SV Europeiska unionens officiella tidning C 159/83

Rådets motivering: Rådets ståndpunkt (EU) nr 6/2016 vid första behandlingen inför antagandet av Europaparlamentets och rådets förordning om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)

(2016/C 159/02)

I. INLEDNING

Kommissionen lade den 25 januari 2012 fram ett förslag till en heltäckande dataskyddsreform bestående av

— det ovannämnda förslaget till allmän dataskyddsförordning, som är avsedd att ersätta 1995 års uppgiftsskyddsdirektiv (före detta första pelaren),

— ett förslag till direktiv om skyddet av enskilda vid behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter, som är avsett att ersätta 2008 års rambeslut om uppgiftsskydd (före detta tredje pelaren).

Europaparlamentet antog sin ståndpunkt vid första behandlingen om förslaget till allmän dataskyddsförordning den 12 mars 2014 (7427/14).

Rådet enades om en allmän riktlinje den 15 juni 2015, varigenom ordförandeskapet gavs mandat att inleda trepartsmöten med Europaparlamentet (9565/15).

Den 17 respektive 18 december 2015 bekräftade Europaparlamentet och rådet i utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor respektive Coreper överenskommelsen om den kompromiss som blev resultatet av förhandlingarna vid trepartsmötena.

Vid sina möten den 12 februari 2016 nådde rådet en politisk överenskommelse om utkastet till förordning (5455/15). Den 8 april 2016 antog rådet sin ståndpunkt vid första behandlingen som är helt i linje med den kompromiss om förordningen som man enats om vid de informella förhandlingarna mellan rådet och Europaparlamentet.

Ekonomiska och sociala kommittén avgav 2012 ett yttrande om förordningen (EUT C 229, 31.7.2012, s. 90).

Regionkommittén avgav ett yttrande om förordningen (EUT C 391, 18.12.2012, s. 127).

Europeiska datatillsynsmannen tillfrågades och avgav ett första yttrande 2012 (EUT C 192, 30.6.2012, s. 7) och ett andra yttrande 2015 (EUT C 301, 12.9.2015, s. 1–8).

Europeiska unionens byrå för grundläggande rättigheter avgav ett yttrande den 1 oktober 2012.

II. SYFTE

I den allmänna dataskyddsförordningen harmoniseras dataskyddsreglerna i Europeiska unionen. Syftena med förordningen är att stärka enskilda personers dataskyddsrättigheter och underlätta det fria flödet av personuppgifter på den inre marknaden och minska den administrativa bördan.

III. ANALYS AV RÅDETS STÅNDPUNKT VID FÖRSTA BEHANDLINGEN

A. Allmänna iakttagelser

Mot bakgrund av Europeiska rådets mål att säkra en överenskommelse om dataskyddsreformen före slutet av 2015 har Europaparlamentet och rådet fört informella förhandlingar för att jämka sina ståndpunkter. Texten till rådets ståndpunkt vid första behandlingen om den allmänna dataskyddsförordningen avspeglar till fullo den kompromiss som nåtts mellan de båda medlagstiftarna, biträdda av kommissionen.

Rådets ståndpunkt vid första behandlingen vidhåller syftena för direktiv 95/46/EG: skyddet av dataskyddsrättigheter och det fria flödet av uppgifter. Samtidigt söker man anpassa de nu gällande dataskyddsreglerna mot bakgrund av de allt större mängder personuppgifter som behandlas som en följd av tekniska förändringar och globaliseringen. För att göra förordningen framtidssäker är dataskyddsreglerna i rådets ståndpunkt vid första behandlingen tekniskt neutrala.

För att säkerställa en enhetlig nivå för skyddet av enskilda personer i hela unionen och undvika avvikelser som hindrar det fria flödet av personuppgifter inom den inre marknaden föreskriver rådets ståndpunkt vid första behandlingen huvudsakligen en enda uppsättning regler som är direkt tillämpliga i hela unionen. Genom denna harmonisering undanröjs den fragmentering som härrör från de olika lagar i medlemsstaterna vilka genomför direktiv 95/46/EG. Emellertid tillåter rådets ståndpunkt vid första behandlingen medlemsstaterna att i sin nationella lagstiftning ytterligare specificera tillämpningen av dataskyddsreglerna i förordningen, i syfte att beakta kraven för specifika situationer där uppgifter behandlas.

Skyddet av personuppgifter är en grundläggande rättighet som fastställs i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Vidare föreskrivs i artikel 16 i fördraget om Europeiska unionens funktionssätt att var och en har rätt till skydd av de personuppgifter som rör honom eller henne och att bestämmelser bör fastställas för det ändamålet och för den fria rörligheten för personuppgifter. På grundval av detta föreskrivs i rådets ståndpunkt vid första behandlingen de principer och bestämmelser som gäller skyddet för enskilda avseende behandlingen av deras personuppgifter.

För att uppnå målen med förordningen stärker rådets ståndpunkt vid första behandlingen ansvarsskyldigheten för personuppgiftsansvariga (ansvariga för att fastställa ändamålen och medlen för behandlingen av personuppgifter) och personuppgiftsbiträden (ansvariga för att behandla personuppgifter på den personuppgiftsansvarigas vägnar) för att främja en verklig dataskyddskultur. Mot denna bakgrund införs genomgående i förordningen en riskbaserad metod som gör det möjligt att anpassa de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter beroende på riskerna med den uppgiftsbehandling som de utför. Vidare bidrar uppförandekoder och certifieringsmekanismer till efterlevnad av dataskyddsreglerna. Denna metod förebygger alltför normativa regler och minskar den administrativa bördan utan att minska efterlevnaden. Dessutom skapar den avskräckande effekten av eventuella påföljder som kan utdömas incitament för personuppgiftsansvariga att följa denna förordning.

De nya dataskyddsreglerna i rådets ståndpunkt vid första behandlingen föreskriver också stärkta och verkställbara rättigheter för medborgarna. Genom detta får enskilda en bättre kontroll över sina personuppgifter, och därigenom ökar förtroendet för onlinetjänster i gränsöverskridande omfattning, vilket kommer att stärka den digitala inre marknaden. Barn förtjänar särskilt skydd eftersom de kan vara mindre medvetna om riskerna avseende behandling av personuppgifter och om sina egna rättigheter.

Dessutom ökas i rådets ståndpunkt vid första behandlingen tillsynsmyndigheternas oberoende samtidigt som deras uppgifter och befogenheter harmoniseras. Reglerna för samarbete mellan tillsynsmyndigheter och, i förekommande fall, med kommissionen i gränsöverskridande fall – mekanismen för enhetlighet – kommer att bidra till en enhetlig tillämpning av förordningen i hela Europeiska unionen. Detta kommer att skapa större rättslig säkerhet och minska den administrativa bördan. Dessutom kommer mekanismen med en enda kontaktpunkt att innebära att det finns en enda diskussionspartner för personuppgiftsansvariga och personuppgiftsbiträden när det gäller den personuppgiftsansvarigas eller personuppgiftsbiträdets gränsöverskridande behandling, inbegripet bindande beslut av den nyligen inrättade Europeiska dataskyddsstyrelsen. Tack vare denna mekanism kommer tillämpningen av förordningen att bli enhetligare. Dessutom kommer den att skapa större rättslig säkerhet och minska den administrativa bördan.

Slutligen föreskrivs i rådets ståndpunkt vid första behandlingen en övergripande ram för överföring av personuppgifter från Europeiska unionen till mottagare i tredjeländer eller internationella organisationer och således tillhandahålls nya verktyg jämfört med direktiv 95/46/EG.

B. De viktigaste frågorna

Rådet och Europaparlamentet, biträdda av Europeiska kommissionen, jämkade vid informella förhandlingar sina ståndpunkter enligt rådets allmänna riktlinje respektive parlamentets ståndpunkt vid första behandlingen. Rådets ståndpunkt vid första behandlingen om den allmänna dataskyddsförordningen avspeglar till fullo de kompromisser som nåtts. De viktigaste frågorna i rådets ståndpunkt vid första behandlingen anges nedan.

1. Tillämpningsområde

1.1 Förordningens materiella tillämpningsområde samt avgränsning mot brottsbekämpningsdirektivet

I rådets ståndpunkt vid första behandlingen föreskrivs att den allmänna dataskyddsförordningen ska tillämpas på behandling av personuppgifter som helt eller delvis sker på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. Den allmänna dataskyddsförordningens materiella tillämpningsområde och dataskyddsdirektivets tillämpningsområde på brottsbekämpningsområdet är ömsesidigt uteslutande. Det anges att förordningen inte ska tillämpas på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, utreda, avslöja eller lagföra brott, verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga hot mot den allmänna säkerheten. Denna avgränsning gör det möjligt för brottsbekämpande myndigheter, särskilt polisen, att som regel tillämpa dataskyddsordningen i direktivet samtidigt som en enhetlig och hög skyddsnivå säkerställs för personuppgifter som rör enskilda som är föremål för brottsbekämpande insatser.

1.2 EU-institutioner och organ

I syfte att säkerställa ett enhetligt och konsekvent skydd för de registrerade med avseende på behandling av deras personuppgifter anges det i rådets ståndpunkt vid första behandlingen att nödvändiga anpassningar av förordning (EG) nr 45/2001, som är tillämplig på EU:s institutioner, organ och byråer, bör göras efter antagandet av den allmänna dataskyddsförordningen, så att den kan tillämpas samtidigt som den allmänna dataskyddsförordningen.

1.3 Undantag för hushåll

För att undvika regler som skapar onödiga bördor för enskilda anges det i rådets ståndpunkt vid första behandlingen att förordningen inte ska tillämpas på fysiska personers behandling av personuppgifter som ett led i verksamhet som är helt och hållet privat eller har samband med personens hushåll och därmed saknar koppling till yrkesverksamhet eller affärsmässig verksamhet.

1.4 Territoriellt tillämpningsområde

Rådets ståndpunkt vid första behandlingen skapar likvärdiga förutsättningar för de personuppgiftsansvariga och personuppgiftsbiträdena när det gäller territoriellt tillämpningsområde genom att omfatta alla personuppgiftsansvariga och personuppgiftsbiträden oavsett om de är etablerade i unionen eller ej.

För det första fastställer förordningen att dataskyddsregler ska tillämpas på behandlingen av personuppgifter inom ramen för den verksamhet som bedrivs av en personuppgiftsansvarig som är etablerad i unionen eller ett personuppgiftsbiträde som är etablerat i unionen, oavsett om behandlingen utförs i unionen eller inte. För det andra ska förordningen, för att säkerställa att fysiska personer inte fråntas skyddet av sina uppgifter, tillämpas på behandling av personuppgifter avseende registrerade personer som befinner sig i unionen, även om den personuppgiftsansvarige inte är etablerad i unionen eller personuppgiftsbiträdet inte är etablerat i unionen men behandlingen avser utbjudande av varor eller tjänster inom unionen till registrerade i unionen eller övervakning av deras beteende i den mån beteendet sker inom Europeiska unionen. Att fastställa tillämpningsområdet på ett sådant sätt ökar den rättsliga säkerheten för personuppgiftsansvariga och registrerade (de enskilda personer vars uppgifter behandlas).

I rådets ståndpunkt vid första behandlingen säkerställs vidare att registrerade och tillsynsmyndigheter har en kontaktpunkt i EU när personuppgiftsansvariga eller personuppgiftsbiträden inte är etablerade inom unionen men omfattas av tillämpningsområdet för förordningen: de måste skriftligen utnämna en företrädare i unionen. I syfte att undvika onödiga administrativa bördor ska denna skyldighet inte gälla för behandling där det är osannolikt att behandlingen kommer att medföra en risk för enskilda personers rättigheter och friheter eller för behandling som genomförs av en offentlig myndighet eller ett organ i tredjelandet.

2. Principer om behandling av personuppgifter

Principerna för dataskydd ska tillämpas på all information som rör en identifierad eller identifierbar fysisk person, inklusive information som inte längre kan tillskrivas en specifik registrerad person utan att kompletterande uppgifter används, så länge som dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som garanterar att ingen sådan tillskrivning är möjlig med avseende på en identifierad eller identifierbar fysisk person (pseudonymisering). I jämförelse med direktiv 95/46/EG sörjer förordningen i stort för kontinuitet när det gäller de principer som ligger till grund för behandling av personuppgifter. Samtidigt har principen om uppgiftsminimering anpassats för att beakta den digitala verkligheten och i syfte att upprätta en balans mellan å ena sidan skyddet av personuppgifter och å andra sidan möjligheterna för personuppgiftsansvariga att behandla uppgifter.

3. Laglig behandling av personuppgifter

3.1 Villkor för lagligheten

I syfte att ge rättslig säkerhet bygger rådets ståndpunkt vid första behandlingen på direktiv 95/46/EG genom att ange att behandling av personuppgifter är laglig endast om minst ett av följande villkor är uppfyllt:

— Samtycke från den registrerade för ett eller flera specifika ändamål.

— Ett avtal.

— En rättslig förpliktelse.

— Skydd av intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person.

— En uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

— En personuppgiftsansvarigs eller tredje parts berättigade intressen.

Två villkor förtjänar att beskrivas närmare: Samtycke och en personuppgiftsansvarigs eller tredje parts berättigade intressen.

3.1.1 Samtycke

För att tillåta behandling av sina personuppgifter får en registrerad ge sitt samtycke till behandling genom en entydig bekräftande handling som innebär en frivillig, specifik, informerad och otvetydig viljeyttring från honom eller henne om att denne godkänner behandling av personuppgifter rörande honom eller henne. Ett sådant samtycke gäller all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika ändamål, måste samtycke ges för samtliga ändamål för behandlingen. Vidare måste den personuppgiftsansvarige kunna visa att den registrerade har gett sitt samtycke till behandlingen. Tystnad, på förhand ikryssade rutor eller inaktivitet utgör därför inte samtycke. Utformningen av begreppet samtycke säkerställer kontinuiteten med det regelverk som har utvecklats avseende användningen av detta begrepp på grundval av direktiv 95/46/EG och bidrar till en gemensam förståelse och tillämpning av begreppet i hela Europeiska unionen.

Vidare anges det, i syfte att skydda den registrerades dataskyddsrättigheter, att om den registrerade har lämnat sitt samtycke i en skriftlig förklaring som också rör andra frågor, saknar varje del av förklaringen som innebär en överträdelse av denna förordning bindande karaktär. Dessutom måste, vid bedömningen av om samtycket är frivilligt, yttersta hänsyn tas till bland annat huruvida genomförandet av ett avtal gjorts beroende av samtycke till behandling som inte är nödvändig för genomförandet av detta avtal.

Slutligen, för att tillåta undantag från det allmänna förbudet att behandla särskilda kategorier av personuppgifter, föreskrivs i rådets ståndpunkt vid första behandlingen en högre tröskel än för annan behandling eftersom den registrerade måste ge sitt uttryckliga samtycke till behandlingen av sådana känsliga personuppgifter.

För barn föreskrivs i rådets ståndpunkt vid första behandlingen en särskild skyddsordning för samtycke från barn vid erbjudande av informationssamhällets tjänster. Behandling av personuppgifter avseende ett barn under 16 år är laglig om det rimligen kan kontrolleras, med hänsyn tagen till tillgänglig teknik, att sådant samtycke ges eller godkänns av den person som har föräldraansvar för barnet. Medlemsstater som anser att en lägre ålder är mer lämplig får fastställa en lägre åldersgräns förutsatt att den inte är under 13 år.

3.1.2 Berättigat intresse hos den personuppgiftsansvarige

Behandling av personuppgifter kan vara laglig om behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller tredje parts berättigade intressen. Sådana berättigade intressen är dock inte tillräcklig grund för laglig behandling om den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Ett berättigat intresse kräver en bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. Behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse. Med tanke på att det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för de offentliga myndigheternas behandling av personuppgifter, ska detta inte gälla den behandling de utför som ett led i fullgörandet av sina uppgifter.

3.2 Medlemsstaternas särskilda regler för att anpassa tillämpningen av förordningen

Rådets ståndpunkt vid första behandlingen tillåter medlemsstaterna att behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen om personuppgifter behandlas för att fullgöra en rättslig skyldighet eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra. Undantag, särskilda krav och andra åtgärder förutses dessutom i samband med dels specifika uppgiftsbehandlingar varigenom medlemsstaterna sammanjämkar rätten till skydd av personuppgifter med yttrandefrihet och informationsfrihet, dels allmänhetens rätt att få tillgång till allmänna handlingar, behandling av nationella identifikationsnummer, behandling inom ramen för anställningsförhållanden och behandling för arkivändamål av allmänt intresse, för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

3.3 Ytterligare behandling

I rådets ståndpunkt vid första behandlingen föreskrivs att behandling för andra ändamål än de för vilka de ursprungligen samlades in endast är tillåten, när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. Om den registrerade emellertid har gett sitt medgivande eller om behandlingen grundar sig på unionsrätten eller på nationell rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse, tillåts den personuppgiftsansvarige behandla personuppgifterna ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Den registrerades rättigheter har stärkts när det gäller ytterligare behandling, särskilt avseende rätten till information och rätten att göra invändningar mot ytterligare behandling när behandlingen inte är nödvändig för att utföra en uppgift av allmänt intresse.

För att fastställa om ett ändamål med den ytterligare behandlingen är förenligt med det ändamål för vilket personuppgifterna ursprungligen insamlades måste den personuppgiftsansvarige bland annat beakta alla kopplingar mellan de ursprungliga ändamålen och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personuppgifterna insamlats, särskilt den registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige i fråga om den framtida användningen, personuppgifternas art, den planerade ytterligare behandlingens konsekvenser för den registrerade samt förekomsten av lämpliga skyddsåtgärder både för den ursprungliga och den planerade ytterligare behandlingen.

3.4 Behandling av särskilda kategorier av personuppgifter

Personuppgifter som till sin karaktär är särskilt känsliga förtjänar särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för enskildas grundläggande rättigheter och friheter. Av det skälet behåller rådets ståndpunkt vid första behandlingen tillvägagångssättet i direktiv 95/46/EG genom att förbjuda behandling av särskilda kategorier av personuppgifter.

Som ett undantag från denna regel är behandling av känsliga uppgifter tillåten i vissa situationer som uttömmande räknas upp, exempelvis när den registrerade har gett uttryckligt samtycke, när behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse eller när behandlingen är nödvändig av andra skäl, bland annat på området för hälsa.

Slutligen föreskrivs det i rådets ståndpunkt vid första behandlingen att medlemsstaterna får införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Dessa ytterligare villkor får emellertid inte hindra det fria flödet av uppgifter inom unionen.

4. Egenmakt för registrerade personer

4.1 Inledning

Rådets ståndpunkt vid första behandlingen ger de registrerade egenmakt genom att de tillhandahålls stärkta dataskyddsrättigheter och genom att skyldigheter fastställs för de personuppgiftsansvariga. De registrerades rättigheter omfattar rätten till information, att få tillgång till personuppgifter, rättelse, radering av personuppgifter, inklusive ”rätten att bli bortglömd”, begränsning av behandling, dataportabilitet, att göra invändningar och att inte bli föremål för beslut grundade enbart på automatiserad behandling, inklusive profilering. De rättigheter som har varit föremål för betydande ändringar jämfört med direktiv 95/46/EG beskrivs nedan.

Personuppgiftsansvariga är skyldiga att underlätta utövandet av de registrerades rättigheter och att behandla personuppgifter i linje med öppenhetsprincipen, särskilt genom att tillhandahålla information om den behandling av personuppgifter som de utför.

Om de personuppgifter som behandlas av en personuppgiftsansvarig emellertid inte gör det möjligt för denne att identifiera en registrerad person, är den personuppgiftsansvarige inte tvungen att skaffa ytterligare information för att kunna identifiera den registrerade, om ändamålet endast är att följa någon av bestämmelserna i denna förordning.

Trots dessa rättigheter för de registrerade och skyldigheter för de personuppgiftsansvariga bibehålls i rådets ståndpunkt vid första behandlingen tillvägagångssättet i direktiv 95/46/EG genom att det tillåts begränsningar av de allmänna principerna och de enskildas rättigheter om en sådan begränsning grundar sig på unionsrätten eller medlemsstaternas nationella rätt. Sådana restriktioner måste respektera det väsentliga innehållet i de grundläggande rättigheterna och friheterna och vara nödvändiga och proportionerliga i ett demokratiskt samhälle för att skydda vissa allmänna intressen.

4.2 Öppenhet

Mot bakgrund av öppenhetsprincipen måste personuppgiftsansvariga tillhandahålla information och kommunikation i samband med behandlingen av personuppgifter i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, när så är lämpligt på elektronisk väg.

Vidare fastställs i rådets ståndpunkt vid första behandlingen tidsgränser för begäranden om information, kommunikation eller annan åtgärd av den personuppgiftsansvarige, vilka som allmän regel måste tillhandahållas kostnadsfritt. Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige emellertid ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts eller vägra att tillmötesgå begäran. I dessa fall ska det åligga den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig.

4.3 Information och kommunikation som ska tillhandahållas av den personuppgiftsansvarige

För att finna en balans mellan att, å ena sidan, ge de registrerade tillräcklig information om behandlingen av deras personuppgifter och, å andra sidan, undvika betungande skyldigheter för de personuppgiftsansvariga anges i rådets ståndpunkt vid första behandlingen en tvåstegsstrategi för att säkerställa att de registrerade får tillräcklig information, både när personuppgifterna samlas in från den registrerade och när personuppgifterna inte har erhållits från den registrerade. I den första fasen är den personuppgiftsansvarige skyldig att, när personuppgifterna erhålls, till den registrerade lämna den information som förtecknas i förordningen. I den andra fasen måste den personuppgiftsansvarige lämna den ytterligare information som förtecknas i förordningen och som är nödvändig för att säkerställa en rättvis och effektiv behandling. Personuppgiftsansvariga ska också informera de registrerade när de avser att ytterligare behandla personuppgifterna för ett annat ändamål än det för vilket de ursprungligen samlades in.

Den personuppgiftsansvarige är inte skyldig att lämna den information som förtecknas i den första eller den andra fasen, om den registrerade redan innehar denna information. När personuppgifterna inte erhölls från den registrerade ska den personuppgiftsansvarige inte ge någon information till den registrerade om registreringen eller utlämnandet av personuppgifterna till andra parter uttryckligen föreskrivs i lag eller om det visar sig vara omöjligt eller skulle medföra orimliga ansträngningar att tillhandahålla den registrerade informationen.

Slutligen är de personuppgiftsansvariga skyldiga att meddela alla mottagare till vilka personuppgifterna har lämnats ut varje rättelse, radering eller begränsning av behandling såvida detta inte visar sig vara omöjligt eller medför orimliga ansträngningar. Den personuppgiftsansvarige måste dessutom informera den registrerade om dessa mottagare på den registrerades begäran.

4.4 Symboler

Principerna om öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Mot denna bakgrund föreskrivs det i rådets ståndpunkt vid första behandlingen att information som tillhandahålls den registrerade får åtföljas av standardiserade symboler. De personuppgiftsansvariga får på frivillig väg besluta om huruvida en användning av dessa standardiserade symboler skulle vara till nytta för den behandling av personuppgifter de genomför. Symbolerna bör ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen. Symbolerna måste tillhandahållas samtidigt som informationen tillhandahålls. Om sådana symboler visas elektroniskt måste de vara maskinläsbara. För att bidra till standardiserad användning av symboler inom EU ger förordningen kommissionen befogenhet att anta delegerade akter för att fastställa vilken information som ska visas med hjälp av symboler och förfaranden för att tillhandahålla sådana symboler. Europeiska dataskyddsstyrelsen måste avge ett yttrande om de symboler som kommissionen föreslår. Möjligheten att anta delegerade akter hindrar inte Europeiska dataskyddsstyrelsen från att utfärda riktlinjer, yttranden och bästa praxis när det gäller symboler.

4.5 Rätt till tillgång

Den registrerade har rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och, om sådana personuppgifter håller på att behandlas, få tillgång till den information som förtecknas i förordningen. Mot denna bakgrund anges det i förordningen att den personuppgiftsansvarige avgiftsfritt måste förse den registrerade med en kopia av de personuppgifter som håller på att behandlas. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Rätten till en kopia får inte inverka menligt på andras rättigheter och friheter.

4.6 Rätt till radering (”rätt att bli bortglömd”)

Enligt rådets ståndpunkt vid första behandlingen ska registrerade personer ha rätt att få personuppgifter som rör dem raderade när behandlingen av uppgifterna inte stämmer överens med förordningen eller med unionsrätten eller den medlemsstats lagstiftning som den personuppgiftsansvarige lyder under.

Hänvisningen till ”rätten att bli bortglömd” bekräftar behovet av att anpassa rätten till radering särskilt i ett digitalt sammanhang. Personuppgiftsansvariga som har offentliggjort personuppgifter som den registrerade vill ha bortglömda måste vidta rimliga åtgärder, däribland tekniska åtgärder, för att informera de personuppgiftsansvariga som behandlar personuppgifterna om den registrerades begäran om att de ska radera länkar till och kopior eller reproduktioner av sådana uppgifter, med beaktande av tillgänglig teknik och genomförandekostnader. Europeiska dataskyddsstyrelsen får utfärda riktlinjer, rekommendationer och bästa praxis beträffande förfaranden för att radera länkar, kopior eller reproduktioner av personuppgifter från allmänt tillgängliga kommunikationstjänster.

Rätten till radering och skyldigheten för en personuppgiftsansvarig att informera andra personuppgiftsansvariga om en begäran om radering ska inte gälla i den utsträckning som det är nödvändigt att behandla personuppgifterna för de syften som uttömmande förtecknas i förordningen, såsom rätten till yttrandefrihet och informationsfrihet.

4.7 Rätt till dataportabilitet

I rådets ståndpunkt vid första behandlingen fastställs att de registrerade, om behandlingen av personuppgifterna sker automatiserat, har rätt att motta de personuppgifter som rör dem, som de har tillhandahållit den personuppgiftsansvarige, i ett strukturerat, allmänt använt, maskinläsbart och kompatibelt format och att överföra dessa till en annan personuppgiftsansvarig. Det anges vidare att de registrerade har rätt till direkt överföring av personuppgifterna från en personuppgiftsansvarig till en annan, när detta är tekniskt möjligt. Detta förbättrar ytterligare de registrerades kontroll över sina uppgifter. Det främjar även konkurrensen mellan de personuppgiftsansvariga.

Denna rätt till dataportabilitet ska emellertid inte gälla i fråga om en behandling som är nödvändig för att utföra en uppgift i det allmännas intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Om mer än en registrerad berörs inom en viss uppsättning personuppgifter, bör dessutom en registrerads rätt att motta personuppgifterna inte inverka på andras rättigheter och friheter.

4.8 Rätt att göra invändningar

I de fall där personuppgifter lagligen får behandlas, eftersom behandlingen är nödvändig för att utföra en uppgift i det allmännas intresse eller som ett led i en myndighetsutövning som utförs av den personuppgiftsansvarige eller på grund av en personuppgiftsansvarigs eller en tredje parts berättigade intressen, ska den registrerade ha rätt att göra invändningar mot behandlingen av alla personeruppgifter som rör vederbörandes särskilda situation. I det fallet får den personuppgiftsansvarige inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande rättsliga skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för att kunna fastställa, göra gällande eller försvara rättsliga anspråk.

Mot denna bakgrund har det förtydligats att om personuppgifter behandlas för direkt marknadsföring ska den registrerade ha rätt att närsomhelst invända mot behandlingen av personuppgifter som avser honom eller henne. Detta inbegriper profilering i den utsträckning som denna är kopplad till direkt marknadsföring. Begreppet profilering definieras som varje form av automatiserad behandling av personuppgifter som består i att dessa uppgifter används för att bedöma vissa personliga aspekter rörande en fysisk person, i synnerhet för att analysera eller förutsäga aspekter rörande denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. Om den registrerade invänder mot behandlingen för direkt marknadsföring får personuppgifterna inte längre behandlas för sådana ändamål. Vidare måste denna rättighet uttryckligen och klart och tydligt meddelas den registrerade senast vid den personuppgiftsansvariges första kommunikation med den registrerade.

I rådets ståndpunkt vid första behandlingen ingår vidare en hänvisning till ”spåra mig inte-egenskaper” online genom att det anges att när det gäller användningen av informationssamhällets tjänster får den registrerade utöva sin rätt att göra invändningar genom automatiserad användning av tekniska specifikationer.

4.9 Automatiserat individuellt beslutsfattande, inbegripet profilering

Varje registrerad har rätt att inte omfattas av ett beslut som enbart grundas på automatiserad behandling som utgör en bedömning av personliga aspekter rörande honom eller henne och som medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Exempel på detta är ett automatiskt avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt. Sådan automatiserad behandling kan inbegripa profilering. Denna rätt att inte omfattas av automatiserad behandling gäller emellertid inte när den

— är nödvändig för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige,

— tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen, t.ex. övervakning av bedrägerier och skatteundandragande, eller

— grundar sig på den registrerades uttryckliga samtycke.

— Utom i det andra fallet som gäller sådan behandling som beviljas genom unionsrätten eller medlemsstaternas nationella rätt måste den personuppgiftsansvarige som utför behandling på automatisk väg genomföra lämpliga åtgärder för att skydda de registrerades rättigheter, friheter och berättigade intressen. Skyddsåtgärderna måste åtminstone inbegripa rätten till mänskligt ingripande från den personuppgiftsansvariges sida och möjlighet för den registrerade att framföra egna synpunkter och att motsätta sig beslutet. Dessutom bör de personuppgiftsansvariga i syfte att sörja för rättvis och öppen behandling använda adekvata matematiska eller statistiska förfaranden för profilering och åtgärder som minimerar potentiella risker för de registrerades intressen.

Den registrerades egenmakt har stärkts ytterligare eftersom den personuppgiftsansvarige, när det krävs för att säkerställa rättvis och öppen behandling, är skyldig att till den registrerade lämna information om förekomsten av ett sådant automatiserat beslutsfattande, inbegripet profilering, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

Automatiserat beslutsfattande eller profilering som bygger på särskilda kategorier av personuppgifter ska slutligen endast tillåtas på särskilda villkor, inbegripet den registrerades rätt att invända mot sådan behandling när dessa personuppgifter är föremål för ytterligare behandling för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, såvida inte behandlingen är nödvändig för utförandet av en uppgift i det allmännas intresse.

Europeiska dataskyddsstyrelsen får utfärda riktlinjer, rekommendationer och bästa praxis för att närmare ange kriterierna och kraven för beslut på grundval av profilering.

5. Personuppgiftsansvarig och personuppgiftsbiträde

5.1 Inledning

I rådets ståndpunkt vid första behandlingen fastställs den rättsliga ramen för ansvaret för all behandling av personuppgifter som en personuppgiftsansvarig utför eller som utförs på dennes vägnar av ett personuppgiftsbiträde. I enlighet med ansvarsprincipen är den personuppgiftsansvarige skyldig att genomföra lämpliga tekniska och organisatoriska åtgärder och kunna visa att behandlingen utförs i enlighet med förordningen. Mot denna bakgrund fastställs i förordningen bestämmelser om den personuppgiftsansvariges ansvar när det gäller konsekvensbedömningar, registerföring över behandling, personuppgiftsincidenter, utnämning av ett uppgiftsskyddsombud, uppförandekoder och certifieringsmekanismer.

5.2 Konsekvensbedömningar

Den personuppgiftsansvarige ska vara ansvarig för att en konsekvensbedömning avseende dataskydd utförs för att bedöma när behandlingen sannolikt kan innebära en hög risk för enskildas rättigheter och friheter. I rådets ståndpunkt vid första behandlingen fastställs de fall där det särskilt krävs en konsekvensbedömning avseende dataskydd, såsom viss storskalig uppgiftsbehandling. Om en konsekvensbedömning avseende dataskydd ger vid handen att uppgiftsbehandlingen medför en hög risk, som den personuppgiftsansvarige inte kan begränsa genom lämpliga åtgärder med avseende på tillgänglig teknik och genomförandekostnader, måste ett samråd med tillsynsmyndigheten ske före behandlingen. Tillsynsmyndigheten kan sedan ge råd till den personuppgiftsansvarige och utnyttja alla sina befogenheter.

Europeiska dataskyddsstyrelsen får utfärda riktlinjer för uppgiftsbehandling som sannolikt kan innebära en hög risk för enskildas rättigheter och friheter samt ange vilka åtgärder som i sådana fall kan vara tillräckliga för att bemöta en potentiell risk.

5.3 Register över behandling av personuppgifter

För att göra det möjligt för tillsynsmyndigheten att genomföra efterhandskontroller måste den personuppgiftsansvarige eller dennes eventuella företrädare eller personuppgiftsbiträdet föra register över behandling av personuppgifter som sker under dennes ansvar, inklusive över personuppgiftsincidenter. I syfte att minska den administrativa bördan ska skyldigheten att föra register inte gälla för företag eller organisationer som sysselsätter färre än 250 personer, såvida inte den behandling som de genomför sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller behandlingen omfattar känsliga uppgifter eller uppgifter om fällande domar i brottmål och överträdelser.

5.4 Personuppgiftsincidenter

En personuppgiftsincident kan för enskilda personer leda till fysisk, materiell eller icke-materiell skada, såsom förlust av kontrollen över de egna personuppgifterna eller till begränsning av deras rättigheter, diskriminering, identitetsstöld eller bedrägeri, ekonomisk förlust, obehörigt hävande av pseudonymisering, skadat anseende, förlust av konfidentialitet när det gäller uppgifter som omfattas av tystnadsplikt, eller till annan ekonomisk eller social nackdel. I rådets ståndpunkt vid första behandlingen föreskrivs att personuppgiftsansvariga måste anmäla personuppgiftsincidenter till tillsynsmyndigheterna, såvida det inte är osannolikt att personuppgiftsincidenten kommer att medföra en risk för enskilda personers rättigheter och friheter. De måste även informera de berörda registrerade om sådana personuppgiftsincidenter som sannolikt medför en hög risk. Anmälan till tillsynsmyndigheterna gör det möjligt för dessa att ingripa vid behov. Meddelande till den berörda registrerade kommer dessutom att göra det möjligt för denne att vidta skyddsåtgärder.

I syfte att minska den administrativa bördan tillämpas i rådets ståndpunkt vid första behandlingen olika trösklar för anmälan till tillsynsmyndigheten och meddelanden till de berörda registrerade, med en högre tröskel för ett meddelande än för en anmälan. Så snart de personuppgiftsansvariga blir medvetna om att en personuppgiftsincident har inträffat, är de skyldiga att utan onödigt dröjsmål och om möjligt senast 72 timmar efter att ha blivit medvetna om personuppgiftsincidenten anmäla den till den behöriga tillsynsmyndigheten. Personuppgiftsansvariga får emellertid avstå från anmälan om de kan påvisa att det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för enskilda personers rättigheter och friheter. Med vissa undantag är personuppgiftsansvariga skyldiga att utan onödigt dröjsmål meddela de berörda registrerade om personuppgiftsincidenten om denna sannolikt kommer att medföra en hög risk för dessa registrerades rättigheter och friheter.

Europeiska dataskyddsstyrelsen får utfärda riktlinjer, rekommendationer och bästa praxis för att konstatera personuppgiftsincidenterna och fastställa det otillbörliga dröjsmålet efter det att den personuppgiftsansvarige har blivit medveten om personuppgiftsincidenten och för de särskilda omständigheter under vilka en personuppgiftsansvarig är skyldig att anmäla personuppgiftsincidenten samt för de omständigheter under vilka en personuppgiftsincident sannolikt kommer att orsaka en hög risk för rättigheterna och friheterna för de enskilda personerna.

5.5 Uppgiftsskyddsombud

Ändamålet med att utse ett uppgiftsskyddsombud är att förbättra efterlevnaden av förordningen. Därför måste uppgiftsskyddsombudet vara en person med expertkunnande i fråga om lagstiftning och förfaranden för dataskydd och måste bistå den personuppgiftsansvarige eller personuppgiftsbiträdet för att övervaka den interna efterlevnaden av denna förordning. Han eller hon får ingå i den personuppgiftsansvariges eller personuppgiftsbiträdets personal, eller utföra uppgifterna på grundval av ett tjänsteavtal. Ett enda dataskyddsombud får även utnämnas för en koncern eller om den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet. I rådets ståndpunkt vid första behandlingen föreskrivs att en utnämning av ett uppgiftsskyddsombud ska vara obligatorisk om

— behandlingen genomförs av en offentlig myndighet med undantag av domstolar eller oberoende rättsliga myndigheter som en del av deras dömande verksamhet,

— den personuppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling som, på grund av sin karaktär, sin omfattning och/eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning eller

— den personuppgiftsansvariges eller personuppgiftsbiträdes kärnverksamhet består av behandling i stor omfattning av känsliga uppgifter eller uppgifter som rör fällande domar i brottmål och överträdelser.

5.6 Uppförandekoder och certifieringsmekanismer

Genom rådets ståndpunkt vid första behandlingen ges incitament till en tillämpning av uppförandekoder och främjas en större användning av certifieringsmekanismer för dataskydd och av sigill och märkningar för dataskydd. Dessa initiativ bidrar till efterlevnaden av dataskyddsbestämmelserna och till att undvika alltför normativa bestämmelser och minska kostnaderna för de offentliga myndigheter som är ansvariga för genomförandet. Dessutom kan man genom uppförandekoder beakta de särdrag som finns vid den behandling som sker inom vissa sektorer och de särskilda behov som finns inom mikroföretag samt inom små och medelstora företag. Certifieringsmekanismer, dataskyddssigill och dataskyddsmärkningar bidrar å sin sida till efterlevnaden av förordningen eftersom de registrerade lätt kan bedöma nivån på relevanta produkters och tjänsters dataskydd.

I rådets ståndpunkt vid första behandlingen ingår en detaljerad uppsättning bestämmelser när det gäller uppförandekoder och certifieringsmekanismer, sigill och märkningar för dataskydd som ger utrymme för privata initiativ samtidigt som standardiserade dataskyddsbestämmelser skyddas genom deltagandet av tillsynsmyndigheter.

5.6.1 Uppförandekoder

Tillsynsmyndigheten kan godkänna uppförandekoder och ändringar eller utökningar av sådana uppförandekoder. Om ett utkast till uppförandekod avser behandling av personuppgifter i flera medlemsstater måste den behöriga tillsynsmyndigheten innan utkastet godkänns överlämna utkastet till uppförandekod eller den ändrade eller utökade uppförandekoden till Europeiska dataskyddsstyrelsen för ett yttrande.

Kommissionen får anta genomförandeakter för att fastställa att de uppförandekoder och ändringar eller utökningar av befintliga uppförandekoder som har godkänts av den behöriga tillsynsmyndigheten är allmänt giltiga inom unionen.

Europeiska dataskyddsstyrelsen bör främja ett framtagande av uppförandekoder. Den ska också samla alla godkända uppförandekoder och ändringar av dessa i ett register och offentliggöra dem på lämpligt sätt.

5.6.2 Certifieringsmekanismer, sigill och märkningar för dataskydd

I rådets ståndpunkt vid första behandlingen fastställs att varje medlemsstat måste ange huruvida certifieringsorganen ska vara ackrediterade av tillsynsmyndigheten eller av det nationella ackrediteringsorganet. Ackrediterade certifieringsorgan kan certifiera personuppgiftsansvariga och personuppgiftsbiträden på grundval av de kriterier som godkänts av den behöriga tillsynsmyndigheten eller, i enlighet med mekanismen för enhetlighet, av Europeiska dataskyddsstyrelsen. I det senare fallet kan de kriterier som godkänts av Europeiska dataskyddsstyrelsen leda till en gemensam certifiering, det europeiska sigillet för dataskydd. Certifiering ska utfärdas till en personuppgiftsansvarig eller ett personuppgiftsbiträde för en period på högst tre år med möjlighet till förlängning. Certifieringsorganet måste informera tillsynsmyndigheten om orsakerna till beviljandet eller återkallelsen av den begärda certifieringen. Därefter kan tillsynsmyndigheten avslå certifieringen eller förklara en sådan certifiering ogiltig.

Kommissionen har befogenhet att anta delegerade akter för att precisera de krav som ska tas i beaktande för certifieringsmekanismerna för dataskydd. Europeiska dataskyddsstyrelsen måste avge ett yttrande om dessa krav. Kommissionen får också anta genomförandeakter om tekniska standarder för certifieringsmekanismer och sigill och märkningar för dataskydd samt rutiner för att främja och erkänna certifieringsmekanismer och sigill och märkningar för dataskydd.

Slutligen bör Europeiska dataskyddsstyrelsen främja inrättandet av certifieringsmekanismer för dataskydd och av sigill och märkningar för dataskydd.

6. Överföring av personuppgifter till tredjeländer eller internationella organisationer

6.1 Inledning

Gränsöverskridande flöden av personuppgifter till och från länder utanför unionen och till och från internationella organisationer är av avgörande betydelse med avseende på global handel och den gränsöverskridande digitala ekonomin. Den skyddsnivå som garanteras inom unionen får inte undergrävas om EU-medborgares personuppgifter överförs utanför unionen.

Som en allmän princip får en överföring av personuppgifter till ett tredjeland eller en internationell organisation endast ske om personuppgiftsansvariga eller personuppgiftsbiträden uppfyller bestämmelserna i förordningen. I rådets ståndpunkt vid första behandlingen beaktas rättspraxis från Europeiska unionens domstol fullt ut, inbegripet domstolens dom av den 6 oktober 2015 i mål C-362/14. I rådets ståndpunkt vid första behandlingen bibehålls olika sätt att tillåta gränsöverskridande överföringar av personuppgifter samtidigt som man stärker garantierna för att dataskyddsrättigheterna respekteras. Dessa olika sätt att överföra personuppgifter består av beslut om adekvat skyddsnivå, lämpliga skyddsåtgärder och undantag.

I rådets ståndpunkt vid första behandlingen klargörs att domstolsbeslut eller beslut från administrativa myndigheter i ett tredjeland där det krävs att en personuppgiftsansvarig eller ett personuppgiftsbiträde överför eller lämnar ut personuppgifter endast får erkännas eller verkställas om detta grundar sig på en gällande internationell överenskommelse mellan det begärande tredjelandet och unionen eller en medlemsstat. I rådets ståndpunkt vid första behandlingen anges dessutom uttryckligen att sådana internationella överenskommelser inte påverkar några andra grunder för gränsöverskridande överföringar i enlighet med förordningen.

6.2 Beslut om adekvat skyddsnivå

Internationella överföringar får äga rum på grundval av ett kommissionsbeslut om att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen har en adekvat skyddsnivå som säkerställer en skyddsnivå som i huvudsak motsvarar den som garanteras inom unionen. På så sätt skapas rättslig säkerhet och enhetlighet i hela unionen.

Kommissionen kan efter att ha varslat tredjelandet eller den internationella organisationen i fråga och lämnat en fullständig motivering besluta att ett beslut om adekvat skyddsnivå ska återkallas. Kommissionen antar beslut om adekvat skyddsnivå och beslut om att upphäva beslut om adekvat skyddsnivå som genomförandeakter. Genomförandeakterna ska innehålla en mekanism för regelbunden översyn, minst vart fjärde år. Kommissionen ska övervaka den utveckling i tredjeländer och internationella organisationer som kan påverka hur beslut om adekvat skyddsnivå fungerar. Vid övervakningen och genomförandet av de återkommande utvärderingarna bör kommissionen ta hänsyn till synpunkter och resultat från Europaparlamentet och rådet samt andra relevanta organ och källor. I samband med utvärderingen och översynen av förordningen ska kommissionen också regelbundet rapportera till rådet och Europaparlamentet. Slutligen måste Europeiska dataskyddsstyrelsen avge ett yttrande till kommissionen för bedömningen av huruvida skyddsnivån i ett tredjeland eller en internationell organisation är adekvat, inbegripet för en bedömning av huruvida en adekvat skyddsnivå inte längre är garanterad.

De beslut som antas av kommissionen på grundval av artikel 25.6 i direktiv 95/46/EG ska förbli i kraft tills de ändrats, ersatts eller upphävts genom ett kommissionsbeslut. På samma sätt ska tillstånd från en medlemsstat eller tillsynsmyndighet på grundval av artikel 26.2 i direktiv 95/46/EG och beslut som antas av kommissionen på grundval av artikel 26.4 i direktiv 95/46/EG förbli giltiga tills de, om nödvändigt, ändrats, ersatts eller upphävts av den tillsynsmyndigheten eller genom ett beslut av kommissionen. Genom att säkerställa kontinuitet skapar rådets ståndpunkt vid första behandlingen rättslig säkerhet.

6.3. Lämpliga skyddsåtgärder

Utöver beslut om adekvat skyddsnivå kan gränsöverskridande överföringar även äga rum om den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit lämpliga skyddsåtgärder för att kompensera för det bristande dataskyddet i tredjelandet eller den internationella organisationen. Sådana skyddsåtgärder kan bestå av rättsligt bindande och verkställbara instrument mellan offentliga myndigheter eller organ, bindande företagsbestämmelser, standardbestämmelser om uppgiftsskydd som antagits av kommissionen, standardbestämmelser om uppgiftsskydd som antagits av en tillsynsmyndighet eller avtalsbestämmelser som godkänts av en tillsynsmyndighet. Personuppgiftsansvariga eller personuppgiftsbiträden i ett tredjeland får också vidta lämpliga skyddsåtgärder för överföring av personuppgifter till tredjeländer eller internationella organisationer. Det kan de göra genom en godkänd uppförandekod tillsammans med bindande och verkställbara åtaganden att genomföra de lämpliga skyddsåtgärderna genom avtalsmässiga eller andra rättsligt bindande instrument, även när det gäller registrerades rättigheter. De kan också göra detta genom en certifieringsmekanism som godkänts av den behöriga tillsynsmyndigheten tillsammans med bindande och verkställbara åtaganden av den personuppgiftsansvarige eller personuppgiftsbiträdet i tredjelandet att tillämpa lämpliga skyddsåtgärder, även när det gäller registrerades rättigheter.

6.4 Undantag

Saknas beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder får en överföring eller uppsättning av överföringar av personuppgifter till ett tredjeland eller en internationell organisation äga rum på grundval av de undantag som uttömmande förtecknas i förordningen. Ett av dessa undantag gäller berättigade intressen som eftersträvas av den personuppgiftsansvarige om den registrerades rättigheter eller friheter inte är av överordnad betydelse. För att tillhandahålla tillräckliga skyddsåtgärder för gränsöverskridande överföringar av personuppgifter har den personuppgiftsansvariges berättigade intresse strikt avgränsats och får endast åberopas som en sista utväg. I syfte att säkerställa enhetlig tillämpning av förordningen ska Europeiska dataskyddsstyrelsen, på eget initiativ eller på begäran av kommissionen, utforma och se över riktlinjer, rekommendationer och bästa praxis för att närmare ange kriterierna och kraven för överföringar av uppgifter om det saknas beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder.

7. Tillsynsmyndigheter

7.1 Oberoende

I syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandlingen av deras personuppgifter samt underlätta det fria flödet av sådana uppgifter inom unionen måste varje medlemsstat utse en eller flera oberoende offentliga myndigheter som ska vara ansvariga för att övervaka tillämpningen av förordningen på deras territorium. Varje tillsynsmyndighet och dess ledamöter måste vara fullständigt oberoende, och handla med integritet, i utövandet av de uppgifter och de befogenheter som den och dess ledamöter har anförtrotts.

Varje tillsynsmyndighet måste bidra till en enhetlig tillämpning av förordningen i hela unionen. För detta ändamål måste tillsynsmyndigheterna samarbeta såväl sinsemellan som med Europeiska dataskyddsstyrelsen, samt med kommissionen. En enhetlig tillämpning av förordningen säkerställs vidare genom angivande av tillsynsmyndigheternas befogenheter och genom att man fastställer de uppgifter och undersökningsbefogenheter, korrigerande befogenheter och befogenheter att utfärda tillstånd och ge råd, som tillsynsmyndigheterna åtminstone måste förfoga över.

7.2 Tystnadsplikt

I rådets ståndpunkt vid första behandlingen fastställs bestämmelser om tystnadsplikt för tillsynsmyndigheterna och deras ledamöter. För det första måste varje tillsynsmyndighets ledamot eller ledamöter och personal i enlighet med unionsrätten eller medlemsstatens nationella rätt omfattas av tystnadsplikt både under och efter sin mandattid vad avser konfidentiell information som de fått kunskap om under utförandet av sina uppgifter eller utövandet av sina befogenheter. Vidare anges det att denna tystnadsplikt under mandatperioden i synnerhet gäller rapportering från enskilda personer om överträdelser av förordningen. Dessutom ges Europeiska dataskyddsstyrelsen i uppdrag att utfärda riktlinjer, rekommendationer och bästa praxis för att fastställa gemensamma förfaranden för enskilda personers rapportering av överträdelser av förordningen.

8. Samarbete och enhetlighet

8.1 Europeiska dataskyddsstyrelsen

I rådets ståndpunkt vid första behandlingen inrättas Europeiska dataskyddsstyrelsen som ett unionsorgan med ställning som juridisk person i syfte att säkerställa en korrekt och enhetlig tillämpning av förordningen. Styrelsens ingripanden består särskilt i att avge yttranden, anta bindande beslut i samband med tvistlösning mellan tillsynsmyndigheter eller utfärda riktlinjer för alla frågor som rör tillämpningen av denna förordning för att säkerställa att förordningen verkställs på ett enhetligt sätt.

Europeiska dataskyddsstyrelsen består av chefen för en tillsynsmyndighet per medlemsstat och av Europeiska datatillsynsmannen eller deras respektive företrädare. Kommissionen har rätt att delta i Europeiska dataskyddsstyrelsens verksamhet och möten utan rösträtt. Europeiska dataskyddsstyrelsens överläggningar är konfidentiella i de fall som styrelsen bedömer detta vara nödvändigt, i enlighet med vad som anges i dess arbetsordning.

Om Europeiska dataskyddsstyrelsen antar ett bindande beslut i samband med tvistlösning har Europeiska datatillsynsmannen rösträtt endast i fråga om beslut som rör principer och regler som är tillämpliga på unionens institutioner, organ och byråer, och som i allt väsentligt motsvarar dem i förordningen.

8.2 Mekanism för enhetlighet

Vid gränsöverskridande behandling av personuppgifter där fler än en tillsynsmyndighet medverkar säkerställer mekanismen för enhetlighet att det fattas ett enda beslut som kommer att vara tillämpligt i hela Europeiska unionen, varvid man beaktar flera berörda tillsynsmyndigheters yttrande. Mekanismen för enhetlighet ökar därför närheten mellan registrerade och den beslutsfattande tillsynsmyndigheten genom medverkan av ”lokala” tillsynsmyndigheter i beslutsprocessen. Vid tvister mellan tillsynsmyndigheter från olika medlemsstater är dessutom den nyligen inrättade Europeiska dataskyddsstyrelsen behörig att fatta bindande beslut.

Bestämmelserna om mekanismen för enhetlighet tillämpas inte om behandlingen utförs av offentliga myndigheter eller privata organ i allmänt intresse. I sådana fall är den enda tillsynsmyndighet som är behörig tillsynsmyndigheten i den medlemsstat där den offentliga myndigheten eller det privata organet är etablerat.

I rådets ståndpunkt vid första behandlingen föreskrivs det att tillämpningen av mekanismen för samarbete och enhetlighet kommer att undersökas inom ramen för kommissionens utvärdering av förordningen.

9. Rättsmedel, ansvar samt sanktioner

I rådets ståndpunkt vid första behandlingen fastställs en utförlig uppsättning bestämmelser som ger de registrerade flera olika möjligheter till rättsmedel, bland annat rätt att kräva ersättning i händelse av skada till följd av att förordningen har överträtts.

9.1 Rätt att lämna in klagomål och rätt till ett effektivt rättsmedel

I rådets ståndpunkt vid första behandlingen föreskrivs det att varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom inte är förenlig med denna förordning har rätt att lämna in ett klagomål till en tillsynsmyndighet. Dessutom har varje registrerad person rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande honom eller henne som meddelats av en tillsynsmyndighet. Han eller hon har även rätt till ett effektivt rättsmedel om den behöriga tillsynsmyndigheten underlåter att behandla klagomålet eller att tillhandahålla information om hur det fortskrider med klagomålet eller vilket beslut som har fattats med anledning av det.

Dessutom har varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen rätt till ett effektivt rättsmedel.

Närheten mellan den registrerade och den nationella domstolen säkerställs genom att den registrerade har rätt att få beslut som fattats av hans eller hennes dataskyddsmyndighet prövade av sin nationella domstol, oavsett i vilken medlemsstat den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerade. Talan mot personuppgiftsansvariga eller personuppgiftsbiträden måste väckas vid domstolarna i den medlemsstat där de personuppgiftsansvariga eller personuppgiftsbiträdena är etablerade. Alternativt får sådan talan väckas vid domstolarna i den medlemsstat där personuppgiftsbiträdena har sin hemvist, såvida inte de personuppgiftsansvariga eller personuppgiftsbiträdena är en offentlig myndighet i en medlemsstat som agerar inom ramen för sin myndighetsutövning.

Slutligen har varje fysisk eller juridisk person rätt att väcka ogiltighetstalan mot Europeiska dataskyddsstyrelsens beslut vid Europeiska unionens domstol enligt de villkor som föreskrivs i artikel 263 i EUF-fördraget.

9.2 Företrädande av registrerade

Registrerade har rätt att ge organ, organisationer eller sammanslutningar som uppfyller särskilda kriterier, såsom att de inte har något vinstsyfte och att de är verksamma inom området för dataskydd, att för hans eller hennes räkning lämna in klagomålet och att för hans eller hennes räkning utöva rätten till ett effektivt rättsmedel och att för hans eller hennes räkning utöva rätten till ersättning om så föreskrivs i medlemsstatens nationella rätt. Dessa särskilda kriterier syftar till att förhindra att det utvecklas en kultur av kommersiella anspråk inom området för dataskydd. Dessutom får medlemsstaterna föreskriva att ett sådant organ, en sådan organisation eller en sådan sammanslutning har rätt att oberoende av en registrerad persons mandat i medlemsstaten i fråga lämna in ett klagomål till den behöriga tillsynsmyndigheten och utöva rätten till ett effektivt rättsmedel, om det eller den anser att en registrerad persons rättigheter har kränkts till följd av att personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning.

9.3 Vilandeförklaring av förfaranden

I syfte att undvika att samma sakfråga vad gäller behandling av samma personuppgiftsansvarig eller samma personuppgiftsbiträde granskas av flera olika domstolar får alla andra behöriga domstolar än den domstol där förfarandet först inleddes låta förfarandena vila eller på en av parternas begäran förklara sig obehöriga.

9.4 Ansvar och rätt till ersättning

I rådets ståndpunkt vid första behandlingen föreskrivs det att varje registrerad som har lidit materiell eller immateriell skada till följd av en överträdelse av förordningen har rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet. I syfte att ge de registrerade möjlighet att kräva ersättning i händelse av skada, samtidigt som man ger personuppgiftsansvariga och personuppgiftsbiträden rättslig säkerhet, fastställs dessas ansvar i förordningen. Varje personuppgiftsansvarig som medverkat vid behandlingen ansvarar för den skada denne har orsakat. Ett personuppgiftsbiträde är ansvarigt endast om denne inte har fullgjort de skyldigheter i denna förordning som specifikt riktar sig till personuppgiftsbiträden eller om denne har agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar. De personuppgiftsansvariga eller personuppgiftsbiträdena undgår dock ansvar om de visar att de inte på något sätt är ansvariga för den händelse som orsakade skadan.

Om mer än en personuppgiftsansvarig eller ett personuppgiftsbiträde eller en personuppgiftsansvarig och ett personuppgiftsbiträde har medverkat vid samma behandling, och om de är ansvariga för eventuell skada som behandlingen orsakat, hålls de samtligaansvariga för hela skadan för att säkerställa att den registrerade får effektiv ersättning. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde har betalat full ersättning för den skada som orsakats har den personuppgiftsansvarige eller personuppgiftsbiträdet emellertid rätt att från de andra personuppgiftsansvariga eller personuppgiftsbiträdena som medverkat vid samma behandling återkräva den del av ersättningen som motsvarar deras del av ansvaret för skadan.

9.5 Sanktioner

I syfte att säkerställa efterlevnad av förordningen föreskrivs i rådets ståndpunkt vid första behandlingen att tillsynsmyndigheterna kan påföra administrativa sanktionsavgifter. Dessa sanktionsavgifter måste vara effektiva, proportionella och avskräckande. Varje medlemsstat får fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter och organ som är inrättade i medlemsstaten. Utöver att påföra administrativa sanktionsavgifter kan tillsynsmyndigheterna även använda andra korrigerande befogenheter såsom varningar eller reprimander. I syfte att öka harmoniseringen måste Europeiska dataskyddsstyrelsen utforma riktlinjer för tillsynsmyndigheterna i fråga om tillämpningen av tillsynsmyndigheternas korrigerande befogenheter och fastställandet av administrativa sanktionsavgifter.

Rådets ståndpunkt vid första behandlingen innehåller en förteckning över kriterier för tillsynsmyndigheten när den beslutar om huruvida administrativa sanktionsavgifter ska påföras och i så fall vilket beloppet för sanktionsavgifterna bör vara. Dessa kriterier rör bland annat överträdelsens karaktär, svårighetsgrad och varaktighet eller frågan huruvida överträdelsen av förordningen har skett med uppsåt eller genom oaktsamhet. I förordningen förtecknas både överträdelserna och de motsvarande maximala administrativa sanktionsavgifterna. Inom ramen för dessa maximala administrativa sanktionsavgifter måste tillsynsmyndigheten fastställa det lämpliga beloppet beroende på omständigheterna kring varje enskild överträdelse. I syfte att skapa rättslig säkerhet för personuppgiftsansvariga och personuppgiftsbiträden och öka harmoniseringen av de administrativa sanktionsavgifterna inom unionen, samtidigt som man ger tillsynsmyndigheterna ett visst bedömningsutrymme, uppdelas dessa överträdelser i tre kategorier. Vid överträdelser i den första kategorin avseende personuppgiftansvarigas och personuppgiftbiträdens skyldigheter kan det påföras sanktionsavgifter på upp till 10 000 000 EUR eller, om det gäller ett företag, på upp till 2 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Den andra kategorin av överträdelser, som avser de registrerades rättigheter och de allmänna principerna, har ett tak på 20 000 000 EUR eller 4 % av omsättningen. Den tredje kategorin av överträdelser avser underlåtenhet att rätta sig efter ett föreläggande från tillsynsmyndigheten och har likaså en maximal sanktionsavgift på 20 000 000 EUR eller 4 % av omsättningen.

10. Särskilda situationer vid behandling av personuppgifter

10.1 Behandling av personuppgifter och yttrande- och informationsfriheten

Medlemsstaterna måste i lag förena rätten till integritet med yttrande- och informationsfriheten, inbegripet behandling av personuppgifter som sker för journalistiska ändamål och för akademiskt, konstnärligt eller litterärt skapande. I syfte att säkerställa öppenhet när det gäller att förena dessa rättigheter är varje medlemsstat skyldig att till kommissionen anmäla de relevanta bestämmelserna i sin lagstiftning och ändringarna av dessa bestämmelser samt nya relevanta bestämmelser.

10.2 Behandling i anställningsförhållanden

Medlemsstaterna får i lag eller i kollektivavtal fastställa mer specifika regler för att säkerställa skyddet av rättigheter och friheter vid behandling av anställdas personuppgifter i anställningsförhållanden.

Dessa regler måste innehålla lämpliga och specifika åtgärder för att skydda den registrerades mänskliga värdighet, berättigade intressen och grundläggande rättigheter. Varje medlemsstat måste till kommissionen anmäla de relevanta bestämmelserna i sin lagstiftning och ändringarna av dessa bestämmelser samt nya relevanta bestämmelser.

10.3 Skyddsåtgärder och undantag för behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål

I rådets ståndpunkt vid första behandlingen fastställs specifika regler för behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Dessa regler syftar till att förena, å ena sidan, intresset av att personuppgifter finns tillgängliga för att upprätthålla arkiv, tillhandahålla statistik och bedriva forskning och, å andra sidan, dataskyddsrättigheterna.

Behandlingen av personuppgifter för arkivsändamål av allmänt intresse, för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål måste omfattas av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt förordningen. Medlemsstaterna får, på särskilda villkor och under förutsättning att det finns lämpliga skyddsåtgärder för de registrerade, specificera och göra undantag från informationskraven och rätten till rättelse, rätten till radering, rätten att bli bortglömd, rätten till begränsning av behandling, rätten till dataportabilitet och rätten att göra invändning i samband med behandling av personuppgifter för arkivsändamål av allmänt intresse, för vetenskapliga och historiska forskningsändamål eller för statistiska ändamål.

Enligt rådets ståndpunkt vid första behandlingen tillåts även undantag från förbudet att behandla känsliga personuppgifter vid behandling för arkivändamål av allmänt intresse, för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål. Sådana undantag tillåts om behandlingen i fråga grundar sig på unionsrätten eller medlemsstaternas nationella rätt, vilken måste stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

11. Tidigare ingångna avtal

I rådets ståndpunkt vid första behandlingen anges det att de internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer som ingicks av medlemsstaterna före ikraftträdandet av denna förordning och som är förenliga med unionsrätt som var tillämplig innan denna förordning trädde i kraft fortsätter att gälla tills de ändras, ersätts eller återkallas. Detta säkerställer rättslig säkerhet för personuppgiftsansvariga och förhindrar onödiga administrativa bördor för medlemsstaterna. Detta tar även hänsyn till att medlemsstaterna är beroende av att tredjelandet eller den internationella organisationen samarbetar för att ändra befintliga avtal.

IV. SLUTSATS

Rådets ståndpunkt vid första behandlingen återspeglar den kompromiss som med kommissionens hjälp har uppnåtts i de informella förhandlingarna mellan rådet och Europaparlamentet. Rådet uppmanar Europaparlamentet att formellt godkänna rådets ståndpunkt vid första behandlingen utan ändringar så att man kan inrätta EU:s nya lagstiftningsram för dataskydd som kommer att stärka dataskyddsrättigheterna samtidigt som det fria flödet av personuppgifter underlättas på den digitala marknaden.