KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2021/1773

av den 28 juni 2021

i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/680 om adekvat skydd av personuppgifter i Förenade kungariket

[delgivet med nr C(2021) 4801]

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIH (1), särskilt artikel 36.3, och

av följande skäl:

1. INLEDNING

(1) I Europaparlamentets och rådets direktiv (EU) 2016/680 fastställs regler för överföring av personuppgifter från behöriga myndigheter i unionen till tredjeländer och internationella organisationer i den mån sådana överföringar omfattas av dess tillämpningsområde. Bestämmelserna om behöriga myndigheters internationella överföring av uppgifter fastställs i kapitel V i direktiv (EU) 2016/680, närmare bestämt i artiklarna 35–40. Flödet av personuppgifter till och från länder utanför Europeiska unionen är avgörande för ett effektivt brottsbekämpningssamarbete men det krävs att skyddsnivån för personuppgifter i Europeiska unionen garanteras och inte undergrävs av sådana överföringar (2).

(2) Enligt artikel 36.3 i direktiv (EU) 2016/680 får kommissionen genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland eller en internationell organisation säkerställer en adekvat skyddsnivå. Enligt detta villkor får överföring av personuppgifter till ett tredjeland ske utan ytterligare tillstånd (utom när en annan medlemsstat från vilken uppgifterna erhölls måste ge sitt tillstånd till överföringen) i enlighet med artikel 35.1 och skäl 66 i direktiv (EU) 2016/680.

(3) Enligt artikel 36.2 i direktiv (EU) 2016/680 måste antagandet av ett beslut om adekvat skyddsnivå grundas på en omfattande analys av tredjelandets rättsordning. I sin bedömning måste kommissionen avgöra om det berörda tredjelandet garanterar en skyddsnivå som ”i allt väsentligt är likvärdig” med den som säkerställs inom Europeiska unionen (skäl 67 i direktiv (EU) 2016/680). Den standard mot vilken den ”väsentliga likvärdigheten” bedöms är den som fastställs i EU-lagstiftningen, särskilt direktiv (EU) 2016/680, samt rättspraxis från Europeiska unionens domstol (3). Dataskyddsstyrelsens referensram för adekvat skyddsnivå är också av betydelse i detta sammanhang (4).

(4) Enligt Europeiska unionens domstol kräver detta inte att en identisk skyddsnivå uppnås (5). I synnerhet kan de medel som tredjelandet i fråga har till sitt förfogande för att skydda personuppgifter skilja sig från dem som används i Europeiska unionen förutsatt att de i praktiken visar sig vara effektiva för att säkerställa en adekvat skyddsnivå (6). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Det handlar snarare om huruvida det utländska systemet som helhet erbjuder den skyddsnivå som krävs med avseende på innehållet i rätten till personlig integritet och genomförandet, övervakningen och verkställandet av det i praktiken (7).

(5) Kommissionen har noggrant analyserat relevant lagstiftning och praxis i Förenade kungariket. På grundval av sina slutsatser nedan kommer kommissionen fram till att Förenade kungariket säkerställer en adekvat skyddsnivå för personuppgifter som överförs från behöriga myndigheter i unionen, som omfattas av tillämpningsområdet för direktiv (EU) 2016/680, till behöriga myndigheter i Förenade kungariket som omfattas av del 3 i Data Protection Act 2018 (dataskyddslagen från 2018) (8).

(6) Detta beslut innebär att sådana överföringar får äga rum utan att det krävs ytterligare tillstånd för en period på fyra år, med förbehåll för en eventuell förlängning, och utan att det påverkar tillämpningen av de villkor som fastställs i artikel 35 i direktiv (EU) 2016/680.

2. REGLER FÖR BEHÖRIGA MYNDIGHETERS BEHANDLING AV PERSONUPPGIFTER I BROTTSBEKÄMPNINGSSYFTE

2.1 Den konstitutionella ramen

(7) Förenade kungariket är en parlamentarisk demokrati. Det har ett suveränt parlament som är högsta instans för alla andra statliga institutioner, en verkställande makt som är utvald av och ansvarig inför parlamentet och ett oberoende rättsväsende. Den verkställande makten bygger på dess förmåga att upprätthålla förtroendet i det valda underhuset och den är ansvarig inför båda kamrarna i parlamentet (underhuset och överhuset) som ansvarar för att granska regeringen samt debattera och stifta lagar. Förenade kungarikets parlament har delegerat ansvaret till det skotska parlamentet, det walesiska parlamentet (Senedd Cymru) och Nordirlands parlament för att lagstifta om vissa inhemska frågor i Skottland, Wales och Nordirland. Medan skydd av personuppgifter är en fråga som förbehålls Förenade kungarikets parlament, dvs. samma lagstiftning gäller i hela landet, har andra politikområden som är relevanta för detta beslut delegerats. Till exempel har Skottlands och Nordirlands straffrättsliga system, inklusive polisens verksamhet, delegerats till det skotska parlamentet respektive Nordirlands parlament (9).

(8) Även om Förenade kungariket inte har någon kodifierad konstitution i form av ett grundläggande konstituerande dokument har dess konstitutionella principer med tiden utvecklats, särskilt genom rättspraxis och konvention. Det konstitutionella värdet av vissa lagar, till exempel Magna Carta, 1689 års lag om rättigheter och lagen om mänskliga rättigheter från 1998 har erkänts. Enskilda personers grundläggande rättigheter har utvecklats, som en del av konstitutionen, genom gemensamma lagar, de skrivna lagarna och internationella fördrag, särskilt den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen), som Förenade kungariket ratificerade 1951. Förenade kungariket ratificerade även Europarådets konvention om skydd för enskilda personer vid automatisk databehandling av personuppgifter (konvention 108) 1987 (10).

(9) Genom Human Rights Act 1998 införlivas de rättigheter som ingår i Europakonventionen i Förenade kungarikets lagstiftning. Lagen ger varje enskild person de grundläggande rättigheter och friheter som föreskrivs i artiklarna 2–12 och 14 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och artiklarna 1–3 i dess första protokoll och artikel 1 i dess trettonde protokoll i jämförelse med artiklarna 16–18 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Detta inbegriper rätten till respekt för privatlivet och familjelivet som i sin tur omfattar rätten till skydd av personuppgifter och rätten till en rättvis rättegång (11). Enligt artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna får en offentlig myndighet endast ingripa i rätten till privatliv enligt lagen om det är nödvändigt i ett demokratiskt samhälle för att skydda den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, för att förhindra oordning eller brott, för att skydda hälsa eller moral respektive för att skydda andras fri- och rättigheter.

(10) I enlighet med Human Rights Act 1998 måste alla åtgärder som vidtas av offentliga myndigheter vara förenliga med en rättighet som garanteras i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (12). Dessutom måste primär- och sekundärrätten läsas och genomföras på ett sätt som är förenligt med dessa rättigheter (13). Om en enskild person anser att hans eller hennes rättigheter, inbegripet rätten till integritet och dataskydd, har kränkts av offentliga myndigheter, kan han eller hon få sin sak prövad av domstolar Förenade kungariket i enlighet med Human Rights Act 1998 och slutligen, efter att ha uttömt nationella rättsmedel, få sin sak prövad av Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen.

2.2 Förenade kungarikets dataskyddsram

(11) Den 31 januari 2020 utträdde Förenade kungariket ur unionen. På grundval av avtalet om Förenade konungariket Storbritannien och Nordirlands utträde ur Europeiska unionen och Europeiska atomenergigemenskapen (14) fortsatte unionsrätten att tillämpas i Förenade kungariket under övergångsperioden till och med den 31 december 2020. Före utträdet och under övergångsperioden bestod den rättsliga ramen för skydd av personuppgifter i Förenade kungariket för behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten, av relevanta delar av 2018 års dataskyddslag genom vilken direktiv (EU) 2016/680 införlivades.

(12) Som en förberedelse inför utträdet ur EU antog Förenade kungarikets regering European Union (Withdrawal) Act 2018 (EUWA) (15) som införlivade direkt tillämplig unionslagstiftning i Förenade kungarikets lagstiftning och föreskrev att så kallad EU-härledd inhemsk lagstiftning fortsätter att gälla efter övergångsperiodens slut. Del 3 i dataskyddslagen från 2018 (16) som införlivar direktiv (EU) 2016/680 utgör ”EU-härledd inhemsk lagstiftning” enligt EUWA. Enligt EUWA måste den oförändrade ”EU-härledda nationella lagstiftningen” tolkas av domstolarna i Förenade kungariket i enlighet med relevant rättspraxis från Europeiska unionens domstol och allmänna principer i unionsrätten eftersom de hade verkan omedelbart före övergångsperiodens utgång (bibehållen EU-rättspraxis respektive bibehållen allmän EU-rättspraxis) (17).

(13) Enligt EUWA har Förenade kungarikets ministrar befogenhet att införa sekundärlagstiftning via rättsliga instrument för att införa nödvändiga ändringar av bibehållen EU-lagstiftning till följd av Förenade kungarikets utträde ur unionen. Denna befogenhet utövades genom 2019 års förordningar om dataskydd, integritet och elektronisk kommunikation (ändringar etc.) (EU Exit) (DPPEC Regulations) (18). De ändrar Förenade kungarikets dataskyddslagstiftning, inklusive dataskyddslagen från 2018, så att den passar i den inhemska kontexten (19).

(14) Följaktligen kommer de rättsliga standarderna för behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten i Förenade kungariket efter övergångsperioden enligt utträdesavtalet att fortsätta att fastställas i relevanta delar av dataskyddslagen från 2018 men i dess ändrade lydelse enligt DPPEC-förordningarna, särskilt del 3 i den lagen. Den brittiska dataskyddsförordningen (UK GDPR) är inte tillämplig på denna typ av behandling.

(15) Del 3 i dataskyddslagen från 2018 innehåller regler för behandling av personuppgifter i brottsbekämpningssyfte, inbegripet dataskyddsprinciper, rättsliga grunder för behandling (laglighet), de registrerades rättigheter, de behöriga myndigheternas skyldigheter i egenskap av personuppgiftsansvariga och begränsningar av vidare överföringar. Samtidigt finns tillämpliga bestämmelser om tillsyn, verkställighet och prövning som är tillämpliga på den brottsbekämpande sektorn i delarna 5 och 6 i dataskyddslagen från 2018.

(16) Med tanke på polisstyrkornas relevanta roll inom den brottsbekämpande sektorn bör man dessutom beakta de regler som styr polisarbetet. Eftersom polisen är en decentraliserad angelägenhet är olika rättsakter, som dock ofta är snarlika till innehållet, tillämpliga på polisverksamhet i a) England och Wales, b) Skottland och c) Nordirland (20). Dessutom innehåller olika typer av vägledningsdokument ytterligare klargöranden om hur polisens befogenheter bör användas. Följande tre huvudsakliga former av polisvägledning finns: 1) Lagstadgad vägledning som utfärdats enligt lagstiftning, t.ex. Code of Ethics (21) och Code of Practice on the Management of Police Information (MoPI Code of Practice) (22) som utfärdats enligt Police Act 1996 (polislagen från 1996) (23) eller Pace-koder (24) som utfärdats enligt Police and Criminal Evidence Act (25), 2) auktoriserad yrkesmässig praxis för hantering av polisinformation (APP Guidance on the Management of Police Information) (26) utfärdad av polishögskolan och 3) operativ vägledning (offentliggjord av polisen själv). National Police Chiefs Council (ett samordningsorgan för alla polisstyrkor i Förenade kungariket) offentliggör operativ vägledning som alla polisstyrkor har godkänt och som därför tillämpas nationellt (27). Syftet med denna vägledning är att säkerställa konsekvens mellan olika polisstyrkor när det gäller hur informationen hanteras (28).

(17) MoPI Code of Practice utfärdades av ministern 2005 med stöd av de befogenheter som föreskrivs i avsnitt 39A i polislagen från 1996 (29). Alla riktlinjer som utfärdas enligt polislagen måste godkännas av ministern och ska vara föremål för samråd med National Crime Agency innan de läggs fram för parlamentet. Enligt avsnitt 39A 7 i polislagen ska polisen ta vederbörlig hänsyn till de uppförandekoder som utfärdats enligt lagen och därför förväntas polisen följa den (30). Dessutom måste den lagstadgade vägledningen (till exempel APP Guidance on the Management of Police Information) alltid vara förenlig med MoPI Code of Practice som återfinns ovanför den (31). Även om det kan finnas vissa operativa situationer där poliser behöver avvika från denna vägledning är de ändå skyldiga att uppfylla kraven i del 3 i dataskyddslagen från 2018 (32).

(18) Ytterligare vägledning om Förenade kungarikets dataskyddslagstiftning för behandling inom brottsbekämpningsområdet ges av Information Commissioner (Information Commissioner eller Information Commissioner’s Office) (33) (för närmare uppgifter om Information Commissioner’s Office, se skälen (93)–(109)). Även om det inte är rättsligt bindande skulle domstolarna i ett domstolsförfarande vara skyldiga att beakta eventuella överträdelser av riktlinjerna eftersom de har tolkningsvikt och visar hur dataskyddslagstiftningen tolkas och verkställs av Commissioner i praktiken (34).

(19) Som anges i skälen 8)–10) måste de brottsbekämpande organen i Förenade kungariket slutligen se till att Europakonventionen och konvention nr 108 följs.

(20) I sin struktur och sina huvudkomponenter är den rättsliga ramen för de brottsbekämpande myndigheternas behandling av uppgifter i Förenade kungariket således mycket lik den som gäller i EU. Detta inbegriper det faktum att en sådan ram inte enbart bygger på skyldigheter som föreskrivs i nationell rätt, som har utformats genom unionsrätten, utan även på skyldigheter som följer av internationell rätt, särskilt genom Förenade kungarikets anslutning till Europakonventionen och konvention 108 samt dess överlämnande till Europeiska domstolen för de mänskliga rättigheternas jurisdiktion. Dessa skyldigheter som följer av rättsligt bindande internationella instrument, särskilt när det gäller skydd av personuppgifter, är därför en särskilt viktig del av den rättsliga ram som bedöms i detta beslut.

2.3 Materiellt och territoriellt tillämpningsområde

(21) Det materiella tillämpningsområdet för del 3 i dataskyddslagen från 2018 sammanfaller med tillämpningsområdet för direktiv 2016/680 enligt artikel 2.2 i samma direktiv. Del 3 ska tillämpas på en behörig myndighets behandling av personuppgifter helt eller delvis på automatisk väg och på en behörig myndighets behandling på annat sätt än automatiserad behandling av personuppgifter som ingår i eller är avsedda att ingå i ett register.

(22) För att omfattas av del 3 måste den personuppgiftsansvariga vara en ”behörig myndighet” och behandlingen måste utföras för ett ”brottsbekämpande ändamål”. Därför är det system för skydd av personuppgifter som bedöms i detta beslut tillämpligt på all brottsbekämpande verksamhet som bedrivs av dessa behöriga myndigheter.

(23) Begreppet ”behörig myndighet” definieras i avsnitt 30 i dataskyddslagen som en person som förtecknas i tillägg 7 till dataskyddslagen från 2018 samt varje annan person i den mån personen har lagstadgade uppgifter för något av de brottsbekämpande ändamålen. De behöriga myndigheter som förtecknas i tillägg 7 omfattar inte bara polisen utan även alla ministerier och andra myndigheter med utredningsfunktioner (t.ex. Commissioner for Her Majesty’s Revenue and Customs, the Welsh Revenue Authority, the Competition and Markets Authority, Her Majesty’s Land Register eller the National Crime Agency), åklagarmyndigheter, andra straffrättsliga myndigheter och andra innehavare eller organisationer som bedriver brottsbekämpande verksamhet i Förenade kungariket (35). Del 3 i dataskyddslagen från 2018 är också tillämplig på domstolar när de utövar sina rättsliga funktioner med undantag för den del som rör den registrerades rättigheter och tillsyn av ICO (kontoret för Information Commissioner) (36). Förteckningen över behöriga myndigheter i tillägg 7 är inte slutgiltig och kan uppdateras av ministern genom förordningar som tar hänsyn till förändringar i organisationen av offentliga ämbeten (37).

(24) Behandlingen i fråga måste också ha ett ”brottsbekämpningssyfte” som definieras som förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, inbegripet skydd mot och förebyggande av hot mot den allmänna säkerheten (38). Behandling som utförs av en behörig myndighet regleras inte av del 3 i dataskyddslagen från 2018 om behandlingen inte sker i brottsbekämpande syfte. Detta kommer till exempel att vara fallet när konkurrens- och marknadsmyndigheten utreder ärenden som inte är kriminaliserade (t.ex. företagssammanslagningar). I så fall kommer den brittiska dataskyddsförordningen (UK GDPR), tillsammans med del 2 i dataskyddslagen från 2018, att gälla eftersom behöriga myndigheters behandling av personuppgifter sker för andra ändamål än brottsbekämpning. För att avgöra vilket system för skydd av personuppgifter som ska tillämpas (del 3 eller del 2 i dataskyddslagen från 2018) på behandlingen av personuppgifter i fråga måste den behöriga myndigheten, dvs. den personuppgiftsansvariga, överväga om det ”primära ändamålet” med sådan behandling är ett av de brottsbekämpande ändamålen enligt dataskyddslagen från 2018.

(25) När det gäller det territoriella tillämpningsområdet för del 3 i dataskyddslagen från 2018 föreskrivs i avsnitt 207.2 att dataskyddslagen är tillämplig på behandling av personuppgifter i samband med verksamhet som bedrivs av en person som har en etablering inom hela Förenade kungarikets territorium. Detta inbegriper offentliga myndigheter i territorierna England, Wales, Skottland och Nordirland som omfattas av det materiella tillämpningsområdet av del 3 i dataskyddslagen från 2018 (39).

2.3.1 Definition av personuppgifter och behandling

(26) De viktigaste begreppen personuppgifter och behandling definieras i avsnitt 3 i dataskyddslagen från 2018 och gäller i hela dataskyddslagen. Definitionerna följer nära motsvarande definitioner i artikel 3 i direktiv 2016/680. Enligt dataskyddslagen från 2018 avses med personuppgifter all information som avser en identifierad eller identifierbar fysisk person (40). Enligt avsnitt 3.3 i dataskyddslagen från 2018 är en individ identifierbar om han eller hon direkt eller indirekt kan identifieras utifrån informationen, inbegripet genom hänvisning till ett namn eller en identifierare eller genom hänvisning till en eller flera faktorer som är specifika för personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Begreppet ”behandling” definieras som en åtgärd eller serie av åtgärder som utförs på information eller på en uppsättning uppgifter, till exempel a) insamling, registrering, organisering, strukturering eller lagring, b) anpassning eller ändring, c) hämtning, läsning eller användning, d) utlämnandet genom överföring, spridning eller på annat sätt tillgängliggörande, e) inställning eller kombination eller f) begränsning, radering eller förstöring. I lagen definieras dessutom ”känslig behandling” som ”a) behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, b) behandling av genetiska uppgifter eller biometriska uppgifter i syfte att unikt identifiera en individ, c) behandling av hälsouppgifter, d) behandling av uppgifter om en persons sexualliv eller sexuella läggning” (41). I detta avseende innehåller avsnitt 205 i dataskyddslagen från 2018 en definition av ”biometriska uppgifter” (42), ”uppgifter om hälsa” (43) och ”genetiska uppgifter” (44).

(27) I avsnitt 32 i dataskyddslagen från 2018 förtydligas definitionerna av registeransvarig och personuppgiftsbiträde i samband med behandling av personuppgifter för brottsbekämpande ändamål i enlighet med motsvarande definitioner i direktiv 2016/680. Den personuppgiftsansvariga innebär den behöriga myndighet som fastställer ändamålen och medlen för behandlingen av personuppgifter. Om behandlingen krävs enligt lag är den personuppgiftsansvariga den behöriga myndighet för vilken en sådan skyldighet föreskrivs i den aktuella lagen. Ett personuppgiftsbiträde definieras som varje person som behandlar personuppgifter för den personuppgiftsansvarigas räkning (utom en person som är anställd hos den personuppgiftsansvariga).

2.4 Skyddsåtgärder, rättigheter och skyldigheter

2.4.1 Laglig och korrekt behandling

(28) Enligt avsnitt 35 i dataskyddslagen från 2018 ska behandlingen av personuppgifter vara laglig och rättvis på ett liknande sätt som i artikel 4.1 a i direktiv (EU) 2016/680. I enlighet med avsnitt 35.2 i dataskyddslagen från 2018 är behandling av personuppgifter för något av de brottsbekämpande ändamålen laglig endast om den grundas på lag och den registrerade har gett sitt samtycke till behandlingen för detta ändamål eller om behandlingen är nödvändig för att utföra en arbetsuppgift som utförs för detta ändamål av en behörig myndighet.

2.4.1.1 Behandling på grundval av lag

(29) I likhet med artikel 8 i direktiv (EU) 2016/680 måste sådan behandling grundas på lag för att säkerställa att en behandling som omfattas av del 3 i dataskyddslagen från 2018 är laglig. Laglig behandling innebär tillåten enligt antingen lag, gemensam lag eller kungliga befogenheter (45).

(30) De behöriga myndigheternas befogenheter regleras i allmänhet av stadgar vilket innebär att deras uppgifter och befogenheter tydligt anges i lagstiftning som antas av parlamentet (46). I vissa fall kan polisen och andra behöriga myndigheter som förtecknas i tillägg 7 i dataskyddslagen från 2018 förlita sig på common law för att behandla uppgifter (47). Common law har byggts upp genom prejudikat i domstolsbeslut. Common law är relevant inom ramen för polisens befogenheter som härrör från denna rättskälla och dess grundläggande skyldighet att skydda allmänheten genom att upptäcka och förebygga brott (48). Polisen har dock befogenheter både när det gäller common law och lagstiftning (49) för att fullgöra en sådan skyldighet. Om polisen har en lagstadgad befogenhet ersätter detta alla befogenheter enligt common law (50).

(31) Omfattningen av polistjänstemannens befogenheter och skyldigheter enligt common law har av domstolarna erkänts omfatta ”alla åtgärder som han eller hon anser nödvändiga för att upprätthålla den allmänna ordningen, förhindra brott eller skydda egendom mot kriminella handlingar” (51). Befogenheter enligt common law är inte oreserverade befogenheter. De omfattas av en rad begränsningar, däribland gränser som fastställts av domstolarna (52) och genom lagstiftning, särskilt Human Rights Act 1998 och 2010 års lag om jämställdhet (Equality Act 2010) (53). För behöriga myndigheter som behandlar uppgifter enligt del 3 i dataskyddslagen från 2018 innebär detta dessutom att de utövar befogenheter enligt common law i enlighet med kraven i dataskyddslagen från 2018 (54). Dessutom måste ett beslut om att utföra någon form av databehandling beakta kraven i tillämplig vägledning, till exempel MoPI Code of Practice och vägledning som är specifik för ett av Förenade kungarikets länder (55). Regeringen och det operativa polisväsendet utfärdar ett antal vägledningsdokument för att se till att poliser utövar sina befogenheter inom de gränser som fastställs i common law eller annan relevant lagstiftning (56).

(32) Kungliga befogenheter utgör en annan del av ”lagen” och hänvisar till vissa befogenheter som kronan har som kan utövas av den verkställande makten som inte grundar sig på lag utan härrör från monarkens suveränitet (57). Det finns mycket få exempel på särskilda befogenheter som är relevanta i brottsbekämpningssammanhang. De omfattar till exempel en ram för ömsesidig rättslig hjälp som gör det möjligt för en minister att utbyta uppgifter med tredjeländer för brottsbekämpande ändamål och befogenheten att dela uppgifter på detta sätt fastställs inte alltid i lag (58). Kungliga befogenheter är bundna av common law-principerna (59), är underordnade lagen och omfattas därför av de begränsningar som anges i Human Rights Act 1998 och dataskyddslagen från 2018 (60).

(33) I likhet med artikel 8 i direktiv (EU) 2016/680 kräver systemet i Förenade kungariket att de behöriga myndigheterna för att följa principen om laglighet ser till att behandlingen, när den grundar sig på lagen, också måste vara ”nödvändig” för att fullgöra den uppgift som utförs i brottsbekämpningssyfte. ICO ger vägledning i detta avseende och klargör att ”det måste vara ett riktat och proportionerligt sätt att uppnå syftet. Den rättsliga grunden gäller inte om du rimligtvis kan uppnå syftet med något annat mindre inkräktande medel. Det räcker inte att hävda att behandlingen är nödvändig eftersom du har valt att driva din verksamhet på ett visst sätt. Frågan är om behandlingen är nödvändig för det angivna ändamålet (61)”.

2.4.1.2. Behandling på grundval av den registrerades ”samtycke”

(34) Enligt skäl (28) ger avsnitt 35.2 i dataskyddslagen från 2018 möjlighet att behandla personuppgifter på grundval av den enskildas ”samtycke”.

(35) Samtycke förefaller dock inte vara en rättslig grund som är relevant för den behandling som omfattas av detta beslut. Den behandling som omfattas av detta beslut kommer i själva verket alltid att gälla uppgifter som har överförts av en behörig myndighet i en medlemsstat till en behörig myndighet i Förenade kungariket enligt direktiv (EU) 2016/680. Därför omfattar de vanligtvis inte den typ av direkt interaktion (insamling) mellan en offentlig myndighet och registrerade personer som kan baseras på samtycke enligt avsnitt 35.2 a i dataskyddslagen från 2018.

(36) Även om åberopande av samtycke därför inte anses relevant för den bedömning som görs enligt detta beslut bör det för fullständighetens skull noteras att behandling i brottsbekämpningssammanhang aldrig grundar sig enbart på samtycke eftersom en behörig myndighet alltid måste ha en underliggande befogenhet som gör det möjligt för den att behandla uppgifterna (62). Mer specifikt, och i likhet med vad som är tillåtet enligt direktiv (EU) 2016/680 (63), innebär detta att samtycke fungerar som ett ytterligare villkor för att möjliggöra vissa begränsade och specifika behandlingar som annars inte skulle kunna utföras, till exempel insamling och behandling av ett DNA-prov från en individ som inte är misstänkt. I detta fall skulle behandlingen inte utföras om medgivandet inte ges eller återkallas (64).

(37) I fall där det krävs samtycke från den enskilda måste samtycket vara otvetydigt och innebära en entydig bekräftande handling (65). Polisen måste ha ett meddelande om skydd av personuppgifter som bland annat innehåller nödvändig information om giltig användning av samtycke. Dessutom offentliggör vissa av dem ytterligare material om hur de följer dataskyddslagstiftningen, inklusive hur och när de skulle använda samtycke som rättslig grund (66).

2.4.1.3. Känslig behandling

(38) Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” behandlas. I detta avseende innehåller del 3 i dataskyddslagen från 2018 starkare skyddsåtgärder för så kallad känslig behandling i likhet med vad som föreskrivs i artikel 10 i direktiv (EU) 2016/680 (67).

(39) Enligt avsnitt 35.3 i dataskyddslagen från 1998 får känsliga uppgifter behandlas av behöriga myndigheter för brottsbekämpande ändamål endast i följande två fall: 1) Den registrerade har gett sitt samtycke till behandlingen för brottsbekämpande ändamål och vid den tidpunkt då behandlingen utförs har den personuppgiftsansvariga infört ett välvalt policydokument (68). 2) Behandlingen är absolut nödvändig för det brottsbekämpande ändamålet, behandlingen uppfyller minst ett av villkoren i tillägg 8 till dataskyddslagen från 2018 och vid den tidpunkt då behandlingen utförs har den personuppgiftsansvariga ett välvalt policydokument på plats (69).

(40) När det gäller det första fallet och enligt förklaringen i skäl 38 anses åberopande av samtycke inte vara relevant för den typ av överföringssituation som omfattas av detta beslut (70).

(41) Om behandlingen av känsliga uppgifter inte bygger på samtycke kan den utföras enligt något av de villkor som anges i tillägg 8 till dataskyddslagen från 2018. Dessa villkor avser behandling som är nödvändig för lagstadgade ändamål som rättskipning, skyddet av intressen som är av grundläggande betydelse för den registrerade personen eller för en annan enskild, skydd av barn och riskutsatta personer, rättsliga anspråk, rättshandlingar, förebyggande av bedrägerier och arkivering om personuppgifterna på ett uppenbart sätt offentliggörs av den registrerade personen. Bortsett från det fall då uppgifterna på ett uppenbart sätt offentliggörs är alla villkor i tillägg 8 föremål för ett ”strikt nödvändighetstest”. ICO har klargjort att ”det är absolut nödvändigt i detta sammanhang att behandlingen måste avse ett trängande socialt behov och att du inte rimligen kan uppnå det med mindre inkräktande medel” (71). Vissa villkor är dessutom föremål för ytterligare begränsningar. För att exempelvis åberopa villkoret om ”lagstadgade ändamål” och ”skyddsvillkoret” (tillägg 8, punkt 1 och punkt 4) finns det ytterligare ett kriterium av allmänt intresse som måste uppfyllas. När det gäller villkoren för skydd av barnet (tillägg 8, punkt 4) måste den registrerade dessutom vara av en viss ålder och anses vara utsatt för risk. Dessutom kan den personuppgiftsansvariga endast tillämpa villkoret i punkt 4 i tillägg 8 under särskilda omständigheter (72). På samma sätt finns det begränsningar för villkoren för ”rättsliga handlingar” och ”förebyggande av bedrägeri” (tillägg 8, punkt 7 respektive 8). Båda är endast tillämpliga på specifika personuppgiftsansvariga. När det gäller rättsliga handlingar får endast en domstol eller annan rättslig myndighet använda ett sådant villkor och, när det gäller bedrägeribekämpning, kan endast personuppgiftsansvariga som är bedrägeribekämpningsorganisationer förlita sig på detta villkor.

(42) När behandlingen bygger på något av de villkor som anges i tillägg 8 respektive avsnitt 42 i dataskyddslagen från 2018 måste det finnas ett ”välvalt policydokument” som förklarar den personuppgiftsansvarigas förfaranden för att säkerställa efterlevnad av dataskyddsprinciperna och den personuppgiftsansvarigas policy för lagring och radering av personuppgifter samt att utökade registerskyldigheter gäller.

2.4.2 Ändamålsbegränsning

(43) Personuppgifter ska behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål. Denna princip om skydd av personuppgifter garanteras genom avsnitt 36 i dataskyddslagen från 2018. Denna bestämmelse kräver, i likhet med artikel 4.1 b i direktiv (EU) 2016/680, att a) det brottsbekämpande ändamål för vilket personuppgifter samlas in vid varje tillfälle ska specificeras, vara uttryckligt och legitimt och b) att personuppgifter som samlas in på detta sätt inte får behandlas på ett sätt som är oförenligt med det syfte för vilket de samlades in.

(44) När behöriga myndigheter behandlar uppgifter för brottsbekämpande ändamål kan detta inbegripa arkivering, vetenskaplig eller historisk forskning och statistiska ändamål (73). I dessa fall klargör dataskyddslagen från 2018 också att arkivering (eller behandling för vetenskapliga eller historiska forskningsändamål och statistiska ändamål) inte är tillåten om den utförs med avseende på beslut som fattas med hänsyn till en viss registrerad eller sannolikt kommer att orsaka honom eller henne betydande skada eller lidande (74).

2.4.3 Noggrannhet och uppgiftsminimering

(45) Uppgifterna ska vara exakta och vid behov uppdaterade. De ska också vara adekvata, relevanta och inte överdrivet omfattande i förhållande till de ändamål som de behandlas för. I likhet med artikel 4.1 c, d och e i direktiv (EU) 2016/680 säkerställs dessa principer i avsnitten 37 och 38 i dataskyddslagen från 2018. Alla rimliga åtgärder måste vidtas för att se till att personuppgifter som är felaktiga (75) raderas eller rättas utan dröjsmål (76), med hänsyn till de brottsbekämpande ändamål som de behandlas för (77) och för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte överförs eller görs tillgängliga för något av de brottsbekämpande ändamålen (78).

(46) I likhet med artikel 7 i direktiv (EU) 2016/680 anges dessutom i Förenade kungarikets dataskyddssystem att personuppgifter som grundar sig på fakta så långt det är möjligt ska skiljas från personuppgifter som grundar sig på personliga bedömningar (79). Om det är relevant och så långt det är möjligt måste en tydlig åtskillnad göras mellan personuppgifter som rör olika kategorier av registrerade personer, till exempel misstänkta, personer som dömts för ett brott, brottsoffer och vittnen (80).

2.4.4 Begränsad lagring

(47) Enligt artikel 5 i direktiv (EU) 2016/680 bör uppgifter i princip inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Enligt avsnitt 39 i dataskyddslagen från 2018 och i likhet med artikel 5 i det direktivet är det förbjudet att bevara personuppgifter som behandlas för något av de brottsbekämpande ändamålen längre än vad som är nödvändigt i förhållande till det ändamål för vilket de behandlas. Enligt Förenade kungarikets rättsordning måste lämpliga tidsfrister fastställas för den regelbundna översynen av behovet av fortsatt lagring av personuppgifter för något av de brottsbekämpande ändamålen. Ytterligare regler om praxis i samband med lagring av personuppgifter och tillämpliga tidsfrister har fastställts i relevant lagstiftning och vägledning om polisens befogenheter och funktion. I England och Wales ger t.ex. polisakademins (College of Policing’s) MOPI-Code of Practice, tillsammans med APP Guidance on the Management of Police Information, en ram för att säkerställa en konsekvent riskbaserad process för lagring, granskning och bortskaffande av operativ polisinformation (81). Denna ram innehåller tydliga förväntningar på hur information ska skapas, delas, användas och hanteras inom och mellan enskilda polisstyrkor och andra organ (82). Polisen förväntas följa uppförandekoden och efterlevnaden kontrolleras av Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

(48) Police Service of Northern Ireland (PSNI) är enligt lag inte skyldig att följa MoPI Code of Practice. Den MoPI-ram som antogs 2011 kompletteras dock med en PSNI Handbook (84) som innehåller riktlinjer och förfaranden för hur MoPI Code of Practice tillämpas i Nordirland.

(49) I Skottland förlitar sig polisstyrkorna på Record Retention Standard Operating Procedure (SOP) (85) som stöder Police Service of Scotland Records Management Policy (86). I standardrutinen fastställs särskilda regler för lagring av de register som innehas av polisen i Skottland.

(50) Utöver det övergripande kravet på granskning av register som gäller i hela Förenade kungariket ges ytterligare detaljer i lokala regler. För att ge några exempel, när det gäller England och Wales, innehåller Police and Criminal Evidence Act, ändrad genom Protection of Freedom Act 2012 (PoFA), bestämmelser om lagring av fingeravtryck och DNA-profiler samt ett särskilt system för personer som inte dömts (87). PoFA inrättade också befattningen som Commissioner for the Retention and Use of Biometric Material (Biometrics Commissioner) (88). Särskilda regler för häktningsbilder finns i 2017 års översyn av häktningsbilder (89). När det gäller Skottland innehåller Criminal Procedure (Scotland) Act 1995 regler för erhållande och lagring av fingeravtryck och biologiska prover (90). Liksom i England och Wales reglerar lagstiftningen lagring av biometriska uppgifter i olika fall (91).

2.4.5 Datasäkerhet

(51) Personuppgifter ska behandlas på ett sätt som garanterar deras säkerhet, inbegripet skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstörelse eller skada. I detta syfte ska offentliga myndigheter vidta lämpliga tekniska eller organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder måste bedömas med beaktande av den aktuella kunskapsnivån och därmed sammanhängande kostnader.

(52) Dessa principer återspeglas i avsnitt 40 i dataskyddslagen från 2018 enligt vilket personuppgifter som behandlas för något av de brottsbekämpande ändamålen, i likhet med artikel 4.1 f i direktiv (EU) 2016/680, måste behandlas på ett sätt som garanterar lämplig säkerhet för personuppgifterna med hjälp av lämpliga tekniska eller organisatoriska åtgärder. Detta inbegriper att skydda uppgifterna mot otillåten eller olaglig behandling och mot oavsiktlig förlust, förstöring eller skada (92). I avsnitt 66 i dataskyddslagen från 2018 anges vidare att varje registeransvarig och personuppgiftsbiträde ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig med hänsyn till de risker som behandlingen av personuppgifter medför. Enligt de förklarande anmärkningarna ska den personuppgiftsansvariga utvärdera riskerna och vidta lämpliga säkerhetsåtgärder på grundval av denna utvärdering, till exempel kryptering eller särskilda säkerhetsnivåer för personal som behandlar uppgifterna (93). Utvärderingen måste till exempel dessutom ta hänsyn till vilken typ av uppgifter som behandlas och andra relevanta faktorer eller omständigheter som kan påverka behandlingens säkerhet.

(53) Det system som reglerar efterlevnaden av principerna för datasäkerhet är mycket likt det system som fastställs i artiklarna 29–31 i direktiv (EU) 2016/680. I synnerhet vid ett personuppgiftsbrott i samband med personuppgifter för vilka den personuppgiftsansvariga är ansvarig, enligt avsnitt 67(1) i dataskyddsmyndigheten 2018, ska den personuppgiftsansvariga utan onödigt dröjsmål och om möjligt inom 72 timmar efter att ha fått kännedom om incidenten anmäla personuppgiftsbrottet till Information Commissioner (94). Anmälningsskyldigheten gäller inte om personuppgiftsincidenten sannolikt inte kommer att leda till en risk för enskildas rättigheter och friheter (95). Den personuppgiftsansvariga ska dokumentera fakta om ett personuppgiftsbrott, dess effekter och korrigerande åtgärder som vidtagits på ett sätt som gör det möjligt för Information Commissioner att kontrollera efterlevnaden av dataskyddsmyndigheten (96). Om ett personuppgiftsbiträde får kännedom om ett säkerhetsbrott ska det utan onödigt dröjsmål underrätta den personuppgiftsansvariga om detta (97).

(54) Enligt avsnitt 68.1 i dataskyddslagen från 2018 ska den personuppgiftsansvariga utan onödigt dröjsmål informera den registrerade om brottet om ett personuppgiftsbrott sannolikt medför en hög risk för enskildas rättigheter och friheter (98). Meddelandet måste innehålla samma information som den anmälan till Information Commissioner som beskrivs i skäl (53). Denna skyldighet gäller inte om den personuppgiftsansvariga har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder som tillämpades på de personuppgifter som berördes av brottet. Det gäller inte heller om den personuppgiftsansvariga har vidtagit efterföljande åtgärder som säkerställer att den höga risken för de registrerade personernas rättigheter och friheter sannolikt inte längre kommer att förverkligas. Slutligen är den personuppgiftsansvariga inte skyldig att underrätta den registrerade om detta skulle innebära en oproportionerligt stor ansträngning (99). I så fall måste informationen göras tillgänglig för den registrerade på ett annat lika effektivt sätt, till exempel genom offentlig kommunikation (100). Om den personuppgiftsansvariga inte har informerat den registrerade om incidenten kan Information Commissioner, efter att ha underrättats i enlighet med avsnitt 67 i dataskyddslagen och efter att ha övervägt sannolikheten för att det brott som leder till en hög risk kan kräva att den personuppgiftsansvariga underrättar den registrerade om brottet (101).

2.4.6 Insyn

(55) De registrerade måste informeras om huvuddragen i behandlingen av sina personuppgifter. Denna princip om skydd av personuppgifter återspeglas i avsnitt 44 i dataskyddslagen från 2018, där det, i likhet med artikel 13 i direktiv (EU) 2016/680, föreskrivs att den personuppgiftsansvariga har en allmän skyldighet att ge de registrerade tillgång till information om behandlingen av deras personuppgifter (antingen genom att göra informationen allmänt tillgänglig för allmänheten eller på annat sätt) (102). Den information som ska göras tillgänglig omfattar a) den personuppgiftsansvarigas identitet och kontaktuppgifter, b) i tillämpliga fall, dataskyddsombudets kontaktuppgifter, c) de ändamål för vilka den personuppgiftsansvariga behandlar personuppgifter, d) de registrerades rätt att av den personuppgiftsansvariga begära tillgång till personuppgifter, rättelse av personuppgifter och radering av personuppgifter eller begränsning av behandlingen av dem och e) förekomsten av rätten att lämna in ett klagomål till Information Commissioner samt hans eller hennes kontaktuppgifter (103).

(56) Den personuppgiftsansvariga måste också, i särskilda fall för att göra det möjligt för den registrerade personen att utöva sina rättigheter enligt dataskyddslagen från 2018 (till exempel när de personuppgifter som behandlas har samlats in utan den registrerade personens vetskap) och ge den registrerade information om a) den rättsliga grunden för behandlingen, b) information om den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, om de kriterier som används för att fastställa denna period, c) i tillämpliga fall, information om kategorier av mottagare av personuppgifterna (inklusive mottagare i tredjeländer eller internationella organisationer) och d) den ytterligare information som är nödvändig för att den registrerade personen ska kunna utöva sina rättigheter enligt del 3 i dataskyddslagen från 2018 (104).

2.4.7 Individuella rättigheter

(57) De registrerade måste beviljas ett antal rättigheter som kan verkställas. Kapitel 3 i del 3 i dataskyddslagen från 2018 ger enskilda personer rättigheter till tillgång, rättelse, radering och begränsning (105), vilka är jämförbara med dem som föreskrivs i kapitel 3 i direktiv (EU) 2016/680.

(58) Rätten till tillträde anges i avsnitt 45 i dataskyddslagen från 2018. För det första har en enskild rätt att få en bekräftelse från den personuppgiftsansvariga om huruvida hans eller hennes personuppgifter behandlas eller inte (106). För det andra har den registrerade personen, om personuppgifterna behandlas, rätt att få tillgång till dessa uppgifter och få följande information om behandlingen: a) Ändamålen med och de rättsliga grunderna för behandlingen. b) De kategorier av uppgifter som berörs. c) Den mottagare till vilken uppgifterna har lämnats ut. d) Den period under vilken personuppgifterna ska lagras. e) Den registrerade personens rätt till rättelse och radering av personuppgifter. f) Rätt att lämna in klagomål. g) All information om de berörda personuppgifternas ursprung (107).

(59) Enligt avsnitt 46 i dataskyddslagen från 2018 har den registrerade rätt att kräva att den personuppgiftsansvariga rättar felaktiga personuppgifter som rör honom eller henne. Den personuppgiftsansvariga ska rätta (eller komplettera dem om uppgifterna är felaktiga på grund av att de är ofullständiga) uppgifterna utan onödigt dröjsmål. Om personuppgifterna måste bevaras för bevisändamål måste den personuppgiftsansvariga (i stället för att rätta personuppgifterna) begränsa behandlingen av dem (108).

(60) Enligt avsnitt 47 i dataskyddslagen från 2018 har enskilda rätt till radering och begränsning av behandlingen. Den personuppgiftsansvariga ska (109) radera personuppgifter utan onödigt dröjsmål om behandlingen av personuppgifterna skulle strida mot någon av dataskyddsprinciperna, de rättsliga grunderna för behandlingen eller skyddsåtgärderna i samband med arkivering och känslig behandling. Den personuppgiftsansvariga måste också radera uppgifterna om de har en rättslig skyldighet att göra det. Om personuppgifterna måste bevaras för bevisändamål måste den personuppgiftsansvariga (i stället för att radera personuppgifterna) begränsa behandlingen av dem (110). Den personuppgiftsansvariga måste begränsa behandlingen av personuppgifter om den registrerade personen bestrider att personuppgifterna är korrekta och det är inte möjligt att fastställa om de är korrekta eller inte (111).

(61) Om en registrerad person begär rättelse eller radering av personuppgifter eller begränsning av behandlingen av dem måste den personuppgiftsansvariga skriftligen informera den registrerade om huruvida begäran har beviljats och om den har avslagits måste han eller hon informera den registrerade personen om skälen till avslaget och vilka möjligheter till rättslig prövning som finns (den registrerades rätt att vända sig till Information Commissioner för att undersöka om begränsningen har tillämpats lagligt, rätt att lämna in ett klagomål till Information Commissioner och rätt att ansöka om ett föreläggande om efterlevnad hos en domstol) (112).

(62) Om den personuppgiftsansvariga rättar personuppgifter som mottagits från en annan behörig myndighet ska den underrätta den andra myndigheten (113). Om den personuppgiftsansvariga korrigerar, raderar eller begränsar behandlingen av personuppgifter som har lämnats ut av den personuppgiftsansvariga ska den personuppgiftsansvariga underrätta mottagarna och mottagarna ska på motsvarande sätt korrigera, radera eller begränsa behandlingen av personuppgifterna (i den mån de behåller ansvaret för behandlingen) (114).

(63) Dessutom har den registrerade personen rätt att utan onödigt dröjsmål informeras av den personuppgiftsansvariga om ett personuppgiftsbrott när detta sannolikt kommer att leda till en hög risk för den enskilda personens rättigheter och friheter (115).

(64) När det gäller alla dessa rättigheter för den registrerade personen och i likhet med vad som föreskrivs i artikel 12 i direktiv (EU) 2016/680 är den personuppgiftsansvariga skyldig att se till att all information som den registrerade får lämnas i en koncis, begriplig och lättillgänglig form (116) och, om möjligt, tillhandahållas i samma form som begäran (117). Den personuppgiftsansvariga måste tillmötesgå en begäran från den registrerade utan onödigt dröjsmål eller under alla omständigheter före utgången av en period på en månad från begäran (118). Om den personuppgiftsansvariga har rimliga skäl att betvivla en persons identitet får han eller hon begära ytterligare information och skjuta upp behandlingen av begäran till dess att identiteten har fastställts. Den personuppgiftsansvariga kan kräva en rimlig avgift eller vägra att agera om han eller hon anser att begäran är uppenbart ogrundad (119). ICO har gett vägledning om när en begäran anses vara uppenbart ogrundad eller orimlig och när en avgift kan begäras (120).

(65) Enligt avsnitt 53.4 i dataskyddslagen från 2018 kan ministern dessutom genom förordningar fastställa maximibeloppet för en avgift.

2.4.7.1. Begränsningar av den registrerade personens rättigheter och transparenskrav

(66) En behörig myndighet kan under vissa omständigheter begränsa vissa av den registrerade personens rättigheter enligt följande: Rätten att få tillgång till (121), bli informerad (122) om ett personuppgiftsbrott (123) och att informeras om orsaken till att en begäran om rättelse eller radering har avslagits (124). I likhet med systemet i kapitel III i direktiv (EU) 2016/680 kan den behöriga myndigheten endast tillämpa begränsningen om den med beaktande av den registrerade personens grundläggande rättigheter och berättigade intressen är nödvändig och proportionell i förhållande till a) att undvika att hindra en officiell eller rättslig undersökning, utredning eller dito förfarande, b) att undvika att inverka menligt på förebyggande, upptäckt, utredning eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c) att skydda den allmänna säkerheten, d) att skydda den nationella säkerheten och e) att skydda andras fri- och rättigheter.

(67) ICO har gett vägledning om tillämpningen av dessa begränsningar. Enligt denna vägledning måste personuppgiftsansvariga göra en analys från fall till fall för att göra en avvägning mellan den enskildas rättigheter och den skada som ett utlämnande skulle orsaka. I synnerhet måste de motivera eventuella begränsningar som tillämpas när de är nödvändiga och proportionerliga och får endast begränsa vad som föreskrivs om det skulle inverka menligt på ovannämnda syften (125).

(68) Det finns också ett antal andra riktlinjer från behöriga myndigheter som ger detaljerad information om alla aspekter av dataskyddslagstiftningen, inbegripet tillämpningen av begränsningarna av de registrerades rättigheter (126). När det till exempel gäller avsnitt 45.4 anges följande i Data Protection Manual of the National Police Chief’s Counsel: ”Det är viktigt att notera att begränsningarna endast kan tillämpas i den mån det är nödvändigt och endast kan tillämpas så länge det är nödvändigt. En generell tillämpning av begränsningen till en sökandes samtliga personuppgifter eller en permanent tillämpning av begränsningen är således inte tillåten. När det gäller den sistnämnda punkten är det ofta så att personuppgifter som samlas in utan kännedom hos den registrerade personen som är misstänkt i en utredning inledningsvis måste skyddas från att lämnas ut till dem för att inte skada utredningen medan utredningen pågår men vid ett senare tillfälle skulle ett utlämnande inte medföra någon skada om personuppgifterna hade lämnats ut till den enskilda personen under intervjun. Polisen måste anta förfaranden som säkerställer att tillämpningen av dessa restriktioner endast sker i den utsträckning som krävs och endast under den tid som krävs (127).” Denna vägledning ger också exempel på när var och en av begränsningarna sannolikt kommer att tillämpas (128).

(69) När det gäller möjligheten att begränsa någon av de ovannämnda rättigheterna till skydd för ”nationell säkerhet” kan en registeransvarig ansöka om ett intyg som undertecknats av en minister eller justitieministern (eller Advocate General for Scotland ) som intygar att en begränsning av sådana rättigheter är en nödvändig och proportionerlig åtgärd för att skydda den nationella säkerheten (129). Förenade kungarikets regering har utfärdat riktlinjer om nationella säkerhetscertifikat enligt dataskyddslagen från 2018, där det särskilt framhålls att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (130) (för mer information om de nationella säkerhetsintygen, se skälen (131)–(134)).

(70) Om en begränsning av en registrerad persons rättigheter är tillämplig ska den behöriga myndigheten dessutom utan onödigt dröjsmål informera den registrerade personen om att deras rättigheter har begränsats, om skälen till begränsningen och om vilka möjligheter till prövning som står till buds, såvida inte ett tillhandahållande av informationen skulle undergräva skälet till att tillämpa begränsningen (131). Som ytterligare ett skydd mot missbruk av begränsningar måste den personuppgiftsansvariga registrera skälen till att begränsa informationen och på begäran göra registret tillgängligt för Information Commissioner (132).

(71) Om den personuppgiftsansvariga vägrar att tillhandahålla ytterligare information om öppenhet eller tillgång eller avslår en begäran om rättelse, radering eller begränsning av behandling, kan den enskilda begära att Information Commissioner utreder om den personuppgiftsansvariga har använt begränsningen på ett lagligt sätt (133). Den berörda personen kan också lämna in ett klagomål till Information Commissioner eller begära att en domstol ålägger den personuppgiftsansvariga att tillmötesgå begäran (134).

2.4.7.2. Automatiserat beslutsfattande

(72) Avsnitten 49 och 50 i dataskyddslagen från 2018 omfattar rättigheterna i samband med automatiserat beslutsfattande respektive de skyddsåtgärder som ska tillämpas (135). I likhet med vad som föreskrivs i artikel 11 i direktiv (EU) 2016/680, är det endast om det krävs eller är tillåtet enligt lag som den personuppgiftsansvariga kan fatta ett viktigt beslut enbart på grundval av automatiserad behandling av personuppgifter (136). Ett beslut är betydande om det skulle få negativa rättsliga följder för den registrerade eller i betydande grad påverka honom eller henne (137).

(73) Om den personuppgiftsansvariga enligt lag är skyldig eller bemyndigad att fatta ett viktigt beslut anges det i avsnitt 50 i dataskyddslagen från 2018 vilka skyddsåtgärder som ska gälla för ett sådant beslut (vilket definieras som ett kvalificerat betydande beslut). Den personuppgiftsansvariga ska så snart det rimligen är praktiskt möjligt underrätta den registrerade personen om att ett sådant beslut har fattats. Den registrerade personen kan därefter inom en månad begära att den personuppgiftsansvariga omprövar beslutet eller fattar ett nytt beslut som inte enbart grundar sig på automatiserad behandling. Den personuppgiftsansvariga ska behandla begäran och informera den registrerade om resultatet av behandlingen. Dataskyddslagen från 2018 ger ministern befogenhet att anta bestämmelser om ytterligare skyddsåtgärder (138). Inga sådana förordningar har ännu antagits.

2.4.8 Vidare överföringar

(74) Skyddsnivån för personuppgifter som överförs från en brottsbekämpande myndighet i en medlemsstat till en brottsbekämpande myndighet i Förenade kungariket får inte undergrävas av en ytterligare överföring av sådana uppgifter till mottagare i ett tredjeland. Sådana ”vidareöverföringar” som ur synvinkeln för en brottsbekämpande myndighet i Förenade kungariket utgör internationella överföringar från Förenade kungariket bör endast tillåtas om den ytterligare mottagaren utanför Förenade kungariket själv omfattas av regler som säkerställer en skyddsnivå som liknar den som garanteras i Förenade kungarikets rättsordning.

(75) Förenade kungarikets ordning för internationella överföringar regleras i del 3 kapitel 5 i dataskyddslagen från 2018 (139) och återspeglar tillvägagångssättet i kapitel V i direktiv (EU) 2016/680. För att överföra personuppgifter till ett tredjeland måste en behörig myndighet uppfylla följande tre villkor: a) Överföringen måste vara nödvändig för brottsbekämpning. b) Överlåtelsen ska grunda sig på i) en förordning om adekvat skyddsnivå med avseende på tredjelandet, ii) om den inte grundar sig på en förordning om adekvat skyddsnivå, förekomsten av lämpliga skyddsåtgärder eller iii) om den inte grundar sig på ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder, måste den grundas på särskilda omständigheter. c) Mottagaren av överföringen ska vara i) en relevant myndighet (dvs. motsvarigheten till en behörig myndighet) i tredjelandet, ii) en ”relevant internationell organisation”, t.ex. ett internationellt organ som utför uppgifter som motsvarar något av de brottsbekämpande ändamålen eller iii) en person som inte är en relevant myndighet men endast om överföringen är absolut nödvändig för att fullgöra något av de brottsbekämpande ändamålen, det inte finns några grundläggande rättigheter och friheter för den registrerade personen som väger tyngre än det allmänintresse som kräver överföringen, en överföring av personuppgifterna till en relevant myndighet i tredjelandet skulle vara ineffektiv eller olämplig och mottagaren informeras om de ändamål för vilka uppgifterna får behandlas (140).

(76) Bestämmelser om adekvat skyddsnivå med avseende på ett tredjeland, ett territorium eller en sektor inom ett tredjeland, en internationell organisation eller en beskrivning (141) av ett sådant land, territorium, sektor eller organisation antas av ministern. När det gäller den standard som ska uppfyllas måste ministern bedöma om ett sådant territorium/en sådan sektor/organisation säkerställer en adekvat skyddsnivå för personuppgifter. I avsnitt 74A.4 i dataskyddslagen från 2018 anges att ministern i detta syfte ska beakta ett antal faktorer som återspeglar dem som anges i artikel 36 i direktiv (EU) 2016/680 (142). Sedan övergångsperiodens slut utgör del 3 i dataskyddslagen från 2018 ”inhemsk EU-lagstiftning” som, enligt förklaringen, kommer att tolkas av domstolar i Förenade kungariket i enlighet med relevant rättspraxis från domstolen från tiden före Förenade kungarikets utträde ur unionen och allmänna principer i unionsrätten eftersom de hade verkan omedelbart före övergångsperiodens utgång. Detta inbegriper den ”väsentliga likvärdighetsstandard” som därmed kommer att gälla för de bedömningar av adekvat skyddsnivå som utförs av Förenade kungarikets myndigheter.

(77) När det gäller förfarandet omfattas förordningarna av de ”allmänna” förfarandekrav som anges i avsnitt 182 i dataskyddslagen från 2018. Enligt detta förfarande måste ministern samråda med Information Commissioner när han eller hon föreslår att Förenade kungarikets framtida förordningar om adekvat skyddsnivå ska antas (143). När dessa förordningar har antagits av ministern läggs de fram inför parlamentet och omfattas av förfarandet för ”att rösta emot förordningen” enligt vilket båda kamrarna kan granska förordningen och kan anta ett förslag om att ogiltigförklara förordningen inom en 40-dagarsperiod (144).

(78) Enligt avsnitt 74B.1 i dataskyddslagen från 2018 ska bestämmelserna om adekvat skyddsnivå ses över med högst fyra års mellanrum och ministern ska fortlöpande övervaka utvecklingen i tredjeländer och internationella organisationer som skulle kunna påverka beslut om att utfärda föreskrifter om adekvat skyddsnivå eller att ändra eller upphäva sådana föreskrifter. Om ministern får kännedom om att ett visst land eller en organisation inte längre säkerställer en adekvat skyddsnivå för personuppgifter ska han eller hon, i den utsträckning det är nödvändigt, ändra eller upphäva föreskrifterna och inleda samråd med det berörda tredjelandet eller den berörda internationella organisationen för att avhjälpa bristen på adekvat skyddsnivå.

(79) I likhet med vad som föreskrivs i artikel 37 i direktiv (EU) 2016/680 skulle en överföring av personuppgifter inom ramen för den brottsbekämpande sektorn vara möjlig när lämpliga skyddsåtgärder har införts i avsaknad av en förordning om adekvat skyddsnivå. Sådana skyddsåtgärder säkerställs genom antingen a) ett rättsligt bindande instrument som innehåller lämpliga skyddsåtgärder för personuppgifter eller b) en bedömning utförd av den personuppgiftsansvariga som, efter att ha bedömt alla omständigheter kring överföringen, drar slutsatsen att det finns lämpliga skyddsåtgärder för att skydda uppgifterna (145). När överföringar grundar sig på lämpliga skyddsåtgärder föreskriver dataskyddslagen från 2018 dessutom att de behöriga myndigheterna, utöver ICO normala tillsynsroll, måste lämna specifik information om överföringarna till ICO (146).

(80) Om en överföring inte grundar sig på ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder kan den endast ske under vissa, specificerade omständigheter, så kallade särskilda omständigheter (147). Detta är fallet när överföringen är nödvändig a) för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person, b) för att skydda den registrerades berättigade intressen, c) för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i ett tredjeland, d) för att i enskilda fall för något av de brottsbekämpande ändamålen eller e) för att i enskilda fall för ett rättsligt ändamål (t.ex. i samband med rättsliga förfaranden eller för att erhålla juridisk rådgivning) (148). Det kan noteras att leden d) och e) inte är tillämpliga om den registrerades rättigheter och friheter väger tyngre än det allmänna intresset för överföringen (149). Dessa omständigheter motsvarar de särskilda situationer och villkor som räknas som ”undantag” enligt artikel 38 i direktiv (EU) 2016/680.

(81) Under dessa omständigheter ska datum, tidpunkt och motivering för överföringen, namnet på och all annan relevant information om mottagaren samt en beskrivning av de överförda personuppgifterna dokumenteras och på begäran lämnas till Information Commissioner (150).

(82) I avsnitt 78 i dataskyddslagen från 2018 regleras scenariot med ”efterföljande överföringar”, nämligen när personuppgifter som har överförts från Förenade kungariket till ett tredjeland senare överförs till ett annat tredjeland eller en internationell organisation. Enligt avsnitt 78.1 måste den överförande personuppgiftsansvariga i Förenade kungariket ställa som villkor för överföringen att uppgifterna inte ska överföras vidare till ett tredjeland utan den överförande personuppgiftsansvarigas tillstånd. I de fall ett sådant tillstånd krävs måste dessutom ett antal materiella villkor uppfyllas enligt avsnitt 78.3, och i likhet med vad som föreskrivs i artikel 35.1 e i direktiv (EU) 2016/680. En behörig myndighet som fattar beslut om huruvida överföringen ska tillåtas eller inte, måste se till att den ytterligare överföringen är nödvändig för ett brottsbekämpande ändamål och bör bland annat beakta a) hur allvarliga omständigheter som ledde till begäran om tillstånd, b) det ändamål för vilket personuppgifterna ursprungligen överfördes och c) de standarder för skydd av personuppgifter som gäller i det tredjeland eller den internationella organisation till vilken personuppgifterna skulle överföras.

(83) Dessutom gäller ytterligare skyddsåtgärder om de uppgifter som är föremål för vidare överföring från Förenade kungariket ursprungligen har överförts från Europeiska unionen.

(84) För det första föreskrivs i avsnitt 73.1 b i dataskyddslagen från 2018 – i likhet med vad som föreskrivs i artikel 35.1 c i direktiv (EU) 2016/680 – att om personuppgifterna ursprungligen överfördes eller på annat sätt gjordes tillgängliga för den personuppgiftsansvariga eller för en annan behörig myndighet av en medlemsstat, den medlemsstaten eller en person som är baserad i den medlemsstaten och som är en behörig myndighet enligt direktiv (EU) 2016/680, måste ha tillåtit överföringen i enlighet med medlemsstatens lagstiftning.

(85) I likhet med artikel 35.2 i direktiv (EU) 2016/680 krävs emellertid inte ett sådant tillstånd om a) överföringen är nödvändig för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland eller mot en medlemsstats väsentliga intressen och b) tillståndet inte kan erhållas i tid. I detta fall ska den myndighet i medlemsstaten som skulle ha varit ansvarig för att besluta om tillstånd till överföringen underrättas utan dröjsmål (151).

(86) För det andra gäller samma tillvägagångssätt om uppgifter som ursprungligen överförts från Europeiska unionen till Förenade kungariket sedan överförs av Förenade kungariket till ett tredjeland, som därefter överför uppgifterna vidare till ett tredjeland. I sådana fall föreskriver avsnitt 78.4 att Förenade kungarikets behöriga myndighet inte kan ge tillstånd till den senare överföringen, enligt avsnitt 78.1, om inte ”den medlemsstat som först hade överfört uppgifterna i fråga, eller en person som är baserad i den medlemsstaten och som är en behörig myndighet enligt direktivet om uppgiftsskydd vid brottsbekämpning, har tillåtit överföringen i enlighet med medlemsstatens lagstiftning”. Dessa skyddsåtgärder är viktiga, eftersom de gör det möjligt för medlemsstaternas myndigheter att garantera skyddet genom hela ”överföringskedjan”, i enlighet med EU:s dataskyddslagstiftning.

(87) Denna nya ram för internationella överföringar började gälla i slutet av övergångsperioden (152). I punkterna 10–12 i tillägg 21 (införd genom DPPC-förordningarna) föreskrivs emellertid att vissa överföringar av personuppgifter från och med övergångsperiodens utgång behandlas som om de grundar sig på förordningar om adekvat skyddsnivå. Dessa överföringar omfattar överföringar till en medlemsstat, en Eftastat, ett tredjeland som är föremål för ett EU-beslut om adekvat skyddsnivå vid övergångsperiodens utgång samt territoriet Gibraltar. Följaktligen kan överföringarna till dessa länder fortsätta som före Förenade kungarikets utträde ur unionen. Efter övergångsperiodens utgång måste ministern under en fyraårsperiod, dvs. före utgången av december 2024, göra en översyn av dessa konstateranden om adekvat skyddsnivå. Enligt den förklaring som lämnats av Förenade kungarikets myndigheter innehåller övergångsbestämmelserna inte någon bestämmelse om tidsbegränsning, även om ministern måste göra en sådan översyn senast i slutet av december 2024, och de relevanta övergångsbestämmelserna kommer inte automatiskt att upphöra att gälla om en översyn inte är slutförd i slutet av december 2024.

2.4.9 Ansvarsskyldighet

(88) Enligt principen om ansvarsskyldighet är offentliga myndigheter som behandlar uppgifter skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att effektivt uppfylla sina skyldigheter i fråga om dataskydd och kunna visa detta, särskilt för den behöriga tillsynsmyndigheten.

(89) Denna princip återspeglas i avsnitt 56 i dataskyddslagen från 2018, som inför en allmän redovisningsskyldighet för den personuppgiftsansvariga, dvs. en skyldighet att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter uppfyller kraven i del 3 i dataskyddslagen från 2018. De åtgärder som genomförs måste vid behov ses över och uppdateras och om de står i proportion till behandlingen inbegripa lämpliga dataskyddspolicyer.

(90) I enlighet med kapitel IV i direktiv (EU) 2016/680 innehåller avsnitten 55–71 i dataskyddslagen från 2018 olika mekanismer för att säkerställa ansvarsskyldighet och göra det möjligt för personuppgiftsansvariga och personuppgiftsbiträden att visa efterlevnad. Personuppgiftsansvariga är särskilt skyldiga att genomföra inbyggt skydd av datauppgifter och skydd av datauppgifter som standard, dvs. att säkerställa att dataskyddsprinciperna genomförs på ett effektivt sätt och att de är skyldiga att föra register över alla kategorier av behandling av uppgifter som den personuppgiftsansvariga ansvarar för (inklusive information om den personuppgiftsansvarigas identitet, dataskyddsombudets kontaktuppgifter, ändamålen med behandlingen, kategorierna av mottagare av utlämnanden och en beskrivning av kategorierna av registrerade och personuppgifter) och på begäran hålla dessa register tillgängliga för Information Commissioner. Den personuppgiftsansvariga och personuppgiftsbiträdet måste också föra loggar över viss behandling och göra dem tillgängliga för Information Commissioner (153). De personuppgiftsansvariga är också särskilt skyldiga att samarbeta med Information Commissioner när han eller hon utför sina uppgifter.

(91) I dataskyddslagen från 2018 fastställs också ytterligare krav för behandling som sannolikt kommer att leda till en hög risk för enskildas rättigheter och friheter. Dessa inbegriper en skyldighet att genomföra konsekvensbedömningar avseende dataskydd och att samråda med Information Commissioner före behandlingen om en sådan bedömning visar att behandlingen skulle leda till en hög risk för enskildas rättigheter och friheter (i avsaknad av åtgärder för att minska risken).

(92) De personuppgiftsansvariga måste dessutom utse ett dataskyddsombud, såvida inte den personuppgiftsansvariga är en domstol eller annan rättslig myndighet som agerar i egenskap av domstol (154). Den personuppgiftsansvariga ska se till att dataskyddsombudet är involverat i alla frågor som rör skydd av personuppgifter, har nödvändiga resurser och tillgång till personuppgifter, behandlar personuppgifter och kan utföra sina uppgifter på ett oberoende sätt. Dataskyddsombudets uppgifter anges i avsnitt 71 i dataskyddslagen från 2018 och är bland annat att tillhandahålla information och rådgivning, övervaka efterlevnaden samt samarbeta med och fungera som kontaktpunkt för Information Commissioner. När dataskyddsombudet utför sina uppgifter ska han eller hon ta hänsyn till de risker som är förenade med behandlingen med beaktande av behandlingens art, omfattning, sammanhang och ändamål.

2.5 Tillsyn och efterlevnad

2.5.1 Oberoende tillsyn

(93) För att säkerställa att en adekvat skyddsnivå för personuppgifter garanteras även i praktiken måste det finnas en oberoende tillsynsmyndighet med befogenhet att övervaka och verkställa efterlevnaden av dataskyddsbestämmelserna. Denna myndighet ska agera fullständigt oberoende och opartiskt vid utförandet av sina uppgifter och utövandet av sina befogenheter.

(94) I Förenade kungariket övervakas och verkställs efterlevnaden av den brittiska dataskyddsförordningen och dataskyddslagen från 2018 av Information Commissioner (155). Information Commissioner övervakar också de behöriga myndigheternas behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018 (156). Information Commissioner är en juridisk person, en separat juridisk person som består av en enda person. Information Commissioner bistås i sitt arbete av ett kontor (ICO). Den 31 mars 2020 hade ICO 768 fast anställda (157). Den uppdragsgivande avdelningen för Information Commissioner är Department for Digital, Culture, Media and Sport (158).

(95) Oberoendet för Commissioner fastställs uttryckligen i artikel 52 i den brittiska dataskyddsförordningen som återspeglar kraven i artikel 52.1–52.3 i Europaparlamentets och rådets förordning (EU) 2016/679 (159). Commissioner måste agera fullständigt oberoende vid utförandet av sina uppgifter och utöva sina befogenheter i enlighet med den brittiska dataskyddsförordningen, vara fri från yttre påverkan, direkt eller indirekt, i förhållande till dessa uppgifter och befogenheter och varken begära eller ta emot instruktioner från någon. Commissioner ska också avhålla sig från varje handling som är oförenlig med hans eller hennes uppdrag och får inte utöva någon avlönad eller oavlönad yrkesverksamhet under tiden som han eller hon innehar sitt ämbete.

(96) Villkoren för utnämning och avsättning av Information Commissioner anges i tillägg 12 till dataskyddslagen från 2018. Information Commissioner utses av drottningen på rekommendation av regeringen i enlighet med ett rättvist och öppet uttagningsförfarande. Den sökande måste ha lämpliga kvalifikationer, färdigheter och kompetenser. I enlighet med förvaltningskodexen om offentliga utnämningar (160) upprättas en förteckning över kandidater som kan utnämnas av en rådgivande utvärderingspanel. Innan ministern vid Department for Digital, Culture, Media and Sport slutför sitt beslut måste det berörda särskilda utskottet i parlamentet genomföra en kontroll före utnämningen. Utskottets ståndpunkt offentliggörs (161).

(97) Information Commissioner har en mandatperiod på upp till sju år. Information Commissioner kan avsättas av drottningen efter ett anförande i båda kamrarna i parlamentet (162). En begäran om entledigande av Information Commissioner kan inte lämnas in till någon av parlamentets kammare om inte en minister har lagt fram en rapport till kammaren där det anges att ministern är övertygad om att Information Commissioner gjort sig skyldig till allvarlig försummelse och/eller att denna inte längre uppfyller de villkor som krävs för att kunna fullgöra sina uppgifter (163).

(98) Finansieringen av Information Commissioner kommer från följande tre källor: i) Avgifter för dataskydd som betalas av personuppgiftsansvariga och som fastställs i ministerns förordningar (164) och uppgår till 85–90 % av myndighetens årliga budget (165). ii) Bidrag i form av stöd som regeringen kan betala ut till Information Commissioner och som huvudsakligen används för att finansiera driftskostnaderna för Information Commissioner när det gäller uppgifter som inte rör dataskydd (166). iii) Avgifter som tas ut för tjänster (167). För närvarande tas inga sådana avgifter ut.

(99) De allmänna uppgifterna för Information Commissioner när det gäller behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018 fastställs i tillägg 13 till dataskyddslagen från 2018. Uppgifterna omfattar övervakning och genomförande av del 3 i dataskyddslagen från 2018, främjande av allmänhetens medvetenhet, rådgivning till parlamentet, regeringen och andra institutioner om lagstiftningsåtgärder och administrativa åtgärder, främjande av personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om deras skyldigheter, tillhandahållande av information till registrerade om utövandet av den registrerades rättigheter samt genomförande av utredningar. För att upprätthålla rättsväsendets oberoende är Information Commissioner inte behörig att utföra sina uppgifter i samband med behandling av personuppgifter som utförs av en enskild person som handlar i egenskap av en dömande myndighet eller av en domstol som agerar inom ramen för sin dömande verksamhet. Tillsynen över rättsväsendet säkerställs dock av specialiserade organ som diskuteras nedan.

2.5.1.1 Verkställighet, inklusive påföljder

(100) Commissioner har allmänna undersökande, korrigerande, tillståndsgivande och rådgivande befogenheter när det gäller behandling av personuppgifter som omfattas av del 3 i dataskyddslagen från 2018. Commissioner har befogenhet att underrätta den personuppgiftsansvariga eller personuppgiftsbiträdet om en påstådd överträdelse av del 3, utfärda varningar till en registeransvarig eller ett personuppgiftsbiträde om att planerad behandling sannolikt kommer att strida mot bestämmelserna i del 3 och utfärda reprimander till en personuppgiftsansvarig eller ett personuppgiftsbiträde om behandlingen har brutit mot bestämmelserna i del 3. Dessutom får Commissioner på eget initiativ eller på begäran avge yttranden till Förenade kungarikets parlament, regeringen eller andra institutioner och organ samt till allmänheten i alla frågor som rör skyddet av personuppgifter (168).

(101) Dessutom har Commissioner befogenhet att — beordra den personuppgiftsansvariga och personuppgiftsbiträdet (och under vissa omständigheter varje annan person) att lämna nödvändig information genom ett informationsmeddelande (informationsföreläggande) (169), — genomföra utredningar och revisioner genom att lämna ett bedömningsmeddelande, vilket kan kräva att den personuppgiftsansvariga eller personuppgiftsbiträdet ger Commissioner tillträde till särskilda lokaler, inspekterar eller undersöker handlingar eller utrustning, intervjuar personer som behandlar personuppgifter på den personuppgiftsansvarigas vägnar (bedömningsföreläggande) (170), — på annat sätt få tillgång till personuppgiftsansvarigas och personuppgiftsbiträdens handlingar och tillträde till deras lokaler i enlighet med avsnitt 154 i dataskyddslagen från 2018 (befogenheter för tillträde och inspektion), — utföra korrigerande befogenheter, bland annat genom varningar och reprimander eller utfärda förelägganden genom ett verkställighetsmeddelande som kräver att personuppgiftsansvariga/personuppgiftsbiträden vidtar eller avstår från att vidta specificerade åtgärder (verkställighetsföreläggande) (171) och — utfärda administrativa sanktionsavgifter i form av ett bötesföreläggande (påföljdsföreläggande) (172).

(102) I ICO:s policy för lagstiftningsåtgärder anges under vilka omständigheter Commissioner kommer att utfärda ett meddelande om informations-, bedömnings-, verkställighets- respektive påföljdsföreläggande (173). Ett verkställighetsmeddelande kan ställa krav som Commissioner anser vara lämpliga för att avhjälpa underlåtenheten. Ett föreläggande om vite innebär att personen ska betala ett belopp som anges i meddelandet till Information Commissioner. Ett påföljdsföreläggande kan lämnas när vissa bestämmelser i dataskyddslagen från 2018 (174) inte har följts eller kan lämnas till en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har följt ett informationsföreläggande, ett bedömningsföreläggande eller ett verkställighetsföreläggande.

(103) När Information Commissioner avgör om en personuppgiftsansvarig eller ett personuppgiftsbiträde ska få ett påföljdsföreläggande och fastställa påföljdsbeloppet ska han eller hon ta hänsyn till de frågor som anges i avsnitt 155.3 i dataskyddslagen från 2018, inbegripet felets art och allvar, felets avsiktliga eller försumliga karaktär, alla åtgärder som vidtas av den personuppgiftsansvariga eller personuppgiftsbiträdet för att minska den skada som de registrerade lidit, den personuppgiftsansvarigas eller personuppgiftsbiträdets grad av ansvar (med beaktande av den personuppgiftsansvarigas eller personuppgiftsbiträdets tekniska och organisatoriska åtgärder), eventuella tidigare brister som den personuppgiftsansvariga eller personuppgiftsbiträdet har gjort sig skyldiga till, de kategorier av personuppgifter som berörs av underlåtenheten och huruvida sanktionen skulle vara effektiv, proportionell och avskräckande.

(104) Det högsta bötesbelopp som kan utdömas genom ett påföljdsföreläggande är a) 17 500 000 GBP för underlåtenhet att iaktta dataskyddsprinciperna (avsnitten 35, 36, 37, 38.1, 39.1och 40 i dataskyddslagen från 2018) transparenskrav och individuella rättigheter (avsnitten 44, 45, 46, 47, 48, 49, 52 och 53 i dataskyddslagen från 2018) och principer för internationella överföringar av personuppgifter (avsnitten 73, 75, 76, 77 eller 78 i dataskyddslagen från 2018) och b) 8 700 000 GBP i annat fall (175). När det gäller underlåtenhet att följa ett informationspåföljdsföreläggande, ett bedömningspåföljdsföreläggande eller ett verkställighetspåföljdsföreläggande är det högsta bötesbelopp som kan utdömas genom ett bötesföreläggande 17 500 000 GBP.

(105) Enligt sina senaste årsrapporter (2018–2019 (176), 2019–2020 (177)) har Information Commissioner genomfört ett antal utredningar om kriminalvårdande myndigheters behandling av personuppgifter. Till exempel genomförde Commissioner en utredning och offentliggjorde ett yttrande i oktober 2019 om brottsbekämpande myndigheters användning av ansiktsigenkänningsteknik på offentliga platser. Utredningen inriktades särskilt på användningen av kapacitet för ansiktsigenkänning inom polisen i South Wales Police och Metropolitan Police Service (MPS). Dessutom undersökte Commissioner MPS ”Gangs matrix” (178) och fann en rad allvarliga överträdelser av dataskyddslagstiftningen som sannolikt skulle undergräva allmänhetens förtroende för matrisen och användningen av uppgifterna.

(106) I november 2018 utfärdade Information Commissioner ett verkställighetspåföljdsföreläggande och därefter vidtog Metropolitan Police Service de åtgärder som krävdes för att öka säkerheten och ansvarsskyldigheten och se till att uppgifterna användes på ett proportionerligt sätt.

(107) Ett annat exempel på en nyligen genomförd verkställighetsåtgärd är de böter på 325 000 GBP som Commissioner utfärdade mot åklagarmyndigheten i maj 2018 för att ha förlorat okrypterade dvd-skivor som innehöll inspelningar av polisförhör. Dessutom genomförde Information Commissioner utredningar av bredare frågor, till exempel under första halvåret 2020 om användningen av mobiltelefonavlyssning för polisändamål och polisens behandling av offrens uppgifter.

(108) Utöver de verkställande befogenheterna för Information Commissioner utgör vissa överträdelser av dataskyddslagstiftningen brott och kan därför bli föremål för straffrättsliga påföljder (avsnitt 196 i dataskyddslagen från 2018). Detta gäller till exempel för inhämtande eller utlämnande av personuppgifter utan den personuppgiftsansvarigas samtycke och för utlämnande av personuppgifter till en annan person utan den personuppgiftsansvarigas samtycke (179), återidentifierande information som utgörs av avidentifierade personuppgifter utan samtycke från den personuppgiftsansvariga som ansvarar för avidentifieringen av personuppgifterna (180), avsiktligen hindra Commissioner från att utöva sina befogenheter när det gäller kontroll av personuppgifter i enlighet med internationella skyldigheter (181), lämna oriktiga uppgifter som svar på ett informationspåföljdsföreläggande eller förstöra information i samband med informations- och bedömningspåföljdsförelägganden (182).

(109) Information Commissioner har också en skyldighet enligt avsnitt 139 i dataskyddslagen från 2018 att för varje kammare lägga fram en allmän rapport om utövandet av sina uppgifter enligt lagen (183).

2.5.2 Tillsyn över rättsväsendet

(110) Tillsynen över domstolarnas och rättsväsendets behandling av personuppgifter är dubbel. Om en innehavare av ett domarämbete eller en domstol inte agerar inom ramen för sin dömande verksamhet ska tillsynen ombesörjas av Information Commissioner. Om den personuppgiftsansvariga agerar inom ramen för sin dömande verksamhet kan ICO inte utöva sina tillsynsfunktioner (184) utan tillsynen utförs av särskilda organ. Detta återspeglar tillvägagångssättet i artikel 32 i direktiv (EU) 2016/680.

(111) I synnerhet i det andra scenariot, för domstolarna i England och Wales samt förstainstansdomstolen och Upper Tribunal i England och Wales, tillhandahålls sådan tillsyn av Judicial Data Protection Panel (185). Lord Chief Justice och Chief President of Tribunals har dessutom utfärdat ett meddelande om skydd av personuppgifter (186) som beskriver hur domstolarna i England och Wales behandlar personuppgifter för en rättslig funktion. Ett liknande meddelande har utfärdats av de nordirländska (187) och skotska domstolarna (188).

(112) I Nordirland har dessutom Lord Chief Justice of Northern Ireland utsett en domare vid High Court som datatillsynsdomare (Data Supervisory Judge, DSJ) (189). De har också gett vägledning till det nordirländska domstolsväsendet om vad som ska göras i händelse av förlust eller potentiell förlust av uppgifter och förfarandet för att hantera eventuella problem som uppstår till följd av detta (190).

(113) I Skottland har Lord President utsett en datatillsynsdomare som ska utreda eventuella klagomål med hänvisning till dataskydd. Detta anges i de regler för klagomål till domstol som motsvarar dem som gäller för England och Wales (191).

(114) I högsta domstolen utses slutligen en av högsta domstolens domare för att övervaka dataskyddet.

2.5.3 Prövningsmöjligheter

(115) För att säkerställa adekvat skydd, och i synnerhet tillämpningen av individuella rättigheter, bör den registrerade erbjudas möjligheten till faktisk administrativ och rättslig prövning, inbegripet ersättning för skador.

(116) För det första har den registrerade rätt att lämna in ett klagomål till Information Commissioner om den registrerade anser att det i samband med personuppgifter som rör honom eller henne föreligger en överträdelse av del 3 i dataskyddslagen från 2018 (192). Enligt skälen (100) och (109) har Information Commissioner befogenhet att bedöma den personuppgiftsansvarigas och personuppgiftsbiträdets efterlevnad av dataskyddslagen från 2018, kräva att de vidtar eller avstår från att vidta nödvändiga åtgärder vid bristande efterlevnad och utdöma sanktionsavgifter.

(117) För det andra föreskriver dataskyddslagen från 2018 en rätt till rättsmedel mot Information Commissioner. Om Commissioner underlåter att ”gå vidare” (193) med ett klagomål från den registrerade har klaganden tillgång till rättsmedel eftersom de kan vända sig till en förstainstansdomstol (194) för att beordra Commissioner att vidta lämpliga åtgärder för att besvara klagomålet eller informera den klagande om hur ärendet fortskrider (195). Dessutom kan varje person som får något av ovanstående påföljdsförelägganden (informations-, bedömnings-, verkställighets- eller påföljdspåföljdsföreläggande) från Commissioner överklaga till en förstainstansdomstol. Om tribunalen anser att beslutet från Commissioner inte är förenligt med lagen eller att Information Commissioner borde ha utövat sitt utrymme för skönsmässig bedömning på ett annat sätt, ska tribunalen bifalla överklagandet eller ersätta ett annat föreläggande eller beslut som Information Commissioner skulle ha kunnat lämna eller fatta (196).

(118) För det tredje kan enskilda få rättslig prövning mot personuppgiftsansvariga och personuppgiftsbiträden direkt vid domstol enligt avsnitt 167 i dataskyddslagen från 2018. Om en domstol på begäran av en registrerad är övertygad om att det har skett en överträdelse av den registrerades rättigheter enligt dataskyddslagstiftningen får domstolen förelägga den personuppgiftsansvariga att vidta de åtgärder som anges i beslutet eller att avstå från att vidta de åtgärder som anges i beslutet. Enligt avsnitt 169 i dataskyddslagen från 2018 har dessutom varje person som lider skada till följd av en överträdelse av ett krav i dataskyddslagstiftningen (inklusive del 3 i dataskyddslagen från 2018), med undantag för Förenade kungarikets dataskyddsmyndighet, rätt till ersättning för denna skada från den personuppgiftsansvariga eller personuppgiftsbiträdet, förutom om den personuppgiftsansvariga eller personuppgiftsbiträdet bevisar att den personuppgiftsansvariga eller personuppgiftsbiträdet inte på något sätt är ansvarig för den händelse som orsakade skadan. Med skada avses både ekonomisk förlust och skada som inte medför ekonomiska förluster, till exempel nödläge.

(119) För det fjärde, i den mån som en person anser att hans eller hennes rättigheter, inbegripet rätten till integritet och dataskydd, har kränkts av offentliga myndigheter kan de få sin sak prövad av domstolar i Förenade kungariket i enlighet med Human Rights Act 1998. De personuppgiftsansvariga enligt del 3 i dataskyddslagen från 2018, dvs. de behöriga myndigheterna, är alltid offentliga myndigheter i den mening som avses i Human Rights Act 1998. En enskild som hävdar att en offentlig myndighet har agerat (eller avser att agera) på ett sätt som är oförenligt med en rättighet enligt konventionen, och följaktligen är olagligt enligt avsnitt 6.1 i Human Rights Act 1998, kan väcka talan mot myndigheten vid behörig domstol eller åberopa de berörda rättigheterna i ett rättsligt förfarande när han eller hon är (eller skulle bli) offer för den olagliga handlingen (197).

(120) Om domstolen finner att en åtgärd som vidtas av en offentlig myndighet är rättsstridig kan den bevilja en sådan befrielse eller ett sådant rättsmedel eller fatta ett sådant beslut inom ramen för sina befogenheter som den anser vara skäligt och lämpligt (198). Domstolen kan också förklara att en primärrättslig bestämmelse är oförenlig med en rättighet som garanteras i Europakonventionen.

(121) Slutligen kan en enskild, efter att ha uttömt nationella rättsmedel, vända sig till Europeiska domstolen för de mänskliga rättigheterna för kränkningar av de rättigheter som garanteras enligt Europakonventionen.

2.6 Fortsatt delning

(122) Enligt Förenade kungarikets lag får en brottsbekämpande myndighet dela uppgifter med andra myndigheter i Förenade kungariket för andra ändamål än de för vilka de ursprungligen samlades in (så kallad vidaredelning) på vissa villkor.

(123) I likhet med vad som föreskrivs i artikel 4.2 i direktiv (EU) 2016/680 tillåter avsnitt 36.3 i dataskyddslagen från 2018 att personuppgifter som samlats in av en behörig myndighet för brottsbekämpande ändamål får behandlas ytterligare (antingen av den ursprungliga personuppgiftsansvariga eller av en annan registeransvarig) för andra brottsbekämpande ändamål, förutsatt att den personuppgiftsansvariga enligt lag är bemyndigad att behandla uppgifter för det andra ändamålet och att behandlingen är nödvändig och proportionell (199). I detta fall gäller alla skyddsåtgärder som föreskrivs i del 3 i dataskyddslagen från 2018 och som analyserats ovan för den behandling som utförs av den mottagande myndigheten.

(124) I Förenade kungarikets rättsordning tillåter olika lagar uttryckligen vidaredelning. I synnerhet i) 2017 års lag om den digitala ekonomin tillåter delning mellan offentliga myndigheter för flera ändamål, till exempel vid bedrägeri mot den offentliga sektorn som skulle innebära förlust eller risk för förlust för en offentlig myndighet (200) eller vid en skuld till en offentlig myndighet eller till staten (201), ii) Crime and Courts Act 2013 tillåter utbyte av information med National Crime Agency (NCA) (202) för bekämpning, utredning och lagföring av grov och organiserad brottslighet, iii) enligt Serious Crime Act 2007 får offentliga myndigheter lämna ut information till bedrägeribekämpningsorganisationer för att förebygga bedrägerier (203).

(125) I dessa lagar föreskrivs uttryckligen att informationsutbytet bör ske i enlighet med bestämmelserna i dataskyddslagen från 2018. Dessutom har polisakademin utfärdat en auktoriserad yrkespraxis för informationsutbyte (204) för att hjälpa polisen att uppfylla sina dataskyddsskyldigheter enligt den brittiska dataskyddsförordningen, dataskyddslagen och Human Rights Act 1998. Naturligtvis kan det bli föremål för rättslig prövning av huruvida utbytet överensstämmer med den tillämpliga rättsliga ramen för dataskydd (205).

(126) I likhet med vad som anges i artikel 9 i direktiv (EU) 2016/680 föreskriver dataskyddslagen från 2018 dessutom att personuppgifter som samlas in för brottsbekämpningsändamål får behandlas för ett ändamål som inte är brottsbekämpningssyfte när behandlingen är tillåten enligt lag (206). Denna typ av delning omfattar två scenarier 1) när en brottsbekämpande myndighet delar uppgifter med en annan icke-straffrättslig brottsbekämpande myndighet än en underrättelsetjänst (t.ex. en finans- eller skattemyndighet, en konkurrensmyndighet, en ungdomsmyndighet), 2) när en brottsbekämpande myndighet delar uppgifter med en underrättelsetjänst. I det första scenariot kommer behandlingen av personuppgifter att omfattas av den brittiska dataskyddsförordningen och av del 2 i dataskyddslagen från 2018. Enligt det beslut som antagits enligt förordning (EU) 2016/679 ger de skyddsåtgärder som föreskrivs i Förenade kungarikets allmänna dataskyddsförordning och del 2 i dataskyddslagen från 2018 en skyddsnivå som i allt väsentligt är likvärdig med den som ges inom unionen (207).

(127) I det andra scenariot när det gäller utbyte av uppgifter som samlats in av en brottsbekämpande myndighet med en underrättelsetjänst för ändamål som rör nationell säkerhet är den rättsliga grunden för sådant utbyte Counter Terrorism Act 2008 (208). Enligt lagen om bekämpande av terrorism får var och en lämna information till vilken underrättelsetjänst som helst i syfte att fullgöra någon av dess funktioner, inbegripet ”nationell säkerhet”.

(128) När det gäller villkoren för utbyte av uppgifter för nationella säkerhetsändamål begränsar Intelligence Services Act och Security Services Act underrättelsetjänsternas möjligheter att inhämta uppgifter till vad som är nödvändigt för att de ska kunna fullgöra sina lagstadgade uppgifter. Behöriga myndigheter som omfattas av del 3 i dataskyddslagen från 2018 och som vill utbyta uppgifter med underrättelsetjänsterna kommer att behöva ta hänsyn till ett antal faktorer/begränsningar utöver de lagstadgade uppgifterna för de organ som anges i lagen om underrättelsetjänster och lagen om säkerhetstjänster (209). I avsnitt 20 i Counter Terrorism Act 2008 klargörs att all datadelning enligt avsnitt 19 i Counter Terrorism Act 2008 fortfarande måste vara förenlig med dataskyddslagstiftningen; Detta innebär att alla begränsningar och krav i dataskyddslagen från 2018 gäller. Dessutom är brottsbekämpande myndigheter och underrättelsetjänster offentliga myndigheter i den mening som avses i Human Rights Act 1998 och måste därför se till att de agerar i enlighet med de rättigheter som garanteras i Europakonventionen, inbegripet artikel 8. Med ord innebär dessa krav att all datadelning mellan brottsbekämpande organ och underrättelsetjänster ska vara förenlig med dataskyddslagstiftningen och Europakonventionen.

(129) Underrättelsetjänsters behandling av personuppgifter som mottagits eller erhållits från brottsbekämpande myndigheter för ändamål som rör nationell säkerhet omfattas av ett antal villkor och skyddsåtgärder (210). Del 4 i dataskyddslagen från 2018 gäller all behandling som utförs av underrättelsetjänsterna eller för deras räkning. Där fastställs de viktigaste principerna för dataskydd (laglighet, rättvisa och öppenhet (211), ändamålsbegränsning (212), uppgiftsminimering (213), precision (214), lagringsbegränsningar (215) och säkerhet (216), villkor för behandling av särskilda kategorier av uppgifter (217), bestämmelser om registrerades rättigheter (218), krav på inbyggt dataskydd (219) och internationella överföringar av personuppgifter (220).

(130) Samtidigt föreskrivs i avsnitt 110 i dataskyddslagen från 2018 ett undantag från de specificerade bestämmelserna i del 4 i dataskyddslagen från 2018 när ett sådant undantag krävs för att skydda den nationella säkerheten. I avsnitt 110.2 i dataskyddslagen från 2018 förtecknas de bestämmelser från vilka undantag är tillåtna. Detta omfattar dataskyddsprinciperna (med undantag för legalitetsprincipen), den registrerades rättigheter, skyldigheten att informera Information Commissioner om ett personuppgiftsbrott, inspektionsbefogenheter för Information Commissioner i enlighet med internationella skyldigheter, vissa av verkställighetsbefogenheterna för Information Commissioner, bestämmelser som gör vissa dataskyddsbrott till lagbrott och bestämmelser om särskilda ändamål för behandling, till exempel journalistiska, akademiska eller konstnärliga ändamål. Detta undantag kan grundas på en analys från fall till fall (221). Enligt Förenade kungarikets myndigheters förklaring, som bekräftas av rättspraxis från domstolar i Förenade kungariket, måste den ”personuppgiftsansvariga a) beakta de faktiska konsekvenserna för den nationella säkerheten eller försvaret om de var tvungna att följa den särskilda dataskyddsbestämmelsen och om de rimligen kunde följa den vanliga regeln utan att påverka den nationella säkerheten eller det nationella försvaret” (222). Huruvida undantaget har använts på lämpligt sätt omfattas av den tillsyn som utövas av ICO (223).

(131) När det gäller möjligheten att begränsa någon av de ovannämnda rättigheterna till skydd av ”nationell säkerhet” förskrivs i avsnitt 79 i dataskyddslagen från 2018 att en personuppgiftsansvarig har möjlighet att ansöka om ett intyg som undertecknats av en minister eller Attorney General och intygar att en begränsning av sådana rättigheter är, eller har varit, en nödvändig och proportionell åtgärd för att skydda den nationella säkerheten (224). Förenade kungarikets regering har utfärdat riktlinjer om nationella säkerhetscertifikat enligt dataskyddslagen från 2018 där det särskilt framhålls att varje begränsning av registrerades rättigheter för att skydda den nationella säkerheten måste vara proportionerlig och nödvändig (225). Samtliga nationella säkerhetscertifikat måste offentliggöras på ICO:s webbplats (226).

(132) Intyget bör gälla för en bestämd period på högst fem år så att det regelbundet ses över av den verkställande makten (227). I ett certifikat ska det anges vilka personuppgifter eller kategorier av personuppgifter som omfattas av undantaget samt vilka bestämmelser i dataskyddslagen från 2018 som undantaget gäller (228).

(133) Det är viktigt att lägga märke till att de nationella säkerhetscertifikaten inte medger ytterligare skäl att begränsa rätten till dataskydd med hänvisning till den nationella säkerheten. Med andra ord kan den personuppgiftsansvariga eller personuppgiftsbiträdet endast förlita sig på ett certifikat när de har konstaterat att det är nödvändigt att tillämpa undantaget för nationell säkerhet, vilket måste ske från fall till fall. Även om ett nationellt säkerhetsintyg är tillämpligt på ärendet i fråga kan ICO undersöka om det var motiverat att åberopa undantaget för nationell säkerhet i ett visst fall (229).

(134) Varje person som direkt berörs av utfärdandet av intyget kan överklaga intyget till Upper Tribunal (230) eller (231), om certifikatet identifierar uppgifter genom en allmän beskrivning, bestrida tillämpningen av intyget på specifika uppgifter (232).

(135) Skiljedomstolen kommer att ompröva beslutet att utfärda ett certifikat och besluta om det fanns rimliga skäl att utfärda intyget (233). Den kan behandla ett stort antal frågor, bland annat nödvändighet, proportionalitet och laglighet, med beaktande av konsekvenserna för de registrerades rättigheter och avvägningen av behovet av att skydda den nationella säkerheten. Till följd av detta kan domstolen fastställa att intyget inte är tillämpligt på specifika personuppgifter som är föremål för överklagandet (234).

(136) En annan uppsättning möjliga begränsningar gäller dem som enligt tillägg 11 till dataskyddslagen från 2018 är tillämpliga på vissa bestämmelser i del 4 i dataskyddslagen från 2018 (235) för att skydda andra viktiga mål av allmänt intresse eller skyddade intressen, till exempel parlamentariska privilegier, rätten till förtrolig kommunikation mellan advokat och klient, genomförandet av rättsliga förfaranden eller de väpnade styrkornas stridsförmåga. Tillämpningen av dessa bestämmelser är antingen undantagen för vissa kategorier av information (”typbaserad”) eller undantagen i den mån tillämpningen av dessa bestämmelser sannolikt skulle skada det skyddade intresset (”skadebaserat”) (236). Fördomsbaserade undantag kan endast åberopas i den mån tillämpningen av den angivna dataskyddsbestämmelsen sannolikt skulle skada det specifika intresset i fråga. Användning av ett undantag måste därför alltid motiveras med hänvisning till den relevanta skada som sannolikt skulle uppstå i det enskilda fallet. Klassbaserade undantag kan endast åberopas med avseende på den specifika, snävt definierade informationskategori för vilken undantaget beviljas. Dessa liknar varandra i syfte och verkan med flera av undantagen i den brittiska dataskyddsförordningen (enligt tillägg 2 (Schedule 2) i dataskyddslagen från 2018) som i sin tur återspeglar undantagen i artikel 23 i dataskyddsförordningen.

(137) Av ovanstående följer att tillämplig lagstiftning i Förenade kungariket omfattar begränsningar och villkor, som också har tolkas så av domstolarna och Information Commission, för att säkerställa att dessa undantag och begränsningar håller sig inom gränserna för vad som är nödvändigt och proportionerligt för att skydda den nationella säkerheten.

(138) Underrättelsetjänsternas behandling av pe