text: Arbetsgruppen inrättades enligt

text: artikel 29 i direktiv 95/46/EG

text: . Den är ett oberoende rådgivande EU-organ i frågor rörande dataskydd och integritet. Dess uppgifter beskrivs i

text: artikel 30 i direktiv 95/46/EG

text: och

text: artikel 15 i direktiv 2002/58/EG

text: . Gruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och medborgarskap) på Europeiska kommissionen, Generaldirektoratet för rättsliga frågor, 1049 Bryssel, Belgien, Kontor MO-59 02/013. Webbplats: http://ec.europa.eu/justice/data-protection/index_en.htm

text: Enligt

text: artikel 58.2

text: får varningar utfärdas när ”planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i denna förordning”. Med andra ord omfattar bestämmelsen tillfällen när överträdelsen av förordningen ännu inte har ägt rum. Även när rättssystemen i vissa EU-länder inte tillåter administrativa sanktionsavgifter enligt förordningen, ska tillämpningen av bestämmelserna i dessa länder ha en effekt som är likvärdig med administrativa sanktionsavgifter som utdöms av tillsynsmyndigheter (skäl 151). Domstolarna är bundna av förordningen men inte av dessa riktlinjer från EDPB.

text: Ett exempel är Irlands lagstiftning, där det konstitutionella ramverket och förslaget till dataskyddslagstiftning innebär att det är möjligt att först fatta ett formellt beslut om överträdelsen i sig som förmedlas till relevanta parter, innan det fastställs hur omfattande sanktionen eller sanktionerna ska vara. Beslutet om överträdelsen i sig kan inte ses över i samband med bedömningen av sanktionens eller sanktionernas omfattning. Definitionen enligt domstolens rättspraxis är att ”begreppet företag omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering” (mål Höfner och Elsner, punkt 21, ECLI:EU:C:1991:161). Ett företag ”ska förstås som en ekonomisk enhet, även om enheten i juridisk mening består av flera fysiska eller juridiska personer” (mål Confederación Española de Empresarios de Estaciones de Servicio, punkt 40, ECLI:EU:C:2006:784).

text: Vid tillämpningen av kriterierna i

text: artikel 83

text: finns det andra bestämmelser som kan stärka grunden för strategin, till exempel - skäl 141: Utredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet. - skäl 129: Tillsynsmyndigheternas befogenheter bör utövas opartiskt, rättvist och inom rimlig tid i överensstämmelse med lämpliga rättssäkerhetsgarantier i unionsrätten och i medlemsstaternas nationella rätt. Framför allt bör varje åtgärd vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall …”. -

text: artikel 57.1 f

text: : ”Behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt

text: artikel 80

text: , och där så är lämpligt undersöka den sakfråga som klagomålet gäller.

text: För att stärka verkställigheten av denna förordning bör det utdömas sanktioner, inbegripet administrativa sanktionsavgifter, för överträdelser av denna förordning utöver eller i stället för de lämpliga åtgärder som tillsynsmyndigheten vidtar i enlighet med denna förordning. Vid en mindre överträdelse eller om den sanktionsavgift som sannolikt skulle utdömas skulle innebära en oproportionell börda för en fysisk person får en reprimand utfärdas i stället för sanktionsavgifter. Vederbörlig hänsyn bör dock tas till överträdelsens karaktär, svårighetsgrad och varaktighet och huruvida den har skett uppsåtligen, vilka åtgärder som vidtagits för att lindra skadan, graden av ansvar eller eventuella tidigare överträdelser av relevans, det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, efterlevnad av åtgärder som förordnats mot den personuppgiftsansvarige eller personuppgiftsbiträdet, tillämpning av en uppförandekod och eventuella andra försvårande eller förmildrande faktorer. Utdömandet av sanktioner, inbegripet administrativa sanktionsavgifter, bör underkastas adekvata rättssäkerhetsgarantier i överensstämmelse med allmänna principer inom unionsrätten och stadgan, vilket inbegriper ett effektivt rättsligt skydd och korrekt rättsligt förfarande.

text: I vissa länder kan det på grund av konstitutionella krav finnas nationella procedurregler som innebär att det först fastställs om en överträdelse har skett och därefter separat vilken sanktion som ska tillämpas. Detta kan begränsa innehållet och mängden detaljer i förslag till beslut som utfärdas av den ledande behöriga myndigheten i sådana länder.

text: Följande förelägganden tas upp i

text: artikel 58.2

text: :  Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt denna förordning.  Förelägga en personuppgiftsansvarig eller ett personuppgiftsbiträde att se till att behandlingen sker i enlighet med bestämmelserna i denna förordning och om så krävs på ett specifikt sätt och inom en specifik period.  Förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident har inträffat.  Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling.  Förelägga om rättelse eller radering av personuppgifter samt begränsning av behandling enligt artiklarna

text: och

text: och underrätta mottagare till vilka personuppgifterna har lämnats ut om dessa åtgärder enligt artiklarna

text: och

text: .  Återkalla en certifiering eller beordra certifieringsorganet att återkalla en certifiering som utfärdats enligt artikel

text: eller

text: , eller beordra certifieringsorganet att inte utfärda certifiering om kraven för certifiering inte eller inte längre uppfylls.  Förelägga om att flödet av uppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas.

text: Vid tillämpning av

text: artikel 83.6

text: måste hänsyn absolut tas till nationella lagar om förfarande. Nationell lag fastställer hur ett föreläggande utfärdas, hur det meddelas, vid vilken tidpunkt det träder i kraft och huruvida det finns en frist för att arbeta på att följa reglerna. Hänsyn ska tas särskilt till verkan av ett överklagande av ett föreläggandes verkställbarhet. Lagbestämmelser om begränsning kan innebära att det inte längre går att ta hänsyn till ett tidigare föreläggande från tillsynsmyndigheten på grund av det har gått för lång tid sedan detta utfärdades. När preskriptionstiden för ett föreläggande har passerat gäller i vissa rättssystem att ingen avgift får påföras för underlåtenhet att uppfylla skyldigheterna i föreläggandet enligt

text: artikel 83.6

text: . I ett sådant rättssystem måste tillsynsmyndigheten själv avgöra vilka konsekvenser detta har.

text: WP 203

text: , yttrande 03/2013 om ändamålsbegränsning, finns på: http://ec.europa.eu/justice/dataprotection/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf Se även Wp 217, yttrande 6/2014 om begreppet legitimt intresse för den personuppgiftsansvarige enligt

text: artikel 7

text: , sidan 24, om frågan: ”Vad gör ett intresse legitimt eller icke-legitimt?”

text: Det bör inte alltid ses som en ”bonus” i form av en förmildrande faktor att överträdelsen endast rör indirekt identifierbara eller till och med pseudonymiserade/krypterade uppgifter. För dessa överträdelser kan en allmän bedömning av övriga kriterier ge en viss eller stark indikation på att en sanktionsavgift bör påföras.

title: Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med förordning 2016/679

text: ARBETSGRUPPEN FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ

text: BEHANDLING AV PERSONUPPGIFTER HAR ANTAGIT DESSA RIKTLINJER

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: , med beaktande av artiklarna

text: och

text: i det direktivet, och med beaktande av dess arbetsordning.

text: Innehållsförteckning

text: I. Inledning

text: EU har slutfört en omfattande reform av den europeiska dataskyddsförordningen. Reformen bygger på flera pelare (viktiga komponenter): sammanhängande regler, förenklade förfaranden, samordnade insatser, användarengagemang, effektivare information och starkare verkställighetsbefogenheter.

text: Personuppgiftsansvariga och personuppgiftsbiträden har större ansvar för att se till att enskildas personuppgifter skyddas effektivt. Tillsynsmyndigheter har befogenhet att se till att både principerna enligt den allmänna dataskyddsförordningen (nedan kallad förordningen) och enskildas rättigheter upprätthålls i enlighet med förordningens lydelse och anda.

text: Ett enhetligt system för dataskydd bygger på att reglerna för dataskydd tillämpas på ett harmoniserat sätt. Förordningen inför ett nytt system för verkställighet, där administrativa sanktionsavgifter är en central del. Tillsammans med övriga åtgärder enligt

text: artikel 58

text: är avgifterna ett kraftfullt verktyg för tillsynsmyndigheternas arbete.

text: Detta dokument är avsett för tillsynsmyndigheterna. Syftet är att myndigheterna ska kunna tillämpa och verkställa förordningen bättre. Dokumentet innehåller tillsynsmyndigheternas gemensamma tolkning av

text: artikel 83 i förordningen

text: och beskriver hur den artikeln samverkar med artiklarna

text: och

text: med tillhörande skäl.

text: Enligt

text: artikel 70.1 e

text: har Europeiska dataskyddsstyrelsen (nedan kallad EDPB) behörighet att utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av förordningen, och

text: artikel 70.1 k

text: ger EDPB behörighet att utforma riktlinjer för att fastställa administrativa sanktionsavgifter.

text: Dessa riktlinjer är inte uttömmande och förklarar inte heller skillnaderna mellan administrativa, civilrättsliga och straffrättsliga system när det gäller att utfärda administrativa sanktionsavgifter i allmänhet.

text: EDPB har haft som mål att skapa en strategi för att påföra administrativa sanktionsavgifter som dels är enhetlig, dels på ett lämpligt sätt återspeglar alla riktlinjernas principer, och har kommit fram till en gemensam tolkning av bedömningskriterierna i

text: artikel 83.2 i förordningen

text: . Därför är EDPB och enskilda tillsynsmyndigheter eniga om att använda denna riktlinje som en gemensam strategi.

text: II. Principer

text: När en tillsynsmyndighet har konstaterat en överträdelse av förordningen efter bedömning av fakta i fallet måste myndigheten välja den eller de korrigerande åtgärder som är mest lämpliga att vidta mot överträdelsen. Artikel 58.2

text: b

text: j

text: anger vilka verktyg tillsynsmyndigheterna får använda när en personuppgiftsansvarig eller ett personuppgiftsbiträde inte har uppfyllt sina skyldigheter. Tillsynsmyndigheterna måste tillämpa följande principer när de använder dessa befogenheter:

text: 1. Överträdelse av förordningen bör leda till ”likvärdiga sanktioner”.

text: Begreppet ”likvärdig” är centralt när det gäller att avgöra hur omfattande tillsynsmyndigheternas skyldighet är, både för att den allmänna korrigerande behörigheten enligt

text: artikel 58.2

text: ska användas på ett enhetligt sätt och i synnerhet för att tillämpningen av administrativa sanktionsavgifter ska vara enhetlig .

text: För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater (skäl 10). Skäl 11 går närmare in på att en likvärdig skyddsnivå för personuppgifter i hela unionen bland annat kräver ”likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna”. I alla medlemsstater anser man dessutom att likvärdiga sanktioner i kombination med ett effektivt samarbete mellan tillsynsmyndigheterna i olika medlemsstater är ett sätt att ”undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden”, i linje med

text: skäl 13

text: i

text: förordningen

text: Eftersom förordningen är direkt tillämplig i alla medlemsstater ger den en starkare grund än direktiv

text: för en högre grad av enhetlighet. Tillsynsmyndigheterna arbetar ”fullständigt oberoende” (

text: artikel 52

text: ) av nationella regeringar, personuppgiftsansvariga och personuppgiftsbiträden men är skyldiga att samarbeta ”för att se till att denna förordning tillämpas och verkställs på ett enhetligt sätt” (

text: artikel 57.1 g

text: Förordningen kräver att sanktioner påförs på ett mer enhetligt sätt än enligt direktiv 95/46. I gränsöverskridande fall är det främst samarbetsmekanismen (mekanismen för en enda kontaktpunkt) och i viss mån mekanismen för enhetlighet som införs genom den nya förordningen som ska borga för enhetlighet.

text: I nationella fall som omfattas av förordningen tillämpar tillsynsmyndigheterna dessa riktlinjer i en samarbetsanda, i enlighet med

text: artikel 57.1 g

text: och

text: artikel 63

text: . Målet är att förordningen ska tillämpas och verkställas på ett enhetligt sätt. Tillsynsmyndigheterna kan själva välja korrigerande åtgärder bland dem som räknas upp i

text: artikel 58.2

text: men bör undvika att välja olika korrigerande åtgärder i likartade fall.

text: Den principen gäller även när de korrigerande åtgärderna är sanktionsavgifter.

text: 2. Liksom alla korrigerande åtgärder som tillsynsmyndigheterna väljer bör sanktionsavgifter vara ”effektiva, proportionella och avskräckande”.

text: Liksom korrigerande åtgärder i allmänhet bör administrativa sanktionsavgifter vara rimliga i förhållande till typen av överträdelse, hur allvarlig överträdelsen är och vilka följder den får. Tillsynsmyndigheterna måste därför bedöma alla fakta i ett fall på ett sätt som är enhetligt och objektivt motiverat. Vad som är effektivt, proportionellt och avskräckande i ett enskilt fall beror även på syftet med den korrigerande åtgärd som väljs. Det kan antingen vara att se till att reglerna efterlevs eller att bestraffa olagligt beteende (eller båda delarna). Tillsynsmyndigheterna bör välja en korrigerande åtgärd som är ”effektiv, proportionell och avskräckande” (

text: artikel 83.1

text: ), både i nationella fall (

text: artikel 55

text: ) och i fall som rör gränsöverskridande behandling av personuppgifter (enligt definitionen i

text: artikel 4.23

text: Dessa riktlinjer tar hänsyn till att nationella lagar kan innehålla ytterligare krav på verkställighetsförfarandet som tillsynsmyndigheterna ska följa. Det kan till exempel gälla adressanmälningar, format, tidsfrister för att inkomma med synpunkter, överklagande, verkställighet och betalning .

text: Sådana krav får dock inte hindra att sanktionerna blir effektiva, proportionella och avskräckande.

text: Både framväxande praxis hos tillsynsmyndigheterna (när det gäller såväl dataskydd som erfarenheter från andra tillsynssektorer) och rättspraxis vid tolkning av principerna kommer att leda till en tydligare bild av effektivitet, proportionalitet och avskräckande verkan.

text: För att kunna påföra sanktionsavgifter som är effektiva, proportionella och avskräckande ska tillsynsmyndigheten använda den definition av begreppet företag som domstolen använder vid tillämpning av artikel

text: och

text: i EUF-fördraget, det vill säga att ett företag ska anses vara en ekonomisk enhet som kan utgöras av ett moderbolag och alla dess dotterbolag. I enlighet med EUlagstiftning och rättspraxis måste ett företag definieras som en ekonomisk enhet som bedriver kommersiell/ekonomisk verksamhet, oberoende av berörd juridisk person (skäl 150).

text: 3. Den behöriga tillsynsmyndigheten gör en bedömning ”i varje enskilt fall”.

text: Administrativa sanktionsavgifter får påföras på grund av många olika överträdelser. I

text: artikel 83 i förordningen

text: finns en harmoniserad strategi när det gäller överträdelser, där konkreta skyldigheter listas i punkterna 4 till 6. En medlemsstat får i sin lagstiftning låta

text: artikel 83

text: omfatta offentliga myndigheter och organ i den medlemsstaten. Dessutom får medlemsstaternas lagstiftning tillåta eller till och med kräva att en sanktionsavgift påförs för överträdelser av andra bestämmelser än dem som tas upp i artikel

text: Förordningen kräver bedömning av varje enskilt fall för sig .

text: Artikel 83.2

text: är utgångspunkten för en sådan bedömning. Den punkten anger att ”Vid beslut om huruvida administrativa sanktionsavgifter ska påföras och om beloppet för de administrativa sanktionsavgifterna i varje enskilt fall ska vederbörlig hänsyn tas till följande …” Detta innebär när det tolkas tillsammans med skäl 148 att tillsynsmyndigheten ansvarar för att välja den eller de åtgärder som lämpar sig bäst. När åtgärder väljs i de fall som tas upp i artikel

text: måste alla korrigerande åtgärder övervägas, bland annat att påföra en administrativ sanktionsavgift, antingen tillsammans med en korrigerande åtgärd enligt

text: artikel 58.2

text: eller enbart.

text: Sanktionsavgifter är viktiga verktyg som tillsynsmyndigheterna bör använda under lämpliga förhållanden. För att överträdelser ska få påföljder som är både effektiva och avskräckande men samtidigt proportionella uppmanas tillsynsmyndigheterna att använda en genomtänkt och balanserad strategi för sina korrigerande åtgärder. Det viktiga är att inte behandla sanktionsavgifter som en sista utväg eller tveka att påföra dem men att inte heller använda dem på ett sätt som gör att deras effektivitet urholkas.

text: När EDPB är behöriga enligt

text: artikel 65 i förordningen

text: kommer den att utfärda ett bindande beslut i tvister mellan myndigheter, bland annat när det gäller att fastställa om en överträdelse har ägt rum. När en relevant och motiverad invändning ifrågasätter om den korrigerande åtgärden följer GDPR, diskuterar EDPB i sitt beslut även huruvida den administrativa sanktionsavgift som den behöriga tillsynsmyndigheten föreslår uppfyller principerna om effektivitet, proportionalitet och avskräckande. EDPB:s vägledning om tillämpningen av

text: artikel 65 i förordningen

text: följer separat. I den finns närmare information om typen av beslut EDPB fattar.

text: 4. En harmoniserad strategi för administrativa sanktionsavgifter inom dataskyddsområdet kräver engagemang och informationsutbyte mellan tillsynsmyndigheterna.

text: Dessa riktlinjer tar höjd för att det är nytt för en del nationella tillsynsmyndigheter att ha befogenhet att påföra sanktionsavgifter inom dataskyddsområdet och att detta kan medföra problem med resurser, organisation och förfarande. De beslut som tillsynsmyndigheterna fattar när de utövar sina befogenheter att påföra sanktionsavgifter kan överklagas till nationella domstolar.

text: Som stöd för formella och informella informationsutbyten, såsom regelbundna workshops, ska tillsynsmyndigheterna använda samarbetsmekanismerna i förordningen för att samarbeta med varandra och i relevanta fall med Europeiska kommissionen. Samarbetet skulle vara inriktat på öka enhetligheten genom att utbyta erfarenheter och praxis när det gäller tillämpningen av befogenheten att påföra sanktionsavgifter.

text: Både denna proaktiva informationsdelning och den framväxande rättspraxisen för användning av de nya befogenheterna kan leda till att principerna eller detaljerna i dessa riktlinjer ses över.

text: III. Bedömningskriterier i

text: artikel 83.2

text: Artikel 83.2

text: innehåller en lista med kriterier som tillsynsmyndigheterna förväntas använda, både för att avgöra om en sanktionsavgift bör påföras och bestämma hur stor den ska vara. Rekommendationen är inte en upprepad bedömning med samma kriterier utan en bedömning som tar hänsyn till alla omständigheter i varje enskilt fall, i enlighet med

text: artikel 83

text: Slutsatserna från den första fasen av bedömningen kan användas i den andra fasen, som gäller sanktionsavgiftens belopp. På så sätt undviker man att använda samma kriterier två gånger.

text: Detta avsnitt ger vägledning för tillsynsmyndigheterna om hur de ska tolka enskilda fakta i fallet med hänsyn till kriterierna i

text: artikel 83.2

text: a) Överträdelsens karaktär, svårighetsgrad och varaktighet

text: Nästan alla skyldigheter som personuppgiftsansvariga och personuppgiftsbiträden har enligt förordningen kategoriseras efter sin karaktär i bestämmelserna i artikel

text: . Redan det faktum att förordningen anger två olika högsta belopp för sanktionsavgiften (10/20 miljoner euro) ger en fingervisning om att det kan vara allvarligare att överträda vissa av förordningens bestämmelser än andra. Genom att bedöma fakta i fallet mot de allmänna kriterierna i

text: artikel 83.2

text: avgör den behöriga myndigheten om det i ett visst fall finns ett större eller mindre behov av en korrigerande åtgärd i form av en sanktionsavgift. Om en sanktionsavgift har valts som en eller flera lämpliga åtgärder tillämpas det trappstegsvisa systemet i förordningen (83.4–83.6) för att hitta rätt högsta sanktionsavgift som kan påföras med tanke på den aktuella överträdelsens karaktär. Skäl 148 inför begreppet ”mindre överträdelser”. Sådana överträdelser kan gälla en eller flera av de bestämmelser som listas i

text: artikel 83.4

text: eller

text: artikel 83.5 i förordningen

text: . Resultatet av bedömningen enligt kriterierna i

text: artikel 83.2

text: kan dock bli att tillsynsmyndigheten tror att de konkreta omständigheterna i fallet, till exempel incidenten, varken utgör någon betydande risk för de registrerade som berörs eller påverkar skyldigheten i fråga på något väsentligt sätt. I sådana fall kan (men måste inte) sanktionsavgiften ersättas med en reprimand.

text: Skäl 148 tar inte upp någon skyldighet för tillsynsmyndigheten att alltid ersätta en sanktionsavgift med en reprimand vid en mindre överträdelse (... får en reprimand utfärdas i stället för sanktionsavgifter), utan anger snarare detta som en möjlighet som finns till hands efter en konkret bedömning av alla omständigheter i fallet.

text: Skäl 148 öppnar för samma möjlighet att ersätta en sanktionsavgift med en reprimand när den personuppgiftsansvarige är en fysisk person, för vilken den sanktionsavgift som sannolikt skulle utdömas skulle innebära en oproportionell börda. Utgångspunkten är att tillsynsmyndigheten måste avgöra om omständigheterna i det aktuella fallet kräver att en sanktionsavgift påförs. Om tillsynsmyndigheten fastställer att en sanktionsavgift krävs måste den även avgöra om avgiften skulle innebära en oproportionell börda för en fysisk person.

text: Förordningen sätter ingen prislapp på specifika överträdelser; endast maximala belopp anges. Detta kan vara en fingervisning om att en överträdelse av skyldigheterna i

text: artikel 83.4

text: betraktas som relativt sett mindre allvarlig än av dem i

text: artikel 83.5

text: . Vad som är en effektiv, proportionell och avskräckande reaktion på en överträdelse av

text: artikel 83.5

text: beror dock på omständigheterna i fallet.

text: Det bör noteras att överträdelser av förordningen som genom sin karaktär kan falla inom kategorin ”upp till 10 000 000 EUR eller upp till 2 % av den totala globala årsomsättningen” enligt

text: artikel 83.4

text: , under vissa omständigheter kan placeras i en högre kategori (20 000 000 EUR). Detta skulle vara sannolikt till exempel för överträdelser som tillsynsmyndigheten har tagit upp tidigare i ett

text: föreläggande som den personuppgiftsansvarige eller personuppgiftsbiträdet inte har följt (

text: artikel 83.6

text: ). Bestämmelser i nationell lagstiftning kan i praktiken påverka bedömningen . Överträdelsens karaktär, men också deras omfattning eller syfte samt antalet berörda registrerade och den skada som de har lidit ger information om överträdelsens svårighetsgrad. Om flera olika överträdelser har ägt rum tillsammans i ett enskilt fall kan tillsynsmyndigheten tillämpa administrativa sanktionsavgifter på en nivå som är effektiv, proportionell och avskräckande inom gränsen för överträdelsen med högst svårighetsgrad. Om en överträdelse av

text: artikel 8

text: och

text: artikel 12

text: har upptäckts kan tillsynsmyndigheten därför tillämpa de av de korrigerande åtgärderna i

text: artikel 83.5

text: som motsvarar den svåraste överträdelsen, det vill säga enligt

text: artikel 12

text: . De närmare detaljerna för denna fas ligger utanför tillämpningsområdet för denna riktlinje (eftersom detaljerat beräkningsarbete kan komma att tas upp i en eventuell senare version av riktlinjen).

text: Faktorerna nedan bör bedömas tillsammans, till exempel antalet registrerade tillsammans med möjliga konsekvenser för dem.

text: Antalet berörda registrerade bör fastställas för att det ska gå att avgöra om det rör sig om en enstaka händelse eller ett symtom på en mer systematisk överträdelse eller en följd av att lämpliga rutiner saknas. Detta innebär inte att sanktioner inte ska vara verkställbara för enstaka händelser. Även en enstaka händelse kan påverka många registrerade. Beroende på omständigheterna i fallet och vad som är lämpligt kan detta till exempel bedömas i förhållande till antalet registrerade i den berörda databasen, antalet användare av en tjänst, antalet kunder eller i förhållandet till landets befolkning.

text: Syftet med behandlingen måste också bedömas. I det tidigare WP 29-yttrandet om ”ändamålsbegränsning” analyserades de två viktigaste byggstenarna för denna princip i dataskyddslagen: beskrivning av syfte och förenlig användning. När tillsynsmyndigheten bedömer syftet med behandlingen i förhållande till

text: artikel 83.2

text: ska den kontrollera i hur hög grad behandlingen uppfyller principens två huvudkomponenter . I vissa situationer kan tillsynsmyndigheten behöva räkna med en grundligare analys av ändamålet med behandlingen i sig inom ramen för analysen i förhållande till

text: artikel 83.2

text: Om de registrerade har lidit skada måste hänsyn tas till skadans nivå. Behandling av personuppgifter kan leda till risker för den enskildes friheter, vilket tas upp i skäl 75:

text: Risken för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till diskriminering, identitetsstöld eller bedrägeri, ekonomisk förlust, skadat anseende, förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt, obehörigt hävande av pseudonymisering eller annan betydande ekonomisk eller social nackdel, om registrerade kan berövas sina rättigheter och friheter eller hindras att utöva kontroll över sina personuppgifter, om personuppgifter behandlas som avslöjar ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse eller medlemskap i fackförening, om genetiska uppgifter, uppgifter om hälsa eller sexualliv eller fällande domar i brottmål samt överträdelser eller därmed sammanhängande säkerhetsåtgärder behandlas, om personliga aspekter bedöms, framför allt analyser eller förutsägelser beträffande sådant som rör arbetsprestationer, ekonomisk ställning, hälsa, personliga preferenser eller intressen, tillförlitlighet eller beteende, vistelseort eller förflyttningar, i syfte att skapa eller använda personliga profiler, om det sker behandling av personuppgifter rörande sårbara fysiska personer, framför allt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: Om skadorna har uppstått eller sannolikt kommer att uppstå på grund av överträdelse av förordningen bör tillsynsmyndigheten ta hänsyn till detta vid sitt val av korrigerande åtgärd, även om tillsynsmyndigheten själv inte har behörighet att tilldela någon specifik ersättning för skadan.

text: Tillsynsmyndigheten behöver inte fastställa något orsakssamband mellan överträdelsen och den materiella förlusten för att kunna påföra en sanktionsavgift (se till exempel

text: artikel 83.6

text: Överträdelsens varaktighet kan ge en uppfattning om bland annat

text: a) uppsåt från personuppgiftsansvarigas sida,

text: b) underlåtenhet att vidta lämpliga försiktighetsåtgärder, eller

text: c) oförmåga att införa tekniska och organisatoriska åtgärder som krävs.

text: b) Om överträdelsen skett med uppsåt eller genom oaktsamhet

text: Generellt innefattar ”med uppsåt” både kunskap och uppsåt i förhållande till en överträdelse, medan ”oaktsamhet” innebär att det inte fanns någon avsikt bakom överträdelsen, även om den personuppgiftsansvarige/personuppgiftsbiträdet brast i sin lagstadgade aktsamhetsplikt.

text: Det är allmänt vedertaget att uppsåtliga överträdelser som visar lagtrots är allvarligare än oavsiktliga och därför med större sannolikhet motiverar att en administrativ sanktionsavgift påförs. Relevanta slutsatser om uppsåt och oaktsamhet bör dras utifrån en objektiv beskrivning av beteendet som bygger på insamlade fakta om fallet. Genom den rättspraxis som växer fram inom dataskyddsområdet vid tillämpningen av förordningen kan dessutom omständigheter utkristalliseras som ger en klarare grund för att avgöra om det funnits uppsåt bakom en överträdelse.

text: Omständigheter som kan tyda på uppsåtliga överträdelser är olaglig behandling för vilken den personuppgiftsansvarige har fått tillstånd från högsta ledningen eller genomför trots att dataskyddsombudet har avrått från den eller trots befintliga policyer. Det kan till exempel vara att skaffa och behandla data om anställda hos en konkurrent i avsikt att misskreditera konkurrenten på marknaden.

text: Andra exempel:  Ändra personuppgifter för att ge ett missvisande (positivt) intryck av att mål har uppnåtts – vi har sett detta i samband med mål för sjukhusväntelistor.  Handel med personuppgifter för marknadsföringsändamål, dvs. att hävda att man säljer data med de registrerades samtycke utan att kontrollera eller ta hänsyn till hur deras data kommer att användas.

text: Andra omständigheter, till exempel att inte läsa och följa befintliga policyer, fel på grund av den mänskliga faktorn, underlåtenhet att kontrollera för personuppgifter innan information offentliggörs, underlåtenhet att tillämpa tekniska uppdateringar på utsatta tider och underlåtenhet att anta policyer (i stället för enbart underlåtenhet att tillämpa dem) kan vara tecken på oaktsamhet.

text: Företag bör ansvara för att tillhandahålla lämpliga strukturer och resurser för verksamhetens karaktär och komplexitet. Personuppgiftsansvariga och personuppgiftsbiträden kan inte legitimera överträdelser av dataskyddslagstiftningen genom att hänvisa till brist på resurser i sig. Rutiner och dokumentation av behandlingsaktiviteter följer en riskbaserad metod enligt förordningen.

text: Det finns gråzoner som kommer att påverka beslut om att tillämpa en korrigerande åtgärd eller inte, och myndigheten kan behöva genomföra mer omfattande utredningar för att fastställa fakta i fallet och säkerställa att tillräcklig hänsyn tas till alla specifika omständigheter i varje enskilt fall.

text: c) De åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit för att

text: lindra den skada som de registrerade har lidit

text: Personuppgiftsansvariga och personuppgiftsbiträden är skyldiga att genomföra tekniska och organisatoriska åtgärder för att uppnå en riskanpassad säkerhetsnivå, genomföra konsekvensbedömningar av dataskyddet och minska risker för enskildas fri- och rättigheter som uppstår på grund av behandling av personuppgifter. Om en överträdelse inträffar och den registrerade har lidit skada ska den ansvariga parten dock göra vad han eller hon kan för att minska konsekvenserna av överträdelsen för den eller de enskilda som berörs. Tillsynsmyndigheten bör ta hänsyn till ett sådant ansvarsfullt beteende (eller avsaknad av detta) både för sitt val av korrigerande åtgärd eller åtgärder och vid beräkning av den sanktionsavgift som ska påföras i det specifika fallet.

text: Försvårande och förmildrande faktorer lämpar sig särskilt väl för att finjustera avgiftsbeloppet efter de särskilda omständigheterna i fallet, men deras roll vid valet av korrigerande åtgärd ska inte heller underskattas. Ett exempel är när en bedömning baserad på andra kriterier gör tillsynsmyndigheten osäker på om en administrativ sanktionsavgift är lämplig som enda åtgärd eller i kombination med andra åtgärder i

text: artikel 58

text: . I detta fall kan sådana försvårande eller förmildrande omständigheter göra det lättare att välja lämpliga åtgärder genom att tippa vågskålen mot något som upplevs som mer effektivt, proportionellt och avskräckande i det specifika fallet.

text: Denna bestämmelse fungerar som en bedömning av graden av ansvar för den personuppgiftsansvarige efter överträdelsen. Den kan omfatta fall där den personuppgiftsansvarige/personuppgiftsbiträdet uppenbart inte har varit likgiltig eller oaktsam utan har gjort allt de har kunnat för att rätta till sina handlingar när de blev medvetna om överträdelsen.

text: Tillsynsmyndigheternas erfarenheter i samband med direktiv

text: har tidigare visat att det kan vara lämpligt att visa viss flexibilitet gentemot personuppgiftsansvarige/personuppgiftsbiträden som har erkänt överträdelsen och tagit ansvar för att korrigera eller begränsa följderna av sina handlingar. Exempel (som dock inte automatiskt ska leda till ett mer flexibelt förhållningssätt) kan vara:  Kontakta andra personuppgiftsansvariga/personuppgiftsbiträden som kan ha varit involverade i den utökade behandlingen, t.ex. om en uppgift av misstag har delats med tredje parter.  Den personuppgiftsansvarige/personuppgiftsbiträdet stoppar snabbt överträdelsen från att fortsätta eller utökas till en nivå eller fas som skulle ha gjort följderna mycket allvarligare än de blev.

text: d) Graden av ansvar hos den personuppgiftsansvarige eller personuppgiftsbiträdet med beaktande av de tekniska och organisatoriska åtgärder som genomförts av dem i enlighet med artiklarna

text: och

text: Förordningen innebär att personuppgiftsansvariga får mycket mer ansvar än enligt dataskyddsdirektivet

text: Personuppgiftsansvarigas och personuppgiftsbiträdens ansvarsskyldighet som grund för valet av lämpliga korrigerande åtgärder kan bland annat innefatta:  Har den personuppgiftsansvarige genomfört tekniska åtgärder enligt principerna för inbyggt dataskydd och dataskydd som standard (

text: artikel 25

text: )?  Har den personuppgiftsansvarige genomfört tekniska åtgärder enligt principerna för inbyggt dataskydd och dataskydd som standard (

text: artikel 25

text: ) på alla nivåer i organisationen?  Har den personuppgiftsansvarige/personuppgiftsbiträdet säkerställt en lämplig säkerhetsnivå (

text: artikel 32

text: )?  Är relevanta rutiner/policyer för dataskydd kända och tillämpas dessa på en lämplig ledningsnivå i organisationen? (

text: Artikel 24

text: Enligt artikel

text: och

text: i förordningen krävs det att personuppgiftsansvariga beaktar den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. I stället för att vara skyldigheter avseende mål inför dessa bestämmelser skyldigheter avseende medel, genom att den personuppgiftsansvarige måste göra de bedömningar som krävs och dra lämpliga slutsatser. Den fråga tillsynsmyndigheten måste besvara är alltså i vilken grad den personuppgiftsansvarige har gjort ”vad som kunde förväntas” med tanke på behandlingens karaktär, ändamål eller omfattning, i förhållande till sina skyldigheter enligt förordningen. Vid den bedömningen ska tillräcklig hänsyn tas till ”bästa praxis” när det gäller förfaranden eller metoder, där sådana finns och tillämpas. Det är viktigt att ta hänsyn till industristandarder och uppförandekoder inom respektive område eller yrke. Bästa praxis-koder kan ge en uppfattning om vad som är allmän praxis inom området och om kunskapsnivån när det gäller olika medel för att hantera typiska säkerhetsfrågor i samband med behandling.

text: Bästa praxis är det övergripande ideal som ska eftersträvas, men hänsyn måste tas till de särskilda omständigheterna i varje enskilt fall för ansvarsbedömningen.

text: e) Eventuella relevanta tidigare överträdelser som den personuppgiftsansvarige eller

text: personuppgiftsbiträdet gjort sig skyldig till

text: Detta kriterium är avsett för bedömning av tidigare resultat för den enhet som begått överträdelsen. Tillsynsmyndigheterna bör tänka på att bedömningen här kan ha en relativt stor spännvidd. Skälet till det är att alla typer av överträdelser av förordningen kan vara relevanta för bedömningen, även sådana som är annorlunda till sin karaktär än den som tillsynsmyndigheten utreder för tillfället, eftersom de kan visa att den allmänna kunskapsnivån är för låg eller att dataskyddsreglerna inte beaktas.

text: Tillsynsmyndigheten bör bedöma följande:  Har den personuppgiftsansvarige/personuppgiftsbiträdet gjort sig skyldig till samma överträdelse tidigare?  Har den personuppgiftsansvarige/personuppgiftsbiträdet begått en överträdelse av förordningen på samma sätt? (till exempel inte svarat på begäranden från registrerade tillräckligt snabbt, eller dröjt omotiverat länge med att svara på begäranden och liknande, på grund av otillräcklig kunskap om befintliga rutiner inom organisationen eller olämplig riskbedömning).

text: f) Graden av samarbete med tillsynsmyndigheten för att komma till rätta med överträdelsen och

text: minska dess potentiella negativa effekter

text: Vid beslut om en administrativ sanktionsavgift och dess belopp ska enligt

text: artikel 83.2

text: ”vederbörlig hänsyn” tas till graden av samarbete. Förordningen ger inget entydigt svar på frågan hur hänsyn ska tas till personuppgiftsansvariges och personuppgiftsbiträdens insatser för att åtgärda en överträdelse som redan har fastställts av tillsynsmyndigheten. Vidare är det uppenbart att kriterierna normalt skulle tillämpas när sanktionsavgiftens belopp beräknas.

text: Om den personuppgiftsansvarigas insats har lett till att de negativa följderna för enskildas rättigheter aldrig uppkom eller blev mer begränsade än de annars skulle ha blivit, skulle tillsynsmyndigheten även kunna ta hänsyn till detta när den väljer en korrigerande åtgärd som är proportionell i det enskilda fallet.

text: Ett exempel på en fråga som kan visa om det i ett visst fall är relevant att ta hänsyn till samarbetet med tillsynsmyndigheten är följande:  Har enheten genom sin reaktion på tillsynsmyndighetens begäranden under utredningen av det specifika fallet begränsat inverkan på enskildas rättigheter väsentligt?

text: Det skulle däremot inte vara lämpligt att ta ytterligare hänsyn till samarbete som lagen redan kräver. Enheten är till exempel alltid skyldig att ge tillsynsmyndigheten tillträde till lokalerna för revisioner/inspektioner.

text: g) De kategorier av personuppgifter som påverkas av överträdelsen

text: Några exempel på viktiga frågor som tillsynsmyndigheten kan behöva besvara om de är tillämpliga på fallet:  Gäller överträdelsen behandling av särskilda kategorier av personuppgifter enligt artikel

text: eller

text: i förordningen?  Är data direkt eller indirekt identifierbara?  Innefattar behandlingen uppgifter vars spridning skulle leda till direkt skada/trångmål för den enskilde (vilket faller utanför kategorin i artikel

text: eller

text:  Är uppgifterna direkt tillgängliga utan tekniska skydd, eller är de krypterade ?

text: h) Det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, särskilt huruvida och i vilken omfattning den personuppgiftsansvarige eller personuppgiftsbiträdet anmälde överträdelsen

text: En tillsynsmyndighet kan bli medveten om överträdelsen genom utredning, klagomål, artiklar i pressen, anonyma tips eller anmälan från den personuppgiftsansvarige. Denne är enligt förordningen skyldig att anmäla överträdelser rörande personuppgifter till tillsynsmyndigheten. När den personuppgiftsansvarige endast uppfyller denna skyldighet kan det inte betraktas som en dämpande/förmildrande faktor. På motsvarande sätt gäller att tillsynsmyndigheten kan anse att personuppgiftsansvariga/personuppgiftsbiträden som har handlat vårdslöst utan att anmäla detta, eller åtminstone inte har anmält alla detaljer av överträdelsen, på grund av att de inte har uppfattat överträdelsens omfattning förtjänar en strängare sanktion. I detta fall är det alltså osannolikt att överträdelsen klassificeras som mindre.

text: i) När åtgärder enligt

text: artikel 58.2

text: tidigare har förordnats mot den berörda personuppgiftsansvarige eller personuppgiftsbiträdet vad gäller samma sakfråga, efterlevnad av dessa åtgärder

text: En tidigare överträdelse kan göra att tillsynsmyndigheten redan har ögonen på en personuppgiftsansvarig eller ett personuppgiftsbiträde för kontroll av efterlevnaden. Om kontakter har förekommit med dataskyddsombudet har dessa sannolikt varit omfattande. Därför kommer tillsynsmyndigheten att ta hänsyn till tidigare kontakter.

text: Till skillnad från kriterierna i punkt e är detta bedömningskriterium endast en påminnelse till tillsynsmyndigheterna om att de ska hänvisa till åtgärder som de själva har utfärdat vid ett tidigare tillfälle till samma personuppgiftsansvarig eller personuppgiftsbiträde ”vad gäller samma sakfråga”.

text: j) Tillämpandet av godkända uppförandekoder i enlighet med

text: artikel 40

text: eller godkända

text: certifieringsmekanismer i enlighet med

text: artikel 42

text: Tillsynsmyndigheterna har skyldighet att Övervaka och verkställa tillämpningen av denna förordning (

text: artikel 57.1 a

text: ). Enligt artiklarna

text: eller

text: i förordningen kan personuppgiftsansvariga och personuppgiftsbiträden visa efterlevnad genom att följa godkända uppförandekoder.

text: Vid en överträdelse av någon av förordningens bestämmelser kan tillämpningen av en godkänd uppförandekod ge tillsynsmyndigheten en uppfattning om hur stort behovet är av att den sätter in en effektiv, proportionell och avskräckande administrativ sanktionsavgift eller någon annan korrigerande åtgärd. Enligt

text: artikel 40.4

text: ska godkända uppförandekoder innehålla mekanismer som gör det möjligt för det (övervakande) organet att utföra den obligatoriska övervakningen av att dess bestämmelser efterlevs.

text: När personuppgiftsansvariga eller personuppgiftsbiträden har följt en godkänd uppförandekod kan tillsynsmyndigheten förlita sig på att den organisation som står bakom koden själv vidtar lämpliga åtgärder mot sin medlem, till exempel genom övervaknings- och verkställighetsprogram som uppförandekoden innefattar. Tillsynsmyndigheten kan därför anse att sådana åtgärder är tillräckligt effektiva, proportionella eller avskräckande i det enskilda fallet och att det inte behövs några ytterligare åtgärder från myndigheten själv. När skyldigheter inte uppfylls kan vissa former av sanktioner ske genom övervakningssystemet, i enlighet med artikel

text: 41.2 c

text: och

text: . Det gäller bland annat avstängning eller uteslutande av den personuppgiftsansvarige eller personuppgiftsbiträdet från uppförandekoden. Det övervakande organets befogenheter gäller dock utan att det påverkar den

text: berörda tillsynsmyndighetens uppgifter och befogenheter. Detta innebär att tillsynsmyndigheten inte är skyldig att ta hänsyn till tidigare påförda sanktioner inom ramen för systemet med egentillsyn.

text: Bristande efterlevnad av egentillsynsåtgärder kan även avslöja att den personuppgiftsansvarige eller personuppgiftsbiträdet visar vårdslöshet eller uppsåtlig underlåtenhet när det gäller att uppfylla sina skyldigheter.

text: k) Eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet, såsom ekonomisk vinst som görs eller förlust som undviks, direkt eller indirekt, genom

text: överträdelsen

text: Bestämmelsen i sig innehåller exempel på andra faktorer att ta hänsyn till vid beslut om lämpligheten av en administrativ sanktionsavgift för en överträdelse av bestämmelserna i artikel

text: Information om förtjänst på grund av en överträdelse kan vara särskilt viktig för tillsynsmyndigheten eftersom ekonomisk vinning genom överträdelsen inte kan kompenseras genom åtgärder som inte har några ekonomiska konsekvenser. Det faktum att en personuppgiftsansvarig har haft vinning av överträdelsen av förordningen kan i sig utgöra en stark indikation på att en sanktionsavgift bör påföras.

text: IV. Slutsats

text: Reflektioner kring frågor som dem i avsnittet ovan gör det lättare för tillsynsmyndigheterna att använda relevanta fakta i fallet för att välja de kriterier som är mest användbara när myndigheten ska avgöra om en lämplig administrativ sanktionsavgift ska påföras utöver eller i stället för andra åtgärder enligt

text: artikel 58

text: . Genom att ta hänsyn till det sammanhang som framkommer vid bedömningen kan tillsynsmyndigheten välja den korrigeringsåtgärd som är mest effektiv, proportionell och avskräckande i förhållande till överträdelsen. korrigeringsåtgärden

text: Artikel 58

text: innehåller en del vägledning om vilka åtgärder en tillsynsmyndighet kan välja, med tanke på att de korrigerande åtgärderna är olika till sin karaktär och i första hand lämpade för olika ändamål. Det kan även gå att kombinera vissa av åtgärderna i

text: artikel 58

text: för att utforma en tillsynsåtgärd som innefattar mer än en korrigerande åtgärd.

text: Det är inte alltid nödvändigt att komplettera åtgärden med en annan korrigerande åtgärd. Enbart sanktionsavgiften kan till exempel räcka för önskad effektivitet och avskräckande verkan om tillsynsmyndigheten tar tillräcklig hänsyn till vad som är proportionellt i ett visst fall.

text: I huvudsak gäller det för myndigheterna att återupprätta efterlevnaden genom att tillämpa de korrigerande åtgärder som står till buds. Tillsynsmyndigheterna kommer också att behöva välja den lämpligaste kanalen för tillsynsåtgärder. Detta kan till exempel innefatta straffrättsliga åtgärder (om sådana är tillgängliga på nationell nivå).

text: Praxisen att tillämpa administrativa sanktionsavgifter håller på att utvecklas i EU, och tillsynsmyndigheterna bör samarbeta vid tillämpning av åtgärderna för att kontinuerligt öka enhetligheten. Samarbetet kan bestå i regelbundna utbyten genom workshops om fallhantering eller andra evenemang som ger möjlighet att jämföra fall på regional, nationell och gränsöverskridande nivå. En rekommendation är att stödja pågående samarbete genom att skapa en permanent undergrupp med anknytning till en relevant del av EDPB.


text: Denna arbetsgrupp inrättades genom

text: artikel 29 i direktiv 95/46/EG

text: . Den är ett oberoende rådgivande EU-organ i frågor som rör uppgiftsskydd och integritetsskydd. Arbetsuppgifterna finns beskrivna i

text: artikel 30 i direktiv 95/46/EG

text: och

text: artikel 15 i direktiv 2002/58/EG

text: . Arbetsgruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och unionsmedborgarskap) vid Europeiska kommissionen, Generaldirektoratet för rättsliga frågor, B-1049 Bryssel, Belgien, Kontor MO-59 02/013. Webbplats: http://ec.europa.eu/newsroom/article29/news.cfm?item_type=1358&tpa_id=6936http://ec.europa.eu/newsroom/article29/news.cf m?item_type=1358&tpa_id=6936

text: Som inrättades genom artikel 29 i EU:s dataskyddsdirektiv

text: . 2

text: , Arbetsdokument – Överföring av personuppgifter till tredje land: tillämpning av artiklarna 25 och 26 i EU:s dataskyddsdirektiv, som antogs av arbetsgruppen den 24 juli 1998. 3

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning) (Text av betydelse för EES). 4 Däribland domstolens dom av den 6 oktober 2015, Maximillian Schrems/Data Protection Commissioner,

text: , ECLI:EU:C:2015:650. Se de relevanta artiklarna

text: och

text: i den allmänna dataskyddsförordningen för närmare information om genomförandeakterna.

text: Working Document 01/2016 on the justification of interferences with the fundamental rights to privacy and data protection through surveillance measures when transferring personal data (European Essential Guarantees) (ej översatt till svenska), 16/EN

text: , 13.4.2016.

publisher: Artikel 29-gruppen

sprak: sv

title: Referensram för adekvat skyddsnivå

serie: wp

text: Artikel 29-arbetsgruppen Referensram för adekvat skyddsnivå Senast reviderad och antagen den 6 februari 2018

type: rubrik

text: Inledning

type: stycke

text: Arbetsgruppen för EU:s dataskyddsmyndigheter (artikel 29-arbetsgruppen) har tidigare publicerat ett arbetsdokument om överföring av personuppgifter till tredje land (

text: ) . I och med att direktivet ersätts av EU:s allmänna dataskyddsförordning (GDPR) väljer artikel 29-arbetsgruppen att se över

text: , gruppens tidigare vägledning, för att uppdatera den utifrån den nya lagstiftningen och ny rättspraxis hos Europeiska unionens domstol .

text: Syftet med det här arbetsdokumentet är att uppdatera kapitel ett i

text: som gäller den centrala frågan om adekvat skyddsnivå för personuppgifter i ett tredjeland, ett territorium eller en eller flera specificerade sektorer i tredjelandet eller i en internationell organisation (nedan kallat tredjeländer eller internationella organisationer). Det här dokumentet kommer kontinuerligt att ses över och vid behov uppdateras under de kommande åren, baserat på den praktiska erfarenhet som erhållits genom tillämpningen av den allmänna dataskyddsförordningen. Kapitel 2 (Att tillämpa tillvägagångssättet på de länder som ratificerat Europarådets konvention 108) och kapitel 3 (Att tillämpa tillvägagångssättet på branschens självreglering) i

text: bör uppdateras i ett senare skede.

text: Det här arbetsdokumentet är helt och hållet inriktat på beslut om adekvat skyddsnivå, som utgörs av genomförandeakter från kommissionen enligt

text: artikel 45 i den allmänna dataskyddsförordningen

text: . Andra aspekter av överföringar av personuppgifter till tredjeländer och internationella organisationer kommer att undersökas i senare arbetsdokument som kommer att publiceras separat (bindande företagsbestämmelser och undantag).

text: Syftet med detta dokument är att ge vägledning åt kommissionen och artikel 29-arbetsgruppen, inom ramen för den allmänna dataskyddsförordningen, kring bedömning av skyddsnivåer för personuppgifter i tredjeländer och internationella organisationer genom att fastställa de grundprinciper för dataskydd som måste finnas i den rättsliga ramen för ett tredjeland eller en internationell organisation för att säkerställa väsentlig likvärdighet med EU:s rättsliga ramar.

text: Därutöver kan dokumentet fungera som vägledning för tredjeländer och internationella organisationer som är intresserade av att uppnå en adekvat skyddsnivå. Principerna som anges i detta arbetsdokument vänder sig dock inte direkt till personuppgiftsansvariga eller personuppgiftsbiträden.

text: Detta dokument består av fyra kapitel:

text: Kapitel 1: Generell information om begreppet adekvat skyddsnivå

text: Kapitel 2: Förfaranden gällande bedömningar om adekvat skyddsnivå inom ramen för den allmänna dataskyddsförordningen

text: Kapitel 3: Allmänna principer för dataskydd. I detta kapitel finns grundläggande allmänna principer för dataskydd, som används för att säkerställa att skyddsnivån för personuppgifter i ett tredjeland eller en internationell organisation väsentligen är likvärdig med den som fastställs genom EU-lagstiftningen.

text: Kapitel 4: Grundläggande garantier för åtkomst i samband med brottsbekämpning och nationell säkerhet för att begränsa ingreppen i de grundläggande rättigheterna. I detta kapitel anges de grundläggande garantierna för åtkomst gällande brottsbekämpning och nationell säkerhet, i enlighet med domen från Europeiska unionens domstol i Schrems-målet 2015 och baserat på

text: artikel 29

text: arbetsgruppens arbetsdokument om grundläggande garantier som antogs 2016.

text: I

text: artikel 45.1 i den allmänna dataskyddsförordningen

text: anges principen att överföringar av personuppgifter till ett tredjeland eller en internationell organisation endast får äga rum om tredjelandet, territoriet eller en eller flera specificerade sektorer i tredjelandet eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå.

text: Begreppet ”adekvat skyddsnivå” som fanns med redan i direktiv

text: har vidareutvecklats av Europeiska unionens domstol. Det är i detta sammanhang viktigt att påminna om den princip som fastställdes av domstolen i Schrems-målet, närmare bestämt att medan skyddsnivån i tredjelandet måste vara väsentligen likvärdig med den som garanteras inom EU gäller att ”de medel som detta tredjeland använder för att säkerställa en sådan skyddsnivå kan skilja sig från dem som används inom [EU]” . Därför är målet inte att punkt för punkt efterlikna EU-lagstiftningen utan att fastställa de grundläggande och avgörande kraven i denna lagstiftning.

text: Syftet med kommissionens beslut om adekvat skyddsnivå är att formellt bekräfta, med bindande verkan för medlemsstaterna , att skyddsnivån för personuppgifter i ett tredjeland eller en internationell organisation är väsentligen likvärdig med skyddsnivån för personuppgifter i EU . Adekvat skyddsnivå kan uppnås genom en kombination av rättigheter för de registrerade och skyldigheter för de som behandlar personuppgifter, eller som utövar kontroll över sådan behandling, och övervakning av oberoende organ. Bestämmelser om skydd av personuppgifter är dock endast effektiva om de är verkställbara och följs i praktiken. Det är därför nödvändigt att inte bara se till innehållet i bestämmelserna för överföring av personuppgifter till ett tredjeland eller en internationell organisation utan också till de mekanismer som har inrättats för att säkerställa att dessa bestämmelser är verkningsfulla. Effektiva verkställighetsmekanismer är av avgörande betydelse för att få effektiva bestämmelser om skydd av personuppgifter.

text: I

text: artikel 45.2 i den allmänna dataskyddsförordningen

text: fastställs de element som kommissionen ska beakta vid bedömningen av om en adekvat skyddsnivå föreligger i ett tredjeland eller en internationell organisation.

text: Till exempel ska kommissionen beakta rättsstatsprincipen, respekten för de mänskliga rättigheterna och de grundläggande friheterna, relevant lagstiftning, huruvida det finns en eller flera effektivt fungerande oberoende tillsynsmyndigheter i tredjelandet och vilka internationella åtaganden tredjelandet eller den internationella organisationen har gjort.

text: Det är därför uppenbart att en analys av vad som är en adekvat skyddsnivå endast blir meningsfull om den beaktar följande två grundläggande element: innehållet i de gällande bestämmelserna och instrumenten för att säkerställa att dessa tillämpas på ett effektivt sätt. Det ligger på kommissionens ansvar att regelbundet kontrollera att de bestämmelser som finns är effektiva i praktiken.

text: Själva kärnan av innehållsmässiga principer för skydd av personuppgifter och av krav i fråga om förfarande- och verkställandemekanismer, som kan ses som ett minimikrav för att skyddet ska vara adekvat, erhålls från EU-stadgan om de grundläggande rättigheterna och den allmänna

text: dataskyddsförordningen. Dessutom bör hänsyn tas till andra internationella avtal om dataskydd, till exempel konventionen om skydd för enskilda vid automatisk behandling av personuppgifter (konvention 108) .

text: Domstolens dom av den 6 oktober 2015, Maximillian Schrems/Data Protection Commissioner,

text: , ECLI:EU:C:2015:650, punkterna 73 och 74.

text: Artikel 288.2 i fördraget om Europeiska unionens funktionssätt

text: . Domstolens dom av den 6 oktober 2015, Maximillian Schrems/Data Protection Commissioner,

text: , ECLI:EU:C:2015:650, punkt 52. 9

text: Skäl 105

text: i

text: den allmänna dataskyddsförordningen

text: Hänsyn ska även tas till den rättsliga ramen för offentliga myndigheters tillgång till personuppgifter. Ytterligare vägledning inom detta område finns i arbetsdokumentet

text: (arbetsdokumentet om grundläggande garantier) som behandlar skyddsåtgärder i samband med övervakning.

text: Allmänna bestämmelser om uppgiftsskydd och integritetsskydd i tredjelandet är inte tillräckliga. Tvärtom måste specifika bestämmelser som behandlar konkreta behov gällande praktiskt relevanta aspekter av rätten till uppgiftsskydd ingå i tredjelandets eller den internationella organisationens rättsliga ram. Dessa bestämmelser måste vara verkställbara.

text: För att Europeiska dataskyddsstyrelsen ska kunna fullgöra sin uppgift att lämna råd till kommissionen enligt

text: artikel 70.1 s i den allmänna dataskyddsförordningen

text: ska Europeiska dataskyddsstyrelsen få tillgång till relevant dokumentation, inklusive relevant korrespondens och de bedömningar som gjorts av kommissionen. I de fall då den rättsliga ramen är komplex bör eventuella rapporter som tagits fram om skyddsnivån för uppgifter i tredjelandet eller den internationella organisationen innefattas. Under alla omständigheter ska informationen som lämnas av kommissionen vara uttömmande och göra det möjligt för Europeiska dataskyddsstyrelsen att göra en egen bedömning av skyddsnivån för uppgifter i tredjelandet. Europeiska dataskyddsstyrelsen ska avge ett yttrande om kommissionens bedömningar inom utsatt tid och identifiera eventuella brister i den rättsliga ramen för adekvat skyddsnivå. Europeiska dataskyddsstyrelsen ska även sträva efter att föreslå förändringar eller tillägg för att åtgärda eventuella brister.

text: Enligt

text: artikel 45.4 i den allmänna dataskyddsförordningen

text: ligger det på kommissionens ansvar att fortlöpande övervaka utveckling som kan påverka hur väl beslut om adekvat skyddsnivå fungerar.

text: I

text: artikel 45.3 i den allmänna dataskyddsförordningen

text: fastställs att en regelbunden översyn måste utföras minst vart fjärde år. Detta ska dock betraktas som en generell tidsram som måste anpassas för varje tredjeland eller internationell organisation som omfattas av ett beslut om adekvat skyddsnivå. Beroende på de specifika omständigheter som råder kan det krävas att översynen utförs med tätare intervall. Dessutom kan incidenter eller annan information om eller ändringar i den rättsliga ramen för tredjelandet eller den internationella organisationen i fråga vara grund för att utföra en översyn tidigare än planerat. Det förefaller även lämpligt att ha en första översyn av ett helt nytt beslut om adekvat skyddsnivå relativt tidigt, och att sedan gradvis justera översynsintervallen utifrån resultatet.

text: Med tanke på uppdraget att avge ett yttrande till kommissionen huruvida ett tredjeland, ett territorium eller en eller flera specificerade sektorer i tredjelandet eller en internationell organisation inte längre säkerställer en adekvat skyddsnivå, måste Europeiska dataskyddsstyrelsen, inom utsatt tid, erhålla meningsfull information om övervakningen av den relevanta utvecklingen i tredjelandet eller den internationella organisationen från kommissionen. Av den anledningen bör Europeiska dataskyddsstyrelsen hållas underrättad om eventuella översynsprocesser och översynsuppdrag i tredjelandet eller gällande den internationella organisationen. Europeiska dataskyddsstyrelsen skulle uppskatta att bjudas in att delta i dessa översynsprocesser och översynsuppdrag.

text: Det bör även uppmärksammas att enligt

text: artikel 45.5 i den allmänna dataskyddsförordningen

text: har kommissionen rätt att återkalla, ändra eller upphäva befintliga beslut om adekvat skyddsnivå. Följaktligen bör Europeiska dataskyddsstyrelsen involveras i förfarandet för att återkalla, ändra eller upphäva beslut, genom att dess yttrande inhämtas enligt

text: artikel 70.1 s

text: Därutöver måste dataskyddsmyndigheter, vilket fastställs i

text: artikel 58.5 i den allmänna dataskyddsförordningen

text: och i domen från Europeiska unionens domstol i Schrems-målet, kunna delta i rättsliga förfaranden om de finner att en persons anspråk gentemot ett beslut om adekvat skyddsnivå

text: är välgrundat: ”Det ankommer härvidlag på den nationella lagstiftaren att föreskriva rättsmedel som gör det möjligt för den nationella tillsynsmyndigheten att vid nationella domstolar göra gällande de invändningar som den anser att det finns fog för, så att nationella domstolar, för det fall att de delar myndighetens tvivel angående kommissionsbeslutets giltighet, kan hänskjuta en begäran om förhandsavgörande för att pröva detta besluts giltighet.”

text: , ECLI:EU:C:2015:650, punkt 65.

text: Kapitel 3: Allmänna principer för dataskydd som används för att säkerställa att skyddsnivån i ett tredjeland, ett territorium eller en eller flera specificerade sektorer i tredjelandet eller en internationell organisation väsentligen är likvärdig med den som garanteras genom EUlagstiftningen

text: Ett tredjelands eller en internationell organisations system måste innehålla följande grundläggande innehållsmässiga principer för skydd av personuppgifter och förfarande- och verkställandemekanismer:

text: A. Innehållsmässiga principer:

text: 1) Begrepp

text: Grundläggande begrepp och/eller principer rörande skydd av personuppgifter bör vara definierade. Dessa begrepp och principer behöver inte exakt återspegla terminologin i den allmänna dataskyddsförordningen, men de bör avspegla och vara i enlighet med de begrepp som används i EU:s dataskyddslagstiftning. Till exempel innehåller den allmänna dataskyddsförordningen följande viktiga begrepp: ”personuppgifter”, ”behandling av personuppgifter”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”mottagare” och ”känsliga uppgifter”.

text: 2) Grunder för laglig och rättvis behandling för berättigade ändamål

text: Uppgifter måste behandlas på ett lagligt, rättvist och berättigat sätt.

text: De legitima grunder enligt vilka personuppgifter kan behandlas på ett lagligt, rättvist och berättigat

text: sätt ska anges på ett tillräckligt tydligt sätt. Det finns åtskilliga sådana legitima grunder inom EU:s rättsliga ramar, till exempel bestämmelser i nationell lagstiftning, den registrerades samtycke, fullgörande av ett avtal eller berättigat intresse från den personuppgiftsansvariges eller en tredje parts sida när inte individens intressen väger tyngre.

text: 3) Principen om ändamålsbegränsning

text: Uppgifter ska behandlas för ett specifikt ändamål och får därefter endast användas i den utsträckning det är förenligt med behandlingens syfte.

text: 4) Principen om uppgifternas kvalitet och proportionalitet

text: Uppgifterna ska vara korrekta och, när så är nödvändigt, hållas aktuella. Dessutom ska uppgifterna vara adekvata, relevanta och inte mer omfattande än vad som krävs för de ändamål för vilka de behandlas.

text: 5) Principen om lagring av uppgifter

text: Uppgifter ska, generellt sett, inte bevaras under längre tid än vad som krävs för de ändamål för vilka personuppgifterna behandlas.

text: 6) Principen om säkerhet och konfidentialitet

text: Varje enhet som behandlar personuppgifter ska se till att uppgifterna behandlas på ett sätt som säkerställer personuppgifternas säkerhet, vilket innefattar skydd mot obehörig eller olaglig behandling och mot förlust, förstörelse eller skada genom olyckshändelse, med användning av lämpliga tekniska

text: eller organisatoriska åtgärder. Säkerhetsnivån bör fastställas med beaktande av den senaste tekniska utvecklingen och de tillhörande kostnaderna.

text: 7) Öppenhetsprincipen

text: Varje individ ska informeras om alla huvudelement i behandlingen av hans eller hennes personuppgifter på ett tydligt, lättillgängligt, kortfattat, öppet och begripligt sätt. Informationen ska ange ändamålet med behandlingen, den personuppgiftsansvariges identitet, individens rättigheter och övrig information som krävs för att säkerställa en öppen och rättvis behandling. Under vissa omständigheter kan det finnas undantag från denna rätt till information, till exempel för att skydda brottsutredningar, den nationella säkerheten, rättsväsendets oberoende och rättsliga åtgärder eller andra viktiga mål av generellt allmänt intresse i enlighet med

text: artikel 23 i den allmänna dataskyddsförordningen

text: 8) Rätt till tillgång, rättelse, radering och invändningar

text: Den registrerade ska ha rätt att erhålla bekräftelse på om personuppgiftsbehandling som rör honom eller henne äger rum, samt få tillgång till de egna uppgifterna, inklusive en kopia av alla uppgifter avseende honom eller henne som behandlas.

text: Den registrerade ska ha rätt att vid behov få sina uppgifter rättade av angivna skäl, till exempel om de visar sig vara felaktiga eller ofullständiga, och att få sina uppgifter raderade, till exempel när behandlingen av dem inte längre är nödvändig eller om den är olaglig.

text: Dessutom ska den registrerade ha rätt att när som helst, av tvingande berättigade skäl gällande hans eller hennes specifika situation, invända mot behandling av hans eller hennes uppgifter som sker baserat på särskilda villkor som anges i tredjelandets rättsliga ramar. I fråga om den allmänna dataskyddsförordningen kan sådana villkor exempelvis vara när behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, när behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning eller när behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen.

text: Utövandet av dessa rättigheter ska inte vara alltför betungande för den registrerade. Vissa begränsningar av dessa rättigheter kan finnas, till exempel för att skydda brottsutredningar, den nationella säkerheten, rättsväsendets oberoende och rättsliga åtgärder eller andra viktiga mål av generellt allmänt intresse i enlighet med

text: 9) Restriktioner för vidare överföring

text: Vidare överföring av personuppgifter från den första mottagaren av den ursprungliga överföringen ska endast tillåtas när nästa mottagare (det vill säga mottagaren av den vidare överföringen) också omfattas av bestämmelser (inklusive avtalsbaserade bestämmelser) som ger en adekvat skyddsnivå och följer relevanta instruktioner vid behandling av uppgifter på den personuppgiftsansvariges uppdrag. Skyddsnivån för de fysiska personer vars personuppgifter överförs får inte undergrävas av den vidare överföringen. Den första mottagaren av uppgifter som överförs från EU ska vara skyldig att säkerställa att lämpliga skyddsåtgärder vidtas för vidare överföringar av uppgifter i avsaknad av ett beslut om adekvat skyddsnivå. Sådana vidare överföringar av uppgifter ska endast göras för begränsade och specificerade ändamål och bara så länge det finns en rättslig grund för behandlingen.

text: B. Exempel på ytterligare innehållsmässiga principer som ska tillämpas för specifika typer av behandlingar:

text: 1) Särskilda kategorier av uppgifter

text: Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier av uppgifter” är inblandade . Dessa kategorier bör återspegla dem som anges i artiklarna

text: och

text: i den allmänna dataskyddsförordningen. Det extra skyddet bör införas genom strängare krav för uppgiftsbehandlingen, till exempel i form av att den registrerade ger sitt uttryckliga samtycke till behandlingen eller genom ytterligare säkerhetsåtgärder.

text: 2) Direktmarknadsföring

text: Om personuppgifter behandlas för direktmarknadsföring ska den registrerade ha möjlighet att när som helst och utan kostnad invända mot att hans eller hennes uppgifter behandlas för detta syfte.

text: 3) Automatiserat beslutsfattande och profilering

text: Beslut som enbart baseras på automatisk behandling (automatiserat individuellt beslutsfattande), inklusive profilering, som får rättsliga följder för eller i betydande grad påverkar den registrerade, får endast äga rum under vissa villkor som fastställs i tredjelandets rättsliga ramar. Inom EU:s rättsliga ramar räknas till sådana villkor, exempelvis, behovet att erhålla den registrerades uttryckliga samtycke eller nödvändigheten av ett sådant beslut för att ett avtal ska kunna fullgöras. Om beslutet inte sker i enlighet med de villkor som fastställs i tredjelandets rättsliga ramar, ska den registrerade ha rätt att inte underställas det. Tredjelandets lagstiftning ska under alla förhållanden tillhandahålla nödvändiga skyddsåtgärder, inklusive rätten att informeras om de specifika skälen och logiken bakom beslutet, rätten att korrigera felaktig eller ofullständig information och rätten att bestrida beslutet om det har fattats på felaktigt faktaunderlag.

text: C. Förfarande- och verkställandemekanismer

text: Även om de medel som tredjelandet använder för att säkerställa en adekvat skyddsnivå kan skilja sig från de som används inom EU , måste följande element finnas med för att ett system ska kunna räknas som förenligt med EU:s:

text: 1) Oberoende behörig tillsynsmyndighet

text: Det ska finnas en eller flera oberoende tillsynsmyndigheter som har till uppgift att övervaka, säkerställa och kontrollera att bestämmelserna om uppgiftsskydd och integritetsskydd efterlevs i tredjelandet. Tillsynsmyndigheten ska utföra sina uppgifter och utöva sina befogenheter på ett fullständigt oberoende och opartiskt sätt, och varken efterfråga eller ta emot några instruktioner. Tillsynsmyndigheten ska i detta sammanhang ha alla nödvändiga och tillgängliga befogenheter och behörigheter som krävs för att säkerställa att rätten till uppgiftsskydd efterlevs och främja medvetenhet. Tillsynsmyndighetens personal och budget ska även tas under beaktande. Dessutom ska tillsynsmyndigheten ha möjlighet att på eget initiativ utföra utredningar.

text: 2) Systemet för skydd av personuppgifter måste säkerställa en god efterlevnad

text: Systemet för skydd av personuppgifter i ett tredjeland ska säkerställa att personuppgiftsansvariga och de som behandlar personuppgifter på deras vägnar känner ett stort ansvar för och är medvetna om de

text: Dessa särskilda kategorier kallas även för ”känsliga uppgifter” i

text: skäl 10

text: i

text: den allmänna dataskyddsförordningen

text: , ECLI:EU:C:2015:650, punkt 74.

text: skyldigheter, uppgifter och ansvarsområden de omfattas av, samt att de registrerade känner till sina rättigheter och de medel de har för att utöva dem. Tillgång till effektiva och avskräckande sanktioner kan spela en viktig roll för att säkerställa respekten för bestämmelserna, vilket naturligtvis även gäller system för direktkontroll från myndigheters, revisorers eller oberoende dataskyddstjänstemäns sida.

text: 3) Ansvarsskyldighet

text: De rättsliga ramarna för skydd av personuppgifter i ett tredjeland ska ställa som krav att personuppgiftsansvariga och/eller de som behandlar personuppgifter på deras vägnar efterlever ramarna och att de ska kunna styrka denna efterlevnad, i synnerhet för den behöriga tillsynsmyndigheten. Medlen för att göra detta kan exempelvis inbegripa konsekvensbedömningar avseende dataskydd, förande av register eller loggfiler för personuppgiftsbehandling som sparas under en lämplig tidsperiod, utnämning av ett dataskyddsombud eller inbyggt dataskydd och dataskydd som standard.

text: 4) Systemet för skydd av personuppgifter måste ge stöd och hjälp till enskilda registrerade i deras utövande av sina rättigheter samt tillhandahålla mekanismer för skälig gottgörelse

text: Den enskilde ska kunna vidta rättsliga åtgärder för att hävda sina rättigheter på ett snabbt och effektivt sätt, och utan orimliga kostnader, liksom för att säkerställa att bestämmelserna efterlevs. För att detta ska bli möjligt måste det finnas kontrollmekanismer som tillåter oberoende utredning av klagomål och gör det möjligt att i praktiken upptäcka och bestraffa eventuella överträdelser av rätten till uppgiftsskydd och respekt för privatlivet.

text: Om bestämmelserna inte efterlevs ska den registrerade likaså tillförsäkras effektiv administrativ och rättslig prövning, däribland för ersättning för skador som orsakats av den olagliga behandlingen av hans eller hennes personuppgifter. Detta är en nyckelfråga som kräver ett system med oberoende skiljedom så att ersättningar kan betalas ut och sanktioner utkrävas när detta är motiverat.

text: Kapitel 4: Grundläggande garantier i tredjeländer för åtkomst i samband med brottsbekämpning och nationell säkerhet för att begränsa ingreppen i de grundläggande rättigheterna

text: Vid bedömning av om skyddsnivån är adekvat ska kommissionen enligt

text: artikel 45.2 a

text: ta hänsyn till ”relevant lagstiftning, både allmän lagstiftning och sektorslagstiftning, inklusive avseende allmän säkerhet, försvar, nationell säkerhet och straffrätt och offentliga myndigheters tillgång till personuppgifter samt tillämpningen av sådan lagstiftning ...”.

text: Europeiska unionens domstol anmärkte i Schrems-målet att ”begreppet ’adekvat skyddsnivå’” ska ”förstås som att det krävs att detta tredjeland, genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet, de facto säkerställer en nivå för skyddet av grundläggande fri- och rättigheter som är väsentligen likvärdig med den skyddsnivå som garanteras inom unionen enligt direktiv 95/46 jämfört med stadgan.” Även om de medel som detta tredjeland använder sig av i detta sammanhang kan skilja sig från de som används inom EU, måste dessa medel inte desto mindre visa sig vara effektiva i praktiken .

text: I detta sammanhang har domstolen även kritiskt noterat att det tidigare Safe Harbor-beslutet inte innehåller ”något konstaterande beträffande förekomsten i Förenta staterna av regler som antagits av staten och som syftar till att begränsa eventuella ingrepp i de grundläggande rättigheterna för personer vilkas personuppgifter överförs från unionen till Förenta staterna, ingrepp som statliga organ kan vara tillåtna att göra när de görs i ett legitimt syfte, såsom nationell säkerhet.”

text: Artikel 29-arbetsgruppen har i yttrandet

text: , som antogs den 13 april 2016, identifierat grundläggande garantier som återspeglar rättspraxisen hos Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna inom området övervakning. Samtidigt som rekommendationerna som anges i

text: ska förbli giltiga och tas i beaktande vid bedömning av om ett tredjelands skyddsnivå är adekvat inom området övervakning, kan tillämpningen av dessa garantier variera inom området uppgiftsåtkomst gällande brottsbekämpning och nationell säkerhet. Inte desto mindre ska följande fyra garantier som anges i yttrandet respekteras av alla tredjeländer i fråga om åtkomsten till personuppgifter, oavsett om det gäller den nationella säkerheten eller brottsbekämpning, för att skyddsnivån ska kunna bedömas som adekvat:

text: 1) Behandlingen ska baseras på tydliga, exakta och lättillgängliga regler (rättslig grund).

text: 2) Nödvändighet och proportionalitet med avseende på de legitima mål som eftersträvas måste påvisas.

text: 3) Behandlingen måste omfattas av en oberoende tillsyn.

text: 4) Effektiva rättsmedel måste vara tillgängliga för enskilda individer.

text: , ECLI:EU:C:2015:650, punkt 74.

type: vagledning