sou · GLB349 · 1998-01-01 00:00:00 — En sådan uppförande- kodex som avses i artikel 27 kan vara ett användbart red- skap för att ge vägledning om hur uppgifter kan göras ano- nyma och behållas i en form som gör det omöjligt att iden- tifiera den registrerade. 27)Enskilda personer skall skyd- das både i samband med auto- matisk databehandling av uppgifterna och i samband med behandling. Omfattningen av detta skydd får inte faktiskt bero på den teknik som används eftersom detta skulle kunna skapa en allvarlig risk för kringgående. När det gäller be- handling omfattar detta direk- tiv endast register och inte ostrukturerade akter. Särskilt innehållet i ett register måste vara strukturerat efter bestäm- da kriterier som avser enskilda personer, för att lätt ge tillgång till personuppgifter. I enlighet med definitionen i artikel 2 c) kan de olika krite- rier som gör det möjligt att fastställa de enskilda delarna av en strukturerad samling personuppgifter och de olika kriterier som reglerar möjlig- heten att få tillgång till en sådan samling utformas av varje medlemsstat. Akter eller grupper av akter liksom dessas omslag, vilka inte är strukture- rade enligt särskilda kriterier, faller inte under några om- ständigheter inom detta direktivs tillämpningsområde. 28)Varje behandling av person- uppgifter måste vara laglig och korrekt gentemot berörda personer. Uppgifterna måste särskilt vara adekvata, rele- vanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Dessa ändamål skall vara uttryckligt angivna, berättigade och bestämda vid tiden för in- samling av uppgifterna. Såda- na ändamål med behandlingen Europeiska gemenskapernas officiella tidning 281 som läggs fast sedan uppgif- terna samlats in får inte vara oförenliga med de ändamål som ursprungligen angavs. 29)behandling av person- uppgifter för historiska, statis- tiska eller vetenskapliga ända- mål kan - förutsatt att med- lemsstaterna ger lämpliga ga- rantier - inte allmänt sett anses oförenliga med de ändamål för vilka uppgifterna tidigare samlades in. Dessa garantier skall särskilt hindra att uppgifterna används för att vidta åtgärder mot eller fatta beslut som rör en viss person. 30)För att vara tillåten skall en behandling av personuppgifter dessutom utföras med den registrerades samtycke eller vara nödvändig för ingåendet eller utförandet av förpliktelser ienlighet med ett avtal som är bindande för den registrerade, eller fordras enligt lagstiftning vid utförandet av något som är idet allmännas intresse eller är ett led i myndighets- utövning eller vara i en fysisk eller juridisk persons intresse förutsatt att skyddet av den registrerades fri- och rättig- heter inte går före. För att särskilt garantera jämvikt mellan de berörda intressena och för att säker- ställa en effektiv konkurrens får medlemsstaterna närmare ange på vilka villkor använd- ning och utlämnande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som av företag och andra organ utövas i deras löpande verksamhet. Medlemsstaterna får även närmare ange på vilka villkor p e r s o n u p p g i f t e r i marknadsföringssyfte får vida- rebefordras till tredje man, oavsett om detta sker kom- mersiellt eller av välgören- hetsorganisationer, föreningar eller stiftelser, exempelvis av politisk karaktär, men förutsatt att regler iakttas som har till syfte att ge den registrerade möjlighet att invända mot att de uppgifter som rör honom behandlas utan att behöva ange sina skäl och utan att åsamkas kostnader för detta. 31)Behandling av personuppgifter måste även anses tillåten när den utförs för att skydda ett intresse som är av avgörande betydelse för den registrerades liv. 32)Det ankommer på den na- lagstiftningen att avgöra om den som ansvarar för en behandling som utförs i det allmännas intresse eller vid myndighetsutövning skall vara en myndighet eller något annat offentligrättsligt eller civil- rättsligt subjekt, såsom exempelvis en yrkesorganisa- tion. 33)Uppgifter som på grund av sin natur kan kränka grundläggan- de fri- och rättigheter eller Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 privatlivets helgd får inte behandlas utan samtycke av den registrerade. Dock måste det finnas en uttrycklig möj- lighet att för att tillgodose särskilda behov, i synnerhet när behandlingen av uppgifter- na utförs för ändamål som har samband med hälso- och sjukvården av personer som är underkastade tystnadsplikt eller för att genomföra be- rättigade åtgärder av vissa föreningar eller stiftelser vilkas syften är att skydda utövningen av vissa grundläg- gande fri- och rättigheter. 34)När det av hänsyn till viktiga allmänna intressen är nöd- vändigt, måste medlemssta- terna kunna avvika från för- budet mot att behandla käns- liga kategorier av uppgifter på sådana områden som exempel- vis folkhälsa och socialskydd, särskilt för att säkerställa kvalitet och lönsamhet när det gäller förfaranden som an- vänds i samband med ansök- ningar om förmåner och tjänster inom sjukförsäkrings- systemet, i samband med vetenskaplig forskning och i samband med offentlig statis- tik. Dock åligger det med- lemsstaterna att sörja för att det finns lämpliga och konkre- ta garantier för att skydda enskilda personers grundläg- gande rättigheter och privatliv. 35)Myndigheters behandling av personuppgifter för officiellt erkända religiösa sammanslut- ningars räkning för att upp- fylla målsättningar som ut- trycks i grundlagen eller folkrätten utförs för att till- godose viktiga samhälleliga intressen. 36)Om det i samband med att allmänna val hålls för att det demokratiska systemet skall fungera är nödvändigt att de politiska partierna i vissa med- lemsstater samlar in uppgifter om enskilda personers politiska uppfattning får be- handling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen, på villkor att bestämmelser om lämpliga garantier föreskrivs. 37)För sådan behandling av personuppgifter som sker för journalistiska ändamål eller konstnärligt eller litterärt ska- pande - särskilt på det audio- visuella området - bör det fastställas undantag från eller begränsningar i förhållande till vissa bestämmelser i detta direktiv så långt detta är nödvändigt för att förena enskilda personers grundläg- gande rättigheter med yttran- defriheten, särskilt den rätt att ta emot och lämna upplys- ningar som särskilt fastslås i artikel 10 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. För att åstadkomma en avvägning mellan de grundläggande fri- Europeiska gemenskapernas officiella tidning 281 och rättigheterna åligger det medlemsstaterna att besluta om nödvändiga undantag och begränsningar såvitt avser de generella åtgärder som har avseende på uppgiftsbehand- lingens berättigande, åtgärder för att vidareföra uppgifter till tredje land och tillsynsmyn- dighetens befogenheter. Detta får dock inte leda till att medlemsstaterna beslutar om undantag från åtgärder som vidtas för att säkerställa be- handlingens säkerhet. Den tillsynsmyndighet som är behörig på området bör ut- rustas med i vart fall vissa befogenheter att utövas efter behandlingen i fråga, exem- pelvis befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myn- digheter. 38)En korrekt behandling av uppgifter förutsätter att de registrerade kan få kännedom om behandlingen och att de - när uppgifter samlas in hos dem - kan få korrekt och full- ständig information med hänsyn till de närmare om- ständigheterna vid insamling- en. 39)I vissa fall rör behandlingen uppgifter som den registeran- svarige inte har samlat in direkt från den registrerade. Vidare kan utlämnande av uppgifter till tredje man vara tillåten även om utlämnandet inte kunde förutses när upp- gifterna samlades in från den registrerade. I samtliga dessa fall skall den registrerade informeras när uppgifterna registreras eller senast när uppgifterna lämnas ut till tredje man. 40)Det är dock inte nödvändigt att ställa detta krav om den registrerade redan känner till informationen. Detta krav behöver inte heller ställas om registreringen eller utläm- nandet uttryckligen regleras i lagstiftningen eller om läm- nande av information till den berörda personen visar sig vara omöjligt eller innebära oproportionerligt stora an- strängningar, vilket skulle kunna vara fallet i samband med behandling för historiska, statistiska eller vetenskapliga ändamål. I detta sammanhang kan antalet registrerade, upp- gifternas ålder och de kom- pensatoriska åtgärder som kan vidtas tas i beaktande. 41)Alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling, för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är till- låten. Av samma anledning måste var och en ha rätt att få reda på den logik som gäller för den automatiska databe- handlingen av uppgifter som rör honom, åtminstone såvitt Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 avser sådana automatiska beslut som avses i artikel 15.1. Denna rättighet får inte kränka affärshemligheten eller upp- hovsrätten, särskilt inte den upphovsrätt som skyddar programvaran. Detta bör dock inte få resultera i att den registrerade nekas all informa- tion. 42)Medlemsstaterna kan av hän- syn till intresset hos den registrerade eller till andras fri- och rättigheter begränsa rätten till tillgång till uppgifter och information. De kan till exempel besluta att tillgång till uppgifter av medicinsk art endast får erhållas genom förmedling av någon som är yrkesmässigt verksam inom hälso- och sjukvården. 43)Rätten till tillgång till uppgif- ter och information samt vissa skyldigheter hos den register- ansvarige kan inskränkas av medlemsstaterna i den utst- räckning som det är nödvän- digt för att skydda till exempel statens säkerhet, försvaret, allmän säkerhet eller viktiga ekonomiska eller finansiella intressen som är av betydelse för en medlemsstat eller för unionen, liksom för brottsut- redningar och åtal och åtgär- der som rör överträdelser av etiska regler som gäller för sådana yrken som särskilt regleras i lagstiftning. På förteckningen över undantag och begränsningar bör upptas de uppgifter för övervakning, tillsyn eller reglering som är nödvändiga på de tre sist- nämnda områdena, nämligen allmän säkerhet, ekonomiska och finansiella intressen samt beivrande av brott. Uppräk- ningen av uppgifter på dessa tre områden påverkar inte undantag eller begränsningar av hänsyn till statens säkerhet och försvaret. 44)För att uppfylla vissa av de nämnda målsättningarna kan medlemsstaterna på grund av bestämmelser i gemenskaps- rätten tvingas att avvika från bestämmelserna i detta direk- tiv om rätten till tillgång till uppgifter, skyldigheten att informera enskilda personer och kvaliteten på uppgifterna. 45)I sådana fall då uppgifter av hänsyn till allmänna intressen, på grund av myndighetsutöv- ning eller av hänsyn till en persons berättigade intressen kan bli föremål för tillåten behandling, skall varje berörd person ändå, på berättigade och avgörande skäl som avser hans särskilda situation, ha rätt att invända mot att uppgifter som rör honom själv be- handlas. Medlemsstaterna har dock möjlighet att anta be- stämmelser av motsatt inne- håll. 46)Skyddet för de registrerades fri- och rättigheter förutsätter såvitt avser behandling av Europeiska gemenskapernas officiella tidning 281 personuppgifter att lämpliga tekniska och organisatoriska åtgärder vidtas både när syste- met för behandlingen utformas och när själva behandlingen sker, särskilt för att garantera säkerheten och för att på så sätt hindra all otillåten be- handling. Det åligger med- lemsstaterna att säkerställa att de registeransvariga respekte- rar dessa åtgärder. Åtgärderna skall garantera en lämplig säkerhetsnivå med hänsyn till den nuvarande utvecklingsni- vån och till kostnaderna för genomförandet under hän- synstagande till de risker som behandlingen innebär och arten av de uppgifter som skall skyddas. 47)När ett meddelande som in- nehåller personuppgifter över- sänds genom förmedling av en organisation för telekommuni- kation eller elektronisk post, vars enda ändamål är att översända sådana meddelan- den, blir det normalt den från vilken meddelandet härrör och inte den person som erbjuder nämnda tjänst som anses ansvara för behandlingen av personuppgifterna. De som erbjuder sådana tjänster kom- mer dock normalt att anses som ansvariga för behand- lingen av de ytterligare per- sonuppgifter som fordras för att tjänsten skall kunna an- vändas. 48)Anmälningsförfarandet är av- sett för att göra en behand- lings syfte och viktigaste egenskaper allmänt kända för att säkerställa att behandlingen sker i enlighet med de na- åtgärder som vidtas för att genomföra detta direk- tiv. 49)För att undvika olämpliga administrativa formaliteter kan medlemsstaterna besluta om undantag från och förenklingar av anmälningsplikten såvitt avser sådana fall då behandlingen sannolikt inte kommer att kränka de berörda personernas fri- och rättig- heter, förutsatt att detta är i överensstämmelse med en åtgärd som vidtagits av en medlemsstat och som särskilt anger begränsningarna. Med- lemsstaterna kan även besluta om undantag och förenklingar i fall då någon som utsetts av den registeransvarige försäkrar sig om att de utförda behand- lingarna inte kommer att kränka de registrerades fri- och rättigheter. Den person som sålunda utsetts att skydda uppgifterna måste - vare sig han är anställd av den regis- teransvarige eller inte - ha möjlighet att utöva sin verk- samhet på ett fullständigt oberoende sätt. 50)Undantag från anmälnings- plikten och förenklad anmälan bör kunna tillåtas särskilt då det är fråga om behandling av Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 uppgifter som endast syftar till att ett register skall föras, som är avsett för att i enlighet med nationell lagstiftning ge all- mänheten information och som är tillgängligt för allmänheten eller var och en som kan styrka att han har ett berättigat intresse. 51)Det förhållandet att den regis- teransvarige omfattas av förenklatanmälningsförfarande eller är undantagen från anmälningsplikt befriar honom inte från de övriga förpliktel- ser som följer av detta direk- tiv. 52)I detta sammanhang måste en efterföljande kontroll från den behöriga myndighetens sida i allmänhet anses som en till- räcklig åtgärd. 53)Vissa typer av behandling - till exempel behandling som har till ändamål att utesluta den berörde från möjligheten att utöva en rättighet, motta en förmån eller ingå ett avtal eller sådan behandling som innebär användning av ny teknik - kan på grund av sin natur, sin omfattning eller sitt ändamål innebära särskilda risker för att de registrerades fri- och rättigheter skall krän- kas. Medlemsstaterna kan om de önskar det precisera dessa risker i sin lagstiftning. 54)Med tanke på omfattningen av den behandling av uppgifter som utförs i samhället torde det antal behandlingar som innebär särskilda risker vara mycket begränsat. Medlems- staterna måste föreskriva att tillsynsmyndigheten eller den som utövar tillsyn i samråd med tillsynsmyndigheten före- tar en förhandskontroll av dessa behandlingar innan de utförs. Sedan en sådan för- handskontroll genomförts får tillsynsmyndigheten i enlighet med den nationella lagstift- ningen som gäller för myn- digheten yttra sig över eller tillåta behandlingen. En sådan kontroll kan även företas som ett led i det nationella parla- mentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd som defini- erar behandlingens art och anger lämpliga skyddsåtgärder. 55)För de fall då den registeran- svarige inte respekterar de registrerades rättigheter måste det i medlemsstatens lagstift- ning finnas möjlighet till rättslig prövning. Personer som lider skada till följd av otillåten behandling skall ha rätt till ersättning av den registeransvarige, vilken kan befrias från skadeståndsansvar om han kan visa att han inte är ansvarig för skadan, särskilt i fall då han kan påvisa att ett fel begåtts av den registrerade eller i fall av force majeure. Sanktioner skall vidtas mot Europeiska gemenskapernas officiella tidning 281 såväl privaträttsliga som offentligrättsliga subjekt som överträder de nationella bestämmelser som antagits för att genomföra detta direktiv. 56)Gränsöverskridande flöden av personuppgifter är nödvändiga för den internationella han- delns utveckling. Det skydd som genom detta direktiv till- försäkras enskilda personer in- om gemenskapen hindrar inte att personuppgifter överförs till sådana tredje länder som garanterar en adekvat skydds- nivå. Frågan om skyddsnivåns adekvans skall bedömas med hänsyn till alla de omständig- heter som har samband med en överföring eller en grupp av överföringar. 57)Om ett tredje land inte garan- terar en adekvat skyddsnivå skall överföring av person- uppgifter till det landet för- bjudas. 58)Undantag från detta förbud skall under vissa omständig- heter kunna medges om den registrerade lämnar sitt sam- tycke, om överföring är nöd- vändig för ett avtal eller ett rättsligt anspråk, när skyddet av väsentliga samhällsintressen kräver det, till exempel vid internationellt utbyte av uppgifter mellan skattemyn- digheter eller tullmyndigheter eller mellan socialförsäkrings- myndigheter eller om över- föringen utförs med utgångs- punkt i ett register som upp- rättats genom lagstiftning och som är avsett att vara till- gängligt för allmänheten eller för personer som har ett berättigat intresse. En sådan överföring bör inte omfatta alla uppgifter eller hela kate- gorier av uppgifter som finns i registret. När registret är avsett att vara tillgängligt för personer med ett berättigat intresse skall överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. 59)Särskilda åtgärder kan vidtas för att uppväga en otillräcklig skyddsnivå i ett tredje land om den registeransvarige ställer lämpliga garantier. Bestäm- melser om förfaranden för förhandling mellan gemen- skapen och tredje land måste antas. 60)Överföring till tredje land får ivilket fall som helst endast utföras i enlighet med bestäm- melser som medlemsstaterna antagit för genomförande av detta direktiv, särskilt artikel 8 61)Medlemsstaterna och kom- missionen måste på sina re- spektive kompetensområden uppmuntra berörda delar av näringslivet att anta uppföran- dekodexar för att underlätta genomförandet av detta direk- tiv med beaktande av de särskilda former av behandling Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 som utförs på vissa områden och med respekt för de nationella bestämmelser som antagits för dess genomföran- de. 62)För skyddet av enskilda perso- ner med avseende på behand- lingen av personuppgifter är det av avgörande betydelse att medlemsstaterna inrättar oberoendetillsynsmyndigheter. 63)Dessa myndigheter måste ges nödvändiga resurser för att utföra sina uppgifter, såsom befogenhet att - särskilt när det gäller klagomål från en- skilda personer - undersöka och intervenera samt befo- genheter att inleda rättsliga förfaranden. De måste även bidra till att garantera insyn i behandlingen av uppgifter i de medlemsstater under vilkas jurisdiktion de hör. 64)Tillsynsmyndigheterna i de olika medlemsstaterna kommer att behöva bistå varandra i samband med utförandet av de uppgifter som åligger dem för att säkerställa att skydds- reglerna respekteras på ett tillfredsställande sätt i hela Europeiska unionen. 65)En arbetsgrupp för skydd av enskilda personer i samband med behandling av person- uppgifter skall inrättas på gemenskapsnivå. Gruppen skall vid utförandet av sina uppgifter vara fullständigt obe- Gruppen skall med hänsyn till sin särskilda karak- tär ge kommissionen råd och bidra till den enhetliga till- lämpningen av de nationella regler som antagits för att genomföra detta direktiv. 66)Med avseende på överföring av uppgifter till tredje land fordrar genomförandet av detta direktiv att kommissionen ges befogenhet att besluta om genomförandet och att ett förfarande i enlighet med riktlinjerna i rådets beslut 87/373/EEG (1) införs. 67)träffa- de , rådet och kommissionen en överen- skommelse om ett modus beträffande genomfö- randeåtgärder för rättsakter som antagits i enlighet med förfarandet i artikel 189b i . 68)De principer för skyddet av enskilda personers fri- och rättigheter, och då särskilt rätten till privatliv, som i detta (1) EGT nr L 197, , s. 33. avseende på behandling av personuppgifter skall för vissa områdens vidkommande kunna kompletteras eller preciseras med hjälp av särskilda bestämmelser som skall över- ensstämma med dessa prin- ciper. Europeiska gemenskapernas officiella tidning 281 69)Medlemsstaterna bör ges en frist på högst räknat från ikraftträdandet av de nationella bestämmelser som antas för att genomföra detta direktiv, så att de stegvis kan tillämpa de nya nationella bestämmelserna på alla sådana behandlingar som redan påbörjats. För att möjliggöra ett kostnadseffek- b e s t ä m m e l s e r s k a l l medlemsstaterna tillåtas att under ytterligare en tidsperiod, som löper ut efter dagen för antagandet av detta direktiv, vidta åtgärder för att säkerställa att då befintliga register bringas i överensstämmelse med vissa av direktivets bestämmelser. Uppgifter som ingår i dessa register och som behandlas manuellt under denna för- längda övergångsperiod skall dock när det är föremål för en ytterligare sådan behandling bringas i överensstämmelse med dessa bestämmelser. 70)Det är inte nödvändigt att den registrerade på nytt lämnar sitt samtycke till att den registe- ransvarige fortsätter att be- handla känsliga uppgifter, när en sådan behandling är nöd- vändig för genomförandet av att avtal som har slutits på grundval av frivilligt och informerat samtycke före dessa bestämmelsers ikraftträ- dande. 71)Detta direktiv hindrar inte en medlemsstat från att anta bestämmelser för att reglera sådan marknadsföring som riktar sig till konsumenter som har hemvist inom dess territorium, förutsatt att dessa regler inte rör skyddet av enskilda personer med avseen- de på behandling av person- uppgifter. 72)Detta direktiv gör det möjligt att vid genomförandet av dessa bestämmelser ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar. Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 1.Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigher särskilt rätten till privatliv, i samband med behandling av personuppgifter. 2.Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet. I detta direktiv avses med a)personuppgifter: varje upplys- ning som avser en identifierad eller identifierbar fysisk per- son (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, eko- nomiska, kulturella eller sociala identitet, b)behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personupp- gifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registre- ring, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, an- vändning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,