Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om skydd för enskilda personer då gemenskapens institutioner och organ behandlar personuppgifter och om det fria flödet av sådana uppgifter (framlagd av kommissionen)

MOTIVERING

Gemenskapens institutioner och organ - i synnerhet kommissionen - hanterar fortlöpande personuppgifter i sin verksamhet. Kommissionen utbyter personuppgifter med medlemsstaterna inom ramen för den gemensamma jordbrukspolitiken, för förvaltningen av tullförfarandet och strukturfonderna samt i samband med andra politikområden som gemenskapen har behörighet inom. För att uppgiftsskyddet inte skulle vara behäftat med brister förklarade kommissionen 1990, samtidigt som man framlade förslaget till direktiv 95/46/EG, att även kommissionen skulle följa dess principer.

Samtidigt som direktivet antogs utfäste sig kommissionen och rådet i ett offentligt uttalande att följa direktivet och de uppmanade övriga gemenskapsinstitutioner och gemenskapsorgan att göra detsamma.

Under regeringskonferensen i samband med översynen av fördragen tog de nederländska och grekiska regeringarna upp frågan om gemenskapsinstitutionernas tillämpning av reglerna om uppgiftsskydd. Förhandlingarna ledde till att det fördrag som undertecknades i Amsterdam innehåller ett tillägg till Fördraget om upprättandet av Europeiska gemenskapen i form av en bestämmelse om just denna fråga. I den slutgiltiga numreringen fick artikeln nummer 286 och den lyder som följer:

1. Från och med den 1 januari 1999 skall gemenskapsrättsakter om skydd för enskilda när det gäller behandling av och fri rörlighet för personuppgifter vara tillämpliga på de institutioner och organ som inrättas genom eller på grundval av detta fördrag.

2. Före den tidpunkt som avses i punkt 1 skall rådet enligt förfarandet i artikel 251 inrätta ett oberoende övervakningsorgan som skall ansvara för att övervaka att dessa gemenskapsrättsakter tillämpas på gemenskapens institutioner och organ samt vid behov anta andra för ändamålet relevanta bestämmelser.

I artikel 286 föreskrivs därmed att gemenskapens institutioner och organ från och med den 1 januari 1999 skall tillämpa de gemenskapsbestämmelser om skydd för personuppgifter, som i huvudsak fastställts genom direktiv 95/46/EG och att tillämpningen av ovannämnda bestämmelser skall övervakas av ett oberoende övervakningsorgan. Detta dubbla mål skall uppnås genom föreliggande förslag till förordning.

Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om skydd för enskilda personer då gemenskapens institutioner och organ behandlar personuppgifter och om det fria flödet av sådana uppgifter

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING,

med beaktande av Fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286 i detta,

med beaktande av kommissionens förslag [1],

[1] EGT C

med beaktande av Ekonomiska och sociala kommitténs yttrande [2],

[2] EGT C

i enlighet med det förfarande som anges i artikel 251 i fördraget [3], och

[3] EGT C

av följande skäl:

(1) Enligt artikel 286 i fördraget skall gemenskapsrättsakter om skydd för enskilda när det gäller behandling av och fri rörlighet för personuppgifter vara tillämpliga på gemenskapens institutioner och organ.

(2) Ett fullt utvecklat system för skydd av personuppgifter förutsätter inte bara att det fastställs rättigheter för den registrerade och skyldigheter för dem som behandlar sådana uppgifter utan också lämpliga sanktioner mot dem som bryter mot reglerna samt att reglerna övervakas av ett oberoende tillsynsorgan.

(3) Enligt artikel 286.2 i fördraget skall ett oberoende övervakningsorgan inrättas med ansvar för att övervaka att sådana gemenskapsrättsakter tillämpas på gemenskapens institutioner och organ.

(4) Enligt artikel 286.2 i fördraget skall andra relevanta bestämmelser antas, om så är lämpligt.

(5) En förordning krävs för att ge enskilda lagstadgade rättigheter och för att detaljerat redogöra för de förpliktelser i fråga om behandling som åligger de registeransvariga inom gemenskapens institutioner och organ samt för att inrätta ett oberoende tillsynsorgan med ansvar för den externa övervakningen av gemenskapens behandling av personuppgifter.

(6) Principerna för uppgiftsskyddet måste gälla all information som rör en identifierad eller identifierbar person. För att avgöra om en person är identifierbar bör härvid beaktas alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas antingen av en registeransvarig eller av någon annan person. Skyddsprinciperna bör inte gälla för uppgifter som gjorts anonyma på ett sådant sätt att den registrerade inte längre är identifierbar.

(7) Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter [4] kräver av medlemsstaterna att de vid behandlingen av personuppgifter skyddar fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, för att garantera det fria flödet av personuppgifter inom gemenskapen.

[4] EGT L 281, 23.11.1995, s. 31.

(8) Europaparlamentets och rådets direktiv 97/66/EG av den 15 december 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet [5], innehåller preciseringar och kompletteringar till direktiv 95/46/EG i fråga om behandling av personuppgifter inom telekommunikationsområdet.

[5] EGT L 24, 30.1.1998, s. 1.

(9) Syftet med en del andra gemenskapsåtgärder, framför allt med dem som vidtagits på området för ömsesidig hjälp mellan medlemsstaternas myndigheter och kommissionen, är också att precisera och komplettera direktiv 95/46/EG inom denna sektor.

(10) En konsekvent och enhetlig tillämpning av bestämmelserna för skydd av människors grundläggande fri- och rättigheter vid behandling av personuppgifter måste garanteras i hela gemenskapen.

(11) Det gäller att garantera såväl verklig respekt för bestämmelserna om skydd av människors grundläggande fri- och rättigheter som det fria flödet av personuppgifter mellan medlemsstaterna och gemenskapens institutioner och organ eller mellan gemenskapens institutioner och organ, så att dessa kan utöva sina respektive befogenheter.

(12) Detta syfte kan bäst uppnås genom bestämmelser som är bindande för gemenskapens institutioner och organ. Dessa bestämmelser bör vara tillämpliga på all den behandling av personuppgifter som utförs av gemenskapens institutioner och organ inom ramen för de befogenheter som de tilldelas genom Fördragen om upprättandet av Europeiska gemenskaperna och Fördraget om Europeiska unionen.

(13) Dessa bestämmelser måste vara identiska med dem som antas i samband med att lagstiftningen i medlemsstaterna harmoniseras eller annan gemenskapspolitik genomförs, i synnerhet på området för ömsesidig hjälp. Dock kan det bli nödvändigt med preciseringar och kompletteringar för att genomföra skyddet av behandlingen av personuppgifter som utförs av gemenskapens institutioner och organ.

(14) Detta påpekande gäller dels rättigheterna för de personer vars uppgifter databehandlas, dels skyldigheterna för gemenskapens institutioner och organ, som svarar för behandlingen, dels de befogenheter som det oberoende tillsynsorganet måste förfoga över för att kunna övervaka att bestämmelserna tillämpas korrekt.

(15) Behandling av personuppgifter för utförandet av de arbetsuppgifter av allmänt intresse som gemenskapens institutioner och organ utför inbegriper sådan behandling av personuppgifter som är nödvändig för förvaltningen av dessa institutioner och organ och deras funktion.

(16) Det kan krävas övervakning av de datanätverk vilkas drift kontrolleras av gemenskapens institutioner och organ för att förhindra obehörig användning. Den europeiske tillsynsmannen för uppgiftsskydd bör fastställa huruvida och på vilka villkor detta kan ske.

(17) Enligt artikel 21 i rådets förordning (EG) nr 322/97 av den 17 februari 1997 om gemenskapsstatistik [6] skall den förordningen gälla utan att det påverkar tillämpningen av direktiv 95/46/EG.

[6] EGT L 52, 22.2.1997, s. 1.

(18) För tydlighetens skull är det nödvändigt att offentliggöra ytterligare information om tillämpningen av denna förordning, inklusive en förteckning över de gemenskapsinstitutioner och gemenskapsorgan som lyder under denna förordning.

(19) Den arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättades genom artikel 29 i direktiv 95/46/EG har avgivit sitt yttrande.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL IALLMÄNNA BESTÄMMELSER

Artikel 1

Förordningens syfte

1. Enligt denna förordning skall de institutioner och organ som inrättas genom eller på grundval av fördragen om upprättandet av Europeiska gemenskaperna - i det följande kallade gemenskapens institutioner och organ, skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till privatliv vad avser behandling av personuppgifter.

2. Det oberoende övervakningsorgan som inrättas genom denna förordning, i det följande kallat Europeiske tillsynsmannen för uppgiftsskydd, skall övervaka att bestämmelserna i denna förordning tillämpas på all behandling som utförs av en gemenskapsinstitution eller ett gemenskapsorgan.

Artikel 2

Definitioner

I denna förordning avses med

a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans/hennes fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,

b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,

c) register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,

d) registeransvarig: den gemenskapsinstitution eller det gemenskapsorgan, det generaldirektorat, den enhet eller en annan organisatorisk enhet, som ensam eller gemensamt med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen med och medlen för behandlingen bestäms av en särskild gemenskapsrättsakt, kan registeransvarig eller de särskilda kriterierna för att utse vederbörande anges genom en sådan gemenskapsrättsakt.

e) registerförare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för registeransvarigs räkning,

f) tredje man: fysiska eller juridiska personer, myndigheter, institutioner eller andra organ förutom den registrerade, registeransvarig, registerförare och de personer som under registeransvarigs eller registerförares direkta ansvar har befogenhet att behandla uppgifterna,

g) mottagare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ till vilket uppgifterna utlämnas, vare sig det är en tredje man eller inte. Myndigheter som kan komma att motta uppgifter inom ramen för en särskild undersökning skall dock inte betraktas som mottagare,

h) den registrerades samtycke: varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom/henne.

Artikel 3

Räckvidd

1. Denna förordning skall vara tillämplig på alla gemenskapens institutioners och organs behandling av personuppgifter.

2. Denna förordning skall vara tillämplig på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

KAPITEL II

ALLMÄNNA BESTÄMMELSER OM NÄR PERSONUPPGIFTER FÅR BEHANDLAS

AVSNITT 1

PRINCIPER FÖR UPPGIFTERNAS KVALITET

Artikel 4

1. Personuppgifter

a) skall behandlas på ett korrekt och lagligt sätt,

b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; ytterligare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att registeransvarig vidtar lämpliga skyddsåtgärder, särskilt för att säkerställa att uppgifterna endast kommer att behandlas för sådana ändamål,

c) skall vara adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de samlas in och/eller för vilka de senare behandlas,

d) skall vara riktiga och, om nödvändigt, hållas aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att uppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,

e) skall förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlas. Gemenskapens institution eller organ skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål, särskilt vad avser anonymisering.

2. Det åligger registeransvarig att säkerställa att punkt 1 efterlevs.

AVSNITT 2KRITERIER FÖR ATT UPPGIFTSBEHANDLING SKALL TILLÅTAS

Artikel 5

När personuppgifter får behandlas

Personuppgifter får endast behandlas om

a) behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse på grundval av lagstiftning eller som ett led i en rättsligt grundad myndighetsutövning som utförs av gemenskapsinstitutionen eller gemenskapsorganet eller av en tredje man till vilken uppgifterna lämnas ut, eller

b) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar registeransvarig, eller

c) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås, eller

d) den registrerade otvetydigt har lämnat sitt samtycke, eller

e) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade.

Artikel 6

Ytterligare behandling för andra förenliga ändamål

1. Personuppgifter får behandlas för andra ändamål än de för vilka de har samlats in endast om det nya ändamålet uttryckligen tillåts enligt gemenskapsinstitutionens eller gemenskapsorganets interna bestämmelser.

2. Personuppgifter som samlats in för andra ändamål får behandlas för att säkerställa överensstämmelse med bestämmelser om finansiering och budget.

3. Personuppgifter som uteslutande samlas in för att säkerställa säkerheten eller kontrollen av behandlingssystem eller behandlingar får inte användas för något annat ändamål än de som avses i artikel 18.1 a.

Artikel 7

Överföring av personuppgifter inom eller mellan

gemenskapens institutioner och organ

1. Personuppgifter får endast överföras inom eller till andra gemenskapsinstitutioner och gemenskapsorgan om uppgifterna är nödvändiga för att lagenligt utföra uppgifter för vilka mottagaren har behörighet.

2. Registeransvariga och mottagare är ansvariga för att överföringen sker lagenligt.

Registeransvarig skall endast kontrollera mottagarens behörighet och avsikten med begäran. Om tvivel uppstår om avsikten skall registeransvarig dock även kontrollera om överföringen är nödvändig.

Mottagaren skall säkerställa att man senare kan kontrollera att överföringen var nödvändig.

Artikel 8

Överföringar till andra personer och organ än

gemenskapens institutioner och organ, inom medlemsstaterna

1. Personuppgifter får endast överföras till personer och organ i medlemsstaterna om mottagaren har visat att det är nödvändigt att uppgifterna överförs och om inga skäl finns att anta att den registrerades lagenliga intressen kan skadas.

2. Mottagaren får endast behandla personuppgifterna för de ändamål för vilka de överfördes.

Artikel 9

Överföring av personuppgifter till andra personer och organ än gemenskapens institutioner och organ, och som inte omfattas av direktiv 95/46/EG

1. Personuppgifter får endast överföras till andra personer och organ än gemenskapens institutioner och organ, och som inte omfattas av nationell lagstiftning om uppgiftsskydd i kraft av artikel 4 i direktiv 95/46/EG, om en adekvat skyddsnivå har säkerställts i mottagarens land eller inom den mottagande internationella organisationen och om uppgifterna strikt överförs inom ramen för de uppgifter för vilka registeransvarig har behörighet och om de krav som anges i artikel 4.1 b i denna förordning är uppfyllda.

2. Om skyddsnivån i ifrågavarande land eller internationella organisation är adekvat skall bedömas mot bakgrund av alla omständigheter kring en överföring av uppgifter eller ett antal överföringar av uppgifter. Särskild hänsyn skall tas till uppgifternas karaktär, den föreslagna behandlingens eller behandlingarnas syfte och varaktighet, det land eller den internationella organisation som utgör slutdestination, både allmänt och sektoriellt gällande lagstiftning i ifrågavarande land eller internationella organisation samt de yrkesregler och säkerhetsbestämmelser som skall följas i detta land eller denna internationella organisation.

3. Gemenskapens institutioner och organ skall informera kommissionen och den europeiske tillsynsmannen för uppgiftsskydd då de anser att ifrågavarande land eller internationella organisation inte säkerställer en adekvat skyddsnivå enligt punkt 2.

4. Om kommissionen, biträdd av den kommitté som inrättats enligt artikel 31.1 i direktiv 95/46/EG, finner att ett land eller en internationell organisation säkerställer eller inte säkerställer en adekvat skyddsnivå enligt punkt 2 i denna artikel, skall gemenskapens institutioner och organ vidta nödvändiga åtgärder för att följa kommissionens beslut.

Det beslutet skall antas enligt förvaltningsförfarandet i artikel 4 i rådets beslut 1999/468/EG [7] och utan att det påverkar tillämpningen av dess artikel 8.

[7] EGT L 184, 17.7.1999, s. 23.

Den tid som skall fastställas enligt artikel 4.3 i beslut 1999/468/EG skall vara tre månader.

5. Utan hinder av punkt 1 får gemenskapens institution eller organ överföra personuppgifter om

a) den registrerade har gett sitt otvetydiga samtycke till den föreslagna överföringen, eller

b) överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och registeransvarig eller för att genomföra åtgärder som föregår avtalet som vidtas på den registrerades begäran, eller

c) överföringen är nödvändig för att ingå eller genomföra ett avtal som i den registrerades intresse ingåtts mellan registeransvarig och tredje man, eller

d) överföringen är nödvändig eller bygger på ett juridiskt krav för ett viktigt allmänt intresse, eller för att kunna fastslå, göra gällande eller försvara rättsanspråk, eller

e) överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade, eller

f) överföringen görs från ett register som enligt gemenskapslagstiftningen är avsett att ge information till allmänheten och som är tillgängligt antingen för allmänheten eller för de personer som kan uppvisa ett lagligt berättigat intresse, i den utsträckning som villkoren i gemenskapslagstiftningen om inhämtande är uppfyllda i det särskilda fallet.

6. Gemenskapens institutioner och organ skall informera den europeiske tillsynsmannen för uppgiftsskydd om (kategorier av) fall, i vilka de har tillämpat punkt 5.

AVSNITT 3

Behandlingen av särskilda kategorier av uppgifter

Artikel 10

1. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv skall vara förbjuden.

2. Punkt 1 gäller inte om

a) den registrerade uttryckligen har gett sitt samtycke till att dessa uppgifter behandlas, förutom då gemenskapsinstitutionens eller gemenskapsorganets interna bestämmelser föreskriver att förbudet i punkt 1 inte får upphävas genom att den registrerade ger sitt samtycke, eller

b) behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som tillkommer registeransvarig inom arbetsrätten i den utsträckning som det är tillåtet enligt gemenskapslagstiftningen eller enligt bestämmelser om genomförande av gemenskapslagstiftning, eller enligt överenskommelse med den europeiske tillsynsmannen för uppgiftsskydd, som föreskriver lämpliga skyddsåtgärder, eller

c) behandlingen är nödvändig för att skydda den registrerades eller någon annan persons grundläggande intressen när den registrerade är fysiskt eller juridiskt förhindrad att ge sitt samtycke, eller

d) behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsanspråk, eller

e) behandlingen utförs av ett icke-vinstdrivande organ, som är integrerat i en gemenskapsinstitution eller ett gemenskapsorgan och enligt artikel 4 i direktiv 95/46/EG inte omfattas av nationell uppgiftsskyddslagstiftning, när denna behandling är ett led i dess berättigade verksamhet och sker med lämpliga garantier och i politiskt, filosofiskt, religiöst eller fackligt syfte, på villkor att behandlingen enbart rör antingen medlemmar av detta organ eller personer som på grund av organets ändamål har regelbunden kontakt med detta och på villkor att uppgifterna inte lämnas ut till tredje man utan den registrerades samtycke.

3. Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, bedömning av medicinsk status vid rekrytering, vård eller behandling eller administration av hälso- eller sjukvård och när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som i sitt yrke är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt.

4. Under förutsättning av att lämpliga skyddsåtgärder vidtas och av hänsyn till ett viktigt allmänt intresse får den europeiske tillsynsmannen för uppgiftsskydd besluta om andra undantag än de som nämns i punkt 2.

5. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast om detta är tillåtet enligt gemenskapslagstiftningen eller andra rättsliga instrument som antagits på grundval av EU-fördraget och då i enlighet med häruti föreskrivna lämpliga särskilda skyddsåtgärder eller om den europeiske tillsynsmannen för uppgiftsskydd godkänner behandlingen.

6. Den europeiske tillsynsmannen för uppgiftsskydd skall bestämma på vilka villkor ett personnummer eller något annat vedertaget sätt för identifiering i en gemenskapsinstitution eller ett gemenskapsorgan får behandlas.

AVSNITT 4INFORMATIONSPLIKT GENTEMOT DEN REGISTRERADE

Artikel 11

Information vid insamling av uppgifter från den registrerade

1. Registeransvarig måste ge en registrerad person från vilken uppgifter om henne/honom själv samlas in åtminstone följande information, förutom i de fall då hon/han redan fått sådan information.

a) Registeransvarigs identitet.

b) Ändamålen med den behandling för vilken uppgifterna är avsedda.

c) Mottagarna eller de kategorier av mottagare som erhåller uppgifterna.

d) Huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara.

e) Att hon/han har rätt att få tillgång till uppgifter om henne/honom och rätt att få dessa rättade.

f) Ytterligare information t.ex.

- den rättsliga grunden för den behandling för vilken uppgifterna är avsedda,

- hur länge uppgifterna kommer att lagras,

- rättigheten att när som helst kunna vända sig till den europeiske tillsynsmannen för uppgiftsskydd,

i den utsträckning som ytterligare information - med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in - är nödvändig för att tillförsäkra den registrerade en korrekt behandling.

2. Som ett undantag från punkt 1 kan informationsplikten helt eller delvis skjutas upp så lång tid som det behövs för att man skall kunna uppnå det legitima målet för en statistikundersökning med hänsyn till undersökningens föremål och karaktär. Informationen måste lämnas så snart som det inte längre finns någon grund för att hålla inne informationen, såvida detta inte är uppenbart orimligt eller ogörligt. I sådana fall skall informationen lämnas senare, d.v.s. så snart som dessa omständigheter inte längre råder.

Artikel 12

Information när uppgifterna inte har lämnats av den registrerade

1. Om uppgifterna inte har lämnats av den registrerade skall registeransvarig vid tiden för registreringen av personuppgifter eller, om utlämnande till tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, ge den registrerade åtminstone följande information, förutom i de fall då hon/han redan fått sådan information.

a) Registeransvarigs identitet.

b) Ändamålen med behandlingen.

c) De kategorier av uppgifter som berörs.

d) Mottagarna eller kategorier av mottagare.

e) Att denne har rätt att få tillgång till uppgifter om henne/honom och rätt att få dessa rättade.

f) Ytterligare information t.ex.

* den rättsliga grunden för den behandling för vilken uppgifterna är avsedda,

* hur länge uppgifterna kommer att lagras,

* rättigheten att när som helst kunna vända sig till den europeiske tillsynsmannen för uppgiftsskydd,

* uppgifternas ursprung, förutom då registeransvarig på grund av tystnadsplikt inte kan lämna ut denna information,

i den utsträckning som ytterligare information - med hänsyn till de särskilda omständigheter under vilka uppgifterna behandlas - är nödvändig för att tillförsäkra den registrerade en korrekt behandling.

2. Bestämmelserna i punkt 1 skall inte gälla när det - särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål - visar sig omöjligt eller innebär en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i gemenskapslagstiftningen. I sådana fall skall gemenskapsinstitutionen eller gemenskapsorganet vidta lämpliga skyddsåtgärder.

AVSNITT 5DEN REGISTRERADES RÄTT ATT FÅ TILLGÅNG TILL UPPGIFTER

Artikel 13

Rätt till tillgång

Varje registrerad har rätt att när som helst, utan längre dröjsmål och kostnadsfritt från registeransvarig:

a) få bekräftelse på om uppgifter som rör henne/honom behandlas eller inte,

b) få information om ändamålen med behandlingen, de berörda uppgiftskategorierna, mottagarna eller de kategorier av mottagare till vilka uppgifterna utlämnas,

c) få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer,

d) få kännedom om det logiska system som används vid alla automatiserade beslutsprocesser som rör henne/honom.

Artikel 14

Rättelse

Registeransvarig skall på den registrerades begäran utan dröjsmål rätta felaktiga eller ofullständiga personuppgifter.

Artikel 15

Blockering

1. Personuppgifter skall blockeras om

a) den registrerade bestrider deras korrekthet och det inte är möjligt att fastställa om de är korrekta eller felaktiga,

b) registeransvarig inte längre behöver dem för att fullgöra sina uppgifter men de måste bevaras som bevis,

c) behandlingen var olaglig och den registrerade motsätter sig att de utplånas och i stället begär att de blockeras.

2. I automatiserade register skall blockering i princip säkerställas med tekniska medel. Det faktum att personuppgifter är blockerade skall anges i systemet på ett sådant sätt att det är tydligt att uppgifterna inte får användas.

3. Blockerade personuppgifter skall, med undantag för lagring, endast behandlas om de behövs som bevismaterial, om den registrerade har gett sitt samtycke, eller av skäl som grundar sig på tredje mans juridiska intressen.

Artikel 16

Utplåning

1. Personuppgifter skall utplånas om de har behandlats i strid mot lagen, särskilt vid brott mot bestämmelserna i avsnitten 1, 2 och 3 i kapitel II.

2. Personuppgifter skall utplånas om de registeransvariga inte längre behöver dem för att fullgöra sina uppgifter och om det inte finns någon anledning att tro att den registrerades intressen kan komma att skadas av utplåningen.

Artikel 17

Meddelande till tredje man

Registeransvarig skall underrätta tredje man till vilken uppgifterna har lämnats om varje rättelse, utplåning eller blockering om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor arbetsbörda.

AVSNITT 6

UNDANTAG OCH BEGRÄNSNINGAR

Artikel 18

1. Gemenskapens institutioner och organ kan begränsa tillämpningen av artiklarna 4.1, 11, 12.1, 13, 33 och 34.1 om en sådan begränsning är en nödvändig åtgärd för att

a) kunna förebygga, undersöka, avslöja eller beivra brott,

b) skydda ett ekonomiskt eller finansiellt intresse som är av vikt för en medlemsstat eller Europeiska unionen, inklusive monetära frågor, budget- och skattefrågor,

c) skydda den registrerade eller andras fri- och rättigheter,

d) skydda en övervakande, inspekterande eller reglerande funktion, som - även tillfälligt - är förenad med den myndighetsutövning som avses i a) och b).

2. Artiklarna 13-16 är inte tillämpliga då uppgifterna endast behandlas för ändamål som avser vetenskaplig forskning eller när uppgifterna lagras i form av personuppgifter under en tid som inte överstiger den tid som är nödvändig för att enbart framställa statistik, under förutsättning av att det uppenbarligen inte föreligger någon risk att den registrerades privatliv kränks och att registeransvarig vidtar lämpliga lagliga skyddsåtgärder, särskilt för att säkerställa att uppgifterna inte används för åtgärder eller beslut som avser en särskild person.

3. Om en begränsning enligt punkt 1 tillämpas skall den registrerade informeras om de huvudsakliga skälen till att begränsningen tillämpas och om att hon/han har rätt att vända sig till den europeiske tillsynsmannen för uppgiftsskydd.

4. Så snart det inte längre finns något skäl till att tillämpa en begränsning enligt punkt 1 skall bestämmelserna i punkt 1 åter tillämpas fullt ut.

AVSNITT 7

INVÄNDNINGAR OCH KLAGOMÅL

Artikel 19

Den registrerades rätt att göra invändningar

Den registrerade skall ha rätt att när som helst av tvingande lagenliga skäl som rör hans/hennes särskilda situation invända mot behandling av uppgifter som rör henne/honom, förutom i de fall som omfattas av artikel 5 b, c och d. Om invändningen är berättigad får den ifrågavarande behandlingen inte längre avse dessa uppgifter,

Artikel 20

Den registrerades rätt att framföra klagomål

Den registrerade skall ha rätt att när som helst framföra klagomål till den europeiske tillsynsmannen för uppgiftsskydd.

Artikel 21

Databehandlade beslut

Ingen person skall få omfattas av ett beslut som har rättsliga följder för henne/honom eller som märkbart påverkar henne/honom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa av hennes/hans personliga egenskaper, exempelvis hennes/hans arbetsprestationer, pålitlighet eller uppförande, om inte beslutet uttryckligen tillåts enligt en lagstiftning som även innehåller bestämmelser om skydd för den registrerades legitima intressen.

AVSNITT 8

SEKRETESS OCH SÄKERHET VID BEHANDLING

Artikel 22

Sekretess vid behandling

Var och en som utför arbete under registeransvarigs eller registerförares ansvar, liksom registerföraren själv, och som har tillgång till personuppgifter, får behandla dem endast enligt instruktion från registeransvarig, om han inte är skyldig att göra det enligt nationell lagstiftning.

Artikel 23

Säkerhet vid behandling

1. Med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande, skall registeransvarig vidta de tekniska och organisatoriska åtgärder som krävs för att säkerställa en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de personuppgifter som skall skyddas.

2. När personuppgifter behandlas manuellt skall lämpliga åtgärder vidtas, särskilt för att förhindra sådan åtkomst, utlämnande, ändring, eller förstörelse som är otillåten eller förlust genom olyckshändelse.

3. När personuppgifter behandlas på automatisk väg skall åtgärder särskilt vidtas för att

a) hindra obehöriga personer från att få tillgång till datasystem som behandlar personuppgifter.

b) förhindra att obehöriga läser, återger, ändrar eller tar bort uppgifter i media som används för lagring.

c) förhindra obehörig input i minnet liksom obehörig utlämning, ändring eller utplåning av lagrade personuppgifter.

d) hindra att obehöriga personer använder system för behandling av uppgifter via medel för dataöverföring.

e) säkerställa att behöriga användare av ett system som behandlar uppgifter inte kan komma åt andra personuppgifter än de för vilka dessa personer har åtkomsträttighet.

f) anteckna vilka personuppgifter som har lämnats ut, vid vilka tidpunkter och till vem detta skedde.

g) säkerställa att man i efterhand kan kontrollera och verifiera vilka personuppgifter som har behandlats när och av vem.

h) säkerställa att personuppgifter som behandlas på tredje mans vägnar endast kan behandlas på det sätt som föreskrivs av avtalsslutande institution eller organ.

i) säkerställa att uppgifterna inte kan läsas, kopieras eller raderas utan bemyndigande, vid utlämning av personuppgifter och under transport av media som används för lagring.

j) utforma organisationsstrukturen inom en institution eller ett organ på ett sådant sätt att den uppfyller de särskilda kraven för uppgiftsskydd.

Artikel 24

Behandling av personuppgifter för de registeransvarigas räkning

1. När behandlingen utförs för registeransvarigs räkning skall vederbörande välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de organisatoriska åtgärder som krävs enligt artikel 23 och tillse att dessa åtgärder genomförs.

2. När uppgifter behandlas av en registerförare skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande handling upprättad mellan registerförare och registeransvarig i vilken det särskilt föreskrivs att

- a) registerföraren endast får handla på instruktioner från registeransvarig,

- b) de skyldigheter som anges i artikel 23 även skall åvila registerföraren.

3. För att säkra bevis skall de delar av avtalet eller den rättsligt bindande handlingen som rör skyddet av uppgifter och krav som rör åtgärder som anges i artikel 23 föreligga i skriftlig eller därmed likvärdig form.

AVSNITT 9

UPPGIFTSSKYDDSOMBUD

Artikel 25

Utseende av ett uppgiftsskyddsombud och dennes ansvarsområde

1. Varje gemenskapsinstitution och gemenskapsorgan skall utse minst en person på lämplig nivå till uppgiftsskyddsombud. Denne skall ansvara för

- a) att säkerställa att registeransvariga och registrerade informeras om sina rättigheter och skyldigheter,

- b) samarbetet med den europeiske tillsynsmannen för uppgiftsskydd på begäran av den senare eller på hans/hennes eget initiativ,

- c) att på ett oberoende sätt säkerställa att bestämmelserna i denna förordning och alla andra regler som antas för att genomföra dessa bestämmelser tillämpas internt,

- d) att hålla ett register över de behandlingar som utförs av registeransvarig och att detta register innehåller den information som nämns i artikel 26.2,

- e) att till den europeiske tillsynsmannen för uppgiftsskydd anmäla sådana behandlingar som sannolikt innebär särskilda risker enligt vad som anges i artikel 28,

och därigenom säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av behandlingarna.

2. Uppgiftsskyddsombudet skall förses med den personal och de resurser som krävs för att han/hon skall kunna fullgöra sina uppgifter.

3. Ytterligare genomförandebestämmelser vad avser uppgiftsskyddsombudet skall antas av varje gemenskapsinstitution eller gemenskapsorgan enligt de riktlinjer som anges i bilaga I. Genomförandebestämmelserna skall i synnerhet avse uppgiftsskyddsombudets kvalifikationer, utnämning, avsättande, oberoende samt arbetsuppgifter, åligganden och befogenheter.

Artikel 26

Underrättelse till uppgiftsskyddsombudet

1. Registeransvariga skall underrätta uppgiftsskyddsombudet innan en behandling eller en serie behandlingar sker som har ett eller flera närbesläktade ändamål.

2. Den information som lämnas skall omfatta minst den information som avses i bilaga II.

Eventuella ändringar som rör den informationen skall omedelbart meddelas uppgiftsskyddsombudet.

Artikel 27

Register

Varje uppgiftsskyddsombud skall föra ett register över sådana behandlingar som har meddelats enligt artikel 26.

Registren skall innehålla minst den information som avses i artikel 26.2.

Registren skall vara allmänt tillgängliga.

AVSNITT 10

FÖRHANDSKONTROLL AV DEN EUROPEISKE TILLSYNSMANNEN FÖR UPPGIFTSSKYDD

Artikel 28

1. Den europeiske tillsynsmannen för uppgiftsskydd skall avgöra vilka behandlingar som sannolikt innebär särskilda risker för registrerades fri- och rättigheter på grund av sin beskaffenhet, räckvidd eller sina syften, t.ex. att enskilda personer går miste om en rättighet, en förmån eller ett avtal eller på grund av särskild användning av ny teknik.

Detta gäller särskilt följande behandlingar:

- - vissa behandlingar av särskilda kategorier av uppgifter enligt artikel 10,

- - behandlingar där syftet är att bedöma berörda personers personlighet, t.ex. deras kompetens, prestationsförmåga eller beteende.

Sådana behandlingar skall undergå förhandskontroll.

2. Förhandskontrollerna skall utföras av den europeiske tillsynsmannen för uppgiftsskydd efter meddelande från uppgiftsskyddsombudet som i tveksamma fall skall samråda med den europeiske tillsynsmannen för uppgiftsskydd.

3. Den europeiske tillsynsmannen för uppgiftsskydd skall avge sitt yttrande inom två månader efter det att meddelandet mottagits. Om så inte har skett anses yttrandet vara positivt.

4. Den europeiske tillsynsmannen för uppgiftsskydd skall föra ett register över alla de behandlingar som har anmälts till honom/henne, enligt punkt 2. Registret skall innehålla de upplysningar som nämns i artikel 26.2. Registret skall vara tillgängligt för allmänheten.

5. Automatisk kommunikation mellan gemenskapens institutioner eller organ, t.ex. on line-tillgång till databaser eller sammankoppling, får endast upprättas sedan den granskats av den europeiske tillsynsmannen för uppgiftsskydd.

Vid granskningen skall den europeiske tillsynsmannen för uppgiftsskydd fastställa om automatisk kommunikation är förenlig med de registrerades lagligt berättigade intressen och om sådan kommunikation krävs för de berörda institutionernas eller organens uppgifter.

KAPITEL III

RÄTTSLIG PRÖVNING OCH SANKTIONER

Artikel 29

Rättslig prövning

1. Varje registrerad får - utan att det påverkar möjligheten att föra talan inför domstol - framföra klagomål till den europeiske tillsynsmannen för uppgiftsskydd om han/hon anser att hans/hennes rättigheter har blivit kränkta till följd av att en gemenskapsinstitution eller ett gemenskapsorgan behandlat hans/hennes personuppgifter.

2. Europeiska gemenskapernas domstol och förstainstansrätt skall vara behöriga att avgöra tvister som hänför sig till denna förordnings bestämmelser, inklusive skadeståndsanspråk.

Artikel 30

Sanktioner

Om en tjänsteman eller en annan anställd vid Europeiska gemenskaperna inte uppfyller de förpliktelser som följer av denna förordning, avsiktligt eller på grund av försumlighet, skall denne bli föremål för disciplinära åtgärder enligt de regler och förfaranden som föreskrivs i tjänsteföreskrifterna eller i de anställningsvillkor som tillämpas på dem.

KAPITEL IV

SKYDD AV PERSONUPPGIFTER OCH PRIVATLIV VAD AVSER INTERNA TELEKOMMUNIKATIONSNÄT

Artikel 31

Räckvidd

Utöver övriga bestämmelser i denna förordning skall detta kapitel tillämpas på behandling av personuppgifter i samband med användning av telekommunikationsnät och terminalutrustning vilkas drift kontrolleras av en gemenskapsinstitution eller ett gemenskapsorgan.

Med "användare" avses i detta kapitel varje fysisk person som använder ett telekommunikationsnät vars drift kontrolleras av en gemenskapsinstitution eller ett gemenskapsorgan.

Artikel 32

Säkerhet

1. Gemenskapens institutioner och organ skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda en säker användning av telekommunikationsnäten och terminalutrustningen, om nödvändigt i samverkan med dem som tillhandahåller allmänt tillgängliga teletjänster och/eller dem som tillhandahåller allmänt tillgängliga telekommunikationsnät. Dessa åtgärder skall säkerställa en säkerhetsnivå som är anpassad till den risk som föreligger, med beaktande av dagens tillgängliga teknik och kostnaderna för att genomföra åtgärderna.

2. Om det föreligger särskilda risker för att nätets och terminalutrustningens säkerhet kan äventyras skall gemenskapsinstitutionen eller gemenskapsorganet i fråga informera användarna om sådana risker och hur de eventuellt kan avhjälpas eller hur kommunikationen kan ske på annat sätt.

Artikel 33

Telehemlighet vid kommunikation

1. Gemenskapens institutioner och organ skall säkerställa telehemligheten vid kommunikation via telekommunikationsnät och terminalutrustning.

Avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra sätt på vilka kommunikationen kan fångas upp eller övervakas av andra än användarna utan de berörda användarnas samtycke skall vara förbjudet.

2. Punkt 1 påverkar inte inspelning som är tillåten enligt gemenskapens institutioners eller organs interna bestämmelser av kommunikation för att tillhandahålla bevis för rättsliga åtgärder eller förfaranden av betydelse för dessa gemenskapsinstitutioners eller gemenskapsorgans officiella uppgifter, under förutsättning av att den europeiske tillsynsmannen för uppgiftsskydd har givit sitt samtycke.

Artikel 34

Trafik- och faktureringsdata

1. Trafikdata om användare som behandlas och lagras för att koppla upp samtal och andra förbindelser via telekommunikationsnätet skall utplånas eller avidentifieras vid samtalets eller förbindelsens slut utan att det påverkar tillämpningen av bestämmelserna i punkterna 2, 3 och 4.

2. För ändamålen telekommunikationsbudget och trafikstyrning, inklusive verifiering av behörig användning av telekommunikationssystemet, får behandling ske av de trafikdata som anges i en förteckning som godkänts av den europeiske tillsynsmannen för uppgiftsskydd.

3. Behandling av trafik- och faktureringsdata skall begränsas till sådant som är nödvändigt för de verksamheter som avses i punkt 2 och endast utföras av personer som har hand om fakturering, trafik- och budgetstyrning.

4. Användare av telekommunikationsnät skall ha rätt att få ospecificerade räkningar.

Artikel 35

Kataloger över användare

1. Personuppgifter i tryckta eller elektroniska kataloger skall begränsas till vad som krävs för de specifika ändamålen med katalogen.

2. Gemenskapens institutioner och organ skall vidta alla nödvändiga åtgärder för att förhindra att personuppgifter i dessa kataloger, oavsett om de är tillgängliga för allmänheten eller inte, används för direkt marknadsföring.

Artikel 36

Presentation och skydd när det gäller identifiering av

det anropande och uppkopplade numret

1. Om nummerpresentation erbjuds, skall den användare som ringer upp ha möjlighet att på ett enkelt sätt och kostnadsfritt förhindra presentationer.

2. Om nummerpresentation erbjuds skall den uppringde användaren ha möjlighet att på ett enkelt sätt samt kostnadsfritt, förhindra nummerpresentation vid inkommande samtal.

3. Om presentation av det uppkopplade numret erbjuds, skall den uppringde användaren ha möjlighet att på ett enkelt sätt och kostnadsfritt stänga av presentationen av det uppkopplade numret för den uppringande användaren.

4. Om nummerpresentation och/eller presentation av det uppkopplade numret erbjuds skall gemenskapens institutioner och organ informera användarna om detta och om de möjligheter som anges i punkterna 1, 2 och 3.

Artikel 37

Undantag

Gemenskapens institutioner och organ skall säkerställa att det finns öppna förfaranden som reglerar det sätt på vilket de har möjlighet att åsidosätta skydd mot nummerpresentation

a) temporärt, om en användare begär spårning av okynnessamtal eller störande samtal,

b) permanent, för organisatoriska enheter som handhar nödsamtal, för att ta emot sådana samtal.

KAPITEL V

TILLSYNSMYNDIGHET: DEN EUROPEISKE TILLSYNSMANNEN FÖR UPPGIFTSSKYDD

Artikel 38

Tillsynsmyndighet: Den europeiske tillsynsmannen för uppgiftsskydd

1. Härmed inrättas en tillsynsmyndighet med namnet Europeiske tillsynsmannen för uppgiftsskydd.

2. Myndigheten skall ansvara för att övervaka tillämpningen av bestämmelserna i denna förordning och andra gemenskapsrättsakter om fysiska personers skydd då en gemenskapsinstitution eller ett gemenskapsorgan behandlar personuppgifter.

Artikel 39

Utnämning

1. På förslag från kommissionen skall Europaparlamentet, rådet och kommissionen i samförstånd utnämna den europeiske tillsynsmannen för uppgiftsskydd för en period av fyra år.

2. Den europeiske tillsynsmannen för uppgiftsskydd skall utses bland dem som i sitt respektive land tillhör eller har tillhört de oberoende myndigheter som övervakar behandling av personuppgifter eller som är särskilt kvalificerade för denna tjänst.

3. Den europeiske tillsynsmannen för uppgiftsskydd kan omväljas.

4. Den europeiske tillsynsmannen för uppgiftsskydd skall kvarstå i tjänst tills han/hon har fått en ersättare.

5. Med undantag av normal nytillsättning eller dödsfall, skall de uppgifter som åligger den europeiske tillsynsmannen för uppgiftsskydd upphöra då han/hon avgår eller avsätts från sin tjänst enligt punkt 6.

6. Den europeiske tillsynsmannen för uppgiftsskydd kan på begäran av Europaparlamentet, rådet eller kommissionen avsättas av EG-domstolen om han/hon inte längre uppfyller de krav som ställs för att han/hon skall kunna utföra sina uppgifter eller om han/hon gjort sig skyldig till allvarlig försummelse.

7. Med förbehåll för bestämmelserna i detta kapitel skall de bestämmelser i Protokollet om Europeiska gemenskapernas immunitet och privilegier som är tillämpliga på EG-domstolens domare också vara tillämpliga på den europeiske tillsynsmannen för uppgiftsskydd.

Artikel 40

Anställningsvillkor

1. Europaparlamentet, rådet och kommissionen skall i samförstånd bestämma anställningsvillkoren för den europeiske tillsynsmannen för uppgiftsskydd och i synnerhet hans/hennes lön, tillägg och andra anställningsförmåner.

2. Europaparlamentet skall se till att den europeiske tillsynsmannen för uppgiftsskydd erhåller den personal och den utrustning som behövs för att han/hon skall kunna fullgöra sina uppgifter.

3. Den personal och den utrustning som ställs till förfogande skall redovisas i ett särskilt kapitel i Europaparlamentets budget.

4. Personalen skall utses av den europeiske tillsynsmannen för uppgiftsskydd. Han/Hon skall vara deras överordnade och de skall endast stå under hans/hennes ledning.

5. Tjänstemän och övrig personal skall omfattas av de förordningar och regler som gäller för tjänstemän och övriga anställda i Europeiska gemenskaperna.

6. I frågor som rör hans/hennes personal skall den europeiske tillsynsmannen för uppgiftsskydd ha samma ställning som institutionerna, i enlighet med artikel 1 i tjänsteföreskrifterna för tjänstemän i Europeiska gemenskaperna.

Artikel 41

Oberoende

1. Den europeiske tillsynsmannen för uppgiftsskydd skall handla fullständigt oberoende i sin tjänsteutövning.

2. Den europeiske tillsynsmannen för uppgiftsskydd skall i sin tjänsteutövning varken begära eller ta emot instruktioner av någon.

3. Den europeiske tillsynsmannen för uppgiftsskydd skall avstå från alla handlingar som står i strid med hans/hennes tjänsteutövning och skall under sin ämbetstid avstå från all annan avlönad eller oavlönad yrkesverksamhet.

4. Efter sin ämbetstid skall den europeiske tillsynsmannen för uppgiftsskydd visa integritet och omdöme i fråga om att ta emot utnämningar och förmåner.

Artikel 42

Tystnadsplikt

Både under och efter sin ämbetstid skall den europeiske tillsynsmannen för uppgiftsskydd och hans/hennes personal omfattas av tystnadsplikt vad avser konfidentiella frågor som har kommit till deras kännedom under tjänsteutövningen.

Artikel 43

Uppgifter

Den europeiske tillsynsmannen för uppgiftsskydd skall

a) mottaga och undersöka klagomål,

b) övervaka all behandling av personuppgifter som utförs av gemenskapens institutioner och organ med undantag av EG-domstolen och förstainstansrätten i deras rättskipande funktion,

c) ge råd åt alla gemenskapens institutioner och organ i alla frågor som rör användningen av personuppgifter, särskilt innan de utarbetar interna bestämmelser om skydd av enskildas fri- och rättigheter vad avser behandlingen av personuppgifter,

d) följa utvecklingen på områdena för informations- och kommunikationsteknik i den mån som de berör skydd av personuppgifter,

e) samarbeta med nationella tillsynsmyndigheter i den omfattning som behövs för att kunna fullgöra sina uppgifter, särskilt genom utbyte av all användbar information eller genom att begära att en medlemsstats myndighet utövar sina befogenheter,

f) delta i arbetet inom "Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter" som inrättades genom artikel 29 i direktiv 95/46/EG,

g) föra ett register över behandlingar som meddelats honom/henne,

h) utföra en förhandskontroll av sådana behandlingar som meddelas honom/henne.

Artikel 44

Samråd

1. Gemenskapens institutioner och organ skall underrätta den europeiske tillsynsmannen för uppgiftsskydd då de förbereder åtgärder som rör behandling av personuppgifter där en gemenskapsinstitution eller ett gemenskapsorgan deltar, ensamt eller gemensamt med andra.

2. Kommissionen skall underrätta den europeiske tillsynsmannen för uppgiftsskydd om alla utkast till förslag till gemenskapslagstiftning som avser behandling av personuppgifter.

3. Gemenskapens alla institutioner och organ kan rådfråga den europeiske tillsynsmannen för uppgiftsskydd i fråga om all verksamhet som avser behandling av personuppgifter.

Artikel 45

Hänvändelse

1. Alla anställda inom gemenskapens institutioner och organ kan i en fråga som rör hans/hennes uppgifter vända sig till den europeiske tillsynsmannen för uppgiftsskydd utan att gå den officiella vägen.

2. Ingen person skall lida förfång på grund av att han/hon vänder sig till den europeiske tillsynsmannen för uppgiftsskydd eller framför klagomål till denne beträffande en överträdelse av bestämmelserna om behandling av personuppgifter.

Artikel 46

Befogenheter

1. Den europeiske tillsynsmannen för uppgiftsskydd skall i synnerhet

a) leda utredningar, antingen på eget initiativ eller på grundval av klagomål eller hänvändelser,

b) utan dröjsmål förses med all information som rör hans/hennes utredningar,

c) vid varje tidpunkt beviljas tillträde till alla officiella lokaler.

Alla registeransvariga skall bistå den europeiske tillsynsmannen för uppgiftsskydd i dennes tjänsteutövning.

2. Den europeiske tillsynsmannen för uppgiftsskydd skall ha befogenhet att

a) beordra rättelse, blockering, utplåning eller förstöring av alla uppgifter som behandlats på ett sätt som står i strid med bestämmelserna för behandling av personuppgifter,

b) tillfälligt eller definitivt förbjuda behandling,

c) ge registeransvarig en varning eller en tillrättavisning,

d) rapportera ärendet till den gemenskapsinstitution eller det gemenskapsorgan som berörs och vid behov till Europaparlamentet, rådet och kommissionen,

e) intervenera i ärenden vid EG-domstolen och förstainstansrätten,

f) ge registrerade råd och, om så krävs, bistå dem som expert vid förhandlingar inför förstainstansrätten.

3. I de fall då den europeiske tillsynsmannen för uppgiftsskydd kan konstatera en överträdelse av bestämmelserna om behandling av personuppgifter eller andra oegentligheter i behandlingen, skall han/hon överlämna frågan till den berörda gemenskapsinstitutionen eller det berörda gemenskapsorganet och när det är lämpligt lämna förslag om hur oegentligheterna kan rättas till och hur skyddet för registrerade kan förbättras.

4. Den berörda gemenskapsinstitutionen eller det berörda gemenskapsorganet skall informera den europeiske tillsynsmannen för uppgiftsskydd om sina synpunkter inom en av honom/henne angiven period. Svaret skall också innehålla en beskrivning av de åtgärder som har vidtagits med anledning av anmärkningarna från den europeiske tillsynsmannen för uppgiftsskydd.

5. I händelse av klagomål eller hänvändelse skall den europeiske tillsynsmannen för uppgiftsskydd informera personerna i fråga om resultatet av hans/hennes utredningar.

6. Om den registrerade har vägrats tillträde skall den europeiske tillsynsmannen för uppgiftsskydd endast informera honom/henne om huruvida uppgifterna har behandlats korrekt och, om så inte är fallet, huruvida nödvändiga korrigeringar har gjorts.

Om den europeiske tillsynsmannen för uppgiftsskydd anser att tillämpningen av inskränkningen i rätten att få bekräftelse i artikel 13 a blir verkningslös genom att denna information tillhandahålls, skall den europeiske tillsynsmannen för uppgiftsskydd inte informera den registerade om resultatet av hans/hennes förfrågan.

7. Beslut av den europeiske tillsynsmannen för uppgiftsskydd kan överklagas hos EG-domstolen eller förstainstansrätten.

Artikel 47

Verksamhetsrapport

1. Den europeiske tillsynsmannen för uppgiftsskydd skall lämna en årlig rapport om sin verksamhet till Europaparlamentet och samtidigt offentliggöra densamma.

2. Rapporten skall vidarebefordras till Europeiska unionens övriga institutioner och organ och skall diskuteras i Europaparlamentet tillsammans med svaren från dem.

KAPITEL VI

SLUTBESTÄMMELSER

Artikel 48

Övergångsperiod

Gemenskapens institutioner och organ skall säkerställa att behandling som redan pågår det datum som denna förordning träder i kraft uppfyller kraven i denna förordning inom ett år efter detta datum.

Artikel 49

Ikraftträdande

Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska gemenskapernas officiella tidning.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Utfärdad i Bryssel den

På Europaparlamentets vägnar På rådets vägnar

Ordförande Ordförande

Bilaga I

1. Uppgiftsskyddsombudet skall utses på grundval av sin auktoritet, sina expertkunskaper om skydd av uppgifter och sin pålitlighet.

2. Utnämnandet av uppgiftsskyddsombudet får inte innebära en intressekonflikt vad avser andra offentliga uppdrag, särskilt vad avser tillämpningen av bestämmelserna i denna förordning.

3. Uppgiftsskyddsombudet skall utnämnas för en period av minst två år. Han/Hon kan återväljas. Uppgiftsskyddsombudet får endast entledigas efter medgivande av den europeiske tillsynsmannen för uppgiftsskydd, om han/hon inte längre uppfyller de krav som ställs för att han/hon skall kunna utföra sina uppgifter.

4. Vad gäller utförandet av sina uppgifter får inte uppgiftsskyddsombudet ta emot några instruktioner.

5. Efter utnämningen skall uppgiftsskyddsombudet registreras hos den europeiske tillsynsmannen för uppgiftsskydd av den institution, det organ (eller den person) som har utnämnt honom/henne.

6. Uppgiftsskyddsombudet kan ge rekommendationer för den praktiska förbättringen av uppgiftsskyddet och ge råd till den gemenskapsinstitution eller det gemenskapsorgan som utsåg honom/henne och berörd registeransvarig i frågor som avser tillämpningen av bestämmelser om skydd av uppgifter. Dessutom skall han/hon, på eget initiativ eller på begäran av den gemenskapsinstitution eller det gemenskapsorgan som utsåg honom/henne, registeransvarig, personalkommittén i fråga eller den registrerade, undersöka frågor och händelser som har direkt samband med hans/hennes uppgifter och som kommer till hans/hennes kännedom.

7. Uppgiftsskyddsombudet kan om alla frågor som rör tolkningen eller tillämpningen av denna förordning rådfrågas av den gemenskapsinstitution eller det gemenskapsorgan som utsåg henne/honom, av registeransvarig i fråga, av personalkommittén i fråga och av varje enskild person, utan att dessa behöver gå den officiella vägen.

8. Ingen person skall lida förfång på grund av att han vänder sig till uppgiftsskyddsombudet i en fråga som tyder på en överträdelse av bestämmelserna i denna förordning.

9. Det åligger alla berörda registeransvariga att hjälpa uppgiftsskyddsombudet att fullgöra hans/hennes uppgifter och att svara på frågor. I sitt arbete skall uppgiftsskyddsombudet alltid ha tillgång till de uppgifter som behandlas och beredas tillträde till alla kontor, installationer för behandling av uppgifter och databärare samt ha rätt att samla in nödvändig information.

10. Uppgiftsskyddsombudet skall i den utsträckning som krävs befrias från andra uppgifter. Det åligger uppgiftsskyddsombudet och hans/hennes personal, som lyder under artikel 287 i fördraget, att inte sprida information eller dokument som de kommer i kontakt med då de fullgör sina uppgifter.

Bilaga II

1. Registeransvarigs namn och adress.

2. Namnen på de personer och/eller angivande av de organisatoriska delar av en institution eller ett organ som ansvarar för behandlingen av personuppgifter för ett särskilt syfte.

3 Ändamålet eller ändamålen med behandlingen.

4. En beskrivning av den eller de kategorier av registrerade som berörs och av de uppgifter eller kategorier av uppgifter som hänför sig till dem.

5. Den rättsliga grunden för den behandling för vilken uppgifterna är avsedda.

6. Mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut.

7. Hur länge de olika kategorierna av uppgifter kommer att blockeras och när de kommer att utplånas.

8. Föreslagna överföringar av uppgifter till tredje land.

9. En allmän beskrivning som gör det möjligt att preliminärt bedöma om de åtgärder är lämpliga som i enlighet med artikel 23 vidtagits för att trygga säkerheten vid behandlingen.

KOMMENTARER TILL ARTIKLARNA

Genom en ny artikel i EG-fördraget, artikel 286, kommer gemenskapens institutioner och organ att vara förpliktade att tillämpa gemenskapens rättsakter om skydd för enskilda personer vad avser behandling av personuppgifter och det fria flödet av sådana uppgifter. Denna förpliktelse begränsar i hög grad kommissionens valfrihet vad avser innehåll och räckvidd för väsentliga bestämmelser om uppgiftsskydd i denna förordning. Med andra ord är kommissionen, genom artikel 286 i EG-fördraget, förpliktad att ta hänsyn till gränserna i direktiv 95/46/EG. Detta är det huvudsakliga skälet till att denna förordning och direktiv 95/46/EG har en mycket likartad lydelse och uppbyggnad. Det andra skälet är att direktivet och förordningen bör kunna tolkas lika.

Förordningens lydelse överensstämmer dock inte helt med direktivets. Genom direktivet införs en ram som kräver ytterligare genomförandebestämmelser, antingen i form av nationell lagstiftning, för medlemsstaterna, eller i denna förordning, för gemenskapens institutioner och organ. Sålunda är bestämmelserna i denna förordning mer exakta och detaljerade än bestämmelserna i direktivet. För vissa frågor kan man enligt direktivet välja mellan olika alternativ. Detta är ytterligare ett skäl till att förordningens lydelse skiljer sig från direktivets. Dessutom inrättas genom förordningen den oberoende tillsynsmyndighet som avses i artikel 286 i EG-fördraget vilket kräver mer detaljerade bestämmelser än bestämmelserna i direktivet, där genomförandet överlåts till medlemsstaternas nationella lagstiftning.

Kommentarerna rör i första hand de bestämmelser i förordningen som inte överensstämmer med deras motsvarigheter i direktivet.

Kapitel I Allmänna bestämmelser

Artikel 1: Förordningens syfte

Artikel 1 rör förordningens syfte. Det skydd som garanteras omfattar inte bara behandlingen av uppgifter som rör de anställda vid institutionerna och alla som arbetar åt dessa utan även behandlingen av uppgifter som rör fysiska personer som står utanför institutionerna t.ex. leverantörer och sådana som uppbär stöd från gemenskapen. I förordningen skyddas särskilt sådan information om personer som medlemsstaterna lämnar till kommissionen för förvaltningen eller kontrollen av utbetalningarna av gemenskapsbidrag.

Det måste understrykas att denna förordning har ett annat syfte än direktivet.

Direktivet, som grundar sig på artikel 100a i EG-fördraget, syftar till att förena å ena sidan de krav som följer av förverkligandet av den inre marknaden och å andra sidan kraven på skyddandet av personer. Denna avvägning uttrycks i de två punkterna i artikel 1. I den första sägs att medlemsstaterna är skyldiga att se till att personers fri- och rättigheter skyddas i enlighet med direktivet. I den andra punkten anges konsekvenserna av detta i fråga om det fria flödet av personuppgifter inom den inre marknaden. Eller annorlunda uttryckt: Första punkten handlar om medlet harmonisering av de nationella lagstiftningarna; andra punkten handlar om målet fritt flöde av personuppgifter.

Det är inte befogat att upprepa detta resonemang i artikel 1 i förordningen.

Förordningen syftar till att göra gemenskapens institutioner och organ skyldiga att vid behandlingen av personuppgifter respektera personernas grundläggande fri- och rättigheter och i synnerhet deras rätt till privatliv.

Det är således uppenbart att förordningen kommer att leda till att de personuppgifter som lämnas till gemenskapens institutioner och organ, för fullgörandet av dessas uppgifter, kommer att behandlas på så sätt att hänsynen till de berörda personernas grundläggande fri- och rättigheter värnas. Villkoren för denna behandling har harmoniserats med villkoren i direktivet.

Det förefaller dock inte nödvändigt att i denna förordning upprepa en bestämmelse liknande den i artikel 1.2 i direktivet. Detta eftersom det fria flödet av information, framför allt personuppgifter, mellan medlemsstaterna och gemenskapens institutioner och organ, och för övrigt även mellan institutionerna och organen, regleras i fördragen (bl.a. artikel 213 i EG-fördraget) eller i gemenskapens sekundärrätt.

Det säger sig självt att denna förordning inte inverkar menligt på eventuella rättigheter som är säkerställda genom andra bestämmelser på gemenskapsnivå eller nationell nivå. Detta gäller inte minst tjänsteföreskrifterna för Europeiska gemenskapernas personal.

Artikel 2: Definitioner

Denna artikel innehåller samma definitioner som artikel 2 i direktivet.

Definitionen på "registeransvarig" har emellertid anpassats till gemenskapens speciella förhållanden. Men det handlar bara om rent faktiska preciseringar, i så måtto att det understryks att den ansvarige, beroende på situationen, kan vara en institution eller ett organ eller en annan organisatorisk enhet exempelvis ett generaldirektorat. Under alla omständigheter anges i direktivet kriterierna för vem som skall anses vara ansvarig för behandlingen av uppgifter. Ansvarig är den enhet som bestämmer ändamålen och medlen för behandlingen.

Artikel 3: Räckvidd

Punkt 1: Institutioner och organ som omfattas av förordningen

Förordningen skall tillämpas på behandling av personuppgifter utförd av samtliga gemenskapens institutioner och organ. Följaktligen ingår i förordningens tillämpningsområde sådan behandling som utförs av

- de institutioner som anges i artikel 7 i Fördraget om Europeiska unionen, dvs. Europaparlamentet, rådet, kommissionen, EG-domstolen, revisionsrätten.

- de organ som inrättats i fördragen om upprättandet av Europeiska gemenskapen, EKSG respektive Euratom, dvs. Europeiska centralbanken, Europeiska investeringsbanken, Ombudsmannen, Ekonomiska och sociala kommittén, Regionkommittén.

- de organ som inrättats med stöd i någon lagstiftning i gemenskapens sekundärrätt, vilken t.ex. kan ha antagits med artikel 308 i EG-fördraget som rättslig grund. Exempel på detta är Europeiskt centrum för utveckling av yrkesutbildning, Europeiska fonden för förbättring av levnads- och arbetsvillkor, Europeiska miljöbyrån, Europeiska yrkesutbildningsstiftelsen, Europeiska centrumet för kontroll av narkotika och narkotikamissbruk, Europeiska läkemedelsmyndigheten, Byrån för harmonisering inom den inre marknaden (varumärken, mönster och modeller), Europeiska arbetsmiljöbyrån, Gemenskapens växtsortsmyndighet, och Översättningscentrum för Europeiska unionens organ.

Förordningen skall tillämpas enhetligt när det gäller behandling som utförs inom ramen för den verksamhet som åligger gemenskapens institutioner och organ. Det görs ingen som helst åtskillnad mellan olika typer av verksamhet. Det kan röra sig om verksamhet som utförs i enlighet med EG-, EKSG- och Euratom-fördragen. Det kan även röra sig om verksamhet som utförs inom ramen för avdelning VI i Fördraget om Europeiska unionen.

Däremot ingår inte i förordningens tillämpningsområde den behandling av personuppgifter som utförs av organ inrättade inom ramen för avdelning VI i EU-fördraget, t.ex. Europol.

Punkt 2: Typ av behandling som avses

Denna punkt har samma innehåll som artikel 3.1 i direktivet. Förordningen gäller för sådan behandling som helt eller delvis företas på automatisk väg liksom för icke-automatisk behandling av uppgifter som ingår i eller kommer att ingå i ett register.

Kapitel II: Allmänna bestämmelser om när personuppgifter får behandlas

Avsnitt I Principer om uppgifternas kvalitet

Artikel 4

I denna artikel återges bestämmelserna i artikel 6 i direktivet.

Särskilt upprepas under styckena b och c de undantag enligt vilka det tillåts ytterligare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål. Dessa undantag måste dock vara förenade med lämpliga skyddsåtgärder.

De lämpliga skyddsåtgärderna skall vidtas av den institution eller det organ som verkar för det historiska, statistiska eller vetenskapliga ändamålet i fråga.

Vidare behandling för andra ändamål än dem som uppgifterna ursprungligen samlades in för kan uttryckligen tillåtas i lagstiftning. Så är exempelvis fallet vad gäller artikel 16 i rådets förordning (EG) nr 322/97 av den 17 februari 1997 om gemenskapsstatistik, i vilken det sägs att administrativa uppgifter skall kunna användas för att minska belastningen på uppgiftslämnare.

Avsnitt II: Kriterier för att uppgiftsbehandling skall tillåtas

Artikel 5:Denna artikel innehåller i likhet med artikel 7 i direktivet den fullständiga listan över villkor som gör det legitimt med behandling.

Följande tre ändringar har dock gjorts:

- ändring av listans uppläggning

- kortare lista

- omformulering av ett av villkoren.

- Ändring av listans uppläggning: Villkoren har rangordnats efter den praktiska betydelse som man rimligtvis kan förvänta sig att de får för offentliga myndigheter såsom gemenskapens institutioner och organ. I synnerhet förefaller det logiskt att som första legitimitets-villkor ange utförandet av det uppdrag som åligger institutionen respektive organet. Likaså torde i praktiken inte berörda personers samtycke eller egna intressen av grundläggande betydelse vara de legitimitets-villkor som används oftast, även om de behövs för att genomföra vissa av institutionernas och organens verksamheter, t.ex. att driva läkartjänsten.

- Kortare lista: Stycke f i artikel 7 i direktivet har inte tagits med i förordningen. Detta stycke, där behandlingens legitimitet grundas på berättigade intressen hos registeransvarig eller hos tredje man, förutsatt att den registrerades intressen inte överväger, är inte tillämpligt på verksamhet inom den offentliga sektorn. Styckets breda tillämpningsområde bör i stället endast täcka den privata sektorn.

- Omformulering av stycke a: I detta stycke återges stycke e i artikel 7 i direktivet. Samtidigt har det anpassats till gemenskapens förhållanden såtillvida att det är gemenskapens institutioner och organ som har befogenhet att i förekommande fall behandla uppgifter.Stycke a) omfattar även sådan behandling av personuppgifter som krävs för den dagliga förvaltningen av institutionerna och organen, t.ex. behandling av tjänstemäns personuppgifter.

Artikel 6: Ytterligare behandling för andra förenliga ändamål

Denna artikel handlar om behandling av uppgifter för ett annat ändamål, som dock är förenligt med det ändamål för vilket uppgifterna samlades in.

Enligt punkt 1 krävs att ytterligare behandling för förenliga ändamål är berättigat enligt de interna bestämmelserna för institutionen eller organet i fråga.

I punkterna 2 och 3 anges två situationer som avser ytterligare behandling. Enligt punkt 2 är ytterligare behandling tillåten för att säkerställa överensstämmelse med bestämmelser om finansiering och budget. Enligt punkt 3 får inte personuppgifter som samlas in för säkerheten eller kontrollen av behandlingssystem eller behandlingar användas för ytterligare behandling.

Artikel 6 påverkar inte tillämpningen av artikel 18 i vilken fastställs de villkor enligt vilka ytterligare behandling för oförenliga ändamål kan anses vara tillåten.

Artiklarna 7, 8 och 9: Överföring av personuppgifter

I artiklarna 7, 8 och 9 görs åtskillnad mellan tre olika situationer.

I artikel 7 behandlas överföring av personuppgifter från en institution eller ett organ till ett annat samt överföring inom institutioner och organ. I en sådan situation överförs personuppgifter till en mottagare som också lyder under denna förordning.

I artikel 8 behandlas överföring av personuppgifter från en gemenskapsinstitution eller ett gemenskapsorgan till en mottagare som lyder under bestämmelserna i direktiv 95/46/EG.

Artiklarna 7 och 8 påverkar inte tillämpningen av artiklarna 4, 5 och 6. De innehåller ytterligare skyddsåtgärder och i artikel 7 specificeras registeransvarigas och mottagares ansvar.

Artikel 9: Överföring av personuppgifter till en mottagare som saknar adekvat skyddsnivå

I artikel 9 återges artiklarna 25 och 26 i direktivet och behandlas överföring av personuppgifter till en mottagare som varken lyder under denna förordning eller under direktiv 95/46/EG. Majoriteten av fallen kommer att avse överföring av personuppgifter till tredje land. De bestämmelser i artikel 9 vilka avser förfarandet är om möjligt utformade på samma sätt som de i direktivet.

Avsnitt III: Särskilda behandlingskategorier

Artikel 10: Behandlingen av särskilda kategorier av uppgifter

Denna artikel har samma struktur som artikel 8 i direktivet som innehåller

- dels i punkt 1 ett förbud mot behandling av känsliga uppgifter, varvid det erinras om att uppgifter inom följande kategorier anses vara känsliga: uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv,

- dels ett antal undantag som motsvarar vissa speciella behov och som är förenade med lämpliga skyddsåtgärder.

Observera att tjänsteföreskrifterna för tjänstemän och övriga anställda vid Europeiska gemenskaperna redan innehåller förbud mot att låta vissa känsliga uppgifter ingå i tjänstemännens personalakter. I artikel 26 i tjänsteföreskrifterna nämns tjänstemännens politiska, filosofiska eller religiösa åsikter. Övriga kategorier av uppgifter som i direktivet anses som känsliga nämns inte i tjänsteföreskrifterna, vilka bör skrivas om så att de överensstämmer med förordningen när ett lämpligt tillfälle för detta infinner sig.

Dessutom kan undantaget från behandling av sådana uppgifter som rör brottmålsdomar, vilka åsyftas i artikel 8.5 i direktivet, endast delvis tillämpas i fråga om gemenskapens institutioner och organ.

Vidare ger punkterna 4-6 gemenskapens tillsynsmyndighet befogenhet att besluta om ytterligare undantag (punkt 4), för att godkänna behandling av uppgifter som avser lagöverträdelser, brottmålsdomar och säkerhetsåtgärder (punkt 5) samt att besluta om de villkor enligt vilka ett personnummer eller något annat sätt för identifiering får behandlas inom en gemenskapsinstitution eller -organ (se punkt 6).

Ett exempel på behandling av personuppgifter som kan tillåtas av den europeiske tillsynsmannen för uppgiftsskydd är behandling för att förebygga obehörig användning av datanätverk, t.ex. därför att de används för att sprida rasistisk propaganda eller pornografi.

Den handlingsfrihet som den europeiske tillsynsmannen för uppgiftsskydd ges i punkterna 4-6 får inte användas i strid med undantagen i gemenskapslagstiftningen eller andra juridiska regler.

Slutligen föreslås att medlemsstaterna inte ges samma möjlighet i förordningen som i artikel 8.5 andra stycket i direktivet, som utsträcker det system som gäller för påföljder i brottmål till att även gälla för administrativa sanktioner eller avgöranden i tvistemål.

Avsnitt IV: Informationsplikt gentemot den registrerade

Artikel 11: Information vid insamling av uppgifter från den registrerade

Artikel 11.1 bygger i mycket hög grad på artikel 10 i direktivet.

Följande två kommentarer är emellertid på sin plats:

- Beträffande den som är skyldig att lämna information: Att företrädaren för registeransvarig nämns i artikel 10 i direktivet hänför sig till en situation där registeransvarig inte är etablerad inom gemenskapens territorium utan i tredje land. Detta är irrelevant i fråga om gemenskapens institutioner och organ och har följaktligen utelämnats i förordningen.

- Beträffande listan över information som skall lämnas till berörda personer: I likhet med artikel 10 i direktivet fastställs i artikel 11 i förordningen en lista över information. Det föreslås att direktivets minimilista kompletteras.

I artikel 10 i direktivet specificeras inte uttryckligen vid vilken tidpunkt den registrerade skall informeras. I allmänhet skall detta ske vid den tidpunkt då personuppgifterna samlas in. Enligt artikel 11.2 kan informationsplikten vid behov skjutas upp till en senare tidpunkt av de särskilda skäl som nämns i denna bestämmelse.

Artikel 12: Information när uppgifterna inte har lämnats av den registrerade

Kommentarerna beträffande artikel 11 gäller även för artikel 12. De undantag från informationsplikt som anges i artikel 11 i direktivet har förts in här, samtidigt som det har preciserats att med de författningar som kan ligga till grund för ett undantag avses gemenskapslagstiftningen.

Avsnitt V: Den registrerades rätt att få tillgång till uppgifter

För att åstadkomma en större tydlighet har innehållet i artikel 12 i direktivet delats upp och redovisas i artiklarna 13-17.

Dessutom har det gjorts några förtydliganden i förhållande till artikel 12.

Artikel 13: Rätt till tillgång

I denna artikel återges innehållet i artikel 12 a i direktivet.

En ändring har gjorts i fråga om den betalning som kan avkrävas personer som utnyttjar sin rätt till information. Enligt artikel 12 får det inte röra sig om några större belopp. Här föreslås i stället total kostnadsfrihet.

Vidare ges i direktivet en möjlighet att registeransvarigas skyldighet att informera om det logiska system som används när uppgifter behandlas på automatisk väg begränsas till att endast gälla databehandlade beslut. Här föreslås att denna möjlighet inte skall kunna utnyttjas.

Artikel 14: Rättelse

Denna artikel handlar i likhet med artiklarna 15 och 16 om den ena av tre åtgärder som registeransvariga måste vidta om det visar sig att uppgifter har behandlats på ett sätt som strider mot förordningen. I dessa tre artiklar i förordningen återges artikel 12 b i direktivet, samtidigt som vissa preciseringar görs.

Artikel 15: Blockering

Denna artikel innehåller diverse preciseringar framför allt i fråga om villkoren för

- när denna tekniska åtgärd skall tillgripas, nämligen vid bestridande av de behandlade uppgifternas överensstämmelse med ändamålet, bevarande av uppgifter i bevissyfte samt begäran från den berörda personen att uppgifterna blockeras i stället för att utplånas,

- när blockerade uppgifter åter kan användas.

Artikel 16: Utplåning

I punkt 1 föreskrivs utplåning av personuppgifter som har behandlats i strid med lagen, särskilt på grund av att kraven i fråga om uppgifternas kvalitet, lagenlig behandling och känsliga uppgifter inte har uppfyllts.

I punkt 2 upprepas principen om att personuppgifter endast skall bevaras så länge som krävs för att uppnå det mål som de samlades in för.

Artikel 17: Meddelande till tredje man

Denna artikel återspeglar artikel 12 c i direktivet.

Avsitt VI: Undantag och begränsningar

Artikel 18: Undantag och begränsningar

I denna artikel återges delar av artikel 13 i direktivet, vilken ger medlemsstaterna vissa möjligheter. Om dessa möjligheter utnyttjas måste emellertid följande villkor uppfyllas:

- Beträffande personers rättigheter och de skyldigheter som åligger registeransvarig, vilkas räckvidd kan begränsas: I motsats till artikel 13 i direktivet avviker denna artikel från bestämmelserna om information till registrerade (artiklarna 11 och 12) och om rätten till tillgång (artikel 13). Villkoren för att kunna bortse från uppgifternas karaktär, då det är fråga om ett förenligt ändamål, har redan behandlats under artikel 6 i förordningen, som handlar om byte av ändamål. Vidare är det inte befogat att i artikel 18 i förordningen hänvisa till artiklarna 14-16. För att rättigheterna i dessa artiklar skall kunna utnyttjas förutsätts att rätten till tillgång har medgivits - utan tillgång fungerar inte rättigheterna. Om tillgången medges är inte längre undantaget från dessa rättigheter befogat.

- Beträffande grunderna för när personers rättigheter kan begränsas: De grunder som rör statens säkerhet, försvaret och den allmänna säkerheten (uppräknade under artikel 13.1 a, 13.1 b och 13.1 c) har inte tagits med, eftersom de inte är tillämpliga på gemenskapens institutioner och organ.

- Beträffande de skyddsåtgärder som måste vidtas: artikel 13 i direktivet innebär inte att en generell avvikelse från bestämmelserna tillåts, utan endast undantag och begränsningar som tillämpas på enskilda fall. Det är mot den bakgrunden som syftet med punkterna 3 och 4 i artikeln är att föreskriva skyddsåtgärder i syfte att skydda de personer vars rätt till tillgång nekas dem i det enskilda fallet. Skyddsåtgärderna utgörs dels av en rättighet att bli informerad om de huvudsakliga skälen till att tillgång nekas och om möjligheten att vända sig till tillsynsmyndigheten, dels rätt till information i efterhand.

Avsnitt VII: Den registrerades rätt att göra invändningar

Artikel 19: Den registrerades rätt att göra invändningar

Denna artikel återspeglar artikel 14 a i direktivet, vilken ger medlemsstaterna viss handlingsfrihet i fråga om tillämpningsområdet för denna rättighet. Därför behöver ett antal klarlägganden göras i förordningen.

Artikel 14 b, som handlar om rätten att göra invändningar beträffande marknadsföring, berör inte verksamheten vid gemenskapens institutioner och organ.

Likaledes gäller att tillämpnings-området för rätten att göra invändningar, såsom detta är formulerat i artikel 14 i direktivet, med avseende på sådana behandlingar som utförs på grundval av artikel 7 f i direktivet vilken åsyftas i artikel 14 a i direktivet inte kan tillämpas på gemenskapens institutioner och organ. Detta eftersom artikel 7 f inte kan tillämpas på de speciella förhållandena inom gemenskapen, vilket tidigare påpekats.

Artikel 20: Den registrerades rätt att framföra klagomål

Rätten att framföra klagomål är den logiska motsvarigheten till den befogenhet som den europeiske tillsynsmannen för uppgiftsskydd har att pröva klagomål i enlighet med artikel 28.4 i direktivet.

Artikel 21: Databehandlade beslut

Denna artikel återspeglar artikel 15 i direktivet.

Det är uppenbart att vissa av de exempel som anges i artikel 15.1 i direktivet, beträffande bedömning av vissa personliga egenskaper och förhållanden (bl.a. kreditvärdighet), inte är relevanta inom ramen för förordningen och följaktligen har utelämnats.

Avsnitt VIII: Sekretess och säkerhet vid behandling

Artikel 22: Sekretess vid behandling

Denna artikel återspeglar artikel 16 i direktivet.

Det har inte förefallit nödvändigt att ta med direktivets möjlighet till undantag beträffande skyldigheter enligt lag. En sådan precisering skulle innebära en upprepning av artikel 6, som handlar om byte av ändamål.

Artikel 23: Säkerhet vid behandling

Denna artikel återspeglar artikel 17.1 i direktivet och förtydligar samtidigt densamma.

Punkt 1 i artikeln har samma innehåll som andra stycket i artikel 17.1.

Punkt 2 handlar om de skyddsåtgärder som skall vidtas när uppgifter behandlas manuellt.

I punkt 3 preciseras första stycket i artikel 17.1, vars lydelse är mycket allmänt hållen. Punkt 3 bygger dels på ett antal rekommendationer om uppgiftsskydd som nyligen har antagits av Europarådet, dels på konventionen om tillämpning av Schengenavtalet (artikel 118).

I praktiken är det klart att de skyddsåtgärder som skall vidtas kommer att komplettera de mer övergripande åtgärder som institutionerna och organen redan har vidtagit i fråga om säkerheten hos informationssystemen (t.ex. kommissionens beslut av den 23 november 1995, som syftar till att skydda integriteten, sekretessen och disponibiliteten i samband med informationssystemen).

Artikel 24: Behandling av personuppgifter för de registeransvarigas räkning

Denna artikel motsvaras av artikel 17.2-17.4 i direktivet.

Avsnitt IX: Uppgiftsskyddsombud

Artikel 25: Uppgiftsskyddsombud

Denna artikel säger att varje institution och organ skall utse ett uppgiftsskyddsombud, som skall ha en oberoende roll och se till att uppgiftsskyddet tillämpas inom institutionen respektive organet.

Artikel 18.2 i direktivet handlar om utnämningen av uppgiftsskyddsombud, vilket är valfritt för medlemsstaterna. Enligt den artikeln möjliggör en sådan utnämning förenklingar och t.o.m. undantag från skyldigheten att anmäla behandlingar till tillsynsmyndigheten.

Direktivet har i detta avseende hämtat inspiration från ett förfarande som är väl etablerat i vissa medlemsstater och som gör det möjligt att åstadkomma ett effektivt skydd för personer.

Vissa kommentarer kan göras beträffande utnämningen av ombudet, de funktioner som detta ombud bör ha, skyddsåtgärder som bör föreskrivas så att ombudet kan fullgöra sina uppgifter samt beträffande förhållandet mellan ombudet och tillsyns-myndigheten.

- Utnämningen av uppgiftsskyddsombudet: Varje institution och organ kommer att ha skyldighet att utse minst ett ombud. Vissa institutioner t.ex. kommissionen kommer med största sannolikhet att se sig föranledda att utse flera ombud, beroende på omfattningen av behandlingen av personuppgifter inom institutionen.

- Ombudets funktioner: Ombudets huvudfunktion anges i punkt 1 i denna artikel. Denna knyter nära an till direktivet. Ombudet skall se till att uppgiftsskyddet tillämpas internt samt föra register över samtliga behandlingar som institutionen eller organet utför. I denna artikel läggs tyngdpunkten på ombudets roll som förmedlare av information till de personer som omfattas av behandlingen samt till registeransvariga, i fråga om deras rättigheter och skyldigheter när det gäller uppgiftsskydd. Denna information utgör den första nödvändiga förutsättningen för en god tillämpning av direktivets skydd. Det är därför som detta betonas i första strecksatsen i punkt 1, trots att det i grund och botten inte tillför något till de mer allmänna ordalydelserna i direktivet. Vidare har ombudet ett antal mer specifika uppgifter - att föreslå förbättringar av uppgiftsskyddet inom institutionen eller organet och att kunna rådfrågas av den institution eller det organ som svarade för utnämningen, av de registeransvariga och av personalkommittén. Dessutom är uppgiftsskyddsombudet förpliktat att samarbeta med den europeiske tillsynsmannen för uppgiftsskydd (andra strecksatsen). Den skyldighet som föreskrivs enligt femte strecksatsen skall underlätta identifieringen av behandlingar som innebär särskilda risker genom förhandskontroller av den europeiske tillsynsmannen.

- Skyddsåtgärder för fullgörandet av ombudets uppgifter: Alla de skyddsåtgärder som föreskrivs syftar till att i görligaste mån klargöra den grundläggande förutsättning som bör känneteckna ombudets status i enlighet med direktivet, nämligen den oberoende ställningen.

Artiklarna 26 och 27: Registrering hos uppgiftsskyddsombudet

För att öka öppenheten stipuleras det i artikel 27, i överensstämmelse med direktivet, att ombudet skall föra ett offentligt register över de behandlingar som utför(t)s inom institutionen eller organet.

För att ombudet skall kunna sköta denna uppgift på ett tillfredsställande sätt är det tillåtet att de registeransvariga anmäler behandlingarna till ombudet innan de utförs.

Listan över information som skall lämnas till ombudet står i artikel 19.1 i direktivet, som är den artikel som det hänvisas till i artikel 21.2 i direktivet.

Listan i direktivet är en minimilista. För att öka öppenheten i fråga om de behandlingar som utförs av institutionerna och organen föreslås det att denna lista kompletteras med information om den rättsliga grunden för behandlingarna (t.ex. bestämmelser i gemenskapsrätten som gör behandlingen nödvändig) och om hur länge uppgifterna skall bevaras. Återigen påpekas att bestämmelserna om den företrädare för registeransvarig som omnämns i artikel 19.1 a i direktivet inte är tillämpliga på gemenskapens institutioner och organ.

Avsnitt X: Förhandskontroll görs av den europeiske tillsynsmannen för uppgiftsskydd

Artikel 28: Förhandskontroll görs av den europeiske tillsynsmannen för uppgiftsskydd

Denna artikel motsvarar artikel 20 i direktivet.

Direktivet bygger på en selektiv kontroll av att behandlingarna är regelrätta med hänsyn till de risker de kan innebära för personers rättigheter.

- Anmälan om behandlingar till tillsynsmyndigheten kan generellt göras enklare, eller rentav strykas. Detta på vissa villkor framför allt att ett uppgiftsskyddsombud har inrättats.

- Anmälan förblir nödvändig, och bör t.o.m. förstärkas med en förhandskontroll, vad gäller behandlingar som medför särskilda risker.

I denna förordning dras konsekvenserna av att det inrättas uppgiftsskyddsombud vid gemenskapens institutioner och organ, såtillvida att skyldigheten att göra anmälan till gemenskapens tillsynsmyndighet begränsas till att bara gälla sådana behandlingar som medför särskilda risker.

En möjlighet som ges i artikel 20.2 utnyttjas, varigenom uppgiftsskyddsombuden vid institutionerna och organen skall anmäla behandlingar som utgör en risk till tillsynsmyndigheten.

I artikel 20.1 i direktivet anges att det ankommer på medlemsstaterna att närmare ange vilka behandlingar som kan medföra särskilda risker. I skäl 53 anges att dessa preciseringar kan göras i den nationella lagstiftningen om medlemsstaterna så önskar. Härvid kan även tillsynsmyndigheterna ges möjlighet att göra egna bedömningar av innebörden av begreppet "behandlingar som medför särskilda risker". Denna artikel tar fasta på den senare lösningen och ger tillsynsmyndigheten befogenhet att fastställa vilka behandlingar som medför särskilda risker. Trots detta nämns några exempel i artikeln. Dessa bygger på skäl 53.

Med utgångspunkt i skäl 54 föreskrivs i punkt 3 i denna artikel att den tillsyns-myndighet som har fått en anmälan om en behandling som medför särskilda risker måste yttra sig över den planerade behandlingen och ange huruvida den är regelrätt eller ej. Därefter ankommer det på den institution eller det organ som anmälde behandlingen att dra de praktiska slutsatserna.

Kapitel III: Rättslig prövning och sanktioner

Artiklarna 29 och 30

Här handlar det om bestämmelser varigenom artiklarna 22, 23 och 24 i direktivet tillämpas. I en gemenskap byggd på lag och rätt är det viktigt att privatpersoners rättigheter kan åberopas även när det är en gemenskapsinstitution eller ett gemenskapsorgan som har kränkt rättigheterna. I enlighet med de bestämmelser i fördraget som reglerar gemenskapens utomobligatoriska ansvar, skall gemenskapen ersätta de skador som dess institutioner och anställda har orsakat under sin verksamhetsutövning, och EG-domstolen har behörighet i tvistemål rörande skadestånd.

Kapitel IV: Skydd av personuppgifter och privatliv vad avser interna telekommunikationsnät

Detta avsnitt återspeglar bestämmelserna i direktiv 97/66/EG vad avser behandling av personuppgifter och skydd av privatlivet inom telekommunikationsområdet i den utsträckning som de går att tillämpa på gemenskapens institutioner och organ. De flesta av bestämmelserna behövde anpassas till de särskilda omständigheter som råder inom gemenskapens institutioner och organ.

Artikel 31: Räckvidd

Detta kapitel avser endast de telekommunikationsnät vilkas drift kontrolleras av gemenskapens institutioner och organ. Artiklarna 31-37 är därför endast tillämpliga om gemenskapens institutioner och organ verkligen kan bestämma villkoren för driften av telekommunikationsnäten i fråga.

Artikel 32: Säkerhet

Denna bestämmelse återspeglar artikel 4 i direktiv 97/66/EG.

Om ett telekommunikationsnät eller -linje har förbindelse med ett allmänt tillgängligt nät eller om ett sådant nät eller en sådan linje hyrs av eller drivs i samarbete med en tillhandahållare av ett allmänt tillgängligt nät, kan det bli nödvändigt för gemenskapsinstitutionen eller gemenskapsorganet att samarbeta med tillhandahållaren av nätet eller tjänsten för att garantera en tillräcklig säkerhetsnivå.

Artikel 33: Telehemlighet

Denna bestämmelse återspeglar artikel 5 i direktiv 97/66/EG.

Med tanke på de ändamål som anges i artikel 34 kan det i särskilda fall vara nödvändigt att kontrollera användningen av ett särskilt telekommunikationsnät. Exempel på detta är lagring av vissa uppgifter avseende telefonsamtal för faktureringsändamål eller övervakning av användningen av de internetfaciliteter som erbjuds tjänstemän inom gemenskapens institutioner och organ. I enlighet med de allmänna principerna i denna förordning bör sådana ingrepp eller sådan övervakning ske i så liten omfattning som möjligt.

Artikel 34: Trafik- och faktureringsdata

Denna bestämmelse återspeglar artikel 6 i direktiv 97/66/EG.

I artikel 34 anges vilka begränsningar som gäller för behandling av personuppgifter för ändamålen fakturering, budget och trafikstyrning.

Artikel 35: Kataloger över användare

Denna bestämmelse återspeglar artikel 11 i direktiv 97/66/EG.

För att gemenskapens institutioner och organ skall fungera väl har användare, dvs. normalt tjänstemän, inte beviljats rätten att utelämnas ur kataloger. Personuppgifterna i sådana kataloger skall dock vara begränsade till vad som krävs för det specifika ändamålet med katalogen. Detta innebär att tjänstemannen när det gäller vissa uppgifter kan välja om han eller hon vill att dessa uppgifter skall omfattas eller inte. Ett exempel är rätten att kräva att tjänstemannens samtliga förnamn inte skall stå i katalogen, utan bara det förnamn som tjänstemannens kolleger känner till, förutsatt naturligtvis att det inte är en pseudonym.

Artikel 36: Identifiering av det anropande och uppkopplade numret

Denna bestämmelse återspeglar artikel 8 i direktiv 97/66/EG. Artikel 8.3 i det direktivet upprepas inte här, eftersom det anses att det inte är lämpligt att avvisa inkommande samtal från kolleger inom ramen för gemenskapens institutioner och organ.

Artikel 37: Undantag

Denna bestämmelse återspeglar artikel 9 i direktiv 97/66/EG.

Kapitel V Tillsynsmyndighet: Den europeiske tillsynsmannen för uppgiftsskydd

Artiklarna 38-47

Tillsynsmyndigheten har efter vederbörliga ändringar utformats med utgångspunkt i artikel 28 i direktivet. Denna artikel ger tydliga besked i fråga om den oberoende ställning som tillsynsmyndigheter som inrättas på nationell nivå skall ha samt i fråga om deras befogenheter. Med tanke på att denna bestämmelse innebär att medlemsstaterna åläggs vissa skyldigheter skall i enlighet med artikel 286 i fördraget samma skyldigheter överföras på gemenskapens institutioner och organ.

Artikel 39: Utnämning av den europeiske tillsynsmannen för uppgiftsskydd

Vad beträffar förfarandet för att utse tillsynsmyndigheten har motsvarande bestämmelser använts som för den europeiske ombudsmannen (artikel 195 i fördraget). Enligt den åsikt som framförts av den rådgivande arbetsgrupp för uppgiftsskydd som inrättades genom artikel 29 i direktivet är lämpligaste lösning att tillsynsmyndigheten utses av Europaparlamentet. I motsats till utnämningen av den europeiske ombudsmannen måste dock Europaparlamentet samråda med kommissionen och rådet.

Artikel 46: Befogenheter

Genom befogenheten att intervenera vid förhandlingar inför EG-domstolen och förstainstansrätten enligt artikel 46.2 e "införlivas" artikel 28.3, tredje strecksatsen, i direktivet.

Genom artikel 46.7 införlivas det sista stycket i artikel 28.1 i direktivet. Rättegångsreglerna för EG-domstolen och förstainstansrätten kommer att behöva ändras så att de kan behandla ärenden som rör den europeiske tillsynsmannen för uppgiftsskydd.

Slutbestämmelser

Artikel 48

Denna bestämmelse återspeglar artikel 32.2 i direktivet genom att för behandling som redan pågår bevilja en övergångsperiod för uppfyllande av förordningen. I stället för en period på tre år föreslås en period på ett år.

FINANSIERINGSÖVERSIKT

1. Åtgärdens beteckning

Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer då Europeiska gemenskapens institutioner och organ behandlar personuppgifter och om det fria flödet av sådana uppgifter.

2. Berörd(a) budgetpost(er)

Nytt kapitel 39 (skall utformas) av del 1 (EP), sektion 3 i den allmänna budgeten.

3. Rättslig grund

Artikel 286 i fördraget om upprättandet av Europeiska gemenskapen (genomförande av Amsterdamfördraget).

Artikel 286

1. Från och med den 1 januari 1999 skall gemenskapsrättsakter om skydd för enskilda när det gäller behandling av och fri rörlighet för personuppgifter vara tillämpliga på de institutioner och organ som inrättas genom eller på grundval av detta fördrag.

2. Före den tidpunkt som avses i punkt 1 skall rådet enligt förfarandet i artikel 251 inrätta ett oberoende övervakningsorgan som skall ansvara för att övervaka att dessa gemenskapsrättsakter tillämpas på gemenskapens institutioner och organ samt vid behov anta andra för ändamålet relevanta bestämmelser.

4. Beskrivning av åtgärden

4.1 Allmänt mål

1. Inrättande av ett oberoende tillsynsorgan enligt bestämmelserna i den nya artikeln 286.2 i EG-fördraget (den europeiske tillsynsmannen för uppgiftsskydd, se bilaga 1) ansvarigt för övervakningen av tillämpningen av uppgiftsskyddsbestämmelser och -grundregler i gemenskapens institutioner och organ.

2. Utnämningen av en eller flera uppgiftsskyddsombud i varje gemenskapsinstitution och gemenskapsorgan (se bilagorna 2a och 2b).

4.2 Period som omfattas av åtgärden och bestämmelser om förnyelse eller förlängning

Dessa strukturer skall vara permanenta.

5. Klassificering av utgifter och inkomster

5.1 Icke-obligatoriska utgifter

5.2 Icke-differentierade anslag

5.3 Typ av inkomster som avses

Inga uppgifter

6. Typ av utgifter och inkomster

Administrativa utgifter.

7. Budgetkonsekvenser

Se § 10.

8. Bestämmelser om bedrägeribekämpning

En strikt efterlevnad av regler och förfaranden vid upphandling av varor och tjänster garanteras, i enlighet med budgetförordningen för Europeiska gemenskapernas allmänna budget, förordningen om villkor för genomförande av budgetförordningen och interna regler.

Tillämpliga skyddsklausuler innefattas i alla avtal och kontrakt mellan den europeiske tillsynsmannen för uppgiftsskydd eller andra gemenskapsorgan eller institutioner eller uppdragstagare.

Kontrollåtgärder innefattas systematiskt i alla kontrakt och avtal, som periodiska rapporter och kontroll av på förhand bestämda leveranser vid förutbestämda milstolpar i kontrakt. Kontroll av bidrag och effektivt fullgörande görs innan någon betalning godkänns.

9. Analys av kostnadseffektivitet

9.1 Särskilda och kvantifierbara mål. Målgrupp

* Särskilda mål:

Inledning, tillämpning och övervakning av uppgiftsskyddsbestämmelserna vid gemenskapens institutioner och organ (förpliktelse enligt den nya artikel 286 i EG-fördraget).

* Målgrupp:

Fysiska personer, vilkas personuppgifter behandlas av gemenskapens institutioner och organ. Bestämmelserna i förordningen kommer att vara till fördel för hela gemenskapen samt för personal anställd vid gemenskapens institutioner och organ, medborgare och uppdragstagare i gemenskapen som kan beröras av omfattningen av dataskydd i gemenskapens institutioner och organ.

9.2 Skäl för åtgärden

Eftersom den europeiske tillsynsmannen för uppgiftsskydd är ett gemenskapsorgan som inrättats i enlighet med den nya artikel 286 i EG-fördraget finansieras den genom gemenskapens budget.

* Val av tillvägagångssätt

* fördelar i förhållande till möjliga alternativ:

Europeiske tillsynsmannen för uppgiftsskydd

I den nya artikel 286 i EG-fördraget föreskrivs inrättandet av ett europeiskt övervakningsorgan för uppgiftsskydd, som inte kommer att vara en del av kommissionen utan ett nytt oberoende gemenskapsorgan som fullgör sina uppgifter på en interinstitutionell nivå, dvs. övervakning av alla övriga gemenskapens institutioner och organ. Kommissionen har beräknat både antalet tjänster som behövs (se 10.1) och de finansiella konsekvenserna av detta (se 10.2). Det enda stöd som kommissionen hade vid beräkningen av siffrorna var de nationella myndigheterna för uppgiftsskydd. Dessa myndigheter är dock inte helt jämförbara med Europeiske tillsynsmannen för uppgiftsskydd. I motsats till den europeiske tillsynsmannen för uppgiftsskydd övervakar de både den offentliga och den privata sektorn. Dessutom finns det långt färre gemenskapsinstitutioner och organ än nationella statliga myndigheter. Denna jämförelse visar tydligt att det finns goda grunder för att anställa färre tjänstemän vid den europeiske tillsynsmannen för uppgiftsskydds enhet än vid de nationella myndigheterna. Å andra sidan beror en viss del av arbetet för den europeiske tillsynsmannen för uppgiftsskydd inte på de berörda institutionernas eller organens storlek eller antalet behandlingsomgångar dessa utför.

Uppgiftsskyddsombud

I förslaget till förordning anges att alla gemenskapens institutioner och organ skall utse minst ett uppgiftsskyddsombud.

Vad beträffar andra institutioner och organ än kommissionen har samråd med dessa skett och deras beräkningar omfattas i denna finansieringsöversikt. Europaparlamentets generalsekretariat har påpekat att det skall ankomma på de enskilda organen att själva beräkna sina behov. Generalsekretariatet ville därför inte yttra sig till beräkningarna.

Vad beträffar kommissionens avdelningar kommer man troligen att inrätta en deltidstjänst för ett uppgiftsskyddsombud med befintliga medel, istället för att inrätta en eller fler heltidstjänster för hela kommissionen. Beräkningarna i denna finansieringsöversikt bygger på detta antagande.

Det finns olika skäl till att anställa ett eget uppgiftsskyddsombud för varje enskild avdelning inom kommissionen. Kommissionens avdelningar är åtski