Förslag till EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV om skydd för enskilda personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter /* COM/2012/010 final - 2012/0010 (COD) */





MOTIVERING 1. BAKGRUND TILL FÖRSLAGET I denna motivering ges en mer detaljerad beskrivning av den strategi för den nya rättsliga ram för skyddet av personuppgifter i EU som presenterades i meddelandet COM (2012) 9 final. Den rättsliga ramen består av följande två lagstiftningsförslag: – Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning). – Förslag till Europaparlamentets och rådets direktiv om skyddet av enskilda vid behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, samt fri rörlighet för sådana uppgifter. Denna motivering avser det sistnämnda förslaget. Grundstenen i den befintliga EU-lagstiftningen om skydd av personuppgifter, direktiv 95/46/EG[1], antogs 1995 och hade till syfte att skydda den grundläggande rätten till uppgiftsskydd och garantera det fria flödet av personuppgifter mellan medlemsstaterna. Direktivet kompletterades av flera instrument med särskilda uppgiftsskyddsbestämmelser på områdena för polissamarbete och straffrättsligt samarbete[2] (f.d. tredje pelaren), däribland rambeslut 2008/977/RIF[3]. Europeiska rådet uppmanade kommissionen att utvärdera hur EU:s instrument för uppgiftsskydd fungerar och vid behov ta ytterligare initiativ på lagstiftningsområdet och på andra områden[4]. Europaparlamentet[5] välkomnade i sin resolution om Stockholmsprogrammet ett övergripande system för skydd av uppgifter i EU och efterlyste bland annat en översyn av rambeslutet. Kommissionen underströk i sin handlingsplan för att genomföra Stockholmsprogrammet[6] behovet av att se till att den grundläggande rätten till skydd för personuppgifter tillämpas på ett enhetligt sätt på EU:s alla politikområden. I handlingsplanen framhölls att i ”en globaliserad värld som karaktäriseras av en snabb teknisk utveckling och där informationsutbytet inte känner några gränser är det särskilt viktigt att skydda människors privatliv. Unionen måste se till att den grundläggande rätten till skydd för personuppgifter tillämpas på ett enhetligt sätt. Vi behöver stärka EU:s hållning när det gäller att skydda den enskildes personuppgifter inom alla EU:s politikområden, inklusive brottsbekämpning och brottsförebyggande insatser, men även inom våra internationella förbindelser.” I sitt meddelande om ett samlat grepp på skyddet av personuppgifter i Europeiska unionen[7], drog kommissionen slutsatsen att EU behöver en mer samlad och enhetlig strategi i fråga om den grundläggande rätten till skydd av personuppgifter. Rambeslut 2008/977/RIF har ett begränsat tillämpningsområde, eftersom det bara är tillämpligt på gränsöverskridande behandling av uppgifter och inte på behandling som utförs av polisen eller de rättsliga myndigheterna enbart på nationell nivå. Detta kan skapa svårigheter för polis och andra behöriga myndigheterna på områdena för straffrättsligt samarbete och polissamarbete. De kan inte alltid enkelt skilja mellan rent inhemsk och gränsöverskridande behandling eller förutse om vissa personuppgifter kan bli föremål för ett gränsöverskridande utbyte i ett senare skede (se avsnitt 2 nedan). På grund av dess karaktär och innehåll ger rambeslutet dessutom medlemsstaternas nationella lagstiftning stor frihet när det gäller att genomföra bestämmelserna. Dessutom innehåller det inte någon mekanism eller rådgivande grupp som liknar artikel 29-gruppen som bidrar till en gemensam tolkning av dess bestämmelser, och ger inte heller kommissionen några genomförandebefogenheter för att säkerställa ett gemensamt tillvägagångssätt vid dess genomförande. I artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) fastställs principen att alla har rätt till skydd av personuppgifter. Dessutom inför Lissabonfördraget, genom artikel 16.2 i EUF-fördraget, en särskild rättslig grund för antagande av bestämmelser om skydd av personuppgifter som också gäller för straffrättsligt samarbete och polissamarbete. I artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna fastslås att skyddet av personuppgifter är en grundläggande rättighet. Enligt artikel 16 i EUF-fördraget ska lagstiftaren fastställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter också på områdena för straffrättsligt samarbete och polissamarbete, och som omfattar både gränsöverskridande och inhemsk behandling av personuppgifter. Därigenom kommer man att kunna skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till skydd av personuppgifter, och samtidigt trygga utbytet av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Detta kommer att bidra till att underlätta samarbetet i kampen mot brottslighet i Europa. På grund av den särskilda karaktären hos området polissamarbete och straffrättsligt samarbete erkändes det i förklaring 21[8] att det kan visa sig bli nödvändigt med särskilda regler om skydd av personuppgifter och om fri rörlighet för sådana uppgifter på detta område, på grundval av artikel 16 i EUF-fördraget. 2. RESULTAT AV SAMRÅD MED BERÖRDA PARTER OCH KONSEKVENSBEDÖMNINGAR Detta initiativ är resultatet av omfattande samråd med alla viktigare berörda parter om en översyn av den befintliga rättsliga ramen för skydd av personuppgifter, som omfattade offentliga samråd i två etapper: – Samråd om den rättsliga ramen för den grundläggande rätten till skydd av personuppgifter, från den 9 juli till den 31 december 2009. Kommissionen mottog 168 svar, varav 127 från enskilda personer, företagsorganisationer och sammanslutningar och 12 från offentliga myndigheter. De icke-konfidentiella bidragen finns på kommissionens webbplats[9]. – Samråd om kommissionens samlade grepp på skydd av personuppgifter i Europeiska unionen, från den 4 november 2010 till den 15 januari 2011. Kommissionen mottog 305 svar, varav 54 från enskilda, 31 från offentliga myndigheter och 220 från privata organisationer, särskilt företagssammanslutningar och icke-statliga organisationer. De icke-konfidentiella bidragen finns på kommissionens webbplats[10]. Medan dessa samråd till stor del var inriktade på översynen av direktiv 95/46/EG, genomfördes riktade samråd med berörda parter inom brottsbekämpande arbete. Särskilt anordnades en workshop den 29 juni 2010 med medlemsstaternas myndigheter om tillämpningen av bestämmelserna för dataskydd på offentliga myndigheter, inbegripet på området polissamarbete och straffrättsligt samarbete. Dessutom sammankallade kommissionen den 2 februari 2011 en workshop med medlemsstaternas myndigheter för att diskutera genomförandet av rambeslut 2008/977/RIF, och mer allmänt uppgiftsskyddsfrågor på området polissamarbete och straffrättsligt samarbete. EU-medborgarna konsulterades genom en Eurobarometerundersökning som genomfördes i november–december 2010.[11] Ett antal undersökningar inleddes också.[12] Artikel 29-gruppen[13] lämnade flera synpunkter och värdefulla bidrag till kommissionen[14]. Europeiska datatillsynsmannen utfärdade också ett övergripande yttrande om de frågor som dryftats i kommissionens meddelande från november 2010.[15] Europaparlamentet godkände genom sin resolution av den 6 juli 2011 en rapport som stödde kommissionens strategi för att reformera uppgiftsskyddsramen.[16] Europeiska unionens råd antog den 24 februari 2011 slutsatser där det i huvudsak stödjer kommissionens reform av ramen för uppgiftsskydd och håller med om flera inslag i kommissionens strategi. Europeiska ekonomiska och sociala kommittén stödde också kommissionens huvudinriktning att säkerställa en mer enhetlig tillämpning av EU:s uppgiftsskyddsbestämmelser i alla medlemsstater och en lämplig omarbetning av direktiv 95/46/EG.[17] I överensstämmelse med sin politik för bättre lagstiftning gjorde kommissionen en konsekvensbedömning av policyalternativen[18]. Konsekvensbedömningen byggde på de tre politiska mål, som ökad inre marknad för dataskydd, att göra utövandet av rättigheter till uppgiftsskydd av enskilda mer effektiva och skapa en övergripande och enhetlig ram som omfattar alla områden av unionens behörighetsområde, inbegripet polissamarbete och straffrättsligt samarbete. I synnerhet när det gäller det sistnämnda målet bedömdes två alternativ: ett första alternativ som i princip utvidgar tillämpningsområdet för uppgiftsskyddsbestämmelserna på detta område och tar itu med brister och andra frågor kring rambeslutet, och ett andra mer långtgående alternativ med mycket krävande och stränga regler, som också skulle medföra en omedelbar ändring av alla andra instrument inom den ”f.d. tredje pelaren”. Ett tredje minimalistiskt alternativ som huvudsakligen grundar sig på tolkningsmeddelanden och politiska stödåtgärder, såsom finansieringsprogram och tekniska instrument, och med minimal lagstiftning, ansågs inte lämpligt för att ta itu med de problem som konstaterats på detta område i fråga om skydd av personuppgifter. I enlighet med kommissionens vedertagna metod bedömdes varje alternativ, med hjälp av en avdelningsövergripande styrgrupp, med avseende på dess effektivitet när det gäller att uppnå de politiska målen, dess ekonomiska konsekvenser för de berörda parterna (även på EU-institutionernas budget), dess sociala konsekvenser och dess inverkan på de grundläggande rättigheterna. Inga miljökonsekvenser konstaterades. Analysen av de övergripande konsekvenserna ledde till en utveckling av det alternativ som föredras, vilket har införlivats i föreliggande förslag. Enligt bedömningen kommer genomförandet av detta alternativ att leda till en ytterligare stärkning av uppgiftsskyddet på detta politikområde särskilt genom att inhemsk uppgiftsbehandling inbegrips, varigenom man även stärker rättssäkerheten för de behöriga myndigheterna på områdena för straffrättsligt samarbete och polissamarbete. Konsekvensbedömningsnämnden yttrade sig om utkastet till konsekvensbedömning den 9 september 2011. Till följd av detta yttrande gjordes framför allt följande ändringar av konsekvensbedömningen: – Ett klargörande av målen för den nuvarande rättsliga ramen (i vilken mån de har uppnåtts och i vilken mån de inte uppnåtts) och målen för den planerade reformen. – Fler bevis och ytterligare förklaringar/klargöranden lades till i avsnittet om problemdefinitionen. Kommissionen har också utarbetat en genomföranderapport på grundval av artikel 29.2 i rambeslut 2008/977/RIF, som kommer att antas som en del av det aktuella uppgiftsskyddspaketet[19]. Resultaten av rapporten, som bygger på material från medlemsstaterna, användes också i utarbetandet av konsekvensanalysen. 3. FÖRSLAGETS RÄTTSLIGA ASPEKTER 3.1. Rättslig grund Förslaget grundar sig på artikel 16.2 i EUF-fördraget, som är en ny, specifik rättslig grund som införts genom Lissabonfördraget för antagande av bestämmelser om skydd för enskilda med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och av medlemsstaterna när de bedriver verksamhet som omfattas av unionsrätten, och bestämmelser om den fria rörligheten för sådana uppgifter. Förslaget syftar till att garantera en enhetlig och hög nivå på uppgiftsskyddet inom detta område och därmed öka det ömsesidiga förtroendet mellan polis och rättsliga myndigheter i olika medlemsstater och underlätta det fria flödet av uppgifter och samarbetet mellan polis och rättsliga myndigheter. 3.2. Subsidiaritets- och proportionalitetsprincipen Enligt subsidiaritetsprincipen (artikel 5.3 i EU-fördraget) ska åtgärder vidtas på EU-nivå endast om och i den mån som målen för den planerade åtgärden inte i tillräcklig utsträckning kan uppnås av medlemsstaterna och därför, på grund av den planerade åtgärdens omfattning eller verkningar, bättre kan uppnås på unionsnivå. Mot bakgrund av de ovan skisserade problemen visar subsidiaritetsanalysen att det är nödvändigt att vidta åtgärder på EU-nivå på områdena för polissamarbete och straffrättsligt samarbete av följande skäl: – Rätten till skydd av personuppgifter, som fastläggs i artikel 8 i stadgan om de grundläggande rättigheterna och i artikel 16.1 i EUF-fördraget, innebär att samma nivå på uppgiftsskyddet ska gälla i hela unionen. För detta krävs samma skyddsnivå för uppgifter som utbyts och uppgifter som behandlas på inhemsk nivå. – Det finns ett växande behov för de brottsbekämpande myndigheterna i medlemsstaterna att behandla och utbyta uppgifter i allt större omfattning för att förebygga och bekämpa gränsöverskridande brottslighet och terrorism. I detta sammanhang kommer tydliga och enhetliga regler om skydd av personuppgifter på EU-nivå att bidra till att främja samarbete mellan sådana myndigheter. – Dessutom finns det praktiska problem med genomförandet av uppgiftsskyddslagstiftningen och ett behov av samarbete mellan medlemsstaterna och deras myndigheter, vilket måste organiseras på EU-nivå för att säkerställa att unionsrätten tillämpas enhetligt. I vissa situationer har EU de bästa förutsättningarna att på ett ändamålsenligt och enhetligt sätt garantera samma skyddsnivå för enskilda när deras personuppgifter överförs till tredjeländer. – Medlemsstaterna kan inte ensamma minska problemen i den nuvarande situationen, särskilt inte de problem som beror på fragmenteringen av de nationella lagstiftningarna. Det finns därför ett särskilt behov av att införa en harmoniserad och sammanhängande ram som möjliggör en smidig överföring av personuppgifter över gränserna inom EU, samtidigt som man garanterar ett faktiskt skydd av alla enskilda i hela EU. – De föreslagna lagstiftningsåtgärderna på EU-nivå kommer sannolikt att vara effektivare än liknande åtgärder på medlemsstatsnivå på grund av karaktären och omfattningen hos problemen, som inte är begränsade till en eller flera medlemsstater. Enligt proportionalitetsprincipen ska alla insatser vara riktade och inte gå utöver vad som är nödvändigt för att uppnå målen. Denna princip har varit vägledande under förberedelsen av detta förslag, från kartläggningen och utvärderingen av olika alternativ till utarbetandet av lagstiftningsförslaget. Ett direktiv är därför det bästa instrumentet för att säkerställa harmonisering på EU-nivå på detta område, samtidigt som man ger medlemsstaterna erforderlig flexibilitet när de genomför principerna, reglerna och deras undantag på nationell nivå. Med tanke på komplexiteten hos de gällande nationella bestämmelserna för skydd av personuppgifter som behandlas på området för polissamarbete och straffrättsligt samarbete och målet att uppnå en omfattande harmonisering av dessa regler genom detta direktiv, kommer kommissionen att behöva be medlemsstaterna att tillhandahålla förklarande dokument om förhållandet mellan direktivets delar och motsvarande delar av nationella rättsakter som införlivar bestämmelserna för att kunna fullgöra sin uppgift att övervaka införlivandet av detta direktiv. 3.3. Sammanfattning av frågor som rör de grundläggande rättigheterna Rätten till skydd av personuppgifter fastställs i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna och artikel 16 i EUF-fördraget samt artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna. Europeiska unionens domstol[20] understryker att rätten till skydd av personuppgifter inte är en absolut rättighet, utan måste beaktas i förhållande till dess funktion i samhället[21]. Uppgiftsskyddet är nära knutet till respekten för privatlivet och familjelivet som skyddas genom artikel 7 i stadgan. Detta avspeglas i artikel 1.1 i direktiv 95/46/EG som föreskriver att medlemsstaterna ska skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Andra grundläggande rättigheter som fastläggs i stadgan och som skulle kunna påverkas är förbudet mot all diskriminering på grund av bland annat ras, etniskt ursprung, genetiska särdrag, religion eller övertygelse, politisk eller annan åskådning, funktionshinder eller sexuell läggning (artikel 21), barnets rättigheter (artikel 24) och rätten till ett effektivt rättsmedel inför en domstol och till en opartisk domstol (artikel 47). 3.4. Närmare redogörelse för förslaget 3.4.1. KAPITEL I – ALLMÄNNA BESTÄMMELSER I artikel 1 fastställs direktivets syfte, dvs. bestämmelser om behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och fastställs direktivets dubbla målsättning, dvs. att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till skydd av personuppgifter, samtidigt som man garanterar en hög skyddsnivå för den allmänna säkerheten, och att säkerställa utbytet av personuppgifter mellan behöriga myndigheter inom unionen. I artikel 2 fastställs direktivets tillämpningsområde. Direktivets tillämpningsområde är inte begränsat till gränsöverskridande uppgiftsbehandling, utan omfattar all behandling som utförs av ”behöriga myndigheter” (enligt definitionen i artikel 3.14). Direktivet gäller inte heller för behandling i samband med en verksamhet som faller utanför unionslagstiftningens tillämpningsområde och inte heller för behandling som utförs av unionens institutioner, organ och byråer, vilken omfattas av förordning (EG) nr 45/2001 och annan särskild lagstiftning. Artikel 3 innehåller definitioner av begrepp som används i förordningen. Vissa definitioner har övertagits från direktiv 95/46/EG och rambeslut 2008/977/RIF, medan andra har ändrats och kompletteras med fler eller nyligen införda element. De nya definitionerna avser ”personuppgiftsbrott”, ”genetiska uppgifter” och ”biometriska uppgifter”, ”behöriga myndigheter” (på grundval av artikel 87 i EUF-fördraget och artikel 2 h i rambeslut 2008/977/RIF) samt ”barn”, på grundval av FN:s konvention om barnets rättigheter[22]. 3.4.2. KAPITEL – II PRINCIPER Genom artikel 4 fastställs principerna för behandling av personuppgifter på ett sätt som återspeglar artikel 6 i direktiv 95/46/EG och artikel 3 i rambeslut 2008/977/RIF, samtidigt som de anpassas till det specifika sammanhanget i detta direktiv. Enligt artikel 5 krävs att åtskillnad när så är möjligt görs mellan personuppgifter som rör olika kategorier av registrerade av olika kategorier av registrerade. Detta är en ny bestämmelse som varken ingår i direktiv 95/46/EG eller i rambeslut 2008/977/RIF, men som kommissionen hade föreslagit i sitt ursprungliga förslag till rambeslutet[23]. Det bygger på Europarådets rekommendation nr R (87) 15. Liknande bestämmelser finns redan för Europol[24] och Eurojust[25]. Artikel 6 om olika grader av korrekthet och tillförlitlighet återspeglar princip 3.2 i Europarådets rekommendation nr R (87)15. Liknande bestämmelser, som också ingick i kommissionens förslag till rambeslutet, finns för Europol[26]. I artikel 7 fastställs grunderna för när behandling får genomföras, om det är nödvändigt för att utföra en arbetsuppgift som utförs av en behörig myndighet på grundval av nationell lagstiftning, för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan person eller för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten. De övriga grunderna för när behandling får genomföras i artikel 7 i direktiv 95/46/EG passar inte för behandling på området för polissamarbete och straffrättsligt samarbete. I artikel 8 anges ett generellt förbud mot behandling av särskilda kategorier av personuppgifter och undantagen från denna allmänna regel, på grundval av artikel 8 i direktiv 95/46/EG och med tillägg av genetiska uppgifter, enligt Europadomstolens rättspraxis[27]. Artikel 9 fastställs ett förbud mot åtgärder som enbart grundas på automatisk behandling av personuppgifter, om detta inte godkänns enligt lagstiftning som innehåller bestämmelser om lämpliga skyddsåtgärder, i enlighet med artikel 7 i rambeslut 2008/977/RIF. 3.4.3. KAPITEL III – DEN REGISTRERADES RÄTTIGHETER Genom artikel 10 införs skyldigheten för medlemsstaterna att tillhandahålla lätt tillgänglig och begriplig information, först och främst inspirerad av princip 10 i Madridresolutionen om internationella normer för skydd av personuppgifter och integritet[28], och att ålägga registeransvariga att inrätta förfaranden och rutiner för att underlätta utövandet av den registrerades rättigheter. Detta inbegriper kravet att utövandet av rättigheterna i princip ska vara kostnadsfritt. I artikel 11 anges en skyldighet för medlemsstaterna att se till att den registrerade informeras. Dessa skyldigheter bygger på artiklarna 10 och 11 i direktiv 95/46/EG, utan separata artiklar som skiljer på huruvida informationen samlas in från den registrerade eller inte, men utökar den information som ska tillhandahållas. I direktivet fastställs undantag från skyldigheten att informera, när sådana undantag är proportionella och nödvändiga i ett demokratiskt samhälle för att utföra de uppgifter som åligger behöriga myndigheter (inspirerat av artikel 13 i direktiv 95/46/EG och artikel 17 i rambeslut 2008/977/RIF). I artikel 12 föreskrivs att medlemsstaterna ska garantera den registrerades rätt att få tillgång till sina personuppgifter. Den följer artikel 12 a i direktiv 95/46/EG och lägger till nya punkter i informationen till de registrerade (om lagringsperioden, rätten till rättelse, radering eller begränsning samt om rätten att inge klagomål). I artikel 13 föreskrivs att medlemsstaterna får anta lagstiftning som begränsar rätten till tillgång, om så krävs på grund av den särskilda karaktären hos uppgiftsbehandlingen på polisområdet och det straffrättsliga området. Artikeln rör också informationen till den registrerade om en begränsning av tillgången, på grundval av artikel 17.2 och 3 i rambeslut 2008/977/RIF. I artikel 14 införs bestämmelsen att den registrerade, om den direkta tillgången är begränsad, ska informeras om möjligheten att få indirekt tillgång via tillsynsmyndigheten, som bör utöva rätten för den registrerades räkning och ska underrätta den registrerade om resultatet av sina kontroller. Artikel 15 om rätten till rättelse följer artikel 12 b i direktiv 95/46/EG, och, när det gäller förpliktelserna vid en vägran, artikel 18.1 i rambeslut 2008/977/RIF. Artikel 16 om rätten till radering följer artikel 12 b i direktiv 95/46/EG, och, när det gäller förpliktelserna vid en vägran, artikel 18.1 i rambeslut 2008/977/RIF. Den inbegriper också rätten att få till stånd en märkning av behandlingen i vissa fall, varvid man undviker det tvetydiga begreppet "blockering", som används i artikel 12 b i direktiv 95/46/EG och artikel 18.1 i rambeslut 2008/977/RIF. Artikel 17 om rättelse, radering och begränsning av behandling i rättsliga förfaranden ger förtydliganden som grundar sig på artikel 4.4 i rambeslut 2008/977/RIF. 3.4.4. KAPITEL IV – REGISTERANSVARIG OCH REGISTERFÖRARE 3.4.4.1. AVSNITT 1 ALLMÄNNA SKYLDIGHETER I Artikel 18 beskrivs de registeransvarigas ansvar att följa detta direktiv och säkerställa att bestämmelserna följs, bland annat genom att anta policyer och rutiner för att garantera efterlevnad. I artikel 19 anges att medlemsstaterna ska se till att den registeransvarige fullgör de skyldigheter som följer av principerna om inbyggt uppgiftsskydd och uppgiftsskydd som standard. Genom artikel 20 om gemensamma registeransvariga klargörs gemensamma registeransvarigas ställning vad avser förhållandet dem emellan. Genom artikel 21 klargörs registerförarnas ställning och skyldighet, delvis på grundval av artikel 17.2 i direktiv 95/46/EG och med nya inslag, bland annat att en registerförare som behandlar andra uppgifter än de som anges i den registeransvariges instruktioner ska anses som en gemensam registeransvarig. Artikel 22 om bearbetning under den registeransvariges och registerförarens överinseende följer artikel 16 i direktiv 95/46/EG. Genom artikel 23 införs skyldigheten för registeransvariga och registerförare att bevara dokumentation om alla system och förfaranden för behandling som ligger inom deras ansvarsområde. Artikel 24 gäller registerföring, i enlighet med artikel 10.1 i rambeslut 2008/977, samtidigt som det ger ytterligare klargöranden. Genom artikel 25 klargörs registeransvarigas och registerförares skyldigheter att samarbeta med tillsynsmyndigheterna. Artikel 26 avser de fall där samråd med tillsynsmyndigheten är obligatoriskt före behandlingen, på grundval av artikel 23 i rambeslut 2008/977/RIF. 3.4.4.2. AVSNITT 2 DATASÄKERHET Artikel 27 om säkerhet i samband med behandlingen av uppgifter bygger på den nuvarande artikel 17.1 i direktiv 95/46 om säkerhet vid behandling, och artikel 22 i rambeslut 2008/977/RIF, men utökar de tillhörande skyldigheterna för registerförare, oberoende av deras avtal med den registeransvarige. I artiklarna 28 och 29 införs en skyldighet att anmäla personuppgiftsbrott, som inspirerats av anmälan av personuppgiftsbrott i artikel 4.3 i direktiv 2002/58/EC om integritet och elektronisk kommunikation, att klargöra och särskilja skyldigheterna att underrätta tillsynsmyndigheten (artikel 28) och att, under vissa omständigheter, informera den registrerade (artikel 29). Artikel 29 föreskrivs också undantag med hänvisning till artikel 11.4. 3.4.4.3. AVSNITT 3 UPPGIFTSSKYDDSOMBUD I Artikel 30 införs en förpliktelse för den registeransvarige att utnämna ett obligatoriskt uppgiftsskyddsombud som ska fullgöra de uppgifter som förtecknas i artikel 32. Om flera behöriga myndigheter agerar under tillsyn av en central myndighet, som fungerar som registeransvarig, bör åtminstone denna centrala myndighet utnämna ett sådant uppgiftsskyddsombud. Artikel 18.2 i direktiv 95/46/EG gav medlemsstaterna möjlighet att införa ett sådant krav som en ersättning för det allmänna anmälningskravet i det direktivet. Genom artikel 31 redogörs för uppgiftsskyddsombudets ställning. Genom artikel 32 föreskrivs uppgiftsskyddsombudets uppgifter. 3.4.5. KAPITEL V – ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJELÄNDER ELLER INTERNATIONELLA ORGANISATIONER I artikel 33 anges de allmänna principerna för överföring av personuppgifter till tredjeländer eller internationella organisationer på området för polissamarbete och straffrättsligt samarbete, inklusive vidare överföring. Det klargörs att överföringar till tredjeland endast får ske om överföringen är nödvändig för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. I artikel 34 fastställs att överföringar får ske till tredjeländer för vilka kommissionen har antagit ett beslut om adekvat skyddsnivå enligt förordning …./../201X eller specifikt på området för polissamarbete och straffrättsligt samarbete, eller, i avsaknad av ett sådant beslut, om lämpliga skyddsåtgärder har vidtagits. Så länge som beslut om adekvat skyddsnivå inte finns garanterar direktivet att överföringar kan fortsätta att ske på grundval av lämpliga skyddsåtgärder och undantag. Det fastställer dessutom kriterier för kommissionens bedömning av en adekvat eller icke-adekvat skyddsnivå, och inbegriper uttryckligen rättsstatsprincipen, rättslig prövning och oberoende övervakning. Enligt artikeln ges också kommissionen möjlighet att bedöma nivån på det skydd som lämnas av ett territorium eller en behandlande sektor i ett tredjeland. Den fastställer att ett allmänt beslut om adekvat skyddsnivå som antas i enlighet med förfarandena i artikel 38 i den allmänna uppgiftsskyddsförordningen, ska tillämpas inom detta direktivs tillämpningsområde. Alternativt kan ett beslut om adekvat skyddsnivå antas av kommissionen uteslutande för de ändamål som avses i detta direktiv. I artikel 35 fastställs de lämpliga skyddsåtgärder som krävs före internationella överföringar, i avsaknad av ett kommissionsbeslut om adekvat skyddsnivå. Dessa skyddsåtgärder kan vidtas genom rättsligt bindande instrument såsom internationella avtal. Alternativt kan den registeransvarige på grundval av en bedömning av omständigheterna i samband med överföringen dra slutsatsen att de föreligger. I artikel 36 anges undantagen för uppgiftsöverföring på grundval av artikel 26 i direktiv 95/46/EG och artikel 13 i rambeslut 2008/977/RIF. Artikel 37 ålägger medlemsstaterna att föreskriva att den registeransvarige ska underrätta mottagaren om eventuella begränsningar av behandlingen och vidta alla rimliga åtgärder för att säkerställa att dessa begränsningar följs av mottagarna av personuppgifter i tredjelandet eller den internationella organisationen. I artikel 38 lämnas uttryckligen föreskrifter för internationella samarbetsmekanismer för skydd av personuppgifter mellan kommissionen och tillsynsmyndigheter i tredjeländer, särskilt de som anses erbjuda en adekvat skyddsnivå, med hänsyn tagen till OECD:s rekommendation om gränsöverskridande samarbete vid tillämpningen av lagstiftning om integritetsskydd av den 12 juni 2007. KAPITEL VI – NATIONELLA TILLSYNSMYNDIGHETER 3.4.5.1. AVSNITT 1 OBEROENDE STÄLLNING Enligt artikel 39 ska varje medlemsstat inrätta en tillsynsmyndighet enligt artikel 28.1 i direktiv 95/46/EG och artikel 25 i rambeslut 2008/977/RIF, och utvidga dessa myndigheters uppdrag för att bidra till en enhetlig tillämpning av direktivet inom hela unionen. Denna tillsynsmyndighet kan vara den tillsynsmyndighet som inrättats enligt den allmänna uppgiftsskyddsförordningen. Genom artikel 40 klargörs villkoren för tillsynsmyndigheternas oberoende, varvid EU-domstolens rättspraxis genomförs[29], och inspiration även hämtas från artikel 44 i förordning (EG) nr 45/2001[30]. Genom artikel 41 föreskrivs allmänna villkor för tillsynsmyndighetens ledamöter, varigenom relevant rättspraxis genomförs[31] och inspiration även hämtas från artikel 42.2–42.6 i förordning (EG) nr 45/2001. I artikel 42 fastställs bestämmelser angående inrättandet av tillsynsmyndigheten som medlemsstaterna ska föreskriva i lag, inklusive om villkoren för dess ledamöter. Artikel 43 om tystnadsplikt för tillsynsmyndighetens ledamöter och personal följer artikel 28.7 i direktiv 95/46/EG och artikel 25.4 i rambeslut 2008/977/RIF. 3.4.5.2. AVSNITT 2 UPPDRAG OCH BEFOGENHETER I artikel 44 fastställs tillsynsmyndigheternas behörighet, på grundval av artikel 28.6 i direktiv 95/46/EG och artikel 25.1 i rambeslut 2008/977/RIF. Domstolar är i sin dömande verksamhet undantagna från övervakning av tillsynsmyndigheten, men inte från tillämpningen av de materiella reglerna om uppgiftsskydd. I artikel 45 föreskrivs medlemsstaternas skyldighet att föreskriva tillsynsmyndighetens ansvarsområden, bland annat att ta emot och utreda klagomål och att öka allmänhetens medvetenhet om risker, regler, skyddsåtgärder och rättigheter. En särskild arbetsuppgift för tillsynsmyndigheterna i samband med detta direktiv är att, om direkt tillgång vägras eller begränsas, utöva rätten till tillgång för den registrerades räkning och att kontrollera att uppgiftsbehandlingen är tillåten. I artikel 46 föreskrivs tillsynsmyndighetens befogenheter, på grundval av artikel 28.3 i direktiv 95/46/EG, artikel 25.2 och 25.3 i rambeslut 2008/977/RIF. Enligt artikel 47 ska tillsynsmyndigheterna utarbeta årliga verksamhetsrapporter, som grundar sig på artikel 28.5 i direktiv 95/46/EG. 3.4.6. KAPITEL VII – SAMARBETE I artikel 48 införs bestämmelser om obligatoriskt ömsesidigt bistånd. Artikel 28.6 i direktiv 95/46/EG föreskrev bara en allmän skyldighet att samarbeta, utan närmare precisering. Artikel 49 föreskriver att Europeiska dataskyddsstyrelsen, som inrättats genom den allmänna uppgiftsskyddsförordningen, ska utöva sina uppgifter även i fråga om behandling inom detta direktivs tillämpningsområde. För att tillhandahålla kompletterande stöd, kommer kommissionen att rådfråga företrädare för myndigheter som är behöriga att förebygga, utreda, avslöja eller lagföra brott i medlemsstaterna, samt företrädare för Europol och Eurojust, med hjälp av en expertgrupp för de aspekter på uppgiftsskydd som rör brottsbekämpning. 3.4.7. KAPITEL VIII – RÄTTSMEDEL, ANSVAR, PÅFÖLJDER OCH ADMINISTRATIVA SANKTIONER Artikel 50 föreskriver att alla registrerade har rätt att inge klagomål till en tillsynsmyndighet, på grundval av artikel 28.4 i direktiv 95/46/EG, och avser alla överträdelser av direktivet som rör den klagande. Här specificeras även vilka organ, organisationer eller sammanslutningar som kan lämna klagomål på en registrerad persons vägnar och även vid personuppgiftsbrott, oberoende av en registrerad persons klagomål. Artikel 51 rör rätten till rättsmedel mot en tillsynsmyndighets beslut. Den bygger på den allmänna bestämmelsen i artikel 28.3 i direktiv 95/46/EG, och föreskriver särskilt att den registrerade får väcka talan för att tvinga tillsynsmyndigheten att agera vid ett klagomål. Artikel 52 gäller rätten till rättsmedel mot en registeransvarig eller registerförare, på grundval av artikel 22 i direktiv 95/46/EG och artikel 20 i rambeslut 2008/977/RIF. Genom artikel 53 införs gemensamma bestämmelser för domstolsförfaranden, bl.a. rättigheterna för organ, organisationer eller sammanslutningar att företräda registrerade personer inför domstolarna, tillsynsmyndigheternas rätt att delta i rättsliga förfaranden. Medlemsstaternas skyldighet att säkerställa snabb domstolbehandling har inspirerats av artikel 18.1 i direktiv 2000/31/EG[32] om elektronisk handel. Enligt artikel 54 ska medlemsstaterna sörja för rätten till ersättning. Den bygger på artikel 23 i direktiv 95/46/EG och artikel 19.1 i rambeslut 2008/977/RIF, utvidgar denna rätt till skador förorsakade av registerförare och klargör gemensamma registeransvarigas och gemensamma registerförares ansvar. Genom artikel 55 förpliktigas medlemsstaterna att fastställa påföljder, att bestraffa överträdelser av direktivet, och att säkerställa genomförandet. 3.4.8. KAPITEL IX – DELEGERADE AKTER OCH GENOMFÖRANDEAKTER Artikel 56 innehåller standardbestämmelser för utövandet av delegering i enlighet med artikel 290 i EUF-fördraget. Enligt denna artikel kan lagstiftaren till kommissionen delegera befogenheten att anta akter med allmän räckvidd som inte är lagstiftningsakter och som kompletterar eller ändrar vissa icke väsentliga delar av en lagstiftningsakt. Artikel 57 innehåller bestämmelserna för kommittéförfarandet då kommissionen tilldelas genomförandebefogenheter när enhetliga villkor behövs för genomförandet av unionens rättsligt bindande akter, i enlighet med artikel 291 i EUF-fördraget. Granskningsförfarandet är tillämpligt. 3.4.9. KAPITEL X – SLUTBESTÄMMELSER Artikel 58 upphäver rambeslut 2008/977/RIF. I artikel 59 fastställs att särskilda bestämmelser som avser behandling av personuppgifter som utförs av behöriga myndigheterna för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder och som finns i unionsrättsakter, som reglerar behandlingen av personuppgifter eller tillgång till informationssystem inom direktivets tillämpningsområde, och som antagits före antagandet av detta direktiv, inte påverkas. Artikel 60 klargör förhållandet mellan detta direktiv och internationella avtal som tidigare ingåtts av medlemsstaterna på området för straffrättsligt samarbete och polissamarbete. I artikel 61 föreskrivs en skyldighet för kommissionen att utvärdera och rapportera om genomförandet av direktivet, i syfte att bedöma behovet av att anpassa de tidigare antagna särskilda bestämmelser som avses i artikel 59 till detta direktiv. I artikel 62 fastställs skyldigheten för medlemsstaterna att införliva direktivet i sin nationella lagstiftning och till kommissionen anmäla de bestämmelser som antagits i enlighet med direktivet. I artikel 63 fastställs datumet för direktivets ikraftträdande. I artikel 64 fastställs till vem detta direktiv riktar sig. 4. BUDGETKONSEKVENSER Den finansieringsöversikt för rättsakt som åtföljer förslaget till allmän uppgiftsskyddsförordning omfattar såväl förordningens som detta direktivs budgetkonsekvenser. 2012/0010 (COD) Förslag till EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV om skydd för enskilda personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16.2, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, efter att ha hört Europeiska datatillsynsmannen[33], i enlighet med det ordinarie lagstiftningsförfarandet, och av följande skäl: (1) Skyddet av fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna och artikel 16.1 i fördraget om Europeiska unionens funktionssätt garanterar var och en rätten till skydd av de personuppgifter som rör honom eller henne. (2) Avsikten med att behandla personuppgifter är att betjäna människor. Principerna och reglerna för skyddet av enskilda personer vid behandling av deras personuppgifter bör, oavsett medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, främst deras rätt till skydd av personuppgifter. Behandlingen av personuppgifter bör bidra till att skapa ett område av frihet, säkerhet och rättvisa. (3) Den snabba tekniska utvecklingen och globaliseringen har ställt oss inför nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen på datadelning och insamling av uppgifter har ökat spektakulärt. Teknik skapar förutsättningar för behöriga myndigheter att i sin verksamhet använda personuppgifter i en aldrig tidigare skådad omfattning. (4) Detta gör det nödvändigt att underlätta det fria flödet av uppgifter mellan behöriga myndigheter inom unionen samt överföringar till tredjeländer och internationella organisationer, och samtidigt säkerställa en hög skyddsnivå för personuppgifter. Dessa utvecklingstendenser kräver en stark och mer sammanhängande ram för uppgiftsskyddet inom unionen, uppbackad av kraftfullt tillsynsarbete. (5) Europaparlamentets och rådet direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter[34] är tillämpligt på all behandling av personuppgifter som förekommer i medlemsstaterna, såväl inom den offentliga som inom den privata sektorn. Det är emellertid inte tillämpligt på behandling av personuppgifter ”som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten”, t.ex. verksamhet på områdena för straffrättsligt samarbete och polissamarbete. (6) Rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete[35] är tillämpligt på områdena för straffrättsligt samarbete och polissamarbete. Tillämpningsområdet för detta rambeslut begränsas till behandlingen av sådana personuppgifter som överförs eller görs tillgängliga mellan medlemsstaterna. (7) Att garantera en enhetlig och hög nivå på skyddet av enskildas personuppgifter och underlätta utbytet av personuppgifter mellan behöriga myndigheter i medlemsstaterna är av avgörande betydelse för att säkerställa ett effektivt straffrättsligt samarbete och polissamarbete. Därför måste skyddet av enskildas fri- och rättigheter i samband med behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder vara likvärdigt i alla medlemsstater. Ett effektivt skydd av personuppgifter i hela unionen förutsätter att de registrerades rättigheter stärks och att skyldigheterna för dem som behandlar sådana uppgifter klargörs, men också likvärdiga befogenheter för de myndigheter och organ som har ansvaret för att övervaka och säkerställa efterlevnaden av bestämmelserna om skydd av personuppgifter i medlemsstaterna. (8) I artikel 16.2 i fördraget om Europeiska unionens funktionssätt anges att Europaparlamentet och rådet ska fastställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter samt om den fria rörligheten för sådana uppgifter. (9) Därför fastställs i Europaparlamentets och rådets förordning EU …../2012 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning) allmänna bestämmelser om skydd av enskilda i samband med behandling av personuppgifter och om den fria rörligheten för sådana uppgifter inom unionen. (10) I förklaring 21 om skydd av personuppgifter på området för straffrättsligt samarbete och polissamarbete, som är fogad till slutakten från den regeringskonferens som antog Lissabonfördraget, bekräftade konferensen att särskilda regler om skydd av personuppgifter och om fri rörlighet för sådana uppgifter på områdena för straffrättsligt samarbete och polissamarbete på grundval av artikel 16 i fördraget om Europeiska unionens funktionssätt kan visa sig nödvändig på grund av dessa områden särskilda natur. (11) Ett särskilt direktiv bör således vara anpassat till den särskilda karaktären hos dessa områden och fastställa bestämmelser om skydd för enskilda i samband med behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. (12) För att säkerställa en enhetlig skyddsnivå för enskilda genom rättsligt bindande rättigheter i hela unionen och undvika avvikelser som hämmar utbytet av personuppgifter mellan behöriga myndigheter, bör direktivet innehålla harmoniserade bestämmelser om skydd och fri rörlighet för personuppgifter på områdena för straffrättsligt samarbete och polissamarbete. (13) Detta direktiv gör det möjligt att vid tillämpningen av dess bestämmelser ta hänsyn till principen om allmänhetens rätt att få tillgång till allmänna handlingar. (14) Det skydd som ska tillhandahållas enligt detta direktiv gäller vid behandling av enskildas personuppgifter, oavsett de berörda personernas medborgarskap eller hemvist. (15) Skyddet av enskilda bör vara tekniskt neutralt, det vill säga inte vara beroende av den teknik som används, eftersom detta skulle skapa en allvarlig risk för att reglerna kringgås. Skyddet av enskilda bör vara tillämpligt på både automatisk och manuell behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i ett register. Akter eller grupper av akter, liksom deras omslag, som inte är ordnade enligt särskilda kriterier, bör inte omfattas av detta direktiv. Detta direktiv bör inte tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten, särskilt verksamhet som rör nationell säkerhet, eller av uppgifter som behandlats av unionens institutioner, organ och byråer, t.ex. Europol eller Eurojust. (16) Principerna för skyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. Vid bedömningen av om en fysisk person är identifierbar bör man ta hänsyn till alla hjälpmedel som den registeransvarige eller någon annan person rimligen kan komma att använda för att identifiera vederbörande. Skyddsprinciperna bör inte gälla för uppgifter som gjorts anonyma på ett sådant sätt att den registrerade inte längre är identifierbar. (17) Personuppgifter som rör hälsa bör särskilt omfatta alla uppgifter som hänför sig till en registrerad persons hälsotillstånd, uppgifter om registrering av personen för tillhandahållande av hälso- och sjukvårdstjänster, uppgifter om betalning för eller rätt till hälso- och sjukvård avseende personen i fråga, ett nummer, en symbol eller ett kännetecken som personen tilldelats för att identifiera denne uteslutande för hälso- och sjukvårdsändamål, alla uppgifter om personen som insamlats i samband med hälso- och sjukvårdstjänster som personen utnyttjat, uppgifter som härrör från tester eller undersökningar av en kroppsdel eller kroppssubstans, däribland biologiska prover, Identifiering av en person som tillhandahåller hälso- och sjukvård till den registrerade, eller andra uppgifter om t.ex. en sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling, eller den registrerades faktiska fysiologiska eller biomedicinska tillstånd oberoende av källan, exempelvis från en läkare eller annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt eller ett diagnostiskt in vitro-test. (18) Varje behandling av personuppgifter måste vara tillåten, rättvis och öppen i förhållande till berörda enskilda. I synnerhet bör de särskilda ändamål för vilka uppgifterna behandlas formuleras tydligt. (19) För att ge behöriga myndigheter förutsättningar att förebygga, utreda och lagföra brott är det viktigt att de kan bevara och behandla personuppgifter som insamlats i samband med sådan verksamhet också för andra ändamål, så att det blir möjligt att utveckla kunskap om olika brottsföreteelser och brottstrender, samla in underrättelser om kriminella nätverk och göra kopplingar mellan olika brott. (20) Personuppgifter bör inte behandlas för ändamål som är oförenliga med det ändamål för vilket de samlades in. Personuppgifter ska vara adekvata, relevanta och inte överdrivet omfattande med hänsyn till ändamålet med behandlingen. Alla rimliga åtgärder bör vidtas för att säkerställa att oriktiga personuppgifter rättas eller raderas. (21) Principen om uppgifters riktighet ska tillämpas med hänsyn till vilken typ av behandling det är fråga om och syftet med denna. Särskilt i domstolsförfaranden baseras utsagor som innehåller personuppgifter på individers subjektiva uppfattningar, med följden att uppgifterna i vissa fall inte kan verifieras. Följaktligen bör inte riktighetskravet ha någon relevans för frågan om huruvida ett uttalande är riktigt, utan endast för det faktum att ett visst uttalande har gjorts. (22) Vid tolkning och tillämpning av allmänna principer avseende behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder bör hänsyn tas till de specifika förhållandena inom den berörda sektorn, inklusive de särskilda mål som eftersträvas. (23) Behandling av personuppgifter på områdena för straffrättsligt samarbete och polissamarbete innebär av naturliga skäl att personuppgifter om olika kategorier av registrerade behandlas. Därför är det viktigt att i möjligaste mån göra en klar åtskillnad mellan personuppgifter om olika kategorier av registrerade, t.ex. brottsmisstänkta, brottsdömda och brottsoffer samt andra som berörs av ett brottmål, t.ex. vittnen, personer med relevant information eller personer med kontakter eller band till brottsmisstänkta och brottsdömda. (24) Personuppgifter bör i möjligaste mån delas in efter grad av riktighet och tillförlitlighet. Sakförhållanden bör hållas isär från personliga bedömningar, så att det blir möjligt att garantera såväl skydd för enskilda personer som kvalitet och tillförlitlighet i den information som behandlas av behöriga myndigheter. (25) För att vara laglig bör behandlingen av personuppgifter vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, för att utföra en arbetsuppgift av allmänt intresse som en behörig myndighet ansvarar för enligt lag, för att skydda intressen av grundläggande betydelse för den registrerade eller en annan person eller för att förebygga ett omedelbart och allvarligt hot mot den allmänna säkerheten. (26) Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter eller skyddet av privatlivet, däribland genetiska data, förtjänar ett särskilt skydd. Sådana uppgifter bör inte behandlas, om inte behandlingen är godkänd enligt lagstiftning som föreskriver lämpliga åtgärder för att säkerställa den registrerades berättigade intressen, behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan person eller behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. (27) Varje fysisk person bör ha rätt att inte bli föremål för åtgärder som endast grundar sig på automatisk uppgiftsbehandling om detta skulle medföra negativa rättsliga verkningar för denna person, såvida inte behandlingen är tillåten enligt lag och omfattas av lämpliga åtgärder för att skydda den registrerades berättigade intressen. (28) För att den registrerade ska kunna utöva sina rättigheter bör all information som riktar sig till denne vara lättillgänglig och lätt att förstå, vilket inbegriper användning av ett klart och enkelt språk. (29) Det bör finnas arrangemang som underlättar för registrerade att utöva sina rättigheter enligt detta direktiv, bl.a. rutiner för att kostnadsfritt begära särskilt tillgång till uppgifterna samt rättelse och radering av dessa. Den registeransvarige bör vara skyldig att besvara framställningar från den registrerade utan onödigt dröjsmål. (30) Principen om rättvis uppgiftsbehandling innebär att registrerade ska informeras särskilt om att behandling sker och syftet med behandlingen, hur länge uppgifterna kommer att lagras, rätten att få tillgång till, rätta eller radera uppgifter samt rätten att lämna in klagomål. När uppgifterna samlas in från de registrerade bör dessa även informeras om huruvida de är skyldiga att tillhandahålla uppgifterna, och om vilka konsekvenserna blir om de inte lämnar dem. (31) Informationen till de registrerade om behandlingen av uppgifter om dem bör överlämnas i samband med att uppgifterna samlas in eller, om uppgifterna inte har erhållits från de registrerade, vid tidpunkten för registreringen, eller inom en skälig tid efter insamlingen, med hänsyn tagen till de särskilda förhållanden under vilka uppgifterna behandlas. (32) Alla bör ha rätt att få tillgång till uppgifter som insamlats om dem och enkelt kunna utöva denna rätt så att de är införstådda med att behandling sker och kan kontrollera att den är tillåten. Därför bör varje registrerad har rätt att känna till och underrättas om i synnerhet de ändamål för vilka uppgifterna behandlas, hur länge behandlingen kommer att pågå och vilka som kommer att få del av uppgifterna, inbegripet mottagare i tredjeländer. Registrerade bör ha rätt till en kopia av de uppgifter som behandlas. (33) Medlemsstaterna bör ha möjlighet att genom lagstiftning vidta åtgärder som innebär att informationen till de registrerade eller de registrerades tillgång till sina uppgifter senareläggs, begränsas eller utelämnas, i den utsträckning och så länge som en sådan partiell eller fullständig begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle med hänsyn tagen till den berörda personens berättigade intressen, och syftet är att förebygga obstruktion av officiella eller rättsliga utredningar, undersökningar eller förfaranden, undvika menlig inverkan på förebyggande, upptäckt, utredning och lagföring av brott eller verkställighet av straffrättsliga påföljder, skydda allmän eller nationell säkerhet eller skydda den registrerade eller andra personers fri- och rättigheter. (34) Varje vägran att ge den registrerade tillgång till sina uppgifter och varje begränsning av sådan tillgång bör meddelas den registrerade skriftligen, inklusive de faktiska eller rättsliga skäl som beslutet grundar sig på. (35) När medlemsstater har antagit lagstiftning som helt eller delvis begränsar rätten till tillgång, bör de registrerade ha rätt att begära att den behöriga nationella tillsynsmyndigheten kontrollerar behandlingens laglighet. De registrerade bör informeras om denna rättighet. När en tillsynsmyndighet utövar rätten att få tillgång till uppgifter för de registrerades räkning, bör tillsynsmyndigheten informera dem åtminstone om att tillsynsmyndigheten har utfört alla nödvändiga kontroller och om resultatet av dessa kontroller när det gäller lagligheten av behandlingen i fråga. (36) Var och en bör ha rätt att få felaktiga personuppgifter om sig rättade samt rätt till radering om behandlingen av sådana uppgifter inte föreenlig med de grundläggande principerna i detta direktiv. När personuppgifter behandlas inom ramen för en brottsutredning och ett brottmål, bör rätten till rättelse, information, tillgång och radering samt till begränsning av behandlingen kunna säkerställas i enlighet med nationella bestämmelser om rättsliga förfaranden. (37) Registeransvariga bör åläggas ett övergripande ansvar för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Den registeransvarige bör särskilt se till att behandlingen är förenlig med de bestämmelser som antas i enlighet med detta direktiv. (38) Skyddet av de registrerades rättigheter i samband med behandlingen av personuppgifter kräver lämpliga tekniska och organisatoriska åtgärder för att säkerställa att direktivets krav uppfylls. För att garantera överensstämmelse med de bestämmelser som antas enligt detta direktiv, bör den registeransvarige anta strategier och genomföra lämpliga åtgärder, särskilt för att uppfylla principerna om inbyggt uppgiftsskydd och uppgiftsskydd som standard. (39) Skyddet av de registrerades rättigheter och friheter samt de registeransvarigas och registerförarnas ansvar kräver en tydlig fördelning av ansvar enligt detta direktiv, inklusive när en registeransvarig bestämmer ändamålen med och villkoren och medlen för behandlingen tillsammans med andra registeransvariga eller när behandlingen utförs på uppdrag av en registeransvarig. (40) Behandling av personuppgifter bör dokumenteras av den registeransvarige eller av registerföraren, i syfte att övervaka efterlevnaden av detta direktiv. Varje registeransvarig och registerförare bör vara skyldig att samarbeta med tillsynsmyndigheten och på dennas begäran göra dokumenteringen tillgänglig så att den kan tjäna som grund för övervakningen av behandlingen. (41) I syfte att säkerställa ett effektivt skydd av de registrerades rättigheter och friheter genom förebyggande åtgärder, bör den registeransvarige eller registerföraren i vissa fall samråda med tillsynsmyndigheten innan uppgifterna behandlas. (42) Ett personuppgiftsbrott kan, om det inte snabbt blir föremål för lämpliga åtgärder, medföra skada, inklusive med avseende på den berörda personens anseende. Så snart som den registeransvarige blir medveten om att ett sådant brott har inträffat, bör denne anmäla brottet till den behöriga nationella myndigheten. Enskilda personer vars personuppgifter eller integritet kan utsättas för negativ påverkan genom brottet bör meddelas utan onödigt dröjsmål, så att de får tillfälle att vidta nödvändiga försiktighetsåtgärder. Ett brott bör anses ha en menlig inverkan på en individs personuppgifter och integritet om det kan leda till exempelvis identitetsstöld eller identitetsbedrägeri, personskada, betydande förödmjukelse eller skadat anseende i samband med behandlingen av personuppgifter. (43) När närmare bestämmelser fastställs för tillämpliga format och förfaranden för anmälan av personuppgiftsbrott bör vederbörlig hänsyn tas till omständigheterna kring brottet, däribland om personuppgifterna var omgärdade av lämpligt tekniskt skydd som betydligt begränsade sannolikheten för missbruk. Bestämmelserna och förfarandena bör dessutom beakta behöriga myndigheters berättigade intressen i fall där ett tidigt utlämnande kan riskera att i onödan hämma utredningen av omständigheterna kring ett brott. (44) Registeransvariga eller registerförare bör utse en person som kan hjälpa dem med att övervaka efterlevnaden av de bestämmelser som antas i enlighet med detta direktiv. Flera enheter inom den behöriga myndigheten kan gemensamt utse uppgiftsskyddsombud. Uppgiftsskyddsombuden måste kunna utföra sina uppdrag och arbetsuppgifter på ett oberoende och effektivt sätt. (45) Medlemsstaterna bör se till att överföringar till ett tredjeland endast kan äga rum om detta är nödvändigt för att förebygga, utreda, avslöja eller lagföra brott eller för att verkställa straffrättsliga påföljder, och den registeransvarige i tredjelandet eller den internationella organisationen är en myndighet som är behörig i den mening som avses i detta direktiv. En överföring kan äga rum när kommissionen har beslutat att skyddsnivån i ett tredjeland eller en internationell organisation är adekvat, eller när lämpliga skyddsåtgärder föreligger. (46) Kommissionen kan med verkan för hela unionen fastställa att vissa tredjeländer, ett visst territorium eller en viss behandlande sektor i ett tredjeland eller en internationell organisation kan garantera adekvat uppgiftsskydd, och på så sätt skapa rättssäkerhet och enhetlighet i hela unionen vad gäller dessa tredjeländer eller internationella organisationer. I dessa fall får överföringar av personuppgifter till dessa länder ske utan behov av ytterligare tillstånd. (47) I linje med de grundläggande värderingar som unionen vilar på, allra främst skyddet av de mänskliga rättigheterna, bör kommissionen beakta hur rättsstatsprincipen, möjlighet till rättslig prövning samt internationella människorättsliga normer och standarder respekteras i det tredjelandet. (48) Kommissionen bör likaledes kunna konstatera att ett tredjeland eller ett territorium eller en behandlande sektor inom ett tredjeland, eller en internationell organisation, inte erbjuder en adekvat nivå på skyddet av uppgifterna. Följaktligen bör överföringar av personuppgifter till det tredjelandet förbjudas utom när de bygger på internationella avtal, omgärdas av lämpliga skyddsåtgärder eller grundas på ett undantag. Bestämmelser bör fastställas för förfaranden för samråd mellan kommissionen och dessa tredjeländer eller internationella organisationer. Ett sådant kommissionsbeslut ska dock inte påverka möjligheten att göra överföringar när dessa är omgärdade av lämpliga skyddsåtgärder eller grundas på ett undantag som finns fastställt i direktivet. (49) Överföringar som inte grundar sig på ett sådant beslut om adekvat skyddsnivå bör endast tillåtas om lämpliga skyddsåtgärder vidtagits genom ett rättsligt bindande instrument, som säkrar skyddet av personuppgifterna eller om den registeransvarige eller registerföraren har gjort en bedömning av alla omständigheterna kring en uppgiftsöverföring eller en serie uppgiftsöverföringar och på grundval av denna bedömning anser att lämpliga skyddsåtgärder föreligger vad avser skyddet av personuppgifter. När skäl saknas för att tillåta en överföring, bör undantag medges om överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan person, eller för att skydda den registrerades berättigade intressen om lagstiftningen i den medlemsstat som överför uppgifterna föreskriver detta, eller om det är avgörande för att avvärja en omedelbart och allvarligt hot mot den allmänna säkerheten i en medlemsstat eller i ett tredjeland, eller i enskilda fall när det är nödvändigt för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, eller i enskilda fall för att fastslå, göra gällande eller försvara rättsliga anspråk. (50) När personuppgifter förs över gränserna kan detta öka risken för att enskilda inte kan utöva sina uppgiftsskyddsrättigheter att skydda sig från otillåten användning eller utlämnande av dessa uppgifter. Samtidigt kan tillsynsmyndigheter finna att de inte är i stånd att handlägga klagomål eller göra utredningar som gäller verksamheter utanför gränserna för deras land. Deras strävan att samarbeta i ett gränsöverskridande sammanhang kan också försvåras på grund av otillräckliga preventiva eller korrigerande befogenheter eller oenhetliga rättsliga regelverk. Närmare samarbete mellan tillsynsmyndigheter bör därför främjas för att hjälpa dem att utbyta information med sina utländska motsvarigheter. (51) För att skydda enskilda vid behandling av personuppgifter är det av avgörande betydelse att medlemsstaterna inrättar tillsynsmyndigheter som utför sitt uppdrag under fullständigt oberoende. Tillsynsmyndigheterna bör övervaka tillämpningen av bestämmelserna i detta direktiv och bidra till enhetlig tillämpning i hela unionen, för att skydda fysiska personer när deras personuppgifter behandlas. För detta ändamål bör tillsynsmyndigheterna samarbeta såväl sinsemellan som med kommissionen. (52) Medlemsstaterna får anförtro en tillsynsmyndighet som de redan inrättat i enlighet med förordning (EU) …./2012 ansvaret för de arbetsuppgifter som ska skötas av de nationella tillsynsmyndigheter som ska inrättas med anledning av detta direktiv. (53) Medlemsstaterna bör kunna inrätta mer än en tillsynsmyndighet för att återspegla sin konstitutionella, organisatoriska och administrativa struktur. Varje tillsynsmyndighet bör tilldelas de ekonomiska och personella resurser och lokalutrymmen samt den infrastruktur som krävs för att den effektivt ska kunna utföra sina arbetsuppgifter, däribland de arbetsuppgifter som är knutna till ömsesidigt bistånd och samarbete med övriga tillsynsmyndigheter i hela unionen. (54) De allmänna villkoren för tillsynsmyndighetens ledamöter bör fastställas genom lag i varje medlemsstat. Bestämmelserna bör bl.a. föreskriva att de ska utnämnas antingen av parlamentet eller av medlemsstatens regering, och inkludera regler om deras personliga kvalifikationer och ställning. (55) Detta direktiv är visserligen tillämpligt på nationella domstolars verksamheter, men tillsynsmyndigheterna bör inte ha behörighet att övervaka behandling av personuppgifter i domstolar när detta sker som en del av domstolarnas dömande verksamhet. Syftet är att garantera domarnas oberoende när de utför sina rättsliga arbetsuppgifter. Detta undantag bör dock vara inskränkt till genuint rättsliga verksamheter i domstolsmål och inte vara tillämpligt på övriga verksamheter där domare i enlighet med nationell lagstiftning kan medverka. (56) För att detta direktiv ska övervakas och verkställas på ett enhetligt sätt i hela unionen bör tillsynsmyndigheterna i alla medlemsstater ha samma uppdrag och effektiva befogenheter, bl.a. befogenheter att utreda, vidta rättsligt bindande åtgärder, fatta beslut och ålägga påföljder, särskilt vid klagomål från enskilda, samt delta i rättsliga förfaranden. (57) Tillsynsmyndigheterna bör ta emot klagomål som lämnas in av registrerade och utreda ärendena i fråga. Utredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet. Tillsynsmyndigheten bör i rimlig tid informera den registrerade om hur arbetet med klagomålet fortskrider och vad resultatet blir. Om ärendet fordrar ytterligare utredning eller samordning med en annan tillsynsmyndighet bör den registrerade underrättas även om detta. (58) Tillsynsmyndigheterna bör bistå varandra när de utför sitt uppdrag och ge ömsesidigt bistånd för att se till att bestämmelser som antas i enlighet med i detta direktiv efterlevs och tillämpas enhetligt. (59) Europeiska dataskyddsstyrelsen som inrättats genom förordning (EU) …./2012 bör bidra till detta direktivs enhetliga tillämpning i hela unionen, bl.a. genom att lämna råd till kommissionen och främja samarbetet mellan tillsynsmyndigheterna i hela unionen. (60) Alla registrerade bör ha rätt att klaga hos en tillsynsmyndighet i en medlemsstat och ha rätt till rättsmedel om de anser att deras rättigheter enligt detta direktiv har kränkts eller om tillsynsmyndigheten inte agerar med anledning av ett klagomål eller inte agerar när så är nödvändigt för att skydda de registrerades rättigheter. (61) Alla organ, organisationer eller sammanslutningar som syftar till att skydda registrerades rättigheter vad gäller skyddet av personuppgifter och som inrättats i enlighet med lagstiftningen i en medlemsstat bör ha rätt att på de registrerades vägnar, om de av dessa vederbörligen fått detta uppdrag, klaga eller utöva rätten till rättsmedel, eller att oberoende av en registrerad persons klagomål själv klaga när de anser att ett personuppgiftsbrott har begåtts. (62) Varje fysisk eller juridisk person bör ha rätt till ett rättsmedel mot beslut rörande dem som meddelats av en tillsynsmyndighet. En eventuell talan mot en tillsynsmyndighet bör väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte. (63) Medlemsstaterna bör se till att domstolsförfarandena, för att vara effektiva, medger att åtgärder snabbt vidtas för att åtgärda eller förhindra överträdelser av detta direktiv. (64) Personer som lider skada till följd av otillåten behandling bör ha rätt till ersättning av registeransvariga eller registerförare, som dock kan befrias från skadeståndsskyldighet om de kan visa att de inte är ansvariga för skadan, särskilt om de kan påvisa att ett fel begåtts av den registrerade eller i fall av force majeure. (65) Om någon fysisk eller juridisk person underlåter att följa detta direktiv bör detta leda till påföljder, oavsett om personen i fråga omfattas av privaträttslig eller offentligrättslig lagstiftning. Medlemsstaterna bör se till att påföljderna är effektiva, proportionella och avskräckande och ska vidta alla åtgärder som krävs för att påföljderna ska verkställas. (66) I syfte att uppnå målen för detta direktiv, nämligen att skydda fysiska personers grundläggande fri- och rättigheter, och i synnerhet deras rätt till skydd av personuppgifter och för att säkra fritt utbyte av personuppgifter mellan behöriga myndigheter inom unionen bör befogenheten att anta akter i enlighet med artikel 290 i fördraget om Europeiska unionens funktionssätt delegeras till kommissionen. Delegerade akter bör framför allt antas i fråga om anmälningar av personuppgiftsbrott till tillsynsmyndigheterna. Det är av särskild betydelse att kommissionen genomför lämpliga samråd under sitt förberedande arbete, inklusive på expertnivå. Kommissionen bör, då den förbereder och utarbetar delegerande akter, se till att relevanta handlingar översänds samtidigt till Europaparlamentet och rådet och att detta sker så snabbt som möjligt och på lämpligt sätt. (67) Genomförandebefogenheterna bör delegeras till kommissionen för att förutsättningarna för genomförandet av detta direktiv ska bli enhetliga i fråga om registeransvarigas och registerförares dokumentation, uppgiftsbehandlingens säkerhet, särskilt vad gäller krypteringsstandarder, anmälningar av personuppgiftsbrott till tillsynsmyndigheten samt adekvata skyddsnivåer i ett tredjeland eller ett territorium eller en behandlande sektor inom detta tredjeland eller en internationell organisation. Dessa befogenheter bör utövas i enlighet med Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter[36]. (68) Mot bakgrund av att dessa rättsakter har allmän räckvidd bör granskningsförfarandet användas åtgärder vidtas som gäller registeransvarigas och registerförares dokumentation, uppgiftsbehandlingens säkerhet, anmälningar av personuppgiftsbrott till tillsynsmyndigheterna samt adekvat skyddsnivå i ett tredjeland eller ett territorium eller en behandlande sektor inom detta tredjeland eller en internationell organisation. (69) När tvingande skäl till skyndsamhet föreligger bör kommissionen i vederbörligen motiverade fall anta omedelbart tillämpliga genomförandeakter avseende ett tredjeland eller ett territorium eller en behandlande sektor inom detta tredjeland eller en internationell organisation vars skyddsnivå inte är adekvat. (70) Eftersom målen för detta direktiv, nämligen att skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till skydd av personuppgifter, och för att säkerställa ett fritt utbyte av personuppgifter mellan behöriga myndigheter inom unionen, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna och de därför, på grund av åtgärdens omfattning eller verkningar, bättre kan uppnås på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen. I enlighet med proportionalitetsprincipen i samma artikel går detta direktiv inte utöver vad som är nödvändigt för att uppnå det målet. (71) Rambeslut 2008/977/RIF bör upphävas genom detta direktiv. (72) Särskilda bestämmelser som avser behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder som finns i unionsakter, antagna före dagen för antagandet av detta direktiv, och som reglerar behandlingen av personuppgifter mellan medlemsstaterna eller tillträde för utsedda myndigheter i medlemsstater till informationssystem som inrättats i enlighet med fördragen, bör kvarstå oförändrade. Kommissionen bör utvärdera situationen vad gäller förhållandet mellan detta direktiv och rättsakter, antagna före dagen för antagandet av detta direktiv, som reglerar behandling av personuppgifter mellan medlemsstaterna eller tillträde för utsedda myndigheter i medlemsstater till informationssystem som inrättats i enlighet med fördragen, i syfte att bedöma om dessa särskilda bestämmelser behöver anpassas till detta direktiv. (73) För att säkerställa ett övergripande och enhetligt skydd av personuppgifter i unionen, bör internationella avtal som medlemsstaterna ingått före ikraftträdandet av detta direktiv ändras så att de överensstämmer med detta direktiv. (74) Detta direktiv påverkar inte bestämmelserna om bekämpande av sexuella övergrepp mot barn och sexuell exploatering av barn och barnpornografi i Europaparlamentets och rådets direktiv 2011/92/EU av den 13 december 2011[37]. (75) I enlighet med artikel 6a i protokollet om Förenade kungarikets och Irlands ställning med avseende på området med frihet, säkerhet och rättvisa, som fogats till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, är Förenade kungariket och Irland inte bundna av bestämmelserna i detta direktiv, i det fall då Förenade kungariket och Irland inte är bundna av bestämmelserna om formerna för straffrättsligt samarbete eller polissamarbete inom ramen för vilka de bestämmelser måste iakttas som fastställs på grundval av artikel 16 i fördraget om Europeiska unionens funktionssätt. (76) I enlighet med artiklarna 2 och 2a i protokollet om Danmarks ställning, som fogats till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, är detta direktiv inte bindande för eller tillämpligt på Danmark. Eftersom detta direktiv innebär en utbyggnad av Schengenregelverket, som omfattas av avdelning V i tredje delen av fördraget om Europeiska unionens funktionssätt, ska Danmark i enlighet med artikel 4 i protokollet inom en tid av sex månader efter antagandet av detta direktiv besluta huruvida landet ska genomföra det i sin nationella lagstiftning. (77) När det gäller Island och Norge utgör detta direktiv en vidareutveckling av Schengenregelverket i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket[38]. (78) När det gäller Schweiz utgör detta direktiv, i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av bestämmelserna i Schengenregelverket[39]. (79) När det gäller Liechtenstein utgör detta direktiv en vidareutveckling av bestämmelserna i Schengenregelverket i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket[40]. (80) Detta direktiv respekterar de grundläggande rättigheterna och iakttar de principer som erkänns i Europeiska unionens stadga om de grundläggande rättigheterna som fastställs i fördraget, bl.a. rätten till respekt för privatlivet och familjelivet, rätten till skydd av personuppgifter, rätt till ett effektivt rättsmedel och till en opartisk domstol. De inskränkningar som gjorts av dessa rättigheter överensstämmer med artikel 52.1 i stadgan eftersom de är nödvändiga för att uppnå av unionen erkända mål av allmänt intresse eller för att skydda andras fri- och rättigheter. (81) I enlighet med medlemsstaternas och kommissionens gemensamma politiska förklaring om förklarande dokument av den 28 september 2011 har medlemsstaterna, i de fall detta är motiverat, åtagit sig att till anmälan av införlivandeåtgärder bifoga ett eller flera dokument som förklarar förhållandet mellan ett direktivs olika delar och motsvarande delar i de nationella instrumenten för införlivande. När det gäller detta direktiv anser lagstiftaren det vara motiverat att sådana dokument lämnas in. (82) Detta direktiv bör inte hindra medlemsstaterna från att i nationell straffprocesslagstiftning genomföra bestämmelser om registrerades utövande av sina rättigheter vad gäller information, tillgång, rättelse, radering och begränsning av sina personuppgifter som behandlas i samband med straffrättsliga förfaranden samt eventuella begränsningar av dessa rättigheter. HÄRIGENOM FÖRESKRIVS FÖLJANDE. KAPITEL I ALLMÄNNA BESTÄMMELSER Artikel 1 Syfte och mål 1. I detta direktiv fastställs bestämmelser om skydd för enskilda personer med avseende på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. 2. Enligt detta direktiv ska medlemsstaterna a) skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till skydd av personuppgifter, och b) se till att behöriga myndigheters utbyte av personuppgifter inom unionen varken begränsas eller förbjuds av skäl som rör skyddet för enskilda personer med avseende på behandlingen av personuppgifter. Artikel 2 Tillämpningsområde 1. Detta direktiv ska tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1. 2. Direktivet ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. 3. Direktivet ska inte tillämpas på behandling av personuppgifter a) som utgör ett led i en verksamhet som inte omfattas av unionslagstiftningen, särskilt avseende nationell säkerhet, b) som utförs av unionens institutioner, organ och byråer. Artikel 3 Definitioner I detta direktiv gäller följande definitioner: (1) den registrerade: en fysisk person som är direkt eller indirekt identifierad eller identifierbar, med medel som rimligen kan komma att användas av den registeransvarige eller av någon annan fysisk eller juridisk person, framför allt med hänvisning till ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer, eller till en eller fler faktorer som är specifika för personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. (2) personuppgifter: varje upplysning som avser den registrerade. (3) behandling: varje åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. (4) begränsning av behandling: markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa i framtiden. (5) register: varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. (6) registeransvarig: en behörig offentlig myndighet som ensam eller tillsammans med andra bestämmer ändamålen, villkoren och medlen för behandlingen av personuppgifter; om ändamålen, villkoren och medlen för behandlingen bestäms av unionslagstiftningen eller medlemsstaternas lagstiftning kan den registeransvarige eller de särskilda kriterierna för hur denne kan utses anges i unionslagstiftningen eller i medlemsstaternas lagstiftning. (7) registerförare: en fysisk eller juridisk person, myndighet, institution eller annat organ som behandlar personuppgifter för den registeransvariges räkning. (8) mottagare: en fysisk eller juridisk person, myndighet, institution eller annat organ till vilket uppgifterna utlämnas. (9) personuppgiftsbrott: ett säkerhetsbrott som leder till förstöring, förlust eller ändringar genom olyckshändelse eller otillåtna handlingar eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. (10) genetiska uppgifter: alla uppgifter, oavsett typ, som rör sådana kännetecken för en enskild person som är nedärvda eller har erhållits under tidig prenatal utveckling. (11) biometriska uppgifter: alla uppgifter som rör en enskild persons fysiska, fysiologiska eller beteendemässiga kännetecken och som gör det möjligt att identifiera honom eller henne individuellt, såsom ansiktsbilder eller fingeravtrycksuppgifter. (12) uppgifter om hälsa: alla uppgifter som rör en enskild persons fysiska eller psykiska hälsa eller de hälso- och sjukvårdstjänster som tillhandahållits personen. (13) barn: alla personer som är yngre än arton år. (14) behöriga myndigheter: varje offentlig myndighet med behörighet att förebygga, utreda, avslöja eller lagföra brott eller att verkställa straffrättsliga påföljder. (15) tillsynsmyndighet: en myndighet som är etablerad av en medlemsstat i enlighet med artikel 39. KAPITEL II Principer Artikel 4 Principer om behandling av personuppgifter Medlemsstaterna ska föreskriva att personuppgifter ska a) behandlas på ett korrekt och lagligt sätt, b) samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål, c) vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas, d) vara riktiga och om nödvändigt hållas aktuella; alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål, e) förvaras i en form som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas, f) behandlas under ansvar av den registeransvarige, som ska se till att kraven i de bestämmelser som antas i enlighet med detta direktiv uppfylls. . Artikel 5 Åtskillnad mellan olika kategorier av registrerade 1. Medlemsstaterna ska föreskriva att den registeransvarige, så långt det är möjligt, ska göra en klar åtskillnad mellan personuppgifter som rör olika kategorier av registrerade, såsom a) personer avseende vilka det finns tungt vägande skäl att anta att de har begått eller är på väg att begå ett brott, b) personer som dömts för brott, c) brottsoffer, eller personer avseende vilka det finns vissa omständigheter som ger anledning att anta att de kan ha blivit offer för ett brott, d) andra som berörs av brottet, såsom personer som kan komma att kallas att vittna i samband med brottsutredningar eller senare straffrättsliga förfaranden, personer som kan ge information om brott, eller personer med kontakter eller band till någon av de personer som avses i a och b, och e) personer som inte passar in i någon av de kategorier som anges ovan. Artikel 6 Olika grader av korrekthet och tillförlitlighet hos personuppgifter 1. Medlemsstaterna ska se till att de olika kategorier av personuppgifter som behandlas, så långt det är möjligt, åtskiljs i enlighet med deras korrekthets- och tillförlitlighetsgrad. 2. Medlemsstaterna ska se till att personuppgifter som grundar sig på fakta så långt det är möjligt åtskiljs från personuppgifter som grundar sig på personliga bedömningar. Artikel 7 När personuppgifter får behandlas Medlemsstaterna ska föreskriva att behandling av personuppgifter är tillåten endast om och i den mån som behandlingen är nödvändig (a) för att utföra en arbetsuppgift som utförs av en behörig myndighet, på grundval av lagstiftning och för de ändamål som anges i artikel 1.1, eller (b) för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller (c) för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan person, eller (d) för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten. Artikel 8 Behandling av särskilda kategorier av personuppgifter 1. Medlemsstaterna ska förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse eller medlemskap i fackförening, samt behandling av genetiska uppgifter eller uppgifter om hälsa eller sexualliv. 2. Punkt 1 ska inte gälla om a) behandlingen godkänns av lagstiftning med bestämmelser om lämpliga skyddsåtgärder, eller b) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan person, eller c) behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. Artikel 9 Åtgärder som grundar sig på profilering och automatisk behandling 1. Medlemsstaterna ska föreskriva att åtgärder som har negativa rättsliga följder för den registrerade eller som väsentligt berör honom eller henne och som enbart grundas på en automatisk behandling av uppgifter som är avsedd att bedöma vissa personliga egenskaper hos den registrerade ska förbjudas om åtgärderna inte godkänns av lagstiftning som också innehåller bestämmelser till skydd för den registrerades berättigade intressen. 2. Automatisk behandling av personuppgifter som är avsedd att bedöma vissa personliga egenskaper hos den registrerade ska inte grunda sig enbart på de särskilda kategorier av personuppgifter som anges i artikel 8. KAPITEL III DEN REGISTRERADES RÄTTIGHETER Artikel 10 Villkor för utövandet av den registrerades rättigheter 1. Medlemsstaterna ska föreskriva att den registeransvarige ska vidta alla rimliga åtgärder för att ha en klar och tydlig och lätt tillgänglig policy för behandlingen av personuppgifter och för utövandet av den registrerades rättigheter. 2. Medlemsstaterna ska föreskriva att all information och kommunikation som rör behandlingen av personuppgifter ska tillhandahållas av den registeransvarige till den registrerade i en begriplig form, med användning av klart och tydligt språk. 3. Medlemsstaterna ska föreskriva att den registeransvarige ska vidta alla rimliga åtgärder för att fastställa förfaranden för tillhandahållandet av den information som anges i artikel 11 och för utövandet av den registrerades rättigheter enligt i artiklarna 12–17. 4. Medlemsstaterna ska föreskriva att den registeransvarige ska informera den registrerade om uppföljningen av hans eller hennes begäran utan onödigt dröjsmål. 5. Medlemsstaterna ska föreskriva att den information och de åtgärder som vidtas av den registeransvarige på sådan begäran som avses i punkterna 3 och 4 ska vara gratis. Om begäran är särskilt betungande, särskilt på grund av dess repetitiva karaktär, storlek eller volym, får den registeransvarige ta ut en avgift för att tillhandahålla den information eller vidta den åtgärd som begärts, och får om denna avgift inte betalas avstå från att vidta åtgärden. I så fall ska det åligga den registeransvarige att visa att begäran är särskilt betungande. Artikel 11 Information till den registrerade 1. Om personuppgifter som rör en registrerad person samlas in, ska medlemsstaterna se till att den registeransvarige vidtar alla lämpliga åtgärder för att till den registrerade åtminstone lämna information om följande: a) Identitet och kontaktuppgifter för den registeransvarige och uppgiftsskyddsombudet. b) Ändamålen med den behandling för vilken personuppgifterna är avsedda. c) Den period under vilken personuppgifterna kommer att lagras. d) Förekomsten av rättigheten att av den registeransvarige begära tillgång till och rättelse, radering eller begränsning av behandlingen av de personuppgifter som rör den registrerade. e) Rätten att inge ett klagomål till den tillsynsmyndighet som avses i artikel 39, samt dess kontaktuppgifter. f) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, inbegripet i tredjeländer eller internationella organisationer. g) Eventuell ytterligare information i den utsträckning som den ytterligare informationen är nödvändig för att garantera en korrekt behandling när det gäller den registrerade, med hänsyn tagen till de särskilda omständigheter under vilka personuppgifter behandlas. 2. Om personuppgifterna samlas in från den registrerade ska den registeransvarige, utöver den information som anges i punkt 1, till den registrerade också lämna information om huruvida tillhandahållandet av personuppgifter är obligatoriskt eller frivilligt, samt om de möjliga följderna om sådana uppgifter inte lämnas. 3. Den registeransvarige ska lämna den information som anges i punkt 1 a) vid den tidpunkt när personuppgifterna erhålls från den registrerade, eller b) om personuppgifterna inte samlas in från den registrerade, vid tidpunkten för registreringen eller inom en rimlig period efter insamlingen, med hänsyn tagen till de särskilda omständigheter under vilka uppgifterna behandlas. 4. Medlemsstaterna får genom lagstiftning vidta åtgärder som gör att informationen till den registrerade senareläggs, begränsas eller utelämnas, i den utsträckning och så länge som, en sådan partiell eller fullständig begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle med hänsyn tagen till den berörda personens berättigade intressen, i syfte att (a) hindra obstruktion av officiella eller rättsliga utredningar, förundersökningar eller förfaranden, (b) inte inverka menligt på förebyggande, upptäckt, utredning och lagföring av brott eller verkställighet av straffrättsliga påföljder, (c) skydda allmän säkerhet, (d) skydda nationell säkerhet, (e) skydda andra personers fri- och rättigheter. 5. Medlemsstaterna får fastställa kategorier av uppgiftsbehandling som helt eller delvis omfattas av undantagen i punkt 4. Artikel 12 Den registrerades rätt till tillgång 1. Medlemsstaterna ska föreskriva att den registrerade ska ha rätt att av den registeransvarige få bekräftelse på huruvida personuppgifter som rör den registrerade håller på att behandlas. Om sådana personuppgifter håller på att behandlas ska den registeransvarige tillhandahålla följande information: a) Ändamålen med behandlingen. b) De kategorier av personuppgifter som behandlingen gäller. c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats ut, särskilt mottagare i tredjeländer. d) Den period under vilken personuppgifterna kommer att lagras. e) Förekomsten av rättigheten att av den registeransvarige begära rättelse, radering eller begränsning av behandling av personuppgifter som rör den registrerade, f) Rätten att inge klagomål till tillsynsmyndigheten, samt tillsynsmyndighetens kontaktuppgifter. g) Information om vilka personuppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer. 2. Medlemsstaterna ska föreskriva att den registrerade ska ha rätt att av den registeransvarige erhålla en kopia av de personuppgifter som håller på att behandlas. Artikel 13 Begränsningar av rätten till tillgång 1. Medlemsstaterna får anta lagstiftning som helt eller delvis begränsar den registrerades rätt till tillgång i den utsträckning som en sådan partiell eller fullständig begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle med hänsyn tagen till den berörda personens berättigade intressen, i syfte att (a) hindra obstruktion av officiella eller rättsliga utredningar, förundersökningar eller förfaranden, (b) inte inverka menligt på förebyggande, upptäckt, utredning och lagföring av brott eller verkställighet av straffrättsliga påföljder, (c) skydda allmän säkerhet, (d) skydda nationell säkerhet, (e) skydda andra personers fri- och rättigheter. 2. Medlemsstaterna får i lag fastställa kategorier av uppgiftsbehandling som helt eller delvis omfattas av undantagen i punkt 1. 3. I de fall som avses i punkterna 1 och 2 ska medlemsstaterna föreskriva att den registeransvarige ska informera den registrerade skriftligen om varje vägran att ge tillgång eller begränsning av tillgången, om skälen för vägran och om möjligheterna att inge ett klagomål till tillsynsmyndigheten och begära rättslig prövning. Information om den sakliga eller rättsliga grunden för beslutet får utelämnas om tillhandahållande av sådan information skulle undergräva ett ändamål enligt punkt 1. 4. Medlemsstaterna ska se till att den registeransvarige dokumenterar skälen till utelämnandet av informationen om de sakliga och rättsliga grunderna för beslutet. Artikel 14 Villkor för att utöva rätten till tillgång 1. Medlemsstaterna ska föreskriva att den registrerade ska ha rätt att begära att tillsynsmyndigheten kontrollerar att behandlingen är tillåten, särskilt i de fall som anges i artikel 13. 2. Medlemsstaterna ska föreskriva att den registeransvarige ska underrätta den registrerade om rätten att begära att tillsynsmyndigheten ska ingripa enligt punkt 1. 3. När den rätt som avses i punkt 1 utövas, ska tillsynsmyndigheten åtminstone underrätta den registrerade om att tillsynsmyndighetens alla nödvändiga kontroller har ägt rum, och om resultatet när det gäller huruvida den berörda behandlingen är tillåten. Artikel 15 Rätt till rättelse 1. Medlemsstaterna ska föreskriva att den registrerade ska ha rätt att av den registeransvarige erhålla rättelse av personuppgifter som rör vederbörande och som är felaktiga. Den registrerade ska ha rätt att få till stånd komplettering av ofullständiga personuppgifter, i synnerhet genom en korrigering. 2. Medlemsstaterna ska föreskriva att den registeransvarige ska underrätta den registrerade skriftligen om eventuell vägran att medge rättelse, om skälen för vägran och om möjligheterna att inge ett klagomål till tillsynsmyndigheten och begära rättsmedel. Artikel 16 Rätt till radering 1. Medlemsstaterna ska föreskriva att den registrerade ska ha rätt att av den registeransvarige utverka att personuppgifter som rör vederbörande raderas om behandlingen inte uppfyller kraven i de bestämmelser som antas enligt artiklarna 4 a–e, 7 och 8 i det här direktivet. 2. Den registeransvarige ska genomföra raderingen utan dröjsmål. 3. I stället för radering ska den registeransvarige märka personuppgifterna om (a) den registrerade bestrider deras korrekthet, under en tid som ger den registeransvarige möjlighet att kontrollera om personuppgifterna är korrekta, (b) personuppgifterna måste bevaras för bevisändamål, (c) den registrerade motsätter sig att de raderas och i stället begär att deras användning begränsas. 4. Medlemsstaterna ska föreskriva att den registeransvarige ska underrätta den registrerade skriftligen om eventuell vägran att radera eller eventuell märkning av behandlingen, om skälen till vägran och om möjligheterna att inge ett klagomål till tillsynsmyndigheten och begära rättslig prövning. Artikel 17 Den registrerades rättigheter i brottsutredningar och straffrättsliga förfaranden Medlemsstaterna får föreskriva att de rättigheter till information, tillgång, rättelse, radering och begränsning av behandling som avses i artiklarna 11–16 ska genomföras i enlighet med nationella bestämmelser om rättsliga förfaranden om personuppgifterna ingår i ett domstolsbeslut eller ett rättsligt protokoll som behandlas i samband med brottsutredningar och straffrättsliga förfaranden. KAPITEL IV REGISTERANSVARIG OCH REGISTERFÖRARE AVSNITT 1 ALLMÄNNA SKYLDIGHETER Artikel 18 Den registeransvariges ansvar 1. Medlemsstaterna ska föreskriva att den registeransvarige ska anta policyer och vidta lämpliga åtgärder för att se till att behandlingen av personuppgifter uppfyller kraven i de bestämmelser som antas i enlighet med detta direktiv. 2. De åtgärder som avses i punkt 1 ska särskilt avse att a) förvara den dokumentation som avses i artikel 23, b) uppfylla kraven på förhandssamråd enligt artikel 26, c) genomföra de krav på datasäkerhet som fastställs i artikel 27, d) utse ett uppgiftsskyddsombud enligt artikel 30. 3. Den registeransvarige ska införa rutiner för att säkerställa kontrollen av att de åtgärder som anges i punkt 1 i denna artikel är verkningsfulla. Om det är proportionellt, ska denna kontroll utföras av oberoende interna eller externa granskare. Artikel 19 Inbyggt uppgiftsskydd och uppgiftsskydd som standard 1. Medlemsstaterna ska föreskriva att den registeransvarige, med beaktande av dagens tillgängliga teknik och genomförandekostnaden, ska genomföra lämpliga tekniska och organisatoriska åtgärder och förfaranden på ett sådant sätt att behandlingen uppfyller kraven i bestämmelser som antas i enlighet med detta direktiv och säkerställa skydd av den registrerades rättigheter. 2. Den registeransvarige ska införa rutiner för att se till att, i standardfallet, endast sådana personuppgifter som är nödvändiga för behandlingens ändamål behandlas. Artikel 20 Gemensamma registeransvariga Om en registeransvarig fastställer ändamålen, villkoren och medlen för behandlingen av personuppgifter tillsammans med andra, ska medlemsstaterna föreskriva att de gemensamma registeransvariga måste fastställa sitt respektive ansvar för att uppfylla villkoren i de bestämmelser som antas i enlighet med detta direktiv, särskilt avseende förfarandena och rutinerna för den registrerades utövande av sina rättigheter, genom ett arrangemang som de enas om sinsemellan. Artikel 21 Registerförare 1. Om behandlingen utförs på uppdrag av en registeransvarig ska medlemsstaterna föreskriva att den registeransvarige måste välja en registerförare som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder och förfaranden på ett sådant sätt att behandlingen uppfyller kraven i de bestämmelser som antas i enlighet med detta direktiv och säkerställa skyddet av den registrerades rättigheter. 2. Medlemsstaterna ska föreskriva att en registerförares behandling av uppgifter ska regleras av en rättsligt bindande handling mellan registerföraren och den registeransvarige och att det i handlingen särskilt ska föreskrivas att registerföraren endast får handla på instruktioner från den registeransvarige, särskilt om överföringen av de personuppgifter som används är förbjuden. 3. Om en registerförare behandlar andra personuppgifter än de som den registeransvarige gett instruktioner om ska registerföraren anses vara en registeransvarig med avseende på den behandlingen och ska omfattas av de bestämmelser om gemensamma registeransvariga som fastställs i artikel 20. Artikel 22 Behandling under den registeransvariges och registerförarens överinseende Medlemsstaterna ska föreskriva att registerföraren och personer som utför arbete under den registeransvariges eller registerförarens överinseende, och som får tillgång till personuppgifter, endast får behandla dessa enligt instruktion från den registeransvarige, eller där så krävs enligt unionslagstiftningen eller medlemsstaternas lagstiftning. Artikel 23 Dokumentation 1. Medlemsstaterna ska föreskriva att varje registeransvarig och registerförare ska bevara dokumentation om alla system och förfaranden för uppgiftsbehandling som ligger inom deras ansvarsområde. 2. Dokumentationen ska innehålla åtminstone följande uppgifter: a) Namn och kontaktuppgifter för den registeransvarige, eller eventuella gemensamma registeransvariga eller registerförare. b) Ändamålen med behandlingen. c) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna. d) Överföringar av uppgifter till ett tredjeland eller en internationell organisation, inbegripet identifiering av tredjelandet eller den internationella organisationen. 3. Den registeransvarige och registerföraren ska på begäran göra dokumentationen tillgänglig för tillsynsmyndigheten. Artikel 24 Registerföring 1. Medlemsstaterna ska se till att register förs över åtminstone följande typer av behandlingar: insamling, ändring, läsning, utlämning, sammanförande eller radering. Registren över läsning och utlämning ska särskilt visa ändamål, datum och tidpunkt för sådan behandling och i möjligaste mån identifikationen av den person som har läst eller lämnat ut personuppgifter. 2. Registren får endast användas för att kontrollera om behandlingen av uppgifterna är tillåten, för egenkontroll samt för att garantera dataintegritet och datasäkerhet. Artikel 25 Samarbete med tillsynsmyndigheten 1. Medlemsstaterna ska föreskriva att den registeransvarige och registerföraren på begäran ska samarbeta med tillsynsmyndigheten i dess tjänsteutövning, särskilt genom att tillhandahålla all den information som krävs för att tillsynsmyndigheten ska kunna utföra sina uppgifter. 2. Som reaktion på tillsynsmyndighetens utövande av sina befogenheter enligt artikel 46 a och b ska den registeransvarige och registerföraren svara tillsynsmyndigheten inom en rimlig period. Svaret ska inbegripa en beskrivning av de åtgärder som vidtagits och de resultat som uppnåtts som svar på tillsynsmyndighetens anmärkningar. Artikel 26 Förhandssamråd med tillsynsmyndigheten 1. Medlemsstaterna ska se till att den registeransvarige eller registerföraren samråder med tillsynsmyndigheten innan man behandlar personuppgifter som ska ingå i ett nytt register som ska inrättas, om a) särskilda kategorier av uppgifter enligt artikel 8 ska behandlas, b) behandlingens typ, särskilt användning av ny teknik, rutiner eller förfaranden, i övrigt innebär särskilda risker för de registrerades grundläggande fri- och rättigheter och särskilt skyddet av personuppgifter. 2. Medlemsstaterna får föreskriva att tillsynsmyndigheten ska upprätta en förteckning över de olika typer av uppgiftsbehandling som omfattas av förhandssamråd enligt punkt 1. AVSNITT 2 DATASÄKERHET Artikel 27 Säkerhet i samband med behandlingen av uppgifter 1. Medlemsstaterna ska föreskriva att den registeransvarige och registerföraren ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå med tanke på de risker som behandlingen medför och karaktären hos de uppgifter som ska skyddas, med hänsyn till dagens tillgängliga teknik och kostnaden för att vidta åtgärderna. 2. När det gäller automatisk uppgiftsbehandling ska varje medlemsstat föreskriva att den registeransvarige eller registerföraren, efter en bedömning av riskerna, ska vidta åtgärder i syfte att (a) vägra varje obehörig person åtkomst till datorutrustning som används för behandling av personuppgifter (åtkomstskydd för utrustning), (b) förhindra att datamedier läses, kopieras, ändras eller avlägsnas av obehöri