CELEX: 
Language: sv
Date: 2016-04-06
Title: Rådets ståndpunkt vid första behandlingen inför antagandet av EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF

Europeiska
               unionens råd
                                                         Bryssel den 6 april 2016
                                                         (OR. en)

                                                         5418/16
    Interinstitutionellt ärende:
         2012/0010 (COD)

                                                         DATAPROTECT 1
                                                         JAI 37
                                                         DAPIX 8
                                                         FREMP 3
                                                         COMIX 36
                                                         CODEC 51

RÄTTSAKTER OCH ANDRA INSTRUMENT
Ärende:           Rådets ståndpunkt vid första behandlingen inför antagandet av
                  EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV om skydd för
                  fysiska personer med avseende på behöriga myndigheters behandling av
                  personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra
                  brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana
                  uppgifter och om upphävande av rådets rambeslut 2008/977/RIF

5418/16                                                             KSM/cwt
                                            DGD 2                                             SV
 ---pagebreak---                            EUROPAPARLAMENTETS OCH RÅDETS
                                      DIREKTIV (EU) 2016/…

                                                av den

                                   om skydd för fysiska personer
            med avseende på behöriga myndigheters behandling av personuppgifter
                    för att förebygga, förhindra, utreda, avslöja eller lagföra
                           brott eller verkställa straffrättsliga påföljder,
                               och det fria flödet av sådana uppgifter
                     och om upphävande av rådets rambeslut 2008/977/RIF

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA
DIREKTIV

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16.2,

med beaktande av Europeiska kommissionens förslag,

efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten,

med beaktande av Regionkommitténs yttrande 1,

i enlighet med det ordinarie lagstiftningsförfarandet 2, och

1
       EUT C 391, 18.12.2012, s. 127.
2
       Europaparlamentets ståndpunkt av den 12 mars 2014 (EUT …) och rådets ståndpunkt av
       den …. Europaparlamentets ståndpunkt av den ... och rådets beslut av den ....

5418/16                                                                   KSM/cwt           1
                                                 DGD 2                                    SV
 ---pagebreak--- av följande skäl:

(1)       Skyddet för fysiska personer med avseende på behandling av personuppgifter är en
          grundläggande rättighet. I artikel 8.1 i Europeiska unionens stadga om de grundläggande
          rättigheterna (nedan kallad stadgan) och artikel 16.1 i fördraget om Europeiska unionens
          funktionssätt (EUF-fördraget) föreskrivs att var och en har rätt till skydd av de
          personuppgifter som rör honom eller henne.

(2)       Principerna och reglerna för skyddet för fysiska personer med avseende på behandling av
          deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras
          rättigheter och grundläggande friheter, särskilt deras rätt till skydd av personuppgifter.
          Detta direktiv är avsett att bidra till att skapa ett område med frihet, säkerhet och rättvisa.

(3)       Den snabba tekniska utvecklingen och globaliseringen har skapat nya utmaningar vad
          gäller skyddet av personuppgifter. Omfattningen av insamlingen och delningen av
          personuppgifter har ökat avsevärt. Tekniken gör det möjligt att i en aldrig tidigare skådad
          omfattning behandla personuppgifter i verksamheter såsom förebyggande, förhindrande,
          utredning, avslöjande och lagföring av brott eller verkställighet av straffrättsliga påföljder.

5418/16                                                                    KSM/cwt                          2
                                                  DGD 2                                                SV
 ---pagebreak--- (4)       Det fria flödet av personuppgifter mellan behöriga myndigheter för att förebygga,
          förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder,
          inklusive att skydda mot eller förebygga och förhindra hot mot den allmänna säkerheten
          inom unionen, samt överföringar av sådana personuppgifter till tredjeländer och
          internationella organisationer, bör underlättas samtidigt som en hög skyddsnivå för
          personuppgifter säkerställs. Denna utveckling kräver en stark och mer sammanhängande
          ram för skyddet av personuppgifter inom unionen, uppbackad av kraftfullt tillsynsarbete.

(5)       Europaparlamentets och rådet direktiv 95/46/EG 1 är tillämpligt på all behandling av
          personuppgifter i medlemsstaterna, såväl inom den offentliga som inom den privata
          sektorn. Det är emellertid inte tillämpligt på behandling av personuppgifter "som utgör ett
          led i en verksamhet som inte omfattas av gemenskapsrätten", t.ex. verksamhet på
          områdena för straffrättsligt samarbete och polissamarbete.

(6)       Rådets rambeslut 2008/977/RIF 2 är tillämpligt på områdena för straffrättsligt samarbete
          och polissamarbete. Tillämpningsområdet för det rambeslutet begränsas till behandling av
          sådana personuppgifter som överförs eller görs tillgängliga mellan medlemsstaterna.

1
      Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för
      enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av
      sådana uppgifter (EGT L 281, 23.11.1995, s. 31).
2
      Rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter
      som behandlas inom ramen för polissamarbete och straffrättsligt samarbete
      (EUT L 350, 30.12.2008, s. 60).

5418/16                                                                      KSM/cwt                    3
                                                   DGD 2                                               SV
 ---pagebreak--- (7)       Att säkerställa en enhetlig och hög skyddsnivå för fysiska personers personuppgifter och
          underlätta utbytet av personuppgifter mellan behöriga myndigheter i medlemsstaterna är av
          avgörande betydelse för att säkerställa ett effektivt straffrättsligt samarbete och
          polissamarbete. Därför bör skyddet för fysiska personers rättigheter och friheter i samband
          med behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra,
          utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att
          skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, vara likvärdigt
          i alla medlemsstater. Ett effektivt skydd av personuppgifter i hela unionen förutsätter att de
          registrerades rättigheter stärks och att skyldigheterna för dem som behandlar
          personuppgifter, ökar, samt likvärdiga befogenheter för att övervaka och säkerställa
          efterlevnaden av bestämmelserna om skydd av personuppgifter i medlemsstaterna.

(8)       I artikel 16.2 i EUF-fördraget bemyndigas Europaparlamentet och rådet att fastställa
          bestämmelser om skydd för fysiska personer när det gäller behandling av personuppgifter
          samt om det fria flödet för personuppgifter.

5418/16                                                                      KSM/cwt                       4
                                                   DGD 2                                                  SV
 ---pagebreak--- (9)       Med stöd av denna grund fastställs i Europaparlamentets och rådets förordning
          (EU) 2016/… 1* allmänna bestämmelser om skydd av fysiska personer i samband med
          behandling av personuppgifter och om det fria flödet för sådana uppgifter inom unionen.

(10)      I förklaring nr 21 om skydd av personuppgifter på området för straffrättsligt samarbete och
          polissamarbete, fogad till slutakten från den regeringskonferens som antog
          Lissabonfördraget, bekräftade konferensen att det med hänsyn till dessa områdens särart
          kan komma att bli nödvändigt att anta särskilda regler om skydd av personuppgifter och
          om det fria flödet av personuppgifter på områdena för straffrättsligt samarbete och
          polissamarbete med stöd av artikel 16 i EUF-fördraget.

1
       Europaparlamentets och rådets förordning (EU) 2016/… av den … om skydd för fysiska
       personer med avseende på behandling av personuppgifter och om det fria flödet av sådana
       uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
       (EUT L …).
*
       EUT: Vänligen inför numret på förordningen i st 5419/16 och komplettera fotnoten.

5418/16                                                                 KSM/cwt                     5
                                                DGD 2                                           SV
 ---pagebreak--- (11)      Det är därför lämpligt att dessa områden behandlas i ett direktiv som fastställer särskilda
          regler om skydd för fysiska personer i samband med behöriga myndigheters behandling av
          personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller
          verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra
          hot mot den allmänna säkerheten, med respekt för den särskilda karaktären hos denna
          verksamhet. Sådana behöriga myndigheter kan omfatta inte bara offentliga myndigheter
          såsom rättsliga myndigheter, polis eller andra brottsbekämpande myndigheter, utan också
          alla andra organ eller enheter som genom medlemsstaternas nationella rätt har anförtrotts
          myndighetsutövning enligt detta direktiv. Förordning (EU) 2016/… * bör tillämpas när ett
          sådant organ eller en sådan enhet behandlar personuppgifter för andra ändamål än de som
          avses i detta direktiv. Förordning (EU) 2016/…* är därför tillämplig i fall då ett organ eller
          en enhet samlar in personuppgifter för andra ändamål och behandlar dessa personuppgifter
          ytterligare för att iaktta sina rättsliga skyldigheter. Exempelvis behåller finansinstitut vissa
          personuppgifter som de behandlar i syfte att utreda, avslöja eller lagföra brott, och
          tillhandahåller dessa personuppgifter för behöriga nationella myndigheter endast i särskilda
          fall och i enlighet med medlemsstaternas nationella rätt. Ett organ eller en enhet som
          behandlar personuppgifter för sådana myndigheters räkning inom detta direktivs
          tillämpningsområde bör vara bundet av ett avtal eller annan rättsakt och de bestämmelser
          som är tillämpliga på personuppgiftsbiträden enligt detta direktiv, medan tillämpningen av
          förordning (EU) 2016/…* förblir opåverkad när det gäller personuppgiftsbiträdets
          behandling av personuppgifter som inte omfattas av detta direktivs tillämpningsområde.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                    KSM/cwt                       6
                                                  DGD 2                                               SV
 ---pagebreak--- (12)      Polisens och andra brottsbekämpande myndigheters verksamhet är främst inriktad på att
          förebygga, förhindra, utreda, avslöja och lagföra brott, inbegripet polisverksamhet där man
          inte på förhand vet om det inträffade utgör ett brott eller inte. Sådan verksamhet kan också
          innefatta myndighetsutövning genom vidtagande av tvångsåtgärder vid demonstrationer,
          större idrottsevenemang och upplopp. Denna verksamhet omfattar också upprätthållande
          av lag och ordning som en uppgift som anförtros åt polisen eller andra brottsbekämpande
          myndigheter när det är nödvändigt för att skydda mot samt förebygga och förhindra hot
          mot den allmänna säkerheten och mot lagligen skyddade grundläggande allmänna intressen
          som kan leda till ett brott. Medlemsstaterna får åt behöriga myndigheter anförtro andra
          uppgifter som inte nödvändigtvis utförs för att förebygga, förhindra, utreda, avslöja eller
          lagföra brott, inklusive att skydda mot och förebygga hot mot den allmänna säkerheten, så
          att behandlingen av personuppgifter för dessa andra ändamål, i den mån den omfattas av
          unionsrätten, omfattas av tillämpningsområdet för förordning (EU) 2016/… *.

(13)      Ett brott i den mening som avses i detta direktiv bör utgöra ett självständigt begrepp
          i unionsrätten enligt Europeiska unionens domstols (nedan kallad domstolen) tolkning.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                  KSM/cwt                        7
                                                 DGD 2                                              SV
 ---pagebreak--- (14)      Eftersom detta direktiv inte bör tillämpas på behandling av personuppgifter som utgör ett
          led i en verksamhet som inte omfattas av unionsrätten, bör verksamhet som rör nationell
          säkerhet, verksamhet som utförs av byråer och organ som hanterar nationella
          säkerhetsfrågor och medlemsstaternas behandling av personuppgifter när de utför
          verksamhet som omfattas av del V kapitel 2 i fördraget om Europeiska unionen
          (EU-fördraget) inte betraktas som verksamhet som omfattas av detta direktivs
          tillämpningsområde.

(15)      För att säkerställa en enhetlig skyddsnivå för fysiska personer genom rättsligt verkställbara
          rättigheter i hela unionen och undvika avvikelser som hämmar utbytet av personuppgifter
          mellan behöriga myndigheter, bör detta direktiv innehålla harmoniserade bestämmelser om
          skydd och fri rörlighet för personuppgifter som behandlas för att förebygga, förhindra,
          utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att
          skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.
          Tillnärmningen av medlemsstaternas nationella rätt bör inte leda till försämringar i det
          personuppgiftsskydd de tillhandahåller, utan i stället ha till syfte att säkerställa en hög
          skyddsnivå inom unionen. Inget ska hindra medlemsstaterna från att föreskriva starkare
          skyddsåtgärder än dem som fastställs i detta direktiv för skyddet av den registrerades
          rättigheter och friheter med avseende på behöriga myndigheters behandling av
          personuppgifter.

5418/16                                                                      KSM/cwt                       8
                                                   DGD 2                                                  SV
 ---pagebreak--- (16)      Detta direktiv påverkar inte tillämpningen av principen om allmänhetens rätt att få tillgång
          till allmänna handlingar. Enligt förordning (EU) 2016/… * får personuppgifter i allmänna
          handlingar som förvaras av en offentlig myndighet eller ett offentligt eller privat organ för
          utförande av en uppgift av allmänt intresse lämnas ut av myndigheten eller organet
          i enlighet med unionsrätten eller medlemsstatens nationella lagstiftning som den offentliga
          myndigheten eller det offentliga organet omfattas av, för att jämka samman allmänhetens
          rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter.

(17)      Det skydd som ska tillhandahållas enligt detta direktiv bör tillämpas på fysiska personer,
          oavsett medborgarskap eller hemvist, med avseende på behandling av deras
          personuppgifter.

(18)      För att förhindra att det uppstår en allvarlig risk för att reglerna kringgås bör skyddet för
          fysiska personer vara teknikneutralt och inte vara beroende av den teknik som används.
          Skyddet för fysiska personer bör vara tillämpligt på både automatiserad och manuell
          behandling av personuppgifter, om personuppgifterna ingår i eller är avsedda att ingå i ett
          register. Akter eller grupper av akter samt omslag till dessa, som inte är ordnade enligt
          särskilda kriterier, bör inte omfattas av detta direktiv.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                    KSM/cwt                        9
                                                  DGD 2                                               SV
 ---pagebreak--- (19)      Europaparlamentets och rådets förordning (EG) nr 45/2001 1 är tillämplig på den
          behandling av personuppgifter som sker i unionens institutioner, organ och byråer.
          Förordning (EG) nr 45/2001 och de av unionens övriga rättsakter som är tillämpliga på
          sådan behandling av personuppgifter bör anpassas till principerna och bestämmelserna
          i förordning (EU) 2016/… *.

(20)      Detta direktiv bör inte hindra medlemsstaterna från att i nationell straffprocesslagstiftning
          ange vilken behandling och vilka förfaranden för behandling som berörs när det gäller
          domstolars och andra rättsliga myndigheters behandling av personuppgifter, särskilt när det
          gäller personuppgifter som ingår i ett domstolsbeslut eller i protokoll avseende
          straffrättsliga förfaranden.

1
       Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om
       skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar
       personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 12.1.2001, s. 1).
*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                   KSM/cwt                     10
                                                 DGD 2                                             SV
 ---pagebreak--- (21)      Principerna för dataskyddet bör gälla all information som rör en identifierad eller
          identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man
          beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige
          eller av någon annan person, rimligen kan komma att användas för att direkt eller indirekt
          identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet
          kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga
          objektiva faktorer som kostnader och tidsåtgång för identifiering, med beaktande av såväl
          tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen.
          Principerna för dataskyddet bör därför inte gälla för anonym information, nämligen
          information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för
          personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte längre är
          identifierbar.

(22)      Offentliga myndigheter som för sin myndighetsutövning mottar personuppgifter i enlighet
          med en rättslig förpliktelse, t.ex. skatte- och tullmyndigheter, finansutredningsgrupper,
          oberoende administrativa myndigheter eller finansmarknadsmyndigheter med ansvar för
          reglering och övervakning av värdepappersmarknader, bör inte betraktas som mottagare
          om de tar emot personuppgifter som är nödvändiga för utförandet av en särskild utredning
          i allmänhetens intresse, i enlighet med unionsrätten eller medlemstaternas nationella rätt.
          Offentliga myndigheters begäranden om att uppgifter ska lämnas ut bör alltid vara
          skriftliga och motiverade, läggas fram i enskilda fall och inte gälla hela register eller leda
          till att register kopplas samman. Dessa offentliga myndigheters behandling av
          personuppgifter bör ske i överensstämmelse med de bestämmelser om dataskydd som är
          tillämpliga på behandlingens ändamål.

5418/16                                                                    KSM/cwt                      11
                                                  DGD 2                                               SV
 ---pagebreak--- (23)      Genetiska uppgifter bör definieras som personuppgifter som rör en fysisk persons nedärvda
          eller förvärvade genetiska kännetecken som ger unik information om denna enskilda
          persons fysiologi eller hälsa och vilka framgår av en analys av ett biologiskt prov från den
          fysiska personen i fråga, framför allt kromosom-, DNA- eller RNA-analys eller av en
          annan form av analys som gör det möjligt att inhämta motsvarande information. Eftersom
          genetiska uppgifter är komplexa och känsliga finns det en stor risk för att den
          personuppgiftsansvarige missbrukar och återanvänder dem för olika ändamål. All
          diskriminering på grundval av genetiska särdrag bör i princip vara förbjuden.

(24)      Personuppgifter om hälsa bör innefatta alla uppgifter som hänför sig till en registrerad
          persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller
          framtida fysiska eller psykiska hälsotillstånd. Detta inbegriper uppgifter om den enskilda
          personen som samlats in i samband med registrering för eller tillhandahållandet av hälso-
          och sjukvårdstjänster till den fysiska personen enligt Europaparlamentets och rådets
          direktiv 2011/24/EU 1, ett nummer, en symbol eller ett kännetecken som personen tilldelats
          för att unikt identifiera den fysiska personen för hälso- och sjukvårdsändamål, uppgifter
          som härrör från tester eller undersökningar av en kroppsdel eller kroppssubstans, däribland
          genetiska uppgifter och biologiska prover, och andra uppgifter om exempelvis sjukdom,
          funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling, eller den
          registrerades fysiologiska eller biomedicinska tillstånd oberoende av källan, exempelvis
          från en läkare eller från annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt
          eller ett diagnostiskt in vitro-test.

1
       Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen
       av patienträttigheter vid gränsöverskridande hälso- och sjukvård (EUT L 88, 4.4.2011,
       s. 45).

5418/16                                                                  KSM/cwt                       12
                                                  DGD 2                                              SV
 ---pagebreak--- (25)      Samtliga medlemsstater är anslutna till Internationella kriminalpolisorganisationen
          (Interpol). För att kunna fullgöra sitt uppdrag mottar, lagrar och cirkulerar Interpol
          personuppgifter i syfte att hjälpa behöriga myndigheter att förebygga, förhindra och
          bekämpa internationell brottslighet. Därför är det lämpligt att stärka samarbetet mellan
          unionen och Interpol genom att främja ett effektivt utbyte av personuppgifter med respekt
          för de grundläggande rättigheterna och friheterna vid automatiserad behandling av
          personuppgifter. När personuppgifter överförs från unionen till Interpol samt till länder
          som har delegerade medlemmar i Interpol bör detta direktiv, framför allt bestämmelserna
          om internationella överföringar, gälla. Detta direktiv bör inte påverka de särskilda
          bestämmelserna i rådets gemensamma ståndpunkt 2005/69/RIF 1 och rådets
          beslut 2007/533/RIF 2.

1
       Rådets gemensamma ståndpunkt 2005/69/RIF av den 24 januari 2005 om utbyte av vissa
       uppgifter med Interpol (EUT L 27, 29.1.2005, s. 61).
2
       Rådets beslut 2007/533/RIF av den 12 juni 2007 om inrättande, drift och användning av
       andra generationen av Schengens informationssystem (SIS II) (EUT L 205, 7.8.2007, s. 63).

5418/16                                                                   KSM/cwt                     13
                                                 DGD 2                                               SV
 ---pagebreak--- (26)      Varje behandling av personuppgifter måste vara laglig, korrekt och öppen i förhållande till
          berörda fysiska personer och endast genomföras för särskilda lagstadgade ändamål. Detta
          hindrar i sig inte brottsbekämpande myndigheter från att genomföra verksamhet såsom
          hemliga utredningar eller videoövervakning. Sådan verksamhet kan genomföras i syfte att
          förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga
          påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna
          säkerheten, förutsatt att verksamheten har fastställts i lag och utgör en nödvändig och
          proportionell åtgärd i ett demokratiskt samhälle med hänsyn tagen till den fysiska
          personens berättigade intressen. Dataskyddsprincipen om korrekt behandling är ett begrepp
          som är skilt från rätten till en opartisk domstol enligt artikel 47 i stadgan och rätten till en
          rättvis rättegång enligt artikel 6 i den europeiska konventionen om skydd för de mänskliga
          rättigheterna och de grundläggande friheterna (Europakonventionen). Fysiska personer bör
          göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med
          behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende
          på behandlingen. De specifika ändamål som personuppgifterna behandlas för bör vara
          tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in.
          Personuppgifterna bör vara adekvata och relevanta för de ändamål som de behandlas för.
          Det bör i synnerhet säkerställas att de uppgifter som insamlats inte är orimligt omfattande
          och att de inte sparas längre än vad som är nödvändigt för det ändamål för vilket
          uppgifterna behandlas. Personuppgifter bör endast behandlas om syftet med behandlingen
          inte rimligen kan uppnås genom andra medel. För att säkerställa att uppgifter inte sparas
          längre än nödvändigt bör den personuppgiftsansvarige införa tidsfrister för radering eller
          för regelbunden kontroll. Medlemsstaterna bör inrätta lämpliga skyddsåtgärder för
          personuppgifter som lagras under längre perioder, för arkivändamål av allmänt intresse, för
          vetenskapliga, statistiska eller historiska ändamål.

5418/16                                                                     KSM/cwt                      14
                                                  DGD 2                                                SV
 ---pagebreak--- (27)      Om behöriga myndigheter ska kunna förebygga, förhindra, utreda och lagföra brott är det
          nödvändigt för dem att behandla personuppgifter som insamlats inom ramen för
          förebyggande, förhindrande, utredning och lagföring av specifika brott i ett bredare
          sammanhang för att utveckla förståelsen för kriminell verksamhet och göra kopplingar
          mellan olika upptäckta brott.

(28)      För att bibehålla behandlingens säkerhet och förhindra behandling som innebär en
          överträdelse av detta direktiv bör personuppgifter behandlas på ett sätt som säkerställer en
          lämplig säkerhets- och konfidentialitetsnivå samt förhindrar obehörigt tillträde till eller
          obehörig användning av personuppgifter och den utrustning som används för
          behandlingen, med beaktande av tillgänglig teknik och den tekniska utvecklingen samt
          genomförandekostnader i förhållande till riskerna och vilken typ av personuppgifter som
          ska skyddas.

(29)      Personuppgifter bör samlas in för särskilda, uttryckligt angivna och berättigade ändamål
          som omfattas av detta direktivs tillämpningsområde och bör inte behandlas för andra
          ändamål än att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa
          straffrättsliga påföljder, inklusive skydda mot samt förebygga och förhindra hot mot den
          allmänna säkerheten. Om samma eller en annan personuppgiftsansvarig behandlar
          personuppgifter för ett ändamål som omfattas av detta direktiv men som inte är det
          ändamål som uppgifterna insamlades för, bör behandlingen vara tillåten, förutsatt att
          behandlingen har godkänts i enlighet med tillämpliga rättsliga bestämmelser och är
          nödvändig och står i proportion till det andra ändamålet.

5418/16                                                                   KSM/cwt                       15
                                                 DGD 2                                                SV
 ---pagebreak--- (30)      Principen om uppgifters korrekthet bör tillämpas med hänsyn till vilken typ av behandling
          det är fråga om och syftet med denna. Särskilt i domstolsförfaranden baseras utsagor som
          innehåller personuppgifter på fysiska personers subjektiva uppfattning, och kan inte alltid
          verifieras. Följaktligen bör inte korrekthetskravet röra korrektheten i en utsaga, utan endast
          det faktum att en viss utsaga har gjorts.

(31)      Behandling av personuppgifter på områdena för straffrättsligt samarbete och
          polissamarbete innebär av naturliga skäl att personuppgifter om olika kategorier av
          registrerade behandlas. Därför är det viktigt att i tillämpliga fall och i möjligaste mån göra
          en klar åtskillnad mellan personuppgifter om olika kategorier av registrerade,
          t.ex. brottsmisstänkta, brottsdömda och brottsoffer samt andra som berörs av ett brottmål,
          t.ex. vittnen, personer med relevant information eller personer med kontakter eller band till
          brottsmisstänkta och brottsdömda. Detta bör inte hindra tillämpningen av rätten till
          oskuldspresumtion som garanteras i stadgan och i Europakonventionen, tolkade enligt
          rättspraxis från domstolen och Europeiska domstolen för de mänskliga rättigheterna.

(32)      De behöriga myndigheterna bör säkerställa att personuppgifter som är felaktiga,
          ofullständiga eller inaktuella inte överförs eller görs tillgängliga. För att säkerställa skydd
          för fysiska personer, korrekthet, fullständighet eller i vilken grad personuppgifterna är
          aktuella och tillförlitlighet i de personuppgifter som överförs eller görs tillgängliga, bör de
          behöriga myndigheterna i möjligaste mån föra in nödvändiga uppgifter vid all överföring
          av personuppgifter.

5418/16                                                                    KSM/cwt                      16
                                                  DGD 2                                               SV
 ---pagebreak--- (33)      När det i detta direktiv hänvisas till medlemsstaternas nationella rätt, en rättslig grund eller
          lagstiftningsåtgärd innebär detta inte nödvändigtvis en lagstiftningsakt antagen av ett
          parlament, med förbehåll för krav i den berörda medlemsstatens konstitutionella ordning.
          Medlemsstaternas nationella rätt, rättslig grund eller lagstiftningsåtgärd bör emellertid
          i dessa fall vara tydlig och precis, och dess tillämpning förutsägbar för dem som omfattas
          av den i enlighet med rättspraxis vid domstolen och Europeiska domstolen för de
          mänskliga rättigheterna. Medlemsstaternas nationella rätt som reglerar behandlingen av
          personuppgifter inom tillämpningsområdet för detta direktiv bör åtminstone specificera
          målen, vilka personuppgifter som ska behandlas, behandlingens ändamål, förfarandena för
          att bevara personuppgifternas integritet och konfidentialitet samt förfarandena för
          förstöring av dem så att tillräckliga garantier mot risken för missbruk och
          godtycklighet ges.

5418/16                                                                    KSM/cwt                      17
                                                  DGD 2                                               SV
 ---pagebreak--- (34)      Behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra,
          utreda, avslöja eller lagföra brott, verkställa straffrättsliga påföljder, inklusive att skydda
          mot samt förebygga och förhindra hot mot den allmänna säkerheten, bör omfatta varje
          åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av
          personuppgifter som utförs i dessa syften, oberoende av om de utförs automatiserat eller ej,
          såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller
          ändring, framtagning, läsning, användning, justering eller sammanförande, begränsning av
          behandlingen, radering eller förstöring. Framför allt bör bestämmelserna i detta direktiv
          gälla personuppgifter som vid tillämpningen av detta direktiv överförs till en mottagare
          som inte omfattas av detta direktiv. Med sådana mottagare bör avses fysiska eller juridiska
          personer, myndigheter, institutioner eller andra organ som den behöriga myndigheten
          lagligen lämnar ut personuppgifterna till. Om personuppgifter ursprungligen samlats in av
          en behörig myndighet för något av detta direktivs ändamål, bör förordning (EU) 2016/… *
          vara tillämplig på behandlingen av dessa uppgifter för andra ändamål än de som anges
          i detta direktiv om behandlingen är godkänd enligt unionsrätten eller nationell rätt. Framför
          allt bör bestämmelserna i förordning (EU) 2016/…* gälla överföring av personuppgifter för
          ändamål som inte omfattas av detta direktiv. Förordning (EU) 2016/…* bör gälla när
          personuppgifter behandlas av en mottagare som varken är eller agerar i egenskap av
          behörig myndighet i den mening som avses i detta direktiv och som lagligen mottagit
          personuppgifter av en behörig myndighet. Vid tillämpningen av detta direktiv bör
          medlemsstaterna också närmare kunna ange tillämpningen av bestämmelserna
          i förordning (EU) 2016/…* på de villkor som anges i den förordningen.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                     KSM/cwt                         18
                                                  DGD 2                                                SV
 ---pagebreak--- (35)      För att vara laglig bör behandlingen av personuppgifter enligt detta direktiv vara
          nödvändig för att utföra en uppgift av allmänt intresse som en behörig myndighet ansvarar
          för enligt unionsrätten eller medlemsstaternas nationella rätt för att förebygga, förhindra,
          utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att
          skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Denna
          verksamhet bör omfatta skydd av intressen som är av grundläggande betydelse för den
          registrerade. Utförandet av uppgifterna att förebygga, förhindra, utreda, avslöja eller
          lagföra brott, som de behöriga myndigheterna institutionellt har tilldelats enligt lag, gör det
          möjligt för dem att kräva eller beordra att fysiska personer efterlever de begäranden som
          gjorts. I detta fall bör den registrerades samtycke, enligt definitionen i förordning
          (EU) 2016/… *, inte utgöra en rättslig grund för behöriga myndigheters behandling av
          personuppgifter. Om den registrerade är skyldig att fullgöra en rättslig förpliktelse har den
          registrerade inte någon genuin och fri valmöjlighet, och således är det inte möjligt att
          betrakta den registrerades reaktion som en frivillig viljeyttring. Detta bör inte hindra
          medlemsstaterna från att i lag fastställa att den registrerade får tillåta behandling av sina
          personuppgifter vid tillämpning av detta direktiv, såsom DNA-testning inom ramen för
          brottsutredningar eller övervakning av var den registrerade befinner sig med elektronisk
          fotboja för verkställighet av straffrättsliga påföljder.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                      KSM/cwt                      19
                                                   DGD 2                                                  SV
 ---pagebreak--- (36)      Medlemsstaterna bör föreskriva att om det i den unionsrätt eller nationella rätt som är
          tillämplig på den överförande behöriga myndigheten fastställs särskilda villkor som under
          särskilda omständigheter är tillämpliga på behandlingen av personuppgifter, såsom
          användning av hanteringskoder, bör den överförande behöriga myndigheten informera den
          mottagare till vilken uppgifterna överförs om dessa villkor och om kravet att respektera
          dem. Sådana villkor kan till exempel innefatta ett förbud mot att överföra personuppgifter
          till andra mottagare eller använda dem i andra syften än de för vilka de överfördes till
          mottagaren eller inte informera den registrerade vid begränsning av rätten till information
          utan förhandsgodkännande från den överförande behöriga myndigheten. Dessa
          skyldigheter bör även gälla för överföringar från den överförande behöriga myndigheten
          till mottagare i tredjeländer eller internationella organisationer. Medlemsstaterna bör
          säkerställa att den överförande behöriga myndigheten inte tillämpar dessa villkor på
          mottagare i andra medlemsstater eller på byråer och organ som inrättats i enlighet med
          avdelning V kapitlen 4 och 5 i EUF-fördraget, med undantag för sådana villkor som är
          tillämpliga på motsvarande överföringar av uppgifter inom den medlemsstat där den
          behöriga myndigheten är belägen.

5418/16                                                                  KSM/cwt                     20
                                                 DGD 2                                               SV
 ---pagebreak--- (37)      Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande
          rättigheter och friheter bör åtnjuta ett särskilt skydd eftersom behandling av sådana
          uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna.
          Dessa personuppgifter bör även inbegripa personuppgifter som avslöjar ras eller etniskt
          ursprung, varvid användningen av termen ras i detta direktiv inte innebär att unionen
          godtar teorier som söker fastställa förekomsten av skilda människoraser. Dessa
          personuppgifter bör inte behandlas såvida inte behandlingen omfattas av lämpliga
          skyddsåtgärder för den registrerades lagstadgade rättigheter och friheter och medges i fall
          som är tillåtna enligt lag, eller behandlingen, om den ännu inte är tillåten enligt lag, är
          nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade
          eller en annan person, eller behandlingen rör uppgifter som på ett tydligt sätt har
          offentliggjorts av den registrerade. Lämpliga skyddsåtgärder för den registrerades
          rättigheter och friheter kan till exempel inbegripa möjligheten att samla in dessa uppgifter
          endast i samband med andra uppgifter om den berörda fysiska personen, möjligheten att
          säkra de insamlande uppgifterna, striktare regler om tillgång till uppgifterna för den
          behöriga myndighetens personal på lämpligt sätt, och förbud mot att översända sådana
          uppgifter. Behandling av sådana uppgifter bör även tillåtas enligt lag när den registrerade
          uttryckligen har gett sitt samtycke i fall där uppgiftsbehandlingen är särskilt inkräktande
          för honom eller henne. Den registrerades samtycke bör dock inte i sig utgöra någon rättslig
          grund för behöriga myndigheters behandling av sådana känsliga personuppgifter.

5418/16                                                                    KSM/cwt                      21
                                                  DGD 2                                                 SV
 ---pagebreak--- (38)      Den registrerade bör ha rätt att inte bli föremål för ett beslut angående bedömning av
          personliga aspekter rörande honom eller henne som uteslutande grundas på automatiserad
          behandling och som har negativa rättsliga följder eller i betydande grad påverkar honom
          eller henne. Denna form av uppgiftsbehandling bör under alla omständigheter omfattas av
          lämpliga skyddsåtgärder, inbegripet skild information till den registrerade och rätt till
          personlig kontakt, särskilt för framförande av egna synpunkter, rätten att erhålla en
          förklaring för det beslut som fattats efter sådan bedömning och rätten att överklaga
          beslutet. Profilering som leder till diskriminering av fysiska personer på grundval av
          personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande
          rättigheter och friheter är förbjuden på de villkor som fastställs i artiklarna 21 och 52
          i stadgan.

(39)      För att den registrerade ska kunna utöva sina rättigheter bör all information till denne vara
          lättåtkomlig, t.ex. via den personuppgiftsansvariges webbplats, och lättbegriplig, på ett
          klart och tydligt språk. Denna information bör anpassas till de behov som sårbara
          människor, t.ex. barn, har.

5418/16                                                                    KSM/cwt                    22
                                                 DGD 2                                                SV
 ---pagebreak--- (40)      Det bör finnas arrangemang som underlättar för de registrerade att utöva sina rättigheter
          enligt de bestämmelser som antas i enlighet med detta direktiv, bl.a. rutiner för att
          kostnadsfritt begära och, i tillämpliga fall, få kostnadsfri, särskilt, tillgång till och rättelse
          eller radering av personuppgifter och begränsning av behandlingen.
          Personuppgiftsansvariga bör vara skyldiga att besvara en begäran från den registrerade
          utan onödigt dröjsmål, om inte de personuppgiftsansvariga tillämpar begränsningar av den
          registrerades rättigheter i enlighet med bestämmelserna i detta direktiv. Om en begäran är
          uppenbart ogrundad eller orimlig, som i fall då en registrerad utan skäl och vid upprepade
          tillfällen begär uppgifter eller om denne missbrukar sin rätt till information genom att
          exempelvis i sin begäran tillhandahålla felaktig eller missvisande information, bör den
          personuppgiftsansvarige dessutom kunna ta ut en rimlig avgift eller vägra att tillmötesgå
          begäran.

(41)      När den personuppgiftsansvarige begär att ytterligare information som är nödvändig för att
          bekräfta den registrerades identitet ska tillhandahållas bör denna information endast
          behandlas för detta specifika ändamål och bör inte lagras längre än vad som krävs för detta
          ändamål.

(42)      Åtminstone följande information bör göras tillgänglig för den registrerade: Vem som är
          personuppgiftsansvarig, att behandling sker, syftena med behandlingen, rätten att lämna in
          klagomål och rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller
          radering av personuppgifter eller begränsning av behandlingen. Informationen kan anges
          på den behöriga myndighetens webbplats. Dessutom bör den registrerade, i specifika fall
          och för att göra det möjligt för honom eller henne att utöva sina rättigheter, informeras om
          behandlingens rättsliga grund och om hur länge uppgifterna kommer att lagras, i den
          utsträckning som den ytterligare informationen är nödvändig, med beaktande av de
          särskilda omständigheter under vilka personuppgifterna behandlas, för att garantera en
          korrekt behandling när det gäller den registrerade.

5418/16                                                                       KSM/cwt                      23
                                                   DGD 2                                                 SV
 ---pagebreak--- (43)      Fysiska personer bör ha rätt att få tillgång till uppgifter som insamlats om dem samt att på
          enkelt sätt och med rimliga intervall kunna utöva denna rätt för att hålla sig underrättade
          om att behandling sker och kunna kontrollera att den är laglig. Därför bör varje registrerad
          ha rätt att känna till och underrättas om de ändamål för vilka uppgifterna behandlas, hur
          länge behandlingen kommer att pågå och vilka som kommer att få del av uppgifterna,
          inbegripet mottagare i tredjeländer. Om denna underrättelse omfattar information om
          personuppgifternas ursprung bör denna information inte avslöja fysiska personers identitet,
          framför allt konfidentiella källor. För att denna rättighet ska respekteras är det tillräckligt
          att den registrerade innehar en komplett sammanfattning av dessa uppgifter i begripligt
          format, det vill säga ett format som gör det möjligt för den registrerade att få kännedom om
          dessa uppgifter och kontrollera att de är korrekta och behandlade i enlighet med detta
          direktiv så att den sökande kan utöva de rättigheter som han eller hon tilldelas enligt detta
          direktiv. En sådan sammanfattning skulle kunna tillhandahållas i form av en kopia av de
          personuppgifter som håller på att behandlas.

5418/16                                                                     KSM/cwt                         24
                                                  DGD 2                                               SV
 ---pagebreak--- (44)      Medlemsstaterna bör ha möjlighet att genom lagstiftning vidta åtgärder som innebär att
          informationen till de registrerade senareläggs, begränsas eller utelämnas eller att deras
          tillgång till sina personuppgifter helt eller delvis begränsas, i den utsträckning och så länge
          som en sådan åtgärd utgör en nödvändig och proportionell åtgärd i ett demokratiskt
          samhälle med hänsyn tagen till den berörda fysiska personens grundläggande rättigheter
          och berättigade intressen, och syftet är att undvika att hindra officiella eller rättsliga
          utredningar, undersökningar eller förfaranden, undvika menlig inverkan på förebyggande,
          förhindrande, utredning, upptäckt eller lagföring av brott eller verkställighet av
          straffrättsliga påföljder, skydd för allmän eller nationell säkerhet eller skydd för andra
          personers rättigheter och friheter. Den personuppgiftsansvarige bör genom en konkret och
          individuell granskning i varje enskilt fall bedöma om rätten till tillgång delvis eller helt bör
          begränsas.

(45)      En vägran att ge den registrerade tillgång till sina uppgifter och varje begränsning av sådan
          tillgång bör i princip meddelas den registrerade skriftligen och inkludera de faktiska eller
          rättsliga skäl som beslutet grundar sig på.

(46)      All begränsning av den registrerades rättigheter måste vara förenlig med stadgan och med
          Europakonventionen, tolkade enligt rättspraxis från domstolen respektive Europeiska
          domstolen för de mänskliga rättigheterna, och i synnerhet respektera kärnan i dessa
          rättigheter och friheter.

5418/16                                                                     KSM/cwt                    25
                                                  DGD 2                                                SV
 ---pagebreak--- (47)      Fysiska personer bör ha rätt att få felaktiga personuppgifter som rör dem rättade, särskilt
          faktauppgifter, samt rätt att få dem raderade om behandlingen av uppgifterna utgör en
          överträdelse av detta direktiv. Rätten till rättelse bör emellertid inte påverka exempelvis
          innehållet i ett vittnesmål. En fysisk person bör också ha rätt till begränsning av
          behandlingen när han eller hon bestrider korrektheten av en personuppgift och det inte kan
          fastställas huruvida denna är korrekt eller när personuppgiften måste sparas som bevisning.
          Framför allt bör behandlingen av personuppgifter begränsas snarare än att uppgifterna
          raderas om det i ett visst fall finns rimliga skäl att anta att en radering skulle kunna påverka
          den registrerades legitima intressen. I ett sådant fall bör begränsade uppgifter endast
          behandlas för det ändamål som hindrade att de raderades. Behandling av personuppgifter
          kan exempelvis begränsas genom att man flyttar de valda uppgifterna till ett annat
          databehandlingssystem, till exempel för arkivering, eller gör de valda uppgifterna
          otillgängliga. I automatiserade register bör begränsningen av behandlingen i princip ske
          med tekniska medel. Att behandlingen av personuppgifter är begränsad bör anges inom
          systemet på sådant sätt att det tydligt framgår att behandlingen av personuppgifterna är
          begränsad. Sådan rättelse, radering av personuppgifter eller begränsning av behandlingen
          bör meddelas till de mottagare till vilka uppgifterna har lämnats ut och till de behöriga
          myndigheter från vilka de oriktiga uppgifterna härrörde. De personuppgiftsansvariga bör
          också avstå från vidare spridning av sådana uppgifter.

5418/16                                                                    KSM/cwt                      26
                                                  DGD 2                                               SV
 ---pagebreak--- (48)      Om en personuppgiftsansvarig nekar en registrerad dennes rätt till information, tillgång till,
          rättelse, eller radering av personuppgifter eller till begränsning av behandlingen bör den
          registrerade ha rätt att begära att den nationella tillsynsmyndigheten kontrollerar
          behandlingens laglighet. De registrerade bör informeras om denna rättighet. När en
          tillsynsmyndighet agerar för de registrerades räkning, bör tillsynsmyndigheten åtminstone
          informera dem om att tillsynsmyndigheten har utfört alla nödvändiga kontroller eller
          översyner. Tillsynsmyndigheten bör också informera de registrerade om rätten att begära
          rättslig prövning.

(49)      När personuppgifter behandlas inom ramen för en brottsutredning eller
          domstolsförfaranden vid brottmål, bör medlemsstaterna kunna föreskriva att rätten till
          information, tillgång, rättelse och radering samt till begränsning av behandlingen utövas
          i enlighet med nationella bestämmelser om rättsliga förfaranden.

(50)      Den personuppgiftsansvarige bör åläggas ansvaret för all behandling av personuppgifter
          som de utför eller som utförs på deras vägnar. Personuppgiftsansvariga bör särskilt vara
          skyldiga att vidta lämpliga och effektiva åtgärder och bör kunna visa att behandlingen är
          förenlig med detta direktiv. I samband med dessa åtgärder bör behandlingens art,
          omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och
          friheter beaktas. De åtgärder som den personuppgiftsansvarige vidtar bör omfatta
          utarbetande och genomförande av särskilda skyddsåtgärder för behandling av
          personuppgifter om sårbara fysiska personer, t.ex. barn.

5418/16                                                                   KSM/cwt                      27
                                                 DGD 2                                             SV
 ---pagebreak--- (51)      Risker för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och
          allvar, kan uppkomma till följd av uppgiftsbehandling som skulle kunna medföra fysiska,
          materiella eller immateriella skador, i synnerhet om behandlingen kan leda till
          diskriminering, identitetsstöld eller identitetsbedrägeri, ekonomisk förlust, skadat
          anseende, förlust av konfidentialitet när det gäller uppgifter som omfattas av tystnadsplikt,
          obehörigt hävande av pseudonymisering, eller annan betydande ekonomisk eller social
          nackdel; eller om registrerade kan komma att berövas sina rättigheter och friheter eller
          hindras att utöva kontroll över sina personuppgifter; om personuppgifter behandlas som
          avslöjar ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse eller
          medlemskap i fackförening, om genetiska uppgifter eller biometriska uppgifter behandlas
          för att unikt identifiera en person eller om uppgifter om hälsa eller uppgifter om sexualliv
          och sexuell läggning eller fällande domar i brottmål samt brott eller därmed
          sammanhängande säkerhetsåtgärder behandlas; om det förekommer en bedömning av
          personliga aspekter, exempelvis analyser och förutsägelser beträffande sådant som rör
          arbetsprestationer, ekonomisk ställning, hälsa, personliga preferenser eller intressen,
          tillförlitlighet eller beteende, vistelseort eller förflyttningar, i syfte att skapa eller använda
          personliga profiler; eller om personuppgifter rörande sårbara fysiska personer, framför allt
          barn, behandlas; eller om behandlingen inbegriper ett stort antal personuppgifter och gäller
          ett stort antal registrerade.

(52)      Riskens sannolikhetsgrad och allvar bör fastställas utifrån behandlingens art, omfattning,
          sammanhang och ändamål. Risken bör utvärderas enligt en objektiv bedömning, genom
          vilken det fastställs huruvida uppgiftsbehandlingen medför hög risk. Med hög risk avses en
          särskild risk för menlig inverkan på registrerades rättigheter och friheter.

5418/16                                                                      KSM/cwt                       28
                                                   DGD 2                                                SV
 ---pagebreak--- (53)      Skyddet för fysiska personers rättigheter och friheteter i samband med behandlingen av
          personuppgifter kräver lämpliga tekniska och organisatoriska åtgärder för att säkerställa att
          kraven i detta direktiv uppfylls. Genomförandet av sådana åtgärder bör inte enbart bero på
          ekonomiska hänsyn. För att kunna visa överensstämmelse med detta direktiv bör den
          personuppgiftsansvarige anta interna strategier och vidta åtgärder, som i synnerhet följer
          principerna om inbyggt dataskydd och dataskydd som standard. Om den
          personuppgiftsansvarige har genomfört en konsekvensbedömning avseende dataskydd
          i enlighet med detta direktiv bör resultatet beaktas vid utarbetandet av dessa åtgärder och
          förfaranden. Sådana åtgärder kan bland annat bestå av pseudonymisering snarast möjligt.
          Pseudonymisering vid tillämpning av detta direktiv kan utgöra ett verktyg som kan
          underlätta det fria flödet av personuppgifter inom området med frihet, säkerhet och
          rättvisa.

(54)      Skyddet för de registrerades rättigheter och friheteter samt de personuppgiftsansvarigas
          och registerförarnas ansvar, också i förhållande till tillsynsmyndigheternas övervakning
          och åtgärder, kräver ett tydligt fastställande av vem som bär ansvaret enligt detta direktiv,
          bl.a. när personuppgiftsansvariga gemensamt fastställer ändamål och medel för en
          behandling tillsammans med andra personuppgiftsansvariga eller när en behandling utförs
          på en personuppgiftsansvarigs vägnar.

(55)      Ett personuppgiftsbiträdes behandling bör styras av en rättsakt som omfattar ett avtal som
          binder personuppgiftsbiträdet till den personuppgiftsansvarige och där det särskilt anges att
          personuppgiftsbiträdet endast bör agera på instruktion av den personuppgiftsansvarige.
          Personuppgiftsbiträdet bör beakta principen om inbyggt dataskydd och dataskydd som
          standard.

5418/16                                                                   KSM/cwt                       29
                                                 DGD 2                                             SV
 ---pagebreak--- (56)      För att visa överensstämmelse med detta direktiv bör de personuppgiftsansvariga eller
          registerförarna föra register över alla kategorier av behandling som sker under deras
          ansvar. Alla personuppgiftsansvariga och personuppgiftsbiträden bör vara skyldiga att
          samarbeta med tillsynsmyndigheten och på dennas begäran göra detta register tillgängligt
          för myndigheten så att det kan tjäna som grund för övervakningen av behandlingen.
          Personuppgiftsansvariga eller personuppgiftsbiträden som behandlar personuppgifter
          i icke-automatiserade behandlingssystem bör ha infört effektiva metoder, t.ex. loggar eller
          andra typer av register, för att visa att behandlingen är laglig, möjliggöra egenkontroll och
          säkerställa dataintegritet och datasäkerhet.

(57)      Loggar bör åtminstone föras över behandlingar i automatiserade behandlingssystem såsom
          insamling, ändring, läsning, utlämning, inklusive överföringar, sammanförande eller
          radering. Identifieringen av den person som läst eller lämnat ut personuppgifter bör loggas
          och från denna identifiering skulle det kunna vara möjligt att fastställa motiveringen till
          behandlingen. Loggarna bör endast användas för att kontrollera om behandlingen av
          uppgifterna är tillåten, för egenkontroll, för att garantera dataintegritet och datasäkerhet
          samt för straffrättsliga förfaranden. Egenkontroll omfattar även behöriga myndigheters
          interna disciplinära förfaranden.

(58)      En konsekvensbedömning avseende dataskydd bör genomföras av den
          personuppgiftsansvarige om det är sannolikt att uppgiftsbehandlingen, på grund av sin
          karaktär, sin omfattning eller sina ändamål, medför en hög risk för de registrerades
          rättigheter och friheter, vilken i synnerhet bör omfatta planerade åtgärder, skyddsåtgärder
          och mekanismer för att säkerställa skyddet av personuppgifter och för att styrka
          efterlevnaden av detta direktiv. Konsekvensbedömningarna bör omfatta relevanta system
          och processer för behandling men inte enskilda fall.

5418/16                                                                    KSM/cwt                       30
                                                  DGD 2                                              SV
 ---pagebreak--- (59)      I syfte att säkerställa ett effektivt skydd av de registrerades rättigheter och friheteter bör
          den personuppgiftsansvarige eller personuppgiftsbiträdet i vissa fall samråda med
          tillsynsmyndigheten före behandlingen.

(60)      För att upprätthålla säkerheten och förhindra behandling som bryter mot detta direktiv bör
          personuppgiftsansvariga eller personuppgiftsbiträden utvärdera de risker som behandlingen
          är förknippad med och bör vidta åtgärder, såsom kryptering, för att mildra dem. Åtgärderna
          bör leda till en lämplig säkerhetsnivå, inklusive konfidentialitetsnivå, med beaktande av
          den senaste utvecklingen och till genomförandekostnaderna med hänsyn till riskerna och
          vilken typ av personuppgifter som ska skyddas. Vid bedömningen av riskerna när det
          gäller datasäkerhet bör man beakta de risker som uppgiftsbehandling medför, såsom
          förstöring, förlust eller ändringar genom olyckshändelse eller olagliga handlingar eller
          obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats
          eller på annat sätt behandlats, som framför allt kan leda till fysisk, materiell eller
          immateriell skada. Den personuppgiftsansvarige och personuppgiftsbiträdet bör säkerställa
          att behandlingen av personuppgifter inte utförs av obehöriga personer.

5418/16                                                                     KSM/cwt                        31
                                                  DGD 2                                                SV
 ---pagebreak--- (61)      En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan för fysiska
          personer leda till fysisk, materiell eller immateriell skada, såsom förlust av kontrollen över
          de egna personuppgifterna eller till begränsning av deras rättigheter, diskriminering,
          identitetsstöld eller identitetsbedrägeri, ekonomisk förlust, obehörigt hävande av
          pseudonymisering, skadat anseende, förlust av konfidentialitet när det gäller
          personuppgifter som omfattas av tystnadsplikt, eller till annan betydande ekonomisk eller
          social nackdel för den berörda fysiska personen. Så snart en personuppgiftsansvarig blir
          medveten om att en personuppgiftsincident bör den personuppgiftsansvarige därför anmäla
          personuppgiftsincidenten till tillsynsmyndigheten utan onödigt dröjsmål och, om så är
          möjligt, inom 72 timmar efter att ha fått kännedom om denna, om inte den
          personuppgiftsansvarige, i enlighet med ansvarsprincipen, kan visa att det är osannolikt att
          personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och
          friheter. Om anmälan inte kan göras inom 72 timmar bör skälen till fördröjningen åtfölja
          anmälan och informationen får lämnas i omgångar utan otillbörligt vidare dröjsmål.

5418/16                                                                   KSM/cwt                     32
                                                 DGD 2                                             SV
 ---pagebreak--- (62)      Fysiska personer bör utan onödigt dröjsmål underrättas om personuppgiftsincidenten
          sannolikt leder till en högre risk för deras rättigheter och friheteter så att de kan vidta
          nödvändiga försiktighetsåtgärder. Underrättelsen bör innehålla en beskrivning av
          personuppgiftsincidentens art samt innehålla rekommendationer till den berörda fysiska
          personen om hur de potentiella negativa effekterna kan mildras. De registrerade bör
          underrättas så snart detta rimligtvis är möjligt, i nära samarbete med tillsynsmyndigheten
          och i enlighet med den vägledning som lämnats av den eller andra relevanta myndigheter.
          Exempelvis kräver behovet av att mildra en omedelbar skaderisk att de registrerade
          underrättas omgående medan behovet att vidta lämpliga åtgärder vid fortlöpande eller
          likartade uppgiftsincidenter kan motivera längre tid för underrättelsen. Om man inte kan
          undvika att hindra officiella eller rättsliga utredningar, undersökningar eller förfaranden,
          undvika menlig inverkan på förebyggande, förhindrande, upptäckt, utredning eller
          lagföring av brott eller verkställighet av straffrättsliga påföljder eller skydda allmän
          säkerhet, nationell säkerhet eller andra personers rättigheter och friheteter genom att
          senarelägga eller begränsa informationen till den berörda fysiska personen om en
          personuppgiftsincident skulle denna information under exceptionella omständigheter
          kunna utelämnas.

5418/16                                                                     KSM/cwt                      33
                                                  DGD 2                                                 SV
 ---pagebreak--- (63)      Den personuppgiftsansvarige bör utse en person som skulle kunna hjälpa denne att
          övervaka den interna efterlevnaden av de bestämmelser som antas i enlighet med detta
          direktiv, förutom om en medlemsstat beslutar att undanta domstolar och andra oberoende
          rättsliga myndigheter som behandlar personuppgifter inom ramen för sin dömande
          verksamhet. Denna person kan vara en av den personuppgiftsansvariges medarbetare som
          fått särskild utbildning inom dataskyddslagstiftning och praxis i fråga om dataskydd för att
          förvärva sakkunskap på detta område. Den nödvändiga nivån på sakkunskapen bör särskilt
          fastställas särskilt i enlighet med den uppgiftsbehandling som utförs och det skydd som
          krävs för de personuppgifter som behandlas av den personuppgiftsansvarige. Hans eller
          hennes uppgift kan utföras på deltid eller heltid. Flera personuppgiftsansvariga kan, med
          beaktande av organisationsstruktur och storlek, gemensamt utse ett dataskyddsombud,
          t.ex. vid gemensamma resurser i centralenheter. Denna person kan också utnämnas till
          olika befattningar inom de berörda personuppgiftsansvarigas struktur. Denna person bör
          hjälpa den personuppgiftsansvarige och de anställda som behandlar personuppgifter genom
          att ge information och råd till dem angående efterlevnaden av deras respektive skyldigheter
          i fråga om dataskydd. Dataskyddsombudet i fråga bör kunna utföra sina uppdrag och
          uppgifter på ett oberoende sätt i enlighet med medlemsstaternas nationella rätt.

5418/16                                                                 KSM/cwt                       34
                                                DGD 2                                            SV
 ---pagebreak--- (64)      Medlemsstaterna bör säkerställa att överföringar till ett tredjeland eller en internationell
          organisation endast får äga rum om detta är nödvändigt för att förebygga, förhindra, utreda,
          avslöja eller lagföra brott eller för att verkställa straffrättsliga påföljder, inklusive för att
          skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, och den
          personuppgiftsansvarige i tredjelandet eller den internationella organisationen är en
          myndighet som är behörig i den mening som avses i detta direktiv. En överföring bör
          endast utföras av behöriga myndigheter som agerar som personuppgiftsansvariga, utom när
          personuppgiftsbiträden uttryckligen har getts i uppdrag att göra en överföring för
          personuppgiftsansvarigas räkning. En sådan överföring kan äga rum när kommissionen har
          beslutat att skyddsnivån i ett tredjeland eller en internationell organisation är adekvat eller
          när lämpliga skyddsåtgärder föreligger, eller när undantag för särskilda situationer gäller.
          Det är viktigt att den skyddsnivå som fysiska personer garanteras inom unionen genom
          detta direktiv inte undergrävs när personuppgifter överförs från unionen till
          personuppgiftsansvariga, personuppgiftsbiträden eller andra mottagare i tredjeländer eller
          internationella organisationer, vilket inbegriper fall av vidare överföring av
          personuppgifter från tredjelandet eller den internationella organisationen till
          personuppgiftsansvariga eller personuppgiftsbiträden i samma eller i ett annat tredjeland
          eller en annan internationell organisation.

5418/16                                                                       KSM/cwt                         35
                                                    DGD 2                                                SV
 ---pagebreak--- (65)      Om personuppgifter överförs från en medlemsstat till tredjeländer eller internationella
          organisationer bör en sådan överföring i princip ske först efter det att den medlemsstat från
          vilken uppgifterna insamlades har gett sitt tillstånd till överföringen. För ett effektivt
          samarbete i fråga om brottsbekämpning krävs att om ett hot mot en medlemsstats eller ett
          tredjelands allmänna säkerhet eller en medlemsstats väsentliga intressen är så
          överhängande att det är omöjligt att i tid inhämta ett förhandstillstånd bör den behöriga
          myndigheten få överföra de relevanta personuppgifterna till det berörda tredjelandet eller
          internationella organisationen utan sådant förhandstillstånd. Medlemsstaterna bör
          föreskriva att eventuella särskilda villkor som rör överföringen bör vidarebefordras till
          tredjeländer eller internationella organisationer. För vidare överföring av personuppgifter
          bör det krävas förhandstillstånd från den behöriga myndighet som utförde den ursprungliga
          överföringen. När den behöriga myndighet som utförde den ursprungliga överföringen
          fattar beslut om en begäran om tillstånd för vidare överföring bör den vederbörligen beakta
          alla relevanta faktorer, inklusive hur allvarligt brottet är, de särskilda villkoren och det
          ändamål som uppgifterna ursprungligen överfördes för, arten och villkoren för
          verkställandet av den straffrättsliga påföljden, samt nivån på skyddet av personuppgifter
          i det tredjeland eller den internationella organisation som personuppgifterna vidare
          överförs till. Den behöriga myndighet som utförde den ursprungliga överföringen bör
          också ha möjlighet att tillämpa särskilda villkor för vidare överföring. Dessa särskilda
          villkor kan beskrivas, t.ex. i hanteringskoder.

5418/16                                                                     KSM/cwt                      36
                                                  DGD 2                                                  SV
 ---pagebreak--- (66)      Kommissionen bör med verkan för hela unionen kunna fastställa att vissa tredjeländer, ett
          visst territorium eller en eller flera specificerade sektorer i ett tredjeland eller en
          internationell organisation kan erbjuda en adekvat dataskyddsnivå, och på så sätt skapa
          rättssäkerhet och enhetlighet i hela unionen vad gäller dessa tredjeländer eller
          internationella organisationer som anses erbjuda en sådan skyddsnivå. I dessa fall bör
          överföringar av personuppgifter till dessa länder kunna ske utan särskilt tillstånd, utom när
          en annan medlemsstat från vilken uppgifterna insamlades måste ge tillstånd till
          överföringen.

(67)      I enlighet med de grundläggande värderingar som unionen vilar på, särskilt skyddet av de
          mänskliga rättigheterna, bör kommissionen i sin bedömning av ett tredjeland, ett
          territorium eller en specificerad sektor i ett tredjeland beakta i vilken omfattning ett visst
          tredjeland iakttar rättsstatsprincipen, möjligheten till rättslig prövning samt internationella
          människorättsliga normer och standarder samt landets allmänna lagstiftning och
          sektorslagstiftning, vilket inbegriper lagstiftning om allmän säkerhet, försvar och nationell
          säkerhet samt allmän ordning och straffrätt. Vid antagandet av ett beslut om adekvat
          skyddsnivå avseende ett territorium eller en specificerad sektor i ett tredjeland bör hänsyn
          tas till tydliga och objektiva kriterier, t.ex. specifik behandling och tillämpningsområdet för
          tillämpliga rättsliga standarder och gällande lagstiftning i det tredjelandet. Tredjelandet bör
          erbjuda garantier som säkerställer en tillfredsställande skyddsnivå, som i huvudsak
          motsvarar den som säkerställs inom unionen, i synnerhet när uppgifter behandlas inom en
          eller flera specifika sektorer. Tredjelandet bör framför allt säkerställa en effektiv oberoende
          dataskyddsövervakning samt sörja för mekanismer för samarbete med medlemsstaternas
          dataskyddsmyndigheter och de registrerade bör tillförsäkras effektiva och verkställbara
          rättigheter samt effektiva administrativa och rättsliga rättsmedel.

5418/16                                                                      KSM/cwt                       37
                                                   DGD 2                                             SV
 ---pagebreak--- (68)      Utöver de internationella åtaganden som tredjelandet eller den internationella
          organisationen har ingått bör kommissionen också beakta de skyldigheter som följer av
          tredjelandets eller den internationella organisationens deltagande i multilaterala eller
          regionala system, särskilt rörande skydd av personuppgifter, samt genomförandet av dessa
          skyldigheter. Framför allt bör tredjelandets anslutning till Europarådets konvention av
          den 28 januari 1981 om skydd för fysiska personer vid automatiserad databehandling av
          personuppgifter och dess tilläggsprotokoll beaktas. Kommissionen bör samråda med
          Europeiska dataskyddsstyrelsen, inrättad genom förordning (EU) 2016/… * (nedan
          kallad styrelsen) vid bedömningen av skyddsnivån i tredjeländer eller internationella
          organisationer. Kommissionen bör också beakta alla relevanta kommissionsbeslut om
          adekvat skyddsnivå som antagits i enlighet med artikel 45 i förordning (EU) 2016/…*.

(69)      Kommissionen bör övervaka hur beslut om skyddsnivå i ett tredjeland, ett territorium eller
          en specificerad sektor i ett tredjeland eller en internationell organisation fungerar. I sina
          beslut om adekvat skyddsnivå bör kommissionen föreskriva en mekanism för periodisk
          översyn av hur de fungerar. Denna periodiska översyn bör göras i samråd med tredjelandet
          eller den internationella organisationen i fråga och bör beakta all relevant utveckling
          i tredjelandet eller den internationella organisationen.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                    KSM/cwt                        38
                                                  DGD 2                                               SV
 ---pagebreak--- (70)      Kommissionen bör även kunna konstatera att ett tredjeland eller ett territorium eller en
          specificerad sektor inom ett tredjeland, eller en internationell organisation, inte längre
          säkerställer en adekvat dataskyddsnivå. Följaktligen bör överföringar av personuppgifter
          till det tredjelandet eller den internationella organisationen förbjudas om inte kraven i detta
          direktiv rörande överföring som är föremål för lämpliga skyddsåtgärder och undantag
          i särskilda situationer är uppfyllda. Bestämmelser bör fastställas för förfaranden för samråd
          mellan kommissionen och dessa tredjeländer eller internationella organisationer.
          Kommissionen bör i god tid informera tredjelandet eller den internationella organisationen
          om skälen och inleda samråd med tredjelandet eller organisationen för att avhjälpa
          situationen.

5418/16                                                                   KSM/cwt                      39
                                                 DGD 2                                                 SV
 ---pagebreak--- (71)      Överföringar som inte grundar sig på ett sådant beslut om adekvat skyddsnivå bör endast
          tillåtas om lämpliga skyddsåtgärder garanteras i ett rättsligt bindande instrument, som
          säkerställer skyddet av personuppgifterna eller om den personuppgiftsansvarige har gjort
          en bedömning av alla omständigheterna kring en uppgiftsöverföring och på grundval av
          denna bedömning anser att lämpliga skyddsåtgärder föreligger vad avser skyddet av
          personuppgifter. Sådana rättsligt bindande instrument kan t.ex. vara rättsligt bindande
          bilaterala avtal som har ingåtts av medlemsstaterna och genomförts inom deras
          rättsordning och som kan åberopas av registrerade som omfattas av denna och som sörjer
          för att kraven i fråga om dataskydd uppfylls och att registrerades rättigheter respekteras,
          inbegripet rätten till en effektiv administrativ eller rättslig prövning. Den
          personuppgiftsansvarige bör vid bedömningen av alla omständigheter kring
          uppgiftsöverföringen kunna beakta samarbetsavtal som ingåtts mellan Europol eller
          Eurojust och tredjeländer, som medger utbyte av personuppgifter. Den
          personuppgiftsansvarige bör också kunna beakta att överföringen av personuppgifter
          kommer att omfattas av tystnadplikt och principen om specificitet, vilket säkerställer att
          personuppgifterna inte kommer att behandlas i andra syften än för överföringen. Dessutom
          bör den personuppgiftsansvarige beakta att personuppgifterna inte kommer att användas
          för att göra framställningar om, meddela eller verkställa dödsstraff eller någon form av
          grym och omänsklig behandling. Även om dessa villkor kan betraktas som tillräckliga
          skyddsåtgärder för överföringen av uppgifter bör den personuppgiftsansvarige kunna
          begära ytterligare skyddsåtgärder.

5418/16                                                                    KSM/cwt                      40
                                                  DGD 2                                             SV
 ---pagebreak--- (72)      Om det inte finns något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder
          saknas kan en överföring eller en kategori av överföringar endast äga rum i särskilda
          situationer om överföringen är nödvändig för att skydda intressen som är av grundläggande
          betydelse för den registrerade eller en annan person, eller för att skydda den registrerades
          berättigade intressen om lagstiftningen i den medlemsstat som överför personuppgifterna
          föreskriver detta, eller för att avvärja ett omedelbart och allvarligt hot mot den allmänna
          säkerheten i en medlemsstat eller i ett tredjeland, eller om det är nödvändigt i ett enskilt
          fall för att förebygga, förhindra, avslöja, utreda eller lagföra brott eller verkställa
          straffrättsliga påföljder, inklusive för att skydda mot eller förebygga och förhindra hot mot
          den allmänna säkerheten, eller i ett enskilt fall för att fastslå, göra gällande eller försvara
          rättsliga anspråk. Dessa undantag bör tolkas restriktivt och bör inte möjliggöra upprepade,
          omfattande eller strukturella överföringar av personuppgifter eller storskaliga överföringar
          av uppgifter, utan begränsas till uppgifter som är absolut nödvändiga. Sådana överföringar
          bör dokumenteras och på begäran göras tillgängliga för tillsynsmyndigheten så att man kan
          övervaka om överföringen är laglig.

5418/16                                                                     KSM/cwt                         41
                                                   DGD 2                                               SV
 ---pagebreak--- (73)      Medlemsstaternas behöriga myndigheter tillämpar gällande bilaterala eller multilaterala
          internationella avtal som ingåtts med tredjeländer på området för straffrättsligt samarbete
          och polissamarbete för utbyte av relevant information för att de ska kunna fullgöra de
          uppgifter som de anförtrotts enligt lag. Detta sker i princip genom eller åtminstone
          i samarbete med tredjeländernas berörda myndigheter, i vissa fall även i avsaknad av ett
          bilateralt eller multilateralt internationellt avtal. I specifika enskilda fall är emellertid de
          ordinarie förfaranden som kräver kontakt med myndigheten i tredjelandet ineffektiva eller
          olämpliga, framför allt för att överföringen inte skulle kunna utföras i tid eller för att
          myndigheten i tredjelandet inte respekterar rättsstatsprincipen eller internationella
          människorättsliga normer och standarder, så att medlemsstaternas behöriga myndigheter
          skulle kunna besluta att överföra personuppgifterna direkt till de mottagare som är
          etablerade i dessa tredjeländer. Detta kan till exempel vara fallet om det finns ett akut
          behov av att överföra personuppgifter för att rädda livet på en person som riskerar att
          utsättas för ett brott eller för att förhindra en överhängande fara för brottslighet, inbegripet
          terrorism. Även om denna överföring mellan behöriga myndigheter och mottagare som är
          etablerade i tredjeländer endast äger rum i särskilda enskilda fall bör det i detta direktiv
          föreskrivas villkor för att reglera sådana fall. Dessa bestämmelser bör inte betraktas som
          undantag från något befintligt bilateralt eller multilateralt internationellt avtal på området
          för straffrättsligt samarbete och polissamarbete. Dessa bestämmelser bör vara tillämpliga
          utöver direktivets övriga bestämmelser, särskilt bestämmelserna om när personuppgifter
          får behandlas och bestämmelserna i kapitel V.

5418/16                                                                      KSM/cwt                         42
                                                   DGD 2                                                SV
 ---pagebreak--- (74)      När personuppgifter förs över gränserna kan detta öka risken för att fysiska personer inte
          ska kunna utöva sina dataskyddsrättigheter för att skydda sig från olaglig användning eller
          olagligt utlämnande av dessa uppgifter. Samtidigt kan tillsynsmyndigheter finna att de inte
          är i stånd att handlägga klagomål eller genomföra utredningar avseende verksamheter
          utanför sina egna gränser. Deras strävan att samarbeta i ett gränsöverskridande
          sammanhang kan också försvåras på grund av otillräckliga preventiva eller korrigerande
          befogenheter och oenhetliga rättsliga regelverk. Närmare samarbete mellan
          tillsynsmyndigheter bör därför främjas för att hjälpa dem att utbyta information med sina
          utländska motparter.

(75)      För att skydda fysiska personer med avseende på behandling av personuppgifter är det av
          avgörande betydelse att medlemsstaterna inrättar tillsynsmyndigheter som kan utföra sitt
          uppdrag fullständigt oberoende. Tillsynsmyndigheterna bör övervaka tillämpningen av
          detta direktiv och bör bidra till enhetlig tillämpning av dessa i hela unionen, för att skydda
          fysiska personer när deras personuppgifter behandlas. För detta ändamål bör
          tillsynsmyndigheterna samarbeta såväl sinsemellan som med kommissionen.

(76)      Medlemsstaterna får anförtro en tillsynsmyndighet som de redan har inrättat i enlighet med
          förordning (EU) 2016/… * ansvaret för de uppgifter som ska utföras av de nationella
          tillsynsmyndigheter som ska inrättas i enlighet med detta direktiv.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                   KSM/cwt                      43
                                                 DGD 2                                              SV
 ---pagebreak--- (77)      Medlemsstaterna bör kunna inrätta mer än en tillsynsmyndighet för att återspegla sin
          konstitutionella, organisatoriska och administrativa struktur. Varje tillsynsmyndighet bör
          tilldelas de ekonomiska och personella resurser och lokalutrymmen samt den infrastruktur
          som krävs för att den effektivt ska kunna utföra sina uppgifter, däribland de uppgifter som
          är knutna till ömsesidigt bistånd och samarbete med övriga tillsynsmyndigheter i hela
          unionen. Varje tillsynsmyndighet bör ha en separat offentlig årlig budget, som kan ingå
          i den övergripande statsbudgeten eller nationella budgeten.

(78)      Tillsynsmyndigheterna bör vara föremål för oberoende kontroll- eller
          övervakningsmekanismer i fråga om sina utgifter, förutsatt att denna finansiella kontroll
          inte påverkar deras oberoende.

(79)      De allmänna villkoren för tillsynsmyndighetens ledamot eller ledamöter bör fastställas
          i medlemsstaternas nationella rätt och bör i synnerhet föreskriva att de ska utnämnas
          antingen av den berörda medlemsstatens parlament eller dess regering eller dess statschef
          på grundval av ett förslag från regeringen eller en minister eller parlamentet eller dess
          kammare eller av ett oberoende organ som enligt medlemsstaternas nationella rätt har
          anförtrotts utnämningen genom ett öppet förfarande. I syfte att säkerställa
          tillsynsmyndighetens oberoende bör ledamoten eller ledamöterna handla med integritet,
          bör avstå från alla handlingar som står i strid med deras tjänsteutövning och under sin
          mandattid avstå från all annan avlönad eller oavlönad yrkesverksamhet som står i strid med
          deras uppdrag. För att säkerställa tillsynsmyndighetens oberoende bör personalurvalet
          göras av tillsynsmyndigheten, och kunna innefatta ett ingripande från ett oberoende organ
          som enligt medlemsstaternas nationella rätt har anförtrotts uppgiften.

5418/16                                                                   KSM/cwt                      44
                                                 DGD 2                                                SV
 ---pagebreak--- (80)      Detta direktiv är visserligen tillämpligt på nationella domstolars och andra rättsliga
          myndigheters verksamheter, men tillsynsmyndigheterna bör inte ha behörighet att
          övervaka behandling av personuppgifter inom ramen för domstolars dömande verksamhet.
          Syftet är att garantera domarnas oberoende när de utför sina rättsliga uppgifter. Detta
          undantag bör vara inskränkt till rättsliga verksamheter i domstolsmål och inte vara
          tillämpligt på övriga verksamheter där domare i enlighet med medlemsstaternas nationella
          rätt kan medverka. Medlemsstaterna bör också kunna föreskriva att tillsynsmyndigheten
          inte ska vara behörig att övervaka andra oberoende rättsliga myndigheter som behandlar
          personuppgifter inom ramen för sin rättsliga verksamhet, som exempelvis allmänna
          åklagarmyndigheter. Under alla omständigheter är domstolarnas och andra oberoende
          rättsliga myndigheters efterlevnad av bestämmelserna i detta direktiv alltid föremål för en
          oberoende kontroll i enlighet med artikel 8.3 i stadgan.

(81)      Tillsynsmyndigheterna bör hantera klagomål som anförs av registrerade och utreda
          ärendena i fråga eller överföra dem till den behöriga övervakande myndigheten.
          Utredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den
          utsträckning som är lämplig i det enskilda fallet. Tillsynsmyndigheten bör i rimlig tid
          informera den registrerade om hur arbetet med klagomålet fortskrider och vad resultatet
          blir. Om ärendet kräver ytterligare utredning eller samordning med en annan
          tillsynsmyndighet bör den registrerade underrättas även om detta.

5418/16                                                                   KSM/cwt                   45
                                                 DGD 2                                              SV
 ---pagebreak--- (82)      För att man ska kunna övervaka efterlevnaden av och verkställa detta direktiv på ett
          effektivt, tillförlitligt och enhetligt sätt i hela unionen enligt EUF-fördraget, i enlighet med
          den tolkning som domstolen gjort, bör tillsynsmyndigheterna i alla medlemsstater ha
          samma uppgifter och effektiva befogenheter, bl.a. undersökningsbefogenheter,
          korrigerande befogenheter och rådgivande befogenheter, som utgör nödvändiga medel för
          utförandet av deras uppgifter. Emellertid bör deras befogenheter inte inkräkta på särskilda
          regler för straffrättsliga förfaranden, inbegripet utredning och lagföring av brott, eller
          domstolsväsendets oberoende. Utan att det påverkar åklagarmyndigheternas befogenheter
          enligt medlemsstaternas nationella rätt bör tillsynsmyndigheterna också ha befogenhet att
          upplysa de rättsliga myndigheterna om överträdelser av detta direktiv eller delta i rättsliga
          förfaranden. Tillsynsmyndigheternas befogenheter bör utövas i överensstämmelse med
          lämpliga rättssäkerhetsgarantier som fastställs i unionsrätten och i medlemsstaternas
          nationella rätt samt opartiskt, korrekt och inom rimlig tid. Framför allt bör varje åtgärd
          vara lämplig, nödvändig och proportionell för att garantera efterlevnad av detta direktiv,
          med beaktande av omständigheterna i varje enskilt fall, samt respektera varje persons rätt
          att bli hörd innan några enskilda åtgärder som påverkar den berörda personen negativt
          vidtas, och utformas så att onödiga kostnader och alltför stora olägenheter för denne
          undviks. Undersökningsbefogenheten när det gäller tillträde till lokaler bör utövas
          i enlighet med särskilda krav i medlemsstaternas nationella rätt, såsom kravet på att
          inhämta förhandstillstånd från rättsliga myndigheter. Antagande av ett rättsligt bindande
          beslut bör bli föremål för domstolsprövning i den medlemsstat där den tillsynsmyndighet
          som antog beslutet är belägen.

5418/16                                                                    KSM/cwt                      46
                                                  DGD 2                                                SV
 ---pagebreak--- (83)      Tillsynsmyndigheterna bör bistå varandra när de utför sina uppgifter och ge ömsesidigt
          bistånd för att säkerställa att de bestämmelser som antas i enlighet med detta direktiv
          efterlevs och tillämpas på ett enhetligt sätt.

(84)      Styrelsen bör bidra till detta direktivs enhetliga tillämpning i hela unionen, bl.a. genom att
          lämna råd till kommissionen och främja samarbetet mellan tillsynsmyndigheterna i hela
          unionen.

(85)      Alla registrerade bör ha rätt att lämna in ett klagomål till en enda tillsynsmyndighet och till
          ett effektivt rättsmedel i enlighet med artikel 47 i stadgan, om den registrerade anser att
          hans eller hennes rättigheter enligt de bestämmelser som antas i enlighet med detta direktiv
          har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis
          avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den
          registrerades rättigheter. Utredningen av ett klagomål bör, med förbehåll för eventuell
          domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet. Den behöriga
          tillsynsmyndigheten bör i rimlig tid informera den registrerade om hur arbetet med
          klagomålet fortskrider och vad resultatet blir. Om ärendet kräver ytterligare utredning eller
          samordning med en annan tillsynsmyndighet bör den registrerade underrättas även om
          detta. För att förenkla inlämnandet av klagomål bör varje tillsynsmyndighet vidta åtgärder,
          såsom att tillhandahålla ett formulär för inlämnande av klagomål som även kan fyllas
          i elektroniskt, utan att andra kommunikationsformer utesluts.

5418/16                                                                   KSM/cwt                       47
                                                  DGD 2                                             SV
 ---pagebreak--- (86)      Varje fysisk eller juridisk person bör ha rätt till ett effektivt rättsmedel vid behörig
          nationell domstol mot en tillsynsmyndighets beslut som har rättsliga följder för denna
          person. Ett sådant beslut avser särskilt tillsynsmyndighetens utövande av utrednings-,
          korrigerings- och godkännandebefogenheter eller avvisande av eller avslag på klagomål.
          Denna rätt inbegriper dock inte tillsynsmyndigheters övriga åtgärder som inte är rättsligt
          bindande, såsom yttranden som avgetts eller rådgivning som tillhandahållits av
          tillsynsmyndigheten. Talan mot en tillsynsmyndighet bör väckas vid domstol i den
          medlemsstat där tillsynsmyndigheten är etablerad och bör prövas i enlighet med den
          nationella rätten i den medlemsstaten. Dessa domstolar bör ha fullständig behörighet,
          vilket bör omfatta behörighet att rättsligt eller faktiskt pröva alla frågor som rör de tvister
          som anhängiggjorts vid dem.

(87)      Om en registrerad anser att hans eller hennes rättigheter enligt detta direktiv har kränkts
          bör han eller hon ha rätt att ge ett organ som syftar till att skydda registrerades rättigheter
          och intressen vad gäller skyddet av deras personuppgifter, och som inrättats i enlighet med
          den nationella rätten i en medlemsstat, i uppdrag att på hans eller hennes vägnar lämna in
          ett klagomål till en tillsynsmyndighet och utöva rätten till rättsmedel. De registrerades rätt
          att bli företrädda bör inte påverka medlemsstatens nationella processrätt enligt vilken det
          kan vara obligatoriskt att registrerade företräds inför nationell domstol av en advokat enligt
          definitionen i rådets direktiv 77/249/EEG 1.

1
       Rådets direktiv 77/249/EEG av den 22 mars 1977 om underlättande för advokater att
       effektivt begagna sig av friheten att tillhandahålla tjänster (EGT L 78, 26.3.1977, s. 17).

5418/16                                                                     KSM/cwt                     48
                                                  DGD 2                                               SV
 ---pagebreak--- (88)      Personer som lider skada till följd av behandling som står i strid med de bestämmelser som
          antas i enlighet med detta direktiv bör få ersättning av den personuppgiftsansvarige eller av
          någon annan myndighet som är behörig enligt medlemsstaternas nationella rätt. Begreppet
          skada bör tolkas brett mot bakgrund av domstolens rättspraxis och på ett sätt som fullt ut
          återspeglar detta direktivs mål. Detta påverkar inte några skadeståndsanspråk till följd av
          överträdelser av andra bestämmelser i unionsrätten eller i medlemsstaternas nationella rätt.
          Vid hänvisning till behandling som är olaglig eller står i strid med de bestämmelser som
          antas i enlighet med detta direktiv omfattas även behandling som inte är
          i överensstämmelse med de genomförandeakter som antagits i enlighet med detta direktiv.
          Registrerade bör få full och effektiv ersättning för den skada de lidit.

(89)      Om någon fysisk eller juridisk person överträder detta direktiv bör detta leda till
          sanktioner, oavsett om personen i fråga omfattas av privaträtt eller offentlig rätt.
          Medlemsstaterna bör säkerställa att sanktioner är effektiva, proportionella och
          avskräckande och bör vidta alla åtgärder som krävs för att sanktionerna ska verkställas.

5418/16                                                                   KSM/cwt                       49
                                                 DGD 2                                            SV
 ---pagebreak--- (90)      För att säkerställa enhetliga villkor för genomförandet av detta direktiv bör kommissionen
          tilldelas genomförandebefogenheter vad gäller adekvata skyddsnivåer i ett tredjeland, ett
          territorium eller en specificerad sektor inom ett tredjeland eller en internationell
          organisation och för format och förfaranden för ömsesidigt bistånd samt
          tillvägagångssätten för elektroniskt utbyte av information mellan tillsynsmyndigheter samt
          mellan tillsynsmyndigheter och styrelsen. Dessa befogenheter bör utövas i enlighet med
          Europaparlamentets och rådets förordning (EU) nr 182/2011 1.

(91)      Mot bakgrund av att dessa rättsakter har allmän räckvidd bör granskningsförfarandet
          användas vid antagandet av genomförandeakter om adekvata skyddsnivåer i ett tredjeland,
          ett territorium eller en specificerad sektor inom detta tredjeland eller en internationell
          organisation och om format och förfaranden för ömsesidigt bistånd samt
          tillvägagångssätten för elektroniskt utbyte av information mellan tillsynsmyndigheter samt
          mellan tillsynsmyndigheter och styrelsen.

(92)      Kommissionen bör när tvingande skäl till skyndsamhet föreligger i vederbörligen
          motiverade fall anta omedelbart tillämpliga genomförandeakter avseende ett tredjeland, ett
          territorium eller en specificerad sektor i ett tredjeland eller en internationell organisation
          där en adekvat skyddsnivå inte längre kan säkerställas.

1
       Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om
       fastställande av allmänna regler och principer för medlemsstaternas kontroll av
       kommissionens utövande av sina genomförandebefogenheter (EUT L 55, 28.2.2011, s. 13).

5418/16                                                                    KSM/cwt                         50
                                                  DGD 2                                                SV
 ---pagebreak--- (93)      Eftersom målen för detta direktiv, nämligen att skydda fysiska personers grundläggande
          rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, och för att
          säkerställa ett fritt utbyte av personuppgifter mellan behöriga myndigheter inom unionen,
          inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare på grund av
          åtgärdens omfattning eller verkningar, kan uppnås bättre på unionsnivå, kan unionen vidta
          åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i EU-fördraget. I enlighet med
          proportionalitetsprincipen i samma artikel går detta direktiv inte utöver vad som är
          nödvändigt för att uppnå dessa mål.

5418/16                                                                     KSM/cwt                    51
                                                   DGD 2                                             SV
 ---pagebreak--- (94)      Särskilda bestämmelser i unionsakter på området för straffrättsligt samarbete och
          polissamarbete som antagits före dagen för antagandet av detta direktiv, och som reglerar
          behandlingen av personuppgifter mellan medlemsstaterna eller tillträdet för utsedda
          myndigheter i medlemsstaterna till informationssystem som inrättats i enlighet med
          fördragen, bör kvarstå oförändrade, till exempel de särskilda bestämmelser om skydd av
          personuppgifter som tillämpas i enlighet med rådets beslut 2008/615/RIF 1, eller artikel 23
          i konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens
          medlemsstater 2. Eftersom artikel 8 i stadgan och artikel 16 i EUF-fördraget kräver att den
          grundläggande rätten till skydd av personuppgifter bör säkerställas på ett enhetligt sätt
          i hela unionen bör kommissionen utvärdera situationen vad gäller förhållandet mellan detta
          direktiv och rättsakter, antagna före dagen för antagandet av detta direktiv, som reglerar
          behandling av personuppgifter mellan medlemsstaterna eller tillträde för utsedda
          myndigheter i medlemsstater till informationssystem som inrättats i enlighet med
          fördragen, i syfte att bedöma om dessa särskilda bestämmelser behöver anpassas till detta
          direktiv. Vid behov bör kommissionen lägga fram förslag i syfte att garantera enhetliga
          rättsregler angående behandlingen av personuppgifter.

1
       Rådets beslut 2008/615/RIF av den 23 juni 2008 om ett fördjupat gränsöverskridande
       samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet
       (EUT L 210, 6.8.2008, s. 1).
2
       Rådets akt av den 29 maj 2000 om att i enlighet med artikel 34 i Fördraget om Europeiska
       unionen upprätta konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska
       unionens medlemsstater (EGT C 197, 12.7.2000, s. 1).

5418/16                                                                  KSM/cwt                       52
                                                 DGD 2                                                SV
 ---pagebreak--- (95)      För att säkerställa ett övergripande och enhetligt skydd av personuppgifter i unionen bör
          internationella avtal som medlemsstaterna ingått före dagen för detta direktivs
          ikraftträdande, och som överensstämmer med relevantunionsrätt som var tillämplig före
          den dagen, fortsätta att gälla till dess att de ändras, ersätts eller upphävs.

(96)      Medlemsstaterna bör medges en period på högst två år från dagen för ikraftträdandet av
          detta direktiv för att införliva det. Behandling som redan pågår den dagen bör bringas
          i överensstämmelse med detta direktiv inom en period av två år från det att detta direktiv
          träder i kraft. I fall där sådan behandling överensstämmer med unionsrätt som var
          tillämplig före dagen för ikraftträdandet av detta direktiv bör dock inte kraven i detta
          direktiv rörande förhandssamråd med tillsynsmyndigheten gälla för behandling som redan
          pågick vid den tidpunkten, eftersom dessa krav, p.g.a. sin natur, är sådana att de ska
          uppfyllas före själva behandlingen. Om medlemsstaterna tillämpar den längre
          genomförandeperioden som löper ut sju år efter detta direktivs ikraftträdande för
          fullgörandet av loggningsskyldigheterna för automatiserade behandlingssystem som
          inrättats före den dagen bör den personuppgiftsansvarige eller personuppgiftsbiträdet ha
          infört effektiva metoder, t.ex. loggar eller andra typer av register, för att visa att
          behandlingen av uppgifterna är laglig, möjliggöra egenkontroll samt säkerställa
          dataintegritet och datasäkerhet.

5418/16                                                                     KSM/cwt                    53
                                                   DGD 2                                             SV
 ---pagebreak--- (97)      Detta direktiv påverkar inte bestämmelserna om bekämpande av sexuella övergrepp mot
          barn, sexuell exploatering av barn och barnpornografi i Europaparlamentets och rådets
          direktiv 2011/93/EU 1.

(98)      Rambeslut 2008/977/RIF bör därför upphävas.

(99)      I enlighet med artikel 6a i protokoll nr 21 om Förenade kungarikets och Irlands ställning
          med avseende på området med frihet, säkerhet och rättvisa, fogat till EU-fördraget och
          EUF-fördraget, är Förenade kungariket och Irland inte bundna av de bestämmelser i detta
          direktiv som avser medlemsstaternas behandling av personuppgifter när de bedriver
          verksamhet som omfattas av avdelning V kapitel 4 eller 5 i tredje delen av EUF-fördraget
          i det fall då Förenade kungariket och Irland inte är bundna av bestämmelserna om
          formerna för straffrättsligt samarbete eller polissamarbete inom ramen för vilka de
          bestämmelser måste iakttas som fastställs på grundval av artikel 16 i EUF-fördraget.

1
       Europaparlamentets och rådets direktiv 2011/93/EU av den 13 december 2011 om
       bekämpande av sexuella övergrepp mot barn, sexuell exploatering av barn och
       barnpornografi samt om ersättande av rådets rambeslut 2004/68/RIF (EUT L 335,
       17.12.2011, s. 1).

5418/16                                                                 KSM/cwt                       54
                                                DGD 2                                              SV
 ---pagebreak--- (100)     I enlighet med artiklarna 2 och 2a i protokoll nr 22 om Danmarks ställning, fogat till
          EU-fördraget och EUF-fördraget, är Danmark inte bundet av reglerna i detta direktiv och
          omfattas inte av den tillämpning av regler som avser medlemsstaternas behandling av
          personuppgifter när dessa utövar verksamhet som omfattas av tillämpningsområdet för
          kapitlen 4 och 5 i avdelning V i tredje delen i EUF-fördraget. Eftersom detta direktiv
          bygger på av Schengenregelverket, som omfattas av avdelning V i tredje delen av
          EUF-fördraget, ska Danmark i enlighet med artikel 4 i protokollet inom en tid av
          sex månader efter antagandet av detta direktiv besluta huruvida landet ska genomföra det
          i sin nationella lagstiftning.

(101)     När det gäller Island och Norge utgör detta direktiv en vidareutveckling av bestämmelserna
          i Schengenregelverket i enlighet med avtalet mellan Europeiska unionens råd och
          Republiken Island och Konungariket Norge om dessa staters associering till
          genomförandet, tillämpningen och utvecklingen av Schengenregelverket 1.

(102)     När det gäller Schweiz utgör detta direktiv, i enlighet med avtalet mellan Europeiska
          unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska
          edsförbundets associering till genomförandet, tillämpningen och utvecklingen av
          Schengenregelverket, en utveckling av bestämmelserna i Schengenregelverket 2.

1
        EGT L 176, 10.7.1999, s. 36.
2
        EUT L 53, 27.2.2008, s. 52.

5418/16                                                                  KSM/cwt                   55
                                                DGD 2                                              SV
 ---pagebreak--- (103)     När det gäller Liechtenstein utgör detta direktiv en vidareutveckling av bestämmelserna
          i Schengenregelverket i enlighet med protokollet mellan Europeiska unionen, Europeiska
          gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om
          Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska
          gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till
          genomförandet, tillämpningen och utvecklingen av Schengenregelverket 1.

(104)     Detta direktiv respekterar de grundläggande rättigheterna och iakttar de principer som
          erkänns i stadgan som erkänns i EUF-fördraget, särskilt rätten till respekt för privatlivet
          och familjelivet, rätten till skydd av personuppgifter, rätt till ett effektivt rättsmedel och till
          en opartisk domstol. De inskränkningar som gjorts av dessa rättigheter överensstämmer
          med artikel 52.1 i stadgan eftersom de är nödvändiga för att uppnå av unionen erkända mål
          av allmänt intresse eller för att skydda andras rättigheter och friheteter.

(105)     I enlighet med den gemensamma politiska förklaringen av den 28 september 2011 från
          medlemsstaterna och kommissionen om förklarande dokument, har medlemsstaterna åtagit
          sig att, i de fall detta är berättigat, låta anmälan av införlivandeåtgärder åtföljas av ett eller
          flera dokument som förklarar förhållandet mellan de olika delarna i direktivet och
          motsvarande delar i de nationella införlivandeåtgärderna. Med avseende på detta direktiv
          anser lagstiftaren att översändandet av sådana dokument är berättigat.

1
        EUT L 160, 18.6.2011, s. 21.

5418/16                                                                      KSM/cwt                      56
                                                   DGD 2                                                SV
 ---pagebreak--- (106)     Europeiska datatillsynsmannen har hörts i enlighet med artikel 28.2 i Europaparlamentets
          och rådets förordning (EG) nr 45/2001 och avgav ett yttrande den 7 mars 2012 1.

(107)     Detta direktiv bör inte hindra medlemsstaterna från att i nationella straffprocessuella regler
          genomföra bestämmelser om registrerades utövande av sina rättigheter vad gäller
          information, tillgång till och rättelse, radering av personuppgifter och begränsning av
          behandling i samband med straffrättsliga förfaranden samt eventuella begränsningar av
          dessa rättigheter.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1
        EGT C 192, 30.6.2012, s. 7.

5418/16                                                                   KSM/cwt                     57
                                                 DGD 2                                              SV
 ---pagebreak---                                              KAPITEL I
                            ALLMÄNNA BESTÄMMELSER

                                                  Artikel 1
                                               Syfte och mål

1.        I detta direktiv fastställs bestämmelser om skydd för fysiska personer med avseende på
          behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga,
          förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder,
          inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.

2.        Enligt detta direktiv ska medlemsstaterna

          a)    skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till
                skydd av personuppgifter, och

          b)    säkerställa att behöriga myndigheters utbyte av personuppgifter inom unionen, när
                sådant utbyte krävs enligt unionsrätten eller medlemsstaternas nationella rätt, varken
                begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende
                på behandlingen av personuppgifter.

3.        Detta direktiv ska inte hindra medlemsstaterna från att föreskriva starkare skyddsåtgärder
          än de som fastställs i detta direktiv för skyddet av den registrerades rättigheter och friheter
          med avseende på behöriga myndigheters behandling av personuppgifter.

5418/16                                                                      KSM/cwt                   58
                                                   DGD 2                                               SV
 ---pagebreak---                                                  Artikel 2
                                           Tillämpningsområde

1.        Detta direktiv ska tillämpas på behandling av personuppgifter som utförs av behöriga
          myndigheter för de ändamål som anges i artikel 1.1.

2.        Detta direktiv ska tillämpas på behandling av personuppgifter som helt eller delvis företas
          på automatiserad väg samt på annan behandling än automatiserad av personuppgifter som
          ingår i eller kommer att ingå i ett register.

3.        Detta direktiv tillämpas inte på behandling av personuppgifter

          a)    som utgör ett led i en verksamhet som inte omfattas av unionsrätten,

          b)    som utförs av unionens institutioner, organ och byråer.

                                                 Artikel 3
                                               Definitioner

I detta direktiv avses med

1.        personuppgifter: varje upplysning som avser en identifierad eller identifierbar enskild
          person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person
          som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare som
          ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer,
          eller till en eller flera faktorer som är specifika för den fysiska personens fysiska,
          fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,

5418/16                                                                    KSM/cwt                    59
                                                   DGD 2                                            SV
 ---pagebreak--- 2.        behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller
          uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom
          insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring,
          framtagning, läsning, användning, utlämning genom överföring, spridning eller
          tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller
          förstöring,

3.        begränsning av behandling: markering av lagrade personuppgifter med syftet att begränsa
          behandlingen av dessa i framtiden,

4.        profilering: varje form av automatiserad behandling av personuppgifter som består i att
          dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk
          person, i synnerhet för att analysera eller förutsäga aspekter rörande denna fysiska persons
          arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen,
          pålitlighet, beteende, vistelseort eller förflyttningar,

5.        pseudonymisering: behandling av personuppgifter på ett sätt som innebär att
          personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande
          uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat
          och är föremål för tekniska och organisatoriska åtgärder som säkerställer att
          personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person,

6.        register: en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda
          kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av
          funktionella eller geografiska förhållanden,

5418/16                                                                    KSM/cwt                    60
                                                   DGD 2                                              SV
 ---pagebreak--- 7.        behörig myndighet:

          a)    en offentlig myndighet som har behörighet att förebygga, förhindra, utreda, avslöja
                eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller
                förebygga hot mot den allmänna säkerheten, eller

          b)    annat organ eller annan enhet som genom medlemsstaternas nationella rätt har
                anförtrotts myndighetsutövning för att förebygga, förhindra, utreda, avslöja eller
                lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller
                förebygga och förhindra hot mot den allmänna säkerheten,

8.        personuppgiftsansvarig: en behörig myndighet som ensam eller tillsammans med andra
          bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen
          och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella
          rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses
          föreskrivs i unionsrätten eller medlemsstaternas nationella rätt,

9.        personuppgiftsbiträde: en fysisk eller juridisk person, myndighet, institution eller annat
          organ som behandlar personuppgifter för den personuppgiftsansvariges räkning,

10.       mottagare: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ
          till vilket personuppgifterna utlämnas, vare sig det är en tredje part eller inte; offentliga
          myndigheter som kan komma att motta personuppgifter inom ramen för ett särskilt
          uppdrag i enlighet med unionsrätten eller medlemsstaternas nationella rätt ska dock inte
          betraktas som mottagare; offentliga myndigheters behandling av dessa uppgifter ska vara
          förenlig med tillämpliga bestämmelser för dataskydd beroende på behandlingens syfte,

5418/16                                                                     KSM/cwt                       61
                                                  DGD 2                                                SV
 ---pagebreak--- 11.       personuppgiftsincident: en säkerhetsincident som leder till oavsiktlig eller olaglig
          förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de
          personuppgifter som överförts, lagrats eller på annat sätt behandlats,

12.       genetiska uppgifter: alla personuppgifter som rör nedärvda eller förvärvade genetiska
          kännetecken en fysisk person, vilka ger unik information om denna fysiska persons
          fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från
          den fysiska personen i fråga,

13.       biometriska uppgifter: personuppgifter som erhållits genom en särskild teknisk behandling
          som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som
          möjliggör eller bekräftar unik identifiering av denna fysiska person, såsom ansiktsbilder
          eller fingeravtrycksuppgifter,

14.       uppgifter om hälsa: personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa,
          inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om
          dennes hälsostatus,

15.       tillsynsmyndighet: en oberoende offentlig myndighet som är utsedd av en medlemsstat
          i enlighet med artikel 41,

16.       internationell organisation: en organisation och dess underställda organ som lyder under
          folkrätten eller ett annat organ som inrättats genom eller på grundval av en
          överenskommelse mellan två eller flera länder,

5418/16                                                                    KSM/cwt                      62
                                                  DGD 2                                               SV
 ---pagebreak---                                            KAPITEL II
                                           PRINCIPER

                                               Artikel 4
                            Principer för behandling av personuppgifter

1.        Medlemsstaterna ska föreskriva att personuppgifter ska

          a)   behandlas på ett lagligt och korrekt sätt,

          b)   samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte
               behandlas på ett sätt som står i strid med dessa ändamål,

          c)   vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka
               de behandlas,

          d)   vara korrekta och, om nödvändigt, uppdaterade; alla rimliga åtgärder måste vidtas för
               att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för
               vilka de behandlas raderas eller rättas utan dröjsmål,

          e)   inte förvaras i en form som möjliggör identifiering av den registrerade under en
               längre tid än vad som är nödvändigt för de ändamål för vilka de behandlas,

          f)   behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna,
               inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring
               eller skada genom olyckshändelse, med användning av lämpliga tekniska eller
               organisatoriska åtgärder.

5418/16                                                                  KSM/cwt                        63
                                                DGD 2                                              SV
 ---pagebreak--- 2.        Behandling som utförs av samma eller en annan personuppgiftsansvarig för något annat
          ändamål som anges i artikel 1.1 än det för vilket personuppgifterna samlas in ska tillåtas
          om

          a)    den personuppgiftsansvarige i enlighet med unionsrätten eller medlemsstaternas
                nationella rätt är bemyndigad att behandla sådana personuppgifter för ett sådant
                ändamål, och

          b)    behandlingen är nödvändig och står i proportion till detta andra ändamål i enlighet
                med unionsrätten eller medlemsstaternas nationella rätt.

3.        Behandling som utförs av samma eller en annan personuppgiftsansvarig kan inbegripa
          arkivändamål av allmänt intresse och vetenskaplig, statistisk eller historisk användning för
          de ändamål som anges i artikel 1.1 under förutsättning att det finns lämpliga
          skyddsåtgärder för de registrerades rättigheter och friheteter.

4.        Den personuppgiftsansvarige ska ansvara för, och kunna visa efterlevnad av,
          punkterna 1, 2 och 3.

                                                Artikel 5
                                  Tidsgränser för lagring och översyn

Medlemsstaterna ska föreskriva att lämpliga tidsgränser fastställs för radering av personuppgifter
eller för periodisk översyn av behovet av att lagra personuppgifter. Procedurrelaterade åtgärder ska
säkerställa att tidsgränserna efterlevs.

5418/16                                                                     KSM/cwt                    64
                                                 DGD 2                                             SV
 ---pagebreak---                                                  Artikel 6
                           Åtskillnad mellan olika kategorier av registrerade

Medlemsstaterna ska föreskriva att den personuppgiftsansvarige, i tillämpliga fall och så långt det är
möjligt, ska göra en klar åtskillnad mellan personuppgifter som rör olika kategorier av registrerade,
såsom

a)        personer avseende vilka det finns tungt vägande skäl att anta att de har begått eller är på
          väg att begå ett brott,

b)        personer som dömts för brott,

c)        brottsoffer eller personer avseende vilka det finns vissa omständigheter som ger anledning
          att anta att de kan vara brottsoffer, och

d)        andra som berörs av ett brott, såsom personer som kan komma att kallas att vittna
          i samband med brottsutredningar eller senare straffrättsliga förfaranden, personer som kan
          ge information om brott eller personer med kontakter eller band till någon av de personer
          som avses i a och b.

                                                 Artikel 7
          Åtskillnad mellan personuppgifter och kontroll av kvaliteten på personuppgifterna

1.        Medlemsstaterna ska föreskriva att personuppgifter som grundar sig på fakta så långt det är
          möjligt ska åtskiljas från personuppgifter som grundar sig på personliga bedömningar.

5418/16                                                                   KSM/cwt                       65
                                                  DGD 2                                            SV
 ---pagebreak--- 2.        Medlemsstaterna ska föreskriva att de behöriga myndigheterna ska vidta alla rimliga
          åtgärder för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte
          överförs eller görs tillgängliga. Varje behörig myndighet ska därför i den mån det är
          praktiskt möjligt kontrollera kvaliteten på personuppgifterna innan dessa överförs eller
          görs tillgängliga. Vid all överföring av personuppgifter ska, så långt det är möjligt, sådan
          nödvändig information läggas till som gör det möjligt för den mottagande behöriga
          myndigheten att bedöma i vilken grad personuppgifterna är korrekta, fullständiga och
          tillförlitliga samt i vilken utsträckning de är aktuella.

3.        Om det visar sig att felaktiga personuppgifter har överförts eller att personuppgifter
          olagligen har överförts ska mottagaren omedelbart underrättas om detta. I sådana fall ska
          personuppgifterna rättas eller raderas eller behandlingen begränsas i enlighet med
          artikel 16.

                                                 Artikel 8
                                  Laglig behandling av personuppgifter

1.        Medlemsstaterna ska föreskriva att behandling ska vara laglig endast om och i den mån
          behandlingen är nödvändig för att utföra en uppgift som utförs av en behörig myndighet
          för de ändamål som anges i artikel 1.1 och som sker på grundval av unionsrätt eller
          medlemsstaternas nationella rätt.

2.        Medlemsstaternas nationella rätt som reglerar behandling inom tillämpningsområdet för
          detta direktiv ska åtminstone specificera syftet med behandlingen, vilka personuppgifter
          som ska behandlas och behandlingens ändamål.

5418/16                                                                     KSM/cwt                      66
                                                   DGD 2                                              SV
 ---pagebreak---                                                 Artikel 9
                               Särskilda villkor för uppgiftsbehandling

1.        Personuppgifter som samlas in av behöriga myndigheter för de ändamål som anges
          i artikel 1.1. ska inte behandlas för andra ändamål än de som anges i artikel 1.1 såvida inte
          sådan behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt. När
          personuppgifter behandlas för andra ändamål ska förordning (EU) 2016/… * tillämpas,
          såvida inte behandlingen utförs som ett led i en verksamhet som inte omfattas av
          unionsrätten.

2.        Om de behöriga myndigheterna enligt medlemsstaternas nationella rätt anförtros utförandet
          av andra uppgifter än de som utförs för de ändamål som anges i artikel 1.1, ska förordning
          (EU) 2016/…* vara tillämplig på behandlingen för dessa ändamål, inklusive för
          arkivändamål av allmänt intresse för historiska eller vetenskapliga forskningsändamål eller
          för statistiska ändamål, såvida inte behandlingen utförs som ett led i en verksamhet som
          inte omfattas av unionsrätten.

3.        Om den unionsrätt eller nationella rätt som är tillämplig på den överförande behöriga
          myndigheten fastställer särskilda villkor för behandling, ska medlemsstaten föreskriva att
          den överförande behöriga myndigheten ska informera mottagaren om dessa särskilda
          villkor och om kravet att respektera dem.

4.        Medlemsstaterna ska föreskriva att den överförande behöriga myndigheten inte ska
          tillämpa villkor enligt punkt 3 på mottagare i andra medlemsstater eller på byråer och
          organ som inrättats i enlighet med avdelning V kapitlen 4 och 5 i EUF-fördraget, med
          undantag för de villkor som är tillämpliga på motsvarande överföringar av uppgifter inom
          den överförande behöriga myndighetens medlemsstat.

*
      EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                   KSM/cwt                    67
                                                 DGD 2                                             SV
 ---pagebreak---                                                 Artikel 10
                          Behandling av särskilda kategorier av personuppgifter

Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös
eller filosofisk övertygelse eller medlemskap i fackförening, samt behandling av genetiska
uppgifter, biometriska uppgifter för att unikt identifiera en fysisk person eller uppgifter om hälsa
eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara tillåten endast om det
är absolut nödvändigt och under förutsättning att det finns lämpliga skyddsåtgärder för den
registrerades rättigheter och friheteter och endast

a)        om behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt,

b)        för att skydda intressen som är av grundläggande betydelse för den registrerade eller en
          annan fysisk person, eller

c)        om behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den
          registrerade.

                                                Artikel 11
                                Automatiserat individuellt beslutsfattande

1.        Medlemsstaterna ska föreskriva att beslut som enbart grundas på automatiserad
          behandling, inbegripet profilering, som har negativa rättsliga följder för den registrerade
          eller i betydande grad påverkar honom eller henne, ska förbjudas om de inte är tillåtna
          enligt unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige
          lyder under och som föreskriver lämpliga skyddsåtgärder för den registrerades rättigheter
          och friheteter, åtminstone rätten till mänskligt ingripande från den
          personuppgiftsansvariges sida.

5418/16                                                                  KSM/cwt                        68
                                                 DGD 2                                               SV
 ---pagebreak--- 2.        Beslut som avses i punkt 1 i den här artikeln får inte grundas på de särskilda kategorier av
          personuppgifter som avses i artikel 10, såvida inte lämpliga åtgärder för att skydda den
          registrerades rättigheter och friheter samt berättigade intressen har vidtagits.

3.        Profilering som leder till diskriminering av fysiska personer på grundval av särskilda
          kategorier av personuppgifter enligt artikel 10 ska förbjudas i enlighet med unionsrätten.

                                           KAPITEL III
                    DEN REGISTRERADES RÄTTIGHETER

                                                Artikel 12
              Information om och villkor för utövandet av den registrerades rättigheter

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska vidta rimliga åtgärder
          för att tillhandahålla den registrerade all information som avses i artikel 13 och alla
          meddelanden enligt artiklarna 11, 14–18 och 31 som avser behandling i en koncis,
          begriplig och lättillgänglig form och på ett klart och tydligt språk. Informationen ska
          tillhandahållas på lämpligt sätt, t.ex. elektroniskt. Som en allmän regel ska den
          personuppgiftsansvarige tillhandahålla informationen i samma format som begäran.

2.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska underlätta utövandet
          av den registrerades rättigheter enligt artiklarna 11 och 14–18.

5418/16                                                                    KSM/cwt                     69
                                                  DGD 2                                             SV
 ---pagebreak--- 3.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige utan onödigt dröjsmål
          skriftligen ska informera den registrerade om uppföljningen av hans eller hennes begäran.

4.        Medlemsstaterna ska föreskriva att den information som tillhandahålls enligt artikel 13 och
          alla meddelanden eller åtgärder som vidtas enligt artiklarna 11, 14–18 och 31 ska
          tillhandahållas kostnadsfritt. Om en registrerads begäran är uppenbart ogrundad eller
          orimlig, särskilt på grund av att den är repetitiv, får den personuppgiftsansvarige antingen

          a)     ta ut en rimlig avgift med beaktande av de administrativa kostnaderna för
                 tillhandahållandet av informationen eller meddelandet eller vidtagandet av den åtgärd
                 som begärs, eller

          b)     vägra att tillmötesgå begäran.

          Den personuppgiftsansvarige ska visa att begäran är uppenbart ogrundad eller orimlig.

5.        Om den personuppgiftsansvarige har rimliga skäl att betvivla identiteten hos den fysiska
          person som lämnar in en begäran enligt artiklarna 14 eller 16, får den
          personuppgiftsansvarige begära att ytterligare information som är nödvändig för att
          bekräfta den registrerades identitet ska tillhandahållas.

                                                  Artikel 13
               Information som ska göras tillgänglig för eller lämnas till den registrerade

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska göra åtminstone
          följande information tillgänglig för den registrerade:

          a)     Den personuppgiftsansvariges identitet och kontaktuppgifter.

5418/16                                                                  KSM/cwt                     70
                                                   DGD 2                                          SV
 ---pagebreak---           b)    Dataskyddsombudets kontaktuppgifter, i tillämpliga fall.

          c)    Ändamålen med den behandling för vilken personuppgifterna är avsedda.

          d)    Rätten att lämna in klagomål till en tillsynsmyndighet samt tillsynsmyndighetens
                kontaktuppgifter.

          e)    Rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller
                radering av personuppgifter och begränsning av behandlingen av personuppgifter
                som rör den registrerade.

2.        Utöver den information som avses i punkt 1, ska medlemsstaterna i lag föreskriva att den
          personuppgiftsansvarige i specifika fall ska lämna följande information till den
          registrerade, för att göra det möjligt för honom eller henne att utöva sina rättigheter:

          a)    Behandlingens rättsliga grund.

          b)    Den period under vilken personuppgifterna kommer att lagras eller, om det inte är
                möjligt, de kriterier som används för att fastställa denna period.

          c)    I tillämpliga fall, kategorierna av mottagare av personuppgifterna, inbegripet
                i tredjeländer eller internationella organisationer.

          d)    Vid behov ytterligare information, i synnerhet om personuppgifterna samlas in utan
                den registrerades vetskap.

5418/16                                                                   KSM/cwt                    71
                                                  DGD 2                                              SV
 ---pagebreak--- 3.        Medlemsstaterna får anta lagstiftningsåtgärder som gör att informationen till den
          registrerade enligt punkt 2 senareläggs, begränsas eller utelämnas, i den utsträckning och
          så länge som en sådan åtgärd är nödvändig och proportionell i ett demokratiskt samhälle
          med hänsyn tagen till den berörda fysiska personens grundläggande rättigheter och
          berättigade intressen, i syfte att

          a)    undvika att hindra officiella eller rättsliga utredningar, undersökningar eller
                förfaranden,

          b)    undvika menlig inverkan på förebyggande, förhindrande, upptäckt, utredning eller
                lagföring av brott eller verkställighet av straffrättsliga påföljder,

          c)    skydda den allmänna säkerheten,

          d)    skydda den nationella säkerheten,

          e)    skydda andra personers rättigheter och friheteter.

4.        Medlemsstaterna får anta lagstiftningsåtgärder för att fastställa kategorier av behandling
          som helt eller delvis kan omfattas av punkt 3 a-e.

                                                Artikel 14
                         Den registrerades rätt till tillgång till personuppgifter

Med förbehåll för artikel 15 ska medlemsstaterna föreskriva att den registrerade ska ha rätt att av
den personuppgiftsansvarige få bekräftelse av huruvida personuppgifter som rör honom eller henne
håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

a)        Ändamålen med behandlingen och dess rättsliga grund.

5418/16                                                                     KSM/cwt                    72
                                                  DGD 2                                              SV
 ---pagebreak--- b)        De kategorier av personuppgifter som behandlingen gäller.

c)        De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats ut,
          särskilt mottagare i tredjeländer eller internationella organisationer.

d)        Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras eller,
          om det inte är möjligt, de kriterier som används för att fastställa denna period.

e)        Rätten att av den personuppgiftsansvarige begära rättelse eller radering av personuppgifter
          eller begränsning av behandling av personuppgifter som rör den registrerade.

f)        Rätten att lämna in klagomål till tillsynsmyndigheten samt tillsynsmyndighetens
          kontaktuppgifter.

g)        Information om vilka personuppgifter som håller på att behandlas och all tillgänglig
          information om varifrån dessa uppgifter härstammar.

                                                   Artikel 15
                                  Begränsningar av rätten till tillgång

1.        Medlemsstaterna får anta lagstiftningsåtgärder som helt eller delvis begränsar den
          registrerades rätt till tillgång i den utsträckning och så länge en sådan partiell eller
          fullständig begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt
          samhälle med hänsyn tagen till den berörda fysiska personens grundläggande rättigheter
          och berättigade intressen, i syfte att

          a)    undvika att hindra officiella eller rättsliga utredningar, förundersökningar eller
                förfaranden,

5418/16                                                                     KSM/cwt                  73
                                                    DGD 2                                            SV
 ---pagebreak---           b)    undvika menlig inverkan på förebyggande, förhindande, upptäckt, utredning eller
                lagföring av brott eller verkställighet av straffrättsliga påföljder,

          c)    skydda den allmänna säkerheten,

          d)    skydda den nationella säkerheten,

          e)    skydda andra personers rättigheter och friheteter.

2.        Medlemsstaterna får anta lagstiftningsåtgärder för att fastställa kategorier av behandling
          som helt eller delvis kan omfattas av undantagen i punkt 1 a–e.

3.        I de fall som avses i punkterna 1 och 2 ska medlemsstaterna föreskriva att den
          personuppgiftsansvarige utan onödigt dröjsmål ska informera den registrerade skriftligen
          om varje vägran eller begränsning av tillgång och om skälen för vägran eller
          begränsningen. Denna information kan utelämnas om tillhandahållandet skulle undergräva
          ett ändamål enligt punkt 1. Medlemsstaterna ska föreskriva att den
          personuppgiftsansvarige ska underrätta den registrerade om möjligheten att lämna in ett
          klagomål till en tillsynsmyndighet eller begära rättslig prövning.

4.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska dokumentera de
          sakliga och rättsliga grunderna för beslutet. Denna information ska göras tillgänglig för
          tillsynsmyndigheterna.

5418/16                                                                     KSM/cwt                    74
                                                  DGD 2                                           SV
 ---pagebreak---                                                Artikel 16
          Rätt till rättelse eller radering av personuppgifter och begränsning av behandling

1.        Medlemsstaterna ska föreskriva att den registrerade ska ha rätt att utan onödigt dröjsmål av
          den personuppgiftsansvarige få felaktiga personuppgifter som rör honom eller henne
          rättade. Med beaktande av ändamålet med behandlingen ska medlemsstaterna föreskriva
          att den registrerade ska ha rätt att få ofullständiga personuppgifter kompletterade,
          inbegripet genom att tillhandahålla en kompletterande inlaga.

2.        Medlemsstaterna ska kräva att den personuppgiftsansvarige utan onödigt dröjsmål ska
          radera personuppgifter och ge den registrerade rätt att av den personuppgiftsansvarige utan
          onödigt dröjsmål få till stånd radering av personuppgifter som rör honom eller henne om
          behandlingen står i strid med de bestämmelser som antas enligt artiklarna 4, 8 och 10 eller
          om personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse som åvilar den
          personuppgiftsansvarige.

3.        I stället för radering ska den personuppgiftsansvarige begränsa behandling om

          a)    den registrerade bestrider personuppgifternas korrekthet och korrektheten inte kan
                fastställas, eller

          b)    personuppgifterna måste sparas som bevisning.

          Om behandlingen begränsas enligt första stycket led a ska den personuppgiftsansvarige
          underrätta den registrerade innan begränsningen av behandlingen upphävs.

5418/16                                                                   KSM/cwt                    75
                                                 DGD 2                                           SV
 ---pagebreak--- 4.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige underrättar den
          registrerade skriftligen om eventuell vägran att rätta, radera eller begränsa behandlingen
          och om skälen till vägran. Medlemsstaterna får anta lagstiftningsåtgärder som helt eller
          delvis begränsar skyldigheten att tillhandahålla sådan information i den utsträckning som
          en sådan begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt
          samhälle med hänsyn tagen till den berörda fysiska personens grundläggande rättigheter
          och berättigade intressen, i syfte att

          a)    undvika att hindra offentliga eller rättsliga utredningar, undersökningar eller
                förfaranden,

          b)    undvika menlig inverkan på förebyggande, förhindrande, upptäckt, utredning eller
                lagföring av brott eller verkställighet av straffrättsliga påföljder,

          c)    skydda den allmänna säkerheten,

          d)    skydda den nationella säkerheten,

          e)    skydda andra personers rättigheter och friheteter.

          Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska underrätta den
          registrerade om möjligheterna att lämna in ett klagomål till en tillsynsmyndighet eller
          begära rättslig prövning.

5.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska meddela varje rättelse
          av oriktiga personuppgifter till den behöriga myndighet från vilken de oriktiga
          personuppgifterna kommer.

5418/16                                                                     KSM/cwt                    76
                                                   DGD 2                                            SV
 ---pagebreak--- 6.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige, när personuppgifter har
          rättats, raderats eller begränsats i enlighet med punkterna 1, 2 och 3, ska underrätta
          mottagarna och att mottagarna ska rätta eller radera personuppgifterna eller begränsa den
          behandling som utförs under deras ansvar.

                                                Artikel 17
          Den registrerades utövande av rättigheter och kontroll genom tillsynsmyndigheten

1.        I de fall som avses i artiklarna 13.3, 15.3 och 16.4 ska medlemsstaterna anta bestämmelser
          om att den registrerades rättigheter även kan utövas genom den behöriga
          tillsynsmyndigheten.

2.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska underrätta den
          registrerade om hans eller hennes möjlighet att utöva sina rättigheter genom
          tillsynsmyndigheten enligt punkt 1.

3.        När den rättighet som avses i punkt 1 utövas ska tillsynsmyndigheten åtminstone
          underrätta den registrerade om att alla nödvändiga kontroller eller en översyn genom
          tillsynsmyndigheten har ägt rum. Tillsynsmyndigheten ska också informera den
          registrerade om hans eller hennes rätt att begära rättslig prövning.

                                                Artikel 18
           Den registrerades rättigheter i brottsutredningar och straffrättsliga förfaranden

Medlemsstaterna får föreskriva att de rättigheter som avses i artiklarna 13, 14 och 16 ska utövas
i enlighet med medlemsstaternas nationella rätt om personuppgifterna ingår i ett domstolsbeslut
eller ett rättsligt protokoll eller ärende som behandlas i samband med brottsutredningar och
straffrättsliga förfaranden.

5418/16                                                                   KSM/cwt                     77
                                                 DGD 2                                             SV
 ---pagebreak---                                           KAPITEL IV
                       PERSONUPPGIFTSANSVARIG OCH
                             PERSONUPPGIFTSBITRÄDE

                                             AVSNITT 1
                               ALLMÄNNA SKYLDIGHETER

                                               Artikel 19
                              Den personuppgiftsansvariges skyldigheter

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige, med beaktande av
          behandlingens art, omfattning, sammanhang och ändamål, samt riskerna, av varierande
          sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska vidta
          lämpliga tekniska och organisatoriska åtgärder för att säkerställa, och kunna visa, att
          behandlingen utförs i enlighet med detta direktiv. Dessa åtgärder ska ses över och
          uppdateras vid behov.

2.        Om det står i proportion till behandlingen, ska de åtgärder som avses i punkt 1 omfatta den
          personuppgiftsansvariges genomförande av lämpliga strategier för dataskydd.

5418/16                                                                   KSM/cwt                   78
                                                 DGD 2                                              SV
 ---pagebreak---                                                 Artikel 20
                            Inbyggt dataskydd och dataskydd som standard

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige, med beaktande av den
          senaste utvecklingen och genomförandekostnaderna och behandlingens art, omfattning,
          sammanhang och ändamål, samt de risker, av varierande sannolikhetsgrad och allvar för
          fysiska personers rättigheter och friheteter som behandlingen utgör, både vid tidpunkten
          för beslut om vilka medel behandlingen ska utföras med och vid tidpunkten för själva
          behandlingen, ska genomföra lämpliga tekniska och organisatoriska åtgärder, såsom
          pseudonymisering, vilka är utformade för genomförande av dataskyddsprinciper, såsom
          uppgiftsminimering, på ett effektivt sätt och för integrering av de nödvändiga
          skyddsåtgärderna i behandlingen, för att uppfylla kraven i detta direktiv och skydda den
          registrerades rättigheter.

2.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige genomför lämpliga
          tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast
          personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen
          behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens
          omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder
          säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs
          tillgängliga för ett obegränsat antal fysiska personer.

5418/16                                                                    KSM/cwt                   79
                                                  DGD 2                                             SV
 ---pagebreak---                                                Artikel 21
                                 Gemensamt personuppgiftsansvariga

1.        Medlemsstaterna ska föreskriva att två eller flera personuppgiftsansvariga har gemensamt
          ansvar för registret, om de gemensamt fastställer behandlingens ändamål och medel. De
          ska under öppna former fastställa sitt respektive ansvar för efterlevnaden av detta direktiv,
          särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive
          skyldigheter att tillhandahålla den information som avses i artikel 13, genom ett inbördes
          arrangemang, såvida inte och i den mån som de personuppgiftsansvarigas respektive
          skyldigheter fastställs i unionsrätt eller medlemsstaternas nationella rätt som de
          personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget ska en kontaktpunkt
          för de registrerade utses. Medlemsstaterna får fastslå vem av de gemensamt
          personuppgiftsansvariga som kan fungera som enda kontaktpunkt för de registrerade
          i fråga om utövandet av deras rättigheter.

2.        Oavsett formerna för det arrangemang som avses i punkt 1 får medlemsstaterna föreskriva
          att den registrerade får utöva sina rättigheter enligt de bestämmelser som antas i enlighet
          med detta direktiv med avseende på var och en av de personuppgiftsansvariga.

                                               Artikel 22
                                         Personuppgiftsbiträde

1.        Medlemsstaterna ska, om en behandling ska genomföras på en personuppgiftsansvarigs
          vägnar, föreskriva att den personuppgiftsansvarige endast ska anlita personuppgiftsbiträden
          som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska
          åtgärder på ett sådant sätt att behandlingen uppfyller kraven i detta direktiv och säkerställer
          att den registrerades rättigheter skyddas.

5418/16                                                                   KSM/cwt                       80
                                                 DGD 2                                              SV
 ---pagebreak--- 2.        Medlemsstaterna ska föreskriva att personuppgiftsbiträdet inte får anlita ett annat
          personuppgiftsbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har
          erhållits av den personuppgiftsansvarige. Om ett allmänt skriftligt tillstånd har erhållits,
          ska personuppgiftsbiträdet alltid informera den personuppgiftsansvarige om eventuella
          planer på att anlita nya personuppgiftsbiträden eller ersätta personuppgiftsbiträden, så att
          den personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.

3.        Medlemsstaterna ska föreskriva att ett personuppgiftsbiträdes behandling ska regleras
          genom ett avtal eller annan rättsakt enligt unionsrätten eller medlemsstaternas nationella
          rätt som är bindande för personuppgiftsbiträdet med avseende på den
          personuppgiftsansvarige och i vilken föremålet för behandlingen, behandlingens
          varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade samt
          den personuppgiftsansvariges skyldigheter och rättigheter anges. Avtalet eller den andra
          rättsakten ska särskilt föreskriva att personuppgiftsbiträdet

          a)    endast handlar enligt instruktioner från den personuppgiftsansvarige,

          b)    säkerställer att personer som har tillstånd att behandla personuppgifterna har
                förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad
                tystnadsplikt,

          c)    på lämpligt sätt ska bistå den personuppgiftsansvarige att säkerställa efterlevnad av
                bestämmelserna om den registrerades rättigheter,

          d)    beroende på vad den personuppgiftsansvarige väljer, ska radera eller återlämna alla
                personuppgifter till den personuppgiftsansvarige efter det att tillhandahållandet av
                uppgiftsbehandlingstjänster har avslutats och raderar befintliga kopior, såvida inte
                lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas
                nationella rätt,

5418/16                                                                    KSM/cwt                       81
                                                  DGD 2                                                SV
 ---pagebreak---           e)    ska ge den personuppgiftsansvarige tillgång till all information som krävs för att visa
                att denna artikel efterlevs,

          f)    respekterar de villkor som avses i punkterna 2 och 3 för anlitande av ett annat
                personuppgiftsbiträde.

4.        Det avtal eller den andra rättsakt som avses i punkt 3 ska vara skriftligt, inbegripet
          i elektronisk form.

5.        Om ett personuppgiftsbiträde i strid med detta direktiv fastställer ändamålen och medlen
          för behandlingen ska personuppgiftsbiträdet anses vara personuppgiftsansvarig med
          avseende på den behandlingen.

                                               Artikel 23
     Behandling under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende

Medlemsstaterna ska föreskriva att personuppgiftsbiträdet och personer som utför arbete under den
personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till
personuppgifter, endast får behandla dessa uppgifter enligt instruktion från den
personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller
medlemsstaternas nationella rätt.

5418/16                                                                   KSM/cwt                      82
                                                 DGD 2                                             SV
 ---pagebreak---                                                 Artikel 24
                                        Register över behandling

1.        Medlemsstaterna ska föreskriva att alla personuppgiftsansvariga ska föra ett register över
          alla kategorier av verksamheter i samband med behandling som de ansvarar för. Detta
          register ska innehålla samtliga följande uppgifter:

          a)    Namn och kontaktuppgifter för den personuppgiftsansvarige, samt i tillämpliga fall
                gemensamt personuppgiftsansvariga och dataskyddsombudet.

          b)    Ändamålen med behandlingen.

          c)    De kategorier av mottagare som personuppgifterna har lämnats ut till eller ska
                lämnas ut till, inbegripet mottagare i tredjeländer eller internationella organisationer.

          d)    En beskrivning av kategorierna av registrerade och av kategorierna av
                personuppgifter.

          e)    Användning av profilering, i tillämpliga fall.

          f)    I tillämpliga fall, kategorier av personuppgiftsöverföringar till ett tredjeland eller en
                internationell organisation.

          g)    En uppgift om den rättsliga grunden för den behandling, inbegripet överföringar, för
                vilken personuppgifterna är avsedda.

5418/16                                                                    KSM/cwt                      83
                                                  DGD 2                                              SV
 ---pagebreak---           h)      Om möjligt, de planerade tidsfristerna för radering av de olika
                  personuppgiftskategorierna.

          i)      Om möjligt, en allmän beskrivning av de tekniska och organisatoriska
                  säkerhetsåtgärder som avses i artikel 29.1.

2.        Medlemsstaterna ska föreskriva att alla personuppgiftsbiträden ska upprätthålla ett register
          över alla kategorier av behandling som utförts för den personuppgiftsansvariges räkning,
          vilket ska omfatta följande:

          a)      Namn och kontaktuppgifter för personuppgiftsbiträdet eller registerförarna, för varje
                  personuppgiftsansvarig för vars räkning personuppgiftsbiträdet agerar samt,
                  i tillämpliga fall, för dataskyddsombudet.

          b)      De kategorier av behandling som har utförts för varje personuppgiftsansvarigs
                  räkning.

          c)      I tillämpliga fall, överföringar av personuppgifter till ett tredjeland eller en
                  internationell organisation, inbegripet identifiering av tredjelandet eller den
                  internationella organisationen, om den personuppgiftsansvarige uttryckligen begär
                  detta.

          d)      Om möjligt, en allmän beskrivning av de tekniska och organisatoriska
                  säkerhetsåtgärder som avses i artikel 29.1.

3.        De register som avses i punkterna 1 och 2 ska upprättas skriftligen, inbegripet i elektronisk
          form.

          Den personuppgiftsansvarige och personuppgiftsbiträdet ska på begäran göra registren
          tillgängliga för tillsynsmyndigheten.

5418/16                                                                       KSM/cwt                 84
                                                    DGD 2                                            SV
 ---pagebreak---                                                 Artikel 25
                                                  Loggning

1.        Medlemsstaterna ska säkerställa att loggar förs över åtminstone följande typer av
          behandlingar i automatiserade behandlingssystem: insamling, ändring, läsning, utlämning
          inbegripet överföringar, sammanförande och radering. Loggarna över läsning och
          utlämning ska göra det möjligt att fastställa motivering, datum och tidpunkt för sådan
          behandling och i möjligaste mån vem som har läst eller lämnat ut personuppgifter, samt
          vilka som har fått tillgång till personuppgifterna.

2.        Loggarna bör endast användas för att kontrollera om behandlingen är tillåten, för
          egenkontroll, för att säkerställa personuppgifternas integritet och säkerhet, samt inom
          ramen för straffrättsliga förfaranden.

3.        Den personuppgiftsansvarige och personuppgiftsbiträdet ska på begäran göra loggarna
          tillgängliga för tillsynsmyndigheten.

                                                Artikel 26
                                  Samarbete med tillsynsmyndigheten

Medlemsstaterna ska föreskriva att den personuppgiftsansvarige och personuppgiftsbiträdet på
begäran ska samarbeta med tillsynsmyndigheten vid utförandet av dess uppgifter.

5418/16                                                                  KSM/cwt                    85
                                                   DGD 2                                            SV
 ---pagebreak---                                                 Artikel 27
                              Konsekvensbedömning avseende dataskydd

1.        Om en typ av behandling, särskilt med användning av ny teknik och med beaktande av
          dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska
          personers rättigheter och friheter, ska medlemsstaterna säkerställa att den
          personuppgiftsansvarige före behandlingen utför en bedömning av den planerade
          behandlingens konsekvenser för skyddet av personuppgifter.

2.        Den bedömning som avses i punkt 1 ska åtminstone innehålla en allmän beskrivning av
          den planerade behandlingen, en bedömning av riskerna för de registrerades rättigheter och
          friheteter, de åtgärder som planeras för att hantera dessa risker, skyddsåtgärder,
          säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifter och för att visa
          att detta direktiv efterlevs, med hänsyn till de registrerades och andra berörda personers
          rättigheter och berättigade intressen.

                                               Artikel 28
                              Förhandssamråd med tillsynsmyndigheten

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige eller
          personuppgiftsbiträdet ska samråda med tillsynsmyndigheten före behandling av
          personuppgifter som kommer att ingå i ett nytt register som ska inrättas, om

          a)    en konsekvensbedömning avseende dataskydd enligt artikel 27 visar att behandlingen
                skulle leda till en hög risk om inte den registerasvarige vidtar åtgärder för att minska
                risken, eller om

5418/16                                                                   KSM/cwt                      86
                                                   DGD 2                                            SV
 ---pagebreak---           b)    typen av behandling, särskilt vid användning av ny teknik eller nya rutiner eller
                förfaranden, medför en hög risk för de registrerades rättigheter och friheteter.

2.        Medlemsstaterna ska föreskriva att tillsynsmyndigheten ska rådfrågas under utarbetandet
          av ett förslag till lagstiftningsåtgärd som ska antas av ett nationellt parlament eller av en
          regleringsåtgärd som grundar sig på en sådan lagstiftningsåtgärd som rör behandling.

3.        Medlemsstaterna ska föreskriva att tillsynsmyndigheten får upprätta en förteckning över de
          olika typer av uppgiftsbehandling som omfattas av förhandssamråd enligt punkt 1.

4.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige till tillsynsmyndigheten
          lämnar in den konsekvensbedömning avseende dataskydd som avses i artikel 27 och, på
          begäran, eventuell övrig information som gör att tillsynsmyndigheten kan göra en
          bedömning av behandlingens överensstämmelse och särskilt av riskerna för skyddet av den
          registrerades personuppgifter och av därmed sammanhängande skyddsåtgärder.

5.        Medlemsstaterna ska, om tillsynsmyndigheten anser att den planerade behandling som
          avses i punkt 1 i denna artikel inte skulle vara förenlig med de bestämmelser som antas
          i enlighet med detta direktiv, särskilt om den personuppgiftsansvarige inte i tillräcklig mån
          har fastställt eller reducerat risken, föreskriva att tillsynsmyndigheten inom en period på
          högst sex veckor från det att begäran om samråd mottagits ska ge den
          personuppgiftsansvarige och, i tillämpliga fall, personuppgiftsbiträdet skriftliga råd och får
          utnyttja alla de befogenheter som den har enligt artikel 47. Denna period får förlängas med
          en månad beroende på hur komplicerad den planerade behandlingen är.
          Tillsynsmyndigheten ska informera den personuppgiftsansvarige och, i tillämpliga fall,
          personuppgiftsbiträdet om en sådan förlängning inom en månad från det att begäran om
          samråd mottagits, tillsammans med orsakerna till förseningen.

5418/16                                                                    KSM/cwt                        87
                                                  DGD 2                                              SV
 ---pagebreak---                                              AVSNITT 2
                          SÄKERHET FÖR PERSONUPPGIFTER

                                                Artikel 29
                                  Säkerhet i samband med behandlingen

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige och
          personuppgiftsbiträdet, med beaktande av den senaste utvecklingen och
          genomförandekostnader och med hänsyn till behandlingens art, omfattning, sammanhang
          och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska
          personers rättigheter och friheteter, ska vidta lämpliga tekniska och organisatoriska
          åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken,
          i synnerhet när det gäller de särskilda kategorier av personuppgifter som avses i artikel 10.

2.        När det gäller automatiserad behandling ska varje medlemsstat föreskriva att den
          personuppgiftsansvarige eller personuppgiftsbiträdet, efter en bedömning av riskerna, ska
          vidta åtgärder i syfte att

          a)    vägra varje obehörig person åtkomst till utrustning för behandling som används för
                behandling (åtkomstskydd för utrustning),

          b)    förhindra obehörig läsning, kopiering, ändring eller radering av datamedier (kontroll
                av datamedier),

          c)    förhindra obehörig registrering av personuppgifter och obehörig kännedom om,
                ändring eller radering av lagrade personuppgifter (lagringskontroll),

5418/16                                                                   KSM/cwt                    88
                                                 DGD 2                                              SV
 ---pagebreak---           d)   förhindra att obehöriga kan använda automatiserade behandlingssystem med hjälp av
               utrustning för dataöverföring (användarkontroll),

          e)   säkerställa att personer som är behöriga att använda ett automatiserat
               behandlingssystem endast har tillgång till personuppgifter som omfattas av deras
               behörighet (åtkomstkontroll),

          f)   säkerställa att det kan kontrolleras och fastställas till vilka organ personuppgifter har
               överförts eller kan överföras och för vilka organ uppgifterna har gjorts tillgängliga
               eller kan göras tillgängliga med hjälp av utrustning för dataöverföring
               (kommunikationskontroll),

          g)   säkerställa att det är möjligt att i efterhand kontrollera och fastställa vilka
               personuppgifter som förts in i ett automatiserat behandlingssystem, samt när och av
               vem personuppgifterna infördes (indatakontroll),

          h)   förhindra obehörig läsning, kopiering, ändring eller radering av personuppgifter
               i samband med överföring av sådana uppgifter eller under transport av databärare
               (transportkontroll),

          i)   säkerställa att de system som används kan återställas vid störningar (återställande),

          j)   säkerställa att systemet fungerar, att funktionsfel rapporteras (driftsäkerhet) och att
               de lagrade personuppgifterna inte kan förvanskas genom funktionsfel i systemet
               (dataintegritet).

5418/16                                                                    KSM/cwt                       89
                                                 DGD 2                                              SV
 ---pagebreak---                                                 Artikel 30
                    Anmälan av en personuppgiftsincident till tillsynsmyndigheten

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige vid en
          personuppgiftsincident utan onödigt dröjsmål och, om så är möjligt, inte senare än 72
          timmar efter att ha fått vetskap om incidenten, anmäler den till tillsynsmyndigheten, såvida
          det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers
          rättigheter och friheter. Om anmälan till tillsynsmyndigheten inte görs inom 72 timmar, ska
          den åtföljas av en motivering till förseningen.

2.        Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål
          efter att ha fått vetskap om en personuppgiftsincident.

3.        Den anmälan som avses i punkt 1 ska åtminstone

          a)    beskriva personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av
                och det ungefärliga antal registrerade som berörs samt de kategorier av och det
                ungefärliga antal personuppgiftsposter som berörs,

          b)    förmedla namnet på och kontaktuppgifterna för dataskyddsombudet eller annan
                kontaktpunkt där mer information kan erhållas,

          c)    beskriva de sannolika konsekvenserna av personuppgiftsincidenten,

          d)    beskriva de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för
                att åtgärda personuppgiftsincidenten, inbegripet, i tillämpliga fall, åtgärder för att
                mildra dess potentiella negativa effekter.

5418/16                                                                    KSM/cwt                       90
                                                  DGD 2                                              SV
 ---pagebreak--- 4.        Om, och i den utsträckning, det inte är möjligt att tillhandahålla informationen samtidigt,
          får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

5.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska dokumentera alla
          personuppgiftsincidenter som avses i punkt 1, inbegripet omständigheterna rörande
          personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits.
          Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera
          efterlevnaden av denna artikel.

6.        Medlemsstaterna ska föreskriva att den information som avses i punkt 3, om
          personuppgiftsincidenten rör personuppgifter som har överförts av eller till den
          personuppgiftsansvarige i en annan medlemsstat, utan onödigt dröjsmål ska meddelas den
          personuppgiftsansvarige i den medlemsstaten.

                                               Artikel 31
                    Information till den registrerade om en personuppgiftsincident

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige, om
          personuppgiftsincidenten sannolikt kommer att leda till en hög risk för fysiska personers
          rättigheter och friheteter, utan onödigt dröjsmål ska informera den registrerade om
          personuppgiftsincidenten.

2.        Den information till den registrerade som avses i punkt 1 i den här artikeln ska innehålla en
          tydlig och klar beskrivning av personuppgiftsincidentens art och åtminstone de
          upplysningar och rekommendationer som anges i artikel 30.3 b, c och d.

5418/16                                                                  KSM/cwt                        91
                                                 DGD 2                                            SV
 ---pagebreak--- 3.        Information till den registrerade i enlighet med punkt 1 ska inte krävas om något av
          följande villkor är uppfyllda:

          a)    Den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska
                skyddsåtgärder och att dessa åtgärder har tillämpats på de personuppgifter som
                påverkades av personuppgiftsincidenten, i synnerhet sådana som gör
                personuppgifterna oläsbara för alla personer som inte är behöriga att få tillgång till
                dem, såsom kryptering.

          b)    Om den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att
                den höga risk för registrerades rättigheter och friheteter som avses i punkt 1 sannolikt
                inte längre kommer att uppstå.

          c)    Det skulle inbegripa en oproportionell ansträngning. I så fall ska i stället allmänheten
                informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras
                på ett lika effektivt sätt.

4.        Om personuppgiftsbiträdet inte redan har informerat den registrerade om
          personuppgiftsincidenten får tillsynsmyndigheten, efter att ha bedömt sannolikheten för att
          personuppgiftsincidenten medför en hög risk, kräva att personuppgiftsbiträdet gör det, eller
          besluta att något av de villkor som avses i punkt 3 uppfylls.

5.        Den information till den registrerade som avses i punkt 1 i den här artikeln kan
          senareläggas, begränsas eller utelämnas på de villkor och av de skäl som avses
          i artikel 13.3.

5418/16                                                                   KSM/cwt                        92
                                                 DGD 2                                              SV
 ---pagebreak---                                              AVSNITT 3
                                     DATASKYDDSOMBUD

                                                Artikel 32
                                   Utnämning av dataskyddsombudet

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska utnämna ett
          dataskyddsombud. Medlemsstaterna får undanta domstolars och andra oberoende rättsliga
          myndigheters dömande verksamhet från denna skyldighet.

2.        Dataskyddsombudet ska utnämnas på grundval av sina yrkesmässiga kvalifikationer och,
          i synnerhet, sin sakkunskap om lagstiftning och praxis i fråga om dataskydd samt förmåga
          att fullgöra de uppgifter som avses i artikel 34.

3.        Ett enda dataskyddsombud får utnämnas för flera behöriga myndigheter med hänsyn tagen
          till organisationsstruktur och storlek.

4.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska offentliggöra
          dataskyddsombudets kontaktuppgifter och meddela dessa till tillsynsmyndigheten.

                                                Artikel 33
                                     Dataskyddsombudets ställning

1.        Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska säkerställa att
          dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av
          personuppgifter.

5418/16                                                                  KSM/cwt                    93
                                                    DGD 2                                         SV
 ---pagebreak--- 2.        Den personuppgiftsansvarige ska stödja dataskyddsombudet i utförandet av de uppgifter
          som avses i artikel 34 genom att tillhandahålla de resurser som krävs för att fullgöra dessa
          uppgifter samt tillgång till personuppgifter och behandlingsförfaranden, samt
          i upprätthållandet av dennes sakkunskap.

                                               Artikel 34
                                    Dataskyddsombudets uppgifter

Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska anförtro dataskyddsombudet
åtminstone följande uppgifter:

a)        Att informera och ge råd till den personuppgiftsansvarige och de anställda som utför
          behandling om deras skyldigheter enligt detta direktiv och annan unionsrätt eller
          medlemsstaters bestämmelser om dataskydd.

b)        Att övervaka efterlevnaden av detta direktiv, annan unionsrätt eller medlemsstaternas
          bestämmelser om dataskydd och av den personuppgiftsansvariges strategier för skydd av
          personuppgifter, inbegripet ansvarstilldelning, information till och utbildning av personal
          som deltar i behandlingen och tillhörande granskning.

c)        Att på begäran ge råd vad gäller konsekvensbedömningen avseende dataskydd och
          övervaka genomförandet av den enligt artikel 27.

d)        Att samarbeta med tillsynsmyndigheten.

e)        Att fungera som kontaktpunkt för tillsynsmyndigheten i frågor som rör behandling,
          inbegripet det förhandssamråd som avses i artikel 28, och, om så är lämpligt, samråda
          i andra frågor.

5418/16                                                                  KSM/cwt                    94
                                                DGD 2                                             SV
 ---pagebreak---                                             KAPITEL V
                      ÖVERFÖRING AV PERSONUPPGIFTER
                                   TILL TREDJELÄNDER
               ELLER INTERNATIONELLA ORGANISATIONER

                                                 Artikel 35
                        Allmänna principer för överföringar av personuppgifter

1.        Medlemsstaterna ska föreskriva att de behöriga myndigheterna endast ska överföra
          personuppgifter som håller på att behandlas eller är avsedda att behandlas efter det att de
          överförts till ett tredjeland eller en internationell organisation, inklusive för vidare
          överföring till ett annat tredjeland eller en annan internationell organisation, under
          förutsättning att de nationella bestämmelser som antas i enlighet med andra bestämmelser
          i detta direktiv respekteras och endast om de villkor som fastställs i detta kapitel uppfylls,
          nämligen:

          a)    Överföringen är nödvändig för de ändamål som anges i artikel 1.1.

          b)    Personuppgifterna överförs till en personuppgiftsansvarig i ett tredjeland eller en
                internationell organisation som är en behörig myndighet för de ändamål som avses
                i artikel 1.1.

          c)    Den aktuella medlemsstaten, om personuppgifter överförs eller görs tillgängliga från
                en annan medlemsstat, har gett förhandstillstånd till överföringen i enlighet med
                medlemsstaternas nationella rätt.

5418/16                                                                     KSM/cwt                     95
                                                  DGD 2                                               SV
 ---pagebreak---           d)    Kommissionen har antagit ett beslut om adekvat skyddsnivå i enlighet med artikel 36
                eller, om inget sådant beslut föreligger, när lämpliga skyddsåtgärder har vidtagits
                eller föreligger enligt artikel 37 eller, om inget beslut om adekvat skyddsnivå enligt
                artikel 36 föreligger och inga lämpliga skyddsåtgärder enligt artikel 37 har vidtagits,
                när undantag för särskilda situationer gäller i enlighet med artikel 38.

          e)    Att den behöriga myndighet som gjorde den ursprungliga överföringen eller en annan
                behörig myndighet i samma medlemsstat vid vidare överföring till ett annat
                tredjeland eller en internationell organisation godkänner vidareöverföringen efter
                vederbörligt beaktande av alla relevanta faktorer, inbegripet brottets allvar, det
                ändamål för vilket personuppgifterna ursprungligen överfördes och nivån på skyddet
                av personuppgifter i tredjelandet till vilket eller den internationella organisationen till
                vilken personuppgifterna förts vidare.

2.        Medlemsstaterna ska föreskriva att överföringar utan förhandstillstånd av en annan
          medlemsstat i enlighet med punkt 1 c tillåts endast om överföringen av personuppgifter är
          nödvändig för att avvärja ett omedelbart och allvarligt hot mot den allmänna säkerheten
          i en medlemsstat eller ett tredjeland eller mot en medlemsstats väsentliga intressen och
          förhandstillstånd inte kan erhållas i tid. Den myndighet som har ansvar för att ge
          förhandstillstånd ska underrättas utan dröjsmål.

3.        Alla bestämmelser i detta kapitel ska tillämpas för att säkerställa att den skyddsnivå för
          fysiska personer som säkerställs genom detta direktiv inte undergrävs.

5418/16                                                                    KSM/cwt                      96
                                                  DGD 2                                               SV
 ---pagebreak---                                                  Artikel 36
                      Överföring på grundval av ett beslut om adekvat skyddsnivå

1.        Medlemsstaterna ska föreskriva att personuppgifter får överföras till ett tredjeland eller en
          internationell organisation om kommissionen har beslutat att tredjelandet, ett territorium
          eller en eller flera specificerade sektorer i tredjelandet, eller den internationella
          organisationen i fråga säkerställer en adekvat skyddsnivå. En sådan överföring ska inte
          kräva ett särskilt tillstånd.

2.        När kommissionen bedömer om en adekvat skyddsnivå föreligger ska den särskilt beakta

          a)    rättsstatsprincipen, respekten för de mänskliga rättigheterna och grundläggande
                friheterna, relevant lagstiftning, både allmän lagstiftning och sektorslagstiftning,
                inklusive avseende allmän säkerhet, försvar, nationell säkerhet och straffrätt samt
                offentliga myndigheters tillgång till personuppgifter liksom tillämpningen av denna
                lagstiftning, dataskyddsregler, yrkesregler och säkerhetsbestämmelser och regler för
                vidare överföring av personuppgifter till ett annat tredjeland eller en annan
                internationell organisation, som ska följas i det tredjeland eller inom den
                internationella organisation som berörs, rättspraxis, och effektiva och verkställbara
                rättigheter för registrerade och effektiv administrativ och rättslig prövning för de
                registrerade vars personuppgifter överförs,

5418/16                                                                     KSM/cwt                     97
                                                   DGD 2                                               SV
 ---pagebreak---           b)    huruvida det finns en eller flera effektivt fungerande oberoende tillsynsmyndigheter
                i tredjelandet, eller som utövar tillsyn över den internationella organisationen, med
                ansvar för att säkerställa och kontrollera att dataskyddsbestämmelserna följs,
                inklusive lämpliga verkställighetsbefogenheter, ge registrerade råd och assistans när
                det gäller utövandet av deras rättigheter och samarbeta med medlemsstaternas
                tillsynsmyndigheter, och

          c)    vilka internationella åtaganden det berörda tredjelandet eller den berörda
                internationella organisationen har gjort, eller andra skyldigheter som följer av
                rättsligt bindande konventioner eller instrument samt av dess deltagande
                i multilaterala eller regionala system, särskilt rörande skydd av personuppgifter.

3.        Kommissionen får, efter att ha bedömt om skyddsnivån är adekvat, genom en
          genomförandeakt, besluta att ett tredjeland, ett territorium eller en eller flera specificerade
          sektorer inom ett tredjeland, eller en internationell organisation, säkerställer en adekvat
          skyddsnivå i den mening som avses i punkt 2 i den här artikeln. Genomförandeakten ska
          inrätta en mekanism för regelbunden översyn, minst vart fjärde år, som ska beakta all
          relevant utveckling i det tredjelandet eller den internationella organisationen. Den
          territoriella och sektoriella tillämpningen ska regleras i genomförandeakten, där det också
          i förekommande fall ska anges vilken eller vilka myndigheter som är tillsynsmyndighet(er)
          enligt punkt 2 b i den här artikeln. Genomförandeakten ska antas i enlighet med det
          granskningsförfarande som avses i artikel 58.2.

4.        Kommissionen ska fortlöpande övervaka utveckling i tredjeländer och internationella
          organisationer vilken kan påverka hur beslut som antagits enligt punkt 3 fungerar.

5418/16                                                                    KSM/cwt                      98
                                                  DGD 2                                              SV
 ---pagebreak--- 5.        Kommissionen ska, när tillgänglig information visar, i synnerhet efter den översyn som
          avses i punkt 3 i den här artikeln, att ett tredjeland, ett territorium eller en eller flera
          specificerade sektorer inom tredjelandet i fråga eller en internationell organisation inte
          längre säkerställer en adekvat skyddsnivå i den mening som avses i punkt 2 i den här
          artikeln och, i den mån det behövs, genom genomförandeakter dra tillbaka, ändra eller
          upphäva det beslut som avses i punkt 3 i den här artikeln utan retroaktiv verkan. Dessa
          genomförandeakter ska antas i enlighet med det granskningsförfarande som avses
          i artikel 58.2.

          När det föreligger vederbörligen motiverade och tvingande skäl till skyndsamhet, ska
          kommissionen anta omedelbart tillämpliga genomförandeakter i enlighet med det
          förfarande som avses i artikel 58.3.

6.        Kommissionen ska samråda med tredjelandet eller den internationella organisationen
          i fråga för att lösa den situation som lett till beslutet enligt punkt 5.

7.        Medlemsstaterna ska föreskriva att ett beslut enligt punkt 5 inte ska påverka överföringar
          av personuppgifter till tredjelandet, territoriet eller en eller flera specificerade sektorer
          inom tredjelandet, eller den internationella organisationen i fråga, enligt artiklarna 37–38.

8.        Kommissionen ska i Europeiska unionens officiella tidning och på sin webbplats
          offentliggöra en förteckning över de tredjeländer och de territorier och specificerade
          sektorer i ett tredjeland samt de internationella organisationer för vilka den har fastställt att
          en adekvat skyddsnivå inte eller inte längre säkerställs.

5418/16                                                                       KSM/cwt                     99
                                                   DGD 2                                                  SV
 ---pagebreak---                                                 Artikel 37
                         Överföring som omfattas av lämpliga skyddsåtgärder

1.        Om det inte föreligger något beslut enligt artikel 36.3 ska medlemsstaterna föreskriva att
          en överföring av personuppgifter till ett tredjeland eller en internationell organisation får
          ske om

          a)    lämpliga skyddsåtgärder för personuppgifter har fastställts i ett rättsligt bindande
                instrument, eller

          b)    den personuppgiftsansvarige har bedömt alla omständigheter kring en överföring av
                personuppgifter och dragit slutsatsen att lämpliga skyddsåtgärder för
                personuppgifterna föreligger.

2.        Den personuppgiftsansvarige ska informera tillsynsmyndigheten om kategorier av
          överföringar enligt punkt 1 b.

3.        När en överföring grundas på punkt 1 b, ska denna överföring dokumenteras, och
          dokumentationen ska på begäran göras tillgänglig för tillsynsmyndigheten, inbegripet
          datum och tidpunkt för överföringen, information om den mottagande behöriga
          myndigheten, skälet till överföringen och de personuppgifter som har överförts.

5418/16                                                                    KSM/cwt                     100
                                                  DGD 2                                              SV
 ---pagebreak---                                                  Artikel 38
                                    Undantag i särskilda situationer

1.        Om det inte föreligger något beslut om adekvat skyddsnivå enligt artikel 36 eller lämpliga
          skyddsåtgärder enligt artikel 37, ska medlemsstaterna föreskriva att en överföring eller en
          kategori av överföringar av personuppgifter till ett tredjeland eller en internationell
          organisation får ske endast om överföringen är nödvändig

          a)    för att skydda intressen som är av grundläggande betydelse för den registrerade eller
                för en annan person,

          b)    för att skydda den registrerades berättigade intressen, om lagstiftningen i den
                medlemsstat som överför personuppgifterna föreskriver detta,

          c)    för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en
                medlemsstat eller ett tredjeland,

          d)    i enskilda fall för de ändamål som anges i artikel 1.1. eller

          e)    i ett enskilt fall för att fastslå, göra gällande eller försvara rättsliga anspråk som
                hänför sig till de ändamål som anges i artikel 1.1.

2.        Personuppgifter får inte överföras om den överförande behöriga myndigheten fastställer att
          den berörda registrerades grundläggande rättigheter och friheter väger tyngre än det
          allmänna intresset av en sådan överföring som avses i punkt 1 d och e.

3.        När en överföring grundas på punkt 1, ska denna överföring dokumenteras, och
          dokumentationen ska på begäran göras tillgänglig för tillsynsmyndigheten, inbegripet
          datum och tidpunkt för överföringen, information om den mottagande behöriga
          myndigheten, skälet till överföringen och de personuppgifter som har överförts.

5418/16                                                                     KSM/cwt                      101
                                                    DGD 2                                                SV
 ---pagebreak---                                                   Artikel 39
               Överföring av personuppgifter till mottagare som är etablerade i tredjeländer

1.        Genom undantag från artikel 35.1 b och utan att det påverkar tillämpningen av
          internationella avtal som avses i punkt 2 i den här artikeln, får det i unionsrätten eller
          medlemsstaternas nationella rätt föreskrivas att de behöriga myndigheter som avses
          i artikel 3.7 a, i enskilda och särskilda fall, får överföra personuppgifter direkt till
          mottagare som är etablerade i tredjeländer endast om de övriga bestämmelserna i detta
          direktiv efterlevs och samtliga följande villkor är uppfyllda:

          a)      Överföringen är absolut nödvändig för att utföra en uppgift som en överförande
                  behörig myndighet ansvarar för i enlighet med unionsrätten eller medlemsstaternas
                  nationella rätt för de ändamål som anges i artikel 1.1.

          b)      Den överförande behöriga myndigheten har fastställt att ingen av den berörda
                  registrerades grundläggande rättigheter och friheter väger tyngre än det allmänt
                  intresse som nödvändiggör överföringen i det aktuella fallet.

          c)      Den överförande behöriga myndigheten anser att överföring till en myndighet som är
                  behörig för de ändamål som avses i artikel 1.1 i tredjelandet är ineffektivt eller
                  olämpligt, i synnerhet eftersom överföringen inte kan göras inom rimlig tid.

          d)      Den myndigheten i tredjelandet som är behörig för de ändamål som avses
                  i artikel 1.1 har utan dröjsmål informerats, såvida detta inte är ineffektivt eller
                  olämpligt.

5418/16                                                                      KSM/cwt                    102
                                                    DGD 2                                               SV
 ---pagebreak---           e)    Den överförande behöriga myndigheten har informerat mottagaren om det eller de
                specifika ändamål för vilka och personuppgifterna ska behandlas av den senare
                förutsatt att den behandlingen är nödvändig.

2.        Med ett internationellt avtal som avses i punkt 1 avses varje gällande bilateralt eller
          multilateralt internationellt avtal mellan medlemsstater och tredjeländer inom området för
          straffrättsligt samarbete och polissamarbete.

3.        Den överförande behöriga myndigheten ska informera tillsynsmyndigheten om
          överföringar enligt denna artikel.

4.        Överföringar som grundar sig på punkt 1 ska dokumenteras.

                                               Artikel 40
                        Internationellt samarbete för skydd av personuppgifter

När det gäller tredjeländer och internationella organisationer ska kommissionen och
medlemsstaterna vidta lämpliga åtgärder för att

a)        utveckla rutiner för det internationella samarbetet för att underlätta en effektiv tillämpning
          av lagstiftningen om skydd av personuppgifter,

b)        på internationell nivå erbjuda ömsesidigt bistånd för en effektiv tillämpning av
          lagstiftningen om skydd av personuppgifter, bland annat genom underrättelse,
          hänskjutande av klagomål, bistånd vid utredningar samt informationsutbyte, med
          iakttagande av lämpliga skyddsåtgärder för personuppgifter samt skyddet av andra
          grundläggande rättigheter och friheter,

5418/16                                                                   KSM/cwt                    103
                                                 DGD 2                                              SV
 ---pagebreak--- c)        involvera berörda aktörer i diskussioner och åtgärder som syftar till att öka det
          internationella samarbetet när det gäller tillämpningen av lagstiftningen om skydd av
          personuppgifter,

d)        främja utbyte och dokumentation om lagstiftning och praxis för skydd av personuppgifter,
          inklusive avseende behörighetskonflikter med tredjeländer.

                                          KAPITEL VI
                   OBEROENDE TILLSYNSMYNDIGHETER

                                             AVSNITT 1
                                 OBEROENDE STÄLLNING

                                               Artikel 41
                                           Tillsynsmyndighet

1.        Varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara
          ansvariga för att övervaka tillämpningen av detta direktiv, i syfte att skydda fysiska
          personers grundläggande rättigheter och friheter i samband med behandlingen samt att
          underlätta det fria flödet av sådana uppgifter inom unionen.

2.        Varje tillsynsmyndighet ska bidra till en enhetlig tillämpning av detta direktiv i hela
          unionen. För det ändamålet ska tillsynsmyndigheterna samarbeta såväl sinsemellan som
          med kommissionen i enlighet med kapitel VII.

5418/16                                                                   KSM/cwt                   104
                                                 DGD 2                                              SV
 ---pagebreak--- 3.        Medlemsstaterna får föreskriva att en tillsynsmyndighet som har inrättats enligt
          förordning (EU) 2016/… * ska vara den tillsynsmyndighet som avses i detta direktiv och
          ska ta på sig ansvaret för de uppgifter som ska utföras av den tillsynsmyndighet som
          inrättas enligt punkt 1 i denna artikel.

4.        Om det finns fler än en tillsynsmyndighet i en medlemsstat ska medlemsstaten utse den
          tillsynsmyndighet som ska företräda myndigheterna i fråga i den styrelse som avses
          i artikel 51.

                                                Artikel 42
                                                Oberoende

1.        Varje medlemsstat ska föreskriva att varje tillsynsmyndighet ska vara fullständigt
          oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med
          detta direktiv.

2.        Medlemsstaterna ska föreskriva att dess tillsynsmyndigheters ledamot eller ledamöter
          i utförandet av sina uppgifter och i utövandet av sina befogenheter enligt detta direktiv ska
          stå fria från utomstående påverkan, direkt såväl som indirekt, och varken begära eller ta
          emot instruktioner av någon.

3.        Medlemsstaternas tillsynsmyndigheters ledamot eller ledamöter ska avhålla sig från alla
          handlingar som står i strid med deras tjänsteutövning och under sin mandattid avstå från all
          annan avlönad eller oavlönad yrkesverksamhet som står i strid med deras tjänsteutövning.

*
      EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                  KSM/cwt                      105
                                                     DGD 2                                         SV
 ---pagebreak--- 4.        Varje medlemsstat ska säkerställa att varje tillsynsmyndighet förfogar över de personella,
          tekniska och finansiella resurser samt de lokaler och den infrastruktur som behövs för att
          myndigheten ska kunna utföra sina uppgifter och utöva sina befogenheter, inklusive inom
          ramen för det ömsesidiga biståndet, samarbetet och deltagandet i styrelsens verksamhet.

5.        Varje medlemsstat ska säkerställa att varje tillsynsmyndighet väljer och förfogar över egen
          personal, som ska ta instruktioner uteslutande från den berörda tillsynsmyndighetens
          ledamot eller ledamöter.

6.        Varje medlemsstat ska säkerställa att varje tillsynsmyndighet är föremål för finansiell
          kontroll, utan att detta påverkar tillsynsmyndighetens oberoende och att de förfogar över
          en separat, offentlig årsbudget som kan ingå i den övergripande statsbudgeten eller
          nationella budgeten.

                                               Artikel 43
                         Allmänna villkor för tillsynsmyndighetens ledamöter

1.        Medlemsstaterna ska föreskriva att varje ledamot av deras tillsynsmyndigheter ska utses
          genom ett öppet förfarande av

          –     deras parlament

          –     deras regering

          –     deras statschef, eller

          –     ett oberoende organ som enligt medlemsstaternas nationella rätt anförtrotts
                utnämningen.

5418/16                                                                  KSM/cwt                    106
                                                DGD 2                                               SV
 ---pagebreak--- 2.        Varje ledamot ska ha de kvalifikationer, den erfarenhet och den kompetens, särskilt på
          området skydd av personuppgifter, som krävs för att de ska kunna utföra sitt uppdrag och
          utöva sina befogenheter.

3.        En ledamots uppdrag ska upphöra då mandattiden löper ut eller om ledamoten avgår eller
          avsätts från sin tjänst i enlighet med den nationella rätten i den berörda medlemsstaten.

4.        En ledamot ska avsättas endast på grund av allvarlig försummelse eller när ledamoten inte
          längre uppfyller de krav som ställs för att kunna utföra sina uppgifter.

                                               Artikel 44
                            Regler för inrättandet av en tillsynsmyndighet

1.        Varje medlemsstat ska i lag fastställa samtliga följande:

          a)    Varje tillsynsmyndighets inrättande.

          b)    De kvalifikationer och de villkor för lämplighet som krävs för att någon ska kunna
                utnämnas till ledamot av en tillsynsmyndighet.

          c)    Regler och förfaranden för att utse varje tillsynsmyndighets ledamot eller ledamöter.

5418/16                                                                  KSM/cwt                      107
                                                 DGD 2                                             SV
 ---pagebreak---           d)    Mandattiden för varje tillsynsmyndighets ledamot eller ledamöter, vilken inte får
                understiga fyra år, utom vid tillsättandet av de första ledamöterna efter den … [EUT
                vänligen inför dagen för detta direktivs ikraftträdande], då ett stegvis
                tillsättningsförfarande med kortare perioder för några av ledamöterna får tillämpas
                om detta är nödvändigt för att säkerställa myndighetens oberoende.

          e)    Huruvida varje tillsynsmyndighets ledamot eller ledamöter får ges förnyat mandat,
                och om så är fallet, för hur många perioder,

          f)    Vilka villkor som gäller för de skyldigheter som varje tillsynsmyndighets ledamot
                eller ledamöter och personal har, förbud mot handlingar, yrkesverksamhet och
                förmåner som står i strid därmed under och efter mandattiden och vilka
                bestämmelser som gäller för anställningens upphörande.

2         Varje tillsynsmyndighets ledamot eller ledamöter och personal ska i enlighet med
          unionsrätten eller medlemsstaternas nationella rätt omfattas av tystnadsplikt både under
          och efter sin mandattid vad avser konfidentiell information som de fått kunskap om under
          utförandet av deras uppgifter eller utövandet av deras befogenheter. Under mandatperioden
          ska denna tystnadsplikt i synnerhet gälla rapporter från fysiska personer om överträdelser
          av detta direktiv.

5418/16                                                                   KSM/cwt                    108
                                                 DGD 2                                           SV
 ---pagebreak---                                             AVSNITT 2
                BEHÖRIGHET, UPPGIFTER OCH BEFOGENHETER

                                               Artikel 45
                                               Behörighet

1.        Varje medlemsstat ska föreskriva att varje tillsynsmyndighet ska vara behörig att utföra de
          uppgifter och utöva de befogenheter som tilldelas den i enlighet med detta direktiv inom
          sin egen medlemsstats territorium.

2.        Varje medlemsstat ska föreskriva att varje tillsynsmyndighet inte ska vara behörig att utöva
          tillsyn över domstolar som behandlar personuppgifter inom ramen för sin dömande
          verksamhet. Medlemsstaterna får föreskriva att deras tillsynsmyndighet inte ska vara
          behörig att utöva tillsyn över andra oberoende rättsliga myndigheter som behandlar
          personuppgifter inom ramen för sin rättsliga verksamhet.

                                               Artikel 46
                                               Uppgifter

1.        Varje medlemsstat ska föreskriva att varje tillsynsmyndighet inom sitt territorium ska

          a)   övervaka och verkställa tillämpningen av de bestämmelser som antas i enlighet med
               detta direktiv och dess genomförandeåtgärder,

          b)   öka allmänhetens medvetenhet och kunskaper om risker, regler, skyddsåtgärder och
               rättigheter i samband med behandlingen,

5418/16                                                                 KSM/cwt                    109
                                                 DGD 2                                             SV
 ---pagebreak---           c)   i enlighet med medlemsstaternas nationella rätt ge rådgivning åt det nationella
               parlamentet, regeringen och andra institutioner och organ om lagstiftningsmässiga
               och administrativa åtgärder rörande skyddet av fysiska personers rättigheter och
               friheteter när det gäller behandling,

          d)   öka personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina
               skyldigheter enligt detta direktiv,

          e)   på begäran tillhandahålla information till registrerade om hur de ska utöva sina
               rättigheter enligt detta direktiv, och om så krävs samarbeta med tillsynsmyndigheter
               i andra medlemsstater för detta ändamål,

          f)   behandla klagomål från en registrerad eller från ett organ, en organisation eller en
               sammanslutning enligt artikel 55, och där så är lämpligt undersöka den sakfråga som
               klagomålet gäller och inom rimlig tid underrätta den enskilde om hur
               undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare
               undersökningar eller samordning med en annan tillsynsmyndighet,

          g)   kontrollera att behandling enligt artikel 17 är laglig och inom en rimlig period
               informera den registrerade om resultatet av kontrollen enligt artikel 17.3 eller om
               skälen till att kontrollen inte har genomförts,

          h)   samarbeta, inbegripet genom att utbyta information, med och ge ömsesidigt bistånd
               till andra tillsynsmyndigheter för att se till att detta direktiv tillämpas och verkställs
               på ett enhetligt sätt,

5418/16                                                                    KSM/cwt                     110
                                                 DGD 2                                                SV
 ---pagebreak---           i)    utföra undersökningar om tillämpningen av detta direktiv, inbegripet på grundval av
                information som erhålls från en annan tillsynsmyndighet eller annan offentlig
                myndighet,

          j)    följa sådan utveckling som påverkar skyddet av personuppgifter, bland annat inom
                informations- och kommunikationsteknik,

          k)    ge råd om sådan behandling av personuppgifter som avses i artikel 28, och

          l)    bidra till styrelsens verksamhet.

2.        Varje tillsynsmyndighet ska underlätta inlämningen av klagomål enligt punkt 1 f genom
          åtgärder, såsom att tillhandahålla ett särskilt formulär för ändamålet, vilket också kan fyllas
          i elektroniskt, utan att andra kommunikationsformer utesluts.

3.        Utförandet av alla tillsynsmyndigheters uppgifter ska vara avgiftsfritt för den registrerade
          och för dataskyddsombudet.

4.        Om en begäran är uppenbart ogrundad eller orimlig, särskilt på grund av att den är
          repetitiv, får tillsynsmyndigheten ta ut en rimlig avgift grundad på de administrativa
          kostnaderna eller vägra att tillmötesgå begäran. Det åligger tillsynsmyndigheten att visa att
          begäran är uppenbart ogrundad eller orimlig.

5418/16                                                                   KSM/cwt                    111
                                                    DGD 2                                           SV
 ---pagebreak---                                                 Artikel 47
                                              Befogenheter

1.        Varje medlemsstat ska i lag säkerställa att varje tillsynsmyndighet har effektiva
          undersökningsbefogenheter. Dessa befogenheter ska minst inbegripa rätten att från den
          personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter som
          behandlas och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina
          uppgifter.

2.        Varje medlemsstat ska i lag säkerställa att varje tillsynsmyndighet har effektiva
          korrigerande befogenheter, till exempel för att:

          a)    Utfärda varningar till den personuppgiftsansvarige eller personuppgiftsbiträdet om
                att planerade behandlingar sannolikt kommer att stå i strid med de bestämmelser som
                antas i enlighet med detta direktiv.

          b)    Beordra den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att
                uppgiftsbehandlingen är förenlig med de bestämmelser som antas enligt detta
                direktiv, om lämpligt på ett visst sätt och inom en viss tid, bland annat genom att
                beordra rättelse, eller radering av personuppgifter eller begränsning av behandling
                enligt artikel 16.

          c)    Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot,
                uppgiftsbehandlingen.

5418/16                                                                    KSM/cwt                    112
                                                  DGD 2                                               SV
 ---pagebreak--- 3.        Varje medlemsstat ska i lag säkerställa att varje tillsynsmyndighet har effektiva
          befogenheter att ge den personuppgiftsansvarige råd i enlighet med det förfarande för
          förhandssamråd som avses i artikel 28 och att på eget initiativ eller på begäran avge
          yttranden till det nationella parlamentet, medlemsstatens regering eller, i enlighet med dess
          nationella rätt, till andra institutioner och organ samt till allmänheten, i frågor som rör
          skydd av personuppgifter.

4.        Utövandet av de befogenheter som tillsynsmyndigheten tilldelas enligt denna artikel ska
          omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel och rättssäkerhet,
          som fastställts i unionsrätten och medlemsstaternas nationella rätt i enlighet med stadgan.

5.        Varje medlemsstat ska i lag säkerställa att varje tillsynsmyndighet har befogenhet att göra
          rättsliga myndigheter uppmärksamma på överträdelser av de bestämmelser som antas
          i enlighet med detta direktiv och att, när så är lämpligt, inleda eller på annat sätt delta
          i rättsliga förfaranden, i syfte att säkerställa efterlevnaden av bestämmelser som antas
          i enlighet med detta direktiv.

                                                Artikel 48
                                      Rapportering av överträdelser

Medlemsstaterna ska föreskriva att de behöriga myndigheterna ska inrätta effektiva mekanismer för
att uppmuntra till konfidentiell rapportering av överträdelser av detta direktiv.

5418/16                                                                     KSM/cwt                     113
                                                  DGD 2                                                 SV
 ---pagebreak---                                                Artikel 49
                                          Verksamhetsrapport

Varje tillsynsmyndighet ska upprätta en årlig rapport om sin verksamhet, vilken kan omfatta en
förteckning över typer av anmälda överträdelser och typer av ålagda sanktioner. Rapporterna ska
översändas till det nationella parlamentet, regeringen och andra myndigheter som utsetts genom
medlemsstaternas nationella rätt. Den ska göras tillgänglig för allmänheten, kommissionen och
styrelsen.

                                          KAPITEL VII
                                          SAMARBETE

                                               Artikel 50
                                           Ömsesidigt bistånd

1.        Medlemsstaterna ska föreskriva att tillsynsmyndigheterna ska utbyta relevant information
          och ge ömsesidigt bistånd i arbetet för att genomföra och tillämpa detta direktiv på ett
          enhetligt sätt, och ska införa åtgärder som bidrar till ett verkningsfullt samarbete. Det
          ömsesidiga biståndet ska särskilt omfatta begäranden om information och tillsynsåtgärder,
          till exempel begäranden om att genomföra samråd, inspektioner och utredningar.

2.        Medlemsstaterna ska föreskriva att varje tillsynsmyndighet ska vidta alla lämpliga åtgärder
          för att kunna besvara en begäran från en annan tillsynsmyndighet utan onödigt dröjsmål
          och inte senare än en månad efter det att den tagit emot begäran. Till sådana åtgärder hör
          bland annat att översända relevant information om genomförandet av en pågående
          utredning.

5418/16                                                                   KSM/cwt                     114
                                                 DGD 2                                                SV
 ---pagebreak--- 3.        En begäran om bistånd ska innehålla all nödvändig information, inklusive syftet med och
          skälen till denna. Information som utbytts får endast användas för det syfte för vilket den
          har begärts.

4.        En tillsynsmyndighet som tar emot begäran får bara vägra att tillmötesgå begäran om

          a)    den inte är behörig att behandla den sakfråga som begäran avser eller de åtgärder
                som det begärs att den ska utföra, eller

          b)    det skulle stå i strid med detta direktiv eller med den unionsrätt eller medlemsstatens
                nationella rätt som den tillsynsmyndighet som mottar begäran omfattas av att
                tillmötesgå begäran.

5.        Den tillsynsmyndighet som tagit emot begäran ska meddela den myndighet som begäran
          kommer ifrån om resultatet eller, allt efter omständigheterna, om hur de åtgärder som
          vidtagits för att tillmötesgå begäran fortskrider. Den tillsynsmyndighet som tagit emot
          begäran ska redogöra för sina skäl för att vägra tillmötesgå begäran i enlighet med punkt 4.

6.        Varje tillsynsmyndighet som tar emot begäran ska som regel tillhandahålla den
          information som begärts av andra tillsynsmyndigheter på elektronisk väg med användning
          av ett standardiserat format.

7.        Tillsynsmyndigheter som tar emot begäran får inte ta ut någon avgift för åtgärder som de
          vidtagit efter en begäran om ömsesidigt bistånd. Tillsynsmyndigheter får i undantagsfall
          komma överens med andra tillsynsmyndigheter om regler för ersättning från varandra för
          vissa utgifter i samband med tillhandahållande av ömsesidigt bistånd.

5418/16                                                                  KSM/cwt                    115
                                                 DGD 2                                              SV
 ---pagebreak--- 8.        Kommissionen får genom genomförandeakter närmare ange format och förfaranden för
          sådant ömsesidigt bistånd som avses i denna artikel samt formerna för elektronisk
          överföring av information tillsynsmyndigheter emellan, samt mellan tillsynsmyndigheter
          och styrelsen. Dessa genomförandeakter ska antas i enlighet med det
          granskningsförfarande som avses i artikel 58.2.

                                              Artikel 51
                                         Styrelsens uppgifter

1.        Styrelsen som inrättats genom förordning (EU) 2016/… * ska i samband med
          uppgiftsbehandling som omfattas av detta direktivs tillämpningsområde ha följande
          uppgifter:

          a)   Ge kommissionen råd i alla frågor som gäller skydd av personuppgifter inom
               unionen, till exempel om eventuella förslag till ändring av detta direktiv.

          b)   På eget initiativ, på begäran av en av sina ledamöter eller av kommissionen behandla
               frågor om tillämpningen av detta direktiv och utfärda riktlinjer, rekommendationer
               och bästa praxis i syfte att främja en enhetlig tillämpning av detta direktiv.

          c)   Utforma riktlinjer för tillsynsmyndigheterna i fråga om tillämpningen av de åtgärder
               som avses i artikel 47.1 och 47.3.

*
      EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                  KSM/cwt                116
                                                DGD 2                                           SV
 ---pagebreak---           d)   Utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led b i denna
               punkt för att konstatera personuppgiftsincidenter och fastställa det otillbörliga
               dröjsmål som avses i artikel 30.1 och 30.2 och för de särskilda omständigheter under
               vilka ett personuppgiftsbiträde eller en personuppgiftsansvarig är skyldig att anmäla
               personuppgiftsincidenten.

          e)   Utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led b i denna
               punkt angående de omständigheter under vilka en personuppgiftsincident sannolikt
               kommer att orsaka en hög risk för rättigheterna och friheterna för de fysiska personer
               som avses i artikel 31.1.

          f)   Se över den praktiska tillämpningen av de riktlinjer och rekommendationer samt den
               bästa praxis som avses i leden b och c.

          g)   Avge ett yttrande till kommissionen för bedömningen av huruvida skyddsnivån i ett
               tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett
               tredjeland, eller en internationell organisation är adekvat, inbegripet för en
               bedömning av huruvida det tredjelandet, det territoriet, den specificerade sektorn
               eller den internationella organisationen inte längre säkerställer en adekvat
               skyddsnivå.

          h)   Främja samarbete och effektivt bilateralt och multilateralt utbyte av bästa praxis och
               information mellan tillsynsmyndigheterna.

          i)   Främja gemensamma utbildningsprogram och underlätta personalutbyte mellan
               tillsynsmyndigheterna, och där så är lämpligt även med tillsynsmyndigheter
               i tredjeland och internationella organisationer.

          j)   Främja utbyte av kunskap och dokumentation om lagstiftning och bästa praxis på
               området för dataskydd med tillsynsmyndigheter med ansvar för dataskydd i hela
               världen.

5418/16                                                                   KSM/cwt                   117
                                                 DGD 2                                             SV
 ---pagebreak---           Vad gäller första stycket led g ska kommissionen lämna all nödvändig dokumentation till
          styrelsen, inklusive korrespondens med regeringen i tredjelandet, med territoriet eller den
          specificerade sektorn i det tredjelandet eller med den internationella organisationen.

2.        När kommissionen begär rådgivning från styrelsen får den ange en tidsfrist med hänsyn till
          hur brådskande ärendet är.

3.        Styrelsen ska vidarebefordra sina yttranden, riktlinjer, rekommendationer och exempel på
          bästa praxis till kommissionen och till den kommitté som avses i artikel 58.1, samt
          offentliggöra dem.

4.        Kommissionen ska hålla styrelsen underrättad om de åtgärder den vidtagit som en följd av
          styrelsens yttranden, riktlinjer, rekommendationer och bästa praxis.

                                         KAPITEL VIII
                RÄTTSMEDEL, ANSVAR OCH SANKTIONER

                                               Artikel 52
                        Rätt att lämna in ett klagomål till en tillsynsmyndighet

1.        Utan att det påverkar andra administrativa prövningsförfaranden eller rättsmedel ska
          medlemsstaterna föreskriva att alla registrerade personer som anser att behandling som
          avser dem står i strid med de bestämmelser som antas i enlighet med detta direktiv har rätt
          att lämna in ett klagomål till en enda tillsynsmyndighet.

5418/16                                                                  KSM/cwt                   118
                                                 DGD 2                                             SV
 ---pagebreak--- 2.        Medlemsstaterna ska föreskriva att den tillsynsmyndighet som mottagit klagomålet ska
          överlämna det till den behöriga tillsynsmyndigheten utan onödigt dröjsmål, om klagomålet
          inte inlämnats till den myndighet som är behörig enligt artikel 45.1. Den registrerade ska
          informeras om överlämnandet.

3.        Medlemsstaterna ska föreskriva att den tillsynsmyndighet som mottagit klagomålet ska
          tillhandahålla ytterligare hjälp på den registrerades begäran.

4.        Den registrerade ska underrättas av den behöriga tillsynsmyndigheten om klagomålets
          handläggning och dess resultat, inbegripet rätten till rättsmedel enligt artikel 53.

                                                Artikel 53
                    Rätt till ett effektivt rättsmedel mot en tillsynsmyndighets beslut

1.        Utan att det påverkar något annat administrativt prövningsförfarande eller
          prövningsförfarande utanför domstol ska medlemsstater föreskriva att en fysisk eller
          juridisk person har rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut som
          avser dem och som meddelats av en tillsynsmyndighet.

2.        Utan att det påverkar något annat administrativt prövningsförfarande eller
          prövningsförfarande utanför domstol ska varje registrerad person ha rätt till ett effektivt
          rättsmedel om den enligt artikel 45.1 behöriga tillsynsmyndigheten inte inom tre månader
          behandlar ett klagomål eller om tillsynsmyndigheten inte informerar den registrerade om
          handläggningen eller resultatet av det klagomål som inlämnats enligt artikel 52.

3.        Medlemsstaterna ska föreskriva att talan mot en tillsynsmyndighet ska väckas vid domstol
          i den medlemsstat där tillsynsmyndigheten har sitt säte.

5418/16                                                                    KSM/cwt                       119
                                                  DGD 2                                                  SV
 ---pagebreak---                                               Artikel 54
   Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde

Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden
utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet enligt
artikel 52, ska medlemsstaterna föreskriva en rätt till effektiva rättsmedel för registrerade om han
eller hon anser att deras rättigheter enligt de bestämmelser som antas enligt detta direktiv har
kränkts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är
förenligt med dessa bestämmelser.

                                              Artikel 55
                               Företrädande av registrerade personer

Medlemsstaterna ska i enlighet med medlemsstaternas nationella processrätt se till att den
registrerade har rätt att ge ett organ, en organisation eller en sammanslutning utan vinstsyfte som
har inrättats på lämpligt sätt i enlighet med lagen i en medlemsstat, och vars stadgeenliga mål är av
allmänt intresse och som är verksam inom området skydd av registrerades rättigheter och friheter
vad gäller skyddet av deras personuppgifter, i uppdrag att lämna in klagomålet för hans eller hennes
räkning och att utöva de rättigheter som avses i artiklarna 52, 53 och 54 för hans eller hennes
räkning.

                                              Artikel 56
                                          Rätt till ersättning

Medlemsstaterna ska föreskriva att var och en som lidit materiell eller immateriell skada till följd av
en olaglig behandling av personuppgifter eller av någon annan åtgärd som står i strid med de
nationella bestämmelser som antas i enlighet med detta direktiv ska ha rätt till ersättning för denna
skada från den personuppgiftsansvarige eller varje annan myndighet som är behörig enligt
medlemsstaternas nationella rätt.

5418/16                                                                  KSM/cwt                   120
                                                DGD 2                                              SV
 ---pagebreak---                                                Artikel 57
                                               Sanktioner

Medlemsstaterna ska föreskriva sanktioner för överträdelser av bestämmelser som antas enligt detta
direktiv och ska vidta de åtgärder som krävs för att säkerställa att dessa sanktioner genomförs.
Sanktionerna ska vara effektiva, proportionella och avskräckande.

                                           KAPITEL IX
                               GENOMFÖRANDEAKTER

                                               Artikel 58
                                           Kommittéförfarande

1.        Kommissionen ska biträdas av den kommitté som inrättats enligt artikel 93 i förordning
          (EU) 2016/… *. Denna kommitté ska vara en kommitté i den mening som avses
          i förordning (EU) nr 182/2011.

2.        När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas.

3.        När det hänvisas till denna punkt, ska artikel 8 i förordning (EU) nr 182/2011 jämförd med
          artikel 5 i den förordningen tillämpas.

*
       EUT: Vänligen inför numret på förordningen i st 5419/16.

5418/16                                                                 KSM/cwt                      121
                                                    DGD 2                                          SV
 ---pagebreak---                                              KAPITEL X
                                  SLUTBESTÄMMELSER

                                               Artikel 59
                               Upphävande av rambeslut 2008/977/RIF

1.        Rambeslut 2008/977/RIF ska upphöra att gälla från och med den … [två år efter dagen för
          detta direktivs ikraftträdande].

2.        Hänvisningar till det upphävda beslut som avses i punkt 1 ska anses som hänvisningar till
          detta direktiv.

                                               Artikel 60
                                       Gällande unionsrättsakter

Detta direktiv ska inte påverka särskilda bestämmelser om skydd av personuppgifter
i unionsrättsakter på området för straffrättsligt samarbete och polissamarbete som trädde i kraft
den … [dagen för detta direktivs ikraftträdande] eller tidigare, vilka reglerar behandling
medlemsstaterna emellan och medlemsstaternas utsedda myndigheters tillgång till
informationssystem som inrättats på grundval av fördragen och som är relevanta för detta direktivs
tillämpningsområde.

5418/16                                                                 KSM/cwt                     122
                                                DGD 2                                               SV
 ---pagebreak---                                                  Artikel 61
                        Förhållande till tidigare ingångna internationella avtal
                      på området för straffrättsligt samarbete och polissamarbete

Internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella
organisationer som ingicks av medlemsstaterna före den … [dagen för detta direktivs
ikraftträdande] och som är förenliga med unionsrätt som var tillämplig före den … [dagen för detta
direktivs ikraftträdande] ska fortsätta att gälla tills de ändras, ersätts eller återkallas.

                                                 Artikel 62
                                        Kommissionens rapporter

1.        Kommissionen ska senast den … [sex år efter dagen för detta direktivs ikraftträdande] och
          därefter vart fjärde år överlämna en rapport om utvärderingen och översynen av detta
          direktiv till Europaparlamentet och rådet. Rapporten ska offentliggöras.

2.        Inom ramen för de utvärderingar och översyner som avses i punkt 1 ska kommissionen
          i synnerhet granska tillämpningen av kapitel V om överföring av personuppgifter till
          tredjeländer och internationella organisationer samt hur bestämmelserna fungerar, och
          därvid särskilt beakta beslut som antagits i enlighet med artiklarna 36.3 och 39.

5418/16                                                                      KSM/cwt                  123
                                                   DGD 2                                              SV
 ---pagebreak--- 3.        För de ändamål som avses i punkterna 1 och 2 får kommissionen begära information från
          medlemsstaterna och tillsynsmyndigheterna.

4.        Kommissionen ska när den utför de utvärderingar och översyner som avses i punkterna 1
          och 2 ta hänsyn till ståndpunkter och slutsatser från Europaparlamentet, rådet och andra
          relevanta organ och källor.

5.        Dessa rapporter får vid behov överlämnas tillsammans med lagstiftningsförslag om
          ändring, i syfte att ändra detta direktiv med särskild hänsyn till informationsteknikens
          utveckling och informationssamhällets framsteg.

6.        Kommissionen ska senast den … [tre år efter dagen för detta direktivs ikraftträdande] se
          över andra rättsakter som antagits av unionen och som reglerar de behöriga
          myndigheternas behandling för att uppnå de mål som anges i artikel 1.1, inklusive de som
          avses i artikel 60, i syfte att bedöma om de behöver anpassas till detta direktiv och att,
          i förekommande fall, lägga fram förslag till ändring av dessa rättsakter för att säkerställa
          ett enhetligt tillvägagångssätt för skydd av personuppgifter inom detta direktivs
          tillämpningsområde.

                                                   Artikel 63
                                                  Införlivande

1.        Medlemsstaterna ska senast den … [datum/ två år efter det att detta direktiv har trätt
          i kraft] anta och offentliggöra de lagar och andra författningar som är nödvändiga för att
          följa detta direktiv. De ska genast överlämna texten till dessa bestämmelser till
          kommissionen. De ska tillämpa dessa bestämmelser från och med den … [datum/två år
          efter det att detta direktiv har trätt i kraft].

5418/16                                                                   KSM/cwt                      124
                                                     DGD 2                                             SV
 ---pagebreak---           När en medlemsstat antar dessa bestämmelser ska de innehålla en hänvisning till detta
          direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om
          hur hänvisningen ska göras ska varje medlemsstat själv utfärda.

2.        Genom undantag från punkt 1 får medlemsstaterna föreskriva att de automatiserade
          behandlingssystem som inrättades innan den … [dagen för detta direktivs ikraftträdande]
          undantagsvis, när det innebär oproportionella ansträngningar, ska bringas
          i överensstämmelse med artikel 25.1 senast den … [sju år efter det att detta direktiv har
          trätt i kraft].

3.        Genom undantag från punkterna 1 och 2 i denna artikel får en medlemsstat under
          exceptionella omständigheter bringa ett automatiserat behandlingssystem som avses
          i punkt 2 i denna artikel i överensstämmelse med artikel 25.1 inom en specifik tidsperiod
          efter den period som avses i punkt 2 i den här artikeln om det annars skulle uppstå
          allvarliga problem för driften av detta specifika automatiserade behandlingssystem. Den
          berörda medlemsstaten ska underrätta kommissionen om skälen till dessa allvarliga
          problem och skälen till den angivna tidsperioden inom vilken den ska bringa detta
          specifika automatiserade databehandlingssystem i överensstämmelse med artikel 25.1.
          Den angivna perioden ska under inga omständigheter inte vara senare än … [tio år efter
          dagen för detta direktivs ikraftträdande].

4.        Medlemsstaterna ska till kommissionen överlämna texten till de centrala bestämmelser
          i medlemsstaternas nationella rätt som de antar inom det område som omfattas av detta
          direktiv.

5418/16                                                                  KSM/cwt                      125
                                                 DGD 2                                            SV
 ---pagebreak---                                                   Artikel 64
                                            Ikraftträdande

Detta direktiv träder i kraft dagen efter det att det har offentliggjorts i Europeiska unionens
officiella tidning.

                                                  Artikel 65
                                              Adressater

Detta direktiv riktar sig till medlemsstaterna.

Utfärdat i

På Europaparlamentets vägnar                                   På rådets vägnar
Ordförande                                                     Ordförande

5418/16                                                                  KSM/cwt                  126
                                                   DGD 2                                          SV