Riktlinjer 2/2018 för undantagen i artikel 49 enligt förordning 2016/679

Europeiska dataskyddsstyrelsen har antagit dessa riktlinjer

Med beaktande av artikel 70.1 j och e i Europaparlamentets och rådets förordning (EU) 2016/679/EG av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG.

1. ALLMÄNT

Syftet med detta dokument är att ge vägledning om tillämpningen av artikel 49 i allmänna dataskyddsförordningen (GDPR) om undantag inom ramen för överföringar av personuppgifter till tredjeländer. Dokumentet bygger på tidigare arbete som utförts av den arbetsgrupp som EU:s dataskyddsmyndigheter har upprättat enligt artikel 29 i dataskyddsdirektivet (Artikel 29-gruppen)och som tas över av Europeiska dataskyddsstyrelsen (EDPB) när det gäller centrala frågor som har uppkommit vid tillämpning av undantagen i samband med överföring av personuppgifter till tredjeländer. Detta dokument kommer att ses över och vid behov uppdateras utifrån den praktiska erfarenhet som erhålls genom tillämpningen av GDPR.

Vid tillämpning av artikel 49 måste man komma ihåg att enligt artikel 44 ska den dataexportör som överför personuppgifter till tredjeländer eller internationella organisationer även uppfylla villkoren i övriga bestämmelser i GDPR. Varje behandling måste följa de relevanta dataskyddsbestämmelserna, särskilt artiklarna 5 och 6. Följaktligen måste ett tvåstegstest användas: för det första måste det finnas en rättslig grund för behandlingen av uppgifter som sådan, tillsammans med alla relevanta bestämmelser i GDPR. Som ett andra steg måste bestämmelserna i kapitel V följas. I artikel 49.1 anges det att om det inte finns ett beslut om adekvat skyddsnivå eller om det saknas lämpliga skyddsåtgärder, får en överföring eller uppsättning av överföringar av personuppgifter till ett tredjeland eller en internationell organisation endast ske om vissa villkor är uppfyllda. Samtidigt krävs det enligt artikel 44 att alla bestämmelser i kapitel V tillämpas på ett sådant sätt att den nivå på skyddet av fysiska personer som säkerställs genom GDPR inte undergrävs. Detta innebär att utnyttjande av undantagen i artikel 49 aldrig får leda till en situation där grundläggande rättigheter kan komma att kränkas .

I egenskap av föregångare till EDPB har Artikel 29-gruppen länge förespråkat ett skiktat tillvägagångssätt för överföringar som innebär att man först bedömer om tredjelandet erbjuder en adekvat skyddsnivå för överföringar och sörjer för att exporterade uppgifter kommer att skyddas i

tredjelandet. Om skyddsnivån inte är adekvat med tanke på alla omständigheter bör dataexportören överväga att tillhandahålla lämpliga skyddsåtgärder. Således bör datautexportörer först pröva möjligheter att utforma överföringen med någon av mekanismerna i artiklarna 45 och 46 i GDPR och endast i frånvaro av dessa använda undantagen i artikel 49.1.

Undantag enligt artikel 49 är därför undantag från den allmänna principen att uppgifter endast får överföras till tredjeländer om en adekvat skyddsnivå tillhandahålls i tredjelandet eller om lämpliga skyddsåtgärder har vidtagits och de registrerade har verkställbara och effektiva rättigheter för att kunna fortsätta åtnjuta sina grundläggande rättigheter och skyddsåtgärder . På grund av detta och i enlighet med europarättens inneboende principer måste undantagen tolkas restriktivt, så att undantaget inte blir till regel . Detta stöds även av lydelsen av rubriken till artikel 49, som anger att undantagen är avsedda för särskilda situationer (”Undantag i särskilda situationer”).

När dataexportörer planerar att överföra personuppgifter till tredjeländer eller internationella organisationer bör de därför välja lösningar som ger de registrerade en garanti för att de kommer att fortsätta att dra fördel av de grundläggande rättigheter och skyddsåtgärder som de har rätt till när det gäller behandling av deras uppgifter efter överföringen. Eftersom undantag inte ger adekvat skydd eller lämpliga skyddsåtgärder för överförda personuppgifter och eftersom överföringar som bygger på undantag inte behöver någon typ av förhandsgodkännande från tillsynsmyndigheterna, leder överföring av personuppgifter till tredjeländer baserat på undantag till ökade risker när det gäller berörda registrerades fri- och rättigheter.

Dataexportörer bör också vara medvetna att om beslut om adekvat skyddsnivå saknas får unionsrätten eller medlemsstaternas nationella rätt med hänsyn till viktiga allmänintressen uttryckligen fastställa gränser för överföringen av specifika kategorier av personuppgifter till ett tredjeland eller en internationell organisation (artikel 49.5).

Tillfälliga och inte repetitiva överföringar

EDPB noterar att termen ”tillfällig” används i skäl 111 och att termen ”inte repetitiv” används i undantaget för ”tvingande berättigade intressen” enligt andra stycket i artikel 49.1. Dessa termer anger att sådana överföringar kan inträffa mer än en gång men inte regelbundet och att de skulle ske utanför de vanliga händelseförloppen, exempelvis under slumpmässiga, okända omständigheter och med godtyckliga tidsintervall. En överföring av uppgifter som sker regelbundet inom ett stadigvarande förhållande mellan dataexportören och en viss dataimportör kan exempelvis i grunden betraktas som regelbunden och upprepad och kan därför inte anses vara tillfällig eller inte repetitiv. Dessutom kommer en överföring i allmänhet att betraktas som repetitiv eller icke tillfällig när dataimportören har beviljat generell direkt åtkomst till en databas (t.ex. via ett gränssnitt till en it-applikation).

Skäl 111 skiljer mellan undantagen genom att uttryckligen ange att undantagen ”avtal” och ”rättsligt anspråk” (artikel 49.1, led b, c och e) ska begränsas till ”tillfälliga” överföringar, medan ingen sådan

begränsning finns för undantagen ”uttryckligt samtycke”, ”viktiga skäl som rör allmänintresset”, ”grundläggande intressen” och ”register” enligt artikel 49.1, led a, d, f respektive g. Det måste ändå betonas att även dessa undantag, som inte uttryckligen är begränsade till ”tillfälliga” eller ”inte repetitiva” överföringar måste tolkas så att de inte strider mot själva karaktären av undantag som avvikelser från regeln att personuppgifter inte får överföras till ett tredjeland annat än om landet erbjuder en adekvat skyddsnivå för uppgifter, eller alternativt lämpliga skyddsåtgärder tillämpas .

Nödvändighetsprövning

Ett övergripande villkor för användning av flera undantag är att överföringen av uppgifter måste vara ”nödvändig” för ett visst ändamål. Nödvändighetsprövningen bör tillämpas för att bedöma möjlig användning av undantagen i artikel 49.1, led a, b, c, d, e och f. Denna prövning kräver att dataexportören i EU utvärderar om en överföring av personuppgifter kan anses vara nödvändig för det specifika ändamålet för det undantag som ska användas. Se relevanta avsnitt nedan för mer information om den specifika tillämpningen av nödvändighetsprövningen för vart och ett av de berörda undantagen.

Artikel 48 i förhållande till undantag

Genom artikel 48 inför GDPR en ny bestämmelse som måste beaktas vid planering av överföring av personuppgifter. Enligt artikel 48 och motsvarande skäl 115 utgör beslut från myndigheter eller domstolar i tredjeländer inte i sig legitima grunder för överföring av uppgifter till tredjeländer. En överföring som svar på ett beslut från myndigheter i tredjeländer är därför i vilket fall endast laglig om den uppfyller villkoren i kapitel V .

I situationer där det finns ett internationellt avtal, såsom ett avtal om ömsesidig rättslig hjälp, bör EUföretag generellt avslå direkta förfrågningar och hänvisa den tredjelandsmyndighet från vilken förfrågan kommer till befintligt avtal.

Denna tolkning följer också artikel 44 nära, där en övergripande princip fastställs för alla bestämmelser i kapitel V för att se till att den skyddsnivå för fysiska personer som garanteras av GDPR inte undergrävs.

2. SÄRSKILD TOLKNING AV BESTÄMMELSERNA I ARTIKEL 49

2.1 Den registrerade har uttryckligen samtyckt till den föreslagna överföringen efter att ha informerats om möjliga risker för den registrerade med sådana överföringar på grund av att beslut om adekvat skyddsnivå och lämpliga skyddsåtgärder saknas – (artikel 49.1 a)

De allmänna villkoren för samtycke som ska anses giltiga definieras i artikel 4.11 och artikel 7 i GDPR . Artikel 29-gruppen tillhandahåller vägledning om dessa allmänna villkor för samtycke i ett separat dokument som har godkänts av EDPB . Dessa villkor gäller även för samtycke inom ramen för artikel 49.1 a. Det krävs emellertid specifika, kompletterande element för att samtycket ska betraktas om en giltig rättslig grund för internationell överföring av uppgifter till tredjeländer och internationella organisationer i enlighet med artikel 49.1 a, och detta dokument är inriktat på dem. Detta avsnitt (1) av riktlinjerna ska därför läsas tillsammans med Artikel 29-gruppens riktlinjer om samtycke, som har godkänts av EDPB och som innehåller en mer detaljerad analys av de allmänna villkoren och kriterierna för samtycke enligt GDPR . Det ska även noteras att offentliga myndigheter enligt artikel 49.3 inte kan förlita sig på detta undantag vid utövandet av deras offentliga befogenheter.

Artikel 49.1 a anger att personuppgifter får överföras till ett tredjeland eller en internationell organisation när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder enligt artikel 45.3, eller lämpliga skyddsåtgärder enligt artikel 46, inbegripet bindande företagsbestämmelser, på villkor att ”den registrerade uttryckligen har samtyckt till att uppgifterna får överföras, efter att först ha blivit informerad om de eventuella riskerna med sådana överföringar för den registrerade när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder”.

2.1.1 Samtycket måste vara uttryckligt

Enligt artikel 4.11 i GDPR ska samtycket vara frivilligt, specifikt, informerat och otvetydigt. När det gäller det sista villkoret är artikel 49.1 a striktare eftersom den kräver ”uttryckligt” samtycke. Detta är även ett nytt krav jämfört med artikel 26.1 a i direktiv 95/46/EG, som endast krävde ”otvetydigt” samtycke. GDPR kräver uttryckligt samtycke i situationer där särskilda dataskyddsrisker kan uppkomma och som därför kräver en hög nivå av individuell kontroll över personuppgifter, såsom är fallet för behandling av särskilda kategorier av uppgifter (artikel 9.2 a) och vid automatiserat beslutsfattande (artikel 22.2 c). Sådana särskilda risker kan även uppträda i samband med internationella överföringar av uppgifter.

För närmare vägledning om kraven på uttryckligt samtycke, och för övriga tillämpliga krav som måste uppfyllas för att samtycket ska anses giltigt, se Artikel 29-gruppens riktlinjer om samtycke, godkända av EDPB .

2.1.2 Samtycket måste vara specifikt för den särskilda överföringen eller den särskilda uppsättningen överföringar av uppgifter

Ett av kraven på ett giltigt samtycke är att det ska vara specifikt. För att utgöra en giltig grund för en överföring av uppgifter enligt artikel 49.1 a måste samtycket därför ha getts specifikt för den särskilda överföringen eller uppsättningen överföringar av uppgifter.

Rekvisitet ”specifik” i definitionen av samtycke avser att säkerställa en grad av användarkontroll och öppenhet för den registrerade. Detta rekvisit har även ett nära samband med kravet på att samtycket ska vara ”informerat”.

Eftersom samtycket måste vara specifikt går det ibland inte att få samtycket från den registrerade för en framtida överföring vid insamlingen av uppgifter, om t.ex. tidpunkten och de specifika omständigheterna för en överföring inte är kända vid den tidpunkt då samtycket begärs, går det inte att bedöma hur den registrerade påverkas. Exempel: ett EU-företag samlar in sina kunduppgifter för ett specifikt ändamål (leverans av varor) utan att vid den tidpunkten tänka på att överföra dessa uppgifter till en tredje part utanför EU. Några år senare förvärvas dock samma företag av ett företag utanför EU som vill överföra sina kunders personuppgifter till ett annat företag utanför EU. För att denna överföring ska vara giltig på grundval av samtycke som undantag ska den registrerade ge sitt samtycke till denna specifika överföring vid tidpunkten då överföringen planeras. Därför räcker inte det samtycke som gavs när uppgifterna samlades in av EU-företaget för leveransändamål för att motivera användningen av detta undantag för den överföring av personuppgifter utanför EU som planeras senare.

Dataexportören måste därför se till att erhålla ett specifikt samtycke innan överföringen görs, även om detta sker efter det att uppgifterna har samlats in. Detta krav har även samband med att samtycket måste vara informerat. Det går att få det specifika samtycket från en registrerad före överföringen och vid tidpunkten för insamlingen av personuppgifterna förutsatt att den registrerade informeras om denna specifika överföring och att omständigheterna för överföringen inte ändras efter att den registrerade har gett det specifika samtycket. Därför måste dataexportören se till att även kraven i avsnitt 1.3 nedan är uppfyllda.

2.1.3 Samtycke måste vara informerat , i synnerhet med avseende på möjliga risker med överföringen

Detta villkor är särskilt viktigt eftersom det stärker och ytterligare specificerar det allmänna kravet på ”informerat” samtycke som är tillämpligt på alla samtycken och fastställs i artikel 4.11 . Det allmänna kravet på ”informerat” samtycke som sådant innebär, om samtycket ska utgöra en rättslig grund för en överföring av uppgifter enligt artikel 6.1 a, att den registrerade informeras utförligt i förväg om de specifika omständigheterna för överföringen (dvs. den personuppgiftsansvariges identitet, syftet med överföringen, typen av uppgifter, att rätt att återkalla samtycket föreligger och identiteten eller kategorierna av mottagare) .

Utöver detta allmänna krav på “informerat” samtycke när personuppgifter överförs till ett tredjeland enligt artikel 49.1 a kräver denna bestämmelse att de registrerade även informeras om de specifika risker som följer av att deras uppgifter överförs till ett land som inte tillhandahåller adekvat skydd och att inga lämpliga skyddsåtgärder används för att skydda uppgifterna. Denna information måste

tillhandahållas för att den registrerade ska kunna ge sitt samtycke med fullständig kännedom om dessa specifika fakta om överföringen. I annat fall är undantaget inte tillämpligt.

Den information som ges till de registrerade för att dessa ska ge sitt samtycke till att deras personuppgifter överförs till tredje parter som är etablerade i tredjeländer bör även innefatta alla mottagare eller kategorier av mottagare av uppgifterna, alla länder till vilka personuppgifterna överförs, att samtycket utgör den rättsliga grunden för överföringen och att det tredjeland till vilket uppgifterna överförs inte tillhandahåller en adekvat skyddsnivå baserat på ett beslut av Europeiska kommissionen . Såsom nämns ovan måste information dessutom ges om eventuella risker för den registrerade som uppkommer på grund av att adekvat skydd saknas i tredjelandet och att lämpliga skyddsåtgärder saknas. Ett sådant meddelande, som kan vara standardiserat, bör innefatta exempelvis information om att det eventuellt inte finns någon tillsynsmyndighet och/eller några databehandlingsprinciper och/eller rättigheter för den registrerade i tredjelandet.

I det specifika fallet när en överföring sker efter att personuppgifter har samlats in från den registrerade, bör dataexportören informera den registrerade om överföringen och dess risker innan denna äger rum, för att kunna få den registrerades uttryckliga samtycke till den ”föreslagna” överföringen.

Såsom framgår av analysen ovan ställer GDPR höga krav för att undantag från samtycke ska tillåtas. Dessa höga krav i kombination med att den registrerades samtycke när som helst kan återkallas innebär att det kan visa sig att samtycke inte är en praktiskt användbar långsiktig lösning för överföringar till tredjeländer.

2.2 Överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige eller för att genomföra åtgärder som föregår ett sådant avtal på den registrerades begäran – (artikel 49.1 b)

Mot bakgrund av skäl 111 får överföringar av uppgifter på grundval av detta undantag ske ”när överföringen är tillfällig och nödvändig med hänsyn till ett avtal (…)” Undantagen som rör fullgörandet av ett avtal kan på det hela taget förefalla relativt omfattande, men de begränsas av kriterierna ”nödvändighet” och ”tillfälliga överföringar”.

Nödvändighet av överföring av uppgifter

Å andra sidan kan resebyråers överföring av personuppgifter för deras enskilda kunder till hotell eller andra partner som skulle krävas när dessa kunders utlandsvistelser arrangeras bedömas vara nödvändiga för fullgörandet av avtalet mellan resebyrån och kunden, eftersom det i detta fall finns en tillräckligt nära och betydande koppling mellan överföringen av uppgifter och avtalets ändamål (arrangera kundens resa).

Detta undantag kan inte tillämpas på överföringar av kompletterande information som inte är nödvändiga för fullgörandet av avtalet, respektive för genomförande av åtgärder som begärs av den registrerade innan avtalet ingås . För kompletterande uppgifter skulle således andra verktyg behövas.

Tillfälliga överföringar

Personuppgifter får endast överföras enligt detta undantag när överföringen är tillfällig . Det skulle behöva fastställas från fall till fall huruvida överföringar av uppgifter eller en överföring av uppgifter ska bedömas som ”tillfällig” eller ”icke tillfällig”.

En överföring kan bedömas vara tillfällig exempelvis om personuppgifter för en försäljningschef som inom ramen för sitt anställningsavtal reser till olika kunder i tredjeländer ska skickas till dessa kunder för att de ska arrangera möten. En överföring skulle även kunna betraktas som tillfällig om en bank i EU överför personuppgifter till en bank i ett tredjeland för att utföra en kunds betalningsuppdrag, så länge denna överföring inte sker inom ramen för ett stadigvarande samarbetsförhållande mellan de båda bankerna.

Däremot skulle överföringar inte uppfylla kriterierna för att vara ”tillfälliga” i ett fall där ett multinationellt företag anordnar kurser på ett utbildningscentrum i ett tredjeland och systematiskt överför personuppgifter för de anställda som deltar i kurser (t.ex. uppgifter som namn och befattning, men potentiellt även särskilda önskemål om kost och om rörlighetsnedsättningar). Överföringar av uppgifter som sker regelbundet inom ramen för ett stadigvarande förhållande skulle betraktas som regelbundna och upprepade och därmed inte vara av ”tillfällig” karaktär. Följaktligen får många överföringar av personuppgifter inom en affärsrelation inte baseras på artikel 49.1 b.

Enligt artikel 49.3 kan detta undantag inte tillämpas på åtgärder som vidtas av offentliga myndigheter som ett led i utövandet av deras offentliga befogenheter.

2.3 Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den personuppgiftsansvarige och en annan fysisk eller juridisk person i den registrerades intresse – (artikel 49.1 c)

Tolkningen av denna bestämmelse liknar med nödvändighet tolkningen av artikel 49.1 b, nämligen att en överföring av uppgifter till ett tredjeland eller en internationell organisation i avsaknad av ett beslut om adekvat skyddsnivå enligt artikel 45.3 eller av lämpliga skyddsåtgärder enligt artikel 46, endast kan bedömas omfattas av artikel 49.1 c om den kan betraktas som ”nödvändig för att ingå eller fullgöra ett avtal mellan den personuppgiftsansvarige och en annan fysisk eller juridisk person i den registrerades intresse”.

Utöver att den ska vara nödvändig anger skäl 111 att överföring av uppgifter endast får ske ”när överföringen är tillfällig och nödvändig med hänsyn till ett avtal (…)”. Förutom

”nödvändighetsprövningen” får personuppgifter därför inte heller här överföras med användning av detta undantag annat än om överföringen är tillfällig. Nödvändighet av överföring av uppgifter och fullgörande av avtal i den registrerades intresse

När en organisation av verksamhetsskäl har utlokaliserat verksamheter som lönehantering till tjänsteleverantörer utanför EU utgör detta undantag inte någon grund för överföringar av uppgifter för sådana ändamål, eftersom det inte går att upprätta någon nära och betydande koppling mellan överföringen och fullgörandet av ett avtal i den registrerades intresse, även om det slutliga ändamålet med överföringen är hantering av den anställdes lön . Andra överföringsverktyg som anges i kapitel V kan utgöra en lämpligare grund för sådana överföringar, såsom standardklausuler för avtal eller bindande företagsregler.

Tillfälliga överföringar

Vidare kan personuppgifter endast överföras med användning av detta undantag när överföringen är tillfällig, liksom vid undantaget i artikel 49.1 b. För att bedöma huruvida en sådan överföring är tillfällig måste därför samma prövning göras .

Enligt artikel 49. 3 kan detta undantag inte tillämpas på åtgärder som vidtas av offentliga myndigheter som ett led i utövandet av deras offentliga befogenheter .

2.4 Överföringen är nödvändig av viktiga skäl som rör allmänintresset – (artikel 49.1 d)

Detta undantag, som vanligen kallas ”viktigt allmänt intresse” är mycket likt den bestämmelse som finns i artikel 26.1 d i direktiv 95/46/EG , vilken anger att en överföring ska ske endast om den är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. Enligt artikel 49.4 kan endast allmänintresse som ska vara erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av leda till tillämpning av detta undantag. Det räcker dock inte för tillämpningen av undantaget att överföringen av uppgifter begärs (t.ex. av en myndighet i ett tredjeland) för en utredning som tjänar ett allmänintresse i ett tredjeland, vilket i abstrakt bemärkelse även föreligger i unionsrätten eller den nationella rätten i en medlemsstat. Om exempelvis en myndighet i ett tredjeland begär överföring av uppgifter för en utredning som syftar till bekämpning av terrorism är det inte en tillräcklig utlösande faktor för tillämpning av artikel 49.1 d på en sådan överföring att det finns unionslagstiftning eller nationell lagstiftning i en medlemsstat som också syftar till terrorismbekämpning. Såsom Artikel 29-gruppen, föregångaren till EDPB, har betonat i tidigare uttalanden gäller undantaget endast när det även framgår av unionsrätten eller den nationella rätt som den personuppgiftsansvarige omfattas av, att sådana överföringar av uppgifter är tillåtna på grund av viktiga allmänintressen, inklusive för ömsesidighet inom internationellt samarbete . Om det finns ett internationellt avtal eller en internationell konvention som erkänner ett visst mål och föreskriver internationellt samarbete för att främja det målet kan detta vara en indikator när det bedöms huruvida ett allmänintresse föreligger i enlighet med artikel 49.1 d, förutsatt att EU eller medlemsstaterna är parter till avtalet eller konventionen.

Artikel 49.1 d är främst avsedd för offentliga myndigheter men kan även åberopas av privata organ. Detta stöds av några av de exempel som räknas upp i skäl 112, som nämner överföringar både från offentliga myndigheter och privata organ .

Det nödvändiga kravet för detta undantags tillämplighet är att det ska finnas ett viktigt allmänintresse och inte arten av organisation (offentlig, privat eller internationell) som överför och/eller tar emot uppgifterna.

Skälen 111 och 112 anger att detta undantag inte är begränsat till uppgiftsöverföringar som är “tillfälliga” . Detta innebär ändå inte att överföringar av uppgifter på grundval av undantaget av viktiga skäl som rör allmänintresset enligt artikel 49.1 d kan ske i större skala och på ett regelbundet sätt. Det är snarare den allmänna principen som behöver respekteras, enligt vilken de undantag som anges i artikel 49 inte ska bli ”regel” i praktiken utan behöver begränsas till specifika situationer, och varje dataexportör behöver se till att överföringen uppfyller den strikta nödvändighetsprövningen .

När överföringar görs inom rutinverksamhet rekommenderar EDPB starkt att alla dataexportörer (i synnerhet offentliga organ ) utarbetar dessa genom att införa lämpliga skyddsåtgärder i enlighet med artikel 46 i stället för att förlita sig på undantaget enligt artikel 49.1 d.

2.5 Överföringen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk – (artikel 49.1 e)

Fastställande, verkställande eller försvar av rättsliga anspråk

Enligt artikel 49.1 e får en överföring äga rum när den är ”nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk”. Skäl 111 anger att en överföring kan göras när ”överföringen är tillfällig och nödvändig med hänsyn till ett avtal eller ett rättsligt anspråk, oavsett om detta sker inom ett rättsligt förfarande eller i ett administrativt eller utomrättsligt förfarande, inbegripet förfaranden inför tillsynsorgan”. Detta innefattar ett brett spektrum av verksamheter, exempelvis i samband med en brottsutredning eller administrativ utredning i ett tredjeland (t.ex. antitrustlagstiftning, korruption, insiderhandel och liknande situationer), när undantaget kan tillämpas på en överföring av uppgifter för ändamålet att försvara sig eller erhålla en sänkning eller befrielse från böter, t.ex. i anti-trustutredningar. Även överföringar av uppgifter för formell utlämning av handlingar inför rättegångar i samband med civil rättsprövning kan omfattas av detta undantag. Det kan även täcka dataexportörens åtgärder för att inleda förfaranden i ett tredjeland, exempelvis inleda rättsprövning eller söka godkännande för en fusion. Undantaget kan inte användas för att motivera överföring av personuppgifter endast på grundval av att rättegångar eller formella förfaranden kan komma att äga rum i framtiden.

Detta undantag kan inte tillämpas på åtgärder som vidtas av offentliga myndigheter som ett led i utövandet av deras offentliga befogenheter (artikel 49.3). Kombinationen av termerna “rättsligt anspråk” och “förfarande” innebär att det relevanta förfarandet måste ha en grund i lagen och innefatta en formell, rättsligt definierad process, men det måste inte nödvändigtvis vara begränsat till rättsliga eller administrativa förfaranden (”eller utomrättsligt

förfarande”). Eftersom en överföring behöver göras inom ett förfarande krävs en nära koppling mellan en överföring av uppgifter och ett specifikt förfarande när det gäller den aktuella situationen. Den abstrakta tillämpligheten hos en viss typ av förfarande skulle inte räcka.

Personuppgiftsansvariga och personuppgiftsbiträden behöver vara medvetna om att nationell lag även kan innehålla så kallade “blockerande stadgar” som förbjuder dem från eller begränsar deras möjligheter att överföra personuppgifter till utländska domstolar eller eventuellt till andra utländska offentliga organ.

Nödvändighet av överföring av uppgifter

En berörd överföring av uppgifter kan endast äga rum när den är nödvändig för att upprätta, verkställa eller försvara det rättsliga anspråket i fråga. Denna “nödvändighetsprövning” kräver en nära och betydande koppling mellan uppgifterna i fråga och det specifika upprättandet, verkställandet eller försvaret av rättsläget . Enbart tredjelandets myndigheters intresse eller eventuell goodwill från tredjelandets myndighet skulle inte räcka. En dataexportör kan känna sig frestad att överföra alla tänkbara relevanta personuppgifter som svar på en begäran eller för att inleda rättsliga förfaranden; men detta skulle inte vara i linje med detta undantag eller med GDPR mer generellt eftersom det (enligt principen om uppgiftsminimering) betonas att behovet av personuppgifter ska vara adekvat, relevant och begränsat till vad som är nödvändigt för de ändamål för vilka de behandlas.

När det gäller rättsprövningar har artikel 29-gruppen, föregångaren till EDPB, redan utformat ett skiktat tillvägagångssätt för frågan om huruvida personuppgifter bör överföras, vilket innefattar tillämpning av denna princip. Som ett första steg ska en noggrann bedömning göras av huruvida anonymiserade uppgifter skulle räcka i det särskilda fallet. Om så inte är fallet kan överföring av pseudonymiserade uppgifter övervägas. Om det är nödvändigt att skicka personuppgifter till ett tredjeland bör deras relevans för det särskilda ärendet bedömas – så att endast en uppsättning personuppgifter som faktiskt är nödvändig överförs och lämnas ut.

Tillfällig överföring

Sådana överföringar bör endast göras om de är tillfälliga. För information om definitionen av tillfälliga överföringar, se relevant avsnitt om ”tillfälliga” och ”inte repetitiva” överföringar . Dataexportörer bör göra en noggrann bedömning i varje enskilt fall.

2.6 Överföringen är nödvändig för att skydda den registrerades eller andra personers grundläggande intressen, när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke – (artikel 49.1 f)

Undantaget enligt artikel 49.1 f är uppenbart tillämpligt när uppgifter överförs i samband med en medicinsk akutsituation och där det anses att en sådan överföring är direkt nödvändig för att den vård som krävs ska kunna ges. Det måste t.ex. vara möjligt med laglig överföring av uppgifter (inklusive vissa personuppgifter) om den registrerade, medan han eller hon är utanför EU, är medvetslös och i akut behov av medicinsk vård och endast en exportör (t.ex. personens vanliga läkare) som är verksam i en EU-medlemsstat kan

tillhandahålla dessa uppgifter. I sådana fall antar lagen att den överhängande risken att den registrerade ska lida allvarlig skada uppväger dataskyddsriskerna. Överföringen måste gälla den registrerades enskilda intresse eller en annan persons enskilda intresse, och när det gäller hälsouppgifter måste överföringen vara nödvändig för en viktig diagnos. Detta innebär att undantaget inte går att använda för att motivera överföring av medicinska personuppgifter utanför EU om överföringens ändamål inte är att behandla den registrerade eller en annan person i det särskilda fallet utan exempelvis för att utföra medicinsk forskning som inte kommer att ge några resultat förrän någon gång i framtiden.

GDPR begränsar faktiskt inte användningen av detta undantag till en persons fysiska integritet utan lämnar även utrymme för att exempelvis ta hänsyn till fall där en persons psykiska integritet bör skyddas. Även i detta fall skulle den berörda personen vara oförmögen – fysiskt eller i rättslig mening – att ge sitt samtycke till överföring av sina personuppgifter. Dessutom får den berörda enskilda person vars personuppgifter är föremål för överföringen specifikt inte vara förmögen att ge sitt samtycke – i fysisk eller rättslig mening – till denna överföring.

När den registrerade är förmögen att fatta ett giltigt beslut och det går att efterfråga hans eller hennes samtycke kan detta undantag dock inte tillämpas.

Om personuppgifter exempelvis krävs för att förhindra avhysning från en fastighet skulle detta inte omfattas av undantaget, eftersom boende visserligen kan betraktas som ett viktigt intresse men den berörda personen är förmögen att ge sitt samtycke till överföring av sina uppgifter.

Denna förmåga att fatta ett giltigt beslut kan vara avhängig av fysisk, psykisk och även rättslig förmåga. Rättslig oförmåga kan exempelvis innefatta en underårig, utan att det påverkar nationella representationsmekanismer. Denna rättsliga oförmåga måste bevisas, beroende på fallet, genom antingen ett läkarintyg som visar psykisk oförmåga hos den berörda personen eller genom ett officiellt dokument som bekräftar rättsläget för den berörda personen.

Även överföringar av uppgifter till en internationell humanitär organisation som är nödvändiga för att utföra en uppgift som omfattas av Genèvekonventionerna eller är förenlig med internationell humanitär rätt, vilken är tillämplig vid väpnade konflikter, kan omfattas av artikel 49.1 f, se skäl 112. Åter gäller att den registrerade i dessa fall måste vara fysiskt eller rättsligt förhindrad att ge sitt samtycke.

Överföring av personuppgifter efter naturkatastrofer och inom ramen för delning av personuppgifter med organ eller personer för räddnings- eller hämtningsinsatser (t.ex. anhöriga till offer för katastrofer liksom för statliga myndigheter och räddningstjänster) kan motiveras enligt detta undantag. Sådana oväntade händelser (översvämningar, jordbävningar, orkaner osv.) kan motivera brådskande överföring av vissa personuppgifter för att exempelvis ta reda på var offren befinner sig och deras tillstånd. I sådana situationer anses det att den registrerade inte är förmögen att ge sitt samtycke till överföring av sina uppgifter.

2,7. Överföring från ett offentligt register – (artikel 49.1 g och artikel 49.2)

Artikel 49.1 g och artikel 49.2 tillåter överföring av personuppgifter från register på vissa villkor. Generellt definieras ett register som “regelbundet ordnade (skriftliga) poster eller uppgifter” eller “en

officiell förteckning eller registrering av namn eller poster” , där ett register i samband med artikel 49 kan vara i skriftlig eller elektronisk form. Enligt unionsrätten eller medlemsstaternas nationella rätt måste registret i fråga vara avsett att ge allmänheten information. Därför ligger privata register (sådana som privata organ ansvarar för) utanför tillämpningsområdet för detta undantag (t.ex. privata register genom vilka kreditvärdighet bedöms).

Registret måste vara öppet för läsning antingen för (a) allmänheten, eller

(b) varje person som kan visa berättigat intresse.

Registren kan t.ex. vara bolagsregister, föreningsregister, straffregister, fastighetsregister eller offentliga fordonsregister. Utöver de allmänna kraven som gäller registrens utformning får överföringar från dessa register endast äga rum om och i den utsträckning de villkor för läsning som fastställs i unionsrätten eller medlemsstaternas nationella rätt är uppfyllda (när det gäller dessa villkor, se artikel 49.1 g). Personuppgiftsansvariga och personuppgiftsbiträden som vill överföra personuppgifter med tillämpning av detta undantag behöver vara medvetna om att en överföring inte får omfatta alla personuppgifter eller hela kategorier av personuppgifter som finns i registret (artikel 49.2). När en överföring görs från ett register upprättat enligt lagen och när det ska vara tillgängligt för personer med ett berättigat intresse kan överföringen endast göras på begäran av dessa personer eller om de själva är mottagarna, med full hänsyn till de registrerades intressen och grundläggande rättigheter . Dataexportörerna skulle från fall till fall alltid behöva ta hänsyn till den registrerades intressen och rättigheter vid bedömning av överföringens lämplighet.

Vidare användning av personuppgifter från sådana register som anges ovan får endast äga rum i enlighet med tillämplig dataskyddslagstiftning.

Detta undantag kan även tillämpas på åtgärder som vidtas av offentliga myndigheter som ett led i utövandet av deras offentliga befogenheter (artikel 49.3).

2.8. Tvingande berättigade intressen – (artikel 49.1.andra stycket)

I artikel 49.1 andra stycket införs ett nytt undantag som tidigare inte ingick i direktivet. Beroende på ett antal specifika, uttryckligen uppräknade villkor kan personuppgifter överföras om det är nödvändigt av tvingande berättigade intressen för dataexportören. Detta undantag betraktas av lagen som en sista utväg, eftersom det endast är tillämpligt när “en överföring inte skulle kunna grundas på en bestämmelse i artikel 45 eller 46, inklusive bestämmelserna om bindande företagsbestämmelser, och inget av undantagen för en särskild situation [...] är tillämpligt”.

Detta skiktade tillvägagångssätt för bedömningen av användningen av undantag som grund för överföringar kräver att hänsyn tas till om det är möjligt att använda ett överföringsverktyg enligt artikel 45 eller 46 eller något av de specifika undantag som anges i första stycket i artikel 49.1, innan man tillgriper undantaget i andra stycket i artikel 49.1. Detta kan enligt skäl 113 endast användas i vissa fall

och är beroende av ett betydande antal villkor som uttryckligen fastställs i lag. I linje med principen om ansvarsskyldighet som fastläggs i GDPR måste dataexportören därför kunna visa att det varken var möjligt att göra överföringen av uppgifter med lämpliga skyddsåtgärder enligt artikel 46 eller att tillämpa något av undantagen enligt första stycket i artikel 49.1.

Detta innebär att dataexportören kan visa att allvarliga försök har gjorts i det avseendet, med hänsyn till omständigheterna för överföringen av uppgifter. Detta kan exempelvis och beroende på fallet innefatta att visa belägg för huruvida överföringen av uppgifter kan göras på grundval av de registrerades uttryckliga samtycke till överföringen enligt artikel 49.1 a. Under vissa omständigheter kan emellertid användningen av andra verktyg inte vara praktiskt möjlig. Exempelvis kan vissa typer av lämpliga skyddsåtgärder enligt artikel 46 inte vara ett realistiskt alternativ för en dataexportör som är ett litet eller medelstort företag. Detta kan även vara fallet exempelvis när dataimportören uttryckligen har vägrat ingå ett avtal om överföring av uppgifter på grundval av standardklausulerna för dataskydd i artikel 46.2 c och inget annat alternativ finns (inklusive, beroende på fallet, att välja en annan ”dataimportör”) – se även stycket nedan om ”tvingande” berättigat intresse.

Den personuppgiftsansvariges tvingande berättigade intressen

Enligt undantagets lydelse måste överföringen vara nödvändig för ändamål som rör den personuppgiftsansvarigas tvingande berättigade intressen som väger tyngre än den registrerades intressen eller rättigheter och friheter. Hänsyn till en dataexportörs intressen i dennes egenskap av personuppgiftsbiträde eller till en dataimportörs intressen är inte relevant.

Vidare är endast intressen som betraktas som ”tvingande” relevanta, vilket avsevärt begränsar tillämpningsområdet för undantaget eftersom alla de ”berättigade intressen” som är tänkbara enligt artikel 6.1 f inte är tillämpliga här. I stället gäller en högre tröskel som kräver att de tvingande berättigade intressena är av avgörande betydelse för den personuppgiftsansvarige. Detta kan t.ex. vara fallet om den personuppgiftsansvarige är tvungen att överföra personuppgifterna för att skydda sin organisation eller sina system från allvarlig, omedelbar skada eller från en allvarlig påföljd som skulle påverka den personuppgiftsansvariges affärsverksamhet påtagligt.

Inte repetitiv

Enligt den uttryckliga lydelsen är andra stycket i artikel 49.1 endast tillämpligt om överföringen inte är repetitiv .

Begränsat antal registrerade

Dessutom får överföringen endast gälla ett begränsat antal registrerade. Ingen absolut gräns har satts upp eftersom denna beror på sammanhanget men antalet måste vara rimligt begränsat med hänsyn till typen av överföring.

I praktiken är begreppet ”begränsat antal registrerade” beroende av det faktiska fallet. Om en personuppgiftsansvarig exempelvis behöver överföra personuppgifter för att upptäcka en unik och allvarlig säkerhetsincident för att skydda sin organisation skulle frågan vara hur många av de anställdas personuppgifter som den personuppgiftsansvarige skulle behöva överföra för att tillgodose detta tvingande berättigade intresse.

För att undantaget ska gälla ska denna överföring inte tillämpas på alla den personuppgiftsansvariges anställda utan på ett begränsat fåtal.

Väga “den personuppgiftsansvariges tvingande berättigade intressen” mot “den registrerades intressen eller rättigheter och friheter ” på grundval av en bedömning av alla omständigheter som omger överföringen av uppgifter och tillhandahålla tillräckliga skyddsåtgärder

Som ett ytterligare krav måste en avvägningsprövning göras mellan dataexportörens (tvingande) berättigade intresse och den registrerades intressen eller rättigheter och friheter. I det avseendet kräver lagen uttryckligen att dataexportören bedömer alla omständigheter för överföringen av uppgifter i fråga och baserat på den bedömningen tillhandahåller ”lämpliga skyddsåtgärder” när det gäller skyddet av överförda uppgifter. Detta krav framhäver den särskilda funktion som skyddsåtgärder kan fylla för att minska överföringens otillbörliga påverkan på de registrerade och därigenom möjligen påverka balansen mellan rättigheter och intressen så att den personuppgiftsansvariges intressen inte åsidosätts.

När det gäller de registrerades intressen, rättigheter och friheter till vilka hänsyn behöver tas behöver en noggrann förutsägelse och bedömning göras av de möjliga negativa effekterna, dvs. riskerna med överföringen av uppgifter för den registrerades alla (berättigade) intressen, genom att hänsyn tas till deras sannolikhet och allvar. I det avseendet behöver i synnerhet eventuell skada (fysisk och materiell, men även immateriell, t.ex. förlust av renommé) beaktas . Vid bedömning av dessa risker och vad som under de givna omständigheterna skulle kunna betraktas som ”lämpliga skyddsåtgärder” för den registrerades rättigheter och friheter behöver dataexportören ta särskild hänsyn till uppgifternas art, behandlingens ändamål och varaktighet samt situationen i ursprungslandet, tredjelandet och, om ett sådant finns, det land som är slutdestination för överföringen.

Vidare kräver lagen att dataexportören tillämpar ytterligare skyddsåtgärder för att minimera de identifierade risker som överföringen av uppgifter innebär för den registrerade. Detta anges som ett obligatoriskt krav i lagen, vilket kan innebära att den personuppgiftsansvariges intressen i frånvaro av ytterligare skyddsåtgärder vid överföringen hursomhelst kan åsidosättas av den registrerades intressen eller rättigheter och friheter. När det gäller sådana skyddsåtgärders art går det inte att ställa upp några allmänna krav som är tillämpliga på alla fall i detta avseende. Kraven kommer snarare att variera i hög grad beroende på den specifika överföringen i fråga. Beroende på fallet kan skyddsåtgärderna innefatta exempelvis åtgärder för att säkerställa att uppgifterna raderas så snart

som möjligt efter överföringen, eller begränsa de ändamål för vilka uppgifterna får behandlas efter överföringen. Särskild uppmärksamhet bör ägnas åt att fastställa om det kan räcka att överföra pseudonymiserade eller krypterade uppgifter. Vidare bör man undersöka tekniska och organisatoriska åtgärder för att se till att överförda uppgifter inte kan användas för andra ändamål än exakt dem som föreskrivits av dataexportören.

Information till tillsynsmyndigheten

Skyldigheten att informera tillsynsmyndigheten innebär inte att överföringen måste godkännas av tillsynsmyndigheten. Den fungerar snarare som en ytterligare skyddsåtgärd genom att den gör det möjligt för tillsynsmyndigheten att bedöma överföringen av uppgifter (om den anser det lämpligt) med avseende på dess möjliga inverkan på berörda registrerades rättigheter och friheter. Som en del av sin efterlevnad av principen om ansvarsskyldighet rekommenderas det att dataexportören registrerar alla relevanta aspekter av överföringen, t.ex. det tvingande berättigade intresset, de ”konkurrerande” intressena för den enskilde, arten av uppgifter som överförs och överföringens ändamål. Tillhandahålla information om överföringen och de tvingande berättigade intressena till den

registrerade

Den personuppgiftsansvarige måste informera den registrerade om överföringen och om de tvingande berättigade intressen som föranledde den. Denna information måste tillhandahållas utöver den som krävs enligt artiklarna 13 och 14 i GDPR.

För Europeiska dataskyddsstyrelsen Ordförande

(Andrea Jelinek)