Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) /* COM/2012/011 final - 2012/0011 (COD) */





BEGRUNDELSE 1. BAGGRUND FOR FORSLAGET I denne begrundelse redegøres der nærmere for den nye retlige ramme for beskyttelse af personoplysninger i EU som fremlagt i Kommissionens meddelelse COM(2012) 9 final[1]. Rammen består af to forslag til retsakt: – et forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) – et forslag til Europa-Parlamentets og Rådets direktiv om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger[2]. Denne begrundelse vedrører forslaget til en generel forordning om databeskyttelse. Kernen i den eksisterende EU-ret om beskyttelse af personoplysninger, direktiv 95/46/EF[3], blev vedtaget i 1995 med det dobbelte formål at beskytte den grundlæggende ret til databeskyttelse og at garantere fri udveksling af personoplysninger mellem medlemsstaterne. Direktivet blev suppleret med rammeafgørelse 2008/977/RIA, som er det generelle EU-instrument til beskyttelse af personoplysninger i forbindelse med politimæssigt og retligt samarbejde i straffesager[4]. Den hurtige teknologiske udvikling har skabt nye udfordringer, hvad angår beskyttelse af personoplysninger. Omfanget af datadeling og -indsamling er steget drastisk. Teknologien giver både private virksomheder og offentlige myndigheder mulighed for at udnytte personoplysninger i et hidtil uset omfang, når de udøver deres aktiviteter. Fysiske personer udbreder i stigende grad deres personoplysninger offentligt og globalt. Teknologien har ændret både samfundet og det sociale liv. Opbygning af tillid i onlinemiljøet er afgørende for den økonomiske udvikling. Manglende tillid får forbrugerne til at være tilbageholdende med at købe varer på internettet og benytte nye tjenester. Dette kan forsinke udviklingen af innovative anvendelser af nye teknologier. Beskyttelse af personoplysninger spiller derfor en central rolle i den digitale dagsorden for Europa[5] og mere generelt i Europa 2020-strategien[6]. I artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF), som blev indført ved Lissabontraktaten, fastsættes det, at enhver har ret til beskyttelse af personoplysninger om vedkommende selv. Ved artikel 16, stk. 2, i TEUF indførte Lissabontraktaten et specifikt retsgrundlag for vedtagelsen af regler om beskyttelse af personoplysninger. I artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder fastslås det, at beskyttelse af personoplysninger er en grundlæggende rettighed. Det Europæiske Råd har opfordret Kommissionen til at evaluere, hvordan EU's instrumenter vedrørende databeskyttelse fungerer, og om nødvendigt fremlægge yderligere lovgivnings­mæssige eller ikke-lovgivningsmæssige initiativer[7]. I sin beslutning om Stockholm­programmet glædede Europa-Parlamentet[8] sig over forslaget til en generel databeskyttelsesordning i EU og opfordrede bl.a. til en revision af rammeafgørelsen. Kommissionen har i sin handlingsplan om gennemførelse af Stockholmprogrammet[9] understreget behovet for at sikre, at den grundlæggende ret til beskyttelse af person­oplysninger overholdes konsekvent i forbindelse med alle EU-politikker. I sin meddelelse "En global metode til beskyttelse af personoplysninger i Den Europæiske Union"[10] konkluderede Kommissionen, at EU har brug for en mere omfattende og sammenhængende politik om den grundlæggende ret til beskyttelse af personoplysninger. Den nuværende ramme er stadig forsvarlig, hvad angår dens målsætninger og principper, men den har ikke forhindret en fragmentering af den måde, hvorpå beskyttelsen af personoplysninger gennemføres i EU's forskellige medlemsstater, en mangelfuld retssikkerhed og en udbredt offentlig opfattelse af, at der er betydelige risici i forbindelse med navnlig onlineaktivitet[11]. Det er derfor på tide, at der opbygges en stærkere og mere sammenhængende ramme for databeskyttelse i EU, som følges op af en effektiv håndhævelse, der sikrer, at den digitale økonomi kan udvikle sig på tværs af det indre marked, giver fysiske personer kontrol over deres egne oplysninger og styrker retssikkerheden og den praktiske sikkerhed for erhvervsdrivende og offentlige myndigheder. 2. RESULTATER AF HØRINGEN AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER Dette initiativ er resultatet af omfattende høringer af de vigtigste interesserede parter om en revision af den nuværende retlige ramme for beskyttelse af personoplysninger, der blev gennemført over en periode på mere end to år, og som omfattede en konference på højt niveau i maj 2009[12] og to offentlige høringsfaser: – Fra den 9. juli til den 31. december 2009: høring om den retlige ramme for beskyttelse af personoplysninger, hvor Kommissionen modtog 168 svar, heraf 127 fra enkeltpersoner, erhvervsorganisationer og -sammenslutninger og 12 fra offentlige myndigheder[13] – Fra den 4. november 2010 til den 15. januar 2011: høring om Kommissionens globale metode til beskyttelse af personoplysninger i EU, hvor Kommissionen modtog 305 svar, heraf 54 fra borgere, 31 fra offentlige myndigheder og 220 fra private organisationer, navnlig erhvervssammenslutninger og ngo'er.[14] Der blev også gennemført målrettede høringer af centrale aktører, og i juni og juli 2010 blev der afholdt særlige arrangementer med deltagelse af myndigheder fra medlemsstaterne, aktører fra den private sektor samt organisationer, der arbejder med beskyttelse af privatlivets fred, databeskyttelse og forbrugerinteresser[15]. I november 2010 tilrettelagde Kommissionens næstformand Viviane Reding en rundbordsdrøftelse af reformen af rammen for databeskyttelse. Den 28. januar 2011 (databeskyttelsesdagen) afholdt Europa-Kommissionen og Europarådet sammen en konference på højt niveau om spørgsmål vedrørende reformen af EU's retlige ramme og behovet for fælles standarder for databeskyttelse i hele verden[16]. Det ungarske og det polske formandskab var værter for to konferencer om databeskyttelse den 16.-17. juni 2011 og den 21. september 2011. Gennem hele 2011 blev der afholdt målrettede workshopper og seminarer om specifikke spørgsmål. I januar tilrettelagde ENISA[17] en workshop om anmeldelse af brud på datasikkerheden i Europa[18]. I februar afholdt Kommissionen en workshop med deltagelse af medlemsstaternes myndigheder med det formål at drøfte databeskyttelsesspørgsmål i forbindelse med politimæssigt og retligt samarbejde i straffesager, herunder gennemførelsen af rammeafgørelsen, og Agenturet for Grundlæggende Rettigheder afholdt et møde, hvor de berørte parter blev hørt om databeskyttelse og beskyttelse af privatlivets fred. En drøftelse af centrale spørgsmål i forbindelse med reformen blev gennemført den 13. juli 2011 med deltagelse af de nationale databeskyttelsesmyndigheder. EU-borgere blev hørt i en Eurobarometerundersøgelse i november-december 2010[19]. Der blev også indledt en række undersøgelser[20]. "Artikel 29-gruppen"[21] indgav en række udtalelser og nyttige bidrag til Kommissionen[22]. Den Europæiske Tilsynsførende for Databeskyttelse har også afgivet en omfattende udtalelse om de spørgsmål, der rejses i Kommissionens meddelelse fra november 2010[23]. Europa-Parlamentet godkendte ved sin beslutning af 6. juli 2011 en betænkning, der støttede Kommissionens tilgang til reformen af databeskyttelsesrammen[24]. Rådet støttede i sine konklusioner vedtaget den 24. februar 2011 generelt Kommissionens hensigt om at reformere databeskyttelsesrammen og tilsluttede sig mange af elementerne i Kommissionens tilgang. Det Europæiske Økonomiske og Sociale Udvalg støttede ligeledes Kommissionens hensigt om at sikre en mere sammenhængende anvendelse af EU's databeskyttelsesregler[25] på tværs af alle medlemsstater og en passende revision af direktiv 95/46/EF[26]. Under høringerne om den globale tilgang var et stort flertal af de berørte parter enige om, at de generelle principper fortsat har gyldighed, men at der er behov for at tilpasse den nuværende ramme, så den i højere grad imødegår de udfordringer, der opstår som følge af den hurtige udvikling af nye teknologier (navnlig på internettet) og den øgede globalisering, samtidig med at den retlige rammes teknologiske neutralitet bevares. Den nuværende fragmentering af beskyttelsen af personoplysninger i EU er blevet skarpt kritiseret af navnlig økonomiske aktører, der ønsker øget retssikkerhed og harmonisering af reglerne om beskyttelse af personoplysninger. Kompleksiteten ved reglerne om international udveksling af personoplysninger vurderes at udgøre en betydelig hindring for deres aktiviteter, da de regelmæssigt skal overføre personoplysninger fra EU til andre dele af verden. Kommissionen har i overensstemmelse med sin handlingsplan for en bedre lovgivning foretaget en konsekvensanalyse af alternative politikker. Konsekvensanalysen var baseret på tre politiske målsætninger, nemlig at lægge større vægt på databeskyttelse som led i det indre marked, at forbedre fysiske personers muligheder for at udøve deres databeskyttelses­rettigheder og at skabe et omfattende og sammenhængende system, som dækker alle EU's kompetenceområder, herunder politimæssigt og retligt samarbejde i straffesager. Tre løsningsmodeller med forskellige grader af indgriben blev vurderet. Den første model bestod af minimale lovgivningsændringer og anvendelse af fortolkningsmeddelelser og politiske støtteforanstaltninger, som f.eks. finansieringsprogrammer og tekniske værktøjer. Den anden model omfattede et sæt lovgivningsbestemmelser, som omhandlede hvert af de spørgsmål, der blev udpeget i analysen, og den tredje model gjaldt centralisering af databeskyttelse på EU-plan gennem præcise og detaljerede regler for alle sektorer og oprettelse af et EU-agentur for kontrol med og håndhævelse af bestemmelserne. I overensstemmelse med Kommissionens fastlagte metode blev hver model med hjælp fra en intern styregruppe vurderet i forhold til modellens effektivitet med hensyn til at opfylde de politiske målsætninger, dens økonomiske indvirkning på aktørerne (herunder på EU-institutionernes budget), dens sociale indvirkning og dens indvirkning på de grundlæggende rettigheder. Der blev ikke konstateret miljømæssige indvirkninger. Analysen af den overordnede indvirkning resulterede i udformningen af den foretrukne model, som er baseret på model 2, omfatter visse elementer fra de to andre modeller og indgår i dette forslag. I henhold til konsekvensanalysen vil gennemførelsen heraf bl.a. sikre betydelige forbedringer med hensyn til retssikkerheden for registeransvarlige og borgere, formindskelse af den administrative byrde, overensstemmende håndhævelse af databeskyttelse i EU, konkret mulighed for fysiske personer for at udøve deres rettigheder til beskyttelse af personoplysninger i EU og en effektiv overvågning og håndhævelse af databeskyttelse. Gennemførelsen af den foretrukne model forventes også at bidrage til Kommissionens mål om forenkling og reduktion af den administrative byrde og til målsætningerne i den digitale dagsorden for Europa, Stockholmprogrammet og Europa 2020-strategien. Udvalget for Konsekvensanalyse afgav en udtalelse om udkastet til konsekvensanalyse den 9. september 2011. I forlængelse af denne udtalelse blev der foretaget følgende ændringer i konsekvensanalysen: – målsætningerne for den nuværende retlige ramme (i hvilket omfang de er opfyldt og ikke opfyldt) og målsætningerne for den planlagte reform blev præciseret – yderligere dokumentation, forklaringer og præciseringer er føjet til afsnittet med definition af problemer – et afsnit om proportionalitet er tilføjet – alle beregninger og overslag vedrørende den administrative byrde i basisscenariet og i den foretrukne model er blevet gennemgået og revideret fuldstændigt, og forholdet mellem omkostningerne til anmeldelse og de samlede omkostninger som følge af fragmentering er blevet præciseret (herunder bilag 10) – indvirkningerne på mikrovirksomheder og små og mellemstore virksomheder, navnlig hvad angår databeskyttelsesansvarlige og konsekvensanalyser vedrørende databeskyttelse, er blevet præciseret yderligere. Konsekvensanalyserapporten og et resumé er offentliggjort sammen med forslagene. 3. FORSLAGETS RETLIGE ASPEKTER 3.1. Retsgrundlag Dette forslag er baseret på artikel 16 i TEUF, som er det nye retsgrundlag for vedtagelsen af databeskyttelsesregler, der blev indført ved Lissabontraktaten. Denne bestemmelse gør det muligt at vedtage regler om beskyttelse af fysiske personer i forbindelse med medlemsstaternes behandling af personoplysninger ved udførelse af aktiviteter, der falder inden for rammerne af EU-retten. Den gør det også muligt at vedtage regler om fri udveksling af personoplysninger, herunder personoplysninger, der er behandlet af medlemsstater eller private parter. En forordning anses for at være det mest hensigtsmæssige retlige instrument til fastlæggelse af regler om beskyttelse af personoplysninger i EU. Det forhold, at en forordning er almengyldig i henhold til artikel 288 i TEUF, vil mindske lovgivningens fragmentering og øge retssikkerheden ved at indføre et harmoniseret sæt hovedregler, forbedre beskyttelsen af fysiske personers grundlæggende rettigheder og bidrage til det indre markeds gennemførelse. Henvisningen til artikel 114, stk. 1, i TEUF er kun nødvendig for at ændre direktiv 2002/58/EF og i det omfang, direktivet også indeholder bestemmelser om beskyttelse af de legitime interesser hos deltagere, der er juridiske personer. 3.2. Nærhedsprincippet og proportionalitetsprincippet I medfør af nærhedsprincippet (EU-traktatens artikel 5, stk. 3) iværksættes der kun foranstaltninger på EU-plan, hvis og i det omfang de forventede mål ikke i tilstrækkelig grad kan nås af medlemsstaterne alene og derfor på grund af den påtænkte handlings omfang eller virkninger bedre kan gennemføres på EU-plan. I lyset af ovennævnte problemer giver analysen af nærhedsprincippet følgende begrundelser for nødvendigheden af en indsats på EU-plan: – Retten til beskyttelse af personoplysninger, som er udtrykkeligt anerkendt i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder, kræver samme databeskyttelsesniveau i hele EU. Hvis der ikke indføres fælles EU-regler, opstår der risiko for forskellige databeskyttelsesniveauer i medlemsstaterne og begrænsninger for strømmen af personoplysninger på tværs af landegrænserne mellem medlemsstater med forskellige standarder. – Personoplysninger videregives stadig hurtigere på tværs af nationale grænser, både interne og eksterne. Der er desuden en række praktiske udfordringer i forbindelse med håndhævelsen af lovgivningen om databeskyttelse og et behov for samarbejde mellem medlemsstaterne og deres myndigheder, som bør organiseres på EU-plan for at sikre en ensartet anvendelse af EU-retten. EU er også mest velegnet til effektivt og ensartet at sikre det samme beskyttelsesniveau for fysiske personer, når deres personoplysninger videregives til tredjelande. – Medlemsstaterne kan ikke selv mindske de aktuelle problemer, navnlig ikke problemerne vedrørende de nationale lovgivningers fragmentering. Der er også et specifikt behov for at skabe en harmoniseret og sammenhængende ramme, som muliggør nem udveksling af personoplysninger på tværs af EU's grænser, samtidig med at alle fysiske personer i EU sikres en effektiv beskyttelse. – Den foreslåede EU-lovgivning vil være mere effektiv end tilsvarende lovgivning på medlemsstatsniveau på grund af problemernes karakter og omfang, som ikke kun gør sig gældende for en eller flere medlemsstater. I henhold til proportionalitetsprincippet skal interventioner være målrettede og må ikke række ud over det, der er nødvendigt for at nå målene. Det har været det ledende princip i udformningen af dette forslag fra identificering og vurdering af alternative løsningsmodeller til udarbejdelsen af lovgivningsforslaget. 3.3. Sammenfatning af aspektet "grundlæggende rettigheder" Retten til beskyttelse af personoplysninger er indført ved artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16 i TEUF. Som det understreges af EU-Domstolen[27], er retten til beskyttelse af personoplysninger ikke en absolut ret, men skal ses i forhold til dens funktion i samfundet[28]. Databeskyttelse hænger tæt sammen med respekten for privatliv og familieliv, som er omhandlet i chartrets artikel 7. Dette afspejles i artikel 1, stk. 1, i direktiv 95/46/EF, som fastsætter, at medlemsstaterne sikrer beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger. Andre af chartrets grundlæggende rettigheder, som eventuelt berøres, omfatter ytringsfrihed (artikel 11 i chartret), frihed til at oprette og drive egen virksomhed (artikel 16), ejendomsretten og navnlig beskyttelsen af intellektuel ejendom (artikel 17, stk. 2), forbuddet mod forskelsbehandling på grund af bl.a. race, etnisk oprindelse, genetiske anlæg, religion eller tro, politiske eller andre anskuelser, handicap eller seksuel orientering (artikel 21), børns rettigheder (artikel 24), retten til et højt sundhedsbeskyttelsesniveau (artikel 35) og retten til aktindsigt (artikel 42) og retten til indsigt i dokumenter (artikel 42) og retten til adgang til effektive retsmidler og til en upartisk domstol (artikel 47). 3.4. Nærmere beskrivelse af forslaget 3.4.1. KAPITEL I - GENERELLE BESTEMMELSER I artikel 1 fastsættes genstanden for forordningen og - som i artikel 1 i direktiv 95/46/EF - tillige forordningens to målsætninger. I artikel 2 fastsættes forordningens materielle anvendelsesområde. I artikel 3 fastsættes forordningens territoriale anvendelsesområde. Artikel 4 indeholder definitioner af udtryk, der anvendes i forordningen. Nogle definitioner er overtaget fra direktiv 95/46/EF, mens andre er ændret og suppleres af yderligere elementer, og endnu andre er nye ("brud på persondatasikkerheden", jf. artikel 2, litra h), i direktiv 2002/58/EF om e-databeskyttelse[29] som ændret ved direktiv 2009/136/EF[30], "genetiske data", "biometriske data", "helbredsoplysninger", "hovedvirksomhed", "repræsentant", "virksom­hed", "koncern", "bindende virksomhedsregler" og "barn", jf. FN's konvention om barnets rettigheder[31], og "tilsynsmyndighed"). I definitionen af samtykke er kriteriet "udtrykkeligt" tilføjet for at undgå en forvirrende sidestilling med "utvetydigt" samtykke og for at opnå én fælles og ensartet definition af samtykke, så den registrerede gøres opmærksom på, at og til hvad han eller hun afgiver sit samtykke. 3.4.2. KAPITEL II - PRINCIPPER I artikel 5 fastsættes principperne for behandling af personoplysninger, som svarer til principperne i artikel 6 i direktiv 95/46/EF. Yderligere nye elementer omfatter gennem­sigtighedsprincippet, præcisering af princippet om dataminimering og fastlæggelse af de registeransvarliges omfattende ansvar, herunder erstatningsansvar. I artikel 6 fastsættes med udgangspunkt i artikel 7 i direktiv 95/46/EF kriterierne for lovlig behandling, som præciseres yderligere, hvad angår kriteriet om interesseafvejning og overholdelsen af retlige forpligtelser og samfundsinteresser. Artikel 7 præciserer betingelserne for, at et samtykke kan anvendes som juridisk begrundelse for lovlig behandling. I artikel 8 fastsættes nærmere bestemmelser om det lovlige i at behandle personoplysninger om børn i forbindelse med informationssamfundstjenester, som tilbydes dem direkte. I artikel 9 fastsættes det generelle forbud mod behandling af særlige kategorier af personoplysninger og undtagelserne fra denne generelle regel baseret på artikel 8 i direktiv 95/46/EF. I artikel 10 præciseres det, at en registeransvarlig ikke er forpligtet til at indhente yderligere oplysninger for at kunne identificere den registrerede alene med det formål at overholde bestemmelserne i denne forordning. 3.4.3. KAPITEL III - DEN REGISTREREDES RETTIGHEDER 3.4.3.1. Afdeling 1 - Gennemsigtighed og nærmere regler Ved artikel 11 indføres forpligtelsen for registeransvarlige til at levere gennemsigtig, lettilgængelig og forståelig information, navnlig inspireret af Madridresolutionen om internationale standarder for beskyttelse af personlige oplysninger og privatlivets fred[32]. Artikel 12 forpligter den registeransvarlige til at fastlægge procedurer for og systemer til udøvelse af den registreredes rettigheder, herunder systemer til elektroniske anmodninger, idet den registreredes anmodninger skal besvares inden for en fastsat tidsfrist, og afslag skal begrundes. Ved artikel 13 fastlægges rettigheder i forbindelse med modtagere på grundlag af artikel 12, litra c), i direktiv 95/46/EF, som gælder for alle modtagere, herunder fælles registeransvarlige og registerførere. 3.4.3.2. Afdeling 2 - Information og indsigt i oplysninger I artikel 14 fastsættes nærmere bestemmelser om den registeransvarliges underretningspligt over for den registrerede med udgangspunkt i artikel 10 og 11 i direktiv 95/46/EF, så der gives yderligere oplysninger til den registrerede, herunder om opbevaringsperiode og retten til at indgive klage, i forbindelse med international udveksling og den kilde, oplysningerne kommer fra. Den fastholder også de mulige undtagelser i direktiv 95/46/EF. Der pålægges f.eks. ikke en sådan pligt, hvis registreringen eller videregivelsen udtrykkeligt er fastsat ved lov. Dette kan f.eks. gøre sig gældende i sager, der føres af konkurrencemyndigheder, skatte- eller toldforvaltninger eller socialsikringsmyndigheder. Artikel 15 omhandler den registreredes ret til indsigt i sine personoplysninger med udgangspunkt i artikel 12, litra a), i direktiv 95/46/EF, idet der tilføjes nye elementer, som har til formål at oplyse de registrerede om opbevaringsperioden samt retten til berigtigelse, sletning og indgivelse af klager. 3.4.3.3. Afdeling 3 - Berigtigelse og sletning I artikel 16 fastsættes den registreredes ret til berigtigelse, som er baseret på artikel 12, litra b), i direktiv 95/46/EF. Artikel 17 omhandler den registreredes ret til at blive glemt og til sletning. Den uddyber og beskriver retten til sletning, der er omhandlet i artikel 12, litra b), i direktiv 95/46/EF, og angiver betingelserne for retten til at blive glemt, herunder den pligt, som registeransvarlige, der har offentliggjort personoplysningerne, har til at informere tredjeparter om den registreredes anmodning om at slette alle link til, kopier af eller gengivelser af de pågældende personoplysninger. Den integrerer også retten til i visse tilfælde at få behandlingen begrænset, så den tvetydige terminologi "blokering" undgås. Ved artikel 18 indføres den registreredes ret til dataportabilitet, dvs. til at overføre oplysninger fra et elektronisk databehandlingssystem til et andet, uden at den registeransvarlige kan forhindre det. Som en forudsætning og for yderligere at forbedre fysiske personers indsigt i deres personoplysninger fastsættes der bestemmelser om retten til at få disse oplysninger fra den registeransvarlige i et almindeligt anvendt elektronisk format. 3.4.3.4. Afdeling 4 - Indsigelsesret og profilering Artikel 19 omhandler den registreredes indsigelsesret. Den er baseret på artikel 14 i direktiv 95/46/EF med visse ændringer, herunder med hensyn til bevisbyrden og anvendelsen på direkte markedsføring. Artikel 20 omhandler den registreredes ret til ikke at være genstand for foranstaltninger baseret på profilering. Med ændringer og yderligere garantier er den baseret på artikel 15, stk. 1, i direktiv 95/46/EF om edb-behandlede individuelle afgørelser, og der tages hensyn til Europarådets anbefaling om profilering[33]. 3.4.3.5. Afdeling 5 - Begrænsninger I artikel 21 præciseres EU's eller medlemsstaternes beføjelse til at fastholde eller indføre begrænsninger af principperne i artikel 5 og for den registreredes rettigheder, som er fastsat i artikel 11-20 og i artikel 32. Denne bestemmelse er baseret på artikel 13 i direktiv 95/46/EF og de krav, der følger af Den Europæiske Unions charter om grundlæggende rettigheder og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder som fortolket af EU-Domstolen og Den Europæiske Menneskerettighedsdomstol. 3.4.4. KAPITEL IV - REGISTERANSVARLIG OG REGISTERFØRER 3.4.4.1. Afdeling 1 - Generelle forpligtelser Artikel 22 inddrager drøftelserne om et "princip om ansvarlighed" og beskriver i detaljer den registeransvarliges ansvar for at overholde denne forordning og påvise overholdelsen, herunder ved indførelse af interne regler og systemer, som kan sikre denne overholdelse. I artikel 23 fastsættes den registeransvarliges forpligtelser som følge af principperne om indbygget databeskyttelse og databeskyttelse gennem indstillinger. I artikel 24 om fælles registeransvarlige fastlægges ansvarsområderne for fælles registeransvarlige, hvad angår deres indbyrdes forhold og forhold til den registrerede. Artikel 25 forpligter på visse betingelser registeransvarlige, som ikke er etableret i EU, hvor forordningen gælder for deres behandlingsaktiviteter, til at udpege en repræsentant i EU. Artikel 26 afklarer registerførernes position og forpligtelse delvist baseret på artikel 17, stk. 2, i direktiv 95/46/EF og tilføjer nye elementer, herunder at en registerfører, som behandler data ud over den registeransvarliges anvisninger, betragtes som en fælles registeransvarlig. Artikel 27 om behandling, der udføres under den registeransvarlige eller registerføreren, er baseret på artikel 16 i direktiv 95/46/EF. Ved artikel 28 indføres forpligtelsen for de registeransvarlige og registerførere til at opbevare dokumentation for behandling, der udføres under deres ansvar, i stedet for en generel anmeldelse til tilsynsmyndigheden som krævet i artikel 18, stk. 1, og artikel 19 i direktiv 95/46/EF. I artikel 29 præciseres den registeransvarliges og registerførerens forpligtelse til at samarbejde med tilsynsmyndigheden. 3.4.4.2. Afdeling 2 - Datasikkerhed Ved artikel 30 forpligtes den registeransvarlige og registerføreren til at gennemføre passende foranstaltninger, der tager sigte på at garantere behandlingssikkerheden, med udgangspunkt i artikel 17, stk. 1, i direktiv 95/46/EF, idet denne forpligtelse udvides til at omfatte registerførere uanset aftalen med den registeransvarlige. Ved artikel 31 og 32 indføres en forpligtelse til at anmelde brud på persondatasikkerheden, som er baseret på anmeldelsen af brud på persondatasikkerheden i artikel 4, stk. 3, i direktiv 2002/58/EF om e-databeskyttelse. 3.4.4.3. Afdeling 3 - Konsekvensanalyse vedrørende databeskyttelse og forudgående godkendelse Ved artikel 33 indføres forpligtelsen for de registeransvarlige og registerførere til at foretage en konsekvensanalyse vedrørende databeskyttelse, inden de foretager risikobehæftet behandling. Artikel 34 vedrører tilfælde, hvor tilsynsmyndighedens godkendelse og høring kræves inden behandling, med udgangspunktet i bestemmelsen om forudgående kontrol i artikel 20 i direktiv 95/46/EF. 3.4.4.4. Afdeling 4 - Databeskyttelsesansvarlig Ved artikel 35 indføres krav om, at der skal udpeges en databeskyttelsesansvarlig for den offentlige sektor og i den private sektor for store virksomheder eller virksomheder, hvor den registeransvarliges eller registerførerens kerneaktiviteter består af behandling, der kræver regelmæssig og systematisk overvågning. Denne artikel er baseret på artikel 18, stk. 2, i direktiv 95/46/EF, som gav medlemsstaterne mulighed for at indføre et sådant krav i stedet for en generel anmeldelsespligt. Artikel 36 omhandler stillingen som databeskyttelsesansvarlig. Artikel 37 omhandler den databeskyttelsesansvarliges hovedopgaver. 3.4.4.5. Afdeling 5 - Adfærdskodekser og certificering Artikel 38 omhandler adfærdskodekser med udgangspunkt i bestemmelsen i artikel 27, stk. 1, i direktiv 95/46/EF, afklarer indholdet af kodekserne og procedurerne og fastsætter bestem­melser om Kommissionens beføjelse til at træffe afgørelse og adfærdskodeksers generelle gyldighed. Artikel 39 indfører muligheden for at fastlægge certificeringsordninger og databeskyttelses­mærkninger og -mærker. 3.4.5. KAPITEL V - VIDEREGIVELSE AF PERSONOPLYSNINGER TIL TREDJELANDE ELLER INTERNATIONALE ORGANISATIONER I artikel 40 præciseres det generelt, at overholdelse af forpligtelserne i dette kapitel er obligatorisk ved enhver videregivelse af personoplysninger til tredjelande eller internationale organisationer, herunder videreoverførsel. I artikel 41 fastsættes kriterierne, betingelserne og procedurerne for Kommissionens vedtagelse af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet med udgangspunkt i artikel 25 i direktiv 95/46/EF. De kriterier, der skal indgå i Kommissionens vurdering af, om et beskyttelses­niveau er tilstrækkeligt eller ej, omfatter udtrykkeligt retsregler, adgang til retsmidler og uafhængigt tilsyn. Muligheden for, at Kommissionen vurderer det beskyttelsesniveau, der sikres af et område eller en behandlingssektor i et tredjeland, bekræftes nu udtrykkeligt i bestemmelsen. I artikel 42 kræves det ved videregivelse af oplysninger til tredjelande, hvor Kommissionen ikke har vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, at der indføres de fornødne garantier, navnlig særlige standardbestemmelser om databeskyttelse, bindende virksomhedsregler og kontraktbestemmelser. Muligheden for at bruge Kommissionens standardbestemmelser om databeskyttelse er baseret på artikel 26, stk. 4, i direktiv 95/46/EF. Som en ny komponent kan sådanne standardbestemmelser om databeskyttelse nu også vedtages af en tilsynsmyndighed og erklæres for alment gyldige af Kommissionen. Bindende virksomhedsregler nævnes nu specifikt i retsakten. Muligheden for kontraktbestemmelser giver den registeransvarlige eller registerføreren en vis fleksibilitet, men skal på forhånd godkendes af tilsynsmyndighederne. I artikel 43 beskrives betingelserne for videregivelse i form af bindende virksomhedsregler baseret på tilsynsmyndighedernes nuværende praksis og krav. I artikel 44 anføres og afklares mulighederne for undtagelser i forbindelse med videregivelse af oplysninger med udgangspunkt i bestemmelserne i artikel 26 i direktiv 95/46/EF. Dette gælder navnlig for videregivelse af oplysninger, der udføres af hensyn til vigtige samfunds­interesser, f.eks. ved international udveksling af oplysninger mellem konkurrence­myndigheder, skatte- eller toldforvaltninger eller socialsikringsmyndigheder eller fiskeri­myndigheder. Videregivelse af oplysninger kan endvidere under visse omstændigheder begrundes af den registeransvarliges eller registerførerens legitime interesse, men først efter at denne har vurderet og dokumenteret omstændighederne for den pågældende videregivelse. I artikel 45 fastsættes udtrykkeligt bestemmelser om internationale samarbejdsmekanismer om beskyttelse af personoplysninger mellem Kommissionen og tilsynsmyndighederne i tredjelande, navnlig lande, der vurderes at tilbyde et tilstrækkeligt beskyttelsesniveau, på grundlag af OECD's anbefaling af 12. juni 2007om grænseoverskrivende samarbejde om håndhævelse af lovgivning om beskyttelse af privatlivets fred. 3.4.6. KAPITEL VI - UAFHÆNGIGE TILSYNSMYNDIGHEDER 3.4.6.1. Afdeling 1 - Uafhængig status I artikel 46 forpligtes medlemsstaterne til at oprette tilsynsmyndigheder baseret på artikel 28, stk. 1, i direktiv 95/46/EF, og tilsynsmyndighederne forpligtes yderligere til at samarbejde med hinanden og med Kommissionen. I artikel 47 afklares betingelserne for tilsynsmyndighedens uafhængighed i overensstemmelse med EU-Domstolens retspraksis[34], også med udgangspunkt i artikel 44 i forordning (EF) nr. 45/2001[35]. I artikel 48 fastsættes de generelle betingelser for medlemmerne af tilsynsmyndigheden i overensstemmelse med den relevante retspraksis[36], også med udgangspunkt i artikel 42, stk. 2-6, i forordning (EF) nr. 45/2001. I artikel 49 fastsættes de regler for oprettelse af tilsynsmyndigheden, som skal fastlægges i medlemsstaternes lovgivning. Artikel 50 omhandler tavshedspligt for tilsynsmyndighedens medlemmer og personale og er baseret på artikel 28, stk. 7, i direktiv 95/46/EF. 3.4.6.2. Afdeling 2 - Opgaver og beføjelser Artikel 51 omhandler tilsynsmyndighedernes kompetence. Den generelle regel, som er baseret på artikel 28, stk. 6, i direktiv 95/46/EF (kompetence inden for medlemsstatens eget område), suppleres med en ny kompetence som hovedmyndighed, hvis en registeransvarlig eller registerfører er etableret i flere medlemsstater, for at sikre ensartet anvendelse ("one-stop-shop"). Når domstole handler i deres egenskab af retslig myndighed er de ikke underlagt tilsynsmyndighedens kontrol, men de skal fortsat anvende de materielle regler om databeskyttelse. Artikel 52 omhandler tilsynsmyndighedens opgaver, herunder høring og undersøgelse af klager og bevidstgørelse af offentligheden om risici, regler, garantier og rettigheder. Artikel 53 omhandler tilsynsmyndighedens kompetencer delvist baseret på artikel 28, stk. 3, i direktiv 95/46/EF og artikel 47 i forordning (EF) nr. 45/2001 og tilføjer nogle nye elementer, herunder beføjelsen til at sanktionere administrative overtrædelser. Artikel 54 forpligter tilsynsmyndighederne til at udarbejde årlige aktivitetsrapporter og er baseret på artikel 28, stk. 5, i direktiv 95/46/EF. 3.4.7. KAPITEL VII - SAMARBEJDE OG SAMMENHÆNG 3.4.7.1. Afdeling 1 - Samarbejde Ved artikel 55 indføres der udtrykkelige regler om obligatorisk gensidig bistand, herunder konsekvenser ved ikke at efterkomme en anden tilsynsmyndigheds anmodning, med udgangspunkt i artikel 28, stk. 6, andet afsnit, i direktiv 95/46/EF. Ved artikel 56 indføres regler om fælles aktiviteter inspireret af artikel 17 i Rådets afgørelse 2008/615/RIA[37], herunder tilsynsmyndighedernes ret til at deltage i sådanne aktiviteter. 3.4.7.2. Afdeling 2 - Sammenhæng Ved artikel 57 indføres en sammenhængsmekanisme, som har til formål at sikre ensartet anvendelse i forbindelse med behandling, der kan berøre registrerede i flere medlemsstater. I artikel 58 fastsættes procedurer og betingelser for udtalelser fra Det Europæiske Databeskyttelsesråd. Artikel 59 omhandler dels Kommissionens udtalelser om forhold, der er omfattet af sammenhængsmekanismen, som kan enten understøtte Det Europæiske Databeskyttelsesråds udtalelse eller udtrykke uenighed med denne udtalelse, dels tilsynsmyndighedens foreslåede foranstaltning. Hvis sagen er rejst af Det Europæiske Databeskyttelsesråd i henhold til artikel 58, stk. 3, kan det forventes, at Kommissionen vil udøve sine skønsbeføjelser og om nødvendigt afgive udtalelse. Artikel 60 vedrører Kommissionens afgørelser, som kræver, at den kompetente myndighed suspenderer sin foreslåede foranstaltning, når dette er nødvendigt for at sikre korrekt anvendelse af denne forordning. Artikel 61 omhandler muligheden for at vedtage foreløbige foranstaltninger i en haste­procedure. I artikel 62 fastsættes kravene til Kommissionens gennemførelsesbestemmelser i henhold til sammenhængsmekanismen. Artikel 63 omhandler forpligtelsen til, at en tilsynsmyndigheds foranstaltninger håndhæves i alle berørte medlemsstater, og det fastsættes, at anvendelsen af sammenhængsmekanismen er en forudsætning for den retlige gyldighed og håndhævelsen af den pågældende foranstaltning. 3.4.7.3. Afdeling 3 - Det Europæiske Databeskyttelsesråd Ved artikel 64 oprettes Det Europæiske Databeskyttelsesråd, som sammensættes af chefen for tilsynsmyndigheden i hver medlemsstat og Den Europæiske Tilsynsførende for Databeskyttelse. Det Europæiske Databeskyttelsesråd erstatter Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved direktiv 95/46/EF. Det præciseres, at Kommissionen ikke er medlem af Det Europæiske Databeskyttelsesråd, men har ret til at deltage i aktiviteterne og til at være repræsenteret. I artikel 65 understreges og præciseres Det Europæiske Databeskyttelsesråds uafhængighed. I artikel 66 beskrives Det Europæiske Databeskyttelsesråds opgaver med udgangspunkt i artikel 30, stk. 1, i direktiv 95/46/EF, og der fastsættes yderligere elementer, som afspejler det øgede aktivitetsområde for Det Europæiske Databeskyttelsesråd i EU og tredjelande. For at kunne reagere i hastende situationer gives Kommissionen mulighed for at anmode om en udtalelse inden en bestemt frist. I artikel 67 fastsættes et krav om, at Det Europæiske Databeskyttelsesråd årligt skal aflægge beretning om sine aktiviteter, med udgangspunkt i artikel 30, stk. 6, i direktiv 95/46/EF. I artikel 68 fastsættes beslutningsprocedurerne for Det Europæiske Databeskyttelsesråd, herunder forpligtelsen til at vedtage en forretningsorden, der også bør gælde for arbejdsgange. Artikel 69 indeholder bestemmelser om formanden for og næstformændene i Det Europæiske Databeskyttelsesråd. Artikel 70 omhandler formandens opgaver. I artikel 71 fastsættes det, at sekretariatsfunktionen for Det Europæiske Databeskyttelsesråd varetages af Den Europæiske Tilsynsførende for Databeskyttelse, og sekretariatets opgaver angives nærmere. Artikel 72 omhandler fortrolighed. 3.4.8. KAPITEL VIII - KLAGEADGANG, ANSVAR OG SANKTIONER I artikel 73 fastsættes den registreredes ret til at indgive en klage til en tilsynsmyndighed baseret på artikel 28, stk. 4, i direktiv 95/46/EF. Den angiver også de organer, organisationer eller sammenslutninger, der kan indgive en klage på vegne af den registrerede eller uafhængigt af en registrerets klage, hvis der er tale om brud på persondatasikkerheden. Artikel 74 vedrører retten til domstolsprøvelse af en tilsynsmyndigheds afgørelser. Den er baseret på den almindelige bestemmelse i artikel 28, stk. 3, i direktiv 95/46/EF. Den omhandler specifikt et retsmiddel, der forpligter tilsynsmyndigheden til at reagere på en klage, og afklarer kompetencen for domstolene i den medlemsstat, hvor tilsynsmyndigheden er etableret. Den giver også mulighed for, at tilsynsmyndigheden i den medlemsstat, hvor den registrerede er bosiddende, kan indbringe en klage på vegne af den registrerede for domstolene i en anden medlemsstat, hvor den kompetente tilsynsmyndighed er etableret. Artikel 75 omhandler retsmidler over for den registeransvarlige eller registerføreren og er baseret på artikel 22 i direktiv 95/46/EF. Den giver sagsøger mulighed for at indbringe sagen for en domstol i den medlemsstat, hvor den sagsøgte er etableret, eller hvor den registrerede er bosiddende. Hvis en sag er under overvejelse i sammenhængsmekanismen, kan domstolen udsætte den verserende sag, medmindre der er tale om et hastetilfælde. Artikel 76 fastlægger fælles regler for retssager, herunder organers, organisationers eller sammenslutningers ret til at repræsentere registrerede for domstolene, tilsynsmyndighedernes ret til at optræde som part i retssager og information af domstolene om parallelle sager i en anden medlemsstat, og domstolenes mulighed for at udsætte verserende sager i sådanne tilfælde.[38] Medlemsstaterne har pligt til at sikre hurtig domstolsbehandling.[39] Artikel 77 omhandler retten til erstatning og ansvar. Den er baseret på artikel 23 i direktiv 95/46/EF, udvider retten til erstatning for den forvoldte skade fra registerførere og præciserer ansvaret for fælles registeransvarlige og fælles registerførere. Ved artikel 78 forpligtes medlemsstaterne til at fastsætte regler om sanktioner med henblik på at sanktionere overtrædelser af denne forordning og sikre deres gennemførelse. I artikel 79 forpligtes hver tilsynsmyndighed til at sanktionere de administrative overtræ­delser, der er anført i katalogerne ifølge denne bestemmelse, og pålægge bøder mellem minimums- og maksimumsbeløbene under hensyntagen til de konkrete omstændigheder i hver sag. 3.4.9. KAPITEL IX - BESTEMMELSER VEDRØRENDE SPECIFIKKE DATABEHAND­LINGSSITUATIONER I artikel 80 forpligtes medlemsstaterne til at vedtage undtagelser fra specifikke bestemmelser i forordningen, hvis dette er nødvendigt for at forene retten til beskyttelse af personoplysninger med retten til ytringsfrihed. Artiklen er baseret på artikel 9 i direktiv 95/46/EF som fortolket af EU-Domstolen.[40] I artikel 81 forpligtes medlemsstaterne i fortsættelse af betingelserne for særlige datakategorier til at sørge for særlige garantier vedrørende databehandling til sundhedsformål. I artikel 82 gives medlemsstaterne beføjelse til at vedtage særlige love vedrørende behandling af personoplysninger ved ansættelsesforhold. I artikel 83 fastsættes der særlige betingelser for behandling af personoplysninger til historiske, statistiske eller videnskabelige forskningsformål. I artikel 84 gives medlemsstaterne beføjelse til at vedtage særlige regler om tilsynsmyndigheders adgang til personoplysninger og områder, hvor de registeransvarlige er underlagt krav om fortrolighed. Artikel 85 omhandler på grundlag af artikel 17 i traktaten om Den Europæiske Unions funktionsmåde kirkernes fortsatte anvendelse af eksisterende omfattende databeskyttelses­regler, hvis de bringes i overensstemmelse med denne forordning. 3.4.10. KAPITEL X - DELEGEREDE RETSAKTER OG GENNEMFØRELSES­FORANSTALTNINGER Artikel 86 indeholder standardbestemmelserne om udøvelse af delegerede beføjelser i overensstemmelse med artikel 290 i TEUF. Dette giver lovgiveren mulighed for til at tillægge Kommissionen beføjelser til at vedtage almengyldige ikke-lovgivningsmæssige retsakter, der udbygger eller ændrer visse ikke-væsentlige bestemmelser i en lovgivningsmæssig retsakt (retsakter af lovgivningslignende karakter). Artikel 87 indeholder bestemmelsen om den udvalgsprocedure, der skal gennemføres for at tillægge Kommissionen gennemførelsesbeføjelser, når ensartede betingelser for gennem­førelse af juridisk bindende EU-retsakter er nødvendige i henhold til artikel 291 i TEUF. Undersøgelsesproceduren finder anvendelse. 3.4.11. KAPITEL XI - AFSLUTTENDE BESTEMMELSER Artikel 88 ophæver direktiv 95/46/EF. I artikel 89 afklares forholdet til direktiv 2002/58/EF om e-databeskyttelse. I artikel 90 forpligtes Kommissionen til at evaluere forordningen og indgive tilknyttede rapporter. I artikel 91 fastsættes datoen for forordningens ikrafttræden med en overgangsfase, hvad angår anvendelsesdatoen. 4. VIRKNINGER FOR BUDGETTET De specifikke budgetmæssige virkninger af forslaget vedrører de opgaver, der er tildelt Den Europæiske Tilsynsførende for Databeskyttelse som nærmere beskrevet i den finansieringsoversigt, der er vedlagt dette forslag. Disse virkninger kræver omprogrammering af udgiftsområde 5 i de finansielle overslag. Forslaget har ingen virkninger for driftsomkostningerne. Finansieringsoversigten til dette forslag til forordning omhandler budgetmæssige virkninger for selve forordningen og for direktivet om databeskyttelse inden for politimæssigt og retligt samarbejde i straffesager. 2012/0011 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) (EØS-relevant tekst) EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2, og artikel 114, stk. 1, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg[41], efter høring af Den Europæiske Tilsynsførende for Databeskyttelse[42], efter den almindelige lovgivningsprocedure og ud fra følgende betragtninger: (1) Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i traktaten fastsættes det, at enhver har ret til beskyttelse af personoplysninger om vedkommende selv. (2) Personoplysninger behandles for menneskets skyld; principperne og reglerne for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger bør, uanset de fysiske personers nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Behandlingen af personoplysninger bør bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed samt en økonomisk union og til økonomiske og sociale fremskridt, styrkelse af og konvergens mellem økonomierne i det indre marked og fysiske personers velfærd. (3) Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger[43] har til formål at harmonisere beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger og at garantere fri udveksling af personoplysninger mellem medlemsstaterne. (4) Den økonomiske og sociale integration, der er en følge af det indre markeds funktion, har medført en kraftig vækst i strømmen af personoplysninger på tværs af landegrænserne. Udvekslingen af oplysninger mellem økonomiske og sociale offentlige og private aktører i Unionen er steget. Medlemsstaternes myndigheder opfordres i EU-retten til at samarbejde og udveksle personoplysninger indbyrdes for at kunne varetage deres opgaver og udføre hverv på vegne af en anden medlemsstats myndighed. (5) Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer, hvad angår beskyttelsen af personoplysninger. Omfanget af datadeling og -indsamling er steget drastisk. Teknologien giver både private virksomheder og offentlige myndigheder mulighed for at udnytte personoplysninger i et hidtil uset omfang, når de udøver deres aktiviteter. Fysiske personer udbreder i stigende grad deres personoplysninger offentligt og globalt. Teknologien har ændret både økonomien og samfundslivet og skal yderligere fremme den frie udveksling af oplysninger inden for Unionen og videregivelsen af oplysninger til tredjelande og internationale organisationer, samtidig med at der sikres et højt niveau for beskyttelse af personoplysninger. (6) Denne udvikling kræver, at der opbygges en stærk og mere sammenhængende databeskyttelsesramme i Unionen, som understøttes af en effektiv håndhævelse, fordi det er vigtigt, at der skabes den tillid, der er nødvendig for, at den digitale økonomi kan udvikle sig på tværs af det indre marked. Fysiske personer bør have kontrol over deres egne personoplysninger, og sikkerheden både retligt og praktisk bør styrkes for enkeltpersoner, erhvervsdrivende og offentlige myndigheder. (7) Målsætningerne og principperne i direktiv 95/46/EF er stadig gyldige, men direktivet har ikke forhindret en fragmentering af den måde, hvorpå databeskyttelse gennemføres i Unionens forskellige medlemsstater, manglende retssikkerhed og en udbredt offentlig opfattelse af, at der er betydelige risici for beskyttelsen af fysiske personer i forbindelse med navnlig onlineaktivitet. Forskelle i beskyttelsen af fysiske personers rettigheder og frihedsrettigheder, navnlig retten til beskyttelse af personoplysninger, som de enkelte medlemsstater yder i forbindelse med behandling af personoplysninger, kan forhindre fri udveksling af personoplysninger i Unionen. Disse forskelle kan derfor udgøre en hindring for udøvelsen af en række økonomiske aktiviteter på EU-plan, virke konkurrenceforvridende og hindre myndighederne i at varetage de opgaver, de er pålagt i medfør af EU-retten. Denne forskel i beskyttelsesniveauet skyldes forskelle i gennemførelsen og anvendelsen af direktiv 95/46/EF. (8) For at sikre et ensartet og højt niveau for beskyttelse af fysiske personer og for at fjerne hindringerne for udveksling af personoplysninger bør niveauet for beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstater. Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Unionen. (9) For at sikre en effektiv beskyttelse af personoplysninger i Unionen er det nødvendigt at styrke og præcisere de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af personoplysninger, men der skal også gives tilsvarende beføjelser til at kontrollere og sikre overholdelse af reglerne om beskyttelse af personoplysninger og indføres tilsvarende sanktioner over for dem, som ikke overholder bestemmelserne i medlemsstaterne. (10) Artikel 16, stk. 2, i traktaten giver Europa-Parlamentet og Rådet beføjelse til at fastsætte regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger. (11) For at sikre et ensartet beskyttelsesniveau for fysiske personer i hele Unionen og for at forhindre forskelle, der kan hæmme den frie udveksling af data i det indre marked, bør der vedtages en forordning, som kan skabe retssikkerhed og gennemsigtighed for erhvervsdrivende, herunder mikrovirksomheder og små og mellemstore virksomheder, og give fysiske personer i alle medlemsstater de samme pligter og rettigheder, der kan håndhæves retsligt, samt pålægge registeransvarlige og registerførere et ansvar med det formål at sikre ensartet kontrol med behandlingen af personoplysninger og ensartede sanktioner i alle medlemsstater samt et effektivt samarbejde mellem tilsynsmyndighederne i de forskellige medlemsstater. For at tage hensyn til den særlige situation for mikrovirksomheder og små og mellemstore virksomheder indeholder denne forordning en række undtagelser. Derudover opfordres EU-institutionerne og ‑organerne, medlemsstaterne og deres tilsynsmyndigheder til at tage hensyn til mikrovirksomheders og små og mellemstore virksomheders særlige behov ved anvendelsen af denne forordning. Begreberne mikrovirksomheder og små og mellemstore virksomheder bør baseres på Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder. (12) Den beskyttelse, som denne forordning sikrer, vedrører fysiske personer uanset nationalitet eller bopæl i forbindelse med behandling af personoplysninger. Hvad angår behandling af oplysninger, der vedrører juridiske personer, navnlig virksomheder, der er etableret som juridiske personer, herunder den juridiske persons navn, form og kontaktoplysninger, bør ingen personer ikke kunne kræve beskyttelse under denne forordning. Det bør også gælde, når den juridiske persons navn indeholder navnene på en eller flere fysiske personer. (13) Beskyttelsen af fysiske personer bør være teknologineutral og må ikke afhænge af de anvendte teknikker, da der ellers vil være alvorlig risiko for omgåelse. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis oplysningerne er indeholdt eller påtænkes indeholdt i et register. Sagsmapper eller samlinger af sagsmapper eller deres forsider, som ikke er struktureret efter bestemte kriterier, hører ikke under denne forordnings anvendelsesområde. (14) Denne forordning omhandler ikke spørgsmål vedrørende beskyttelse af grundlæg­gende rettigheder og frihedsrettigheder eller fri udveksling af data, der vedrører aktiviteter, som falder uden for EU-retten, og den omhandler ikke behandling af personoplysninger, der foretages af Unionens institutioner, organer, kontorer og agenturer, der er omfattet af forordning (EF) nr. 45/2001[44], eller behandling af personoplysninger, der foretages af medlemsstaterne, når de udfører aktiviteter vedrørende Unionens fælles udenrigs- og sikkerhedspolitik. (15) Denne forordning bør ikke gælde for en fysisk persons behandling af oplysninger som led i rent personlige eller familiemæssige aktiviteter, som f.eks. korrespondance og udarbejdelse af en adressefortegnelse, som ikke er led i lønnet arbejde og dermed ikke har forbindelse til erhvervsmæssige eller kommercielle aktiviteter. Undtagelsen bør heller ikke gælde for registeransvarlige eller registerførere, som tilvejebringer midlerne til behandling af personoplysninger til sådanne personlige eller familie­mæssige aktiviteter. (16) Beskyttelsen af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og fri udveksling af sådanne oplysninger er genstand for en specifik retsakt på EU-plan. Denne forordning bør derfor ikke gælde for behandlingsaktiviteter med sådanne formål. Offentlige myndigheders behandling af personoplysninger i henhold til denne forordning bør imidlertid være genstand for et mere specifikt retligt instrument på EU-plan (direktiv XX/YYY), når behandlingen af personoplysninger sker med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner. (17) Denne forordning bør ikke berøre anvendelsen af direktiv 2000/31/EF, navnlig formidleransvaret for tjenesteydere, der er fastsat i artikel 12-15 i dette direktiv. (18) Denne forordning giver mulighed for, at der ved gennemførelsen af de principper, der er fastsat heri, kan tages hensyn til princippet om aktindsigt i offentlige dokumenter. (19) Behandling af personoplysninger, der foretages som led i en virksomheds eller et organs aktiviteter inden for Unionen, hvor den registeransvarlige eller registerføreren er etableret, bør gennemføres i overensstemmelse med denne forordning, uanset om behandlingen finder sted i Unionen eller ej. Ved etablering forstås en effektiv og reel udøvelse af aktiviteter gennem en mere permanent struktur. Den pågældende strukturs retlige form, hvad enten det blot er en filial eller et datterselskab med status som juridisk person, har ikke afgørende betydning i denne forbindelse. (20) For at forhindre, at en fysisk person unddrages den beskyttelse, der sikres ved denne forordning, bør behandling af personoplysninger om registrerede, der er bosiddende i Unionen, som foretages af en registeransvarlig, der ikke er etableret i Unionen, være omfattet af denne forordning, hvis behandlingsaktiviteterne vedrører udbud af varer eller tjenester til sådanne registrerede, eller overvågning af sådanne registreredes adfærd. (21) For at afgøre, om en behandlingsaktivitet kan betragtes som "overvågning af registreredes adfærd", bør det kontrolleres, om personer spores på internettet ved hjælp af databehandlingsaktiviteter, hvor en "profil" anvendes på en person, navnlig med det formål at træffe beslutninger om den pågældende eller analysere eller forudsige den pågældendes præferencer, adfærd og holdninger. (22) Hvis en medlemsstats lovgivning gælder i medfør af folkeretten, bør denne forordning også gælde for en registeransvarlig, der ikke er etableret i Unionen, som f.eks. i en medlemsstats diplomatiske eller konsulære repræsentation. (23) Principperne om databeskyttelse bør gælde for alle former for oplysninger om en identificeret eller identificerbar person. For at afgøre, om en person er identificerbar, bør alle de hjælpemidler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse for at identificere den pågældende enten af den registeransvarlige eller af enhver anden person. Beskyttelsesprincipperne bør ikke gælde for oplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke længere kan identificeres. (24) Når fysiske personer bruger onlinetjenester, kan de forbindes med online­identifikatorer, som leveres af deres enheder, applikationer, værktøjer og protokoller, som f.eks. IP-adresser eller cookie-id'er. Dette kan efterlade spor, der kombineret med unikke id'er og andre oplysninger, som serverne modtager, kan bruges til at oprette profiler af de fysiske personer og identificere dem. Id-numre, lokaliseringsdata, online-id'er eller andre specifikke faktorer bør derfor ikke som sådan betragtes som personoplysninger under alle omstændigheder. (25) Der bør gives udtrykkeligt samtykke ved hjælp af en passende metode, der muliggør en frivillig, specifik og informeret viljetilkendegivelse fra den registrerede enten ved en erklæring eller en klar bekræftelse fra den registrerede, for at sikre, at den pågældende er bekendt med, at han eller hun giver sit samtykke til behandlingen af personoplysninger, herunder ved at markere et afkrydsningsfelt, når han eller hun besøger et websted, eller en anden erklæring eller handling, der tydeligt tilkendegiver den registreredes accept af den foreslåede behandling af vedkommendes personoplysninger. Tavshed eller inaktivitet kan derfor ikke indebære samtykke. Samtykke bør dække alle behandlingsaktiviteter, der foretages til det eller de samme formål. Hvis den registreredes samtykke skal gives efter en elektronisk anmodning, skal anmodningen være klar, præcis og ikke unødigt forstyrre brugen af den tjeneste, det gives til. (26) Personlige helbredsoplysninger bør navnlig omfatte alle oplysninger om den registreredes helbredstilstand, oplysninger om registrering af personen med henblik på modtagelse af sundhedsydelser, oplysninger om betaling for eller berettigelse til sundhedsydelser for så vidt angår personen, et nummer, symbol eller særligt mærke, der tildeles en person for entydigt at identificere personen i sundhedsanliggender, enhver oplysning om personen, som indsamles i tilknytning til leveringen af sundhedsydelser til personen, oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder biologiske prøver, identifikation af en person som leverandør af sundhedsydelser til en person og alle oplysninger om f.eks. en sygdom, et handicap, en sygdomsrisiko, sygehistorie, hospitalsbehandling eller den registreredes faktiske fysiologiske eller biomedicinske tilstand uafhængigt af, hvad kilden til oplysningerne er, f.eks. en læge eller andet lægeligt personale, et hospital, medicinsk udstyr eller en in vitro-diagnostik. (27) En registeransvarligs eller registerførers hovedvirksomhed i Unionen bør fastlægges ud fra objektive kriterier og bør forstås som en effektiv og reel udøvelse af ledelsesaktiviteter, der afgør de vigtigste elementer, som f.eks. formål, betingelser og behandlingsmetoder, gennem permanente strukturer. Dette kriterium afhænger ikke af, om behandlingen af personoplysninger faktisk udføres på dette sted; det forhold, at der findes og anvendes tekniske og teknologiske hjælpemidler til behandling af personoplysninger eller behandlingsaktiviteter, medfører ikke i sig selv, at der er etableret en hovedvirksomhed, og er derfor ikke afgørende for kriteriet om hovedvirksomhed. Registerførerens hovedvirksomhed er stedet for dennes centrale administration i Unionen. (28) En koncern bør omfatte en virksomhed, der udøver kontrol, og de af denne kontrollerede virksomheder, hvor den kontrollerende virksomhed er den virksomhed, der kan udøve bestemmende indflydelse på de øvrige virksomheder f.eks. i kraft af ejendomsret, finansiel deltagelse eller de regler, den er underlagt, eller beføjelsen til at få gennemført regler om beskyttelse af personoplysninger. (29) Børn bør nyde særlig beskyttelse af deres personoplysninger, eftersom de ofte er mindre bevidste om risici, konsekvenser, garantier og rettigheder, for så vidt angår behandling af personoplysninger. For at afgøre, om en person er et barn, bør denne forordning benytte definitionen i FN's konvention om barnets rettigheder. (30) Enhver behandling af personoplysninger bør udføres lovligt, loyalt og gennemsigtigt i forhold til de berørte personer. De specifikke formål med behandlingen af oplysningerne bør navnlig være udtrykkelige og legitime og fremgå, når oplysningerne indsamles. Oplysningerne bør være passende, relevante og begrænset til det minimum, der er nødvendigt til formålene med behandlingen af oplysningerne; det kræver navnlig, at det sikres, at de indsamlede oplysninger ikke er for omfattende, og at perioden for opbevaring af oplysningerne begrænses til et strengt minimum. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke kan opfyldes på anden måde. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som ikke er nøjagtige, berigtiges eller slettes. For at sikre, at oplysningerne ikke opbevares i længere tid end nødvendigt, bør den registeransvarlige indføre tidsfrister for sletning eller periodisk gennemgang. (31) For at behandling kan betragtes som lovlig, bør personoplysninger behandles på grundlag af den berørte persons samtykke eller et andet legitimt grundlag, der er fastlagt ved lov enten i denne forordning eller i anden EU-ret eller medlemsstatslovgivning, der henvises til i denne forordning. (32) Når behandlingen er baseret på den registreredes samtykke, bør den registeransvarlige bevise, at den registrerede har givet sit samtykke til behandlingen. I forbindelse med navnlig skriftlige erklæringer om andre forhold bør garantier sikre, at den registrerede er bekendt med, at og i hvilket omfang der afgives samtykke. (33) For at sikre frivilligt samtykke bør det præciseres, at samtykke ikke udgør et gyldigt retligt grundlag, hvor personen ikke har et reelt og frit valg og efterfølgende ikke kan afvise eller tilbagetrække sit samtykke, uden at det er til skade for den pågældende. (34) Samtykke bør ikke udgøre et gyldigt retligt grundlag, hvis der er en klar skævhed mellem den registrerede og den registeransvarlige. Dette er navnlig tilfældet, når den registrerede befinder sig i et afhængighedsforhold til den registeransvarlige, bl.a. når person­oplysninger behandles af arbejdsgiveren som led i behandlingen af ansattes personoplysninger i et ansættelsesforhold. Hvis den registeransvarlige er en offentlig myndighed, vil der kun være en skævhed i forbindelse med den specifikke databe­handling, hvis den offentlige myndighed som følge af dens relevante offentlige beføjelser kan pålægge en forpligtelse, og samtykket ikke kan skønnes at være afgivet frivilligt under hensyntagen til den registreredes interesser. (35) Behandling bør anses for lovlig, når den er nødvendig i forbindelse med en kontrakt eller den påtænkte indgåelse af en kontrakt. (36) Når behandling foretages i overensstemmelse med en retlig forpligtelse, som den registeransvarlige er underlagt, eller når behandling er nødvendig for at udføre en opgave, der udføres i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, bør behandlingen have sit retsgrundlag i EU-retten eller medlemsstatens lovgivning, som opfylder kravene i Den Europæiske Unions charter om grundlæggende rettigheder, for så vidt angår enhver begrænsning af rettigheder og frihedsrettigheder. EU-retten eller den nationale lovgivning afgør, hvorvidt den registeransvarlige, der udfører en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, bør være en offentlig myndighed eller en offentligretlig eller privatretlig person, f.eks. en faglig sammenslutning. (37) Behandling af personoplysninger, der har til formål at beskytte et hensyn af fundamental betydning for den registreredes liv, bør ligeledes anses for lovlig. (38) En registeransvarligs legitime interesser kan udgøre et retligt grundlag for behandling, medmindre den registreredes interesser, grundlæggende rettigheder og frihedsrettigheder går forud herfor. Dette kræver omhyggelig vurdering, navnlig hvis den registrerede er et barn, idet børn bør nyde særlig beskyttelse. Den registrerede bør have ret til at gøre indsigelse mod behandlingen af grunde, der vedrører den pågældendes særlige situation, og uden udgifter. For at sikre gennemsigtigheden bør den registeransvarlige forpligtes til udtrykkeligt at oplyse den registrerede om de legitime interesser, der forfølges, og om retten til indsigelse og til at dokumentere disse legitime interesser. Det er lovgiveren, der i henhold til lovgivningen fastsætter retsgrundlaget for offentlige myndigheders behandling af oplysninger, og derfor bør dette retsgrundlag ikke gælde for den behandling, offentlige myndigheder foretager som led i udførelsen af deres opgaver. (39) Behandling af oplysninger i det omfang, det er strengt nødvendigt for at sikre net- og informationssikkerhed, dvs. et nets eller et informationssystems evne til på et givet sikkerhedsniveau at modstå hændelige tildragelser eller ulovlige eller skadelige handlinger, som er til fare for tilgængeligheden, autenticiteten, integriteten og fortroligheden af lagrede og videresendte oplysninger, og sikkerheden ved hermed forbundne tjenester udbudt af eller tilgængelige via disse net og systemer, der foretages af offentlige myndigheder, CERT'er (Computer Emergency Response Teams - it-udrykningshold), CSIRT'er (Computer Security Incident Response Teams), udbydere af elektroniske kommunikationsnet og ‑tjenester og udbydere af sikkerheds­teknologier og -tjenester, udgør en legitim interesse for den berørte registeransvarlige. Behandlingen kunne f.eks. have til formål at forhindre uautoriseret adgang til elektroniske kommunikationsnet og skadelig distribution af koder og at sætte en stopper for målrettede overbelastninger af servere ("denial of service"-angreb) og beskadigelser af computere og elektroniske kommunikationssystemer. (40) Behandlingen af personoplysninger til andre formål bør kun tillades, hvis behandlingen er forenelig med de formål, som oplysningerne oprindelig var indsamlet til, navnlig hvis behandlingen er nødvendig til historiske, statistiske eller videnskabelige forskningsformål. Hvis det andet formål ikke er foreneligt med det formål, som oplysningerne oprindeligt var indsamlet til, bør den registeransvarlige indhente den registreredes samtykke til dette andet formål eller basere behandlingen på en anden legitim grund til lovlig behandling, navnlig hvis det kræves i EU-retten eller medlemsstatens lovgivning, som den registeransvarlige er underlagt. Under alle omstændigheder bør det sikres, at de principper, der fastsættes ved denne forordning, og navnlig den registreredes oplysninger om disse andre formål anvendes. (41) Personoplysninger, der i kraft af deres karakter er særligt følsomme i forbindelse med grundlæggende rettigheder eller beskyttelse af privatlivets fred, bør nyde særlig beskyttelse. Sådanne oplysninger bør ikke behandles, medmindre den registrerede giver sit udtrykkelige samtykke. Der bør dog udtrykkeligt gives mulighed for undtagelser fra dette forbud for at imødekomme visse behov, navnlig når behandlingen udføres i forbindelse med visse sammenslutningers eller stiftelsers legitime aktiviteter, hvis formål er at sikre udøvelsen af grundlæggende frihedsrettigheder. (42) Der bør også gives mulighed for at fravige forbuddet mod at behandle følsomme kategorier af data, hvis det sker i henhold til loven og er omfattet af de fornødne garantier, der sikrer beskyttelse af personoplysninger og andre grundlæggende rettigheder, når hensynet til samfundsmæssige interesser berettiger det, navnlig til sundhedsformål, herunder folkesundhed og social sikring samt forvaltning af læge- og sundhedstjenester, for især at sikre kvaliteten og rentabiliteten af de procedurer, der anvendes i forbindelse med ansøgninger om ydelser og tjenester inden for en sygesikringsordning, eller til historiske, statistiske eller videnskabelige forsknings­formål. (43) Offentlige myndigheders behandling af personoplysninger for officielt anerkendte religiøse sammenslutninger for at opfylde mål, der er fastsat i forfatningsretten eller i folkeretten, udføres af hensyn til samfundsmæssige interesser. (44) Hvis det i forbindelse med afholdelse af valg i en medlemsstat er nødvendigt, for at det demokratiske system kan fungere, at politiske partier indsamler oplysninger om enkeltpersoners politiske holdning, kan behandling af sådanne oplysninger tillades af hensyn til varetagelsen af samfundsinteresser, såfremt der fastsættes bestemmelser om de fornødne garantier. (45) Hvis de oplysninger, der behandles af en registeransvarlig, ikke sætter den registeransvarlige i stand til at identificere en fysisk person, bør den registeransvarlige ikke være forpligtet til at indhente yderligere oplysninger for at identificere den registrerede udelukkende med det formål at overholde bestemmelserne i denne forordning. I tilfælde af en anmodning om indsigt bør den registeransvarlige være berettiget til at anmode den registrerede om yderligere oplysninger, således at den registeransvarlig kan finde de personoplysninger, som den pågældende efterspørger (46) Princippet om gennemsigtighed kræver, at alle oplysninger, som er rettet til det offentlige og den registrerede, bør være nemt tilgængelige og letforståelige, og at der benyttes et klart og forståeligt sprog. Dette er især relevant inden for f.eks. annoncering på internettet, hvor såvel den store vækst i udbydere af annoncering på internettet som den anvendte teknologis kompleksitet gør det vanskeligt for den registrerede at vide og forstå, om der indsamles personoplysninger om vedkommende, af hvem og til hvilket formål. Eftersom børn bør nyde særlig beskyttelse, bør alle oplysninger og meddelelser, hvor behandling specifikt er rettet mod et barn, være i et klart og enkelt sprog, som barnet let kan forstå. (47) Der bør fastsættes nærmere bestemmelser, som kan lette de registreredes udøvelse af deres rettigheder i overensstemmelse med denne forordning, herunder systemer til gratis at anmode om indsigt, berigtigelse og sletning og til at udøve retten til indsigelse. Den registeransvarlige bør være forpligtet til at besvare sådanne anmodninger fra den registrerede inden for en fast tidsfrist og begrunde det, hvis vedkommende ikke imødekommer den registreredes anmodning. (48) Principperne om en loyal og gennemsigtig behandling kræver, at den registrerede informeres om navnlig behandlingens eksistens og dens formål, hvor længe oplysningerne opbevares, retten til indsigt, berigtigelse eller sletning og retten til at indgive klage. Hvis oplysningerne indsamles fra den registrerede, bør den registrerede også oplyses om, hvorvidt han er forpligtet til at afgive sådanne oplysninger, og om konsekvenserne, hvis han ikke afgiver sådanne oplysninger. (49) Informationen om behandlingen af personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen, eller, hvis oplysningerne ikke indsamles fra den registrerede, inden for en rimelig periode afhængigt af de konkrete omstændigheder. Hvis oplysninger legitimt kan videregives til en anden modtager, bør den registrerede informeres, når oplysningerne første gang videregives til modtageren. (50) Det er imidlertid ikke nødvendigt at pålægge en sådan forpligtelse, hvis den registrerede allerede er bekendt med de registrerede oplysninger, eller hvis registreringen eller videregivelsen udtrykkeligt er fastsat ved lov, eller hvis det viser sig umuligt eller uforholdsmæssigt vanskeligt at underrette den pågældende. Sidstnævnte kan være tilfældet i forbindelse med behandling til historiske, statistiske eller videnskabelige forskningsformål; i denne forbindelse kan der tages hensyn til antallet af registrerede, oplysningernes alder og de kompensatoriske foranstaltninger, der kan træffes. (51) Enhver bør have ret til indsigt i oplysninger, der er indsamlet om den pågældende, og til let at udøve denne ret med henblik på at forvisse sig om oplysningernes eksistens og behandlingens lovlighed. Enhver registreret bør derfor have ret til at kende og blive underrettet om navnlig det formål, hvortil oplysningerne behandles, hvor lang tid de gemmes, og hvem modtagerne af oplysningerne er, den logik, der ligger bag behandlingen af oplysningerne, og om de mulige konsekvenser af denne behandling, i hvert fald når behandlingen er baseret på profilering. Denne ret må ikke krænke andres rettigheder og frihedsrettigheder, herunder forretningshemmeligheder eller den intellektuelle ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. Dette må dog ikke resultere i, at den registrerede nægtes alle oplysninger. (52) Den registeransvarlige bør træffe alle rimelige foranstaltninger for at bekræfte identiteten af en registreret, som anmoder om indsigt, navnlig i forbindelse med onlinetjenester og online-id'er. En registeransvarlig må ikke opbevare personoplysninger alene for at kunne reagere på mulige anmodninger. (53) Enhver person bør have ret til at få berigtiget personoplysninger om vedkommende og "ret til at blive glemt", hvis opbevaringen af sådanne oplysninger ikke er i overensstemmelse med denne forordning. En registreret bør navnlig have ret til at få sine personoplysninger slettet og ikke længere behandlet, hvis oplysningerne ikke længere er nødvendige til de formål, hvortil de blev indsamlet eller på anden måde behandlet, hvis den registrerede har trukket sit samtykke til behandling tilbage, hvis den registrerede gør indsigelse mod behandlingen af personoplysninger om vedkommende, eller hvis behandlingen af vedkommendes personoplysninger i øvrigt ikke er i overensstemmelse med denne forordning. Denne ret er særlig relevant, når den registrerede har givet sit samtykke som barn, da denne ikke fuldt ud var bekendt med risiciene i forbindelse med behandlingen, og senere ønsker at fjerne sådanne personoplysninger, navnlig fra internettet. Yderligere opbevaring af oplysningerne bør dog tillades, hvis det er nødvendigt til historiske, statistiske eller videnskabelige forskningsformål, af hensyn til samfundsinteresser på folkesundhedsområdet, med henblik på at udøve retten til ytringsfrihed, når det kræves i henhold til lovgivningen, eller hvis der er grund til at begrænse behandlingen af oplysninger i stedet for at slette dem. (54) For at styrke "retten til at blive glemt" i onlinemiljøet bør retten til sletning udvides, så den registeransvarlige, der har offentliggjort personoplysningerne, forpligtes til at underrette tredjeparter, der behandler sådanne oplysninger, om, at en registreret har anmodet dem om at slette alle link til, kopier af eller gengivelser af de pågældende personoplysninger. For at sikre disse oplysninger bør den registeransvarlige træffe alle rimelige foranstaltninger, herunder tekniske foranstaltninger, vedrørende de oplysninger, hvis offentliggørelse den registeransvarlige er ansvarlig for. I forhold til en tredjeparts offentliggørelse af personoplysninger betragtes den registeransvarlige som ansvarlig for offentliggørelsen, hvis den registeransvarlige har godkendt tredjepartens offentliggørelse. (55) For at give de registrerede øget kontrol over deres egne personoplysninger og deres ret til indsigt bør de, når personoplysninger behandles elektronisk og i et struktureret og almindeligt anvendt format, have ret til at få en kopi af oplysningerne om dem i et almindeligt anvendt elektronisk format. Den registrerede bør også kunne videregive de oplysninger, vedkommende har udleveret, fra en automatisk applikation, f.eks. et socialt netværk, til et andet. Dette bør gælde, hvis den registrerede har udleveret oplysningerne til databehandlingssystemet, baseret på dennes samtykke eller under opfyldelsen af en kontrakt. (56) Hvis behandlingen af personoplysninger kan udføres fuldt lovligt for at beskytte den registreredes vitale interesser eller af hensyn til samfundsmæssige interesser, af hensyn til offentlig myndighedsudøvelse eller i en registeransvarligs legitime interesse, bør en registreret have ret til at gøre indsigelse mod behandlingen af oplysninger om vedkommende selv. Det bør være den registeransvarlige, der beviser, at dennes legitime interesser har forrang for den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder. (57) Hvis personoplysninger behandles med henblik på direkte markedsføring, bør den registrerede have ret til gratis og på en måde, der let og effektivt kan gøres gældende, at gøre indsigelse mod en sådan behandling. (58) Enhver fysisk person bør have ret til ikke at blive gjort til genstand for en foranstaltning, der er baseret på profilering ved hjælp af automatisk databehandling. En sådan foranstaltning bør dog tillades, når den udtrykkeligt er tilladt i loven, når den gennemføres som led i indgåelsen eller opfyldelsen af en kontrakt, eller når den registrerede har givet sit samtykke. En sådan behandling bør under alle omstændigheder ledsages af de fornødne garantier, herunder specifik underretning af den registrerede og ret til menneskelig indgriben, og sådanne foranstaltninger må ikke vedrøre et barn. (59) Specifikke principper og retten til oplysninger, til indsigt, berigtigelse og sletning af oplysninger, retten til dataportabilitet, retten til indsigelse, foranstaltninger baseret på profilering og meddelelse af et brud på persondatasikkerheden til en registreret og visse tilknyttede forpligtelser for de registeransvarlige kan indskrænkes af EU-retten eller medlemsstatslovgivning, for så vidt det er nødvendigt og hensigtsmæssigt i et demokratisk samfund og af hensyn til den offentlige sikkerhed, herunder beskyttelse af menneskeliv som reaktion på navnlig naturkatastrofer eller menneskeskabte katastrofer, forebyggelse, efterforskning og retsforfølgning af straffelovsovertrædelser, eller brud på de etiske regler for lovregulerede erhverv, andre af Unionens eller en medlemsstats samfundsinteresser, Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser eller beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder. En sådan indskrænkning bør opfylde kravene i Den Europæiske Unions charter om grundlæggende rettigheder og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettig­heder. (60) Der bør fastsættes bestemmelser om den registeransvarliges overordnede ansvar, herunder erstatningsansvar, for den behandling af personoplysninger, der foretages af den registeransvarlige eller på vegne af den registeransvarlige. Den registeransvarlige bør navnlig sikre og være forpligtet til at påvise, at hver behandlingsaktivitet gennemføres i overensstemmelse med denne forordning. (61) Beskyttelsen af de registreredes rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger forudsætter, at der træffes de fornødne tekniske og organisatoriske foranstaltninger, både under udformningen af behandlingen og under selve behandlingen, med henblik på at sikre, at denne forordnings krav opfyldes. For at sikre og påvise overensstemmelse med denne forordning bør den registeransvarlige indføre interne regler og gennemføre passende foranstaltninger, som navnlig er i overensstemmelse med principperne om indbygget databeskyttelse og databeskyttelse gennem indstillinger. (62) Beskyttelsen af registreredes rettigheder og frihedsrettigheder samt registeransvarliges og registerføreres ansvar, også i forbindelse med tilsynsmyndighedernes kontrol og foranstaltninger, kræver en klar fordeling af ansvarsområderne under denne forordning, herunder når en registeransvarlig fastlægger formålene med, betingelserne for og metoderne til behandlingen sammen med andre registeransvarlige, eller når en behandling foretages på vegne af en registeransvarlig. (63) Når en registeransvarlig, som ikke er etableret i Unionen, behandler personoplysninger vedrørende registrerede, der er bosiddende i Unionen, og hvis behandlingsaktiviteter vedrører udbud af varer eller tjenester til sådanne registrerede eller overvågning af deres adfærd, bør den registrerede udpege en repræsentant i Unionen, medmindre den registeransvarlige er etableret i et tredjeland, som sikrer et tilstrækkeligt beskyttelsesniveau, eller den registeransvarlige er en lille eller mellemstor virksomhed, en offentlig myndighed eller et offentligt organ, eller den registeransvarlige kun lejlighedsvis udbyder varer eller tjenester til sådanne registrerede. Repræsentanten handler på den registeransvarliges vegne og kan kontaktes af tilsynsmyndigheden. (64) For at afgøre, om en registeransvarlig kun lejlighedsvis udbyder varer eller tjenester til registrerede med bopæl i Unionen, bør det kontrolleres, om det fremgår af den registeransvarliges overordnede aktiviteter, at udbuddet af varer eller tjenester til sådanne registrerede er en aktivitet i tilknytning til hovedaktiviteterne. (65) For at påvise overensstemmelse med denne forordning bør den registeransvarlige eller registerføreren dokumentere hver behandlingsaktivitet. Hver registeransvarlig og registerfører bør have pligt til at samarbejde med tilsynsmyndigheden og efter anmodning stille denne dokumentation til rådighed for tilsynsmyndigheden, så den kan bruges til at kontrollere sådan behandling. (66) For at opretholde sikkerheden og forhindre behandling i strid med denne forordning bør den registeransvarlige eller registerføreren vurdere de risici, som behandlingen indebærer, og gennemføre foranstaltninger, der kan mindske disse risici. Disse foranstaltninger bør under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til risiciene og karakteren af de oplysninger, der bør beskyttes. Kommissionen bør ved fastsættelsen af tekniske standarder og organisatoriske foranstaltninger for at sikre databehandlingssikkerheden fremme teknologisk neutralitet, interoperabilitet og innovation og, når det er relevant, samarbejde med tredjelande. (67) Et brud på persondatasikkerheden kan, hvis det ikke afhjælpes tilstrækkeligt og rettidigt, påføre den berørte person betydelige økonomiske tab og sociale problemer, herunder identitetsbedrageri. Så snart den registeransvarlige bliver bekendt med, at et sådant brud har fundet sted, bør vedkommende anmelde bruddet til tilsynsmyndigheden uden unødig forsinkelse og om muligt inden for 24 timer. Hvis dette ikke kan nås inden for 24 timers, bør anmeldelsen ledsages af en begrundelse for forsinkelsen. Fysiske personer, hvis personoplysninger kan blive krænket af bruddet, bør underrettes uden unødig forsinkelse, så de kan træffe de nødvendige forholdsregler. Et brud bør betragtes som krænkende for en registrerets personoplysninger eller beskyttelsen af vedkommendes privatliv, hvis det kan indebære f.eks. identitetstyveri eller svig, fysisk skade, betydelig tort eller skade af omdømme. Underretningen bør beskrive arten af bruddet på persondatasikkerheden og indeholde anbefalinger til den berørte person med henblik på at afhjælpe de mulige skadevirkninger. Underretninger til registrerede bør gives så snart, det er rimeligt muligt, og i tæt samarbejde med tilsynsmyndigheden og bør overholde retningslinjer, der er givet af denne eller andre relevante myndigheder (f.eks. de retshåndhævende myndigheder). Registreredes mulighed for at afhjælpe en umiddelbar risiko for skade kræver f.eks. omgående underretning af de registrerede, mens behovet for at gennemføre fornødne foranstaltninger mod fortsatte eller lignende brud kan begrunde en længere forsinkelse. (68) For at afgøre, om et brud på persondatasikkerheden skal meddeles tilsynsmyndigheden og den registrerede uden unødig forsinkelse, bør det kontrolleres, om den registeransvarlige har gennemført og anvendt fornøden teknologi og fornødne organisatoriske foranstaltninger til omgående at fastslå, om et brud på persondatasikkerheden har fundet sted, og til omgående at underrette tilsynsmyndigheden og den registrerede, inden der opstår skade for personlige og økonomiske interesser, under hensyntagen til navnlig karakteren og alvoren af bruddet på persondatasikkerheden og dets konsekvenser og skadevirkninger for den registrerede. (69) Når der fastsættes nærmere regler for, hvilket format og hvilke procedurer der skal anvendes ved anmeldelse af brud på persondatasikkerheden, bør der tages hensyn til omstændighederne ved sikkerhedsbruddet, herunder til om personoplysningerne var beskyttet ved passende tekniske beskyttelsesforanstaltninger, der effektivt begrænser sandsynligheden for identitetsmisbrug eller andre former for misbrug. Sådanne regler og procedurer bør endvidere tage hensyn til de retshåndhævende myndigheders legitime interesser, hvis tidlig meddelelse unødigt kan hæmme undersøgelsen af omstændighederne ved et brud. (70) Ved direktiv 95/46/EF blev der fastsat en generel forpligtelse til at anmelde behandling af personoplysninger til tilsynsmyndighederne. Denne forpligtelse medførte en administrativ og finansiel byrde, men den bidrog ikke i alle tilfælde til at forbedre beskyttelsen af personoplysninger. En så vilkårlig og generel anmeldelsespligt bør derfor afskaffes og erstattes med effektive procedurer og systemer, som i stedet fokuserer på behandling, der sandsynligvis kan indebære specifikke risici for registreredes rettigheder og frihedsrettigheder i medfør af deres karakter, omfang eller formål. I sådanne tilfælde bør den registeransvarlige eller registerføreren inden behandlingen foretage en konsekvensanalyse vedrørende databeskyttelse, der navnlig omhandler de planlagte foranstaltninger, garantier og systemer, der skal sikre beskyttelsen af personoplysninger og overensstemmelsen med denne forordning. (71) Dette er især relevant i forbindelse med nye omfattende registre til behandling af meget store mængder personoplysninger på regionalt, nationalt eller overnationalt plan, der kan berøre mange registrerede. (72) Der kan være tilfælde, hvor det kan være fornuftigt og økonomisk at foretage en konsekvensanalyse vedrørende databeskyttelse, som omhandler andet end ét enkelt projekt, f.eks. hvis offentlige myndigheder eller organer har planer om at indføre en fælles applikation eller behandlingsplatform, eller hvis flere registeransvarlige planlægger at indføre en fælles applikation eller behandlingsplatform på tværs af en industrisektor eller et industrisegment eller for en udbredt horisontal aktivitet. (73) Konsekvensanalyser vedrørende databeskyttelse bør foretages af en offentlig myndighed eller et offentligt organ, hvis en sådan analyse ikke allerede er blevet foretaget i forbindelse med vedtagelsen af den nationale lovgivning, der udgør grundlaget for den offentlige myndigheds eller det offentlige organs udøvelse af opgaver, og som regulerer den pågældende specifikke behandling. (74) Hvis en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen involverer en høj grad af specifikke risici for registreredes rettigheder og frihedsrettigheder, som f.eks. at personer fratages en rettighed, eller ved brug af bestemte nye teknologier, bør tilsynsmyndigheden inden iværksættelse af behandlingsaktiviteter høres om en risikobehæftet behandling, der muligvis ikke er i overensstemmelse med denne forordning, og bør fremsætte forslag om afhjælpning af en sådan situation. En sådan høring bør ligeledes gennemføres som led i udarbejdelsen af en lovgivningsmæssig foranstaltning, der vedtages af det nationale parlament, eller af en anden foranstaltning med hjemmel i en sådan lovgivningsmæssig foranstaltning, som fastlægger karakteren af behandlingen og indfører de fornødne garantier. (75) Hvis behandlingen foretages i den offentlige sektor, eller hvis behandlingen i den private sektor foretages af en stor virksomhed, eller hvis virksomhedens kerneaktiviteter - uanset dens størrelse - omfatter behandling, som kræver regelmæssig og systematisk overvågning, bør en person hjælpe den registeransvarlige eller registerføreren med at kontrollere, at denne forordning overholdes internt. Den person, der har ansvar for databeskyttelse, bør, uanset om han er ansat hos den registeransvarlige eller ej, være i stand til at udøve sit hverv i fuld uafhængighed. (76) Sammenslutninger eller andre organer, der repræsenterer kategorier af registeransvarlige, bør opfordres til at udarbejde adfærdskodekser inden for rammerne af denne forordning med henblik på at fremme den effektive anvendelse af denne forordning under hensyntagen til de særlige former for behandling, der foretages i visse sektorer. (77) For at forbedre gennemsigtigheden og overholdelsen af denne forordning bør fastlæggelsen af certificeringsordninger og databeskyttelsesmærkninger og -mærker fremmes, så registrerede hurtigt kan vurdere databeskyttelsesniveauet i forbindelse med relevante produkter og tjenester. (78) Strømmen af personoplysninger på tværs af landegrænserne er nødvendig af hensyn til udbygningen af den internationale samhandel og det internationale samarbejde. Udvidelsen af denne strøm har skabt nye udfordringer og bekymringer med hensyn til beskyttelsen af personoplysninger. Når personoplysninger videregives fra Unionen til tredjelande eller til internationale organisationer, må det beskyttelsesniveau, som fysiske personer garanteres i Unionen i medfør af denne forordning, dog ikke undermineres. Videregivelse til tredjelande må under alle omstændigheder kun finde sted under fuld overholdelse af denne forordning. (79) Denne forordning berører ikke internationale aftaler indgået mellem Unionen og tredjelande om videregivelse af personoplysninger, herunder de fornødne garantier for registrerede. (80) Kommissionen kan med virkning for hele Unionen fastslå, at visse tredjelande, et område, en behandlingssektor i et tredjeland eller en international organisation har et tilstrækkeligt databeskyttelsesniveau, og dermed skabe retssikkerhed og ensartethed i hele Unionen, hvad angår tredjelande eller internationale organisationer, der vurderes at tilbyde et sådant beskyttelsesniveau. I disse tilfælde kan personoplysninger videregives til disse lande uden krav om yderligere godkendelse. (81) I overensstemmelse med de grundlæggende værdier, som Unionen er baseret på, navnlig beskyttelsen af menneskerettighederne, bør Kommissionen i sin vurdering af tredjelandet overveje, hvorvidt det pågældende tredjeland respekterer retsstats­princippet, adgangen til klage samt internationale menneskerettighedsnormer og ‑standarder. (82) Kommissionen kan ligeledes fastslå, at et tredjeland, et område eller en behandlings­sektor i dette tredjeland eller en international organisation ikke har et tilstrækkeligt databeskyttelsesniveau. Som følge deraf bør videregivelsen af personoplysninger til det pågældende tredjeland forbydes. Der bør fastlægges bestemmelser for procedurer for forhandling mellem Kommissionen og sådanne tredjelande eller internationale organisationer. (83) Hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, bør den registeransvarlige eller registerføreren iværksætte foranstaltninger, som kan kompensere for den manglende beskyttelse i tredjelandet, i form af de fornødne garantier for den registrerede. Sådanne fornødne garantier kan bestå af anvendelse af bindende virksomhedsregler, standardbestemmelser om databeskyttelse vedtaget af Kommissionen, standardbestemmelser om databeskyttelse vedtaget af en tilsyns­myndighed eller kontraktbestemmelser godkendt af en tilsynsmyndighed eller andre passende og forholdsmæssige foranstaltninger, der er begrundet af omstændighederne ved en videregivelse af personoplysninger eller en serie af videregivelser af personoplysninger, og som er godkendt af en tilsynsmyndighed. (84) Den registeransvarliges eller registerførerens mulighed for at bruge standard­bestemmelser om databeskyttelse vedtaget af Kommissionen eller af en tilsynsmyndighed, bør ikke udelukke muligheden for, at den registeransvarlige eller registerføreren medtager standardbestemmelser om databeskyttelse i en bredere kontrakt eller medtager andre bestemmelser, såfremt de hverken direkte eller indirekte er i strid med de standardkontraktbestemmelser, der er vedtaget af Kommissionen eller en tilsynsmyndighed, eller berører de registreredes grundlæggende rettigheder eller frihedsrettigheder. (85) En koncern bør kunne benytte godkendte bindende virksomhedsregler for sine internationale videregivelser fra Unionen til organisationer inden for samme koncern, såfremt sådanne virksomhedsregler omfatter væsentlige principper og rettigheder, der kan håndhæves, med henblik på at sikre de fornødne garantier for videregivelser eller kategorier af videregivelser af personoplysninger. (86) Videregivelse bør tillades under bestemte omstændigheder, hvor den registrerede har meddelt sit samtykke, hvor videregivelsen er nødvendig i forbindelse med en kontrakt eller et retskrav, hvor beskyttelsen af væsentlige samfundsinteresser i henhold til EU-retten eller medlemsstatslovgivning kræver det, eller hvor videregivelsen sker fra et register, der er oprettet ved lov, og som offentligheden eller personer med en legitim interesse heri bør kunne konsultere. I sidstnævnte tilfælde bør en sådan videregivelse ikke omfatte alle oplysningerne eller hele kategorier af oplysninger i dette register, og når et register er beregnet til at blive konsulteret af personer, der har en legitim interesse heri, bør videregivelse kun ske på anmodning af disse personer, eller hvis de selv er modtageren. (87) Disse undtagelser bør navnlig gælde for videregivelse af oplysninger, der udføres af hensyn til vigtige samfundsinteresser, f.eks. ved international udveksling af oplys­ninger mellem konkurrencemyndigheder, skatte- eller toldforvaltninger, finansielle tilsynsmyndigheder, socialsikringsmyndigheder eller de kompetente myndigheder for forebyggelse, efterforskning, opdagelse og retsforfølgning af straffelovsovertrædelser. (88) Videregivelser, der ikke kan betegnes som hyppige eller omfattende, kan begrundes af den registeransvarliges eller registerførerens legitime interesse, men først efter at de har vurderet og dokumenteret alle omstændigheder ved videregivelserne. I forbindelse med behandling til historiske, statistiske eller videnskabelige forskningsformål bør samfundets legitime forventninger om øget viden tages med i overvejelserne. (89) Hvis Kommissionen ikke har truffet en afgørelse om tilstrækkeligheden af databeskyttelsesniveauet i et tredjeland, bør den registeransvarlige eller registerføreren under alle omstændigheder benytte løsninger, der giver de registrerede en garanti for, at de fortsat vil nyde godt af de grundlæggende rettigheder og garantier, hvad angår behandling af deres personoplysninger i Unionen, når disse oplysninger er blevet videregivet. (90) Visse tredjelande vedtager love, bestemmelser og andre retlige instrumenter med det formål at regulere databehandlingsaktiviteter vedrørende fysiske og juridiske personer direkte under medlemsstaternes jurisdiktion. Ekstraterritorial anvendelse af disse love, bestemmelser og andre retsakter kan være i strid med folkeretten og kan hindre virkeliggørelsen af den beskyttelse af fysiske personer, der garanteres i Unionen af denne forordning. Videregivelser af oplysninger bør kun tillades, hvis denne forordnings betingelser for videregivelser til tredjelande er opfyldt. Det kan bl.a. være tilfældet, hvis videregivelsen er nødvendig af hensyn til vigtige samfundsinteresser, der anerkendes i EU-retten eller en medlemsstats lovgivning, som den registeransvarlige er omfattet af. Kommissionen bør i en delegeret retsakt yderligere præcisere betingelserne for, at der er tale om vigtige samfundsinteresser. (91) Når personoplysninger overføres på tværs af grænser, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder og beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig må tilsynsmyndighederne i nogle tilfælde konstatere, at de ikke kan indgive klager eller gennemføre undersøgelser vedrørende aktiviteter uden for deres grænser. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser, uensartede retlige ordninger og praktiske hindringer som f.eks. ressourcebegrænsninger. Der er derfor et behov for tættere samarbejde mellem datatilsynsmyndigheder, så de bedre kan udveksle oplysninger og gennemføre undersøgelser sammen med de tilsvarende internationale organer. (92) Oprettelsen af tilsynsmyndigheder i medlemsstaterne, som udøver deres hverv i fuld uafhængighed, har afgørende betydning for beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger. Medlemsstaterne kan oprette mere end én tilsynsmyndighed for at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. (93) Hvis en medlemsstat opretter flere tilsynsmyndigheder, bør den ved lov fastlægge ordninger, der sikrer disse tilsynsmyndigheders effektive deltagelse i sammenhængs­mekanismen. Den pågældende medlemsstat bør navnlig udpege den tilsynsmyndighed, der fungerer som fælles kontaktpunkt for disse myndigheders effektive deltagelse i mekanismen, med henblik på at sikre et hurtigt og smidigt samarbejde med andre tilsynsmyndigheder, Det Europæiske Databeskyttelsesråd og Kommissionen. (94) Hver tilsynsmyndighed bør have tilstrækkelige finansielle og menneskelige ressourcer, lokaler og infrastrukturer til effektivt at udføre sine opgaver, herunder opgaver vedrørende gensidig bistand og samarbejde med andre tilsynsmyndigheder i Unionen. (95) De generelle betingelser for tilsynsmyndighedens medlemmer bør fastsættes ved lov i hver medlemsstat, og det bør navnlig fastsættes, om disse medlemmer udpeges af parlamentet eller regeringen i den pågældende medlemsstat, og der bør ligeledes fastsættes regler om medlemmernes personlige kvalifikationer og stilling. (96) Tilsynsmyndighederne bør kontrollere anvendelsen af bestemmelserne i henhold til denne forordning og bidrage til dens ensartede anvendelse i hele Unionen med det formål at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger og lette fri udveksling af personoplysninger på det indre marked. Til det formål bør tilsynsmyndighederne samarbejde med hinanden og med Kommissionen. (97) Når behandlingen af personoplysninger i forbindelse med aktiviteter, der gennemføres af en registeransvarligs eller registerførers virksomhed i Unionen, finder sted i mere end én medlemsstat, bør en enkelt tilsynsmyndighed være ansvarlig for at kontrollere den registeransvarliges eller registerførerens aktiviteter i hele Unionen og for at træffe de relaterede beslutninger med henblik på at styrke en ensartet anvendelse, sikre retssikkerheden og mindske den administrative byrde for sådanne registeransvarlige og registerførere. (98) Den kompetente myndighed, som udgør et sådant centralt kontaktpunkt, bør være tilsynsmyndigheden i den medlemsstat, hvor den registeransvarlige eller register­føreren har sin hovedvirksomhed. (99) Selv om denne forordning også gælder for de nationale domstoles aktiviteter, bør der af hensyn til domstolenes uafhængighed, når de udfører deres retslige opgaver, ikke tillægges tilsynsmyndighederne kompetence til at behandle personoplysninger, når domstolene handler som led i deres retspleje. Denne undtagelse bør dog alene begrænses til egentlige retslige aktiviteter i forbindelse med retssager og ikke gælde for andre aktiviteter, som dommere kan inddrages i efter national lovgivning. (100) For at sikre ensartet kontrol med og håndhævelse af denne forordning i hele Unionen bør tilsynsmyndighederne i hver medlemsstat have samme opgaver og effektive beføjelser, herunder undersøgelsesbeføjelser, beføjelser til retligt bindende indgriben og beføjelser til at træffe afgørelse