CELEX: 51990PC0314(01)
Language: da
Date: 1990-09-13
Title: FORSLAG TIL RAADETS DIREKTIV OM BESKYTTELSE AF PERSONER I FORBINDELSE MED BEHANDLING AF PERSONOPLYSNINGER

5. 11. 90                                    De Europæiske Fællesskabers Tidende                                   Nr. C 277/3
                             Forslag til Rådets direktiv om beskyttelse af personer i forbindelse
                                              med behandling af personoplysninger
                                              KOM(90) endelig udg. — SYN 287
                                         (Forelagt af Kommissionen   den 27. juli 1990)
                                                          (90/C 277/03)
RÅDET FOR DE EUROPÆISKE FÆLLESSKABER HAR —                         (4)  udbygningen af det teknisk-videnskabelige samar-
                                                                        bejde og den koordinerede etablering af nye telekom-
                                                                        munikationsnet i Fællesskabet nødvendiggør og letter
under henvisning til Traktaten om Oprettelse af Det                     personoplysningers frie bevægelighed på tværs af
Europæiske Økonomiske Fællesskab, særlig artikel 100 A                  landegrænserne;
og 113,
under henvisning til forslag fra Kommissionen,                     (5)  forskellen i den beskyttelse af privatlivets fred,
                                                                        medlemsstaterne yder i forbindelse med behandlingen
                                                                        af personoplysninger, kan hindre transmission af
i samarbejde med Europa-Parlamentet,                                    oplysninger af denne art fra en medlemsstats område
                                                                        til en anden medlemsstats område; denne forskel kan
                                                                        derfor udgøre en hindring for udøvelsen af en række
under henvisning til udtalelse fra Det Økonomiske og                    økonomiske aktiviteter på fællesskabsplan, virke
Sociale Udvalg, og                                                      konkurrencefordrejende og hindre de nationale
                                                                        administrationer i at udføre opgaver, der falder ind
                                                                        under fællesskabsrettens anvendelsesområde; denne
ud fra følgende betragtninger:                                          forskel i beskyttelsesniveauet hidrører fra forskellene i
                                                                        de nationale love og administrative bestemmelser;
(1)  Fællesskabets målsætninger, således som disse er
     nedfældet i Traktaten, som ændret ved Den Europæis-
     ke Fælles Akt, er at gennemføre en stadig snævrere            (6)  for at fjerne hindringerne for den frie udveksling af
     sammenslutning mellem de europæiske folk, at skabe                 personoplysninger bør beskyttelsen af privatlivets fred
     snævrere forbindelser mellem de stater, som Fælles-                i forbindelse med behandlingen af sådanne oplys-
     skabet forener, gennem fælles handling at sikre                    ninger være ensartet i alle medlemsstater; med henblik
     økonomiske og sociale fremskridt ved at fjerne de                  herpå er det nødvendigt, at der sker en indbyrdes
     skranker, der deler Europa, stadig at forbedre dets                tilnærmelse af de gældende lovbestemmelser på
     folks levevilkår, at bevare og styrke freden og friheden           området;
     samt at fremme demokratiet på grundlag af de
     grundlæggende rettigheder, der er anerkendt ved
     medlemsstaternes forfatninger og love samt ved den            (7)  sigtet med de nationale love om behandling af
     europæiske konvention til beskyttelse af menneskeret-              personoplysninger er at sikre respekt for de grundlæg-
     tigheder og grundlæggende frihedsrettigheder;                      gende rettigheder, navnlig retten til privatlivets fred,
                                                                        som også er anerkendt ved artikel 8 i konventionen til
                                                                        beskyttelse af menneskerettigheder og grundlæggende
(2)  det indre markeds oprettelse og funktion, som i                    frihedsrettigheder og ved fællesskabsrettens generelle
     henhold til Traktatens artikel 8 A indebærer fri                   principper; af denne grund må en indbyrdes tilnær-
     bevægelighed for varer, personer, tjenesteydelser og               melse af disse lovbestemmelser ikke medføre en
     kapital, forudsætter ikke blot, at personoplysninger               forringelse af den beskyttelse, de yder, men skal
     kan cirkulere frit, uanset i hvilken medlemsstat de                tværtimod have til sigte at garantere et højt beskyttel-
     gøres til genstand for behandling, eller fra hvilken               sesniveau overalt i Fællesskabet;
     medlemsstat de anmodes udleveret, men også, at de
     grundlæggende rettigheder beskyttes i betragtning af
     den stadigt hyppigere behandling af personoplys-
     ninger inden for de forskellige økonomiske og                 (8)  de principper for beskyttelse af privatlivets fred i
     samfundsmæssige aktivitetsområder i Fællesskabet;                  forbindelse med behandling af personoplysninger,
                                                                        som dette direktiv foreskriver, vil for visse sektorers
                                                                        vedkommende kunne suppleres med eller præciseres i
(3)  det indre marked indebærer et område uden indre                    særregler, der skal være i overensstemmelse med disse
     grænser; dette medfører, at det i kraft af anvendelsen             principper;
     af fællesskabsretten stadigt hyppigere er nødvendigt
     for de forskellige medlemsstaters administrative
     myndigheder at samarbejde og indbyrdes udveksle               (9)  principperne for beskyttelse finder anvendelse på alle
     personoplysninger for at varetage deres opgaver eller              registre, hvor den registeransvarliges aktiviteter falder
     udføre hverv for en administrativ myndighed fra en                 ind under fællesskabsrettens anvendelsesområde;
     anden medlemsstat;                                                 offentlige registre, som ikke falder ind under fælles-
 ---pagebreak---  Nr. C 277/4                                   De Europæiske Fællesskabers Tidende                                      5. 11. 90
      skabsrettens anvendelsesområde, bør være underlagt            (16) for at oplysninger kan gøres til genstand for behand-
      de samme principper for beskyttelse, nedfældet i                    ling, skal de opfylde visse krav; behandling af
      medlemsstaternes lovgivning, som fastsat ved resolu-               oplysninger, som ifølge selve deres art kan krænke
      tionen vedtaget af repræsentanterne for regeringerne               retten til privatlivets fred, bør være forbudt uden den
      for De Europæiske Fællesskabers medlemsstater,                     registrerede persons udtrykkelige samtykke; dog kan
      forsamlet i Rådet, den ...; registre, der udelukkende              der til varetagelse af afgørende hensyn til samfunds-
      henhører under en fysisk persons udøvelse af retten til            mæssige interesser, navnlig for lægestandens vedkom-
      privatlivets fred, som f.eks. private adressekartoteker,           mende, fastsættes undtagelser ved en lov, hvori der
      bør dog være undtaget;                                             fastsættes præcise og strenge betingelser for og
                                                                         indskrænkninger i behandlingen af oplysninger af
                                                                         denne art;
 (10) enhver behandling af personoplysninger i Fællesska-
      bet skal ske under overholdelse af lovgivningen i den         (17) for at forhindre enhver form for uberettiget behand-
      medlemsstat, hvor registret befinder sig for derved at             ling må der af hensyn til beskyttelsen af privatlivets
      sikre, at ingen person kan unddrages den beskyttelse,              fred i forbindelse med behandlingen af personoplys-
      der skal garanteres ham ved dette direktiv; med                    ninger træffes de fornødne sikkerhedsforanstalt-
      henblik herpå betragtes hver enkelt del af et register,            ninger, såvel med hensyn til behandlingens form som
      der er placeret i flere forskellige medlemsstater, som et          med hensyn til den teknologi, der benyttes;
      selvstændigt register, og placering af en del af et
      register i et tredjeland må ikke medføre bortfald af
      beskyttelsen;                                                (18) på medieområdet kan medlemsstaterne fastsætte
                                                                         undtagelser fra bestemmelserne i dette direktiv i det
                                                                         omfang, disse tager sigte på at forene retten til
                                                                         privatlivets fred med informationsfriheden og retten
(11) enhver behandling af personoplysninger skal være                    til at modtage og give meddelelser som garanteret ved
      legitim; denne legitimitet skal bygge på den registrere-           bl.a. artikel 10 i konventionen til beskyttelse af
      de persons samtykke eller på fællesskabsretten eller på            menneskerettigheder og grundlæggende frihedsrettig-
      nationale love;                                                    heder ;
                                                                   (19) medlemsstaterne bør opfordre de berørte erhvervs-
(12) i den nationale lovgivning kan der på de i direktivet               kredse til at udarbejde en europæisk adfærdskodeks
      fastlagte betingelser fastsættes nærmere regler for                for visse nærmere bestemte sektorer; Kommissionen
      behandlingens legitimitet; denne mulighed må dog                   vil støtte sådanne initiativer og vil tage hensyn til en
      ikke benyttes som begrundelse for, at en anden                     sådan kodeks ved vurderingen af, om der bør træffes
      medlemsstat end den stat, hvori registret befinder sig,            nye specifikke foranstaltninger for visse sektorer;
      foretager kontrol, idet sidstnævnte stats pligt til i
      henhold til dette direktiv at beskytte privatlivets fred i
      forbindelse med behandlingen af personoplysninger er
      tilstrækkelig set i forhold til fællesskabsretten til at     (20) i tilfælde af overtrædelse af bestemmelserne i dette
      sikre fri udveksling af oplysninger;                               direktiv bør den registeransvarlige betragtes som
                                                                         ansvarlig i forbindelse med en erstatningssag; der bør
                                                                         fastsættes passende sanktioner for at sikre en effektiv
                                                                         beskyttelse;
(13) de anmeldelsesprocedurer, der gælder for offentlige og
      private registre, og den oplysningspligt ved første
      videregivelse, der gælder for private registre, har til      (21) det er ligeledes nødvendigt, at der kan videregives
      formål at tilvejebringe den gennemsigtighed, der er                personoplysninger til et tredjeland, der sikrer et
      absolut nødvendig for at sikre en registreret person               passende beskyttelsesniveau; for det tilfælde, at
      adgang til oplysninger om ham selv;                                beskyttelsesniveauet i et tredjeland er utilstrækkeligt,
                                                                         indeholder dette direktiv procedurer for forhandling
                                                                         med det pågældende land;
(14) for at en registreret persons samtykke kan betragtes
      som gyldigt, og når en registreret person anmodes om         (22) principperne i dette direktiv er en konkretisering og
      at afgive oplysninger om sig selv, skal den pågældende             videreudbygning af principperne i Europarådets
      gives reel og fuld oplysning;                                      konvention af 28. januar 1981 om beskyttelse af
                                                                         personer i forbindelse med automatiseret behandling
                                                                         af persondata;
(15) en registreret person skal kunne udøve sin ret til
      aktindsigt for at forvisse sig om legitimiteten af           (23) det forhold, at hver medlemsstat skal råde over en
      behandlingen af oplysninger om ham selv og disses                  uafhængig tilsynsmyndighed, har afgørende betyd-
      pålidelighed;                                                      ning for beskyttelsen af personer i forbindelse med
 ---pagebreak--- 5. 11. 90                                     De Europæiske Fællesskabers Tidende                                   Nr. C 277/5
      behandling af personoplysninger; på fællesskabsplan             eller flere forskellige steder, og som gøres til genstand
      bør der nedsættes en Gruppe til Beskyttelse af                  for edb-behandling, eller som er strukturerede og
      Personoplysninger, der bør være fuldstændig uafhæn-             tilgængelige i en samling, der er opbygget efter bestemte
      gig i udøvelsen af sine funktioner; som følge af dens           kriterier med henblik på at lette brug eller samkøring af
      specifikke karakter bør den have til opgave at rådgive          de pågældende oplysninger, selv om dette reelt ikke sker
      Kommissionen og bidrage til at sikre en ensartet
      anvendelse af de nationale regler, der vedtages til
      gennemførelse af dette direktiv;                            d) »behandling« følgende operationer, hvad enten disse
                                                                      udføres ved brug af elektronisk databehandling eller ej:
                                                                      registrering, opbevaring, samkøring samt ændring,
(24) med henblik på at vedtage de supplerende foranstalt-             brug og videregivelse af data, herunder transmission,
      ninger, der er nødvendige for at anvende principperne           formidling og udtrækning samt blokering og slettelse
      i dette direktiv, er det nødvendigt at tildele Kommis-
      sionen gennemførelsesbeføjelser og nedsætte et rådgi-
      vende udvalg i henhold til de nærmere vilkår, der er        e) »den registeransvarlige« den fysiske eller juridiske
      fastsat i Rådets afgørelse 87/373/EØF (!) —                     person, offentlige myndighed, forvaltningsgren eller
                                                                      ethvert andet organ, der i henhold til fællesskabsretten
                                                                      eller en medlemsstats lovgivning er beføjet til at afgøre,
                                                                      hvad et register må bruges til, hvilke typer personoplys-
UDSTEDT FØLGENDE DIREKTIV
                                                                      ninger der må registreres i det, hvilke operationer de må
                                                                      underkastes, og hvilke tredjemænd der må få adgang
                                                                      hertil
                           KAPITEL I
               ALMINDELIGE BESTEMMELSER                           f) »tilsynsmyndighed« den uafhængige offentlige myndig-
                                                                      hed eller ethvert andet uafhængigt organ, der udpeges af
                            Artikel 1                                 hver enkelt medlemsstat i henhold til bestemmelserne i
                                                                      artikel 26 i dette direktiv
                        Direktivets sigte
1. Medlemsstaterne drager i overensstemmelse med                  g) »den offentlige sektor« samtlige en medlemsstats
bestemmelserne i dette direktiv omsorg for at beskytte                offentligretlige administrationer, organer og forvalt-
personers privatliv i forbindelse med behandlingen af                 ninger med undtagelse af dem, der driver industri- eller
personoplysninger, der er indeholdt i registre.                       handelsvirksomhed, samt privatretlige organer og
                                                                      enheder, når de deltager i udøvelse af offentlig
                                                                      myndighed
2. Medlemsstaterne kan ikke af grunde, der har forbin-
delse med den i henhold til stk. 1 foreskrevne beskyttelse,
indskrænke eller forbyde fri udveksling af personoplys-           h) »den private sektor« enhver fysisk eller juridisk person
ninger mellem medlemsstaterne.                                        eller sammenslutning, herunder offentligretlige admini-
                                                                      strationer, organer og forvaltninger, når de udøver en
                                                                      industri- eller handelsvirksomhed.
                            Artikel 2
                                                                                              Artikel 3
                          Definitioner
                                                                                        Anvendelsesområde
I dette direktiv forstås ved:
a) »personoplysninger« enhver form for information om             1. Medlemsstaterne anvender dette direktivs bestemmel-
   en identificeret eller identificerbar fysisk person (»den      ser på alle private og offentlige registre med undtagelse af
    registrerede person«); ved identificerbar person forstås      offentlige registre, hvis aktiviteter ikke falder ind under
    bl.a. en person, der kan identificeres ved et identifika-     fællesskabsrettens anvendelsesområde.
   tionsnummer eller lignende oplysning
                                                                  2. Dette direktivs bestemmelser finder ikke anvendelse på
b) »anonymisere« en sådan ændring af personoplysninger,           registre:
   at de pågældende oplysninger ikke længere kan knyttes
   til en bestemt eller identificerbar fysisk person eller kun
   ved en uforholdsmæssig stor indsats i henseende til            a) der føres af en fysisk person til rent private og personlige
   personale, udgifter og tid                                         formål, eller
c) »register over personoplysninger« (register) enhver            b) der føres af almennyttige foreninger af bl.a. politisk,
   samling af personoplysninger, der er placeret samlet               filosofisk, religiøs, kulturel, fagforeningsmæssig,
                                                                      sportslig eller fritidsmæssig art med henblik på disses
                                                                      legitime formål, forudsat, at registreringen alene
0) EFT nr. L 197 af 18. 7. 1987, s. 33.                               vedrører den pågældende forenings medlemmer og
 ---pagebreak--- Nr. C 277/6                                    De Europæiske Fællesskabers Tidende                                       5. 11. 90
     tilknyttede, og disse har meddelt deres samtykke til              — dette er nødvendigt for at afværge en overhængende
     registreringen, samt at denne ikke videregives til                    trussel mod den offentlige orden eller en grov
     tredjemand.                                                           krænkelse af andres rettigheder.
                           Artikel 4                                                           Artikel 6
                        Gældende ret
                                                                    Behandling af personoplysninger i den offentlige sektor
1. Medlemsstaterne anvender dette direktivs bestemmel-                med henblik på videregivelse af sådanne oplysninger
ser på:
                                                                   1. Medlemsstaterne fastsætter bestemmelser i deres
a) alle registre, der befinder sig på deres område
                                                                   lovgivning om, at videregivelse af personoplysninger fra
                                                                   registre, der føres af en offentlig forvaltning, kun er legitim:
b) registeransvarlige, der har bopæl på deres område og
     herfra udnytter et register, der befinder sig i et
     tredjeland, hvis lovgivning ikke sikrer et passende           a) såfremt dette er nødvendigt af hensyn til de opgaver, den
     beskyttelsesniveau, medmindre denne brug kun fore-                pågældende offentlige forvaltning, som videregiver eller
     kommer lejlighedsvis.                                             anmoder om videregivelse af disse oplysninger, vareta-
                                                                       ger, eller
2. Medlemsstaterne anvender bestemmelserne i artikel 5,
6, 8, 9, 10, 17, 18 og 21 på brugere, der konsulterer et
                                                                   b) såfremt det sker efter anmodning fra en fysisk eller
register, der befinder sig i et tredjeland, fra en terminal, der
                                                                       juridisk person i den private sektor, der påberåber sig en
befinder sig på en medlemsstats område, medmindre denne
                                                                       legitim interesse, der går forud for den registrerede
brug kun forekommer lejlighedsvis.
                                                                       persons interesser.
3. Når et register midlertidigt flyttes fra én medlemsstat
til en anden, må sidstnævnte ikke stille hindringer for eller      2. Uden at dette i øvrigt berører bestemmelserne i stk. 1,
kræve yderligere formaliteter opfyldt i forhold til gældende       kan medlemsstaterne fastsætte de nærmere vilkår, hvorun-
regler i den medlemsstat, hvor registret er placeret               der videregivelse af personoplysninger er legitim.
permanent.
                                                                   3. Medlemsstaterne fastsætter bestemmelser i deres
                                                                   lovgivning om, at den registeransvarlige i de i stk. 1,
                          KAPITEL II                               litra b), omhandlede tilfælde skal underrette de registrerede
    LEGITIM BEHANDLING AF PERSONOPLYSNINGER I                      personer, når personoplysninger vedrørende dem videregi-
                  DEN OFFENTLIGE SEKTOR                            ves. Medlemsstaterne kan bestemme, at denne underret-
                                                                   ning erstattes af en forudgående tilladelse fra tilsynsmyn-
                           Artikel 5                               digheden.
                          Principper
1. Med forbehold af bestemmelserne i artikel 6 fastsætter                                      Artikel 7
medlemsstaterne følgende retsforskrifter vedrørende of-
fentlige registre:                                                        Anmeldelsespligt over for tilsynsmyndigheden
a) oprettelse af et register og enhver anden behandling af
     personoplysninger er legitim i det omfang, dette er           1. Medlemsstaterne fastsætter bestemmelser i deres
     nødvendigt af hensyn til en registeransvarlig offentlig       lovgivning om, at der ved oprettelse af et offentligt register,
     myndigheds varetagelse af sine opgaver                        hvis personoplysninger vil kunne videregives, på forhånd
                                                                   skal foretages anmeldelse til tilsynsmyndigheden, der
b) behandling af oplysninger til andre formål end det, med         indfører anmeldelsen i et register. Dette register skal være
     henblik på hvilket registret er oprettet, er legitim,         offentligt tilgængeligt.
     såfremt:
                                                                   2. Medlemsstaterne fastsætter, hvilke oplysninger der
     — den registrerede person meddeler sit samtykke hertil,       skal anmeldes til tilsynsmyndigheden. Disse oplysninger
         eller                                                     skal mindst omfatte den registeransvarliges navn og
                                                                   adresse, registrets anvendelsesformål, en beskrivelse af,
    — behandlingen sker med hjemmel i fællesskabsretten            hvilke typer oplysninger det indeholder, hvilke tredjemænd
         eller med hjemmel i en lov — eller en retsakt, der        oplysningerne kan videregives til, samt en beskrivelse af,
         udstedes med hjemmel i en lov — udstedt i                 hvilke foranstaltninger der er truffet i henhold til artikel 18.
         overensstemmelse med dette direktiv af en medlems-
         stat, som giver sin tilladelse hertil og fastsætter
         grænserne herfor, eller                                   3. Medlemsstaterne kan bestemme, at bestemmelserne i
                                                                   stk. 1 og 2 finder anvendelse på andre offentlige registre,
    — den registrerede persons legitime interesser ikke taler      samt at konsultation af registret kan begrænses under
         imod en sådan ændring i anvendelsesformålet, eller        henvisning til de i artikel 15, stk. 1, anførte grunde.
 ---pagebreak--- 5. 11. 90                                    De Europæiske Fællesskabers Tidende                                  Nr. C 27777
                        KAPITEL HI                                                         Artikel 10
    LEGITIM BEHANDLING AF PERSONOPLYSNINGER
                  I DEN PRIVATE SEKTOR                             Fravigelse af oplysningspligten over for den registrerede
                                                                                    person i særlige tilfælde
                          Artikel 8
                         Principper                              Såfremt opfyldelsen af den i artikel 9, stk. 1, omhandlede
                                                                 oplysningspligt over for den registrerede person viser sig
                                                                 umulig eller indebærer en uforholdsmæssig stor indsats
1. Medlemsstaterne fastsætter bestemmelser i deres
                                                                 eller strider mod fortrinsberettigede legitime interesser hos
lovgivning om, at registrering af personoplysninger i et
                                                                 den registeransvarlige eller lignende interesser hos tredje-
register og enhver anden behandling heraf uden den
                                                                 mand, kan medlemsstaterne fastsætte bestemmelser i deres
registrerede persons samtykke kun er legitim, dersom dette       lovgivning om, at tilsynsmyndigheden kan give tilladelse til
sker i overensstemmelse med bestemmelserne i dette               at fravige oplysningspligten.
direktiv, og såfremt:
a) behandlingen sker i forbindelse med en kontrakt, eller et                               Artikel 11
    kontraktlignende tillidsforhold, med den registrerede
    person og er nødvendiggjort heraf, eller
                                                                        Anmeldelsespligt over for tilsynsmyndigheden
b) oplysningerne stammer fra offentligt tilgængelige
                                                                  1. Medlemsstaterne fastsætter bestemmelser i deres
    kilder, og behandlingen heraf alene sker med henblik på
                                                                 lovgivning om, at den registeransvarlige skal foretage
    korrespondance, eller
                                                                 anmeldelse af oprettelsen af et register over personoplys-
                                                                 ninger, når oplysningerne føres med henblik på videregivel-
c) den registeransvarlige forfølger en legitim interesse, der    se og ikke stammer fra offentligt tilgængelige kilder.
    går forud for den registrerede persons interesser.           Anmeldelse foretages til tilsynsmyndigheden i den med-
                                                                  lemsstat, hvor registret befinder sig, eller, hvis det ikke
2. Medlemsstaterne fastsætter bestemmelser i deres                befinder sig i en medlemsstat, til tilsynsmyndigheden i den
lovgivning om, at det påhviler den registeransvarlige at          medlemsstat, hvor den registeransvarlige har bopæl. Den
forhindre, at der sker videregivelse af oplysninger, der er       registeransvarlige skal give de kompetente nationale
uforenelig med registrets anvendelsesformål, eller som er til     myndigheder meddelelse om enhver ændring i registrets
skade for den offentlige orden. Ved on-line konsultation          anvendelsesformål samt om ændringer af sin adresse.
påhviler de samme forpligtelser brugeren.
                                                                  2. Medlemsstaterne fastsætter, hvilke oplysninger der
3. Uden at det i øvrigt berører bestemmelserne i stk. 1,          skal anmeldes til tilsynsmyndigheden. Disse oplysninger
kan medlemsstaterne fastsætte de nærmere vilkår, hvorun-          skal mindst omfatte den registeransvarliges navn og
der behandling af personoplysninger er legitim.                   adresse, registrets anvendelsesformål, en beskrivelse af,
                                                                  hvilke typer oplysninger det indeholder, hvilke tredjemænd
                                                                  oplysningerne kan videregives til, samt en beskrivelse af,
                                                                  hvilke foranstaltninger der er truffet i henhold til artikel 18.
                          Artikel 9
                                                                  3. Medlemsstaterne kan bestemme, at bestemmelserne i
     Oplysningspligt over for den registrerede person             stk. 1 og 2 finder anvendelse på andre private registre, samt
                                                                  at de i stk. 2 omhandlede oplysninger skal være offentligt
 1. Medlemsstaterne fastsætter bestemmelser i deres               tilgængelige.
lovgivning for den private sektor om, at den registeransvar-
lige ved første videregivelse af oplysninger fra et register
eller ved etablering af mulighed for on-line konsultation af
et register underretter den registrerede person herom med                                 KAPITEL IV
angivelse af registrets anvendelsesformål, hvilke typer
oplysninger der er registreret heri samt registrets navn og             DEN REGISTREREDE PERSONS RETTIGHEDER
adresse.
                                                                                           Artikel 12
                                                                            Samtykke på et velinformeret grundlag
2. Den i stk. 1 omhandlede oplysningspligt er ikke
obligatorisk i det i artikel 8, stk. 1, litra b) omhandlede
tilfælde. Der består ingen oplysningspligt, når videregivelse     En registreret persons samtykke til, at personoplysninger,
af oplysninger er påbudt ved lov.                                 der vedrører ham selv efter dette direktiv, gøres til genstand
                                                                  for behandling, er kun gyldigt, såfremt:
3. Såfremt den registrerede person gør indsigelse mod
videregivelse af oplysninger eller enhver anden behandling,       a) den registrerede råder over følgende oplysninger:
er den registeransvarlige forpligtet til at bringe den
pågældende behandling til ophør, medmindre den er tilladt             — registrets anvendelsesformål og de typer oplys-
ved lov.                                                                 ninger, der er registreret heri
 ---pagebreak--- Nr. C 277/8                                 De Europæiske Fællesskabers Tidende                                       5. 11. 90
    — hvilken brug der gøres af personoplysningerne i           3) ret til at kende et registers eksistens og vigtigste
        registret, og i givet fald hvem de er bestemt til           anvendelsesformål samt den registeransvarliges identi-
                                                                    tet, faste bopæl, hovedsæde eller forretningssted
    — den registeransvarliges navn og adresse
                                                                4) ret til med rimelige mellemrum og uden større ventetid
b) samtykke meddeles specifikt og udtrykkeligt og angiver,          eller omkostninger at få bekræftet, hvorvidt der er
    hvilke typer oplysninger, hvilken type behandling samt          registreret personoplysninger vedrørende ham selv i et
    evt. hvilke modtagere det gælder for                            register, samt at få meddelt disse oplysninger i
                                                                    letforståelig form.
c) samtykke til enhver tid kan tilbagekaldes af den
    registrerede person uden tilbagevirkende kraft.                 Medlemsstaterne kan bestemme, at helbredsoplys-
                                                                    ninger kun udleveres gennem en læge
                           Artikel 13                           5) ret til i givet fald at få registrerede oplysninger
                                                                    berigtiget, slettet eller blokeret, såfremt behandlingen af
       Oplysningspligt ved indsamling af oplysninger                dem ikke er i overensstemmelse med bestemmelserne i
                                                                    dette direktiv
1. Medlemsstaterne garanterer personer, hos hvem der
indsamles personoplysninger, ret til at få mindst følgende      6) ret til efter anmodning og uden omkostninger at få
oplyst:                                                             slettet oplysninger vedrørende ham selv i registre, der
                                                                    har handelsmæssige eller reklamemæssige øjemed
a) anvendelsesformålet for det register, som oplysningerne
    skal registreres i, og                                      7) ret til i tilfælde af anvendelse af stk. 5 at få udvirket, at
                                                                    tredjemand, hvortil oplysninger er blevet videregivet,
b) hvorvidt der består pligt til at besvare de spørgsmål,           underrettes om berigtigelse, slettelse eller blokering af
    indsamlingen af oplysninger drejer sig om, og                   oplysninger
c) hvilke konsekvenser det har for de pågældende at             8) ret til at indbringe krænkelser af de ved denne artikel
    undlade at besvare de stillede spørgsmål, og                    garanterede rettigheder for en domstol.
d) hvem oplysningerne er bestemt til, og
                                                                                            Artikel 15
e) hvorvidt de pågældende har adgang til og ret til
    berigtigelse af oplysninger, der vedrører dem selv, og                Begrænsninger i den registrerede persons
                                                                                  adgang til offentlige registre
f) den registeransvarliges navn og adresse.
                                                                1. Medlemsstaterne kan ved lov begrænse de i artikel 14,
2. Bestemmelserne i stk. 1 finder ikke anvendelse ved           stk. 3 og 4, omhandlede rettigheder af grunde, der
indsamling af oplysninger i tilfælde, hvor oplysningspligten    vedrører:
over for den registrerede person ville forhindre en offentlig
myndighed i at varetage sine tilsyns- og kontrolopgaver         a) den nationale sikkerhed, eller
eller opretholdelse af den offentlige orden.
                                                                b) det nationale forsvar, eller
                           Artikel 14
                                                                c) strafferetlig forfølgning, eller
    Supplerende rettigheder for den registrerede person
                                                                d) den offentlige sikkerhed, eller
Medlemsstaterne indrømmer den registrerede person
                                                                e) en vital og behørigt begrundet økonomisk eller finansiel
følgende rettigheder:
                                                                    interesse hos en medlemsstat eller Fællesskabet, eller
1) ret til af legitime grunde at modsætte sig, at person-
    oplysninger vedrørende ham selv gøres til genstand for      f) hensynet til en offentlig myndigheds varetagelse af sine
    behandling                                                      tilsyns- eller kontrolopgaver, eller
2) ret til ikke at være undergivet administrative eller         g) en tilsvarende rettighed for en anden person og andres
    privatretlige afgørelser, der indebærer en vurdering af         rettigheder og friheder.
    hans adfærd, der alene er begrundet i, at personoplys-
    ninger vedrørende ham selv med en beskrivelse af hans       2. I de i stk. 1 anførte tilfælde skal tilsynsmyndigheden
    karakteregenskaber eller personlighed behandles elek-       efter anmodning fra den registrerede person kunne foretage
    tronisk                                                     den fornødne kontrol af registret.
 ---pagebreak--- 5. 11. 90                                    De Europæiske Fællesskabers Tidende                                 Nr. C 277/9
3. Medlemsstaterne kan begrænse den registrerede                                           Artikel 18
persons adgang til registre, hvori der midlertidigt er
registreret oplysninger med henblik på at foretage
statistiske uddrag.                                                                      Datasikkerhed
                                                                  1. Medlemsstaterne fastsætter bestemmelser i deres
                                                                 lovgivning om, at den registeransvarlige har pligt til at
                           KAPITEL V                             træffe passende tekniske og organisatoriske foranstalt-
                                                                 ninger til at beskytte registret mod tilintetgørelse, hvad
           OPLYSNINGERNES PÅLIDELIGHED M.V.                      enten denne er hændelig eller sker som følge af uberettiget
                                                                 indtrængen, mod hændeligt tab af oplysninger samt mod
                           Artikel 16                            uberettiget ændring af eller adgang til og enhver anden
                           Principper                            uberettiget behandling af personoplysninger.
 1.   Medlemsstaterne fastsætter bestemmelser om, at:            For edb-registres vedkommende skal disse foranstaltninger
                                                                 tilvejebringe et passende sikkerhedsniveau under hensynta-
                                                                 gen til på den ene side den bedste disponible teknologi og de
a) indsamling og behandling af personoplysninger skal            med foranstaltningernes iværksættelse forbundne udgifter
    udføres loyalt og på lovlig vis                              og på den anden arten af de oplysninger, der ønskes
                                                                 beskyttet, og en vurdering af de potentielle sikkerhedsrisici.
b) oplysningerne skal registreres til nøje definerede,           Med henblik herpå skal den registeransvarlige tage hensyn
    udtrykkeligt angivne og legitime formål og udnyttes på       til de henstillinger om edb-sikkerhed og indbyrdes net-
    en måde, der er forenelig med disse formål                   kompatibilitet, der udarbejdes af Kommissionen i henhold
                                                                 til artikel 29.
c) oplysningerne skal være fyldestgørende, relevante og
    nødvendige i forhold til registreringsformålet               2. Ved transmission af personoplysninger via et net skal
                                                                 der træffes foranstaltninger, der garanterer en tilstrækkelig
d) oplysningerne skal være korrekte og om nødvendigt             sikkerhed.
    ajourføres; urigtige eller ufuldstændige oplysninger
    skal slettes eller berigtiges                                3. Ved on-line konsultation skal dataanlægget og
                                                                 programmellet være udformet således, at konsultationen
e) oplysningerne ikke må opbevares på en måde, der giver         holder sig inden for grænserne af den af den registeransvar-
    mulighed for at identificere de registrerede personer i et   lige tildelte autorisation.
    tidsrum, der er længere end det, der er nødvendigt af
    hensyn til registreringsformålet.                            4. De i stk. 1 til 3 omhandlede forpligtelser påhviler
                                                                 ligeledes personer, som faktisk eller i henhold til kontrakt
2. Det påhviler den registeransvarlige at sikre overholdel-      fører tilsyn med registeroperationer.
se af bestemmelserne i stk. 1.
                                                                 5. Det er forbudt enhver, der i embeds medfør får adgang
                                                                 til oplysninger i et register, at videregive disse til
                           Artikel 17                            tredjemand uden den registeransvarliges samtykke.
              Særlige kategorier af oplysninger
                                                                                          KAPITEL VI
1. Medlemsstaterne skal, medmindre den registrerede
person frit, udtrykkeligt og skriftligt meddeler sit samtykke            SÆRBESTEMMELSER FOR VISSE SEKTORER
hertil, forbyde edb-behandling af oplysninger om racemæs-
                                                                                           Artikel 19
sig og etnisk baggrund, politisk, religiøs eller filosofisk
overbevisning og fagforeningsmæssigt tilhørsforhold samt
af oplysninger om helbredsforhold og seksuelle forhold.          Medlemsstaterne kan for organer inden for pressen og den
                                                                 audiovisuelle sektor tillade undtagelser fra dette direktivs
                                                                 bestemmelser i det omfang, disse er nødvendige for at
2. Medlemsstaterne kan af grunde, der vedrører afgøren-
                                                                 forene retten til privatlivets fred med reglerne for
de hensyn til samfundsmæssige interesser, ved lov fastsætte
                                                                 informations- og pressefrihed.
undtagelser fra bestemmelserne i stk. 1, forudsat at det i
loven nøje præciseres, hvilke typer oplysninger der må
registreres, og hvilke personer der har adgang til registret,
samt at der ved loven fastsættes passende garantier mod
                                                                                           Artikel 20
misbrug og uberettiget indtrængen.
3. Oplysninger om strafbare forhold må kun opbevares i           Medlemsstaterne opfordrer de berørte erhvervskredse til at
offentlige registre.                                             medvirke ved udarbejdelsen af en europæisk adfærdsko-
 ---pagebreak---  Nr. C 277/10                                 De Europæiske Fællesskabers Tidende                                       5. 11. 90
 deks for visse sektorer på grundlag af de i dette direktiv                                 KAPITEL VIII
 opstillede principper.                                                    VIDEREGIVELSE AF PERSONOPLYSNINGER
                                                                                         TIL TREDJELANDE
                                                                                              Artikel 24
                          KAPITEL VII                                                        Principper
                 ANSVAR OG SANKTIONER
                                                                   1. Medlemsstaterne fastsætter bestemmelser i deres
                           Artikel 21                              lovgivning om, at videregivelse, hvad enten denne er
                             Ansvar                                midlertidig eller definitiv, til et tredjeland af personoplys-
                                                                   ninger, der gøres til genstand for behandling eller indsamles
                                                                   med henblik på at gøres til genstand for behandling, kun
 1. Medlemsstaterne fastsætter bestemmelser i deres                må finde sted, hvis det pågældende land sikrer et passende
lovgivning om, at enhver, hvis personoplysninger er                beskyttelsesniveau.
registreret i et register, og som lider skade som følge af
behandlingen af disse oplysninger eller enhver anden
handling, der er uforenelig med bestemmelserne i dette            2. Medlemsstaterne underretter Kommissionen, såfremt
direktiv, har ret til at kræve skadeserstatning over for den      et modtagende tredjeland ikke sikrer et passende beskyttel-
registeransvarlige.                                               sesniveau.
2. Medlemsstaterne kan bestemme, at den registeransvar-           3. Konstaterer Kommissionen på grundlag af oplysninger
lige, såfremt denne godtgør, at han har truffet passende          fra medlemsstaterne eller fra anden kilde, at et tredjeland
foranstaltninger til at opfylde de i artikel 18 til 22 anførte    ikke sikrer et passende beskyttelsesniveau, og at den deraf
krav, ikke kan holdes ansvarlig for skade, der forvoldes          opståede situation er til skade for Fællesskabets eller en
som følge af tab eller tilintetgørelse af data eller uberettiget  medlemsstats interesser, kan den indlede forhandlinger
indtrængen.                                                       med henblik på at afhjælpe denne situation.
                                                                  4. Kommissionen kan efter den procedure, der er fastsat i
                           Artikel 22
                                                                  artikel 30, stk.2, fastslå, at et tredjeland sikrer et passende
                                                                  beskyttelsesniveau som følge af internationale forpligtelser
             Behandling af oplysninger på den                     indgået af det pågældende land eller på grundlag af dets
                  registeransvarliges vegne                       nationale lovgivning.
1. Medlemsstaterne fastsætter bestemmelser i deres                5. De i medfør af denne artikel trufne foranstaltninger
lovgivning om, at den registeransvarlige, når oplysninger         skal være i overensstemmelse med de forpligtelser, der
behandles på hans vegne, skal sikre sig, at de krævede            påhviler Fællesskabet i henhold til såvel bilaterale som
sikkerhedsmæssige og organisatoriske foranstaltninger             multilaterale internationale aftaler om beskyttelse af
overholdes og udpege en person eller virksomhed, som              personer i forbindelse med edb-behandling af personoplys-
frembyder fornøden garanti herfor.                                ninger.
2. Enhver, der indsamler eller behandler personoplys-
ninger på den registeransvarliges vegne, skal overholde de                                   Artikel 25
ved artikel 16 og 18 fastsatte forpligtelser.
                                                                                             Fravigelse
3. En kontrakt herom skal være skriftlig og skal specifikt
anføre, at personoplysninger kun må videregives af
tjenesteleverandøren eller dennes ansatte med den register-       1. En medlemsstat kan for en given videregivelse af
ansvarliges samtykke.                                             oplysninger til et tredjeland fravige bestemmelserne i
                                                                  artikel 24, stk. 1, såfremt den registeransvarlige frem-
                                                                  lægger tilstrækkelige beviser for, at der sikres et passende
                                                                  beskyttelsesniveau. Medlemsstaten kan først indrømme en
                           Artikel 23
                                                                  fravigelse, når den har underrettet Kommissionen og
                                                                  medlemsstaterne herom, og såfremt der ikke er rejst
                          Sanktioner                              indsigelse herimod fra en medlemsstat eller Kommissionen
                                                                  inden for en frist på ti dage.
Medlemsstaterne fastsætter i deres lovgivning passende
sanktioner med henblik på at sikre overholdelse af de             2. Foreligger der en sådan indsigelse, vedtager Kommis-
bestemmelser, der vedtages til gennemførelse af dette             sionen passende foranstaltninger efter den procedure, der
direktiv.                                                         er fastsat i artikel 30, stk. 2.
 ---pagebreak--- 5. 11. 90                                    De Europæiske Fællesskabers Tidende                                 Nr. C 277/11
                         KAPITEL IX                              a) at bidrage til en ensartet anvendelse af de nationale
                                                                     bestemmelser, der vedtages til gennemførelse af dette
   TILSYNSMYNDIGHED OG GRUPPE TIL BESKYTTELSE
                 AF PERSONOPLYSNINGER                                direktiv
                          Artikel 26                             b) at afgive udtalelser om beskyttelsesniveauet i Fællesska-
                                                                     bet og i tredjelande
                      Tilsynsmyndighed
                                                                 e) at rådgive Kommissionen om, hvilke supplerende eller
1. Medlemsstaterne sørger for, at en kompetent uafhæn-               specifikke foranstaltninger der bør træffes for at sikre
gig myndighed fører tilsyn med beskyttelsen af person-               beskyttelsen af privatlivets fred.
oplysninger. Myndigheden har til opgave at påse overhol-
delse af de nationale bestemmelser, der vedtages i medfør af
dette direktiv, samt at udøve alle de funktioner, der            2. Såfremt Gruppen til Beskyttelse af Personoplysninger
tillægges den ved dette direktiv.                                konstaterer alvorlige forskelle mellem medlemsstaternes
                                                                 lovgivning eller praksis vedrørende beskyttelse af person-
                                                                 oplysninger, der kan være til fare for den ensartede
2. Myndigheden skal kunne iværksætte undersøgelser og            beskyttelse i Fællesskabet, underretter den Kommissionen
skal besidde de fornødne beføjelser til at gribe ind over for    herom.
oprettelse og udnyttelse af registre i strid med bestemmel-
serne i dette direktiv. Med henblik herpå har den bl.a.
                                                                 3. Gruppen til Beskyttelse af Personoplysninger kan
adgang til registre, der er omfattet af dette direktiv, og skal
                                                                 fremsætte henstillinger om ethvert spørgsmål vedrørende
kunne indsamle alle oplysninger, der er nødvendige for at
                                                                  beskyttelsen af personer i forbindelse med personoplys-
varetage dens tilsynsopgaver.
                                                                 ninger i Fællesskabet. Henstillingerne optages i mødepro-
                                                                 tokollen og kan forelægges for det i artikel 30 omhandlede
3. Enhver kan for denne myndighed forelægge klager               rådgivende udvalg. Kommissionen underretter Gruppen til
vedrørende beskyttelsen af personer med hensyn til               Beskyttelse af Personoplysninger om, hvorledes den har
personoplysninger.                                               taget hensyn til dens henstillinger.
                                                                  4. Gruppen til Beskyttelse af Personoplysninger udar-
                          Artikel 27                              bejder en årlig rapport om situationen vedrørende
                                                                  beskyttelsen af personer i forbindelse med behandling af
                                                                  personoplysninger i Fællesskabet og i tredjelande, som den
       Gruppen til Beskyttelse af Personoplysninger               forelægger for Kommissionen.
 1. Der nedsættes en Gruppe til Beskyttelse af Person-
oplysninger. Denne rådgivende og uafhængige gruppe
består af repræsentanter for den i artikel 26 omhandlede                                   KAPITEL X
tilsynsmyndighed i alle medlemsstater og har Kommissio-
nens repræsentant som formand.                                        KOMMISSIONENS GENNEMFØRELSESBEFØJELSER
                                                                                           Artikel 29
2. Sekretariatsopgaverne for Gruppen til Beskyttelse af
Personoplysninger varetages af Kommissionens tjeneste-                      Udøvelse af gennemførelsesbeføjelserne
grene.
                                                                  Kommissionen vedtager efter den procedure, der er fastsat i
                                                                  artikel 30, stk. 2, de tekniske bestemmelser, der er
3. Gruppen til Beskyttelse af Personoplysninger fastsæt-
                                                                  nødvendige for, at dette direktiv kan finde anvendelse på de
ter selv sin forretningsorden.
                                                                  særlige forhold, der gør sig gældende i visse sektorer, under
                                                                  hensyntagen til den bedste disponible teknologi og
4. Gruppen til Beskyttelse af Personoplysninger behand-           gældende adfærdskodeks.
 ler de spørgsmål, der sættes på dagsordenen af dens
 formand, enten på dennes initiativ eller efter begrundet
anmodning fra en repræsentant for en af tilsynsmyndighe-                                   Artikel 30
derne, og som vedrører anvendelsen af bestemmelserne i
 fællesskabsretten om beskyttelse af personoplysninger.
                                                                                       Rådgivende udvalg
                           Artikel 28                             1. Kommissionen bistås af et udvalg af rådgivende
                                                                  karakter, der består af repræsentanter for medlemsstater-
                                                                  ne, og som har Kommissionens repræsentant som formand.
                      Gruppens opgaver
                                                                  2. Kommissionens repræsentant forelægger udvalget et
 1. Gruppen til Beskyttelse af Personoplysninger har til          udkast til de foranstaltninger, der skal træffes. Udvalget
opgave:                                                           afgiver en udtalelse om dette udkast inden for en frist, som
 ---pagebreak---  Nr. C 277/12                                  De Europæiske Fællesskabers Tidende                                         5. 11. 90
 formanden kan fastsætte under hensyntagen til det                    De i henhold til første afsnit vedtagne bestemmelser skal
 pågældende spørgsmåls hastende karakter, i givet fald ved            indeholde en udtrykkelig henvisning til dette direktiv.
 afstemning. Udtalelsen optages i mødeprotokollen; der-
 udover har hver medlemsstat ret til at anmode om, at dens            2. Medlemsstaterne meddeler Kommissionen teksten til
 holdning indføres i mødeprotokollen. Kommissionen tager              de nationale retsforskrifter, som de udsteder på det
 størst muligt hensyn til udvalgets udtalelse. Den underret-          område, der er omfattet af dette direktiv.
 ter udvalget om, hvorledes den har taget hensyn til dets
 udtalelse.                                                                                       Artikel 32
                                                                      Kommissionen forelægger regelmæssigt en rapport for
               AFSLUTTENDE BESTEMMELSER                               Rådet og Europa-Parlamentet om anvendelsen af dette
                                                                      direktiv, i givet fald ledsaget af passende ændringsforslag.
                            Artikel 31
 1. Medlemsstaterne sætter de nødvendige love og                                                  Artikel 33
 administrative bestemmelser i kraft for at efterkomme
 dette direktiv senest den 1. januar 1993.                            Dette direktiv er rettet til medlemsstaterne.
                Forslag til Rådets direktiv om beskyttelse af personoplysninger og kommunikationshemmelig-
                heden i forbindelse med offentlige digitale telenet, herunder det tjenesteintegrerede digitalnet
                                               (ISDN) og offentlige digitale mobilnet
                                              KOM(90) 314 endelig udg. — SYN 288
                                           (Forelagt af Kommissionen     den 27. juli 1990)
                                                          (90/C 277/04)
RÅDET FOR DE EUROPÆISKE FÆLLESSKABER HAR —                            (4)   Rådet har i en resolution af 30. juni 1988 om
                                                                            etablering af et fælles marked for teletjenester og
under henvisning til Traktaten om Oprettelse af Det                         -udstyr inden 1992 (*) opfordret til, at der tages skridt
Europæiske Økonomiske Fællesskab, særlig artikel 100 A,                    til at beskytte oplysninger af personlig art, således at
                                                                           den fremtidige udvikling af telekommunikation i
                                                                           Fællesskabet kan foregå under betryggende forhold;
under henvisning til forslag fra Kommissionen,
                                                                           Rådet har endvidere lagt vægt på beskyttelsen af
                                                                           personoplysninger og kommunikationshemmelig-
i samarbejde med Europa-Parlamentet,                                       heden i en resolution af 18. juli 1989 om forstærket
                                                                           samordning i forbindelse med indførelsen af et
under henvisning til udtalelse fra Det Økonomiske og                       tjenesteintegreret digitalnet (ISDN) i Det Europæiske
Sociale Udvalg, og                                                         Fællesskab inden 1992 ( 2 );
ud fra følgende betragtninger:
                                                                     (5)   Europa-Parlamentet har understreget vigtigheden af
                                                                           at beskytte personoplysninger og kommunikations-
(1)   Det er fastlagt i Rådets direktiv ... om beskyttelse af              hemmeligheden i telenet, navnlig i forbindelse med
      personer i forbindelse med behandling af personoplys-                indførelsen af det tjenesteintegrerede digitalnet
      ninger, at medlemsstaterne skal sikre beskyttelsen af                (ISDN) (3) (4) (5);
      kommunikationshemmeligheden;
(2)   nye avancerede digitale offentlige telefonnet er i færd        (6)   I Kommissionens henstilling 81/679/EØF opfordres
      med at vinde indpas i Det Europæiske Fællesskab, og                  medlemsstaterne til at godkende og ratificere Europa-
      dette resulterer i et specifikt behov for beskyttelse af
      personoplysninger og kommunikationshemmelig-
      heden ;
                                                                     (!)  EFT  nr. C 257 af 4. 10. 1988, s. 1.
                                                                     (2)  EFT  nr. C 196 af 1. 8. 1989, s. 4.
(3)   dette gælder i særlig grad i forbindelse med indførelsen       (3)  EFT  nr. C 7 af 12. 1. 1987, s. 334.
      af det tjenesteintegrerede digitalnet (ISDN) samt              (4)  EFT  nr. C 12 af 16. 1. 1989, s. 69.
      offentlige digitale mobilnet;                                  (5)  EFT  nr. C 12 af 16. 1. 1989, s. 66.