text: 1Hänvisningar till ”medlemsstater” i detta dokument bör förstås som hänvisningar till ”medlemsstater i EES”.

text: Se styrelsens tidigare uttalande om covid-19-utbrottet. 3 3 https://edpb.europa.eu/sites/edpb/files/files/file1/edpbletterecadvisecodiv-appguidance_final.pdf

text: Se

text: artikel 2 c i direktivet

text: . 5 Se artiklarna

text: och

text: i direktivet. Begreppet samtycke i direktivet är detsamma som begreppet samtycke i dataskyddsförordningen och måste uppfylla alla krav på samtycke enligt artiklarna

text: och

text: i dataskyddsförordningen. 7 För tolkningen av

text: artikel 15 i direktivet

text: om integritet och elektronisk kommunikation, se även EU-domstolens dom av den 29 januari 2008 i

text: mål C-275/06

text: , Productores de Música de España (Promusicae) mot Telefónica de España SAU. 8 Se avsnitt 1.5.3 i guidelines 1/2020 on processing personal data in the context of connected vehicles (”

text: riktlinjer 1/2020

text: om behandling av personuppgifter i samband med uppkopplade fordon”).

text: (de Montjoye et al., 2018) ”On the privacy-conscientious use of mobile phone data” 10 (de Montjoye et al., 2013) ”Unique in the Crowd: The privacy bounds of human mobility” och (Pyrgelis et al., 2017) ”Knock Knock, Who’s There? Membership Inference on Aggregate Location Data”

text: Se även kommissionens meddelande Vägledning om appar till stöd för kampen mot covid-19-pandemin med avseende på dataskydd, Bryssel, 16.4.2020, C(2020) 2523 final. 12 Se skäl 41.

text: Personuppgiftsansvariga (särskilt myndigheter) måste särskilt uppmärksamma att samtycke inte bör betraktas som frivilligt om den enskilde inte har något verkligt val att vägra eller återkalla sitt samtycke utan att drabbas av nackdelar. 14 Behandlingen måste grunda sig på unionslagstiftningen eller en medlemsstats lagstiftning som föreskriver lämpliga och specifika åtgärder för att skydda den registrerades fri- och rättigheter, särskilt tystnadsplikt. 15 Se

text: artikel 9.2 h dataskyddsförordningen

text: Se WP29 riktlinjer (antagna av styrelsen) om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679. 17 Se EDPB Guidelines 4/2019 on Article 25 Data Protection by Design and by Default Den decentraliserade lösningen överensstämmer generellt bättre med principen om uppgiftsminimering.

identifier: Riktlinjer 04/2020

title: Riktlinjer 4/2020 om användning av lokaliseringsuppgifter och kontaktspårningsverktyg i samband med covid-19- utbrottet

text: Europeiska dataskyddsstyrelsen har

text: med beaktande av artikel 70.1e i

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning),

text: med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

text: med beaktande av artiklarna 12 och 22 i arbetsordningen,

text: ANTAGIT FÖLJANDE RIKTLINJER.

text: 1 INLEDNING OCH BAKGRUND

text: 1 Regeringar och privata aktörer intresserar sig alltmer för dataunderstödda lösningar som ett inslag i insatserna mot covid-19-pandemin, vilket aktualiserar ett stort antal integritetsfrågor.

text: 2 Europeiska dataskyddsstyrelsen (nedan kallad styrelsen) vill understryka att den rättsliga ramen för dataskydd utformades för att vara flexibel. Tack vare den flexibiliteten är det möjligt att både verkningsfullt begränsa pandemin och skydda de grundläggande mänskliga fri- och rättigheterna.

text: 3 Styrelsen är fast övertygad om att när det krävs behandling av personuppgifter för att hantera covid-19-pandemin, är dataskyddet en nödvändighet för att bygga förtroende och skapa förutsättningar för att åtgärderna ska accepteras av allmänheten, och därmed garantera att de blir verkningsfulla. Eftersom viruset inte känner några gränser, framstår det som motiverat att utveckla en gemensam europeisk strategi som svar på den aktuella krisen, eller åtminstone att införa en kompatibel ram.

text: 4 Styrelsen anser generellt att data och teknik som utnyttjas i kampen mot covid-19 bör användas för att ge människor större inflytande, snarare än att kontrollera, stigmatisera eller förtrycka enskilda individer. Visserligen kan data och teknik vara viktiga verktyg, men de har också inneboende begränsningar och kan endast bli en hävstång för att höja andra folkhälsoåtgärders verkningsgrad. De allmänna principerna effektivitet, nödvändighet och proportionalitet måste vara vägledande för alla åtgärder som vidtas av medlemsstater eller EU-institutioner och som innebär behandling av personuppgifter för att bekämpa covid-19.

text: 5 I föreliggande riktlinjer beskrivs villkoren och principerna för en proportionell användning av lokaliseringsuppgifter och kontaktspårningsverktyg inom två särskilda användningsområden:  lokaliseringsuppgifter till stöd för åtgärder mot pandemin genom modellering av virusets spridning för att bedöma isoleringsåtgärdernas övergripande verkningsgrad,  kontaktspårning i syfte att upplysa enskilda individer om att de befunnit sig i närheten av någon som senare kommer att bekräftas som virusbärare för att därigenom bryta smittkedjorna så tidigt som möjligt.

text: 6 Det finns många faktorer som avgör effektiviteten i kontaktspårningsapparnas bidrag till hanteringen av pandemin (t.ex. andel av befolkningen som skulle behöva installera dem och definitionen av ”kontakt” med avseende på närhet och varaktighet). Vidare måste apparna också ingå som en del i en heltäckande folkhälsostrategi för bekämpande av pandemin med bl.a. testning och efterföljande manuell kontaktspårning för att skingra alla tvivel. När apparna börjar släppas, måste det samtidigt säkerställas att informationen till användarna sätts in i ett sammanhang och att varningarna verkligen kommer det offentliga hälso- och sjukvårdssystemet till godo. Om detta inte kan garanteras, finns det en risk att apparna inte kan utnyttjas maximalt.

text: 7 Styrelsen betonar att både den allmänna dataskyddsförordningen (nedan kallad dataskyddsförordningen) och direktiv

text: (nedan kallat direktivet) innehåller särskilda regler som medger användning av anonyma uppgifter eller personuppgifter till stöd för myndigheter och andra aktörer på nationell nivå och EU-nivå vid övervakningen och begränsningen av sars-cov-2-viruset .

text: 8 Mot bakgrund av detta har styrelsen redan tagit ställning till det faktum att användningen av kontaktspårningsappar bör vara frivillig och inte bör bygga på spårning av enskilda rörelser utan snarare på uppgifter om närheten mellan användare .

text: 2 ANVÄNDNING AV LOKALISERINGSUPPGIFTER

text: 2.1 Källor till lokaliseringsuppgifter

text: 9 Det finns två huvudsakliga källor till lokaliseringsuppgifter som kan användas för modellering av virusets spridning och isoleringsåtgärdernas övergripande verkningsgrad:  Lokaliseringsuppgifter som samlats in av leverantörer av elektronisk kommunikation (t.ex. telekomoperatörer) i samband med tillhandahållandet av tjänsten.  Lokaliseringsuppgifter som samlats in av appar som tillhandahålls av leverantörer av informationssamhällets tjänster och som inte fungerar utan användning av sådana uppgifter (t.ex. navigation och transporttjänster).

text: 10 Styrelsen erinrar om att lokaliseringsuppgifter som samlats in från leverantörer av elektronisk kommunikation får behandlas enbart inom ramen för artiklarna

text: och

text: i direktivet. Detta innebär att uppgifterna kan överlämnas till myndigheter eller andra tredje parter först efter att ha anonymiserats av leverantören, eller med användarens samtycke när det gäller uppgifter som inte är trafikuppgifter och som visar den geografiska positionen för en användares terminalutrustning .

text: 11 Vad gäller information, även lokaliseringsuppgifter, som samlats in direkt från terminalutrustningen, är

text: artikel 5.3 i direktivet

text: tillämplig. Därför är lagring av information om användarens enhet eller tillgång till redan lagrad information tillåten endast om i) användaren har lämnat sitt samtycke eller ii) lagringen och/eller tillgången är absolut nödvändig för den av informationssamhällets tjänster som uttryckligen begärs av användaren.

text: 12 Enligt

text: artikel 15 i direktivet

text: är det dock möjligt att göra en inskränkning av gällande rättigheter och skyldigheter när i ett demokratiskt samhälle en sådan inskränkning är nödvändig, lämplig och proportionell för vissa ändamål .

text: 13 Vad gäller återanvändning av lokaliseringsuppgifter som samlats in av en leverantör av informationssamhällets tjänster i modelleringssyfte (t.ex. genom operativsystemet eller någon tidigare installerad app), måste också andra villkor vara uppfyllda. När uppgifter har samlats in i enlighet med

text: artikel 5.3

text: . i direktivet får de vidarebehandlas endast med den registrerades samtycke eller på grundval av en sådan lagstiftningsåtgärd i unionsrätten eller en medlemsstats nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa de mål som avses i

text: artikel 23.1 i den allmänna dataskyddsförordningen

text: 2.2 Fokus på användningen av anonymiserade lokaliseringsuppgifter

text: 14 Styrelsen betonar att vid användning av lokaliseringsuppgifter bör alltid behandling av anonymiserade uppgifter prioriteras framför personuppgifter.

text: 15 Med anonymisering avses användningen av särskilda tekniker för att undanröja möjligheten att, med varje ”rimlig” insats, koppla uppgifterna till en identifierad eller identifierbar fysisk person. I detta ”rimlighetstest” måste inte bara objektiva aspekter (tid och teknisk utrustning) beaktas, utan också faktorer i det större sammanhanget, vilka kan variera från fall till fall (ett fenomens sällsynthet med hänsyn till exempelvis befolkningstätheten, uppgifternas art och omfattning). Om testet visar på luckor är uppgifterna inte anonymiserade och omfattas därför fortfarande av dataskyddsförordningen.

text: 16 Utvärderingen av anonymiseringens hållbarhet utgår från tre testoperationer (kriterier): i) peka ut någon (isolering av en enskild person i en större grupp på grundval av uppgifterna), ii) sammanlänka uppgifter (sammanlänka två poster som rör samma person), samt iii) dra slutsatser (med stor sannolikhet sluta sig till okänd information om en enskild person).

text: 17 Anonymiseringsbegreppet missförstås ofta och tolkas då felaktigt som pseudonymisering. Medan anonymisering medger obegränsad användning av uppgifterna, omfattas pseudonymiserade uppgifter fortfarande av dataskyddsförordningen.

text: 18 Det finns många möjligheter till faktisk anonymisering , dock med ett förbehåll. Uppgifter kan inte anonymiseras enskilt, vilket innebär att endast hela dataset kan anonymiseras eller inte. I denna mening kan ingrepp i ett enskilt datamönster (genom kryptering eller andra matematiska omvandlingar) i bästa fall betraktas som pseudonymisering.

text: 19 Anonymiseringsprocesser och avanonymiseringsattacker är två aktiva forskningsområden. Det är helt avgörande att alla personuppgiftsansvariga som inför anonymiseringslösningar följer den senaste utvecklingen på detta område, särskilt när det gäller lokaliseringsuppgifter (som härrör från telekomoperatörer och/eller informationssamhällets tjänster) som är kända för att alltid vara svåra att anonymisera.

text: 20 Det finns mycket forskning som visar att lokaliseringsuppgifter som uppfattats anonymiserade kanske inte varit det. Spåren efter enskilda personers rörlighet är inbördes starkt korrelerande och unika. Därför kan de under vissa omständigheter användas till att avanonymisera uppgifter.

text: 21 Ett enskilt datamönster som spårar en individs lokalisering under en längre tid kan inte fullständigt anonymiseras. Detta kan stämma även om precisionsgraden för de registrerade geografiska koordinaterna sänks, om uppgifterna om spåret tas bort eller om endast de platser där den registrerade vistas under längre tid lokaliseras och sparas. Detta gäller även lokaliseringsuppgifter med låg systematiseringsgrad.

text: 22 För att uppnå anonymisering måste lokaliseringsuppgifter hanteras noggrant för att uppfylla rimlighetstestets krav. "Detta innebär att lokaliseringsdataset ska behandlas som en helhet och att behandlingen ska gälla uppgifter från en relativt stor grupp individer och ske med hjälp av tillgängliga robusta anonymiseringstekniker, under förutsättning att dessa tillämpas på ett lämpligt och effektivt sätt.

text: 23 Med tanke på anonymiseringsprocessernas komplexitet uppmuntras slutligen öppenhet i fråga om anonymiseringsmetoden starkt.

text: 3 KONTAKTSPÅRNINGSAPPAR

text: 3.1 Allmän rättslig analys

text: 24 Systematisk och storskalig övervakning av fysiska personers lokalisering och/eller kontakter innebär ett allvarligt intrång i deras personliga integritet. Legitimitet för detta kan skapas endast om användarna frivilligt godtar det för de olika aktuella syftena. Detta skulle i synnerhet innebära att enskilda som inte vill eller kan använda sådana appar inte skulle drabbas av någon nackdel.

text: 25 För att säkerställa ansvarsskyldigheten bör det tydligt anges vem som är personuppgiftansvarig för kontaktspårningsappen. Styrelsen anser att de nationella hälsomyndigheterna borde kunna vara personuppgiftsansvariga för en sådan app. Andra personuppgiftsansvariga kan också komma i fråga. Om flera aktörer står bakom apparna, måste deras roller och ansvarsområden i alla händelser klargöras från första början och förklaras för användarna.

text: 26 När det gäller principen om ändamålsbegränsning, måste ändamålet vara tillräckligt specifikt för att utesluta ytterligare behandling för ändamål som saknar samband med hanteringen av hälsokrisen till följd av covid-19 (t.ex. kommersiella syften eller brottsbekämpningsändamål). När ändamålet väl har fastställts, blir det nödvändigt att se till att användningen av personuppgifter sker på ett adekvat, nödvändigt och proportionerligt sätt.

text: 27 I fråga om kontaktspårningsappar bör principen om uppgiftsminimering samt inbyggt dataskydd och dataskydd som standard noggrant övervägas:  Kontaktspårningsappar kräver inte spårning av enskilda användares lokalisering. I stället bör närhetsdata användas.  Eftersom kontaktspårningsappar fungerar också utan direkt identifiering av enskilda personer, bör lämpliga åtgärder vidtas för att förhindra avanonymisering.  Den insamlade informationen bör lagras i användarens terminalutrustning, och enbart relevant information bör samlas in och endast när så är absolut nödvändigt.

text: 28 När det gäller frågan om behandlingens lagenlighet, noterar styrelsen att kontaktspårningsappar lagrar och/eller har tillgång till information som redan är lagrad i terminalutrustningen. Sådan information omfattas av

text: artikel 5.3 i direktivet

text: . Om dessa operationer är absolut nödvändiga för att leverantören av appen ska kunna tillhandahålla den tjänst som användaren uttryckligen har begärt, kräver behandlingen inte vederbörandes samtycke. Vad gäller operationer som inte är strikt nödvändiga, måste leverantören begära användarens samtycke.

text: 29 Vidare konstaterar styrelsen att även om användningen av kontaktspårningsappar sker på frivillig grund, innebär detta inte att behandlingen av personuppgifter nödvändigtvis också är grundad på samtycke. När myndigheter tillhandahåller en tjänst på grundval av ett lagstadgat mandat, förefaller den mest relevanta rättsliga grunden för behandlingen vara att den är nödvändig för att utföra en uppgift av allmänt intresse, vilket innebär att

text: artikel 6.1 e i dataskyddsförordningen

text: är tillämplig.

text: 30 I

text: artikel 6.3 i förordningen

text: fastställs att grunden för den behandling som avses i

text: artikel 6.1 e

text: ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

text: 31 Den rättsliga grund eller lagstiftningsåtgärd som utgör den lagenliga grunden för användningen av kontaktspårningsappar bör dock inbegripa meningsfulla skyddsåtgärder samt en hänvisning till att användningen av appen är frivillig. Det bör finnas en tydlig precisering av syftet och uttryckliga begränsningar när det gäller den fortsatta behandlingen av personuppgifter, samt tydlig uppgift om den eller de berörda personuppgiftansvariga. Kategorierna av uppgifter och enheter till vilka (samt de ändamål för vilka) personuppgifterna får lämnas ut bör också fastställas. Beroende på graden av inblandning bör ytterligare skyddsåtgärder införas, med beaktande av behandlingens art, omfattning och ändamål. Slutligen rekommenderar styrelsen också att ta med de kriterier som, så snart det är praktiskt möjligt, ska avgöra när appen ska avvecklas och vilken enhet som ska vara ansvarig och ansvarsskyldig för att avgöra detta.

text: 32 Om behandlingen av uppgifterna däremot bygger på en annan rättslig grund, såsom samtycke (

text: artikel 6.1 a

text: ) , måste den personuppgiftsansvarige förvissa sig om att de strikta kraven för att en sådan rättslig grund ska vara giltig är uppfyllda.

text: 33 Vidare kan användningen av en app för bekämpande av covid-19-pandemin leda till insamling av hälsouppgifter (t.ex. om den smittades hälsostatus). Behandling av sådana uppgifter är tillåten om behandlingen är nödvändig av hänsyn till allmänintresset på folkhälsoområdet och uppfyller villkoren i artikel 9.2 i i dataskyddsförordningen eller för hälso- och sjukvårdsändamål enligt

text: artikel 9.2 h i förordningen

text: . Beroende på den rättsliga grunden kan behandlingen också grundas på uttryckligt samtycke (

text: artikel 9.2 a i dataskyddsförordningen

text: 34 I enlighet med det ursprungliga syftet medger

text: artikel 9.2 j i dataskyddsförordningen

text: också att hälsouppgifter behandlas när så är nödvändigt för vetenskapliga forskningsändamål eller statistiska ändamål.

text: 35 Den rådande hälsokrisen bör inte utnyttjas som ett tillfälle att fastställa oproportionerliga mandat för lagring av uppgifter. Lagringsbegränsningen bör beakta de verkliga behoven och den medicinska relevansen (detta kan inbegripa epidemiologiska överväganden som inkubationstid osv.) och personuppgifter bör endast bevaras så länge som covid-19-krisen pågår. Efteråt bör den allmänna regeln vara att alla personuppgifter raderas eller anonymiseras.

text: 36 Såsom styrelsen förstår saken, kan sådana appar inte ersätta, utan endast stödja, manuell kontaktspårning utförd av kvalificerad personal inom offentlig hälso- och sjukvård, som kan reda ut huruvida nära kontakter sannolikt kan leda till överföring av virus eller ej (t.ex. vid interaktion med någon som skyddas av lämplig utrustning – kassapersonal osv. – eller ej). Styrelsen understryker att förfaranden och processer som inbegriper algoritmer vilka utnyttjas i kontaktspårningsappar bör användas under sträng övervakning genomförd av kvalificerad personal för att begränsa förekomsten av falska positiva och negativa resultat. Särskilt uppgiften att ge råd om lämpliga åtgärder bör inte grunda sig enbart på automatiserad behandling.

text: 37 För att säkerställa att algoritmerna är rättvisa, tydligt visar var ansvarsskyldigheten ligger och, mer allmänt, följer gällande lagstiftning, måste de kunna granskas och regelbundet ses över av oberoende experter. Appens källkod bör göras tillgänglig för allmänheten så att den kan granskas så brett som möjligt.

text: 38 Det kommer alltid att finnas ett visst antal positiva träffresultat som visar sig vara felaktiga. Eftersom identifieringen av en smittrisk sannolikt kan ha stor inverkan på enskilda individer, t.ex. om de måste hålla sig i självisolering till dess att de testats med negativt resultat, är det nödvändigt att kunna korrigera uppgifter och/eller analysresultat. Detta bör naturligtvis endast gälla situationer och tillämpningar där uppgifter behandlas och/eller lagras på ett sätt som tekniskt medger sådan korrigering och där de negativa effekter som nämns ovan sannolikt kommer att inträffa.

text: 39 Slutligen anser styrelsen att en konsekvensbedömning avseende dataskyddet måste genomföras innan ett sådant verktyg införs, eftersom behandlingen anses inbegripa hög risk (hälsouppgifter, förväntad användning i stor skala, systematisk övervakning och användning av ny teknisk lösning) . Styrelsen rekommenderar starkt att konsekvensbedömningarna avseende dataskydd offentliggörs.

text: 3.2 Rekommendationer och funktionskrav

text: 40 Enligt principen om uppgiftsminimering bör, bland andra åtgärder som inbyggt dataskydd och dataskydd som standard , de uppgifter som behandlas reduceras till ett strikt minimum. Appen bör inte samla in ovidkommande eller onödig information, som kan omfatta civilstånd, kommunikationsidentifierare, utrustningsförteckningar, meddelanden, samtalsloggar, lokaliseringsuppgifter, produktidentifieringar osv.

text: 41 Uppgifter som översänts av appar får endast innehålla vissa unika och pseudonymiserade identifierare som genereras av och är specifika för appen. Dessa identifierare måste regelbundet förnyas med en frekvens som är förenlig med ändamålet att begränsa virusets spridning och som är tillräcklig för att begränsa risken för identifiering och fysisk spårning av individer.

text: 42 Åtgärderna för kontaktspårning kan vidtas enligt en centraliserad eller decentraliserad strategi . Båda bör betraktas som genomförbara alternativ, förutsatt att lämpliga säkerhetsåtgärder vidtas, som var och en är förknippade med en rad fördelar och nackdelar. Under konceptstadiet av utvecklingen av appen bör man därför alltid noga beakta båda koncepten och noggrant gå igenom de olika effekterna på dataskyddet och den personliga integriteten samt den eventuella effekten på enskildas rättigheter.

text: 43 De servrar som ingår i kontaktspårningssystemet får endast samla in kontakthistorik eller pseudonymiserade identifierare från en användare som konstaterats smittad efter en grundlig bedömning utförd av hälsomyndigheterna och som en frivillig åtgärd från användarens sida. Alternativt måste det på servern bevaras en förteckning över infekterade användares pseudonymiserade identifierare eller deras kontakthistorik endast under den tid som behövs för att underrätta potentiellt smittade användare om deras exponering. Servern bör inte ha möjligheten att kunna identifiera potentiellt smittade användare.

text: 44 Införandet av en global kontaktspårningsmetod med både appar och manuell spårning kan kräva att ytterligare information behandlas i vissa fall. I detta sammanhang bör denna ytterligare information bevaras i användarterminalen och behandlas endast när så är absolut nödvändigt och då med särskilt samtycke.

text: 45 Modern kryptografisk teknik måste användas för att säkra såväl de uppgifter som lagras på servrar och i appar som utbyten mellan appar och fjärrservern. En ömsesidig autentisering mellan appen och servern måste också effektueras.

text: 46 Rapporteringen av användare såsom sars-cov-2-smittade i appen måste godkännas på vederbörligt sätt, t.ex. genom en engångskod knuten till en smittad persons pseudonymiserade identitet och till en teststation eller anställd inom hälso- och sjukvården. Om bekräftelse inte kan erhållas på ett säkert sätt, bör det inte äga rum någon uppgiftsbehandling som förutsätter att användarens status är giltig.

text: 47 Den personuppgiftsansvarige måste, i samarbete med myndigheterna, tydligt och uttryckligen informera om länken för nedladdning av den officiella nationella kontaktspårningsappen för att därigenom minska risken för att enskilda personer använder en tredjeparts app.

text: 4 SLUTSATS

text: 48 Världen befinner sig mitt uppe i en omfattande folkhälsokris som kräver kraftfulla svar med följder som går långt utöver själva nödsituationen. Automatisk uppgiftsbehandling och digital teknik kan bli nyckelinslag i kampen mot covid-19. Man bör dock vara medveten om ”avstängningseffekten”. Vi måste ta ansvar för att varje åtgärd som vidtas under dessa extraordinära omständigheter är nödvändig, begränsad i tiden, av minimal omfattning och föremål för regelbunden och genuin granskning och vetenskaplig utvärdering.

text: 49 Styrelsen understryker att man inte ska behöva välja mellan ett verkningsfullt svar på den pågående krisen och skyddet av våra grundläggande rättigheter. Inget av dessa båda värden behöver väljas bort och dessutom kan dataskyddsprinciperna spela en mycket viktig roll i kampen mot viruset. EU:s dataskyddslagstiftning medger en ansvarsfull användning av personuppgifter för hälsoförvaltningsändamål, samtidigt som det säkerställs att individuella rättigheter och friheter inte urholkas i processen. För Europeiska dataskyddsstyrelsen Ordföranden (Andrea Jelinek)

text: BILAGA – KONTAKTSPÅRNINGSAPPAR – ANALYS OCH VÄGLEDNING

text: 0. Ansvarsfriskrivning

text: Följande vägledning är varken föreskrivande eller uttömmande. Dess enda syfte är att ge dem som utvecklar och realiserar kontaktspårningsappar allmän vägledning. Andra lösningar än de som beskrivs här kan också användas och kan vara lagenliga så länge de överensstämmer med den gällande rättsliga ramen (dvs. den allmänna dataskyddsförordningen och direktivet).

text: Vägledningen är av allmän karaktär. Följaktligen bör rekommendationerna och skyldigheterna i detta dokument inte betraktas som uttömmande. Alla bedömningar måste göras från fall till fall, och vissa appar kan kräva ytterligare åtgärder som inte beskrivs här.

text: 1. Sammanfattning

text: I många medlemsstater överväger berörda parter möjligheten att använda kontaktspårningsappar* för att hjälpa folk att upptäcka om de har varit i kontakt med en person som är smittad med sars-cov- 2.

text: De förutsättningar under vilka sådana appar skulle kunna bidra verkningsfullt till hanteringen av pandemin har ännu inte fastställts. Dessa villkor måste fastställas innan någon sådan app tas i bruk. Det är ändå lämpligt att tillhandahålla riktlinjer och därigenom förmedla relevant information till utvecklingsgrupper uppströms, så att personuppgiftsskyddet kan säkerställas redan på ett tidigt utvecklingsstadium. Denna vägledning är av allmän karaktär. Följaktligen bör rekommendationerna och skyldigheterna i detta dokument inte betraktas som uttömmande. Alla bedömningar måste göras från fall till fall, och särskilda tillämpningar kan kräva ytterligare åtgärder som inte beskrivs här. Syftet med den här vägledningen är att ge utvecklare och realisatörer av kontaktspårningsappar allmän vägledning.

text: Vissa kriterier kan gå utöver de strikta krav som följer av regelverket för dataskydd. Syftet är att säkerställa största möjliga öppenhet i avsikt att främja social acceptans för sådana kontaktspårningsappar. För detta ändamål bör utgivare av kontaktspårningsappar beakta följande kriterier:

text:  Användningen av en sådan app måste vara helt frivillig. Tillgången till lagstadgade rättigheter får inte villkoras av användningen av en sådan app. Enskilda personer måste alltid ha full kontroll över sina uppgifter och fritt kunna välja om de vill använda en sådan app.

text:  Kontaktspårningsappar kommer sannolikt att medföra en hög risk för fysiska personers rättigheter och friheter samt kräva att en konsekvensbedömning avseende dataskyddet görs innan de släpps.

text:  Information om närheten mellan användare av appen kan erhållas utan att de blir lokaliserade. Denna typ av app behöver inte några lokaliseringsuppgifter och bör därför inte omfatta användning av sådana uppgifter.

text:  När en användare diagnostiserats med sars-cov-2-viruset, bör endast de personer som användaren har varit i nära kontakt med under den epidemiologiskt relevanta lagringsperioden för kontaktspårning underrättas.

text:  Denna typ av app kan, beroende på vilken arkitektur som väljs, på grund av sitt funktionssätt kräva användning av en centraliserad server. I ett sådant fall, och i enlighet med principerna om uppgiftsminimering och inbyggt dataskydd, bör de uppgifter som behandlas av den centrala servern begränsas till ett minimum:

text: o När en användare diagnostiseras som smittad, kan information om vederbörandes tidigare nära kontakter eller identifierare som sänts ut av användaren samlas in, dock endast med användarens samtycke. Det måste beslutas om en kontrollmetod som gör det möjligt att fastställa att personen verkligen är smittad utan att användaren identifieras. Tekniskt skulle detta kunna uppnås genom att kontakten tas först sedan hälso- och sjukvårdspersonal har bekräftat smittan, t.ex. genom användning av en särskild engångskod.

text: o Den information som lagras på den centrala servern bör inte medge att den personuppgiftsansvarige kan identifiera användare som diagnostiserats som smittade eller som personer som varit i kontakt med dessa användare. Inte heller bör den medge att slutsatser dras om kontaktmönster som inte är nödvändiga för att fastställa relevanta kontakter.

text:  Tillämpningen av detta slags app kräver sändning av uppgifter som andra användares apparater kan avläsa och avlyssna:

text: o Det räcker med utbyte av pseudonymiserade identifierare mellan användarnas mobila utrustning (datorer, surfplattor, smartklockor osv.), t.ex. genom att de sänds ut (t.ex. med tekniken Bluetooth Low Energy).

text: o Identifierare måste genereras med hjälp av uppdaterade kryptografiska processer.

text: o Identifierarna måste regelbundet förnyas för att minska risken för fysisk spårning och länkningsattacker.

text:  Denna typ av app måste vara säkrad på ett sätt som gör att den garanterar säkra tekniska processer. Särskilt gäller följande:

text: o Appen bör inte ge användarna information som medger att andras identitet eller diagnos kan härledas. Den centrala servern får varken identifiera användare eller härleda information om dem.

text: Friskrivning: Ovanstående principer gäller det angivna syftet kontaktspårning med hjälp av appar, och endast detta syfte, som enbart går ut på att automatiskt underrätta de personer som kan ha exponerats för viruset (utan att behöva identifiera dem). Den behöriga tillsynsmyndigheten har rätt att kontrollera appoperatörerna och appens infrastruktur. Att följa dessa riktlinjer helt eller delvis är inte nödvändigtvis tillräckligt för att säkerställa efterlevnaden av regelverket för dataskydd.

text: 2. Definitioner

text: Kontakt Vid kontaktspårning avses med kontakt en användare som har varit i interaktion med en användare som bekräftats vara virusbärare under en tidsperiod och på ett avstånd som medför risk för betydande exponering för virusinfektionen. Parametrarna för exponeringens varaktighet och avståndet mellan personerna ska avgöras av hälso- och sjukvårdsmyndigheterna. Parametrarna kan sedan programmeras in i appen.

text: Lokaliseringsuppg Med detta avses alla uppgifter som behandlas i ett elektroniskt ifter kommunikationsnät eller av en elektronisk kommunikationstjänst med angivande av den geografiska positionen för terminalutrustningen tillhörande en användare av en allmänt tillgänglig elektronisk kommunikationstjänst (enligt definitionen i direktivet), samt uppgifter från andra potentiella källor avseende:

text:  terminalutrustningens latitud, longitud eller altitud,  användarens färdriktning, eller  tidpunkten för registreringen av lokaliseringsinformationen.

text: Interaktion När det gäller kontaktspårningsappar, definieras interaktion som utbyte av information mellan två enheter i närheten av varandra (i tid och rum), inom ramen för den kommunikationsteknik som används (t.ex. Bluetooth). Denna definition utesluter lokalisering av de två användarna i interaktionen.

text: Virusbärare I föreliggande dokument avses med virusbärare en användare som har testats positivt för viruset och som har fått en officiell diagnos från läkare eller en vårdinrättning.

text: Kontaktspårning Personer som har varit i nära kontakt (enligt kriterier som ska fastställas av epidemiologer) med en person som är smittad med viruset löper stor risk att också smittas och att smitta andra i sin tur.

text: Kontaktspårning är en metod för sjukdomsbekämpning, som förtecknar alla personer som befunnit sig i närheten av en virusbärare, för att kontrollera om dessa kan ha smittas och vidta lämpliga sanitära åtgärder.

text: 3. Allmänt

text: GEN-1 Appen måste vara ett kompletterande verktyg till traditionella metoder för kontaktspårning (särskilt intervjuer med smittade personer). Den måste med andra ord ingå i ett bredare folkhälsoprogram. Den får endast användas så länge som enbart manuella kontaktspårningsmetoder inte räcker till för att hantera antalet nya infektioner.

text: GEN-2 Senast vid den tidpunkt då ”återgång till normalläge” beslutats av behöriga myndigheter, måste åtgärder vidtas för att stoppa insamlingen av identifierare (global avaktivering av appen, instruktioner för avinstallation av appen, automatisk avinstallation osv.) och aktivera radering av alla insamlade uppgifter från alla databaser (mobila appar och servrar).

text: GEN-3 Appens och dess backendsystems källkod måste vara öppna, och de tekniska specifikationerna måste offentliggöras så att alla berörda parter kan granska koden och i förekommande fall bidra till att förbättra den, korrigera eventuella programfel och säkerställa insyn i behandlingen av personuppgifter.

text: GEN-4 När appen släpps, måste det ske i etapper så att den successivt kan utvärderas ur ett folkhälsoperspektiv. Redan i ett tidigt skede måste ett utvärderingsprotokoll, med angivande av indikatorer som medger mätning av appens ändamålsenlighet, fastställas för detta ändamål.

text: 4. Syften

text: PUR-1 Appen ska ha kontaktspårning som sitt enda syfte, så att personer som kan komma att exponeras för sars-cov-2-viruset kan varnas och tas om hand. Den får inte användas i något annat syfte.

text: PUR-2 Appen får inte användas utanför sitt primära användningsområde i syfte att kontrollera efterlevnaden av karantän- eller isoleringsåtgärder och/eller social distansering.

text: PUR-3 Appen får inte användas för att dra slutsatser om var användarna befinner sig utifrån deras interaktion och/eller på något annat sätt.

text: 5. Frågor med avseende på funktionen

text: FUNC-1 Appen måste ha en funktion som informerar användarna om att de kan ha exponerats för viruset. Denna information bygger på närhet till en smittad användare inom en period av X dagar före det positiva resultatet av screeningtestet (X-värdet fastställs av hälso- och sjukvårdsmyndigheterna).

text: FUNC-2 Användare som identifierats som potentiellt exponerade för viruset bör kunna få rekommendationer i appen. Den bör ge upplysningar om vad man bör göra och användaren bör kunna få rådgivning genom appen. I det fallet är en mänsklig kontakt obligatorisk.

text: FUNC-3 Algoritmen som mäter smittorisken genom att beakta avstånd och tid, och därigenom avgör när en kontakt ska registreras i kontaktspårningsförteckningen, måste på ett säkert sätt kunna beakta de senaste rönen om virusets spridning.

text: FUNC-4 Användarna måste informeras i de fall där de har exponerats för viruset, eller regelbundet få ta del av information om huruvida de har utsatts för viruset eller inte, under virusets inkubationstid.

text: FUNC-5 Appen bör vara kompatibel med andra appar som utvecklats i medlemsstaterna, så att användare som reser mellan olika medlemsländer faktiskt kan underrättas.

text: 6. Uppgifter

text: DATA-1 Appen måste kunna sända och ta emot uppgifter genom närkommunikationsteknik, t.ex. Bluetooth Low Energy, så att kontaktspårning medges.

text: DATA-2 Dessa sändningsdata måste innehålla kryptografiskt starka pseudoslumpidentifierare som genereras av appen och är specifika för denna.

text: DATA-3 Risken för kollision mellan pseudoslumpidentifierare bör vara tillräckligt låg.

text: DATA-4 Pseudoslumpidentifierare måste regelbundet bytas ut. Detta måste ske med en frekvens som är tillräcklig för att begränsa risken för att vem som helst – även operatörer av centrala servrar, andra appanvändare eller tredje parter med ont uppsåt – kan avanonymisera, fysiskt spåra eller koppla samman enskilda personer. Dessa identifierare måste genereras av användarens app, eventuellt med hjälp av ett frö som tillhandahålls av den centrala servern.

text: DATA-5 Enligt principen om uppgiftsminimering får appen inte samla in andra uppgifter än vad som är absolut nödvändigt i syfte att genomföra kontaktspårning.

text: DATA-6 Appen får inte samla in lokaliseringsuppgifter i syfte att genomföra kontaktspårning. Lokaliseringsuppgifter får behandlas enbart i syfte att medge interaktion med liknande appar i andra länder och deras precision bör begränsas till vad som är absolut nödvändigt för detta enda syfte.

text: DATA-7 Appen bör inte samla in andra hälsouppgifter än de som är strikt nödvändiga för tillämpningen av appen, förutom på frivillig grund och i det enda syftet att bidra till beslutet om att underrätta användaren.

text: DATA-8 Användare måste underrättas om vilka personuppgifter som kommer att samlas in. Dessa uppgifter bör samlas in endast med användarens godkännande.

text: 7. Tekniska egenskaper

text: TECH-1 Appen bör använda tillgänglig teknik, såsom teknik för närhetskommunikation (t.ex. Bluetooth Low Energy), för att upptäcka användare i närheten av en apparat med appen installerad.

text: TECH-2 Appen bör spara historiken över en användares kontakter i apparaten under en i förväg fastställd begränsad period.

text: TECH-3 Appen får använda en central server för att fullgöra vissa funktioner.

text: TECH-4 Appen måste bygga på en arkitektur som så långt möjligt utgår från användarnas apparater.

text: TECH-5 På initiativ av användare som rapporterats som smittade av viruset, och efter att deras status har bekräftats av vederbörligen certifierad hälso- och sjukvårdspersonal, bör deras kontakthistorik eller deras egna identifierare översändas till den centrala servern.

text: 8. Säkerhet

text: SEC-1 Det måste finnas en mekanism som kan verifiera statusen för de användare som rapporteras som sars-cov-2-positiva i appen, t.ex. genom att en engångskod kopplad till en teststation eller professionell hälso- och sjukvårdsinrättning tillhandahålls. Om bekräftelse inte kan erhållas på ett säkert sätt, får uppgifterna inte behandlas.

text: SEC-2 De uppgifter som skickas till den centrala servern måste överföras via en säker kanal. Användningen av aviseringstjänster som tillhandahålls av operativsystemleverantörer bör ingående bedömas och får inte leda till att några uppgifter lämnas ut till tredjeparter.

text: SEC-3 En begäran får inte kunna manipuleras av en användare med ont uppsåt.

text: SEC-4 Aktuell kryptografisk teknik måste användas för att åstadkomma ett säkert utbyte mellan appen och servern och mellan appar, samt som en allmän regel till skydd för den information som lagras i apparna och på servern. Exempel på tekniker som kan användas: symmetrisk och asymmetrisk kryptering, hashfunktioner, privat medlemskapstest, privata setsnitt, Bloom-filter, insamling av privat information, homomorfisk kryptering osv.

text: SEC-5 Identifierare för nätverksanslutningar (t.ex. IP-adresser) för användare får inte sparas på den centrala servern. Detta gäller även dem som har testats positivt och som har överfört sin kontakthistorik eller sina egna identifierare.

text: SEC-6 För att undvika identitetsbedrägeri eller skapande av falska användare måste appen autentiseras av servern.

text: SEC-7 Den centrala servern måste autentiseras av appen.

text: SEC-8 Serverfunktionerna bör vara skyddade för omtagningsattacker.

text: SEC-9 Den information som översänds av den centrala servern måste vara signerad för att autentisera ursprunget och integriteten.

text: SEC-10 Tillgång till alla uppgifter som lagras på den centrala servern och inte är tillgängliga för allmänheten ska begränsas till endast auktoriserade personer.

text: SEC-11 Apparatens tillståndsadministratör på operativsystemsnivå ska bara begära de tillstånd som är nödvändiga för att vid behov få tillgång till och använda kommunikationsmodulerna, lagra uppgifterna i terminalen och utbyta information med den centrala servern.

text: 9. Skydd av fysiska personers personuppgifter och integritet

text: Påminnelse: följande riktlinjer gäller en app vars enda syfte är kontaktspårning.

text: PRIV-1 Vid uppgiftsutbytet måste användarnas integritet respekteras (och i synnerhet principen om uppgiftsminimering).

text: PRIV-2 Användning av appen får inte leda till att användarna direkt kan identifieras.

text: PRIV-3 Användning av appen får inte leda till att användares rörelser kan spåras.

text: PRIV-4 Användning av appen får inte leda till att användare kan få tillgång till uppgifter om andra användare (och särskilt inte uppgifter som visar huruvida de är virusbärare).

text: PRIV-5 Förtroendet för den centrala servern måste vara begränsat. Förvaltningen av den centrala servern måste ske enligt tydligt definierade styrningsregler och omfatta alla nödvändiga åtgärder för att garantera dess säkerhet. Den centrala servern bör vara lokaliserad någonstans där den behöriga tillsynsmyndigheten kan utöva faktisk tillsyn av den.

text: PRIV-6 En konsekvensbedömning av dataskyddet måste genomföras och offentliggöras.

text: PRIV-7 Det enda som appen bör visa användaren är om vederbörande har exponerats för viruset och, om detta är möjligt utan att samtidigt visa information om andra användare, hur många gånger och när exponeringen ägt rum.

text: PRIV-8 Användarna får inte utifrån de uppgifter som framgår av appen kunna identifiera de användare som är virusbärare eller deras rörelser.

text: PRIV-9 Hälsovårdsmyndigheterna får inte utifrån de uppgifter som framgår av appen kunna identifiera potentiellt exponerade användare utan deras samtycke.

text: PRIV-10 Begäranden som av appen riktats till den centrala servern får inte avslöja något om bäraren av viruset.

text: PRIV-11 Begäranden som av appen riktas till den centrala servern får inte i onödan avslöja någon information om användaren, förutom möjligen och endast när så är nödvändigt, användarens pseudonymiserade identifierare och dennes kontaktlista.

text: PRIV-12 Länkningsattacker får inte vara möjliga.

text: PRIV-13 Användarna måste kunna få sina rättigheter tillgodosedda genom appen.

text: PRIV-14 Radering av appen måste leda till att alla lokalt insamlade uppgifter raderas.

text: PRIV-15 Appen bör endast samla in uppgifter som överförts av instanser i appen eller driftskompatibla likvärdiga appar. Inga uppgifter om andra appar och/eller apparater som medger närkommunikation ska samlas in.

text: PRIV-16 För att undvika att den centrala servern utför avanonymiseringar bör proxyservrar inrättas. Syftet med dessa servrar som inte fritt samverkar är att blanda flera användares identifierare (både virusbärarnas och dem som skickas av begärarna) innan de delas med den centrala servern, så att den inte kan känna till användarnas identifierare (t.ex. IP-adresser).

text: PRIV-17 Appen och servern måste vara noggrant utvecklade och konfigurerade för att inte samla in onödiga uppgifter (t.ex. bör inga identifierare ingå i serverloggarna) och för att undvika användning av någon tredjeparts programutvecklingsverktyg som samlar in uppgifter för andra ändamål.

text: I de flesta kontaktspårningsappar som för närvarande diskuteras tillämpas i princip två metoder när en användare har förklarats smittad. Antingen kan den historik över närhetskontakter som apparna fått fram genom avsökning skickas till en server, eller så kan listan över de egna identifierare som sänts ut av apparna skickas. Följande principer delas i enlighet med dessa båda metoder: Visserligen diskuteras dessa metoder här, men det innebär inte att andra metoder inte kan tänkas eller vara bättre, t.ex. metoder som inbegriper någon form av E2E-kryptering eller bygger på annan teknik för att förbättra säkerheten eller integritetsskyddet.

text: 9.1. Principer som gäller enbart när en kontaktlista skickas till servern från appen:

text: CON-1 Den centrala servern måste samla in kontakthistorik från användare som rapporterats som sars-cov-2-positiva som ett resultat av frivilligt agerande från deras sida. CON-2 Den centrala servern får inte behålla eller sprida förteckningen över pseudonymiserade identifierare för användare som är bärare av viruset. CON-3 Den kontakthistorik som lagras på den centrala servern måste raderas så snart användarna underrättats om att de befunnit sig i närheten av en person som testats positivt. CON-4 Förutom när den användare som testats positivt delar sin kontakthistorik med den centrala servern, eller när användaren riktar en begäran till servern för att ta reda på sin potentiella exponering för viruset, får inga uppgifter lämna användarens utrustning. CON-5 Varje identifierare som ingår i den lokala historiken måste raderas efter X dagar efter insamlingstillfället (X fastställs av hälso- och sjukvårdsmyndigheterna).

text: CON-6 Kontakthistoriken som lämnas in av en viss användare bör inte behandlas vidare, t.ex. korskopplas för att skapa globala närhetskartor.

text: CON-7 Uppgifter i serverloggar måste minimeras och uppfylla dataskyddskraven.

text: 9.2. Principer som gäller enbart när en lista över de egna identifierarna skickas från appen till en server:

text: ID-1 Den centrala servern måste samla in de identifierare som sänts ut från appen om användare som rapporterats som sars-cov-2-positiva som ett resultat av frivilligt agerande från deras sida. ID-2 Den centrala servern får inte behålla eller sprida kontakthistoriken från användare som bär på viruset.

text: ID-3 Identifierare lagrade på den centrala servern måste raderas så snart de spritts till övriga appar.

text: ID-4 När den användare som testats positivt delar sina identifierare med den centrala servern, får inga uppgifter lämna användarens utrustning. Inte heller när användaren riktar en begäran till servern för att ta reda på sin potentiella exponering för viruset, får några uppgifter lämna användarens utrustning.

text: ID-5 Uppgifter i serverloggar måste minimeras och uppfylla dataskyddskraven.


text: Domstolens dom (stora avdelningen) av den 16 juli 2020, Data Protection Commissioner/Facebook Ireland Limited och Maximillian Schrems.

text: Hänvisningar till ”medlemsstater” i detta dokument bör förstås som hänvisningar till ”medlemsstater i EES”.

text: Exemplet påverkar inte Europeiska dataskyddsstyrelsens

text: rekommendationer 01/2020

text: om åtgärder som komplement till överföringsverktyg. transnationell uppförandekod: en uppförandekod för behandling i mer än en medlemsstat. Se

text: riktlinjerna 1/2019

text: , tillägg 1 – Skillnaden mellan nationella och transnationella uppförandekoder.

text: Se

text: riktlinjerna 1/2019

text: , avsnitt 6. Fler uppgifter om kraven på kodutfärdaren finns i definitionen av kodutfärdare i avsnitt 2 och 5.3 i

text: riktlinjerna 1/2019

text: . Fler detaljer om behovet av att inrätta ett övervakningsorgan i enlighet med en uppförandekod finns i avsnitt 11 och 12 i

text: riktlinjerna 1/2019

text: Se Europeiska dataskyddsstyrelsens dokument om förfarandet för utformning av informella ”uppförandekodsessioner” https://edpb.europa.eu/sites/default/files/files/file1/edpb_documentprocedureco desconductsessions_sv.pdf. Se

text: riktlinjerna 1/2019

text: Personuppgiftsansvarig eller Personuppgiftsans ÖVERFÖRING personuppgiftsbiträde i Indien som varig som omfattas inte omfattas av av dataskyddsförordningen och iakttar dataskyddsförordni uppförandekoden avsedd för ngen överföringar (uppgiftsinförare) (uppgiftsutförare) Avtal med bindande och verkställbara åtaganden

text: Europeiska dataskyddsstyrelsen har offentliggjort en rekommendation om åtgärder som komplement till överföringsverktyg för att säkerställa överensstämmelsen med EU-nivån för skydd av personuppgifter, och denna kan vara till hjälp vid bedömningen av tredjelandet och för att identifiera lämpliga kompletterande åtgärder. Detta bygger på uppfattningen att lagar och praxis som respekterar det centrala innehållet i de grundläggande rättigheterna och friheterna, och inte överstiger vad som är nödvändigt och proportionerligt i ett demokratiskt samhälle för att skydda ett av de mål som förtecknas i

text: artikel 23.1 i förordning (EU) 2016/679

text: , inte motsäger de skyddsåtgärder som specificeras i uppförandekoden avsedd för överföringar.

text: Godkännande från den behöriga Styrelsen rekommenderar i yttrande tillsynsmyndigheten följer efter ändringar av den behöriga styrelsens yttrande där man bekräftar tillsynsmyndighetens utkast till den behöriga tillsynsmyndighetens beslut/av koden utkast till beslut

text: Godkännande från den behöriga tillsynsmyndigheten följer efter

text: inom unionen ändringarna i vilket man bekräftar den behöriga tillsynsmyndighetens (nya) utkast till beslut

text: Yttrande från styrelsen med ändringar av utkastet till beslut från behörig Yttrande från styrelsen som bekräftar tillsynsmyndighet den behöriga tillsynsmyndighetens utkast till beslut

text: Kodutfärdaren lämnar in den ändrade

text: koden till den behöriga

text: Godkännande följer efter styrelsens

text: yttrande om de nya ändringarna i vilket

text: man bekräftar den behöriga tillsynsmyndighetens (nya) utkast till beslut

identifier: Riktlinjer 04/2021

amnesord:
Uppförandekoder
Verktyg för överföringar och undantag

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Riktlinjer 04/2021 om uppförandekoder som överföringsverktyg

version: Final version

serie: riktlinjer

text: SAMMANFATTNING

type: rubrik

text: Enligt

text: artikel 46 i den allmänna dataskyddsförordningen

text: ska en personuppgiftsansvarig/personuppgiftsbiträde vidta lämpliga skyddsåtgärder för att överföra personuppgifter till ett tredjeland eller en internationell organisation. För detta ändamål beskrivs i dataskyddsförordningen de olika lämpliga skyddsåtgärder som organisationer i enlighet med

text: artikel 46

text: kan använda som ram för överföringar till tredjeländer, bland annat genom att införa uppförandekoder som en ny överföringsmekanism (artiklarna

text: och

text: 46.2 e

text: ). Som föreskrivs i

text: artikel 40.3

text: kan i detta avseende en uppförandekod, när den väl har godkänts av den behöriga tillsynsmyndigheten och av kommissionen har förklarats som allmänt giltig i unionen, iakttas och användas av personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av dataskyddsförordningen och som befinner sig i tredjeländer, i syfte att tillhandahålla lämpliga skyddsåtgärder för uppgifter som överförs till tredjeländer. Sådana personuppgiftsansvariga och personuppgiftsbiträden ska enligt

text: artikel 40.3

text: göra bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument, att tillämpa de lämpliga skyddsåtgärder som föreskrivs i koden, inbegripet när det gäller registrerades rättigheter. Dessa riktlinjer innehåller de faktorer som bör behandlas i sådana åtaganden.

type: stycke

text: När det gäller innehållet i en kod som är avsedd för överföringar och har syftet att tillhandahålla lämpliga skyddsåtgärder i den mening som avses i

text: artikel 46

text: , bör en uppförandekod behandla de nödvändiga principer, rättigheter och skyldigheter som dataskyddsförordningen ger upphov till för personuppgiftsansvariga/personuppgiftsbiträden, men även de garantier som är specifika för just dessa överföringars sammanhang (såsom med avseende på vidare överföring, lagkonflikter i tredjelandet). Mot bakgrund av de skyddsåtgärder som tillhandahålls av befintliga överföringsverktyg i enlighet med

text: artikel 46 i dataskyddsförordningen

text: och för att säkerställa en konsekvent skyddsnivå, och med beaktande av Europeiska unionens domstols avgörande i målet Schrems II , ges i riktlinjerna en checklista med de faktorer som ska ingå i en uppförandekod avsedd för överföringar.

text: En uppförandekod kan till en början utarbetas endast för ändamålet att specificera tillämpningen av dataskyddsförordningen enligt

text: artikel 40.2

text: (en ”kod enligt dataskyddsförordningen”), eller också som en kod avsedd för överföringar i enlighet med

text: artikel 40.3

text: Dessa riktlinjer, som är ett komplement till Europeiska dataskyddsstyrelsens

text: riktlinjer 1/2019

text: för uppförandekoder och övervakningsorgan enligt förordning 2016/679, klargör genom flödesdiagram vad de olika inblandade aktörerna har för roller i att upprätta en kod som ska användas som ett överföringsverktyg, samt antagandeförfarandet.

text: Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (dataskyddsförordningen),

text: med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 och

text: med beaktande av artiklarna 12 och 22 i arbetsordningen.

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE.

text: 1 RIKTLINJERNAS SYFTE

text: 1. Syftet med dessa riktlinjer är att specificera tillämpningen av

text: artikel 40.3 i dataskyddsförordningen

text: om uppförandekoder som lämpliga skyddsåtgärder vid överföringar av personuppgifter till tredjeländer i enlighet med

text: artikel 46.2 e i dataskyddsförordningen

text: . Riktlinjerna är också avsedda att ge praktisk vägledning om vad sådana uppförandekoder ska innehålla, förfarandet för att anta dem och de inblandade aktörerna, samt de krav som ska uppfyllas och garantier som ska lämnas i en uppförandekod för överföringar.

text: 2. Dessa riktlinjer bör vidare fungera som tydlig hänvisning för alla tillsynsmyndigheter och för styrelsen och hjälpa Europeiska kommissionen (nedan kallad kommissionen) att bedöma koder konsekvent och rationalisera de förfaranden som ingår i bedömningsprocessen. De bör också ge större insyn, då de säkerställer att kodutfärdare som avser att söka godkännande för en uppförandekod som är avsedd att användas som ett överföringsverktyg (nedan kallade koder avsedda för överföringar) är fullt medvetna om processen och förstår de formella kraven och de lämpliga tröskelvärden som krävs för att upprätta en sådan uppförandekod.

text: 3. Föreliggande riktlinjer är ett komplement till Europeiska dataskyddsstyrelsens

text: riktlinjer 1/2019

text: för uppförandekoder och övervakningsorgan enligt förordning 2016/679, där den allmänna ramen för att anta uppförandekoder fastställs (nedan kallade

text: riktlinjerna 1/2019

text: ). De beaktanden som fastställs i

text: riktlinjerna 1/2019

text: , främst beträffande tillåtlighet, inlämning och kriterier för godkännande, är alltså även giltiga i samband med utarbetande av koder avsedda för överföringar.

text: 2 VAD ÄR UPPFÖRANDEKODER SOM ETT VERKTYG FÖR ATT ÖVERFÖRA PERSONUPPGIFTER?

text: 4. Enligt

text: 5. För detta ändamål beskrivs i dataskyddsförordningen de olika lämpliga skyddsåtgärder som organisationer i enlighet med

text: artikel 46

text: och

text: 46.2 e

text: ). Som föreskrivs i

text: artikel 40.3

text: kan i detta avseende en uppförandekod, när den väl har godkänts av den behöriga tillsynsmyndigheten och har beviljats allmän giltighet inom unionen av kommissionen, även iakttas och användas av personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av dataskyddsförordningen och befinner sig i tredjeländer, i syfte att tillhandahålla lämpliga skyddsåtgärder för uppgifter som överförs till tredjeländer. Sådana personuppgiftsansvariga och personuppgiftsbiträden måste enligt kravet i

text: artikel 40.3

text: 6. Uppförandekoder kan upprättas av sammanslutningar eller andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden (kodutfärdarna) enligt vad som anges i

text: artikel 40.2

text: . Som anges i

text: riktlinjerna 1/2019

text: skulle en icke uttömmande lista med möjliga kodutfärdare omfatta följande: fackförenings- och intresseorganisationer, sektorsorganisationer, akademiska organisationer och intressegrupper. Enligt samma riktlinjer skulle koder avsedda för överföringar exempelvis kunna utarbetas av organ som företräder en viss sektor (t.ex. sammanslutningar/förbund från bank- och finansväsendet eller försäkringssektorn), men skulle också kunna utarbetas för separata sektorer som har en gemensam behandlingsverksamhet med samma kännetecken och behov i behandlingen (till exempel en personavdelningskod som utarbetas av ett förbund för personalavdelningsanställda, eller en kod för uppgifter tillhörande barn). Med sådana koder skulle alltså personuppgiftsansvariga och personuppgiftsbiträden i tredjeländer, som tar emot uppgifter enligt koden, få en ram för dessa överföringar och samtidigt bättre kunna ta sig an de specifika behandlingsbehoven i sin sektor eller i sina vanliga behandlingsverksamheter. På så vis skulle koderna kunna fungera som ett mer anpassat verktyg än andra överföringsmekanismer som finns tillgängliga enligt

text: artikel 46

text: . Genom uppförandekoder som används som överföringsverktyg kommer framför allt en viss personuppgiftsansvarig eller personuppgiftsbiträde i ett tredjeland att kunna tillhandahålla lämpliga skyddsåtgärder för många överföringar till ett tredjeland som är specifika för en viss sektor eller uppgiftsbehandling. Enheter som använder uppförandekoderna behöver dessutom inte heller vara inom samma grupp för att få en ram för sina överföringar (vilket är fallet för bindande företagsbestämmelser).

text: 7. Det bör också noteras att en kod avsedd för överföringar, som iakttas av en uppgiftsinförare i ett tredjeland, även kan användas av personuppgiftsansvariga/personuppgiftsbiträden som omfattas av dataskyddsförordningen (dvs. uppgiftsutförare) som hjälp för dem att uppfylla sina skyldigheter vid överföringar till tredjeländer i enlighet med dataskyddsförordningen, utan att dessa personuppgiftsansvariga/personuppgiftsbiträden själva behöver iaktta en sådan kod. En kod avsedd för överföringar skulle därför kunna bli en ram för överföringar från personuppgiftsansvariga/personuppgiftsbiträden som inte iakttar den uppförandekoden till personuppgiftsansvariga/personuppgiftsbiträden i ett tredje land som börjat iaktta den uppförandekoden, förutsatt att ett åtagande att följa de skyldigheter som fastställs i uppförandekoden när de överförda uppgifterna behandlas, däribland i synnerhet när det gäller registrerades rättigheter, ingår i ett bindande instrument. Detta innebär att uppgiftsinföraren i tredjelandet måste iaktta koden avsedd för överföringar, medan uppgiftsutförare som omfattas av dataskyddsförordningen inte nödvändigtvis måste iaktta en sådan kod. Grupper av företag som överför uppgifter från enheter som omfattas av dataskyddsförordningen till enheter utanför EES kan också använda en uppförandekod som ett överföringsverktyg, om enheterna utanför EES har börjat iaktta denna kod avsedd för överföring och har gjort bindande och verkställbara åtaganden med avseende på överföringen. Exempel nr°1 : Företaget XYZ har sitt huvudkontor i Italien och filialer i Tyskland, Nederländerna, Spanien och Belgien. För att förvalta koncernens it-verktyg använder företaget XYZ tjänster från en molntjänsteleverantör som är etablerad i ett tredjeland utan närvaro i EU. Användningen av itverktygen omfattar behandling av uppgifter där det ingår överföring av uppgifter från företaget XYZ och dess filialer till molntjänsteleverantören, i syfte att lagra uppgifter. Eftersom molntjänsteleverantören i tredjelandet har anslutit sig till en uppförandekod som ska användas som ett verktyg för överföring i samband med molntjänster och som godkänts enligt

text: artikel 40.5

text: , kan dataflödena från företaget XYZ och dess filialer till molntjänsteleverantören omfattas av den uppförandekod som molntjänsteleverantören har anslutit sig till . I detta fall framstår det som lämpligare att molntjänsteleverantören använder en uppförandekod i stället för andra överföringsverktyg, till exempel bindande företagsbestämmelser, om det inte krävs i uppförandekoden att den personuppgiftsansvarige/personuppgiftsbiträdet som agerar som införare har närvaro i EES, medan sådan närvaro däremot krävs för en företagskoncern för att få använda bindande företagsbestämmelser. Uppförandekoden innebär även fördelar då man kan behandla flera överföringar av uppgifter med ett enda verktyg, jämfört med (helt) avtalsrelaterade lösningar som standardavtalsklausuler.

text: 8. En kod avsedd för överföringar skulle också kunna användas som ram för överföringar från personuppgiftsansvariga/personuppgiftsbiträden som omfattas av dataskyddsförordningen till personuppgiftsansvariga/personuppgiftsbiträden i tredjelandet som har börjat iaktta samma uppförandekod för överföringar, under alla omständigheter förutsatt som ovan att ett åtagande att följa skyldigheterna i uppförandekoden, däribland med avseende på registrerades rättigheter, så som de fastställs i dataskyddsförordningen, ingår i ett bindande instrument. Exempel nr°2: En sammanslutning som företräder kategorier av personuppgiftsansvariga/personuppgiftsbiträden som alla sysslar med samma typ av forskningsverksamhet för hälso- och sjukvårdssektorn, där det ingår att regelbundet överföra uppgifter till personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer, utformar en uppförandekod som också är avsedd som ett överföringsverktyg. Relevanta personuppgiftsansvariga/personuppgiftsbiträden i EES iakttar denna uppförandekod, som också iakttas av de personuppgiftsansvariga/personuppgiftsbiträdena i tredjeländerna. Överföringarna av uppgifter till personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer som en del i forskningsverksamheterna kan ha denna uppförandekod som ram.

text: 9. Om det är mycket sannolikt att koder avsedda för överföringar skulle användas av relevanta enheter som ram för överföringar från fler än en medlemsstat, och med tanke på att dessa uppförandekoder skulle ha allmän giltighet i enlighet med

text: artikel 40.9 i dataskyddsförordningen

text: , skulle de som sådana räknas som ”transnationella uppförandekoder” enligt definitionen i

text: riktlinjerna 1/2019

text: 3 VAD SKA EN UPPFÖRANDEKOD SOM ETT ÖVERFÖRINGSVERKTYG INNEHÅLLA?

text: 10. Som fastställs ovan är en uppförandekod avsedd för överföringar ett av de verktyg som organisationer som utför särskilda behandlingar av uppgifter – till exempel inom en viss sektor eller gemensam behandlingsverksamhet som har samma kännetecken och behov för behandlingen – kan använda för att tillhandahålla lämpliga skyddsåtgärder vid överföringar av personuppgifter till ett tredjeland i enlighet med

text: artikel 46

text: 11. I

text: artikel 40.3

text: , där det nämns att koder avsedda för överföringar kan iakttas av personuppgiftsansvariga/personuppgiftsbiträden som inte omfattas av dataskyddsförordningen enligt

text: artikel 3

text: , står det dessutom att koder avsedda för överföringar är, helt eller delvis, mer specifikt utformade för personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer. Enligt Europeiska dataskyddsstyrelsen (styrelsen) bör målet med en kod avsedd för överföringar därför vara att fastställa även de regler som den personuppgiftsansvarige/personuppgiftsbiträdet från tredjeland (uppgiftsinföraren) kommer att behöva följa för att säkerställa att personuppgifter blir tillräckligt skyddade i enlighet med kraven i kapitel V i dataskyddsförordningen när de behandlas av sådan personuppgiftsansvarig/personuppgiftsbiträde (dvs. uppgiftsinförare) i tredjeland.

text: 12. Mer specifikt när det gäller innehåll behöver följande faktorer tas upp, i syfte att tillhandahålla lämpliga skyddsåtgärder i den mening som avses i

text: artikel 46

text: : - Väsentliga principer, rättigheter och skyldigheter för personuppgiftsansvariga/personuppgiftsbiträden som uppkommer genom dataskyddsförordningen. - Garantier som är specifika för överföringarnas kontext (såsom med avseende på vidareöverföring, lagkonflikter i tredjelandet).

text: 13. Här är det värt att notera att en uppförandekod till en början kan utarbetas med det enda ändamålet att specificera tillämpningen av dataskyddsförordningen enligt

text: artikel 40.2

text: artikel 40.3

text: . Beroende på kodens ursprungliga omfattning och innehåll kan den följaktligen behöva ändras så att den omfattar samtliga ovan nämnda faktorer om den ska användas som ett överföringsverktyg. Exempel nr°3: Sammanslutningen ABC, med medlemsorganisationer som är verksamma i direktmarknadsföringssektorn på EU-nivå, har antagit en uppförandekod vars syfte är att specificera hur insynsprincipen och tillhörande krav enligt dataskyddsförordningen tillämpas som del av behandlingsverksamheten inom denna sektor. Sammanslutningen vill använda denna uppförandekod som verktyg för att få en ram för överföringar utanför EES. Om uppförandekoden har insynsprincipen i fokus, skulle den behöva ändras så att den dessutom omfattar de lämpliga skyddsåtgärder som krävs för internationella överföringar av personuppgifter, alla väsentliga principer och centrala krav som uppkommer genom dataskyddsförordningen (utöver insyn), och vidare innehåller garantier som är specifika för just denna överföringskontext, för att koden ska godkännas som en kod avsedd för överföringar.

text: 14. I alla händelser behöver, i enlighet med de klargöranden som styrelsen lämnar i sina

text: riktlinjer 1/2019

text: , alla faktorer som tillhandahåller lämpliga skyddsåtgärder enligt vad som avses ovan fastställas i koden på ett sätt som gör det lättare att tillämpa dem och specificerar hur de tillämpas i praktiken på den specifika behandlingsverksamheten eller sektorn .

text: 15. I avsnitt 6 i föreliggande riktlinjer finns en checklista med förklaringar av de faktorer som ska ingå i en kod avsedd för överföringar så att den kan anses ge lämpliga skyddsåtgärder.

text: 4 VILKA ÄR DE INBLANDADE AKTÖRERNA NÄR DET UPPRÄTTAS EN KOD SOM SKA ANVÄNDAS SOM ÖVERFÖRINGSVERKTYG, OCH VAD HAR DE FÖR ROLL?

text: 4.1 Kodutfärdare

text: 16. Kodutfärdaren är den enhet, sammanslutning/förbund eller annat organ som kommer att utarbeta en uppförandekod avsedd för överföringar eller ändra en godkänd ”kod enligt dataskyddsförordningen” för att använda den som överföringsverktyg och lämna in den till behörig tillsynsmyndighet för godkännande .

text: 4.2 Övervakningsorgan

text: 17. Precis som i alla uppförandekoder kommer ett övervakningsorgan att behöva identifieras som del av en kod avsedd för överföringar och ackrediteras av den behöriga tillsynsmyndigheten i enlighet med

text: artikel 41

text: . Mer exakt blir dess roll att övervaka att personuppgiftsansvariga/personuppgiftsbiträden som börjat iaktta en sådan kod följer de regler som fastställs i koden .

text: 18. Med tanke på att uppförandekoder avsedda för överföringar också eller mer specifikt är riktade till personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer, måste det säkerställas att övervakningsorganen har kapacitet att ändamålsenligt övervaka koden enligt vad som anges i

text: riktlinjerna 1/2019

text: . Övervakningsorgan som agerar inom ramen för koder för överföringar kan befinna sig antingen enbart inom EES eller även utanför, förutsatt att det berörda övervakningsorganet har en etablering i EES. Mot denna bakgrund ska övervakningsorganets etableringsplats i EES vara den där övervakningsorganets huvudkontor finns, eller den plats där de slutliga besluten om övervakningsverksamhet tas, och det krävs också att en enhet i EES ska kunna kontrollera övervakningsorganets enheter utanför EES och påvisa fullständigt ansvar för alla beslut och åtgärder (inklusive dess ansvarsskyldighet vid eventuella brott).

text: 19. Dessutom kan ett övervakningsorgan i EES lägga ut sin verksamhet på entreprenad till en utomstående enhet utanför EES, som då agerar på dess vägnar, förutsatt att denna enhet upprätthåller samma befogenhet och expertis som krävs i såväl uppförandekoden som ackrediteringskraven, och att övervakningsorganet i EES kan säkerställa ändamålsenlig kontroll över de tjänster som den upphandlade enheten tillhandahåller och behåller befogenheten att fatta beslut om övervakningsverksamheter. För att säkerställa efterlevnad av dessa ackrediteringskrav när övervakningsorganet lägger ut delar av sina uppgifter på entreprenad, ska organet upprätta ett avtal eller annan rättsakt enligt Europeiska unionens rätt, som är bindande för underentreprenören med avseende på övervakningsorganet på ett sådant sätt att samtliga utlagda uppgifter uppfyller kraven i dataskyddsförordningen. Att använda sig av underentreprenad leder inte till att ansvar delegeras vidare: Övervakningsorganet fortsätter alltid ha ansvar för att övervaka efterlevnaden av uppförandekoden inför tillsynsmyndigheten. Övervakningsorganet säkerställer att alla underentreprenörer uppfyller de krav som fastställs i detta dokument med ackrediteringskrav, framför allt när det gäller oberoende, frånvaro av intressekonflikter och expertis. I det avtal som ingås med underentreprenörerna inkluderar övervakningsorganet en särskild paragraf om att säkerställa konfidentialiteten för personuppgifter som i förekommande fall kan lämnas till underentreprenören under övervakningsuppgifterna, och sätter in lämpliga skyddsåtgärder i händelse av att sådana personuppgifter överförs till dess underentreprenörer.

text: 4.3 Tillsynsmyndigheter

text: 20. I enlighet med

text: artikel 40.5

text: blir den behöriga tillsynsmyndighetens roll att godkänna utkastet till uppförandekod avsedd för överföringar, eller ändringar av koden så att den kan användas som överföringsverktyg, och att ackreditera övervakningsorganet som identifieras som en del av koden med avseende på ytterligare ackrediteringskrav i samband med uppförandekoder för överföringar.

text: 4.4 Styrelsen

text: 21. I enlighet med artiklarna

text: och

text: 64.1 b

text: kommer styrelsen att ombes att avge ett yttrande om utkastet till beslut från en tillsynsmyndighet som avser att godkänna en kod avsedd för överföringar eller ändringar av en uppförandekod så den även kan användas som överföringsverktyg .

text: 4.5 Kommissionen

text: 22. Som föreskrivs i

text: artikel 40.9

text: kan kommissionen genom att anta en genomförandeakt besluta att en kod avsedd för överföringar som godkänts av en tillsynsmyndighet har allmän giltighet inom unionen. Endast de koder som har beviljats allmän giltighet inom unionen kan användas som inramning för överföringar.

text: 5 ANTAGNINGSPROCESS FÖR EN UPPFÖRANDEKOD FÖR ÖVERFÖRINGAR

text: 23. Av artikel

text: och

text: följer att en kod avsedd för överföringar, för att kunna antas, först ska godkännas av en behörig tillsynsmyndighet i EES och sedan av kommissionen erkännas ha allmän giltighet i unionen genom en genomförandeakt.

text: 24. Om koder avsedda för överföringar sannolikt ska användas av personuppgiftsansvariga/personuppgiftsbiträden som ram för överföringar från fler än en medlemsstat, skulle de, som nämns i avsnitt 2 ovan, på så vis räknas som ”transnationella koder” och bör följa förfarandet för godkännande av transnationella koder, även genom att det behövs ett yttrande från styrelsen, som anges i avsnitt 8 och bilaga 4 till

text: riktlinjerna 1/2019

text: . I praktiken kan olika scenarier uppkomma när en sammanslutning/förbund eller annat organ avser att anta en uppförandekod för överföringar: - Ett utkast till kod betecknas som en ”kod enligt dataskyddsförordningen” och är avsedd att användas av personuppgiftsansvariga/personuppgiftsbiträden i tredjeland som ett överföringsverktyg. Ett sådant utkast till kod skulle först behöva godkännas av den behöriga tillsynsmyndigheten i enlighet med förfarandet för transnationella koder, även genom ett yttrande från styrelsen, och därefter av kommissionen erkännas ha allmän giltighet inom unionen i enlighet med

text: artikel 40.9

text: . Efter att dessa steg är slutförda kan personuppgiftsansvariga/personuppgiftsbiträden i tredjeland börja iaktta koden och den kan användas för att tillhandahålla lämpliga skyddsåtgärder vid överföringar av uppgifter till tredjeländer. - En uppförandekod utformas och godkänns till att börja med som en ”kod enligt dataskyddsförordningen”. En sådan kod utökas ytterligare med avsikten att även användas av personuppgiftsansvariga/personuppgiftsbiträden i tredjeland som ett överföringsverktyg. Ändringen av koden med avseende på överföringar behöver skickas till den behöriga tillsynsmyndigheten för godkännande, och denna följer förfarandet för transnationella koder, vilket inbegriper ett yttrande från styrelsen. Därefter behöver den ändrade koden av kommissionen erkännas ha allmän giltighet inom unionen i enlighet med

text: artikel 40.9

text: , och efter detta kan personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer börja iaktta koden i fråga och använda den för att tillhandahålla lämpliga skyddsåtgärder för överföringar av personuppgifter till tredjeländer.

text: 25. I ett flödesschema i bilagan till riktlinjerna beskrivs i detalj förfarandestegen för att anta en uppförandekod avsedd för överföring med hänsyn till de möjliga scenarierna ovan.

text: 6 VILKA ÄR DE GARANTIER SOM SKA LÄMNAS I KODEN?

text: 6.1 Bindande och verkställbara åtaganden att genomföra

text: 26. I

text: artikel 40.3 i dataskyddsförordningen

text: krävs att personuppgiftsansvariga och personuppgiftsbiträden som iakttar en kod avsedd för överföringar gör bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument, att tillämpa de lämpliga skyddsåtgärder som föreskrivs i koden, inbegripet särskilt när det gäller registrerades rättigheter.

text: 27. Som anges i dataskyddsförordningen kan sådana åtaganden göras med ett avtal, vilket framstår som den enklaste lösningen. Även andra instrument kan användas, förutsatt att dessa personuppgiftsansvariga/personuppgiftsbiträden som iakttar koden kan uppvisa att dessa andra metoder är bindande och verkställbara till sin karaktär.

text: 28. I alla händelser behöver instrumentet ha en bindande och verkställbar karaktär i enlighet med EUrätten, och bör också vara bindande och verkställbart av registrerade personer som berättigade tredjeparter.

text: 29. En uppförandekod som överföringsverktyg kan ha kodmedlemmar som befinner sig i EES, och även kodmedlemmar utanför EES. En skillnad mellan kodmedlemmar som befinner sig i respektive utanför EES är att dataskyddsförordningen tillämpas direkt på de förra men inte på de senare (förutsatt att de senare inte omfattas av

text: artikel 3.2 i dataskyddsförordningen

text: 30. När det gäller de kodmedlemmar som finns utanför EES, behöver det säkerställas att deras åtagande att iaktta ”dataskydd på en specificerad nivå” garanterar att den dataskyddsnivå som föreskrivs i dataskyddsförordningen inte undergrävs. Detta är en förutsättning för deras behörighet att delta i uppförandekoden som ett överföringsverktyg.

text: 31. För detta ändamål bör den personuppgiftsansvarige/personuppgiftsbiträdet i tredjelandet (dvs. uppgiftsinföraren) ingå ett avtal med till exempel den enhet som överför uppgifter enligt koden (dvs. uppgiftsutföraren). I praktiken skulle ett befintligt avtal kunna användas om ett sådant finns (till exempel ett tjänsteavtal mellan utföraren och införaren, eller det avtal som ska upprättas i enlighet med

text: artikel 28 i dataskyddsförordningen

text: när det gäller införare som är personuppgiftsbiträden), där de bindande och verkställbara åtagandena skulle kunna ingå. Ett annat alternativ skulle kunna vara att använda sig av ett separat avtal genom att till koden avsedd för överföringar tillägga ett modellavtal som sedan skulle behöva undertecknas av exempelvis personuppgiftsansvariga/personuppgiftsbiträden i tredjelandet och alla dess uppgiftsutförare.

text: 32. Det bör finnas flexibilitet för att välja det lämpligaste alternativet beroende på den specifika situationen.

text: 33. När uppförandekoden ska användas för överföringar och vidareöverföringar från ett personuppgiftsbiträde till underleverantörer, bör det i personuppgiftsbiträdesavtalet som ingås mellan personuppgiftsbiträdet och dess personuppgiftsansvariga även göras en hänvisning till uppförandekoden och instrumentet som ombesörjer bindande och verkställbara åtaganden. Bindande och verkställbara åtaganden från uppgiftsinföraren (exempel)

text: 34. I allmänhet måste det i avtalet eller det andra instrumentet fastställas att den personuppgiftsansvarige/personuppgiftsbiträdet åtar sig att följa de regler som specificeras i koden avsedd för överföringar när uppgifter tas emot enligt koden. I avtalet eller det andra instrumentet ska det också finnas mekanismer som gör det möjligt att verkställa sådana åtaganden i händelse av att den personuppgiftsansvarige/personuppgiftsbiträdet begår överträdelser, i synnerhet med avseende på rättigheterna för registrerade vars uppgifter ska överföras enligt koden.

text: 35. Närmare bestämt bör följande behandlas i avtalet eller det andra instrumentet: - Att det finns en rätt för registrerade vars uppgifter överförs enligt koden att verkställa reglerna enligt koden som berättigade tredjeparter. - Frågan om ansvar i händelse av att kodmedlem utanför EES begår överträdelser av reglerna enligt koden. Koden ska innefatta en paragraf om jurisdiktion med en notering om att registrerade, i händelse av att en kodmedlem utanför EES överträder reglerna enligt koden, ska ha möjlighet att genom att åberopa sin rätt som berättigade tredjeparter ställa anspråk, däribland på ersättning, mot denna enhet vid en tillsynsmyndighet i EES och en domstol i EES där den registrerade har sin stadigvarande vistelseort. Kodmedlemmen utanför EES ska acceptera den registrerades beslut att göra detta. Registrerade ska också ha möjlighet att mot uppgiftsinföraren ställa anspråk som uppkommer på grund av eller med avseende på införaren i uppförandekoden, vid tillsynsmyndigheten eller domstolen för uppgiftsutförarens etableringsplats eller den registrerades stadigvarande vistelseort. Detta ansvar ska inte påverka de mekanismer som ska genomföras enligt koden med övervakningsorganet som också kan vidta åtgärder mot personuppgiftsansvariga/personuppgiftsbiträden i enlighet med koden genom att ålägga korrigerande åtgärder. Uppgiftsinföraren och uppgiftsutföraren bör också godkänna att den registrerade kan företrädas av ett organ, organisation eller sammanslutning utan vinstsyfte enligt bestämmelserna i

text: artikel 80.1 i dataskyddsförordningen

text: . - Att det finns en rätt för utföraren att mot kodmedlemmen som agerar som införare verkställa reglerna enligt koden som berättigade tredjeparter. - Att det finns en skyldighet för uppgiftsinföraren att underrätta uppgiftsutföraren och uppgiftsutförarens tillsynsmyndighet om varje upptäckt överträdelse av koden från samma kodmedlem som agerar som införare utanför EES och om alla eventuella korrigerande åtgärder som övervakningsorganet vidtar som reaktion på denna överträdelse.

text: 6.2 Checklista med faktorer som ska ingå i en uppförandekod avsedd för överföringar

text: 36. Mot bakgrund av de skyddsåtgärder som tillhandahålls av befintliga överföringsverktyg i enlighet med

text: artikel 46 i dataskyddsförordningen

text: (såsom bindande företagsregler), och för att säkerställa en konsekvent skyddsnivå, och även med beaktande av Europeiska unionens domstols avgörande i målet Schrems II , är styrelsen av uppfattningen att de faktorer som ska omfattas av en uppförandekod avsedd för överföringar, för att kunna ses som tillräckliga skyddsåtgärder, bör innefatta följande: - En beskrivning av överföringar som ska omfattas av koden (karaktären på överförda uppgifter, kategorier av registrerade, länder). - En beskrivning av de dataskyddsprinciper som ska efterlevas enligt koden (öppenhet, korrekthet och laglighet, ändamålsbegränsning, uppgiftsminimering och riktighet, lagringsminimering, behandling av känsliga uppgifter, säkerhet, för personuppgiftsbiträdens efterlevnad av den personuppgiftsansvariges instruktioner), däribland regler för användningen av personuppgiftsbiträden eller underleverantörer och regler för vidareöverföringar. - Åtgärder enligt principen om ansvarsskyldighet som ska vidtas enligt koden. - Upprättandet av lämplig styrning genom dataskyddsombud eller annan integritetspersonal med ansvar för efterlevnaden av dataskyddsskyldigheter som koden ger upphov till. - Att det finns ett lämpligt utbildningsprogram om de skyldigheter som uppkommer genom koden. - Att det föreligger dataskyddsrevision (utförd av antingen interna eller externa revisorer) eller annan intern mekanism för att övervaka efterlevnad av koden, oberoende av den tillsyn som ska utföras av övervakningsorganet som för alla uppförandekoder. Medan syftet med programmet för revision av dataskydd är att säkerställa och påvisa efterlevnad av koden, är syftet med de revisioner som övervakningsorganet utför att bedöma om den ansökande är behörig att delta i koden, om den fortsätter vara behörig när den väl är medlem och om det är nödvändigt med sanktioner i händelse av överträdelser. - Öppenhetsåtgärder, däribland enkel tillgång, när det gäller användningen av koden och i synnerhet med avseende på rättigheter som berättigad tredjepart. - Tillhandahållandet av registrerades rätt till tillgång, rättelse, radering, begränsning, anmälning avseende rättelse eller radering av personuppgifter och begränsning av behandling, invändning mot behandling, rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, så som föreskrivs i artiklarna

text: och

text: i dataskyddsförordningen. - Upprättandet av rättigheter som berättigad tredjepart för att registrerade ska kunna verkställa reglerna i koden som berättigade tredjeparter (och även ha möjlighet att lämna in klagomål vid behörig tillsynsmyndighet och vid domstolar i EES). - Att det finns en lämplig klagomålshanteringsprocess för överträdelser av dataskyddsregler, upprätthållen av övervakningsorganet, som om detta bedöms lämpligt kan kompletteras med ett internt förfarande för kodmedlemmen för att hantera klagomål. - En garanti för att den personuppgiftsansvarige/personuppgiftsbiträdet vid tillfället då koden börjar iakttas inte har några skäl att tro att de lagar som är tillämpliga på behandling av personuppgifter i tredjelandet som överföringen sker till hindrar den från att fullgöra sina skyldigheter enligt koden och att vid behov tillsammans med utföraren införa kompletterande 11 12 åtgärder för att säkerställa den skyddsnivå som krävs enligt EES-lagstiftningen . Dessutom en beskrivning av de steg som ska vidtas (inbegripet underrättelse till utföraren i EES, genomförande av lämpliga kompletterande åtgärder) i händelse av att den personuppgiftsansvariga/personuppgiftsbiträdet i tredjeland efter att ha börjat iaktta koden blir medveten om någon form av lagstiftning i tredjelandet som förhindrar att kodmedlemmen efterlever åtaganden som gjorts som en del av koden, och åtgärder som ska vidtas i händelse av begäranden om tillgång från tredjelandets statliga förvaltning. - Mekanismerna för att hantera ändringar av koden. - Konsekvenserna av att en medlem drar sig ur koden. - Ett åtagande för kodmedlemmen och övervakningsorganet att samarbeta med tillsynsmyndigheter i EES. - Ett åtagande för kodmedlemmen att acceptera att omfattas av jurisdiktionen för tillsynsmyndigheter i EES i alla eventuella förfaranden med syftet att säkerställa efterlevnad av uppförandekoden och domstolar i EES. - Kriterierna för att välja övervakningsorganet för en kod avsedd för överföringar, dvs. att påvisa att övervakningsorganet har sakkunskap på den nivå som fordras för att utföra sin roll på ett ändamålsenligt sätt för en sådan kod avsedd för uppgiftsöverföringar.

text: 37. Det bör i alla händelser noteras att dessa faktorer utgör minimigarantier, som kan behöva kompletteras med ytterligare åtaganden och åtgärder beroende på överföring som är aktuell enligt uppförandekoden.

text: 38. Styrelsen kommer att bedöma hur dessa riktlinjer fungerar mot bakgrund av den erfarenhet man fått av att tillämpa dem i praktiken, och ge vidare vägledning för att tydliggöra tillämpningen av faktorerna ovan.

text: BILAGA 1 – ANTAGANDE AV UPPFÖRANDEKOD FÖR ÖVERFÖRINGAR – FLÖDESSCHEMA

text: a – Antagande av en transnationell kod avsedd för överföringar

text: Transnationell kod avsedd för överföringar

text: Den behöriga tillsynsmyndigheten

text: Underrättelse från styrelsen om meddelar styrelsen om den yttrande bibehåller eller ändrar beslutet

text: Kodutfärdaren lämnar in den

text: Kommissionen

text: ändrade koden till den behöriga tillsynsmyndigheten

text: Kodens allmänna giltighet erkänns styrelsens yttrande om de nya

text: Underrättelse från styrelsen om yttrande

text: Kommissionen

text: Kodens allmänna giltighet erkänns inom unionen

text: b – Ändringar av en transnationell kod som ska användas som kod avsedd för överföringar

text: Transnationell kod

text: Koden ändras av kodutfärdaren så att den omfattar överföringar

text: Ändring lämnas in till den behöriga tillsynsmyndigheten

text: Den behöriga tillsynsmyndigheten bedömer ändringen av koden

text: Inlämning av utkast till beslut för godkännande av ändring

text: Styrelsen

text: Den behöriga tillsynsmyndigheten meddelar styrelsen om den bibehåller eller ändrar beslutet

text: Den behöriga Underrättelse om

text: tillsynsmyndigheten antar yttrande

text: beslut om att godkänna

text: den ändrade koden

text: Kommissionen Underrättelse

text: om yttrande

type: vagledning