text: Detta dokument berör inte fall av överföringar eller vidarebefordran som omfattas av

text: direktiv (EU) 2016/680

text: . Hänvisningar till ”medlemsstater” som görs i hela detta dokument ska förstås som hänvisningar till ”EESmedlemsstater”. I dessa rekommendationer har termen ”grundläggande rättigheter” samma betydelse som i stadgan. Den används dock också i betydelsen ”mänskliga rättigheter” enligt Europakonventionen.

text: EU-domstolens dom av den 6 oktober 2015, Maximillian Schrems/Data Protection Commissioner,

text: , EU:C:2015:650 (nedan kallad Schrems I). EU-domstolens dom av den 16 juli 2020, Data Protection Commissioner/Facebook Ireland Limited och Maximillian Schrems,

text: , ECLI:EU:C:2020:559 (nedan kallad Schrems II). Se § 105 i Schrems II. Se § 92 i Schrems II. 5

text: Se § 98 i Schrems II. Se § 124 i förenade målen

text: och

text: , La Quadrature du Net m.fl. (nedan kallade La Quadrature du Net m.fl.).

text: EU-domstolens dom, Schrems II, § 83. EU-domstolens dom, Schrems II, § 96. EU-domstolen, Schrems II, §§ 170–171. EU-domstolen, Privacy International,

text: (nedan kallad Privacy International), § 60. EU-domstolen, Privacy International, § 61. Europadomstolen, Leander, § 48; Europadomstolen, Rotaru, § 46; EU-domstolen, Digital Rights Ireland, § 35. EU-domstolen, Schrems II, § 171, och däri angiven rättspraxis. EU-domstolen, Schrems II, § 171, och däri angiven rättspraxis. EU-domstolen, Privacy International, § 63.

text: EU-domstolen, Privacy International, § 68, samt däri angiven rättspraxis. EU-domstolen, Privacy International, § 68, samt däri angiven rättspraxis. EU-domstolen, Privacy International, § 81. Se § 173 i Schrems II. 8

text: Se § 175 och § 180 i Schrems II, samt yttrande 1/15 (Avtal om passageraruppgifter mellan EU och Kanada) av den 26 juli 2017, § 139, samt däri angiven rättspraxis. Se § 68 i Privacy International – Det bör förtydligas att domstolen använder ordet ”réglementation” i den franska versionen av domen, vilket omfattar mer än endast parlamentsakter. Se § 181 i Schrems II, där EU-domstolen hänvisar till Förenta staternas Presidential Policy Directive 28. Se § 181 i Schrems II. Se § 68 i Privacy International, avseende medlemsstatslagstiftning. Se Schrems II, § 175 och däri angiven rättspraxis, samt Privacy International, § 65. Europadomstolen, Liberty, § 63. Europadomstolen, Weber and Saravia, § 95. Europadomstolen, Malone, §§ 65 och 66.

text: Europadomstolen, Sacharov, § 229. Schrems II, § 174. I denna fråga noterade domstolen bland annat att ingrepp i form av insamling av personuppgifter i realtid som gör det möjligt att lokalisera terminalutrustning förefaller särskilt allvarliga, eftersom sådana uppgifter gör att de behöriga nationella myndigheterna exakt och permanent kan spåra mobiltelefonanvändares rörelser (La Quadrature du Net m.fl., § 187, och däri angiven rättspraxis). La Quadrature du Net m.fl., § 131. §§ 136 och 137. Se även Privacy International, där domstolen angav att sådana hot genom deras art och särskilda allvar kan särskiljas från den allmänna risken för spänningar och oroligheter, också allvarliga sådana, som påverkar den allmänna säkerheten. § 75. Exempelvis noterade domstolen i La Quadrature du Net m.fl. att automatisk analys av trafik- och lokaliseringsuppgifter som generellt och odifferentierat omfattar uppgifter för personer som använder elektroniska kommunikationssystem, utgör ett ingrepp som är så pass allvarligt att denna åtgärd endast kan uppfylla proportionalitetskravet i situationer då den berörda medlemsstaten står inför ett allvarligt hot mot

text: den nationella säkerheten som har visats vara verkligt och aktuellt eller förutsebart, samt, bland andra villkor, under förutsättning att uppgifterna endast lagras så länge som är absolut nödvändigt (§§ 174–177). Schrems II, § 176, inklusive däri angiven rättspraxis. Schrems II, § 175. Schrems II, § 180. Schrems I, § 93, med ytterligare hänvisningar. Se Privacy International, § 71 och däri angiven rättspraxis, men denna gång med fokus på lagstiftningen i en medlemsstat och inte i ett tredjeland. I det fallet påpekade domstolen att kravet i en medlemsstats lagstiftning att leverantörer av elektroniska kommunikationstjänster måste lämna ut trafik- och lokaliseringsuppgifter till säkerhets- och underrättelseorgan genom generell och odifferentierad överföring överskrider gränserna för vad som är absolut nödvändigt och inte kan anses vara motiverat i ett demokratiskt samhälle, såsom fastställs i direktivet om integritet och elektronisk kommunikation, jämfört med stadgan (§ 81). Schrems I, § 94.

text: La Quadrature du Net m.fl., § 133. I detta sammanhang bekräftade domstolen att lagstiftningsåtgärder som föreskriver förebyggande åtgärder för generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter hindras av direktivet om integritet och elektronisk kommunikation, tolkat mot bakgrund av stadgan. Däremot fastställde domstolen att lagstiftaren, i situationer då den nationella säkerheten står inför ett allvarligt hot som har visats vara verkligt och aktuellt eller förutsebart, får medge användning av en bestämmelse som kräver att leverantörer av elektroniska kommunikationstjänster generellt och odifferentierat lagrar trafik- och lokaliseringsuppgifter, om detta krävs för att skydda den nationella säkerheten. En sådan åtgärd måste dock uppfylla särskilda villkor. I synnerhet får bestämmelsen endast gälla under en tidsperiod som är begränsad till vad som är absolut nödvändigt, vilken får förlängas om hotet kvarstår (§ 168). Privacy International, § 78 och däri angiven rättspraxis. Avseende en myndighets tillgång till personuppgifter enligt lagstiftningen i en medlemsstat fastställde domstolen i målet Privacy International att allmän tillgång till alla lagrade uppgifter inte kan anses vara begränsad till vad som är absolut nödvändigt, oavsett om det finns en koppling, åtminstone en indirekt sådan, till det eftersträvade syftet (§ 77–78). Europadomstolen, Klass, §§ 17 och 51. Schrems II, §§ 179 och 183. Europadomstolen, Big Brother Watch, överklagad, §§ 319–320. Schrems II, § 179. EU-domstolen, La Quadrature du Net m.fl., §§ 168 och 189. EU-domstolen, La Quadrature du Net m.fl., § 189.

text: Europadomstolen, Sacharov, § 258, Iordachi and Others v. Moldova, §§ 40 och 51, samt Dumitru Popescu v. Romania, §§ 70–73. Europadomstolen, Klass, § 56, samt Big Brother Watch, överklagad, § 318. Europadomstolen, Sacharov, § 278. Europadomstolen, Sacharov, § 278. Europadomstolen, Sacharov, § 281. Europadomstolen, Sacharov, § 283. EU-domstolen, Schrems I, § 95. Se § 190 i La Quadrature du Net m.fl., samt EU-domstolens yttrande 1/15, § 220. Se §191 i La Quadrature du Net m.fl.

text: Europadomstolen, Sacharov, § 234. Europadomstolen, Kennedy, § 190. Europeiska dataskyddsstyrelsen noterar att Europarådets kommissarie för mänskliga rättigheter anser att den s.k. tredjepartsregeln – enligt vilken underrättelseorgan i ett land som lämnar uppgifter till underrättelseorgan i ett annat land kan införa en skyldighet för de mottagande organen att inte utlämna de överförda uppgifterna till en tredje part – inte bör gälla för tillsynsorgan, i syfte att inte undergräva möjligheten till effektivt rättsmedel (dokumentet Democratic and effective oversight of national security services). Europadomstolen, Kennedy, § 167. Ordet ”tribunal” har till exempel översatts som ”Gericht” på tyska och ”gerecht” på nederländska.

text: Artikel 13 i Europakonventionen

text: . Europadomstolen, Klass, § 67. Se § 194 i Schrems II. Se § 197 i Schrems II, där domstolen uttryckligen använder detta ord. Se § 195 i Schrems II.

text: Se § 197 i Schrems II, där domstolen uttryckligen använder detta ord. Se § 196 i Schrems II. Europadomstolen, Kennedy, § 153.

text: Referensram för adekvat skyddsnivå,

text: WP 254

text: rev. 01, reviderad och antagen den 6 februari 2018; Europeiska dataskyddsstyrelsen, Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, den 10 november 2020. 16

identifier: Rekommendation 02/2020

title: Rekommendationer 02/2020 om europeiska nödvändiga garantier för övervakningsåtgärder

text: Europeiska dataskyddsstyrelsen har antagit dessa rekommendationer

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (nedan kallad den allmänna dataskyddsförordningen) ,

text: med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 ,

text: med beaktande av artiklarna 12 och 22 i arbetsordningen, och

text: med beaktande av artikel 29-gruppens arbetsdokument Working Document on the justification of interferences with the fundamental rights to privacy and data protection through surveillance measures when transferring personal data (European Essential Guarantees), arbetsgrupp 237 (ej översatt till svenska).

text: HÄRIGENOM REKOMMENDERAS FÖLJANDE.

text: 1. INLEDNING

text: 1. De europeiska nödvändiga garantierna har fastställts av EU-dataskyddsmyndigheterna i

text: artikel 29

text: gruppen på grundval av domen i målet Schrems I. Dessa garantier måste respekteras för att se till att ingrepp i rättigheterna till privatliv och skydd av personuppgifter, som görs genom övervakningsåtgärder vid överföring av personuppgifter, inte går utöver vad som är nödvändigt och proportionellt i ett demokratiskt samhälle.

text: 2. Europeiska dataskyddsstyrelsen vill understryka att de europeiska nödvändiga garantierna är baserade på rättspraxis från Europeiska unionens domstol (nedan kallad domstolen) som rör artiklarna

text: och

text: i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och, i förekommande fall, på rättspraxis från Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) som rör artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (nedan kallad Europakonventionen) som behandlar övervakningsfrågor i stater som är parter i Europakonventionen .

text: 3. Syftet med att uppdatera detta dokument är att vidareutveckla de europeiska nödvändiga garantierna, som ursprungligen utarbetades som svar på domen i målet Schrems I , genom att återspegla de klargöranden som gjorts av domstolen (och av Europadomstolen) sedan dokumentet först offentliggjordes, särskilt den prejudikatbildande Schrems II-domen .

text: 4. I Schrems II-domen konstaterade domstolen att det vid prövningen av

text: kommissionens beslut 2010/87/EU

text: om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredjeland, mot bakgrund av artiklarna

text: och

text: i stadgan, inte hade framkommit någon omständighet som påverkade beslutets giltighet, men att beslutet om skölden för skydd av privatlivet var ogiltigt. EU-domstolen ansåg att beslutet om skölden för skydd av privatlivet stred mot

text: artikel 45.1 i den allmänna dataskyddsförordningen

text: , mot bakgrund av artiklarna

text: och

text: i stadgan. Domen kan därmed tjäna som ett exempel på övervakningsåtgärder i tredjeland (i detta fall Förenta staterna med sektion 702 i Foreign Intelligence Surveillance Act och dekret 12333) som varken är tillräckligt begränsade eller omfattas av möjligheter till effektiv rättslig prövning som står öppna för registrerade som vill hävda sina rättigheter, vilket krävs enligt EU-rätten för att anse att skyddsnivån i ett tredjeland ”i huvudsak motsvarar” den som säkerställs i Europeiska unionen i den mening som avses i

text: 5. Skälen till ogiltigförklarandet av skölden för skydd av privatlivet har också konsekvenser för andra överföringsverktyg . Även om domstolen tolkade

text: artikel 46.1 i den allmänna dataskyddsförordningen

text: inom ramen för standardavtalsklausulernas giltighet är denna tolkning tillämplig på varje överföring till ett tredjeland som görs med hjälp av något av de verktyg som avses i

text: artikel 46 i den allmänna dataskyddsförordningen

text: 6. I slutändan är det upp till domstolen att avgöra huruvida ingrepp i en grundläggande rättighet kan vara motiverade. I avsaknad av en sådan dom och vid tillämpning av gällande rättspraxis är dataskyddsmyndigheterna dock skyldiga att bedöma enskilda fall, antingen på eget initiativ eller till följd av ett klagomål, och att antingen hänskjuta fallet till en nationell domstol om de misstänker att överföringen inte uppfyller

text: artikel 45

text: där det finns ett beslut om adekvat skyddsnivå, eller att avbryta eller förbjuda överföringen om de konstaterar att

text: inte kan uppfyllas och att det skydd för överförda uppgifter som krävs enligt EU-rätten inte kan säkerställas på andra sätt.

text: 7. Syftet med de uppdaterade europeiska nödvändiga garantierna är att presentera delar som ska bedömas för att avgöra om övervakningsåtgärder, som gör det möjligt för offentliga myndigheter (dvs. nationella säkerhetsmyndigheter eller brottsbekämpande myndigheter) i ett tredjeland att få tillgång till personuppgifter, kan betraktas som motiverade ingrepp.

text: 8. De europeiska nödvändiga garantierna ingår i den bedömning som ska utföras för att avgöra om ett tredjeland ger en skyddsnivå som i huvudsak motsvarar den som säkerställs inom EU, men de syftar inte till att i sig fastställa alla delar som krävs för att ett tredjeland ska anses ge en sådan skyddsnivå i enlighet med

text: artikel 45 i den allmänna dataskyddsförordningen

text: . De syftar inte heller till att i sig fastställa alla delar som bör beaktas vid bedömningen av huruvida ett tredjelands rättsliga regelverk hindrar uppgiftsutförare och uppgiftsinförare att säkerställa lämpliga skyddsåtgärder i enlighet med

text: 9. De delar som presenteras i detta dokument bör därför betraktas som nödvändiga garantier som ska finnas i tredjelandet vid bedömningen av ett ingrepp, som följer av övervakningsåtgärder i ett tredjeland, i förhållande till rättigheterna till privatliv och skydd av personuppgifter, snarare än en förteckning över delar som visar att ett tredjelands rättsliga regelverk som helhet erbjuder en i huvudsak motsvarande skyddsnivå.

text: 10. Enligt

text: artikel 6.3 i fördraget om Europeiska unionen

text: ska de grundläggande rättigheterna, såsom de garanteras i Europakonventionen, ingå i EU-rätten som allmänna principer. EU-domstolen påminner dock i sin rättspraxis om att Europakonventionen inte utgör något rättsligt instrument som formellt införlivats med EU-rätten så länge som inte Europeiska unionen har anslutit sig till konventionen . Den skyddsnivå för grundläggande rättigheter som krävs enligt

text: ska därför fastställas på grundval av bestämmelserna i den förordningen, mot bakgrund av de grundläggande rättigheter som erkänns i stadgan. Oavsett detta och enligt

text: artikel 52.3 i stadgan

text: ska de rättigheter som omfattas av stadgan och som motsvarar sådana som garanteras av Europakonventionen ha samma innebörd och räckvidd som i konventionen. Följaktligen, såsom domstolen har poängterat, ska rättspraxis från Europadomstolen som rör rättigheter som även avses i stadgan beaktas, som en lägsta skyddsnivå vid tolkningen av motsvarande rättigheter i stadgan . I sista meningen i

text: artikel 52.3 i stadgan

text: anges dock att denna bestämmelse inte hindrar unionsrätten från att tillförsäkra ett mer långtgående skydd.

text: 11. Av denna anledning kommer innehållet i de nödvändiga garantierna fortsättningsvis att vara delvis baserade på rättspraxis från Europadomstolen, i den utsträckning som stadgan, enligt domstolens tolkning, inte medför en högre skyddsnivå som föreskriver andra krav än de i rättspraxis från Europadomstolen.

text: 12. Detta dokument innehåller en beskrivning av bakgrunden och närmare information om de fyra europeiska nödvändiga garantierna.

text: 2. INGREPP I DE GRUNDLÄGGANDE RÄTTIGHETERNA

text: 13. De grundläggande rättigheterna respekt för privatlivet och familjelivet, inklusive kommunikationer, och skydd av personuppgifter, fastställs i artiklarna

text: och

text: i stadgan och gäller för alla. I

text: artikel 8

text: anges dessutom krav på att uppgifter ska behandlas lagenligt, rätten att få tillgång till och rättelse av uppgifter erkänns och det föreskrivs att en oberoende myndighet ska kontrollera att dessa regler efterlevs.

text: 14. Det har konstaterats att ”åtgärden att låta överföra personuppgifter från en medlemsstat till ett tredjeland i sig utgör en behandling av personuppgifter” . Artiklarna

text: och

text: i stadgan är därför tillämpliga på denna åtgärd och skyddet omfattar de uppgifter som överförs, vilket innebär att det ska säkerställas att personer vars personuppgifter överförs till ett tredjeland åtnjuter en skyddsnivå som är väsentligen likvärdig med den som garanteras inom Europeiska unionen .

text: 15. Enligt domstolen påverkar behandlingar av en fysisk persons personuppgifter också denna persons grundläggande rätt till respekt för privatlivet, vilken garanteras i

text: artikel 7 i stadgan

text: . Nämnda behandlingar av personuppgifter omfattas även av

text: artikel 8 i stadgan

text: och de måste därför uppfylla de krav på skydd av uppgifter som följer av den artikeln .

text: 16. Vad gäller möjliga ingrepp i grundläggande rättigheter enligt EU-rätten innebär detta att skyldigheten för leverantörer av elektroniska kommunikationstjänster att lagra trafikuppgifter för att de behöriga nationella myndigheterna i tillämpliga fall ska kunna få tillgång till dessa, ger upphov till frågor 13.. om förenligheten med artiklarna

text: och

text: i stadgan Samma sak gäller även för andra typer av uppgiftsbehandlingar, till exempel överföring av uppgifter till andra personer än användarna eller tillgång till uppgifter i syfte att använda dem , vilket därmed innebär ett ingrepp i dessa grundläggande rättigheter. Dessutom utgör offentliga myndigheters tillgång till uppgifterna ett ytterligare ingrepp, enligt fast rättspraxis .

text: 17. För att ett ingrepp ska konstateras har det ”föga betydelse huruvida de uppgifter som avser privatlivet är av känslig art eller huruvida de berörda har fått utstå eventuella olägenheter på grund av ingreppet eller inte” . EU-domstolen framhöll även att det inte är relevant om de lagrade uppgifterna därefter används eller inte .

text: 18. Artiklarna

text: och

text: i stadgan är emellertid inte absoluta rättigheter, utan måste förstås utifrån sin funktion i samhället .

text: 19. Stadgan omfattar en nödvändighets- och proportionalitetskontroll för att utforma begränsningar efter de rättigheter som den skyddar. I

text: artikel 52.1 i stadgan

text: anges omfattningen av möjliga begränsningar av artiklarna

text: och

text: enligt följande: ”Varje begränsning i utövandet av de rättigheter och friheter som erkänns i denna stadga ska vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.”

text: 20. EU-domstolen bekräftade att EU-lagstiftning som omfattar ingrepp i de grundläggande rättigheter som garanteras genom artiklarna

text: och

text: i stadgan måste innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt fastställer minimikrav, så att de personer vars personuppgifter påverkas har tillräckliga garantier för att uppgifterna effektivt skyddas mot risken för missbruk, särskilt om personuppgifterna är föremål för automatisk behandling och om det finns en betydande risk för olaglig tillgång till dessa uppgifter .

text: 21. Enligt domstolen ska undantag från och begränsningar av rättigheten till dataskydd inskränkas till vad som är absolut nödvändigt. Dessutom ska mål av allmänt intresse förenas med de grundläggande rättigheter som påverkas av åtgärden, genom att korrekt balansera sådana mål mot rättigheterna i fråga .

text: 22. Följaktligen får offentliga myndigheters tillgång, lagring och vidareanvändning av personuppgifter inom ramen för övervakningsåtgärder inte överskrida gränserna för vad som är absolut nödvändigt, vilket bedöms mot bakgrund av stadgan, annars kan det inte anses motiverat i ett demokratiskt samhälle .

text: 23. Syftet med de fyra europeiska nödvändiga garantierna, vilka beskrivs i nästa kapitel, är att ytterligare specificera hur man bedömer nivån av ingrepp i de grundläggande rättigheterna till privatliv och dataskydd i samband med övervakningsåtgärder som vidtas av offentliga myndigheter i ett tredjeland vid behandling av personuppgifter, samt vilka rättsliga krav som följaktligen ska vara tillämpliga för att avgöra om dessa ingrepp är godtagbara enligt stadgan.

text: 3. DE EUROPEISKA NÖDVÄNDIGA GARANTIERNA

text: 24. Efter en analys av rättspraxis anser Europeiska dataskyddsstyrelsen att de tillämpliga rättsliga krav som kan motivera begränsningar av rättigheterna till dataskydd och privatliv enligt stadgan kan sammanfattas i följande fyra europeiska nödvändiga garantier: A. Uppgifter bör behandlas utifrån tydliga, precisa och tillgängliga bestämmelser. B. Nödvändighet och proportionalitet ska säkerställas för legitima mål. C. En oberoende tillsynsmekanism bör finnas. D. Enskilda personer ska ha tillgång till effektiva rättsmedel.

text: 25. Garantierna är baserade på de grundläggande rättigheterna till privatliv och dataskydd som gäller för alla, oavsett nationalitet.

text: Garanti A – Uppgifter bör behandlas utifrån tydliga, precisa och tillgängliga bestämmelser

text: 26. Enligt

text: artikel 8.2 i stadgan

text: ska personuppgifter bland annat behandlas ”för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund”, vilket domstolen framhöll i Schrems II-domen . I

text: artikel 52.1 i stadgan

text: anges dessutom att varje begränsning av utövandet av de rättigheter och friheter som erkänns i stadgan inom EU ska vara föreskriven i lag. Ett motiverat ingrepp måste därmed vara i överensstämmelse med lagstiftning.

text: 27. Denna rättsliga grund bör innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt fastställer minimikrav . Domstolen framhöll även att lagstiftning ska vara rättsligt bindande enligt nationell lagstiftning . I denna fråga klargjorde EUdomstolen att bedömningen av den tillämpliga lagstiftningen i tredjelandet bör inriktas på huruvida den kan åberopas och anföras av enskilda personer vid en domstol . Domstolen anger därför att de registrerades rättigheter ska kunna göras gällande. Om enskilda personer inte har tillgång till verkställbara rättigheter mot offentliga myndigheter kan den skyddsnivå som ges inte anses vara väsentligen likvärdig med den som följer av stadgan, vilket strider mot kraven enligt

text: artikel 45.2 a i den allmänna dataskyddsförordningen

text: 28. Dessutom framhöll domstolen att den tillämpliga lagstiftningen ska ange under vilka omständigheter och på vilka villkor en åtgärd som gör det möjligt att behandla sådana uppgifter får antas (se garanti B nedan om förhållandet mellan dessa krav och principerna om nödvändighet och proportionalitet).

text: 29. EU-domstolen har dessutom angett att ”kravet på att samtliga begränsningar i utövandet av grundläggande rättigheter ska vara föreskrivna i lag, innebär att den rättsliga grund som gör ingreppet i rättigheterna möjligt i sig ska definiera räckvidden av begränsningen i utövandet av den aktuella rättigheten” .

text: 30. Slutligen anser Europadomstolen att det inte finns några skäl att tillämpa andra principer för tillgänglighet och tydlighet vad gäller bestämmelser som reglerar avlyssning av enskild kommunikation och mer allmänna övervakningsprogram . Europadomstolen har även klargjort att den rättsliga grunden åtminstone bör omfatta en definition av de kategorier av människor som kan komma att övervakas, en tidsgräns för åtgärden, det förfarande som ska följas vid undersökning, användning och lagring av de uppgifter som erhålls, samt de försiktighetsåtgärder som ska vidtas när uppgifterna meddelas andra parter .

text: 31. Avslutningsvis ska ingreppets verkan vara förutsägbar, så att enskilda ges tillräckligt och effektivt skydd mot godtyckliga ingrepp och risken för missbruk. Uppgifter ska följaktligen behandlas utifrån en rättslig grund som är tydlig, precis och även tillgänglig (dvs. offentlig) . I denna fråga framhöll Europadomstolen i målet Sacharov att ”hänvisningen till ’förutsägbarhet’ när det gäller kommunikationsavlyssning inte kan vara densamma som inom många andra områden”. Förutsägbarheten i det särskilda sammanhanget med hemliga övervakningsåtgärder som t.ex. kommunikationsavlyssning, kan inte betyda att en enskild person ska kunna förutse när myndigheterna ska komma att avlyssna dennes kommunikation och anpassa denna därefter. I synnerhet när den verkställande makten utövas i hemlighet är risken för godtycke emellertid uppenbar. Därför är det ytterst viktigt att ha klara och detaljerade regler beträffande avlyssning av telefonsamtal, i synnethet [sic] eftersom tillgänglig teknik för detta ständigt blir mer och mer sofistikerad. Den inhemska lagen måste vara tillräckligt tydlig, så att medborgarna får en tillfredsställande anvisning om de omständigheter som måste råda för att offentliga myndigheter ska ha rätt att tillgripa sådana åtgärder, och villkoren för detta” .

text: Garanti B – Nödvändighet och proportionalitet ska säkerställas för legitima mål

text: 32. Enligt första meningen i

text: artikel 52.1 i stadgan

text: ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan vara förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Av

text: artikel 52.1

text: andra meningen i stadgan följer vidare att begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter .

text: 33. Vad gäller proportionalitetsprincipen ansåg domstolen, avseende medlemsstatslagstiftning, att frågan om huruvida en begränsning i rättigheterna till privatliv och dataskydd är motiverad måste bedömas dels genom att mäta allvaret hos ingreppet som begränsningen medför , dels genom att kontrollera att betydelsen av målet av allmänt intresse som eftersträvas med begränsningen står i proportion till allvaret .

text: 34. I La Quadrature du Net m.fl. kan det noteras att EU-domstolen slog fast att betydelsen av målet att skydda den nationella säkerheten – när det gäller lagstiftningen i en medlemsstat och inte i ett tredjeland – kan motivera åtgärder som innebär allvarligare ingrepp i de grundläggande rättigheterna än vad som kan motiveras av andra mål, till exempel brottsbekämpning. Domstolen fann dock att detta gäller så länge det finns tillräckligt hållbara grunder för att anse att den berörda staten står inför ett allvarligt hot mot den nationella säkerheten som har visats vara verkligt och aktuellt eller förutsebart, samt under förutsättning att de andra kraven i

text: artikel 52.1 i stadgan

text: uppfylls .

text: 35. Enligt fast rättspraxis kan kravet på proportionalitet endast uppfyllas om undantag från och inskränkningar i skyddet av personuppgifter begränsas till vad som är absolut nödvändigt . För att uppfylla detta krav måste den aktuella lagstiftningen, utöver att innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden, även innehålla bestämmelser som fastställer minimikrav, så att de personer vilkas uppgifter har överförts har tillräckliga garantier som möjliggör ett effektivt skydd av deras personuppgifter mot riskerna för missbruk. ”Lagstiftningen måste i synnerhet precisera under vilka omständigheter och på vilka villkor en åtgärd för behandling av personuppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strikt nödvändigt. Nödvändigheten av sådana garantier är av än större betydelse när personuppgifterna är föremål för automatisk behandling.”

text: 36. EU-domstolen framhöll i Schrems II att lagstiftning i ett tredjeland som inte omfattar några begränsningar av behörigheten att genomföra övervakningsprogram för att inhämta utländska underrättelseuppgifter, inte kan säkerställa en skyddsnivå som är väsentligen likvärdig med den som garanteras i stadgan. Enligt denna rättspraxis måste en rättslig grund som gör ingreppet i de grundläggande rättigheterna möjligt – för att uppfylla kraven enligt proportionalitetsprincipen – i sig definiera räckvidden av begränsningen i utövandet av den aktuella rättigheten .

text: 37. Vad gäller nödvändighetsprincipen har EU-domstolen klargjort att en lagstiftning inte är förenlig med denna princip när den ”generellt tillåter lagring av samtliga personuppgifter om alla personer vilkas uppgifter har överförts från unionen [...], utan att det görs några åtskillnader, begränsningar eller undantag med beaktande av det eftersträvade syftet och utan att det föreskrivs något objektivt kriterium som gör det möjligt att avgränsa myndigheternas åtkomst till uppgifterna och att avgränsa deras senare användning till bestämda, strängt begränsade syften som kan motivera det ingrepp som såväl åtkomst som användning av uppgifterna innebär” . I synnerhet måste en lagstiftning som tillåter myndigheterna generell åtkomst till innehållet i elektroniska kommunikationer anses kränka det väsentliga innehållet i den grundläggande rätten till respekt för privatlivet, som garanteras i

text: artikel 7 i stadgan

text: 38. I La Quadrature du Net m.fl. fann domstolen även, dock denna gång vid bedömning av lagstiftningen i en medlemsstat och inte i ett tredjeland, att lagstiftning som kräver lagring av personuppgifter alltid ska uppfylla objektiva kriterier som upprättar en koppling mellan de lagrade uppgifterna och det eftersträvade syftet . I samma sammanhang fann domstolen i Privacy International att lagstiftaren måste använda sig av objektiva kriterier för att fastställa under vilka omständigheter och på vilka villkor de behöriga nationella myndigheterna ska ges tillgång till uppgifterna i fråga .

text: Garanti C – En oberoende tillsynsmekanism bör finnas

text: 39. Europeiska dataskyddsstyrelsen framhåller att ett ingrepp sker både när uppgifterna samlas in och när en offentlig myndighet får tillgång till dem för vidare behandling. Europadomstolen har vid flera tillfällen angett att alla ingrepp i rättigheten till privatliv och dataskydd bör vara föremål för ett effektivt, oberoende och opartiskt tillsynssystem som ska genomföras av antingen en domare eller ett annat oberoende organ (t.ex. en förvaltningsmyndighet eller en parlamentsinstans). Oberoende tillsyn över genomförandet av övervakningsåtgärder beaktades också av EU-domstolen i Schrems II-domen .

text: 40. Europadomstolen anger att även om (rättsligt) förhandsgodkännande av övervakningsåtgärder är en viktig skyddsåtgärd mot godtycke måste hänsyn också tas till det faktiska genomförandet av avlyssningssystemet, inklusive kontroller av och motvikter till maktutövningen, och till förekomst eller avsaknad av faktiskt missbruk . I Schrems II beaktade EU-domstolen även räckvidden av den kontroll som utfördes av tillsynsmekanismen, vilken inte omfattade individuella övervakningsåtgärder .

text: 41. Vad gäller medlemsstaternas lagstiftning identifierade domstolen ett antal åtgärder som endast uppfyller EU-lagstiftningen om de är underkastade en effektiv kontroll av en domstol eller oberoende förvaltningsmyndighet vars beslut är bindande. Syftet med denna kontroll är att bekräfta att en situation som motiverar åtgärden föreligger och att de villkor och skyddsåtgärder som måste fastställas iakttas . För insamling av trafik- och lokaliseringsuppgifter i realtid bör kontrollen göra det möjligt att på förhand bekräfta bland annat om åtgärden är godkänd endast inom gränserna för vad som är strängt nödvändigt. I vederbörligen underbyggda brådskande fall får åtgärderna vidtas utan en sådan förhandskontroll, men domstolen kräver då fortfarande att den efterföljande kontrollen utförs inom en kort tidsperiod .

text: 42. När det gäller oberoendet hos tillsynsmekanismer i samband med övervakning kan domstolens iakttagelser om oberoendet hos ett organ inom ramen för prövning beaktas (se garanti D nedan). Dessutom kan ytterligare delar finnas i rättspraxis från Europadomstolen. Denna domstol har uttryckt sin preferens för en domare som tillsynsansvarig. Det är dock inte uteslutet att en annan myndighet kan vara ansvarig, ”förutsatt att den myndigheten är tillräckligt självständig i förhållande till den verkställande makten” och ”gentemot de myndigheter som bedriver tillsynen, och har tillräckliga befogenheter och behörighet att utöva verksam och fortlöpande kontroll” . Europadomstolen tillade att hänsyn måste tas till ”utnämning av och rättstatus för tillsynsorganets personal” när självständigheten bedöms. Detta omfattar ”personer som var behöriga att inneha juridiska befattningar, antingen utsedda av parlamentet eller av premiärministern [...]. I motsats befanns en inrikesminister – som inte bara var politiskt utsedd och medlem av den verkställande makten, utan också direkt engagerad i förordnandet av särskilda övervakningsmedel – inte vara tillräckligt självständig” . Europadomstolen noterar även att ”det är avgörande att tillsynsorganet får tillgång till allt material av betydelse, också hemligstämplat sådant” . Slutligen måste Europadomstolen också pröva ”huruvida tillsynsorganets verksamhet är öppen för offentlig granskning” .

text: Garanti D – Enskilda personer ska ha tillgång till effektiva rättsmedel

text: 43. Den sista europeiska nödvändiga garantin rör enskilda personers rätt till prövning. Enskilda ska ha ett effektivt rättsmedel för att tillgodose deras rättigheter när de anser att dessa åsidosätts eller har åsidosatts. EU-domstolen förklarade följande i Schrems I: ”En lagstiftning i vilken det inte föreskrivs någon möjlighet för enskilda att använda rättsmedel för att erhålla tillgång till, rätta eller radera uppgifter som rör dem, respekterar inte det väsentliga innehållet i den grundläggande rätten till effektivt domstolsskydd, vilken är stadfäst i

text: artikel 47 i stadgan

text: . I

text: artikel 47 första stycket i stadgan

text: föreskrivs nämligen att var och en vars unionsrättsligt garanterade fri- och rättigheter har kränkts har rätt till ett effektivt rättsmedel inför en domstol, med beaktande av de villkor som föreskrivs i den artikeln.”

text: 44. Vid en bedömning av en medlemsstats lagstiftning som tillåter insamling av trafik- och lokaliseringsuppgifter i realtid ansåg domstolen att det är nödvändigt att informera de berörda personerna om detta för att de ska kunna utöva sina rättigheter enligt artiklarna

text: och

text: i stadgan att begära tillgång till, samt eventuellt rättelse och radering av, egna personuppgifter som har varit föremål för dessa åtgärder och att, i enlighet med

text: artikel 47

text: första meningen i stadgan, utnyttja ett effektivt rättsmedel inför en domstol . Dock erkänns även att de personer vars uppgifter har samlats in eller analyserats ska informeras om detta endast i den utsträckning och så snart som denna information inte längre äventyrar den verksamhet som myndigheterna är ansvariga för .

text: 45. Även för Europadomstolen är frågan om effektivt rättsmedel oupplösligt knuten till att enskilda informeras om en övervakningsåtgärd när övervakningen är över. Domstolen konstaterade särskilt att det i princip finns ”små möjligheter för den berörda personen att vända sig till domstol, såvida inte denne blir informerad om de åtgärder som vidtagits utan hans/hennes vetskap och på så sätt kan bestrida lagligheten för dessa retroaktivt [...] eller, som alternativ, såvida inte någon person som misstänker att hans/hennes kommunikation håller på att eller har avlyssnats kan vända sig till domstol så att domstolarnas domsrätt inte är avhängig något meddelande till den avlyssnade personen om att det har förekommit avlyssning av hans/hennes kommunikation” . Europadomstolen medgav därmed att ett meddelande i vissa fall kan saknas, men att ett effektivt rättsmedel måste tillhandahållas trots detta. I sådana fall har domstolen gjort tydligt, till exempel i målet Kennedy, att en domstol erbjuder tillräckliga möjligheter till prövning om den uppfyller en serie kriterier, dvs. om det finns ett oberoende och opartiskt organ som har antagit sin egen arbetsordning och består av medlemmar som har eller har haft ett högt domarämbete eller som är erfarna jurister, samt om det inte finns någon bevisbörda som måste uppfyllas för att lämna in en ansökan hos detta organ . När domstolen undersöker klagomål från enskilda bör den få tillgång till all information av betydelse , också hemligstämplad sådan. Slutligen bör den ha befogenheter att åtgärda bristande efterlevnad .

text: 46. I

text: artikel 47 i stadgan

text: används i den engelska versionen ordet ”tribunal”, men i de andra språkversionerna används främst ord som motsvarar ”court” (”domstol” i den svenska versionen) . Enligt Europakonventionen ska medlemsstaterna dock endast säkerställa att var och en, vars fri- och rättigheter kränkts, ska ha tillgång till ett effektivt rättsmedel inför en ”nationell myndighet” , vilket inte nödvändigtvis behöver vara en rättslig myndighet .

text: 47. EU-domstolen har bekräftat, i samband med Schrems II-domen vid bedömningen av huruvida ett tredjeland säkerställer en adekvat skyddsnivå, att ”enskilda ska ha möjlighet att utöva sin rätt till rättslig prövning inför en oavhängig och opartisk domstol för att erhålla tillgång till, rätta eller radera personuppgifter som rör dem” . I samma sammanhang anser domstolen att ett effektivt rättsmedel mot sådana ingrepp inte enbart kan användas inför en domstol, utan även inför ett ”organ” som ger garantier som är väsentligen likvärdiga med dem som krävs enligt

text: artikel 47 i stadgan

text: . I Schrems IIdomen betonade domstolen att domstolens eller organets oavhängighet ska säkerställas, särskilt i förhållande till den verkställande makten, med hjälp av alla nödvändiga garantier, inklusive vad gäller villkoren för att återkalla eller ogiltigförklara tillsättningen , och att en domstols behörighet ska överensstämma med kraven i

text: artikel 47 i stadgan

text: . I detta avseende ska organet vara behörigt att fatta bindande beslut i förhållande till underrättelsetjänsterna, i enlighet med rättsliga garantier som de registrerade skulle kunna göra gällande .

text: 4. AVSLUTANDE ANMÄRKNINGAR

text: 48. De fyra europeiska nödvändiga garantierna ska betraktas som centrala delar som bör konstateras vid bedömningar av nivån av ingrepp i de grundläggande rättigheterna till privatliv och dataskydd. Eftersom de är nära sammankopplade bör de inte bedömas separat utan snarare som en helhet, genom en kontroll av den relevanta lagstiftningen i förhållande till övervakningsåtgärderna, minimikraven för skydd av registrerades rättigheter samt rättsmedel som fastställs i tredjelandets nationella lagstiftning.

text: 49. Dessa garantier kräver ett visst tolkningsarbete, särskilt eftersom tredjelandets lagstiftning inte behöver vara identisk med EU:s rättsliga ram.

text: 50. Såsom Europadomstolen konstaterade i målet Kennedy beror en bedömning på ett falls alla omständigheter, till exempel de möjliga åtgärdernas art, räckvidd och varaktighet, skälen till att de förordnas, vilka myndigheter som är behöriga att godkänna, genomföra och övervaka dem, samt vilken typ av rättsmedel som föreskrivs i nationell lag .

text: 51. Följaktligen kan en bedömning av ett tredjelands övervakningsåtgärder mot de europeiska nödvändiga garantierna leda till en av följande två slutsatser:  Det berörda tredjelandets lagstiftning säkerställer inte kraven enligt de europeiska nödvändiga garantierna: I detta fall ger lagstiftningen i tredjelandet inte en skyddsnivå som är väsentligen likvärdig med den som garanteras inom EU.  Det berörda tredjelandets lagstiftning uppfyller de europeiska nödvändiga garantierna.

text: 52. När kommissionen bedömer om en adekvat skyddsnivå föreligger, i enlighet med

text: , ska den avgöra om de europeiska nödvändiga garantierna är uppfyllda som en del av det som anses garantera att ett tredjelands lagstiftning som helhet ger en skyddsnivå som är väsentligen likvärdig med den som garanteras inom EU.

text: 53. När uppgiftsutförare och uppgiftsinförare vidtar lämpliga skyddsåtgärder i enlighet med

text: , med hänsyn till de krav i tredjelandets lagstiftning som specifikt är tillämpliga på de överförda uppgifterna, ska de säkerställa att en väsentligen likvärdig skyddsnivå verkligen uppnås. Detta innebär framför allt att de, om tredjelandets lagstiftning inte överensstämmer med kraven enligt de europeiska nödvändiga garantierna, ska säkerställa att lagstiftningen i fråga inte inkräktar på de garantier och skyddsåtgärder som omger överföringen, så att en skyddsnivå som är väsentligen likvärdig med den som garanteras inom EU fortfarande kan uppnås.

text: 54. Europeiska dataskyddsstyrelsen har utfärdat ytterligare riktlinjer och rekommendationer som ska beaktas vid bedömningen, beroende på vilket överföringsverktyg som ska användas och hur nödvändigt det är att införa lämpliga skyddsåtgärder, eventuellt också kompletterande åtgärder .

text: 55. Det bör dessutom noteras att de europeiska nödvändiga garantierna är baserade på vad som krävs i lag. Europeiska dataskyddsstyrelsen betonar att de europeiska nödvändiga garantierna är baserade på grundläggande rättigheter som gäller för alla, oavsett nationalitet.

text: 56. Europeiska dataskyddsstyrelsen framhåller att de europeiska nödvändiga garantierna är en referensstandard vid bedömning av ingrepp som följer av övervakningsåtgärder i ett tredjeland i samband med internationella uppgiftsöverföringar. Denna standard grundar sig på EU-lagstiftningen och på rättspraxis från EU-domstolen och Europadomstolen, som är bindande för medlemsstaterna.

type: vagledning

utgivare: edpb


text: ARTIKEL 29-GRUPPENS riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679. Det bör noteras att rekommendationerna inte omfattar vare sig betalningsinstitut som är verksamma via nätbutiker eller offentliga myndigheter. De omfattar inte heller lagring av kreditkortsuppgifter för något annat ändamål, exempelvis för fullgörande av rättsliga förpliktelser, för att etablera en återkommande betalning för fortlöpande avtal eller prenumerationer för långvariga tjänster (t.ex. kontrakt om leverans av särskilda varor varje månad eller prenumeration av tjänster för direktuppspelning av musik eller film).

text: Se även EDPB:s

text: riktlinjer 2/2019

text: om behandling av personuppgifter enligt

text: artikel 6.1 b i dataskyddsförordningen

text: i samband med tillhandahållandet av onlinetjänster till registrerade, framför allt sida 10. Se artikel 29-arbetsgruppens yttrande om begreppet den registeransvariges berättigade intressen i

text: artikel 7 i direktiv 95/46/EG

text: , som EDPB håller på att se över (se EDPB:s arbetsprogram 2021/2022 som antogs den 16 mars 2021). Se EU-domstolens dom av den 4 maj 2017, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde mot Rīgas pašvaldības SIA ”Rīgas satiksme”,

text: mål C-13/16

text: , ECLI:EU:C:2017:336, punkt 28. Se EU-domstolens dom av den 11 december 2019, TK mot Asociaţia de Proprietari bloc M5A-ScaraA,

text: mål C-708/18

text: , ECLI:EU:C:2019:1064, punkt 44.

text: Se EU-domstolens dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) och Federación de Comercio Electrónico y Marketing Directo (FECEMD) mot Administración del Estado, förenade målen

text: och

text: , ECLI:EU:C:2011:777, punkterna 47 och 48, och EU-domstolens dom av den 19 oktober 2016, Patrick Breyer mot Bundesrepublik Deutschland,

text: mål C-582/14

text: , ECLI:EU:C:2016:779, punkt 62. Se EU-domstolens ovannämnda dom av den 24 november 2011, punkt 44, och EU-domstolens ovannämnda dom av den 11 december 2019, punkt 56. ARTIKEL 29-GRUPPENS riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679. Se

text: skäl 47

text: i

text: den allmänna dataskyddsförordningen

text: . Se

text: Riktlinjer 05/2020

text: om samtycke enligt förordning

text: (EU) 2016/679

text: . Ibid.

identifier: Rekommendation 02/2021

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Rekommendationer 02/2021 om den rättsliga grunden för lagring av kreditkortsuppgifter endast i syfte att underlätta ytterligare elektroniska transaktioner

serie: rekommendationer

text: Europeiska dataskyddsstyrelsen har antagit dessa rekommendationer

type: rubrik

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (den allmänna dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37 till detta, ändrat genom gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018, och med beaktande av artiklarna 12 och 22 i arbetsordningen.

type: stycke

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE.

text: 1. Under covid-19-pandemin har den digitala ekonomin och e-handeln fortsatt att utvecklats. Riskerna med att använda kreditkortsuppgifter på internet har ökat i samma utsträckning. Såsom anges i artikel 29-arbetsgruppens riktlinjer om konsekvensbedömning avseende dataskydd kan kreditkortsincidenter entydigt få ”allvarliga konsekvenser för den registrerades dagliga liv” eftersom finansiella uppgifter kan användas för betalningsbedrägerier .

text: 2. Det är därför mycket viktigt att den personuppgiftsansvarige inför lämpliga skyddsåtgärder för de registrerade och ser till att de registrerade får kontroll över sina egna personuppgifter för att minska risken för otillåten behandling och för att stärka förtroendet för den digitala miljön. Europeiska dataskyddsstyrelsen (EDPB) anser att detta förtroende är avgörande för en hållbar utveckling av den digitala ekonomin.

text: 3. För detta ändamål strävar dessa rekommendationer efter att uppmuntra en harmoniserad tillämpning av dataskyddsreglerna om behandling av kreditkortsuppgifter inom Europeiska ekonomiska samarbetsområdet (EES) och att garantera ett enhetligt skydd för registrerades rättigheter med fullt beaktande av de grundläggande dataskyddsprinciperna i enlighet med den allmänna dataskyddsförordningen.

text: 4. Dessa rekommendationer avser närmare bestämt den lagring av kreditkortsuppgifter som leverantörer av varor och tjänster på internet genomför enbart och uteslutande i syfte att underlätta registrerades fortsatta köp . Rekommendationerna omfattar situationer när registrerade köper produkter eller betalar för tjänster via en webbplats eller applikation och anger sina kreditkortsuppgifter, vanligen via ett särskilt formulär, för att slutföra den unika transaktionen.

text: 5. Den personuppgiftsansvarige måste ha en giltig rättslig grund i enlighet med

text: artikel 6 i den allmänna dataskyddsförordningen

text: för att lagra dessa uppgifter, precis som för all annan behandling. I detta avseende bör det noteras att ett antal av de rättsliga grunder som anges i

text: inte är tillämpliga i det här fallet och ska uteslutas. Lagring av kreditkortsuppgifter efter en transaktion för att underlätta ytterligare köp kan varken anses vara nödvändigt för att fullgöra en rättslig förpliktelse (

text: artikel 6.1 c i den allmänna dataskyddsförordningen

text: ) eller för att skydda intressen som är av grundläggande betydelse för en fysisk person (

text: artikel 6.1 d i den allmänna dataskyddsförordningen

text: ). Det kan inte heller anses att utförandet av en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (

text: artikel 6.1 e

text: ) utgör en lämplig rättslig grund.

text: 6. Lagringen av kreditkortsuppgifter efter betalning av varor eller tjänster är dessutom inte i sig nödvändig för att fullgöra ett avtal (

text: artikel 6.1 b i den allmänna dataskyddsförordningen

text: ). Medan behandlingen av de avgifter som avser det kreditkort som kunden använt för att betala är nödvändig för att i första hand uppfylla avtalet, och därmed aktivera

text: , är lagringen av dessa uppgifter endast användbar för att underlätta en eventuell efterföljande transaktion och för att underlätta försäljningen. Ett sådant syfte kan inte anses vara absolut nödvändigt för fullgörandet av avtalet om leverans av de varor eller tjänster som den registrerade redan har betalat för .

text: 7. Vad gäller behandling som är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen konstaterar EDPB att de tre villkor som fastställs i

text: artikel 6.1 f i den allmänna dataskyddsförordningen

text: måste uppfyllas för att den personuppgiftsansvarige ska kunna åberopa den artikeln . För denna rättsliga grund krävs för det första att den personuppgiftsansvariges eller en tredje parts berättigade intressen identifieras och kvalificeras. Den personuppgiftsansvariges eller en tredje parts berättigade intressen kan gå utöver syftet för behandlingen och måste utgöra faktiska intressen vid tidpunkten för behandlingen .

text: 8. För denna rättsliga grund krävs för det andra att behandlingen av personuppgifter är nödvändig för det berättigade intresse som eftersträvas. Vad gäller det sistnämnda villkoret är det inte uppenbart att lagringen av kreditkortsuppgifterna för att underlätta ytterligare köp är nödvändigt för att eftersträva ett berättigat intresse, förutsatt att den personuppgiftsansvarige har ett berättigat intresse i enlighet med vad som nämns ovan. Det faktiska genomförandet av ett ytterligare köp beror på kundens val och det avgörs inte av möjligheten att genomföra köpet med ett klick.

text: 9. För det tredje villkoret krävs slutligen att ett avvägningstest genomförs. De berättigade intressena hos den registeransvarige eller tredje parter måste vägas mot den registrerades intressen eller grundläggande fri- och rättigheter, däribland den registrerades rätt till dataskydd och integritet. I avvägningstestet måste de särskilda omständigheterna för behandlingen beaktas . En viktig del i avvägningen är behandlingens möjliga inverkan på den registrerades fri- och rättigheter . Denna inverkan kan bero på arten av uppgifter, den särskilda behandlingsmetoden och tredje parters tillgång till sådana uppgifter. Vad gäller arten av uppgifter bör det noteras att

text: artikel 29

text: arbetsgruppen har förklarat att finansiella uppgifter är uppgifter av mycket personlig karaktär eftersom överträdelser mot dessa uppgifter entydigt får allvarliga konsekvenser för den registrerades dagliga liv . Trots att den personuppgiftsansvarige är skyldig att införa tekniska eller organisatoriska åtgärder för att säkerställa kreditkortsuppgifternas säkerhet i enlighet med

text: artikel 5.1 f i den allmänna dataskyddsförordningen

text: och det faktum att dessa uppgifter skulle kunna lagras för andra ändamål kan behandlingen av dessa uppgifter för att underlätta ytterligare köp därför medföra en ökad risk för säkerhetsöverträdelser mot kreditkortsuppgifter. En annan viktig del av avvägningstestet som kan beaktas vid bedömningen av behandlingens inverkan på registrerade är de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige, sammanhanget och syftet med insamlingen av personuppgifterna . Ändå verkar det som att de registrerade inte rimligen förväntar sig att deras kreditkortsuppgifter vid köptillfället ska lagras längre än vad som är nödvändigt för att betala för de köpta varorna eller tjänsterna, trots att de anger sina kreditkortsuppgifter för betalningen. I detta särskilda sammanhang skulle de grundläggande fri- och rättigheterna för de personer som dataskyddet avser därmed antagligen ha företräde framför den personuppgiftsansvariges intressen.

text: 10. Dessa aspekter leder till slutsatsen att samtycke (

text: artikel 6.1 a i den allmänna dataskyddsförordningen

text: ) verkar vara den enda lämpliga rättsliga grunden till att ovannämnda behandling ska vara laglig. För att hantera riskerna, låta den registrerade behålla kontrollen över sina egna uppgifter samt för att denne aktivt ska fatta beslut om användningen av hans/hennes kreditkortsuppgifter bör den registrerades specifika samtycke erhållas innan kreditkortsuppgifterna lagras efter ett köp. Detta samtycke gör det möjligt för den personuppgiftsansvarige att bevisa att individens vill underlätta sina ytterligare köp via den särskilda webbplatsen eller applikationen, vilket inte kan förutsättas baserat på att individen helt enkelt har genomfört ett eller flera enskilda transaktioner.

text: 11. Detta samtycke kan inte förutsättas, och det måste vara frivilligt, specifikt, informerat och otvetydigt . Det måste lämnas i form av en tydlig bekräftelse och bör begäras på ett användarvänligt sätt, såsom med hjälp av en ruta, som inte bör vara ikryssad på förhand , direkt i det formulär som används för att samla in uppgifterna. Detta specifika samtycke måste särskiljas från det samtycke som ges för tjänste- eller försäljningsvillkoren och får inte utgöra ett villkor för att transaktionen ska genomföras.

text: 12. Enligt

text: artikel 7.3 i den allmänna dataskyddsförordningen

text: ska de registrerade ha rätt att när som helst återkalla sitt samtycke till lagringen av kreditkortsuppgifterna för att underlätta ytterligare köp. Det måste vara gratis, lätt och lika enkelt för den registrerade att återkalla sitt samtycke som det var att ge det. Detta ska leda till att den personuppgiftsansvarige omedelbart raderar de kreditkortsuppgifter som har lagrats endast i syfte att underlätta ytterligare transaktioner. På Europeiska dataskyddsstyrelsens vägnar Ordförande (Andrea Jelinek)