EUROPEISKA KOMMISSIONEN Bryssel den 10.1.2017 COM(2017) 8 final 2017/0002(COD) Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om skydd för enskilda personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ, kontor och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut 1247/2002/EG



MOTIVERING 1.BAKGRUND TILL FÖRSLAGET •Motiv och syfte med förslaget I artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget), som den infördes genom Lissabonfördraget, fastställs principen att var och en har rätt till skydd av personuppgifter som rör honom eller henne. Vidare infördes i artikel 16.2 i EUF-fördraget en särskild rättslig grund för antagande av regler om skydd av personuppgifter. Artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna tar upp skyddet av personuppgifter som en grundläggande rättighet. Rätten till skydd av personuppgifter gäller även för behandling av personuppgifter som utförs av EU:s institutioner, organ, kontor och byråer. Förordning (EG) nr 45/2001, den viktigaste befintliga EU-lagstiftningen om skydd av personuppgifter inom unionsinstitutionerna, antogs 2001 med två mål i åtanke: att skydda den grundläggande rätten till skydd av personuppgifter och att garantera det fria flödet av personuppgifter i hela unionen. Den kompletterades genom beslut nr 1247/2002/EG. Den 27 april 2016 antog Europaparlamentet och rådet den allmänna dataskyddsförordningen (förordning (EU) 2016/679), som kommer att börja tillämpas den 25 maj 2018. I denna förordning anges att förordning (EG) nr 45/2001 bör anpassas till de principer och regler som fastställs i förordning (EU) 2016/679, i syfte att tillhandahålla en stark och sammanhängande ram för skyddet av personuppgifter inom unionen och möjliggöra samtidig tillämpning av de båda instrumenten. Det ligger i linje med en enhetlig strategi för skyddet av personuppgifter i hela unionen att så långt som möjligt anpassa de regler om skydd av personuppgifter som gäller för unionens institutioner, organ, kontor och byråer till de regler om skydd för personuppgifter som har antagits för medlemsstaterna. När en bestämmelse i förslaget bygger på samma begrepp som en bestämmelse i förordning (EU) 2016/679 bör de båda bestämmelserna tolkas på ett enhetligt sätt, i synnerhet eftersom det system som ligger till grund för förslaget bör förstås som en motsvarighet till det system som inrättats genom förordning (EU) 2016/679. Vid översynen av förordning (EG) nr 45/2001 tas också hänsyn till resultaten av undersökningar och samråd med berörda parter samt utvärderingen av dess tillämpning under de senaste 15 åren. Det här är inte ett initiativ inom ramen för programmet om lagstiftningens ändamålsenlighet och resultat (Refit-programmet). •Förenlighet med befintliga bestämmelser inom området Syftet med förslaget är att anpassa bestämmelserna i förordning (EG) nr 45/2001 med de principer och regler som fastställs i förordning (EU) 2016/679 för att tillhandahålla en stark och sammanhängande ram för skyddet av personuppgifter inom unionen. Förslaget införlivar även relevanta bestämmelser i förordning (EG) nr XXXX/XX [förordningen om integritet och elektronisk kommunikation] med avseende på integritet och skyddet av slutanvändares terminalutrustning. •Förenlighet med unionens politik inom andra områden Ej tillämpligt 2.RÄTTSLIG GRUND, SUBSIDIARITETSPRINCIPEN OCH PROPORTIONALITETSPRINCIPEN •Rättslig grund Skyddet av fysiska personer vid behandling av personuppgifter är en grundläggande rättighet som fastställs i artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna. Detta förslag grundar sig på artikel 16 i EUF-fördraget, som är den rättsliga grunden för antagandet av regler om skydd av personuppgifter. Denna artikel gör det möjligt att anta bestämmelser om skydd för enskilda personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde. Den gör det också möjligt att anta regler om fri rörlighet för personuppgifter, inklusive personuppgifter som behandlas av dessa institutioner, organ, kontor och byråer. •Subsidiaritetsprincipen (för icke-exklusiv befogenhet) Föremålet för denna förordning faller inom ramen för unionens exklusiva befogenheter, eftersom endast unionen kan anta regler för behandling av personuppgifter som utförs av unionens institutioner.

•Proportionalitetsprincipen För att uppnå de grundläggande målen att säkerställa en lika hög nivå av skydd för fysiska personer med avseende på behandling av personuppgifter och det fria flödet av personuppgifter över hela unionen är det, i överensstämmelse med proportionalitetsprincipen, nödvändigt och lämpligt att fastställa regler om behandling av personuppgifter som utförs av unionens institutioner, organ och byråer. Denna förordning går inte utöver vad som är nödvändigt för att uppnå de eftersträvade målen i enlighet med artikel 5.4 i fördraget om Europeiska unionen. •Val av instrument En förordning är det lämpliga rättsliga instrumentet för att fastställa ramen för skyddet av enskilda personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och för det fria flödet av sådana uppgifter. Den ger fysiska personer lagstadgade rättigheter och anger de skyldigheter som åligger de personuppgiftsansvariga vid unionens institutioner, organ, kontor och byråer. Den föreskriver också att en oberoende tillsynsmyndighet, Europeiska datatillsynsmannen, ska ansvara för övervakningen av den behandling av personuppgifter som utförs av unionens institutioner, organ, kontor och byråer. 3.RESULTAT AV EFTERHANDSUTVÄRDERINGAR, SAMRÅD MED BERÖRDA PARTER OCH KONSEKVENSBEDÖMNINGAR Kommissionen har genomfört samråd med berörda parter under 2010 och 2011 och en konsekvensanalys i samband med utarbetandet av reformpaketet för uppgiftsskydd som informerar om de ändringar som föreslås till förordning (EG) nr 45/2001. I detta sammanhang har kommissionen även genomfört en undersökning av kommissionens uppgiftsskyddssamordnare. När det gäller den praktiska tillämpningen av förordning (EG) nr 45/2001 av unionens institutioner, organ och byråer, har uppgifter hämtats från Europeiska datatillsynsmannen, andra av unionens institutioner, organ, kontor och byråer, andra generaldirektorat inom kommissionen och en extern konsult. Ett frågeformulär sändes till nätverket av dataskyddsombud. Dataskyddsombuden från ett antal av unionens institutioner, organ, kontor och byråer höll seminarier om reformen av förordning 45/2001 den 9 juli 2015, den 22 oktober 2015, den 19 januari 2016 och den 15 mars 2016. Kommissionen beslutade 2013 att göra en utvärderingsstudie av tillämpningen av förordning (EG) nr 45/2001. Denna utvärdering lades ut på en extern konsult. De slutliga resultaten av utvärderingsstudien (slutlig rapport, fem fallstudier och analys av de enskilda artiklarna) överlämnades till kommissionen den 8 juni 2015. Utvärderingen visade att det styrningssystem som strukturerats kring dataskyddsombuden och Europeiska datatillsynsmannen är effektiva. Det konstaterades att fördelningen av befogenheter mellan dataskyddsombud och Europeiska datatillsynsmannen är tydlig och väl avvägd och att båda har lämpliga befogenheter. Problem kan dock uppstå på grund av att dataskyddsombuden, på grund av otillräckligt stöd från deras ledning, inte kan utöva sina befogenheter på ett ändamålsenligt sätt. I utvärderingsstudien angavs att förordning (EG) nr 45/2001 skulle kunna genomföras på ett bättre sätt med hjälp av sanktioner från Europeiska datatillsynsmannen. En ökad användning av dess befogenheter som tillsynsmyndighet skulle kunna leda till ett bättre genomförande av reglerna om skydd av personuppgifter. En annan slutsats var att de personuppgiftsansvariga bör anta en strategi för riskhantering och utföra riskbedömningar inför uppgiftsbehandling för att bättre leva upp till lagrings- och säkerhetskrav. Undersökningen visade också att de befintliga bestämmelserna om telekommunikationssektorn i kapitel IV i förordning (EG) nr 45/2001 är inaktuella och att det finns ett behov av att anpassa detta kapitel till direktivet om integritet och elektronisk kommunikation. Enligt utvärderingen finns det även ett behov av att förtydliga vissa viktiga definitioner i förordning (EG) nr 45/2001. Det rör sig bland annat om identifieringen av personuppgiftsansvariga i unionens institutioner, organ, kontor och byråer, om definitionen av mottagare och om en utvidgning av tystnadsplikten till externa personuppgiftsbiträden. Utvärderingen pekade också på behovet av att förenkla systemet för anmälningar och förhandskontroller i syfte att öka effektiviteten och minska den administrativa bördan. Utvärderaren genomförde en enkät vid 64 av unionens institutioner, byråer, organ och kontor. 422 tjänstemän med ansvar för personuppgiftsbiträden, 73 dataskyddsombud, 118 dataskyddssamordnare och 109 it-medarbetare besvarade frågorna i enkäten. Utvärderaren genomförde även en rad intervjuer med berörda parter. Den 26 mars 2015 anordnade utvärderaren och kommissionen en slutlig workshop, med deltagande av ett antal uppgiftsskyddsansvariga, dataskyddsombud, dataskyddssamordnare, it-medarbetare och företrädare för Europeiska datatillsynsmannen. •Insamling och användning av sakkunnigutlåtanden Se hänvisningen till utvärderingen under föregående punkt. •Konsekvensbedömning Konsekvenserna av föreliggande förslag kommer huvudsakligen att beröra unionens institutioner, organ, kontor och byråer. Detta har bekräftats av uppgifter som inhämtats från Europeiska datatillsynsmannen, andra av unionens institutioner, organ, kontor och byråer, kommissionens generaldirektorat och den externa uppdragstagaren. Dessutom har effekten av de nya skyldigheter som följer av förordning (EU) 2016/679, till vilken den här förordningen ska anpassas, bedömts i samband med det förberedande arbetet för de sistnämnda. Detta innebär att det inte behövs någon särskild konsekvensbedömning för denna förordning. •Lagstiftningens ändamålsenlighet och förenkling Ej tillämpligt

•Grundläggande rättigheter Rätten till skydd av personuppgifter fastställs i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan), i artikel 16 i EUF-fördraget och i artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Såsom har framhållits av Europeiska unionens domstol är rätten till skydd av personuppgifter inte en absolut rättighet, utan ska beaktas i förhållande till dess funktion i samhället. Uppgiftsskyddet är nära knutet till respekten för privatlivet och familjelivet som skyddas genom artikel 7 i stadgan. Detta förslag föreskriver regler om skydd av enskilda personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och för det fria flödet av sådana uppgifter. Andra grundläggande rättigheter som fastläggs i stadgan och som skulle kunna påverkas är yttrandefriheten (artikel 11), rätten till egendom och särskilt rätten till skydd av immateriell egendom (artikel 17.2), förbudet mot all diskriminering på grund av bland annat ras, etniskt ursprung, genetiska särdrag, religion eller övertygelse, politisk eller annan åskådning, funktionshinder eller sexuell läggning (artikel 21), barnets rättigheter (artikel 24), rätten till en hög nivå av skydd för människors hälsa (artikel 35), rätt till tillgång till handlingar (artikel 42), och rätt till ett effektivt rättsmedel och till en opartisk domstol (artikel 47) 4.BUDGETKONSEKVENSER Se den bilagda finansieringsöversikten. 5.ÖVRIGA INSLAG •Genomförandeplaner samt åtgärder för övervakning, utvärdering och rapportering Ej tillämpligt •Förklarande dokument (för direktiv) Ej tillämpligt KAPITEL I - ALLMÄNNA BESTÄMMELSER I artikel 1 definieras förordningens syfte. Liksom i artikel 1 i förordning (EG) nr 45/2001 fastställs också de två målen för förordningen, nämligen att skydda den grundläggande rätten till skydd av personuppgifter och att garantera det fria flödet av personuppgifter i hela unionen. I denna artikel anges också de viktigaste uppgifterna för Europeiska datatillsynsmannen. I artikel 2 fastställs förordningens tillämpningsområde: den ska vara tillämplig på alla unionsinstitutioners och unionsorgans behandling av personuppgifter, automatiserad eller ej, om denna behandling genomförs för att utföra uppgifter som helt eller delvis omfattas av unionsrätten. Det materiella tillämpningsområdet för denna förordning är tekniskt neutralt. Skyddet för personuppgifter gäller för både automatiserad och manuell behandling, om personuppgifterna ingår i eller är avsedda att ingå i ett register. Artikel 3 innehåller definitioner av begrepp som används i förordningen. Förutom de definitioner av ”unionens institutioner och organ”, ”personuppgiftsansvarig”, ”användare” och ”register” som är specifika för denna förordning, definieras de termer som används i denna förordning i förordning (EU) 2016/679, förordning (EU) 0000/00 [ny förordning om integritet och elektronisk kommunikation], direktiv 00/0000/EU [direktiv om upprättandet av en europeisk kodex för elektronisk kommunikation] och kommissionens direktiv 2008/63/EG. KAPITEL II – PRINCIPER I artikel 4 fastställs principerna rörande behandling av personuppgifter, vilka motsvarar dem som anges i artikel 5 i förordning (EU) 2016/679. Jämfört med förordning (EG) nr 45/2001 tillförs nya principer om öppenhet och integritet och konfidentialitet. Artikel 5 bygger på artikel 6 i förordning (EU) 2016/679 och anger kriterierna för laglig behandling, med som enda undantag kriteriet avseende den personuppgiftsansvariges berättigade intresse som inte är tillämplig på den offentliga sektorn och således inte bör tillämpas på unionsinstitutioner och unionsorgan. I artikel 5 bibehålls de kriterier som redan har fastställts enligt artikel 5 i förordning (EG) nr 45/2001. Genom artikel 6 klargörs villkoren för behandling för ett annat jämförbart ändamål i överensstämmelse med artikel 6.4 i förordning (EU) 2016/679. Jämfört med artikel 6 i förordning (EG) nr 45/2001 ger denna nya bestämmelse större flexibilitet och rättssäkerhet när det gäller ytterligare behandling för förenliga ändamål. I artikel 7 klargörs, i enlighet med artikel 7 i förordning (EU) 2016/679, villkoren för att samtycket ska vara giltigt som rättslig grund för laglig behandling.

I artikel 8 anges, i enlighet med artikel 8 i förordning (EU) 2016/679, ytterligare villkor för när det är lagligt att behandla barns personuppgifter i förhållande till sådana informationssamhällets tjänster som erbjuds direkt till dem. Där fastställs minimiåldern för giltigt samtycke till 13 år. Artikel 9 innehåller, i överensstämmelse med artikel 8 i förordning (EG) nr 45/2001, regler som föreskriver en viss nivå av skydd för överföring av personuppgifter till mottagare, utöver unionsinstitutioner och unionsorgan, som är etablerade i unionen och som omfattas av förordning (EU) 2016/679 eller direktiv (EU) 2016/680. Det klargörs att om det är den personuppgiftsansvarige som initierar överföringen, bör denne kunna visa på att överföringen är nödvändig och proportionerlig. I artikel 10 anges ett generellt förbud mot behandling av specifika kategorier av uppgifter samt undantagen från denna allmänna regel. Artikeln baserar sig på artikel 9 i förordning (EU) 2016/679 och är en vidareutveckling av artikel 10 i förordning (EG) nr 45/2001. I artikel 11 anges, i enlighet med artikel 10 i förordning (EU) 2016/679 och i enlighet med artikel 10.5 i förordning (EG) nr 45/2001, villkoren för behandling av personuppgifter med anknytning till fällande domar i brottmål och lagöverträdelser. I artikel 12 klargörs att den personuppgiftsansvariges informationsplikt gentemot den registrerade, i överensstämmelse med artikel 11 i förordning (EU) 2016/679. Det anges att om de personuppgifter som behandlas av en personuppgiftsansvarig inte gör det möjligt för denne att identifiera en fysisk person, bör den personuppgiftsansvarige inte vara tvungen att skaffa ytterligare information för att kunna identifiera den registrerade, om ändamålet endast är att följa någon av bestämmelserna i denna förordning. Den personuppgiftsansvarige bör dock inte vägra att ta emot kompletterande uppgifter som den registrerade lämnat till stöd för utövandet av sina rättigheter. I artikel 13 fastställs, på grundval av artikel 89.1 i förordning (EU) 2016/679, reglerna om skyddsåtgärder för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. KAPITEL III – DEN REGISTRERADES RÄTTIGHETER Avsnitt 1 – Insyn och villkor Genom artikel 14 införs, på grundval av artikel 12 i förordning (EU) 2016/679, en skyldighet för personuppgiftsansvariga att tillhandahålla öppen, lättåtkomlig och begriplig information samt förfaranden och en mekanism för utövande av den registrerades rättigheter, inbegripet i förekommande fall hjälpmedel för elektronisk ingivna framställningar, med krav på svar på den registrerades begäran inom en fastställd tidsfrist och motivering av avslag. Eftersom unionsinstitutioner och unionsorgan inte under några förhållanden förväntas ta ut några avgifter med anknytning till de administrativa kostnaderna för att tillhandahålla informationen, har denna möjlighet inte övertagits från förordning (EU) 2016/679. Avsnitt 2 – Information och tillgång till uppgifter I artikel 15 fastställs, på grundval av artikel 13 i förordning (EU) 2016/679 och som en vidareutveckling av artikel 11 i förordning (EG) nr 45/2001, den personuppgiftsansvariges skyldighet att informera den registrerade när personuppgifter samlas in från denne. Det handlar om att lämna information till den registrerade om lagringsperioden, rätten att inge ett klagomål samt i samband med internationella överföringar. I artikel 16 specificeras vidare, på grundval av artikel 14 i förordning (EU) 2016/679 och som en vidareutveckling av artikel 12 i förordning (EG) nr 45/2001, den personuppgiftsansvariges informationsplikt gentemot den registrerade om personuppgifterna inte har erhållits från den registrerade som lämnar information till den källa från vilken uppgifterna härrör. Man bibehåller även de möjliga undantagen i förordning (EU) 2016/679, vilket exempelvis innebär att det inte föreligger någon sådan skyldighet om den registrerade redan förfogar över informationen, tillhandahållandet av sådan information visar sig vara omöjligt eller skulle inbegripa en oproportionell ansträngning för den personuppgiftsansvarige, om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätten eller om registreringen eller utlämnandet uttryckligen föreskrivs i lag. Detta kan till exempel gälla i förfaranden vid myndigheter som är behöriga med avseende på frågor om social trygghet eller hälso- och sjukvård. I artikel 17 finns, i överensstämmelse med artikel 15 i förordning (EU) 2016/679 och som en vidareutveckling av artikel 13 i förordning (EG) nr 45/2001, bestämmelser om den registrerades rätt att få tillgång till sina personuppgifter. Vissa nya inslag har tillförts, såsom en skyldighet att informera de registrerade om lagringsperioden och om rätten till begära rättelse och radering och att inge klagomål. Avsnitt 3 – Rättelse och radering I artikel 18 anges den registrerades rätt till rättelse. Bestämmelsen baserar sig på artikel 16 i förordning (EU) 2016/679 och är en vidareutveckling av artikel 14 i förordning (EG) nr 45/2001. I artikel 19 anges, i överensstämmelse med artikel 17 i förordning (EU) 2016/679 och som en vidareutveckling av artikel 16 i förordning (EG) nr 45/2001, den registrerades rätt att bli glömd och få sina uppgifter raderade. Där fastställs villkoren för rätten att bli glömd, inklusive skyldigheten för den personuppgiftsansvarige som har lämnat ut personuppgifterna att underrätta tredje parter om den registrerades begäran att få eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter raderade. Genom artikel 20 införs rätten att begränsa behandlingen i vissa fall, för att undvika det tvetydiga begreppet ”blockering” som används i förordning (EG) nr 45/2001 och för att säkra överensstämmelse med den nya terminologin enligt artikel 18 i förordning (EU) 2016/679. Artikel 21 innehåller, i överensstämmelse med artikel 19 i förordning (EU) 2016/679 och som en vidareutveckling av artikel 17 i förordning (EG) nr 45/2001, bestämmelser om den personuppgiftsansvariges skyldighet att underrätta mottagare till vilka personuppgifter har lämnats ut om en eventuell rättelse eller radering av personuppgifter eller om en eventuell begränsning, om det inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning. Den personuppgiftsansvarige ska också underrätta den registrerade om dessa mottagare om han eller hon begär det. Genom artikel 22 införs, i enlighet med artikel 20 i förordning (EU) 2016/679, den registrerades rätt till dataportabilitet, dvs. rätt att erhålla de personuppgifter som rör den registrerade och som den registrerade har tillhandahållit den personuppgiftsansvarige, eller att få sådana personuppgifter överförda direkt till en annan personuppgiftsansvarig, när detta är tekniskt möjligt. Som en förutsättning och för att ytterligare förbättra enskildas tillgång till sina personuppgifter, föreskrivs rätten att från den personuppgiftsansvarige erhålla uppgifterna i ett strukturerat, allmänt använt och maskinläsbart dataformat. Denna rättighet gäller endast om behandlingen grundar sig på den registrerades samtycke eller ett avtal som ingåtts av honom eller henne. Avsnitt 4 – Rätt att göra invändningar och automatiserat individuellt beslutsfattande

I artikel 23 föreskrivs den registrerades rätt att göra invändningar. Bestämmelsen baserar sig på artikel 21 i förordning (EU) 2016/679 och är en vidareutveckling av artikel 18 i förordning (EG) nr 45/2001. Artikel 24 rör den registrerades rätt att inte bli föremål för en åtgärd som enbart grundas på automatiserad behandling, inbegripet profilering. Bestämmelsen överensstämmer med artikel 22 i förordning (EU) 2016/679 och är en vidareutveckling av artikel 19 i förordning (EG) nr 45/2001. Avsnitt 5 – Begränsningar I artikel 25 ges utrymme för begränsningar av den registrerades rättigheter som fastställs i artiklarna 14–22 och i artiklarna 34 och 38 och av de principer som fastställs i artikel 4 (i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22). Sådana begränsningar bör fastställas i rättsakter som antagits på grundval av fördragen eller unionsinstitutioners och unionsorgans interna regler. Om det inte föreskrivs någon möjlighet till en sådan begränsning i rättsakter som antagits på grundval av fördragen eller i unionsinstitutioners och unionsorgans interna regler, skulle de sistnämnda kunna införa en tillfällig begränsning om den sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna, med avseende på en specifik behandling, och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett eller flera av de ändamål som möjliggör begränsningar av den registrerades rättigheter. Denna lösning ligger i linje med artikel 23 i förordning (EU) 2016/679. Till skillnad från artikel 23 i förordning (EU) 2016/679 och i överensstämmelse med artikel 20 i förordning (EG) nr 45/2001 föreskriver denna bestämmelse dock ingen möjlighet att begränsa rätten att göra invändningar och rätten att inte bli föremål för beslut som enbart grundas på automatisk behandling. Kriterierna i fråga om begränsningar ligger i linje med Europeiska unionens stadga om de grundläggande rättigheterna och den europeiska konventionen om de mänskliga rättigheterna, såsom dessa tolkas av Europeiska unionens domstol respektive Europeiska domstolen för de mänskliga rättigheterna. KAPITEL IV – PERSONUPPGIFTSANSVARIG OCH PERSONUPPGIFTSBITRÄDE Avsnitt 1 – Allmänna skyldigheter Artikel 26 bygger på artikel 24 i förordning (EU) 2016/679 och inför ”principen om ansvarsskyldighet” genom att beskriva den personuppgiftsansvariges ansvar att följa förordningen och visa att så sker, bland annat genom att vidta lämpliga tekniska och organisatoriska åtgärder och, i förekommande fall, interna strategier och mekanismer för att säkerställa sådan efterlevnad. Artikel 24.3 i förordning (EU) 2016/679 behölls inte i denna bestämmelse, eftersom unionsinstitutionerna och unionsorganen inte bör ansluta sig till uppförandekoder eller certifieringsmekanismer. I artikel 27 anges, i enlighet med artikel 25 i förordning (EU) 2016/679, den personuppgiftsansvariges skyldigheter utifrån principerna om inbyggt uppgiftsskydd och uppgiftsskydd som standard. Artikel 28 om gemensamt personuppgiftsansvariga bygger på artikel 26 i förordning (EU) 2016/679 för att klargöra de gemensamt personuppgiftsansvarigas ansvar – oavsett om de är unionsinstitutioner eller unionsorgan eller inte – vad gäller förhållandet dem emellan och gentemot den registrerade. Denna bestämmelse tar upp situationen där alla gemensamt personuppgiftsansvariga omfattas av samma regelverk (denna förordning) och situationen där vissa omfattas av denna förordning och andra av en annan rättsakt (förordning (EU) 2016/679, direktiv (EU) 2016/680, direktiv (EU) 2016/681 och andra särskilda ordningar för uppgiftsskydd som rör unionsinstitutioner och unionsorgan). Artikel 29 bygger på artikel 28 i förordning (EU) 2016/679 och är en vidareutveckling av artikel 23 i förordning (EG) nr 45/2001. Syftet är att förtydliga personuppgiftsbiträdenas ställning och skyldigheter, bland annat genom att ange att ett personuppgiftsbiträde som bryter mot förordningen genom att fastställa ändamålen med och medlen för en behandling ska anses vara en personuppgiftsansvarig med avseende på den behandlingen. Artikel 30 om behandling under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende grundar sig på artikel 29 i förordning (EU) 2016/679, som föreskriver att personuppgiftsbiträdet eller en person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som har tillgång till personuppgifter, endast får behandla dessa uppgifter på instruktion från den personuppgiftsansvarige, såvida inte han eller hon är ålagd att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Artikel 31 bygger på artikel 30 i förordning (EU) 2016/679 och inför en skyldighet för personuppgiftsansvariga och personuppgiftsbiträden att bevara dokumentation om all behandling som de ansvarar för, i stället för krav på förhandsanmälan till Europeiska datatillsynsmannen i enlighet med artikel 25 i förordning (EG) nr 45/2001 och till dataskyddsombudets register. I motsats till vad som gäller enligt förordning (EU) 2016/679 görs i denna bestämmelse inte någon hänvisning till företrädare, eftersom unionsinstitutioner inte kommer att ha företrädare, utan alltid kommer att ha dataskyddsombud. Hänvisningar till överföringar grundade på undantag för särskilda situationer i den mening som avses i förordning (EU) 2016/679 har inte bibehållits, eftersom dessa typer av överföringar inte tas upp i den här förordningen. Skyldigheten att föra ett register över behandling som utförts kan centraliseras till en unionsinstitution eller ett unionsorgan. I sådana fall har unionsinstitutioner och unionsorgan möjlighet att bevara sina register över behandling i form av ett offentligt register. I artikel 32 klargörs, på grundval av artikel 31 i förordning (EU) 2016/679, unionsinstitutioners och unionsorgans skyldighet att samarbeta med Europeiska datatillsynsmannen. Avsnitt 2 – Säkerhet för personuppgifter och konfidentialitet för elektronisk kommunikation Genom artikel 33 åläggs den personuppgiftsansvarige, i överensstämmelse med artikel 32 i förordning (EU) 2016/679 och som en vidareutveckling av artikel 22 i förordning (EG) nr 45/2001, att vidta lämpliga åtgärder för att säkerställa säkerheten vid behandling. Denna skyldighet utsträcks även till att omfatta personuppgiftsbiträden, oavsett avtal med den personuppgiftsansvarige. Artikel 34 bygger på artikel 36 i förordning (EG) nr 45/2001 och säkerställer konfidentialitet vid elektronisk kommunikation inom unionens institutioner och organ. Artikel 35 bygger på befintlig praxis vid unionsinstitutioner och unionsorgan och syftar till att skydda information rörande terminalutrustning för slutanvändare som går in på allmänt tillgängliga webbplatser och mobila applikationer som tillhandahålls av unionens institutioner och organ, i överensstämmelse med förordning (EU) nr XX/XXXX [ny förordning om integritet och elektronisk kommunikation], särskilt artikel 8 i denna. Artikel 36 bygger på artikel 38 i förordning (EG) nr 45/2001 och syftar till att skydda personuppgifter i offentliga och interna register vid unionens institutioner och organ. I artiklarna 37 och 38 införs en skyldighet att anmäla personuppgiftsincidenter, i överensstämmelse med artiklarna 33 och 34 i förordning (EU) 2016/679. Avsnitt 3 – Konsekvensbedömning avseende dataskydd samt föregående samråd

Artikel 39 bygger på artikel 35 i förordning (EU) 2016/679 och inför en skyldighet för personuppgiftsansvariga och personuppgiftsbiträden att göra en konsekvensbedömning avseende dataskydd inför behandlingar som sannolikt kommer att utsätta fysiska personers rättigheter och friheter för hög risk. Denna skyldighet kommer särskilt att vara tillämplig vid systematisk och omfattande bedömning av personliga aspekter rörande fysiska personer på grundval automatisk behandling, inbegripet profilering, omfattande behandling av särskilda kategorier av uppgifter eller systematisk och storskalig övervakning av allmän plats. Artikel 40 bygger på artikel 36 i förordning (EU) 2016/679 och rör de fall där tillstånd av, och samråd med, Europeiska datatillsynsmannen är obligatoriskt inför behandlingen. Första stycket i artikel 40 återger emellertid skäl 94 i förordning (EU) 2016/679 och syftar till att förtydliga omfattningen av skyldigheten att samråda. Avsnitt 4 – Information och samråd i lagstiftningsprocessen I artikel 41 föreskrivs en skyldighet för unionens institutioner och organ att informera Europeiska datatillsynsmannen vid utarbetandet av administrativa åtgärder och interna regler för behandling av personuppgifter. I artikel 42 föreskrivs en skyldighet för kommissionen att samråda med Europeiska datatillsynsmannen efter antagandet av förslag till en rättsakt och av rekommendationer eller förslag till rådet i enlighet med artikel 218 i EUF-fördraget och när den utarbetar delegerade akter eller genomförandeakter som inverkar på skyddet av enskilda personers rättigheter och friheter med avseende på behandlingen av personuppgifter. Om dessa akter är av särskild vikt för skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter, kan kommissionen också samråda med Europeiska dataskyddsstyrelsen. I sådana fall bör båda organen samordna sitt arbete i syfte att utfärda ett gemensamt yttrande. Det fastställs en tidsfrist på åtta veckor för utfärdande av råden i ovannämnda fall, med möjliga undantag för brådskande fall och i övrigt när så är lämpligt, t.ex. när kommissionen utarbetar delegerade akter och genomförandeakter. Avsnitt 5 – Skyldighet att reagera på anmärkningar I artikel 43 fastställs en skyldighet för personuppgiftsansvariga och personuppgiftsbiträden att reagera på anmärkningar efter det att Europeiska datatillsynsmannen beslutat att hänskjuta ett ärende till dem. Avsnitt 6 – Dataskyddsombud Artikel 44 bygger på artikel 37.1 a i förordning (EU) 2016/679 och artikel 24 i förordning (EG) nr 45/2001 och gör det obligatoriskt för unionens institutioner och organ att ha ett dataskyddsombud. Artikel 45 bygger på artikel 38 i förordning (EU) 2016/679 och artikel 24 i förordning (EG) nr 45/2001 och anger dataskyddsombudets ställning. Artikel 46 bygger på artikel 39 i förordning (EU) 2016/679 samt artikel 24 i, och andra och tredje punkterna i bilagan till, förordning (EG) nr 45/2001. Syftet är att ange dataskyddsombudets viktigaste uppgifter. KAPITEL V – ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJELAND ELLER INTERNATIONELLA ORGANISATIONER Artikel 47 bygger på artikel 9 i förordning (EG) nr 45/2001 och tar upp den allmänna principen, i enlighet med artikel 44 i förordning (EU) 2016/679, att överensstämmelse med andra bestämmelser i denna förordning och de villkor som fastställs i kapitel V är ett obligatoriskt krav vid varje överföring av personuppgifter till tredjeländer eller internationella organisationer, inbegripet vid vidareöverföring av personuppgifter från tredjelandet i fråga eller en internationell organisation till ett annat tredjeland eller till en annan internationell organisation. I artikel 48 fastställs att en överföring av personuppgifter till ett tredjeland eller en internationell organisation får äga rum om kommissionen i enlighet med artikel 45.3 i förordning (EU) 2016/679 har beslutat att en adekvat nivå av skydd säkerställs i det berörda tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet, eller inom den internationella organisationen, och personuppgifter överförs uteslutande för att möjliggöra utförandet av de uppgifter som omfattas av den personuppgiftsansvariges befogenheter. Punkterna 2 och 3 i denna artikel har hämtats från artikel 9 i förordning (EG) nr 45/2001, eftersom de är värdefulla inslag vad gäller övervakningen av skyddsnivån i tredje länder och i internationella organisationer. Artikel 49 bygger på artikel 46 i förordning (EU) 2016/679 och föreskriver krav på vidtagande av lämpliga skyddsåtgärder vid överföringar till tredjeländer, om inget beslut vad gäller adekvat skydd har antagits av kommissionen. Det handlar i första hand om standardiserade uppgiftsskyddsbestämmelser och avtalsklausuler. Bindande företagsregler, uppförandekoder och certifieringsmekanismer skulle kunna användas, i enlighet med förordning (EU) 2016/679, av andra personuppgiftsbiträden än unionens institutioner och organ. Punkt 4 i denna artikel, som tar upp unionsinstitutioners och unionsorgans skyldighet att informera Europeiska datatillsynsmannen om kategorier av fall där de har tillämpat denna artikel, motsvarar artikel 9.8 i förordning (EG) nr 45/2001 och bibehålls på grund av dess specifika karaktär. Punkt 5 bygger på skyddsklausulen för befintliga tillstånd i artikel 46.5 i förordning (EU) 2016/679. I artikel 50 klargörs, i överensstämmelse med artikel 48 i förordning (EU) 2016/679, att ett domstolsbeslut eller beslut från myndigheter i tredjeland som kräver överföring eller utlämnande av personuppgifter får erkännas eller genomföras på något som helst sätt endast om det grundar sig på en internationell överenskommelse, såsom ett avtal om ömsesidig rättslig hjälp, som gäller mellan det begärande tredjelandet och unionen, utan att detta påverkar andra grunder för överföring enligt detta kapitel. Artikel 51 bygger på artikel 49 i förordning (EU) 2016/679 och redogör för och förtydligar undantagen när det gäller överföring av uppgifter. Det handlar särskilt om uppgiftsöverföringar som krävs och är nödvändiga med hänsyn till skyddet av viktiga allmänintressen, exempelvis vid internationella uppgiftsöverföringar som involverar konkurrensmyndigheter eller skatte- eller tullmyndigheter, eller som görs mellan socialförsäkringsmyndigheter eller myndigheter med ansvar för fiskeriförvaltning. Punkt 5 om skyldigheten att informera Europeiska datatillsynsmannen om kategorier av fall där undantag har åberopats vid en överföring motsvarar den nuvarande artikel 9.8 i förordning (EG) nr 45/2001. Artikel 52 bygger på artikel 50 i förordning (EU) 2016/679 och föreskriver uttryckligen internationella samarbetsmekanismer för skydd av personuppgifter mellan Europeiska datatillsynsmannen, i samarbete med kommissionen och Europeiska dataskyddsstyrelsen, och tillsynsmyndigheterna i tredjeländer. KAPITEL VI – EUROPEISKA DATATILLSYNSMANNEN Artikel 53 bygger på artikel 41 i förordning (EG) nr 45/2001 och rör inrättandet av Europeiska datatillsynsmannen.

Artikel 54 bygger på artikel 42 i förordning (EG) nr 45/2001 och artikel 3 i beslut 1247/2002/EG och fastställer reglerna för Europaparlamentets och rådets utnämning av Europeiska datatillsynsmannen. I denna artikel anges också Europeiska datatillsynsmannens mandattid: fem år. Artikel 55 bygger på artikel 43 i förordning (EG) nr 45/2001 och artikel 1 i beslut 1247/2002/EG och innehåller regler och allmänna villkor för Europeiska datatillsynsmannens fullgörande av sina uppgifter samt om personal och finansiella resurser. Artikel 56 bygger på artikel 52 i förordning (EU) 2016/679 och artikel 44 i förordning (EG) nr 45/2001 och förtydligar villkoren för Europeiska datatillsynsmannens oberoende, med hänsyn till rättspraxis från Europeiska unionens domstol. I artikel 57 fastställs, på grundval av artikel 45 i förordning (EG) nr 45/2001, Europeiska datatillsynsmannens tystnadsplikt under och efter sin ämbetstid vad avser konfidentiell information som har kommit till hans eller hennes kännedom under tjänsteutövningen. Artikel 58 bygger på artikel 57 i förordning (EU) 2016/679 och artikel 46 i förordning (EG) nr 45/2001 och anger Europeiska datatillsynsmannens uppgifter, bland annat att höra och utreda klagomål och främja medvetenheten om risker, regler, skyddsåtgärder och rättigheter. Artikel 59 bygger på artikel 58 i förordning (EU) 2016/679 och artikel 47 i förordning (EG) nr 45/2001 och anger Europeiska datatillsynsmannens befogenheter. Artikel 60 bygger på artikel 59 i förordning (EU) 2016/679 och artikel 48 i förordning (EG) nr 45/2001 och anger Europeiska datatillsynsmannens skyldighet att upprätta en årlig verksamhetsrapport. KAPITEL VII – SAMARBETE OCH ENHETLIGHET Artikel 61 bygger på artikel 61 i förordning (EU) 2016/679 och artikel 46 f i förordning (EG) nr 45/2001 och inför uttryckliga bestämmelser om samarbete mellan Europeiska datatillsynsmannen och nationella tillsynsmyndigheter. I artikel 62 anges Europeiska datatillsynsmannens skyldigheter när andra unionsakter hänvisar till denna artikel inom ramen för samordnad tillsyn tillsammans med nationella tillsynsmyndigheter. Syftet är att införa en gemensam modell för samordnad tillsyn. Denna modell skulle kunna användas för samordnad tillsyn över stora it-system såsom Eurodac, Schengens informationssystem II, informationssystemet för viseringar, tullinformationssystemet eller informationssystemet för den inre marknaden, men också för tillsyn över vissa unionsbyråer, i sådana fall där en särskild modell för samarbete mellan Europeiska datatillsynsmannen och nationella myndigheter har införts, t.ex. Europol. Europeiska dataskyddsstyrelsen bör fungera som ett gemensamt forum för att säkerställa en effektiv samordnad tillsyn på ett övergripande plan. KAPITEL VIII – RÄTTSMEDEL, ANSVAR OCH SANKTIONER Artikel 63 bygger på artikel 77 i förordning (EU) 2016/679 och artikel 32 i förordning (EG) nr 45/2001 och föreskriver en rätt för alla registrerade att ge in klagomål till Europeiska datatillsynsmannen. Det fastställs också en skyldighet för Europeiska datatillsynsmannen att handlägga klagomålet och informera den registrerade om hur ärendet fortskrider och resultatet av klagomålet inom en tidsfrist på tre månader, varefter klagomålet ska anses ha avslagits. I artikel 64 motsvarar artikel 32.1 i förordning (EG) nr 45/2001, som fastställer behörigheten för Europeiska unionens domstol att pröva tvister med anknytning till bestämmelserna i denna förordning, inklusive skadeståndsanspråk. I artikel 65 fastställs rätten till ersättning, både för ekonomisk och för immateriell skada, med förbehåll för de villkor, bland annat rörande skadeståndsansvar, som föreskrivs i fördragen. Artikel 66 bygger på artikel 83 i förordning (EU) 2016/679 och ger Europeiska datatillsynsmannen befogenhet att utfärda administrativa sanktionsavgifter till unionsinstitutioner och unionsorgan, som en sanktion att tillgripa i sista hand och endast om unionsinstitutionen eller unionsorganet har underlåtit att följa ett sådant beslut av Europeiska datatillsynsmannen som avses i artikel 59.2 a–h och j. I artikeln fastställs också kriterier för att besluta om beloppet för de administrativa sanktionsavgifterna i varje enskilt fall, medan de maximala årliga taken har inspirerats av storleken på de avgifter som tillämpas i vissa medlemsstater. Artikel 67 ger möjlighet, i överensstämmelse med artikel 80.1 i förordning (EU) 2016/679, för vissa organ, organisationer eller sammanslutningar att ge in klagomål på en registrerad persons vägnar. I artikel 68 föreskrivs, i överensstämmelse med artikel 33 i förordning (EG) nr 45/2001, särskilda regler som syftar till att skydda unionsanställda som framför klagomål till Europeiska datatillsynsmannen om en påstådd överträdelse av bestämmelserna i denna förordning utan att gå den officiella vägen. Artikel 69 bygger på artikel 49 i förordning (EG) nr 45/2001 och anger vilka sanktioner som är tillämpliga om tjänstemän eller andra anställda i Europeiska unionen underlåter att uppfylla skyldigheterna enligt denna förordning. KAPITEL IX – GENOMFÖRANDEAKTER Artikel 70 innehåller en bestämmelse om det kommittéförfarande som behövs för att tilldela kommissionen genomförandebefogenheter i sådana fall där det, i enlighet med artikel 291 i EUF-fördraget, är nödvändigt med enhetliga villkor för genomförandet av unionens rättsligt bindande akter. Granskningsförfarandet är tillämpligt.

KAPITEL X – SLUTBESTÄMMELSER Artikel 71 upphäver förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG och föreskriver att hänvisningar till de båda upphävda rättsakterna ska tolkas som hänvisningar till den här förordningen. I artikel 72 klargörs att det nuvarande mandatet för Europeiska datatillsynsmannen och den biträdande datatillsynsmannen inte ska påverkas av denna förordning och att artiklarna 54.4, 54.5 och 54.7 samt artiklarna 56 och 57 i förordningen tillämpas på den nuvarande biträdande datatillsynsmannen fram till slutet av mandatperioden, dvs. till och med den 5 december 2019. I artikel 73 fastställs ikraftträdandedagen för denna förordning till den 25 maj 2018, för att säkerställa överensstämmelse med den dag då förordning (EU) 2016/679 börjar tillämpas. 2017/0002 (COD) Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om skydd för enskilda personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ, kontor och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut 1247/2002/EG EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16.2, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande, i enlighet med det ordinarie lagstiftningsförfarandet, och av följande skäl: (1)Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 i fördraget om Europeiska unionens funktionssätt (nedan kallat EUF-fördraget) föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. (2)Europaparlamentets och rådets förordning (EG) nr 45/2001 föreskriver verkställbara rättigheter för fysiska personer, anger de skyldigheter i fråga om behandling av personuppgifter som åligger personuppgiftsansvariga inom gemenskapsinstitutionerna och gemenskapsorganen, och inrättar en oberoende tillsynsmyndighet, Europeiska datatillsynsmannen, vars uppgift är att övervaka behandlingen av personuppgifter vid unionens institutioner och organ. Den är emellertid inte tillämplig på behandling av personuppgifter som utgör ett led i sådan verksamhet vid unionsinstitutioner eller unionsorgan vilken inte omfattas av unionsrätten. (3)Europaparlamentets och rådets förordning (EU) 2016/679 och Europaparlamentets och rådets direktiv (EU) 2016/680 antogs den 27 april 2016. Medan förordningen fastställer allmänna regler som syftar till att skydda fysiska personer vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter inom unionen, fastställs i direktivet särskilda regler som syftar till att skydda fysiska personer i samband med behandlingen av personuppgifter och att säkerställa det fria flödet av personuppgifter inom unionen på områdena för straffrättsligt samarbete och polissamarbete. (4)I förordning (EU) 2016/679 betonas behovet av nödvändiga anpassningar av förordning (EG) nr 45/2001 för att tillhandahålla en stark och sammanhängande ram för dataskyddet inom unionen och möjliggöra samtidig tillämpning av förordning (EU) 2016/679. (5)För att främja en konsekvent strategi för skyddet av personuppgifter i hela unionen och för det fria flödet av personuppgifter inom unionen, är det viktigt att så långt som möjligt anpassa de regler om skydd av personuppgifter som gäller för unionsinstitutioner och unionsorgan till de regler om skydd för personuppgifter som har antagits för den offentliga sektorn i medlemsstaterna. När en bestämmelse i denna förordning bygger på samma koncept som en bestämmelse i förordning (EU) 2016/679 bör dessa båda bestämmelser tolkas enhetligt, särskilt eftersom den systematik som denna förordning bygger på bör uppfattas som en motsvarighet till systematiken bakom förordning (EU) 2016/679.

(6)Personer vars personuppgifter behandlas av unionens institutioner och organ bör skyddas, oavsett i vilket sammanhang behandlingen sker, exempelvis på grund av att de är anställda av dessa institutioner och organ. Denna förordning bör inte vara tillämplig på behandling av personuppgifter som rör avlidna personer. Denna förordning omfattar inte behandling av personuppgifter som rör juridiska personer, särskilt företag som bildats som juridiska personer, exempelvis uppgifter om namn på och typ av juridisk person samt kontaktuppgifter. (7)För att förhindra att det uppstår en allvarlig risk för att reglerna kringgås bör skyddet för fysiska personer vara teknikneutralt och inte vara beroende av den teknik som används. Skyddet för fysiska personer bör vara tillämpligt på både automatiserad och manuell behandling av personuppgifter, om personuppgifterna ingår i eller är avsedda att ingå i ett register. Akter eller grupper av akter samt omslag till dessa, som inte är ordnade enligt särskilda kriterier, bör inte omfattas av denna förordning. (8)I förklaring nr 21 om skydd av personuppgifter på området för straffrättsligt samarbete och polissamarbete, fogad till slutakten från den regeringskonferens som antog Lissabonfördraget, bekräftade konferensen att det med hänsyn till dessa områdens särart kan komma att bli nödvändigt att anta särskilda regler om skydd av personuppgifter och om det fria flödet av personuppgifter på områdena för straffrättsligt samarbete och polissamarbete med stöd av artikel 16 i EUF-fördraget. Denna förordning bör därför tillämpas på unionsbyråer som bedriver verksamhet på området för straffrättsligt samarbete och polissamarbete endast i den utsträckning som unionslagstiftning som är tillämplig på sådana byråer inte innehåller några särskilda regler om behandling av personuppgifter. (9)Direktiv (EU) 2016/680 innehåller harmoniserade regler om skydd och fri rörlighet för personuppgifter som behandlas i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. I syfte att främja en enhetlig skyddsnivå för skyddet av fysiska personer genom rättsligt verkställbara rättigheter i hela unionen och undvika avvikelser som hämmar utbytet av personuppgifter mellan å ena sidan unionsbyråer som bedriver verksamhet inom områdena rättsligt samarbete i straffrättsliga frågor och polissamarbete, å andra sidan medlemsstaternas behöriga myndigheter, bör reglerna om skyddet av och den fria rörligheten för operativa personuppgifter som behandlas av sådana unionsbyråer bygga på de principer som ligger till grund för denna förordning och vara förenliga med direktiv (EU) 2016/680. (10)Om grundakten för ett unionsorgan som bedriver verksamhet som omfattas av tillämpningsområdet för kapitlen 4 och 5 i avdelning V i fördraget föreskriver ett fristående system för uppgiftsskydd vad avser behandlingen av operativa personuppgifter, bör detta system inte påverkas av denna förordning. Kommissionen bör dock, i enlighet med artikel 62 i direktiv (EU) 2016/680, senast den 6 maj 2019 se över unionsakter som reglerar behandling som utförs av behöriga myndigheter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot samt förebygga hot mot den allmänna säkerheten och, när så är lämpligt, lägga fram nödvändiga förslag till ändring av dessa rättsakter för att säkerställa ett enhetligt tillvägagångssätt för att skydda personuppgifter inom området för straffrättsligt samarbete och polissamarbete. (11)Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen. Principerna för dataskyddet bör därför inte gälla för anonym information, nämligen information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar. Denna förordning berör därför inte behandling av sådan anonym information, vilket inbegriper information för statistiska ändamål eller forskningsändamål. (12)Tillämpningen av pseudonymisering av personuppgifter kan minska riskerna för de registrerade som berörs och hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd. Ett uttryckligt införande av pseudonymisering i denna förordning är inte avsett att utesluta andra åtgärder för dataskydd. (13)Fysiska personer kan knytas till nätidentifierare som lämnas av deras utrustning, applikationer, verktyg och protokoll, t.ex. ip-adresser, kakor eller andra identifierare, som radiofrekvensetiketter. Detta kan efterlämna spår som, särskilt i kombination med unika identifierare och andra uppgifter som tas emot av servrarna, kan användas för att skapa profiler för fysiska personer och identifiera dem. (14)Samtycke bör lämnas genom en entydig bekräftande handling som innebär ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerades sida om att denne godkänner behandling av personuppgifter rörande honom eller henne, som t.ex. genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter. Tystnad, på förhand ikryssade rutor eller inaktivitet bör därför inte utgöra samtycke. Samtycket bör gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, bör samtycke ges för samtliga syften. Om den registrerade ska lämna sitt samtycke efter en elektronisk begäran, måste denna vara tydlig och koncis och får inte onödigtvis störa användningen av den tjänst som den avser. (15)Varje behandling av personuppgifter måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas. Öppenhetsprincipen kräver att all information och kommunikation i samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig samt att ett klart och tydligt språk används. Den principen gäller framför allt informationen till registrerade om den personuppgiftsansvariges identitet och syftet med behandlingen samt ytterligare information för att sörja för en rättvis och öppen behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och meddelande om vilka personuppgifter rörande dem som behandlas. Fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen. De specifika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in. Personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. Detta kräver i synnerhet att det tillses att den period under vilken personuppgifterna lagras är begränsad till ett strikt minimum. Personuppgifter bör endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. För att säkerställa att personuppgifter inte sparas längre än nödvändigt bör den personuppgiftsansvarige införa tidsfrister för radering eller för regelbunden kontroll. Alla rimliga åtgärder bör vidtas för att rätta eller radera felaktiga uppgifter. Personuppgifter bör behandlas på ett sätt som säkerställer lämplig säkerhet och konfidentialitet för personuppgifterna samt förhindrar obehörigt tillträde till och obehörig användning av personuppgifter och den utrustning som används för behandlingen. (16)I enlighet med principen om ansvarsskyldighet bör unionens institutioner och organ, i samband med att de överför personuppgifter internt eller till andra av unionens institutioner och organ, kontrollera om sådana personuppgifter är nödvändiga för det legitima utförandet av uppgifter som omfattas av mottagarens befogenheter, om mottagaren är inte en del av den personuppgiftsansvarige. Efter en mottagares begäran om överföring av uppgifter bör den personuppgiftsansvarige kontrollera att det föreligger en relevant grund för laglig behandling av personuppgifter och att mottagaren är behörig. Den personuppgiftsansvarige bör också göra en preliminär bedömning av om överföringen av uppgifterna är nödvändig. Om det uppstår tveksamhet om nödvändigheten bör den personuppgiftsansvarige begära ytterligare förklaringar från mottagaren. Mottagaren bör se till att man senare kan kontrollera att överföringen av uppgifterna var nödvändig. (17)För att behandling ska vara laglig bör personuppgifterna behandlas med hänsyn till nödvändigheten av att unionsinstitutioner och unionsorgan utför en uppgift av allmänt intresse eller som ett led i deras myndighetsutövning, nödvändigheten av att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller någon annan legitim grund som anges i denna förordning, inbegripet samtycke från den registrerade eller en nödvändighet som hänför sig till fullgörandet ett avtal i vilket den registrerade är part eller vidtagandet av åtgärder på begäran av den registrerade innan ett sådant avtal ingås. Behandling av personuppgifter för utförandet av de arbetsuppgifter av allmänt intresse som unionsinstitutionerna och unionsorganen utför inbegriper sådan behandling av personuppgifter som är nödvändig för förvaltningen av dessa institutioner och organ för att de ska fungera. Behandling av personuppgifter bör även anses laglig när den är nödvändig för att skydda ett intresse som är av avgörande betydelse för den registrerades eller en annan fysisk persons liv. Behandling av personuppgifter på grundval av en annan fysisk persons grundläggande intressen bör i princip endast äga rum om behandlingen inte uppenbart kan ha en annan rättslig grund. Vissa typer av behandling kan tjäna både viktiga allmänintressen och intressen som är av grundläggande betydelse för den registrerade, till exempel när behandlingen är nödvändig av humanitära skäl, bland annat för att övervaka epidemier och deras spridning eller i humanitära nödsituationer, särskilt vid naturkatastrofer eller katastrofer orsakade av människan. (18)De unionsrättsliga och de interna regler som det hänvisas till i denna förordning bör vara tydliga och precisa och deras tillämpning bör vara förutsägbar för personer som omfattas av dem, i enlighet med rättspraxis från Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. (19)Behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in bör endast vara tillåten när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra, kan unionsrätten fastställa och närmare ange för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör betraktas som förenlig och laglig behandling av uppgifter. Den rättsliga grund för behandling av personuppgifter som återfinns i unionsrätten kan också utgöra en rättslig grund för ytterligare behandling. För att fastställa om ett ändamål med den ytterligare behandlingen är förenligt med det ändamål för vilket personuppgifterna ursprungligen insamlades bör den personuppgiftsansvarige, efter att ha uppfyllt alla krav vad beträffar den ursprungliga behandlingens lagenlighet, bland annat beakta alla kopplingar mellan dessa ändamål och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personuppgifterna insamlats, särskilt de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige i fråga om den framtida användningen, personuppgifternas art, den planerade ytterligare behandlingens konsekvenser för de registrerade, samt förekomsten av lämpliga skyddsåtgärder för både den ursprungliga och den planerade ytterligare behandlingen. (20)När behandling sker efter samtycke från registrerade, bör personuppgiftsansvariga kunna visa att de registrerade har lämnat sitt samtycke till behandlingen. I synnerhet vid skriftliga förklaringar som rör andra frågor bör det finnas skyddsåtgärder som säkerställer att de registrerade är medvetna om att samtycke ges och om hur långt samtycket sträcker sig. I enlighet med rådets direktiv 93/13/EEG bör en förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat tillhandahållas i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. (21)Barns personuppgifter förtjänar särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Sådant särskilt skydd bör i synnerhet vara tillämpligt på skapande av personlighetsprofiler samt insamling av personuppgifter med avseende på barn i samband med användning av tjänster som erbjuds direkt till barn på webbplatser som tillhör unionsinstitutioner och unionsorgan, såsom interpersonella kommunikationstjänster eller internetförsäljning av biljetter, och när behandlingen av personuppgifter grundar sig på samtycke. (22)När mottagare som är etablerade i unionen och som omfattas av förordning (EU) 2016/679 eller direktiv (EU) 2016/680 vill få personuppgifter överförda till sig av unionsinstitutioner och unionsorgan, bör dessa mottagare visa att överföringen är nödvändig för att de ska kunna uppnå sin målsättning samt är proportionerlig och inte går utöver vad som är nödvändigt för att uppnå denna målsättning. Unionens institutioner och organ bör visa att det föreligger en sådan nödvändighet när de själva initierar överföringen, i överensstämmelse med principen om öppenhet. (23)Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. Dessa personuppgifter bör även inbegripa personuppgifter som avslöjar ras eller etniskt ursprung, varvid användningen av termen ras i denna förordning inte innebär att unionen godtar teorier som söker fastställa förekomsten av skilda människoraser. Behandling av foton bör inte systematiskt anses utgöra behandling av särskilda kategorier av personuppgifter, eftersom foton endast definieras som biometriska uppgifter när de behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person. Utöver de särskilda kraven för behandling av känsliga uppgifter, bör de allmänna principerna och andra bestämmelser i denna förordning tillämpas, särskilt när det gäller villkoren för laglig behandling. Undantag från det allmänna förbudet att behandla sådana särskilda kategorier av personuppgifter bör uttryckligen fastställas, bland annat om den registrerade lämnar sitt uttryckliga samtycke eller för att tillgodose specifika behov, i synnerhet när behandlingen utförs inom ramen för legitima verksamheter som bedrivs av vissa sammanslutningar eller stiftelser i syfte att göra det möjligt att utöva grundläggande friheter. (24)På folkhälsoområdet kan det bli nödvändigt att med hänsyn till ett allmänt intresse behandla särskilda kategorier av personuppgifter utan att den registrerades samtycke inhämtas. Sådan behandling bör förutsätta lämpliga och särskilda åtgärder för att skydda fysiska personers rättigheter och friheter. I detta sammanhang bör folkhälsa tolkas enligt definitionen i Europaparlamentets och rådets förordning (EG) nr 1338/2008, nämligen alla aspekter som rör hälsosituationen, dvs. allmänhetens hälsotillstånd, inbegripet sjuklighet och funktionshinder, hälsans bestämningsfaktorer, hälso- och sjukvårdsbehov, resurser inom hälso- och sjukvården, tillhandahållande av och allmän tillgång till hälso- och sjukvård, utgifter för och finansiering av hälso- och sjukvården samt dödsorsaker. Sådan behandling av uppgifter om hälsa av allmänt intresse bör inte innebära att personuppgifter behandlas för andra ändamål av tredje part. (25)Om de personuppgifter som behandlas av en personuppgiftsansvarig inte gör det möjligt för denne att identifiera en fysisk person, bör den personuppgiftsansvarige inte vara tvungen att skaffa ytterligare information för att kunna identifiera den registrerade, om ändamålet endast är att följa någon av bestämmelserna i denna förordning. Den personuppgiftsansvarige bör dock inte vägra att ta emot kompletterande uppgifter som den registrerade lämnat till stöd för utövandet av sina rättigheter. Identifiering bör omfatta digital identifiering av en registrerad, till exempel genom en autentiseringsmekanism, exempelvis samma identifieringsinformation som används av den registrerade för att logga in på den nättjänst som tillhandahålls av den personuppgiftsansvarige.

(26)Behandlingen av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör omfattas av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning. Skyddsåtgärderna bör säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Ytterligare behandling av personuppgifter för arkivändamål av allmänintresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör genomföras, när den personuppgiftsansvarige har bedömt möjligheten att uppnå dessa ändamål genom behandling av personuppgifter som inte medger eller inte längre medger identifiering av de registrerade, förutsatt att det finns lämpliga skyddsåtgärder (t.ex. pseudonymisering av personuppgifter). Unionens institutioner och organ bör införa lämpliga skyddsåtgärder för behandlingen av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i unionsrätten, vilket kan inbegripa interna regler. (27)Förfaranden bör fastställas som gör det lättare för registrerade att utöva sina rättigheter enligt denna förordning, inklusive mekanismer för att begära och i förekommande fall kostnadsfritt få tillgång till och erhålla rättelse eller radering av personuppgifter samt för att utöva rätten att göra invändningar. Den personuppgiftsansvarige bör också tillhandahålla hjälpmedel för elektroniskt ingivna framställningar, särskilt i fall då personuppgifter behandlas elektroniskt. Personuppgiftsansvariga bör utan onödigt dröjsmål och senast inom en månad vara skyldiga att besvara registrerades önskemål och lämna en motivering, om de inte avser att uppfylla sådana önskemål. (28)Principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang. Dessutom bör den registrerade informeras om förekomsten av profilering samt om konsekvenserna av sådan profilering. Om personuppgifterna samlas in från den registrerade, bör denne även informeras om huruvida han eller hon är skyldig att tillhandahålla personuppgifterna och om konsekvenserna om han eller hon inte lämnar dem. Denna information får tillhandahållas tillsammans med standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen. Om sådana symboler visas elektroniskt bör de vara maskinläsbara. (29)Information om behandling av personuppgifter som rör den registrerade bör lämnas till honom eller henne vid den tidpunkt då personuppgifterna samlas in från den registrerade eller, om personuppgifterna erhålls direkt från en annan källa, inom en rimlig period, beroende på omständigheterna i fallet. Om personuppgifter legitimt kan lämnas ut till en annan mottagare, bör de registrerade informeras första gången personuppgifterna lämnas ut till denna mottagare. Om den personuppgiftsansvarige avser att behandla personuppgifter för ett annat ändamål än det för vilket uppgifterna insamlades, bör denne före denna ytterligare behandling informera den registrerade om detta andra syfte och lämna annan nödvändig information. Om personuppgifternas ursprung inte kan meddelas den registrerade på grund av att olika källor har använts, bör allmän information ges. (30)Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. Detta innefattar rätten för registrerade att få tillgång till uppgifter om sin hälsa, exempelvis uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner. Alla registrerade bör därför ha rätt att få kännedom och underrättelse om framför allt orsaken till att personuppgifterna behandlas, om möjligt vilken tidsperiod behandlingen pågår, vilka som mottar personuppgifterna, bakomliggande logik i samband med automatisk behandling av personuppgifter och, åtminstone när behandlingen bygger på profilering, konsekvenserna av sådan behandling. Denna rätt bör inte inverka menligt på andras rättigheter eller friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran. Resultatet av dessa överväganden bör dock inte bli att den registrerade förvägras all information. Om den personuppgiftsansvarige behandlar en stor mängd uppgifter om den registrerade, bör den personuppgiftsansvarige kunna begära att den registrerade lämnar uppgift om vilken information eller vilken behandling en framställan avser, innan informationen lämnas ut. (31)Den registrerade bör ha rätt att få sina personuppgifter rättade och rätt att bli ”glömd”, om lagringen av uppgifterna strider mot denna förordning eller unionsrätt som den personuppgiftsansvarige omfattas av. En registrerad bör ha rätt att få sina personuppgifter raderade och kunna begära att dessa personuppgifter inte behandlas, om de inte längre behövs med tanke på de ändamål för vilka de samlats in eller på annat sätt behandlats, om en registrerad har återtagit sitt samtycke till behandling eller invänder mot behandling av personuppgifter som rör honom eller henne, eller om behandlingen av hans eller hennes personuppgifter på annat sätt inte överensstämmer med denna förordning. Denna rättighet är särskilt relevant när den registrerade har gett sitt samtycke som barn, utan att vara fullständigt medveten om riskerna med behandlingen, och senare vill ta bort dessa personuppgifter, särskilt på internet. Den registrerade bör kunna utöva denna rätt även när han eller hon inte längre är barn. Ytterligare lagring av personuppgifterna bör dock vara laglig, om detta krävs för att utöva yttrandefrihet och informationsfrihet, för att uppfylla en rättslig förpliktelse, för att utföra en uppgift i av allmänt intresse eller som ett led i myndighetsutövning som anförtrotts den personuppgiftsansvarige, med anledning av ett allmänt intresse inom folkhälsoområdet, för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål eller för fastställande, utövande eller försvar av rättsliga anspråk. (32)För att stärka rätten att bli ”glömd” i nätmiljön bör rätten till radering utvidgas på så sätt att en personuppgiftsansvarig som har offentliggjort personuppgifter bör vara skyldig instruera de personuppgiftsansvariga som behandlar dessa personuppgifter att radera alla länkar till eller kopior eller reproduktioner av dessa personuppgifter. I samband med detta bör den personuppgiftsansvarige vidta rimliga åtgärder, med beaktande av tillgänglig teknik och de hjälpmedel som står den personuppgiftsansvarige till buds, däribland tekniska åtgärder, för att informera de personuppgiftsansvariga som behandlar personuppgifterna om den registrerades begäran. (33)Sätten att begränsa behandlingen av personuppgifter kan bland annat inbegripa att man tillfälligt flyttar de valda personuppgifterna till ett annat databehandlingssystem, gör de valda uppgifterna otillgängliga för användare eller tillfälligt avlägsnar offentliggjorda uppgifter från en webbplats. I automatiserade register bör begränsningen av behandlingen i princip ske med tekniska medel på ett sådant sätt att personuppgifterna inte blir föremål för ytterligare behandling och inte kan ändras. Det förhållandet att behandlingen av personuppgifter är begränsad bör klart anges inom systemet. (34)För att ytterligare förbättra kontrollen över sina egna uppgifter bör den registrerade, om personuppgifterna behandlas automatiskt, också tillåtas att motta de personuppgifter som rör honom eller henne, som han eller hon har tillhandahållit den personuppgiftsansvarige, i ett strukturerat, allmänt använt, maskinläsbart och kompatibelt format och överföra dessa till en annan personuppgiftsansvarig. Personuppgiftsansvariga bör uppmuntras att utveckla kompatibla format som möjliggör dataportabilitet. Denna rättighet bör vara tillämplig om den registrerade har tillhandahållit uppgifterna efter att ha lämnat sitt samtycke eller om behandlingen är nödvändig för att ett avtal ska kunna genomföras. Därför bör den inte vara tillämplig när behandlingen av personuppgifterna är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Den registrerades rätt att överföra eller motta personuppgifter som rör honom eller henne innebär inte någon skyldighet för de personuppgiftsansvariga att införa eller upprätthålla behandlingssystem som är tekniskt kompatibla. Om mer än en registrerad berörs inom en viss uppsättning personuppgifter, bör rätten att motta personuppgifterna inte inverka på andra registrerades rättigheter och friheter enligt denna förordning. Denna rättighet bör inte heller påverka den registrerades rätt att få till stånd radering av personuppgifter och de inskränkningar av denna rättighet vilka anges i denna förordning och bör i synnerhet inte medföra radering av personuppgifter om den registrerade som denne har lämnat för genomförande av ett avtal, i den utsträckning och så länge som personuppgifterna krävs för genomförande av avtalet. Om det är tekniskt möjligt, bör den registrerade ha rätt till direkt överföring av personuppgifterna från en personuppgiftsansvarig till en annan. (35)När personuppgifter lagligen får behandlas, eftersom behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i en myndighetsutövning som utförs av den personuppgiftsansvarige, bör alla registrerade ändå ha rätt att göra invändningar mot behandling av personuppgifter som rör de registrerades särskilda situation. Det bör ankomma på den personuppgiftsansvarige att visa att dennes tvingande berättigade intressen väger tyngre än den registrerades intressen eller grundläggande rättigheter och friheter. (36)Den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom e-rekrytering utan personlig kontakt. Sådan behandling omfattar ”profilering” i form av automatisk behandling av personuppgifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i den mån dessa har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Beslutsfattande grundat på sådan behandling, inbegripet profilering, bör dock tillåtas när det uttryckligen är tillåtet enligt unionsrätten. Denna form av uppgiftsbehandling bör under alla omständigheter omgärdas av lämpliga skyddsåtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. Sådana åtgärder bör inte gälla barn. I syfte att sörja för rättvis och öppen behandling med avseende på den registrerade, med beaktande av omständigheterna och det sammanhang i vilket personuppgifterna behandlas, bör den personuppgiftsansvarige använda adekvata matematiska eller statistiska förfaranden för profilering, genomföra tekniska och organisatoriska åtgärder som framför allt säkerställer att faktorer som kan medföra felaktigheter i personuppgifter korrigeras och att risken för fel minimeras samt säkra personuppgifterna på sådant sätt att man beaktar potentiella risker för den registrerades intressen och rättigheter och förhindrar bland annat diskriminerande effekter för fysiska personer, på grund av ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse, medlemskap i fackföreningar, genetisk status eller hälsostatus eller sexuell läggning, eller som leder till åtgärder som får sådana effekter. Automatiserat beslutsfattande och profilering baserat på särskilda kategorier av personuppgifter bör endast tillåtas på särskilda villkor. (37)Rättsakter som antagits på grundval av fördragen eller interna regler vid unionens institutioner och organ får föreskriva begränsningar med avseende på specifika principer och med avseende på rätt till information, tillgång till och rättelse eller radering av personuppgifter, rätt till dataportabilitet, konfidentiell behandling av uppgifter inom elektronisk kommunikation, underrättelse om en personuppgiftsincident till den registrerade och vissa därmed sammanhängande skyldigheter för personuppgiftsansvariga, i den utsträckning åtgärden är nödvändig och proportionerlig i ett demokratiskt samhälle för att upprätthålla den allmänna säkerheten, förebygga, utreda och lagföra brott eller verkställa straffrättsliga påföljder, inbegripet skydd mot samt förebyggande av hot mot den allmänna säkerheten, däribland skydd av människoliv, särskilt vid naturkatastrofer eller katastrofer orsakade av människan, den inre säkerheten för unionsinstitutioner och unionsorgan, andra viktiga mål av allmänt intresse för hela unionen eller en medlemsstat, i synnerhet ett viktigt ekonomiskt eller finansiellt intresse för unionen eller en medlemsstat, förande av offentliga register som förs av hänsyn till ett allmänt intresse eller skydd av den registrerade eller andras rättigheter och friheter, inklusive socialt skydd, folkhälsa och humanitära skäl. Även om en begränsning inte föreskrivs i rättsakter som antagits på grundval av fördragen eller i interna regler vid unionens institutioner och organ, får unionsinstitutioner och unionsorgan i specifika fall införa en tillfällig begränsning avseende särskilda principer och den registrerades rättigheter om begränsningen sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och, med avseende på en specifik behandling, utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett eller flera av de ändamål som anges i punkt 1. Begränsningen bör anmälas till dataskyddsombudet. Alla begränsningar bör överensstämma med kraven i stadgan och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. (38)Personuppgiftsansvariga bör åläggas ansvaret för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Personuppgiftsansvariga bör särskilt vara skyldiga att vidta lämpliga och effektiva åtgärder och kunna visa att behandlingen är förenlig med denna förordning, även vad gäller åtgärdernas effektivitet. Man bör inom dessa åtgärder beakta behandlingens art, omfattning, sammanhang och ändamål samt risken för fysiska personers rättigheter och friheter. Risken för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till diskriminering, identitetsstöld eller bedrägeri, ekonomisk förlust, skadat anseende, förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt, obehörigt hävande av pseudonymisering, eller annan betydande ekonomisk eller social nackdel, om registrerade kan berövas sina rättigheter och friheter eller hindras att utöva kontroll över sina personuppgifter, om personuppgifter behandlas som avslöjar ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse eller medlemskap i fackförening, om genetiska uppgifter, uppgifter om hälsa eller sexualliv eller fällande domar i brottmål samt lagöverträdelser eller därmed sammanhängande säkerhetsåtgärder behandlas, om personliga aspekter bedöms, framför allt analyser eller förutsägelser beträffande sådant som rör arbetsprestationer, ekonomisk ställning, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i syfte att skapa eller använda personliga profiler, om det sker behandling av personuppgifter rörande sårbara fysiska personer, framför allt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade. Hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs huruvida uppgiftsbehandlingen inbegriper en risk eller en hög risk. (39)Skyddet av fysiska personers rättigheter och friheter i samband med behandling av personuppgifter förutsätter att lämpliga tekniska och organisatoriska åtgärder vidtas, så att kraven i denna förordning uppfylls. För att kunna visa att denna förordning följs bör den personuppgiftsansvarige anta interna strategier och vidta åtgärder, särskilt för att uppfylla principerna om inbyggt dataskydd och dataskydd som standard. Sådana åtgärder kan bland annat bestå av att uppgiftsbehandlingen minimeras, att personuppgifter snarast möjligt pseudonymiseras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgiftsbehandlingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar. Principerna om inbyggt dataskydd och dataskydd som standard bör också beaktas vid offentliga upphandlingar. (40)Skyddet av de registrerades rättigheter och friheter samt de personuppgiftsansvarigas och personuppgiftsbiträdenas ansvar kräver ett tydligt fastställande av vem som bär ansvaret enligt denna förordning, bl.a. när personuppgiftsansvariga gemensamt fastställer ändamål och medel för en behandling tillsammans med andra personuppgiftsansvariga eller när en behandling utförs på en personuppgiftsansvarigs vägnar. (41)För att se till att kraven i denna förordning uppfylls vad gäller behandling som av ett personuppgiftsbiträde ska utföras på en personuppgiftsansvarigs vägnar ska den personuppgiftsansvarige, när denne anförtror behandling åt ett personuppgiftsbiträde, endast använda personuppgiftsbiträden som ger tillräckliga garantier, i synnerhet i fråga om sakkunskap, tillförlitlighet och resurser, för att genomföra tekniska och organisatoriska åtgärder som uppfyller kraven i denna förordning, bl.a. vad gäller säkerhet i samband med behandlingen av uppgifter. Anslutning av andra personuppgiftsbiträden än unionsinstitutioner och unionsorgan till en godkänd uppförandekod eller en godkänd certifieringsmekanism kan användas som ett sätt att påvisa att den personuppgiftsansvarige fullgör sina skyldigheter. När uppgifter behandlas av ett personuppgiftsbiträde, bör hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller medlemsstaternas nationella rätt mellan personuppgiftsbiträdet och den personuppgiftsansvarige, där föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade anges, med beaktande av personuppgiftsbiträdets specifika arbets- och ansvarsuppgifter inom ramen för den behandling som ska utföras och risken med avseende på den registrerades rättigheter och friheter. Den personuppgiftsansvarige och personuppgiftsbiträdet bör kunna välja att använda sig av ett enskilt avtal eller standardavtalsklausuler som antingen antas direkt av kommissionen eller av Europeiska datatillsynsmannen och därefter av kommissionen. Efter det att behandlingen på den personuppgiftsansvariges vägnar har avslutats, bör personuppgiftsbiträdet återlämna eller radera personuppgifterna, beroende på vad den personuppgiftsansvarige väljer, såvida inte lagring av personuppgifterna krävs enligt den unionsrätt eller medlemsstaternas nationella rätt som personuppgiftsbiträdet omfattas av. (42)För att visa att denna förordning följs bör personuppgiftsansvariga föra register över sådan uppgiftsbehandling som de ansvarar för och personuppgiftsbiträden bör föra register över kategorier av uppgiftsbehandling som de ansvarar för. Unionsinstitutioner och unionsorgan bör vara skyldiga att samarbeta med Europeiska datatillsynsmannen och på dennas begäran göra sina register tillgängliga, så att de kan tjäna som grund för övervakningen av behandlingen. Unionens institutioner och organ bör ha möjlighet att inrätta ett centralt register över sin uppgiftsbehandling. Av öppenhetsskäl bör de också kunna göra ett sådant register offentligt. (43)För att upprätthålla säkerheten och förhindra behandling som bryter mot denna förordning bör personuppgiftsansvariga eller personuppgiftsbiträden utvärdera riskerna med behandlingen och vidta åtgärder, såsom kryptering, för att minska dem. Åtgärderna bör säkerställa en lämplig säkerhetsnivå, inbegripet konfidentialitet, med beaktande av den senaste utvecklingen och genomförandekostnader i förhållande till riskerna och vilken typ av personuppgifter som ska skyddas. Vid bedömningen av datasäkerhetsrisken bör man även beakta de risker som personuppgiftsbehandling medför, såsom förstöring, förlust eller ändringar genom olyckshändelse eller otillåtna handlingar eller obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats, framför allt när denna kan medföra fysisk, materiell eller immateriell skada. (44)Unionens institutioner och organ bör säkerställa konfidentiell behandling av uppgifter inom elektronisk kommunikation, i enlighet med artikel 7 i stadgan. I synnerhet bör unionens institutioner och organ säkerställa säkerheten i sina elektroniska kommunikationsnät, skydda information som rör terminalutrustning som slutanvändarna använder för att få tillgång till unionsinstitutionernas och unionsorganens allmänt tillgängliga webbplatser och mobila applikationer i enlighet med förordning (EU) nr XX/XXXX [ny förordning om integritet och elektronisk kommunikation] samt skydda personuppgifter i kataloger över användare.

(45) Ett personuppgiftsincident kan, om den inte snabbt åtgärdas på lämpligt sätt, leda till fysisk, materiell eller immateriell skada för fysiska personer. Så snart en personuppgiftsansvarig blir medveten om att en personuppgiftsincident har inträffat, bör den personuppgiftsansvarige därför anmäla personuppgiftsincidenten till Europeiska datatillsynsmannen utan onödigt dröjsmål och, om så är möjligt, inom 72 timmar efter att ha blivit medveten om denna, om inte den personuppgiftsansvarige, i enlighet med principen om ansvarsskyldighet, kan påvisa att det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter. Om en sådan anmälan inte kan ske inom 72 timmar, bör den åtföljas av skälen till fördröjningen och information kan lämnas i omgångar utan otillbörligt vidare dröjsmål. Om en sådan fördröjning är motiverad, av mindre känslig natur eller mindre specifik bör information om incidenten lämnas så tidigt som möjligt, i stället för att man väntar med att lämna information till dess att den underliggande incidenten har avhjälpts fullt ut. (46)Den personuppgiftsansvarige bör utan onödigt dröjsmål underrätta den registrerade om en personuppgiftsincident, om personuppgiftsincidenten sannolikt kommer att medföra en hög risk för den fysiska personens rättigheter och friheter, så att denne kan vidta nödvändiga försiktighetsåtgärder. Denna underrättelse bör beskriva personuppgiftsincidentens art samt innehålla rekommendationer för den berörda fysiska personen om hur de potentiella negativa effekterna kan mildras. De registrerade bör underrättas så snart detta rimligtvis är möjligt, i nära samarbete med Europeiska datatillsynsmannen och i enlighet med den vägledning som lämnats av den eller av andra relevanta myndigheter, exempelvis brottsbekämpande myndigheter. (47)I förordning (EG) nr 45/2001 föreskrivs en allmän skyldighet för den personuppgiftsansvarige att anmäla behandling av personuppgifter till dataskyddsombudet, som i sin tur ska föra ett register över sådana behandlingar som har anmälts. Denna skyldighet medförde administrativa och ekonomiska bördor, men förbättrade inte alltid personuppgiftsskyddet. Sådana övergripande och allmänna anmälningsskyldigheter bör därför avskaffas och ersättas av effektiva förfaranden och mekanismer som i stället inriktas på de typer av behandlingar som sannolikt innebär en hög risk för fysiska personers rättigheter och friheter, i kraft av deras art, omfattning, sammanhang och ändamål. Dessa behandlingar kan vara sådana som särskilt inbegriper användning av ny teknik eller är av en ny typ, för vilken konsekvensbedömning avseende uppgiftsskydd inte tidigare har genomförts av den personuppgiftsansvarige, eller som blir nödvändiga på grund av den tid som har förflutit sedan den ursprungliga behandlingen. I sådana fall bör den personuppgiftsansvarige före behandlingen, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt upphovet till risken, göra en konsekvensbedömning avseende dataskydd i syfte att bedöma den höga riskens specifika sannolikhetsgrad och allvar samt dess ursprung. Konsekvensbedömningen bör främst innefatta de planerade åtgärder, skyddsåtgärder och mekanismer som ska minska denna risk, säkerställa personuppgiftskyddet och visa att denna förordning efterlevs. (48)Om det av en konsekvensbedömning avseende dataskydd framgår att behandlingen utan skyddsåtgärder, säkerhetsåtgärder och mekanismer för att minska risken kommer att innebära en hög risk för fysiska personers rättigheter och friheter, och den personuppgiftsansvarige anser att risken inte kan begränsas genom åtgärder som är rimliga med avseende på tillgänglig teknik och genomförandekostnader, bör samråd hållas med Europeiska datatillsynsmannen innan behandlingen inleds. En sådan hög risk kommer sannolikt att orsakas av vissa typer av behandling samt av en viss omfattning och frekvens för behandlingen, vilket även kan leda till skador för eller kränkningar av fysiska personers rättigheter och friheter. Europeiska datatillsynsmannen bör inom en fastställd tid svara på en begäran om samråd. Ett uteblivet svar från Europeiska datatillsynsmannen inom denna tid bör dock inte hindra ett eventuellt ingripande från Europeiska datatillsynsmannens sida i enlighet med dess uppgifter och befogenheter enligt denna förordning, inbegripet befogenheten att förbjuda behandling. Som en del av denna samrådsprocess bör det vara möjligt att överlämna resultatet av en konsekvensbedömning avseende dataskydd som utförs med avseende på behandlingen i fråga till tillsynsmyndigheten, framför allt de åtgärder som planeras för att minska risken för fysiska personers rättigheter och friheter. (49)Europeiska datatillsynsmannen bör informeras om administrativa åtgärder och interna bestämmelser vid unionens institutioner och organ som rör behandling av personuppgifter, föreskriver villkor för begränsningar av den registrerades rättigheter eller inför lämpligt skydd för den registrerades rättigheter, i syfte att se till att den avsedda behandlingen överensstämmer med denna förordning och framför allt för att minska risken för den registrerade. (50)Genom förordning (EU) 2016/679 inrättades Europeiska dataskyddsstyrelsen som ett oberoende unionsorgan med ställning som juridisk person. Styrelsen bör bidra till en enhetlig tillämpning av förordning (EU) 2016/679 och direktiv 2016/680 i hela unionen, bl.a. genom att lämna råd till kommissionen. Samtidigt bör Europeiska datatillsynsmannen fortsätta att utöva sina övervakande och rådgivande funktioner med avseende på alla unionens institutioner och organ, även på eget initiativ eller på begäran. I syfte att säkerställa överensstämmelse mellan bestämmelserna om skydd av personuppgifter inom hela unionen, bör samråd med kommissionen vara obligatoriskt efter antagandet av lagstiftningsakter eller vid utarbetandet av delegerade akter och genomförandeakter som anges i artikel 289, 290 och 291 i EUF-fördraget och efter antagandet av rekommendationer och förslag som rör avtal med tredjeländer och internationella organisationer i enlighet med artikel 218 i EUF-fördraget vilka har en inverkan på rätten till skydd av personuppgifter. I sådana fall bör kommissionen vara skyldig att samråda med Europeiska datatillsynsmannen, utom i de fall då det i förordning (EU) 2016/679 föreskrivs obligatoriskt samråd med Europeiska dataskyddsstyrelsen, exempelvis vad gäller beslut om adekvat skyddsnivå eller delegerade akter om standardiserade symboler och krav för certifieringsmekanismer. Om akten i fråga är av särskild vikt för skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter, bör kommissionen dessutom ha möjlighet att samråda med Europeiska dataskyddsstyrelsen. I sådana fall bör Europeiska datatillsynsmannen, i egenskap av medlem i Europeiska dataskyddsstyrelsen, samordna sitt arbete med den senare i syfte att utfärda ett gemensamt yttrande. Europeiska datatillsynsmannen och, i tillämpliga fall, Europeiska dataskyddsstyrelsen, bör lämna sitt skriftliga råd inom åtta veckor. Denna tidsfrist bör förkortas i brådskande fall eller när det annars är lämpligt, t.ex. när kommissionen förbereder delegerade akter och genomförandeakter. (51)Ett dataskyddsombud bör inom varje unionsinstitution eller unionsorgan övervaka tillämpningen av bestämmelserna i denna förordning och ge råd åt personuppgiftsansvariga och personuppgiftsbiträden då de fullgör sina åligganden. Dataskyddsombudet bör vara en person med sakkunskap om lagstiftning och praxis på området för uppgiftsskydd, vilket bör bedömas med särskild hänsyn till den uppgiftsbehandling som utförs och det skydd som krävs för de personuppgifter som behandlas av den personuppgiftsansvarige eller personuppgiftsbiträdet. Denna typ av dataskyddsombud bör kunna fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt. (52)Det är viktigt att den skyddsnivå som fysiska personer säkerställs inom unionen genom denna förordning inte undergrävs när personuppgifter överförs från unionsinstitutioner och unionsorgan till personuppgiftsansvariga, personuppgiftsbiträden eller andra mottagare i tredjeland eller till internationella organisationer, vilket inbegriper vidarebefordran av personuppgifter från tredjelandet eller den internationella organisationen till personuppgiftsansvariga, personuppgiftsbiträden i samma eller ett annat tredjeland eller en annan internationell organisation. Överföringar till tredjeländer och internationella organisationer får under alla omständigheter endast utföras i full överensstämmelse med denna förordning. En överföring kan endast ske, om de villkor som fastställs i bestämmelserna i denna förordning om överföring av personuppgifter till tredjeländer eller internationella organisationer har uppfyllts av den personuppgiftsansvarige eller personuppgiftsbiträdet, med förbehåll för de övriga bestämmelserna i denna förordning. (53)Kommissionen får, i enlighet med artikel 45 i förordning (EU) 2016/679, besluta att ett tredjeland, ett territorium eller en viss specificerad sektor i ett tredjeland, eller en internationell organisation, inte längre erbjuder en adekvat dataskyddsnivå. I dessa fall får överföringar av personuppgifter till det tredjelandet eller den internationella organisationen av en unionsinstitution eller ett unionsorgan ske utan ytterligare tillstånd. (54)Saknas beslut om adekvat skyddsnivå bör den personuppgiftsansvarige eller personuppgiftsbiträdet vidta åtgärder för att kompensera för det bristande dataskyddet i ett tredjeland med hjälp av lämpliga skyddsåtgärder för den registrerade. Sådana lämpliga skyddsåtgärder kan bestå i tillämpning av standardbestämmelser om dataskydd som antagits av kommissionen, standardbestämmelser om dataskydd som antagits av Europeiska datatillsynsmannen eller avtalsbestämmelser som godkänts av Europeiska datatillsynsmannen. Om personuppgiftsbiträdet inte är en unionsinstitution eller ett unionsorgan kan dessa lämpliga skyddsåtgärder också bestå av bindande företagsregler, uppförandekoder och certifieringsmekanismer som används för internationella överföringar enligt förordning (EU) 2016/679. Dessa skyddsåtgärder bör säkerställa iakttagande av de krav i fråga om dataskydd och registrerades rättigheter som är lämpliga för behandling inom unionen, inbegripet huruvida bindande rättigheter för de registrerade och effektiva rättsmedel är tillgängliga, inbegripet en faktisk rätt att föra talan på administrativ väg eller inför domstol och att kräva kompensation i unionen eller i ett tredjeland. De bör särskilt gälla överensstämmelse med allmänna principer för behandling av personuppgifter samt principerna om inbyggt dataskydd och dataskydd som standard. Uppgifter kan också överföras av unionsinstitutioner och unionsorgan eller organ till offentliga myndigheter eller organ i tredjeländer eller internationella organisationer med motsvarande skyldigheter eller uppgifter, inbegripet på grundval av bestämmelser som ska införas i administrativa överenskommelser, t.ex. samförståndsavtal, som föreskriver verkställbara och faktiska rättigheter för de registrerade. Tillstånd från Europeiska datatillsynsmannen bör erhållas när skyddsåtgärder föreskrivs i icke rättsligt bindande administrativa arrangemang. (55)Personuppgiftsansvarigas eller personuppgiftsbiträdens möjlighet att använda standardiserade dataskyddsbestämmelser som antagits av kommissionen eller av Europeiska datatillsynsmannen bör inte hindra att de infogar standardiserade dataskyddsbestämmelser i ett vidare avtal, såsom ett avtal mellan personuppgiftsbiträdet och ett annat personuppgiftsbiträde, eller lägger till andra bestämmelser eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt står i strid med standardavtalsklausuler som antagits av kommissionen eller av Europeiska datatillsynsmannen eller påverkar de registrerades grundläggande rättigheter eller friheter. Personuppgiftsansvariga och personuppgiftsbiträden bör uppmuntras att tillhandahålla ytterligare skyddsåtgärder via avtalsmässiga åtaganden som kompletterar de standardiserade dataskyddsbestämmelserna. (56)Vissa tredjeländer antar lagar och andra författningar som syftar till att direkt reglera behandling som utförs av unionens institutioner och organ. Detta kan inkludera rättsliga avgöranden eller beslut av administrativa myndigheter i tredjeländer där det krävs att