designation: Kronofogdens ställningstagande 1/21/RKF

text: Beslutad av Ansvarig organisation Nr Ulrika Lindén Rättsavdelningen 1/21/RKF Dokumentägare Beslutsdatum Dnr Soheil Roshanbin 2021-02-04 KFM 25972-2020 Gäller fr.o.m. Ny 2021-02-04

text: E-postadress: kontakt@kronofogden.se Postadress Besöksadress Telefon Telefax

text: Box 1050 Rosenlundsgatan 8 0771-73 73 00 08-29 26 14

text: 21 SUNDBYBERG 411 20 GÖTEBORG

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). Se även

text: 3 §§

text: lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning. 2 Artiklarna 44-50 i EU:s dataskyddsförordning. 3 1 kap. 3 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Artikel 45.1 i EU:s dataskyddsförordning. 5 Kommissionens genomförandebeslut

text: (EU) 2016/1250

text: av den 12 juli 2016 enligt

text: Europaparlamentets och rådets direktiv 95/46/EG

text: om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta staterna.

text: Artikel

text: och

text: .c i EU:s dataskyddsförordning 7 Se https://www.imy.se/lagar--regler/dataskyddsforordningen/tredjelandsoverforing/hur-vidtar-vilampliga-skyddsatgarder/ senast kontrollerad den 27 januari 2021. 8

text: - Facebook Ireland och Schrems 9 Se punkt 55 i

text: - Facebook Ireland och Schrems 10 Se punkterna 80–90 i

text: - Facebook Ireland och Schrems samt domslutet under punkt 1 och punkterna 106–121 samt domslutet under punkt 3. 11 Se punkterna 150–200 i

text: - Facebook Ireland och Schrems samt domslutet under punkt 5.

text: Ibid. 13 Se punkterna 122–149 i C-311/-18 – Facebook Ireland och Schrems samt domslutet under punkt 2 och 4. 14 Ibid.

text: SOU 2017:89 s. 444

text: . 16

text: SOU 2017:39 s. 72

text: SOU 1997: 39 s. 416 18

text: RH 2004:51

text: EG-domstolens förhandsavgörande i det svenska s.k. konfirmandlärarmålet (dom den 6 november 2003 i

text: mål C-101/01

text: ), p. 51–71. Se även

text: NJA 2005 s. 361

text: . 20

text: SOU 2004:6 s. 226

text: Se Öhman, Dataskyddsförordningen (GDPR) m.m. (29 februari 2020, Juno) kommentaren till

text: artikel 49

text: . 22 I aktuella fall Dropbox, Google Apps, Office 365 och Windows Azure, (Data inspektionens beslut dnr 256–2011, 1351–2012, 1475–2013, 358–2014 och 574–2011. 23 Datainspektionens beslut (dnr 1351–2012, dnr 358-2014 och dnr 988-2014.

text: Se även

text: artikel 4.12

text: där en personuppgiftsincident definieras och skäl 83.

text: Se punkt 13 i recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, publicerat den 10 november 2020. 26 Se fråga 11 i Frequently Asked Questions on the judgment of the Court of Justice of the European Union in

text: Case C-311/18

text: - Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems, publicerat den 24 juli 2020.

text: : Kommissionens beslut av den 26 juli 2000 enligt

text: om huruvida ett adekvat skydd säkerställs genom de principer om integritetsskydd (Safe Harbor Privacy Principles) i kombination med frågor och svar som Förenta staternas handelsministerium utfärdat 28 Magnusson Sjöberg,

text: personuppgiftslagen (1998:204)

text: 33 §

text: , Lexino den 2 juli 2017. 29 EU-domstolens avgörande den 6 oktober 2015 i

text: mål C-362/14

text: , p. 79–98 och 99–106. 30 Kommissionens genomförandebeslut

text: (EU) 2016/1250

text: av den 12 juli 2016 enligt

text: om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta staterna

text: Se punkterna 180, 183 och 197 i

text: - Facebook Ireland och Schrems. 32 Se punkterna 199–200 i

text: - Facebook Ireland och Schrems samt domslut under punkt 5. 33 Se punkt 92 i

text: - Facebook Ireland och Schrems

text: Se exempelvis klausulerna i Kommissionens beslut av den 5 februari 2010 om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredjeland i enlighet med

text: 35 Europeiska dataskyddsstyrelsen har tagit fram riktlinjer för utformning om uppföranderegler och certifieringsmekanismer.

text: Riktlinjer 2/2018

text: för undantagen i

text: artikel 49

text: enligt förordning 2016/679.

text: I

text: artikel 13

text: finns ytterligare krav på information som ska lämnas till den registrerade när uppgifterna samlas in från denne 38 Guidelines 05/2020 on consent under Regulation 2016/679, antagna den 4 maj 2020. 39 Ibid. s. 9.

text: artikel 49

text: . 41 Se fråga 8 i Frequently Asked Questions on the judgment of the Court of Justice of the European Union in

text: Case C-311/18

identifier: Kronofogdens ställningstagande 1/21/RKF

title: Kronofogdemyndighetens ställningstagande om användning av externa it-tjänster som innebär överföring eller risk för överföring av personuppgifter till tredjeland

text: I detta ställningstagande redogör Kronofogdemyndigheten (Kronofogden) för förutsättningarna för att myndigheten ska kunna använda sig av it-tjänster som levereras av externa leverantörer. Bakgrunden är bl.a. EU-domstolens avgörande om överföring av personuppgifter till tredjeland i

text: mål C-311/18

text: (Data Protection Commissioner/Maximillian Schrems och Facebook Ireland).

text: När en extern it-leverantör anlitas måste det göras åtskillnad mellan situationer när en it-leverantör för över uppgifter till tredjeland med Kronofogdens godkännande eller vetskap och de situationer när det finns en risk för att det sker en överföring av personuppgifter utan myndighetens vetskap och godkännande.

text: När det finns en risk för obehörigt röjande av personuppgifterna genom överföring till myndigheter i tredjeland pga. extraterritoriell tillämpning av utländsk lagstiftning, gäller följande.

text:  Kronofogden kan anlita it-leverantörer inom unionen över vilka utländska ägare har ett dominerande inflytande om de i avtal garanterar att de personuppgifter som behandlas genom tjänsten inte blir föremål för överföring till tredjeland. It-leverantörens garanti ska inkludera underleverantörerna.

text: Risken för obehörigt röjande av personuppgifterna genom överföring till myndigheter i tredjeland måste alltid beaktas när detta är aktuellt vid prövningen enligt dataskyddsförordningens säkerhetsbestämmelser.

text: När det sker en överföring av personuppgifter till tredjeland gäller följande.

text:  Kronofogden får inte överföra personuppgifter till USA med stöd av EUkommissionens beslut om Privacy Shield enligt artikel 45.1 i EU:s dataskyddsförordning.

text: Personuppgiftsöverföring till USA måste vila på andra rättsliga grunder.

text:  Kronofogden kan för överföring av personuppgifter till tredjeland använda sig av de av EU-kommissionen fastställda standardavtalsklausulerna. Detta förutsätter särskilda överväganden där personuppgiftsskyddet vid överföring till USA behöver kompletteras av t.ex. kontraktuella, tekniska eller organisatoriska åtgärder.

text: Kronofogdemyndighetens ställningstagande

text: Vid en sådan överföring ska de registrerade ha ett tillräckligt skydd för sina personuppgifter och även rätt till ett effektivt rättsmedel även när personuppgiftsbehandlingen i sig inte innebär ett intrång i privatlivet. Förhandssamråd bör i svårbedömda fall ske med Integritetsskyddsmyndigheten.

text:  Om en överföring till tredjeland är nödvändig för att myndigheten ska kunna fullgöra en uppgift av allmänt intresse samtidigt som det saknas stöd för överföringen i artikel 46 (t.ex. standardavtalsklausulerna) får överföringen i enskilda fall göras med stöd av artikel 49 i dataskyddsförordningen.

text: Riskerna för de registrerades fri- och rättigheter måste vid en sådan överföring alltid prövas enligt dataskyddsförordningens säkerhetsbestämmelser.

text: Beslut i detta ärende har fattats av rättschef Ulrika Lindén efter föredragning av rättsutvecklare Soheil Roshanbin. Vid den slutliga handläggningen har även enhetschef Jens Västberg deltagit.

text: Ulrika Lindén

text: Soheil Roshanbin

text: 1 Sammanfattning

text: Den 16 juli 2020 meddelade EU-domstolen (EUD) dom i

text: mål C-311/18

text: (Data Protection Commissioner/Maximillian Schrems och Facebook Ireland), i det följande Schrems II. Denna promemoria behandlar Kronofogdens användning av externa ittjänster i anledning av domen.

text: Promemorian beskriver hur Kronofogden ska agera i situationer där det a) finns en risk för att personuppgifter överförs till tredjeland utan myndighetens vetskap eller medgivande och b) där personuppgifter överförs till tredjeland av myndigheten direkt eller av dess personuppgiftsbiträden.

text: 2 Bakgrund

text: 2.1 Allmänt om överföring av personuppgifter med stöd av Privacy Shield och standardavtalsklausuler

text: I EU:s dataskyddsförordning finns det särskilda bestämmelser för hur personuppgifter får föras ut ur EU. Förenklat får detta ske när skyddet för personuppgifter är väsentligen likvärdigt med skyddet inom den europeiska unionen. Detta brukar benämnas adekvat skyddsnivå. Eftersom dataskyddsförordningen är tillämplig i Kronofogdens verksamhet har myndigheten ett ansvar för att säkerställa att överföring av personuppgifter till länder utanför EU sker i enlighet med bestämmelserna i förordningen.

text: Bedömning av vad som utgör en adekvat skyddsnivå kan i vissa fall vara svår, särskilt när det gäller utvärdering av ett annat lands rättssystem. För att förenkla informationsöverföring till s.k. tredjeland finns det därför särskilda regler i EU:s dataskyddsförordning. En av dem är EU kommissionens möjlighet att fatta ett beslut om att ett land har tillräckligt hög skyddsnivå. I förhållande till USA hade kommissionen i samarbete med de amerikanska myndigheterna tagit fram en certifieringsmekanism benämnd Privacy Shield. Kommissionen fattade ett beslut med innebörden att om ett amerikanskt företag ingick i Privacy Shield fanns det ett adekvat skydd för personuppgifterna. Därigenom kunde personuppgiftsansvariga inom

text: unionen överföra personuppgifter till de certifierade amerikanska företagen utan ytterligare skyddsåtgärder.

text: Ett annat sätt att upprätthålla adekvat skydd vid överföring till tredjeland är att den personuppgiftsansvarige ingår ett standardiserat avtal framtaget av EUkommissionen med mottagaren. Enligt dataskyddförordningen har enbart kommissionen rätt att utforma sådana standardavtalsklausuler. En personuppgiftsöverföring i enlighet med villkoren i standardavtalsklausulerna har tidigare ansetts vara en tillräcklig åtgärd för att åstadkomma en adekvat skyddsnivå.

text: 2.2 Schrems II

text: Rättsfallet behandlar frågor om överföring av personuppgifter från unionen till USA. I målet behandlades flera frågeställningar. En huvudfråga var om beslutet om Privacy Shield stod i strid med de rättssäkerhetsgarantier som finns reglerade i EU:s dataskyddsförordning och den Europeiska unionens stadga om de grundläggande rättigheterna. En annan viktig fråga var om kommissionens beslut om utformningen av standardavtalsklausuler för dataskydd för att uppnå adekvat skydd stod i strid med EU:s rättighetsstadga.

text: Grunden för att ifrågasätta lagligheten av kommissionens beslut om Privacy Shield och standardavtalsklausuler var de övervakningsprogram som de amerikanska myndigheterna använder sig av. I avgörandet behandlades också några närliggande frågor om dataskyddsförordningens tillämplighet och möjligheten för dataskyddsmyndigheterna att förbjuda överföring av personuppgifter. De sistnämnda frågorna redogörs inte närmare för här.

text: EU-domstolen slog bl.a. fast följande.

text:  Att utformningen av de amerikanska övervakningsprogrammen ledde till att skyddet för privat- och familjeliv, skyddet för personuppgifter samt rätten till effektiva rättsmedel inskränks på ett sådant sätt att skyddet för de registrerade inte blir väsentligen likvärdig vid en överföring av personuppgifter från EU till USA,

text:  att Kommissionen hade åsidosatt ovan grundläggande krav vid utformningen av Privacy Shield och att en adekvat skyddsnivå inte kunde uppnås på detta sätt,

text:  att Kommissionens utformning av standardavtalsklausuler för dataskydd fortfarande kunde användas som en åtgärd för att skapa ett adekvat skydd och

text:  att användning av standardavtalsklausulerna förutsätter att den personuppgiftsansvarige säkerställer att det finns en skyddsnivå vid överföring av personuppgifter som väsentligen är likvärdig den som finns inom EU. Det ska ske genom att den personuppgiftsansvarige vid sidan av avtalet också beaktar hur uppgifterna kommer att behandlas enligt det mottagande landets rättssystem.

text: Rättsfallet kommer att beröras mer i avsnitt 5.1.

text: 2.3 Problemformulering, syfte och avgränsningar

text: EU-domstolen har underkänt kommissionens beslut om Privacy Shield på grund av att beslutet strider mot dataskyddsförordningen tolkat i ljuset av artiklarna

text: och

text: i stadgan vilket får konsekvenser för Kronofogdens verksamhet. När det gäller uppgifter som omfattas av lagen (

text: ) om behandling av uppgifter i Kronofogdemyndighetens verksamhet, dvs. kunduppgifter, överförs uppgifterna inte utanför myndighetens egna it-miljö. Däremot använder sig Kronofogden i sin verksamhet bl.a. av sociala plattformar, rekryteringsverktyg och annat verksamhetsstöd och it-verktyg som kan komma att överföra personuppgifter till tredjeland. Antalet molntjänster ökar också över tid och myndigheten bör kunna använda sig av sådana när gällande rätt medger det.

text: Kronofogden behöver mot bakgrund av domen kunna navigera i regelverket när myndigheten använder eller överväger att anlita externa it-tjänster som antingen överför personuppgifter till tredjeland eller där det bedöms finnas en risk för överföring av personuppgifter i strid med bestämmelserna i dataskyddsförordningen på grund av extraterritoriell tillämpning av utländsk lagstiftning.

text: Promemorians huvudsakliga syfte är att närmare klarlägga hur Kronofogden får överföra uppgifter till externa leverantörer av it-tjänster och ta ställning till hur sådana överföringar får ske.

text: Denna promemoria behandlar inte frågor som föranleder direkta åtgärder med anledning av EU-domstolens avgörande, dvs. inventering, dokumentation och upphörande av eventuell personuppgiftsöverföring som förlitar sig på Privacy Shield eller standardavtalsklausuler där det finns risk för rättighetsinskränkningar för de registrerade. Dessa åtgärder hanteras i särskild ordning och sker i enlighet med Integritetsskyddsmyndigheten och Europeiska dataskyddstyrelsens rekommendationer. Promemorian behandlar inte heller frågor som omfattas av offentlighets- och

text: sekretesslagen (2009:400)

text: , frågor som ligger inom

text: brottsdatalagens (2018:1177)

text: eller

text: säkerhetsskyddslagens (2018:585)

text: område.

text: 3 Allmänna rättsliga utgångspunkter

text: 3.1 Grundläggande rättigheter

text: Var och en är gentemot det allmänna skyddad mot bl.a. avlyssning och intrång i privata meddelanden och även i övrigt mot vissa andra betydande intrång i den personliga integriteten enligt

text: 2 kap. 6 § regeringsformen

text: . Begränsningar i skyddet får endast göras genom lag. De måste motiveras av ett ändamål som är godtagbart i ett demokratiskt samhälle och får inte gå längre än vad som är nödvändigt för att uppnå syftet med begränsningen enligt

text: 2 kap.

text: och

text: 21 §§

text: regeringsformen

text: Av artikel 8 i den Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen), som gäller som lag i Sverige, följer vidare att var och en har rätt till respekt för sitt privat- och familjeliv och sin korrespondens. Begränsningar i denna rättighet får göras bl.a. för att förebygga oordning och brott. En begränsning får dock göras bara om den är nödvändig i ett demokratiskt samhälle. Det innebär att begränsningen måste motiveras av ett angeläget allmänt intresse och inte får gå utöver vad som behövs för att uppnå sitt syfte. Av

text: 2 kap. 19 § regeringsformen

text: följer att en föreskrift i lag eller annan författning inte får meddelas i strid med Sveriges åtaganden på grund av Europakonventionen.

text: Rätten till respekt för privatlivet slås även fast i

text: artikel 7 i EU:s stadga om de grundläggande rättigheterna

text: (rättighetsstadgan). Där framgår att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. I artikel 8 slås även fast att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör

text: honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. Rättighetsstadgan och Europakonventionen innehåller också i artikel 47 respektive 13 särskilda bestämmelser om rätt till ett effektivt rättsmedel vid överträdelser av de grundläggande fri- och rättigheterna.

text: I

text: artikel 52 i rättighetsstadgan

text: anges i vilken utsträckning inskränkningar får göras i de rättigheter som erkänns i stadgan. Utgångspunkten är att sådana inskränkningar endast får göras i lag och ska vara förenliga med det väsentliga innehållet i rättigheterna. Begränsningar får endast göras om de är nödvändiga och svarar mot ett allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. Skyddet innefattar bl.a. ett krav på att behandlingen av personuppgifter måste ha stöd i en legitim och lagenlig grund och att en oberoende myndighet ska utöva tillsyn över att reglerna om behandling av personuppgifter följs. Av

text: artikel 6.1 fördraget om Europeiska unionen

text: följer att EU-stadgan har samma rättsliga värde som fördragen.

text: EU-domstolen har tidigare slagit fast att de grundläggande rättigheterna måste iakttas inte bara vid tillämpningen av genomförandelagstiftning utan också så snart nationell lagstiftning omfattas av unionsrättens tillämpningsområde (EUdomstolens dom den 26 februari 2013 i

text: mål C-617/10

text: Åkerberg Fransson). Detta trots att artikel 5.1. i EU-stadgan riktar sig till medlemsstaterna endast när dessa tillämpar unionsrätten. Enligt

text: artikel 52.3 i EU-stadgan

text: ska de rättigheter i stadgan som motsvarar sådana som garanteras av Europakonventionen ha samma innebörd och räckvidd som i konventionen.

text: Vid tillämpningen av dataskyddsförordningen blir sammanfattningsvis flera rättighetskataloger aktuella för såväl skyddet för privatliv som för personuppgifter. Som nämnts förutsätter tillämpningen av dessa rättigheter också att den enskilde har en reell möjlighet att tillvarata sina intressen genom rätten till ett effektivt rättsmedel. Rättigheterna kan inskränkas i lag under vissa förutsättningar.

text: 3.2 Extraterritoriell tillämpning av utländsk lagstiftning

text: Ordet jurisdiktion används först och främst för att hänvisa till en stats maktutövning över personer och egendom inom dess eget territorium. En stats jurisdiktion kan utövas genom rätten att stifta lagar och andra regler (legislativ jurisdiktion), rätten att tillämpa lagstiftningen eller skipa rätt (judiciell jurisdiktion) och rätten att verkställa åtgärder eller förverkliga beslut som fattats inom ramen för lagstiftning och rättskipning (exekutiv jurisdiktion). När det gäller exekutiv jurisdiktion är utgångspunkten i folkrätten att det råder ett förbud för stater att vidta verkställighetsåtgärder inom andra staters territorier, t.ex. använda hemliga tvångsmedel där. Detta är ett

text: utflöde av den s.k. territorialitetsprincipen, vilken används som grund för jurisdiktion. Tanken med territorialitetsprincipen är att ingen stat ska kränka en annan stats territoriella integritet (suveränitet).

text: De senaste decenniernas digitala utveckling har förändrat eller möjligen försvårat tillämpningen av territorialitetsprincipen. Till skillnad från fysiska föremål och enskilda privatpersoner kan elektroniska uppgifter finnas tillgängliga i flera stater samtidigt genom direktåtkomst eller lagring. I praktiken innebär det att ett internationellt företag enligt hemlandets eller flera olika länders lagstiftningar kan vara skyldig att bereda myndigheterna i hemlandet tillgång till uppgifter var än företaget har sin verksamhet. Med andra ord tillämpas en lag utanför landets territorium, dvs. extraterritoriellt och kan komma i konflikt med lagarna i det land där verksamheten pågår.

text: I dataskyddsförordningen uppmärksammas problematiken med extraterritoriell tilllämpning i skäl 115. Där framgår hur överföringar som baseras på extraterritoriell tillämpningen av utländsk lagstiftning kan strida mot internationell rätt och inverkar menligt på det skydd som dataskyddsförordningen ger de registrerade. I förhållande till bestämmelserna i dataskyddsförordningen blir en överföring av personuppgifter med tillämpning av extraterritoriell lagstiftning en dold och olovlig överföring. Extraterritoriell tillämpning av utländsk lagstiftning som leder till att någon olovligen bereder sig tillgång till elektroniskt lagrade uppgifter kan i vissa fall också medföra straffansvar för dataintrång enligt

text: 4 kap. 9 c § brottsbalken

text: 3.3 EU:s dataskyddsreglering

text: (allmän dataskyddsförordning) trädde i kraft den 25 maj 2018. Den föregicks av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter som i Sverige hade implementerats genom

text: personuppgiftslagen (1998:204)

text: , härefter 1995-års dataskyddsdirektiv.

text: Enligt

text: artikel 288 andra stycket i fördraget om Europeiska unionens funktionssätt

text: ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Till skillnad från EU-direktiv ska alltså förordningar inte implementeras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar som nationella författningsbestämmelser.

text: Dataskyddsförordningen är alltså direkt tillämplig, men det finns möjlighet till kompletterande nationella bestämmelser. I Sverige finns kompletterande bestämmelser i lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: ). Det följer av

text: 1 kap. 6 § dataskyddslagen

text: att lagen är subsidiär i förhållande till annan lag eller förordning. Avvikande bestämmelser kan med andra ord finnas i bl.a. myndigheternas egna registerförfattningar och för Kronofogdemyndighetens del kompletteras dataskyddsförordningen och

text: dataskyddslagen

text: av lagen (

text: ) om behandling av uppgifter i Kronofogdemyndighetens verksamhet (

text: 1 kap.

text: 3 §§

text: KFMdbL).

text: 4 Risk för obehörigt röjande av personuppgifter genom överföring till myndigheter i tredjeland på grund av tillämpning av utländsk lagstiftning

text: 4.1 Begreppet överföring

text: Det finns ingen legaldefinition av begreppet överföring i dataskyddsförordningen. I skälen till dataskyddsförordningen används istället begrepp som flöden av information till och från länder utanför unionen, se exempelvis skäl 101. Någon legaldefinition till begreppet överföring fanns inte heller i 1995 års dataskyddsdirektiv som i Sverige genomfördes i

text: personuppgiftslagen (1998:204)

text: , härefter PuL. 1995-års dataskyddsdirektiv har upphävts och ersatts av dataskyddsförordningen men varken i skälen eller i bestämmelserna i sig finns det något som tyder på att begreppet överföring har fått någon annan materiell innebörd än vad som har gällt tidigare. Mot den bakgrunden får tidigare praxis och förarbeten fortfarande anses vara relevant.

text: I förarbetena till PuL skrevs följande om begreppet. ”Begreppet överföring – och det motsvarande uttrycket föra över – har enligt vår mening en EG-gemensam innebörd. Det verkar innebära att personuppgifter som i någon mening finns i Sverige eller i någon annan medlemsstat lämnas ut på ett sådant sätt att uppgifterna efter utlämnandet kan sägas finnas (också) i tredjeland. Att någon ges möjlighet att från tredjeland komma åt personuppgifter som finns i Sverige eller i någon annan medlemsstat via telekommunikation eller datanätverk är förmodligen ett exempel på överföring av uppgifterna till tredjeland.”. Det skulle i sådant fall innebära att användning av it-tjänster utomlands där någon tillhandahåller support- eller utvecklingstjänster som förutsätter att leverantören får tillgång till uppgifter innebär en överföring.

text: Begreppet överföring berördes i EG-domstolens förhandsavgörande i det svenska konfirmandlärarmålet (dom den 6 november 2003 i

text: mål C-101/01

text: ). Domstolen

text: konstaterade i målet att publicering av uppgifter som en privatperson lägger ut på en webbserver inom EU inte omfattas av begreppet överföring till tredjeland. Detta även om uppgifterna är åtkomliga från hela världen. Målet kretsade i huvudsak kring frågan om överföring genom publicering. Andra typer av överföring omfattades inte av domstolens prövning. Rättsfallet föranledde efter en översyn inga förslag till förändringar i

text: personuppgiftslagen

text: 4.2 Om överföring av uppgifter till tredjeland

text: Överföring av personuppgifter till länder utanför EU regleras i kapitel 5, artiklarna 44–50 i EU:s dataskyddsförordning.

text: Utgångspunkten enligt

text: artikel 44

text: är att personuppgifter inte får föras ut ur unionen. Sådan överföring får dock ske under de förutsättningar som anges i artiklarna

text: och

text: . Av skäl 101 framgår att det är viktigt att den skyddsnivå som fysiska personer säkerställs inom unionen genom dataskyddsförordningen inte undergrävs när personuppgifter överförs från unionen till tredjeland.

text: Enligt

text: artikel 45

text: har kommissionen möjlighet att göra bedömning om länder utanför EU har en adekvat skyddsnivå dit personuppgifter kan överföras. I avsaknad av beslut från kommissionen kan överföring ändå ske om överföringen kompletteras med lämpliga skyddsnivåer enligt

text: artikel 46

text: . Inom den privata sektorn finns det en möjlighet att baserat på bindande företagsbestämmelser få överföra personuppgifter till tredjeland med tillsynsmyndighetens godkännande enligt

text: artikel 47

text: . Avslutningsvis kan personuppgifter trots avsaknaden av lämpliga skyddsåtgärder föras ut ur EU vid vissa undantagssituationer som framgår av

text: artikel 49

text: , exempelvis för att överföringen är nödvändig för viktiga skäl som rör allmänintresset eller med stöd av samtycke från den registrerade.

text: Artikel 48

text: reglerar situationen när domstolar och myndigheter i tredjeland begär tillgång till personuppgifter.

text: För att en behandling i form av överföring av personuppgifter till tredjeland eller en internationell organisation ska få genomföras måste även övriga bestämmelser i dataskyddsförordningen beaktas. Exempelvis måste det finnas en rättslig grund för överföringen

text: artikel 6.1

text: . Också de grundläggande principerna för behandling av personuppgifter i

text: artikel 5.1

text: måste vara uppfyllda. Innefattar överföringen känsliga personuppgifter, måste bestämmelserna i

text: artikel 9

text: följas. Innefattar överföringen

text: sådana personuppgifter om lagöverträdelser som avses i

text: artikel 10

text: , måste även bestämmelserna i den artikeln följas. Innefattar behandlingen person- eller samordningsnummer krävs det också att särskilda förutsättningar är uppfyllda (artikel

text: och

text: kap.

text: 10 § dataskyddslagen

text: ). I promemorians kontext blir det särskilt viktigt vilka krav som kan ställas på personuppgiftsbiträden enligt

text: artikel 28

text: och säkerhetsbestämmelserna enligt

text: artikel 32

text: 4.3 Krav på ett personuppgiftsbiträde

text: Enligt

text: artikel 28.1

text: får den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra behandlingen på ett sådant sätt att behandlingen av personuppgifter inte står i strid med dataskyddsförordningen. Detta ska ske med lämpliga tekniska och organisatoriska åtgärder. I skäl 81 förtydligas att garantierna ska ges i fråga om sakkunskap, tillförlitlighet och resurser men också uppgifter om hur personuppgiftsbiträdet kommer att behandla personuppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna har hos personuppgiftsbiträdet.

text: Enligt artikel

text: och

text: ska personuppgiftsbiträdets skyldigheter regleras i ett skriftligt avtal. Enligt 28.3 första stycket ska avtalet sätta ramen för personuppgiftsbiträdets behandling, förenklat uttryckt vad personuppgiftsbiträdet får göra å den personuppgiftsansvariges vägnar. Avtalet ska också reglera den personuppgiftsansvariges skyldigheter och rättigheter.

text: Enligt 28.3 andra stycket regleras vissa särskilda skyldigheter för personuppgiftsbiträdet i punkterna a-h. Av särskilt intresse är punkt a där personuppgiftsbiträdet enbart får behandla personuppgifter enligt instruktioner från den personuppgiftsansvarige. Undantaget från punkt a är om det krävs en särskild personuppgiftsbehandling enligt unionsrätten eller nationell lagstiftning. I tidigare granskningsärenden anmärkte Integritetsskyddsmyndigheten på brister i personuppgiftsbiträdesavtal som hade tillhandahållits av olika molntjänsteleverantörer. I dessa fall var utrymmet för it-leverantören alltför vid att behandla personuppgifterna för egna ändamål och avtalen saknade reglering när tjänsteleverantören skulle ha raderat personuppgifterna. En annan skyldighet som bör uppmärksammas är punkten 28.3 h där personuppgiftsbiträdet har en skyldighet att ge den personuppgiftsansvarige tillgång till all information som krävs för att visa att biträdet uppfyller sina skyldigheter enligt

text: artikel 28

text: , inklusive externa revisioner på personuppgiftsansvariges instruktion.

text: Liksom den personuppgiftsansvarige är personuppgiftsbiträden skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken enligt artikel 32 i dataskyddsförordningen. Vid en olovlig personuppgiftsbehandling kan personuppgiftsbiträdet bli skadeståndsskyldig gentemot de enskilda enligt artikel 82 i dataskyddsförordningen och

text: 7 kap. 1 § dataskyddslagen

text: . Ett personuppgiftsbiträde kan också bli föremål för sanktionsavgift enligt artikel 83 i dataskyddsförordningen och

text: 6 kap.

text: 3 §§

text: dataskyddslagen

text: . Som tidigare nämnts kan också agerandet medföra straffansvar.

text: Enligt artikel 28.10 i dataskyddsförordningen ska ett personuppgiftsbiträde anses vara personuppgiftsansvarig för behandlingen om den överträder dataskyddsförordningens fastställda ändamål och medel för behandlingen. Skadeståndsansvaret mot uppdragsgivaren och skyldigheten att betala sanktionsavgift m.m. kvarstår likafullt som ett biträde. Det betyder exempelvis att om ett personuppgiftsbiträde olovligen överför personuppgifter till tredjeland är det biträdet som är ansvarigt för agerandet direkt i förhållande till de registrerade.

text: 4.4 Dataskyddssäkerhet enligt EU:s dataskyddsreglering

text: Enligt artikel 32 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.

text: Åtgärderna ska vidtas med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

text: I artikeln ges följande exempel på lämpliga åtgärder.

text: a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust

text: eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Till skillnad från begreppet överföring finns det i dataskyddsförordningen tydligare uttalanden om vad som faller inom begreppet säkerhet. Som framgår av nämnda artikel omfattas exempelvis obehörig överföring eller åtkomst till personuppgifter av säkerhetsbestämmelserna.

text: Problematiken med extraterritoriell tillämpning av utländsk lagstiftning kan i vissa fall ge den personuppgiftsansvarige skäl att anta att en viss behandling sannolikt leder till en hög risk för de registrerades rättigheter. Så kan vara fallet om någon utan tillstånd olovligen överför uppgifter till tredjeland. Under sådana förhållanden ska en konsekvensbedömning göras enligt

text: artikel 35

text: . Om konsekvensbedömningen visar att behandlingen skulle leda till en hög risk ska förhandssamråd ske med Integritetsskyddsmyndigheten enligt

text: artikel 36

text: 4.5 Kronofogdemyndighetens övervägande om risker för obehörigt röjande

text: Kronofogdens bedömning: Kronofogden kan anlita it-leverantörer inom unionen över vilka utländska ägare har ett dominerande inflytande om de i avtal garanterar att de personuppgifter som behandlas genom tjänsten inte blir föremål för överföring till tredjeland. It-leverantörens garanti ska inkludera underleverantörerna.

text: Skäl för bedömningen: Som redan nämnts har EU-domstolen i Schrems II fastställt att utformning av de amerikanska övervakningsprogrammen innebär att skyddet för privat- och familjeliv, skyddet för personuppgifter samt de enskildas rätt till effektiva rättsmedel inskränks vid en överföring av personuppgifter från unionen till USA om inte den personuppgiftsansvarige vidtar lämpliga skyddsåtgärder.

text: EU-domstolens avgörande tar således sikte på behandling av personuppgifter genom överföring till tredjeland. Domstolen har däremot inte uttalat sig om risker för överföring av uppgifter enligt säkerhetsbestämmelserna i dataskyddsförordningen. Även det förslag på rekommendationer som den Europeiska dataskyddstyrelsen har remitterat, som utgår från EU-domstolens dom, handlar om personuppgifter som

text: överförs till tredjeland. I rekommendationerna framgår att externa it-tjänster kan användas om leverantören garanterar att personuppgifterna inte förs till tredjeland. Vid analysen är det därför nödvändigt att göra en åtskillnad mellan risken för överföring och en faktisk överföring. Om uppgifter faktiskt inte har överförts men det föreligger en risk för överföring av uppgifter på grund av tillämpning av extraterritoriella lagar finns det andra regler i dataskyddsförordningen som får tilllämpas.

text: Inledningsvis ställer dataskyddsförordningen krav på Kronofogdens val av personuppgiftsbiträde. Myndigheten måste försäkra sig om att biträdet har förmåga att leva upp till dataskyddsförordningens regelverk innan ett sådant biträde anlitas och vid behov följa upp biträdets åtaganden. Kronofogden har också ett ansvar för att tydligt reglera avtalsvillkoren för vad en leverantör får göra med uppgifterna. Detta är i synnerhet viktigt om Kronofogden inte har insyn eller har svårigheter att få insyn i tjänsteleverantörens it-miljö och personuppgiftsbehandling. I detta sammanhang kan nämnas att Europeiska dataskyddsstyrelsen för ett liknande resonemang kring frågan om hur den personuppgiftsansvarige ska agera i en situation där ett biträde kan överföra uppgifter till tredjeland. Dataskyddstyrelsen anger bl.a. att avtalet med personuppgiftsbiträdet måste reglera frågan om överföring till tredjeland för såväl biträdet som eventuella underbiträden.

text: Kronofogden är ansvarig för den personuppgiftsbehandling som biträdet utför. Om en it-leverantör som Kronofogden har anlitat, dolt eller olovligen, överför personuppgifter till tredjeland är det leverantören som är ansvarig för överföringen med risk för skadeståndsskyldighet och sanktionsavgifter. I vissa situationer kan till och med ett sådant agerande omfattas av straffansvar för dataintrång beroende på om biträdet olovligen bereder sig ytterligare tillgång till uppgifter än vad som följer av parternas överenskommelser.

text: Det är mot bakgrund av vad som är känt om andra länders tillämpning extraterritoriell jurisdiktion, inte minst genom vad som har kommit fram i Schrems II, problematiskt att enbart nöja sig med de besked som lämnas från en avtalspart även med beaktande av möjligheten att beivra överträdelser av ett personuppgiftsbiträde. De påföljder som ett personuppgiftsbiträde riskerar genom en olovlig personuppgiftsöverföring utgör i och för sig ett skydd för de registrerade men Kronofogden måste även ta ett eget ansvar för de risker som är förenade med att anlita en extern it-leverantör. Den bedömningen ska ske med utgångspunkt från bestämmelserna om säkerhet enligt

text: artikel 32

text: När en riskbedömning görs finns det ett utrymme för att bedöma vilka skador en olovlig personuppgiftsbehandling kan medföra. Det innebär att även om en uppgift inte avsiktligen hade fått överföras till tredje land finns ett visst utrymme att acceptera risken för en sådan överföring. Så kan exempelvis vara fallet med en uppgift som inte är integritetskänslig eller som i övrigt inte medför men eller skada. Sådana uppgifter kan exempelvis vara offentliga och lättillgängliga uppgifter, inte sällan publicerade på myndighetens egen hemsida, årsredovisningar, rapporter eller dylikt. Typiskt sett kan den som vill ta del av sådana uppgifter, även om det skulle handla om en utländsk myndighet, lättare inhämta dem själv än att i strid med svensk och europeisk lagstiftning förelägga ett bolag under annan jurisdiktion att överföra uppgifterna dolt. I sådana situationer finns med andra ord ingen reell risk för skada. Säkerhetsbestämmelserna ger också ett visst utrymme för att väga behovet av behandlingen mot risken med den.

text: För att illustrera resonemanget ges följande exempel. En myndighet vill använda sig av ett planeringsverktyg som tillhandahålls genom en extern it-tjänst i ett svenskt eller europeiskt bolag. De personuppgifter som förs över till verktyget handlar i huvudsak om namnet på medarbetare eller liknande personuppgifter som inte är känsliga ur integritetsperspektiv. Det anlitade bolaget som tillhandahåller verktyget använder sig i sin tur av en servertjänst som tillhandahålls av ett utländskt bolag med servrar i Europa. Tjänsteleverantören åtar sig enligt avtalsvillkoren att överföring av personuppgifter inte ska ske till tredjeland. Den personuppgiftsansvarige ska då bedöma risken för att personuppgifter ändå förs över till tredjeland och vilken skada som detta skulle kunna förorsaka avseende de registrerades fri och rättigheter. Tjänsten får endast användas om man utifrån detta kan bedöma säkerhetsnivån som lämplig. Om uppgifterna trots alla säkerhetsåtgärder som vidtagits olovligen förs över till tredjeland kan den registrerade inte anses lida någon större skada än om uppgifterna hade hämtats från myndigheten med stöd av offentlighetsprincipen. Om ett olovligt röjande skulle ske är tjänsteleverantören skadeståndsskyldighet gentemot de registrerade och Kronofogden. Tjänsteleverantören skulle härutöver bli skyldig att betala sanktionsavgifter och riskerar straffansvar.

text: 5 Överföringar av personuppgifter till tredjeland baserat på bestämmelsen om adekvat skyddsnivå

text: 5.1 Privacy Shield

text: Enligt

text: artikel 45.1

text: får kommissionen fatta beslut om att ett land säkerställer en adekvat skyddsnivå för de registrerade. Ett sådant beslut bryter förbudet mot överföring till tredjeland enligt

text: artikel 44

text: . Bedömningen ska göras efter de omständigheter som anges i

text: artikel 45.2

text: . I huvudsak handlar bedömningen om huruvida de registrerade

text: har ett motsvarande skydd för uppgiftsbehandlingen som om uppgifterna hade varit kvar inom unionen.

text: Begreppet adekvat skyddsnivå fanns som begrepp även i 1995-års dataskyddsdirektiv och hade sin motsvarighet i 33 § PuL, där det gick framgick att det var förbjudet att till tredjeland föra över personuppgifter som är under behandling om landet inte hade en adekvat nivå för skyddet av personuppgifterna. Enligt artikel 25.6 i 1995 års dataskyddsdirektiv kunde kommissionen bedöma huruvida ett land genom bl.a. sin interna lagstiftning erbjöd de registrerade en adekvat skyddsnivå.

text: I beslut den 26 juli 2000 meddelade kommissionen att ett adekvatskydd kunde säkerställas genom de principer om integritetsskydd som framgick av beslutet om Safe Habor Privacy Principles. Bakgrunden var att organisationer i USA enligt principen om en ”Safe Harbor” på frivillig väg kunde ansluta sig till en uppsättning dataskyddsregler som det amerikanska handelsdepartementet utformat. De ansluta företagen listades då på det amerikanska handelsdepartementets webbplats. EUdomstolen underkände dock Safe Harbor-systemet som ett sätt att nå upp till unionens krav på en adekvat skyddsnivå vid tredjelandsöverföringar (

text: mål C-362/14

text: ”Schrems”). EU-domstolen konstaterade att kommissionens beslut stod i strid med grundläggande rättigheter i rättighetsstadgan, men riktade också kritik mot kommissionen som vid utformningen av beslutet hade inskränkt de nationella dataskyddsmyndigheternas prövning. Beslutet förklarades därför vara ogiltigt.

text: EU-kommissionen fattade ett nytt beslut den 12 juli 2016 med stöd av artikel 25.6 i 1995 års dataskyddsdirektiv. Beslutet fick namnet Privacy Shield och byggde i grunden på samma självcertifieringsmekanismer som Safe Harbor, men innehöll ytterligare skydd för de registrerade för att tillgodose EU-domstolens krav, bl.a. en ombudsmansmekanism.

text: Privacy Shield var giltig med stöd av artikel 45.6 i dataskyddförordningen även efter förordningens ikraftträdande, men upphävdes den 16 juli 2020 av EU-domstolen i målet Schrems II. I huvudsak ansåg EU-domstolen på samma sätt som i tidigare mål att utformningen av de amerikanska övervakningsprogrammen innebar en inskränkning i de grundläggande rättigheterna enligt artikel

text: , och 47

text: i stadgan för de registrerade. Detta kom till uttryck i domen genom att domstolen bl.a. konstaterade att övervakningsprogrammen var alltför vida och obegränsade sett till sin utformning. De registrerade hade inte några lagstadgade rättigheter i förhållande till de amerikanska myndigheter och vissa delar av övervakningsprogrammen grundade sig på beslut som inte var föremål för domstolskontroll.

text: Ytterligare en grund för domstolens bedömning var att avsaknaden av lagstadgade rättigheter innebar att de registrerade inte kunde vända sig till domstol för att begära en rättslig prövning av en rättighetsinskränkning. Visserligen innehöll Privacy Shield som nämnts en ombudsmannamekanism, men EU-domstolen ansåg att ett sådant institut inte var likvärdig en opartisk domstol bl.a. mot bakgrund av att ombudsmannen var en del av det amerikanska utrikesdepartementet. Därigenom var inte beslutet om Privacy Shield förenligt med artikel 45.1 i dataskyddförordningen och ogiltigförklarades av EU-domstolen.

text: EU-domstolens bedömning av de amerikanska övervakningsprogrammen får även bäring på andra metoder för överföring än just mekanismen i

text: artikel 45.1

text: . Domstolen konstaterade nämligen att bedömningen av skyddsnivå måste säkerställas oberoende av vilken bestämmelse i dataskyddsförordningen som ligger till grund för en överföring av personuppgifter till ett tredjeland.

text: 5.2 Kronofogdens överväganden kring adekvat skyddsnivå i anledning av EU-domstolens avgörande om Privacy Shield

text: Kronofogdens bedömning: Kronofogden får inte överföra personuppgifter till USA med stöd av EU-kommissionens beslut om Privacy Shield enligt artikel 45.1 i EU:s dataskyddsförordning.

text: Skäl för bedömningen: Kommissionens beslut om Privacy Shield upphävdes den 16 juli 2020 vilket innebär att överföring av personuppgifter till USA inte längre kan stödja sig på detta beslut. EU-domstolen uttrycker tydlig att det föreligger en omedelbar konflikt mellan utformningen av de amerikanska övervakningsprogrammen och EU:s rättighetsstadga.

text: I praktiken innebär domstolens avgörande stora begränsningar i möjligheterna att överföra personuppgifter till USA, även när överföringen sker med andra rättsliga grunder än Privacy Shield. Domen bör dock inte tolkas som ett absolut hinder för

text: all personuppgiftsöverföring till USA. Det finns skäl att påminna sig om att problematiken med extraterritoriell tillämpning av utländsk lagstiftning inom unionens område var något som var känt redan vid dataskyddsförordningens tillkomst. Som framgår av skäl 115 innehåller unionsrätten överväganden kring vilka situationer som personuppgifter får överföras till tredjeland trots att överföringen innebär ett sämre skydd för de registrerade. Till detta kommer också att det finns andra skyddsmekanismer i regelverket för att personuppgifter olovligen inte ska föras ut ur den europeiska unionen.

text: Följden av att EU-domstolen har upphävt Privacy Shield blir att Kronofogden får grunda överföring av personuppgifter till USA på andra regler i den hierarki av bestämmelser som gäller vid överföring av personuppgifter till tredjeland enligt dataskyddsförordningen.

text: 6 Överföring av personuppgifter till tredjeland på grundval av lämpliga skyddsåtgärder

text: 6.1 Överföringar som omfattas av lämpliga skyddsåtgärder

text: Enligt artikel 46 i dataskyddsförordningen kan personuppgifter överföras till tredjeland utan ett beslut från kommissionen om adekvat skyddsnivå om det istället har vidtagits lämpliga skyddsåtgärder.

text: Enligt

text: artikel 46.2

text: , punkterna a–f, kan skyddsåtgärderna ta formen av a) ett rättsligt bindande och verkställbart instrument mellan offentliga myndigheter eller organ, b) bindande företagsbestämmelser i enlighet med

text: artikel 47

text: , c) standardiserade dataskyddsbestämmelser som antas av kommissionen i enlighet med det granskningsförfarande som avses i

text: artikel 93.2

text: , d) standardiserade dataskyddsbestämmelser som antagits av en tillsynsmyndighet och godkänts av kommissionen i enlighet med det granskningsförfarande som avses i

text: artikel 93.2

text: , e) en godkänd uppförandekod enlig

text: artikel 40

text: tillsammans med rättsligt bindande och verkställbara åtaganden för den personuppgiftsansvarige eller personuppgiftsbiträdet i tredjelandet att tillämpa lämpliga skyddsåtgärder, även när det gäller registrerades rättigheter, eller f) en godkänd certifieringsmekanism enlig

text: artikel 42

text: tillsammans med rättsligt bindande och verkställbara åtaganden för den personuppgiftsansvarige, personuppgiftsbiträdet i tredjelandet att tillämpa lämpliga skyddsåtgärder, även när det gäller de registrerades rättigheter.

text: Punkt a syftar till internationella avtal mellan en eller flera myndigheter inom EU och en eller flera myndigheter utanför unionen och punkt b handlar om överföring

text: av personuppgifter inom en internationell koncern. Punkt c och d handlar om standardiserade dataskyddsbestämmelser, dvs. avtalsklausuler, som antagits av kommissionen eller av en tillsynsmyndighet med kommissionens godkännande. Dataskyddsklausulerna är formulerade som bindande villkor för avtalsparterna med skyldigheter kring information, rätt för tredje part ( dvs. de registrerade) att åberopa villkoren, skadestånd, förbud kring ändring av villkor m.m. Syftet är att avtalsrättsligt reglera dataskyddet för de registrerade. Punkt e och f handlar om att skapa skyddsåtgärder genom uppförandekoder eller certifieringar, typiskt sett branschspecifika dataskyddsregler som tas fram av branschorganisationer enligt artikel 40–42 i dataskyddsförordningen. I denna kontext måste uppförandekoder eller certifieringsmekanismerna eller uppförandekoderna också vara rättsligt bindande och verkställbara för mottagaren av uppgifterna i tredjeland.

text: 6.2 Särskilt om standardavtalsklausulerna enligt 46.2 c

text: Punkt c var föremål för EU-domstolens prövning i Schrems II, dvs. frågan om giltigheten av kommissionens beslut om standardavtalsklausulernas och dess tillämpning. I denna kontext handlar skyddsåtgärden som nämnts om att den personuppgiftsansvarige ingår ett avtal med mottagaren av informationen utanför unionen. Avtalet ska då innehålla de standardiserade dataskyddsbestämmelser som antagits av kommissionen. Tidigare kommissionsbeslut enligt 1995 års dataskyddsdirektiv är fortsatt giltiga enligt 46.5.

text: De gällande standardklausulerna är följande, varav den sista handlar om överföring av personuppgifter till personuppgiftsbiträden i länder utanför EU/EES.

text: : Kommissionens beslut av den 15 juni 2001 om standardavtalsklausuler för överföring av personuppgifter till tredjeland enligt direktiv

text: : Kommissionens beslut av den 27 december 2004 om ändring av beslut

text: om standardavtalsklausuler för överföring av personuppgifter till tredjeland  2010/87/: Kommissionens beslut av den 5 februari 2010 om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredjeland i enlighet med

text: Avtalen får enligt skäl 109 även behandla andra frågor under förutsättningen att övriga avtalsvillkor inte står i strid med standardavtalsklausulerna.

text: EU-domstolen konstaterade i Schrems II, p. 105, att artikel

text: och

text: 46.2 c

text: dataskyddsförordningen inte får tillämpas på ett sådant sätt de registrerades lagstadgade rättigheter och rätten till effektiva rättsmedel undergrävs. Den personuppgiftsansvarige kan därför inte enbart nöja sig med att konstatera att skyddsnivån som skapas genom att standardavtalsklausulerna tas in i ett avtal är tillräckligt god utan måste också bedöma hur uppgifterna kommer att hanteras enligt det mottagande landets rättssystem och den åtkomst som myndigheterna i det tredjelandet får åtkomst till.

text: Samtidigt uttalade domstolen (p.132–137) att det inte finns några hinder för den personuppgiftsansvarige att vidta kompensatoriska åtgärder i kombination med standardavtalsklausulerna, beroende på den situation som finns i det tredjelandet, för att säkerställa att skyddsnivån iakttas. Det är först när det inte finns en reell möjlighet att upprätthålla rättigheterna enligt artiklarna

text: och

text: i stadgan som personuppgiftsöverföringen måste upphöra. Domstolen konstaterade i övrigt, (p. 138–148), att de befintliga standardavtalsklausulerna innehåller effektiva mekanismer som gör det möjligt att säkerställa att överföring av personuppgifter till tredjeland avbryts eller förbjuds om mottagaren inte iakttar eller inte kan iaktta klausulernas innehåll.

text: Sammantaget stod inte kommissionens beslut om standardavtalsklausuler enligt 46.2 c i strid med de grundläggande rättigheterna och därmed kan de användas som ett medel för överföring av personuppgifter till tredjeland under den förutsättningen att det skydd som erbjuds genom klausulerna är reella.

text: I kölvattnet av Schrems II har den Europeiska dataskyddstyrelsen tagit fram två stöddokument för att underlätta för den personuppgiftsansvariga att vidta lämpliga skyddsåtgärder vid överföring av uppgifter till tredjeland.

text: Den ena, ”Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data”, ger vägledning och metodstöd för tillämpning av

text: artikel 46.2 c

text: med bl.a. rekommendationer kring vad som ska bedömas och vilka förstärkande åtgärder som den personuppgiftsansvarige kan vidta för att nå upp till rätt skyddsnivå för de registrerade. Som exempel kan nämnas tekniska åtgärder såsom kryptering, pseudonymisering eller fragmentisering av uppgifterna för att förhindra olovlig åtkomst. Ytterligare rekommendationer som bör uppmärksammas är hur skyddsåtgärder kan utformas som avtalsenliga villkor för mottagaren kring öppenhet om hur informationen behandlas i mottagarens land och avtalsvillkor kring skyldighet för mottagaren att vidta rättsliga åtgärder för att förhindra eller begränsa att informationen överlämnas till det mottagande landets myndigheter m.m.

text: Det andra dokumentet, ”Recommendations 02/2020 on the European Essential Guarantees for surveillance measures” syftar till att ge vägledning kring vilka bedömningskriterier som den personuppgiftsansvarige ska utgå ifrån vid bedömning av om övervakningsprogram i tredjeland står i konflikt med dataskyddsregleringen och grundläggande rättigheter.

text: 6.3 Kronofogdemyndighetens överväganden kring överföring med stöd av lämpliga skyddsåtgärder

text: Kronofogdens bedömning: Kronofogden kan för överföring av personuppgifter till tredjeland använda sig av de av EU-kommissionen fastställda standardavtalsklausulerna. Detta förutsätter särskilda överväganden där personuppgiftsskyddet vid överföring till USA behöver kompletteras av genom t.ex. kontraktuella, tekniska eller organisatoriska åtgärder.

text: Skäl för bedömningen: Om Kronofogden har ett behov av överföring av personuppgifter till tredjeland där det som i fallet med USA inte finns ett beslut från kommissionen om att landet har adekvat skyddsnivå kvarstår möjligheten för Kronofogden att ingå ett eget dataskyddsavtal med mottagaren genom tillämpningen av standardavtalsklausulerna.

text: Mot bakgrund av vad som har redogjorts i föregående avsnitt är tröskeln för att kunna utforma lämpliga skyddsåtgärder så hög att det främst kan bli aktuellt att överföra uppgifter med stöd av standardavtalsklausuler i situationer när det är uppgifter som utifrån ett integritetsperspektiv framstår som okänsliga. En bedömning av uppgiftens karaktär är dock inte tillräcklig. Som framgår av EU-domstolens avgörande måste de registrerade åtnjuta ett tillräckligt skydd för sina personuppgifter och ha en rätt till ett effektivt rättsmedel även när personuppgiftsbehandlingen i sig inte innebär ett intrång i privatlivet. Det ligger i sakens natur att det bör finnas större utrymme för att kunna åstadkomma ett tillräckligt skydd för de registrerade genom lämpliga skyddsåtgärder när uppgifterna i sig inte är känsliga.

text: Enligt Europeiska dataskyddsstyrelsens rekommendationer om ytterligare åtgärder för hur ett tillräckligt skydd för personuppgifter kan upprätthållas behöver den personuppgiftsansvarige bedöma vad det är för typ av uppgifter som behandlas genom överföringen, vilka risker som är förknippade med överföring och vilka tekniska, avtalsenlig och organisatoriska förstärkningsåtgärder som kan vidtas för att nå upp till en tillräcklig skyddsnivå för de registrerade. En sådan bedömning måste också

text: göras från fall till fall och med utgångspunkt från vilken typ av information som överförs.

text: Med hänsyn till vad som framkommit om utformningen av de amerikanska övervakningsprogrammen är användning av standardavtalsklausuler förenat med svårigheter och risker. Det finns anledning att tro att Kronofogden vid ett övervägande om att använda sig standardavtalsklausuler inte sällan kommer att ha behov att begära förhandssamråd med Integritetskyddsmyndigheten

text: 7 Överföring av personuppgifter till tredjeland med stöd av tillämpliga undantagsregler

text: 7.1 Undantag i vissa särskilda situationer

text: Enligt

text: artikel 49.1

text: får överföring av personuppgifter till tredjeland ske trots avsaknad av ett beslut om adekvat skyddsnivå enligt

text: artikel 45.3

text: eller lämpliga skyddsåtgärder enligt

text: artikel 46

text: men under följande villkor.

text: a) Den registrerade har uttryckligen samtyckt till att uppgifterna får överföras, efter att först ha blivit informerad om de eventuella riskerna med sådana överföringar för den registrerade när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder.

text: b) Överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige eller för att genomföra åtgärder som föregår ett sådant avtal på den registrerades begäran.

text: c) Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den personuppgiftsansvarige och en annan fysisk eller juridisk person i den registrerades intresse.

text: d) Överföringen är nödvändig av viktiga skäl som rör allmänintresset.

text: e) Överföringen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk.

text: f) Överföringen är nödvändig för att skydda den registrerades eller andra personers grundläggande intressen, när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke.

text: g) Överföringen görs från ett register som enligt unionsrätten eller medlemsstaternas nationella rätt är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett

text: berättigat intresse, men endast i den utsträckning som de i unionsrätten eller i medlemsstaternas nationella rätt angivna villkoren för tillgänglighet uppfylls i det enskilda fallet.

text: Enligt 49.1 andra punkten finns ytterligare en ventil för överföring när övriga undantag inte är tillämpliga. Bestämmelsen förutsätter en intresseavvägning och tar sikte på enstaka, nödvändiga överföringar för ett berättigat ändamål. De registrerade och tillsynsmyndigheten ska då underrättas om överföringen.

text: Samtycke och avtal, det vill säga punkterna a-c i punkt får inte omfatta åtgärder som vidtas av offentliga myndigheter som ett led i utövandet av deras offentliga befogenheter. När det gäller punkt d i första stycket framgår det av

text: artikel 49

text: att det ska vara ett erkänt intresse i unionsrätten eller i den nationella rätten som den personuppgiftsansvarige omfattas av.

text: Europeiska dataskyddsstyrelsen har gett ut riktlinjer om tillämpningen av

text: artikel 49

text: 7.2 Särskilt om undantag med den registrerades samtycke

text: Som nämnts får en överföring av personuppgifter till ett tredjeland ske om den registrerade uttryckligen har samtyckt till att personuppgifterna får överföras enligt punkt a, dvs. att samtycket ska specifikt avse överföringen. En förutsättning är att den registrerade ska ha informerats om riskerna med överföringen när det inte finns något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder.

text: Begreppet samtycke definieras i

text: artikel 4.11

text: som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.

text: Vad som avses med frivillig utvecklas i dataskyddsförordningens skäl 43. Där anges bl.a. att samtycke inte bör utgöra en giltig rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar.

text: I skäl 42 anges att samtycke inte bör betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller

text: ta tillbaka sitt samtycke. Av skäl 42 framgår också att ett informerat samtycket förutsätter att den registrerade ska känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda.

text: Hur ett samtycke bör lämnas för att den registrerade ska anses ha godtagit behandlingen behandlas i dataskyddsförordningens skäl 32. Samtycke bör lämnas genom en entydig bekräftande handling som innebär ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerades sida om att denne godkänner behandling av personuppgifter rörande honom eller henne, som t.ex. genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Dataskyddsförordningens bestämmelser medger att ett samtycke lämnas genom faktiskt handlande.

text: Närmare villkor för samtycket anges i art. 7 dataskyddsförordningen. Där anges bl.a. att om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter (1 p.). Vidare anges att de registrerade ska ha rätt att när som helst återkalla sitt samtycke. Återkallandet av samtycket ska inte påverka lagligheten av behandling som grundar sig på samtycke, innan detta återkallas. Innan samtycke lämnas ska den registrerade informeras om detta. Det ska vara lika lätt att återkalla som att ge sitt samtycke (3 p.).

text: Europeiska dataskyddsstyrelsen har gett ut riktlinjer om samtycke enligt dataskyddsförordningen. I riktlinjerna tas särskilt upp problematiken kring samtycke inom anställning bl.a. mot bakgrund av den maktobalans som finns mellan arbetsgivare och arbetstagare. Enligt riktlinjerna är det emellertid inte uteslutet med samtycke som en laglig grund för behandling av personuppgifter men det är endast tillåtet under förutsättning att inga negativa konsekvenser kommer att uppstå oavsett om den anställde ger sitt samtycke eller inte.

text: 7.3 Särskilt om viktiga skäl som rör allmänintresse

text: Enligt punkt 49.1 d får en överföring av personuppgifter till ett tredjeland ske om överföringen är nödvändig av viktiga skäl som rör allmänintresset. Av 49.4 framgår att allmänintresset ska vara erkänt i unionsrätten eller i den nationella rätten.

text: Vad begreppet allmänt intresse betyder kan härledas till skäl 112. Där anges som exempel internationella utbyten av uppgifter mellan konkurrensmyndigheter,

text: skatte- eller tullmyndigheter, finanstillsynsmyndigheter, socialförsäkringsmyndigheter eller hälsovårdsmyndigheter, till exempel vid kontaktspårning för smittsamma sjukdomar eller för att minska och/eller undanröja dopning inom idrott. Begreppet allmänt intresse enligt

text: artikel 49.1

text: är densamma som

text: artikel 6.1

text: .e och ska ha stöd i nationella författningar enligt

text: artikel 6.3

text: En viktig aspekt av tillämpningen av

text: artikel 49

text: är nödvändighetsprövningen, dvs. att det måste finnas ett verkligt skäl till varför uppgifterna behöver överföras och hur det förhåller sig till ändamålet. Ytterligare en aspekt som aktualiserats till följd av Schrems II handlar om hur frekvent eller återkommande undantagsreglerna enligt

text: artikel 49

text: kan och får tillämpas. Av skäl 111 framgår att tillämpningen av

text: artikel 49

text: vid samtycke, rättsliga anspråk m.m. och avtal ska vara tillåtna i fråga om tillfälliga överföringar medan motsvarande skrivningar inte finns för tillämpningen av

text: artikel 49

text: för att lösa uppgifter av allmänt intresse.

text: Dataskyddstyrelsen tycks vara av uppfattning att även om en överföring på grund av ett allmänt intresse inte är begränsad till tillfälliga överföringar så betyder inte det att personuppgiftsöverföring får ske systematiskt och i stor omfattning med stöd av

text: artikel 49

text: . Undantagsreglerna i

text: artikel 49

text: bör alltså inte användas som en huvudregel för överföring i den praktiska tillämpningen.

text: För Kronofogden finns bestämmelser om myndighetens uppgifter i förordning (

text: ) med instruktion för Kronofogdemyndigheten, men även i författningar som, ofta på detaljerad nivå, reglerar myndighetens uppgifter i olika avseenden, exempelvis

text: utsökningsbalken (1981:774)

text: , lagen (

text: ) om betalningsföreläggande och handräckning, skuldsanerings (

text: ) och

text: F-skuldsaneringslagen (2016:676)

text: samt

text: konkurslagen (1987:672)

text: m.fl. Det finns även allmänna förvaltningsrättsliga regler i t.ex.

text: tryckfrihetsförordningen

text: , offentlighets- och

text: sekretesslagen (2009:400)

text: samt

text: förvaltningslagen (2017:900)

text: . Uppgifter som utförs i anledning av dessa författningar omfattas som huvudregel av begreppet uppgift av allmänt intresse.

text: 7.4 Kronofogdens överväganden kring överföring med stöd av tillämpliga undantagsregler

text: Kronofogdens bedömning: Om en överföring till tredjeland är nödvändig för att myndigheten ska kunna fullgöra en uppgift av allmänt intresse samtidigt som det saknas stöd för överföringen i

text: artikel 46

text: (t.ex. standardavtalsklausulerna) får

text: överföringen i enskilda fall göras med stöd av artikel 49 i dataskyddsförordningen.

text: Skäl för bedömningen: Om Kronofogden bedömer att det inte går att överföra personuppgifter till tredjeland med lämpliga skyddsåtgärder enligt

text: artikel 46.2 c

text: och det saknas andra alternativ för överföring kan myndigheten överväga att överföra personuppgifter med stöd av tillämpliga undantag i

text: artikel 49

text: . De situationer som blir aktuella i detta sammanhang är när det är nödvändigt för att lösa ett viktigt allmänintresse. I vissa situationer kan det vara aktuellt att uppgiften överförs till tredjeland efter samtycke från de registrerade.

text: En grundläggande förutsättning för tillämpning av undantagsbestämmelsen är att det är nödvändigt att just överföra personuppgifterna för viktiga skäl som rör allmänintresset. I många situationer kan en uppgift t.ex. lösas utan överföring av personuppgifter med enklare förändringar av arbetssätt. För att illustrera detta ges följande exempel. En myndighet vill publicera allmän information genom spridning på sociala medier. Om myndighetens medarbetare loggar in på plattformen med privata inloggningsuppgifter skulle inloggningen innebära en personuppgiftsöverföring till tredjeland. Om myndighetens medarbetare istället kan logga in med inloggningsuppgifter som tillhör myndigheten eller med fiktiva uppgifter skulle inte några personuppgifter föras över till tredjeland.

text: Förutom situationer när själva informationsutbytet och innehållet behövs för att lösa en uppgift av allmänt intresse, exempelvis mellan myndigheter i tredjeland, uppstår även andra fall av personuppgiftsöverföring där tillämpningen av

text: artikel 49.1 d

text: blir aktuell. Ett konkret exempel på en sådan situation är när en medarbetare på Kronofogden letar efter utmätningsbara tillgångar i olika it-tjänster bl.a. sociala medier. I vissa situationer kan inte medarbetarens namn undgå att bli överförd i samband med utredningen. Överföringen av personuppgifter blir då en oönskad men nödvändig bieffekt av arbetsuppgiften som får överföras med stöd av

text: artikel 49.1 d

text: . I enlighet med den Europeiska dataskyddstyrelsens rekommendationer förutsätter tillämpningen av regeln först att andra mer lämpligare sätt att försöka lösa uppgiften på har uttömts.

text: Det går inte att utesluta att det också kan finnas eller uppkomma situationer där endast en möjlig digital tjänst finns att tillgå för att uppfylla ett viktigt samhällsintresse. I sådana situationer bör undantagsreglerna kunna bli tillämpliga i avvaktan på att Kronofogden finner alternativa lösningar som inte förutsätter undantagslösningar.

text: Ett annat exempel på en situation där en personuppgiftsöverföring till tredjeland kan bli aktuell med tillämpning av undantagsreglerna är Kronofogdens arbete med att motverka överskuldsättning. I sådana sammanhang handlar det då inte om regelbundna eller storskaliga personuppgiftsöverföringar utan typiskt sett att namn och bild på medverkande i filmer, reportage eller informationskampanjer publiceras på sociala medier där uppgifterna förs till tredjeland. Den undantagsgrund som kan bli aktuell i sådana situationer är

text: artikel 49.1 d

text: (allmänt intresse) i förening med

text: artikel 49.1 a

text: (samtycke). Det handlar då om en författningsreglerad uppgift som inte är led i Kronofogdens myndighetsutövning. Som beskrivs i avsnitt 7.2 krävs att det är ett informerat och reellt samtycke inte bara till själva uppgiftsbehandlingen utan också till överföring av personuppgifter till tredjeland.

text: Det kan vara svårt att inom ramen för arbetsgivarförhållande låta personal utföra arbetsuppgifter där de förväntas lämna sitt samtycke för bl.a. överföring av uppgifter till tredjeland. Typiskt sett ska detta inte ske på grund av den ojämnbördiga relationen mellan arbetsgivare och arbetstagare. Om Kronofogden såväl objektivt för en utomstående betraktare som subjektivt för de egna medarbetarna skapar förutsättningar för ett samtycke enligt

text: artikel 49.1 a

text: kan det undantagsvis vara en möjlighet som kan övervägas. Det får dock inte ingå som ett nödvändigt moment för medarbetarens förmåga att lösa sina arbetsuppgifter. De exempel som närmast kommer på tal handlar om bild och namnuppgifter i sociala medier i samband med externa evenemang som myndigheten anordnar.

text: Som nämnts tidigare i avsnitt 4.2 innebär inte tillämpningen av reglerna i

text: artikel 49

text: något undantag från dataskyddsförordningens övriga dataskyddsregelverk. En överföring av personuppgifter med tillämpningen av

text: artikel 49

text: förutsätter därför också en prövning enligt dataskyddsförordningens säkerhetsbestämmelser. Riskerna för de registrerades fri- och rättigheter måste vid en överföring till tredjeland alltid prövas enligt dataskyddsförordningens säkerhetsbestämmelser. ___________

text: Soheil Roshanbin


designation: Kronofogdens ställningstagande 1/23/VER

doctype: stallningstagande

text: Infoklass: 1 Beslutat av: Ulrika Lindén Dokumentägare: Nr: Ulrika Lindén 1/23 Gäller från och med Diarienummer: 2023-10-23 KFM 21872-2022 Ansvarig organisation: Ny Rättsavdelningen Beslutsdatum: 2023-10-23

text: Postadress Besöksadress Telefon 0771-73 73 00 Box 1050 Esplanaden 1 172 21 SUNDBYBERG 172 67 SUNDBYBERG kontakt@kronofogden.se

text: I den mån hänvisningar till de efterföljande propositionerna 2005/06:124 och 2015/16:125 inte görs har dessa reformer inte inneburit någon ändring med avseende på den berörda frågan och hänvisningarna har uteslutits för att öka läsbarheten.

text: I fråga om specialpreskription är saken mer osäker och i vissa fall ska sådan preskription beaktas av Kronofogden självmant, se t.ex.

text: 4 kap. 1 a § andra stycket

text: UB. 3 I fråga om invändningar mot exekutionstitlar som har meddelats av annan instans än allmän domstol kan ibland särskilda övervägande aktualiseras (se Gregow m.fl.,

text: Utsökningsbalken

text: , En kommentar, 7 december 2017, Version 5, JUNO, kommentaren till

text: 3 kap. 21 §

text: ). Kronofogdens utslag bör i sammanhanget dock kunna jämställas med domstolsavgöranden.

text: Här kan även

text: 5 kap. 10 §

text: UB och de hänvisningar till andra lagar som där görs i den blå lagboken noteras. Där hänvisas endast till 42 § SksanL.

identifier: Kronofogdens ställningstagande 1/23/VER

publisher: Kronofogdemyndigheten

status: gällande

title: Kronofogdemyndighetens ställningstagande om verkställighet när gäldenären har skuldsanering

org: kfm

text: Kronofogdemyndigheten (Kronofogden) redogör i ställningstagandet för under vilka omständigheter verkställighet för en fordran som omfattas av gäldenärens skuldsanering kan ske och inte. När Kronofogden beslutar att inleda en skuldsanering (inledandebeslut) inträder enligt

text: 42 § skuldsaneringslagen

text: ett absolut hinder mot att utmäta för fordringar som uppkommit före beslutet. Förbudet gäller till dess frågan om skuldsanering är avgjord genom ett beslut om skuldsanering som fått laga kraft. Om utmätning under denna tid ändå sker är åtgärden utan verkan. Förbudet träffar endast fordringar som kan omfattas av skuldsaneringen. Fordringar som enligt

text: 31 § skuldsaneringslagen

text: inte omfattas av skuldsaneringen och fordringar som uppkommit efter inledandebeslutet omfattas inte av förbudet. Efter det att Kronofogdens beslut om skuldsanering har fått laga kraft ska verkställighet inte ske med stöd av annat än betalningsplanen för fordringar som ingår i skuldsaneringen (jfr 44 §), vare sig kända eller okända sådana. Detta eftersom gäldenären enligt

text: 47 § skuldsaneringslagen

text: genom skuldsaneringen befriats från ansvar för betalning av dessa skulder. Det hinder som följer av 47 § ska beaktas efter invändning från gäldenären om invändningen inte kan lämnas utan avseende (se

text: 3 kap. 21 §

text: UB). När ett sådant hinder åberopas saknar det betydelse om den exekutionstitel som görs gällande är meddelad före eller efter skuldsaneringsbeslutet. Det avgörande är i stället tidpunkten för fordrans uppkomst och att inget undantag är tillämpligt (jfr 30–32 §§ SksanL); dvs. att den åberopade

type: stycke

text: skulden omfattas av skuldsaneringen. Hindret som följer av 47 § får anses gälla till dess att betalningsplanen löper ut, eller skuldsaneringsbeslutet är upphävt genom ett lagakraftvunnet beslut. Denna tillämpning utgör ett avsteg från synsättet att

text: 3 kap. 21 §

text: UB främst är avsedd för invändningar hänförliga till tiden efter exekutionstiteln och ett undantag från principen att Kronofogden inte ska gå in på en prövning av de frågor som avgjorts genom exekutionstiteln. Uppmärksamma att tvistiga fordringar som inte har varit kända i skuldsaneringsärendet inte är undantagna skuldsaneringen enligt 31 § SksanL utan har prekluderats och därför inte kan verkställas om inte skuldsaneringen först upphävs (jfr

text: NJA 2004 s. 220

text: Det här beslutet har fattats av rättschef Ulrika Lindén. Enhetschef Christina Sundblad har föredragit ärendet. Beslutet har godkänts digitalt och saknar därför underskrift.

text: exekutionstiteln om verkställighet vid sidan om den i skuldsaneringen gällande betalningsplanen. Genom en skuldsanering befrias en gäldenär från ansvar för betalningen av de skulder som omfattas av skuldsaneringen, i den utsträckning som skulderna sätts ned. Gäldenären befrias också, med några undantag, från ansvar för betalningen av skulder som inte är kända i ärendet. Om gäldenären i sådana här fall invänder att skuldsaneringen utgör hinder mot verkställighet och invändningen inte kan lämnas utan avseende ska Kronofogden därför inte verkställa sådana fordringar. Hinder mot utmätning föreligger med stöd av bestämmelserna i

text: skuldsaneringslagen

text: och

text: 47 §§

text: ). Detta gäller även om sökanden till grund för verkställigheten åberopar en exekutionstitel som har meddelats efter att beslutet om skuldsanering har fått laga kraft.

text: 2 Bakgrund, frågeställning och syfte

type: rubrik

text: Det har förekommit att utslag har meddelats i mål om betalningsföreläggande som avser fordringar som omfattas av ett beslut om att inleda en skuldsanering eller ett lagakraftvunnet beslut om att bevilja skuldsanering. Det har även hänt att sådana utslag har verkställts. Det kan också förekomma att en domstol meddelar en dom avseende betalningsskyldighet av en sådan fordran och att domen sedan verkställs. Verkställighet av fordringar under pågående skuldsanering riskerar att medföra att gäldenären inte kan fullfölja sina förpliktelser enligt betalningsplanen. Detta kan leda till att skuldsaneringen upphävs. Verkställighet av fordringar vid sidan av skuldsaneringsprocessen går även emot borgenärernas kollektiva intresse, exempelvis om en borgenär med en fordran som omfattas av skuldsaneringen ändå kan få sin fordran fullt ut utmätt. En sådan hantering kan alltså leda till att en skuldsanering inte får den effekt som lagstiftaren tänkt sig och går på så sätt emot syftet med skuldsaneringen. Syftet med detta ställningstagande är att klargöra i vilken omfattning Kronofogden kan och bör agera för att få en enhetlig hantering och undvika att verkställighet sker för fordringar som omfattas av en skuldsanering.

text: 3 Gällande rätt m.m.

text: 3.1 Skuldsanering

text: Inledandet och omfattningen av en skuldsanering

text: En skuldsanering innebär enligt

text: 1 § skuldsaneringslagen (2016:675)

text: (SksanL) att en gäldenär helt eller delvis befrias från ansvar för betalningen av de skulder som omfattas av skuldsaneringen. Om en ansökan om skuldsanering inte avvisas eller avslås, ska Kronofogden enligt 17 § SksanL besluta att skuldsanering ska inledas (inledandebeslut). Alla fordringar på pengar som uppkommit före inledandedagen omfattas av en skuldsanering om det inte rör sig om en fordran som aldrig kan omfattas enligt 31 §, t.ex. tvistiga fordringar, eller Kronofogden bestämt annat enligt 32 § (30 §). Efter Kronofogdens beslut att inleda en skuldsanering får utmätning för fordringar som uppkommit dessförinnan inte ske innan frågan om skuldsanering är avgjord genom ett beslut som fått laga kraft (se 42 § SksanL, jfr

text: 5 kap. 10 §

text: UB). Ett inledandebeslut medför alltså ett tillfälligt förbud mot vissa exekutiva åtgärder i syfte att underlätta för gäldenären att reda upp sin ekonomiska situation. Att förbudet är tillfälligt och endast gäller under pågående handläggning av skuldsaneringsärendet, dvs. fram till dess att beslut i ärendet fattats och fått laga kraft, framgår även av lagens förarbeten. (Se

text: prop. 1993/94:123 s. 148

text: f. och 227 f. ). Utmätningsförbudet träffar endast fordringar som kan omfattas av skuldsaneringen. Fordringar som enligt 31 § SksanL inte omfattas av skuldsaneringen och fordringar som uppkommit efter inledandebeslutet omfattas alltså inte av förbudet.

text: Beslut om skuldsanering

text: Om villkoren för skuldsanering är uppfyllda ska Kronofogden besluta att skuldsanering ska beviljas (25–27 §§ SksanL). I beslutet om skuldsanering ska det bl.a. bestämmas vilka fordringar som omfattas av skuldsaneringen

text: och en betalningsplan som anger hur mycket och när gäldenären ska betala (se 29 §). Ett beslut om skuldsanering får verkställas när det har fått laga kraft. Verkställighet får inte avse annat än vad som redan skulle ha betalats ut till borgenären enligt beslutet om skuldsanering (44 § SksanL). Efter att ett beslut om skuldsanering fått laga kraft kan en borgenär alltså ge in beslutet till Kronofogden och begära utmätning av belopp som inte har betalats på den tid som anges i betalningsplanen. Beslutet utgör i det avseendet en exekutionstitel som ersätter eventuella ursprungliga sådana (jfr 3 kap. 1 § p. 6 UB). Borgenärens ursprungliga exekutionstitel kan då inte längre med framgång göras gällande mot gäldenären som grund för verkställighet enligt

text: utsökningsbalken

text: (se

text: NJA 2016 s. 844

text: Verkan av en skuldsanering

text: Genom en skuldsanering befrias gäldenären från ansvar för betalningen av de skulder som omfattas av skuldsaneringen i den utsträckning som dessa sätts ned. Genom skuldsaneringen befrias gäldenären även från ansvar för betalningen av skulder som inte är kända i ärendet, om det inte är en sådan skuld som avses i 31 § (se 47 § SksanL). Att en borgenärs fordran på betalning procentuellt sätts ned eller helt faller bort genom en skuldsanering innebär inte att det avtal eller motsvarande på vilket borgenären grundar sitt fordringsanspråk upphävs. Fordringsförhållandet förändras i och med skuldsaneringen men det upphör inte. Efter beslut om skuldsanering har en borgenär, så länge beslutet inte upphävs, dock endast rätt att få betalt för sin fordran enligt den betalningsplan som gäller för skuldsaneringen. Den del av en fordran som omfattas av skuldsanering, dvs. sätts ned, kan inte göras gällande i något sammanhang. Det innebär bl.a. att borgenären inte kan använda den sanerade delen av fordringen till t.ex. kvittning mot gäldenären (

text: prop. 1993/94:123 s. 104

text: f.). Om en fordran som omfattas av en skuldsanering ändå av någon anledning skulle betalas av gäldenären, kan man enligt förarbetena göra en jämförelse med vad som gäller för betalning av preskriberade fordringar. Betalas en preskriberad fordran, kan en sådan betalning inte med rättsordningens hjälp krävas åter. Om en bortsanerad fordran av någon anledning skulle betalas, bör detsamma gälla för en sådan betalning (

text: prop. 1993/94:123 s. 104

text: f., jfr även

text: prop. 2015/16:125 s. 83

text: f.). Även okända fordringar som inte är sådana som avses i 31 § omfattas av en skuldsanering. Underlåtenhet från en borgenärs sida att anmäla sin fordran i

text: en skuldsanering får nämligen s.k. proklamaeffekt. Det innebär att fordringen kommer att omfattas av ett beslut om skuldsanering, men borgenären får ingen utdelning och kan inte heller senare i något annat sammanhang göra fordran gällande (

text: prop. 1993/94:123, s. 216

text: ). Okända skulder faller alltid bort i dess helhet. Högsta domstolen har slagit fast att undantaget för fordringar som avses i 31 § inte gäller fordringar som blir kända senare och som visar sig vara tvistiga och därför skulle ha hamnat utanför skuldsaneringen om de varit kända vid beslutet. Även sådana fordringar omfattas alltså av betalningsbefrielsen (se

text: NJA 2004 s. 220

text: ). Tvistiga fordringar antecknas därför också i beslutet att bevilja skuldsanering. En skuldsanering innebär alltså att de skulder eller skuldbelopp som saneras genom skuldsaneringsbeslutet eller annars omfattas av skuldsaneringsbeslutet prekluderas. Att en fordran prekluderas innebär i detta sammanhang att borgenären förlorar rätten att kräva ut fordringen i den sanerade delen. Verkan av proklama och preklusion är att jämföra med verkan av preskription (se Mellqvist och Persson, Fordran och skuld, JUNO Version 11, 2019, s. 92 f. och 141, samt Torkel Gregow, Preskription och preklusion av fordringar, JUNO Version 1, 2020, s. 32 f.). Preklusionsverkan för såväl kända som okända fordringar inträder när skuldsaneringsbeslutet fått laga kraft (jfr

text: NJA 2017 s. 357

text: p. 10 och 11). Efter det kan (de prekluderade) fordringarna alltså inte göras gällande mot gäldenären annat än om skuldsaneringsbeslutet upphävs, och då först från det att detta beslut har fått laga kraft (se

text: NJA 2016 s. 844

text: p. 11 och 16). Ett skuldsaneringsbeslut kan också omprövas, exempelvis om gäldenärens ekonomiska förhållanden väsentligen har förbättrats, vilket kan påverka i vilken omfattning fordringarna prekluderas.

text: Omprövning och upphävande

text: Den skuldbefrielse som gäldenären kan uppnå genom skuldsanering förutsätter att gäldenären fullgör sin betalningsskyldighet enligt betalningsplanen. Det är först när denna skyldighet har fullgjorts som skuldsaneringens verkan definitivt inträder. Indirekt kommer detta till uttryck i bestämmelsen om omprövning i 48 § första stycket 6 SksanL. Enligt den bestämmelsen kan Kronofogden, på ansökan av en borgenär vars fordran omfattas av skuldsaneringen, upphäva eller ändra beslutet om gäldenären inte följer betalningsplanen. (Se

text: Skuldsaneringslagen

text: en kommentar till 2006 års lag, Mellqvist s. 222 samt

text: prop. 1993/94:123 s. 106

text: Om skuldsaneringen upphävs efter omprövning återgår fordringsförhållandet mellan borgenären och gäldenären till det som var före inledandet av skuldsaneringen, med undantag för vad som kan ha betalats (se

text: prop. 1993/94:123 s. 106

text: och

text: ). En borgenär, vars fordran omfattats av skuldsaneringen, kan således åter ansöka om verkställighet med stöd av sin ursprungliga exekutionstitel, när beslutet om upphävande fått laga kraft (se

text: NJA 2016 s. 844

text: p. 11 och 16).

text: 3.2 Verkställighet

text: Formella förutsättningar m.m.

text: Formella krav på en ansökan om verkställighet finns angivna i

text: 2 kap.

text: UB. För att Kronofogden ska få verkställa en förpliktelse krävs en exekutionstitel. Av

text: 3 kap. 1 §

text: UB framgår vilka exekutionstitlar som får verkställas. Här framgår bl.a. att en domstols dom eller beslut utgör en sådan exekutionstitel (p. 1), liksom Kronofogdens utslag eller beslut i mål om betalningsföreläggande (p. 8). Detsamma gäller ett beslut om skuldsanering med en betalningsplan (p. 6 jämte 44 § SksanL). Vissa formella förutsättningar för verkställighet ska Kronofogden beakta självmant, t.ex. frågor om partsbehörighet eller förekomsten av en laga exekutionstitel (se Torkel Gregow m.fl.,

text: Utsökningsbalken

text: , En kommentar, 7 december 2017, Version 5, JUNO, rubriken Invändningar mot verkställighet). I vissa fall finns förbud mot utmätning, några sådana förbud framgår av UB medan andra framgår av andra lagar (se bl.a.

text: 4 kap. 1 a § andra stycket

text: och

text: 5 kap.

text: UB samt

text: 3 kap. 7 § konkurslagen

text: , 1987:672, och

text: 42 §

text: SksanL).

text: Hinder mot verkställighet

text: I

text: 3 kap. 21 §

text: UB anges under vilka förutsättningar en invändning från gäldenären av materiell innebörd kan hindra verkställighet. Av första stycket i bestämmelsen framgår att om svaranden visar att hen har fullgjort den betalningsskyldighet eller annan förpliktelse som ansökningen avser, får verkställighet inte äga rum. Detsamma gäller, under vissa särskilt angivna omständigheter, om svaranden åberopar fordran till kvittning. I andra stycket anges att om svaranden gör gällande att något annat förhållande som rör parternas mellanhavande utgör hinder mot verkställighet och invändningen inte kan lämnas utan avseende, får verkställighet inte heller äga rum. I andra stycket avses t.ex. att svaranden invänder att sökanden, efter det att

text: en dom eller annan exekutionstitel tillkommit, har beviljat anstånd med betalningen eller att fordran är preskriberad. (Se

text: prop. 1980/81:8 s. 328

text: f.) Här kan särskilt nämnas att frågan om preskription i regel utgör en fråga om materiell rätt. Av det följer att en fråga om eventuell preskription inte ska tas upp till prövning självmant av domstol utan det förutsätter en invändning från berörd part (se

text: prop. 1980/81:8 s. 328

text: f., Torkel Gregow, Preskription och preklusion av fordringar, JUNO Version 1, 2020, s. 129 f. och

text: NJA 2016 s. 900

text: ). Principen gäller även i mål om utmätning. Högsta domstolen har i flera rättsfall angett att

text: 3 kap. 21 §

text: UB främst är avsedd för invändningar hänförliga till tiden efter exekutionstiteln. Det är en grundläggande princip i fråga om exekutionstitlar att verkställighetsmyndigheten inte ska gå in på en prövning av de frågor som har avgjorts genom dessa. Högsta domstolen har också anfört att det vid prövningen av verkställighetshinder är av betydelse huruvida exekutionstiteln kan angripas på något annat sätt än genom invändning mot verkställighet. (Se

text: NJA 2012 s. 575

text: p. 7 och där angivna rättsfall.) En exekutionstitels rättskraft medför alltså att möjligheten att pröva omständigheter som borde ha åberopats före den prövning av saken som innefattas i exekutionstiteln har gått förlorad. Svaranden kan alltså som huvudregel inte, i fråga om domstolsavgöranden och utslag, med framgång göra invändningar som avser omständigheter som inträffat före domens eller beslutets tillkomst. Det gäller oavsett om omständigheten tagits upp eller inte vid den föregående prövningen. (Se Torkel Gregow, Utsökningsrätt, 5:e uppl, 2020, s 105 och Gregow m.fl.,

text: Utsökningsbalken

text: 3 kap. 21 §

text: 4 Kronofogdens bedömning

text: 4.1 Verkställighet av fordringar som inte omfattas av skuldsaneringen

text: Inledningsvis kan det konstateras att vissa fordringar aldrig kommer att ingå i en skuldsanering. Detta gäller exempelvis alla fordringar som uppkommit efter inledandebeslutet, men också sådana fordringar som anges i 31 § SksanL (fordringar på familjerättsliga underhållsbidrag, tvistiga fordringar m.m.) och sådana som med tillämpning av 32 § lämnats utanför skuldsaneringen. Dessa fordringar träffas inte av skuldsaneringens rättsverkningar och kan alltså alltid verkställas. Observera dock att även okända fordringar som huvudregel omfattas av skuldsaneringen (jfr undantagen i 31 §). Tvistiga fordringar måste emellertid ha varit kända i skuldsaneringsärendet för att undantas från skuldsaneringens verkan, dvs. för att inte prekluderas (se

text: NJA 2004 s. 220

text: 4.2 Verkställighet under tiden skuldsaneringsärendet pågår

text: I 42 § SksanL finns ett absolut förbud mot att utmätning sker för fordringar som uppkommit före skuldsaneringen och som därmed kan komma att omfattas av en skuldsanering. Förbudet gäller från inledandebeslutet till dess att beslutet om skuldsanering fått laga kraft. Ett inledandebeslut medför alltså ett tillfälligt förbud mot vissa exekutiva åtgärder. Undantag gäller för fordringar som enligt 31 § SksanL inte omfattas av skuldsaneringen. Verkställighetshindret som följer av 42 § ska beaktas självmant av Kronofogden och en bedömning av om det är tillämpligt för en viss fordran får ske i det enskilda fallet. Att verkan av detta verkställighetsförbud är begränsat i tiden till dess att beslut om skuldsanering får laga kraft framgår av såväl ordalydelsen i 42 § och förarbetena.

text: 4.3 Verkställighet efter att beslut att bevilja skuldsanering har fått laga kraft

text: I 44 § SksanL anges att ett beslut om skuldsanering får verkställas när det har fått laga kraft och att verkställigheten inte får avse annat än vad som redan skulle ha betalats ut till borgenären enligt beslutet om skuldsanering. Av bestämmelsen följer att själva skuldsaneringsbeslutet i sig utgör en exekutionstitel och där anges också i vilken omfattning verkställighet kan ske med stöd av en sådan. Avsikten är alltså att borgenärer efter en beslutad

text: skuldsanering ska kunna använda sig av denna exekutionstitel för att få verkställighet enligt betalningsplanen, i den mån sådan betalning annars inte sker. Bestämmelsen i 44 § innehåller däremot inga anvisningar om hur Kronofogden ska hantera andra exekutionstitlar som åberopas för verkställighet eller vilken verkan skuldsaneringen har i övrigt. Bestämmelsen måste därför läsas tillsammans med den i 47 § om skuldsaneringens verkan. Enligt 47 § SksanL befrias gäldenären genom en skuldsanering från ansvar för betalningen av de skulder som omfattas av skuldsaneringen i den utsträckning som dessa sätts ned, men även från betalningsansvar för okända skulder (jfr dock 31 §). I förarbetena till bestämmelsen framhålls också att fordran som omfattas av skuldsanering inte kan göras gällande i något sammanhang utan att skuldsaneringen först upphävs (

text: prop. 1993/94:123 s. 105

text: ). Bestämmelsen i 47 § utgör ingen föreskrift om något absolut hinder mot exekutiva åtgärder (jfr 42 § SksanL). I 47 § stadgas i stället den preklusionsverkan som skuldsaneringen har på såväl kända som okända skulder som omfattas av skuldsaneringen. För att skuldsaneringens verkan vid den här tidpunkten ska beaktas i ett verkställighetsärende krävs därför en invändning (jfr

text: 3 kap. 21 §

text: UB). Det finns ingen enhetlig praxis i fråga om hur exekutionstitlar meddelade efter det att skuldsaneringsbeslutet fått laga kraft ska hanteras inom verkställigheten. Det finns några tingsrättsavgöranden som kan anses tala för att skuldsaneringen alltid ska anses utgöra ett hinder mot utmätning. I dessa har Kronofogdens beslut om verkställighet upphävts med hänvisning till att fordran omfattas av gäldenärens skuldsanering och därmed har prekluderats. Detta trots att utmätningen grundats på en exekutionstitel som meddelats efter beslutet att bevilja skuldsaneringen (se t.ex. Göteborgs tingsrätts beslut den 6 juli 2020 i Ä 6018-20 och Östersunds tingsrätts beslut den 12 juli 2021 i Ä 1787-21). Det framgår inte av avgörandena hur tingsrätterna närmare resonerat i frågan om verkställighetshinder. Det finns också avgöranden som går i motsatt riktning, både från tingsrätter och Svea hovrätt. Se bl.a. Svea hovrätts orefererade beslut den 24 januari 2020 i ÖÄ 11900-19 där hovrätten behandlat preklusionsfrågan som en fråga om verkställighetshinder som kräver invändning och som bedöms enligt 3 kap.

text: 21 §

text: UB och avslagit en sådan invändning när en ansökan om verkställighet gällande en fordran som uppkommit före inledandebeslutet har grundats på en exekutionstitel som har meddelats efter ett beslut om skuldsanering (jfr även Svea hovrätts beslut den 28 januari 2020 i fråga om resning). Tanken med skuldsaneringen är, som redan nämnts, att utmätning för fordringar som omfattas av skuldsaneringen endast ska kunna ske till den del som dessa förfallit till betalning enligt betalningsplanen och då med stöd av skuldsaneringsbeslutet. Om det inte skulle finnas något hinder mot utmätning för hela fordran med åberopande av en ursprunglig eller ny exekutionstitel riskerar också hela skuldsaneringen att falla eftersom gäldenärens förväntade betalningsutrymme kan påverkas negativt av ett sådant förfarande. Det måste mot den här bakgrunden anses ha varit lagstiftarens avsikt att 47 § SksanL också ska ges den innebörden att gäldenären inte kan utkrävas ansvar för betalning av skulder som omfattas av skuldsaneringen genom utmätning, dvs. att skuldsaneringen utgör ett hinder mot utmätning oavsett när i tiden i förhållande till skuldsaneringsbeslutet som en exekutionstitel har meddelats. Bestämmelsen i 47 § SksanL måste därför anses medföra ett avsteg från synsättet att

text: 3 kap. 21 §

text: UB främst är avsedd för invändningar hänförliga till tiden efter exekutionstiteln och principen att verkställighetsmyndigheten inte ska gå in på en prövning av de frågor som har avgjorts genom dessa. Hindret som följer av 47 SksanL får anses gälla till dess att betalningsplanen löper ut, eller skuldsaneringsbeslutet är upphävt genom ett lagakraftvunnet beslut. De nu redovisade slutsatserna medför att om en borgenär ansöker om verkställighet med stöd av någon annan exekutionstitel än skuldsaneringsbeslutet och gäldenären invänder att skuldsaneringen utgör hinder, ska Kronofogden bedöma om invändningen kan lämnas utan avseende eller inte. Om förutsättningar finns för att bifalla invändningen ska det ske med hänvisning till

text: skuldsaneringslagens

text: bestämmelser. Det avgörande för om hinder föreligger eller inte är tidpunkten för fordrans uppkomst och att inget undantag är tillämpligt (jfr

text: 32 §§

text: SksanL).

type: stallningstagande