sou · GLB339d1 · 1998-01-01 00:00:00 — I kommissionens förklaring anges som ett exempel på fall där regeln om en serie av behandlingar kan användas att det kan räcka med en enda anmälan för alla behandlingar som rör handhavandet av lån vid ett kreditinstitut; anmälan kan då inkludera registrering av ansökan, undersökning av den, beviljandet av den, krav avseende förfallna skulder och övervakandet av vidtagna rättsliga åtgärder. SOU 1997: 39 EG-direktivet om personuppgifter 147 När det gäller icke automatiska behandlingar av personuppgifter är det til? ?låtet för medlemsstaterna att föreskriva att vissa eller alla sådana be- handlingar skall anmälas eller att ett förenklat anmälningsförfarande skall gälla för dem (artikel 18.5). Medlemsstaterna skall precisera vilka uppgifter som anmälan skall inne- hålla (artikel 19.1). Det sägs inte uttryckligen att anmälan skall vara skrift- lig, men den skall innehålla åtminstone uppgifter i följande hänseenden. N Den registeransvariges eller dennes eventuella företrädares namn och adress. N Ändamålen med behandlingen. N En beskrivning av den eller de kategorier av registrerade som berörs. N En beskrivning av de uppgifter eller kategorier av uppgifter som hänför sig till de registrerade som berörs. N Mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut. N Föreslagna överföringar av uppgifter utanför gemenskapen. N En allmän beskrivning som gör det möjligt att preliminärt bedöma lämp- ligheten av de åtgärder som i enlighet med artikel 17 har vidtagits för att trygga säkerheten i behandlingen. Medlemsstaterna skall vidare ange villkoren för anmälan till tillsynsmyn- digheten av förändringar som rör den nämnda informationen (artikel 19.2). I kommissionens förklaring anges, som exempel på uppgift om den eller de kategorier av registrerade som berörs, företagets kunder, företagets personal eller mottagarna av en viss social förmån. 3.13.3Möjlighet till undantag från och förenklingar av anmälningsproceduren I artikel 18.2 räknas det upp i vilka två fall och på vilka villkor medlems- staterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande. Andra undantag är inte tillåtna. Dock finns det i ar- tikel 18.3–4 bestämmelser om möjlighet till särskilda undantag för vissa typer av behandlingar, nämligen förandet av ett författningsreglerat regis- ter för allmänheten och icke vinstdrivande organs behandling av känsliga personuppgifter. 148 EG-direktivet om personuppgifter SOU 1997: 39 I punkt 51 i ingressen betonas att det förhållandet att en registeransva- rig omfattas av ett förenklat anmälningsförfarande eller är undantagen från anmälningsplikt inte befriar honom eller henne från de övriga förpliktelser som följer av direktivet. Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar om undantag utarbetas. 3.13.3.2Om det inte är sannolikt att rättigheter kränks Den första möjligheten till undantag gäller de typer av behandling i sam- band med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks. För att undantag skall få göras krävs att medlemsstaterna för dessa typer av behandling an- ger N behandlingens ändamål, N vilka uppgifter eller kategorier av uppgifter som behandlas, N vilka registrerade eller kategorier av registrerade som avses, N till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut och N hur länge uppgifterna skall bevaras. I kommissionens förklaring och reviderade direktivförslag angavs som ex- empel på typer av behandling som kan undantas N framställning av korrespondens, N framställning av promemorior (papers), N uppfyllandet av rättsliga förpliktelser eller skyldigheter avseende bokfö- ring, skatt eller socialförsäkring, N beräkning av lön och andra förmåner för personalen vid ett offentligt or- gan eller ett privat företag, N vissa typer av behandling för vetenskapliga forskningsändamål och N vissa behandlingar avseende patientjournaler som förs av sjukvårdsper- sonal eller liknande. SOU 1997: 39 EG-direktivet om personuppgifter 149 3.13.3.3När ett uppgiftsskyddsombud har utsetts Den andra möjligheten till undantag gäller när den registeransvarige, i en- lighet med den nationella lagstiftning som gäller för honom eller henne, har utsett ett uppgiftsskyddsombud. Uppgiftsskyddsombudet skall ha till uppgift N att på ett oberoende sätt säkerställa den interna tillämpningen av de na- bestämmelser som har antagits till följd av direktivet och N att föra ett register över de behandlingar som utförs av den registeran- svarige, vilket register skall innehålla de obligatoriska uppgifter som en anmälan skall innehålla (se avsnitt 3.13.2), med undantag för beskriv- ning av de säkerhetsåtgärder som har vidtagits.81 Uppgiftsskyddsombudet skall på detta sätt säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av be- handlingarna. Uppgiftsskyddsombudet skall i tveksamma fall rådfråga tillsynsmyn- digheten (artikel 20.2). I punkt 49 i ingressen betonas att den person som utses till uppgifts- skyddsombud måste – vare sig han eller hon är anställd av den registeran- svarige eller inte – ha möjlighet att utöva sin verksamhet på ett fullständigt oberoende sätt. 3.13.3.4Författningsreglerat register för allmänheten Medlemsstaterna får föreskriva att anmälningsplikten inte skall gälla för en sådan behandling vars enda syfte är att föra ett register N som enligt lagar eller andra författningar är avsett att förse allmänheten med information och N som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. 3.13.3.5Icke vinstdrivande organs behandling av känsliga personuppgifter Medlemsstaterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande för sådan behandling som avses i artikel 81Av mötesprotokollet framgår att det är tillåtet att föreskriva att uppgiftsskyddsom- budet inte är skyldigt att registrera sådana behandlingar som omfattas av det un- dantag som behandlats i avsnitt 3.13.3.2. 150 EG-direktivet om personuppgifter SOU 1997: 39 8.2 d, dvs. behandling av känsliga personuppgifter om medlemmar m.fl. som utförs inom ramen för berättigad verksamhet hos ett icke vinstdri- vande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte (se närmare avsnitt 3.6.2.4). 3.13.4Förhandskontroll av särskilt riskfyllda behandlingar Medlemsstaterna är skyldiga att bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter. Med- lemsstaterna är vidare skyldiga att säkerställa att sådana särskilt riskfyllda behandlingar kontrolleras innan de påbörjas. (Artikel 20.1.) I punkt 53 i ingressen anges att vissa typer av behandling på grund av sin natur, sin omfattning eller sitt ändamål kan innebära särskilda risker för att de registrerades fri- och rättigheter kränks. Medlemsstaterna kan om de önskar det precisera dessa risker i sin lagstiftning. Som exempel på typer av behandling som kan innebära särskilda risker anges N behandling som har till ändamål att utesluta den berörde från möjlighe- ten att utöva en rättighet, ta emot en förmån eller ingå ett avtal och N sådan behandling som innebär användning av ny teknik. I punkt 54 i ingressen anges att det antal behandlingar som innebär sär- skilda risker torde vara mycket begränsat med tanke på omfattningen av den behandling av uppgifter som utförs i samhället. Förhandskontrollen skall utföras av tillsynsmyndigheten. Kontrollen skall utföras när myndigheten har fått in en anmälan från den regis- teransvarige eller från uppgiftsskyddsombudet; uppgiftsskyddsombudet skall nämligen i tveksamma fall rådfråga tillsynsmyndigheten. (Artikel 20.2.) Av artikel 28.3 första stycket andra strecksatsen följer att till- synsmyndigheten skall ha effektiva befogenheter att ingripa, t.ex. genom att yttra sig innan en behandling äger rum och att i lämplig omfattning offentliggöra yttrandet. Medlemsstaterna kan emellertid också82 utföra sådana kontroller som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstif- 82Ordet också torde inte i detta sammanhang innebära att kontroll skall ske såväl av tillsynsmyndigheten som också i samband med att lagstiftningsåtgärder vid- tas; det torde vara fråga om alternativa förfaringssätt. SOU 1997: 39 EG-direktivet om personuppgifter 151 tande åtgärd, vilken definierar behandlingens art och anger lämpliga skyddsåtgärder (artikel 20.3). Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar rörande behandling av personuppgifter ut- arbetas. I artikel 21 finns det bestämmelser som rör offentliggörande av behand- lingar, både sådana som skall anmälas och sådana som inte skall det. Till- synsmyndigheten skall föra ett offentligt register över anmälda behand- lingar, och information om andra behandlingar skall man på begäran kunna få direkt från den registeransvarige. I artikel 13.1 finns det generella bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 21 (se avsnitt 3.11). 3.13.5.2Offentligt register över anmälda behandlingar Medlemsstaterna skall vidta åtgärder för att se till att behandlingar offent- liggörs (artikel 21.1). Staterna skall föreskriva att tillsynsmyndigheten skall föra ett register över sådana behandlingar som har anmälts till den. Detta register skall vara allmänt tillgängligt och innehålla åtminstone de obligatoriska uppgifter som en anmälan skall innehålla (se avsnitt 3.13.2), förutom beskrivning av de säkerhetsåtgärder som har vidtagits. (Artikel 21.2.) 3.13.5.3Skyldighet att på begäran lämna information om icke anmälda behandlingar För sådan behandling som inte omfattas av anmälningsplikt är medlems- staterna skyldiga att föreskriva att de registeransvariga – eller något annat organ som medlemsstaten utser – skall på lämpligt sätt tillhandahålla den som begär det åtminstone de obligatoriska uppgifter som en anmälan skall innehålla (se avsnitt 3.13.2), förutom beskrivning av de säkerhetsåtgärder som har vidtagits. (Artikel 21.3 1 st.) 152 EG-direktivet om personuppgifter SOU 1997: 39 Det är dock tillåtet för medlemsstaterna att föreskriva att denna bestämmel- se inte skall tillämpas på sådan behandling vars enda syfte är att föra ett register N som enligt lagar eller andra författningar är avsett att förse allmänheten med information och N som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. (Artikel 21.3 2 st.) Sådana register kan enligt artikel 18.3 undantas från anmälningsplikten (se avsnitt 3.13.3.4). I den utsträckning en medlemsstat väljer att inte föreskriva anmälnings- plikt för behandlingar eller att undanta automatiska behandlingar från anmälningsplikten kan således skyldigheten för de registeransvariga att lämna uppgifter komma att bli mera omfattande; uppgifter måste då lämnas varje gång någon begär det och inte bara en gång i en anmälan till tillsynsmyndigheten. Av mötesprotokollet framgår också att rådet och kommissionen anser att rättigheten enligt artikel 21.3 inte får missbrukas, t.ex. genom att en begäran om information görs trots att det är allmänt känt att behandlingen inte rör den som gör begäran. 3.14Överföring av uppgifter utanför EG 3.14.1Överföring är tillåten till länder som säkerställer en adekvat skyddsnivå Medlemsstaterna skall föreskriva att överföring av personuppgifter, som behandlas eller som är avsedda att behandlas efter överföring till tredje land, bara får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. Detta skall dock inte påverka tillämpningen av de nationella bestämmelser som har antagits till följd av andra bestämmelser i direkti- vet.83 (Artikel 25.1.) 83I punkt 60 i ingressen pekas det särskilt på att behandlingen måste vara tillåten enligt artikel 8, som rör behandling av känsliga uppgifter. SOU 1997: 39 EG-direktivet om personuppgifter 153 Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas N uppgifternas art, N den eller de avsedda behandlingarnas ändamål, N den eller de avsedda behandlingarnas varaktighet, N ursprungslandet, N det slutliga bestämmelselandet, N de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land och N de regler för yrkesverksamhet och säkerhet som gäller i ifrågavarande tredje land. (Artikel 25.2.) I kommissionens förklaring anges när det gäller lagstiftningen i tredje land att såväl generella bestämmelser som bestämmelser för olika sektorer måste beaktas, liksom huruvida bestämmelserna tillämpas i praktiken. Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en sådan adekvat skyddsnivå (artikel 25.3). Om kommissionen – i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet (se avsnitt 3.19) – kommer fram till att ett tredje land inte erbjuder en sådan adekvat skyddsnivå, är medlemsstaterna skyl- diga att vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till detta land (artikel 25.4). Kommissionen skall i sådant fall vid lämpligt tillfälle inleda förhandlingar för att avhjälpa den situation som därvid har uppkommit (artikel 25.5). Kommissionen kan vidare – i enlighet med den särskilda beslutsproce- dur som föreskrivs i direktivet (se avsnitt 3.19) – konstatera att ett tredje land, genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet, har en sådan adekvat skyddsnivå. Med- lemsstaterna skall då vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Som exempel på internationella förpliktelser som åligger tredje land nämns särskilt sådana förpliktelser som är en följd av de förhandlingar som kommissionen har inlett och som gäller skydd för pri- vatliv och enskilda personers grundläggande fri- och rättigheter. (Artikel 25.6.) 154 EG-direktivet om personuppgifter SOU 1997: 39 3.14.2Överföring till länder med sämre skydd 3.14.2.1Fall där överföring måste tillåtas Medlemsstaterna är dock skyldiga att – utom där något annat föreskrivs för särskilda fall i den nationella lagstiftningen84 – föreskriva att överföring av personuppgifter till ett tredje land, som inte har en sådan adekvat skyddsnivå, är tillåten i följande fall. a)Den registrerade otvetydigt har samtyckt till den planerade överföring- en. b)Överföringen är nödvändig för att fullgöra ett avtal mellan den registre- rade och den registeransvarige eller för att på den registrerades begäran genomföra åtgärder innan avtalet ingås. c)Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den registeransvarige och tredje man, där avtalet är i den registrerades intresse. d)Överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk85. e)Överföringen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade86. f)Överföringen görs från ett register som 1) enligt lagar eller andra för- fattningar är avsett att förse allmänheten med information och som 2) är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstiftningen angivna villkoren för att få tillgång är uppfyllda. (Artikel 26.1.) 84Formuleringen är anpassad efter vad som anges i den engelska, den franska och den tyska språkversionen. I den svenska språkversionen heter det: om det inte finns tvingande regler om detta i deras lagstiftning, vilket betyder något annat. 85Den närmare innebörden av denna bestämmelse, som återges i enlighet med den svenska språkversionen, är svår att fastslå även när man beaktar andra språkver- sioner. De engelska, franska och tyska språkversionerna tyder närmast på att här behandlas två skilda fall, dels att överföringen är nödvändig – eller krävs enligt tvingande rättsregler – för ett viktigt allmänt intresse, dels att överföringen är nödvändig (och kanske alternativt krävs enligt tvingande rättsregler) för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. Jämför också punkt 58 i in- gressen, där det talas om att överföringen är nödvändig för ett rättsligt anspråk eller när skyddet av väsentliga samhällsintressen kräver det. 86Se om sådana vitala intressen vad som anförs i avsnitt 3.5.5. SOU 1997: 39 EG-direktivet om personuppgifter 155 I punkt 58 i ingressen anges som exempel på viktiga allmänna intressen utbyte av uppgifter mellan skattemyndigheter, tullmyndigheter eller social- försäkringsmyndigheter. När det gäller överföring från ett sådant register som avses i punkten f ovan anges att överföringen inte bör omfatta alla uppgifter eller hela kategorier av uppgifter som finns i registret. I kommissionens förklaring anges att undantaget i punkten c ovan kan vara särskilt användbart vid överföringar i samband med transaktioner som vidtas av banker och andra kreditinstitut. Undantaget rörande viktiga all- männa intressen avsåg att tillåta internationellt samarbete, t.ex. för att be- kämpa penningtvätt eller för att övervaka finansiella institutioner. 3.14.2.2Överföring får tillåtas om den registeransvarige kan garantera skydd Det är vidare tillåtet för medlemsstaterna att tillåta överföring av person- uppgifter till ett tredje land med en icke adekvat skyddsnivå om den regis- teransvarige ställer tillräckliga garantier för skyddet av privatliv och en- skilda personers grundläggande fri- och rättigheter och för utövandet av sådana rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausu- ler. (Artikel 26.2.) Medlemsstaterna skall informera kommissionen om de överföringar som har tillåtits enligt denna bestämmelse. Om kommissionen eller en medlemsstat gör en invändning – på grunder som är berättigade med hänsyn till skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – skall kommissionen vidta lämpliga åtgärder i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet (se avsnitt 3.19). Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. (Artikel 26.3.) Om kommissionen å andra si- dan – i enlighet med den särskilda beslutsprocedur som nämnts – be- slutar att vissa standardklausuler erbjuder tillräckliga garantier, skall med- lemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut. Enligt artikel 22 skall medlemsstaterna föreskriva att var och en har rätt att föra talan inför domstol om kränkningar av sådana rättigheter som skyddas av den nationella lagstiftning som är tillämplig på den aktuella behand- 156 EG-direktivet om personuppgifter SOU 1997: 39 Detta skall inte påverka möjligheten att utnyttja eventuella admi- nistrativa förfaranden som kan användas innan ett ärende anhängiggörs hos en rättslig instans, t.ex. ett förfarande vid tillsynsmyndigheten.87 Enligt artikel 28.3 första stycket tredje strecksatsen skall vidare till- synsmyndigheten ha befogenhet att inleda rättsliga förfaranden vid över- trädelser av de nationella bestämmelser som antagits till följd av direktivet eller att uppmärksamma de rättsliga myndigheterna på sådana överträdel- ser. Medlemsstaterna skall föreskriva att den som har lidit skada till följd av en otillåten behandling – eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av direktivet – har rätt till ersättning av den registeransvarige för den skada som han eller hon har lidit. Den registeransvarige får emellertid, helt eller delvis, undantas från skadeståndsansvar, om han eller hon visar att han eller hon inte är ansvarig för den händelse som orsakade skadan. (Artikel 23.) I punkt 55 i ingressen anges som exempel på fall där den regis- teransvarige inte är ansvarig för skadefallet att han eller hon kan påvisa att ett fel har begåtts av den registrerade eller att det är fråga om force majeure. Medlemsstaterna skall vidta lämpliga åtgärder för att säkerställa att direkti- vet genomförs fullständigt. Staterna skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som har antagits till följd av direktivet. (Artikel 24.) I punkt 55 i ingressen framhålls att sanktioner skall vidtas mot såväl privaträttsliga som offentligrättsliga subjekt som överträder de nationella bestämmelser som har antagits till följd av direktivet. Punkten 21 i in- gressen innehåller en erinran om att direktivet inte påverkar de territoriali- tetsregler som gäller på straffrättens område. 87 Jämför om anmälan till tillsynsmyndigheten artikel 28.4. SOU 1997: 39 EG-direktivet om personuppgifter 157 I artikel 27 finns det bestämmelser rörande uppförandekodexar.88 Med- lemsstaterna och kommissionen skall uppmuntra utarbetandet av uppföran- dekodexar som – med beaktande av de särskilda förhållandena på olika områden – skall bidra till att på ett riktigt sätt genomföra de nationella be- stämmelser som medlemsstaterna har antagit till följd av direktivet. Medlemsstaterna skall föreskriva att branschorganisationer eller andra or- gan som företräder andra kategorier av registeransvariga som har upprättat förslag till nationella kodexar – eller som avser att ändra eller utöka redan existerande nationella kodexar – kan lägga fram dessa för bedömning av den nationella myndigheten. Staterna skall föreskriva att denna myndighet bl.a. skall kontrollera att de framlagda förslagen stämmer överens med de nationella bestämmelser som har antagits till följd av direktivet. Myndig- heten skall, om den anser det lämpligt, inhämta synpunkter från de regist- rerade eller deras företrädare. Förslag till kodexar på gemenskapsnivå – och förslag till ändring av eller tillägg till sådana kodexar – kan läggas fram för den särskilda arbetsgrupp som skall bildas enligt direktivet (se avsnitt 3.18). Arbetsgruppen skall bl.a. avgöra om de framlagda förslagen stämmer överens med de nationella bestämmelser som har antagits till följd av direktivet. Arbetsgruppen skall, om den anser det lämpligt, inhämta synpunkter från de registrerade eller deras företrädare. Kommissionen kan se till att de kodexar som har god- känts av arbetsgruppen offentliggörs på lämpligt sätt. 88På engelska codes of conduct, på franska codes de conduite, på tyska Verhaltensregeln. Alternativa svenska översättningar kan vara t.ex. branschreg- ler, sektorsvisa förhållningsregler och branschöverenskommelser. 158 EG-direktivet om personuppgifter SOU 1997: 39 Varje medlemsstat skall se till att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de be- stämmelser som staterna antar till följd av direktivet. Myndigheterna skall fullständigt oberoende utöva de uppgifter som åläggs dem. (Artikel 28.1.) Den har beslutat att utse Datainspektionen till till- synsmyndighet enligt denna bestämmelse.89 Medlemsstaterna skall vidare se till att tillsynsmyndigheten hörs när så- dana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av person- uppgifter (artikel 28.2). Enligt artikel 28.3 första stycket skall varje tillsynsmyndighet särskilt ha N undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som behandlas och att hämta in alla uppgifter som är nödvändiga för att sköta tillsynen, N effektiva befogenheter att ingripa, såsom befogenhet t.ex. att avge yttranden, i enlighet med artikel 20 (se avsnitt 3.13.4), innan en behandling äger rum,