DA Den Europæiske Unions Tidende C 159/83

Rådets begrundelse: Rådets førstebehandlingsholdning (EU) nr. 6/2016 med henblik på vedtagelse af Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

(2016/C 159/02)

I INDLEDNING

Kommissionen foreslog den 25. januar 2012 en omfattende databeskyttelsesreform bestående af:

— ovennævnte forslag til en generel forordning om databeskyttelse, som skal erstatte databeskyttelsesdirektivet fra 1995 (tidligere første søjle)

— et forslag til direktiv om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger, som skal erstatte rammeafgørelsen fra 2008 om databeskyttelse (tidligere tredje søjle).

Europa-Parlamentet vedtog den 12. marts 2014 sin førstebehandlingsholdning til den foreslåede generelle forordning om databeskyttelse (7427/14).

Rådet nåede den 15. juni 2015 til enighed om en generel indstilling og gav dermed formandskabet forhandlingsmandat til at indlede triloger med Europa-Parlamentet (9565/15).

Europa-Parlamentet og Rådet bekræftede henholdsvis den 17. og den 18. december 2015 i henholdsvis Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender og De Faste Repræsentanters Komité enigheden om den kompromistekst, der var resultatet af forhandlingerne i trilogerne.

På samlingen den 12. februar 2016 nåede Rådet til politisk enighed om udkastet til forordning (5455/16). Den 8. april 2016 vedtog Rådet sin førstebehandlingsholdning, som er i fuld overensstemmelse med den kompromistekst til forordningen, der var opnået enighed om under de uformelle forhandlinger mellem Rådet og Europa-Parlamentet.

Det Økonomiske og Sociale Udvalg afgav udtalelse om forordningen i 2012 (EUT C 229 af 31.7.2012, s. 90).

Regionsudvalget har afgivet udtalelse om forordningen (EUT C 391 af 18.12.2012, s. 127).

Den Europæiske Tilsynsførende for Databeskyttelse blev hørt og afgav en første udtalelse i 2012 (EUT C 192 af 30.6.2012, s. 7) og en anden udtalelse i 2015 (EUT C 301 af 12.9.2015, s. 1).

Agenturet for Grundlæggende Rettigheder afgav udtalelse den 1. oktober 2012.

II. FORMÅL

Den generelle forordning om databeskyttelse harmoniserer databeskyttelsesreglerne i Den Europæiske Union. Formålet med forordningen er at styrke fysiske personers databeskyttelsesrettigheder, lette den frie udveksling af personoplysninger på det indre marked og reducere den administrative byrde.

III. ANALYSE AF RÅDETS FØRSTEBEHANDLINGSHOLDNING

A. Generelle bemærkninger

I lyset af Det Europæiske Råds mål om at opnå enighed om databeskyttelsesreformen inden udgangen af 2015 har Europa-Parlamentet og Rådet ført uformelle forhandlinger for at tilnærme deres holdninger. Teksten til Rådets førstebehandlingsholdning til den generelle forordning om databeskyttelse afspejler til fulde det kompromis, som de to medlovgivere har indgået med bistand fra Kommissionen.

Rådets førstebehandlingsholdning fastholder målene for direktiv 95/46/EF: beskyttelse af databeskyttelsesrettigheder og fri udveksling af oplysninger. Samtidig søger den at tilpasse de gældende databeskyttelsesregler i lyset af den stadig stigende mængde personoplysninger, der behandles som følge af teknologiske ændringer og globaliseringen. Med henblik på at gøre forordningen fremtidssikker er databeskyttelsesreglerne i Rådets førstebehandlingsholdning teknologisk neutrale.

For at sikre et ensartet beskyttelsesniveau for fysiske personer i hele Unionen og for at hindre, at forskelle hæmmer den frie udveksling af personoplysninger på det indre marked, indeholder Rådets førstebehandlingsholdning i det store og hele et enkelt sæt regler, som finder direkte anvendelse i hele Unionen. Denne harmonisering vil afskaffe den fragmentering, der stammer fra de forskellige medlemsstatslove, som gennemfører direktiv 95/46/EF. Med henblik på at tage hensyn til kravene for specifikke databehandlingssituationer, herunder den offentlige sektor, giver Rådets førstebehandlingsholdning ikke desto mindre medlemsstaterne mulighed for yderligere at præcisere anvendelsen af de databeskyttelsesregler, der er fastsat i forordningen, i deres nationale ret.

Beskyttelse af personoplysninger er en grundlæggende rettighed, der er sikret ved artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder. Desuden fastsætter artikel 16 i traktaten om Den Europæiske Unions funktionsmåde, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende, uanset nationalitet eller bopæl, og at regler bør fastsættes til dette formål og med henblik på fri udveksling af personoplysninger. På grundlag heraf fastsætter Rådets førstebehandlingsholdning principper og regler for beskyttelse af fysiske personer med hensyn til behandling af deres personoplysninger.

For at nå forordningens mål styrker Rådets førstebehandlingsholdning ansvarligheden for dataansvarlige (ansvarlige for fastlæggelse af formål med og midler til behandling af personoplysninger) og databehandlere (ansvarlige for behandling af personoplysninger på dataansvarliges vegne) med henblik på at fremme en reel databeskyttelseskultur. På denne baggrund indføres der i hele forordningen en risikobaseret tilgang, der muliggør graduering af dataansvarliges og databehandleres forpligtelser i forhold til den risiko, der er forbundet med den databehandling, som de foretager. Desuden bidrager adfærdskodekser og certificeringsmekanismer til overholdelse af databeskyttelsesreglerne. Denne tilgang hindrer alt for præskriptive regler og reducerer den administrative byrde uden at reducere overholdelsen. Endvidere skaber den afskrækkende karakter af de sanktioner, der kan pålægges, incitamenter for dataansvarlige til at overholde forordningen.

De nye databeskyttelsesregler i Rådets førstebehandlingsholdning giver også borgerne styrkede rettigheder, som kan håndhæves. Dette giver fysiske personer bedre kontrol over deres personoplysninger, hvilket fører til større tillid til onlinetjenester på tværs af grænserne og vil fremme det digitale indre marked. Børn bør nyde særlig beskyttelse, eftersom de kan være mindre bevidste om risici for så vidt angår behandling af personoplysninger samt om deres rettigheder.

Endvidere styrker Rådets førstebehandlingsholdning tilsynsmyndighedernes uafhængighed og harmoniserer deres opgaver og beføjelser. Reglerne for samarbejde mellem tilsynsmyndigheder og, hvis det er relevant, med Kommissionen i grænseoverskridende sager — sammenhængsmekanismen — vil bidrage til en ensartet anvendelse af forordningen i hele Den Europæiske Union. Dette vil øge retssikkerheden og reducere den administrative byrde. Desuden vil mekanismen med et centralt kontaktpunkt tilvejebringe en enkelt partner for dataansvarlige og databehandlere i forbindelse med deres grænseoverskridende behandling, herunder bindende afgørelser i tvister truffet af det nyoprettede Europæiske Databeskyttelsesråd. Som følge af denne mekanisme vil anvendelsen af forordningen blive mere ensartet. Derudover vil den give mere retssikkerhed og reducere den administrative byrde.

Endelig fastlægger Rådets førstebehandlingsholdning en omfattende ramme for overførsel af personoplysninger fra Den Europæiske Union til modtagere i tredjelande eller internationale organisationer og indeholder nye instrumenter i forhold til direktiv 95/46/EF.

B. Centrale spørgsmål

Rådet og Europa-Parlamentet, bistået af Kommissionen, tilnærmede under uformelle forhandlinger deres holdninger, der er fastlagt i henholdsvis Rådets generelle indstilling og i Parlamentets førstebehandlingsholdning. Rådets førstebehandlingsholdning til den generelle forordning om databeskyttelse afspejler fuldt ud de indgåede kompromiser. De centrale spørgsmål i Rådets førstebehandlingsholdning er anført nedenfor.

1. Anvendelsesområde

1.1. Forordningens materielle anvendelsesområde og afgrænsning i forhold til direktivet om retshåndhævelse

Rådets førstebehandlingsholdning fastsætter, at den generelle forordning om databeskyttelse finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages automatisk, samt på anden behandling end automatisk behandling af personoplysninger, der udgør en del af enhver struktureret samling af personoplysninger, som er tilgængelig efter bestemte kriterier, eller som er beregnet til at udgøre en del af en sådan struktureret samling. Det materielle anvendelsesområde for den generelle forordning om databeskyttelse og anvendelsesområdet for direktivet om databeskyttelse på retshåndhævelsesområdet udelukker gensidigt hinanden. Det præciseres, at forordningen ikke finder anvendelse på behandling af personoplysninger, som foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Denne afgrænsning giver de retshåndhævende myndigheder, især politiet, mulighed for som hovedregel at anvende databeskyttelsesordningen i direktivet og samtidig sikre et ensartet og højt niveau for beskyttelse af personoplysninger for fysiske personer, der er underlagt retshåndhævelsesforanstaltninger.

1.2. EU-institutioner og -organer

Med henblik på at sikre ensartet og konsekvent beskyttelse af registrerede for så vidt angår behandling af deres personoplysninger angiver Rådets førstebehandlingsholdning, at de nødvendige tilpasninger af forordning (EF) nr. 45/2001, der finder anvendelse på EU's institutioner, organer, kontorer og agenturer, bør ske efter vedtagelsen af den generelle databeskyttelsesforordning, således at den kan finde anvendelse på samme tid som den generelle databeskyttelsesforordning.

1.3. Familiemæssig undtagelse

For at undgå at fastsætte regler, som ville medføre en unødvendig byrde for fysiske personer, fastsætter Rådets førstebehandlingsholdning, at forordningen ikke finder anvendelse på behandling af personoplysninger, der foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter og således uden forbindelse med en erhvervsmæssig eller kommerciel aktivitet.

1.4. Territorialt anvendelsesområde

Rådets førstebehandlingsholdning skaber lige vilkår for dataansvarlige og databehandlere, hvad angår det territoriale anvendelsesområde, som omfatter alle dataansvarlige og databehandlere, uanset om de er etableret i Unionen eller ej.

For det første fastsætter forordningen, at databeskyttelsesregler anvendes på behandling af personoplysninger i forbindelse med aktiviteter, der udøves af en dataansvarligs eller databehandlers virksomhed i Unionen, uanset om behandlingen finder sted i Unionen eller ej. For at sikre, at fysiske personer ikke unddrages beskyttelse af deres oplysninger, finder forordningen for det andet anvendelse på behandling af personoplysninger om registrerede, der befinder sig i Unionen, selv hvis den pågældende dataansvarlige eller databehandler ikke er etableret i Unionen, men hvor vedkommendes behandlingsaktiviteter vedrører udbud af varer eller tjenesteydelser til sådanne registrerede i Unionen, samt på overvågning af sådanne registreredes adfærd, for så vidt deres adfærd finder sted i Den Europæiske Union. Endvidere øger fastsættelsen af anvendelsesområdet på denne måde retssikkerheden for dataansvarlige og registrerede (de fysiske personer, hvis personoplysninger behandles).

Rådets førstebehandlingsholdning sikrer også, at de registrerede og tilsynsmyndighederne har et kontaktpunkt i EU, hvis de dataansvarlige eller databehandlerne ikke er etableret i Unionen, men er omfattet af forordningens anvendelsesområde: De skal skriftligt udpege en repræsentant i Unionen. For at undgå unødvendige administrative byrder finder denne forpligtelse ikke anvendelse på behandling, som sandsynligvis ikke vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder, eller på behandling foretaget af tredjelandes offentlige myndigheder eller organer.

2. Principper for behandling af personoplysninger

Principperne om databeskyttelse gælder for alle former for oplysninger om en identificerbar eller identificeret fysisk person, herunder oplysninger, der ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, så længe sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at henførsel til en identificeret eller identificerbar fysisk person ikke kan forekomme (pseudonymisering). I forhold til direktiv 95/46/EF sikrer forordningen generelt kontinuitet med hensyn til de underliggende principper for behandling af personoplysninger. Samtidig er princippet om "dataminimering" blevet tilpasset for at tage hensyn til den digitale virkelighed og med henblik på at skabe balance mellem beskyttelse af personoplysninger på den ene side og dataansvarliges muligheder for at behandle oplysninger på den anden side.

3. Lovlig behandling

3.1. Betingelser for lovlighed

Med henblik på at skabe retssikkerhed bygger Rådets førstebehandlingsholdning på direktiv 95/46/EF ved at anføre, at behandling af personoplysninger er kun lovlig, hvis mindst én af følgende betingelser er opfyldt:

— den registreredes samtykke til et eller flere specifikke formål

— en kontrakt

— en retlig forpligtelse

— beskyttelse af den registreredes eller en anden fysisk persons vitale interesser

— udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået overdraget

— en dataansvarligs eller en tredjemands legitime interesser.

To betingelser fortjener at blive uddybet: samtykke og en dataansvarligs eller en tredjemands legitime interesser.

3.1.1. Samtykke

Registrerede kan for at tillade behandling af deres personoplysninger give samtykke til behandling i form af en klar bekræftelse, der indebærer en frivillig, specifik, informeret og utvetydig tilkendegivelse af den pågældende registreredes samtykke til, at personoplysninger om vedkommende gøres til genstand for behandling. Et sådant samtykke dækker alle behandlingsaktiviteter, der udføres til det eller de samme formål. Når behandling tjener flere formål, skal der gives samtykke til samtlige behandlingsformål. Desuden skal den pågældende dataansvarlige kunne påvise, at den registrerede har givet sit samtykke til behandlingen. Tavshed, forudafkrydsede felter eller inaktivitet udgør derfor ikke samtykke. Udformningen af samtykkebegrebet sikrer kontinuitet i den gældende ret, der har udviklet sig vedrørende anvendelse af dette begreb på grundlag af direktiv 95/46/EF, og bidrager samtidig til en fælles forståelse og anvendelse af samtykke i hele Den Europæiske Union.

Med henblik på at beskytte registreredes databeskyttelsesrettigheder præciseres det desuden, at hvis en registreret har givet sit samtykke i en skriftlig erklæring, der også vedrører andre forhold, er enhver del af denne erklæring, der udgør en overtrædelse af forordningen, ikke bindende. Ved vurdering af, om samtykke er givet frit, skal der endvidere tages størst muligt hensyn til, bl.a. om opfyldelse af en kontrakt er gjort betinget af samtykke til behandling, som ikke er nødvendig for opfyldelse af kontrakten.

For at tillade undtagelser fra det generelle forbud mod behandling af særlige kategorier af personoplysninger fastsætter Rådets førstebehandlingsholdning endelig en højere tærskel end for anden behandling, eftersom registrerede skal give deres udtrykkelige samtykke til behandling af sådanne følsomme personoplysninger.

For børn fastsætter Rådets førstebehandlingsholdning en særlig beskyttelsesordning for samtykke fra børn i forbindelse med udbud af informationssamfundstjenester. Behandling af personoplysninger vedrørende et barn under 16 år er lovlig, hvis det med rimelighed kan kontrolleres under hensyntagen til den tilgængelige teknologi, at samtykke gives eller godkendes af indehaveren af forældremyndigheden over barnet. Medlemsstater, der finder en lavere alder mere hensigtsmæssig, kan fastsætte en lavere aldersgrænse, forudsat at den ikke er under 13 år.

3.1.2. En dataansvarligs legitime interesser

Behandling af personoplysninger kan være lovlig, hvis behandlingen er nødvendig af hensyn til en dataansvarligs eller en tredjemands legitime interesser. Sådanne legitime interesser er imidlertid ikke en tilstrækkelig grund til lovlig behandling, hvis den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.

Tilstedeværelse af en legitim interesse kræver en vurdering, herunder af, om en registreret på tidspunktet for og i forbindelse med indsamling af personoplysninger med rimelighed kan forvente, at behandling til dette formål kan finde sted. Behandling af personoplysninger til direkte markedsføring kan anses for at foretages af hensyn til en legitim interesse. Eftersom det er op til lovgiver ved lov at fastsætte retsgrundlaget for offentlige myndigheders behandling af personoplysninger, gælder dette ikke for behandling af personoplysninger, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

3.2. Specifikke regler i medlemsstaterne med henblik på tilpasning af anvendelsen af forordningen

Rådets førstebehandlingsholdning giver medlemsstaterne mulighed for at opretholde eller indføre mere specifikke bestemmelser med henblik på at tilpasse anvendelsen af reglerne i forordningen, hvis personoplysninger behandles for at opfylde en retlig forpligtelse, eller behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som en dataansvarlig har fået pålagt. Der er desuden fastsat undtagelser, specifikke krav og andre foranstaltninger i forbindelse med særlige behandlingsaktiviteter, hvorved medlemsstaterne forener retten til beskyttelse af personoplysninger med retten til ytrings- og informationsfrihed, aktindsigt i officielle dokumenter, behandling af nationale identifikationsnumre, behandling i forbindelse med ansættelsesforhold og behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål.

3.3. Viderebehandling

Rådets førstebehandlingsholdning fastsætter, at behandling til et andet formål end det, hvortil de pågældende personoplysninger oprindelig er blevet indsamlet, kun er lovlig, hvis denne viderebehandling er forenelig med det formål, hvortil personoplysningerne oprindelig blev behandlet. Hvis en registreret har givet samtykke, eller hvis behandlingen er baseret på EU-retten eller medlemsstatsret, hvilket udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund med henblik på navnlig at beskytte vigtige målsætninger af generel samfundsinteresse, har den dataansvarlige dog tilladelse til at viderebehandle personoplysningerne uafhængigt af formålenes forenelighed. Registreredes rettigheder er blevet styrket i forbindelse med viderebehandling, navnlig med hensyn til retten til information og retten til at gøre indsigelse mod en sådan viderebehandling, hvis den ikke er nødvendig for at udføre en opgave i samfundets interesse.

For at fastslå, om et formål med viderebehandling er foreneligt med det formål, som de pågældende personoplysninger oprindelig blev indsamlet til, skal den dataansvarlige bl.a. tage hensyn til enhver forbindelse mellem det oprindelige formål og formålet med den påtænkte viderebehandling, den kontekst, som personoplysningerne er blevet indsamlet i, navnlig den registreredes rimelige forventninger til den videre anvendelse heraf på grundlag af den pågældendes forhold til den dataansvarlige, personoplysningernes art, følgerne af den påtænkte viderebehandling for den registrerede og tilstedeværelse af fornødne garantier i forbindelse med både de oprindelige og de påtænkte yderligere behandlingsaktiviteter.

3.4. Behandling af særlige kategorier af personoplysninger

Personoplysninger, der i kraft af deres art er særlig følsomme, bør nyde specifik beskyttelse, da konteksten for behandling af dem kan indebære alvorlige risici for fysiske personers grundlæggende rettigheder og frihedsrettigheder. Derfor fastholder Rådets førstebehandlingsholdning som hovedregel den fremgangsmåde, der er fastlagt i direktiv 95/46/EF, om forbud mod behandling af særlige kategorier af personoplysninger.

Som fravigelse fra denne regel er behandling af følsomme oplysninger i visse udtømmende opregnede situationer tilladt, for eksempel hvis den registrerede har givet udtrykkeligt samtykke, hvis behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser, eller hvis behandlingen er nødvendig af andre årsager, blandt andet på sundhedsområdet.

Rådets førstebehandlingsholdning fastsætter endelig, at medlemsstaterne kan indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger. Disse yderligere betingelser må dog ikke hæmme den frie udveksling af oplysninger i Unionen.

4. Styrkelse af registreredes status

4.1. Indledning

Rådets førstebehandlingsholdning styrker registreredes status ved at tillægge dem øgede databeskyttelsesrettigheder og ved at pålægge dataansvarlige forpligtelser. Registreredes rettigheder omfatter ret til information, til adgang til personoplysninger, til berigtigelse, til sletning af personoplysninger, herunder "ret til at blive glemt", til begrænsning af behandling, til dataportabilitet, til at gøre indsigelse og til ikke at blive gjort til genstand for en afgørelse, som alene er truffet på grundlag af automatisk behandling, herunder profilering. De rettigheder, som har været genstand for betydelige ændringer i forhold til direktiv 95/46/EF, beskrives i det følgende.

Dataansvarlige er forpligtet til at lette udøvelsen af registreredes rettigheder og at behandle personoplysninger i overensstemmelse med princippet om gennemsigtighed, navnlig ved at give oplysninger om den behandling af personoplysninger, som de foretager.

Hvis de personoplysninger, der behandles af en dataansvarlig, ikke sætter denne i stand til at identificere en registreret, er den dataansvarlige imidlertid ikke forpligtet til at indhente yderligere oplysninger for at kunne identificere den registrerede udelukkende med det formål at overholde bestemmelserne i forordningen.

Uanset disse rettigheder for registrerede og disse forpligtelser for dataansvarlige fastholder Rådets førstebehandlingsholdning fremgangsmåden i direktiv 95/46/EF ved at tillade begrænsninger af de generelle principper og fysiske personers rettigheder, hvis sådanne begrænsninger er baseret på EU-retten eller medlemsstaternes nationale ret. Begrænsninger skal respektere kernen i de grundlæggende rettigheder og frihedsrettigheder og være nødvendige og forholdsmæssige i et demokratisk samfund for at beskytte bestemte samfundsinteresser.

4.2. Gennemsigtighed

I overensstemmelse med princippet om gennemsigtighed skal dataansvarlige give oplysninger og meddelelser om behandling af personoplysninger i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger er rettet mod et barn. Oplysningerne skal gives skriftligt eller med andre midler, hvis det er hensigtsmæssigt elektronisk.

Rådets førstebehandlingsholdning fastsætter endvidere frister for anmodninger om oplysninger, meddelelser eller enhver anden handling fra den dataansvarliges side, som generelt skal udføres gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige imidlertid opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning, eller den dataansvarlige kan afvise at efterkomme anmodningen. I disse tilfælde påhviler bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, den dataansvarlige.

4.3. Oplysninger og meddelelser, som skal gives af den dataansvarlige

Med henblik på at finde en balance mellem på den ene side at give tilstrækkelige oplysninger til registrerede om behandling af personoplysninger om dem og på den anden side at undgå byrdefulde forpligtelser for dataansvarlige fastlægger Rådets førstebehandlingsholdning en tilgang med to etaper for at sikre, at registrerede er behørigt informerede såvel i tilfælde, hvor personoplysninger indsamles fra registrerede, som i tilfælde, hvor personoplysninger ikke indhentes hos registrerede. I første etape er den dataansvarlige forpligtet til at give den registrerede de oplysninger, der er anført i forordningen, på det tidspunkt, hvor personoplysningerne indhentes. I anden etape skal den dataansvarlige give de yderligere oplysninger, der er nævnt i forordningen, og som er nødvendige for at sikre en retfærdig og effektiv behandling. Dataansvarlige skal også underrette de registrerede, hvis de har til hensigt at viderebehandle personoplysninger til et andet formål end det, hvortil personoplysningerne oprindelig blev indsamlet.

Den dataansvarlige er ikke forpligtet til at give de anførte oplysninger i hverken første eller anden etape, hvis den registrerede allerede har denne information. Såfremt de pågældende personoplysninger ikke er blevet indhentet hos den registrerede, giver den dataansvarlige ingen oplysninger til den registrerede, hvis registrering eller videregivelse af personoplysningerne til andre parter udtrykkelig er fastsat ved lov, eller hvis det viser sig umuligt eller uforholdsmæssigt vanskeligt at underrette den registrerede.

Endelig skal dataansvarlige meddele enhver berigtigelse, sletning eller begrænsning af behandling til hver modtager, som personoplysninger er videregivet til, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt. Desuden skal dataansvarlige oplyse registrerede om sådanne modtagere, hvis de anmoder herom.

4.4. Ikoner

Principperne om gennemsigtig behandling kræver, at registrerede informeres om en behandlings eksistens og dens formål. På denne baggrund fastsætter Rådets førstebehandlingsholdning, at den information, der stilles til rådighed for den registrerede, kan gives sammen med standardiserede ikoner. Dataansvarlige kan frivilligt beslutte, om anvendelse af disse standardiserede ikoner vil være nyttig for den behandling af personoplysninger, som de foretager. Ikonerne bør give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letforståelig og letlæselig måde. Ikonerne skal tilvejebringes samtidig med oplysningerne. Hvis ikonerne præsenteres elektronisk, skal de være maskinlæsbare. Med henblik på at bidrage til ensartet anvendelse af ikoner i EU tillægger forordningen Kommissionen beføjelse til at vedtage delegerede retsakter om fastlæggelse af de oplysninger, der bør fremgå af ikonerne, og procedurer for tilvejebringelse af standardiserede ikoner. Det Europæiske Databeskyttelsesråd skal afgive udtalelse om de ikoner, som Kommissionen foreslår. Muligheden for at vedtage delegerede retsakter er ikke til hinder for, at Det Europæiske Databeskyttelsesråd kan udstede retningslinjer, afgive udtalelser og vejlede om bedste praksis vedrørende ikoner.

4.5. Ret til indsigt

En registreret har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og hvis sådanne personoplysninger behandles, adgang til den information, der er nævnt i forordningen. I lyset heraf præciseres det i forordningen, at den dataansvarlige gratis skal give en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Retten til at modtage en kopi må ikke krænke andres rettigheder og frihedsrettigheder.

4.6. Ret til sletning (»ret til at blive glemt«)

Rådets førstebehandlingsholdning giver registrerede ret til at få personoplysninger om dem slettet, hvis behandlingen af sådanne oplysninger ikke er i overensstemmelse med forordningen eller med EU-retten eller medlemsstatsret, som den dataansvarlige er underlagt.

Omtalen af "retten til at blive glemt" anerkender behovet for at tilpasse retten til sletning, navnlig i en digital kontekst. En dataansvarlig, der har offentliggjort personoplysninger, som en registreret ønsker glemt, skal træffe rimelige foranstaltninger, herunder tekniske foranstaltninger, til at underrette de dataansvarlige, som behandler personoplysningerne, om den registreredes anmodning om at få slettet link til eller kopier eller gengivelser af oplysningerne under hensyntagen til den teknologi, der er til rådighed, og gennemførelsesomkostningerne. Det Europæiske Databeskyttelsesråd kan udstede retningslinjer, henstillinger og bedste praksis vedrørende procedurer for sletning af link til og kopier eller gengivelser af personoplysninger fra offentligt tilgængelige kommunikationstjenester.

Retten til sletning og dataansvarliges pligt til at underrette andre dataansvarlige om anmodninger om sletning finder ikke anvendelse, i det omfang behandling af personoplysninger er nødvendig til formål, der udtømmende er anført i forordningen, såsom retten til ytrings- og informationsfrihed.

4.7. Ret til dataportabilitet

Rådets førstebehandlingsholdning fastsætter, at når behandling af personoplysninger foretages automatisk, har registrerede ret til at modtage personoplysninger vedrørende dem, som de har givet til en dataansvarlig, i et struktureret, almindeligt anvendt, maskinlæsbart og interoperabelt format og har ret til at videregive disse oplysninger til en anden dataansvarlig. Endvidere præciseres det, at registrerede har ret til få transmitteret personoplysningerne direkte fra én dataansvarlig til en anden, hvis det er teknisk muligt. Dette styrker yderligere registreredes kontrol over deres oplysninger. Det fremmer også konkurrencen blandt dataansvarlige.

Denne ret til dataportabilitet finder dog ikke anvendelse på behandling, der er nødvendig for udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Såfremt et bestemt sæt personoplysninger vedrører mere end én registreret, berører en registrerets ret til at modtage personoplysningerne desuden ikke andres rettigheder eller frihedsrettigheder.

4.8. Ret til indsigelse

Hvis personoplysninger må behandles lovligt, fordi behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, eller af hensyn til en dataansvarligs eller en tredjemands legitime interesse, har en registreret ret til at gøre indsigelse mod behandling af personoplysninger vedrørende den pågældendes særlige situation. I dette tilfælde har den dataansvarlige ikke længere tilladelse til at behandle personoplysningerne, medmindre vedkommende påviser vægtige legitime grunde til behandlingen, der går forud for den registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

På denne baggrund præciseres det, at hvis personoplysninger behandles med henblik på direkte markedsføring, har registrerede til enhver tid ret til at gøre indsigelse mod behandling af personoplysninger om dem. Dette omfatter profilering, i det omfang den vedrører direkte markedsføring. Profilering defineres som enhver form for automatisk behandling af personoplysninger, der består i at anvende de pågældende oplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, opholdssted eller bevægelser. Hvis en registreret gør indsigelse mod behandling med henblik på direkte markedsføring, må de pågældende personoplysninger ikke længere behandles til dette formål. Denne ret skal endvidere udtrykkelig og klart oplyses til den registrerede senest på tidspunktet for den dataansvarliges første kommunikation med den registrerede.

Desuden indeholder Rådets førstebehandlingsholdning en omtale af online spor-mig-ikke-funktioner, idet det anføres, at registrerede i forbindelse med anvendelse af informationssamfundstjenester kan udøve deres ret til indsigelse ved hjælp af automatiske midler, der anvender tekniske specifikationer.

4.9. Automatiske individuelle afgørelser, herunder profilering

En registreret har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, som evaluerer personlige forhold vedrørende vedkommende, og som har retsvirkning eller på tilsvarende vis har betydelige konsekvenser for den pågældende. Eksempler herpå er automatisk afslag på en onlineansøgning om kredit eller e-rekrutteringsprocedurer uden nogen menneskelig indgriben. Denne form for automatisk databehandling kan omfatte profilering. Imidlertid finder denne ret til ikke at være genstand for automatisk behandling ikke anvendelse, når behandlingen:

— er nødvendig for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig

— er hjemlet i EU-retten eller medlemsstatsret, som den dataansvarlige er underlagt, og som også fastsætter egnede foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser, for eksempel overvågning af svig eller skatteunddragelse, eller

— er baseret på den registreredes udtrykkelige samtykke.

— Undtagen i det andet tilfælde vedrørende behandling hjemlet i EU-retten eller medlemsstatsret skal den dataansvarlige, der foretager automatisk behandling, indføre passende garantier for de registreredes rettigheder og frihedsrettigheder samt legitime interesser. Disse garantier skal mindst omfatte ret til menneskelig indgriben fra den dataansvarliges side og mulighed for registrerede for at fremkomme med deres synspunkter og til at bestride afgørelsen. Derudover bør dataansvarlige for at sikre en rimelig og gennemsigtig behandling anvende passende matematiske og statistiske procedurer til profilering og gennemføre foranstaltninger, der minimerer de potentielle risici for registreredes interesser.

Registrerede styrkes yderligere, idet dataansvarlige, når det er nødvendigt for at sikre en rimelig og gennemsigtig behandling, er forpligtet til at give registrerede oplysninger om tilstedeværelse af automatiske afgørelser, herunder profilering, og i det mindste i disse tilfælde til at give relevante oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for registrerede.

Endelig er automatiske afgørelser og profilering baseret på særlige kategorier af personoplysninger kun tilladt under særlige omstændigheder, og registrerede har ret til at gøre indsigelse mod en sådan behandling, hvis de pågældende personoplysninger viderebehandles til videnskabelige eller historiske forskningsformål eller statistiske formål, medmindre behandlingen er nødvendig for at udføre en opgave i samfundets interesse.

Det Europæiske Databeskyttelsesråd kan udstede retningslinjer, henstillinger og bedste praksis med henblik på nærmere at angive kriterierne og betingelserne for afgørelser baseret på profilering.

5. Dataansvarlig og databehandler

5.1. Indledning

Rådets førstebehandlingsholdning fastsætter en retlig ramme for ansvar, herunder erstatningsansvar, for enhver behandling af personoplysninger, der foretages af en dataansvarlig eller på den dataansvarliges vegne af en databehandler. I overensstemmelse med ansvarlighedsprincippet har den dataansvarlige pligt til at gennemføre passende tekniske og organisatoriske foranstaltninger og kunne påvise, at vedkommendes behandlingsaktiviteter er i overensstemmelse med forordningen. På denne baggrund fastsætter forordningen regler om den dataansvarliges ansvar for så vidt angår konsekvensanalyser, fortegnelser over behandling, brud på datasikkerheden, udpegelse af en databeskyttelsesrådgiver samt adfærdskodekser og certificeringsmekanismer.

5.2. Konsekvensanalyser

Den dataansvarlige skal foretage en konsekvensanalyse vedrørende databeskyttelse for at evaluere, hvornår en behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Rådets førstebehandlingsholdning fastsætter de tilfælde, hvor en konsekvensanalyse vedrørende databeskyttelse er særlig påkrævet, som f.eks. visse omfattende behandlingsaktiviteter. Hvis det fremgår af en sådan konsekvensanalyse, at behandlingsaktiviteter indebærer en høj risiko, som den dataansvarlige ikke kan begrænse ved passende foranstaltninger med hensyn til tilgængelig teknologi og gennemførelsesomkostninger, skal tilsynsmyndigheden høres forud for behandlingen. Tilsynsmyndigheden kan i så fald give den dataansvarlige rådgivning og må anvende enhver af sine beføjelser.

Det Europæiske Databeskyttelsesråd kan udstede retningslinjer for behandlingsaktiviteter, som sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og angive, hvilke foranstaltninger der kan være tilstrækkelige i disse tilfælde for at afhjælpe en potentiel risiko.

5.3. Fortegnelser over behandlingsaktiviteter

For at give tilsynsmyndigheden mulighed for at foretage efterfølgende kontrol skal dataansvarlige eller deres eventuelle repræsentant eller databehandlere føre fortegnelser over behandlingsaktiviteter under deres ansvar, herunder over brud på datasikkerheden. Med henblik på at lette den administrative byrde finder denne forpligtelse ikke anvendelse på virksomheder og organisationer, der beskæftiger under 250 personer, medmindre den behandling, som de foretager, sandsynligvis vil medføre en risiko for registreredes rettigheder eller frihedsrettigheder, behandlingen ikke er lejlighedsvis, eller behandlingen omfatter følsomme oplysninger eller oplysninger vedrørende straffedomme og lovovertrædelser.

5.4. Brud på datasikkerheden

Et brud på persondatasikkerheden kan påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, forskelsbehandling, identitetstyveri eller -svig, finansielle tab, ubemyndiget ophævelse af pseudonymisering, skade på omdømme, tab af fortrolighed for oplysninger, der er omfattet af tavshedspligt, eller andre økonomiske eller sociale konsekvenser for de berørte fysiske personer. Rådets førstebehandlingsholdning fastsætter, at dataansvarlige skal anmelde brud på datasikkerheden til tilsynsmyndighederne, medmindre at det er usandsynligt, at bruddet på datasikkerheden fører til en risiko for fysiske personers rettigheder eller frihedsrettigheder. De skal også underrette de berørte registrerede om brud, der sandsynligvis udgør en høj risiko. Anmeldelse til tilsynsmyndighederne vil sætte dem i stand til at gribe ind, hvis det er nødvendigt. Underretning af de berørte registrerede vil desuden gøre det muligt for dem at træffe forholdsregler.

Med henblik på at mindske den administrative byrde anvender Rådets førstebehandlingsholdning forskellige tærskler for anmeldelser til tilsynsmyndigheden og underretninger af de pågældende registrerede med en højere tærskel for underretning end for anmeldelse. Dataansvarlige er, så snart de bliver bekendt med, at der er sket et brud på persondatasikkerheden, forpligtet til at anmelde det til den kompetente tilsynsmyndighed uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det. Dataansvarlige kan imidlertid afstå fra at anmelde det, hvis de kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke vil medføre risiko for fysiske personers rettigheder og frihedsrettigheder. Bortset fra visse undtagelser er dataansvarlige forpligtet til at underrette de pågældende registrerede om brud på datasikkerheden uden unødig forsinkelse, når bruddet på persondatasikkerheden sandsynligvis vil føre til en høj risiko for de registreredes rettigheder og frihedsrettigheder.

Det Europæiske Databeskyttelsesråd kan udstede retningslinjer, henstillinger og bedste praksis vedrørende fastlæggelse af databrud og fastsættelse af unødig forsinkelse, efter at en dataansvarlig er blevet bekendt med et brud, og vedrørende de særlige omstændigheder, hvor en dataansvarlig har pligt til at anmelde brud på persondatasikkerheden, samt vedrørende de omstændigheder, hvor et brud på persondatasikkerheden kan forventes at føre til en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

5.5. Databeskyttelsesrådgiver

Formålet med at udpege en databeskyttelsesrådgiver er at forbedre overholdelsen af forordningen. Databeskyttelsesrådgiveren skal derfor være en person med ekspertise i databeskyttelsesret og -praksis og skal bistå den dataansvarlige eller databehandleren med at overvåge, at forordningen overholdes internt. Den pågældende kan være den dataansvarliges eller databehandlerens medarbejder eller kan udøve hvervet på grundlag af en tjenesteydelseskontrakt. Der kan også udnævnes en fælles databeskyttelsesrådgiver for en koncern eller i tilfælde, hvor den dataansvarlige eller databehandleren er en offentlig myndighed. Rådets førstebehandlingsholdning indeholder bestemmelser om obligatorisk udpegelse af en databeskyttelsesrådgiver, hvis:

— behandling foretages af en offentlig myndighed, undtagen domstole eller uafhængige judicielle myndigheder, der handler i deres egenskab af domstol eller judiciel myndighed

— den dataansvarliges eller databehandlerens kerneaktiviteter består af behandlingsaktiviteter, der i medfør af deres karakter, omfang og/eller formål kræver regelmæssig og systematisk overvågning af registrerede i stort omfang, eller

— den dataansvarliges eller databehandlerens kerneaktiviteter består af behandling i stort omfang af følsomme oplysninger og oplysninger vedrørende straffedomme og lovovertrædelser.

5.6. Adfærdskodekser og certificeringsmekanismer

Rådets førstebehandlingsholdning tilskynder til anvendelse af adfærdskodekser og fremmer en bredere anvendelse af certificeringsmekanismer for databeskyttelse og databeskyttelsesmærkninger og -mærker. Disse initiativer bidrager til overholdelse af databeskyttelsesreglerne og forhindrer samtidig alt for præskriptive regler og mindsker omkostningerne for de offentlige myndigheder, der er ansvarlige for håndhævelsen. Desuden kan adfærdskodekser tage hensyn til de specifikke former for behandling, der foretages i visse sektorer, og til mikrovirksomheders og små og mellemstore virksomheders behov. Certificeringsmekanismer og databeskyttelsesmærkninger og -mærker bidrager for deres vedkommende til overholdelse af forordningen, da registrerede let kan vurdere databeskyttelsesniveauet i forbindelse med relevante produkter og tjenester.

Rådets førstebehandlingsholdning indeholder et omfattende sæt regler vedrørende adfærdskodekser og certificeringsmekanismer samt databeskyttelsesmærkninger og -mærker, som levner plads til privat initiativ, men samtidig beskytter databeskyttelsesstandarderne gennem inddragelse af tilsynsmyndighederne.

5.6.1. Adfærdskodekser

Tilsynsmyndigheden kan godkende adfærdskodekser og ændringer eller udvidelser af adfærdskodekser. Hvis et udkast til adfærdskodeks vedrører behandlingsaktiviteter i flere medlemsstater, skal den kompetente tilsynsmyndighed inden godkendelsen forelægge Det Europæiske Databeskyttelsesråd et udkast til kodeks eller ændring eller udvidelse med henblik på udtalelse.

Kommissionen kan vedtage gennemførelsesretsakter med henblik på at afgøre, om nye adfærdskodekser og ændringer eller udvidelser af eksisterende adfærdskodekser, som er godkendt af den kompetente tilsynsmyndighed, generelt er gyldige i Unionen.

Det Europæiske Databeskyttelsesråd bør tilskynde til udarbejdelse af adfærdskodekser. Det skal også samle alle godkendte adfærdskodekser og ændringer hertil i et register og gøre dem offentligt tilgængelige på passende vis.

5.6.2. Certificeringsmekanismer og databeskyttelsesmærkninger og -mærker

Rådets førstebehandlingsholdning fastsætter, at hver medlemsstat skal fastlægge, om certificeringsorganer akkrediteres af tilsynsmyndigheden eller af det nationale akkrediteringsorgan. Akkrediterede certificeringsorganer kan certificere dataansvarlige og databehandlere på grundlag af kriterier, der er godkendt af den kompetente tilsynsmyndighed eller af Det Europæiske Databeskyttelsesråd i overensstemmelse med sammenhængsmekanismen. I sidstnævnte tilfælde kan de kriterier, der er godkendt af Det Europæiske Databeskyttelsesråd, føre til en fælles certificering, den europæiske databeskyttelsesmærkning. Certificering udstedes til en dataansvarlig eller databehandler for højst tre år med mulighed for forlængelse. Et certificeringsorgan skal give tilsynsmyndigheden en begrundelse for at udstede eller tilbagetrække en certificering, der er anmodet om. Efterfølgende kan tilsynsmyndigheden afvise en sådan certificering eller erklære den ugyldig.

Kommissionen har beføjelse til at vedtage delegerede retsakter med henblik på at fastlægge de krav, der skal tages i betragtning vedrørende certificeringsmekanismer for databeskyttelse. Det Europæiske Databeskyttelsesråd skal afgive udtalelse om disse krav. Kommissionen kan også vedtage gennemførelsesretsakter om tekniske standarder for certificeringsmekanismer og databeskyttelsesmærkninger og -mærker samt ordninger, der har til formål at fremme og anerkende certificeringsmekanismer og databeskyttelsesmærkninger og -mærker.

Endelig bør Det Europæiske Databeskyttelsesråd fremme fastlæggelse af certificeringsmekanismer for databeskyttelse og databeskyttelsesmærkninger og -mærker.

6. Overførsel af personoplysninger til tredjelande eller internationale organisationer

6.1. Indledning

Udveksling af personoplysninger på tværs af grænserne til og fra lande uden for Unionen og til og fra internationale organisationer er afgørende i forbindelse med den globale handel og den grænseoverskridende digitale økonomi. Det beskyttelsesniveau, som Unionen garanterer, må ikke undermineres, hvis EU-borgeres personoplysninger overføres ud af Unionen.

Som generelt princip må overførsel af personoplysninger til et tredjeland eller en international organisation kun finde sted, hvis de dataansvarlige og databehandlerne overholder reglerne i forordningen. Rådets førstebehandlingsholdning tager fuldt ud hensyn til EU-Domstolens retspraksis, herunder dens dom af 6. oktober 2015 i sag C-362/14. Rådets holdning fastholder de forskellige muligheder for grænseoverskridende overførsel af personoplysninger, samtidig med at garantierne for overholdelse af databeskyttelsesrettigheder styrkes. Disse forskellige muligheder for overførsel af personoplysninger er afgørelser om tilstrækkeligheden af beskyttelsesniveauet, fornødne garantier og fravigelser.

Rådets førstebehandlingsholdning præciserer, at enhver dom afsagt af en domstol eller ret og enhver afgørelse truffet af en administrativ myndighed i et tredjeland, der kræver, at en dataansvarlig eller en databehandler overfører eller videregiver personoplysninger, kun kan anerkendes eller håndhæves på nogen måde, hvis den bygger på en gældende international aftale mellem det anmodende tredjeland og Unionen eller en medlemsstat. Endvidere fastsætter Rådets førstebehandlingsholdning udtrykkelig, at sådanne internationale aftaler ikke berører andre grunde til grænseoverskridende overførsler, der er anført i forordningen.

6.2. Afgørelser om tilstrækkeligheden af beskyttelsesniveauet

Internationale overførsler kan ske på grundlag af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet vedtaget af Kommissionen om, at det pågældende tredjeland eller et område eller en eller flere specifikke sektorer i tredjelandet eller den pågældende internationale organisation sikrer et beskyttelsesniveau, der i det væsentlige svarer til det, der garanteres i Unionen. Dermed skabes retssikkerhed og ensartethed i hele Unionen.

Kommissionen kan beslutte at tilbagekalde en afgørelse om tilstrækkeligheden af beskyttelsesniveauet efter at have underrettet og fyldestgørende begrundet det over for det pågældende tredjeland eller den pågældende internationale organisation. Kommissionen vedtager afgørelser om tilstrækkeligheden af beskyttelsesniveauet og afgørelser om at tilbagekalde sådanne afgørelser i form af gennemførelsesretsakter. Gennemførelsesretsakterne skal fastsætte en mekanisme for regelmæssig revision, som foretages mindst hvert fjerde år. Kommissionen skal overvåge udviklingen i tredjelande og internationale organisationer, der kan påvirke virkningen af afgørelser om tilstrækkeligheden af beskyttelsesniveauet. I forbindelse med overvågning og regelmæssig revision bør Kommissionen tage hensyn til synspunkter og resultater fra Europa-Parlamentet og Rådet såvel som andre relevante organer og kilder. I forbindelse med evaluering og gennemgang af forordningen skal Kommissionen desuden regelmæssigt rapportere til Rådet og Europa-Parlamentet. Endelig skal Det Europæiske Databeskyttelsesråd afgive udtalelse til Kommissionen med henblik på vurdering af tilstrækkeligheden af beskyttelsesniveauet i et tredjeland eller en international organisation, herunder vurdering af, hvorvidt et tilstrækkeligt beskyttelsesniveau ikke længere er sikret.

Afgørelser, der er vedtaget af Kommissionen på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF, vil fortsat gælde, indtil de ændres, erstattes eller ophæves ved en kommissionsafgørelse. Ligeledes vil tilladelser fra en medlemsstat eller tilsynsmyndighed på grundlag af artikel 26, stk. 2, i direktiv 95/46/EF og afgørelser, der er vedtaget af Kommissionen på grundlag af artikel 26, stk. 4, i direktiv 95/46/EF, fortsat være gyldige, indtil de om nødvendigt ændres, erstattes eller ophæves af henholdsvis den pågældende tilsynsmyndighed eller ved en kommissionsafgørelse. Ved at sikre kontinuitet skaber Rådets førstebehandlingsholdning retssikkerhed.

6.3. Fornødne garantier

Ud over afgørelser om tilstrækkeligheden af beskyttelsesniveauet kan grænseoverskridende overførsler også finde sted, hvis den dataansvarlige eller databehandleren har givet fornødne garantier for at kompensere for den manglende databeskyttelse i tredjelandet eller den internationale organisation. Sådanne garantier kan bestå af retligt bindende instrumenter, som kan håndhæves, mellem offentlige myndigheder eller organer, bindende virksomhedsregler, standardbestemmelser om databeskyttelse vedtaget af Kommissionen, standardbestemmelser om databeskyttelse vedtaget af en tilsynsmyndighed eller kontraktbestemmelser godkendt af en tilsynsmyndighed. Dataansvarlige eller databehandlere i tredjelande kan også give fornødne garantier for overførsel af personoplysninger til tredjelande eller internationale organisationer. De kan gøre dette med en godkendt adfærdskodeks sammen med bindende tilsagn, som kan håndhæves, om at anvende de fornødne garantier via kontraktinstrumenter eller andre retligt bindende instrumenter, herunder vedrørende registreredes rettigheder. De kan også gøre det med en certificeringsmekanisme, der er godkendt af den kompetente tilsynsmyndighed, sammen med bindende tilsagn, som kan håndhæves, fra den dataansvarlige eller databehandleren i tredjelandet om at anvende de fornødne garantier, herunder vedrørende registreredes rettigheder.

6.4. Undtagelser

I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller af fornødne garantier kan en overførsel eller flere overførsler af personoplysninger til et tredjeland eller en international organisation finde sted på grundlag af undtagelser, som udtømmende er nævnt i forordningen. En af disse undtagelser vedrører den datasvarliges legitime interesser, hvis den registreredes interesser eller rettigheder og frihedsrettigheder ikke går forud for disse interesser. Med henblik på at give tilstrækkelige garantier i forbindelse med grænseoverskridende videregivelse af personoplysninger er den dataansvarliges legitime interesser nøje afgrænset og kan kun påberåbes som en sidste mulighed. For at sikre ensartet anvendelse af forordningen skal Det Europæiske Databeskyttelsesråd på eget initiativ eller efter anmodning fra Kommissionen udarbejde og gennemgå retningslinjer, henstillinger og bedste praksis med henblik på nærmere at angive kriterierne for og kravene til overførsel af oplysninger i mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller af fornødne garantier.

7. Tilsynsmyndigheder

7.1. Uafhængighed

For at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af deres personoplysninger og for at lette fri udveksling af personoplysninger i Unionen skal hver medlemsstat fastsætte, at en eller flere uafhængige offentlige myndigheder er ansvarlige for at overvåge anvendelsen af forordningen på dens område. Hver tilsynsmyndighed og dens medlemmer skal i fuld afhængighed og med integritet udføre de opgaver og udøve de beføjelser, der tillægges den pågældende tilsynsmyndighed og dens medlemmer.

Hver tilsynsmyndighed skal bidrage til ensartet anvendelse af forordningen i hele Unionen. Med henblik herpå skal tilsynsmyndighederne samarbejde indbyrdes og med Det Europæiske Databeskyttelsesråd og Kommissionen. Ensartet anvendelse af forordningen sikres endvidere ved fastsættelse af tilsynsmyndighedernes kompetencer og ved fastlæggelse af de opgaver og de undersøgelsesbeføjelser, korrigerende beføjelser samt godkendelses- og rådgivningsbeføjelser, som tilsynsmyndighederne mindst skal have.

7.2. Tavshedspligt

Rådets førstebehandlingsholdning fastsætter regler om tavshedspligt for tilsynsmyndighederne og deres medlemmer. For det første har hver tilsynsmyndigheds medlem eller medlemmer og personale i overensstemmelse med EU-retten eller medlemsstatsret såvel under som efter deres embedsperiode tavshedspligt for så vidt angår alle fortrolige oplysninger, der er kommet til deres kendskab under udførelsen af deres opgaver eller udøvelsen af deres beføjelser. Det præciseres endvidere, at tavshedspligten i deres embedsperiode især gælder indberetninger fra fysiske personer af overtrædelser af forordningen. Derudover har Det Europæiske Databeskyttelsesråd til opgave at udstede retningslinjer, henstillinger og bedste praksis med henblik på fastlæggelse af fælles procedurer for fysiske personers indberetning af overtrædelser af forordningen.

8. Samarbejde og sammenhæng

8.1. Det Europæiske Databeskyttelsesråd

Rådets førstebehandlingsholdning opretter Det Europæiske Databeskyttelsesråd som et EU-organ med status som juridisk person med henblik på at sikre korrekt og ensartet anvendelse af forordningen. Det Europæiske Databeskyttelsesråds intervention består særlig i at afgive udtalelser, vedtage bindende afgørelser i forbindelse med tvistbilæggelse mellem tilsynsmyndigheder eller udstede retningslinjer om ethvert spørgsmål vedrørende anvendelsen af forordningen for at sikre ensartet håndhævelse af den.

Det Europæiske Databeskyttelsesråd sammensættes af chefen for en tilsynsmyndighed i hver medlemsstat og af Den Europæiske Tilsynsførende for Databeskyttelse eller deres respektive repræsentanter. Kommissionen har ret til at deltage i Det Europæiske Databeskyttelsesråds aktiviteter og møder uden stemmeret. Det Europæiske Databeskyttelsesråds drøftelser er fortrolige, hvis Databeskyttelsesrådet vurderer, at det er nødvendigt, jf. dets forretningsorden.

Hvis Det Europæiske Databeskyttelsesråd vedtager en bindende afgørelse i forbindelse med tvistbilæggelse, har Den Europæiske Tilsynsførende for Databeskyttelse kun stemmeret i forbindelse med afgørelser, der vedrører principper og bestemmelser, som gælder for Unionens institutioner, organer, kontorer og agenturer, og som indholdsmæssigt er i overensstemmelse med forordningens principper og bestemmelser.

8.2. Sammenhængsmekanisme

Ved grænseoverskridende behandling af personoplysninger, hvor mere end én tilsynsmyndighed er involveret, sikrer sammenhængsmekanismen, at der træffes en enkelt afgørelse, som er gældende i hele Den Europæiske Union, samtidig med at der tages hensyn til de forskellige berørte tilsynsmyndigheders synspunkter. Sammenhængsmekanismen øger derfor nærheden mellem registrerede og den tilsynsmyndighed, der har beslutningskompetence, ved at inddrage "lokale" tilsynsmyndigheder i beslutningsprocessen. Endvidere er det nyoprettede Europæiske Databeskyttelsesråd i tilfælde af tvister mellem tilsynsmyndigheder fra forskellige medlemsstater kompetent til at træffe bindende afgørelser.

Reglerne om sammenhængsmekanismen gælder ikke, når behandling foretages af offentlige myndigheder eller private organer i offentlighedens interesse. I sådanne tilfælde er det kun tilsynsmyndigheden i den medlemsstat, hvor den offentlige myndighed eller det private organ er etableret, der har kompetence.

I henhold til Rådets førstebehandlingsholdning vil anvendelsen af samarbejds- og sammenhængsmekanismen blive undersøgt i forbindelse med Kommissionens evaluering af forordningen.

9. Retsmidler, ansvar og sanktioner

Rådets førstebehandlingsholdning fastsætter et omfattende sæt regler, der giver registrerede flere mulige retsmidler, herunder at kræve erstatning i tilfælde af skade som følge af overtrædelse af forordningen.

9.1. Ret til at indgive klage og adgang til retsmidler

I henhold til Rådets førstebehandlingsholdning har en registreret ret til at indgive klage til en tilsynsmyndighed, hvis vedkommende finder, at behandling af personoplysninger vedrørende ham eller hende ikke overholder forordningen. Endvidere har en registreret adgang til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende. En registreret har også ret til effektive retsmidler, hvis en tilsynsmyndighed ikke behandler en klage eller undlader at underrette den registrerede om forløbet eller resultatet af klagen.

En registreret har desuden adgang til effektive retsmidler, hvis vedkommende finder, at hans eller hendes rettigheder i henhold til forordningen er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med forordningen.

Nærhed mellem registrerede og nationale domstole sikres, idet registrerede har ret til at få en afgørelse truffet af deres databeskyttelsesmyndighed prøvet ved deres nationale domstol, uanset i hvilken medlemsstat den dataansvarlige eller databehandleren er etableret. En sag mod en dataansvarlig eller en databehandler anlægges ved en domstol i den medlemsstat, hvor den dataansvarlige eller databehandleren er etableret. Alternativt kan en sådan sag anlægges ved en domstol i den medlemsstat, hvor den pågældende registrerede har sit sædvanlige opholdssted, medmindre den dataansvarlige eller databehandleren er en offentlig myndighed i en medlemsstat, der udøver sine offentligretlige beføjelser.

Endelig har enhver fysisk eller juridisk person ret til at anlægge annullationssøgsmål ved Den Europæiske Unions Domstol til prøvelse af afgørelser truffet af Det Europæiske Databeskyttelsesråd på de betingelser, der er fastsat i artikel 263 i TEUF.

9.2. Repræsentation af registrerede

En registreret har ret til at bemyndige organer, organisationer eller sammenslutninger, der opfylder specifikke kriterier, såsom at de ikke arbejder med gevinst for øje, og at de er aktive på databeskyttelsesområdet, til at indgive klage på sine vegne, til at udnytte adgangen til retsmidler på sine vegne og til at udøve retten til at modtage erstatning på sine vegne, hvis det er fastsat i medlemsstatsret. Disse specifikke kriterier tilsigter at undgå, at der udvikler sig en handelskravkultur på databeskyttelsesområdet. Medlemsstaterne kan desuden fastsætte, at sådanne organer, organisationer eller sammenslutninger uafhængigt af bemyndigelse fra en registreret har ret til at indgive klage i en medlemsstat til den kompetente tilsynsmyndighed og til at udnytte adgangen til retsmidler, hvis de finder, at den registreredes rettigheder er blevet krænket som følge af behandling af personoplysninger, der ikke er i overensstemmelse med forordningen.

9.3. Udsættelse af sag

For at undgå, at samme genstand for så vidt angår behandling foretaget af den samme dataansvarlige eller databehandler undersøges af forskellige domstole, kan enhver anden kompetent domstol end den, ved hvilken en sag først er anlagt, udsætte sagen eller kan efter begæring fra en af parterne erklære sig inkompetent.

9.4. Ret til erstatning og erstatningsansvar

Rådets førstebehandlingsholdning fastsætter, at enhver registreret, som har lidt materiel eller immateriel skade som følge af en overtrædelse af forordningen, har ret til erstatning fra den dataansvarlige eller databehandleren. Med henblik på at give registrerede mulighed for at kræve erstatning i tilfælde af skade, samtidig med at der tilvejebringes retssikkerhed for dataansvarlige og databehandlere, anfører forordningen deres erstatningsansvar. Enhver dataansvarlig, der er involveret i den pågældende behandling, hæfter for den skade, der er forvoldt af behandlingen. En databehandler hæfter kun, hvis vedkommende ikke har opfyldt forpligtelser i forordningen, der er specifikt rettet mod databehandlere, eller har undladt at følge eller har handlet i strid med den dataansvarliges lovlige instrukser. En dataansvarlig eller databehandler er dog fritaget for erstatningsansvar, hvis vedkommende beviser, at den pågældende ikke på nogen måde er skyld i den begivenhed, der medførte skaden.

Hvis mere end én dataansvarlig eller databehandler eller en dataansvarlig og en databehandler er involveret i den samme behandling, og hvis de er ansvarlige for skader, der er forvoldt af behandlingen, hæfter hver dataansvarlige eller databehandler for hele skaden for at sikre effektiv erstatning til den pågældende registrerede. Dog gælder, at hvis en dataansvarlig eller en databehandler har betalt fuld erstatning for den forvoldte skade, har denne dataansvarlige eller databehandler ret til at kræve den del af erstatningen, der svarer til andres del af ansvaret for skaden, tilbage fra de andre dataansvarlige eller databehandlere, der er involveret i den samme behandling.

9.5. Sanktioner

For at sikre overholdelse af forordningen kan tilsynsmyndigheder i henhold til Rådets førstebehandlingsholdning pålægge administrative bøder. Disse bøder skal være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. Hver medlemsstat kan fastsætte regler om, hvorvidt og i hvilket omfang administrative bøder må pålægges offentlige myndigheder og organer, der er etableret i den pågældende medlemsstat. Ud over at pålægge administrative bøder kan tilsynsmyndighederne også gøre brug af andre beføjelser til at fastsætte korrigerende foranstaltninger såsom advarsler eller irettesættelser. Med henblik på at øge harmoniseringen skal Det Europæiske Databeskyttelsesråd udarbejde retningslinjer for tilsynsmyndighederne vedrørende anvendelse af tilsynsmyndighedernes beføjelser til at fastsætte korrigerende foranstaltninger og vedrørende fastsættelse af administrative bøder.

Rådets førstebehandlingsholdning indeholder en liste over kriterier, som tilsynsmyndigheden kan anvende ved afgørelsen af, om der skal pålægges en administrativ bøde, og hvor stor bøden i givet fald skal være. Disse kriterier vedrører blandt andet overtrædelsens karakter, alvor og varighed, og hvorvidt overtrædelsen af forordningen blev begået forsætligt eller uagtsomt. Forordningen opstiller en liste over både overtrædelser og de tilsvarende højeste administrative bøder. Inden for disse grænser for administrative bøder skal tilsynsmyndighederne fastsætte et passende beløb afhængigt af den enkelte overtrædelses omstændigheder. Med henblik på at tilvejebringe retssikkerhed for dataansvarlige og databehandlere og øge harmoniseringen af administrative bøder i Unionen, samtidig med at der bevares en skønsmargen for tilsynsmyndighederne, inddeles overtrædelser i tre kategorier. Overtrædelse i første kategori vedrørende dataansvarliges og databehandleres forpligtelser kan straffes med bøde på op til 10 000 000 EUR, eller hvis det drejer sig om en virksomhed, med op til 2 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere. Anden kategori vedrørende krænkelse af registreredes rettigheder og tilsidesættelse af de generelle principper har et loft på 20 000 000 EUR eller 4 % af omsætningen. Tredje kategori af overtrædelser vedrører manglende efterkommelse af et påbud fra en tilsynsmyndighed og kan også straffes med bøde på op til 20 000 000 EUR eller 4 % af omsætningen.

10. Specifikke databehandlingssituationer

10.1. Behandling af personoplysninger og ytrings- og informationsfrihed

Medlemsstaterne skal ved lov forene retten til beskyttelse af personoplysninger med retten til ytrings- og informationsfrihed, herunder behandling af personoplysninger i journalistisk øjemed og med henblik på akademisk, kunstnerisk eller litterær virksomhed. Med henblik på at sikre gennemsigtighed vedrørende forening af disse rettigheder er de enkelte medlemsstater forpligtet til at meddele Kommissionen de relevante bestemmelser i deres lovgivning og ændringer til disse bestemmelser samt nye relevante bestemmelser.

10.2. Behandling i forbindelse med ansættelsesforhold

Medlemsstaterne kan ved lov eller i medfør af kollektive overenskomster fastsætte mere specifikke regler for at sikre beskyttelse af rettighederne og frihedsrettighederne i forbindelse med behandling af arbejdstageres personoplysninger i ansættelsesforhold.

Disse regler skal omfatte passende og specifikke foranstaltninger til beskyttelse af registreredes menneskelige værdighed, legitime interesser og grundlæggende rettigheder. De enkelte medlemsstater skal meddele Kommissionen de relevante bestemmelser i deres lovgivning og ændringer til disse bestemmelser samt nye relevante bestemmelser.

10.3. Garantier og undtagelser i forbindelse med behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål

Rådets førstebehandlingsholdning fastsætter specifikke regler for behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. Disse regler tilsigter at forene på den ene side interessen i, at personoplysninger er tilgængelige til at opretholde arkiver, tilvejebringe statistikker og udføre forskning, og på den anden side databeskyttelsesrettigheder.

Behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal være omfattet af fornødne garantier for den registreredes rettigheder og frihedsrettigheder i henhold til forordningen. Medlemsstaterne er bemyndiget til på særlige betingelser og med de fornødne garantier for de registrerede at fastsætte præciseringer af og undtagelser fra oplysningskravene, retten til berigtigelse og sletning af oplysninger, retten til at blive glemt, retten til begrænsning af behandling og retten til dataportabilitet samt retten til indsigelse i forbindelse med behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål.

Rådets førstebehandlingsholdning giver også mulighed for at fravige forbuddet mod behandling af følsomme personoplysninger i tilfælde af behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. En sådan fravigelse tillades, hvis den pågældende behandling er baseret på EU-retten eller medlemsstatsret, og den skal stå i rimeligt forhold til det mål, der forfølges, respektere kernen i retten til databeskyttelse og sikre passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.

11. Tidligere indgåede aftaler

Rådets førstebehandlingsholdning fastsætter, at internationale aftaler, der omfatter videregivelse af personoplysninger til tredjelande eller internationale organisationer, som er indgået af medlemsstaterne inden forordningens ikrafttræden, og som er i overensstemmelse med den EU-ret, der finder anvendelse inden forordningens ikrafttræden, forbliver gyldige, indtil de bliver ændret, erstattet eller ophævet. Dette sikrer retssikkerhed for dataansvarlige og hindrer unødvendige administrative byrder for medlemsstaterne. Desuden tager førstebehandlingsholdningen højde for, at medlemsstaterne er afhængige af, at tredjelande og internationale organisationer samarbejder med henblik på at ændre gældende aftaler.

IV. KONKLUSION

Rådets førstebehandlingsholdning afspejler det kompromis, der blev indgået under uformelle forhandlinger mellem Rådet og Europa-Parlamentet med støtte fra Kommissionen. Rådet opfordrer Europa-Parlamentet til formelt at godkende Rådets førstebehandlingsholdning uden ændringer, så der kan opstilles en ny EU-lovgivningsramme for databeskyttelse, der styrker databeskyttelsesrettighederne og letter udveksling af personoplysninger på det digitale marked.