sou · GLB339d4 · 1998-01-01 00:00:00 — få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser så- dana automatiska beslut som avses i artikel 15.1, 746 Bilaga 2: EG-direktivet SOU 1997: 39 b)i förekommande fall få sådana uppgifter som inte behandlats i enlig- het med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga, c)få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller inne- bär en oproportionerligt stor ansträngning. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yr- ken, e)ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, f)en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen, g)skydd av den registrerades eller andras fri- och rättigheter. Under förutsättning av lämpliga rättsliga garantier får medlemsstaterna, i synnerhet om uppgifterna inte används för åtgärder eller beslut som avser särskilda registrerade personer, i fall då det uppenbarligen inte föreligger någon risk att den berörda personens privatliv kränks, genom lagstiftning begränsa de rättigheter som anges i artikel 12 när uppgifterna endast be- handlas för ändamål som har med vetenskaplig forskning att göra eller när uppgifterna endast lagras i form av personuppgifter som inte överstiger den tid som är nödvändig för att framställa statistik. SOU 1997: 39 Bilaga 2: EG-direktivet 747 DEN REGISTRERADES RÄTT ATT GÖRA INVÄNDNINGAR Den registrerades rätt att göra invändningar Medlemsstaterna skall tillförsäkra den registrerade rätten att a)åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter, b)efter anmodan och utan kostnader motsätta sig behandling av person- uppgifter som rör honom och som den registeransvarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring, eller att bli informerad innan personuppgifter läm- nas ut till tredje man eller används för tredje mans räkning för ända- mål som rör direkt marknadsföring, och att uttryckligen få erbjudande om att utan kostnader motsätta sig ett sådant utlämnande eller sådan användning. Medlemsstaterna skall vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till den rättighet som anges i första stycket i b). 1.Medlemsstaterna skall ge varje person rätten att inte bli föremål för ett beslut som har rättsliga följder för honom eller som märkbart påverkar ho- nom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom, exempelvis hans arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. 2.Om inte annat följer av övriga bestämmelser i detta direktiv skall med- lemsstaterna föreskriva att en person får bli föremål för ett beslut av det slag som avses i punkt 1 om beslutet a)fattas som ett led i ingåendet eller fullgörandet av ett avtal, förutsatt att den registrerades begäran om ingående eller fullgörande av avtalet har bifallits eller att det vidtas lämpliga åtgärder för att skydda hans 748 Bilaga 2: EG-direktivet SOU 1997: 39 berättigade intressen, exempelvis möjligheten för honom att göra sin uppfattning gällande, eller b)tillåts i lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen. SEKRETESS OCH SÄKERHET VID BEHANDLING Den som utför arbete under den registeransvarige eller registerföraren, lik- som registerföraren själv, och som får tillgång till personuppgifter, får be- handla dem endast enligt instruktion från den registeransvarige, om han inte är skyldig att göra det enligt lag. Medlemsstaterna skall föreskriva att den registeransvarige skall genom- föra lämpliga tekniska och organisatoriska åtgärder för att skydda person- uppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen inne- fattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas. Medlemsstaterna skall föreskriva att den registeransvarige, när behand- lingen utförs för dennes räkning, skall välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de orga- nisatoriska åtgärder som måste vidtas och tillse att dessa åtgärder genom- förs. SOU 1997: 39 Bilaga 2: EG-direktivet 749 När uppgifter behandlas av en registerförare skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande handling mellan registerföraren och den registeransvarige och i handlingen skall särskilt föreskrivas att registerföraren endast får handla på instruktioner från den register- ansvarige, de skyldigheter som anges i punkt 1, såsom de definieras i lagstift- ningen i den medlemsstat i vilken registerföraren är etablerad, även skall åvila registerföraren. För att säkra bevisning skall de delar av avtalet eller den rättsligt bin- dande handlingen som rör skyddet av uppgifter och de krav som rör åtgär- der som anges i punkt 1 föreligga i skriftlig eller därmed jämförlig form. 1.Medlemsstaterna skall föreskriva att den registeransvarige eller hans eventuella företrädare före genomförandet av en behandling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade ändamål skall underrätta den till- synsmyndighet som avses i artikel 28. 2.Medlemsstaterna får endast i följande fall och på följande villkor före- skriva om undantag från anmälningsplikten eller förenklad anmälnings- Om medlemsstaten för de typer av behandling, i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks, anger behandlingens ända- mål, vilka uppgifter eller kategorier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mot- tagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras och/eller om den registeransvarige i enlighet med den nationella lagstiftning som gäller för denne, utser ett uppgiftsskyddsombud, som särskilt skall ha till uppgift att på ett oberoende sätt säkerställa den interna tillämpningen av de nationella bestämmelser som antagits till följd av detta direktiv, 750 Bilaga 2: EG-direktivet SOU 1997: 39 att föra ett register över de behandlingar som utförs av den regis- teransvarige, vilket register skall innehålla den information som nämns i artikel 21.2, för att på detta sätt säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av behandlingarna. 3.Medlemsstaterna får föreskriva att punkt 1 inte skall gälla för en sådan behandling vars enda syfte är förandet av ett register, som enligt lagar eller andra författningar är avsett att förse allmänheten med information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. 4.Medlemsstaterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande för sådan behandling som avses i arti- kel 8.2 d). 5.Medlemsstaterna får föreskriva att vissa eller alla icke-automatiska be- handlingar av personuppgifter skall anmälas eller att ett förenklat anmäl- ningsförfarande skall gälla för dem. Medlemsstaterna skall precisera vilka uppgifter som anmälan skall inne- hålla. Den skall åtminstone innehålla a)den registeransvariges och dennes eventuella företrädares namn och adress, b)ändamålen med behandlingen, c)en beskrivning av den eller de kategorier av registrerade som berörs och av de uppgifter eller kategorier av uppgifter som hänför sig till dem, d)mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, e)föreslagna överföringar av uppgifter till tredje land, f)en allmän beskrivning som gör det möjligt att preliminärt bedöma lämpligheten av de åtgärder som i enlighet med artikel 17 vidtagits för att trygga säkerheten i behandlingen. Medlemsstaterna skall ange villkoren för anmälan till tillsynsmyndighe- ten av förändringar som rör den i punkt 1 angivna informationen. SOU 1997: 39 Bilaga 2: EG-direktivet 751 1.Medlemsstaterna skall bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter och skall säker- ställa att dessa behandlingar kontrolleras innan de påbörjas. 2.Sådana förhandskontroller skall utföras av tillsynsmyndigheten när den mottagit anmälan från den registeransvarige eller från uppgiftsskyddsom- budet, som i tveksamma fall skall rådfråga tillsynsmyndigheten. 3.Medlemsstaterna kan också utföra sådana kontroller som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd, som definierar behandlingens art och anger lämpliga skyddsåtgärder. 1.Medlemsstaterna skall vidta åtgärder för att tillse att behandlingarna görs offentligt tillgängliga. 2.Medlemsstaterna skall föreskriva att tillsynsmyndigheten skall föra ett register över sådana behandlingar som har anmälts i enlighet med artikel Registret skall innehålla åtminstone den information som anges i artikel 19.1 a)–e). Registret skall vara allmänt tillgängligt. För sådan behandling som inte omfattas av anmälningsplikt skall med- lemsstaterna föreskriva att de registeransvariga eller något annat organ, som medlemsstaterna utser, på lämpligt sätt skall tillhandahålla var och en som begär det åtminstone den information som anges i artikel 19.1 a)–e). Medlemsstaterna får föreskriva att denna bestämmelse inte skall tillämpas på sådan behandling vars enda ändamål är att föra ett register, som i enlig- het med lagar eller andra författningar är avsett att ge allmänheten infor- mation och som är tillgängligt för allmänheten eller för var och en som kan styrka ett berättigat intresse. 752 Bilaga 2: EG-direktivet SOU 1997: 39 RÄTTSLIG PRÖVNING, ANSVAR OCH SANKTIONER Medlemsstaterna skall – utan att det påverkar möjligheten att utnyttja nå- got administrativt förfarande, till exempel vid den tillsynsmyndighet som avses i artikel 28, som kan användas innan ett ärende anhängiggörs hos en rättslig instans – föreskriva att var och en har rätt att föra talan inför dom- stol om sådana kränkningar av rättigheter som skyddas av den nationella lagstiftning som är tillämplig på ifrågavarande behandling. 1.Medlemsstaterna skall föreskriva att var och en som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av detta direktiv, har rätt till ersättning av den registeransvarige för den skada som han har lidit. 2.Den registeransvarige kan helt eller delvis undgå detta ansvar om han bevisar att han inte är ansvarig för den händelse som orsakade skadan. Medlemsstaterna skall anta lämpliga bestämmelser för att säkerställa att detta direktiv genomförs fullständigt och skall särskilt besluta om de sank- tioner som skall användas vid överträdelse av de bestämmelser som anta- gits för att genomföra detta direktiv. SOU 1997: 39 Bilaga 2: EG-direktivet 753 ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND 1.Medlemsstaterna skall föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas efter överfö- ring till tredje land endast får ske om ifrågavarande tredje land – utan att detta påverkar tillämpningen av de nationella bestämmelser som antagits till följd av de andra bestämmelserna i detta direktiv – säkerställer en ade- kvat skyddsnivå. 2.Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varak- tighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land lik- som de regler för yrkesverksamhet och säkerhet som gäller där. 3.Medlemsstaterna och kommissionen skall informera varandra när de an- ser att ett tredje land inte erbjuder en adekvat skyddsnivå enligt punkt 2. 4.Om kommissionen i enlighet med ett sådant förfarande som beskrivs i artikel 31.2 finner att ett tredje land inte erbjuder en sådan adekvat skyddsnivå som beskrivs i punkt 2 i denna artikel, skall medlemsstaterna vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till ifrågavarande tredje land. 5.Vid lämpligt tillfälle skall kommissionen inleda förhandlingar för att avhjälpa den situation som uppstått när kommissionen kommit till den slutsats som anges i punkt 4. 6.Kommissionen kan, i enlighet med det i artikel 31.2 angivna förfarandet, konstatera att ett tredje land genom sin interna lagstiftning eller på grund av de internationella förpliktelser som – särskilt till följd av sådana för- handlingar som anges i punkt 5 och som gäller skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – åligger landet har 754 Bilaga 2: EG-direktivet SOU 1997: 39 en skyddsnivå som är adekvat i den mening som avses i punkt 2 i denna artikel. Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Med undantag från artikel 25 skall medlemsstaterna – om det inte finns tvingande regler om detta i deras lagstiftning – föreskriva att överföring av personuppgifter till ett tredje land som inte har en adekvat skyddsnivå i den mening som avses i artikel 25.2 får ske om a)den registrerade otvetydigt har samtyckt till den planerade överför- ingen, eller b)överföringen är nödvändig för att fullgöra ett avtal mellan den regist- rerade och den registeransvarige eller för att på den registrerades be- gäran genomföra åtgärder som vidtas innan avtalet ingås, eller c)överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den registeransvarige och tredje man i den registrerades intresse, eller d)överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk, eller e)överföringen är nödvändig för att skydda intressen som är av avgö- rande betydelse för den registrerade, eller f)överföringen görs från ett offentligt register som enligt lagar eller andra författningar är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstiftningen angivna villkoren för tillgänglighet uppfylls i det enskilda fallet. 2.Utan att detta påverkar tillämpningen av punkt 1 får en medlemsstat til? ?låta överföring av personuppgifter till ett tredje land som inte säkerställer en skyddsnivå som är adekvat enligt artikel 25.2, om den registeransvarige ställer tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av motsvarande rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausuler. 3.Medlemsstaten skall informera kommissionen och de övriga medlems- staterna om de överföringar som tillåtits enligt punkt 2. SOU 1997: 39 Bilaga 2: EG-direktivet 755 Om en medlemsstat eller kommissionen på grunder som är berättigade med hänsyn till skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter gör en invändning skall kommissionen vidta lämpliga åtgärder i enlighet med det förfarande som avses i artikel 31.2. Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Om kommissionen i enlighet med det förfarande som anges i artikel 31.2 beslutar att vissa standardavtalsklausuler erbjuder tillräckliga garantier enligt punkt 2, skall medlemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut. 1.Medlemsstaterna och kommissionen skall uppmuntra utarbetande av uppförandekodexar som – med beaktande av de särskilda förhållandena på olika områden – skall bidra till att på ett riktigt sätt genomföra de natio- nella bestämmelser som medlemsstaterna antar för att genomföra detta di- rektiv. 2.Medlemsstaterna skall föreskriva att branschorganisationer eller andra organ som företräder andra kategorier av registeransvariga, som har upp- rättat förslag till nationella kodexar eller som avser att ändra eller utöka existerande nationella kodexar, kan lägga fram dessa för bedömning av den nationella myndigheten. Medlemsstaterna skall föreskriva att denna myndighet bland annat skall kontrollera att de förslag som har lagts fram för myndigheten är i överens- stämmelse med de nationella bestämmelser som antagits till följd av detta direktiv. Om myndigheten anser det lämpligt skall den inhämta synpunkter från de registrerade eller deras företrädare. Förslag till gemenskapskodexar och förslag till ändringar eller tillägg till existerande sådana kodexar kan läggas fram för den arbetsgrupp som avses i artikel 29. Denna arbetsgrupp skall bland annat avgöra om de förslag som lagts fram för gruppen är i överensstämmelse med de nationella be- stämmelser som antagits för att genomföra detta direktiv. 756 Bilaga 2: EG-direktivet SOU 1997: 39 ser det lämpligt skall den inhämta synpunkter från de registrerade eller de- ras företrädare. Kommissionen kan tillse att de kodexar som godkänts av arbetsgruppen offentliggörs på lämpligt sätt. TILLSYNSMYNDIGHET OCH ARBETSGRUPP FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ BEHANDLINGEN AV PERSONUPPGIFTER Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv. Dessa myndigheter skall fullständigt oberoende utöva de uppgifter som åläggs dem. 2.Varje medlemsstat skall tillse att tillsynsmyndigheten hörs när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda perso- ners fri- och rättigheter med avseende på behandlingen av personuppgifter. 3.Varje tillsynsmyndighet skall särskilt ha undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen, effektiva befogenheter att ingripa, som till exempel att kunna avge yttranden i enlighet med artikel 20 innan en behandling äger rum, och se till att sådana yttranden i lämplig omfattning offentliggörs, att kunna besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling, att kunna ge den registeransvarige varning eller tillrättavisning eller att kunna hänvisa saken till nationella parlament eller till andra politiska institutioner, befogenhet att inleda rättsliga förfaranden när de nationella be- stämmelser som antagits till följd av detta direktiv har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol. SOU 1997: 39 Bilaga 2: EG-direktivet 757 Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättig- heter med avseende på behandling av personuppgifter. Den berörda perso- nen skall informeras om vilka följder hans begäran har fått. Var och en kan i samband med tillämpningen av de nationella bestämmel- ser som har antagits med stöd av artikel 13 i detta direktiv till tillsyns- myndigheten ge in en begäran om att få kontrollera om en behandling är tillåten. Den berörda personen skall informeras om vilka följder hans begä- ran har fått. 5.Varje tillsynsmyndighet skall regelbundet upprätta en rapport om sin verksamhet. Denna rapport skall offentliggöras. 6.En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen, behörighet att inom sin egen medlemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter. De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar information. Medlemsstaterna skall föreskriva att tillsynsmyndighetens ledamöter och personal, även sedan deras anställning upphört, skall ha tystnadsplikt med avseende på förtrolig information som de har tillgång till. Arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter En arbetsgrupp för skydd av enskilda med avseende på behandling av personuppgifter, hädanefter kallad arbetsgruppen inrättas härmed. Arbetsgruppen skall vara rådgivande och oberoende. Arbetsgruppen skall vara sammansatt av en företrädare för den eller de tillsynsmyndigheter som utsetts av varje medlemsstat, av en företrädare för den eller de myndigheter som har inrättats för gemenskapens institutioner och organ samt av en företrädare för kommissionen. 758 Bilaga 2: EG-direktivet SOU 1997: 39 Varje medlem av arbetsgruppen skall utses av den institution eller av den eller de myndigheter som han företräder. När en medlemsstat har fler till- synsmyndigheter än en, skall dessa utse en gemensam företrädare. Det- samma skall gälla för de myndigheter som inrättats för gemenskapens in- stitutioner och organ. 3.Arbetsgruppen skall fatta beslut med enkel majoritet av tillsynsmyndig- heternas företrädare. 4.Arbetsgruppen skall välja sin ordförande. Ordförandens mandattid skall vara . Mandatet kan förlängas. 5.Arbetsgruppens sekretariatsuppgifter skall ombesörjas av kommissio- nen. 6.Arbetsgruppen skall själv fastställa sin arbetsordning. 7.Arbetsgruppen skall behandla frågor som förts upp på dess dagordning av ordföranden, antingen på dennes eget initiativ eller på begäran av en företrädare för tillsynsmyndigheterna eller för kommissionen. a)utreda varje fråga som rör tillämpningen av de nationella bestämmel- ser som antagits för genomförandet av detta direktiv, för att bidra till en enhetlig tillämpning av bestämmelserna, b)yttra sig till kommissionen om skyddsnivån inom gemenskapen och i tredje land, c)ge kommissionen råd om varje föreslagen ändring av detta direktiv, om vilka ytterligare eller särskilda åtgärder som bör vidtas för att skydda fysiska personers fri- och rättigheter med avseende på be- handling av personuppgifter och om alla andra föreslagna gemen- skapsåtgärder som rör sådana fri- och rättigheter,