prop · H403139 · 2017-03-21 00:00:00 — 6.Om den berörda privata parten inte är etablerad inom unionen eller i ett land med vilket Europol har ett samarbetsavtal som medger utbyte av personuppgifter eller med vilket unionen har ingått ett internationellt avtal i enlighet med artikel 218 i EUF-fördraget eller vilket omfattas av ett beslut om adekvat skyddsnivå enligt artikel 25.1 a i denna förordning, ska överföringen, med avseende på punkt 5 a och b i den här artikeln, beviljas endast om överföringen är a)nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan person, eller b)nödvändig för att skydda den registrerades legitima intressen, eller c)avgörande för att avvärja ett och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller ett tredjeland, eller d)nödvändig, i ett enskilt fall, för att förebygga, utreda, avslöja eller lagföra brott som omfattas av Europols behörighet, eller e)nödvändig, i ett enskilt fall, för att fastslå, göra gällande eller försvara rättsliga anspråk som hänför sig till förebyggande, utredning, avslöjande eller lagföring av ett specifikt brott som omfattas av Europols behörighet. 7.Europol ska se till att alla överföringar av personuppgifter och orsakerna till dessa överföringar registreras utförligt i enlighet med denna förordning och på begäran överlämnas till Europeiska datatillsynsmannen i enlighet med artikel 8.Om de personuppgifter som erhållits eller ska överföras påverkar en medlemsstats intressen, ska Europol informera den berörda medlemsstatens nationella enhet. 9.Europol ska inte kontakta privata parter för att erhålla personuppgifter. 10.Kommissionen ska utvärdera praxisen med direkt utbyte av personuppgifter med privata parter Europeiska unionens officiella tidning L 135/81 1.I den mån det är nödvändigt för att Europol ska kunna utföra sina arbetsuppgifter, får Europol ta emot och behandla uppgifter som lämnas av privatpersoner. Personuppgifter som lämnas av privatpersoner får endast behandlas av Europol, om de har mottagits via a)en nationell enhet i enlighet med nationell rätt, b)en kontaktpunkt i ett tredjeland eller en internationell organisation, med vilken Europol har slutit ett samarbetsavtal före , som medger utbyte av personuppgifter enligt artikel 23 i beslut /371/RIF, eller c)en myndighet i tredjeland eller en internationell organisation som är föremål för ett beslut om adekvat skyddsnivå enligt artikel 25.1 a eller med vilken unionen har ingått en internationell överenskommelse i enlighet med artikel 218 i EUF-fördraget. 2.Om Europol mottar uppgifter, inbegripet personuppgifter, från en privatperson som är bosatt i ett tredjeland med vilket ingen internationell överenskommelse har ingåtts vare sig enligt artikel 23 i beslut /371/RIF eller enligt artikel 218 i EUF-fördraget, eller som inte är föremål för något beslut om adekvat skyddsnivå enligt artikel 25.1 a i denna förordning, får Europol endast vidarebefordra informationen till en medlemsstat eller ett berört tredjeland med vilket en sådan internationellt överenskommelse har ingåtts. 3.Om de mottagna personuppgifterna påverkar en medlemsstats intressen, ska Europol informera den berörda medlemsstatens nationella enhet. 4.Europol ska inte kontakta enskilda för att erhålla uppgifter. 5.Utan att det påverkar tillämpningen av artiklarna 36 och 37 får Europol inte överföra personuppgifter till privatpersoner. Allmänna principer för dataskydd a)behandlas på ett korrekt och lagenligt sätt, b)samlas in för särskilda, uttryckligt angivna och berättigade syften och inte vidarebehandlas på ett sätt som är oförenligt med detta syfte; vidarebehandling av personuppgifter för historiska ändamål, statistiska ändamål eller vetenskapliga forskningsändamål ska inte anses vara oförenligt med detta, förutsatt att Europol vidtar lämpliga skyddsåtgärder, särskilt för att säkerställa att uppgifterna inte behandlas i andra syften, c)vara adekvata, relevanta och begränsade till vad som krävs när det gäller de syften för vilka de behandlas, d)vara korrekta och hållas aktuella; alla rimliga åtgärder måste vidtas för att se till att personuppgifter som är felaktiga antingen utplånas eller rättas utan dröjsmål, med beaktande av de syften för vilka de behandlas, L 135/82 Europeiska unionens officiella tidning e)lagras på ett sätt som tillåter att de registrerade kan identifieras som inte är längre än vad som krävs för de syften för vilka personuppgifterna behandlades, f)behandlas på ett sätt som garanterar vederbörlig säkerhet för personuppgifter. 2.Europol ska offentliggöra ett dokument som på ett begripligt sätt anger bestämmelserna för behandling av personuppgifter och de medel som står till de registrerades förfogande för att de ska kunna utöva sina rättigheter. Bedömning av källans tillförlitlighet och uppgiftens korrekthet Tillförlitligheten hos den källa som lämnar uppgifter från en medlemsstat ska i möjligaste mån bedömas av den medlemsstat som tillhandahåller uppgifterna, med hjälp av följande källutvärderingskoder: (A): Det råder inget tvivel om källans äkthet, tillförlitlighet och kompetens eller uppgifterna tillhandahålls av en källa som tidigare alltid har visat sig vara tillförlitlig. (B): Informationen tillhandahålls av en källa som oftast har visat sig vara tillförlitlig. (C): Informationen tillhandahålls av en källa som oftast har visat sig vara otillförlitlig. (X): Källans tillförlitlighet kan inte bedömas. Korrektheten hos uppgifter från en medlemsstat ska i möjligaste mån bedömas av den medlemsstat som tillhandahåller uppgifterna, med hjälp av följande uppgiftsutvärderingskoder: (1): Uppgifter vars korrekthet inte betvivlas. (2): Uppgifter som källan känner till personligen men som den tjänsteman som vidarebefordrar uppgifterna inte känner till personligen. (3): Uppgifter som källan inte känner till personligen men som bekräftas av andra redan registrerade uppgifter. (4): Uppgifter som källan inte känner till personligen och som inte kan bekräftas. 3.Om Europol på grundval av redan innehavda uppgifter kommer till slutsatsen att den bedömning som anges i punkterna 1 eller 2 behöver korrigeras, ska Europol informera den berörda medlemsstaten och söka nå en överenskommelse om att ändra bedömningen. Europol får inte ändra bedömningen utan en sådan överenskommelse. 4.Om Europol mottar uppgifter från en medlemsstat utan någon bedömning i enlighet med punkterna 1 och 2, ska Europol försöka bedöma källans tillförlitlighet eller uppgifternas korrekthet på grundval av redan innehavda uppgifter. Bedömningen av särskilda uppgifter och särskild information ska göras i samförstånd med den medlemsstat som tillhandahåller uppgifterna. En medlemsstat och Europol får också i allmänna termer komma överens om bedömningen av särskilda typer av uppgifter och bestämda källor. Om ingen överenskommelse nås i det särskilda fallet eller det inte finns någon allmän överenskommelse, ska Europol utvärdera informationen eller uppgifterna och tilldela sådan information eller sådana uppgifter utvärderingskoderna X och 4 enligt punkterna 1 respektive 2. 5.Denna artikel ska tillämpas i tillämpliga delar om Europol får upplysningar eller uppgifter från ett unionsorgan, ett tredjeland, en internationell organisation eller en privat part. Europeiska unionens officiella tidning L 135/83 6.Uppgifter från allmänt tillgängliga källor ska bedömas av Europol med hjälp av de koder som anges i punkterna 1 och 2. 7.Om uppgifterna är resultatet av en analys som har gjorts av Europol vid fullgörandet av sina arbetsuppgifter, ska Europol bedöma sådana uppgifter i enlighet med denna artikel och i samförstånd med de medlemsstater som deltar Behandling av särskilda kategorier personuppgifter och olika kategorier registrerade 1.Behandling av personuppgifter om brottsoffer, vittnen eller andra personer som kan lämna uppgifter beträffande brott, eller om personer ska vara tillåtet, om det är strikt nödvändigt och proportionellt för att förhindra eller bekämpa brottslighet som omfattas av Europols mål. 2.Automatisk behandling av personuppgifter eller annan behandling som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt behandling av genetiska uppgifter och uppgifter som rör en persons hälsa eller sexualliv ska vara förbjudet, såvida det inte är strikt nödvändigt och proportionellt för att förebygga eller bekämpa brott som omfattas av Europols mål och om dessa uppgifter kompletterar andra personuppgifter som har behandlats av Europol. Det ska vara förbjudet att välja ut en särskild grupp personer enbart på grundval av sådana personuppgifter. 3.Endast Europol ska ha direkt åtkomst till personuppgifter av det slag som avses i punkterna 1 och 2. Den verkställande direktören ska vederbörligen utse ett begränsat antal av Europols tjänstemän som ska ha sådan åtkomst, om det är nödvändigt för att de ska kunna utföra sina arbetsuppgifter. 4.Inga beslut av en behörig myndighet med negativ rättslig verkan för en registrerad person får grundas enbart på automatisk behandling av uppgifter av det slag som avses i punkt 2, om inte beslutet uttryckligen är tillåtet enligt nationell lagstiftning eller unionslagstiftning. 5.Personuppgifter av det slag som avses i punkterna 1 och 2 får inte överföras till medlemsstater, unionsorgan, tredjeland eller internationella organisationer om det inte är strikt nödvändigt och proportionellt i enskilda fall som avser brottslighet som omfattas av Europols mål och i enlighet med kapitel V. 6.Varje år ska Europol förse Europeiska datatillsynsmannen med en statistisk översikt över alla personuppgifter av det slag som avses i punkt 2 som Europol har behandlat. Tidsgränser för lagring och utplåning av personuppgifter 1.Personuppgifter som behandlats av Europol får endast lagras av Europol så länge som det är nödvändigt för, och står i proportion till, det syfte för vilket uppgifterna behandlas. 2.Europol ska i alla fall se över behovet av fortsatt lagring senast efter det att den första behandlingen av personuppgifterna påbörjades. Europol får besluta om fortsatt lagring av personuppgifterna fram till nästa kontroll, som ska ske efter ytterligare en period av , om fortsatt lagring är nödvändig för att Europol ska kunna utföra sina arbetsuppgifter. Skälen till fortsatt lagring ska anges och registreras. Fattas inget beslut om fortsatt lagring, ska personuppgifterna automatiskt utplånas . L 135/84 Europeiska unionens officiella tidning 3.Om de personuppgifter av det slag som avses i artikel 30.1 och 30.2 lagras av , ska Europeiska datatillsynsmannen informeras om detta. 4.Om en medlemsstat, ett unionsorgan, tredjeland eller en internationell organisation har fastställt begränsningar avseende tidigare utplåning eller förstöring av personuppgifterna i samband med överföringen i enlighet med artikel 19.2, ska Europol utplåna personuppgifterna i enlighet med dessa begränsningar. Om fortsatt lagring anses nödvändig, mot bakgrund av underrättelser som är mer omfattande än de som uppgiftslämnaren har, för att Europol ska kunna utföra sina arbetsuppgifter, ska Europol inhämta uppgiftslämnarens samtycke till fortsatt lagring av uppgifterna och motivera sin begäran. 5.Om en medlemsstat, ett unionsorgan, ett tredjeland eller en internationell organisation i sina egna register utplånar personuppgifter som har överlämnats till Europol, ska de informera Europol om detta. Europol ska utplåna uppgifterna om inte fortsatt lagring av uppgifterna, mot bakgrund av underrättelser som är mer omfattande än de som uppgifts lämnaren har, anses nödvändig för att Europol ska kunna utföra sina uppgifter. Europol ska informera uppgiftslämnaren om att uppgifterna kommer att fortsätta lagras och motivera den fortsatta lagringen. 6.Personuppgifter får inte utplånas i följande fall: a)Om det skulle skada en skyddsbehövande registrerads intressen. I sådana fall får uppgifterna endast användas med den registrerades uttryckliga, skriftliga samtycke. b)Om den registrerade bestrider uppgifternas korrekthet, som ger medlemsstaterna eller Europol möjlighet att vid behov kontrollera korrektheten. c)Om de måste sparas som bevisning eller för att fastslå, göra gällande eller försvara rättsliga anspråk. d)Om den registrerade motsätter sig att de utplånas och i stället begär att användningen ska begränsas. 1.Europol ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från oavsiktlig eller olaglig utplåning, oavsiktlig förlust eller otillåtet utlämnande, otillåtna ändringar, otillåten åtkomst och varje annat slag av otillåten behandling. 2.Vid automatisk databehandling ska Europol och varje medlemsstat vidta lämpliga åtgärder för att a)vägra varje obehörig person åtkomst till datorutrustning som används för behandling av personuppgifter (åtkomstskydd för utrustning), b)förhindra att databärare läses, kopieras, ändras eller avlägsnas av obehöriga (kontroll av datamedier), c)förhindra obehörig registrering av data och obehörig åtkomst till, ändring av eller utplåning av lagrade personuppgifter (lagringskontroll), d)förhindra att obehöriga personer kan använda datasystem via datakommunikation (användarkontroll), e)säkerställa att alla som är behöriga att använda ett system för behandling av uppgifter endast har åtkomst till de uppgifter för vilka de är behöriga (behörighetskontroll), Europeiska unionens officiella tidning L 135/85 f)säkerställa att det är möjligt att kontrollera och konstatera till vilka enheter personuppgifter får överföras eller har överförts via datakommunikation (kommunikationskontroll), g)säkerställa att det är möjligt att kontrollera och konstatera vilka personuppgifter som har införts i datasystemen samt när och av vem uppgifterna infördes (kontroll av indata), h)säkerställa att det är möjligt att kontrollera och fastställa vilken anställd som haft åtkomst till vilka uppgifter och (åtkomstlogg), i)förhindra obehörig läsning, kopiering, ändring eller utplåning av personuppgifter i samband med överföring av sådana uppgifter eller under transport av databärare (transportkontroll), j)säkerställa att det är möjligt att återställa de installerade systemen vid avbrott (återställande), och k)säkerställa att systemet fungerar felfritt, att uppkomna funktionsfel rapporteras (driftsäkerhet) och att de lagrade uppgifterna inte kan förvanskas genom ett funktionsfel i systemet (dataintegritet). 3.Europol och medlemsstaterna ska fastställa metoder för att se till att säkerhetsbehoven beaktas inom och mellan alla informationssystem. Europol ska genomföra lämpliga tekniska och organisatoriska åtgärder och förfaranden för att se till att behandlingen av uppgifter är förenlig med denna förordning och värnar de berörda registrerades rättigheter. Anmälan av en personuppgiftsincident till berörda myndigheter 1.I händelse av en personuppgiftsincident ska Europol utan onödigt dröjsmål anmäla detta till Europeiska datatill synsmannen och de berörda medlemsstaternas behöriga myndigheter, i enlighet med villkoren i artikel 7.5, samt till den som lämnat de berörda uppgifterna. 2.Den anmälan som avses i punkt 1 ska minst innehålla a)en beskrivning av personuppgiftsincidentens art, inbegripet, om så är möjligt och lämpligt, berörda kategorier av och antal registrerade samt berörda kategorier av och antal uppgiftsposter, b)en beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten, c)en beskrivning av de åtgärder som Europol föreslagit eller vidtagit för att åtgärda personuppgiftsincidenten, och d)när så är lämpligt, rekommenderade åtgärder för att begränsa de möjliga negativa följderna av personuppgiftsin cidenten. 3.Europol ska dokumentera alla personuppgiftsincidenter inklusive omständigheterna kring dem, samt deras följder och de korrigerande åtgärder som vidtagits, och därmed göra det möjligt för Europeiska datatillsynsmannen att kontrollera att denna artikel efterlevs. L 135/86 Europeiska unionens officiella tidning Information till den registrerade om en personuppgiftsincident 1.Med förbehåll för punkt 4 i den här artikeln ska Europol om en sådan personuppgiftsincident som avses i artikel 34sannolikt kommer att ha en allvarlig negativ inverkan på den registrerades fri- och rättigheter utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten. 2.Det meddelande till den registrerade som avses i punkt 1 ska, när det är möjligt, beskriva personuppgiftsin cidentens art, rekommenderade åtgärder för att begränsa möjliga negativa följder av personuppgiftsincidenten samt innehålla dataskyddsombudets kontaktuppgifter. 3.Om Europol inte har den berörda registrerades kontaktuppgifter ska uppgiftslämnaren ombes att informera den registrerade om personuppgiftsincidenten och informera Europol om vilket beslut som fattas. De medlemsstater som tillhandahåller uppgifterna ska informera den berörda registrerade i enlighet med förfaranden enligt sin nationella rätt. 4.Det ska inte vara ett krav att informera den registrerade om en personuppgiftsincident om a)Europol på de personuppgifter som berördes av personuppgiftsincidenten har tillämpat lämpliga tekniska skyddsåtgärder som gör uppgifterna oläsbara för alla personer som inte är behöriga att ha åtkomst till dem, b)Europol har vidtagit ytterligare åtgärder som säkerställer att den registrerades fri- och rättigheter sannolikt inte längre kommer att påverkas allvarligt, eller c)sådan information skulle medföra orimligt mycket arbete, särskilt med tanke på antalet berörda fall. I sådana fall ska de berörda registrerade i stället informeras lika effektivt genom ett offentligt meddelande eller en liknande åtgärd. 5.Informationen till den registrerade får senareläggas, begränsas eller utelämnas om detta utgör en nödvändig åtgärd med beaktande av den berörda personens legitima intressen av att a)undvika att hindra officiella eller rättsliga utredningar, undersökningar eller förfaranden, b)undvika menlig inverkan på förebyggande, upptäckt, utredning och lagföring av brott eller för verkställighet av straffrättsliga påföljder, c)värna allmän och nationell säkerhet, d)skydda tredje mans fri- och rättigheter. 1.En registrerad ska ha rätt att med rimliga tidsintervall få information om huruvida Europol behandlar personuppgifter som rör denne. 2.Utan att det påverkar tillämpningen av punkt 5 ska Europol lämna följande upplysningar till den registrerade: a)Bekräftelse på om uppgifter som rör denne behandlas eller inte. b)Information om åtminstone syftet med behandlingen, de berörda uppgiftskategorierna och till vilka mottagare eller mottagarkategorier uppgifterna lämnas ut. Europeiska unionens officiella tidning L 135/87 c)Information i begriplig form om personuppgifter som behandlas och eventuell tillgänglig information om deras källor. d)Uppgift om den rättsliga grunden för behandlingen av personuppgifterna. e)Den förutsedda period under vilken personuppgifterna kommer att lagras. f)Information om rätten att vända sig till Europol för att begära rättelse, utplåning eller begränsning av behandlingen av personuppgifter om den registrerade. 3.Varje registrerad som vill utöva åtkomsträtten till personuppgifter som rör denne kan lämna in en begäran om detta, utan att ådra sig alltför stora kostnader, till den myndighet som utsetts för detta ändamål, i valfri medlemsstat. Denna myndighet ska hänskjuta begäran till Europol utan dröjsmål och under alla omständigheter inom en månad från mottagandet. 4.Europol ska bekräfta att begäran i enlighet med punkt 3 har mottagits. Europol ska besvara den utan dröjsmål och under alla omständigheter senast från det att Europol mottagit den nationella myndighetens begäran. 5.Europol ska samråda med medlemsstaternas behöriga myndigheter i enlighet med de villkor som fastställs i artikel 7.5, och med den som har lämnat de berörda uppgifterna, innan beslut fattas. Ett beslut om åtkomst till personuppgifter ska vara avhängigt av ett nära samarbete mellan Europol och medlemsstaterna och den uppgiftslämnare som direkt berörs av den registrerades åtkomst till uppgifterna. Om medlemsstaten eller uppgiftslämnaren motsätter sig Europols förslag till svar, ska den meddela Europol grunderna för detta i enlighet med punkt 6 i den här artikeln. Europol ska ta sådana invändningar under noggrant övervägande. Europol ska därefter underrätta de berörda behöriga myndigheterna, i enlighet med de villkor som fastställs i artikel 7.5, och uppgiftslämnaren om sitt beslut. 6.Tillhandahållande av information som svar på en begäran enligt punkt 1 kan vägras eller begränsas, om en sådan vägran eller begränsning är en åtgärd som är nödvändig för att a)Europol ska kunna utföra sina arbetsuppgifter på ett korrekt sätt, b)skydda säkerhet och allmän ordning eller förhindra brott, c)garantera att en nationell utredning inte äventyras, eller d)skydda tredje mans fri- och rättigheter. Vid bedömning av om ett undantag är tillämpligt ska hänsyn tas till den registrerades grundläggande rättigheter och intressen. Europol ska skriftligen informera den registrerade om en eventuell vägran eller begränsning av åtkomsten, om motiveringen till ett sådant beslut och om dennes rätt att klaga hos Europeiska datatillsynsmannen. Om tillhandahållande av sådan information skulle göra punkt 6 verkningslös, ska Europol endast underrätta personen i fråga om att kontroller har utförts, utan att lämna information som skulle kunna röja för denne huruvida personuppgifter om denne behandlas av Europol eller inte. Rätt till rättelse, utplåning eller begränsning Varje registrerad som i enlighet med artikel 36 har fått åtkomst till personuppgifter som rör denne som behandlats av Europol har rätt att i valfri medlemsstat, genom den myndighet som denna medlemsstat har utsett för detta ändamål, begära att Europol rättar personuppgifter som rör denne vilka innehas av Europol om de är felaktiga eller kompletterar eller uppdaterar dem. Den myndigheten ska hänskjuta begäran till Europol utan dröjsmål och under alla omständigheter inom en månad från mottagandet. L 135/88 Europeiska unionens officiella tidning 2.Varje registrerad som i enlighet med artikel 36 har fått åtkomst till personuppgifter som rör denne som behandlats av Europol har rätt att i valfri medlemsstat, genom den myndighet som denna medlemsstat har utsett för detta ändamål, begära att Europol utplånar personuppgifter som rör denne vilka innehas av Europol, om de inte längre fyller det syfte för vilket de har samlats in eller behandlas. Den myndigheten ska hänskjuta begäran till Europol utan dröjsmål och under alla omständigheter inom en månad från mottagandet. 3.Europol ska, istället för att utplåna, begränsa personuppgifter som avses i punkt 2, om det finns skälig grund att anta att utplåning skulle kunna påverka den registrerades legitima intressen. Begränsade uppgifter får endast behandlas för det syfte som hindrade att de utplånades. 4.Om de personuppgifter som avses i punkterna 1, 2 och 3 som innehas av Europol har överlämnats till Europol av tredjeland, internationella organisationer eller unionsorgan, har tillhandahållits direkt av privata parter, har hämtats ur allmänt tillgängliga källor av Europol eller kommer från Europols egna analyser, ska Europol rätta, utplåna eller begränsa uppgifterna och, om lämpligt, underrätta uppgiftslämnarna. 5.Om personuppgifter som avses i punkterna 1, 2 och 3 som innehas av Europol har överlämnats till Europol av medlemsstaterna, ska de berörda medlemsstaterna rätta, utplåna eller begränsa uppgifterna i samarbete med Europol inom ramen för sina respektive befogenheter.