sou · GLB349 · 1998-01-01 00:00:00 — c)register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt sär- skilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden, d)registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ända- målen och medlen för behand- lingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att Europeiska gemenskapernas officiella tidning 281 utse honom anges i nationell rätt eller i gemenskapsrätten, e) registerf örare: behandlar personuppgifter för den registeransvariges räkning, f)tredje man : den fysiska eller juridiska person, den myn- dighet, den institution eller det andra organ än den regi- strerade, den registeransvarige, registerföraren och de personer som under den regis- teransvariges eller register- förarens direkta ansvar har be- fogenhet att behandla upp- gifterna, g)mottagare : den fysiska eller juridiska person, den myn- dighet, den institution eller det andra organ till vilket uppgifterna utlämnas, vare sig det är en tredje man eller inte. Myndigheter som kan komma att motta uppgifter inom ramen för ett särskilt uppdrag skall dock inte betraktas som mottagare, h)den registrerades samtycke: varje slag av frivillig, särskild och informerad viljeyttring ge- nom vilken den registrerade godtar behandling av person- uppgifter som rör honom. 1.Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. 2.Detta direktiv gäller inte för sådan behandling av personupp- gifter -som utgör ett led i en verksam- het som inte omfattas av gemen- skapsrätten, exempelvis sådan verksamhet som avses i avdel- ningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter be- handlingar som rör allmän säker- het, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område, -av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll. 1.Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personuppgifter när Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 a)behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeransvarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen, b)den registeransvarige inte är etablerad inom en medlems- stats territorium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten, c)den registeransvarige inte är etablerad på gemenskapens territorium och för behand- ling av personuppgifter använder databehandlad eller icke data-behandlad utrust- ning som befinner sig på den nämnda medlemsstatens territorium, om inte sådan utrustning endast används för att låta uppgifter passera genom gemenskapen. Under de omständigheter som avses i punkt 1 c) måste den registeransvarige utse en företrä- dare som är etablerad inom den berörda medlemsstatens territo- rium, utan att detta i övrigt på- verkar de eventuella rättsliga åtgärder som kan komma att inledas mot den ansvarige själv. ALLMÄNNA BESTÄMMELSER OM NÄR PERSONUPPGIFTER Medlemsstaterna skall inom de begränsningar som bestämmelserna i detta kapitel innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. skall behandlas på ett korrekt och lagligt sätt, skall samlas in för särskilda, uttryckligt angivna och be- rättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med Europeiska gemenskapernas officiella tidning 281 handling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder, c)skall vara adekvata och rele- vanta och inte får omfatta mer än vad som är nödvän- digt med hänsyn till de ända- mål för vilka de har samlats in och för vilka de senare behandlas, d)skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att person- uppgifter som är felaktiga eller ofullständiga i förhål- lande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas, e)förvaras på ett sätt som för- hindrar identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behand- lades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras för historiska, statistiska eller vetenskapliga ändamål. Det åligger den registeransva- rige att säkerställa att punkt 1 efterlevs. Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 PRINCIPER SOM GÖR ATT UPPGIFTSBEHANDLING KAN TILLÅTAS Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om a)den registrerade otvetydigt har lämnat sitt samtycke, eller b)behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, eller c)behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller d)behandlingen är nödvändig för att skydda intressen som är av grundläggande betydel- se för den registrerade, eller e)behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutöv- ning som utförs av den regis- teransvarige eller tredje man till vilken uppgifterna har lämnats ut, eller f)behandlingen är nödvändig för ändamål som rör berätti- gade intressen hos den regis- teransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grun- dläggande fri- och rättigheter som kräver skydd under artikel 1.1. Behandlingen av särskilda kate- gorier av uppgifter 1.Medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, med- lemskap i fackförening samt uppgifter som rör hälsa och sexu- alliv. 2.Punkt 1 gäller inte om a)den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke, eller Europeiska gemenskapernas officiella tidning 281 b)behandlingen är nödvändig för att fullgöra de skyldig- heter och särskilda rättigheter som åligger den registeran- svarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lag- stiftning som föreskriver lämpliga skyddsåtgärder, eller c)behandlingen är nödvändig för att skydda den registrera- des eller någon annan per- sons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke, eller d)behandlingen utförs inom ra- men för berättigad verksam- het hos en stiftelse, en före- ning eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och upp- gifterna inte lämnas ut till tredje man utan den registre- rades samtycke, eller e)behandlingen rör uppgifter som på ett tydligt sätt offent- liggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga an- språk. 3.Punkt 1 gäller inte när behand- lingen av uppgifterna är nödvän- dig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon som är yrkes- mässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestäm- melser som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt. 4.Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2. 5.Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myn- dighet eller - om lämpliga skydds- åtgärder finns i nationell lag - med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestäm- melser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brott- målsdomar får dock föras endast under kontroll av en myndighet. Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 tvistemål också skall behandlas under kontroll av en myndighet. 6.De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen. 7.Medlemsstaterna skall bestäm- ma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifie- ring får behandlas. ge den person från vilken uppgif- ter om honom själv samlas in följande information, utom i fall då han redan känner till informa- tionen: a)Den registeransvariges och dennes eventuella företrä- dares identitet. b)Ändamålen med den behand- ling för vilken uppgifterna är avsedda. Behandling av personuppgifter och yttrandefriheten Medlemsstaterna skall med av- seende på behandling av person- uppgifter som sker uteslutande för journalistiska ändamål eller konst- närligt eller litterärt skapande besluta om undantag och avvikel- ser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. INFORMATIONSPLIKT TILL DEN REGISTRERADE Information vid insamling av uppgifter från den registrerade c)All ytterligare information, exempelvis -mottagarna eller de kategorier som mottar uppgifterna, -huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara, -förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom, i den utsträckning som den ytter- ligare informationen - med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in - är nödvändig för att tillförsäkra den registrerade en korrekt be- handling. Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall Information när uppgifterna inte har samlats in från den registrerade Europeiska gemenskapernas officiella tidning 281 Om uppgifterna inte har sam- lats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registre- ringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än då uppgifterna först lämnas ut, skall ge den registrera- de åtminstone följande informa- tion, utom när den registrerade redan känner till informationen: a)Den registeransvariges och dennes eventuella företrä- dares identitet. b)Ändamålen med behandling- en. c)All ytterligare information, exempelvis -de kategorier av uppgifter som behandlingen gäller, -mottagarna eller de kategorier som mottar uppgifterna, -förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör honom, i den utsträckning som den ytter- ligare informationen - med hänsyn till de särskilda omständigheter under vilka upp- gifterna samlas in - är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Bestämmelserna i punkt 1 skall inte gälla när det - särskilt i sam- band med behandling för statistis- ka ändamål eller historiska eller vetenskapliga forskningsändamål - visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. DEN REGISTRERADES RÄTT ATT FÅ TILLGÅNG TILL UPPGIFTER Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige a)utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader -få bekräftelse på om uppgif- ter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarka- tegorierna till vilka uppgifter- na utlämnas, -få begriplig information om vilka uppgifter som behand- las och all tillgänglig infor- mation om varifrån dessa uppgifter kommer, -få kännedom om den logik som används när uppgifter Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 som rör honom behandlas på automatisk väg åtminstone såvitt avser sådana automa- tiska beslut som avses i artikel 15.1, b)i förekommande fall få såda- na uppgifter som inte be- handlats i enlighet med be- stämmelserna i detta direktiv rättade, utplånade eller blo- ckerade, särskilt om dessa är ofullständiga eller felaktiga, c)få genomfört att en tredje man till vilken sådana upp- gifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor an- strängning. UNDANTAG OCH BEGRÄNS- NINGAR Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyl- digheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hän- syn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdel- ser av etiska regler som gäller för lagreglerade yrken, e)ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Euro- peiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, f)en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen, g)skydd av den registrerades eller andras fri- och rättig- heter. Under förutsättning av lämpliga rättsliga garantier får medlemssta- terna, i synnerhet om uppgifterna inte används för åtgärder eller beslut som avser särskilda registrerade personer, i fall då det uppenbarligen inte föreligger någon risk att den berörda personens privatliv kränks, genom lagstiftning begränsa de rättigheter som anges i artikel 12 när uppgifterna endast behandlas för ändamål som har med Europeiska gemenskapernas officiella tidning 281 vetenskaplig forskning att göra eller när uppgifterna endast lagras i form av personuppgifter som inte över- stiger den tid som är nödvändig för att framställa statistik. DEN REGISTRERADES RÄTT ATT GÖRA INVÄNDNINGAR Den registrerades rätt att göra invändningar Medlemsstaterna skall tillförsäkra den registrerade rätten att innan personuppgifter lämnas ut till tredje man eller används för tredje mans räkning för ända- mål som rör direkt marknads- föring, och att uttryckligen få erbjudande om att utan kost- nader motsätta sig ett sådant utlämnande eller sådan an- vändning. Medlemsstaterna skall vidta nöd- vändiga åtgärder för att säkerställa att de registrerade känner till den rättighet som anges i första stycket i b). a)åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen före- skriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeran- svarige inte längre avse dessa uppgifter, b)efter anmodan och utan kost- nader motsätta sig behandling av personuppgifter som rör honom och som den registe- ransvarige bedömer kan kom- ma att behandlas för ändamål som rör direkt marknadsfö- ring, eller att bli informerad 1.Medlemsstaterna skall ge varje person rätten att inte bli föremål för ett beslut som har rättsliga följder för honom eller som märk- bart påverkar honom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa person- liga egenskaper hos honom, ex- empelvis hans arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. 2.Om inte annat följer av övriga bestämmelser i detta direktiv skall medlemsstaterna föreskriva att en person får bli föremål för ett beslut av det slag som avses i punkt 1 om beslutet a)fattas som ett led i ingåendet eller fullgörandet av ett avtal, förutsatt att den registrerades Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 begäran om ingående eller fullgörande av avtalet har bifallits eller att det vidtas lämpliga åtgärder för att skydda hans berättigade in- tressen, exempelvis möjlig- heten för honom att göra sin uppfattning gällande, eller b)tillåts i lagstiftning som in- nehåller bestämmelser till skydd för den registrerades berättigade intressen. SEKRETESS OCH SÄKERHET VID BEHANDLING Den som utför arbete under den registeransvarige eller registerför- aren, liksom registerföraren själv, och som får tillgång till person- uppgifter, får behandla dem endast enligt instruktion från den registeransvarige, om han inte är skyldig att göra det enligt lag. Medlemsstaterna skall föreskri- va att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från för- störing genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. Dessa åtgärder skall med beaktan- de av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genom- förande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas. 2.Medlemsstaterna skall föreskri- va att den registeransvarige, när behandlingen utförs för dennes räkning, skall välja en regis- terförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de organisa- toriska åtgärder som måste vidtas och tillse att dessa åtgärder genomförs. 3.När uppgifter behandlas av en registerförare skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande handling mellan registerföraren och den registeransvarige och i handlingen skall särskilt föreskri- vas att -registerföraren endast får handla på instruktioner från den registeransvarige, Europeiska gemenskapernas officiella tidning 281 -de skyldigheter som anges i punkt 1, såsom de definieras i lagstiftningen i den med- lemsstat i vilken registerföra- ren är etablerad, även skall åvila registerföraren. För att säkra bevisning skall de delar av avtalet eller den rättsligt bindande handlingen som rör skyddet av uppgifter och de krav som rör åtgärder som anges i punkt 1 föreligga i skriftlig eller därmed jämförlig form. Anmälningsplikt gentemot till- synsmyndigheten 1.Medlemsstaterna skall föreskri- va att den registeransvarige eller hans eventuelle företrädare före genomförandet av en behandling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har sam- ma eller flera närbesläktade ända- mål skall underrätta den tillsyns- myndighet som avses i artikel 28. 2.Medlemsstaterna får endast i följande fall och på följande villkor föreskriva om undantag från anmälningsplikten eller förenklad anmälningsplikt: band med vilka det med hän- syn till de behandlade uppgif- terna inte är sannolikt att de registrerades fri- och rättig- heter kränks, anger behand- lingens ändamål, vilka uppgifter eller kategorier av uppgifter som behandlas, vilka registrerade eller kate- gorier av registrerade som avses, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras och/eller -om den registeransvarige i enlighet med den nationella lagstiftning som gäller för denne, utser ett uppgifts- skyddsombud, som särskilt skall ha till uppgift -att på ett oberoende sätt säkerställa den interna till- lämpningen av de nationella bestämmelser som antagits till följd av detta direktiv, -att föra ett register över de behandlingar som utförs av den registeransvarige, vilket register skall innehålla den information som nämns i artikel 21.2, för att på detta sätt säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av behandlingarna. Om medlemsstaten för de typer av behandling, i sam- att punkt 1 inte skall gälla för en Nr L 281 SV Europeiska gemenskapernas officiella tidning 23.11.95 sådan behandling vars enda syfte är förandet av ett register, som enligt lagar eller andra författningar är avsett att förse allmänheten med information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. 4.Medlemsstaterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsför- farande för sådan behandling som avses i artikel 8.2 d). 5.Medlemsstaterna får föreskriva att vissa eller alla icke-automatiska behandlingar av personuppgifter skall anmälas eller att ett förenklat anmälningsförfarande skall gälla för dem. d)mottagarna eller de kategorier av mottagare till vilka uppgif- terna kan komma att lämnas ut, e)föreslagna överföringar av uppgifter till tredje land, f)en allmän beskrivning som gör det möjligt att preliminärt bedöma lämpligheten av de åtgärder som i enlighet med artikel 17 vidtagits för att trygga säkerheten i behand- lingen. Medlemsstaterna skall ange villkoren för anmälan till tillsyns- myndigheten av förändringar som rör den i punkt 1 angivna informa- tionen. Medlemsstaterna skall precisera vilka uppgifter som anmälan skall innehålla. Den skall åtminstone innehålla a)den registeransvariges och dennes eventuella företrädares namn och adress, b)ändamålen med behandlingen, c)en beskrivning av den eller de kategorier av registrerade som berörs och av de uppgifter eller kategorier av uppgifter som hänför sig till dem, 1.Medlemsstaterna skall bestämma vilka behandlingar som kan in- nebära särskilda risker för den registrerades fri- och rättigheter och skall säkerställa att dessa behand- lingar kontrolleras innan de påbörjas. 2.Sådana förhandskontroller skall utföras av tillsynsmyndigheten när den mottagit anmälan från den registeransvarige eller från upp- giftsskyddsombudet, som i tvek- samma fall skall rådfråga tillsyns- myndigheten. 3.Medlemsstaterna kan också utföra sådana kontroller som ett led Europeiska gemenskapernas officiella tidning 281 i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd, som definierar behandlingens art och anger lämp- liga skyddsåtgärder.