EUROPA-KOMMISSIONEN Bruxelles, den 6.11.2015 COM(2015) 566 final MEDDELELSE FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET om videregivelse af personoplysninger fra EU til USA i henhold til direktiv 95/46/EF efter Domstolens dom i sag C-362/14 (Schrems)



MEDDELELSE FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET om videregivelse af personoplysninger fra EU til USA i henhold til direktiv 95/46/EF efter Domstolens dom i sag C-362/14 (Schrems) 1. Indledning: Annullationen af safe harbor-beslutningen Den Europæiske Unions Domstol (i det følgende benævnt "Domstolen") bekræfter med sin afgørelse af 6. oktober 2015 i sag C-362/14 (Schrems) betydningen af den grundlæggende ret til beskyttelse af personoplysninger som fastsat i Den Europæiske Unions charter om grundlæggende rettigheder, herunder når disse oplysninger videregives til lande uden for EU. Videregivelse af personoplysninger er et afgørende element i det transatlantiske forhold. EU og USA er hinandens vigtigste handelspartnere, og videregivelse af oplysninger udgør en stadigt mere integreret del af deres samhandel. For at fremme disse datastrømme og samtidig sikre et højt beskyttelsesniveau, for så vidt angår personoplysninger, anerkendte Kommissionen med vedtagelsen af Kommissionens beslutning 2000/520/EF af 20. juli 2000 (i det følgende benævnt "safe harbor-beslutningen"), at safe harbor-ordningen var tilstrækkelig. Med denne beslutning, der havde hjemmel i artikel 25, stk. 6, i direktiv 95/46/EF, anerkendte Kommissionen, at safe harbor-principperne til beskyttelse af privatlivets fred og de dertil hørende hyppige spørgsmål fra det amerikanske handelsministerium gav en tilstrækkelig beskyttelse med henblik på videregivelse af personoplysninger fra EU. Som følge heraf kunne personoplysninger frit videregives fra EU-medlemsstaterne til de virksomheder i USA, der havde tilsluttet sig principperne, selv om USA ikke har en generel databeskyttelseslov. Safe harbor-ordningen hvilede på forpligtelser og selvcertificering fra de deltagende virksomheders side. Skønt det er frivilligt at tilslutte sig safe harbor-principperne og de dertil hørende hyppige spørgsmål, er disse bestemmelser bindende efter amerikansk ret for de enheder, der har tilsluttet sig dem, og kan håndhæves af den amerikanske Federal Trade Commission. I sin dom af 6. oktober 2015 erklærede Domstolen safe harbor-beslutningen ugyldig. Det er på denne baggrund, at nærværende meddelelse har til formål at give et overblik over de alternative redskaber til den transatlantiske videregivelse af oplysninger i henhold til direktiv 95/46/EF, idet der ikke foreligger en afgørelse om tilstrækkeligt beskyttelsesniveau. Meddelelsen beskriver også kort dommens konsekvenser for andre af Kommissionens afgørelser om tilstrækkeligt beskyttelsesniveau. I dommen præciserede Domstolen, at en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 6, i direktiv 95/46/EF er betinget af, at Kommissionen finder, at der i det berørte tredjeland er et beskyttelsesniveau for personoplysninger, som i det væsentlige svarer til det niveau, der er sikret inden for EU i medfør af direktivet, sammenholdt med chartret om grundlæggende rettigheder, omend det ikke nødvendigvis er identisk med dette niveau. Hvad angår safe harbor-beslutningen, fastslog Domstolen, at den ikke indeholdt tilstrækkelige konstateringer fra Kommissionens side vedrørende begrænsningen af de amerikanske offentlige myndigheders adgang til de oplysninger, der videregives i henhold til beslutningen, og vedrørende tilstedeværelsen af en effektiv domstolsbeskyttelse mod indgreb af denne art. Domstolen præciserede navnlig, at en lovgivning, der gør det muligt for de offentlige myndigheder på generel vis at få adgang til indholdet af elektronisk kommunikation, anses for at udgøre et indgreb i det væsentligste indhold af den grundlæggende ret til respekt for privatlivet. Domstolen bekræftede desuden, at selv hvor der foreligger en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 6, i direktiv 95/46/EF, har medlemsstaternes databeskyttelsesmyndigheder beføjelse og pligt til i fuld uafhængighed at undersøge, om videregivelsen af oplysninger til et tredjeland opfylder de krav, der er fastsat ved direktiv 95/46/EF, sammenholdt med artikel 7, 8 og 47 i chartret om grundlæggende rettigheder. Domstolen bekræftede dog også, at Domstolen er enekompetent til at fastslå ugyldigheden af en EU-retsakt, såsom en afgørelse om tilstrækkeligt beskyttelsesniveau, der er vedtaget af Kommissionen. Domstolens dom bygger på Kommissionens meddelelse fra 2013 om, hvordan safe harbor-ordningen fungerer for så vidt angår EU-borgerne og virksomhederne i EU, hvori Kommissionen påpegede en række mangler og fremsatte 13 anbefalinger. På grundlag af disse anbefalinger har Kommissionen siden januar 2014 haft drøftelser med de amerikanske myndigheder om at etablere en ny og sikrere ordning for den transatlantiske udveksling af oplysninger. Efter dommen agter Kommissionen fortsat at nå målet om en ny og forsvarlig ramme for den transatlantiske videregivelse af personoplysninger. I den forbindelse har den straks genoptaget og intensiveret sine forhandlinger med den amerikanske regering for at sikre, at en ny ordning for den transatlantiske videregivelse af personoplysninger er fuldt ud i overensstemmelse med den standard, som Domstolen har fastsat. En sådan ramme skal derfor indeholde tilstrækkelige begrænsninger, garantier og mekanismer til domstolskontrol for at sikre den fortsatte beskyttelse af EU-borgernes personoplysninger, bl.a. i forbindelse med de offentlige myndigheders mulige adgang af hensyn til statens sikkerhed og opretholdelsen af lov og orden. I mellemtiden har erhvervslivet udtrykt bekymring om, hvorvidt det fortsat er muligt at videregive oplysninger. Der er derfor behov for at præcisere, under hvilke betingelser denne videregivelse fortsat kan finde sted. Det har den 16. oktober fået Artikel 29-Gruppen (det uafhængige rådgivende organ, der består af repræsentanter for alle medlemsstaternes databeskyttelsesmyndigheder såvel som Den Europæiske Tilsynsførende for Databeskyttelse) til at udsende en erklæring om de første konklusioner, der kan drages af dommen. Denne erklæring indeholder bl.a. følgende retningslinjer for videregivelse af oplysninger: Kommissionens ugyldige safe harbor-beslutning kan ikke længere danne grundlag for videregivelse af oplysninger i mellemtiden kan standardkontraktbestemmelser og bindende virksomhedsregler anvendes som grundlag for videregivelse af oplysninger, selv om Artikel 29-Gruppen også erklærer, at den fortsat vil analysere konsekvenserne af dommen for disse alternative redskaber. I erklæringen opfordres medlemsstaterne og EU-institutionerne desuden til at indlede drøftelser med de amerikanske myndigheder med henblik på at finde retlige og tekniske løsninger, der vil gøre det muligt at videregive oplysninger. Ifølge Artikel 29-Gruppen kunne forhandlingerne om en ny safe harbor-ordning indgå i denne løsning.

Artikel 29-Gruppen meddelte, at hvis der ved udgangen af januar 2016 ikke er fundet en passende løsning med de amerikanske myndigheder, vil databeskyttelsesmyndighederne, afhængigt af vurderingen af de alternative redskaber til videregivelse af oplysninger, træffe alle de nødvendige og passende foranstaltninger, herunder koordinerede håndhævelsesforanstaltninger. Endelig understregede Artikel 29-Gruppen, at databeskyttelsesmyndighederne, EU-institutionerne, medlemsstaterne og virksomhederne har et fælles ansvar for at finde holdbare løsninger til opfyldelse af Domstolens dom. Gruppen har navnlig opfordret virksomhederne til at overveje at implementere eventuelle retlige og tekniske løsninger, der kan begrænse de risici, som de måtte støde på i forbindelse med videregivelsen af oplysninger. Denne meddelelse berører ikke databeskyttelsesmyndighedernes beføjelser og pligt til i fuld uafhængighed at undersøge, hvorvidt videregivelsen er lovlig. I meddelelsen fastsættes ingen bindende regler, og de nationale domstoles beføjelser til at fortolke den gældende lovgivning og til om nødvendigt at indgive en anmodning til Domstolen om en præjudiciel afgørelse respekteres fuldt ud. Denne meddelelse kan heller ikke danne grundlag for hverken en individuel eller kollektiv rettighed eller et tilsvarende retskrav. 2. Alternative grundlag for videregivelse af personoplysninger til USA De bestemmelser om international videregivelse af oplysninger, der er fastsat i direktiv 95/46/EF, er baseret på en klar sondring mellem videregivelse til tredjelande, der sikrer et tilstrækkeligt beskyttelsesniveau (direktivets artikel 25), på den ene side og videregivelse til tredjelande, der ikke findes at sikre et tilstrækkeligt beskyttelsesniveau (direktivets artikel 26), på den anden side. Schremsafgørelsen vedrører de betingelser, under hvilke Kommissionen i henhold til artikel 25, stk. 6, i direktiv 95/46/EF kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. Hvis det tredjeland, hvortil personoplysningerne skal eksporteres fra EU, ikke findes at sikre et sådant tilstrækkeligt beskyttelsesniveau, er der i artikel 26 i direktiv 95/46/EF fastlagt en række alternative grundlag, hvorpå videregivelse alligevel kan finde sted. Videregivelse kan navnlig foretages, hvis den enhed, der er ansvarlig for at afgøre, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger ("den registeransvarlige"), gør følgende: yder tilstrækkelige garantier, som defineret i artikel 26, stk. 2, i direktiv 95/46/EF, for beskyttelse af enkeltpersoners grundlæggende rettigheder, frihedsrettigheder og ret til privatlivets fred samt for udøvelsen af disse rettigheder. Disse garantier kan navnlig ydes ved hjælp af kontraktbestemmelser, der er bindende for dataeksportøren og -importøren (se afsnit 2.1 og 2.2 nedenfor). Bestemmelserne omfatter standardkontraktbestemmelser, der er udstedt af Kommissionen, og, for så vidt angår videregivelse mellem de forskellige enheder i en multinational koncern, bindende virksomhedsregler, der er godkendt af databeskyttelsesmyndighederne; eller påberåber sig en af de undtagelser, der udtrykkeligt er anført i artikel 26, stk. 1, litra a) til f), i direktiv 95/46/EF (se afsnit 2.3 nedenfor). Sammenlignet med afgørelser om tilstrækkeligt beskyttelsesniveau, der følger af den samlede vurdering af et givet tredjelands system, og som i princippet kan dække al videregivelse til det system, har disse alternative grundlag for videregivelse både en mere begrænset rækkevidde (idet de kun finder anvendelse på bestemte datastrømme) og en bredere dækning (idet de ikke nødvendigvis er begrænset til et bestemt land). De finder anvendelse på datastrømme, der gennemføres af særlige enheder, som har besluttet at gøre brug af en af de muligheder, der gives i artikel 26 i direktiv 95/46/EF. Ved at basere videregivelsen på dette grundlag, og idet de ikke kan påberåbe sig en konstatering i en kommissionsafgørelse af, at der findes et tilstrækkeligt beskyttelsesniveau i det pågældende tredjeland, er dataeksportørerne og -importørerne desuden ansvarlige for at sikre, at videregivelsen overholder direktivets krav. 2.1. Kontraktlige løsninger For at frembyde tilstrækkelige garantier i henhold til artikel 26, stk. 2, i direktiv 95/46/EF skal kontraktbestemmelser, som det understreges af Artikel 29-Gruppen, "på tilfredsstillende vis kompensere for den generelt utilstrækkelige beskyttelse ved at tilvejebringe de centrale elementer i beskyttelsen, der mangler i enhver given situation". Med henblik på at fremme anvendelsen af sådanne instrumenter i forbindelse med international videregivelse har Kommissionen i henhold til direktivets artikel 26, stk. 4, godkendt fire sæt standardkontraktbestemmelser, der anses for at opfylde kravene i direktivets artikel 26, stk. 2. To sæt standardbestemmelser vedrører videregivelse mellem registeransvarlige, mens de andre to sæt vedrører videregivelse mellem en registeransvarlig og en registerfører, der handler efter dennes anvisninger. Hvert sæt standardbestemmelser fastsætter de respektive forpligtelser for dataeksportører og -importører. Disse omfatter såvel forpligtelser, for så vidt angår bl.a. sikkerhedsforanstaltninger, information til den registrerede i forbindelse med videregivelse af følsomme oplysninger, anmeldelse til dataeksportøren af anmodninger om indsigt fra tredjelandenes retshåndhævelsesmyndigheder eller af enhver utilsigtet eller uautoriseret adgang og den registreredes ret til indsigt i, berigtigelse af og sletning af sine personoplysninger, som bestemmelser om erstatning til den registrerede i tilfælde af skader som følge af en af parternes brud på standardkontraktbestemmelserne. Standardbestemmelserne kræver også, at registrerede i EU har mulighed for ved en databeskyttelsesmyndighed og/eller en domstol i den medlemsstat, hvor dataeksportøren er etableret, at påberåbe sig de rettigheder, som de som begunstigede tredjemænd har i kraft af kontraktbestemmelserne. Disse rettigheder og forpligtelser er nødvendige i kontraktbestemmelser, fordi det i modsætning til den situation, hvor Kommissionen har konstateret et tilstrækkeligt beskyttelsesniveau, ikke kan antages, at dataimportøren i tredjelandet er underlagt en passende ordning for kontrol og håndhævelse af databeskyttelsesreglerne. Eftersom Kommissionens beslutninger er bindende i alle enkeltheder i medlemsstaterne, vil indarbejdelsen af standardkontraktbestemmelserne i en kontrakt betyde, at de nationale myndigheder i princippet har pligt til at acceptere dem. De kan derfor ikke afvise videregivelsen af oplysninger til et tredjeland alene på det grundlag, at standardkontraktbestemmelserne ikke frembyder tilstrækkelige garantier. Det berører ikke deres beføjelser til at undersøge bestemmelserne i lyset af de krav, der er fastsat af Domstolen i Schremsafgørelsen. I tvivlstilfælde bør de indbringe en sag for en national domstol, der igen kan indgive en anmodning til Domstolen om en præjudiciel afgørelse. Selv om de fleste medlemsstaters lovgivning til gennemførelse af direktiv 95/45/EF ikke kræver en forhåndstilladelse fra de nationale myndigheder i forbindelse med videregivelsen, opererer nogle medlemsstater med en ordning, hvor anvendelse af standardkontraktbestemmelserne skal anmeldes og/eller godkendes på forhånd. I de medlemsstater, hvor det er tilfældet, skal den nationale databeskyttelsesmyndighed sammenligne de faktiske bestemmelser i den pågældende kontrakt med standardkontraktbestemmelserne og kontrollere, at der ikke er foretaget nogen ændringer. Hvis bestemmelserne er blevet anvendt uden ændringer, gives tilladelsen i princippet uden videre. Som nærmere forklaret nedenfor (se afsnit 2.4) berører dette ikke eventuelle yderligere foranstaltninger, som dataeksportøren kan være nødt til at træffe, navnlig efter at have modtaget oplysninger fra dataimportøren om ændringer i tredjelandets retssystem, der kan forhindre dataimportøren i at opfylde sine forpligtelser efter kontrakten. Ved anvendelsen af standardkontraktbestemmelser er både dataimportørerne (idet de accepterer kontraktbestemmelserne) og dataeksportørerne underlagt databeskyttelsesmyndighedernes kontrol. Vedtagelsen af standardkontraktbestemmelserne forhindrer ikke virksomhederne i at anvende andre instrumenter, såsom kontraktlige ad hoc-ordninger, for at påvise, at videregivelsen gennemføres med tilstrækkelige garantier som defineret i artikel 26, stk. 2, i direktiv 95/46/EF. Som det fremgår af direktivets artikel 26, stk. 2, skal disse godkendes fra sag til sag af de nationale myndigheder. Nogle databeskyttelsesmyndigheder har udarbejdet retningslinjer på dette område, herunder i form af standardiserede kontrakter eller detaljerede regler, der skal følges ved udarbejdelsen af bestemmelserne om videregivelse af oplysninger. De fleste kontrakter, der i øjeblikket anvendes af virksomheder i forbindelse med international videregivelse af oplysninger, er dog baseret på standardkontraktbestemmelser, der er godkendt af Kommissionen. 2.2. Koncernintern videregivelse

For at videregive personoplysninger fra EU til datterselskaber, der er beliggende uden for EU, under opfyldelse af kravene i artikel 26, stk. 2, i direktiv 95/46/EF kan en multinational virksomhed vedtage bindende virksomhedsregler. Denne type regler danner alene grundlag for koncernintern videregivelse. Anvendelsen af bindende virksomhedsregler gør det således muligt, uden behov for kontraktlige ordninger mellem hver enkelt juridisk enhed, frit at udveksle personoplysninger mellem de forskellige enheder i en global koncern, samtidig med at overholdelsen af det samme høje beskyttelsesniveau for personoplysninger sikres i hele koncernen ved hjælp af et fælles sæt bindende regler, der kan håndhæves. Et enkelt sæt regler giver et enklere og mere effektivt system, der er lettere for de ansatte at gennemføre og for de registrerede at forstå. For at hjælpe virksomheder med udarbejdelsen af bindende virksomhedsregler har Artikel 29-Gruppen præciseret de materielle krav (f.eks. formålsbegrænsning, behandlingssikkerhed, gennemsigtige oplysninger til registrerede, begrænsning af videregivelse uden for koncernen, den enkeltes ret til indsigt, berigtigelse og indsigelse) og de formelle krav (f.eks. revisioner, kontrol med overholdelse, håndtering af klager, samarbejde med databeskyttelsesmyndighederne, ansvar og kompetence) til bindende virksomhedsregler, der er baseret på EU's databeskyttelsesstandarder. Disse regler er ikke kun bindende for medlemmerne af den pågældende koncern, men kan i lighed med standardkontraktbestemmelserne ligeledes håndhæves i EU: Enkeltpersoner, hvis oplysninger behandles af en af koncernens enheder, har som begunstigede tredjemænd ret til at håndhæve overholdelsen af de bindende virksomhedsregler ved at indgive en klage til en databeskyttelsesmyndighed og anlægge sag ved en domstol i en medlemsstat. De bindende virksomhedsregler skal desuden udpege en enhed inden for EU, der påtager sig ansvaret for brud på reglerne begået af enhver enhed i koncernen uden for EU, der er bundet af disse regler. Det bestemmes i de fleste medlemsstaters love til gennemførelse af direktivet, at videregivelse af oplysninger på grundlag af bindende virksomhedsregler skal godkendes af databeskyttelsesmyndigheden i hver medlemsstat, hvorfra den multinationale virksomhed agter at videregive oplysninger. For at lette og fremskynde processen og reducere byrden for ansøgere har Artikel 29-Gruppen udarbejdet et standardansøgningsskema og en særlig samarbejdsprocedure mellem de berørte databeskyttelsesmyndigheder, hvilket omfatter udpegelsen af en "ledende myndighed", der er ansvarlig for håndtering af godkendelsesproceduren. 2.3. Undtagelser I mangel af en afgørelse om tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 6, i direktiv 95/46/EF og uanset anvendelsen af standardkontraktbestemmelser og/eller bindende virksomhedsregler kan personoplysninger stadig videregives til enheder, der er etableret i et tredjeland, såfremt en af de undtagelser, der er fastsat i artikel 26, stk. 1, i direktiv 95/46/EF, finder anvendelse: den registrerede har givet sit utvetydige samtykke til den foreslåede videregivelse videregivelsen er nødvendig af hensyn til opfyldelsen af en kontrakt mellem den registrerede og den registeransvarlige eller af hensyn til gennemførelsen af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt videregivelsen er nødvendig af hensyn til indgåelsen eller udførelsen af en kontrakt, der i den registreredes interesse er indgået mellem den registeransvarlige og tredjemand videregivelsen er nødvendig eller følger af lov eller bestemmelser fastsat med hjemmel i lov for at beskytte en vigtig samfundsinteresse eller for, at et retskrav kan fastlægges, gøres gældende eller forsvares videregivelsen er nødvendig for at beskytte den registreredes vitale interesser, eller videregivelsen finder sted fra et offentligt register, der ifølge love eller administrative bestemmelser er beregnet til at informere offentligheden, og som er tilgængeligt for offentligheden generelt eller for personer, der kan godtgøre at have en legitim interesse heri, i det omfang de ved lov fastsatte betingelser for offentlig tilgængelighed er opfyldt i det specifikke tilfælde.

Disse grundlag udgør en undtagelse fra det generelle forbud mod at videregive personoplysninger til enheder, der er etableret i et tredjeland, hvor beskyttelsesniveauet ikke er tilstrækkeligt. Faktisk er dataeksportøren ikke forpligtet til at sikre sig, at dataimportøren yder tilstrækkelig beskyttelse, og behøver normalt ikke at indhente en forhåndstilladelse til videregivelsen fra de relevante nationale myndigheder. På grund af deres særlige karakter mener Artikel 29-Gruppen ikke desto mindre, at disse undtagelser skal fortolkes restriktivt. Artikel 29-Gruppen har udsendt adskillige dokumenter med ikke-bindende retningslinjer for anvendelsen af artikel 26, stk. 1, i direktiv 95/46/EF. Disse omfatter en række regler for "bedste praksis", der er udformet med henblik på at tilpasse databeskyttelsesmyndighedernes håndhævelsestiltag. Gruppen anbefaler især, at videregivelse af personoplysninger, der kan kvalificeres som repeteret videregivelse, massevideregivelse eller strukturel videregivelse, bør gennemføres med tilstrækkelige garantier og, hvor det er muligt, inden for en specifik retlig ramme såsom standardkontraktbestemmelser eller bindende virksomhedsregler. I denne meddelelse vil Kommissionen kun behandle de undtagelser, der forekommer særligt relevante for videregivelse i erhvervsmæssig sammenhæng, efter at safe harbor-beslutningen er fundet ugyldig. 2.3.1. Videregivelser, der er nødvendige af hensyn til opfyldelsen af en kontrakt eller gennemførelsen af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en sådan kontrakt (artikel 26, stk. 1, litra b)) Denne undtagelse kan f.eks. finde anvendelse i forbindelse med en hotelreservation, eller når betalingsoplysninger videregives til et tredjeland med henblik på at foretage en bankoverførsel. I hvert af disse tilfælde mener Artikel 29-Gruppen dog, at forbindelsen mellem den registrerede og kontraktens formål eller den foranstaltning, der træffes forud for indgåelsen af kontrakten, skal være "tæt og betydelig", "direkte og objektiv" (nødvendighedstesten). Undtagelsen kan desuden ikke finde anvendelse på videregivelse af supplerende oplysninger, der ikke er nødvendige for at opnå formålet med videregivelsen, eller videregivelse med et andet formål end at opfylde en kontrakt (f.eks. opfølgende markedsføring). Hvad angår de foranstaltninger, der træffes forud for indgåelsen af en kontrakt, finder Artikel 29-Gruppen, at undtagelsen kun omfatter de kontakter, der iværksættes på den registreredes initiativ (f.eks. en anmodning om information om en bestemt serviceydelse), og ikke dem, der følger af marketinghenvendelser fra den registeransvarlige. 2.3.2. Videregivelser, der er nødvendige af hensyn til indgåelsen eller udførelsen af en kontrakt, der i den registreredes interesse er indgået mellem den registeransvarlige og tredjemand (artikel 26, stk. 1, litra c)) Denne undtagelse kan f.eks. finde anvendelse, når den registrerede modtager en international bankoverførsel, eller når et rejsebureau videresender bookingoplysningerne for en flyvning til et luftfartsselskab. Nødvendighedstesten finder igen anvendelse, idet der i dette tilfælde kræves en tæt og betydelig forbindelse mellem den registreredes interesse og det formål, der forfølges med kontrakten. 2.3.3. Videregivelser, der er nødvendige eller følger af lov eller bestemmelser fastsat med hjemmel i lov for, at et retskrav kan fastlægges, gøres gældende eller forsvares (artikel 26, stk. 1, litra d)) Denne undtagelse kan f.eks. finde anvendelse, når en virksomhed har brug for at videregive oplysninger for at tage til genmæle over for et retskrav eller for at fremsætte sådan et krav for retten eller for en offentlig myndighed. Ligesom de to foregående undtagelser er denne betinget af nødvendighedstesten, idet der bør være en tæt forbindelse med retssager eller retlige (herunder administrative) procedurer. Ifølge Artikel 29-Gruppen kan undtagelsen kun finde anvendelse, hvis de internationale regler om samarbejde i straffe- eller civilretlige procedurer vedrørende den pågældende form for videregivelse er blevet overholdt, herunder de regler, der følger Haagerkonventionen af 18. marts 1970 (konventionen om bevisoptagelse). 2.3.4. Den registreredes utvetydige forudgående samtykke til den foreslåede videregivelse (artikel 26, stk. 1, litra a)) Selv om samtykke kan anvendes som grundlag for videregivelse af oplysninger, bør der tages en række hensyn. Da der skal gives samtykke til den "foreslåede" videregivelse, kræves der forudgående samtykke for en konkret videregivelse (eller for en konkret kategori af videregivelser). I tilfælde, hvor der anmodes om samtykke online, har Artikel 29-Gruppen anbefalet brugen af felter, der krydses af (frem for felter, der allerede er krydset af). Eftersom samtykket skal være utvetydigt, vil enhver tvivl om, hvorvidt det rent faktisk er givet, gøre undtagelsen uanvendelig. Det vil sandsynligvis betyde, at mange situationer, hvor samtykket i bedste fald er givet implicit (f.eks. fordi den registrerede er blevet bekendt med videregivelsen og ikke har protesteret), ikke vil kunne falde ind under denne undtagelse. Omvendt kan undtagelsen anvendes i tilfælde, hvor videregiveren står i direkte kontakt med den registrerede, og hvor den nødvendige information let kan gives, og et utvetydigt samtykke indhentes. Det fremgår desuden af artikel 2, litra h), i direktiv 95/46/EF, at samtykket skal være frivilligt, specifikt og informeret. Ifølge Artikel 29-Gruppen betyder den første betingelse, at ethvert "pres" kan gøre samtykket ugyldigt. Det er især relevant i ansættelsesforhold, hvor det hierarkiske forhold og arbejdstagerens naturlige afhængighed generelt vil tale imod anvendelsen af samtykke. Mere generelt betragtes et samtykke som ugyldigt, hvis den registrerede afgiver det uden at have haft mulighed for at træffe et reelt valg eller efter at være blevet stillet over for et fait accompli. Det er meget vigtigt, at den registrerede på forhånd informeres behørigt om, at oplysningerne kan blive videregivet til et land uden for EU, samt om, hvilket tredjeland der er tale om, og på hvilke vilkår videregivelsen i givet fald vil finde sted (formålet med videregivelsen, navn og kontaktoplysninger på modtageren osv.). Informationen skal vedrøre den særlige risiko, der består ved, at den registreredes oplysninger videregives til et tredjeland, der ikke sikrer en tilstrækkelig beskyttelse. Som påpeget af Artikel 29-Gruppen bør tilbagetrækning af den registreredes samtykke, selv om denne handling ikke har tilbagevirkende kraft, i princippet hindre al yderligere behandling af personoplysningerne. På grundlag af disse begrænsninger er Artikel 29-Gruppen af den opfattelse, at samtykke ikke er egnet til at give passende langsigtede rammer for de registeransvarlige i tilfælde af strukturel videregivelse.