Forslag til EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger /* COM/2012/010 final - 2012/0010 (COD) */





BEGRUNDELSE 1. BAGGRUND FOR FORSLAGET I denne begrundelse redegøres der nærmere for den nye retlige ramme for beskyttelse af personoplysninger i EU som fremlagt i Kommissionens meddelelse COM(2012) 9 final. Rammen består af to forslag til retsakt: – et forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) – et forslag til Europa-Parlamentets og Rådets direktiv om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger. Denne begrundelse vedrører sidstnævnte forslag. Kernen i den eksisterende EU-lovgivning om beskyttelse af personoplysninger, direktiv 95/46/EF[1], blev vedtaget i 1995 med det dobbelte formål at beskytte den grundlæggende ret til databeskyttelse og at garantere fri udveksling af personoplysninger mellem medlemsstaterne. Det er blevet suppleret med en række instrumenter med specifikke databeskyttelsesregler på området politimæssigt og retligt samarbejde i straffesager[2] (tidligere tredje søjle), herunder rammeafgørelse 2008/977/RIA[3]. Det Europæiske Råd har opfordret Kommissionen til at evaluere, hvordan EU's instrumenter vedrørende databeskyttelse fungerer, og om nødvendigt fremlægge yderligere lovgivnings­mæssige eller ikke-lovgivningsmæssige initiativer[4]. I sin beslutning om Stockholm­programmet glædede Europa-Parlamentet[5] sig over forslaget til en generel databeskyttelses­ordning i EU og opfordrede bl.a. til en revision af rammeafgørelsen. Kommissionen har i sin handlingsplan om gennemførelse af Stockholmprogrammet[6] understreget behovet for at sikre, at den grundlæggende ret til beskyttelse af personoplysninger overholdes konsekvent i forbindelse med alle EU-politikker. Det understreges i handlingsplanen, at "i et globalt samfund, der er præget af hurtige teknologiske ændringer, hvor informationsudvekslingen ikke kender til grænser, er det i særdeleshed vigtigt, at privatlivets fred sikres. EU skal sikre, at den grundlæggende ret til databeskyttelse overholdes konsekvent. Vi skal styrke EU’s holdning til beskyttelse af personoplysninger inden for rammerne af alle EU-politikker, herunder retshåndhævelse og kriminalitetsforebyggelse, og i vores internationale relationer." I sin meddelelse "En global metode til beskyttelse af personoplysninger i Den Europæiske Union"[7] konkluderede Kommissionen, at EU har brug for en mere omfattende og sammenhængende politik om den grundlæggende ret til beskyttelse af personoplysninger. Rammeafgørelse 2008/997/RIA har et begrænset anvendelsesområde, da den kun finder anvendelse på databehandling på tværs af grænserne og ikke på politi- og retsmyndighedernes databehandling på rent nationalt plan. Dette vil kunne skabe vanskeligheder for politiet og andre myndigheder på områderne strafferetligt samarbejde og politisamarbejde. De er ikke altid i stand til med lethed at sondre mellem rent national databehandling og databehandling på tværs af grænserne eller til at forudse, om personoplysninger senere bliver genstand for udveksling på tværs af grænserne. (se afdeling 2 nedenfor). Rammeafgørelsen giver desuden i kraft af sin art og sit indhold medlemsstaterne et meget stort råderum til at gennemføre rammebestemmelserne i national lovgivning. Den indeholder endvidere ikke bestemmelser om mekanismer eller en rådgivende gruppe som Artikel 29-gruppen, der kan fremme en fælles fortolkning af rammebestemmelserne, eller bestemmelser om gennemførelsesbeføjelser til Kommissionen for at sikre en fælles tilgang til gennemførelsen. I artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) fastsættes det, at enhver har ret til beskyttelse af personoplysninger. Ved artikel 16, stk. 2, i TEUF indfører Lissabontraktaten desuden et specifikt retsgrundlag for vedtagelsen af regler om beskyttelse af personoplysninger, der også finder anvendelse på retligt samarbejde i straffe­sager og politisamarbejde. I artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder fastslås det, at beskyttelse af personoplysninger er en grundlæggende rettighed. I henhold til artikel 16 i TEUF skal lovgiveren fastsætte regler for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, også inden for strafferetligt samarbejde og politisamarbejde, som omfatter behandling af personoplysninger både på tværs af grænserne og nationalt. Det vil gøre det muligt at beskytte fysiske personers grundlæggende rettigheder og friheder, særlig deres ret til beskyttelse af personoplysninger, og samtidig sikre udvekslingen af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner. Det vil bidrage til at fremme samarbejdet om bekæmpelse af kriminalitet i Europa. Som følge af den specifikke karakter af politimæssigt og retligt samarbejde i straffesager erkendte konferencen i erklæring 21[8], at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri bevægelighed for disse oplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i TEUF. 2. RESULTATER AF HØRINGEN AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER Dette initiativ er resultatet af omfattende høringer af de vigtigste interesserede parter om en revision af den nuværende retlige ramme for beskyttelse af personoplysninger, der omfattede to offentlige høringsfaser: – Fra den 9. juli til den 31. december 2009: høring om den retlige ramme for beskyttelse af personoplysninger, hvor Kommissionen modtog 168 svar, heraf 127 fra enkeltpersoner, erhvervsorganisationer og -sammenslutninger og 12 fra offentlige myndigheder Alle ikke-fortrolige bidrag findes på Kommissionens websted[9]. – Fra den 4. november 2010 til den 15. januar 2011: høring om Kommissionens globale metode til beskyttelse af personoplysninger i EU, hvor Kommissionen modtog 305 svar, heraf 54 fra borgere, 31 fra offentlige myndigheder og 220 fra private organisationer, navnlig erhvervssammenslutninger og ngo'er. Alle ikke-fortrolige bidrag findes på Kommissionens websted[10]. Disse høringer fokuserede i vid udstrækning på revisionen af direktiv 95/46/EF, men der blev også gennemført målrettede høringer af de berørte retshåndhævende myndigheder. Der blev navnlig afholdt en workshop den 29. juni 2010 med deltagelse af myndigheder fra medlemsstaterne om anvendelsen af databeskyttelsesreglerne på offentlige myndigheder, herunder på området politimæssigt og retligt samarbejde i straffesager. Den 2. februar 2011 afholdt Kommissionen desuden en workshop med deltagelse af medlemsstaternes myndigheder med det formål at drøfte gennemførelsen af rammeafgørelse 2008/977/RIA og mere generelt databeskyttelsesspørgsmål i forbindelse med politimæssigt og retligt samarbejde i straffesager. EU-borgere blev hørt i en Eurobarometerundersøgelse i november-december 2010[11]. Der blev også indledt en række undersøgelser[12]. "Artikel 29-gruppen"[13] indgav en række udtalelser og nyttige bidrag til Kommissionen[14]. Den Europæiske Tilsynsførende for Databeskyttelse har også afgivet en bred udtalelse om de spørgsmål, der rejses i Kommissionens meddelelse fra november 2010[15]. Parlamentet godkendte ved sin beslutning af 6. juli 2011 en betænkning, der støttede Kommissionens tilgang til reformen af databeskyttelsesrammen[16]. Rådet støttede i sine konklusioner vedtaget den 24. februar 2011 generelt Kommissionens hensigt om at reformere databeskyttelsesrammen og tilsluttede sig mange af elementerne i Kommissionens tilgang. Det Europæiske Økonomiske og Sociale Udvalg har ligeledes givet sin støtte til Kommissionens generelle hensigt om at sikre en mere sammenhængende anvendelse af EU's databeskyttelsesregler på tværs af alle medlemsstater og en hensigtsmæssig revision af direktiv 95/46/EF[17]. Kommissionen har i overensstemmelse med sin handlingsplan for en bedre lovgivning foretaget en konsekvensanalyse af alternative politikker[18]. Konsekvensanalysen var baseret på de tre politiske målsætninger om at lægge større vægt på databeskyttelse som led i det indre marked, forbedre fysiske personers muligheder for at udøve deres databeskyttelsesrettigheder og skabe et omfattende og sammenhængende system, der dækker alle EU's kompetence­områder, herunder politimæssigt og retligt samarbejde i straffesager. To politiske løsningsmodeller blev overvejet i forbindelse med denne sidste målsætning. Den første model bestod grundlæggende i at udvide datebeskyttelsesreglernes anvendelsesområde på dette område og tage fat på at udfylde hullerne og løse andre problemer, rammeafgørelsen rejser. Den anden model var mere vidtrækkende med meget præskriptive og strenge bestemmelser, der også ville gøre det tvingende nødvendigt at ændre alle andre tidligere tredje søjle-instrumenter. Man mente ikke, at en tredje "minimalistisk" model, primært baseret på fortolk­ningsmeddelelser og politiske støtteforanstaltninger som f.eks. finansieringsprogrammer og tekniske værktøjer og minimale lovgivningsændringer, i tilstrækkelig grad kunne afhjælpe de konstaterede problemer på dette område i relation til databeskyttelse. I overensstemmelse med Kommissionens fastlagte metode blev hver model vurderet med hjælp fra en intern tværgående styregruppe i forhold til modellens effektivitet med hensyn til at opfylde de politiske målsætninger, dens økonomiske indvirkning på aktørerne (herunder på EU-institutionernes budget), dens sociale indvirkning og dens indvirkning på de grundlæggende rettigheder. Der blev ikke konstateret miljømæssige indvirkninger. Analysen af den overordnede indvirkning resulterede i udformningen af den foretrukne model, som indgår i dette forslag. Ifølge analysen vil gennemførelsen heraf føre til en yderligere styrkelse af databeskyttelsen på dette politikområde, navnlig ved at omfatte national databehandling, hvorved retssikkerheden for de kompetente myndigheder på områderne strafferetligt samarbejde og politisamarbejde øges. Udvalget for Konsekvensanalyse afgav en udtalelse om udkastet til konsekvensanalyse den 9. september 2011. I forlængelse af denne udtalelse blev der navnlig foretaget følgende ændringer i konsekvensanalysen: – målsætningerne for den planlagte retlige ramme (det omfang, hvori de er opfyldt og ikke opfyldt) og målsætningerne for den planlagte reform blev præciseret – yderligere dokumentation, forklaringer og præciseringer er føjet til afsnittet om definition af problemer. Kommissionen har ligeledes udarbejdet en rapport om gennemførelsen af rammeafgørelse 2008/977/RIA i henhold til afgørelsens artikel 29, stk. 2, der skal vedtages som led i denne pakke om databeskyttelse[19]. Rapportens konklusioner, der var baseret på oplysninger fra medlemsstaterne, blev også brugt som input til udarbejdelsen af konsekvensanalysen. 3. FORSLAGETS RETLIGE ASPEKTER 3.1. Retsgrundlag Forslaget er baseret på artikel 16, stk. 2, i TEUF, som er et nyt, specifikt retsgrundlag indført ved Lissabontraktaten for vedtagelsen af regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger foretaget af EU's institutioner, organer, kontorer og agenturer samt af medlemsstaterne under udøvelse af aktiviteter, der falder inden for rammerne af EU-retten, og for vedtagelsen af regler om fri udveksling af person­oplysninger. Formålet med forslaget er at sikre et ensartet og højt niveau for databeskyttelse på dette område og således øge den gensidige tillid mellem politi- og retsmyndighederne i de forskellige medlemsstater og fremme fri udveksling af data og samarbejde mellem politi- og retsmyndigheder. 3.2. Nærhedsprincippet og proportionalitetsprincippet I henhold til nærhedsprincippet (EU-traktatens artikel 5, stk. 3) iværksættes der kun foranstaltninger på EU-plan, hvis og i det omfang de forventede mål ikke i tilstrækkelig grad kan nås af medlemsstaterne alene og derfor på grund af den påtænkte handlings omfang eller virkninger bedre kan gennemføres på EU-plan. I lyset af de ovennævnte problemer giver analysen af nærhedsprincippet følgende begrundelser for nødvendigheden af en indsats på EU-plan: – Retten til beskyttelse af personoplysninger, som er udtrykkeligt fastsat i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder og i artikel 16, stk. 1, i TEUF, forudsætter samme databeskyttelsesniveau i hele EU. Den forudsætter samme beskyttelses­niveau for oplysninger, der udveksles og behandles på nationalt plan. – Der er et voksende behov for, at de retshåndhævende myndigheder i medlemsstaterne behandler og udveksler oplysninger stadig hurtige med henblik på at forebygge og bekæmpe kriminalitet på tværs af grænserne og terrorisme. I den forbindelse vil klare og sammenhængende regler om databeskyttelse på EU-plan medvirke til at styrke samarbejdet mellem de pågældende myndigheder. – Der er desuden en række praktiske udfordringer i forbindelse med håndhævelsen af lovgivningen om databeskyttelse og et behov for samarbejde mellem medlemsstaterne og deres myndigheder, som bør organiseres på EU-plan for at sikre en ensartet anvendelse af EU-lovgivningen. I visse situationer er EU mest velegnet til effektivt og ensartet at sikre det samme beskyttelsesniveau for fysiske personer, når deres personoplysninger videregives til tredjelande. – Medlemsstaterne kan ikke selv mindske de aktuelle problemer, navnlig ikke problemerne vedrørende de nationale lovgivningers fragmentering. Der er også et specifikt behov for at skabe en harmoniseret og sammenhængende ramme, som muliggør nem udveksling af personoplysninger på tværs af EU's grænser, samtidig med at alle fysiske personer i EU sikres effektiv beskyttelse. – Den foreslåede EU-lovgivning vil være mere effektiv end tilsvarende lovgivning på medlemsstatsniveau på grund af problemernes karakter og omfang, som ikke kun gør sig gældende for én eller nogle få medlemsstater. I henhold til proportionalitetsprincippet skal interventioner være målrettede og må ikke gå videre end det, der er nødvendigt for at nå målene. Det har været det ledende princip i forbindelse med forberedelsen af dette forslag, fra identificeringen og vurderingen af alternative løsningsmodeller til udarbejdelsen af forslaget. Et direktiv er derfor det bedste instrument til at sikre harmonisering på EU-plan på dette område, samtidig med at medlemsstaterne får den nødvendige fleksibilitet til at gennemføre principperne, reglerne og undtagelserne herfor på nationalt plan. I lyset af kompleksiteten af de nuværende nationale regler for beskyttelse af personoplysninger, der behandles i forbindelse med det politimæssige og retlige samarbejde i straffesager, og målet om en overordnet harmonisering af disse regler ved hjælp af dette direktiv vil Kommissionen være nødt til at bede medlemsstaterne om at fremlægge dokumenter, der forklarer forholdet mellem direktivets enkeltdele og de tilsvarende dele i de nationale gennemførelsesinstrumenter, for at den kan udføre sin opgave med at kontrollere implementeringen af direktivet. 3.3. Sammenfatning af aspektet "grundlæggende rettigheder" Retten til beskyttelse af personoplysninger er indført ved artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16 i TEUF samt artikel 8 i den europæiske menneskerettighedskonvention. Som det understreges af EU-Domstolen[20], er retten til beskyttelse af personoplysninger ikke en absolut ret, men skal ses i forhold til dens funktion i samfundet[21]. Databeskyttelse hænger tæt sammen med respekten for privatliv og familieliv, som er omhandlet i chartrets artikel 7. Dette afspejles i artikel 1, stk. 1, i direktiv 95/46/EF, ifølge hvilket medlemsstaterne sikrer beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger. Andre af chartrets grundlæggende rettigheder, som evt. berøres, omfatter forbuddet mod forskelsbehandling på grund af bl.a. race, etnisk oprindelse, genetiske anlæg, religion eller tro, politiske eller andre anskuelser, handicap eller seksuel orientering (artikel 21), børns rettigheder (artikel 24) og adgang til effektive retsmidler og til en upartisk domstol og en retfærdig rettergang (artikel 47). 3.4. Nærmere beskrivelse af forslaget 3.4.1. KAPITEL I - GENERELLE BESTEMMELSER I artikel 1 fastsættes genstanden for direktivet, nemlig reglerne om behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner samt direktivets dobbelte målsætning om at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til beskyttelse af personoplysninger, samtidig med at der sikres et højt beskyttelsesniveau for den offentlige sikkerhed, og sikre fri udveksling af personoplysninger mellem de kompetente myndigheder i EU. I artikel 2 fastlægges direktivets anvendelsesområde. Direktivets anvendelsesområde er ikke begrænset til databehandling på tværs af grænserne, men finder anvendelse på enhver behandling, der foretages af "kompetente myndigheder" (som defineret i artikel 3, stk. 14) inden for rammerne af direktivet. Direktivet finder ikke anvendelse på behandling af personoplysninger ved aktiviteter, som falder uden for EU-rettens rammer, eller behandling af personoplysninger foretaget af EU's institutioner, organer, kontorer og agenturer, der er omfattet af forordning (EF) nr. 45/2001 og af anden specifik lovgivning. Artikel 3 indeholder definitionerne af de begreber, der anvendes i direktivet. Nogle definitioner er overtaget fra direktiv 95/46/EF og rammeafgørelse 2008/977/RIA, mens andre er ændret og suppleret af yderligere eller nyligt indførte elementer. De nye definitioner er "brud på persondata­sikkerheden", "genetiske data" og "biometriske data", "kompetente myndigheder" (på grundlag af artikel 87 i TEUF og artikel 2, litra h), i rammeafgørelse 2008/977/RIA) og "barn" i overensstemmelse med FN's konvention om barnets rettigheder[22]. 3.4.2. KAPITEL II - PRINCIPPER I artikel 4 fastsættes principperne for behandling af personoplysninger og afspejler artikel 6 i direktiv 95/46/EF og artikel 3 i rammeafgørelse 2008/977/RIA, idet de tilpasses til den særlige baggrund for dette direktiv. I henhold til artikel 5 skal der så vidt muligt sondres mellem personoplysninger om forskellige kategorier af registrerede. Det er en ny bestemmelse, der hverken er omfattet af direktiv 95/46/EF eller af rammeafgørelse 2008/977/RIA, men som var omfattet af Kommissionens oprindelige forslag til rammeafgørelse[23]. Den bygger på Europarådets henstilling R (87) 15. Der er allerede blevet indført lignende regler for Europol[24] og Eurojust[25]. Artikel 6 om forskellige grader af nøjagtighed og pålidelighed er i overensstemmelse med princip 3.2 i Europarådets henstilling R (87) 15. Lignende regler, som også er omfattet af Kommissionens forslag til rammeafgørelse, er allerede blevet indført for Europol[26]. Artikel 7 indeholder kriterierne for lovlig behandling af personoplysninger, når denne er nødvendig for, at en kompetent myndighed kan udføre sin opgave i henhold til national lovgivning for derved at opfylde en retlig forpligtelse, der påhviler den registeransvarlige for derved at beskytte den registreredes eller en anden persons vitale interesser eller forebygge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed. De øvrige kriterier for lovlig behandling i artikel 7 i direktiv 95/46/EF er ikke relevante for behandling af person­oplysninger inden for politimæssigt og retligt samarbejde i straffesager. I artikel 8 fastsættes et generelt forbud mod behandling af særlige kategorier af person­oplysninger sammen med undtagelserne fra denne generelle regel baseret på artikel 8 i direktiv 95/46/EF, og der tilføjes bestemmelser om behandling af genetiske data, jf. Den Europæiske Menneskerettighedsdomstols retspraksis[27]. I artikel 9 fastsættes et forbud mod foranstaltninger baseret udelukkende på automatiseret behandling af personoplysninger, hvis dette ikke er tilladt ved lov, hvilket sikrer en hensigtsmæssig beskyttelse, jf. artikel 7 i rammeafgørelse 2008/977/RIA. 3.4.3. KAPITEL III - DEN REGISTREREDES RETTIGHEDER Artikel 10 forpligter medlemsstaterne til at sikre lettilgængelige og forståelige oplysninger, navnlig inspireret af princip 10 i Madridresolutionen om internationale standarder for beskyttelse af personlige oplysninger og privatlivets fred[28], og til at pålægge den registeransvarlige at fastlægge procedurer og mekanismer, der kan lette de registreredes udøvelse af deres rettigheder. Det omfatter et krav om, at udøvelsen af rettighederne i princippet skal være gratis. I artikel 11 præciseres medlemsstaternes forpligtelse til at sikre overholdelsen af oplysnings­pligten over for den registrerede. Disse forpligtelser er baseret på artikel 10 og 11 i direktiv 95/46/EF, uden dog at være opdelt i særskilte artikler, alt efter om oplysningerne indsamles fra den registrerede eller ej, og oplysningspligten er blevet udvidet. Artiklen indeholder bestemmelser om undtagelser fra oplysningspligten, når sådanne undtagelser står i rimeligt forhold til det tilsigtede mål og er nødvendige i et demokratisk samfund af hensyn til de kompetente myndigheders varetagelse af deres opgaver (inspireret af artikel 13 i direktiv 95/46/EF og artikel 17 i rammeafgørelse 2008/977/RIA). Artikel 12 forpligter medlemsstaterne til at sikre den registreredes ret til indsigt i sine personoplysninger med udgangspunkt i artikel 12, litra a), i direktiv 95/46/EF, idet der tilføjes nye elementer, som har til formål at oplyse de registrerede (om opbevaringsperioden samt deres ret til at berigtige og slette personoplysninger eller begrænse oplysningerne og at indgive klager). I henhold til artikel 13 kan medlemsstaterne vedtage lovgivningsmæssige foranstaltninger, der begrænser retten til indsigt, hvis det er nødvendigt under hensyn til den særlige karakter af behandlingen af personoplysninger på området politimæssigt og retligt samarbejde i straffesager, og om pligten til at underrette den registrerede om en begrænsning af retten til indsigt i henhold til artikel 17, stk. 2 og 3, i rammeafgørelse 2008/977/RIA. I artikel 14 indføres en bestemmelse om, at hvis den direkte indsigt i oplysninger begrænses, skal den registrerede underrettes om muligheden for indirekte indsigt via tilsynsmyndigheden, der skal udøve denne ret på den registreredes vegne og underrette den registrerede om resultatet af kontrollen. Artikel 15 om retten til at berigtige oplysninger er baseret på artikel 12, litra b), i direktiv 95/46/EF og med hensyn til forpligtelserne i tilfælde af afslag på artikel 18, stk. 1, i rammeafgørelse 2008/977/RIA. Artikel 16 om retten til slette oplysninger er baseret på artikel 12, litra b), i direktiv 95/46/EF og med hensyn til forpligtelserne i tilfælde af afslag på artikel 18, stk. 1, i rammeafgørelse 2008/977/RIA. Den omfatter også retten til i visse tilfælde at få behandlingen markeret, således at den tvetydige terminologi "blokering", der anvendes i artikel 12, litra b), i direktiv 95/46/EF og artikel 18, stk. 1, i rammeafgørelse 2008/977/RIA, undgås. Artikel 17 om berigtigelse og sletning at oplysninger og begrænsning af behandlingen af personoplysninger i forbindelse med retssager skaber klarhed. Den er baseret på artikel 4, stk. 4, i rammeafgørelse 2008/977/RIA. 3.4.4. KAPITEL IV - REGISTERANSVARLIG OG REGISTERFØRER 3.4.4.1. AFDELING 1 - GENERELLE FORPLIGTELSER I artikel 18 beskrives den registeransvarliges ansvar for at overholde dette direktiv og sikre dette, herunder ved indførelse af regler og systemer, således at direktivet faktisk bliver overholdt. Det fastslås i artikel 19, at medlemsstaterne skal sikre, at den registeransvarlige overholder sine forpligtelser som følge af principperne om indbygget databeskyttelse og databeskyttelse gennem indstillinger. Artikel 20 om fælles registeransvarlige afklarer de fælles registeransvarliges indbyrdes forhold. I artikel 21 afklares registerførernes rolle og forpligtelser, delvis baseret på artikel 17, stk. 2, i direktiv 95/46/EF, og der tilføjes nye elementer, herunder at en registerfører, som behandler oplysninger ud over den registeransvarliges instrukser, betragtes som en fælles registeransvarlig. Artikel 22 om behandling, der udføres under den registeransvarlige og registerføreren, er baseret på artikel 16 i direktiv 95/46/EF. I henhold til artikel 23 er de registeransvarlige og registerførere forpligtet til at opbevare dokumentation over alle de databehandlingssystemer og ‑procedurer, de har ansvaret for. Artikel 24 omhandler registre, jf. artikel 10, stk. 1, i rammeafgørelse 2008/977/RIA, og sikrer samtidig yderligere præciseringer. I artikel 25 afklares den registeransvarliges og registerførerens forpligtelser til at samarbejde med tilsynsmyndigheden. Artikel 26 vedrører sager, hvor det er obligatorisk forud for processen at høre tilsynsmyndigheden, og er baseret på artikel 23 i rammeafgørelse 2008/977/RIA. 3.4.4.2. AFDELING 2 - DATASIKKERHED Artikel 27 om behandlingssikkerhed er baseret på den nuværende artikel 17, stk. 1, i direktiv 95/46 om behandlingssikkerhed og artikel 22 i rammeafgørelse 2008/977/RIA, og forpligtelserne udvides til at omfatte registerførere uanset kontrakten med den register­ansvarlige. Ved artikel 28 og 29 indføres en forpligtelse til at anmelde brud på persondatasikkerheden baseret på anmeldelsen af brud på persondatasikkerheden i artikel 4, stk. 3, i direktiv 2002/58/EF (e-databeskyttelsesdirektivet), og forpligtelserne til at underrette tilsynsmyndig­heden (artikel 28) og i særlige situationer den registrerede (artikel 29) afklares og adskilles. Artikel 29 indeholder også bestemmelser om undtagelser under henvisning til artikel 11, stk. 4. 3.4.4.3. AFDELING 3 DATABESKYTTELSESANSVARLIG I henhold til artikel 30 skal den registeransvarlige udpege en databeskyttelsesansvarlig, som skal varetage de i artikel 32 nævnte opgaver. Når flere kompetente myndigheder er underlagt en central registeransvarlig myndigheds kontrol, skal den pågældende centrale myndighed i det mindste udpege en sådan databeskyttelsesansvarlig. I henhold til artikel 18, stk. 2, i direktiv 95/46/EF har medlemsstaterne mulighed for at indføre et sådant krav i stedet for den generelle anmeldelsespligt i direktivet Artikel 31 omhandler databeskyttelsesansvarliges stilling. Artikel 32 omhandler den databeskyttelsesansvarliges hovedopgaver. 3.4.5. KAPITEL V - VIDEREGIVELSE AF PERSONOPLYSNINGER TIL TREDJELANDE ELLER INTERNATIONALE ORGANISATIONER I artikel 33 fastsættes de generelle principper for videregivelse af oplysninger til tredjelande eller internationale organisationer på områderne politimæssigt og retligt samarbejde i straffesager, herunder videreoverførsel. Det præciseres, at der kun kan ske videregivelse til tredjelande, hvis dette er nødvendigt for at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner. I artikel 34 fastsættes der bestemmelser om, at der kan ske videregivelse af oplysninger til et tredjeland, for hvilket Kommissionen har vedtaget en afgørelse om tilstrækkeligheden af databeskyttelsesniveauet i henhold til forordning (EU) nr. …./../201X eller særligt på områderne politimæssigt og retligt samarbejde i straffesager, og såfremt dette ikke er tilfældet, hvis der er indført de fornødne garantier. Så længe der ikke er vedtaget en afgørelse om tilstrækkeligheden af databeskyttelsesniveauet i tredjelandet, sikrer direktivet, at der kan ske videregivelse af oplysninger på grundlag af hensigtsmæssige beskyttelsesforanstaltninger og undtagelser. Derudover fastsættes der i artiklen kriterier for Kommissionens vurdering af, om et beskyttelsesniveau er tilstrækkeligt, og bestemmelsen omfatter udtrykkeligt retsregler, adgang til retsmidler og uafhængigt tilsyn. Artiklen indeholder desuden bestemmelser om, at Kommissionen har mulighed for at vurdere det beskyttelsesniveau, der sikres af et område eller af en behandlingssektor i et tredjeland. Det fastslås, at en generel afgørelse om tilstrækkeligheden af beskyttelsesniveauet vedtaget i henhold til procedurerne i artikel 8 i den generelle forordning om databeskyttelse, finder anvendelse i henhold til dette direktiv. Kommissionen kan alternativt vedtage en afgørelse om tilstrækkeligheden af beskyttelses­niveauet udelukkende inden for rammerne af dette direktivs anvendelsesområde. I artikel 35 fastsættes de hensigtsmæssige beskyttelsesforanstaltninger, der er nødvendige forud for internationale videregivelser, hvis Kommissionen ikke har vedtaget en afgørelse om konstatering af et tilstrækkeligt databeskyttelsesniveau. Disse beskyttelsesforanstaltninger kan indføres i et retligt bindende instrument såsom en international aftale. Alternativt kan den registeransvarlige på grundlag af en vurdering af omstændighederne ved videregivelsen af oplysninger konkludere, at der allerede findes sådanne beskyttelsesforanstaltninger. I artikel 36 anføres mulighederne for undtagelse i forbindelse med videregivelse af oplysninger med udgangspunkt i artikel 26 i direktiv 95/46/EF og artikel 13 i rammeafgørelse 2008/977/RIA. Artikel 37 forpligter medlemsstaterne til at sørge for, at den registeransvarlige informerer modtagerne om eventuelle begrænsninger i den behandling, der er tilladt, og træffer alle rimelige foranstaltninger for at sikre, at modtagerne af personoplysninger i tredjelandet eller den internationale organisation overholder begrænsningerne for behandling. I artikel 38 fastsættes udtrykkelige bestemmelser om internationale samarbejdsmekanismer om beskyttelse af personoplysninger indgået mellem Kommissionen og tilsynsmyndighederne i tredjelande, navnlig lande, der vurderes at tilbyde et tilstrækkeligt beskyttelsesniveau, på grundlag af OECD's henstilling af 12. juni 2007 om samarbejde på tværs af grænserne om håndhævelse af lovgivning om beskyttelse af privatlivets fred. KAPITEL VI - NATIONALE TILSYNSMYNDIGHEDER 3.4.5.1. AFDELING 1 - UAFHÆNGIG STATUS Artikel 39, der tager udgangspunkt i artikel 28, stk. 1, i direktiv 95/46/EF og artikel 25 i rammeafgørelse 2008/977/RIA, forpligter medlemsstaterne til at oprette tilsynsmyndigheder, eventuelt i henhold til den generelle forordning om databeskyttelse, og de pågældende myndigheder tildeles et større ansvar for at bidrage til en ensartet anvendelse af direktivet i hele EU. I artikel 40 præciseres betingelserne for tilsynsmyndighedens uafhængighed i overensstemmelse med EU-Domstolens retspraksis[29] og med udgangspunkt i artikel 44 i forordning (EF) nr. 45/2001[30]. I artikel 41 fastsættes de generelle betingelser for medlemmerne af tilsynsmyndigheden, og den relevante retspraksis[31] gennemføres, også med udgangspunkt i artikel 42, stk. 2-6, i forordning (EF) nr. 45/2001. I artikel 42 fastsættes de regler for oprettelse af tilsynsmyndigheden, herunder betingelserne for medlemmerne, som skal fastlægges i medlemsstaternes lovgivning. Artikel 43 om tavshedspligt for tilsynsmyndighedens medlemmer og ansatte er baseret på artikel 28, stk. 7, i direktiv 95/46/EF og artikel 25, stk. 4, i rammeafgørelse 2008/977/RIA. 3.4.5.2. AFDELING 2 - OPGAVER OG BEFØJELSER I artikel 44 fastsættes tilsynsmyndighedernes kompetence baseret på artikel 28, stk. 6, i direktiv 95/46/EF og artikel 25, stk. 1, i rammeafgørelse 2008/977/RIA. Når domstole handler i deres egenskab af retslig myndighed er de ikke underlagt tilsynsmyndighedens kontrol, men de skal fortsat anvende de materielle regler om databeskyttelse. Artikel 45 forpligter medlemsstaterne til at fastsætte bestemmelser om tilsynsmyndighedens opgaver, herunder høring og undersøgelse af klager og bevidstgørelse af offentligheden om risici, regler, garantier og rettigheder. En særlig opgave for tilsynsmyndighederne inden for rammerne af dette direktiv er at udøve retten til indsigt på den registreredes vegne, såfremt den pågældende nægtes ret til indsigt i personoplysninger eller indsigten begrænses, og at kontrollere, at behandlingen er lovlig. Artikel 46 omhandler tilsynsmyndighedens kompetencer og er baseret på artikel 28, stk. 3, i direktiv 95/46/EF, artikel 25, stk. 2 og 3, i rammeafgørelse 2008/977/RIA. Artikel 47 forpligter tilsynsmyndighederne til at udarbejde årlige aktivitetsrapporter og er baseret på artikel 28, stk. 5, i direktiv 95/46/EF. 3.4.6. KAPITEL VII - SAMARBEJDE I artikel 48 fastsættes udtrykkelige regler om obligatorisk gensidig bistand, mens artikel 28, stk. 6, andet afsnit, i direktiv 95/46/EF kun indeholdt bestemmelser om, at der er generel forpligtelse til at samarbejde, og denne forpligtelse præciseres ikke nærmere. I henhold til artikel 49 skal Det Europæiske Databeskyttelsesråd, der oprettes ved den generelle forordning om databeskyttelse, ligeledes varetage sine opgaver i forbindelse med behandling af personoplysninger inden for rammerne af dette direktiv. For at sikre supplerende støtte vil Kommissionen søge råd hos repræsentanter for de kompetente myndigheder for forebyggelse, efterforskning, opdagelse og retsforfølgning af straffelovs­overtrædelser i medlemsstaterne samt repræsentanter for Europol og Eurojust ved hjælp af en ekspertgruppe vedrørende de retshåndhævelsesmæssige aspekter af databeskyttelse. 3.4.7. KAPITEL VIII - KLAGEADGANG, ANSVAR OG SANKTIONER I artikel 50 fastsættes den registreredes ret til at indgive klage til en tilsynsmyndighed baseret på artikel 28, stk. 4, i direktiv 95/46/EF, og den finder anvendelse på enhver klage om tilsidesættelse af direktivet. Den angiver også de organer, organisationer eller sammenslutninger, der kan indgive klage på vegne af den registrerede, også hvis der er tale om brud på persondatasikkerheden, uafhængigt af den registreredes klage. Artikel 51 omhandler retsmidler over for tilsynsmyndigheden. Den er baseret på den almindelige bestemmelse i artikel 28, stk. 3, i direktiv 95/46/EF, og det fastslås specifikt, at den registrerede kan indbringe en sag for domstolen for at forpligte tilsynsmyndigheden til at reagere på en klage. Artikel 52 omhandler retsmidler over for den registeransvarlige eller registerføreren og er baseret på artikel 22 i direktiv 95/46/EF og artikel 20 i rammeafgørelse 2008/977/RIA. Ved artikel 53 indføres fælles regler for retssager, herunder organers, organisationers eller sammenslutningers ret til at repræsentere de registrerede for domstolene og tilsynsmyndig­hedernes ret til at deltage i retssager. Medlemsstaternes forpligtelse til at sikre hurtig domstolsbehandling bygger på artikel 18, stk. 1, i direktiv 2000/31/EF (direktivet om elektronisk handel)[32]. Artikel 54 forpligter medlemsstaterne til at fastsætte bestemmelser om retten til erstatning. Den er baseret på artikel 23 i direktiv 95/46/EF og artikel 19, stk. 1, i rammeafgørelse 2008/977/RIA, og den udvider retten til erstatning for skade forvoldt af registerførere og præciserer de fælles registeransvarliges og fælles registerføreres ansvar. Ved artikel 55 forpligtes medlemsstaterne til at fastsætte regler om sanktioner med henblik på at sanktionere overtrædelser af dette direktiv og sikre deres gennemførelse. 3.4.8. KAPITAL IX - DELEGEREDE RETSAKTER OG GENNEMFØRELSES­FORANSTALTNINGER Artikel 56 indeholder standardbestemmelser om udøvelse af delegerede beføjelser i overensstemmelse med artikel 290 i TEUF. Det giver lovgiveren mulighed for at tillægge Kommissionen beføjelser til at vedtage almengyldige ikke-lovgivningsmæssige retsakter, der udbygger eller ændrer visse ikke-væsentlige bestemmelser i en lovgivningsmæssig retsakt (retsakter af lovgivningslignende karakter). Artikel 57 indeholder bestemmelser om den udvalgsprocedure, der skal gennemføres for at tillægge Kommissionen gennemførelsesbeføjelser, når ensartede betingelser for gennem­førelse af EU's juridisk bindende retsakter er nødvendige i henhold til artikel 291 i TEUF. Her finder undersøgelsesproceduren anvendelse. 3.4.9. KAPITEL X - AFSLUTTENDE BESTEMMELSER Artikel 58 ophæver rammeafgørelse 2008/977/RIA. I artikel 59 fastsættes det, at specifikke bestemmelser om de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner forbliver uændrede i EU-retsakter, der regulerer behandling af personoplysninger eller adgang til informations­systemer inden for rammerne af direktivet, og som er vedtaget før vedtagelsen af dette direktiv. I artikel 60 afklares dette direktivs forbindelse til internationale aftaler inden for retligt samarbejde i straffesager og politisamarbejde, som medlemsstaterne tidligere har indgået. Artikel 61 indeholder bestemmelser om Kommissionens forpligtelse til at evaluere og aflægge rapport om gennemførelsen af direktivet med det formål at vurdere, om der er behov for at tilpasse tidligere vedtagne specifikke bestemmelser, jf. artikel 59, til direktivet. Artikel 62 omhandler medlemsstaternes forpligtelse til at gennemføre direktivet i national lovgivning og give Kommissionen meddelelse om de bestemmelser, der vedtages til gennemførelse af direktivet. I artikel 63 fastsættes datoen for direktivets ikrafttræden. I artikel 64 anføres direktivets adressater. 4. VIRKNINGER FOR BUDGETTET Finansieringsoversigten, der er ledsager forslaget til forordning om generel databeskyttelse, omfatter de budgetmæssige virkninger af forordningen og dette direktiv. 2012/0010 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR – under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, efter høring af Den Europæiske Tilsynsførende for Databeskyttelse[33], efter den almindelige lovgivningsprocedure og ud fra følgende betragtninger: (1) Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde fastsættes det, at enhver har ret til beskyttelse af personoplysninger om vedkommende selv. (2) Personoplysninger behandles for menneskets skyld, uanset de fysiske personers nationalitet eller bopæl, respektere deres grundlæggende rettigheder og friheds­rettigheder, navnlig deres ret til beskyttelse af personoplysninger. Behandlingen af personoplysninger bør bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed. (3) Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer for beskyttelsen af personoplysninger. Omfanget af dataindsamling og ‑deling er steget drastisk. Teknologien giver offentlige myndigheder mulighed for at udnytte personoplysninger i et hidtil uset omfang, når de udøver deres aktiviteter. (4) Det er i denne forbindelse nødvendigt at lette den frie udveksling af oplysninger mellem kompetente myndigheder i EU og videregivelsen af oplysninger til tredjelande og internationale organisationer, samtidig med at der sikres et højt niveau for beskyttelse af personoplysninger. Denne udvikling kræver, at der opbygges en stærk og mere sammenhængende databeskyttelsesramme i EU, som understøttes af en effektiv håndhævelse. (5) Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger[34] finder anvendelse på enhver behandling af personoplysninger i medlemsstaterne både i den offentlige sektor og i den private sektor. Det finder dog ikke anvendelse på behandling af personoplysninger ved aktiviteter på områder, der ikke er omfattet af EU-retten, såsom retligt samarbejde i straffesager og politisamarbejde. (6) Rådets rammeafgørelse 2008/977/RIA af 27. november 2008 om beskyttelse af personoplysninger i forbindelse med retligt samarbejde i kriminalsager[35] og politisamarbejde finder anvendelse inden for retligt samarbejde i straffesager og politisamarbejde. Denne rammeafgørelses anvendelsesområde er begrænset til behandling af personoplysninger, der videregives eller stilles til rådighed mellem medlemsstater. (7) Det er vigtigt at sikre et ensartet og højt niveau for beskyttelse af fysiske personers personoplysninger og gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde. Med det formål skal niveauet for beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner være det samme i alle medlemsstater. For at sikre en effektiv beskyttelse af personoplysninger i Unionen er det nødvendigt at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler personoplysninger, men der skal også gives tilsvarende beføjelser til at kontrollere og sikre overholdelsen af reglerne om beskyttelse af personoplysninger i medlemsstaterne. (8) Artikel 16, stk. 2, i traktaten om Den Europæiske Unions funktionsmåde giver Europa-Parlamentet og Rådet beføjelse til at fastsætte regler for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler for den frie udveksling af personoplysninger. (9) I Europa-Parlamentets og Rådets forordning (EU) nr. … /2012 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) fastsættes der generelle regler med det formål at beskytte fysiske personer i forbindelse med behandling af personoplysninger og sikre fri udveksling af personoplysninger i EU. (10) I erklæring 21 om beskyttelse af personoplysninger på området retligt samarbejde i straffesager og politisamarbejde, knyttet som bilag til slutakten fra den regerings­konference, der vedtog Lissabontraktaten, erkendte konferencen, at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri udveksling af disse oplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i traktaten om Den Europæiske Unions funktionsmåde som følge af disse områders specifikke karakter. (11) Der bør således vedtages et særskilt direktiv, hvori der tages højde for disse områders specifikke karakter og fastsættes regler for beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner. (12) For at sikre et ensartet niveau for beskyttelsen for fysiske personer ved hjælp af rettigheder, der kan håndhæves retsligt i hele Unionen, og for at forhindre forskelle, der kan hæmme den frie udveksling af oplysninger mellem kompetente myndigheder, bør direktivet sikre ensartede regler for beskyttelse og fri udveksling af personoplysninger inden for politimæssigt og retligt samarbejde i straffesager. (13) Dette direktiv giver mulighed for, at der tages hensyn til princippet om offentlig indsigt i officielle dokumenter, når direktivets bestemmelser anvendes. (14) Den beskyttelse, som dette direktiv giver i forbindelse med behandling af personoplysninger, bør omfatte fysiske personer uanset nationalitet eller bopæl. (15) Beskyttelsen af fysiske personer bør være teknologineutral og må ikke afhænge af de anvendte teknikker, da der ellers vil være alvorlig risiko for omgåelse. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis oplysningerne er indeholdt eller påtænkes indeholdt i et register. Sagsmapper eller samlinger af sagsmapper eller deres forsider, som ikke er struktureret efter bestemte kriterier, henhører ikke under dette direktivs anvendelsesområde. Dette direktiv bør ikke finde anvendelse på behandlingen af personoplysninger i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde, særlig vedrørende national sikkerhed, eller på data, der behandles af EU-institutioner, ‑organer, ‑kontorer og ‑agenturer såsom Europol eller Eurojust. (16) Principperne om databeskyttelse bør gælde for alle former for oplysninger om en identificeret eller identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle de hjælpemidler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse for at identificere den pågældende enten af den registeransvarlige eller af enhver anden person. Beskyttelsesprincipperne bør ikke gælde oplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke længere kan identificeres. (17) Personlige helbredsoplysninger bør navnlig omfatte alle oplysninger om den registreredes helbredstilstand, oplysninger om registrering af personen med henblik på modtagelse af sundhedsydelser, oplysninger om betaling for eller berettigelse til sundhedsydelser for så vidt angår personen, et nummer, symbol eller særligt mærke, der tildeles en person for entydigt at identificere personen i sundhedsanliggender, enhver oplysning om personen, som indsamles i tilknytning til leveringen af sundhedsydelser til personen, oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder biologiske prøver, identifikation af en person som leverandør af sundhedsydelser til en person og alle oplysninger om f.eks. en sygdom, et handicap, en sygdomsrisiko, sygehistorie, hospitalsbehandling eller den registreredes faktiske fysiologiske eller biomedicinske tilstand uafhængigt af, hvad kilden til oplysningerne er, f.eks. en læge eller andet lægeligt personale, et hospital, medicinsk udstyr eller en in vitro-diagnostik. (18) Enhver behandling af personoplysninger skal være rimelig og lovlig i forhold til de berørte personer. De specifikke formål med behandlingen af oplysningerne bør navnlig være eksplicitte. (19) Med henblik på forebyggelse, efterforskning og retsforfølgning af straffelovover­trædelser er det nødvendigt, at de kompetente myndigheder gemmer person­oplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, opdagelse eller retsforfølgning af specifikke straffelovsovertrædelser, og behandler dem i en bredere kontekst for derved at få en forståelse af kriminelle fænomener og tendenser, at indsamle efterretningsoplysninger om organiserede kriminelle netværk og at sammenkoble forskellige opdagede overtrædelser. (20) Personoplysningerne bør ikke behandles til formål, der er uforenelige med det formål, hvortil de blev indsamlet. Personoplysninger bør være hensigtsmæssige, relevante og ikke for omfattende i forhold til de formål, hvortil de behandles. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som er urigtige, berigtiges eller slettes. (21) Princippet om oplysningernes rigtighed bør anvendes på en måde, så der tages hensyn til den pågældende behandlings art og formål. Navnlig i retssager er udsagn, der indeholder personoplysninger, baseret på en subjektiv opfattelse af enkeltpersoner, og det er i visse tilfælde ikke altid muligt at kontrollere dem. Kravet om oplysningernes rigtighed bør derfor ikke vedrøre et udsagns rigtighed, men blot det forhold, at der er fremsat et specifikt udsagn. (22) Ved fortolkningen og anvendelsen af de generelle principper for kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner bør der tages højde for de særlige forhold i denne sektor, herunder de specifikke mål, der forfølges. (23) Behandling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde indebærer i sagens natur behandling af personoplysninger om forskellige kategorier af registrerede. Der bør således så vidt muligt sondres klart mellem personoplysninger om forskellige kategorier af registrerede såsom mistænkte, personer, der er dømt for en straffelovsovertrædelse, ofre eller tredjeparter som f.eks. vidner, personer, der ligger inde med relevante oplysninger, eller mistænktes og dømte kriminelles kontaktpersoner og associerede. (24) Der bør så vidt muligt sondres mellem forskellige kategorier af oplysninger ud fra, i hvor høj grad disse er korrekte og pålidelige. Der bør sondres mellem kendsgerninger og personlige vurderinger for både at sikre beskyttelsen af fysiske personer og kvaliteten og pålideligheden af de oplysninger, der behandles af de kompetente myndigheder. (25) For at være lovlig bør en behandling af personoplysninger være nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige, eller nødvendig af hensyn til en kompetent myndigheds lovbestemte udførelse af en opgave i samfundets interesse eller for at beskytte den registreredes eller en anden persons vitale interesser eller forebygge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed. (26) Personoplysninger, der i kraft af deres karakter er særligt følsomme i forbindelse med grundlæggende rettigheder eller beskyttelse af privatlivets fred, herunder genetiske data, bør nyde særlig beskyttelse. Sådanne oplysninger må ikke behandles, medmindre behandlingen er fastsat i lovgivningen, som indeholder passende bestemmelser til beskyttelse af den registreredes legitime interesser, eller behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser eller vedrører oplysninger, som tydeligvis offentliggøres af den registrerede. (27) Enhver fysisk person bør have ret til ikke at blive gjort til genstand for en foranstaltning, der er baseret udelukkende på automatisk databehandling, der har negative retlige virkninger for den pågældende, medmindre dette er tilladt ved lov og omfattet af passende foranstaltninger til beskyttelse af den registreredes legitime interesser. (28) For at den registrerede kan udøve sine rettigheder, bør alle oplysninger om den registrerede være nemt tilgængelige og letforståelige, bl.a. at der benyttes et klart og forståeligt sprog. (29) Der bør fastsættes nærmere bestemmelser, som kan lette de registreredes udøvelse af deres rettigheder i henhold til dette direktiv, herunder systemer til uden udgifter at anmode om indsigt i eller berigtigelse og sletning af personoplysninger. Den register­ansvarlige bør være forpligtet til at besvare sådanne anmodninger fra den registrerede uden unødig forsinkelse. (30) I henhold til princippet om rimelig behandling skal den registrerede navnlig informeres om en behandlings eksistens og dens formål, hvor længe oplysningerne opbevares, hvorvidt der gives ret til at få indsigt i og foretage berigtigelse og sletning af oplysninger, og om retten til at indgive klage. Hvis oplysningerne indsamles hos den registrerede, bør den registrerede også oplyses om, hvorvidt vedkommende er forpligtet til at afgive sådanne oplysninger, og om konsekvenserne, hvis vedkommende ikke afgiver sådanne oplysninger. (31) Oplysningerne om behandlingen af den registreredes personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen, eller, hvis oplysningerne ikke indsamles hos den registrerede, på tidspunktet for registreringen eller inden for et rimeligt tidsrum efter indsamlingen under hensyn til de særlige forhold, hvorunder personoplysningerne behandles. (32) Enhver bør have ret til indsigt i oplysninger, der er indsamlet om den pågældende, og til let at udøve denne ret med henblik på at forvisse sig om oplysningernes eksistens og behandlingens lovlighed. Enhver registreret bør derfor navnlig have ret til at kende og blive underrettet om det formål, hvortil oplysningerne behandles, hvor lang tid de gemmes, og hvem modtagerne af oplysningerne er, herunder tredjelande. Registrerede bør have ret til at få en kopi af de personoplysninger, der behandles. (33) Medlemsstaterne bør have beføjelse til at træffe lovgivningsmæssige foranstaltninger, der udsætter eller begrænser informeringen af de registrerede eller deres ret til indsigt i oplysningerne, eller forhindrer dem i at blive informeret eller få indsigt i oplysningerne, i det omfang en sådan delvis eller fuldstændig begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den pågældende persons legitime interesser, for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, for at undgå, at forebyggelsen, opdagelsen, efterforskningen og retsforfølgningen af straffelovs­overtrædelser skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner, for at beskytte den offentlige sikkerhed eller den nationale sikkerhed eller for at beskytte den registreredes interesser eller andres rettigheder og frihedsrettigheder. (34) Enhver begrænsning af den registreredes rettigheder bør meddeles den registrerede skriftligt, herunder de faktuelle eller retlige årsager til beslutningen. (35) Når medlemsstaterne har truffet lovgivningsmæssige foranstaltninger, der helt eller delvis begrænser retten til indsigt i personoplysninger, bør den registrerede have ret til at anmode om, at den kompetente nationale tilsynsmyndighed kontrollerer, at behandlingen af oplysningerne er lovlig. Den registrerede skal oplyses om denne rettighed. Hvis retten til indsigt udøves af tilsynsmyndigheden på vegne af den registrerede, bør den pågældende tilsynsmyndighed som minimum underrette den registrerede om, at tilsynsmyndigheden har foretaget den nødvendige kontrol, og om hvorvidt den pågældende behandling er lovlig. (36) Enhver person bør have ret til at få berigtiget urigtige personoplysninger og til at få slettet oplysninger, hvis behandlingen af sådanne oplysninger ikke er i overens­stemmelse med hovedprincipperne i dette direktiv. Når personoplysningerne behandles under en strafferetlig efterforskning og straffesag kan retten til berigtigelse, retten til information, retten til indsigt i eller sletning af oplysningerne eller begrænsning af behandlingen heraf foretages i henhold til de nationale retsplejeregler. (37) Der bør fastsættes bestemmelser om den registeransvarliges overordnede ansvar, herunder erstatningsansvar, for den behandling af personoplysninger, der foretages af den registeransvarlige eller på vegne af den registeransvarlige. Den registeransvarlige bør navnlig sikre, at behandlingen er i overensstemmelse de bestemmelser, der vedtages til gennemførelse af dette direktiv. (38) Beskyttelsen af de registreredes rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes de fornødne tekniske og organisatoriske foranstaltninger for at sikre, at direktivets krav opfyldes. For at sikre overholdelsen af de bestemmelser, der vedtages til gennemførelse af dette direktiv, bør den registeransvarlige fastlægge strategier og gennemføre passende foranstaltninger, som navnlig er i overensstemmelse med principperne om indbygget databeskyttelse og databeskyttelse gennem indstillinger. (39) Beskyttelsen af registreredes rettigheder og frihedsrettigheder samt registeransvarliges og registerføreres ansvar kræver en klar fordeling af ansvarsområderne under dette direktiv, herunder når en registeransvarlig afgør, til hvilket formål, på hvilke betingelser og med hvilke hjælpemidler der må foretages behandling af personoplysninger sammen med andre registeransvarlige, eller når en behandling foretages på vegne af en registeransvarlig. (40) Den registeransvarlige eller registerføreren skal dokumentere behandlingen, således at det kan kontrolleres, at den er i overensstemmelse med dette direktiv. Den registeransvarlige og registerføreren bør have pligt til at samarbejde med tilsynsmyndigheden og efter anmodning stille denne dokumentation til rådighed for tilsynsmyndigheden, så den kan bruges i forbindelse med kontrollen af behandlingen. (41) For at sikre en effektiv beskyttelse af de registreredes rettigheder og frihedsrettigheder ved hjælp af forebyggende foranstaltninger bør den registeransvarlige eller registerføreren i visse tilfælde høre tilsynsmyndigheden inden behandlingen. (42) Brud på persondatasikkerheden kan bl.a. skade den berørte persons omdømme, hvis ikke de rettidigt afhjælpes på betryggende vis. Så snart den registeransvarlige bliver opmærksom på, at der er sket et sådant sikkerhedsbrud, bør vedkommende derfor anmelde bruddet til den kompetente nationale tilsynsmyndighed. Fysiske personer, hvis personoplysninger og ret til beskyttelse af privatlivets fred kunne blive krænket af sådanne brud, bør uden unødig forsinkelse underrettes, så de kan træffe de nødvendige forholdsregler. Et brud bør anses for at krænke den fysiske persons personoplysninger og ret til beskyttelse af privatlivets fred, hvis det kan indebære f.eks. identitetstyveri eller svig, fysisk skade, betydelig tort eller skade af omdømme i forbindelse behandlingen af personoplysninger. (43) Når der fastsættes nærmere regler for, hvilket format og hvilke procedurer der skal anvendes ved anmeldelse af brud på persondatasikkerheden, bør der tages behørigt hensyn til omstændighederne ved sikkerhedsbruddet, herunder om personoplys­ningerne var beskyttet ved passende tekniske beskyttelsesforanstaltninger, der effektivt begrænser sandsynligheden for misbrug. Sådanne regler og procedurer bør desuden tage hensyn til de kompetente myndigheders legitime interesser, hvis tidlig anmeldelse kunne udgøre en unødvendig hæmsko for efterforskningen af omstændighederne ved et sikkerhedsbrud. (44) Den registeransvarlige eller registerføreren bør udpege en person, der skal bistå den registeransvarlige eller registerføreren med at overvåge, at behandlingen er i overensstemmelse med de bestemmelser, der vedtages til gennemførelse af dette direktiv. Den kompetente myndigheds enheder kan i fællesskab udpege en databeskyttelsesansvarlig. Den databeskyttelsesansvarlige skal være i stand til at udøve sit hverv uafhængigt og effektivt. (45) Medlemsstaterne bør sikre, at videregivelse af personoplysninger til et tredjeland kun sker, hvis det er nødvendigt for at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner, og den register­ansvarlige i det pågældende tredjeland eller den pågældende internationale organisation er en kompetent myndighed som defineret i dette direktiv. Der kan finde videregivelse sted i de tilfælde, hvor Kommissionen har afgjort, at det pågældende tredjelande eller den pågældende internationale organisation sikrer et passende beskyttelsesniveau, eller hvis der er indført passende beskyttelsesforanstaltninger. (46) Kommissionen kan med virkning for hele EU afgøre, at visse tredjelande, et område, en behandlingssektor i et tredjeland eller en international organisation har et tilstrækkeligt databeskyttelsesniveau, og dermed skabe retssikkerhed og ensartethed i hele Unionen, hvad angår tredjelande eller internationale organisationer, der vurderes at have et sådant beskyttelsesniveau. I disse tilfælde kan personoplysninger videregives til disse lande uden krav om yderligere godkendelse. (47) I overensstemmelse med de grundlæggende værdier, som Unionen er baseret på, navnlig beskyttelsen af menneskerettighederne, bør Kommissionen overveje, hvorvidt det pågældende tredjeland respekterer retsstatsprincippet, adgangen til klage og domstolsprøvelse samt internationale menneskerettighedsstandarder. (48) Kommissionen bør ligeledes kunne fastslå, at et tredjeland eller et område eller en behandlingssektor i det pågældende tredjeland eller en international organisation ikke har et tilstrækkeligt databeskyttelsesniveau. I så fald bør videregivelsen af person­oplysninger til det pågældende tredjeland forbydes, undtagen hvis videregivelsen sker på grundlag af en international aftale, passende beskyttelsesforanstaltninger eller en undtagelse. Der bør fastsættes bestemmelser om høringsprocedurer mellem Kommissionen og de pågældende tredjelande eller internationale organisationer. En sådan kommissionsafgørelse bør imidlertid ikke påvirke muligheden for at videregive oplysninger på grundlag af passende beskyttelsesforanstaltninger eller på grundlag af en undtagelse, der er fastsat i direktivet. (49) Videregivelser af oplysninger, der ikke er baseret på en sådan afgørelse om tilstrækkeligheden af beskyttelsesniveauet, bør kun tillades, hvis der er indført de fornødne garantier i et retligt bindende instrument, der sikrer beskyttelsen af personoplysninger, eller hvis den registeransvarlige eller registerføreren har vurderet samtlige de forhold, der har indflydelse på en videregivelse eller en serie af videregivelser af personoplysninger, og som på grundlag af denne vurdering konkluderer, at de fornødne garantier for beskyttelsen af personoplysninger er til stede. I sager, hvor der ikke findes årsager til at tillade videregivelse af oplysninger, bør der indrømmes undtagelser, hvis det er nødvendigt for at beskytte den registreredes eller en anden persons vitale interesser eller beskytte den registreredes legitime interesser, hvis det er fastsat i lovgivningen i den medlemsstat, der videregiver personoplysninger, eller hvis det er vigtigt for at forebygge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed eller i enkeltsager med henblik på forebyggelse, efterforskning, opdagelse eller retsforfølgning af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner eller i enkeltsager med henblik på at fastslå et retskrav eller gøre det gældende eller forsvare det ved en domstol. (50) Når personoplysninger overføres på tværs af grænserne, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder og beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig må tilsynsmyndighederne i nogle tilfælde konstatere, at de ikke kan indgive klager eller gennemføre undersøgelser vedrørende aktiviteter uden for deres grænser. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser eller uensartede retlige bestemmelser. Der er derfor et behov for tættere samarbejde mellem databeskyttelsesmyndigheder for at lette udvekslingen af oplysninger i samarbejde med tilsvarende udenlandske organer. (51) Oprettelsen af tilsynsmyndigheder i medlemsstaterne, som udøver deres hverv i fuld uafhængighed, har afgørende betydning for beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger. Tilsynsmyndighederne bør kontrollere anvendelsen af bestemmelserne i henhold til dette direktiv og bidrage til en ensartet anvendelse i Unionen med det formål at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger. Med henblik herpå bør tilsynsmyndighederne samarbejde med hinanden og med Kommissionen. (52) Medlemsstaterne kan overdrage ansvaret for de opgaver, som skal udføres af de nationale tilsynsmyndigheder, der oprettes i henhold til dette direktiv, til en tilsynsmyndighed, der allerede er oprettet i medlemsstaterne i henhold til forordning (EU) nr. … /2012. (53) Medlemsstaterne bør have mulighed for at oprette mere end én tilsynsmyndighed for at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. Hver tilsynsmyndighed bør have tilstrækkelige finansielle og menneskelige ressourcer, lokaler og infrastrukturer til effektivt at udføre deres opgaver, herunder opgaver vedrørende gensidig bistand og samarbejde med andre tilsynsmyndigheder i Unionen. (54) De generelle betingelser for tilsynsmyndighedens medlemmer bør fastsættes ved lov i hver medlemsstat, og der bør navnlig fastsættes bestemmelser om, at disse medlemmer udpeges af enten parlamentet eller regeringen i den pågældende medlemsstat, og der bør ligeledes fastsættes regler om medlemmernes personlige kvalifikationer og stilling. (55) Selv om dette direktiv også gælder for de nationale domstoles aktiviteter, bør der af hensyn til domstolenes uafhængighed, når de udfører deres retslige opgaver, ikke tillægges tilsynsmyndighederne kompetence til at behandle personoplysninger, når domstolene handler som led i deres retspleje. Denne undtagelse bør dog begrænses til egentlige retslige aktiviteter i forbindelse med retssager og ikke gælde for andre aktiviteter, som dommere kan inddrages i efter national lovgivning. (56) For at sikre en ensartet overvågning og håndhævelse af dette direktiv i hele Unionen bør tilsynsmyndighederne i hver medlemsstat have samme pligter og effektive beføjelser, herunder undersøgelsesbeføjelser, beføjelser til retligt bindende indgriben og beføjelser til at træffe afgørelser og fastsætte sanktioner, navnlig i tilfælde af klager fra fysiske personer, samt beføjelse til at optræde som part i retssager. (57) Hver tilsynsmyndighed bør behandle klager, der indgives af registrerede, og undersøge sagen. Undersøgelsen af en klage bør gennemføres med forbehold af domstolsprøvelse, i det omfang det er relevant i det konkrete tilfælde. Tilsynsmyndigheden bør underrette den registrerede om gennemførelsen og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede underrettes herom. (58) Tilsynsmyndighederne bør bistå hinanden i udøvelsen af deres opgaver og yde gensidig bistand med det formål at sikre en ensartet anvendelse og håndhævelse af de bestemmelser, der vedtages til gennemførelse af dette direktiv. (59) Det Europæiske Databeskyttelsesråd, der oprettes ved forordning (EU) nr. … /2012, bør bidrage til en ensartet anvendelse af dette direktiv i Unionen, herunder ved at rådgive Kommissionen og fremme samarbejdet mellem tilsynsmyndighederne i Unionen. (60) Alle registrerede bør have ret til at indgive klage til tilsynsmyndighederne i alle medlemsstater og adgang til domstolsprøvelse, hvis de finder, at deres rettigheder i henhold til dette direktiv er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage eller ikke vil handle, hvis dette er nødvendigt for at beskytte den registreredes rettigheder. (61) Alle organer, organisationer eller sammenslutninger, der har til formål at beskytte registreredes rettigheder og interesser i forbindelse med beskyttelsen af deres personoplysninger, og som er etableret i overensstemmelse med en medlemsstats lovgivning, bør have ret til at indgive klage eller udøve retten til domstolsprøvelse på vegne af den registrerede, hvis denne på behørig vis har givet dem bemyndigelse hertil, eller til uafhængigt af en klage fra den registrerede på egne vegne at indgive klage, hvis de vurderer, at der har fundet et brud på persondatasikkerheden sted. (62) Enhver fysisk eller juridisk person bør have adgang til domstolsprøvelse af afgørelser truffet af en tilsynsmyndighed vedrørende vedkommende. En sag mod en tilsynsmyn­dighed bør anlægges ved domstolen i den medlemsstat, hvor tilsynsmyndigheden er etableret. (63) Medlemsstaterne bør sikre, at domstolssager - for at være effektive - kan føre til hurtig vedtagelse af foranstaltninger, der kan afhjælpe eller forhindre en overtrædelse af dette direktiv. (64) Personer, der lider skade som følge af en ulovlig behandling, bør have ret til erstatning fra den registeransvarlige eller registerføreren, som kan fritages for erstatningsansvar, hvis det bevises, at den pågældende ikke er skyld i den forvoldte skade, særlig hvis den pågældende fastslår, at fejlen ligger hos den registrerede, eller i tilfælde af force majeure. (65) Fysiske eller juridiske personer, der overtræder dette direktiv, bør kunne pålægges sanktioner, uanset om de henhører under privat- eller offentligretlig lovgivning. Medlemsstaterne bør sikre, at sanktionerne er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, og skal træffe alle nødvendige foranstaltninger til at gennemføre sanktionerne. (66) For at opfylde dette direktivs målsætninger, nemlig at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til beskyttelse af personoplysninger, og sikre fri udveksling af personoplysninger mellem de kompetente myndigheder i Unionen, bør beføjelsen til at vedtage retsakter i henhold til artikel 290 i traktaten om Den Europæiske Unions funktionsmåde delegeres til Kommissionen. Der bør navnlig vedtages delegerede retsakter med nærmere bestemmelser om anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau. Kommissionen bør sikre en samtidig, rettidig og hensigtsmæssig fremsendelse af relevante dokumenter til Europa-Parlamentet og Rådet, når den udarbejder og gennemfører delegerede retsakter (67) For at sikre, at der opstilles ensartede betingelser for gennemførelsen af dette direktiv, bør Kommissionen tillægges gennemførelsesbeføjelser i henseende til de register­ansvarliges og registerførernes dokumentation, behandlingssikkerhed, navnlig med hensyn til krypteringsstandarder, anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden og det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland, et territorium eller en behandlingssektor i dette tredjeland eller en international organisation. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser[36]. (68) Undersøgelsesproceduren bør finde anvendelse i forbindelse med vedtagelse af foranstaltninger om de registeransvarliges og registerførernes dokumentation, behand­lingssikkerhed, anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden og det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland, et område eller en behandlingssektor i dette tredjeland eller en international organisation, idet der er tale om generelle retsakter. (69) I behørigt begrundede tilfælde af særligt hastende karakter, hvor et tredjeland, et område eller en behandlingssektor i det pågældende tredjeland eller en international organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau, bør Kommissionen omgående vedtage gennemførelsesretsakter. (70) Målene for dette direktiv, nemlig at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, herunder navnlig deres ret til beskyttelse af personoplysninger og fri udveksling af personoplysninger mellem de kompetente myndigheder i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne alene og kan derfor på grund af foranstaltningens omfang eller virkninger bedre nås på EU-plan. Unionen kan derfor træffe foranstaltninger i overensstemmelse med nærheds­princippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, rækker dette direktiv ikke ud over, hvad der er nødvendigt for at nå dette mål. (71) Rammeafgørelse 2008/977/RIA bør ophæves ved dette direktiv. (72) Specifikke bestemmelser om de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner, der forekommer i EU-retsakter, som er vedtaget før vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater og medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, bør finde uændret anvendelse. Kommissionen bør se nærmere på sammenhængen mellem direktivet og retsakter, der er vedtaget før vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater eller medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, med det formål at vurdere, om der er behov for at tilpasse disse specifikke bestemmelser til direktivet. (73) For at sikre en overordnet og sammenhængende beskyttelse af personoplysninger i Unionen, bør internationale aftaler, som medlemsstaterne indgår inden dette direktivs ikrafttræden, ændres i overensstemmelse med dette direktiv. (74) Dette direktiv påvirker ikke bestemmelserne om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi i Europa-Parlamentets og Rådets direktiv 2011/93/EU af 13. december 2011[37]. (75) I medfør af artikel 6a i protokollen om Det Forenede Kongeriges og Irlands stilling, for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til traktaten om Den Europæiske Union og traktaten om Den Europæiske Unions funktionsmåde, vil Det Forenede Kongerige og Irland ikke være bundet af regler fastsat i dette direktiv, når Det Forenede Kongerige og Irland ikke er bundet af reglerne vedrørende de former for retligt samarbejde i straffesager eller politisamarbejde, der kræver overholdelse af de bestemmelser, der er fastsat på grundlag af artikel 16 i traktaten om Den Europæiske Unions funktionsmåde. (76) I medfør af artikel 2 og 2a i protokollen om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, er dette direktiv ikke bindende for og finder derfor ikke anvendelse i Danmark. Da dette direktiv udbygger Schengenreglerne efter bestemmelserne i tredje del, afsnit V, i traktaten om Den Europæiske Unions funktionsmåde, skal Danmark i henhold til artikel 4 i protokollen om Danmarks stilling træffe afgørelse om, hvorvidt det vil gennemføre direktivet i sin nationale lovgivning, inden seks måneder efter direktivets vedtagelse. (77) For så vidt angår Island og Norge udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne[38]. (78) For så vidt angår Schweiz udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne[39]. (79) For så vidt angår Liechtenstein udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om dette lands associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne[40]. (80) I dette direktiv overholdes de grundlæggende rettigheder og principper, der anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder som forankret i traktaten, navnlig retten til respekt for privatliv og familieliv, retten til beskyttelse af personoplysninger og adgang til effektive retsmidler og til en upartisk domstol. I overensstemmelse med chartrets artikel 52, stk. 1, kan der indføres begrænsninger i udøvelsen af disse rettigheder, såfremt de er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder. (81) I den fælles politiske erklæring af 28. september 2011 fra medlemsstaterne og Kommissionen om forklarende dokumenter har medlemsstaterne forpligtet sig til i begrundede tilfælde at lade meddelelsen af gennemførelsesforanstaltninger ledsage af et eller flere dokumenter, der forklarer forholdet mellem et direktivs bestanddele og de tilsvarende dele i de nationale gennemførelsesinstrumenter. Lovgiver finder frem­sendelse af sådanne dokumenter velbegrundet i forbindelse med dette direktiv. (82) Dette direktiv bør ikke forhindre medlemsstaterne i at gennemføre bestemmelserne om udøvelsen af registreredes ret til information, retten til indsigt i og berigtigelse, sletning og begrænsning af de personoplysninger, som behandles under en straffesag, samt mulige begrænsninger heraf i deres nationale strafferetspleje – VEDTAGET DETTE DIREKTIV: KAPITEL I GENERELLE BESTEMMELSER Artikel 1 Genstand og formål 1. I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner. 2. Medlemsstaterne sikrer i overensstemmelse med dette direktiv: a) at fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til beskyttelse af personoplysninger, beskyttes b) at udvekslingen af personoplysninger mellem de kompetente myndigheder i EU ikke indskrænkes eller forbydes af grunde, der vedrører beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger. Artikel 2 Anvendelsesområde 1. Dette direktiv finder anvendelse på de kompetente myndigheders behandling af personoplysninger til de formål, der er nævnt i artikel 1, stk. 1. 2. Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages automatisk, samt på anden behandling end automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register. 3. Dette direktiv gælder ikke for behandling af personoplysninger: a) som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af EU-retten, navnlig for så vidt angår national sikkerhed b) som foretages af EU-institutioner, ‑organer, ‑kontorer og ‑agenturer. Artikel 3 Definitioner I dette direktiv forstås ved: 1) "registreret": en identificeret fysisk person eller en fysisk person, der direkte eller indirekte kan identificeres med hjælpemidler, som med rimelighed kan tænkes bragt i anvendelse enten af den registeransvarlige eller af enhver anden fysisk eller juridisk person, bl.a. ved et id-nummer, lokaliseringsdata, online-id, eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet 2) "personoplysninger": enhver form for information om en registreret 3) "behandling": enhver operation eller række af operationer - med eller uden brug af automatiseret databehandling - som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt begrænsning, sletning eller tilintetgørelse 4) "begrænsning af behandling": markering af opbevarede personoplysninger med den hensigt at begrænse den fremtidige behandling af disse oplysninger 5) "register": enhver struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier, hvad enten denne samling er placeret centralt, decentralt eller er fordelt på et funktionsbestemt eller geografisk grundlag 6) "registeransvarlig": den kompetente offentlige myndighed, der alene eller sammen med andre afgør, til hvilke formål, på hvilke betingelser og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene, betingelserne og hjælpemidlerne til behandlingen er fastlagt i EU-retten eller medlemsstatens lovgivning, kan bestemmelserne om den registeransvarlige eller de specifikke kriterier for udpegning af denne være fastsat i EU-retten eller medlemsstatens lovgivning 7) "registerfører": en fysisk eller juridisk person, en offentlig myndighed, en institution eller ethvert andet organ, der behandler personoplysninger på den registeransvarliges vegne 8) "modtager": en fysisk eller juridisk person, en offentlig myndighed, en institution eller ethvert andet organ, som personoplysninger videregives til 9) "brud på persondatasikkerheden": brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet udbredelse af eller indsigt i personoplysninger, der er videregivet, lagret eller på anden måde behandlet 10) "genetiske data": alle data af enhver type vedrørende en fysisk persons karakteristika, som er nedarvede eller formet under den tidlige prænatale udvikling 11) "biometriske data": alle data vedrørende en fysisk persons fysiske, fysiologiske eller adfærdsmæssige karakteristika, der gør det muligt entydigt at identificere vedkommende, f.eks. ansigtsbillede eller fingeraftryksoplysninger 12) "helbredsoplysninger": enhver oplysning, der vedrører en persons fysiske eller mentale helbred eller levering af sundhedsydelser til vedkommende 13) "barn": en person under atten år 14) "kompetente myndigheder": enhver offentlig myndighed med ansvar for at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner 15) "tilsynsmyndighed": en offentlig myndighed, der er etableret i en medlemsstat i overensstemmelse med artikel 39. KAPITEL II PRINCIPPER Artikel 4 Principper for behandling af personoplysninger Medlemsstaterne fastsætter bestemmelser om, at personoplysninger: a) skal behandles loyalt og lovligt b) skal indsamles til udtrykkeligt angivne og legitime formål og ikke behandles yderligere på en måde, der er uforenelige med disse formål c) skal være tilstrækkelige, relevante og ikke for omfattende i forhold til de formål, hvortil de behandles d) skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, omgående slettes eller berigtiges e) skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne behandles f) skal behandles under den registeransvarliges ansvar, og denne skal sikre overholdelsen af de bestemmelser, der vedtages til gennemførelse af dette direktiv. Artikel 5 Sondring mellem forskellige kategorier af registrerede 1. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige i videst muligt omfang skal sondre klart mellem personoplysninger vedrørende forskellige kategorier af personer så som: a) personer, om hvem der er alvorlig grund til at tro, at de har begået eller vil begå en straffelovsovertrædelse b) personer, der er dømt for en straffelovsovertrædelse c) ofre for en straffelovsovertrædelse, eller om hvem visse kendsgerninger giver anledning til at tro, at de kan blive offer for en straffelovsovertrædelse d) berørte tredjeparter, herunder personer, der kunne blive indkaldt som vidner i forbindelse med efterforskninger af strafbare handlinger eller i efterfølgende straffesager, eller en person, der kan tilvejebringe oplysninger om straffelovsovertrædelser, eller en kontaktperson eller associeret til en af de i litra a) og b) nævnte personer e) personer, der ikke falder under nogen af ovennævnte kategorier. Artikel 6 Forskellige grader af personoplysningers nøjagtighed og pålidelighed 1. Medlemsstaterne sikrer, at der i videst muligt omfang sondres mellem de forskellige kategorier af oplysninger, der er genstand for behandling, ud fra i hvor høj grad disse er korrekte og pålidelige. 2. Medlemsstaterne sikrer, at der så vidt muligt sondres mellem personoplysninger, der bygger på kendsgerninger, og personoplysninger, der bygger på personlige vurderinger. Artikel 7 Lovlig behandling af personoplysninger Medlemsstaterne fastsætter bestemmelser om, at en behandling af personoplysninger kun er lovlig, hvis og i det omfang denne behandling er nødvendig: a) for at en kompetent myndighed kan udføre en specifik opgave med de i artikel 1, stk. 1, nævnte formål b) for at overholde en retlig forpligtelse, som den registeransvarlige er pålagt c) for at beskytte den registreredes eller en anden persons vitale interesser d) for at forebygge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed. Artikel 8 Behandling af særlige kategorier af personoplysninger 1. Medlemsstaterne forbyder behandling af personoplysninger, der viser racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning og fagforeningsmæssigt tilhørsforhold samt genetiske data, helbredsoplysninger og oplysninger om seksuelle forhold. 2. Stk. 1 finder ikke anvendelse, hvis: a) behandlingen er tilladt i henhold til lovgivningen, som fastlægger de fornødne garantier b) behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser c) behandlingen vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede Artikel 9 Foranstaltninger baseret på profilering og automatisk behandling 1. Medlemsstaterne fastsætter bestemmelser om, at foranstaltninger, der har negative retlige virkninger for den registrerede eller påvirker vedkommende i væsentlig grad, og som udelukkende er baseret på automatisk behandling af personoplysninger med henblik på vurdering af visse individuelle aspekter vedrørende den registreredes person, skal forbydes, medmindre de er tilladt ved en lov, som også indeholder bestemmelser til beskyttelse af den registreredes legitime interesser. 2. Automatisk behandling af personoplysninger, der har til formål at vurdere bestemte personlige forhold vedrørende den registrerede, må ikke alene baseres på de særlige kategorier af personoplysninger, der er nævnt i artikel 8. KAPITEL III DEN REGISTREREDES RETTIGHEDER Artikel 10 Nærmere bestemmelser om udøvelsen af den registreredes rettigheder 1. Medlemsstaterne sørger for, at den registeransvarlige træffer alle rimelige foranstaltninger for at fastsætte gennemsigtige og lettilgængelige regler for behandlingen af personoplysninger og udøvelsen af registreredes rettigheder. 2. Medlemsstaterne sørger for, at den registeransvarlige udleverer alle oplysninger og meddelelser vedrørende behandlingen af personoplysninger til den registrerede i en letforståelig form og i et klart og forståeligt sprog. 3. Medlemsstaterne sørger for, at den registeransvarlige træffer alle rimelige foranstaltninger for at fastlægge procedurer for udlevering af de oplysninger, der er omhandlet i artikel 11, og for udøvelsen af de registreredes rettigheder som omhandlet i artikel 12-17. 4. Medlemsstaterne sikrer, at den registeransvarlige informerer den registrerede om, hvordan dennes anmodning følges op uden unødig forsinkelse. 5. Medlemsstaterne fastsætter bestemmelser om, at informeringen og foranstaltninger, som den registeransvarlige træffer efter anmodning, jf. stk. 3 og 4, er gratis. Hvis anmodninger er usaglige, bl.a. fordi de gentages, eller på grund af deres størrelse eller omfang, kan den registeransvarlige opkræve et gebyr for fremsendelse af meddelelsen eller iværksættelse af den ønskede handling, eller den registeransvarlige kan undlade at iværksætte den ønskede handling. I det tilfælde bærer den registeransvarlige ansvaret for at bevise, at anmodningen er usaglig. Artikel 11 Information til den registrerede 1. Medlemsstaterne sikrer, at den registeransvarlige ved indsamling af personoplysninger om den registrerede træffer alle nødvendige foranstaltninger for at sikre, at den registeransvarlige modtager mindst følgende oplysninger: a) identitet og kontaktoplysninger for den registeransvarlige og for den databeskyttelsesansvarlige b) formålene med den behandling, hvortil oplysningerne er bestemt c) det tidsrum, hvori personoplysningerne opbevares d) retten til at anmode den registeransvarlige om indsigt i og berigtigelse eller sletning af personoplysninger vedrørende den registrerede eller begrænsning af behandlingen heraf e) retten til at indgive klage til den tilsynsmyndighed, der er omhandlet i artikel 39, og kontaktoplysninger til tilsynsmyndigheden f) modtagerne eller kategorierne af modtagere af personoplysningerne, herunder i tredjelande eller internationale organisationer g) yderligere information, for så vidt denne information er nødvendig under hensyn til de særlige forhold, hvorunder personoplysningerne behandles, for at garantere en retfærdig behandling af den registrerede. 2. Hvis personoplysningerne indsamles fra den registrerede, meddeler den registeransvarlige i tillæg til de i stk. 1 omhandlede oplysninger den registrerede, hvorvidt indgivelsen af personoplysninger er obligatorisk eller frivillig, og de mulige konsekvenser, hvis sådanne oplysninger ikke indgives. 3. Den registeransvarlige fremlægger de oplysninger, der er omhandlet i stk. 1: a) på det tidspunkt, hvor personoplysningerne indhentes fra den registrerede, eller b) såfremt personoplysningerne ikke indsamles fra den registrerede, på tidspunktet for registreringen eller inden for et rimeligt tidsrum efter indsamlingen afhængigt af de konkrete omstændigheder for behandlingen af oplysningerne. 4. Medlemsstaterne kan træffe lovgivningsmæssige foranstaltninger, der udsætter eller begrænser informeringen af de registrerede eller deres ret til indsigt i oplysningerne, eller forhindrer dem i at blive informeret eller få indsigt i oplysningerne, i det omfang en sådan delvis eller fuldstændig begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til de pågældendes legitime interesser: a) for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer b) for at undgå, at forebyggelsen, opdagelsen, efterforskningen og retsforfølgningen af strafbare handlinger skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner c) for at beskytte den offentlige sikkerhed d) for at beskytte den nationale sikkerhed e) for at beskytte andres rettigheder og friheder. 5. Medlemsstaterne kan fastsætte de kategorier af databehandling, der helt eller delvis er omfattet af undtagelserne i stk. 4. Artikel 12 Den registreredes ret til indsigt 1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede har ret til fra den registeransvarlige at få bekræftet, om personoplysninger vedrørende vedkommende behandles. Hvis sådanne personoplysninger behandles, fremlægger den registeransvarlige følgende oplysninger: a) formålene med behandlingen b) de pågældende kategorier af personoplysninger c) de modtagere eller kategorier af modtagere, som personoplysningerne er blevet videregivet til, navnlig modtagere i tredjelande d) det tidsrum, hvori personoplysningerne opbevares e) retten til at anmode den registeransvarlige om at få berigtiget, eller slettet personoplysninger om den registrerede eller begrænset behandlingen heraf f) retten til at indgive en klage til tilsynsmyndigheden og kontaktoplysningerne for tilsynsmyndigheden g) hvilke personoplysninger der er omfattet af behandlingen, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer 2. Medlemsstaterne fastsætter bestemmelser om, at den registrerede har ret til fra den registeransvarlige at modtage en kopi af de personoplysninger, der er genstand for behandling. Artikel 13 Begrænsninger af retten til indsigt 1. Medlemsstaterne kan træffe lovgivningsmæssige foranstaltninger, der helt eller delvis begrænser eller udsætter den registreredes ret til indsigt, i det omfang en sådan delvis eller fuldstændig begrænsning er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under hensyn til den pågældendes legitime interesser: a) for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer b) for at undgå, at forebyggelsen, opdagelsen, efterforskningen og retsforfølgningen af straffelovsovertrædelser skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner c) for at beskytte den offentlige sikkerhed d) for at beskytte den nationale sikkerhed e) for at beskytte andres rettigheder og friheder. 2. Medlemsstaterne kan ved lov fastsætte de kategorier af databehandling, der helt eller delvis er omfattet af undtagelserne i stk. 1. 3. I de i stk. 1 og 2 omhandlede tilfælde fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige skal give den registrerede skriftlig meddelelse om ethvert afslag på at få indsigt i personoplysninger eller begrænsning af indsigten, årsagerne hertil og om mulighederne for at indgive klage til tilsynsmyndigheden og indbringe sagen for en retsinstans. Oplysningerne om de faktiske eller retlige grunde, som afgørelsen hviler på, kan udelades, hvis sådanne oplysninger vil være til skade for et af formålene i stk. 1. 4. Medlemsstaterne sikrer, at den registeransvarlige dokumenterer begrundelsen for at udelade oplysningerne om de faktiske eller retlige grunde, som afgørelsen hviler på. Artikel 14 Nærmere bestemmelser om udøvelsen af retten til indsigt 1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede, navnlig i de i artikel 13 omhandlede tilfælde, har ret til at anmode tilsynsmyndigheden om at kontrollere, om behandlingen er lovlig. 2. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal underrette den registrerede om retten til at anmode tilsynsmyndigheden om at gribe ind, jf. stk. 1. 3. Hvis den i stk. 1 omhandlede ret udøves, underretter den pågældende tilsynsmyndighed som minimum den registrerede om, at alle tilsynsmyndighedens nødvendige kontroller er foretaget, og om hvorvidt den pågældende behandling er lovlig. Artikel 15 Ret til berigtigelse 1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede kan kræve, at den registeransvarlige berigtiger urigtige personoplysninger vedrørende den registrerede. Den registrerede har ret til få kompletteret ufuldstændige personoplysninger, bl.a. ved at kræve en berigtigelse. 2. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal give den registrerede skriftlig meddelelse om ethvert afslag på berigtigelse, om årsagerne til afslaget og om mulighederne for at indgive klage til tilsynsmyndigheden og indbringe sagen for en retsinstans. Artikel 16 Ret til sletning 1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede kan kræve, at den registeransvarlige sletter personoplysninger vedrørende den registrerede, hvis behandlingen ikke er i overensstemmelse med de bestemmelser, der er vedtaget i medfør af artikel 4, litra a)-litra e), samt artikel 7 og 8 i direktivet. 2. Den registeransvarlige foretager omgående sletningen. 3. I stedet for sletning begrænser den registeransvarlige behandlingen af person­oplysninger, hvis: a) deres rigtighed bestrides af den registrerede, indtil den registeransvarlige har haft mulighed for at fastslå, om de er rigtige b) personoplysningerne skal gemmes som bevismiddel c) den registrerede modsætter sig deres sletning og i stedet kræver, at anvendelsen heraf begrænses. 4. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal give den registrerede skriftlig meddelelse om ethvert afslag på sletning eller markering af behandlingen, om årsagerne til afslaget og mulighederne for at indgive klage til tilsynsmyndigheden og indbringe sagen for en retsinstans. Artikel 17 Den registreredes rettigheder i forbindelse med strafferetlige efterforskninger og straffesager Medlemsstaterne kan fastsætte bestemmelser om, at retten til oplysninger og retten til indsigt i og berigtigelse og sletning af personoplysninger samt begrænsning af behandlingen heraf, jf. artikel 11-16, skal udøves i overensstemmelse med de nationale retsplejeregler, når personoplysningerne er indeholdt i en retsafgørelse eller et register, der behandles i forbindelse med strafferetlige efterforskninger og straffesager. KAPITEL IV REGISTERANSVARLIG OG REGISTERFØRER AFDELING 1 GENERELLE FORPLIGTELSER Artikel 18 Den registeransvarliges ansvar 1. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal fastlægge strategier og gennemføre passende foranstaltninger med henblik på at sikre, at behandlingen af personoplysninger foretages i overensstemmelse de bestemmelser, der vedtages i medfør af dette direktiv. 2. De i stk. 1 nævnte foranstaltninger omfatter især følgende: a) opbevaring af dokumentation, jf. artikel 23 b) opfyldelse af bestemmelserne om forudgående høring i henhold til artikel 26 c) gennemførelse af datasikkerhedskravene som fastsat i artikel 27 d) udpegning af en databeskyttelsesansvarlig i henhold til artikel 30. 3. Den registeransvarlige anvender mekanismer, der har til formål at kontrollere effektiviteten af de foranstaltninger, der er omhandlet i stk. 1 i denne artikel. Denne kontrol udføres af uafhængige interne eller eksterne revisorer, hvis det er hensigtsmæssigt. Artikel 19 Indbygget databeskyttelse og databeskyttelse gennem indstillinger 1. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige under hensyntagen til det aktuelle tekniske niveau og omkostningerne i forbindelse med gennemførelsen skal træffe passende tekniske og organisatoriske foranstaltninger og procedurer, således at behandlingen opfylder kravene i de bestemmelser, der vedtages i medfør af dette direktiv, og sikrer beskyttelsen af den registreredes rettigheder. 2. Den registeransvarlige anvender mekanismer med henblik på som udgangspunkt at sikre, at det kun er de personoplysninger, der er nødvendige til formålet med behandlingen, der behandles. Artikel 20 Fælles registeransvarlige Medlemsstaterne fastsætter bestemmelser om, at når en registeransvarlig afgør, til hvilket formål, på hvilke betingelser og med hvilke hjælpemidler der må foretages behandling af personoplysninger sammen med andre registeransvarlige, skal de fælles registeransvarlige indbyrdes aftale en ordning for deres respektive ansvar for at overholde de bestemmelser, der vedtages i henhold til dette direktiv, navnlig hvad angår procedurer for og mekanismer til udøvelse af den registreredes rettigheder. Artikel 21 Registerfører 1. Medlemsstaterne fastsætter bestemmelser om, at hvis en behandling foretages på vegne af en registeransvarlig, skal den registeransvarlige vælge en registerfører, som giver de fornødne garantier for gennemførelsen af passende tekniske og organisatoriske foranstaltninger og procedurer, således at behandlingen opfylder kravene i de bestemmelser, der vedtages i medfør af dette direktiv, og sikrer beskyttelsen af den registreredes ret