DA Den Europæiske Unions Tidende C 158/46

Rådets begrundelse: Rådets førstebehandlingsholdning (EU) nr. 5/2016 med henblik på vedtagelse af Europa-Parlamentets og Rådets direktiv om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA

(2016/C 158/02)

I. INDLEDNING

Kommissionen foreslog den 25. januar 2012 en omfattende databeskyttelsespakke bestående af:

— et forslag til en generel forordning om databeskyttelse, som skal erstatte databeskyttelsesdirektivet fra 1995 (tidligere første søjle) (i det følgende benævnt »forordningsudkastet«)

— ovennævnte direktiv om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger (1), som skal erstatte rammeafgørelsen om databeskyttelse fra 2008 (tidligere tredje søjle) (i det følgende benævnt »direktivudkastet«).

Europa-Parlamentet vedtog sin holdning til direktivudkastet i marts 2014 (2).

Rådet nåede til enighed om en generel indstilling den 9. oktober 2015 (3) og gav dermed formandskabet mandat til at indlede triloger med Europa-Parlamentet.

Europa-Parlamentet og Rådet bekræftede i henholdsvis Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender og De Faste Repræsentanters Komité henholdsvis den 17. og den 18. december 2015 enigheden om den kompromistekst, der var resultatet af forhandlingerne i trilogerne.

På samlingen den 12. februar nåede Rådet til politisk enighed om direktivudkastet (4). Den 8. april 2016 vedtog Rådet sin førstebehandlingsholdning, som er i fuld overensstemmelse med den kompromistekst til direktivet, der var opnået enighed om under de uformelle forhandlinger mellem Rådet og Europa-Parlamentet.

Regionsudvalget har afgivet udtalelse om forordningen (EUT C 391 af 18.12.2012, s. 127).

Den Europæiske Tilsynsførende for Databeskyttelse blev hørt og afgav en første udtalelse i 2012 (EUT C 192 af 30.6.2012, s. 7) og en anden udtalelse i 2015 (EUT C 301 af 12.9.2015, s. 1).

Agenturet for Grundlæggende Rettigheder afgav udtalelse den 1. oktober 2012.

II. FORSLAGETS FORMÅL

Formålet med direktivudkastet er at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde og gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder og samtidig sikre et ensartet højt niveau for beskyttelse af fysiske personers personoplysninger. Sammenlignet med Rådets rammeafgørelse 2008/977/RIA, som direktivudkastet skal erstatte, vil direktivudkastet også omfatte national behandling af personoplysninger.

Artikel 16 i traktaten om Den Europæiske Unions funktionsmåde indfører et nyt, specifikt retsgrundlag for vedtagelse af bestemmelser om beskyttelse af personoplysninger, der også gælder for behandling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde.

III. ANALYSE AF RÅDETS FØRSTEBEHANDLINGSHOLDNING

A. Generelle bemærkninger

Direktivudkastet er del af en databeskyttelsespakke. Det andet forslag er ovennævnte generelle forordning om databeskyttelse.

Med udgangspunkt i Kommissionens forslag til direktiv har Europa-Parlamentet og Rådet ført uformelle forhandlinger med henblik på at indgå en aftale på tidspunktet for Rådets førstebehandlingsholdning. Teksten til Rådets førstebehandlingsholdning til direktivudkastet afspejler til fulde det kompromis, som de to medlovgivere har indgået om direktivet med bistand fra Europa-Kommissionen. På denne baggrund skal henvisninger til Rådets førstebehandlingsholdning forstås som henvisninger til det kompromis, der blev opnået enighed om i trilogerne.

Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende. På grundlag heraf fastsætter Rådets førstebehandlingsholdning principperne og reglerne for beskyttelse af fysiske personer med hensyn til behandling af deres personoplysninger. Disse principper og regler skal, uanset de fysiske personers nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.

Rådets førstebehandlingsholdning fastholder målene i rammeafgørelsen (5) og Kommissionens forslag; f.eks. er princippet om minimumsharmonisering i rammeafgørelsen blevet bevaret. Teksten til direktivudkastet indeholder klarere og mere specifikke bestemmelser om de fleste af rammeafgørelsens bestemmelser; navnlig bestemmelserne om overførsler til tredjelande eller internationale organisationer er blevet videreudviklet og udvidet.

Rådet nåede frem til en generel indstilling til forordningsudkastet i juni 2015 og en generel indstilling til direktivudkastet i oktober 2015.

Det nye retsgrundlag i traktaten om Den Europæiske Unions funktionsmåde, der omfatter beskyttelse af personoplysninger, finder anvendelse på alle politikområder med forbehold af de særlige bestemmelser, der skal fastsættes på området den fælles udenrigs- og sikkerhedspolitik. Erklæring nr. 21, der er knyttet som bilag til Lissabontraktaten, erkender dog, at det kan blive nødvendigt med specifikke regler inden for retligt samarbejde i straffesager og politisamarbejde. Af disse grunde, og under hensyntagen til at direktivudkastet udgør en del af databeskyttelsespakken, har Rådet bestræbt sig på at tilpasse teksten til direktivudkastet til teksten til forordningsudkastet i forbindelse med en række bestemmelser i direktivudkastet. Dette gælder særlig for så vidt angår definitionerne, principperne, kapitlet om den dataansvarlige og databehandleren, afgørelserne om tilstrækkelighed samt kapitlet om uafhængige tilsynsmyndigheder. Derfor uddybes disse dele af teksten i mindre grad i denne note.

B. Centrale politikspørgsmål

1. Anvendelsesområde (materielt og personelt)

Rådets førstebehandlingsholdning fastsætter direktivudkastets materielle anvendelsesområde i artikel 1, stk. 1. Det omfatter kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed. Dette betyder, at direktivudkastet i modsætning til rammeafgørelse 2008/977/RIA også finder anvendelse på national behandling af personoplysninger.

Den anden del af databeskyttelsespakken, forordningsudkastet, udelukker direktivets anvendelsesområde fra sit anvendelsesområde, hvilket gør, at de gensidigt udelukker hinanden. Forordningsudkastet indeholder de generelle regler, mens direktivudkastet finder anvendelse på den specifikke sektor retligt samarbejde i straffesager og politisamarbejde.

Politiets og andre retshåndhævende myndigheders arbejde omfatter også udøvelse af beføjelser gennem tvangsindgreb som f.eks. politiaktiviteter i forbindelse med demonstrationer, store sportsbegivenheder og uroligheder. Rådets førstebehandlingsholdning søger at gøre det muligt for sådanne myndigheder, primært politiet, at behandle oplysninger inden for rammerne af ét instrument, nemlig medlemsstaternes nationale ret, der gennemfører direktivudkastet. Dog finder forordningsudkastet anvendelse i tilfælde, hvor politiet behandler personoplysninger til formål, der falder uden for direktivudkastets anvendelsesområde, jf. punkt 7 nedenfor. For at nå dette mål præciserer Rådets førstebehandlingsholdning direktivudkastets anvendelsesområde ved at tilføje »beskytte mod og forebygge trusler mod den offentlige sikkerhed«.

Med hensyn til det personelle anvendelsesområde har Rådets førstebehandlingsholdning udvidet anvendelsesområdet til ud over de offentlige myndigheder, der er kompetente med hensyn til at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, at omfatte organer eller enheder, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser med henblik på ovennævnte formål. Kun offentlige myndigheder må dog overføre personoplysninger til andre modtagere i tredjelande end myndigheder, der er kompetente med henblik på direktivudkastet.

2. Principper vedrørende personoplysninger

a) Gennemsigtighed

I modsætning til Rådets førstebehandlingsholdning til forordningsudkastet medtager Rådets førstebehandlingsholdning til direktivudkastet ikke begrebet »gennemsigtighed« blandt de principper, der vedrører behandling af personoplysninger, fordi gennemsigtighed på retshåndhævelsesområdet kan bringe igangværende efterforskninger i fare. Gennemsigtighed er dog blevet indsat i betragtningen vedrørende principperne, samtidig med at det præciseres, at aktiviteter som f.eks. hemmelige undersøgelser og videoovervågning vil være tilladt.

b) Behandlingssikkerhed

Rådets førstebehandlingsholdning tilføjer, at personoplysninger skal behandles på en måde, der sikrer passende sikkerhed for personoplysningerne, hvilket omfatter beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse. Rådets førstebehandlingsholdning tilføjer også, at der bør anvendes passende tekniske eller organisatoriske foranstaltninger til dette formål. Dette er i overensstemmelse med teksten til forordningsudkastet.

3. Viderebehandling

a) Forenelighed

Spørgsmålet om viderebehandling, og om viderebehandling kun kan foretages af den samme dataansvarlige eller også af en anden dataansvarlig, samt spørgsmålet om forenelige formål gav vanskeligheder under drøftelserne om forordningsudkastet. I sidste ende fastsættes det i Rådets førstebehandlingsholdning til direktivudkastet, at al behandling, der foretages til ethvert af de i artikel 1, stk.1, nævnte formål, bør anses for at være tilladt, så længe den dataansvarlige er autoriseret til at behandle de pågældende personoplysninger til et sådant formål enten i henhold til EU-retten eller medlemsstatsret, og behandlingen er nødvendig for og rimelig i forhold til det andet formål i henhold til EU-retten eller medlemsstatsret.

b) Behandling til andre formål inden for direktivudkastets anvendelsesområde

Rådets førstebehandlingsholdning fastsætter, at behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål som omhandlet i artikel 1, stk. 1, end det formål, hvortil personoplysningerne er indsamlet, kun er tilladt, hvis den dataansvarlige er bemyndiget til at behandle sådanne personoplysninger til et sådant formål i overensstemmelse med EU-retten eller medlemsstatsret, og behandlingen er nødvendig for og rimelig i forhold til dette andet formål i overensstemmelse med EU-retten eller medlemsstatsret. Dette giver for eksempel mulighed for, at en anklager behandler de samme personoplysninger med henblik på retsforfølgelse af en forbrydelse, som politiet gjorde med henblik på afsløring af en forbrydelse, forudsat at begge formål i eksemplet er omfattet af artikel 1, stk. 1.

4. Tidsfrister for opbevaring og revision

Rådets førstebehandlingsholdning fastsætter, at der skal fastlægges hensigtsmæssige tidsfrister for sletning af personoplysninger eller for regelmæssig revision af personoplysninger, der opbevares, for at efterprøve, om det er nødvendigt, at de opbevares. Rammeafgørelsen havde allerede en bestemmelse om tidsfrister, og Rådets førstebehandlingsholdning ser værdien i at indføre en sådan bestemmelse.

Bestemmelsen styrker princippet i artikel 4 om, at oplysninger ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.

5. Forskellige kategorier af registrerede

Rådets førstebehandlingsholdning fastsætter, at medlemsstaterne, »hvis det er relevant, og så vidt muligt« skal fastsætte bestemmelser om, at den dataansvarlige klart sondrer mellem personoplysninger om forskellige kategorier af registrerede. Rådets førstebehandlingsholdning sikrer dog, at anvendelsen af princippet om uskyldsformodning, som er sikret ved Den Europæiske Unions charter om grundlæggende rettigheder, ikke hindres af, at registrerede placeres i forskellige kategorier, især kategorien af personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling.

6. Lovlig behandling

Rådets førstebehandlingsholdning fastsætter, at behandling af personoplysninger kun er lovlig, hvis og i det omfang behandlingen er nødvendig, for at en kompetent myndighed kan udføre en opgave med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, og den sker på grundlag af EU-retten eller medlemsstatsret. Det fremgår udtrykkelig af betragtningerne, at beskyttelse af den registreredes vitale interesser falder ind under disse aktiviteter.

Rådets førstebehandlingsholdning anfører, hvilke elementer medlemsstaternes databeskyttelsesregler skal indeholde, som f.eks. behandlingens mål og formål.

7. Særlige betingelser for behandling

Hovedreglen er, at personoplysninger, som oprindelig blev indsamlet af en kompetent myndighed til de i artikel 1, stk. 1, i direktivudkastet fastsatte formål, kun må behandles til et af direktivudkastets formål. Dog kan personoplysninger, der oprindelig blev indsamlet af sådanne myndigheder til formålene i direktivudkastet, behandles på grundlag af forordningsudkastet, hvis en sådan behandling er hjemlet i EU-retten eller medlemsstatsret, medmindre behandlingen foretages i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde. Rådets førstebehandlingsholdning præciserer også to tilfælde, hvor forordningsudkastet finder anvendelse. For det første hvis de kompetente myndigheder i henhold til medlemsstatsret har fået overdraget andre opgaver end dem, der er fastsat i artikel 1, stk. 1. For det andet finder forordningen også anvendelse på behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, medmindre behandlingen foretages i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.

8. Særlige kategorier af personoplysninger

Personoplysninger, der i kraft af deres karakter er særlig følsomme med hensyn til grundlæggende rettigheder og frihedsrettigheder, bør nyde særlig beskyttelse, da konteksten for behandling af dem kan indebære betydelige risici for de grundlæggende rettigheder og frihedsrettigheder. Rådets førstebehandlingsholdning tillader behandling af sådanne oplysninger, men kun når det er strengt nødvendigt, og på betingelse af at de fornødne garantier for den registreredes rettigheder og frihedsrettigheder er indført. Ydermere er sådan behandling kun tilladt, hvis den har hjemmel i EU-retten eller medlemsstatsret med henblik på at beskytte den registreredes vitale interesser, eller hvis behandlingen vedrører oplysninger, som den registrerede tydeligvis har offentliggjort.

Eftersom direktivudkastet og forordningsudkastet udgør dele af en pakke, har Rådets førstebehandlingsholdning til direktivudkastet for så vidt angår listen over kategorier tilføjet de kategorier, der er anført i forordningsudkastet, herunder »biometriske data« og »seksuel orientering«, til listen.

9. Automatiske individuelle afgørelser, herunder profilering

Et andet princip, der sikres med direktivudkastet, er, at en afgørelse, der udelukkende er baseret på automatisk behandling, herunder profilering, og som har negativ retsvirkning for den registrerede eller påvirker den pågældende betydeligt, er forbudt, medmindre den er hjemlet i EU-retten eller medlemsstatsret, og der er indført de fornødne garantier for den registreredes rettigheder og frihedsrettigheder. Sådanne garantier skal mindst omfatte ret til menneskelig indgriben fra den dataansvarliges side. Rådets førstebehandlingsholdning anfører klart, at en afgørelse, der alene er baseret på automatisk behandling, ikke må baseres på de særlige kategorier af personoplysninger, som er nævnt i artikel 10, medmindre der er indført passende garantier for den registreredes rettigheder og frihedsrettigheder og legitime interesser. Det er også udtrykkelig fastsat, at profilering, der er baseret på de særlige kategorier af personoplysninger i artikel 10, og som vil føre til forskelsbehandling, er forbudt.

10. Registreredes rettigheder

a) Meddelelser til den registrerede

Rådets førstebehandlingsholdning fastsætter bestemmelser om registreredes rettigheder. For at registrerede kan udøve deres rettigheder, er det nødvendigt, at de underrettes om, at deres personoplysninger bliver behandlet. Dette skal meddeles på en måde, der er let at forstå, i en kortfattet, letforståelig og lettilgængelig form og bør være skrevet i et klart og enkelt sprog. I modsætning til forordningsudkastet kræver Rådets førstebehandlingsholdning til direktivudkastet ikke, at sådanne oplysninger gives på en gennemsigtig måde. På det område, der er dækket af direktivet, kan f.eks. formålet med en efterforskning blive bragt i fare, hvis oplysninger om det specifikke efterforskningstiltag gives til den registrerede på et tidligt stadium af efterforskningen.

b) Oplysninger til den registrerede

Rådets førstebehandlingsholdning fastsætter, hvilke oplysninger den registrerede altid skal have, som f.eks. identitet af og kontaktoplysninger for den dataansvarlige og formålet med behandlingen. Dette kan ske på den kompetente myndigheds websted. Rådets førstebehandlingsholdning fastsætter også supplerende oplysninger, der skal gives i særlige tilfælde. De omfatter retsgrundlaget, det tidsrum, hvori oplysningerne kan opbevares, og kategorierne af modtagere. Under visse omstændigheder er det muligt at udsætte, begrænse eller udelade supplerende oplysninger, for eksempel hvis en begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under hensyntagen til den berørte fysiske persons grundlæggende rettigheder og legitime interesser. Medlemsstaterne bør desuden for så vidt angår supplerende oplysninger have mulighed for ved lov at fastsætte, at visse kategorier af behandling af personoplysninger kan fritages for oplysningsforpligtelsen.

c) Ret til indsigt

Rådets førstebehandlingsholdning fastsætter både ret til indsigt i personoplysninger og begrænsninger af denne ret. Medlemsstaterne bør have mulighed for at begrænse retten til indsigt på samme betingelser, som gælder for, at supplerende oplysninger kan udsættes, begrænses eller udelades. Hvis retten til indsigt er blevet begrænset, skal den pågældende medlemsstat sørge for, at den dataansvarlige underretter den registrerede om begrundelsen for dette, medmindre formålet med foranstaltningen, f.eks. en efterforskning, ville blive bragt i fare, hvis den registrerede blev underrettet om begrundelsen for begrænsningen.

d) Særlige tilfælde af begrænsning af behandling af personoplysninger

Medlemsstaterne skal fastsætte bestemmelser om, at den registrerede har ret til at berigtige, slette eller begrænse behandlingen af sine personoplysninger. Rådets førstebehandlingsholdning har tilføjet muligheden for, at den registrerede kan begrænse sine personoplysninger i stedet for at slette dem i to specificerede tilfælde. Den første situation er, når den registrerede bestrider rigtigheden af oplysningerne, og det ikke er muligt at kontrollere, om oplysningerne er korrekte eller ej. Det andet tilfælde vedrører situationer, hvor personoplysningerne opbevares som bevismiddel. Den tilsvarende betragtning præciserer, at eksempler på sidstnævnte kan være situationer, hvor der er rimelig grund til at tro, at den registreredes legitime interesser kan blive påvirket. I sidstnævnte situation kan oplysningerne kun behandles til det formål, der gjorde, at de ikke blev slettet.

11. Udøvelse af de registreredes rettigheder og kontrol

I tilfælde, hvor de registreredes ret til oplysninger, indsigt, berigtigelse, sletning eller begrænsning af behandling er blevet begrænset, skal medlemsstaterne vedtage foranstaltninger, der fastsætter, at registreredes rettigheder også kan udøves gennem den kompetente tilsynsmyndighed.

12. Dataansvarlig og databehandler

Direktivudkastet vil blive anvendt af kompetente myndigheder enten nationalt eller ved videregivelse af personoplysninger mellem EU-medlemsstater eller overførsel af personoplysninger til tredjelande eller internationale organisationer. De kompetente myndigheder defineres som offentlige myndigheder eller andre organer eller enheder, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser. Bestemmelserne i direktivudkastet vil blive anvendt af offentlige myndigheder og under visse omstændigheder private organer. Når kompetente myndigheder som defineret i dette direktivudkast behandler personoplysninger, og det ikke er til direktivets formål, skal de anvende forordningsudkastet. Som allerede nævnt i indledningen til denne begrundelse tilpasser Rådets førstebehandlingsholdning derfor til en vis grad bestemmelserne i direktivudkastet til bestemmelserne i forordningsudkastet.

I overensstemmelse med forordningsudkastet fastsætter Rådets førstebehandlingsholdning, at dataansvarlige skal gennemføre hensigtsmæssige tekniske og organisatoriske foranstaltninger for at sikre og kunne påvise, at deres behandling overholder bestemmelserne. Rådets førstebehandlingsholdning fastsætter udtrykkelig databehandlerens forpligtelse til

— kun at handle efter instruks fra den dataansvarlige

— at sikre, at personer med bemyndigelse til at behandle oplysninger overholder deres tavshedspligt

— at forelægge den dataansvarlige alle oplysninger, der viser, at den pågældende opfylder sine forpligtelser.

13. Fortegnelser over behandlingsaktiviteter

Rådets førstebehandlingsholdning pålægger databehandleren færre forpligtelser med hensyn til dokumentation og har derfor anført den dataansvarliges og databehandlerens forpligtelser i to forskellige stykker. Rådets førstebehandlingsholdning fastsætter, at hverken den dataansvarlige eller databehandleren skal føre fortegnelse over hver eneste behandlingsaktivitet, men kun over kategorier af behandling. Rådets førstebehandlingsholdning fastsætter, at de øvrige dele af det pågældende stykke forpligter den dataansvarlige til at give tilstrækkelige oplysninger til at opfylde formålet med dokumentationen. Det er f.eks. obligatorisk for den dataansvarlige at tilføje oplysninger om de kategorier af modtagere, som personoplysninger er eller vil blive videregivet til, kategorierne af overførsler af personoplysninger til et tredjeland eller en international organisation og, hvis det er muligt, de forventede tidsfrister for sletning af de forskellige kategorier af personoplysninger. Den dataansvarlige skal også give oplysninger om profilering, hvilket ikke er tilfældet i forordningsudkastet. Rådets førstebehandlingsholdning fastsætter, at databehandleren kun behøver at føre en fortegnelse over for eksempel de kategorier af behandling, der foretages på hver dataansvarligs vegne, og hvis der er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger.

14. Logning

Logning er vigtig for at gøre det muligt at fastlægge begrundelsen, datoen og tidspunktet for visse behandlingsaktiviteter i automatiske databehandlingssystemer, såsom indsamling, søgning, videregivelse og overførsler. Logning af søgning og videregivelse gør det også muligt at identificere den person, der har søgt eller videregivet personoplysninger, samt modtagerens identitet. I overensstemmelse med rammeafgørelsen må logge kun anvendes til at kontrollere, om en behandling er lovlig, til egenkontrol og til at sikre integriteten og sikkerheden af personoplysninger. Et nyt element i direktivudkastet er, at logge også kan bruges i forbindelse med straffesager. Det er imidlertid meget besværligt, langsommeligt og dyrt at bringe automatiske databehandlingssystemer i overensstemmelse med bestemmelserne. Rådets førstebehandlingsholdning tillader derfor undtagelsesvis en forlængelse af gennemførelsesperioden for at bringe automatiske databehandlingssystemer, der er indført inden direktivets ikrafttræden, i overensstemmelse med bestemmelserne, hvis dette er uforholdsmæssigt vanskeligt. En yderligere forlængelse af fristen for at bringe automatiske databehandlingssystemer i overensstemmelse med bestemmelserne vil være mulig i ekstraordinære tilfælde for et bestemt automatisk databehandlingssystem indført inden direktivets ikrafttræden, hvis det ellers ville skabe alvorlige vanskeligheder for driften af det pågældende automatiske databehandlingssystem.

15. Konsekvensanalyse

Hvor det oprindelige kommissionsforslag ikke indeholdt nogen konsekvensanalyse vedrørende databeskyttelse, indeholder forordningsudkastet en artikel om konsekvensanalyse, og det samme gør Rådets førstebehandlingsholdning til direktivudkastet. Rådets førstebehandlingsholdning fastsætter en forpligtelse for den dataansvarlige til at foretage en konsekvensanalyse. En konsekvensanalyse er nødvendig, før den dataansvarlige kan foretage en behandling, når behandlingen sandsynligvis vil føre til en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

Direktivudkastet angiver de situationer, hvor en konsekvensanalyse er obligatorisk, på samme måde som forordningsudkastet. Teksten vedrørende de elementer, som konsekvensanalysen skal indeholde, er dog mindre detaljeret end i forordningsudkastet. Analysen skal indeholde mindst en generel beskrivelse af den behandling, der skal foretages, en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder, garantier samt sikkerhedsforanstaltninger og -mekanismer til at sikre beskyttelse af personoplysninger og påvise overholdelse af bestemmelserne i direktivudkastet.

16. Databeskyttelsesrådgiver

Rådets førstebehandlingsholdning fastsætter, at medlemsstaterne skal sikre, at dataansvarlige udpeger en databeskyttelsesrådgiver. Medlemsstaterne bør imidlertid kunne fritage domstole og andre judicielle myndigheder, når de udfører deres judicielle opgaver, for denne forpligtelse. Formålet med at udpege en databeskyttelsesrådgiver er at forbedre overholdelsen af direktivet.

17. Overførsler

For at kunne udveksle oplysninger med tredjelande og internationale organisationer er det nødvendigt at have regler for overførsler. For så vidt angår generelle principper for overførsel af personoplysninger har Rådets førstebehandlingsholdning suppleret de betingelser, som Kommissionen har foreslået, ved at kræve, at den modtagende myndighed er kompetent med hensyn til formålene i artikel 1, stk. 1, og i tilfælde, hvor personoplysninger transmitteres eller stilles til rådighed fra en anden medlemsstat, at denne medlemsstat har givet sin forudgående godkendelse. Rådets førstebehandlingsholdning fastsætter også klart, at alle bestemmelserne i kapitlet om overførsler skal anvendes for at sikre, at det beskyttelsesniveau for fysiske personer, som garanteres i direktivudkastet, ikke undermineres.

Artiklen om de generelle principper indeholder dataansvarliges muligheder for at overføre personoplysninger, i prioriteret rækkefølge begyndende med afgørelser om tilstrækkelighed. Derefter kommer overførsler omfattet af fornødne garantier efterfulgt af overførsler på grundlag af undtagelser i særlige situationer. Artiklen om afgørelser om tilstrækkelighed omhandler nu kun afgørelser om tilstrækkelighed, der er truffet i henhold til selve direktivet, og ikke længere afgørelser, der er truffet i henhold til forordningen. De elementer i direktivudkastet, som Kommissionen skal tage hensyn til, når den vurderer tilstrækkeligheden af et beskyttelsesniveau, er de samme som dem, der er fastsat i forordningsudkastet.

I artiklerne om overførsler omfattet af fornødne garantier og undtagelser i særlige situationer præciserer Rådets førstebehandlingsholdning, at sådanne overførsler skal dokumenteres, og at dokumentationen skal stilles til rådighed for tilsynsmyndigheden, samt de elementer, som dokumentationen skal indeholde.

Rådets førstebehandlingsholdning tilføjer et grundlag for overførsler, nemlig muligheden for kompetente myndigheder, men kun dem, der er offentlige myndigheder (og ikke de organer eller enheder, som i henhold til medlemsstaternes nationale ret udøver offentlige beføjelser), for at overføre personoplysninger til modtagere i tredjelande. Denne mulighed er en undtagelse fra det generelle princip om, at personoplysninger kun overføres, hvis den dataansvarlige i tredjelandet eller den internationale organisation er en myndighed, der er kompetent med henblik på artikel 1, stk. 1, i direktivudkastet. Rådets førstebehandlingsholdning tillader derfor ovennævnte kompetente myndigheder, i individuelle og specifikke tilfælde, og så længe de øvrige bestemmelser i direktivet overholdes, og en række betingelser, der er udtømmende anført, er opfyldt, at overføre personoplysninger direkte til modtagere, fordi internationale aftaler ikke altid giver mulighed for det hurtige svar, der kan være nødvendigt. Disse betingelser omfatter, at overførslen er strengt nødvendig for den overførende kompetente myndigheds udførelse af en opgave som fastlagt i EU-retten eller medlemsstatsret med henblik på et formål nævnt i artikel 1, stk. 1, at den overførende kompetente myndighed finder, at overførslen til en myndighed, der i tredjelandet er kompetent med henblik på et formål nævnt i artikel 1, stk. 1, er ineffektiv eller uhensigtsmæssig, navnlig fordi overførslen ikke kan foretages i tide, og at den overførende myndighed underretter modtageren om det eller de specifikke formål, hvortil personoplysningerne skal behandles. Som for overførsler på grundlag af garantier og af undtagelser i særlige situationer er der blevet tilføjet en forpligtelse til at dokumentere overførslen. Sådanne overførsler kan være særlig nyttige, hvis der er akut behov for at overføre personoplysninger for at redde livet for en person, som er i fare for at blive offer for en strafbar handling, eller for at forhindre en nært forestående forbrydelse, herunder terrorisme.

18. Tilsynsmyndigheder

For at sikre overholdelse af reglerne i direktivet vil tilsynsmyndigheder overvåge overholdelsen af direktivet såvel som forordningen. Reglerne om tilsynsmyndighederne i direktivudkastet er i vidt omfang taget fra forordningsudkastet. Medlemsstaterne kan fastsætte, at de tilsynsmyndigheder, der oprettes ved forordningen, også kan føre tilsyn med direktivet. Direktivudkastet udelukker imidlertid tilsynsmyndighedernes tilsyn som defineret i direktivudkastet med domstoles behandlingsaktiviteter, når de handler i deres egenskab af domstol. Medlemsstaterne bør kunne udelukke tilsynsmyndighedernes tilsyn som defineret i direktivudkastet med andre uafhængige judicielle myndigheders behandlingsaktiviteter, når sidstnævnte udfører deres judicielle opgaver. Dette betyder imidlertid ikke, at sådanne organers behandling er fritaget for tilsyn. Det er derfor tilføjet i den tilsvarende betragtning, at domstoles og andre uafhængige judicielle myndigheders behandlingsaktiviteter i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder er underlagt en uafhængig myndigheds kontrol.

19. Tilsynsmyndighedernes beføjelser

Rådets førstebehandlingsholdning fastsætter, at tilsynsmyndighederne i hver medlemsstat bør have samme opgaver og effektive beføjelser til at kunne udføre opgaverne med effektivt, pålideligt og ensartet tilsyn med overholdelse og håndhævelse af direktivet i hele Unionen.

Rådets førstebehandlingsholdning inddeler tilsynsmyndighedernes beføjelser, som skal fastsættes ved lov, i tre forskellige kategorier, nemlig effektive undersøgelsesbeføjelser, korrigerende beføjelser og rådgivningsbeføjelser samt beføjelse til at indbringe overtrædelser af de bestemmelser, der vedtages i medfør af direktivet, for de judicielle myndigheder.

20. Forhold til tidligere indgåede internationale aftaler

Rådets førstebehandlingsholdning fastsætter i overensstemmelse med Rådets førstebehandlingsholdning til forordningsudkastet, at internationale aftaler, som er indgået af medlemsstaterne inden datoen for direktivets ikrafttræden, og som er i overensstemmelse med den EU-ret, der finder anvendelse inden datoen for direktivets ikrafttræden, forbliver i kraft, indtil de bliver ændret, erstattet eller ophævet. Som anført med hensyn til forordningsudkastet sikrer bevarelse af gældende aftaler retssikkerhed for dataansvarlige.

IV. KONKLUSION

Rådets førstebehandlingsholdning afspejler det kompromis, der blev indgået i forhandlingerne mellem Rådet og Europa-Parlamentet med støtte fra Kommissionen. Ved at godkende Rådets førstebehandlingsholdning uden ændringer fastsætter Europa-Parlamentet sammen med Rådet høje databeskyttelsesstandarder både på nationalt og grænseoverskridende niveau og giver mulighed for øget samarbejde mellem de retshåndhævende myndigheder.

(1) 5833/12.

(2) 7428/14.

(3) 12555/15.

(4) 5463/16.

(5) Rådets rammeafgørelse 2008/977/RIA af 27. november 2008 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager (EUT L 350 af 30.12.2008, s. 60).