KOMMISSIONENS REKOMMENDATION

av den 26 mars 2009

om riktlinjer för skyddet av personuppgifter i informationssystemet för den inre marknaden (IMI)

[delgivet med nr K(2009) 2041]

(Text av betydelse för EES)

(2009/329/EG)

EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR ANTAGIT DENNA REKOMMENDATION

med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 211 andra strecksatsen,

efter att ha hört Europeiska datatillsynsmannen, och

av följande skäl:

HÄRIGENOM REKOMMENDERAS MEDLEMSSTATERNA

(1) EUT L 144, 30.4.2004, s. 64. Rättad i EUT L 181, 18.5.2004, s. 25.

(2) Kommissionens beslut 93/72/EEG (EGT L 26, 3.2.1993, s. 18).

(3) EUT L 255, 30.9.2005, s. 22.

(4) EUT L 376, 27.12.2006, s. 36.

(5) EGT L 281, 23.11.1995, s. 31.

(6) EGT L 8, 12.1.2001, s. 1.

(7) EUT L 13, 16.1.2008, s. 18.

(8) Yttrande 01911/07/EN, WP 140.

(9) Yttrande från Europeiska datatillsynsmannen om kommissionens beslut 2008/49/EG av den 12 december 2007 om genomförandet av informationssystemet för den inre marknaden (IMI) med avseende på skyddet av personuppgifter (EUT C 270, 25.10.2008, s. 1).

(10) http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/87

BILAGA

RIKTLINJER FÖR TILLÄMPNING AV BESTÄMMELSER OM SKYDDET AV PERSONUPPGIFTER I IMI

1. IMI – ETT VERKTYG FÖR ADMINISTRATIVT SAMARBETE

IMI är en programvara som är tillgänglig via Internet och som utarbetats av Europeiska kommissionen i samarbete med medlemsstaterna. Huvudsyftet är att vägleda medlemsstaterna vid praktisk tillämpning av EU-lagstiftning som innebär ömsesidig hjälp och administrativt samarbete. IMI är inte en databas där information ska lagras under längre tid utan utgör snarare en centraliserad mekanism som ger nationella förvaltningar i EES-medlemsstaterna möjlighet att utbyta uppgifter med begränsad lagringstid.

Inloggningssida för IMI

För närvarande sker uppgiftsutbyte med stöd av IMI inom ramen för direktivet om erkännande av yrkeskvalifikationer. Från och med slutet av 2009 kommer IMI även att stödja uppgiftsutbytet inom ramen för tjänstedirektivet. I framtiden kommer det eventuellt att ligga till grunden för uppgiftsutbytet inom andra lagstiftningsområden som avser den inre marknaden. I bilagan till beslut 2008/49/EG kommer det att finnas en kontinuerligt uppdaterad förteckning över dessa lagstiftningsområden. Bilagan kommer att uppdateras vid behov. IMI kan inte användas för informationsutbyte inom lagstiftningsområden som inte är uttryckligen förtecknade i denna bilaga.

Exempel på hur en tillämpning kan se ut som avser behöriga myndigheter som handlägger yrkeskvalifikationer

Samarbetet mellan nationella förvaltningar är av vital betydelse för att den inre marknaden ska fungera väl. EU-medborgare kan inte dra nytta av den inre marknadens grundläggande rättigheter som etableringsfrihet i en annan medlemsstat eller friheten att tillhandahålla tjänster över gränserna utan att det finns praktiska arrangemang för administrativt samarbete.

Exempel

En tysk läkare som bor i Berlin gifter med en fransman och beslutar att slå sig ned i Paris. Den tyska läkaren vill fortsätta att utöva sitt yrke i Frankrike och lämnar således in sina utbildnings- och examensbevis till franska läkarförbundet. Handläggaren av ärendet är tveksam i fråga om ett av examensbevisens äkthet och använder sig av IMI för att kontrollera med den behöriga myndigheten i Berlin.

Ett franskt industriellt städföretag som är verksamt i Frankrike tillhandahåller även städtjänster över gränsen i den spanska regionen Katalonien. En spansk icke-statlig organisation lämnar in klagomål till det katalanska miljödepartementet med påstående om att det franska företaget inte har erforderlig specialiserad arbetskraft för att hantera vissa rengöringsmedel. Den behöriga katalanska myndigheten använder sig av IMI för att ta reda på huruvida städföretaget arbetar under lagliga former i Frankrike

Administrativt samarbete inom EU är ingen lätt sak. Det finns språkliga hinder (EU har idag 23 officiella språk), bristfälliga administrativa förfaranden för gränsöverskridande samarbete, olika förvaltningsstrukturer och förvaltningskulturer. Dessutom finns det inga klart fastställda partner i andra medlemsstater.

Medlemsstaterna bär visserligen ansvar för att se till att lagstiftningen för den inre marknaden fungerar väl inom det egna territoriet men kommissionen anser att medlemsstaterna behöver lämpliga verktyg för att kunna samarbeta. IMI har inrättats för följande syften: Identifiera rätt behörig myndighet i en annan medlemsstat (sökfunktion), hantera informationsutbytet med hjälp av enkla och enhetliga förfaranden och undanröja språkhindren med hjälp av på förhand fastställda och redan översatta uppsättningar av frågor.

Skärmdump med frågor på de språk som används av två behöriga myndigheter som utbyter information

2. OMFATTNINGEN AV OCH SYFTET MED DESSA RIKTLINJER

IMI-användare är experter inom sitt kompetensområde oavsett om det är frågan om regler som gäller för en yrkeskategoriskategori eller bestämmelser som avser tillhandahållandet av tjänster. De är dock inte experter på skyddet av personuppgifter och kanske inte tillräckligt insatta i de krav som fastställs i deras egen nationella lagstiftning i fråga om skyddet av personuppgifter.

Därför vore det lämpligt att förse IMI-användare med riktlinjer som beskriver hur IMI fungerar när det gäller skyddet av personuppgifter, vilket skydd som byggts in i systemet och de eventuella riskerna med att använda systemet (1).

Riktlinjerna syftar inte till att ge en fullständig överblick över alla frågor som rör skyddet av personuppgifter i samband med användningen av IMI utan är tänkt att ge en användarvänlig förklaring och skapa en ram för IMI-användare som främjar efterlevnaden. Vid behov kan IMI-användare alltid få ytterligare vägledning och hjälp från medlemsstaternas dataskyddsmyndigheter. Via nedanstående länk nås en förteckning över kontaktuppgifter för dessa dataskyddsmyndigheter och deras webbplatser:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm

3. EN MILJÖ SOM FRÄMJAR SKYDDET AV PERSONUPPGIFTER

IMI har utarbetats utifrån kraven i lagstiftningen om skyddet av personuppgifter och på ett sätt som värnar om skyddet av dessa uppgifter.

IMI-användare kan vara säkra på att IMI är en tillförlitlig programvara när det gäller skyddet av personuppgifter, vilket enkelt kan åskådliggöras genom följande exempel:

a) IMI används uteslutande av behöriga myndigheter inom EES-området (EU:s medlemsstater samt Norge, Island och Liechtenstein) och inga personuppgifter lämnas utanför EES.

b) Europeiska kommissionen och IMI-samordnarna (2) har ingen tillgång till personuppgifter som rör yrkesutövare eller tjänsteleverantörer och som utväxlats genom systemet.

c) Enbart den behöriga myndighet som är inblandad i en förfrågan om uppgifter får tillgång till en tjänsteleverantörs personuppgifter (3). Skyddet är i praktiken så omfattande att det hindrar mottagaren av en förfrågan att ta del av personuppgifterna om tjänsteleverantören till dess att mottagaren formellt accepterat denna förfrågan. Exempel på hur en förfrågan kan se ut innan den godkänts av mottagaren

d) Alla personuppgifter som gäller en förfrågan raderas automatiskt ur systemet sex månader efter att informationsutbytet avslutats eller även tidigare om den berörda myndigheten begär detta (för närmare uppgifter se kapitel 12 om lagringstid).

4. VEM ÄR VEM I IMI? GEMENSAM KONTROLL

IMI är ett klart exempel på gemensam behandling av uppgifter och gemensam kontroll. Exempelvis sker utbytet av personuppgifter enbart mellan medlemsstaternas behöriga myndigheter. Lagringen av dessa uppgifter på myndigheternas servrar faller däremot inom Europeiska kommissionens behörighetsområde. Europeiska kommissionen kan inte få tillgång till dessa personuppgifter men handhar det system som fysiskt utplånar och utför rättelser av personuppgifter.

Till följd av att kommissionen och medlemsstaterna tilldelas olika ansvarsområden leder detta till följande:

a) Varje behörig myndighet och varje IMI-samordnare är ansvarig för att kontrollera sin egen uppgiftsbehandling.

b) Kommissionen är inte en användare utan handhar systemet och ansvarar i första hand för dess underhåll och säkerhet (4).

c) IMI-aktörerna delar ansvaret när det gäller underrättelser och rätt till tillgång, invändningar och rättelse.

I komplexa system med gemensam kontroll som IMI förefaller det i fråga om efterlevnaden som om det är bäst att från början införliva skyddet av personuppgifter i systemet (se under avsnittet ”Pågående arbete” i kapitel 13: ”Samarbete med dataskyddsmyndigheter och Europeiska datatillsynsmannen”) och att fastställa en ram för efterlevnaden enligt riktlinjerna. Alla IMI-aktörer och IMI-användare är ansvariga för att efterleva regelverket.

5. IMI-AKTÖRER OCH IMI-ANVÄNDARE

Alla aktörer som använder IMI godkänns av IMI-samordnarna. I artiklarna 6–12 i beslut 2008/49/EG redogörs ingående för aktörer och användare samt deras uppgifter, rättigheter och skyldigheter. Det finns alltså ingen anledning att ta upp detta i riktlinjerna.

IMI är ett ytterst flexibelt system som ger medlemsstaterna möjlighet att tilldela behöriga myndigheter och samordnare skyldigheter och uppgifter på många olika sätt för att kunna anpassa systemet till den enskilda förvaltningsstrukturen och till de lagstiftningsområden som omfattas av det administrativa samarbetet.

Vidare bör det påpekas att IMI-användare även ansvarar för många andra sorters behandling. Efterlevnaden av skyddet av personuppgifter inom IMI behöver inte vara speciellt komplicerat eller bidra till omfattade administrativt merarbete. Det behöver inte heller utformas på ett för alla enhetligt sätt.

I de flesta fall behöver behöriga myndigheter enbart utföra uppgiftsbehandling inom ramen för IMI enligt samma regler och goda praxis som de normalt tillämpar i egenskap av registeransvariga i enlighet med deras egna särskilda behov och den egna medlemsstatens lagar om uppgiftsskydd.

De bör även dra nytta av den uppgiftsskyddsvänliga miljö som IMI-systemet erbjuder. Bland annat bör myndigheterna uppmanas, om de inte längre behöver de personuppgifter som utväxlats genom IMI, att radera dessa ur systemet även före det att lagringstiden på sex månader löpt ut.

6. RÄTTSLIG GRUND FÖR UTBYTE AV PERSONUPPGIFTER INOM IMI

Kommissionen har antagit beslut 2008/49/EG som fastställer IMI-aktörers och IMI-användares uppgifter, rättigheter och skyldigheter när det gäller tillämpningen av IMI med avseende på skyddet av personuppgifter.

All information som utväxlas inom IMI utgörs inte av personuppgifter. Utbytet av uppgifter kan exempelvis gälla juridiska personer (5). En fråga eller ett svar behöver inte heller röra en bestämd enskild person (till exempel allmänna frågor om huruvida ett yrke är reglerat inom en viss medlemsstat).

I många fall avser dock uppgiftsutbytet enskilda personer och därför måste det finnas en rättslig grund för behandlingen av personuppgifter. Det är ofta i den registrerades intresse att IMI används. Även om utbytet av personuppgifter inte nödvändigtvis är i den registrerades intresse kan behöriga myndigheter utbyta uppgifter med hjälp av IMI förutsatt att detta utbyte krävs enligt en fastställd rättslig grund.

I artikel 7 i direktiv 95/46/EG fastställs de principer som gäller för uppgiftsbehandling. Artiklarna 7 c och 7 e är de mest relevanta när det gäller utbytet av uppgifter inom IMI.

I) Fullgörande en rättslig förpliktelse (artikel 7 c).

EU:s medlemsstater är i princip skyldiga att samarbeta med varandra och med gemenskapsinstitutionerna. Skyldigheten att samarbeta på det administrativa planet fastställs uttryckligen och tydligt i direktiv 2005/36/EG (om erkännande av yrkeskvalifikationer) och direktiv 2006/123/EG (tjänstedirektivet).

I artikel 56.1 och 56.2 i direktivet om erkännande av yrkeskvalifikationer föreskrivs följande:

”1. De behöriga myndigheterna i den mottagande medlemsstaten och ursprungsmedlemsstaten skall bedriva ett nära samarbete och ge varandra ömsesidigt bistånd för att underlätta tillämpningen av detta direktiv. De skall garantera att de upplysningar som utväxlas behandlas konfidentiellt. 2. De behöriga myndigheterna i den mottagande medlemsstaten och ursprungsmedlemsstaten skall utbyta information om disciplinära åtgärder eller straffrättsliga påföljder som vidtagits eller andra allvarliga, specifika omständigheter som kan ha följder för utövandet av verksamheten enligt detta direktiv, med iakttagande av lagstiftningen om skydd av personuppgifter enligt Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och Europaparlamentets och rådets direktiv 2002/58/EG av den12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation [EUT L 201, 31.7.2002, s. 37].”

I artikel 28.1 och 28.6 i tjänstedirektivet föreskrivs följande:

”1. Medlemsstaterna skall ömsesidigt bistå varandra och vidta åtgärder för att kunna samarbeta effektivt vid tillsynen av tjänsteleverantörer och deras tjänster (…) 6. Medlemsstaterna skall så snart som möjligt och på elektronisk väg översända de uppgifter som andra medlemsstater eller kommissionen begär.”

I artikel 34.1 i tjänstedirektivet föreskrivs följande:

”1. Kommissionen skall i samarbete med medlemsstaterna inrätta ett elektroniskt system för informationsutbyte mellan medlemsstaterna med beaktande av befintliga informationssystem”.

II) Behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige (artikel 7 e).

IMI-aktörer och IMI-användare utför uppgifter av allmänt intresse eller som ett led i deras myndighetsutövning. All registrering i IMI godkänns av IMI-samordnaren som kontrollerar att den behöriga myndigheten utövar sina befogenheter antingen i allmänhetens intresse (exempelvis läkar- och veterinärförbund som garanterar att deras medlemmar följer etiska och sanitära bestämmelser) eller som ett led i sin myndighetsutövning (exempelvis utbildningsministerier som garanterar att gymnasielärare har erforderliga yrkeskvalifikationer).

Således kan IMI, med hänvisning till det ovan sagda, användas för utbyte av personuppgifter enligt direktivet om erkännande av yrkeskvalifikationer och tjänstedirektivet i de syften som fastställs i bestämmelserna i dessa direktiv. Uppgifter som avser annan lagstiftning för den inre marknaden får inte utbytas inom IMI. Om tillämpningsområdet för IMI i något skede utvidgas till att omfatta annan lagstiftning kommer erforderlig hänvisning till relevant gemenskapslagstiftning att inkluderas i bilagan till beslut 2008/49/EG.

7. TILLÄMPLIG LAGSTIFTNING OCH LÄMPLIG TILLSYN

Vilken lagstiftning om uppgiftsskydd som ska tillämpas beror på vem IMI-aktören eller IMI-användaren är. Förordning (EG) nr 45/2001 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter är den tillämpliga förordningen i Europeiska kommissionens fall. När det gäller nationella användare (till exempel en behörig myndighet) utgör den nationella dataskyddslagstiftningen tillämplig lagstiftning, vilken måste vara i överensstämmelse med direktiv 95/46/EG.

Europeiska unionen har en fast rättslig ram för uppgiftsskyddet som fastställs i detta direktiv och i förordning (EG) nr 45/2001 (6). EU:s direktiv om skydd av uppgifter ger medlemsstaterna en viss flexibilitet. Nationella IMI-samordnare uppmanas därför att diskutera dessa riktlinjer med sina respektive dataskyddsmyndigheter, till exempel när det gäller detaljuppgifter som tillhandahålls enskilda personer (se under kapitel 9) eller skyldigheten att anmäla viss uppgiftsbehandling till dataskyddsmyndigheterna.

Direktiv 95/46/EG är ett direktiv om den inre marknaden som fyller ett dubbelt syfte. Harmoniseringen av nationell dataskyddslagstiftning syftar till att tillgodose både en hög dataskyddsnivå och att tillvarata enskilda personers grundläggande rättigheter och därmed tillåta ett fritt flöde av personuppgifter mellan medlemsstaterna. Nationella särdrag bör därför inte ha någon praktisk eller särskild inverkan på användningen av IMI och på det utbyte av uppgifter som krävs enligt andra gemenskapsakter.

Tillsynen genom en offentlig oberoende dataskyddsmyndighet utgör en av de mest betydelsefulla egenskaperna i EU:s regelverk för skyddet av uppgifter. EU-medborgare kan således lämna in klagomål till dessa myndigheter för att problem som gäller skyddet av uppgifter ska behandlas snabbt och utanför domstol. Behandlingen av personuppgifter på nationell nivå kontrolleras av den nationella dataskyddsmyndigheten och EU-institutionernas behandling av personuppgifter kontrolleras av den Europeiska datatillsynsmannen. Således kontrolleras Europeiska kommissionen av Europeiska datatillsynsmannen medan andra IMI-användare kontrolleras av berörda nationella dataskyddsmyndigheter. I kapitel 10 om rätten till tillgång och rättelse samt kapitel 13 om samarbetet mellan dataskyddsmyndigheter och Europeiska datatillsynsmannen redogörs mer ingående för hur klagomål eller en begäran från registrerade ska hanteras

8. PRINCIPER AVSEENDE SKYDDET AV UPPGIFTER VID UTBYTE AV INFORMATION

Behandling av personuppgifter får enligt gemenskapslagstiftningen endast ske på vissa villkor (se kapitel 6 ”Rättslig grund för utbyte av personuppgifter inom IMI”) och i enlighet med vissa principer som i direktivet om skydd av uppgifter kallas för ”principer om uppgifternas kvalitet” (artikel 6 i det direktivet).

Registeransvariga bör endast samla in personuppgifter för lagliga och särskilda ändamål och inte behandla dessa uppgifter för andra ändamål som inte är förenliga med de ändamål som uppgavs när de inhämtades. Ett klassiskt exempel på oförenlighet är när en behörig myndighet i marknadsföringssyfte säljer vidare till privata företag sådana adressuppgifter som de samlat in för att handlägga frågor enligt tjänstedirektivet som rör utländsk arbetskraft

Behandlingen av personuppgifter måste dessutom vara proportionerlig (ändamålsenlig, relevant och rimlig) i förhållande till ändamålet med insamlingen. Den registeransvarige måste också vidta erforderliga åtgärder för att se till att uppgifterna uppdateras och att de utplånas eller görs anonyma så snart som identifieringen av den registrerade inte längre är nödvändig. Principer för uppgifternas kvalitet är bra principer för hantering av information eftersom ett bra informationssystem inte innebär att man utan någon speciell anledning lagrar mängder av gigabyte som snart blir gamla och otillförlitliga. Ett bra elektroniskt informationssystem ska samla in enbart sådana uppgifter som är nödvändiga för ett förutbestämt ändamål. Dessa uppgifter ska hållas uppdaterade så att de är fullt tillförlitliga.

Tillämpas dessa kvalitetsprinciper vid användningen av IMI leder det till följande rekommendationer:

(1) Användningen av IMI ska begränsas till uteslutande de ändamål som fastställs i tillämplig lagstiftning (till exempel vid skälig grund för tvivel eller av annat skäl som fastställs i tillämplig lagstiftning). IMI förväntas bli det rutinmässiga sättet för utbyte av information mellan behöriga myndigheter. Därför måste det göras fullständigt klart att IMI inte bör användas systematiskt för att utföra säkerhetsprövningar av migrerande yrkesutövare eller tjänsteleverantörer.

(2) Den behöriga myndighet som gör en förfrågan ska enbart tillhandahålla de personuppgifter som den svarande myndigheten behöver för att otvetydigt kunna identifiera ifrågavarande person eller för att kunna svara på frågorna. Om en migrerande yrkesutövare kan identifieras genom sitt namn eller ett registreringsnummer i ett yrkesregister finns det ingen anledning till att också lämna uppgift om dennes personnummer.

(3) IMI-användare bör noggrant välja sina frågor och inte ställa fler frågor än vad som är absolut nödvändigt. Det gäller inte enbart att följa kvalitetsprinciperna utan att även att undvika onödig administration. För att tillgodose öppenhetsprincipen offentliggörs de fördefinierade frågorna på IMI:s webbplats (7). Vilka uppgifter är känsliga? (8) Känsliga uppgifter är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa, sexualliv, brott, brottmålsdomar eller säkerhetsåtgärder. I vissa medlemsstater kan även administrativa sanktioner eller avgöranden betraktas som känsliga uppgifter.

(4) Behöriga myndigheter måste vidta särskilda försiktighetsmått när de utbyter information som rör känsliga uppgifter. Utbyte av känsliga uppgifter är möjligt endast under vissa begränsade omständigheter. De främsta kraven för behandling av känsliga uppgifter i IMI är följande: a) Behandling av känsliga uppgifter är nödvändig för att fastslå, göra gällande eller försvara rättsliga anspråk (se artikel 8.2 i direktivet om skydd av uppgifter och motsvarande bestämmelser i nationell lagstiftning). Detta kan gälla utbyte av uppgifter i IMI då exempelvis en migrerande yrkesutövare eller tjänsteleverantör hävdar sin rätt att utöva sitt yrke eller att etablera sig i en annan medlemsstat. I varje enskilt fall måste de behöriga myndigheterna göra en bedömning av huruvida användningen av känsliga uppgifter verkligen är absolut nödvändig för att fastställa en rättighet. Medlemsstaterna har, när det gäller vissa särskilda känsliga uppgifter som utväxlas i IMI, antagit särskilda bestämmelser i direktivet om erkännande av yrkeskvalifikationer och i tjänstedirektivet. 1. I artikel 56.2 i direktivet om erkännande av yrkeskvalifikationer sägs att: ”De behöriga myndigheterna i den mottagande medlemsstaten och ursprungsmedlemsstaten skall utbyta information om disciplinära åtgärder eller straffrättsliga påföljder som vidtagits eller andra allvarliga, specifika omständigheter som kan ha följder för utövandet av verksamheten enligt detta direktiv, med iakttagande av lagstiftningen om skydd av personuppgifter (…)” 2. I artikel 33 i tjänstedirektivet fastställs särskilda regler för utbyte av uppgifter som rör en tjänsteleverantörs anseende:”Medlemsstaterna skall på begäran av en annan medlemsstats behöriga myndighet översända alla uppgifter, i enlighet med sin nationella lagstiftning, om sådana disciplinära eller administrativa åtgärder eller straffrättsliga påföljder och beslut rörande betalningsoförmåga och konkurser (…)” b) Den registrerade ger sitt uttryckliga medgivande. Om det administrativa samarbetet är i den registrerades intresse kan det vara enkelt att få den registrerades uttryckliga medgivande för behandlingen av personuppgifter.

(5) Stor försiktighet måste iakttas när det gäller uppgifter från kriminalregistret. I sådana fall är det utomordentligt viktigt att uppgifterna är korrekta och uppdaterade. Känsliga uppgifter bör endast begäras när detta är tillåtet enligt gällande gemenskapslagstiftning och är absolut nödvändigt för att kunna fatta ett beslut i en viss fråga som är direkt kopplad till denna begäran. Vidare måste denna begäran överensstämma med andra principer som gäller för direktivet om skydd av personuppgifter och den förordning som det hänvisas till i denna rekommendation (9). IMed andra ord måste behandlingen av personuppgifter vara direkt kopplad till utövandet av en yrkesverksamhet eller till tillhandahållandet av en tjänst och nödvändig för att kunna kontrollera överensstämmelse med bestämmelserna i tillämpliga direktiv. IMI-användare bör alltid vara medvetna om att i många fall måste de uppgifter som krävs för att kunna fatta ett beslut inte nödvändigtvis hänföra sig specifikt till en migrerande yrkesutövares eller tjänsteleverantörs kriminalregister. Enbart ett fåtal frågor i IMI:s uppsättning av frågor hänför sig till kriminalregistret eller till andra känsliga uppgifter (10). Utbyte av känsliga uppgifter får, utöver dessa begränsade fall, enbart äga rum i sådana undantagsfall då de faktiska omständigheterna är sådana att de känsliga uppgifterna är direkt relaterade till utövandet av verksamheten i fråga och är absolut nödvändiga för att kunna fastställa de rättsliga anspråken. Behöriga myndigheter får inte använda IMI för att rutinmässigt kontrollera en migrerande yrkesutövares eventuella kriminella förflutna eftersom detta inte skulle vara i enlighet med det syfte för vilket IMI inrättades. Förfrågningar som rör brott eller disciplinära åtgärder måste också hänföra sig till yrkesutövandet eller tillhandahållandet av tjänsten och inte till andra brott som den migrerande yrkesutövaren begått eller disciplinära åtgärder som vidtagits i hemlandet. För att exempelvis kunna fastställa om en läkare är lagligt registrerad och har gott anseende i det läkarförbund som han tillhör behöver den behöriga myndigheten inte veta om sådan förseelse inte skulle hindra honom från att utöva sitt yrke i hemlandet.

Vidarebehandling och lagring utanför IMI

Användningen av IMI kommer ofta att vara förknippad med tillhandahållandet av information för annan uppgiftsbehandling som äger rum i medlemsstaten (exempelvis handläggning av en ansökan om att få utföra en tjänst eller tillstånd för en viss verksamhet). Det faller sig därför naturligt att behöriga myndigheter vidarebehandlar de uppgifter som insamlats för andra ändamål. Om uppgifter erhålls via IMI och behandlas vidare utanför systemet är nationell dataskyddslagstiftning tillämplig. Därför är det nödvändigt att se till följande:

— Vidarebehandlingen är förenlig med ändamålet för den insamling och det utbyte som skedde för IMI:s räkning.

— Vidarebehandlingen är nödvändig och proportionerlig (ändamålsenlig, relevant och rimlig) med hänsyn till det ursprungliga ändamålet med insamlingen för IMI.

— Vidta erforderliga åtgärder för att uppdatera uppgifterna och utplåna dem när de inte längre behövs.

— När uppgifter hämtas från IMI för att lämnas ut till en tredjepart ska den registrerade underrättas om detta för att säkerställa att behandlingen sker på ett korrekt sätt såvida detta inte är omöjligt eller medför orimligt arbete eller om utlämnandet uttryckligen fastställs i lagstiftning (se artikel 11.2 i direktiv 95/46/EG om skydd av uppgifter). Med hänsyn till att utlämnandet av uppgifter kan vara föreskrivet i lagstiftning i enbart en av de inblandade medlemsstaterna, och därför inte är allmänt känt, föreslår kommissionen att man ska vinnlägga sig om att tillhandahålla sådana underrättelser även om detta utlämnande är uttryckligen fastställt i lagstiftning.

9. TILLHANDAHÅLLANDE AV INFORMATION TILL REGISTRERADE

En av hörnstenarna i alla system för uppgiftsskydd är att de registeransvariga informerar den registrerade om den behandling som man avser att utföra av den registrerades personuppgifter.

I artikel 10 i direktivet om skydd av uppgifter fastställs att den registrerade i samband med insamling av uppgifter åtminstone måste informeras om vem den registeransvarige är, ändamålet med behandlingen, uppgiftsmottagaren eller kategorier av uppgiftsmottagare, huruvida svaren på frågorna är obligatoriska och eventuella följder av att inte svara samt rätten till tillgång och rättelse.

Behöriga myndigheter måste därför vid insamling av en enskilds personuppgifter informera den registrerade om att, med anledning av dennes begäran, uppgifter kan komma att föras in i IMI i syfte att skapa överensstämmelse med andra medlemsstaters offentliga förvaltningar. Vidare ska den registrerade informeras om att denne vid behov kan begära tillgång till eller rättelse av de utväxla uppgifterna hos någon av de behöriga myndigheter som varit inblandade i förfrågan (för ytterligare information se kapitel 10 om rätten till tillgång och rättelse).

Varje behörig myndighet ska själv bestämma hur denna information ska förmedlas till den registrerade. Eftersom sannolikt alla behöriga myndigheter utför annan behandling än informationsutbyte inom IMI kan samma tillvägagångssätt för att informera enskilda personer tillämpas som det som används enligt nationell lagstiftning för att förmedla liknande information om annan uppgiftsbehandling (exempelvis skyltar, genom skriftväxling med den registrerade och/eller på webbplatser).

Tillhandahållande av information inom ramen för direktivet om skydd av uppgifter

I artikel 10 i direktivet om skydd för enskilda personer med avseende på behandling av personuppgifter (direktivet om skydd av uppgifter) finns en förteckning över den minimiinformation som måste tillhandahållas enskilda personer, utom i fall då de redan känner till informationen:

a) Den registeransvariges/de registeransvarigas identitet (behörig myndighet som samlar in uppgifterna och liknande myndigheter i andra medlemsstater).

b) Ändamålen med behandlingen (motsvarande behoven hos andra myndigheter, som är involverade i en migrerande yrkesutövares eller tjänsteleverantörs förfrågan).

c) All ytterligare information om denna är nödvändig för att säkerställa en korrekt behandling eller om tillhandahållande av ytterligare uppgifter krävs enligt nationell lagstiftning, som exempelvis 1. mottagare eller kategorier av mottagare, och 2. förekomsten av rättigheten att få tillgång till och att erhålla rättelse av uppgifter som rör den registrerade, hur denna rätt kan utövas i praktiken och eventuella undantag från dessa rättigheter enligt nationell lagstiftning, 3. rätten till rättslig prövning (till exempel tillgång till domstolsprövning och rätten till skadeståndsanspråk), 4. lagring och lagringstid, 5. säkerhetsåtgärder, 6. länkar till relevanta dokument och webbplatser, däribland kommissionens IMI-webbplats.

I direktivet om skydd av personuppgifter fastställs två fall då den registrerade måste informeras: När uppgifter samlats in direkt av dem och när uppgifterna erhållits från någon annan. När det gäller det senare fallet innehåller artikel 11 dock en bestämmelse om när tillhandahållandet av sådan information inte är erforderligt exempelvis om det skulle innebära en oproportionerligt stor ansträngning eller om registreringen eller utlämnandet uttryckligen fastställs i lagstiftning (vilket är fallet vid informationsutbyte inom IMI). I direktivet sägs om dessa fall att ”medlemsstaterna ska föreskriva lämpliga skyddsåtgärder ”.

Behöriga myndigheter kan därför behöva finjustera bestämmelserna om informationen till registrerade på grundval av deras nationella dataskyddslagstiftning eventuellt i samråd med nationella IMI-samordnare och de nationella dataskyddsmyndigheterna. Ett ”skiktat” tillvägagångssätt, som tillhandahåller basuppgifter i samband med insamlingen, rekommenderas (exempelvis i ansökningsformulär till behöriga myndigheter). Vidare bör det anges var den registrerade vid behov kan få utförligare information..

När det gäller det andra skiktet med mer detaljerade uppgifter kan det vara lämpligt att på webbplatser tillhandahålla information om integritetsskyddet och om gällande integritetspolicy (privacy statement).

Om behöriga myndigheter redan tillhandahåller information om sin integritetspolicy ska den uppdateras eller kompletteras så att den klart och tydligt hänför sig till utbytet av personuppgifter inom IMI. Om så inte är fallet ska de behöriga myndigheterna besluta om huruvida användningen av IMI och omfattningen av de personuppgifter som samlas in kräver att man offentliggör en redogörelse för integritetspolicyn online.

Om IMI enbart används i enstaka fall kan det vara tillräckligt att informera enskilda personer om IMI i korthet i samband med insamlingen och vid behov även senare. Om den behöriga myndigheten inte tillhandahåller registrerade personer någon information om sin integritetspolicy avseende IMI ska myndigheten klart redogöra för var den registrerade kan få utförligare information, exempelvis på den nationella IMI-samordnarens webbplats och på kommissionens IMI-webbplats.

Avsnittet om skyddet av uppgifter på kommissionens IMI-webbplats (11) inkluderar kommissionens integritetspolicy avseende IMI. Den innehåller även ytterligare information till registrerade om hur de kan utöva sina rättigheter och få hjälp från nationella behöriga myndigheter eller vid behov dataskyddsmyndigheter.

”Om du tror att dina personuppgifter finns lagrade i IMI och vill få tillgång till dessa eller få dem utplånade måste du kontakta den förvaltning eller den yrkesorganisation som du varit i kontakt med eller en annan IMI-användare som fått ta del av dina personuppgifter. Om du inte är nöjd med svaret kan du antingen ta kontakt med en annan IMI-användare som varit inblandad eller lämna in klagomål hos en dataskyddsmyndighet som har behörighet för en av de IMI-användare som haft att göra med denna förfrågan. Denna myndighet kommer att ge dig hjälp kostnadsfritt. Under följande länk finns en förteckning över dataskyddsmyndigheter: http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm Observera att i vissa medlemsstaters lagstiftning kan det finnas undantag från rätten om tillgång till personuppgifter.”

Viktiga IMI-aktörer som hanterar ett stort antal förfrågningar rekommenderas varmt att lägga ut information om integritetsskyddet på sin webbplats. Sådan information om integritetsskyddet bör ha en länk till kommissionens IMI-webbplats om skyddet av personuppgifter. Andra behöriga myndigheter som hanterar ett fåtal förfrågningar kan i första hand nöja sig med en länk till kommissionen IMI-webbplats.

De nationella IMI-samordnarna bör bistå behöriga myndigheter. Detta kan innebära utarbetande av förslag till meddelanden om skyddet av personuppgifter som kan användas som mall av behöriga nationella myndigheter. Alternativt kan ett gemensamt nationellt meddelande om skyddet av personuppgifter utarbetas och offentliggöras på Internet av den nationella samordnaren. Varje behörig myndighet kan då vid kontakt med registrerade personer bara hänvisa till länken till detta meddelande (till exempel i ansökningsformulär eller i annan dokumentation som tillhandahålls den registrerade).

EUROPEISKA KOMMISSIONENS INTEGRITETSPOLICY

Informationssystemet för den inre marknaden – IMI

1. Vad är IMI och vem berörs?

Syftet med IMI är att göra det lättare för EES-ländernas myndigheter att samarbeta och hjälpa varandra, så att den inre marknaden fungerar som det är tänkt, och personer och tjänster verkligen kan röra sig fritt. Med hjälp av IMI kan de nationella myndigheterna utbyta information och i viss utsträckning även personuppgifter.

Nedan förklaras hur EU-kommissionen skyddar personuppgifter i den del av IMI som kommissionen ansvarar för, dvs. insamling, registrering, lagring och borttagning av personuppgifter om de första användarna inom de myndigheter som agerar som nationella IMI-samordnare, samt lagring och borttagning – dock inte insamling, hämtning eller visning – av personuppgifter om andra IMI-användare och om personer som är föremål för informationsutbyte. Kommissionens skydd av personuppgifter gäller alltså inte den databehandling som medlemsländerna ansvarar för.

2. Rättslig grund

All databehandling som EU-kommissionen ansvarar för omfattas av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter.

Tillämpligt är också kommissionens beslut 2008/49/EG av 12 december 2007 om genomförandet av informationssystemet för den inre marknaden (IMI) med avseende på skyddet av personuppgifter.

3. Vilka uppgifter behandlar kommissionen i IMI?

Kommissionen samlar in nödvändiga kontaktuppgifter för de första användarna inom de myndigheter som agerar som nationella IMI-samordnare, exempelvis namn, telefonnummer till arbetet, faxnummer och e-postadress. Dessa personuppgifter och uppgifter om användare inom andra behöriga myndigheter, exempelvis delegerade IMI-samordnare, lagras på en av kommissionens servrar.

Av tekniska skäl lagras även uppgifter om de personer som är föremål för informationsutbyte mellan myndigheterna på en av kommissionens servrar.

4. Varför behandlas personuppgifter i IMI?

De nationella IMI-samordnarnas kontaktuppgifter behövs för att IMI ska kunna tas i drift och fungera. Kommissionen måste ha tillgång till uppgifterna för att på ett effektivt sätt kunna förvalta IMI i samarbete med medlemsländerna.

Även uppgifter om personer som är föremål för informationsutbyte mellan nationella myndigheter lagras i IMI. Därmed förbättras och underlättas det samarbete mellan myndigheterna som föreskrivs i EU:s lagstiftning och som syftar till att förverkliga den inre marknaden för sådana tjänster som tillfälligt tillhandahålls över gränserna och för tjänsteleverantörer som vill etablera sig i ett annat medlemsland.

5. Vem har tillgång till personuppgifterna?

Kommissionens lokala dataadministratörer har tillgång till personuppgifter om de lokala dataadministratörerna i de myndigheter som agerar som nationella IMI-samordnare (i enlighet med artikel 12.7 i beslut 2008/49/EG med avseende på skyddet av personuppgifter). Kommissionens personal har inte tillgång till uppgifter om de personer som är föremål för ett informationsutbyte mellan myndigheterna.

6. Hur länge lagras personuppgifterna?

Uppgifterna om de behöriga myndigheternas och samordningsmyndigheternas användare lagras så länge de är registrerade som IMI-användare.

Kommissionen raderar automatiskt alla personuppgifter som de behöriga myndigheterna skickar till varandra via IMI sex månader efter det att informationsutbytet har avslutats formellt. Av statistiska skäl hålls själva informationsutbytet kvar i IMI, men alla personuppgifter görs anonyma. En myndighet som har utbytt information med en annan myndighet via IMI kan när som helst efter avslutat informationsutbyte begära att kommissionen raderar specifika personuppgifter. Begäran uppfylls inom tio arbetsdagar, förutsatt att den andra myndigheten inte har något emot det.

7. Hur skyddas personuppgifterna mot dataintrång?

IMI skyddas med hjälp av en rad tekniska åtgärder. Olika nivåer för tillgång till databasen skyddas genom ett vanligt lösenordssystem kombinerat med en digital kod liknande den som används av många internetbanker. Bara ett begränsat antal personer har tillgång till personuppgifter i IMI (se punkt 5 ”Vem har tillgång till personuppgifterna?”). Systemet skyddas dessutom med hjälp av https, som är ett särskilt internetprotokoll för säker kommunikation.

8. Hur får jag tillgång till mina personuppgifter?

Om du är nationell IMI-samordnare, vänder du dig till kontaktpunkten i punkt 10 för att få tillgång till dina personuppgifter.

9. Ytterligare information

Utöver redogörelsen för integritetspolicyn är ”viktig rättsligt meddelande” (http://europa.eu/geninfo/legal_notices_en.htm) tillämpligt.

Om du tror att dina personuppgifter finns lagrade i IMI och vill få tillgång till dessa eller få dem utplånade måste du kontakta den förvaltning eller den yrkesorganisation som du varit i kontakt med eller en annan IMI-användare som fått ta del av dina personuppgifter. Om du inte är nöjd med svaret kan du antingen ta kontakt med en annan IMI-användare som varit inblandad eller lämna in klagomål hos en dataskyddsmyndighet som har behörighet för en av de IMI-användare som haft att göra med denna förfrågan. Denna myndighet kommer att ge dig hjälp kostnadsfritt. Under följande länk finns en förteckning över dataskyddsmyndigheter:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm

Observera att i vissa medlemsstaters lagstiftning kan det finnas undantag från rätten om tillgång till personuppgifter.

10. Kontakt

IMI förvaltas av kommissionens generaldirektorat för inre marknaden och tjänster, enhet E.3. Registeransvarig är enhetschef Nicholas Leapman. IMI-kontaktadress:

Europeiska kommissionen Generaldirektoratet för inre marknaden och tjänster Enhet E.3 1049 Bryssel BELGIEN markt-imi-dataprotection@ec.europa.eu

Om du vill klaga på kommissionens databehandling kan du kontakta Europeiska datatillsynsmannen:

Europeiska datatillsynsmannen (EDPS) Rue Wiertz 60 (MO 63) 1047 Bryssel BELGIEN Tfn (32-2) 2831900 Fax (32-2) 2831950 edps@edps.europa.eu

10. RÄTT TILL TILLGÅNG OCH RÄTTELSE

Öppenhet gentemot den registrerade är utomordentligt viktigt. Detta kan uppnås dels genom att tillhandahålla den registrerade den information som behandlas i ovanstående kapitel, dels genom att ge honom/henne rätten att få tillgång till sina personuppgifter och i tillämpliga fall rätten att få dem borttagna, rättade eller blockerade om de är felaktiga eller har behandlats på ett otillåtet sätt.

IMI-systemets komplexitet med många aktörer och användare inblandade i den gemensamma behandlingen och kontrollen kräver ett entydigt tillvägagångssätt gentemot den registrerade. Registrerade personer känner inte till de tekniska aspekterna av gemensam behandling av uppgifter eller hur IMI fungerar och behöver inte heller göra det.

Därför är det nödvändigt att inrätta ett klart och enkelt tillvägagångssätt. Den registrerade ska i regel kunna utöva sin rätt till tillgång, rättelse och borttagning genom att kontakta en av de behöriga myndigheter som varit inblandad i förfrågan. Undantag medges enbart i motiverade fall som överenskommits mellan den registrerade och andra berörda parter. Ingen behörig myndighet får avslå en förfrågan om tillgång till eller rättelse eller borttagning av uppgifter med hänvisning till att den inte förde in uppgifterna i systemet eller att den registrerade ska kontakta en annan behörig myndighet. En behörig myndighet som fått en förfrågan ska granska, bevilja eller avslå den beroende på sakförhållandena kring denna förfrågan och bestämmelserna i den nationella dataskyddslagstiftningen. Den behöriga myndigheten kan om nödvändigt och lämpligt kontakta andra behöriga myndigheter innan den fattar beslut. Om de behöriga myndigheterna inte är överens ska de kontakta sina respektive dataskyddsmyndigheter så att en lösning kan nås snabbt och effektivt.

Om den registrerade inte är nöjd med det beslut om fattats kan han fritt välja att kontakta en annan behörig myndighet som varit inblandad i informationsutbytet eller en av dessa behöriga myndigheters nationella dataskyddsmyndighet. Detta kan exempelvis vara myndigheten i det land där den registrerade etablerat sig eller dennes egen dataskyddsmyndighet eller myndigheten i det land där den registrerade arbetar. Dataskyddsmyndigheter bör om nödvändigt och lämpligt samarbeta med varandra för att hantera klagomål (se artikel 28 i direktivet om skyddet av personuppgifter).

Det bör påpekas att registrerade alltid har rätt att när som helst inleda rättsliga förfaranden och i tillämpliga fall få upprättelse (se artiklarna 22 och 23 i direktivet om skyddet av personuppgifter och motsvarande bestämmelser i nationell lagstiftning).

I artikel 12 c i direktivet om skydd av personuppgifter fastställs att den registeransvarige ska underrätta tredje man till vilken sådana uppgifter utlämnats om varje rättelse, utplåning eller blockering om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning. Detta omfattar även information som vidarebehandlas utanför IMI.

Utöver rekommendationerna från den arbetsgrupp som inrättats enligt artikel 29 och från Europeiska datatillsynsmannen arbetar kommissionen för närvarande på en funktion i IMI-systemet (likt det förfarande som redan inrättats för snabb borttagning av uppgifter på begäran av behöriga myndigheter, se kapitel 12) som möjliggör rättelse av uppgifter online. Denna funktion är dock tekniskt komplicerad. Om det finns behov av att rätta personuppgifter föreslås det att den behöriga myndigheten, fram till dess att funktionen kan tas i bruk, lämnar en sådan begäran om rättelse direkt till Europeiska kommissionens IMI-registeransvarige (se under föregående avsnitt ”Europeiska kommissionens integritetspolicy”).

Även i direktivet om skyddet av personuppgifter och i nationell lagstiftning som genomför detta direktiv ges den registrerade rätt att motsätta sig behandling av personuppgifter och få bearbetningen inställd om det finns motiverade skäl. Om du kontaktas av en registrerad som motsätter sig behandlingen av dennes personuppgifter ska du kontakta din nationella dataskyddsmyndighet och begära mer information om hur denna rätt till invändningar fungerar i din medlemsstat.

11. DATASÄKERHET

Ett antal organisatoriska och tekniska åtgärder, liknande de som tillämpas av vissa internetbanker, har vidtagits för att garantera säkerheten inom IMI. Kommunikation inom IMI via Internet är skyddad via https, ett speciellt, säkert Internetprotokoll. De tekniska åtgärder som skyddar IMI måste vara kompatibla inom hela EU. Det tekniska skyddet av systemet kommer att vidareutvecklas med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande (se artikel 17 i direktiv 95/46/EG och artikel 22 i förordning (EG) nr 45/2001).

Mer information om de säkerhetsbestämmelser som gäller för de informationssystem som används av Europeiska kommissionen återfinns i kommissionens beslut K(2006) 3602 som finns tillgänglig på IMI:s webbplats under avsnittet om dataskydd:

http://ec.europa.eu/internal_market_/imi-net/data_protection_en.html

12. LAGRINGSTID

I artiklarna 4 och 5 i beslut 2008/49/EG fastställs de bestämmelser som gäller för lagringstiden.

I princip utplånas alla personuppgifter som ingår i ett informationsutbyte automatiskt sex månader efter det att informationsutbytet avslutats formellt. Kommissionen håller för närvarande på att införa vissa ändringar i systemet (påminnelser och förteckning över brådskande frågor) vars syfte är att formellt kunna avsluta informationsutbyte så snabbt som möjligt.

En behörig myndighet kan också begära att personuppgifter ska utplånas innan sexmånadersperioden löpt ut. Kommissionen ska inom tio arbetsdagar agera med anledning av en sådan förfrågan förutsatt att den behöriga myndigheten ger sitt medgivande.

Det är viktigt att de behöriga myndigheterna är medvetna om att en begäran om borttagning av personuppgifter enkelt kan göras online genom att man går in på den avslutade förfrågan och klickar på knappen ”begär borttagning av personuppgifter”

Skärmdump av begäran från en behörig myndighet om borttagning av personuppgifter i förtid

Skärmdump av samråd med behörig myndighet om borttagning av personuppgifter i förtid

Kommissionen kommer även att införa vissa förbättringar av systemet som automatisk påminnelse om att godkänna svar eller om att formellt avsluta informationsutbytet i fall där man fått ett tillfredsställande svar.

Man måste även vara medveten om att nationella dataskyddsbestämmelser gäller för alla personuppgifter som lagras utanför IMI av behöriga myndigheter.

13. SAMARBETE MED NATIONELLA DATASKYDDSMYNDIGHETER OCH EUROPEISKA DATATILLSYNSMANNEN

Nätverket med nationella dataskyddsmyndigheter och den Europeiska datatillsynsmannen utgör en grundmurad garanti för att vårt dataskyddssystem ska fungera väl. Behöriga myndigheter kan alltid få råd från dem när de ställs inför svåra frågor som inte omfattas av riktlinjerna. De nationella IMI-samordnarna uppmanas att i detta sammanhang ta på sig en central roll. En förteckning med kontaktuppgifter för olika dataskyddsmyndigheter finns tillgänglig på dataskyddsavsnittet i IMI:s webbplats.

Behöriga myndigheter bör även känna till att de eventuellt måste informera sina respektive dataskyddsmyndigheter innan de deltar i IMI. I vissa medlemsstater kan det vara nödvändigt att inhämta ett förhandstillstånd. IMI-samordnare bör vid behov aktivt delta i samordningen med dataskyddsmyndigheterna.

Pågående projekt

Följande åtgärder som förbättrar dataskyddet kommer att införas under 2009 i en kommande version av IMI:

a) Om informationsutbytet avser känsliga uppgifter (till exempel uppgifter som gäller hälsotillstånd, kriminalregister eller disciplinära åtgärder) kommer det att visas en påminnelse om att informationsutbytet är känsligt och att handläggaren av ärendet enbart ska begära uppgifterna om det är absolut nödvändigt och direkt förknippat med dennes ämbetsutövning eller utförandet av en viss tjänst.

b) Ett online-förfarande kommer att inrättas (i likhet med det förfarande som redan inrättats för sådana fall när myndigheter i förtid tar bort uppgifter), för rättelse av, utplåning eller blockering av uppgifter som behandlats på ett otillåtet sätt eller är felaktiga.

c) För att undvika att förfrågningar lämnas utan åtgärd under längre tid än nödvändigt kommer det att finnas automatiska påminnelser och en förteckning över brådskande frågor som kräver svar.

d) Lämpliga åtgärder för att hantera nya informationsflöden inom ramen för tjänstedirektivet, det vill säga varningsmekanismen och undantagen i enskilda fall. Dessa åtgärder kommer i stort att utföras enligt samma metod som den som tillämpas för det allmänna utbytet av information som exempelvis: påminnelser om att informationsflödet är av känslig karaktär, påminnelser om att avsluta brådskande frågor så snart som möjligt samt möjliga sätt att informera enskilda personer om informationsutbytet och deras rättigheter att få tillgång till dessa uppgifter och i förekommande fall att blockera, utplåna eller rätta dessa uppgifter. införas I vissa fall kan det vara nödvändigt med ytterligare dataskyddsåtgärder. Dessa ska utarbetas i samarbete med Europeiska datatillsynsmannen.

14. ÖVERSYNSKLAUSUL

IMI är ett pilotprojekt när det gäller informationssystem och är fortfarande under utveckling. Kommissionen samlar fortlöpande in information från samordnare och behöriga myndigheter för att förbättra systemet. Därför kommer det sannolikt att införas en del ändringar under de kommande månaderna. Vissa av dessa kan komma att få betydelse för dataskyddet.

Dessa riktlinjer är därför inte huggna i sten och kommer att uppdateras kontinuerligt i takt med de erfarenheter som det dagliga arbetet med IMI resulterar i. Kommissionen ska, senast ett år efter antagandet av denna rekommendation, utarbeta en rapport i vilken en bedömning av dagsläget görs, inklusive möjligheten att vidta en annan lagstiftningsåtgärd.

(1) Medlemsstaterna bör överväga att inkludera information om skyddet av personuppgifter i sina utbildningsprogram om IMI.

(2) Artikel 12 i beslut 2008/49/EG.

(3) Behöriga myndigheter kan i övervakningssyfte ”vara kopplade till”andra myndigheter (en regional myndighet kan t.ex. vara kopplad till en federal myndighet). Sådana ”sammankopplade myndigheter” kan känna till antalet förfrågningar och av vilket slag de är men har ingen tillgång till tjänsteleverantörers personuppgifter eller till utländska yrkesutövares personuppgifter.

(4) Enligt artikel 10.3 i beslut 2008749/EG får kommissionen endast delta i informationsutbyte i specifika fall där den tillämpliga gemenskapsrättsakten innehåller bestämmelser om att information ska utbytas mellan medlemsstaterna och kommissionen. I sådana fall har kommissionen skyldigheter av liknande slag som en behörig myndighet. Den måste bland annat underrätta den registrerade på vederbörligt sätt och på begäran ge denne tillgång till uppgifterna.

(5) I vissa medlemsstater som Italien, Luxemburg, Österrike och Danmark omfattar dataskyddslagstiftningen i en viss utsträckning även juridiska personer.

(6) Direktiv 95/46/EG är tillämpligt på medlemsstaterna och förordning (EG) nr 45/2001 är tillämplig på EU-institutionerna.

(7) http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf

(8) I Artikel 8 i direktiv 95/46/EG och artikel 10 i förordning (EG) nr 45/2001 ges den juridiska definitionen.

(9) Det vill säga den registrerade ska få lämplig information, behandlingen ska vara proportionerlig och uppgifterna får inte behandlas för andra ändamål än för vilka de samlats in.

(10) En särskild förteckning över dessa frågor finns tillgänglig på IMI:s webbplats:

http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf

(11) Avsnittet om skyddet av uppgifter på IMI:s webbplats inkluderar all dokumentation som hänför sig till IMI:s speciella skydd av uppgifter samt en länk till alla lagstiftningshandlingar om skyddet av personuppgifter på EU-nivå.

http://ec.europa.eu/internal_market/imi-net/data_protection_sv.html