Undantag i särskilda situationer
I artikel 49 i dataskyddsförordningen föreskrivs om undantag i särskilda situationer. En sådan grund för överföring gäller i sista hand och kan bara tillämpas i exceptionella situationer.
En överföring av uppgifter bör i första hand grunda sig på ett beslut av kommissionen om adekvat skyddsnivå eller på lämpliga skyddsåtgärder som av ses i artikel 46 i dataskyddsförordningen. Den personuppgiftsansvariga ska således i första hand sträva efter att tillämpa lämpliga skyddsåtgärder som överföringsgrund. Undantag i särskilda situationer bör tillämpas bara om det inte är möjligt att tillämpa lämpliga skyddsåtgärder. Efter som artikel 49 är en bestämmelse avsedd för som ett undantag ska den tolkas snävt så att undantaget inte blir en regel.
Vid bedömning av tillämpningen av överföringsgrunden ska bland annat följande tas i beaktande:
- om överföringen är nödvändig (art. 49.1b, c, d och f)
- om överföringen är sporadisk (för tillämpning utan avtalsgrund: art. 49.1b, c)
- eventuellt tillämpligt internationellt eller annat avtal, samt
- de registrerades rättigheter (art. 49.1e).
Undantag i särskilda situationer (artikel 49.1 i dataskyddsförordningen)
- Den registrerade har uttryckligen samtyckt till att uppgifterna får överföras, efter att först ha blivit informerad om de eventuella riskerna med sådana överföringar för den registrerade när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder.
- Innan samtycke begärs ska den registrerade informeras om
a) mottagarna av uppgifterna och grupper av mottagare av uppgifterna
b) alla länder som personuppgifter överförs till
c) det faktum att ett samtycke är en lagenlig grund för överföring
d) att ett tredjeland som uppgifter överförs inte har något adekvat dataskydd som skulle grunda sig på kommissionens beslut
e) särskilda risker som uppkommer av att uppgifterna överförs till ett land utan adekvat skyddsnivå och att inga lämpliga skyddsåtgärder för att skydda uppgifterna kommer att vidtas.
- Överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige eller för att genomföra åtgärder som föregår ett sådant avtal på den registrerades begäran.
- Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den personuppgiftsansvarige och en annan fysisk eller juridisk person i den registrerades intresse.
- Överföringen är nödvändig av viktiga skäl som rör allmänintresset.
- Överföringen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk.
- Överföringen är nödvändig för att skydda den registrerades eller andra personers grundläggande intressen, när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke.
- Överföringen görs från ett register som enligt unionsrätten eller medlemsstaternas nationella rätt är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, men endast i den utsträckning som de i unionsrätten eller i medlemsstaternas nationella rätt angivna villkoren för tillgänglighet uppfylls i det enskilda fallet.
På grunderna för undantag tillämpas därutöver särskilda förutsättningar. Dessa framgår av artikel 49 i dataskyddsförordningen.
Om inga andra undantagsgrunder kan tillämpas, ger artikel 49 ett sistahandsalternativ som grund för att överföra uppgifter. Det förutsätter att alla följande förutsättningar uppfylls:
- Överföringen är inte repetitiv.
- Den gäller endast ett begränsat antal registrerade.
- Den är nödvändig för ändamål som rör den personuppgiftsansvariges tvingande berättigade intressen och den registrerades intressen eller rättigheter och friheter inte väger tyngre.
- Den personuppgiftsansvarige har bedömt samtliga omständigheter kring överföringen av uppgifter och på grundval av denna bedömning vidtagit lämpliga skyddsåtgärder för att skydda personuppgifterna.
Den personuppgiftsansvarige ska alltid informera tillsynsmyndigheten om en överföring av det här slaget.
Den personuppgiftsansvariga eller personuppgiftsbiträdet ska beskriva bedömningen av överföringen och de lämpliga skyddsåtgärderna i ett register över kategorierna av behandling.
Mer information om undantag ges i Europeiska dataskyddsstyrelsens anvisning Riktlinjer 2/2018 för undantagen i artikel 49 enligt förordning 2016/679 (på EDPBs webbplats).