text: Hänvisningar till medlemsstater i detta dokument bör förstås som hänvisningar till medlemsstater i EES.

text: Riktlinjer 1/2018

text: om certifiering och fastställande av certifieringskriterier i enlighet med artiklarna 42 och 43 i förordning 2016/679.

text: Riktlinjer 4/2018

text: om ackreditering av certifieringsorgan enligt

text: artikel 43 i allmänna dataskyddsförordningen

text: (2016/679) Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR (inte översatt till svenska), sidan 4.

text: För mer information om

text: artikel 49

text: och sambandet med artikel 46 i allmänhet, se EDPB:s

text: riktlinjer 2/2018

text: för undantagen i

text: artikel 49

text: enligt förordning 2016/679. EDPB:s

text: riktlinjer 2/2018

text: för undantagen i

text: artikel 49

text: enligt förordning 2016/679, sida 5.

text: Artikel 42.8 i den allmänna dataskyddsförordningen

text: Riktlinjer 1/2018

text: om certifiering och fastställande av certifieringskriterier i enlighet med artiklarna 42 och 43 i förordning 2016/679, punkt 2.2. Artiklarna

text: och

text: i den allmänna dataskyddsförordningen.

text: Artikel 42.5 i den allmänna dataskyddsförordningen

text: . Certifieringsorgan måste bedöma sina lokala experter i enlighet med ISO 17065 och de ytterligare ackrediteringskrav som fastställts av tillsynsmyndigheten (

text: artikel 43.1 b i den allmänna dataskyddsförordningen

text: I detta avseende är det viktigt att notera att det i

text: artikel 44 i den allmänna dataskyddsförordningen

text: tydligt anges att en överföring inte bara kan utföras av en personuppgiftsansvarig utan även av ett personuppgiftsbiträde. Det kommer därför att uppstå en överföringssituation när ett personuppgiftsbiträde skickar uppgifter till ett annat personuppgiftsbiträde eller till och med till en personuppgiftsansvarig i ett tredjeland i enlighet med den personuppgiftsansvariges instruktioner (

text: artikel 28.3 a i den allmänna dataskyddsförordningen

text: ). I dessa fall agerar personuppgiftsbiträdet som uppgiftsutförare på den personuppgiftsansvariges vägnar och måste se till att bestämmelserna i kapitel V följs för den aktuella överföringen i enlighet med den personuppgiftsansvariges instruktioner, däribland att ett lämpligt överföringsverktyg används. Med tanke på att överföringen är en behandling som utförs på den personuppgiftsansvariges vägnar är den personuppgiftsansvarige också ansvarig och kan hållas till svars enligt kapitel V, och måste också se till att personuppgiftsbiträdet ger tillräckliga garantier enligt

text: artikel 28

text: Riktlinjer 4/2018

text: (2016/679), s. 9. Se

text: artikel 42.5 i den allmänna dataskyddsförordningen

text: och punkt 35 i EDPB:s

text: riktlinjer 1/2018

text: om certifiering och fastställande av certifieringskriterier i enlighet med artiklarna

text: och

text: i förordningen. Om en tillsynsmyndighet leder antagandet av certifieringskriterierna X inom ramen för sitt nationella initiativ och andra länder därefter, med

text: beaktande av systemets kriterier och tillämpliga särskilda nationella bestämmelser, vill anta

text: samma certifieringskriterier, kan de anta dem utan att utlösa ett yttrande från Europeiska dataskyddsstyrelsen enligt

text: artikel 64 i den allmänna dataskyddsförordningen

text: och förlita sig på det yttrande som lämnats till den första

text: tillsynsmyndigheten, i enlighet med artikel 64.3 i samma förordning (se, i detta avseende, hänvisning till vägledning – addendum [bilaga till

text: riktlinjer 1/2018

text: om certifiering och identifiering av certifieringskriterier i enlighet med artiklarna

text: och

text: i förordningen], punkt 66). 20

text: Riktlinjer 4/2018

text: artikel 43 i den allmänna dataskyddsförordningen

text: och dess bilaga. Se punkt 12 ovan.

text: Detta rättsligt bindande instrument ska inte vara något annat verktyg i kapitel V (t.ex. standardavtalsklausulen), eftersom de bindande och verkställbara åtaganden som avses i

text: artikel 46.2 f

text: måste utformas för att säkerställa att uppgiftsinföraren kommer att uppfylla certifieringskriterierna.

text: Detta ansvar ska inte påverka de mekanismer som ska genomföras enligt certifieringen med certifieringsorganet som också kan vidta åtgärder mot certifierade personuppgiftsansvariga/personuppgiftsbiträden i enlighet med certifieringen genom att ålägga korrigerande åtgärder.

text: Bilaga 2,

text: rekommendation 01/2020

text: om åtgärder som komplement till överföringsverktyg för att säkerställa överensstämmelse med EU-nivån för skydd av personuppgifter, version 2.0, användningsfall 1: Datalagring för säkerhetskopiering och andra ändamål som inte kräver åtkomst till uppgifter i klartext, s. 85. https://edpb.europa.eu/system/files/2022- 04/edpb recommendations 202001vo.2.0 supplementarymeasurestransferstools sv.pdf Se ovan, punkterna 86–89. Se ovan, punkt 90. Se ovan, punkt 91.

text: Se ovan, rekommendationerna, punkt 90. Se ovan, rekommendationerna, punkt 91.

identifier: Riktlinjer 07/2022

amnesord:
Certifiering
Verktyg för överföringar och undantag

title: Riktlinjer 07/2022 om certifiering som överföringsverktyg

text: SAMMANFATTNING

text: Enligt

text: artikel 46 i den allmänna dataskyddsförordningen

text: ska en uppgiftsutförare vidta lämpliga skyddsåtgärder för överföring av personuppgifter till ett tredjeland eller internationella organisationer. För detta ändamål beskrivs i den allmänna dataskyddsförordningen de olika lämpliga skyddsåtgärder som uppgiftsutförare i enlighet med

text: artikel 46

text: kan använda som ram för överföringar till tredjeland, bland annat genom att införa certifiering som en ny överföringsmekanism (artiklarna

text: och

text: 46.2 f

text: i dataskyddsförordningen).

text: Dessa riktlinjer ger vägledning om tillämpningen av

text: artikel 46.2 f i den allmänna dataskyddsförordningen

text: om överföring av personuppgifter till tredjeland eller till internationella organisationer på grundval av certifiering. Dokumentet är indelat i fyra avsnitt med en bilaga.

text: I del ett av detta dokument (”ALLMÄNT”) klargörs att riktlinjerna kompletterar de redan befintliga allmänna

text: riktlinjerna 1/2018

text: om certifiering och att de tar upp särskilda krav i kapitel V i den allmänna dataskyddsförordningen när certifiering används som överföringsverktyg. Enligt

text: måste varje överföring av personuppgifter till tredjeland eller internationella organisationer uppfylla villkoren i de övriga bestämmelserna i dataskyddsförordningen, utöver att efterleva kapitel V i dataskyddsförordningen. I ett första steg måste därför efterlevnaden av de allmänna bestämmelserna i den allmänna dataskyddsförordningen säkerställas, och i ett andra steg måste bestämmelserna i kapitel V i dataskyddsförordningen följas. De aktörer som medverkar och deras centrala roller i detta sammanhang beskrivs, med särskilt fokus på rollen för den uppgiftsinförare som kommer att beviljas en certifiering, och den uppgiftsutförare som kommer att använda den som ett ramverktyg för sina överföringar (med tanke på att ansvaret för databehandlingens lagenlighet ligger kvar hos uppgiftsutföraren). Certifieringen kan i detta sammanhang också omfatta åtgärder som kompletterar överföringsverktygen för att säkerställa överensstämmelse med EU:s skyddsnivå för personuppgifter. Del ett av riktlinjerna innehåller också information om processen för att erhålla en certifiering som ska användas som överföringsverktyg.

text: I den andra delen av dessa riktlinjer (”TILLÄMPNINGSRIKTLINJER FÖR ACKREDITERINGSKRAVEN”) erinras om att kraven för ackreditering av ett certifieringsorgan finns i ISO 17065 och att

text: riktlinjerna 4/2018

text: och dess bilaga ska tolkas mot bakgrund av kapitel V. I samband med en överföring förklaras dock vissa av de ackrediteringskrav som gäller för certifieringsorganet ytterligare i dessa riktlinjer.

text: I den tredje delen av dessa riktlinjer (”SPECIFIKA CERTIFIERINGSKRITERIER”) ges vägledning om de certifieringskriterier som redan anges i

text: riktlinjerna 1/2018

text: och fastställs ytterligare specifika kriterier som bör ingå i en certifieringsmekanism som ska användas som verktyg för överföring till tredjeland. Dessa kriterier omfattar bedömning av tredjelandets lagstiftning, uppgiftsutförares och uppgiftsinförares allmänna skyldigheter, regler om vidare överföring, prövning och verkställighet, förfaranden och åtgärder i situationer där nationell lagstiftning och praxis hindrar efterlevnad av åtaganden som gjorts inom ramen för certifiering och begäranden om tillgång till uppgifter från myndigheter i tredjeland.

text: Del fyra i dessa riktlinjer (”BINDANDE OCH VERKSTÄLLBARA ÅTAGANDEN SOM SKA GENOMFÖRAS”) innehåller inslag som bör tas upp i de bindande och verkställbara åtaganden som personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av den allmänna dataskyddsförordningen bör göra i syfte att tillhandahålla lämpliga skyddsåtgärder för uppgifter som överförs till tredjeland. Dessa åtaganden, som kan anges i olika instrument, bl.a. avtal, ska särskilt omfatta en garanti för att uppgiftsinföraren inte har någon anledning att tro att den lagstiftning och praxis i tredjelandet som är

text: tillämplig på behandlingen i fråga, däribland eventuella krav på att lämna ut personuppgifter eller åtgärder som tillåter tillgång för offentliga myndigheter, hindrar uppgiftsinföraren från att fullgöra sina åtaganden enligt certifieringen.

text: BILAGAN till dessa riktlinjer innehåller några exempel på kompletterande åtgärder i linje med dem som förtecknas i

text: rekommendationerna 01/2020

text: i bilaga II (

text: Rekommendationer 01/2020

text: om åtgärder som komplement till överföringsverktyg för att säkerställa överensstämmelsen med EU-nivån för skydd av personuppgifter) i samband med användningen av en certifiering som verktyg för överföring. Exemplen är utformade för att rikta uppmärksamheten mot kritiska situationer.

text: Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (nedan kallad den allmänna dataskyddsförordningen),

text: med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 ,

text: med beaktande av artiklarna 12 och 22 i dess arbetsordningen.

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE

text: 1 ALLMÄNT

text: 1.1 Syfte och tillämpningsområde

text: 1. Syftet med detta dokument är att ge vägledning om tillämpningen av

text: om överföring av personuppgifter till tredjeland eller till internationella organisationer på grundval av certifiering. Europeiska dataskyddsstyrelsen (EDPB) har redan offentliggjort 2 3 allmänna riktlinjer om certifiering och ackreditering inom ramen för den allmänna dataskyddsförordningen. Dessa nya riktlinjer återspeglar därför endast de specifika aspekterna vad gäller certifiering som verktyg för överföringar. De specificerar tillämpningen av artiklarna

text: 46.2 f

text: och

text: i den allmänna dataskyddsförordningen genom att ge praktisk vägledning i detta avseende och införa nya inslag i de redan offentliggjorda riktlinjerna. 2. EDPB kommer att utvärdera hur dessa riktlinjer fungerar mot bakgrund av erfarenheterna av deras tillämpning i praktiken och ge ytterligare vägledning för att klargöra tillämpningen av de delar som förtecknas nedan, bl.a. certifieringsavtalets roll med avseende på de bindande och verkställbara åtaganden som avses i

text: 1.2 Allmänna regler för internationella överföringar

text: 3. Enligt

text: måste varje överföring av personuppgifter till tredjeland eller internationella organisationer uppfylla villkoren i de övriga bestämmelserna i dataskyddsförordningen, utöver att följa kapitel V i dataskyddsförordningen. Därför ska varje överföring vara förenlig med bland annat dataskyddsprinciperna i

text: artikel 5 i allmänna dataskyddsförordningen

text: , vara laglig enligt

text: artikel 6

text: och överensstämma med artikel 9 i samma förordning om behandling av särskilda kategorier av personuppgifter. Därför ska ett tvåstegstest genomföras: Som ett första steg annan mekanism i kapitel V efterlevs . Enligt tidigare vägledning från EDPB måste dock de undantag som anges i

text: artikel 49 i den allmänna dataskyddsförordningen

text: tolkas restriktivt och främst gälla behandling av personuppgifter som är tillfällig och inte repetitiv .

text: 1.3 Vilka är aktörerna och vilken roll spelar de för certifiering som verktyg för överföringar?

text: 8. Europeiska dataskyddsstyrelsen (EDPB) har befogenhet att godkänna EES-omfattande certifieringskriterier (det europeiska sigillet för dataskydd) och avge yttranden om tillsynsmyndigheternas utkast till beslut om certifieringskriterier och ackrediteringskrav för certifieringsorganen för att säkerställa enhetlighet. Den är också behörig att sammanställa alla certifieringsmekanismer och sigill och märkningar för dataskydd i ett register och offentliggöra dem .

text: 9. Tillsynsmyndigheterna godkänner certifieringskriterierna när certifieringsmekanismen inte är det europeiska sigillet för dataskydd . De kan också ackreditera certifieringsorganet, utforma certifieringskriterierna och utfärda certifiering om detta fastställs i den nationella lagstiftningen i deras medlemsstat .

text: 10. Det nationella ackrediteringsorganet får ackreditera tredjepartscertifieringsorgan genom att använda ISO 17065 och tillsynsmyndighetens ytterligare ackrediteringskrav, vilka bör vara i linje med avsnitt 2 i dessa riktlinjer. I vissa medlemsstater kan ackrediteringen även erbjudas av den behöriga tillsynsmyndigheten och utföras av ett nationellt ackrediteringsorgan eller av båda.

text: 11. Systemägare är en organisation som har fastställt certifieringskriterierna och de metodkrav som ska uppfyllas vid bedömningen av överensstämmelse. Den organisation som gör bedömningarna kan vara samma organisation som har utvecklat och äger systemet, men det kan finnas arrangemang där en organisation äger systemet och en annan (eller flera andra) genomför bedömningarna som certifieringsorgan.

text: 12. Beroende på nationell lagstiftning kan certifieringsorganet, som ackrediterats enligt ovan, utfärda certifieringarna istället för de behöriga tillsynsmyndigheterna . Det kan utforma certifieringskriterier och därmed vara systemägare (se punkt 11 ovan). Det måste ha ett verksamhetsställe inom EES, särskilt för att möjliggöra ett effektivt utövande av de korrigerande befogenheter som fastställs i

text: artikel 58.2 f i den allmänna dataskyddsförordningen

text: . Certifieringsorganet kan dock lägga ut verksamhet på entreprenad till lokala experter eller inrättningar utanför EES som kommer att utföra revisionsverksamhet för dess räkning . Ett certifieringsorgan får dock inte lägga ut beslutet om beviljande eller icke-beviljande av en certifiering på underentreprenad.

text: 13. Uppgiftsinföraren är den enhet (personuppgiftsansvarig eller personuppgiftsbiträde) i tredjelandet som tar emot uppgifter från en uppgiftsutförare. förordningen inte undergrävs (

text: ) . Detta kan naturligtvis certifieras enligt

text: artikel 42.1

text: 20. Dessutom är uppgiftsutföraren som vill använda en certifiering som lämplig skyddsåtgärd enligt

text: särskilt skyldig att kontrollera om den certifiering som denne avser att förlita sig på är ändamålsenlig mot bakgrund av den avsedda behandlingens egenskaper. I detta syfte måste uppgiftsutföraren kontrollera den utfärdade certifieringen för att kontrollera om certifikatet är giltigt och inte har löpt ut, om den omfattar den specifika överföring som ska utföras och om överföringen av personuppgifter ingår i certifieringens tillämpningsområde, samt om det rör sig om vidare överföringar och om de åtföljs av tillräcklig dokumentation. Uppgiftsutföraren måste dessutom kontrollera att det certifieringsorgan som utfärdar certifieringen är ackrediterat av ett nationellt ackrediteringsorgan eller en behörig tillsynsmyndighet. Dessutom bör uppgiftsutföraren uppge användningen av certifieringen som verktyg för överföring i databehandlingsavtalet i enlighet med

text: artikel 28 i den allmänna dataskyddsförordningen

text: vid överföringar från personuppgiftsansvarig till personuppgiftsbiträde eller ett avtal om datadelning med uppgiftsinföraren i samband med överföringar mellan personuppgiftsansvariga.

text: 21. Med tanke på att uppgiftsutföraren är ansvarig för att alla bestämmelser i kapitel V tillämpas måste uppgiftsutföraren också bedöma om den certifiering som uppgiftsutföraren avser att använda som ett verktyg för överföringar är ändamålsenlig mot bakgrund av gällande lagstiftning och praxis i tredjelandet som är relevanta för överföringen i fråga. För denna bedömning, och som en viktig faktor för att visa att uppgiftsutföraren uppfyller sitt ansvar, får uppgiftsutföraren förlita sig på den kontroll som utförs av certifieringsorganet av uppgiftsinförarens dokumenterade bedömning av tredjelandets lagstiftning och praxis.

text: 22. Om uppgiftsinförarens bedömning har visat att denne och/eller uppgiftsutföraren kan behöva vidta kompletterande åtgärder i enlighet med certifieringen för att säkerställa en väsentligen likvärdig skyddsnivå som den som föreskrivs i EES, måste uppgiftsutföraren kontrollera de kompletterande åtgärder som tillhandahålls av den uppgiftsinförare som har en certifiering och om denne kan möta de tekniska och (i förekommande fall) kompletterande åtgärder som uppgiftsinföraren begär.

text: 23. Om dessa krav inte uppfylls måste uppgiftsutföraren kräva att uppgiftsinföraren vidtar anpassade kompletterande åtgärder eller själv fastställer dem.

text: 1.6 Hur ser processen ut för certifiering som ett verktyg för överföringar?

text: 24. Certifieringen är frivillig, men när den söks måste den beviljas genom ett öppet förfarande som bygger på obligatoriska regler. Dataskyddsförordningen förlitar sig i hög grad på privata certifieringsmekan- ismer som en ”reglerad självreglering”. Följaktligen måste dessa mekanismer säkerställa att certifikaten väsentligen uppfyller kraven på lämpliga skyddsåtgärder enligt definitionen i

text: 25. Certifieringen måste därför baseras på en utvärdering av certifieringskriterierna enligt en bindande revisionsmetod. Dessa kriterier kommer att godkännas av nationella tillsynsmyndigheter eller av EDPB i enlighet med

text: . Kriterierna för certifiering ska omfatta krav på en bedömning av uppgiftsinförarens behandling, bl.a. vidareöverföring, och av tredjelandets relevanta rättsliga ram, för att undvika att tredjelandets regler och praxis hindrar uppgiftsinföraren från att uppfylla sina skyldigheter enligt certifieringen.

text: 26. Under certifieringsprocessen ska evalueringsobjektet kontrolleras enligt certifieringskriterierna av ett certifieringsorgan som ackrediterats av det nationella ackrediteringsorganet eller av den behöriga tillsynsmyndigheten .

text: 27. Enligt

text: artikel 43.1 i den allmänna dataskyddsförordningen

text: ska certifieringsorgan som har lämplig nivå av expertis i fråga om dataskydd, efter att ha informerat tillsynsmyndigheten för att den ska kunna utöva sina befogenheter enligt

text: artikel 58.2 h

text: när så är nödvändigt, utfärda och förnya certifiering.

text: 28. Enligt

text: artikel 43.5 i den allmänna dataskyddsförordningen

text: ska certifieringsorganen informera de behöriga tillsynsmyndigheterna om orsakerna till beviljandet eller återkallelsen av den begärda certifieringen. Detta innebär inte att certifieringsorganet behöver tillstånd från tillsynsmyndigheten för att utfärda certifiering. Certifieringsorganet avser att övervaka sina kunders efterlevnad av certifieringskriterierna.

text: 29. Tillsynsorganet har korrigerande befogenhet att återkalla en certifiering eller beordra certifieringsorganet att återkalla en certifiering som utfärdats enligt artikel

text: eller

text: i den allmänna dataskyddsförordningen, eller anmoda certifieringsorganet att inte utfärda certifiering om kraven för certifiering inte längre uppfylls.

text: 30. Ett europeiskt sigill för dataskydd för internationella överföringar av uppgifter kan fungera som ett verktyg för att täcka överföringar till tredjeland tillsammans med bindande och verkställbara åtaganden .

text: 31. Certifieringar som ska användas som överföringsverktyg kan dock också utfärdas i enlighet med nationella godkända certifieringssystem i EES-staterna. De är därför endast giltiga för överföringar till tredjeland från uppgiftsutförare i den EES-medlemsstat där certifieringssystemet har godkänts, eftersom det inte finns något ömsesidigt erkännande av olika certifieringar i EES-staterna. Men tillsynsmyndigheter i olika EES-stater har rätt att godkänna samma certifieringsmekanism för överföringar .

text: 2 TILLÄMPNINGSRIKTLINJER FÖR ACKREDITERINGSKRAVEN

text: 32. Kraven för ackreditering av ett certifieringsorgan med avseende på certifieringar som ett verktyg för överföringar återfinns i ISO 17065 och genom att

text: riktlinjerna 4/2018

text: 20 tolkas mot bakgrund av kapitel V, såsom förklaras nedan.

text: 33. Enligt Europeiska dataskyddsstyrelsen omfattar de ytterligare ackrediteringskrav som utarbetats på grundval av

text: riktlinjerna 4/2018

text: och ISO 17065 som antagits i enlighet med

text: artikel 64.1 c i den allmänna dataskyddsförordningen

text: redan de särskilda krav som krävs för ackreditering av ett certifieringsorgan vad gäller certifieringar som verktyg för överföringar. I ett överföringsscenario behöver dock vissa krav förbättras i fråga om förklarande anmärkningar och tolkning.

text: 34. Vad gäller resurskraven (se krav 6 i

text: riktlinjerna 4/2018

text: – bilaga 1) ska certifieringsorganet se till att det har de resurser som krävs för att kunna kontrollera att uppgiftsinföraren, i enlighet med certifieringskriterierna, på ett ändamålsenligt och korrekt sätt har gjort den nödvändiga bedömningen av rättslig situation och praxis i tredjeland, ett eller flera, där det är etablerat eller verksamt .Denna bedömning bör göras med avseende på den behandling som ska certifieras som en del av evalueringsobjektet med avseende på lämpliga skyddsåtgärder enligt

text: , och vid behov inbegripa de kompletterande åtgärder som identifierats och genomförts av uppgiftsinföraren. Detta inbegriper t.ex. betydande kunskaper om relevant lokal lagstiftning och praxis och lämpliga språkkunskaper i förhållande till tredjeland.

text: 35. Vad gäller kraven med avseende på förfarandet (se krav 7 i bilaga 1 till

text: riktlinjerna 4/2018

text: ) ska certifieringsorganet se till att certifieringsprocessen kan understödjas av eventuella revisioner på plats, att den utförs med avseende på den behandling som kommer att äga rum i tredjeland och att bedömningen även omfattar det praktiska genomförandet av befintlig lagstiftning och politik i tredjeland.

text: 36. Vad gäller kraven på ändringar som påverkar certifieringen (se krav 7.10 i bilaga 1 till

text: riktlinjerna 4/2018

text: ) ska certifieringsorganet övervaka ändringar av tredjelandets lagstiftning och/eller rättspraxis som kan påverka den behandling som omfattas av evalueringsobjektets tillämpningsområde.

text: 3 SÄRSKILDA CERTIFIERINGSKRITERIER

text: 37. I samband med beaktandet av de särskilda certifieringskriterierna bygger dessa riktlinjer på

text: riktlinjerna 1/2018

text: och

text: i förordningen (version 3. 0), motsvarande bilaga 2 om granskning och utvärdering av certifieringskriterier i enlighet med

text: artikel 42.5

text: och tillägget till vägledningen om bedömning av certifieringskriterier.

text: 38. De certifieringskriterier som utarbetats på grundval av

text: riktlinjerna 1/2018

text: bilaga 2 och tillägget till vägledningen om bedömning av certifieringskriterier, omfattar redan, enligt EDPB, merparten av de certifieringskriterier som måste beaktas vid utarbetandet av ett certifieringssystem som ska användas som verktyg för överföringar. Det kan dock finnas ett behov av att ytterligare specificera vissa av dessa befintliga kriterier för att anpassa dem till ett specifikt överföringsscenario (se punkt 3.1). Dessutom kan det finnas ett behov av att formulera ytterligare kriterier för tillämpningen av lämpliga skyddsåtgärder, även vad gäller de registrerades rättigheter (se punkt 3.2).

text: 3.1 TILLÄMPNINGSRIKTLINJER FÖR CERTIFIERINGSKRITERIERNA

text: 39. Vad gäller certifieringsmekanismens tillämpningsområde och evalueringsobjektet (se avsnitt 2 a i bilaga 2) bör detta beskrivas tydligt i relevant dokumentation, även vad gäller överföring av personuppgifter till tredjeland eller om avsikten är att även omfatta överföring av dem.

text: 40. Vad gäller certifieringsmekanismens tillämpningsområde och evalueringsobjektet (se avsnitt 2 b i bilaga 2) bör relevant dokumentation innehålla en konkret beskrivning av vilken typ av enhet (t.ex. personuppgiftsansvarig och/eller personuppgiftsbiträde) som certifieringsmekanismen är tillämplig på.

text: 41. Vad gäller certifieringsmekanismens tillämpningsområde och evalueringsobjektet (se avsnitt 2 f i bilaga 2) bör kriterierna kräva att utvärderingsmålen definieras på ett konkret sätt för att undvika missförstånd. I denna information bör åtminstone följande ingå: 42. Behandlingen/behandlingarna, även om vidare överföring planeras. a) Syftet. b) Typ av enhet (t.ex.: personuppgiftsansvarig och/eller personuppgiftsbiträde). c) Vilken typ av uppgifter som överförs, med beaktande av om det rör sig om särskilda kategorier av personuppgifter enligt definitionen i

text: artikel 9 i dataskyddsförordningen

text: . d) Kategorierna av de registrerade. e) De länder där databehandlingen äger rum.

text: 43. Vad gäller insyn och de registrerades rättigheter (se bilaga 2, avsnitt 8) bör certifieringskriterierna a) kräva att information om behandlingen lämnas till registrerade, däribland i förekommande fall, information om överföring av personuppgifter till ett tredjeland eller en internationell organisation (se artiklarna

text: och

text: i den allmänna dataskyddsförordningen), b) kräva att registrerade garanteras sin rätt till tillgång, rättelse, radering, begränsning, anmälan avseende rättelse eller radering av personuppgifter och begränsning av behandling, invändning mot behandling, rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, bl.a. profilering, som i allt väsentligt är likvärdigt med de rättigheter som föreskrivs i artiklarna

text: och

text: i den allmänna dataskyddsförordningen, c) kräva att ett lämpligt förfarande för hantering av klagomål inrättas av den uppgiftsinförare som innehar en certifiering för att säkerställa ett effektivt genomförande av den registrerades rättigheter, d) kräva en bedömning av huruvida och i vilken utsträckning dessa rättigheter är verkställbara för de registrerade i det berörda tredjelandet och eventuella ytterligare lämpliga åtgärder som kan behöva vidtas för att se till att de efterlevs, t.ex. krav på att uppgiftsinföraren kommer att gå med på att underkasta sig och samarbeta med den tillsynsmyndighet som är behörig för uppgiftsutföraren/uppgiftsutförarna i alla förfaranden som syftar till att säkerställa efterlevnaden av dessa rättigheter och, i synnerhet, att uppgiftsinföraren samtycker till att besvara förfrågningar, underkasta sig revisioner och följa de åtgärder som antagits av ovannämnda tillsynsmyndighet, bl.a. korrigerande och kompenserande åtgärder.

text: 44. Vad gäller tekniska och organisatoriska åtgärder som garanterar skydd (avsnitt 10.q i bilaga 2) bör certifieringskriterierna kräva att uppgiftsinföraren informerar uppgiftsutföraren och, om uppgiftsinföraren agerar som personuppgiftsansvarig, underrättar den tillsynsmyndighet i EES som är behörig för uppgiftsutföraren eller uppgiftsutförarna om personuppgiftsbrott och informerar de registrerade om incidenten i de fall incidenten sannolikt kommer att medföra en hög risk för deras rättigheter och friheter, i enlighet med kraven i

text: artikel 34 i den allmänna dataskyddsförordningen

text: 3.2 YTTERLIGARE SÄRSKILDA CERTIFIERINGSKRITERIER

text: 45. Mot bakgrund av de skyddsåtgärder som fastställts för andra överföringsinstrument enligt

text: (t.ex. bindande företagsregler eller uppförandekoder) och för att säkerställa en enhetlig skyddsnivå, och med beaktande av domstolens dom i Schrems II-målet, anser EDPB att certifieringsmekanismen som ska användas som verktyg för överföringar till tredjeland även bör omfatta de kriterier som anges nedan.

text: 1. Bedömning av tredjelands lagstiftning

text: a) Krävs det enligt kriterierna att uppgiftsinföraren har bedömt regler och praxis i det tredjeland där denne är verksam och huruvida dessa hindrar uppgiftsinföraren från att uppfylla sina åtaganden enligt certifieringen? b) Krävs det enligt kriterierna att uppgiftsinföraren dokumenterar bedömningen av regler och praxis i det tredjeland där denne är verksam och håller dokumentationen tillgänglig för certifieringsorganet och på begäran för den tillsynsmyndighet i EES som är behörig för uppgiftsutföraren och för uppgiftsutföraren? c) Krävs det enligt kriterierna att uppgiftsinföraren har identifierat och genomfört de organisatoriska och tekniska åtgärderna för att tillhandahålla lämpliga skyddsåtgärder enligt

text: , med beaktande av "

text: Rekommendationer 01/2020

text: om åtgärder som komplement till överföringsverktyg för att säkerställa överensstämmelsen med EU-nivån för skydd av personuppgifter"? d) Krävs det enligt kriterierna att uppgiftsinföraren dokumenterar de organisatoriska och tekniska åtgärder som vidtagits på ett effektivt sätt för att tillhandahålla lämpliga skyddsåtgärder enligt

text: och hålla dokumentationen tillgänglig för certifieringsorganet och på begäran för de behöriga dataskyddsmyndigheterna och uppgiftsutföraren? e) Krävs det enligt kriterierna att uppgiftsinföraren har identifierat och genomfört organisatoriska och tekniska åtgärder för att säkerställa de överförda personuppgifternas säkerhet, med beaktande av

text: rekommendationer 01/2020

text: om åtgärder som komplement till överföringsverktyg för att säkerställa överensstämmelsen med EU-nivån för skydd av personuppgifter, om överföringen ingår i certifieringens tillämpningsområde som verktyg för överföringar? f) Krävs det enligt kriterierna en garanti för certifieringsorganet och uppgiftsutföraren att uppgiftsinföraren inte har någon anledning att tro att den lagstiftning och praxis som är tillämplig på uppgiftsinföraren kan hindra denne från att uppfylla sina skyldigheter enligt certifieringen?

text: 2. Allmänna skyldigheter för uppgiftsutförare och uppgiftsinförare

text: a) Krävs det enligt kriterierna att det i avtal (t.ex. i ett befintligt tjänsteavtal) mellan uppgiftsutförare och uppgiftsinförare fastställs en beskrivning av den specifika överföring som certifieringen gäller och att tredjepartsberättigade rättigheter erkänns för de berörda registrerade?

text: b) I den mån det enligt kriterierna krävs ett särskilt innehåll för dessa avtal eller instrument och en mall tillhandahålls, kräver kriterierna att de också är föremål för utvärderingen?

text: 3. Regler för vidare överföring

text: a) Krävs det enligt kriterierna att vidare överföringar omfattas av särskilda skyddsåtgärder i enlighet med kraven i kapitel V i den allmänna dataskyddsförordningen för att säkerställa att den skyddsnivå som säkerställs inom EES inte undergrävs, och krävs det enligt kriterierna att lämplig dokumentation hålls tillgänglig för certifieringsorganet och den tillsynsmyndighet i EES som är behörig för uppgiftsutföraren/uppgiftsutförarna och uppgiftsutföraren på begäran?

text: 4. Prövning och verkställighet

text: a) Föreskriver kriterierna att registrerade kan hävda sina rättigheter som tredjepartsberättigade gentemot uppgiftsinföraren vid EES-domstolen där den registrerade har sin hemvist, eller i en internationell organisation, bl.a. avseende ersättning för skada som den registrerade lidit om uppgiftsinföraren inte följer det relevanta certifieringssystemet? b) Gör kriterierna det möjligt att på ett adekvat sätt bedöma om en uppgiftsinförare är ansvarig inom EES för den skada som den registrerade lidit vid bristande efterlevnad av det relevanta certifieringssystemet? c) Krävs det enligt kriterierna att de registrerade kan lämna in ett klagomål mot uppgiftsinföraren till en tillsynsmyndighet i EES, särskilt i den EES-stat där han eller hon har sin vanliga vistelseort, sin arbetsplats eller är behörig för uppgiftsutföraren eller uppgiftsutförarna? d) Krävs det enligt kriterierna att uppgiftsinföraren ska samarbeta med den tillsynsmyndighet i EES som är behörig för uppgiftsutföraren/uppgiftsutförarna och godta att bli föremål för revision och inspekteras av den (dem), ta hänsyn till dess (deras) råd och följa dess (deras) beslut?

text: 5. Förfarande och åtgärder för situationer där den nationella lagstiftningen förhindrar efterlevnad av åtaganden som gjorts som en del av certifieringen

text: a) Krävs det enligt kriterierna ett åtagande om att om uppgiftsinföraren i ett tredjeland eller en internationell organisation har skäl att tro att ändringar i den lagstiftning och praxis som är tillämplig på denne kan hindra denne från att fullgöra sina skyldigheter enligt certifieringen, kommer denne omgående att anmäla detta till certifieringsorganet och uppgiftsutföraren, så att den senare kan bedöma om överföringen omedelbart ska stoppas? b) Krävs det enligt kriterierna en beskrivning av de åtgärder som ska vidtas (inklusive anmälan till uppgiftsutföraren i EES och vidtagande av lämpliga ytterligare åtgärder) om uppgiftsinföraren får kännedom om lagstiftning eller praxis i ett tredjeland som förhindrar att skyldigheterna enligt certifieringen fullgörs, samt de åtgärder som ska vidtas vid

text: begäranden om information från myndigheter i tredjeland (däribland skyldigheten att granska och vid behov ifrågasätta ansökans lagenlighet och att minimera eventuell information som lämnas ut)?

text: 6. Hantering av begäranden om åtkomst till uppgifter från myndigheter i tredjeland

text: a) Krävs det enligt kriterierna att uppgiftsinföraren omedelbart ska informera uppgiftsutföraren om myndigheter i tredjeland begär tillgång och vidta lämpliga ytterligare åtgärder? b) Krävs det enligt kriterierna att överföringar till följd av oproportionerliga begäranden om tillgång från offentliga myndigheter i tredjeland, särskilt begäranden som kräver omfattande och godtyckliga överföringar av personuppgifter, inte ska äga rum?

text: 7. Ytterligare skyddsåtgärder avseende uppgiftsutföraren

text: 46. Krävs det enligt kriterierna att uppgiftsinföraren, när så planeras, även genom bindande krav på uppgiftsutföraren, säkerställer att de kompletterande åtgärder som denne har identifierat åtföljs av motsvarande kompletterande åtgärder från uppgiftsutförarens sida, med beaktande av EDPB:s

text: rekommendationer 01/2020

text: och användningsfallen, för att säkerställa ett effektivt genomförande av uppgiftsinförarens kompletterande åtgärder?

text: 4 BINDANDE OCH VERKSTÄLLBARA ÅTAGANDEN ATT GENOMFÖRA

text: 47. Enligt 42.2 i den allmänna dataskyddsförordningen ska personuppgiftsansvariga och personuppgiftsbiträden som inte omfattas av dataskyddsförordningen och som iakttar en certifieringsmekanism avsedd för överföringar, dessutom göra bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument , att tillämpa de lämpliga skyddsåtgärder som föreskrivs enligt certifieringsmekanismen, bl.a. vad gäller registrerades rättigheter.

text: 48. Som anges i den allmänna dataskyddsförordningen kan sådana åtaganden göras med ett avtal, vilket framstår som den enklaste lösningen. Även andra instrument kan användas, förutsatt att de personuppgiftsansvariga/personuppgiftsbiträden som iakttar certifieringsmekanismen kan uppvisa att dessa andra metoder är bindande och verkställbara till sin karaktär.

text: 49. Under alla omständigheter måste den bindande och verkställbara karaktären säkerställas i EU-lagstiftningen, och åtagandena bör också vara bindande och verkställbara av registrerade i egenskap av tredjepartsmottagare.

text: 50. Ett direkt alternativ skulle vara att inkludera bindande och verkställbara åtaganden i avtalet mellan uppgiftsutföraren och uppgiftsinföraren. I praktiken skulle parterna kunna använda ett befintligt avtal (t.ex. tjänsteavtal mellan uppgiftsutföraren och uppgiftsinföraren, avtalet om behandling av personuppgifter i enlighet med

text: mellan personuppgiftsansvariga och personuppgiftsbiträden, eller ett avtal om datadelning mellan skilda personuppgiftsansvariga) i vilket de bindande och verkställbara åtagandena kan ingå. Dessa åtaganden bör tydligt särskiljas från alla andra klausuler. Ett annat alternativ skulle kunna vara att till exempel använda sig av ett se- som skulle kunna leda till ansvarsskyldighet för uppgiftsutföraren, vid tillsynsmyndigheten eller domstolen för uppgiftsutförarens etableringsplats eller den registrerades stadigvarande vistelseort23. Uppgiftsinföraren och uppgiftsutföraren bör också godkänna att den registrerade kan företrädas av ett organ, organisation eller sammanslutning utan vinstsyfte enligt bestämmelserna i

text: artikel 80.1 i den allmänna dataskyddsförordningen

text: . - Förekomsten av en rätt för uppgiftsutföraren att mot uppgiftsinföraren som innehar en certifiering verkställa reglerna enligt certifieringen som berättigade tredje part. - Förekomsten av en skyldighet för uppgiftsinföraren som innehar en certifiering att underrätta uppgiftsutföraren och uppgiftsutförarens tillsynsmyndighet om alla åtgärder som vidtas av certifieringsorganet med anledning av en upptäckt bristande efterlevnad av certifieringsreglerna av samma uppgiftsinförare.

text: BILAGA

text: A. EXEMPEL PÅ KOMPLETTERANDE ÅTGÄRDER SOM SKA GENOMFÖRAS AV UPPGIFTSINFÖRAREN OM ÖVERFÖRINGEN INGÅR I CERTIFIERINGENS TILLÄMPNINGS- OMRÅDE

text: Användningsfall 1: Datalagring för säkerhetskopiering och andra ändamål som inte kräver åtkomst till uppgifter i klartext

text: Kriterier för krypteringsstandarder och krypteringsnyckelns säkerhet, särskilt kriterier som rör den rättsliga situationen i tredjelandet, måste fastställas. Om uppgiftsinföraren kan tvingas överföra krypteringsnycklar kan den ytterligare åtgärden inte anses vara effektiv .

text: Användningsfall 2: Överföring av pseudonymiserade uppgifter

text: Vad gäller pseudonymiserade uppgifter ska kriterier fastställas för säkerheten hos de ytterligare uppgifter som krävs för att hänföra de överförda uppgifterna till en identifierad eller identifierbar person, särskilt följande:

text: - Kriterier avseende rättsläget i det tredje landet. Om uppgiftsinföraren kan tvingas att tillgå eller använda ytterligare uppgifter för att hänföra uppgifterna till en identifierad eller identifierbar person kan åtgärden inte anses vara effektiv .

text: - Kriterier som rör definitionen av ytterligare information som är tillgänglig för myndigheter i tredjeland och som kan vara tillräcklig för att uppgifterna ska kunna hänföras till en identifierad eller identifierbar person.

text: Användningsfall 3: Kryptering av uppgifter för att skydda dem från offentliga myndigheters åtkomst i uppgiftsinförarens tredjeland när de övergår mellan uppgiftsutföraren och dennes uppgiftsinförare

text: Vad gäller krypterade data ska alla kriterier för säkerheten vid överföringen inkluderas. Om uppgiftsinföraren kan tvingas vidarebefordra krypteringsnycklar för dekryptering eller autentisering eller ändra en komponent som används för överföring på ett sådant sätt att dess säkerhetsegenskaper undergrävs, kan den ytterligare åtgärden inte anses vara effektiv .

text: Användningsfall 4: Skyddad mottagare

text: Vad gäller skyddade mottagare måste kriterier för gränserna för sekretessen fastställas. Uppgiftsbehandlingen måste hållas inom gränserna för tystnadsplikt. Detta gäller även för behandling som utförs av (under)entreprenörer och vidare överföringar, vars mottagare också måste ha dessa privilegier .

text: B. EXEMPEL PÅ KOMPLETTERANDE ÅTGÄRDER OM ÖVERFÖRINGEN INTE OMFATTAS AV CERTIFIERINGEN OCH UPPGIFTSUTFÖRAREN MÅSTE SE TILL ATT DE VIDTAS

text: Kriterier ska anges för den ytterligare information som myndigheterna i tredjelandet har tillgång till och som kan vara tillräcklig för att uppgifterna ska kunna hänföras till en identifierad eller identifierbar person.

text: Användningsfall 3: Kryptering av uppgifter för att skydda dem från offentliga myndigheters åtkomst i uppgiftsinförarens tredjeland när de övergår mellan uppgiftsutföraren och dennes uppgiftsinförare Kriterier ska tillhandahållas avseende tillförlitligheten hos den certifikatutfärdare eller den infrastruktur som används, säkerheten hos de krypteringsnycklar som används för autentisering eller dekryptering och nyckelhanteringens tillförlitlighet samt användningen av korrekt underhållen programvara utan kända sårbarheter.

text: Om uppgiftsinföraren kan tvingas avslöja krypteringsnycklar som är lämpliga för dekryptering eller autentisering eller att ändra en komponent som används för överföring för att undergräva dess säkerhetsegenskaper, kan åtgärden inte anses vara effektiv . Användningsfall 4: Skyddad mottagare

text: Vad gäller skyddade mottagare måste kriterier för gränserna för sekretessen fastställas. Uppgiftsbehandlingen måste hållas inom gränserna för tystnadsplikt. Detta gäller även för behandling som utförs av (under)entreprenörer och vidare överföringar, vars mottagare också måste omfattas av tystnadsplikt .