P7_TA(2014)0219

Beskyttelse af personoplysninger med henblik på at forebygge straffelovsovertrædelser ***I

Europa-Parlamentets lovgivningsmæssige beslutning af 12. marts 2014 om forslag til Europa-Parlamentets og Rådets direktiv om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger (COM(2012)0010 — C7-0024/2012 — 2012/0010(COD))

(Almindelig lovgivningsprocedure: førstebehandling)

(2017/C 378/59)

Europa-Parlamentet,

der henviser til de begrundede udtalelser, som inden for rammerne af protokol nr. 2 om anvendelse af nærhedsprincippet og proportionalitetsprincippet er blevet forelagt af det tyske Forbundsråd og den svenske Riksdag, om at udkastet til lovgivningsmæssig retsakt ikke overholder nærhedsprincippet,

(1) EUT C 192 af 30.6.2012, s. 7.

P7_TC1-COD(2012)0010

Europa-Parlamentets holdning fastlagt ved førstebehandlingen den 12. marts 2014 med henblik på vedtagelse af Europa-Parlamentets og Rådets direktiv 2014/…/EU om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR –

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2,

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,

under henvisning til udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse (1),

efter den almindelige lovgivningsprocedure (2) ,og

ud fra følgende betragtninger:

(1) Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (»Chartret«) og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde fastsættes det, at enhver har ret til beskyttelse af personoplysninger om vedkommende selv. I artikel 8, stk. 2, i chartret bestemmes det, at sådanne oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. [Ændring 1]

(2) Personoplysninger behandles for menneskets skyld; principperne og reglerne om beskyttelse af fysiske personer med hensyntil behandling af deres personoplysninger bør uanset de fysiske personers nationalitet eller bopæl respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Behandlingen af personoplysninger bør bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed.

(3) Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer for beskyttelsen af personoplysninger. Omfanget af dataindsamling og -deling er steget drastisk. Teknologien giver offentlige myndigheder mulighed for at udnytte personoplysninger i et hidtil uset omfang, når de udøver deres aktiviteter.

(4) Hvor det er påkrævet og rimeligt , er det i denne forbindelse nødvendigt at lette den frie udveksling af oplysninger mellem kompetente myndigheder i EU Unionen og videregivelsen af oplysninger til tredjelande og internationale organisationer, samtidig med at der sikres et højt niveau for beskyttelse af personoplysninger. Denne udvikling kræver, at der opbygges en stærk og mere sammenhængende databeskyttelsesramme i EU Unionen , som understøttes af en effektiv håndhævelse. [Ændring 2]

(5) Europa-Parlamentets og Rådets direktiv 95/46/EF (3) finder anvendelse på enhver behandling af personoplysninger i medlemsstaterne både i den offentlige sektor og i den private sektor. Det finder dog ikke anvendelse på behandling af personoplysninger ved aktiviteter på områder, der ikke er omfattet af EU-retten, såsom retligt samarbejde i straffesager og politisamarbejde.

(6) Rådets rammeafgørelse 2008/977/RIA (4) finder anvendelse inden for retligt samarbejde i straffesager og politisamarbejde. Denne rammeafgørelses anvendelsesområde er begrænset til behandling af personoplysninger, der videregives eller stilles til rådighed mellem medlemsstater.

(7) Det er vigtigt at sikre et ensartet og højt niveau for beskyttelse af fysiske personers personoplysninger og gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde. Med det formål skal niveauet for beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner være det samme i alle medlemsstater. Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet i hele Unionen. For at sikre en effektiv beskyttelse af personoplysninger i Unionen er det nødvendigt at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler personoplysninger, men der skal også gives tilsvarende beføjelser til at kontrollere og sikre overholdelsen af reglerne om beskyttelse af personoplysninger i medlemsstaterne. [Ændring 3]

(8) Artikel 16, stk. 2, i traktaten om Den Europæiske Unions funktionsmåde giver Europa-Parlamentet og Rådet beføjelse til at fastsætte regler for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler for den frie udveksling af deres personoplysninger. [Ændring 4]

(9) I Europa-Parlamentets og Rådets forordning (EU) nr. …/2014 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) fastsættes der generelle regler med det formål at beskytte fysiske personer i forbindelse med behandling af personoplysninger og sikre fri udveksling af personoplysninger i Unionen.

(10) I erklæring 21 om beskyttelse af personoplysninger på området retligt samarbejde i straffesager og politisamarbejde, knyttet som bilag til slutakten fra den regeringskonference, der vedtog Lissabontraktaten, erkendte konferencen, at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri udveksling af disse oplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i traktaten om Den Europæiske Unions funktionsmåde som følge af disse områders specifikke karakter.

(11) Der bør således vedtages et særskilt specifikt direktiv, hvori der tages højde for disse områders specifikke karakter og fastsættes regler for beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner. [Ændring 5]

(12) For at sikre et ensartet beskyttelsesniveau for fysiske personer ved hjælp af rettigheder, der kan håndhæves retsligt i hele Unionen, og for at forhindre forskelle, der kan hæmme den frie udveksling af oplysninger mellem kompetente myndigheder, bør dette direktiv sikre harmoniserede regler for beskyttelse og fri udveksling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde.

(13) Dette direktiv giver mulighed for, at der tages hensyn til princippet om aktindsigt i officielle dokumenter, når direktivets bestemmelser anvendes.

(14) Den beskyttelse, som dette direktiv giver i forbindelse med behandling af personoplysninger, bør omfatte fysiske personer uanset nationalitet eller bopæl.

(15) Beskyttelsen af fysiske personer bør være teknologineutral og må ikke afhænge af de anvendte teknikker, da der ellers vil være alvorlig risiko for omgåelse. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis oplysningerne er indeholdt eller påtænkes indeholdt i et register. Sagsmapper eller samlinger af sagsmapper eller deres forsider, som ikke er struktureret efter bestemte kriterier, henhører ikke under dette direktivs anvendelsesområde. Dette direktiv bør ikke finde anvendelse på behandlingen af personoplysninger i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde, særlig vedrørende national sikkerhed, eller på data, der behandles af EU-institutioner, -organer, -kontorer og -agenturer såsom Europol eller Eurojust. Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (5) og de særlige retlige instrumenter, som gælder for Unionens agenturer, organer eller kontorer bør bringes i overensstemmelse med dette direktiv og anvendes i overensstemmelse med dette direktiv. [Ændring 6]

(16) Principperne om databeskyttelse bør gælde for alle former for oplysninger om en identificeret eller identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle de hjælpemidler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse for at identificere eller udpege den pågældende enten af den registeransvarlige eller af enhver anden person. Beskyttelsesprincipperne bør ikke gælde oplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke længere kan identificeres. Dette direktiv bør ikke finde anvendelse på anonyme oplysninger , dvs. oplysninger, der ikke direkte, indirekte, alene eller i forbindelse med lignende oplysninger kan forbindes med en fysisk person. Som følge af omfanget af de udviklingstendenser, der er på vej inden for informationssamfundet, teknikkerne, der anvendes til at indfange, transmittere, registrere, lagre eller formidle positionsdata vedrørende fysiske personer, som kan anvendes til forskellige formål som f.eks. overvågning eller oprettelse af profiler, bør dette direktiv også finde anvendelse på behandling af sådanne personoplysninger . [Ændring 7]

(16a) Enhver behandling af personoplysninger skal være lovlig, rimelig og gennemskuelig i forhold til de berørte personer. De specifikke formål med behandlingen af oplysningerne bør navnlig være udtrykkelige og legitime og fremgå, når personoplysningerne indsamles. Personoplysningerne bør være passende, relevante og begrænset til det minimum, der er nødvendigt til formålene med behandlingen af personoplysningerne. Dette kræver navnlig, at man begrænser de indsamlede oplysninger, og at perioden for opbevaring af oplysningerne begrænses til det kortest mulige. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke kan opfyldes på anden måde. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som er urigtige, berigtiges eller slettes. For at sikre, at oplysningerne ikke opbevares i længere tid end nødvendigt, bør den registeransvarlige indføre tidsfrister for sletning eller periodisk gennemgang. [Ændring 8]

(17) Personlige helbredsoplysninger bør navnlig omfatte alle oplysninger om den registreredes helbredstilstand, oplysninger om registrering af personen med henblik på modtagelse af sundhedsydelser, oplysninger om betaling for eller berettigelse til sundhedsydelser for så vidt angår personen, et nummer, symbol eller særligt mærke, der tildeles en person for entydigt at identificere personen i sundhedsanliggender, enhver oplysning om personen, som indsamles i tilknytning til leveringen af sundhedsydelser til personen, oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder biologiske prøver, identifikation af en person som leverandør af sundhedsydelser til en person og alle oplysninger om f.eks. en sygdom, et handicap, en sygdomsrisiko, sygehistorie, hospitalsbehandling eller den registreredes faktiske fysiologiske eller biomedicinske tilstand uafhængigt af, hvad kilden til oplysningerne er, f.eks. en læge eller andet lægeligt personale, et hospital, medicinsk udstyr eller en in vitro-diagnostik.

(18) Enhver behandling af personoplysninger skal være rimelig og lovlig i forhold til de berørte personer. De specifikke formål med behandlingen af oplysningerne bør navnlig være eksplicitte. [Ændring 9]

(19) Med henblik på forebyggelse, efterforskning og retsforfølgning af straffelovovertrædelser er det nødvendigt, at de kompetente myndigheder gemmer personoplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, opdagelse eller retsforfølgning af specifikke straffelovsovertrædelser, og behandler dem i en bredere kontekst for derved at få en forståelse af kriminelle fænomener og tendenser, at indsamle efterretningsoplysninger om organiserede kriminelle netværk og at sammenkoble forskellige opdagede overtrædelser. [Ændring 10]

(20) Personoplysningerne bør ikke behandles til formål, der er uforenelige med det formål, hvortil de blev indsamlet. Personoplysninger bør være hensigtsmæssige, relevante og ikke for omfattende i forhold til de formål, hvortil de behandles. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som er urigtige, berigtiges eller slettes. [Ændring 11]

(20a) Det simple faktum, at to formål begge har relation til at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner, betyder ikke nødvendigvis, at de er forenelige. Der er dog tilfælde, hvor yderligere behandling til formål, der er uforenelige, bør være mulig, hvis det er nødvendigt for at opfylde en retlig forpligtelse, der påhviler den registeransvarlige, for at beskytte den registreredes eller en anden persons vitale interesser eller for at afværge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed. Medlemsstaterne bør derfor kunne vedtage nationale love, der giver mulighed for sådanne undtagelser i det omfang, det er strengt nødvendigt. Sådanne nationale love bør indeholde tilstrækkelige sikkerhedsforanstaltninger. [Ændring 12]

(21) Princippet om oplysningernes rigtighed bør anvendes på en måde, så der tages hensyn til den pågældende behandlings art og formål. Navnlig i retssager er udsagn, der indeholder personoplysninger, baseret på en subjektiv opfattelse af enkeltpersoner, og det er i visse tilfælde ikke altid muligt at kontrollere dem. Kravet om oplysningernes rigtighed bør derfor ikke vedrøre et udsagns rigtighed, men blot det forhold, at der er fremsat et specifikt udsagn.

(22) Ved fortolkningen og anvendelsen af de generelle principper for kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner bør der tages højde for de særlige forhold i denne sektor, herunder de specifikke mål, der forfølges. [Ændring 13]

(23) Behandling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde indebærer i sagens natur behandling af personoplysninger om forskellige kategorier af registrerede. Der bør således så vidt muligt sondres klart mellem personoplysninger om forskellige kategorier af registrerede såsom mistænkte, personer, der er dømt for en straffelovsovertrædelse, ofre eller tredjeparter som f.eks. vidner, personer, der ligger inde med relevante oplysninger, eller mistænktes og dømte kriminelles kontaktpersoner og associerede. Medlemsstaterne bør tilvejebringe specifikke regler for konsekvenserne af denne kategorisering og derved tage hensyn til de forskellige målsætninger, der indsamles oplysninger til, og sørge for specifikke sikkerhedsforanstaltninger for personer, der ikke er mistænkte eller ikke er dømt for en straffelovsovertrædelse . [Ændring 14]

(24) Der bør så vidt muligt sondres mellem forskellige kategorier af oplysninger ud fra, i hvor høj grad disse er korrekte og pålidelige. Der bør sondres mellem kendsgerninger og personlige vurderinger for både at sikre beskyttelsen af fysiske personer og kvaliteten og pålideligheden af de oplysninger, der behandles af de kompetente myndigheder.

(25) For at være lovlig bør en behandling af personoplysninger være kun være tilladt, når den er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige, eller nødvendig af hensyn til en kompetent myndigheds lovbestemte udførelse af en opgave i samfundets interesse eller for at beskytte den registreredes eller en anden persons vitale interesser eller forebygge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed i henhold til EU-retten eller national lovgivning, der som minimum bør indeholde udtrykkelige og detaljerede bestemmelser vedrørende formål, personoplysninger, de specifikke formål og midler, udpege eller give mulighed for at udpege den registeransvarlige, de procedurer, der skal følges og begrænsninger af eventuelle beføjelser, som overdrages til de kompetente myndigheder i forbindelse med behandlingen. [Ændring 15]

(25a) Personoplysningerne bør ikke behandles til formål, der er uforenelige med det formål, hvortil de blev indsamlet. Yderligere behandling foretaget af de kompetente myndigheder med et formål, der falder inden for dette direktivs anvendelsesområde, bør kun tillades i specifikke tilfælde, hvor denne behandling er nødvendig for at overholde en retlig forpligtelse i henhold til EU-retten eller medlemsstatens lovgivning, som gælder for den registeransvarlige, eller for at beskytte den registreredes eller en anden persons vitale interesser eller forebygge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed. Det forhold, at oplysningerne behandles med henblik på retshåndhævelse indebærer ikke nødvendigvis, at dette formål er foreneligt med det oprindelige formål. Princippet om forenelig anvendelse skal fortolkes restriktivt. [Ændring 16]

(25b) Personoplysninger, der behandles i strid med de nationale bestemmelser, der er vedtaget i henhold til dette direktiv, må ikke behandles yderligere. [Ændring 17]

(26) Personoplysninger, der i kraft af deres karakter er særligt følsomme og sårbare i forbindelse med grundlæggende rettigheder eller beskyttelse af privatlivets fred, bør nyde særlig beskyttelse. Sådanne oplysninger må ikke behandles, medmindre behandlingen er fastsat i lovgivningen, nødvendig med henblik på udførelsen af en opgave , der udføres i almen interesse, på grundlag af EU-retten eller medlemsstatens lovgivning, som indeholder passende bestemmelser til beskyttelse af den registreredes grundlæggende rettigheder og legitime interesser eller behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser eller vedrører oplysninger, som tydeligvis offentliggøres af den registrerede. Følsomme personoplysninger bør kun behandles, hvis de supplerer andre personoplysninger, der allerede behandles som led i en politiefterforskning. Enhver undtagelse fra forbuddet mod behandling af følsomme oplysninger bør fortolkes restriktivt og må ikke føre til hyppig, omfattende og systematisk behandling af følsomme personoplysninger. [Ændring 18]

(26a) Behandlingen af genetiske oplysninger bør kun være tilladt, hvis der findes en genetisk sammenhæng, der viser sig i forbindelse med efterforskningen af en forbrydelse eller med en retssag. Genetiske oplysninger bør kun opbevares, så længe det er strengt nødvendigt til brug for disse undersøgelser og retssager, men medlemsstaterne kan give tilladelse til opbevaring i en længere periode på de betingelser, der opstilles i dette direktiv. [Ændring 19]

(27) Enhver fysisk person bør have ret til ikke at blive gjort til genstand for en foranstaltning, der er baseret på udelukkende delvis eller fuldstændig profilering ved hjælp af automatisk databehandling. En sådan behandling , der har negative retlige virkninger eller alvorlige konsekvenser for den pågældende, bør forbydes, medmindre dette er tilladt ved lov og omfattet af passende foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og legitime interesser, herunder retten til at få udleveret relevante oplysninger om den logik, der er anvendt i forbindelse med profileringen . En sådan behandling bør under ingen omstændigheder indeholde, skabe eller diskriminere på baggrund af særlige kategorier af oplysninger. [Ændring 20]

(28) For at den registrerede kan udøve sine rettigheder, bør alle oplysninger om den registrerede være nemt tilgængelige og letforståelige, bl.a. at der benyttes et klart og forståeligt sprog. Disse oplysninger bør tilpasses den registreredes behov, navnlig når oplysningerne er specifikt rettet mod et barn. [Ændring 21]

(29) Der bør fastsættes nærmere bestemmelser, som kan lette de registreredes udøvelse af deres rettigheder i henhold til dette direktiv, herunder systemer til uden udgifter at anmode om indsigt i eller berigtigelse og sletning af personoplysninger. Den registeransvarlige bør være forpligtet til at besvare sådanne anmodninger fra den registrerede uden unødig forsinkelse og senest en måned efter modtagelsen af anmodningen. Såfremt personoplysninger behandles automatisk, skal den registeransvarlige gøre det muligt at fremsætte anmodninger elektronisk. [Ændring 22]

(30) I henhold til princippet om rimelig og gennemskuelig behandling skal den registrerede navnlig informeres om en behandlings eksistens og dens formål, dens retsgrundlag , hvor længe oplysningerne opbevares, hvorvidt der gives ret til at få indsigt i og foretage berigtigelse og sletning af oplysninger, og om retten til at indgive klage. Desuden bør den registrerede underrettes om en eventuel profilering, og om de tilsigtede konsekvenser . Hvis oplysningerne indsamles hos den registrerede, bør den registrerede også oplyses om, hvorvidt vedkommende er forpligtet til at afgive sådanne oplysninger, og om konsekvenserne, hvis vedkommende ikke afgiver sådanne oplysninger. [Ændring 23]

(31) Oplysningerne om behandlingen af den registreredes personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen, eller, hvis oplysningerne ikke indsamles hos den registrerede, på tidspunktet for registreringen eller inden for et rimeligt tidsrum efter indsamlingen under hensyn til de særlige forhold, hvorunder personoplysningerne behandles.

(32) Enhver bør have ret til indsigt i oplysninger, der er indsamlet om den pågældende, og til let at udøve denne ret med henblik på at forvisse sig om oplysningernes eksistens og behandlingens lovlighed. Enhver registreret bør derfor navnlig have ret til at kende og blive underrettet om det formål, hvortil oplysningerne behandles, retsgrundlaget , hvor lang tid de gemmes, og hvem modtagerne af oplysningerne er, herunder tredjelande, samt til at få tilstillet forståelige oplysninger om den logik, der anvendes i forbindelse med automatisk behandling, og i givet fald om de væsentligste tilsigtede konsekvenser samt om retten til at indgive en klage til tilsynsmyndigheden og dennes kontaktoplysninger. Registrerede bør have ret til at få en kopi af de personoplysninger, der behandles. [Ændring 24]

(33) Medlemsstaterne bør have beføjelse til at træffe lovgivningsmæssige foranstaltninger, der udsætter eller begrænser informeringen af de registrerede eller deres ret til indsigt i oplysningerne, i det omfang en sådan delvis eller fuldstændig begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den pågældende persons grundlæggende rettigheder og legitime interesser, for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, for at undgå, at forebyggelsen, opdagelsen, efterforskningen og retsforfølgningen af straffelovsovertrædelser skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner, for at beskytte den offentlige sikkerhed eller den nationale sikkerhed eller for at beskytte den registreredes interesser eller andres rettigheder og frihedsrettigheder. Den registeransvarlige bør gennem en konkret og individuel undersøgelse af de enkelte tilfælde vurdere, hvorvidt der bør foretages en delvis eller fuldstændig begrænsning af retten til adgang. [Ændring 25]

(34) Enhver begrænsning af den registreredes rettigheder bør meddeles den registrerede skriftligt, herunder de faktuelle eller retlige årsager til beslutningen.

(34a) Enhver begrænsning af den registreredes rettigheder skal være i overensstemmelse med chartret og med den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder som præciseret i retspraksis ved Den Europæiske Unions Domstol og Den Europæiske Menneskerettighedsdomstol og navnlig respekten for ånden i rettighederne og frihedsrettighederne. [Ændring 26]

(35) Når medlemsstaterne har truffet lovgivningsmæssige foranstaltninger, der helt eller delvis begrænser retten til indsigt i personoplysninger, bør den registrerede have ret til at anmode om, at den kompetente nationale tilsynsmyndighed kontrollerer, at behandlingen af oplysningerne er lovlig. Den registrerede skal oplyses om denne rettighed. Hvis retten til indsigt udøves af tilsynsmyndigheden på vegne af den registrerede, bør den pågældende tilsynsmyndighed som minimum underrette den registrerede om, at tilsynsmyndigheden har foretaget den nødvendige kontrol, og om hvorvidt den pågældende behandling er lovlig. Tilsynsmyndigheden bør også oplyse den registrerede om retten til domstolsprøvelse. [Ændring 27]

(36) Enhver person bør have ret til at få berigtiget urigtige eller ulovligt behandlede personoplysninger og til at få slettet oplysninger, hvis behandlingen af sådanne oplysninger ikke er i overensstemmelse med hovedprincipperne bestemmelserne i dette direktiv. En sådan berigtigelse, supplering eller sletning skal meddeles modtagerne af oplysningerne og tredjemand, hvorfra de urigtige oplysninger stammer. Den registeransvarlige skal også afstå fra yderligere videregivelse af sådanne oplysninger. Når personoplysningerne behandles under en strafferetlig efterforskning og straffesag kan retten til berigtigelse, retten til information, retten til indsigt i eller sletning af oplysningerne eller begrænsning af behandlingen heraf foretages i henhold til de nationale retsplejeregler. [Ændring 28]

(37) Der bør fastsættes bestemmelser om den registeransvarliges overordnede ansvar, herunder erstatningsansvar, for den behandling af personoplysninger, der foretages af den registeransvarlige eller på vegne af den registeransvarlige. Den registeransvarlige bør navnlig sikre og være forpligtet til at kunne dokumentere, at behandlingen den enkelte behandling er i overensstemmelse de bestemmelser, der vedtages til gennemførelse af dette direktiv. [Ændring 29]

(38) Beskyttelsen af de registreredes rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes de fornødne tekniske og organisatoriske foranstaltninger for at sikre, at dette direktivs krav opfyldes. For at sikre overholdelsen af de bestemmelser, der vedtages til gennemførelse af dette direktiv, bør den registeransvarlige fastlægge strategier og gennemføre passende foranstaltninger, som navnlig er i overensstemmelse med principperne om indbygget databeskyttelse og databeskyttelse gennem indstillinger.

(39) Beskyttelsen af registreredes rettigheder og frihedsrettigheder samt registeransvarliges og registerføreres ansvar kræver en klar fordeling af ansvarsområderne under dette direktiv, herunder når en registeransvarlig afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger sammen med andre registeransvarlige, eller når en behandling foretages på vegne af en registeransvarlig. Den registrerede bør have ret til at udøve sine rettigheder i henhold til dette direktiv over for og i forhold til hver af de fælles registeransvarlige. [Ændring 30]

(40) Den registeransvarlige eller registerføreren bør dokumentere behandlingen, således at det kan kontrolleres, at den er i overensstemmelse med dette direktiv. Den registeransvarlige og registerføreren bør have pligt til at samarbejde med tilsynsmyndigheden og efter anmodning stille denne dokumentation til rådighed for tilsynsmyndigheden, så den kan bruges i forbindelse med kontrollen af behandlingen.

(40a) Alle behandlinger af personoplysninger bør registreres for at det kan kontrolleres, om behandlingen er lovlig, samt med henblik på at udøve egenkontrol og sikre dataenes integritet og sikkerhed. Disse registreringsoplysninger bør kunne rekvireres af tilsynsmyndigheden med henblik på kontrol af overholdelsen af kravene i dette direktiv. [Ændring 31]

(40b) Den tilsynsførende eller den registeransvarlige bør foretage en konsekvensanalyse af databeskyttelsen, hvis behandlingen af personoplysninger sandsynligvis vil indebære specifikke risici for den registreredes rettigheder og frihedsrettigheder i medfør af dens karakter, omfang eller formål, som navnlig bør omfatte de planlagte foranstaltninger, sikkerhedsforanstaltninger og mekanismer til beskyttelse af personoplysninger samt til dokumentation af overholdelsen af dette direktiv. Konsekvensanalyserne bør vedrøre relevante systemer og processer i forbindelse med behandling af personoplysninger, men ikke enkeltsager. [Ændring 32]

(41) For at sikre en effektiv beskyttelse af de registreredes rettigheder og frihedsrettigheder ved hjælp af forebyggende foranstaltninger bør den registeransvarlige eller registerføreren i visse tilfælde høre tilsynsmyndigheden inden behandlingen. Hvis en konsekvensanalyse vedrørende databeskyttelse desuden viser, at behandlingen efter al sandsynlighed vil involvere en høj grad af specifikke risici for registreredes rettigheder og frihedsrettigheder, bør tilsynsmyndigheden inden iværksættelse af behandlingsaktiviteter kunne forhindre en risikobehæftet behandling, der ikke er i overensstemmelse med dette direktiv, og fremsætte forslag til afhjælpning af en sådan situation. En sådan høring kan ligeledes gennemføres som led i udarbejdelsen af en lovgivningsmæssig foranstaltning, der vedtages af det nationale parlament, eller af en anden foranstaltning med hjemmel i en sådan lovgivningsmæssig foranstaltning, som fastlægger karakteren af behandlingen og indfører de fornødne garantier. [Ændring 33]

(41a) For at opretholde sikkerheden og forhindre behandling, som er i strid med dette direktiv, bør den registeransvarlige eller registerføreren foretage en evaluering af risici i forbindelse med behandlingen og træffe foranstaltninger til at mindske disse risici. Disse foranstaltninger bør sikre et tilstrækkeligt sikkerhedsniveau under hensyntagen til den seneste teknologiske udvikling og omkostningerne ved gennemførelsen af dem sammenholdt med risikoen og arten af de oplysninger, der bør beskyttes. I forbindelse med fastsættelsen af tekniske standarder og organisatoriske foranstaltninger for at garantere sikkerheden i forbindelse med behandlingen, bør der tilstræbes teknologisk neutralitet. [Ændring 34]

(42) Brud på persondatasikkerheden kan bl.a. skade påføre den berørte persons omdømme person betydelige økonomiske tab og sociale problemer, herunder identitetsbedrageri, hvis ikke de rettidigt afhjælpes på betryggende vis. Så snart den registeransvarlige bliver opmærksom på, at der er sket et sådant sikkerhedsbrud, bør vedkommende derfor anmelde bruddet til den kompetente nationale tilsynsmyndighed. Fysiske personer, hvis personoplysninger og ret til beskyttelse af privatlivets fred kunne blive krænket af sådanne brud, bør uden unødig forsinkelse underrettes, så de kan træffe de nødvendige forholdsregler. Et brud bør anses for at krænke den fysiske persons personoplysninger og ret til beskyttelse af privatlivets fred, hvis det kan indebære f.eks. identitetstyveri eller svig, fysisk skade, betydelig tort eller skade af omdømme i forbindelse behandlingen af personoplysninger. Anmeldelsen bør indeholde oplysninger om, hvilke foranstaltninger udbyderen har sat i værk for at afhjælpe bruddet på sikkerheden, og anbefalinger til den berørte abonnent eller fysiske person. Underretninger til registrerede bør gives så snart, det er muligt, og i tæt samarbejde med tilsynsmyndigheden og bør overholde retningslinjer, der er opstillet af denne. [Ændring 35]

(43) Når der fastsættes nærmere regler for, hvilket format og hvilke procedurer der skal anvendes ved anmeldelse af brud på persondatasikkerheden, bør der tages behørigt hensyn til omstændighederne ved sikkerhedsbruddet, herunder om personoplysningerne var beskyttet ved passende tekniske beskyttelsesforanstaltninger, der effektivt begrænser sandsynligheden for misbrug. Sådanne regler og procedurer bør desuden tage hensyn til de kompetente myndigheders legitime interesser, hvis tidlig anmeldelse kunne udgøre en unødvendig hæmsko for efterforskningen af omstændighederne ved et sikkerhedsbrud.

(44) Den registeransvarlige eller registerføreren bør udpege en person, der skal bistå den registeransvarlige eller registerføreren med at overvåge og påvise , at behandlingen er i overensstemmelse med de bestemmelser, der vedtages til gennemførelse af dette direktiv. Når flere kompetente myndigheder er underlagt en central myndigheds kontrol, bør den pågældende centrale myndighed i det mindste udpege en sådan databeskyttelsesansvarlig. Den databeskyttelsesansvarlige skal være i stand til at udøve sit hverv uafhængigt og effektivt, navnlig ved at indføre regler til forhindring af interessekonflikter med andre opgaver, der udføres af den databeskyttelsesansvarlige. [Ændring 36]

(45) Medlemsstaterne bør sikre, at videregivelse af personoplysninger til et tredjeland kun sker, hvis det denne specifikke videregivelse er nødvendig for at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner, og den registeransvarlige i det pågældende tredjeland eller den pågældende internationale organisation er en kompetent offentlig myndighed som defineret i dette direktiv. Der kan finde videregivelse sted i de tilfælde, hvor Kommissionen har afgjort, at det pågældende tredjelande eller den pågældende internationale organisation sikrer et passende beskyttelsesniveau, hvis det godtgøres, at der er indført passende beskyttelsesforanstaltninger eller passende beskyttelsesforanstaltninger i form af et juridisk bindende instrument. Oplysninger, der videregives til kompetente offentlige myndigheder i tredjelande, bør ikke behandles yderligere til andre formål end det, de blev videregivet til. [Ændring 37]

(45a) Yderligere videregivelse fra kompetente myndigheder i tredjelande eller internationale organisationer, hvortil personoplysninger er blevet videregivet, bør kun tillades, hvis videregivelsen er nødvendig til samme specifikke formål som den originale videregivelse, og den anden modtager også er en kompetent offentlig myndighed. Yderligere videregivelser bør ikke være tilladt til generelle retshåndhævelsesformål. Den kompetente myndighed, som foretog den oprindelige videregivelse, bør have godkendt videregivelsen. [Ændring 38]

(46) Kommissionen kan med virkning for hele Unionen afgøre, at visse tredjelande, et område, en behandlingssektor i et tredjeland eller en international organisation har et tilstrækkeligt databeskyttelsesniveau, og dermed skabe retssikkerhed og ensartethed i hele Unionen, hvad angår tredjelande eller internationale organisationer, der vurderes at have et sådant beskyttelsesniveau. I disse tilfælde kan personoplysninger videregives til disse lande uden krav om yderligere godkendelse.

(47) I overensstemmelse med de grundlæggende værdier, som Unionen er baseret på, navnlig beskyttelsen af menneskerettighederne, bør Kommissionen overveje, hvorvidt det pågældende tredjeland respekterer retsstatsprincippet, adgangen til klage og domstolsprøvelse samt internationale menneskerettighedsstandarder.

(48) Kommissionen bør ligeledes kunne fastslå, at et tredjeland eller et område eller en behandlingssektor i det pågældende tredjeland eller en international organisation ikke har et tilstrækkeligt databeskyttelsesniveau. I så fald bør videregivelsen af personoplysninger til det pågældende tredjeland forbydes, undtagen hvis videregivelsen sker på grundlag af en international aftale, passende beskyttelsesforanstaltninger eller en undtagelse. Der bør fastsættes bestemmelser om høringsprocedurer mellem Kommissionen og de pågældende tredjelande eller internationale organisationer. En sådan kommissionsafgørelse bør imidlertid ikke påvirke muligheden for at videregive oplysninger på grundlag af passende beskyttelsesforanstaltninger ved hjælp af juridisk bindende instrumenter eller på grundlag af en undtagelse, der er fastsat i dette direktiv. [Ændring 39]

(49) Videregivelser af oplysninger, der ikke er baseret på en sådan afgørelse om tilstrækkeligheden af beskyttelsesniveauet, bør kun tillades, hvis der er indført de fornødne garantier i et retligt bindende instrument, der sikrer beskyttelsen af personoplysninger, eller hvis den registeransvarlige eller registerføreren har vurderet samtlige de forhold, der har indflydelse på en videregivelse eller en serie af videregivelser af personoplysninger, og som på grundlag af denne vurdering konkluderer, at de fornødne garantier for beskyttelsen af personoplysninger er til stede. I sager, hvor der ikke findes årsager til at tillade videregivelse af oplysninger, bør der indrømmes undtagelser, hvis det er nødvendigt for at beskytte den registreredes eller en anden persons vitale interesser eller beskytte den registreredes legitime interesser, hvis det er fastsat i lovgivningen i den medlemsstat, der videregiver personoplysninger, eller hvis det er vigtigt for at forebygge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed eller i enkeltsager med henblik på forebyggelse, efterforskning, opdagelse eller retsforfølgning af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner eller i enkeltsager med henblik på at fastslå et retskrav eller gøre det gældende eller forsvare det ved en domstol. [Ændring 40]

(49a) I sager, hvor der ikke findes årsager til at tillade videregivelse af oplysninger, bør der indrømmes undtagelser, hvis det er nødvendigt for at beskytte den registreredes eller en anden persons vitale interesser eller beskytte den registreredes legitime interesser, såfremt der er hjemmel herfor i lovgivningen i den medlemsstat, der videregiver personoplysninger, eller hvis det er vigtigt for at forebygge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed eller, i enkeltsager, med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner eller, i enkeltsager, med henblik på at fastslå et retskrav eller gøre det gældende eller forsvare det ved en domstol. Disse undtagelser bør fortolkes restriktivt og bør ikke give mulighed for hyppig, omfattende og strukturel overførsel af personoplysninger og bør ikke give mulighed for generel dataoverførsel, men begrænses til de data, der er strengt nødvendige. Desuden bør beslutningen om overførsel af personoplysninger træffes af en dertil behørigt bemyndiget person, og overførslen skal dokumenteres og kunne rekvireres af tilsynsmyndigheden, hvis denne anmoder om det, for at give mulighed for at kontrollere overførslens lovlighed. [Ændring 41]

(50) Når personoplysninger overføres på tværs af grænserne, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder og beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig må tilsynsmyndighederne i nogle tilfælde konstatere, at de ikke kan indgive klager eller gennemføre undersøgelser vedrørende aktiviteter uden for deres grænser. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser eller uensartede retlige bestemmelser. Der er derfor et behov for tættere samarbejde mellem databeskyttelsesmyndigheder for at lette udvekslingen af oplysninger i samarbejde med tilsvarende udenlandske organer.

(51) Oprettelsen af tilsynsmyndigheder i medlemsstaterne, som udøver deres hverv i fuld uafhængighed, har afgørende betydning for beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger. Tilsynsmyndighederne bør kontrollere anvendelsen af bestemmelserne i henhold til dette direktiv og bidrage til en ensartet anvendelse i Unionen med det formål at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger. Med henblik herpå bør tilsynsmyndighederne samarbejde med hinanden og med Kommissionen. [Ændring 42]

(52) Medlemsstaterne kan overdrage ansvaret for de opgaver, som skal udføres af de nationale tilsynsmyndigheder, der oprettes i henhold til dette direktiv, til en tilsynsmyndighed, der allerede er oprettet i medlemsstaterne i henhold til forordning (EU) nr. …/2014.

(53) Medlemsstaterne bør have mulighed for at oprette mere end én tilsynsmyndighed for at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. Hver tilsynsmyndighed bør have tilstrækkelige finansielle og menneskelige ressourcer, lokaler og infrastrukturer, herunder teknisk kapacitet, erfaring og færdigheder , til effektivt at udføre deres opgaver, herunder opgaver vedrørende gensidig bistand og samarbejde med andre tilsynsmyndigheder i Unionen. [Ændring 43]

(54) De generelle betingelser for tilsynsmyndighedens medlemmer bør fastsættes ved lov i hver medlemsstat, og det bør navnlig fastsættes, om disse medlemmer udpeges af parlamentet eller regeringen, efter høring af parlamentet , i den pågældende medlemsstat, og der bør ligeledes fastsættes regler om medlemmernes personlige kvalifikationer og stilling. [Ændring 44]

(55) Selv om dette direktiv også gælder for de nationale domstoles aktiviteter, bør der af hensyn til domstolenes uafhængighed, når de udfører deres retslige opgaver, ikke tillægges tilsynsmyndighederne kompetence til at behandle personoplysninger, når domstolene handler som led i deres retspleje. Denne undtagelse bør dog begrænses til egentlige retslige aktiviteter i forbindelse med retssager og ikke gælde for andre aktiviteter, som dommere kan inddrages i efter national lovgivning.

(56) For at sikre en ensartet overvågning og håndhævelse af dette direktiv i hele Unionen bør tilsynsmyndighederne i hver medlemsstat have samme pligter og effektive beføjelser, herunder effektive undersøgelsesbeføjelser, beføjelser til at skaffe sig adgang til alle personoplysninger og alle oplysninger, der er nødvendige for udøvelsen af tilsynsfunktionen, beføjelser til at skaffe sig adgang til den registeransvarliges eller registerførerens lokaler, herunder adgang til oplysninger om databehandlingsudstyr, beføjelser til retligt bindende indgriben og beføjelser til at træffe afgørelser og fastsætte sanktioner, navnlig i tilfælde af klager fra fysiske personer, samt beføjelse til at optræde som part i retssager. [Ændring 45]

(57) Hver tilsynsmyndighed bør behandle klager, der indgives af registrerede, og undersøge sagen. Undersøgelsen af en klage bør gennemføres med forbehold af domstolsprøvelse, i det omfang det er relevant i det konkrete tilfælde. Tilsynsmyndigheden bør underrette den registrerede om gennemførelsen og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede underrettes herom.

(58) Tilsynsmyndighederne bør bistå hinanden i udøvelsen af deres opgaver og yde gensidig bistand med det formål at sikre en ensartet anvendelse og håndhævelse af de bestemmelser, der vedtages til gennemførelse af dette direktiv. Hver tilsynsmyndighed bør være parat til at deltage i fælles operationer. Den tilsynsmyndighed, der modtager anmodningen, bør være forpligtet til at besvare anmodningen inden for en bestemt frist. [Ændring 46]

(59) Det Europæiske Databeskyttelsesråd, der er oprettet ved forordning (EU) nr. …/2012 2014 , bør bidrage til en ensartet anvendelse af dette direktiv i Unionen, herunder ved at rådgive Kommissionen EU-institutioner , fremme samarbejdet mellem tilsynsmyndighederne i Unionen og afgive udtalelser til Kommissionen i forbindelse med udarbejdelsen af delegerede retsakter og gennemførelsesretsakter på grundlag af dette direktiv. [Ændring 47]

(60) Alle registrerede bør have ret til at indgive klage til tilsynsmyndighederne i alle medlemsstater og adgang til domstolsprøvelse, hvis de finder, at deres rettigheder i henhold til dette direktiv er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage eller ikke vil handle, hvis dette er nødvendigt for at beskytte den registreredes rettigheder.

(61) Alle organer, organisationer eller sammenslutninger, der har til formål at beskytte registreredes rettigheder og interesser i forbindelse med beskyttelsen af deres personoplysninger, og som handler i almenhedens interesse, og som er etableret i overensstemmelse med en medlemsstats lovgivning, bør have ret til at indgive klage eller udøve retten til domstolsprøvelse på vegne af den registrerede, hvis denne på behørig vis har givet dem bemyndigelse hertil, eller til uafhængigt af en klage fra den registrerede på egne vegne at indgive klage, hvis de vurderer, at der har fundet et brud på persondatasikkerheden sted. [Ændring 48]

(62) Enhver fysisk eller juridisk person bør have adgang til domstolsprøvelse af afgørelser truffet af en tilsynsmyndighed vedrørende vedkommende. En sag mod en tilsynsmyndighed bør anlægges ved domstolen i den medlemsstat, hvor tilsynsmyndigheden er etableret.

(63) Medlemsstaterne bør sikre, at domstolssager — for at være effektive — kan føre til hurtig vedtagelse af foranstaltninger, der kan afhjælpe eller forhindre en overtrædelse af dette direktiv.

(64) Personer, der lider skade, herunder ikke-økonomisk skade, som følge af en ulovlig behandling, bør kun have ret til erstatning fra den registeransvarlige eller registerføreren, som kun kan fritages for erstatningsansvar, hvis det bevises, at den pågældende ikke er skyld i den forvoldte skade, særlig hvis den pågældende fastslår, at fejlen ligger hos den registrerede, eller i tilfælde af force majeure. [Ændring 49]

(65) Fysiske eller juridiske personer, der overtræder dette direktiv, bør kunne pålægges sanktioner, uanset om de henhører under privat- eller offentligretlig lovgivning. Medlemsstaterne bør sikre, at sanktionerne er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, og skal træffe alle nødvendige foranstaltninger til at gennemføre sanktionerne.

(65a) Videregivelse af personoplysninger til andre myndigheder eller private i Unionen er forbudt, medmindre videregivelsen sker i henhold til lovgivningen, modtageren er hjemmehørende i en medlemsstat, ingen legitime og specifikke interesser hos den registrerede hindrer videregivelsen, og videregivelsen er nødvendig i en specifik sag for den registeransvarlige, enten med henblik på udførelsen af en opgave, som denne har fået pålagt i henhold til lovgivningen, eller for at forebygge en umiddelbar og alvorlig risiko for den offentlige sikkerhed eller for at undgå, at privatpersoners rettigheder lider alvorlig skade. Den registeransvarlige bør underrette modtageren om formålet med behandlingen og tilsynsmyndigheden om videregivelsen. Modtageren bør også underrettes om restriktioner for behandlingen og sikre, at disse overholdes. [Ændring 50]

(66) For at opfylde dette direktivs målsætninger, nemlig at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til beskyttelse af personoplysninger, og sikre fri udveksling af personoplysninger mellem de kompetente myndigheder i Unionen, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om Den Europæiske Unions funktionsmåde. Der bør navnlig vedtages delegerede retsakter med nærmere bestemmelser om anmeldelse for yderligere at fastlægge kriterierne og vilkårene for behandling, som forudsætter en databeskyttelseskonsekvensanalyse , og kriterierne og kravene i forbindelse med brud på persondatasikkerheden til tilsynsmyndigheden samt definere det tilstrækkelige databeskyttelsesniveau, der sikres af et tredjeland, et område eller en behandlingssektor i dette tredjeland eller en international organisation. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau og navnlig med Det Europæiske Databeskyttelsesråd . Kommissionen bør i forbindelse med forberedelsen og udarbejdelsen af delegerede retsakter sørge for samtidig, rettidig og hensigtsmæssig fremsendelse af relevante dokumenter til Europa-Parlamentet og Rådet. [Ændring 51]

(67) For at sikre ensartede betingelser for gennemførelsen af dette direktiv, bør Kommissionen tillægges gennemførelsesbeføjelser for så vidt angår de registeransvarliges og registerførernes dokumentation, behandlingssikkerhed, navnlig med hensyn til de registeransvarliges og registerførernes dokumentation, behandlingssikkerhed, navnlig med hensyn til krypteringsstandarder og anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden og det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland, et territorium eller en behandlingssektor i dette tredjeland eller en international organisation. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (6). [Ændring 52]

(68) Undersøgelsesproceduren bør finde anvendelse i forbindelse med vedtagelse af foranstaltninger om de registeransvarliges og registerførernes dokumentation, behandlingssikkerhed, og anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden og det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland, et område eller en behandlingssektor i dette tredjeland eller en international organisation, idet der er tale om generelle retsakter. [Ændring 53]

(69) I behørigt begrundede tilfælde af særligt hastende karakter, hvor et tredjeland, et område eller en behandlingssektor i det pågældende tredjeland eller en international organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau, bør Kommissionen omgående vedtage gennemførelsesretsakter. [Ændring 54]

(70) Målene for dette direktiv, nemlig at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, herunder navnlig deres ret til beskyttelse af deres personoplysninger og fri udveksling af personoplysninger mellem de kompetente myndigheder i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne alene og kan derfor men kan på grund af foranstaltningens omfang eller virkninger bedre nås på EU-plan. Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke ud over, hvad der er nødvendigt for at nå dette disse mål. Medlemsstaterne kan indføre højere standarder end dem, der er indeholdt i dette direktiv. [Ændring 55]

(71) Rammeafgørelse 2008/977/RIA bør ophæves ved dette direktiv.

(72) Specifikke bestemmelser om de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner, der forekommer i EU-retsakter, som er vedtaget før vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater og medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, bør finde uændret anvendelse. Eftersom artikel 8 i chartret og artikel 16 i TEUF indebærer, at den grundlæggende ret til beskyttelse af personoplysninger bør sikres på en konsekvent og ensartet måde i hele Unionen, bør Kommissionen senest to år efter dette direktivs ikrafttræden se nærmere på sammenhængen mellem direktivet og retsakter, der er vedtaget før vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater eller medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, med det formål at vurdere, om der er behov for at tilpasse disse specifikke bestemmelser til direktivet og bør fremsætte hensigtsmæssige forslag med henblik på at sikre konsekvente og ensartede retlige bestemmelser vedrørende kompetente myndigheders beskyttelse af personoplysninger eller medlemsstaternes udpegede myndigheders adgang til informationssystemer, der er indført i henhold til traktaterne, samt EU-institutioners, -kontorers og -agenturers behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner for overtrædelser af lovgivningen inden for dette direktivs anvendelsesområde. [Ændring 56]

(73) For at sikre en overordnet og sammenhængende beskyttelse af personoplysninger i Unionen, bør internationale aftaler, som Unionen eller medlemsstaterne indgår inden dette direktivs ikrafttræden, ændres i overensstemmelse med dette direktiv. [Ændring 57]

(74) Dette direktiv påvirker ikke bestemmelserne om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi i Europa-Parlamentets og Rådets direktiv 2011/93/EU (7).

(75) I medfør af artikel 6a i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling, for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til traktaten om Den Europæiske Union og traktaten om Den Europæiske Unions funktionsmåde, vil Det Forenede Kongerige og Irland ikke være bundet af regler fastsat i dette direktiv, når Det Forenede Kongerige og Irland ikke er bundet af reglerne vedrørende de former for retligt samarbejde i straffesager eller politisamarbejde, der kræver overholdelse af de bestemmelser, der er fastsat på grundlag af artikel 16 i traktaten om Den Europæiske Unions funktionsmåde.

(76) I medfør af artikel 2 og 2a i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, er dette direktiv ikke bindende for og finder derfor ikke anvendelse i Danmark. Da dette direktiv udbygger Schengenreglerne efter bestemmelserne i tredje del, afsnit V, i traktaten om Den Europæiske Unions funktionsmåde, skal Danmark i henhold til artikel 4 i protokollen om Danmarks stilling træffe afgørelse om, hvorvidt det vil gennemføre direktivet i sin nationale lovgivning, inden seks måneder efter direktivets vedtagelse. [Ændring 58]

(77) For så vidt angår Island og Norge udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (8).

(78) For så vidt angår Schweiz udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (9).

(79) For så vidt angår Liechtenstein udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om dette lands associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (10).

(80) I dette direktiv overholdes de grundlæggende rettigheder og principper, der anerkendes i chartret som forankret i traktaten, navnlig retten til respekt for privatliv og familieliv, retten til beskyttelse af personoplysninger og adgang til effektive retsmidler og til en upartisk domstol. I overensstemmelse med chartrets artikel 52, stk. 1, kan der indføres begrænsninger i udøvelsen af disse rettigheder, såfremt de er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder.

(81) I den fælles politiske erklæring af 28. september 2011 fra medlemsstaterne og Kommissionen om forklarende dokumenter (11) har medlemsstaterne forpligtet sig til i begrundede tilfælde at lade meddelelsen af gennemførelsesforanstaltninger ledsage af et eller flere dokumenter, der forklarer forholdet mellem et direktivs bestanddele og de tilsvarende dele i de nationale gennemførelsesinstrumenter. Lovgiver finder fremsendelse af sådanne dokumenter velbegrundet i forbindelse med dette direktiv.

(82) Dette direktiv bør ikke forhindre medlemsstaterne i at gennemføre bestemmelserne om udøvelsen af registreredes ret til information, retten til indsigt i og berigtigelse, sletning og begrænsning af de personoplysninger, som behandles under en straffesag, samt mulige begrænsninger heraf i deres nationale strafferetspleje –

VEDTAGET DETTE DIREKTIV:

KAPITEL I

GENERELLE BESTEMMELSER

Artikel 1

Genstand og formål

1. I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller og fuldbyrde strafferetlige sanktioner samt regler vedrørende fri udveksling af sådanne personoplysninger.

2. Medlemsstaterne sikrer i overensstemmelse med dette direktiv:

a) at fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til beskyttelse af deres personoplysninger og beskyttelse af privatlivets fred , beskyttes og

b) at udvekslingen af personoplysninger mellem de kompetente myndigheder i EU Unionen ikke indskrænkes eller forbydes af grunde, der vedrører beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger.

2a. Dette direktiv forhindrer ikke medlemsstaterne i at fastsætte højere standarder end dem der er indeholdt i dette direktiv. [Ændring 59]

Artikel 2

Anvendelsesområde

1. Dette direktiv finder anvendelse på de kompetente myndigheders behandling af personoplysninger til de formål, der er nævnt i artikel 1, stk. 1.

2. Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages automatisk, samt på anden behandling end automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

3. Dette direktiv gælder ikke for behandling af personoplysninger:

a) som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af EU-retten, navnlig for så vidt angår national sikkerhed

b) som foretages af EU-institutioner, -organer, -kontorer og -agenturer. [Ændring 60]

Artikel 3

Definitioner

I dette direktiv forstås ved:

1) »registreret«: en identificeret fysisk person eller en fysisk person, der direkte eller indirekte kan identificeres med hjælpemidler, som med rimelighed kan tænkes bragt i anvendelse enten af den registeransvarlige eller af enhver anden fysisk eller juridisk person, bl.a. ved et id-nummer, lokaliseringsdata, online-id, eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

2) »personoplysninger«: enhver form for information om en registreret fysisk person, der er eller kan identificeres (»den registrerede«); en person, der kan identificeres, er en person som direkte eller indirekte kan identificeres, navnlig på grundlag af en identifikator som f.eks. navn, identifikationsnummer, bopæl, en entydig identifikator eller en eller flere faktorer, der vedrører den pågældende persons fysiske, psykologiske, genetiske, mentale, økonomiske, kulturelle, sociale eller kønsmæssige identitet;

2a) »pseudonyme oplysninger« personoplysninger, som ikke kan tilskrives en bestemt registreret uden anvendelse af yderligere oplysninger, så længe sådanne yderligere oplysninger holdes særskilt og er underlagt tekniske og organisatoriske foranstaltninger, som forhindrer sammenkøring.

3) »behandling«: enhver operation eller række af operationer — med eller uden brug af automatiseret databehandling — som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt begrænsning, sletning eller tilintetgørelse

3a) »profilering«: enhver form for automatisk behandling af personlige oplysninger, der har til formål at vurdere bestemte personlige forhold vedrørende en fysisk person eller analysere eller forudsige navnlig den fysiske persons erhvervsevne, økonomiske omstændigheder, lokalitet, sundhed, personlige præferencer, pålidelighed eller adfærd

4) »begrænsning af behandling«: markering af opbevarede personoplysninger med den hensigt at begrænse den fremtidige behandling af disse oplysninger

5) »register«: enhver struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier, hvad enten denne samling er placeret centralt, decentralt eller er fordelt på et funktionsbestemt eller geografisk grundlag

6) »registeransvarlig«: den kompetente offentlige myndighed, der alene eller sammen med andre afgør, til hvilke formål, på hvilke betingelser og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene, betingelserne og hjælpemidlerne til behandlingen er fastlagt i EU-retten eller medlemsstatens lovgivning, kan bestemmelserne om den registeransvarlige eller de specifikke kriterier for udpegning af denne være fastsat i EU-retten eller medlemsstatens lovgivning

7) »registerfører«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller ethvert andet organ, der behandler personoplysninger på den registeransvarliges vegne

8) »modtager«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller ethvert andet organ, som personoplysninger videregives til

9) »brud på persondatasikkerheden«: brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet udbredelse af eller indsigt i personoplysninger, der er videregivet, lagret eller på anden måde behandlet

10) »genetiske data«: alle data af enhver type vedrørende en fysisk persons karakteristika, som er nedarvede eller formet under den tidlige prænatale udvikling

11) »biometriske data«: alle data personoplysninger vedrørende en fysisk persons fysiske, fysiologiske eller adfærdsmæssige karakteristika, der gør det muligt entydigt at identificere vedkommende, f.eks. ansigtsbillede eller fingeraftryksoplysninger

12) »helbredsoplysninger«: enhver oplysning personoplysning , der vedrører en persons fysiske eller mentale helbred eller levering af sundhedsydelser til vedkommende

13) »barn«: en person under atten år

14) »kompetente myndigheder«: enhver offentlig myndighed med ansvar for at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner

15) »tilsynsmyndighed«: en offentlig myndighed, der er etableret i en medlemsstat i overensstemmelse med artikel 39. [Ændring 61]

KAPITEL II

PRINCIPPER

Artikel 4

Principper for behandling af personoplysninger

Medlemsstaterne fastsætter bestemmelser om, at personoplysninger:

a) skal behandles loyalt og lovligt , loyalt og på en åben og kontrollerbar måde i forhold til den registrerede

b) skal indsamles til udtrykkeligt angivne og legitime formål og ikke behandles yderligere på en måde, der er uforenelige med disse formål

c) skal være tilstrækkelige, relevante og begrænset til det nødvendige minimum ikke for omfattende i forhold til de formål, hvortil de behandles; personoplysninger skal kun behandles, hvis og så længe disse formål ikke kan opfyldes ved at behandle oplysninger, der ikke omfatter personoplysninger

d) skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, omgående slettes eller berigtiges

e) skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne behandles

f) skal behandles under den registeransvarliges ansvar, og denne skal sikre og kunne påvise overholdelsen af de bestemmelser, der vedtages til gennemførelse af dette direktiv

fa) skal behandles på en måde, som giver den registrerede reel mulighed for at udøve sine rettigheder i henhold til artikel 10-17

fb) skal behandles på en måde, som beskytter mod ikke-godkendt eller ulovlig behandling og mod hændelig tab, ødelæggelse eller beskadigelse under anvendelse af hensigtsmæssig tekniske og organisatoriske foranstaltninger

fc) kun må behandles af behørigt bemyndigede medarbejdere i de kompetente myndigheder, som har brug for dem for at kunne varetage deres opgaver. [Ændring 62]

Artikel 4a

Adgang til data, der oprindeligt er behandlet med andre formål end de i artikel 1, stk. 1, anførte

1. Medlemsstaterne fastsætter bestemmelser om, at de kompetente myndigheder kun kan få adgang til personoplysninger, der oprindeligt er blevet behandlet til andre end de i artikel 1, stk. 1, anførte formål, hvis de har specifik tilladelse til dette i henhold til EU-retten eller den nationale lovgivning, som skal opfylde kravene i artikel 7, stk. 1a, og sikre, at:

a) der kun gives adgang for behørigt bemyndiget personale fra de kompetente myndigheder ved udførelsen af deres opgaver, når der i specifikke tilfælde findes rimelig grund til at tro, at behandlingen af personoplysningerne vil bidrage betydeligt til at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner

b) anmodninger om adgang skal være skriftlige, og der skal angives en juridisk begrundelse for anmodningen

c) den skriftlige anmodning skal være dokumenteret, og

d) der skal indføres hensigtsmæssige sikkerhedsforanstaltninger for at sikre beskyttelsen af grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af personoplysninger. Disse sikkerhedsforanstaltninger indføres med forbehold af og som et supplement til de specifikke betingelser for adgangen til personoplysninger såsom den retlige godkendelse i overensstemmelse med den nationale lovgivning.

2. Der skal kun være adgang til personoplysninger, som indehaves af private enheder eller andre offentlige myndigheder, for at efterforske eller retsforfølge straffelovsovertrædelser i overensstemmelse med behovs- og forholdsmæssighedskrav, som skal fastsættes ved EU-ret eller medlemsstatslovgivning i overensstemmelse med artikel 7a. [Ændring 63]

Artikel 4b

Tidsbegrænsning på opbevaring og revision

1. Medlemsstaterne fastsætter bestemmelser om, at de kompetente myndigheder skal slette personoplysninger, der behandles i henhold til dette direktiv, når de ikke længere er nødvendige for de formål, hvormed de blev behandlet.

2. Medlemsstaterne fastsætter bestemmelser om, at de kompetente myndigheder skal indføre mekanismer til sikring af, at der indføres tidsfrister for sletningen af personoplysninger og for periodisk revision af behovet for opbevaring af data, herunder faste opbevaringsperioder for de forskellige kategorier af personoplysninger. Der skal indføres proceduremæssige foranstaltninger for at sikre overholdelsen af denne tidsbegrænsning eller intervallerne mellem de periodiske revisioner. [Ændring 64]

Artikel 5

Sondring mellem Forskellige kategorier af registrerede

1. Medlemsstaterne fastsætter bestemmelser om, at de kompetente myndigheder til dei artikel 1, stk. 1, anførte formål kan behandle personoplysninger om følgende forskellige kategorier af registrerede og den registeransvarlige i videst muligt omfang skal sondre klart mellem personoplysninger vedrørende forskellige mellem disse kategorier af personer så som:

a) personer, om hvem der med rimelighed er alvorlig grund til at tro, at de har begået eller vil begå en straffelovsovertrædelse forbrydelse

b) personer, der er dømt for en straffelovsovertrædelse

c) ofre for en straffelovsovertrædelse, eller om hvem visse kendsgerninger giver anledning til at tro, at de kan blive offer for en straffelovsovertrædelse , og

d) berørte tredjeparter, herunder personer, der kunne blive indkaldt som vidner i forbindelse med efterforskninger af strafbare handlinger eller i efterfølgende straffesager, eller en person, der kan tilvejebringe oplysninger om straffelovsovertrædelser, eller en kontaktperson eller associeret til en af de i litra a) og b) nævnte personer og.

e) personer, der ikke falder under nogen af ovennævnte kategorier.

2. Personoplysninger for andre registrerede end de i stk. 1 onmhandlede må kun behandles:

a) så længe det er nødvendigt til efterforskningen og retsforfølgningen af en specifik straffelovsovertrædelse med henblik på at vurdere relevansen af oplysningerne for en af de kategorier, der er angivet i stk. 1, eller

b) når en sådan behandling er nødvendig til målrettede, forebyggende formål eller med henblik på strafferetlige analyser, hvis og så længe som dette formål er legitimt, veldefineret og specifikt, og behandlingen udelukkende er begrænset til at vurdere relevansen af oplysningerne for en af de kategorier, der er angivet i stk. 1. Dette er underlagt regelmæssig revision mindst hver sjette måned. Al yderligere anvendelse er forbudt.

3. Medlemsstaterne fastsætter bestemmelser om, at yderligere begrænsninger og sikkerhedsforanstaltninger i henhold til national lovgivning finder anvendelse på den yderligere behandling af personoplysninger om de registrerede, der er omhandlet i stk. 1, litra c) og d). [Ændring 65]

Artikel 6

Forskellige grader af personoplysningers nøjagtighed og pålidelighed

1. Medlemsstaterne sikrer, at der i videst muligt omfang sondres mellem de forskellige kategorier af oplysninger fastsætter bestemmelser til sikring af, at personoplysninger , der er genstand for behandling, ud fra i hvor høj grad disse er korrekte og pålidelige.

2. Medlemsstaterne sikrer, at der så vidt muligt sondres mellem personoplysninger, der bygger på kendsgerninger, og personoplysninger, der bygger på personlige vurderinger i overensstemmelse med graden af deres korrekthed og pålidelighed .

2a. Medlemsstaterne sikrer, at personoplysninger, som er urigtige, ufuldstændige eller ikke længere aktuelle, ikke bliver videregivet eller stillet til rådighed. Med henblik herpå kontrollerer de kompetente myndigheder kvaliteten af personoplysninger, før disse videregives eller stilles til rådighed. I forbindelse med al videregivelse af oplysninger skal der desuden så vidt muligt stilles oplysninger til rådighed, hvormed det bliver muligt for den modtagende medlemsstat at vurdere, i hvor høj grad oplysningerne er korrekte, fuldstændige og pålidelige, og i hvilket omfang de er ajourførte. Personoplysninger må ikke videregives, uden at der foreligger anmodning fra en kompetent myndighed, særlig ikke oplysninger, som oprindeligt hidrører fra private instanser.

2b. Hvis det konstateres, at der er videregivet urigtige oplysninger, eller at oplysningerne er videregivet ulovligt, meddeles dette straks modtageren. Modtageren er forpligtet til straks at rette oplysningerne i henhold til stk. 1 og artikel 15 eller at slette dem i henhold til artikel 16. [Ændring 66]

Artikel 7

Lovlig behandling af personoplysninger

1. Medlemsstaterne fastsætter bestemmelser om, at en behandling af personoplysninger kun er lovlig, hvis og i det omfang denne behandling finder sted i henhold til EU-retten eller den nationale lovgivning med de i artikel 1, stk. 1, nævnte formål.

a) for at en kompetent myndighed kan udføre en specifik opgave med de i artikel 1, stk. 1, nævnte formål eller

b) for at overholde en retlig forpligtelse, som den registeransvarlige er pålagt

c) for at beskytte den registreredes eller en anden persons vitale interesser

d) for at forebygge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed.

1a. Den nationale lovgivning om behandling af personoplysninger i henhold til dette direktivs anvendelsesområde skal indeholde udtrykkelige og detaljerede bestemmelser, hvori følgende angives som minimum

a) formålet med behandlingen

b) de personoplysninger, der skal behandles

c) behandlingens specifikke formål og hjælpemidler

d) udpegelsen af den registeransvarlige eller de specifikke kriterier for udpegelsen af den registeransvarlige

e) kategorierne for de kompetente myndigheders behørigt bemyndigede personale til behandling af personoplysninger

f) proceduren for behandlingen

g) hvad de indsamlede personoplysninger kan anvendes til

h) begrænsninger af omfanget af enhver beføjelse, som overdrages til de kompetente myndigheder i forbindelse med behandlingsaktiviteterne. [Ændring 67]

Artikel 7a

Yderligere behandling af oplysninger til formål, der er uforenelige

1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger kun må behandles yderligere til andre formål end de i artikel 1, stk. 1, fastsatte, som ikke er forenelige med de formål, som dataene oprindeligt blev indsamlet til, hvis og i den udstrækning

a) det er absolut nødvendigt og forholdsmæssigt i et demokratisk samfund og sker i henhold til EU-retten eller medlemsstaternes lovgivning med et legitimt, veldefineret og specifikt formål

b) behandlingen er strengt begrænset til en periode, der ikke må overskride den tid, som er nødvendig til den specifikke databehandlingsoperation

c) andre former for anvendelse til andre formål er forbudt

Forud for enhver behandling rådfører medlemsstaten sig med den kompetente nationale tilsynsmyndighed og udfører en konsekvensanalyse vedrørende databeskyttelse.

2. Ud over kravene i artikel 7, stk. 1a, skal national lovgivning, der tillader yderligere behandling, jf. stk. 1, indeholde udtrykkelige og detaljerede bestemmelser, hvori følgende angives som minimum:

a) den pågældende behandlings specifikke formål og hjælpemidler

b) at der kun gives adgang for behørigt bemyndiget personale fra de kompetente myndigheder ved udførelsen af deres opgaver, når der i specifikke tilfælde findes rimelig grund til at tro, at behandlingen af personoplysningerne vil bidrage betydeligt til at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og

c) at der indføres hensigtsmæssige sikkerhedsforanstaltninger for at sikre beskyttelsen af grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af personoplysninger.

Medlemsstaterne kan kræve, at adgangen til disse personoplysninger er underlagt yderligere betingelser såsom en retlig godkendelse i overensstemmelse med deres nationale lovgivning.

3. Medlemsstaterne kan også tillade yderligere behandling til historiske, statistiske eller videnskabelige formål på den betingelse, at de indfører hensigtsmæssige sikkerhedsforanstaltninger, f.eks. anonymisering af data. [Ændring 68]

Artikel 8

Behandling af særlige kategorier af personoplysninger

1. Medlemsstaterne forbyder behandling af personoplysninger, der viser racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, seksuel orientering eller kønsidentitet og fagforeningsmæssige tilhørsforhold og aktiviteter samt genetiske data behandlingen af biometriske oplysninger, helbredsoplysninger og oplysninger om seksuelle forhold.

2. Stk. 1 finder ikke anvendelse, hvis:

a) behandlingen er tilladt i henhold til lovgivningen, som fastlægger de fornødne garantier absolut nødvendig af hensyn til de kompetente myndigheders udførelse af en opgave med det i artikel 1, stk. 1, fastsatte formål på grundlag af EU-lovgivningen eller den nationale lovgivning, som fastsætter specifikke og tilstrækkelige foranstaltninger til beskyttelse af den registreredes legitime interesser, herunder specifik tilladelse fra en retlig myndighed, hvis dette er et krav i henhold til den nationale lovgivning eller

b) behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser

c) behandlingen vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede , så længe de er relevante og strengt nødvendige i forhold til det pågældende formål. [Ændring 69]

Artikel 8a

Behandling af genetiske oplysninger i forbindelse med en strafferetlig efterforskning eller en retssag

1. Medlemsstaterne sikrer, at genetiske oplysninger kun må anvendes til at fastslå en genetisk forbindelse med henblik på at fremskaffe beviser, forhindre en trussel mod den offentlige sikkerhed eller forhindre en specifik strafbar handling. Genetiske oplysninger må ikke anvendes til at fastslå andre kendetegn, som kan være genetisk forbundne.

2. Medlemsstaterne fastsætter bestemmelser om, at genetiske oplysninger eller oplysninger, der kan udledes af analysen af disse oplysninger, kun må opbevares, så længe det er nødvendigt for de formål, hvormed de pågældende oplysninger er behandlet, og når den pågældende person er blevet dømt for alvorlige lovovertrædelser mod personers liv, integritet eller sikkerhed i henhold til nøje afgrænsede opbevaringsperioder, som fastsættes i den nationale lovgivning.

3. Medlemsstaterne sikrer, at genetiske oplysninger eller oplysninger, der udledes af analysen af disse oplysninger, kun opbevares i længere perioder, når de genetiske oplysninger ikke kan knyttes til en person, især når de er fundet på et gerningssted. [Ændring 70]

Artikel 9

Foranstaltninger baseret på profilering og automatisk behandling

1. Medlemsstaterne fastsætter bestemmelser om, at foranstaltninger, der har negative retlige virkninger for den registrerede eller påvirker vedkommende i væsentlig grad, og som udelukkende helt eller delvist er baseret på automatisk behandling af personoplysninger med henblik på vurdering af visse individuelle aspekter vedrørende den registreredes person, skal forbydes, medmindre de er tilladt ved en lov, som også indeholder bestemmelser til beskyttelse af den registreredes legitime interesser.

2. Automatisk behandling af personoplysninger, der har til formål at vurdere bestemte personlige forhold vedrørende den registrerede, må ikke alene baseres på de særlige kategorier af personoplysninger, der er nævnt i artikel 8.

2a. Automatisk behandling af personoplysninger, der har til formål at udpege en registreret uden oprindelig mistanke om, at den registrerede kan have begået eller vil begå en straffelovsovertrædelse, er kun tilladt, hvis og i det omfang, at det er strengt nødvendigt for efterforskningen af en alvorlig lovovertrædelse eller med grundlag i faktiske holdepunkter forebyggelsen af en tydelig og umiddelbar fare for den offentlige sikkerhed, statens eksistens eller personers liv.

2b. Profilering, der tilsigtet eller utilsigtet indebærer forkelsbehandling af personer på grund af race eller etnisk oprindelse, politisk overbevisning, religion eller tro, fagforeningsmæssigt tilhørsforhold, køn eller seksuel orientering, eller som tilsigtet eller utilsigtet fører til foranstaltninger, der har en sådan virkning, er altid ulovlig. [Ændring 71]

Artikel 9a

Generelle principper for registreredes rettigheder

1. Medlemsstaterne sikrer, at grundlaget for databeskyttelsen er klart med veldefinerede rettigheder for den registrerede, som skal overholdes af den registeransvarlige. Bestemmelserne i dette direktiv tilsigter at styrke, afklare, sikre og i givet fald kodificere disse rettigheder.

2. Medlemsstaterne sikrer, at disse rettigheder bl.a. omfatter fremlæggelsen af klare og letforståelige oplysninger om behandlingen af vedkommendes personoplysninger, retten til indsigt, rettelse og sletning af vedkommendes oplysninger, retten til at indhente oplysninger, retten til at indgive en klage til den kompetente databeskyttelsesmyndighed og til at lægge sag an samt retten til kompensation og erstatning i tilfælde af ulovlig behandling. Sådanne rettigheder skal normalt kunne udøves gratis. Den registeransvarlige skal besvare henvendelser fra den registrerede inden for en rimelig frist. [Ændring 72]

KAPITEL III

DEN REGISTREREDES RETTIGHEDER

Artikel 10

Nærmere bestemmelser om udøvelsen af den registreredes rettigheder

1. Medlemsstaterne sørger for, at den registeransvarlige træffer alle rimelige foranstaltninger for at fastsætte har præcise, gennemsigtige , klare og lettilgængelige regler for behandlingen af personoplysninger og udøvelsen af registreredes rettigheder.

2. Medlemsstaterne sørger for, at den registeransvarlige udleverer alle oplysninger og meddelelser vedrørende behandlingen af personoplysninger til den registrerede i en letforståelig form og i et klart og forståeligt sprog , navnlig når disse oplysninger specifikt er rettet mod et barn .

3. Medlemsstaterne sørger for, at den registeransvarlige træffer alle rimelige foranstaltninger for at fastlægge fastlægger procedurer for udlevering af de oplysninger, der er omhandlet i artikel 11, og for udøvelsen af de registreredes rettigheder som omhandlet i artikel 12-17. Når personoplysninger behandles automatisk, skal den registeransvarlige ligeledes give mulighed for elektronisk behandling af anmodninger.

4. Medlemsstaterne sikrer, at den registeransvarlige informerer den registrerede om, hvordan dennes anmodning følges op uden unødig forsinkelse og under alle omstændigheder senest en måned efter modtagelsen af anmodningen. Denne meddelelse gives skriftligt. Hvis den registrerede indgiver anmodningen elektronisk, gives meddelelsen elektronisk .

5. Medlemsstaterne fastsætter bestemmelser om, at informeringen og foranstaltninger, som den registeransvarlige træffer efter anmodning, jf. stk. 3 og 4, er gratis. Hvis anmodninger er usaglige tydeligt overdrevne , bl.a. fordi de gentages, kan den registeransvarlige opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger for fremsendelse af meddelelsen eller iværksættelse af den ønskede handling I det tilfælde bærer den registeransvarlige ansvaret for at bevise, at anmodningen er usaglig tydeligt overdreven .

5a. Medlemsstaterne kan fastsætte bestemmelser om, at den registrerede kan udøve sine rettigheder direkte over for den registeransvarlige eller med den kompetente nationale tilsynsmyndighed som mellemmand. Såfremt tilsynsmyndigheden har reageret på den registreredes anmodning, orienterer tilsynsmyndigheden den registrerede om den kontrol, der er foretaget. [Ændring 73]

Artikel 11

Information til den registrerede

1. Medlemsstaterne sikrer, at den registeransvarlige ved indsamling af personoplysninger om den registrerede træffer alle nødvendige foranstaltninger for at sikre, at den registeransvarlige modtager mindst følgende oplysninger:

a) identitet og kontaktoplysninger for den registeransvarlige og for den databeskyttelsesansvarlige

b) retsgrundlaget og formålene med den behandling, hvortil oplysningerne er bestemt

c) det tidsrum, hvori personoplysningerne opbevares

d) retten til at anmode den registeransvarlige om indsigt i og berigtigelse eller sletning af personoplysninger vedrørende den registrerede eller begrænsning af behandlingen heraf

e) retten til at indgive klage til den tilsynsmyndighed, der er omhandlet i artikel 39, og kontaktoplysninger til tilsynsmyndigheden

f) modtagerne eller kategorierne af modtagere af personoplysningerne, herunder i tredjelande eller internationale organisationer , som er bemyndiget til at få adgang til disse oplysninger i henhold til det pågældende tredjelands lovgivning eller til bestemmelserne for den pågældende internationale organisation, den eventuelle eksistens af en afgørelse om kriteriernes tilstrækkelighed eller i tilfælde af overførsler som omhandlet i artikel 35 eller 36 muligheden for at opnå en kopi at de sikkerhedsforanstaltninger, der anvendes i forbindelse med overførslen

fa) hvis den registeransvarlige behandler personoplysninger i henhold til artikel 9, stk. 1, oplysninger om, at der finder behandling sted med henblik på en foranstaltning af den art, der er omhandlet i artikel 9, stk. 1, og de tilsigtede konsekvenser af denne behandling for den registrerede samt om den logik, der anvendes i forbindelse med profileringen samt om retten til at få foretaget en menneskelig vurdering

fb) oplysninger om sikkerhedsforanstaltninger, der træffes for at beskytte personoplysninger

g) yderligere information, for så vidt denne information er nødvendig under hensyn til de særlige forhold, hvorunder personoplysningerne behandles, for at garantere en retfærdig behandling af den registrerede.

2. Hvis personoplysningerne indsamles fra den registrerede, meddeler den registeransvarlige i tillæg til de i stk. 1 omhandlede oplysninger den registrerede, hvorvidt indgivelsen af personoplysninger er obligatorisk eller frivillig, og de mulige konsekvenser, hvis sådanne oplysninger ikke indgives.

3. Den registeransvarlige fremlægger de oplysninger, der er omhandlet i stk. 1:

a) på det tidspunkt, hvor personoplysningerne indhentes fra den registrerede, eller

b) såfremt personoplysningerne ikke indsamles fra den registrerede, på tidspunktet for registreringen eller inden for et rimeligt tidsrum efter indsamlingen afhængigt af de konkrete omstændigheder for behandlingen af oplysningerne.

4. Medlemsstaterne kan træffe lovgivningsmæssige foranstaltninger, der udsætter eller begrænser informeringen af de registrerede eller deres ret til indsigt i oplysningerne, i en bestemt sag i det omfang en sådan delvis eller fuldstændig begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til de pågældendes grundlæggende rettigheder og legitime interesser:

a) for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer

b) for at undgå, at forebyggelsen, opdagelsen, efterforskningen og retsforfølgningen af strafbare handlinger skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner

c) for at beskytte den offentlige sikkerhed

d) for at beskytte den nationale sikkerhed

e) for at beskytte andres rettigheder og friheder.

5. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige i de enkelte tilfælde gennem en konkret og individuel undersøgelse bør vurdere, hvorvidt en delvis eller fuldstændig begrænsning af en af de i stk. 4 anførte årsager finder anvendelse. Medlemsstaterne kan ligeledes ved lov fastsætte de kategorier af databehandling, der helt eller delvis er omfattet af undtagelserne i stk. 4, litra a), b), c) og d). [Ændring 74]

Artikel 12

Den registreredes ret til indsigt

1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede har ret til fra den registeransvarlige at få bekræftet, om personoplysninger vedrørende vedkommende behandles. Hvis sådanne personoplysninger behandles, fremlægger den registeransvarlige følgende oplysninger , hvis det ikke allerede er sket :

-a) hvilke personoplysninger der er omfattet af behandlingen, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer, og i givet fald, letforståelige oplysninger om, hvad der ligger til grund for behandlingen af oplysningerne

-aa) betydningen og de forventede konsekvenser af denne behandling, i det mindste hvad angår de foranstaltninger, der er omhandlet i artikel 9

a) formålene med og retsgrundlaget for behandlingen

b) de pågældende kategorier af personoplysninger

c) de modtagere eller kategorier af modtagere, som personoplysningerne er blevet videregivet til, navnlig modtagere i tredjelande

d) det tidsrum, hvori personoplysningerne opbevares

e) retten til at anmode den registeransvarlige om at få berigtiget, eller slettet personoplysninger om den registrerede eller begrænset behandlingen heraf

f) retten til at indgive en klage til tilsynsmyndigheden og kontaktoplysningerne for tilsynsmyndigheden.

g) hvilke personoplysninger der er omfattet af behandlingen, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer

2. Medlemsstaterne fastsætter bestemmelser om, at den registrerede har ret til fra den registeransvarlige at modtage en kopi af de personoplysninger, der er genstand for behandling. Hvis den registrerede indgiver anmodningen elektronisk, gives meddelelsen elektronisk, medmindre den registrerede anmoder om andet. [Ændring 75]

Artikel 13

Begrænsninger af retten til indsigt

1. Medlemsstaterne kan træffe lovgivningsmæssige foranstaltninger, der helt eller delvis begrænser eller udsætter den registreredes ret til indsigt i det enkelte tilfælde, i det omfang og i det tidsrum en sådan delvis eller fuldstændig begrænsning er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under hensyn til den pågældendes grundlæggende rettigheder og legitime interesser:

a) for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer

b) for at undgå, at forebyggelsen, opdagelsen, efterforskningen og retsforfølgningen af straffelovsovertrædelser skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner

c) for at beskytte den offentlige sikkerhed

d) for at beskytte den nationale sikkerhed

e) for at beskytte andres rettigheder og friheder.

2. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige i de enkelte tilfælde gennem en konkret og individuel undersøgelse vurderer, hvorvidt en delvis eller fuldstændig begrænsning af en af de i stk. 1 anførte årsager finder anvendelse. Medlemsstaterne kan ligeledes ved lov fastsætte de kategorier af databehandling, der helt eller delvis er omfattet af undtagelserne i stk. 1 , litra a)-d) .

3. I de i stk. 1 og 2 omhandlede tilfælde fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige straks skal give den registrerede skriftlig meddelelse om ethvert afslag på at få indsigt i personoplysninger eller begrænsning af indsigten, årsagerne hertil begrundelsen herfor og om mulighederne for at indgive klage til tilsynsmyndigheden og indbringe sagen for en retsinstans. Oplysningerne om de faktiske eller retlige grunde, som afgørelsen hviler på, kan udelades, hvis sådanne oplysninger vil være til skade for et af formålene i stk. 1.

4. Medlemsstaterne sikrer, at den registeransvarlige dokumenterer vurderingen, jf. stk. 2, samt begrundelsen for at udelade begrænse oplysningerne om de faktiske eller retlige grunde, som afgørelsen hviler på. Disse oplysninger stilles til rådighed for de nationale tilsynsmyndigheder. [Ændring 76]

Artikel 14

Nærmere bestemmelser om udøvelsen af retten til indsigt

1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede til enhver tid , navnlig i de i artikel 12 og 13 omhandlede tilfælde, har ret til at anmode tilsynsmyndigheden om at kontrollere, om behandlingen er lovlig.

2. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal underrette den registrerede om retten til at anmode tilsynsmyndigheden om at gribe ind, jf. stk. 1.

3. Hvis den i stk. 1 omhandlede ret udøves, underretter den pågældende tilsynsmyndighed som minimum den registrerede om, at alle tilsynsmyndighedens nødvendige kontroller er foretaget, og om hvorvidt den pågældende behandling er lovlig. Tilsynsmyndigheden oplyser også den registrerede om dennes ret til domstolsprøvelse.

3a. Medlemsstaterne kan fastsætte bestemmelser om, at den registrerede kan udøve sine rettigheder direkte over for den registeransvarlige eller med den kompetente nationale tilsynsmyndighed som mellemmand.

3b. Medlemsstaterne sikrer, at den registeransvarlige har en rimelig tidsfrist for at besvare anmodninger fra den registrerede, når vedkommende udøver sin ret til indsigt. [Ændring 77]

Artikel 15

Ret til berigtigelse og komplettering

1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede kan kræve, at den registeransvarlige berigtiger eller komplettere urigtige ufuldstændige personoplysninger vedrørende den registrerede, bl.a. ved at kræve en tilføjelse eller berigtigelse

2. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal give den registrerede skriftlig meddelelse om begrundelse for ethvert afslag på berigtigelse om eller komplettering med angivelse af årsagerne til afslaget og mulighederne for at indgive klage til tilsynsmyndigheden og indbringe sagen for en retsinstans.

2a. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal meddele enhver berigtigelse, der er udført, til hver modtager, som oplysningerne er videregivet til, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt

2b. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige meddeler berigtigelse af ukorrekte personoplysninger til den tredjepart, som de urigtige oplysninger stammer fra.

2c. Medlemsstaterne fastsætter bestemmelser om, at den registrerede også kan udøve sine rettigheder med den kompetente nationale tilsynsmyndighed som mellemmand. [Ændring 78]

Artikel 16

Ret til sletning

1. Medlemsstaterne fastsætter bestemmelser om, at den registrerede kan kræve, at den registeransvarlige sletter personoplysninger vedrørende den registrerede, hvis behandlingen ikke er i overensstemmelse med de bestemmelser, der er vedtaget i medfør af artikel 4, litra a) — e), samt artikel 6 og artikel 7-8 i direktivet.

2. Den registeransvarlige foretager omgående sletningen. Den registeransvarlige skal også afstå fra yderligere udbredelse af sådanne oplysninger.

3. I stedet for sletning begrænser den registeransvarlige behandlingen af personoplysninger, hvis:

a) deres rigtighed bestrides af den registrerede, indtil den registeransvarlige har haft mulighed for at fastslå, om de er rigtige

b) personoplysningerne skal gemmes som bevismiddel eller for at beskytte den registreredes eller andre personers vitale interesser

c) den registrerede modsætter sig deres sletning og i stedet kræver, at anvendelsen heraf begrænses.

3a. Hvis behandlingen af personoplysninger er begrænset i henhold til stk. 3, underretter den registeransvarlige den registrerede, inden begrænsningen for behandling ophæves.

4. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal give den registrerede skriftlig begrundelse for ethvert afslag på sletning eller begrænsning med angivelse af årsagerne til afslaget og mulighederne for at indgive klage til tilsynsmyndigheden og indbringe sagen for en retsinstans.

4a. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal meddele enhver sletning eller begrænsning, der er udført, til hver modtager, som oplysningerne er videregivet til, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt Den registeransvarlige underretter den registrerede om sådanne tredjeparter.

4b. Medlemsstaterne kan fastsætte bestemmelser om, at den registrerede kan udøve sine rettigheder direkte over for den registeransvarlige eller med den kompetente nationale tilsynsmyndighed som mellemmand. [Ændring 79]

Artikel 17

Den registreredes rettigheder i forbindelse med strafferetlige efterforskninger og straffesager

Medlemsstaterne kan fastsætte bestemmelser om, at retten til oplysninger og retten til indsigt i og berigtigelse og sletning af personoplysninger samt begrænsning af behandlingen heraf, jf. artikel 11-16, skal udøves i overensstemmelse med de nationale retsplejeregler, når personoplysningerne er indeholdt i en retsafgørelse eller et register, der behandles i forbindelse med strafferetlige efterforskninger og straffesager.

KAPITEL IV

REGISTERANSVARLIG OG REGISTERFØRER

AFDELING 1

GENERELLE FORPLIGTELSER

Artikel 18

Den registeransvarliges ansvar

1. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige både på tidspunktet for fastlæggelsen af metoderne til behandling og på tidspunkt for selve behandlingen skal fastlægge strategier og gennemføre passende foranstaltninger med henblik på for hver behandlingsoperation at sikre og dokumentere på en gennemskuelig måde , at behandlingen af personoplysninger foretages i overensstemmelse de bestemmelser, der vedtages i medfør af dette direktiv.

2. De i stk. 1 nævnte foranstaltninger omfatter især følgende:

a) opbevaring af dokumentation, jf. artikel 23

aa) gennemførelse af konsekvensanalyser vedrørende databeskyttelse i henhold til artikel 25a

b) opfyldelse af bestemmelserne om forudgående høring i henhold til artikel 26

c) gennemførelse af datasikkerhedskravene som fastsat i artikel 27

d) udpegning af en databeskyttelsesansvarlig i henhold til artikel 30

da) udarbejdelse og gennemførelse af specifikke garantier vedrørende behandling af personoplysninger om børn, når det viser sig at være nødvendigt.

3. Den registeransvarlige anvender mekanismer, der har til formål at kontrollere tilstrækkeligheden og effektiviteten af de foranstaltninger, der er omhandlet i stk. 1 i denne artikel. Denne kontrol udføres af uafhængige interne eller eksterne revisorer, hvis det er hensigtsmæssigt. [Ændring 80]

Artikel 19

Indbygget databeskyttelse og databeskyttelse gennem indstillinger

1. Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige under hensyntagen til det aktuelle tekniske niveau, den nuværende tekniske viden, international bedste praksis og risikoen i forbindelse med den pågældende behandling af oplysninger , både når formålet med og metoderne til behandling fastlægges, og når selve behandlingen foretages, skal træffe passende tekniske og organisatoriske foranstaltninger og procedurer, således at behandlingen opfylder kravene i de bestemmelser, der vedtages i medfør af dette direktiv, og sikrer beskyttelsen af den registreredes rettigheder, navnlig for så vidt angår principperne i artikel 4. I forbindelse med indbygget databeskyttelse skal der tages særligt hensyn til forvaltningen af hele livscyklussen for personoplysninger lige fra indsamling over behandling til sletning, idet der systematisk fokuseres på omfattende proceduremæssige sikkerhedsforanstaltninger for så vidt angår korrekthed, fortrolighed, integritet, fysisk sikkerhed og sletning af personoplysninger. Hvis den registeransvarlige har foretaget en konsekvensanalyse vedrørende databeskyttelse i henhold til artikel 25a, skal der tages behørigt hensyn til resultaterne heraf i forbindelse med udviklingen af disse foranstaltninger og procedurer.

2. Den registeransvarlige anvender mekanismer med henblik på sikrer som udgangspunkt at sikre, at det kun er de personoplysninger, der er nødvendige til formålet hvert enkelt formål med behandlingen, der behandles , og at de navnlig ikke indsamles, opbevares eller videregives ud over, hvad der som minimum er nødvendigt til disse formål, både med hensyn til mængden af oplysninger og opbevaringsperioden. Disse mekanismer skal navnlig sikre, at personoplysninger som udgangspunkt ikke videregives til et ubegrænset antal personer, og at de registrerede er i stand