(1)

I förordning (EU) 2016/679 fastställs regler för överföring av personuppgifter från personuppgiftsansvariga eller personuppgiftsbiträden i Europeiska unionen till tredjeländer och internationella organisationer i den mån sådana överföringar omfattas av förordningens tillämpningsområde. Reglerna om internationella överföringar av uppgifter fastställs i kapitel V (artiklarna 44–50) i den förordningen. Flödet av personuppgifter till och från länder och internationella organisationer utanför unionen är nödvändigt för utvecklingen av gränsöverskridande handel och internationellt samarbete, men skyddet av personuppgifter i unionen får inte undergrävas av överföringar till tredjeländer och internationella organisationer (2).

(2)

Enligt artikel 45.3 i förordning (EU) 2016/679 får kommissionen genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland, eller en internationell organisation säkerställer en adekvat skyddsnivå. Enligt det villkoret får överföringar av personuppgifter till en internationell organisation ske utan ytterligare tillstånd enligt artikel 45.1 och skäl 103 i förordning (EU) 2016/679.

(3)

Enligt artikel 45.2 i förordning (EU) 2016/679 måste antagandet av ett beslut om adekvat skyddsnivå grundas på en omfattande analys av den internationella organisationens rättsordning som omfattar både de regler som är tillämpliga på uppgiftsinförare och begränsningarna och skyddsåtgärderna när det gäller myndigheters tillgång till personuppgifter. Kommissionen måste i sin bedömning avgöra om den berörda internationella organisationen garanterar en skyddsnivå som ”i huvudsak motsvarar” den som säkerställs i unionen (3). Den standard mot vilken denna huvudsakliga motsvarighet bedöms är den som fastställs i unionslagstiftningen, särskilt förordning (EU) 2016/679 samt rättspraxis från Europeiska unionens domstol (4). Europeiska dataskyddsstyrelsens referensram för adekvat skyddsnivå är också av betydelse i detta avseende för att ytterligare klargöra standarden och ge vägledning (5).

(4)

Som domstolen har klargjort kan det inte krävas att ett tredjeland eller en internationell organisation säkerställer en skyddsnivå som är identisk med den som garanteras i unionens rättsordning (6). I synnerhet kan de medel som tredjelandet eller den internationella organisationen i fråga använder för att skydda personuppgifter skilja sig från dem som används inom unionen förutsatt att de i praktiken kan säkerställa en adekvat skyddsnivå (7). Standarden för en adekvat skyddsnivå kräver därför inte att unionens regler kopieras till punkt och pricka. Det handlar snarare om huruvida det utländska systemet som helhet erbjuder den skyddsnivå som krävs genom innehållet i skyddsmekanismer för rätten till personlig integritet och skyddet av personuppgifter (inbegripet deras faktiska genomförande, övervakning och verkställighet) och de förhållanden som har samband med en överföring av personuppgifter (8).

(5)

Kommissionen har analyserat Europeiska patentorganisationens rättsliga ram och rättspraxis. På grundval av de iakttagelser som anges i skälen 7–100 drar kommissionen slutsatsen att Europeiska patentorganisationen (EPO) säkerställer en adekvat skyddsnivå för personuppgifter som inom tillämpningsområdet för förordning (EU) 2016/679 överförs från unionen till EPO.

(6)

Enligt detta beslut får överföringar från personuppgiftsansvariga och personuppgiftsbiträden i unionen till Europeiska patentorganisationen ske utan ytterligare tillstånd. Detta beslut bör inte påverka den direkta tillämpningen av förordning (EU) 2016/679 på sådana enheter, när villkoren för det territoriella tillämpningsområde som anges i artikel 3 i den förordningen är uppfyllda.

(7)

Europeiska patentorganisationen är en mellanstatlig organisation som inrättades den 7 oktober 1977 på grundval av den europeiska patentkonventionen (EPC). Organisationen har sitt säte i München och har 39 fördragsslutande stater, som omfattar alla unionens medlemsstater, Island, Norge och Liechtenstein, samt Albanien, Nordmakedonien, Monaco, San Marino, Serbien, Schweiz, Montenegro, Förenade kungariket och Turkiet (9).

(8)

Organisationen är juridisk person (10) och består av två organ (11): Europeiska patentverket (patentverket) och förvaltningsrådet. EPO:s huvuduppgift är att meddela europeiska patent (12) i enlighet med EPC, vilket utförs av patentverket under tillsyn av förvaltningsrådet. Förvaltningsrådet består av företrädare för de fördragsslutande staterna och utövar lagstiftningsbefogenheter på EPO:s vägnar. Det ansvarar också för politiska frågor och utövar tillsyn över patentverkets verksamhet (13). Patentverket, som fungerar som EPO:s verkställande organ, leds av en ordförande (14) som förvaltar patentverket (ordföranden) och är ansvarig inför förvaltningsrådet (15). Ordföranden utarbetar och genomför bland annat patentverkets budget, utser och utövar tillsyn över patentverkets personal, har befogenhet att vidta disciplinära åtgärder mot personalen, ser till att patentverkets verksamhet kan bedrivas, bland annat genom att utfärda interna administrativa föreskrifter och information till allmänheten, och får för förvaltningsrådet framlägga förslag till ändring av konventionen, allmänna föreskrifter eller beslut som faller inom förvaltningsrådets behörighet (16). Patentverket består av olika avdelningar, bland annat en mottagningsavdelning, en rättsavdelning, prövnings- och invändningsavdelningar samt besvärskamrar (ett internt oberoende organ vid vilket EPO:s beslut i samband med förfarandet för meddelande av patent kan överklagas) (17).

(9)

Vid utförandet av sina uppgifter tar EPO emot personuppgifter från ett antal olika aktörer i unionen. Ansökningar om europeiskt patent (18) lämnas kontinuerligt in till EPO av patentsökande eller vidarebefordras till EPO av nationella patentmyndigheter i medlemsstaterna (19). EPO tar också emot och behandlar personuppgifter i samband med de uppgifter som den har enligt Europaparlamentets och rådets förordning (EU) nr 1257/2012 (20). Dessa uppgifter består av att ta emot och pröva ansökningar om enhetlig verkan för europeiska patent, samla in årsavgifter och registrera patentens enhetliga verkan (21). I detta sammanhang tar EPO också emot förfrågningar från den enhetliga patentdomstolen (UPC) om pågående överklaganden till patentverkets besvärskamrar (22), vilka kan inbegripa personuppgifter som är nödvändiga för att identifiera det aktuella målet (23).

(10)

På samma sätt tar EPO emot personuppgifter i internationella patentansökningar när den agerar enligt konventionen om patentsamarbete (PCT), en internationell konvention som gör det möjligt för sökande att erhålla patent med verkan i alla stater som anslutit sig till PCT (24). EPO fungerar som en internationell nyhetsgranskningsmyndighet inom ramen för PCT och utför i denna egenskap patenterbarhetsprövningar av uppfinningar som offentliggjorts i internationella ansökningar, vilket hjälper sökande att avgöra om de ska inge en ansökan för materiell prövning på nationell nivå eller unionsnivå (25).

(11)

Dessutom har EPO ett nära samarbete med nationella patentverk i alla medlemsstater inom ramen för ett europeiskt patentnätverk och utbyter i detta sammanhang personuppgifter med dem, till exempel när de tillhandahåller kurser och it-tjänster för att stödja och stärka samarbetet inom ramen för den europeiska patentkonventionen. Vidare har EPO ingått bilaterala samarbetsavtal med medlemsstaterna som inbegriper utbyte av personuppgifter, till exempel i samband med inrättandet av arbetsgrupper, utstationering och utplacering av tekniska experter osv. EPO har också ett nära samarbete med Europeiska unionens immaterialrättsmyndighet (EUIPO), till exempel genom att anordna gemensamma kurser och evenemang för att öka medvetenheten och genom att utstationera experter.

(12)

Slutligen har EPO avtal med flera tjänsteleverantörer i unionen som fungerar som personuppgiftsbiträde i den mening som avses i artikel 4.8 i förordning (EU) 2016/679 och överför personuppgifter till EPO.

(13)

Den primärlagstiftning som reglerar EPO:s verksamhet fastställs genom ett internationellt fördrag, det vill säga den europeiska patentkonventionen och, när EPO agerar med stöd av konventionen om patentsamarbete, genom den senare. På nästa nivå i den normhierarki som är tillämplig på EPO finns rättsakter som antagits av förvaltningsrådet eller, när det gäller PCT, av PCT-församlingen. EPO:s sekundärlagstiftning omfattar tillämpningsföreskrifterna till EPC och det så kallade tjänstgöringsreglementet (som reglerar frågor som rör EPO:s personal, inbegripet personalens rättigheter och skyldigheter) (26). Rätten till skydd av personuppgifter fastställs i artikel 1b i tjänstgöringsreglementet (27), som även innehåller vissa centrala bestämmelser i EPO:s dataskyddsram, nämligen dataskyddsramens tillämpningsområde, skyddet av särskilda kategorier av uppgifter och enskildas utövande av rättigheter. I artiklarna 2.1 och 32A i tjänstgöringsreglementet fastställs oberoende tillsynsmekanismer (dataskyddsombudet och dataskyddsstyrelsen) som övervakar efterlevnaden av dataskyddsreglerna (28).

(14)

Samma materiella krav på skydd av personuppgifter gäller för förvaltningsrådet och Europeiska patentverket samt för alla deras avdelningar. Till exempel regleras patentverkets behandling av personuppgifter i Implementing rules for articles 1b and 32a of the service regulations for permanent and other employees of the European patent office on the protection of personal data (inte översatt till svenska) (dataskyddsreglerna), som har antagits av förvaltningsrådet (29). Förvaltningsrådets behandling av personuppgifter omfattas av förvaltningsrådets dataskyddsregler, som tillämpar EPO:s dataskyddsregler i tillämpliga delar (30). I detta beslut omfattar hänvisningar till dataskyddsreglerna även motsvarande krav som är tillämpliga på förvaltningsrådet, dess sekretariat och dess kommittéer. Dataskyddsreglernas struktur och innehåll är nära anpassade till unionens dataskyddsram (31). De har till exempel många gemensamma drag med Europaparlamentets och rådets förordning (EU) 2018/1725 (32), som innehåller dataskyddskrav för unionens institutioner och organ, och är därför väl lämpade för internationella organisationers särskilda struktur och särdrag, samtidigt som de nära återspeglar förordning (EU) 2016/679.

(15)

När det gäller patentverkets databehandling har ordföranden utfärdat ytterligare rättsligt bindande instrument, till exempel cirkulär, beslut och interna administrativa föreskrifter (33). Dataskyddsreglerna kompletteras till exempel med ordförandens beslut av den 13 december 2021 om behandling av personuppgifter i patentförfaranden och liknande förfaranden (PGP-beslutet) (34), beslutet av den 7 december 2022 om behandling av personuppgifter i förfaranden som rör europeiska patent med enhetlig verkan (UP-beslutet) (35), beslutet av den 17 november 2022 om länder och enheter som anses säkerställa ett adekvat skydd av personuppgifter (36), beslutet av den 2 maj 2024 om fastställande av europeiska patentverkets operativa enheter som verkar i egenskap av delegerade personuppgiftsansvariga (37), och cirkulär nr 420 om genomförande av artikel 25 i dataskyddsreglerna om begränsningar av registrerades rättigheter (cirkulär 420) (38). Särskilt när det gäller databehandling i patentförfaranden är det viktigt att notera att de krav för behandling av personuppgifter som anges direkt i EPC och PCT har företräde framför dataskyddsreglerna. Samspelet mellan EPC och PCT å ena sidan och dataskyddsreglerna å andra sidan klargörs i PGP-beslutet (39) och UP-beslutet. De särskilda dataskyddskrav som följer direkt av EPC och PCT bedöms i skälen 55–59. Dataskyddsreglerna och deras kompletterande instrument är rättsligt bindande och verkställbara och kan åberopas av enskilda inför oberoende prövningsmekanismer, i enlighet med skälen 89–96.

(16)

Reglerna i de rättsliga instrument som nämns i skäl 15 konkretiseras ytterligare i instrument som utfärdas av dataskyddsombudet (se skälen 83–88) (40) och som är tillämpliga på förvaltningsrådet och patentverket samt på alla deras avdelningar (41).

(17)

Enligt dataskyddsreglerna och tjänstgöringsreglementet (42) är alla anställda vid EPO skyldiga att följa dataskyddsreglerna vid behandlingen av personuppgifter. Dataskyddsreglernas materiella och personliga tillämpningsområde fastställs genom termerna personuppgifter, behandling, personuppgiftsansvarig, delegerad personuppgiftsansvarig och personuppgiftsbiträde som definieras i dessa regler.

(18)

Definitionerna av personuppgifter och behandling i dataskyddsreglerna är identiska med dem i förordning (EU) 2016/679 (43). Dataskyddsreglerna är tillämpliga på all behandling av personuppgifter som utförs av EPO, oavsett om behandlingen avser personuppgifter om dess egna anställda eller uppgifter om andra enskilda personer (44). Uppgifter som har pseudonymiserats (45) betraktas också som personuppgifter, medan uppgifter om avlidna eller juridiska personer eller anonym information (46) inte behandlas som personuppgifter enligt dataskyddsreglerna (47).

(19)

Dataskyddsreglerna är tillämpliga på EPO:s behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller är avsedda att ingå i ett register (48).

(20)

I dataskyddsreglerna definieras personuppgiftsansvarig som en enhet, det vill säga Europeiska patentverket, som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (49). I princip fungerar ordföranden som personuppgiftsansvarig för patentverkets behandling av personuppgifter (50). Detsamma gäller förvaltningsrådet (där ordföranden fungerar som personuppgiftsansvarig), besvärskamrarna i sin dömande verksamhet (där deras ordförande fungerar som personuppgiftsansvarig (51)) och det särskilda utskottet (där ordföranden fungerar som personuppgiftsansvarig (52)). Den personuppgiftsansvarige kan delegera denna befogenhet till operativa enheter, företrädda av en chef på högre nivå (53). I sådana fall fungerar de operativa enheterna som delegerade personuppgiftsansvariga (54) som definierar ändamålen (till exempel skäl, motivering och verksamhetsbehov) och medlen för en behandling och som säkerställer att all behandling som inbegriper personuppgifter är förenlig med dataskyddsreglerna (55). I sådana fall är den personuppgiftsansvarige fortsatt ansvarig för behandlingen av personuppgifter. I dataskyddsreglerna föreskrivs också ett scenario med gemensamt personuppgiftsansvar, där en personuppgiftsansvarig fastställer ändamålen och medlen för behandlingen tillsammans med en eller flera personuppgiftsansvariga utanför EPO (56).

(21)

Definitionen av personuppgiftsbiträde i dataskyddsreglerna är identisk med den i artikel 4.8 i förordning (EU) 2016/679, det vill säga en fysisk eller juridisk person, en offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning (57). Den personuppgiftsansvarige får endast använda personuppgiftsbiträden som ger tillräckliga garantier för att lämpliga tekniska och organisatoriska åtgärder kommer att genomföras för att säkerställa att behandlingen uppfyller kraven i dataskyddsreglerna (58). Förhållandet mellan den personuppgiftsansvarige och ett personuppgiftsbiträde måste regleras genom ett avtal eller en rättsakt som är bindande för personuppgiftsbiträdet och som bland annat anger föremålet för behandlingen och behandlingens varaktighet, art och ändamål (59). Personuppgiftsbiträdet får endast behandla uppgifterna på dokumenterade instruktioner från den personuppgiftsansvarige. Personuppgiftsbiträdet är skyldigt att bistå den personuppgiftsansvarige att fullgöra sina skyldigheter enligt dataskyddsreglerna. Den personuppgiftsansvarige får inte anlita underentreprenörer utan förhandstillstånd från den personuppgiftsansvarige (60). Det finns ett standardiserat personuppgiftsbiträdesavtal för delegerade personuppgiftsansvariga (61). Om ett personuppgiftsbiträde befinner sig i ett tredjeland måste dessutom all delning av personuppgifter med det personuppgiftsbiträdet också uppfylla dataskyddsreglernas krav på internationella överföringar i enlighet med skälen 68–73 i detta beslut (62).

(22)

Personuppgifter bör behandlas på ett lagligt och korrekt sätt.

(23)

Dessa allmänna principer fastställs i artikel 4.2 a i dataskyddsreglerna på ett sätt som kan anses vara identiskt med artikel 5.1 a i förordning (EU) 2016/679.

(24)

Laglighetsprincipen utvecklas vidare i artikel 5 i dataskyddsreglerna, där det anges på vilka rättsliga grunder personuppgifter får behandlas. Dessa rättsliga grunder är a) om det är nödvändigt för att utföra en uppgift som ett led i EPO:s officiella verksamhet (63) eller som ett led i den personuppgiftsansvariges legitima myndighetsutövning, vilket inbegriper den behandling som är nödvändig för patentverkets förvaltning och funktion (64), b) om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (till exempel att offentliggöra information som nämns i en patentansökan i det europeiska patentregistret) (65), c) om det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, d) om den registrerade har lämnat sitt samtycke, eller e) om det är nödvändigt för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

(25)

Samtycke definieras i dataskyddsreglerna på samma sätt som i förordning (EU) 2016/679, det vill säga ”varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne” (66). Det ankommer på den personuppgiftsansvarige att visa att den registrerade har lämnat sitt samtycke (67). Vid bedömning av huruvida samtycke är frivilligt bör hänsyn tas till huruvida genomförandet av ett avtal har gjorts beroende av samtycke till sådan behandling av uppgifter som inte är nödvändig för genomförandet av det avtalet (68). Samtycke kan inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke (69). För att samtycket ska vara informerat krävs det enligt dataskyddsreglerna dessutom att den registrerade känner till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda (70). Slutligen har en registrerad rätt att när som helst ta tillbaka sitt samtycke (71).

(26)

Specifika skyddsåtgärder bör vidtas när ”särskilda kategorier” av uppgifter behandlas.

(27)

Dataskyddsreglerna innehåller särskilda regler för behandling av särskilda kategorier av personuppgifter (72), som definieras på samma sätt som i förordning (EU) 2016/679, det vill säga ”[b]ehandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter (73), biometriska uppgifter (74) för att entydigt identifiera en fysisk person, uppgifter om hälsa (75) eller uppgifter om en fysisk persons sexualliv eller sexuella läggning” (76). Enligt dataskyddsreglerna är behandling av särskilda kategorier av uppgifter i princip förbjuden, såvida inte ett särskilt undantag är tillämpligt (77).

(28)

De särskilda undantag som anges i artikel 11.2 i dataskyddsreglerna liknar dem i artikel 9.2 och 9.3 i förordning (EU) 2016/679, med några anpassningar till den rättsliga ram inom vilken EPO är verksam. Behandlingen av särskilda kategorier av personuppgifter är endast tillåten under särskilda och begränsade omständigheter (78), det vill säga om 1) den registrerade har lämnat sitt uttryckliga samtycke, 2) behandlingen är nödvändig för att skydda en persons grundläggande intressen (när den registrerade är fysiskt eller rättsligt förhindrad att lämna sitt uttryckliga samtycke), 3) personuppgifterna på ett uppenbart sätt har offentliggjorts av den registrerade personen, 4) behandlingen är nödvändig för ett särskilt ändamål som rör EPO:s officiella verksamhet eller som ett led i den personuppgiftsansvariges legitima myndighetsutövning (79), eller 5) behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk.

(29)

Utöver de särskilda kategorier av personuppgifter som avses i skäl 27 krävs det enligt dataskyddsreglerna också särskilt skydd för behandling av personuppgifter som rör fällande domar i brottmål och överträdelser, det vill säga genom att sådan behandling endast får ske efter förhandssamråd med dataskyddsstyrelsen eller om behandlingen krävs enligt ett rättsligt bindande instrument som föreskriver lämpliga skyddsåtgärder för enskilda personers rättigheter och friheter (80).

(30)

Personuppgifter bör behandlas för ett specifikt ändamål och därefter användas endast i den utsträckning som detta är förenligt med behandlingens ändamål.

(31)

Den principen säkerställs i artikel 4.2 b i dataskyddsreglerna, enligt vilka personuppgifter måste samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.

(32)

I likhet med förordning (EU) 2016/679 tillåter dataskyddsreglerna ytterligare behandling (oavsett om ändamålet med den ytterligare behandlingen är förenligt med det ursprungliga) baserat på den registrerades uttryckliga samtycke eller i enlighet med EPO:s tillämpliga rättsliga bestämmelser (81). I det senare fallet krävs det enligt dataskyddsreglerna att behandlingen är en nödvändig och proportionell åtgärd för att skydda ett mål av allmänt intresse (82).

(33)

Om ytterligare behandling inte grundar sig på dessa två grunder anges i dataskyddsreglerna vilka faktorer som ska beaktas vid bedömningen av huruvida ändamålet med den ytterligare behandlingen är förenligt med det ändamål för vilket personuppgifterna ursprungligen samlades in (83). Detta tillvägagångssätt och de faktorer som anges i dataskyddsreglerna är identiska med dem som anges i artikel 6.4 i förordning (EU) 2016/679 och artikel 6 i förordning (EU) 2018/1725 (84).

(34)

Personuppgifter bör vara korrekta och vid behov hållas uppdaterade. De bör också vara adekvata, relevanta och inte överdrivet omfattande i förhållande till de ändamål för vilka de behandlas och i princip inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas.

(35)

Dessa principer fastställs i artikel 4.2 c, d och e i dataskyddsreglerna på samma sätt som i förordning (EU) 2016/679.

(36)

Personuppgifter bör också behandlas på ett sätt som innebär att säkerheten garanteras, inbegripet skydd mot obehörig eller otillåten behandling och mot oavsiktlig förlust, förstörelse eller skada. I detta syfte bör näringsidkare vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från eventuella hot. Dessa åtgärder bör utvärderas med hänsyn till den senaste tekniken och kostnaderna.

(37)

Datasäkerheten fastställs i EPO:s rättsliga ram genom principen om integritet och konfidentialitet som fastställs i artikel 4.2 f och artikel 33 i dataskyddsreglerna på ett sätt som nästan är identiskt med förordning (EU) 2016/679. I dataskyddsreglerna krävs till exempel att en säkerhetsnivå som är lämplig i förhållande till risken säkerställs genom lämpliga tekniska och organisatoriska åtgärder, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhet och allvarlighetsgrad, för enskilda personers rättigheter och friheter.

(38)

Dessutom innehåller dataskyddsreglerna särskilda krav på hantering och anmälan av en personuppgiftsincident (85). För det första är den personuppgiftsansvarige skyldig att utan onödigt dröjsmål (och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den) anmäla personuppgiftsincidenten till dataskyddsombudet, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för enskilda personers rättigheter och friheter (86). Ett personuppgiftsbiträde är på samma sätt skyldigt att utan onödigt dröjsmål anmäla en personuppgiftsincident till den personuppgiftsansvarige (87). Anmälan ska till exempel innehålla en beskrivning av personuppgiftsincidentens art, dess sannolika konsekvenser och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten (88). Om en personuppgiftsincident sannolikt leder till en hög risk för enskilda personers rättigheter och friheter måste den personuppgiftsansvarige utan onödigt dröjsmål även informera den registrerade om personuppgiftsincidenten (89). Informationen till den registrerade måste innehålla en tydlig och klar beskrivning av personuppgiftsincidentens art (90) och krävs inte om den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risken för registrerades rättigheter och friheter inte längre är för handen (91).

(39)

De registrerade bör underrättas om de viktigaste dragen i behandlingen av deras personuppgifter.

(40)

I enlighet med dataskyddsreglerna är den personuppgiftsansvarige skyldig att, när den erhåller personuppgifter, lämna information till enskilda personer om till exempel sin identitet och sina kontaktuppgifter (samt kontaktuppgifter till dataskyddsombudet), ändamålet med och den rättsliga grunden för behandlingen, mottagarna eller kategorierna av mottagare, det faktum att den personuppgiftsansvarige avser att överföra uppgifterna utanför EPO samt tillämpliga rättigheter och möjligheten till prövning (92). Detsamma gäller när personuppgifter behandlas för ett annat ändamål än det för vilket uppgifterna samlades in (93). Båda skyldigheterna gäller endast om den berörda personen ännu inte har tillgång till informationen (94).

(41)

Samma information måste lämnas till de registrerade när personuppgifter inte samlas in direkt från dem, tillsammans med ytterligare information om varifrån personuppgifterna och de berörda kategorierna av uppgifter kommer (95). Sådan information måste lämnas inom rimlig tid efter det att personuppgifterna har erhållits (dock senast inom en månad) med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas (96). Om personuppgifterna ska användas för kommunikation med den registrerade bör samma information lämnas senast vid tidpunkten för den första kommunikationen med personen (97). Den information som avses i skäl 40 måste också lämnas före eventuell ytterligare behandling eller, om ett utlämnande till en annan mottagare förutses, senast när personuppgifterna lämnas ut till tredje man (98). Skyldigheten gäller inte i ett antal fall, till exempel om den registrerade redan förfogar över den berörda informationen, om denna information måste förbli konfidentiell till följd av tystnadsplikt enligt EPC och/eller andra rättsliga bestämmelser som är tillämpliga på EPO (99), om tillhandahållandet av denna information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivändamål, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, i den mån det skulle omöjliggöra eller allvarligt försvåra uppfyllandet av målen med behandlingen, eller om erhållandet eller utlämnandet av denna information uttryckligen föreskrivs i EPC eller andra tillämpliga rättsliga bestämmelser som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen (100).

(42)

De registrerade bör ha vissa rättigheter som kan göras gällande mot den personuppgiftsansvariga eller personuppgiftsbiträdet, särskilt rätten till tillgång till uppgifter, rätten till rättelse, rätten att invända mot behandlingen och rätten att få uppgifter raderade. Samtidigt kan sådana rättigheter vara föremål för begränsningar i den mån sådana begränsningar är nödvändiga och proportionerliga för att skydda viktiga mål av allmänt intresse.

(43)

Behovet av att underlätta utövandet av individuella rättigheter fastställs i artikel 1b.4 i tjänstgöringsreglementet. För att ytterligare genomföra detta krav ger dataskyddsreglerna enskilda personer samma rättigheter som dem som fastställs i förordning (EU) 2016/679, nämligen rätt till tillgång (artikel 18 i dataskyddsreglerna), rätt till rättelse (artikel 19 i dataskyddsreglerna), rätt till radering (artikel 20 i dataskyddsreglerna), rätt till begränsning av behandling (artikel 21 i dataskyddsreglerna), rätt till dataportabilitet (artikel 22 i dataskyddsreglerna), rätt att göra invändningar (artikel 23 i dataskyddsreglerna) och rätt att inte bli föremål för automatiserat beslutsfattande (artikel 24 i dataskyddsreglerna).

(44)

Dataskyddsreglerna innehåller också allmänna bestämmelser för hanteringen av enskilda personers begäranden om utövande av rättigheter, enligt vilka den personuppgiftsansvarige ska kommunicera med de registrerade på ett klart och tydligt språk, i en koncis, klar och tydlig, begriplig och lätt tillgänglig form (skriftligt eller i någon annan form) (101). Den personuppgiftsansvarige måste utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran (perioden får förlängas med ytterligare två månader om det är nödvändigt med hänsyn till hur komplicerad begäran är och antalet inkomna begäranden) tillhandahålla enskilda personer information om de åtgärder som vidtagits med anledning av begäran (102). Om en registrerads begäranden är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige vägra att tillmötesgå begäran (103). Om den personuppgiftsansvarige inte vidtar åtgärder på begäran måste den informera personen om detta och lämna information om möjligheten att begära prövning (104).

(45)

För det första ger dataskyddsreglerna när det gäller rätten till tillgång enskilda personer rätt att av EPO få bekräftelse på huruvida personuppgifter som rör dem behandlas och i så fall få tillgång till personuppgifterna på ett enkelt sätt (105) och med rimliga intervall (106). Dessutom har enskilda personer rätt att få information om bland annat ändamålen med behandlingen, de kategorier av uppgifter som behandlingen gäller, de mottagare som uppgifterna delas med och den förutsedda period under vilken uppgifterna kommer att lagras (107).

(46)

För det andra föreskrivs i dataskyddsreglerna att rätten till rättelse enligt dataskyddsreglerna gör det möjligt för enskilda att få felaktiga uppgifter rättade eller att komplettera ofullständiga uppgifter (till exempel genom att tillhandahålla ett kompletterande utlåtande) (108). När rättelsen har skett är den personuppgiftsansvarige skyldig att underrätta varje mottagare till vilken personuppgifterna har lämnats ut (109). Enligt dataskyddsreglerna är rätten till rättelse tillämplig på objektiva och faktiska uppgifter och inte på subjektiva utlåtanden (110), även om enskilda personer i detta fall får komplettera befintliga uppgifter med ett andra utlåtande eller alternativt expertutlåtande eller lämna synpunkter (111).

(47)

För det tredje ger dataskyddsreglerna också enskilda personer rätt till radering (112), särskilt om a) personuppgifter inte längre är nödvändiga för det ändamål för vilket de behandlas, b) den registrerade återkallar sitt samtycke och det inte finns någon annan rättslig grund för behandlingen, c) den registrerade invänder mot behandlingen och det saknas berättigade skäl för behandlingen som väger tyngre, d) uppgifterna har behandlats på olagligt sätt, eller e) uppgifterna måste raderas för att uppfylla en rättslig förpliktelse som den registeransvarige omfattas av (113). Den registeransvarige måste underrätta varje mottagare till vilken uppgifterna har lämnats ut om eventuella rättelser, om inte detta visar sig vara omöjligt eller innebär en oproportionell ansträngning (114). På samma sätt måste den personuppgiftsansvarige, om den har offentliggjort personuppgifterna, vidta rimliga åtgärder för att underrätta andra personuppgiftsansvariga som behandlar dem om att den enskilde har begärt att uppgifterna raderas (115). Rätten till radering är inte tillämplig i följande scenarier, i den mån behandlingen av uppgifterna är nödvändig a) för att utöva rätten till yttrande- och informationsfrihet, b) för att uppfylla en rättslig förpliktelse för EPO eller en förpliktelse som följer av EPO:s skyldighet att samarbeta med dess fördragsslutande stater (116) eller som ett led i EPO:s myndighetsutövning (117), c) för skäl som rör samarbete med de fördragsslutande staterna på folkhälsoområdet (118), d) för arkivändamål, vetenskapliga eller historiska forskningsändamål och statistiska ändamål (i den utsträckning en radering sannolikt omöjliggör eller allvarligt försvårar uppnåendet av syftet med behandlingen), eller e) för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (119).

(48)

För det fjärde föreskrivs i artikel 21 i dataskyddsreglerna en rätt till begränsning av behandling, det vill säga märkning av personuppgifter med syftet att begränsa behandlingen av dessa i framtiden (inbegripet programmeringsåtgärder för att permanent förhindra tillgång till sådana uppgifter) (120). Denna rätt kan till exempel åberopas när den enskilde bestrider personuppgifternas korrekthet (under en tid som den personuppgiftsansvarige behöver för att kontrollera korrektheten) eller om behandlingen är olaglig, men den enskilde motsätter sig att uppgifterna raderas (121). Om behandlingen är begränsad får personuppgifter, med undantag för lagring, endast behandlas med den enskildes uttryckliga samtycke, för att fastställa, göra gällande eller försvara rättsliga anspråk, för att skydda andras rättigheter eller för att utföra en uppgift som ett led i EPO:s officiella verksamhet (det vill säga en uppgift som är nödvändig för det administrativa och tekniska arbete som EPO är skyldig att utföra i enlighet med EPC) (122).

(49)

För det femte föreskrivs en rätt att göra invändningar i artikel 1b.4 i tjänstgöringsreglementet och i artikel 23 i dataskyddsreglerna. Enskilda personer har till exempel rätt att när som helst invända mot behandling av personuppgifter som utförs för att utföra en uppgift som ett led i EPO:s officiella verksamhet eller som ett led i den personuppgiftsansvariges legitima myndighetsutövning (123). Enskilda personer måste informeras om förekomsten av en sådan rättighet på ett tydligt sätt och senast vid tidpunkten för den första kommunikationen med dem (124). Om en enskild person invänder mot behandlingen av personuppgifter krävs det enligt dataskyddsreglerna att den personuppgiftsansvarige upphör med behandlingen, såvida den personuppgiftsansvarige inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller för att fastställa, göra gällande eller försvara rättsliga anspråk (125).

(50)

För det sjätte fastställs i dataskyddsreglerna en rätt till dataportabilitet som ger enskilda personer möjlighet att få ut sina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format och rätt att överföra dessa uppgifter till en annan personuppgiftsansvarig (126). Denna rätt gäller när behandlingen sker automatiskt och grundar sig på den enskildes samtycke eller för att fullgöra ett avtal med den enskilda personen eller i dennes intresse (127).

(51)

Slutligen har enskilda enligt dataskyddsreglerna rätt att inte bli föremål för automatiserat beslutsfattande, det vill säga ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för dem eller på liknande sätt i betydande grad påverkar dem (128). I dataskyddsreglerna fastställs att automatiserat beslutsfattande får äga rum om det grundar sig på den registrerades uttryckliga samtycke eller om det är nödvändigt för att ingå eller fullgöra ett avtal med den enskilde, varvid den personuppgiftsansvarige måste genomföra lämpliga skyddsåtgärder, till exempel genom att föreskriva rätten till personlig kontakt för att kunna uttrycka den enskildes synpunkter och bestrida beslutet (129). Automatiserat beslutsfattande kan också tillåtas genom en rättsakt om det i den akten fastställs lämpliga åtgärder för att säkerställa enskildas rättigheter (130). Om den personuppgiftsansvarige deltar i automatiserat beslutsfattande, inbegripet profilering, måste den proaktivt informera den enskilde om detta som ett led i dess skyldigheter när det gäller öppenhet och tillhandahålla meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade (131). Samma information måste lämnas på begäran (132).

(52)

I likhet med artikel 23 i förordning (EU) 2016/679 och artikel 25 i förordning (EU) 2018/1725 föreskrivs det i artikel 25 i dataskyddsreglerna att särskilda rättsliga bestämmelser i EPO:s rättsliga ram får begränsa tillämpningen av de rättigheter som avses i skälen 43–51 (133) (dvs. tillfälligt begränsa deras tillämpning) (134), om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna (135) och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa särskilda mål (136). Dessutom måste en begränsning anges i tydliga och precisa bestämmelser som är avsedda att ha rättsverkan i förhållande till de registrerade och som måste antas på åtminstone ordförandenivå (137). I sådana bestämmelser måste särskilt anges ändamålet med behandlingen, begränsningens omfattning, skyddsåtgärderna för att förhindra missbruk samt lagringstiden och tillämpliga skyddsåtgärder (138).

(53)

För närvarande är cirkulär 420 det enda rättsliga instrument som innehåller begränsningar av individuella rättigheter (ett rättsligt bindande instrument som antagits av ordföranden). Det klargör hur och på vilka villkor begränsningar kan tillämpas av den personuppgiftsansvarige och fastställer på ett uttömmande sätt i vilka specifika scenarier rättigheter kan begränsas och för vilka ändamål (139). Till exempel föreskrivs att EPO får begränsa individuella rättigheter för vissa specifika ändamål, nämligen a) och b) i utredningsförfaranden eller disciplinära förfaranden avseende dess personal (140), c) i samband med intern tvistlösning eller fastställande, utövande eller försvar av rättsliga anspråk, inbegripet skiljeförfarande, för att bevara konfidentiella uppgifter och handlingar som erhållits av parterna, intervenienterna eller andra legitima källor, d) vid behandling av hälsouppgifter i samband med medicinska förfaranden och journaler, men endast för att skydda enskilda personers rättigheter (141), e) och f) vid genomförandet av interna granskningar och inspektioner (de senare utförs av dataskyddsombudet), g) vid hantering av it-incidenter och i rapporter om fysiska säkerhetsincidenter, och h) vid tillhandahållande eller mottagande av bistånd till eller från behöriga offentliga myndigheter, inbegripet från EPO:s fördragsslutande stater och internationella organisationer, eller vid samarbete med dem i verksamheter som fastställs i relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal, antingen på deras begäran eller på patentverkets eget initiativ (142).

(54)

Huruvida en begränsning kan tillämpas i ett specifikt fall avgörs av den personuppgiftsansvarige i enskilda fall mot bakgrund av de relevanta omständigheterna (143). Vid beslut om huruvida en begränsning ska tillämpas eller inte måste den personuppgiftsansvarige först bedöma om begränsningen är nödvändig och proportionell i det specifika fallet, i samråd med dataskyddsombudet (144). Denna bedömning innebär att de potentiella riskerna för den registrerades rättigheter och friheter vägs mot andra registrerades risker och friheter samt riskerna för att ändamålet med och resultatet av behandlingen hindras (145). Begränsningar måste dokumenteras, bland annat genom att registrera bedömningen av vilka rättigheter som begränsats, under hur lång tid, av vilka skäl och på vilka grunder (146). Så länge en begränsning gäller måste dessutom lämpliga tekniska och organisatoriska åtgärder vidtas (147). En begränsning får endast tillämpas så länge skälen för begränsningen föreligger (148). Om en rättighet begränsas måste den personuppgiftsansvarige informera den enskilde om de huvudsakliga skälen till detta och om rätten att inge klagomål (149).

(55)

Bestämmelserna i EPO:s konstituerande fördrag (det vill säga EPC) och i PCT samt de bestämmelser som är tillämpliga enligt dessa (som samtliga utgör primärlagstiftning för EPO) innehåller vissa särskilda krav inom ramen för patentförfarandet som kan påverka utövandet av vissa rättigheter enligt dataskyddsreglerna (150). PGP-beslutet ger en översikt över dessa primärrättsliga krav, förklarar hur registrerades rättigheter kan utövas i detta sammanhang och anger tydligt möjliga undantag (151). I cirkulär 420 fastställs att de bestämmelser som kan begränsa tillämpningen av rätten till dataskydd tydligt måste ange vad ett eventuellt undantag omfattar och därmed utgöra en avvägning mellan olika berörda intressen (152).

(56)

För det första är patentverket enligt artikel 127 i EPC skyldigt att föra det europeiska patentregistret, i vilket vissa rättsligt definierade personuppgifter offentliggörs. Enligt primärlagstiftningen måste patentansökningar offentliggöras under patentförfarandet, i allmänhet så snart som möjligt efter utgången av en period på 18 månader från ansökningsdagen. Enligt EPC medges åtkomst till personuppgifter som ingår i sådana patentansökningar antingen genom att granska handlingarna eller registret (153). Patentansökningar som ännu inte har offentliggjorts är tillgängliga för granskning endast om sökanden uttryckligen medger detta. Liknande regler fastställs i PCT (154).

(57)

För det andra regleras möjligheten att erhålla ändringar av den information som används inom ramen för ett patentförfarande specifikt i EPC (155). Till exempel föreskrivs i EPC endast en möjlighet att erhålla rättelse av fel i handlingar som lämnats in till EPO (156), rättelse av fel i beslut (157), rättelser av översättningar (158) och rättelse av angivande av uppfinnare (159). Rättelse av personuppgifter som ingår i handlingar som används i patentförfarandet kan således endast erhållas i dessa fall. Detsamma gäller möjligheten att få till stånd en begränsning av behandlingen av uppgifter (160).

(58)

För det tredje innehåller EPC särskilda krav på arkivering och offentliggörande av vissa handlingar som används i patentförfarandet, vilket påverkar möjligheten att få uppgifter i dem raderade, inbegripet personuppgifter (161). Till exempel måste offentliggjorda patentansökningar och patentinformation som offentliggörs i den europeiska patenttidningen arkiveras och hållas tillgängliga för allmänheten (162). Följaktligen skulle en radering av personuppgifter i dessa handlingar strida mot EPO:s grundläggande rättsliga skyldigheter (artikel 129 a i EPC) och kan inte erhållas. Andra handlingar måste sparas av EPO under en period som anges i EPC, och som i princip är fem år (163). Under denna period kan information i dessa register (inbegripet personuppgifter) inte raderas.

(59)

De begränsningar av utövandet av rättigheter som följer av de bestämmelser som avses i skälen 55–58 kan därför, med beaktande av deras begränsade omfattning och tillämpningsvillkor, anses vara begränsade till vad som är nödvändigt och proportionellt för att säkerställa att patentförfarandet fungerar korrekt, i enlighet med vad som med hänsyn till ett allmänt intresse krävs för fullgörandet av EPO:s officiella uppgifter. I den mån utövandet av dataskyddsrättigheter inte specifikt regleras i EPC och PCT, det vill säga i alla andra scenarier än dem som beskrivs i skälen 55–58, är kraven i dataskyddsreglerna tillämpliga fullt ut.

(60)

Den erforderliga skyddsnivån för personuppgifter som överförs från unionen till EPO får inte undergrävas av ytterligare överföring av personuppgifter till mottagare i ett tredjeland eller en annan internationell organisation.

(61)

I dataskyddsreglerna görs åtskillnad mellan översändande av personuppgifter (det vill säga EPO:s delning av uppgifter med sina fördragsslutande stater) och överföring av personuppgifter (EPO:s delning av uppgifter med en annan person eller enhet utanför EPO) (164).

(62)

För det första föreskrivs i dataskyddsreglerna att uppgifter får översändas till en nationell immaterialrättsmyndighet i en av EPO:s fördragsslutande stater om uppgifterna är nödvändiga för a) fullgörandet av mottagarens behörighet eller myndighetsutövning och b) översändandet är nödvändigt för EPO:s utförande av sina officiella uppgifter/myndighetsutövning (165). Detta översändande sker inom ramen för det patentförfarande som föreskrivs i EPC och PCT (166).

(63)

För det andra får uppgifter enligt dataskyddsreglerna översändas till en offentlig myndighet i en av EPO:s fördragsslutande stater (167) när uppgifterna är nödvändiga för att den offentliga myndigheten ska kunna fullgöra sina uppgifter och översändandet är förenligt med EPO:s uppgifter och funktion (168). Det ställs i EPC eller andra rättsliga instrument som reglerar patentförfarandet inga specifika krav på ett sådant översändande men det kan ändå vara nödvändigt för att fullgöra EPO:s uppgifter, till exempel EPO:s samarbete med dess fördragsslutande stater genom samrådsförfaranden, utstationering och utplacering av experter, eller tillhandahållande av information om EPO:s personal för att fastställa sociala förmåner, skattekrav osv.

(64)

Dataskyddsombudet har utarbetat standardklausuler som ska ingå i samförståndsavtal som reglerar sådant översändande som beskrivs i skälen 62 och 63 och som bland annat innehåller dataskyddsprinciper, begränsningar av ytterligare behandling för förenliga ändamål, registrerades rättigheter, skyldigheter med avseende på datasäkerhet och personuppgiftsincidenter, samt oberoende tillsyn (169).

(65)

I båda de scenarier som beskrivs i skälen 62 och 63 måste mottagaren i enlighet med dataskyddsreglerna lägga fram bevis för att det är nödvändigt att uppgifterna översänds för ett specifikt ändamål som följer av EPO:s skyldighet att samarbeta med den eller de fördragsslutande staterna (170). Den personuppgiftsansvarige måste för varje översändande kunna visa att ett sådant översändande är nödvändigt och står i proportion till det specifika ändamål för vilket uppgifterna delas (171). All överföring av uppgifter måste ske på ett sätt som säkerställer att den skyddsnivå som dataskyddsförordningen ger upprätthålls (172). Enligt dataskyddsombudets vägledning innebär detta att det ska finnas lämpliga skyddsåtgärder, däribland säkerställande av att de uppgifter som ska delas måste minimeras och begränsas till vad som är lämpligt, relevant och absolut nödvändigt för det ändamålet (173). Om det finns skäl att anta att den berörda personens berättigade intressen kan påverkas, måste den personuppgiftsansvarige fastställa att det är proportionellt att översända personuppgifterna för det specifika ändamålet, efter att ha gjort en avvägning mellan olika berörda intressen (174).

(66)

När det gäller dessa två scenarier är det också viktigt att notera att alla EPO:s fördragsslutande stater är parter i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, omfattas av Europeiska domstolens för de mänskliga rättigheterna jurisdiktion, och är parter i Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (ETS nr 108).

(67)

Slutligen medges enligt dataskyddsreglerna att uppgifter översänds till ett personuppgiftsbiträde i Europeiska ekonomiska samarbetsområdet (EES), förutsatt att efterlevnaden av de krav som fastställs i dataskyddsreglerna för anlitande av personuppgiftsbiträden säkerställs (175).

(68)

Delning av personuppgifter med andra enheter utanför EPO än en offentlig myndighet eller nationell immaterialrättsmyndighet i EPO:s fördragsslutande stater eller ett personuppgiftsbiträde i EES betraktas som en ”överföring” av personuppgifter, och omfattas av särskilda krav enligt dataskyddsreglerna (176). Dessa krav gäller till exempel delning av uppgifter med personuppgiftsbiträden utanför EES, registeransvariga i eller utanför fördragsslutande stater, offentliga myndigheter i icke fördragsslutande stater och andra internationella organisationer. I allmänhet krävs det enligt dataskyddsreglerna att den skyddsnivå som EPO garanterar inte undergrävs när uppgifter överförs till tredje man (177). Enligt dataskyddsombudets vägledning måste skyddet av överförda personuppgifter i tredjelandet eller den internationella organisationen i huvudsak motsvara det skydd som garanteras enligt dataskyddsreglerna (178).

(69)

Enligt dataskyddsreglerna får personuppgifter överföras utanför EPO först och främst om det land där mottagaren eller den internationella organisationen finns säkerställer en adekvat skyddsnivå och om överföringen endast görs för att EPO ska kunna utföra uppgifter inom ramen för sin behörighet (179). Ett beslut om adekvat skyddsnivå antas av ordföranden (180), som i tveksamma fall beslutar efter samråd med dataskyddsombudet och dataskyddsstyrelsen (181). Dataskyddsombudet har tagit fram en referensram för adekvat skyddsnivå i vilken kriterierna för beslut om adekvat skyddsnivå fastställs (182). I synnerhet måste tredjelandets eller den internationella organisationens rättsliga ram till exempel innehålla centrala dataskyddsprinciper, registrerades rättigheter, regler om vidare överföring, förfarande- och verkställighetsmekanismer samt prövning för enskilda. Om ordföranden antar ett beslut om adekvat skyddsnivå kan överföringen ske utan att genomföra ytterligare skyddsåtgärder (183). EPO anser för närvarande att medlemsstaterna samt Norge, Island och Liechtenstein, alla länder som omfattas av ett beslut av kommissionen om en adekvat skyddsnivå (184), samt unionens institutioner och organ, har en adekvat skyddsnivå (185).

(70)

Enligt dataskyddsreglerna får den personuppgiftsansvarige eller personuppgiftsbiträdet i avsaknad av ett beslut om adekvat skyddsnivå endast överföra personuppgifter till mottagare utanför EPO efter att den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder och på villkor att lagstadgade rättigheter och effektiva rättsmedel för registrerade finns tillgängliga (186). Sådana lämpliga skyddsåtgärder kan ingå i administrativa överenskommelser med offentliga myndigheter eller internationella organisationer, i avtalsklausuler (efter samråd med dataskyddsstyrelsen) (187) eller certifieringsmekanismer (188). Dataskyddsombudet har utarbetat en översikt över de bestämmelser som ska ingå i de administrativa överenskommelserna (189). Det finns också en mall för dataskyddsavtal för överföringar till personuppgiftsbiträden (190). Enligt dataskyddsombudets vägledning måste EPO bedöma om uppgiftsinföraren skulle hindras från att fullgöra sina skyldigheter enligt ett överföringsverktyg på grund av den rättsliga ram som den omfattas av och, vid behov, införa kompletterande åtgärder (191). För att göra denna bedömning rekommenderar dataskyddsombudet i EPO:s förklarande anmärkning om översändande och överföring av personuppgifter att relevant vägledning från Europeiska dataskyddsstyrelsen och Europeiska datatillsynsmannen beaktas (192).

(71)

Enligt dataskyddsreglerna måste EPO, vid överföring av uppgifter till länder eller organisationer som omfattas av ett beslut om adekvat skyddsnivå, samt vid överföring av uppgifter på grundval av lämpliga skyddsåtgärder, visa att varje överföring är nödvändig för och står i proportion till ändamålet med behandlingen (193). Dessutom måste EPO, efter att ha gjort en avvägning mellan olika berörda intressen, fastställa att överföringen är proportionell, om det finns skäl att tro att de registrerades berättigade intressen kan påverkas (194). Dessutom måste det (genom avtalsenliga skyddsåtgärder) säkerställas att mottagaren endast får behandla eller använda uppgifterna för de ändamål för vilka de överfördes och radera uppgifterna så snart ändamålet har uppnåtts (195).

(72)

Enligt dataskyddsreglerna är, i avsaknad av ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder, överföring av personuppgifter utanför EPO endast tillåten i undantagsfall om ett så kallat undantag (derogation) tillämpas på liknande villkor som i motsvarande bestämmelser i unionens dataskyddslagstiftning (196). Så är fallet när a) den registrerade uttryckligen har samtyckt till överföringen (197), b) och c) överföringen är tillfällig och nödvändig för att fullgöra ett avtal med den registrerade eller i den registrerades intresse (eller för att genomföra åtgärder som föregår ett sådant avtal på den registrerades begäran) (198), d) överföringen är nödvändig för att utföra en uppgift som ett led i EPO:s officiella verksamhet eller som ett led i den personuppgiftsansvariges legitima myndighetsutövning (199), e) överföringen är tillfällig och nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (200). f) överföringen är nödvändig för att skydda en persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att lämna sitt uttryckliga samtycke (201), eller g) överföringen görs från ett register som är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de angivna villkoren för sådan tillgänglighet uppfylls i det enskilda fallet (202). Dessa undantag får på grund av sin natur, och i enlighet med dataskyddsombudets vägledning, inte åberopas vid systematiska och regelbundna överföringar (203).

(73)

Slutligen, när det gäller överföringar av särskilda kategorier av uppgifter till länder eller organisationer som inte omfattas av ett beslut om adekvat skyddsnivå, får ordföranden ytterligare begränsa sådana överföringar av viktiga skäl som rör patentverkets legitima myndighetsutövning (204). Hittills har ordföranden inte utnyttjat dessa befogenheter.

(74)

Enligt principen om ansvarsskyldighet är enheter som behandlar uppgifter skyldiga att införa lämpliga tekniska och organisatoriska åtgärder för att effektivt fullgöra sina skyldigheter att skydda uppgifter och kunna visa sådan överensstämmelse, särskilt för den behöriga tillsynsmyndigheten.

(75)

I artikel 4.1 i dataskyddsreglerna fastställs en allmän princip om ansvarsskyldighet, där det klargörs att den personuppgiftsansvarige är ansvarig för, och måste kunna visa, efterlevnaden av dataskyddsreglerna. I synnerhet måste den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa efterlevnad, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för enskilda personers rättigheter (205). I detta avseende innebär dataskyddsreglerna även att principerna om inbyggt integritetsskydd och integritetsskydd som standard genomförs, genom att kräva att den personuppgiftsansvarige genomför åtgärder som är utformade för att genomföra dataskyddsprinciperna och säkerställa efterlevnad av dataskyddsreglerna, och att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas (206).

(76)

Den personuppgiftsansvarige och personuppgiftsbiträdet måste föra ett register över behandlingen, som bland annat innehåller information om ändamålet med behandlingen, de kategorier av uppgifter som behandlas, de kategorier av mottagare till vilka uppgifterna lämnas ut och eventuella överföringar av personuppgifter (207). Dessa register är i princip tillgängliga för allmänheten (såvida de inte innehåller konfidentiell information) och ingår i ett allmänt tillgängligt dataskyddsregister, och måste på begäran göras tillgängliga för dataskyddsombudet (208). Varje operativ enhet måste också utse minst en kontaktperson för dataskydd (för en mandatperiod på ett till tre år som kan förnyas), som måste genomgå obligatorisk dataskyddsutbildning och bistå den personuppgiftsansvarige i fullgörandet av dess skyldigheter (209).

(77)

Slutligen innehåller dataskyddsreglerna olika instrument som kan hjälpa den personuppgiftsansvarige och personuppgiftsbiträdet i deras efterlevnadsinsatser. Enligt dataskyddsreglerna får till exempel efterlevnad av godkända certifieringsmekanismer fungera som bevis på efterlevnad av skyldigheterna enligt dataskyddsreglerna (210). På vissa villkor krävs det enligt dataskyddsreglerna dessutom att det görs en konsekvensbedömning avseende dataskydd, eller ett föregående samråd med dataskyddsombudet och dataskyddsstyrelsen. En konsekvensbedömning avseende dataskydd krävs om en typ av behandling sannolikt leder till en hög risk för en persons rättigheter och friheter (211). En sådan krävs till exempel när det sker en systematisk och omfattande bedömning av de personliga aspekter som grundar sig på automatiserade beslut eller när särskilda kategorier av uppgifter behandlas i stor omfattning (212). Om en konsekvensbedömning visar att behandlingen skulle leda till en hög risk för enskilda personers rättigheter och friheter och risken inte kan minskas genom rimliga säkerhetsåtgärder måste den personuppgiftsansvarige samråda med dataskyddsombudet (213). Dataskyddsstyrelsen måste ge skriftliga råd om den anser att den planerade behandlingen skulle strida mot dataskyddsreglerna (214). Mer allmänt är den personuppgiftsansvarige skyldig att samråda med dataskyddsombudet vid utarbetandet av regler eller operativa dokument om genomförandet av begränsningar av individuella rättigheter (215).

(78)

För att säkerställa att en adekvat dataskyddsnivå garanteras i praktiken bör det finnas en oberoende tillsynsmyndighet med befogenhet att övervaka och verkställa efterlevnaden av dataskyddsreglerna. Den myndigheten bör agera fullständigt oberoende och opartiskt när den fullgör sina skyldigheter och utövar sina befogenheter.

(79)

EPO:s rättsliga ram ger två organ i uppdrag att övervaka EPO:s efterlevnad av dataskyddsreglerna: dataskyddsombudet och dataskyddsstyrelsen. Båda organen inrättas genom artikel 32a i tjänstgöringsreglementet, medan deras status och befogenheter specificeras närmare i dataskyddsreglerna (216). Deras roller kompletterar varandra och inbegriper samarbete, men varje organ förblir oberoende i sina respektive funktioner.

(80)

I enlighet med tjänstgöringsreglementet agerar dataskyddsombudet och dataskyddsstyrelsen fullständigt oberoende av all intern eller extern påverkan när de utför sina uppgifter och utövar sina befogenheter (217). Den principen kompletteras av olika ytterligare skyddsåtgärder som garanterar deras oberoende.

(81)

Dataskyddsombudet (och dess ställföreträdare) utses av ordföranden baserat på sina yrkeskvalifikationer och, i synnerhet, sina expertkunskaper om lagstiftning och praxis på dataskyddsområdet (218). Dataskyddsombudet utses för en mandatperiod på tre till fem år som kan förnyas. Dataskyddsstyrelsen måste rådfrågas innan det föreslås att dataskyddsombudet entledigas eller avsätts från sin tjänst (219). Ett sådant förhandssamråd innan dataskyddsombudet entledigas eller avsätts är utformat för att säkerställa ytterligare granskning och översyn i händelse av ett förslag om att entlediga eller avsätta ombudet. Ett sådant förslag om att entlediga eller avsätta dataskyddsombudet kan läggas fram (220) om dataskyddsombudet inte längre uppfyller de villkor som krävs för att fullgöra uppdraget (221), på grund av bristande arbetsinsats (222), eller till följd av disciplinära åtgärder (223). I dataskyddsreglerna fastställs också att dataskyddsombudet inte kan entledigas eller bli föremål för sanktioner för att ha utfört sina uppgifter och inte kan ta emot instruktioner (224). Dataskyddsombudet måste vara delaktigt i alla frågor som rör skyddet av personuppgifter och utfärdar årliga verksamhetsrapporter till ordföranden och förvaltningsrådet (225). Patentverket måste förse dataskyddsombudet med de resurser som krävs för att utföra sina uppgifter (226).

(82)

Dataskyddsstyrelsen består av tre externa experter på dataskyddsområdet, nämligen en ordförande och två andra ledamöter (227), samt en suppleant som utses av EPO:s ordförande för en mandatperiod på tre år som kan förnyas (228). Ledamöterna i dataskyddsstyrelsen måste ha de kvalifikationer som krävs för utnämning till domarämbeten eller vara yrkesverksamma inom dataskydd med dokumenterad sakkunskap och erfarenhet inom dataskyddslagstiftning som förvärvats på nationell eller internationell nivå. De får inte vara anställda av EPO eller ha varit anställda av EPO under de senaste tio åren (229). Enligt artikel 48.6 i dataskyddsreglerna är ledamöterna i dataskyddsstyrelsen fullständigt oberoende när de utför sina uppgifter. Dataskyddsstyrelsens medlemmar får till exempel inte begära instruktioner från patentverket eller förvaltningsrådet och kan inte vara bundna av sådana instruktioner. I dataskyddsstyrelsens arbetsordning föreskrivs också att den måste agera opartiskt och fullständigt oberoende när den utför sina uppgifter (230). Dessutom kan EPO endast säga upp dataskyddsstyrelsens ledamöter från sin tjänst om det föreligger allvarliga skäl (231). Dataskyddsstyrelsens ledamöter är bundna av tystnadsplikt (232) och måste avstå från att agera i ärenden där de har en intressekonflikt, särskilt ett personligt intresse (233). EPO är skyldig att stödja dataskyddsstyrelsen i utförandet av dess uppgifter genom att förse den med nödvändiga resurser samt rättsligt och administrativt stöd (genom ett sekretariat och genom att ge dataskyddsstyrelsen tillgång till personuppgifter och behandling) (234).

(83)

Dataskyddsombudets uppgifter består bland annat av att informera den personuppgiftsansvarige eller personuppgiftsbiträdet om deras skyldigheter och ge dem råd i enlighet med detta, öka medvetenheten bland och tillhandahålla utbildning för personal som arbetar med behandling, säkerställa att de registrerade informeras om sina rättigheter enligt dataskyddsreglerna, och på ett oberoende sätt övervaka den interna tillämpningen och efterlevnaden av dataskyddsreglerna samt EPO:s andra rättsliga bestämmelser som har konsekvenser för dataskyddet (235). De registrerade får kontakta dataskyddsombudet i alla frågor som rör behandlingen av deras uppgifter eller utövandet av deras rättigheter (236), och den personuppgiftsansvarige och personuppgiftsbiträdet får samråda med dataskyddsombudet i alla frågor som rör tolkningen och tillämpningen av dataskyddsreglerna (237).

(84)

Som ett led i sin tillsynsroll har dataskyddsombudet befogenhet att utföra dataskyddstillsyn och dataskyddsutredningar (238). En dataskyddstillsyn inleds av dataskyddsombudet i enlighet med en årlig tillsynsplan som utarbetas i samråd med dataskyddsstyrelsen (239). En tillsyn är inriktad på att bedöma dataskyddsregister, förklaringar och relevant dokumentation, till exempel för att kontrollera att relevant dataskyddsdokumentation är korrekt och fullständig, att riskhanteringsmetoderna tillämpas korrekt, att de registrerade får korrekta svar i tid, eller att konsekvensbedömningar avseende dataskydd genomförs korrekt och i tid (240). Enligt uppgifter som kommissionen mottagit från dataskyddsombudet genomfördes tre tillsyner under 2023 och fyra under 2024. En utredning kan inledas av dataskyddsombudet på eget initiativ, på grundval av en begäran från dataskyddsstyrelsen eller ett organ inom EPO (till exempel ordföranden eller en delegerad personuppgiftsansvarig) eller på grundval av information som mottagits på annat sätt (t.ex. från tredje man och enskilda personer) (241). Utredningar som begärs av dataskyddsstyrelsen utförs på ett oberoende sätt av dataskyddsombudet. Dataskyddsstyrelsen kan lämna synpunkter och/eller begära en kompletterande utredning med avseende på varje fråga som kan uppkomma (242). Inspektionerna är inriktade på behandling eller särskilda aspekter av eller händelser i samband med behandling, i syfte att säkerställa att behandlingen i fråga uppfyller kraven i dataskyddsreglerna och för att säkerställa skyddet av de registrerades rättigheter och friheter (243).

(85)

Dataskyddsombudet har tillgång till all relevant information, inbegripet de personuppgifter som behandlas samt alla kontor, databehandlingsanläggningar och databärare (244). Alla EPO:s anställda och operativa enheter är skyldiga att bistå dataskyddsombudet i utförandet av dess uppgifter, bland annat genom att ge tillträde till lokaler och relevant information (245).

(86)

När dataskyddsombudet avslutar en tillsyn eller utredning antar det en rapport med sina resultat, slutsatser och rekommenderade korrigerande åtgärder (246). Sådana åtgärder kan till exempel omfatta förebyggande eller begränsande åtgärder för att förbättra efterlevnaden, samt åtgärder för att avhjälpa bristande efterlevnad (t.ex. för att se till att behandlingen är förenlig med dataskyddsreglerna, för att hantera begäranden från registrerade om att utöva sina rättigheter, för att tillfälligt avbryta eller avsluta en behandling osv.) (247). Dataskyddsombudet kan också göra den behöriga tillsättningsmyndigheten uppmärksam på arbetstagares bristande efterlevnad av dataskyddsreglerna och rekommendera att en administrativ utredning inleds för att avgöra om disciplinära eller andra åtgärder behöver vidtas (248). Varje anställd som uppsåtligen eller av oaktsamhet underlåter att följa dataskyddsreglerna kan bli föremål för disciplinära sanktioner eller andra åtgärder i enlighet med tjänstgöringsreglementet (249).

(87)

Resultatet av tillsyner och utredningar måste delges dataskyddsstyrelsen (250). Tillsyns- eller utredningsrapporten måste på begäran delas med dataskyddsstyrelsen. Dataskyddsstyrelsen har rätt att kommentera dataskyddsombudets rapport, inbegripet dataskyddsombudets slutsatser om huruvida en överträdelse av dataskyddsreglerna har ägt rum eller inte, om föreslagna korrigerande åtgärder och kan begära ytterligare utredningsåtgärder (251). Om dataskyddsombudet vid en tillsyn eller inspektion drar slutsatsen att det har förekommit bristande efterlevnad (dvs. en överträdelse av dataskyddsreglerna) måste dataskyddsombudets rapport lämnas till dataskyddsstyrelsen för validering av slutsatserna och de rekommenderade korrigerande åtgärderna. Om dataskyddsstyrelsen inte håller med om dataskyddsombudets slutsatser eller rekommenderade korrigerande åtgärder delar dataskyddsstyrelsen sina synpunkter med dataskyddsombudet, bland annat för att ändra de föreslagna slutsatserna och rekommenderade korrigerande åtgärderna, som bör genomföra dem i enlighet med detta. Korrigerande åtgärder som valideras av dataskyddsstyrelsen är bindande för den personuppgiftsansvarige och delegerade personuppgiftsansvariga och kan åberopas av enskilda personer före de prövningsmekanismer som beskrivs i skäl 95 (252). Dataskyddsombudet måste kontrollera genomförandet av de korrigerande åtgärderna (i princip sex månader efter det att de meddelats) och årligen rapportera till ordföranden om hur genomförandet fortskrider (253).

(88)

Utöver sitt uppdrag att säkerställa efterlevnaden av dataskyddsreglerna är dataskyddsstyrelsens andra uppgifter att ge råd till ordföranden om antagandet av beslut om adekvat skyddsnivå, ge den personuppgiftsansvarige råd om behovet av att genomföra en konsekvensbedömning avseende dataskydd och granska klagomål från enskilda personer (se skälen 92–96) (254).

(89)

För att säkerställa en adekvat skyddsnivå, och i synnerhet tillämpningen av enskildas rättigheter, bör den registrerade erbjudas möjlighet till prövning, däribland ersättning för skada.

(90)

EPO:s rättsliga ram ger enskilda personer möjlighet till prövning genom en kombination av olika alternativ.

(91)

För det första kan registrerade som anser att EPO:s behandling av deras personuppgifter utgör en kränkning av deras rättigheter (det vill säga en överträdelse av dataskyddsreglerna) lämna in en begäran om omprövning av den delegerade personuppgiftsansvarige i enlighet med artikel 49 i dataskyddsreglerna. Den delegerade personuppgiftsansvarige kommer att granska klagomålet och fatta ett beslut (255). Innan ett beslut fattas måste den delegerade personuppgiftsansvarige samråda med dataskyddsombudet, som lämnar ett skriftligt utlåtande senast femton kalenderdagar efter mottagandet av begäran om omprövning (256). Den delegerade personuppgiftsansvarige måste svara den enskilde inom en månad från dagen för mottagandet av begäran (257). Beslutet måste meddelas den enskilde, tillsammans med information om möjligheten till ytterligare prövning (258). Om den delegerade personuppgiftsansvarige underlåter att vidta åtgärder inom tre månader betraktas detta som ett implicit avslag på begäran.

(92)

För det andra kan enskilda personer överklaga ett beslut eller ett implicit avslag på en begäran om omprövning av en delegerad personuppgiftsansvarig genom att lämna in ett klagomål till dataskyddsstyrelsen (259).

(93)

Vid behandlingen av ett klagomål måste dataskyddsstyrelsen uppmana den registrerade, den personuppgiftsansvarige och, i tillämpliga fall, personuppgiftsbiträdet att skriftligen framföra sin ståndpunkt om påståendena och sakförhållandena i fråga och att tillhandahålla bevis eller kommentarer och argument om tillgänglig bevisning (260). I det sammanhanget kan dataskyddsstyrelsen begära all information som den behöver av parterna för att hantera klagomålet och kan dessutom få ytterligare information via dataskyddsombudet (261). När dataskyddsstyrelsen beslutar om den nödvändiga uppföljningen av ett klagomål måste den bland annat ta hänsyn till den påstådda överträdelsens karaktär och svårighetsgrad, antalet berörda registrerade, de kategorier av uppgifter som berörs och överträdelsens varaktighet (262). Dataskyddsstyrelsen får uppmana parterna att försöka få till stånd en uppgörelse i godo och uppmuntrar och underlättar aktivt en sådan uppgörelse (263). Den klagande får också begära att dataskyddsstyrelsen tillämpar ett skyndsamt förfarande på grund av den påstådda överträdelsens svårighetsgrad eller på grund av hur allvarlig risken för enskilda personers rättigheter är (264).

(94)

Efter att ha granskat ett klagomål avger dataskyddsstyrelsen ett motiverat yttrande till den personuppgiftsansvarige, som ska innehålla en sakframställning, parternas huvudargument, dataskyddsstyrelsens överväganden och dess rekommendationer (265). I händelse av ett skyndsamt förfarande måste dataskyddsstyrelsen formellt avge ett motiverat yttrande inom två månader från det att klagomålet lämnades in (266). I sitt motiverade yttrande kan dataskyddsstyrelsen lägga fram de rekommendationer som den anser nödvändiga, inbegripet föreläggande (till exempel att upphöra med olaglig databehandling, radera olagligt behandlade uppgifter) och ersättning för materiell eller immateriell skada (267). Det motiverade yttrandet ska meddelas den registrerade och den personuppgiftsansvarige (dvs. patentverkets ordförande, ordföranden för besvärskamrarna, förvaltningsrådets ordförande eller ordföranden för det särskilda utskottet beroende på om klagomålet gällde patentverket, besvärskamrarna, förvaltningsrådet eller det särskilda utskottet). Den personuppgiftsansvarige fattar därpå ett slutligt bindande beslut, efter ett motiverat yttrande från dataskyddsstyrelsen (268). Det slutliga beslutet meddelas den registrerade, dataskyddsstyrelsen och dataskyddsombudet (269). Om den personuppgiftsansvarige skulle besluta att inte följa en eller flera aspekter av det motiverade yttrandet ska denne skriftligen förklara omständigheterna i beslutet (270).

(95)

En registrerad som inte är nöjd med den personuppgiftsansvariges beslut kan överklaga beslutet vidare och hänvisa till dataskyddsstyrelsens motiverade yttrande i överklagandet. EPO:s anställda kan överklaga beslutet till Internationella arbetsorganisationens förvaltningsdomstol (271). Alla andra registrerade som inte är nöjda med den personuppgiftsansvariges beslut kan, inom tre månader från mottagandet av beslutet, lämna in en begäran till ordföranden om ett särskilt skiljeförfarande (272). I dataskyddsreglerna föreskrivs ett särskilt förfarande som måste följas vid särskilda skiljeförfaranden (273). Inom tre månader från mottagandet av den registrerades begäran måste en skiljeman utses av permanenta skiljedomstolens generalsekreterare på grundval av de kriterier som fastställs i dataskyddsreglerna (274). Skiljemannen måste vara juridiskt kvalificerad, vara behörig att utöva advokatverksamhet i en av EPO:s fördragsslutande stater, kunna uppvisa relevant sakkunskap i dataskyddsfrågor och känna till den lagstiftning som reglerar internationella organisationer (275). Förutom att uppfylla dessa kriterier får endast personer som inte har arbetat för eller på uppdrag av antingen EPO eller den registrerade utses. I dataskyddsreglerna föreskrivs att skiljemannen måste agera oberoende och opartiskt (276), behandla parterna lika och ge dem möjlighet att lägga fram sin sak i varje skede av förfarandet (277). Skiljeförfarandet är inte offentligt (278) och regleras av EPC, dataskyddsreglerna, inbegripet eventuella tillämpningsföreskrifter, lagstiftning som reglerar internationella organisationer och folkrättsliga principer (279). Varje part måste bära sina egna kostnader och utgifter för juridiskt ombud (såvida inte skiljemannen beslutar något annat), men skiljemannens arvoden och utgifter, samt kostnaderna för eventuell sakkunnigrådgivning och vittnen, betalas av EPO (280). En uppgörelse måste ingås i form av en skriftlig skiljedom med en överenskommen lydelse, som är slutgiltig och bindande (281).

(96)

Varje enskild person som har lidit skada till följd av en överträdelse av dataskyddsreglerna kan begära ersättning från EPO med hjälp av de förfaranden som beskrivs i skälen 91–95 (282). EPO kommer inte att hållas ansvarig om den bevisar att den inte var ansvarig för den händelse som orsakade skadan.

(97)

Den rättsliga ram enligt vilken EPO bedömer och besvarar förfrågningar från offentliga myndigheter – i dess fördragsslutande stater och i tredjeländer – om personuppgifter som EPO behandlar följer av EPO:s protokoll om privilegier och immunitet (283), dataskyddsreglernas krav på översändande och överföring av personuppgifter samt folkrätten.

(98)

För det första omfattas EPO:s behandling av personuppgifter inom ramen för dess officiella verksamhet av organisationens immunitet. EPO:s immunitet kompletteras av en skyldighet att samarbeta enligt artikel 20 i protokollet om privilegier och immunitet. Varje begäran från en offentlig myndighet i en fördragsslutande stat om att erhålla uppgifter som behandlas av EPO ska därför bedömas av ordföranden i enlighet med (artikel 20.1) i protokollet om privilegier och immunitet, där det föreskrivs att organisationen alltid ska samarbeta med de behöriga myndigheterna i de fördragsslutande staterna för att underlätta en god rättskipning, säkerställa efterlevnaden av ordningsföreskrifter och folkhälsoföreskrifter, arbetsinspektion eller annan liknande nationell lagstiftning, och för att förhindra missbruk av privilegier, immunitet och lättnader enligt protokollet. I undantagsfall får organisationen upphäva sin immunitet mot rättsliga förfaranden och verkställighet (284). Ordföranden fattar beslut om en begäran om samarbete mot bakgrund av en skönsmässig bedömning av begärans förenlighet med organisationens rättsliga ramar (285). Den kan komma fram till att patentverket kan besvara en begäran enligt protokollet om privilegier och immunitet och endast får lämna ut personuppgifter i enlighet med de krav för översändande av uppgifter som föreskrivs i dataskyddsreglerna (se skälen 62–67). Enligt dataskyddsreglerna måste mottagaren lägga fram bevis för att det är nödvändigt att uppgifterna översänds för ett specifikt ändamål som följer av EPO:s skyldighet att samarbeta med den eller de fördragsslutande staterna (286). Den personuppgiftsansvarige måste för varje översändande kunna visa att ett sådant översändande är nödvändigt och står i proportion till det specifika ändamål för vilket det sker (287). All överföring av uppgifter måste ske på ett sätt som säkerställer att den skyddsnivå som dataskyddsförordningen ger upprätthålls (288). Enligt dataskyddsombudets vägledning innebär detta att det ska finnas lämpliga skyddsåtgärder, däribland säkerställande av att de uppgifter som ska delas måste minimeras och begränsas till vad som är lämpligt, relevant och absolut nödvändigt för det ändamålet (289). Om det finns skäl att anta att den berörda personens rättigheter och friheter kan påverkas måste den personuppgiftsansvarige fastställa att det är proportionellt att översända personuppgifterna för det specifika ändamålet, efter att ha gjort en avvägning mellan olika berörda intressen (290).

(99)

För det andra finns det inget rättsligt instrument som är tillämpligt på EPO som specifikt reglerar hanteringen av begäranden från offentliga myndigheter i tredjeländer (det vill säga som inte är fördragsslutande parter i EPO) om att erhålla uppgifter som behandlas av EPO. Till följd av detta kan ett utlämnande med anledning av en sådan begäran endast ske om kraven för internationella överföringar av uppgifter enligt dataskyddsreglerna (vilket beskrivs i skälen 68–73) är uppfyllda. Det skulle endast vara fallet om ett beslut om adekvat skyddsnivå har antagits för det berörda landet som skulle omfatta överföringen, om lämpliga skyddsåtgärder finns, eller om ett undantag gäller.

(100)

Ordförandens efterlevnad av protokollet om privilegier och immunitet, inbegripet hanteringen av begäranden om samarbete med offentliga myndigheter, övervakas av förvaltningsrådet, medan efterlevnaden av kraven för översändande och överföring av personuppgifter i dataskyddsreglerna är föremål för dataskyddsombudets och dataskyddsstyrelsens tillsyn, vilket beskrivs i skälen 84–88. Enskilda personer kan utnyttja de möjligheter till prövning som beskrivs i skälen 90–96 när det gäller översändande eller överföring av deras personuppgifter i strid med dataskyddsreglerna.

(101)

Kommissionen anser att EPO säkerställer en skyddsnivå för personuppgifter som överförs från unionen som i huvudsak motsvarar den som garanteras genom förordning (EU) 2016/679.

(102)

Mot bakgrund av iakttagelserna i detta beslut bör det beslutas att EPO säkerställer en adekvat skyddsnivå i den mening som avses i artikel 45 i förordning (EU) 2016/679, tolkad mot bakgrund av EU-stadgan om de grundläggande rättigheterna, för personuppgifter som överförs från unionen till EPO.

(103)

Medlemsstaterna och deras organ åläggs att vidta erforderliga åtgärder för att efterleva EU-institutionernas rättsakter, eftersom dessa antas vara giltiga och därmed ha rättsverkan så länge de inte har återkallats eller förklarats ogiltiga enligt en talan om ogiltigförklaring eller till följd av en begäran om förhandsavgörande eller invändning om rättsstridighet.

(104)

Ett beslut om adekvat skyddsnivå som antas av kommissionen enligt artikel 45.3 i förordning (EU) 2016/679 är följaktligen bindande för alla organ i medlemsstaterna som det riktar sig till, också för deras oberoende tillsynsmyndigheter. I synnerhet får överföringar från personuppgiftsansvariga eller personuppgiftsbiträden i unionen till EPO äga rum utan ytterligare tillstånd.

(105)

Det bör erinras om att enligt artikel 58.5 i förordning (EU) 2016/679, och såsom domstolen förklarade i mål C-362/14 (291) ska en nationell dataskyddsmyndighet, även vid klagomål, ifrågasätta huruvida ett kommissionsbeslut om adekvat skyddsnivå är förenligt med den enskildas grundläggande rätt till integritet och skydd av personuppgifter och därför måste den nationella lagstiftningen innehålla ett rättsmedel för att framföra dessa invändningar till en nationell domstol som kan vara skyldig att begära ett förhandsavgörande från EU-domstolen.

(106)

Enligt domstolens rättspraxis, och i enlighet med artikel 45.4 i förordning (EU) 2016/679, bör kommissionen fortlöpande övervaka relevant utveckling i tredjelandet eller den internationella organisationen efter antagandet av ett beslut om adekvat skyddsnivå för att bedöma huruvida landet eller organisationen fortfarande säkerställer en skyddsnivå som i huvudsak motsvarar den i unionen. En sådan kontroll krävs i alla händelser när kommissionen får information som ger upphov till motiverat tvivel i detta hänseende.

(107)

Kommissionen bör därför fortlöpande övervaka situationen när det gäller EPO:s rättsliga ram och den faktiska praxis för behandling av personuppgifter som bedöms i detta beslut. För att underlätta detta förfarande uppmanas EPO att underrätta kommissionen om all väsentlig utveckling som är relevant för detta beslut, när det gäller behandling av personuppgifter och de begränsningar och skyddsåtgärder som gäller myndigheters tillgång till personuppgifter.

(108)

För att kommissionen ska kunna utföra sin övervakningsfunktion på ett effektivt sätt bör medlemsstaterna dessutom informera kommissionen om alla relevanta åtgärder som vidtas av de nationella dataskyddsmyndigheterna, särskilt när det gäller förfrågningar eller klagomål från registrerade i unionen om överföring av personuppgifter från unionen till EPO.

(109)

Vid tillämpningen av artikel 45.3 i förordning (EU) 2016/679, och med tanke på att skyddsnivån i EPO:s rättsliga ram kan bli föremål för ändringar, bör kommissionen, efter antagandet av detta beslut, regelbundet se över huruvida konstaterandena om den adekvata skyddsnivå som säkerställs av EPO fortfarande är sakligt och rättsligt motiverade. Sådana utvärderingar bör äga rum minst vart fjärde år och bör omfatta alla aspekter av hur detta beslut fungerar, däribland hur de relevanta tillsyns- och verkställighetsmekanismerna fungerar.

(110)

För att genomföra översynen bör kommissionen träffa EPO, inbegripet dess dataskyddsombud och dataskyddsstyrelse. Deltagande i mötet bör vara öppet för företrädare för ledamöterna i Europeiska dataskyddsstyrelsen. I samband med översynen bör kommissionen begära att EPO förser den med omfattande information om samtliga aspekter av relevans för konstaterandet om adekvat skyddsnivå. Kommissionen bör också begära klargöranden om de uppgifter som inkommit till den och som är relevanta för detta beslut, däribland från Europeiska dataskyddsstyrelsen, enskilda dataskyddsmyndigheter, grupper i det civila samhället, offentliga rapporter eller medierapporter eller andra tillgängliga informationskällor.

(111)

På grundval av översynen ska kommissionen utarbeta en offentlig rapport som ska överlämnas till Europaparlamentet och rådet.

(112)

Om tillgänglig information, särskilt information från kommissionens övervakning av utveckling som kan påverka hur detta beslut fungerar enligt artikel 45.4 i förordning (EU) 2016/679 eller information från EPO eller medlemsstaternas myndigheter, visar att den skyddsnivå som EPO erbjuder kanske inte längre är adekvat, bör kommissionen informera EPO om detta och begära att lämpliga åtgärder vidtas inom en angiven, rimlig tidsram.

(113)

Om EPO vid utgången av den angivna tidsfristen underlåter att vidta dessa åtgärder eller på annat tillfredsställande sätt visar att detta beslut fortfarande bygger på en adekvat skyddsnivå, kommer kommissionen att inleda det förfarande som avses i artikel 93.2 i förordning (EU) 2016/679 i syfte att helt eller delvis upphäva eller återkalla detta beslut.

(114)

Alternativt kommer kommissionen att inleda förfarandet i syfte att ändra detta beslut, särskilt genom att underställa överföringar av uppgifter ytterligare villkor eller genom att begränsa räckvidden för konstaterandet om adekvat skyddsnivå endast till uppgiftsöverföringar för vilka en adekvat skyddsnivå fortfarande säkerställs.

(115)

Kommissionen bör också överväga att inleda ett förfarande som leder till ändring, upphävande eller återkallande av detta beslut om EPO, inom ramen för översynen eller på annat sätt, underlåter att tillhandahålla den information eller de klargöranden som är nödvändiga för bedömningen av skyddsnivån för personuppgifter vilka överförs från unionen, eller när det gäller efterlevnaden av detta beslut. I det avseendet bör kommissionen beakta i vilken utsträckning de relevanta uppgifterna kan erhållas från andra källor.

(116)

Vid vederbörligen motiverade och tvingande skäl till skyndsamhet kommer kommissionen att utnyttja möjligheten att, i enlighet med det förfarande som avses i artikel 93.3 i förordning (EU) 2016/679, anta genomförandeakter med omedelbar verkan som upphäver, återkallar eller ändrar beslutet.

(117)

Europeiska dataskyddsstyrelsen offentliggjorde sitt yttrande (292), vilket har beaktats vid utarbetandet av detta beslut.

(118)

De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats i enlighet med artikel 93.1 i förordning (EU) 2016/679.