Riktlinjer 3/2018 om den allmänna dataskyddsförordningens territoriella tillämpningsområde (artikel 3) - version adopted after public consultation
Riktlinjer 3/2018 om den allmänna dataskyddsförordningens territoriella tillämpningsområde (artikel 3) 12 november 2019
Europeiska dataskyddsstyrelsen har antagit dessa riktlinjer
med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
INLEDNING
Den allmänna dataskyddsförordningens (nedan kallad dataskyddsförordningen) territoriella tillämpningsområde fastställs i artikel 3 i förordningen och utgör en avsevärd utveckling av EU:s dataskyddslagstiftning jämfört med det ramverk som fastställdes i direktiv 95/46/EG . Delvis bekräftar dataskyddsförordningen val som gjorts av EU-lagstiftaren och Europeiska unionens domstol inom ramen för direktiv 95/46/EG. Dock har viktiga nya element införts. Den viktigaste skillnaden är att det huvudsakliga syftet med artikel 4 i direktivet var att fastställa vilken medlemsstats nationella rätt som är tillämplig, medan artikel 3 i dataskyddsförordningen fastställer en direkt tillämplig texts territoriella tillämpningsområde. Dessutom hänvisade artikel 4 i direktivet till användning av utrustning på unionens territorium som grund för att låta registeransvariga som ”inte är etablerad[e] på gemenskapens territorium” omfattas av EU:s dataskyddslagstiftning, medan en sådan referens saknas i artikel 3 i dataskyddsförordningen.
Artikel 3 i dataskyddsförordningen återspeglar lagstiftarens avsikt att säkerställa ett omfattande skydd av de registrerades rättigheter inom EU och att, avseende dataskyddskrav, inrätta lika villkor för företag som är verksamma på EU-marknaderna, mot bakgrund av världsomfattande uppgiftsflöden.
I artikel 3 i dataskyddsförordningen definieras förordningens territoriella tillämpningsområde utifrån två huvudsakliga kriterier: etableringskriteriet enligt artikel 3.1 och riktningskriteriet enligt artikel 3.2. Om ett av dessa två kriterier är uppfyllt gäller de relevanta bestämmelserna i dataskyddsförordningen relevant behandling av personuppgifter av den berörda personuppgiftsansvarige eller det berörda personuppgiftsbiträdet. I artikel 3.3 bekräftas dessutom att dataskyddsförordningen ska tillämpas på behandlingen om medlemsstatens nationella rätt gäller enligt folkrätten.
Genom en gemensam tolkning av dataskyddsmyndigheter inom EU syftar dessa riktlinjer till att säkerställa att dataskyddsförordningen tillämpas konsekvent vid bedömning av huruvida en viss behandling av en personuppgiftsansvarig eller ett personuppgiftsbiträde omfattas av EU:s nya rättsliga ram. I dessa riktlinjer fastlägger och klargör dataskyddsstyrelsen kriterierna för att fastställa dataskyddsförordningens territoriella tillämpningsområde. En sådan gemensam tolkning är också avgörande för personuppgiftsansvariga och personuppgiftsbiträden, både inom och utanför EU, så att de har möjlighet att bedöma huruvida de måste efterleva dataskyddsförordningen för en viss behandling.
Eftersom personuppgiftsansvariga och personuppgiftsbiträden som inte är etablerade i EU men utför behandling som omfattas av artikel 3.2 måste utse en företrädare i unionen kommer dessa riktlinjer också att klargöra processen för att utse denna företrädare i enlighet med artikel 27 och dennes ansvarsområden och skyldigheter.
Som allmän princip framhåller dataskyddsstyrelsen att om behandlingen av personuppgifter omfattas av GDPR:s territoriella tillämpningsområde ska alla bestämmelser i förordningen gälla för behandlingen. I dessa riktlinjer specificeras de olika scenarier som kan uppstå beroende på typen av behandling, den enhet som utför behandlingen eller var dessa enheter befinner sig. Dessutom anges de bestämmelser som gäller respektive situation. Det är därför avgörande att personuppgiftsansvariga och personuppgiftsbiträden, i synnerhet om de tillhandahåller varor och tjänster på internationell nivå, gör en noggrann och konkret bedömning av sin behandling av personuppgifter i syfte att fastställa om behandlingen omfattas av dataskyddsförordningen.
Dataskyddsstyrelsen understryker att tillämpningen av artikel 3 syftar till att fastställa om en viss behandling av personuppgifter, snarare än en person (juridisk eller fysisk), omfattas av dataskyddsförordningen. Viss behandling av personuppgifter som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde kan alltså omfattas av förordningen, medan annan behandling av personuppgifter som utförs av samma personuppgiftsansvarig eller personuppgiftsbiträde kanske inte gör det, beroende på behandlingen.
Dessa riktlinjer antogs ursprungligen av dataskyddsstyrelsen den 16 november och lämnades in för ett offentligt samråd från den 23 november 2018 till den 18 januari 2019 och har uppdaterats mot bakgrund av de bidrag och den återkoppling som mottogs.
1 TILLÄMPNING AV ETABLERINGSKRITERIET – ARTIKEL 3.1
Enligt artikel 3.1 i dataskyddsförordningen ska förordningen ”tillämpas på behandlingen av personuppgifter inom ramen för den verksamhet som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i unionen, oavsett om behandlingen utförs i unionen eller inte”.
Hänvisningen i artikel 3.1 i dataskyddsförordningen gäller inte bara en personuppgiftsansvarigs verksamhetsställe, utan även ett personuppgiftsbiträdes. Ett personuppgiftsbiträdes behandling av personuppgifter kan alltså vara föremål för EU-lagstiftning genom att personuppgiftsbiträdet har ett verksamhetsställe inom EU.
Artikel 3.1 säkerställer att dataskyddsförordningen gäller behandling som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde inom ramen för arbetet på den personuppgiftsansvariges eller personuppgiftsbiträdets verksamhetsställe inom unionen, oberoende av var behandlingen faktiskt utförs. Dataskyddsstyrelsen rekommenderar därför en tredelad metod när det gäller att fastställa huruvida behandlingen av personuppgifter omfattas av dataskyddsförordningen i enlighet med artikel 3.1.
I avsnitten nedan klargörs tillämpningen av etableringskriteriet, för det första genom att definitionen av ett ”verksamhetsställe” inom EU i den mening som avses i EU:s dataskyddslagstiftning diskuteras, för det andra genom att betydelsen av ”behandling inom ramen för arbetet på ett verksamhetsställe inom unionen” avhandlas och slutligen genom att det bekräftas att dataskyddsförordningen gäller oavsett om behandlingen som utförs inom ramen för verksamheten vid verksamhetsstället sker inom EU eller inte.
a) ”Ett verksamhetsställe inom unionen”
Innan vi går in på vad som avses med ”ett verksamhetsställe inom unionen” måste vi identifiera vem som är personuppgiftsansvarig eller personuppgiftsbiträde för en viss behandling av personuppgifter. Enligt definitionen i artikel 4.7 i dataskyddsförordningen innebär personuppgiftsansvarig ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter”. Ett personuppgiftsbiträde är enligt artikel 4.8 i dataskyddsförordningen ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning”. I enlighet med Europeiska unionens domstols relevanta rättspraxis och artikel 29-arbetsgruppens föregående yttrande är det viktigt att fastställa om en enhet är personuppgiftsansvarig eller personuppgiftsbiträde inom ramen för EU:s dataskyddslagstiftning när det gäller att bedöma tillämpningen av dataskyddsförordningen på behandlingen av personuppgifter i fråga.
Begreppet ”huvudsakligt verksamhetsställe” definieras visserligen i artikel 4.16, men dataskyddsförordningen tillhandahåller inte någon definition av ”verksamhetsställe” avseende 4 5 artikel 3 . I skäl 22 klargörs dock att ett ”verksamhetsställe innebär det faktiska och reella utförandet av verksamhet med hjälp av en stabil struktur. Den rättsliga formen för en sådan struktur, oavsett om det är en filial eller ett dotterföretag med status som juridisk person, bör inte vara den avgörande faktorn i detta avseende.”
Den här formuleringen är identisk med den i skäl 19 i direktiv 95/46/EG, som det finns hänvisningar till i flera domar från Europeiska unionens domstol, som breddar tolkningen av ”verksamhetsställe” från ett formellt tillvägagångssätt där företag är etablerade endast på den plats där de är registrerade . Faktum är att Europeiska unionens domstol har bedömt att begreppet verksamhetsställe omfattar all reell och faktisk verksamhet – till och med en minimal sådan – som utförs med hjälp av stabila strukturer . I syfte att fastställa om en enhet som är etablerad utanför unionen har ett verksamhetsställe i en medlemsstat måste både graden av stabilitet hos strukturen och huruvida verksamhet verkligen bedrivs i den medlemsstaten beaktas med hänsyn till näringsverksamhetens och de tillhandahållna tjänsternas specifika karaktär. Detta gäller i synnerhet företag som tillhandahåller tjänster endast via internet .
Tröskeln för ”stabil struktur ” kan faktiskt vara rätt låg om en personuppgiftsansvarigs centrala verksamhet utgörs av tillhandahållande av tjänster online. Därför kan det under vissa omständigheter räcka med att en enhet utanför EU har en enda anställd eller ett enda ombud i unionen för att det ska räknas som en stabil struktur (vilket motsvarar ett ”verksamhetsställe” enligt artikel 3.1) om den anställda eller ombudet agerar med en tillräcklig grad av stabilitet. Om en anställd å andra sidan är verksam inom EU men behandlingen av personuppgifter inte sker inom ramen för den EU-baserade medarbetarens verksamhet inom unionen (dvs. behandlingen avser den personuppgiftsansvariges verksamhet utanför EU) leder inte den anställdes närvaro i EU till att behandlingen omfattas av dataskyddsförordningen. Med andra ord räcker det inte med att det finns en anställd i EU för att dataskyddsförordningen ska tillämpas eftersom behandlingen måste ske inom ramen för den EUbaserade medarbetarens verksamhet för att behandlingen i fråga ska omfattas av dataskyddsförordningen.
Det faktum att enheten utanför EU som ansvarar för uppgiftsbehandlingen inte har en filial eller ett dotterbolag i en medlemsstat utesluter inte att den har ett verksamhetsställe där i den mening som avses i EU:s dataskyddslagstiftning. Även om begreppet verksamhetsställe är brett finns det begränsningar. Det går inte att dra slutsatsen att enheten utanför EU har ett verksamhetsställe inom unionen endast för att företagets webbplats är tillgänglig inom unionen .
Exempel 1: Ett biltillverkningsföretag med huvudkontor i Förenta staterna har en helägd filial i Bryssel som överblickar all verksamhet i Europa, inbegripet marknadsföring och reklam.
Den belgiska filialen kan betraktas som en stabil struktur som utför reell och faktisk verksamhet mot bakgrund av karaktären på biltillverkningsföretagets ekonomiska verksamhet. Därför skulle den belgiska filialen kunna betraktas som ett verksamhetsställe inom unionen i den mening som avses i dataskyddsförordningen.
När slutsatsen har dragits att en personuppgiftsansvarig eller ett personuppgiftsbiträde har ett verksamhetsställe inom EU bör en konkret analys följa för att fastställa om behandlingen i fråga utförs inom ramen för arbetet på detta verksamhetsställe, i syfte att fastställa om artikel 3.1 gäller. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerat utanför unionen utför en ”reell och faktisk verksamhet – till och med en minimal sådan” – genom ”stabila strukturer”, oavsett den rättsliga formen (t.ex. dotterbolag, filial, kontor …), på en medlemsstats territorium kan denna personuppgiftsansvarige eller detta personuppgiftsbiträde anses ha ett verksamhetsställe i medlemsstaten . Det är därför viktigt att överväga huruvida behandlingen av personuppgifter sker ”inom ramen för arbetet på” ett verksamhetsställe som betonas i skäl 22.
b) Behandling av personuppgifter som utförs ”inom ramen för arbetet på” ett verksamhetsställe
I artikel 3.1 bekräftas att det inte är nödvändigt att behandlingen i fråga utförs ”av” det relevanta EUverksamhetsstället; den personuppgiftsansvarige eller personuppgiftsbiträdet är föremål för skyldigheterna enligt dataskyddsförordningen om behandlingen sker ”inom ramen för arbetet på” det
relevanta verksamhetsstället inom unionen. Dataskyddsstyrelsen rekommenderar att man fastställer huruvida behandlingen sker inom ramen för en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe inom unionen i enlighet med artikel 3.1 från fall till fall och med utgångspunkt i en konkret analys. Varje scenario måste bedömas separat, med hänsyn till de fakta som gäller just det fallet.
I samband med artikel 3.1 anser dataskyddsstyrelsen att betydelsen av behandling ”inom ramen för arbetet på personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen” bör tolkas mot bakgrund av relevant rättspraxis. I syfte att uppfylla målet att säkerställa ett effektivt och fullständigt skydd kan betydelsen av ”inom ramen för arbetet på ett verksamhetsställe” å ena sidan inte tolkas restriktivt . Å andra sidan bör det faktum att det finns ett verksamhetsställe i den mening som avses i dataskyddsförordningen inte tolkas för brett så att slutsatsen dras att all närvaro i EU med de mest avlägsna kopplingar till uppgiftsbehandling vid en enhet utanför EU räcker för att behandlingen ska omfattas av EU:s dataskyddslagstiftning. Viss kommersiell verksamhet som en enhet utanför EU bedriver i en medlemsstat kan till och med ha så liten koppling till enhetens behandling av personuppgifter att det faktum att kommersiell verksamhet bedrivs inom EU inte räcker för att uppgiftsbehandlingen vid enheten utanför EU ska omfattas av EU:s dataskyddslagstiftning .
Beaktande av följande två faktorer kan bidra till att fastställa huruvida behandlingen sker inom ramen för en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe inom unionen
i) Förhållandet mellan en personuppgiftsansvarig eller ett personuppgiftsbiträde utanför
unionen och det lokala verksamhetsstället i unionen
Den uppgiftsbehandling som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerat utanför EU kan vara direkt kopplad till verksamheten vid ett lokalt verksamhetsställe i en medlemsstat, vilket innebär att EU-lagstiftning ska tillämpas, även om det lokala verksamhetsstället faktiskt inte deltar i själva uppgiftsbehandlingen . Om en analys från fall till fall av fakta visar att det finns en direkt koppling mellan den behandling av personuppgifter som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde utanför EU och verksamheten vid ett verksamhetsställe inom EU gäller EU-lagstiftningen behandlingen som görs av enheten utanför EU, oavsett om verksamhetsstället inom EU deltar i uppgiftsbehandlingen eller inte .
ii) Uppbärande av intäkter i unionen
Om ett lokalt verksamhetsställe uppbär intäkter i EU i en sådan utsträckning att verksamheten kan anses vara direkt kopplad till den behandling av personuppgifter som sker utanför EU och individer i EU kan det tyda på att behandling av en personuppgiftsansvarig eller ett personuppgiftsbiträde utanför EU utförs inom ramen för arbetet på verksamhetsstället inom EU, vilket kan räcka för att EU-lagstiftning ska tillämpas på behandlingen .
Dataskyddsstyrelsen rekommenderar att organisationer utanför EU gör en bedömning av den behandling de utför, för det första genom att fastställa om personuppgifter behandlas och för det andra genom att identifiera eventuella kopplingar mellan verksamheten som uppgifterna behandlas för och verksamheten vid organisationens eventuella närvaro i unionen. Om en sådan koppling identifieras är kopplingens karaktär avgörande för att fastställa om dataskyddsförordningen gäller för behandlingen i fråga och måste bedömas bland annat mot bakgrund av de två element som anges ovan.
Exempel 2: En webbplats för e-handel drivs av ett företag med säte i Kina. Företagets behandling av personuppgifter sker endast i Kina. Det kinesiska företaget har öppnat ett europeiskt kontor i Berlin för att söka upp nya försäljningsmöjligheter samt leda och genomföra marknadsföringskampanjer på EU:s marknader.
I det här fallet kan man anse att verksamheten vid det europeiska kontoret i Berlin är direkt kopplad till den behandling av personuppgifter som utförs av den kinesiska webbplatsen för e-handel, så länge som uppsökningen av nya försäljningsmöjligheter och marknadsföringskampanjerna riktade mot EUmarknaderna främst syftar till att göra den tjänst som tillhandahålls av webbplatsen för e-handel lönsam. Det kinesiska företagets behandling av personuppgifter avseende försäljningen i EU är direkt kopplad till verksamheten vid det europeiska kontoret i Berlin när det gäller uppsökning av nya försäljningsmöjligheter och marknadsföringskampanjer riktade mot EU-marknaden. Det kinesiska företagets behandling av personuppgifter i samband med försäljning i EU kan därför anses utföras inom ramen för arbetet på det europeiska kontoret, som är ett verksamhetsställe inom unionen. Denna behandling som utförs av det kinesiska företaget kommer därför att vara föremål för bestämmelserna i dataskyddsförordningen i enlighet med artikel 3.1.
Exempel 3: En hotell- och resortkedja i Sydafrika erbjuder paket genom sin webbplats som finns på engelska, tyska, franska och spanska. Företaget har inte något kontor, någon representation eller någon stabil struktur i EU.
I detta fall, då hotell- och resortkedjan inte har någon representation eller stabil struktur på unionens territorium, verkar det som om det inte finns någon enhet som är kopplad till denna personuppgiftsansvarige i Sydafrika som kan räknas som ett verksamhetsställe inom EU i den mening som avses i dataskyddsförordningen. Behandlingen i fråga kan därför inte bli föremål för bestämmelserna i dataskyddsförordningen i enlighet med artikel 3.1. Dock måste en konkret analys genomföras av huruvida den behandling som utförs av denna personuppgiftsansvarige utanför EU kan vara föremål för dataskyddsförordningen i enlighet med artikel 3.2.
c) Tillämpning av dataskyddsförordningen på en personuppgiftsansvarig eller ett personuppgiftsbiträdes verksamhetsställe inom unionen, oavsett om behandlingen av personuppgifter sker i unionen eller inte
I enlighet med artikel 3.1 medför behandling av personuppgifter inom ramen för arbetet på en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe inom unionen att
dataskyddsförordningen och tillhörande skyldigheter för den personuppgiftsansvarige och personuppgiftsbiträdet ska tillämpas.
Ordalydelsen i dataskyddsförordningen anger att förordningen gäller behandling av personuppgifter inom ramen för arbetet på ett verksamhetsställe inom EU ”oavsett om behandlingen utförs i unionen eller inte”. Det är en personuppgiftsansvarigs eller ett personuppgiftbiträdes närvaro i EU, genom ett verksamhetsställe, och det faktum att behandling sker inom ramen för verksamhetsställets arbete som medför att dataskyddsförordningen ska tillämpas på behandlingen. Platsen för behandlingen är därför inte relevant för att fastställa huruvida den behandling som utförs inom ramen för arbetet på ett verksamhetsställe inom EU omfattas av dataskyddsförordningen.
Exempel 4: Ett franskt företag har utvecklat en bildelningsapplikation som endast vänder sig till kunder i Marocko, Algeriet och Tunisien. Tjänsten är bara tillgänglig i de tre länderna, men all behandling av personuppgifter görs av den personuppgiftsansvarige i Frankrike.
Visserligen sker insamlingen av personuppgifter i länder utanför EU, men den efterföljande behandlingen av personuppgifter sker i detta fall inom ramen för arbetet på en personuppgiftsansvarigs verksamhetsställe inom unionen. Även om behandlingen av personuppgifter avser registrerade som befinner sig utanför unionen gäller bestämmelserna i dataskyddsförordningen den behandling som utförs av det franska företaget, i enlighet med artikel 3.1. Exempel 5: Ett läkemedelsföretag med huvudkontor i Stockholm utför all sin behandling av personuppgifter avseende data för sina kliniska prövningar vid sin filial i Singapore.
I det här fallet sker visserligen behandlingen i Singapore, men behandlingen utförs inom ramen för arbetet på läkemedelsföretaget i Stockholm, dvs. en personuppgiftsansvarig med ett verksamhetsställe inom unionen. Bestämmelserna i dataskyddsförordningen gäller därför denna behandling i enlighet med artikel 3.1.
När dataskyddsförordningens territoriella tillämpningsområde fastställs är geografisk plats viktig i enlighet med artikel 3.1 avseende verksamhetsstället för - den personuppgiftsansvarige eller personuppgiftsbiträdet (finns verksamhetsstället i eller utanför unionen?), - eventuell affärsrelaterad närvaro som en personuppgiftsansvarig eller ett personuppgiftsbiträde har utanför EU (finns det ett verksamhetsställe inom unionen?)
Dock är geografisk plats inte viktig i samband med artikel 3.1 när det gäller platsen där behandlingen utförs eller platsen där de registrerade befinner sig.
Ordalydelsen i artikel 3.1 begränsar inte tillämpningen av dataskyddsförordningen till behandling av personuppgifter tillhörande personer i unionen. Dataskyddsstyrelsen anser därför att eventuell behandling av personuppgifter inom ramen för arbetet på en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe inom unionen omfattas av dataskyddsförordningen, oavsett var den registrerade vars personuppgifter behandlas befinner sig eller vilken nationalitet denne har. Det här tillvägagångssättet stöds av skäl 14 i dataskyddsförordningen, som anger följande: ”Det skydd som ska tillhandahållas enligt denna förordning bör tillämpas på fysiska personer, oavsett medborgarskap eller hemvist, med avseende på behandling av deras personuppgifter.”
d) Tillämpning av etableringskriteriet på personuppgiftsansvarig och personuppgiftsbiträde
Vad gäller behandling av personuppgifter som omfattas av artikel 3.1 anser dataskyddsstyrelsen att sådana bestämmelser gäller personuppgiftsansvariga och personuppgiftsbiträden vars behandling utförs inom ramen för arbetet på respektive verksamhetsställe inom EU. Visserligen erkänner dataskyddsstyrelsen att kraven för att skapa en förbindelse mellan en personuppgiftsansvarig och ett personuppgiftsbiträde inte varierar beroende på var en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe befinner sig geografiskt, men man anser att respektive enhets behandling måste beaktas separat när det gäller att identifiera de olika skyldigheter som tillämpligheten av dataskyddsförordningen i enlighet med artikel 3.1 medför.
Dataskyddsförordningen tillhandahåller olika och specifika bestämmelser eller skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden och om en personuppgiftsansvarig eller ett personuppgiftsbiträde är föremål för dataskyddsförordningen i enlighet med artikel 3.1 gäller respektive skyldigheter separat för dem båda. I samband med detta anser dataskyddsstyrelsen i synnerhet att ett personuppgiftsbiträde i EU inte ska betraktas som en personuppgiftsansvarigs verksamhetsställe i den mening som avses i artikel 3.1 enbart genom sin status som personuppgiftsbiträde för en personuppgiftsansvarigs räkning.
Det faktum att det finns en förbindelse mellan en personuppgiftsansvarig och ett personuppgiftsbiträde medför inte nödvändigtvis att dataskyddsförordningen ska tillämpas på dem båda om en av dessa två enheter inte har något verksamhetsställe inom unionen.
En organisation som behandlar personuppgifter för en annan organisations (kundföretagets) räkning och på dennes uppdrag fungerar som personuppgiftsbiträde för kundföretaget (den personuppgiftsansvarige). Om ett personuppgiftsbiträde har ett verksamhetsställe inom unionen ska det efterleva skyldigheterna som åläggs personuppgiftsbiträden enligt dataskyddsförordningen (nedan kallade skyldigheterna för personuppgiftsbiträden enligt dataskyddsförordningen). Om den personuppgiftsansvarige som ger ett uppdrag åt personuppgiftsbiträdet också återfinns i unionen måste den personuppgiftsansvarige efterleva skyldigheterna som åläggs personuppgiftsansvariga enligt dataskyddsförordningen (nedan kallade skyldigheterna för personuppgiftsansvariga enligt dataskyddsförordningen). Behandling som omfattas av dataskyddsförordningen i enlighet med artikel 3.1. när den utförs av en personuppgiftsansvarig upphör inte att omfattas av förordningen bara för att den personuppgiftsansvarige ger i uppdrag åt ett personuppgiftsbiträde som är etablerat utanför unionen att utföra behandlingen för dennes räkning.
i) Behandling som utförs av en personuppgiftsansvarig med verksamhetsställe inom EU som ger ett uppdrag åt ett personuppgiftsbiträde utan verksamhetsställe inom unionen
Om en personuppgiftsansvarig som är föremål för dataskyddsförordningen väljer att använda ett personuppgiftsbiträde utanför unionen för en viss behandling måste den personuppgiftsansvarige fortfarande säkerställa att personuppgiftsbiträdet behandlar uppgifterna i enlighet med dataskyddsförordningen genom ett avtal eller någon annan rättsakt. Enligt artikel 28.3 ska behandling
som utförs av ett personuppgiftsbiträde regleras av ett avtal eller någon annan rättsakt. Den personuppgiftsansvarige måste därför säkerställa att den har ett avtal med personuppgiftsbiträdet som tar upp alla krav i artikel 28.3. Dessutom är det troligt att den personuppgiftsansvarige genom ett avtal kan behöva föreskriva de krav som dataskyddsförordningen ställer på personuppgiftsbiträden som är föremål för förordningen i syfte att säkerställa att den har efterlevt sina skyldigheter i enlighet med artikel 28.1 – att endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra åtgärder på ett sådant sätt att behandlingen uppfyller kraven i denna förordning och säkerställer att den registrerades rättigheter skyddas. Det innebär att den personuppgiftsansvarige måste säkerställa att personuppgiftsbiträdet som inte är föremål för dataskyddsförordningen efterlever skyldigheterna med hjälp av ett avtal eller någon annan rättsakt i enlighet med unionslagstiftningen eller medlemsstatens lagstiftning, enligt artikel 28.3.
Ett personuppgiftsbiträde utanför unionen blir därför indirekt föremål för vissa skyldigheter som åläggs personuppgiftsansvariga som är föremål för dataskyddsförordningen genom avtalsförhållanden enligt artikel 28. Dessutom kan bestämmelser i kapitel V i dataskyddsförordningen gälla.
Exempel 6: Ett finländskt forskningsinstitut forskar om det samiska folket. Institutet startar ett projekt som endast rör samerna i Ryssland. För det här projektet använder institutet ett personuppgiftsbiträde i Kanada.
Den finländska personuppgiftsansvarige har en skyldighet att endast använda sig av personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga åtgärder för att behandlingen uppfyller kraven i dataskyddsförordningen och säkerställer skydd av de registrerades rättigheter. Den finländska personuppgiftsansvarige måste upprätta ett databehandlingsavtal med det kanadensiska personuppgiftsbiträdet och personuppgiftsbiträdets skyldigheter ska anges i den rättsakten.
ii) Behandling av personuppgifter inom ramen för arbetet på ett personuppgiftsbiträdes
verksamhetsställe inom unionen
Rättspraxis ger oss en tydlig förståelse för effekten av behandling som utförs inom ramen för arbetet på den personuppgiftsansvariges verksamhetsställe inom EU, men effekten av behandling som utförs inom ramen för arbetet på ett personuppgiftsbiträdes verksamhetsställe inom EU är inte lika tydlig.
Dataskyddsstyrelsen betonar att det är viktigt att beakta den personuppgiftsansvariges och personuppgiftsbiträdets verksamhetsställe separat när man fastställer huruvida respektive part är etablerad i unionen.
Den första frågan är om den personuppgiftsansvarige har ett verksamhetsställe inom unionen och om behandlingen sker inom ramen för arbetet på det verksamhetsstället. Om den personuppgiftsansvarige inte anses utföra behandlingen inom ramen för sitt verksamhetsställe inom unionen är den personuppgiftsansvarige inte föremål för skyldigheterna för personuppgiftsansvariga enligt dataskyddsförordningen i enlighet med artikel 3.1 (dock kan artikel 3.2 fortfarande vara tillämplig). Om inga andra faktorer spelar in anses inte personuppgiftsbiträdets verksamhetsställe inom EU vara ett verksamhetsställe för den personuppgiftsansvariges räkning.
Sedan uppstår den separata frågan om huruvida personuppgiftsbiträdets behandling sker inom ramen för verksamhetsstället i unionen. Om så är fallet är personuppgiftsbiträdet föremål för skyldigheterna för personuppgiftsbiträden enligt dataskyddsförordningen i enlighet med artikel 3.1. Dock innebär inte detta att den personuppgiftsansvarige utanför EU blir föremål för skyldigheterna för personuppgiftsansvariga enligt dataskyddsförordningen. Det innebär att en personuppgiftsansvarig
utanför EU (i enlighet med beskrivningen ovan) inte blir föremål för dataskyddsförordningen bara för att den väljer att använda ett personuppgiftsbiträde i unionen.
En personuppgiftsansvarig som inte är föremål för dataskyddsförordningen och som ger ett uppdrag åt ett personuppgiftsbiträde i unionen utför inte behandling inom ramen för personuppgiftsbiträdes verksamhet inom unionen. Behandlingen sker inom ramen för den personuppgiftsansvariges egna verksamhet; personuppgiftsbiträdet tillhandahåller endast en behandlingstjänst som inte är direkt kopplad till den personuppgiftsansvariges verksamhet. I enlighet med vad som anges ovan vad gäller ett personuppgiftsbiträde med ett verksamhetsställe inom unionen som utför behandling åt en personuppgiftsansvarig med ett verksamhetsställe utanför unionen och inte är föremål för dataskyddsförordningen i enlighet med artikel 3.2 anser dataskyddsstyrelsen att den personuppgiftsansvariges behandling inte kan omfattas av dataskyddsförordningens territoriella tillämpningsområde bara för att behandlingen utförs för dennes räkning av ett personuppgiftsbiträde med ett verksamhetsställe inom unionen. Även om den personuppgiftsansvarige inte har något verksamhetsställe inom unionen och inte är föremål för bestämmelserna i dataskyddsförordningen i enlighet med artikel 3.2 är dock personuppgiftsbiträdet, eftersom det har ett verksamhetsställe inom unionen, föremål för de relevanta bestämmelserna i dataskyddsförordningen i enlighet med artikel 3.1.
Exempel 7: Ett mexikanskt detaljhandelsföretag ingår ett avtal med ett personuppgiftsbiträde med verksamhetsställe i Spanien för behandling av personuppgifter avseende det mexikanska företagets kunder. Det mexikanska företaget tillhandahåller och riktar sina tjänster endast till den mexikanska marknaden och behandlingen avser endast registrerade utanför unionen.
I detta fall riktar sig det mexikanska detaljhandelsföretaget inte till personer på unionens territorium genom att tillhandahålla varor eller tjänster och det övervakar inte heller personers beteende på unionens territorium. Behandlingen av personuppgifter som utförs av den personuppgiftsansvarige med verksamhetsställe utanför unionen är därför inte föremål för dataskyddsförordningen i enlighet med artikel 3.2.
Bestämmelserna i dataskyddsförordningen gäller inte den personuppgiftsansvarige i enlighet med artikel 3.1 eftersom den inte behandlar personuppgifter inom ramen för arbetet på ett verksamhetsställe inom unionen. Personuppgiftsbiträdet har sitt verksamhetsställe i Spanien och därför omfattas dess behandling av dataskyddsförordningen i enlighet med artikel 3.1. Personuppgiftsbiträdet är skyldigt att efterleva de skyldigheter som föreskrivs för personuppgiftsbiträden i förordningen för eventuell behandling som utförs inom ramen för dess verksamhet.
När det gäller ett personuppgiftsbiträde med ett verksamhetsställe inom unionen som utför behandling för en personuppgiftsansvarig utan verksamhetsställe inom unionen i behandlingssyfte och som inte omfattas av dataskyddsförordningens territoriella tillämpningsområde i enlighet med artikel 3.2 är personuppgiftsbiträdet föremål för följande relevanta bestämmelser i dataskyddsförordningen som gäller direkt för personuppgiftsbiträden: - Skyldigheterna som föreskrivs för personuppgiftsbiträden i enlighet med artikel 28.2–28.6 om skyldigheten att ingå ett databehandlingsavtal, med undantag för dem som avser bistånd till den personuppgiftsansvarige när det gäller att efterleva de egna (personuppgiftsansvarigs) skyldigheterna enligt dataskyddsförordningen.
- Personuppgiftsbiträdet och andra som agerar för den personuppgiftsansvariges eller personuppgiftsbiträdets räkning och har tillgång till personuppgifter ska inte behandla dessa uppgifter, förutom på uppdrag av den personuppgiftsansvarige, om inte unionens eller medlemsstatens lagstiftning kräver det, i enlighet med artikel 29 och artikel 32.4. - Om så är tillämpligt ska personuppgiftsbiträdet föra ett register över alla olika typer av behandling som utförs för en personuppgiftsansvarigs räkning, i enlighet med artikel 30.2. - Om tillämpligt ska personuppgiftsbiträdet på begäran samarbeta med tillsynsmyndigheten vid utförandet av dennes uppgifter, i enlighet med artikel 31. - Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med artikel 32. - Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident, i enlighet med artikel 33. - Om tillämpligt ska personuppgiftsbiträdet utnämna ett dataskyddsombud i enlighet med artiklarna 37 och 38. - Bestämmelserna om överföring av personuppgifter till tredjeländer eller internationella organisationer, i enlighet med kapitel V.
Eftersom sådan behandling skulle utföras inom ramen för arbetet på ett personuppgiftsbiträdes verksamhetsställe inom unionen påminner dataskyddsstyrelsen dessutom om att personuppgiftsbiträdet måste säkerställa att behandlingen är laglig avseende andra skyldigheter enligt EU-lagstiftning eller nationell lagstiftning. Enligt artikel 28.3 ”ska personuppgiftsbiträdet omedelbart informera den personuppgiftsansvarige om han anser att en instruktion strider mot denna förordning eller mot andra av unionens eller medlemsstaternas dataskyddsbestämmelser.”
I linje med de ståndpunkter som tidigare har intagits av artikel 29-arbetsgruppen anser dataskyddsstyrelsen att unionens territorium inte kan användas som ”dataparadis”, exempelvis om en behandling innefattar otillåtliga etiska frågor , och att vissa lagstadgade skyldigheter utöver tillämpningen av EU:s dataskyddslagstiftning, i synnerhet europeiska och nationella regler om allmän ordning, alltid måste respekteras av personuppgiftsbiträden med verksamhetsställen i unionen, oavsett var den personuppgiftsansvarige återfinns. Detta övervägande tar också hänsyn till det faktum att genom att EU-lagstiftningen genomförs är bestämmelser till följd av dataskyddsförordningen och relaterad nationell lagstiftning föremål för EU-stadgan om de grundläggande rättigheterna . Detta medför dock inte ytterligare skyldigheter för personuppgiftsansvariga utanför unionen vad gäller behandling av personuppgifter som inte omfattas av dataskyddsförordningens territoriella tillämpningsområde.
2 TILLÄMPNING AV RIKTNINGSKRITERIET – ARTIKEL 3.2
Att ett verksamhetsställe inom unionen saknas innebär inte nödvändigtvis att behandling av personuppgifter som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde med ett verksamhetsställe i ett tredjeland inte omfattas av dataskyddsförordningen, eftersom artikel 3.2 fastslår under vilka omständigheter dataskyddsförordningen gäller för en personuppgiftsansvarig eller ett personuppgiftsbiträde med ett verksamhetsställe utanför unionen, beroende på vilken behandling som utförs.
I samband med detta bekräftar dataskyddsstyrelsen att om ett verksamhetsställe inom unionen saknas så kan en personuppgiftsansvarig eller ett personuppgiftsbiträde inte dra fördel av mekanismen för en enda kontaktpunkt i enlighet med artikel 56 i dataskyddsförordningen. Dataskyddsförordningens mekanism för samarbete och enhetlighet gäller nämligen endast personuppgiftsansvariga och personuppgiftsbiträden med ett eller flera verksamhetsställen i Europeiska unionen .
De nuvarande riktlinjerna syftar visserligen till att klargöra dataskyddsförordningens territoriella tillämpningsområde, men dataskyddsstyrelsen vill även betona att personuppgiftsansvariga och personuppgiftsbiträden också måste beakta andra tillämpliga texter, såsom exempelvis EU:s eller medlemsstaternas sektorslagstiftning och nationella lagstiftning. Flera bestämmelser i dataskyddsförordningen gör det möjligt för medlemsstaterna att införa ytterligare villkor och definiera en särskild ram för dataskydd på nationell nivå på vissa områden eller avseende behandling av personuppgifter i vissa situationer. Personuppgiftsansvariga och personuppgiftsbiträden måste därför säkerställa att de känner till och efterlever dessa ytterligare villkor och ramar, vilka kan variera från medlemsstat till medlemsstat. Sådana variationer i dataskyddsbestämmelserna i respektive medlemsstat märks i synnerhet avseende bestämmelserna i artikel 8 (som anger att den ålder då barn kan ge samtycke till behandling av deras personuppgifter avseende informationssamhällets tjänster kan variera mellan 13 och 16), artikel 9 (avseende behandling av särskilda kategorier av personuppgifter) och artikel 23 (begränsningar) eller avseende bestämmelserna i kapitel IX i dataskyddsförordningen (yttrande- och informationsfrihet, allmänhetens tillgång till allmänna handlingar, nationella identifikationsnummer, anställningsförhållanden, behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, tystnadsplikt, kyrkor och religiösa samfund).
Artikel 3.2 i dataskyddsförordningen anger följande: ”Denna förordning ska tillämpas på behandling av personuppgifter som avser registrerade som befinner sig i unionen och som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen, om behandlingen har anknytning till a) utbjudande av varor eller tjänster till sådana registrerade i unionen, oavsett om dessa varor eller tjänster erbjuds kostnadsfritt eller inte, eller b) övervakning av deras
beteende så länge beteendet sker inom unionen.”
Tillämpning av ”riktningskriteriet” på registrerade som befinner sig i unionen, i enlighet med artikel 3.2, kan uppkomma genom behandling som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har ett verksamhetsställe inom unionen och som avser två olika slags verksamhet under förutsättning att behandlingen avser registrerade som befinner sig i unionen. Förutom att det endast kan tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har ett verksamhetsställe inom unionen fokuserar riktningskriteriet i stor utsträckning på vad ”behandlingen avser”, vilket ska bedömas från fall till fall. Dataskyddsstyrelsen betonar att en personuppgiftsansvarig eller ett personuppgiftsbiträde kan vara föremål för dataskyddsförordningen avseende viss behandling av personuppgifter, men inte föremål för dataskyddsförordningen avseende annan behandling. Det avgörande elementet för dataskyddsförordningens territoriella tillämpning i enlighet med artikel 3.2 är beaktande av behandlingen i fråga.
Vid bedömning av villkoren för tillämpning av riktningskriteriet rekommenderar dataskyddsstyrelsen därför en tvådelad metod för att för det första fastställa att behandlingen avser personuppgifter för registrerade som befinner sig i unionen och för det andra om behandlingen avser tillhandahållande av varor eller tjänster eller övervakning av registrerades beteende i unionen.
a) Registrerade i unionen
Ordalydelsen i artikel 3.2 åsyftar ”personuppgifter som avser registrerade som befinner sig i unionen”. Tillämpningen av riktningskriteriet begränsas därför inte av medborgarskap, bosättningsort eller någon annan rättslig status för den registrerade vars personuppgifter behandlas. Skäl 14 bekräftar den här tolkningen och anger följande: ”Det skydd som ska tillhandahållas enligt denna förordning bör tillämpas på fysiska personer, oavsett medborgarskap eller hemvist, med avseende på behandling av deras personuppgifter”.
Den här bestämmelsen i dataskyddsförordningen återspeglar EU:s primärrätt som också fastställer ett brett tillämpningsområde för skyddet av personuppgifter, som inte begränsas till EU:s medborgare, genom artikel 8 i stadgan om de grundläggande rättigheterna som anger att rätten till skydd av personuppgifter inte är begränsad utan gäller alla .
Att den registrerade befinner sig på unionens territorium är visserligen en avgörande faktor för tillämpningen av riktningskriteriet i enlighet med artikel 3.2, men dataskyddsstyrelsen anser att nationalitet eller rättslig status för en registrerad som befinner sig i unionen inte kan begränsa förordningens territoriella tillämpningsområde.
Kravet på att den registrerade ska befinna sig i unionen måste bedömas vid den tidpunkt då relevant verksamhet utförs, dvs. då varor eller tjänster tillhandahålls eller då beteende övervakas, oavsett hur länge tillhandahållandet eller övervakningen pågår.
Dataskyddsstyrelsen anser dock att bestämmelsen, avseende behandling av personuppgifter som gäller tillhandahållande av tjänster, åsyftar verksamhet som avsiktligt, snarare än oavsiktligt eller tillfälligt, riktar sig till personer i EU. Om behandlingen avser en tjänst som bara tillhandahålls till personer utanför EU, men tjänsten inte dras tillbaka när sådana personer vistas i EU, är den relaterade behandlingen alltså inte föremål för dataskyddsförordningen. I sådana fall avser behandlingen alltså inte avsiktlig riktning mot personer i EU, utan riktning mot personer utanför EU som inte upphör oavsett om de fortsätter att vistas utanför EU eller besöker unionen.
Exempel 8: Ett australiskt företag tillhandahåller en mobil nyhets- och videoinnehållstjänst som utgår från användarnas önskemål och intressen. Användarna kan få uppdateringar dagligen eller veckovis. Tjänsten tillhandahålls endast till användare i Australien som måste ange ett australiskt telefonnummer när de börjar prenumerera.
En australisk prenumerant på tjänsten reser till Tyskland på semester och fortsätter att använda tjänsten.
Även om den australiska prenumeranten använder tjänsten i EU, riktar sig tjänsten inte till personer i unionen, utan endast till personer i Australien, så det australiska företagets behandling av personuppgifter omfattas inte av dataskyddsförordningen.
Exempel 9: Ett uppstartsföretag i Förenta staterna, utan någon affärsrelaterad närvaro eller något verksamhetsställe inom EU tillhandahåller en applikation med stadskartor för turister. Applikationen behandlar personuppgifter som avser var appanvändarna (de registrerade) befinner sig när de börjar använda applikationen i staden som de besöker för att kunna tillhandahålla riktad reklam avseende platser att besöka, restauranger, barer och hotell. Applikationen är tillgänglig för turister medan de besöker New York, San Francisco, Toronto, Paris och Rom.
Det amerikanska uppstartsföretaget riktar sig, genom sin applikation med stadskartor, specifikt till personer i unionen (närmare bestämt i Paris och Rom) genom att tillhandahålla sina tjänster till dem när de befinner sig i unionen. Behandlingen av personuppgifter som avser registrerade som befinner sig i EU i samband med att tjänsten tillhandahålls omfattas av dataskyddsförordningen i enlighet med artikel 3.2 a. Genom behandlingen av de registrerades platsdata i syfte att tillhandahålla riktad reklam baserat på befintlighet avser behandlingen dessutom övervakning av beteendet hos personer i unionen. Det amerikanska uppstartsföretagets behandling omfattas därför av dataskyddsförordningen i enlighet med artikel 3.2 b.
Dataskyddsstyrelsen vill också understryka att det inte räcker med att man behandlar personuppgifter som avser en person i unionen för att dataskyddsförordningen ska tillämpas på behandling som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har ett verksamhetsställe inom unionen. Man måste också rikta sig till personer i EU, antingen genom att tillhandahålla varor eller tjänster till dem eller genom att övervaka deras beteende (vilket förklaras ytterligare nedan).
Exempel 10: En amerikansk medborgare reser genom Europa under sin semester. Medan han är i Europa laddar han ner och använder en nyhetsapp som tillhandahålls av ett amerikanskt företag. Appen riktar sig endast till den amerikanska marknaden, vilket tydliggörs i appens villkor och genom att amerikanska dollar är den enda valuta som kan användas för betalning. Det amerikanska företagets insamling av den amerikanska turistens personuppgifter via appen är inte föremål för dataskyddsförordningen.
Det bör dessutom noteras att behandling av personuppgifter som avser EU-medborgare eller boende i EU som sker i ett tredjeland inte medför att dataskyddsförordningen ska tillämpas, under förutsättning att behandlingen inte avser ett särskilt erbjudande som riktar sig till personer i EU eller övervakning av deras beteende i unionen.
Exempel 11: En bank i Taiwan har kunder som bor i Taiwan, men är tyska medborgare. Banken har verksamhet endast i Taiwan, det vill säga dess verksamhet riktar sig inte mot EU-marknaden. Bankens behandling av de tyska kundernas personuppgifter är inte föremål för dataskyddsförordningen.
Exempel 12: Den kanadensiska invandringsmyndigheten behandlar EU-medborgares personuppgifter när de reser in på kanadensiskt territorium i syfte att undersöka deras visumansökan. Den här behandlingen är inte föremål för dataskyddsförordningen.
b) Utbjudande av varor eller tjänster till sådana registrerade i unionen, oavsett om dessa varor eller tjänster erbjuds kostnadsfritt eller inte
Den första verksamhet som medför tillämpning av artikel 3.2 är ”utbjudande av varor eller tjänster”, ett begrepp som har tagits upp i mer detalj i EU-lagstiftningen och i rättspraxis, vilka bör beaktas när
riktningskriteriet tillämpas. Utbjudande av tjänster innebär också tillhandahållande av informationssamhällets tjänster, som i artikel 1.1 b i direktiv (EU) 2015/1535 definieras som ”alla informationssamhällets tjänster, det vill säga tjänster som vanligtvis utförs mot ersättning på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare”.
I artikel 3.2 a anges att riktningskriteriet avseende utbjudande av varor och tjänster gäller oberoende av huruvida det krävs att den registrerade betalar något eller inte. Huruvida en verksamhet som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har ett verksamhetsställe inom unionen ska betraktas som utbjudande av en vara eller en tjänst beror därför inte på om en betalning görs i utbyte mot de varor eller tjänster som tillhandahålls .
Exempel 13: Ett amerikanskt företag som inte har något verksamhetsställe inom EU behandlar personuppgifter som avser medarbetare som var på en tillfällig affärsresa i Frankrike, Belgien och Nederländerna av personalresursskäl, i synnerhet i syfte att ersätta deras boendekostnader och betala ut deras dagtraktamente, som varierar beroende på landet de är i.
I det här fallet är behandlingen visserligen knuten till personer som befinner sig på unionens territorium (dvs. medarbetare som tillfälligt befinner sig i Frankrike, Belgien och Nederländerna), men den avser inte ett utbjudande av en tjänst till dessa personer, utan utgör snarare en del av den behandling som arbetsgivaren måste utföra i syfte att fullgöra sin avtalsenliga skyldighet och sina personalskyldigheter avseende personens anställning. Behandlingen avser inte ett utbjudande av en tjänst och är därför inte föremål för bestämmelserna i dataskyddsförordningen i enlighet med artikel 3.2 a.
Ett annat viktigt element som ska bedömas i syfte att fastställa om riktningskriteriet i artikel 3.2 a uppfylls är huruvida utbjudandet av varor eller tjänster riktar sig till en person i unionen, med andra ord om den personuppgiftsansvariges utförande, som avgör behandlingens ändamål och medel, uppvisar avsikten att tillhandahålla varor och tjänster till en registrerad i unionen. I skäl 23 i dataskyddsförordningen klargörs att ”i syfte att avgöra om en personuppgiftsansvarig eller ett personuppgiftsbiträde erbjuder varor eller tjänster till registrerade som befinner sig i unionen bör man fastställa om det är uppenbart att den personuppgiftsansvarige eller personuppgiftsbiträdet avser att erbjuda tjänster till registrerade i en eller flera av unionens medlemsstater”.
Skälet anger dessutom att ”medan enbart åtkomlighet till den personuppgiftsansvariges, personuppgiftsbiträdets eller en mellanhands webbplats i unionen, till en e-postadress eller andra kontaktuppgifter eller användning av ett språk som allmänt används i det tredjeland där den personuppgiftsansvarige är etablerad inte är tillräckligt för att fastställa en sådan avsikt, kan faktorer som användning av ett språk eller en valuta som allmänt används i en eller flera medlemsstater med möjlighet att beställa varor och tjänster på detta andra språk, eller omnämnande av kunder eller användare som befinner sig i unionen, göra det uppenbart att den personuppgiftsansvarige avser att erbjuda varor eller tjänster till registrerade inom unionen”.
De element som anges i skäl 23 återspeglar och är i linje med rättspraxis från Europeiska unionens domstol baserat på rådets förordning 44/2001 om domstols behörighet och om erkännande och verkställighet av domar på privaträttens område, och i synnerhet artikel 15.1 c. I Pammer mot Reederei Karl Schlüter GmbH & Co och Hotel Alpenhof mot Heller (de förenade målen C-585/08 och C-144/09) ombads domstolen att klargöra vad som avses med att ”rikta verksamhet” i den mening som avses i artikel 15.1 c i förordning 44/2001 (Bryssel I). Europeiska unionens domstol fastställde att i syfte att fastställa huruvida en näringsidkare kan anses ”rikta” sin verksamhet mot den medlemsstat där kunden har sin hemvist i den mening som avses i artikel 15.1 c i Bryssel I måste näringsidkaren ha visat sin avsikt att etablera handelsrelationer med sådana kunder. I samband med detta beaktade Europeiska unionens domstol bevis som kunde intyga att näringsidkaren avsåg att bedriva verksamhet med kunder som har sin hemvist i en medlemsstat.
Visserligen skiljer sig begreppet ”rikta verksamhet” från ”utbjudande av varor och tjänster”, men dataskyddsstyrelsen anser att rättspraxis i Pammer mot Reederei Karl Schlüter GmbH & Co och Hotel Alpenhof mot Heller (de förenade målen C-585/08 och C-144/09) kan vara till hjälp när man beaktar om varor och tjänster tillhandahålls till en registrerad i unionen. När man beaktar specifika fakta i fallet kan därför bland annat följande faktorer beaktas, eventuellt i kombination med varandra:
- EU eller minst en medlemsstat benämns med namn med referens till den vara eller tjänst som tillhandahålls. - Den personuppgiftsansvarige eller personuppgiftsbiträdet betalar en leverantör av sökmotorer för en internetreferenstjänst i syfte att underlätta tillgång till dess webbplats för kunder i unionen, eller så har den personuppgiftsansvarige eller personuppgiftsbiträdet startat marknadsförings- och annonskampanjer som vänder sig till en målgrupp i EU. - Den aktuella verksamhetens internationella karaktär, såsom viss turistverksamhet. - Särskilda adresser eller telefonnummer som kan nås från ett EU-land nämns. - Användning av en annan toppdomän än den i det tredjeland där den personuppgiftsansvarige eller personuppgiftsbiträdet har sitt verksamhetsställe, exempelvis ”.de”, eller användning av neutrala toppdomäner såsom ”.eu”. - Vägbeskrivningar från en eller flera EU-medlemsstater till den plats där tjänsten tillhandahålls. - Ett internationellt klientel bestående av kunder med hemvist i olika EU-medlemsstater nämns, i synnerhet genom att skrivna vittnesmål från sådana kunder presenteras. - Användning av ett språk eller en valuta utöver vad som vanligen används i näringsidkarens land, i synnerhet ett språk eller en valuta i en eller flera EU-medlemsstater. - Den personuppgiftsansvarige erbjuder leverans av varor i EU-medlemsstater.
Som redan har nämnts utgör flera av elementen som anges ovan inte på egen hand en tydlig indikation om den personuppgiftsansvariges avsikt att tillhandahålla varor eller tjänster till registrerade i unionen. Dock bör de alla beaktas i en konkret analys i syfte att fastställa om kombinationen av faktorer avseende den personuppgiftsansvariges kommersiella verksamhet tillsammans kan anses utgöra ett utbjudande av varor eller tjänster som riktar sig till registrerade i unionen.
Det är dock viktigt att komma ihåg att skäl 23 bekräftar att enbart åtkomlighet till den personuppgiftsansvariges, personuppgiftsbiträdets eller en mellanhands webbplats i unionen,
omnämnande av e-postadress eller geografisk adress på webbplatsen eller omnämnande av ett telefonnummer utan en internationell kod inte i sig ger tillräckliga bevis för den personuppgiftsansvariges eller personuppgiftsbiträdets avsikt att tillhandahålla varor eller tjänster till en registrerad i unionen. I samband med detta påminner dataskyddsstyrelsen om att behandlingen av personuppgifter inte omfattas av dataskyddsförordningens territoriella tillämpningsområde om varor eller tjänster oavsiktligt eller tillfälligt tillhandahålls till en person på unionens territorium.
Exempel 14: En webbplats som är baserad och förvaltas i Turkiet erbjuder tjänster för att skapa, redigera, trycka och skicka personanpassade familjefotoalbum. Webbplatsen finns på engelska, franska, nederländska och tyska och det går att betala med euro. På webbplatsen anges att fotoalbum bara kan levereras som brev i Frankrike, Beneluxländerna och Tyskland.
I det här fallet är det tydligt att det utgör en tjänst i den mening som avses i EU-lagstiftningen att skapa, redigera och trycka personanpassade familjefotoalbum. Det faktum att webbplatsen finns på fyra EUspråk och att fotoalbum kan skickas per post i sex EU-medlemsstater visar att den turkiska webbplatsen har för avsikt att tillhandahålla sina tjänster till personer i unionen.
Det är alltså tydligt att den behandling av personuppgifter som den turkiska webbplatsen utför i egenskap av personuppgiftsansvarig avser utbjudande av en tjänst till registrerade i unionen och därför är föremål för skyldigheterna och bestämmelserna i dataskyddsförordningen, i enlighet med artikel 3.2 a. I enlighet med artikel 27 måste den personuppgiftsansvarige utse en företrädare i unionen.
Exempel 15: Ett privat företag med säte i Monaco behandlar sina anställdas personuppgifter i syfte att betala ut löner. Ett stort antal av företagets anställda bor i Frankrike och Italien. I det här fallet rör företagets behandling visserligen registrerade i Frankrike och Italien, men den sker inte i samband med tillhandahållande av varor och tjänster. Personaladministration, inbegripet löneutbetalning, vid ett företag i ett tredjeland kan nämligen inte betraktas som ett utbjudande av en tjänst i den mening som avses i artikel 3.2 a. Behandlingen i fråga avser inte tillhandahållande av varor eller tjänster till registrerade i unionen (och inte heller övervakning av beteende) och är därför inte föremål för bestämmelserna i dataskyddsförordningen i enlighet med artikel 3.
Den här bedömningen görs utan att det påverkar tillämpningen av gällande lag i tredjelandet.
Exempel 16: Ett schweiziskt universitet i Zürich lanserar urvalsförfarandet till sin masterexamen genom att tillgängliggöra en onlineplattform där kandidater kan ladda upp sitt cv och personliga brev, tillsammans med sina kontaktuppgifter. Urvalsförfarandet är öppet för alla studenter med tillräckliga kunskaper i tyska och engelska och en kandidatexamen. Universitetet marknadsför sig inte specifikt mot studenter vid universitet i EU och tar bara emot betalningar i schweizisk valuta.
Eftersom studenter från unionen inte nämns specifikt i ansöknings- och urvalsförfarandet för denna masterexamen går det inte att fastställa att det schweiziska universitetet har för avsikt att rikta sig till studenter från en viss EU-medlemsstat. Kravet på tillräckliga kunskaper i tyska och engelska är ett allmänt krav som gäller alla sökande, oavsett om personen bor i Schweiz, EU eller ett tredjeland. Då det inte finns några andra faktorer som anger att man riktar sig till studenter i EU-medlemsstaterna går det inte att fastställa att behandlingen i fråga avser tillhandahållande av en utbildningstjänst till registrerade i unionen och behandlingen är därför inte föremål för bestämmelserna i dataskyddsförordningen.
Det schweiziska universitetet erbjuder också sommarkurser i internationella relationer och marknadsför detta erbjudande specifikt på tyska och österrikiska universitet i syfte att få så många kursdeltagare som möjligt. I det här fallet har det schweiziska universitetet en tydlig avsikt att erbjuda en sådan tjänst till registrerade i unionen och dataskyddsförordningen gäller för behandlingen i fråga.
c) Övervakning av registrerades beteende
Den andra typen av verksamhet som medför att artikel 3.2 tillämpas är övervakning av registrerades beteende om detta beteende sker inom unionen.
Skäl 24 klargör att ”den behandling av personuppgifter som avser registrerade som befinner sig i unionen som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen bör också omfattas av denna förordning, om den hör samman med övervakningen av de registrerade personernas beteende när de befinner sig i unionen”. För att artikel 3.2 b ska medföra att dataskyddsförordningen tillämpas måste det övervakade beteendet för det första avse en registrerad i unionen och för det andra, som ett kumulativt kriterium, måste det övervakade beteendet ske på unionens territorium.
Karaktären hos den behandling som kan betraktas som övervakning av beteende specificeras ytterligare i skäl 24, där följande anges: ”För att avgöra huruvida en viss behandling kan anses övervaka beteendet hos registrerade, bör det fastställas om fysiska personer spåras på internet, och om personuppgifterna därefter behandlas med hjälp av teknik som profilerar fysiska personer, i synnerhet för att fatta beslut rörande honom eller henne eller för att analysera eller förutsäga hans eller hennes personliga preferenser, beteende och attityder”. I skäl 24 avses visserligen endast övervakning av beteende genom att spåra en person på internet, men dataskyddsstyrelsen anser att spårning genom andra slags nätverk eller annan slags teknik som inbegriper behandling av personuppgifter också bör beaktas när det gäller att fastställa om en viss behandling utgör övervakning av beteende, till exempel genom bärbara och andra smarta enheter.
I motsats till bestämmelsen i artikel 3.2 a inför varken artikel 3.2 b eller skäl 24 uttryckligen en nödvändig nivå av ”avsikt att rikta sig mot” avseende den personuppgiftsansvarige eller personuppgiftsbiträdet i syfte att fastställa om övervakningen ska medföra att dataskyddsförordningen tillämpas på behandlingen. Dock antyder användningen av ordet ”övervakning” att den personuppgiftsansvarige har ett särskilt mål med insamlingen och den efterföljande återanvändningen av de relevanta uppgifterna om en persons beteende i EU. Dataskyddsstyrelsen anser inte att insamling eller analys online av personuppgifter som avser personer i EU automatiskt ska räknas som ”övervakning”. Man måste ta hänsyn till den personuppgiftsansvariges syfte med att behandla uppgifterna och i synnerhet en efterföljande beteendeanalys eller profileringsteknik som inbegriper dessa uppgifter. Dataskyddsstyrelsen tar hänsyn till ordalydelsen i skäl 24, som anger att spårning av fysiska personer på internet, inbegripet eventuell efterföljande användning av profileringsteknik, är ett viktigt beaktande för att fastställa om behandling inbegriper övervakning av en registrerads beteende.
Tillämpningen av artikel 3.2 b där en personuppgiftsansvarig eller ett personuppgiftsbiträde övervakar beteendet hos registrerade i unionen kan därför omfatta många olika slags övervakning, inbegripet i synnerhet följande:
- Beteendestyrd annonsering. - Geolokaliseringsverksamhet, i synnerhet i marknadsföringssyfte.
- Spårning online genom att använda kakor eller annan spårningsteknik såsom fingeravtryckstagning. - Personanpassade tjänster för analys av diet och hälsa online. - Kameraövervakning. - Marknadsundersökningar och andra beteendestudier baserade på individuella profiler. - Övervakning av eller regelbunden rapportering om en individs hälsostatus.
Exempel 17: Ett konsultföretag inom detaljhandeln som är etablerat i Förenta staterna ger råd om utformningen av detaljhandeln i ett köpcentrum i Frankrike baserat på en analys av hur kunderna rör sig i centrumet utifrån insamling via wi-fi-spårning.
Analysen av hur en kund rör sig i centrumet genom wi-fi-spårning utgör övervakning av individens beteende. I det här fallet sker den registrerades beteende i unionen eftersom köpcentrumet ligger i Frankrike. Som personuppgiftsansvarig är konsultföretaget därför föremål för dataskyddsförordningen avseende behandlingen av dessa uppgifter i detta syfte i enlighet med artikel 3.2 b.
I enlighet med artikel 27 måste den personuppgiftsansvarige utse en företrädare i unionen.
Exempel 18: En apputvecklare som är etablerad i Kanada och inte har något verksamhetsställe inom unionen övervakar beteendet hos registrerade i unionen och är därför föremål för dataskyddsförordningen i enlighet med artikel 3.2 b. Utvecklaren använder ett personuppgiftsbiträde som är etablerat i Förenta staterna för att optimera och underhålla appen.
Avseende den här behandlingen är den personuppgiftsansvarige i Kanada skyldig att endast använda lämpliga personuppgiftsbiträden och säkerställa att skyldigheterna enligt dataskyddsförordningen återspeglas i avtalet eller rättsakten som reglerar förbindelserna med personuppgiftsbiträdet i Förenta staterna, i enlighet med artikel 28.
d) Personuppgiftsbiträde utan verksamhetsställe inom unionen
Behandling av personuppgifter som avser den riktning som medförde tillämpning av artikel 3.2 omfattas av dataskyddsförordningens territoriella tillämpningsområde. Dataskyddsstyrelsen anser att det måste finnas en koppling mellan behandlingen och tillhandahållandet av en vara eller en tjänst, men behandling som utförs av både den personuppgiftsansvarige och personuppgiftsbiträdet är relevant och ska beaktas.
När det gäller ett personuppgiftsbiträde utan verksamhetsställe inom unionen måste man titta på huruvida personuppgiftsbiträdets behandling avser den personuppgiftsansvariges riktade verksamhet i syfte att fastställa om behandlingen kan vara föremål för dataskyddsförordningen i enlighet med artikel 3.2.
Dataskyddsstyrelsen anser att om en personuppgiftsansvarigs behandling avser tillhandahållande av varor eller tjänster eller övervakning av individers beteende i unionen (”riktning”) så omfattas ett personuppgiftsbiträde som ges i uppdrag att utföra behandlingen för den personuppgiftsansvariges räkning av dataskyddsförordningen i enlighet med artikel 3.2 avseende behandlingen i fråga.
En behandlings ”riktade” karaktär är kopplad till dess ändamål och medel; ett beslut att rikta sig till personer i unionen kan endast fattas av en enhet som fungerar som personuppgiftsansvarig. En sådan tolkning utesluter inte möjligheten att personuppgiftsbiträdet aktivt kan delta i behandling som är kopplad till utförande av riktningskriteriet (dvs. personuppgiftsbiträdet tillhandahåller varor eller tjänster eller utför övervakning för den personuppgiftsansvariges räkning eller på uppdrag av denne).
Dataskyddsstyrelsen anser därför att fokus bör ligga på kopplingen mellan den behandling som personuppgiftsbiträdet utför och en personuppgiftsansvarigs riktning.
Exempel 19: Ett brasilianskt företag säljer livsmedelsingredienser och lokala recept online och tillhandahåller dessa varor till personer i unionen genom att annonsera ut produkterna och erbjuda leverans i Frankrike, Spanien och Portugal. I samband med detta ger företaget ett personuppgiftsbiträde som också är etablerat i Brasilien i uppdrag att ta fram specialerbjudanden till kunder i Frankrike, Spanien och Portugal baserat på deras tidigare beställningar och att utföra den tillhörande uppgiftsbehandlingen.
Personuppgiftsbiträdets behandling på uppdrag av den personuppgiftsansvarige avser tillhandahållandet av varor till registrerade i unionen. Dessutom övervakar personuppgiftsbiträdet registrerade i EU direkt genom att utveckla dessa specialanpassade erbjudanden. Personuppgiftsbiträdets behandling är därför föremål för dataskyddsförordningen i enlighet med artikel 3.2.
Exempel 20: Ett amerikanskt företag har utvecklat en hälso- och livsstilsapp som gör det möjligt för användarna att registrera sina personliga indikatorer hos det amerikanska företaget (sömntid, vikt, blodtryck, hjärtslag osv.). Appen ger sedan användarna dagliga råd om mat och träningsrekommendationer. Behandlingen utförs av den personuppgiftsansvarige i Förenta staterna. Appen görs tillgänglig för och används av individer i unionen. I datalagringssyfte använder det amerikanska företaget ett personuppgiftsbiträde som är etablerat i Förenta staterna (molntjänsteleverantör). I den mån som det amerikanska företaget övervakar beteendet hos individer i EU genom att driva hälso- och livsstilsappen riktar den sig till individer i EU och dess behandling av personuppgifter som avser individerna i EU omfattas av dataskyddsförordningen i enlighet med artikel 3.2. Genom att utföra behandling av personuppgifter på uppdrag av det amerikanska företaget och för dettas räkning utför molntjänsteleverantören/personuppgiftsbiträdet behandling som avser den personuppgiftsansvariges riktning mot individer i EU. Denna behandling som personuppgiftsbiträdet utför för den personuppgiftsansvariges räkning omfattas av dataskyddsförordningen i enlighet med artikel 3.2.
Exempel 21: Ett turkiskt företag erbjuder kulturpaketresor i Mellanöstern med reseguider som talar engelska, franska och spanska. Paketresorna marknadsförs och tillhandahålls i synnerhet genom en webbplats som finns på tre språk samt möjliggör bokning online och betalning i euro och brittiska pund. I marknadsföringssyfte och i syfte att söka upp nya försäljningsmöjligheter ger företaget ett personuppgiftsbiträde, en teletjänstcentral som är etablerad i Tunisien, i uppdrag att kontakta före detta kunder i Irland, Frankrike, Belgien och Spanien i syfte att få återkoppling om deras tidigare resor och informera dem om nya erbjudanden och resmål. Den personuppgiftsansvarige riktar in sig genom att erbjuda sina tjänster till personer i EU och dess behandling av personuppgifter omfattas av artikel 3.2.
Behandlingen av det tunisiska personuppgiftsbiträdet, som marknadsför den personuppgiftsansvariges tjänster för personer i EU, avser också den personuppgiftsansvariges tillhandahållande av tjänster och omfattas därför av artikel 3.2. I just det här fallet deltar dessutom det tunisiska personuppgiftsbiträdet aktivt i behandlingen avseende utförande av riktningskriteriet genom att erbjuda tjänster för den turkiske personuppgiftsansvariges räkning och på uppdrag av denne.
e) Samspel med andra bestämmelser i dataskyddsförordningen och annan lagstiftning
Dataskyddsstyrelsen kommer också att ytterligare bedöma samspelet mellan tillämpningen av dataskyddsförordningens territoriella tillämpningsområde i enlighet med artikel 3 och bestämmelserna om internationella uppgiftsöverföringar enligt kapitel V. Om det bedöms nödvändigt kan ytterligare vägledning utfärdas i detta hänseende.
Personuppgiftsansvariga och personuppgiftsbiträden som inte är etablerade i EU måste efterleva nationell lagstiftning i sina egna tredjeländer avseende behandling av personuppgifter. Om sådan behandling dock avser riktning mot individer i unionen i enlighet med artikel 3.2 måste den personuppgiftsansvarige efterleva dataskyddsförordningen, utöver det egna landets nationella lagstiftning. Så skulle vara fallet oavsett om behandlingen utförs i enlighet med en lagstadgad skyldighet i tredjelandet eller helt enkelt för att den personuppgiftsansvarige har valt det.
3 BEHANDLING AV PERSONUPPGIFTER PÅ EN PLATS DÄR EN MEDLEMSSTATS NATIONELLA RÄTT GÄLLER ENLIGT FOLKRÄTTEN
Artikel 3.3 anger att ”denna förordning ska tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten”. Den här bestämmelsen utvecklas i skäl 25 som anger att ”om medlemsstaternas nationella rätt är tillämplig i kraft av folkrätten, bör denna förordning också vara tillämplig på personuppgiftsansvariga som inte är etablerade inom unionen, exempelvis i en medlemsstats diplomatiska beskickning eller konsulat”. Dataskyddsstyrelsen anser därför att dataskyddsförordningen gäller för behandling av personuppgifter som utförs av EU:s medlemsstaters ambassader och konsulat som är belägna utanför EU eftersom sådan behandling omfattas av dataskyddsförordningen i enlighet med artikel 3.3. En medlemsstats diplomatiska beskickning eller konsulat skulle då, som personuppgiftsansvarig eller personuppgiftsbiträde, vara föremål för alla relevanta bestämmelser i dataskyddsförordningen, inbegripet avseende den registrerades rättigheter, de allmänna skyldigheterna för personuppgiftsansvariga och personuppgiftsbiträden och överföringar av personuppgifter till tredjeländer eller internationella organisationer.
Exempel 22: Det nederländska konsulatet i Kingston på Jamaica öppnar ett ansökningsförfarande online för att rekrytera lokal personal som administrativt stöd. Det nederländska konsulatet i Kingston på Jamaica har visserligen inte något verksamhetsställe inom unionen, men det faktum att det är ett konsulat för ett EU-land där medlemsstatens nationella rätt gäller enligt folkrätten innebär att dataskyddsförordningen gäller för dess behandling av personuppgifter i enlighet med artikel 3.3.
Exempel 23: Ett tyskt kryssningsfartyg som färdas på internationellt vatten behandlar uppgifter som avser gästerna ombord i syfte att skräddarsy underhållningsutbudet under kryssningen. Visserligen befinner sig fartyget utanför unionen, på internationellt vatten, men det faktum att det är ett tyskregistrerat kryssningsfartyg innebär att i enlighet med folkrätten ska dataskyddsförordningen gälla för dess behandling av personuppgifter i enlighet med artikel 3.3.
En annan situation som inte är kopplad till tillämpningen av artikel 3.3 är den då vissa enheter, organ eller organisationer med verksamhetsställen i unionen enligt folkrätten åtnjuter privilegier och immunitet såsom dem som fastställs i Wienkonventionen om diplomatiska förbindelser av 1961 , Wienkonventionen om konsulära förbindelser av 1963 eller avtal om säten som sluts mellan internationella organisationer och deras värdländer i unionen. I detta hänseende påminner dataskyddsstyrelsen om att tillämpningen av dataskyddsförordningen görs utan att det påverkar bestämmelser i internationell lagstiftning, såsom sådana som styr privilegier och immunitet för diplomatiska beskickningar och konsulat utanför EU samt för internationella organisationer. Samtidigt är det viktigt att komma ihåg att en personuppgiftsansvarig eller ett personuppgiftsbiträde som omfattas av dataskyddsförordningen för en viss behandling och som utbyter personuppgifter med sådana enheter, organ och organisationer måste efterleva dataskyddsförordningen, inbegripet dess bestämmelser om överföring till tredjeländer eller internationella organisationer om så är tillämpligt.
4 FÖRETRÄDARE FÖR PERSONUPPGIFTSANSVARIGA ELLER PERSONUPPGIFTSBITRÄDEN SOM INTE ÄR ETABLERADE I UNIONEN
Personuppgiftsansvariga eller personuppgiftsbiträden som är föremål för dataskyddsförordningen i enlighet med artikel 3.2 är skyldiga att utse en företrädare i unionen. En personuppgiftsansvarig eller ett personuppgiftsbiträde som inte har något verksamhetsställe inom unionen, men är föremål för dataskyddsförordningen och inte utser en företrädare i unionen bryter därför mot förordningen.
Den här bestämmelsen är inte helt ny eftersom direktiv 95/46/EG hade en liknande skyldighet. I enlighet med direktivet avsåg denna bestämmelse personuppgiftsansvariga utan verksamhetsställe på gemenskapens territorium som för behandling av personuppgifter använde automatiserad eller ickeautomatiserad utrustning som var belägen på den nämnda medlemsstatens territorium. Dataskyddsförordningen inför en skyldighet att utse en företrädare i unionen för alla personuppgiftsansvariga eller personuppgiftsbiträden som omfattas av artikel 3.2, om de inte uppfyller undantagskriteriet enligt artikel 27.2. I syfte att underlätta tillämpningen av just den här bestämmelsen anser dataskyddsstyrelsen att det är nödvändigt att ge ytterligare vägledning om detta förfarande, etableringsskyldigheter och ansvarsområden för företrädaren i unionen i enlighet med artikel 27.
Det är värt att notera att en personuppgiftsansvarig eller ett personuppgiftsbiträde utan verksamhetsställe inom unionen som skriftligen har utsett en företrädare i unionen i enlighet med artikel 27 i dataskyddsförordningen inte omfattas av artikel 3.1, vilket innebär att det faktum att man har en företrädare i unionen inte betyder att denne utgör en personuppgiftsansvarigs eller ett personuppgiftsbiträdes ”verksamhetsställe” i enlighet med artikel 3.1.
a) Utseende av en företrädare
Följande klargörs i skäl 80: ”Företrädaren bör uttryckligen utses genom en skriftlig fullmakt från den personuppgiftsansvarige eller från personuppgiftsbiträdet att agera på dennes vägnar med avseende på dennes skyldigheter enligt denna förordning. Utnämningen av företrädaren inverkar inte på den personuppgiftsansvariges eller på personuppgiftsbiträdets ansvar enligt denna förordning. Företrädaren bör utföra sina uppgifter i enlighet med erhållen fullmakt från den personuppgiftsansvarige eller från personuppgiftsbiträdet, vilket inbegriper samarbete med de
behöriga tillsynsmyndigheterna i fråga om alla åtgärder som vidtas för att sörja för efterlevnad av
denna förordning.”
Den skriftliga fullmakt som avses i skäl 80 ska därför styra förbindelserna och skyldigheterna mellan företrädaren i unionen och den personuppgiftsansvarige eller personuppgiftsbiträdet utanför unionen, samtidigt som den inte inverkar på den personuppgiftsansvariges eller personuppgiftsbiträdets ansvar. Företrädaren i unionen kan vara en fysisk eller en juridisk person som är etablerad i unionen och kan företräda en personuppgiftsansvarig eller ett personuppgiftsbiträde som bedriver verksamhet utanför unionen avseende deras respektive skyldigheter i enlighet med dataskyddsförordningen.
I praktiken kan funktionen som en företrädare i unionen har utövas baserat på ett serviceavtal som sluts med en individ eller en organisation, och kan därför utföras av ett stort antal kommersiella och icke-kommersiella enheter, såsom advokatbyråer, konsultföretag, privata företag och så vidare, under förutsättning att dessa enheter är etablerade i unionen. En företrädare kan också agera på uppdrag av flera personuppgiftsansvariga och personuppgiftsbiträden utanför EU. Om företrädarfunktionen fylls av ett företag eller någon annan typ av organisation rekommenderas att en enda person utses till huvudsaklig kontaktperson och ansvarig person för respektive personuppgiftsansvarig och personuppgiftsbiträde som företräds. Det vore i allmänhet också lämpligt att specificera dessa punkter i serviceavtalet. I linje med dataskyddsförordningen bekräftar dataskyddsstyrelsen att om flera behandlingar som en personuppgiftsansvarig eller ett personuppgiftsbiträde utför omfattas av artikel 3.2 i dataskyddsförordningen (och inget av undantagen i artikel 27.2 i dataskyddsförordningen gäller) så förväntas denne personuppgiftsansvarige eller detta personuppgiftsbiträde inte utse flera företrädare för respektive separata behandling som omfattas av artikel 3.2.Dataskyddsstyrelsen anser inte att rollen som företrädare i unionen går att kombinera med rollen externt dataskyddsombud som skulle etableras i unionen. I artikel 38.3 fastställs några grundläggande garantier som bidrar till att säkerställa att dataskyddsombuden kan utföra sina arbetsuppgifter tillräckligt självständigt inom sin organisation. I synnerhet ska personuppgiftsansvariga och personuppgiftsbiträden säkerställa att dataskyddsombudet ”inte tar emot instruktioner som gäller utförandet av dessa uppgifter”. I skäl 97 tillfogas att dataskyddsombud, ”oavsett om de är anställda av den personuppgiftsansvarige eller ej, [ska] kunna fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt” . Kravet på att dataskyddsombudet ska vara tillräckligt självständigt och oberoende verkar inte gå att kombinera med funktionen företrädare i unionen. Företrädaren är föremål för en fullmakt från en personuppgiftsansvarig eller ett personuppgiftsbiträde och agerar för dennes räkning och därför på direkt uppdrag av denne . Företrädaren får en fullmakt från den personuppgiftsansvarige eller personuppgiftsbiträdet som den företräder och agerar för dennes räkning när den utför sin uppgift och en sådan roll går inte att kombinera med dataskyddsombudets självständiga utförande av skyldigheter och uppgifter. För att komplettera sin tolkning påminner dataskyddsstyrelsen dessutom om den ståndpunkt som artikel 29-arbetsgruppen redan intagit och där man betonar att ”en intressekonflikt kan [...] uppstå om
ett externt dataskyddsombud till exempel ombes att företräda den personuppgiftsansvarige eller personuppgiftsbiträdet vid en domstol i dataskyddsärenden” .
Mot bakgrund av att motstridiga skyldigheter och intressekonflikter kan uppstå vid verkställighetsförfaranden anser dataskyddsstyrelsen även att funktionen företrädare i unionen för en personuppgiftsansvarig inte går att kombinera med rollen som personuppgiftsbiträde för samma personuppgiftsansvarige, i synnerhet när det gäller att beakta deras respektive ansvarsområden och efterlevnad. Genom dataskyddsförordningen införs visserligen inte någon skyldighet för den personuppgiftsansvarige eller företrädaren att anmäla utseendet av den sistnämnda till en tillsynsmyndighet, men dataskyddsstyrelsen påminner om att personuppgiftsansvariga som ett led i sina informationsskyldigheter ska informera de registrerade om vem som är deras företrädare i unionen, i enligt med artiklarna 13.1 a och 14.1 a. Den här informationen ska exempelvis inbegripas i [integritetspolicyn och] den information som de registrerade får när uppgifter samlas in. En personuppgiftsansvarig som inte är etablerad i unionen men omfattas av artikel 3.2 och inte informerar registrerade som befinner sig i unionen om identiteten på sin företrädare uppfyller inte sina transparensskyldigheter i enlighet med dataskyddsförordningen. Sådan information bör dessutom vara enkel att tillgå för tillsynsmyndigheter i syfte att göra det enklare att upprätta kontakt vid behov av samarbete.
Exempel 24: Webbplatsen som avses i exempel 12, som är baserad och förvaltas i Turkiet, erbjuder tjänster för att skapa, redigera, trycka och skicka personanpassade familjefotoalbum. Webbplatsen finns på engelska, franska, nederländska och tyska och det går att betala med euro eller brittiska pund. På webbplatsen anges att fotoalbum bara kan levereras som brev i Frankrike, Beneluxländerna och Tyskland. Den här webbplatsen är föremål för dataskyddsförordningen i enlighet med artikel 3.2 a och den personuppgiftsansvarige måste utse en företrädare i unionen.
Företrädaren måste vara etablerad i en av medlemsstaterna där tjänsten erbjuds, i det här fallet antingen i Frankrike, Belgien, Nederländerna, Luxemburg eller Tyskland. Namn och kontaktuppgifter för den personuppgiftsansvarige och dess företrädare i unionen måste ingå i den information som görs tillgänglig online för registrerade när de börjar använda tjänsten genom att skapa sitt fotoalbum. Uppgifterna måste också finnas i webbplatsens allmänna integritetspolicy.
b) Undantag från utseendeskyldigheten
Visserligen medför tillämpningen av artikel 3.2 en skyldighet att utse en företrädare i unionen för personuppgiftsansvariga och personuppgiftsbiträden som är etablerade utanför unionen, men artikel 27.2 föreskriver avvikelse från det obligatoriska utseendet av en företrädare i unionen i två olika fall:
Tillfällig behandling som inte omfattar behandling i stor omfattning av särskilda kategorier av uppgifter, som avses i artikel 9.1, eller behandling av personuppgifter avseende fällande domar i brottmål samt överträdelser, som avses i artikel 10, och som sannolikt inte kommer att
medföra en risk för fysiska personers rättigheter och friheter, med hänsyn till behandlingens art, sammanhang, omfattning och ändamål.
I linje med de ståndpunkter som tidigare intagits av artikel 29-arbetsgruppen anser EPDB att en behandling endast kan betraktas som tillfällig om den inte utförs regelbundet och sker utanför den personuppgiftsansvariges eller personuppgiftsbiträdets vanliga verksamhet .
Vidare definierar visserligen inte dataskyddsförordningen vad som utgör storskalig behandling, men artikel 29-arbetsgruppen har i sina riktlinjer WP 243 om dataskyddsombud tidigare rekommenderat att i synnerhet följande faktorer ska beaktas vid fastställande av huruvida behandlingen sker i stor skala: antalet registrerade som berörs – antingen i exakta tal eller som en proportion av den relevanta befolkningen, uppgiftsvolymen och/eller omfånget av olika uppgiftsposter som behandlas, uppgiftsbehandlingens varaktighet eller beständighet samt behandlingens geografiska omfattning .
Slutligen betonar dataskyddsstyrelsen att undantaget från utseendeskyldigheten i enlighet med artikel 27 åsyftar behandling ”som sannolikt inte kommer att medföra en risk för fysiska personers rättigheter och friheter” och därför inte begränsar undantaget till behandling som sannolikt inte kommer att medföra en stor risk för de registrerades rättigheter och friheter. I linje med skäl 75 bör hänsyn tas till både riskens sannolikhet och allvarlighetsgrad vid bedömning av riskerna för de registrerades rättigheter och friheter.
Eller
behandlingen utförs av en offentlig myndighet eller ett offentligt organ.
För att en enhet utanför unionen ska kunna räknas som en offentlig myndighet eller ett offentligt organ måste tillsynsmyndigheterna göra en konkret bedömning från fall till fall . Dataskyddsstyrelsen noterar att antalet fall där en myndighet eller ett offentligt organ i ett tredjeland tillhandahåller varor eller tjänster till registrerade i unionen eller övervakar deras beteende i unionen, mot bakgrund av deras uppgifter och uppdrag, sannolikt är begränsat.
c) Verksamhetsställe i en av medlemsstaterna där de registrerade vars personuppgifter behandlas befinner sig
Artikel 27.3 föreskriver att ”företrädaren ska vara etablerad i en av de medlemsstater där de registrerade, vars personuppgifter behandlas i samband med att de erbjuds varor eller tjänster, eller vars beteende övervakas, befinner sig”. I fall där en avsevärd andel av de registrerade vars personuppgifter behandlas återfinns i en viss medlemsstat rekommenderar dataskyddsstyrelsen att företrädaren är etablerad i den medlemsstaten, som god praxis. Företrädaren måste dock vara
lättillgänglig för registrerade i medlemsstater som denne inte är etablerad i och där varor eller tjänster tillhandahålls eller beteende övervakas.
Dataskyddsstyrelsen bekräftar att kriteriet för att utse en företrädare i unionen är var de registrerade vars personuppgifter behandlas befinner sig. Platsen för behandlingen, till och med för ett personuppgiftsbiträde som är etablerat i en annan medlemsstat, är här inte en relevant faktor för att fastställa var företrädarens verksamhetsställe finns.
Exempel 25: Ett indiskt läkemedelsföretag, som varken har någon affärsrelaterad närvaro eller något verksamhetsställe inom unionen och är föremål för dataskyddsförordningen i enlighet med artikel 3.2, sponsrar kliniska prövningar som utförs av forskare (sjukhus) i Belgien, Luxemburg och Nederländerna. Majoriteten av patienterna som deltar i de kliniska prövningarna befinner sig i Belgien.
Det indiska läkemedelsföretaget ska, som personuppgiftsansvarig, utse en företrädare i unionen som är etablerad i en av de tre medlemsstaterna där patienter, som registrerade, deltar i den kliniska prövningen (Belgien, Luxemburg eller Nederländerna). Eftersom de flesta patienterna bor i Belgien rekommenderas att företrädaren är etablerad i Belgien. Om så är fallet bör företrädaren i Belgien dock vara lättillgänglig för registrerade och tillsynsmyndigheter i Nederländerna och Luxemburg. I just det här fallet skulle företrädaren i unionen kunna vara sponsorns rättsliga företrädare i unionen, i enlighet med artikel 74 i förordning (EU) 536/2014 om kliniska prövningar, under förutsättning att denne inte fungerar som personuppgiftsbiträde för den kliniska prövningens sponsor, att den är etablerad i en av de tre medlemsstaterna och att båda funktionerna styrs av och utövas i enlighet med respektive rättslig ram.
d) Företrädarens skyldigheter och ansvarsområden
Företrädaren i unionen agerar på den personuppgiftsansvariges eller personuppgiftsbiträdets vägnar med avseende på den personuppgiftsansvariges eller personuppgiftsbiträdets skyldigheter i enlighet med dataskyddsförordningen. Detta inbegriper i synnerhet skyldigheterna avseende utövandet av de registrerades rättigheter, och i detta hänseende och som redan har angetts måste företrädarens identitet och kontaktuppgifter tillhandahållas till de registrerade i enlighet med artiklarna 13 och 14. Även om företrädaren inte ansvarar för att efterleva de registrerades rättigheter måste den underlätta kommunikationen mellan de registrerade och den personuppgiftsansvarig eller det personuppgiftsbiträde den företräder, i syfte att säkerställa att utövandet av de registrerades rättigheter är ändamålsenligt.
I enlighet med artikel 30 ska den personuppgiftsansvarige eller personuppgiftsbiträdet i synnerhet föra ett register över behandling som utförs under den personuppgiftsansvariges eller personuppgiftsbiträdets ansvar. Dataskyddsstyrelsen anser att registerföringen visserligen är en skyldighet som åläggs både den personuppgiftsansvarige eller personuppgiftsbiträdet och företrädaren, men en personuppgiftsansvarig eller ett personuppgiftsbiträde utan verksamhetsställe inom unionen ansvarar för registrets primära innehåll och för att uppdatera det och måste samtidigt förse sin företrädare med all exakt och uppdaterad information så att registret också alltid kan föras och göras tillgängligt av företrädaren. Samtidigt är det företrädarens eget ansvar att kunna tillhandahålla det i linje med artikel 27, till exempel om denne kontaktas av en tillsynsmyndighet i enlighet med artikel 27.4.
Enligt klargörandet i skäl 80 bör företrädaren utföra sina uppgifter i enlighet med erhållen fullmakt från den personuppgiftsansvarige eller från personuppgiftsbiträdet, vilket inbegriper samarbete med de behöriga tillsynsmyndigheterna i fråga om alla åtgärder som vidtas för att se till att denna förordning efterlevs. I praktiken innebär detta att om en tillsynsmyndighet kontaktar företrädaren i
samband med en fråga som rör skyldigheterna till efterlevnad som en personuppgiftsansvarig eller ett personuppgiftsbiträde utanför unionen har ska företrädaren kunna underlätta ett informations- eller procedurutbyte mellan en begärande tillsynsmyndighet och en personuppgiftsansvarig eller ett personuppgiftsbiträde utanför unionen.
Med hjälp av ett team vid behov måste företrädaren i unionen därför kunna kommunicera effektivt med de registrerade och samarbeta med de berörda tillsynsmyndigheterna. Det här innebär att kommunikationen i princip bör ske på det eller de språk som tillsynsmyndigheterna och de registrerade använder, eller så ska företrädaren, om detta innebär en oproportionerligt stor arbetsinsats, använda andra åtgärder och tekniker för att säkerställa att kommunikationen är ändamålsenlig. Att en företrädare finns tillgänglig är därför avgörande för att säkerställa att de registrerade och tillsynsmyndigheterna lätt kan få kontakt med en personuppgiftsansvarig och ett personuppgiftsbiträde utanför EU. I linje med skäl 80 och artikel 27.5 påverkar inte utseendet av en företrädare i unionen den personuppgiftsansvariges eller personuppgiftsbiträdets ansvar och skyldighet i enlighet med dataskyddsförordningen och ska inte påverka rättsliga åtgärder som kan inledas mot den personuppgiftsansvarige eller personuppgiftsbiträdet. Dataskyddsförordningen överför inte ansvar från den personuppgiftsansvarige eller personuppgiftsbiträdet till företrädaren.
Det bör dock noteras att begreppet företrädare infördes just i syfte att underlätta kontakterna med och säkerställa ändamålsenlig tillämpning av dataskyddsförordningen mot personuppgiftsansvariga eller personuppgiftsbiträden som omfattas av artikel 3.2 i dataskyddsförordningen. I detta syfte var avsikten att göra det möjligt för tillsynsmyndigheterna att inleda verkställighetsförfaranden genom den företrädare som har utsetts av personuppgiftsansvariga eller personuppgiftsbiträden utan verksamhetsställe inom unionen. Detta inbegriper tillsynsmyndigheternas möjlighet att rikta avhjälpande åtgärder eller administrativa sanktionsavgifter och sanktioner som åläggs en personuppgiftsansvarig eller ett personuppgiftsbiträde utan verksamhetsställe inom unionen till företrädaren, i enlighet med artiklarna 58.2 och 83 i dataskyddsförordningen. Möjligheten att hålla en företrädare direkt ansvarig är dock begränsad till dess direkta skyldigheter i enlighet med artiklarna 30 och 58.1 a i dataskyddsförordningen.
Dataskyddsstyrelsen betonar också att artikel 50 i dataskyddsförordningen i synnerhet syftar till att underlätta tillämpning av lagstiftning avseende tredjeländer och internationella organisationer och att utvecklingen av ytterligare mekanismer för internationellt samarbete just nu övervägs på detta område.
Fotnoter
- Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.
- Artikel 29-arbetsgruppens WP 169 – Yttrande 1/2010 om begreppen registeransvarig och registerförare, antaget den 16 februari 2010 och under översyn av dataskyddsstyrelsen. Definitionen av ”huvudsakligt verksamhetsställe” är främst relevant för att fastställa de berörda tillsynsmyndigheternas behörighet i enlighet med artikel 56 i dataskyddsförordningen. Se artikel 29arbetsgruppens Riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden (16/SV WP 244 rev.01) – godkända av dataskyddsstyrelsen. Skäl 22 i dataskyddsförordningen: ”All behandling av personuppgifter som sker inom ramen för arbetet på personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen inom unionen bör ske i överensstämmelse med denna förordning, oavsett om behandlingen i sig äger rum inom unionen. Verksamhetsställe innebär det faktiska och reella utförandet av verksamhet med hjälp av en stabil struktur. Den rättsliga formen för en sådan struktur, oavsett om det är en filial eller ett dotterföretag med status som juridisk person, bör inte vara den avgörande faktorn i detta avseende.” Se i synnerhet Google Spain SL, Google Inc. mot AEPD, Mario Costeja González (C-131/12), Weltimmo mot NAIH (C-230/14), Verein für Konsumenteninformation mot Amazon EU (C-191/15) och Wirtschaftsakademie Schleswig-Holstein (C-210/16). Weltimmo, punkt 31. Weltimmo, punkt 29.
- Weltimmo, punkt 31. Europeiska unionens domstol, Verein für Konsumenteninformation mot Amazon EU Sarl, mål C‑191/15, 28 juli 2016, punkt 76 (nedan kallad Verein für Konsumenteninformation). Se i synnerhet punkt 29 i Weltimmo-domen, där en flexibel definition av begreppet ”verksamhetsställe” betonas och det klargörs att det är ”nödvändigt att beakta både graden av stabilitet hos strukturen och huruvida verksamhet verkligen bedrivs i denna andra medlemsstat med hänsyn till näringsverksamhetens och de tillhandahållna tjänsternas specifika karaktär”.
- Weltimmo, punkt 25 och Google Spain, punkt 53. Artikel 29-arbetsgruppens WP 179 uppdatering – Uppdatering av yttrande 8/2010 om tillämplig lagstiftning mot bakgrund av EU-domstolens dom i målet Google Spain, 16 december 2015 Europeiska unionens domstol, Google Spain, mål C‑131/12 Artikel 29-arbetsgruppens WP 179 uppdatering – Uppdatering av yttrande 8/2010 om tillämplig lagstiftning mot bakgrund av EU-domstolens dom i målet Google Spain, 16 december 2015 Så kan eventuellt vara fallet för exempelvis en utländsk aktör med ett försäljningskontor eller någon annan typ av närvaro i EU, även om kontoret inte deltar i den faktiska uppgiftsbehandlingen, i synnerhet om behandlingen
- sker inom ramen för försäljningsverksamheten i EU och verksamhetsställets verksamhet vänder sig till invånarna i de medlemsstater där verksamhetsstället är beläget (WP 179 uppdatering).
- I enlighet med artikel 28 påminner dataskyddsstyrelsen om att behandling som utförs av ett personuppgiftsbiträde för en personuppgiftsansvarigs räkning ska regleras genom ett avtal eller annan rättsakt i enlighet med unionslagstiftning eller medlemsstatens lagstiftning, som är bindande för personuppgiftsbiträdet gentemot den personuppgiftsansvarige, och att personuppgiftsansvariga endast ska använda sig av personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga åtgärder för att behandlingen uppfyller kraven i dataskyddsförordningen och säkerställer skydd av de registrerades rättigheter.
- Tillhandahållandet av en behandlingstjänst kan i detta sammanhang inte heller anses vara en tjänst som tillhandahålls till registrerade i unionen.
- Artikel 29-gruppens WP 169 – Yttrande 1/2010 om begreppen registeransvarig och registerförare, antaget den 16 februari 2010 och under översyn av dataskyddsstyrelsen. Europeiska unionens stadga om de grundläggande rättigheterna, 2012/C 326/02.
- Artikel 29-arbetsgruppens WP 244 rev.1, 13 december 2016, Riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden – godkända av dataskyddsstyrelsen.
- Europeiska unionens stadga om de grundläggande rättigheterna, artikel 8.1: ”Var och en har rätt till skydd av de personuppgifter som rör honom eller henne”.
- Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster. Se i synnerhet Europeiska unionens domstol, C-352/85, Bond van Adverteerders mot Nederländska staten, 26 april 1988, punkt 16, och Europeiska unionens domstol, C-109/92, Wirth [1993] Racc. I-6447, punkt 15.
- Rådets förordning (EG) nr 44/2001 av den 22 december 2000 om domstols behörighet och om erkännande och verkställighet av domar på privaträttens område. I enlighet med artikel 6 i Europaparlamentets och rådets förordning (EG) nr 593/2008 av den 17 juni 2008 om tillämplig lag för avtalsförpliktelser (Rom I) är det ännu mer relevant att kriteriet om att ”rikta verksamhet” till det land där kunden har sin vanliga vistelseort beaktas, i avsaknad av lagval, för att lagstiftningen i det land där kunden har sin vanliga vistelseort ska kunna tillämpas på avtalet.
- Artikel 29-arbetsgruppens Riktlinjer om dataskyddsombud, WP 243 rev.01 – godkända av dataskyddsstyrelsen. Ett externt dataskyddsombud som också fungerar som företrädare i unionen skulle exempelvis inte kunna agera i en situation där han eller hon ges i uppdrag att som företrädare meddela en registrerad ett beslut som fattats eller en åtgärd som vidtagits av den personuppgiftsansvarige eller personuppgiftsbiträdet och som han eller hon som dataskyddsombud hade ansett vara oförenligt med bestämmelserna i dataskyddsförordningen och avrått från.
- Artikel 29-arbetsgruppens Riktlinjer om dataskyddsombud, WP 243 rev.01 – godkända av dataskyddsstyrelsen. Delar av de kriterier och den tolkning som presenteras i artikel 29-arbetsgruppens WP 243 rev.1 (dataskyddsombud) – godkända av dataskyddsstyrelsen kan användas som grund för undantagen från utseendeskyldigheten.
- Artikel 29-arbetsgruppens ståndpunktsdokument om avvikelserna från skyldigheten att föra register över behandling av personuppgifter i enlighet med artikel 30.5 i dataskyddsförordningen. Artikel 29-arbetsgruppens Riktlinjer om dataskyddsombud, antagna den 13 december 2016, senast granskade och antagna den 5 april 2017, WP 243 rev.01 – godkända av dataskyddsstyrelsen. Artikel 27.2 i dataskyddsförordningen. Dataskyddsförordningen definierar inte vad som utgör en offentlig myndighet eller ett offentligt organ. Dataskyddsstyrelsen anser att detta begrepp bör fastställas inom ramen för nationell lagstiftning. Myndigheter och offentliga organ inbegriper alltså nationella, regionala och lokala myndigheter, men begreppet inbegriper i enlighet med tillämplig nationell lagstiftning också ett antal andra offentligrättsliga organ.