KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) 2021/1772

av den 28 juni 2021

i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/679 om adekvat skydd av personuppgifter i Förenade kungariket

[delgivet med nr C(2021) 4800]

(Text av betydelse för EES)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (1), särskilt artikel 45.3, och

av följande skäl:

1. INLEDNING

(1) I förordning (EU) 2016/679 fastställs regler för överföring av personuppgifter från personuppgiftsansvariga eller personuppgiftsbiträden i Europeiska unionen till tredjeländer och internationella organisationer i den mån sådana överföringar omfattas av förordningens tillämpningsområde. Reglerna om internationella överföringar av uppgifter fastställs i kapitel V i den förordningen, dvs. i artiklarna 44–50. Flödet av personuppgifter till och från länder utanför Europeiska unionen är av avgörande betydelse för det internationella samarbetet och den gränsöverskridande handeln men skyddet av personuppgifter i Europeiska unionen får inte undergrävas av överföringar till tredjeländer (2).

(2) Enligt artikel 45.3 i förordning (EU) 2016/679 får kommissionen genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer i ett tredjeland eller en internationell organisation säkerställer en adekvat skyddsnivå. Enligt detta villkor får överföring av personuppgifter till ett tredjeland ske utan ytterligare tillstånd enligt artikel 45.1 och skäl 103 i den förordningen.

(3) Enligt artikel 45.2 i förordning (EU) 2016/679 måste antagandet av ett beslut om adekvat skyddsnivå grundas på en omfattande analys av tredjelandets rättsordning som omfattar både de regler som är tillämpliga på uppgiftsinföraren, begränsningarna och skyddsåtgärderna när det gäller myndigheters tillgång till personuppgifter. I sin bedömning måste kommissionen avgöra om det berörda tredjelandet garanterar en skyddsnivå som ”i allt väsentligt är likvärdig” med den som säkerställs inom Europeiska unionen (skäl 104 i förordning (EU) 2016/679). Den standard mot vilken den ”väsentliga likvärdigheten” bedöms är den som fastställs i EU-lagstiftningen, särskilt förordning (EU) 2016/679 samt rättspraxis från Europeiska unionens domstol (3). Europeiska dataskyddsstyrelsens referensram för adekvat skyddsnivå är också av betydelse i detta avseende (4).

(4) Enligt EU-domstolen kräver detta inte att en identisk skyddsnivå uppnås (5). I synnerhet kan de medel som tredjelandet i fråga har till sitt förfogande för att skydda personuppgifter skilja sig från dem som används i Europeiska unionen förutsatt att de i praktiken visar sig vara effektiva för att säkerställa en adekvat skyddsnivå (6). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Det handlar snarare om huruvida det utländska systemet som helhet, genom innehållet i rätten till dataskydd och dess faktiska genomförande, övervakning och verkställighet, uppnår den skyddsnivå som krävs (7).

(5) Kommissionen har noggrant analyserat Förenade kungarikets lagstiftning och praxis. På grundval av konstateranden som utvecklas i skälen 8–270 drar kommissionen slutsatsen att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som inom tillämpningsområdet för förordning (EU) 2016/679 överförs från Europeiska unionen till Förenade kungariket.

(6) Denna slutsats rör inte personuppgifter som överförs för användning i Förenade kungarikets invandringskontroll eller som på annat sätt omfattas av undantaget från vissa registrerades rättigheter i fråga om upprätthållandet av en effektiv invandringskontroll (”invandringsundantaget”) enligt artikel 4.1 i tillägg 2 till den brittiska dataskyddslagen (UK Data Protection Act). Giltigheten och tolkningen av invandringsundantaget enligt brittisk lagstiftning har ännu inte fastställts, på grund av ett beslut från appellationsdomstolen för England och Wales av den 26 maj 2021. Även om appellationsdomstolen har bekräftat att registrerades rättigheter i princip kan begränsas när det gäller invandringskontroll som ”en fråga av viktigt allmänintresse ” har den slagit fast att invandringsundantaget i sin nuvarande form är oförenligt med brittisk rätt, eftersom lagstiftningsåtgärden saknar specifika bestämmelser som fastställer de skyddsåtgärder som anges i artikel 23.2 i Förenade kungarikets allmänna dataskyddsförordning (den brittiska dataskyddsförordningen) (8). Under dessa förhållanden bör överföring av personuppgifter från unionen till Förenade kungariket undantas från detta besluts tillämpningsområde om personuppgifterna i fråga omfattas av invandringsundantaget (9). När den brittiska lagstiftningen har gjorts förenlig bör invandringsundantaget och behovet av att upprätthålla begränsningen av detta besluts tillämpningsområde tas upp till förnyad bedömning.

(7) Detta beslut bör inte påverka den direkta tillämpningen av förordning (EU) 2016/679 på organisationer som är etablerade i Förenade kungariket om villkoren för den förordningens territoriella tillämpningsområde, som fastställs i artikel 3 i den förordningen, är uppfyllda.

2. REGLER FÖR BEHANDLING AV PERSONUPPGIFTER

2.1 Den konstitutionella ramen

(8) Förenade kungariket är en parlamentarisk demokrati som har en konstitutionell monark som statschef. Det har ett suveränt parlament som är högsta instans för alla andra statliga institutioner, en verkställande makt som är utvald av och ansvarig inför parlamentet och ett oberoende rättsväsende. Den verkställande makten får sitt bemyndigande från sin förmåga att upprätthålla det valda underhusets förtroende och är ansvarig inför båda kamrarna i parlamentet som ansvarar för att granska regeringen samt debattera och stifta lagar.

(9) Det brittiska parlamentet har delegerat ansvaret till det skotska parlamentet, det walesiska parlamentet (Senedd Cymru) och Nordirlands parlament för att lagstifta om inrikes frågor i Skottland, Wales och Nordirland vilket det brittiska parlamentet inte har förbehållit sig självt. Uppgiftsskydd är en reserverad fråga, dvs. samma lagstiftning gäller i hela landet, medan andra politikområden som är relevanta för detta beslut har delegerats. Till exempel har Skottlands och Nordirlands straffrättsliga system, inklusive polisväsendet, delegerats till det skotska parlamentet respektive Nordirlands parlament. Förenade kungariket har inte någon kodifierad konstitution i form av ett grundläggande konstituerande dokument. Konstitutionella principer har med tiden vuxit fram, särskilt från rättspraxis och konvention. Det konstitutionella värdet av vissa lagar, till exempel Magna Carta, Bill of Rights 1689 och Human Rights Act 1998, har erkänts av domstolarna. Enskilda personers grundläggande rättigheter har utvecklats, som en del av konstitutionen, genom common law, dessa stadgar och internationella fördrag, särskilt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna som Förenade kungariket ratificerade 1951. Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) 1987 (10).

(10) Genom Human Rights Act 1998 införlivas rättigheterna i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna i Förenade kungarikets lagstiftning. Human Rights Act ger varje enskild de grundläggande rättigheter och friheter som föreskrivs i artiklarna 2–12 och 14 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, artiklarna 1, 2 och 3 i dess första protokoll och artikel 1 i dess trettonde protokoll, jämförda med artiklarna 16, 17 och 18 i den konventionen. Detta inbegriper rätten till respekt för privatlivet och familjelivet (och rätten till skydd av personuppgifter som en del av denna rätt) och rätten till en rättvis rättegång (11). Enligt artikel 8 i den konventionen får en myndighet endast ingripa i rätten till privatliv i enlighet med lag om det är nödvändigt i ett demokratiskt samhälle med hänsyn till den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, för att förebygga oordning eller brott, för att skydda hälsa eller moral eller för att skydda andras fri- och rättigheter.

(11) I enlighet med Human Rights Act 1998 måste alla åtgärder som vidtas av myndigheter vara förenliga med en rättighet enligt konventionen (12). Dessutom måste primär- och sekundärrätten läsas och genomföras på ett sätt som är förenligt med konventionens rättigheter (13).

2.2 Förenade kungarikets dataskyddsram

(12) Storbritannien lämnade EU den 31 januari 2020. På grundval av avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen (14) fortsatte unionsrätten att tillämpas i Förenade kungariket under övergångsperioden till och med den 31 december 2020. Före utträdet och under övergångsperioden bestod den rättsliga ramen för skydd av personuppgifter i Förenade kungariket av relevant EU-lagstiftning (särskilt förordning (EU) 2016/679 och Europaparlamentets och rådets direktiv (15) (EU) 2016/680) och nationell lagstiftning, särskilt 2018 års dataskyddslag (16) som innehöll nationella bestämmelser, när så var tillåtet enligt förordning (EU) 2016/679, som preciserade och begränsade tillämpningen av bestämmelserna i förordning (EU) 2016/679 och införlivade direktiv (EU) 2016/680.

(13) Som en förberedelse inför EU-utträdet antog Förenade kungarikets regering European Union (Withdrawal) Act 2018 (17) som införlivar direkt tillämplig unionslagstiftning i Förenade kungarikets lagstiftning (18). Denna så kallade bibehållna EU-lagstiftning omfattar förordning (EU) 2016/679 i sin helhet (inklusive skälen) (19). I enlighet med den akten måste den oförändrat bibehållna EU-lagstiftningen tolkas av domstolarna i Förenade kungariket i enlighet med relevant rättspraxis från Europeiska unionens domstol och allmänna principer i unionsrätten eftersom de har verkan omedelbart före övergångsperiodens utgång (bibehållen EU-rättspraxis respektive bibehållen allmän EU-rättspraxis) (20).

(14) Enligt European Union (Withdrawal) Act 2018 har Förenade kungarikets ministrar befogenhet att införa sekundärlagstiftning genom förordningar, för att göra nödvändiga ändringar av bibehållen EU-lagstiftning till följd av Förenade kungarikets utträde ur Europeiska unionen. Ministrarna utövade denna befogenhet genom 2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar osv.) (EU Exit) (DPPEC-förordningarna) (21). DPPEC-förordningarna ändrar förordning (EU) 2016/679 så som den införlivats i brittisk lagstiftning genom European Union (Withdrawal) Act 2018, 2018 års dataskyddslag och annan dataskyddslagstiftning för att passa det inhemska sammanhanget (22).

(15) Den rättsliga ramen för skydd av personuppgifter i Förenade kungariket efter övergångsperiodens utgång består följaktligen av följande: — United Kingdom General Data Protection Regulation (den brittiska dataskyddsförordningen), införlivad i Förenade kungarikets lagstiftning enligt European Union (Withdrawal) Act 2018 och ändrad genom DPPEC Regulations (23), och — 2018 års dataskyddslag (24), ändrad genom de brittiska DPPEC-förordningarna.

(16) Eftersom den brittiska dataskyddsförordningen bygger på EU-lagstiftningen återspeglar dataskyddsbestämmelserna i Förenade kungariket i många avseenden nära motsvarande regler som är tillämpliga inom Europeiska unionen.

(17) Utöver de befogenheter som den ansvariga ministern (Secretary of State) ges genom European Union (Withdrawal) Act 2018 ger flera bestämmelser i 2018 års dataskyddslag den ansvariga ministern befogenhet att anta sekundärlagstiftning för att ändra vissa bestämmelser i lagen eller föreskriva kompletterande och ytterligare regler (25). Den ansvariga ministern har hittills endast utövat sin befogenhet enligt avsnitt 137 i 2018 års dataskyddslag att anta 2019 års förordningar om skydd av personuppgifter (Avgifter och information) (Ändring) som anger under vilka omständigheter personuppgiftsansvariga är skyldiga att betala en årlig avgift till Förenade kungarikets oberoende dataskyddsmyndighet, the Information Commissioner.

(18) Slutligen ges ytterligare vägledning om Förenade kungarikets dataskyddslagstiftning i de uppförandekoder och andra riktlinjer som antagits av the Information Commissioner. Även om vägledningen inte är formellt rättsligt bindande har den tolkningstyngd och visar hur dataskyddslagstiftningen tillämpas och verkställs av the Commissioner i praktiken. Enligt avsnitten 121–125 i 2018 års dataskyddslag ska the Commissioner utarbeta uppförandekoder för datadelning, direktmarknadsföring, åldersanpassad utformning samt dataskydd och journalistik.

(19) Den brittiska rättsliga ram som är tillämplig på uppgifter som överförs enligt detta beslut är således mycket lik den som gäller i Europeiska unionen i dess struktur och huvudkomponenter. Detta inbegriper det faktum att en sådan ram inte enbart bygger på skyldigheter som föreskrivs i nationell rätt, som har utformats genom unionsrätten, utan även på skyldigheter som följer av internationell rätt, särskilt genom Förenade kungarikets anslutning till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och konvention 108 samt dess överlämnande till Europeiska domstolen för de mänskliga rättigheternas jurisdiktion. Dessa skyldigheter som följer av rättsligt bindande internationella instrument, särskilt när det gäller skydd av personuppgifter, är därför en särskilt viktig del av den rättsliga ram som bedöms i detta beslut.

2.3 Materiellt och territoriellt tillämpningsområde

(20) I likhet med förordning (EU) 2016/679 är den brittiska dataskyddsförordningen tillämplig på behandling av personuppgifter helt eller delvis på automatisk väg eller på annan behandling om personuppgifterna ingår i ett register (26). Definitionerna av ”personuppgifter”, ”den registrerade” och ”behandling” i den brittiska dataskyddsförordningen är identiska med definitionerna i förordning (EU) 2016/679 (27). Dessutom är den brittiska dataskyddsförordningen tillämplig på behandling av manuella ostrukturerade personuppgifter (28) som innehas av vissa brittiska myndigheter (29) även om brittiska principer och rättigheter som inte är relevanta för sådana personuppgifter inte tillämpas i avsnitten 24 och 25 i 2018 års dataskyddslag. I likhet med vad som föreskrivs i förordning (EU) 2016/679 är den brittiska dataskyddsförordningen inte tillämplig på behandling av personuppgifter som utförs av en enskild person i samband med verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll (30).

(21) Den brittiska dataskyddsförordningen utvidgar tillämpningsområdet till att även omfatta behandling inom ramen för en verksamhet som omedelbart före övergångsperiodens utgång inte omfattades av unionsrättens tillämpningsområde (t.ex. nationell säkerhet) (31) eller omfattades av kapitel 2 i avdelning 5 i fördraget om Europeiska unionen (verksamhet inom den gemensamma utrikes- och säkerhetspolitiken) (32). På samma sätt som i Europeiska unionens system är den brittiska dataskyddsförordningen inte tillämplig på en behörig myndighets behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten (så kallade brottsbekämpande ändamål) – sådan behandling regleras i stället av del 3 i 2018 års dataskyddslag vilket är fallet för direktiv (EU) 2016/680 enligt EU-rätten – eller behandling av personuppgifter som utförs av underrättelsetjänster (Security Service, Secret Intelligence Service och the Government Communications Headquarters) som omfattas av enligt unionsrätten – eller behandling av personuppgifter som täcks av del 4 i 2018 års dataskyddslag (33).

(22) Den brittiska dataskyddsförordningens territoriella tillämpningsområde anges i artikel 3 i den brittiska dataskyddsförordningen (34) och omfattar behandling av personuppgifter (oavsett var de äger rum) i samband med verksamhet vid en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe i Förenade kungariket samt behandling av personuppgifter om registrerade som befinner sig i Förenade kungariket om behandlingen har samband med erbjudande av varor eller tjänster till sådana registrerade eller övervakning av deras beteende (35). Detta återspeglar tillvägagångssättet i artikel 3 i förordning (EU) 2016/679.

2.4 Definitioner av personuppgifter samt begreppen personuppgiftsansvarig och personuppgiftsbiträde

(23) Definitionerna av personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde och definitionen av pseudonymisering i förordning (EU) 2016/679 har behållits i den brittiska dataskyddsförordningen utan väsentliga ändringar (36). Dessutom definieras särskilda kategorier av uppgifter i artikel 9.1 i den brittiska dataskyddsförordningen på samma sätt som i förordning (EU) 2016/679 (”avslöjande av ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter i syfte att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning”). I avsnitt 205 i 2018 års dataskyddslag definieras ”biometriska uppgifter” (37), ”uppgifter om hälsa” (38) och ”genetiska uppgifter” (39).

2.5. Skyddsåtgärder, rättigheter och skyldigheter

2.5.1 Laglig och korrekt behandling

(24) Personuppgifter bör behandlas på ett lagligt och korrekt sätt.

(25) Principerna om laglighet, rättvisa och öppenhet samt grunderna för laglig behandling garanteras i Förenade kungarikets lagstiftning genom artiklarna 5.1 a och 6.1 i den brittiska dataskyddsförordningen som är identiska med respektive bestämmelser i förordning (EU) 2016/679. (40) Avsnitt 8 i 2018 års dataskyddslag kompletterar artikel 6.1 e genom att föreskriva att behandling av personuppgifter enligt artikel 6.1 e i den brittiska dataskyddsförordningen (som är nödvändig för att utföra en uppgift av allmänintresse eller som ett led i utövandet av den personuppgiftsansvarigas officiella befogenheter) omfattar behandling av personuppgifter som är nödvändig för rättskipningen, utövande av en funktion i någondera av parlamentets kammare, utövande av en funktion som tilldelats en person genom förordning eller en rättsregel, främjar utövandet av kronans funktioner, en av kronans ministrar eller ett regeringsministerium eller en aktivitet som stöder eller gynnar demokratiskt engagemang.

(26) När det gäller samtycke (en av grunderna för laglig behandling) behåller den brittiska dataskyddsförordningen även de villkor som anges i artikel 7 i förordning (EU) 2016/679 utan ändringar, dvs. att den personuppgiftsansvariga måste kunna visa att den registrerade har gett sitt samtycke, att en skriftlig begäran om samtycke måste lämnas in på ett klart och tydligt språk, att den registrerade måste ha rätt att när som helst dra tillbaka sitt samtycke och vid bedömningen av huruvida samtycket lämnas frivilligt bör hänsyn tas till huruvida fullgörandet av ett avtal är villkorat av att samtycke inte krävs för behandling av personuppgifter. Enligt artikel 8 i den brittiska dataskyddsförordningen är dessutom ett barns samtycke i samband med tillhandahållande av informationssamhällets tjänster lagligt endast om barnet är minst 13 år gammalt. Detta ligger inom den åldersgrupp som fastställs i artikel 8 i förordning (EU) 2016/679.

2.5.2 Behandling av särskilda kategorier av personuppgifter

(27) Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” behandlas.

(28) Den brittiska dataskyddsförordningen och 2018 års dataskyddslag innehåller särskilda regler för behandling av särskilda kategorier av personuppgifter som definieras i artikel 9.1 i den brittiska dataskyddsförordningen på samma sätt som i förordning (EU) 2016/679 (se skäl 23 ovan). Enligt artikel 9 i den brittiska dataskyddsförordningen är behandling av särskilda kategorier av uppgifter i princip förbjuden, såvida inte ett särskilt undantag gäller.

(29) Dessa undantag (som förtecknas i artikel 9.2 och 3 i den brittiska dataskyddsförordningen) ändrar inte innehållet i artikel 9.2 och 3 i förordning (EU) 2016/679. Såvida inte den registrerade har lämnat sitt uttryckliga samtycke till behandlingen av dessa personuppgifter är behandling av särskilda kategorier av personuppgifter endast tillåten under särskilda och begränsade omständigheter. I de flesta fall måste behandlingen av känsliga uppgifter vara nödvändig för ett specifikt ändamål som definieras i den relevanta bestämmelsen (se artikel 9.2 b, c, f, g, h, i och j).

(30) Om ett undantag enligt artikel 9.2 i den brittiska dataskyddsförordningen kräver tillstånd enligt lag eller hänvisar till allmänintresset anges dessutom i avsnitt 10 i 2018 års dataskyddslag tillsammans med tillägg 1 till samma lag vilka villkor som måste vara uppfyllda för att undantagen ska kunna åberopas. När det till exempel gäller behandling av känsliga uppgifter för att skydda ”folkhälsan” (artikel 9.2 i) i den brittiska dataskyddsförordningen) krävs det i punkt 3 b i del 1 i tillägg 1 att sådan behandling, utöver nödvändighetstestet, utförs ”av eller på ansvar av hälso- och sjukvårdspersonal” eller ”av en annan person som är skyldig att iaktta tystnadsplikt enligt en lag eller en rättsregel”, inbegripet enligt den väletablerade sedvanerättsliga tystnadsplikten.

(31) När känsliga uppgifter behandlas av skäl som rör ett väsentligt allmänintresse (artikel 9.2 g i den brittiska dataskyddsförordningen) innehåller del 2 i bilaga 1 till 2018 års dataskyddslag en uttömmande förteckning över ändamål som kan anses vara av väsentligt allmänt intresse och för vart och ett av dessa syften fastställs särskilda ytterligare villkor. Till exempel erkänns främjande av mångfald när det gäller rastillhörighet och etniskt ursprung på högre nivåer i organisationer som ett viktigt allmänintresse. Behandling av känsliga uppgifter för detta särskilda ändamål omfattas av detaljerade krav, bland annat att behandlingen utförs som ett led i en process för att identifiera lämpliga personer som kan inneha höga befattningar och är nödvändig för att främja mångfald när det gäller raser samt etnisk mångfald och sannolikt inte kommer att orsaka den registrerade betydande skada eller betydande lidande.

(32) I avsnitt 11.1 i 2018 års dataskyddslag fastställs villkor för behandling av personuppgifter under de omständigheter som beskrivs i artikel 9.3 i den brittiska dataskyddsförordningen avseende tystnadsplikt. Detta inbegriper omständigheter under vilka det utförs av eller under ansvar av hälso- och sjukvårdspersonal eller socialarbetare eller av en annan person som under dessa omständigheter är skyldig att iaktta tystnadsplikt enligt en lag eller en rättsregel.

(33) Dessutom kräver många av de undantag som anges i artikel 9.2 i den brittiska dataskyddsförordningen lämpliga och specifika skyddsåtgärder för att de ska kunna användas. Beroende på behandlingens art och risknivån för de registrerades rättigheter och friheter fastställs olika skyddsåtgärder i villkoren för behandling i bilaga 1 – till 2018 års dataskyddslag. I tillägg 1 anges villkoren för varje behandlingssituation i tur och ordning.

(34) I vissa fall reglerar och begränsar 2018 års dataskyddslag den typ av känsliga uppgifter som får behandlas för att en viss rättslig grund ska efterlevas. Exempelvis är det enligt punkt 8 i tillägg 1 tillåtet att behandla känsliga uppgifter i syfte att främja lika möjligheter eller likabehandling. Detta behandlingstillstånd får endast användas om uppgifterna avslöjar ras eller etniskt ursprung, religiös eller filosofisk övertygelse, sexuell läggning eller hälsouppgifter.

(35) I vissa fall begränsar 2018 års dataskyddslag den typ av personuppgiftsansvarig som får använda behandlingsvillkoret. I punkt 23 i tillägg 1 föreskrivs exempelvis behandling av känsliga uppgifter i samband med de förtroendevaldas svar till allmänheten. Detta behandlingsvillkor kan endast användas om den personuppgiftsansvariga är vald företrädare eller agerar under deras överinseende.

(36) I vissa andra fall fastställs gränser för vilka kategorier av registrerade som får användas i 2018 års dataskyddslag. I punkt 21 i tillägg 1 regleras exempelvis behandlingen av känsliga uppgifter för tjänstepensionssystem. Detta villkor kan endast användas om den registrerade är syskon, förälder, mor- eller farförälder eller gammelmor- eller gammelfarförälder till försäkringstagaren.

(37) När den personuppgiftsansvariga dessutom åberopar de undantag i artikel 9.2 i den brittiska dataskyddsförordningen som specificeras närmare i avsnitt 10 i 2018 års dataskyddslag tillsammans med tillägg 1 till 2018 års dataskyddslag måste den personuppgiftsansvariga i de flesta fall utarbeta ett lämpligt policydokument. Det måste beskriva den personuppgiftsansvariges förfaranden för att säkerställa överensstämmelse med principerna i artikel 5 i den brittiska dataskyddsförordningen. Det ska också innehålla riktlinjer för lagring och radering med uppgift om den sannolika lagringsperioden. Personuppgiftsansvariga ska se över och uppdatera detta dokument när så är lämpligt. Den personuppgiftsansvariga ska bevara policydokumentet i sex månader efter det att behandlingen avslutats och på begäran göra det tillgängligt för the Information Commissioner (41).

(38) Enligt punkt 41 i bilaga 1 till 2018 års dataskyddslag ska policydokumentet alltid åtföljas av en utökad registrering av behandlingen. Detta register måste följa de åtaganden som ingår i policydokumentet, dvs. huruvida uppgifterna raderas eller lagras i enlighet med riktlinjerna. Om riktlinjerna inte har följts ska skälen till detta registreras i protokollet. I dokumentationen ska det också beskrivas hur behandlingen uppfyller artikel 6 i den brittiska dataskyddsförordningen (behandlingens laglighet) och det särskilda villkoret i tillägg 1 till 2018 års dataskyddslag som åberopas.

(39) I likhet med förordning (EU) 2016/679 innehåller den brittiska dataskyddsförordningen också allmänna skyddsåtgärder för viss behandling av särskilda kategorier av uppgifter. Enligt artikel 35 i den brittiska dataskyddsförordningen krävs en konsekvensbedömning avseende dataskydd om särskilda kategorier av uppgifter behandlas i stor skala. Enligt artikel 37 i den brittiska dataskyddsförordningen måste en personuppgiftsansvarig eller ett personuppgiftsbiträde utse ett dataskyddsombud om hans eller hennes kärnverksamhet består i behandling av särskilda kategorier av uppgifter i stor skala.

(40) När det gäller personuppgifter som rör fällande domar i brottmål och brott är artikel 10 i den brittiska dataskyddsförordningen identisk med artikel 10 i förordning (EU) 2016/679. Den tillåter behandling av personuppgifter som rör fällande domar i brottmål och överträdelser endast under kontroll av en myndighet eller när behandlingen är tillåten enligt nationell lagstiftning som föreskriver lämpliga skyddsåtgärder för de registrerades rättigheter och friheter.

(41) Om behandlingen av uppgifter som rör fällande domar i brottmål och överträdelser inte sker under kontroll av en myndighet, föreskrivs i avsnitt 10.5 i 2018 års dataskyddslag att sådan behandling endast får ske för de särskilda ändamål/i de särskilda situationer som anges i delarna 1, 2 och 3 i bilaga 1 till 2018 års dataskyddslag och omfattas av de särskilda krav som fastställs för vart och ett av dessa ändamål/situationer. Uppgifter om fällande domar i brottmål kan till exempel behandlas av organ utan vinstsyfte om behandlingen utförs a) inom ramen för dess legitima verksamhet med lämpliga skyddsåtgärder av en stiftelse, en förening eller ett annat icke vinstdrivande organ med politiskt, filosofiskt, religiöst eller fackligt syfte och b) under förutsättning att i) behandlingen endast avser organets medlemmar eller tidigare medlemmar eller personer som har regelbunden kontakt med organet i samband med dess ändamål och ii) personuppgifterna inte lämnas ut.

(42) I del 3 i tillägg 1 till 2018 års dataskyddslag anges dessutom ytterligare omständigheter under vilka uppgifter om fällande domar i brottmål får användas som motsvarar de rättsliga grunderna för behandling av känsliga uppgifter i artikel 9.2 i förordning (EU) 2016/679 och den brittiska dataskyddsförordningen (t.ex. den registrerades samtycke, en persons vitala intressen om den registrerade är rättsligt eller fysiskt oförmögen att ge sitt samtycke, om uppgifterna redan på ett uppenbart sätt har offentliggjorts av den registrerade, om behandlingen är nödvändig för att fastställa, göra gällande eller försvara ett rättsligt anspråk osv.).

2.5.3 Ändamålsbegränsning, noggrannhet, dataminimering, lagringsbegränsning och datasäkerhet

(43) Personuppgifter ska behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål.

(44) Denna princip föreskrivs i artikel 5.1 b i förordning (EU) 2016/679 och har behållits utan ändringar i artikel 5.1 b i den brittiska dataskyddsförordningen. Villkoren för ytterligare förenlig behandling enligt artikel 6.4 i förordning (EU) 2016/679 har också behållits utan några väsentliga ändringar i artikel 6.4 a–e i den brittiska dataskyddsförordningen.

(45) Dessutom bör uppgifterna vara korrekta och vid behov hållas aktuella. De bör också vara adekvata, relevanta och inte överdrivet omfattande i förhållande till de ändamål för vilka de behandlas och i princip inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas.

(46) Principerna om uppgiftsminimering, noggrannhet och lagringsbegränsning fastställs i artikel 5.1 c-e i förordning (EU) 2016/679 och behålls utan ändringar i artikel 5.1 c-e i den brittiska dataskyddsförordningen.

(47) Personuppgifter bör också behandlas på ett sätt som innebär att säkerheten garanteras, inbegripet skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstörelse eller skada. I detta syfte bör de ekonomiska aktörerna vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder bör utvärderas med hänsyn till den senaste tekniken och kostnaderna.

(48) Datasäkerhet är förankrad i Förenade kungarikets lagstiftning genom principen om integritet och konfidentialitet i artikel 5.1 f i den brittiska dataskyddsförordningen och i artikel 32 i den brittiska dataskyddsförordningen om säkerhet vid behandling. Dessa bestämmelser är identiska med respektive bestämmelser i förordning (EU) 2016/679. Enligt samma villkor som de som anges i artiklarna 33 och 34 i förordning (EU) 2016/679 kräver den brittiska dataskyddsförordningen dessutom att en personuppgiftsincident anmäls till tillsynsmyndigheten (artikel 33 i den brittiska dataskyddsförordningen) och att en personuppgiftsincident meddelas den registrerade (artikel 34 i den brittiska dataskyddsförordningen).

2.5.4 Insyn

(49) De registrerade bör underrättas om de viktigaste dragen i behandlingen av sina personuppgifter.

(50) Detta säkerställs genom artiklarna 13 och 14 i den brittiska dataskyddsförordningen som utöver en allmän princip om öppenhet innehåller regler om vilken information som ska lämnas till den registrerade (42). Den brittiska dataskyddsförordningen innebär inga väsentliga ändringar av dessa regler jämfört med motsvarande artiklar i förordning (EU) 2016/679. Liksom enligt förordning (EU) 2016/679 omfattas dock transparenskraven i dessa artiklar av flera undantag som fastställs i 2018 års dataskyddslag (se skälen 55–72).

2.5.5 Individuella rättigheter

(51) De registrerade bör ha vissa rättigheter som kan göras gällande mot den personuppgiftsansvariga eller personuppgiftsbiträdet, särskilt rätten till tillgång till uppgifter, rätten att invända mot behandlingen och rätten att få uppgifter rättade och raderade. Samtidigt kan sådana rättigheter omfattas av restriktioner i den mån dessa begränsningar är nödvändiga och proportionerliga för att skydda den allmänna säkerheten eller andra viktiga mål av allmänt intresse.

2.5.5.1 Materiella rättigheter

(52) Den brittiska dataskyddsförordningen ger enskilda samma verkställbara rättigheter som förordning (EU) 2016/679. Bestämmelserna om enskildas rättigheter har bibehållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar.

(53) Rättigheterna omfattar den registrerades rätt till tillgång (artikel 15 i den brittiska dataskyddsförordningen), rätten till rättelse (artikel 16 i den brittiska dataskyddsförordningen), rätten till radering (artikel 17 i den brittiska dataskyddsförordningen), rätten till begränsning av behandlingen (artikel 18 i den brittiska dataskyddsförordningen), en anmälningsskyldighet avseende rättelse eller radering av personuppgifter eller begränsning av behandling (artikel 19 i den brittiska dataskyddsförordningen), rätten till dataportabilitet (artikel 20 i den brittiska dataskyddsförordningen) och rätten att göra invändningar (artikel 21 i den brittiska dataskyddsförordningen) (43). Det senare omfattar också den registrerades rätt att invända mot behandling av personuppgifter för direkt marknadsföring enligt artikel 21.2 och 3 i förordning (EU) 2016/679. Dessutom ska the Information Commissioner enligt avsnitt 122 i 2018 års dataskyddslag utarbeta en uppförandekod för genomförandet av direktmarknadsföring i enlighet med kraven i dataskyddslagstiftningen (och 2003 års förordning om integritet och elektronisk kommunikation) och sådana andra riktlinjer för att främja god praxis vid direktmarknadsföring som the Information Commissioner anser vara lämpliga. ICO (Information Commissioner’s Office) håller för närvarande på att utarbeta en uppförandekod för direktmarknadsföring (44).

(54) Den registrerades rätt att inte bli föremål för ett beslut som enbart grundar sig på automatiserad behandling som har rättsliga följder för dem eller som på liknande sätt påverkar dem på ett betydande sätt i enlighet med artikel 22 i dataskyddsförordningen har också behållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar. En ny punkt 3A har dock lagts till för att hänvisa till att avsnitt 14 i 2018 års dataskyddslag innehåller skyddsåtgärder för registrerades rättigheter, friheter och berättigade intressen när behandlingen utförs enligt artikel 22.2 b i den brittiska dataskyddsförordningen. Detta gäller endast när grunden för ett sådant beslut är ett tillstånd eller ett krav enligt brittisk lag och inte om beslutet är nödvändigt enligt ett avtal eller med den registrerades uttryckliga samtycke. Om avsnitt 14 i 2018 års dataskyddslag är tillämpligt ska den personuppgiftsansvariga så snart det rimligen är praktiskt möjligt skriftligen underrätta den registrerade om att ett beslut har fattats enbart på grundval av automatiserad behandling. Den registrerade har rätt att begära att den personuppgiftsansvariga – inom en månad efter mottagandet av underrättelsen – ompröva beslutet eller att fatta ett nytt beslut som inte enbart grundar sig på automatiserad behandling. Den ansvariga ministern har befogenhet att anta ytterligare skyddsåtgärder när det gäller automatiserat beslutsfattande. Denna befogenhet har ännu inte utövats.

2.5.5.2 Begränsningar av individuella rättigheter och andra bestämmelser

(55) 2018 års dataskyddslag innehåller flera begränsningar av individuella rättigheter som passar inom ramen för artikel 23 i den brittiska dataskyddsförordningen. Inga begränsningar införs inom denna ram när det gäller rätten att invända mot direkt marknadsföring enligt artikel 21.2 och 3 i den brittiska dataskyddsförordningen eller rätten att inte bli föremål för automatiserat beslutsfattande i enlighet med artikel 22 i den brittiska dataskyddsförordningen.

(56) Begränsningarna beskrivs närmare i bilagorna 2–4 till 2018 års dataskyddslag. De brittiska myndigheterna har förklarat att de vägleds av principen om specificitet (en detaljerad strategi, uppdelning av breda begränsningar i flera, mer specifika bestämmelser) och principen om villkorlighet (varje bestämmelse kompletteras med skyddsåtgärder i form av begränsningar eller villkor för att förhindra missbruk) (45).

(57) De begränsningar som beskrivs i artikel 23.1 i den brittiska dataskyddsförordningen är utformade för att säkerställa att de endast tillämpas under särskilda omständigheter när detta är nödvändigt i ett demokratiskt samhälle och står i proportion till det legitima mål som de eftersträvar. I enlighet med etablerad rättspraxis om tolkning av begränsningar kan dessutom ett undantag från ordningen för dataskydd endast tillämpas i varje enskilt fall om det är nödvändigt och proportionerligt för att göra det (46). Nödvändighetstestet ska vara ”strikt, vilket innebär att varje ingrepp i den registrerades rättigheter ska stå i proportion till hur allvarligt hotet mot allmänintresset är. Det handlar därför om en klassisk proportionalitetsanalys (47)”.

(58) Syftet med dessa begränsningar motsvarar dem som förtecknas i artikel 23 i förordning (EU) 2016/679 med undantag för de begränsningar för nationell säkerhet och försvar som i stället regleras genom avsnitt 26 i 2018 års dataskyddslag men som omfattas av samma krav på nödvändighet och proportionalitet (se skälen 63–66).

(59) Vissa av begränsningarna, till exempel de som rör förebyggande eller avslöjande av brott, gripande eller lagföring av gärningsmän och fastställande eller uppbörd av skatter eller avgifter (48) tillåter begränsningar av alla individuella rättigheter och skyldigheter avseende insyn (med undantag för rättigheter enligt artikel 21.2 och artikel 22). Tillämpningsområdet för andra begränsningar är begränsat till skyldigheter avseende transparens och tillträdesrätt, till exempel begränsningar av advokatsekretessen (49), rätten till frihet från ett krav på att lämna information som skulle leda till självangivelse (50) och till företagsfinansiering, särskilt förhindrande av insiderhandel (51). Få av begränsningarna tillåter en begränsning av den personuppgiftsansvarigas skyldighet att informera den registrerade om ett personuppgiftsbrott och principerna om ändamålsbegränsning samt om laglighet, rättvisa och insyn i behandlingen (52).

(60) Vissa av begränsningarna gäller automatiskt ”i sin helhet” för en viss typ av behandling av personuppgifter (till exempel är tillämpningen av öppenhetsskyldigheter och individuella rättigheter utesluten när personuppgifter behandlas för att bedöma en persons lämplighet för domarämbetet eller personuppgifter behandlas av en domstol eller en enskild person som handlar i egenskap av en dömande myndighet).

(61) I de flesta fall anges dock i den relevanta punkten i tillägg 2 till 2018 års dataskyddslag att begränsningen endast gäller när (och i den mån) tillämpningen av bestämmelserna ”sannolikt skulle skada” det berättigade mål som eftersträvas med begränsningen och exempelvis är de angivna bestämmelserna i den brittiska dataskyddsförordningen inte tillämpliga på personuppgifter som behandlas för att förebygga eller upptäcka brott, gripa eller lagföra gärningsmän eller för att fastställa eller uppbära en skatt eller avgift ”i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada” någon av dessa frågor (53).

(62) Normen ”sannolikt skulle skada” har konsekvent tolkats av brittiska domstolar som ”en mycket betydande och tungt vägande risk för skada för det identifierade allmänintresset” (54). En begränsning som omfattas av prövningen av konkret och faktisk skada kan därför endast åberopas om och i den mån det föreligger en mycket betydande och tungt vägande risk för att beviljandet av en viss rättighet skulle skada det berörda allmänintresset. Den personuppgiftsansvariga ansvarar för att från fall till fall bedöma om dessa villkor är uppfyllda (55).

(63) Utöver de begränsningar som anges i tillägg 2 till 2018 års dataskyddslag föreskrivs i avsnitt 26 i denna lag ett undantag som kan tillämpas på vissa bestämmelser i den brittiska dataskyddsförordningen och 2018 års dataskyddslag om detta undantag krävs för att skydda den nationella säkerheten eller för försvarsändamål. Detta undantag gäller dataskyddsprinciperna (med undantag för principen om laglighet), transparenskraven, den registrerades rättigheter, skyldigheten att anmäla ett uppgiftsbrott, regler om internationella överföringar, vissa av skyldigheter och befogenheter som the Information Commissioner har samt reglerna om rättsmedel, ansvar och påföljder, med undantag för bestämmelsen om de allmänna villkoren för åläggande av administrativa sanktionsavgifter i artikel 83 i den brittiska dataskyddsförordningen och bestämmelsen om påföljder i artikel 84 i den brittiska dataskyddsförordningen. Avsnitt 28 i 2018 års dataskyddslag ändrar dessutom tillämpningen av artikel 9.1 för att möjliggöra behandling av särskilda kategorier av uppgifter i artikel 9.1 i den brittiska dataskyddsförordningen i den mån behandlingen utförs för att skydda den nationella säkerheten eller för försvarsändamål och med lämpliga skyddsåtgärder för de registrerades rättigheter och friheter (56).

(64) Undantaget kan endast tillämpas i den mån det krävs för att skydda den nationella säkerheten eller försvaret. Precis som för de övriga undantag som föreskrivs i 2018 års dataskyddslag måste detta beaktas och åberopas av den personuppgiftsansvariga från fall till fall. Dessutom måste varje tillämpning av undantaget vara förenlig med människorättsnormer (med stöd av Human Rights Act 1998) enligt vilken varje ingrepp i rätten till integritet bör vara nödvändigt och proportionerligt i ett demokratiskt samhälle (57).

(65) Denna tolkning av undantaget bekräftas av ICO, som har utfärdat detaljerad vägledning om tillämpningen av undantaget avseende nationell säkerhet och försvaret, och där det klargörs att den personuppgiftsansvariga måste överväga och tillämpa undantaget från fall till fall (58). I vägledningen betonas särskilt att ”[d]etta inte är ett generellt undantag” och att det för att åberopa undantaget ”inte är tillräckligt att uppgifterna behandlas för ändamål som rör nationell säkerhet”. Tvärtom måste personuppgiftsansvariga som åberopar undantaget ”visa att det finns en verklig risk för att den nationella säkerheten kan påverkas negativt”, och den personuppgiftsansvariga förväntas vid behov ”förse ICO med uppgifter som styrker [den personuppgiftsansvarigas] beslut att tillämpa detta undantag”. Vägledningen innehåller en checklista och ett antal exempel för att ytterligare klargöra villkoren för att åberopa detta undantag.

(66) Det faktum att uppgifterna behandlas för ändamål som rör den nationella säkerheten eller försvaret är därför inte i sig tillräckligt för att undantaget ska kunna tillämpas. En personuppgiftsansvarig måste överväga de faktiska konsekvenserna för den nationella säkerheten om han eller hon måste följa den särskilda dataskyddsbestämmelsen. Undantaget kan endast tillämpas på de särskilda bestämmelser som har fastställts utgöra en risk och måste tillämpas så restriktivt som möjligt (59).

(67) Detta synsätt har bekräftats av Information Tribunal (60). I målet Baker/Secretary of State for the Home Department (”Baker/Secretary of State”) fastställde tribunalen att det var olagligt att tillämpa undantaget för nationell säkerhet som ett generellt undantag för ansökningar om tillgång till handlingar som mottagits av underrättelsetjänsterna. I stället var det nödvändigt att tillämpa undantaget från fall till fall genom att undersöka varje begäran på grundval av sina egna meriter och med hänsyn till enskildas rätt till respekt för sitt privatliv (61).

2.5.6 Begränsningar för personuppgifter som behandlas för journalistiska, konstnärliga, akademiska och litterära ändamål samt för arkivering och forskning

(68) Enligt artikel 85.2 i den brittiska dataskyddsförordningen får personuppgifter som behandlas för journalistiska, konstnärliga, akademiska och litterära ändamål undantas från flera bestämmelser i den brittiska dataskyddsförordningen. I del 5 i tillägg 2 till 2018 års dataskyddslag anges undantagen för behandling för dessa ändamål. Det innehåller bestämmelser om undantag från dataskyddsprinciperna (med undantag för principen om integritet och konfidentialitet), de rättsliga grunderna för behandling (däribland särskilda kategorier av uppgifter och fällande domar i brottmål osv.), villkoren för samtycke, transparenskraven, de registrerades rättigheter, skyldigheten att anmäla personuppgiftsbrott, kravet på samråd med the Information Commissioner före behandling med hög risk och reglerna om internationella överföringar (62). I detta avseende avviker den brittiska dataskyddsförordningen inte i sak från förordning (EU) 2016/679 som i artikel 85 också föreskriver en möjlighet att undanta behandling som utförs för journalistiska ändamål eller för akademiska, konstnärliga eller litterära ändamål från ett antal krav i förordning (EU) 2016/679. Bestämmelserna i 2018 års dataskyddslag, särskilt tillägg 2 del 5, är förenliga med den brittiska dataskyddsförordningen.

(69) Den centrala avvägning som ska göras enligt artikel 85 i den brittiska dataskyddsförordningen gäller huruvida ett undantag från de dataskyddsregler som nämns i skäl 68 är ”nödvändigt för att förena rätten till skydd av personuppgifter med yttrande- och informationsfriheten” (63). Enligt bilaga 2, punkterna 26.2 och 3 i 2018 års dataskyddslag, tillämpar Förenade kungariket ett skälighetstest för att uppnå denna balans. För att ett undantag ska vara motiverat måste den personuppgiftsansvariga rimligen tro i) att offentliggörandet ligger i allmänhetens intresse, och ii) att tillämpningen av den relevanta bestämmelsen i dataskyddsförordningen skulle vara oförenlig med journalistiska, akademiska, konstnärliga eller litterära ändamål. Enligt rättspraxis (64) har kriteriet om rimlig tro både en subjektiv och en objektiv komponent för det räcker inte för den personuppgiftsansvariga att visa att han eller hon själv trodde att kraven inte var uppfyllda. Hans eller hennes övertygelse måste vara rimlig, dvs. den kan antas av en förnuftig person som känner till relevanta fakta. Den personuppgiftsansvariga måste därför visa tillbörlig aktsamhet när han eller hon bildar sin tro för att kunna visa rimlighet. Enligt de förklaringar som lämnats av de brittiska myndigheterna måste skälighetstestet genomföras på grundval av undantag för varje enskilt fall (65). Om villkoren är uppfyllda anses undantaget vara nödvändigt och proportionerligt enligt Förenade kungarikets lagstiftning.

(70) Enligt avsnitt 124 i 2018 års dataskyddslag ska ICO utarbeta en uppförandekod om dataskydd och journalistik. Arbetet med denna kod pågår. Vägledning i frågan har utfärdats enligt dataskyddslagen från 1998 där det särskilt betonas att det för att åberopa detta undantag inte räcker att endast ange att efterlevnad skulle vara en olägenhet för journalisternas verksamhet utan det måste finnas ett tydligt argument för att bestämmelsen i fråga utgör ett hinder för ansvarsfull journalistik (66). Vägledning om tillämpningen av prövningen av allmänintresset och avvägningen mellan allmänintresset och en enskilds intresse av personlig integritet har också offentliggjorts av Förenade kungarikets tillsynsmyndighet för telekommunikation OFCOM och BBC i dess redaktionella riktlinjer (67). I riktlinjerna ges särskilt exempel på information som kan anses ligga i allmänhetens intresse och behovet av att kunna visa att allmänintresset väger tyngre än rätten till integritet under de särskilda omständigheterna i fallet förklaras.

(71) I likhet med vad som föreskrivs i artikel 89 i dataskyddsförordningen kan personuppgifter som behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål också undantas från ett antal förtecknade bestämmelser i den brittiska dataskyddsförordningen (68). Beträffande forskning och statistik är det möjligt att göra undantag från bestämmelserna i den brittiska dataskyddsförordningen vad gäller bekräftelse av behandling och tillgång till uppgifter och skyddsåtgärder för överföringar från tredjeland, rätt till rättelse, begränsning av behandling och invändningar mot behandling. När det gäller arkivering i allmänhetens intresse är det också möjligt att göra undantag från anmälningsskyldigheten när det gäller rättelse eller radering av personuppgifter eller begränsning av behandling och rätten till dataportabilitet.

(72) Enligt punkterna 27.1 och 28.1 i tillägg 2 till 2018 års dataskyddslag är undantag från de förtecknade bestämmelserna i den brittiska dataskyddsförordningen möjliga om tillämpningen av bestämmelserna skulle ”hindra eller allvarligt försämra uppnåendet” av ändamålen i fråga (69).

(73) Med tanke på deras relevans för ett effektivt utövande av individuella rättigheter kommer all relevant utveckling när det gäller tolkning och tillämpning av de ovannämnda undantagen i praktiken (utöver undantaget om upprätthållande av en ändamålsenlig invandringskontroll såsom förklaras i skäl 6), inklusive ytterligare utveckling av rättspraxis samt vägledning och verkställande åtgärder från ICO, vederbörligen beaktas i samband med den fortlöpande övervakningen av detta beslut (70).

2.5.7 Begränsningar av vidare överföringar

(74) Den skyddsnivå som ges för personuppgifter som överförs från Europeiska unionen till personuppgiftsansvariga eller personuppgiftsbiträden i Förenade kungariket får inte undergrävas av vidare överföring av sådana uppgifter till mottagare i ett tredjeland. Sådana ”vidare överföringar” som ur den personuppgiftsansvarigas eller personuppgiftsbiträdets synvinkel utgör internationella överföringar från Förenade kungariket bör endast tillåtas om den ytterligare mottagaren utanför Förenade kungariket själv omfattas av regler som säkerställer en skyddsnivå som liknar den som garanteras i Förenade kungarikets rättsordning. Därför är tillämpningen av bestämmelserna i den brittiska dataskyddsförordningen och 2018 års dataskyddslag på internationella överföringar av personuppgifter en viktig faktor för att säkerställa kontinuiteten i skyddet när det gäller personuppgifter som överförs från Europeiska unionen till Förenade kungariket enligt detta beslut.

(75) Ordningen för internationella överföringar av personuppgifter från Förenade kungariket fastställs i artiklarna 44–49 i den brittiska dataskyddsförordningen, kompletterad av 2018 års dataskyddslag, och är i sak identisk med de bestämmelser som fastställs i kapitel V i förordning (EU) 2016/679 (71). Överföring av personuppgifter till ett tredjeland eller en internationell organisation kan endast ske på grundval av förordningar om adekvat skyddsnivå (Förenade kungariket motsvarar ett beslut om adekvat skyddsnivå enligt förordning (EU) 2016/679), eller i avsaknad av förordningar om adekvat skyddsnivå, om den personuppgiftsansvariga eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder i enlighet med artikel 46 i den brittiska dataskyddsförordningen. I avsaknad av förordningar om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan en överföring endast ske på grundval av de undantag som anges i artikel 49 i den brittiska dataskyddsförordningen.

(76) I de bestämmelser om adekvat skyddsnivå som utfärdas av den ansvariga ministern kan det föreskrivas att ett tredjeland (eller ett territorium eller en sektor inom ett tredjeland), en internationell organisation eller en beskrivning (72) av ett sådant land, territorium, sektor eller organisation säkerställer en adekvat skyddsnivå för personuppgifter. Vid bedömningen av om skyddsnivån är adekvat måste den ansvarige ministern beakta samma faktorer som kommissionen är skyldig att bedöma enligt artikel 45.2 a-c i förordning (EU) 2016/679, tolkad tillsammans med skäl 104 i förordning (EU) 2016/679 och bibehållen EU-rättspraxis. Detta innebär att vid bedömningen av en adekvat skyddsnivå i ett tredjeland kommer den relevanta normen att vara huruvida det berörda tredjelandet säkerställer en skyddsnivå som ”i allt väsentligt är likvärdig” med den som garanteras i Förenade kungariket.

(77) När det gäller förfarandet omfattas förordningar om adekvat skyddsnivå av de ”allmänna” formföreskrifter som anges i avsnitt 182 i 2018 års dataskyddslag. Enligt detta förfarande måste den ansvarige ministern samråda med the Information Commissioner vid förslag om antagande av brittiska förordningar om adekvat skyddsnivå ska antas (73). När dessa förordningar har antagits av den ansvarige ministern läggs de fram inför parlamentet och omfattas av förfarandet för ”negativ resolution” enligt vilket båda kamrarna kan granska förordningarna och kunna anta ett förslag om ogiltigförklaring av förordningarna inom en 40-dagarsperiod (74).

(78) Enligt avsnitt 17B.1 i 2018 års dataskyddslag ska bestämmelserna om adekvat skyddsnivå ses över med högst fyra års mellanrum och ministern ska fortlöpande övervaka utvecklingen i tredjeländer och internationella organisationer som skulle kunna påverka beslut om att utfärda föreskrifter om adekvat skyddsnivå eller att ändra eller upphäva sådana föreskrifter. Om ministern får kännedom om att ett visst land eller en angiven organisation inte längre säkerställer en adekvat skyddsnivå för personuppgifter ska han eller hon, i den utsträckning det är nödvändigt, ändra eller upphäva föreskrifterna och inleda samråd med det berörda tredjelandet eller den berörda internationella organisationen för att avhjälpa bristen på en adekvat skyddsnivå. Dessa förfarandefrågor återspeglar också motsvarande krav i förordning (EU) 2016/679.

(79) I avsaknad av förordningar om adekvat skyddsnivå kan internationella överföringar äga rum där den personuppgiftsansvariga eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder i enlighet med artikel 46 i den brittiska dataskyddsförordningen. Dessa skyddsåtgärder liknar dem i artikel 46 i förordning (EU) 2016/679. De omfattar rättsligt bindande och verkställbara instrument mellan myndigheter eller organ, bindande företagsregler (75), standardiserade dataskyddsbestämmelser, godkända uppförandekoder, godkända certifieringsmekanismer och med tillstånd från the Information Commissioner, avtalsklausuler mellan personuppgiftsansvariga (eller personuppgiftsbiträden) eller administrativa överenskommelser mellan myndigheter. Bestämmelserna har dock ändrats ur förfarandemässig synvinkel för att fungera inom ramen för Förenade kungariket och i synnerhet kan standardklausulerna om dataskydd antas av ministern (avsnitt 17C) eller the Information Commissioner (avsnitt 119A) i enlighet med 2018 års dataskyddslag.

(80) I avsaknad av ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan en överföring endast ske på grundval av de undantag som anges i artikel 49 i den brittiska dataskyddsförordningen (76). Den brittiska dataskyddsförordningen innebär inga väsentliga ändringar av undantagen jämfört med motsvarande regler i förordning (EU) 2016/679. Enligt den brittiska dataskyddsförordningen, liksom enligt förordning (EU) 2016/679, kan vissa undantag endast åberopas om överföringen sker tillfälligt (77). Dessutom klargör ICO följande i sin vägledning om internationella överföringar: ”Ni bör endast använda dessa som verkliga ’undantag’ från den allmänna regeln att ni inte bör göra en begränsad överföring om den inte omfattas av ett beslut om adekvat skyddsnivå eller om det finns lämpliga skyddsåtgärder” (78). När det gäller överföringar som är nödvändiga av viktiga skäl av allmänt intresse (artikel 49.1 d) kan ministern utfärda förordningar för att specificera under vilka omständigheter en överföring av personuppgifter till ett tredjeland eller en internationell organisation är nödvändig eller inte är nödvändig av viktiga skäl av allmänt intresse. Dessutom kan ministern genom förordningar begränsa överföringen av en kategori personuppgifter till ett tredjeland eller en internationell organisation om överföringen inte kan ske på grundval av bestämmelser om adekvat skyddsnivå och den ansvariga ministern anser att begränsningen är nödvändig av viktiga skäl av allmänt intresse. Hittills har inga sådana förordningar antagits.

(81) Denna ram för internationella överföringar har blivit tillämplig i slutet av övergångsperioden (79). I punkt 4 i tillägg 21 till 2018 års dataskyddslag (införd genom DPPEC Regulations) föreskrivs emellertid att vissa överföringar av personuppgifter från och med övergångsperiodens utgång behandlas som om de grundar sig på förordningar om adekvat skyddsnivå. Dessa överföringar omfattar överföringar till en EES-stat, territoriet Gibraltar, en unionsinstitution, ett unionsorgan eller en unionsbyrå som inrättats av eller på grundval av EU-fördraget och tredjeländer som var föremål för ett EU-beslut om adekvat skyddsnivå vid övergångsperiodens utgång. Följaktligen kan överföringarna till dessa länder fortsätta som före Förenade kungarikets utträde ur EU. Efter övergångsperiodens utgång måste ministern under en fyraårsperiod, dvs. före utgången av december 2024, göra en översyn av dessa konstateranden om adekvat skyddsnivå. Enligt den förklaring som lämnats av de brittiska myndigheterna innehåller övergångsbestämmelserna inte någon bestämmelse om tidsbegränsning, även om den ansvariga ministern måste göra en sådan översyn senast i slutet av december 2024, och de relevanta övergångsbestämmelserna kommer inte automatiskt att upphöra att gälla om en översyn inte är slutförd i slutet av december 2024.

(82) Vad gäller den framtida utvecklingen av det brittiska systemet för internationella överföringar – genom antagandet av de nya bestämmelserna om adekvat skyddsnivå, ingåendet av internationella avtal eller utveckling av andra överföringsmekanismer – kommer kommissionen noga övervaka situationen, bedöma om de olika överföringsmekanismerna används på ett sätt som säkerställer fortsatt skydd och, vid behov, vidta lämpliga åtgärder för att hantera eventuella negativa verkningar för ett sådant fortsatt skydd (se skälen 278–287). Eftersom EU och Förenade kungariket har liknande regler för internationella överföringar förväntas problematiska avvikelser även kunna undvikas genom samarbete, informationsutbyte och erfarenhetsutbyte, bland annat mellan ICO och Europeiska dataskyddsstyrelsen.

2.5.8 Ansvarsskyldighet

(83) Enligt principen om ansvarsskyldighet är enheter som behandlar uppgifter skyldiga att införa lämpliga tekniska och organisatoriska åtgärder för att effektivt fullgöra sina skyldigheter att skydda uppgifter och kunna uppvisa sådan överensstämmelse, särskilt för den behöriga tillsynsmyndigheten.

(84) Principen om ansvarsskyldighet i förordning (EU) 2016/679 har behållits i artikel 5.2 i den brittiska dataskyddsförordningen utan någon väsentlig ändring och detsamma gäller artikel 24 om den personuppgiftsansvarigas ansvar, artikel 25 om inbyggt dataskydd, dataskydd som standard och artikel 30 om register över behandlingsverksamhet. Artiklarna 35 och 36 om konsekvensbedömning avseende dataskydd och föregående samråd med tillsynsmyndigheten har också behållits. Artiklarna 37–39 i förordning (EU) 2016/679 om att utse dataskyddsombud och dataskyddsombudens uppgifter har behållits i den brittiska dataskyddsförordningen utan några väsentliga ändringar. Dessutom har bestämmelserna i artiklarna 40 och 42 i förordning (EU) 2016/679 om uppförandekoder och certifiering behållits i den brittiska dataskyddsförordningen (80).

2.6 Tillsyn och efterlevnad

2.6.1 Oberoende tillsyn

(85) För att säkerställa att en adekvat dataskyddsnivå garanteras i praktiken bör det finnas en oberoende tillsynsmyndighet med befogenhet att övervaka och verkställa efterlevnaden av dataskyddsbestämmelserna. Denna myndighet bör agera helt oavhängigt och opartiskt vid fullgörandet av sina skyldigheter och utövandet av sina befogenheter.

(86) I Förenade kungariket övervakas och verkställs efterlevnaden av den brittiska dataskyddsförordningen och 2018 års dataskyddslag av the Information Commissioner. The Information Commissioner är en ”Corporation Sole”, en separat juridisk person som består av en enda person. The Information Commissioner bistås i sitt arbete av ett kontor. Den 31 mars 2020 hade ICO 768 fast anställda (81). Uppdragsgivande ministerium för the Information Commissioner är ministeriet för digitala frågor, kultur, media och idrott (82).

(87) Att the Commissioner är oberoende fastställs uttryckligen i artikel 52 i den brittiska dataskyddsförordningen som inte innebär några väsentliga ändringar av artikel 52.1–3 i dataskyddsförordningen. The Commissioner måste agera fullständigt oberoende vid utförandet av sina uppgifter och utöva sina befogenheter i enlighet med den brittiska dataskyddsförordningen, vara fri från yttre påverkan, direkt eller indirekt, i förhållande till dessa uppgifter och befogenheter och varken begära eller ta emot instruktioner från någon. The Commissioner ska också avhålla sig från varje handling som är oförenlig med hans eller hennes uppdrag och får inte utöva någon avlönad eller oavlönad yrkesverksamhet under tiden som han eller hon innehar sitt ämbete.

(88) Villkoren för utnämning och avsättning av the Information Commissioner anges i bilaga 12 till 2018 års dataskyddslag. The Information Commissioner utses av drottningen på rekommendation av regeringen i enlighet med ett rättvist och öppet uttagningsförfarande. Den sökande måste ha lämpliga kvalifikationer, färdigheter och kompetenser. I enlighet med förvaltningskodexen om offentliga utnämningar (83) upprättas en förteckning över kandidater som kan utnämnas av en rådgivande utvärderingspanel. Innan ministern vid ministeriet för digitala frågor, kultur, media och idrott slutför sitt beslut måste det berörda särskilda utskottet i parlamentet genomföra en kontroll före utnämningen. Kommitténs ståndpunkt offentliggörs (84).

(89) The Information Commissioner har en mandatperiod på upp till sju år. En person kan inte utses till Information Commissioner mer än en gång. The Information Commissioner kan avsättas av drottningen efter en address från båda kamrarna i parlamentet (85). Ingen begäran om entledigande av the Information Commissioner kan lämnas in till någon av parlamentets kammare om inte en minister har lagt fram en rapport som visar att han eller hon är övertygad om att the Information Commissioner gjort sig skyldig till allvarlig försummelse och/eller inte längre uppfyller de villkor som krävs för att kunna fullgöra sina uppgifter (86).

(90) Finansieringen av the Information Commissioner kommer från följande tre källor: i) Avgifter för dataskydd som betalas av personuppgiftsansvariga, som fastställs i den ansvarige ministerns föreskrifter (87) (Data Protection (Charges and Information) Regulations 2018) och uppgår till 85 % – 90 % av myndighetens årliga budget (88). ii) Bidrag i form av statligt stöd till the Informations Commissioner. Bidrag i form av stöd används främst för att finansiera de driftskostnader the Information Commissioner har vad gäller uppgifter som inte rör dataskydd (89). iii) Avgifter som tas ut för tjänster (90). För närvarande tas inga sådana avgifter ut.

(91) De allmänna arbetsuppgifter som the Information Commissioner har vad gäller behandling av personuppgifter som omfattas av den brittiska dataskyddsförordningen fastställs i artikel 57 i den brittiska dataskyddsförordningen som nära återspeglar motsvarande regler i förordning (EU) 2016/679. Dess uppgifter omfattar övervakning och verkställande av den brittiska dataskyddsförordningen, främjande av allmänhetens medvetenhet, hantering av klagomål från registrerade, genomförande av utredningar osv. I avsnitt 115 i 2018 års dataskyddslag fastställs dessutom andra allmänna uppgifter för the Commissioner, däribland en skyldighet att ge råd till parlamentet, regeringen och andra institutioner och organ om lagstiftningsåtgärder och administrativa åtgärder som rör skyddet av enskildas fri- och rättigheter i samband med behandling av personuppgifter och en befogenhet att på eget initiativ eller på begäran avge yttranden till parlamentet, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skyddet av personuppgifter. För att upprätthålla rättsväsendets oberoende är the Information Commissioner inte behörig att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap av en dömande myndighet eller av en domstol eller tribunal som agerar inom ramen för sin dömande verksamhet. Tillsynen över rättsväsendet säkerställs dock av specialiserade organ (se skälen 99–103).

2.6.2 Verkställighet, inklusive påföljder

(92) De befogenheter som the Information Commissioner har finns fastställda i artikel 58 i den brittiska dataskyddsförordningen som inte innebär några väsentliga ändringar av motsvarande artikel i förordning (EU) 2016/679. 2018 års dataskyddslag innehåller kompletterande bestämmelser om hur dessa befogenheter kan utövas. The Commissioner har särskilt befogenhet att a) förelägga den personuppgiftsansvariga och personuppgiftsbiträdet (och under vissa omständigheter valfri annan person) att lämna nödvändig information genom att utfärda ett informationsföreläggande (”information notice”) (91), b) utföra utredningar och revisioner genom ett utfärda ett bedömningsföreläggande (”assessment notice”) som kan ålägga den personuppgiftsansvariga eller personuppgiftsbiträdet att ge the Commissioner tillträde till särskilda lokaler, inspekterar eller undersöker handlingar eller utrustning, frågar ut personer som behandlar personuppgifter för den personuppgiftsansvarigas räkning osv. (92), c) på annat sätt få tillgång till handlingar m.m. för personuppgiftsansvariga och personuppgiftsbiträden och tillträde till deras lokaler i enlighet med avsnitt 154 i 2018 års dataskyddslag (”befogenheter för tillträde och inspektion”), d) utöva korrigerande befogenheter, bland annat genom varningar och reprimander eller utfärda förelägganden genom att utfärda ett verkställighetsföreläggande (”enforcement notice”), genom vilka personuppgiftsansvariga/personuppgiftsbiträden åläggs att vidta eller avstå från att vidta specificerade åtgärder, däribland att förelägga den personuppgiftsansvariga eller personuppgiftsbiträdet att utföra något som anges i artikel 58.2 c-g och j i den brittiska dataskyddsförordningen (93) e) och utdöma administrativa sanktionsavgifter i form av ett påföljdsföreläggande (”penalty notice”) (94). Påföljdsföreläggande kan även utfärdas om en myndighet inte har följt bestämmelserna i den brittiska dataskyddsförordningen (95).

(93) I ICO:s policy för lagstiftningsåtgärder anges under vilka omständigheter det kommer att utfärda ett föreläggande om information, bedömning, verkställighet eller påföljder (96). Ett verkställighetsföreläggande som lämnas till följd av personuppgiftsansvarigs eller ett personuppgiftsbiträdes underlåtenhet får endast ställa krav som the Commissioner anser vara lämpliga för att avhjälpa underlåtenheten. Verkställighetsförelägganden och påföljdsförelägganden får utfärdas till en personuppgiftsansvariga eller ett personuppgiftsbiträde i samband med överträdelser av kapitel II i den brittiska dataskyddsförordningen (principerna för behandling), artiklarna 12–22 (den registrerades rättigheter), artiklarna 25–39 (skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden) och artiklarna 44–49 (internationella överföringar) i den brittiska dataskyddsförordningen. Ett verkställighetsföreläggande får även lämnas om en personuppgiftsansvarig har underlåtit att uppfylla skyldigheten att betala en avgift enligt föreskrifter i avsnitt 137 i 2018 års dataskyddslag. Dessutom kan ett övervakningsorgan enligt artikel 41 eller en tillhandahållare av certifiering få ett verkställighetsföreläggande om de underlåter att uppfylla sina skyldigheter enligt den brittiska dataskyddsförordningen. Ett påföljdsföreläggande kan även lämnas till en person som inte har följt ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande.

(94) Enligt påföljdsföreläggandet ska personen betala ett belopp som anges i föreläggandet till the Information Commissioner. Vid fastställandet av huruvida en person ska få ett påföljdsföreläggande och bestämning av storleken på sanktionsavgiften måste the Information Commissioner beakta de omständigheter som anges i artikel 83.1 och 2 i den brittiska dataskyddsförordningen som är identiska med motsvarande bestämmelser i förordning (EU) 2016/679 (97). Enligt artikel 83.4 och 5 är det högsta beloppet för administrativa sanktionsavgifter vid underlåtenhet att uppfylla de skyldigheter som avses i dessa bestämmelser 8 700 000 pund respektive 17 500 000 pund. När det gäller ett företag kan the Information Commissioner också ålägga sanktionsavgifter som en procentandel av den globala årsomsättningen om detta ger ett högre belopp. Liksom i motsvarande bestämmelser i förordning (EU) 2016/679 fastställs dessa belopp till 2 % respektive 4 % i artiklarna 83.4 och 5. Vid underlåtenhet att följa ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande är den högsta påföljdsbelopp som kan utdömas genom ett påföljdsföreläggande det högre av 17 500 000 GBP eller, om det rör sig om ett företag, 4 % av den globala årsomsättningen.

(95) Den brittiska dataskyddsförordningen har tillsammans med 2018 års dataskyddslag också stärkt andra befogenheter för the Information Commissioner. Till exempel kan the Commissioner nu utföra obligatoriska revisioner av alla personuppgiftsansvariga eller personuppgiftsbiträden med hjälp av bedömningsförelägganden medan the Commissioner enligt den tidigare lagstiftningen, dataskyddslagen från 1998, endast hade denna befogenhet när det gäller statliga myndighetsorgan samt hälso- och sjukvårdsorganisationer medan andra måste samtycka till en revision.

(96) Sedan förordning (EU) 2016/679 infördes hanterar ICO omkring 40 000 klagomål från registrerade per år (98) och genomför dessutom cirka 2 000 undersökningar på eget initiativ (99). En majoritet av klagomålen rör rätten att få tillgång till och utlämnande av uppgifter. Efter sina utredningar vidtar the Commissioner verkställighetsåtgärder inom en rad olika sektorer. Enligt de senaste årsrapporten från the Information Commissioner (2019–2020) (100) utfärdade denne närmare bestämt 54 informationsföreläggande, 8 påföljdsförelägganden, 7 verkställighetsföreläggande, 4 varningar, 8 åtal och 15 sanktionsavgifter under rapporteringsperioden (101).

(97) Detta inbegriper flera betydande sanktionsavgifter som utdömts enligt förordning (EU) 2016/679 och 2018 års dataskyddslag. I oktober 2020 bötfällde the Information Commissioner ett brittiskt flygbolag med 20 miljoner pund för ett uppgiftsbrott som berörde mer än 400 000 kunder. I slutet av oktober 2020 bötfälldes en internationell hotellkedja med 18,4 miljoner pund för att ha underlåtit att skydda miljontals kunders personuppgifter och i november 2020 bötfälldes en brittisk tjänsteleverantör som sålde evenemangsbiljetter online med 1,25 miljoner pund för att ha underlåtit att skydda kundernas betalningsuppgifter (102).

(98) Utöver de tillsynsbefogenheter som the Information Commissioner har, som beskrivs i skäl 92, utgör vissa överträdelser av dataskyddslagstiftningen lagbrott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i 2018 års dataskyddslag). Detta gäller till exempel medvetet eller vårdslöst erhållande eller utlämnande av personuppgifter utan den personuppgiftsansvarigas samtycke, säkerställande av utlämnande av personuppgifter till en annan person utan den personuppgiftsansvarigas (103) samtycke, återidentifiering av information som är avidentifierade personuppgifter (104) utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen, avsiktlig inskränkning av den rätt the Commissioner har att utöva sina befogenheter vad gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (105), lämnande av oriktiga uppgifter som svar på ett informationsföreläggande eller förstörande av information i samband med informations- och bedömningsförelägganden (106).

2.6.3 Tillsyn över rättsväsendet

(99) Tillsynen över domstolarnas och rättsväsendets behandling av personuppgifter är dubbel. Om en innehavare av ett domarämbete eller en domstol inte agerar inom ramen för sin dömande verksamhet står ICO för tillsyn. Om den personuppgiftsansvariga agerar inom ramen för sin dömande verksamhet kan ICO inte utöva sina tillsynsfunktioner (107) utan tillsynen utförs av särskilda organ. Detta återspeglar det tillvägagångssätt som antagits i förordning (EU) 2016/679 (artikel 55.3).

(100) I synnerhet i det andra scenariot, för domstolarna i England och Wales samt First-tier Tribunals och Upper Tribunals i England och Wales, tillhandahålls sådan tillsyn av Judicial Data Protection Panel (108). Lord Chief Justice och Chief President of Tribunals har dessutom utfärdat ett meddelande om skydd av personuppgifter (109) som beskriver hur domstolarna i England och Wales behandlar personuppgifter för en rättslig funktion. Ett liknande meddelande har utfärdats av de nordirländska (110) och skotska domstolarna (111).

(101) I Nordirland har dessutom Lord Chief Justice of Northern Ireland utsett en domare vid High Court som datatillsynsdomare (Data Supervisory Judge, DSJ) (112). De har också gett vägledning till det nordirländska domstolsväsendet om vad som ska göras i händelse av förlust eller potentiell förlust av uppgifter och förfarandet för att hantera eventuella problem som uppstår till följd av detta (113).

(102) I Skottland har Lord President utsett en datatillsynsdomare som ska utreda eventuella klagomål med hänvisning till dataskydd. Detta anges i de regler för klagomål till domstol som motsvarar dem som gäller för England och Wales (114).

(103) I högsta domstolen utses slutligen en av högsta domstolens domare för att övervaka dataskyddet.

2.6.4 Prövningsmöjligheter

(104) För att säkerställa adekvat skydd, och i synnerhet tillämpningen av individuella rättigheter, bör den registrerade tillförsäkras effektiv administrativ och rättslig prövning, inbegripet ersättning för skador.

(105) För det första har en registrerad rätt att lämna in ett klagomål till the Information Commissioner om den registrerade anser att det föreligger en överträdelse av den brittiska dataskyddsförordningen i samband med personuppgifter som rör honom eller henne (115). Den brittiska dataskyddsförordningen bibehåller bestämmelserna om denna rätt i artikel 77 i förordning (EU) 2016/679 utan några väsentliga ändringar. Detsamma gäller för artikel 57.1 f och 57.2 som fastställer the Commissioner uppgifter i samband med handläggningen av klagomål. Enligt beskrivningen i skälen 92–98 ovan har the Information Commissioner befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av den brittiska dataskyddsförordningen och 2018 års dataskyddslag och kräva att de vidtar eller avstår från att vidta nödvändiga åtgärder vid bristande efterlevnad och att utdöma sanktionsavgifter.

(106) För det andra ger den brittiska dataskyddsförordningen och 2018 års dataskyddslag rätt till rättsmedel mot the Information Commissioner. Enligt artikel 78.1 i den brittiska dataskyddsförordningen har enskilda rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av the Commissioner. Inom ramen för domstolsprövningen prövar domaren det beslut som ifrågasätts i ansökan och prövar huruvida the Information Commissioner har handlat lagenligt. Enligt artikel 78.2 i den brittiska dataskyddsförordningen har den klagande dessutom tillgång till rättsmedel om the Commissioner underlåter att behandla ett klagomål från den registrerade (116). Han eller hon kan vända sig till en First Tier Tribunal för att förelägga the Information Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (117). Dessutom kan varje person som delgetts ett av de ovannämnda föreläggandena (information, bedömning, verkställighet eller påföljd) av the Information Commissioner överklaga till en First Tier Tribunal (118). Om tribunalen anser att det beslut som the Commissioner har fattat inte är förenligt med lagen eller att the Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som the Information Commissioner skulle ha kunnat lämna eller fatta.

(107) För det tredje kan enskilda personer få rättslig prövning av personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol i enlighet med artikel 79 i den brittiska dataskyddsförordningen och avsnitt 167 i 2018 års dataskyddslag. Om en domstol på begäran av en registrerad är övertygad om att det har skett en överträdelse av den registrerades rättigheter enligt dataskyddslagstiftningen får domstolen förelägga den personuppgiftsansvariga att vidta de åtgärder som anges i beslutet eller att avstå från att vidta de åtgärder som anges i beslutet.

(108) Enligt artikel 82 i den brittiska dataskyddsförordningen och avsnitt 168 i 2018 års dataskyddslag har dessutom varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av den brittiska dataskyddsförordningen rätt att få ersättning från den personuppgiftsansvariga eller personuppgiftsbiträdet för den skada som lidits. Reglerna om ersättning och ansvar i artikel 82.1–5 i den brittiska dataskyddsförordningen är identiska med motsvarande regler i förordning (EU) 2016/679. Enligt avsnitt 168 i 2018 års dataskyddslag omfattar ideell skada även lidande. Enligt artikel 80 i den brittiska dataskyddsförordningen har den registrerade också rätt att ge ett representativt organ eller en representativ organisation i uppdrag att lämna in klagomål till the Commissioner för hans eller hennes räkning (enligt artikel 77 i den brittiska dataskyddsförordningen) och att utöva de rättigheter som avses i artiklarna 78 (rätt till effektivt rättsmedel mot the Commissioner), 79 (rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde) och 82 (rätt till ersättning och ansvar) i den brittiska dataskyddsförordningen för hans eller hennes räkning.

(109) För det fjärde, och utöver de möjligheter till rättslig prövning som beskrivs ovan, kan varje person som anser att hans eller hennes rättigheter, däribland rätten till integritet och dataskydd, har kränkts av myndigheter, få sin sak prövad i domstol i Förenade kungariket enligt Human Rights Act 1998 (119). En enskild person som hävdar att en myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en rättighet enligt konventionen och följaktligen är olaglig enligt avsnitt 6.1 i Human Rights Act 1998 kan väcka talan mot myndigheten vid behörig domstol eller åberopa de berörda rättigheterna i ett rättsligt förfarande när han eller hon är (eller skulle vara) offer för den olagliga handlingen.

(110) Om domstolen finner att en åtgärd som vidtas av en myndighet är rättsstridig kan den bevilja en sådan befrielse eller ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter som den anser vara skäligt och lämpligt (120). Domstolen kan också förklara att en bestämmelse i primärrätten är oförenlig med en rättighet enligt konventionen.

(111) Slutligen kan en enskild person, efter att ha uttömt nationella rättsmedel, vända sig till Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen om de mänskliga rättigheterna.

3. TILLGÅNG TILL OCH ANVÄNDNING AV PERSONUPPGIFTER SOM ÖVERFÖRS FRÅN EUROPEISKA UNIONEN AV MYNDIGHETER I FÖRENADE KUNGARIKET

(112) Kommissionen bedömde också Förenade kungarikets rättsliga ram för insamling och senare användning av personuppgifter som brittiska myndigheter överfört till näringsidkare i Förenade kungariket i allmänhetens intresse, särskilt för ändamål som rör brottsbekämpning och nationell säkerhet (”myndigheternas tillgång”). Vid bedömningen av om villkoren för myndigheternas tillgång till uppgifter som överförs till Förenade kungariket enligt detta beslut skulle uppfylla kriteriet om ”väsentlig likvärdighet” i enlighet med artikel 45.1 i förordning (EU) 2016/679 som den tolkats av Europeiska unionens domstol mot bakgrund av stadgan om de grundläggande rättigheterna, tog kommissionen särskilt hänsyn till följande kriterier.

(113) För det första ska varje begränsning av rätten till skydd av personuppgifter föreskrivas i lag och den rättsliga grund som möjliggör ett ingrepp i en sådan rättighet måste själv definiera omfattningen av begränsningen av utövandet av den berörda rättigheten (121).

(114) För att uppfylla proportionalitetskravet, enligt vilket undantag från och begränsningar av skyddet av personuppgifter endast får tillämpas i den mån det är absolut nödvändigt i ett demokratiskt samhälle för att uppfylla särskilda mål av allmänintresse som motsvarar dem som erkänns av EU, ska det i lagstiftningen i det berörda tredjelandet, enligt vilken ingreppet är tillåtet, fastställas klara och precisa regler för omfattningen och tillämpningen av åtgärderna i fråga och införas minimigarantier så att de personer vars uppgifter har överförts har tillräckliga garantier för att effektivt skydda sina personuppgifter mot risken för missbruk (122). Lagstiftningen måste särskilt ange under vilka omständigheter och på vilka villkor en åtgärd som föreskriver behandling av sådana uppgifter får antas (123) samt ställa krav på oberoende tillsyn för uppfyllandet av dessa krav (124).

(115) För det tredje måste denna lagstiftning vara rättsligt bindande enligt nationell rätt och dessa rättsliga krav måste inte bara vara bindande för myndigheterna utan även kunna göras gällande inför domstol mot myndigheterna i det berörda tredjelandet (125). I synnerhet måste de registrerade ha möjlighet att väcka talan vid en oberoende och opartisk domstol för att få tillgång till sina personuppgifter eller för att få dessa uppgifter rättade eller raderade (126).

3.1 Lagstiftning

(116) I egenskap av myndighetsutövning måste myndigheternas tillgång i Förenade kungariket ske med full respekt för lagen. Förenade kungariket har ratificerat den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (se skäl 9) och alla brittiska myndigheter är skyldiga att agera i enlighet med konventionen (127). I artikel 8 i konventionen föreskrivs att varje ingrepp i privatlivet ska vara förenligt med lagen, med hänsyn till något av de syften som anges i artikel 8.2, och stå i proportion till detta syfte. I artikel 8 föreskrivs också att ingreppet ska vara ”förutsebart”, dvs. ha en tydlig och tillgänglig rättslig grund och att lagen ska innehålla lämpliga skyddsåtgärder för att förhindra missbruk.

(117) Dessutom har Europeiska domstolen för de mänskliga rättigheterna i sin rättspraxis angett att varje ingrepp i rätten till integritet och dataskydd bör omfattas av ett effektivt, oberoende och opartiskt tillsynssystem som ska tillhandahållas antingen av en domare eller av ett annat oberoende organ (128) (t.ex. en administrativ myndighet eller ett parlamentariskt organ).

(118) Dessutom måste enskilda ges tillgång till ett effektivt rättsmedel och Europeiska domstolen för de mänskliga rättigheterna har klargjort att rättsmedlet måste erbjudas av ett oberoende och opartiskt organ som har antagit sin egen arbetsordning bestående av medlemmar som måste inneha eller ha innehaft höga domarämbeten eller ha erfarenhet av jurister och att det inte får finnas någon bevisbörda som behöver övervinnas för att lämna in en ansökan till domstolen. När det oberoende och opartiska organet granskar klagomål från enskilda bör det ha tillgång till all relevant information, inklusive hemligt material. Slutligen bör det ha befogenhet att åtgärda bristande efterlevnad (129).

(119) Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) och undertecknade 2018 protokollet om ändring av konventionen om skydd för enskilda personer vid automatisk databehandling av personuppgifter (kallad konvention 108+) (130). I artikel 9 i konvention 108 föreskrivs att undantag från de allmänna dataskyddsprinciperna (artikel 5 om uppgifternas kvalitet), bestämmelserna om särskilda kategorier av uppgifter (artikel 6 Särskilda kategorier av uppgifter) och den registrerades rättigheter (artikel 8 Ytterligare skyddsåtgärder för den registrerade) endast är tillåtna när ett sådant undantag föreskrivs i partens lagstiftning och utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda statens säkerhet, den allmänna säkerheten, statens ekonomiska intressen eller bekämpande av brott eller för att skydda den registrerade eller andra personers fri- och rättigheter (131).

(120) Genom medlemskap i Europarådet, anslutning till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och hänvändelse till Europeiska domstolen för de mänskliga rättigheterna omfattas Förenade kungariket därför av ett antal skyldigheter som är inskrivna i internationell rätt, som utgör ramen för landets system för statlig tillgång på grundval av principer, skyddsåtgärder och individuella rättigheter som liknar dem som garanteras enligt unionsrätten och som är tillämpliga på medlemsstaterna. Enligt skäl 19 är fortsatt anslutning till sådana instrument därför ett särskilt viktigt inslag i den bedömning som ligger till grund för detta beslut.

(121) Dessutom garanteras särskilda dataskyddsgarantier och rättigheter av 2018 års dataskyddslag när uppgifter behandlas av myndigheter, inbegripet brottsbekämpande organ och nationella säkerhetsorgan.

(122) I synnerhet fastställs ordningen för behandling av personuppgifter i samband med brottsbekämpning i del 3 i 2018 års dataskyddslag, som antogs för att införliva direktiv (EU) 2016/680. Del 3 i 2018 års dataskyddslag är tillämplig på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet att skydda mot samt förebygga hot mot den allmänna säkerheten (132).

(123) Begreppet ”behörig myndighet” definieras i avsnitt 30 i dataskyddslagen som en person som förtecknas i tillägg 7 till 2018 års dataskyddslag samt varje annan person i den mån personen har lagstadgade uppgifter för något av de brottsbekämpande ändamålen (133). Såsom förklaras ovan (se skäl 139), kan vissa behöriga myndigheter (t.ex. den nationella brottsmyndigheten (National Crime Agency) på vissa villkor använda de befogenheter som anges i Investigatory Power Act 2016 (2016 års lag om utredningsbefogenheter). I detta fall gäller skyddsåtgärderna enligt 2016 års lag om utredningsbefogenheter utöver de skyddsåtgärder som anges i del 3 i 2018 års dataskyddslag. Underrättelsetjänsterna (Secret Intelligence Service, Security Service och Government Communications Headquarters) är inte behöriga myndigheter (134) enligt del 3 i 2018 års dataskyddslag, och bestämmelserna däri är därför inte tillämpliga på någon av deras verksamheter. En del av 2018 års dataskyddslag (del 4) ägnas särskilt åt underrättelsetjänsters behandling av personuppgifter (närmare information ges i skäl 125)

(124) I likhet med direktiv (EU) 2016/680 fastställs i del 3 i 2018 års dataskyddslag principerna om laglighet och rättvisa (135), ändamålsbegränsning (136), uppgiftsminimering (137), noggrannhet (138), lagringsbegränsning (139) och säkerhet (140). Lagstiftningen föreskriver särskilda transparenskrav (141) och ger enskilda personer rätt till tillgång (142), rättelse och radering (143) samt rätt att inte bli föremål för automatiserat beslutsfattande (144). De behöriga myndigheterna är också skyldiga att införa inbyggt dataskydd som standard, att föra register över behandling och, för vissa typer av behandling, att genomföra konsekvensbedömningar avseende dataskydd och att i förväg samråda med the Information Commissioner (145). Enligt avsnitt 56 i 2018 års dataskyddslag är de skyldiga att visa att de uppfyller kraven. De är dessutom skyldiga att vidta lämpliga åtgärder för att säkerställa behandlingens säkerhet (146) och omfattas av särskilda skyldigheter vid ett personuppgiftsbrott, inbegripet anmälan av sådana överträdelser till the Information Commissioner och de registrerade (147). Liksom i direktiv (EU) 2016/680 finns det också ett krav på att en personuppgiftsansvarig (såvida det inte är en domstol eller annan rättslig myndighet som agerar inom ramen för sin rättsliga verksamhet) utser ett dataskyddsombud (148) som hjälper den personuppgiftsansvariga att fullgöra sina skyldigheter och övervaka efterlevnaden (149). Dessutom innehåller lagstiftningen särskilda krav för internationella överföringar av personuppgifter för brottsbekämpande ändamål till tredjeländer eller internationella organisationer för att säkerställa kontinuitet i skyddet (150). Samma dag som detta beslut [antog] kommissionen ett beslut om adekvat skyddsnivå på grundval av artikel 36.3 i direktiv (EU) 2016/680 där den konstaterade att det system för dataskydd som är tillämpligt på behandling som utförs av brittiska brottsbekämpande myndigheter säkerställer en skyddsnivå som i allt väsentligt är likvärdig med den som garanteras enligt direktiv (EU) 2016/680.

(125) Del 4 i 2018 års dataskyddslag gäller all behandling som utförs av underrättelsetjänsterna eller för deras räkning. Framför allt fastställs de viktigaste dataskyddsprinciperna (laglighet, rättvisa och öppenhet (151), ändamålsbegränsning (152), uppgiftsminimering (153), precision (154), lagringsbegränsningar (155) och säkerhet (156), villkor för behandling av särskilda kategorier av uppgifter (157), bestämmelser om registrerades rättigheters (158), krav på inbyggt dataskydd (159) och internationella överföringar av personuppgifter (160). ICO har nyligen utfärdat detaljerad vägledning om underrättelsetjänsters behandling av personuppgifter enligt del 4 i 2018 års dataskyddslag (161).

(126) Samtidigt föreskrivs i avsnitt 110 i 2018 års dataskyddslag ett undantag från de specificerade bestämmelserna i del 4 i denna lag (162) när ett sådant undantag krävs för att skydda den nationella säkerheten. Detta undantag kan grundas på en analys från fall till fall (163). Enligt de brittiska myndigheternas förklaring och enligt bekräftelse i rättspraxis måste personuppgiftsansvariga beakta de faktiska konsekvenserna för den nationella säkerheten eller försvaret om de var tvungna att följa den särskilda dataskyddsbestämmelsen och om de rimligen kunde följa den vanliga regeln utan att det påverkar den nationella säkerheten eller det nationella försvaret (164). Huruvida undantaget har använts på lämpligt sätt omfattas av ICO:s tillsyn (165).

(127) När det gäller möjligheten att för skyddet av ”nationell säkerhet” begränsa tillämpningen av de ovannämnda bestämmelserna i avsnitt 111 i 2018 års dataskyddslag kan dessutom en personuppgiftsansvarig ansöka om ett intyg som undertecknats av en minister eller Attorney General som intygar att en begränsning av sådana rättigheter är en nödvändig och proportionerlig åtgärd för att skydda den nationella säkerheten (166).

(128) Den brittiska regeringen har utfärdat riktlinjer för att bistå personuppgiftsansvariga när de överväger huruvida de ska ansöka om ett nationellt säkerhetsintyg enligt 2018 års dataskyddslag där det särskilt betonas att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (167). Alla nationella säkerhetsintyg måste publiceras på ICO:s webbplats (168).

(129) Intyget bör gälla för en bestämd period på högst fem år så att det regelbundet ses över av den verkställande makten (169). I ett certifikat ska det anges vilka personuppgifter eller kategorier av personuppgifter som omfattas av undantaget samt vilka bestämmelser i 2018 års dataskyddslag som undantaget gäller (170).

(130) Det är viktigt att notera att nationella säkerhetsintyg inte utgör en ytterligare grund för att begränsa dataskyddsrättigheter av skäl som rör den nationella säkerheten. Den personuppgiftsansvariga eller personuppgiftsbiträdet kan med andra ord endast förlita sig på ett intyget när han eller hon har konstaterat att det är nödvändigt att förlita sig på undantaget för nationell säkerhet vilket, enligt förklaringen ovan, måste tillämpas från fall till fall (171). Även om ett nationellt säkerhetsintyg är tillämpligt på ärendet i fråga kan ICO undersöka om det var motiverat att åberopa undantaget för nationell säkerhet i ett visst fall (172).

(131) Varje person som direkt berörs av utfärdandet av certifikatet kan överklaga detta till Upper Tribunal (173) eller (174) bestrida tillämpningen av certifikatet när det gäller specifika uppgifter om certifikatet identifierar uppgifter med hjälp av en allmän beskrivning, (175). Skiljedomstolen kommer att ompröva beslutet att utfärda ett certifikat och besluta om det fanns rimliga skäl att utfärda intyget (176). Den kan behandla ett stort antal frågor, bland annat nödvändighet, proportionalitet och laglighet, med beaktande av konsekvenserna för de registrerades rättigheter och avvägningen av behovet av att skydda den nationella säkerheten. Till följd av detta kan domstolen fastställa att intyget inte är tillämpligt på specifika personuppgifter som är föremål för överklagandet (177).

(132) En annan uppsättning möjliga begränsningar gäller dem som enligt tillägg 11 till 2018 års dataskyddslag är tillämpliga på vissa bestämmelser i del 4 i denna lag (178) för att skydda andra viktiga mål av allmänt intresse eller skyddade intressen, till exempel parlamentariska privilegier, rätten till förtrolig kommunikation mellan advokat och klient, genomförandet av rättsliga förfaranden eller de väpnade styrkornas stridsförmåga (179). Tillämpningen av dessa bestämmelser är antingen undantagen för vissa kategorier av information (”typbaserad”) eller undantagen i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada det skyddade intresset (”skadebaserat”) (180). Skadebaserade undantag kan endast åberopas i den mån tillämpningen av den angivna dataskyddsbestämmelsen sannolikt skulle skada det specifika intresset i fråga. Användning av ett undantag måste därför alltid motiveras med hänvisning till den relevanta skada som sannolikt skulle uppstå i det enskilda fallet. Typbaserade undantag kan endast åberopas med avseende på den specifika, snävt definierade informationskategori för vilken undantaget beviljas. Dessa liknar varandra i syfte och verkan med flera av undantagen i den brittiska dataskyddsförordningen (enligt förteckning 2 (Schedule 2) i 2018 års dataskyddslag) som i sin tur återspeglar undantagen i artikel 23 i dataskyddsförordningen.

(133) Av ovanstående följer att begränsningar och villkor finns i tillämplig brittisk lagstiftning, som den också tolkas av domstolarna och the Information Commission, för att säkerställa att dessa undantag och begränsningar håller sig inom gränserna för vad som är nödvändigt och proportionerligt för att skydda den nationella säkerheten.

3.2 Tillgång till och användning av brittiska myndigheter i brottsbekämpningssyfte

(134) Förenade kungarikets lagstiftning föreskriver ett antal begränsningar av tillgången till och användningen av personuppgifter i brottsbekämpningssyfte och tillhandahåller tillsyns- och prövningsmekanismer på detta område som är i linje med de krav som avses i skälen 113–115 i detta beslut. Villkoren för sådan tillgång och de garantier som gäller för utövandet av dessa befogenheter bedöms i detalj i följande avsnitt.

3.2.1 Rättslig grund och tillämpliga begränsningar och skyddsåtgärder

(135) Enligt den legalitetsprincip som garanteras i avsnitt 35 i 2018 års dataskyddslag är behandling av personuppgifter för något av de brottsbekämpande ändamålen laglig endast om den registrerade har lämnat sitt samtycke till behandlingen för detta ändamål (181) eller om behandlingen är nödvändig för att utföra en arbetsuppgift som utförs för detta ändamål av en behörig myndighet.

3.2.1.1 Beslut om husrannsakan och utlämnandeorder

(136) I Förenade kungarikets rättsliga ram är insamling av personuppgifter från näringsidkare, däribland sådana som skulle behandla uppgifter som överförts från EU enligt detta beslut om adekvat skyddsnivå, tillåten i brottsbekämpningssyfte på grundval av beslut om husrannsakan (182) och utlämnandeorder (183).

(137) Beslut om husrannsakan utfärdas av en domstol, vanligtvis på begäran av utredaren. De gör det möjligt för tjänstemän att få tillträde till lokaler för att söka efter material eller personer som är relevanta för deras utredning och behålla allt för vilket en husrannsakan har bemyndigats, däribland alla relevanta handlingar eller material som innehåller personuppgifter (184). En utlämnandeorder, som också måste utfärdas av en domstol, kräver att den person som anges i beslutet framställer eller ger tillgång till material som de innehar eller kontrollerar. Sökanden måste motivera för domstolen varför beslutet eller ordern är nödvändigt samt varför det ligger i allmänhetens intresse. Det finns flera lagstadgade befogenheter som gör det möjligt att utfärda ett beslut om husrannsakan och en utlämnandeorder. Varje bestämmelse har en egen uppsättning lagstadgade villkor som måste vara uppfyllda för att ett beslut om husrannsakan (185) eller en utlämnandeorder (186) ska kunna utfärdas.

(138) Utlämnandeorder och beslut om husrannsakan kan överklagas genom rättslig prövning (187). När det gäller skyddsåtgärder bör alla brottsbekämpande myndigheter som omfattas av del 3 i 2018 års dataskyddslag endast få tillgång till personuppgifter – vilket är en form av behandling – i enlighet med de principer och krav som fastställs i den lagen (se skälen 122 och 124 ovan). Därför bör en begäran från en brottsbekämpande myndighet vara förenlig med principen att ändamålen med behandlingen måste specificeras, vara uttryckliga och berättigade (188) och att de personuppgifter som behandlas av en behörig myndighet måste vara relevanta för detta ändamål och inte överdrivna (189).

3.2.1.2 Utredningsbefogenheter för brottsbekämpande ändamål

(139) För att förebygga eller endast för att upptäcka grova brott (190) kan vissa brottsbekämpande myndigheter, till exempel National Crime Agency eller Chief of Police (191), använda riktade utredningsbefogenheter enligt 2016 års lag om utredningsbefogenheter. I detta fall gäller skyddsåtgärderna enligt 2016 års lag om utredningsbefogenheter utöver de skyddsåtgärder som anges i del 3 i 2018 års dataskyddslag. De specifika utredningsbefogenheter som dessa brottsbekämpande myndigheter kan förlita sig till är riktad avlyssning (del 2 i 2016 års lag om utredningsbefogenheter), inhämtande av kommunikationsuppgifter (del 3 i 2016 års lag om utredningsbefogenheter), lagring av kommunikationsuppgifter (del 4 i 2016 års lag om utredni