Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning) /* COM/2012/011 final - 2012/0011 (COD) */





MOTIVERING 1. BAKGRUND TILL FÖRSLAGET I denna motivering ges en mer detaljerad beskrivning av den nya rättsliga ram för skyddet av personuppgifter i EU som presenteras i meddelandet COM(2012) 9 final[1]. Den föreslagna nya rättsliga ramen består av följande två lagstiftningsförslag: – Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning). – Förslag till Europaparlamentets och rådets direktiv om skyddet av enskilda vid behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, samt fri rörlighet för sådana uppgifter[2]. Denna motivering avser förslaget till allmän uppgiftsskyddsförordning. Grundstenen i den befintliga EU-lagstiftningen om skydd av personuppgifter, direktiv 95/46/EG[3], antogs 1995 och hade till syfte att skydda den grundläggande rätten till uppgiftsskydd och garantera det fria flödet av personuppgifter mellan medlemsstaterna. Direktivet kompletterades av rambeslut 2008/977/RIF som är ett allmänt instrument på unionsnivå för skydd av personuppgifter på områdena polissamarbete och straffrättsligt samarbete[4]. Den snabba tekniska utvecklingen har ställt oss inför nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen på datadelning och insamling av uppgifter har ökat spektakulärt. Tekniken gör det möjligt för både privata företag och myndigheter att använda sig av personuppgifter i en helt ny omfattning när de bedriver sina verksamheter. Enskilda personer gör allt oftare personlig information tillgänglig för offentligheten och globalt. Tekniken har omvandlat såväl ekonomin som samhällslivet. Att bygga upp förtroendet för nätmiljön är avgörande för den ekonomiska utvecklingen. Bristande förtroende gör att konsumenterna tvekar att köpa på nätet och använda nya tjänster. Detta kan hämma utvecklingen av innovativa användningar av ny teknik. Skydd av personuppgifter spelar därför en central roll i den digitala agendan för Europa[5] och mer allmänt i Europa 2020-strategin[6]. Artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget), som infördes genom Lissabonfördraget, fastställer principen att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessutom införde Lissabonfördraget genom artikel 16.2 i EUF-fördraget en särskild rättslig grund för antagandet av bestämmelser om skydd av personuppgifter. Artikel 8 i EU:s stadga om de grundläggande rättigheterna fastställer att skydd av personuppgifter är en grundläggande rättighet. Europeiska rådet uppmanade kommissionen att utvärdera hur EU:s instrument för uppgiftsskydd fungerar och vid behov ta ytterligare initiativ på lagstiftningsområdet och på andra områden[7]. Europaparlamentet[8] välkomnade i sin resolution om Stockholmsprogrammet det vittomfattande systemet för skydd av uppgifter i EU och efterlyste bland annat en översyn av rambeslutet. Kommissionen underströk i sin handlingsplan för att genomföra Stockholmsprogrammet[9] behovet av att se till att den grundläggande rätten till skydd för personuppgifter tillämpas på ett enhetligt sätt på EU:s alla politikområden. I sitt meddelande om ett samlat grepp på skyddet av personuppgifter i Europeiska unionen[10], drog kommissionen slutsatsen att EU behöver en mer samlad och konsekvent strategi i fråga om den grundläggande rätten till skydd av personuppgifter. Den nuvarande ramen är fortfarande giltig i fråga om dess mål och principer, men den har inte förhindrat en fragmentering av det sätt på vilket skyddet av personuppgifter genomförs i EU, rättsosäkerhet och allmänt spridda uppfattningar om att särskilt användning av internet medför avsevärda risker[11]. Det är därför dags att inrätta en kraftfullare och mer sammanhängande ram för uppgiftsskydd i EU, underbyggd av en strikt efterlevnadskontroll som gör det möjligt för den digitala ekonomin att utvecklas på hela den inre marknaden, ge enskilda personer kontroll över sina egna uppgifter och stärka rättssäkerheten och smidigheten för ekonomiska aktörer och offentliga myndigheter. 2. RESULTAT AV SAMRÅD MED BERÖRDA PARTER OCH KONSEKVENSBEDÖMNING Detta initiativ är resultatet av omfattande samråd med alla viktigare berörda parter om en översyn av den nuvarande rättsliga ramen för skydd av personuppgifter, som varade mer än två år och inbegrep en konferens med högt uppsatta deltagare i maj 2009[12] och offentliga samråd i två etapper: – Samråd om den rättsliga ramen för den grundläggande rätten till skydd av personuppgifter, från den 9 juli till den 31 december 2009. Kommissionen mottog 168 svar, varav 127 från enskilda personer, företagsorganisationer och sammanslutningar och 12 från offentliga myndigheter[13]. – Samråd om kommissionens samlade grepp på skydd av personuppgifter i Europeiska unionen, från den 4 november 2010 till den 15 januari 2011. Kommissionen mottog 305 svar, varav 54 från enskilda, 31 från offentliga myndigheter och 220 från privata organisationer, särskilt företagssammanslutningar och icke-statliga organisationer[14]. Riktade samråd genomfördes också med viktiga berörda parter. Särskilda evenemang anordnades i juni och juli 2010 med medlemsstaternas myndigheter och med berörda parter i den privata sektorn, samt med integritets-, uppgiftsskydds- och konsumentorganisationer[15]. I november 2010 organiserade Europeiska kommissionens vice ordförande Reding ett rundabordsmöte om uppgiftsskyddsreformen. Den 28 januari 2011 (Dataskyddsdagen) organiserade Europeiska kommissionen och Europarådet en konferens på hög nivå för att diskutera frågor i samband med reformen av EU:s rättsliga ram och behovet av gemensamma globala standarder för uppgiftsskydd[16]. Det ungerska och det polska ordförandeskapet för rådet stod värd för två konferenser om uppgiftsskydd den 16–17 juni 2011 respektive den 21 september 2011. Workshoppar och seminarier särskilt ägnade åt specifika frågor hölls under hela 2011. I januari anordnade Enisa[17] en workshop om anmälningar av personuppgiftsbrott i Europa[18]. I februari sammankallade kommissionen en workshop med medlemsstaternas myndigheter för att diskutera uppgiftsskyddsfrågor på området polissamarbete och straffrättsligt samarbete, däribland genomförandet av rambeslutet, och Europeiska unionens byrå för grundläggande rättigheter höll ett samråd med berörda parter om “uppgiftsskydd och integritet”. En diskussion om centrala frågor i reformer hölls den 13 juli 2011 med nationella dataskyddsmyndigheter. EU-medborgarna konsulterades genom en Eurobarometerundersökning som genomfördes i november–december 2010[19]. Ett antal undersökningar inleddes också[20]. Artikel 29-gruppen[21] lämnade flera synpunkter och värdefulla bidrag till kommissionen[22]. Europeiska datatillsynsmannen utfärdade också ett övergripande yttrande om de frågor som dryftats i kommissionens meddelande från november 2010[23]. Europaparlamentet godkände genom sin resolution av den 6 juli 2011 en rapport som stödde kommissionens strategi för att reformera ramen för uppgiftsskyddet[24]. Europeiska unionens råd stöder i sina slutsatser som antogs den 24 februari 2011 i huvudsak kommissionens avsikt att reformera ramen för uppgiftsskyddet och ansluter sig till många inslagen i kommissionens strategi. Europeiska ekonomiska och sociala kommittén stödde också kommissionens mål att säkerställa en mer enhetlig tillämpning av EU:s uppgiftsskyddsbestämmelser[25] i alla medlemsstater genom en lämplig omarbetning av direktiv 95/46/EG[26]. Under samråden om det samlade greppet var en stor majoritet av de berörda parterna överens om att de allmänna principerna fortfarande gäller, men att det finns ett behov av att anpassa den nuvarande ramen för att bättre möta de utmaningar som den nya teknikens snabba utveckling (särskilt på internet) och den ökande globaliseringen medför, samtidigt som den rättsliga ramens tekniska neutralitet måste vidmakthållas. Kraftig kritik har riktats mot den nuvarande fragmenteringen av skyddet av personuppgifter i unionen, särskilt av ekonomiska aktörer som efterfrågat ökad rättssäkerhet och harmonisering av bestämmelserna om skydd av personuppgifter. De anser att de komplicerade bestämmelserna om internationella överföringar av personuppgifter utgör ett avsevärt hinder för deras verksamhet eftersom de regelbundet behöver överföra personuppgifter från EU till andra delar av världen. I enlighet med sin politik för bättre lagstiftning genomförde kommissionen en konsekvensanalys av de politiska alternativen. Konsekvensbedömningen grundades på de tre politiska alternativen att förbättra inremarknadsaspekten av uppgiftsskyddet, att effektivisera enskilda personers utövande av sin rätt till skydd av personuppgifter och att inrätta en övergripande och sammanhängande ram som omfattar unionens samtliga behörighetsområden, däribland polissamarbete och straffrättsligt samarbete. Tre alternativ som fordrade olika grader av ingripande bedömdes. Det första alternativet bestod av minimala ändringar av lagstiftningen och användning av tolkningsmeddelanden och politiska stödåtgärder såsom finansieringsprogram och tekniska instrument. Det andra alternativet omfattade en uppsättning rättsliga bestämmelser som var inriktade på var och en av de problem som fastställts i analysen, medan det tredje alternativet innebar en centralisering av uppgiftsskyddet på EU-nivå genom precisa och detaljerade bestämmelser för alla sektorer och inrättandet av en EU-byrå för övervakning och genomförande av bestämmelserna. Enligt kommissionens vedertagna metod bedömdes varje alternativ, med hjälp av en avdelningsövergripande styrgrupp, med avseende på dess effektivitet när det gäller att uppnå de politiska målen, dess ekonomiska konsekvenser för de berörda parterna (även på EU-institutionernas budget), dess sociala konsekvenser och dess inverkan på de grundläggande rättigheterna. Inga miljökonsekvenser konstaterades. Analysen av de övergripande konsekvenserna ledde till en vidareutveckling av det alternativ som ansågs vara att föredra. Det grundar sig på det andra alternativet med vissa inslag av de övriga två alternativen och har införlivats i föreliggande förslag. Konsekvensbedömningen visar att genomförandet av förslaget bland annat kommer att leda till att rättssäkerheten för registeransvariga och enskilda personer avsevärt förbättras, att de administrativa bördorna minskas, att uppgiftsskyddsbestämmelserna genomförs på ett enhetligt sätt i EU, att enskilda kan utöva sin rätt till skydd av personuppgifter inom EU och till att tillsynen och tillämpningen av uppgiftsskyddet effektiviseras. Genomförandet av de alternativ som föredras väntas också bidra till att man kan uppnå kommissionens mål om förenkling och minskning av den administrativa bördan samt till målen för den digitala agendan för Europa, Stockholmsprogrammets handlingsplan och Europa 2020-strategin. Konsekvensbedömningsnämnden yttrade sig om utkastet till konsekvensbedömning den 9 september 2011. Till följd av detta yttrande gjordes följande ändringar av konsekvensbedömningen: – Ett klargörande av målen för den nuvarande rättsliga ramen (i vilken mån de har uppnåtts och i vilken mån de inte uppnåtts) och målen för den planerade reformen. – Fler bevis och ytterligare förklaringar/klargöranden lades till i avsnittet om problemdefinitionen. – Ett avsnitt om proportionalitet lades till. – Alla beräkningar och uppskattningar rörande den administrativa bördan i grundscenariot och i det alternativ som föredras har setts över och omarbetats i sin helhet, och förhållandet mellan anmälningskostnaderna och de totala kostnaderna av fragmenteringen, har klargjorts (inklusive bilaga 10). – Konsekvenserna för mikroföretag och små och medelstora företag, särskilt när det gäller bestämmelserna om uppgiftsskyddsombud och konsekvensbedömningar avseende uppgiftsskydd, har preciserats bättre. Konsekvensbedömningsrapporten och sammanfattningen offentliggörs tillsammans med förslagen. 3. FÖRSLAGETS RÄTTSLIGA ASPEKTER 3.1. Rättslig grund Detta förslag grundar sig på artikel 16 i EUF-fördraget, som är den nya rättsliga grunden för antagande av de bestämmelser om uppgiftsskydd som införts genom Lissabonfördraget. Denna bestämmelse gör det möjligt att anta bestämmelser om skydd för enskilda med avseende på behandling av personuppgifter som medlemsstaterna utför när de bedriver verksamhet som omfattas av unionsrätten. Det gör det också möjligt att anta bestämmelser om den fria rörligheten för personuppgifter, däribland personuppgifter som behandlas av medlemsstaterna eller privata aktörer. En förordning anses vara det lämpligaste rättsliga instrumentet för att fastställa ramen för skyddet av personuppgifter i unionen. Eftersom förordningen enligt artikel 288 i EUF-fördraget är direkt tillämplig kommer den att minska den rättsliga fragmenteringen och ge större rättssäkerhet genom att införa en harmoniserad uppsättning kärnbestämmelser, förbättra skyddet av enskildas grundläggande rättigheter och bidra till den inre marknadens funktion. Hänvisningen till artikel 114.1 i EUF-fördraget är endast nödvändig för att ändra direktiv 2002/58/EG i den mån som det direktivet också bidrar till skyddet av de berättigade intressena hos abonnenter som är juridiska personer. 3.2. Subsidiaritets- och proportionalitetsprincipen Enligt subsidiaritetsprincipen (artikel 5.3 i EU-fördraget) ska åtgärder vidtas på EU-nivå endast om och i den mån som målen för den planerade åtgärden inte i tillräcklig utsträckning kan uppnås av medlemsstaterna och därför, på grund av den planerade åtgärdens omfattning eller verkningar, bättre kan uppnås på unionsnivå. Mot bakgrund av de ovan skisserade problemen visar subsidiaritetsanalysen att det är nödvändigt att vidta åtgärder på EU-nivå av följande skäl: – Rätten till skydd av personuppgifter, som fastläggs i artikel 8 i stadgan om de grundläggande rättigheterna, innebär att samma nivå på uppgiftsskyddet ska gälla i hela unionen. Avsaknaden av gemensamma EU-bestämmelser skulle kunna leda till olika skyddsnivåer i medlemsstaterna och till begränsningar på de gränsöverskridande flödena av personuppgifter mellan medlemsstater med olika standarder. – Personuppgifter överförs i snabbt ökande omfattning över nationsgränserna, både EU:s inre och yttre gränser. Dessutom finns det praktiska problem med genomförandet av uppgiftsskyddslagstiftningen och ett behov av samarbete mellan medlemsstaterna och deras myndigheter, vilket måste organiseras på EU-nivå för att säkerställa att unionsrätten tillämpas enhetligt. EU har också de bästa förutsättningarna att på ett ändamålsenligt och enhetligt sätt garantera samma skyddsnivå för enskilda när deras personuppgifter överförs till tredjeländer. – Medlemsstaterna kan inte ensamma minska problemen i den nuvarande situationen, särskilt inte de problem som beror på fragmenteringen av de nationella lagstiftningarna. Det finns därför ett särskilt behov av att införa en harmoniserad och sammanhängande ram som möjliggör en smidig överföring av personuppgifter över gränserna inom EU, samtidigt som man garanterar ett faktiskt skydd av alla enskilda i hela EU. – De föreslagna lagstiftningsåtgärderna på EU-nivå kommer att vara effektivare än liknande åtgärder på medlemsstatsnivå på grund av karaktären och omfattningen hos problemen, som inte är begränsade till en eller flera medlemsstater. Enligt proportionalitetsprincipen ska alla insatser vara riktade och inte gå utöver vad som är nödvändigt för att uppnå målen. Denna princip har varit vägledande under förberedelsen av detta förslag, från kartläggningen och utvärderingen av olika alternativ till utarbetandet av lagstiftningsförslaget. 3.3. Sammanfattning av frågor som rör de grundläggande rättigheterna Rätten till skydd av personuppgifter fastställs i artikel 8 i stadgan, artikel 16 i EUF-fördraget och artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Europeiska unionens domstol[27] understryker att rätten till skydd av personuppgifter inte är en absolut rättighet, utan måste beaktas i förhållande till dess funktion i samhället[28]. Uppgiftsskyddet är nära knutet till respekten för privatlivet och familjelivet som skyddas genom artikel 7 i stadgan. Detta avspeglas i artikel 1.1 i direktiv 95/46/EG som föreskriver att medlemsstaterna ska skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Andra grundläggande rättigheter som fastläggs i stadgan och som skulle kunna påverkas är yttrandefriheten (artikel 11 i stadgan), näringsfriheten (artikel 16), rätten till egendom och särskilt rätten till skydd av immateriell egendom (artikel 17.2), förbudet mot all diskriminering på grund av bland annat ras, etniskt ursprung, genetiska särdrag, religion eller övertygelse, politisk eller annan åskådning, funktionshinder eller sexuell läggning (artikel 21), barnets rättigheter (artikel 24), rätten till en hög nivå av skydd för människors hälsa (artikel 35), rätten till tillgång till handlingar (artikel 42) och rätten till ett effektivt rättsmedel och till en opartisk domstol (artikel 47). 3.4. Närmare redogörelse för förslaget 3.4.1. KAPITEL I - ALLMÄNNA BESTÄMMELSER Genom artikel 1 definieras förordningens syfte och, liksom i artikel 1 i direktiv 95/46/EG, fastställs de två målen för förordningen. I artikel 2 fastställs förordningens materiella tillämpningsområde. Genom artikel 3 fastställs förordningens territoriella tillämpningsområde. Artikel 4 innehåller definitioner av begrepp som används i förordningen. Vissa definitioner har övertagits från direktiv 95/46/EG, medan andra har ändrats, kompletterats med ytterligare element eller är helt nya (”personuppgiftsbrott” på grundval av artikel 2 h i direktiv 2002/58/EG[29] om integritet och elektronisk kommunikation i dess ändrade lydelse enligt direktiv 2009/136/EG[30], ”genetiska uppgifter”, ”biometriska uppgifter”, ”uppgifter om hälsa”, ”huvudsakligt verksamhetsställe”, ”företrädare”, ”företag”, företagsgrupp”, ”bindande företagsbestämmelser”, ”barn” som grundar sig på Förenta nationernas konvention om barnets rättigheter[31] och ”tillsynsmyndighet”). I definitionen av samtycke läggs kriteriet ”uttrycklig” till för att undvika förvirrande paralleller med ”otvetydigt” samtycke och för att ha en enda och enhetlig definition av samtycke, som garanterar att den registrerade är medveten om att han eller hon samtycker och till vad. 3.4.2. KAPITEL II – PRINCIPER Genom artikel 5 fastställs principerna om behandling av personuppgifter, vilka motsvarar dem som anges i artikel 6 i direktiv 95/46/EG. Till de nya inslagen hör särskilt öppenhetsprincipen, klargörandet av uppgiftsminimeringsprincipen och införandet av den registeransvariges övergripande ansvar. På grundval av artikel 7 i direktiv 95/46/EG anges i artikel 6 kriterierna för när personuppgifter får behandlas. De preciseras närmare med avseende på kriteriet om jämvikt mellan de berörda parternas intressen och överensstämmelsen med rättsliga förpliktelser och det allmänna intresset. Genom artikel 7 klargörs villkoren för att samtycket ska vara giltigt som rättslig grund för tillåten behandling. Genom artikel 8 fastställs ytterligare villkor för när det är tillåtet att behandla barns personuppgifter i förhållande till de av informationssamhällets tjänster som erbjuds direkt till dem. I artikel 9 anges det allmänna förbudet att behandla särskilda kategorier av personuppgifter och undantagen från denna allmänna regel. Grundvalen är artikel 8 i direktiv 95/46/EG. Genom artikel 10 klargörs att den registeransvarige inte är skyldig att erhålla ytterligare information för att identifiera den registrerade endast i syfte att iaktta någon av bestämmelserna i denna förordning. 3.4.3. KAPITEL III – DEN REGISTRERADES RÄTTIGHETER 3.4.3.1. Avsnitt 1 – Insyn och villkor Genom artikel 11 införs de registeransvarigas skyldighet att tillhandahålla klar och tydlig samt lätt tillgänglig och begriplig information, först och främst inspirerad av Madridresolutionen om internationella normer för skydd av personuppgifter och integritet[32]. Genom artikel 12 förpliktigas den registeransvarige att införa förfaranden och rutiner som den registrerade kan använda för att utöva sina rättigheter, bl.a. sätt göra detta elektroniskt, varvid den registrerades begäran måste besvaras inom en fastställd tidsfrist och en vägran måste motiveras. Genom artikel 13 fastställs rättigheter i fråga om mottagare, på grundval av artikel 12 c i direktiv 95/46/EG, som utvidgas till alla mottagare, inbegripet gemensamma registeransvariga och registerförare. 3.4.3.2. Avsnitt 2 – Information och tillgång till uppgifter I artikel 14 preciseras närmare den registeransvariges skyldighet att informera den registrerade, på grundval av artiklarna 10 och 11 i direktiv 95/46/EG, varvid ytterligare information ska lämnas till den registrerade om lagringsperioden, rätten att inge ett klagomål samt i samband med internationella överföringar och den källa där uppgifterna har sitt ursprung. De möjliga undantagen i direktiv 95/46/EG bevaras också. Exempelvis föreligger ingen sådan skyldighet om registreringen eller utlämnandet uttryckligen föreskrivs av lagen. Detta kan till exempel gälla i förfaranden inom konkurrensmyndigheter, skatte- eller tullförvaltningar eller tjänster med befogenhet för socialförsäkringsfrågor. Genom artikel 15 föreskrivs den registrerades rätt till tillgång till sina personuppgifter, på grundval av artikel 12 a i direktiv 95/46/EG och med nya inslag, såsom information till de registrerade om lagringsperioden samt om rätten till rättelse och radering och att inge ett klagomål. 3.4.3.3. Avsnitt 3 – Rättelse och radering Genom artikel 16 fastställs den registrerades rätt till rättelse. Grundvalen är artikel 12 b i direktiv 95/46/EG. Artikel 17 föreskriver den registrerades rätt att bli bortglömd och rätt till radering. I artikeln beskrivs närmare och preciseras den rätt till radering som föreskrivs i artikel 12 b i direktiv 95/46/EG och föreskrivs villkoren för rätten att bli bortglömd, inklusive skyldigheten för den registeransvarige som har offentliggjort personuppgifterna att underrätta tredje parter om den registrerades begäran att radera eventuella länkar till eller kopior eller reproduktioner av dessa personuppgifter. Den inbegriper också rätten att begränsa behandlingen i vissa fall, varvid det tvetydiga begreppet ”blockering” undviks. I artikel 18 införs den registrerades rätt till uppgiftsportabilitet, dvs. att överföra uppgifter från ett system för elektronisk behandling till ett annat utan att hindras av den registeransvarige. Som en förutsättning och för att ytterligare förbättra enskildas tillgång till sina personuppgifter, föreskrivs rätten att från den registeransvarige erhålla uppgifterna i ett strukturerat och gängse använt elektroniskt format. 3.4.3.4. Avsnitt 4 – Rätt att göra invändningar och profilering Genom artikel 19 föreskrivs den registrerades rätt att göra invändningar. Den grundar sig på artikel 14 i direktiv 95/46/EG, med vissa förändringar, bland annat när det gäller bevisbördan och dess tillämpning på direkt marknadsföring. Artikel 20 rör den registrerades rätt att inte bli föremål för åtgärder som grundar sig på profilering. Den bygger på artikel 15.1 i direktiv 95/46 om databehandlade beslut, med ändringar och ytterligare skyddsåtgärder, och tar hänsyn till Europarådets rekommendationer om profilering[33]. 3.4.3.5. Avsnitt 5 – Begränsningar Genom artikel 21 klargörs unionens eller medlemsstaternas befogenhet att behålla eller införa begränsningar av de principer som fastställs i artikel 5 och av den registrerades rättigheter som fastställs i artiklarna 11–20 och i artikel 32. Denna bestämmelse grundar sig på artikel 13 i direktiv 95/46/EG och på de krav som härrör från stadgan om grundläggande rättigheter och Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, såsom den tolkas av EU-domstolen och Europadomstolen. 3.4.4. KAPITEL IV – REGISTERANSVARIG OCH REGISTERFÖRARE 3.4.4.1. Avsnitt 1 – Allmänna skyldigheter Genom artikel 22 beaktas debatten om en ”princip om ansvarsskyldighet” och beskrivs i detalj den registeransvariges ansvar att på ett uttryckligt och påvisbart sätt följa denna förordning, bland annat genom att anta interna policyer och rutiner för att säkerställa sådan efterlevnad. Genom artikel 23 fastställs den registeransvariges skyldigheter som följer av principerna om inbyggt uppgiftsskydd och uppgiftsskydd som standard. Genom artikel 24 om gemensamma registeransvariga klargörs gemensamma registeransvarigas ansvar vad avser förhållandet dem emellan och gentemot den registrerade. Artikel 25 förpliktigar under vissa omständigheter registeransvariga som inte är etablerade i unionen, där förordningen är tillämplig på deras behandling av uppgifter, att utse en företrädare i unionen. Genom artikel 26 klargörs registerförarnas ställning och skyldighet, delvis på grundval av artikel 17.2 i direktiv 95/46/EG och med nya inslag, bland annat att en registerförare som behandlar andra uppgifter än de som anges i den registeransvariges instruktioner ska anses som en gemensam registeransvarig. Artikel 27 om behandling under den registeransvariges och registerförarens överinseende grundar sig på artikel 16 i direktiv 95/46/EG. Genom artikel 28 införs en skyldighet för registeransvariga och registerförare att bevara dokumentation om all behandling som de ansvarar för, i stället för en allmän anmälan till tillsynsmyndigheten som krävs enligt artiklarna 18.1 och 19 i direktiv 95/46/EG. Genom artikel 29 klargörs registeransvarigas och registerförares skyldigheter att samarbeta med tillsynsmyndigheterna. 3.4.4.2. Avsnitt 2 – Datasäkerhet Genom artikel 30 förpliktigas den registeransvariga och registerföraren att vidta lämpliga åtgärder för säkerheten vid behandling. Grundvalen är artikel 17.1 i direktiv 95/46/EG. Denna skyldighet utvidgas till att omfatta registerförare, oavsett avtal med den uppgiftsansvarige. Genom artiklarna 31 och 32 införs en skyldighet att anmäla personuppgiftsbrott, som bygger på anmälan av personuppgiftsbrott i artikel 4.3 i direktiv 2002/58/EG. 3.4.4.3. Avsnitt 3 – Konsekvensbedömning avseende uppgiftsskydd samt förhandstillstånd Genom artikel 33 införs en skyldighet för registeransvariga och registerförare att göra en konsekvensbedömning avseende uppgiftsskydd före behandlingar som är utsatta för risker. Artikel 34 gäller de fall där tillstånd av, och samråd med, tillsynsmyndigheten är obligatoriska före behandling, vilket bygger på begreppet “förhandskontroll” i artikel 20 i direktiv 95/46/EG. 3.4.4.4. Avsnitt 4 – Uppgiftsskyddsombud Genom artikel 35 införs krav på att utnämna ett uppgiftsskyddsombud i den offentliga sektorn, och – vad gäller den privata sektorn – inom stora företag eller när registeransvarigas eller registerförares kärnverksamheter består av behandling som kräver regelbunden och systematisk övervakning. Detta bygger på artikel 18.2 i direktiv 95/46/EG, som ger medlemsstaterna möjlighet att införa ett sådant krav som en ersättning för ett allmänt anmälningskrav. Genom artikel 36 redogörs för uppgiftsskyddsombudets ställning. Genom artikel 37 föreskrivs uppgiftsskyddsombudets viktigaste arbetsuppgifter. 3.4.4.5. Avsnitt 5 – Uppförandekodex och certifiering Artikel 38 avser uppförandekodexar, och bygger på begreppet i artikel 27.1 i direktiv 95/46/EG. Genom denna artikel klargörs innehållet i kodexarna och förfarandena och föreskrivs att kommissionen ska bemyndigar att besluta om uppförandekodexars allmänna giltighet. Genom artikel 39 införs möjligheten att inrätta certifieringsmekanismer samt förseglingar och märkningar för uppgiftsskydd. 3.4.5. KAPITEL V – ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJELÄNDER ELLER INTERNATIONELLA ORGANISATIONER I artikel 40 anges att det som en allmän princip är obligatoriskt att efterleva skyldigheterna i detta kapitel vid samtliga överföringar av personuppgifter till tredjeländer eller internationella organisationer, däribland när vidare överföring sker. Genom artikel 41 fastställs kriterierna, villkoren och förfarandena för antagandet av kommissionens beslut om adekvat skyddsnivå. Grundvalen är artikel 25 i direktiv 95/46/EG. Bland de kriterier som ska beaktas vid kommissionens bedömning av en adekvat eller icke-adekvat nivå på skyddet ingår uttryckligen rättsstatsprincipen, rättslig prövning och oberoende tillsyn. I artikeln bekräftas nu uttryckligen kommissionens möjlighet att bedöma nivån på det skydd som lämnas av ett territorium eller en behandlande sektor i ett tredjeland. Genom artikel 42 föreskrivs krav vid överföringar till tredjeländer, då kommissionen inte fattat något beslut om adekvat skyddsnivå, att vidta lämpliga skyddsåtgärder, främst standardiserade uppgiftsskyddsbestämmelser, bindande företagsregler och avtalsklausuler. Möjligheten att utnyttja kommissionens standardiserade uppgiftsskyddsbestämmelser bygger på artikel 26.4 i direktiv 95/46/EG. En nyhet är att dessa standardiserade uppgiftsskyddsbestämmelser nu även kan antas av en tillsynsmyndighet och av kommissionen förklaras vara allmänt giltiga. Bindande företagsregler nämns nu specifikt i lagtexten. Alternativet med avtalsklausuler ger den registeransvarige eller registerföraren en viss flexibilitet, men måste först godkännas av tillsynsmyndigheterna. I artikel 43 beskrivs ytterligare i detalj villkoren för överföringar genom bindande företagsbestämmelser. Grundvalen är tillsynsmyndigheternas nuvarande praxis och krav. I artikel 44 redogörs för och klargörs undantagen vad gäller uppgiftsöverföring. Grundvalen är befintliga bestämmelser i artikel 26 i direktiv 95/46/EG. Detta är särskilt tillämpligt på uppgiftsöverföringar som krävs och är nödvändiga för att skydda viktiga samhälleliga intressen, exempelvis vid internationella uppgiftsöverföringar mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, eller mellan socialförsäkringsmyndigheter eller för fiskeriförvaltning. Därtill kommer att en uppgiftsöverföring, under begränsade omständigheter, kan vara motiverad med anledning av den registeransvariges eller registerförarens berättigade intressen, men endast sedan omständigheterna för den åtgärden har bedömts och dokumenterats. I artikel 45 lämnas uttryckligen föreskrifter för internationella samarbetsmekanismer för skydd av personuppgifter mellan kommissionen och tillsynsmyndigheter i tredjeländer, särskilt de som anses erbjuda en adekvat skyddsnivå, med hänsyn tagen till OECD:s rekommendation om gränsöverskridande samarbete vid tillämpningen av lagstiftning om integritetsskydd av den 12 juni 2007. 3.4.6. KAPITEL VI – OBEROENDE TILLSYNSMYNDIGHETER 3.4.6.1. Avsnitt 1 – Oberoende ställning Genom artikel 46 förpliktigas medlemsstaterna att inrätta tillsynsmyndigheter, på grundval av artikel 28.1 i direktiv 95/46/EG, och att utvidga tillsynsmyndigheternas uppdrag till att omfatta samarbete med varandra och med kommissionen. Genom artikel 47 klargörs villkoren för tillsynsmyndigheternas oberoende, varvid EU-domstolens rättspraxis genomförs[34], och inspiration även hämtas från artikel 44 i förordning (EG) nr 45/2001[35]. Genom artikel 48 föreskrivs allmänna villkor för tillsynsmyndighetens ledamöter, varvid relevant rättspraxis genomförs[36] och inspiration även hämtas från artikel 42.2–42.6 i förordning (EG) 45/2001. Genom artikel 49 fastställs bestämmelser angående inrättandet av tillsynsmyndigheten som ska medlemsstaterna ska föreskriva i lag. Genom artikel 50 fastställs tystnadsplikt för tillsynsmyndighetens ledamöter och personal och på grundval av artikel 28.7 i direktiv 95/46/EG. 3.4.6.2. Avsnitt 2 – Uppdrag och befogenheter Genom artikel 51 fastställs tillsynsmyndigheternas behörighet. Den allmänna regeln, som bygger på artikel 28.6 i direktiv 95/46/EG (behörighet att inom sin egen medlemsstats territorium), kompletteras genom en ny behörighet – för att säkerställa enhetlighet i tillämpningen – som ansvarig myndighet i de fall en uppgiftsansvarig eller registerförare är etablerad i flera medlemsstater. Domstolar är i sin dömande verksamhet undantagna från övervakning av tillsynsmyndigheten, men inte från tillämpningen av de materiella reglerna om uppgiftsskydd. Genom artikel 52 föreskrivs tillsynsmyndighetens uppdrag, bl.a. att ta emot och undersöka klagomål och öka allmänhetens medvetenhet om risker, regler, skyddsåtgärder och rättigheter. Genom artikel 53 föreskrivs tillsynsmyndighetens befogenheter, delvis på grundval av artikel 28.3 i direktiv 95/46/EG och artikel 47 I förordning (EG) 45/2001, med tillägg av vissa nya element, däribland befogenheten att utfärda sanktioner vid administrativa överträdelser. Genom artikel 54 förpliktigas tillsynsmyndigheterna att utarbeta årliga verksamhetsrapporter. Grundvalen är artikel 28.5 i direktiv 95/46/EG. 3.4.7. KAPITEL VII – SAMARBETE OCH ENHETLIGHET 3.4.7.1. Avsnitt 1 – Samarbete Genom artikel 55 införs uttryckliga bestämmelser om obligatoriskt ömsesidigt bistånd, bl.a. vilka följderna blir om en begäran från en annan tillsynsmyndighet inte tillmötesgås. Grundvalen är artikel 28.6 andra stycket i direktiv 95/46/EG. Genom artikel 56 införs regler om gemensamma insatser, med inspiration hämtad från artikel 17 i rådets beslut 2008/615/RIF[37], däribland en rättighet för tillsynsmyndigheter att delta i sådana insatser. 3.4.7.2. Avsnitt 2 – Enhetlighet Genom artikel 57 införs en mekanism för enhetlighet för att se till att tillämpningen blir lika vad gäller behandling som kan innefatta registrerade personer i flera medlemsstater. Genom artikel 58 fastställs förfaranden och villkor för Europeiska dataskyddsstyrelsens yttranden. Artikel 59 gäller kommissionens yttranden i frågor som tas upp i mekanismen för enhetlighet, vilka antingen kan tillstyrka Europeiska dataskyddsstyrelsens yttrande eller avvika från det, samt tillsynsmyndighets utkast till åtgärd. När en fråga har väckts av Europeiska dataskyddsstyrelsen enligt artikel 58.3 kan kommissionen förväntas utöva sin rätt att lämna ett yttrande närhelst så är nödvändigt. Artikel 60 gäller kommissionens beslut att begära att behörig myndighet ska uppskjuta antagandet av sitt utkast till åtgärd när det är nödvändigt att säkerställa en korrekt tillämpning av denna förordning. Genom artikel 61 föreskrivs möjligheten att anta provisoriska åtgärder i ett påskyndat förfarande. Genom artikel 62 fastställs kraven för kommissionens genomförandeakter enligt mekanismen för enhetlighet. Genom artikel 63 föreskrivs skyldigheten att verkställa en tillsynsmyndighets åtgärder i alla berörda medlemsstater, och vidare fastställs att tillämpningen av mekanismen för enhetlighet är en förutsättning för respektive åtgärders rättsliga giltighet och verkställighet. 3.4.7.3. Avsnitt 3 – Europeiska dataskyddsstyrelsen Genom artikel 64 fastslås att Europeiska dataskyddsstyrelsen ska bestå av cheferna för medlemsstaternas tillsynsmyndigheter samt Europeiska datatillsynsmannen. Europeiska dataskyddsstyrelsen ersätter arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter som inrättades genom artikel 29 i direktiv 95/46/EG. Det klargörs att kommissionen inte ingår i Europeiska dataskyddsstyrelsen, men har rätt att delta i verksamheten och att vara företrädd. Genom artikel 65 betonas och klargörs Europeiska dataskyddsstyrelses oberoende. Genom artikel 66 beskrivs Europeiska dataskyddsstyrelses arbetsuppgifter, på grundval av artikel 30.1 i direktiv 95/46/EG. Det införs också ytterligare elements om avspeglar Europeiska dataskyddsstyrelses utökade verksamhetsområde, inom och utom unionen. För att kunna agera vid brådskande situationer ges kommissionen möjligheten att begära yttranden inom en angiven tidsfrist. Enligt artikel 67 ska Europeiska dataskyddsstyrelsen årligen avlägga rapport om sin verksamhet. Grundvalen är artikel 30.6 i direktiv 95/46/EG. Genom artikel 68 fastställs Europeiska dataskyddsstyrelsens beslutsgång, däribland skyldigheten att anta en arbetsordning som även bör innefatta arbetsformer. Artikel 69 innehåller bestämmelser angående ordföranden och vice ordföranden vid Europeiska dataskyddsstyrelsen. Genom artikel 70 fastställs ordförandens arbetsuppgifter. Genom artikel 71 fastställs att Europeiska dataskyddsstyrelsens sekretariat ska tillhandahållas av Europeiska datatillsynsmannen. Vidare preciseras sekretariatets arbetsuppgifter. Genom artikel 72 föreskrivs regler om sekretess. 3.4.8. KAPITEL VIII – RÄTTSMEDEL, ANSVAR SAMT PÅFÖLJDER OCH SANKTIONER Genom artikel 73 föreskrivs alla registrerades rätt att lämna klagomål till en tillsynsmyndighet. Grundvalen är artikel 28.4 i direktiv 95/46/EG. Här specificeras även vilka organ, organisationer eller sammanslutningar som kan lämna klagomål på en registrerad persons vägnar eller vid personuppgiftsbrott, oberoende av en registrerad persons klagomål. Artikel 74 gäller rätten till rättslig prövning av en tillsynsmyndighets beslut. Den bygger på den allmänna bestämmelsen i artikel 28.3 i direktiv 95/46/EG. Här föreskrivs särskilt en rätt att föra talan, vilken förpliktigar tillsynsmyndigheten att agera när det kommer in klagomål, och vidare klargörs domstolarnas behörighet i den medlemsstat där tillsynsmyndigheten finns. I artikeln föreskrivs även möjligheten att tillsynsmyndigheten i den medlemsstat där den registrerade personen bor, på den registrerade personens vägnar kan väcka talan vid domstolar i en annan medlemsstat där behörig tillsynsmyndighet finns. Artikel 75 gäller rätten att föra talan mot beslut som meddelats av en registeransvarig eller en registerförare, och bygger på artikel 22 i direktiv 95/46/EG. I artikeln föreskrivs en valmöjlighet att vända sig till domstol i den medlemsstat där den svarande är etablerad eller där den registrerade personen bor. När förfaranden i samma fråga har inletts inom ramen för mekanismen för enhetlighet kan domstolen vilandeförklara sitt förfarande, utom i brådskade fall. Genom artikel 76 fastställs gemensamma bestämmelser om domstolsförfaranden, bl.a. rättigheterna för organ, organisationer och sammanslutningar att företräda registrerade personer inför domstolarna, tillsynsmyndigheternas rätt att delta i rättsliga förfaranden och domstolarnas information om parallella förfaranden i en annan medlemsstat samt möjligheten för domstolarna att i så fall vilandeförklara förfarandet[38]. Medlemsstaterna är skyldiga att säkerställa snabb domstolsbehandling[39] Genom artikel 77 fastställs ansvar och rätt till ersättning. Den bygger på artikel 23 i direktiv 95/46/EG, utvidgar denna rättighet när registerförare förorsakat skada och klargör gemensamma registeransvarigas och registerförares solidariska ansvar. Genom artikel 78 förpliktigas medlemsstaterna att föreskriva fastställa påföljder, att bestraffa brott mot förordningen, och att säkerställa genomförandet. Genom artikel 79 förpliktigas alla tillsynsmyndigheter att utfärda de där uppräknade sanktionerna för administrativa överträdelser och att bestämma böter upp till vissa belopp, med vederbörlig hänsyn till varje enskilt fall. 3.4.9. KAPITEL IX – BESTÄMMELSER OM SÄRSKILDA SITUATIONER VID BEHANDLING AV PERSONUPPGIFTER Genom artikel 80 förpliktigas medlemsstaterna att anta undantag från särskilda bestämmelser i förordningen när så behövs för att förena rätten till skydd av personuppgifter med rätten till yttrandefrihet. Denna artikel bygger på artikel 9 i direktiv 95/46/EG, såsom den tolkats av EU-domstolen[40]. Genom artikel 81 förpliktigas medlemsstaterna, förutom villkoren för särskilda uppgiftskategorier, att säkerställa särskilda skyddsåtgärder vid uppgiftsbehandling för hälso- och sjukvårdsändamål. Genom artikel 82 bemyndigas medlemsstaterna att anta särlagstiftning för behandling av personuppgifter i anställningsförhållanden. Genom artikel 83 fastställs särskilda villkor för behandling av personuppgifter för historiska, statistiska och vetenskapliga forskningsändamål. Genom artikel 84 bemyndigas medlemsstaterna att anta särskilda bestämmelser för tillsynsmyndigheternas tillgång till personuppgifter och till lokaler, när de registeransvariga har tystnadsplikt. Genom artikel 85 tillåts i ljuset av artikel 17 i EUF-fördraget fortsatt tillämpning av kyrkors befintliga heltäckande bestämmelser om uppgiftsskydd, om de bringas i överensstämmelse med denna förordning. 3.4.10. KAPITEL X – DELEGERADE AKTER OCH GENOMFÖRANDEAKTER Artikel 86 innehåller standardbestämmelser för utövandet av delegering i överensstämmelse med artikel 290 EUF-fördraget. Enligt denna artikel kan lagstiftaren till kommissionen delegera befogenheten att anta akter med allmän räckvidd som inte är lagstiftningsakter och som kompletterar eller ändrar vissa icke väsentliga delar av en lagstiftningsakt. Artikel 87 innehåller bestämmelserna för kommittéförfarandet då kommissionen tilldelas genomförandebefogenheter när enhetliga villkor för genomförandet av unionens rättsligt bindande akter, i enlighet med artikel 291 i EUF-fördraget behövs. Granskningsförfarandet är tillämpligt. 3.4.11. KAPITEL XI – SLUTBESTÄMMELSER Artikel 88 upphäver direktiv 95/46/EG. Genom artikel 89 klargörs förhållandet till, och ändras, direktiv 2002/58/EG. Genom artikel 90 förpliktigas kommissionen att utvärdera förordningen och överlämna rapporter. Genom artikel 91 fastställs dagen för förordningens ikraftträdande samt en övergångsfas fram till den dag den ska tillämpas. 4. BUDGETKONSEKVENSER De specifika budgetkonsekvenser som förslaget medför har att göra med arbetsuppgifter som tilldelats Europeiska datatillsynsmannen i enlighet med den finansieringsöversikt som åtföljer detta förslag. Dessa konsekvenser kräver omfördelningar inom rubrik 5 i budgetramen. Förslaget få inte några konsekvenser för driftsutgifterna. I den finansieringsöversikt som åtföljer detta förslag till förordning omfattar budgetkonsekvenserna för förordningen, samt för direktivet om uppgiftsskydd vad avser polisen och rättsväsendet. 2012/0011 (COD) Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning) (Text av betydelse för EES) EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artiklarna 16.2 och 114.1, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande[41], efter att ha hört Europeiska datatillsynsmannen[42], i enlighet med det ordinarie lagstiftningsförfarandet, och av följande skäl: (1) Skyddet av fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artiklarna 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna och artikel 16.1 i fördraget om Europeiska unionens funktionssätt (nedan kallat EUF-fördraget) garanterar var och en rätten till skydd av de personuppgifter som rör honom eller henne. (2) Avsikten med att behandla personuppgifter är att betjäna människor. Principerna och reglerna för skyddet av enskilda personer vid behandling av deras personuppgifter bör, oavsett medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, främst deras rätt till skydd av personuppgifter. Behandlingen av personuppgifter bör bidra till att skapa ett område av frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till enskilda människors välbefinnande. (3) Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter[43] syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid uppgiftsbehandling och att garantera det fria flödet av personuppgifter mellan medlemsstaterna. (4) Den ekonomiska och sociala integration som uppstått tack vare den inre marknaden har lett till en betydande ökning av de gränsöverskridande flödena. Utbytet av uppgifter mellan ekonomiska och sociala, offentliga och privata aktörer över hela unionen har ökat. Nationella myndigheter i medlemsstaterna uppmanas i unionslagstiftningen att samarbeta och utbyta personuppgifter för att vara i stånd att fullgöra sina uppdrag eller utföra arbetsuppgifter för en myndighet som finns i en annan medlemsstat. (5) Den snabba tekniska utvecklingen och globaliseringen har ställt oss inför nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen på datadelning och insamling av uppgifter har ökat spektakulärt. Tekniken gör det möjligt för både företag och myndigheter att i sitt arbete använda sig av personuppgifter i en helt ny omfattning. Allt fler privatpersoner behandlar sina personliga uppgifter på ett sätt som gör att de blir tillgängliga för var och en, oberoende av plats i världen. Tekniken har omvandlat både ekonomin och det sociala livet, vilket gör det nödvändigt att ytterligare underlätta det fria flödet av uppgifter inom unionen samt överföringar till tredjeländer och internationella organisationer, parallellt med att en hög skyddsnivå säkerställs för person­uppgifter. (6) Dessa förändringar kräver en stark och mer sammanhängande ram för uppgiftsskyddet inom unionen, uppbackad av kraftfullt tillsynsarbete, eftersom det är viktigt att skapa den tillit som behövs som för att utveckla den digitala ekonomin över hela den inre marknaden. Enskilda bör ha kontroll över sina egna personuppgifter och rättssäkerheten och smidigheten för enskilda, ekonomiska operatörer och myndigheter bör stärkas. (7) Målen och principerna för direktiv 95/46/EG fungerar ännu på ett tillfredsställande sätt, men detta har inte kunnat förhindra bristande enhetlighet i genomförandet av uppgiftsskyddet i olika delar av unionen, rättsosäkerhet och allmänt spridda uppfattningar om att betydande risker kvarstår, särskilt vid användning av internet. Skillnader i skyddet av enskildas rättigheter och friheter, främst rätten till skydd av personuppgifter, vid behandling av personuppgifter i olika medlemsstater kan förhindra det fria flödet av personuppgifter över hela unionen. Dessa skillnader kan därför utgöra ett hinder för att bedriva ekonomisk verksamhet över hela unionen, de kan snedvrida konkurrensen och hindra myndigheterna att fullgöra de skyldigheter som de har enligt unionslagstiftningen. De varierande skyddsnivåerna beror på skillnader i genomförandet och tillämpningen av direktiv 95/46/EG. (8) För att säkra en enhetlig och hög skyddsnivå för enskilda och för att undanröja hindren för flödena av personuppgifter bör nivån på skyddet av enskildas fri- och rättigheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En enhetlig och likartad tillämpning av bestämmelserna om skydd av fysiska personers grundläggande fri- och rättigheter vid behandling av personuppgifter bör garanteras i hela unionen. (9) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de registeransvarigas och registerförarnas skyldigheter vid behandling av personuppgifter klargörs, men också att det finns likvärdiga befogenheter för övervakning och ser till att reglerna för skyddet av personuppgifter efterlevs och att påföljderna är likvärdiga i medlemsstaterna. (10) I artikel 16.2 i EUF-fördraget bemyndigas Europaparlamentet och rådet att fastställa regler om skydd av enskilda vid behandling av personuppgifter och regler som rör personuppgifters fria rörlighet. (11) För att säkra en enhetlig nivå på skyddet av enskilda över hela unionen och undvika avvikelser som hindrar den fria rörligheten av uppgifter inom den inre marknaden behövs en förordning som skapar rättssäkerhet och öppenhet för ekonomiska aktörer, däribland mikroföretag samt små och medelstora företag, och som ger enskilda personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger registeransvariga och registerförare samma ansvar, så att övervakningen av behandling av personuppgifter blir enhetlig, påföljderna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater mer effektivt. För att ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda situation innehåller förordningen ett antal undantag. Dessutom uppmanas unionens institutioner och organ samt medlemsstaterna och deras tillsynsmyndigheter att vid tillämpningen av denna förordning ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda behov. Begreppet ”mikroföretag samt små och medelstora företag” bör bygga på kommissionens rekommendation 2003/361/EG av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag. (12) Det skydd som ska tillhandahållas enligt denna förordning gäller för fysiska personer, oavsett medborgarskap eller hemvist, vid behandling av personuppgifter. När det gäller behandling av uppgifter rörande juridiska personer, exempelvis uppgifter om namn och typ av juridisk person samt kontaktuppgifter, bör denna förordning inte kunna tillämpas. Det gäller särskilt fråga om företag som bildats som juridiska personer. Detta bör också gälla när namnet på den juridiska personen innehåller namnet på en eller flera fysiska personer. (13) Skyddet av enskilda bör vara tekniskt neutralt, det vill säga inte vara beroende av den teknik som används, eftersom detta skulle kunna skapa en allvarlig risk för att reglerna kan kringgås. Skyddet av enskilda bör vara tillämpligt på både automatisk och manuell behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i ett register. Akter eller grupper av akter liksom deras omslag, som inte är strukturerade enligt särskilda kriterier, bör inte omfattas av denna förordning. (14) Denna förordning tar inte upp frågor som rör skyddet av grundläggande rättigheter och friheter eller det fria flödet av uppgifter på områden som inte omfattas av unionslagstiftningen, och den tar heller inte upp behandling av personuppgifter som sker i EU:s institutioner, organ och byråer, som omfattas av förordning (EG) nr 45/2001[44], och inte heller medlemsstaternas behandling av personuppgifter när de agerar inom ramen för unionen gemensamma utrikes- och säkerhetspolitik. (15) Denna förordning bör inte vara tillämplig på fysiska personers behandling av personuppgifter, som är helt personliga eller privata, t.ex. korrespondens och adressförteckningar, och som helt saknar vinstintresse och därmed också koppling till yrkes- eller affärsmässig verksamhet. Undantaget bör heller inte vara tillämpligt på registeransvariga eller registerförare som tillhandahåller utrustning för behandling av personuppgifter får sådana personliga eller privata verksamheter. (16) Skyddet av enskilda personer när det gäller behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, samt fri rörlighet för sådana uppgifter, säkerställs på unionsnivå av ett särskilt rättsinstrument. Av denna anledning bör denna förordning inte vara tillämplig på behandling som sker för dessa ändamål. Uppgifter som av myndigheter behandlats enligt denna förordning för att användas i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder bör dock regleras genom ett mer specifikt rättsligt instrument på unionsnivå (direktiv XX/YYY). (17) Denna förordning bör inte påverka tillämpningen av direktiv 2000/31/EG, särskilt bestämmelserna om tjänstelevererande mellanhänders ansvar i artiklarna 12–15 i det direktivet. (18) Denna förordning gör det möjligt att vid tillämpningen av bestämmelserna i den ta hänsyn till principen om allmänhetens rätt att få tillgång till allmänna handlingar. (19) All behandling av personuppgifter som sker inom ramen för arbetet på registeransvarigas eller registerförares verksamhetsställen inom unionen bör ske i överensstämmelse med denna förordning, oavsett om behandlingen i sig äger rum inom unionen eller inte. “Verksamhetsställe” innebär det faktiska och reella utförandet av verksamhet med hjälp av en stabil struktur. Den rättsliga formen för en sådan struktur, oavsett om det är en filial eller ett dotterbolag med status som juridisk person, bör här inte vara den avgörande faktorn. (20) För att enskilda inte ska fråntas det skydd denna förordning ger dem bör behandling av personuppgifter om inom unionen boende registrerade som görs av en registeransvarig som inte är etablerad inom unionen omfattas av denna förordning när behandlingen avser utbjudande av varor eller tjänster till de aktuella registrerade, eller övervakning av deras beteende. (21) För att avgöra huruvida en viss behandling kan anses ”övervaka beteendet” hos registrerade, bör det utrönas om enskilda personer spåras på internet med hjälp av uppgiftsbehandlingsteknik som består i att en ”profil” appliceras på en enskild person, främst i syfte att fatta beslut rörande honom eller henne eller för att analysera eller förutsäga hans eller hennes personliga preferenser, beteende och attityder. (22) När nationell lagstiftning i en medlemsstat är tillämplig i kraft av folkrätten bör denna förordning också vara tillämplig på registeransvariga som inte är etablerade inom unionen, exempelvis i en medlemsstats diplomatiska beskickning eller konsulat. (23) Principerna för skyddet bör gälla all information som rör en identifierad eller identifierbar person. För att avgöra om en person är identifierbar bör man uppmärksamma alla hjälpmedel som, antingen av den registeransvarige eller av någon annan person, rimligen kan komma att använda för att identifiera vederbörande. Skyddsprinciperna bör inte gälla för uppgifter som gjorts anonyma på ett sådant sätt att den registrerade inte längre är identifierbar. (24) Vid användning av nättjänster kan enskilda personer knytas till nätidentifierare som lämnas av deras utrustning, applikationer, verktyg och protokoll, t.ex. ip-adresser eller kakor. Detta kan efterlämna spår som i kombination med unika identifierare och andra uppgifter som tas emot av servrarna kan användas för att skapa profiler för enskilda personer och identifiera dem. Således utgör inte alltid identifieringsnummer, lokaliseringsuppgifter, nätidentifierare eller andra särskilda uppgifter i sig nödvändigtvis personuppgifter. (25) Samtycke bör lämnas uttryckligen med lämplig metod som möjliggör en frivillig, särskild och informerad viljeyttring från de registrerades sida, antingen genom ett uttalande eller genom en entydig affirmativ handling som visar att de är medvetna om att de ger sitt samtycke till behandlingen av personuppgifter, exempelvis en ruta som klickas i vid besök på en internetsida eller genom något annat uttalande eller beteende som i sammanhanget tydligt visar att de registrerade godtar den föreslagna behandlingen av deras personuppgifter. Tystnad eller inaktivitet bör därför inte utgöra samtycke. Samtycket bör gälla all behandling som utförs för samma ändamål. Om den registrerade ska lämna sitt samtycke efter en elektronisk begäran måste denna vara tydlig, koncis och får inte onödigtvis störa användningen av den tjänst som den avser. (26) Personuppgifter som rör hälsan bör framför allt innefatta alla uppgifter som hänför sig till en registrerad persons hälsotillstånd, uppgifter om registrering av personen för tillhandahållande av hälso- och sjukvårdstjänster, uppgifter om betalning för eller rätt till hälso- och sjukvård avseende personen i fråga, ett nummer, en symbol eller ett kännetecken som personen tilldelats för att identifiera denne för hälso- och sjukvårdsändamål, alla uppgifter om personen som insamlats i samband med tillhandahållande av hälso- och sjukvårdstjänster till denne, uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans, däribland biologiska prov, identifiering av en person som tillhandahåller hälso- och sjukvård till personen, eller andra uppgifter om t.ex. en sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling, eller den registrerades faktiska fysiologiska eller biomedicinska tillstånd oberoende av källan, exempelvis från en läkare eller annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt eller ett diagnostiskt in vitro-test. (27) En registeransvarigs huvudsakliga verksamhetsställe inom unionen bör avgöras med objektiva kriterier och bör inbegripa den effektiva och faktiska ledning som fattar de huvudsakliga besluten vad avser ändamål, villkor och medel för behandlingen med hjälp av en stabil struktur. Detta kriterium bör inte vara avhängigt om behandlingen av personuppgifter faktiskt utförs på det stället. Att tekniska medel samt teknik för behandling av personuppgifter eller behandlingsverksamhet finns och används, visar i sig inte att det rör sig om ett sådant huvudsakligt verksamhetsställe och utgör därför inte avgörande kriterier för ett huvudsakligt verksamhetsställe. Registerförares huvudsakliga verksamhetsställe bör vara den ort i unionen där de har sin centrala förvaltning. (28) En företagsgrupp bör innefatta ett kontrollerande företag samt de företag detta företag kontrollerar (kontrollerade företag), varvid det kontrollerande företaget bör vara det företag som kan utöva ett dominerande inflytande på övriga företag i kraft av exempelvis ägarskap, finansiellt deltagande eller de bestämmelser som det regleras av eller befogenheten att införa regler som rör personuppgiftsskyddet. (29) Barns personuppgifter förtjänar ett särskilt skydd, eftersom de kan vara mindre medvetna om risker, följder, skyddsåtgärder samt sina rättigheter när det gäller behandling av personuppgifter. Definitionen av vem som betraktas som barn bör vara densamma som i FN:s konvention om barnets rättigheter. (30) Varje behandling av personuppgifter måste vara laglig, rättvis och öppen i förhållande till berörda enskilda. De specifika ändamål som uppgifterna behandlas för, bör vara uttryckliga och legitima och ha bestämts vid den tidpunkt då uppgifterna samlades in. Uppgifterna bör vara adekvata, relevanta och begränsa sig till vad som är strikt nödvändigt för de ändamål som uppgifterna behandlas för. Detta innebär bl.a. att de uppgifter som insamlats inte är orimligt omfattande och att den period de lagras är begränsad till ett strikt minimum. Personuppgifter bör endast behandlas om syftet med behandlingen inte kan uppnås genom andra medel. Alla rimliga åtgärder bör vidtas för att rätta eller radera felaktiga uppgifter. För att säkerställa att uppgifter inte sparas längre än nödvändigt bör den registeransvarige införa tidsfrister för radering eller för regelbunden kontroll. (31) För att behandling ska vara laglig bör personuppgifterna behandlas efter samtycke från berörd person eller på någon annan legitim lagfäst grund, antingen denna förordning eller annan unionslagstiftning eller nationell lagstiftning som aves i denna förordning. (32) När behandling sker efter samtycke från registrerade bör registeransvariga ha bevisbördan när det gäller att visa att de registrerade har lämnat sitt samtycke till behandlingen. Vid skriftliga deklarationer som också rör andra frågor bör skyddsåtgärder finnas som ser till att de registrerade är medvetna om detta och hur långt samtycket sträcker sig. (33) För att säkerställa att samtycket är frivilligt bör det klargöras att ett samtycke inte är giltig rättslig grund om den enskilde inte har något genuin och fri valmöjlighet och därför inte utan problem kan vägra eller ta tillbaka sitt samtycke. (34) Samtycke bör inte utgöra giltig rättslig grund för behandling av personuppgifter om det finns en betydande obalans mellan den registrerade och den registeransvarige. Detta är särskilt fallet när den registrerade befinner sig i ett beroendeförhållande till den registeransvarige, bl.a. när arbetstagares personuppgifter behandlas av arbetsgivare inom ramen för en anställning. Är den registeransvarige en myndighet torde obalans endast uppkomma vid specifika uppgiftsbehandlingar där myndigheten i kraft av sina offentliga befogenheter kan ålägga skyldigheter och samtycket, med hänsyn tagen till den registrerades intresse, inte kan anses ha lämnats frivilligt. (35) Behandling bör vara laglig när den är nödvändig i samband med avtal eller när avsikten är att avtal ska ingås. (36) Behandling som grundar sig på en lagstadgad skyldighet som den register­ansvarige måste följa eller när behandling krävs för att utföra en arbetsuppgift av samhällsintresse eller när en myndighet utövar sitt uppdrag, bör behandlingen, om den begränsar rättigheter och friheter, ha rättslig grund i unionell eller nationell lagstiftning som uppfyller kraven i EU:s stadga om de grundläggande rättigheterna. Unionslagstiftning eller nationell lagstiftning bör också reglera frågan huruvida en registeransvarig som utför en arbetsuppgift i det allmännas intresse eller vid myndighets­utövning ska vara en offentlig förvaltning eller någon annan fysisk eller juridisk person som omfattas av offentligrättslig lagstiftning eller om det kan vara en fysisk eller juridisk person som lyder under civilrättslig lagstiftning, exempelvis en yrkesorganisation. (37) Behandling av personuppgifter bör även anses tillåten när den är nödvändig för att skydda ett intresse som är av avgörande betydelse för den registrerades liv. (38) Registeransvarigas berättigade intressen kan utgöra rättslig grund för behandling, på villkor att de registrerades intressen eller grundläggande rättigheter och friheter inte åsidosätts. För detta krävs en noggrann bedömning, särskilt när den registrerade är ett barn, mot bakgrund av att barn förtjänar specifikt skydd. Den registrerade bör kostnadsfritt och av skäl som rör vederbörandes särskilda situation ha rätt att göra invändningar mot behandling. För att säkra öppenheten bör registeransvariga vara skyldiga att uttryckligen informera de registrerade om vilka berättigade intressen som man eftersträvar att tillvarata och om rätten att göra invändningar. De bör även vara skyldiga att dokumentera dessa berättigade intressen. Mot bakgrund av att det är lagstiftaren som genom lagstiftning fastställer den rättsliga grunden för myndigheters behandling av uppgifter bör denna förordning inte vara tillämplig när myndigheter behandlar uppgifter inom ramen för sin myndighetsutövning. (39) Behandling av uppgifter utgör ett berättigat intresse för berörd registeransvarig i den mån den är nödvändig för att säkerställa nät- och informationssäkerheten, dvs. förmågan hos ett nät eller ett informationssystem att, vid en viss tillförlitlighetsnivå, tåla olyckshändelser, olagliga handlingar eller illvilligt uppträdande som äventyrar tillgängligheten, autenticiteten, integriteten och konfidentialiteten hos lagrade eller överförda data och besläktade tjänster som tillhandahålls av eller är tillgängliga via dessa nät och system av myndigheter, incidenthanterings­organisationer (Cert), enheter för hantering av datasäkerhetsincidenter, tillhandahållare av elektroniska kommunikationsnät och kommunikationstjänster och av tillhandahållare av säkerhetsteknik och säkerhetstjänster. Detta skulle t.ex. kunna innefatta förhindrande av obehörigt tillträde till elektroniska kommunikationsnät och felaktig kodfördelning och att sätta stopp för överbelastningsattacker och skador på datasystem och elektroniska kommunikations­system. (40) Behandling av personuppgifter för andra ändamål bör endast vara tillåten när detta är förenligt med de ändamål som uppgifterna ursprungligen samlades in för, särskilt när behandlingen är nödvändig för historiska, statistiska eller vetenskapliga forskningsändamål. När ett annat ändamål inte är förenligt med det ursprungliga som uppgifterna samlas in för, bör den registeransvarige skaffa sig den registrerades samtycke för detta andra ändamål eller åberopa en annan legitim grund för laglig behandling, exempelvis föreskrifter i unionslagstiftning eller i den medlemsstats lagstiftning som den registeransvarige omfattas av. Under alla omständigheter bör principerna i denna förordning tillämpas, särskilt när det gäller informationen till den registrerade om dessa andra ändamål. (41) Personuppgifter som till sin karaktär är särskilt känsliga och ömtåliga i förhållande till de grundläggande rättigheterna eller integriteten, förtjänar särskilt skydd. Sådana uppgifter bör inte behandlas, såvida inte den registrerade lämnar sitt uttryckliga samtycke. Undantag från detta förbud bör dock uttryckligen föreskrivas för att tillgodose specifika behov, främst när behandling inom ramen för legitima verksamheter utförs av vissa sammanslutningar eller stiftelser vars ändamål är att göra det möjlig att utöva grundläggande friheter. (42) Undantag från förbudet att behandla känsliga uppgiftskategorier bör även tillåtas om de grundar sig på lagstiftning och underkastas lämpliga skyddsåtgärder för att skydda personuppgifter och övriga grundläggande rättigheter, när samhälleliga intressen motiverar detta och i synnerhet för hälsosyften, bl.a. folkhälsa och social trygghet samt administration av hälso- och sjukvårdstjänster, särskilt för att säkerställa kvalitet och kostnadseffektivitet för de förfaranden som används vid prövning av ansökningar om förmåner och tjänster inom sjukförsäkringssystemet, eller för historiska, statistiska och vetenskapliga forskningsändamål. (43) Myndigheters behandling av personuppgifter på officiellt erkända religiösa sammanslutningars vägnar för att uppfylla målsättningar som uttrycks i grundlag eller genom folkrätten anses också grunda sig på samhälleliga intressen. (44) Om det för att det demokratiska systemet ska fungera i samband med allmänna val är nödvändigt att politiska partier i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattningar får behandling av sådana uppgifter tillåtas i det allmännas intresse, på villkor att bestämmelser finns om lämpliga skyddsåtgärder. (45) Om de uppgifter som behandlas av registeransvariga inte innebär att de kan identifiera fysiska personer bör de registeransvariga inte vara tvungna att skaffa ytterligare information för att kunna identifiera den registrerade, om ändamålet endast är att följa någon av bestämmelserna i denna förordning. Om en registeransvarig mottar en begäran om tillgång bör denne ha rätt att be den begärande registrerade personen om ytterligare information för att kunna lokalisera de personuppgifter som denne söker. (46) Öppenhetsprincipen kräver att all information som riktar sig till allmänheten eller till registrerade är lätt åtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk. Detta är särskilt relevant när mängden av olika aktörer och den tekniska komplexiteten i vissa situationer, exempelvis i fråga om reklam på nätet, försvårar för de registrerade att känna till och förstå om personuppgifter som rör dem samlas in, vem som gör det och för vilket syfte. Mot bakgrund av att barn förtjänar särskilt skydd bör all information och kommunikation som riktar sig särskilt till barn ges på ett tydligt och enkelt språk som barnet lätt kan förstå. (47) Förfaranden bör fastställas som gör det lättare för registrerades att utöva sina rättigheter enligt denna förordning, bl.a. mekanismer för att kostnadsfritt särskilt begära tillgång till uppgifterna, rättelser, radering och att utöva rätten att göra invändningar. Registeransvariga bör inom en fastställd tidsfrist vara skyldiga att besvara registrerades önskemål och lämna en motivering om den registrerades önskemål inte kan uppfyllas. (48) Principerna om rättvis och öppen behandling fordrar att den registrerade informeras särskilt om att behandling sker och syftet med den, hur länge uppgifterna kommer att lagras, rätten att få tillgång till dem, rätta eller radera dem samt rätten att lämna in klagomål. När uppgifterna samlas in från de registrerade bör dessa även informeras om huruvida de är skyldiga att lämna uppgifterna, och om konsekvenserna i det fall de inte lämnar dem. (49) Information om behandling av personuppgifter som rör registrerade bör lämnas till dem vid den tidpunkt då uppgifterna samlas in, eller om uppgifterna inte samlas in direkt från de registrerade, inom en rimlig period, beroende på omständigheterna i fallet. När uppgifter legitimt kan lämnas ut till en annan mottagare bör de registrerade informeras första gången uppgifterna lämnas ut till den mottagaren. (50) Det är dock inte nödvändigt att införa någon sådan skyldighet när de registrerade redan förfogar över denna information eller när registreringen eller utlämnandet av uppgifterna uttryckligen föreskrivs i lag eller när det visar sig vara omöjlig eller skulle medföra orimliga ansträngningar att tillhandahålla de registrerade informationen. Det sistnämnda skulle särskilt kunna vara fallet när behandlingen sker för historiska, statistiska eller vetenskapliga forskningsändamål. Vid bedömningen kan hänsyn tas till antalet registrerade, uppgifternas ålder och eventuella kompenseringsåtgärder. (51) Alla bör ha rätt att få tillgång till uppgifter som insamlats om dem och enkelt kunna utöva denna rätt så att de är medvetna om att behandling sker och kan kontrollera att den är laglig. Alla registrerade bör därför ha rätt att känna till och få underrättelse om framför allt orsaken till att uppgifterna behandlas, vilken tidsperiod behandlingen pågår, vilka som mottar uppgifterna, de behandlade uppgifternas bakomliggande logik och, åtminstone när behandlingen bygger på profilering, vilka konsekvenserna kan bli. Denna rättighet bör inte inverka menligt på andra rättigheter och friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran. Dessa överväganden bör dock inte utmynna i att den registrerade förvägras all information. (52) Registeransvariga bör vidta alla rimliga åtgärder för att kontrollera identiteten på en registrerad som begär tillgång, särskilt inom ramen för nättjänster och i fråga om nätidentifierare. Registeransvariga bör inte behålla personuppgifter enbart för att kunna agera vid en potentiell sådan begäran. (53) Alla bör ha rätt till rättelse av sina personuppgifter och en ”rätt att bli bortglömd” när lagring av uppgifterna inte stämmer överens med denna förordning. Registrerade bör särskilt ha rätt att få sina personuppgifter raderade och kunna begära att dessa uppgifter inte behandlas om de inte längre behövs med tanke på de ändamål för vilka de samlats in eller på annat sätt behandlats, om de registrerade har återtagit sitt samtycke till behandling eller om de registrerade invänder mot behandling av personuppgifter som rör dem eller när behandlingen av deras personuppgifter på annat sätt inte överensstämmer med denna förordning. Denna rättighet är särskilt relevant när den registrerade har gett sitt samtycke som barn, utan att vara fullständigt medveten om riskerna med behandlingen, och senare vill ta bort dessa personuppgifter, särskilt på internet. Ytterligare lagring av uppgifterna bör dock tillåtas när så behövs för historiska, statistiska och vetenskapliga forskningsändamål, i det allmännas intresse på folkhälsoområdet, för utövandet av yttrandefriheten, när lagen så kräver eller när det finns anledning att begränsa behandlingen av uppgifterna i ställe för att radera dem. (54) För att stärka ”rätten att bli bortglömd” i nätmiljön bör rätten till radering även utvidgas på ett sådant sätt att registeransvariga som offentliggjort personuppgifter bör vara förpliktigade att informera tredje part som behandlar dessa uppgifter om att en registrerad person begärt att de ska radera alla länkar till och kopior eller reproduktioner av dessa personuppgifter. För att säkerställa informationen i fråga bör registeransvariga vidta alla rimliga åtgärder, däribland tekniska sådana, vad avser de uppgifter som de är ansvariga för. När tredje part offentliggör personuppgifter bör de registeransvariga anses bära ansvaret för offentliggörandet om de har lämnat tillstånd till det. (55) För att ytterligare stärka de registrerades kontroll över sina egna uppgifter och rätt till tillgång bör de, när personuppgifter behandlas genom elektroniska medel och i strukturerat och gängse format, också ha rätt att få en kopia av uppgifter som rör dem i gängse elektroniskt format. Den registrerade bör även tillåtas överföra uppgifter som han eller hon själv har tillhandahållit från en automastisk tillämpning, exempelvis ett socialt nätverk, till en annan. Detta bör vara tillämpligt när de registrerade har lämnat uppgifterna till ett automastiskt databehandlingssystem, antingen efter att ha lämnat sitt samtycke eller inom ramen för genomförandet av ett avtal. (56) I de fall när personuppgifter lagligen får behandlas för att skydda den registrerades grundläggande intressen eller på grund av samhälleliga intressen, myndighetsutövning eller en registeransvarigs berättigade intressen bör alla registrerade personer likväl ha rätt att göra invändningar mot behandling av alla uppgifter som rör dem. Den registeransvarige bör åläggas bevisbördan när det gäller att visa att deras berättigade intressen kan överskugga den registrerades intressen eller grundläggande rättigheter och friheter. (57) När personuppgifter behandlas för direkt marknadsföring bör den registrerade ha rätt att kostnadsfritt och på ett enkelt och effektivt sätt resa invändningar mot behandlingen. (58) Fysiska personer bör inte vara tvungna att underkasta sig åtgärder som bygger på profilering genom automatisk behandling. Sådana åtgärder bör dock godtas när de uttryckligen är tillåtna enligt lag, när de vidtas vid ingåendet eller genomförandet av ett avtal eller när den registrerade har gett sitt samtycke. Denna form av uppgiftsbehandling bör emellertid omgärdas av lämpliga skyddsåtgärder, bl.a. särskild information till den registrerade, rätt till personlig kontakt samt att garantier för att åtgärderna inte berör barn. (59) Begränsningar av specifika principer och av rätten till information, tillgång, rättelse och radering eller av rätten till uppgiftsportabilitet, av rätten att göra invändningar, av profileringsbaserade åtgärder samt information till den registrerade om personuppgiftsbrott och av vissa av den registeransvariges relaterade skyldigheter kan införas genom unionslagstiftning eller nationell lagstiftning, i den mån de är nödvändiga och proportionella i ett demokratiskt samhälle för att upprätthålla den allmänna säkerheten, exempelvis för att skydda människoliv särskilt vid naturkatastrofer eller katastrofer framkallade av människan, vid förebyggande, utredning och lagföring av brott eller överträdelser av etiska principer för reglerade yrken, vad gäller unionens eller en medlemsstats övriga allmänna intressen, särskilt om de är av stort ekonomiskt eller finansiellt intresse för unionen eller en medlemsstat, eller vad gäller skydd av den registrerade eller andras rättigheter och friheter. Dessa begränsningar bör stå i samklang med kraven i Europeiska unionens stadga om de grundläggande rättigheterna och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. (60) Registeransvariga bör åläggas ett heltäckande ansvar för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Registeransvariga bör särskilt säkerställa och vara skyldiga att visa att varje behandling är förenlig med denna förordning. (61) Skyddet av de registrerades fri- och rättigheter i samband med behandling av personuppgifter förutsätter att lämpliga tekniska och organisatoriska åtgärder vidtas både när behandlingen utformas och i själva behandlingsögonblicket så att kraven i denna förordning uppfylls. För att säkerställa och visa att denna förordning följs, bör den registeransvarige anta interna strategier och vidta lämpliga åtgärder, särskilt för att uppfylla principerna om inbyggt uppgiftsskydd och uppgiftsskydd som standard. (62) Skyddet av de registrerades rättigheter och friheter samt de registeransvarigas och registerförarna ansvar, också i förhållande till tillsynsmyndigheternas övervakning och åtgärder, kräver ett tydligt fastställande av vem som bär ansvaret enligt denna förordning, bl.a. när registeransvariga bestämmer ändamål, villkor och medel för en behandling gemensamt tillsammans med andra registeransvariga eller när en behandling utförs på en registeransvarigs vägnar. (63) När registeransvariga som inte är etablerade inom unionen behandlar personuppgifter om registrerade som bor inom unionen, och det bakomliggande syftet med uppgiftsbehandlingen är att erbjuda de registrerade personerna varor och tjänster eller att övervaka deras beteende, bör de registeransvariga utnämna en företrädare, såvida inte de är etablerade i ett tredjeland som har en adekvat skyddsnivå, eller de registeransvariga är ett litet eller medelstort företag eller en myndighet eller ett organ, eller när de registeransvariga bara undantagsvis erbjuder varor eller tjänster till de registrerade. Företrädaren bör agera på den registeransvariges vägnar och kan kontaktas av samtliga tillsynsmyndigheter. (64) För att avgöra om registeransvariga endast undantagsvis erbjuder varor och tjänster till registrerade som bor inom unionen bör det utrönas om det är uppenbart med anledning av den registeransvariges övergripande verksamheter att erbjudandet av varor och tjänster till dessa registrerade personer är sidoverksamhet till huvudverksamheten. (65) För att påvisa att denna förordning följs, bör de registeransvariga eller registerförarna dokumentera varje behandling. Alla registeransvariga och registerförare bör vara skyldiga att samarbeta med tillsynsmyndigheten och på dennas begäran göra dokumenteringen tillgänglig så att den kan tjäna som grund för övervakningen av behandlingen. (66) För att bibehålla säkerheten och förhindra behandling som bryter mot denna förordning bör registeransvariga eller registerförare utvärdera de risker som hör till behandlingen och vidta åtgärder för att mildra dem. Åtgärderna bör leda till en lämplig säkerhetsnivå med hänsyn till dagens tekniska utveckling och till kostnaderna för genomförandet med hänsyn till riskerna och vilken typ av personuppgifter som ska skyddas. Vid införandet av tekniska standarder och organisatoriska åtgärder som ska borga för säkerheten vid behandling bör kommissionen främja teknikneutralitet, interoperabilitet och innovation, och om så är lämpligt samarbeta med tredjeland. (67) Ett personuppgiftsbrott som inte snabbt åtgärdas på lämpligt sätt kan för den enskilde leda till betydande ekonomisk förlust eller social skada. Registeransvariga bör därför så snart de blir medvetna om ett sådant brott anmäla det till tillsynsmyndigheten utan onödigt dröjsmål och, när så är möjligt, inom 24 timmar. Om detta inte kan uppnås inom 24 timmar bör en förklaring av skälen till fördröjningen åtfölja anmälan. Enskilda personer vars personuppgifter kan påverkas negativt av brottet bör meddelas utan onödig fördröjning så att de kan vidta nödvändiga försiktighetsåtgärder. Ett brott bör anses negativt påverka en registrerad persons personuppgifter eller integritet när det exempelvis kan leda till identitetsstöld eller bedrägeri, fysik skada, betydande förödmjukelse eller skadat anseende. Anmälan bör beskriva personuppgiftsbrottets art samt innehålla rekommendationer för berörd enskild person om hur de potentiella negativa effekterna kan mildras. De registrerade bör meddelas så snart detta rimligtvis är möjligt, i nära samarbete med tillsynsmyndigheten och i enlighet med den vägledning som lämnats av den eller andra relevanta myndigheter (t.ex. brottsbekämpande myndigheter). För att den drabbade personen ska kunna mildra en omedelbar skaderisk bör han eller hon meddelas omedelbart. Däremot kan behovet att vidta lämpliga åtgärder vid fortlöpande eller likartade personuppgiftsbrott motivera en viss fördröjning. (68) För att avgöra om tillsynsmyndigheten och den registrerade fått meddelande om ett personuppgiftsbrott utan onödigt dröjsmål bör det utrönas om den registeransvarige har infört och tillämpat lämpligt tekniskt skydd och lämpliga organisatoriska åtgärder för att omedelbart fastställa om ett personuppgiftsbrott har ägt rum och skyndsamt informera tillsynsmyndigheten och den registrerade innan några skador uppstår på personliga och ekonomiska intressen, med hänsyn tagen bl.a. till personuppgiftsbrottets art och svårhetsgrad och dess följder och negativa effekter på den registrerade. (69) När ingående regler fastställs för format och förfaranden för anmälan av personuppgiftsbrott, bör vederbörlig hänsyn tas till omständigheterna kring brottet, däribland om personuppgifterna var skyddade av lämpliga tekniska skyddsåtgärder som betydligt begränsar sannolikheten för identitetsbedrägeri eller andra former av missbruk. Dessutom bör sådana regler och förfaranden beakta brottsbekämpande myndigheters berättigade intressen i fall där en för tidig redovisning kan riskera att i onödan hämma utredning av omständigheterna kring ett brott. (70) Direktiv 95/46/EG innehöll bestämmelser om en allmän skyldighet att anmäla behandling av personuppgifter till tillsynsmyndigheterna. Denna skyldighet medförde administrativa och ekonomiska bördor, men förbättrade inte alltid personuppgiftsskyddet. Denna övergripande och allmänna anmälningsskyldighet bör därför avskaffas och ersättas av effektiva förfaranden och en mekanism som i stället fokuseras på de behandlingar som sannolikt utsätter de registrerades rättigheter och friheter för särskilda risker i kraft av sin karaktär, omfattning eller ändamål. I sådana fall bör den registeransvarige eller registerföraren före behandlingen göra en konsekvensbedömning avseende uppgiftsskydd, som främst bör innefatta de planerade åtgärder, skyddsåtgärder och mekanismer som ska säkerställa personuppgiftskyddet och som ska visa att denna förordning efterlevs. (71) Detta bör särskilt vara tillämpligt på nyligen etablerade storskaliga register, vars syfte är behandla betydande mängder personuppgifter på regional, nationell eller övernationell nivå och som skulle kunna påverka ett stort antal av de registrerade. (72) Ibland kan det vara förnuftigt och ekonomiskt att en konsekvensbedömning avseende uppgiftsskydd inriktar sig på ett vidare område än ett enda projekt, exempelvis när myndigheter eller organ avser att skapa en gemensam tillämpnings- eller behandlingsplattform eller när flera registeransvariga planerar att införa en gemensam tillämpnings- eller behandlingsmiljö för en hel bransch eller ett helt segment eller för en allmänt utnyttjad horisontell verksamhet. (73) Konsekvensbedömningar avseende uppgiftsskydd bör göras av en myndighet eller ett offentligt organ om en sådan bedömning inte redan har gjorts i samband med antagandet av den nationella lagstiftning som utförandet av myndighetens eller det offentliga organets arbetsuppgifter bygger på, och som reglerar den aktuella specifika behandlingsåtgärden eller serien av åtgärder. (74) Om det av en konsekvensbedömning avseende uppgiftsskydd framgår att behandlingen innebär att de registrerades rättigheter och friheter utsätts för höggradiga särskilda risker, exempelvis att enskilda fråntas sina rättigheter eller genom att särskild ny teknik används, bör innan behandlingen inleds samråd ske med tillsynsmyndigheten om den behandling som medför risker och eventuellt inte överensstämmer med denna förordning och förslag lämnas som åtgärdar situationen. Denna typ av samråd bör även ske som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd som definierar behandlingens art och anger lämpliga skyddsåtgärder. (75) När en behandling utförs inom den offentliga sektorn eller av ett stort företag inom den privata sektorn, eller när ett företags kärnverksamheter, oavsett företagets storlek, inbegriper behandling som kräver regelbunden och systematisk övervakning bör en person bistå den registeransvarige eller registerföraren för att övervaka den interna efterlevnaden av denna förordning. Denna typ av uppgiftsskyddsombud bör, vare sig de är anställda av den registeransvarige eller ej, kunna fullgöra sitt uppdrag och utföra sina arbetsuppgifter på ett oberoende sätt. (76) Sammanslutningar eller andra organ som företräder kategorier av registeransvariga bör uppmuntras att utarbeta uppförandekodexar inom gränserna för denna förordning, så att tillämpningen av förordningen effektiviseras, under beaktande av de särdrag som finns vid behandling som sker inom vissa sektorer. (77) För att förbättra öppenheten och efterlevnaden av denna förordning bör införandet av certifieringsmekanismer, uppgiftsskyddsförsegling och uppgiftsskyddsmärkning uppmuntras, så att registrerade snabbt kan bedöma nivån på relevanta produkters och tjänsters uppgiftsskydd. (78) Gränsöverskridande flöden av personuppgifter är nödvändiga för utvecklingen av internationell handel och internationellt samarbete. Ökningen av dessa flöden har medfört nya utmaningar och nya farhågor när det gäller skyddet av personuppgifter. Det är viktigt att den skyddsnivå som enskilda garanteras inom unionen genom denna förordning inte undergrävs när personuppgifter överförs från unionen till tredjeland eller till internationella organisationer. Överföringar till tredjeländer får under alla omständigheter endast utföras i full överensstämmelse med denna förordning. (79) Denna förordning påverkar inte internationella avtal mellan unionen och tredjeländer som reglerar överföring av personuppgifter, däribland lämpliga skyddsåtgärder som gagnar de registrerade. (80) Kommissionen kan med verkan för hela unionen fastställa att vissa tredjeländer, ett visst territorium eller en viss behandlande sektor i ett tredjeland eller en internationell organisation kan garantera adekvat uppgiftsskydd, och på så sätt skapa rättssäkerhet och enhetlighet i hela unionen vad gäller dessa tredjeländer eller internationella organisationer. I dessa fall får överföringar av personuppgifter till dessa länder ske utan vidare tillstånd. (81) I linje med de grundläggande värderingar som unionen bygger på, bl.a. skyddet av mänskliga rättigheter, bör kommissionen i sin bedömning av tredjeländer beakta hur ett visst tredjeland respekterar rättsstatsprincipen, tillgången till rättslig prövning samt internationella människorättsnormer och -standarder. (82) Kommissionen kan likaså konstatera att ett tredjeland, ett visst territorium eller en viss behandlande sektor i ett tredjeland eller en internationell organisation inte garanterar adekvat skyddsnivå. Överföring av personuppgifter till detta tredjeland bör då förbjudas. I så fall bör det finnas möjlighet till samråd mellan kommissionen och dessa tredjeländer eller internationella organisationer. (83) Saknas beslut om adekvat skyddsnivå bör den registeransvarige eller registerföraren vidta åtgärder för att kompensera för det bristande uppgiftsskyddet i ett tredjeland med hjälp av lämpliga skyddsåtgärder för den registrerade. Sådana lämpliga skyddsåtgärder kan bestå i tillämpning av bindande företagsbestämmelser, standardbestämmelser om uppgiftsskydd som antagits av kommissionen, standardbestämmelser om uppgiftsskydd som antagits av en tillsynsmyndighet, avtalsbestämmelser som godkänts av en tillsynsmyndighet eller andra passande och proportionella åtgärder som kan vara motiverade med hänsyn till alla omständigheterna kring en uppgiftsöverföring eller en serie av uppgiftsöverföringar och som har godkänts av en tillsynsmyndighet. (84) Registeransvarigas eller registerförares möjlighet att använda standardiserade uppgiftsskyddsbestämmelser som antagits av kommissionen eller av en tillsynsmyndighet bör inte hindra att de infogar standardiserade uppgiftsskyddsbestämmelser i ett vidare avtal eller lägger till andra bestämmelser såvida dessa inte, direkt eller indirekt, står i strid mot standardavtalsklausuler som antagits av kommissionen eller av en tillsynsmyndighet eller påverkar de registrerades grundläggande rättigheter eller friheter. (85) En företagsgrupp bör kunna använda sig av godkända bindande företagsregler för sina internationella överföringar från unionen till organisationer inom samma företagsgrupp, i den mån företagsreglerna inbegriper nödvändiga principer och bindande rättigheter som garanterar lämpliga skyddsåtgärder för överföringar eller serier av överföringar av personuppgifter. (86) Bestämmelser bör införas som ger möjlighet att under vissa omständigheter göra överföringar om den registrerade har lämnat sitt samtycke, när överföringen är nödvändig med hänsyn till ett avtal eller ett rättsligt anspråk, när viktiga samhälleliga intressen fastställda genom unionell eller nationell lag så kräver eller när överföringen görs från ett register som inrättats genom lag och är avsett att konsulteras av allmänheten eller av personer med ett berättigat intresse. I sistnämnda fall bör en sådan överföring inte omfatta alla uppgifter eller hela kategorier av uppgifter som finns i registret. När registret är avsett att vara tillgängligt för personer med ett berättigat intresse ska överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. (87) Dessa undantag bör främst vara tillämpliga på uppgiftsöverföringar som krävs och är nödvändiga för att skydda viktiga samhälleliga intressen, exempelvis vid internationella uppgiftsöverföringar mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, finanstillsynsmyndigheter, mellan socialförsäkringsmyndigheter, eller till myndigheter som är behöriga att förebygga, utreda, avslöja och lagföra brott. (88) Överföringar som inte kan anses vara ofta återkommande eller omfattande bör också vara möjliga när registeransvariga eller registerförare har berättigade intressen för detta och sedan de har bedömt omständigheterna kring uppgiftsöverföringen. Vid behandling för historiska, statistiska och vetenskapliga forskningsändamål bör hänsyn tas till samhällets legitima förväntningar om kunskaps­ökning. (89) Om kommissionen inte har fattat beslut om adekvat uppgiftsskyddsnivå i ett tredjeland bör den registeransvarige eller registerföraren i alla fall använda sig av lösningar som ger de registrerade en garanti för att de fortsatt kan utöva sina grundläggande rättigheter och att skyddsåtgärderna kvarstår vad gäller behandling av deras personuppgifter inom unionen när dessa uppgifter väl har överförts. (90) Vissa tredjeländer har antagit lagar och andra författningar som syftar till att direkt reglera uppgiftsbehandling som utövas av fysiska och juridiska personer under medlemsstaternas jurisdiktion. Extraterritoriell tillämpning av dessa lagar och andra författningar kan strida mot internationell rätt och inverka menligt på det skydd av enskilda som garanteras inom unionen genom denna förordning.. Överföringar bör endast tillåtas om villkoren i denna förordning för en överföring till tredjeländer är uppfyllda. Detta kan bl.a. vara fallet när utlämnande är nödvändigt på grund av ett viktigt samhällsintresse som erkänns i unionslagstiftningen eller i en medlemsstats lagstiftning som den registeransvarige omfattas av. Villkoren för att ett viktigt samhällsintresse ska anses föreligga bör ytterligare specificeras av kommissionen i en delegerad akt. (91) När personuppgifter förs över gränser kan detta öka risken för att enskilda inte ska kunna utöva sina uppgiftsskyddsrättigheter, i första hand för att skydda sig från otillåten användning eller otillåtet utlämnande av denna information. Samtidigt kan tillsynsmyndigheter finna att de inte är i stånd att handlägga klagomål eller göra utredningar som gäller verksamheter utanför gränserna för deras land. Deras strävan att arbeta tillsammans över gränserna kan också hindras av otillräckliga preventiva eller korrigerande befogenheter, oenhetliga rättsliga regelverk, och praktiska hinder som exempelvis bristande resurser. Närmare samarbete måste därför främjas mellan uppgiftsskyddstillsynsmyndigheter för att hjälpa dem att utbyta information och utföra utredningar med sina internationella motsvarigheter. (92) För att skydda enskilda vid behandlingen av personuppgifter är det avgörande att medlemsstaterna inrättar tillsynsmyndigheter som utför sitt uppdrag under fullständigt oberoende. Medlemsstaterna kan inrätta fler än en tillsynsmyndighet om det behövs för att ta hänsyn till den egna konstitutionella, organisatoriska och administrativa strukturen. (93) I det fall en medlemsstat inrättar flera tillsynsmyndigheter bör den lagstiftningsvägen införa åtgärder som säkerställer att dessa tillsynsmyndigheter effektivt deltar i mekanismen för enhetlighet. Medlemsstaten bör i detta fall utnämna en tillsynsmyndighet som fungerar som samlande kontaktpunkt för dessa myndigheters effektiva deltagande i mekanismen för att säkra ett snabbt och smidigt samarbete med övriga tillsynsmyndigheter, Europeiska dataskyddsstyrelsen och kommissionen. (94) Varje tillsynsmyndighet bör tilldelas de ekonomiska och personella resurser och lokalutrymmen samt den infrastruktur som krävs för att den effektivt ska kunna utföra sina arbetsuppgifter, däribland de arbetsuppgifter som är knutna till ömsesidigt bistånd och samarbete med övriga tillsynsmyndigheter i hela unionen. (95) De allmänna villkoren för tillsynsmyndighetens ledamöter bör fastställas genom lag i varje medlemsstat. Bestämmelserna bör bl.a. föreskriva att de ska utnämnas antingen av parlamentet eller av medlemsstatens regering, och inkludera regler om deras personliga kvalifikationer och ställning. (96) Tillsynsmyndigheterna bör övervaka tillämpningen av bestämmelserna i denna förordning och bidra till att tillämpningen blir enhetlig over hela unionen för att skydda fysiska personer vid behandling av deras personuppgifter och för att underlätta det fria flödet av personuppgifter inom den inre marknaden. För detta ändamål bör tillsynsmyndigheterna samarbeta såväl sinsemellan som med kommissionen. (97) Om behandlingen av personuppgifter inom ramen för den verksamhet som en registeransvarig eller registerförare bedriver inom unionen äger rum i fler än en medlemsstat bör en enda tillsynsmyndighet vara behörig att övervaka den registeransvariges eller registerförarens verksamheter i hela unionen och fatta alla därmed sammanhängande beslut. Detta för att öka enhetligheten i tillämpningen, skapa rättssäkerhet och minska den administrativa bördan för dessa registeransvariga och registerförare. (98) Den behöriga myndighet som tar på sig detta bör vara tillsynsmyndigheten i den medlemsstat där den registeransvarige eller registerföraren har sitt huvudsakliga verksamhetsställe. (99) Denna förordning är visserligen tillämplig på nationella domstolars verksamheter, men tillsynsmyndigheterna bör inte ha behörighet att övervaka behandling av personuppgifter i domstolarna när detta sker som en del av deras dömande verksamhet. Syftet är att garantera domarnas oberoende när de utför sina rättsliga arbetsuppgifter. Detta undantag bör dock vara strikt inskränkt till genuint rättsliga verksamheter i domstolsmål och inte vara tillämpligt på övriga verksamheter där domare i enlighet med nationell lagstiftning kan medverka. (100) För att denna förordning ska övervakas och verkställas på ett enhetligt sätt i hela unionen bör tillsynsmyndigheterna i alla medlemsstater ha samma uppdrag och effektiva befogenheter, bl.a. befogenheter att utreda, vidta rättsligt bindande åtgärder, fatta beslut och ålägga påföljder, särskilt vid klagomål från enskilda, samt delta i rättsliga förfaranden. Tillsynsmyndigheternas utredningsbefogenheter vad avser tillträde till lokaler bör utövas överensstämmelse med unionens och medlemsstaternas lagstiftning. Detta gäller särskilt kravet på att inhämta förhandstillstånd från rättsliga myndigheter. (101) Tillsynsmyndigheterna bör ta emot klagomål som lämnas in av registrerade och utreda ärendena i fråga. Utredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet. Tillsynsmyndigheten bör i rimlig tid informera den registrerade om hur arbetet med klagomålet fortskrider och vad resultatet blir. Om ärendet fordrar ytterligare utredning eller samordning med en annan tillsynsmyndighet bör den registrerade underrättas även om detta. (102) Medvetandehöjande kampanjer som tillsynsmyndigheter genomför bör innefatta särskilda åtgärder riktade dels till registeransvariga och registerförare, exempelvis mikroföretag samt små och medelstora företag, dels till de registrerade. (103) Tillsynsmyndigheterna bör hjälpa varandra att utföra sina uppdrag och ge ömsesidigt bistånd så att denna förordning tillämpas och verkställs enhetligt på den inre marknaden. (104) Alla tillsynsmyndigheter bör ha rätt att delta i gemensamma insatser mellan tillsynsmyndigheter. Den anmodade tillsynsmyndigheten bör vara skyldig att besvara en begäran inom en fastställd tidsperiod. (105) För att denna förordning ska tillämpas enhetligt i hela unionen bör en mekanism för enhetlighet för samarbete mellan tillsynsmyndigheterna själva och kommissionen skapas. Denna mekanism bör främst vara tillämplig när en tillsynsmyndighet avser att vidta en åtgärd gällande behandlingar som avser erbjudande av varor eller tjänster till registrerade i flera medlemsstater, eller som avser övervakning av registrerade, eller som påtagligt kan påverka personuppgifternas fria flöde. Den bör också vara tillämplig när en tillsynsmyndighet eller kommissionen begär att ärendet bör hanteras inom ramen för mekanismen för enhetlighet. Mekanismen bör inte påverka åtgärder som kommissionen kan komma att vidta när den utövar sina befogenheter enligt fördragen. (106) Vid tillämpningen av mekanismen för enhetlighet bör Europeiska dataskyddsstyrelsen inom en fastställd tidsperiod avge ett yttrande, om en enkel majoritet av dess ledamöter så beslutar eller om någon tillsynsmyndighet eller kommissionen begär detta. (107) Kommissionen kan för att se till att denna förordning följs avge ett yttrande i denna fråga, eller fatta ett beslut som ålägger tillsynsmyndigheten att skjuta upp utkastet till åtgärd. (108) Brådskande behov att agera kan uppstå för att skydda de registrerades intressen, särskilt när fara föreligger att säkerställandet av en registrerad persons rättighet kan komma att försvåras avsevärt. En tillsynsmyndighet bör därför kunna vidta preliminära åtgärder med viss giltighetsperiod när den tillämpar mekanismen för enhetlighet. (109) Tillämpningen av denna mekanism bör vara ett villkor för att en tillsynsmyndighets beslut ska var rättsligt giltiga och kunna verkställas. I andra ärenden som inbegriper flera länder kan ömsesidigt bistånd och gemensamma insatser komma ifråga mellan berörda tillsynsmyndigheter på bilateral eller multilateral basis utan att mekanismen för enhetlighet utlöses. (110) På unionsnivå bör en europeisk dataskyddsstyrelse inrättas. Den bör ersätta arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter som inrättas genom direktiv 95/46/EG. Den bör bestå av en chef för en tillsynsmyndighet i varje medlemsstat och av Europeiska datatillsynsmannen. Kommissionen bör delta i dess verksamheter. Eur