omkring 17 % av fallen konstaterades ingen överträdelse men råd gavs till den personuppgiftsansvariga, i ungefär 25 % av fallen upptäckte Information Commissioner en överträdelse och gav antingen råd till den personuppgiftsansvariga eller också var den personuppgiftsansvariga tvungen att vidta vissa åtgärder, i ungefär 3 % av fallen bestämdes det att klagomålet inte omfattas av förordning (EU) 2016/679 och ungefär 1 % av fallen hänvisades till en annan dataskyddsmyndighet inom ramen för Europeiska dataskyddsstyrelsen.

98

the Information Commissioner’s Annual Report 2019–2020

(99)  ICO kan inleda dessa utredningar på grundval av information från en rad olika källor, bland annat anmälningar om personuppgiftsbrott, anmälningar från andra brittiska myndigheter eller utländska dataskyddsmyndigheter och klagomål från enskilda personer eller organisationer i det civila samhället.

99

(100)  
  Information Commissioner’s Annual Report and Financial Statements 2019–2020 (se fotnot 81).

100

Information Commissioner’s Annual Report and Financial Statements 2019–2020

(101)  Enligt den föregående årsberättelse för perioden 2018–2019 utfärdade the Information Commissioner 22 påföljdsförelägganden enligt dataskyddslagen från 1998 under rapporteringsperioden med sanktionsavgifter på totalt 3 010 610 pund, varav två sanktionsavgifter på 500 000 pund (det högsta tillåtna beloppet enligt dataskyddslagen från 1998). Under 2018 genomförde the Information Commissioner en undersökning av användningen av dataanalys för politiska ändamål efter avslöjandena om Cambridge Analytica. Utredningen resulterade i en policyrapport, en uppsättning rekommendationer, sanktionavgifter på 500 000 pund mot Facebook och ett verkställighetsföreläggande till Aggregate IQ, en kanadensisk datamäklare, som ålägger företaget att radera personuppgifter om brittiska medborgare och invånare (se the Information Commissioner’s Annual Report and Financial Statement 2018–2019, som finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf).

101

the Information Commissioner

the Information Commissioner

the Information Commissioner’s Annual Report and Financial Statement 2018–2019

(102)  För en sammanfattning av de verkställighetsåtgärder som vidtagits, se webbplatsen för ICO, som finns på följande länk: https://ico.org.uk/action-weve-taken/enforcement/.

102

(103)  Avsnitt 170 i 2018 års dataskyddslag.

103

(104)  Avsnitt 171 i 2018 års dataskyddslag.

104

(105)  Avsnitt 119 i 2018 års dataskyddslag.

105

(106)  Avsnitten 144 och 148 i 2018 års dataskyddslag.

106

(107)  Avsnitt 117 i 2018 års dataskyddslag.

107

(108)  Panelen ansvarar för att ge domstolsväsendet vägledning och utbildning. Den behandlar också klagomål från registrerade med avseende på behandling av personuppgifter som utförs av domstolar och enskilda personer som handlar i egenskap av en dömande myndighet. Panelen har för avsikt att tillhandahålla de medel som kan användas för att lösa eventuella klagomål. Om en klagande var missnöjd med panelens beslut och lade fram ytterligare bevisning skulle panelen kunna ompröva sitt beslut. Även om panelen själv inte utdömer ekonomiska sanktioner kan den, om den anser att det föreligger en tillräckligt klar överträdelse av 2018 års dataskyddslag, hänskjuta den till JCIO (Judicial Conduct Investigation Office), som kommer att utreda klagomålet. Om klagomålet godtas ankommer det på Lord Chancellor och Lord Chief Justice (eller en högre domare som delegerats att agera på hans eller hennes vägnar) att besluta om vilka åtgärder som ska vidtas mot befattningshavaren. Detta kan, beroende på svårighetsgrad, omfatta formell rådgivning, formell varning och reprimand och, i slutändan, entledigande. Om en person är missnöjd med det sätt på vilket klagomålet har utretts av JCIO kan han eller hon lämna in ett klagomål till Judicial Appointments and Conduct Ombudsman (se https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Ombudsmannen har befogenhet att be JCIO att utreda ett klagomål på nytt och kan föreslå att klaganden ska få ersättning om han eller hon anser sig ha lidit skada till följd av administrativa missförhållanden.

108

Judicial Conduct Investigation Office

Judicial Appointments and Conduct Ombudsman

(109)  Meddelandet om skydd av personuppgifter från Lord Chief Justice and Senior President of Tribunals, finns på följande länk: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

109

Lord Chief Justice

Senior President of Tribunals

(110)  Meddelandet om skydd av personuppgifter från Lord Chief Justice of Northern Ireland, finns på följande länk: https://judiciaryni.uk/data-privacy

110

(111)  Meddelandet om skydd av personuppgifter för skotska domstolar och tribunaler finns på följande länk: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

111

(112)  Datatillsynsdomaren ger vägledning till rättsväsendet och utreder överträdelser och/eller klagomål som rör behandling av personuppgifter som utförs av domstolar eller enskilda personer som handlar i egenskap av en dömande myndighet.

112

(113)  Om klagomålet eller brottet bedöms vara allvarligt hänskjuts det till Judicial Complaints Officer för vidare utredning i enlighet med Lord Chief Justice in Northern Ireland’s Code of Practice on Complaints. Ett sådant klagomål skulle kunna omfatta inga ytterligare åtgärder, råd, utbildning eller mentorskap, informell varning, formell varning, slutlig varning, begränsning av praxis eller hänskjutande till en lagstadgad domstol. Code of Practice on Complaints som utfärdats av Lord Chief Justice i Nordirland finns på följande länk: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.

113

Judicial Complaints Officer

Lord Chief Justice in Northern Ireland’s Code of Practice on Complaints.

Code of Practice on Complaints

Lord Chief Justice

(114)  Varje klagomål utreds av en datatillsynsdomare och hänskjuts till Lord President som har befogenhet att utfärda råd, en formell varning eller en reprimand om han anser det nödvändigt (likvärdiga regler finns för domstolsledamöter och de finns på följande länk: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2)

114

(115)  Artikel 77 i den brittiska dataskyddsförordningen.

115

(116)  I avsnitt 166 i 2018 års dataskyddslag hänvisas särskilt till följande situationer: a) The Commissioner underlåter att vidta lämpliga åtgärder för att besvara klagomålet, b) han eller hon underlåter att informera den klagande om hur ärendet fortskrider eller om resultatet av klagomålet före utgången av den period på 3 månader som började vid mottagandet av klagomålet eller c) om hans eller hennes behandling av klagomålet inte avslutas under den perioden inte ger klaganden sådan information under en senare period på 3 månader.

116

The Commissioner

(117)  Artikel 78.2 i den brittiska dataskyddsförordningen och avsnitt 166 i 2018 års dataskyddslag.

117

(118)  Artikel 78.1 i den brittiska dataskyddsförordningen och avsnitt 162 i 2018 års dataskyddslag.

118

(119)  Avsnitt 7.1 i Human Rights Act 1998. Enligt avsnitt 7.7 är en person endast offer för en rättsstridig handling om han eller hon är ett offer i den mening som avses i artikel 34 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna om talan väcktes vid Europeiska domstolen för de mänskliga rättigheterna avseende denna handling.

119

Human Rights Act 1998

(120)  Avsnitt 8.1 i Human Rights Act 1998.

120

Human Rights Act 1998

(121)  Se Schrems II, punkterna 174–175 och där angiven rättspraxis. Se även, när det gäller tillgång för myndigheter i medlemsstaterna, mål C-623/17, Privacy International, ECLI:EU:C:2020:790, punkt 65 och mål C-511/18, C-512/18 och C-520/18, La Quadrature du Net m.fl., ECLI:EU:C:2020:791, punkt 175.

121

(122)  Se Schrems II, punkterna 176 och 181, samt där angiven rättspraxis. Se även, när det gäller tillgång för medlemsstaternas myndigheter, Privacy International, punkt 68 och La Quadrature du Net m.fl., punkt 132.

122

(123)  Se domen i det ovannämnda målet Schrems II, punkt 176. Se även, när det gäller tillgång för medlemsstaternas myndigheter, Privacy International, punkt 68 och La Quadrature du Net m.fl., punkt 132.

123

(124)  Se domen i det ovannämnda målet Schrems II, punkt 179.

124

(125)  Se Schrems II, punkterna 181–182.

125

(126)  Se Schrems I, punkt 95, och Schrems II, punkt 194. I detta avseende har EU-domstolen särskilt betonat att efterlevnaden av artikel 47 i stadgan om de grundläggande rättigheterna, som garanterar rätten till ett effektivt rättsmedel inför en oavhängig och opartisk domstol, ”bidrar till den skyddsnivå som krävs i Europeiska unionen [och] måste fastställas av kommissionen innan den fattar ett beslut om adekvat skyddsnivå i enlighet med artikel 45.1 i förordning (EU) 2016/679” (Schrems II, punkt 186).

126

(127)  Avsnitt 6 i Human Rights Act 1998.

127

Human Rights Act 1998

(128)  Europeiska domstolen för de mänskliga rättigheterna, Klass m.fl./Tyskland, ansökan nr 5029/71, punkterna 17–51.

128

(129)  Europeiska domstolen för de mänskliga rättigheterna, Kennedy/United Kingdom, ansökan nr 26839/05 (Kennedy), punkterna 167 och 190.

129

(130)  För mer information om den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och dess införlivande i Förenade kungarikets lagstiftning genom Human Rights Act 1998 samt konvention 108, se skäl 9 ovan.

130

Human Rights Act 1998

(131)  På samma sätt är, enligt artikel 11 i konvention 108+, begränsningar av vissa specifika rättigheter och skyldigheter i konventionen av hänsyn till nationell säkerhet eller förebyggande, utredning och lagföring av brott samt verkställighet av straffrättsliga påföljder endast tillåtna om en sådan begränsning föreskrivs i lag, respekterar det väsentliga innehållet i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Behandling av uppgifter för ändamål som rör nationell säkerhet och försvar måste också vara föremål för oberoende och effektiv översyn och övervakning enligt respektive konventionsparts nationella lagstiftning.

131

(132)  Avsnitt 31 i 2018 års dataskyddslag.

132

(133)  De behöriga myndigheter som förtecknas i bilaga 7 omfattar inte bara polisen utan även alla brittiska ministerier och andra myndigheter med utredningsfunktioner (t.ex. Commissioner for Her Majesty’s Revenue and Customs, National Crime Agency, Welsh Revenue Authority, Competition and Markets Authority eller Her Majesty’s Land Register), åklagarmyndigheter, andra straffrättsliga myndigheter och andra innehavare eller organisationer som bedriver brottsbekämpande verksamhet (i tillägg 7 till 2018 års dataskyddslag förtecknas bland andra Directors of Public Prosecutors, Director of Public Prosecutors for Northern Ireland och Information Commission).

133

Commissioner for Her Majesty’s Revenue and Customs

National Crime Agency

Welsh Revenue Authority

Competition and Markets Authority

Her Majesty’s Land Register

Directors of Public Prosecutors

Director of Public Prosecutors for Northern Ireland

Information Commission

(134)  Avsnitt 30.2 i 2018 års dataskyddslag.

134

(135)  Avsnitt 35 i 2018 års dataskyddslag.

135

(136)  Avsnitt 36 i 2018 års dataskyddslag.

136

(137)  Avsnitt 37 i 2018 års dataskyddslag.

137

(138)  Avsnitt 38 i 2018 års dataskyddslag.

138

(139)  Avsnitt 39 i 2018 års dataskyddslag.

139

(140)  Avsnitt 40 i 2018 års dataskyddslag.

140

(141)  Avsnitt 44 i 2018 års dataskyddslag.

141

(142)  Avsnitt 45 i 2018 års dataskyddslag.

142

(143)  Avsnitten 46 och 47 i 2018 års dataskyddslag.

143

(144)  Avsnitten 49 och 50 i 2018 års dataskyddslag.

144

(145)  Avsnitten 56–65 i 2018 års dataskyddslag.

145

(146)  Avsnitt 66 i 2018 års dataskyddslag.

146

(147)  Avsnitten 67–68 i 2018 års dataskyddslag.

147

(148)  Avsnitten 69-71 i 2018 års dataskyddslag.

148

(149)  Avsnitten 67–68 i 2018 års dataskyddslag.

149

(150)  Del 3 kapitel 5 i 2018 års dataskyddslag.

150

(151)  Enligt avsnitt 86.6 i 2018 års dataskyddslag ska den metod med vilken den erhålls beaktas för att avgöra om behandlingen sker på ett rättvist och öppet sätt. I detta avseende uppfylls kravet på rättvisa och öppenhet om uppgifterna erhålls från en person som lagligen har tillstånd eller är skyldig att tillhandahålla dem.

151

(152)  Enligt avsnitt 87 i 2018 års dataskyddslag ska ändamålen med behandlingen vara specifika, uttryckligt angivna och legitima. Uppgifterna får inte behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlades in. Enligt avsnitt 87.3 i 2018 års dataskyddslag kan ytterligare kompatibel behandling av personuppgifter endast tillåtas om den personuppgiftsansvariga enligt lag har rätt att behandla uppgifterna för det ändamålet och behandlingen är nödvändig och står i proportion till det andra ändamålet. Behandlingen bör anses vara förenlig om behandlingen består av behandling för arkivändamål av allmänt intresse, för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål och är föremål för lämpliga skyddsåtgärder (avsnitt 87.4 i 2018 års dataskyddslag).

152

(153)  Personuppgifter måste vara adekvata, relevanta och inte överdrivet omfattande (avsnitt 88 i 2018 års dataskyddslag).

153

(154)  Personuppgifter måste vara korrekta och aktuella (avsnitt 89 i 2018 års dataskyddslag).

154

(155)  Personuppgifter får inte lagras längre än nödvändigt (avsnitt 90 i 2018 års dataskyddslag).

155

(156)  Den sjätte principen om dataskydd är att personuppgifter ska behandlas på ett sätt som inbegriper vidtagande av lämpliga säkerhetsåtgärder när det gäller risker i samband med behandling av personuppgifter. Riskerna omfattar (men är inte begränsade till) oavsiktlig eller obehörig åtkomst till eller förstörelse, förlust, användning, ändring eller utlämnande av personuppgifter (avsnitt 91 i 2018 års dataskyddslag). I avsnitt 107 föreskrivs också att 1) varje personuppgiftsansvarig ska vidta lämpliga säkerhetsåtgärder som är lämpliga med hänsyn till de risker som uppstår i samband med behandlingen av personuppgifter och 2) vid automatiserad behandling ska varje personuppgiftsansvarig och personuppgiftsbiträde vidta förebyggande eller begränsande åtgärder på grundval av en riskbedömning.

156

(157)  Avsnitt 86.2 b i och tillägg 10 till 2018 års dataskyddslag.

157

(158)  Del 4 kapitel 3 i 2018 års dataskyddslag, särskilt när det gäller rättigheterna om tillgång, rättelse och radering, invända mot behandlingen och inte vara föremål för automatiserat beslutsfattande, att ingripa i automatiserat beslutsfattande och informeras om beslutsfattandet. Dessutom måste den personuppgiftsansvariga informera den registrerade om behandlingen av hans eller hennes personuppgifter. Såsom förklaras i ICO:s vägledning om underrättelsetjänsters behandling av personuppgifter kan enskilda personer utöva alla sina rättigheter (även begära rättelse) genom att inge ett klagomål till ICO eller väcka talan (se ICO:s vägledning till underrättelsetjänster som behandlar personuppgifter, som finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/).

158

(159)  Avsnitt 103 i 2018 års dataskyddslag.

159

(160)  Avsnitt 109 i 2018 års dataskyddslag. Överföring av personuppgifter till internationella organisationer eller länder utanför Förenade kungariket är möjlig om överföringen är en nödvändig och proportionell åtgärd som utförs inom ramen för den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i särskilda avsnitt i Security Service Act 1989 och Intelligence Services Act 1994.

160

Security Service Act 1989

Intelligence Services Act 1994

(161)  ICO:s vägledning, se fotnot 158.

161

Avsnitt 30 i 2018 års dataskyddslag och tillägg 7 till denna lag.

(162)  I avsnitt 110.2 i 2018 års dataskyddslag förtecknas de bestämmelser från vilka undantag är tillåtna. Detta omfattar dataskyddsprinciperna (med undantag för legalitetsprincipen), den registrerades rättigheter, skyldigheten att informera the Information Commissioner om ett personuppgiftsbrott, dennes inspektionsbefogenheter i enlighet med internationella skyldigheter, vissa av dennes verkställighetsbefogenheter, bestämmelser som gör vissa dataskyddsbrott till lagbrott och bestämmelser om särskilda ändamål för behandling, till exempel journalistiska, akademiska eller konstnärliga ändamål.

162

the Information Commissioner

(163)  Se Baker/Secretary of State, se fotnot 61.

163

(164)  
  UK Explanatory Framework for Adequacy Discussions, avsnitt H: National Security Data Protection and Investigatory Powers Framework, s. 15–16 (se fotnot 31). Se även Baker/Secretary of State (se fotnot 61) där domstolen upphävde ett nationellt säkerhetsintyg som utfärdats av inrikesministern och bekräftade tillämpningen av undantaget för nationell säkerhet eftersom den ansåg att det inte fanns någon anledning att föreskriva ett generellt undantag från skyldigheten att besvara begäranden om tillgång och att ett sådant undantag under alla omständigheter utan en bedömning i varje enskilt fall överskred vad som var nödvändigt och proportionerligt för skyddet av den nationella säkerheten.

164

UK Explanatory Framework for Adequacy Discussions

National Security Data Protection and Investigatory Powers Framework

(165)  Se samförståndsavtalet mellan ICO och UKIC enligt vilket ”ICO kommer att vilja försäkra sig om att frågan har hanterats korrekt och, i förekommande fall, att tillämpningen av eventuella undantag har använts på lämpligt sätt”. Memorandum of Understandings between Information Commission’s Office and the UK Intelligence Communit, punkt 16, finns på följande länk: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf

165

Memorandum of Understandings between Information Commission’s Office and the UK Intelligence Communit

(166)  Möjligheten att utfärda intyg enligt avsnitt 28.2 i 1998 års dataskyddslag har upphävts genom 2018 års dataskyddslag. Det är dock fortfarande möjligt att utfärda ”gamla intyg” i den mån det föreligger tidigare domstolsprövningar enligt lagen från 1998 (se punkt 17 del 5 tillägg 20 till 2018 års dataskyddslag). Denna möjlighet verkar dock utnyttjas mycket sällan och kommer endast att gälla i begränsade fall, till exempel om en registrerad väcker talan mot tillämpningen av ett undantag avseende nationell säkerhet i samband med en myndighets behandling av personuppgifter som skedde enligt lagen från 1998. Det ska noteras att i dessa fall kommer avsnitt 28 i dataskyddslagen från 1998 att gälla i sin helhet, vilket innebär att registrerade har möjlighet att väcka talan angående vid domstol angående sådana intyg.

166

(167)  Den brittiska regeringens vägledning om nationella säkerhetscertifikat (UK Government Guidance on National Security Certificates) enligt 2018 års dataskyddslag, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf. Enligt de brittiska myndigheternas förklaring är ett intyg ett avgörande bevis för att undantaget är tillämpligt när det gäller uppgifter eller behandling som beskrivs i certifikatet men det tar inte bort kravet på att den personuppgiftsansvariga ska överväga om det finns ett behov av att förlita sig på undantaget från fall till fall.

167

(UK Government Guidance on National Security Certificates)

(168)  Enligt avsnitt 130 i 2018 års dataskyddslag kan the Information Commissioner besluta att inte offentliggöra texten eller delar av texten i ett intyg om detta skulle strida mot nationella säkerhetsintressen eller mot allmänintresset eller skulle kunna äventyra någon persons säkerhet. I sådana fall kommer ICO emellertid att offentliggöra omständigheten att intyget har utfärdats.

168

the Information Commissioner

(169)  Den brittiska regeringens vägledning om nationella säkerhetscertifikat, punkt 15, se fotnot 167.

169

(170)  Den brittiska regeringens vägledning om nationella säkerhetscertifikat, punkt 5, se fotnot 167.

170

(171)  Se fotnot 164.

171

(172)  Enligt avsnitt 102 i 2018 års dataskyddslag ska den personuppgiftsansvariga kunna visa att han eller hon har följt denna lag. Detta innebär att en underrättelsetjänst skulle behöva visa för ICO att den har beaktat de särskilda omständigheterna i fallet när den förlitar sig på undantaget. ICO publicerar också en förteckning över de nationella säkerhetscertifikaten, som finns på följande länk: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.

172

(173)  
  Upper Tribunal är den domstol som är behörig att pröva överklaganden av beslut som fattats av lägre förvaltningsdomstolar och har särskild behörighet att överklaga beslut från vissa statliga organ.

173

Upper Tribunal

(174)  Avsnitt 111.3 i 2018 års dataskyddslag.

174

(175)  Avsnitt 111.5 i 2018 års dataskyddslag.

175

(176)  I målet Baker/Secretary of State (se fotnot 61) upphävde Information Tribunal ett nationellt säkerhetscertifikat som utfärdats av inrikesministern eftersom den ansåg att det inte fanns någon anledning att föreskriva ett generellt undantag från skyldigheten att besvara begäranden om tillgång och att ett sådant undantag under alla omständigheter utan en analys från fall till fall överskred vad som var nödvändigt och proportionerligt för att skydda den nationella säkerheten.

176

Information Tribunal

(177)  Den brittiska regeringens vägledning om nationella säkerhetscertifikat, punkt 25, se fotnot 167.

177

(178)  Detta innefattar i) del 4 av dataskyddsprinciperna, med undantag för kravet på att behandlingen ska vara laglig enligt den första principen och det faktum att behandlingen måste uppfylla ett av de relevanta villkor som anges i tilläggen 9 och 10, ii) de registrerades rättigheter, och iii) skyldigheterna att rapportera överträdelser till ICO.

178

(179)  I del 4 i 2018 års dataskyddslag fastställs den rättsliga ram som gäller för alla typer av behandling av personuppgifter som utförs av underrättelsetjänster (inte bara i samband med deras fullgörande av uppgifter som rör den nationella säkerheten). Del 4 gäller därför när underrättelsetjänster exempelvis behandlar personuppgifter i samband med personaladministration, tvister eller offentlig upphandling. De begränsningar som anges i tillägg 11 är främst avsedda att tillämpas i dessa andra sammanhang. I händelse av tvister med anställda kan till exempel begränsningen avseende ”rättsliga förfaranden” åberopas, medan det i samband med offentlig upphandling är möjligt att åberopa begränsningen avseende ”förhandlingsskäl” osv. Detta avspeglas i ICO:s vägledning om underrättelsetjänsters behandling av personuppgifter, där förhandlingar om uppgörelse mellan en underrättelsetjänst och en tidigare anställd om lönefordringar nämns som ett exempel på tillämpningen av begränsningar enligt tillägg 11 (se fotnot 161). Det bör också noteras att samma begränsningar finns tillgängliga för andra myndigheter enligt tillägg 2 till del 2 i 2018 års dataskyddslag.

179

(180)  Enligt Förenade kungarikets förklarande ram är de undantag som är ”typbaserade” följande: i) Information om tilldelning av statliga hedersbetygelser och värdigheter. ii) Yrkesmässiga privilegier. iii) Konfidentiella uppgifter om anställning, yrkesutbildning eller utbildning. iv) Skriftliga prov och betyg. De ”skadebaserade” undantagen rör frågorna i) förebyggande eller avslöjande av brott, gripande och lagföring av gärningsmän, ii) parlamentariskt privilegium, iii) rättsliga förfaranden, iv) kronans väpnade styrkors stridsförmåga, v) Förenade kungarikets ekonomiska välstånd, vi) förhandlingar med den registrerade, vii) vetenskaplig eller historisk forskning eller statistiska ändamål och viii) arkivering i allmänhetens intresse. UK Explanatory Framework for Adequacy Discussions, avsnitt H: National Security, s. 13, se fotnot 31.

180

UK Explanatory Framework for Adequacy Discussions

National Security

(181)  Användningen av samtycke förefaller inte relevant i ett tillräcklighetsscenario eftersom uppgifterna i en överföringssituation inte kommer att ha samlats in direkt från en registrerad i EU av en brittisk brottsbekämpande myndighet på grundval av samtycke.

181

(182)  För relevant rättslig grund, se avsnitt 8 och följande artiklar i PACE 1984 (för England och Wales), avsnitt 10 och följande artiklar i Police and Criminal Evidence Order (Northern Ireland) 1989 och för Skottland enligt common law (se avsnitt 46 i Criminal Justice (Scotland) Act 2016) och avsnitt 23B i Criminal Law (Consolidation) (Scotland). För ett beslut om husrannsakan som utfärdats efter gripandet är den rättsliga grunden avsnitt 18 i PACE 1984 (för England och Wales), avsnitt 20 ff. i Police and Criminal Evidence Order (Northern Ireland) 1989 och för Skottland erhålls den enligt common law (se avsnitt 46 i Criminal Justice (Scotland) Act 2016). De brittiska myndigheterna klargjorde att beslut om husrannsakan utfärdas av en domstol på begäran av utredaren. Den gör det möjligt för en tjänsteman att få tillträde till lokaler för att söka efter material eller personer som är relevanta för deras utredning. Verkställandet av beslut om husrannsakan kommer ofta att kräva hjälp av en polisstyrka.

182

PACE 1984

Police and Criminal Evidence Order (Northern Ireland) 198

Criminal Justice (Scotland) Act 2016

Criminal Law (Consolidation) (Scotland)

PACE 1984

Police and Criminal Evidence Order (Northern Ireland) 1989

Criminal Justice (Scotland) Act 2016

(183)  När utredningen gäller penningtvätt (inklusive konfiskering och civilrättsligt återvinningsförfarande) är den relevanta rättsliga grunden för att ansöka om en utlämnandeorder avsnitt 345 ff. för England, Wales och Nordirland och avsnitt 380 ff. i Proceeds of Crime Act 2002 för Skottland. När utredningen gäller andra frågor än penningtvätt kan en ansökan om utlämnandeorder lämnas in enligt avsnitt 9 och bilaga 1 till PACE 1984 för England och Wales och avsnitt 10 ff. i Police and Criminal Evidence Order (Northern Ireland) 1989 för Nordirland. För Skottland erhålls den enligt common law (se avsnitt 46 i Criminal Justice (Scotland) Act 2016) och avsnitt 23B i Criminal Law (förening av mål) (Skottland). De brittiska myndigheterna klargjorde att en utlämnandeorder kräver att den person som anges i den framställer eller ger tillgång till det material som de innehar eller kontrollerar (se punkt 4 i tillägg 1 till PACE 1984).

183

Proceeds of Crime Act 2002

Police and Criminal Evidence Order (Northern Ireland) 1989

Criminal Justice (Scotland) Act 2016

Criminal Law

(184)  
  PACE 1984 innehåller till exempel befogenheter i avsnitten 8 och 18 att beslagta och behålla allt som har godkänts för husrannsakan.

184

PACE 1984

(185)  Till exempel reglerar avsnitt 8 och avsnitt 18 i PACE befogenheten för fredsdomare att ge tillstånd till en husrannsakan respektive en polistjänsteman att göra husrannsakan. I det första fallet (avsnitt 8) ska fredsdomaren innan ett beslut utfärdas först försäkra sig om att det finns rimliga skäl att anta att i) ett åtalbart brott har begåtts, ii) det finns material i lokalerna som kan vara av betydande värde (antingen i sig självt eller tillsammans med annat material) för utredningen av brottet, iii) materialet sannolikt kommer att utgöra relevant bevisning, iv) det inte består av eller innehåller föremål som omfattas av rättsliga privilegier, uteslutna material eller material för särskilda förfaranden och v) det inte skulle vara möjligt att få tillträde utan ett beslut. I det andra fallet får en polistjänsteman enligt avsnitt 18 göra husrannsakan hos en person som gripits för ett åtalbart brott för annat material än sådant som omfattas av rättsliga privilegier, om han eller hon har skälig anledning att misstänka att det finns bevis i lokalerna som hänför sig till brottet eller något annat liknande eller därmed sammanhängande brott. En sådan husrannsakan måste begränsas till att avslöja detta material och måste skriftligen godkännas av en polistjänsteman med lägst kommissaries rang, såvida det inte är nödvändigt för att utreda brottet. I så fall ska en tjänsteman med lägst kommissaries rang informeras så snart som möjligt efter det att den har utförts. Skälen för husrannsakan och arten av den bevisning som begärs ska registreras. I avsnitt 15 och 16 i PACE 1984 föreskrivs dessutom lagstadgade garantier som måste följas vid ansökan om beslut om husrannsakan. I avsnitt 15 anges vilka krav som gäller för att erhålla ett beslut om husrannsakan (bl.a. innehållet i den ansökan som lämnats in av den berörda personen och det faktum att beslutet bland annat ska ange enligt vilken lag beslutet utfärdas och, så långt det är möjligt, identifiera de föremål och personer som ska eftersökas och de lokaler som ska genomsökas). I avsnitt 16 regleras hur husrannsakan ska utföras efter beslut har utfärdats ( i avsnitt 16.5 föreskrivs exempelvis att den tjänsteman som verkställer husrannsakan förser innehavaren med en kopia av beslutet, enligt avsnitt 16.11 ska beslutet om husrannsakan, när det har verkställts, bevaras i 12 månader, enligt avsnitt 16.12 har besittningsinnehavaren rätt att ta del av beslutet om husrannsakan under denna period om han eller hon så önskar). Dessa avsnitt bidrar till att säkerställa efterlevnaden av artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (se t.ex. Kent Pharmaceuticals/Director of the Serious Fraud Office [2002] EWHC 3023 (QB) i [30] av Lord Woolf CJ). Om dessa skyddsåtgärder inte följs kan husrannsakan förklaras olaglig (exempel är R (Brook)/Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95, R (Superior Import/Export Ltd)/Revenue and Customs Commissioners [2017] EWHC 3172 (Admin), [2018] Lloyd’s Rep FC 115 och R (F)/Blackfriars Crown Court [2014] EWHC 1541 (Admin)). Avsnitten 15 och 16 i PACE 1984 kompletteras av kod B i Europarådets parlamentariska församling, en uppförandekod som reglerar utövandet av polisens befogenheter att genomföra husrannsakan.

185

(186)  Vid utfärdande av en utlämnandeorder enligt Proceeds of Crime Act 2002, utöver kravet på att ha rimliga skäl att uppfylla de villkor som anges i 346.2 i Proceeds of Crime Act 2002, bör det finnas rimliga skäl att personen innehar eller kontrollerar det material som anges på detta sätt och att materialet sannolikt kommer att vara av betydande värde. Ett annat krav för att en utlämnandeorder ska utfärdas är att det måste finnas rimliga skäl att anta att det ligger i allmänhetens intresse att materialet presenteras eller att allmänheten ges tillgång till det med hänsyn till a) den nytta som undersökningen sannolikt kommer att få om materialet anskaffats och b) de omständigheter under vilka den person som ansökan avser anser sig inneha eller ha kontroll över det material som innehåller deras uppgifter. På samma sätt måste en domstol som prövar en ansökan om utlämnandeorder enligt tillägg 1 till PACE 1984 vara övertygad om att vissa villkor är uppfyllda. I synnerhet i tillägg 1 i PACE anges två olika alternativa uppsättningar villkor, varav ett måste vara uppfyllt för att en domare ska kunna utfärda en utlämnandeorder. Den första uppsättningen kräver att domaren har rimliga skäl att anta i) att ett åtalbart brott har begåtts, ii) att det material som efterfrågas i lokalerna består av eller omfattar särskilt förfarande men inte undantaget material och iii) att det sannolikt kommer att ha ett betydande värde för undersökningen antingen som sådant eller tillsammans med annat material iv) och att det sannolikt kommer att vara relevant bevisning, v) andra metoder för att anskaffa materialet antingen har varit föremål för försök eller inte har varit föremål för försök på grund av att de inte skulle kunna undgå att misslyckas och vi) efter att ha övervägt nyttan med undersökningen och de omständigheter under vilka den enskilda personen innehar materialet ligger det i allmänhetens intresse att materialet visas upp eller att tillgång ges till det. För den andra uppsättningen villkor krävs att i) det finns material i lokalerna som består av ett särskilt förfarande eller uteslutet material, ii) om det inte hade varit fråga om ett förbud mot husrannsakan på grundval av lagstiftning som antagits före PACE om ett särskilt förfarande, undantaget material eller rättsligt privilegium, skulle ett beslut om husrannsakan för materialet ha kunnat utfärdas och iii) det hade varit lämpligt att göra detta.

186

Proceeds of Crime Act 2002

Proceeds of Crime Act 2002

(187)  Rättslig prövning är det rättsliga förfarande genom vilket ett offentligt organs beslut kan överklagas till överdomstolen (High Court). Domstolarna ”kontrollerar” det beslut som överklagas och avgör om det kan hävdas att beslutet är rättsligt felaktigt med beaktande av offentligrättsliga begrepp/principer. De viktigaste grunderna för domstolsprövningen är rättsstridighet, irrationalitet, förfarandefel, berättigade förväntningar och mänskliga rättigheter. Efter en framgångsrik rättslig prövning kan en domstol besluta om ett antal olika rättsmedel varav det vanligaste är en ogiltigförklaring (som skulle ogiltigförklara eller upphäva det ursprungliga beslutet – dvs. beslutet om att utfärda en husrannsakan) och i vissa fall kan detta även omfatta beviljande av ekonomisk ersättning. Ytterligare information om rättslig prövning i Förenade kungariket finns i publikationen från regeringens juridiska avdelning Judge Over Your Shoulder – a guide to good decisions, som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf

187

Judge Over Your Shoulder – a guide to good decisions

(188)  Avsnitt 36.1 i 2018 års dataskyddslag.

188

(189)  Avsnitt 37 i 2018 års dataskyddslag.

189

(190)  I avsnitt 263.1 i 2016 års lag om utredningsbefogenheter föreskrivs att med ”grovt brott” avses ett brott för vilket en vuxen, som inte tidigare har dömts, rimligen kan förväntas dömas till fängelse i 3 år eller mer eller att handlingen inbegriper våld, leder till betydande ekonomisk vinning eller begås av ett stort antal personer. När det gäller inhämtande av kommunikationsuppgifter enligt del 4 i 2016 års lag om utredningsbefogenheter föreskrivs dessutom i avsnitt 87.10B att med grovt brott avses ett brott för vilket ett fängelsestraff på 12 månader eller mer kan utdömas eller ett brott som begås av en person som inte är en enskild eller som en integrerad del av brottet innebär att en kommunikation skickas eller att en persons privatliv kränks.

190

(191)  Följande brottsbekämpande myndigheter kan ansöka om ett riktat beslut om avlyssning: Director General of the National Crime Agency, Commissioner of Police of the Metropolis, Chief Constable of the Police Service of Northern Ireland, Chief Constable of the Police Service of Scotland, Commissioner for Her Majesty’s Revenue and Customs, Chief of Defence Intelligence och en person som är behörig myndighet i ett land eller territorium utanför Förenade kungariket med avseende på ett EU-instrument för ömsesidigt bistånd eller ett internationellt avtal om ömsesidigt bistånd (avsnitt 18.1 i 2016 års lag om utredningsbefogenheter).

191

Director General of the National Crime Agency

Commissioner of Police of the Metropolis

Chief Constable of the Police Service of Northern Ireland

Chief Constable of the Police Service of Scotland

Commissioner for Her Majesty’s Revenue and Customs

Chief of Defence Intelligence

(192)  Se avsnitt 4 i 2016 års lag om utredningsbefogenheter.

192

(193)  Se avsnitt 261.5 i 2016 års lag om massutredningsbefogenheter och Code of Practice on Bulk Acquisition of Communications Data, som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, punkt 2.9.

193

Code of Practice on Bulk Acquisition of Communications Data

(194)  
  Code of Practice on Equipment Interference finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, punkt 2.2.

194

Code of Practice on Equipment Interference

(195)  Ett beslut om ömsesidigt bistånd ger en brittisk myndighet rätt att bistå en myndighet utanför Förenade kungarikets territorium för avlyssning och utlämnande av det avlyssnade materialet till en sådan myndighet i enlighet med ett internationellt instrument för ömsesidigt bistånd (avsnitt 15.4 i 2016 års lag om utredningsbefogenheter).

195

(196)  2016 års lag om utredningsbefogenheter (se https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) ersatte en annan lagstiftning om avlyssning av kommunikation, ingrepp i utrustning och inhämtande av kommunikationsuppgifter, särskilt del I i 2000 års lag om utredningsbefogenheter (RIPA) som innehöll den tidigare allmänna rättsliga ramen för brottsbekämpande och nationella säkerhetsmyndigheters användning av utredningsbefogenheter.

196

(197)  avsnitten 138.1, 158.1, 178.1, 199.1 i 2016 års lag om utredningsbefogenheter.

197

(198)  I del 2 kapitel 2 i 2016 års lag om utredningsbefogenheter föreskrivs ett begränsat antal fall där ingripanden kan verkställas utan beslut. Detta innefattar avlyssning med avsändarens eller mottagarens samtycke, avlyssning för administrativa ändamål eller verkställande ändamål, avlyssning som äger rum på vissa institutioner (fängelser, psykiatriska sjukhus och förvarsanläggningar för immigranter) samt avlyssning som utförs i enlighet med ett relevant internationellt avtal.

198

(199)  I de flesta fall är den ansvariga ministern den myndighet som utfärdar beslut enligt 2016 års lag om utredningsbefogenheter medan de skotska ministrarna har befogenhet att utfärda beslut om riktad avlyssning, beslut om ömsesidigt bistånd och beslut om riktat ingrepp i utrustning när de personer eller lokaler som det gäller och den utrustning som ingreppet ska ske i är belägna i Skottland (se avsnitten 22 och 103 i 2016 års lag om utredningsbefogenheter). Vid riktat ingrepp i utrustning kan chefer för brottsbekämpande myndigheter (som beskrivs i del 1 och del 2 i bilaga 6 till 2016 års lag om utredningsbefogenheter) utfärda beslutet enligt villkoren i avsnitt 106 i 2016 års lag om utredningsbefogenheter.

199

(200)  
  Judicial Commissioners bistår the Investigatory Powers Commissioner, ett oberoende organ som utövar tillsyn över underrättelsetjänsternas användning av utredningsbefogenheter (se skäl 162 ff. för mer information).

200

Judicial Commissioners

the Investigatory Powers Commissioner

(201)  Se särskilt avsnitten 19 och 23 i 2016 års lag om utredningsbefogenheter.

201

(202)  Avsnitt.36.3 i 2018 års dataskyddslag.

202

(203)  Avsnitt 56 i Digital Economy Act 2017, finns på följande länk: https://www.legislation.gov.uk/ukpga/2017/30/section/56

203

Digital Economy Act 2017

(204)  Avsnitt 48 i Digital Economy Act 2017.

204

Digital Economy Act 2017

(205)  Avsnitt 7 i Crime and Courts Act 2013, finns på följande länk: https://www.legislation.gov.uk/ukpga/2013/22/section/7

205

Crime and Courts Act 2013

(206)  Avsnitt 68 i Serious Crime Act 2007, finns på följande länk: https://www.legislation.gov.uk/ukpga/2007/27/contents

206

Serious Crime Act 2007

(207)  
  Authorised Professional Practice on Information Sharing, finns på följande länk: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

207

Authorised Professional Practice on Information Sharing

(208)  Se t.ex. målet M, R/Chief Constable of Sussex Police [2019] EWHC 975 (Admin), där överdomstolen (High Court) ombads att överväga utbyte av uppgifter mellan polisen och Business Crime Reduction Partnership (BCRP), en organisation som har befogenhet att förvalta system för undantag och som förbjuder personer att komma in i medlemmarnas affärslokaler. Domstolen granskade utbytet av uppgifter, som ägde rum på grundval av ett avtal som syftade till att skydda allmänheten och förebygga brott och kom slutligen fram till att de flesta aspekterna av datadelning var lagliga utom när det gäller viss känslig information som delas mellan polisen och de grundläggande rättigheterna. Ett annat exempel är målet Cooper/NCA [2019] EWCA Civ 16, där appellationsdomstolen bekräftade datadelningen mellan polisen och Serious Organised Crime Agency (SOCA), en brottsbekämpande myndighet som för närvarande ingår i NCA (nationella konkurrensmyndigheten).

208

Business Crime Reduction Partnership

(209)  Avsnitt 36.4 i 2018 års dataskyddslag.

209

(210)  
  Counter Terrorism Act 2008 finns på följande länk: https://www.legislation.gov.uk/ukpga/2008/28/section/19

210

Counter Terrorism Act 2008

(211)  
  Intelligence Services Act 1994 finns på följande länk: https://www.legislation.gov.uk/ukpga/1994/13/contents

211

Intelligence Services Act 1994

(212)  
  Security Services Act 1989 finns på följande länk: https://www.legislation.gov.uk/ukpga/1989/5/contents

212

Security Services Act 1989

(213)  I avsnitt 2.2 i Intelligence Service Act 1994 föreskrivs att ”chefen för underrättelsetjänsten ska ansvara för dess effektivitet och det ska vara hans eller hennes skyldighet att säkerställa a) att det finns arrangemang för att säkerställa att ingen information erhålls av underrättelsetjänsten utom i den mån det är nödvändigt för att den ska kunna utföra sina uppgifter på ett korrekt sätt och att ingen information lämnas ut av den utom i den mån det är nödvändigt i) för detta ändamål, ii) av hänsyn till den nationella säkerheten, iii) i syfte att förebygga eller upptäcka allvarliga brott, eller iv) i samband med straffrättsliga förfaranden och b) att underrättelsetjänsten inte vidtar några åtgärder för att främja ett politiskt partis intressen i Förenade kungariket” medan det i avsnitt 2.2 i Security Service Act 1989 föreskrivs att ”generaldirektören ska ansvara för tjänstens effektivitet och vara skyldig att se till a) att det finns arrangemang för att säkerställa att inga uppgifter erhålls av myndigheten utom i den mån det är nödvändigt för att den ska kunna utföra sina uppgifter på ett korrekt sätt eller om det är nödvändigt för detta ändamål eller för att förebygga eller avslöja] allvarliga brott eller brottslig verksamhet], b) att tjänsten inte vidtar några åtgärder för att främja något politiskt partis intressen, och c) att det finns arrangemang som överenskommits med Director General för National Crime Agency för att samordna myndighetens verksamhet i enlighet med avsnitt 1.4 i denna lag med polisens, National Crime Agency’s och andra brottsbekämpande organs verksamhet”.

213

Intelligence Service Act 1994

Security Service Act 1989

(214)  Se kapitel 5 i del 3 i 2018 års dataskyddslag.

214

(215)  Avsnitt 76 i 2018 års dataskyddslag.

215

(216)  Avsnitten 54 och 130 i 2016 års lag om utredningsbefogenheter. De utfärdande myndigheterna måste överväga behovet av att införa särskilda skyddsåtgärder för det material som överlämnas till utländska myndigheter, för att säkerställa att uppgifterna omfattas av skyddsåtgärder när det gäller lagring, förstöring och utlämnande av uppgifter liknande dem som föreskrivs i avsnitt 53 och avsnitt 129 i 2016 års lag om utredningsbefogenheter.

216

(217)  Avtal mellan Förenade konungariket Storbritannien, Nordirlands regering och Amerikas förenta staters regering om tillgång till elektroniska uppgifter för bekämpning av grov brottslighet, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf

217

(218)  Detta är den första överenskommelse som nåtts inom ramen för US Clarifying Lawful Overseas Use of Data Act (CLOUD Act). The United States CLOUD Act är en amerikansk federal lag som antogs den 23 mars 2018 och som genom en ändring av Stored Communications Act från 1986 klargör att amerikanska tjänsteleverantörer är skyldiga att följa Förenta staternas förelägganden om att lämna ut innehållsdata och icke-innehållsdata, oavsett var sådana data lagras. CLOUD Act gör det också möjligt att ingå verkställande avtal med utländska regeringar på grundval av vilka amerikanska tjänsteleverantörer skulle kunna leverera innehållsdata direkt till dessa utländska regeringar (texten till CLOUD Act, finns på följande länk: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf)

218

US Clarifying Lawful Overseas Use of Data Act

The United States CLOUD Act

Stored Communications Act

CLOUD Act

CLOUD Act

(219)  Artikel 1.14 i avtalet.

219

(220)  Artikel 5.2 i avtalet.

220

(221)  Artikel 5.1 i avtalet.

221

(222)  Artikel 4.5 i avtalet. En ytterligare och strängare standard gäller för avlyssning i realtid enligt följande: Besluten måste ha begränsad varaktighet som inte får vara längre än vad som rimligen är nödvändigt för att uppnå syftet med ordern och ska endast utfärdas om samma information inte rimligen kunde erhållas genom en mindre ingripande metod (artikel 5.3 i avtalet).

222

(223)  Avtal mellan Amerikas förenta stater och Europeiska unionen om skydd av personuppgifter i samband med förebyggande, utredning, upptäckt och lagföring av brott, EUT L 336, 10.12.2016, s. 3, finns på följande länk: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:22016A1210(01)&from=EN

223

(224)  Artikel 9.1 i avtalet.

224

(225)  Artikel 9.1 i avtalet.

225

(226)  Avsnitt 116 i 2018 års dataskyddslag.

226

(227)  Se 2016 års lag om utredningsbefogenheter och särskilt kapitel 1 del 8.

227

(228)  Punkt 2 i tillägg 13 till 2018 års dataskyddslag.

228

(229)  Förelägga den personuppgiftsansvariga och personuppgiftsbiträdet (och under vissa omständigheter varje annan person) att lämna nödvändig information (avsnitt 142 i 2018 års dataskyddslag).

229

(230)  Tillåta utredningar och revisioner, vilket kan kräva att den personuppgiftsansvariga eller personuppgiftsbiträdet ger the Commissioner tillträde till särskilda lokaler, inspekterar eller undersöker handlingar eller utrustning, frågar ut personer som behandlar personuppgifter för den personuppgiftsansvarigas räkning (avsnitt 146 i 2018 års dataskyddslag).

230

the Commissioner

(231)  Tillåta utövandet av korrigerande befogenheter, vilket kräver att personuppgiftsansvariga/personuppgiftsbiträden vidtar eller avstår från att vidta specificerade åtgärder (avsnitt 149 i 2018 års dataskyddslag).

231

(232)  Avsnitt 154 i 2018 års dataskyddslag.

232

(233)  Avsnitt 155 i 2018 års dataskyddslag.

233

(234)  
  Regulatory Action Policy, se fotnot 96.

234

Regulatory Action Policy

(235)  
  Information Commissioner’s Annual Report and Financial Statements 2018-19, se fotnot 101.

235

Information Commissioner’s Annual Report and Financial Statements 2018-19

(236)  
  Information Commissioner’s Annual Report and Financial Statements 2019-20, se fotnot 82.

236

Information Commissioner’s Annual Report and Financial Statements 2019-20

(237)  En databas med uppgifter om påstådda gruppmedlemmar och offer för gängrelaterade brott.

237

(238)  Se ICO:s uttalande som finns på följande länk: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc/

238

(239)  Avsnitt 170 i 2018 års dataskyddslag.

239

(240)  Avsnitt 171 i 2018 års dataskyddslag.

240

(241)  Avsnitt 119.6 i 2018 års dataskyddslag.

241

(242)  Under det räkenskapsår som omfattade perioden 1 april 2019–31 mars 2020 har de utredningar som genomförts av ICO lett till fyra varningar och åtta åtal. Dessa ärenden lagfördes enligt avsnitt 55 i dataskyddslagen från 1998, avsnitt 77 i Freedom of Information Act 2000 och avsnitt 170 i 2018 års dataskyddslag. I 75 % av fallen har de tilltalade gjort gällande att det inte är nödvändigt med utdragna rättegångar med tillhörande kostnader (Information Commissioner’s Annual Report and Financial Statements 2019/2020, se fotnot 87, s. 40).

242

Freedom of Information Act 2000

Information Commissioner’s Annual Report and Financial Statements

(243)  
  Biometrics Commissioner inrättades genom Protection of Freedoms Act 2012 (se https://www.legislation.gov.uk/ukpga/2012/9/contents). Biometrics Commissioner avgör bland annat om polisen får behålla DNA-profiler och fingeravtryck från personer som gripits men inte åtalats för ett kvalificerat brott (avsnitt 63G i PACE 1984). Dessutom har the Biometric Commissioner ett allmänt ansvar för att se över lagringen och användningen av DNA och fingeravtryck och lagringen av nationella säkerhetsskäl (avsnitt 20.2 i POFA 2012). The Biometric Commissioner utses enligt Code for Public Appointments (koden finns på följande länk: https://www.gov.uk/government/publications/governance-code-for-public-appointments ) och villkoren för utnämningen klargör att han eller hon endast kan avsättas av inrikesministern enligt en snävt definierad uppsättning av omständigheter, bland annat underlåtenhet att fullgöra sina skyldigheter i tjänsten under en period av tre månader, fällande dom för ett brott eller underlåtenhet att uppfylla villkoren för utnämning.

243

Biometrics Commissioner

Protection of Freedoms Act 2012

the Biometric Commissioner

The Biometric Commissioner

Code for Public Appointments

(244)  
  The Surveillance Camera Commissioner inrättades genom Protection of Freedoms Act 2012 och har till uppgift att främja efterlevnaden av the Surveillance Camera Code of Practice, se över hur denna praxis fungerar och ge råd till ministrarna om huruvida denna praxis behöver ändras. The Commissioner utnämns enligt samma regler som the Biometrics Commissioners och har liknande befogenheter, resurser och skydd mot avsättning.

244

The Surveillance Camera Commissioner

Protection of Freedoms Act 2012

the Surveillance Camera Code of Practice

The Commissioner

the Biometrics Commissioners

(245)  Se https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised/

245

(246)  De utvalda utskotten, inklusive Home Affairs Select Committee, omfattas av underhusets arbetsordning. Arbetsordningen är de regler som underhuset har enats om för parlamentets verksamhet. De utvalda utskotten har ett brett ansvarsområde. I artikel 152.1 i arbetsordningen föreskrivs att ”de särskilda utskotten ska utses för att granska utgifter, administration och politik i de viktigaste regeringsministerierna i enlighet med vad som anges i punkt 2 i denna förordning och associerade offentliga organ”. Detta gör det möjligt för Home Affairs Select Committee att granska all politik som förvaltas av inrikesministeriet och som omfattar politik (och tillhörande lagstiftning) om utredningsbefogenheter. I artikel 152.4 i arbetsordningen klargörs dessutom att utskotten har olika befogenheter, bland annat förmågan att begära att personer avlägger vittnesmål eller handlingar i en viss fråga och att utarbeta rapporter. Kommitténs aktuella och tidigare frågor finns på följande länk: https://committees.parliament.uk/committee/83/home-affairs-committee/.

246

Home Affairs Select Committee

(247)  Befogenheterna för Home Affairs Select Committee in England and Wales anges i underhusets arbetsordning som finns på följande länk: https://www.parliament.uk/business/publications/commons/standing-orders-public11/.

247

Home Affairs Select Committee in England and Wales

(248)  Finns på följande länk: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm.

248

(249)  Finns på följande länk: https://committees.parliament.uk/committee/83/home-affairs-committee.

249

(250)  Arbetsordningen för the Justice Subcommittee on Policing in Scotland finns på följande länk https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx och reglerna för the Committee of Justice i Nordirland finns på följande länk: http://www.niassembly.gov.uk/assembly-business/standing-orders/].

250

the Justice Subcommittee on Policing in Scotland

the Committee of Justice

(251)  ICO:s senaste årsrapport innehåller en uppdelning av de mottagna och avslutade klagomålens art. Framför allt uppgår antalet mottagna klagomål för ”polis- och kriminalregister” till 6 % av det totala antalet mottagna klagomål (en ökning med 1 % jämfört med föregående budgetår). Årsrapporten visar också att klagomål som rör ansökningar om tillgång till ämnen står för det högsta antalet (46 % av det totala antalet klagomål med en ökning med 8 % jämfört med föregående budgetår) (Årsrapport för ICO 2019–2020, s. 55, se fotnot 88).

251

(252)  I avsnitt 166 i 2018 års dataskyddslag hänvisas särskilt till följande situationer: a) The Commissioner underlåter att vidta lämpliga åtgärder för att besvara klagomålet, b) han eller hon underlåter att informera den klagande om hur ärendet fortskrider eller om resultatet av klagomålet före utgången av den period på 3 månader som började vid mottagandet av klagomålet eller c) om hans eller hennes behandling av klagomålet inte avslutas under den perioden inte ger klaganden sådan information under en senare period på 3 månader.

252

The Commissioner

(253)  
  The First Tier Tribunal är behörig att handlägga överklaganden av beslut som fattats av statliga tillsynsorgan. När det gäller ett beslut av the Information Commissioner är den behöriga avdelningen ”General Regulatory Chamber” som är behörig i hela Förenade kungariket.

253

The First Tier Tribunal

the Information Commissioner

(254)  Avsnitt 166 i 2018 års dataskyddslag. Exempel på framgångsrika åtgärder mot ICO vid domstolen är ett fall där ICO bekräftade mottagandet av ett klagomål från en registrerad men inte angav vilka åtgärder den avsåg att vidta och därför beordrades att inom 21 kalenderdagar bekräfta huruvida den skulle utreda klagomålen och, om så var fallet, informera klaganden om hur utredningen fortskrider minst var 21:e kalenderdag (domen har ännu inte offentliggjorts) och ett ärende där the First Tier Tribunal ansåg att det var oklart om det var fråga om ett svar från ICO till en klagande utgjorde ”resultatet” av klagomålet (se Susan Milne/The Information Commissioner [2020], domen finns på följande länk: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf)

254

the First Tier Tribunal

(255)  Avsnitten 162 och 163 i 2018 års dataskyddslag.

255

(256)  Se till exempel Brown/Commissioner of Police of the Metropolis [2019] EWCA Civ 1724 där skadestånd på 9 000 pund utdömdes enligt dataskyddslagen från 1998 och Human Rights Act 1998 för olagligt inhämtande och missbruk av personuppgifter och R (on the application of Bridges)/Chief Constable of South Wales [2020] EWCA Civ 1058 där appellationsdomstolen förklarade att det var olagligt att använda ett system för ansiktsigenkänning av walesiska polisen eftersom det stred mot artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och den konsekvensbedömning avseende dataskydd som gjorts av den personuppgiftsansvariga inte uppfyllde 2018 års dataskyddslag.

256

Human Rights Act 1998

(257)  I artikel 34 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna föreskrivs att ”domstolen får ta emot ansökningar från personer, icke-statliga organisationer eller grupper av enskilda som påstår sig ha blivit utsatta för en kränkning från någon av de höga fördragsslutande parterna av de rättigheter som anges i konventionen eller dess protokoll. De höga fördragsslutande parterna förbinder sig att inte på något sätt hindra ett effektivt utövande av denna rättighet”.

257

(258)  MI5 lyder under inrikesministern. I Security Services Act 1989 anges MI5:s uppgifter som är att skydda den nationella säkerheten (inbegripet skydd mot hot från spionage, terrorism och sabotage från verksamhet som bedrivs av utländska makter och från åtgärder som syftar till att störta eller undergräva den parlamentariska demokratin med politiska, industriella eller våldsamma medel), skydda Förenade kungarikets ekonomiska välstånd mot externa hot och stödja polisens och andra brottsbekämpande organs verksamhet för att förebygga och upptäcka allvarliga brott.

258

Security Services Act 1989

(259)  SIS lyder under utrikesministern och dess funktioner fastställs i Intelligence Services Act 1994. Dess uppgifter är att inhämta och tillhandahålla information om handlingar eller avsikter för personer utanför de brittiska öarna och att utföra andra uppgifter som rör dessa personers handlingar eller avsikter. Dessa funktioner kan endast utövas med hänsyn till den nationella säkerheten, till förmån för Förenade kungarikets ekonomiska välstånd eller till att förebygga eller upptäcka allvarliga brott.

259

Intelligence Services Act 1994

(260)  GCHQ lyder under utrikesministern och dess funktioner fastställs i Intelligence Services Act 1994. Dessa är a) att övervaka, använda eller göra ingrepp i elektromagnetisk och annan emission och utrustning som producerar sådan emission, att erhålla och tillhandahålla information som härrör från eller rör sådana emissioner eller sådan utrustning och från krypterat material, b) ge råd och stöd om språk, inbegripet terminologi som används i tekniska frågor och kryptografi och andra frågor som rör skydd av information till försvarsmakten, till regeringen eller andra organisationer eller personer som anses lämpliga. Dessa funktioner kan endast utövas med hänsyn till den nationella säkerheten, till förmån för Förenade kungarikets ekonomiska välstånd i förhållande till handlingar eller avsikter för personer utanför de brittiska öarna eller till stöd för förebyggande eller upptäckt av allvarliga brott.

260

Intelligence Services Act 1994

(261)  Andra offentliga organ som utför uppgifter som är relevanta för den nationella säkerheten är Defence Intelligence (DI), National Security Council and Secretariat, Joint Intelligence Organisation och Joint Intelligence Committee. Varken Joint Intelligence Committee eller Joint Intelligence Organisation kan dock utnyttja utredningsbefogenheterna inom ramen för 2016 års lag om utredningsbefogenheter medan Defence Intelligence har begränsade möjligheter att utöva sina befogenheter.

261

Defence Intelligence

National Security Council and Secretariat

Joint Intelligence Organisation

Joint Intelligence Committee

Defence Intelligence

(262)  Förbudet gäller både offentliga och privata kommunikationsnät samt den offentliga posttjänsten när avlyssningen sker i Förenade kungariket. Förbudet gäller inte den personuppgiftsansvariga för det privata nätverket om den personuppgiftsansvariga har gett uttryckligt eller underförstått samtycke till att avlyssningen utförs (avsnitt 3 i 2016 års lag om utredningsbefogenheter).

262

(263)  I särskilda begränsade fall är laglig avlyssning utan beslut möjlig, dvs. när avlyssning sker med avsändarens eller mottagarens samtycke (avsnitt 44 i 2016 års lag om utredningsbefogenheter), vid begränsade administrativa ändamål eller verkställighetsändamål (avsnitten 45–48 i 2016 års lag om utredningsbefogenheter), vid vissa särskilda institutioner (avsnitten 49–51 i 2016 års lag om utredningsbefogenheter) och i enlighet med framställningar från andra länder (avsnitt 52 i 2016 års lag om utredningsbefogenheter).

263

(264)  När det till exempel gäller tillämpningsområdet för sådana åtgärder är åtgärdens tillämpningsområde enligt delarna 3 och 4 (lagring och inhämtande av kommunikationsuppgifter) strikt begränsad till definitionen av ”telekommunikationsoperatörer”, vars användares uppgifter omfattas av åtgärden. Ett annat exempel är ”massbefogenheter”. I detta fall begränsas tillämpningsområdet för dessa befogenheter till ”kommunikation som sänts eller mottagits av enskilda personer utanför den brittiska ön”.

264

(265)  I tillägg 7 till 2016 års lag om utredningsbefogenheter fastställs uppförandekodernas tillämpningsområde, det förfarande som ska följas vid utfärdandet av dem, reglerna för översyn av dem och kodernas verkan.

265

(266)  Riktlinjerna för uppförandekoderna inom ramen för 2016 års lag om utredningsbefogenheter, finns på följande länk: https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice.

266

(267)  Domstolarna och tribunalerna använder uppförandekoderna för att bedöma om myndigheternas agerande är lagenligt. Se exempelvis följande: Dias/Cleveland Police, [2017] UKIPTrib15_586-CH, där tribunalen för utredningsbefogenheter (Investigatory Powers Tribunal) hänvisade till specifika avsnitt i uppförandekoden om kommunikationsuppgifter för att förstå definitionen av grunden ”förebygga eller upptäcka brott eller förebygga störningar” som används för att ansöka om inhämtande av kommunikationsuppgifter. Koden ingick i motiveringen för att fastställa huruvida denna grund hade använts på ett felaktigt sätt. Domstolen slog därefter fast att de omtvistade beteendena var rättsstridiga. Domstolarna har också utvärderat skyddsnivån i lagarna, se t.ex. Just for Law Kids/Secretary of State for the Home Department [2019] EWHC 1772 (Admin), där överdomstolen (High Court) fann att primär- och sekundärrätten tillsammans med den interna vägledningen gav tillräckliga garantier. Eller R (National Council for Civil Liberties)/Secretary of State for the Home Department & Annor [2019] EWHC 2057 (Admin) där den fann att både 2016 års lag om utredningsbefogenheter och uppförandekoden om ingrepp i utrustning innehöll tillräckliga bestämmelser om behovet av specifika fullmakter.

267

(Investigatory Powers Tribunal)

(268)  I målet Big Brother Watch konstaterade Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen) att ”IC-koden är en offentlig handling som har antagits av båda kamrarna i parlamentet och offentliggörs av regeringen på nätet och i en tryckt version, som måste beaktas både av de personer som utövar avlyssningsbefogenheter och av domstolarna (se punkterna 93–94). Till följd av detta har domstolen godtagit att dess bestämmelser får beaktas i bedömningen av förutsägbarheten hos lagen om utredningsbefogenheter (se Kennedy, citerad ovan, § 157). Domstolen godtog således att den inhemska lagstiftningen var tillräckligt ’tillgänglig’
  ” (se Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen), Big Brother Watch m.fl./United Kingdom, ansökningar nr 58170/13, 62322/14 och 24960/15 av den 25 maj 2021, punkt 366).

268

(269)  Del 2 i 2016 års lag om utredningsbefogenheter.

269

(270)  Del 3 i 2016 års lag om utredningsbefogenheter.

270

(271)  Del 4 i 2016 års lag om utredningsbefogenheter.

271

(272)  Del 5 i 2016 års lag om utredningsbefogenheter.

272

(273)  En förteckning över relevanta brottsbekämpande myndigheter som kan tillämpa riktade utredningsbefogenheter inom ramen för 2016 års lag om utredningsbefogenheter finns i fotnot (139).

273

(274)  Avsnitt 136 i 2016 års lag om utredningsbefogenheter.

274

(275)  Avsnitt 158 i 2016 års lag om utredningsbefogenheter.

275

(276)  Avsnitt 176 i 2016 års lag om utredningsbefogenheter.

276

(277)  Avsnitt 199 i 2016 års lag om utredningsbefogenheter.

277

(278)  I uppförandekoden om avlyssning av kommunikation anges att andra delar av proportionalitetsprövningen är ”i) omfattningen av det föreslagna intrånget i privatlivet i förhållande till vad som är avsett att uppnås, ii) hur och varför de metoder som ska antas kommer att orsaka minsta möjliga ingrepp för personen och andra, iii) huruvida verksamheten är en lämplig användning av lagen och ett rimligt sätt att, efter att ha övervägt alla rimliga alternativ, uppnå det som eftersträvas, iv) vilka andra metoder, beroende på vad som är lämpligt, som antingen inte har genomförts eller har använts men som bedöms vara otillräckliga för att uppfylla de operativa målen utan användning av den föreslagna utredningsbefogenheten”. Uppförandekoden om avlyssning av kommunikation, punkt 4.16, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf.

278

(279)  Se uppförandekoden om avlyssning av kommunikation, punkterna 4.12 och 4.15, som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf.

279

(280)  Se uppförandekoden om avlyssning av kommunikation, punkt 4.16.

280

(281)  Avslutande uppdragsrapport från den särskilda rapportören om rätten till integritet vid avslutande av hans eller hennes uppdrag i Förenade konungariket Storbritannien och Nordirland och den finns på följande länk: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, punkt 1.a.

281

(282)  Avsnitt 15.2 i 2016 års lag om utredningsbefogenheter.

282

(283)  Avsnitt 15.4 i 2016 års lag om utredningsbefogenheter.

283

(284)  Avsnitt 15.2 i 2016 års lag om utredningsbefogenheter.

284

(285)  Sekundära uppgifter är uppgifter som bifogas eller logiskt förknippas med den avlyssnade kommunikationen, kan logiskt skiljas från den och skulle, om de vore åtskilda på detta sätt, inte avslöja något av vad som rimligen kan anses vara innebörden av meddelandet (i förekommande fall). Några exempel på sekundära data är routerkonfigurationer, brandväggar eller den tidsperiod under vilken en router har varit aktiv i ett nätverk som den ingår i, är kopplad till eller är logiskt förknippad med avlyssnad kommunikation. För närmare uppgifter se definitionen i avsnitt 16 i 2016 års lag om utredningsbefogenheter och uppförandekoden om avlyssning av kommunikation, punkt 2.19, se fotnot 278.

285

(286)  Denna granskning görs som ett undantag i avsnitt 152.4 i 2016 års lag om utredningsbefogenheter där det föreskrivs ett förbud mot att försöka identifiera enskilda personer som befinner sig på de brittiska öarna. Se skäl 229.

286

(287)  
  The Scottish Minister godkänner beslutet när det avser grov brottslig verksamhet i Skottland (se avsnitt 21 och avsnitt 22 i 2016 års lag om utredningsbefogenheter) medan en högre tjänsteman kan utses av den ansvariga ministern för att utfärda ett beslut om ömsesidigt bistånd när det visar sig att avlyssningen kommer att gälla en person eller lokaler utanför Förenade kungariket (avsnitt 40 i 2016 års lag om utredningsbefogenheter).

287

The Scottish Minister

(288)  Avsnitten 19 och 23 i 2016 års lag om utredningsbefogenheter.

288

(289)  Avsnitt 32 i 2016 års lag om utredningsbefogenheter.

289

(290)  Avsnitt 39 i 2016 års lag om utredningsbefogenheter. Begränsade ändringar av beslut kan göras av föreskrivna personer på de villkor som anges i 2016 års lag om utredningsbefogenheter. Den person som utfärdade beslutet kan när som helst upphäva det. De ska göra detta om beslutet inte längre är nödvändig av relevanta skäl eller om det beteende som bemyndigats genom beslutet inte längre står i proportion till vad som eftersträvas.

290

(291)  Avsnitt 33 i 2016 års lag om utredningsbefogenheter. Beslutet att förnya beslutet måste godkännas av en Judicial Commissioner.

291

Judicial Commissioner

(292)  Avsnitt 19 i 2016 års lag om utredningsbefogenheter.

292

(293)  När det gäller begreppet ”Förenade kungarikets ekonomiska välfärdsintressen” när dessa intressen också är relevanta för den nationella säkerheten”, ansåg Europadomstolens i målet Big Brother Watch (punkt 371) att detta begrepp var tillräckligt inriktat på nationell säkerhet (se fotnot 268). Domstolens slutsats i detta mål rörde tillämpningen av detta begrepp i 2000 års lag om utredningsbefogenheter, men samma begrepp används i 2016 års lag om utredningsbefogenheter.

293

(294)  Avsnitt 20.2 i 2016 års lag om utredningsbefogenheter.

294

(295)  Avsnitt 20.3 i 2016 års lag om utredningsbefogenheter.

295

(296)  Avsnitten 19.1 b, 19.2 b och 19.3 b i 2016 års lag om utredningsbefogenheter.

296

(297)  Den begärda informationen omfattar uppgifter om bakgrunden (beskrivning av personer/organisationer/uppsättningar av lokaler, den kommunikation som ska avlyssnas) och hur inhämtandet av dessa uppgifter kommer att gynna utredningen samt en beskrivning av det beteende som ska godkännas. Om det inte är möjligt att beskriva personerna/organisationen/lokalerna måste en förklaring lämnas om varför det inte var möjligt eller varför endast en allmän beskrivning gjordes (uppförandekoden om avlyssning av kommunikation, punkterna 5.32 och 5.34, se fotnot 278).

297

(298)  Avsnitt 17.2 i 2016 års lag om utredningsbefogenheter. Se även uppförandekoden för avlyssning av kommunikation, punkt 5.11 och följande, se fotnot 278.

298

(299)  Avsnitten 31.4 och 5 i 2016 års lag om utredningsbefogenheter.

299

(300)  Avsnitt 31.8 i 2016 års lag om utredningsbefogenheter.

300

(301)  
  Code of Practice on Interception of Communications, punkterna 5.37 och 5.38, se fotnot 278.

301

Code of Practice on Interception of Communications

(302)  Ett godkännande av en rättslig myndighet krävs inte när den ansvariga ministern anser att det finns ett brådskande behov av att utfärda beslutet (avsnitt 19.1 i 2016 års lag om utredningsbefogenheter). The Judicial Commissioner måste dock informeras på kort tid och måste besluta om huruvida beslutet ska godkännas eller inte. Om så inte är fallet upphör beslutet att gälla (avsnitten 24 och 25 i 2016 års lag om utredningsbefogenheter).

302

The Judicial Commissioner

(303)  Avsnitt 23.1 i 2016 års lag om utredningsbefogenheter.

303

(304)  Avsnitt 23.2 i 2016 års lag om utredningsbefogenheter.

304

(305)  Se avsnitten 44–51 i 2016 års lag om utredningsbefogenheter och avsnitt 12 i Interception Communication Code of Practice (se fotnot 278).

305

Interception Communication Code of Practice

(306)  Så är t.ex. fallet om avlyssning är nödvändig vid en psykiatrisk klinik eller i ett fängelse (för att övervaka en anhållen persons eller en patients beteende) eller av en post- eller telekommunikationsoperatör, t.ex. för att upptäcka kränkande innehåll.

306

(307)  Se motsatsvis avsnitt 229.4 i lagen om utredningsbefogenheter.

307

(308)  I avsnitten 26–29 i 2016 års lag om utredningsbefogenheter införs begränsningar för att erhålla beslut om riktad avlyssning och granskning i samband med avlyssning av kommunikation som sänds av eller är avsedd för en person som är parlamentsledamot (vilket som helst av Förenade kungarikets parlament), avlyssning av saker som omfattas av rättsliga privilegier, avlyssning av kommunikation som den avlyssnande myndigheten anser kommer att vara kommunikation som innehåller konfidentiellt journalistiskt material och när syftet med beslutet är att identifiera eller bekräfta en källa till journalistisk information.

308

(309)  Avsnitt 26 i 2016 års lag om utredningsbefogenheter.

309

(310)  Avsnitt 19.1 i 2016 års lag om utredningsbefogenheter.

310

(311)  Avsnitt 54 i 2016 års lag om utredningsbefogenheter. Skyddsåtgärder avseende utlämnande av material till utländska myndigheter beskrivs närmare i uppförandekoderna: se särskilt punkt 9.26 ff. samt punkt 9.87 i uppförandekoden om avlyssning av kommunikation och punkt 9.33 ff. samt punkt 9.41 i uppförandekoden om ingrepp i utrustning (se fotnot 278).

311

(312)  Dessa ändamål är att säkerhetstjänsten ska förebygga eller upptäcka allvarliga brott eller straffrättsliga förfaranden (avsnitt 2.2 a i Security Services Act 1989), att underrättelsetjänsten ska skydda den nationella säkerheten, förebygga eller upptäcka allvarliga brott eller straffrättsliga förfaranden (avsnitt 2.2 a i Intelligence Services Act 1994) och att Government Communications Headquarters svarar för alla straffrättsliga förfaranden (avsnitt 4.2 a i Intelligence Services Act 1994). Se även de förklarande anmärkningarna till 2018 års dataskyddslag, som finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted.

312

Security Services Act 1989

Intelligence Services Act 1994

Government Communications Headquarters

Intelligence Services Act 1994

(313)  Kommunikationsuppgifter definieras i avsnitt 261.5 till 2016 års lag om utredningsbefogenheter. Kommunikationsuppgifter delas upp i ”händelsedata” (alla data som identifierar eller beskriver en händelse, oavsett om det sker genom hänvisning till dess lokalisering, i eller med hjälp av ett telekommunikationssystem där händelsen består av en eller flera enheter som bedriver en specifik verksamhet vid en viss tidpunkt) och ”enhetsuppgifter” (alla data som a) rör i) en enhet, ii) en koppling mellan en telekommunikationstjänst och en enhet eller iii) en koppling mellan någon del av ett telekommunikationssystem och en enhet som b) består av eller inkluderar data som identifierar eller beskriver en enhet (oavsett om det är med hänvisning till enhetens plats eller inte) och c) inte är händelseuppgifter).

313

(314)  Detta följer av definitionen av kommunikationsdata i avsnitt 261.5 i 2016 års lag om utredningsbefogenheter enligt vilken kommunikationsuppgifter innehas eller erhålls av en teleoperatör och avser antingen användaren av en telekommunikationstjänst och tillhandahållandet av denna tjänst, eller omfattas av, ingår som en del av, fogas till eller logiskt förknippas med en kommunikation (se även Code of Practice on Communications Data som finns på följande länk https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, punkterna 2.22–2.33). Dessutom kräver definitionen av teleoperatör i avsnitt 261.10 i 2016 års lag om utredningsbefogenheter att en teleoperatör är en person som erbjuder eller tillhandahåller en telekommunikationstjänst till personer i Förenade kungariket eller som kontrollerar eller tillhandahåller ett telekommunikationssystem som (helt eller delvis) är beläget i eller kontrolleras från Förenade kungariket. Dessa definitioner klargör att skyldigheter enligt 2016 års lag om utredningsbefogenheter inte kan åläggas teleoperatörer vilkas utrustning inte finns i eller kontrolleras från Förenade kungariket och som inte erbjuder eller tillhandahåller tjänster till personer i Förenade kungariket (se även Code of Practice on Communications Data, punkt 2.1). Om EU-abonnenter (oavsett om de befinner sig i EU eller i Förenade kungariket) använde sig av tjänster i Förenade kungariket skulle all kommunikation i samband med tillhandahållandet av denna tjänst samlas in direkt av tjänsteleverantören i Förenade kungariket i stället för att bli föremål för en överföring från EU.

314

Code of Practice on Communications Data

Code of Practice on Communications Data

(315)  De berörda myndigheterna förtecknas i bilaga 4 till 2016 års lag om utredningsbefogenheter och omfattar polisen, underrättelsetjänsterna, vissa ministerier och regeringsministerier, National Crime Agency, Her Majesty’s Revenue and Customs, Competition and Markets Authority, the Information Commissioner, ambulans, brand- och räddningstjänster samt myndigheter på området för hälsa och livsmedelssäkerhet.

315

National Crime Agency

Her Majesty’s Revenue and Customs

Competition and Markets Authority

the Information Commissioner

(316)  Förenade målen C-203/15 och C-698/15, Tele2/Watson, ECLI:EU:C:2016:970).

316

(317)  Se avsnitt 61.7 b vad gäller inhämtande av kommunikationsuppgifter och avsnitt 87.10A för lagring av kommunikationsuppgifter.

317

(318)  Avsnitt 60A.6 i 2016 års lag om utredningsbefogenheter.

318

(319)  Denna period förkortas till tre dagar om tillståndet ges av brådskande skäl (avsnitt 65.3 A i 2016 års lag om utredningsbefogenheter).

319

(320)  Enligt avsnitt 65 i 2016 års lag om utredningsbefogenheter kommer det förnyade tillståndet att gälla i en månad från och med den dag då det nuvarande tillståndet löper ut. Den som har beviljat tillståndet kan när som helst upphäva tillståndet om den anser att kraven inte längre är uppfyllda.

320

(321)  Avsnitt 60A.1 i 2016 års lag om utredningsbefogenheter. Office for Communications Data Authorisations (OCDA) fullgör denna arbetsuppgift på uppdrag av the Investigatory Powers Commissioner (se Communication Data Codes of Practice, punkt 5.6)

321

Office for Communications Data Authorisations

the Investigatory Powers Commissioner

Communication Data Codes of Practice

(322)  Ansökan enligt avsnitt 61.7 b i 2016 års lag om utredningsbefogenheter görs för ”ett tillämpligt brottsändamål” enligt avsnitt 61.7 A i 2016 års lag om utredningsbefogenheter ”om kommunikationsuppgifterna helt eller delvis är uppgifter om händelser, syftet att förebygga eller upptäcka allvarlig brottslighet, i alla andra fall, syftet att förebygga eller upptäcka brott eller förebygga störningar”.

322

(323)  I uppförandekoden för kommunikationsuppgifter anges följande: ”Om en ansökan som rör nationell säkerhet kan göras enligt antingen avsnitt 60A eller avsnitt 61, är det de enskilda myndigheterna som avgör vilken tillståndsväg som är lämpligast i varje enskilt fall. Myndigheter som vill använda den utsedda vägen för högre tjänstemän bör ha tydliga riktlinjer för när denna tillståndsväg är lämplig” (Code of Practice on Communication Data, punkt 5. 19 som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf).

323

Code of Practice on Communication Data

(324)  Avsnitt 70.3 i 2016 års lag om utredningsbefogenheter innehåller en definition av ”utsedd tjänsteman” som varierar beroende på relevant myndighet (enligt bilaga 4 till 2016 års lag om utredningsbefogenheter).

324

(325)  Närmare uppgifter om den utsedda högre tjänstemannens oberoende ges i uppförandekoden för kommunikationsuppgifter (Code of Practice on Communications Data, punkterna 4.12–4.17, se fotnot 323).

325

Code of Practice on Communications Data,

(326)  Grunderna är i) nationell säkerhet, ii) förebyggande eller avslöjande av brott eller förebyggande av störningar (vid ”händelsedata” endast allvarliga brott), iii) av hänsyn till Förenade kungarikets ekonomiska välstånd i den mån dessa intressen även är relevanta för den nationella säkerheten, iv) av hänsyn till allmän säkerhet, v) i syfte att förhindra dödsfall eller personskada eller skada på en persons fysiska eller psykiska hälsa eller för att lindra skador på en persons fysiska eller psykiska hälsa, vi) bistå vid utredningar av påstådda justitiemord eller vii) identifiera en avliden person eller person som inte kan identifiera sig på grund av ett visst villkor (avsnitt 61 (7) i 2016 års lag om utredningsbefogenheter).

326

(327)  Avsnitt 60A 1 b i 2016 års lag om utredningsbefogenheter.

327

(328)  Uppförandekoden för kommunikationsuppgifter, punkt 3.3 och följande, se fotnot 323.

328

(329)  Uppförandekoden för kommunikationsuppgifter, punkt 3.13, se fotnot 323.

329

(330)  Avsnitt 60.1 c i 2016 års lag om utredningsbefogenheter.

330

(331)  Denna information ska innehålla i) en översikt över hur inhämtandet av uppgifterna kommer att vara till nytta för utredningen eller verksamheten, ii) en förklaring av relevansen av de begärda tidsperioderna, inbegripet hur dessa perioder står i proportion till den händelse som utreds, iii) en förklaring av hur intrångsnivån är motiverad med hänsyn till den nytta som uppgifterna kommer att ge undersökningen (denna motivering bör omfatta frågan om mindre inkräktande undersökningar skulle kunna genomföras för att uppnå målet), iv) en bedömning av den enskildes rättigheter (särskilt rätten till privatliv och, i förekommande fall, yttrandefrihet) och en avvägning mellan dessa rättigheter och nyttan för utredningen och v) uppgifter om vilka säkerhetsintrång som kan uppstå och hur de begärda tidsperioderna påverkar intrång i säkerheten (Code of Practice on Communications Data, punkterna 3.22–3.26, se fotnot 323).

331

Code of Practice on Communications Data

(332)  Se fotnot 313.

332

(333)  När mer inkräktande kommunikationsuppgifter efterfrågas (dvs. händelsedata) anges det i koden att det är lämpligare att inhämta de första enhetsuppgifterna eller att direkt förvärva händelsedata i begränsade brådskande fall (Code of Practice on Communications Data, punkterna 6.10–6.14, se fotnot 323).

333

Code of Practice on Communications Data

(334)  
  Code of Practice on Communications Data, punkterna 8.8–8.44, se fotnot 323.

334

Code of Practice on Communications Data

(335)  I riktlinjerna anges att ”den tillståndsgivande personen måste vara särskilt uppmärksam när denne prövar sådana ansökningar, inbegripet ytterligare överväganden om huruvida det kan finnas oavsiktliga konsekvenser av sådana tillämpningar och om det allmänna intresset bäst tillgodoses genom tillämpningen” (punkt 8.8 i Code of Practice on Communications Data). Dessutom måste anteckningar föras för denna typ av ansökningar och vid nästa inspektion bör sådana ansökningar märkas för att uppmärksamma Investigatory Powers Commissioner (Code of Practice on Communications Data, punkt 8.10, se fotnot 323).

335

Code of Practice on Communications Data

Investigatory Powers Commissioner

Code of Practice on Communications Data

(336)  Avsnitten 87–89 i 2016 års lag om utredningsbefogenheter.

336

(337)  Enligt avsnitt 90 i 2016 års lag om utredningsbefogenheter kan en teleoperatör som mottar ett föreläggande om lagring begära att den utfärdande ministern ska ompröva det.

337

(338)  Enligt avsnitt 87.2 a i 2016 års lag om utredningsbefogenheter kan ett föreläggande om lagring dock avse ”en viss operatör eller en beskrivning av operatörer”.

338

(339)  Ändamålen är i) hänsyn till nationell säkerhet, ii) tillämpligt brottssyfte (enligt definitionen i avsnitt 87.10A i 2016 års lag om utredningsbefogenheter). iii) hänsyn till Förenade kungarikets ekonomiska välstånd i den mån denna hänsyn även är relevant för den nationella säkerheten, iv) hänsyn till den allmänna säkerheten, v) syftet att förhindra dödsfall, personskador eller skada på en persons fysiska eller psykiska hälsa eller att lindra skador på en persons fysiska eller psykiska hälsa eller vi) att bistå vid utredningar av påstådda felaktiga domslut (avsnitt 87 i IPA).

339

(340)  Avsnitt 87 i 2016 års lag om utredningsbefogenheter. För bedömningen av huruvida föreläggandet om lagring är proportionerligt tillämpas dessutom, enligt den relevanta uppförandekoden, kriterierna i avsnitt 2.2 i 2016 års lag om utredningsbefogenheter, särskilt kravet på att bedöma huruvida det som avses med föreläggandet rimligen skulle kunna uppnås med mindre inkräktande medel. I likhet med proportionalitetsbedömningen av inhämtandet av kommunikationsuppgifter klargörs i uppförandekoden för kommunikationsuppgifter att en sådan bedömning omfattar ”avvägningen mellan omfattningen av ingreppet i en enskilds rätt till respekt för privatlivet och en särskild fördel för utredningen (Code of Practice on Communications Data, punkt 16.3, se fotnot 323).

340

Code of Practice on Communications Data

(341)  Se avsnitt 88 i 2016 års lag om utredningsbefogenheter.

341

(342)  Fördelarna kan vara befintliga eller beräknade och måste avse de lagstadgade ändamål för vilka uppgifterna kan lagras (punkt 17.17 i Code of Practice on Communications Data, se fotnot 323).

342

Code of Practice on Communications Data

(343)  Dessa överväganden kommer att inbegripa fastställandet av huruvida den fullständiga geografiska räckvidden för föreläggandet om lagring är nödvändig och proportionell och om det är nödvändigt och proportionerligt att inkludera eller utesluta särskilda personbeskrivningar (Code of Practice on Communications Data, punkt 17.17, se fotnot 323).

343

Code of Practice on Communications Data

(344)  Detta kommer att hjälpa den ansvariga ministern att beakta både graden av intrång hos kunderna och de sannolika fördelarna med de uppgifter som ska lagras (punkt 17.17 i Code of Practice on Communications Data, se fotnot 323).

344

Code of Practice on Communications Data

(345)  Avsnitt 88 i 2016 års lag om utredningsbefogenheter.

345

(346)  Avsnitt 89 i 2016 års lag om utredningsbefogenheter.

346

(347)  Enligt avsnitten 135.1 och 198.1 i 2016 års lag om utredningsbefogenheter avses med ”utrustning” sådan utrustning som avger elektromagnetisk, akustisk eller annan emission samt varje anordning som kan användas i anslutning till sådan utrustning.

347

(348)  
  Code of Practice on Equipment Interference finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, punkt 2.2.

348

Code of Practice on Equipment Interference

(349)  Utrustningsdata definieras i avsnitt 100 i 2016 års lag om utredningsbefogenheter som systemdata och data som a) omfattar, ingår som en del av, är knutna till eller logiskt förknippas med kommunikation (från avsändaren eller på annat sätt) eller någon annan information, b) logiskt kan skiljas från resten av meddelandet eller informationen och c) om den separerades på ett sådant sätt, skulle det inte avslöja något som rimligen skulle kunna anses vara innebörden (om någon) av meddelandet eller informationen.

349

(350)  För att kravet på beslut ska vara obligatoriskt krävs det också i avsnitt 13.1 i 2016 års lag om utredningsbefogenheter att underrättelsetjänstens agerande skulle utgöra ett eller flera brott enligt avsnitten 1–3A i Computer Misuse Act 1990, vilket skulle vara fallet i de allra flesta situationer, se riktlinjerna om ingrepp i utrustning, punkterna 3.32 och 3.6–3.9). Enligt avsnitt 13.2 i 2016 års lag om utredningsbefogenheter finns det en ”koppling till brittiska öarna” om a) något av beteendet skulle äga rum på de brittiska öarna (oberoende av var utrustningen som skulle eller kan komma att utsättas för ingrep finns placerad), b) underrättelsetjänsten tror att någon av den utrusnting som skulle eller kan komma att beröras av ingreppen skulle eller kan befinna sig på de brittiska öarna vid någon tidpunkt under den tid då ingreppen äger rum eller c) ett syfte med ingreppet är att ta del av i) kommunikation som skickas av, eller till, en person som är eller som underrättelsetjänsten tror är på de brittiska öarna för tillfället, ii) privat information som avser en person som är eller som underrättelsetjänsten tror för tillfället befinner sig på de brittiska öarna eller iii) utrustningsdata som utgör en del av, eller är kopplade till, kommunikation eller privat information som omfattas av leden i) eller ii).

350

Computer Misuse Act 1990

(351)  För fullständighetens skull bör det noteras att även i situationer där det inte finns någon ”koppling till de brittiska öarna” och användning av ingrepp i utrustning därför inte omfattas av kravet på obligatoriskt beslut i avsnitt 13.1 i 2016 års lag om utredningsbefogenheter bör en underrättelsetjänst som planerar att bedriva verksamhet, för vilken den kan erhålla ett beslut om massingrepp i utrustning, i princip erhålla ett sådant beslut (as a matter of policy) (se punkt 3.24 i Code of Practice on Equipment Interference). Även om ett beslut om ingrepp i utrustning enligt 2016 års lag om utredningsbefogenheter varken krävs enligt lag eller erhålls as a matter of policy omfattas underrättelsetjänsternas åtgärder av ett antal villkor och begränsningar enligt avsnitt 7 i Intelligence Services Act 1994. Detta inbegriper bland annat kravet på tillstånd från den ansvariga ministern som måste vara förvissad om att inga åtgärder går utöver vad som är nödvändigt för att utföra underrättelsetjänstens uppgifter på ett korrekt sätt.

351

as a matter of policy

Code of Practice on Equipment Interference

as a matter of policy

Intelligence Services Act 1994

(352)  Avsnitt 115 i 2016 års lag om utredningsbefogenheter reglerar innehållet i beslutet och anger att det måste innehålla namn på eller beskrivning av personer, organisationer, plats eller grupp av personer som utgör ”målgruppen”, en beskrivning av utredningens art och en beskrivning av den verksamhet för vilken utrustningen används. Den ska också innehålla en beskrivning av typen av utrustning och vilka handlingar som den person som beslutet riktar sig till har rätt att utföra.

352

(353)  Se även Code of Practice on Equipment Interference, punkt 5.7, se fotnot 348.

353

Code of Practice on Equipment Interference

(354)  Nationella säkerhetsmyndigheter kan ansöka om ett beslut om ingrepp i utrustning när det är nödvändigt för nationella säkerhetsändamål, för att upptäcka allvarlig brottslighet och/eller för att främja Förenade kungarikets ekonomiska välstånd, i den mån dessa hänsyn också är relevanta för den nationella säkerheten (avsnitt 102–103 i 2016 års lag om utredningsbefogenheter). Beroende på organ kan ett beslut om ingrepp i utrustning begäras för brottsbekämpande ändamål när det är nödvändigt för att upptäcka eller förebygga ett allvarligt brott eller för att förhindra dödsfall eller skada på en persons fysiska eller psykiska hälsa eller för att lindra eventuella skador på en persons fysiska eller psykiska hälsa (se avsnitt 106.1 och 106.3 i 2016 års lag om utredningsbefogenheter).

354

(355)  Avsnitt 102.1 i 2016 års lag om utredningsbefogenheter.

355

(356)  Avsnitten 129–131 i 2016 års lag om utredningsbefogenheter.

356

(357)  Avsnitt 109 i 2016 års lag om utredningsbefogenheter.

357

(358)  Avsnitt 109.4 i 2016 års lag om utredningsbefogenheter.

358

(359)  Avsnitt 110.3 b i 2016 års lag om utredningsbefogenheter. Enligt punkt 5.67 i uppförandekoden om ingrepp i utrustning avgörs brådskande omständigheter av huruvida det skulle vara rimligen genomförbart att ansöka om godkännande från the Judicial Commissioner om att utfärda ett beslut under den tid som finns tillgänglig för att tillgodose ett operativt eller utredningsmässigt behov. Brådskande beslut ska ingå i en eller båda följande kategorier: i) Överhängande risk för allvarlig skada – t.ex. om en person har blivit kidnappad och man gör bedömningen att personens liv är i allvarlig fara. ii) Insamling av underrättelseuppgifter eller utredningar med begränsad tid att agera – t.ex. om en sändning av klass A-narkotika som står i begrepp att föras in i Förenade kungariket och de brottsbekämpande myndigheterna vill ha täckning av personer som begår grova brott för att kunna anhålla dessa personer. Se fotnot 348.

359

the Judicial Commissioner

(360)  Avsnitt 108 i 2016 års lag om utredningsbefogenheter.

360

(361)  Enligt den rapport om massbefogenheter som lagts fram av lord David Anderson, oberoende granskare av lagstiftningen om terrorism inför godkännandet av 2016 års lag om utredningsbefogenheter bör det stå klart att insamling och lagring av uppgifter i massomfattning inte är detsamma som så kallad massövervakning. Alla rättssystem som är värda namnet kommer att innehålla begränsningar och skyddsåtgärder som är utformade just för att säkerställa att tillgång till känsliga uppgifter (...) inte ges på ett urskillningslöst eller omotiverat sätt.
  Sådana begränsningar och garantier finns förvisso i propositionen. Lord David Anderson, Report of the bulk power review, augusti 2016, punkt 1.9 (kursivering tillagd), finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF.

361

bör det stå klart att insamling och lagring av uppgifter i massomfattning inte är detsamma som så kallad massövervakning. Alla rättssystem som är värda namnet kommer att innehålla begränsningar och skyddsåtgärder som är utformade just för att säkerställa att tillgång till känsliga uppgifter (...) inte ges på ett urskillningslöst eller omotiverat sätt.

Sådana begränsningar och garantier finns förvisso i propositionen

Report of the bulk power review

(362)  Avsnitt 2.2 i 2016 års lag om utredningsbefogenheter. Se t.ex. Code of Practice on Bulk Acquisition of Communications Data, punkt 4.11, som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf.

362

Code of Practice on Bulk Acquisition of Communications Data

(363)  De brittiska öarna utgör Förenade kungariket, Kanalöarna och Isle of Man och definieras i tillägg 1 till Interpretation Act 1978, som finns på följande länk: https://www.legislation.gov.uk/ukpga/1978/30/schedule/1.

363

Interpretation Act 1978

(364)  Enligt avsnitt 136 i 2016 års lag om utredningsbefogenheter avses med ”utlandsrelaterad kommunikation” i) meddelanden som sänds av enskilda personer som befinner sig utanför de brittiska öarna eller ii) meddelanden som mottagits av personer som befinner sig utanför de brittiska öarna. Denna ordning, som bekräftats av de brittiska myndigheterna, omfattar även kommunikation mellan två personer som båda befinner sig utanför de brittiska öarna. I målet Big Brother Watch m.fl. mot Förenade kungariket (se fotnot 279), punkt 376, fann Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen) i samband med en liknande begränsning av kommunikation (rörande ”extern kommunikation”) som kan fångas upp via massavlyssning enligt 2000 års lag om utredningsbefogenheter att begränsningen var tillräckligt avgränsad och förutsebar.

364

(365)  Avsnitt 136.4 i 2016 års lag om utredningsbefogenheter. Enligt de förklaringar som lämnats av den brittiska regeringen kan massavlyssning till exempel användas för att identifiera tidigare okända hot mot landets nationella säkerhet, genom filtrering och analys av avlyssnat material för att identifiera kommunikation av underrättelsevärde (UK Explanatory Framework avsnitt H: National security s. 27–28, se fotnot 29). Som de brittiska myndigheterna har förklarat kan sådana instrument användas för att fastställa kopplingar mellan kända personer av intresse och för att söka efter spår av verksamhet hos personer som kanske ännu inte är kända men som under en utredning dyker upp och för att identifiera aktivitetsmönster som kan tyda på ett hot mot Förenade kungariket.

365

UK Explanatory Framework

National security

(366)  I enlighet med avsnitt 13.1 i 2016 års lag om utredningsbefogenheter kräver en underrättelsetjänsts användning av ingrepp i utrustning ett tillstånd genom ett beslut enligt 2016 års lag om utredningsbefogenheter förutsatt att det finns en ”koppling till de brittiska öarna”, se skäl 211.

366

(367)  Avsnitt 176 i 2016 års lag om utredningsbefogenheter. Ett beslut om massingrepp i utrustning får inte ge tillstånd till ett beteende som (om det inte sker med lagligt stöd) skulle utgöra olaglig avlyssning (utom i samband med lagrad kommunikation). Enligt UK Explanatory Framework kan den information som erhålls vara nödvändig för att identifiera personer av intresse och skulle vanligen vara lämpliga storskaliga insatser (UK Explanatory Framework, avsnitt H: National security s. 28, se fotnot 29).

367

UK Explanatory Framework

UK Explanatory Framework

(368)  Avsnitten 138.1 och 178.1 i 2016 års lag om utredningsbefogenheter.

368

(369)  Avsnitten 138.2 och 178.2 i 2016 års lag om utredningsbefogenheter.

369

(370)  Enligt de brittiska myndigheternas förklaringar kan exempelvis ett operativt syfte begränsa åtgärdens omfattning till förekomsten av ett hot i ett visst geografiskt område.

370

(371)  Avsnitt 142.4–10 i 2016 års lag om utredningsbefogenheter.

371

(372)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), punkt 167.

372

(373)  I avsnitten 152 och 193 i 2016 års lag om utredningsbefogenheter föreskrivs att a) urvalet för granskning görs endast för de operativa syften som anges i beslutet, b) urvalet för granskning är nödvändigt och proportionerligt under alla omständigheter och c) urvalet för granskning inte strider mot förbudet mot att välja ut material och identifiera meddelanden som har skickats av eller är avsedda för personer som är kända för att befinna sig på de brittiska öarna vid den tidpunkten.

373

(374)  Se uppförandekoden om avlyssning av kommunikation, punkt 6.6, se fotnot 278.

374

(375)  Avsnitten 138.1 b och c och 178 b och c i 2016 års lag om utredningsbefogenheter.

375

(376)  
  Code of Practice on Interception of Communications, punkt 4.10, se fotnot 278.

376

Code of Practice on Interception of Communications

(377)  
  Code of Practice on Interception of Communications, punkt 6.20, se fotnot 278, och Code of Practice on Equipment Interference, punkt 6.13, se fotnot 348.

377

Code of Practice on Interception of Communications,

Code of Practice on Equipment Interference

(378)  Avsnitten 138.1 g och 178.1 f i 2016 års lag om utredningsbefogenheter. Europeiska domstolen för de mänskliga rättigheterna har slagit fast att förhandtillstånd från ett oberoende organ är en särskilt viktig skyddsåtgärd mot missbruk i samband med massavlyssning. Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen), Big Brother Watch m.fl./Förenade kungariket (se fotnot 269), punkterna 351 och 352. Det är viktigt att tänka på att denna dom avsåg den tidigare rättsliga ramen (2000 års lag om utredningsbefogenheter), som inte innehöll alla skyddsåtgärder (bland annat förhandstillstånd från en oberoende Judicial Commissioner) som infördes genom 2016 års lag om utredningsbefogenheter.

378

Judicial Commissioner

(379)  Avsnitt 159.3 och 4 i 2016 års lag om utredningsbefogenheter.

379

(380)  Avsnitten 143–146 och 184–188 i 2016 års lag om utredningsbefogenheter. Vid en brådskande ändring kan den ansvariga ministern göra ändringen utan godkännande men måste underrätta the Commissioner och han eller hon måste sedan besluta om huruvida ändringen ska godkännas eller avslås (avsnitt 147 i 2016 års lag om utredningsbefogenheter). Besluten måste annulleras, om beslutet inte längre är nödvändigt eller proportionerligt, eller om granskningen av avlyssnat innehåll, metadata eller andra data som erhållits inom ramen för beslutet inte längre är nödvändig för något av de operativa ändamål som anges i beslutet (avsnitt 148 och 189 i 2016 års lag om utredningsbefogenheter).

380

the Commissioner

(381)  
  Code of Practice on Interception of Communications, punkt 6.44–6.47, se fotnot 278, och Code of Practice on Equipment Interference, punkt 6.48, se fotnot 348.

381

Code of Practice on Interception of Communications

Code of Practice on Equipment Interference

(382)  Avsnitt 156 i 2016 års lag om utredningsbefogenheter.

382

(383)  Avsnitten 150 och 191 i 2016 års lag om utredningsbefogenheter.

383

(384)  I målet Big Brother Watch m.fl. mot Förenade kungariket (se fotnot 268) upprätthöll Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen) systemet med ytterligare skyddsåtgärder för lagring, tillgång och utlämnande som föreskrevs i 2000 års lag om utredningsbefogenheter, se punkterna 392–394 och 402–405. Samma system med skyddsåtgärder föreskrivs i 2016 års lag om utredningsbefogenheter.

384

(385)  Avsnitten 151 och 192 i 2016 års lag om utredningsbefogenheter.

385

(386)  För ytterligare information om dessa ändamål, se fotnot 312.

386

(387)  I koderna om avlyssning av kommunikation anges följande: ”Dessa behandlingssystem behandlar data från de kommunikationslänkar eller signaler som den avlyssnande myndigheten har valt att avlyssna. En viss filtrering tillämpas sedan på trafiken på dessa länkar och signaler som är utformad för att välja typer av kommunikation av potentiellt underrättelsevärde samtidigt som man bortser från de typer av kommunikation som minst sannolikt är av underrättelsevärde. Till följd av denna filtrering, som kommer att variera mellan olika behandlingssystem, kommer en betydande del av kommunikationen på dessa länkar och signaler att kasseras automatiskt. Ytterligare komplicerade sökningar kan sedan göras för att ta fram ytterligare meddelanden som sannolikt har störst underrättelsevärde och som rör myndighetens lagstadgade uppgifter. Dessa meddelanden kan sedan väljas ut för granskning för ett eller flera av de operativa syften som anges i beslutet om villkoren för nödvändighet och proportionalitet är uppfyllda. Endast poster som inte har filtrerats kan väljas ut för granskning av behöriga personer” (Codes of practice on interception of communications, punkt 6.6, se fotnot 278).

387

Codes of practice on interception of communications

(388)  Se avsnitt 152.1 a och b i 2016 års lag om utredningsbefogenheter, där det anges att granskning av båda typerna av uppgifter (avlyssnat innehåll och sekundära uppgifter) endast får utföras för ett uttryckligt ändamål och måste vara nödvändig och proportionerlig under alla omständigheter

388

(389)  Denna typ av beslut krävs inte om uppgifter som rör personer som befinner sig på de brittiska öarna utgör ”sekundära uppgifter” (se avsnitt 152.1 c i 2016 års lag om utredningsbefogenheter).

389

(390)  Avsnitten 152 och 193 i 2016 års lag om utredningsbefogenheter.

390

(391)  Avsnitten 155 och 196 i 2016 års lag om utredningsbefogenheter.

391

(392)  Avsnitten 152 och 193 i 2016 års lag om utredningsbefogenheter.

392

(393)  Avsnitt 229 i 2016 års lag om utredningsbefogenheter.

393

(394)  
  Code of Practice on Interception of Communications, punkt 6.74, se fotnot 278 och Code of Practice on Equipment Interference, punkt 6.78, se fotnot 348.

394

Code of Practice on Interception of Communications

Code of Practice on Equipment Interference

(395)  IPCO har bildats enligt avsnitt 238 i 2016 års lag om utredningsbefogenheter för att förse the Investigatory Powers Commissioner med nödvändig personal, logi, utrustning och andra hjälpmedel och tjänster som krävs för att de ska kunna utföra sina uppgifter (se skäl 251).

395

the Investigatory Powers Commissioner

(396)  I IPCO Annual Report 2018 angavs att de motiveringar som gjorts av analytiker vid Government Communications Headquarters uppfyllde den standard som krävs och att analytikerna tog tillräcklig hänsyn till proportionaliteten i deras förfrågningar om massuppgifter. Annual Report of the Investigatory Powers Commissioner 2018, punkt 6.22, se fotnot 464.

396

IPCO Annual Report 2018

Government Communications Headquarters

Annual Report of the Investigatory Powers Commissioner 2018

(397)  
  Annual Report of the Investigatory Powers Commissioner 2019, punkt 7.6, se fotnot 463.

397

Annual Report of the Investigatory Powers Commissioner 2019

(398)  
  Annual Report of the Investigatory Powers Commissioner 2019, punkt 10.22, se fotnot 463.

398

Annual Report of the Investigatory Powers Commissioner 2019

(399)  Detta följer av definitionen av kommunikationsuppgifter i avsnitt 261.5 i 2016 års lag om utredningsbefogenheter enligt vilken kommunikationsuppgifter innehas eller erhålls av en teleoperatör och avser antingen användaren av en telekommunikationstjänst och tillhandahållandet av denna tjänst eller ingår i, ingår som en del av, läggs till eller logiskt förknippas med en kommunikation (se även Code of Practice on Bulk Acquisition of Communications Data, som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf punkterna 2.15 till 2.22). Dessutom kräver definitionen av teleoperatör i avsnitt 261.10 i 2016 års lag om utredningsbefogenheter att en teleoperatör är en person som erbjuder eller tillhandahåller en telekommunikationstjänst till personer i Förenade kungariket eller som kontrollerar eller tillhandahåller ett telekommunikationssystem som (helt eller delvis) är beläget i eller kontrolleras från Förenade kungariket. Dessa definitioner klargör att skyldigheter enligt 2016 års lag om utredningsbefogenheter inte kan åläggas teleoperatörer vars utrustning inte finns i eller kontrolleras från Förenade kungariket och som inte erbjuder eller tillhandahåller tjänster till personer i Förenade kungariket (se även Code of Practice on Bulk Acquisition of Communications Data, punkt 2.2). Om EU-abonnenter (oavsett om de befinner sig i EU eller i Förenade kungariket) använde sig av tjänster i Förenade kungariket skulle all kommunikation i samband med tillhandahållandet av denna tjänst samlas in direkt av tjänsteleverantören i Förenade kungariket i stället för att bli föremål för en överföring från EU.

399

Code of Practice on Bulk Acquisition of Communications Data

Code of Practice on Bulk Acquisition of Communications Data

(400)  I avsnitt 94.1 i Telecommunication Act 1984 föreskrevs att den ansvariga ministern kunde utfärda ”allmänna anvisningar som enligt den ansvariga ministern framstår som nödvändiga eller lämpliga med hänsyn till den nationella säkerheten (...)” (se fotnot 451).

400

Telecommunication Act 1984

(401)  Se Privacy International, punkt 78.

401

(402)  Se Code of Practice on Bulk Acquisition of Communications Data, punkt 4.11 (se fotnot 399).

402

Code of Practice on Bulk Acquisition of Communications Data

(403)  Ett beslut om massinhämtande får endast begäras av cheferna för underrättelsetjänster som är i) generaldirektören för säkerhetstjänsten, (ii) chefen för underrättelsetjänsten eller iii) chefen för Government Communications Headquarter (se avsnitten 158 och 263 i 2016 års lag om utredningsbefogenheter).

403

Government Communications Headquarter

(404)  
  Code of Practice on Bulk Acquisition of Communications Data, punkt 4.5 (se fotnot 399).

404

Code of Practice on Bulk Acquisition of Communications Data

(405)  Enligt avsnitt 161 i 2016 års lag om utredningsbefogenheter ska de operativa syften som anges i beslutet vara de som anges i en förteckning som förs av cheferna för underrättelsetjänsterna (nedan kallad förteckningen över operativa ändamål) eftersom de anser att de är operativa ändamål för vilka kommunikationsuppgifter som erhålls genom beslut om massinhämtande kan väljas ut för granskning.

405

(406)  
  Code of Practice on Bulk Acquisition of Communications Data, punkt 6.6 (se fotnot 399).

406

Code of Practice on Bulk Acquisition of Communications Data

(407)  Enligt avsnitt 172 i 2016 års lag om utredningsbefogenheter ska särskilda skyddsåtgärder införas för filtrerings- och urvalsfasen för granskning av kommunikation som inhämtats i massomfattning. Dessutom är en avsiktlig granskning i strid med dessa skyddsåtgärder också ett brott (se avsnitt 173 i 2016 års lag om utredningsbefogenheter).

407

(408)  Avsnitt 171 i 2016 års lag om utredningsbefogenheter.

408

(409)  Avsnitt 171.9 i 2016 års lag om utredningsbefogenheter.

409

(410)  Avsnitt 162 i 2016 års lag om utredningsbefogenheter.

410

(411)  Avsnitt 163 i 2016 års lag om utredningsbefogenheter.

411

(412)  Avsnitten 164–166 i 2016 års lag om utredningsbefogenheter.

412

(413)  Avsnitt 159 i 2016 års lag om utredningsbefogenheter.

413

(414)  
  IPCO Annual Report 2019, punkt 8.6, se fotnot 463.

414

IPCO Annual Report 2019

(415)  
  IPCO Annual Report 2019, punkt 10.4, se fotnot 463.

415

IPCO Annual Report 2019

(416)  
  IPCO Annual Report 2019, punkt 8.37, se fotnot 463.

416

IPCO Annual Report 2019

(417)  Avsnitt 200 i 2016 års lag om utredningsbefogenheter.

417

(418)  
  UK Explanatory Framework for Adequacy Discussions, avsnitt H: National Security, s. 34, se fotnot 29.

418

UK Explanatory Framework for Adequacy Discussions

(419)  Avsnitt 204 i 2016 års lag om utredningsbefogenheter.

419

(420)  
  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, punkt 4.7, som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf.

420

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(421)  Avsnitt 205 i 2016 års lag om utredningsbefogenheter.

421

(422)  Till exempel känsliga personuppgifter, se avsnitt 202 i 2016 års lag om utredningsbefogenheter och the Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, punkterna 4.21 och 4.12, se fotnot 469.

422

the Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(423)  En ansökan om ett specifikt beslut om massdataset av personuppgifter måste bedömas individuellt av den ansvariga ministern, dvs. med avseende på en specifik datauppsättning. Underrättelsetjänsten är enligt avsnitt 205 i lagen om utredningsbefogenheter skyldig att i sin ansökan om specifika massdatset av personuppgifter inkludera en detaljerad förklaring av arten och omfattningen av det aktuella materialet och en förteckning över de ”operativa syften” för vilka den berörda underrättelsetjänsten vill granska massdatset av personuppgifter (där underrättelsetjänsten ansöker om ett beslut om lagring och granskning, snarare än enbart lagring). Vid utfärdandet av ett typbeslut om massdatset av personuppgifter beaktar sekreteraren i stället hela kategorin av dataset samtidigt.

423

(424)  Avsnitten 204 och 205 i 2016 års lag om utredningsbefogenheter.

424

(425)  Avsnitt 2 i 2016 års lag om utredningsbefogenheter.

425

(426)  Avsnitten 204 och 205 i 2016 års lag om utredningsbefogenheter.

426

(427)  
  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, punkt 5.2, se fotnot 420.

427

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(428)  
  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, punkterna 8.1–8.15, se fotnot 420.

428

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(429)  
  UK Explanatory Framework for Adequacy Discussions, avsnitt H: National Security, s. 34, se fotnot 29.

429

UK Explanatory Framework for Adequacy Discussions

(430)  Avsnitt 87.1 i 2018 års dataskyddslag.

430

(431)  Avsnitt 87.3 i 2018 års dataskyddslag. Personuppgiftsansvariga kan undantas från denna princip enligt avsnitt 110 i 2018 års dataskyddslag i den mån ett sådant undantag krävs för att skydda den nationella säkerheten men ett sådant undantag måste bedömas från fall till fall och kan endast åberopas i den mån tillämpningen av en viss bestämmelse skulle få negativa konsekvenser för den nationella säkerheten (se skäl 132). De nationella säkerhetscertifikaten för underrättelsetjänsterna i Förenade kungariket (finns på följande länk: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/) täcker inte avsnitt 87.3 i 2018 års dataskyddslag. Eftersom all behandling för ett annat ändamål måste vara tillåten enligt lag måste underrättelsetjänsterna dessutom ha en tydlig rättslig grund för den vidare behandlingen.

431

(432)  För ytterligare information om dessa ändamål, se fotnot 312.

432

(433)  Se fotnot 312.

433

(434)  
  ICO guidance on intelligence services processing (se fotnot 161).

434

ICO guidance on intelligence services processing

(435)  Avsnitt 54 i 2016 års lag om utredningsbefogenheter.

435

(436)  Avsnitt 130 i 2016 års lag om utredningsbefogenheter.

436

(437)  Avsnitt 151 i 2016 års lag om utredningsbefogenheter.

437

(438)  Avsnitt 171.9 i 2016 års lag om utredningsbefogenheter.

438

(439)  Avsnitt 192 i 2016 års lag om utredningsbefogenheter.

439

(440)  Åtgärderna ska omfatta åtgärder för att säkerställa att varje exemplar av materialet lagras på ett säkert sätt så länge det bevaras. Det material som erhållits med stöd av ett beslut och eventuella kopior av detta material ska förstöras så snart det inte längre finns någon relevant grund för att behålla det (se avsnitten 150.2, 150.5 och 151.2 i 2016 års lag om utredningsbefogenheter). Det är värt att nämna att liknande skyddsåtgärder som föreskrevs enligt den tidigare rättsliga ramen (2000 års lag om utredningsbefogenheter) ansågs överensstämma med de krav som Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen) har fastställt för utbyte av material som inhämtats genom massavlyssning med utländska stater eller internationella organisationer (Europeiska domstolen för de mänskliga rättigheterna (stora avdelningen), Big Brother Watch m.fl./Förenade kungariket (se fotnot 279), punkterna 362 och 399).

440

(441)  Avsnitt 116 i 2018 års dataskyddslag.

441

(442)  I enlighet med punkt 2 i tillägg 13 till 2018 års dataskyddslag kan förelägganden om verkställighet och påföljder utfärdas till en personuppgiftsansvarig eller ett personuppgiftsbiträde i samband med överträdelser av kapitel 2 i del 4 i 2018 års dataskyddslag (principer för behandling), en bestämmelse i del 4 i 2018 års dataskyddslag som ger den registrerade rättigheter, ett krav på att meddela ett personuppgiftsbrott till the Commissioner enligt avsnitt 108 i 2018 års dataskyddslag och principerna för överföring av personuppgifter till tredjeländer, länder som inte omfattas av konventionen och internationella organisationer i avsnitt 109 i 2018 års dataskyddslag (för ytterligare information om verkställighets- och påföljdsförelägganden hänvisas till skäl 92).

442

the Commissioner

(443)  Enligt avsnitt 147.6 i 2018 års dataskyddslag får the Information Commissioner inte utfärda ett bedömningsföreläggande till ett organ som anges i avsnitt 23.3 i Freedom of Information Act 2000. Detta inbegriper säkerhetstjänsten (MI5), underrättelsetjänsten (MI6) och underrättelseorganet Government Communications Headquarter (GCHQ).

443

the Information Commissioner

Freedom of Information Act 2000

(444)  Följande bestämmelser kan undantas: Avsnitt 108 (meddelande till the Commissioner om personuppgiftsbrott), avsnitt 119 (inspektion i enlighet med internationella förpliktelser). Avsnitten 142–154 och tillägg 15 (förelägganden och befogenheter för tillträde och inspektion från the Commissioner). Avsnitten 170–173 (personuppgiftsbrott). Dessutom när det gäller underrättelsetjänsternas behandling i tillägg 13 (andra allmänna uppgifter för the Commissioner), punkt 1 a och g samt punkt 2.

444

the Commissioner

the Commissioner

the Commissioner

(445)  
  Memorandum of Understandings between Information Commission’s Office and the UK Intelligence Community, se fotnot 165.

445

Memorandum of Understandings between Information Commission’s Office and the UK Intelligence Community

(446)  I sju av dessa fall rådde ICO klaganden att ta upp frågan med den personuppgiftsansvariga (detta är fallet när en person har tagit upp en fråga med ICO men borde ha tagit upp frågan med den personuppgiftsansvariga först), i ett av dessa fall gav ICO allmänna råd till den personuppgiftsansvariga (detta används när den personuppgiftsansvarigas åtgärder inte verkar ha brutit mot lagstiftningen men en förbättring av rutinerna kunde ha förhindrat problemet som tagits upp med ICO) och i de övriga 13 fallen krävdes ingen åtgärd av den personuppgiftsansvariga (detta används när problem tas upp av den individ som 2018 års dataskyddslag gäller för eftersom han eller hon är bekymrad över behandlingen av personuppgifter men baserat på den information som tillhandahålls verkar det inte som om den personuppgiftsansvariga har brutit mot lagstiftningen.

446

(447)  I enlighet med avsnitten 227.7 och 8 i 2016 års lag om utredningsbefogenheter är Investigatory Powers Commissioner en Judicial Commissioner och Investigatory Powers Commissioner och övriga Judicial Commissioners kallas gemensamt för Judicial Commissioners. För närvarande finns det 15 Judicial Commissioners.

447

Investigatory Powers Commissioner

Judicial Commissioner

Investigatory Powers Commissioner

Judicial Commissioners

Judicial Commissioners

Judicial Commissioners

(448)  Enligt avsnitt 60.2 i del 3 i 2005 års lag om reform av författningen (Constitutional Reform Act 2005) avses med ”högt uppsatt domarämbete” ämbetet som domare vid någon av domstolarna i) Högsta domstolen ii) Appellationsdomstolen i England och Wales. iii) Överdomstolen (High Court) i England och Wales. iv) Court of Session. v) Appellationsdomstolen i Nordirland. (vi) Överdomstolen (High Court) i Nordirland eller som en Lord of Appeal in Ordinary.

448

Constitutional Reform Act 2005

(449)  Rättsväsendets oberoende grundar sig på konvention och har fått ett brett erkännande sedan 1701 Act of Settlement.

449

1701 Act of Settlement

(450)  Avsnitt 227.3 i 2016 års lag om utredningsbefogenheter. Judicial Commissioners måste också rekommenderas av the Investigatory Powers Commissioner, avsnitt 227.4 e i 2016 års lag om utredningsbefogenheter.

450

Judicial Commissioner

the Investigatory Powers Commissioner

(451)  Avsnitt 238 i 2016 års lag om utredningsbefogenheter.

451

(452)  Avsnitt 227.2 i 2016 års lag om utredningsbefogenheter.

452

(453)  Avsättningen är identisk med avsättningen för andra domare i Förenade kungariket (se t.ex. avsnitt 11.3 i Senior Courts Act 1981 och avsnitt 33 i 2005 års lag om reform av författningen som också kräver en resolution efter godkännande av båda kamrarna i parlamentet). Hittills har ingen Judicial Commissioner avsatts.

453

Senior Courts Act 1981

Judicial Commissioner

(454)  Ett organ på armlängds avstånd är en organisation eller byrå som får finansiering från en regering men som kan agera självständigt (för en definition och mer information om ett organ på armlängds avstånd, se kansliets handbok om klassificeringen av offentliga organ, som finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf och den första rapporten från sammanträdesperioden 2014–2015 från Public Administration Select Committee of the House of Commons som finns på följande länk: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf)

454

(455)  Enligt avsnitt 229 i 2016 års lag om utredningsbefogenheter har the Judicial Commissioner omfattande tillsynsbefogenheter som även omfattar tillsyn av lagring och utlämnande av uppgifter som samlats in av underrättelsetjänsterna.

455

the Judicial Commissioner

(456)  Beslut om godkännande av beslut av den ansvariga ministern att utfärda ett beslut är en fråga för the Judicial Commissioners själva. Om en Commissioner vägrar att godkänna ett beslut kan den ansvariga ministern överklaga till the Investigatory Powers Commissioner, vars beslut är slutgiltigt.

456

the Judicial Commissioners

Commissioner

the Investigatory Powers Commissioner

(457)  
  Investigatory Powers Commissions tillstånd begärs alltid när kommunikationsuppgifter inhämtas för brottsbekämpande ändamål (avsnitt 60A i 2016 års lag om utredningsbefogenheter). Om kommunikationsuppgifter inhämtas med hänsyn till den nationella säkerheten kan tillståndet beviljas av the Investigatory Powers Commissioner eller, alternativt, av en utsedd högre tjänsteman vid den berörda myndigheten (se avsnitten 61 och 61A i 2016 års lag om utredningsbefogenheter och skäl 203 ovan).

457

Investigatory Powers Commissions

the Investigatory Powers Commissioner

(458)  
  End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland (se fotnot 281).

458

End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland

(459)  Avsnitt 229 i 2016 års lag om utredningsbefogenheter. Judicial Commissioners utrednings- och informationsbefogenheter anges i avsnitt 235 i 2016 års lag om utredningsbefogenheter.

459

Judicial Commissioners

(460)  Detta inbegriper övervakningsåtgärder inom ramen för 2000 års lag om utredningsbefogenheter, utövandet av funktioner enligt del 3 i polislagen från 1997 (bemyndigande av åtgärder i fråga om egendom) och ministerns utövande av funktioner enligt avsnitten 5–7 i Intelligence Services Act 1994 (beslut om ingrepp för trådlös telegrafi, tillträde och ingrepp i egendom) (avsnitt 229 i 2016 års lag om utredningsbefogenheter).

460

Intelligence Services Act 1994

(461)  Avsnitt 230 i 2016 års lag om utredningsbefogenheter. The Investigatory Powers Commissioner för utredningsbefogenheter kan också på eget initiativ rapportera till premiärministern i alla frågor som rör hans eller hennes uppdrag. The Investigatory Powers Commissioner måste också rapportera till premiärministern på dennes begäran och premiärministern kan ge honom eller henne i uppdrag att se över underrättelsetjänstens eventuella funktioner.

461

The Investigatory Powers Commissioner

The Investigatory Powers Commissioner

(462)  Vissa delar kan uteslutas om publiceringen skulle strida mot den nationella säkerheten.

462

(463)  I IPCO Annual report 2019 (punkt 6.38) nämns till exempel att MI5 rekommenderades att ändra sin policy för lagring av massdataset av personuppgifter eftersom man borde ha tagit hänsyn till proportionaliteten i lagringen på alla områden som rör innehav av massdataset av personuppgifter och för varje massdataset av personuppgifter som innehas. I slutet av 2018 var IPCO inte nöjd med att denna rekommendation följdes och i 2019 års rapport förklarades att MI5 nu inför en ny process för att uppfylla detta krav. I årsrapporten för 2019 (punkt 8.22) nämns också att GHCQ fick en rad rekommendationer om redovisningen av proportionaliteten i deras förfrågningar om massuppgifter. I rapporten bekräftas att förbättringar har gjorts på detta område i slutet av 2018. Årsrapport från IPCO för 2019 finns på följande länk: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. Dessutom avslutas varje inspektion som IPCO utför av en myndighet med en rapport med rekommendationer till följd av inspektionen som lämnas till den berörda myndigheten. IPCO inleder därefter varje efterföljande inspektion med en granskning av eventuella tidigare rekommendationer från den senaste inspektionen och överväger i den nya inspektionsrapporten om de tidigare rekommendationerna har genomförts eller håller på att genomföras.

463

IPCO Annual report 2019

(464)  Ett fel betraktas som ”allvarligt” om the Commissioner anser att det har vållat den berörda personen betydande skada eller skada (avsnitt 231.2 i 2016 års lag om utredningsbefogenheter). Under 2018 rapporterades 22 fel, varav åtta bedömdes allvarliga och ledde till information till den berörda personen. Se årsrapport från IPCO 2018, bilaga C (se https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). Under 2019 ansågs 14 fel vara allvarliga. Annual Report of the Investigatory Powers Commissioner Office 2019, bilaga C, se fotnot 463.

464

the Commissioner

Annual Report of the Investigatory Powers Commissioner Office 2019

(465)  I avsnitt 231 i 2016 års lag om utredningsbefogenheter anges att the Investigatory Powers Commissioner, när han eller hon informerar en person om ett misstag, ska lämna sådana uppgifter som the Commissioner anser vara nödvändiga för utövandet av dessa rättigheter, särskilt med hänsyn till i vilken utsträckning utlämnandet av uppgifterna skulle strida mot allmänintresset eller inverka menligt på förebyggande eller avslöjande av allvarlig brottslighet, Förenade kungarikets ekonomiska välstånd eller den fortsatta tjänsteutövningen av någon av underrättelsetjänsterna.

465

the Investigatory Powers Commissioner

the Commissioner

(466)  Som de brittiska myndigheterna förklarade utvidgade Justice and Security Act ansvarsområde för underrättelse-och säkerhetsutskottet till att omfatta en roll när det gäller att övervaka underrättelsegemenskapen utöver de tre myndigheterna och möjliggöra en retroaktiv översyn av myndigheternas operativa verksamhet i frågor av stort nationellt intresse.

466

Justice and Security Act

(467)  Avsnitt 2 i JSA 2013.

467

(468)  Samförståndsavtal mellan premiärministern och underrättelse-och säkerhetsutskottet, finns på följande länk: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

468

(469)  Samförståndsavtal mellan premiärministern och underrättelse-och säkerhetsutskottet, punkt 14, se fotnot 468.

469

(470)  Den ansvariga ministern får endast lägga in veto mot utlämnande av uppgifter på följande två grunder: Uppgifterna är känsliga och bör inte lämnas ut till underrättelse-och säkerhetsutskottet med hänsyn till den nationella säkerheten. Om den ansvariga ministern anmodades att inkomma med den till ett av underhusets särskilda utskott, skulle den ansvariga ministern (av skäl som inte är begränsade till den nationella säkerheten) anse att det var lämpligt att inte göra det (tillägg 1 punkt 4.2 i Justice and Security Act 2013).

470

Justice and Security Act 2013

(471)  
  UK Explanatory Framework for Adequacy Discussions, avsnitt H: National Security, s. 43, se fotnot 31.

471

UK Explanatory Framework for Adequacy Discussions

National Security

(472)  Avsnitt 1 i JSA 2013. Ministrar kan inte bli ledamöter. Ledamöterna innehar sin ställning i underrättelse-och säkerhetsutskottet under parlamentets hela mandatperiod för vilket de har utnämnts. De kan avsättas genom ett beslut av det parlament för vilket de utnämnts om de upphör att vara parlamentsledamot eller utnämnas till minister. En ledamot kan också avgå.

472

(473)  Utskottets betänkanden och uttalanden finns på följande webbadress: https://isc.independent.gov.uk/publications/. År 2015 utfärdade underrättelse-och säkerhetsutskottet en rapport om integritet och säkerhet: A modern and transparent legal framework” (se: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf) där den granskade den rättsliga ramen för de övervakningstekniker som används av underrättelsetjänsterna och utfärdade en rad rekommendationer som sedan övervägdes och integrerades i utkastet till lag om utredningsbefogenheter som omvandlades till lag, 2016 års lag om utredningsbefogenheter. Regeringens svar på rapporten om personlig integritet och säkerhet finns på följande länk: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

473

(474)  Avsnitten 142, 161 och 183 i 2016 års lag om utredningsbefogenheter.

474

(475)  Avsnitt 234 i 2016 års lag om utredningsbefogenheter.

475

(476)  Avsnitt 236 i 2016 års lag om utredningsbefogenheter.

476

(477)  Parlamentets underrättelse-och säkerhetsutskottet, Report on the draft Investigatory Powers Bill finns på följande länk: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf

477

Report on the draft Investigatory Powers Bill

(478)  Dessa allmänna skyldigheter i fråga om personlig integritet anges nu i avsnitt 2.2 i 2016 års lag om utredningsbefogenheter, där det föreskrivs att en myndighet som agerar enligt 2016 års lag om utredningsbefogenheter ska ta hänsyn till om det som avses med beslutet, tillståndet eller föreläggandet rimligen skulle kunna uppnås med andra mindre inkräktande medel, huruvida den skyddsnivå som ska tillämpas i samband med inhämtande av information enligt beslutet, tillståndet eller föreläggandet är högre på grund av den särskilda känsligheten för denna information, det allmänna intresset för integritet och säkerhet i fråga om telekommunikationssystem och andra posttjänster och alla andra aspekter av allmänt intresse när det gäller skyddet av integriteten.

478

(479)  På begäran av underrättelse- och säkerhetsutskottet kan till exempel antalet dagar ett ”brådskande” beslut kan vara på plats innan the Judicial Commissioner måste godkänna det ha minskat från fem till tre arbetsdagar och utskottet fick befogenhet att hänskjuta ärenden till the Investigatory Powers Commissioner för undersökning.

479

the Judicial Commissioner

the Investigatory Powers Commissioner

(480)  Schrems II, punkt 194.

480

(481)  Schrems II, punkt 197.

481

(482)  Avsnitt 94.11 i 2018 års dataskyddslag.

482

(483)  Avsnitt 99.4 i 2018 års dataskyddslag.

483

(484)  Avsnitt 100.1 i 2018 års dataskyddslag.

484

(485)  I avsnitt 169 i 2018 års dataskyddslag tillåts anspråk från ”en person som lider skada på grund av överträdelse av ett krav i dataskyddslagstiftningen”. Enligt de uppgifter som lämnats av de brittiska myndigheterna är det i praktiken troligt att ett anspråk eller ett klagomål mot underrättelsetjänsterna kommer att framställas till tribunalen för utredningsbefogenheter som har en omfattande behörighet som kan ge ersättning/skadestånd och när ett yrkande inte medför några kostnader.

485

(486)  Avsnitt 169.5 i 2018 års dataskyddslag.

486

(487)  Enligt bilaga 3 till 2000 års lag om utredningsbefogenheter måste ledamöterna ha särskild erfarenhet inom rättsväsendet och kunna återutnämnas.

487

(488)  Framställningen utgörs av en address som en motion som lagts fram för parlamentet och som syftar till att göra monarken medveten om parlamentets yttranden i en viss fråga.

488

address

(489)  Tillägg 3 punkt 1.5 till 2000 års lag om utredningsbefogenheter.

489

(490)  Avsnitt 65.5 i 2000 års lag om utredningsbefogenheter.

490

(491)  När det gäller standarden på ”testet av övertygelsen”, se målet Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH, punkt 41. I detta mål fann tribunalen för utredningsbefogenheter, genom att hänvisa till rättspraxis från Europeiska domstolen för de mänskliga rättigheterna, att det lämpliga testet är huruvida det, med avseende på den påstådda övertygelsen att något beteende som omfattas av underavsnitt 68.5 i 2000 års lag om utredningsbefogenheter har utförts av någon underrättelsetjänst eller för dess räkning, finns någon grund för en sådan övertygelse, så att den enskilde kan hävda att han eller hon har utsatts för en överträdelse på grund av blotta förekomsten av hemliga åtgärder eller lagstiftning som medger hemliga åtgärder, endast om han eller hon kan visa att det finns en risk för att han eller hon utsätts för denna typ av åtgärder på grund av hans eller hennes personliga situation.

491

(492)  Avsnitt 65.4 a i 2000 års lag om utredningsbefogenheter.

492

(493)  Sådana omständigheter avser myndigheters agerande med myndighetsutövning (t.ex. ett beslut, ett tillstånd/ett föreläggandet om inhämtande av meddelanden osv.) eller om omständigheterna är sådana (oavsett om det finns en sådan myndighet eller inte) att det inte skulle ha varit lämpligt att beteendet ägde rum utan det eller åtminstone utan att vederbörlig hänsyn hade tagits till huruvida en sådan befogenhet borde ha sökts. Ett agerande som har godkänts av en Judicial Commissioner anses ha ägt rum under omständigheter mot vilka talan kan väckas (avsnitt 65 (7ZA) i 2000 års lag om utredningsbefogenheter) medan andra handlingar som äger rum med tillstånd av en person som innehar ett domarämbete inte anses ha ägt rum under omständigheter mot vilka talan kan väckas (avsnitten 65.7 och 8 i 2000 års lag om utredningsbefogenheter).

493

Judicial Commissioner

(494)  Enligt de uppgifter som lämnats av de brittiska myndigheterna visar den låga tröskeln för att lämna in ett klagomål att det inte är ovanligt att tribunalen i sin undersökning fastställer att klaganden i själva verket aldrig varit föremål för en utredning av en myndighet. I den senaste statistiska rapporten från tribunalen för utredningsbefogenheter anges att under 2016 mottog tribunalen 209 klagomål, varav 52 % ansågs vara av okynneskaraktär eller förargelseväckande och 25 % fick ett ”obestämt” resultat. De brittiska myndigheterna förklarade att detta antingen innebär att ingen hemlig verksamhet/inga dolda befogenheter har använts i förhållande till klaganden eller att dold teknik användes och tribunalen fastställde att verksamheten var laglig. Dessutom uteslöts 11 % från jurisdiktion, drogs tillbaka eller var inte giltiga, 5 % uteslöts för sent, 7 % konstaterades vara till klagandens fördel. Statistical Report of the Investigatory Powers Tribunal 2016 finns på följande länk: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

494

Statistical Report of the Investigatory Powers Tribunal 2016

(495)  Se målet Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. I detta fall fann tribunalen för utredningsbefogenheter, genom att hänvisa till rättspraxis från Europeiska domstolen för de mänskliga rättigheterna, att det lämpliga kriteriet för att anta att ett beteende som omfattas av underavsnitt 68.5 i 2000 års lag om utredningsbefogenheter har utförts av någon underrättelsetjänst eller för dess räkning är huruvida det finns någon grund för en sådan övertygelse, inbegripet det faktum att en enskild kan hävda att han eller hon har utsatts för en överträdelse på grund av blotta förekomsten av hemliga åtgärder eller lagstiftning som medger hemliga åtgärder endast om han eller hon kan visa att han eller hon på grund av sin personliga situation riskerar att utsättas för sådana åtgärder (se Human Rights Watch/Secretary of State, punkt 41).

495

(496)  Avsnitt 67.3 i 2000 års lag om utredningsbefogenheter.

496

(497)  Avsnitt 67.2 i 2000 års lag om utredningsbefogenheter.

497

(498)  Avsnitten 68.6–7 i 2000 års lag om utredningsbefogenheter.

498

(499)  Avsnitt 68.4 i 2000 års lag om utredningsbefogenheter.

499

(500)  Ett exempel på tillämpningen av dessa befogenheter är Liberty & Others/Security Services, SIS, GCHQ, [2015] UKIP Trib 13_77-H_2. Tribunalen uttalade sig till förmån för två klagande på grund av att deras kommunikation i det ena fallet låg utanför de gränser som fastställts och, i det andra, på grund av att granskningsförfarandet inte följdes på det sätt som föreskrivs i interna regler som gäller för Government Communications Headquarter. I det första målet ålade domstolen underrättelsetjänsterna att förstöra de meddelanden som behållits längre än den relevanta tidsfristen. I det andra fallet utfärdades inte något beslut om förstöring på grund av att kommunikationen inte lagats.

500

Government Communications Headquarter

(501)  Kennedy, se fotnot 129.

501

(502)  Europeiska domstolen för de mänskliga rättigheterna, Big Brother Watch m.fl./Förenade kungariket (se fotnot 268), punkterna 413–415.

502

(503)  Europeiska domstolen för de mänskliga rättigheterna, Big Brother Watch, punkt 425.

503

(504)  Såsom exempelvis framgår av en färsk dom från Europeiska domstolen för de mänskliga rättigheterna i målet Big Brother Watch m.fl./Förenade kungariket (se fotnot 279) blir det på detta sätt möjligt för internationella domstolar att på ett ändamålsenligt sätt kontrollera – liknande den kontroll som EU-medlemsstaterna är föremål för – myndigheters efterlevnad av de grundläggande rättigheterna i samband med tillgång till personuppgifter. Verkställandet av domar från Europeiska domstolen för de mänskliga rättigheterna är dessutom föremål för Europarådets tillsyn.

504

(505)  I målet Belhaj & others [2017] UKSC 3 grundades fastställandet av att avlyssningen av sekretesskyddat material var olaglig direkt på artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (se avgörande 11).

505

(506)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), punkt 170.

506

(507)  Schrems-målet, punkt 65.

507

(508)  Schrems-målet, punkt 65: ”Det ankommer härvidlag på den nationella lagstiftaren att föreskriva rättsmedel som gör det möjligt för den nationella tillsynsmyndigheten att vid nationella domstolar göra gällande de invändningar som den anser att det finns fog för, så att nationella domstolar, för det fall att de delar myndighetens tvivel angående kommissionsbeslutets giltighet, kan hänskjuta en begäran om förhandsavgörande för att granska detta besluts giltighet.”

508

(509)  Yttrande 14/2021 om Europeiska kommissionens utkast till genomförandebeslut enligt förordning (EU) 2016/679 om adekvat skydd av personuppgifter i Förenade kungariket, som finns tillgängligt på följande länk: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en.

509

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/69 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/69

---

KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2021/1773

av den 28 juni 2021

i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/680 om adekvat skydd av personuppgifter i Förenade kungariket

[delgivet med nr C(2021) 4801]

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIH (1), särskilt artikel 36.3, och

av följande skäl:

1.   INLEDNING

INLEDNING

| (1) | I Europaparlamentets och rådets direktiv (EU) 2016/680 fastställs regler för överföring av personuppgifter från behöriga myndigheter i unionen till tredjeländer och internationella organisationer i den mån sådana överföringar omfattas av dess tillämpningsområde. Bestämmelserna om behöriga myndigheters internationella överföring av uppgifter fastställs i kapitel V i direktiv (EU) 2016/680, närmare bestämt i artiklarna 35–40. Flödet av personuppgifter till och från länder utanför Europeiska unionen är avgörande för ett effektivt brottsbekämpningssamarbete men det krävs att skyddsnivån för personuppgifter i Europeiska unionen garanteras och inte undergrävs av sådana överföringar (2). |
| --- | --- |

(1)

I Europaparlamentets och rådets direktiv (EU) 2016/680 fastställs regler för överföring av personuppgifter från behöriga myndigheter i unionen till tredjeländer och internationella organisationer i den mån sådana överföringar omfattas av dess tillämpningsområde. Bestämmelserna om behöriga myndigheters internationella överföring av uppgifter fastställs i kapitel V i direktiv (EU) 2016/680, närmare bestämt i artiklarna 35–40. Flödet av personuppgifter till och från länder utanför Europeiska unionen är avgörande för ett effektivt brottsbekämpningssamarbete men det krävs att skyddsnivån för personuppgifter i Europeiska unionen garanteras och inte undergrävs av sådana överföringar (2).

2

| (2) | Enligt artikel 36.3 i direktiv (EU) 2016/680 får kommissionen genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland eller en internationell organisation säkerställer en adekvat skyddsnivå. Enligt detta villkor får överföring av personuppgifter till ett tredjeland ske utan ytterligare tillstånd (utom när en annan medlemsstat från vilken uppgifterna erhölls måste ge sitt tillstånd till överföringen) i enlighet med artikel 35.1 och skäl 66 i direktiv (EU) 2016/680. |
| --- | --- |

(2)

Enligt artikel 36.3 i direktiv (EU) 2016/680 får kommissionen genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland eller en internationell organisation säkerställer en adekvat skyddsnivå. Enligt detta villkor får överföring av personuppgifter till ett tredjeland ske utan ytterligare tillstånd (utom när en annan medlemsstat från vilken uppgifterna erhölls måste ge sitt tillstånd till överföringen) i enlighet med artikel 35.1 och skäl 66 i direktiv (EU) 2016/680.

| (3) | Enligt artikel 36.2 i direktiv (EU) 2016/680 måste antagandet av ett beslut om adekvat skyddsnivå grundas på en omfattande analys av tredjelandets rättsordning. I sin bedömning måste kommissionen avgöra om det berörda tredjelandet garanterar en skyddsnivå som ”i allt väsentligt är likvärdig” med den som säkerställs inom Europeiska unionen (skäl 67 i direktiv (EU) 2016/680). Den standard mot vilken den ”väsentliga likvärdigheten” bedöms är den som fastställs i EU-lagstiftningen, särskilt direktiv (EU) 2016/680, samt rättspraxis från Europeiska unionens domstol (3). Dataskyddsstyrelsens referensram för adekvat skyddsnivå är också av betydelse i detta sammanhang (4). |
| --- | --- |

(3)

Enligt artikel 36.2 i direktiv (EU) 2016/680 måste antagandet av ett beslut om adekvat skyddsnivå grundas på en omfattande analys av tredjelandets rättsordning. I sin bedömning måste kommissionen avgöra om det berörda tredjelandet garanterar en skyddsnivå som ”i allt väsentligt är likvärdig” med den som säkerställs inom Europeiska unionen (skäl 67 i direktiv (EU) 2016/680). Den standard mot vilken den ”väsentliga likvärdigheten” bedöms är den som fastställs i EU-lagstiftningen, särskilt direktiv (EU) 2016/680, samt rättspraxis från Europeiska unionens domstol (3). Dataskyddsstyrelsens referensram för adekvat skyddsnivå är också av betydelse i detta sammanhang (4).

3

4

| (4) | Enligt Europeiska unionens domstol kräver detta inte att en identisk skyddsnivå uppnås (5). I synnerhet kan de medel som tredjelandet i fråga har till sitt förfogande för att skydda personuppgifter skilja sig från dem som används i Europeiska unionen förutsatt att de i praktiken visar sig vara effektiva för att säkerställa en adekvat skyddsnivå (6). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Det handlar snarare om huruvida det utländska systemet som helhet erbjuder den skyddsnivå som krävs med avseende på innehållet i rätten till personlig integritet och genomförandet, övervakningen och verkställandet av det i praktiken (7). |
| --- | --- |

(4)

Enligt Europeiska unionens domstol kräver detta inte att en identisk skyddsnivå uppnås (5). I synnerhet kan de medel som tredjelandet i fråga har till sitt förfogande för att skydda personuppgifter skilja sig från dem som används i Europeiska unionen förutsatt att de i praktiken visar sig vara effektiva för att säkerställa en adekvat skyddsnivå (6). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Det handlar snarare om huruvida det utländska systemet som helhet erbjuder den skyddsnivå som krävs med avseende på innehållet i rätten till personlig integritet och genomförandet, övervakningen och verkställandet av det i praktiken (7).

5

6

7

| (5) | Kommissionen har noggrant analyserat relevant lagstiftning och praxis i Förenade kungariket. På grundval av sina slutsatser nedan kommer kommissionen fram till att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som överförs från behöriga myndigheter i unionen, som omfattas av tillämpningsområdet för direktiv (EU) 2016/680, till behöriga myndigheter i Förenade kungariket som omfattas av del 3 i Data Protection Act 2018 (dataskyddslagen från 2018) (8). |
| --- | --- |

(5)

Kommissionen har noggrant analyserat relevant lagstiftning och praxis i Förenade kungariket. På grundval av sina slutsatser nedan kommer kommissionen fram till att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som överförs från behöriga myndigheter i unionen, som omfattas av tillämpningsområdet för direktiv (EU) 2016/680, till behöriga myndigheter i Förenade kungariket som omfattas av del 3 i Data Protection Act 2018 (dataskyddslagen från 2018) (8).

Data Protection Act 2018

dataskyddslagen från 2018

8

| (6) | Detta beslut innebär att sådana överföringar får äga rum utan att det krävs ytterligare tillstånd för en period på fyra år, med förbehåll för en eventuell förlängning, och utan att det påverkar tillämpningen av de villkor som fastställs i artikel 35 i direktiv (EU) 2016/680. |
| --- | --- |

(6)

Detta beslut innebär att sådana överföringar får äga rum utan att det krävs ytterligare tillstånd för en period på fyra år, med förbehåll för en eventuell förlängning, och utan att det påverkar tillämpningen av de villkor som fastställs i artikel 35 i direktiv (EU) 2016/680.

2.   REGLER FÖR BEHÖRIGA MYNDIGHETERS BEHANDLING AV PERSONUPPGIFTER I BROTTSBEKÄMPNINGSSYFTE

REGLER FÖR BEHÖRIGA MYNDIGHETERS BEHANDLING AV PERSONUPPGIFTER I BROTTSBEKÄMPNINGSSYFTE

2.1   Den konstitutionella ramen

Den konstitutionella ramen

| (7) | Förenade kungariket är en parlamentarisk demokrati. Det har ett suveränt parlament som är högsta instans för alla andra statliga institutioner, en verkställande makt som är utvald av och ansvarig inför parlamentet och ett oberoende rättsväsende. Den verkställande makten bygger på dess förmåga att upprätthålla förtroendet i det valda underhuset och den är ansvarig inför båda kamrarna i parlamentet (underhuset och överhuset) som ansvarar för att granska regeringen samt debattera och stifta lagar. Förenade kungarikets parlament har delegerat ansvaret till det skotska parlamentet, det walesiska parlamentet (Senedd Cymru) och Nordirlands parlament för att lagstifta om vissa inhemska frågor i Skottland, Wales och Nordirland. Medan skydd av personuppgifter är en fråga som förbehålls Förenade kungarikets parlament, dvs. samma lagstiftning gäller i hela landet, har andra politikområden som är relevanta för detta beslut delegerats. Till exempel har Skottlands och Nordirlands straffrättsliga system, inklusive polisens verksamhet, delegerats till det skotska parlamentet respektive Nordirlands parlament (9). |
| --- | --- |

(7)

Förenade kungariket är en parlamentarisk demokrati. Det har ett suveränt parlament som är högsta instans för alla andra statliga institutioner, en verkställande makt som är utvald av och ansvarig inför parlamentet och ett oberoende rättsväsende. Den verkställande makten bygger på dess förmåga att upprätthålla förtroendet i det valda underhuset och den är ansvarig inför båda kamrarna i parlamentet (underhuset och överhuset) som ansvarar för att granska regeringen samt debattera och stifta lagar. Förenade kungarikets parlament har delegerat ansvaret till det skotska parlamentet, det walesiska parlamentet (Senedd Cymru) och Nordirlands parlament för att lagstifta om vissa inhemska frågor i Skottland, Wales och Nordirland. Medan skydd av personuppgifter är en fråga som förbehålls Förenade kungarikets parlament, dvs. samma lagstiftning gäller i hela landet, har andra politikområden som är relevanta för detta beslut delegerats. Till exempel har Skottlands och Nordirlands straffrättsliga system, inklusive polisens verksamhet, delegerats till det skotska parlamentet respektive Nordirlands parlament (9).

Senedd Cymru

9

| (8) | Även om Förenade kungariket inte har någon kodifierad konstitution i form av ett grundläggande konstituerande dokument har dess konstitutionella principer med tiden utvecklats, särskilt genom rättspraxis och konvention. Det konstitutionella värdet av vissa lagar, till exempel Magna Carta, 1689 års lag om rättigheter och lagen om mänskliga rättigheter från 1998 har erkänts. Enskilda personers grundläggande rättigheter har utvecklats, som en del av konstitutionen, genom gemensamma lagar, de skrivna lagarna och internationella fördrag, särskilt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen), som Förenade kungariket ratificerade 1951. Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) 1987 (10). |
| --- | --- |

(8)

Även om Förenade kungariket inte har någon kodifierad konstitution i form av ett grundläggande konstituerande dokument har dess konstitutionella principer med tiden utvecklats, särskilt genom rättspraxis och konvention. Det konstitutionella värdet av vissa lagar, till exempel Magna Carta, 1689 års lag om rättigheter och lagen om mänskliga rättigheter från 1998 har erkänts. Enskilda personers grundläggande rättigheter har utvecklats, som en del av konstitutionen, genom gemensamma lagar, de skrivna lagarna och internationella fördrag, särskilt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen), som Förenade kungariket ratificerade 1951. Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) 1987 (10).

10

| (9) | Genom Human Rights Act 1998 införlivas de rättigheter som ingår i Europakonventionen i Förenade kungarikets lagstiftning. Lagen ger varje enskild person de grundläggande rättigheter och friheter som föreskrivs i artiklarna 2–12 och 14 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och artiklarna 1–3 i dess första protokoll och artikel 1 i dess trettonde protokoll i jämförelse med artiklarna 16–18 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Detta inbegriper rätten till respekt för privatlivet och familjelivet som i sin tur omfattar rätten till skydd av personuppgifter och rätten till en rättvis rättegång (11). Enligt artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna får en offentlig myndighet endast ingripa i rätten till privatliv enligt lagen om det är nödvändigt i ett demokratiskt samhälle för att skydda den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, för att förhindra oordning eller brott, för att skydda hälsa eller moral respektive för att skydda andras fri- och rättigheter. |
| --- | --- |

(9)

Genom Human Rights Act 1998 införlivas de rättigheter som ingår i Europakonventionen i Förenade kungarikets lagstiftning. Lagen ger varje enskild person de grundläggande rättigheter och friheter som föreskrivs i artiklarna 2–12 och 14 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och artiklarna 1–3 i dess första protokoll och artikel 1 i dess trettonde protokoll i jämförelse med artiklarna 16–18 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Detta inbegriper rätten till respekt för privatlivet och familjelivet som i sin tur omfattar rätten till skydd av personuppgifter och rätten till en rättvis rättegång (11). Enligt artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna får en offentlig myndighet endast ingripa i rätten till privatliv enligt lagen om det är nödvändigt i ett demokratiskt samhälle för att skydda den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, för att förhindra oordning eller brott, för att skydda hälsa eller moral respektive för att skydda andras fri- och rättigheter.

Human Rights Act 1998

11

| (10) | I enlighet med Human Rights Act 1998 måste alla åtgärder som vidtas av offentliga myndigheter vara förenliga med en rättighet som garanteras i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (12). Dessutom måste primär- och sekundärrätten läsas och genomföras på ett sätt som är förenligt med dessa rättigheter (13). Om en enskild person anser att hans eller hennes rättigheter, inbegripet rätten till integritet och dataskydd, har kränkts av offentliga myndigheter, kan han eller hon få sin sak prövad av domstolar Förenade kungariket i enlighet med Human Rights Act 1998 och slutligen, efter att ha uttömt nationella rättsmedel, få sin sak prövad av Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen. |
| --- | --- |

(10)

I enlighet med Human Rights Act 1998 måste alla åtgärder som vidtas av offentliga myndigheter vara förenliga med en rättighet som garanteras i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (12). Dessutom måste primär- och sekundärrätten läsas och genomföras på ett sätt som är förenligt med dessa rättigheter (13). Om en enskild person anser att hans eller hennes rättigheter, inbegripet rätten till integritet och dataskydd, har kränkts av offentliga myndigheter, kan han eller hon få sin sak prövad av domstolar Förenade kungariket i enlighet med Human Rights Act 1998 och slutligen, efter att ha uttömt nationella rättsmedel, få sin sak prövad av Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen.

Human Rights Act 1998

12

13

Human Rights Act 1998

2.2   Förenade kungarikets dataskyddsram

Förenade kungarikets dataskyddsram

| (11) | Den 31 januari 2020 utträdde Förenade kungariket ur unionen. På grundval av avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen (14) fortsatte unionsrätten att tillämpas i Förenade kungariket under övergångsperioden till och med den 31 december 2020. Före utträdet och under övergångsperioden bestod den rättsliga ramen för skydd av personuppgifter i Förenade kungariket för behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten, av relevanta delar av 2018 års dataskyddslag genom vilken direktiv (EU) 2016/680 införlivades. |
| --- | --- |

(11)

Den 31 januari 2020 utträdde Förenade kungariket ur unionen. På grundval av avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen (14) fortsatte unionsrätten att tillämpas i Förenade kungariket under övergångsperioden till och med den 31 december 2020. Före utträdet och under övergångsperioden bestod den rättsliga ramen för skydd av personuppgifter i Förenade kungariket för behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten, av relevanta delar av 2018 års dataskyddslag genom vilken direktiv (EU) 2016/680 införlivades.

14

| (12) | Som en förberedelse inför utträdet ur EU antog Förenade kungarikets regering European Union (Withdrawal) Act 2018 (EUWA) (15) som införlivade direkt tillämplig unionslagstiftning i Förenade kungarikets lagstiftning och föreskrev att så kallad EU-härledd inhemsk lagstiftning fortsätter att gälla efter övergångsperiodens slut. Del 3 i dataskyddslagen från 2018 (16) som införlivar direktiv (EU) 2016/680 utgör ”EU-härledd inhemsk lagstiftning” enligt EUWA. Enligt EUWA måste den oförändrade ”EU-härledda nationella lagstiftningen” tolkas av domstolarna i Förenade kungariket i enlighet med relevant rättspraxis från Europeiska unionens domstol och allmänna principer i unionsrätten eftersom de hade verkan omedelbart före övergångsperiodens utgång (bibehållen EU-rättspraxis respektive bibehållen allmän EU-rättspraxis) (17). |
| --- | --- |

(12)

Som en förberedelse inför utträdet ur EU antog Förenade kungarikets regering European Union (Withdrawal) Act 2018 (EUWA) (15) som införlivade direkt tillämplig unionslagstiftning i Förenade kungarikets lagstiftning och föreskrev att så kallad EU-härledd inhemsk lagstiftning fortsätter att gälla efter övergångsperiodens slut. Del 3 i dataskyddslagen från 2018 (16) som införlivar direktiv (EU) 2016/680 utgör ”EU-härledd inhemsk lagstiftning” enligt EUWA. Enligt EUWA måste den oförändrade ”EU-härledda nationella lagstiftningen” tolkas av domstolarna i Förenade kungariket i enlighet med relevant rättspraxis från Europeiska unionens domstol och allmänna principer i unionsrätten eftersom de hade verkan omedelbart före övergångsperiodens utgång (bibehållen EU-rättspraxis respektive bibehållen allmän EU-rättspraxis) (17).

European Union (Withdrawal) Act 2018

15

16

bibehållen EU-rättspraxis

bibehållen allmän EU-rättspraxis

17

| (13) | Enligt EUWA har Förenade kungarikets ministrar befogenhet att införa sekundärlagstiftning via rättsliga instrument för att införa nödvändiga ändringar av bibehållen EU-lagstiftning till följd av Förenade kungarikets utträde ur unionen. Denna befogenhet utövades genom 2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar etc.) (EU Exit) (DPPEC Regulations) (18). De ändrar Förenade kungarikets dataskyddslagstiftning, inklusive dataskyddslagen från 2018, så att den passar i den inhemska kontexten (19). |
| --- | --- |

(13)

Enligt EUWA har Förenade kungarikets ministrar befogenhet att införa sekundärlagstiftning via rättsliga instrument för att införa nödvändiga ändringar av bibehållen EU-lagstiftning till följd av Förenade kungarikets utträde ur unionen. Denna befogenhet utövades genom 2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar etc.) (EU Exit) (DPPEC Regulations) (18). De ändrar Förenade kungarikets dataskyddslagstiftning, inklusive dataskyddslagen från 2018, så att den passar i den inhemska kontexten (19).

18

19

| (14) | Följaktligen kommer de rättsliga standarderna för behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten i Förenade kungariket efter övergångsperioden enligt utträdesavtalet att fortsätta att fastställas i relevanta delar av dataskyddslagen från 2018 men i dess ändrade lydelse enligt DPPEC-förordningarna, särskilt del 3 i den lagen. Den brittiska dataskyddsförordningen (UK GDPR) är inte tillämplig på denna typ av behandling. |
| --- | --- |

(14)

Följaktligen kommer de rättsliga standarderna för behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten i Förenade kungariket efter övergångsperioden enligt utträdesavtalet att fortsätta att fastställas i relevanta delar av dataskyddslagen från 2018 men i dess ändrade lydelse enligt DPPEC-förordningarna, särskilt del 3 i den lagen. Den brittiska dataskyddsförordningen (UK GDPR) är inte tillämplig på denna typ av behandling.

| (15) | Del 3 i dataskyddslagen från 2018 innehåller regler för behandling av personuppgifter i brottsbekämpningssyfte, inbegripet dataskyddsprinciper, rättsliga grunder för behandling (laglighet), de registrerades rättigheter, de behöriga myndigheternas skyldigheter i egenskap av personuppgiftsansvariga och begränsningar av vidare överföringar. Samtidigt finns tillämpliga bestämmelser om tillsyn, verkställighet och prövning som är tillämpliga på den brottsbekämpande sektorn i delarna 5 och 6 i dataskyddslagen från 2018. |
| --- | --- |

(15)

Del 3 i dataskyddslagen från 2018 innehåller regler för behandling av personuppgifter i brottsbekämpningssyfte, inbegripet dataskyddsprinciper, rättsliga grunder för behandling (laglighet), de registrerades rättigheter, de behöriga myndigheternas skyldigheter i egenskap av personuppgiftsansvariga och begränsningar av vidare överföringar. Samtidigt finns tillämpliga bestämmelser om tillsyn, verkställighet och prövning som är tillämpliga på den brottsbekämpande sektorn i delarna 5 och 6 i dataskyddslagen från 2018.

| (16) | Med tanke på polisstyrkornas relevanta roll inom den brottsbekämpande sektorn bör man dessutom beakta de regler som styr polisarbetet. Eftersom polisen är en decentraliserad angelägenhet är olika rättsakter, som dock ofta är snarlika till innehållet, tillämpliga på polisverksamhet i a) England och Wales, b) Skottland och c) Nordirland (20). Dessutom innehåller olika typer av vägledningsdokument ytterligare klargöranden om hur polisens befogenheter bör användas. Följande tre huvudsakliga former av polisvägledning finns: 1) Lagstadgad vägledning som utfärdats enligt lagstiftning, t.ex. Code of Ethics (21) och Code of Practice on the Management of Police Information (MoPI Code of Practice) (22) som utfärdats enligt Police Act 1996 (polislagen från 1996) (23) eller Pace-koder (24) som utfärdats enligt Police and Criminal Evidence Act (25), 2) auktoriserad yrkesmässig praxis för hantering av polisinformation (APP Guidance on the Management of Police Information) (26) utfärdad av polishögskolan och 3) operativ vägledning (offentliggjord av polisen själv). National Police Chiefs Council (ett samordningsorgan för alla polisstyrkor i Förenade kungariket) offentliggör operativ vägledning som alla polisstyrkor har godkänt och som därför tillämpas nationellt (27). Syftet med denna vägledning är att säkerställa konsekvens mellan olika polisstyrkor när det gäller hur informationen hanteras (28). |
| --- | --- |

(16)

Med tanke på polisstyrkornas relevanta roll inom den brottsbekämpande sektorn bör man dessutom beakta de regler som styr polisarbetet. Eftersom polisen är en decentraliserad angelägenhet är olika rättsakter, som dock ofta är snarlika till innehållet, tillämpliga på polisverksamhet i a) England och Wales, b) Skottland och c) Nordirland (20). Dessutom innehåller olika typer av vägledningsdokument ytterligare klargöranden om hur polisens befogenheter bör användas. Följande tre huvudsakliga former av polisvägledning finns: 1) Lagstadgad vägledning som utfärdats enligt lagstiftning, t.ex. Code of Ethics (21) och Code of Practice on the Management of Police Information (MoPI Code of Practice) (22) som utfärdats enligt Police Act 1996 (polislagen från 1996) (23) eller Pace-koder (24) som utfärdats enligt Police and Criminal Evidence Act (25), 2) auktoriserad yrkesmässig praxis för hantering av polisinformation (APP Guidance on the Management of Police Information) (26) utfärdad av polishögskolan och 3) operativ vägledning (offentliggjord av polisen själv). National Police Chiefs Council (ett samordningsorgan för alla polisstyrkor i Förenade kungariket) offentliggör operativ vägledning som alla polisstyrkor har godkänt och som därför tillämpas nationellt (27). Syftet med denna vägledning är att säkerställa konsekvens mellan olika polisstyrkor när det gäller hur informationen hanteras (28).

20

Code of Ethics

21

Code of Practice on the Management of Police Information

22

Police Act 1996

23

24

Police and Criminal Evidence Act

25

APP Guidance on the Management of Police Information

26

National Police Chiefs Council

27

28

| (17) | MoPI Code of Practice utfärdades av ministern 2005 med stöd av de befogenheter som föreskrivs i avsnitt 39A i polislagen från 1996 (29). Alla riktlinjer som utfärdas enligt polislagen måste godkännas av ministern och ska vara föremål för samråd med National Crime Agency innan de läggs fram för parlamentet. Enligt avsnitt 39A 7 i polislagen ska polisen ta vederbörlig hänsyn till de uppförandekoder som utfärdats enligt lagen och därför förväntas polisen följa den (30). Dessutom måste den lagstadgade vägledningen (till exempel APP Guidance on the Management of Police Information) alltid vara förenlig med MoPI Code of Practice som återfinns ovanför den (31). Även om det kan finnas vissa operativa situationer där poliser behöver avvika från denna vägledning är de ändå skyldiga att uppfylla kraven i del 3 i dataskyddslagen från 2018 (32). |
| --- | --- |

(17)

MoPI Code of Practice utfärdades av ministern 2005 med stöd av de befogenheter som föreskrivs i avsnitt 39A i polislagen från 1996 (29). Alla riktlinjer som utfärdas enligt polislagen måste godkännas av ministern och ska vara föremål för samråd med National Crime Agency innan de läggs fram för parlamentet. Enligt avsnitt 39A 7 i polislagen ska polisen ta vederbörlig hänsyn till de uppförandekoder som utfärdats enligt lagen och därför förväntas polisen följa den (30). Dessutom måste den lagstadgade vägledningen (till exempel APP Guidance on the Management of Police Information) alltid vara förenlig med MoPI Code of Practice som återfinns ovanför den (31). Även om det kan finnas vissa operativa situationer där poliser behöver avvika från denna vägledning är de ändå skyldiga att uppfylla kraven i del 3 i dataskyddslagen från 2018 (32).

MoPI Code of Practice

29

National Crime Agency

30

APP Guidance on the Management of Police Information

MoPI Code of Practice

31

32

| (18) | Ytterligare vägledning om Förenade kungarikets dataskyddslagstiftning för behandling inom brottsbekämpningsområdet ges av Information Commissioner (Information Commissioner eller Information Commissioner’s Office) (33) (för närmare uppgifter om Information Commissioner’s Office, se skälen (93)–(109)). Även om det inte är rättsligt bindande skulle domstolarna i ett domstolsförfarande vara skyldiga att beakta eventuella överträdelser av riktlinjerna eftersom de har tolkningsvikt och visar hur dataskyddslagstiftningen tolkas och verkställs av Commissioner i praktiken (34). |
| --- | --- |

(18)

Ytterligare vägledning om Förenade kungarikets dataskyddslagstiftning för behandling inom brottsbekämpningsområdet ges av Information Commissioner (Information Commissioner eller Information Commissioner’s Office) (33) (för närmare uppgifter om Information Commissioner’s Office, se skälen (93)–(109)). Även om det inte är rättsligt bindande skulle domstolarna i ett domstolsförfarande vara skyldiga att beakta eventuella överträdelser av riktlinjerna eftersom de har tolkningsvikt och visar hur dataskyddslagstiftningen tolkas och verkställs av Commissioner i praktiken (34).

Information Commissioner

Information Commissioner’s Office

33

Information Commissioner’s Office

34

| (19) | Som anges i skälen 8)–10) måste de brottsbekämpande organen i Förenade kungariket slutligen se till att Europakonventionen och konvention nr 108 följs. |
| --- | --- |

(19)

Som anges i skälen 8)–10) måste de brottsbekämpande organen i Förenade kungariket slutligen se till att Europakonventionen och konvention nr 108 följs.

| (20) | I sin struktur och sina huvudkomponenter är den rättsliga ramen för de brottsbekämpande myndigheternas behandling av uppgifter i Förenade kungariket således mycket lik den som gäller i EU. Detta inbegriper det faktum att en sådan ram inte enbart bygger på skyldigheter som föreskrivs i nationell rätt, som har utformats genom unionsrätten, utan även på skyldigheter som följer av internationell rätt, särskilt genom Förenade kungarikets anslutning till Europakonventionen och konvention 108 samt dess överlämnande till Europeiska domstolen för de mänskliga rättigheternas jurisdiktion. Dessa skyldigheter som följer av rättsligt bindande internationella instrument, särskilt när det gäller skydd av personuppgifter, är därför en särskilt viktig del av den rättsliga ram som bedöms i detta beslut. |
| --- | --- |

(20)

I sin struktur och sina huvudkomponenter är den rättsliga ramen för de brottsbekämpande myndigheternas behandling av uppgifter i Förenade kungariket således mycket lik den som gäller i EU. Detta inbegriper det faktum att en sådan ram inte enbart bygger på skyldigheter som föreskrivs i nationell rätt, som har utformats genom unionsrätten, utan även på skyldigheter som följer av internationell rätt, särskilt genom Förenade kungarikets anslutning till Europakonventionen och konvention 108 samt dess överlämnande till Europeiska domstolen för de mänskliga rättigheternas jurisdiktion. Dessa skyldigheter som följer av rättsligt bindande internationella instrument, särskilt när det gäller skydd av personuppgifter, är därför en särskilt viktig del av den rättsliga ram som bedöms i detta beslut.

2.3   Materiellt och territoriellt tillämpningsområde

Materiellt och territoriellt tillämpningsområde

| (21) | Det materiella tillämpningsområdet för del 3 i dataskyddslagen från 2018 sammanfaller med tillämpningsområdet för direktiv 2016/680 enligt artikel 2.2 i samma direktiv. Del 3 ska tillämpas på en behörig myndighets behandling av personuppgifter helt eller delvis på automatisk väg och på en behörig myndighets behandling på annat sätt än automatiserad behandling av personuppgifter som ingår i eller är avsedda att ingå i ett register. |
| --- | --- |

(21)

Det materiella tillämpningsområdet för del 3 i dataskyddslagen från 2018 sammanfaller med tillämpningsområdet för direktiv 2016/680 enligt artikel 2.2 i samma direktiv. Del 3 ska tillämpas på en behörig myndighets behandling av personuppgifter helt eller delvis på automatisk väg och på en behörig myndighets behandling på annat sätt än automatiserad behandling av personuppgifter som ingår i eller är avsedda att ingå i ett register.

| (22) | För att omfattas av del 3 måste den personuppgiftsansvariga vara en ”behörig myndighet” och behandlingen måste utföras för ett ”brottsbekämpande ändamål”. Därför är det system för skydd av personuppgifter som bedöms i detta beslut tillämpligt på all brottsbekämpande verksamhet som bedrivs av dessa behöriga myndigheter. |
| --- | --- |

(22)

För att omfattas av del 3 måste den personuppgiftsansvariga vara en ”behörig myndighet” och behandlingen måste utföras för ett ”brottsbekämpande ändamål”. Därför är det system för skydd av personuppgifter som bedöms i detta beslut tillämpligt på all brottsbekämpande verksamhet som bedrivs av dessa behöriga myndigheter.

| (23) | Begreppet ”behörig myndighet” definieras i avsnitt 30 i dataskyddslagen som en person som förtecknas i tillägg 7 till dataskyddslagen från 2018 samt varje annan person i den mån personen har lagstadgade uppgifter för något av de brottsbekämpande ändamålen. De behöriga myndigheter som förtecknas i tillägg 7 omfattar inte bara polisen utan även alla ministerier och andra myndigheter med utredningsfunktioner (t.ex. Commissioner for Her Majesty’s Revenue and Customs, the Welsh Revenue Authority, the Competition and Markets Authority, Her Majesty’s Land Register eller the National Crime Agency), åklagarmyndigheter, andra straffrättsliga myndigheter och andra innehavare eller organisationer som bedriver brottsbekämpande verksamhet i Förenade kungariket (35). Del 3 i dataskyddslagen från 2018 är också tillämplig på domstolar när de utövar sina rättsliga funktioner med undantag för den del som rör den registrerades rättigheter och tillsyn av ICO (kontoret för Information Commissioner) (36). Förteckningen över behöriga myndigheter i tillägg 7 är inte slutgiltig och kan uppdateras av ministern genom förordningar som tar hänsyn till förändringar i organisationen av offentliga ämbeten (37). |
| --- | --- |

(23)

Begreppet ”behörig myndighet” definieras i avsnitt 30 i dataskyddslagen som en person som förtecknas i tillägg 7 till dataskyddslagen från 2018 samt varje annan person i den mån personen har lagstadgade uppgifter för något av de brottsbekämpande ändamålen. De behöriga myndigheter som förtecknas i tillägg 7 omfattar inte bara polisen utan även alla ministerier och andra myndigheter med utredningsfunktioner (t.ex. Commissioner for Her Majesty’s Revenue and Customs, the Welsh Revenue Authority, the Competition and Markets Authority, Her Majesty’s Land Register eller the National Crime Agency), åklagarmyndigheter, andra straffrättsliga myndigheter och andra innehavare eller organisationer som bedriver brottsbekämpande verksamhet i Förenade kungariket (35). Del 3 i dataskyddslagen från 2018 är också tillämplig på domstolar när de utövar sina rättsliga funktioner med undantag för den del som rör den registrerades rättigheter och tillsyn av ICO (kontoret för Information Commissioner) (36). Förteckningen över behöriga myndigheter i tillägg 7 är inte slutgiltig och kan uppdateras av ministern genom förordningar som tar hänsyn till förändringar i organisationen av offentliga ämbeten (37).

Commissioner for Her Majesty’s Revenue and Customs

the Welsh Revenue Authority

the Competition and Markets Authority

Her Majesty’s Land Register

the National Crime Agency

35

Information Commissioner

36

37

| (24) | Behandlingen i fråga måste också ha ett ”brottsbekämpningssyfte” som definieras som förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten (38). Behandling som utförs av en behörig myndighet regleras inte av del 3 i dataskyddslagen från 2018 om behandlingen inte sker i brottsbekämpande syfte. Detta kommer till exempel att vara fallet när konkurrens- och marknadsmyndigheten utreder ärenden som inte är kriminaliserade (t.ex. företagssammanslagningar). I så fall kommer den brittiska dataskyddsförordningen (UK GDPR), tillsammans med del 2 i dataskyddslagen från 2018, att gälla eftersom behöriga myndigheters behandling av personuppgifter sker för andra ändamål än brottsbekämpning. För att avgöra vilket system för skydd av personuppgifter som ska tillämpas (del 3 eller del 2 i dataskyddslagen från 2018) på behandlingen av personuppgifter i fråga måste den behöriga myndigheten, dvs. den personuppgiftsansvariga, överväga om det ”primära ändamålet” med sådan behandling är ett av de brottsbekämpande ändamålen enligt dataskyddslagen från 2018. |
| --- | --- |

(24)

Behandlingen i fråga måste också ha ett ”brottsbekämpningssyfte” som definieras som förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten (38). Behandling som utförs av en behörig myndighet regleras inte av del 3 i dataskyddslagen från 2018 om behandlingen inte sker i brottsbekämpande syfte. Detta kommer till exempel att vara fallet när konkurrens- och marknadsmyndigheten utreder ärenden som inte är kriminaliserade (t.ex. företagssammanslagningar). I så fall kommer den brittiska dataskyddsförordningen (UK GDPR), tillsammans med del 2 i dataskyddslagen från 2018, att gälla eftersom behöriga myndigheters behandling av personuppgifter sker för andra ändamål än brottsbekämpning. För att avgöra vilket system för skydd av personuppgifter som ska tillämpas (del 3 eller del 2 i dataskyddslagen från 2018) på behandlingen av personuppgifter i fråga måste den behöriga myndigheten, dvs. den personuppgiftsansvariga, överväga om det ”primära ändamålet” med sådan behandling är ett av de brottsbekämpande ändamålen enligt dataskyddslagen från 2018.

38

| (25) | När det gäller det territoriella tillämpningsområdet för del 3 i dataskyddslagen från 2018 föreskrivs i avsnitt 207.2 att dataskyddslagen är tillämplig på behandling av personuppgifter i samband med verksamhet som bedrivs av en person som har en etablering inom hela Förenade kungarikets territorium. Detta inbegriper offentliga myndigheter i territorierna England, Wales, Skottland och Nordirland som omfattas av det materiella tillämpningsområdet av del 3 i dataskyddslagen från 2018 (39). |
| --- | --- |

(25)

När det gäller det territoriella tillämpningsområdet för del 3 i dataskyddslagen från 2018 föreskrivs i avsnitt 207.2 att dataskyddslagen är tillämplig på behandling av personuppgifter i samband med verksamhet som bedrivs av en person som har en etablering inom hela Förenade kungarikets territorium. Detta inbegriper offentliga myndigheter i territorierna England, Wales, Skottland och Nordirland som omfattas av det materiella tillämpningsområdet av del 3 i dataskyddslagen från 2018 (39).

39

2.3.1   Definition av personuppgifter och behandling

Definition av personuppgifter och behandling

| (26) | De viktigaste begreppen personuppgifter och behandling definieras i avsnitt 3 i dataskyddslagen från 2018 och gäller i hela dataskyddslagen. Definitionerna följer nära motsvarande definitioner i artikel 3 i direktiv 2016/680. Enligt dataskyddslagen från 2018 avses med personuppgifter all information som avser en identifierad eller identifierbar fysisk person (40). Enligt avsnitt 3.3 i dataskyddslagen från 2018 är en individ identifierbar om han eller hon direkt eller indirekt kan identifieras utifrån informationen, inbegripet genom hänvisning till ett namn eller en identifierare eller genom hänvisning till en eller flera faktorer som är specifika för personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Begreppet ”behandling” definieras som en åtgärd eller serie av åtgärder som utförs på information eller på en uppsättning uppgifter, till exempel a) insamling, registrering, organisering, strukturering eller lagring, b) anpassning eller ändring, c) hämtning, läsning eller användning, d) utlämnandet genom överföring, spridning eller på annat sätt tillgängliggörande, e) inställning eller kombination eller f) begränsning, radering eller förstöring. I lagen definieras dessutom ”känslig behandling” som ”a) behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, b) behandling av genetiska uppgifter eller biometriska uppgifter i syfte att unikt identifiera en individ, c) behandling av hälsouppgifter, d) behandling av uppgifter om en persons sexualliv eller sexuella läggning” (41). I detta avseende innehåller avsnitt 205 i dataskyddslagen från 2018 en definition av ”biometriska uppgifter” (42), ”uppgifter om hälsa” (43) och ”genetiska uppgifter” (44). |
| --- | --- |

(26)

De viktigaste begreppen personuppgifter och behandling definieras i avsnitt 3 i dataskyddslagen från 2018 och gäller i hela dataskyddslagen. Definitionerna följer nära motsvarande definitioner i artikel 3 i direktiv 2016/680. Enligt dataskyddslagen från 2018 avses med personuppgifter all information som avser en identifierad eller identifierbar fysisk person (40). Enligt avsnitt 3.3 i dataskyddslagen från 2018 är en individ identifierbar om han eller hon direkt eller indirekt kan identifieras utifrån informationen, inbegripet genom hänvisning till ett namn eller en identifierare eller genom hänvisning till en eller flera faktorer som är specifika för personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Begreppet ”behandling” definieras som en åtgärd eller serie av åtgärder som utförs på information eller på en uppsättning uppgifter, till exempel a) insamling, registrering, organisering, strukturering eller lagring, b) anpassning eller ändring, c) hämtning, läsning eller användning, d) utlämnandet genom överföring, spridning eller på annat sätt tillgängliggörande, e) inställning eller kombination eller f) begränsning, radering eller förstöring. I lagen definieras dessutom ”känslig behandling” som ”a) behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, b) behandling av genetiska uppgifter eller biometriska uppgifter i syfte att unikt identifiera en individ, c) behandling av hälsouppgifter, d) behandling av uppgifter om en persons sexualliv eller sexuella läggning” (41). I detta avseende innehåller avsnitt 205 i dataskyddslagen från 2018 en definition av ”biometriska uppgifter” (42), ”uppgifter om hälsa” (43) och ”genetiska uppgifter” (44).

40

41

42

43

44

| (27) | I avsnitt 32 i dataskyddslagen från 2018 förtydligas definitionerna av registeransvarig och personuppgiftsbiträde i samband med behandling av personuppgifter för brottsbekämpande ändamål i enlighet med motsvarande definitioner i direktiv 2016/680. Den personuppgiftsansvariga innebär den behöriga myndighet som fastställer ändamålen och medlen för behandlingen av personuppgifter. Om behandlingen krävs enligt lag är den personuppgiftsansvariga den behöriga myndighet för vilken en sådan skyldighet föreskrivs i den aktuella lagen. Ett personuppgiftsbiträde definieras som varje person som behandlar personuppgifter för den personuppgiftsansvarigas räkning (utom en person som är anställd hos den personuppgiftsansvariga). |
| --- | --- |

(27)

I avsnitt 32 i dataskyddslagen från 2018 förtydligas definitionerna av registeransvarig och personuppgiftsbiträde i samband med behandling av personuppgifter för brottsbekämpande ändamål i enlighet med motsvarande definitioner i direktiv 2016/680. Den personuppgiftsansvariga innebär den behöriga myndighet som fastställer ändamålen och medlen för behandlingen av personuppgifter. Om behandlingen krävs enligt lag är den personuppgiftsansvariga den behöriga myndighet för vilken en sådan skyldighet föreskrivs i den aktuella lagen. Ett personuppgiftsbiträde definieras som varje person som behandlar personuppgifter för den personuppgiftsansvarigas räkning (utom en person som är anställd hos den personuppgiftsansvariga).

2.4   Skyddsåtgärder, rättigheter och skyldigheter

Skyddsåtgärder, rättigheter och skyldigheter

2.4.1   Laglig och korrekt behandling

Laglig och korrekt behandling

| (28) | Enligt avsnitt 35 i dataskyddslagen från 2018 ska behandlingen av personuppgifter vara laglig och rättvis på ett liknande sätt som i artikel 4.1 a i direktiv (EU) 2016/680. I enlighet med avsnitt 35.2 i dataskyddslagen från 2018 är behandling av personuppgifter för något av de brottsbekämpande ändamålen laglig endast om den grundas på lag och den registrerade har gett sitt samtycke till behandlingen för detta ändamål eller om behandlingen är nödvändig för att utföra en arbetsuppgift som utförs för detta ändamål av en behörig myndighet. |
| --- | --- |

(28)

Enligt avsnitt 35 i dataskyddslagen från 2018 ska behandlingen av personuppgifter vara laglig och rättvis på ett liknande sätt som i artikel 4.1 a i direktiv (EU) 2016/680. I enlighet med avsnitt 35.2 i dataskyddslagen från 2018 är behandling av personuppgifter för något av de brottsbekämpande ändamålen laglig endast om den grundas på lag och den registrerade har gett sitt samtycke till behandlingen för detta ändamål eller om behandlingen är nödvändig för att utföra en arbetsuppgift som utförs för detta ändamål av en behörig myndighet.

2.4.1.1   Behandling på grundval av lag

Behandling på grundval av lag

| (29) | I likhet med artikel 8 i direktiv (EU) 2016/680 måste sådan behandling grundas på lag för att säkerställa att en behandling som omfattas av del 3 i dataskyddslagen från 2018 är laglig. Laglig behandling innebär tillåten enligt antingen lag, gemensam lag eller kungliga befogenheter (45). |
| --- | --- |

(29)

I likhet med artikel 8 i direktiv (EU) 2016/680 måste sådan behandling grundas på lag för att säkerställa att en behandling som omfattas av del 3 i dataskyddslagen från 2018 är laglig. Laglig behandling innebär tillåten enligt antingen lag, gemensam lag eller kungliga befogenheter (45).

45

| (30) | De behöriga myndigheternas befogenheter regleras i allmänhet av stadgar vilket innebär att deras uppgifter och befogenheter tydligt anges i lagstiftning som antas av parlamentet (46). I vissa fall kan polisen och andra behöriga myndigheter som förtecknas i tillägg 7 i dataskyddslagen från 2018 förlita sig på common law för att behandla uppgifter (47). Common law har byggts upp genom prejudikat i domstolsbeslut. Common law är relevant inom ramen för polisens befogenheter som härrör från denna rättskälla och dess grundläggande skyldighet att skydda allmänheten genom att upptäcka och förebygga brott (48). Polisen har dock befogenheter både när det gäller common law och lagstiftning (49) för att fullgöra en sådan skyldighet. Om polisen har en lagstadgad befogenhet ersätter detta alla befogenheter enligt common law (50). |
| --- | --- |

(30)

De behöriga myndigheternas befogenheter regleras i allmänhet av stadgar vilket innebär att deras uppgifter och befogenheter tydligt anges i lagstiftning som antas av parlamentet (46). I vissa fall kan polisen och andra behöriga myndigheter som förtecknas i tillägg 7 i dataskyddslagen från 2018 förlita sig på common law för att behandla uppgifter (47). Common law har byggts upp genom prejudikat i domstolsbeslut. Common law är relevant inom ramen för polisens befogenheter som härrör från denna rättskälla och dess grundläggande skyldighet att skydda allmänheten genom att upptäcka och förebygga brott (48). Polisen har dock befogenheter både när det gäller common law och lagstiftning (49) för att fullgöra en sådan skyldighet. Om polisen har en lagstadgad befogenhet ersätter detta alla befogenheter enligt common law (50).

46

47

48

49

50

| (31) | Omfattningen av polistjänstemannens befogenheter och skyldigheter enligt common law har av domstolarna erkänts omfatta ”alla åtgärder som han eller hon anser nödvändiga för att upprätthålla den allmänna ordningen, förhindra brott eller skydda egendom mot kriminella handlingar” (51). Befogenheter enligt common law är inte oreserverade befogenheter. De omfattas av en rad begränsningar, däribland gränser som fastställts av domstolarna (52) och genom lagstiftning, särskilt Human Rights Act 1998 och 2010 års lag om jämställdhet (Equality Act 2010) (53). För behöriga myndigheter som behandlar uppgifter enligt del 3 i dataskyddslagen från 2018 innebär detta dessutom att de utövar befogenheter enligt common law i enlighet med kraven i dataskyddslagen från 2018 (54). Dessutom måste ett beslut om att utföra någon form av databehandling beakta kraven i tillämplig vägledning, till exempel MoPI Code of Practice och vägledning som är specifik för ett av Förenade kungarikets länder (55). Regeringen och det operativa polisväsendet utfärdar ett antal vägledningsdokument för att se till att poliser utövar sina befogenheter inom de gränser som fastställs i common law eller annan relevant lagstiftning (56). |
| --- | --- |

(31)

Omfattningen av polistjänstemannens befogenheter och skyldigheter enligt common law har av domstolarna erkänts omfatta ”alla åtgärder som han eller hon anser nödvändiga för att upprätthålla den allmänna ordningen, förhindra brott eller skydda egendom mot kriminella handlingar” (51). Befogenheter enligt common law är inte oreserverade befogenheter. De omfattas av en rad begränsningar, däribland gränser som fastställts av domstolarna (52) och genom lagstiftning, särskilt Human Rights Act 1998 och 2010 års lag om jämställdhet (Equality Act 2010) (53). För behöriga myndigheter som behandlar uppgifter enligt del 3 i dataskyddslagen från 2018 innebär detta dessutom att de utövar befogenheter enligt common law i enlighet med kraven i dataskyddslagen från 2018 (54). Dessutom måste ett beslut om att utföra någon form av databehandling beakta kraven i tillämplig vägledning, till exempel MoPI Code of Practice och vägledning som är specifik för ett av Förenade kungarikets länder (55). Regeringen och det operativa polisväsendet utfärdar ett antal vägledningsdokument för att se till att poliser utövar sina befogenheter inom de gränser som fastställs i common law eller annan relevant lagstiftning (56).

51

52

Human Rights Act 1998

Equality Act 2010

53

54

MoPI Code of Practice

55

56

| (32) | Kungliga befogenheter utgör en annan del av ”lagen” och hänvisar till vissa befogenheter som kronan har som kan utövas av den verkställande makten som inte grundar sig på lag utan härrör från monarkens suveränitet (57). Det finns mycket få exempel på särskilda befogenheter som är relevanta i brottsbekämpningssammanhang. De omfattar till exempel en ram för ömsesidig rättslig hjälp som gör det möjligt för en minister att utbyta uppgifter med tredjeländer för brottsbekämpande ändamål och befogenheten att dela uppgifter på detta sätt fastställs inte alltid i lag (58). Kungliga befogenheter är bundna av common law-principerna (59), är underordnade lagen och omfattas därför av de begränsningar som anges i Human Rights Act 1998 och dataskyddslagen från 2018 (60). |
| --- | --- |

(32)

Kungliga befogenheter utgör en annan del av ”lagen” och hänvisar till vissa befogenheter som kronan har som kan utövas av den verkställande makten som inte grundar sig på lag utan härrör från monarkens suveränitet (57). Det finns mycket få exempel på särskilda befogenheter som är relevanta i brottsbekämpningssammanhang. De omfattar till exempel en ram för ömsesidig rättslig hjälp som gör det möjligt för en minister att utbyta uppgifter med tredjeländer för brottsbekämpande ändamål och befogenheten att dela uppgifter på detta sätt fastställs inte alltid i lag (58). Kungliga befogenheter är bundna av common law-principerna (59), är underordnade lagen och omfattas därför av de begränsningar som anges i Human Rights Act 1998 och dataskyddslagen från 2018 (60).

57

58

59

Human Rights Act 1998

60

| (33) | I likhet med artikel 8 i direktiv (EU) 2016/680 kräver systemet i Förenade kungariket att de behöriga myndigheterna för att följa principen om laglighet ser till att behandlingen, när den grundar sig på lagen, också måste vara ”nödvändig” för att fullgöra den uppgift som utförs i brottsbekämpningssyfte. ICO ger vägledning i detta avseende och klargör att ”det måste vara ett riktat och proportionerligt sätt att uppnå syftet. Den rättsliga grunden gäller inte om du rimligtvis kan uppnå syftet med något annat mindre inkräktande medel. Det räcker inte att hävda att behandlingen är nödvändig eftersom du har valt att driva din verksamhet på ett visst sätt. Frågan är om behandlingen är nödvändig för det angivna ändamålet (61)”. |
| --- | --- |

(33)

I likhet med artikel 8 i direktiv (EU) 2016/680 kräver systemet i Förenade kungariket att de behöriga myndigheterna för att följa principen om laglighet ser till att behandlingen, när den grundar sig på lagen, också måste vara ”nödvändig” för att fullgöra den uppgift som utförs i brottsbekämpningssyfte. ICO ger vägledning i detta avseende och klargör att ”det måste vara ett riktat och proportionerligt sätt att uppnå syftet. Den rättsliga grunden gäller inte om du rimligtvis kan uppnå syftet med något annat mindre inkräktande medel. Det räcker inte att hävda att behandlingen är nödvändig eftersom du har valt att driva din verksamhet på ett visst sätt. Frågan är om behandlingen är nödvändig för det angivna ändamålet (61)”.

61

2.4.1.2.   Behandling på grundval av den registrerades ”samtycke”

Behandling på grundval av den registrerades ”samtycke”

| (34) | Enligt skäl (28) ger avsnitt 35.2 i dataskyddslagen från 2018 möjlighet att behandla personuppgifter på grundval av den enskildas ”samtycke”. |
| --- | --- |

(34)

Enligt skäl (28) ger avsnitt 35.2 i dataskyddslagen från 2018 möjlighet att behandla personuppgifter på grundval av den enskildas ”samtycke”.

| (35) | Samtycke förefaller dock inte vara en rättslig grund som är relevant för den behandling som omfattas av detta beslut. Den behandling som omfattas av detta beslut kommer i själva verket alltid att gälla uppgifter som har överförts av en behörig myndighet i en medlemsstat till en behörig myndighet i Förenade kungariket enligt direktiv (EU) 2016/680. Därför omfattar de vanligtvis inte den typ av direkt interaktion (insamling) mellan en offentlig myndighet och registrerade personer som kan baseras på samtycke enligt avsnitt 35.2 a i dataskyddslagen från 2018. |
| --- | --- |

(35)

Samtycke förefaller dock inte vara en rättslig grund som är relevant för den behandling som omfattas av detta beslut. Den behandling som omfattas av detta beslut kommer i själva verket alltid att gälla uppgifter som har överförts av en behörig myndighet i en medlemsstat till en behörig myndighet i Förenade kungariket enligt direktiv (EU) 2016/680. Därför omfattar de vanligtvis inte den typ av direkt interaktion (insamling) mellan en offentlig myndighet och registrerade personer som kan baseras på samtycke enligt avsnitt 35.2 a i dataskyddslagen från 2018.

| (36) | Även om åberopande av samtycke därför inte anses relevant för den bedömning som görs enligt detta beslut bör det för fullständighetens skull noteras att behandling i brottsbekämpningssammanhang aldrig grundar sig enbart på samtycke eftersom en behörig myndighet alltid måste ha en underliggande befogenhet som gör det möjligt för den att behandla uppgifterna (62). Mer specifikt, och i likhet med vad som är tillåtet enligt direktiv (EU) 2016/680 (63), innebär detta att samtycke fungerar som ett ytterligare villkor för att möjliggöra vissa begränsade och specifika behandlingar som annars inte skulle kunna utföras, till exempel insamling och behandling av ett DNA-prov från en individ som inte är misstänkt. I detta fall skulle behandlingen inte utföras om medgivandet inte ges eller återkallas (64). |
| --- | --- |

(36)

Även om åberopande av samtycke därför inte anses relevant för den bedömning som görs enligt detta beslut bör det för fullständighetens skull noteras att behandling i brottsbekämpningssammanhang aldrig grundar sig enbart på samtycke eftersom en behörig myndighet alltid måste ha en underliggande befogenhet som gör det möjligt för den att behandla uppgifterna (62). Mer specifikt, och i likhet med vad som är tillåtet enligt direktiv (EU) 2016/680 (63), innebär detta att samtycke fungerar som ett ytterligare villkor för att möjliggöra vissa begränsade och specifika behandlingar som annars inte skulle kunna utföras, till exempel insamling och behandling av ett DNA-prov från en individ som inte är misstänkt. I detta fall skulle behandlingen inte utföras om medgivandet inte ges eller återkallas (64).

62

63

64

| (37) | I fall där det krävs samtycke från den enskilda måste samtycket vara otvetydigt och innebära en entydig bekräftande handling (65). Polisen måste ha ett meddelande om skydd av personuppgifter som bland annat innehåller nödvändig information om giltig användning av samtycke. Dessutom offentliggör vissa av dem ytterligare material om hur de följer dataskyddslagstiftningen, inklusive hur och när de skulle använda samtycke som rättslig grund (66). |
| --- | --- |

(37)

I fall där det krävs samtycke från den enskilda måste samtycket vara otvetydigt och innebära en entydig bekräftande handling (65). Polisen måste ha ett meddelande om skydd av personuppgifter som bland annat innehåller nödvändig information om giltig användning av samtycke. Dessutom offentliggör vissa av dem ytterligare material om hur de följer dataskyddslagstiftningen, inklusive hur och när de skulle använda samtycke som rättslig grund (66).

65

66

2.4.1.3.   Känslig behandling

Känslig behandling

| (38) | Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” behandlas. I detta avseende innehåller del 3 i dataskyddslagen från 2018 starkare skyddsåtgärder för så kallad känslig behandling i likhet med vad som föreskrivs i artikel 10 i direktiv (EU) 2016/680 (67). |
| --- | --- |

(38)

Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” behandlas. I detta avseende innehåller del 3 i dataskyddslagen från 2018 starkare skyddsåtgärder för så kallad känslig behandling i likhet med vad som föreskrivs i artikel 10 i direktiv (EU) 2016/680 (67).

67

| (39) | Enligt avsnitt 35.3 i dataskyddslagen från 1998 får känsliga uppgifter behandlas av behöriga myndigheter för brottsbekämpande ändamål endast i följande två fall: 1) Den registrerade har gett sitt samtycke till behandlingen för brottsbekämpande ändamål och vid den tidpunkt då behandlingen utförs har den personuppgiftsansvariga infört ett välvalt policydokument (68). 2) Behandlingen är absolut nödvändig för det brottsbekämpande ändamålet, behandlingen uppfyller minst ett av villkoren i tillägg 8 till dataskyddslagen från 2018 och vid den tidpunkt då behandlingen utförs har den personuppgiftsansvariga ett välvalt policydokument på plats (69). |
| --- | --- |

(39)

Enligt avsnitt 35.3 i dataskyddslagen från 1998 får känsliga uppgifter behandlas av behöriga myndigheter för brottsbekämpande ändamål endast i följande två fall: 1) Den registrerade har gett sitt samtycke till behandlingen för brottsbekämpande ändamål och vid den tidpunkt då behandlingen utförs har den personuppgiftsansvariga infört ett välvalt policydokument (68). 2) Behandlingen är absolut nödvändig för det brottsbekämpande ändamålet, behandlingen uppfyller minst ett av villkoren i tillägg 8 till dataskyddslagen från 2018 och vid den tidpunkt då behandlingen utförs har den personuppgiftsansvariga ett välvalt policydokument på plats (69).

68

69

| (40) | När det gäller det första fallet och enligt förklaringen i skäl 38 anses åberopande av samtycke inte vara relevant för den typ av överföringssituation som omfattas av detta beslut (70). |
| --- | --- |

(40)

När det gäller det första fallet och enligt förklaringen i skäl 38 anses åberopande av samtycke inte vara relevant för den typ av överföringssituation som omfattas av detta beslut (70).

70

| (41) | Om behandlingen av känsliga uppgifter inte bygger på samtycke kan den utföras enligt något av de villkor som anges i tillägg 8 till dataskyddslagen från 2018. Dessa villkor avser behandling som är nödvändig för lagstadgade ändamål som rättskipning, skyddet av intressen som är av grundläggande betydelse för den registrerade personen eller för en annan enskild, skydd av barn och riskutsatta personer, rättsliga anspråk, rättshandlingar, förebyggande av bedrägerier och arkivering om personuppgifterna på ett uppenbart sätt offentliggörs av den registrerade personen. Bortsett från det fall då uppgifterna på ett uppenbart sätt offentliggörs är alla villkor i tillägg 8 föremål för ett ”strikt nödvändighetstest”. ICO har klargjort att ”det är absolut nödvändigt i detta sammanhang att behandlingen måste avse ett trängande socialt behov och att du inte rimligen kan uppnå det med mindre inkräktande medel” (71). Vissa villkor är dessutom föremål för ytterligare begränsningar. För att exempelvis åberopa villkoret om ”lagstadgade ändamål” och ”skyddsvillkoret” (tillägg 8, punkt 1 och punkt 4) finns det ytterligare ett kriterium av allmänt intresse som måste uppfyllas. När det gäller villkoren för skydd av barnet (tillägg 8, punkt 4) måste den registrerade dessutom vara av en viss ålder och anses vara utsatt för risk. Dessutom kan den personuppgiftsansvariga endast tillämpa villkoret i punkt 4 i tillägg 8 under särskilda omständigheter (72). På samma sätt finns det begränsningar för villkoren för ”rättsliga handlingar” och ”förebyggande av bedrägeri” (tillägg 8, punkt 7 respektive 8). Båda är endast tillämpliga på specifika personuppgiftsansvariga. När det gäller rättsliga handlingar får endast en domstol eller annan rättslig myndighet använda ett sådant villkor och, när det gäller bedrägeribekämpning, kan endast personuppgiftsansvariga som är bedrägeribekämpningsorganisationer förlita sig på detta villkor. |
| --- | --- |

(41)

Om behandlingen av känsliga uppgifter inte bygger på samtycke kan den utföras enligt något av de villkor som anges i tillägg 8 till dataskyddslagen från 2018. Dessa villkor avser behandling som är nödvändig för lagstadgade ändamål som rättskipning, skyddet av intressen som är av grundläggande betydelse för den registrerade personen eller för en annan enskild, skydd av barn och riskutsatta personer, rättsliga anspråk, rättshandlingar, förebyggande av bedrägerier och arkivering om personuppgifterna på ett uppenbart sätt offentliggörs av den registrerade personen. Bortsett från det fall då uppgifterna på ett uppenbart sätt offentliggörs är alla villkor i tillägg 8 föremål för ett ”strikt nödvändighetstest”. ICO har klargjort att ”det är absolut nödvändigt i detta sammanhang att behandlingen måste avse ett trängande socialt behov och att du inte rimligen kan uppnå det med mindre inkräktande medel” (71). Vissa villkor är dessutom föremål för ytterligare begränsningar. För att exempelvis åberopa villkoret om ”lagstadgade ändamål” och ”skyddsvillkoret” (tillägg 8, punkt 1 och punkt 4) finns det ytterligare ett kriterium av allmänt intresse som måste uppfyllas. När det gäller villkoren för skydd av barnet (tillägg 8, punkt 4) måste den registrerade dessutom vara av en viss ålder och anses vara utsatt för risk. Dessutom kan den personuppgiftsansvariga endast tillämpa villkoret i punkt 4 i tillägg 8 under särskilda omständigheter (72). På samma sätt finns det begränsningar för villkoren för ”rättsliga handlingar” och ”förebyggande av bedrägeri” (tillägg 8, punkt 7 respektive 8). Båda är endast tillämpliga på specifika personuppgiftsansvariga. När det gäller rättsliga handlingar får endast en domstol eller annan rättslig myndighet använda ett sådant villkor och, när det gäller bedrägeribekämpning, kan endast personuppgiftsansvariga som är bedrägeribekämpningsorganisationer förlita sig på detta villkor.

71

72

| (42) | När behandlingen bygger på något av de villkor som anges i tillägg 8 respektive avsnitt 42 i dataskyddslagen från 2018 måste det finnas ett ”välvalt policydokument” som förklarar den personuppgiftsansvarigas förfaranden för att säkerställa efterlevnad av dataskyddsprinciperna och den personuppgiftsansvarigas policy för lagring och radering av personuppgifter samt att utökade registerskyldigheter gäller. |
| --- | --- |

(42)

När behandlingen bygger på något av de villkor som anges i tillägg 8 respektive avsnitt 42 i dataskyddslagen från 2018 måste det finnas ett ”välvalt policydokument” som förklarar den personuppgiftsansvarigas förfaranden för att säkerställa efterlevnad av dataskyddsprinciperna och den personuppgiftsansvarigas policy för lagring och radering av personuppgifter samt att utökade registerskyldigheter gäller.

2.4.2   Ändamålsbegränsning

Ändamålsbegränsning

| (43) | Personuppgifter ska behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål. Denna princip om skydd av personuppgifter garanteras genom avsnitt 36 i dataskyddslagen från 2018. Denna bestämmelse kräver, i likhet med artikel 4.1 b i direktiv (EU) 2016/680, att a) det brottsbekämpande ändamål för vilket personuppgifter samlas in vid varje tillfälle ska specificeras, vara uttryckligt och legitimt och b) att personuppgifter som samlas in på detta sätt inte får behandlas på ett sätt som är oförenligt med det syfte för vilket de samlades in. |
| --- | --- |

(43)

Personuppgifter ska behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål. Denna princip om skydd av personuppgifter garanteras genom avsnitt 36 i dataskyddslagen från 2018. Denna bestämmelse kräver, i likhet med artikel 4.1 b i direktiv (EU) 2016/680, att a) det brottsbekämpande ändamål för vilket personuppgifter samlas in vid varje tillfälle ska specificeras, vara uttryckligt och legitimt och b) att personuppgifter som samlas in på detta sätt inte får behandlas på ett sätt som är oförenligt med det syfte för vilket de samlades in.

| (44) | När behöriga myndigheter behandlar uppgifter för brottsbekämpande ändamål kan detta inbegripa arkivering, vetenskaplig eller historisk forskning och statistiska ändamål (73). I dessa fall klargör dataskyddslagen från 2018 också att arkivering (eller behandling för vetenskapliga eller historiska forskningsändamål och statistiska ändamål) inte är tillåten om den utförs med avseende på beslut som fattas med hänsyn till en viss registrerad eller sannolikt kommer att orsaka honom eller henne betydande skada eller lidande (74). |
| --- | --- |

(44)

När behöriga myndigheter behandlar uppgifter för brottsbekämpande ändamål kan detta inbegripa arkivering, vetenskaplig eller historisk forskning och statistiska ändamål (73). I dessa fall klargör dataskyddslagen från 2018 också att arkivering (eller behandling för vetenskapliga eller historiska forskningsändamål och statistiska ändamål) inte är tillåten om den utförs med avseende på beslut som fattas med hänsyn till en viss registrerad eller sannolikt kommer att orsaka honom eller henne betydande skada eller lidande (74).

73

74

2.4.3   Noggrannhet och uppgiftsminimering

Noggrannhet och uppgiftsminimering

| (45) | Uppgifterna ska vara exakta och vid behov uppdaterade. De ska också vara adekvata, relevanta och inte överdrivet omfattande i förhållande till de ändamål som de behandlas för. I likhet med artikel 4.1 c, d och e i direktiv (EU) 2016/680 säkerställs dessa principer i avsnitten 37 och 38 i dataskyddslagen från 2018. Alla rimliga åtgärder måste vidtas för att se till att personuppgifter som är felaktiga (75) raderas eller rättas utan dröjsmål (76), med hänsyn till de brottsbekämpande ändamål som de behandlas för (77) och för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte överförs eller görs tillgängliga för något av de brottsbekämpande ändamålen (78). |
| --- | --- |

(45)

Uppgifterna ska vara exakta och vid behov uppdaterade. De ska också vara adekvata, relevanta och inte överdrivet omfattande i förhållande till de ändamål som de behandlas för. I likhet med artikel 4.1 c, d och e i direktiv (EU) 2016/680 säkerställs dessa principer i avsnitten 37 och 38 i dataskyddslagen från 2018. Alla rimliga åtgärder måste vidtas för att se till att personuppgifter som är felaktiga (75) raderas eller rättas utan dröjsmål (76), med hänsyn till de brottsbekämpande ändamål som de behandlas för (77) och för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte överförs eller görs tillgängliga för något av de brottsbekämpande ändamålen (78).

75

76

77

78

| (46) | I likhet med artikel 7 i direktiv (EU) 2016/680 anges dessutom i Förenade kungarikets dataskyddssystem att personuppgifter som grundar sig på fakta så långt det är möjligt ska skiljas från personuppgifter som grundar sig på personliga bedömningar (79). Om det är relevant och så långt det är möjligt måste en tydlig åtskillnad göras mellan personuppgifter som rör olika kategorier av registrerade personer, till exempel misstänkta, personer som dömts för ett brott, brottsoffer och vittnen (80). |
| --- | --- |

(46)

I likhet med artikel 7 i direktiv (EU) 2016/680 anges dessutom i Förenade kungarikets dataskyddssystem att personuppgifter som grundar sig på fakta så långt det är möjligt ska skiljas från personuppgifter som grundar sig på personliga bedömningar (79). Om det är relevant och så långt det är möjligt måste en tydlig åtskillnad göras mellan personuppgifter som rör olika kategorier av registrerade personer, till exempel misstänkta, personer som dömts för ett brott, brottsoffer och vittnen (80).

79

80

2.4.4   Begränsad lagring

Begränsad lagring

| (47) | Enligt artikel 5 i direktiv (EU) 2016/680 bör uppgifter i princip inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Enligt avsnitt 39 i dataskyddslagen från 2018 och i likhet med artikel 5 i det direktivet är det förbjudet att bevara personuppgifter som behandlas för något av de brottsbekämpande ändamålen längre än vad som är nödvändigt i förhållande till det ändamål för vilket de behandlas. Enligt Förenade kungarikets rättsordning måste lämpliga tidsfrister fastställas för den regelbundna översynen av behovet av fortsatt lagring av personuppgifter för något av de brottsbekämpande ändamålen. Ytterligare regler om praxis i samband med lagring av personuppgifter och tillämpliga tidsfrister har fastställts i relevant lagstiftning och vägledning om polisens befogenheter och funktion. I England och Wales ger t.ex. polisakademins (College of Policing’s) MOPI-Code of Practice, tillsammans med APP Guidance on the Management of Police Information, en ram för att säkerställa en konsekvent riskbaserad process för lagring, granskning och bortskaffande av operativ polisinformation (81). Denna ram innehåller tydliga förväntningar på hur information ska skapas, delas, användas och hanteras inom och mellan enskilda polisstyrkor och andra organ (82). Polisen förväntas följa uppförandekoden och efterlevnaden kontrolleras av Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83). |
| --- | --- |

(47)

Enligt artikel 5 i direktiv (EU) 2016/680 bör uppgifter i princip inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Enligt avsnitt 39 i dataskyddslagen från 2018 och i likhet med artikel 5 i det direktivet är det förbjudet att bevara personuppgifter som behandlas för något av de brottsbekämpande ändamålen längre än vad som är nödvändigt i förhållande till det ändamål för vilket de behandlas. Enligt Förenade kungarikets rättsordning måste lämpliga tidsfrister fastställas för den regelbundna översynen av behovet av fortsatt lagring av personuppgifter för något av de brottsbekämpande ändamålen. Ytterligare regler om praxis i samband med lagring av personuppgifter och tillämpliga tidsfrister har fastställts i relevant lagstiftning och vägledning om polisens befogenheter och funktion. I England och Wales ger t.ex. polisakademins (College of Policing’s) MOPI-Code of Practice, tillsammans med APP Guidance on the Management of Police Information, en ram för att säkerställa en konsekvent riskbaserad process för lagring, granskning och bortskaffande av operativ polisinformation (81). Denna ram innehåller tydliga förväntningar på hur information ska skapas, delas, användas och hanteras inom och mellan enskilda polisstyrkor och andra organ (82). Polisen förväntas följa uppförandekoden och efterlevnaden kontrolleras av Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

MOPI-Code of Practice

APP Guidance on the Management of Police Information

81

82

Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services

83

| (48) | Police Service of Northern Ireland (PSNI) är enligt lag inte skyldig att följa MoPI Code of Practice. Den MoPI-ram som antogs 2011 kompletteras dock med en PSNI Handbook (84) som innehåller riktlinjer och förfaranden för hur MoPI Code of Practice tillämpas i Nordirland. |
| --- | --- |

(48)

Police Service of Northern Ireland (PSNI) är enligt lag inte skyldig att följa MoPI Code of Practice. Den MoPI-ram som antogs 2011 kompletteras dock med en PSNI Handbook (84) som innehåller riktlinjer och förfaranden för hur MoPI Code of Practice tillämpas i Nordirland.

Police Service of Northern Ireland

MoPI Code of Practice

PSNI Handbook

84

MoPI Code of Practice

| (49) | I Skottland förlitar sig polisstyrkorna på Record Retention Standard Operating Procedure (SOP) (85) som stöder Police Service of Scotland Records Management Policy (86). I standardrutinen fastställs särskilda regler för lagring av de register som innehas av polisen i Skottland. |
| --- | --- |

(49)

I Skottland förlitar sig polisstyrkorna på Record Retention Standard Operating Procedure (SOP) (85) som stöder Police Service of Scotland Records Management Policy (86). I standardrutinen fastställs särskilda regler för lagring av de register som innehas av polisen i Skottland.

Record Retention Standard Operating Procedure

85

Police Service of Scotland Records Management Policy

86

| (50) | Utöver det övergripande kravet på granskning av register som gäller i hela Förenade kungariket ges ytterligare detaljer i lokala regler. För att ge några exempel, när det gäller England och Wales, innehåller Police and Criminal Evidence Act, ändrad genom Protection of Freedom Act 2012 (PoFA), bestämmelser om lagring av fingeravtryck och DNA-profiler samt ett särskilt system för personer som inte dömts (87). PoFA inrättade också befattningen som Commissioner for the Retention and Use of Biometric Material (Biometrics Commissioner) (88). Särskilda regler för häktningsbilder finns i 2017 års översyn av häktningsbilder (89). När det gäller Skottland innehåller Criminal Procedure (Scotland) Act 1995 regler för erhållande och lagring av fingeravtryck och biologiska prover (90). Liksom i England och Wales reglerar lagstiftningen lagring av biometriska uppgifter i olika fall (91). |
| --- | --- |

(50)

Utöver det övergripande kravet på granskning av register som gäller i hela Förenade kungariket ges ytterligare detaljer i lokala regler. För att ge några exempel, när det gäller England och Wales, innehåller Police and Criminal Evidence Act, ändrad genom Protection of Freedom Act 2012 (PoFA), bestämmelser om lagring av fingeravtryck och DNA-profiler samt ett särskilt system för personer som inte dömts (87). PoFA inrättade också befattningen som Commissioner for the Retention and Use of Biometric Material (Biometrics Commissioner) (88). Särskilda regler för häktningsbilder finns i 2017 års översyn av häktningsbilder (89). När det gäller Skottland innehåller Criminal Procedure (Scotland) Act 1995 regler för erhållande och lagring av fingeravtryck och biologiska prover (90). Liksom i England och Wales reglerar lagstiftningen lagring av biometriska uppgifter i olika fall (91).

Police and Criminal Evidence Act

Protection of Freedom Act 2012

87

Commissioner for the Retention and Use of Biometric Material

Biometrics Commissioner

88

89

Criminal Procedure (Scotland) Act 1995

90

91

2.4.5   Datasäkerhet

Datasäkerhet

| (51) | Personuppgifter ska behandlas på ett sätt som garanterar deras säkerhet, inbegripet skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstörelse eller skada. I detta syfte ska offentliga myndigheter vidta lämpliga tekniska eller organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder måste bedömas med beaktande av den aktuella kunskapsnivån och därmed sammanhängande kostnader. |
| --- | --- |

(51)

Personuppgifter ska behandlas på ett sätt som garanterar deras säkerhet, inbegripet skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstörelse eller skada. I detta syfte ska offentliga myndigheter vidta lämpliga tekniska eller organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder måste bedömas med beaktande av den aktuella kunskapsnivån och därmed sammanhängande kostnader.

| (52) | Dessa principer återspeglas i avsnitt 40 i dataskyddslagen från 2018 enligt vilket personuppgifter som behandlas för något av de brottsbekämpande ändamålen, i likhet med artikel 4.1 f i direktiv (EU) 2016/680, måste behandlas på ett sätt som garanterar lämplig säkerhet för personuppgifterna med hjälp av lämpliga tekniska eller organisatoriska åtgärder. Detta inbegriper att skydda uppgifterna mot otillåten eller olaglig behandling och mot oavsiktlig förlust, förstöring eller skada (92). I avsnitt 66 i dataskyddslagen från 2018 anges vidare att varje registeransvarig och personuppgiftsbiträde ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig med hänsyn till de risker som behandlingen av personuppgifter medför. Enligt de förklarande anmärkningarna ska den personuppgiftsansvariga utvärdera riskerna och vidta lämpliga säkerhetsåtgärder på grundval av denna utvärdering, till exempel kryptering eller särskilda säkerhetsnivåer för personal som behandlar uppgifterna (93). Utvärderingen måste till exempel dessutom ta hänsyn till vilken typ av uppgifter som behandlas och andra relevanta faktorer eller omständigheter som kan påverka behandlingens säkerhet. |
| --- | --- |

(52)

Dessa principer återspeglas i avsnitt 40 i dataskyddslagen från 2018 enligt vilket personuppgifter som behandlas för något av de brottsbekämpande ändamålen, i likhet med artikel 4.1 f i direktiv (EU) 2016/680, måste behandlas på ett sätt som garanterar lämplig säkerhet för personuppgifterna med hjälp av lämpliga tekniska eller organisatoriska åtgärder. Detta inbegriper att skydda uppgifterna mot otillåten eller olaglig behandling och mot oavsiktlig förlust, förstöring eller skada (92). I avsnitt 66 i dataskyddslagen från 2018 anges vidare att varje registeransvarig och personuppgiftsbiträde ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig med hänsyn till de risker som behandlingen av personuppgifter medför. Enligt de förklarande anmärkningarna ska den personuppgiftsansvariga utvärdera riskerna och vidta lämpliga säkerhetsåtgärder på grundval av denna utvärdering, till exempel kryptering eller särskilda säkerhetsnivåer för personal som behandlar uppgifterna (93). Utvärderingen måste till exempel dessutom ta hänsyn till vilken typ av uppgifter som behandlas och andra relevanta faktorer eller omständigheter som kan påverka behandlingens säkerhet.

92

93

| (53) | Det system som reglerar efterlevnaden av principerna för datasäkerhet är mycket likt det system som fastställs i artiklarna 29–31 i direktiv (EU) 2016/680. I synnerhet vid ett personuppgiftsbrott i samband med personuppgifter för vilka den personuppgiftsansvariga är ansvarig, enligt avsnitt 67(1) i dataskyddsmyndigheten 2018, ska den personuppgiftsansvariga utan onödigt dröjsmål och om möjligt inom 72 timmar efter att ha fått kännedom om incidenten anmäla personuppgiftsbrottet till Information Commissioner (94). Anmälningsskyldigheten gäller inte om personuppgiftsincidenten sannolikt inte kommer att leda till en risk för enskildas rättigheter och friheter (95). Den personuppgiftsansvariga ska dokumentera fakta om ett personuppgiftsbrott, dess effekter och korrigerande åtgärder som vidtagits på ett sätt som gör det möjligt för Information Commissioner att kontrollera efterlevnaden av dataskyddsmyndigheten (96). Om ett personuppgiftsbiträde får kännedom om ett säkerhetsbrott ska det utan onödigt dröjsmål underrätta den personuppgiftsansvariga om detta (97). |
| --- | --- |

(53)

Det system som reglerar efterlevnaden av principerna för datasäkerhet är mycket likt det system som fastställs i artiklarna 29–31 i direktiv (EU) 2016/680. I synnerhet vid ett personuppgiftsbrott i samband med personuppgifter för vilka den personuppgiftsansvariga är ansvarig, enligt avsnitt 67(1) i dataskyddsmyndigheten 2018, ska den personuppgiftsansvariga utan onödigt dröjsmål och om möjligt inom 72 timmar efter att ha fått kännedom om incidenten anmäla personuppgiftsbrottet till Information Commissioner (94). Anmälningsskyldigheten gäller inte om personuppgiftsincidenten sannolikt inte kommer att leda till en risk för enskildas rättigheter och friheter (95). Den personuppgiftsansvariga ska dokumentera fakta om ett personuppgiftsbrott, dess effekter och korrigerande åtgärder som vidtagits på ett sätt som gör det möjligt för Information Commissioner att kontrollera efterlevnaden av dataskyddsmyndigheten (96). Om ett personuppgiftsbiträde får kännedom om ett säkerhetsbrott ska det utan onödigt dröjsmål underrätta den personuppgiftsansvariga om detta (97).

Information Commissioner

94

95

Information Commissioner

96

97

| (54) | Enligt avsnitt 68.1 i dataskyddslagen från 2018 ska den personuppgiftsansvariga utan onödigt dröjsmål informera den registrerade om brottet om ett personuppgiftsbrott sannolikt medför en hög risk för enskildas rättigheter och friheter (98). Meddelandet måste innehålla samma information som den anmälan till Information Commissioner som beskrivs i skäl (53). Denna skyldighet gäller inte om den personuppgiftsansvariga har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder som tillämpades på de personuppgifter som berördes av brottet. Det gäller inte heller om den personuppgiftsansvariga har vidtagit efterföljande åtgärder som säkerställer att den höga risken för de registrerade personernas rättigheter och friheter sannolikt inte längre kommer att förverkligas. Slutligen är den personuppgiftsansvariga inte skyldig att underrätta den registrerade om detta skulle innebära en oproportionerligt stor ansträngning (99). I så fall måste informationen göras tillgänglig för den registrerade på ett annat lika effektivt sätt, till exempel genom offentlig kommunikation (100). Om den personuppgiftsansvariga inte har informerat den registrerade om incidenten kan Information Commissioner, efter att ha underrättats i enlighet med avsnitt 67 i dataskyddslagen och efter att ha övervägt sannolikheten för att det brott som leder till en hög risk kan kräva att den personuppgiftsansvariga underrättar den registrerade om brottet (101). |
| --- | --- |

(54)

Enligt avsnitt 68.1 i dataskyddslagen från 2018 ska den personuppgiftsansvariga utan onödigt dröjsmål informera den registrerade om brottet om ett personuppgiftsbrott sannolikt medför en hög risk för enskildas rättigheter och friheter (98). Meddelandet måste innehålla samma information som den anmälan till Information Commissioner som beskrivs i skäl (53). Denna skyldighet gäller inte om den personuppgiftsansvariga har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder som tillämpades på de personuppgifter som berördes av brottet. Det gäller inte heller om den personuppgiftsansvariga har vidtagit efterföljande åtgärder som säkerställer att den höga risken för de registrerade personernas rättigheter och friheter sannolikt inte längre kommer att förverkligas. Slutligen är den personuppgiftsansvariga inte skyldig att underrätta den registrerade om detta skulle innebära en oproportionerligt stor ansträngning (99). I så fall måste informationen göras tillgänglig för den registrerade på ett annat lika effektivt sätt, till exempel genom offentlig kommunikation (100). Om den personuppgiftsansvariga inte har informerat den registrerade om incidenten kan Information Commissioner, efter att ha underrättats i enlighet med avsnitt 67 i dataskyddslagen och efter att ha övervägt sannolikheten för att det brott som leder till en hög risk kan kräva att den personuppgiftsansvariga underrättar den registrerade om brottet (101).

98

Information Commissioner

99

100

Information Commissioner

101

2.4.6   Insyn

Insyn

| (55) | De registrerade måste informeras om huvuddragen i behandlingen av sina personuppgifter. Denna princip om skydd av personuppgifter återspeglas i avsnitt 44 i dataskyddslagen från 2018, där det, i likhet med artikel 13 i direktiv (EU) 2016/680, föreskrivs att den personuppgiftsansvariga har en allmän skyldighet att ge de registrerade tillgång till information om behandlingen av deras personuppgifter (antingen genom att göra informationen allmänt tillgänglig för allmänheten eller på annat sätt) (102). Den information som ska göras tillgänglig omfattar a) den personuppgiftsansvarigas identitet och kontaktuppgifter, b) i tillämpliga fall, dataskyddsombudets kontaktuppgifter, c) de ändamål för vilka den personuppgiftsansvariga behandlar personuppgifter, d) de registrerades rätt att av den personuppgiftsansvariga begära tillgång till personuppgifter, rättelse av personuppgifter och radering av personuppgifter eller begränsning av behandlingen av dem och e) förekomsten av rätten att lämna in ett klagomål till Information Commissioner samt hans eller hennes kontaktuppgifter (103). |
| --- | --- |

(55)

De registrerade måste informeras om huvuddragen i behandlingen av sina personuppgifter. Denna princip om skydd av personuppgifter återspeglas i avsnitt 44 i dataskyddslagen från 2018, där det, i likhet med artikel 13 i direktiv (EU) 2016/680, föreskrivs att den personuppgiftsansvariga har en allmän skyldighet att ge de registrerade tillgång till information om behandlingen av deras personuppgifter (antingen genom att göra informationen allmänt tillgänglig för allmänheten eller på annat sätt) (102). Den information som ska göras tillgänglig omfattar a) den personuppgiftsansvarigas identitet och kontaktuppgifter, b) i tillämpliga fall, dataskyddsombudets kontaktuppgifter, c) de ändamål för vilka den personuppgiftsansvariga behandlar personuppgifter, d) de registrerades rätt att av den personuppgiftsansvariga begära tillgång till personuppgifter, rättelse av personuppgifter och radering av personuppgifter eller begränsning av behandlingen av dem och e) förekomsten av rätten att lämna in ett klagomål till Information Commissioner samt hans eller hennes kontaktuppgifter (103).

102

Information Commissioner

103

| (56) | Den personuppgiftsansvariga måste också, i särskilda fall för att göra det möjligt för den registrerade personen att utöva sina rättigheter enligt dataskyddslagen från 2018 (till exempel när de personuppgifter som behandlas har samlats in utan den registrerade personens vetskap) och ge den registrerade information om a) den rättsliga grunden för behandlingen, b) information om den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, om de kriterier som används för att fastställa denna period, c) i tillämpliga fall, information om kategorier av mottagare av personuppgifterna (inklusive mottagare i tredjeländer eller internationella organisationer) och d) den ytterligare information som är nödvändig för att den registrerade personen ska kunna utöva sina rättigheter enligt del 3 i dataskyddslagen från 2018 (104). |
| --- | --- |

(56)

Den personuppgiftsansvariga måste också, i särskilda fall för att göra det möjligt för den registrerade personen att utöva sina rättigheter enligt dataskyddslagen från 2018 (till exempel när de personuppgifter som behandlas har samlats in utan den registrerade personens vetskap) och ge den registrerade information om a) den rättsliga grunden för behandlingen, b) information om den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, om de kriterier som används för att fastställa denna period, c) i tillämpliga fall, information om kategorier av mottagare av personuppgifterna (inklusive mottagare i tredjeländer eller internationella organisationer) och d) den ytterligare information som är nödvändig för att den registrerade personen ska kunna utöva sina rättigheter enligt del 3 i dataskyddslagen från 2018 (104).

104

2.4.7   Individuella rättigheter

Individuella rättigheter

| (57) | De registrerade måste beviljas ett antal rättigheter som kan verkställas. Kapitel 3 i del 3 i dataskyddslagen från 2018 ger enskilda personer rättigheter till tillgång, rättelse, radering och begränsning (105), vilka är jämförbara med dem som föreskrivs i kapitel 3 i direktiv (EU) 2016/680. |
| --- | --- |

(57)

De registrerade måste beviljas ett antal rättigheter som kan verkställas. Kapitel 3 i del 3 i dataskyddslagen från 2018 ger enskilda personer rättigheter till tillgång, rättelse, radering och begränsning (105), vilka är jämförbara med dem som föreskrivs i kapitel 3 i direktiv (EU) 2016/680.

105

| (58) | Rätten till tillträde anges i avsnitt 45 i dataskyddslagen från 2018. För det första har en enskild rätt att få en bekräftelse från den personuppgiftsansvariga om huruvida hans eller hennes personuppgifter behandlas eller inte (106). För det andra har den registrerade personen, om personuppgifterna behandlas, rätt att få tillgång till dessa uppgifter och få följande information om behandlingen: a) Ändamålen med och de rättsliga grunderna för behandlingen. b) De kategorier av uppgifter som berörs. c) Den mottagare till vilken uppgifterna har lämnats ut. d) Den period under vilken personuppgifterna ska lagras. e) Den registrerade personens rätt till rättelse och radering av personuppgifter. f) Rätt att lämna in klagomål. g) All information om de berörda personuppgifternas ursprung (107). |
| --- | --- |

(58)

Rätten till tillträde anges i avsnitt 45 i dataskyddslagen från 2018. För det första har en enskild rätt att få en bekräftelse från den personuppgiftsansvariga om huruvida hans eller hennes personuppgifter behandlas eller inte (106). För det andra har den registrerade personen, om personuppgifterna behandlas, rätt att få tillgång till dessa uppgifter och få följande information om behandlingen: a) Ändamålen med och de rättsliga grunderna för behandlingen. b) De kategorier av uppgifter som berörs. c) Den mottagare till vilken uppgifterna har lämnats ut. d) Den period under vilken personuppgifterna ska lagras. e) Den registrerade personens rätt till rättelse och radering av personuppgifter. f) Rätt att lämna in klagomål. g) All information om de berörda personuppgifternas ursprung (107).

106

107

| (59) | Enligt avsnitt 46 i dataskyddslagen från 2018 har den registrerade rätt att kräva att den personuppgiftsansvariga rättar felaktiga personuppgifter som rör honom eller henne. Den personuppgiftsansvariga ska rätta (eller komplettera dem om uppgifterna är felaktiga på grund av att de är ofullständiga) uppgifterna utan onödigt dröjsmål. Om personuppgifterna måste bevaras för bevisändamål måste den personuppgiftsansvariga (i stället för att rätta personuppgifterna) begränsa behandlingen av dem (108). |
| --- | --- |

(59)

Enligt avsnitt 46 i dataskyddslagen från 2018 har den registrerade rätt att kräva att den personuppgiftsansvariga rättar felaktiga personuppgifter som rör honom eller henne. Den personuppgiftsansvariga ska rätta (eller komplettera dem om uppgifterna är felaktiga på grund av att de är ofullständiga) uppgifterna utan onödigt dröjsmål. Om personuppgifterna måste bevaras för bevisändamål måste den personuppgiftsansvariga (i stället för att rätta personuppgifterna) begränsa behandlingen av dem (108).

108

| (60) | Enligt avsnitt 47 i dataskyddslagen från 2018 har enskilda rätt till radering och begränsning av behandlingen. Den personuppgiftsansvariga ska (109) radera personuppgifter utan onödigt dröjsmål om behandlingen av personuppgifterna skulle strida mot någon av dataskyddsprinciperna, de rättsliga grunderna för behandlingen eller skyddsåtgärderna i samband med arkivering och känslig behandling. Den personuppgiftsansvariga måste också radera uppgifterna om de har en rättslig skyldighet att göra det. Om personuppgifterna måste bevaras för bevisändamål måste den personuppgiftsansvariga (i stället för att radera personuppgifterna) begränsa behandlingen av dem (110). Den personuppgiftsansvariga måste begränsa behandlingen av personuppgifter om den registrerade personen bestrider att personuppgifterna är korrekta och det är inte möjligt att fastställa om de är korrekta eller inte (111). |
| --- | --- |

(60)

Enligt avsnitt 47 i dataskyddslagen från 2018 har enskilda rätt till radering och begränsning av behandlingen. Den personuppgiftsansvariga ska (109) radera personuppgifter utan onödigt dröjsmål om behandlingen av personuppgifterna skulle strida mot någon av dataskyddsprinciperna, de rättsliga grunderna för behandlingen eller skyddsåtgärderna i samband med arkivering och känslig behandling. Den personuppgiftsansvariga måste också radera uppgifterna om de har en rättslig skyldighet att göra det. Om personuppgifterna måste bevaras för bevisändamål måste den personuppgiftsansvariga (i stället för att radera personuppgifterna) begränsa behandlingen av dem (110). Den personuppgiftsansvariga måste begränsa behandlingen av personuppgifter om den registrerade personen bestrider att personuppgifterna är korrekta och det är inte möjligt att fastställa om de är korrekta eller inte (111).

109

110

111

| (61) | Om en registrerad person begär rättelse eller radering av personuppgifter eller begränsning av behandlingen av dem måste den personuppgiftsansvariga skriftligen informera den registrerade om huruvida begäran har beviljats och om den har avslagits måste han eller hon informera den registrerade personen om skälen till avslaget och vilka möjligheter till rättslig prövning som finns (den registrerades rätt att vända sig till Information Commissioner för att undersöka om begränsningen har tillämpats lagligt, rätt att lämna in ett klagomål till Information Commissioner och rätt att ansöka om ett föreläggande om efterlevnad hos en domstol) (112). |
| --- | --- |

(61)

Om en registrerad person begär rättelse eller radering av personuppgifter eller begränsning av behandlingen av dem måste den personuppgiftsansvariga skriftligen informera den registrerade om huruvida begäran har beviljats och om den har avslagits måste han eller hon informera den registrerade personen om skälen till avslaget och vilka möjligheter till rättslig prövning som finns (den registrerades rätt att vända sig till Information Commissioner för att undersöka om begränsningen har tillämpats lagligt, rätt att lämna in ett klagomål till Information Commissioner och rätt att ansöka om ett föreläggande om efterlevnad hos en domstol) (112).

Information Commissioner

Information Commissioner

112

| (62) | Om den personuppgiftsansvariga rättar personuppgifter som mottagits från en annan behörig myndighet ska den underrätta den andra myndigheten (113). Om den personuppgiftsansvariga korrigerar, raderar eller begränsar behandlingen av personuppgifter som har lämnats ut av den personuppgiftsansvariga ska den personuppgiftsansvariga underrätta mottagarna och mottagarna ska på motsvarande sätt korrigera, radera eller begränsa behandlingen av personuppgifterna (i den mån de behåller ansvaret för behandlingen) (114). |
| --- | --- |

(62)

Om den personuppgiftsansvariga rättar personuppgifter som mottagits från en annan behörig myndighet ska den underrätta den andra myndigheten (113). Om den personuppgiftsansvariga korrigerar, raderar eller begränsar behandlingen av personuppgifter som har lämnats ut av den personuppgiftsansvariga ska den personuppgiftsansvariga underrätta mottagarna och mottagarna ska på motsvarande sätt korrigera, radera eller begränsa behandlingen av personuppgifterna (i den mån de behåller ansvaret för behandlingen) (114).

113

114

| (63) | Dessutom har den registrerade personen rätt att utan onödigt dröjsmål informeras av den personuppgiftsansvariga om ett personuppgiftsbrott när detta sannolikt kommer att leda till en hög risk för den enskilda personens rättigheter och friheter (115). |
| --- | --- |

(63)

Dessutom har den registrerade personen rätt att utan onödigt dröjsmål informeras av den personuppgiftsansvariga om ett personuppgiftsbrott när detta sannolikt kommer att leda till en hög risk för den enskilda personens rättigheter och friheter (115).

115

| (64) | När det gäller alla dessa rättigheter för den registrerade personen och i likhet med vad som föreskrivs i artikel 12 i direktiv (EU) 2016/680 är den personuppgiftsansvariga skyldig att se till att all information som den registrerade får lämnas i en koncis, begriplig och lättillgänglig form (116) och, om möjligt, tillhandahållas i samma form som begäran (117). Den personuppgiftsansvariga måste tillmötesgå en begäran från den registrerade utan onödigt dröjsmål eller under alla omständigheter före utgången av en period på en månad från begäran (118). Om den personuppgiftsansvariga har rimliga skäl att betvivla en persons identitet får han eller hon begära ytterligare information och skjuta upp behandlingen av begäran till dess att identiteten har fastställts. Den personuppgiftsansvariga kan kräva en rimlig avgift eller vägra att agera om han eller hon anser att begäran är uppenbart ogrundad (119). ICO har gett vägledning om när en begäran anses vara uppenbart ogrundad eller orimlig och när en avgift kan begäras (120). |
| --- | --- |

(64)

När det gäller alla dessa rättigheter för den registrerade personen och i likhet med vad som föreskrivs i artikel 12 i direktiv (EU) 2016/680 är den personuppgiftsansvariga skyldig att se till att all information som den registrerade får lämnas i en koncis, begriplig och lättillgänglig form (116) och, om möjligt, tillhandahållas i samma form som begäran (117). Den personuppgiftsansvariga måste tillmötesgå en begäran från den registrerade utan onödigt dröjsmål eller under alla omständigheter före utgången av en period på en månad från begäran (118). Om den personuppgiftsansvariga har rimliga skäl att betvivla en persons identitet får han eller hon begära ytterligare information och skjuta upp behandlingen av begäran till dess att identiteten har fastställts. Den personuppgiftsansvariga kan kräva en rimlig avgift eller vägra att agera om han eller hon anser att begäran är uppenbart ogrundad (119). ICO har gett vägledning om när en begäran anses vara uppenbart ogrundad eller orimlig och när en avgift kan begäras (120).

116

117

118

119

120

| (65) | Enligt avsnitt 53.4 i dataskyddslagen från 2018 kan ministern dessutom genom förordningar fastställa maximibeloppet för en avgift. |
| --- | --- |

(65)

Enligt avsnitt 53.4 i dataskyddslagen från 2018 kan ministern dessutom genom förordningar fastställa maximibeloppet för en avgift.

2.4.7.1.   Begränsningar av den registrerade personens rättigheter och transparenskrav

Begränsningar av den registrerade personens rättigheter och transparenskrav

| (66) | En behörig myndighet kan under vissa omständigheter begränsa vissa av den registrerade personens rättigheter enligt följande: Rätten att få tillgång till (121), bli informerad (122) om ett personuppgiftsbrott (123) och att informeras om orsaken till att en begäran om rättelse eller radering har avslagits (124). I likhet med systemet i kapitel III i direktiv (EU) 2016/680 kan den behöriga myndigheten endast tillämpa begränsningen om den med beaktande av den registrerade personens grundläggande rättigheter och berättigade intressen är nödvändig och proportionell i förhållande till a) att undvika att hindra en officiell eller rättslig undersökning, utredning eller dito förfarande, b) att undvika att inverka menligt på förebyggande, upptäckt, utredning eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c) att skydda den allmänna säkerheten, d) att skydda den nationella säkerheten och e) att skydda andras fri- och rättigheter. |
| --- | --- |

(66)

En behörig myndighet kan under vissa omständigheter begränsa vissa av den registrerade personens rättigheter enligt följande: Rätten att få tillgång till (121), bli informerad (122) om ett personuppgiftsbrott (123) och att informeras om orsaken till att en begäran om rättelse eller radering har avslagits (124). I likhet med systemet i kapitel III i direktiv (EU) 2016/680 kan den behöriga myndigheten endast tillämpa begränsningen om den med beaktande av den registrerade personens grundläggande rättigheter och berättigade intressen är nödvändig och proportionell i förhållande till a) att undvika att hindra en officiell eller rättslig undersökning, utredning eller dito förfarande, b) att undvika att inverka menligt på förebyggande, upptäckt, utredning eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c) att skydda den allmänna säkerheten, d) att skydda den nationella säkerheten och e) att skydda andras fri- och rättigheter.

121

122

123

124

| (67) | ICO har gett vägledning om tillämpningen av dessa begränsningar. Enligt denna vägledning måste personuppgiftsansvariga göra en analys från fall till fall för att göra en avvägning mellan den enskildas rättigheter och den skada som ett utlämnande skulle orsaka. I synnerhet måste de motivera eventuella begränsningar som tillämpas när de är nödvändiga och proportionerliga och får endast begränsa vad som föreskrivs om det skulle inverka menligt på ovannämnda syften (125). |
| --- | --- |

(67)

ICO har gett vägledning om tillämpningen av dessa begränsningar. Enligt denna vägledning måste personuppgiftsansvariga göra en analys från fall till fall för att göra en avvägning mellan den enskildas rättigheter och den skada som ett utlämnande skulle orsaka. I synnerhet måste de motivera eventuella begränsningar som tillämpas när de är nödvändiga och proportionerliga och får endast begränsa vad som föreskrivs om det skulle inverka menligt på ovannämnda syften (125).

125

| (68) | Det finns också ett antal andra riktlinjer från behöriga myndigheter som ger detaljerad information om alla aspekter av dataskyddslagstiftningen, inbegripet tillämpningen av begränsningarna av de registrerades rättigheter (126). När det till exempel gäller avsnitt 45.4 anges följande i Data Protection Manual of the National Police Chief’s Counsel: ”Det är viktigt att notera att begränsningarna endast kan tillämpas i den mån det är nödvändigt och endast kan tillämpas så länge det är nödvändigt. En generell tillämpning av begränsningen till en sökandes samtliga personuppgifter eller en permanent tillämpning av begränsningen är således inte tillåten. När det gäller den sistnämnda punkten är det ofta så att personuppgifter som samlas in utan kännedom hos den registrerade personen som är misstänkt i en utredning inledningsvis måste skyddas från att lämnas ut till dem för att inte skada utredningen medan utredningen pågår men vid ett senare tillfälle skulle ett utlämnande inte medföra någon skada om personuppgifterna hade lämnats ut till den enskilda personen under intervjun. Polisen måste anta förfaranden som säkerställer att tillämpningen av dessa restriktioner endast sker i den utsträckning som krävs och endast under den tid som krävs (127).” Denna vägledning ger också exempel på när var och en av begränsningarna sannolikt kommer att tillämpas (128). |
| --- | --- |

(68)

Det finns också ett antal andra riktlinjer från behöriga myndigheter som ger detaljerad information om alla aspekter av dataskyddslagstiftningen, inbegripet tillämpningen av begränsningarna av de registrerades rättigheter (126). När det till exempel gäller avsnitt 45.4 anges följande i Data Protection Manual of the National Police Chief’s Counsel: ”Det är viktigt att notera att begränsningarna endast kan tillämpas i den mån det är nödvändigt och endast kan tillämpas så länge det är nödvändigt. En generell tillämpning av begränsningen till en sökandes samtliga personuppgifter eller en permanent tillämpning av begränsningen är således inte tillåten. När det gäller den sistnämnda punkten är det ofta så att personuppgifter som samlas in utan kännedom hos den registrerade personen som är misstänkt i en utredning inledningsvis måste skyddas från att lämnas ut till dem för att inte skada utredningen medan utredningen pågår men vid ett senare tillfälle skulle ett utlämnande inte medföra någon skada om personuppgifterna hade lämnats ut till den enskilda personen under intervjun. Polisen måste anta förfaranden som säkerställer att tillämpningen av dessa restriktioner endast sker i den utsträckning som krävs och endast under den tid som krävs (127).” Denna vägledning ger också exempel på när var och en av begränsningarna sannolikt kommer att tillämpas (128).

126

Data Protection Manual of the National Police Chief’s Counsel

127

128

| (69) | När det gäller möjligheten att begränsa någon av de ovannämnda rättigheterna till skydd för ”nationell säkerhet” kan en registeransvarig ansöka om ett intyg som undertecknats av en minister eller justitieministern (eller Advocate General for Scotland ) som intygar att en begränsning av sådana rättigheter är en nödvändig och proportionerlig åtgärd för att skydda den nationella säkerheten (129). Förenade kungarikets regering har utfärdat riktlinjer om nationella säkerhetscertifikat enligt dataskyddslagen från 2018, där det särskilt framhålls att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (130) (för mer information om de nationella säkerhetsintygen, se skälen (131)–(134)). |
| --- | --- |

(69)

När det gäller möjligheten att begränsa någon av de ovannämnda rättigheterna till skydd för ”nationell säkerhet” kan en registeransvarig ansöka om ett intyg som undertecknats av en minister eller justitieministern (eller Advocate General for Scotland ) som intygar att en begränsning av sådana rättigheter är en nödvändig och proportionerlig åtgärd för att skydda den nationella säkerheten (129). Förenade kungarikets regering har utfärdat riktlinjer om nationella säkerhetscertifikat enligt dataskyddslagen från 2018, där det särskilt framhålls att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (130) (för mer information om de nationella säkerhetsintygen, se skälen (131)–(134)).

129

130

| (70) | Om en begränsning av en registrerad persons rättigheter är tillämplig ska den behöriga myndigheten dessutom utan onödigt dröjsmål informera den registrerade personen om att deras rättigheter har begränsats, om skälen till begränsningen och om vilka möjligheter till prövning som står till buds, såvida inte ett tillhandahållande av informationen skulle undergräva skälet till att tillämpa begränsningen (131). Som ytterligare ett skydd mot missbruk av begränsningar måste den personuppgiftsansvariga registrera skälen till att begränsa informationen och på begäran göra registret tillgängligt för Information Commissioner (132). |
| --- | --- |

(70)

Om en begränsning av en registrerad persons rättigheter är tillämplig ska den behöriga myndigheten dessutom utan onödigt dröjsmål informera den registrerade personen om att deras rättigheter har begränsats, om skälen till begränsningen och om vilka möjligheter till prövning som står till buds, såvida inte ett tillhandahållande av informationen skulle undergräva skälet till att tillämpa begränsningen (131). Som ytterligare ett skydd mot missbruk av begränsningar måste den personuppgiftsansvariga registrera skälen till att begränsa informationen och på begäran göra registret tillgängligt för Information Commissioner (132).

131

Information Commissioner

132

| (71) | Om den personuppgiftsansvariga vägrar att tillhandahålla ytterligare information om öppenhet eller tillgång eller avslår en begäran om rättelse, radering eller begränsning av behandling, kan den enskilda begära att Information Commissioner utreder om den personuppgiftsansvariga har använt begränsningen på ett lagligt sätt (133). Den berörda personen kan också lämna in ett klagomål till Information Commissioner eller begära att en domstol ålägger den personuppgiftsansvariga att tillmötesgå begäran (134). |
| --- | --- |

(71)

Om den personuppgiftsansvariga vägrar att tillhandahålla ytterligare information om öppenhet eller tillgång eller avslår en begäran om rättelse, radering eller begränsning av behandling, kan den enskilda begära att Information Commissioner utreder om den personuppgiftsansvariga har använt begränsningen på ett lagligt sätt (133). Den berörda personen kan också lämna in ett klagomål till Information Commissioner eller begära att en domstol ålägger den personuppgiftsansvariga att tillmötesgå begäran (134).

Information Commissioner

133

Information Commissioner

134

2.4.7.2.   Automatiserat beslutsfattande

Automatiserat beslutsfattande

| (72) | Avsnitten 49 och 50 i dataskyddslagen från 2018 omfattar rättigheterna i samband med automatiserat beslutsfattande respektive de skyddsåtgärder som ska tillämpas (135). I likhet med vad som föreskrivs i artikel 11 i direktiv (EU) 2016/680, är det endast om det krävs eller är tillåtet enligt lag som den personuppgiftsansvariga kan fatta ett viktigt beslut enbart på grundval av automatiserad behandling av personuppgifter (136). Ett beslut är betydande om det skulle få negativa rättsliga följder för den registrerade eller i betydande grad påverka honom eller henne (137). |
| --- | --- |

(72)

Avsnitten 49 och 50 i dataskyddslagen från 2018 omfattar rättigheterna i samband med automatiserat beslutsfattande respektive de skyddsåtgärder som ska tillämpas (135). I likhet med vad som föreskrivs i artikel 11 i direktiv (EU) 2016/680, är det endast om det krävs eller är tillåtet enligt lag som den personuppgiftsansvariga kan fatta ett viktigt beslut enbart på grundval av automatiserad behandling av personuppgifter (136). Ett beslut är betydande om det skulle få negativa rättsliga följder för den registrerade eller i betydande grad påverka honom eller henne (137).

135

136

137

| (73) | Om den personuppgiftsansvariga enligt lag är skyldig eller bemyndigad att fatta ett viktigt beslut anges det i avsnitt 50 i dataskyddslagen från 2018 vilka skyddsåtgärder som ska gälla för ett sådant beslut (vilket definieras som ett kvalificerat betydande beslut). Den personuppgiftsansvariga ska så snart det rimligen är praktiskt möjligt underrätta den registrerade personen om att ett sådant beslut har fattats. Den registrerade personen kan därefter inom en månad begära att den personuppgiftsansvariga omprövar beslutet eller fattar ett nytt beslut som inte enbart grundar sig på automatiserad behandling. Den personuppgiftsansvariga ska behandla begäran och informera den registrerade om resultatet av behandlingen. Dataskyddslagen från 2018 ger ministern befogenhet att anta bestämmelser om ytterligare skyddsåtgärder (138). Inga sådana förordningar har ännu antagits. |
| --- | --- |

(73)

Om den personuppgiftsansvariga enligt lag är skyldig eller bemyndigad att fatta ett viktigt beslut anges det i avsnitt 50 i dataskyddslagen från 2018 vilka skyddsåtgärder som ska gälla för ett sådant beslut (vilket definieras som ett kvalificerat betydande beslut). Den personuppgiftsansvariga ska så snart det rimligen är praktiskt möjligt underrätta den registrerade personen om att ett sådant beslut har fattats. Den registrerade personen kan därefter inom en månad begära att den personuppgiftsansvariga omprövar beslutet eller fattar ett nytt beslut som inte enbart grundar sig på automatiserad behandling. Den personuppgiftsansvariga ska behandla begäran och informera den registrerade om resultatet av behandlingen. Dataskyddslagen från 2018 ger ministern befogenhet att anta bestämmelser om ytterligare skyddsåtgärder (138). Inga sådana förordningar har ännu antagits.

138

2.4.8   Vidare överföringar

Vidare överföringar

| (74) | Skyddsnivån för personuppgifter som överförs från en brottsbekämpande myndighet i en medlemsstat till en brottsbekämpande myndighet i Förenade kungariket får inte undergrävas av en ytterligare överföring av sådana uppgifter till mottagare i ett tredjeland. Sådana ”vidareöverföringar” som ur synvinkeln för en brottsbekämpande myndighet i Förenade kungariket utgör internationella överföringar från Förenade kungariket bör endast tillåtas om den ytterligare mottagaren utanför Förenade kungariket själv omfattas av regler som säkerställer en skyddsnivå som liknar den som garanteras i Förenade kungarikets rättsordning. |
| --- | --- |

(74)

Skyddsnivån för personuppgifter som överförs från en brottsbekämpande myndighet i en medlemsstat till en brottsbekämpande myndighet i Förenade kungariket får inte undergrävas av en ytterligare överföring av sådana uppgifter till mottagare i ett tredjeland. Sådana ”vidareöverföringar” som ur synvinkeln för en brottsbekämpande myndighet i Förenade kungariket utgör internationella överföringar från Förenade kungariket bör endast tillåtas om den ytterligare mottagaren utanför Förenade kungariket själv omfattas av regler som säkerställer en skyddsnivå som liknar den som garanteras i Förenade kungarikets rättsordning.

| (75) | Förenade kungarikets ordning för internationella överföringar regleras i del 3 kapitel 5 i dataskyddslagen från 2018 (139) och återspeglar tillvägagångssättet i kapitel V i direktiv (EU) 2016/680. För att överföra personuppgifter till ett tredjeland måste en behörig myndighet uppfylla följande tre villkor: a) Överföringen måste vara nödvändig för brottsbekämpning. b) Överlåtelsen ska grunda sig på i) en förordning om adekvat skyddsnivå med avseende på tredjelandet, ii) om den inte grundar sig på en förordning om adekvat skyddsnivå, förekomsten av lämpliga skyddsåtgärder eller iii) om den inte grundar sig på ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder, måste den grundas på särskilda omständigheter. c) Mottagaren av överföringen ska vara i) en relevant myndighet (dvs. motsvarigheten till en behörig myndighet) i tredjelandet, ii) en ”relevant internationell organisation”, t.ex. ett internationellt organ som utför uppgifter som motsvarar något av de brottsbekämpande ändamålen eller iii) en person som inte är en relevant myndighet men endast om överföringen är absolut nödvändig för att fullgöra något av de brottsbekämpande ändamålen, det inte finns några grundläggande rättigheter och friheter för den registrerade personen som väger tyngre än det allmänintresse som kräver överföringen, en överföring av personuppgifterna till en relevant myndighet i tredjelandet skulle vara ineffektiv eller olämplig och mottagaren informeras om de ändamål för vilka uppgifterna får behandlas (140). |
| --- | --- |

(75)

Förenade kungarikets ordning för internationella överföringar regleras i del 3 kapitel 5 i dataskyddslagen från 2018 (139) och återspeglar tillvägagångssättet i kapitel V i direktiv (EU) 2016/680. För att överföra personuppgifter till ett tredjeland måste en behörig myndighet uppfylla följande tre villkor: a) Överföringen måste vara nödvändig för brottsbekämpning. b) Överlåtelsen ska grunda sig på i) en förordning om adekvat skyddsnivå med avseende på tredjelandet, ii) om den inte grundar sig på en förordning om adekvat skyddsnivå, förekomsten av lämpliga skyddsåtgärder eller iii) om den inte grundar sig på ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder, måste den grundas på särskilda omständigheter. c) Mottagaren av överföringen ska vara i) en relevant myndighet (dvs. motsvarigheten till en behörig myndighet) i tredjelandet, ii) en ”relevant internationell organisation”, t.ex. ett internationellt organ som utför uppgifter som motsvarar något av de brottsbekämpande ändamålen eller iii) en person som inte är en relevant myndighet men endast om överföringen är absolut nödvändig för att fullgöra något av de brottsbekämpande ändamålen, det inte finns några grundläggande rättigheter och friheter för den registrerade personen som väger tyngre än det allmänintresse som kräver överföringen, en överföring av personuppgifterna till en relevant myndighet i tredjelandet skulle vara ineffektiv eller olämplig och mottagaren informeras om de ändamål för vilka uppgifterna får behandlas (140).

139

140

| (76) | Bestämmelser om adekvat skyddsnivå med avseende på ett tredjeland, ett territorium eller en sektor inom ett tredjeland, en internationell organisation eller en beskrivning (141) av ett sådant land, territorium, sektor eller organisation antas av ministern. När det gäller den standard som ska uppfyllas måste ministern bedöma om ett sådant territorium/en sådan sektor/organisation säkerställer en adekvat skyddsnivå för personuppgifter. I avsnitt 74A.4 i dataskyddslagen från 2018 anges att ministern i detta syfte ska beakta ett antal faktorer som återspeglar dem som anges i artikel 36 i direktiv (EU) 2016/680 (142). Sedan övergångsperiodens slut utgör del 3 i dataskyddslagen från 2018 ”inhemsk EU-lagstiftning” som, enligt förklaringen, kommer att tolkas av domstolar i Förenade kungariket i enlighet med relevant rättspraxis från domstolen från tiden före Förenade kungarikets utträde ur unionen och allmänna principer i unionsrätten eftersom de hade verkan omedelbart före övergångsperiodens utgång. Detta inbegriper den ”väsentliga likvärdighetsstandard” som därmed kommer att gälla för de bedömningar av adekvat skyddsnivå som utförs av Förenade kungarikets myndigheter. |
| --- | --- |

(76)

Bestämmelser om adekvat skyddsnivå med avseende på ett tredjeland, ett territorium eller en sektor inom ett tredjeland, en internationell organisation eller en beskrivning (141) av ett sådant land, territorium, sektor eller organisation antas av ministern. När det gäller den standard som ska uppfyllas måste ministern bedöma om ett sådant territorium/en sådan sektor/organisation säkerställer en adekvat skyddsnivå för personuppgifter. I avsnitt 74A.4 i dataskyddslagen från 2018 anges att ministern i detta syfte ska beakta ett antal faktorer som återspeglar dem som anges i artikel 36 i direktiv (EU) 2016/680 (142). Sedan övergångsperiodens slut utgör del 3 i dataskyddslagen från 2018 ”inhemsk EU-lagstiftning” som, enligt förklaringen, kommer att tolkas av domstolar i Förenade kungariket i enlighet med relevant rättspraxis från domstolen från tiden före Förenade kungarikets utträde ur unionen och allmänna principer i unionsrätten eftersom de hade verkan omedelbart före övergångsperiodens utgång. Detta inbegriper den ”väsentliga likvärdighetsstandard” som därmed kommer att gälla för de bedömningar av adekvat skyddsnivå som utförs av Förenade kungarikets myndigheter.

141

142

| (77) | När det gäller förfarandet omfattas förordningarna av de ”allmänna” förfarandekrav som anges i avsnitt 182 i dataskyddslagen från 2018. Enligt detta förfarande måste ministern samråda med Information Commissioner när han eller hon föreslår att Förenade kungarikets framtida förordningar om adekvat skyddsnivå ska antas (143). När dessa förordningar har antagits av ministern läggs de fram inför parlamentet och omfattas av förfarandet för ”att rösta emot förordningen” enligt vilket båda kamrarna kan granska förordningen och kan anta ett förslag om att ogiltigförklara förordningen inom en 40-dagarsperiod (144). |
| --- | --- |

(77)

När det gäller förfarandet omfattas förordningarna av de ”allmänna” förfarandekrav som anges i avsnitt 182 i dataskyddslagen från 2018. Enligt detta förfarande måste ministern samråda med Information Commissioner när han eller hon föreslår att Förenade kungarikets framtida förordningar om adekvat skyddsnivå ska antas (143). När dessa förordningar har antagits av ministern läggs de fram inför parlamentet och omfattas av förfarandet för ”att rösta emot förordningen” enligt vilket båda kamrarna kan granska förordningen och kan anta ett förslag om att ogiltigförklara förordningen inom en 40-dagarsperiod (144).

Information Commissioner

143

144

| (78) | Enligt avsnitt 74B.1 i dataskyddslagen från 2018 ska bestämmelserna om adekvat skyddsnivå ses över med högst fyra års mellanrum och ministern ska fortlöpande övervaka utvecklingen i tredjeländer och internationella organisationer som skulle kunna påverka beslut om att utfärda föreskrifter om adekvat skyddsnivå eller att ändra eller upphäva sådana föreskrifter. Om ministern får kännedom om att ett visst land eller en organisation inte längre säkerställer en adekvat skyddsnivå för personuppgifter ska han eller hon, i den utsträckning det är nödvändigt, ändra eller upphäva föreskrifterna och inleda samråd med det berörda tredjelandet eller den berörda internationella organisationen för att avhjälpa bristen på adekvat skyddsnivå. |
| --- | --- |

(78)

Enligt avsnitt 74B.1 i dataskyddslagen från 2018 ska bestämmelserna om adekvat skyddsnivå ses över med högst fyra års mellanrum och ministern ska fortlöpande övervaka utvecklingen i tredjeländer och internationella organisationer som skulle kunna påverka beslut om att utfärda föreskrifter om adekvat skyddsnivå eller att ändra eller upphäva sådana föreskrifter. Om ministern får kännedom om att ett visst land eller en organisation inte längre säkerställer en adekvat skyddsnivå för personuppgifter ska han eller hon, i den utsträckning det är nödvändigt, ändra eller upphäva föreskrifterna och inleda samråd med det berörda tredjelandet eller den berörda internationella organisationen för att avhjälpa bristen på adekvat skyddsnivå.

| (79) | I likhet med vad som föreskrivs i artikel 37 i direktiv (EU) 2016/680 skulle en överföring av personuppgifter inom ramen för den brottsbekämpande sektorn vara möjlig när lämpliga skyddsåtgärder har införts i avsaknad av en förordning om adekvat skyddsnivå. Sådana skyddsåtgärder säkerställs genom antingen a) ett rättsligt bindande instrument som innehåller lämpliga skyddsåtgärder för personuppgifter eller b) en bedömning utförd av den personuppgiftsansvariga som, efter att ha bedömt alla omständigheter kring överföringen, drar slutsatsen att det finns lämpliga skyddsåtgärder för att skydda uppgifterna (145). När överföringar grundar sig på lämpliga skyddsåtgärder föreskriver dataskyddslagen från 2018 dessutom att de behöriga myndigheterna, utöver ICO normala tillsynsroll, måste lämna specifik information om överföringarna till ICO (146). |
| --- | --- |

(79)

I likhet med vad som föreskrivs i artikel 37 i direktiv (EU) 2016/680 skulle en överföring av personuppgifter inom ramen för den brottsbekämpande sektorn vara möjlig när lämpliga skyddsåtgärder har införts i avsaknad av en förordning om adekvat skyddsnivå. Sådana skyddsåtgärder säkerställs genom antingen a) ett rättsligt bindande instrument som innehåller lämpliga skyddsåtgärder för personuppgifter eller b) en bedömning utförd av den personuppgiftsansvariga som, efter att ha bedömt alla omständigheter kring överföringen, drar slutsatsen att det finns lämpliga skyddsåtgärder för att skydda uppgifterna (145). När överföringar grundar sig på lämpliga skyddsåtgärder föreskriver dataskyddslagen från 2018 dessutom att de behöriga myndigheterna, utöver ICO normala tillsynsroll, måste lämna specifik information om överföringarna till ICO (146).

145

146

| (80) | Om en överföring inte grundar sig på ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan den endast ske under vissa, specificerade omständigheter, så kallade särskilda omständigheter (147). Detta är fallet när överföringen är nödvändig a) för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person, b) för att skydda den registrerades berättigade intressen, c) för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i ett tredjeland, d) för att i enskilda fall för något av de brottsbekämpande ändamålen eller e) för att i enskilda fall för ett rättsligt ändamål (t.ex. i samband med rättsliga förfaranden eller för att erhålla juridisk rådgivning) (148). Det kan noteras att leden d) och e) inte är tillämpliga om den registrerades rättigheter och friheter väger tyngre än det allmänna intresset för överföringen (149). Dessa omständigheter motsvarar de särskilda situationer och villkor som räknas som ”undantag” enligt artikel 38 i direktiv (EU) 2016/680. |
| --- | --- |

(80)

Om en överföring inte grundar sig på ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan den endast ske under vissa, specificerade omständigheter, så kallade särskilda omständigheter (147). Detta är fallet när överföringen är nödvändig a) för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person, b) för att skydda den registrerades berättigade intressen, c) för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i ett tredjeland, d) för att i enskilda fall för något av de brottsbekämpande ändamålen eller e) för att i enskilda fall för ett rättsligt ändamål (t.ex. i samband med rättsliga förfaranden eller för att erhålla juridisk rådgivning) (148). Det kan noteras att leden d) och e) inte är tillämpliga om den registrerades rättigheter och friheter väger tyngre än det allmänna intresset för överföringen (149). Dessa omständigheter motsvarar de särskilda situationer och villkor som räknas som ”undantag” enligt artikel 38 i direktiv (EU) 2016/680.

147

148

149

| (81) | Under dessa omständigheter ska datum, tidpunkt och motivering för överföringen, namnet på och all annan relevant information om mottagaren samt en beskrivning av de överförda personuppgifterna dokumenteras och på begäran lämnas till Information Commissioner (150). |
| --- | --- |

(81)

Under dessa omständigheter ska datum, tidpunkt och motivering för överföringen, namnet på och all annan relevant information om mottagaren samt en beskrivning av de överförda personuppgifterna dokumenteras och på begäran lämnas till Information Commissioner (150).

Information Commissioner

150

| (82) | I avsnitt 78 i dataskyddslagen från 2018 regleras scenariot med ”efterföljande överföringar”, nämligen när personuppgifter som har överförts från Förenade kungariket till ett tredjeland senare överförs till ett annat tredjeland eller en internationell organisation. Enligt avsnitt 78.1 måste den överförande personuppgiftsansvariga i Förenade kungariket ställa som villkor för överföringen att uppgifterna inte ska överföras vidare till ett tredjeland utan den överförande personuppgiftsansvarigas tillstånd. I de fall ett sådant tillstånd krävs måste dessutom ett antal materiella villkor uppfyllas enligt avsnitt 78.3, och i likhet med vad som föreskrivs i artikel 35.1 e i direktiv (EU) 2016/680. En behörig myndighet som fattar beslut om huruvida överföringen ska tillåtas eller inte, måste se till att den ytterligare överföringen är nödvändig för ett brottsbekämpande ändamål och bör bland annat beakta a) hur allvarliga omständigheter som ledde till begäran om tillstånd, b) det ändamål för vilket personuppgifterna ursprungligen överfördes och c) de standarder för skydd av personuppgifter som gäller i det tredjeland eller den internationella organisation till vilken personuppgifterna skulle överföras. |
| --- | --- |

(82)

I avsnitt 78 i dataskyddslagen från 2018 regleras scenariot med ”efterföljande överföringar”, nämligen när personuppgifter som har överförts från Förenade kungariket till ett tredjeland senare överförs till ett annat tredjeland eller en internationell organisation. Enligt avsnitt 78.1 måste den överförande personuppgiftsansvariga i Förenade kungariket ställa som villkor för överföringen att uppgifterna inte ska överföras vidare till ett tredjeland utan den överförande personuppgiftsansvarigas tillstånd. I de fall ett sådant tillstånd krävs måste dessutom ett antal materiella villkor uppfyllas enligt avsnitt 78.3, och i likhet med vad som föreskrivs i artikel 35.1 e i direktiv (EU) 2016/680. En behörig myndighet som fattar beslut om huruvida överföringen ska tillåtas eller inte, måste se till att den ytterligare överföringen är nödvändig för ett brottsbekämpande ändamål och bör bland annat beakta a) hur allvarliga omständigheter som ledde till begäran om tillstånd, b) det ändamål för vilket personuppgifterna ursprungligen överfördes och c) de standarder för skydd av personuppgifter som gäller i det tredjeland eller den internationella organisation till vilken personuppgifterna skulle överföras.

| (83) | Dessutom gäller ytterligare skyddsåtgärder om de uppgifter som är föremål för vidare överföring från Förenade kungariket ursprungligen har överförts från Europeiska unionen. |
| --- | --- |

(83)

Dessutom gäller ytterligare skyddsåtgärder om de uppgifter som är föremål för vidare överföring från Förenade kungariket ursprungligen har överförts från Europeiska unionen.

| (84) | För det första föreskrivs i avsnitt 73.1 b i dataskyddslagen från 2018 – i likhet med vad som föreskrivs i artikel 35.1 c i direktiv (EU) 2016/680 – att om personuppgifterna ursprungligen överfördes eller på annat sätt gjordes tillgängliga för den personuppgiftsansvariga eller för en annan behörig myndighet av en medlemsstat, den medlemsstaten eller en person som är baserad i den medlemsstaten och som är en behörig myndighet enligt direktiv (EU) 2016/680, måste ha tillåtit överföringen i enlighet med medlemsstatens lagstiftning. |
| --- | --- |

(84)

För det första föreskrivs i avsnitt 73.1 b i dataskyddslagen från 2018 – i likhet med vad som föreskrivs i artikel 35.1 c i direktiv (EU) 2016/680 – att om personuppgifterna ursprungligen överfördes eller på annat sätt gjordes tillgängliga för den personuppgiftsansvariga eller för en annan behörig myndighet av en medlemsstat, den medlemsstaten eller en person som är baserad i den medlemsstaten och som är en behörig myndighet enligt direktiv (EU) 2016/680, måste ha tillåtit överföringen i enlighet med medlemsstatens lagstiftning.

| (85) | I likhet med artikel 35.2 i direktiv (EU) 2016/680 krävs emellertid inte ett sådant tillstånd om a) överföringen är nödvändig för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland eller mot en medlemsstats väsentliga intressen och b) tillståndet inte kan erhållas i tid. I detta fall ska den myndighet i medlemsstaten som skulle ha varit ansvarig för att besluta om tillstånd till överföringen underrättas utan dröjsmål (151). |
| --- | --- |

(85)

I likhet med artikel 35.2 i direktiv (EU) 2016/680 krävs emellertid inte ett sådant tillstånd om a) överföringen är nödvändig för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland eller mot en medlemsstats väsentliga intressen och b) tillståndet inte kan erhållas i tid. I detta fall ska den myndighet i medlemsstaten som skulle ha varit ansvarig för att besluta om tillstånd till överföringen underrättas utan dröjsmål (151).

151

| (86) | För det andra gäller samma tillvägagångssätt om uppgifter som ursprungligen överförts från Europeiska unionen till Förenade kungariket sedan överförs av Förenade kungariket till ett tredjeland, som därefter överför uppgifterna vidare till ett tredjeland. I sådana fall föreskriver avsnitt 78.4 att Förenade kungarikets behöriga myndighet inte kan ge tillstånd till den senare överföringen, enligt avsnitt 78.1, om inte ”den medlemsstat som först hade överfört uppgifterna i fråga, eller en person som är baserad i den medlemsstaten och som är en behörig myndighet enligt direktivet om uppgiftsskydd vid brottsbekämpning, har tillåtit överföringen i enlighet med medlemsstatens lagstiftning”. Dessa skyddsåtgärder är viktiga, eftersom de gör det möjligt för medlemsstaternas myndigheter att garantera skyddet genom hela ”överföringskedjan”, i enlighet med EU:s dataskyddslagstiftning. |
| --- | --- |

(86)

För det andra gäller samma tillvägagångssätt om uppgifter som ursprungligen överförts från Europeiska unionen till Förenade kungariket sedan överförs av Förenade kungariket till ett tredjeland, som därefter överför uppgifterna vidare till ett tredjeland. I sådana fall föreskriver avsnitt 78.4 att Förenade kungarikets behöriga myndighet inte kan ge tillstånd till den senare överföringen, enligt avsnitt 78.1, om inte ”den medlemsstat som först hade överfört uppgifterna i fråga, eller en person som är baserad i den medlemsstaten och som är en behörig myndighet enligt direktivet om uppgiftsskydd vid brottsbekämpning, har tillåtit överföringen i enlighet med medlemsstatens lagstiftning”. Dessa skyddsåtgärder är viktiga, eftersom de gör det möjligt för medlemsstaternas myndigheter att garantera skyddet genom hela ”överföringskedjan”, i enlighet med EU:s dataskyddslagstiftning.

| (87) | Denna nya ram för internationella överföringar började gälla i slutet av övergångsperioden (152). I punkterna 10–12 i tillägg 21 (införd genom DPPC-förordningarna) föreskrivs emellertid att vissa överföringar av personuppgifter från och med övergångsperiodens utgång behandlas som om de grundar sig på förordningar om adekvat skyddsnivå. Dessa överföringar omfattar överföringar till en medlemsstat, en Eftastat, ett tredjeland som är föremål för ett EU-beslut om adekvat skyddsnivå vid övergångsperiodens utgång samt territoriet Gibraltar. Följaktligen kan överföringarna till dessa länder fortsätta som före Förenade kungarikets utträde ur unionen. Efter övergångsperiodens utgång måste ministern under en fyraårsperiod, dvs. före utgången av december 2024, göra en översyn av dessa konstateranden om adekvat skyddsnivå. Enligt den förklaring som lämnats av Förenade kungarikets myndigheter innehåller övergångsbestämmelserna inte någon bestämmelse om tidsbegränsning, även om ministern måste göra en sådan översyn senast i slutet av december 2024, och de relevanta övergångsbestämmelserna kommer inte automatiskt att upphöra att gälla om en översyn inte är slutförd i slutet av december 2024. |
| --- | --- |

(87)

Denna nya ram för internationella överföringar började gälla i slutet av övergångsperioden (152). I punkterna 10–12 i tillägg 21 (införd genom DPPC-förordningarna) föreskrivs emellertid att vissa överföringar av personuppgifter från och med övergångsperiodens utgång behandlas som om de grundar sig på förordningar om adekvat skyddsnivå. Dessa överföringar omfattar överföringar till en medlemsstat, en Eftastat, ett tredjeland som är föremål för ett EU-beslut om adekvat skyddsnivå vid övergångsperiodens utgång samt territoriet Gibraltar. Följaktligen kan överföringarna till dessa länder fortsätta som före Förenade kungarikets utträde ur unionen. Efter övergångsperiodens utgång måste ministern under en fyraårsperiod, dvs. före utgången av december 2024, göra en översyn av dessa konstateranden om adekvat skyddsnivå. Enligt den förklaring som lämnats av Förenade kungarikets myndigheter innehåller övergångsbestämmelserna inte någon bestämmelse om tidsbegränsning, även om ministern måste göra en sådan översyn senast i slutet av december 2024, och de relevanta övergångsbestämmelserna kommer inte automatiskt att upphöra att gälla om en översyn inte är slutförd i slutet av december 2024.

152

2.4.9   Ansvarsskyldighet

Ansvarsskyldighet

| (88) | Enligt principen om ansvarsskyldighet är offentliga myndigheter som behandlar uppgifter skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att effektivt uppfylla sina skyldigheter i fråga om dataskydd och kunna visa detta, särskilt för den behöriga tillsynsmyndigheten. |
| --- | --- |

(88)

Enligt principen om ansvarsskyldighet är offentliga myndigheter som behandlar uppgifter skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att effektivt uppfylla sina skyldigheter i fråga om dataskydd och kunna visa detta, särskilt för den behöriga tillsynsmyndigheten.

| (89) | Denna princip återspeglas i avsnitt 56 i dataskyddslagen från 2018, som inför en allmän redovisningsskyldighet för den personuppgiftsansvariga, dvs. en skyldighet att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter uppfyller kraven i del 3 i dataskyddslagen från 2018. De åtgärder som genomförs måste vid behov ses över och uppdateras och om de står i proportion till behandlingen inbegripa lämpliga dataskyddspolicyer. |
| --- | --- |

(89)

Denna princip återspeglas i avsnitt 56 i dataskyddslagen från 2018, som inför en allmän redovisningsskyldighet för den personuppgiftsansvariga, dvs. en skyldighet att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter uppfyller kraven i del 3 i dataskyddslagen från 2018. De åtgärder som genomförs måste vid behov ses över och uppdateras och om de står i proportion till behandlingen inbegripa lämpliga dataskyddspolicyer.

| (90) | I enlighet med kapitel IV i direktiv (EU) 2016/680 innehåller avsnitten 55–71 i dataskyddslagen från 2018 olika mekanismer för att säkerställa ansvarsskyldighet och göra det möjligt för personuppgiftsansvariga och personuppgiftsbiträden att visa efterlevnad. Personuppgiftsansvariga är särskilt skyldiga att genomföra inbyggt skydd av datauppgifter och skydd av datauppgifter som standard, dvs. att säkerställa att dataskyddsprinciperna genomförs på ett effektivt sätt och att de är skyldiga att föra register över alla kategorier av behandling av uppgifter som den personuppgiftsansvariga ansvarar för (inklusive information om den personuppgiftsansvarigas identitet, dataskyddsombudets kontaktuppgifter, ändamålen med behandlingen, kategorierna av mottagare av utlämnanden och en beskrivning av kategorierna av registrerade och personuppgifter) och på begäran hålla dessa register tillgängliga för Information Commissioner. Den personuppgiftsansvariga och personuppgiftsbiträdet måste också föra loggar över viss behandling och göra dem tillgängliga för Information Commissioner (153). De personuppgiftsansvariga är också särskilt skyldiga att samarbeta med Information Commissioner när han eller hon utför sina uppgifter. |
| --- | --- |

(90)

I enlighet med kapitel IV i direktiv (EU) 2016/680 innehåller avsnitten 55–71 i dataskyddslagen från 2018 olika mekanismer för att säkerställa ansvarsskyldighet och göra det möjligt för personuppgiftsansvariga och personuppgiftsbiträden att visa efterlevnad. Personuppgiftsansvariga är särskilt skyldiga att genomföra inbyggt skydd av datauppgifter och skydd av datauppgifter som standard, dvs. att säkerställa att dataskyddsprinciperna genomförs på ett effektivt sätt och att de är skyldiga att föra register över alla kategorier av behandling av uppgifter som den personuppgiftsansvariga ansvarar för (inklusive information om den personuppgiftsansvarigas identitet, dataskyddsombudets kontaktuppgifter, ändamålen med behandlingen, kategorierna av mottagare av utlämnanden och en beskrivning av kategorierna av registrerade och personuppgifter) och på begäran hålla dessa register tillgängliga för Information Commissioner. Den personuppgiftsansvariga och personuppgiftsbiträdet måste också föra loggar över viss behandling och göra dem tillgängliga för Information Commissioner (153). De personuppgiftsansvariga är också särskilt skyldiga att samarbeta med Information Commissioner när han eller hon utför sina uppgifter.

Information Commissioner

Information Commissioner

153

Information Commissioner

| (91) | I dataskyddslagen från 2018 fastställs också ytterligare krav för behandling som sannolikt kommer att leda till en hög risk för enskildas rättigheter och friheter. Dessa inbegriper en skyldighet att genomföra konsekvensbedömningar avseende dataskydd och att samråda med Information Commissioner före behandlingen om en sådan bedömning visar att behandlingen skulle leda till en hög risk för enskildas rättigheter och friheter (i avsaknad av åtgärder för att minska risken). |
| --- | --- |

(91)

I dataskyddslagen från 2018 fastställs också ytterligare krav för behandling som sannolikt kommer att leda till en hög risk för enskildas rättigheter och friheter. Dessa inbegriper en skyldighet att genomföra konsekvensbedömningar avseende dataskydd och att samråda med Information Commissioner före behandlingen om en sådan bedömning visar att behandlingen skulle leda till en hög risk för enskildas rättigheter och friheter (i avsaknad av åtgärder för att minska risken).

Information Commissioner

| (92) | De personuppgiftsansvariga måste dessutom utse ett dataskyddsombud, såvida inte den personuppgiftsansvariga är en domstol eller annan rättslig myndighet som agerar i egenskap av domstol (154). Den personuppgiftsansvariga ska se till att dataskyddsombudet är involverat i alla frågor som rör skydd av personuppgifter, har nödvändiga resurser och tillgång till personuppgifter, behandlar personuppgifter och kan utföra sina uppgifter på ett oberoende sätt. Dataskyddsombudets uppgifter anges i avsnitt 71 i dataskyddslagen från 2018 och är bland annat att tillhandahålla information och rådgivning, övervaka efterlevnaden samt samarbeta med och fungera som kontaktpunkt för Information Commissioner. När dataskyddsombudet utför sina uppgifter ska han eller hon ta hänsyn till de risker som är förenade med behandlingen med beaktande av behandlingens art, omfattning, sammanhang och ändamål. |
| --- | --- |

(92)

De personuppgiftsansvariga måste dessutom utse ett dataskyddsombud, såvida inte den personuppgiftsansvariga är en domstol eller annan rättslig myndighet som agerar i egenskap av domstol (154). Den personuppgiftsansvariga ska se till att dataskyddsombudet är involverat i alla frågor som rör skydd av personuppgifter, har nödvändiga resurser och tillgång till personuppgifter, behandlar personuppgifter och kan utföra sina uppgifter på ett oberoende sätt. Dataskyddsombudets uppgifter anges i avsnitt 71 i dataskyddslagen från 2018 och är bland annat att tillhandahålla information och rådgivning, övervaka efterlevnaden samt samarbeta med och fungera som kontaktpunkt för Information Commissioner. När dataskyddsombudet utför sina uppgifter ska han eller hon ta hänsyn till de risker som är förenade med behandlingen med beaktande av behandlingens art, omfattning, sammanhang och ändamål.

154

Information Commissioner

2.5   Tillsyn och efterlevnad

Tillsyn och efterlevnad

2.5.1   Oberoende tillsyn

Oberoende tillsyn

| (93) | För att säkerställa att en adekvat skyddsnivå för personuppgifter garanteras även i praktiken måste det finnas en oberoende tillsynsmyndighet med befogenhet att övervaka och verkställa efterlevnaden av dataskyddsbestämmelserna. Denna myndighet ska agera fullständigt oberoende och opartiskt vid utförandet av sina uppgifter och utövandet av sina befogenheter. |
| --- | --- |

(93)

För att säkerställa att en adekvat skyddsnivå för personuppgifter garanteras även i praktiken måste det finnas en oberoende tillsynsmyndighet med befogenhet att övervaka och verkställa efterlevnaden av dataskyddsbestämmelserna. Denna myndighet ska agera fullständigt oberoende och opartiskt vid utförandet av sina uppgifter och utövandet av sina befogenheter.

| (94) | I Förenade kungariket övervakas och verkställs efterlevnaden av den brittiska dataskyddsförordningen och dataskyddslagen från 2018 av Information Commissioner (155). Information Commissioner övervakar också de behöriga myndigheternas behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018 (156). Information Commissioner är en juridisk person, en separat juridisk person som består av en enda person. Information Commissioner bistås i sitt arbete av ett kontor (ICO). Den 31 mars 2020 hade ICO 768 fast anställda (157). Den uppdragsgivande avdelningen för Information Commissioner är Department for Digital, Culture, Media and Sport (158). |
| --- | --- |

(94)

I Förenade kungariket övervakas och verkställs efterlevnaden av den brittiska dataskyddsförordningen och dataskyddslagen från 2018 av Information Commissioner (155). Information Commissioner övervakar också de behöriga myndigheternas behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018 (156). Information Commissioner är en juridisk person, en separat juridisk person som består av en enda person. Information Commissioner bistås i sitt arbete av ett kontor (ICO). Den 31 mars 2020 hade ICO 768 fast anställda (157). Den uppdragsgivande avdelningen för Information Commissioner är Department for Digital, Culture, Media and Sport (158).

Information Commissioner

155

Information Commissioner

156

Information Commissioner

Information Commissioner

157

Information Commissioner

158

| (95) | Oberoendet för Commissioner fastställs uttryckligen i artikel 52 i den brittiska dataskyddsförordningen som återspeglar kraven i artikel 52.1–52.3 i Europaparlamentets och rådets förordning (EU) 2016/679 (159). Commissioner måste agera fullständigt oberoende vid utförandet av sina uppgifter och utöva sina befogenheter i enlighet med den brittiska dataskyddsförordningen, vara fri från yttre påverkan, direkt eller indirekt, i förhållande till dessa uppgifter och befogenheter och varken begära eller ta emot instruktioner från någon. Commissioner ska också avhålla sig från varje handling som är oförenlig med hans eller hennes uppdrag och får inte utöva någon avlönad eller oavlönad yrkesverksamhet under tiden som han eller hon innehar sitt ämbete. |
| --- | --- |

(95)

Oberoendet för Commissioner fastställs uttryckligen i artikel 52 i den brittiska dataskyddsförordningen som återspeglar kraven i artikel 52.1–52.3 i Europaparlamentets och rådets förordning (EU) 2016/679 (159). Commissioner måste agera fullständigt oberoende vid utförandet av sina uppgifter och utöva sina befogenheter i enlighet med den brittiska dataskyddsförordningen, vara fri från yttre påverkan, direkt eller indirekt, i förhållande till dessa uppgifter och befogenheter och varken begära eller ta emot instruktioner från någon. Commissioner ska också avhålla sig från varje handling som är oförenlig med hans eller hennes uppdrag och får inte utöva någon avlönad eller oavlönad yrkesverksamhet under tiden som han eller hon innehar sitt ämbete.

Commissioner

159

Commissioner

Commissioner

| (96) | Villkoren för utnämning och avsättning av Information Commissioner anges i tillägg 12 till dataskyddslagen från 2018. Information Commissioner utses av drottningen på rekommendation av regeringen i enlighet med ett rättvist och öppet uttagningsförfarande. Den sökande måste ha lämpliga kvalifikationer, färdigheter och kompetenser. I enlighet med förvaltningskodexen om offentliga utnämningar (160) upprättas en förteckning över kandidater som kan utnämnas av en rådgivande utvärderingspanel. Innan ministern vid Department for Digital, Culture, Media and Sport slutför sitt beslut måste det berörda särskilda utskottet i parlamentet genomföra en kontroll före utnämningen. Utskottets ståndpunkt offentliggörs (161). |
| --- | --- |

(96)

Villkoren för utnämning och avsättning av Information Commissioner anges i tillägg 12 till dataskyddslagen från 2018. Information Commissioner utses av drottningen på rekommendation av regeringen i enlighet med ett rättvist och öppet uttagningsförfarande. Den sökande måste ha lämpliga kvalifikationer, färdigheter och kompetenser. I enlighet med förvaltningskodexen om offentliga utnämningar (160) upprättas en förteckning över kandidater som kan utnämnas av en rådgivande utvärderingspanel. Innan ministern vid Department for Digital, Culture, Media and Sport slutför sitt beslut måste det berörda särskilda utskottet i parlamentet genomföra en kontroll före utnämningen. Utskottets ståndpunkt offentliggörs (161).

Information Commissioner

Information Commissioner

160

161

| (97) | Information Commissioner har en mandatperiod på upp till sju år. Information Commissioner kan avsättas av drottningen efter ett anförande i båda kamrarna i parlamentet (162). En begäran om entledigande av Information Commissioner kan inte lämnas in till någon av parlamentets kammare om inte en minister har lagt fram en rapport till kammaren där det anges att ministern är övertygad om att Information Commissioner gjort sig skyldig till allvarlig försummelse och/eller att denna inte längre uppfyller de villkor som krävs för att kunna fullgöra sina uppgifter (163). |
| --- | --- |

(97)

Information Commissioner har en mandatperiod på upp till sju år. Information Commissioner kan avsättas av drottningen efter ett anförande i båda kamrarna i parlamentet (162). En begäran om entledigande av Information Commissioner kan inte lämnas in till någon av parlamentets kammare om inte en minister har lagt fram en rapport till kammaren där det anges att ministern är övertygad om att Information Commissioner gjort sig skyldig till allvarlig försummelse och/eller att denna inte längre uppfyller de villkor som krävs för att kunna fullgöra sina uppgifter (163).

Information Commissioner

162

Information Commissioner

Information Commissioner

163

| (98) | Finansieringen av Information Commissioner kommer från följande tre källor: i) Avgifter för dataskydd som betalas av personuppgiftsansvariga och som fastställs i ministerns förordningar (164) och uppgår till 85–90 % av myndighetens årliga budget (165). ii) Bidrag i form av stöd som regeringen kan betala ut till Information Commissioner och som huvudsakligen används för att finansiera driftskostnaderna för Information Commissioner när det gäller uppgifter som inte rör dataskydd (166). iii) Avgifter som tas ut för tjänster (167). För närvarande tas inga sådana avgifter ut. |
| --- | --- |

(98)

Finansieringen av Information Commissioner kommer från följande tre källor: i) Avgifter för dataskydd som betalas av personuppgiftsansvariga och som fastställs i ministerns förordningar (164) och uppgår till 85–90 % av myndighetens årliga budget (165). ii) Bidrag i form av stöd som regeringen kan betala ut till Information Commissioner och som huvudsakligen används för att finansiera driftskostnaderna för Information Commissioner när det gäller uppgifter som inte rör dataskydd (166). iii) Avgifter som tas ut för tjänster (167). För närvarande tas inga sådana avgifter ut.

Information Commissioner

164

165

Information Commissioner

Information Commissioner

166

167

| (99) | De allmänna uppgifterna för Information Commissioner när det gäller behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018 fastställs i tillägg 13 till dataskyddslagen från 2018. Uppgifterna omfattar övervakning och genomförande av del 3 i dataskyddslagen från 2018, främjande av allmänhetens medvetenhet, rådgivning till parlamentet, regeringen och andra institutioner om lagstiftningsåtgärder och administrativa åtgärder, främjande av personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om deras skyldigheter, tillhandahållande av information till registrerade om utövandet av den registrerades rättigheter samt genomförande av utredningar. För att upprätthålla rättsväsendets oberoende är Information Commissioner inte behörig att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap av en dömande myndighet eller av en domstol som agerar inom ramen för sin dömande verksamhet. Tillsynen över rättsväsendet säkerställs dock av specialiserade organ som diskuteras nedan. |
| --- | --- |

(99)

De allmänna uppgifterna för Information Commissioner när det gäller behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018 fastställs i tillägg 13 till dataskyddslagen från 2018. Uppgifterna omfattar övervakning och genomförande av del 3 i dataskyddslagen från 2018, främjande av allmänhetens medvetenhet, rådgivning till parlamentet, regeringen och andra institutioner om lagstiftningsåtgärder och administrativa åtgärder, främjande av personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om deras skyldigheter, tillhandahållande av information till registrerade om utövandet av den registrerades rättigheter samt genomförande av utredningar. För att upprätthålla rättsväsendets oberoende är Information Commissioner inte behörig att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap av en dömande myndighet eller av en domstol som agerar inom ramen för sin dömande verksamhet. Tillsynen över rättsväsendet säkerställs dock av specialiserade organ som diskuteras nedan.

Information Commissioner

Information Commissioner

2.5.1.1   Verkställighet, inklusive påföljder

Verkställighet, inklusive påföljder

| (100) | Commissioner har allmänna undersökande, korrigerande, tillståndsgivande och rådgivande befogenheter när det gäller behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018. Commissioner har befogenhet att underrätta den personuppgiftsansvariga eller personuppgiftsbiträdet om en påstådd överträdelse av del 3, utfärda varningar till en registeransvarig eller ett personuppgiftsbiträde om att planerad behandling sannolikt kommer att strida mot bestämmelserna i del 3 och utfärda reprimander till en personuppgiftsansvarig eller ett personuppgiftsbiträde om behandlingen har brutit mot bestämmelserna i del 3. Dessutom får Commissioner på eget initiativ eller på begäran avge yttranden till Förenade kungarikets parlament, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skyddet av personuppgifter (168). |
| --- | --- |

(100)

Commissioner har allmänna undersökande, korrigerande, tillståndsgivande och rådgivande befogenheter när det gäller behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018. Commissioner har befogenhet att underrätta den personuppgiftsansvariga eller personuppgiftsbiträdet om en påstådd överträdelse av del 3, utfärda varningar till en registeransvarig eller ett personuppgiftsbiträde om att planerad behandling sannolikt kommer att strida mot bestämmelserna i del 3 och utfärda reprimander till en personuppgiftsansvarig eller ett personuppgiftsbiträde om behandlingen har brutit mot bestämmelserna i del 3. Dessutom får Commissioner på eget initiativ eller på begäran avge yttranden till Förenade kungarikets parlament, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skyddet av personuppgifter (168).

Commissioner

Commissioner

Commissioner

168

| (101) | Dessutom har Commissioner befogenhet att






  — | beordra den personuppgiftsansvariga och personuppgiftsbiträdet (och under vissa omständigheter varje annan person) att lämna nödvändig information genom ett informationsmeddelande (informationsföreläggande) (169), |
| --- | --- | --- |

(101)

Dessutom har Commissioner befogenhet att

Commissioner

—

beordra den personuppgiftsansvariga och personuppgiftsbiträdet (och under vissa omständigheter varje annan person) att lämna nödvändig information genom ett informationsmeddelande (informationsföreläggande) (169),

informationsföreläggande

169

| — | genomföra utredningar och revisioner genom att lämna ett bedömningsmeddelande, vilket kan kräva att den personuppgiftsansvariga eller personuppgiftsbiträdet ger Commissioner tillträde till särskilda lokaler, inspekterar eller undersöker handlingar eller utrustning, intervjuar personer som behandlar personuppgifter på den personuppgiftsansvarigas vägnar (bedömningsföreläggande) (170), |
| --- | --- |

—

genomföra utredningar och revisioner genom att lämna ett bedömningsmeddelande, vilket kan kräva att den personuppgiftsansvariga eller personuppgiftsbiträdet ger Commissioner tillträde till särskilda lokaler, inspekterar eller undersöker handlingar eller utrustning, intervjuar personer som behandlar personuppgifter på den personuppgiftsansvarigas vägnar (bedömningsföreläggande) (170),

Commissioner

bedömningsföreläggande

170

| — | på annat sätt få tillgång till personuppgiftsansvarigas och personuppgiftsbiträdens handlingar och tillträde till deras lokaler i enlighet med avsnitt 154 i dataskyddslagen från 2018 (befogenheter för tillträde och inspektion), |
| --- | --- |

—

på annat sätt få tillgång till personuppgiftsansvarigas och personuppgiftsbiträdens handlingar och tillträde till deras lokaler i enlighet med avsnitt 154 i dataskyddslagen från 2018 (befogenheter för tillträde och inspektion),

befogenheter för tillträde och inspektion

| — | utföra korrigerande befogenheter, bland annat genom varningar och reprimander eller utfärda förelägganden genom ett verkställighetsmeddelande som kräver att personuppgiftsansvariga/personuppgiftsbiträden vidtar eller avstår från att vidta specificerade åtgärder (verkställighetsföreläggande) (171) och |
| --- | --- |

—

utföra korrigerande befogenheter, bland annat genom varningar och reprimander eller utfärda förelägganden genom ett verkställighetsmeddelande som kräver att personuppgiftsansvariga/personuppgiftsbiträden vidtar eller avstår från att vidta specificerade åtgärder (verkställighetsföreläggande) (171) och

verkställighetsföreläggande

171

| — | utfärda administrativa sanktionsavgifter i form av ett bötesföreläggande (påföljdsföreläggande) (172). |
| --- | --- |

—

utfärda administrativa sanktionsavgifter i form av ett bötesföreläggande (påföljdsföreläggande) (172).

påföljdsföreläggande

172

| (102) | I ICO:s policy för lagstiftningsåtgärder anges under vilka omständigheter Commissioner kommer att utfärda ett meddelande om informations-, bedömnings-, verkställighets- respektive påföljdsföreläggande (173). Ett verkställighetsmeddelande kan ställa krav som Commissioner anser vara lämpliga för att avhjälpa underlåtenheten. Ett föreläggande om vite innebär att personen ska betala ett belopp som anges i meddelandet till Information Commissioner. Ett påföljdsföreläggande kan lämnas när vissa bestämmelser i dataskyddslagen från 2018 (174) inte har följts eller kan lämnas till en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har följt ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande. |
| --- | --- |

(102)

I ICO:s policy för lagstiftningsåtgärder anges under vilka omständigheter Commissioner kommer att utfärda ett meddelande om informations-, bedömnings-, verkställighets- respektive påföljdsföreläggande (173). Ett verkställighetsmeddelande kan ställa krav som Commissioner anser vara lämpliga för att avhjälpa underlåtenheten. Ett föreläggande om vite innebär att personen ska betala ett belopp som anges i meddelandet till Information Commissioner. Ett påföljdsföreläggande kan lämnas när vissa bestämmelser i dataskyddslagen från 2018 (174) inte har följts eller kan lämnas till en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har följt ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande.

Commissioner

173

Commissioner

Information Commissioner

174

| (103) | När Information Commissioner avgör om en personuppgiftsansvarig eller ett personuppgiftsbiträde ska få ett påföljdsföreläggande och fastställa påföljdsbeloppet ska han eller hon ta hänsyn till de frågor som anges i avsnitt 155.3 i dataskyddslagen från 2018, inbegripet felets art och allvar, felets avsiktliga eller försumliga karaktär, alla åtgärder som vidtas av den personuppgiftsansvariga eller personuppgiftsbiträdet för att minska den skada som de registrerade lidit, den personuppgiftsansvarigas eller personuppgiftsbiträdets grad av ansvar (med beaktande av den personuppgiftsansvarigas eller personuppgiftsbiträdets tekniska och organisatoriska åtgärder), eventuella tidigare brister som den personuppgiftsansvariga eller personuppgiftsbiträdet har gjort sig skyldiga till, de kategorier av personuppgifter som berörs av underlåtenheten och huruvida sanktionen skulle vara effektiv, proportionell och avskräckande. |
| --- | --- |

(103)

När Information Commissioner avgör om en personuppgiftsansvarig eller ett personuppgiftsbiträde ska få ett påföljdsföreläggande och fastställa påföljdsbeloppet ska han eller hon ta hänsyn till de frågor som anges i avsnitt 155.3 i dataskyddslagen från 2018, inbegripet felets art och allvar, felets avsiktliga eller försumliga karaktär, alla åtgärder som vidtas av den personuppgiftsansvariga eller personuppgiftsbiträdet för att minska den skada som de registrerade lidit, den personuppgiftsansvarigas eller personuppgiftsbiträdets grad av ansvar (med beaktande av den personuppgiftsansvarigas eller personuppgiftsbiträdets tekniska och organisatoriska åtgärder), eventuella tidigare brister som den personuppgiftsansvariga eller personuppgiftsbiträdet har gjort sig skyldiga till, de kategorier av personuppgifter som berörs av underlåtenheten och huruvida sanktionen skulle vara effektiv, proportionell och avskräckande.

Information Commissioner

| (104) | Det högsta bötesbelopp som kan utdömas genom ett påföljdsföreläggande är a) 17 500 000 GBP för underlåtenhet att iaktta dataskyddsprinciperna (avsnitten 35, 36, 37, 38.1, 39.1och 40 i dataskyddslagen från 2018) transparenskrav och individuella rättigheter (avsnitten 44, 45, 46, 47, 48, 49, 52 och 53 i dataskyddslagen från 2018) och principer för internationella överföringar av personuppgifter (avsnitten 73, 75, 76, 77 eller 78 i dataskyddslagen från 2018) och b) 8 700 000 GBP i annat fall (175). När det gäller underlåtenhet att följa ett informationspåföljdsföreläggande, ett bedömningspåföljdsföreläggande eller ett verkställighetspåföljdsföreläggande är det högsta bötesbelopp som kan utdömas genom ett bötesföreläggande 17 500 000 GBP. |
| --- | --- |

(104)

Det högsta bötesbelopp som kan utdömas genom ett påföljdsföreläggande är a) 17 500 000 GBP för underlåtenhet att iaktta dataskyddsprinciperna (avsnitten 35, 36, 37, 38.1, 39.1och 40 i dataskyddslagen från 2018) transparenskrav och individuella rättigheter (avsnitten 44, 45, 46, 47, 48, 49, 52 och 53 i dataskyddslagen från 2018) och principer för internationella överföringar av personuppgifter (avsnitten 73, 75, 76, 77 eller 78 i dataskyddslagen från 2018) och b) 8 700 000 GBP i annat fall (175). När det gäller underlåtenhet att följa ett informationspåföljdsföreläggande, ett bedömningspåföljdsföreläggande eller ett verkställighetspåföljdsföreläggande är det högsta bötesbelopp som kan utdömas genom ett bötesföreläggande 17 500 000 GBP.

175

| (105) | Enligt sina senaste årsrapporter (2018–2019 (176), 2019–2020 (177)) har Information Commissioner genomfört ett antal utredningar om kriminalvårdande myndigheters behandling av personuppgifter. Till exempel genomförde Commissioner en utredning och offentliggjorde ett yttrande i oktober 2019 om brottsbekämpande myndigheters användning av ansiktsigenkänningsteknik på offentliga platser. Utredningen inriktades särskilt på användningen av kapacitet för ansiktsigenkänning inom polisen i South Wales Police och Metropolitan Police Service (MPS). Dessutom undersökte Commissioner MPS ”Gangs matrix” (178) och fann en rad allvarliga överträdelser av dataskyddslagstiftningen som sannolikt skulle undergräva allmänhetens förtroende för matrisen och användningen av uppgifterna. |
| --- | --- |

(105)

Enligt sina senaste årsrapporter (2018–2019 (176), 2019–2020 (177)) har Information Commissioner genomfört ett antal utredningar om kriminalvårdande myndigheters behandling av personuppgifter. Till exempel genomförde Commissioner en utredning och offentliggjorde ett yttrande i oktober 2019 om brottsbekämpande myndigheters användning av ansiktsigenkänningsteknik på offentliga platser. Utredningen inriktades särskilt på användningen av kapacitet för ansiktsigenkänning inom polisen i South Wales Police och Metropolitan Police Service (MPS). Dessutom undersökte Commissioner MPS ”Gangs matrix” (178) och fann en rad allvarliga överträdelser av dataskyddslagstiftningen som sannolikt skulle undergräva allmänhetens förtroende för matrisen och användningen av uppgifterna.

176

177

Information Commissioner

Commissioner

Commissioner

178

| (106) | I november 2018 utfärdade Information Commissioner ett verkställighetspåföljdsföreläggande och därefter vidtog Metropolitan Police Service de åtgärder som krävdes för att öka säkerheten och ansvarsskyldigheten och se till att uppgifterna användes på ett proportionerligt sätt. |
| --- | --- |

(106)

I november 2018 utfärdade Information Commissioner ett verkställighetspåföljdsföreläggande och därefter vidtog Metropolitan Police Service de åtgärder som krävdes för att öka säkerheten och ansvarsskyldigheten och se till att uppgifterna användes på ett proportionerligt sätt.

Information Commissioner

| (107) | Ett annat exempel på en nyligen genomförd verkställighetsåtgärd är de böter på 325 000 GBP som Commissioner utfärdade mot åklagarmyndigheten i maj 2018 för att ha förlorat okrypterade dvd-skivor som innehöll inspelningar av polisförhör. Dessutom genomförde Information Commissioner utredningar av bredare frågor, till exempel under första halvåret 2020 om användningen av mobiltelefonavlyssning för polisändamål och polisens behandling av offrens uppgifter. |
| --- | --- |

(107)

Ett annat exempel på en nyligen genomförd verkställighetsåtgärd är de böter på 325 000 GBP som Commissioner utfärdade mot åklagarmyndigheten i maj 2018 för att ha förlorat okrypterade dvd-skivor som innehöll inspelningar av polisförhör. Dessutom genomförde Information Commissioner utredningar av bredare frågor, till exempel under första halvåret 2020 om användningen av mobiltelefonavlyssning för polisändamål och polisens behandling av offrens uppgifter.

Commissioner

Information Commissioner

| (108) | Utöver de verkställande befogenheterna för Information Commissioner utgör vissa överträdelser av dataskyddslagstiftningen brott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i dataskyddslagen från 2018). Detta gäller till exempel för inhämtande eller utlämnande av personuppgifter utan den personuppgiftsansvarigas samtycke och för utlämnande av personuppgifter till en annan person utan den personuppgiftsansvarigas samtycke (179), återidentifierande information som utgörs av avidentifierade personuppgifter utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen av personuppgifterna (180), avsiktligen hindra Commissioner från att utöva sina befogenheter när det gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (181), lämna oriktiga uppgifter som svar på ett informationspåföljdsföreläggande eller förstöra information i samband med informations- och bedömningspåföljdsförelägganden (182). |
| --- | --- |

(108)

Utöver de verkställande befogenheterna för Information Commissioner utgör vissa överträdelser av dataskyddslagstiftningen brott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i dataskyddslagen från 2018). Detta gäller till exempel för inhämtande eller utlämnande av personuppgifter utan den personuppgiftsansvarigas samtycke och för utlämnande av personuppgifter till en annan person utan den personuppgiftsansvarigas samtycke (179), återidentifierande information som utgörs av avidentifierade personuppgifter utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen av personuppgifterna (180), avsiktligen hindra Commissioner från att utöva sina befogenheter när det gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (181), lämna oriktiga uppgifter som svar på ett informationspåföljdsföreläggande eller förstöra information i samband med informations- och bedömningspåföljdsförelägganden (182).

Information Commissioner

179

180

Commissioner

181

182

| (109) | Information Commissioner har också en skyldighet enligt avsnitt 139 i dataskyddslagen från 2018 att för varje kammare lägga fram en allmän rapport om utövandet av sina uppgifter enligt lagen (183). |
| --- | --- |

(109)

Information Commissioner har också en skyldighet enligt avsnitt 139 i dataskyddslagen från 2018 att för varje kammare lägga fram en allmän rapport om utövandet av sina uppgifter enligt lagen (183).

Information Commissioner

183

2.5.2   Tillsyn över rättsväsendet

Tillsyn över rättsväsendet

| (110) | Tillsynen över domstolarnas och rättsväsendets behandling av personuppgifter är dubbel. Om en innehavare av ett domarämbete eller en domstol inte agerar inom ramen för sin dömande verksamhet ska tillsynen ombesörjas av Information Commissioner. Om den personuppgiftsansvariga agerar inom ramen för sin dömande verksamhet kan ICO inte utöva sina tillsynsfunktioner (184) utan tillsynen utförs av särskilda organ. Detta återspeglar tillvägagångssättet i artikel 32 i direktiv (EU) 2016/680. |
| --- | --- |

(110)

Tillsynen över domstolarnas och rättsväsendets behandling av personuppgifter är dubbel. Om en innehavare av ett domarämbete eller en domstol inte agerar inom ramen för sin dömande verksamhet ska tillsynen ombesörjas av Information Commissioner. Om den personuppgiftsansvariga agerar inom ramen för sin dömande verksamhet kan ICO inte utöva sina tillsynsfunktioner (184) utan tillsynen utförs av särskilda organ. Detta återspeglar tillvägagångssättet i artikel 32 i direktiv (EU) 2016/680.

Information Commissioner

184

| (111) | I synnerhet i det andra scenariot, för domstolarna i England och Wales samt förstainstansdomstolen och Upper Tribunal i England och Wales, tillhandahålls sådan tillsyn av Judicial Data Protection Panel (185). Lord Chief Justice och Chief President of Tribunals har dessutom utfärdat ett meddelande om skydd av personuppgifter (186) som beskriver hur domstolarna i England och Wales behandlar personuppgifter för en rättslig funktion. Ett liknande meddelande har utfärdats av de nordirländska (187) och skotska domstolarna (188). |
| --- | --- |

(111)

I synnerhet i det andra scenariot, för domstolarna i England och Wales samt förstainstansdomstolen och Upper Tribunal i England och Wales, tillhandahålls sådan tillsyn av Judicial Data Protection Panel (185). Lord Chief Justice och Chief President of Tribunals har dessutom utfärdat ett meddelande om skydd av personuppgifter (186) som beskriver hur domstolarna i England och Wales behandlar personuppgifter för en rättslig funktion. Ett liknande meddelande har utfärdats av de nordirländska (187) och skotska domstolarna (188).

Judicial Data Protection Panel

185

186

187

188

| (112) | I Nordirland har dessutom Lord Chief Justice of Northern Ireland utsett en domare vid High Court som datatillsynsdomare (Data Supervisory Judge, DSJ) (189). De har också gett vägledning till det nordirländska domstolsväsendet om vad som ska göras i händelse av förlust eller potentiell förlust av uppgifter och förfarandet för att hantera eventuella problem som uppstår till följd av detta (190). |
| --- | --- |

(112)

I Nordirland har dessutom Lord Chief Justice of Northern Ireland utsett en domare vid High Court som datatillsynsdomare (Data Supervisory Judge, DSJ) (189). De har också gett vägledning till det nordirländska domstolsväsendet om vad som ska göras i händelse av förlust eller potentiell förlust av uppgifter och förfarandet för att hantera eventuella problem som uppstår till följd av detta (190).

Data Supervisory Judge

189

190

| (113) | I Skottland har Lord President utsett en datatillsynsdomare som ska utreda eventuella klagomål med hänvisning till dataskydd. Detta anges i de regler för klagomål till domstol som motsvarar dem som gäller för England och Wales (191). |
| --- | --- |

(113)

I Skottland har Lord President utsett en datatillsynsdomare som ska utreda eventuella klagomål med hänvisning till dataskydd. Detta anges i de regler för klagomål till domstol som motsvarar dem som gäller för England och Wales (191).

191

| (114) | I högsta domstolen utses slutligen en av högsta domstolens domare för att övervaka dataskyddet. |
| --- | --- |

(114)

I högsta domstolen utses slutligen en av högsta domstolens domare för att övervaka dataskyddet.

2.5.3   Prövningsmöjligheter

Prövningsmöjligheter

| (115) | För att säkerställa adekvat skydd, och i synnerhet tillämpningen av individuella rättigheter, bör den registrerade erbjudas möjligheten till faktisk administrativ och rättslig prövning, inbegripet ersättning för skador. |
| --- | --- |

(115)

För att säkerställa adekvat skydd, och i synnerhet tillämpningen av individuella rättigheter, bör den registrerade erbjudas möjligheten till faktisk administrativ och rättslig prövning, inbegripet ersättning för skador.

| (116) | För det första har den registrerade rätt att lämna in ett klagomål till Information Commissioner om den registrerade anser att det i samband med personuppgifter som rör honom eller henne föreligger en överträdelse av del 3 i dataskyddslagen från 2018 (192). Enligt skälen (100) och (109) har Information Commissioner befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av dataskyddslagen från 2018, kräva att de vidtar eller avstår från att vidta nödvändiga åtgärder vid bristande efterlevnad och utdöma sanktionsavgifter. |
| --- | --- |

(116)

För det första har den registrerade rätt att lämna in ett klagomål till Information Commissioner om den registrerade anser att det i samband med personuppgifter som rör honom eller henne föreligger en överträdelse av del 3 i dataskyddslagen från 2018 (192). Enligt skälen (100) och (109) har Information Commissioner befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av dataskyddslagen från 2018, kräva att de vidtar eller avstår från att vidta nödvändiga åtgärder vid bristande efterlevnad och utdöma sanktionsavgifter.

Information Commissioner

192

Information Commissioner

| (117) | För det andra föreskriver dataskyddslagen från 2018 en rätt till rättsmedel mot Information Commissioner. Om Commissioner underlåter att ”gå vidare” (193) med ett klagomål från den registrerade har klaganden tillgång till rättsmedel eftersom de kan vända sig till en förstainstansdomstol (194) för att beordra Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (195). Dessutom kan varje person som får något av ovanstående påföljdsförelägganden (informations-, bedömnings-, verkställighets- eller påföljdspåföljdsföreläggande) från Commissioner överklaga till en förstainstansdomstol. Om tribunalen anser att beslutet från Commissioner inte är förenligt med lagen eller att Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt, ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som Information Commissioner skulle ha kunnat lämna eller fatta (196). |
| --- | --- |

(117)

För det andra föreskriver dataskyddslagen från 2018 en rätt till rättsmedel mot Information Commissioner. Om Commissioner underlåter att ”gå vidare” (193) med ett klagomål från den registrerade har klaganden tillgång till rättsmedel eftersom de kan vända sig till en förstainstansdomstol (194) för att beordra Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (195). Dessutom kan varje person som får något av ovanstående påföljdsförelägganden (informations-, bedömnings-, verkställighets- eller påföljdspåföljdsföreläggande) från Commissioner överklaga till en förstainstansdomstol. Om tribunalen anser att beslutet från Commissioner inte är förenligt med lagen eller att Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt, ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som Information Commissioner skulle ha kunnat lämna eller fatta (196).

Information Commissioner

Commissioner

193

194

Commissioner

195

Commissioner

Commissioner

Information Commissioner

Information Commissioner

196

| (118) | För det tredje kan enskilda få rättslig prövning mot personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol enligt avsnitt 167 i dataskyddslagen från 2018. Om en domstol på begäran av en registrerad är övertygad om att det har skett en överträdelse av den registrerades rättigheter enligt dataskyddslagstiftningen får domstolen förelägga den personuppgiftsansvariga att vidta de åtgärder som anges i beslutet eller att avstå från att vidta de åtgärder som anges i beslutet. Enligt avsnitt 169 i dataskyddslagen från 2018 har dessutom varje person som lider skada till följd av en överträdelse av ett krav i dataskyddslagstiftningen (inklusive del 3 i dataskyddslagen från 2018), med undantag för Förenade kungarikets dataskyddsmyndighet, rätt till ersättning för denna skada från den personuppgiftsansvariga eller personuppgiftsbiträdet, förutom om den personuppgiftsansvariga eller personuppgiftsbiträdet bevisar att den personuppgiftsansvariga eller personuppgiftsbiträdet inte på något sätt är ansvarig för den händelse som orsakade skadan. Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge. |
| --- | --- |

(118)

För det tredje kan enskilda få rättslig prövning mot personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol enligt avsnitt 167 i dataskyddslagen från 2018. Om en domstol på begäran av en registrerad är övertygad om att det har skett en överträdelse av den registrerades rättigheter enligt dataskyddslagstiftningen får domstolen förelägga den personuppgiftsansvariga att vidta de åtgärder som anges i beslutet eller att avstå från att vidta de åtgärder som anges i beslutet. Enligt avsnitt 169 i dataskyddslagen från 2018 har dessutom varje person som lider skada till följd av en överträdelse av ett krav i dataskyddslagstiftningen (inklusive del 3 i dataskyddslagen från 2018), med undantag för Förenade kungarikets dataskyddsmyndighet, rätt till ersättning för denna skada från den personuppgiftsansvariga eller personuppgiftsbiträdet, förutom om den personuppgiftsansvariga eller personuppgiftsbiträdet bevisar att den personuppgiftsansvariga eller personuppgiftsbiträdet inte på något sätt är ansvarig för den händelse som orsakade skadan. Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge.

| (119) | För det fjärde, i den mån som en person anser att hans eller hennes rättigheter, inbegripet rätten till integritet och dataskydd, har kränkts av offentliga myndigheter kan de få sin sak prövad av domstolar i Förenade kungariket i enlighet med Human Rights Act 1998. De personuppgiftsansvariga enligt del 3 i dataskyddslagen från 2018, dvs. de behöriga myndigheterna, är alltid offentliga myndigheter i den mening som avses i Human Rights Act 1998. En enskild som hävdar att en offentlig myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en rättighet enligt konventionen, och följaktligen är olagligt enligt avsnitt 6.1 i Human Rights Act 1998, kan väcka talan mot myndigheten vid behörig domstol eller åberopa de berörda rättigheterna i ett rättsligt förfarande när han eller hon är (eller skulle bli) offer för den olagliga handlingen (197). |
| --- | --- |

(119)

För det fjärde, i den mån som en person anser att hans eller hennes rättigheter, inbegripet rätten till integritet och dataskydd, har kränkts av offentliga myndigheter kan de få sin sak prövad av domstolar i Förenade kungariket i enlighet med Human Rights Act 1998. De personuppgiftsansvariga enligt del 3 i dataskyddslagen från 2018, dvs. de behöriga myndigheterna, är alltid offentliga myndigheter i den mening som avses i Human Rights Act 1998. En enskild som hävdar att en offentlig myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en rättighet enligt konventionen, och följaktligen är olagligt enligt avsnitt 6.1 i Human Rights Act 1998, kan väcka talan mot myndigheten vid behörig domstol eller åberopa de berörda rättigheterna i ett rättsligt förfarande när han eller hon är (eller skulle bli) offer för den olagliga handlingen (197).

Human Rights Act 1998

Human Rights Act 1998

Human Rights Act 1998

197

| (120) | Om domstolen finner att en åtgärd som vidtas av en offentlig myndighet är rättsstridig kan den bevilja en sådan befrielse eller ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter som den anser vara skäligt och lämpligt (198). Domstolen kan också förklara att en primärrättslig bestämmelse är oförenlig med en rättighet som garanteras i Europakonventionen. |
| --- | --- |

(120)

Om domstolen finner att en åtgärd som vidtas av en offentlig myndighet är rättsstridig kan den bevilja en sådan befrielse eller ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter som den anser vara skäligt och lämpligt (198). Domstolen kan också förklara att en primärrättslig bestämmelse är oförenlig med en rättighet som garanteras i Europakonventionen.

198

| (121) | Slutligen kan en enskild, efter att ha uttömt nationella rättsmedel, vända sig till Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen. |
| --- | --- |

(121)

Slutligen kan en enskild, efter att ha uttömt nationella rättsmedel, vända sig till Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen.

2.6   Fortsatt delning

Fortsatt delning

| (122) | Enligt Förenade kungarikets lag får en brottsbekämpande myndighet dela uppgifter med andra myndigheter i Förenade kungariket för andra ändamål än de för vilka de ursprungligen samlades in (så kallad vidaredelning) på vissa villkor. |
| --- | --- |

(122)

Enligt Förenade kungarikets lag får en brottsbekämpande myndighet dela uppgifter med andra myndigheter i Förenade kungariket för andra ändamål än de för vilka de ursprungligen samlades in (så kallad vidaredelning) på vissa villkor.

| (123) | I likhet med vad som föreskrivs i artikel 4.2 i direktiv (EU) 2016/680 tillåter avsnitt 36.3 i dataskyddslagen från 2018 att personuppgifter som samlats in av en behörig myndighet för brottsbekämpande ändamål får behandlas ytterligare (antingen av den ursprungliga personuppgiftsansvariga eller av en annan registeransvarig) för andra brottsbekämpande ändamål, förutsatt att den personuppgiftsansvariga enligt lag är bemyndigad att behandla uppgifter för det andra ändamålet och att behandlingen är nödvändig och proportionell (199). I detta fall gäller alla skyddsåtgärder som föreskrivs i del 3 i dataskyddslagen från 2018 och som analyserats ovan för den behandling som utförs av den mottagande myndigheten. |
| --- | --- |

(123)

I likhet med vad som föreskrivs i artikel 4.2 i direktiv (EU) 2016/680 tillåter avsnitt 36.3 i dataskyddslagen från 2018 att personuppgifter som samlats in av en behörig myndighet för brottsbekämpande ändamål får behandlas ytterligare (antingen av den ursprungliga personuppgiftsansvariga eller av en annan registeransvarig) för andra brottsbekämpande ändamål, förutsatt att den personuppgiftsansvariga enligt lag är bemyndigad att behandla uppgifter för det andra ändamålet och att behandlingen är nödvändig och proportionell (199). I detta fall gäller alla skyddsåtgärder som föreskrivs i del 3 i dataskyddslagen från 2018 och som analyserats ovan för den behandling som utförs av den mottagande myndigheten.

199

| (124) | I Förenade kungarikets rättsordning tillåter olika lagar uttryckligen vidaredelning. I synnerhet i) 2017 års lag om den digitala ekonomin tillåter delning mellan offentliga myndigheter för flera ändamål, till exempel vid bedrägeri mot den offentliga sektorn som skulle innebära förlust eller risk för förlust för en offentlig myndighet (200) eller vid en skuld till en offentlig myndighet eller till staten (201), ii) Crime and Courts Act 2013 tillåter utbyte av information med National Crime Agency (NCA) (202) för bekämpning, utredning och lagföring av grov och organiserad brottslighet, iii) enligt Serious Crime Act 2007 får offentliga myndigheter lämna ut information till bedrägeribekämpningsorganisationer för att förebygga bedrägerier (203). |
| --- | --- |

(124)

I Förenade kungarikets rättsordning tillåter olika lagar uttryckligen vidaredelning. I synnerhet i) 2017 års lag om den digitala ekonomin tillåter delning mellan offentliga myndigheter för flera ändamål, till exempel vid bedrägeri mot den offentliga sektorn som skulle innebära förlust eller risk för förlust för en offentlig myndighet (200) eller vid en skuld till en offentlig myndighet eller till staten (201), ii) Crime and Courts Act 2013 tillåter utbyte av information med National Crime Agency (NCA) (202) för bekämpning, utredning och lagföring av grov och organiserad brottslighet, iii) enligt Serious Crime Act 2007 får offentliga myndigheter lämna ut information till bedrägeribekämpningsorganisationer för att förebygga bedrägerier (203).

200

201

Crime and Courts Act 2013

202

Serious Crime Act 2007

203

| (125) | I dessa lagar föreskrivs uttryckligen att informationsutbytet bör ske i enlighet med bestämmelserna i dataskyddslagen från 2018. Dessutom har polisakademin utfärdat en auktoriserad yrkespraxis för informationsutbyte (204) för att hjälpa polisen att uppfylla sina dataskyddsskyldigheter enligt den brittiska dataskyddsförordningen, dataskyddslagen och Human Rights Act 1998. Naturligtvis kan det bli föremål för rättslig prövning av huruvida utbytet överensstämmer med den tillämpliga rättsliga ramen för dataskydd (205). |
| --- | --- |

(125)

I dessa lagar föreskrivs uttryckligen att informationsutbytet bör ske i enlighet med bestämmelserna i dataskyddslagen från 2018. Dessutom har polisakademin utfärdat en auktoriserad yrkespraxis för informationsutbyte (204) för att hjälpa polisen att uppfylla sina dataskyddsskyldigheter enligt den brittiska dataskyddsförordningen, dataskyddslagen och Human Rights Act 1998. Naturligtvis kan det bli föremål för rättslig prövning av huruvida utbytet överensstämmer med den tillämpliga rättsliga ramen för dataskydd (205).

204

Human Rights Act 1998

205

| (126) | I likhet med vad som anges i artikel 9 i direktiv (EU) 2016/680 föreskriver dataskyddslagen från 2018 dessutom att personuppgifter som samlas in för brottsbekämpningsändamål får behandlas för ett ändamål som inte är brottsbekämpningssyfte när behandlingen är tillåten enligt lag (206). Denna typ av delning omfattar två scenarier 1) när en brottsbekämpande myndighet delar uppgifter med en annan icke-straffrättslig brottsbekämpande myndighet än en underrättelsetjänst (t.ex. en finans- eller skattemyndighet, en konkurrensmyndighet, en ungdomsmyndighet), 2) när en brottsbekämpande myndighet delar uppgifter med en underrättelsetjänst. I det första scenariot kommer behandlingen av personuppgifter att omfattas av den brittiska dataskyddsförordningen och av del 2 i dataskyddslagen från 2018. Enligt det beslut som antagits enligt förordning (EU) 2016/679 ger de skyddsåtgärder som föreskrivs i Förenade kungarikets allmänna dataskyddsförordning och del 2 i dataskyddslagen från 2018 en skyddsnivå som i allt väsentligt är likvärdig med den som ges inom unionen (207). |
| --- | --- |

(126)

I likhet med vad som anges i artikel 9 i direktiv (EU) 2016/680 föreskriver dataskyddslagen från 2018 dessutom att personuppgifter som samlas in för brottsbekämpningsändamål får behandlas för ett ändamål som inte är brottsbekämpningssyfte när behandlingen är tillåten enligt lag (206). Denna typ av delning omfattar två scenarier 1) när en brottsbekämpande myndighet delar uppgifter med en annan icke-straffrättslig brottsbekämpande myndighet än en underrättelsetjänst (t.ex. en finans- eller skattemyndighet, en konkurrensmyndighet, en ungdomsmyndighet), 2) när en brottsbekämpande myndighet delar uppgifter med en underrättelsetjänst. I det första scenariot kommer behandlingen av personuppgifter att omfattas av den brittiska dataskyddsförordningen och av del 2 i dataskyddslagen från 2018. Enligt det beslut som antagits enligt förordning (EU) 2016/679 ger de skyddsåtgärder som föreskrivs i Förenade kungarikets allmänna dataskyddsförordning och del 2 i dataskyddslagen från 2018 en skyddsnivå som i allt väsentligt är likvärdig med den som ges inom unionen (207).

206

207

| (127) | I det andra scenariot när det gäller utbyte av uppgifter som samlats in av en brottsbekämpande myndighet med en underrättelsetjänst för ändamål som rör nationell säkerhet är den rättsliga grunden för sådant utbyte Counter Terrorism Act 2008 (208). Enligt lagen om bekämpande av terrorism får var och en lämna information till vilken underrättelsetjänst som helst i syfte att fullgöra någon av dess funktioner, inbegripet ”nationell säkerhet”. |
| --- | --- |

(127)

I det andra scenariot när det gäller utbyte av uppgifter som samlats in av en brottsbekämpande myndighet med en underrättelsetjänst för ändamål som rör nationell säkerhet är den rättsliga grunden för sådant utbyte Counter Terrorism Act 2008 (208). Enligt lagen om bekämpande av terrorism får var och en lämna information till vilken underrättelsetjänst som helst i syfte att fullgöra någon av dess funktioner, inbegripet ”nationell säkerhet”.

Counter Terrorism Act 2008

208

| (128) | När det gäller villkoren för utbyte av uppgifter för nationella säkerhetsändamål begränsar Intelligence Services Act och Security Services Act underrättelsetjänsternas möjligheter att inhämta uppgifter till vad som är nödvändigt för att de ska kunna fullgöra sina lagstadgade uppgifter. Behöriga myndigheter som omfattas av del 3 i dataskyddslagen från 2018 och som vill utbyta uppgifter med underrättelsetjänsterna kommer att behöva ta hänsyn till ett antal faktorer/begränsningar utöver de lagstadgade uppgifterna för de organ som anges i lagen om underrättelsetjänster och lagen om säkerhetstjänster (209). I avsnitt 20 i Counter Terrorism Act 2008 klargörs att all datadelning enligt avsnitt 19 i Counter Terrorism Act 2008 fortfarande måste vara förenlig med dataskyddslagstiftningen; Detta innebär att alla begränsningar och krav i dataskyddslagen från 2018 gäller. Dessutom är brottsbekämpande myndigheter och underrättelsetjänster offentliga myndigheter i den mening som avses i Human Rights Act 1998 och måste därför se till att de agerar i enlighet med de rättigheter som garanteras i Europakonventionen, inbegripet artikel 8. Med ord innebär dessa krav att all datadelning mellan brottsbekämpande organ och underrättelsetjänster ska vara förenlig med dataskyddslagstiftningen och Europakonventionen. |
| --- | --- |

(128)

När det gäller villkoren för utbyte av uppgifter för nationella säkerhetsändamål begränsar Intelligence Services Act och Security Services Act underrättelsetjänsternas möjligheter att inhämta uppgifter till vad som är nödvändigt för att de ska kunna fullgöra sina lagstadgade uppgifter. Behöriga myndigheter som omfattas av del 3 i dataskyddslagen från 2018 och som vill utbyta uppgifter med underrättelsetjänsterna kommer att behöva ta hänsyn till ett antal faktorer/begränsningar utöver de lagstadgade uppgifterna för de organ som anges i lagen om underrättelsetjänster och lagen om säkerhetstjänster (209). I avsnitt 20 i Counter Terrorism Act 2008 klargörs att all datadelning enligt avsnitt 19 i Counter Terrorism Act 2008 fortfarande måste vara förenlig med dataskyddslagstiftningen; Detta innebär att alla begränsningar och krav i dataskyddslagen från 2018 gäller. Dessutom är brottsbekämpande myndigheter och underrättelsetjänster offentliga myndigheter i den mening som avses i Human Rights Act 1998 och måste därför se till att de agerar i enlighet med de rättigheter som garanteras i Europakonventionen, inbegripet artikel 8. Med ord innebär dessa krav att all datadelning mellan brottsbekämpande organ och underrättelsetjänster ska vara förenlig med dataskyddslagstiftningen och Europakonventionen.

Intelligence Services Act

Security Services Act

209

Counter Terrorism Act 2008

Counter Terrorism Act 2008

Human Rights Act 1998

| (129) | Underrättelsetjänsters behandling av personuppgifter som mottagits eller erhållits från brottsbekämpande myndigheter för ändamål som rör nationell säkerhet omfattas av ett antal villkor och skyddsåtgärder (210). Del 4 i dataskyddslagen från 2018 gäller all behandling som utförs av underrättelsetjänsterna eller för deras räkning. Där fastställs de viktigaste principerna för dataskydd (laglighet, rättvisa och öppenhet (211), ändamålsbegränsning (212), uppgiftsminimering (213), precision (214), lagringsbegränsningar (215) och säkerhet (216), villkor för behandling av särskilda kategorier av uppgifter (217), bestämmelser om registrerades rättigheter (218), krav på inbyggt dataskydd (219) och internationella överföringar av personuppgifter (220). |
| --- | --- |

(129)

Underrättelsetjänsters behandling av personuppgifter som mottagits eller erhållits från brottsbekämpande myndigheter för ändamål som rör nationell säkerhet omfattas av ett antal villkor och skyddsåtgärder (210). Del 4 i dataskyddslagen från 2018 gäller all behandling som utförs av underrättelsetjänsterna eller för deras räkning. Där fastställs de viktigaste principerna för dataskydd (laglighet, rättvisa och öppenhet (211), ändamålsbegränsning (212), uppgiftsminimering (213), precision (214), lagringsbegränsningar (215) och säkerhet (216), villkor för behandling av särskilda kategorier av uppgifter (217), bestämmelser om registrerades rättigheter (218), krav på inbyggt dataskydd (219) och internationella överföringar av personuppgifter (220).

210

211

212

213

214

215

216

217

218

219

220

| (130) | Samtidigt föreskrivs i avsnitt 110 i dataskyddslagen från 2018 ett undantag från de specificerade bestämmelserna i del 4 i dataskyddslagen från 2018 när ett sådant undantag krävs för att skydda den nationella säkerheten. I avsnitt 110.2 i dataskyddslagen från 2018 förtecknas de bestämmelser från vilka undantag är tillåtna. Detta omfattar dataskyddsprinciperna (med undantag för legalitetsprincipen), den registrerades rättigheter, skyldigheten att informera Information Commissioner om ett personuppgiftsbrott, inspektionsbefogenheter för Information Commissioner i enlighet med internationella skyldigheter, vissa av verkställighetsbefogenheterna för Information Commissioner, bestämmelser som gör vissa dataskyddsbrott till lagbrott och bestämmelser om särskilda ändamål för behandling, till exempel journalistiska, akademiska eller konstnärliga ändamål. Detta undantag kan grundas på en analys från fall till fall (221). Enligt Förenade kungarikets myndigheters förklaring, som bekräftas av rättspraxis från domstolar i Förenade kungariket, måste den ”personuppgiftsansvariga a) beakta de faktiska konsekvenserna för den nationella säkerheten eller försvaret om de var tvungna att följa den särskilda dataskyddsbestämmelsen och om de rimligen kunde följa den vanliga regeln utan att påverka den nationella säkerheten eller det nationella försvaret” (222). Huruvida undantaget har använts på lämpligt sätt omfattas av den tillsyn som utövas av ICO (223). |
| --- | --- |

(130)

Samtidigt föreskrivs i avsnitt 110 i dataskyddslagen från 2018 ett undantag från de specificerade bestämmelserna i del 4 i dataskyddslagen från 2018 när ett sådant undantag krävs för att skydda den nationella säkerheten. I avsnitt 110.2 i dataskyddslagen från 2018 förtecknas de bestämmelser från vilka undantag är tillåtna. Detta omfattar dataskyddsprinciperna (med undantag för legalitetsprincipen), den registrerades rättigheter, skyldigheten att informera Information Commissioner om ett personuppgiftsbrott, inspektionsbefogenheter för Information Commissioner i enlighet med internationella skyldigheter, vissa av verkställighetsbefogenheterna för Information Commissioner, bestämmelser som gör vissa dataskyddsbrott till lagbrott och bestämmelser om särskilda ändamål för behandling, till exempel journalistiska, akademiska eller konstnärliga ändamål. Detta undantag kan grundas på en analys från fall till fall (221). Enligt Förenade kungarikets myndigheters förklaring, som bekräftas av rättspraxis från domstolar i Förenade kungariket, måste den ”personuppgiftsansvariga a) beakta de faktiska konsekvenserna för den nationella säkerheten eller försvaret om de var tvungna att följa den särskilda dataskyddsbestämmelsen och om de rimligen kunde följa den vanliga regeln utan att påverka den nationella säkerheten eller det nationella försvaret” (222). Huruvida undantaget har använts på lämpligt sätt omfattas av den tillsyn som utövas av ICO (223).

Information Commissioner

Information Commissioner

Information Commissioner

221

222

223

| (131) | När det gäller möjligheten att begränsa någon av de ovannämnda rättigheterna till skydd av ”nationell säkerhet” förskrivs i avsnitt 79 i dataskyddslagen från 2018 att en personuppgiftsansvarig har möjlighet att ansöka om ett intyg som undertecknats av en minister eller Attorney General och intygar att en begränsning av sådana rättigheter är, eller har varit, en nödvändig och proportionell åtgärd för att skydda den nationella säkerheten (224). Förenade kungarikets regering har utfärdat riktlinjer om nationella säkerhetscertifikat enligt dataskyddslagen från 2018 där det särskilt framhålls att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (225). Samtliga nationella säkerhetscertifikat måste offentliggöras på ICO:s webbplats (226). |
| --- | --- |

(131)

När det gäller möjligheten att begränsa någon av de ovannämnda rättigheterna till skydd av ”nationell säkerhet” förskrivs i avsnitt 79 i dataskyddslagen från 2018 att en personuppgiftsansvarig har möjlighet att ansöka om ett intyg som undertecknats av en minister eller Attorney General och intygar att en begränsning av sådana rättigheter är, eller har varit, en nödvändig och proportionell åtgärd för att skydda den nationella säkerheten (224). Förenade kungarikets regering har utfärdat riktlinjer om nationella säkerhetscertifikat enligt dataskyddslagen från 2018 där det särskilt framhålls att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (225). Samtliga nationella säkerhetscertifikat måste offentliggöras på ICO:s webbplats (226).

224

225

226

| (132) | Intyget bör gälla för en bestämd period på högst fem år så att det regelbundet ses över av den verkställande makten (227). I ett certifikat ska det anges vilka personuppgifter eller kategorier av personuppgifter som omfattas av undantaget samt vilka bestämmelser i dataskyddslagen från 2018 som undantaget gäller (228). |
| --- | --- |

(132)

Intyget bör gälla för en bestämd period på högst fem år så att det regelbundet ses över av den verkställande makten (227). I ett certifikat ska det anges vilka personuppgifter eller kategorier av personuppgifter som omfattas av undantaget samt vilka bestämmelser i dataskyddslagen från 2018 som undantaget gäller (228).

227

228

| (133) | Det är viktigt att lägga märke till att de nationella säkerhetscertifikaten inte medger ytterligare skäl att begränsa rätten till dataskydd med hänvisning till den nationella säkerheten. Med andra ord kan den personuppgiftsansvariga eller personuppgiftsbiträdet endast förlita sig på ett certifikat när de har konstaterat att det är nödvändigt att tillämpa undantaget för nationell säkerhet, vilket måste ske från fall till fall. Även om ett nationellt säkerhetsintyg är tillämpligt på ärendet i fråga kan ICO undersöka om det var motiverat att åberopa undantaget för nationell säkerhet i ett visst fall (229). |
| --- | --- |

(133)

Det är viktigt att lägga märke till att de nationella säkerhetscertifikaten inte medger ytterligare skäl att begränsa rätten till dataskydd med hänvisning till den nationella säkerheten. Med andra ord kan den personuppgiftsansvariga eller personuppgiftsbiträdet endast förlita sig på ett certifikat när de har konstaterat att det är nödvändigt att tillämpa undantaget för nationell säkerhet, vilket måste ske från fall till fall. Även om ett nationellt säkerhetsintyg är tillämpligt på ärendet i fråga kan ICO undersöka om det var motiverat att åberopa undantaget för nationell säkerhet i ett visst fall (229).

229

| (134) | Varje person som direkt berörs av utfärdandet av intyget kan överklaga intyget till Upper Tribunal (230) eller (231), om certifikatet identifierar uppgifter genom en allmän beskrivning, bestrida tillämpningen av intyget på specifika uppgifter (232). |
| --- | --- |

(134)

Varje person som direkt berörs av utfärdandet av intyget kan överklaga intyget till Upper Tribunal (230) eller (231), om certifikatet identifierar uppgifter genom en allmän beskrivning, bestrida tillämpningen av intyget på specifika uppgifter (232).

230

231

232

| (135) | Skiljedomstolen kommer att ompröva beslutet att utfärda ett certifikat och besluta om det fanns rimliga skäl att utfärda intyget (233). Den kan behandla ett stort antal frågor, bland annat nödvändighet, proportionalitet och laglighet, med beaktande av konsekvenserna för de registrerades rättigheter och avvägningen av behovet av att skydda den nationella säkerheten. Till följd av detta kan domstolen fastställa att intyget inte är tillämpligt på specifika personuppgifter som är föremål för överklagandet (234). |
| --- | --- |

(135)

Skiljedomstolen kommer att ompröva beslutet att utfärda ett certifikat och besluta om det fanns rimliga skäl att utfärda intyget (233). Den kan behandla ett stort antal frågor, bland annat nödvändighet, proportionalitet och laglighet, med beaktande av konsekvenserna för de registrerades rättigheter och avvägningen av behovet av att skydda den nationella säkerheten. Till följd av detta kan domstolen fastställa att intyget inte är tillämpligt på specifika personuppgifter som är föremål för överklagandet (234).

233

234

| (136) | En annan uppsättning möjliga begränsningar gäller dem som enligt tillägg 11 till dataskyddslagen från 2018 är tillämpliga på vissa bestämmelser i del 4 i dataskyddslagen från 2018 (235) för att skydda andra viktiga mål av allmänt intresse eller skyddade intressen, till exempel parlamentariska privilegier, rätten till förtrolig kommunikation mellan advokat och klient, genomförandet av rättsliga förfaranden eller de väpnade styrkornas stridsförmåga. Tillämpningen av dessa bestämmelser är antingen undantagen för vissa kategorier av information (”typbaserad”) eller undantagen i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada det skyddade intresset (”skadebaserat”) (236). Fördomsbaserade undantag kan endast åberopas i den mån tillämpningen av den angivna dataskyddsbestämmelsen sannolikt skulle skada det specifika intresset i fråga. Användning av ett undantag måste därför alltid motiveras med hänvisning till den relevanta skada som sannolikt skulle uppstå i det enskilda fallet. Klassbaserade undantag kan endast åberopas med avseende på den specifika, snävt definierade informationskategori för vilken undantaget beviljas. Dessa liknar varandra i syfte och verkan med flera av undantagen i den brittiska dataskyddsförordningen (enligt tillägg 2 (Schedule 2) i dataskyddslagen från 2018) som i sin tur återspeglar undantagen i artikel 23 i dataskyddsförordningen. |
| --- | --- |

(136)

En annan uppsättning möjliga begränsningar gäller dem som enligt tillägg 11 till dataskyddslagen från 2018 är tillämpliga på vissa bestämmelser i del 4 i dataskyddslagen från 2018 (235) för att skydda andra viktiga mål av allmänt intresse eller skyddade intressen, till exempel parlamentariska privilegier, rätten till förtrolig kommunikation mellan advokat och klient, genomförandet av rättsliga förfaranden eller de väpnade styrkornas stridsförmåga. Tillämpningen av dessa bestämmelser är antingen undantagen för vissa kategorier av information (”typbaserad”) eller undantagen i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada det skyddade intresset (”skadebaserat”) (236). Fördomsbaserade undantag kan endast åberopas i den mån tillämpningen av den angivna dataskyddsbestämmelsen sannolikt skulle skada det specifika intresset i fråga. Användning av ett undantag måste därför alltid motiveras med hänvisning till den relevanta skada som sannolikt skulle uppstå i det enskilda fallet. Klassbaserade undantag kan endast åberopas med avseende på den specifika, snävt definierade informationskategori för vilken undantaget beviljas. Dessa liknar varandra i syfte och verkan med flera av undantagen i den brittiska dataskyddsförordningen (enligt tillägg 2 (Schedule 2) i dataskyddslagen från 2018) som i sin tur återspeglar undantagen i artikel 23 i dataskyddsförordningen.

235

236

| (137) | Av ovanstående följer att tillämplig lagstiftning i Förenade kungariket omfattar begränsningar och villkor, som också har tolkas så av domstolarna och Information Commission, för att säkerställa att dessa undantag och begränsningar håller sig inom gränserna för vad som är nödvändigt och proportionerligt för att skydda den nationella säkerheten. |
| --- | --- |

(137)

Av ovanstående följer att tillämplig lagstiftning i Förenade kungariket omfattar begränsningar och villkor, som också har tolkas så av domstolarna och Information Commission, för att säkerställa att dessa undantag och begränsningar håller sig inom gränserna för vad som är nödvändigt och proportionerligt för att skydda den nationella säkerheten.

| (138) | Underrättelsetjänsternas behandling av personuppgifter enligt del 4 i dataskyddslagen från 2018 övervakas av Information Commissioner (237). |
| --- | --- |

(138)

Underrättelsetjänsternas behandling av personuppgifter enligt del 4 i dataskyddslagen från 2018 övervakas av Information Commissioner (237).

Information Commissioner

237

| (139) | De allmänna uppgifterna för Information Commissioner när det gäller underrättelsetjänsters behandling av personuppgifter enligt del 4 i dataskyddslagen från 2018 fastställs i tillägg 13 till dataskyddslagen från 2018. Uppgifterna omfattar, men är inte begränsade till, övervakning och efterlevnad av del 4 i dataskyddslagen från 2018, främjande av allmänhetens medvetenhet, rådgivning till parlamentet, regeringen och andra institutioner om lagstiftningsåtgärder och administrativa åtgärder, främjande av personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter, tillhandahållande av information till registrerade om utövandet av den registrerades rättigheter samt genomförande av utredningar. |
| --- | --- |

(139)

De allmänna uppgifterna för Information Commissioner när det gäller underrättelsetjänsters behandling av personuppgifter enligt del 4 i dataskyddslagen från 2018 fastställs i tillägg 13 till dataskyddslagen från 2018. Uppgifterna omfattar, men är inte begränsade till, övervakning och efterlevnad av del 4 i dataskyddslagen från 2018, främjande av allmänhetens medvetenhet, rådgivning till parlamentet, regeringen och andra institutioner om lagstiftningsåtgärder och administrativa åtgärder, främjande av personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter, tillhandahållande av information till registrerade om utövandet av den registrerades rättigheter samt genomförande av utredningar.

Information Commissioner

| (140) | Commissioner har, liksom för del 3 i dataskyddslagen från 2018, befogenhet att underrätta personuppgiftsansvariga om en påstådd överträdelse och utfärda varningar om att en behandling sannolikt kommer att strida mot reglerna och utfärda reprimander när överträdelsen bekräftas. Han eller hon kan också utfärda förelägganden om verkställighet och påföljder för överträdelser av vissa bestämmelser i lagen (238). Till skillnad från vad som gäller för andra delar av dataskyddslagen från 2018 kan dock inte kommissionsledamoten lämna ett bedömningsföreläggande till ett organ för nationell säkerhet (239). |
| --- | --- |

(140)

Commissioner har, liksom för del 3 i dataskyddslagen från 2018, befogenhet att underrätta personuppgiftsansvariga om en påstådd överträdelse och utfärda varningar om att en behandling sannolikt kommer att strida mot reglerna och utfärda reprimander när överträdelsen bekräftas. Han eller hon kan också utfärda förelägganden om verkställighet och påföljder för överträdelser av vissa bestämmelser i lagen (238). Till skillnad från vad som gäller för andra delar av dataskyddslagen från 2018 kan dock inte kommissionsledamoten lämna ett bedömningsföreläggande till ett organ för nationell säkerhet (239).

Commissioner

238

239

| (141) | I avsnitt 110 i dataskyddslagen från 2018 föreskrivs dessutom ett undantag från användningen av vissa av befogenheterna för Commissioner när detta krävs för att skydda den nationella säkerheten. Detta inbegriper befogenheterna för Commissioner att utfärda (alla typer av) påföljdsförelägganden enligt dataskyddsmyndigheten (informations-, bedömnings-, verkställighets och påföljdsförelägganden), befogenhet att utföra inspektioner i enlighet med internationella skyldigheter, befogenheter för inresa och inspektion samt regler om brott (240). Såsom förklaras i skäl (136) kommer dessa undantag endast att gälla om det är nödvändigt och proportionellt och från fall till fall. Tillämpningen av dessa undantag kan prövas i domstol (241). |
| --- | --- |

(141)

I avsnitt 110 i dataskyddslagen från 2018 föreskrivs dessutom ett undantag från användningen av vissa av befogenheterna för Commissioner när detta krävs för att skydda den nationella säkerheten. Detta inbegriper befogenheterna för Commissioner att utfärda (alla typer av) påföljdsförelägganden enligt dataskyddsmyndigheten (informations-, bedömnings-, verkställighets och påföljdsförelägganden), befogenhet att utföra inspektioner i enlighet med internationella skyldigheter, befogenheter för inresa och inspektion samt regler om brott (240). Såsom förklaras i skäl (136) kommer dessa undantag endast att gälla om det är nödvändigt och proportionellt och från fall till fall. Tillämpningen av dessa undantag kan prövas i domstol (241).

Commissioner

Commissioner

240

241

| (142) | ICO och Förenade kungarikets underrättelsetjänster har undertecknat ett samförståndsavtal (242) som fastställer en ram för samarbete i ett antal frågor, bland annat anmälningar om personuppgiftsbrott och hantering av klagomål från registrerade. I synnerhet föreskrivs det att ICO efter att ha mottagit ett klagomål ska bedöma huruvida något undantag från nationell säkerhet har åberopats på lämpligt sätt. Svar på frågor från ICO i samband med granskningen av enskilda klagomål måste, enligt Förenade kungarikets regerings vägledning om nationella säkerhetscertifikat enligt dataskyddslagen, lämnas inom 20 arbetsdagar med hjälp av lämpliga säkra kanaler om det rör sig om sekretessbelagd information. Från april 2018 till dags dato har ICO mottagit 21 klagomål från enskilda personer om underrättelsetjänsterna. Varje klagomål bedömdes och resultatet meddelades den registrerade (243). |
| --- | --- |

(142)

ICO och Förenade kungarikets underrättelsetjänster har undertecknat ett samförståndsavtal (242) som fastställer en ram för samarbete i ett antal frågor, bland annat anmälningar om personuppgiftsbrott och hantering av klagomål från registrerade. I synnerhet föreskrivs det att ICO efter att ha mottagit ett klagomål ska bedöma huruvida något undantag från nationell säkerhet har åberopats på lämpligt sätt. Svar på frågor från ICO i samband med granskningen av enskilda klagomål måste, enligt Förenade kungarikets regerings vägledning om nationella säkerhetscertifikat enligt dataskyddslagen, lämnas inom 20 arbetsdagar med hjälp av lämpliga säkra kanaler om det rör sig om sekretessbelagd information. Från april 2018 till dags dato har ICO mottagit 21 klagomål från enskilda personer om underrättelsetjänsterna. Varje klagomål bedömdes och resultatet meddelades den registrerade (243).

242

243

| (143) | Dessutom utövar underrättelse-och säkerhetsutskottet (Intelligence and Security Committee (ISC)) parlamentarisk tillsyn över underrättelsetjänsternas databehandling. Denna kommitté har sin rättsliga grund i Justice and Security Act 2013 (lagen om rättvisa och säkerhet, JSA 2013) (244). Genom lagen inrättas underrättelse- och säkerhetsutskottet som ett utskott i Förenade kungarikets parlament. Underrättelse- och säkerhetsutskottet består av ledamöter som tillhör någon av parlamentets kammare och utses av premiärministern efter samråd med oppositionsledaren (245). Underrättelse- och säkerhetsutskottet ska lämna en årlig rapport till parlamentet om fullgörandet av sina uppgifter och andra rapporter som den anser lämpliga (246). |
| --- | --- |

(143)

Dessutom utövar underrättelse-och säkerhetsutskottet (Intelligence and Security Committee (ISC)) parlamentarisk tillsyn över underrättelsetjänsternas databehandling. Denna kommitté har sin rättsliga grund i Justice and Security Act 2013 (lagen om rättvisa och säkerhet, JSA 2013) (244). Genom lagen inrättas underrättelse- och säkerhetsutskottet som ett utskott i Förenade kungarikets parlament. Underrättelse- och säkerhetsutskottet består av ledamöter som tillhör någon av parlamentets kammare och utses av premiärministern efter samråd med oppositionsledaren (245). Underrättelse- och säkerhetsutskottet ska lämna en årlig rapport till parlamentet om fullgörandet av sina uppgifter och andra rapporter som den anser lämpliga (246).

Intelligence and Security Committee

Justice and Security Act 2013

244

245

246

| (144) | Sedan 2013 har underrättelse- och säkerhetsutskottet fått större befogenheter, bland annat tillsyn över säkerhetstjänsternas operativa verksamhet. Enligt avsnitt 2 i Justice and Security Act 2013 har underrättelse- och säkerhetsutskottet till uppgift att övervaka de nationella säkerhetsorganens utgifter, administration, politik och verksamhet. I Justice and Security Act 2013 anges att underrättelse- och säkerhetsutskottet kan genomföra utredningar i operativa frågor som inte rör pågående insatser (247). I det samförståndsavtal som premiärministern och underrättelse- och säkerhetsutskottet (248) kommit överens om anges i detalj vilka faktorer som ska beaktas när man överväger om en verksamhet inte är en del av en pågående insats (249). underrättelse- och säkerhetsutskottet kan också uppmanas att utreda pågående insatser av premiärministern och kan granska information som tillhandahålls frivilligt av organen. |
| --- | --- |

(144)

Sedan 2013 har underrättelse- och säkerhetsutskottet fått större befogenheter, bland annat tillsyn över säkerhetstjänsternas operativa verksamhet. Enligt avsnitt 2 i Justice and Security Act 2013 har underrättelse- och säkerhetsutskottet till uppgift att övervaka de nationella säkerhetsorganens utgifter, administration, politik och verksamhet. I Justice and Security Act 2013 anges att underrättelse- och säkerhetsutskottet kan genomföra utredningar i operativa frågor som inte rör pågående insatser (247). I det samförståndsavtal som premiärministern och underrättelse- och säkerhetsutskottet (248) kommit överens om anges i detalj vilka faktorer som ska beaktas när man överväger om en verksamhet inte är en del av en pågående insats (249). underrättelse- och säkerhetsutskottet kan också uppmanas att utreda pågående insatser av premiärministern och kan granska information som tillhandahålls frivilligt av organen.

Justice and Security Act 2013

Justice and Security Act 2013

247

248

249

| (145) | Enligt tillägg 1 till JSA 2013 får underrättelse- och säkerhetsutskottet begära att cheferna för någon av de tre underrättelsetjänsterna lämnar ut vilken information som helst. Myndigheten ska göra sådan information tillgänglig, såvida inte ministern lägger in sitt veto mot den (250). Förenade kungarikets myndigheter förklarade att underrättelse- och säkerhetsutskottet i praktiken undanhålls mycket lite information (251). |
| --- | --- |

(145)

Enligt tillägg 1 till JSA 2013 får underrättelse- och säkerhetsutskottet begära att cheferna för någon av de tre underrättelsetjänsterna lämnar ut vilken information som helst. Myndigheten ska göra sådan information tillgänglig, såvida inte ministern lägger in sitt veto mot den (250). Förenade kungarikets myndigheter förklarade att underrättelse- och säkerhetsutskottet i praktiken undanhålls mycket lite information (251).

250

251

| (146) | När det gäller gottgörelse enligt avsnitt 165.2 i dataskyddslagen från 2018 får en registrerad för det första lämna in ett klagomål till ICO om han eller hon anser att det föreligger en överträdelse av del 4 i dataskyddslagen från 2018 i samband med personuppgifter som rör honom eller henne, inbegripet missbruk av undantag och begränsningar för den nationella säkerheten. |
| --- | --- |

(146)

När det gäller gottgörelse enligt avsnitt 165.2 i dataskyddslagen från 2018 får en registrerad för det första lämna in ett klagomål till ICO om han eller hon anser att det föreligger en överträdelse av del 4 i dataskyddslagen från 2018 i samband med personuppgifter som rör honom eller henne, inbegripet missbruk av undantag och begränsningar för den nationella säkerheten.

| (147) | Enligt del 4 i dataskyddslagen från 2018 har enskilda dessutom rätt att ansöka hos High Court (eller Court of Session in Scotland) om ett föreläggande om att den personuppgiftsansvariga ska iaktta rätten till tillgång till uppgifter (252), invända mot behandling (253) och rättelse eller radering. |
| --- | --- |

(147)

Enligt del 4 i dataskyddslagen från 2018 har enskilda dessutom rätt att ansöka hos High Court (eller Court of Session in Scotland) om ett föreläggande om att den personuppgiftsansvariga ska iaktta rätten till tillgång till uppgifter (252), invända mot behandling (253) och rättelse eller radering.

252

253

| (148) | Enskilda har också rätt att från den personuppgiftsansvariga eller personuppgiftsbiträdet begära ersättning för skada till följd av överträdelse av ett krav i del 4 i dataskyddslagen från 2018 (254). Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge (255). |
| --- | --- |

(148)

Enskilda har också rätt att från den personuppgiftsansvariga eller personuppgiftsbiträdet begära ersättning för skada till följd av överträdelse av ett krav i del 4 i dataskyddslagen från 2018 (254). Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge (255).

254

255

| (149) | Slutligen kan en enskild person lämna in ett klagomål till domstolen för utredningsbefogenheter (Investigatory Powers Tribunal) för alla handlingar som begåtts av eller på uppdrag av Förenade kungarikets underrättelsetjänster (256). Domstolen för utredningsbefogenheter (IPT) inrättades genom 2000 års lag om utredningsbefogenheter för England, Wales och Nordirland och 2000 års lag om utredningsbefogenheter (Skottland) för Skottland (RIPA 2000) och är oberoende av den verkställande makten (257). Enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter utses Investigatory Powers Tribunals ledamöter av drottningen för en period på fem år. |
| --- | --- |

(149)

Slutligen kan en enskild person lämna in ett klagomål till domstolen för utredningsbefogenheter (Investigatory Powers Tribunal) för alla handlingar som begåtts av eller på uppdrag av Förenade kungarikets underrättelsetjänster (256). Domstolen för utredningsbefogenheter (IPT) inrättades genom 2000 års lag om utredningsbefogenheter för England, Wales och Nordirland och 2000 års lag om utredningsbefogenheter (Skottland) för Skottland (RIPA 2000) och är oberoende av den verkställande makten (257). Enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter utses Investigatory Powers Tribunals ledamöter av drottningen för en period på fem år.

Investigatory Powers Tribunal

256

257

| (150) | En ledamot av tribunalen kan avsättas från sitt ämbete av drottningen efter en framställning (258) i båda kamrarna i parlamentet (259). |
| --- | --- |

(150)

En ledamot av tribunalen kan avsättas från sitt ämbete av drottningen efter en framställning (258) i båda kamrarna i parlamentet (259).

258

259

| (151) | För att väcka talan vid Investigatory Powers Tribunal (”stående krav”), enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter, måste en enskild tro i) att en underrättelsetjänst har agerat med avseende på honom eller henne, någon av hans eller hennes egendom, alla meddelanden som skickats av eller till honom eller som är avsedda för honom eller henne eller hans eller hennes användning av post-, telekommunikationstjänster eller telekommunikationssystem (260) och ii) att beteendet har ägt rum under ”jäviga omständigheter” (261) eller ”utförts av underrättelsetjänsterna eller för deras räkning” (262). Eftersom denna ”övertygelse” i synnerhet har tolkats ganska brett (263), omfattas ett mål vid tribunalen av relativt låga krav på talerätt. |
| --- | --- |

(151)

För att väcka talan vid Investigatory Powers Tribunal (”stående krav”), enligt avsnitt 65 i 2000 års lag om utredningsbefogenheter, måste en enskild tro i) att en underrättelsetjänst har agerat med avseende på honom eller henne, någon av hans eller hennes egendom, alla meddelanden som skickats av eller till honom eller som är avsedda för honom eller henne eller hans eller hennes användning av post-, telekommunikationstjänster eller telekommunikationssystem (260) och ii) att beteendet har ägt rum under ”jäviga omständigheter” (261) eller ”utförts av underrättelsetjänsterna eller för deras räkning” (262). Eftersom denna ”övertygelse” i synnerhet har tolkats ganska brett (263), omfattas ett mål vid tribunalen av relativt låga krav på talerätt.

260

261

262

263

| (152) | När tribunalen prövar ett klagomål som lämnats till den är det tribunalens skyldighet att undersöka huruvida de personer som anklagas i klagomålet har varit inblandade i klagomålet samt att undersöka vilken myndighet som påstås ha begått överträdelserna och huruvida det påstådda beteendet har ägt rum (264). När tribunalen prövar ett mål ska den tillämpa samma principer för att avgöra målet som de som skulle tillämpas av en domstol vid en ansökan om rättslig prövning (265). |
| --- | --- |

(152)

När tribunalen prövar ett klagomål som lämnats till den är det tribunalens skyldighet att undersöka huruvida de personer som anklagas i klagomålet har varit inblandade i klagomålet samt att undersöka vilken myndighet som påstås ha begått överträdelserna och huruvida det påstådda beteendet har ägt rum (264). När tribunalen prövar ett mål ska den tillämpa samma principer för att avgöra målet som de som skulle tillämpas av en domstol vid en ansökan om rättslig prövning (265).

264

265

| (153) | Tribunalen ska underrätta klaganden om huruvida det har beslutats till hans eller hennes fördel eller inte (266). Enligt avsnitten 67.6 och 67.7 i 2000 års lag om utredningsbefogenheter är tribunalen behörig att besluta om interimistiska åtgärder och att meddela sådan ersättning eller andra förelägganden som den finner lämpliga (267). Enligt avsnitt 67A i 2000 års lag om utredningsbefogenheter kan ett avgörande från tribunalen överklagas med förbehåll för tribunalens eller den relevanta appellationsdomstolens tillstånd. |
| --- | --- |

(153)

Tribunalen ska underrätta klaganden om huruvida det har beslutats till hans eller hennes fördel eller inte (266). Enligt avsnitten 67.6 och 67.7 i 2000 års lag om utredningsbefogenheter är tribunalen behörig att besluta om interimistiska åtgärder och att meddela sådan ersättning eller andra förelägganden som den finner lämpliga (267). Enligt avsnitt 67A i 2000 års lag om utredningsbefogenheter kan ett avgörande från tribunalen överklagas med förbehåll för tribunalens eller den relevanta appellationsdomstolens tillstånd.

266

267

| (154) | I synnerhet kan enskilda personer väcka talan – och få gottgörelse – inför domstolen för utredningsbefogenheter om de anser att en offentlig myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en av rättigheterna enligt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, inbegripet rätten till integritet och dataskydd och följaktligen är olaglig enligt avsnitt 6.1 i Human Rights Act 1998. Domstolen för utredningsbefogenheter som har beviljats exklusiv behörighet för alla anspråk enligt Human Rights Act i förhållande till underrättelsetjänsterna. Detta innebär, som High Court har påpekat, att ”huruvida det har förekommit ett brott mot Human Rights Act i ett enskilt fall är något som i princip kan tas upp och avgöras av en oberoende tribunal som kan få tillgång till allt relevant material, inbegripet hemligt material. [...] Vi har också i detta sammanhang i åtanke att Investigatory Powers Tribunal nu är föremål för möjligheten att överklaga till en lämplig appellationsdomstol (i England och Wales, som skulle vara Court of Appeal) och att Supreme Court nyligen har beslutat att Investigatory Powers Tribunal i princip kan bli föremål för domstolsprövning, se R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22, [2019] 2 WLR 1219” (268). Om Investigatory Powers Tribunal finner att en offentlig myndighets agerande är rättsstridigt kan Investigatory Powers Tribunal bevilja en sådan befrielse, ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter på det sätt som den anser vara skäligt och lämpligt (269). |
| --- | --- |

(154)

I synnerhet kan enskilda personer väcka talan – och få gottgörelse – inför domstolen för utredningsbefogenheter om de anser att en offentlig myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en av rättigheterna enligt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, inbegripet rätten till integritet och dataskydd och följaktligen är olaglig enligt avsnitt 6.1 i Human Rights Act 1998. Domstolen för utredningsbefogenheter som har beviljats exklusiv behörighet för alla anspråk enligt Human Rights Act i förhållande till underrättelsetjänsterna. Detta innebär, som High Court har påpekat, att ”huruvida det har förekommit ett brott mot Human Rights Act i ett enskilt fall är något som i princip kan tas upp och avgöras av en oberoende tribunal som kan få tillgång till allt relevant material, inbegripet hemligt material. [...] Vi har också i detta sammanhang i åtanke att Investigatory Powers Tribunal nu är föremål för möjligheten att överklaga till en lämplig appellationsdomstol (i England och Wales, som skulle vara Court of Appeal) och att Supreme Court nyligen har beslutat att Investigatory Powers Tribunal i princip kan bli föremål för domstolsprövning, se R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22, [2019] 2 WLR 1219” (268). Om Investigatory Powers Tribunal finner att en offentlig myndighets agerande är rättsstridigt kan Investigatory Powers Tribunal bevilja en sådan befrielse, ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter på det sätt som den anser vara skäligt och lämpligt (269).

Human Rights Act 1998

Human Rights Act

Human Rights Act

268

269

| (155) | Efter att ha uttömt nationella rättsmedel kan en enskild få upprättelse vid Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, inbegripet rätten till integritet och dataskydd. |
| --- | --- |

(155)

Efter att ha uttömt nationella rättsmedel kan en enskild få upprättelse vid Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, inbegripet rätten till integritet och dataskydd.

| (156) | Av ovanstående följer att Förenade kungarikets straffrättsliga myndigheters utbyte av uppgifter som överförs enligt detta beslut med andra offentliga myndigheter, inbegripet underrättelsetjänster, omfattas av begränsningar och villkor som säkerställer att sådant vidare delning kommer att vara nödvändigt och proportionerligt och omfattas av särskilda dataskyddsgarantier enligt dataskyddslagen från 2018. Dessutom övervakas behandlingen av uppgifter av de berörda offentliga myndigheterna av oberoende organ och berörda personer har tillgång till effektiva rättsmedel. |
| --- | --- |

(156)

Av ovanstående följer att Förenade kungarikets straffrättsliga myndigheters utbyte av uppgifter som överförs enligt detta beslut med andra offentliga myndigheter, inbegripet underrättelsetjänster, omfattas av begränsningar och villkor som säkerställer att sådant vidare delning kommer att vara nödvändigt och proportionerligt och omfattas av särskilda dataskyddsgarantier enligt dataskyddslagen från 2018. Dessutom övervakas behandlingen av uppgifter av de berörda offentliga myndigheterna av oberoende organ och berörda personer har tillgång till effektiva rättsmedel.

3.   SLUTSATS

SLUTSATS

| (157) | Kommissionen anser att del 3 i dataskyddslagen från 2018 säkerställer en skyddsnivå för personuppgifter som överförs i brottsbekämpningssyfte från behöriga myndigheter i unionen till behöriga myndigheter i Förenade kungariket, som i allt väsentligt är likvärdig med det skydd som garanteras genom direktiv (EU) 2016/680. |
| --- | --- |

(157)

Kommissionen anser att del 3 i dataskyddslagen från 2018 säkerställer en skyddsnivå för personuppgifter som överförs i brottsbekämpningssyfte från behöriga myndigheter i unionen till behöriga myndigheter i Förenade kungariket, som i allt väsentligt är likvärdig med det skydd som garanteras genom direktiv (EU) 2016/680.

| (158) | Kommissionen anser dessutom att tillsynsmekanismerna och möjligheterna till prövning i Förenade kungarikets lagstiftning sammantaget gör det möjligt att identifiera och bestraffa överträdelser i praktiken och erbjuda den registrerade rättsmedel för att få tillgång till personuppgifter som rör honom eller henne och, i slutändan, rättelse eller radering av sådana uppgifter. |
| --- | --- |

(158)

Kommissionen anser dessutom att tillsynsmekanismerna och möjligheterna till prövning i Förenade kungarikets lagstiftning sammantaget gör det möjligt att identifiera och bestraffa överträdelser i praktiken och erbjuda den registrerade rättsmedel för att få tillgång till personuppgifter som rör honom eller henne och, i slutändan, rättelse eller radering av sådana uppgifter.

| (159) | På grundval av tillgänglig information om Förenade kungarikets rättsordning anser kommissionen slutligen att varje ingrepp i de grundläggande rättigheterna för de personer vars personuppgifter överförs från Europeiska unionen till Förenade kungariket av myndigheter i Förenade kungariket för ändamål av allmänt intresse, inbegripet i samband med delning av personuppgifter mellan brottsbekämpande myndigheter och andra offentliga myndigheter, till exempel nationella säkerhetsorgan, kommer att begränsas till vad som är absolut nödvändigt för att uppnå det legitima målet i fråga och att det finns ett effektivt rättsligt skydd mot sådana ingrepp. |
| --- | --- |

(159)

På grundval av tillgänglig information om Förenade kungarikets rättsordning anser kommissionen slutligen att varje ingrepp i de grundläggande rättigheterna för de personer vars personuppgifter överförs från Europeiska unionen till Förenade kungariket av myndigheter i Förenade kungariket för ändamål av allmänt intresse, inbegripet i samband med delning av personuppgifter mellan brottsbekämpande myndigheter och andra offentliga myndigheter, till exempel nationella säkerhetsorgan, kommer att begränsas till vad som är absolut nödvändigt för att uppnå det legitima målet i fråga och att det finns ett effektivt rättsligt skydd mot sådana ingrepp.

| (160) | Det bör därför beslutas att Förenade kungariket säkerställer en adekvat skyddsnivå i den mening som avses i artikel 36.2 i direktiv (EU) 2016/680, tolkad mot bakgrund av stadgan om de grundläggande rättigheterna. |
| --- | --- |

(160)

Det bör därför beslutas att Förenade kungariket säkerställer en adekvat skyddsnivå i den mening som avses i artikel 36.2 i direktiv (EU) 2016/680, tolkad mot bakgrund av stadgan om de grundläggande rättigheterna.

| (161) | Denna slutsats grundar sig på både Förenade kungarikets relevanta inhemska system och dess internationella åtaganden, särskilt anslutningen till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och hänvändelse till Europeiska domstolen för de mänskliga rättigheterna. Fortsatt efterlevnad av sådana internationella förpliktelser är därför ett särskilt viktigt inslag i den bedömning som ligger till grund för detta beslut. |
| --- | --- |

(161)

Denna slutsats grundar sig på både Förenade kungarikets relevanta inhemska system och dess internationella åtaganden, särskilt anslutningen till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och hänvändelse till Europeiska domstolen för de mänskliga rättigheterna. Fortsatt efterlevnad av sådana internationella förpliktelser är därför ett särskilt viktigt inslag i den bedömning som ligger till grund för detta beslut.

4.   EFFEKTERNA AV DETTA BESLUT OCH DATASKYDDSMYNDIGHETERNAS ÅTGÄRDER

EFFEKTERNA AV DETTA BESLUT OCH DATASKYDDSMYNDIGHETERNAS ÅTGÄRDER

| (162) | Medlemsstaterna och deras organ är skyldiga att vidta de åtgärder som är nödvändiga för att följa unionsinstitutionernas rättsakter, eftersom dessa antas vara lagenliga och följaktligen har rättsverkningar fram till dess att de löper ut, återkallas, ogiltigförklaras inom ramen för en talan om ogiltigförklaring eller förklaras ogiltiga till följd av en begäran om förhandsavgörande eller en invändning om rättsstridighet. |
| --- | --- |

(162)

Medlemsstaterna och deras organ är skyldiga att vidta de åtgärder som är nödvändiga för att följa unionsinstitutionernas rättsakter, eftersom dessa antas vara lagenliga och följaktligen har rättsverkningar fram till dess att de löper ut, återkallas, ogiltigförklaras inom ramen för en talan om ogiltigförklaring eller förklaras ogiltiga till följd av en begäran om förhandsavgörande eller en invändning om rättsstridighet.

| (163) | Följaktligen är ett kommissionsbeslut om adekvat skyddsnivå som antagits i enlighet med artikel 36.3 i direktiv (EU) 2016/680 bindande för alla organ i medlemsstaterna till vilka det är riktat, inbegripet deras oberoende tillsynsmyndigheter. Under tillämpningsperioden för detta beslut får överföringar från en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket ske utan ytterligare tillstånd. |
| --- | --- |

(163)

Följaktligen är ett kommissionsbeslut om adekvat skyddsnivå som antagits i enlighet med artikel 36.3 i direktiv (EU) 2016/680 bindande för alla organ i medlemsstaterna till vilka det är riktat, inbegripet deras oberoende tillsynsmyndigheter. Under tillämpningsperioden för detta beslut får överföringar från en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket ske utan ytterligare tillstånd.

| (164) | Samtidigt ska det erinras om att enligt artikel 47.5 i direktiv (EU) 2016/680, och såsom domstolen förklarade i domen i Schrems-målet, ska den nationella lagstiftningen, när en nationell dataskyddsmyndighet frågar om huruvida ett kommissionsbeslut om adekvat skyddsnivå är förenligt med den enskildes grundläggande rätt till personlig integritet och skydd av personuppgifter, innehålla ett rättsmedel för att framställa dessa invändningar till en nationell domstol, som kan vara skyldig att begära ett förhandsavgörande från EU-domstolen (270). |
| --- | --- |

(164)

Samtidigt ska det erinras om att enligt artikel 47.5 i direktiv (EU) 2016/680, och såsom domstolen förklarade i domen i Schrems-målet, ska den nationella lagstiftningen, när en nationell dataskyddsmyndighet frågar om huruvida ett kommissionsbeslut om adekvat skyddsnivå är förenligt med den enskildes grundläggande rätt till personlig integritet och skydd av personuppgifter, innehålla ett rättsmedel för att framställa dessa invändningar till en nationell domstol, som kan vara skyldig att begära ett förhandsavgörande från EU-domstolen (270).

270

5.   ÖVERVAKNING, TILLFÄLLIGT UPPHÄVANDE, UPPHÄVANDE ELLER ÄNDRING AV DETTA BESLUT

ÖVERVAKNING, TILLFÄLLIGT UPPHÄVANDE, UPPHÄVANDE ELLER ÄNDRING AV DETTA BESLUT

| (165) | Enligt artikel 36.4 i direktiv (EU) 2016/680 ska kommissionen fortlöpande övervaka relevant utveckling i Förenade kungariket efter antagandet av detta beslut för att bedöma om det fortfarande säkerställer en väsentligen likvärdig skyddsnivå. En sådan övervakning är särskilt viktig i detta fall, eftersom Förenade kungariket kommer att administrera, tillämpa och verkställa ett nytt system för skydd av personuppgifter som inte längre omfattas av unionsrätten, vilket kan komma att utvecklas. Särskild uppmärksamhet kommer att riktas mot hur Förenade kungarikets regler om överföring av personuppgifter till tredjeland tillämpas i praktiken, inbegripet genom internationella avtal, och hur tillämpningen påverkar den skyddsnivå som ges uppgifter som överförs enligt detta beslut. Dessutom kommer kommissionen att vara uppmärksam på om individuella rättigheter kan utövas på ett effektivt sätt på de områden som omfattas av detta beslut. Kommissionens övervakning kommer bland annat att baseras på utvecklingen av rättspraxis och den tillsyn som utförs av ICO och andra oberoende organ. |
| --- | --- |

(165)

Enligt artikel 36.4 i direktiv (EU) 2016/680 ska kommissionen fortlöpande övervaka relevant utveckling i Förenade kungariket efter antagandet av detta beslut för att bedöma om det fortfarande säkerställer en väsentligen likvärdig skyddsnivå. En sådan övervakning är särskilt viktig i detta fall, eftersom Förenade kungariket kommer att administrera, tillämpa och verkställa ett nytt system för skydd av personuppgifter som inte längre omfattas av unionsrätten, vilket kan komma att utvecklas. Särskild uppmärksamhet kommer att riktas mot hur Förenade kungarikets regler om överföring av personuppgifter till tredjeland tillämpas i praktiken, inbegripet genom internationella avtal, och hur tillämpningen påverkar den skyddsnivå som ges uppgifter som överförs enligt detta beslut. Dessutom kommer kommissionen att vara uppmärksam på om individuella rättigheter kan utövas på ett effektivt sätt på de områden som omfattas av detta beslut. Kommissionens övervakning kommer bland annat att baseras på utvecklingen av rättspraxis och den tillsyn som utförs av ICO och andra oberoende organ.

| (166) | För att underlätta denna övervakning bör Förenade kungarikets myndigheter omgående och regelbundet informera kommissionen om alla väsentliga ändringar av Förenade kungarikets rättsordning som påverkar den rättsliga ram som är föremål för detta beslut, liksom om eventuella förändringar av praxis i samband med den behandling av personuppgifter som bedöms i detta beslut, i synnerhet i fråga om sådant som nämns i skäl(165). |
| --- | --- |

(166)

För att underlätta denna övervakning bör Förenade kungarikets myndigheter omgående och regelbundet informera kommissionen om alla väsentliga ändringar av Förenade kungarikets rättsordning som påverkar den rättsliga ram som är föremål för detta beslut, liksom om eventuella förändringar av praxis i samband med den behandling av personuppgifter som bedöms i detta beslut, i synnerhet i fråga om sådant som nämns i skäl(165).

| (167) | För att kommissionen ska kunna utföra sin övervakningsfunktion på ett effektivt sätt bör medlemsstaterna dessutom informera kommissionen om alla relevanta åtgärder som vidtas av de nationella dataskyddsmyndigheterna, särskilt när det gäller förfrågningar eller klagomål från registrerade i EU om överföring av personuppgifter från unionen till behöriga myndigheter i Förenade kungariket. Kommissionen bör också informeras om eventuella indikationer på att de åtgärder som vidtas av Förenade kungarikets offentliga myndigheter med ansvar för att förebygga, utreda, avslöja eller lagföra brott, inbegripet eventuella tillsynsorgan, inte säkerställer den skyddsnivå som krävs. |
| --- | --- |

(167)

För att kommissionen ska kunna utföra sin övervakningsfunktion på ett effektivt sätt bör medlemsstaterna dessutom informera kommissionen om alla relevanta åtgärder som vidtas av de nationella dataskyddsmyndigheterna, särskilt när det gäller förfrågningar eller klagomål från registrerade i EU om överföring av personuppgifter från unionen till behöriga myndigheter i Förenade kungariket. Kommissionen bör också informeras om eventuella indikationer på att de åtgärder som vidtas av Förenade kungarikets offentliga myndigheter med ansvar för att förebygga, utreda, avslöja eller lagföra brott, inbegripet eventuella tillsynsorgan, inte säkerställer den skyddsnivå som krävs.

| (168) | Om tillgänglig information, särskilt information från övervakningen av detta beslut eller från Förenade kungarikets eller medlemsstaternas myndigheter, visar att den skyddsnivå som Förenade kungariket erbjuder kanske inte längre är adekvat, bör kommissionen omgående informera de behöriga myndigheterna i Förenade kungariket om detta och begära att lämpliga åtgärder vidtas inom en angiven tidsram, som inte får överskrida tre månader. Med hänsyn tagen till problemets art och/eller de åtgärder som krävs får denna period vid behov förlängas med en angiven tidsperiod. |
| --- | --- |

(168)

Om tillgänglig information, särskilt information från övervakningen av detta beslut eller från Förenade kungarikets eller medlemsstaternas myndigheter, visar att den skyddsnivå som Förenade kungariket erbjuder kanske inte längre är adekvat, bör kommissionen omgående informera de behöriga myndigheterna i Förenade kungariket om detta och begära att lämpliga åtgärder vidtas inom en angiven tidsram, som inte får överskrida tre månader. Med hänsyn tagen till problemets art och/eller de åtgärder som krävs får denna period vid behov förlängas med en angiven tidsperiod.

| (169) | Om de behöriga brittiska myndigheterna vid utgången av den angivna tidsfristen underlåter att vidta dessa åtgärder eller på annat tillfredsställande sätt visar att detta beslut fortfarande bygger på en adekvat skyddsnivå, kommer kommissionen att inleda det förfarande som avses i artikel 58.2 i direktiv (EU) 2016/680 i syfte att helt eller delvis tillfälligt upphäva eller upphäva detta beslut. |
| --- | --- |

(169)

Om de behöriga brittiska myndigheterna vid utgången av den angivna tidsfristen underlåter att vidta dessa åtgärder eller på annat tillfredsställande sätt visar att detta beslut fortfarande bygger på en adekvat skyddsnivå, kommer kommissionen att inleda det förfarande som avses i artikel 58.2 i direktiv (EU) 2016/680 i syfte att helt eller delvis tillfälligt upphäva eller upphäva detta beslut.

| (170) | Alternativt kommer kommissionen att inleda detta förfarande i syfte att ändra beslutet, särskilt genom att underställa överföringar av uppgifter ytterligare villkor eller genom att begränsa räckvidden för konstaterandet om adekvat skyddsnivå endast till uppgiftsöverföringar för vilka en adekvat skyddsnivå fortfarande säkerställs. |
| --- | --- |

(170)

Alternativt kommer kommissionen att inleda detta förfarande i syfte att ändra beslutet, särskilt genom att underställa överföringar av uppgifter ytterligare villkor eller genom att begränsa räckvidden för konstaterandet om adekvat skyddsnivå endast till uppgiftsöverföringar för vilka en adekvat skyddsnivå fortfarande säkerställs.

| (171) | Vid vederbörligen motiverade och tvingande skäl till skyndsamhet kommer kommissionen att utnyttja möjligheten att i enlighet med det förfarande som avses i artikel 58.3 i direktiv (EU) 2016/680 anta genomförandeakter med omedelbar verkan som tillfälligt upphäver, upphäver eller ändrar beslutet. |
| --- | --- |

(171)

Vid vederbörligen motiverade och tvingande skäl till skyndsamhet kommer kommissionen att utnyttja möjligheten att i enlighet med det förfarande som avses i artikel 58.3 i direktiv (EU) 2016/680 anta genomförandeakter med omedelbar verkan som tillfälligt upphäver, upphäver eller ändrar beslutet.

6.   GILTIGHETSTID OCH FÖRLÄNGNING AV DETTA BESLUT

GILTIGHETSTID OCH FÖRLÄNGNING AV DETTA BESLUT

| (172) | Det bör beaktas att Förenade kungariket, i slutet av den övergångsperiod som föreskrivs i utträdesavtalet och så snart övergångsbestämmelsen i artikel 782 i handels- och samarbetsavtalet mellan EU och Förenade kungariket upphör att gälla, kommer att administrera, tillämpa och verkställa ett nytt system för dataskydd jämfört med det system som gällde när landet var bundet av unionsrätten. Detta kan särskilt omfatta ändringar eller ändringar av ramen för dataskydd som bedöms i detta beslut, liksom annan relevant utveckling. |
| --- | --- |

(172)

Det bör beaktas att Förenade kungariket, i slutet av den övergångsperiod som föreskrivs i utträdesavtalet och så snart övergångsbestämmelsen i artikel 782 i handels- och samarbetsavtalet mellan EU och Förenade kungariket upphör att gälla, kommer att administrera, tillämpa och verkställa ett nytt system för dataskydd jämfört med det system som gällde när landet var bundet av unionsrätten. Detta kan särskilt omfatta ändringar eller ändringar av ramen för dataskydd som bedöms i detta beslut, liksom annan relevant utveckling.

| (173) | Det är därför lämpligt att föreskriva att detta beslut ska tillämpas under en period av fyra år från och med dess ikraftträdande. |
| --- | --- |

(173)

Det är därför lämpligt att föreskriva att detta beslut ska tillämpas under en period av fyra år från och med dess ikraftträdande.

| (174) | Om framför allt information från övervakningen av detta beslut visar att slutsatserna om den skyddsnivå som säkerställs i Förenade kungariket fortfarande är sakligt och rättsligt motiverade, bör kommissionen senast sex månader innan detta beslut upphör att gälla inleda förfarandet för att ändra detta beslut genom att i princip förlänga dess tidsmässiga tillämpningsområde med ytterligare fyra år. Varje sådan genomförandeakt om ändring av detta beslut ska antas i enlighet med det förfarande som avses i artikel 58.2 i direktiv (EU) 2016/680. |
| --- | --- |

(174)

Om framför allt information från övervakningen av detta beslut visar att slutsatserna om den skyddsnivå som säkerställs i Förenade kungariket fortfarande är sakligt och rättsligt motiverade, bör kommissionen senast sex månader innan detta beslut upphör att gälla inleda förfarandet för att ändra detta beslut genom att i princip förlänga dess tidsmässiga tillämpningsområde med ytterligare fyra år. Varje sådan genomförandeakt om ändring av detta beslut ska antas i enlighet med det förfarande som avses i artikel 58.2 i direktiv (EU) 2016/680.

7.   SLUTLIGA ÖVERVÄGANDEN

SLUTLIGA ÖVERVÄGANDEN

| (175) | Europeiska dataskyddsstyrelsen offentliggjorde sitt yttrande (271), vilket har beaktats vid utarbetandet av detta beslut. |
| --- | --- |

(175)

Europeiska dataskyddsstyrelsen offentliggjorde sitt yttrande (271), vilket har beaktats vid utarbetandet av detta beslut.

271

| (176) | De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats genom artikel 58 i direktiv (EU) 2016/680. |
| --- | --- |

(176)

De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats genom artikel 58 i direktiv (EU) 2016/680.

| (177) | I enlighet med artikel 6a i protokoll nr 21 om Förenade kungarikets och Irlands ställning med avseende på området med frihet, säkerhet och rättvisa, fogat till EU-fördraget och EUF-fördraget, är Irland inte bundet av bestämmelserna i direktiv (EU) 2016/680, och därmed inte heller detta genomförandebeslut, som rör medlemsstaternas behandling av personuppgifter när de bedriver verksamhet som omfattas av tredje delen avdelning V kapitel 4 eller kapitel 5 i EUF-fördraget, där Irland inte är bundet av bestämmelserna om de former av polissamarbete som föreskrivs i artikel 16 i EUF-fördraget. Enligt rådets genomförandebeslut (EU) 2020/1745 (272) ska direktiv (EU) 2016/680 dessutom börja tillämpas provisoriskt i Irland från och med den 1 januari 2021. Irland är därför bundet av detta genomförandebeslut, på samma villkor som gäller för tillämpningen av direktiv (EU) 2016/680 i Irland enligt genomförandebeslut (EU) 2020/1745 vad gäller det regelverk som landet deltar i. |
| --- | --- |

(177)

I enlighet med artikel 6a i protokoll nr 21 om Förenade kungarikets och Irlands ställning med avseende på området med frihet, säkerhet och rättvisa, fogat till EU-fördraget och EUF-fördraget, är Irland inte bundet av bestämmelserna i direktiv (EU) 2016/680, och därmed inte heller detta genomförandebeslut, som rör medlemsstaternas behandling av personuppgifter när de bedriver verksamhet som omfattas av tredje delen avdelning V kapitel 4 eller kapitel 5 i EUF-fördraget, där Irland inte är bundet av bestämmelserna om de former av polissamarbete som föreskrivs i artikel 16 i EUF-fördraget. Enligt rådets genomförandebeslut (EU) 2020/1745 (272) ska direktiv (EU) 2016/680 dessutom börja tillämpas provisoriskt i Irland från och med den 1 januari 2021. Irland är därför bundet av detta genomförandebeslut, på samma villkor som gäller för tillämpningen av direktiv (EU) 2016/680 i Irland enligt genomförandebeslut (EU) 2020/1745 vad gäller det regelverk som landet deltar i.

272

| (178) | I enlighet med artiklarna 2 och 2a i protokoll nr 22 om Danmarks ställning, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, är Danmark inte bundet av bestämmelserna i direktiv (EU) 2016/680, och därmed inte heller av detta genomförandebeslut, och omfattas inte heller av deras tillämpning som rör medlemsstaternas behandling av personuppgifter när de utför verksamhet som omfattas av tredje delen avdelning V kapitel 4 eller kapitel 5 i EUF-fördraget. Eftersom direktiv (EU) 2016/680 är en utveckling av Schengenregelverket meddelade Danmark emellertid den 26 oktober 2016 sitt beslut att genomföra direktiv (EU) 2016/680 i enlighet med artikel 4 i det protokollet. Danmark är därför enligt internationell rätt skyldigt att genomföra detta genomförandebeslut. |
| --- | --- |

(178)

I enlighet med artiklarna 2 och 2a i protokoll nr 22 om Danmarks ställning, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, är Danmark inte bundet av bestämmelserna i direktiv (EU) 2016/680, och därmed inte heller av detta genomförandebeslut, och omfattas inte heller av deras tillämpning som rör medlemsstaternas behandling av personuppgifter när de utför verksamhet som omfattas av tredje delen avdelning V kapitel 4 eller kapitel 5 i EUF-fördraget. Eftersom direktiv (EU) 2016/680 är en utveckling av Schengenregelverket meddelade Danmark emellertid den 26 oktober 2016 sitt beslut att genomföra direktiv (EU) 2016/680 i enlighet med artikel 4 i det protokollet. Danmark är därför enligt internationell rätt skyldigt att genomföra detta genomförandebeslut.

| (179) | När det gäller Island och Norge utgör detta genomförandebeslut en utveckling av bestämmelserna i Schengenregelverket i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa båda staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (273). |
| --- | --- |

(179)

När det gäller Island och Norge utgör detta genomförandebeslut en utveckling av bestämmelserna i Schengenregelverket i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa båda staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (273).

273

| (180) | När det gäller Schweiz utgör detta genomförandebeslut en utveckling av bestämmelserna i Schengenregelverket i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (274). |
| --- | --- |

(180)

När det gäller Schweiz utgör detta genomförandebeslut en utveckling av bestämmelserna i Schengenregelverket i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (274).

274

| (181) | När det gäller Liechtenstein utgör detta genomförandebeslut en utveckling av bestämmelserna i Schengenregelverket i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (275). |
| --- | --- |

(181)

När det gäller Liechtenstein utgör detta genomförandebeslut en utveckling av bestämmelserna i Schengenregelverket i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (275).

275

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Vid tillämpningen av artikel 36 i direktiv (EU) 2016/680 säkerställer Förenade kungariket en adekvat skyddsnivå för personuppgifter som överförs från Europeiska unionen till myndigheter i Förenade kungariket som ansvarar för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder.

Artikel 2

Närhelst de behöriga tillsynsmyndigheterna i medlemsstaterna, i syfte att skydda enskilda med avseende på behandlingen av deras personuppgifter, utövar sina befogenheter enligt artikel 47 i direktiv (EU) 2016/680 med avseende på överföringar av uppgifter till offentliga myndigheter i Förenade kungariket inom det tillämpningsområde som anges i artikel 1, ska den berörda medlemsstaten utan dröjsmål underrätta kommissionen om detta.

Artikel 3

1.   Kommissionen ska fortlöpande övervaka tillämpningen av den rättsliga ram som ligger till grund för detta beslut, inbegripet villkoren för vidare överföring och utövande av individuella rättigheter, i syfte att bedöma om Förenade kungariket fortsätter att säkerställa en adekvat skyddsnivå i den mening som avses i artikel 1.

2.   Medlemsstaterna och kommissionen ska underrätta varandra om fall där Information Commissioner eller någon annan behörig myndighet i Förenade kungariket underlåter att säkerställa att den rättsliga ram som ligger till grund för detta beslut efterlevs.

3.   Medlemsstaterna och kommissionen ska underrätta varandra om alla indikationer på att Förenade kungarikets offentliga myndigheter ingriper i enskildas rätt till skydd av sina personuppgifter utöver vad som är absolut nödvändigt eller att det inte finns något effektivt rättsligt skydd mot sådana ingrepp.

4.   Om kommissionen har indikationer på att en adekvat skyddsnivå inte längre säkerställs ska kommissionen underrätta de behöriga myndigheterna i Förenade kungariket och får tillfälligt upphäva, upphäva eller ändra detta beslut.

5.   Kommissionen får tillfälligt upphäva, upphäva eller ändra detta beslut om bristande samarbete från Förenade kungarikets regerings sida hindrar kommissionen från att avgöra om konstaterandet i artikel 1 påverkas.

Artikel 4

Detta beslut ska upphöra att gälla den 27 juni 2025, såvida det inte förlängs i enlighet med det förfarande som avses i artikel 58.2 i direktiv (EU) 2016/680.

Artikel 5

Detta beslut riktar sig till medlemsstaterna.

Utfärdat i Bryssel den 28 juni 2021.

På kommissionens vägnar

Didier REYNDERS

Ledamot av kommissionen

---

(1)  
  EUT L 119, 4.5.2016, s. 89.

1

(2)  Se skäl 64 i direktiv (EU) 2016/680.

2

(3)  Se det senaste målet Maximilian Schrems/Data Protection Commissioner (Schrems II), C-311/18, ECLI:EU:C:2020:559.

3

(4)  Se rekommendationer 01/2021 om referensramen för adekvat skyddsnivå enligt direktivet om uppgiftsskydd vid brottsbekämpning, som antogs i februari 2021 och finns på följande länk: https://edpb.europa.eu/our-work-tools/general-guidance/police-justice-guidelines-recommendations-best-practices_sv.

4

(5)  Mål C-362/14, Maximilian Schrems/Data Protection Commissioner (Schrems), ECLI:EU:C:2015:650, punkt 73.

5

(6)  
  Schrems-målet, punkt 74.

6

Schrems

(7)  Meddelande från kommissionen till Europaparlamentet och rådet, Utbyte och skydd av personuppgifter i en globaliserad värld, COM(2017) 7 final, 10.1.2017, avsnitt 3.1, s. 6–7 som finns på följande länk: https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:52017DC0007&from=EN.

7

(8)  Dataskyddslagen från 2018, finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/12/contents.

8

(9)  
  UK Explanatory Framework for Adequacy Discussion section F: Law enforcement, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf.

9

UK Explanatory Framework for Adequacy Discussion section F: Law enforcement

(10)  Principerna i konvention 108 har ursprungligen införlivats i Förenade kungarikets lagstiftning genom dataskyddslagen från 1984 som har ersatts av dataskyddslagen från 1998 och därefter i sin tur av dataskyddslagen från 2018 (enligt den brittiska dataskyddsförordningen). Förenade kungariket har också undertecknat protokollet om ändring av konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (konvention 108 +) under 2018 och arbetar för närvarande med ratificeringen av konventionen.

10

konvention 108 +

(11)  Artiklarna 6 och 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (se även tillägg 1 till Human Rights Act 1998).

11

Human Rights Act 1998

(12)  Avsnitt 6 i Human Rights Act 1998.

12

Human Rights Act 1998

(13)  Avsnitt 3 i Human Rights Act 1998.

13

Human Rights Act 1998

(14)  Avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen 2019/C 384 I/01, XT/21054/2019/INIT, EUT C 384I, 12.11.2019, s. 1 (utträdesavtalet) finns på följande länk: https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=EN.

14

utträdesavtalet

(15)  
  European Union Withdrawal Act 2018 finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/16/contents.

15

European Union Withdrawal Act 2018

(16)  Dataskyddslagen från 2018, finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/12/contents.

16

(17)  Avsnitt 6 i EUWA 2018.

17

(18)  2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar etc.) (EU Exit), finns på följande länk: https://www.legislation.gov.uk/uksi/2019/419/contents/made, ändrad av DPPEC 2020 som finns på följande länk: https://www.legislation.gov.uk/ukdsi/2020/9780348213522.

18

(19)  I Exit Regulations görs ett antal ändringar av del 3 i 2018 års dataskyddslag. Många av dessa är tekniska ändringar, t.ex. strykning av hänvisningar till ”medlemsstat” eller ”brottsbekämpningsdirektivet” (se t.ex. avsnitt 48.8 eller avsnitt 73.5 a i dataskyddslagen från 2018 med ”nationell lagstiftning”) så att del 3 fungerar effektivt som inhemsk lagstiftning efter övergångsperiodens slut. På vissa ställen krävdes andra typer av ändringar, till exempel när det gäller ”vem” antar ”beslut om adekvat skyddsnivå” i enlighet med Förenade kungarikets lagstiftning om skydd av personuppgifter (se avsnitt 74A i dataskyddslagen från 2018), dvs. den ansvariga ministern (Secretary of State) i stället för Europeiska kommissionen.

19

Exit Regulations

(20)  För en mer detaljerad förklaring av polisstyrkorna och deras befogenheter i Förenade kungariket hänvisas till UK Explanatory Framework for Adequacy Discussion section F: Law Enforcement (se fotnot 9).

20

UK Explanatory Framework for Adequacy Discussion section F: Law Enforcement

(21)  
  Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales finns på följande länk: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; Police Service Northern Ireland Code of Ethic finns på följande länk: https://www.nipolicingboard.org.uk/psni-code-ethics; Code of Ethic for police in Scotland finns på följande länk: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/.

21

Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales

Police Service Northern Ireland Code of Ethic

Code of Ethic for police in Scotland

(22)  
  Code of Practice on the Management of Police Information finns på följande länk: http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf.

22

Code of Practice on the Management of Police Information

(23)  Polislagen från 1996 finns på följande länk: https://www.legislation.gov.uk/ukpga/1996/16/contents.

23

(24)  Uppförandekoder enligt Police and Criminal Evidence Act 1984 (Pace) finns på följande länk: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice.

24

Police and Criminal Evidence Act 1984

(25)  
  Police and Criminal Evidence Act 1984 finns på följande länk: https://www.legislation.gov.uk/ukpga/1984/60/contents.

25

Police and Criminal Evidence Act 1984

(26)  
  Authorised Professional Practice on the Management of Police Information finns på följande länk: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/.

26

Authorised Professional Practice on the Management of Police Information

(27)  
  Data Protection Manual for Police Data Protection Professionals finns på följande länk: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf.

27

Data Protection Manual for Police Data Protection Professionals

(28)  Till exempel är MoPI Code of Practice (se fotnot 22) tillämplig på lagring av operativ polisinformation (se skäl (47) i detta beslut).

28

MoPI Code of Practice

(29)  Enligt de uppgifter som lämnats av Förenade kungarikets myndigheter höll polishögskolan under perioden för samtal om adekvat skyddsnivå på att utarbeta en Information and Records Management Code of Practice som skulle ersätta MoPI. Utkastet till uppförandekod offentliggjordes för offentligt samråd den 25 januari 2021 och finns på följande länk: https://www.college.police.uk/article/information-records-management-consultation

29

Information and Records Management Code of Practice

(30)  I målet R/Commission of Police of the Metropolis [2014] EWCA Civ 585 bekräftades den juridiska statusen för MoPI Code of Practice och Lord Justice Laws förklarade att Metropolitan Police Commissioner är skyldig att beakta MoPI Code of Practice och APP Guidance on Management of Police Information i enlighet med avsnitt 39A i polislagen från 1996.

30

MoPI Code of Practice

Lord Justice Laws

MoPI Code of Practice

APP Guidance on Management of Police Information

(31)  Polisen inspekteras med avseende på efterlevnaden av MoPI Code of Practice av Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (HMICFRS).

31

MoPI Code of Practice

Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services

(32)  Se i detta avseende polisakademins (College of Policing) ståndpunkt om efterlevnaden av APP:s riktlinjer för alla delar av polisarbetet, där det förklaras att ”APP är auktoriserat av det professionella polisorganet (College of Policing) som den officiella källan till yrkesmässig praxis inom polisväsendet. Poliser och personal förväntas ta hänsyn till auktoriserad yrkesmässig praxis när de fullgör sina skyldigheter. Det kan dock finnas omständigheter där det finns legitima operativa skäl för att en styrka avviker från auktoriserad yrkesmässig praxis under förutsättning att det finns en tydlig motivering till detta. Styrkan skulle ha ansvaret för alla lokala och nationella risker som hänger samman med att verka utanför nationellt överenskomna riktlinjer och om en incident inträffar eller en utredning görs som en följd av detta (t.ex. genom Independent Office of Police Conduct) är styrkan ansvarig för alla risker”, information om detta finns på följande länk: https://www.app.college.police.uk/faq-page/.

32

College of Policing

College of Policing

(33)  
  Guide to Law Enforcement Processing finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/.

33

Guide to Law Enforcement Processing

(34)  Se domen i målet Bridges/Chief Constable of South Wales Police [2019] EWHC 2341 (Admin), där High Court, trots att den noterade att Commissioner’s riktlinjer inte var lagenliga, angav att ”med tanke på om en registeransvarig har uppfyllt sin skyldighet enligt avsnitt 64 [att genomföra en konsekvensbedömning avseende dataskydd i samband med behandling med hög risk] kommer en domstol att ta hänsyn till den vägledning som har utfärdats av Information Commissioner i fråga om konsekvensbedömningar avseende dataskydd”.

34

(35)  Bland dessa förtecknas Directors of Public Prosecutors, Director of Public Prosecutors for Northern Ireland eller Information Commission i tillägg 7 till dataskyddslagen från 2018.

35

(36)  Avsnitt 43.3 i dataskyddslagen från 2018.

36

(37)  Avsnitt 30.3 i dataskyddslagen från 2018. Underrättelsetjänsterna (Secret Intelligence Service, Security Service och Government Communications Headquarters) är inte behöriga myndigheter (se avsnitt 30.2 i dataskyddslagen från 2018) och del 3 i dataskyddslagen från 2018 är inte tillämplig på någon av deras verksamheter. Deras verksamhet omfattas av del 4 i dataskyddslagen från 2018.

37

Secret Intelligence Service

Security Service

Government Communications Headquarters

(38)  Avsnitt 31 i dataskyddslagen från 2018.

38

(39)  Detta innebär att dataskyddslagen från 2018 och därmed detta beslut inte är tillämpliga på Förenade kungarikets kronbesittningar och Förenade kungarikets övriga utomeuropeiska territorier, exempelvis Falklandsöarna och territoriet Gibraltar.

39

(40)  Personuppgifter som rör avlidna personer omfattas inte av dataskyddslagen från 2018.

40

(41)  Avsnitt 35.8 i dataskyddslagen från 2018.

41

(42)  Biometriska uppgifter innebär personuppgifter som härrör från en specifik teknisk behandling som rör en persons fysiska, fysiologiska eller beteendemässiga egenskaper och som möjliggör eller bekräftar en unik identifiering av den personen, till exempel ansiktsbilder eller fingeravtrycksuppgifter.

42

(43)  Uppgifter om hälsa innebär personuppgifter om en persons fysiska eller psykiska hälsa, inbegripet hälso- och sjukvårdstjänster, som avslöjar information om personens hälsotillstånd.

43

(44)  Genetiska uppgifter innebär personuppgifter som rör en individs ärvda eller förvärvade genetiska egenskaper och som ger unik information om den personens fysiologi eller hälsa och som i synnerhet är resultatet av en analys av ett biologiskt prov från den berörda personen.

44

(45)  Förklarande anmärkningar till dataskyddslagen från 2018, punkt 181, finns på följande länk: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf.

45

(46)  National Crime Agency härleder till exempel sina befogenheter från Crime and Courts Act 2013 som finns på följande länk: https://www.legislation.gov.uk/ukpga/2013/22/contents. Food Standards Agency’s befogenheter regleras också i Food Standards Act 1999 som finns på följande länk: https://www.legislation.gov.uk/ukpga/1999/28/contents. Andra exempel är lagen Prosecution of Offenders Act 1985 genom vilken Crown Prosecution Service inrättades (se https://www.legislation.gov.uk/ukpga/1985/23/contents)), Commissioners for Revenue and Customs Act 2005 genom vilken skatte- och tullmyndigheten(Her Majesty’s Revenue and Customs) inrättades (se https://www.legislation.gov.uk/ukpga/2005/11/contents), Criminal Procedure (Scotland) Act 1995 genom vilken Scottish Criminal Cases Review Commission inrättades (se https://www.legislation.gov.uk/ukpga/1995/46/contents)), Justice (Northern Ireland) Act 2002 genom vilken Public Prosecution Service in Northern Ireland inrättades (se https://www.legislation.gov.uk/ukpga/2002/26/contents) och Serious Fraud Office skapades och fick sina befogenheter enligt strafflagen från 1987 (Criminal Justice Act 1987) (se https://www.legislation.gov.uk/ukpga/1987/38/contents).

46

Crime and Courts Act 2013

Food Standards Act 1999

Prosecution of Offenders Act 1985

Commissioners for Revenue and Customs Act

Her Majesty’s Revenue and Customs

Criminal Procedure (Scotland) Act 1995

Justice (Northern Ireland) Act 2002

Criminal Justice Act 1987

(47)  Enligt de uppgifter som lämnats av Förenade kungarikets myndigheter får exempelvis Lord Advocate, som är chef för åklagarsystemet i Skottland, inom Crown Office and Procurator Fiscal Service, som ansvarar för lagföring av mål i Skottland, sina befogenheter att utreda dödsfall och lagföra brott från common law medan en del av hans eller hennes funktion är fastställd i lag. Dessutom härleder kronan och i förlängningen olika ministerier, departement och ministrar också sina befogenheter från en kombination av lagstiftning, common law och kungligt prerogativ (detta innebär gemensamma rättsliga befogenheter som tillhör kronan men utövas av ministrar).

47

(48)  
  UK Explanatory Framework for adequacy Discussion section F: Law Enforcement, s. 8 (se fotnot 9).

48

UK Explanatory Framework for adequacy Discussion section F: Law Enforcement

(49)  De viktigaste rättsakterna om de viktigaste polisiära befogenheterna (gripande, husrannsakan, tillstånd till fortsatt frihetsberövande, fingeravtryck, tagande av intima prover, beslut om avlyssning, tillgång till kommunikationsuppgifter) är följande: i) För England och Wales, Police and Criminal Evidence Act 1984 (Pace) som finns på följande länk https://www.legislation.gov.uk/ukpga/1984/60/contents (ändrad genom Protection of Freedoms Act 2012 (PoFA) som finns på följande länk: https://www.legislation.gov.uk/ukpga/2012/9/contents) och 2016 års lag om utredningsbefogenheter (IPA) som finns på följande länk: https://www.legislation.gov.uk/ukpga/2016/25/contents), ii) för Skottland, Criminal Justice (Scotland) Act 2016 som finns på följande länk: https://www.legislation.gov.uk/asp/2016/1/contents och Criminal Procedure (Scotland) Act 1995 som finns på följande länk: https://www.legislation.gov.uk/ukpga/1995/46/contents) iii) för Northern Ireland, Police and Criminal Evidence (Northern Ireland) Order 1989 som finns på följande länk: https://www.legislation.gov.uk/nisi/1989/1341/contents.

49

Criminal Evidence Act 1984

Protection of Freedoms Act 2012

Skottland, Criminal Justice (Scotland) Act 2016

Criminal Procedure (Scotland) Act 1995

Northern Ireland, Police and Criminal Evidence (Northern Ireland) Order 1989

(50)  Förenade kungarikets myndigheter har förklarat att författningsrättens företräde sedan länge är etablerat i Förenade kungariket, ända sedan domen i målet Entick/Carrington [1765] EWHC KB J98 bekräftade att det finns begränsningar för den verkställande maktens utövande av befogenheter och fastställde principen att monarkens och regeringens särskilda befogenheter och befogenheter enligt common law är underordnade landets lagstiftning.

50

(51)  Se målet Rice/Connolly [1966] 2 QB 414.

51

(52)  Se målet R (Catt)/Association of Chief Police Officers [2015] AC 1065, där Lord Sumption, när det gäller polisens befogenhet att inhämta och lagra information om en person (som hade begått ett brott), ansåg att polisen enligt common law har befogenhet att inhämta och lagra information för polisändamål, dvs. generellt sett för att upprätthålla allmän ordning samt förebygga och upptäcka brott. Dessa befogenheter tillåter inte inkräktande metoder för inhämtande av information, till exempel intrång på privat egendom eller handlingar (andra än gripanden enligt common law-befogenheter) som skulle utgöra ett angrepp. Domaren ansåg att det i detta fall räckte med befogenheter enligt common law för att tillåta inhämtande och lagring av den typ av offentlig information som kommer i fråga för dessa överklaganden.

52

(53)  2010 års lag om jämställdhet finns på följande länk: https://www.legislation.gov.uk/ukpga/2010/15/contents.

53

(54)  För ett exempel på ett fall där polisens gemensamma befogenheter bedöms inom ramen för dataskyddslagen från 1998, se High Courts beslut i Bridges/Chief Constable of South Wales Police (se fotnot 33). Se även målen Vidal-Hall/Google Inc [2015] EWCA Civ 311 och Richard/BBC [2018] EWHC 1837 (Ch).

54

(55)  Se till exempel vägledning från Police Service of Northern Ireland om instruktioner för dokumenthantering som finns på följande länk: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf.

55

(56)  Underhuset har publicerat ett informationsdokument som beskriver polisens viktigaste befogenheter enligt common law och lagstadgade befogenheter i England och Wales (se https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf). Enligt detta dokument är exempelvis befogenheterna att upprätthålla ”kronans fred” och ”användning av våld” härleds från common law men ”stopp- och sökbefogenheterna” härleds alltid från lagstiftningen. Dessutom tillhandahåller den skotska regeringen information på sin webbplats om polisens befogenheter att gripa och stoppa (se https://www.gov.scot/policies/police/police-powers/).

56

(57)  Enligt den information som lämnats av Förenade kungarikets myndigheter omfattar de särskilda befogenheter som regeringen utövar till exempel att ingå och ratificera fördrag, genomföra diplomati och använda de väpnade styrkorna i Förenade kungariket för att upprätthålla freden till stöd för polisen.

57

(58)  Se i detta avseende bedömningen av Förenade kungarikets system för vidare överföring i skälen (74)-(87).

58

(59)  Se målet Bancoult/Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, där domstolarna ansåg att befogenheten enligt prerogativ att utfärda förvaltningsföreskrifter också omfattades av de vanliga rättsliga grunderna.

59

(60)  Se målet Attorney-General/De Keyser’s Royal Hotel Ltd [1920] [1920] AC 508 där domstolen slog fast att särskilda befogenheter inte kan utnyttjas när lagstadgade befogenheter ersätter dem. Målet Laker Airways Ltd/Department of Trade 1977] QB 643,] där domstolen fann att särskilda befogenheter inte kan användas för att motverka lagbestämmelser. Målet R/Secretary of State for the Home Department, ex p. Fire Brigades Union [1995] UKHL 3 där domstolen slog fast att särskilda befogenheter inte kan utnyttjas när de strider mot antagen lagstiftning, även om den antagna lagstiftningen ännu inte har trätt i kraft. Målet R (Miller)/Secretary of State for Exiting the European Union [2017] UKSC 5 där domstolen bekräftade att den skrivna lagen kan ändra och avskaffa särskilda befogenheter. För en allmän översikt över förhållandet mellan de kungliga befogenheterna och stadgeenliga befogenheter eller befogenheter enligt common law, se underhusets briefingdokument som finns på följande länk: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf.

60

(61)  
  Guide to Law Enforcement Processing, ”What is the first principle about?”
  finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2.

61

Guide to Law Enforcement Processing, ”What is the first principle about?”

(62)  Detta följer av lydelsen i den relevanta bestämmelsen i dataskyddslagen från 2018, enligt vilken behandling av personuppgifter för något av de brottsbekämpande ändamålen är laglig endast om och i den mån som ”den grundas på lag” och att a) den registrerade personen har gett sitt samtycke till behandlingen för detta ändamål eller b) behandlingen är nödvändig för att utföra en arbetsuppgift som fullgörs av en behörig myndighet för detta ändamål.

62

(63)  Se skälen 35 och 37 i direktiv (EU) 2016/680.

63

(64)  Förenade kungarikets myndigheter har förklarat att ett exempel på när samtycke kan vara en lämplig grund för behandling skulle vara om polisen erhåller ett DNA-prov i samband med en försvunnen person för att matcha mot en kropp om en sådan påträffas. Under sådana omständigheter skulle det vara olämpligt för polisen att tvinga den registrerade att lämna ett prov. I stället skulle polisen begära den enskildas samtycke, som ges frivilligt och när som helst kan återkallas. Om samtycke återkallas kan uppgifterna inte längre behandlas såvida inte en ny rättslig grund har fastställts för att fortsätta att behandla provet (t.ex. att den registrerade blev en misstänkt person). Ett annat exempel kan vara när en polisstyrka utreder ett brott där ett brottsoffer (det kan vara ett offer för ett rån, sexualbrott, våld i hemmet, släktingar till ett mordoffer eller annat brottsoffer) skulle kunna dra nytta av en hänvisning till Victim Support (en oberoende välgörenhetsorganisation som ger stöd till människor som drabbats av brott och traumatiska händelser). Under sådana omständigheter kommer polisen endast att dela personlig information med Victim Support, t.ex. namn och kontaktuppgifter, om brottsoffret ger sitt samtycke.

64

Victim Support

Victim Support

(65)  Det finns ingen separat definition av ”samtycke” för behandling av personuppgifter enligt del 3 i dataskyddslagen från 2018. ICO gav vägledning om begreppet ”samtycke” i del 3 i dataskyddslagen från 2018 och klargjorde att det har samma innebörd och bör anpassas till den definition som ges i dataskyddsförordningen, särskilt att ”samtycket måste vara frivilligt, specifikt och informerat och att det måste finnas ett genuint val att samtycka till de uppgifter som behandlas” (Guide to Law Enforcement Processing, ”What is the first principle about?”
  (se fotnot 64) och Guide to Data Protection on consent som finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).

65

Guide to Law Enforcement Processing, ”What is the first principle about?”

Guide to Data Protection on consent

(66)  Se till exempel informationen på Lincolnshire police webbplats (se https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) eller på West Yorkshire Police webbplats (se https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).

66

(67)  Avsnitt 35.8 i dataskyddslagen från 2018.

67

(68)  Avsnitt 35.4 i dataskyddslagen från 2018.

68

(69)  Avsnitt 35.5 i dataskyddslagen från 2018.

69

(70)  För fullständighetens skull är det värt att notera att när behandling grundar sig på samtycke måste den ges frivilligt, vara specifik och informerad och det måste finnas ett specifikt val att samtycka till de uppgifter som behandlas. Dessutom måste den personuppgiftsansvariga ha ett ”välvalt policydokument” när behandling sker på grundval av den registrerades samtycke. I avsnitt 42 i dataskyddslagen från 2018 beskrivs de krav som det välvalda policydokumentet måste uppfylla. Det klargörs att dokumentet åtminstone måste förklara den personuppgiftsansvarigas förfaranden för att säkerställa överensstämmelse med dataskyddsprinciperna och förklara den personuppgiftsansvarigas policy när det gäller lagring och radering av personuppgifter. Enligt avsnitt 42 i dataskyddslagen från 2018 innebär detta att den personuppgiftsansvariga måste lägga fram en handling som a) förklarar den personuppgiftsansvarigas förfaranden för att säkerställa överensstämmelse med dataskyddsprinciperna och b) förklarar den personuppgiftsansvarigas policy för lagring och radering av personuppgifter som behandlas i enlighet med den registrerades samtycke eller anger hur länge sådana personuppgifter sannolikt kommer att lagras. I policydokumentet krävs särskilt att den personuppgiftsansvariga alltid ska inkludera de delar som nämns i leden a) och b) när han eller hon fullgör sin skyldighet att registrera behandlingen. ICO har publicerat ett malldokument (Guide to Law Enforcement Processing. ”Conditions for sensitive processing”
  som finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing) och kan vidta verkställande åtgärder om de personuppgiftsansvariga inte uppfyller dessa krav. Det välvalda policydokumentet ska prövas i domstolar när man beaktar potentiella överträdelser av dataskyddslagen från 2018. I målet R (Bridges)/Chief Constable of South Wales Police nyligen granskade domstolarna till exempel den personuppgiftsansvarigas välvalda policydokument och fann att det var tillräckligt men skulle ha dragit nytta av ytterligare detaljer. Till följd av detta såg polisen i South Wales över det välvalda policydokumentet och uppdaterade det i enlighet med ICO:s nya vägledning (se fotnot 33). I enlighet med avsnitt 42.3 i dataskyddslagen från 2018 bör dessutom det välvalda policydokumentet regelbundet ses över av den personuppgiftsansvariga. Slutligen är den personuppgiftsansvariga, som ytterligare en skyddsåtgärd, enligt avsnitt 42.4 i dataskyddslagen från 2018 skyldig att föra ett utökat register över behandlingen, inklusive ytterligare element jämfört med den allmänna skyldighet som åligger den personuppgiftsansvariga att föra register över den behandling som anges i avsnitt 61 dataskyddslagen från 2018.

70

Guide to Law Enforcement Processing. ”Conditions for sensitive processing”

(71)  
  Guide to Law Enforcement Processing, ”Conditions for sensitive processing”
  (se fotnot 70).

71

Guide to Law Enforcement Processing, ”Conditions for sensitive processing”

(72)  Behandlingen utförs utan den registrerade personens samtycke när a) samtycke till behandlingen inte kan ges av den registrerade personen, b) den personuppgiftsansvariga rimligen inte kan förväntas erhålla den registrerades samtycke till behandlingen och c) behandlingen måste utföras utan den registrerades samtycke, eftersom erhållande av den registrerades samtycke skulle inverka menligt på det skydd som anges i stycke 1 a.

72

(73)  Se avsnitt 41.1 i dataskyddslagen från 2018.

73

(74)  Se avsnitt 41.2 i dataskyddslagen från 2018.

74

(75)  I avsnitt 205 i dataskyddslagen från 2018 definieras begreppet ”oriktiga” som ”felaktiga eller vilseledande” personuppgifter. Förenade kungarikets myndigheter har förklarat att det är typiskt att uppgifter som rör brottsutredningar ofta är ofullständiga men oavsett detta kan de vara korrekta.

75

(76)  Avsnitt 38.1 b i dataskyddslagen från 2018.

76

(77)  Enligt UK Explanatory Framework for Adequacy Discussion
  ”säkerställer detta att både de registrerades rättigheter och de brottsbekämpande organens operativa behov erkänns. Punkten ovan övervägdes noggrant under utarbetandet av dataskyddslagen eftersom det kan finnas specifika och begränsade operativa skäl till att uppgifter inte kan rättas. Det är sannolikt att detta kommer att vara fallet om de felaktiga personuppgifterna i fråga måste bevaras i sin ursprungliga form för bevisändamål” (se UK Explanatory Framework for Adequacy Discussion section F: Law Enforcement, s. 21, se fotnot 9).

77

UK Explanatory Framework for Adequacy Discussion

UK Explanatory Framework for Adequacy Discussion section F: Law Enforcement

(78)  Avsnitt 38.4 i dataskyddslagen från 2018. Enligt avsnitt 38.5 i dataskyddslagen från 2018 ska dessutom kvaliteten på personuppgifterna vid all överföring av personuppgifter kontrolleras innan de överförs eller görs tillgängliga, den nödvändiga information som gör det möjligt för mottagaren att bedöma i vilken utsträckninguppgifterna är riktiga, fullständiga och tillförlitliga och i vilken mån de är aktuella måste ingå och om det, när personuppgifterna har överförts, visar sig att uppgifterna var felaktiga eller att överföringen var olaglig ska mottagaren underrättas utan dröjsmål.

78

(79)  Avsnitt 38.2 i dataskyddslagen från 2018.

79

(80)  Avsnitt 38.3 i dataskyddslagen från 2018.

80

(81)  Denna ram säkerställer en konsekvent tillämpning av lagringen av de personuppgifter som erhållits. Omprövningsperioden beror på brotten som är uppdelade i följande 4 grupper: 1) Vissa frågor som rör skydd av allmänheten. 2) Andra sexuella våldsbrott och grova brott. 3) Alla andra brott. 4) Diverse. Mer information finns i APP Guidance on the Management of Police Information (se fotnot 26).

81

APP Guidance on the Management of Police Information

(82)  Enligt den information som lämnats av Förenade kungarikets myndigheter står det andra organisationer fritt att följa principerna för MoPI Code of Practice om de så önskar, till exempel antar Her Majesty’s Revenue and Customs och National Crime Agency många av principerna i MoPI Code of Practice för att säkerställa konsekvens mellan olika brottsbekämpande myndigheter. I allmänhet kommer de flesta organisationer att ge sin personal specifika riktlinjer och vägledning för all personal om hur de ska hantera personuppgifter som en del av sin roll och som är skräddarsydda för den specifika organisationen. Detta skulle vanligtvis även omfatta obligatorisk utbildning.

82

MoPI Code of Practice

Her Majesty’s Revenue and Customs

National Crime Agency

MoPI Code of Practice

(83)  
  MoPI Code of Practice utfärdades med stöd av de befogenheter som föreskrivs i polislagen från 1996 som gör det möjligt för polisakademin att utfärda riktlinjer för hur polisarbetet ska fungera effektivt. Varje uppförandekod som utfärdas enligt lagen måste godkännas av ministern och ska vara föremål för samråd med den nationella brottsmyndigheten innan den läggs fram i parlamentet. Enligt avsnitt 39A.7 i polislagen från 1996 ska polisen ta vederbörlig hänsyn till de lagar som utfärdats enligt polislagen från 1996.

83

MoPI Code of Practice

(84)  
  PSNI MOPI Handbook kapitel 1–6.

84

PSNI MOPI Handbook

(85)  
  Record Retention Standard Operating Procedure (SOP) finns på följande länk: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf.

85

Record Retention Standard Operating Procedure

(86)  För mer information om dokumenthantering, se information om National Records of Scotland på följande länk: https://www.nrscotland.gov.uk/record-keeping/records-management.

86

National Records of Scotland

(87)  Lagringstiderna varierar beroende på om en person har dömts eller inte (avsnitten 63I–63KI i Pace 1984). Till exempel när det gäller en vuxen som dömts för ett registreringsbart brott kan hans eller hennes fingeravtryck och DNA-profil behållas på obestämd tid (avsnitt 63I.2 i Pace 1984) medan lagringen är tidsbegränsad om den dömda personen är under 18 år, brottet är ett ”ringa” registrerbart brott och personen inte tidigare har dömts (avsnitt 63K i Pace 1984). Lagring när det gäller en person som gripits eller åtalats men inte dömts är tidsbegränsad till tre år (avsnitt 63F i Pace 1984). Förlängningen av denna lagringstid måste godkännas av en rättslig myndighet (avsnitt 63F 7 i Pace 1984). När det gäller personer som gripits eller åtalats men inte dömts för ringa brott är det inte möjligt att behålla dem (avsnitt 63D och 63H i Pace 1984).

87

(88)  I avsnitt 20 i PoFA 2012 fastställs Biometrics Commissioner’s ståndpunkt. Biometrics Commissioner avgör bland annat om polisen får behålla DNA-profiler och fingeravtryck från personer som gripits men inte åtalats för ett kvalificerat brott (avsnitt 63G i Pace 1984). Dessutom har Biometrics Commissioner ett allmänt ansvar för att se över lagringen och användningen av DNA och fingeravtryck och lagringen av nationella säkerhetsskäl (avsnitt 20.2 i POFA 2012). Biometrics Commissioner utses enligt Code for Public Appointments (finns på följande länk: Governance Code for Public Appointments - GOV.UK (www.gov.uk)). Av villkoren för förordnandet framgår tydligt att kommissionären endast kan avsättas av inrikesministern under snävt definierade omständigheter, exempelvis om vederbörande inte fullgör sina förpliktelser under en tremånadersperiod, döms för ett brott eller inte iakttar villkoren för förordnandet.

88

Code for Public Appointments

(89)  Översyn av användning och lagring av häktningsbilder finns på följande länk: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention.

89

(90)  Avsnitt 18 och följande i Criminal Procedure (Scotland) Act 1995.

90

Criminal Procedure (Scotland) Act 1995

(91)  Lagringstiden varierar beroende på om personen har dömts (avsnitt 18(3) i Criminal Procedure (Scotland) Act 1995) eller om personen är minderårig. I det senare fallet är lagringstiden 3 år från domen i målet vid barnets förhandling (avsnitt 18E.8 i Criminal Procedure (Scotland) Act 1995). Uppgifter om personer som gripits men inte dömts kan inte bibehållas (avsnitt 18.3 i Criminal Procedure (Scotland) Act 1995) utom i särskilda fall och beroende på brottets svårhetsgrad (avsnitt 18A i Criminal Procedure (Scotland) Act 1995). Scottish Biometrics Commissioner Act 2020 (se https://www.legislation.gov.uk/asp/2020/8/contents) skapar en ståndpunkt för den skotska Biometrics Commissioner som måste utarbeta och se över uppförandekoder (godkända av Skottlands parlament) om insamling, lagring, användning och förstöring av biometriska uppgifter för straffrättsliga och polisiära ändamål (avsnitt 7 i Scottish Biometrics Commissioner Act 2020).

91

Criminal Procedure (Scotland) Act 1995

Criminal Procedure (Scotland) Act 1995

Criminal Procedure (Scotland) Act 1995

Scottish Biometrics Commissioner Act 2020

Scottish Biometrics Commissioner Act 2020

(92)  I enlighet med de förklarande anmärkningarna till dataskyddsmyndigheten 2018 (se fotnot 45) ska den personuppgiftsansvariga särskilt utforma och organisera säkerheten så att den är lämpad för karaktären hos de personuppgifter som den personuppgiftsansvariga innehar och den skada som kan uppstå till följd av en säkerhetsöverträdelse, vara tydlig om vem i deras organisation som ansvarar för informationssäkerheten, se till att de har rätt fysisk och teknisk säkerhet, backas upp av robusta strategier och förfaranden samt pålitlig och välutbildad personal och vara redo att reagera snabbt och effektivt på alla säkerhetsöverträdelser.

92

(93)  Punkt 221 i de förklarande anmärkningarna till dataskyddsmyndigheten 2018 (se fotnot 45).

93

(94)  I avsnitt 67.4 i dataskyddslagen från 2018 föreskrivs att anmälan ska innehålla en beskrivning av personuppgiftsbrottets art (inklusive, när så är möjligt, de kategorier och det ungefärliga antalet registrerade personer som berörs samt de kategorier och det ungefärliga antal personuppgifter som berörs), namn och kontaktuppgifter för en kontaktpunkt, en beskrivning av de sannolika konsekvenserna av personuppgiftsbrottet och en beskrivning av de åtgärder som den personuppgiftsansvariga har vidtagit eller föreslagit för att hantera personuppgiftsbrottet (inbegripet, i förekommande fall, åtgärder för att mildra dess eventuella negativa effekter).

94

(95)  Avsnitt 67.2 i dataskyddslagen från 2018.

95

(96)  Avsnitt 67.6 i dataskyddslagen från 2018.

96

(97)  Avsnitt 67.9 i dataskyddslagen från 2018.

97

(98)  Enligt avsnitt 68.7 i dataskyddslagen från 2018 får den personuppgiftsansvariga helt eller delvis begränsa tillhandahållandet av information till den registrerade i den utsträckning och så länge begränsningen, med beaktande av den registrerades grundläggande rättigheter och berättigade intressen, är en nödvändig och proportionell åtgärd för att a) undvika att hindra en officiell eller rättslig undersökning, utredning eller dito förfarande, b) att undvika att inverka menligt på förebyggande, upptäckt, utredning eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c) att skydda den allmänna säkerheten, d) att skydda den nationella säkerheten och e) att skydda andras fri- och rättigheter.

98

(99)  Avsnitt 68.3 i dataskyddslagen från 2018.

99

(100)  Avsnitt 68.5 i dataskyddslagen från 2018.

100

(101)  Avsnitt 68.6 i dataskyddslagen från 2018, med förbehåll för den begränsning som föreskrivs i avsnitt 68.8 i dataskyddslagen från 2018.

101

(102)  I Guide to Law Enforcement Processing ges följande exempel:”Ni har ett allmänt meddelande meddelande om skydd av personuppgifter på er webbplats som innehåller grundläggande information om organisationen, syftet med behandlingen av personuppgifter, den registrerade personens rättigheter och deras rätt att klaga hos Information Commissioner. Du har fått information om att en person var närvarande när ett brott ägde rum. Vid den första intervjun av denna person måste du lämna den allmänna informationen och ytterligare styrkande information för att de ska kunna utöva sina rättigheter. Du kan bara begränsa den information om rättvis behandling som du lämnar om den kommer att inverka negativt på den undersökning du utför (Guide to Law Enforcement Processing, ”What information should we supply to an individual?”
  finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3).

102

Guide to Law Enforcement Processing

Guide to Law Enforcement Processing, ”What information should we supply to an individual?”

(103)  I Guide to Law Enforcement Processing anges att den information som lämnas om behandlingen av personuppgifter ska vara kortfattad, begriplig och lättillgänglig, vara skriven med ett klart och tydligt språk så att den anpassas till behoven hos utsatta personer, t.ex. barn och gratis (Guide to Law Enforcement Processing, ”How should we provide this information?”
  finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1).

103

Guide to Law Enforcement Processing

Guide to Law Enforcement Processing, ”How should we provide this information?”

(104)  Avsnitt 44.2 i dataskyddslagen från 2018.

104

(105)  En detaljerad analys av försökspersonernas rättigheter finns på Guide to Law Enforcement Processing on individual rights finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/

105

Guide to Law Enforcement Processing on individual rights

(106)  Avsnitt 45.1 i dataskyddslagen från 2018.

106

(107)  Avsnitt 45.2 i dataskyddslagen från 2018.

107

(108)  Avsnitt 46.4 i dataskyddslagen från 2018.

108

(109)  En registrerad person kan begära att den personuppgiftsansvariga raderar personuppgifter eller begränsar behandlingen av dem (men den personuppgiftsansvarigas skyldigheter att radera uppgifterna eller begränsa behandlingen av dem gäller oavsett om en sådan begäran görs eller inte).

109

(110)  Avsnitt 46.4 och 47.2 i dataskyddslagen från 2018.

110

(111)  Avsnitt 47.3 i dataskyddslagen från 2018.

111

(112)  Avsnitt 48.1 i dataskyddslagen från 2018.

112

(113)  Avsnitt 48.7 i dataskyddslagen från 2018.

113

(114)  Avsnitt 48.9 i dataskyddslagen från 2018.

114

(115)  Avsnitt 68 i dataskyddslagen från 2018.

115

(116)  Avsnitt 52.1 i dataskyddslagen från 2018.

116

(117)  Avsnitt 52.3 i dataskyddslagen från 2018.

117

(118)  I avsnitt 54 i dataskyddslagen från 2018 definieras vad som avses med ”tillämplig tidsperiod”, dvs. den period på 1 månad, eller den längre period som kan anges i förordningar, med början vid den relevanta tidpunkten (när den personuppgiftsansvariga mottar begäran i fråga, när den personuppgiftsansvariga mottar den information (i förekommande fall) som begärs i samband med en begäran enligt avsnitt 52.4 i dataskyddslagen eller när den avgift (i förekommande fall) som tas ut i samband med begäran enligt avsnitt 53 i dataskyddslagen betalas.

118

(119)  Avsnitt 53.1 i dataskyddslagen från 2018.

119

(120)  Enligt ICO:s vägledning kan en registeransvarig besluta att ta ut en avgift av en registrerad person om hans eller hennes begäran är uppenbart ogrundad eller orimlig men ändå väljer att besvara den. Avgiften ska vara rimlig och kunna motivera kostnaden. Guide to Law Enforcement Processing ”Manifestly unfounded and excessive requests”
  finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/

120

Guide to Law Enforcement Processing ”Manifestly unfounded and excessive requests”

(121)  Avsnitt 45.4 i dataskyddslagen från 2018.

121

(122)  Avsnitt 44.4 i dataskyddslagen från 2018.

122

(123)  Avsnitt 68.7 i dataskyddslagen från 2018.

123

(124)  Avsnitt 48.3 i dataskyddslagen från 2018.

124

(125)  Se till exempel Guide to Law Enforcement Processing om rätten till tillgång, som finns på följande webbplats:https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8

125

Guide to Law Enforcement Processing

(126)  Se t.ex. Data Protection Manual for Police Data Protection Professional som utfärdats av National Police Chief Counsel (se fotnot 27) eller vägledningen från Serious Fraud Office, som finns på följande länk: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/

126

Data Protection Manual for Police Data Protection Professional

(127)  Data protection Manual of the National Police Chief Counsel, s. 140 (se fotnot 27).

127

(128)  I Data protection Manual of the National Police Chief Counsel föreskrivs att ”undvika att hindra en officiell eller rättslig undersökning, utredning eller förfarande” sannolikt är relevant för personuppgifter som behandlas i samband med undersökningar, familjerättsliga förfaranden, utredningar om interna disciplinärenden som inte är straffbelagda och undersökningar som oberoende utredning av sexuella övergrepp mot barn medan ”skydda andras fri- och rättigheter” är relevant för personuppgifter som även skulle gälla andra personer samt den sökande” (Data protection Manual of the National Police Chief Counsel, s. 140, se fotnot 27).

128

(129)  Avsnitt 79 i dataskyddslagen från 2018.

129

(130)  Den brittiska regeringens vägledning om nationella säkerhetscertifikat finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.

130

(131)  Avsnitten 44.5 och 44.6: Avsnitten 45.5 och 45.6, avsnitt 48.4 i dataskyddslagen från 2018.

131

(132)  Avsnitt 44.7, avsnitt 45.7, avsnitt 48.6 i dataskyddslagen från 2018.

132

(133)  Avsnitt 51 i dataskyddslagen från 2018.

133

(134)  Avsnitt 167 i dataskyddslagen från 2018.

134

(135)  När det gäller omfattningen av den automatiserade behandlingen anges följande i de förklarande anmärkningarna till dataskyddslagen från 2018: ”Dessa bestämmelser rör helt automatiserat beslutsfattande och inte automatisk behandling. Automatisk behandling (inbegripet profilering) är när en åtgärd utförs på uppgifter utan att det behövs någon mänsklig medverkan. Den används regelbundet inom brottsbekämpande myndigheter för att filtrera stora datamängder till hanterbara mängder som en mänsklig aktör sedan kan använda. Automatiserat beslutsfattande är en form av automatiserad behandling och kräver att det slutliga beslutet fattas utan mänsklig inblandning.” (De förklarande anmärkningarna till dataskyddslagen, punkt 204, se fotnot 45).

135

(136)  Förutom det skydd som ges enligt dataskyddslagen innehåller den rättsliga ramen in Förenade kungariket andra lagstadgade begränsningar som är tillämpliga på brottsbekämpande organ och skulle förhindra automatiserad behandling (inklusive profilering) om den skulle leda till olaglig diskriminering. Genom The Human Rights Act 1998 införlivas de rättigheter som ges i Europakonventionen i Förenade kungarikets lagstiftning, inbegripet diskrimineringsförbudet i artikel 14 i konventionen. Vidare förbjuder Equality Act 2010 diskriminering av personer med skyddade egenskaper (kön, ras, funktionsnedsättning osv.).

136

The Human Rights Act 1998

Equality Act 2010

(137)  Avsnitt 49.2 i dataskyddslagen från 2018.

137

(138)  Avsnitt 50.4 i dataskyddslagen från 2018.

138

(139)  Denna nya ram blev till i slutet av övergångsperioden, inklusive ministerns befogenhet att utfärda föreskrifter om adekvat skyddsnivå. I DPPEC-förordningarna (särskilt punkterna 10–12 i tillägg 21 som dessa förordningar för in i dataskyddslagen från 2018) föreskrivs emellertid att vissa överföringar av personuppgifter under och efter övergångsperiodens utgång ska behandlas som om de grundar sig på förordningar om adekvat skyddsnivå. Dessa överföringar omfattar överföringar till tredjeländer som är föremål för ett EU-beslut om adekvat skyddsnivå vid övergångsperiodens utgång och till EU-medlemsstater, Eftastater och territoriet Gibraltar genom deras tillämpning av direktivet om brottsbekämpning på behandling av uppgifter inom brottsbekämpning (Eftastaterna tillämpar direktiv (EU) 2016/680 på grund av sina skyldigheter enligt Schengenregelverket). Detta innebär att överföringarna till dessa länder kan fortsätta i slutet av övergångsperioden precis som före EU:s utträde. Efter övergångsperiodens utgång måste ministern inom fyra år göra en översyn av slutsatserna om adekvat skyddsnivå.

139

(140)  Avsnitt 73 och 77 i dataskyddslagen från 2018.

140

(141)  Förenade kungarikets myndigheter har förklarat att beskrivningen av ett land eller en internationell organisation avser en situation där det skulle vara nödvändigt att göra ett specifikt och partiellt fastställande av adekvat skyddsnivå med fokuserade begränsningar (t.ex. en förordning om adekvat skyddsnivå som endast avser vissa typer av uppgiftsöverföringar).

141

(142)  Se avsnitt 74A.4 i dataskyddslagen från 2018, där det föreskrivs att vid bedömningen av om skyddsnivån är adekvat måste ”ministern särskilt beakta a) rättsstatsprincipen, respekten för de mänskliga rättigheterna och de grundläggande friheterna, relevant lagstiftning, både allmän och sektoriell, inbegripet allmän säkerhet, försvar, nationell säkerhet och straffrätt och offentliga myndigheters tillgång till personuppgifter samt genomförande av sådan lagstiftning, regler om dataskydd, yrkesregler och säkerhetsåtgärder, inklusive regler för en vidareöverföring av personuppgifter till ett tredjeland eller en internationell organisation som följs i detta land eller i denna internationella organisation, rättspraxis samt effektiv och rättigheter som kan verkställas för den registrerade samt effektiv administrativ och rättslig prövning för registrerade vars personuppgifter överförs, b) det ska finnas en eller flera fungerande oberoende tillsynsmyndigheter i tredjelandet eller som en internationell organisation lyder under med ansvar för att säkerställa och verkställa efterlevnaden av dataskyddsreglerna inklusive adekvata befogenheter för verkställande, för att assistera och råda registrerade när det gäller att utöva sina rättigheter och för att samarbeta med Commissioner och c) de internationella åtaganden som tredjelandet eller den berörda internationella organisationen har åtagit sig eller andra skyldigheter som uppstår på grund av juridiskt bindande konventioner eller instrument samt på grund av dess deltagande i multilaterala eller regionala system, i synnerhet i förhållande till skyddet av personuppgifter”.

142

(143)  Se samförståndsavtalet mellan ministern för Department for Digital, Culture, Media and Sport och ICO om ICO:s roll i samband med Förenade kungarikets nya bedömningar av adekvat skyddsnivå, finns på följande länk: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

143

Department for Digital, Culture, Media and Sport

(144)  Under denna 40-dagarsperiod kan båda kamrarna i parlamentet, om de så önskar, ha möjlighet att rösta emot förordningarna, om en sådan omröstning antas kommer förordningarna i slutändan att upphöra att ha någon ytterligare rättslig verkan.

144

(145)  Avsnitt 75 i dataskyddslagen från 2018.

145

(146)  Enligt avsnitt 75.3 i dataskyddslagen från 2018 om en överföring av uppgifter sker med stöd av lämpliga skyddsåtgärder gäller att a) överföringen ska dokumenteras, b) dokumentationen ska på begäran lämnas till Commissioner och c) dokumentationen ska särskilt innehålla i) datum och tidpunkt för överföringen, ii) namnet på och all annan relevant information om mottagaren, iii) motiveringen till överföringen och iv) en beskrivning av de personuppgifter som överförts.

146

(147)  
  Guide to Law Enforcement Processing ”Are there any special circumstances?”
  finns på följande länk: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3).

147

Guide to Law Enforcement Processing ”Are there any special circumstances?”

(148)  Avsnitt 76 i dataskyddslagen från 2018.

148

(149)  Avsnitt 76 i dataskyddslagen från 2018.

149

(150)  Avsnitt 76.3 i dataskyddslagen från 2018.

150

(151)  Avsnitt 73.5 i dataskyddslagen från 2018.

151

(152)  Tillämpligheten för denna nya ram måste läsas mot bakgrund av artikel 782 i avtalet om handel och samarbete mellan Europeiska unionen och Europeiska atomenergigemenskapen, å ena sidan, och Förenade konungariket Storbritannien och Nordirland, å andra sidan (L 444/14, 31.12.2020) (TCA mellan EU och Förenade kungariket) som finns på följande länk: https://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:22020A1231(01)&from=EN.

152

TCA mellan EU och Förenade kungariket

(153)  Avsnitt 62 i dataskyddslagen från 2018.

153

(154)  Avsnitt 69 i dataskyddslagen från 2018.

154

(155)  Artikel 36.2 b i direktiv (EU) 2016/680.

155

(156)  Avsnitt 116 i dataskyddslagen från 2018.

156

(157)  
  Information Commissioner’s Annual Report and Financial Statements 2019–2020, som finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

157

Information Commissioner’s Annual Report and Financial Statements 2019–2020

(158)  Ett förvaltningsavtal reglerar förhållandet mellan dem. De viktigaste uppgifterna för departementet för digitala frågor, kultur, media och idrott, i egenskap av uppdragsgivande avdelning, omfattar följande: Säkerställa att ICO får tillräcklig finansiering och tillräckliga resurser. Företräda ICO:s intressen inför parlamentet och andra regeringsdepartement. Se till att det finns en stabil nationell ram för dataskydd. Ge vägledning och stöd till ICO i företagsfrågor som fastighets-, hyres- och upphandlingsfrågor (förvaltningsavtalet 2018–2021 finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

158

(159)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

159

(160)  Styrningskoden för offentliga utnämningar, finns på följande länk: https://www.gov.uk/government/publications/governance-code-for-public-appointments.

160

(161)  Andra rapporten från sammanträdesperioden 2015–2016 från utskottet för kultur, medier och idrott i underhuset finns på följande länk: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

161

(162)  Ett ”anförande” är ett förslag som lagts fram för parlamentet och som syftar till att göra monarken medveten om parlamentets yttranden i en viss fråga.

162

(163)  Punkt 3 i bilaga 12 till dataskyddslagen från 2018.

163

(164)  Avsnitt 137 i dataskyddslagen från 2018.

164

(165)  Avsnitten 137 och 138 i dataskyddslagen från 2018 innehåller ett antal skyddsåtgärder för att säkerställa att avgifterna fastställs på en lämplig nivå. I avsnitt 137.4 i dataskyddslagen från 2018 anges särskilt de omständigheter som ministern ska beakta när han eller hon fastställer det belopp som olika organisationer ska betala. Avsnitt 138.1 och avsnitt 182 i dataskyddslagen från 2018 innehåller också en rättslig skyldighet för ministern att samråda med Information Commissioner och andra företrädare för personer som kan komma att beröras av förordningarna innan de framförs så att deras synpunkter kan beaktas. Enligt avsnitt 138.2 i dataskyddslagen från 2018 är Information Commissioner dessutom skyldig att se över avgiftsförordningarnas funktion och kan lämna förslag till ministern om ändringar av förordningarna. Slutligen, utom i de fall då bestämmelser endast utarbetas för att ta hänsyn till en ökning av konsumentprisindex (då de kommer att omfattas av ett negativt resolutionsförfarande), omfattas föreskrifterna av ett positivt resolutionsförfarande och får inte utfärdas förrän de har godkänts genom ett beslut av varje kammare.

165

(166)  I förvaltningsavtalet klargjordes att ”ministern får göra utbetalningar till Information Commissioner med medel som tillhandahålls av parlamentet enligt punkt 9 i tillägg 12 till dataskyddslagen från 2018. Efter samråd med Information Commissioner ska DCMS betala lämpliga belopp (bidraget i form av stöd) för ICO:s administrativa kostnader och utövandet av de uppgifter som Information Commissioner har i samband med ett antal specifika funktioner, däribland informationsfrihet” (förvaltningsavtal 2018–2021, punkt 1.12, se fotnot 158).

166

(167)  Avsnitt 134 i dataskyddslagen från 2018.

167

(168)  Punkt 2 i tillägg 13 till dataskyddslagen från 2018.

168

(169)  Avsnitt 142 i dataskyddslagen från 2018 (med förbehåll för begränsningarna i avsnitt 143 dataskyddslagen från 2018).

169

(170)  Avsnitt 146 i dataskyddslagen från 2018 (med förbehåll för begränsningarna i avsnitt 147 dataskyddslagen från 2018).

170

(171)  Avsnitten 149–151 i dataskyddslagen från 2018 (med förbehåll för begränsningarna i avsnitt 152 dataskyddslagen från 2018).

171

(172)  Avsnitt 155 i dataskyddslagen från 2018 (med förbehåll för begränsningarna i avsnitt 156 i dataskyddslagen från 2018).

172

(173)  Policyn för lagstiftningsåtgärder (Regulatory Action Policy), finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf.

173

(174)  ICO får särskilt utfärda ett meddelande om påföljd för bristande efterlevnad enligt avsnitt 149.2, 3, 4 eller 5 i dataskyddslagen från 2018.

174

(175)  Avsnitt 157 i dataskyddslagen från 2018.

175

(176)  
  Information Commissioner’s Annual Report and Financial Statements 2018–2019, som finns på följande länk: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf

176

Information Commissioner’s Annual Report and Financial Statements 2018–2019

(177)  Information Commissioners årsredovisning 2019–2020 (se fotnot 157).

177

(178)  En databas med uppgifter om påstådda gruppmedlemmar och offer för gängrelaterade brott.

178

(179)  Avsnitt 170 i dataskyddslagen från 2018.

179

(180)  Avsnitt 171 i dataskyddslagen från 2018.

180

(181)  Avsnitt 119 i dataskyddslagen från 2018.

181

(182)  Avsnitt 144 och 148 i dataskyddslagen från 2018.

182

(183)  Enligt förvaltningsavtalet ska årsrapporten i) täcka alla företag, dotterbolag eller samriskföretag som står under kontroll av ICO, ii) följa finansministeriets handbok för finansiell rapportering (FReM), iii) innehålla en verksamhetsberättelse med en beskrivning av hur Accounting Officer har förvaltat och kontrollerat de resurser som används i organisationen under året, som visar hur väl organisationen hanterar risker när det gäller att uppnå sina syften och mål och iv) ge en översikt över de viktigaste verksamheterna och resultaten under det föregående budgetåret och sammanfatta preliminära planer (Management Agreement 2018–2021, punkt 3.26, se fotnot 158).

183

(184)  Avsnitt 117 i dataskyddslagen från 2018.

184

(185)  Panelen ansvarar för att ge domstolsväsendet vägledning och utbildning. Den behandlar också klagomål från registrerade med avseende på behandling av personuppgifter som utförs av domstolar och enskilda personer som handlar i egenskap av en dömande myndighet. Panelen har för avsikt att tillhandahålla de medel som kan användas för att lösa eventuella klagomål. Om en klagande var missnöjd med panelens beslut och lade fram ytterligare bevisning skulle panelen kunna ompröva sitt beslut. Även om panelen själv inte utdömer ekonomiska sanktioner kan den, om den anser att det föreligger en tillräckligt klar överträdelse av dataskyddslagen från 2018, hänskjuta den till JCIO (Judicial Conduct Investigation Office), som kommer att utreda klagomålet. Om klagomålet godtas ankommer det på Lord Chancellor och Lord Chief Justice (eller en högre domare som delegerats att agera på hans eller hennes vägnar) att besluta om vilka åtgärder som ska vidtas mot befattningshavaren. Detta kan, beroende på svårighetsgrad, omfatta formell rådgivning, formell varning och reprimand och, i slutändan, entledigande. Om en person är missnöjd med det sätt på vilket klagomålet har utretts av JCIO kan han eller hon lämna in ett klagomål till Judicial Appointments and Conduct Ombudsman (se https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Ombudsmannen har befogenhet att be JCIO att utreda ett klagomål på nytt och kan föreslå att klaganden ska få ersättning om han eller hon anser sig ha lidit skada till följd av administrativa missförhållanden.

185

Judicial Conduct Investigation Office

Judicial Appointments and Conduct Ombudsman

(186)  Meddelandet om skydd av personuppgifter från Lord Chief Justice and Senior President of Tribunals, finns på följande länk: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

186

(187)  Meddelande om skydd av personuppgifter från Lord Chief Justice of Northern Ireland, finns på följande länk: https://judiciaryni.uk/data-privacy

187

(188)  Meddelandet om skydd av personuppgifter för skotska domstolar och tribunaler finns på följande länk: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

188

(189)  Datatillsynsdomaren ger vägledning till rättsväsendet och utreder överträdelser och/eller klagomål som rör behandling av personuppgifter som utförs av domstolar eller enskilda personer som handlar i egenskap av en dömande myndighet.

189

(190)  Om klagomålet eller brottet bedöms vara allvarligt hänskjuts det till Judicial Complaints Officer för vidare utredning i enlighet med Lord Chief Justice in Northern Ireland’s Code of Practice on Complaints. Ett sådant klagomål skulle kunna omfatta inga ytterligare åtgärder, råd, utbildning eller mentorskap, informell varning, formell varning, slutlig varning, begränsning av praxis eller hänskjutande till en lagstadgad domstol. Code of Practice on Complaints som utfärdats av Lord Chief Justice i Nordirland finns på följande länk: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf.

190

Judicial Complaints Officer

Lord Chief Justice in Northern Ireland’s Code of Practice on Complaints

Code of Practice on Complaints

(191)  Varje klagomål utreds av en datatillsynsdomare och hänskjuts till Lord President som har befogenhet att utfärda råd, en formell varning eller en reprimand om han anser det nödvändigt (likvärdiga regler finns för domstolsledamöter och de finns på följande länk: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

191

(192)  Avsnitt 165 i dataskyddslagen från 2018.

192

(193)  I avsnitt 166 i dataskyddslagen från 2018 hänvisas särskilt till situationerna att a) Commissioner underlåter att vidta lämpliga åtgärder för att besvara klagomålet, b) kommissionären underlåter att informera den klagande om hur ärendet fortskrider eller om resultatet av klagomålet före utgången av den period på tre månader som började när kommissionären mottog klagomålet eller c) om kommissionärens behandling av klagomålet inte avslutas under den perioden inte ger klaganden sådan information under en senare tremånadersperiod.

193

(194)  Förstainstansdomstolen är behörig att handlägga överklaganden av beslut som fattats av statliga tillsynsorgan. När det gäller beslut av Information Commissioner är den behöriga avdelningen ”General Regulatory Chamber” som är behörig i hela Förenade kungariket.

194

(195)  Avsnitt 166 i dataskyddslagen från 2018.

195

(196)  Avsnitt 161 och 162 i dataskyddslagen från 2018.

196

(197)  Se målet Brown/Commissioner of the Met 2016 där domstolen gav käranden upprättelse i samband med dataskydd i samband med en talan mot polisen. Domstolen biföll den kärandes påståenden om åsidosättande av skyldigheterna enligt dataskyddslagen från 1998, åsidosättande av HRA 1998 (och den närstående rättigheten i artikel 8 i Europakonventionen) och skadeståndsgrundande missbruk av privat information (svaranden medgav slutligen att de stred mot dataskyddslagen och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, så domen fokuserade på vilket rättsmedel som var lämpligt). Till följd av dessa åsidosättanden tilldömde domstolen käranden ekonomisk ersättning.

197

(198)  Avsnitt 8.1 i Human Rights Act 1998.

198

Human Rights Act 1998

(199)  Avsnitt 36.3 i dataskyddslagen från 2018.

199

(200)  Avsnitt 56 i Digital Economy Act 2017 finns på följande länk: https://www.legislation.gov.uk/ukpga/2017/30/contents

200

Digital Economy Act 2017

(201)  Avsnitt 48 i Digital Economy Act 2017.

201

Digital Economy Act 2017

(202)  Avsnitt 7 i Crime and Courts Act 2013, finns på följande länk: https://www.legislation.gov.uk/ukpga/2013/22/contents

202

Crime and Courts Act 2013

(203)  Avsnitt 68 i Serious Crime Act 2007 finns på följande länk: https://www.legislation.gov.uk/ukpga/2007/27/contents

203

Serious Crime Act 2007

(204)  Den godkända yrkesmässiga praxisen för informationsutbyte finns på följande länk: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

204

(205)  Se till exempel målet M/Chief Constable of Sussex Police [2019] EWHC 975 (Admin) där High Court ombads att överväga utbyte av uppgifter mellan polisen och Business Crime Reduction Partnership (BCRP), en organisation som har befogenhet att förvalta systemet för uteslutning och som förbjuder personer att komma in i medlemmarnas affärslokaler. Domstolen granskade datadelningen som ägde rum på grundval av ett avtal som syftade till att skydda allmänheten och förebygga brott och kom slutligen fram till att de flesta aspekterna av datadelning var lagliga utom när det gäller viss känslig information som delas mellan polisen och de grundläggande rättigheterna. Ett annat exempel är målet Cooper/NCA [2019] EWCA Civ 16, där appellationsdomstolen bekräftade datadelningen mellan polisen och Serious Organised Crime Agency (SOCA), en brottsbekämpande myndighet som för närvarande ingår i NCA (nationella konkurrensmyndigheten).

205

(206)  Avsnitt 36.4 i dataskyddslagen från 2018.

206

(207)  Kommissionens genomförandebeslut i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/679 om adekvat skydd av personuppgifter i Förenade kungariket C(2021)4800.

207

(208)  Avsnitt 19 i lagen om bekämpande av terrorism från 2008 finns på följande länk: https://www.legislation.gov.uk/ukpga/2008/28/section/19

208

(209)  I avsnitt 2.2 i Intelligence Service Act 1994 (se https://www.legislation.gov.uk/ukpga/1994/13/contents) föreskrivs följande: ”Chefen för underrättelsetjänsten ska ansvara för dess effektivitet och det ska vara hans skyldighet att säkerställa a) att det finns arrangemang för att säkerställa att ingen information erhålls av underrättelsetjänsten utom i den mån det är nödvändigt för att den ska kunna utföra sina uppgifter på ett korrekt sätt och att inga uppgifter lämnas ut av den utom i den mån det är nödvändigt för detta ändamål, ii) av hänsyn till den nationella säkerheten, iii) i syfte att förebygga eller upptäcka allvarliga brott, eller iv) i samband med straffrättsliga förfaranden och b) att underrättelsetjänsten inte vidtar några åtgärder för att främja något av Förenade kungarikets politiska partiers intressen” medan det i avsnitt 2.2 i Security Service Act 1989 (se https://www.legislation.gov.uk/ukpga/1989/5/contents) föreskrivs att ”generaldirektören ska ansvara för tjänstens effektivitet och det ska vara hans skyldighet att säkerställa a) att det finns arrangemang för att säkerställa att inga uppgifter erhålls av avdelningen utom i den mån det är nödvändigt för att den ska kunna utföra sina uppgifter på ett korrekt sätt eller om det inte är nödvändigt för detta ändamål eller för att förebygga eller upptäcka brott, b) att tjänsten inte vidtar några åtgärder för att främja något politiskt partis intressen, och c) att det finns arrangemang som överenskommits med Director General för National Crime Agency för att samordna myndighetens verksamhet i enlighet med avsnitt 1.4 i denna lag med polisens, National Crime Agency’s och andra brottsbekämpande organs verksamhet”.

209

Intelligence Service Act 1994

Security Service Act 1989

Director General för National Crime Agency

(210)  Skyddsåtgärder och begränsningar av underrättelsetjänsternas befogenheter regleras också i 2016 års lag om utredningsbefogenheter som tillsammans med 2000 års lag om utredningsbefogenheter för England, Wales och Nordirland och 2000 års lag om utredningsbefogenheter (Skottland) för Skottland utgör den rättsliga grunden för användningen av sådana befogenheter. Dessa befogenheter är dock inte relevanta i samband med ”vidareutbyte” eftersom de omfattar direkt insamling av personuppgifter av underrättelsetjänster. För en bedömning av underrättelsetjänsternas befogenheter enligt lagen om utredningsbefogenheter, se kommissionens genomförandebeslut enligt Europaparlamentets och rådets förordning (EU) 2016/679 om adekvat skydd av personuppgifter i Förenade kungariket C (2021) 4800.

210

(211)  Enligt avsnitt 86.6 i dataskyddslagen från 2018 ska den metod med vilken uppgifterna erhålls beaktas för att avgöra om behandlingen sker på ett rättvist och öppet sätt. I detta avseende uppfylls kravet på rättvisa och öppenhet om uppgifterna erhålls från en person som lagligen har tillstånd eller är skyldig att tillhandahålla dem.

211

(212)  Enligt avsnitt 87 i dataskyddslagen från 2018 ska ändamålen med behandlingen vara specifika, uttryckligt angivna och legitima. Uppgifterna får inte behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlades in. Enligt avsnitt 87.3 får ytterligare kompatibel behandling av personuppgifter endast tillåtas om den personuppgiftsansvariga enligt lag är behörig att behandla uppgifterna för detta ändamål och behandlingen är nödvändig och står i proportion till det andra ändamålet. Behandlingen bör anses vara förenlig om behandlingen består av behandling för arkivändamål av allmänt intresse, för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål och är föremål för lämpliga skyddsåtgärder (avsnitt 87.4 i dataskyddslagen från 2018).

212

(213)  Personuppgifter måste vara adekvata, relevanta och inte överdrivet omfattande (avsnitt 88 i dataskyddslagen från 2018).

213

(214)  Personuppgifter måste vara korrekta och aktuella (avsnitt 89 i dataskyddslagen från 2018).

214

(215)  Personuppgifter får inte lagras längre än nödvändigt (avsnitt 90 i dataskyddslagen från 2018).

215

(216)  Den sjätte principen om dataskydd är att personuppgifter ska behandlas på ett sätt som inbegriper vidtagande av lämpliga säkerhetsåtgärder när det gäller risker i samband med behandling av personuppgifter. Riskerna omfattar (men är inte begränsade till) oavsiktlig eller obehörig åtkomst till eller förstörelse, förlust, användning, ändring eller utlämnande av personuppgifter (avsnitt 91 i dataskyddslagen från 2018). I avsnitt 107 föreskrivs också att 1) varje registeransvarig ska vidta lämpliga säkerhetsåtgärder som är lämpliga med hänsyn till de risker som uppstår i samband med behandlingen av personuppgifter och 2) vid automatiserad behandling ska varje registeransvarig och personuppgiftsbiträde vidta förebyggande eller begränsande åtgärder på grundval av en riskbedömning.

216

(217)  Avsnitt 86.2 b och tillägg 10 i dataskyddslagen från 2018.

217

(218)  Del 4 kapitel 3 i dataskyddslagen från 2018, särskilt när det gäller rättigheterna om tillgång, rättelse och radering, invända mot behandlingen och inte vara föremål för automatiserat beslutsfattande, att ingripa i automatiserat beslutsfattande och informeras om beslutsfattandet. Dessutom måste den personuppgiftsansvariga informera den registrerade om behandlingen av hans eller hennes personuppgifter.

218

(219)  Avsnitt 103 i dataskyddslagen från 2018.

219

(220)  Avsnitt 109 i dataskyddslagen från 2018. Överföring av personuppgifter till internationella organisationer eller länder utanför Förenade kungariket är möjlig om överföringen är en nödvändig och proportionell åtgärd som utförs inom ramen för den personuppgiftsansvarigas lagstadgade uppgifter eller för andra ändamål som anges i särskilda avsnitt i Security Service Act 1989 och Intelligence Services Act 1994.

220

Security Service Act 1989

Intelligence Services Act 1994

(221)  Se målet Baker/Secretary of State for the Home Department [2001] UKit NSA2 (”Baker mot Secretary of State”).

221

(222)  
  UK Explanatory Framework for Adequacy Discussions, section H: National Security Data Protection and Investigatory Powers Framework, s. 15–16. Finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf. Se även domen i målet Baker/Secretary of State (se fotnot 220 ovan) där domstolen upphävde ett nationellt säkerhetsintyg som utfärdats av inrikesministern och bekräftade tillämpningen av undantaget för nationell säkerhet eftersom den ansåg att det inte fanns någon anledning att föreskriva ett generellt undantag från skyldigheten att besvara begäranden om tillgång och att ett sådant undantag under alla omständigheter utan en bedömning i varje enskilt fall överskred vad som var nödvändigt och proportionerligt för skyddet av den nationella säkerheten.

222

UK Explanatory Framework for Adequacy Discussions, section H:

(223)  Se samförståndsavtalet mellan ICO och UKIC enligt vilket ”När ICO mottar ett klagomål från en registrerad kommer det att försäkra sig om att frågan har hanterats korrekt och, i förekommande fall, att eventuella undantag har tillämpats på lämpligt sätt” (Memorandum of Understandings between Information Commissioner’s Office and the UK Intelligence Community, punkt 16, finns på följande länk: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).

223

Memorandum of Understandings between Information Commissioner’s Office and the UK Intelligence Community

(224)  Genom dataskyddslagen från 2018 upphävdes möjligheten att utfärda certifikat enligt avsnitt 28.2 i dataskyddslagen från 1998. Möjligheten att utfärda ”gamla certifikat” finns emellertid fortfarande om det rör sig om ett bestridande enligt lagen från 1998 (se tillägg 20 del 5 punkt 17 i lagen om dataskydd från 2018). Emellertid är detta mycket sällan förekommande och kommer endast att gälla ett begränsat antal fall, exempelvis om den registrerade bestrider hur en offentlig myndighet har tillämpat undantaget för nationell säkerhet på uppgiftsbehandlingen enligt 1998 års lag. Det bör noteras att avsnitt 28 i dataskyddslagen från 1998 kommer att gälla i sin helhet i dessa fall, vilket därmed ger den registrerade möjlighet att bestrida certifikatet. För närvarande har inga nationella säkerhetscertifikat utfärdats enligt dataskyddslagen från 1998.

224

(225)  Förenade kungarikets regerings vägledning om nationella säkerhetscertifikat (UK Government Guidance on National Security Certificates) enligt dataskyddslagen från 2018, finns på följande länk: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf.

225

(UK Government Guidance on National Security Certificates)

(226)  Enligt avsnitt 130 i dataskyddslagen från 2018, får ICO besluta att inte offentliggöra hela eller delar av certifikatets text, om det skulle strida mot den nationella säkerheten, strida mot allmänintresset eller äventyra en enskild persons säkerhet. I sådana fall skulle ICO emellertid offentliggöra det faktum att certfikatet har utfärdats.

226

(227)  Förenade kungarikets regerings vägledning om nationella säkerhetscertifikat, punkt 15 (se fotnot 225).

227

(228)  Förenade kungarikets regerings vägledning om nationella säkerhetscertifikat, punkt 5 (fotnot 225).

228

(229)  Enligt avsnitt 102 i dataskyddslagen från 2018 ska den personuppgiftsansvariga kunna visa att han eller hon har följt dataskyddslagen från 2018. Detta innebär att en underrättelsetjänst skulle behöva visa för ICO att den har beaktat de särskilda omständigheterna i fallet när den förlitar sig på undantaget. ICO publicerar också en förteckning över de nationella säkerhetscertifikaten, som finns på följande länk: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/.

229

(230)  Upper Tribunal är den domstol som är behörig att pröva överklaganden av beslut som fattats av lägre förvaltningsdomstolar och har särskild behörighet att överklaga beslut från vissa statliga organ.

230

(231)  Avsnitt 111 (3) i dataskyddslagen från 2018.

231

(232)  Avsnitt 111.5 i dataskyddslagen från 2018.

232

(233)  I målet Baker/Secretary of State (se fotnot 221) upphävde informationsdomstolen ett intyg om nationell säkerhet som utfärdats av Home Secretary eftersom den ansåg att det inte fanns någon anledning att föreskriva ett generellt undantag från skyldigheten att besvara begäranden om tillgång och att ett sådant undantag under alla omständigheter utan en analys från fall till fall överskred vad som var nödvändigt och proportionerligt för att skydda den nationella säkerheten.

233

(234)  Förenade kungarikets regerings vägledning om nationella säkerhetscertifikat, punkt 25, fotnot 225.

234

(235)  Detta omfattar: i) del 4 av dataskyddsprinciperna, med undantag för kravet på att behandlingen ska vara laglig enligt den första principen och det faktum att behandlingen måste uppfylla ett av de relevanta villkor som anges i tilläggen 9 och 10, ii) de registrerades rättigheter, och iii) skyldigheterna att rapportera överträdelser till ICO.

235

(236)  Enligt UK Explanatory Framework är de undantag som är ”typbaserade” följande: i) Information om tilldelning av statliga hedersbetygelser och värdigheter. ii) Yrkesmässiga privilegier. iii) Konfidentiella uppgifter om anställning, yrkesutbildning eller utbildning. iv) Skriftliga prov och betyg. De ”skadebaserade” undantagen rör frågorna i) förebyggande eller avslöjande av brott, gripande och lagföring av gärningsmän, ii) parlamentariskt privilegium, iii) rättsliga förfaranden, iv) kronans väpnade styrkors stridsförmåga, v) Förenade kungarikets ekonomiska välstånd, vi) förhandlingar med den registrerade, vii) vetenskaplig eller historisk forskning eller statistiska ändamål och viii) arkivering i allmänhetens intresse. UK Explanatory Framework for Adequacy Discussions, section H: National Security, s. 13 (se fotnot 222).

236

UK Explanatory Framework

UK Explanatory Framework for Adequacy Discussions, section H

National Security

(237)  Avsnitt 116 i dataskyddslagen från 2018.

237

(238)  Enligt avsnitt 149.2 i förening med avsnitt 155 i lagen om dataskydd från 2018 kan förelägganden om verkställighet och påföljder utfärdas till en registeransvarig eller registerförare i samband med överträdelser av kapitel 2 i del 4 i dataskyddsmyndigheten 2018 (principer för behandling), en bestämmelse i del 4 i dataskyddsmyndigheten 2018 som ger den registrerade rättigheter, ett krav på att anmäla ett personuppgiftsbrott till ombudsmannen enligt avsnitt 108 i dataskyddsmyndigheten 2018 och principerna för överföring av personuppgifter till tredjeländer, länder som inte omfattas av konventionen och internationella organisationer i avsnitt 109 i dataskyddsmyndighetens 2018. (För närmare uppgifter om verkställighets- och påföljdsförelägganden, se skälen (102)–(103)).

238

(239)  Enligt avsnitt 147.6 i dataskyddslagen från 2018 får Information Commissioner inte lämna ett bedömningsföreläggande till ett organ som anges i avsnitt 23.3 i Freedom of Information Act 2000. Detta inbegriper Security service (MI5), Secret Intelligence Service (MI6) och Government Communications Headquarter.

239

Freedom of Information Act 2000

(240)  Följande bestämmelser kan undantas: Avsnitt 108 (meddelande till Commissioner om personuppgiftsbrott), avsnitt 119 (inspektion i enlighet med internationella förpliktelser). Avsnitten 142–154 och tillägg 15 (förelägganden och befogenheter för Commissioner för tillträde och inspektion). Avsnitten 170–173 (personuppgiftsbrott). Dessutom när det gäller underrättelsetjänsternas behandling i tillägg 13 (andra allmänna uppgifter för Commissioner), punkt 1 a och g samt punkt 2.

240

(241)  Se t.ex. mål Baker/Secretary of State for the Home Department (se fotnot 221)

241

(242)  Samförståndsavtal mellan ICO och Förenade kungarikets underrättelsegemenskap, se fotnot 231.

242

(243)  I sju av dessa fall rådde ICO klaganden att ta upp frågan med den personuppgiftsansvariga (detta är fallet när en person har tagit upp en fråga med ICO, men borde först ha tagit upp frågan med den personuppgiftsansvariga), i ett av dessa fall gav ICO allmänna råd till den personuppgiftsansvariga (detta används när den personuppgiftsansvariga inte förefaller ha brutit mot lagstiftningen, men en bättre rutiner skulle kunna bidra till att frågan inte tas upp hos ICO), och i de övriga 13 fallen var den personuppgiftsansvariga inte skyldig att agera (detta används när frågor som tas upp av personer inte omfattas av dataskyddslagen från 2018 eftersom de visserligen rör behandling av personuppgifter, men på grundval av den information som tillhandahållits förefaller den personuppgiftsansvariga inte ha brutit mot lagen).

243

(244)  Som Förenade kungarikets myndigheter förklarade utvidgade Justice and Security Act ansvarsområde för Intelligence and Security Committee till att omfatta en roll när det gäller att övervaka underrättelsegemenskapen utöver de tre myndigheterna och möjliggöra en retroaktiv översyn av myndigheternas operativa verksamhet i frågor av stort nationellt intresse.

244

Justice and Security Act

Intelligence and Security Committee

(245)  Avsnitt 1 i JSA 2013. Ministrarna är inte berättigade till medlemskap. Ledamöterna innehar sin ställning i Intelligence and Security Committee under hela det parlament när de utsågs. De kan avlägsnas genom ett beslut av det parlament genom vilket de utsågs om de upphör att vara en parlamentsledamot eller blir minister. En ledamot kan också avgå.

245

Intelligence and Security Committee

(246)  Utskottets betänkanden och uttalanden finns på följande webbadress: http://isc.independent.gov.uk/committee-reports. År 2015 utfärdade Intelligence and Security Committee en rapport om integritet och säkerhet: A modern and transparent legal framework” (se: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf), där den granskade den rättsliga ramen för de övervakningstekniker som används av underrättelsetjänsterna och utfärdade en rad rekommendationer som sedan övervägdes och integrerades i förslaget till lag om utredningsbefogenheter som omvandlades till lag, 2016 års lag om utredningsbefogenheter. Regeringens svar på rapporten om personlig integritet och säkerhet finns på följande länk: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf.

246

Intelligence and Security Committee

(247)  Avsnitt 2 i JSA 2013.

247

(248)  Samförståndsavtal mellan premiärministern och Intelligence and Security Committee, finns på följande länk: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf.

248

Intelligence and Security Committee

(249)  Samförståndsavtal mellan premiärministern och Intelligence and Security Committee, punkt 14 (se fotnot 248).

249

Intelligence and Security Committee

(250)  Ministern får endast lägga in veto mot utlämnande av uppgifter på följande två grunder: att uppgifterna är känsliga och inte bör lämnas ut till Intelligence and Security Committee med hänsyn till den nationella säkerheten, att om ministern anmodades att inkomma med den till ett av Departmental Select Committee of the House of Commons, skulle ministern (av skäl som inte är begränsade till den nationella säkerheten) anse att det var lämpligt att inte göra det (tillägg 1 punkt 4.2 i Justice and Security Act 2013).

250

Departmental Select Committee of the House of Commons

Justice and Security Act 2013

(251)  
  UK Explanatory Framework – section H: National Security, s. 43.

251

UK Explanatory Framework – section H:

(252)  Avsnitt 94.11 i dataskyddslagen från 2018.

252

(253)  Avsnitt 99.4 i dataskyddslagen från 2018.

253

(254)  Avsnitt 169 i dataskyddslagen från 2018, som tillåter anspråk från ”en person som lider skada på grund av överträdelse av ett krav i dataskyddslagstiftningen”.

254

(255)  Avsnitt 169 (5) i dataskyddslagen från 2018.

255

(256)  Se avsnitt 65.2 b i lagen om utredningsbefogenheter.

256

(257)  Enligt tillägg 3 till 2000 års lag om utredningsbefogenheter måste ledamöterna ha särskild erfarenhet inom rättsväsendet och kunna återutnämnas.

257

(258)  När det gäller begreppet ”adress” (se fotnot 183).

258

(259)  Tillägg 3 punkt 1.5 till 2000 års lag om utredningsbefogenheter.

259

(260)  Avsnitt 65.4 i 2000 års lag om utredningsbefogenheter.

260

(261)  Sådana omständigheter avser offentliga myndigheters agerande med myndighetsutövning (t.ex. ett beslut, ett tillstånd/ett föreläggande om förvärv av meddelanden osv.) eller om omständigheterna är sådana (oavsett om det finns en sådan myndighet eller inte) att det inte skulle ha varit lämpligt att beteendet ägde rum utan det eller åtminstone utan att vederbörlig hänsyn hade tagits till huruvida en sådan befogenhet borde ha sökts. Ett agerande som har godkänts av en Judicial Commissioner anses ha ägt rum under omständigheter mot vilka talan kan väckas (avsnitt 65 (7ZA) i 2000 års lag om utredningsbefogenheter) medan andra handlingar som äger rum med tillstånd av en person som innehar ett domarämbete inte anses ha ägt rum under omständigheter mot vilka talan kan väckas (avsnitten 65.7 och 8 i 2000 års lag om utredningsbefogenheter).

261

(262)  Enligt de uppgifter som lämnats av Förenade kungarikets myndigheter visar den låga tröskeln för att lämna in ett klagomål att det inte är ovanligt att tribunalen i sin undersökning fastställer att klaganden i själva verket aldrig varit föremål för en utredning av en offentlig myndighet. I den senaste statistiska rapporten anges att Investigatory Powers Tribunal under 2016 mottog 209 klagomål, att 52 % av dessa ansågs vara av okynneskaraktär eller förargelseväckande och att 25 % fick ett ”inget beslut”-resultat. Förenade kungarikets myndigheter förklarade att detta antingen innebär att ingen hemlig verksamhet/inga dolda befogenheter har använts i förhållande till klaganden eller att dold teknik användes och tribunalen fastställde att verksamheten var laglig. Dessutom uteslöts 11 % från jurisdiktion, drogs tillbaka eller var inte giltiga, 5 % uteslöts för sent, 7 % konstaterades vara till klagandens fördel. Statistical Report of the Investigatory Powers Tribunal 2016 finns på följande länk: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf.

262

(263)  Se målet Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. I detta mål fann Investigatory Powers Tribunal, med hänvisning till Europadomstolens rättspraxis, att det lämpliga testet för att anta att alla handlingar som omfattas av underavsnitt 68.5 i 2000 års lag om utredningsbefogenheter har utförts av någon av underrättelsetjänsterna eller på uppdrag av någon av underrättelsetjänsterna är huruvida det finns någon grund för en sådan övertygelse, inbegripet det faktum att en enskild person kan göra anspråk på att vara offer för en överträdelse som orsakats av enbart förekomsten av hemliga åtgärder eller lagstiftning som medger hemliga åtgärder endast om han eller hon kan visa att han eller hon är utsatt för en sådan risk (se Human Rights Watch/Secretary of State, punkt 41).

263

Investigatory Powers Tribunal

(264)  Avsnitt 67.3 i 2000 års lag om utredningsbefogenheter.

264

(265)  Avsnitt 67.2 i 2000 års lag om utredningsbefogenheter.

265

(266)  Avsnitt 68.4 i 2000 års lag om utredningsbefogenheter.

266

(267)  Detta kan inbegripa ett beslut om att alla register över uppgifter som innehas av en offentlig myndighet om en person ska förstöras.

267

(268)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), punkt 170.

268

(269)  Avsnitt 8.1 i Human Rights Act 1998.

269

Human Rights Act 1998

(270)  
  Schrems-målet, punkt 65.

270

Schrems

(271)  
  Opinion 15/2021 regarding the European Commission draft implementing decision pursuant to Directive (EU) 2016/680 on the adequate protection of personal data in the United Kingdom, finns på följande länk:https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en.

271

Opinion 15/2021 regarding the European Commission draft implementing decision pursuant to Directive (EU) 2016/680 on the adequate protection of personal data in the United Kingdom

(272)  Rådets genomförandebeslut (EU) 2020/1745 av den 18 november 2020 om inledande av tillämpningen av bestämmelserna i Schengenregelverket om dataskydd och om provisoriskt inledande av tillämpningen av vissa bestämmelser i Schengenregelverket i Irland (EUT L 393, 23.11.2020, s. 3).

272

(273)  
  EUT L 176, 10.7.1999, s. 36.

273

(274)  
  EUT L 53, 27.2.2008, s. 52.

274

(275)  
  EUT L 160, 18.6.2011, s. 21.

275

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/108 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/108

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1774

av den 5 oktober 2021

om ändring av genomförandebeslut (EU) 2018/1493 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artiklarna 26.1 a, 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av rådets direktiv 2006/112/EG av den 28 november 2006 om ett gemensamt system för mervärdesskatt (1), särskilt artikel 395.1 första stycket,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | Genom rådets genomförandebeslut (EU) 2018/1493 (2) bemyndigades Ungern att till och med den 31 december 2021 tillämpa en särskild åtgärd som å ena sidan består i att begränsa avdragsrätten för mervärdesskatt till 50 % vid utgifter för personbilar som inte uteslutande används i rörelsen, genom avvikelse från artiklarna 168 och 168a i direktiv 2006/112/EG, och, å den andra, att inte likställa användningen av en personbil för icke-yrkesmässigt bruk som ingår bland tillgångarna i en skattepliktig persons rörelse som tjänstetillhandahållande, om bilen har omfattats av en begränsning enligt artikel 1 i det genomförandebeslutet, genom avvikelse från artikel 26.1 a i det direktivet (den särskilda åtgärden). |
| --- | --- |

(1)

Genom rådets genomförandebeslut (EU) 2018/1493 (2) bemyndigades Ungern att till och med den 31 december 2021 tillämpa en särskild åtgärd som å ena sidan består i att begränsa avdragsrätten för mervärdesskatt till 50 % vid utgifter för personbilar som inte uteslutande används i rörelsen, genom avvikelse från artiklarna 168 och 168a i direktiv 2006/112/EG, och, å den andra, att inte likställa användningen av en personbil för icke-yrkesmässigt bruk som ingår bland tillgångarna i en skattepliktig persons rörelse som tjänstetillhandahållande, om bilen har omfattats av en begränsning enligt artikel 1 i det genomförandebeslutet, genom avvikelse från artikel 26.1 a i det direktivet (den särskilda åtgärden).

| (2) | Genom en skrivelse som registrerades hos kommissionen den 25 februari 2021 ansökte Ungern om bemyndigande att fortsätta att tillämpa den särskilda åtgärden (ansökan om förlängning). |
| --- | --- |

(2)

Genom en skrivelse som registrerades hos kommissionen den 25 februari 2021 ansökte Ungern om bemyndigande att fortsätta att tillämpa den särskilda åtgärden (ansökan om förlängning).

| (3) | I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan om förlängning till övriga medlemsstater genom skrivelser av den 7 april 2021. Genom en skrivelse av den 8 april 2021 underrättade kommissionen Ungern om att den hade alla nödvändiga uppgifter för att bedöma ansökan om förlängning. |
| --- | --- |

(3)

I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan om förlängning till övriga medlemsstater genom skrivelser av den 7 april 2021. Genom en skrivelse av den 8 april 2021 underrättade kommissionen Ungern om att den hade alla nödvändiga uppgifter för att bedöma ansökan om förlängning.

| (4) | I enlighet med artikel 5 i genomförandebeslut (EU) 2018/1493 har Ungern, tillsammans med ansökan om förlängning, överlämnat en rapport med en översyn av den procentsats som fastställts för avdrag för mervärdesskatt. På grundval av nu tillgängliga uppgifter, närmare bestämt information från skatterevision och statistiska uppgifter rörande privat bruk av personbilar, bekräftar Ungern i ansökan om förlängning att begränsningen till 50 % fortfarande kan motiveras och är lämplig. Den särskilda åtgärden har dessutom, när det gäller förenkling av skatteuppbörden, varit verkningsfull för att minska företags och skattemyndigheters administrativa börda. Samtidigt förhindrar den skatteundandragande genom inkorrekt bokföring. Ungern bör därför bemyndigas att fortsatt tillämpa den särskilda åtgärden. |
| --- | --- |

(4)

I enlighet med artikel 5 i genomförandebeslut (EU) 2018/1493 har Ungern, tillsammans med ansökan om förlängning, överlämnat en rapport med en översyn av den procentsats som fastställts för avdrag för mervärdesskatt. På grundval av nu tillgängliga uppgifter, närmare bestämt information från skatterevision och statistiska uppgifter rörande privat bruk av personbilar, bekräftar Ungern i ansökan om förlängning att begränsningen till 50 % fortfarande kan motiveras och är lämplig. Den särskilda åtgärden har dessutom, när det gäller förenkling av skatteuppbörden, varit verkningsfull för att minska företags och skattemyndigheters administrativa börda. Samtidigt förhindrar den skatteundandragande genom inkorrekt bokföring. Ungern bör därför bemyndigas att fortsatt tillämpa den särskilda åtgärden.

| (5) | Förlängningen av den särskilda åtgärden bör vara tidsbegränsad för att göra det möjligt att utvärdera hur verkningsfull den är och procentsatsens lämplighet. Ungern bör således bemyndigas att fortsatt tillämpa den särskilda åtgärden under en begränsad period, till och med den 31 december 2024. |
| --- | --- |

(5)

Förlängningen av den särskilda åtgärden bör vara tidsbegränsad för att göra det möjligt att utvärdera hur verkningsfull den är och procentsatsens lämplighet. Ungern bör således bemyndigas att fortsatt tillämpa den särskilda åtgärden under en begränsad period, till och med den 31 december 2024.

| (6) | Skulle Ungern anse att en förlängning av bemyndigandet efter 2024 är nödvändig bör Ungern senast den 31 mars 2024, tillsammans med ansökan om förlängning, till kommissionen överlämna en rapport som innehåller en översyn av den tillämpade procentuella begränsningen. |
| --- | --- |

(6)

Skulle Ungern anse att en förlängning av bemyndigandet efter 2024 är nödvändig bör Ungern senast den 31 mars 2024, tillsammans med ansökan om förlängning, till kommissionen överlämna en rapport som innehåller en översyn av den tillämpade procentuella begränsningen.

| (7) | Den särskilda åtgärden kommer endast i ringa utsträckning att påverka medlemsstaternas samlade mervärdesskatteintäkter i det sista konsumtionsledet och kommer inte att ha någon negativ effekt på de delar av unionens egna medel som härrör från mervärdesskatt. |
| --- | --- |

(7)

Den särskilda åtgärden kommer endast i ringa utsträckning att påverka medlemsstaternas samlade mervärdesskatteintäkter i det sista konsumtionsledet och kommer inte att ha någon negativ effekt på de delar av unionens egna medel som härrör från mervärdesskatt.

| (8) | Genomförandebeslut (EU) 2018/1493 bör därför ändras i enlighet med detta. |
| --- | --- |

(8)

Genomförandebeslut (EU) 2018/1493 bör därför ändras i enlighet med detta.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Artikel 5 i genomförandebeslut (EU) 2018/1493 ska ersättas med följande:

”Artikel 5

Detta beslut ska tillämpas från och med den 1 januari 2019 till och med den 31 december 2024.

En eventuell ansökan om förlängning av det bemyndigande som ges i detta beslut ska överlämnas till kommissionen senast den 31 mars 2024 och ska åtföljas av en rapport som innehåller en översyn av den procentsats som anges i artikel 1.”

Artikel 2

Detta beslut får verkan samma dag som det delges.

Artikel 3

Detta beslut riktar sig till Ungern.

Utfärdat i Luxemburg den 5 oktober 2021.

På rådets vägnar

A. ŠIRCELJ

Ordförande

---

(1)  
  EUT L 347, 11.12.2006, s. 1.

1

(2)  Rådets genomförandebeslut (EU) 2018/1493 av den 2 oktober 2018 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artiklarna 26.1 a, 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 252, 8.10.2018, s. 44).

2

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/110 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/110

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1775

av den 5 oktober 2021

om ändring av genomförandebeslut (EU) 2018/789 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av rådets direktiv 2006/112/EG av den 28 november 2006 om ett gemensamt system för mervärdesskatt (1), särskilt artikel 395.1 första stycket,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | Enligt artikel 193 i direktiv 2006/112/EG ska mervärdesskatt till skattemyndigheterna som regel betalas av den beskattningsbara person som utför en beskattningsbar leverans av varor eller ett beskattningsbart tillhandahållande av tjänster. |
| --- | --- |

(1)

Enligt artikel 193 i direktiv 2006/112/EG ska mervärdesskatt till skattemyndigheterna som regel betalas av den beskattningsbara person som utför en beskattningsbar leverans av varor eller ett beskattningsbart tillhandahållande av tjänster.

| (2) | Genom rådet genomförandebeslut (EU) 2018/789 (2) bemyndigades Ungern att införa en åtgärd som avviker från artikel 193 i direktiv 2006/112/EG beträffande den person som är betalningsskyldig för mervärdesskatt vid vissa leveranser och tillhandahållanden som utförs av en beskattningsbar person som är föremål för likvidation eller något annat förfarande för att rättsligt fastställa personens insolvens (den särskilda åtgärden). |
| --- | --- |

(2)

Genom rådet genomförandebeslut (EU) 2018/789 (2) bemyndigades Ungern att införa en åtgärd som avviker från artikel 193 i direktiv 2006/112/EG beträffande den person som är betalningsskyldig för mervärdesskatt vid vissa leveranser och tillhandahållanden som utförs av en beskattningsbar person som är föremål för likvidation eller något annat förfarande för att rättsligt fastställa personens insolvens (den särskilda åtgärden).

| (3) | Genom en skrivelse som registrerades hos kommissionen den 18 februari 2021 lämnade Ungern in en ansökan till kommissionen om en förlängning av bemyndigandet att tillämpa den särskilda åtgärden till och med den 31 december 2026 (ansökan). Ungern lämnade in en rapport, inklusive en översyn av den särskilda åtgärden, tillsammans med ansökan. |
| --- | --- |

(3)

Genom en skrivelse som registrerades hos kommissionen den 18 februari 2021 lämnade Ungern in en ansökan till kommissionen om en förlängning av bemyndigandet att tillämpa den särskilda åtgärden till och med den 31 december 2026 (ansökan). Ungern lämnade in en rapport, inklusive en översyn av den särskilda åtgärden, tillsammans med ansökan.

| (4) | I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG översände kommissionen, genom skrivelser av den 7 april 2021, Ungerns ansökan till övriga medlemsstater. Genom en skrivelse av den 8 april 2021 underrättade kommissionen Ungern om att den hade alla nödvändiga uppgifter för att bedöma ansökan. |
| --- | --- |

(4)

I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG översände kommissionen, genom skrivelser av den 7 april 2021, Ungerns ansökan till övriga medlemsstater. Genom en skrivelse av den 8 april 2021 underrättade kommissionen Ungern om att den hade alla nödvändiga uppgifter för att bedöma ansökan.

| (5) | Ungern gör gällande att beskattningsbara personer som är i likvidation eller är föremål för ett insolvensförfarande ofta inte betalar mervärdesskatten till skattemyndigheterna. Samtidigt kan köparen, som är en beskattningsbar person med avdragsrätt, fortfarande dra av mervärdesskatten, vilket således inverkar negativt på budgeten och finansierar likvidationen. Ungern har också registrerat fall av bedrägeri där företagen i likvidation utfärdar fiktiva fakturor till verksamma företag och på så sätt betydligt minskar den skatt de ska betala, utan att det finns garantier för att det utfärdande företaget kommer att betala mervärdesskatten. |
| --- | --- |

(5)

Ungern gör gällande att beskattningsbara personer som är i likvidation eller är föremål för ett insolvensförfarande ofta inte betalar mervärdesskatten till skattemyndigheterna. Samtidigt kan köparen, som är en beskattningsbar person med avdragsrätt, fortfarande dra av mervärdesskatten, vilket således inverkar negativt på budgeten och finansierar likvidationen. Ungern har också registrerat fall av bedrägeri där företagen i likvidation utfärdar fiktiva fakturor till verksamma företag och på så sätt betydligt minskar den skatt de ska betala, utan att det finns garantier för att det utfärdande företaget kommer att betala mervärdesskatten.

| (6) | I enlighet med artikel 199.1 g i direktiv 2006/112/EG får medlemsstaterna föreskriva att den person som är betalningsskyldig för mervärdeskatt är den beskattningsbara person åt vilken leverans av fast egendom som sålts av en gäldenär i ett tvångsförsäljningsförfarande görs (förfarandet för omvänd betalningsskyldighet). Den särskilda åtgärden gör det möjligt för Ungern att utvidga tillämpningen av förfarandet för omvänd betalningsskyldighet till andra leveranser som görs av beskattningsbara personer som är föremål för ett insolvensförfarande, nämligen leverans av investeringsvaror och leverans av andra varor och tjänster med ett marknadsvärde som överstiger 100 000 HUF. |
| --- | --- |

(6)

I enlighet med artikel 199.1 g i direktiv 2006/112/EG får medlemsstaterna föreskriva att den person som är betalningsskyldig för mervärdeskatt är den beskattningsbara person åt vilken leverans av fast egendom som sålts av en gäldenär i ett tvångsförsäljningsförfarande görs (förfarandet för omvänd betalningsskyldighet). Den särskilda åtgärden gör det möjligt för Ungern att utvidga tillämpningen av förfarandet för omvänd betalningsskyldighet till andra leveranser som görs av beskattningsbara personer som är föremål för ett insolvensförfarande, nämligen leverans av investeringsvaror och leverans av andra varor och tjänster med ett marknadsvärde som överstiger 100 000 HUF.

| (7) | På grundval av uppgifter från Ungern har tillämpningen av förfarandet för omvänd betalningsskyldighet på dessa typer av transaktioner varit verkningsfull för att förenkla skatteuppbörden och förhindra skatteundandragande. Genomförandet av den särskilda åtgärden har begränsat förlusterna av offentliga inkomster och genererat ytterligare budgetinkomster. Dessutom skulle de ekonomiska konsekvenserna av covid-19-pandemin kunna leda till en kraftig ökning av antalet likvidationer inom den närmaste framtiden, vilket understryker behovet av att förlänga den särskilda åtgärden. |
| --- | --- |

(7)

På grundval av uppgifter från Ungern har tillämpningen av förfarandet för omvänd betalningsskyldighet på dessa typer av transaktioner varit verkningsfull för att förenkla skatteuppbörden och förhindra skatteundandragande. Genomförandet av den särskilda åtgärden har begränsat förlusterna av offentliga inkomster och genererat ytterligare budgetinkomster. Dessutom skulle de ekonomiska konsekvenserna av covid-19-pandemin kunna leda till en kraftig ökning av antalet likvidationer inom den närmaste framtiden, vilket understryker behovet av att förlänga den särskilda åtgärden.

| (8) | Den begärda avvikelsen bör vara tidsbegränsad, med samtidigt ge skatteförvaltningen tid att införa andra konventionella åtgärder för att hantera problemet och minska förlusterna för den offentliga budgeten, särskilt förluster i samband med bedrägliga förfaranden, innan den särskilda åtgärden löper ut, vilket gör en ytterligare förlängning av den särskilda åtgärden överflödig. Avvikelser som innebär att förfarandet för omvänd betalningsskyldighet tillämpas beviljas bara i undantagsfall för specifika bedrägeriutsatta sektorer och utgör en sista utväg. Bemyndigandet bör därför bara förlängas till och med den 31 december 2024. |
| --- | --- |

(8)

Den begärda avvikelsen bör vara tidsbegränsad, med samtidigt ge skatteförvaltningen tid att införa andra konventionella åtgärder för att hantera problemet och minska förlusterna för den offentliga budgeten, särskilt förluster i samband med bedrägliga förfaranden, innan den särskilda åtgärden löper ut, vilket gör en ytterligare förlängning av den särskilda åtgärden överflödig. Avvikelser som innebär att förfarandet för omvänd betalningsskyldighet tillämpas beviljas bara i undantagsfall för specifika bedrägeriutsatta sektorer och utgör en sista utväg. Bemyndigandet bör därför bara förlängas till och med den 31 december 2024.

| (9) | Den särskilda åtgärden kommer inte att ha någon negativ inverkan på de av unionens egna medel som härrör från mervärdesskatt. |
| --- | --- |

(9)

Den särskilda åtgärden kommer inte att ha någon negativ inverkan på de av unionens egna medel som härrör från mervärdesskatt.

| (10) | Genomförandebeslut (EU) 2018/789 bör därför ändras i enlighet med detta. |
| --- | --- |

(10)

Genomförandebeslut (EU) 2018/789 bör därför ändras i enlighet med detta.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

I artikel 2 i genomförandebeslut (EU) 2018/789 ska andra stycket ersättas med följande:

”Detta beslut upphör att gälla den 31 december 2024.”

Artikel 2

Detta beslut får verkan samma dag som det delges.

Artikel 3

Detta beslut riktar sig till Ungern.

Utfärdat i Luxemburg den 5 oktober 2021.

På rådets vägnar

A. ŠIRCELJ

Ordförande

---

(1)  
  EUT L 347, 11.12.2006, s. 1.

1

(2)  Rådets genomförandebeslut (EU) 2018/789 av den 25 maj 2018 om bemyndigande för Ungern att införa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 134, 31.5.2018, s. 10).

2

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/112 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/112

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1776

av den 5 oktober 2021

om ändring av beslut 2009/791/EG om bemyndigande för Förbundsrepubliken Tyskland att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av rådets direktiv 2006/112/EG av den 28 november 2006 om ett gemensamt system för mervärdesskatt (1), särskilt artikel 395.1 första stycket,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | Artiklarna 168 och 168a i direktiv 2006/112/EG reglerar beskattningsbara personers rätt att dra av mervärdesskatt som tas ut på varor som levererats till dem eller tjänster som tillhandahållits dem för användning i deras beskattade transaktioner. Förbundsrepubliken Tyskland (Tyskland) bemyndigades att införa en avvikelseåtgärd som syftade till att från rätten till avdrag undanta mervärdesskatt som tas ut på varor och tjänster, när dessa varor och tjänster till mer än 90 % används för den beskattningsbara personens privata bruk eller för den beskattningsbara personens anställdas privata bruk eller i allmänhet för icke-yrkesmässiga ändamål eller icke-ekonomisk verksamhet. |
| --- | --- |

(1)

Artiklarna 168 och 168a i direktiv 2006/112/EG reglerar beskattningsbara personers rätt att dra av mervärdesskatt som tas ut på varor som levererats till dem eller tjänster som tillhandahållits dem för användning i deras beskattade transaktioner. Förbundsrepubliken Tyskland (Tyskland) bemyndigades att införa en avvikelseåtgärd som syftade till att från rätten till avdrag undanta mervärdesskatt som tas ut på varor och tjänster, när dessa varor och tjänster till mer än 90 % används för den beskattningsbara personens privata bruk eller för den beskattningsbara personens anställdas privata bruk eller i allmänhet för icke-yrkesmässiga ändamål eller icke-ekonomisk verksamhet.

| (2) | Genom rådets beslut 2000/186/EG (2) bemyndigades Tyskland ursprungligen att införa och tillämpa åtgärder som avviker från artiklarna 6 och 17 i rådets direktiv 77/388/EEG (3) till och med den 31 december 2002. Genom rådets beslut 2003/354/EG (4) bemyndigades Tyskland att tillämpa en åtgärd som avviker från 17 i direktiv 77/388/EEG till och med den 30 juni 2004. Bemyndigandet förlängdes genom rådets beslut 2004/817/EG (5) till och med den 31 december 2009. |
| --- | --- |

(2)

Genom rådets beslut 2000/186/EG (2) bemyndigades Tyskland ursprungligen att införa och tillämpa åtgärder som avviker från artiklarna 6 och 17 i rådets direktiv 77/388/EEG (3) till och med den 31 december 2002. Genom rådets beslut 2003/354/EG (4) bemyndigades Tyskland att tillämpa en åtgärd som avviker från 17 i direktiv 77/388/EEG till och med den 30 juni 2004. Bemyndigandet förlängdes genom rådets beslut 2004/817/EG (5) till och med den 31 december 2009.

| (3) | Genom rådets beslut 2009/791/EG (6) bemyndigades Tyskland att fortsätta att tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG. Efter successiva förlängningar löper det bemyndigandet ut den 31 december 2021. |
| --- | --- |

(3)

Genom rådets beslut 2009/791/EG (6) bemyndigades Tyskland att fortsätta att tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG. Efter successiva förlängningar löper det bemyndigandet ut den 31 december 2021.

| (4) | Genom rådets direktiv 2009/162/EU (7) infördes artikel 168a i direktiv 2006/112/EG för att begränsa avdraget i proportion till användningen i rörelsens verksamhet och därmed mer effektivt tillämpa den princip enligt vilken avdragsrätten endast uppkommer i den mån de berörda varorna och tjänsterna används av en beskattningsbar person i samband med dennes yrkesverksamhet. Artikel 1 i beslut 2009/791/EG har ändrats i syfte att inkludera en hänvisning till artikel 168a i direktiv 2006/112/EG. Även titeln på beslut 2009/791/EG behöver därför innehålla en hänvisning till artikel 168a i direktiv 2006/112/EG. |
| --- | --- |

(4)

Genom rådets direktiv 2009/162/EU (7) infördes artikel 168a i direktiv 2006/112/EG för att begränsa avdraget i proportion till användningen i rörelsens verksamhet och därmed mer effektivt tillämpa den princip enligt vilken avdragsrätten endast uppkommer i den mån de berörda varorna och tjänsterna används av en beskattningsbar person i samband med dennes yrkesverksamhet. Artikel 1 i beslut 2009/791/EG har ändrats i syfte att inkludera en hänvisning till artikel 168a i direktiv 2006/112/EG. Även titeln på beslut 2009/791/EG behöver därför innehålla en hänvisning till artikel 168a i direktiv 2006/112/EG.

| (5) | Genom en skrivelse som registrerades hos kommissionen den 19 februari 2021 ansökte Tyskland hos kommissionen om att bemyndigandet att fortsätta att tillämpa en åtgärd som avviker från artiklarna 168 och 168a i direktiv 2006/112/EG för att från avdragsrätten helt undanta mervärdesskatt som tas ut på varor och tjänster som till mer än 90 % används av en beskattningsbar person för privat bruk eller icke-yrkesmässiga ändamål, inbegripet icke-ekonomisk verksamhet (den särskilda åtgärden) skulle förlängas (ansökan). Ansökan åtföljdes av en rapport om tillämpningen av den särskilda åtgärden, som innehåller en översyn av den procentuella fördelning som tillämpas på rätten att dra av mervärdesskatt i enlighet med artikel 2 i beslut 2009/791/EG. |
| --- | --- |

(5)

Genom en skrivelse som registrerades hos kommissionen den 19 februari 2021 ansökte Tyskland hos kommissionen om att bemyndigandet att fortsätta att tillämpa en åtgärd som avviker från artiklarna 168 och 168a i direktiv 2006/112/EG för att från avdragsrätten helt undanta mervärdesskatt som tas ut på varor och tjänster som till mer än 90 % används av en beskattningsbar person för privat bruk eller icke-yrkesmässiga ändamål, inbegripet icke-ekonomisk verksamhet (den särskilda åtgärden) skulle förlängas (ansökan). Ansökan åtföljdes av en rapport om tillämpningen av den särskilda åtgärden, som innehåller en översyn av den procentuella fördelning som tillämpas på rätten att dra av mervärdesskatt i enlighet med artikel 2 i beslut 2009/791/EG.

| (6) | I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan till övriga medlemsstater genom skrivelser av den 17 mars 2021. Genom en skrivelse av den 18 mars 2021 underrättade kommissionen Tyskland om att den hade alla nödvändiga uppgifter för att kunna behandla ansökan. |
| --- | --- |

(6)

I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan till övriga medlemsstater genom skrivelser av den 17 mars 2021. Genom en skrivelse av den 18 mars 2021 underrättade kommissionen Tyskland om att den hade alla nödvändiga uppgifter för att kunna behandla ansökan.

| (7) | Tyskland hävdar att den särskilda åtgärden har visat sig vara mycket verkningsfull för att förenkla uppbörden av mervärdesskatt och för att förhindra skatteundandragande och skatteflykt. Åtgärden minskar den administrativa bördan för företagen och skatteförvaltningarna, eftersom det inte behövs någon övervakning av den senare användningen av de varor och tjänster som undantagits från avdrag vid förvärvet. Tyskland bör således bemyndigas att fortsätta att tillämpa den särskilda åtgärden under en ytterligare begränsad period, till och med den 31 december 2024. |
| --- | --- |

(7)

Tyskland hävdar att den särskilda åtgärden har visat sig vara mycket verkningsfull för att förenkla uppbörden av mervärdesskatt och för att förhindra skatteundandragande och skatteflykt. Åtgärden minskar den administrativa bördan för företagen och skatteförvaltningarna, eftersom det inte behövs någon övervakning av den senare användningen av de varor och tjänster som undantagits från avdrag vid förvärvet. Tyskland bör således bemyndigas att fortsätta att tillämpa den särskilda åtgärden under en ytterligare begränsad period, till och med den 31 december 2024.

| (8) | Om Tyskland anser att en förlängning efter 2024 är nödvändig, bör landet lämna in en ansökan till kommissionen senast den 31 mars 2024 tillsammans med en rapport om tillämpningen av den särskilda åtgärden, som bör inkludera en översyn av den procentuella fördelning som tillämpats. |
| --- | --- |

(8)

Om Tyskland anser att en förlängning efter 2024 är nödvändig, bör landet lämna in en ansökan till kommissionen senast den 31 mars 2024 tillsammans med en rapport om tillämpningen av den särskilda åtgärden, som bör inkludera en översyn av den procentuella fördelning som tillämpats.

| (9) | Den särskilda åtgärden kommer inte att negativt påverka de av unionens egna medel som härrör från mervärdesskatt. |
| --- | --- |

(9)

Den särskilda åtgärden kommer inte att negativt påverka de av unionens egna medel som härrör från mervärdesskatt.

| (10) | Beslut 2009/791/EG bör därför ändras i enlighet med detta. |
| --- | --- |

(10)

Beslut 2009/791/EG bör därför ändras i enlighet med detta.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Beslut 2009/791/EG ska ändras på följande sätt:

| 1. | Titeln ska ersättas med följande:

  ”Rådets beslut 2009/791/EG av den 20 oktober 2009 om bemyndigande för Förbundsrepubliken Tyskland att fortsatt tillämpa en åtgärd som avviker från artiklarna 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt”. |
| --- | --- |

1.

Titeln ska ersättas med följande:

”Rådets beslut 2009/791/EG av den 20 oktober 2009 om bemyndigande för Förbundsrepubliken Tyskland att fortsatt tillämpa en åtgärd som avviker från artiklarna 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt”.

| 2. | Artikel 2 ska ersättas med följande:

  ”Artikel 2
  Detta beslut upphör att gälla den 31 december 2024.
  En eventuell ansökan om förlängning av den avvikelseåtgärd som föreskrivs i detta beslut ska inges till kommissionen senast den 31 mars 2024.
  En sådan ansökan om förlängning ska åtföljas av en rapport om tillämpningen av denna åtgärd, inbegripet en översyn av den procentuella fördelning som tillämpas på rätten att dra av mervärdesskatt på grundval av detta beslut.” |
| --- | --- |

2.

Artikel 2 ska ersättas med följande:

”Artikel 2

Detta beslut upphör att gälla den 31 december 2024.

En eventuell ansökan om förlängning av den avvikelseåtgärd som föreskrivs i detta beslut ska inges till kommissionen senast den 31 mars 2024.

En sådan ansökan om förlängning ska åtföljas av en rapport om tillämpningen av denna åtgärd, inbegripet en översyn av den procentuella fördelning som tillämpas på rätten att dra av mervärdesskatt på grundval av detta beslut.”

Artikel 2

Detta beslut får verkan samma dag som det delges.

Artikel 3

Detta beslut riktar sig till Förbundsrepubliken Tyskland.

Utfärdat i Luxemburg den 5 oktober 2021.

På rådets vägnar

A. ŠIRCELJ

Ordförande

---

(1)  
  EUT L 347, 11.12.2006, s. 1.

1

(2)  Rådets beslut 2000/186/EG av den 28 februari 2000 om tillstånd för Förbundsrepubliken Tyskland att tillämpa åtgärder som avviker från artiklarna 6 och 17 i sjätte direktivet 77/388/EEG om harmonisering av medlemsstaternas lagstiftning rörande omsättningsskatter – Gemensamt system för mervärdesskatt: enhetlig beräkningsgrund (EGT L 59, 4.3.2000, s. 12).

2

(3)  Rådets sjätte direktiv 77/388/EEG av den 17 maj 1977 om harmonisering av medlemsstaternas lagstiftning rörande omsättningsskatter - Gemensamt system för mervärdesskatt: enhetlig beräkningsgrund (EGT L 145, 13.6.1977, s. 1).

3

(4)  Rådets beslut 2003/354/EG av den 13 maj 2003 om tillåtelse för Tyskland att tillämpa en åtgärd som avviker från artikel 17 i det sjätte direktivet 77/388/EEG om harmonisering av medlemsstaternas lagstiftning rörande omsättningsskatter (EUT L 123, 17.5.2003, s. 47).

4

(5)  Rådets beslut 2004/817/EG av den 19 november 2004 om att bemyndiga Förbundsrepubliken Tyskland att tillämpa en åtgärd som avviker från artikel 17 i rådets sjätte direktiv 77/388/EEG om harmonisering av medlemsstaternas lagstiftning rörande omsättningsskatter (EUT L 357, 2.12.2004, s. 33).

5

(6)  Rådets beslut 2009/791/EG av den 20 oktober 2009 om bemyndigande för Förbundsrepubliken Tyskland att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 283, 30.10.2009, s. 55).

6

(7)  Rådets direktiv 2009/162/EU av den 22 december 2009 om ändring av olika bestämmelser i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 10, 15.1.2010, s. 14).

7

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/115 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/115

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1777

av den 5 oktober 2021

om tillstånd för Italien att tillämpa nedsatta skattesatser för dieselbrännolja för uppvärmning och för elektricitet som levereras i kommunen Campione d’Italia

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av rådets direktiv 2003/96/EG av den 27 oktober 2003 om en omstrukturering av gemenskapsramen för beskattning av energiprodukter och elektricitet (1), särskilt artikel 19,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | Genom en skrivelse av den 7 augusti 2020 begärde Italien tillstånd att, för perioden 1 januari 2021–31 december 2026, tillämpa nedsatta skattesatser för dieselbrännolja för uppvärmning och för elektricitet som levereras till kommunen Campione d’Italia enligt artikel 19 i direktiv 2003/96/EG. Italien lämnade ytterligare information och förtydliganden till stöd för begäran den 19 januari 2021. |
| --- | --- |

(1)

Genom en skrivelse av den 7 augusti 2020 begärde Italien tillstånd att, för perioden 1 januari 2021–31 december 2026, tillämpa nedsatta skattesatser för dieselbrännolja för uppvärmning och för elektricitet som levereras till kommunen Campione d’Italia enligt artikel 19 i direktiv 2003/96/EG. Italien lämnade ytterligare information och förtydliganden till stöd för begäran den 19 januari 2021.

| (2) | Kommunen Campione d’Italia är en italiensk exklav i Schweiz med ett mycket begränsat geografiskt område och en liten befolkning. Området är bergigt, vilket begränsar urbaniseringsmöjligheterna, industriverksamheten och den allmänna tillgängligheten. Med tanke på kommunens geografiska läge, det faktum att det inte är möjligt att få tillgång till naturgasnätet och de svåra klimatförhållandena är kostnaderna för att leverera energiprodukter till Campione d’Italia höga, oavsett om de levereras från Schweiz eller Italien. Dessutom ledde det faktum att Campione d’Italia införlivades med unionens tullområde den 1 januari 2020 till en ökning av hushållens och företagens energikostnader. Dessutom genomgår Campione d’Italia en allvarlig ekonomisk kris som förvärrats av covid-19-pandemin. |
| --- | --- |

(2)

Kommunen Campione d’Italia är en italiensk exklav i Schweiz med ett mycket begränsat geografiskt område och en liten befolkning. Området är bergigt, vilket begränsar urbaniseringsmöjligheterna, industriverksamheten och den allmänna tillgängligheten. Med tanke på kommunens geografiska läge, det faktum att det inte är möjligt att få tillgång till naturgasnätet och de svåra klimatförhållandena är kostnaderna för att leverera energiprodukter till Campione d’Italia höga, oavsett om de levereras från Schweiz eller Italien. Dessutom ledde det faktum att Campione d’Italia införlivades med unionens tullområde den 1 januari 2020 till en ökning av hushållens och företagens energikostnader. Dessutom genomgår Campione d’Italia en allvarlig ekonomisk kris som förvärrats av covid-19-pandemin.

| (3) | I syfte att sänka de höga energikostnaderna i Campione d’Italia bör beskattningen av vissa energiprodukter minskas. |
| --- | --- |

(3)

I syfte att sänka de höga energikostnaderna i Campione d’Italia bör beskattningen av vissa energiprodukter minskas.

| (4) | Kommissionen har granskat den begärda åtgärden och kommit fram till att den inte snedvrider konkurrensen eller stör den inre marknadens funktion och att den inte kan anses oförenlig med unionens miljö-, energi- och transportpolitik. Den minskade beskattningen av både dieselbrännolja och elektricitet skulle ligga på samma nivå som eller vara högre än minimiskattenivåerna i direktiv 2003/96/EG och skulle delvis kompensera de ökade energikostnaderna i kommunen Campione d’Italia. Skattenedsättningen kan inte kumuleras med någon annan typ av skattenedsättning. |
| --- | --- |

(4)

Kommissionen har granskat den begärda åtgärden och kommit fram till att den inte snedvrider konkurrensen eller stör den inre marknadens funktion och att den inte kan anses oförenlig med unionens miljö-, energi- och transportpolitik. Den minskade beskattningen av både dieselbrännolja och elektricitet skulle ligga på samma nivå som eller vara högre än minimiskattenivåerna i direktiv 2003/96/EG och skulle delvis kompensera de ökade energikostnaderna i kommunen Campione d’Italia. Skattenedsättningen kan inte kumuleras med någon annan typ av skattenedsättning.

| (5) | Italien bör därför ges tillstånd att tillämpa nedsatta skattesatser för dieselbrännolja för uppvärmning och för elektricitet som levereras i kommunen Campione d’Italia. |
| --- | --- |

(5)

Italien bör därför ges tillstånd att tillämpa nedsatta skattesatser för dieselbrännolja för uppvärmning och för elektricitet som levereras i kommunen Campione d’Italia.

| (6) | För att säkerställa att man uppnår de mål som eftersträvas genom undantaget, särskilt målen att undvika störande effekter av Campione d’Italias nuvarande ekonomiska, sociala och geografiska förhållanden samt att säkerställa lika villkor genom att sänka de höga energikostnaderna, är det lämpligt att detta beslut tillämpas från och med den 1 januari 2021. Genom att föreskriva tillämpning från och med ett datum innan undantaget träder i kraft respekteras marknadsaktörernas och enskilda personers berättigade förväntningar, eftersom undantaget inte inkräktar på deras rättigheter och skyldigheter. |
| --- | --- |

(6)

För att säkerställa att man uppnår de mål som eftersträvas genom undantaget, särskilt målen att undvika störande effekter av Campione d’Italias nuvarande ekonomiska, sociala och geografiska förhållanden samt att säkerställa lika villkor genom att sänka de höga energikostnaderna, är det lämpligt att detta beslut tillämpas från och med den 1 januari 2021. Genom att föreskriva tillämpning från och med ett datum innan undantaget träder i kraft respekteras marknadsaktörernas och enskilda personers berättigade förväntningar, eftersom undantaget inte inkräktar på deras rättigheter och skyldigheter.

| (7) | Varje tillstånd som beviljas i enlighet med artikel 19.2 i direktiv 2003/96/EG måste vara strikt tidsbegränsat. För att ge kommunen Campione d’Italia en tillräcklig grad av säkerhet bör tillståndet ges för en period på sex år. För att inte undergräva den framtida allmänna utvecklingen av den befintliga rättsliga ramen är det emellertid lämpligt att föreskriva att om rådet, i enlighet med artikel 113 i fördraget om Europeiska unionens funktionssätt, inför ett ändrat allmänt system för beskattning av energiprodukter som detta tillstånd inte är anpassat till, ska tillståndet upphöra att gälla den dag då reglerna för det ändrade allmänna systemet börjar tillämpas. |
| --- | --- |

(7)

Varje tillstånd som beviljas i enlighet med artikel 19.2 i direktiv 2003/96/EG måste vara strikt tidsbegränsat. För att ge kommunen Campione d’Italia en tillräcklig grad av säkerhet bör tillståndet ges för en period på sex år. För att inte undergräva den framtida allmänna utvecklingen av den befintliga rättsliga ramen är det emellertid lämpligt att föreskriva att om rådet, i enlighet med artikel 113 i fördraget om Europeiska unionens funktionssätt, inför ett ändrat allmänt system för beskattning av energiprodukter som detta tillstånd inte är anpassat till, ska tillståndet upphöra att gälla den dag då reglerna för det ändrade allmänna systemet börjar tillämpas.

| (8) | Detta beslut påverkar inte tillämpningen av unionsreglerna för statligt stöd. |
| --- | --- |

(8)

Detta beslut påverkar inte tillämpningen av unionsreglerna för statligt stöd.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Italien bemyndigas att tillämpa nedsatta skattesatser på dieselbrännolja för uppvärmning och för elektricitet som levereras i kommunen Campione d’Italia, på villkor att de minimiskattenivåer som avses i artiklarna 9 och 10 i direktiv 2003/96/EG iakttas.

Artikel 2

Detta beslut ska tillämpas från och med den 1 januari 2021 till och med den 31 december 2026.

Om rådet emellertid, på grundval av artikel 113 eller en annan relevant bestämmelse i fördraget om Europeiska unionens funktionssätt, inför ett ändrat allmänt system för beskattning av energiprodukter som det tillstånd som ges genom artikel 1 i detta beslut inte är anpassat till, ska detta beslut upphöra att gälla den dag då reglerna för det ändrade allmänna systemet börjar tillämpas.

Artikel 3

Detta beslut riktar sig till Republiken Italien.

Utfärdat i Luxemburg den 5 oktober 2021.

På rådets vägnar

A. ŠIRCELJ

Ordförande

---

(1)  
  EUT L 283, 31.10.2003, s. 51.

1

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/117 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/117

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1778

av den 5 oktober 2021

om bemyndigande för Förbundsrepubliken Tyskland att tillämpa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av rådets direktiv 2006/112/EG av den 28 november 2006 om ett gemensamt system för mervärdesskatt (1), särskilt artikel 395.1 första stycket,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | Enligt artikel 193 i direktiv 2006/112/EG är det som regel den beskattningsbara person som levererar varor eller tillhandahåller tjänster som ska betala mervärdesskatt till skattemyndigheterna. |
| --- | --- |

(1)

Enligt artikel 193 i direktiv 2006/112/EG är det som regel den beskattningsbara person som levererar varor eller tillhandahåller tjänster som ska betala mervärdesskatt till skattemyndigheterna.

| (2) | Genom en skrivelse som registrerades hos kommissionen den 15 mars 2021 lämnade Förbundsrepubliken Tyskland (Tyskland) in en ansökan till kommissionen om bemyndigande att tillämpa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG när det gäller personer som är skyldiga att betala mervärdesskatt vid överlåtelse av utsläppsrätter som handlas i ett nationellt handelssystem enligt lagen om handel med utsläppsrätter för bränslen (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) av den 12 december 2019 (ansökan). |
| --- | --- |

(2)

Genom en skrivelse som registrerades hos kommissionen den 15 mars 2021 lämnade Förbundsrepubliken Tyskland (Tyskland) in en ansökan till kommissionen om bemyndigande att tillämpa en särskild åtgärd som avviker från artikel 193 i direktiv 2006/112/EG när det gäller personer som är skyldiga att betala mervärdesskatt vid överlåtelse av utsläppsrätter som handlas i ett nationellt handelssystem enligt lagen om handel med utsläppsrätter för bränslen (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) av den 12 december 2019 (ansökan).

| (3) | Enligt artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen genom skrivelser av den 7 april 2021 ansökan till övriga medlemsstater, och underrättade genom en skrivelse av den 8 april 2021 Tyskland om att den hade alla nödvändiga uppgifter för att kunna behandla ansökan. |
| --- | --- |

(3)

Enligt artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen genom skrivelser av den 7 april 2021 ansökan till övriga medlemsstater, och underrättade genom en skrivelse av den 8 april 2021 Tyskland om att den hade alla nödvändiga uppgifter för att kunna behandla ansökan.

| (4) | Enligt artikel 199a.1 a och b i direktiv 2006/112/EG får medlemsstaterna utse beskattningsbara personer som tar emot överlåtelser av utsläppsrätter för utsläpp av växthusgaser, enligt definitionen i artikel 3 i Europaparlamentets och rådets direktiv 2003/87/EG (2), och överlåtelse av andra enheter som verksamhetsutövare kan använda för att följa det direktivet, som betalningsskyldiga för mervärdesskatt (förfarandet för omvänd betalningsskyldighet). Dessa bestämmelser infördes i direktiv 2006/112/EG genom rådets direktiv 2010/23/EU (3) för att bidra till bekämpningen av mervärdesskattebedrägeri. Tillämpningen av förfarandet för omvänd betalningsskyldighet för handel med utsläppsrätter för växthusgaser i enlighet med artikel 199a.1 a och b i direktiv 2006/112/EG är begränsad till utsläppsrätter som handlas inom ramen för EU:s utsläppshandelssystem. |
| --- | --- |

(4)

Enligt artikel 199a.1 a och b i direktiv 2006/112/EG får medlemsstaterna utse beskattningsbara personer som tar emot överlåtelser av utsläppsrätter för utsläpp av växthusgaser, enligt definitionen i artikel 3 i Europaparlamentets och rådets direktiv 2003/87/EG (2), och överlåtelse av andra enheter som verksamhetsutövare kan använda för att följa det direktivet, som betalningsskyldiga för mervärdesskatt (förfarandet för omvänd betalningsskyldighet). Dessa bestämmelser infördes i direktiv 2006/112/EG genom rådets direktiv 2010/23/EU (3) för att bidra till bekämpningen av mervärdesskattebedrägeri. Tillämpningen av förfarandet för omvänd betalningsskyldighet för handel med utsläppsrätter för växthusgaser i enlighet med artikel 199a.1 a och b i direktiv 2006/112/EG är begränsad till utsläppsrätter som handlas inom ramen för EU:s utsläppshandelssystem.

| (5) | Genom BEHG har Tyskland skapat en rättslig ram för ett nationellt system för handel med utsläppsrätter som omfattar utsläpp som inte omfattas av EU:s utsläppshandelssystem. Därför ger artiklarna 199a.1 a och b i direktiv 2006/112/EG ingen rättslig grund för att tillämpa förfarandet för omvänd betalningsskyldighet på handel med utsläppsrätter enligt BEHG. |
| --- | --- |

(5)

Genom BEHG har Tyskland skapat en rättslig ram för ett nationellt system för handel med utsläppsrätter som omfattar utsläpp som inte omfattas av EU:s utsläppshandelssystem. Därför ger artiklarna 199a.1 a och b i direktiv 2006/112/EG ingen rättslig grund för att tillämpa förfarandet för omvänd betalningsskyldighet på handel med utsläppsrätter enligt BEHG.

| (6) | Enligt Tyskland är handeln med utsläppsrätter mycket utsatt för mervärdesskattebedrägeri. Handel med utsläppsrätter för bränsleutsläpp enligt BEHG kan utnyttjas för bedrägliga ändamål på samma sätt som enligt EU:s utsläppshandelssystem. Utsläppsrätter kan bytas ut snabbt, upprepade gånger och på ett enkelt sätt. Det är därför mycket svårt för myndigheterna att upptäcka sådana ägarbytena och att säkerställa att ett korrekt skattebelopp tas ut. Förvärvaren av utsläppsrätterna, som är en beskattningsbar person med avdragsrätt, skulle kunna dra av den ingående mervärdesskatten, utan att leverantören har betalat den fakturerade omsättningsskatten till skattemyndigheterna. I synnerhet deltagande i leveranskedjan vid bedrägeri via skenföretag, som snabbt försvinner eller inte har några tillgångar, hindrar myndigheterna från att uppbära den undanhållna skatten, vilket har en negativ påverkan på budgeten. För att avhjälpa förlusten av offentliga inkomster har Tyskland ansökt om bemyndigande att avvika från artikel 193 i direktiv 2006/112/EG i syfte att införa förfarandet för omvänd betalningsskyldighet vid överlåtelse av utsläppsrätter. |
| --- | --- |

(6)

Enligt Tyskland är handeln med utsläppsrätter mycket utsatt för mervärdesskattebedrägeri. Handel med utsläppsrätter för bränsleutsläpp enligt BEHG kan utnyttjas för bedrägliga ändamål på samma sätt som enligt EU:s utsläppshandelssystem. Utsläppsrätter kan bytas ut snabbt, upprepade gånger och på ett enkelt sätt. Det är därför mycket svårt för myndigheterna att upptäcka sådana ägarbytena och att säkerställa att ett korrekt skattebelopp tas ut. Förvärvaren av utsläppsrätterna, som är en beskattningsbar person med avdragsrätt, skulle kunna dra av den ingående mervärdesskatten, utan att leverantören har betalat den fakturerade omsättningsskatten till skattemyndigheterna. I synnerhet deltagande i leveranskedjan vid bedrägeri via skenföretag, som snabbt försvinner eller inte har några tillgångar, hindrar myndigheterna från att uppbära den undanhållna skatten, vilket har en negativ påverkan på budgeten. För att avhjälpa förlusten av offentliga inkomster har Tyskland ansökt om bemyndigande att avvika från artikel 193 i direktiv 2006/112/EG i syfte att införa förfarandet för omvänd betalningsskyldighet vid överlåtelse av utsläppsrätter.

| (7) | Att fastställa mottagaren som den beskattningsbara person som ska betala mervärdesskatten i dessa fall skulle förenkla förfarandet för uppbörd av mervärdesskatt och förhindra skatteundandragande och skatteflykt. Tyskland bör därför bemyndigas att tillämpa förfarandet för omvänd betalningsskyldighet på överlåtelse av utsläppsrätter som handlas i ett nationellt handelssystem enligt BEHG (den särskilda åtgärden). |
| --- | --- |

(7)

Att fastställa mottagaren som den beskattningsbara person som ska betala mervärdesskatten i dessa fall skulle förenkla förfarandet för uppbörd av mervärdesskatt och förhindra skatteundandragande och skatteflykt. Tyskland bör därför bemyndigas att tillämpa förfarandet för omvänd betalningsskyldighet på överlåtelse av utsläppsrätter som handlas i ett nationellt handelssystem enligt BEHG (den särskilda åtgärden).

| (8) | Den särskilda åtgärden bör vara tidsbegränsad. Tyskland bör därför bemyndigas att tillämpa den särskilda åtgärden till och med den 31 december 2024. |
| --- | --- |

(8)

Den särskilda åtgärden bör vara tidsbegränsad. Tyskland bör därför bemyndigas att tillämpa den särskilda åtgärden till och med den 31 december 2024.

| (9) | Det är med tanke på den särskilda åtgärdens omfattning och att det är en ny företeelse viktigt att utvärdera dess konsekvenser. Om Tyskland skulle önska en förlängning av den särskilda åtgärden efter 2024 bör landet därför lägga fram en rapport för kommissionen innehållande en översyn av den särskilda åtgärden, tillsammans med ansökan om förlängning, senast den 31 mars 2024. Rapporten bör innehålla en bedömning av den särskilda åtgärdens påverkan på bekämpningen av mervärdesskattebedrägeri och antalet handlare och transaktioner som berörs av den särskilda åtgärden. |
| --- | --- |

(9)

Det är med tanke på den särskilda åtgärdens omfattning och att det är en ny företeelse viktigt att utvärdera dess konsekvenser. Om Tyskland skulle önska en förlängning av den särskilda åtgärden efter 2024 bör landet därför lägga fram en rapport för kommissionen innehållande en översyn av den särskilda åtgärden, tillsammans med ansökan om förlängning, senast den 31 mars 2024. Rapporten bör innehålla en bedömning av den särskilda åtgärdens påverkan på bekämpningen av mervärdesskattebedrägeri och antalet handlare och transaktioner som berörs av den särskilda åtgärden.

| (10) | Den särskilda åtgärden kommer inte att ha en negativ påverkan på unionens egna medel som härrör från mervärdesskatt. |
| --- | --- |

(10)

Den särskilda åtgärden kommer inte att ha en negativ påverkan på unionens egna medel som härrör från mervärdesskatt.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Genom avvikelse från artikel 193 i direktiv 2006/112/EG bemyndigas Förbundsrepubliken Tyskland att föreskriva att den person som är betalningsskyldig för mervärdesskatt är den beskattningsbara person till vilken överlåtelsen av utsläppsrätter som handlas i ett nationellt handelssystem enligt lagen om handel med utsläppsrätter för bränslen (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen) av den 12 december 2019 görs.

Artikel 2

Detta beslut upphör att gälla den 31 december 2024.

En ansökan om förlängning av den särskilda åtgärd som föreskrivs i detta beslut ska lämnas in till kommissionen senast den 31 mars 2024 och åtföljas av en rapport om tillämpningen av denna åtgärd som innehåller en bedömning av åtgärdens påverkan på bekämpningen av mervärdesskattebedrägeri och antalet handlare och transaktioner som berörs av åtgärden.

Artikel 3

Detta beslut får verkan samma dag som det delges.

Artikel 4

Detta beslut riktar sig till Förbundsrepubliken Tyskland.

Utfärdat i Luxemburg den 5 oktober 2021.

På rådets vägnar

A. ŠIRCELJ

Ordförande

---

(1)  
  EUT L 347, 11.12.2006, s. 1.

1

(2)  Europaparlamentets och rådets direktiv 2003/87/EG av den 13 oktober 2003 om ett system för handel med utsläppsrätter för växthusgaser inom unionen och om ändring av rådets direktiv 96/61/EG (EUT L 275, 25.10.2003, s. 32).

2

(3)  Rådets direktiv 2010/23/EU av den 16 mars 2010 om ändring av direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt beträffande frivillig och tillfällig tillämpning av förfarandet för omvänd betalningsskyldighet på leveranser av vissa tjänster som är känsliga för bedrägeri (EUT L 72, 20.3.2010, s. 1).

3

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/120 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/120

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1779

av den 5 oktober 2021

om ändring av genomförandebeslut 2009/1013/EU om bemyndigande för Republiken Österrike att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av rådets direktiv 2006/112/EG av den 28 november 2006 om ett gemensamt system för mervärdesskatt (1), särskilt artikel 395.1 första stycket,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | Genom rådets genomförandebeslut 2009/1013/EU (2) bemyndigades Republiken Österrike (Österrike) att tillämpa en särskild åtgärd som avviker från direktiv 2006/112/EG (den särskilda åtgärden). Efter successiva förlängningar löper bemyndigandet ut den 31 december 2021. |
| --- | --- |

(1)

Genom rådets genomförandebeslut 2009/1013/EU (2) bemyndigades Republiken Österrike (Österrike) att tillämpa en särskild åtgärd som avviker från direktiv 2006/112/EG (den särskilda åtgärden). Efter successiva förlängningar löper bemyndigandet ut den 31 december 2021.

| (2) | Genom rådets direktiv 2009/162/EU (3) infördes artikel 168a i rådets direktiv 2006/112/EG för att begränsa avdraget i proportion till användningen i rörelsens verksamhet och därmed mer effektivt tillämpa den princip enligt vilken avdragsrätten endast uppkommer i den mån de berörda varorna och tjänsterna används av en beskattningsbar person i samband med dennes yrkesverksamhet. Artikel 1 i genomförandebeslut 2009/1013/EU har ändrats i syfte att inkludera en hänvisning till artikel 168a i direktiv 2006/112/EG. Även titeln på genomförandebeslut 2009/1013/EU behöver därför innehålla en hänvisning till artikel 168a i direktiv 2006/112/EG. |
| --- | --- |

(2)

Genom rådets direktiv 2009/162/EU (3) infördes artikel 168a i rådets direktiv 2006/112/EG för att begränsa avdraget i proportion till användningen i rörelsens verksamhet och därmed mer effektivt tillämpa den princip enligt vilken avdragsrätten endast uppkommer i den mån de berörda varorna och tjänsterna används av en beskattningsbar person i samband med dennes yrkesverksamhet. Artikel 1 i genomförandebeslut 2009/1013/EU har ändrats i syfte att inkludera en hänvisning till artikel 168a i direktiv 2006/112/EG. Även titeln på genomförandebeslut 2009/1013/EU behöver därför innehålla en hänvisning till artikel 168a i direktiv 2006/112/EG.

| (3) | Den särskilda åtgärden avviker från artiklarna 168 och 168a i direktiv 2006/112/EG som reglerar beskattningsbara personers rätt att dra av mervärdesskatt som tas ut på varor som levererats till eller tjänster som tillhandahållits dem för användning i deras beskattade transaktioner. Den särskilda åtgärden syftar till att från rätten till avdrag undanta mervärdesskatt som tas ut på varor och tjänster, när dessa varor och tjänster till mer än 90 % används för den beskattningsbara personens privata bruk eller för personens personals bruk eller i allmänhet för icke-yrkesmässiga ändamål eller icke-ekonomisk verksamhet. |
| --- | --- |

(3)

Den särskilda åtgärden avviker från artiklarna 168 och 168a i direktiv 2006/112/EG som reglerar beskattningsbara personers rätt att dra av mervärdesskatt som tas ut på varor som levererats till eller tjänster som tillhandahållits dem för användning i deras beskattade transaktioner. Den särskilda åtgärden syftar till att från rätten till avdrag undanta mervärdesskatt som tas ut på varor och tjänster, när dessa varor och tjänster till mer än 90 % används för den beskattningsbara personens privata bruk eller för personens personals bruk eller i allmänhet för icke-yrkesmässiga ändamål eller icke-ekonomisk verksamhet.

| (4) | Syftet med den särskilda åtgärden är att förenkla förfarandet för uttag och uppbörd av mervärdesskatt. Åtgärden påverkar endast i ringa utsträckning de totala skatteinkomsterna i det sista konsumtionsledet. |
| --- | --- |

(4)

Syftet med den särskilda åtgärden är att förenkla förfarandet för uttag och uppbörd av mervärdesskatt. Åtgärden påverkar endast i ringa utsträckning de totala skatteinkomsterna i det sista konsumtionsledet.

| (5) | Genom en skrivelse som registrerades hos kommissionen den 19 mars 2021 ansökte Österrike om tillstånd att fortsatt tillämpa den särskilda åtgärden (ansökan). |
| --- | --- |

(5)

Genom en skrivelse som registrerades hos kommissionen den 19 mars 2021 ansökte Österrike om tillstånd att fortsatt tillämpa den särskilda åtgärden (ansökan).

| (6) | I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan till övriga medlemsstater genom skrivelser av den 7 april 2021. Genom en skrivelse av den 8 april 2021 underrättade kommissionen Österrike om att den hade alla nödvändiga uppgifter för att kunna behandla ansökan. |
| --- | --- |

(6)

I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan till övriga medlemsstater genom skrivelser av den 7 april 2021. Genom en skrivelse av den 8 april 2021 underrättade kommissionen Österrike om att den hade alla nödvändiga uppgifter för att kunna behandla ansökan.

| (7) | Österrike hävdar att den särskilda åtgärden har visat sig vara mycket verkningsfull för att förenkla uppbörden av mervärdesskatt och för att förhindra skatteundandragande och skatteflykt. Åtgärden minskar den administrativa bördan för företagen och skatteförvaltningarna, eftersom det inte behövs någon övervakning av den senare användningen av varor och tjänster som undantagits från avdrag vid förvärvet. Österrike bör således bemyndigas att fortsätta att tillämpa den särskilda åtgärden under en ytterligare begränsad period, till och med den 31 december 2024. |
| --- | --- |

(7)

Österrike hävdar att den särskilda åtgärden har visat sig vara mycket verkningsfull för att förenkla uppbörden av mervärdesskatt och för att förhindra skatteundandragande och skatteflykt. Åtgärden minskar den administrativa bördan för företagen och skatteförvaltningarna, eftersom det inte behövs någon övervakning av den senare användningen av varor och tjänster som undantagits från avdrag vid förvärvet. Österrike bör således bemyndigas att fortsätta att tillämpa den särskilda åtgärden under en ytterligare begränsad period, till och med den 31 december 2024.

| (8) | Om Österrike anser att en förlängning efter 2024 är nödvändig, bör landet lämna in en ansökan till kommissionen senast den 31 mars 2024 tillsammans med en rapport om tillämpningen av den särskilda åtgärden, inbegripet en översyn av den procentuella fördelning som tillämpats. |
| --- | --- |

(8)

Om Österrike anser att en förlängning efter 2024 är nödvändig, bör landet lämna in en ansökan till kommissionen senast den 31 mars 2024 tillsammans med en rapport om tillämpningen av den särskilda åtgärden, inbegripet en översyn av den procentuella fördelning som tillämpats.

| (9) | Den särskilda åtgärden kommer inte att negativt påverka de av unionens egna medel som härrör från mervärdesskatt. |
| --- | --- |

(9)

Den särskilda åtgärden kommer inte att negativt påverka de av unionens egna medel som härrör från mervärdesskatt.

| (10) | Genomförandebeslut 2009/1013/EU bör därför ändras i enlighet med detta. |
| --- | --- |

(10)

Genomförandebeslut 2009/1013/EU bör därför ändras i enlighet med detta.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Genomförandebeslut 2009/1013/EU ska ändras på följande sätt:

| 1. | Titeln ska ersättas med följande:

  ”Rådets genomförandebeslut 2009/1013/EU av den 22 december 2009 om bemyndigande för Republiken Österrike att fortsatt tillämpa en åtgärd som avviker från artiklarna 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt”. |
| --- | --- |

1.

Titeln ska ersättas med följande:

”Rådets genomförandebeslut 2009/1013/EU av den 22 december 2009 om bemyndigande för Republiken Österrike att fortsatt tillämpa en åtgärd som avviker från artiklarna 168 och 168a i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt”.

| 2. | Artiklarna 1 och 2 ska ersättas med följande:

  ”Artikel 1
  Genom avvikelse från artiklarna 168 och 168a i direktiv 2006/112/EG bemyndigas Republiken Österrike att från rätten att dra av mervärdesskatt helt undanta mervärdesskatt som tas ut på sådana varor och tjänster som till mer än 90 % används för den beskattningsbara personens privata bruk eller för hans eller hennes personals privata bruk eller, mer allmänt, för icke-yrkesmässiga ändamål eller icke-ekonomisk verksamhet.


  Artikel 2
  Detta beslut upphör att gälla den 31 december 2024.
  En eventuell ansökan om förlängning av den avvikande åtgärd som föreskrivs i detta beslut ska inges till kommissionen senast den 31 mars 2024.
  En sådan ansökan ska åtföljas av en rapport om tillämpningen av denna åtgärd som innehåller en översyn av den procentuella fördelning som tillämpas på rätten att dra av mervärdesskatt med stöd av detta beslut.” |
| --- | --- |

2.

Artiklarna 1 och 2 ska ersättas med följande:

”Artikel 1

Genom avvikelse från artiklarna 168 och 168a i direktiv 2006/112/EG bemyndigas Republiken Österrike att från rätten att dra av mervärdesskatt helt undanta mervärdesskatt som tas ut på sådana varor och tjänster som till mer än 90 % används för den beskattningsbara personens privata bruk eller för hans eller hennes personals privata bruk eller, mer allmänt, för icke-yrkesmässiga ändamål eller icke-ekonomisk verksamhet.

Artikel 2

Detta beslut upphör att gälla den 31 december 2024.

En eventuell ansökan om förlängning av den avvikande åtgärd som föreskrivs i detta beslut ska inges till kommissionen senast den 31 mars 2024.

En sådan ansökan ska åtföljas av en rapport om tillämpningen av denna åtgärd som innehåller en översyn av den procentuella fördelning som tillämpas på rätten att dra av mervärdesskatt med stöd av detta beslut.”

Artikel 2

Detta beslut får verkan samma dag som det delges.

Artikel 3

Detta beslut riktar sig till Republiken Österrike.

Utfärdat i Luxemburg den 5 oktober 2021.

På rådets vägnar

A. ŠIRCELJ

Ordförande

---

(1)  
  EUT L 347, 11.12.2006, s. 1.

1

(2)  Rådets genomförandebeslut 2009/1013/EU av den 22 december 2009 om bemyndigande för Republiken Österrike att fortsatt tillämpa en åtgärd som avviker från artikel 168 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 348, 29.12.2009, s. 21).

2

(3)  Rådets direktiv 2009/162/EU av den 22 december 2009 om ändring av olika bestämmelser i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 10, 15.1.2010, s. 14).

3

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/122 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/122

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1780

av den 5 oktober 2021

om ändring av beslut 2009/790/EG om bemyndigande för Republiken Polen att tillämpa en åtgärd som avviker från artikel 287 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av rådets direktiv 2006/112/EG av den 28 november 2006 om ett gemensamt system för mervärdesskatt (1), särskilt artikel 395.1 första stycket,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | Enligt artikel 287.14 i direktiv 2006/112/EG får Republiken Polen (Polen) tillämpa befrielse från mervärdesskatt för beskattningsbara personer vars årsomsättning är högst lika med motvärdet i nationell valuta av 10 000 EUR enligt den omräkningskurs som gällde på dagen för landets anslutning. |
| --- | --- |

(1)

Enligt artikel 287.14 i direktiv 2006/112/EG får Republiken Polen (Polen) tillämpa befrielse från mervärdesskatt för beskattningsbara personer vars årsomsättning är högst lika med motvärdet i nationell valuta av 10 000 EUR enligt den omräkningskurs som gällde på dagen för landets anslutning.

| (2) | Rådets beslut 2009/790/EG (2) bemyndigar Polen att införa en särskild åtgärd som avviker från artikel 287 i direktiv 2006/112/EG för att befria beskattningsbara personer vars årsomsättning inte överstiger motvärdet i nationell valuta av 40 000 EUR från mervärdesskatt (den avvikande åtgärden). |
| --- | --- |

(2)

Rådets beslut 2009/790/EG (2) bemyndigar Polen att införa en särskild åtgärd som avviker från artikel 287 i direktiv 2006/112/EG för att befria beskattningsbara personer vars årsomsättning inte överstiger motvärdet i nationell valuta av 40 000 EUR från mervärdesskatt (den avvikande åtgärden).

| (3) | Genom rådets genomförandebeslut (EU) 2018/1919 (3) bemyndigades Polen att fortsätta att tillämpa den avvikande åtgärden till och med den 31 december 2021 eller fram till dagen för ikraftträdandet av ett direktiv om ändring av bestämmelserna i artiklarna 281–294 i direktiv 2006/112/EG, beroende på vilken dag som infaller först. |
| --- | --- |

(3)

Genom rådets genomförandebeslut (EU) 2018/1919 (3) bemyndigades Polen att fortsätta att tillämpa den avvikande åtgärden till och med den 31 december 2021 eller fram till dagen för ikraftträdandet av ett direktiv om ändring av bestämmelserna i artiklarna 281–294 i direktiv 2006/112/EG, beroende på vilken dag som infaller först.

| (4) | Genom en skrivelse som registrerades hos kommissionen den 1 mars 2021 lämnade Polen in en ansökan till kommissionen om att få fortsätta att tillämpa den avvikande åtgärden till och med den 31 december 2024 (ansökan). |
| --- | --- |

(4)

Genom en skrivelse som registrerades hos kommissionen den 1 mars 2021 lämnade Polen in en ansökan till kommissionen om att få fortsätta att tillämpa den avvikande åtgärden till och med den 31 december 2024 (ansökan).

| (5) | I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan till övriga medlemsstater, utom Cypern, genom en skrivelse av den 25 mars 2021, och till Cypern genom en skrivelse av den 26 mars 2021. Genom en skrivelse av den 29 mars 2021 underrättade kommissionen Polen om att den hade erhållit alla uppgifter som var nödvändiga för att behandla ansökan. |
| --- | --- |

(5)

I enlighet med artikel 395.2 andra stycket i direktiv 2006/112/EG överlämnade kommissionen ansökan till övriga medlemsstater, utom Cypern, genom en skrivelse av den 25 mars 2021, och till Cypern genom en skrivelse av den 26 mars 2021. Genom en skrivelse av den 29 mars 2021 underrättade kommissionen Polen om att den hade erhållit alla uppgifter som var nödvändiga för att behandla ansökan.

| (6) | Den avvikande åtgärden ligger i linje med målen för kommissionens meddelande av den 25 juni 2008 med titeln Tänk småskaligt först – En ”Small Business Act” för Europa. |
| --- | --- |

(6)

Den avvikande åtgärden ligger i linje med målen för kommissionens meddelande av den 25 juni 2008 med titeln Tänk småskaligt först – En ”Small Business Act” för Europa.

| (7) | Enligt de upplysningar som Polen har lämnat framgår att den avvikande åtgärden kommer att få en ringa effekt på Polens totala skatteinkomster i det sista konsumtionsledet. Beskattningsbara personer kommer fortfarande att kunna välja de normala mervärdesskattereglerna. |
| --- | --- |

(7)

Enligt de upplysningar som Polen har lämnat framgår att den avvikande åtgärden kommer att få en ringa effekt på Polens totala skatteinkomster i det sista konsumtionsledet. Beskattningsbara personer kommer fortfarande att kunna välja de normala mervärdesskattereglerna.

| (8) | Till följd av ikraftträdandet av rådets förordning (EU, Euratom) 2021/769 (4) kommer Polen inte att genomföra någon kompensationsberäkning med avseende på översikten för de mervärdesskattebaserade egna medlen för budgetåret 2021. |
| --- | --- |

(8)

Till följd av ikraftträdandet av rådets förordning (EU, Euratom) 2021/769 (4) kommer Polen inte att genomföra någon kompensationsberäkning med avseende på översikten för de mervärdesskattebaserade egna medlen för budgetåret 2021.

| (9) | Med tanke på den avvikande åtgärdens potentiella positiva effekter när det gäller att förenkla mervärdesskatterelaterade skyldigheter genom att minska småföretagens administrativa börda och kostnader bör Polen bemyndigas att tillämpa den avvikande åtgärden under ytterligare en period. |
| --- | --- |

(9)

Med tanke på den avvikande åtgärdens potentiella positiva effekter när det gäller att förenkla mervärdesskatterelaterade skyldigheter genom att minska småföretagens administrativa börda och kostnader bör Polen bemyndigas att tillämpa den avvikande åtgärden under ytterligare en period.

| (10) | Genom rådets direktiv (EU) 2020/285 (5) ändrades artiklarna 281–294 i direktiv 2006/112/EG vad gäller den särskilda ordningen för små företag och nya regler fastställdes för små företag, inbegripet ett högsta tröskelvärde för årsomsättning i medlemsstaterna på 85 000 EUR eller motsvarande belopp i nationell valuta. |
| --- | --- |

(10)

Genom rådets direktiv (EU) 2020/285 (5) ändrades artiklarna 281–294 i direktiv 2006/112/EG vad gäller den särskilda ordningen för små företag och nya regler fastställdes för små företag, inbegripet ett högsta tröskelvärde för årsomsättning i medlemsstaterna på 85 000 EUR eller motsvarande belopp i nationell valuta.

| (11) | Bemyndigandet att tillämpa den avvikande åtgärden bör vara tidsbegränsat. Tidsfristen bör vara tillräcklig för att göra det möjligt att bedöma om tröskelvärdet är verkningsfullt och lämpligt. Dessutom kräver direktiv (EU) 2020/285 att medlemsstaterna senast den 31 december 2024 antar och offentliggör de lagar och andra författningar som är nödvändiga för att följa artikel 1 i det direktivet och tillämpar dessa bestämmelser från och med den 1 januari 2025. Polen bör därför bemyndigas att tillämpa den avvikande åtgärden till och med den 31 december 2024. |
| --- | --- |

(11)

Bemyndigandet att tillämpa den avvikande åtgärden bör vara tidsbegränsat. Tidsfristen bör vara tillräcklig för att göra det möjligt att bedöma om tröskelvärdet är verkningsfullt och lämpligt. Dessutom kräver direktiv (EU) 2020/285 att medlemsstaterna senast den 31 december 2024 antar och offentliggör de lagar och andra författningar som är nödvändiga för att följa artikel 1 i det direktivet och tillämpar dessa bestämmelser från och med den 1 januari 2025. Polen bör därför bemyndigas att tillämpa den avvikande åtgärden till och med den 31 december 2024.

| (12) | Beslut 2009/790/EG bör därför ändras i enlighet med detta. |
| --- | --- |

(12)

Beslut 2009/790/EG bör därför ändras i enlighet med detta.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Artikel 2 i beslut 2009/790/EG ska ersättas med följande:

”Artikel 2

Detta beslut ska tillämpas från och med den 1 januari 2010 till och med den 31 december 2024.”

Artikel 2

Detta beslut får verkan samma dag som det delges.

Artikel 3

Detta beslut riktar sig till Republiken Polen.

Utfärdat i Luxemburg den 5 oktober 2021.

På rådets vägnar

A. ŠIRCELJ

Ordförande

---

(1)  
  EUT L 347, 11.12.2006, s. 1.

1

(2)  Rådets beslut 2009/790/EG av den 20 oktober 2009 om bemyndigande för Republiken Polen att tillämpa en åtgärd som avviker från artikel 287 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 283, 30.10.2009, s. 53).

2

(3)  Rådets genomförandebeslut (EU) 2018/1919 av den 4 december 2018 om ändring av beslut 2009/790/EG om bemyndigande för Republiken Polen att tillämpa en åtgärd som avviker från artikel 287 i direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt (EUT L 311, 7.12.2018, s. 32).

3

(4)  Rådets förordning (EU, Euratom) 2021/769 av den 30 april 2021 om ändring av förordning (EEG, Euratom) nr 1553/89 om den slutliga enhetliga ordningen för uppbörd av egna medel som härrör från mervärdesskatt (EUT L 165, 11.5.2021, s. 9).

4

(5)  Rådets direktiv (EU) 2020/285 av den 18 februari 2020 om ändring av direktiv 2006/112/EG om ett gemensamt system för mervärdesskatt vad gäller den särskilda ordningen för små företag och förordning (EU) nr 904/2010 vad gäller det administrativa samarbetet och utbyte av information för kontrollen av att den särskilda ordningen för små företag tillämpas på ett korrekt sätt (EUT L 62, 2.3.2020, s. 13).

5

---

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/124 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/124

---

RÅDETS GENOMFÖRANDEBESLUT (EU) 2021/1781

av den 7 oktober 2021

om tillfälligt upphävande av vissa bestämmelser i Europaparlamentets och rådets förordning (EG) nr 810/2009 med avseende på Gambia

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EG) nr 810/2009 av den 13 juli 2009 om införande av en gemenskapskodex om viseringar (viseringskodex) (1), särskilt artikel 25a.5 a,

med beaktande av Europeiska kommissionens förslag, och

av följande skäl:

| (1) | I slutet av februari 2019 beslutade Gambias myndigheter ensidigt att införa ett moratorium för alla insatser för påtvingat återvändande, vilket hindrade faktiska återvändanden under större delen av 2019. Sedan moratoriet upphävdes i januari 2020 har medlemsstaterna upprepade gånger fått erfara att Gambia hindrat organisationen och genomförandet av återvändandeinsatser. En skiftande grad av samarbete från Gambias sida har också haft en hämmande effekt på samtliga faser i återvändandeprocessen, inbegripet vid tillämpningen av befintlig god praxis och andra operativa arrangemang som tidigare överenskommits mellan unionen och Gambia. Den 6 april 2021 meddelade Gambias myndigheter att landet tills vidare inte var i stånd att ta emot återvändande personer, och i juni 2021 bekräftade de att det finns ”ett moratorium för påtvingat eller annat återvändande till efter valet i december”. |
| --- | --- |

(1)

I slutet av februari 2019 beslutade Gambias myndigheter ensidigt att införa ett moratorium för alla insatser för påtvingat återvändande, vilket hindrade faktiska återvändanden under större delen av 2019. Sedan moratoriet upphävdes i januari 2020 har medlemsstaterna upprepade gånger fått erfara att Gambia hindrat organisationen och genomförandet av återvändandeinsatser. En skiftande grad av samarbete från Gambias sida har också haft en hämmande effekt på samtliga faser i återvändandeprocessen, inbegripet vid tillämpningen av befintlig god praxis och andra operativa arrangemang som tidigare överenskommits mellan unionen och Gambia. Den 6 april 2021 meddelade Gambias myndigheter att landet tills vidare inte var i stånd att ta emot återvändande personer, och i juni 2021 bekräftade de att det finns ”ett moratorium för påtvingat eller annat återvändande till efter valet i december”.

| (2) | Kommissionen har sedan 2019 vidtagit åtgärder för att förbättra Gambias grad av samarbete när det gäller återtagande av tredjelandsmedborgare som vistas olagligt i medlemsstaterna. Dessa åtgärder har bestått i ett flertal möten med Gambias myndigheter på både teknisk och politisk nivå för att hitta ömsesidigt godtagbara lösningar, och för att komma överens om ytterligare stödprojekt till förmån för Gambia. Parallellt har diskussioner på hög nivå ägt rum mellan kommissionen och Gambia. Frågor som rör återtagande har också tagits upp med Gambia i andra möten som anordnats av utrikestjänsten. |
| --- | --- |

(2)

Kommissionen har sedan 2019 vidtagit åtgärder för att förbättra Gambias grad av samarbete när det gäller återtagande av tredjelandsmedborgare som vistas olagligt i medlemsstaterna. Dessa åtgärder har bestått i ett flertal möten med Gambias myndigheter på både teknisk och politisk nivå för att hitta ömsesidigt godtagbara lösningar, och för att komma överens om ytterligare stödprojekt till förmån för Gambia. Parallellt har diskussioner på hög nivå ägt rum mellan kommissionen och Gambia. Frågor som rör återtagande har också tagits upp med Gambia i andra möten som anordnats av utrikestjänsten.

| (3) | Med tanke på de åtgärder som kommissionen hittills har vidtagit för att förbättra Gambias grad av samarbete och unionens allmänna förbindelser med Gambia, anses Gambias samarbete med unionen i frågor som rör återtagande inte tillräckligt, och åtgärder från unionen är därför nödvändiga. |
| --- | --- |

(3)

Med tanke på de åtgärder som kommissionen hittills har vidtagit för att förbättra Gambias grad av samarbete och unionens allmänna förbindelser med Gambia, anses Gambias samarbete med unionen i frågor som rör återtagande inte tillräckligt, och åtgärder från unionen är därför nödvändiga.

| (4) | Tillämpningen av vissa bestämmelser i förordning (EG) nr 810/2009 bör därför tillfälligt upphävas för gambiska medborgare som omfattas av viseringskravet enligt Europaparlamentets och rådets förordning (EU) 2018/1806 (2). Detta borde uppmuntra Gambias myndigheter att vidta nödvändiga åtgärder för att förbättra samarbetet i frågor som rör återtagande. |
| --- | --- |

(4)

Tillämpningen av vissa bestämmelser i förordning (EG) nr 810/2009 bör därför tillfälligt upphävas för gambiska medborgare som omfattas av viseringskravet enligt Europaparlamentets och rådets förordning (EU) 2018/1806 (2). Detta borde uppmuntra Gambias myndigheter att vidta nödvändiga åtgärder för att förbättra samarbetet i frågor som rör återtagande.

| (5) | De tillfälligt upphävda bestämmelserna är de som anges i artikel 25a.5 a i viseringskodexen: tillfälligt upphävande av möjligheten till undantag från kraven på de styrkande handlingar som ska lämnas in av viseringssökande enligt artikel 14.6, tillfälligt upphävande av den allmänna handläggningstid på 15 kalenderdagar som avses i artikel 23.1 (vilket följaktligen också utesluter tillämpning av regeln om förlängning av denna period upp till högst 45 dagar i enskilda fall), tillfälligt upphävande av utfärdandet av viseringar för flera inresor i enlighet med artikel 24.2 och 24.2c samt tillfälligt upphävande av det frivilliga undantaget från viseringsavgifter för innehavare av diplomatpass och tjänstepass i enlighet med artikel 16.5 b. |
| --- | --- |

(5)

De tillfälligt upphävda bestämmelserna är de som anges i artikel 25a.5 a i viseringskodexen: tillfälligt upphävande av möjligheten till undantag från kraven på de styrkande handlingar som ska lämnas in av viseringssökande enligt artikel 14.6, tillfälligt upphävande av den allmänna handläggningstid på 15 kalenderdagar som avses i artikel 23.1 (vilket följaktligen också utesluter tillämpning av regeln om förlängning av denna period upp till högst 45 dagar i enskilda fall), tillfälligt upphävande av utfärdandet av viseringar för flera inresor i enlighet med artikel 24.2 och 24.2c samt tillfälligt upphävande av det frivilliga undantaget från viseringsavgifter för innehavare av diplomatpass och tjänstepass i enlighet med artikel 16.5 b.

| (6) | Enligt artikel 21.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) ska varje unionsmedborgare ha rätt att fritt röra sig och uppehålla sig inom medlemsstaternas territorier, om inte annat följer av de begränsningar och villkor som föreskrivs i fördragen och i bestämmelser som antas för att ge verkan åt dessa. Europaparlamentets och rådets direktiv 2004/38/EG (3) ger verkan åt dessa begränsningar och villkor. Detta beslut påverkar inte tillämpningen av det direktivet, som utvidgar rätten till fri rörlighet till att omfatta familjemedlemmar, oavsett medborgarskap, när de följer med eller ansluter sig till unionsmedborgaren. Detta beslut är således inte tillämpligt på familjemedlemmar till en unionsmedborgare vilka omfattas av direktiv 2004/38/EG eller på familjemedlemmar till en tredjelandsmedborgare vilka i enlighet med ett avtal mellan unionen och dess medlemsstater, å ena sidan, och ett tredjeland, å andra sidan, åtnjuter fri rörlighet som är likvärdig med unionsmedborgarnas. |
| --- | --- |

(6)

Enligt artikel 21.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) ska varje unionsmedborgare ha rätt att fritt röra sig och uppehålla sig inom medlemsstaternas territorier, om inte annat följer av de begränsningar och villkor som föreskrivs i fördragen och i bestämmelser som antas för att ge verkan åt dessa. Europaparlamentets och rådets direktiv 2004/38/EG (3) ger verkan åt dessa begränsningar och villkor. Detta beslut påverkar inte tillämpningen av det direktivet, som utvidgar rätten till fri rörlighet till att omfatta familjemedlemmar, oavsett medborgarskap, när de följer med eller ansluter sig till unionsmedborgaren. Detta beslut är således inte tillämpligt på familjemedlemmar till en unionsmedborgare vilka omfattas av direktiv 2004/38/EG eller på familjemedlemmar till en tredjelandsmedborgare vilka i enlighet med ett avtal mellan unionen och dess medlemsstater, å ena sidan, och ett tredjeland, å andra sidan, åtnjuter fri rörlighet som är likvärdig med unionsmedborgarnas.

| (7) | De åtgärder som föreskrivs i detta beslut bör inte påverka medlemsstaternas skyldigheter enligt internationell rätt i egenskap av värdländer för internationella mellanstatliga organisationer eller för internationella konferenser sammankallade av internationella mellanstatliga organisationer för vilka en medlemsstat är värdland. Det tillfälliga upphävandet bör därför inte tillämpas på gambiska medborgare som ansöker om visering i den mån det är nödvändigt för att medlemsstaterna ska kunna fullgöra sina skyldigheter som värdländer för sådana organisationer eller konferenser. |
| --- | --- |

(7)

De åtgärder som föreskrivs i detta beslut bör inte påverka medlemsstaternas skyldigheter enligt internationell rätt i egenskap av värdländer för internationella mellanstatliga organisationer eller för internationella konferenser sammankallade av internationella mellanstatliga organisationer för vilka en medlemsstat är värdland. Det tillfälliga upphävandet bör därför inte tillämpas på gambiska medborgare som ansöker om visering i den mån det är nödvändigt för att medlemsstaterna ska kunna fullgöra sina skyldigheter som värdländer för sådana organisationer eller konferenser.

| (8) | I enlighet med artiklarna 1 och 2 i protokoll nr 22 om Danmarks ställning, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, deltar Danmark inte i antagandet av detta beslut, som inte är bindande för eller tillämpligt på Danmark. Eftersom detta beslut är en utveckling av Schengenregelverket, ska Danmark, i enlighet med artikel 4 i det protokollet, inom sex månader efter det att rådet har beslutat om detta beslut, besluta huruvida landet ska genomföra det i sin nationella lagstiftning. |
| --- | --- |

(8)

I enlighet med artiklarna 1 och 2 i protokoll nr 22 om Danmarks ställning, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, deltar Danmark inte i antagandet av detta beslut, som inte är bindande för eller tillämpligt på Danmark. Eftersom detta beslut är en utveckling av Schengenregelverket, ska Danmark, i enlighet med artikel 4 i det protokollet, inom sex månader efter det att rådet har beslutat om detta beslut, besluta huruvida landet ska genomföra det i sin nationella lagstiftning.

| (9) | Detta beslut utgör en utveckling av de bestämmelser i Schengenregelverket i vilka Irland inte deltar i enlighet med rådets beslut 2002/192/EG (4). Irland deltar därför inte i antagandet av detta beslut, som inte är bindande för eller tillämpligt på Irland. |
| --- | --- |

(9)

Detta beslut utgör en utveckling av de bestämmelser i Schengenregelverket i vilka Irland inte deltar i enlighet med rådets beslut 2002/192/EG (4). Irland deltar därför inte i antagandet av detta beslut, som inte är bindande för eller tillämpligt på Irland.

| (10) | När det gäller Island och Norge utgör detta beslut, i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket (5) som omfattas av det område som avses i artikel 1 B i rådets beslut 1999/437/EG (6). |
| --- | --- |

(10)

När det gäller Island och Norge utgör detta beslut, i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket (5) som omfattas av det område som avses i artikel 1 B i rådets beslut 1999/437/EG (6).

| (11) | När det gäller Schweiz utgör detta beslut, i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket (7) som omfattas av det område som avses i artikel 1 B i beslut 1999/437/EG jämförd med artikel 3 i rådets beslut 2008/146/EG (8). |
| --- | --- |

(11)

När det gäller Schweiz utgör detta beslut, i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket (7) som omfattas av det område som avses i artikel 1 B i beslut 1999/437/EG jämförd med artikel 3 i rådets beslut 2008/146/EG (8).

| (12) | När det gäller Liechtenstein utgör detta beslut, i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (9), en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 B i beslut 1999/437/EG jämförd med artikel 3 i rådets beslut 2011/350/EU (10). |
| --- | --- |

(12)

När det gäller Liechtenstein utgör detta beslut, i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (9), en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 B i beslut 1999/437/EG jämförd med artikel 3 i rådets beslut 2011/350/EU (10).

| (13) | Detta beslut utgör en akt som utvecklar Schengenregelverket eller som på annat sätt har samband med detta i den mening som avses i artikel 3.2 i 2003 års anslutningsakt, artikel 4.2 i 2005 års anslutningsakt och artikel 4.2 i 2011 års anslutningsakt. |
| --- | --- |

(13)

Detta beslut utgör en akt som utvecklar Schengenregelverket eller som på annat sätt har samband med detta i den mening som avses i artikel 3.2 i 2003 års anslutningsakt, artikel 4.2 i 2005 års anslutningsakt och artikel 4.2 i 2011 års anslutningsakt.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Tillämpningsområde

1.   Detta beslut är tillämpligt på gambiska medborgare som omfattas av viseringskravet enligt förordning (EU) 2018/1806.

2.   Det är inte tillämpligt på gambiska medborgare som är undantagna från viseringskravet enligt artikel 4 eller 6 i förordning (EU) 2018/1806.

3.   Detta beslut är inte tillämpligt på gambiska medborgare som ansöker om visering och som är familjemedlemmar till en unionsmedborgare som omfattas av direktiv 2004/38/EG eller familjemedlemmar till en tredjelandsmedborgare som i enlighet med ett avtal mellan unionen och dess medlemsstater, å ena sidan, och ett tredjeland, å andra sidan, åtnjuter fri rörlighet som är likvärdig med unionsmedborgarnas.

4.   Detta beslut ska inte påverka de fall då en medlemsstat är bunden av en skyldighet enligt internationell rätt, närmare bestämt

| a) | i egenskap av värdland för en internationell mellanstatlig organisation, |
| --- | --- |

a)

i egenskap av värdland för en internationell mellanstatlig organisation,

| b) | i egenskap av värdland för en internationell konferens sammankallad av eller under överinseende av Förenta nationerna eller av andra internationella mellanstatliga organisationer för vilka en medlemsstat är värdland, |
| --- | --- |

b)

i egenskap av värdland för en internationell konferens sammankallad av eller under överinseende av Förenta nationerna eller av andra internationella mellanstatliga organisationer för vilka en medlemsstat är värdland,

| c) | enligt en multilateral överenskommelse som ger privilegier och immunitet, eller |
| --- | --- |

c)

enligt en multilateral överenskommelse som ger privilegier och immunitet, eller

| d) | enligt 1929 års konkordat (Lateranfördraget) som ingåtts av Heliga stolen (Vatikanstaten) och Italien, i dess senaste lydelse. |
| --- | --- |

d)

enligt 1929 års konkordat (Lateranfördraget) som ingåtts av Heliga stolen (Vatikanstaten) och Italien, i dess senaste lydelse.

Artikel 2

Tillfälligt upphävande av tillämpningen av vissa bestämmelser i förordning (EG) nr 810/2009

Tillämpningen av följande bestämmelser i förordning (EG) nr 810/2009 ska tillfälligt upphävas:

| a) | Artikel 14.6. |
| --- | --- |

a)

Artikel 14.6.

| b) | Artikel 16.5 b. |
| --- | --- |

b)

Artikel 16.5 b.

| c) | Artikel 23.1. |
| --- | --- |

c)

Artikel 23.1.

| d) | Artikel 24.2 och 24.2c. |
| --- | --- |

d)

Artikel 24.2 och 24.2c.

Artikel 3

Adressater

Detta beslut riktar sig till Konungariket Belgien, Republiken Bulgarien, Republiken Tjeckien, Förbundsrepubliken Tyskland, Republiken Estland, Republiken Grekland, Konungariket Spanien, Republiken Frankrike, Republiken Kroatien, Republiken Italien, Republiken Cypern, Republiken Lettland, Republiken Litauen, Storhertigdömet Luxemburg, Ungern, Republiken Malta, Konungariket Nederländerna, Republiken Österrike, Republiken Polen, Republiken Portugal, Rumänien, Republiken Slovenien, Republiken Slovakien, Republiken Finland och Konungariket Sverige.

Utfärdat i Luxemburg den 7 oktober 2021.

På rådets vägnar

M. DIKAUČIČ

Ordförande

---

(1)  
  EUT L 243, 15.9.2009, s. 1.

1

(2)  Europaparlamentets och rådets förordning (EU) 2018/1806 av den 14 november 2018 om fastställande av förteckningen över tredjeländer vars medborgare är skyldiga att inneha visering när de passerar de yttre gränserna och av förteckningen över de tredjeländer vars medborgare är undantagna från detta krav (EUT L 303, 28.11.2018, s. 39).

2

(3)  Europaparlamentets och rådets direktiv 2004/38/EG av den 29 april 2004 om unionsmedborgares och deras familjemedlemmars rätt att fritt röra sig och uppehålla sig inom medlemsstaternas territorier och om ändring av förordning (EEG) nr 1612/68 och om upphävande av direktiven 64/221/EEG, 68/360/EEG, 72/194/EEG, 73/148/EEG, 75/34/EEG, 75/35/EEG, 90/364/EEG, 90/365/EEG och 93/96/EEG (EUT L 158, 30.4.2004, s. 77).

3

(4)  Rådets beslut 2002/192/EG av den 28 februari 2002 om Irlands begäran om att få delta i vissa bestämmelser i Schengenregelverket (EGT L 64, 7.3.2002, s. 20).

4

(5)  
  EGT L 176, 10.7.1999, s. 36.

5

(6)  Rådets beslut 1999/437/EG av den 17 maj 1999 om vissa tillämpningsföreskrifter för det avtal som har ingåtts mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa båda staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (EGT L 176, 10.7.1999, s. 31).

6

(7)  
  EUT L 53, 27.2.2008, s. 52.

7

(8)  Rådets beslut 2008/146/EG av den 28 januari 2008 om ingående på Europeiska gemenskapens vägnar av avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (EUT L 53, 27.2.2008, s. 1).

8

(9)  
  EUT L 160, 18.6.2011, s. 21.

9

(10)  Rådets beslut 2011/350/EU av den 7 mars 2011 om ingående på Europeiska unionens vägnar av protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, om avskaffande av kontroller vid de inre gränserna och om personers rörlighet (EUT L 160, 18.6.2011, s. 19).

10

---

REKOMMENDATIONER

| 11.10.2021 | SV | Europeiska unionens officiella tidning | L 360/128 |
| --- | --- | --- | --- |

11.10.2021

SV

Europeiska unionens officiella tidning

L 360/128

---

RÅDETS REKOMMENDATION (EU) 2021/1782

av den 8 oktober 2021

om ändring av rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner

EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA REKOMMENDATION

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artiklarna 77.2 b och e samt 292 första och andra meningen, och

av följande skäl:

| (1) | Den 30 juni 2020 antog rådet en rekommendation om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner (1) (nedan kallad rådets rekommendation). |
| --- | --- |

(1)

Den 30 juni 2020 antog rådet en rekommendation om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner (1) (nedan kallad rådets rekommendation).

| (2) | Därefter har rådet antagit rekommendationerna (EU) 2020/1052 (2), (EU) 2020/1144 (3), (EU) 2020/1186 (4), (EU) 2020/1551 (5), (EU) 2020/2169 (6), (EU) 2021/89 (7), (EU) 2021/132 (8), (EU) 2021/767 (9), (EU) 2021/892 (10), (EU) 2021/992 (11), (EU) 2021/1085 (12), (EU) 2021/1170 (13), (EU) 2021/1346 (14), (EU) 2021/1459 (15) och (EU) 2021/1712 (16) om ändring av rådets rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner. |
| --- | --- |

(2)

Därefter har rådet antagit rekommendationerna (EU) 2020/1052 (2), (EU) 2020/1144 (3), (EU) 2020/1186 (4), (EU) 2020/1551 (5), (EU) 2020/2169 (6), (EU) 2021/89 (7), (EU) 2021/132 (8), (EU) 2021/767 (9), (EU) 2021/892 (10), (EU) 2021/992 (11), (EU) 2021/1085 (12), (EU) 2021/1170 (13), (EU) 2021/1346 (14), (EU) 2021/1459 (15) och (EU) 2021/1712 (16) om ändring av rådets rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner.

| (3) | Den 20 maj 2021 antog rådet rekommendation (EU) 2021/816 om ändring av rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner (17) för att uppdatera de kriterier som används för att bedöma om icke nödvändiga resor från tredjeländer är säkra och bör tillåtas. |
| --- | --- |

(3)

Den 20 maj 2021 antog rådet rekommendation (EU) 2021/816 om ändring av rekommendation (EU) 2020/912 om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner (17) för att uppdatera de kriterier som används för att bedöma om icke nödvändiga resor från tredjeländer är säkra och bör tillåtas.

| (4) | I rådets rekommendation föreskrivs att medlemsstaterna gradvis ska häva de tillfälliga restriktionerna för icke nödvändiga resor till EU från och med den 1 juli 2020 på ett samordnat sätt med avseende på personer som är bosatta i de länder som anges i bilaga I till rådets rekommendation. Förteckningen över tredjeländer i bilaga I bör ses över varannan vecka och allt efter omständigheterna uppdateras av rådet efter nära samråd med kommissionen och berörda EU-byråer och EU-organ till följd av en samlad bedömning på grundval av den metod, de kriterier och de uppgifter som avses i rådets rekommendation. |
| --- | --- |

(4)

I rådets rekommendation föreskrivs att medlemsstaterna gradvis ska häva de tillfälliga restriktionerna för icke nödvändiga resor till EU från och med den 1 juli 2020 på ett samordnat sätt med avseende på personer som är bosatta i de länder som anges i bilaga I till rådets rekommendation. Förteckningen över tredjeländer i bilaga I bör ses över varannan vecka och allt efter omständigheterna uppdateras av rådet efter nära samråd med kommissionen och berörda EU-byråer och EU-organ till följd av en samlad bedömning på grundval av den metod, de kriterier och de uppgifter som avses i rådets rekommendation.

| (5) | Därefter har diskussioner förts inom rådet, i nära samråd med kommissionen och berörda EU-byråer och EU-organ, om översynen av den förteckning över tredjeländer som anges i bilaga I till rådets rekommendation och med tillämpning av de kriterier och metoder som fastställs i rådets rekommendation, i dess ändrade lydelse enligt rekommendation (EU) 2021/816. Som en följd av dessa diskussioner bör förteckningen över tredjeländer i bilaga I ändras. I synnerhet bör Bahrain och Förenade Arabemiraten läggas till i förteckningen. |
| --- | --- |

(5)

Därefter har diskussioner förts inom rådet, i nära samråd med kommissionen och berörda EU-byråer och EU-organ, om översynen av den förteckning över tredjeländer som anges i bilaga I till rådets rekommendation och med tillämpning av de kriterier och metoder som fastställs i rådets rekommendation, i dess ändrade lydelse enligt rekommendation (EU) 2021/816. Som en följd av dessa diskussioner bör förteckningen över tredjeländer i bilaga I ändras. I synnerhet bör Bahrain och Förenade Arabemiraten läggas till i förteckningen.

| (6) | Gränskontroll är inte bara av intresse för den medlemsstat vid vars yttre gränser den utförs, utan för samtliga medlemsstater som har avskaffat inre gränskontroll. Medlemsstaterna bör därför säkerställa att de åtgärder som vidtas vid de yttre gränserna är samordnade i syfte att säkerställa att Schengenområdet fungerar väl. Från och med den 8 oktober 2021 bör medlemsstaterna därför fortsätta att häva de tillfälliga restriktionerna för icke nödvändiga resor till EU på ett samordnat sätt med avseende på personer som är bosatta i de tredjeländer, särskilda administrativa regioner och andra enheter och territoriella myndigheter som anges i bilaga I till rådets rekommendation, i dess ändrade lydelse enligt denna rekommendation. |
| --- | --- |

(6)

Gränskontroll är inte bara av intresse för den medlemsstat vid vars yttre gränser den utförs, utan för samtliga medlemsstater som har avskaffat inre gränskontroll. Medlemsstaterna bör därför säkerställa att de åtgärder som vidtas vid de yttre gränserna är samordnade i syfte att säkerställa att Schengenområdet fungerar väl. Från och med den 8 oktober 2021 bör medlemsstaterna därför fortsätta att häva de tillfälliga restriktionerna för icke nödvändiga resor till EU på ett samordnat sätt med avseende på personer som är bosatta i de tredjeländer, särskilda administrativa regioner och andra enheter och territoriella myndigheter som anges i bilaga I till rådets rekommendation, i dess ändrade lydelse enligt denna rekommendation.

| (7) | I enlighet med artiklarna 1 och 2 i protokoll nr 22 om Danmarks ställning, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, deltar Danmark inte i antagandet av denna rekommendation, som inte är bindande för eller tillämplig på Danmark. Eftersom denna rekommendation är en utveckling av Schengenregelverket ska Danmark, i enlighet med artikel 4 i det protokollet, inom sex månader efter det att rådet har beslutat om denna rekommendation, besluta huruvida landet ska genomföra den. |
| --- | --- |

(7)

I enlighet med artiklarna 1 och 2 i protokoll nr 22 om Danmarks ställning, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, deltar Danmark inte i antagandet av denna rekommendation, som inte är bindande för eller tillämplig på Danmark. Eftersom denna rekommendation är en utveckling av Schengenregelverket ska Danmark, i enlighet med artikel 4 i det protokollet, inom sex månader efter det att rådet har beslutat om denna rekommendation, besluta huruvida landet ska genomföra den.

| (8) | Denna rekommendation utgör en utveckling av de bestämmelser i Schengenregelverket i vilka Irland inte deltar i enlighet med rådets beslut 2002/192/EG (18). Irland deltar därför inte i antagandet av denna rekommendation, som inte är bindande för eller tillämplig på Irland. |
| --- | --- |

(8)

Denna rekommendation utgör en utveckling av de bestämmelser i Schengenregelverket i vilka Irland inte deltar i enlighet med rådets beslut 2002/192/EG (18). Irland deltar därför inte i antagandet av denna rekommendation, som inte är bindande för eller tillämplig på Irland.

| (9) | När det gäller Island och Norge utgör denna rekommendation, i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i rådets beslut 1999/437/EG (19). |
| --- | --- |

(9)

När det gäller Island och Norge utgör denna rekommendation, i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i rådets beslut 1999/437/EG (19).

| (10) | När det gäller Schweiz utgör denna rekommendation, i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i beslut 1999/437/EG (20) jämförd med artikel 3 i rådets beslut 2008/146/EG (21). |
| --- | --- |

(10)

När det gäller Schweiz utgör denna rekommendation, i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i beslut 1999/437/EG (20) jämförd med artikel 3 i rådets beslut 2008/146/EG (21).

| (11) | När det gäller Liechtenstein utgör denna rekommendation, i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i beslut 1999/437/EG (22) jämförd med artikel 3 i beslut 2011/350/EU (23). |
| --- | --- |

(11)

När det gäller Liechtenstein utgör denna rekommendation, i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i beslut 1999/437/EG (22) jämförd med artikel 3 i beslut 2011/350/EU (23).

HÄRIGENOM REKOMMENDERAS FÖLJANDE.

Rådets rekommendation (EU) 2020/912, i dess ändrade lydelse enligt rekommendationerna (EU) 2020/1052, (EU) 2020/1144, (EU) 2020/1186, (EU) 2020/1551, (EU) 2020/2169, (EU) 2021/89, (EU) 2021/132, (EU) 2021/767, (EU) 2021/816, (EU) 2021/892, (EU) 2021/992, (EU) 2021/1085, (EU) 2021/1170, (EU) 2021/1346, (EU) 2021/1459 och (EU) 2021/1712, om de tillfälliga restriktionerna för icke nödvändiga resor till EU och ett eventuellt avskaffande av dessa restriktioner, ska ändras på följande sätt:

| 1. | Första stycket i punkt 1 i rådets rekommendation ska ersättas med följande:






  ”1. | Från och med den 8 oktober 2021 bör medlemsstaterna gradvis avskaffa de tillfälliga restriktionerna för icke nödvändiga resor till EU på ett samordnat sätt med avseende på personer som är bosatta i de tredjeländer som anges i bilaga I.” |
| --- | --- | --- |

1.

Första stycket i punkt 1 i rådets rekommendation ska ersättas med följande:

”1.

| 2. | Bilaga I till rekommendationen ska ersättas med följande:


  ”BILAGA I
  Tredjeländer, särskilda administrativa regioner samt andra enheter och territoriella myndigheter vars invånare inte bör påverkas av tillfälliga restriktioner vid de yttre gränserna för icke nödvändiga resor till EU:






  I. | STATER






  1. | AUSTRALIEN |
| --- | --- | --- | --- |

2.

Bilaga I till rekommendationen ska ersättas med följande:

”BILAGA I

Tredjeländer, särskilda administrativa regioner samt andra enheter och territoriella myndigheter vars invånare inte bör påverkas av tillfälliga restriktioner vid de yttre gränserna för icke nödvändiga resor till EU:

I.

STATER

1.

AUSTRALIEN

| 2. | BAHRAIN |
| --- | --- |

2.

BAHRAIN

| 3. | KANADA |
| --- | --- |

3.

KANADA

| 4. | CHILE |
| --- | --- |

4.

CHILE

| 5. | JORDANIEN |
| --- | --- |

5.

JORDANIEN

| 6. | KUWAIT |
| --- | --- |

6.

KUWAIT

| 7. | NYA ZEELAND |
| --- | --- |

7.

NYA ZEELAND

| 8. | QATAR |
| --- | --- |

8.

QATAR

| 9. | RWANDA |
| --- | --- |

9.

RWANDA

| 10. | SAUDIARABIEN |
| --- | --- |

10.

SAUDIARABIEN

| 11. | SINGAPORE |
| --- | --- |

11.

SINGAPORE

| 12. | SYDKOREA |
| --- | --- |

12.

SYDKOREA

| 13. | UKRAINA |
| --- | --- |

13.

UKRAINA

| 14. | FÖRENADE ARABEMIRATEN |
| --- | --- |

14.

FÖRENADE ARABEMIRATEN

| 15. | URUGUAY |
| --- | --- |

15.

URUGUAY

| 16. | KINA (*1) |
| --- | --- |

16.

KINA (*1)

| II. | FOLKREPUBLIKEN KINAS SÄRSKILDA ADMINISTRATIVA REGIONER





  Hongkong SAR |
| --- | --- |

II.

FOLKREPUBLIKEN KINAS SÄRSKILDA ADMINISTRATIVA REGIONER

Hongkong SAR

| Macao SAR |
| --- |

Macao SAR

| III. | ENHETER OCH TERRITORIELLA MYNDIGHETER SOM INTE ERKÄNNS SOM STATER AV MINST EN MEDLEMSSTAT





  Taiwan |
| --- | --- |

III.

ENHETER OCH TERRITORIELLA MYNDIGHETER SOM INTE ERKÄNNS SOM STATER AV MINST EN MEDLEMSSTAT

Taiwan

(*1)  Med förbehåll för bekräftelse om ömsesidighet."

*1

Utfärdad i Luxemburg den 8 oktober 2021.

På rådets vägnar

M. DIKAUČIČ

Ordförande

---

(1)  
  EUT L 208 I, 1.7.2020, s. 1.

1

(2)  
  EUT L 230, 17.7.2020, s. 26.

2

(3)  
  EUT L 248, 31.7.2020, s. 26.

3

(4)  
  EUT L 261, 11.8.2020, s. 83.

4

(5)  
  EUT L 354, 26.10.2020, s. 19.

5

(6)  
  EUT L 431, 21.12.2020, s. 75.

6

(7)  
  EUT L 33, 29.1.2021, s. 1.

7

(8)  
  EUT L 41, 4.2.2021, s. 1.

8

(9)  
  EUT L 165 I, 11.5.2021, s. 66.

9

(10)  
  EUT L 198, 4.6.2021, s. 1.

10

(11)  
  EUT L 221, 21.6.2021, s. 12.

11

(12)  
  EUT L 235, 2.7.2021, s. 27.

12

(13)  
  EUT L 255, 16.7.2021, s. 3.

13

(14)  
  EUT L 306, 31.8.2021, s. 4.

14

(15)  
  EUT L 320, 10.9.2021, s. 1.

15

(16)  
  EUT L 341, 24.9.2021, s. 1.

16

(17)  
  EUT L 182, 21.5.2021, s. 1.

17

(18)  Rådets beslut 2002/192/EG av den 28 februari 2002 om Irlands begäran om att få delta i vissa bestämmelser i Schengenregelverket (EGT L 64, 7.3.2002, s. 20).

18

(19)  
  EGT L 176, 10.7.1999, s. 31.

19

(20)  
  EUT L 53, 27.2.2008, s. 52.

20

(21)  Rådets beslut 2008/146/EG av den 28 januari 2008 om ingående på Europeiska gemenskapens vägnar av avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket (EUT L 53, 27.2.2008, s. 1).

21

(22)  
  EUT L 160, 18.6.2011, s. 21.

22

(23)  Rådets beslut 2011/350/EU av den 7 mars 2011 om ingående på Europeiska unionens vägnar av protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, om avskaffande av kontroller vid de inre gränserna och om personers rörlighet (EUT L 160, 18.6.2011, s. 19).

23

---