Riktlinjer 2/2020 om artikel 46.2 a och artikel 46.3 b i förordning 2016/679 för överföringar av personuppgifter mellan offentliga myndigheter och organ i EES-länder och länder utanför EES

Europeiska dataskyddsstyrelsen har antagit dessa riktlinjer

med beaktande av artikel 70.1e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1 ALLMÄNT

1.1 Syfte

1. Syftet med detta dokument är att ge vägledning om tillämpningen av artikel 46.2 a och 46.3 b i allmänna dataskyddsförordningen om överföringen av personuppgifter från offentliga myndigheter eller organ inom EES (offentliga organ) till offentliga organ i tredjeländer eller till internationella organisationer, i den utsträckning som dessa inte täcks av ett konstaterande av adekvat skyddsnivå som antagits av Europeiska kommissionen . Offentliga organ kan välja att använda dessa mekanismer, som i allmänna dataskyddsförordningen anses som lämpligare i deras situation, men de kan även förlita sig på andra relevanta verktyg som ger en lämplig skyddsnivå enligt artikel 46 i allmänna dataskyddsförordningen.

2. Riktlinjerna är avsedda att ge en indikation på Europeiska dataskyddsstyrelsens (EDPB) förväntningar på de skyddsåtgärder som ska finnas på plats genom ett rättsligt bindande och verkställbart instrument mellan offentliga organ enligt artikel 46.2 a i allmänna dataskyddsförordningen eller, med förbehåll för tillstånd från den behöriga tillsynsmyndigheten, genom bestämmelser som ska anges i administrativa överenskommelser mellan de offentliga organen enligt artikel 46.3 b i allmänna dataskyddsförordningen . EDPB rekommenderar starkt att parterna utgår från riktlinjerna i ett tidigt skede för att slutföra eller ändra sådana instrument eller överenskommelser .

3. Riktlinjerna ska tolkas tillsammans med tidigare arbete som genomförts av EDPB (inklusive dokument som stöds av dess företrädare, artikel 29-arbetsgruppen ) om de centrala frågorna kring territoriellt tillämpningsområde och överföringar av personuppgifter till tredjeländer . Riktlinjerna kommer att ses över och uppdateras vid behov, baserat på praktiska erfarenheter från tillämpningen av allmänna dataskyddsförordningen.

4. Riktlinjerna omfattar internationella överföringar av uppgifter mellan offentliga organ som genomförs i olika administrativa samarbetssyften och som omfattas av allmänna dataskyddsförordningen. Enligt artikel 2.2 i allmänna dataskyddsförordningen omfattar riktlinjerna därmed inte överföringar gällande allmän säkerhet, försvar eller statssäkerhet. Riktlinjerna omfattar inte heller databehandling och överföring från behöriga myndigheter för brottsbekämpning, eftersom detta regleras av ett särskilt instrument, nämligen brottsbekämpningsdirektivet . Slutligen gäller riktlinjerna endast överföringar mellan offentliga organ och inte överföringar av personuppgifter från ett offentligt organ till en privat enhet eller från en privat enhet till ett offentligt organ.

1.2 Allmänna regler för internationella överföringar

5. Enligt artikel 44 i allmänna dataskyddsförordningen ska de som överför personuppgifter till tredjeland eller internationella organisationer utöver att uppfylla bestämmelserna i kapitel V i allmänna dataskyddsförordningen även uppfylla villkoren för övriga bestämmelser i förordningen. Varje behandling ska ske enligt dataskyddsprinciperna i artikel 5 i allmänna dataskyddsförordningen, vara laglig enligt artikel 6 och överensstämma med artikel 9 i allmänna dataskyddsförordningen om behandling av särskilda kategorier av personuppgifter. Därför ska ett två-stegstest genomföras: För det första ska det finnas en rättslig grund för behandlingen av uppgifter som sådan som gäller tillsammans med samtliga tillämpliga bestämmelser i allmänna dataskyddsförordningen. För det andra ska bestämmelserna i kapitel V i allmänna dataskyddsförordningen uppfyllas.

6. I artikel 46 i allmänna dataskyddsförordningen anges att ”i avsaknad av ett beslut i enlighet med artikel 45.3, får en personuppgiftsansvarig eller ett personuppgiftsbiträde endast överföra personuppgifter till ett tredjeland eller en internationell organisation efter att ha vidtagit lämpliga skyddsåtgärder, och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga”. Sådana lämpliga skyddsåtgärder kan tillhandahållas genom rättsligt bindande och verkställbara instrument mellan offentliga organ (artikel 46.2 a i allmänna dataskyddsförordningen) eller, med förbehåll för tillstånd från den behöriga tillsynsmyndigheten, enligt bestämmelser som ska anges i administrativa överenskommelser mellan offentliga organ som inbegriper verkställbara och faktiska rättigheter för de registrerade (artikel 46.3 b i allmänna dataskyddsförordningen). Europeiska unionens domstol har klargjort att sådana lämpliga skyddsåtgärder måste kunna säkerställa att de registrerade vars personuppgifter överförs skyddas på samma nivå som garanteras inom EES .

7. Utöver den här lösningen och vid avsaknad av den omfattar artikel 49 i allmänna dataskyddsförordningen även ett begränsat antal särskilda situationer där internationella överföringar av uppgifter får ske när Europeiska kommissionen inte har fattat något beslut om adekvat skyddsnivå . Ett undantag omfattar överföringar som är nödvändiga på grund av viktiga allmänintressen, som erkänts i unionsrätten eller i den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, däribland i en anda av ömsesidighet inom internationellt samarbete . Enligt tidigare vägledning från EDPB måste dock de undantag som anges i artikel 49 i allmänna dataskyddsförordningen tolkas restriktivt och främst gälla behandling av personuppgifter som är tillfällig och inte repetitiv .

1.3 Definition av en offentlig myndighet eller ett offentligt organ

8. I allmänna dataskyddsförordningen definieras inte vad som utgör en offentlig myndighet eller ett offentligt organ. EDPB anser att begreppet är tillräckligt brett för att omfatta både offentliga organ i tredjeländer och internationella organisationer . Med hänsyn till offentliga organ i tredjeländer ska begreppet definieras enligt nationell lagstiftning. På samma sätt ingår myndigheter på olika nivåer i begreppet offentliga organ (dvs. nationella, regionala och lokala myndigheter) men det kan även inkludera andra organ som regleras av offentlig rätt (dvs. genomförandeorgan, universitet, sjukhus osv.) . Enligt artikel 4.26 i allmänna dataskyddsförordningen avses med ”internationell organisation” en organisation och dess underställda organ som lyder under folkrätten, eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två länder.

9. EDPB erinrar om att tillämpningen av allmänna dataskyddsförordningen inte påverkar internationell rätt som reglerar de internationella organisationernas immunitet och privilegier. Samtidigt är det viktigt att de offentliga organen inom EES som överför uppgifter till internationella organisationer följer reglerna enligt allmänna dataskyddsförordningen om överföringar till tredjeländer eller till internationella organisationer .

2 ALLMÄNNA REKOMMENDATIONER FÖR LÄMPLIGA SKYDDSÅTGÄRDER ENLIGT ARTIKLARNA 46.2 A OCH 46.3 B I ALLMÄNNA DATASKYDDSFÖRORDNINGEN

10. Till skillnad från artikel 26.2 i direktiv 95/46/EG anges i artikel 46 i allmänna dataskyddsförordningen ytterligare lämpliga skyddsåtgärder som kan användas vid överföringar mellan offentliga organ: (i) ett rättsligt bindande och verkställbart instrument, artikel 46.2 a i allmänna dataskyddsförordningen, eller (ii) bestämmelser som kan införas i administrativa överenskommelser, artikel 46.3 b i allmänna dataskyddsförordningen. Dessa instrument och överenskommelser kan vara av både bilateral och multilateral art.

11. I följande avsnitt anges några allmänna rekommendationer för att säkerställa att rättsligt bindande instrument eller administrativa överenskommelser (internationella avtal) mellan offentliga organ överensstämmer med allmänna dataskyddsförordningen.

12. Trots att artikel 46 och skäl 108 i allmänna dataskyddsförordningen inte anger särskilda uppgifter om de garantier som ska ingå i sådana internationella avtal har EDPB med beaktande av artikel 44 i 15 16 allmänna dataskyddsförordningen och Europeiska unionens domstols senaste rättspraxis upprättat en förteckning över minimiskyddsåtgärder som ska inkluderas i internationella avtal mellan offentliga organ enligt artiklarna 46.2 a eller 46.3 b i allmänna dataskyddsförordningen. Genom skyddsåtgärderna säkerställs att skyddsnivån för fysiska personer enligt allmänna dataskyddsförordningen inte undergrävs när personuppgifterna överförs till länder utanför EES och att de registrerade får en skyddsnivå som överensstämmer med den som garanteras i unionen genom allmänna dataskyddsförordningen .

13. Enligt Europeiska unionens domstols senaste rättspraxis ansvarar det offentliga organet som överför uppgifterna i en medlemsstat, vid behov tillsammans med det mottagande offentliga organet, för att bedöma om tredjelandet tar hänsyn till den skyddsnivå som krävs enligt unionsrätten, för att kunna fastställa om förteckningen med skyddsåtgärder i det internationella avtalet kan efterlevas i praktiken. Detta ska ske genom att beakta eventuella problem med att efterleva dessa skyddsåtgärder som uppstår på grund av tredjelandets lagstiftning.

14. I detta avseende bör det även noteras att internationella avtal för att säkerställa de skyddsåtgärder som anges i dessa riktlinjer kan bygga på befintliga delar i tredjelandets nationella lagstiftning eller internationella organisationers interna regler/regelverk.

2.1 Syfte och tillämpningsområde

15. I de internationella avtalen bör syfte och tillämpningsområden uttryckligen fastställas och specificeras. Dessutom bör avtalen tydligt ange vilka kategorier av personuppgifter som omfattas samt typ av behandling av de personuppgifter som ska överföras och behandlas enligt avtalet.

2.2 Definitioner

16. De internationella avtalen ska innehålla definitioner av grundläggande begrepp för personuppgifter samt rättigheter enligt allmänna dataskyddsförordningen som är relevanta för det aktuella avtalet. Sådana avtal ska till exempel innehålla följande viktiga definitioner om de används: ”personuppgifter”, ”behandling av personuppgifter”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”mottagare” och ”känsliga uppgifter”.

2.3 Dataskyddsprinciper

17. Internationella avtal ska innehålla en specifik ordalydelse som kräver att centrala principer för skydd av personuppgifter säkerställs av båda parter.

2.3.1 Principen om ändamålsbegränsning

18. I internationella avtal ska de ändamål för vilka personuppgifterna ska överföras och behandlas anges. De ska även inkludera de ändamål som är förenliga för ytterligare behandling, samt en garanti om att uppgifterna inte kommer att behandlas ytterligare för oförenliga ändamål. Förenliga ändamål kan inkludera arkivändamål av allmänt intresse, samt behandling för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. För ökad tydlighet rekommenderas att de särskilda ändamålen för behandling och överföring av personuppgifterna anges i det internationella avtalet.

19. För att undvika riskerna för ”funktionsglidning” ska man i avtalen även ange att de överförda uppgifterna inte får användas för andra ändamål än de som uttryckligen angetts i avtalet, med undantag för vad som anges i stycket nedan.

20. Om båda parterna i det internationella avtalet vill att det mottagande offentliga organet ska kunna använda de överförda personuppgifterna för andra förenliga ändamål ska en sådan användning av det mottagande offentliga organet endast vara tillåten om den är förenlig med det ursprungliga ändamålet och om den har meddelats till det överförande offentliga organet som av särskilda skäl kan motsätta sig detta.

2.3.2 Uppgifternas riktighet och principer för uppgiftsminimering

21. I det internationella avtalet ska man specificera att de uppgifter som ska överföras och behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de överförs och behandlas.

22. I praktiken är den här principen för uppgiftsminimering viktig för att undvika överföringar av personuppgifter när de är inkorrekta eller överflödiga.

23. Dessutom ska uppgifterna vara riktiga och uppdaterade i förhållande till de ändamål för vilka de behandlas. Ett internationellt avtal måste därför ange att den överförande parten ska säkerställa att personuppgifterna som överförs enligt avtalet är riktiga och, där så är tillämpligt, uppdaterade. Dessutom ska det i avtalet anges att om någon av parterna blir medvetna om att felaktiga eller föråldrade uppgifter har överförts eller behandlas ska den andra parten utan dröjsmål meddelas om detta. Slutligen ska avtalet säkerställa att varje part, då det bekräftas att uppgifter som överförts eller behandlats är felaktiga, vidtar alla rimliga åtgärder för att rätta eller radera informationen.

2.3.3 Principen om lagringsminimering

24. Parterna ska säkerställa att det internationella avtalet innehåller en klausul om lagring av uppgifter. Klausulen ska specificera att personuppgifterna inte får lagras under obegränsad tid utan i en form som möjliggör identifiering av den registrerade endast under den tid som är nödvändig för de ändamål för vilka personuppgifterna överfördes och behandlades. Detta kan inkludera lagring under den tid som är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, under förutsättning att lämpliga tekniska och organisatoriska åtgärder genomförs för att säkerställa de registrerades rättigheter och friheter, som ytterligare tekniska åtgärder (t.ex. säkerhetsåtgärder, pseudonymisering) och åtkomstbegränsningar. Om en tidsbegränsning för lagringsperioden inte redan finns i den nationella lagstiftningen eller i de interna reglerna/regelverket för en internationell organisation ska en sådan tidsbegränsning anges i avtalstexten.

2.3.4 Uppgifternas säkerhet och konfidentialitet

25. Parterna bör åta sig att garantera säkerhet och konfidentialitet för de personuppgifter som hanteras och överförs. Parterna bör särskilt åta sig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot otillåten eller otillbörlig åtkomst, förstöring, förlust, ändringar eller otillåtna handlingar. Sådana åtgärder kan till exempel inbegripa kryptering vid överföring, pseudonymisering, markering av information som personuppgifter som överförts från EES-länder, begränsning av åtkomst till personuppgifter, tillhandahållande av säker lagring av personuppgifter, eller åtgärder för att säkerställa att personuppgifterna förvaras på ett säkert och konfidentiellt sätt. Säkerhetsnivån bör fastställas med beaktande av riskerna, den senaste tekniska utvecklingen och de tillhörande kostnaderna.

26. I det internationella avtalet kan man dessutom specificera att så snart någon av parterna blir medveten om att en personuppgiftsincident har inträffat, ska den informera den eller de andra parterna om detta utan dröjsmål och vidta lämpliga åtgärder för att avhjälpa situationen och minimera de potentiella negativa effekterna. Detta inbegriper även att utan dröjsmål meddela den registrerade om personuppgiftsincidenten om incidenten kan resultera i att den fysiska personens rättigheter och friheter riskeras.Det rekommenderas att tidslinjen för anmälning av personuppgiftsincidenter samt kommunikationsförfaranden för att meddela den registrerade anges i avtalet.

2.4 De registrerades rättigheter

27. Det internationella avtalet ska säkerställa att de registrerades rättigheter är verkställbara och faktiska enligt vad som anges i artikel 46.1 och skäl 108 i allmänna dataskyddsförordningen.

28. De registrerades rättigheter, inklusive de särskilda åtgärderna som parterna vidtagit för att tillhandahålla dessa rättigheter ska anges i avtalet. I det internationella avtalet ska man därför ange de mekanismer som säkerställer att rättigheterna tillämpas i praktiken. Dessutom måste alla typer av incidenter som äventyrar de registrerades rättigheter åtgärdas på lämpligt sätt.

2.4.1 Rätt till öppenhet

29. Parterna ska säkerställa att det internationella avtalet har en tydlig lydelse som beskriver krav på parternas öppenhet.

30. Sådana krav ska å ena sidan inkludera allmän information som åtminstone ska ange hur och varför de offentliga organen kan behandla och överföra personuppgifter, relevanta verktyg som används vid överföringen, de enheter till vilka uppgifterna kan överföras, de registrerades rättigheter och tillämpliga begränsningar, tillgängliga prövningsmöjligheter och kontaktuppgifter för att anmäla tvister eller klagomål.

31. Det är emellertid viktigt att erinra om att det inte är tillräckligt för det offentliga organet som överför uppgifterna att ange allmän information på sin webbplats. Information till de registrerade ska lämnas av det offentliga organ som överför uppgifterna enligt kraven på information i artiklarna 13 och 14 i allmänna dataskyddsförordningen . I det internationella avtalet kan även vissa undantag anges för sådan individuell information. Dessa undantag är begränsade och ska överensstämma med de som anges i artikel 14.5 i allmänna dataskyddsförordningen, till exempel om den registrerade redan förfogar över informationen, eller om tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning.

32. Parterna ska se till att det internationella avtalet tillgängliggörs för de registrerade på begäran och att avtalet eller de relevanta bestämmelserna som reglerar lämpliga skyddsåtgärder offentliggörs på deras webbplats. I den utsträckning som krävs för att skydda känslig eller konfidentiell information kan det internationella avtalet redigeras innan det kopieras eller offentliggörs. Parterna ska tillhandahålla en meningsfull sammanfattning om det krävs för att den registrerade ska få möjlighet att förstå innehållet i det internationella avtalet.

2.4.2 Den registrerades rätt till tillgång, rättelse, radering, begränsning av behandling och rätt att göra invändningar

33. Det internationella avtalet ska säkerställa den registrerades rätt att få information om och tillgång till alla personuppgifter som rör personen och som behandlas, rätt till rättelse, radering, begränsning av behandling och där så är relevant även rätten att göra invändningar mot behandling av personuppgifter som rör den registrerades särskilda situation.

34. När det gäller rätt till tillgång bör det internationella avtalet reglera att enskilda personer ska ha rätt att i förhållande till det mottagande offentliga organet erhålla en bekräftelse på om personens uppgifter behandlas eller inte, och om så är fallet, få tillgång till dessa uppgifter, samt specifik information beträffande behandlingen, inklusive behandlingens syfte, de kategorier av personuppgifter som behandlingen gäller, mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, angiven lagringstid och möjligheterna till prövning.

35. Avtalet ska även ange när dessa rättigheter kan åberopas och inkludera de förfaranden som anger hur de registrerade kan utöva dessa rättigheter inför båda parterna samt hur dessa parter ska besvara sådana önskemål. När det gäller till exempel radering kan det internationella avtalet ange att uppgifterna ska raderas om informationen har behandlats på ett olagligt sätt eller om de inte längre behövs för behandling. Dessutom bör det i internationella avtalet anges att parterna vid begäran från de registrerade ska svara inom rimlig tid. I avtalet kan det även anges att parterna kan vidta lämpliga steg, som att ta ut rimliga avgifter för att täcka de administrativa kostnaderna i de fall begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art.

36. Avtalet bör även innehålla ett krav på det överförande offentliga organet om att tillhandahålla information till den registrerade, när personuppgifterna har överförts, om de åtgärder som vidtagits för den registrerades begäran enligt de rättigheter som anges enligt det internationella avtalet utan dröjsmål genom att fastställa en lämplig tidsgräns (t.ex. en månad). Slutligen ska information tillhandahållas utan dröjsmål till den registrerade om parterna inte vidtar åtgärder på den registrerades begäran, genom att fastställa en lämplig tidsgräns (t.ex. inom en månad från det att begäran mottagits), för att ange skälen till att inte vidta åtgärder och om möjligheten att lämna in ett klagomål och begära rättslig prövning.

37. Det internationella avtalet kan även ange undantag från dessa rättigheter. Till exempel kan det föreskrivas undantag från rätten till tillgång och radering som de som anges i artikel 15.4 och 17.3 i allmänna dataskyddsförordningen. På samma sätt kan det föreskrivas undantag från rättigheter för de enskilda i de fall personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål, statistiska ändamål eller arkivändamål, i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och under förutsättning att lämpliga skyddsåtgärder finns på plats (t.ex. tekniska och organisatoriska åtgärder, inklusive pseudonymisering). Slutligen kan avtalet ange att parterna kan neka att reagera på en begäran som är uppenbart ogrundad eller orimlig.

2.4.3 Automatiserat individuellt beslutsfattande

38. Om det är relevant för det aktuella avtalet ska internationella avtal i regel innehålla en klausul som anger att det mottagande offentliga organet inte ska fatta beslut enbart baserat på automatiserat individuellt beslutsfattande, inbegripet profilering, vilket ger rättsliga följder för den registrerade eller på liknande sätt påverkar den registrerade. Om syftet med överföringen inbegriper möjligheten för det mottagande offentliga organet att fatta beslut enbart genom automatiserad behandling enligt artikel 22 i allmänna dataskyddsförordningen ska detta endast ske enligt vissa villkor som anges i det internationella avtalet, som behovet att inhämta uttryckligt samtycke från den registrerade. Om beslutet inte överensstämmer med dessa villkor ska den registrerade ha rätt att inte bli föremål för det. Om automatiserat individuellt beslutsfattande kan användas ska det internationella avtalet under alla omständigheter föreskriva lämpliga skyddsåtgärder, inklusive rätten att informeras om de särskilda skäl som ligger till grund för beslutet och om logiken bakom, för att korrigera felaktig eller ofullständig information, att bestrida beslutet och rätten till personlig kontakt.

2.4.4 Rätt till prövning

39. Den registrerades rättigheter ska vara verkställbara och faktiska. Den registrerade måste därför ha tillgång till prövning. Olika exempel på prövningsmöjligheter anges nedan i avsnitt 2.7 och 3.

2.4.5 Begränsningar av de registrerades rättigheter

40. Det internationella avtalet kan även ange begränsningar av de registrerades rättigheter. Begränsningarna bör överensstämma med de begränsningar som anges i artikel 23 i allmänna dataskyddsförordningen. En sådan begränsning ska vara en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1 i allmänna dataskyddsförordningen, inklusive andras rättigheter och friheter, nationell säkerhet, försvar eller allmän säkerhet eller för att förebygga, förhindra, utreda, avslöja eller lagföra brott. Den ska finnas föreskriven i lagen eller, om det gäller internationella organisationer, i de tillämpliga interna reglerna/regelverket, och ska endast gälla under så lång tid som skälet till begränsningen föreligger.

2.5 Begränsningar av vidare överföring och delning av uppgifter (inklusive utlämnande och åtkomst för regeringen)

41. Vidare överföring från det mottagande offentliga organet eller internationella organisationer som inte omfattas av avtalet ska som regel undantas från det internationella avtalet. Beroende på sakfrågan och rådande särskilda omständigheter kan parterna anse det vara nödvändigt att tillåta vidare överföring. I detta fall, under förutsättning att principen om ändamålsbegränsning respekteras , ska det internationella avtalet se till att sådan vidare överföring av uppgifter endast kan ske om det överförande offentliga organet har lämnat ett uttryckligt förhandstillstånd och om mottagande tredjepart förbinder sig att respektera samma principer och skyddsåtgärder för skydd av personuppgifter som ingår i det internationella avtalet. Detta ska inkludera ett åtagande att tillhandahålla samma rättigheter till skydd av personuppgifter för de registrerade som ingår i det internationella avtalet för att säkerställa att skyddsnivån bibehålls även om uppgifterna vidarebefordras.

42. Som regel ska samma skyddsåtgärder som för vidare överföring gälla för utbyte av personuppgifter inom samma land, dvs. det internationella avtalet ska utelämna denna vidare överföring. Undantag ska i allmänhet endast tillåtas om det överförande offentliga organet har lämnat ett uttryckligt förhandstillstånd och de mottagande tredjeparterna har förbundit sig att respektera samma principer för skydd av personuppgifter och skyddsåtgärder som anges i det internationella avtalet.

43. Det rekommenderas att det mottagande offentliga organet eller den internationella organisationen före begäran om uttryckligt förhandstillstånd från det överförande offentliga organet tillhandahåller tillräckligt med information om typen av personuppgifter som de avser att överföra/utbyta, skäl och syften för vilka det anses vara nödvändigt att överföra/utbyta personuppgifter samt, när det gäller vidare överföring, de länder eller internationella organisationer dit man har för avsikt att vidarebefordra personuppgifter för att kunna bedöma tredjelands lagstiftning eller, om det gäller internationella organisationer, tillämpliga interna regler/regelverk.

44. I de fall där utbyte av personuppgifter med en tredje part i samma land där det mottagande offentliga organet eller annan internationell organisation finns kan utbytet tillåtas under särskilda omständigheter, antingen med uttryckligt förhandsgodkännande från det mottagande offentliga organet eller så länge som det finns ett bindande åtagande från den mottagande tredje parten om att respektera principerna och garantierna i det internationella avtalet.

45. Utöver detta kan det internationella avtalet specificera särskilda omständigheter där vidare överföring skulle kunna ske utan förhandsgodkännande eller ovan nämnda åtaganden enligt de undantag som anges i artikel 49 i allmänna dataskyddsförordningen, till exempel när det särskilda utbytet skulle vara nödvändigt för att skydda den registrerades eller andra personers grundläggande intressen som krävs för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Sådana särskilda omständigheter kan även inträffa om vidarebefordran av uppgifter krävs enligt den mottagande partens lagstiftning för direkt relaterade undersökningar/domstolsprövningar.

46. I de fall som anges i stycket ovan ska det i det internationella avtalet tydligt anges under vilka specifika och exceptionella omständigheter om sådant utbyte av information är tillåtet. Det mottagande offentliga organet eller den internationella organisationen ska även vara skyldig att meddela det överförande offentliga organet före utbytet av uppgifterna och inkludera information om vilka uppgifter som överförs, vilken den mottagande tredje parten är samt rättslig grund för utbytet av information. Det överförande offentliga organet ska i sin tur dokumentera sådana anmälningar från det mottagande offentliga organet eller den internationella organisationen och på begäran lämna informationen till tillsynsmyndigheten. Om det strider mot kraven på konfidentialitet enligt lag att lämna meddelanden före utbyte av information, till exempel för att bevara konfidentialiteten vid en utredning, ska den specifika informationen tillhandahållas så snart som möjligt efter att uppgifterna lämnats ut. I sådana fall ska allmän information om typen av begäran som mottagits under en specificerad tidsperiod, inklusive information om de uppgiftskategorier som begärts, det begärande organet och den rättsliga grunden för utlämnande regelbundet lämnas till det överförande organet.

47. I samtliga scenarion ovan ska det internationella avtalet endast tillåta utlämnanden av personuppgifter till andra offentliga myndigheter i det mottagande offentliga organets tredjeland som inte går utöver vad som är nödvändigt och proportionellt i ett demokratiskt samhälle i syfte att säkerställa allmänna intressen enligt de som anges i artikel 23.1 i allmänna dataskyddsförordningen och enligt Europeiska unionens domstols rättspraxis. För att kunna bedöma möjlig tillgång till uppgifterna för tredjelands offentliga myndigheter i övervakningssyfte ska det överförande offentliga organet beakta de element som lyfts fram i de fyra europeiska nödvändiga garantierna . I garantierna finns effektiva åtgärder för de registrerade i det mottagande offentliga organets tredjeland i de fall som de offentliga myndigheterna har tillgång till de registrerades personuppgifter . När det gäller överföringar till internationella organisationer ska sådan tillgång överensstämma med internationell lagstiftning och genomföras utan att det särskilt påverkar den internationella organisationens immunitet och privilegier.

48. Beroende på det aktuella ärendet kan det vara användbart att inkludera en bilaga till det internationella avtalet där det anges vilka lagar som reglerar utlämnande av uppgifter till andra offentliga organ inklusive i övervakningssyfte i destinationslandet. Eventuella ändringar i bilagan ska meddelas den överförande parten inom en angiven tidsperiod.

2.6 Känsliga uppgifter

49. Om det internationella avtalet omfattar överföring av känsliga personuppgifter enligt artikel 9.1 i allmänna dataskyddsförordningen ska särskilda skyddsåtgärder som bedömning av den särskilda risken, som ska genomföras av det mottagande offentliga organet eller den internationella organisationen, inkluderas. Sådana åtgärder kan till exempel inkludera begränsningar som åtkomstbegränsningar, begränsningar av syftet med behandlingen av uppgifterna, begränsningar för vidarebefordran osv. eller särskilda skyddsåtgärder som ytterligare säkerhetsåtgärder som innebär att endast specialutbildad personal har tillgång till uppgifterna.

2.7 Prövningsmöjligheter

50. För att kunna säkerställa verkställbara och effektiva rättigheter för den registrerade ska det internationella avtalet tillhandahålla ett system som gör det möjligt för de registrerade att även i fortsättningen använda prövningsmöjligheter efter att deras uppgifter har överförts till ett land utanför EES eller till en internationell organisation. Dessa prövningsmöjligheter ska ge möjlighet för enskilda personer som påverkas av att valt instrument har åsidosatt bestämmelserna och att de registrerade vars uppgifter har överförts från EES kan lämna in klagomål om sådan bristande efterlevnad och att dessa klagomål ska behandlas. De registrerade ska ges en fungerande metod för att lämna in klagomål till de offentliga organ som är parter i det internationella avtalet och (antingen direkt eller efter att ha kontaktat berörd part) till en oberoende översynsmekanism. Dessutom ska ett effektivt rättsmedel som princip finnas tillgängligt.

51. Först ska det mottagande offentliga organet åta sig att driftsätta en mekanism för att på ett effektivt sätt kunna hantera och åtgärda klagomål från de registrerade som rör efterlevnad av de överenskomna skyddsåtgärderna för personuppgifter. Dessutom ska de registrerade ha möjlighet att få en effektiv administrativ prövning inför ett oberoende översynsorgan, inklusive en oberoende dataskyddsmyndighet där sådan finns .

52. Avtalet ska även möjliggöra rättsmedel inklusive ersättning för skador, både materiella och immateriella, som uppstått på grund av olaglig behandling av personuppgifter. Om det inte finns möjlighet att säkerställa en effektiv rättslig prövning, till exempel på grund av begränsningar i nationell lagstiftning eller på grund av det mottagande organets specifika status, t.ex. som internationella organisationer, måste det internationella avtalet innehålla alternativa skyddsåtgärder. Sådana alternativa skyddsåtgärder ska garantera den registrerade skydd på samma sätt som anges i artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna .

53. I sådana fall kan man i det internationella avtalet skapa en struktur som möjliggör för den registrerade att utöva sina rättigheter utanför domstolarna, till exempel genom halvt juridiska bindande mekanismer som skiljedom eller alternativa tvistlösningsmekanismer som medling, som skulle garantera en oberoende granskning och binda det mottagande offentliga organet till ärendet . Dessutom kan det offentliga organet som överför personuppgifterna åta sig att ansvara för att ersätta skadorna som uppstått på grund av olaglig behandling av personuppgifter som framkommit efter den oberoende granskningen. I undantagsfall kan andra lika oberoende och verkningsfulla prövningsmöjligheter användas enligt avtalet, till exempel effektiva prövningsmöjligheter som införts av internationella organisationer.

54. Vid samtliga prövningsmöjligheter som anges ovan bör det internationella avtalet innehålla ett krav på parterna att informera varandra om resultaten av förhandlingarna, särskilt om ett klagomål från en enskild person avvisas eller inte kan lösas.

55. Prövningsmöjligheten ska kombineras med möjligheten för det överförande offentliga organet att upphäva eller avsluta överföringen av personuppgifter enligt det internationella avtalet om parterna inte lyckas lösa tvisten i vänskaplig anda tills dess att de anser att frågan har utretts hos det mottagande offentliga organet. Ett sådant upphävande eller avslutande ska åtföljas av ett åtagande från det mottagande offentliga organet att återlämna eller radera personuppgifterna. Det överförande offentliga organet ska meddela den behöriga nationella tillsynsmyndigheten om upphävande eller avslutande.

2.8 Tillsynsmekanismer

56. För att se till att alla skyldigheter i det internationella avtalet uppfylls måste det möjliggöra oberoende kontroll så att det tillämpas korrekt och att det överensstämmer med de rättigheter som anges i avtalet.

57. Först och främst ska avtalet föreskriva intern tillsyn för att säkerställa att det efterlevs. Parterna i avtalet ska genomföra regelbundna interna kontroller av de förfaranden som används och se till att angivna skyddsåtgärder tillämpas. Vid de regelbundna interna kontrollerna ska man även verifiera ändringar i lagstiftningen som skulle kunna förhindra parterna från att uppfylla principerna för dataskydd och skyddsåtgärderna i det internationella avtalet. Dessutom kan en av parterna i avtalet även begära att en annan avtalsslutande part genomför en sådan granskning. Det internationella avtalet måste kräva att parterna ska besvara förfrågningar från den andra parten om effektiv tillämpning av avtalets skyddsåtgärder. Varje part som genomför en granskning ska meddela resultaten av kontrollerna till de andra avtalsslutande parterna. Sådan information ska helst även förmedlas till avtalets oberoende tillsynsmekanism.

58. Utöver detta måste det internationella avtalet även inkludera skyldigheten att en part ska informera den andra parten utan dröjsmål om den av någon anledning inte kan genomföra skyddsåtgärderna enligt avtalet. För sådana fall måste det internationella avtalet medge möjligheten för det överförande offentliga organet att upphäva eller avsluta överföringen av personuppgifter enligt det internationella avtalet till det mottagande offentliga organet till dess att det mottagande offentliga organet informerar det överförande offentliga organet att det på nytt är redo att agera enligt skyddsåtgärderna. Det överförande organet måste informera den behöriga nationella tillsynsmyndigheten om den förändrade situationen samt om upphävande av överföring eller upphävande av avtalet.

59. Dessutom ska avtalet ange oberoende tillsyn som ansvarar för att parterna följer bestämmelserna. Detta ligger i linje med EU:s stadga om de grundläggande rättigheterna och den europeiska konventionen om de mänskliga rättigheterna enligt rättspraxis från Europeiska domstolen för de mänskliga rättigheterna och de regler som fastställs i primärrätten samt i motsvarande rättspraxis.

60. Europeiska unionens domstol har, sedan 2015 , betonat behovet av att ha en oberoende mekanism för prövning och tillsyn . På samma sätt har Europadomstolen för de mänskliga rättigheterna ofta i sina avgöranden lyft fram att eventuella intrång i rätten till respekt för privatlivet enligt artikel 8 i den europeiska konventionen om de mänskliga rättigheterna måste regleras av ett effektivt, oberoende och opartiskt tillsynssystem .

61. Avtalet kan, till exempel, åberopa översyn av en oberoende tillsynsmyndighet, om det finns en sådan i landet där det mottagande offentliga organet tar emot personuppgifter från EES, även om det enligt allmänna dataskyddsförordningen inte specificeras att den behöriga tillsynsmyndigheten behöver vara det externa tillsynsorganet. Dessutom kan avtalet inkludera ett frivilligt åtagande från den mottagande parten att samarbeta med tillsynsmyndigheten i EES.

62. Vid avsaknad av en tillsynsmyndighet som ansvarar för tillsynen av dataskyddslagstiftningen i tredjelandet eller i den internationella organisationen ska behovet av en oberoende, effektiv och opartisk tillsynsmekanism uppfyllas på andra sätt. Typen av oberoende tillsynsmekanism som används beror på vilket ärende det rör sig om.

63. Avtalet kan till exempel hänvisa till befintliga tillsynsorgan i tredjelandet som inte är en tillsynsmyndighet inom dataskydd. Om ingen extern oberoende tillsyn kan säkerställas ur strukturell eller institutionell synvinkel, t.ex. på grund av vissa internationella organisationers privilegier och immunitet, kan tillsynen även garanteras genom fungerande fristående mekanismer. Mekanismen ska vara ett organ som, utan att vara externt, genomför sina funktioner på ett oberoende sätt, dvs. fritt från anvisningar, med tillräckliga mänskliga, tekniska och ekonomiska resurser osv. Den mottagande parten ska omfattas av besluten från tillsynsorganet.

2.9 Uppsägningsklausul

64. Det internationella avtalet bör ange att personuppgifter som överförts från EES enligt det internationella avtalet före dess slut ska fortsätta att behandlas enligt bestämmelserna i avtalet.

3 SÄRSKILD INFORMATION OM ARTIKEL 46 I ALLMÄNNA DATASKYDDSFÖRORDNINGEN

3.1 Särskild information om rättsligt bindande och verkställbara instrument – Artikel 46.2 a i allmänna dataskyddsförordningen

65. Artikel 46.2 a i allmänna dataskyddsförordningen gör det möjligt för offentliga organ i EES att basera överföringar till offentliga organ i ett tredjeland eller en internationell organisation på instrument som avtalats mellan dem utan förhandsgodkännande från en tillsynsmyndighet. Sådana instrument måste vara rättsligt bindande och verkställbara. Därför kan internationella avtal, avtal enligt offentlig rätt eller administrativa avtal som träder automatiskt i kraft användas enligt denna bestämmelse.

66. Rättsligt bindande och verkställbara instrument bör omfatta de grundläggande principerna för dataskydd och de registrerades rättigheter enligt allmänna dataskyddsförordningen.

67. Parterna är skyldiga att vidta de skyddsåtgärder som krävs för att skydda personuppgifter vid överföringen. Följaktligen bör avtalet även ange sättet som det mottagande offentliga organet kommer att tillämpa de huvudsakliga principerna för dataskydd och de registrerades rättigheter på för alla överförda personuppgifter för att säkerställa att skyddsnivån för fysiska personer enligt allmänna dataskyddsförordningen inte undergrävs.

68. Om det inte är möjligt att säkerställa effektiva rättsliga prövningar av rättsligt bindande och verkställbara instrument så att alternativa prövningsmöjligheter måste fastställas ska de offentliga organen i EES konsultera behörig tillsynsmyndighet före beslut om sådana instrument.

69. Även om instrumentens utformning inte har betydelse så länge som de är rättsligt bindande och verkställbara anser EDPB att den bästa lösningen är att inkludera detaljerade klausuler om dataskydd direkt i instrumentet. Om den här lösningen inte är genomförbar på grund av särskilda omständigheter rekommenderar EDPB starkt att åtminstone en klausul inkluderas som anger principer för dataskydd i texten till instrumentet och att mer detaljerade bestämmelser och skyddsåtgärder infogas i en bilaga till instrumentet.

3.2 Särskild information om administrativa överenskommelser – artikel 46.3 b i allmänna dataskyddsförordningen

70. I artikel 46.3 b i allmänna dataskyddsförordningen möjliggörs även alternativa instrument i form av administrativa överenskommelser, t.ex. samförståndsavtal, som ger skydd genom båda parternas åtaganden för att det gemensamma avtalet ska träda i kraft.

71. I detta avseende anges i artikel 46.1 och i skäl 108 i allmänna dataskyddsförordningen att dessa överenskommelser måste föreskriva verkställbara rättigheter och effektiva rättsmedel för de registrerade. Där skyddsåtgärder finns i administrativa överenskommelser som inte är rättsligt bindande ska dessa godkännas av behörig tillsynsmyndighet.

72. En noggrann bedömning bör göras av huruvida administrativa överenskommelser som inte är rättsligt bindande ska användas eller ej för att tillhandahålla skyddsåtgärder i den offentliga sektorn, beroende på behandlingens syfte och de aktuella uppgifternas egenskaper. Om dataskyddsrättigheter och prövningar för personer inom EES inte tillhandahålls i den nationella lagstiftningen i tredjelandet eller i de interna reglerna/regelverket för den internationella organisationen bör företräde ges för att träffa ett rättsligt bindande avtal. Oavsett vilken typ av instrument som antas måste de åtgärder som införs vara effektiva för att säkerställa att tillämpning, verkställande och övervakning är tillfredsställande.

73. I de administrativa överenskommelserna ska särskilda steg vidtas för att säkerställa fungerande rättigheter för enskilda personer, prövning och tillsyn. För att säkerställa effektiva och verkställbara rättigheter ska ett icke bindande instrument innehålla en försäkran från det offentliga organ som mottar personuppgifterna från EES att de enskilda personernas rättigheter garanteras enligt nationell rätt och att de kan utövas av EES-medborgarna på samma villkor som det berörda tredjelandets medborgare och invånare. Samma sak gäller om administrativa och rättsliga prövningar är tillgängliga för EES-medborgare enligt det nationella rättsliga ramverket för det mottagande offentliga organet. Dessutom ska internationella organisationer kunna garantera enskilda personers rättigheter enligt sina interna regler, samt tillgängliga prövningsmöjligheter.

74. Om så inte är fallet ska enskilda personers rättigheter garanteras genom särskilda åtaganden från parterna, i kombination med processmekanismer för att säkerställa dess funktion och för att tillhandahålla prövning för de enskilda personerna. Dessa särskilda åtaganden och processmekanismer måste i praktiken möjliggöra att efterlevnaden av en skyddsnivå som är likställd med den som garanteras enligt allmänna dataskyddsförordningen i unionen kan säkerställas. Sådana processmekanismer kan till exempel innefatta att parterna åtar sig att informera varandra om förfrågningar från EES-medborgare och att utan dröjsmål lösa tvister eller klagomål.

75. Om sådana tvister eller klagomål inte kan lösas i godo mellan parterna ska parterna tillhandahålla oberoende och verkningsfulla prövningar för den enskilda genom alternativa mekanismer, till exempel via en möjlighet för den enskilda personen att använda en alternativ mekanism för tvistlösning, som skiljeförfaranden och medling. En sådan alternativ mekanism för tvistlösning måste vara bindande .

76. Beroende på ärendets natur kan en kombination av alla eller vissa av åtgärderna ovan tillhandahållas i den administrativa överenskommelsen för att säkerställa en verkningsfull prövning. Andra åtgärder som inte ingår i dessa riktlinjer kan även godtas under förutsättning att de ger en oberoende och verkningsfull prövning.

77. Varje administrativ överenskommelse som utarbetats enligt artikel 46.3 b i allmänna dataskyddsförordningen kommer att granskas av den behöriga tillsynsmyndigheten från fall till fall, följt av relevant förfarande enligt dataskyddsstyrelsen om tillämpligt. Den behöriga tillsynsmyndigheten kommer att basera sin granskning på de allmänna rekommendationerna i dessa riktlinjer, men kan även begära fler garantier för det specifika fallet om så krävs.

4 METODFRÅGOR

78. Administrativa överenskommelser enligt 46.3 b i allmänna dataskyddsförordningen kommer att granskas från fall till fall på grund av kraven på godkännande från den behöriga tillsynsmyndigheten som enligt artikel 46.4 ska tillämpa den mekanism för enhetlighet som anges i 64.2 i allmänna dataskyddsförordningen. Om alternativa prövningsmekanismer integreras i bindande och verkställbara instrument enligt artikel 46.2 a i allmänna dataskyddsförordningen rekommenderar EDPB även att den behöriga tillsynsmyndigheten rådfrågas. EDPB rekommenderar starkt att den behöriga tillsynsmyndigheten rådfrågas i ett tidigt skede. För Europeiska dataskyddsstyrelsen Ordförande (Andrea Jelinek)