sou · GLB339d4 · 1998-01-01 00:00:00 — Medlemssta- terna kan även besluta om undantag och förenklingar i fall då någon som utsetts av den registeransvarige försäkrar sig om att de utförda behandlingarna inte kommer att kränka de registrerades fri- och rättigheter. Den person som sålunda utsetts att skydda uppgifterna måste – vare sig han är anställd av den registeransvarige eller inte – ha möjlighet att utöva sin verksamhet på ett fullständigt oberoende sätt. 50)Undantag från anmälningsplikten och förenklad anmälan bör kunna tillåtas särskilt då det är fråga om behandling av uppgifter som endast syftar till att ett register skall föras, som är avsett för att i enlighet med nationell lagstiftning ge allmänheten information och som är till- gängligt för allmänheten eller var och en som kan styrka att han har ett berättigat intresse. SOU 1997: 39 Bilaga 2: EG-direktivet 735 51)Det förhållandet att den registeransvarige omfattas av förenklat an- mälningsförfarande eller är undantagen från anmälningsplikt befriar honom inte från de övriga förpliktelser som följer av detta direktiv. 52)I detta sammanhang måste en efterföljande kontroll från den behöriga myndighetens sida i allmänhet anses som en tillräcklig åtgärd. 53)Vissa typer av behandling – till exempel behandling som har till än- damål att utesluta den berörde från möjligheten att utöva en rättighet, motta en förmån eller ingå ett avtal eller sådan behandling som inne- bär användning av ny teknik – kan på grund av sin natur, sin omfatt- ning eller sitt ändamål innebära särskilda risker för att de registrera- des fri- och rättigheter skall kränkas. Medlemsstaterna kan om de önskar det precisera dessa risker i sin lagstiftning. 54)Med tanke på omfattningen av den behandling av uppgifter som ut- förs i samhället torde det antal behandlingar som innebär särskilda risker vara mycket begränsat. Medlemsstaterna måste föreskriva att tillsynsmyndigheten eller den som utövar tillsyn i samråd med till- synsmyndigheten företar en förhandskontroll av dessa behandlingar innan de utförs. Sedan en sådan förhandskontroll genomförts får till- synsmyndigheten i enlighet med den nationella lagstiftningen som gäller för myndigheten yttra sig över eller tillåta behandlingen. En så- dan kontroll kan även företas som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd som definierar behandlingens art och anger lämpliga skyddsåtgärder. 55)För de fall då den registeransvarige inte respekterar de registrerades rättigheter måste det i medlemsstatens lagstiftning finnas möjlighet till rättslig prövning. Personer som lider skada till följd av otillåten behandling skall ha rätt till ersättning av den registeransvarige, vilken kan befrias från skadeståndsansvar om han kan visa att han inte är an- svarig för skadan, särskilt i fall då han kan påvisa att ett fel begåtts av den registrerade eller i fall av force majeure. Sanktioner skall vidtas mot såväl privaträttsliga som offentligrättsliga subjekt som överträder de nationella bestämmelser som antagits för att genomföra detta di- rektiv. 56)Gränsöverskridande flöden av personuppgifter är nödvändiga för den internationella handelns utveckling. Det skydd som genom detta di- rektiv tillförsäkras enskilda personer inom gemenskapen hindrar inte att personuppgifter överförs till sådana tredje länder som garanterar en adekvat skyddsnivå. Frågan om skyddsnivåns adekvans skall be- dömas med hänsyn till alla de omständigheter som har samband med en överföring eller en grupp av överföringar. 736 Bilaga 2: EG-direktivet SOU 1997: 39 57)Om ett tredje land inte garanterar en adekvat skyddsnivå skall över- föring av personuppgifter till det landet förbjudas. 58)Undantag från detta förbud skall under vissa omständigheter kunna medges om den registrerade lämnar sitt samtycke, om överföring är nödvändig för ett avtal eller ett rättsligt anspråk, när skyddet av vä- sentliga samhällsintressen kräver det, till exempel vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter eller mellan socialförsäkringsmyndigheter eller om överföringen ut- förs med utgångspunkt i ett register som upprättats genom lagstiftning och som är avsett att vara tillgängligt för allmänheten eller för perso- ner som har ett berättigat intresse. En sådan överföring bör inte om- fatta alla uppgifter eller hela kategorier av uppgifter som finns i re- gistret. När registret är avsett att vara tillgängligt för personer med ett berättigat intresse skall överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. 59)Särskilda åtgärder kan vidtas för att uppväga en otillräcklig skydds- nivå i ett tredje land om den registeransvarige ställer lämpliga garan- tier. Bestämmelser om förfaranden för förhandling mellan gemenska- pen och tredje land måste antas. 60)Överföring till tredje land får i vilket fall som helst endast utföras i enlighet med bestämmelser som medlemsstaterna antagit för genom- förande av detta direktiv, särskilt artikel 8 i detta. 61)Medlemsstaterna och kommissionen måste på sina respektive kompe- tensområden uppmuntra berörda delar av näringslivet att anta uppfö- randekodexar för att underlätta genomförandet av detta direktiv med beaktande av de särskilda former av behandling som utförs på vissa områden och med respekt för de nationella bestämmelser som antagits för dess genomförande. 62)För skyddet av enskilda personer med avseende på behandlingen av personuppgifter är det av avgörande betydelse att medlemsstaterna in- rättar oberoende tillsynsmyndigheter. 63)Dessa myndigheter måste ges nödvändiga resurser för att utföra sina uppgifter, såsom befogenhet att – särskilt när det gäller klagomål från enskilda personer – undersöka och intervenera samt befogenheter att inleda rättsliga förfaranden. De måste även bidra till att garantera in- syn i behandlingen av uppgifter i de medlemsstater under vilkas ju- risdiktion de hör. 64)Tillsynsmyndigheterna i de olika medlemsstaterna kommer att behöva bistå varandra i samband med utförandet av de uppgifter som åligger dem för att säkerställa att skyddsreglerna respekteras på ett tillfreds- ställande sätt i hela Europeiska unionen. SOU 1997: 39 Bilaga 2: EG-direktivet 737 65)En arbetsgrupp för skydd av enskilda personer i samband med be- handling av personuppgifter skall inrättas på gemenskapsnivå. Gruppen skall vid utförandet av sina uppgifter vara fullständigt obe- roende. Gruppen skall med hänsyn till sin särskilda karaktär ge kommissionen råd och bidra till den enhetliga tillämpningen av de nationella regler som antagits för att genomföra detta direktiv. 66)Med avseende på överföring av uppgifter till tredje land fordrar ge- nomförandet av detta direktiv att kommissionen ges befogenhet att besluta om genomförandet och att ett förfarande i enlighet med rikt- linjerna i rådets beslut 87/373/EEG(1) införs. 67)träffade , rådet och kommissionen en överenskommelse om ett modus be- träffande genomförandeåtgärder för rättsakter som antagits i enlighet med förfarandet i artikel 189b i . 68)De principer för skyddet av enskilda personers fri- och rättigheter, och då särskilt rätten till privatliv, som i detta direktiv uppställs med avseende på behandling av personuppgifter skall för vissa områdens vidkommande kunna kompletteras eller preciseras med hjälp av sär- skilda bestämmelser som skall överensstämma med dessa principer. 69)Medlemsstaterna bör ges en frist på högst räknat från ikraftträ- dandet av de nationella bestämmelser som antas för att genomföra detta direktiv, så att de stegvis kan tillämpa de nya nationella be- stämmelserna på alla sådana behandlingar som redan påbörjats. För att möjliggöra ett kostnadseffektivt genomförande av dessa be- stämmelser skall medlemsstaterna tillåtas att under ytterligare en tids- period, som löper ut efter dagen för antagandet av detta direk- tiv, vidta åtgärder för att säkerställa att då befintliga register bringas i överensstämmelse med vissa av direktivets bestämmelser. Uppgifter som ingår i dessa register och som behandlas manuellt un- der denna förlängda övergångsperiod skall dock när det är föremål för en ytterligare sådan behandling bringas i överensstämmelse med dessa bestämmelser. 70)Det är inte nödvändigt att den registrerade på nytt lämnar sitt sam- tycke till att den registeransvarige fortsätter att behandla känsliga uppgifter, när en sådan behandling är nödvändig för genomförandet av att avtal som har slutits på grundval av frivilligt och informerat samtycke före dessa bestämmelsers ikraftträdande. 71)Detta direktiv hindrar inte en medlemsstat från att anta bestämmelser för att reglera sådan marknadsföring som riktar sig till konsumenter (1) EGT nr L 197 av den , s. 33. 738 Bilaga 2: EG-direktivet SOU 1997: 39 som har hemvist inom dess territorium, förutsatt att dessa regler inte rör skyddet av enskilda personer med avseende på behandling av per- sonuppgifter. 72)Detta direktiv gör det möjligt att vid genomförandet av dessa be- stämmelser ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar. HÄRIGENOM FÖRESKRIVS FÖLJANDE. 1.Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska per- soners grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. 2.Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet. I detta direktiv avses med a)personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet, b)behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, or- ganisering, lagring, bearbetning eller ändring, återvinning, inhäm- tande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkör- ning, blockering, utplåning eller förstöring, SOU 1997: 39 Bilaga 2: EG-direktivet 739 c)register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grund- val av funktionella eller geografiska förhållanden, d)registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen be- stäms av nationella lagar och andra författningar eller av gemenskaps- rätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten, e)registerförare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning, f)tredje man: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ än den registrerade, den regis- teransvarige, registerföraren och de personer som under den regis- teransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna, g)mottagare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ till vilket uppgifterna utlämnas, vare sig det är en tredje man eller inte. Myndigheter som kan komma att motta uppgifter inom ramen för ett särskilt uppdrag skall dock inte betraktas som mottagare, h)den registrerades samtycke: varje slag av frivillig, särskild och infor- merad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom. 1.Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än auto- matisk av personuppgifter som ingår i eller kommer att ingå i ett register. 2.Detta direktiv gäller inte för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskaps- rätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några om- ständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen 740 Bilaga 2: EG-direktivet SOU 1997: 39 har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område, av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll. Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personupp- gifter när a)behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeran- svarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen, b)den registeransvarige inte är etablerad inom en medlemsstats territo- rium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten, c)den registeransvarige inte är etablerad på gemenskapens territorium och för behandling av personuppgifter använder databehandlad eller icke databehandlad utrustning som befinner sig på den nämnda med- lemsstatens territorium, om inte sådan utrustning endast används för att låta uppgifter passera genom gemenskapen. Under de omständigheter som avses i punkt 1 c) måste den regis- teransvarige utse en företrädare som är etablerad inom den berörda med- lemsstatens territorium, utan att detta i övrigt påverkar de eventuella rätts- liga åtgärder som kan komma att inledas mot den ansvarige själv. ALLMÄNNA BESTÄMMELSER OM NÄR PERSONUPPGIFTER Medlemsstaterna skall inom de begränsningar som bestämmelserna i detta kapitel innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. SOU 1997: 39 Bilaga 2: EG-direktivet 741 PRINCIPER OM UPPGIFTERNAS KVALITET Medlemsstaterna skall föreskriva att personuppgifter a)skall behandlas på ett korrekt och lagligt sätt, b)skall samlas in för särskilda, uttryckligt angivna och berättigade än- damål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. behandling av uppgifter för historiska, statis- tiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder, c)skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas, d)skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas, e)förvaras på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Med- lemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgif- ter som lagras för historiska, statistiska eller vetenskapliga ändamål. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs. PRINCIPER SOM GÖR ATT UPPGIFTSBEHANDLING KAN Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om a)den registrerade otvetydigt har lämnat sitt samtycke, eller b)behandlingen är nödvändig för att fullgöra ett avtal i vilket den regist- rerade är part eller för att vidta åtgärder på begäran av den registre- rade innan ett sådant avtal ingås, eller 742 Bilaga 2: EG-direktivet SOU 1997: 39 c)behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller d)behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade, eller e)behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut, eller f)behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1. Behandlingen av särskilda kategorier av uppgifter 1.Medlemsstaterna skall förbjuda behandling av personuppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. 2.Punkt 1 gäller inte om a)den registrerade har lämnat sitt uttryckliga samtycke till en sådan be- handling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades sam- tycke, eller b)behandlingen är nödvändig för att fullgöra de skyldigheter och sär- skilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder, eller c)behandlingen är nödvändig för att skydda den registrerades eller nå- gon annan persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke, eller d)behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att be- handlingen endast rör sådana organs medlemmar eller personer som SOU 1997: 39 Bilaga 2: EG-direktivet 743 på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades sam- tycke, eller e)behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. 3.Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt. 4.Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lag- stiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2. 5.Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller sä- kerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella be- stämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kon- troll av en myndighet. Medlemsstaterna får föreskriva att uppgifter som rör administrativa sank- tioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. 6.De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen. 7.Medlemsstaterna skall bestämma på vilka villkor ett nationellt identifi- kationsnummer eller något annat vedertaget sätt för identifiering får be- handlas. 744 Bilaga 2: EG-direktivet SOU 1997: 39 Behandling av personuppgifter och yttrandefriheten Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. INFORMATIONSPLIKT TILL DEN REGISTRERADE Information vid insamling av uppgifter från den registrerade Medlemsstaterna skall föreskriva att den registeransvarige eller hans före- trädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till infor- mationen: a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med den behandling för vilken uppgifterna är avsedda. c)All ytterligare information, exempelvis mottagarna eller de kategorier som mottar uppgifterna, huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara, förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Information när uppgifterna inte har samlats in från den registrerade Om uppgifterna inte har samlats in från den registrerade, skall med- lemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än då uppgifterna SOU 1997: 39 Bilaga 2: EG-direktivet 745 först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen: a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med behandlingen. c)All ytterligare information, exempelvis de kategorier av uppgifter som behandlingen gäller, mottagarna eller de kategorier som mottar uppgifterna, förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. DEN REGISTRERADES RÄTT ATT FÅ TILLGÅNG TILL Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige a)utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkate- gorierna till vilka uppgifterna utlämnas, få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer,