sou · GSB36d2 · 2005-01-01 00:00:00 — De nationella myndigheterna i de olika medlemsstaterna måste som ett led i tillämpningen av gemenskapsrätten samarbeta och utbyta per- sonuppgifter för att kunna fullgöra sina åligganden eller utföra ar- betsuppgifter för en myndighet i en annan medlemsstat inom det om- råde utan inre gränser som den inre marknaden innebär. 6)Det ökade vetenskapliga och tekniska samarbetet liksom det samord- nade införandet av nya telekommunikationsnät inom gemenskapen nödvändiggör och underlättar dessutom det gränsöverskridande flö- det av personuppgifter. 7)Skillnaden i skyddsnivå mellan medlemsstater vad gäller enskilda per- soners fri- och rättigheter, särskilt rätten till privatliv med avseende på behandling av personuppgifter, kan hindra översändande av sådana uppgifter från en medlemsstats territorium till en annans. Denna skillnad kan därför utgöra ett hinder för att utöva en rad ekonomiska aktiviteter på gemenskapsnivå, snedvrida konkurrensen och hindra myndigheterna att fullgöra de skyldigheter som åligger dem enligt gemenskapsrätten. Denna skillnad i skyddsnivå beror på olikheter i nationella lagar och andra författningar. 8)För att hindren mot flöden av personuppgifter skall kunna avskaffas måste skyddsnivån när det gäller enskilda personers fri- och rättighe- ter med avseende på behandlingen av sådana uppgifter vara likvärdig i alla medlemsstater. Denna målsättning är av grundläggande betydelse för den inre marknaden men kan inte uppnås genom åtgärder endast Bilaga 3 – EG-direktivet 95/46 om personuppgifter av medlemsstaterna, i synnerhet med tanke på omfattningen av de skillnader som finns mellan nationell lagstiftning på området och med tanke på behovet av att samordna lagstiftningen i medlemsstaterna för att säkerställa en sådan enhetlig reglering av det gränsöverskridande flödet av personuppgifter som överensstämmer med målsättningen för den inre marknaden enligt artikel 7a i fördra- get. Det är därför nödvändigt att gemenskapen vidtar åtgärder för att åstadkomma en tillnärmning av lagstiftningen. 9)Eftersom tillnärmningen av de nationella lagstiftningarna kommer att leda till ett likvärdigt skydd kommer medlemsstaterna inte längre att kunna hindra det fria flödet av personuppgifter mellan dem under hänvisning till enskilda personers fri- och rättigheter, särskilt rätten till privatliv. Medlemsstaterna kommer att få ett handlingsutrymme, som i samband med genomförandet av detta direktiv också kommer att kunna utnyttjas av näringslivet och arbetsmarknadens parter. Med- lemsstaterna kommer därför att i sin nationella lagstiftning särskilt kunna ange de allmänna villkor som skall gälla för behandlingen av uppgifter. Medlemsstaterna skall härvid sträva efter att förbättra det skydd som deras nuvarande lagstiftning ger. Inom ramen för detta handlingsutrymme och i enlighet med gemenskapsrätten kan skillna- der uppkomma vid genomförandet av direktivet, vilket kan påverka flödet av uppgifter såväl inom en medlemsstat som på gemenskaps- nivå. 10)Ändamålet med den nationella lagstiftningen om behandling av per- sonuppgifter är att skydda grundläggande fri- och rättigheter, särskilt den rätt till privatlivet som erkänns både i artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grund- läggande friheterna och i gemenskapsrättens allmänna rättsprinciper. Av denna anledning får tillnärmningen av denna lagstiftning inte med- föra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen. 11)De principer om skydd för enskilda personers fri- och rättigheter, sär- skilt rätten till privatlivet, som detta direktiv innehåller, utgör en pre- cisering och en förstärkning av principerna i konvention av om skydd för enskilda vid automatisk databe- handling av personuppgifter. 12)Principerna för skyddet måste gälla för all behandling av personupp- gifter som utförs av en person vars verksamhet regleras av gemen- skapsrätten. En fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk, såsom korrespondens eller förande av adressregister, skall dock inte omfattas. 13)Sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen och som rör allmän säkerhet, försvar, statens sä- kerhet och statens verksamhet på straffrättens område faller inte inom Bilaga 3 – EG-direktivet 95/46 om personuppgifter tillämpningsområdet för gemenskapsrätten, dock med förbehåll för medlemsstaternas skyldigheter enligt artiklarna 56.2, 57 eller 100a i Fördraget om upprättandet av Europeiska gemenskapen. Sådan be- handling av personuppgifter som är nödvändig för att skydda statens ekonomiska välstånd omfattas inte av detta direktiv, när behandlingen har samband med frågor om statens säkerhet. 14)görs inom ramen för informationssamhället be- tydande framsteg såvitt avser tekniken för att uppta, överföra, bearbe- ta, registrera, lagra eller lämna ut ljud- eller bilduppgifter om fysiska personer; detta direktiv bör därför tillämpas på behandling av sådana uppgifter. 15)Behandlingen av sådana uppgifter omfattas av detta direktiv endast om den sker med hjälp av automatisk databehandling eller om de upp- gifter som behandlas ingår eller avses ingå i ett register som är upp- byggt efter vissa med utgångspunkt i för enskilda personer utformade kriterier för att underlätta tillgång till de berörda uppgifterna. 16)Behandlingen av ljud- och bilduppgifter – exempelvis i samband med videoövervakning – omfattas inte av detta direktiv om den utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet el- ler statens verksamhet på straffrättens område eller till annan verk- samhet som inte faller inom gemenskapsrättens tillämpningsområde. 17)När det gäller behandling av ljud- och bilduppgifter för journalistiska ändamål eller i litterärt eller konstnärligt skapande, särskilt på det au- diovisuella området, skall direktivets principer i enlighet med be- stämmelserna i artikel 9 tillämpas restriktivt. 18)För att undvika att en enskild person förvägras det skydd som till- kommer honom enligt detta direktiv skall varje behandling av per- sonuppgifter inom gemenskapen ske i enlighet med lagstiftningen i en av medlemsstaterna. Med hänsyn till detta bör behandlingen av upp- gifter som utförs av någon som på uppdrag av en registeransvarig som är etablerad i en medlemsstat regleras av den statens lagstiftning. 19)Etablering på en medlemsstats territorium förutsätter effektiv och faktisk verksamhet med hjälp av en stabil struktur. Härvid har den be- rörda verksamhetens rättsliga form inte avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person. Om den ansvarige är etablerad på flera medlemsstaters terri- torier, särskilt genom dotterbolag, måste han för att undvika varje kringgående garantera att varje verksamhet uppfyller bestämmelserna i den nationella lagstiftning som gäller för aktiviteterna. 20)Den omständigheten att den registeransvarige är etablerad i ett tredje land får inte utgöra ett hinder för det skydd som enskilda personer ges i detta direktiv. I sådana fall skall på behandlingen av uppgifter til? ?lämpas den medlemsstats lagstiftning som innehåller de hjälpme- Bilaga 3 – EG-direktivet 95/46 om personuppgifter del som används för behandlingen. Det bör finnas garantier för att de rättigheter som följer av detta direktiv respekteras i praktiken. 21)Detta direktiv påverkar inte de territorialitetsregler som gäller på straffrättens område. 22)Medlemsstaterna bör i sin lagstiftning eller genom andra bestämmel- ser som antas för att genomföra detta direktiv närmare ange de all- männa villkoren för att en behandling skall vara tillåten. Särskilt arti- kel 5 jämförd med artiklarna 7 och 8 tillåter medlemsstaterna att, oav- sett de allmänna regler som gäller, ange särskilda villkor för behand- lingen av uppgifter på särskilda områden och för de olika kategorier av uppgifter som behandlas i artikel 8. 23)Medlemsstaterna har befogenhet att genomföra skyddet för enskilda personer både genom en generell lagstiftning om skydd för enskilda personer såvitt avser behandling av personuppgifter och genom sär- skild lagstiftning som till exempel om statistiska institut. 24)Sådan lagstiftning som rör skydd för juridiska personer med avseende på behandling av uppgifter som angår dem berörs inte av detta direk- tiv. 25)Principerna för skyddet måste avspeglas dels i de förpliktelser som åvilar personer, myndigheter, företag, institutioner, organ eller andra registeransvariga särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de om- ständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få till- gång till uppgifterna, att begära rättelse och att under vissa om- ständigheter invända mot behandlingen. 26)Principerna för skyddet måste gälla all information som rör en identi- fierad eller identifierbar person. För att avgöra om en person är iden- tifierbar skall härvid beaktas alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas antingen av den re- gisteransvarige eller av någon annan person. Skyddsprinciperna gäller inte för uppgifter som gjorts anonyma på ett sådant sätt att den regi- strerade är identifierbar. En sådan uppförandekodex som avses i artikel 27 kan vara ett användbart redskap för att ge vägledning om hur uppgifter kan göras anonyma och behållas i en form som gör det omöjligt att identifiera den registrerade. 27)Enskilda personer skall skyddas både i samband med automatisk da- tabehandling av uppgifterna och i samband med behandling. Omfattningen av detta skydd får inte faktiskt bero på den teknik som används eftersom detta skulle kunna skapa en allvarlig risk för kring- gående. När det gäller behandling omfattar detta direktiv en- dast register och inte ostrukturerade akter. Särskilt innehållet i ett re- gister måste vara strukturerat efter bestämda kriterier som avser en- Bilaga 3 – EG-direktivet 95/46 om personuppgifter skilda personer, för att lätt ge tillgång till personuppgifter. I enlighet med definitionen i artikel 2 c) kan de olika kriterier som gör det möj- ligt att fastställa de enskilda delarna av en strukturerad samling per- sonuppgifter och de olika kriterier som reglerar möjligheten att få till- gång till en sådan samling utformas av varje medlemsstat. Akter eller grupper av akter liksom dessas omslag, vilka inte är strukturerade en- ligt särskilda kriterier, faller inte under några omständigheter inom detta direktivs tillämpningsområde. 28)Varje behandling av personuppgifter måste vara laglig och korrekt gentemot berörda personer. Uppgifterna måste särskilt vara adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de be- handlas. Dessa ändamål skall vara uttryckligt angivna, berättigade och bestämda vid tiden för insamling av uppgifterna. Sådana ändamål med behandlingen som läggs fast sedan uppgifterna samlats in får inte vara oförenliga med de ändamål som ursprungligen angavs. 29)behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål kan – förutsatt att medlemsstaterna ger lämp- liga garantier – inte allmänt sett anses oförenliga med de ändamål för vilka uppgifterna tidigare samlades in. Dessa garantier skall särskilt hindra att uppgifterna används för att vidta åtgärder mot eller fatta beslut som rör en viss person. 30)För att vara tillåten skall en behandling av personuppgifter dessutom utföras med den registrerades samtycke eller vara nödvändig för ingå- endet eller utförandet av förpliktelser i enlighet med ett avtal som är bindande för den registrerade, eller fordras enligt lagstiftning vid ut- förandet av något som är i det allmännas intresse eller är ett led i myndighetsutövning eller vara i en fysisk eller juridisk persons in- tresse förutsatt att skyddet av den registrerades fri- och rättigheter inte går före. För att särskilt garantera jämvikt mellan de berörda in- tressena och för att säkerställa en effektiv konkurrens får medlemsstaterna närmare ange på vilka villkor användning och utläm- nande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som av företag och andra organ utövas i deras lö- pande verksamhet. Medlemsstaterna får även närmare ange på vilka villkor personuppgifter i marknadsföringssyfte får vidarebefordras till tredje man, oavsett om detta sker kommersiellt eller av välgören- hetsorganisationer, föreningar eller stiftelser, exempelvis av politisk karaktär, men förutsatt att regler iakttas som har till syfte att ge den registrerade möjlighet att invända mot att de uppgifter som rör ho- nom behandlas utan att behöva ange sina skäl och utan att åsamkas kostnader för detta. 31)Behandling av personuppgifter måste även anses tillåten när den ut- förs för att skydda ett intresse som är av avgörande betydelse för den registrerades liv. Bilaga 3 – EG-direktivet 95/46 om personuppgifter 32)Det ankommer på den nationella lagstiftningen att avgöra om den som ansvarar för en behandling som utförs i det allmännas intresse el- ler vid myndighetsutövning skall vara en myndighet eller något annat offentligrättsligt eller civilrättsligt subjekt, såsom exempelvis en yr- kesorganisation. 33)Uppgifter som på grund av sin natur kan kränka grundläggande fri- och rättigheter eller privatlivets helgd får inte behandlas utan sam- tycke av den registrerade. Dock måste det finnas en uttrycklig möjlig- het att för att tillgodose särskilda behov, i synnerhet när behandlingen av uppgifterna utförs för ändamål som har samband med hälso- och sjukvården av personer som är underkastade tystnadsplikt eller för att genomföra berättigade åtgärder av vissa föreningar eller stiftelser vil- kas syften är att skydda utövningen av vissa grundläggande fri- och rättigheter. 34)När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från förbudet mot att behandla käns- liga kategorier av uppgifter på sådana områden som exempelvis folk- hälsa och socialskydd, särskilt för att säkerställa kvalitet och lönsam- het när det gäller förfaranden som används i samband med ansök- ningar om förmåner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Dock åligger det medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grundläggande rättigheter och privatliv. 35)Myndigheters behandling av personuppgifter för officiellt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs för att tillgodose vik- tiga samhälleliga intressen. 36)Om det i samband med att allmänna val hålls för att det demokratiska systemet skall fungera är nödvändigt att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning får behandling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen, på villkor att bestämmelser om lämpliga garantier föreskrivs. 37)För sådan behandling av personuppgifter som sker för journalistiska ändamål eller för konstnärligt eller litterärt skapande – särskilt på det audiovisuella området – bör det fastställas undantag från eller be- gränsningar i förhållande till vissa bestämmelser i detta direktiv så långt detta är nödvändigt för att förena enskilda personers grund- läggande rättigheter med yttrandefriheten, särskilt den rätt att ta emot och lämna upplysningar som särskilt fastslås i artikel 10 i den europe- iska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. För att åstadkomma en avvägning mellan de grundläggande fri- och rättigheterna åligger det medlemsstaterna att Bilaga 3 – EG-direktivet 95/46 om personuppgifter besluta om nödvändiga undantag och begränsningar såvitt avser de generella åtgärder som har avseende på uppgiftsbehandlingens be- rättigande, åtgärder för att vidareföra uppgifter till tredje land och till- synsmyndighetens befogenheter. Detta får dock inte leda till att med- lemsstaterna beslutar om undantag från åtgärder som vidtas för att sä- kerställa behandlingens säkerhet. Den tillsynsmyndighet som är be- hörig på området bör utrustas med i vart fall vissa befogenheter att utövas efter behandlingen i fråga, exempelvis befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myndigheter. 38)En korrekt behandling av uppgifter förutsätter att de registrerade kan få kännedom om behandlingen och att de – när uppgifter samlas in hos dem – kan få korrekt och fullständig information med hänsyn till de närmare omständigheterna vid insamlingen. 39)I vissa fall rör behandlingen uppgifter som den registeransvarige inte har samlat in direkt från den registrerade. Vidare kan utlämnande av uppgifter till tredje man vara tillåten även om utlämnandet inte kunde förutses när uppgifterna samlades in från den registrerade. I samtliga dessa fall skall den registrerade informeras när uppgifterna registreras eller senast när uppgifterna lämnas ut till tredje man. 40)Det är dock inte nödvändigt att ställa detta krav om den registrerade redan känner till informationen. Detta krav behöver inte heller ställas om registreringen eller utlämnandet uttryckligen regleras i lagstift- ningen eller om lämnande av information till den berörda personen vi- sar sig vara omöjligt eller innebära oproportionerligt stora an- strängningar, vilket skulle kunna vara fallet i samband med behandling för historiska, statistiska eller vetenskapliga ändamål. I detta samman- hang kan antalet registrerade, uppgifternas ålder och de kom- pensatoriska åtgärder som kan vidtas tas i beaktande. 41)Alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling, för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten. Av samma anledning måste var och en ha rätt att få reda på den logik som gäller för den automatiska databehandlingen av uppgifter som rör honom, åtminstone såvitt avser sådana automatiska beslut som avses i artikel 15.1. Denna rättighet får inte kränka affärshemligheten eller upphovsrätten, särskilt inte den upphovsrätt som skyddar programva- ran. Detta bör dock inte få resultera i att den registrerade nekas all in- formation. 42)Medlemsstaterna kan av hänsyn till intresset hos den registrerade eller till andras fri- och rättigheter begränsa rätten till tillgång till uppgifter och information. De kan till exempel besluta att tillgång till uppgifter av medicinsk art endast får erhållas genom förmedling av någon som är yrkesmässigt verksam inom hälso- och sjukvården. Bilaga 3 – EG-direktivet 95/46 om personuppgifter 43)Rätten till tillgång till uppgifter och information samt vissa skyldighe- ter hos den registeransvarige kan inskränkas av medlemsstaterna i den utsträckning som det är nödvändigt för att skydda till exempel statens säkerhet, försvaret, allmän säkerhet eller viktiga ekonomiska eller fi- nansiella intressen som är av betydelse för en medlemsstat eller för unionen, liksom för brottsutredningar och åtal och åtgärder som rör överträdelser av etiska regler som gäller för sådana yrken som särskilt regleras i lagstiftning. På förteckningen över undantag och begräns- ningar bör upptas de uppgifter för övervakning, tillsyn eller reglering som är nödvändiga på de tre sistnämnda områdena, nämligen allmän säkerhet, ekonomiska och finansiella intressen samt beivrande av brott. Uppräkningen av uppgifter på dessa tre områden påverkar inte undantag eller begränsningar av hänsyn till statens säkerhet och för- svaret. 44)För att uppfylla vissa av de nämnda målsättningarna kan medlemssta- terna på grund av bestämmelser i gemenskapsrätten tvingas att avvika från bestämmelserna i detta direktiv om rätten till tillgång till uppgif- ter, skyldigheten att informera enskilda personer och kvaliteten på uppgifterna. 45)I sådana fall då uppgifter av hänsyn till allmänna intressen, på grund av myndighetsutövning eller av hänsyn till en persons berättigade in- tressen kan bli föremål för tillåten behandling, skall varje berörd per- son ändå, på berättigade och avgörande skäl som avser hans särskilda situation, ha rätt att invända mot att uppgifter som rör honom själv behandlas. Medlemsstaterna har dock möjlighet att anta bestämmelser av motsatt innehåll. 46)Skyddet för de registrerades fri- och rättigheter förutsätter såvitt av- ser behandling av personuppgifter att lämpliga tekniska och organisa- toriska åtgärder vidtas både när systemet för behandlingen utformas och när själva behandlingen sker, särskilt för att garantera säkerheten och för att på så sätt hindra all otillåten behandling. Det åligger med- lemsstaterna att säkerställa att de registeransvariga respekterar dessa åtgärder. Åtgärderna skall garantera en lämplig säkerhetsnivå med hänsyn till den nuvarande utvecklingsnivån och till kostnaderna för genomförandet under hänsynstagande till de risker som behandlingen innebär och arten av de uppgifter som skall skyddas. 47)När ett meddelande som innehåller personuppgifter översänds genom förmedling av en organisation för telekommunikation eller elektro- nisk post, vars enda ändamål är att översända sådana meddelanden, blir det normalt den från vilken meddelandet härrör och inte den per- son som erbjuder nämnda tjänst som anses ansvara för behandlingen av personuppgifterna. De som erbjuder sådana tjänster kommer dock normalt att anses som ansvariga för behandlingen av de ytterligare personuppgifter som fordras för att tjänsten skall kunna användas. Bilaga 3 – EG-direktivet 95/46 om personuppgifter 48)Anmälningsförfarandet är avsett för att göra en behandlings syfte och viktigaste egenskaper allmänt kända för att säkerställa att behand- lingen sker i enlighet med de nationella åtgärder som vidtas för att genomföra detta direktiv. 49)För att undvika olämpliga administrativa formaliteter kan medlems- staterna besluta om undantag från och förenklingar av anmälnings- plikten såvitt avser sådana fall då behandlingen sannolikt inte kommer att kränka de berörda personernas fri- och rättigheter, förutsatt att detta är i överensstämmelse med en åtgärd som vidtagits av en med- lemsstat och som särskilt anger begränsningarna. Medlemsstaterna kan även besluta om undantag och förenklingar i fall då någon som utsetts av den registeransvarige försäkrar sig om att de utförda be- handlingarna inte kommer att kränka de registrerades fri- och rättig- heter. Den person som sålunda utsetts att skydda uppgifterna måste – vare sig han är anställd av den registeransvarige eller inte – ha möjlig- het att utöva sin verksamhet på ett fullständigt oberoende sätt. 50)Undantag från anmälningsplikten och förenklad anmälan bör kunna tillåtas särskilt då det är fråga om behandling av uppgifter som endast syftar till att ett register skall föras, som är avsett för att i enlighet med nationell lagstiftning ge allmänheten information och som är till- gängligt för allmänheten eller var och en som kan styrka att han har ett berättigat intresse. 51)Det förhållandet att den registeransvarige omfattas av förenklat an- mälningsförfarande eller är undantagen från anmälningsplikt befriar honom inte från de övriga förpliktelser som följer av detta direktiv. 52)I detta sammanhang måste en efterföljande kontroll från den behöriga myndighetens sida i allmänhet anses som en tillräcklig åtgärd.