text: Hänvisningar till ”medlemsstater” i detta dokument ska tolkas som hänvisningar till ”EES-medlemsstater”. ”Terminalutrustning för användare av elektroniska kommunikationsnät och all information som finns lagrad i sådan utrustning är en del av privatlivet för användarna och kräver skydd enligt Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Sådana anordningar som ’spyware’, ’web bugs’, hemliga identifieringsuppgifter och liknande som ger tillträde till användarnas terminaler utan deras kännedom, för att få tillgång till information, lagra hemlig information eller spåra användarnas verksamhet, kan allvarligt inkräkta på dessa användares integritet. Användning av sådana anordningar bör tillåtas endast för legitima syften och med de berörda användarnas kännedom.” Artikel 29-gruppens yttrande 9/2014, s. 11.

text: I

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation anges följande: ”Detta får inte förhindra någon teknisk lagring eller åtkomst som endast sker för att utföra överföringen av en kommunikation via ett elektroniskt kommunikationsnät eller det som är absolut nödvändigt för att leverantören ska kunna tillhandahålla en av informationssamhällets tjänster som användaren eller abonnenten uttryckligen har begärt.” Artikel 29-gruppens yttrande 9/2014, s. 8.

text: Domstolens dom av den 1 oktober 2019, Planet 49,

text: mål C-673/17

text: , ECLI:EU:C:2019:801, punkt 70. Artikel 29-gruppens yttrande 9/2014, s. 8. Kommissionens direktiv

text: av den 20 juni 2008 om konkurrens på marknaderna för teleterminalutrustning (kodifierad version),

text: artikel 1.1

text: Det vill säga att de har den tekniska kapacitet som krävs för att anslutas till nätverket även om den anslutningen ännu inte har inrättats.

text: Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009

text: om ändring av direktiv

text: om samhällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster, direktiv

text: om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation och förordning

text: (EG) nr 2006/2004

text: om samarbete mellan de nationella tillsynsmyndigheter som ansvarar för konsumentskyddslagstiftningen (Text av betydelse för EES), EUT L 337, 18.12.2009,

text: artikel 2.5

text: och skäl 65. För att identifiera gränserna för nätverket i olika sammanhang, se Berecs riktlinjer för gemensamma strategier för identifiering av nätanslutningspunkten i olika nättopologier (

text: BoR (20) 46

text: ). Såsom påpekas i

text: artikel 2.13 i Europaparlamentets och rådets direktiv (EU) 2018/1972 av den 11 december 2018

text: om inrättande av en europeisk kodex för elektronisk kommunikation kan användaren vara en fysisk eller juridisk person.

text: Artikel 3 i direktivet

text: om integritet och elektronisk kommunikation.

text: Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002

text: om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv).

text: Europaparlamentets och rådets direktiv (EU) 2018/1972 av den 11 december 2018

text: om inrättande av en europeisk kodex för elektronisk kommunikation (omarbetning) (Text av betydelse för EES),

text: artikel 2.1

text: artikel 2.1

text: Till exempel i samband med fördröjningstoleranta nätverkssystem som implementerar ”lagra- och vidarebefordra-tekniker”, såsom Briar-projektet med öppen källkod. För en närmare analys av identifieringen av allmänna kommunikationsnät hänvisas till Berecs riktlinjer för genomförandet av förordningen om ett öppet internet (

text: BoR (20) 112

text: Skäl 26

text: i

text: direktivet

text: om integritet och elektronisk kommunikation, se punkt 17 ovan. Artikel 29-gruppens yttrande 9/2014, s. 8.

text: Ett programvaruutvecklingsverktyg är ett paket med verktyg för utveckling av programvara som görs tillgängligt för att underlätta skapandet av applikationsprogramvara. Artikel 29-gruppens yttrande 9/2014, s. 9. Enligt definitionen i avsnitt 2.3 i dessa riktlinjer.

text: Se punkt 4. HTTP ETag är en identifierare som gör det möjligt att göra villkorsstyrda förfrågningar baserat på giltigheten hos cachelagrade klientdata. HTTP Strict Transport Security (HSTS) gör det möjligt för servrar att specificera vilka resurser som alltid bör begäras med hjälp av HTTPS-anslutningar. Se yttrande 9/2014 från artikel 29-gruppen om tillämpningen av direktivet om integritet och elektronisk kommunikation på digitala fingeravtryck.

text: Detta sker i tillägg till och oberoende av användningen och funktionen av en IP-adress för att upprätta och förmedla eller överföra av underliggande teknisk kommunikation, eller av att det kan vara eller inte vara personuppgifter (med avseende på analysen i direktivet om integritet och elektronisk kommunikation är det ”information”). Carrier-Grade NAT eller CGNAT används av internetleverantörer för att maximera användningen av begränsat IP-adressutrymme. Det grupperar ett antal abonnenter under samma offentliga IP-adress.

text: I artikel 29-gruppens yttrande 9/2014 anges några exempel på när samtycke kanske inte behövs.

identifier: Riktlinjer 2/2023

amnesord:
Teknik
Samspel mellan regelverk

publisher: Europeiska dataskyddsstyrelsen

title: Riktlinjer 2/2023 om det tekniska tillämpningsområdet för artikel 5.3 i direktivet om integritet och elektronisk kommunikation

version: Final version

text: Sammanfattning

type: stycke

text: I dessa riktlinjer behandlar Europeiska dataskyddsstyrelsen (EDPB) tillämpningen av artikel 5.3 i direktivet om integritet och elektronisk kommunikation på olika tekniska lösningar. Dessa riktlinjer bygger vidare på yttrande 9/2014 från artikel 29-gruppen om tillämpningen av direktivet om integritet och elektronisk kommunikation på signaturinsamling och syftar till att ge en tydlig förståelse för de tekniska åtgärder som omfattas av artikel 5.3 i direktivet om integritet och elektronisk kommunikation.

text: Uppkomsten av nya spårningsmetoder för att både ersätta befintliga spårningsverktyg (t.ex. kakor, på grund av att vissa leverantörer av webbläsare har slutat ge stöd för tredjepartskakor) och skapa nya affärsmodeller har blivit ett allvarligt problem för uppgiftsskyddet. Även om tillämpligheten av artikel 5.3 i direktivet om integritet och elektronisk kommunikation är väl etablerad och genomförd för viss spårningsteknik, såsom kakor, finns det ett behov av att ta itu med tvetydigheter i samband med tillämpningen av denna bestämmelse på framväxande spårningsverktyg.

text: I riktlinjerna identifieras tre centrala aspekter för tillämpligheten av artikel 5.3 i direktivet om integritet och elektronisk kommunikation (avsnitt 2.1), nämligen ”information”, ”abonnentens eller användarens terminalutrustning” och ”få tillgång till och lagring av information och lagrad information”. Riktlinjerna innehåller vidare en detaljerad analys av varje aspekt (avsnitt 2.2–2.6).

text: I avsnitt 3 tillämpas denna analys på en icke uttömmande förteckning över användningsfall som representerar vanliga tekniker, nämligen

text: - URL- och pixelspårning, - lokal behandling, - spårning baserad endast på IP-adress, - intermittent och förmedlad rapportering via sakernas internet, - unik identifierare.

text: Europeiska dataskyddsstyrelsen har antagit dessa riktlinjer

type: rubrik

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (nedan kallad den allmänna dataskyddsförordningen),

text: med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 ,

text: med beaktande av

text: artikel 15.3 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002

text: om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation, ändrat genom direktiv

text: (nedan kallat direktivet om integritet och elektronisk kommunikation), och

text: med beaktande av

text: artikel 12

text: och artikel 22 i arbetsordningen.

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE:

text: 1 INLEDNING

text: 1. Enligt

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation är ”lagring av information eller tillgång till information som redan är lagrad i en abonnents eller användares terminalutrustning” endast tillåtet på grundval av samtycke eller nödvändighet för specifika ändamål som anges i den artikeln. Som påpekas i

text: skäl 24

text: i

text: direktivet

text: om integritet och elektronisk kommunikation är syftet med den bestämmelsen att skydda användarnas terminalutrustning, eftersom den är en del av användarnas privatliv. Det framgår av lydelsen att

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation inte enbart gäller för kakor, utan även för ”liknande teknik”. Det finns dock för närvarande ingen uttömmande förteckning över de tekniska åtgärder som omfattas av

text: artikel 5.3 i direktivet

text: 2. Artikel 29-gruppens yttrande 9/2014 om tillämpningen av direktivet om integritet och elektronisk kommunikation på fingeravtryck (nedan kallat artikel 29-gruppens yttrande 9/2014) har redan klargjort att signaturinsamling omfattas av det tekniska tillämpningsområdet för

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation , men på grund av de nya tekniska framstegen behövs ytterligare vägledning när det gäller den spårningsteknik som för närvarande observeras. Det tekniska landskapet har utvecklats under det senaste årtiondet, med den ökande användningen av identifierare som är inbyggda i operativsystem, samt skapandet av nya verktyg som gör det möjligt att lagra information i terminalutrustning.

text: 3. Oklarheterna kring tillämpningsområdet för

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation har skapat incitament för att genomföra alternativa lösningar för att spåra internetanvändare och leder till en tendens att kringgå de rättsliga skyldigheter som föreskrivs i

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation. Alla sådana situationer ger anledning till oro och kräver en kompletterande analys för att komplettera den tidigare vägledningen från EDPB.

text: 4. Syftet med dessa riktlinjer är att göra en teknisk analys av tillämpningsområdet för

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation, nämligen att klargöra vad som tekniskt sett omfattas av uttrycket ”lagring av information eller tillgång till information som redan är lagrad i en abonnents eller användares terminalutrustning”. Dessa riktlinjer behandlar inte de omständigheter under vilka en behandling kan omfattas av de undantag från kravet på samtycke som anges i direktivet om integritet och elektronisk kommunikation , eftersom dessa omständigheter bör analyseras från fall till fall med beaktande av relevanta införlivanden i medlemsstaterna och vägledning som utfärdats av nationella behöriga myndigheter.

text: 5. En icke uttömmande förteckning över specifika användningsfall kommer att analyseras i den sista delen av dessa riktlinjer.

text: 2 ANALYS

text: 2.1 Centrala aspekter för tillämpligheten av

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation

text: Artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation är tillämplig om följande kriterier är uppfyllda: a. KRITERIUM A: De åtgärder som vidtas avser ”information”. Det bör noteras att den term som används inte är ”personuppgifter” utan ”information”. b. KRITERIUM B: den verksamhet som bedrivs omfattar en ”terminalutrustning” som tillhör en abonnent eller användare (B.1), vilket innebär att det är nödvändigt att bedöma begreppet ”allmänt kommunikationsnät” (B.2). c. KRITERIUM Cde utförda transaktionerna utgör verkligen ”lagring” (C.1) eller ”tillgång” (C.2). Dessa två begrepp kan studeras oberoende av varandra, vilket påminns om i artikel 29-gruppens yttrande 9/2014: ”Orden ’uppgifter som lagras eller ges åtkomst till’ anger att lagring och åtkomst inte behöver ske inom samma kommunikation och inte behöver utföras av samma part” . För läsbarhetens skull kommer den enhet som får tillgång till information som lagras i användarens terminalutrustning nedan att kallas en ”åtkomstenhet”.

text: 2.2 Begreppet ”information” – kriterium A

text: 7. I enlighet med vad som anges i KRITERIUM A beskrivs i detta avsnitt vad som omfattas av begreppet ”information”. Valet av termen ”information”, som omfattar en bredare kategori än enbart begreppet personuppgifter, hänger samman med tillämpningsområdet för direktivet om integritet och elektronisk kommunikation.

text: 8. Syftet med

text: artikel 5.3 i direktivet

text: är att skydda användarnas privatliv, vilket anges i skäl 24: ”Terminalutrustning för användare av elektroniska kommunikationsnät och all information som finns lagrad i sådan utrustning är en del av privatlivet för användarna och kräver skydd enligt Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna.” Det skyddas också av

text: artikel 7 i EU:s stadga om de grundläggande rättigheterna

text: 9. Scenarier som inkräktar på privatlivet även om de inte innehåller några personuppgifter omfattas i själva verket uttryckligen av ordalydelsen i

text: artikel 5.3

text: och

text: skäl 24

text: i

text: direktivet

text: om integritet och elektronisk kommunikation, t.ex. lagring av virus på användarens terminalutrustning. Detta visar att definitionen av begreppet ”information” inte bör begränsas till egenskapen att ha en koppling en identifierad eller identifierbar fysisk person.

text: 10. Detta har bekräftats av EU-domstolen: ”Detta skydd gäller all information som finns lagrad på denna terminalutrustning, oavsett om det rör sig om personuppgifter eller inte och, såsom framgår av samma skäl, syftar till att bland annat skydda användarna mot riskerna med hemliga identifieringsuppgifter eller liknande som ger tillträde till användarnas terminalutrustning utan deras kännedom.”

text: 11. Frågorna om huruvida ursprunget till denna information och skälen till varför den lagras i terminalutrustningen ska beaktas vid bedömningen av tillämpligheten av

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation har klargjorts tidigare. Till exempel i artikel 29-gruppens yttrande 9/2014: ”Detta ska dock inte tolkas som att den tredje parten inte behöver samtycke för att få åtkomst till informationen bara för att den inte har lagrat uppgifterna. Samtyckeskravet gäller även när åtkomst ges till ett ’read-only’-värde (t.ex. en begäran om MAC-adressen för ett nätverksgränssnitt via OS API).” .

text: 12. Sammanfattningsvis omfattar begreppet information både icke-personuppgifter och personuppgifter, oavsett hur dessa uppgifter lagrades och av vem, dvs. av en extern enhet (även inbegripet andra enheter än den som har åtkomst), av användaren, av en tillverkare eller på något annat sätt.

text: 2.3 Begreppet ”en abonnents eller användares terminalutrustning” – kriterium B.1

text: 13. Detta avsnitt bygger på den definition som används i direktiv

text: och som det hänvisas till i

text: artikel 2 i direktiv (EU) 2018/1972

text: , där ”terminalutrustning” definieras som ”utrustning direkt eller indirekt ansluten till en nätanslutningspunkt i ett allmänt tillgängligt telenät för att sända, bearbeta eller ta emot information; i ettdera fallet (direkt eller indirekt) kan anslutningen göras med tråd, optisk fiber eller elektromagnetiskt; en anslutning är indirekt om utrustningen är placerad mellan terminalutrustningen och nätanslutningspunkten”.

text: Skäl 24

text: i

text: direktivet

text: om integritet och elektronisk kommunikation ger en tydlig förståelse av terminalutrustningens roll för det skydd som erbjuds genom

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation. Direktivet om integritet och elektronisk kommunikation skyddar användarnas integritet inte bara i förhållande till sekretessen för deras uppgifter utan också genom att skydda integriteten hos användarens terminalutrustning. Denna förståelse kommer att vägleda tolkningen av begreppet terminalutrustning i dessa riktlinjer.

text: 15. I

text: artikel 3 i direktivet

text: om integritet och elektronisk kommunikation anges att för att direktivet ska vara tillämpligt måste behandlingen av personuppgifter utföras i samband med tillhandahållandet av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät. Detta innebär att en anordning ska kunna användas i samband med en sådan tjänst och att den, för att betecknas som terminalutrustning, ska vara ansluten eller kunna anslutas till gränssnittet för ett allmänt kommunikationsnät. EDPB konstaterar att de ändringar som gjordes 2009 i lydelsen av

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation utvidgade skyddet av terminalutrustning genom att hänvisningen till ”användningen av elektroniska kommunikationsnät” som ett sätt att lagra information eller få tillgång till information lagrad i terminalutrustningen togs bort. Så länge en anordning har ett nätverksgränssnitt som gör den berättigad till anslutning (även om en sådan anslutning inte är på plats) gäller därför

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation för alla enheter som skulle lagra och få tillgång till information som redan finns lagrad i terminalutrustningen, oavsett medel för åtkomst till terminalutrustningen, och oavsett om den är ansluten till eller bortkopplad från ett nät.

text: 16. Utrustning som ingår i det allmänna elektroniska kommunikationsnätet i sig skulle inte betraktas som terminalutrustning enligt

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation .

text: 17. En terminalutrustning kan bestå av ett valfritt antal enskilda delar av hårdvara, som tillsammans bildar terminalutrustningen. Det kan röra sig om en fysiskt innesluten enhet som innehåller all hårdvara för visning, bearbetning, lagring och kringutrustning (t.ex. smarta telefoner, bärbara datorer, nätverksanslutna lagringsenheter, uppkopplade bilar eller uppkopplade tv-apparater, smarta glasögon).

text: 18. I direktivet erkänns att skyddet av konfidentialiteten för den information som lagras på en användares terminalutrustning och integriteten hos användarens terminalutrustning inte är begränsat till skyddet av fysiska personers privatliv, utan även avser rätten till respekt för deras korrespondens eller juridiska personers legitima intressen . En terminalutrustning som möjliggör denna korrespondens och de juridiska personernas legitima intressen skyddas därför enligt

text: artikel 5.3 i direktivet

text: 19. Användaren eller abonnenten kan äga eller hyra eller på annat sätt få tillgång till terminalutrustningen. Flera användare eller abonnenter kan dela samma terminalutrustning.

text: 20. Detta skydd garanteras genom direktivet om integritet och elektronisk kommunikation för den terminalutrustning som är kopplad till användaren eller abonnenten, och det är inte beroende av om användaren ställer upp åtkomstmedlen (t.ex. om de initierade den elektroniska kommunikationen) eller ens om användaren är medveten om dessa åtkomstmedel.

text: 2.4 Begreppet ”allmänt kommunikationsnät” – kriterium B.2

text: 21. Eftersom den situation som regleras i direktivet om integritet och elektronisk kommunikation är den som rör ”allmänt tillgängliga elektroniska kommunikationstjänster tillhandahålls i allmänna kommunikationsnät inom gemenskapen” , och definitionen av terminalutrustning uttryckligen nämner begreppet ”allmänt kommunikationsnät”, är det mycket viktigt att klargöra detta begrepp för att identifiera det sammanhang i vilket

text: artikel 5.3 i direktivet

text: är tillämplig.

text: 22. Begreppet elektroniskt kommunikationsnät definieras inte i själva direktivet om integritet och elektronisk kommunikation. Det hänvisades ursprungligen till det begreppet i direktiv

text: (ramdirektivet) om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster , senare ersatt av artikel 2.1 i direktiv 2018/1972 (den europeiska kodexen för elektronisk kommunikation). Texten har nu följande lydelse: elektroniskt kommunikationsnät: system för överföring, oberoende av om det bygger på en permanent infrastruktur eller en centralt administrerad kapacitet eller inte, och i tillämpliga fall utrustning för koppling eller dirigering samt andra resurser, inbegripet nätelement som inte är aktiva, som medger överföring av signaler via tråd, via radio, på optisk väg eller via andra elektromagnetiska överföringsmedier, däribland satellitnät, fasta nät (kretskopplade och paketkopplade, inbegripet internet) och mobilnät, elnätssystem i den utsträckning dessa används för signalöverföring, nät för radio- och tv-utsändning samt kabel-tv-nät, oberoende av vilken typ av information som överförs .

text: 23. Denna definition är neutral med avseende på överföringsteknik. Ett elektroniskt kommunikationsnät är enligt denna definition varje nätsystem som möjliggör överföring av elektroniska signaler mellan dess noder, oavsett vilken utrustning och vilka protokoll som används.

text: 24. Begreppet elektroniskt kommunikationsnät enligt direktiv 2018/1972 beror inte på infrastrukturens offentliga eller privata karaktär eller på hur nätet sätts in eller förvaltas (”oberoende av om det bygger på en permanent infrastruktur eller en centralt administrerad kapacitet eller inte” ). Till följd av detta är definitionen av elektroniska kommunikationsnät, enligt artikel 2 i direktiv 2018/1972, tillräckligt bred för att omfatta alla typer av infrastruktur. Det omfattar nätverk som förvaltas eller inte förvaltas av en operatör, nätverk som förvaltas gemensamt av en grupp operatörer, eller till och med ad hocnätverk där en terminalutrustning på ett dynamiskt sätt kan anslutas till eller lämna ett nät av annan terminalutrustning som använder protokoll för kortdistanskommunikation.

text: 25. I denna definition av nätverk anges ingen begränsning när det gäller mängden terminalutrustning som finns i nätverket vid någon tidpunkt. Vissa nätverkssystem bygger på att noder vidarebefordrar information ad hoc till noder som är uppkopplade vid den tidpunkten och kan vid en viss tidpunkt ha så lite som två element som kommunicerar. Sådana fall skulle omfattas av det allmänna tillämpningsområdet för direktivet om integritet och elektronisk kommunikation, så länge nätverksprotokollet tillåter ytterligare inkludering av jämlika element.

text: 26. Kommunikationsnätets allmänna tillgänglighet är nödvändig för att enheten ska betraktas som terminalutrustning och följaktligen för tillämpligheten av

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation. Det bör noteras att den omständigheten att nätverket görs tillgängligt för en begränsad del av allmänheten (till exempel abonnenter, oavsett om de betalar eller inte, under förutsättning att behörighetsvillkoren är uppfyllda) inte innebär att ett sådant nätverk är privat .

text: 2.5 Begreppet ”få tillgång till” – kriterium C.1

text: 27. För att korrekt definiera begreppet ”få tillgång till” är det viktigt att beakta direktivets tillämpningsområde, som anges i

text: artikel 1

text: : ”[A]tt säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, särskilt rätten till integritet och konfidentialitet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation, samt för att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom gemenskapen”.

text: 28. I korthet är direktivet om integritet och elektronisk kommunikation ett integritetsbevarande rättsligt instrument som syftar till att skydda kommunikationens konfidentialitet och enheternas integritet. I

text: skäl 24

text: i

text: direktivet

text: klargörs att när det gäller fysiska personer utgör användarens terminalutrustning en del av deras privatliv och att tillgång till information som lagras på den utan deras vetskap allvarligt kan inkräkta på deras integritet.

text: 29. Juridiska personer skyddas också av direktivet om integritet och elektronisk kommunikation . Följaktligen måste begreppet ”få tillgång till” enligt

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation tolkas på ett sätt som skyddar dessa rättigheter mot intrång från tredje part.

text: 30. Lagring av eller tillgång till information kan vara oberoende operationer som utförs av oberoende enheter. Lagring av information och tillgång till information som redan har lagrats behöver inte förekomma samtidigt för att

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation ska vara tillämplig.

text: 31. Såsom noterades i artikel 29-gruppens yttrande 9/2014: ”Orden ’uppgifter som lagras eller ges åtkomst till’ anger att lagring och åtkomst inte behöver ske inom samma kommunikation och inte behöver utföras av samma part. Uppgifter som lagras av en part (inklusive uppgifter som lagras av användaren eller produkttillverkaren) och som en annan part senare får åtkomst till omfattas därför av

text: artikel 5.3

text: .” Följaktligen finns det inga begränsningar för informationens ursprung i terminalutrustningen för att begreppet tillgång ska vara tillämpligt.

text: 32. Närhelst en enhet vidtar åtgärder för att få tillgång till information som lagras i terminalutrustningen skulle

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation vara tillämplig. Vanligtvis innebär detta att åtkomstenheten proaktivt skickar specifika instruktioner till terminalutrustningen för att få tillbaka den avsedda informationen. Detta gäller t.ex. kakor, där åtkomstenheten instruerar terminalutrustningen att proaktivt skicka information vid varje efterföljande anrop till HTTPprotokollet (Hypertext Transfer Protocol).

text: 33. Detta är också fallet när åtkomstenheten distribuerar programvara till användarens terminalutrustning som lagras och sedan proaktivt anropar en API-slutpunkt (Application Programming Interface, programmeringsgränssnitt) via nätet. Ytterligare exempel kan vara JavaScript-kod, där åtkomstenheten instruerar användarens webbläsare att skicka asynkrona förfrågningar med den riktade informationen. Sådan åtkomst faller tydligt inom tillämpningsområdet för

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation, eftersom åtkomstenheten uttryckligen instruerar terminalutrustningen att skicka informationen.

text: 34. I vissa fall kan det hända att den enhet som instruerar terminalutrustningen att skicka tillbaka de berörda uppgifterna är en annan än den enhet som tar emot informationen. Detta kan vara en följd av tillhandahållandet och/eller användningen av en gemensam mekanism mellan de båda enheterna. Att instruera enheten att sända redan lagrad information (till exempel genom användning av ett protokoll eller ett programvaruutvecklingsverktyg som innebär att terminalutrustningen proaktivt skickar information) gör det möjligt att göra intrång i terminalutrustningen, vilket innebär att en sådan tillgång uppfyller kriterierna för att

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation ska vara tillämplig. Såsom påpekas i artikel 29-gruppens yttrande 9/2014 kan detta vara fallet när en webbplats instruerar terminalutrustningen att skicka information till tredje parts reklamtjänster genom att inkludera en spårningspixel . Detta användningsfall vidareutvecklas i avsnitt 3.1.

text: 2.6 Begreppen ”lagring av information” och ”lagrad information” – kriterium C.2

text: 35. Lagring av information i den mening som avses i

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation innebär att information placeras på ett fysiskt elektroniskt lagringsmedium som ingår i en användares eller abonnents terminalutrustning .

text: 36. Vanligtvis lagras inte information i en användares eller abonnents terminalutrustning genom direkt tillgång till anordningens minne av en annan part, utan snarare genom att programvaran på terminalutrustningen instrueras att generera specifik information. Lagring som sker genom sådana instruktioner anses initieras direkt av den andra parten. Detta innefattar användning av etablerade protokoll såsom lagring av kakor i webbläsare samt anpassad programvara, oavsett vem som skapat eller installerat protokollen eller programvaran på terminalutrustningen.

text: 37. I direktivet om integritet och elektronisk kommunikation anges inte någon övre eller nedre gräns för hur länge information måste finnas kvar på ett lagringsmedium för att räknas som lagrad, och det finns inte heller någon övre eller nedre gräns för hur mycket information som ska lagras.

text: 38. På samma sätt är begreppet lagring inte beroende av vilken typ av medium som informationen lagras på. Typiska exempel är hårddiskar (HDD), SSD-minnen (Solid State Drive), elektriskt raderbara programmerbara skrivminnen (EEPROM) och RAM-minnen (Random Access Memory), men mer ovanliga lösningar med medier som magnetband eller cacheminne för en central processorenhet (CPU) är inte uteslutna från tillämpningsområdet. Lagringsmediet kan anslutas internt (t.ex. genom en SATAanslutning) eller externt (t.ex. genom en USB-anslutning).

text: 39. Med ”lagrad information” avses information som redan finns på terminalutrustningen, oavsett källan till eller arten av denna information. Detta inbegriper alla resultat från lagring av information i den mening som avses i

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation enligt beskrivningen ovan (antingen av samma part som senare skulle få tillgång till informationen eller av en annan tredje part). Det omfattar även resultat av informationslagringsprocesser som ligger utanför tillämpningsområdet för

text: artikel 5.3 i direktivet

text: om integritet och elektronisk lagring, t.ex. lagring i terminalutrustningen av användaren eller abonnenten själv eller av en hårdvarutillverkare (t.ex. MACadresser för nätverksgränssnittskontroller), sensorer som är integrerade i terminalutrustningen eller processer och program som körs i terminalutrustningen, som eventuellt producerar information som är beroende av eller härrör från lagrad information.

text: 3 ANVÄNDNINGSFALL

text: 40. Såsom påpekas i inledningen till dessa riktlinjer görs ingen analys av tillämpningen av undantagen från skyldigheten att inhämta samtycke enligt

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation. EDPB påminner om att det i alla de fall där det förekommer lagring av information eller tillgång till redan lagrad information måste göras en bedömning av om samtycke behövs eller om ett undantag enligt

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation skulle kunna tillämpas. Läsaren bör därför ta hänsyn till undantagen i sitt användningsfall, i samband med denna tekniska analys.

text: 41. Utan att det påverkar det specifika sammanhang i vilket det går att använda de tekniska kategorier som är nödvändiga för att avgöra om

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation är tillämplig, är det möjligt att på ett icke uttömmande sätt identifiera breda kategorier av identifierare och information som används allmänt och som kan omfattas av

text: artikel 5.3 i det direktivet

text: 42. Nätverkskommunikationen bygger vanligtvis på en skiktad modell som kräver användning av identifierare för att kommunikationen ska kunna upprättas och genomföras korrekt. Instruktionen om att sända dessa identifierare till fjärraktörer görs genom programvara som följer överenskomna kommunikationsprotokoll. Att den mottagande enheten kanske inte är den enhet som ger instruktioner om översändande av information utesluter som sagt inte tillämpningen av

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation. Detta kan gälla routingidentifierare såsom terminalutrustningens MAC- eller IP-adress, men även sessionsidentifierare (SSRC, Websocket identifier) eller autentiseringstoken.

text: 43. På samma sätt kan applikationsprotokollet innehålla flera mekanismer för att tillhandahålla kontextdata (t.ex. ett HTTP-sidhuvud som innehåller ett godkännandefält eller en användaragent), en 25 26 cachemekanism (t.ex. ETag ) eller andra funktioner (däribland kakor, eller HSTS ). Även användning av dessa mekanismer för att samla in information (t.ex. i samband med signaturinsamling eller spårning av resursidentifierare) kan leda till tillämpning av

text: artikel 5.3 i direktivet

text: 44. Å andra sidan finns det vissa sammanhang där lokala tillämpningar som installerats i terminalutrustningen enbart använder viss information inuti terminalen. Detta kan t.ex. gälla API:er för smarttelefonsystem (åtkomst till kamera, mikrofon, GPS-sensor, acceleratorchipp, radiochipp, lokal filtillgång, kontaktlista, åtkomst till identifierare osv.). Detta kan också vara fallet för webbläsare som behandlar information som lagras eller genereras inuti enheten (t.ex. kakor, lokal lagring, WebSQL eller till och med information som tillhandahålls av användarna själva). Att sådan information används av en applikation skulle inte innebära att ”få tillgång till redan lagrad information” i den mening som avses i

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation så länge informationen inte lämnar enheten. Om tillgång ges till denna information eller någon härledning av den skulle

text: artikel 5.3 i det direktivet

text: dock vara tillämplig.

text: 45. Slutligen distribueras i vissa fall skadlig programvara av aktörer, t.ex. programvara för kryptokapning eller mer allmänt skadlig programvara, som utnyttjar terminalutrustningens processorkapacitet till förmån för den distribuerande aktören. Distributionen av den skadliga programvaran i användarens terminalutrustning skulle utgöra en ”lagring” i den mening som avses i

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation. Om programvaran dessutom upprättar en nätverksanslutning för att skicka information i ett senare skede, skulle det vara att ”få tillgång” i den mening som avses i

text: artikel 5.3 i direktivet

text: 46. För en undergrupp av dessa kategorier som är av särskilt intresse på grund av deras utbredda användning eller på grund av att en särskild studie är motiverad med hänsyn till omständigheterna för deras användning, görs en särskild analys nedan.

text: 3.1 URL- och pixelspårning

text: 47. En spårningspixel är en hyperlänk till en resurs, vanligtvis en bildfil, som är inbyggd i ett innehåll som en webbplats eller ett e-postmeddelande. Denna pixel uppfyller vanligtvis inget syfte som är relaterat till det begärda innehållet i sig. Dess enda syfte är att automatiskt upprätta en kommunikation från klienten till värden för pixeln, som annars inte skulle ha uppstått. Detta är dock inte systematiskt och spårningspixlar kan också skapas genom att ytterligare information läggs till bilder som laddas via hyperlänkar och som är relevanta för det innehåll som visas för användaren. Genom att kommunikationen upprättas överförs olika uppgifter till pixelns värd, beroende på det specifika användningsfallet.

text: 48. Om det rör sig om ett e-postmeddelande kan avsändaren inkludera en spårningspixel för att upptäcka när mottagaren läser e-postmeddelandet. Spårningspixlar på webbplatser kan länka till en enhet som samlar in en mängd sådana förfrågningar och därmed kan spåra användarnas beteende. Sådana spårningspixlar kan också innehålla ytterligare identifierare, metadata eller innehåll som en del av länken. Dessa datapunkter kan läggas till av webbplatsens ägare, eventuellt i samband med användarens aktivitet på webbplatsen, så att analytiska användningsrapporter kan genereras. De kan också genereras dynamiskt genom applikationslogik på klientsidan som tillhandahålls av enheten.

text: 49. Spårningslänkar kan fungera på samma sätt, men identifieraren bifogas till webbplatsadressen. När användaren besöker URL:en (Uniform Resource Locator) laddar den berörda webbplatsen den begärda resursen, men samlar också in en identifierare som inte är relevant när det gäller resursidentifiering. Dessa används mycket ofta av e-handelswebbplatser för att identifiera ursprunget för deras inkommande trafik. Exempelvis kan sådana webbplatser tillhandahålla spårbara länkar till partner som kan använda dem på sin domän så att e-handelswebbplatsen vet vilken av deras partner som är ansvarig för en försäljning och betalar en provision, en metod som kallas partnerprogram.

text: 50. Både spårningslänkar och spårningspixlar kan distribueras via en mängd olika kanaler, t.ex. via e-post, webbplatser eller till och med, när det gäller spårningslänkar, via alla typer av textmeddelandesystem. Distributionen till användarens terminalutrustning utgör lagring, åtminstone genom den cachemekanism som finns i programvaran på klientsidan. Därmed är

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation tillämplig, även om denna lagring inte är permanent.

text: 51. Tillägg av spårningsinformation till URL eller bilder (pixlar) som skickas till användaren utgör en instruktion till terminalutrustningen om att skicka tillbaka den riktade informationen (den angivna identifieraren). När det gäller dynamiskt konstruerade spårningspixlar är det distributionen av den applikationslogiken (vanligtvis en JavaScript-kod) som utgör instruktionen. Som en följd av detta kan det anses att insamlingen av identifieringsuppgifter som tillhandahålls genom sådana spårningsmekanismer innebär att ”få tillgång” i den mening som avses i

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation, och därför gäller det även för detta steg.

text: 3.2 Lokal behandling

text: 52. Vissa tekniker bygger på lokal behandling enligt instruktioner från programvara som distribueras på användarnas terminalutrustning, där den information som produceras av den lokala behandlingen sedan görs tillgänglig för utvalda aktörer via API på klientsidan. Detta kan till exempel vara fallet för ett API som tillhandahålls av webbläsaren, där lokalt genererade resultat kan nås på distans.

text: 53. Om den behandlade informationen vid någon tidpunkt, t.ex. i koden på klientsidan, görs tillgänglig för en tredje part, t.ex. genom att den skickas tillbaka över nätverket till en server, skulle en sådan åtgärd (som instrueras av den enhet som producerar koden på klientsidan som distribueras på användarens terminalutrustning) vara att ”få tillgång till redan lagrad information”. Att denna information framställs lokalt utesluter inte tillämpning av

text: artikel 5.3 i direktivet

text: 3.3 Spårning baserad endast på IP-adress

text: 54. Vissa leverantörer utvecklar lösningar som endast förlitar sig på insamling av en komponent, nämligen IP-adressen, för att spåra användarens navigering , i vissa fall över flera domäner. I detta sammanhang skulle

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation kunna vara tillämplig även om instruktionen att göra den aktuella IP-adressen tillgänglig har getts av en annan enhet än den mottagande.

text: 55. Att få tillgång till IP-adresser skulle dock endast utlösa tillämpning av

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation i fall där denna information härrör från en abonnents eller användares terminalutrustning. Även om det inte är systematiskt (t.ex. när CGNAT är aktiverat), skulle statisk utgående IPv4 som kommer från en användares router omfattas av detta användningsfall, liksom IPV6-adresser eftersom de delvis definieras av värden. Såvida inte enheten kan säkerställa att IP-adressen inte härrör från en användares eller abonnents terminalutrustning måste den vidta alla åtgärder i enlighet med

text: artikel 5.3 i direktivet

text: 56. Även om dessa riktlinjer inte innefattar någon analys av tillämpningen av undantagen från skyldigheten att inhämta samtycke enligt

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation, är det viktigt att än en gång påminna om att tillämpningen av denna artikel inte systematiskt innebär att samtycke måste inhämtas. EDPB påminner därför om att det i varje enskilt fall måste bedömas om ett samtycke krävs eller om ett undantag enligt

text: artikel 5.3 i direktivet

text: skulle kunna tillämpas .

text: 3.4 Intermittent och förmedlad rapportering via sakernas internet

text: 57. Enheter i sakernas internet (IoT-enheter, Internet of Things) producerar information kontinuerligt över tid, t.ex. genom sensorer som är inbäddade i enheten, som kan förbehandlas lokalt eller ej. I många fall görs information tillgänglig för en fjärrserver, men formerna för denna insamling kan variera.

text: 58. Vissa IoT-enheter har en direkt anslutning till ett allmänt kommunikationsnät med ett mobilt SIM-kort. Andra kan ha en indirekt anslutning till ett allmänt kommunikationsnät, t.ex. genom användning av wifi eller överföring av information till en annan enhet genom en punkt-till-punkt-anslutning (t.ex. genom Bluetooth). Den andra enheten kan till exempel vara en smarttelefon eller en särskild nätsluss som eventuellt förbehandlar informationen innan den skickas till servern.

text: 59. IoT-enheter kan instrueras av tillverkaren att alltid strömma den insamlade informationen, men ändå cachelagra informationen lokalt först, t.ex. tills en anslutning är tillgänglig.

text: 60. I vilket fall som helst skulle IoT-enheten, när den är ansluten (direkt eller indirekt) till ett allmänt kommunikationsnät, i sig själv betraktas som en terminalutrustning. Att informationen strömmas eller cachas för intermittent rapportering ändrar inte informationens karaktär. I båda situationerna skulle

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation vara tillämplig eftersom instruktionen från koden på IoT-enheten om att skicka de dynamiskt lagrade uppgifterna till fjärrservern, innebär att ”få tillgång”.

text: 3.5 Unik identifierare

text: 61. Ett vanligt verktyg som används av företag är begreppet ”unika identifierare” eller ”beständiga identifierare”. Sådana identifierare kan härledas från beständiga personuppgifter (för- och efternamn, e-post, telefonnummer etc.), som hashas på användarens enhet, samlas in och delas mellan flera personuppgiftsansvariga för att unikt identifiera en person i olika dataset (användningsdata som samlas in genom användning av webbplats eller applikation, kundhanteringsdata relaterade till köp eller prenumeration online eller offline etc.). På webbplatser inhämtas de beständiga personuppgifterna i allmänhet i samband med autentisering eller prenumeration på nyhetsbrev.

text: 62. Såsom angetts ovan skulle det faktum att information förs in av användaren inte hindra tillämpningen av

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation när det gäller lagring, eftersom denna information lagras tillfälligt på terminalutrustningen innan den samlas in.

text: 63. När det gäller insamling av ”unika identifierare” på webbplatser eller i mobila applikationer instruerar den enhet som samlar in informationen webbläsaren (genom distribution av kod på klientsidan) att skicka den informationen. Därmed ges ”tillgång” och

text: artikel 5.3 i direktivet

text: om integritet och elektronisk kommunikation är tillämplig.

type: vagledning

utgivare: edpb


text: References to “EU” and “Member States” made throughout this document should be understood as references to “EEA” and “EEA Member States” respectively.

text: Article 48

text: refers to “transfers or disclosures”. Therefore, this will be the terminology used throughout the text of these guidelines, even though the EDPB made it clear in its Guidelines 05/2021 that a disclosure of personal data qualifies as a transfer provided that the three criteria of the guidelines are met (see part 2.2 of the EDPB Guidelines 05/2021 on the Interplay between the application of

text: Article 3

text: and the provisions on international transfers as per Chapter V of the GDPR).

text: For the purposes of law enforcement and national security, the exchange of data takes place usually between the authorities involved, so

text: Article 48

text: is not applicable as these types of transfers do not fall under the scope of the GDPR. The EDPB hence reiterates its position expressed in its guidelines on

text: Article 49

text: GDPR that: “In situations where there is an international agreement such as a mutual legal assistance treaty (MLAT), EU companies should generally refuse direct requests and refer the requesting third country authority to an existing mutual legal assistance treaty or agreement”. However, there has been a recent tendency to negotiate international agreements to also provide for direct requests from law enforcement authorities in third countries for access to personal data processed by private entities in the EU, e.g. the Second Additional Protocol to the Convention on Cybercrime on enhanced co-operation and disclosure of electronic evidence (CETS No. 224). For example, when it comes to cooperation with law enforcement authorities of a third country, criminal procedural rules of the Member State of the entity receiving the request would also apply.

text: As regards international agreement concluded by the Union, see CJEU Judgment

text: Case C-327/91

text: , French Republic v Commission, para. 27. In relation to

text: Article 228

text: EEC Treaty, the CJEU notes that

text: Article 228

text: uses the expression "agreement" in a general sense to indicate any undertaking entered into by entities subject to international law which has binding force, whatever its formal designation. This wording reflects the international law rules, following which a decision of a national court, tribunal or administrative authority has no legal effect in other jurisdictions unless an applicable international agreement provides for this. Thus, where third country judgments or decisions are directed at entities within the EU, there has to be an international agreement in place between that third country and the EU or the Member State in question in order for those judgments or decisions to be recognised and enforceable under Union or Member State law. However, the need for an international agreement in order for a third country judgment or decision to be recognised and enforceable is to be distinguished from the question of whether personal data, also in the absence of such agreement, can be lawfully transferred to a third country. See to that effect also the EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act on the European legal framework for personal data protection (annex), page 3.

text: See EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act on the European legal framework for personal data protection p. 3. See EDPB Guidelines 2/2018 on derogations of

text: Article 49

text: under Regulation 2016/679, adopted on 25 May 2018. See to that effect

text: Article 28(3)

text: (a) GDPR and EDPB Guidelines 07/2020 on the concepts of controller and processor in the GDPR adopted on 7 July 2021.

text: See in this context the legal concept of recital 43 s. 1 concerning the requirement of freely given consent. This applies all the more if the case related to public bodies from third countries. See also EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act on the European legal framework for personal data protection, footnote 28.

text: See for example Article 6 of the Second Additional Protocol to the Convention on Cybercrime on enhanced cooperation and disclosure of electronic evidence (CETS No. 224). This could for instance be the case of requests to access personal data concerning abducted minors or other situations where the transfer is in the vital interest of data subjects themselves. Recital 46 GDPR. For further information see EDPB Guidelines 1/2024 on processing of personal data based on

text: Article 6(1)

text: (f) GDPR (version 1.0) adopted on 8 October 2024. Assessing the impact on the data subject’s interests shall take into account any possible (potential or actual) consequences of the data processing for the data subject, the data protection principles of proportionality, as well as elements such as, for example, the seriousness of the alleged offences that may be notified, the scope of the request, applicable standards and procedural guarantees in the third country, and applicable data protection safeguards. Such assessment shall also pay particular attention to the nature of the personal data processed and the way personal data are being processed. In addition, the GDPR also introduced the necessity to take into account the reasonable expectations of the data subject. For further information on the necessity and balancing test see also EDPB Guidelines 1/2024 on processing of personal data based on

text: Article 6(1)

text: (f) GDPR (version 1.0) adopted on 8 October 2024. Judgment of the Court (Grand Chamber) of 4 July 2023, Meta Platforms Inc and Others v Bundeskartellamt,

text: Case C-252/21

text: , para. 124 and 132.

text: See EDPB position already expressed for the area of law enforcement and national security in the EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act on the European legal framework for personal data protection. The EDPB is not aware of the existence of many international agreements of this kind. One example would be Council of Europe: Second Additional Protocol to the Convention on Cybercrime on enhanced co-operation and disclosure of electronic evidence (CETS No. 224), which is however not yet in force.

text: 20 that, which is guaranteed within the EU . Consequently, applicable international agreements providing for transfers of personal data should inter alia require that the core data protection principles are guaranteed by both parties, i.e. ensuring enforceable and effective data subject rights, containing restrictions on onward transfers and data sharing, including additional safeguards for sensitive data and providing independent redress and supervision mechanisms . The appropriate safeguards may be included directly in the international agreement, which provides for the direct cooperation between the controller or processor and the third country authorities, or in a separate legally binding instrument.

text: Court of Justice of the European Union,

text: Case C-311/18

text: , Data Protection Commissioner v. Facebook Ireland and Maximillian Schrems (“Schrems II”), para. 96. In case of doubt regarding the existence of an international agreement and its nature, entities in the EU receiving a request may contact and consult their national relevant authorities (for example Ministry of Justice, Ministry of Foreign Affairs, sectoral supervisory authorities, etc.). See in this regard part 2 of the Guidelines 2/2020 on

text: Articles 46 (2)

text: (a) and 46 (3) (b) of Regulation 2016/679 for transfers of personal data between EEA and non-EEA public authorities and bodies, version 2.0; adopted on 15 December 2020. With regard to

text: Article 6

text: GDPR, there could be a third situation where there is an international agreement in place that does not provide an appropriate legal basis under

text: Articles 6(1)

text: (c) or 6(1)(e) GDPR, for instance because the relevant provisions of the agreement are not specific enough (e.g. they do not reflect the elements listed in

text: Article 6(3)

text: GDPR). The assessment whether an adequacy decision is applicable should be done on a case by case basis, taking in particular into account the scope of the adequacy decision. See

text: Article 49(1)

text: (d) and (e) GDPR. See Guidelines 2/2018 on derogations of

text: Article 49

text: under Regulation 2016/679 adopted on 25 May 2018.

text: If the recipient of the request is a processor, this processor must inform the controller without undue delay and should follow the controller’s instructions with regard to the request, unless Union law or Member State law to which the processor is subject prohibits them to inform the controller on “important grounds of public interest” (see to that effect

text: Article 28(3)

text: (a) GDPR and EDPB Guidelines 07/2020 on the concepts of controller and processor in the GDPR, adopted on 7 July 2021).

identifier: Riktlinjer 02/2024

sprak: en

title: Guidelines 02/2024 on Article 48 GDPR

serie: riktlinjer

text: EXECUTIVE SUMMARY

text: Article 48 GDPR provides that: “Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter”.

text: The purpose of these guidelines is to clarify the rationale and objective of this article, including its interaction with the other provisions of Chapter V of the GDPR, and to provide practical recommendations for controllers and processors in the EU that may receive requests from third country authorities to disclose or transfer personal data.

text: The main objective of the provision is to clarify that judgments or decisions from third country authorities cannot automatically and directly be recognised or enforced in an EU Member State, thus underlining the legal sovereignty vis-a-vis third country law. As a general rule, recognition and enforceability of foreign judgements and decisions is ensured by applicable international agreements.

text: Regardless of whether an applicable international agreement exists, if a controller or processor in the EU receives and answers a request from a third country authority for personal data, such data flow is a transfer under the GDPR and must comply with Article 6 and the provisions of Chapter V.

text: In the absence of an international agreement, or if the agreement does not provide for a legal basis under Article 6(1)(c) or 6(1)(e), other legal bases could be considered. Similarly, if there is no international agreement or the agreement does not provide for appropriate safeguards under Article 46(2)(a), other grounds for transfer could apply, including the derogations in Article 49.

text: The European Data Protection Board

text: Having regard to Article 70 (1)(e) of the Regulation

text: of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive

text: , (hereinafter “GDPR”),

text: Having regard to the EEA Agreement and in particular to Annex XI and Protocol 37 thereof, as amended by the Decision of the EEA joint Committee No 154/2018 of 6 July 2018 ,

text: Having regard to

text: Article 12

text: and Article 22 of its Rules of Procedure,

text: HAS ADOPTED THE FOLLOWING GUIDELINES

text: 1 INTRODUCTION

text: Article 48

text: GDPR – with the title “Transfers or disclosures not authorised by Union law” – provides that: “Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter”.

text: 2. The purpose of these guidelines is to clarify the rationale and objective of

text: Article 48

text: GDPR, including its interaction with the other provisions of Chapter V of the GDPR, and to provide practical recommendations for controllers and processors in the EU that may receive requests from third country authorities to disclose or transfer personal data.

text: 3. The provision is part of Chapter V of the GDPR on “Transfers of personal data to third countries or international organisations”. This means that it has to be read in conjunction with

text: Article 44

text: GDPR, which clearly states that “all provisions in this Chapter shall be applied in order to ensure that the level of protection of natural persons guaranteed by [the GDPR] is not undermined”. In addition,

text: Article 48

text: should be read in conjunction with Recital 102 GDPR, which makes clear that the GDPR “(...) is without prejudice to international agreements concluded between the Union and third countries regulating the transfer of personal data including appropriate safeguards for the data subjects”.

text: 2 WHAT IS THE SCOPE OF THESE GUIDELINES?

text: 4. These guidelines focus on requests aiming at the direct cooperation between a third country authority and a private entity in the EU (as opposed to other scenarios where personal data is exchanged directly between public authorities in the EU and in third countries respectively, e.g. on the basis of a mutual legal assistance treaty). Such requests may come from all kinds of public authorities, including those supervising the private sector such as banking regulators and tax authorities, as well as authorities dealing with law enforcement and national security .

text: 5. These guidelines only cover the situation where such requests are addressed to controllers or processors in the EU and whose processing of personal data is subject to Article 3.1 of the GDPR.

text: Article 48

text: does not distinguish between private or public controllers and processors receiving a request for personal data from third country authorities. However, for the purposes of these guidelines, the following analysis focuses on direct requests to private entities in the EU, considering that this appears to be the most common scenario of application of

text: Article 48

text: and that requests to public authorities usually fall within an international cooperation framework set forth in international agreements.

text: 7. The EDPB highlights that, beyond the requirements of the GDPR, additional rules may govern the cooperation with public authorities in third countries . Such requirements are not addressed in these guidelines.

text: 8. These guidelines do not cover another scenario that can occur in practice, where a third country authority requests personal data from an entity located in its territory (parent company) which would then ask its subsidiary in the EU for the data in order to be able to reply to the request. In such a situation, the flow of data from the EU subsidiary to the parent company in a third country constitutes a transfer. The EU subsidiary as the exporter must therefore comply with the GDPR and in particular

text: article 6

text: GDPR and Chapter V. Depending on its scope, an adequacy decision under

text: Article 45

text: may be a relevant tool for such transfers. However, given that the request is initially addressed to an entity in the same third country as that of the requesting public authority, this scenario does not fall under the scope of

text: Article 48

text: 3 WHAT IS THE OBJECTIVE OF ARTICLE 48?

text: 9. According to

text: Article 48

text: , third country authorities’ judgments and decisions requiring a controller or processor in the EU to transfer or disclose personal data may only be recognised and enforced if they are based on an applicable international agreement , such as a mutual legal assistance treaty (MLAT) in force between the requesting country and the EU or a Member State , without prejudice to other grounds for transfer pursuant to Chapter V of the GDPR. This Article regulates access to personal data subject to the protection of the GDPR by courts and authorities in third countries. Recital 115 clarifies that the provision aims to protect personal data from the extraterritorial application of third country laws which “may be in breach of international law and may impede the attainment of the protection of natural persons ensured in the Union by the [GDPR]”.

text: 10. Thus, where data processed in the EU are transferred or disclosed in response to a direct request from a third country authority, such disclosure is subject to the GDPR and constitutes a transfer within the meaning of Chapter V. This means that, as for any transfer subject to the GDPR, there has to be a legal basis for the processing in

text: Article 6

text: and a ground for transfer in Chapter V.

text: 11. The EDPB reaffirms that a request from a foreign authority does not in itself constitute a legal basis for the processing or a ground for the transfer .

text: 4 IN WHICH SITUATIONS IS ARTICLE 48 APPLICABLE?

text: Article 48

text: applies in situations where a controller or processor in the EU receives a decision or judgment from an administrative authority or a court in a third country requiring the transfer or disclosure of personal data. The wording of the provision, “court”, “tribunal” and “administrative authority”, refers to a public body in a third country. The EDPB finds that the terminology used by the third country body to qualify its request as a “decision” or “judgment” is not decisive for the application of

text: Article 48

text: , as long as it is an official request from a third country authority.

text: 13. The EDPB considers that the wording in

text: Article 48

text: encompasses every possible way in which a controller or processor in the EU could make personal data accessible to a third country authority.

text: Article 48

text: does not limit the purposes for which data may be requested by the third country authority. Thus, requests from third country authorities issued in different contexts and for different purposes would fall within the scope of the provision e.g. requests from law enforcement or national security authorities, financial regulators or public authorities responsible for approving pharmaceutical products, medical devices, etc.

text: Article 48

text: does not distinguish between the situation where a third country authority requests a controller or processor in the EU to transfer or disclose personal data, and the controller or processor can refuse to comply with the request without any adverse legal consequences under EU or third country law and the situation where refusal may lead to sanctions for non-compliance. The EDPB recalls that in all cases a “two-step test” must be applied when it comes to any transfer of personal data to third countries: “first, there must be a legal basis for the data processing together with all relevant provisions of the GDPR; and secondly, the provisions of Chapter V must be complied with. Hence, the processing i.e., the transfer or disclosure of personal data must adhere to the general principles of

text: Article 5

text: and must rely on a legal basis as stated in

text: Article 6

text: GDPR” .

text: 5 UNDER WHICH CONDITIONS CAN CONTROLLERS AND PROCESSORS RESPOND TO REQUESTS FROM THIRD COUNTRY AUTHORITIES?

text: Article 48

text: is part of Chapter V of the GDPR on ‛Transfers of personal data to third countries or international organisations’ and has to be read in conjunction with

text: Article 44

text: GDPR, which states that “any transfer of personal data which are undergoing processing or are intended for processing after transfer to a third country or to an international organisation shall take place only if, subject to the other provisions of this Regulation, the conditions laid down in this Chapter are complied with by the controller and processor, including for onward transfers of personal data from the third country or an international organisation to another third country or to another international organisation”. Furthermore, Recital 115 GDPR clarifies that transfers should only be allowed where the conditions of the GDPR are met. This means that any transfer or disclosure of personal data in response to a request from a third country authority requires a legal basis for the processing (

text: Article 6

text: GDPR) and compliance with the requirements for transfers of personal data to third countries or international organisations (Chapter V GDPR).

text: 17. As already mentioned, in addition to ensuring compliance with the GDPR, a controller or processor may need to comply with additional requirements following from other legal instruments, e.g. national procedural rules or international agreements providing for cooperation with the third country authority.

text: 18. Additionally, if the recipient of the request is a processor, this processor must inform the controller without undue delay and should follow the controller’s instructions with regard to the request, unless Union law or Member State law to which the processor is subject prohibits them to inform the controller on “important grounds of public interest” .

text: 5.1 Compliance with

text: Article 6

text: GDPR

text: 19. According to

text: Article 44

text: GDPR, a transfer of personal data to a third country shall take place only if, subject to the other provisions of the GDPR, the conditions of Chapter V are complied with. Therefore, transferring personal data to third countries or international organisations must also meet the conditions of the other provisions of the GDPR.

text: 20. Article 5(1) of the GDPR sets out general and mandatory principles for the processing of personal data. According to

text: Article 5(2)

text: , the controller is responsible for compliance with the obligations set out in paragraph 1 (this applies as well when the processing activities are carried out by means of a processor). According to

text: Article 5(1)

text: , any processing of personal data must have a legal basis under

text: Article 6

text: . A legal analysis is therefore required with regard to each specific situation.

text: 21. The case described in

text: Article 48

text: presupposes that there is a judgement of a court or tribunal or a decision of an administrative authority of a third country that requires a controller or processor in the EU to transfer or disclose personal data. Furthermore, this request from a third country authority may only be recognised or made enforceable if it is based on an international agreement, which may give such request the effect of a legal obligation to which the controller is subject and non-compliance would have legal consequences. Where the processing of personal data is carried out in order to fulfil a legal obligation,

text: Article 6(1)

text: (c) provides an explicit legal basis. As a result, the EDPB is of the opinion that for the case outlined in

text: Article 48

text: , where there is an applicable international agreement in place,

text: Article 6(1)

text: (c) in conjunction with

text: Article 6(3)

text: would be the appropriate legal basis for the transfer provided that the conditions of these provisions are fulfilled.

text: 22. An applicable international agreement would mean an international agreement providing for the possibility of direct requests from public authorities in third countries for access to personal data processed by private entities in the EU. If there is no such agreement but an international agreement provides for cooperation between public authorities in that specific area, such as a mutual legal assistance treaty (MLAT), private entities in the EU should generally refer the requesting third country authority to the national competent authority, in line with the procedure provided by the MLAT or the agreement.

text: 23. In case of doubt regarding the existence of an international agreement and its nature, entities in the EU receiving a request may contact and consult their national relevant authorities (for example Ministry of Justice, Ministry of Foreign Affairs, sectoral supervisory authorities, etc.).

text: 24. In cases where there is no legal obligation arising from an international agreement for the controller, the use of other legal bases under

text: Article 6

text: remains possible, provided that the legal requirements set out by Chapter V of the GDPR are fulfilled. However, the application of these other legal bases must be carefully examined on a case-by-case basis. Due to the large number of possible situations, general statements on the applicability of

text: Article 6

text: can only be made to a very limited extent.

text: 25. In principle, consent pursuant to

text: Article 6(1)

text: (a) could be considered as a legal basis for a transfer to third countries. However, the use of consent as a legal basis will usually be inappropriate in certain areas, especially if the processing of the data is related to the exercise of authoritative powers .

text: 26. The application of

text: Article 6(1)

text: (b) appears to be excluded by its wording alone. The EDPB is therefore of the view that

text: Article 6(1)

text: (b) cannot be relied upon by a private entity in the EU as an appropriate legal basis to answer a request for transfer or disclosure from a third country authority.

text: 27. In situations where disclosure based on an international agreement is not mandatory, but such cooperation is still permitted under EU or Member State law,

text: Article 6(1)

text: (e) could be used as a legal basis for the processing of personal data since it can be considered necessary for the performance of the task carried out in the public interest . In such cases, the processing has to have a basis in Union or Member State law as required in

text: Article 6(3)

text: GDPR.

text: 28. As for

text: Article 6(1)

text: (d), the EDPB recognises that in specific and established circumstances, the vital interests of the data subject could be cited as a legal basis for a transfer of personal data triggered by a third country request provided that the conditions set out in international law are met . With regards to the vital interest of other persons the EDPB recalls that “processing of personal data based on the vital interest of another natural person should in principle take place only where the processing cannot be manifestly based on another legal basis” .

text: 29. Depending on the individual case, the EDPB assumes that it may be possible to rely on

text: Article 6(1)

text: (f) for transfers or disclosures to third country authorities in exceptional circumstances. To this effect, the EDPB recalls that any processing based on the legitimate interests of the controller or third parties must be necessary and balanced against the interests or fundamental rights and freedoms of the data subject . The outcome of the balancing test determines whether the legal basis of legitimate interest may be relied upon for the processing. In principle, any processing based on legitimate interest is in any case limited to what is demonstrably necessary to pursue this specific interest of the controller or the third party.

text: 30. Despite the fact that a controller, in some cases, may have a legitimate interest in complying with a request to disclose personal data to a third country authority, a private business operator, acting as controller, cannot rely on

text: Article 6(1)

text: (f) for the collection and storing of personal data in a preventive manner in order to be able to share such information, upon request, with law enforcement authorities so as to prevent, detect and prosecute criminal offences, where such processing activities are unrelated to its own actual (economic and commercial) activities . Moreover, the EDPB has, with respect to a specific situation, previously taken the view that the interests or fundamental rights and freedoms of the data subject in those particular circumstances would override the controller’s interest of adhering to the request of a third country law enforcement authority in order to avoid sanctions for non-compliance .

text: 5.2 Compliance with Chapter V GDPR

text: 31. As already stated above,

text: Article 48

text: must be read in conjunction with

text: Article 44

text: , the general principle for transfers introducing the chapter.

text: Article 44

text: lays down the following conditions for transfers under the GDPR: any transfer is subject to the other relevant provisions of the GDPR and must comply with the conditions laid down in Chapter V (the two-step test), “in order to ensure that the level of protection of natural persons guaranteed by the Regulation is not undermined”. The provisions on international transfers are designed to ensure that the high level of protection for personal data within the EU is upheld when data are transferred to third countries with different legal systems and data protection standards.

text: 32. For this purpose, Chapter V lists the grounds for transfers, starting with the European Commission’s adequacy decisions under

text: Article 45

text: . If there is no adequacy decision, appropriate safeguards may be provided for by one of the transfer tools foreseen in

text: Article 46

text: . In the absence of an adequacy decision or appropriate safeguards, the derogations in

text: Article 49

text: could apply in a limited number of specific situations.

text: 33. Unlike the other provisions of Chapter V,

text: Article 48

text: is not a ground for transfer. The provision itself contains no data protection safeguards but clarifies that decisions or judgments from third country authorities cannot be recognised or enforced in the EU unless an international agreement provides for this. Therefore, before responding to a request from a third country authority falling under

text: Article 48

text: , the controller or processor in the EU must identify an applicable ground for the transfer elsewhere in Chapter V.

text: 34. According to

text: Article 46(2)

text: (a) appropriate safeguards may be provided for by “a legally binding and enforceable instrument between public authorities or bodies” i.e. an international agreement within the meaning of

text: Article 48

text: . Such agreements are concluded by states and traditionally allow for cooperation between public authorities, but may also provide for direct cooperation between private entities and public authorities . If an international agreement covers the cooperation between the controller or processor in the EU and the requesting third country authority, this agreement may serve as a ground for transfer if it provides for the appropriate safeguards in accordance with

text: Article 46(2)

text: (a).

text: 35. The EDPB has elaborated a list of minimum safeguards to be included in international agreements falling under

text: Article 46(2)

text: (a). Such safeguards must be capable of ensuring that data subjects whose personal data are transferred are afforded a level of protection essentially equivalent to

text: Article 48

text: refers to an international agreement “without prejudice to other grounds for transfer pursuant to this Chapter”. In the opinion of the EDPB, with regard to Chapter V requirements , this wording might cover two possible situations: - First, if there is no international agreement providing for cooperation between the controller or processor and the third country authority, a transfer to a third country authority must be based on another legal basis under

text: Article 6

text: GDPR and another ground for transfer in Chapter V. - Second, if there is an international agreement providing for the legal basis under

text: Article 6

text: , but it does not contain the appropriate safeguards in accordance with

text: Article 46(2)

text: (a) and the EDPB Guidelines 2/2020, the controller must identify another ground for transfer in Chapter V.

text: 37. In the absence of an applicable adequacy decision or appropriate safeguards,

text: Article 49

text: GDPR offers a limited number of specific situations in which transfers may take place, for instance if they are necessary for important reasons of public interest or for the establishment to exercise or defence of legal claims . However, as explained in previous guidance issued by the EDPB, the derogations in

text: Article 49

text: GDPR must be interpreted restrictively and mainly relate to processing activities that are occasional and non-repetitive .