sou · GSB36d2 · 2005-01-01 00:00:00 — 53)Vissa typer av behandling – till exempel behandling som har till än- damål att utesluta den berörde från möjligheten att utöva en rättighet, motta en förmån eller ingå ett avtal eller sådan behandling som inne- bär användning av ny teknik – kan på grund av sin natur, sin omfatt- ning eller sitt ändamål innebära särskilda risker för att de registrerades fri- och rättigheter skall kränkas. Medlemsstaterna kan om de önskar det precisera dessa risker i sin lagstiftning. 54)Med tanke på omfattningen av den behandling av uppgifter som ut- förs i samhället torde det antal behandlingar som innebär särskilda risker vara mycket begränsat. Medlemsstaterna måste föreskriva att tillsynsmyndigheten eller den som utövar tillsyn i samråd med till- synsmyndigheten företar en förhandskontroll av dessa behandlingar innan de utförs. Sedan en sådan förhandskontroll genomförts får till- synsmyndigheten i enlighet med den nationella lagstiftningen som gäller för myndigheten yttra sig över eller tillåta behandlingen. En så- dan kontroll kan även företas som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en Bilaga 3 – EG-direktivet 95/46 om personuppgifter åtgärd som grundas på en sådan lagstiftande åtgärd som definierar be- handlingens art och anger lämpliga skyddsåtgärder. 55)För de fall då den registeransvarige inte respekterar de registrerades rättigheter måste det i medlemsstatens lagstiftning finnas möjlighet till rättslig prövning. Personer som lider skada till följd av otillåten behandling skall ha rätt till ersättning av den registeransvarige, vilken kan befrias från skadeståndsansvar om han kan visa att han inte är an- svarig för skadan, särskilt i fall då han kan påvisa att ett fel begåtts av den registrerade eller i fall av force majeure. Sanktioner skall vidtas mot såväl privaträttsliga som offentligrättsliga subjekt som överträder de nationella bestämmelser som antagits för att genomföra detta di- rektiv. 56)Gränsöverskridande flöden av personuppgifter är nödvändiga för den internationella handelns utveckling. Det skydd som genom detta di- rektiv tillförsäkras enskilda personer inom gemenskapen hindrar inte att personuppgifter överförs till sådana tredje länder som garanterar en adekvat skyddsnivå. Frågan om skyddsnivåns adekvans skall be- dömas med hänsyn till alla de omständigheter som har samband med en överföring eller en grupp av överföringar. 57)Om ett tredje land inte garanterar en adekvat skyddsnivå skall över- föring av personuppgifter till det landet förbjudas. 58)Undantag från detta förbud skall under vissa omständigheter kunna medges om den registrerade lämnar sitt samtycke, om överföring är nödvändig för ett avtal eller ett rättsligt anspråk, när skyddet av vä- sentliga samhällsintressen kräver det, till exempel vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter eller mellan socialförsäkringsmyndigheter eller om överföringen ut- förs med utgångspunkt i ett register som upprättats genom lagstift- ning och som är avsett att vara tillgängligt för allmänheten eller för personer som har ett berättigat intresse. En sådan överföring bör inte omfatta alla uppgifter eller hela kategorier av uppgifter som finns i re- gistret. När registret är avsett att vara tillgängligt för personer med ett berättigat intresse skall överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. 59)Särskilda åtgärder kan vidtas för att uppväga en otillräcklig skyddsnivå i ett tredje land om den registeransvarige ställer lämpliga garantier. Bestämmelser om förfaranden för förhandling mellan gemenskapen och tredje land måste antas. 60)Överföring till tredje land får i vilket fall som helst endast utföras i enlighet med bestämmelser som medlemsstaterna antagit för genom- förande av detta direktiv, särskilt artikel 8 i detta. 61)Medlemsstaterna och kommissionen måste på sina respektive kompe- tensområden uppmuntra berörda delar av näringslivet att anta uppfö- randekodexar för att underlätta genomförandet av detta direktiv med Bilaga 3 – EG-direktivet 95/46 om personuppgifter beaktande av de särskilda former av behandling som utförs på vissa områden och med respekt för de nationella bestämmelser som anta- gits för dess genomförande. 62)För skyddet av enskilda personer med avseende på behandlingen av personuppgifter är det av avgörande betydelse att medlemsstaterna in- rättar oberoende tillsynsmyndigheter. 63)Dessa myndigheter måste ges nödvändiga resurser för att utföra sina uppgifter, såsom befogenhet att – särskilt när det gäller klagomål från enskilda personer – undersöka och intervenera samt befogenheter att inleda rättsliga förfaranden. De måste även bidra till att garantera in- syn i behandlingen av uppgifter i de medlemsstater under vilkas ju- risdiktion de hör. 64)Tillsynsmyndigheterna i de olika medlemsstaterna kommer att behöva bistå varandra i samband med utförandet av de uppgifter som åligger dem för att säkerställa att skyddsreglerna respekteras på ett tillfreds- ställande sätt i hela Europeiska unionen. 65)En arbetsgrupp för skydd av enskilda personer i samband med be- handling av personuppgifter skall inrättas på gemenskapsnivå. Grup- pen skall vid utförandet av sina uppgifter vara fullständigt oberoende. Gruppen skall med hänsyn till sin särskilda karaktär ge kommissionen råd och bidra till den enhetliga tillämpningen av de nationella regler som antagits för att genomföra detta direktiv. 66)Med avseende på överföring av uppgifter till tredje land fordrar ge- nomförandet av detta direktiv att kommissionen ges befogenhet att besluta om genomförandet och att ett förfarande i enlighet med rikt- linjerna i rådets beslut 87/373/EEG(1) införs. 67)träffade , rådet och kom- missionen en överenskommelse om ett modus beträffande genomförandeåtgärder för rättsakter som antagits i enlighet med för- farandet i artikel 189b i . 68)De principer för skyddet av enskilda personers fri- och rättigheter, och då särskilt rätten till privatliv, som i detta direktiv uppställs med avseende på behandling av personuppgifter skall för vissa områdens vidkommande kunna kompletteras eller preciseras med hjälp av sär- skilda bestämmelser som skall överensstämma med dessa principer. 69)Medlemsstaterna bör ges en frist på högst räknat från ikraftträ- dandet av de nationella bestämmelser som antas för att genomföra detta direktiv, så att de stegvis kan tillämpa de nya nationella be- stämmelserna på alla sådana behandlingar som redan påbörjats. För att möjliggöra ett kostnadseffektivt genomförande av dessa bestämmelser skall medlemsstaterna tillåtas att under ytterligare en tidsperiod, som (1) EGT nr L 197, , s. 33. Bilaga 3 – EG-direktivet 95/46 om personuppgifter löper ut efter dagen för antagandet av detta direktiv, vidta åt- gärder för att säkerställa att då befintliga register bringas i överensstämmelse med vissa av direktivets bestämmelser. Uppgifter som ingår i dessa register och som behandlas manuellt under denna förlängda övergångsperiod skall dock när det är föremål för en ytterli- gare sådan behandling bringas i överensstämmelse med dessa bestäm- melser. 70)Det är inte nödvändigt att den registrerade på nytt lämnar sitt sam- tycke till att den registeransvarige fortsätter att behandla känsliga uppgifter, när en sådan behandling är nödvändig för genomförandet av att avtal som har slutits på grundval av frivilligt och informerat samtycke före dessa bestämmelsers ikraftträdande. 71)Detta direktiv hindrar inte en medlemsstat från att anta bestämmelser för att reglera sådan marknadsföring som riktar sig till konsumenter som har hemvist inom dess territorium, förutsatt att dessa regler inte rör skyddet av enskilda personer med avseende på behandling av per- sonuppgifter. 72)Detta direktiv gör det möjligt att vid genomförandet av dessa be- stämmelser ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar. HÄRIGENOM FÖRESKRIVS FÖLJANDE. 1.Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska per- soners grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. 2.Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet. I detta direktiv avses med a)personuppgifter: varje upplysning som avser en identifierad eller iden- tifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt ge- nom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, eko- nomiska, kulturella eller sociala identitet, Bilaga 3 – EG-direktivet 95/46 om personuppgifter b)behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, or- ganisering, lagring, bearbetning eller ändring, återvinning, inhäm- tande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkör- ning, blockering, utplåning eller förstöring, c)register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden, d)registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen be- stäms av nationella lagar och andra författningar eller av gemenskaps- rätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten, e)registerförare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning, f)tredje man: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ än den registrerade, den regis- teransvarige, registerföraren och de personer som under den regis- teransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna, g)mottagare: den fysiska eller juridiska person, den myndighet, den in- stitution eller det andra organ till vilket uppgifterna utlämnas, vare sig det är en tredje man eller inte. Myndigheter som kan komma att mot- ta uppgifter inom ramen för ett särskilt uppdrag skall dock inte be- traktas som mottagare, h)den registrerades samtycke: varje slag av frivillig, särskild och infor- merad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom. 1.Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än au- tomatisk av personuppgifter som ingår i eller kommer att ingå i ett regis- ter. 2.Detta direktiv gäller inte för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskaps- rätten, exempelvis sådan verksamhet som avses i avdelningarna V och Bilaga 3 – EG-direktivet 95/46 om personuppgifter VI i Fördraget om Europeiska unionen, och inte under några om- ständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område, av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll. Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personupp- gifter när a)behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeran- svarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen, b)den registeransvarige inte är etablerad inom en medlemsstats territo- rium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten, c)den registeransvarige inte är etablerad på gemenskapens territorium och för behandling av personuppgifter använder databehandlad eller icke databehandlad utrustning som befinner sig på den nämnda med- lemsstatens territorium, om inte sådan utrustning endast används för att låta uppgifter passera genom gemenskapen. Under de omständigheter som avses i punkt 1 c) måste den regis- teransvarige utse en företrädare som är etablerad inom den berörda med- lemsstatens territorium, utan att detta i övrigt påverkar de eventuella rättsliga åtgärder som kan komma att inledas mot den ansvarige själv. ALLMÄNNA BESTÄMMELSER OM NÄR PERSONUPPGIFTER Medlemsstaterna skall inom de begränsningar som bestämmelserna i detta kapitel innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. Bilaga 3 – EG-direktivet 95/46 om personuppgifter PRINCIPER OM UPPGIFTERNAS KVALITET Medlemsstaterna skall föreskriva att personuppgifter a)skall behandlas på ett korrekt och lagligt sätt, b)skall samlas in för särskilda, uttryckligt angivna och berättigade än- damål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. behandling av uppgifter för historiska, statis- tiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skydds- åtgärder, c)skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas, d)skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga el- ler ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas, e)förvaras på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Med- lemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgif- ter som lagras för historiska, statistiska eller ve- tenskapliga ändamål. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs. PRINCIPER SOM GÖR ATT UPPGIFTSBEHANDLING KAN Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om a)den registrerade otvetydigt har lämnat sitt samtycke, eller b)behandlingen är nödvändig för att fullgöra ett avtal i vilket den regist- rerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, eller c)behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller d)behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade, eller e)behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den Bilaga 3 – EG-direktivet 95/46 om personuppgifter registeransvarige eller tredje man till vilken uppgifterna har lämnats ut, eller f)behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1. Behandlingen av särskilda kategorier av uppgifter 1.Medlemsstaterna skall förbjuda behandling av personuppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. 2.Punkt 1 gäller inte om a)den registrerade har lämnat sitt uttryckliga samtycke till en sådan be- handling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades sam- tycke, eller b)behandlingen är nödvändig för att fullgöra de skyldigheter och sär- skilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder, eller c)behandlingen är nödvändig för att skydda den registrerades eller nå- gon annan persons grundläggande intressen när den registrerade är fy- siskt eller rättsligt förhindrad att ge sitt samtycke, eller d)behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att be- handlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades sam- tycke, eller e)behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande el- ler försvara rättsliga anspråk. Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser Bilaga 3 – EG-direktivet 95/46 om personuppgifter som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt. 4.Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lag- stiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2. 5.Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller sä- kerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella be- stämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett full- ständigt register över brottmålsdomar får dock föras endast under kon- troll av en myndighet. Medlemsstaterna får föreskriva att uppgifter som rör administrativa sank- tioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. 6.De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen. 7.Medlemsstaterna skall bestämma på vilka villkor ett nationellt identifi- kationsnummer eller något annat vedertaget sätt för identifiering får be- handlas. Behandling av personuppgifter och yttrandefriheten Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestäm- melserna i detta kapitel, kapitel IV och kapitel VI endast om de är nöd- vändiga för att förena rätten till privatlivet med reglerna om yttrande- friheten. INFORMATIONSPLIKT TILL DEN REGISTRERADE Information vid insamling av uppgifter från den registrerade Medlemsstaterna skall föreskriva att den registeransvarige eller hans före- trädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till infor- mationen: a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med den behandling för vilken uppgifterna är avsedda. c)All ytterligare information, exempelvis Bilaga 3 – EG-direktivet 95/46 om personuppgifter mottagarna eller de kategorier som mottar uppgifterna, huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara, förekomsten av rättigheter att få tillgång till och att erhålla rättel- se av uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Information när uppgifterna inte har samlats in från den registrerade Om uppgifterna inte har samlats in från den registrerade, skall med- lemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen: a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med behandlingen. c)All ytterligare information, exempelvis de kategorier av uppgifter som behandlingen gäller, mottagarna eller de kategorier som mottar uppgifterna, förekomsten av rättigheter att få tillgång till och att erhålla rättel- se av de uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnan- de uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. DEN REGISTRERADES RÄTT ATT FÅ TILLGÅNG TILL UPP- Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige a)utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader Bilaga 3 – EG-direktivet 95/46 om personuppgifter få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkate- gorierna till vilka uppgifterna utlämnas, få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer, få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser så- dana automatiska beslut som avses i artikel 15.1, b)i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockera- de, särskilt om dessa är ofullständiga eller felaktiga, c)få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller inne- bär en oproportionerligt stor ansträngning. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken,