KOMMISSIONENS GENNEMFØRELSESFORORDNING (EU) 2021/1772

af 28. juni 2021

i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Det Forenede Kongerige

(meddelt under nummer C(2021) 4800)

(EØS-relevant tekst)

EUROPA-KOMMISSIONEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (1), særlig artikel 45, stk. 3, og

ud fra følgende betragtninger:

1. INDLEDNING

(1) I forordning (EU) 2016/679 fastsættes reglerne for overførsel af personoplysninger fra en dataansvarlig eller databehandler i Den Europæiske Union til tredjelande og internationale organisationer, i det omfang overførslen falder inden for forordningens anvendelsesområde. Reglerne om internationale overførsler af oplysninger er fastsat i kapitel V i nævnte forordning, dvs. i artikel 44-50. Strømmen af personoplysninger til og fra lande uden for Den Europæiske Union er afgørende for udvidelsen af det internationale samarbejde og den grænseoverskridende handel, men niveauet for beskyttelse af personoplysninger i Den Europæiske Union må ikke undermineres af overførsler til tredjelande (2).

(2) I henhold til artikel 45, stk. 3, i forordning (EU) 2016/679 kan Kommissionen ved hjælp af en gennemførelsesretsakt fastslå, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland eller en international organisation sikrer et tilstrækkeligt beskyttelsesniveau. På denne betingelse kan overførsel af personoplysninger til et tredjeland finde sted uden yderligere godkendelse, jf. artikel 45, stk. 1, og betragtning 103 i nævnte forordning.

(3) Som omhandlet i artikel 45, stk. 2, i forordning (EU) 2016/679 skal vedtagelsen af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet finde sted på grundlag af en omfattende analyse af det pågældende tredjelands retsorden, både hvad angår de regler, der finder anvendelse på dataimportøren, og de begrænsninger og garantier, der gælder med hensyn til offentlige myndigheders adgang til personoplysninger. I sin vurdering skal Kommissionen fastslå, om det pågældende tredjeland sikrer et beskyttelsesniveau, som »i det væsentlige svarer« til det, der sikres i Den Europæiske Union (betragtning 104 i forordning (EU) 2016/679). Den standard, som dette væsentlighedskriterium vurderes på grundlag af, er den, der er fastsat i EU-lovgivningen, navnlig forordning (EU) 2016/679, samt Den Europæiske Unions Domstols retspraksis (3). Det Europæiske Databeskyttelsesråds reference vedrørende et tilstrækkeligt beskyttelsesniveau er også af betydning i denne henseende (4).

(4) Som Den Europæiske Unions Domstol har præciseret, kræves der ikke et identisk beskyttelsesniveau (5). Det betyder navnlig, at de midler, som tredjelandet anvender til at beskytte personoplysninger, kan være forskellige fra de midler, som gennemføres inden for Den Europæiske Union, så længe de i praksis viser sig at være effektive med henblik på at sikre et tilstrækkeligt beskyttelsesniveau (6). Standarden for tilstrækkelighed er derfor ikke, at EU-reglerne duplikeres punkt for punkt. Testen består snarere i, om det pågældende udenlandske system som helhed sikrer det krævede beskyttelsesniveau gennem kerneindholdet i retten til databeskyttelse og den effektive gennemførelse, overvågning og håndhævelse heraf (7).

(5) Kommissionen har gennemgået Det Forenede Kongeriges lovgivning og praksis omhyggeligt. På grundlag af konklusionerne i betragtning 8 til 270 konkluderer Kommissionen, at Det Forenede Kongerige sikrer tilstrækkelig beskyttelse af personoplysninger, som inden for rammerne af forordning (EU) 2016/679 overføres fra Den Europæiske Union til Det Forenede Kongerige.

(6) Denne konklusion vedrører ikke personoplysninger, der videregives med henblik på indvandringskontrol i Det Forenede Kongerige, eller som på anden måde falder ind under anvendelsesområdet for undtagelsen fra visse registreredes rettigheder med henblik på opretholdelse af en effektiv indvandringskontrol (»den indvandringsrelaterede undtagelse«) i henhold til paragraph 4(1) i Schedule 2 til UK Data Protection Act. Gyldigheden og fortolkningen af den indvandringsrelaterede undtagelse i henhold til britisk ret er ikke fastlagt efter en afgørelse truffet af appelretten i England og Wales den 26. maj 2021. Selv om appeldomstolen anerkender, at registreredes rettigheder i princippet kan begrænses i forbindelse med indvandringskontrol af hensyn til vigtige samfundsinteresser, har den konkluderet, at den indvandringsrelaterede undtagelse i sin nuværende form er uforenelig med britisk ret, da den lovgivningsmæssige foranstaltning ikke er knyttet til specifikke bestemmelser, der fastsætter de garantier, der er anført i artikel 23, stk. 2, i Det Forenede Kongeriges generelle forordning om databeskyttelse (UK GDPR) (8). Under disse omstændigheder bør overførsel af personoplysninger fra Unionen til Det Forenede Kongerige som underlagt den indvandringsrelaterede undtagelse udelukkes fra denne afgørelses anvendelsesområde (9). Når uoverensstemmelsen med britisk ret er afhjulpet, bør den indvandringsrelaterede undtagelse tages op til fornyet vurdering, og det samme gælder behovet for at opretholde begrænsningen af denne afgørelses anvendelsesområde.

(7) Denne afgørelse bør ikke berøre den direkte anvendelse af forordning (EU) 2016/679 på organisationer, der er etableret i Det Forenede Kongerige, hvis betingelserne vedrørende forordningens territoriale anvendelsesområde, jf. forordningens artikel 3, er opfyldt.

2. REGLER FOR BEHANDLING AF PERSONOPLYSNINGER

2.1. De forfatningsmæssige rammer

(8) Det Forenede Kongerige er et parlamentarisk demokrati, der har en konstitutionel monark som statsoverhoved. Det har et suverænt parlament, som rangerer over alle andre statslige institutioner, en udøvende magt, der er udvalgt fra og ansvarlig over for parlamentet og et uafhængigt retsvæsen. Den udøvende magts myndighed bygger på tilliden til den i Underhuset, som er folkevalgt, og den er ansvarlig over for begge kamre i parlamentet, som har ansvaret for at kontrollere regeringen og drøfte og vedtage lovgivning.

(9) Det Forenede Kongeriges parlament har givet det skotske parlament, det walisiske parlament (Senedd Cymru) og Nordirlands parlament ansvaret for lovgivning om nationale anliggender i henholdsvis Skotland, Wales og Nordirland, som Det Forenede Kongeriges parlament ikke har forbeholdt sig selv. Databeskyttelse er et forbeholdt anliggende, hvilket vil sige, at den samme lovgivning gælder i hele landet, mens andre politikområder af relevans for denne afgørelse er blevet overdraget. Eksempelvis er de strafferetlige systemer, herunder politiarbejdet, i Skotland og Nordirland blevet overdraget til henholdsvis det skotske parlament og Nordirlands forsamling. Det Forenede Kongerige har ikke en kodificeret forfatning i form af en grundfæstet retsakt om oprettelse. Der er med tiden opstået forfatningsmæssige principper, der navnlig er baseret på retspraksis og konventioner. Domstolene har anerkendt den forfatningsmæssige værdi, der ligger i visse love, såsom Magna Carta, Bill of Rights 1689 (lov om rettigheder) og Human Rights Act 1998 (lov om menneskerettigheder). Enkeltpersoners grundlæggende rettigheder er som en del af forfatningen blevet udviklet gennem sædvaneret, ovennævnte love og internationale traktater, navnlig den europæiske menneskerettighedskonvention (EMRK), som Det Forenede Kongerige ratificerede i 1951. I 1987 ratificerede Det Forenede Kongerige desuden Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (konvention 108) (10).

(10) Med menneskerettighedsloven Human Rights Act 1998 blev rettighederne i den europæiske menneskerettighedskonvention indarbejdet i Det Forenede Kongeriges lovgivning. Loven indrømmer enhver person de grundlæggende rettigheder og friheder, der er fastsat i artikel 2-12 og artikel 14 i den europæiske menneskerettighedskonvention, i artikel 1, 2 og 3 i dens første protokol og i artikel 1 i dens trettende protokol, sammenholdt med konventionens artikel 16, 17 og 18. Disse rettigheder omfatter retten til respekt for privatliv og familieliv (og retten til databeskyttelse som en del af denne ret) samt retten til en retfærdig rettergang (11). I henhold til konventionens artikel 8 må en offentlig myndighed navnlig kun gribe ind i retten til privatlivets fred i overensstemmelse med loven, hvis det er nødvendigt i et demokratisk samfund af hensyn til statens sikkerhed, den offentlige sikkerhed eller landets økonomiske velfærd, for at forebygge uro eller forbrydelser, for at beskytte sundheden eller sædeligheden eller for at beskytte andres rettigheder og friheder.

(11) I henhold til Human Rights Act 1998 skal enhver handling fra offentlige myndigheders side være forenelig med en konventionsrettighed (12). Desuden skal primær og underordnet lovgivning læses og gennemføres på en måde, der er forenelig med rettighederne i konventionen (13).

2.2. Det Forenede Kongeriges databeskyttelsesramme

(12) Det Forenede Kongerige udtrådte af Den Europæiske Union den 31. januar 2020. På grundlag af aftalen om Det Forenede Kongerige Storbritannien og Nordirlands udtræden af Den Europæiske Union og Det Europæiske Atomenergifællesskab (14) fandt EU-retten fortsat anvendelse i Det Forenede Kongerige i overgangsperioden frem til den 31. december 2020. Forud for udtrædelsen og i overgangsperioden bestod den lovgivningsmæssige ramme for beskyttelse af personoplysninger i Det Forenede Kongerige af den relevante EU-lovgivning (navnlig forordning (EU) 2016/679 og Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (15)) samt national lovgivning, navnlig Data Protection Act 2018 (DPA 2018) (16), som i det omfang, det var tilladt i henhold til forordning (EU) 2016/679, fastsatte nationale regler med præcisering og begrænsning af anvendelsen af bestemmelserne i forordning (EU) 2016/679 og gennemførte direktiv (EU) 2016/680.

(13) Som forberedelse på Det Forenede Kongeriges udtræden af Den Europæiske Union har landets regering vedtaget European Union (Withdrawal) Act 2018 (17), som indarbejder umiddelbart gældende EU-ret i kongerigets lovgivning (18). Denne »bibeholdte EU-ret« omfatter forordning (EU) 2016/679 i sin helhed (herunder betragtningerne) (19). I overensstemmelse med denne retsakt skal domstolene i Det Forenede Kongerige fortolke den uændrede bibeholdte EU-ret i overensstemmelse med EU-Domstolens relevante retspraksis og de generelle principper i EU-retten, da de har virkning umiddelbart før overgangsperiodens udløb (henholdsvis »bibeholdt EU-retspraksis« og »bibeholdte generelle principper i EU-retten«) (20).

(14) I henhold til European Union (Withdrawal) Act 2018 har Det Forenede Kongeriges ministre beføjelse til at indføre afledt ret gennem retsakter for at foretage de ændringer, der er nødvendige for at bibeholde EU-retten som følge af Det Forenede Kongeriges udtræden af Den Europæiske Union. De udøvede denne beføjelse ved at vedtage Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (bestemmelser om beskyttelse af data, personoplysninger og elektronisk kommunikation i forbindelse med udtræden af EU fra 2019) (DPPEC-bestemmelserne) (21). DPPEC-bestemmelserne ændrer forordning (EU) 2016/679 som introduceret i Det Forenede Kongeriges lovgivning gennem European Union (Withdrawal) Act 2018, databeskyttelsesloven (DPA 2018) og anden lovgivning om databeskyttelse af relevans for den indenlandske kontekst (22).

(15) Efter overgangsperiodens udløb består de retlige rammer for beskyttelse af personoplysninger i Det Forenede Kongerige derfor af følgende: — UK GDPR som indarbejdet i Det Forenede Kongeriges lovgivning i henhold til European Union (Withdrawal) Act 2018 og som ændret ved DPPEC-bestemmelserne (23) — DPA 2018 (24) som ændret ved DPPEC-bestemmelserne.

(16) Da UK GDPR er baseret på EU-ret, afspejler databeskyttelsesreglerne i Det Forenede Kongerige i mange henseender de tilsvarende regler, der gælder i Den Europæiske Union.

(17) Ud over de beføjelser, der er tillagt Secretary of State ved European Union (Withdrawal) Act 2018, giver flere bestemmelser i DPA 2018 ministeriet beføjelse til at vedtage afledt ret med henblik på at ændre visse bestemmelser i loven eller fastsætte supplerende regler (25). Secretary of State har hidtil kun udøvet beføjelsen i henhold til Section 137 i DPA 2018 til at vedtage Data Protection (Charges and Information) (Amendment) Regulations 2019, som fastsætter de omstændigheder, hvorunder de dataansvarlige skal betale en årlig afgift til Det Forenede Kongeriges uafhængige databeskyttelsesmyndighed, Information Commissioner (ICO).

(18) Endelig findes der yderligere vejledning om Det Forenede Kongeriges databeskyttelseslovgivning i de adfærdskodekser og andre retningslinjer, som Information Commissioner har vedtaget. Selv om denne vejledning rent formelt ikke er juridisk bindende, har den fortolkningsmæssig vægt, og den viser, hvordan databeskyttelseslovgivningen finder anvendelse og håndhæves af Information Commissioner i praksis. Navnlig gælder det, at Information Commissioner i henhold til Section 121 til 125 i DPA 2018 skal udarbejde adfærdskodekser for datadeling, direkte markedsføring, aldersmæssigt passende design samt databeskyttelse og journalistik.

(19) Med hensyn til opbygning og hovedkomponenter svarer Det Forenede Kongeriges retlige ramme, der finder anvendelse på oplysninger, som overføres i henhold til denne afgørelse, således meget til den, der gælder i Den Europæiske Union. For eksempel er rammen ikke kun baseret på forpligtelser, der er fastsat i national ret, og som er formet af EU-retten, men også på forpligtelser, der er nedfældet i folkeretten, navnlig gennem Det Forenede Kongeriges tiltrædelse af EMRK og konvention 108. Desuden anerkendes Den Europæiske Menneskerettighedsdomstols kompetence. De nævnte forpligtelser, der følger af retligt bindende internationale instrumenter, navnlig vedrørende beskyttelse af personoplysninger, er derfor et særligt vigtigt element i de retlige rammer, der vurderes i denne afgørelse.

2.3. Materielt og territorialt anvendelsesområde

(20) I lighed med forordning (EU) 2016/679 finder UK GDPR anvendelse på behandling af personoplysninger, der helt eller delvist foretages automatisk, eller på anden behandling, hvis personoplysningerne er en del af et register (26). Definitionerne af »personoplysninger«, »den registrerede« og »behandling« i UK GDPR er identiske med definitionerne i forordning (EU) 2016/679 (27). Desuden finder UK GDPR anvendelse på manuel behandling af ustrukturerede personoplysninger (28), som visse offentlige myndigheder i Det Forenede Kongerige er i besiddelse af (29), idet de principper og rettigheder i UK GDPR, der ikke er relevante for sådanne personoplysninger, ikke anvendes i henhold til Section 24 og 25 i DPA 2018. Ligesom det er fastsat i forordning (EU) 2016/679, finder UK GDPR ikke anvendelse på en persons behandling af personoplysninger i forbindelse med rent personlige eller familiemæssige aktiviteter (30).

(21) UK GDPR's anvendelsesområde er blevet udvidet, så den også omfatter behandling i forbindelse med en aktivitet, der umiddelbart inden overgangsperiodens udløb faldt uden for EU-rettens anvendelsesområde (f.eks. national sikkerhed) (31), eller var omfattet af kapitel 2 i afsnit V i traktaten om Den Europæiske Union (aktiviteter under den fælles udenrigs- og sikkerhedspolitik) (32). Ligesom i Den Europæiske Unions system finder UK GDPR ikke anvendelse på en kompetent myndigheds behandling af personoplysninger med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed (de såkaldte »retshåndhævelsesformål«) — en sådan behandling er i stedet reguleret af Part 3 i DPA 2018, som det er tilfældet med direktiv (EU) 2016/680 i henhold til EU-retten — eller behandling af personoplysninger hos efterretningstjenesterne (Security Service (sikkerhedstjenesten), Secret Intelligence Service (efterretningstjenesten) og Government Communications Headquarters (det statslige kommunikationskontor)), som er omfattet af Part 4 i DPA 2018 (33).

(22) UK GDPR's geografiske anvendelsesområde er beskrevet i artikel 3 i UK GDPR (34) og omfatter behandling af personoplysninger (uanset hvor den finder sted) i forbindelse med aktiviteter, der udføres af en dataansvarligs eller databehandlers virksomhed i Det Forenede Kongerige, samt behandling af personoplysninger om registrerede, der befinder sig i Det Forenede Kongerige, hvor behandlingsaktiviteterne vedrører udbud af varer eller tjenester til sådanne registrerede eller overvågning af deres adfærd (35). Dette afspejler tilgangen i artikel 3 i forordning (EU) 2016/679.

2.4. Definitioner af personoplysninger og begreberne dataansvarlig og databehandler

(23) Definitionerne af personoplysninger, behandling, dataansvarlig og databehandler samt definitionen af pseudonymisering i forordning (EU) 2016/679 er blevet bibeholdt uden væsentlige ændringer i UK GDPR (36). Desuden defineres en række særlige kategorier af oplysninger i artikel 9, stk. 1, i UK GDPR på samme måde som i forordning (EU) 2016/679 (»personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering«). Section 205 i DPA 2018 indeholder definitionen af »biometriske data« (37), »helbredsoplysninger« (38) og »genetiske data« (39).

2.5. Garantier, rettigheder og forpligtelser

2.5.1. Behandlingens lovlighed og rimelighed

(24) Personoplysninger bør behandles på lovlig og retfærdig vis.

(25) Principperne om lovlighed, rimelighed og gennemsigtighed samt grundlaget for lovlig behandling er sikret i Det Forenede Kongeriges lovgivning ved artikel 5, stk. 1, litra a), og artikel 6, stk. 1, i UK GDPR, som er identiske med de respektive bestemmelser i forordning (EU) 2016/679 (40). Section 8 i DPA 2018 supplerer artikel 6, stk. 1, litra e), ved at fastsætte, at behandling af personoplysninger i henhold til artikel 6, stk. 1, litra e), i UK GDPR (som er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller som led i den dataansvarliges udøvelse af offentlig myndighed) omfatter behandling af personoplysninger, der er nødvendig for retsplejen, udøvelsen af en funktion i et af parlamentets kamre, udøvelsen af en funktion, der er tillagt en person ved en retsakt eller retsudøvelse, udøvelsen af en funktion, som varetages af Kronen, en minister under Kronen eller en offentlig instans, eller en aktivitet, der understøtter eller fremmer demokratisk engagement.

(26) Med hensyn til samtykke (en af de legitime grunde til behandling) bibeholdes betingelserne i artikel 7 i forordning (EU) 2016/679 også uændret i UK GDPR, dvs. at den dataansvarlige skal kunne påvise, at den registrerede har givet sit samtykke, der skal indgives en skriftlig anmodning om samtykke i et klart og forståeligt sprog, den registrerede skal have ret til at trække sit samtykke tilbage til enhver tid, og når det vurderes, om samtykke gives frivilligt, bør der tages hensyn til, om opfyldelsen af en kontrakt er betinget af samtykke til den pågældende behandling af personoplysninger, som ikke er nødvendig for opfyldelsen af den pågældende kontrakt. I henhold til artikel 8 i UK GDPR er et barns samtykke i forbindelse med levering af informationssamfundstjenester desuden kun lovligt, når barnet er mindst 13 år gammelt. Dette falder inden for den aldersgruppe, der er fastsat i artikel 8 i forordning (EU) 2016/679.

2.5.2. Behandling af særlige kategorier af personoplysninger

(27) Der bør være særlige garantier, når »særlige kategorier« af oplysninger behandles.

(28) Både UK GDPR og DPA 2018 indeholder specifikke regler for behandling af særlige kategorier af personoplysninger, som er defineret i artikel 9, stk. 1, i UK GDPR på samme måde som i forordning (EU) 2016/679 (se betragtning 23 ovenfor). I henhold til artikel 9 i UK GDPR er behandling af særlige kategorier af oplysninger i princippet forbudt, medmindre der gælder en specifik undtagelse.

(29) Disse undtagelser (som er anført i artikel 9, stk. 2 og 3, i UK GDPR) medfører ingen substansændringer i forhold til dem, der er omhandlet i artikel 9, stk. 2 og 3), i forordning (EU) 2016/679. Medmindre den registrerede udtrykkeligt har givet sit samtykke til behandlingen af disse personoplysninger, er behandling af særlige kategorier af personoplysninger kun tilladt under særlige og begrænsede omstændigheder. I de fleste tilfælde skal behandlingen af følsomme oplysninger være nødvendig til et specifikt formål, der er defineret i den relevante bestemmelse (se artikel 9, stk. 2, litra b), c), f), g), h), i) og j)).

(30) Når en undtagelse i henhold til artikel 9, stk. 2, i UK GDPR kræver tilladelse ved lov, eller der henvises til den offentlige interesse, præciseres de betingelser, der skal være opfyldt, for at undtagelserne kan påberåbes, desuden i Section 10 i DPA 2018 sammen med Schedule 1 til samme lov. I tilfælde af behandling af følsomme oplysninger med det formål at beskytte »folkesundheden« (artikel 9, stk. 2, litra i), i UK GDPR) kræves det f.eks. i paragraph 3(b) i Part 1 i Schedule 1, at en sådan behandling ud over nødvendighedstesten foretages »af en sundhedsperson eller under dennes ansvar« eller »af en anden person, der har tavshedspligt i henhold til en retsakt eller retsudøvelse«, herunder i kraft af den veletablerede tavshedspligt i henhold til gældende sædvaneret.

(31) I det tilfælde, at følsomme oplysninger behandles af hensyn til væsentlige samfundsinteresser (artikel 9, stk. 2, litra g), i UK GDPR), indeholder Part 2 i Schedule 1 til DPA 2018 en udtømmende liste over formål, der kan anses for at være væsentlige samfundsinteresser, ligesom der fastsættes yderligere specifikke betingelser for hvert af disse formål. For eksempel anerkendes fremme af racemæssig og etnisk mangfoldighed på ledelsesniveau i organisationer som en væsentlig samfundsinteresse. Behandling af følsomme oplysninger til dette specifikke formål er underlagt detaljerede krav, herunder at behandlingen skal foretages som led i en procedure for udpegelse af personer, der er egnede til at bestride ledende stillinger, at den er nødvendig for at fremme racemæssig og etnisk mangfoldighed, og at den sandsynligvis ikke vil forårsage væsentlig skade eller alvorlige problemer for den registrerede.

(32) I Section 11(1) i DPA 2018 fastsættes betingelserne for behandling af personoplysninger under de omstændigheder, der er beskrevet i artikel 9, stk. 3, i UK GDPR vedrørende tavshedspligt. Der kan f.eks. være tale om omstændigheder, hvor behandlingen udføres af en sundhedsperson, en socialarbejder eller en anden person, der under omstændighederne har tavshedspligt i henhold til en retsakt eller retsudøvelse, eller på dennes ansvar.

(33) Desuden kræver mange af de undtagelser, der er anført i artikel 9, stk. 2, i UK GDPR, at der træffes passende og specifikke beskyttelsesforanstaltninger, for at kunne anvendes. Afhængigt af behandlingens art og risikoniveauet for de registreredes rettigheder og frihedsrettigheder fastsættes der forskellige beskyttelsesforanstaltninger i betingelserne for behandling i Schedule 1 til DPA 2018. I Schedule 1 fastsættes betingelserne for hver enkelt behandlingssituation.

(34) I nogle tilfælde regulerer og begrænser DPA 2018 de former for følsomme oplysninger, der kan behandles, for at overholde et bestemt retsgrundlag. Eksempelvis gives der i paragraph 8 i Schedule 1 mulighed for behandling af følsomme oplysninger med henblik på at fremme lige muligheder eller ligebehandling. Denne betingelse for behandling kan kun anvendes, hvis oplysningerne viser racemæssig eller etnisk oprindelse, religiøs eller filosofisk overbevisning eller seksuel orientering, eller hvis der er tale om helbredsoplysninger.

(35) I nogle tilfælde begrænser DPA 2018 den type dataansvarlig, der kan anvende betingelsen for behandling. For eksempel indeholder paragraph 23 i Schedule 1 bestemmelser om behandling af følsomme oplysninger i forbindelse med valgte repræsentanters svar til offentligheden. Denne betingelse kan kun anvendes, hvis den dataansvarlige er den valgte repræsentant eller handler under deres myndighed.

(36) I visse andre tilfælde fastsætter DPA 2018 grænser for, hvilke kategorier af registrerede betingelsen kan anvendes for. For eksempel regulerer paragraph 21 i Schedule 1 behandlingen af følsomme oplysninger i forbindelse med erhvervstilknyttede pensionsordninger. Denne betingelse kan kun anvendes, hvis den pågældende registrerede er søskende, forælder, bedsteforælder eller oldeforælder til brugeren af ordningen.

(37) Desuden gælder det, at den dataansvarlige i de fleste tilfælde skal udarbejde et »Appropriate Policy Document«, når vedkommende påberåber sig de undtagelser i artikel 9, stk. 2, i UK GDPR, som er nærmere præciseret i Section 10 i DPA 2018 sammen med Schedule 1 til samme lov. Dette dokument skal beskrive den dataansvarliges procedurer for sikring af overholdelse af principperne i artikel 5 i UK GDPR. Desuden skal det fastlægge politikker for opbevaring og sletning, og den sandsynlige opbevaringsperiode skal angives. Den dataansvarlige skal gennemgå og ajourføre dette dokument, når det er relevant. Den dataansvarlige skal opbevare dokumentet i seks måneder efter behandlingens afslutning og efter anmodning stille det til rådighed for Information Commissioner (41).

(38) I henhold til paragraph 41 i Schedule 1 til DPA 2018 skal ovennævnte »Appropriate Policy Document« altid ledsages af en udvidet fortegnelse over behandlingsaktiviteterne. Denne fortegnelse skal spore opfyldelsen af forpligtelserne i dokumentet, dvs. at det skal registreres, om oplysningerne slettes eller opbevares i overensstemmelse med politikkerne. Hvis politikkerne ikke er blevet fulgt, skal årsagerne hertil registreres i fortegnelsen. I fortegnelsen skal det også beskrives, hvordan behandlingen opfylder artikel 6 i UK GDPR (lovlig behandling) og den specifikke betingelse i Schedule 1 til DPA 2018, der lægges til grund.

(39) Endelig indeholder UK GDPR ligesom forordning (EU) 2016/679 også en række generelle garantier for visse former for behandling af særlige kategorier af oplysninger. Artikel 35 i UK GDPR kræver en konsekvensanalyse vedrørende databeskyttelse, hvis særlige kategorier af oplysninger behandles i stort omfang. I henhold til artikel 37 i UK GDPR skal den dataansvarlige eller databehandleren udpege en databeskyttelsesrådgiver, hvis deres kerneaktiviteter består i at behandle særlige kategorier af oplysninger i stort omfang.

(40) Med hensyn til personoplysninger vedrørende straffedomme og lovovertrædelser er artikel 10 i UK GDPR identisk med artikel 10 i forordning (EU) 2016/679. Artiklen giver kun mulighed for behandling af personoplysninger vedrørende straffedomme og lovovertrædelser under en offentlig myndigheds kontrol, eller hvis behandlingen er tilladt i henhold til national lovgivning, der giver passende garantier for de registreredes rettigheder og frihedsrettigheder.

(41) Hvis behandlingen af oplysninger vedrørende straffedomme og lovovertrædelser ikke foretages under en offentlig myndigheds kontrol, fastsættes det i Section 10(5) i DPA 2018, at en sådan behandling kun må finde sted til de specifikke formål/i de specifikke situationer, der er fastsat i Part 1, 2 og 3 i Schedule 1 til DPA 2018, og at behandlingen er underlagt de specifikke krav, som er fastlagt for hvert/hver af disse formål/situationer. Oplysninger vedrørende straffedomme kan f.eks. behandles af nonprofitorganisationer, hvis behandlingen foretages a) som led i deres legitime aktiviteter, idet de fornødne garantier stilles af en fond, forening eller en anden nonprofitorganisation med et politisk, filosofisk, religiøst eller fagforeningsmæssigt formål, og b) på betingelse af i) at behandlingen udelukkende vedrører medlemmerne eller tidligere medlemmer af organisationen eller personer, der har regelmæssig kontakt med den i forbindelse med dens formål, og ii) at oplysningerne ikke videregives uden for organisationen uden de registreredes samtykke.

(42) Desuden er der i Part 3 i Schedule 1 til DPA 2018 fastsat en række yderligere omstændigheder, hvor der kan anvendes oplysninger vedrørende straffedomme, som svarer til det retlige grundlag for behandling af følsomme oplysninger i artikel 9, stk. 2, i forordning (EU) 2016/679 og i UK GDPR (f.eks. den registreredes samtykke, en persons vitale interesser, hvis den registrerede retligt eller fysisk er ude af stand til at give sit samtykke, hvis oplysningerne allerede tydeligvis er blevet offentliggjort af den registrerede, hvis behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares osv.).

2.5.3. Formålsbegrænsning, rigtighed, dataminimering, opbevaringsbegrænsning og datasikkerhed

(43) Personoplysninger skal behandles til et specifikt formål og efterfølgende udelukkende anvendes, såfremt anvendelsen ikke er uforenelig med behandlingsformålet.

(44) Dette princip er fastsat i artikel 5, stk. 1, litra b), i forordning (EU) 2016/679 og er bibeholdt uden ændringer i artikel 5, stk. 1, litra b), i UK GDPR. Betingelserne for yderligere forenelig behandling i henhold til artikel 6, stk. 4, i forordning (EU) 2016/679 er også bibeholdt uden væsentlige ændringer i artikel 6, stk. 4, litra a)-e), i UK GDPR.

(45) Endvidere skal personoplysninger være korrekte og om nødvendigt ajourførte. De bør også være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles, og de bør i princippet ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de behandles.

(46) Disse principper om dataminimering, rigtighed og opbevaringsbegrænsning er fastsat i artikel 5, stk. 1, litra c)-e), i forordning (EU) 2016/679 og bibeholdes uden ændringer i artikel 5, stk. 1, litra c)-e), i UK GDPR.

(47) Personoplysninger bør også behandles på en måde, der værner om deres sikkerhed, idet de bl.a. beskyttes mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse. Med henblik herpå bør virksomhedsledere træffe passende tekniske eller organisatoriske foranstaltninger for at beskytte personoplysninger mod mulige trusler. Disse foranstaltninger bør vurderes under hensyntagen til det aktuelle tekniske niveau og de relaterede omkostninger.

(48) Datasikkerhed er forankret i Det Forenede Kongeriges lovgivning i kraft af princippet om integritet og fortrolighed i artikel 5, stk. 1, litra f), i UK GDPR og i samme retsakts artikel 32 om behandlingssikkerhed. Disse bestemmelser er identiske med de respektive bestemmelser i forordning (EU) 2016/679. Desuden kræver UK GDPR på samme betingelser som dem, der er fastsat i artikel 33 og 34 i forordning (EU) 2016/679, at både tilsynsmyndigheden og den registrerede underrettes om et brud på persondatasikkerheden (henholdsvis artikel 33 og 34 i UK GDPR).

2.5.4. Gennemsigtighed

(49) Registrerede bør underrettes om de vigtigste dele af behandlingen af deres personoplysninger.

(50) Dette sikres ved artikel 13 og 14 i UK GDPR, som ud over et generelt princip om gennemsigtighed fastsætter regler om de oplysninger, der skal gives til den registrerede (42). I UK GDPR er der ikke foretaget nogen væsentlige ændringer af disse regler i forhold til de tilsvarende artikler i forordning (EU) 2016/679. Ligesom i forordning (EU) 2016/679 er gennemsigtighedskravene i disse artikler imidlertid omfattet af en række undtagelser, der er fastsat i DPA 2018 (se betragtning 55 til 72).

2.5.5. Individuelle rettigheder

(51) Registrerede bør have visse rettigheder, som kan gøres gældende over for den dataansvarlige eller databehandleren, navnlig retten til indsigt i oplysninger, retten til at gøre indsigelse mod behandlingen og retten til at få oplysninger berigtiget og slettet. Samtidig kan sådanne rettigheder være underlagt begrænsninger, for så vidt som disse begrænsninger er nødvendige og forholdsmæssige for at beskytte den offentlige sikkerhed eller andre vigtige mål af almen interesse.

2.5.5.1 Materielle rettigheder

(52) UK GDPR giver enkeltpersoner de samme rettigheder, der kan håndhæves, som forordning (EU) 2016/679. Bestemmelserne om enkeltpersoners rettigheder er blevet bibeholdt i UK GDPR uden væsentlige ændringer.

(53) Disse rettigheder omfatter den registreredes ret til indsigt (artikel 15 i UK GDPR), retten til berigtigelse (artikel 16 i UK GDPR), retten til sletning (artikel 17 i UK GDPR), retten til begrænsning af behandling (artikel 18 i UK GDPR), en underretningspligt vedrørende berigtigelse eller sletning af personoplysninger eller begrænsning af behandling (artikel 19 i UK GDPR), retten til dataportabilitet (artikel 20 i UK GDPR) og retten til at gøre indsigelse (artikel 21 i UK GDPR) (43). Sidstnævnte omfatter også den registreredes ret til at gøre indsigelse mod behandling af personoplysninger med henblik på direkte markedsføring, jf. artikel 21, stk. 2 og 3, i forordning (EU) 2016/679. I henhold til Section 122 i DPA 2018 skal Information Commissioner desuden udarbejde en adfærdskodeks for direkte markedsføring i overensstemmelse med kravene i databeskyttelseslovgivningen (og bestemmelserne om databeskyttelse og elektronisk kommunikation i Privacy and Electronic Communications (EC Directive) Regulations 2003 samt andre retningslinjer til fremme af god praksis i forbindelse med direkte markedsføring, som Information Commissioner finder passende. Information Commissioners kontor er i færd med at udvikle kodeksen for direkte markedsføring (44).

(54) Den registreredes ret til ikke at være genstand for en afgørelse, der udelukkende er baseret på automatisk behandling, og som har retsvirkning eller på tilsvarende vis påvirker den pågældende væsentligt, jf. artikel 22 i GDPR, er også blevet bevaret i UK GDPR uden væsentlige ændringer. Der er imidlertid tilføjet et nyt stk. 3A for at henvise til, at Section 14 i DPA 2018 fastsætter garantier for registreredes rettigheder, frihedsrettigheder og legitime interesser, når behandlingen foretages i henhold til artikel 22, stk. 2, litra b), i UK GDPR. Dette gælder kun, når grundlaget for en sådan afgørelse er en godkendelse eller et krav i henhold til Det Forenede Kongeriges lovgivning, og ikke hvis afgørelsen er nødvendig i henhold til en kontrakt eller er truffet med den registreredes udtrykkelige samtykke. Hvis Section 14 i DPA 2018 finder anvendelse, skal den dataansvarlige, så snart det er praktisk muligt, skriftligt underrette den registrerede om, at der er truffet en afgørelse udelukkende på grundlag af automatisk behandling. Den registrerede har ret til — senest en måned efter modtagelsen af underretningen — at anmode den dataansvarlige om at tage afgørelsen op til fornyet overvejelse eller træffe en ny afgørelse, der ikke udelukkende er baseret på automatisk behandling. Secretary of State har beføjelse til at vedtage yderligere sikkerhedsforanstaltninger med hensyn til automatisk beslutningstagning. Denne beføjelse er endnu ikke blevet udøvet.

2.5.5.2 Begrænsninger i individuelle rettigheder og andre bestemmelser

(55) DPA 2018 fastsætter en række begrænsninger for individuelle rettigheder i overensstemmelse med artikel 23 i UK GDPR. I denne artikel indføres der ingen begrænsninger vedrørende den ret til at gøre indsigelse mod direkte markedsføring, som er fastsat i artikel 21, stk. 2 og 3, i UK GDPR eller retten til ikke at være underlagt automatisk beslutningstagning som fastsat i artikel 22 i UK GDPR.

(56) Begrænsningerne er nærmere beskrevet i Schedule 2-4 til DPA 2018. Myndigheder i Det Forenede Kongerige har forklaret, at de følger to principper, nemlig specialitetsprincippet (ved at anlægge en detaljeret tilgang, opdele overordnede begrænsninger i flere og mere specifikke bestemmelser) og konditionalitetsprincippet (hver bestemmelse suppleres af sikkerhedsforanstaltninger i form af begrænsninger eller betingelser for at forhindre misbrug) (45).

(57) Ved formuleringen af de begrænsninger, der er beskrevet i artikel 23, stk. 1, i UK GDPR, sikres det, at de kun finder anvendelse under nærmere angivne omstændigheder, hvor det er nødvendigt i et demokratisk samfund og står i et rimeligt forhold til det legitime mål, de forfølger. I overensstemmelse med fast retspraksis om fortolkning af begrænsninger kan en undtagelse fra databeskyttelsesordningen desuden kun anvendes i særlige tilfælde, hvis det er nødvendigt og rimeligt at gøre det (46). Vurderingen af nødvendigheden skal være »streng, idet ethvert indgreb i den registreredes rettigheder skal stå i et rimeligt forhold til, hvor alvorlig truslen mod offentlighedens interesser er. Der er derfor tale om en klassisk proportionalitetsanalyse (47).«

(58) Formålet med disse begrænsninger svarer til formålet med dem, der er anført i artikel 23 i forordning (EU) 2016/679, bortset fra begrænsningerne med hensyn til statens sikkerhed og forsvar, som i stedet er reguleret af Section 26 i DPA 2018, men som er underlagt de samme krav om nødvendighed og proportionalitet (se betragtning 63 til 66).

(59) Nogle af begrænsningerne, f.eks. dem, der vedrører forebyggelse eller afsløring af kriminalitet, pågribelse eller retsforfølgning af lovovertrædere og fastsættelse eller opkrævning af skatter eller afgifter (48), gør det muligt at begrænse alle individuelle rettigheder og gennemsigtighedsforpligtelser (bortset fra rettigheder i henhold til artikel 21, stk. 2, og artikel 22). Andre begrænsninger finder kun anvendelse på gennemsigtighedsforpligtelser og adgangsrettigheder, såsom de begrænsninger, der vedrører fortroligheden mellem advokat og klient (49), retten til fritagelse fra et krav om at give oplysninger, som ville føre til selvinkriminering (50), og virksomhedsfinansiering, navnlig forebyggelse af insiderhandel (51). Kun få af begrænsningerne gør det muligt at begrænse den dataansvarliges forpligtelse til at underrette en registreret om et brud på datasikkerheden og principperne om formålsbegrænsning samt lovlighed, rimelighed og gennemsigtighed i behandlingen (52).

(60) Nogle af begrænsningerne gælder automatisk »fuldt ud« for en bestemt slags behandling af personoplysninger (f.eks. er anvendelsen af gennemsigtighedsforpligtelser og individuelle rettigheder udelukket, når personoplysninger behandles med henblik på at vurdere en persons egnethed til et retligt embede, eller når personoplysninger behandles af en domstol eller en person, der handler som en domstol).

(61) For de fleste tilfældes vedkommende præciseres det imidlertid i den relevante paragraph i Schedule 2 til DPA 2018, at begrænsningen kun finder anvendelse, når (og i det omfang) anvendelsen af bestemmelserne »sandsynligvis vil skade« det legitime formål, der forfølges med begrænsningen. For eksempel finder bestemmelserne i UK GDPR ikke anvendelse på personoplysninger, der behandles med henblik på forebyggelse eller afsløring af kriminalitet, pågribelse eller retsforfølgning af lovovertrædere eller ansættelse eller opkrævning af en skat eller afgift, »i det omfang anvendelsen af disse bestemmelser sandsynligvis vil skade« et af disse forhold (53).

(62) De britiske domstole har fortolket ordlyden »sandsynligvis vil skade« som »en meget betydelig og tungtvejende risiko for at skade de udpegede offentlige interesser« (54). En begrænsning, som er omfattet af vurderingen af, om der forvoldes skade, kan derfor kun påberåbes, hvis og i det omfang der er en meget betydelig og tungtvejende chance for, at tildelingen af en bestemt rettighed vil skade den offentlige interesse. Den dataansvarlige er ansvarlig for fra sag til sag at vurdere, om disse betingelser er opfyldt (55).

(63) Ud over begrænsningerne i Schedule 2 til DPA 2018 indeholder Section 26 i samme lov en undtagelse, der kan finde anvendelse på visse bestemmelser i UK GDPR og DPA 2018, hvis denne undtagelse er nødvendig af hensyn til beskyttelsen af statens sikkerhed eller det nationale forsvar. Denne undtagelse finder anvendelse på databeskyttelsesprincipperne (bortset fra princippet om lovlighed), gennemsigtighedsforpligtelserne, den registreredes rettigheder, forpligtelsen til at anmelde et brud på datasikkerheden, reglerne om internationale overførsler, nogle af de pligter og beføjelser, der påhviler Information Commissioner, og reglerne om retsmidler, ansvar og sanktioner, bortset fra bestemmelsen om de generelle betingelser for pålæggelse af administrative bøder i artikel 83 i UK GDPR og bestemmelsen om sanktioner i artikel 84 i UK GDPR. Desuden ændrer Section 28 i DPA 2018 anvendelsen af artikel 9, stk. 1, for at muliggøre behandling af særlige kategorier af oplysninger i artikel 9, stk. 1, i UK GDPR, i det omfang behandlingen foretages af hensyn til statens sikkerhed eller til forsvarsformål, og idet de fornødne garantier stilles med hensyn til registreredes rettigheder og frihedsrettigheder (56).

(64) Undtagelsen kan kun anvendes i det omfang, den er nødvendig for at beskytte statens sikkerhed eller det nationale forsvar. Ligesom det gælder for de øvrige undtagelser, der er fastsat i DPA 2018, skal den dataansvarlige overveje og påberåbe sig den i hvert enkelt tilfælde. Desuden skal enhver anvendelse af undtagelsen være i overensstemmelse med standarderne for menneskerettigheder (understøttet af Human Rights Act 1998), ifølge hvilken ethvert indgreb i retten til privatlivets fred skal være nødvendig og forholdsmæssig i et demokratisk samfund (57).

(65) Denne fortolkning af undtagelsen bekræftes af den ICO, der har udstedt detaljerede retningslinjer for anvendelsen af undtagelsen for national sikkerhed og forsvar, idet den gør det klart, at den skal overvejes og anvendes af den dataansvarlige fra sag til sag (58). Det understreges navnlig i vejledningen, at det ikke er »en generel undtagelse«, og at det for at kunne påberåbe sig den »ikke er tilstrækkeligt, at oplysningerne behandles af hensyn til den nationale sikkerhed«. Derimod skal den dataansvarlige, der påberåber sig den, »påvise, at der er en reel mulighed for at skade den nationale sikkerhed«, og den dataansvarlige forventes om nødvendigt at »forelægge [ICO] dokumentation for, hvorfor [den] har anvendt denne undtagelse«. Vejledningen indeholder en tjekliste og en række eksempler for yderligere at præcisere, under hvilke betingelser denne undtagelse kan påberåbes.

(66) Den omstændighed, at oplysningerne behandles til nationale sikkerheds- eller forsvarsformål, er derfor ikke i sig selv tilstrækkelig til, at undtagelsen kan finde anvendelse. Den dataansvarlige skal overveje de faktiske konsekvenser for statens sikkerhed, hvis den pågældende databeskyttelsesbestemmelse skal overholdes. Undtagelsen kan kun anvendes på netop de bestemmelser, der anses for at udgøre risikoen, og skal anvendes så restriktivt som muligt (59).

(67) Denne tilgang er blevet bekræftet af Information Tribunal (60). I sagen Baker mod Secretary of State for the Home Department (»Baker mod Secretary of State«) fastslog retten, at det var ulovligt at anvende undtagelsen vedrørende statens sikkerhed som en generel undtagelse for anmodninger om adgang, som efterretningstjenesterne modtager. I stedet skulle undtagelsen anvendes fra sag til sag under hensyntagen til den enkelte anmodnings berettigelse og i lyset af enkeltpersoners ret til respekt for deres privatliv (61).

2.5.6. Begrænsninger for personoplysninger, der behandles til journalistiske, kunstneriske, akademiske og litterære formål samt med henblik på arkivering og forskning

(68) Artikel 85, stk. 2, i UK GDPR giver mulighed for, at personoplysninger, der behandles til journalistiske, kunstneriske, akademiske og litterære formål, undtages fra flere bestemmelser i UK GDPR. I Part 5 i Schedule 2 til DPA 2018 fastsættes de undtagelser, der gælder for behandling til disse formål. Den indeholder undtagelser fra databeskyttelsesprincipperne (bortset fra princippet om integritet og fortrolighed), retsgrundlaget for behandlingen (herunder særlige kategorier af oplysninger om bl.a. straffedomme), betingelserne for samtykke, gennemsigtighedsforpligtelserne, de registreredes rettigheder, forpligtelsen til at anmelde brud på datasikkerheden og kravet om at høre Information Commissioner forud for behandling, der indebærer stor risiko, og reglerne om internationale overførsler (62). I denne henseende afviger UK GDPR rent indholdsmæssigt ikke væsentligt fra forordning (EU) 2016/679, som i artikel 85 også giver mulighed for at undtage behandling, der foretages i journalistisk øjemed eller med henblik på akademisk, kunstnerisk eller litterær virksomhed, fra en række krav i forordning (EU) 2016/679. Bestemmelserne i DPA 2018, navnlig Schedule 2, Part 5, er forenelige med UK GDPR.

(69) Den centrale afvejning, der skal foretages i henhold til artikel 85 i UK GDPR, vedrører spørgsmålet om, hvorvidt en undtagelse fra de databeskyttelsesregler, der er nævnt i betragtning 68, er »nødvendig for at forene retten til beskyttelse af personoplysninger med ytrings- og informationsfriheden« (63). I henhold til paragraph 26(2) og (3) i Schedule 2 til DPA 2018 foretager Det Forenede Kongerige ved denne afvejning en vurdering baseret på en »rimelig antagelse«. For at en undtagelse kan begrundes, skal den dataansvarlige med rimelighed antage, i) at offentliggørelse er i offentlighedens interesse, og ii) at anvendelsen af den relevante bestemmelse i GDPR ville være uforenelig med journalistiske, akademiske, kunstneriske eller litterære formål. Som bekræftet i retspraksis (64) har vurderingen baseret på en »rimelig antagelse« både et subjektivt og et objektivt element: Det er ikke tilstrækkeligt, at den dataansvarlige kan påvise, at han selv mente, at overholdelsen var uforenelig med formålet. Hans antagelse skal også være rimelig, hvilket vil sige, at en fornuftig person, som havde kendskab til de relevante forhold, ville være enig i den. Den dataansvarlige skal derfor udvise rettidig omhu i forbindelse med sin antagelse for at kunne påvise, at den er rimelig. Ifølge de britiske myndigheders forklaringer skal vurderingen baseret på en »rimelig antagelse« foretages for hver enkelt undtagelse (65). Hvis betingelserne er opfyldt, anses undtagelsen for at være nødvendig og forholdsmæssig i henhold til Det Forenede Kongeriges lovgivning.

(70) I henhold til Section 124 i DPA 2018 skal ICO udarbejde en adfærdskodeks for databeskyttelse og journalistik. Arbejdet med at udarbejde denne kodeks er i gang. I henhold til Data Protection Act 1998 er der udsendt retningslinjer på området, hvori det navnlig understreges, at det for at kunne påberåbe sig denne undtagelse ikke er tilstrækkeligt blot at anføre, at overholdelse ville være en ulempe for journalisters aktiviteter. Der skal også være et klart argument for, at den pågældende bestemmelse udgør en hindring for ansvarlig journalistik (66). Retningslinjer for anvendelsen af kriteriet om offentlig interesse og afvejningen af offentlighedens interesse med den enkeltes ret til privatlivets fred er også blevet offentliggjort af Det Forenede Kongeriges tilsynsmyndighed for telekommunikation OFCOM og af BBC i selskabets redaktionelle retningslinjer (67). I retningslinjerne gives der navnlig eksempler på oplysninger, der kan betragtes som værende i offentlighedens interesse, og samtidig anføres behovet for at kunne påvise, at offentlighedens interesse vejer tungere end retten til privatlivets fred under de særlige omstændigheder i sagen.

(71) I lighed med hvad der er fastsat i artikel 89 i databeskyttelsesforordningen, kan personoplysninger, som behandles med henblik på arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, også undtages fra en række af bestemmelserne i UK GDPR (68). For så vidt angår forskning og statistik er der mulighed for undtagelser fra de bestemmelser i UK GDPR, der vedrører bekræftelse af behandling, og adgang til data og garantier i forbindelse med overførsler fra tredjelande, ret til berigtigelse, begrænsning af behandling og indsigelse mod behandling. Med hensyn til arkivering i samfundets interesse er der også mulighed for undtagelser fra underretningspligten i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling og i forbindelse med retten til dataportabilitet.

(72) I henhold til paragraph 27(1) og 28(1) i Schedule 2 til DPA 2018 er der mulighed for at gøre brug af undtagelserne fra de anførte bestemmelser i UK GDPR, hvis anvendelsen af bestemmelserne ville »forhindre eller i alvorlig grad hæmme opfyldelsen« af de pågældende formål (69).

(73) I betragtning af deres relevans for en effektiv udøvelse af individuelle rettigheder vil der blive taget behørigt hensyn til enhver relevant udvikling med hensyn til fortolkningen og den praktiske anvendelse af ovennævnte undtagelser (foruden den, der vedrører opretholdelse af en effektiv indvandringskontrol, jf. betragtning 6), herunder enhver yderligere udvikling af retspraksis og ICO's retningslinjer og håndhævelsesforanstaltninger i forbindelse med den løbende overvågning af denne afgørelse (70).

2.5.7. Begrænsninger for videreoverførsel

(74) Beskyttelsesniveauet for personoplysninger, der overføres fra Den Europæiske Union til dataansvarlige eller databehandlere i Det Forenede Kongerige, må ikke undergraves af videreoverførsel af sådanne oplysninger til modtagere i et tredjeland. Sådanne »videreoverførsler«, som set fra den britiske dataansvarliges eller databehandlers synspunkt udgør internationale overførsler fra Det Forenede Kongerige, bør kun tillades, hvis den efterfølgende modtager uden for Det Forenede Kongerige selv er underlagt regler, der sikrer et beskyttelsesniveau svarende til det, som sikres i Det Forenede Kongeriges retsorden. Derfor er anvendelsen af reglerne i UK GDPR og DPA 2018 om internationale overførsler af personoplysninger en vigtig faktor for at sikre kontinuitet i beskyttelsen af personoplysninger, der overføres fra Den Europæiske Union til Det Forenede Kongerige i henhold til denne afgørelse.

(75) Ordningen for internationale overførsler af personoplysninger fra Det Forenede Kongerige er fastsat i artikel 44-49 i UK GDPR suppleret med DPA 2018 og er grundlæggende identisk med de regler, der er fastsat i kapitel V i forordning (EU) 2016/679 (71). Overførsel af personoplysninger til et tredjeland eller en international organisation kan kun finde sted på grundlag af bestemmelser om beskyttelsesniveauets tilstrækkelighed (Det Forenede Kongeriges pendant til en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til forordning (EU) 2016/679), eller uden brug af sådanne bestemmelser, hvis den dataansvarlige eller databehandleren har givet de fornødne garantier i overensstemmelse med artikel 46 i UK GDPR. I mangel af bestemmelser om tilstrækkeligheden af beskyttelsesniveauet eller passende garantier kan en overførsel kun finde sted på grundlag af undtagelser, der er fastsat i artikel 49 i UK GDPR.

(76) Det kan i Secretary of States bestemmelser om tilstrækkeligheden fastsættes, at et tredjeland (eller et område eller en sektor i et tredjeland), en international organisation eller en beskrivelse (72) af et sådant land eller område eller en sådan sektor eller organisation sikrer et tilstrækkeligt niveau for beskyttelse af personoplysninger. Ved vurderingen af beskyttelsesniveauets tilstrækkelighed skal Secretary of State tage hensyn til nøjagtig de samme elementer, som Kommissionen skal vurdere i henhold til artikel 45, stk. 2, litra a)-c), i forordning (EU) 2016/679, fortolket sammen med betragtning 104 i samme forordning og den bibeholdte EU-retspraksis. Det betyder, at den relevante standard i forbindelse med vurderingen af, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt, vil være, om det pågældende tredjeland sikrer et beskyttelsesniveau, der »i det væsentlige svarer til« det, der sikres i Det Forenede Kongerige.

(77) Med hensyn til procedurer er bestemmelserne om tilstrækkeligheden af beskyttelsesniveauet underlagt de »generelle« proceduremæssige krav, der er fastsat i Section 182 i DPA 2018. I henhold til denne procedure skal Secretary of State rådføre sig med Information Commissioner, når førstnævnte foreslår at vedtage britiske bestemmelser om tilstrækkelighed (73). Når Secretary of State har vedtaget disse bestemmelser, forelægges de for parlamentet, idet de er underlagt »den negative beslutningsprocedure«, i henhold til hvilken begge parlamentets kamre kan granske bestemmelserne og har mulighed for at vedtage et forslag om annullering af dem inden for en frist på 40 dage (74).

(78) I henhold til Section 17B(1) i DPA 2018 skal bestemmelserne om tilstrækkelighed revideres med højst fire års mellemrum, og Secretary of State skal løbende overvåge udviklingen i tredjelande og internationale organisationer, der kan påvirke beslutninger om at fastsætte bestemmelser om tilstrækkelighed eller om at ændre eller tilbagekalde sådanne bestemmelser. Hvis Secretary of State bliver opmærksom på, at et sådant land eller en sådan organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, skal Secretary of State i det omfang, det er nødvendigt, ændre eller tilbagekalde bestemmelserne og indlede konsultationer med det pågældende tredjeland eller den pågældende organisation for at afhjælpe manglen på et tilstrækkeligt beskyttelsesniveau. Disse proceduremæssige aspekter afspejler også de tilsvarende krav i forordning (EU) 2016/679.

(79) I mangel af bestemmelser om beskyttelsesniveauets tilstrækkelighed kan internationale overførsler finde sted, hvis den dataansvarlige eller databehandleren har givet de fornødne garantier i overensstemmelse med artikel 46 i UK GDPR. Disse garantier svarer til dem, der er fastsat i artikel 46 i forordning (EU) 2016/679. De omfatter juridisk bindende instrumenter, der kan håndhæves blandt offentlige myndigheder eller organer, bindende virksomhedsregler (75), standardbestemmelser om databeskyttelse, godkendte adfærdskodekser, godkendte certificeringsmekanismer og — med tilladelse fra Information Commissioner — kontraktlige aftaler mellem dataansvarlige (eller databehandlere) eller administrative ordninger mellem offentlige myndigheder. Ud fra et proceduremæssigt synspunkt er reglerne dog blevet ændret for at fungere i den britiske kontekst. Navnlig kan standardbestemmelserne om databeskyttelse vedtages af Secretary of State (Section 17C) eller Information Commissioner (Section 119A) i medfør af DPA 2018.

(80) I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller passende garantier kan en overførsel kun finde sted på grundlag af undtagelser, der er fastsat i artikel 49 i UK GDPR (76). I UK GDPR er der ikke foretaget nogen væsentlige ændringer af undtagelserne i forhold til de tilsvarende bestemmelser i forordning (EU) 2016/679. I henhold til UK GDPR kan der — som i henhold til forordning (EU) 2016/679 — kun gøres brug af visse undtagelser, hvis overførslen er lejlighedsvis (77). Endvidere præciserer ICO i sine retningslinjer for internationale overførsler, at undtagelserne kun bør bruges som egentlige »undtagelser« fra den generelle regel om, at der ikke må foretages en begrænset overførsel, medmindre den er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller der er stillet passende garantier (78). Med hensyn til overførsler, der er nødvendige af hensyn til vigtige samfundsinteresser (artikel 49, stk. 1, litra d)), kan Secretary of State fastsætte bestemmelser for at præcisere, under hvilke omstændigheder overførsel af personoplysninger til et tredjeland eller en international organisation ikke er nødvendig af hensyn til vigtige samfundsinteresser. Secretary of State kan desuden fastsætte bestemmelser, der begrænser overførslen af en kategori af personoplysninger til et tredjeland eller en international organisation, hvis overførslen ikke kan finde sted på grundlag af bestemmelser om tilstrækkeligheden af beskyttelsesniveauet, og Secretary of State anser begrænsningen for nødvendig af hensyn til vigtige samfundsinteresser. Der er endnu ikke vedtaget sådanne bestemmelser.

(81) Disse rammer for internationale overførsler finder anvendelse fra og med overgangsperiodens udløb (79). Paragraph 4 i Schedule 21 til DPA 2018 (indført ved DPPEC-bestemmelserne) fastsætter imidlertid, at visse overførsler af personoplysninger fra overgangsperiodens udløb behandles, som om de er baseret på bestemmelser om tilstrækkelighed. Disse overførsler omfatter overførsler til en EØS-stat, Gibraltars territorium, en EU-institution, et organ, kontor eller agentur, der er oprettet af eller på grundlag af EU-traktaten, og tredjelande, der var genstand for en EU-afgørelse om beskyttelsesniveauets tilstrækkelighed ved overgangsperiodens udløb. Overførslerne til disse lande kan derfor fortsætte som før Det Forenede Kongeriges udtræden af EU. Efter overgangsperiodens udløb skal Secretary of State foretage en gennemgang af disse konklusioner om tilstrækkeligheden inden for en periode på fire år, dvs. senest ved udgangen af december 2024. Selv om Secretary of State skal foretage denne gennemgang inden udgangen af december 2024, indeholder overgangsbestemmelserne ifølge myndighederne i Det Forenede Kongerige ikke en »udløbsklausul«, og de relevante overgangsbestemmelser vil ikke automatisk ophøre med at have virkning, hvis en gennemgang ikke er afsluttet ved udgangen af december 2024.

(82) Endelig vil Kommissionen med hensyn til den fremtidige udvikling af Det Forenede Kongeriges internationale overførselsordning — gennem vedtagelse af nye bestemmelser om tilstrækkelighed, indgåelse af internationale aftaler eller udvikling af andre overførselsmekanismer — nøje overvåge situationen, vurdere, om de forskellige overførselsmekanismer anvendes på en måde, der sikrer kontinuitet i beskyttelsen, og om nødvendigt træffe passende foranstaltninger til at imødegå eventuelle negative virkninger for en sådan kontinuitet (se betragtning 278 til 287). Da EU og Det Forenede Kongerige har lignende regler om internationale overførsler, forventes det, at problematiske forskelle også kan undgås gennem samarbejde, udveksling af oplysninger og udveksling af erfaringer, herunder mellem ICO og Det Europæiske Databeskyttelsesråd.

2.5.8. Ansvarlighed

(83) I henhold til princippet om ansvarlighed skal enheder, der behandler oplysninger, træffe passende organisatoriske foranstaltninger med henblik på effektiv overholdelse af deres databeskyttelsesforpligtelser, og de skal være i stand til at dokumentere denne overholdelse, navnlig over for den kompetente tilsynsmyndighed.

(84) Princippet om ansvarlighed i forordning (EU) 2016/679 er bibeholdt i artikel 5, stk. 2, i UK GDPR uden væsentlige ændringer, og det samme gælder artikel 24 om den dataansvarliges ansvar, artikel 25 om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger og artikel 30 om fortegnelser over behandlingsaktiviteter. Artikel 35 og 36 om konsekvensanalyse vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheden er også blevet bibeholdt. Artikel 37-39 i forordning (EU) 2016/679 om udpegelse af en databeskyttelsesrådgiver og dennes opgaver er blevet bibeholdt i UK GDPR uden væsentlige ændringer. Desuden er bestemmelserne i artikel 40 og 42 i forordning (EU) 2016/679 om adfærdskodekser og certificering bibeholdt i UK GDPR. (80)

2.6 Tilsyn og håndhævelse

2.6.1. Uafhængigt tilsyn

(85) For at sikre, at et tilstrækkeligt databeskyttelsesniveau garanteres i praksis, bør der være oprettet en uafhængig tilsynsmyndighed med beføjelser til at overvåge og sikre, at databeskyttelsesreglerne overholdes. Denne myndighed bør være fuldstændig uafhængig og upartisk i udførelsen af sine opgaver og udøvelsen af sine beføjelser.

(86) I Det Forenede Kongerige varetages tilsynet med og håndhævelsen af UK GDPR og DPA 2018 af Information Commissioner. Information Commissioner er en »Corporation Sole«, dvs. en særskilt juridisk enhed, der består af en enkelt person. I sit arbejde bistås Information Commissioner af et kontor. Den 31. marts 2020 havde Information Commissioners kontor 768 fastansatte medarbejdere (81). Information Commissioner er underlagt Department for Digital, Culture, Media and Sport (82).

(87) Information Commissioners uafhængighed er udtrykkeligt fastsat i artikel 52 i UK GDPR, hvor der ikke foretages væsentlige ændringer af databeskyttelsesforordningens artikel 52, stk. 1-3. Information Commissioner skal handle helt uafhængigt i forbindelse med varetagelsen af sine opgaver og udøvelsen af sine beføjelser i overensstemmelse med UK GDPR, være fri for udefrakommende indflydelse, hvad enten den er direkte eller indirekte, i forbindelse med disse opgaver og beføjelser og hverken søge eller modtage instrukser fra nogen. Desuden skal Information Commissioner afholde sig fra enhver handling, der er uforenelig med karakteren af dennes hverv, ligesom vedkommende under udøvelsen af sit hverv ikke må udøve nogen uforenelig lønnet eller ulønnet erhvervsmæssig virksomhed.

(88) Betingelserne for udpegelse og afskedigelse af Information Commissioner er fastsat i Schedule 12 til DPA 2018. Information Commissioner udnævnes af Storbritanniens dronning efter indstilling fra regeringen i henhold til en fair og åben udvælgelsesprøve. Ansøgerne til stillingen skal have relevante kvalifikationer, færdigheder og kompetencer. I overensstemmelse med Governance Code on Public Appointments (forvaltningsloven om offentlige udnævnelser) (83) udarbejder et rådgivende vurderingsudvalg en liste over kandidater, der kan udnævnes. Inden Secretary of State at the Department for Digital, Culture, Media and Sport træffer sin endelige afgørelse, skal det relevante særlige udvalg i parlamentet foretage en kontrol forud for udnævnelsen. Udvalgets holdning offentliggøres (84).

(89) Information Commissioner har en mandatperiode på op til syv år. Den samme person kan ikke udpeges til Information Commissioner mere end én gang. Information Commissioner kan afskediges af dronningen efter forslag (»Address«) fra begge parlamentets kamre (85). En anmodning om afskedigelse af Information Commissioner kan ikke indgives til nogen af parlamentets kamre, medmindre en minister har forelagt en rapport, hvoraf det fremgår, at han eller hun finder det godtgjort, at Information Commissioner har begået en alvorlig forseelse, og/eller at vedkommende ikke længere opfylder de betingelser, der er nødvendige for varetagelsen af vedkommendes opgaver (86).

(90) Finansieringen af Information Commissioner kommer fra tre kilder, nemlig i) databeskyttelsesafgifter, der betales af dataansvarlige, og som er fastsatSecretary of States bestemmelser (87) (Data Protection (Charges and Information) Regulations 2018) og udgør 85-90 % af kontorets årlige budget (88), ii) tilskud i form af støtte, som regeringen yder til Information Commissioner, og som hovedsagelig anvendes til at finansiere Information Commissioners driftsomkostninger i forbindelse med opgaver, der ikke vedrører databeskyttelse (89), og iii) gebyrer for tjenesteydelser (90). På nuværende tidspunkt opkræves der ikke sådanne gebyrer.

(91) Information Commissioners generelle opgaver i forbindelse med behandling af personoplysninger, som UK GDPR finder anvendelse på, er fastsat i artikel 57 i UK GDPR, som i høj grad afspejler de tilsvarende regler i forordning (EU) 2016/679. Disse opgaver omfatter overvågning og håndhævelse af UK GDPR, fremme af offentlighedens bevidsthed, behandling af klager indgivet af de registrerede, gennemførelse af undersøgelser osv. Derudover pålægger Section 115 i DPA 2018 Information Commissioner en række andre generelle opgaver, herunder en pligt til at rådgive parlamentet, regeringen og andre institutioner og organer om lovgivningsmæssige og administrative foranstaltninger vedrørende beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger og beføjelse til på Information Commissioners eget initiativ eller efter anmodning at afgive udtalelser til parlamentet, regeringen eller andre institutioner og organer samt til offentligheden om ethvert spørgsmål vedrørende beskyttelse af personoplysninger. Af hensyn til opretholdelsen af retsvæsenets uafhængighed har Information Commissioner ikke bemyndigelse til at udøve sine funktioner i forbindelse med behandling af personoplysninger, som foretages af en person, der handler i egenskab af domstol, eller en ret, som handler i sin egenskab af domstol. Tilsynet med retsvæsenet varetages imidlertid af specialiserede organer (se betragtning 99 til 103.

2.6.2. Håndhævelse, herunder sanktioner

(92) Information Commissioners beføjelser er fastsat i artikel 58 i UK GDPR, som ikke indfører væsentlige ændringer af den tilsvarende artikel i forordning (EU) 2016/679. I DPA 2018 er der fastsat supplerende regler for, hvordan disse beføjelser kan udøves. Information Commissioner har navnlig beføjelse til at a) pålægge den dataansvarlige og databehandleren (og under visse omstændigheder enhver anden person) at fremlægge nødvendige oplysninger ved at sende en anmodning om oplysninger (»information notice«) (91), b) gennemføre undersøgelser og revisioner ved at sende et vurderingsvarsel (»assessment notice«) (92), hvori det kan kræves, at den dataansvarlige eller databehandleren giver Information Commissioner tilladelse til at få adgang til bestemte lokaler, inspicere eller undersøge dokumenter eller udstyr, interviewe personer, der behandler personoplysninger på vegne af den dataansvarlige, osv.), c) på anden måde få adgang til dataansvarliges og databehandleres dokumenter m.v. og deres lokaler i overensstemmelse med Section 154 i DPA 2018 (»powers of entry and inspection« — adgangs- og undersøgelsesbeføjelser), d) udøve korrigerende beføjelser, bl.a. ved brug af advarsler og irettesættelser, eller udstede påbud ved hjælp af en »enforcement notice« (håndhævelsesmeddelelse), der pålægger dataansvarlige/databehandlere at tage eller undlade at tage bestemte skridt, herunder at gøre alt, hvad der er angivet i artikel 58, stk. 2, litra c)-g) og litra j), i UK GDPR (»enforcement notice«) (93), og e) udstede administrative bøder i form af en »penalty notice« (94) (bødeforlæg). Sidstnævnte kan også udstedes, hvis en offentlig myndighed ikke har overholdt bestemmelserne i UK GDPR (95).

(93) I ICO's Regulatory Action Policy (politik for reguleringsmæssige foranstaltninger) fastsættes de omstændigheder, hvorunder organet vil udstede en »information notice«, »assessment notice«, »enforcement notice« eller »penalty notice« (96). Et »enforcement notice«, der gives som følge af en dataansvarligs eller databehandlers manglende overholdelse, må kun stille krav, som Information Commissioner finder passende med henblik på at afhjælpe fejlen. Der kan udstedes en »enforcement notice« og en »penalty notice« til en dataansvarlig eller databehandler vedrørende overtrædelser af kapitel II i UK GDPR (principper for behandling), artikel 12-22 (den registreredes rettigheder), artikel 25-39 (dataansvarliges og databehandleres forpligtelser) og artikel 44-49 (internationale overførsler) i UK GDPR. Der kan også gives en »enforcement notice«, hvis en dataansvarlig ikke har overholdt kravet om betaling af en afgift i henhold til Section 137 i DPA 2018. Desuden kan et kontrolorgan i henhold til artikel 41 eller et certificeringsorgan få en »enforcement notice«, hvis det ikke opfylder sine forpligtelser i henhold til UK GDPR. Der kan også gives en »penalty notice« til en person, der ikke har efterkommet en »information notice«, en »assessment notice« eller en »enforcement notice«.

(94) I en »penalty notice« pålægges modtageren at betale Information Commissioner et beløb, der er anført i bødeforlægget. Når Information Commissioner vurderer, om der skal gives en »penalty notice« til en person, og fastsætter sanktionens størrelse, skal vedkommende tage hensyn til de forhold, der er anført i artikel 83, stk. 1 og 2, i UK GDPR, som er identiske med de tilsvarende regler i forordning (EU) 2016/679 (97). I henhold til artikel 83, stk. 4 og 5, kan de administrative bøder i tilfælde af manglende overholdelse af de forpligtelser, der er omhandlet i disse bestemmelser, højst udgøre henholdsvis 8 700 000 GBP og 17 500 000 GBP. Hvis der er tale om en virksomhed, kan Information Commissioner dog også pålægge bøder i procent af den årlige omsætning på verdensplan, hvis dette beløb er højere. Som i de tilsvarende bestemmelser i forordning (EU) 2016/679 er disse beløb fastsat til henholdsvis 2 % og 4 % i henholdsvis artikel 83, stk. 4 og 5. I tilfælde af manglende efterkommelse af en »information notice«, en »assessment notice« eller en »enforcement notice« er maksimumsbeløbet for den sanktion, der kan pålægges ved en »penalty notice«, 17 500 000 GBP eller for en virksomheds vedkommende 4 % af den årlige omsætning på verdensplan, afhængigt af hvilket beløb der er højest.

(95) UK GDPR har sammen med DPA 2018 også styrket en række andre af Information Commissioners beføjelser. For eksempel kan Information Commissioner nu gennemføre obligatoriske revisioner af alle dataansvarlige og databehandlere ved hjælp af »assessment notices«, mens Information Commissioner i henhold til den tidligere lovgivning, Data Protection Act 1998, kun havde denne beføjelse med hensyn til centrale statslige organisationer, herunder sundhedsorganisationer, idet andre skulle acceptere en revision.

(96) Siden indførelsen af forordning (EU) 2016/679 har ICO behandlet ca. 40 000 klager fra registrerede om året, (98) og desuden foretager ICO ca. 2 000 undersøgelser på eget initiativ (99). Størstedelen af klagerne vedrører retten til indsigt i og videregivelse af oplysninger. På baggrund af sine undersøgelser træffer Information Commissioner håndhævelsesforanstaltninger i en bred vifte af sektorer. Mere specifikt har Information Commissioner ifølge sin seneste årsberetning (2019-2020) (100) udsendt 54 »information notices«, otte »assessment notices«, syv »enforcement notices«, fire advarsler, otte meddelelser om retsforfølgning og 15 bøder i rapporteringsperioden (101).

(97) Der er bl.a. tale om adskillige betydelige økonomiske sanktioner, som er pålagt i henhold til forordning (EU) 2016/679 og DPA 2018. Navnlig pålagde Information Commissioner i oktober 2020 et britisk luftfartsselskab en bøde på 20 mio. GBP for brud på datasikkerheden, der berørte mere end 400 000 kunder. Ved udgangen af oktober 2020 blev en international hotelkæde pålagt at betale en bøde på 18,4 mio. GBP for manglende sikker opbevaring af millioner af kunders personoplysninger, og i november 2020 blev en britisk forhandler af billetter til arrangementer online idømt en bøde på 1,25 mio. GBP for manglende beskyttelse af kundernes betalingsoplysninger (102).

(98) Information Commissioner har en række håndhævelsesbeføjelser, som er beskrevet i betragtning 92. Derudover findes der visse overtrædelser af databeskyttelseslovgivningen, som udgør strafbare handlinger og derfor kan gøres til genstand for strafferetlige sanktioner (Section 196 i DPA 2018). Der kan f.eks. være tale om bevidst eller letsindig indhentning eller videregivelse af personoplysninger uden den dataansvarliges samtykke, videregivelse af personoplysninger til en anden person uden den dataansvarliges samtykke (103), fornyet identificering af anonymiserede personoplysninger uden samtykke fra den dataansvarlige, der er ansvarlig for at anonymisere oplysningerne (104), bevidst hindring af, at Information Commissioner udøver sine beføjelser med hensyn til gennemgang af personoplysninger i overensstemmelse med internationale forpligtelser (105), afgivelse af falske erklæringer som svar på en »information notice« eller tilintetgørelse af oplysninger i forbindelse med »information notices« eller »assessment notices« (106).

2.6.3. Tilsyn med retsvæsenet

(99) Tilsynet med domstolenes og retsvæsenets behandling af personoplysninger er dobbelt. Hvis en indehaver af et retsligt embede eller en ret ikke udøver retslig myndighed, fører ICO tilsyn. Hvis den dataansvarlige udøver retslig myndighed, kan ICO ikke udøve sine kontrolfunktioner (107), og kontrollen udføres af særlige organer. Dette afspejler tilgangen i forordning (EU) 2016/679 (artikel 55, stk. 3).

(100) For så vidt angår det andet tilfælde vedrørende retterne i England og Wales og First Tier (ret i første instans) og Upper Tribunals (appeldomstole) i England og Wales udøves denne kontrol navnlig af Judicial Data Protection Panel (108). Desuden har Lord Chief Justice og Senior President of Tribunals udstedt en Privacy Notice (109), som beskriver, hvordan domstolene i England og Wales behandler personoplysninger med henblik på en judiciel funktion. En lignende notice er blevet udstedt af de nordirske (110) og skotske domstole (111).

(101) I Nordirland har Lord Chief Justice i Nordirland desuden udnævnt en dommer ved High Court til Data Supervisory Judge (datatilsynsdommer, DSJ) (112). Der er også udsendt vejledninger til det nordirske retsvæsen om, hvad de skal gøre i tilfælde af tab eller potentielt tab af data, og om processen for håndtering af eventuelle problemer, der måtte opstå som følge heraf (113).

(102) I Skotland har Lord President udnævnt en dommer med ansvar for datatilsyn, som skal undersøge eventuelle klager vedrørende databeskyttelse. Dette er fastsat i de judicielle klageregler, der svarer til reglerne for England og Wales (114).

(103) Endelig bør det nævnes, at en af præsidenterne ved den øverste domstol udpeges til at føre tilsyn med databeskyttelsen.

2.6.4. Klageadgang

(104) Med henblik på at sikre tilstrækkelig beskyttelse og navnlig håndhævelse af individuelle rettigheder bør den registrerede have effektive muligheder for administrativ og retslig prøvelse, herunder skadeserstatning.

(105) For det første har den registrerede ret til at indgive en klage til Information Commissioner, hvis han eller hun mener, at der i forbindelse med personoplysninger om vedkommende er tale om en overtrædelse af UK GDPR (115). UK GDPR bibeholder bestemmelserne i artikel 77 i forordning (EU) 2016/679 om denne ret uden væsentlige ændringer. Det samme gælder artikel 57, stk. 1, litra f), og stk. 2, der fastsætter Information Commissioners opgaver i forbindelse med behandling af klager. Som beskrevet i betragtning 92 til 98 ovenfor har Information Commissioner beføjelse til at vurdere den dataansvarliges og databehandlerens overholdelse af UK GDPR og DPA 2018, pålægge dem at træffe eller undlade at træffe bestemte foranstaltninger i tilfælde af manglende overholdelse og pålægge bøder.

(106) For det andet sikrer UK GDPR og DPA 2018 adgang til retsmidler over for Information Commissioner. I henhold til artikel 78, stk. 1, i UK GDPR har en person ret til effektive retsmidler mod en juridisk bindende afgørelse truffet af Information Commissioner vedrørende vedkommende. I forbindelse med domstolsprøvelsen undersøger dommeren den afgørelse, der anfægtes i klagen, og undersøger, om Information Commissioner har handlet lovligt. Desuden har (116) klageren i henhold til artikel 78, stk. 2, i UK GDPR adgang til retsmidler, hvis Information Commissioner ikke behandler vedkommendes klage korrekt. Klageren kan anmode en First Tier Tribunal (førsteinstansret) om at pålægge Information Commissioner at træffe passende foranstaltninger til at besvare klagen eller underrette klageren om de fremskridt, der gøres i behandlingen af klagen (117). Desuden kan enhver person, som Information Commissioner forkynder en af ovennævnte meddelelser (»information notice«, »assessment notice«, »enforcement notice« eller »penalty notice«) over for, indbringe sagen for en First Tier Tribunal (118). Hvis denne First Tier Tribunal finder, at Information Commissioners afgørelse ikke er i overensstemmelse med loven, eller hvis Information Commissioner burde have udøvet sin skønsbeføjelse anderledes, skal retten tage appellen til følge eller erstatte en anden meddelelse eller afgørelse, som Information Commissioner måtte have forkyndt eller truffet.

(107) For det tredje kan enkeltpersoner anlægge sag direkte mod dataansvarlige og databehandlere ved domstolene i henhold til artikel 79 i UK GDPR og Section 167 i DPA 2018. Hvis en domstol efter anmodning fra en registreret finder det godtgjort, at der er sket en krænkelse af den registreredes rettigheder i henhold til databeskyttelseslovgivningen, kan domstolen pålægge den dataansvarlige for så vidt angår behandlingen eller en databehandler, der handler på vegne af den dataansvarlige, at træffe de foranstaltninger, der er angivet i kendelsen, eller at undlade at træffe de foranstaltninger, der er angivet i kendelsen.

(108) I henhold til artikel 82 i UK GDPR og Section 168 i DPA 2018 har enhver person, der har lidt materiel eller immateriel skade som følge af en overtrædelse af UK GDPR, desuden ret til erstatning for den lidte skade fra den dataansvarlige eller databehandleren. Reglerne om erstatning og ansvar i artikel 82, stk. 1-5, i UK GDPR er identiske med de tilsvarende regler i forordning (EU) 2016/679. I henhold til Section 168 i DPA 2018 omfatter ikkemateriel skade også overlast. I henhold til artikel 80 i UK GDPR har den registrerede også ret til at bemyndige et repræsentativt organ eller en organisation til at indgive klagen til Information Commissioner på dennes vegne (i henhold til artikel 77 i UK GDPR) og til at udøve de rettigheder, der er omhandlet i artikel 78 (ret til adgang til effektive retsmidler mod Information Commissioner), artikel 79 (ret til effektive retsmidler mod en dataansvarlig eller databehandler) og artikel 82 (ret til erstatning og ansvar) i UK GDPR på hans eller hendes vegne.

(109) Ud over disse klagemuligheder kan enhver person, der mener, at vedkommendes rettigheder, herunder retten til privatlivets fred og beskrevet ovenfor databeskyttelse, er blevet krænket af offentlige myndigheder, indbringe sagen for domstolene i Det Forenede Kongerige i henhold til Human Rights Act 1998 (119). En person, der hævder, at en offentlig myndighed har handlet (eller agter at handle) på en måde, der er uforenelig med en konventionsbaseret rettighed og dermed ulovlig i henhold til Section 6(1) i Human Rights Act 1998, kan anlægge sag mod myndigheden ved den relevante domstol eller påberåbe sig de pågældende rettigheder i en retssag, hvis vedkommende er (eller ville være) offer for den ulovlige handling.

(110) Hvis retten fastslår, at en handling fra en offentlig myndigheds side er ulovlig, kan den træffe en sådan foranstaltning, anvende et sådant retsmiddel eller træffe en sådan afgørelse inden for rammerne af sine beføjelser, som den finder passende (120). Retten kan også erklære en bestemmelse i den primære lovgivning uforenelig med en ret i henhold til en konvention.

(111) Endelig kan en person efter at have udtømt mulighederne i de nationale retsmidler indbringe en klage for Den Europæiske Menneskerettighedsdomstol over krænkelser af de rettigheder, der er garanteret i henhold til den europæiske menneskerettighedskonvention.

3. DET FORENEDE KONGERIGES MYNDIGHEDERS ADGANG TIL OG BRUG AF PERSONOPLYSNINGER OVERFØRT FRA DEN EUROPÆISKE UNION

(112) Kommissionen har også vurderet Det Forenede Kongeriges retlige ramme for Det Forenede Kongeriges offentlige myndigheders indsamling og efterfølgende anvendelse af personoplysninger, der overføres til erhvervsdrivende i Det Forenede Kongerige, i offentlighedens interesse, navnlig med henblik på retshåndhævelse og national sikkerhed (i det følgende benævnt »myndighedsadgang«). Ved vurderingen af, om de betingelser, hvorunder myndighedsadgangen til oplysninger, der overføres til Det Forenede Kongerige i medfør af denne afgørelse, opfylder væsentlighedskriteriet i henhold til artikel 45, stk. 1, i forordning (EU) 2016/679, som fortolket af Den Europæiske Unions Domstol i lyset af chartret om grundlæggende rettigheder, har Kommissionen navnlig taget hensyn til følgende kriterier.

(113) For det første skal enhver begrænsning af retten til beskyttelse af personoplysninger være fastsat ved lov, og det retsgrundlag, der gør det muligt at gribe ind i en sådan ret, skal selv fastlægge omfanget af begrænsningen af udøvelsen af den pågældende rettighed (121).

(114) For at opfylde kravet om proportionalitet, som indebærer, at undtagelser fra og begrænsninger af beskyttelsen af personoplysninger kun finder anvendelse i det omfang, det er strengt nødvendigt i et demokratisk samfund for at opfylde specifikke mål af almen interesse svarende til dem, der er anerkendt af Unionen, skal den lovgivning i det pågældende tredjeland, der tillader dette indgreb, for det andet fastsætte klare og præcise regler for omfanget og anvendelsen af de pågældende foranstaltninger og fastsætte minimumsgarantier, således at de personer, hvis oplysninger er blevet videregivet, har tilstrækkelige garantier til effektivt at beskytte deres personoplysninger mod risikoen for misbrug (122). Lovgivningen skal navnlig angive, under hvilke omstændigheder og på hvilke betingelser der kan vedtages (123) en foranstaltning om behandling af sådanne oplysninger. Desuden skal den sikre et uafhængigt tilsyn med, at disse krav opfyldes (124).

(115) For det tredje skal den pågældende lovgivning være retligt bindende i henhold til national ret, og disse retlige krav skal ikke blot være bindende for myndighederne, men også kunne håndhæves ved domstolene over for myndighederne i det pågældende tredjeland (125). De registrerede skal navnlig have mulighed for at anlægge sag ved en uafhængig og upartisk domstol for at få adgang til deres personoplysninger eller for at få dem berigtiget eller slettet (126).

3.1. Den overordnede retlige ramme

(116) Hvis offentlige myndigheder opnår adgang til oplysninger i forbindelse med udøvelse af beføjelser i Det Forenede Kongerige, skal det ske under fuld overholdelse af loven. Det Forenede Kongerige har ratificeret den europæiske menneskerettighedskonvention (se betragtning 9), og alle offentlige myndigheder i Det Forenede Kongerige skal handle i overensstemmelse med konventionen (127). Konventionens artikel 8 bestemmer, at ethvert indgreb i privatlivets fred skal være i overensstemmelse med loven, tjene et af formålene i artikel 8, stk. 2, og stå i rimeligt forhold til dette formål. Artikel 8 kræver også, at indgrebet skal være »forudsigeligt«, dvs. at det har et klart og tilgængeligt retsgrundlag, og at loven indeholder passende garantier til at forhindre misbrug.

(117) Desuden har Den Europæiske Menneskerettighedsdomstol i sin retspraksis præciseret, at ethvert indgreb i retten til privatlivets fred og databeskyttelse bør være underlagt et effektivt, uafhængigt og upartisk tilsynssystem, som enten en dommer eller et andet uafhængigt organ (128) (f.eks. en administrativ myndighed eller et parlamentarisk organ) stiller til rådighed.

(118) Desuden skal enkeltpersoner have adgang til effektive retsmidler, og Den Europæiske Menneskerettighedsdomstol har præciseret, at disse retsmidler skal tilbydes af et uafhængigt og upartisk organ, der har vedtaget sin egen forretningsorden, og som består af medlemmer, der skal have eller have haft et højt dommerembede, eller erfarne advokater, og at der ikke må være nogen bevisbyrde, der skal overvindes for at indgive en ansøgning til den. Når det uafhængige og upartiske organ foretager sin undersøgelse af klager fra enkeltpersoner, bør det have adgang til alle relevante oplysninger, herunder fortrolige oplysninger. Endelig bør organet have beføjelse til at afhjælpe manglende overholdelse (129).

(119) Det Forenede Kongerige har også ratificeret Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (konvention 108) og undertegnet protokollen om ændring af konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (konvention 108+) i 2018 (130). Artikel 9 i konvention nr. 108 bestemmer, at undtagelser fra de generelle databeskyttelsesprincipper (artikel 5 om oplysningernes kvalitet), reglerne for særlige kategorier af oplysninger (artikel 6) og den registreredes rettigheder (artikel 8 om yderligere garantier for den registrerede) kun kan indrømmes, hvis en sådan undtagelse er fastsat i det pågældende lands lovgivning og udgør en nødvendig foranstaltning i et demokratisk samfund af hensyn til statens sikkerhed, den offentlige sikkerhed, statens monetære interesser eller bekæmpelsen af strafbare handlinger eller beskyttelsen af den registrerede eller andres rettigheder og frihedsrettigheder (131).

(120) Som følge af medlemskabet af Europarådet, tilslutningen til den europæiske menneskerettighedskonvention og anerkendelse af Den Europæiske Menneskerettighedsdomstols kompetence er Det Forenede Kongerige derfor underlagt en række forpligtelser, der er fastsat i folkeretten, og som fastlægger landets system for myndighedsadgang på grundlag af principper, garantier og individuelle rettigheder svarende til dem, der er garanteret i henhold til EU-retten og finder anvendelse på medlemsstaterne. Som understreget i betragtning 19 er fortsat overholdelse af sådanne instrumenter derfor et særligt vigtigt element i den vurdering, som denne afgørelse er baseret på.

(121) Endvidere sikrer DPA 2018 en række specifikke databeskyttelsesgarantier og -rettigheder, når data behandles af offentlige myndigheder, herunder retshåndhævende organer og organer med ansvar for statens sikkerhed.

(122) Navnlig er ordningen for behandling af personoplysninger i forbindelse med strafferetlig håndhævelse fastsat i Part 3 i DPA 2018, som blev vedtaget for at gennemføre direktiv (EU) 2016/680. Part 3 i DPA 2018 finder anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed (132).

(123) Begrebet »kompetent myndighed« er fastsat i Section 30, DPA, som en person, der er opført på fortegnelsen i DPA 2018, Schedule 7, samt enhver anden person, i det omfang personen har lovbestemte funktioner i forbindelse med et hvilket som helst retshåndhævelsesformål (133). Som forklaret nedenfor (se betragtning 139) kan visse kompetente myndigheder (f.eks. National Crime Agency (det nationale kontor for kriminalitet)) på visse betingelser gøre brug af de beføjelser, der er fastsat i Investigatory Power Act 2016 (IPA 2016). I dette tilfælde vil de garantier, der er fastsat i IPA 2016, finde anvendelse ud over dem, der er fastsat i Part 3 i DPA 2018. Efterretningstjenesterne (Secret Intelligence Service, Security Service og Government Communications Headquarters) er ikke »kompetente myndigheder« (134) henhørende under Part 3 i DPA 2018, og derfor finder reglerne ikke anvendelse på deres aktiviteter. En specifik del af DPA 2018 (Part 4) omhandler efterretningstjenesternes behandling af personoplysninger (se betragtning 125 for yderligere oplysninger).

(124) Ligesom direktiv (EU) 2016/680 fastsætter Part 3 i DPA 2018 principperne om lovlighed og rimelighed (135), formålsbegrænsning (136), dataminimering (137), nøjagtighed (138), opbevaringsbegrænsning (139) og sikkerhed (140). Lovgivningen pålægger specifikke gennemsigtighedsforpligtelser (141) og giver enkeltpersoner ret til indsigt (142), berigtigelse og sletning (143) og ret til ikke at være genstand for automatisk beslutningstagning (144). De kompetente myndigheder skal også gennemføre databeskyttelse gennem design og databeskyttelse gennem standardindstillinger, føre fortegnelser over behandlingsaktiviteter og, i forbindelse med visse behandlingsaktiviteter, foretage konsekvensanalyser vedrørende databeskyttelse og på forhånd rådføre sig med Information Commissioner (145). I henhold til Section i DPA 2018 skal de påvise overensstemmelse. De er desuden forpligtet til at træffe passende foranstaltninger til at garantere behandlingssikkerheden (146), ligesom de er underlagt særlige forpligtelser i tilfælde af brud på datasikkerheden, bl.a. med hensyn til anmeldelse af sådanne brud til Information Commissioner og registrerede (147). Som det er tilfældet i direktiv (EU) 2016/680, er der også et krav om, at en dataansvarlig (medmindre der er tale om en domstol eller en anden retsmyndighed, der handler i sin egenskab af domstol) skal udpege en databeskyttelsesrådgiver (148), som bistår den dataansvarlige med at opfylde sine forpligtelser og overvåge ovennævnte overensstemmelse (149). Desuden indeholder lovgivningen særlige krav til internationale overførsler af personoplysninger til tredjelande eller internationale organisationer med henblik på retshåndhævelse for at sikre kontinuitet i beskyttelsen (150). På datoen for vedtagelse af denne afgørelse har Kommissionen vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet på grundlag af artikel 36, stk. 3, i direktiv (EU) 2016/680, hvori det fastslås, at den databeskyttelsesordning, der gælder for Det Forenede Kongeriges strafferetshåndhævende myndigheders behandling af oplysninger, sikrer et beskyttelsesniveau, som i det væsentlige svarer til det, der sikres ved direktiv (EU) 2016/680.

(125) Part 4 i DPA 2018 finder anvendelse på al behandling, der foretages af eller på vegne af efterretningstjenesterne. Navnlig fastsætter denne del de vigtigste databeskyttelsesprincipper (lovlighed, rimelighed og gennemsigtighed (151), formålsbegrænsning (152), dataminimering (153), nøjagtighed (154), opbevaringsbegrænsning (155) og sikkerhed (156)). Derudover fastsætter den en række betingelser for behandling af særlige kategorier af oplysninger (157), ligesom den fastlægger de registreredes rettigheder (158), kræver databeskyttelse gennem design (159) og regulerer internationale overførsler af personoplysninger (160). ICO har for nylig udsendt detaljerede retningslinjer for efterretningstjenesternes behandling i henhold til Part 4 i DPA 2018 (161).

(126) Samtidig indeholder Section 110 i DPA 2018 en undtagelse fra bestemte bestemmelser i Part 4 i DPA 2018 (162), når en sådan undtagelse er nødvendig af hensyn til statens sikkerhed. Denne undtagelse kan gøres gældende på grundlag af en vurdering af den konkrete sag (163). Som forklaret af Det Forenede Kongeriges myndigheder og bekræftet af retspraksis skal en »dataansvarlig overveje de faktiske konsekvenser for statens sikkerhed eller det nationale forsvar, hvis vedkommende skal overholde den særlige databeskyttelsesbestemmelse, og vurdere, om vedkommende med rimelighed kan overholde den sædvanlige regel uden at påvirke statens sikkerhed eller det nationale forsvar« (164). ICO fører tilsyn med, om undtagelser er blevet anvendt korrekt (165).

(127) Hvad angår muligheden for at begrænse anvendelsen af ovenstående specifikke bestemmelser i henhold til Section 111 i DPA 2018 med henblik på beskyttelse af »statens sikkerhed«, gælder det desuden, at en dataansvarlig kan anmode om et certifikat underskrevet af en minister eller Attorney General (regeringens og statens øverste juridiske rådgiver), der bekræfter, at en begrænsning af sådanne rettigheder er en nødvendig og forholdsmæssig foranstaltning til beskyttelse af statens sikkerhed (166).

(128) Det Forenede Kongeriges regering har udstedt retningslinjer for at hjælpe dataansvarlige, når de overvejer, om de skal ansøge om et certifikat vedrørende statens sikkerhed i henhold til DPA 2018. Heri fremhæves det navnlig, at enhver begrænsning af registreredes ret til beskyttelse af hensyn til statens sikkerhed skal være forholdsmæssig og nødvendig (167). Alle nationale sikkerhedscertifikater skal offentliggøres på ICO's websted (168).

(129) Certifikatet bør have en fast gyldighedsperiode på højst fem år, så det regelmæssigt tages op til revision af den udøvende magt (169). Certifikatet skal identificere de personoplysninger eller kategorier af personoplysninger, der er omfattet af undtagelsen, samt bestemmelserne i DPA 2018, som undtagelsen finder anvendelse på (170).

(130) Det er vigtigt at bemærke, at de nationale sikkerhedscertifikater ikke giver yderligere grund til at begrænse databeskyttelsesrettighederne af hensyn til den nationale sikkerhed. Med andre ord kan den dataansvarlige eller databehandleren kun gøre brug af et certifikat, hvis vedkommende har konkluderet, at det er nødvendigt at påberåbe sig undtagelsen af hensyn til statens sikkerhed, der som forklaret ovenfor skal anvendes fra sag til sag (171). Selv om et nationalt sikkerhedscertifikat finder anvendelse på den pågældende sag, kan ICO undersøge, hvorvidt det i et konkret tilfælde var berettiget at påberåbe sig undtagelsen vedrørende statens sikkerhed (172).

(131) Enhver person, der berøres direkte af udstedelsen af certifikatet, kan appellere udstedelsen til Upper Tribunal (173) eller, hvis certifikatet (174) identificerer data ved brug af en generel beskrivelse, anfægte certifikatets anvendelse på specifikke data (175). Domstolen tager afgørelsen om at udstede et certifikat op til fornyet overvejelse og afgør, om der var rimelige grunde til at udstede certifikatet (176). Den kan tage stilling til en lang række spørgsmål om bl.a. nødvendighed, proportionalitet og lovlighed under hensyntagen til indvirkningen på de registreredes rettigheder og afvejningen af behovet for at beskytte statens sikkerhed. Som følge heraf kan domstolen fastslå, at certifikatet ikke finder anvendelse på specifikke personoplysninger, der er genstand for klagen (177).

(132) Der findes en anden gruppe af mulige begrænsninger, som i henhold til Schedule 11 til DPA 2018 (178) finder anvendelse på visse bestemmelser i Part 4 i DPA 2018 for at beskytte andre vigtige mål af almen interesse eller beskyttede interesser såsom f.eks. parlamentarisk privilegium, beskyttelse af fortroligheden mellem advokat og klient, gennemførelse af retslige procedurer og sikring af de væbnede styrkers kampeffektivitet (179). Der findes undtagelser for anvendelsen af disse bestemmelser enten for visse kategorier af oplysninger (»klassebaseret«) eller i det omfang, at anvendelsen af disse bestemmelser vil kunne skade den beskyttede interesse (»forudsætningsbaseret«) (180). Skadebaserede undtagelser kan kun påberåbes, for så vidt anvendelsen af den pågældende databeskyttelsesbestemmelse sandsynligvis vil skade den pågældende specifikke interesse. Anvendelsen af en undtagelse skal derfor altid begrundes med henvisning til den relevante skade, der sandsynligvis vil forekomme i det enkelte tilfælde. En klassebaseret undtagelse kan kun påberåbes i forbindelse med den specifikke, snævert definerede kategori af oplysninger, for hvilken undtagelsen indrømmes. Med hensyn til formål og virkning svarer disse til flere af undtagelserne fra UK GDPR (i henhold til Schedule 2 til DPA 2018), som igen afspejler undtagelserne i artikel 23 i GDPR.

(133) Det følger af ovenstående, at der er indført begrænsninger og betingelser i henhold til de gældende britiske lovbestemmelser, som også fortolket af domstolene og Information Commission, for at sikre, at disse undtagelser og restriktioner holdes inden for grænserne af, hvad der er nødvendigt og rimeligt for at beskytte statens sikkerhed.

3.2 Det Forenede Kongeriges myndigheders adgang til og brug af personoplysninger med henblik på retshåndhævelse på det strafferetlige område

(134) Det Forenede Kongeriges lovgivning pålægger en række begrænsninger af adgangen til og brugen af personoplysninger til retshåndhævelsesformål på det strafferetlige område og indeholder en række kontrol- og klagemekanismer på dette område, som er i overensstemmelse med de krav, der er omhandlet i betragtning 113 til 115 i denne afgørelse. De betingelser, hvorunder en sådan adgang kan finde sted, og de garantier, der gælder for udøvelsen af disse beføjelser, vurderes nærmere i de følgende afsnit.

3.2.1. Retsgrundlag og gældende begrænsninger/garantier

(135) I henhold til det princip om lovlighed, der er sikret ved Section 35 i DPA 2018, er behandling af personoplysninger til et hvilket som helst retshåndhævelsesformål kun lovlig, hvis den er baseret på loven, og enten den registrerede har givet samtykke til behandlingen med henblik på dette formål (181), eller behandlingen er nødvendig for, at en kompetent myndighed kan udføre en opgave med henblik på formålet.

3.2.1.1 Ransagningskendelser og editionskendelser

(136) Det Forenede Kongeriges retlige ramme tillader indsamling af personoplysninger fra erhvervsdrivende med henblik på strafferetlig håndhævelse på grundlag af ransagningskendelser (182) og editionskendelser (183). Dette gælder også erhvervsdrivende, der behandler oplysninger, som overføres fra EU i henhold til denne afgørelse om tilstrækkeligheden af beskyttelsesniveauet.

(137) Ransagningskendelser udstedes af en domstol, normalt efter anmodning fra efterforskeren. De gør det muligt for efterforskeren at få adgang til lokaler for at søge efter materiale eller personer, der er relevante for deres efterforskning, og tilbageholde alt, hvad der er tilladt at søge efter, herunder alle relevante dokumenter og materiale, der indeholder personoplysninger (184). En editionskendelse, som også skal udstedes af en domstol, pålægger den person, der er anført i den, at fremlægge eller give adgang til materiale, som vedkommende er i besiddelse af eller har kontrol over. Vedkommende, som ansøger om en ransagningskendelse eller editionskendelse, skal over for retten begrunde, hvorfor den er nødvendig, og hvorfor brugen af den er i almenhedens interesse. Der er flere lovfæstede beføjelser, der gør det muligt at udstede ransagningskendelser og editionskendelser. Hver bestemmelse har sine egne lovbestemte betingelser, som skal være opfyldt, for at der kan udstedes en ransagningskendelse (185) eller en editionskendelse (186).

(138) Editionskendelser og ransagningskendelser kan anfægtes ved domstolsprøvelse (187). Af beskyttelseshensyn må strafferetshåndhævende myndigheder i henhold til Part 3 i DPA 2018 kun få adgang til personoplysninger — hvilket er en form for behandling — i overensstemmelse med principperne og kravene i DPA 2018 (se betragtning 122 og 124 ovenfor). En anmodning fra en retshåndhævende myndighed bør derfor være i overensstemmelse med princippet om, at formålet med behandlingen skal angives og være udtrykkeligt og legitimt (188), og at de personoplysninger, der behandles af en kompetent myndighed, skal være relevante for dette formål og ikke være uforholdsmæssige (189).

3.2.1.2. Efterforskningsbeføjelser med henblik på retshåndhævelse

(139) Med henblik på at forebygge eller afsløre alvorlig kriminalitet (190) kan visse retshåndhævende myndigheder, herunder National Crime Agency (det nationale kontor for kriminalitet) og Chief of Police (191) (politichefen), anvende målrettede efterforskningsbeføjelser i henhold til IPA 2016. I dette tilfælde vil de garantier, der er fastsat i IPA 2016, finde anvendelse ud over dem, der er fast