Riktlinjer 10/2020 om begränsningar enligt artikel 23 i den allmänna dataskyddsförordningen

Versionstabell Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (den allmänna dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1 INLEDNING

1. Syftet med detta dokument är att ge vägledning om tillämpningen av artikel 23 i den allmänna dataskyddsförordningen. Dessa riktlinjer innehåller en grundlig analys av vilka kriterier som gäller för att få tillämpa begränsningar, vilka bedömningar som måste göras, hur registrerade kan utöva sina rättigheter när en begränsning har upphävts och följderna om artikel 23 i den allmänna dataskyddsförordningen överträds.

2. Skyddet av fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Genom artikel 16.2 i fördraget om Europeiska unionens funktionssätt ges Europaparlamentet och rådet mandat att fastställa bestämmelser om skydd av personuppgifter samt om den fria rörligheten för sådana uppgifter. Dataskyddsförordningen skyddar fysiska personers rättigheter och friheter, särskilt deras rätt till dataskydd. Dataskyddet kan inte säkerställas om inte de rättigheter och principer som fastställs i den allmänna dataskyddsförordningen efterlevs (artiklarna 12–22 och artikel 34 samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22 i den allmänna dataskyddsförordningen). Alla dessa rättigheter och skyldigheter är centrala för den grundläggande rätten till dataskydd, och tillämpningen av dem bör vara den allmänna regeln. Eventuella begränsningar av den grundläggande rätten till dataskydd måste ske i enlighet med artikel 52 i Europeiska unionens stadga om de grundläggande rättigheterna (stadgan).

3. Det är mot denna bakgrund som artikel 23 i den allmänna dataskyddsförordningen bör läsas och tolkas. Denna bestämmelse kallas för ”begränsningar”. Enligt den får tillämpningen av vissa bestämmelser i förordningen, inom ramen för unionsrätten eller medlemsstaternas nationella rätt, kopplade till de registrerades rättigheter och personuppgiftsansvarigas skyldigheter begränsas i de situationer som där anges. Begränsningar bör ses som undantag från den allmänna regeln som gör det möjligt att utöva rättigheter och ålägga skyldigheter enligt den allmänna dataskyddsförordningen . Begränsningar bör därför tolkas snävt och bör endast tillämpas under särskilda omständigheter och endast när vissa villkor är uppfyllda.

4. Inte ens i undantagsfall kan skyddet av personuppgifter begränsas helt och hållet. Det måste upprätthållas vid alla nödåtgärder, i enlighet med artikel 23 i den allmänna dataskyddsförordningen, och därmed bidra till respekten för de övergripande värderingar om demokrati, rättsstatsprincipen och grundläggande rättigheter som unionen bygger på; alla åtgärder som medlemsstaterna vidtar ska ske med respekt för de allmänna rättsprinciperna och andemeningen i de grundläggande rättigheterna och friheterna; åtgärderna får inte vara oåterkalleliga, och personuppgiftsansvariga och personuppgiftsbiträden ska fortsätta att följa bestämmelserna om dataskydd.

5. Om unionsrätten eller medlemsstaternas nationella rätt tillåter begränsningar av de registrerades rättigheter eller av de personuppgiftsansvarigas (inbegripet gemensamt personuppgiftsansvarigas ) och personuppgiftsbiträdenas skyldigheter bör det under alla omständigheter noteras att principen om ansvarsskyldighet, i enlighet med artikel 5.2 i den allmänna dataskyddsförordningen, fortfarande är tillämplig. Detta innebär att personuppgiftsansvariga ansvarar för och ska kunna visa de registrerade att de följer EU:s dataskyddsram, inklusive principerna för behandling av deras personuppgifter.

6. Om EU-lagstiftare eller nationella lagstiftare fastställer begränsningar på grundval av artikel 23 i den allmänna dataskyddsförordningen ska de säkerställa att de uppfyller kraven i artikel 52.1 i stadgan, och i synnerhet genomföra en proportionalitetsbedömning så att begränsningarna inte omfattar mer än vad som är absolut nödvändigt.

2 INNEBÖRDEN AV BEGRÄNSNINGAR

7. Begreppet begränsningar definieras inte i den allmänna dataskyddsförordningen. I artikel 23 och skäl 73 i den allmänna dataskyddsförordningen anges endast på vilka villkor begränsningar får tillämpas.

8. I dessa riktlinjer definieras begreppet begränsningar som en begränsning av tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34 i den allmänna dataskyddsförordningen samt motsvarande bestämmelser i artikel 5 i enlighet med artikel 23 i den allmänna dataskyddsförordningen. En begränsning av en enskild persons rättighet måste säkerställa viktiga mål, till exempel skyddet av andras rättigheter och friheter, eller unionens eller en medlemsstats viktiga mål av generellt allmänt intresse vilka förtecknas i artikel 23.1 i den allmänna dataskyddsförordningen. Begränsningar av de registrerades rättigheter får därför endast förekomma när de angivna intressena står på spel och dessa begränsningar syftar till att säkerställa sådana intressen.

9. Följaktligen måste målen med begränsningen vara tydliga. För att en begränsning ska vara laglig ska den föreskrivas i en lagstiftningsåtgärd, avse ett begränsat antal rättigheter hos registrerade och/eller skyldigheter hos personuppgiftsansvariga som anges i artikel 23 i den allmänna dataskyddsförordningen , respektera andemeningen i de berörda grundläggande rättigheterna och friheterna, utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle och säkerställa ett av de mål som anges i artikel 23.1 i den allmänna dataskyddsförordningen enligt beskrivningen nedan.

10. Enligt vad som nämns i skäl 73 i den allmänna dataskyddsförordningen bör begränsningar dessutom ske i enlighet med kraven i stadgan och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna.

11. Utöver de begränsningar som avses i artikel 23 innehåller dataskyddsförordningen även bestämmelser om särskilda behandlingssituationer enligt kapitel IX, där medlemsstaterna i lag får fastställa specifika åtgärder som påverkar registrerades rättigheter, såsom undantag eller avvikelser (till exempel artikel 85 eller 89 i den allmänna dataskyddsförordningen). Sådana fall kommer emellertid inte att behandlas i dessa riktlinjer.

12. Begränsningar av tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och artikel 34 får anta olika former, men de får aldrig gå så långt att alla rättigheter upphävs. I de lagstiftningsåtgärder som medför begränsningar enligt artikel 23 i den allmänna dataskyddsförordningen får det också föreskrivas att utövandet av en rättighet skjuts upp, att en rättighet delvis utövas eller avgränsas till vissa kategorier av uppgifter eller att en rättighet kan utövas indirekt genom en oberoende tillsynsmyndighet.

3 KRAV I ARTIKEL 23.1 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

13. Artikel 23.1 i den allmänna dataskyddsförordningen innehåller ett antal krav som beskrivs nedan. Alla dessa krav måste uppfyllas för att en åtgärd lagligen ska kunna åberopas.

3.1 Respekt för andemeningen i de grundläggande rättigheterna och friheterna

14. Ett av huvudmålen med dataskyddslagstiftningen är att de registrerade ska få mer kontroll över sina personuppgifter. Eventuella begränsningar ska ske med respekt för andemeningen i den rättighet som begränsas. Detta innebär att begränsningar som är omfattande och inkräktande i den mån de fråntar en grundläggande rättighet dess grundinnehåll inte kan motiveras. Ett allmänt upphävande av registrerades rättigheter med avseende på all eller viss behandling av personuppgifter eller med avseende på specifika personuppgiftsansvariga skulle under alla omständigheter inte motsvara andemeningen i den grundläggande rätt till skydd av personuppgifter, som fastställs i stadgan. Om andemeningen i rätten äventyras ska begränsningen anses vara olaglig, utan att någon ytterligare bedömning krävs om huruvida den tjänar ett mål av generellt intresse eller uppfyller behovs- och proportionalitetskriterierna.

15. För att garantera denna kontroll har de registrerade ett antal rättigheter inom rätten till skydd av personuppgifter och den personuppgiftsansvarige har ett antal skyldigheter gentemot den registrerade, enligt artiklarna 12–22 och artikel 34 i den allmänna dataskyddsförordningen, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22 i samma förordning. Det är mot denna bakgrund som artikel 23 i den allmänna dataskyddsförordningen bör läsas och tolkas.

3.2 Lagstiftningsåtgärder i vilka begränsningar fastställs och behovet av förutsägbarhet (skäl 41 och EU-domstolens rättspraxis)

16. Kravet på en lagstiftningsåtgärd innebär att personuppgiftsansvariga endast kan åberopa en begränsning enligt artikel 23 i den allmänna dataskyddsförordningen om denna begränsning har fastställts i unionsrätten eller medlemsstaternas nationella rätt. Utan motsvarande lagstiftningsåtgärd kan den personuppgiftsansvarige inte direkt åberopa de mål som anges i artikel 23.1 i den allmänna dataskyddsförordningen. I skäl 41 i den allmänna dataskyddsförordningen anges följande: ”När det i denna förordning hänvisas till en rättslig grund eller lagstiftningsåtgärd, innebär detta inte nödvändigtvis en lagstiftningsakt antagen av ett parlament, utan att detta påverkar krav som uppställs i den konstitutionella ordningen i den berörda medlemsstaten. En sådan rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol [...] och Europeiska domstolen för de mänskliga rättigheterna” .

17. Enligt artikel 52.1 i stadgan ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan ”vara föreskriven i lag”. Detta överensstämmer med uttrycket ”med stöd av lag” i artikel 8.2 i den europeiska konventionen om skydd för de mänskliga rättigheterna , som inte bara innebär efterlevnad av en nationell lag, utan även avser vilka egenskaper den lagen ska ha utan att det påverkar lagens art, vilket innebär att den måste vara förenlig med rättsstatsprincipen. I synnerhet måste den nationella lagen vara tillräckligt tydlig för att ge enskilda personer tillräckliga upplysningar om under vilka omständigheter och på vilka villkor personuppgiftsansvariga har befogenhet att tillämpa sådana begränsningar. Samma strikta standard bör tillämpas på alla begränsningar som medlemsstaterna skulle kunna införa. I linje med dataskyddsförordningen och rättspraxis från Europeiska unionens domstol (EU-domstolen) och Europeiska domstolen för de mänskliga rättigheterna (Europadomstolen) är det verkligen viktigt att lagstiftningsåtgärder som syftar till att begränsa tillämpningsområdet för registrerades rättigheter eller personuppgiftsansvarigas skyldigheter kan förutsägas av de registrerade.

18. Alla lagstiftningsåtgärder måste under alla omständigheter anpassas till det eftersträvade målet och uppfylla kriteriet om förutsägbarhet, men en lagstiftningsåtgärd med bestämmelser om tillämpningen av begränsningar enligt artikel 23 i den allmänna dataskyddsförordningen behöver inte alltid vara tidsbegränsad eller kopplad till en viss period. a. I vissa fall har begränsningen ingen specifik tidsram eftersom det mål som begränsningen ska säkerställa genom lagstiftningsåtgärden i sig inte är tidsbegränsat. Mot bakgrund av behovs- och proportionalitetsprinciperna är det nödvändigt att se till att sådana lagstiftningsåtgärder avser ett mål med begränsningen som ska säkerställas fortlöpande eller permanent i ett demokratiskt samhälle. En lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och artikel 34 för att säkerställa skyddet av rättsväsendets oberoende och rättsliga åtgärder kan till exempel anses uppfylla ett fortlöpande mål i ett demokratiskt samhälle och därmed inte vara tidsbegränsad. b. I andra fall är det mål som begränsningen ska säkerställa i sig tidsbegränsat, och lagstiftningsåtgärden bör då medföra en tidsbegränsning för att uppfylla kriteriet om förutsägbarhet. Om begränsningar till exempel antas vid undantagstillstånd för att skydda folkhälsan anser Europeiska dataskyddsstyrelsen att begränsningar som införts under en tidsperiod som inte är exakt begränsad inte uppfyller kriteriet om förutsägbarhet, även när sådana begränsningar tillämpas retroaktivt eller omfattas av odefinierade villkor .

19. Denna koppling mellan de planerade begränsningarna och det eftersträvade målet bör tydligt fastställas och lyftas fram i den berörda lagstiftningsåtgärden eller i ytterligare kompletterande dokument. Enbart förekomsten av en pandemi är till exempel inte ett tillräckligt skäl för att föreskriva någon form av begränsning av registrerades rättigheter, utan varje begränsning ska tydligt bidra till att säkerställa ett av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse.

3.3 Målen med begränsningarna

20. För att anta en lagstiftningsåtgärd för begränsningar och för att tillämpa en begränsning i ett konkret fall måste ett eller flera av nedanstående villkor, som anges i artikel 23.1 i den allmänna dataskyddsförordningen, vara uppfyllda. Denna förteckning är uttömmande, vilket innebär att begränsningar inte kan genomföras på några andra villkor än de som anges nedan.

21. Kopplingen mellan de planerade begränsningarna och det eftersträvade målet bör tydligt anges i lagstiftningsåtgärden.

3.3.1 Den nationella säkerheten, försvaret och den allmänna säkerheten

22. En begränsning av de registrerades rättigheter kan syfta till att säkerställa ett mål om nationell eller allmän säkerhet och/eller försvar av medlemsstaterna, i enlighet med artikel 23.1 a, b och c i den allmänna dataskyddsförordningen.

23. I den allmänna säkerheten ingår dessutom skydd av människoliv, särskilt vid naturkatastrofer eller katastrofer framkallade av människan.

3.3.2 Förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten

24. Om registrerade som är föremål för en utredning tillhandahålls information kan detta i vissa fall skada utredningen. Det kan därför vara nödvändigt att begränsa rätten till information eller andra rättigheter hos den registrerade, i enlighet med artikel 23.1 d i den allmänna dataskyddsförordningen. Detta är exempelvis relevant i samband med bekämpning av penningtvätt eller verksamhet vid kriminaltekniska laboratorier .

25. Den utelämnade informationen ska, enligt EU-domstolens rättspraxis, lämnas först från och med den tidpunkt då den inte längre kan skada den utredning som genomförs . Detta innebär att den registrerade så snart som möjligt bör tillhandahållas ett särskilt (anpassat) dataskyddsmeddelande, med uppgift om de olika rättigheterna, såsom tillgång, rättelse osv.

26. I målet om att säkerställa den allmänna säkerheten ingår även skydd av människoliv, särskilt vid naturkatastrofer eller katastrofer framkallade av människan .

3.3.3 Andra viktiga mål av generellt allmänt intresse

27. Andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse som nämns i artikel 23.1 e i den allmänna dataskyddsförordningen är viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. Det kan till exempel handla om förande av offentliga register som förs av hänsyn till ett allmänt intresse eller ytterligare behandling av arkiverade personuppgifter för att tillhandahålla specifik information om politiskt beteende under tidigare totalitära regimer . De kostnader som uppstår till följd av tillhandahållandet av information och därmed den ekonomiska bördan för de offentliga budgetarna räcker dock inte för att motivera ett allmänt intresse av att begränsa de registrerades rättigheter. En direkt skatteförvaltning kan till exempel begränsa en registrerads rätt till tillgång om den registrerade är föremål för en utredning som leds av skatteförvaltningen inom ramen för dess rättsliga skyldighet, förutsatt att denna tillgång skulle skada den pågående utredningen. En sådan begränsning bör dock endast tillämpas under den tid som krävs för den specifika utredningen och bör upphävas så snart skatteförvaltningen avslutar utredningen. Den registrerade bör informeras utan dröjsmål, med uppgift om motiveringarna i den personuppgiftsansvariges beslut samt det datum då den registrerade åter får utöva sin rätt till tillgång. Dessutom bör lämpliga skyddsåtgärder säkerställas – t.ex. indirekt tillgång , om detta föreskrivs i nationell lagstiftning – för att se till att en oberoende myndighet kan kontrollera att behandlingen är laglig.

28. För att säkerställa det mål av generellt allmänt intresse som rör lagstiftningens tillgänglighet får en offentlig förvaltning begränsa rätten att göra invändningar mot behandling av pseudonymiserade personuppgifter för utarbetande av ett referensdokument och information som anger, per typ av skada, de belopp som begärs och erbjuds av parterna i en tvist samt de belopp som tilldelats brottsoffer som ersättning för fysisk skada i domstolsavgöranden som meddelats i mål om överklagande från förvaltningsdomstolar och tvistemålsdomstolar. Sådana begränsningar får ske under förutsättning att villkoren i artikel 23.2 i den allmänna dataskyddsförordningen är uppfyllda och särskilt genom tillämpning av skyddsåtgärder såsom uppskattning av ersättningsbelopp, strykning av för- och efternamn på parterna i tvisten och pseudonymisering av de personuppgifter som behandlas.

3.3.4 Skydd av rättsväsendets oberoende och rättsliga åtgärder

29. I artikel 23.1 f i den allmänna dataskyddsförordningen föreskrivs även behovet av att begränsa vissa rättigheter hos registrerade eller skyldigheter hos personuppgiftsansvariga för att skydda rättsväsendets oberoende och rättsliga åtgärder.

30. Tillämpningsområdet för dessa begränsningar bör anpassas till nationell lagstiftning i dessa frågor.

3.3.5 Förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken

31. I artikel 23.1 g i den allmänna dataskyddsförordningen nämns överträdelser av etiska regler som gäller för lagreglerade yrken, såsom läkare och jurist.

32. Detta rör fall där en utredning i princip inte rör något brott, eftersom man vid brottsutredningar skulle ha tillämpat det mål som anges i punkt 3.3.2.

3.3.6 Tillsyns-, inspektions- eller regleringsfunktion som har samband med myndighetsutövning i fall som nämns i artikel 23 a–e och g i den allmänna dataskyddsförordningen

Det mål med begränsningen som anges i artikel 23.2 h i den allmänna dataskyddsförordningen avser en potentiell begränsning om det finns en inspektions-, tillsyns- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i punkterna 3.3.1–3.3.3 och 3.3.5.

3.3.7 Skydd av den registrerade eller andras rättigheter och friheter

33. Artikel 23.1 i) i den allmänna dataskyddsförordningen avser målet att skydda den registrerade eller andra personers rättigheter och friheter.

34. En begränsning för att skydda andras rättigheter och friheter kan belysas med ett exempel på en administrativ utredning och/eller disciplinära förfaranden eller utredningar av anklagelser om trakasserier på arbetsplatsen. I detta fall kan man genom en lagstiftningsåtgärd föreskriva att rätten till tillgång för den person som är föremål för en utredning eller ett disciplinärt förfarande kan komma att begränsas om identiteten på ett påstått offer eller ett vittne eller den som anmält händelsen (visselblåsare) inte får avslöjas för att skydda denne från repressalier. Rätten till tillgång kan även komma att begränsas för offret eller vittnet med respekt för rätten till privatliv och dataskydd för den person som är föremål för utredningen eller det disciplinära förfarandet.

3.3.8 Verkställighet av civilrättsliga krav

35. I artikel 23.1 j i den allmänna dataskyddsförordningen ingår även verkställighet av civilrättsliga krav som ett mål med begränsningar. Enligt artikel 23.1 j i den allmänna dataskyddsförordningen tillåts begränsningar för att skydda de enskilda intressena hos en (potentiell) part i ett mål, medan artikel 23.1 f i samma förordning tillåter begränsningar för att skydda själva domstolsförfarandena samt tillämpliga processrättsliga bestämmelser.

3.4 De rättigheter hos registrerade och skyldigheter hos personuppgiftsansvariga som kan begränsas

36. Enligt artikel 23 i den allmänna dataskyddsförordningen kan begränsningar endast ske av artiklarna 12–22 och artikel 34 i samma förordning, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22.

37. Begränsningarna av skyldigheter avser begränsningar av principerna för behandling av personuppgifter i den mån bestämmelserna i artikel 5 motsvarar de skyldigheter som fastställs i artiklarna 12–22 i den allmänna dataskyddsförordningen och informationen till de registrerade om en personuppgiftsincident (artikel 34 i samma förordning). Artikel 5 i den allmänna dataskyddsförordningen, i vilken principerna för behandling av personuppgifter fastställs, är en av de viktigaste artiklarna i förordningen. Begränsningar av principerna för dataskydd måste vederbörligen motiveras av en exceptionell situation, med respekt för andemeningen i de berörda grundläggande rättigheterna och friheterna och efter en behovs- och proportionalitetsprövning (se avsnitt 3.5 nedan). Det bör noteras att artikel 5 i den allmänna dataskyddsförordningen endast kan begränsas i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12– 22 i den allmänna dataskyddsförordningen.

38. Begränsningarna av rättigheter avser rätten till klar och tydlig information (artikel 12 i den allmänna dataskyddsförordningen), rätten till information (artiklarna 13 och 14 i den förordningen), rätten till tillgång (artikel 15), rätten till rättelse (artikel 16), rätten till radering (artikel 17), rätten till begränsning av behandling (artikel 18), anmälningsskyldigheten avseende rättelse eller radering av personuppgifter och begränsning av behandling (artikel 19), rätten till dataportabilitet (artikel 20), rätten att göra invändningar (artikel 21) och rätten att inte bli föremål för automatiserat individuellt beslutsfattande (artikel 22).

39. Detta innebär att begränsningar inte kan ske av andra rättigheter hos den registrerade – såsom rätten att lämna in klagomål till en tillsynsmyndighet (artikel 77 i den allmänna dataskyddsförordningen) – eller andra skyldigheter hos den personuppgiftsansvarige.

3.5 Behovs- och proportionalitetsprövning

40. En begränsning är endast laglig om den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, enligt artikel 23.1 i den allmänna dataskyddsförordningen. Detta innebär att begränsningar måste klara en behovs- och proportionalitetsprövning för att vara förenliga med dataskyddsförordningen . Behovs- och proportionalitetsprövningen bör utföras innan lagstiftaren beslutar att föreskriva en begränsning.

41. Det mål som ska säkerställas ger den bakgrund mot vilken åtgärdens nödvändighet kan bedömas. Det är därför viktigt att identifiera målet tillräckligt noggrant så att det går att bedöma huruvida åtgärden är nödvändig. Om det vid administrativa förfaranden till exempel blir nödvändigt att begränsa en del av utredningen men viss information redan kan lämnas ut till de berörda registrerade bör denna information lämnas till personerna i fråga. I EU-domstolens rättspraxis tillämpas en strikt behovsprövning för alla begränsningar av utövandet av rätten till skydd av personuppgifter och rätten till respekt för privatlivet med avseende på behandling av personuppgifter; där anges att undantag från eller begränsningar i förhållande till skyddet av personuppgifter inte får gå ”utöver gränserna för vad som är strikt nödvändigt” . Europadomstolen tillämpar en strikt behovsprövning beroende på sammanhanget och alla rådande omständigheter, t.ex. vad gäller hemliga övervakningsåtgärder .

42. Om denna prövning godkänns kommer en bedömning att göras av den planerade åtgärdens proportionalitet. Om den föreslagna åtgärden inte klarar behovsprövningen behöver proportionaliteten inte undersökas. En åtgärd som inte har visat sig vara nödvändig bör inte föreslås förrän den har modifierats så att den uppfyller behovskravet.

43. Behovs- och proportionalitetsprövningen innebär vanligtvis en bedömning av riskerna för de registrerades rättigheter och friheter. Dessa risker beskrivs i punkt 4.7 i de här riktlinjerna.

44. Enligt proportionalitetsprincipen får lagstiftningsåtgärden inte gå längre än vad som är absolut nödvändigt för att säkerställa de mål som anges i artikel 23.1 a–j i den allmänna dataskyddsförordningen. Begränsningen måste därför vara lämplig för att uppnå de legitima mål som eftersträvas genom den berörda lagstiftningen och får inte gå längre än vad som är lämpligt och nödvändigt för att uppnå de målen. Enligt EU-domstolens rättspraxis kan artikel 23 i den allmänna dataskyddsförordningen inte tolkas så, att den kan ge medlemsstaterna befogenhet att kränka respekten för privatlivet, i strid med artikel 7 i stadgan, eller andra garantier som föreskrivs i stadgan. I synnerhet kan den befogenhet som medlemsstaterna har enligt artikel 23.1 i den allmänna dataskyddsförordningen endast utövas med iakttagande av kravet på proportionalitet, enligt vilket undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt .

45. En föreslagen begränsningsåtgärd bör stödjas av bevis som beskriver det problem som ska åtgärdas, hur det kommer att åtgärdas och varför det inte räcker med befintliga eller mindre inkräktande åtgärder för att lösa problemet. Det finns även ett krav på att visa hur varje föreslagen inskränkning eller begränsning verkligen uppfyller unionens eller medlemsstatens mål av allmänt intresse eller behovet av att skydda andras rättigheter och friheter. Begränsningen av dataskyddsrättigheter måste inriktas på särskilda risker.

46. Om begränsningarna till exempel bidrar till att säkerställa folkhälsan vid ett undantagstillstånd anser Europeiska dataskyddsstyrelsen att de måste vara strikt begränsade, både i omfattning (t.ex. vad gäller syftet, de berörda rättigheterna hos de registrerade eller de berörda kategorierna av personuppgiftsansvariga) och i tid. De måste framför allt begränsas till den period då undantagstillståndet varar. De registrerades rättigheter kan begränsas men inte nekas.

4 KRAV I ARTIKEL 23.2 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

47. Enligt EU-domstolens rättspraxis ska varje lagstiftningsåtgärd som vidtas på grundval av artikel 23.1 i den allmänna dataskyddsförordningen i synnerhet uppfylla de specifika krav som uppställs i artikel 23.2 i den förordningen . I artikel 23.2 i den allmänna dataskyddsförordningen anges att de lagstiftningsåtgärder som innebär begränsningar av de registrerades rättigheter och de personuppgiftsansvarigas skyldigheter ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende flera kriterier som anges nedan. I regel bör alla nedanstående krav ingå i den lagstiftningsåtgärd som innebär begränsningar enligt artikel 23 i den allmänna dataskyddsförordningen.

48. Undantag från denna regel, på grund av att en eller flera bestämmelser i artikel 23.2 i den allmänna dataskyddsförordningen inte är relevanta när det gäller lagstiftningsåtgärden för begränsning av registrerades rättigheter, måste vederbörligen motiveras av lagstiftaren. Europeiska dataskyddsstyrelsens tolkning av uttrycket ”när så är relevant” i artikel 23.2 i den allmänna dataskyddsförordningen är kopplad till omständigheterna.

49. I artikel 23.2 a i den allmänna dataskyddsförordningen anges ändamålen med behandlingen eller kategorierna av behandling som en av de specifika bestämmelser som ska anges i alla lagstiftningsåtgärder som begränsar registrerades rättigheter eller personuppgiftsansvarigas skyldigheter. Enligt skäl 8 i den allmänna dataskyddsförordningen bör skälet till begränsningen vara begripligt för de personer som den tillämpas på. Detta innefattar även en klar förståelse av hur och när begränsningen kan komma att tillämpas.

50. Det kan till exempel anges i nationell lagstiftning om förebyggande, förhindrande och utredning av överträdelser av etiska regler som gäller för lagreglerade yrken att om avslöjandet att en person utreds för en allvarlig överträdelse kan inverka menligt på utredningen får informationen inte lämnas ut till den registrerade under en begränsad tid.

51. De möjliga ändamålen med behandlingen måste vara kopplade till målen med de begränsningar som nämns i punkt 3.3 i dessa riktlinjer.

52. Det bör nämnas att utövandet av de registrerades rättigheter ibland hjälper de personuppgiftsansvariga att utföra sina uppgifter. Rätten till rättelse kan till exempel bidra till uppgifternas kvalitet.

4.1 Kategorier av personuppgifter

53. I artikel 23.2 b i den allmänna dataskyddsförordningen föreskrivs att de kategorier av personuppgifter som är föremål för begränsningar ska anges i den lagstiftningsåtgärd som medför de begränsningarna .

54. På samma sätt kan begränsningar som rör särskilda kategorier av personuppgifter ha en större inverkan på de registrerade och därför bör den lagstiftningsåtgärd i vilken en sådan begränsning föreskrivs innehålla de berörda särskilda kategorierna av uppgifter.

4.2 Tillämpningsområdet för begränsningar

55. I artikel 23.2 c i den allmänna dataskyddsförordningen föreskrivs att även begränsningarnas omfattning ska anges, dvs. vilka rättigheter som berörs och i vilken utsträckning de kommer att begränsas, till exempel om en begränsning endast gäller rätten till begränsning av behandling (artikel 18 i den allmänna dataskyddsförordningen) eller om den kan avse tillgång, rättelse och radering.

4.3 Skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring

56. I artikel 23.2 d i den allmänna dataskyddsförordningen anges att lagstiftningsåtgärden ska innehålla skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring. Detta gäller särskilt organisatoriska och/eller tekniska åtgärder som är nödvändiga för att undvika överträdelser eller olagliga överföringar, såsom säker förvaring av fysiska dokument. I vissa medlemsstater kan till exempel rättigheter i samband med behandling som utförs inom specifika sektorer utövas genom medling av den nationella tillsynsmyndigheten för dataskydd.

57. Lagstiftningsåtgärden kan även avse periodiska åtgärder för att se över ett visst beslut om begränsningar. Lagstiftaren får föreslå att varje begränsning som genomförs av den personuppgiftsansvarige regelbundet ses över för att säkerställa att motiveringen till begränsningen fortfarande är giltig.

4.4 Specificering av den personuppgiftsansvarige

58. Enligt artikel 23.2 e i den allmänna dataskyddsförordningen ska det i lagstiftningsåtgärden anges vem eller vilka kategorier av personuppgiftsansvariga som har rollen som personuppgiftsansvarig. Denna utnämning av personuppgiftsansvariga i lagstiftningsåtgärden gynnar inte bara rättssäkerheten när det gäller ansvaret för behandlingen i förhållande till begränsningarna, utan gör även att de registrerade vet vem de ska vända sig till när de vill utöva sina rättigheter efter det att begränsningen har upphävts.

4.5 Lagringstid

59. I artikel 23.2 f i den allmänna dataskyddsförordningen fastställs att lagstiftningsåtgärden måste innehålla en specifik bestämmelse om lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling. Lagringstiden skulle exempelvis kunna beräknas som behandlingens varaktighet plus ytterligare tid för eventuella tvister.

4.6 Risker för registrerades rättigheter och friheter

60. Enligt artikel 23.2 g i den allmänna dataskyddsförordningen ska lagstiftningsåtgärden omfatta de risker för de registrerades rättigheter och friheter som begränsningarna medför. Detta är ett mycket viktigt steg som bidrar till behovs- och proportionalitetsprövningen av begränsningarna.

61. Bedömningen av riskerna för de registrerades rättigheter och friheter har två syften. Å ena sidan ger den en översikt över begränsningarnas potentiella effekter för de registrerade. Å andra sidan utgör den underlag för behovs- och proportionalitetsprövningen av begränsningarna. I detta avseende och i tillämpliga fall bör en konsekvensbedömning avseende dataskydd övervägas .

62. Lagstiftaren bör bedöma riskerna för den registrerades rättigheter och friheter ur den registrerades perspektiv. Det är inte alltid obligatoriskt att utföra en konsekvensbedömning avseende dataskydd, men konkreta risker för de registrerade – såsom felaktig profilering som leder till diskriminering, förringad mänsklig värdighet , hot mot yttrandefriheten, hot mot rätten till privatliv och skyddet av personuppgifter och en större inverkan på utsatta grupper (t.ex. barn eller personer med funktionsnedsättning) – kan anges i lagstiftningsåtgärden, beroende på vad som är tillämpligt.

63. Om en sådan bedömning tillhandahålls anser Europeiska dataskyddsstyrelsen att den måste tas med i 26 27 skälen eller motiveringen till lagstiftningen eller i konsekvensbedömningen .

4.7 Rätten att bli informerad om begränsningen, såvida detta inte inverkar menligt på begränsningen

64. Enligt artikel 23.2 h i den allmänna dataskyddsförordningen ska de registrerade informeras om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Detta innebär att de registrerade i regel bör informeras om begränsningen av deras rätt till information. Det kan för detta ändamål räcka med ett allmänt dataskyddsmeddelande.

65. Om en registrerad till exempel särskilt begär att få utöva en viss rättighet vid en mycket känslig tidpunkt i en administrativ utredning bör den registrerade om möjligt informeras om skälen till begränsningen. Om informationen till den registrerade om skälen till begränsningen skulle leda till att begränsningens effekter upphävs (dvs. om det skulle hindra de preliminära effekterna av utredningen) får denna information dock inte lämnas ut. Begränsningar får antas för att skydda utredningar. I detta fall måste begränsningarna förbli nödvändiga och proportionella, och för att säkerställa detta bör den personuppgiftsansvarige göra en bedömning för att kontrollera om informationen till den registrerade om begränsningen inverkar menligt på begränsningen.

66. Med andra ord kan den personuppgiftsansvarige under extraordinära omständigheter, till exempel i de allra första skedena av en utredning, om den registrerade begär information om huruvida denne är föremål för en utredning, besluta att inte bevilja denna information vid den tidpunkten – om begränsningen är laglig och absolut nödvändig i det specifika fallet – för att inte inverka menligt på begränsningen.

67. I ett senare skede, till exempel efter den inledande fasen av utredningen, bör den registrerade få ett (specifikt) dataskyddsmeddelande. Det kan i detta skede fortfarande hända att vissa rättigheter fortsätter att begränsas, såsom rätten till tillgång till information om att en utredning har inletts eller till anklagelserna från potentiella offer för trakasserier . Detta bör anges i dataskyddsmeddelandet tillsammans med en uppgift om den tidpunkt då rättigheterna kommer att återställas till fullo, om möjligt.

5 SAMRÅD MED TILLSYNSMYNDIGHETERNA (ARTIKLARNA 36.4 OCH 57.1 C I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN)

68. Enligt artikel 36.4 i den allmänna dataskyddsförordningen ska medlemsstaterna, om begränsningar antas på nationell nivå, samråda med tillsynsmyndigheten före antagandet av den lagstiftningsåtgärd som ska antas av ett nationellt parlament eller av en regleringsåtgärd som grundar sig på en sådan lagstiftningsåtgärd för begränsning av registrerades rättigheter enligt artikel 23 i den allmänna dataskyddsförordningen.

69. Enligt artikel 57.1 c i den allmänna dataskyddsförordningen ingår det även i tillsynsmyndigheternas uppgifter att ge rådgivning om lagstiftningsåtgärder rörande skyddet av enskilda personers rättigheter och friheter när det gäller behandling av personuppgifter.

70. Om en tillsynsmyndighet inte rådfrågas kan den enligt artikel 58.3 b i den allmänna dataskyddsförordningen på eget initiativ avge yttranden till det nationella parlamentet, medlemsstatens regering eller, i enlighet med medlemsstatens nationella rätt, till andra institutioner eller organ samt till allmänheten, i frågor som rör skydd av personuppgifter.

71. I den nationella dataskyddslagstiftningen får man dessutom fastställa särskilda förfaranden för antagande av lagstiftningsåtgärder som syftar till att begränsa de rättigheter som föreskrivs i artiklarna 12–22 och artikel 34 i den allmänna dataskyddsförordningen, i enlighet med artikel 23 i samma förordning. Detta är endast tillåtet om det är i linje med dataskyddsförordningen.

6 UNDERLÅTENHET AV EN MEDLEMSSTAT ATT UPPFYLLA KRAVEN I ARTIKEL 23 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

72. Europeiska kommissionen är i egenskap av fördragens väktare skyldig att övervaka tillämpningen av EU:s primär- och sekundärrätt och se till att den tillämpas på ett enhetligt sätt i hela EU, bland annat genom att vidta åtgärder när nationella åtgärder inte skulle vara förenliga med EU-rätten.

73. Enligt principen om EU-rättens företräde ”åligger skyldigheten att inte tillämpa nationell lagstiftning som strider mot unionsrätten inte bara de nationella domstolar utan alla statliga organ, inklusive förvaltningsmyndigheterna, vilka inom ramen för sina respektive behörighetsområden, har att tillämpa unionsrätten” .

7 SPECIFIKA DELAR FÖR PERSONUPPGIFTSANSVARIGA OCH PERSONUPPGIFTSBITRÄDEN

7.1 Principen om ansvarsskyldighet

74. Mot bakgrund av principen om ansvarsskyldighet (artikel 5.2 i den allmänna dataskyddsförordningen) och trots att det inte är en del av de register som krävs enligt artikel 30 i förordningen, är det god praxis att den personuppgiftsansvarige dokumenterar tillämpningen av begränsningar på konkreta fall genom att föra register över deras tillämpning. Detta register bör innehålla de tillämpliga skälen till begränsningarna, vilket eller vilka mål bland dem som anges i artikel 23.1 i den allmänna dataskyddsförordningen som gäller (om lagstiftningsåtgärden tillåter begränsningar med olika mål), begränsningarnas tidsram och resultatet av behovs- och proportionalitetsprövningen. Registren bör på begäran göras tillgängliga för tillsynsmyndigheten för dataskydd.

75. Om den personuppgiftsansvarige har ett dataskyddsombud bör dataskyddsombudet informeras – åtminstone på ett allmänt sätt – utan onödigt dröjsmål om registrerades rättigheter begränsas enligt lagstiftningsåtgärden. Dataskyddsombudet bör ges tillgång till de tillhörande registren och alla handlingar som rör det faktiska eller rättsliga sammanhang inom vilket begränsningen äger rum. Dataskyddsombudets deltagande i tillämpningen av begränsningar bör också dokumenteras.

7.2 Utövande av den registrerades rättigheter efter begränsningens upphävande

76. Den personuppgiftsansvarige ska upphäva begränsningarna så snart som de omständigheter som motiverar dem inte längre är tillämpliga. Om de registrerade ännu inte har fått information om begränsningarna vid den tidpunkten bör de få det senast när begränsningen upphävs.

77. Under tillämpningen av en begränsning får de registrerade utöva alla sina rättigheter som inte är begränsade. För att avgöra när begränsningen helt eller delvis kan upphävas får en behovs- och proportionalitetsprövning utföras flera gånger under tillämpningen av en begränsning.

78. När begränsningen upphävts – vilket bör dokumenteras i det register som nämns i avsnitt 5 – får de registrerade utöva alla sina rättigheter.

79. Om den personuppgiftsansvarige inte låter en registrerad utöva sina rättigheter efter det att begränsningen har upphävts kan den registrerade lämna in ett klagomål mot den personuppgiftsansvarige till tillsynsmyndigheten i enlighet med artikel 57.1 f i den allmänna dataskyddsförordningen.

7.3 Underlåtenhet av en personuppgiftsansvarig att iaktta en lagstiftningsåtgärd som innebär sådana begränsningar

80. Om de lagstiftningsåtgärder som innebär begränsningar enligt artikel 23 i den allmänna dataskyddsförordningen är förenliga med den förordningen men åsidosätts av en personuppgiftsansvarig kan tillsynsmyndigheterna använda sina rådgivande, utredande och korrigerande befogenheter mot den personuppgiftsansvarige, precis som i alla andra fall av underlåtenhet att iaktta bestämmelserna i den allmänna dataskyddsförordningen.

81. Enligt artikel 58.1 i den allmänna dataskyddsförordningen har tillsynsmyndigheterna följande utredningsbefogenheter: • Beordra den personuppgiftsansvarige eller personuppgiftsbiträdet, och i tillämpliga fall den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare, att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter. • Genomföra undersökningar i form av dataskyddstillsyn. • Meddela den personuppgiftsansvarige eller personuppgiftsbiträdet om en påstådd överträdelse av dataskyddsförordningen. • Från den personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter. • Få tillträde till alla lokaler som tillhör den personuppgiftsansvarige och personuppgiftsbiträdet, inbegripet tillgång till all utrustning och alla andra medel för behandling av personuppgifter i överensstämmelse med unionens processrätt eller medlemsstaternas nationella processrätt.

82. Om korrigerande åtgärder behöver vidtas kan tillsynsmyndigheterna, i enlighet med artikel 58.2 i den allmänna dataskyddsförordningen, göra följande: • Utfärda varningar till en personuppgiftsansvarig eller personuppgiftsbiträdet om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i den allmänna dataskyddsförordningen. • Utfärda reprimander till en personuppgiftsansvarig eller personuppgiftsbiträdet om behandling bryter mot bestämmelserna i den allmänna dataskyddsförordningen. • Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt dataskyddsförordningen. • Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen sker i enlighet med bestämmelserna i den allmänna dataskyddsförordningen och om så krävs på ett specifikt sätt och inom en specifik period. • Förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident har inträffat. • Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. • Förelägga om rättelse eller radering av personuppgifter samt begränsning av behandling enligt artiklarna 16, 17 och 18 i den allmänna dataskyddsförordningen och underrätta mottagare till vilka personuppgifterna har lämnats ut om dessa åtgärder enligt artiklarna 17.2 och 19 i samma förordning. • Påföra administrativa sanktionsavgifter i enlighet med artikel 83 utöver eller i stället för de åtgärder som avses i artikel 58.2 i den allmänna dataskyddsförordningen, beroende på omständigheterna i varje enskilt fall. • Förelägga om att flödet av uppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas.

83. Vad gäller tillsynsmyndigheternas befogenheter att ge råd, som föreskrivs i artikel 58.3 i den allmänna dataskyddsförordningen, kan de göra följande: • Ge råd till personuppgiftsansvariga i enlighet med det förfarande för förhandssamråd som avses i artikel 36.1 och 36.5 i den allmänna dataskyddsförordningen. • Ge tillstånd till behandling enligt artikel 36.5 i den allmänna dataskyddsförordningen om medlemsstatens rätt kräver ett sådant förhandstillstånd.

8 SLUTSATSER

84. Enligt artikel 23 i den allmänna dataskyddsförordningen är det möjligt för en nationell lagstiftare eller en EU-lagstiftare att på särskilda villkor införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och artikel 34 i den förordningen, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa bland annat unionens eller en medlemsstats viktiga mål av generellt allmänt intresse.

85. Begränsningar av registrerades rättigheter måste uppfylla kraven i artikel 23 i den allmänna dataskyddsförordningen. Unionen eller de medlemsstater som utfärdar de lagstiftningsåtgärder i vilka sådana begränsningar fastställs, samt de personuppgiftsansvariga som tillämpar dem, bör vara medvetna om dessa begränsningars exceptionella karaktär.

86. Proportionalitetsprövningen bör utföras innan begränsningarna av de registrerades rättigheter införs i unionsrätten eller medlemsstaternas nationella rätt.

87. Tillsynsmyndigheter bör rådfrågas före antagandet av de lagstiftningsåtgärder i vilka begränsningar fastställs och ha befogenhet att verkställa deras efterlevnad av dataskyddsförordningen.

88. När begränsningarna har upphävts ska den personuppgiftsansvarige låta de registrerade få utöva sina rättigheter.

9 BILAGA: CHECKLISTOR – KORT SAMMANFATTNING AV ARTIKEL 23 I DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

9.1 Krav enligt artikel 23.1 i den allmänna dataskyddsförordningen

i. Respekt för andemeningen i de grundläggande rättigheterna och friheterna

ii. Proportionalitets- och behovsprövning

iii. Lagstiftningsåtgärder i vilka begränsningar fastställs och behovet av förutsägbarhet (skäl

41 och EU-domstolens rättspraxis)

iv. De rättigheter hos registrerade och skyldigheter hos personuppgiftsansvariga som kan

begränsas

a) Rätten till klar och tydlig information (artikel 12 i den allmänna dataskyddsförordningen). b) Rätten till information (artiklarna 13 och 14 i den allmänna dataskyddsförordningen). c) Rätten till tillgång (artikel 15 i den allmänna dataskyddsförordningen). d) Rätten till rättelse (artikel 16 i den allmänna dataskyddsförordningen). e) Rätten till radering (artikel 17 i den allmänna dataskyddsförordningen). f) Rätten till begränsning av behandling (artikel 18 i den allmänna dataskyddsförordningen). g) Anmälningsskyldigheten avseende rättelse eller radering av personuppgifter och begränsning av behandling (artikel 19 i den allmänna dataskyddsförordningen). h) Rätten till dataportabilitet (artikel 20 i den allmänna dataskyddsförordningen). i) Rätten att göra invändningar (artikel 21 i den allmänna dataskyddsförordningen). j) Rätten att inte bli föremål för automatiserat individuellt beslutsfattande (artikel 22 i den allmänna dataskyddsförordningen). k) Skyldigheter enligt artiklarna 12–22 i den allmänna dataskyddsförordningen (artikel 5 i den allmänna dataskyddsförordningen). l) Information till den registrerade om en personuppgiftsincident (artikel 34 i den allmänna dataskyddsförordningen).

v. Målen med begränsningarna

a) Den nationella säkerheten. b) Försvaret. c) Den allmänna säkerheten. d) Förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten. e) Andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. f) Skydd av rättsväsendets oberoende och rättsliga åtgärder. g) Förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken. h) En tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i a–e och g. i) Skydd av den registrerade eller andras rättigheter och friheter. j) Verkställighet av civilrättsliga krav.

9.2 Krav enligt artikel 23.2 i den allmänna dataskyddsförordningen

i. Ändamålen med behandlingen eller kategorierna av behandling. ii. Kategorierna av personuppgifter. iii. Omfattningen av de införda begränsningarna. iv. Skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring. v. Specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga. vi. Lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling. vii. Riskerna för de registrerades rättigheter och friheter. viii. De registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen.