Riktlinjer 04/2021 om uppförandekoder som överföringsverktyg

SAMMANFATTNING

Enligt artikel 46 i den allmänna dataskyddsförordningen ska en personuppgiftsansvarig/personuppgiftsbiträde vidta lämpliga skyddsåtgärder för att överföra personuppgifter till ett tredjeland eller en internationell organisation. För detta ändamål beskrivs i dataskyddsförordningen de olika lämpliga skyddsåtgärder som organisationer i enlighet med artikel 46 kan använda som ram för överföringar till tredjeländer, bland annat genom att införa uppförandekoder som en ny överföringsmekanism (artiklarna 40.3 och 46.2 e). Som föreskrivs i artikel 40.3 kan i detta avseende en uppförandekod, när den väl har godkänts av den behöriga tillsynsmyndigheten och av kommissionen har förklarats som allmänt giltig i unionen, iakttas och användas av personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av dataskyddsförordningen och som befinner sig i tredjeländer, i syfte att tillhandahålla lämpliga skyddsåtgärder för uppgifter som överförs till tredjeländer. Sådana personuppgiftsansvariga och personuppgiftsbiträden ska enligt artikel 40.3 göra bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument, att tillämpa de lämpliga skyddsåtgärder som föreskrivs i koden, inbegripet när det gäller registrerades rättigheter. Dessa riktlinjer innehåller de faktorer som bör behandlas i sådana åtaganden.

Det bör också noteras att en kod avsedd för överföringar, som iakttas av en uppgiftsinförare i ett tredjeland, även kan användas av personuppgiftsansvariga/personuppgiftsbiträden som omfattas av dataskyddsförordningen (dvs. uppgiftsutförare) som hjälp för dem att uppfylla sina skyldigheter vid överföringar till tredjeländer i enlighet med dataskyddsförordningen, utan att dessa personuppgiftsansvariga/personuppgiftsbiträden själva behöver iaktta en sådan kod.

När det gäller innehållet i en kod som är avsedd för överföringar och har syftet att tillhandahålla lämpliga skyddsåtgärder i den mening som avses i artikel 46, bör en uppförandekod behandla de nödvändiga principer, rättigheter och skyldigheter som dataskyddsförordningen ger upphov till för personuppgiftsansvariga/personuppgiftsbiträden, men även de garantier som är specifika för just dessa överföringars sammanhang (såsom med avseende på vidare överföring, lagkonflikter i tredjelandet). Mot bakgrund av de skyddsåtgärder som tillhandahålls av befintliga överföringsverktyg i enlighet med artikel 46 i dataskyddsförordningen och för att säkerställa en konsekvent skyddsnivå, och med beaktande av Europeiska unionens domstols avgörande i målet Schrems II , ges i riktlinjerna en checklista med de faktorer som ska ingå i en uppförandekod avsedd för överföringar.

En uppförandekod kan till en början utarbetas endast för ändamålet att specificera tillämpningen av dataskyddsförordningen enligt artikel 40.2 (en ”kod enligt dataskyddsförordningen”), eller också som en kod avsedd för överföringar i enlighet med artikel 40.3. Beroende på kodens ursprungliga omfattning och innehåll kan den följaktligen behöva ändras så att den omfattar samtliga ovan nämnda faktorer om den ska användas som ett överföringsverktyg.

Dessa riktlinjer, som är ett komplement till Europeiska dataskyddsstyrelsens riktlinjer 1/2019 för uppförandekoder och övervakningsorgan enligt förordning 2016/679, klargör genom flödesdiagram vad de olika inblandade aktörerna har för roller i att upprätta en kod som ska användas som ett överföringsverktyg, samt antagandeförfarandet.

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen),

med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 och

med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1 RIKTLINJERNAS SYFTE

1. Syftet med dessa riktlinjer är att specificera tillämpningen av artikel 40.3 i dataskyddsförordningen om uppförandekoder som lämpliga skyddsåtgärder vid överföringar av personuppgifter till tredjeländer i enlighet med artikel 46.2 e i dataskyddsförordningen. Riktlinjerna är också avsedda att ge praktisk vägledning om vad sådana uppförandekoder ska innehålla, förfarandet för att anta dem och de inblandade aktörerna, samt de krav som ska uppfyllas och garantier som ska lämnas i en uppförandekod för överföringar.

2. Dessa riktlinjer bör vidare fungera som tydlig hänvisning för alla tillsynsmyndigheter och för styrelsen och hjälpa Europeiska kommissionen (nedan kallad kommissionen) att bedöma koder konsekvent och rationalisera de förfaranden som ingår i bedömningsprocessen. De bör också ge större insyn, då de säkerställer att kodutfärdare som avser att söka godkännande för en uppförandekod som är avsedd att användas som ett överföringsverktyg (nedan kallade koder avsedda för överföringar) är fullt medvetna om processen och förstår de formella kraven och de lämpliga tröskelvärden som krävs för att upprätta en sådan uppförandekod.

3. Föreliggande riktlinjer är ett komplement till Europeiska dataskyddsstyrelsens riktlinjer 1/2019 för uppförandekoder och övervakningsorgan enligt förordning 2016/679, där den allmänna ramen för att anta uppförandekoder fastställs (nedan kallade riktlinjerna 1/2019). De beaktanden som fastställs i riktlinjerna 1/2019, främst beträffande tillåtlighet, inlämning och kriterier för godkännande, är alltså även giltiga i samband med utarbetande av koder avsedda för överföringar.

2 VAD ÄR UPPFÖRANDEKODER SOM ETT VERKTYG FÖR ATT ÖVERFÖRA PERSONUPPGIFTER?

4. Enligt artikel 46 i den allmänna dataskyddsförordningen ska en personuppgiftsansvarig/personuppgiftsbiträde vidta lämpliga skyddsåtgärder för att överföra personuppgifter till ett tredjeland eller en internationell organisation.

5. För detta ändamål beskrivs i dataskyddsförordningen de olika lämpliga skyddsåtgärder som organisationer i enlighet med artikel 46 kan använda som ram för överföringar till tredjeländer, bland annat genom att införa uppförandekoder som en ny överföringsmekanism (artiklarna 40.3 och 46.2 e). Som föreskrivs i artikel 40.3 kan i detta avseende en uppförandekod, när den väl har godkänts av den behöriga tillsynsmyndigheten och har beviljats allmän giltighet inom unionen av kommissionen, även iakttas och användas av personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av dataskyddsförordningen och befinner sig i tredjeländer, i syfte att tillhandahålla lämpliga skyddsåtgärder för uppgifter som överförs till tredjeländer. Sådana personuppgiftsansvariga och personuppgiftsbiträden måste enligt kravet i artikel 40.3 göra bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument, att tillämpa de lämpliga skyddsåtgärder som föreskrivs i koden, inbegripet när det gäller registrerades rättigheter.

6. Uppförandekoder kan upprättas av sammanslutningar eller andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden (kodutfärdarna) enligt vad som anges i artikel 40.2. Som anges i riktlinjerna 1/2019 skulle en icke uttömmande lista med möjliga kodutfärdare omfatta följande: fackförenings- och intresseorganisationer, sektorsorganisationer, akademiska organisationer och intressegrupper. Enligt samma riktlinjer skulle koder avsedda för överföringar exempelvis kunna utarbetas av organ som företräder en viss sektor (t.ex. sammanslutningar/förbund från bank- och finansväsendet eller försäkringssektorn), men skulle också kunna utarbetas för separata sektorer som har en gemensam behandlingsverksamhet med samma kännetecken och behov i behandlingen (till exempel en personavdelningskod som utarbetas av ett förbund för personalavdelningsanställda, eller en kod för uppgifter tillhörande barn). Med sådana koder skulle alltså personuppgiftsansvariga och personuppgiftsbiträden i tredjeländer, som tar emot uppgifter enligt koden, få en ram för dessa överföringar och samtidigt bättre kunna ta sig an de specifika behandlingsbehoven i sin sektor eller i sina vanliga behandlingsverksamheter. På så vis skulle koderna kunna fungera som ett mer anpassat verktyg än andra överföringsmekanismer som finns tillgängliga enligt artikel 46. Genom uppförandekoder som används som överföringsverktyg kommer framför allt en viss personuppgiftsansvarig eller personuppgiftsbiträde i ett tredjeland att kunna tillhandahålla lämpliga skyddsåtgärder för många överföringar till ett tredjeland som är specifika för en viss sektor eller uppgiftsbehandling. Enheter som använder uppförandekoderna behöver dessutom inte heller vara inom samma grupp för att få en ram för sina överföringar (vilket är fallet för bindande företagsbestämmelser).

7. Det bör också noteras att en kod avsedd för överföringar, som iakttas av en uppgiftsinförare i ett tredjeland, även kan användas av personuppgiftsansvariga/personuppgiftsbiträden som omfattas av dataskyddsförordningen (dvs. uppgiftsutförare) som hjälp för dem att uppfylla sina skyldigheter vid överföringar till tredjeländer i enlighet med dataskyddsförordningen, utan att dessa personuppgiftsansvariga/personuppgiftsbiträden själva behöver iaktta en sådan kod. En kod avsedd för överföringar skulle därför kunna bli en ram för överföringar från personuppgiftsansvariga/personuppgiftsbiträden som inte iakttar den uppförandekoden till personuppgiftsansvariga/personuppgiftsbiträden i ett tredje land som börjat iaktta den uppförandekoden, förutsatt att ett åtagande att följa de skyldigheter som fastställs i uppförandekoden när de överförda uppgifterna behandlas, däribland i synnerhet när det gäller registrerades rättigheter, ingår i ett bindande instrument. Detta innebär att uppgiftsinföraren i tredjelandet måste iaktta koden avsedd för överföringar, medan uppgiftsutförare som omfattas av dataskyddsförordningen inte nödvändigtvis måste iaktta en sådan kod. Grupper av företag som överför uppgifter från enheter som omfattas av dataskyddsförordningen till enheter utanför EES kan också använda en uppförandekod som ett överföringsverktyg, om enheterna utanför EES har börjat iaktta denna kod avsedd för överföring och har gjort bindande och verkställbara åtaganden med avseende på överföringen. Exempel nr°1 : Företaget XYZ har sitt huvudkontor i Italien och filialer i Tyskland, Nederländerna, Spanien och Belgien. För att förvalta koncernens it-verktyg använder företaget XYZ tjänster från en molntjänsteleverantör som är etablerad i ett tredjeland utan närvaro i EU. Användningen av itverktygen omfattar behandling av uppgifter där det ingår överföring av uppgifter från företaget XYZ och dess filialer till molntjänsteleverantören, i syfte att lagra uppgifter. Eftersom molntjänsteleverantören i tredjelandet har anslutit sig till en uppförandekod som ska användas som ett verktyg för överföring i samband med molntjänster och som godkänts enligt artikel 40.5, kan dataflödena från företaget XYZ och dess filialer till molntjänsteleverantören omfattas av den uppförandekod som molntjänsteleverantören har anslutit sig till . I detta fall framstår det som lämpligare att molntjänsteleverantören använder en uppförandekod i stället för andra överföringsverktyg, till exempel bindande företagsbestämmelser, om det inte krävs i uppförandekoden att den personuppgiftsansvarige/personuppgiftsbiträdet som agerar som införare har närvaro i EES, medan sådan närvaro däremot krävs för en företagskoncern för att få använda bindande företagsbestämmelser. Uppförandekoden innebär även fördelar då man kan behandla flera överföringar av uppgifter med ett enda verktyg, jämfört med (helt) avtalsrelaterade lösningar som standardavtalsklausuler.

8. En kod avsedd för överföringar skulle också kunna användas som ram för överföringar från personuppgiftsansvariga/personuppgiftsbiträden som omfattas av dataskyddsförordningen till personuppgiftsansvariga/personuppgiftsbiträden i tredjelandet som har börjat iaktta samma uppförandekod för överföringar, under alla omständigheter förutsatt som ovan att ett åtagande att följa skyldigheterna i uppförandekoden, däribland med avseende på registrerades rättigheter, så som de fastställs i dataskyddsförordningen, ingår i ett bindande instrument. Exempel nr°2: En sammanslutning som företräder kategorier av personuppgiftsansvariga/personuppgiftsbiträden som alla sysslar med samma typ av forskningsverksamhet för hälso- och sjukvårdssektorn, där det ingår att regelbundet överföra uppgifter till personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer, utformar en uppförandekod som också är avsedd som ett överföringsverktyg. Relevanta personuppgiftsansvariga/personuppgiftsbiträden i EES iakttar denna uppförandekod, som också iakttas av de personuppgiftsansvariga/personuppgiftsbiträdena i tredjeländerna. Överföringarna av uppgifter till personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer som en del i forskningsverksamheterna kan ha denna uppförandekod som ram.

9. Om det är mycket sannolikt att koder avsedda för överföringar skulle användas av relevanta enheter som ram för överföringar från fler än en medlemsstat, och med tanke på att dessa uppförandekoder skulle ha allmän giltighet i enlighet med artikel 40.9 i dataskyddsförordningen, skulle de som sådana räknas som ”transnationella uppförandekoder” enligt definitionen i riktlinjerna 1/2019 .

3 VAD SKA EN UPPFÖRANDEKOD SOM ETT ÖVERFÖRINGSVERKTYG INNEHÅLLA?

10. Som fastställs ovan är en uppförandekod avsedd för överföringar ett av de verktyg som organisationer som utför särskilda behandlingar av uppgifter – till exempel inom en viss sektor eller gemensam behandlingsverksamhet som har samma kännetecken och behov för behandlingen – kan använda för att tillhandahålla lämpliga skyddsåtgärder vid överföringar av personuppgifter till ett tredjeland i enlighet med artikel 46.

11. I artikel 40.3, där det nämns att koder avsedda för överföringar kan iakttas av personuppgiftsansvariga/personuppgiftsbiträden som inte omfattas av dataskyddsförordningen enligt artikel 3, står det dessutom att koder avsedda för överföringar är, helt eller delvis, mer specifikt utformade för personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer. Enligt Europeiska dataskyddsstyrelsen (styrelsen) bör målet med en kod avsedd för överföringar därför vara att fastställa även de regler som den personuppgiftsansvarige/personuppgiftsbiträdet från tredjeland (uppgiftsinföraren) kommer att behöva följa för att säkerställa att personuppgifter blir tillräckligt skyddade i enlighet med kraven i kapitel V i dataskyddsförordningen när de behandlas av sådan personuppgiftsansvarig/personuppgiftsbiträde (dvs. uppgiftsinförare) i tredjeland.

12. Mer specifikt när det gäller innehåll behöver följande faktorer tas upp, i syfte att tillhandahålla lämpliga skyddsåtgärder i den mening som avses i artikel 46: - Väsentliga principer, rättigheter och skyldigheter för personuppgiftsansvariga/personuppgiftsbiträden som uppkommer genom dataskyddsförordningen. - Garantier som är specifika för överföringarnas kontext (såsom med avseende på vidareöverföring, lagkonflikter i tredjelandet).

13. Här är det värt att notera att en uppförandekod till en början kan utarbetas med det enda ändamålet att specificera tillämpningen av dataskyddsförordningen enligt artikel 40.2 (en ”kod enligt dataskyddsförordningen”), eller också som en kod avsedd för överföringar i enlighet med artikel 40.3. Beroende på kodens ursprungliga omfattning och innehåll kan den följaktligen behöva ändras så att den omfattar samtliga ovan nämnda faktorer om den ska användas som ett överföringsverktyg. Exempel nr°3: Sammanslutningen ABC, med medlemsorganisationer som är verksamma i direktmarknadsföringssektorn på EU-nivå, har antagit en uppförandekod vars syfte är att specificera hur insynsprincipen och tillhörande krav enligt dataskyddsförordningen tillämpas som del av behandlingsverksamheten inom denna sektor. Sammanslutningen vill använda denna uppförandekod som verktyg för att få en ram för överföringar utanför EES. Om uppförandekoden har insynsprincipen i fokus, skulle den behöva ändras så att den dessutom omfattar de lämpliga skyddsåtgärder som krävs för internationella överföringar av personuppgifter, alla väsentliga principer och centrala krav som uppkommer genom dataskyddsförordningen (utöver insyn), och vidare innehåller garantier som är specifika för just denna överföringskontext, för att koden ska godkännas som en kod avsedd för överföringar.

14. I alla händelser behöver, i enlighet med de klargöranden som styrelsen lämnar i sina riktlinjer 1/2019, alla faktorer som tillhandahåller lämpliga skyddsåtgärder enligt vad som avses ovan fastställas i koden på ett sätt som gör det lättare att tillämpa dem och specificerar hur de tillämpas i praktiken på den specifika behandlingsverksamheten eller sektorn .

15. I avsnitt 6 i föreliggande riktlinjer finns en checklista med förklaringar av de faktorer som ska ingå i en kod avsedd för överföringar så att den kan anses ge lämpliga skyddsåtgärder.

4 VILKA ÄR DE INBLANDADE AKTÖRERNA NÄR DET UPPRÄTTAS EN KOD SOM SKA ANVÄNDAS SOM ÖVERFÖRINGSVERKTYG, OCH VAD HAR DE FÖR ROLL?

4.1 Kodutfärdare

16. Kodutfärdaren är den enhet, sammanslutning/förbund eller annat organ som kommer att utarbeta en uppförandekod avsedd för överföringar eller ändra en godkänd ”kod enligt dataskyddsförordningen” för att använda den som överföringsverktyg och lämna in den till behörig tillsynsmyndighet för godkännande .

4.2 Övervakningsorgan

17. Precis som i alla uppförandekoder kommer ett övervakningsorgan att behöva identifieras som del av en kod avsedd för överföringar och ackrediteras av den behöriga tillsynsmyndigheten i enlighet med artikel 41. Mer exakt blir dess roll att övervaka att personuppgiftsansvariga/personuppgiftsbiträden som börjat iaktta en sådan kod följer de regler som fastställs i koden .

18. Med tanke på att uppförandekoder avsedda för överföringar också eller mer specifikt är riktade till personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer, måste det säkerställas att övervakningsorganen har kapacitet att ändamålsenligt övervaka koden enligt vad som anges i riktlinjerna 1/2019. Övervakningsorgan som agerar inom ramen för koder för överföringar kan befinna sig antingen enbart inom EES eller även utanför, förutsatt att det berörda övervakningsorganet har en etablering i EES. Mot denna bakgrund ska övervakningsorganets etableringsplats i EES vara den där övervakningsorganets huvudkontor finns, eller den plats där de slutliga besluten om övervakningsverksamhet tas, och det krävs också att en enhet i EES ska kunna kontrollera övervakningsorganets enheter utanför EES och påvisa fullständigt ansvar för alla beslut och åtgärder (inklusive dess ansvarsskyldighet vid eventuella brott).

19. Dessutom kan ett övervakningsorgan i EES lägga ut sin verksamhet på entreprenad till en utomstående enhet utanför EES, som då agerar på dess vägnar, förutsatt att denna enhet upprätthåller samma befogenhet och expertis som krävs i såväl uppförandekoden som ackrediteringskraven, och att övervakningsorganet i EES kan säkerställa ändamålsenlig kontroll över de tjänster som den upphandlade enheten tillhandahåller och behåller befogenheten att fatta beslut om övervakningsverksamheter. För att säkerställa efterlevnad av dessa ackrediteringskrav när övervakningsorganet lägger ut delar av sina uppgifter på entreprenad, ska organet upprätta ett avtal eller annan rättsakt enligt Europeiska unionens rätt, som är bindande för underentreprenören med avseende på övervakningsorganet på ett sådant sätt att samtliga utlagda uppgifter uppfyller kraven i dataskyddsförordningen. Att använda sig av underentreprenad leder inte till att ansvar delegeras vidare: Övervakningsorganet fortsätter alltid ha ansvar för att övervaka efterlevnaden av uppförandekoden inför tillsynsmyndigheten. Övervakningsorganet säkerställer att alla underentreprenörer uppfyller de krav som fastställs i detta dokument med ackrediteringskrav, framför allt när det gäller oberoende, frånvaro av intressekonflikter och expertis. I det avtal som ingås med underentreprenörerna inkluderar övervakningsorganet en särskild paragraf om att säkerställa konfidentialiteten för personuppgifter som i förekommande fall kan lämnas till underentreprenören under övervakningsuppgifterna, och sätter in lämpliga skyddsåtgärder i händelse av att sådana personuppgifter överförs till dess underentreprenörer.

4.3 Tillsynsmyndigheter

20. I enlighet med artikel 40.5 blir den behöriga tillsynsmyndighetens roll att godkänna utkastet till uppförandekod avsedd för överföringar, eller ändringar av koden så att den kan användas som överföringsverktyg, och att ackreditera övervakningsorganet som identifieras som en del av koden med avseende på ytterligare ackrediteringskrav i samband med uppförandekoder för överföringar.

4.4 Styrelsen

21. I enlighet med artiklarna 40.7 och 64.1 b kommer styrelsen att ombes att avge ett yttrande om utkastet till beslut från en tillsynsmyndighet som avser att godkänna en kod avsedd för överföringar eller ändringar av en uppförandekod så den även kan användas som överföringsverktyg .

4.5 Kommissionen

22. Som föreskrivs i artikel 40.9 kan kommissionen genom att anta en genomförandeakt besluta att en kod avsedd för överföringar som godkänts av en tillsynsmyndighet har allmän giltighet inom unionen. Endast de koder som har beviljats allmän giltighet inom unionen kan användas som inramning för överföringar.

5 ANTAGNINGSPROCESS FÖR EN UPPFÖRANDEKOD FÖR ÖVERFÖRINGAR

23. Av artikel 40.5 och 40.9 följer att en kod avsedd för överföringar, för att kunna antas, först ska godkännas av en behörig tillsynsmyndighet i EES och sedan av kommissionen erkännas ha allmän giltighet i unionen genom en genomförandeakt.

24. Om koder avsedda för överföringar sannolikt ska användas av personuppgiftsansvariga/personuppgiftsbiträden som ram för överföringar från fler än en medlemsstat, skulle de, som nämns i avsnitt 2 ovan, på så vis räknas som ”transnationella koder” och bör följa förfarandet för godkännande av transnationella koder, även genom att det behövs ett yttrande från styrelsen, som anges i avsnitt 8 och bilaga 4 till riktlinjerna 1/2019 . I praktiken kan olika scenarier uppkomma när en sammanslutning/förbund eller annat organ avser att anta en uppförandekod för överföringar: - Ett utkast till kod betecknas som en ”kod enligt dataskyddsförordningen” och är avsedd att användas av personuppgiftsansvariga/personuppgiftsbiträden i tredjeland som ett överföringsverktyg. Ett sådant utkast till kod skulle först behöva godkännas av den behöriga tillsynsmyndigheten i enlighet med förfarandet för transnationella koder, även genom ett yttrande från styrelsen, och därefter av kommissionen erkännas ha allmän giltighet inom unionen i enlighet med artikel 40.9. Efter att dessa steg är slutförda kan personuppgiftsansvariga/personuppgiftsbiträden i tredjeland börja iaktta koden och den kan användas för att tillhandahålla lämpliga skyddsåtgärder vid överföringar av uppgifter till tredjeländer. - En uppförandekod utformas och godkänns till att börja med som en ”kod enligt dataskyddsförordningen”. En sådan kod utökas ytterligare med avsikten att även användas av personuppgiftsansvariga/personuppgiftsbiträden i tredjeland som ett överföringsverktyg. Ändringen av koden med avseende på överföringar behöver skickas till den behöriga tillsynsmyndigheten för godkännande, och denna följer förfarandet för transnationella koder, vilket inbegriper ett yttrande från styrelsen. Därefter behöver den ändrade koden av kommissionen erkännas ha allmän giltighet inom unionen i enlighet med artikel 40.9, och efter detta kan personuppgiftsansvariga/personuppgiftsbiträden i tredjeländer börja iaktta koden i fråga och använda den för att tillhandahålla lämpliga skyddsåtgärder för överföringar av personuppgifter till tredjeländer.

25. I ett flödesschema i bilagan till riktlinjerna beskrivs i detalj förfarandestegen för att anta en uppförandekod avsedd för överföring med hänsyn till de möjliga scenarierna ovan.

6 VILKA ÄR DE GARANTIER SOM SKA LÄMNAS I KODEN?

6.1 Bindande och verkställbara åtaganden att genomföra

26. I artikel 40.3 i dataskyddsförordningen krävs att personuppgiftsansvariga och personuppgiftsbiträden som iakttar en kod avsedd för överföringar gör bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument, att tillämpa de lämpliga skyddsåtgärder som föreskrivs i koden, inbegripet särskilt när det gäller registrerades rättigheter.

27. Som anges i dataskyddsförordningen kan sådana åtaganden göras med ett avtal, vilket framstår som den enklaste lösningen. Även andra instrument kan användas, förutsatt att dessa personuppgiftsansvariga/personuppgiftsbiträden som iakttar koden kan uppvisa att dessa andra metoder är bindande och verkställbara till sin karaktär.

28. I alla händelser behöver instrumentet ha en bindande och verkställbar karaktär i enlighet med EUrätten, och bör också vara bindande och verkställbart av registrerade personer som berättigade tredjeparter.

29. En uppförandekod som överföringsverktyg kan ha kodmedlemmar som befinner sig i EES, och även kodmedlemmar utanför EES. En skillnad mellan kodmedlemmar som befinner sig i respektive utanför EES är att dataskyddsförordningen tillämpas direkt på de förra men inte på de senare (förutsatt att de senare inte omfattas av artikel 3.2 i dataskyddsförordningen).

30. När det gäller de kodmedlemmar som finns utanför EES, behöver det säkerställas att deras åtagande att iaktta ”dataskydd på en specificerad nivå” garanterar att den dataskyddsnivå som föreskrivs i dataskyddsförordningen inte undergrävs. Detta är en förutsättning för deras behörighet att delta i uppförandekoden som ett överföringsverktyg.

31. För detta ändamål bör den personuppgiftsansvarige/personuppgiftsbiträdet i tredjelandet (dvs. uppgiftsinföraren) ingå ett avtal med till exempel den enhet som överför uppgifter enligt koden (dvs. uppgiftsutföraren). I praktiken skulle ett befintligt avtal kunna användas om ett sådant finns (till exempel ett tjänsteavtal mellan utföraren och införaren, eller det avtal som ska upprättas i enlighet med artikel 28 i dataskyddsförordningen när det gäller införare som är personuppgiftsbiträden), där de bindande och verkställbara åtagandena skulle kunna ingå. Ett annat alternativ skulle kunna vara att använda sig av ett separat avtal genom att till koden avsedd för överföringar tillägga ett modellavtal som sedan skulle behöva undertecknas av exempelvis personuppgiftsansvariga/personuppgiftsbiträden i tredjelandet och alla dess uppgiftsutförare.

32. Det bör finnas flexibilitet för att välja det lämpligaste alternativet beroende på den specifika situationen.

33. När uppförandekoden ska användas för överföringar och vidareöverföringar från ett personuppgiftsbiträde till underleverantörer, bör det i personuppgiftsbiträdesavtalet som ingås mellan personuppgiftsbiträdet och dess personuppgiftsansvariga även göras en hänvisning till uppförandekoden och instrumentet som ombesörjer bindande och verkställbara åtaganden. Bindande och verkställbara åtaganden från uppgiftsinföraren (exempel)

34. I allmänhet måste det i avtalet eller det andra instrumentet fastställas att den personuppgiftsansvarige/personuppgiftsbiträdet åtar sig att följa de regler som specificeras i koden avsedd för överföringar när uppgifter tas emot enligt koden. I avtalet eller det andra instrumentet ska det också finnas mekanismer som gör det möjligt att verkställa sådana åtaganden i händelse av att den personuppgiftsansvarige/personuppgiftsbiträdet begår överträdelser, i synnerhet med avseende på rättigheterna för registrerade vars uppgifter ska överföras enligt koden.

35. Närmare bestämt bör följande behandlas i avtalet eller det andra instrumentet: - Att det finns en rätt för registrerade vars uppgifter överförs enligt koden att verkställa reglerna enligt koden som berättigade tredjeparter. - Frågan om ansvar i händelse av att kodmedlem utanför EES begår överträdelser av reglerna enligt koden. Koden ska innefatta en paragraf om jurisdiktion med en notering om att registrerade, i händelse av att en kodmedlem utanför EES överträder reglerna enligt koden, ska ha möjlighet att genom att åberopa sin rätt som berättigade tredjeparter ställa anspråk, däribland på ersättning, mot denna enhet vid en tillsynsmyndighet i EES och en domstol i EES där den registrerade har sin stadigvarande vistelseort. Kodmedlemmen utanför EES ska acceptera den registrerades beslut att göra detta. Registrerade ska också ha möjlighet att mot uppgiftsinföraren ställa anspråk som uppkommer på grund av eller med avseende på införaren i uppförandekoden, vid tillsynsmyndigheten eller domstolen för uppgiftsutförarens etableringsplats eller den registrerades stadigvarande vistelseort. Detta ansvar ska inte påverka de mekanismer som ska genomföras enligt koden med övervakningsorganet som också kan vidta åtgärder mot personuppgiftsansvariga/personuppgiftsbiträden i enlighet med koden genom att ålägga korrigerande åtgärder. Uppgiftsinföraren och uppgiftsutföraren bör också godkänna att den registrerade kan företrädas av ett organ, organisation eller sammanslutning utan vinstsyfte enligt bestämmelserna i artikel 80.1 i dataskyddsförordningen. - Att det finns en rätt för utföraren att mot kodmedlemmen som agerar som införare verkställa reglerna enligt koden som berättigade tredjeparter. - Att det finns en skyldighet för uppgiftsinföraren att underrätta uppgiftsutföraren och uppgiftsutförarens tillsynsmyndighet om varje upptäckt överträdelse av koden från samma kodmedlem som agerar som införare utanför EES och om alla eventuella korrigerande åtgärder som övervakningsorganet vidtar som reaktion på denna överträdelse.

6.2 Checklista med faktorer som ska ingå i en uppförandekod avsedd för överföringar

36. Mot bakgrund av de skyddsåtgärder som tillhandahålls av befintliga överföringsverktyg i enlighet med artikel 46 i dataskyddsförordningen (såsom bindande företagsregler), och för att säkerställa en konsekvent skyddsnivå, och även med beaktande av Europeiska unionens domstols avgörande i målet Schrems II , är styrelsen av uppfattningen att de faktorer som ska omfattas av en uppförandekod avsedd för överföringar, för att kunna ses som tillräckliga skyddsåtgärder, bör innefatta följande: - En beskrivning av överföringar som ska omfattas av koden (karaktären på överförda uppgifter, kategorier av registrerade, länder). - En beskrivning av de dataskyddsprinciper som ska efterlevas enligt koden (öppenhet, korrekthet och laglighet, ändamålsbegränsning, uppgiftsminimering och riktighet, lagringsminimering, behandling av känsliga uppgifter, säkerhet, för personuppgiftsbiträdens efterlevnad av den personuppgiftsansvariges instruktioner), däribland regler för användningen av personuppgiftsbiträden eller underleverantörer och regler för vidareöverföringar. - Åtgärder enligt principen om ansvarsskyldighet som ska vidtas enligt koden. - Upprättandet av lämplig styrning genom dataskyddsombud eller annan integritetspersonal med ansvar för efterlevnaden av dataskyddsskyldigheter som koden ger upphov till. - Att det finns ett lämpligt utbildningsprogram om de skyldigheter som uppkommer genom koden. - Att det föreligger dataskyddsrevision (utförd av antingen interna eller externa revisorer) eller annan intern mekanism för att övervaka efterlevnad av koden, oberoende av den tillsyn som ska utföras av övervakningsorganet som för alla uppförandekoder. Medan syftet med programmet för revision av dataskydd är att säkerställa och påvisa efterlevnad av koden, är syftet med de revisioner som övervakningsorganet utför att bedöma om den ansökande är behörig att delta i koden, om den fortsätter vara behörig när den väl är medlem och om det är nödvändigt med sanktioner i händelse av överträdelser. - Öppenhetsåtgärder, däribland enkel tillgång, när det gäller användningen av koden och i synnerhet med avseende på rättigheter som berättigad tredjepart. - Tillhandahållandet av registrerades rätt till tillgång, rättelse, radering, begränsning, anmälning avseende rättelse eller radering av personuppgifter och begränsning av behandling, invändning mot behandling, rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, så som föreskrivs i artiklarna 12, 13, 14, 15, 16, 17, 18, 19, 21 och 22 i dataskyddsförordningen. - Upprättandet av rättigheter som berättigad tredjepart för att registrerade ska kunna verkställa reglerna i koden som berättigade tredjeparter (och även ha möjlighet att lämna in klagomål vid behörig tillsynsmyndighet och vid domstolar i EES). - Att det finns en lämplig klagomålshanteringsprocess för överträdelser av dataskyddsregler, upprätthållen av övervakningsorganet, som om detta bedöms lämpligt kan kompletteras med ett internt förfarande för kodmedlemmen för att hantera klagomål. - En garanti för att den personuppgiftsansvarige/personuppgiftsbiträdet vid tillfället då koden börjar iakttas inte har några skäl att tro att de lagar som är tillämpliga på behandling av personuppgifter i tredjelandet som överföringen sker till hindrar den från att fullgöra sina skyldigheter enligt koden och att vid behov tillsammans med utföraren införa kompletterande 11 12 åtgärder för att säkerställa den skyddsnivå som krävs enligt EES-lagstiftningen . Dessutom en beskrivning av de steg som ska vidtas (inbegripet underrättelse till utföraren i EES, genomförande av lämpliga kompletterande åtgärder) i händelse av att den personuppgiftsansvariga/personuppgiftsbiträdet i tredjeland efter att ha börjat iaktta koden blir medveten om någon form av lagstiftning i tredjelandet som förhindrar att kodmedlemmen efterlever åtaganden som gjorts som en del av koden, och åtgärder som ska vidtas i händelse av begäranden om tillgång från tredjelandets statliga förvaltning. - Mekanismerna för att hantera ändringar av koden. - Konsekvenserna av att en medlem drar sig ur koden. - Ett åtagande för kodmedlemmen och övervakningsorganet att samarbeta med tillsynsmyndigheter i EES. - Ett åtagande för kodmedlemmen att acceptera att omfattas av jurisdiktionen för tillsynsmyndigheter i EES i alla eventuella förfaranden med syftet att säkerställa efterlevnad av uppförandekoden och domstolar i EES. - Kriterierna för att välja övervakningsorganet för en kod avsedd för överföringar, dvs. att påvisa att övervakningsorganet har sakkunskap på den nivå som fordras för att utföra sin roll på ett ändamålsenligt sätt för en sådan kod avsedd för uppgiftsöverföringar.

37. Det bör i alla händelser noteras att dessa faktorer utgör minimigarantier, som kan behöva kompletteras med ytterligare åtaganden och åtgärder beroende på överföring som är aktuell enligt uppförandekoden.

38. Styrelsen kommer att bedöma hur dessa riktlinjer fungerar mot bakgrund av den erfarenhet man fått av att tillämpa dem i praktiken, och ge vidare vägledning för att tydliggöra tillämpningen av faktorerna ovan.

BILAGA 1 – ANTAGANDE AV UPPFÖRANDEKOD FÖR ÖVERFÖRINGAR – FLÖDESSCHEMA

a – Antagande av en transnationell kod avsedd för överföringar

Transnationell kod avsedd för överföringar

Den behöriga tillsynsmyndigheten

Underrättelse från styrelsen om meddelar styrelsen om den yttrande bibehåller eller ändrar beslutet

Kodutfärdaren lämnar in den

Kommissionen

ändrade koden till den behöriga tillsynsmyndigheten

Kodens allmänna giltighet erkänns styrelsens yttrande om de nya

Underrättelse från styrelsen om yttrande

Kommissionen

Kodens allmänna giltighet erkänns inom unionen

b – Ändringar av en transnationell kod som ska användas som kod avsedd för överföringar

Transnationell kod

Koden ändras av kodutfärdaren så att den omfattar överföringar

Ändring lämnas in till den behöriga tillsynsmyndigheten

Den behöriga tillsynsmyndigheten bedömer ändringen av koden

Inlämning av utkast till beslut för godkännande av ändring

Styrelsen

Den behöriga tillsynsmyndigheten meddelar styrelsen om den bibehåller eller ändrar beslutet

Den behöriga Underrättelse om

tillsynsmyndigheten antar yttrande

beslut om att godkänna

den ändrade koden

Kommissionen Underrättelse

om yttrande

Kodens allmänna giltighet erkänns inom unionen