GEMENSAM STÅNDPUNKT (EG) nr 1/95 antagen av rådet den 20 februari 1995 inför antagandet av Europaparlamentets och Rådets direktiv 95/. . ./EG om skyddet för enskilda personer med avseende på behandlingen av personuppgifter och om det fria flödet av sådana uppgifter (95/C 93/01)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV

med beaktande av Fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 100a i detta,

med beaktande av kommissionens förslag(1),

med beaktande av Ekonomiska och sociala kommitténs yttrande(2),

i enlighet med det förfarande som anges i fördragets artikel 189b(3), och

med beaktande av följande:

Gemenskapens målsättningar, som uttryckts i fördraget, vilket ändrats genom Fördraget om Europeiska unionen, består i att förverkliga en allt fastare sammanslutning av de europeiska folken, i att upprätta allt närmare relationer mellan de stater som förenas i gemenskapen, i att genom gemensam handling garantera ekonomiska och sociala framsteg genom att avskaffa de barriärer som delar Europa, i att ständigt förbättra levnadsvillkoren för dess folk, i att bevara och stärka fred och frihet och i att främja demokratin på grundval av de grundläggande rättigheter som erkänns i medlemsstaternas grundlagar och lagar liksom i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna.

Systemen för databehandling av uppgifter är till för människornas skull. Oavsett fysiska personers medborgarskap eller hemvist måste systemen respektera de enskilda personernas grundläggande fri- och rättigheter särskilt rätten till privatlivet och bidra till ekonomiska och sociala framsteg, handelns utveckling och enskilda personers välfärd.

Upprättandet av den inre marknaden och dennas funktion, som i enlighet med artikel 7a i fördraget innebär fri rörlighet för varor, personer, tjänster och kapital, förutsätter inte bara att personuppgifter fritt kan överföras från en medlemsstat till en annan utan också att enskilda personers grundläggande rättigheter skyddas.

Inom gemenskapen behandlas och används personuppgifter allt oftare på olika delar av de ekonomiska och samhälleliga områdena. Framstegen på informationsteknikens område har gjort det avsevärt lättare att behandla och utbyta sådana uppgifter.

Den ekonomiska och sociala integration som är en följd av upprättandet av den inre marknaden och dennas funktion i enlighet med artikel 7a i fördraget kommer med nödvändighet att leda till en betydande ökning av flödet av personuppgifter över gränserna mellan samtliga aktörer på de ekonomiska och samhälleliga områdena, oavsett om dessa aktörer tillhör den privata eller den offentliga sektorn.

Utbytet av personuppgifter mellan företag i olika medlemsstater kommer att öka. De nationella myndigheterna i de olika medlemsstaterna måste som ett led i tillämpningen av gemenskapsrätten samarbeta och utbyta personuppgifter för att kunna fullgöra sina åligganden eller utföra arbetsuppgifter för en myndighet i en annan medlemsstat inom det område utan inre gränser som den inre marknaden innebär.

Det ökade vetenskapliga och tekniska samarbetet liksom det samordnade införandet av nya telekommunikationsnät inom gemenskapen nödvändiggör och underlättar dessutom det gränsöverskridande flödet av personuppgifter.

Skillnaden i skyddsnivå mellan medlemsstater vad gäller enskilda personers fri- och rättigheter, särskilt rätten till privatliv med avseende på behandling av personuppgifter kan hindra översändande av sådana uppgifter från en medlemsstats territorium till en annans. Denna skillnad kan därför utgöra ett hinder för att utöva en rad ekonomiska aktiviteter på gemenskapsnivå, snedvrida konkurrensen och hindra myndigheterna att fullgöra de skyldigheter som åligger dem enligt gemenskapsrätten. Denna skillnad i skyddsnivå beror på olikheter i nationella lagar och andra författningar.

För att hindren mot flöden av personuppgifter skall kunna avskaffas måste skyddsnivån när det gäller enskilda personers fri- och rättigheter med avseende på behandlingen av sådana uppgifter vara likvärdig i alla medlemsstater. Denna målsättning är av grundläggande betydelse för den inre marknaden men kan inte uppnås genom åtgärder endast av medlemsstaterna i synnerhet med tanke på omfattningen av de skillnader som för närvarande finns mellan nationell lagstiftning på området och med tanke på behovet av att samordna lagstiftningen i medlemsstaterna för att säkerställa en sådan enhetlig reglering av det gränsöverskridande flödet av personuppgifter som överensstämmer med målsättningen för den inre marknaden enligt artikel 7 a i fördraget. Det är därför nödvändigt att gemenskapen vidtar åtgärder för att åstadkomma en tillnärmning av lagstiftningen.

Eftersom tillnärmningen av de nationella lagstiftningarna kommer att leda till ett likvärdigt skydd kommer medlemsstaterna inte längre att kunna hindra det fria flödet av personuppgifter mellan dem under hänvisning till enskilda personers fri- och rättigheter, särskilt rätten till privatliv. Medlemsstaterna kommer att få ett handlingsutrymme, som i samband med genomförandet av detta direktiv också kommer att kunna utnyttjas av näringslivet och arbetsmarknadens parter. Medlemsstaterna kommer därför att i sin nationella lagstiftning särskilt kunna ange de allmänna villkor som skall gälla för behandlingen av uppgifter. Medlemsstaterna skall härvid sträva efter att förbättra det skydd som deras nuvarande lagstiftning ger. Inom ramen för detta handlingsutrymme och i enlighet med gemenskapsrätten kan skillnader uppkomma vid genomförandet av direktivet, vilket kan påverka flödet av uppgifter såväl inom en medlemsstat som på gemenskapsnivå.

Ändamålet med de nationella lagarna om behandling av personuppgifter är att skydda grundläggande fri- och rättigheter, särskilt den rätt till privatlivet som erkänns både i artikel 8 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna och i gemenskapsrättens allmänna rättsprinciper. Av denna anledning får tillnärmningen av dessa lagar inte medföra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen.

De principer om skydd för enskilda personers fri- och rättigheter, särskilt rätten till privatlivet, som detta direktiv innehåller, utgör en precisering och en förstärkning av principerna i Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter.

Principerna för skyddet måste gälla för all behandling av personuppgifter som utförs av en person vars verksamhet regleras av gemenskapsrätten. En fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk, såsom korrespondens eller förande av adressregister, skall dock inte omfattas.

Sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen och som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område faller inte inom tillämpningsområdet för gemenskapsrätten, dock med förbehåll för medlemsstaternas skyldigheter enligt artiklarna 56.2, 57 eller 100a i Fördraget om upprättandet av Europeiska gemenskapen. Sådan behandling av personuppgrifter som är nödvändig för att skydda statens ekonomiska välstånd omfattas inte av detta direktiv, när behandlingen har samband med frågor om statens säkerhet.

För närvarande görs inom ramen för informationssamhället betydande framsteg såvitt avser tekniken för att uppta, överföra, bearbeta, registrera, lagra eller lämna ut ljud- eller bilduppgifter om fysiska personer; detta direktiv bör därför tillämpas på behandling av sådana uppgifter.

Behandlingen av sådana uppgifter omfattas av detta direktiv endast om den sker med hjälp av automatisk databehandling eller om de uppgifter som behandlas ingår eller avses ingå i ett register som är uppbyggt efter vissa med utgångspunkt i för enskilda personer utformade kriterier för att underlätta tillgång till de berörda uppgifterna.

Behandlingen av ljud- och bilduppgifter exempelvis i samband med videoövervakning omfattas inte av detta direktiv om den utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet eller statens verksamhet på straffrättens område eller till annan verksamhet som inte faller inom gemenskapsrättens tillämpningsområde.

När det gäller behandling av ljud- och bilduppgifter för journalistiska ändamål eller i litterärt eller konstnärligt skapande, särskilt på det audiovisuella området, skall direktivets principer i enlighet med bestämmelserna i artikel 9 tillämpas restriktivt.

För att undvika att en enskild person förvägras det skydd som tillkommer honom enligt detta direktiv skall varje behandling av personuppgifter inom gemenskapen ske i enlighet med lagstiftningen i en av medlemsstaterna. Med hänsyn till detta bör behandlingen av uppgifter som utförs av någon som på uppdrag av en registeransvarig som är etablerad i en medlemsstat regleras av den statens lagstiftning.

Etablering på en medlemsstats territorium förutsätter effektiv och faktisk verksamhet med hjälp av en stabil struktur. Härvid har den berörda verksamhetens rättsliga form inte avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person. Om den ansvarige är etablerad på flera medlemsstaters territorier, särskilt genom dotterbolag, måste han för att undvika varje kringgående garantera att varje verksamhet uppfyller bestämmelserna i den nationella lagstiftning som gäller för aktiviteterna.

Den omständigheten att den registeransvarige är etablerad i ett tredje land får inte utgöra att hinder för det skydd som enskilda personer ges i detta direktiv. I sådana fall skall på behandlingen av uppgifter tillämpas den medlemsstats lagstiftning som innehåller de hjälpmedel som används för behandlingen. Det bör finnas garantier för att de rättigheter som följer av detta direktiv respekteras i praktiken.

Detta direktiv påverkar inte de territorialregler som gäller på straffrättens område.

Medlemsstaterna bör i sin lagstiftning eller genom andra bestämmelser som antas för att genomföra detta direktiv närmare ange de allmänna villkoren för att en behandling skall vara tillåten. Särskilt artikel 5 jämförd med artiklarna 7 och 8 tillåter medlemsstaterna att, oavsett de allmänna regler som gäller, ange särskilda villkor för behandlingen av uppgifter på särskilda områden och för de olika kategorier av uppgifter som behandlas i artikel 8.

Medlemsstaterna har befogenhet att genomföra skyddet för enskilda personer både genom en generell lagstiftning om skydd för enskilda personer mot behandling av personuppgifter och genom särskild lagstiftning som till exempel om statistiska institut.

Sådan lagstiftning som rör skydd för juridiska personer med avseende på behandling av uppgifter som angår dem berörs inte av detta direktiv.

Principerna för skyddet måste avspeglas dels i de förpliktelser som åvilar personer, myndigheter, företag, institutioner, organ eller andra registeransvariga särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de omständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.

Principerna för skyddet måste gälla all information som rör en identifierad eller identifierbar person. För att avgöra om en person är identifierbar skall härvid beaktas alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas antingen av den registeransvarige eller av någon annan person. Skyddsprinciperna gäller inte för uppgifter som gjorts anonyma på ett sådant sätt att den registrerade inte längre är identifierbar. En sådan uppförandekodex som avses i artikel 27 kan vara ett användbart redskap för att ge vägledning om hur uppgifter kan göras anonyma och behållas i en form som gör det omöjligt att identifiera den registrerade.

Enskilda personer skall skyddas både i samband med automatisk databehandling av uppgifterna och i samband med manuell behandling. Omfattningen av detta skydd får inte faktiskt bero på den teknik som används eftersom detta skulle kunne skapa en allvarlig risk för kringgående. När det gäller manuell behandling omfattar detta direktiv endast register och inte ostrukturerade akter. Särskilt innehållet i ett register måste vara strukturerat efter bestämda kriterier som avser enskilda personer, för att lätt ge tillgång till personuppgifter. I enligt med definitionen i artikel 2c kan de olika kriterier som gör det möjligt att fastställa de enskilda delarna av en strukturerad samling personuppgifter och de olika kriterier som reglerar möjligheten att få tillgång till en sådan samling utformas av varje medlemsstat. Akter eller grupper av akter liksom dessas omslag, vilka inte är strukturerade enligt särskilda kriterier, faller inte under några omständigheter inom detta direktivs tillämpningsområde.

Varje behandling av personuppgifter måste vara laglig och korrekt gentemot den berörda personen. Uppgifterna måste särskilt vara adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Dessa ändamål skall vara uttryckligt angivna, berättigade och bestämda vid tiden för insamling av uppgifterna. Sådana ändamål med behandlingen som läggs fast sedan uppgifterna samlats in får inte vara oförenliga med de ändamål som ursprungligen angavs.

Senare behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål kan förutsatt att medlemsstaterna ger lämpliga garantier inte allmänt sett anses oförenliga med de ändamål för vilka uppgifterna tidigare samlades in. Dessa garantier skall särskilt hindra att uppgifterna används för att vidta åtgärder mot eller fatta beslut som rör en viss person.

För att vara tillåten skall en behandling av personuppgifter dessutom utföras med den registrerades samtycke eller vara nödvändig för ingåendet eller utförandet av förpliktelser i enlighet med ett avtal som är bindande för den registrerade, eller fordras enligt lagstiftning vid utförandet av något som är i det allmännas intresse eller vid myndighetsutövning eller vara i en fysisk eller juridisk persons intresse förutsatt att skyddet av den registrerades fri- och rättigheter inte går före. För att särskilt garantera jämvikt mellan de berörda intressena och för att samtidigt säkerställa en effektiv konkurrens får medlemsstaterna närmare ange på vilka villkor användning och utlämnande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som av företag och andra organ utövas i deras löpande verksamhet. Medlemsstaterna får även närmare ange på vilka villkor personuppgifter i marknadsföringssyfte får vidarebefordras till tredje man, oavsett om detta sker kommersiellt eller av välgörenhetsorganisationer, föreningar eller stiftelser, exempelvis av politisk karaktär, men förutsatt att regler iakttas som har till syfte att ge den registrerade möjlighet att invända mot att de uppgifter som rör honom behandlas utan att behöva ange sina skäl och utan att åsamkas kostnader för detta.

Behandling av personuppgifter måste även anses tillåten när den utförs för att skydda ett intresse som är av avgörande betydelse för den registrerades liv.

Det ankommer på den nationella lagstiftningen att avgöra om den som ansvarar för en behandling som utförs i den allmännas intresse eller vid myndighetsutövning skall vara en myndighet eller något annat offentligrättsligt eller civilrättsligt subjekt, såsom till exempel en yrkesorganisation.

Uppgifter som på grund av sin natur kan kränka grundläggande fri- och rättigheter eller privatlivets helgd får inte behandlas utan samtycke av den registrerade. Dock måste det finnas en uttrycklig möjlighet att tillgodose särskilda behov, i synnerhet när behandlingen av uppgifterna utförs för ändamål som har samband med hälso- och sjukvården av personer som är underkastade tystnadsplikt eller för att genomföra berättigade åtgärder av vissa föreningar eller stiftelser vilkas syften är att skydda utövningen av vissa grundläggande fri- och rättigheter.

När det är nödvändigt av hänsyn till viktiga allmänna intressen måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av uppgifter på sådana områden som exempelvis folkhälsa och socialskydd, särskilt med avseende på att säkerställa kvalitet och lönsamhet, när det gäller förfaranden som används i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Dock åligger det medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grundläggande rättigheter och privatliv.

Myndigheters behandling av personuppgifter för allmänt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs för att tillgodose viktiga samhälleliga intressen.

Om det i samband med att allmänna val hålls för att det demokratiska systemet skall fungera är nödvändigt att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning, får behandling av sådana uppgifter av hänsyn till viktiga allmänna intressen tillåtas på villkor att bestämmelser om lämpliga garantier tillåts.

För sådan behandling av personuppgifter som sker för journalistiska ändamål eller för konstnärligt eller litterärt skapande särskilt på det audiovisuella området bör det fastställas undantag från eller begränsningar i förhållande till vissa bestämmelser i detta direktiv så långt detta är nödvändigt för att förena enskilda personers grundläggande rättigheter med yttrandefriheten, särskilt den rätt att ta emot och lämna upplysningar som särskilt fastslås i artikel 10 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. För att åstadkomma en avvägning mellan de grundläggande fri- och rättigheterna åligger det medlemsstaterna att besluta om nödvändiga undantag och begränsningar såvitt avser de generella åtgärder som har avseende på uppgiftsbehandlingens berättigande, åtgärder för att vidareföra uppgifter till tredje land och tillsynsmyndighetens befogenheter. Detta får dock inte leda till att medlemsstaterna beslutar om undantag från åtgärder som vidtas för att säkerställa behandlingens säkerhet. Den tillsynsmyndighet som är behörig på området bör utrustas med i vart fall vissa befogenheter att utövas efter behandlingen i fråga, exempelvis befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myndigheter.

En korrekt behandling av uppgifter förutsätter att de registrerade kan få kännedom om behandlingen och att de när uppgifter samlas in hos dem kan få korrekt och fullständig information med hänsyn till de närmare omständigheterna vid insamlingen.

I vissa fall rör behandlingen uppgifter som den registeransvarige inte har samlat in direkt från den registrerade. Vidare kan utlämnande av uppgifter till tredje man vara tillåten även om utlämnandet inte kunde förutses när uppgifterna samlades in från den registrerade. I samtliga dessa fall skall den registrerade informeras när uppgifterna registreras eller senast när uppgifterna för första gången lämnas ut till tredje man.

Det är dock inte nödvändigt att ställa detta krav om den registrerade redan känner till informationen. Detta krav behöver inte heller ställas om registreringen eller utlämnandet uttryckligen regleras i lagstiftningen eller om lämnande av information visar sig omöjlig eller innebär oproportionerligt stora ansträngningar, vilket skulle kunna vara fallet i samband med behandling för historiska, statistiska eller vetenskapliga ändamål. I detta sammanhang kan antalet registrerade, uppgifternas ålder och alla kompensatoriska åtgärder som vidtagits tas i beaktande.

Alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten. Av samma anledning måste var och en ha rätt att få reda på den logik som gäller för den automatiska databehandlingen av uppgifter som rör honom, åtminstone såvitt avser sådana automatiska beslut som avses i artikel 151. Denna rättighet får inte kränka upphovsrätten, särskilt inte den copyright som skyddar programvaran. Detta får dock inte resultera i att den registrerade nekas all information.

Medlemsstaterna kan av hänsyn till intresset hos den registrerade eller till andras fri- och rättigheter begränsa rätten till tillgång till uppgifter och information. De kan till exempel besluta att tillgång till uppgifter av medicinsk art endast får erhållas genom förmedling av någon som är yrkesmässigt verksam inom hälso- och sjukvården.

Rätten till tillgång till uppgifter och information samt vissa skyldigheter hos den registeransvarige kan inskränkas av medlemsstaterna i den utsträckning som det är nödvändigt för att skydda till exempel statens säkerhet, försvaret, den allmänna säkerheten eller viktiga ekonomiska eller finansiella intressen som är av betydelse för en medlemsstat eller för unionen, liksom för brottsutredningar och åtal och åtgärder som rör överträdelser av etiska regler som gäller för sådana yrken som särskilt regleras i lagstiftning. På förteckningen över undantag och begränsningar bör upptas de uppgifter för övervakning, tillsyn eller reglering som är nödvändiga på de tre sistnämnda områdena, nämligen allmän säkerhet, ekonomiska och finansiella intressen samt beivrande av brott. Uppräkningen av uppgifter på dessa tre områden påverkar inte undantag eller begränsningar av hänsyn till statens säkerhet och försvaret.

För att uppfylla vissa av de nämnda målsättningarna kan medlemsstaterna på grund av bestämmelser i gemenskapsrätten tvingas att avvika från bestämmelserna i detta direktiv om rätten till tillgång till uppgifter, skyldigheten att informera enskilda personer och kvaliteten på uppgifterna.

I sådana fall då uppgifter av hänsyn till allmänna intressen, på grund av myndighetsutövning eller av hänsyn till en persons berättigade intressen kan bli föremål för tillåten behandling, skall varje berörd person ändå, på berättigade och avgörande skäl som avser hans särskilda situation, ha rätt att invända mot att uppgifter som rör honom själv behandlas. Medlemsstaterna har dock möjlighet att anta bestämmelser av motsatt innehåll.

Skyddet för de registrerades fri- och rättigheter förutsätter såvitt avser behandling av personuppgifter att lämpliga tekniska och organisatoriska åtgärder vidtas både när systemet för behandlingen utformas och när själva behandlingen sker, särskilt för att garantera säkerheten och för att på så sätt hindra all otillåten behandling. Det åligger medlemsstaterna att säkerställa att de registeransvariga respekterar dessa åtgärder. Åtgärderna skall garantera en lämplig säkerhetsnivå med hänsyn till den nuvarande tekniska nivån och med hänsyn till de risker som behandlingen innebär och arten av de uppgifter som skall skyddas.

När ett meddelande som innehåller personuppgifter översänds genom förmedling av en organisation för telekommunikation eller elektronisk post, vars enda ändamål är att översända sådana meddelanden, blir det normalt den från vilken meddelandet härrör och inte den person som erbjuder nämnda tjänst som anses ansvara för behandlingen av personuppgifterna. De som erbjuder sådana tjänster kommer dock normalt att anses som ansvariga för behandlingen av de ytterligare personuppgifter som fordras för att tjänsten skall kunna användas.

Anmälningsförfarandet är avsett för att göra en behandlings syfte och viktigaste egenskaper allmänt kända för att säkerställa att behandlingen sker i enlighet med de nationella åtgärder som vidtas för att genomföra detta direktiv.

För att undvika olämpliga administrativa formaliteter kan medlemsstaterna besluta om undantag från och förenklingar av anmälningsplikten såvitt avser sådana fall då behandlingen sannolikt inte kommer att kränka de berörda personernas fri- och rättigheter, förutsatt att detta är i överensstämmelse med en åtgärd som vidtagits av e medlemsstat och som särskilt anger begränsningarna. Medlemsstaterna kan även besluta om undantag och förenklingar i fall då någon som utsetts av den registeransvarige försäkrar sig om att de utförda behandlingarna inte kommer att kränka de registrerades fri- och rättigheter. Denna tjänsteman måste vare sig han är anställd av den registeransvarige eller inte ha möjlighet att utöva sin verksamhet på ett fullständigt oberoende sätt.

Undantag från anmälningsplikten och förenklad anmälan bör kunna tillåtas särskilt då det är fråga om behandling av uppgifter som endast syftar till att ett register skall föras, som är avsett för att i enlighet med nationell lag ge allmänheten information och som är tillgängligt för allmänheten eller var och en som kan styrka att han har ett berättigat intresse.

Det förhållandet att den registeransvarige omfattas av förenklat anmälningsförfarande eller är undantagen från anmälningsplikt befriar honom inte från de övriga förpliktelser som följer av detta direktiv.

I detta sammanhang måste en efterföljande kontroll från den behöriga myndighetens sida i allmänhet anses som en tillräcklig åtgärd.

Vissa typer av behandling till exempel behandling som har till ändamål att utesluta den berörde från möjligheten att utöva en rättighet, motta en förmån eller ingå ett avtal eller sådan behandling som innebär användning av ny teknik kan på grund av sin natur, sin omfattning eller sitt ändamål innebära särskilda risker för att de registrerades fri- och rättigheter skall kränkas. Medlemsstaterna kan om de önskar det precisera dessa risker i sin lagstiftning.

Med tanke på omfattningen av den behandling av uppgifter som utförs i samhället torde det antal behandlingar som innebär särskilda risker vara mycket begränsat. Medlemsstaterna måste föreskriva att tillsynsmyndigheten eller den som utövar tillsyn i samråd med tillsynsmyndigheten företar en förhandskontroll av dessa behandlingar innan de utförs. Sedan en sådan förhandskontroll genomförts får tillsynsmyndigheten i enlighet med den nationella lagstiftningen som gäller för myndigheten yttra sig över eller tillåta behandlingen. En sådan kontroll kan även företas som ett led i det förberedande arbetet med en lag som antas av det nationella parlamentet eller på grundval av en sådan åtgärd som definierar behandlingens art och anger lämpliga skyddsåtgärder.

För fall då den registeransvarige inte respekterar de registrerades rättigheter måste det i medlemsstatens lagstiftning finnas möjlighet till rättslig prövning. Personer som lider skada till följd av otillåten behandling skall ha rätt till ersättning av den registeransvarige. Denne kan befrias från skadeståndsansvar om han kan visa att han inte är ansvarig för skadan, särskilt i fall då han kan påvisa att ett fel begåtts av den registrerade eller i fall av force majeure. Sanktioner skall vidtas mot såväl privaträttsliga som offentligrättsliga subjekt som överträder de nationella bestämmelser som antagits för att genomföra detta direktiv.

Gränsöverskridande flöden av personuppgifter är nödvändiga för den internationella handelns utveckling. Det skydd som genom detta direktiv tillförsäkras enskilda personer inom gemenskapen hindrar inte att personuppgifter överförs till sådana tredje länder som garanterar en adekvat skyddsnivå. Frågan om skyddsnivåns adekvans skall bedömas med hänsyn till alla de omständigheter som har samband med en överföring eller en grupp av överföringar.

Om ett tredje land inte garanterar en adekvat skyddsnivå skall överföring av personuppgifter till det landet förbjudas.

Undantag från detta förbud skall under vissa omständigheter kunna medges om den registrerade lämnar sitt samtycke, om överföring är nödvändig för ett avtal eller ett rättsligt anspråk, när skyddet av väsentliga samhällsintressen kräver det, till exempel vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter eller mellan sociala myndigheter eller om överföringen utförs med utgångspunkt i ett register som upprättats i enlighet med lagstiftning och som är avsett att vara tillgängligt för allmänheten eller för personer som har ett berättigat intresse. En sådan överföring bör inte omfatta alla uppgifter eller hela kategorier av uppgifter som finns i registret. När registret är avsett att vara tillgängligt för personer med ett berättigat intresse skall överföringen göras bara på begäran av dessa personer eller om de själva är mottagarna.

Särskilda åtgärder kan vidtas för att uppväga en otillräcklig skyddsnivå i ett tredje land om den registeransvarige ställer lämpliga garantier. Bestämmelser om förfaranden för förhandling mellan gemenskapen och tredje land måste antas.

Överföring till tredje land får bara utföras i enlighet med bestämmelser som medlemsstaterna antagit för genomförande av detta direktiv, särskilt artikel 8 i detta.

Medlemsstaterna och kommissionen måste på sina respektive kompetensområden uppmuntra berörda delar av näringslivet att anta uppförandekodexar för att underlätta genomförandet av detta direktiv med beaktande av de särskilda former av behandling som utförs på vissa områden och med respekt för de nationella bestämmelser som antagits för dess genomförande.

För skyddet av enskilda personer med avseende på behandlingen av personuppgifter är det av avgörande betydelse att medlemsstaterna inrättar oberoende tillsynsmyndigheter.

Dessa myndigheter skall ges nödvändiga resurser för att utföra sina uppgifter, såsom befogenhet att särskilt när det gäller klagomål från enskilda personer undersöka och intervenera samt befogenheter att inleda rättsliga förfaranden. De måste även bidra till att garantera insyn i behandlingen av uppgifter i de medlemsstater under vilkas jurisdiktion de hör.

Tillsynsmyndigheterna i de olika medlemsstaterna kommer att behöva bistå varandra i samband med utförandet av de uppgifter som åligger dem för att säkerställa att skyddsreglerna respekteras på ett tillfredsställande sätt i hela Europeiska unionen.

En arbetsgrupp för skydd av enskilda personer i samband med behandling av personuppgifter skall inrättas på gemenskapsnivå. Gruppen skall vid utförandet av sina uppgifter vara fullständigt oberoende. Gruppen skall med hänsyn till sin särskilda karaktär ge kommissionen råd och bidra till den enhetliga tillämpningen av de nationella regler som antagits för att genomföra detta direktiv.

Med avseende på överföring av uppgifter till tredje land fordrar genomförandet av detta direktiv att kommissionen ges befogenhet att besluta om genomförandet och att ett förfarande i enlighet med riktlinjerna i rådets beslut 87/373/EEG(4) införs.

De principer skyddet av enskilda personers fri- och rättigheter, och då särskilt rätten till privatliv, som i detta direktiv uppställs med avseende på behandling av personuppgifter skall för vissa områdens vidkommande kunna kompletteras eller preciseras med hjälp av särskilda bestämmelser som skall överensstämma med dess principer.

Medlemsstaterna bör ges en frist på högst tre år räknat från ikraftträdandet av de nationella bestämmelser som antas för att genomföra detta direktiv, så att de stegvis kan tillämpa de nya nationella bestämmelserna på alla sådana behandlingar som redan påbörjats. För att möjliggöra ett kostnadseffektivt genomförande av dessa bestämmelser skall medlemsstaterna tillåtas att under ytterligare en tidsperiod, som löper ut tolv år efter dagen för antagandet av detta direktiv, vidta åtgärder för att säkerställa att befintliga manuella register bringas i överensstämmelse med vissa av direktivets bestämmelser. Uppgifter som ingår i dessa register och som behandlas manuellt under denna förlängda övergångsperiod skall dock när det är föremål för en ytterligare sådan behandling bringas i överensstämmelse med dessa bestämmelser.

Det är inte nödvändigt att den registrerade på nytt lämnar sitt samtycke till att den registeransvarige fortsätter att behandla känsliga uppgifter, när en sådan behandlig är nödvändig för genomförandet av avtal som har sluits på grundval av frivilligt och informerat samtycke före dessa bestämmelsers ikraftträdande.

Detta direktiv hindrar inte en medlemsstat från att anta bestämmelser för att reglera sådan marknadsföring som riktar sig till konsumenter som har hemvist inom dess territorium, förutsatt att dessa regler inte rör skyddet av enskilda personer i samband med behandling av personuppgifter.

Direktivet gör det möjligt att vid genomförandet av dessa bestämmelser ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL I ALLMÄNNA BESTÄMMELSER

Artikel 1

Direktivets syfte

1. Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.

2. Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet.

Artikel 2

Definitioner

I detta direktiv avses med

(a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,

(b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas på personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat sätt att tillhandahålla uppgifter, sammanställning eller samkörning, blockering, radering eller förstöring,

(c) register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,

(d) registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som bestämmer ändamålen och medlem för behandlingen av personuppgifter. När ändamålen och sättet för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten,

(e) registerförare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning,

(f) tredje man: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ än den registrerade, den registeransvarige, registerföraren och de personer som under den registeransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna.

(g) mottagare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ till vilket uppgifterna utlämnas, vare sig det är en tredje man eller inte. Myndigheter som kan komma att motta uppgifter inom ramen för ett särskilt uppdrag skall dock inte betraktas som mottagare,

(h) den registrerades samtycke: varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.

Artikel 3

Tillämpningsområde

1. Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

2. Detta direktiv gäller inte för sådan behandling av personuppgifter

- som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, till exempel sådana verksamheter som avses i avdelningarna V och VI i Fördraget om Europeiska unionen och under inga omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet, (inbegripet statens ekonomiska välstånd) och statens verksamhet på straffrättens område.

- som rör en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.

Artikel 4

Tillämplig nationell rätt

1. Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personuppgifter när

(a) behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeransvarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen.

(b) den reigsteransvarige inte är etablerad inom en medlemsstats territorium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten.

(c) den registeransvarige inte är etablerad på gemenskapens territorium och för behandling av personuppgifter använder automatiserad eller icke automatiserad utrustning som befinner sig på den nämnda medlemsstatens territorium, om inte sådan utrustning endast används för att låta uppgifter passera genom gemenskapen.

2. Under de omständigheter som avses i punkt 1 c måste den registeransvarige utse en företrädare som är etablerad inom den berörda medlemstatens territorium, utan att detta i övrigt påverkar de eventuella rättsliga åtgärder som kan komma att inledas mot den ansvarige själv.

KAPITEL II ALLMÄNNA BESTÄMMELSER OM NÄR PERSONUPPGIFTER FÅR BEHANDLAS

Artikel 5

Medlemsstaterna skall inom ramen för bestämmelserna i detta kapital precisera på vilka villkor behandling av personuppgifter är tillåten.

Avdelning I Principer om uppgifternas kvalitet

Artikel 6

1. Medlemsstaterna skall föreskriva att personuppgifter

(a) skall behandlas på ett korrekt och lagligt sätt.

(b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål; senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder.

(c) skall vara adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas.

(d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas får att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, raderas eller rättas.

(e) inte förvaras på ett sätt som gör det möjligt att, under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades, identifiera den registrerade. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.

2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.

Avdelning II Principer som gör att uppgiftsbehandling kan tillåtas

Artikel 7

Medlemsstaterna skall föreskriva att personuppgifter bara får behandlas om

(a) den registrerade otvetydigt har lämnat sitt samtycke,

eller

(b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås,

eller

(c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige,

eller

(d) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade,

eller

(e) behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut,

eller

(f) behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.

Avdeling III Särskilda behandlingskategorier

Artikel 8

Behandling av särskilda kategorier av uppgifter

1. Medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening och uppgifter som rör hälsa eller sexualliv.

2. Punkt 1 gäller inte om

(a) den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke eller

(b) behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder,

eller

(c) behandlingen är nödvändig för att skydda den registrerades eller någon annan persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke,

eller

(d) behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organets medlemmar eller personer som på grund av ändamålet har regelbunden kontakt med organet och uppgifterna inte lämnas ut till tredje man utan den registrerades samtycke, eller

(e) behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.

3. Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av annan person som är ålagd en liknande tystnadsplikt.

4. Under förutsättning av att lämpliga skyddsåtgärder vidtas och med hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2.

5. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras bara under kontroll av en myndighet eller om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet.

Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet.

6. De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen.

7. Medlemsstaterna skall bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas.

Artikel 9

Behandling av personuppgifter och yttrandefriheten

Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om de undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI som visar sig nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.

Avdelning IV Informationsplikt till den registrerade

Artikel 10

Information vid insamling av uppgifter från den registrerade

Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informationen:

(a) Den registeransvariges och dennes eventuella företrädares identitet.

(b) Ändamålen med den behandling för vilken uppgifterna är avsedda.

(c) All annan information som till exempel

- mottagarna eller de kategorier som mottar uppgifterna,

- huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt om eventuella följder av att inte svara,

- förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom,

i den utsträckning som informationen med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in är nödvändig för att tillförsäkra den registrerade en korrekt behandling.

Artikel 11

Information när uppgifterna inte har samlats in från den registrerade

1. Om uppgifterna inte har samlats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen:

(a) Den registreransvariges eller hans eventuella företrädares identitet.

(b) Ändamålen med behandlingen.

(c) All annan information som till exempel

- de kategorier av uppgifter som behandlingen gäller,

- mottagarna eller de kategorier som mottar uppgifterna,

- förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör honom,

i den utsträckning som informationen med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in är nödvändig för att tillförsäkra den registrerade en korrekt behandling.

2. Bestämmelserna i punkt 1 skall inte gälla när det särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information, eller om registrering eller utlämnande uttryckligen föreskrivs i lag. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder.

Avdelning V Den registrerades rätt att få tillgång till uppgifter

Artikel 12

Rätt till tillgång

Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige

1. utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader

- få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkategorierna till vilka uppgifterna utlämnas,

- få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer,

- få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser sådana automatiska beslut som avses i artikel 15.1,

2. i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, raderade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga,

3. få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, radering eller blockering som utförts i enlighet med punkt 2, om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning.

Avdelning VI Undantag och begränsningar

Artikel 13

Undantag och begränsningar

1. Medlemsstaterna får genom lagstiftning vidta ågärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till

(a) statens säkerhet,

(b) försvaret,

(c) allmän säkerhet,

(d) förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för yrken som särskilt regleras i lagstiftning,

(e) ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor,

(f) en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c, d och e nämnda fallen,

(g) skydd av den registrerades eller andras fri- och rättigheter.

2. Under förutsättning av att lämpliga rättsliga garantier ges, får medlemsstaterna, i synnerhet om uppgifterna inte används för åtgärder eller beslut som avser särskilda registrerade personer, genom lagstiftning begränsa de rättigheter som anges i artikel 12 när uppgifterna endast behandlas för ändamål som har med vetenskaplig forskning att göra eller när uppgifterna endast lagras i form av personuppgifter under en begränsad tid som inte överstiger den tid som är nödvändig för att framställa statistik.

Avdelning VII Den registrerades rätt att göra invändningar

Artikel 14

Den registrerades rätt att göra invändningar

Medlemsstaterna skall tillförsäkra den registrerade rätten att

(a) åtminstone i de fall som avses i artikel 7 e och f när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter,

(b) efter anmodan och utan kostnader motsätta sig behandling av personuppgifter som rör honom och som den registeransvarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring,

eller

att bli informerad innan personuppgifter för första gången lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring, och att uttryckligen få erbjudande om att utan kostnader motsätta sig ett sådant utlämnade eller sådan användning.

Medlemsstaterna skall vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till den i första stycket punkt b angivna rättigheten.

Artikel 15

Automatiska beslut om enskilda personer

1. Medlemsstaterna skall ge varje person rätten att inte bli föremål för ett beslut som har rättsliga följder för honom eller som märkbart påverkar honom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom, som t.ex. hans arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande.

2. Om inte annat följer av övriga bestämmelser i detta direktiv skall medlemsstaterna föreskriva att en person får bli föremål för ett beslut av det slag som avses i punkt 1 om beslutet

(a) fattas som ett led i ingåendet av eller fullgörandet av ett avtal, förutsatt att den registrerades begäran har bifallits eller att det vidtas lämpliga åtgärder för att skydda hans berättigade intressen, som t.ex. möjlighet för honom att göra sin uppfattning gällande, eller

(b) tillåts i lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen.

Avdelning VIII Sekretess och säkerhet vid behandling

Artikel 16

Sekretess vid behandling

Den som utför arbete under den registeransvarige eller registerföraren, däribland registerföraren själv, och som får tillgång till personuppgifter får endast behandla dem enligt instruktion från den registeransvarige, om han inte enligt lag är skyldig att göra det.

Artikel 17

Säkerhet vid behandling

1. Medlemsstaterna skall förskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot otillåtna ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling.

Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas.

2. Medlemsstaterna skall föreskriva att den registeransvarige, när behandlingen utförs för hans räkning, skall välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de organisatoriska åtgärder som måste vidtas och som kan tillse att dessa åtgärder genomförs.

3. När uppgifter behandlas av en registerförare skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande handling mellan registerföraren och den registeransvarige; i handlingen skall särskilt föreskrivas att

- registerföraren endast får handla på instruktioner från den registeransvarige,

- de skyldigheter som anges i punkt 1, såsom de definieras i lagstiftningen i den medlemsstat där registerföraren är etablerad, även skall åvila registerföraren,

4. För att säkra bevisning skall de delar av avtalet eller den rättsligt bindande handlingen som rör skyddet av uppgifter och de krav som rör åtgärder som anges i punkt 1 föreligga i skriftlig eller därmed jämförlig form.

Avdelning IX Anmälan

Artikel 18

Anmälningsplikt gentemot tillsynsmyndigheten

1. Medlemsstaterna skall föreskriva att den registeransvarige eller hans eventuella företrädare före genomförandet av en behandling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade ändamål skall underrätta den tillsynsmyndighet som avses i artikel 28.

2. Medlemsstaterna får endast i följande fall och på följande villkor föreskriva om undantag från anmälningsplikten eller förenklad anmälningsplikt;

- Om medlemsstaten för de typer av behandling, i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks, anger behandlingens ändamål, vilka uppgifter eller kategorier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras och/eller

- om den registeransvarige i enlighet med den nationella lagstiftning som gäller för honom utser ett uppgiftsskyddsombud, vilket särskilt skall ha till uppgift

- att på ett oberoende sätt säkerställa den interna tillämpningen av de nationella bestämmelser som antagis till följd av detta direktiv,

- att föra ett register över de behandlingar som utförs av den registeransvarige, vilket register skall innehålla den information som nämns i artikel 21.2,

för att på detta sätt säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av behandlingarna.

3. Medlemsstaterna får föreskriva att punkt 1 inte skall gälla för en sådan behandling vars enda syfte är förandet av ett register, som enligt lagar eller andra författningar är avsett att förse allmänheten med information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse.

4. Medlemsstaterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande för sådan behandling som avses i artikel 8.2 d.

5. Medlemsstaterna får föreskriva att vissa eller alla icke-automatiska behandlingar av personuppgifter skall anmälas eller att ett förenklat anmälningsförfarande skall gälla för dem.

Artikel 19

Anmälans innehåll

1. Medlemsstaterna skall precisera vilka uppgifter som anmälan skall innehålla. Den skall åtminstone innehålla

(a) den registeransvariges eller hans eventuella företrädares namn och adress,

(b) behandlingens ändamål,

(c) en beskrivning av den eller de kategorier av registrerade som berörs och av de uppgifter eller kategorier av uppgifter som hänför sig till dem,

(d) den eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut,

(e) föreslagna överföringar av uppgifter till tredje land,

(f) en allmän beskrivning som gör det möjligt att preliminärt bedöma lämpligheten av de åtgärder som i enlighet med artikel 17 vidtagits för att trygga säkerheten i behandlingen.

2. Medlemsstaterna skall ange villkoren för anmälan till tillsynsmyndigheten av förändringar som rör den i punkt 1 angivna informationen.

Artikel 20

Förhandskontroll

1. Medlemsstaterna skall bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter och skall säkerställa att dessa behandlingar kontrolleras innan de påbörjas.

2. Sådana förhandskontroller skall utföras av tillsynsmyndigheten när den mottagit anmälan från den registeransvarige eller från uppgiftsskyddsombudet, vilket i tveksamma fall skall rådfråga tillsynsmyndigheten.

3. Medlemsstaterna kan också utföra sådana kontroller som ett led i förberedelsen av åtgärder som det nationella parlamentet beslutar om eller på grundval av ett sådant beslut som definierar behandlingens art och innehåller lämpliga skyddsåtgärder.

Artikel 21

Behandlingarnas offenlighet

1. Medlemsstaterna skall vidta åtgärder för att tillse att behandlingarna görs offentligt tillgängliga.

2. Medlemsstaterna skall föreskriva att tillsynsmyndigheten skall föra ett register över sådana behandlingar som har anmälts i enlighet med artikel 18.

Registret skall innehålla åtminstone den information som anges i artikel 19.1 a e.

Registret vara allmänt tillgängligt.

3. För sådan behandling som inte omfattas av anmälningsplikt skall medlemsstaterna föreskriva att de registeransvariga eller något annat organ, som medlemsstaterna utser, på lämpligt sätt skall tillhandahålla var och en som begär det åtminstone den information som anges i artikel 19.1 a e.

Medlemsstaterna får föreskriva att denna bestämmelse inte skall tillämpas på sådan behandling vars enda ändamål är att föra ett register, som i enlighet med lagar eller andra författningar är avsett att ge allmänheten information och som är tillgängligt för allmänheten eller för var och en som kan styrka ett berättigat intresse.

KAPITEL III RÄTTSLIG PRÖVNING, ANSVAR OCH SANKTIONER

Artikel 22

Rättslig prövning

Medlemsstaterna skall utan att det påverkar möjligheten att utnyttja något administrativt förfarande, till exempel vid den tillsynsmyndighet som avses i artikel 28, som kan användas innan ett ärende anhängiggörs hos en rättslig instans föreskriva att var och en har rätt att föra talan inför domstol om sådana kränkningar av rättigheter som skyddas av den nationella lagstiftning som är tillämplig på ifrågavarande behandling.

Artikel 23

Ansvar

1. Medlemsstaterna skall föreskriva att var och en som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av detta direktiv har rätt till ersättning av den registeransvarige för den skada som han har lidit.

2. Den registeransvarige kan helt eller delvis undgå detta ansvar om han bevisar att han inte är ansvarig för den händelse som orsakade skadan.

Artikel 24

Sanktioner

Medlemsstaterna skall anta lämpliga bestämmelser för att säkerställa att detta direktiv genomförs fullständigt och skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som antagits för att genomföra detta direktiv.

KAPITEL IV ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND

Artikel 25

Principer

1. Medlemsstaterna skall föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas efter överföring till tredje land endast får ske om ifrågavarande tredje land utan at detta påverkar tillämpningen av de nationella bestämmelser som antagits till följd av de andra bestämmelserna i detta direktiv säkerställer en adekvat skyddsnivå.

2. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där.

3. Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en sådan adekvat skyddsnivå såsom beskrivs i punkt 2.

4. Om kommissionen i enlighet med ett sådant förfarande som beskrivs i artikel 31.2 finner att ett tredje land inte erbjuder en sådan adekvat skyddsnivå som beskrivs i punkt 2 i denna artikel, skall medlemsstaterna vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till ifrågavarande tredje land.

5. Vid lämpligt tillfälle skall kommissionen inleda förhandlingar för att avhjälpa den situation som uppstått när kommissionen kommit till den slutsats som anges i punkt 4.

6. Kommissionen kan, i enlighet med det i artikel 31.2 angivna förfarandet, konstatera att ett tredje land genom sin interna lagstiftning eller på grund av de internationella förpliktelser som särskilt till följd av sådana förhandlingar som anges i punkt 5 och som gäller skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter åligger landet har en skyddsnivå som är adekvat i den mening som avses i punkt 2 i denna artikel.

Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut.

Artikel 26

Undantag

1. Med undantag från artikel 25 skall medlemsstaterna om det inte finns tvingande regler om detta i deras lagstiftning föreskriva att överföring av personuppgifter till ett tredje land som inte har en adekvat skyddsnivå i den mening som avses i artikel 25.2 får ske om

1) den registrerade otvetydigt har samtyckt till den planerade överföringen, eller

2) överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den registeransvarige eller för att på den registrerades begäran genomföra åtgärder som vidtas innan avtalet ingås, eller

3) överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den registeransvarige och tredje man i den registrerades interesse, eller

4) överföringen är nödvändig av skäl som rör viktiga almänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk, eller

5) överföringen är nödvändig för att skydda intressen som är av avgörande betydelse för den registrerade, eller

6) överföringen görs från ett offentligt register som enligt lagar eller andra författningar är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat interesse, i den utsträckning som de i lagstiftningen angivna villkoren för tillgänglighet uppfylls i det enskilda fallet.

2. Utan att detta påverkar tillämpningen av punkt 1 får en medlemsstat tillåta överföring av personuppgifter till ett tredje land som inte säkerställer en skyddsnivå som är adekvat enligt artikel 25.2, om den registeransvarige ställer tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av motsvarande rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausuler.

3. Medlemsstaten skall informera kommissionen och de övriga medlemsstaterna om de överföringar som tillåtits enligt punkt 2.

Om en medlemsstat eller kommissionen på grunder som är berättigade med hänsyn till skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter gör en invändning skall kommissionen vidta lämpliga åtgärder i enlighet med det förfarande som avses i artikel 31.2.

Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut.

4. Om kommissionen i enlighet med det förfarande som anges i artikel 31.2 beslutar att vissa standardavtalsklausuler erbjuder tillräckliga garantier enligt punkt 2, skall medlemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut.

KAPITEL V UPPFÖRANDEKODEX

Artikel 27

1. Medlemsstaterna och kommissionen skall uppmuntra utarbetande av uppförandekodexar som med beaktande av de särskilda förhållandena på olika områden skall bidra till att på ett riktigt sätt genomföra de nationella bestämmelser som medlemsstaterna antar för att genomföra detta direktiv.

2. Medlemsstaterna skall föreskriva att branschorganisationer eller andra organ som företräder andra kategorier av registeransvariga, som har upprättat förslag till nationella kodexar eller som avser att ändra utöka existerande nationella kodexar kan lägga fram dessa för bedömning av den nationella myndigheten.

Medlemsstaterna skall föreskriva att denna myndighet bland annat skall kontrollera att de förslag som har lagts fram för myndigheten är i överensstämmelse med de nationella bestämmelser som antagits till följd av detta direktiv. Om myndigheten anser det lämpligt skall den inhämta synpunkter från de registrerade eller deras företrädare.

3. Förslag till gemenskapskodexar och förslag till ändringar eller tillägg till existerande sådana kodexar kan läggas fram för den arbetsgrupp som avses i artikel 29. Denna arbetsgrupp skall bland annat avgöra om de förslag som lagts fram för gruppen är i överensstämmelse med de nationella bestämmelser som antagits för att genomföra detta direktiv. Om gruppen anser det lämpligt skall den inhämta synpunkter från de registrerade eller deras företrädare. Kommissionen kan tillse att de kodexar som godkänts av arbetsgruppen offentliggörs på lämpligt sätt.

KAPITEL VI TILLSYNSMYNDIGHET OCH ARBETSGRUPP FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ BEHANDLINGEN AV PERSONUPPGIFTER

Artikel 28

Tillsynmyndighet

1. Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv.

Dessa myndigheter skall fullständigt oberoende utöva de uppgifter som åläggs dem.

2. Varje medlemsstat skall tillse att tillsynsmyndigheten hörs när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter.

3. Varje tillsynsmyndighet skall särskilt ha

- undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,

- effektiva befogenheter att ingripa, som t.ex. att kunna avge yttranden i enlighet med artikel 20 innan en behandling äger rum, och se till att sådana yttranden i lämplig omfattning offentliggörs, att besluta om blockering, radering eller förstöring av uppgifter, att besluta om tillfälligt eller slutligt förbud mot behandling, att ge den registeransvarige varning eller tillrättavisning eller att hänvisa saken till nationella parlament eller till andra politiska institutioner,

- befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av detta direktiv har överträtts eller att uppmärksamma de rätsliga myndigheterna på dessa överträdelser.

Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol.

4. Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått.

Var och en kan i samband med tillämpningen av de nationella bestämmelser som har antagits med stöd av artikel 3 i detta direktiv till tillsynsmyndigheten ge in en begäran om att få kontrollera om en behandling är tillåten. Den berörda personen skall informeras om vilka följder hans begäran har fått.

5. Varje tillsynsmyndighet skall regelbundet upprätta en rapport om sin verksamhet. Rapporten skall offentliggöras.

6. En tillsynsmyndighet har oavsett vilken nationella lag som gäller för den aktuella behandlingen behörighet att inom sin egen medlemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter.

De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar information.

7. Medlemsstaterna skall föreskriva att tillsynsmyndighetens ledamöter och personal, även sedan deras anställning upphört, skall ha tystnadsplikt med avseende på förtrolig information som de har tillgång till.

Artikel 29

Arbetsgrupp för skydd av enskilda avseende behandlingen av personuppgifter

1. En arbetsgrupp för skydd av enskilda avseende behandling av personuppgifter, hädanefter kallad "arbetsgruppen" inrättas härmed.

Arbetsgruppen skall vara rådgivande och oberoende.

2. Arbetsgruppen skall vara sammansatt av en företrädare för den eller de tillsynsmyndigheter som utsetts av varje medlemsstat, av en företrädare för den eller de myndigheter som har inrättats för gemenskapens institutioner och organ samt av en företrädare för kommissionen.

Varje medlem av arbetsgruppen skall utses av den institution eller av den eller de myndigheter som han företräder. När en medlemsstat har fler tillsynsmyndigheter än en, skall dessa utse en gemensam företrädare. Detsamma skall gälla för de myndigheter som inrättats för gemenskapens institutioner och organ.

3. Arbetsgruppen skall fatta beslut med enkel majoritet av tillsynsmyndigheternas företrädare.

4. Arbetsgruppen skall välja sin ordförande. Ordförandens mandattid skall vara två år. Mandatet kan förlängas.

5. Arbetsgruppens sekretariat skall tillhandahållas av kommissionen.

6. Arbetsgruppen skall själv fastställa sin arbetsordning.

7. Arbetsgruppen skall behandla frågor som förts upp på dess dagordning av ordföranden, antingen på hans eget initiativ eller på begären av en företrädare för tillsynsmyndigheterna eller på begäran av kommissionen.

Artikel 30

1. Arbetsgruppen skall

(a) utreda varje fråga som rör tillämpningen av de nationella bestämmelser som antagits för genomförandet av detta direktiv för att bidra till en enhetlig tillämpning av bestämmelserna,

(b) yttra sig till kommissionen om skyddsnivån inom gemenskapen och i tredje land,

(c) ge kommissionen råd om varje föreslagen förändring av detta direktiv, om vilka ytterligare eller särskilda åtgärder som bör vidtas för att skydda fysiska personers fri- och rättigheter med avseende på behandling av personuppgifter och om alla andra föreslagna gemenskapsåtgärder som rör sådana fri- och rättigheter,

(d) avge yttranden om de uppförandekodexar som utarbetas på gemenskapsnivå 1.

2. Om arbetsgruppen konstaterar förekomsten av sådana skillnader mellan medlemsstaternas lagstiftning eller praxis, som kan vara till nackdel för likvärdigheten i skyddet för personer med avseende på behandlingen av personuppgifter inom gemenskapen, skall gruppen informera kommissionen om detta.

3. Arbetsgruppen kan på eget initiativ utfärda rekommendationer i alla frågor som rör skyddet av personer med avseende på behandlingen av personuppgifter inom gemenskapen.

4. Arbetsgruppen yttranden ch rekommendationer skall framläggas för kommissionen och den kommitté som anges i artikel 31.

5. Kommissionen skall informera arbetsgruppen om på vilket sätt den har tagit hänsyn till yttrandena och rekommendationerna. För att göra detta skall kommissionen utarbeta en rapport som också skall framläggas för Europaparlamentet och rådet. Rapporten skall offentliggöras.

6. Arbetsgruppen skall utarbeta en årsrapport om situationen rörande skyddet för fysiska personer avseende behandlingen av personuppgifter inom gemenskapen och i tredje land, som den skall översända till kommissionen, Europaparlamentet och rådet. Rapporten skall offentliggöras.

KAPITEL VII GEMENSKAPENS ÅTGÄRDER FÖR GENOMFÖRANDE

Artikel 31

Komittén

1. Kommissionen skall biträdas av en kommitté som är sammansatt av företrädare för medlemsstaterna och som har kommissionens företrädare som ordförande.

2. Kommissionens företrädare skall förelägga kommittén ett förslag på åtgärder. Kommittén skall yttra sig över förslaget inom en tid som ordföranden bestämmer med hänsyn till hur brådskande ärendet är.

Yttrandet skall avges med den majoritet som anges i artikel 148.2 i fördraget. Vid omröstning i kommittén skall medlemsstaternas röster vägas mot varandra på det sätt som anges i den artikeln. Ordföranden skall inte rösta.

Kommissionen skall anta de föreslagna åtgärderna om de är i överensstämmelse med kommitténs yttrande.

Om de föreslagna åtgärderna inte är i överensstämmelse med kommitténs yttrande eller om inget yttrande avges skall kommissionen utan dröjsmål för rådet framlägga ett förslag rörande de åtgärder som bör vidtas. Rådet skall besluta med kvalificerad majoritet.

Om rådet inte har fattat något beslut inom tre månader efter det att ärendet hänsköts till det skall kommissionen vidta de föreslagna åtgärderna.

SLUTBESTÄMMELSER

Artikel 32

1. Medlemsstaterna skall sätta de lagar och andra författningar, som är nödvändiga för att följa detta direktiv, i kraft senast tre år efter dess antagande.

När dessa lagar och andra författningar antas av medlemsstaterna skall de antingen innehålla en hänvisning till detta direktiv eller också vid offentliggörandet åtföljas av en sådan hänvisning. Närmare regler för hur hänvisning skall ske antas av medlemsstaterna.

2. Medlemsstaterna skall se till att sådan behandling som redan pågår när de nationella bestämmelser som antas till följd av detta direktiv träder i kraft bringas i överensstämmelse med dessa bestämmelser inom tre år från denna tidpunkt.

I fråga om sådana uppgifter som redan finns i manuella register vid ikraftträdandet av de nationella bestämmelser som antas för att genomföra detta direktiv får medlemsstaterna, med avvikelse från föregående stycke, föreskriva att behandlingen skall bringas i överensstämmelse med artiklarna 6 8 i detta direktiv inom 12 år räknat från dagen för direktivets antagande. Medlemsstaterna skall dock ge den registrerade rätt att på begäran och särskilt i samband med att han utövar sin rätt till tillgång till uppgifter, erhålla rättelse, radering eller blockering av uppgifter som är ofullständiga, felaktiga eller lagrade på ett sätt som inte är förenligt med de legitima ändamål som den registeransvarige vill uppnå.

3. Med undantag från punkt 2 kan medlemsstaterna under förutsättning av lämpliga skyddsåtgärder föreskriva att uppgifter som endast bevaras för historisk forskning inte behöver överensstämma med artiklarna 6 8 i detta direktiv.

4. Medlemsstaterna skall till kommissionen överlämna texterna till bestämmelser i nationell lagstiftning som de antar inom det område som omfattas av detta direktiv.

Artikel 33

Kommissionen skall första gången senast tre år efter den tidpunkt som anges i artikel 32.1 och därefter regelbundet till rådet och Europaparlamentet avge en rapport om genomförandet av detta direktiv, eventuellt försedd med lämpliga ändringsförslag. Rapporten skall offentliggöras.

Kommissionen skall särskilt undersöka tillämpningen av detta direktiv på behandling av ljud- och bilduppgifter som rör fysiska personer och skall framlägga alla lämpliga förslag som med beaktande av informationsteknikens och informationssamhällets utveckling visar sig nödvändiga.

Artikel 34

Detta direktiv riktar sig till medlemsstaterna.

Utfärdad i . . .

På Europaparlamentets vägnar

Ordförande

På rådets vägnar

Ordförande

(1) EGT nr C 277 av den 5 november 1990, s. 3, och EGT nr C 311 av den 27 november 1992, s. 38.

(2) EGT nr C 159 av den 17 juni 1991, s. 38.

(3) Europaparlamentets yttrande av den (ännu inte offentliggjort i EGT), rådets gemensamma ståndpunkt av den (ännu inte offentliggjort i EGT) och Europaparlamentets beslut av den (ännu inte offentliggjort i EGT).

(4) EGT nr L 197, 18.7.1987, s. 33.

FRAMSTÄLLNING AV RÅDETS MOTIV

1. Introduktion

Den 18:e juli 1990 presenterade kommissionen ett förslag till direktiv rörande skyddet av privatpersoner vad beträffar behandlingen av personuppgifter. Detta förslag grundades på artiklarna 100A och 113 i fördraget.

Europaparlamentet avgav sitt yttrande efter den första läsningen den 11:e mars 1992 met ett flertal ändringsförslag till kommissionens förslag.

Den ekonomiska och sociala kommittén avgav sitt yttrande den 24:e april 1991.

Med dessa yttranden i åtanke presenterade kommissionen den 15:e oktober ett modifierat förslag till direktiv.

Den 20 februari 1995 antog rådet sin gemensamma ståndpunkt i enlighet med artikel 189B§2 i fördraget.

II. Målsättning

Detta förslag till direktiv är en del av den klara och stabila juridiska ram som är oumbärlig för utvecklingen av informationssamhället på ett sätt som är acceptabelt för den europeiske medborgaren.

Mer precist syftar det till att tillförsäkra den fria rörligheten av personuppgifter inom Gemenskapen och motverka störningar av konkurrensen och de risker för delokalisation som kan bli följden av etablerandet i alla medlemsstater av ett jämnt skydd, på hög nivå, av privatpersoner vad beträffar behandlingen av dessa uppgifter.

Denna höga skyddsnivå tryggas dels genom de skyldigheter som åvilar personer, offentliga myndigheter, företag eller associerade organisationer som, under ansvar, genomför behandlingar, dels genom de rättigheter som givits fysiska personer vilkas uppgifter behandlas.

De ansvarigas skyldigheter rör särskilt kvaliteten på uppgifterna när användandet måste svara mot ett bestämt och legitimt ändamål vad beträffar grunden för behandlingarna, en av dessa möjliga grunder varande medgivandet av de berörda personerna, den tekniska säkerheten för att hindra icke auktoriserad tillgång till filer, underrättelsen om behandlingar till den nationella kontrollmyndigheten.

De rättigheter som givits privatpersoner består i rätten att bli informerade om olika omständigheter rörande de behandlingar som utförts på uppgifter som rör dem, att få kunskap om dessa uppgifter, att kunna kräva rättelser av dem om de visar sig felaktiga, samt att motsätta sig behandlingar.

III. Analys av den gemensamma ståndpunkten

A. Allmänna observationer

Den gemensamma ståndpunkten tar till stor del i beaktande de åsikter som Europaparlamentet gav uttryck för efter sin första läsning.

Den upptar särskilt en större ändring som föreslagits av denna institution rörande övergivandet av den formella distinktionen mellan de regler som gäller den offentliga sektorn och de som gäller den privata sektorn och som har lett till ett totalt omkonstruerande av texten (ändringar nr 7 29, 39 41, 118, 119).

Den gemensamma ståndpunkten upptar likväl parlamentets idéer om att behålla, för genomförandet av skyddet, en bred definition som täcker de olika användningarna av uppgifter. Av detta skäl har begreppet behandling behållits. Begreppet arkivsystem har emellertid inte använts utom för enstaka manuella uppgifter. Europaparlamentet anser faktiskt att begreppet arkivsystem är passé och inte relevant inom sammanhanget för utvecklingen av datorisering och telekommunikationer.

Ett flertal ändringar är för övrigt antingen precisioner, nyttiga redaktionella förenklingar eller införanden av en flexibilitet som på samma gång som den garanterar en jämnhög skyddsnivå i medlemsstaterna, inte kan leda till en sänkning av skyddsnivån då den tillåter en effektiv och obyråkratisk tillämpning av de allmänna principer som uppställs för att reglera den enorma mängd säregenheter på området behandling av personuppgifter.

Slutligen bör uppmärksamhet fästas på det faktum att rådet har funnit att artikel 100 a utgör en tillräcklig juridisk grund för direktivet, och således har tillbakavisat artikel 113, som kommissionen även hade föreslagit som juridisk grund i sitt ändrade förslag. Rådet har i själva verket ansett att artiklarna 25 och 26 i direktivet, vilka behandlar överföringen av personuppgifter till tredje land, inte eftersträvar ett handelspolitiskt ändamål i sig. Det utgör snarare en naturlig följd av andra artiklar i direktivet, eftersom de inte kan avskiljas, då de syftar till att säkerställa en viss "vattentäthet" i systemet, genom att förhindra "låt-gå-politik" vad beträffar överföringen av uppgifter till tredje land.

B. Specifika anmärkningar

1. Ändringar från Europaparlamentet som tagits i beaktande i den gemensamma ståndpunkten

i) Definitioner (artikel 2)

Insamlingsfasen av uppgifter såväl som de olika formerna av kommunikation av uppgifter har inkluderats i definitionen av behandling (ändringar nr 10, 15, 16, 34).

Precisioner har gjorts i definitionen av personuppgifter (ändring nr 12).

Definitioner av tredje parter och representant har införts (ändringar nr 18, 134).

ii) Principer rörande kvaliteten på uppgifter (artikel 6)

Avsteg från principen om den maximala tidsfristen för bevarande av uppgifter som beror av ändamålen med historiska, statistiska eller vetenskapliga ändamål (ändring nr 60).

Ändamålet med en insamling måste vara känt innan den genomförs (ändring nr 59).

iii) Speciella kategorier av behandlingar (artikel 8)

Behandlingar av personuppgifter som utförs av organisationer med icke-kommersiellt syfte och med politisk, filosofisk, religiös eller fackföreningspolitisk karaktär åtnjuter ett specifikt undantag när det rör sig om känsliga uppgifter om deras medlemmar som annars skulle varit förbjudna (ändring nr 149).

Europaparlamentets önskemål om att införa mer smidighet vad rör behandlinger av uppgifter rörande brott, straffrättsliga påföljder etc. täcks av den aktuella texten (ändring nr 65).

Det åligger medlemsstaterna att bestämma de villkor under vilka ett nationellt identifikationsnummer eller varje annat identifikationstecken med allmän tillämpning kan vara föremål för en behandling (ändring nr 65).

iv) Rättigheter hos de berörda personerna (artiklarna 10, 11, 12, 14, 15, 22)

Rättigheterna hos de berörda personerna har förstärkts och preciserats särskilt vad gäller

- rätten att bli informerad, som har utsträckts till uppgifternas ursprung såväl som till den underliggande logiken i vissa automatiserade behandlingar (ändringar nr 46, 48);

- rätten till tillgång, som ska kunna utövas utan någon som helst skyldighet från tredje parts sida (ändring nr 132);

- rätten att motsätta sig, som kan utövas vid varje tidpunkt och särskilt vad gäller behandlingar för prospektionsändamål (ändringar nr 30, 145);

- möjligheterna till förhandskontroll genom medlemsstaterna, som har utsträckts till alla de rättigheter som garanteras av direktivet; det är lämpligt att notera i detta sammanhang att Europaparlamentets krav på att sanktionerna ska tillämpas på samma sätt på ansvariga i den offentliga sektorn har upptagits i anmärking 55 (ändringar nr 52, 77).

v) Underrättelse om behandlingar och förhandskontroll av kontrollmyndigheten (artiklarna 18, 19, 20)

För att svara mot önskemålet om att garantera mindre byråkrati och mer effektivitet har underrättelseproceduren blivit mer selektiv; möjligheter till avsteg från skyldigheten att underrätta eller förenkling av underrättelsen erbjuds medlemsstaterna särskilt när behandlingen inte sannolikt kommer att kränka de berörda personernas fri- och rättigheter eller när behandlingen utförs av en organisation med politisk, filosofisk, religiös eller fackföreningspolitisk karaktär (ändring nr 149). Dessa befrielser eller förenklingar skulle i praktiken kunna gynna en hel serie behandlingar (särskilt de som åsyftas av Europaparlamentet i dess ändring nr 23).

För övrigt har principen om undersökning av kontrollmyndigheten innan genomförandet av behandlingar vilka innebär specifika risker vad gäller personers fri- och rättigheter upptagits; exempel på sådana behandlingar som åsyftas av Europaparlamentet finns för att ge en allmän uppfattning bland anmärkningarna (ändringar nr 40, 42, 118, 119).

Denna inriktning ska tillåta medlemsstaterna att anta de procedurer för nationella säregenheter som är oundvikligt lierade med vitt spridda bruk och skillnader i utvecklingen av uppgiftsbehandling.

Allmänhetens konsultation av registret med underrättade behandlingar, som innehas av kontrollmyndigheten, har behållits (ändringar nr 37, 39).

vi) Etiska regler (artikel 7)

Initiativet till och utarbetandet av etiska regler såväl som på nationell nivå som på europeisk nivå har bekräftats vad gäller en tillämpning av principerna i direktivet som antagits för olika specifika sektorer; dessutom kan kontrollmyndigheterna, gruppen för skyddet av personer som åsyftas i artikel 29 och de berörda personerna eller deras representant medverka i utarbetandet av dessa koder (ändringar nr 72, 91).

vii) Kontrollmyndigheter (artikel 28)

Medlemsstaten kan utse en eller flera kontrollmyndigheter, för att ta i beaktande den federala strukturen hos vissa medlemsstater, som är ansvariga för att övervaka tillämpningen av de bestämmelser som antagits för att tillämpa direktivet (ändring nr 84). Kontrollmyndighetens befogenheter kan utsträcka sig till att beordra blockerandet, utraderandet av uppgifter eller att förbjuda behandling (ändring nr 86). Kontrollmyndigheterna ska publicera sin årsrapport (ändring nr 87).

viii) Gruppen för skyddet av personer (artikel 29)

Följande uppgifter, föreslagna av Europaparlamentet, har upptagits:

- yttrande om verkställandet av de nationella bestämmelser som antagits för att tillämpa direktivet;

- yttrande om skyddsnivån i Gemenskapen och i de tredje länderna likväl som om åtgärder att vidta för att skydda personers fri- och rättigheter;

- möjlighet att avge yttranden på eget initiativ.

För sin del måste kommissionen redigera och publicera en rapport för att informera Gruppen om de åtgärder som den vidtagit till följd av dessa yttranden, denna rapport ska likaledes översändas till Europaparlamentet och rådet (ändringar nr 90, 91, 92).

ix) Slutliga bestämmelser (artikel 36)

Rapporten som kommissionen regelbundet ska lämna till rådet och till Europaparlamentet ska publiceras (ändring nr 95).

2. Andra ändringar i förslaget som införts i Rådets gemensamma ståndpunkt

i) Definitioner (artikel 2)

En definition av mottagare, användbar för att tillförsäkra insynen i behandlingar vad gäller de berörda personerna, har införts.

ii) Uppgifter som finns i manuella arkivsystem (artiklarna 2 och 33)

För att underlätta genomförandet av direktivet i de medlemsstater som ännu inte täcker manuella uppgifter, har en övergångsperiod på 12 år införts för tillämpningen av vissa bestämmelser i direktivet.

iii) Tillämplig nationell rätt (artikel 4)

Rådet har bekräftat det klassiska kriteriet på anknytning i den inre marknaden, föreslaget av kommissionen: platsen för etablissemanget av den ansvarige för behandlingen. Rådet har för övrigt tillfört nyttiga klargöranden rörande begreppet etablissemang av den ansvarige för behandlingen (anmärkning 19) rörande säkerhetsskyldigheterna som åligger representanten enligt artikel 17 och rörande kontrollmyndigheternas befogenheter vad rör behandlingsoperationer som utförs på deras territorium enligt artikel 8.

iv) Behandling av känsliga uppgifter (artikel 8)

Undantag från förbudet mot uppgifter som avslöjar rasmässigt eller etniskt urprung, åsikter eller uppgifter som rör hälsan eller sexlivet, har lagts till för att täcka berättigade behov, väsentligen inom det medicinska och arbetsområdet, under förutsättning av lämpliga garantier.

De avsteg som görs för skäl som rör viktiga allmänna intressen likväl som de som rör regler som styr behandlingen av straffrättsliga uppgifter ska underrättas till kommissionen.

v) Yttrandefrihet (artikel 9)

Rådet har instämt i kommissionens inriktning syftande till att inkludera behandlingar med journalistiska ändamål i direktivets tillämpningsområde och, utöver dessa behandlingar, åtnjuter de behandlingar som utförs för konstnärliga eller litterära ändamål en särbehandling som följer av de nödvändiga sammanjämkningen på detta område mellan yttrandefriheten och skyddet av privatlivet. Denna särbehandling ska genomföras av medlemsstaterna.

vi) Behandlingar med statistiska, historiska eller vetenskapliga ändamål

Med bevarande av direktivets karaktär av ramdirektiv har rådet tillagt, till det avsteg som införts för den maximala tidsfristen för bevarandet av uppgifter för statistiska, historiska eller vetenskapliga ändamål (artikel 6 paragraf 1 moment e), nyttiga precisioner, särskilt till artikel 6 paragraf 1 moment b rörande förenligheten av behandlingar med dessa ändamål med de med uppgifter som insamlats för andra ändamål likväl som artikel 11 om informationen av personer. Området för det fakultativa avsteget från rätten till tillgång till uppgifter som behandlas för detta ändamål har utsträckts (artikel 13 paragraf 2).

vii) Insyn i behandlingar (artiklarna 10, 11, 21)

Skyldigheterna i förhållande till informationen till de berörda personerna om behandlingen av deras uppgifter har gjorts mer flexibla för att ta i beräkning den mångfald av omständigheter under vilka dylika behandlingar kan genomföras (artiklarna 10 och 11). För övrigt har den skyldighet som ålagts medlemsstaterna att garantera varje persons rätt att få vetskap om existensen av en behandling, enligt gamla artikel 10 i det ändrade förslaget, uppptagits i artikel 21 i form av en skyldighet att tillförsäkra behandlingarnas offentlighet.

viii) Undantag och begränsningar (artikel 13 tidigare 14)

De undantag och begränsningar som satts upp i de artiklar som rör skyldigheter att informera och om insyn i behandlingar (gamla artiklarna 11, 12 och 21 har blivit nya 10, 11, 21), och som refererar till artikel 14, från början reserverat för avsteg från rätten till tillgång, har insatts i denna gamla artikel.

Området för undantag och begränsningar, till förmån för de intressen som åsyftas i denna artikel, har utsträckts till principen om ändamål som uppställts i artikel 6.

Dessutom har det understrukits att undantagen och begränsningarna måste vara instiftade i lagstiftning.

Den kompensatoriska åtgärd som utgörs av kontrollmyndighetens kontroll, på förfrågan av den som är intresserad i fall av begränsning av rätten till tillgång, har upptagits i artikel 8.

ix) Säkerhet vid behandlingar (artiklarna 16 och 17)

Bestämmelserna om konfidentialitet har inskrivits i en separat artikel (artikel 16); de om säkerheten som åligger lika mycket den ansvarige för behandlingen som hans representant (artikel 17) har förenklats från redaktionell synpunkt. Tagandet i beaktande av kostnader vad beträffar åtgärder att vidtas har återinförts, allt under behållande av riskkriteriet för att uppskatta lämpligheten av vidtagna åtgärder.

x) Underrättelse och förhandskontroll (artiklarna 18, 19, 20)

Vad beträffar underrättelsen, utöver möjligheten till befrielser för de kategorier av behandlingar som inte sannolikt kommer att kränka de berörda personernas fri- och rättigheter (kommissionens förslag), har avsteg möjliggjorts när en utsedd har utpekats, ansvarig för de beskrivna uppgifterna och även garanterande att behandlingarna inte sannolikt kommer att kränka de berörda personernas fri- och rättigheter.

Vad beträffar förhandskontrollen av behandlingar som utgör specifika risker vad gäller de berörda personernas fri- och rättigheter, kan denna kontroll utföras av antingen av kontrollmyndigheten (kommissionens förslag), eller av den utsedde i samarbete med kontrollmyndigheten. I enlighet med sin nationella rätt kan kontrollmyndigheterna avge ett yttrande eller ge ett bemyndigande efter en förhandskontroll.

Dessa regler om underrättelse och kontroll utgör en kompromiss i det avseendet att de tillförsäkrar jämvikten mellan två typer av procedurer som var och en är beprövade i medlemsstaterna.

xi) Tredje länder (artiklarna 25 och 26)

Rådet har antagit den allmänna inriktning som föreslagits av kommissionen, nämligen principen om existensen av en adekvat skyddsnivå i de tredje länderna och medlemsstaterna vakande över denna princip. Bestämmelser är emellertid instiftade för att tillförsäkra ett homogent genomförande av Gemenskapens politik på området. Rådet har tillfört precisioner till de element som ska tas i beaktande vid utvärderingen av skyddsnivån likväl som vid de avsteg som ska instiftas.

xii) Kontrollmyndigheter (artikel 8)

Den systematiska konsultationen av kontrollmyndigheten vid utarbetandet av legislativa eller administrativa åtgärder har upptagits. Dessa myndigheters befogenhet att ingripa har bara beskrivits exempelvis för att lämna medlemsstaterna den marginal av flexibilitet som är nödvändig på detta område. Slutligen har precisioner gjorts av samarbetet mellan kontrollmyndigheterna på området för gränsöverskridande flöden.

xiii) Kommitteé (artikel 31)

Vad beträffar överföringen av uppgifter till tredje länder som nödvändiggör attributionen av kommissionens verkställighetsbefogenheter har rådet behållit procedur III variant a) i artikel 2 i beslutet 87/373/CEE från den 13:e juli 1987.

xiv) Slutliga bestämmelser (artiklarna 32 och 33)

Utöver upprättandet av nämnda övergångsbestämmelser för bringandet i konformitet av manuella arkivsystem, har det synts nödvändigt att lägga till tre år, räknat från direktivets antagande, till den tidsfrist som bestämts för dess implementering i de nationella lagstiftningarna.

För att ta den teknologiska utvecklingen i beräkning, särskilt inom ramen för utvecklingen av informationssamhället, undersöker kommissionen särskilt i sin årsrapport tillämpningen av direktivet rörande behandlingen av personuppgifter i form av ljud och bild.