text: Hänvisningar till ”medlemsstater” i detta dokument bör förstås som hänvisningar till ”medlemsstater i EES”. I dessa situationer ingår inte scenarier där

text: Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga

text: påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF tillämpas. När det gäller gemensamt personuppgiftsansvariga, särskilt om de kommer från olika medlemsstater, bör begränsningar som är tillämpliga i enlighet med

text: artikel 23

text: övervägas och beaktas så att de gemensamt personuppgiftsansvariga klargör sina respektive roller i arrangemanget. Från och med nu kommer det i riktlinjerna endast att hänvisas till ”personuppgiftsansvariga”, även om rekommendationerna i tillämpliga fall även riktar sig till personuppgiftsbiträden. En uttömmande förteckning över dessa intressen återfinns i

text: artikel 23.1 i den allmänna dataskyddsförordningen

text: Det finns vissa rättigheter som inte kan begränsas enligt

text: artikel 23 i den allmänna dataskyddsförordningen

text: , såsom rätten att lämna in klagomål till en tillsynsmyndighet (

text: artikel 77 i den allmänna dataskyddsförordningen

text: Den typ av lagstiftningsåtgärder som övervägs måste vara i linje med EU-rätten eller nationell rätt. Beroende på hur inskränkande begränsningen är kan det krävas en särskild lagstiftningsåtgärd, med beaktande av normnivån, på nationell nivå. Se framför allt Europadomstolen, 14 september 2010, Sanoma Uitgevers B.V./Nederländerna, EC:ECHR:2010:0914JUD003822403, punkt 83: När det gäller lydelserna ”med stöd av lag” och ”föreskrivna i lag” i artiklarna 8–11 i konventionen konstaterar domstolen att den alltid har tolkat begreppet ”lag” i materiell, snarare än formell, bemärkelse; den har omfattat både skriven rätt, vilket innefattar såväl texter med lägre rang än lagstiftning som regleringsakter som antagits av en yrkessammanslutning, genom delegation från lagstiftaren, inom ramen för dess självständiga normativa befogenhet, och oskriven rätt. ”Lag” ska förstås som att det omfattar både skriftlig lagtext och rätt som utarbetats av domstolar. Sammanfattningsvis är ”lagen” den gällande bestämmelsen eftersom de behöriga domstolarna har tolkat den. När det gäller begreppet ”föreskriven i lag” bör de kriterier som utarbetats av Europadomstolen användas i enlighet med generaladvokatens förslag till avgörande i de förenade målen

text: och

text: , Tele2 Sverige AB, ECLI:EU:C:2016:572, punkterna 137– 154 eller generaladvokatens förslag till avgörande i

text: mål C-70/10

text: , Scarlet Extended, ECLI:EU:C:2011:255, punkt 99.

text: Se även punkt 46 nedan.

text: Skäl 19

text: i

text: den allmänna dataskyddsförordningen

text: . Domstolens yttrande 1/15 (stora avdelningen) om utkastet till PNR-avtal mellan Kanada och Europeiska unionen, 26 juli 2017, ECLI:EU:C:2017:592.

text: Skäl 73

text: i

text: den allmänna dataskyddsförordningen

text: Skäl 73

text: i

text: den allmänna dataskyddsförordningen

text: . Detta innebär att den registrerade kan begära att den behöriga tillsynsmyndigheten genomför nödvändiga kontroller av information som rör den registrerade. Sådan indirekt tillgång kan till exempel ges för att skydda statens säkerhet, försvaret eller den allmänna säkerheten. Tillsynsmyndigheten kan därefter få tillgång till och kontrollera informationen och i förekommande fall begära rättelse eller radering av de personuppgifter som behandlas.

text: Se riktlinjerna från Europeiska datatillsynsmannen – Assessing the necessity of measures that limit the fundamental right to the protection of personal data:A Toolkit, , EDPS Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data och The EDPS quick-guide to necessity and proportionality.. Inom ramen för tillsynsmyndigheternas uppdrag och för att säkerställa rättssäkerheten bör proportionalitetsoch behovsprövningen dokumenteras. Tillsynsmyndigheterna kan begära ytterligare dokumentation. Se domstolens dom av den 16 december 2008 i

text: mål C-73/07

text: , Tietosuojavaltuutettu/Satakunnan Markkinapörssi Oy och Satamedia Oy, ECLI:EU:C:2008:727, punkt 56. Se Europadomstolen, Szabo och Vissy/Ungern, 12 januari 2016, punkt 73.

text: Domstolens dom av den 6 oktober 2020 i de förenade målen La Quadrature du Net m.fl.,

text: och

text: , ECLI:EU:C:2020:791, punkt 210. När det till exempel gäller lagring av uppgifter som utförs av leverantörer som tillhandahåller allmänheten tillgång till internetkommunikationstjänster och värdtjänstleverantörer konstaterade EU-domstolen följande i punkt 212: ”Artikel 23.1 i [dataskyddsförordningen], jämförd med artiklarna

text: och

text: i stadgan, ska tolkas så, att den utgör hinder för en nationell lagstiftning enligt vilken leverantörer som tillhandahåller allmänheten tillgång till internetkommunikationstjänster och värdtjänstleverantörer är skyldiga att generellt och odifferentierat lagra bland annat personuppgifter förbundna med dessa tjänster.” Domstolens dom av den 6 oktober 2020 i de förenade målen La Quadrature du Net m.fl.,

text: och

text: , ECLI:EU:C:2020:791, punkt 209.

text: När så är möjligt kan den personuppgiftsansvarige gå ett steg längre och ange de specifika datafält på vilka begränsningen av rättigheter kan tillämpas, såsom preliminära resultat av en utredning, ett beslut om att inleda en utredning osv.

text: Se Europeiska dataskyddsstyrelsens

text: riktlinjer 4/2019

text: om

text: artikel 25

text: Inbyggt dataskydd och dataskydd som standard.. Se även Artikel 29-arbetsgruppens riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679,

text: WP 248

text: rev. 01, som godkändes av Europeiska dataskyddsstyrelsen den 25 maj 2018. Människans värdighet är en rättighet som skyddas av

text: artikel 1 i stadgan

text: . Artiklarna

text: och

text: i stadgan.

text: Syftet med motiveringen är att förklara skälen och bakgrunden till en lagstiftningsåtgärd, på grundval av de olika etapperna i den förberedande processen. Se

text: artikel 35.10 i den allmänna dataskyddsförordningen

text: . För mer information, se domstolens dom av den 17 juli 2014, YS/Minister voor Immigratie, Integratie en Asiel och Minister voor Immigratie, Integratie en Asiel/M och S, målen

text: och

text: , ECLI:EU:C:2014:2081, punkterna 45 och 46 och domen av den 20 december 2017, Novak,

text: mål C-434/16

text: , ECLI:EU:C:2017:994, punkt 56.

text: Domstolens dom av den 4 december 2018,

text: mål C-378/17

text: , ECLI:EU:C:2018:979, punkt 38.

identifier: Riktlinjer 10/2020

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Riktlinjer 10/2020 om begränsningar enligt artikel 23 i den allmänna dataskyddsförordningen

version: Final version

serie: riktlinjer

text: Versionstabell Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

type: rubrik

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (den allmänna dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

type: stycke

text: med beaktande av artiklarna 12 och 22 i arbetsordningen.

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE.

text: 1 INLEDNING

text: 1. Syftet med detta dokument är att ge vägledning om tillämpningen av

text: . Dessa riktlinjer innehåller en grundlig analys av vilka kriterier som gäller för att få tillämpa begränsningar, vilka bedömningar som måste göras, hur registrerade kan utöva sina rättigheter när en begränsning har upphävts och följderna om

text: överträds.

text: 2. Skyddet av fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Genom

text: artikel 16.2 i fördraget om Europeiska unionens funktionssätt

text: ges Europaparlamentet och rådet mandat att fastställa bestämmelser om skydd av personuppgifter samt om den fria rörligheten för sådana uppgifter. Dataskyddsförordningen skyddar fysiska personers rättigheter och friheter, särskilt deras rätt till dataskydd. Dataskyddet kan inte säkerställas om inte de rättigheter och principer som fastställs i den allmänna dataskyddsförordningen efterlevs (artiklarna

text: och

text: artikel 34

text: samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna

text: i den allmänna dataskyddsförordningen). Alla dessa rättigheter och skyldigheter är centrala för den grundläggande rätten till dataskydd, och tillämpningen av dem bör vara den allmänna regeln. Eventuella begränsningar av den grundläggande rätten till dataskydd måste ske i enlighet med

text: artikel 52 i Europeiska unionens stadga om de grundläggande rättigheterna

text: (stadgan).

text: 3. Det är mot denna bakgrund som

text: bör läsas och tolkas. Denna bestämmelse kallas för ”begränsningar”. Enligt den får tillämpningen av vissa bestämmelser i förordningen, inom ramen för unionsrätten eller medlemsstaternas nationella rätt, kopplade till de registrerades rättigheter och personuppgiftsansvarigas skyldigheter begränsas i de situationer som där anges. Begränsningar bör ses som undantag från den allmänna regeln som gör det möjligt att utöva rättigheter och ålägga skyldigheter enligt den allmänna dataskyddsförordningen . Begränsningar bör därför tolkas snävt och bör endast tillämpas under särskilda omständigheter och endast när vissa villkor är uppfyllda.

text: 4. Inte ens i undantagsfall kan skyddet av personuppgifter begränsas helt och hållet. Det måste upprätthållas vid alla nödåtgärder, i enlighet med

text: , och därmed bidra till respekten för de övergripande värderingar om demokrati, rättsstatsprincipen och grundläggande rättigheter som unionen bygger på; alla åtgärder som medlemsstaterna vidtar ska ske med respekt för de allmänna rättsprinciperna och andemeningen i de grundläggande rättigheterna och friheterna; åtgärderna får inte vara oåterkalleliga, och personuppgiftsansvariga och personuppgiftsbiträden ska fortsätta att följa bestämmelserna om dataskydd.

text: 5. Om unionsrätten eller medlemsstaternas nationella rätt tillåter begränsningar av de registrerades rättigheter eller av de personuppgiftsansvarigas (inbegripet gemensamt personuppgiftsansvarigas ) och personuppgiftsbiträdenas skyldigheter bör det under alla omständigheter noteras att principen om ansvarsskyldighet, i enlighet med

text: artikel 5.2 i den allmänna dataskyddsförordningen

text: , fortfarande är tillämplig. Detta innebär att personuppgiftsansvariga ansvarar för och ska kunna visa de registrerade att de följer EU:s dataskyddsram, inklusive principerna för behandling av deras personuppgifter.

text: 6. Om EU-lagstiftare eller nationella lagstiftare fastställer begränsningar på grundval av

text: ska de säkerställa att de uppfyller kraven i

text: artikel 52.1 i stadgan

text: , och i synnerhet genomföra en proportionalitetsbedömning så att begränsningarna inte omfattar mer än vad som är absolut nödvändigt.

text: 2 INNEBÖRDEN AV BEGRÄNSNINGAR

text: 7. Begreppet begränsningar definieras inte i den allmänna dataskyddsförordningen. I

text: artikel 23

text: och

text: skäl 73

text: i

text: den allmänna dataskyddsförordningen

text: anges endast på vilka villkor begränsningar får tillämpas.

text: 8. I dessa riktlinjer definieras begreppet begränsningar som en begränsning av tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna

text: och

text: i den allmänna dataskyddsförordningen samt motsvarande bestämmelser i artikel 5 i enlighet med

text: . En begränsning av en enskild persons rättighet måste säkerställa viktiga mål, till exempel skyddet av andras rättigheter och friheter, eller unionens eller en medlemsstats viktiga mål av generellt allmänt intresse vilka förtecknas i

text: . Begränsningar av de registrerades rättigheter får därför endast förekomma när de angivna intressena står på spel och dessa begränsningar syftar till att säkerställa sådana intressen.

text: 9. Följaktligen måste målen med begränsningen vara tydliga. För att en begränsning ska vara laglig ska den föreskrivas i en lagstiftningsåtgärd, avse ett begränsat antal rättigheter hos registrerade och/eller skyldigheter hos personuppgiftsansvariga som anges i

text: , respektera andemeningen i de berörda grundläggande rättigheterna och friheterna, utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle och säkerställa ett av de mål som anges i

text: enligt beskrivningen nedan.

text: 10. Enligt vad som nämns i

text: skäl 73

text: i

text: den allmänna dataskyddsförordningen

text: bör begränsningar dessutom ske i enlighet med kraven i stadgan och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna.

text: 11. Utöver de begränsningar som avses i

text: artikel 23

text: innehåller dataskyddsförordningen även bestämmelser om särskilda behandlingssituationer enligt kapitel IX, där medlemsstaterna i lag får fastställa specifika åtgärder som påverkar registrerades rättigheter, såsom undantag eller avvikelser (till exempel artikel

text: eller

text: i den allmänna dataskyddsförordningen). Sådana fall kommer emellertid inte att behandlas i dessa riktlinjer.

text: 12. Begränsningar av tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna

text: och

text: artikel 34

text: får anta olika former, men de får aldrig gå så långt att alla rättigheter upphävs. I de lagstiftningsåtgärder som medför begränsningar enligt

text: får det också föreskrivas att utövandet av en rättighet skjuts upp, att en rättighet delvis utövas eller avgränsas till vissa kategorier av uppgifter eller att en rättighet kan utövas indirekt genom en oberoende tillsynsmyndighet.

text: 3 KRAV I ARTIKEL 23.1 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

text: Artikel 23.1 i den allmänna dataskyddsförordningen

text: innehåller ett antal krav som beskrivs nedan. Alla dessa krav måste uppfyllas för att en åtgärd lagligen ska kunna åberopas.

text: 3.1 Respekt för andemeningen i de grundläggande rättigheterna och friheterna

text: 14. Ett av huvudmålen med dataskyddslagstiftningen är att de registrerade ska få mer kontroll över sina personuppgifter. Eventuella begränsningar ska ske med respekt för andemeningen i den rättighet som begränsas. Detta innebär att begränsningar som är omfattande och inkräktande i den mån de fråntar en grundläggande rättighet dess grundinnehåll inte kan motiveras. Ett allmänt upphävande av registrerades rättigheter med avseende på all eller viss behandling av personuppgifter eller med avseende på specifika personuppgiftsansvariga skulle under alla omständigheter inte motsvara andemeningen i den grundläggande rätt till skydd av personuppgifter, som fastställs i stadgan. Om andemeningen i rätten äventyras ska begränsningen anses vara olaglig, utan att någon ytterligare bedömning krävs om huruvida den tjänar ett mål av generellt intresse eller uppfyller behovs- och proportionalitetskriterierna.

text: 15. För att garantera denna kontroll har de registrerade ett antal rättigheter inom rätten till skydd av personuppgifter och den personuppgiftsansvarige har ett antal skyldigheter gentemot den registrerade, enligt artiklarna

text: och

text: artikel 34 i den allmänna dataskyddsförordningen

text: , samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22 i samma förordning. Det är mot denna bakgrund som

text: bör läsas och tolkas.

text: 3.2 Lagstiftningsåtgärder i vilka begränsningar fastställs och behovet av förutsägbarhet (skäl 41 och EU-domstolens rättspraxis)

text: 16. Kravet på en lagstiftningsåtgärd innebär att personuppgiftsansvariga endast kan åberopa en begränsning enligt

text: om denna begränsning har fastställts i unionsrätten eller medlemsstaternas nationella rätt. Utan motsvarande lagstiftningsåtgärd kan den personuppgiftsansvarige inte direkt åberopa de mål som anges i

text: . I

text: skäl 41

text: i

text: den allmänna dataskyddsförordningen

text: anges följande: ”När det i denna förordning hänvisas till en rättslig grund eller lagstiftningsåtgärd, innebär detta inte nödvändigtvis en lagstiftningsakt antagen av ett parlament, utan att detta påverkar krav som uppställs i den konstitutionella ordningen i den berörda medlemsstaten. En sådan rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol [...] och Europeiska domstolen för de mänskliga rättigheterna” .

text: 17. Enligt

text: artikel 52.1 i stadgan

text: ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan ”vara föreskriven i lag”. Detta överensstämmer med uttrycket ”med stöd av lag” i artikel 8.2 i den europeiska konventionen om skydd för de mänskliga rättigheterna , som inte bara innebär efterlevnad av en nationell lag, utan även avser vilka egenskaper den lagen ska ha utan att det påverkar lagens art, vilket innebär att den måste vara förenlig med rättsstatsprincipen. I synnerhet måste den nationella lagen vara tillräckligt tydlig för att ge enskilda personer tillräckliga upplysningar om under vilka omständigheter och på vilka villkor personuppgiftsansvariga har befogenhet att tillämpa sådana begränsningar. Samma strikta standard bör tillämpas på alla begränsningar som medlemsstaterna skulle kunna införa. I linje med dataskyddsförordningen och rättspraxis från Europeiska unionens domstol (EU-domstolen) och Europeiska domstolen för de mänskliga rättigheterna (Europadomstolen) är det verkligen viktigt att lagstiftningsåtgärder som syftar till att begränsa tillämpningsområdet för registrerades rättigheter eller personuppgiftsansvarigas skyldigheter kan förutsägas av de registrerade.

text: 18. Alla lagstiftningsåtgärder måste under alla omständigheter anpassas till det eftersträvade målet och uppfylla kriteriet om förutsägbarhet, men en lagstiftningsåtgärd med bestämmelser om tillämpningen av begränsningar enligt

text: behöver inte alltid vara tidsbegränsad eller kopplad till en viss period. a. I vissa fall har begränsningen ingen specifik tidsram eftersom det mål som begränsningen ska säkerställa genom lagstiftningsåtgärden i sig inte är tidsbegränsat. Mot bakgrund av behovs- och proportionalitetsprinciperna är det nödvändigt att se till att sådana lagstiftningsåtgärder avser ett mål med begränsningen som ska säkerställas fortlöpande eller permanent i ett demokratiskt samhälle. En lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna

text: och

text: artikel 34

text: för att säkerställa skyddet av rättsväsendets oberoende och rättsliga åtgärder kan till exempel anses uppfylla ett fortlöpande mål i ett demokratiskt samhälle och därmed inte vara tidsbegränsad. b. I andra fall är det mål som begränsningen ska säkerställa i sig tidsbegränsat, och lagstiftningsåtgärden bör då medföra en tidsbegränsning för att uppfylla kriteriet om förutsägbarhet. Om begränsningar till exempel antas vid undantagstillstånd för att skydda folkhälsan anser Europeiska dataskyddsstyrelsen att begränsningar som införts under en tidsperiod som inte är exakt begränsad inte uppfyller kriteriet om förutsägbarhet, även när sådana begränsningar tillämpas retroaktivt eller omfattas av odefinierade villkor .

text: 19. Denna koppling mellan de planerade begränsningarna och det eftersträvade målet bör tydligt fastställas och lyftas fram i den berörda lagstiftningsåtgärden eller i ytterligare kompletterande dokument. Enbart förekomsten av en pandemi är till exempel inte ett tillräckligt skäl för att föreskriva någon form av begränsning av registrerades rättigheter, utan varje begränsning ska tydligt bidra till att säkerställa ett av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse.

text: 3.3 Målen med begränsningarna

text: 20. För att anta en lagstiftningsåtgärd för begränsningar och för att tillämpa en begränsning i ett konkret fall måste ett eller flera av nedanstående villkor, som anges i

text: , vara uppfyllda. Denna förteckning är uttömmande, vilket innebär att begränsningar inte kan genomföras på några andra villkor än de som anges nedan.

text: 21. Kopplingen mellan de planerade begränsningarna och det eftersträvade målet bör tydligt anges i lagstiftningsåtgärden.

text: 3.3.1 Den nationella säkerheten, försvaret och den allmänna säkerheten

text: 22. En begränsning av de registrerades rättigheter kan syfta till att säkerställa ett mål om nationell eller allmän säkerhet och/eller försvar av medlemsstaterna, i enlighet med artikel 23.1

text: a

text: b

text: och

text: c

text: i den allmänna dataskyddsförordningen.

text: 23. I den allmänna säkerheten ingår dessutom skydd av människoliv, särskilt vid naturkatastrofer eller katastrofer framkallade av människan.

text: 3.3.2 Förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten

text: 24. Om registrerade som är föremål för en utredning tillhandahålls information kan detta i vissa fall skada utredningen. Det kan därför vara nödvändigt att begränsa rätten till information eller andra rättigheter hos den registrerade, i enlighet med

text: artikel 23.1 d i den allmänna dataskyddsförordningen

text: . Detta är exempelvis relevant i samband med bekämpning av penningtvätt eller verksamhet vid kriminaltekniska laboratorier .

text: 25. Den utelämnade informationen ska, enligt EU-domstolens rättspraxis, lämnas först från och med den tidpunkt då den inte längre kan skada den utredning som genomförs . Detta innebär att den registrerade så snart som möjligt bör tillhandahållas ett särskilt (anpassat) dataskyddsmeddelande, med uppgift om de olika rättigheterna, såsom tillgång, rättelse osv.

text: 26. I målet om att säkerställa den allmänna säkerheten ingår även skydd av människoliv, särskilt vid naturkatastrofer eller katastrofer framkallade av människan .

text: 3.3.3 Andra viktiga mål av generellt allmänt intresse

text: 27. Andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse som nämns i

text: artikel 23.1 e i den allmänna dataskyddsförordningen

text: är viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. Det kan till exempel handla om förande av offentliga register som förs av hänsyn till ett allmänt intresse eller ytterligare behandling av arkiverade personuppgifter för att tillhandahålla specifik information om politiskt beteende under tidigare totalitära regimer . De kostnader som uppstår till följd av tillhandahållandet av information och därmed den ekonomiska bördan för de offentliga budgetarna räcker dock inte för att motivera ett allmänt intresse av att begränsa de registrerades rättigheter. En direkt skatteförvaltning kan till exempel begränsa en registrerads rätt till tillgång om den registrerade är föremål för en utredning som leds av skatteförvaltningen inom ramen för dess rättsliga skyldighet, förutsatt att denna tillgång skulle skada den pågående utredningen. En sådan begränsning bör dock endast tillämpas under den tid som krävs för den specifika utredningen och bör upphävas så snart skatteförvaltningen avslutar utredningen. Den registrerade bör informeras utan dröjsmål, med uppgift om motiveringarna i den personuppgiftsansvariges beslut samt det datum då den registrerade åter får utöva sin rätt till tillgång. Dessutom bör lämpliga skyddsåtgärder säkerställas – t.ex. indirekt tillgång , om detta föreskrivs i nationell lagstiftning – för att se till att en oberoende myndighet kan kontrollera att behandlingen är laglig.

text: 28. För att säkerställa det mål av generellt allmänt intresse som rör lagstiftningens tillgänglighet får en offentlig förvaltning begränsa rätten att göra invändningar mot behandling av pseudonymiserade personuppgifter för utarbetande av ett referensdokument och information som anger, per typ av skada, de belopp som begärs och erbjuds av parterna i en tvist samt de belopp som tilldelats brottsoffer som ersättning för fysisk skada i domstolsavgöranden som meddelats i mål om överklagande från förvaltningsdomstolar och tvistemålsdomstolar. Sådana begränsningar får ske under förutsättning att villkoren i

text: artikel 23.2 i den allmänna dataskyddsförordningen

text: är uppfyllda och särskilt genom tillämpning av skyddsåtgärder såsom uppskattning av ersättningsbelopp, strykning av för- och efternamn på parterna i tvisten och pseudonymisering av de personuppgifter som behandlas.

text: 3.3.4 Skydd av rättsväsendets oberoende och rättsliga åtgärder

text: 29. I

text: artikel 23.1 f i den allmänna dataskyddsförordningen

text: föreskrivs även behovet av att begränsa vissa rättigheter hos registrerade eller skyldigheter hos personuppgiftsansvariga för att skydda rättsväsendets oberoende och rättsliga åtgärder.

text: 30. Tillämpningsområdet för dessa begränsningar bör anpassas till nationell lagstiftning i dessa frågor.

text: 3.3.5 Förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken

text: 31. I

text: artikel 23.1 g i den allmänna dataskyddsförordningen

text: nämns överträdelser av etiska regler som gäller för lagreglerade yrken, såsom läkare och jurist.

text: 32. Detta rör fall där en utredning i princip inte rör något brott, eftersom man vid brottsutredningar skulle ha tillämpat det mål som anges i punkt 3.3.2.

text: 3.3.6 Tillsyns-, inspektions- eller regleringsfunktion som har samband med myndighetsutövning i fall som nämns i artikel 23

text: a

text: e

text: och

text: g

text: i den allmänna dataskyddsförordningen

text: Det mål med begränsningen som anges i

text: artikel 23.2 h i den allmänna dataskyddsförordningen

text: avser en potentiell begränsning om det finns en inspektions-, tillsyns- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i punkterna 3.3.1–3.3.3 och 3.3.5.

text: 3.3.7 Skydd av den registrerade eller andras rättigheter och friheter

text: Artikel 23.1

text: i) i den allmänna dataskyddsförordningen avser målet att skydda den registrerade eller andra personers rättigheter och friheter.

text: 34. En begränsning för att skydda andras rättigheter och friheter kan belysas med ett exempel på en administrativ utredning och/eller disciplinära förfaranden eller utredningar av anklagelser om trakasserier på arbetsplatsen. I detta fall kan man genom en lagstiftningsåtgärd föreskriva att rätten till tillgång för den person som är föremål för en utredning eller ett disciplinärt förfarande kan komma att begränsas om identiteten på ett påstått offer eller ett vittne eller den som anmält händelsen (visselblåsare) inte får avslöjas för att skydda denne från repressalier. Rätten till tillgång kan även komma att begränsas för offret eller vittnet med respekt för rätten till privatliv och dataskydd för den person som är föremål för utredningen eller det disciplinära förfarandet.

text: 3.3.8 Verkställighet av civilrättsliga krav

text: 35. I

text: artikel 23.1 j i den allmänna dataskyddsförordningen

text: ingår även verkställighet av civilrättsliga krav som ett mål med begränsningar. Enligt

text: tillåts begränsningar för att skydda de enskilda intressena hos en (potentiell) part i ett mål, medan artikel 23.1 f i samma förordning tillåter begränsningar för att skydda själva domstolsförfarandena samt tillämpliga processrättsliga bestämmelser.

text: 3.4 De rättigheter hos registrerade och skyldigheter hos personuppgiftsansvariga som kan begränsas

text: 36. Enligt

text: kan begränsningar endast ske av artiklarna

text: och artikel 34 i samma förordning, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna

text: 37. Begränsningarna av skyldigheter avser begränsningar av principerna för behandling av personuppgifter i den mån bestämmelserna i

text: artikel 5

text: motsvarar de skyldigheter som fastställs i artiklarna

text: i den allmänna dataskyddsförordningen och informationen till de registrerade om en personuppgiftsincident (artikel 34 i samma förordning).

text: Artikel 5 i den allmänna dataskyddsförordningen

text: , i vilken principerna för behandling av personuppgifter fastställs, är en av de viktigaste artiklarna i förordningen. Begränsningar av principerna för dataskydd måste vederbörligen motiveras av en exceptionell situation, med respekt för andemeningen i de berörda grundläggande rättigheterna och friheterna och efter en behovs- och proportionalitetsprövning (se avsnitt 3.5 nedan). Det bör noteras att

text: artikel 5 i den allmänna dataskyddsförordningen

text: endast kan begränsas i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i

text: artiklarna 12

text: – 22 i den allmänna dataskyddsförordningen.

text: 38. Begränsningarna av rättigheter avser rätten till klar och tydlig information (

text: artikel 12 i den allmänna dataskyddsförordningen

text: ), rätten till information (artiklarna

text: och

text: i den förordningen), rätten till tillgång (

text: artikel 15

text: ), rätten till rättelse (

text: artikel 16

text: ), rätten till radering (

text: artikel 17

text: ), rätten till begränsning av behandling (

text: artikel 18

text: ), anmälningsskyldigheten avseende rättelse eller radering av personuppgifter och begränsning av behandling (

text: artikel 19

text: ), rätten till dataportabilitet (

text: artikel 20

text: ), rätten att göra invändningar (

text: artikel 21

text: ) och rätten att inte bli föremål för automatiserat individuellt beslutsfattande (

text: artikel 22

text: 39. Detta innebär att begränsningar inte kan ske av andra rättigheter hos den registrerade – såsom rätten att lämna in klagomål till en tillsynsmyndighet (

text: ) – eller andra skyldigheter hos den personuppgiftsansvarige.

text: 3.5 Behovs- och proportionalitetsprövning

text: 40. En begränsning är endast laglig om den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, enligt

text: . Detta innebär att begränsningar måste klara en behovs- och proportionalitetsprövning för att vara förenliga med dataskyddsförordningen . Behovs- och proportionalitetsprövningen bör utföras innan lagstiftaren beslutar att föreskriva en begränsning.

text: 41. Det mål som ska säkerställas ger den bakgrund mot vilken åtgärdens nödvändighet kan bedömas. Det är därför viktigt att identifiera målet tillräckligt noggrant så att det går att bedöma huruvida åtgärden är nödvändig. Om det vid administrativa förfaranden till exempel blir nödvändigt att begränsa en del av utredningen men viss information redan kan lämnas ut till de berörda registrerade bör denna information lämnas till personerna i fråga. I EU-domstolens rättspraxis tillämpas en strikt behovsprövning för alla begränsningar av utövandet av rätten till skydd av personuppgifter och rätten till respekt för privatlivet med avseende på behandling av personuppgifter; där anges att undantag från eller begränsningar i förhållande till skyddet av personuppgifter inte får gå ”utöver gränserna för vad som är strikt nödvändigt” . Europadomstolen tillämpar en strikt behovsprövning beroende på sammanhanget och alla rådande omständigheter, t.ex. vad gäller hemliga övervakningsåtgärder .

text: 42. Om denna prövning godkänns kommer en bedömning att göras av den planerade åtgärdens proportionalitet. Om den föreslagna åtgärden inte klarar behovsprövningen behöver proportionaliteten inte undersökas. En åtgärd som inte har visat sig vara nödvändig bör inte föreslås förrän den har modifierats så att den uppfyller behovskravet.

text: 43. Behovs- och proportionalitetsprövningen innebär vanligtvis en bedömning av riskerna för de registrerades rättigheter och friheter. Dessa risker beskrivs i punkt 4.7 i de här riktlinjerna.

text: 44. Enligt proportionalitetsprincipen får lagstiftningsåtgärden inte gå längre än vad som är absolut nödvändigt för att säkerställa de mål som anges i artikel 23.1

text: a

text: j

text: i den allmänna dataskyddsförordningen. Begränsningen måste därför vara lämplig för att uppnå de legitima mål som eftersträvas genom den berörda lagstiftningen och får inte gå längre än vad som är lämpligt och nödvändigt för att uppnå de målen. Enligt EU-domstolens rättspraxis kan

text: inte tolkas så, att den kan ge medlemsstaterna befogenhet att kränka respekten för privatlivet, i strid med

text: artikel 7 i stadgan

text: , eller andra garantier som föreskrivs i stadgan. I synnerhet kan den befogenhet som medlemsstaterna har enligt

text: endast utövas med iakttagande av kravet på proportionalitet, enligt vilket undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt .

text: 45. En föreslagen begränsningsåtgärd bör stödjas av bevis som beskriver det problem som ska åtgärdas, hur det kommer att åtgärdas och varför det inte räcker med befintliga eller mindre inkräktande åtgärder för att lösa problemet. Det finns även ett krav på att visa hur varje föreslagen inskränkning eller begränsning verkligen uppfyller unionens eller medlemsstatens mål av allmänt intresse eller behovet av att skydda andras rättigheter och friheter. Begränsningen av dataskyddsrättigheter måste inriktas på särskilda risker.

text: 46. Om begränsningarna till exempel bidrar till att säkerställa folkhälsan vid ett undantagstillstånd anser Europeiska dataskyddsstyrelsen att de måste vara strikt begränsade, både i omfattning (t.ex. vad gäller syftet, de berörda rättigheterna hos de registrerade eller de berörda kategorierna av personuppgiftsansvariga) och i tid. De måste framför allt begränsas till den period då undantagstillståndet varar. De registrerades rättigheter kan begränsas men inte nekas.

text: 4 KRAV I ARTIKEL 23.2 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

text: 47. Enligt EU-domstolens rättspraxis ska varje lagstiftningsåtgärd som vidtas på grundval av

text: i synnerhet uppfylla de specifika krav som uppställs i

text: artikel 23.2 i den förordningen

text: . I

text: anges att de lagstiftningsåtgärder som innebär begränsningar av de registrerades rättigheter och de personuppgiftsansvarigas skyldigheter ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende flera kriterier som anges nedan. I regel bör alla nedanstående krav ingå i den lagstiftningsåtgärd som innebär begränsningar enligt

text: 48. Undantag från denna regel, på grund av att en eller flera bestämmelser i

text: inte är relevanta när det gäller lagstiftningsåtgärden för begränsning av registrerades rättigheter, måste vederbörligen motiveras av lagstiftaren. Europeiska dataskyddsstyrelsens tolkning av uttrycket ”när så är relevant” i

text: är kopplad till omständigheterna.

text: 49. I

text: artikel 23.2 a i den allmänna dataskyddsförordningen

text: anges ändamålen med behandlingen eller kategorierna av behandling som en av de specifika bestämmelser som ska anges i alla lagstiftningsåtgärder som begränsar registrerades rättigheter eller personuppgiftsansvarigas skyldigheter. Enligt

text: skäl 8

text: i

text: den allmänna dataskyddsförordningen

text: bör skälet till begränsningen vara begripligt för de personer som den tillämpas på. Detta innefattar även en klar förståelse av hur och när begränsningen kan komma att tillämpas.

text: 50. Det kan till exempel anges i nationell lagstiftning om förebyggande, förhindrande och utredning av överträdelser av etiska regler som gäller för lagreglerade yrken att om avslöjandet att en person utreds för en allvarlig överträdelse kan inverka menligt på utredningen får informationen inte lämnas ut till den registrerade under en begränsad tid.

text: 51. De möjliga ändamålen med behandlingen måste vara kopplade till målen med de begränsningar som nämns i punkt 3.3 i dessa riktlinjer.

text: 52. Det bör nämnas att utövandet av de registrerades rättigheter ibland hjälper de personuppgiftsansvariga att utföra sina uppgifter. Rätten till rättelse kan till exempel bidra till uppgifternas kvalitet.

text: 4.1 Kategorier av personuppgifter

text: 53. I

text: artikel 23.2 b i den allmänna dataskyddsförordningen

text: föreskrivs att de kategorier av personuppgifter som är föremål för begränsningar ska anges i den lagstiftningsåtgärd som medför de begränsningarna .

text: 54. På samma sätt kan begränsningar som rör särskilda kategorier av personuppgifter ha en större inverkan på de registrerade och därför bör den lagstiftningsåtgärd i vilken en sådan begränsning föreskrivs innehålla de berörda särskilda kategorierna av uppgifter.

text: 4.2 Tillämpningsområdet för begränsningar

text: 55. I

text: artikel 23.2 c i den allmänna dataskyddsförordningen

text: föreskrivs att även begränsningarnas omfattning ska anges, dvs. vilka rättigheter som berörs och i vilken utsträckning de kommer att begränsas, till exempel om en begränsning endast gäller rätten till begränsning av behandling (

text: artikel 18 i den allmänna dataskyddsförordningen

text: ) eller om den kan avse tillgång, rättelse och radering.

text: 4.3 Skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring

text: 56. I

text: artikel 23.2 d i den allmänna dataskyddsförordningen

text: anges att lagstiftningsåtgärden ska innehålla skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring. Detta gäller särskilt organisatoriska och/eller tekniska åtgärder som är nödvändiga för att undvika överträdelser eller olagliga överföringar, såsom säker förvaring av fysiska dokument. I vissa medlemsstater kan till exempel rättigheter i samband med behandling som utförs inom specifika sektorer utövas genom medling av den nationella tillsynsmyndigheten för dataskydd.

text: 57. Lagstiftningsåtgärden kan även avse periodiska åtgärder för att se över ett visst beslut om begränsningar. Lagstiftaren får föreslå att varje begränsning som genomförs av den personuppgiftsansvarige regelbundet ses över för att säkerställa att motiveringen till begränsningen fortfarande är giltig.

text: 4.4 Specificering av den personuppgiftsansvarige

text: 58. Enligt

text: artikel 23.2 e i den allmänna dataskyddsförordningen

text: ska det i lagstiftningsåtgärden anges vem eller vilka kategorier av personuppgiftsansvariga som har rollen som personuppgiftsansvarig. Denna utnämning av personuppgiftsansvariga i lagstiftningsåtgärden gynnar inte bara rättssäkerheten när det gäller ansvaret för behandlingen i förhållande till begränsningarna, utan gör även att de registrerade vet vem de ska vända sig till när de vill utöva sina rättigheter efter det att begränsningen har upphävts.

text: 4.5 Lagringstid

text: 59. I

text: artikel 23.2 f i den allmänna dataskyddsförordningen

text: fastställs att lagstiftningsåtgärden måste innehålla en specifik bestämmelse om lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling. Lagringstiden skulle exempelvis kunna beräknas som behandlingens varaktighet plus ytterligare tid för eventuella tvister.

text: 4.6 Risker för registrerades rättigheter och friheter

text: 60. Enligt

text: artikel 23.2 g i den allmänna dataskyddsförordningen

text: ska lagstiftningsåtgärden omfatta de risker för de registrerades rättigheter och friheter som begränsningarna medför. Detta är ett mycket viktigt steg som bidrar till behovs- och proportionalitetsprövningen av begränsningarna.

text: 61. Bedömningen av riskerna för de registrerades rättigheter och friheter har två syften. Å ena sidan ger den en översikt över begränsningarnas potentiella effekter för de registrerade. Å andra sidan utgör den underlag för behovs- och proportionalitetsprövningen av begränsningarna. I detta avseende och i tillämpliga fall bör en konsekvensbedömning avseende dataskydd övervägas .

text: 62. Lagstiftaren bör bedöma riskerna för den registrerades rättigheter och friheter ur den registrerades perspektiv. Det är inte alltid obligatoriskt att utföra en konsekvensbedömning avseende dataskydd, men konkreta risker för de registrerade – såsom felaktig profilering som leder till diskriminering, förringad mänsklig värdighet , hot mot yttrandefriheten, hot mot rätten till privatliv och skyddet av personuppgifter och en större inverkan på utsatta grupper (t.ex. barn eller personer med funktionsnedsättning) – kan anges i lagstiftningsåtgärden, beroende på vad som är tillämpligt.

text: 63. Om en sådan bedömning tillhandahålls anser Europeiska dataskyddsstyrelsen att den måste tas med i 26 27 skälen eller motiveringen till lagstiftningen eller i konsekvensbedömningen .

text: 4.7 Rätten att bli informerad om begränsningen, såvida detta inte inverkar menligt på begränsningen

text: 64. Enligt

text: ska de registrerade informeras om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Detta innebär att de registrerade i regel bör informeras om begränsningen av deras rätt till information. Det kan för detta ändamål räcka med ett allmänt dataskyddsmeddelande.

text: 65. Om en registrerad till exempel särskilt begär att få utöva en viss rättighet vid en mycket känslig tidpunkt i en administrativ utredning bör den registrerade om möjligt informeras om skälen till begränsningen. Om informationen till den registrerade om skälen till begränsningen skulle leda till att begränsningens effekter upphävs (dvs. om det skulle hindra de preliminära effekterna av utredningen) får denna information dock inte lämnas ut. Begränsningar får antas för att skydda utredningar. I detta fall måste begränsningarna förbli nödvändiga och proportionella, och för att säkerställa detta bör den personuppgiftsansvarige göra en bedömning för att kontrollera om informationen till den registrerade om begränsningen inverkar menligt på begränsningen.

text: 66. Med andra ord kan den personuppgiftsansvarige under extraordinära omständigheter, till exempel i de allra första skedena av en utredning, om den registrerade begär information om huruvida denne är föremål för en utredning, besluta att inte bevilja denna information vid den tidpunkten – om begränsningen är laglig och absolut nödvändig i det specifika fallet – för att inte inverka menligt på begränsningen.

text: 67. I ett senare skede, till exempel efter den inledande fasen av utredningen, bör den registrerade få ett (specifikt) dataskyddsmeddelande. Det kan i detta skede fortfarande hända att vissa rättigheter fortsätter att begränsas, såsom rätten till tillgång till information om att en utredning har inletts eller till anklagelserna från potentiella offer för trakasserier . Detta bör anges i dataskyddsmeddelandet tillsammans med en uppgift om den tidpunkt då rättigheterna kommer att återställas till fullo, om möjligt.

text: 5 SAMRÅD MED TILLSYNSMYNDIGHETERNA (ARTIKLARNA 36.4 OCH 57.1 C I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN)

text: 68. Enligt

text: artikel 36.4 i den allmänna dataskyddsförordningen

text: ska medlemsstaterna, om begränsningar antas på nationell nivå, samråda med tillsynsmyndigheten före antagandet av den lagstiftningsåtgärd som ska antas av ett nationellt parlament eller av en regleringsåtgärd som grundar sig på en sådan lagstiftningsåtgärd för begränsning av registrerades rättigheter enligt

text: 69. Enligt

text: artikel 57.1 c i den allmänna dataskyddsförordningen

text: ingår det även i tillsynsmyndigheternas uppgifter att ge rådgivning om lagstiftningsåtgärder rörande skyddet av enskilda personers rättigheter och friheter när det gäller behandling av personuppgifter.

text: 70. Om en tillsynsmyndighet inte rådfrågas kan den enligt

text: artikel 58.3 b i den allmänna dataskyddsförordningen

text: på eget initiativ avge yttranden till det nationella parlamentet, medlemsstatens regering eller, i enlighet med medlemsstatens nationella rätt, till andra institutioner eller organ samt till allmänheten, i frågor som rör skydd av personuppgifter.

text: 71. I den nationella dataskyddslagstiftningen får man dessutom fastställa särskilda förfaranden för antagande av lagstiftningsåtgärder som syftar till att begränsa de rättigheter som föreskrivs i artiklarna

text: och

text: , i enlighet med artikel 23 i samma förordning. Detta är endast tillåtet om det är i linje med dataskyddsförordningen.

text: 6 UNDERLÅTENHET AV EN MEDLEMSSTAT ATT UPPFYLLA KRAVEN I ARTIKEL 23 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

text: 72. Europeiska kommissionen är i egenskap av fördragens väktare skyldig att övervaka tillämpningen av EU:s primär- och sekundärrätt och se till att den tillämpas på ett enhetligt sätt i hela EU, bland annat genom att vidta åtgärder när nationella åtgärder inte skulle vara förenliga med EU-rätten.

text: 73. Enligt principen om EU-rättens företräde ”åligger skyldigheten att inte tillämpa nationell lagstiftning som strider mot unionsrätten inte bara de nationella domstolar utan alla statliga organ, inklusive förvaltningsmyndigheterna, vilka inom ramen för sina respektive behörighetsområden, har att tillämpa unionsrätten” .

text: 7 SPECIFIKA DELAR FÖR PERSONUPPGIFTSANSVARIGA OCH PERSONUPPGIFTSBITRÄDEN

text: 7.1 Principen om ansvarsskyldighet

text: 74. Mot bakgrund av principen om ansvarsskyldighet (

text: ) och trots att det inte är en del av de register som krävs enligt

text: artikel 30 i förordningen

text: , är det god praxis att den personuppgiftsansvarige dokumenterar tillämpningen av begränsningar på konkreta fall genom att föra register över deras tillämpning. Detta register bör innehålla de tillämpliga skälen till begränsningarna, vilket eller vilka mål bland dem som anges i

text: som gäller (om lagstiftningsåtgärden tillåter begränsningar med olika mål), begränsningarnas tidsram och resultatet av behovs- och proportionalitetsprövningen. Registren bör på begäran göras tillgängliga för tillsynsmyndigheten för dataskydd.

text: 75. Om den personuppgiftsansvarige har ett dataskyddsombud bör dataskyddsombudet informeras – åtminstone på ett allmänt sätt – utan onödigt dröjsmål om registrerades rättigheter begränsas enligt lagstiftningsåtgärden. Dataskyddsombudet bör ges tillgång till de tillhörande registren och alla handlingar som rör det faktiska eller rättsliga sammanhang inom vilket begränsningen äger rum. Dataskyddsombudets deltagande i tillämpningen av begränsningar bör också dokumenteras.

text: 7.2 Utövande av den registrerades rättigheter efter begränsningens upphävande

text: 76. Den personuppgiftsansvarige ska upphäva begränsningarna så snart som de omständigheter som motiverar dem inte längre är tillämpliga. Om de registrerade ännu inte har fått information om begränsningarna vid den tidpunkten bör de få det senast när begränsningen upphävs.

text: 77. Under tillämpningen av en begränsning får de registrerade utöva alla sina rättigheter som inte är begränsade. För att avgöra när begränsningen helt eller delvis kan upphävas får en behovs- och proportionalitetsprövning utföras flera gånger under tillämpningen av en begränsning.

text: 78. När begränsningen upphävts – vilket bör dokumenteras i det register som nämns i avsnitt 5 – får de registrerade utöva alla sina rättigheter.

text: 79. Om den personuppgiftsansvarige inte låter en registrerad utöva sina rättigheter efter det att begränsningen har upphävts kan den registrerade lämna in ett klagomål mot den personuppgiftsansvarige till tillsynsmyndigheten i enlighet med

text: artikel 57.1 f i den allmänna dataskyddsförordningen

text: 7.3 Underlåtenhet av en personuppgiftsansvarig att iaktta en lagstiftningsåtgärd som innebär sådana begränsningar

text: 80. Om de lagstiftningsåtgärder som innebär begränsningar enligt

text: är förenliga med den förordningen men åsidosätts av en personuppgiftsansvarig kan tillsynsmyndigheterna använda sina rådgivande, utredande och korrigerande befogenheter mot den personuppgiftsansvarige, precis som i alla andra fall av underlåtenhet att iaktta bestämmelserna i den allmänna dataskyddsförordningen.

text: 81. Enligt

text: artikel 58.1 i den allmänna dataskyddsförordningen

text: har tillsynsmyndigheterna följande utredningsbefogenheter: • Beordra den personuppgiftsansvarige eller personuppgiftsbiträdet, och i tillämpliga fall den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare, att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter. • Genomföra undersökningar i form av dataskyddstillsyn. • Meddela den personuppgiftsansvarige eller personuppgiftsbiträdet om en påstådd överträdelse av dataskyddsförordningen. • Från den personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter. • Få tillträde till alla lokaler som tillhör den personuppgiftsansvarige och personuppgiftsbiträdet, inbegripet tillgång till all utrustning och alla andra medel för behandling av personuppgifter i överensstämmelse med unionens processrätt eller medlemsstaternas nationella processrätt.

text: 82. Om korrigerande åtgärder behöver vidtas kan tillsynsmyndigheterna, i enlighet med

text: artikel 58.2 i den allmänna dataskyddsförordningen

text: , göra följande: • Utfärda varningar till en personuppgiftsansvarig eller personuppgiftsbiträdet om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i den allmänna dataskyddsförordningen. • Utfärda reprimander till en personuppgiftsansvarig eller personuppgiftsbiträdet om behandling bryter mot bestämmelserna i den allmänna dataskyddsförordningen. • Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt dataskyddsförordningen. • Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen sker i enlighet med bestämmelserna i den allmänna dataskyddsförordningen och om så krävs på ett specifikt sätt och inom en specifik period. • Förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident har inträffat. • Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. • Förelägga om rättelse eller radering av personuppgifter samt begränsning av behandling enligt artiklarna

text: och

text: i den allmänna dataskyddsförordningen och underrätta mottagare till vilka personuppgifterna har lämnats ut om dessa åtgärder enligt artiklarna 17.2 och 19 i samma förordning. • Påföra administrativa sanktionsavgifter i enlighet med

text: artikel 83

text: utöver eller i stället för de åtgärder som avses i

text: , beroende på omständigheterna i varje enskilt fall. • Förelägga om att flödet av uppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas.

text: 83. Vad gäller tillsynsmyndigheternas befogenheter att ge råd, som föreskrivs i

text: artikel 58.3 i den allmänna dataskyddsförordningen

text: , kan de göra följande: • Ge råd till personuppgiftsansvariga i enlighet med det förfarande för förhandssamråd som avses i artikel

text: och

text: i den allmänna dataskyddsförordningen. • Ge tillstånd till behandling enligt

text: artikel 36.5 i den allmänna dataskyddsförordningen

text: om medlemsstatens rätt kräver ett sådant förhandstillstånd.

text: 8 SLUTSATSER

text: 84. Enligt

text: är det möjligt för en nationell lagstiftare eller en EU-lagstiftare att på särskilda villkor införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna

text: och

text: artikel 34 i den förordningen

text: , samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna

text: , om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa bland annat unionens eller en medlemsstats viktiga mål av generellt allmänt intresse.

text: 85. Begränsningar av registrerades rättigheter måste uppfylla kraven i

text: . Unionen eller de medlemsstater som utfärdar de lagstiftningsåtgärder i vilka sådana begränsningar fastställs, samt de personuppgiftsansvariga som tillämpar dem, bör vara medvetna om dessa begränsningars exceptionella karaktär.

text: 86. Proportionalitetsprövningen bör utföras innan begränsningarna av de registrerades rättigheter införs i unionsrätten eller medlemsstaternas nationella rätt.

text: 87. Tillsynsmyndigheter bör rådfrågas före antagandet av de lagstiftningsåtgärder i vilka begränsningar fastställs och ha befogenhet att verkställa deras efterlevnad av dataskyddsförordningen.

text: 88. När begränsningarna har upphävts ska den personuppgiftsansvarige låta de registrerade få utöva sina rättigheter.

text: 9 BILAGA: CHECKLISTOR – KORT SAMMANFATTNING AV ARTIKEL 23 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

text: 9.1 Krav enligt

text: i. Respekt för andemeningen i de grundläggande rättigheterna och friheterna

text: ii. Proportionalitets- och behovsprövning

text: iii. Lagstiftningsåtgärder i vilka begränsningar fastställs och behovet av förutsägbarhet (skäl

text: 41 och EU-domstolens rättspraxis)

text: iv. De rättigheter hos registrerade och skyldigheter hos personuppgiftsansvariga som kan

text: begränsas

text: a) Rätten till klar och tydlig information (

text: ). b) Rätten till information (artiklarna

text: och

text: i den allmänna dataskyddsförordningen). c) Rätten till tillgång (

text: artikel 15 i den allmänna dataskyddsförordningen

text: ). d) Rätten till rättelse (

text: artikel 16 i den allmänna dataskyddsförordningen

text: ). e) Rätten till radering (

text: artikel 17 i den allmänna dataskyddsförordningen

text: ). f) Rätten till begränsning av behandling (

text: ). g) Anmälningsskyldigheten avseende rättelse eller radering av personuppgifter och begränsning av behandling (

text: artikel 19 i den allmänna dataskyddsförordningen

text: ). h) Rätten till dataportabilitet (

text: artikel 20 i den allmänna dataskyddsförordningen

text: ). i) Rätten att göra invändningar (

text: artikel 21 i den allmänna dataskyddsförordningen

text: ). j) Rätten att inte bli föremål för automatiserat individuellt beslutsfattande (

text: artikel 22 i den allmänna dataskyddsförordningen

text: ). k) Skyldigheter enligt artiklarna

text: i den allmänna dataskyddsförordningen (

text: ). l) Information till den registrerade om en personuppgiftsincident (

text: v. Målen med begränsningarna

text: a) Den nationella säkerheten. b) Försvaret. c) Den allmänna säkerheten. d) Förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten. e) Andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. f) Skydd av rättsväsendets oberoende och rättsliga åtgärder. g) Förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken. h) En tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i a–e och g. i) Skydd av den registrerade eller andras rättigheter och friheter. j) Verkställighet av civilrättsliga krav.

text: 9.2 Krav enligt

text: i. Ändamålen med behandlingen eller kategorierna av behandling. ii. Kategorierna av personuppgifter. iii. Omfattningen av de införda begränsningarna. iv. Skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring. v. Specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga. vi. Lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling. vii. Riskerna för de registrerades rättigheter och friheter. viii. De registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen.