Prop. 99 L

(2016–2017)
Proposisjon til Stortinget (forslag til lovvedtak)

Endringer i politiregisterloven mv. (gjennomføring av direktiv (EU) 2016/680 mv.)

Tilråding fra Justis- og beredskapsdepartementet 5. april 2017, godkjent i statsråd samme dag. (Regjeringen Solberg)

Dokumentet på regjeringen.no

1 Proposisjonens hovedinnhold

Justis- og beredskapsdepartementet foreslår i denne proposisjonen endringer i lov 28. mai 2010 nr. 16 om behandling av opplysninger i politiet og påtalemyndigheten (politiregisterloven). Endringene skal til dels implementere direktiv (EU) 2016/680 om beskyttelse av fysiske personer ved behandling av personopplysninger for å forebygge, etterforske, avdekke eller straffeforfølge lovbrudd eller gjennomføring av straffereaksjoner, og om fri utveksling av slike opplysninger. Direktivet medfører ikke vesentlige materiellrettslige endringer i politiregisterloven. De endringer som foreslås går i hovedsak ut på presiseringer, tilføyelser, eller er knyttet til saksbehandlingsregler. I § 2 (definisjoner) blir noen eksisterende definisjoner presisert, samtidig som det tilføyes noen nye definisjoner, blant annet om biometriske personopplysninger. I § 6 (krav til opplysningenes kvalitet) utvides kravet om å skille mellom ulike kategorier personer til også å gjelde for behandling av opplysninger i straffesaker. I § 7 (behandling av særlige kategorier av opplysninger) utvides virkeområdet til også å omfatte biometriske opplysninger. I tillegg er det tilføyd at slike opplysninger også kan behandles dersom det er strengt nødvendig for å verne den registrertes eller en annen persons vitale interesser. I § 22 (utlevering av opplysninger til utlandet) er det tilføyd at tilleggsvilkår for utlevering av opplysninger til land som ikke har gjennomført direktivet, fastsettes i forskrift. I ny § 57 er det nedfelt at den registrerte kan saksøke både Datatilsynet, den behandlingsansvarlige og databehandleren uten hinder av eventuelle andre administrative klageordninger. I § 60 er det tilføyd at Datatilsynet kan fastsette tvangsmulkt dersom den behandlingsansvarlige ikke oppfyller tilsynets pålegg. I § 63 er personvernrådgiverordningen, som etter gjeldende rett er basert på frivillighet, gjort obligatorisk.

I tillegg foreslås det enkelte endringer som ikke har sammenheng med implementering av direktivet, bl.a. at krav om politiattest for ansatte hos tilsynsmyndigheten gjøres obligatorisk. Det foreslås også endringer i lov 4. desember 1992 nr. 126 om arkiv (arkivloven) og politiregisterloven for å åpne for at opplysninger i politiets registre kan slettes uten at det først gjennomføres en arkivfaglig vurdering, dersom fare for liv og helse eller tungtveiende personvernhensyn tilsier det. I tillegg foreslås det endringer i lov 4. august 1995 nr. 53 om politiet (politiloven) slik at kommuner som vedtar å benytte seg av adgangen til å håndheve deler av politivedtektene, må fastsette dette i kommunens lokale politivedtekter. Endelig foreslås det en mindre endring i lov 22. mai 1981 nr. 25 om rettergangsmåten i straffesaker (straffeprosessloven) og retting av en feil i lov 20. mai 2005 nr. 28 om straff (straffeloven).

2 Nærmere om direktivet

Rådet for den europeiske union vedtok 27. april 2016 direktiv (EU) 2016/680 om fysiske personers vern i forbindelse med kompetente myndigheters behandling av personopplysninger med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner og om fri utveksling av slike opplysninger, og opphevelse av Rådets rammebeslutning 2008/977/JIS.

Direktiv (EU) 2016/680 er vedtatt som en del av et nytt europeisk personvernregelverk, i tillegg til en generell forordning (EU) 2016/679 om behandling av personopplysninger. Direktivet skal erstatte rammebeslutning 2008/977/JIS om personvern innen politisamarbeid og annet rettslig samarbeid i straffesaker (heretter kalt rammebeslutningen), som er inntatt i Schengen-avtalen og gjennomført i politiregisterloven med tilhørende forskrift. Direktivet innebærer en videreutvikling av Schengen-regelverket. Direktivet er hjemlet i EU-pakten artikkel 8 nr. 1 og artikkel 16 nr. 1 i traktaten om den Europeiske Unions funksjonsmåte. Implementeringen av forordningen går i et eget løp, og omtales ikke nærmere her.

Norge er tilknyttet Schengen-samarbeidet gjennom avtale av 18. mai 1999 om Norge og Islands tilknytning til gjennomføringen, anvendelsen og videreutviklingen av Schengen-regelverket. Norske eksperter har i samsvar med avtalen deltatt i utformingen av regelverket. Norge skal på selvstendig grunnlag avgjøre om innholdet i rettsaktene skal godtas fra norsk side og innarbeides i norsk rett. I henhold til Schengen-avtalens artikkel 8 nr. 2 bokstav a skal EUs råd underrette Norge om vedtak om nye rettsakter som innebærer en videreutvikling av Schengenregelverket.

Gjennomføring av direktivet vil kreve endringer i norsk lovgivning. I samsvar med Grunnloven § 26 annet ledd og avtalen om tilknytning til Schengen-regelverket artikkel 8 nr. 2 bokstav c, må det derfor ved underretning til EU om norsk godtakelse av vedtak om videreutvikling av Schengen-regelverket, tas forbehold om Stortingets samtykke. Slik underretning ble besluttet ved kongelig resolusjon 28. oktober 2016.

Det fremmes en egen stortingsproposisjon med forslag om samtykke til godtakelse av direktivet.

Departementet gir i det følgende en oversikt over hovedinnholdet i direktivet, med fokus på de bestemmelsene som inneholder noe nytt i forhold til rammebeslutningen. En nærmere beskrivelse av innholdet i de bestemmelsene som nødvendiggjør lovendringer vil bli gitt i punkt 4.

Direktiv (EU) 2016/680 regulerer politiets og påtalemyndighetens behandling av personopplysninger til kriminalitetsbekjempende formål, og behandling av personopplysninger innenfor rammene av politisamarbeid og annet rettslig samarbeid i straffesaker. Direktivet er atskillig mer omfattende enn den tidligere rammebeslutningen. Direktivet har nesten dobbelt så mange artikler som rammebeslutningen, og i tillegg er artiklene mer detaljerte enn de tilsvarende bestemmelsene i rammebeslutningen. Dette har først og fremst sammenheng med ønsket om en størst mulig harmonisering mellom direktivet og den generelle forordningen (EU) 2016/679 om behandling av personopplysninger.

Den største forskjellen mellom direktivet og rammebeslutningen er anvendelsesområdet. Rammebeslutningen gjaldt i utgangspunktet bare for behandling av opplysninger som utveksles mellom medlemslandene, mens direktivet også gjelder for den nasjonale behandlingen av opplysninger.

Kapittel I omhandler formål, virkeområde og definisjoner. Nytt er at direktivet også gjelder for nasjonal behandling av opplysninger, og at det inneholder noen flere definisjoner. Nasjonale sikkerhetsmyndigheters behandling av personopplysninger var ikke omfattet av rammebeslutningen, og denne behandlingen ligger også utenfor direktivets anvendelsesområde.

Kapittel II inneholder grunnleggende bestemmelser om rettmessighet, forholdsmessighet og formålsbestemthet ved behandling av opplysninger, herunder at opplysningene må være relevante og tilstrekkelige. Nytt er at det i større grad skal skilles mellom kategorier av registrerte, for eksempel om en person er mistenkt, straffedømt eller vitne, og at det i større grad skal skilles mellom fakta og vurderinger. Videre regnes nå også biometri, DNA og seksuell orientering som sensitive opplysninger, der det oppstilles et strengere nødvendighetskrav enn ved behandling av andre opplysninger.

Kapittel III inneholder regler om informasjonsplikt, innsyn, retting, sletting og sperring. I tillegg er det gitt regler om den registrertes utøvelse av rettigheter gjennom tilsynsmyndigheten og særregler for behandling av opplysninger i straffesaker. Nytt er at det gis regler om informasjonsplikt, som i rammebeslutningen var overlatt til nasjonal lovgivning. Utover dette er det nytt at grunnløse eller gjentatte begjæringer om innsyn mv. kan avvises, og i tillegg er det gitt noe mer detaljerte saksbehandlingsregler.

Kapittel IV omhandler hvilke plikter som påligger den behandlingsansvarlige og databehandleren, krav til informasjonssikkerhet og personvernrådgiverordning. Nytt er at det legges opp til en obligatorisk personvernrådgiverordning, og at den registrerte som hovedregel skal varsles ved personvernbrudd. Nytt er også at det skal foretas en konsekvensutredning ved etablering av nye registre. Sistnevnte må ses i sammenheng med at forordning (EU) 2016/679 ikke har videreført den tidligere melde- og konsesjonsplikten for etablering av registre som fulgte av direktiv 95/46/EF. Rammebeslutningen hadde ingen tilsvarende bestemmelser.

Kapittel V inneholder generelle prinsipper om utlevering av opplysninger til tredjeland og internasjonale organisasjoner. Bestemmelsene berører imidlertid ikke avtaler som medlemslandene tidligere har inngått med tredjeland.

Kapittel VI omhandler uavhengige tilsynsmyndigheters kompetanse, oppgaver og virkemidler. Nytt er at tilsynsmyndighetene kan avvise eller kreve gebyr når den registrerte fremsetter grunnløse eller gjentatte begjæringer om kontroll.

Kapittel VII regulerer gjensidig bistand mellom tilsynsmyndighetene, både nasjonalt og mellom medlemslandene.

Kapittel VIII regulerer den registrertes rett til å klage til tilsynsmyndigheter samt retten til å saksøke både tilsynsmyndigheten, behandlingsansvarlig og databehandleren. I tillegg inneholder kapittelet bestemmelser om erstatning og sanksjoner. Nytt er at den registrerte har rett til å saksøke databehandleren. En tilsvarende bestemmelse finnes også i forordningen.

Det fremgår av artikkel 63 at medlemsstatene skal treffe de nødvendige tiltakene for at bestemmelsene i direktivet gjennomføres innen 6. mai 2018, og at medlemslandene sender Kommisjonen sitt nasjonale regelverk der bestemmelsene i direktivet er gjennomført.

Direktivet i uoffisiell norsk oversettelse følger som trykt vedlegg til proposisjonen.

3 Høringen

3.1 Forslag til endringer for å implementere direktiv (EU) 2016/680

Forslag til endringer for å implementere direktiv (EU) 2016/680 ble sendt på høring 1. november 2016 med frist for innspill 15. desember 2016 til følgende instanser:

Departementene

Datatilsynet

DIFI

Direktoratet for samfunnssikkerhet og beredskap

Domstoladministrasjonen

Forsvarsstaben

Helsedirektoratet

Kommisjonen for gjenopptakelse av straffesaker

Kontrollutvalget for kommunikasjonskontroll

Kontrollutvalget for tiltak mot hvitvasking

Kriminalomsorgsdirektoratet

Kripos

Likestillings- og diskrimineringsombudet

Nasjonal kommunikasjonsmyndighet

Nasjonal sikkerhetsmyndighet

Politidirektoratet

Politihøgskolen

Politiets sikkerhetstjeneste (PST)

Regjeringsadvokaten

Riksadvokaten

Riksarkivet

Skattedirektoratet

Spesialenheten for politisaker

Statistisk Sentralbyrå

Statsadvokatembetene

Stortingets kontrollutvalg for etterretnings-, overvåkings- og sikkerhetstjeneste

(EOS- utvalget)

Stortingets ombudsmann for forvaltningen (Sivilombudsmannen)

Sysselmannen på Svalbard

Tolldirektoratet

Utlendingsdirektoratet

Utlendingsnemnda

Vegdirektoratet

Økokrim

Amnesty International Norge

Antirasistisk Senter

Den Norske Advokatforening

Den Norske Dommerforening

Juridisk rådgivning for kvinner (JURK)

Juss-Buss

Jussformidlingen

Innvandrernes landsorganisasjon

Kommunesektorens organisasjon

Landsorganisasjonen i Norge (LO)

Mediebedriftenes landsforening

Norges politilederlag

Norsk forening for kriminalreform (KROM)

Norsk Senter for Menneskerettigheter

OMOD (Organisasjon mot offentlig diskriminering)

Politiets Fellesforbund

Rettspolitisk forening

Departementet mottok 21 høringsuttalelser, hvorav 10 hadde realitetsmerknader. Høringsinstansenes uttalelser vil bli omtalt i tilknytning til endringsforslagene, jf. punkt 4 og 5 nedenfor.

3.2 Forslag til endringer om sletting av opplysninger

Forslag til endringer i arkivloven og politiregisterloven for å åpne for sletting av opplysninger i politiets registre uten at det først gjennomføres en arkivfaglig vurdering, dersom tungtveiende personvernhensyn gjør seg gjeldende, ble sendt på høring 15. desember 2016 med frist for innspill 26. januar 2017 til følgende instanser:

Departementene

Datatilsynet

DIFI

Direktoratet for samfunnssikkerhet og beredskap

Domstoladministrasjonen

Folkehelseinstituttet

Helsedirektoratet

Kommisjonen for gjenopptakelse av straffesaker

Kriminalomsorgsdirektoratet

Likestillings- og diskrimineringsombudet

Nasjonal kommunikasjonsmyndighet

Nasjonal sikkerhetsmyndighet

Politidirektoratet

Politiets sikkerhetstjeneste (PST)

Riksadvokaten

Riksarkivet

Spesialenheten for politisaker

Statistisk Sentralbyrå

Statsadvokatembetene

Stortingets ombudsmann for forvaltningen (Sivilombudsmannen)

Sysselmannen på Svalbard

Utlendingsdirektoratet

Utlendingsnemnda

Vegdirektoratet

Amnesty International Norge

Den Norske Advokatforening

Den Norske Dommerforening

Juridisk rådgivning for kvinner (JURK)

Juss-Buss

Jussformidlingen

Innvandrernes landsorganisasjon

Kommunesektorens organisasjon

Landsorganisasjonen i Norge (LO)

Norsk forening for kriminalreform (KROM)

OMOD (Organisasjon mot offentlig diskriminering)

Politiets Fellesforbund

Rettspolitisk forening

Departementet mottok 25 høringsuttalelser, hvorav 12 hadde merknader. Høringsinstansenes uttalelser vil bli omtalt i tilknytning til endringsforslagene, jf. punkt 5.3 til 5.5. nedenfor.

3.3 Forslag til endringer i politiloven

Forslag til endringer i politiloven § 14 tredje ledd ble sendt på høring 4. november 2016 med frist for innspill 27. januar 2017 til følgende instanser:

Departementene

Politidirektoratet

Riksadvokaten

Stortingets ombudsmann for forvaltningen (Sivilombudsmannen)

Den Norske Advokatforening

Landets kommuner

Kommunesektorens organisasjon (KS)

Politiets Fellesforbund

Departementet mottok 14 høringsuttalelser, hvorav 7 hadde merknader.

4 Lovendringer som følge av direktivet

4.1 Innledende merknader

Som nevnt i punkt 2 er anvendelsesområdet den største forskjellen mellom direktivet og rammebeslutningen. Rammebeslutningen gjelder i utgangspunktet bare for behandling av opplysninger som utveksles mellom medlemslandene, mens direktivet også gjelder for den nasjonale behandlingen av opplysninger. Denne forskjellen vil imidlertid ikke medføre endringer i norsk regelverk, idet politiregisterloven gjennomfører rammebeslutningen også for nasjonal behandling av opplysninger.

Utover dette inneholder direktivet ikke vesentlige materiellrettslige forskjeller i forhold til rammebeslutningen. De bestemmelsene i direktivet som representer noe nytt i forhold til rammebeslutningen er først og fremst av presiserende art eller saksbehandlingsregler. De fleste endringene vil derfor bli gjennomført i politiregisterforskriften.

Tilbakemeldingene fra høringsinstansene var i det alt vesentlige positive. Datatilsynet uttaler at departementet har gjort en god og grundig gjennomgang av det aktuelle regelverket og behovet for endringer, og Datatilsynet er på de fleste områder enig i departementets vurderinger og forslag til lov- og forskriftsendringer.

I det følgende gis det en fremstilling av endringsforslagene i politiregisterloven. Departementet har valgt å ta utgangspunkt i direktivets kapitler, for derved å synliggjøre hvilke artikler i de ulike kapitlene som nødvendiggjør lovendringer. Det vil også kort gjøres rede for hvorfor enkelte bestemmelser i direktivet som representerer noe nytt i forhold til rammebeslutningen, ikke avstedkommer endringer i regelverket. For helhetens skyld vil det i enkelte tilfeller også kort nevnes hvilke endringer som ble foreslått i politiregisterforskriften.

4.2 Direktivet kapittel I: Generelle bestemmelser

Kapittel I inneholder bestemmelser om direktivets formål, virkeområde samt definisjoner av sentrale begreper som benyttes i direktivet. I politiregisterloven er disse forholdene regulert i lovens kapittel 1.

4.2.1 Departementets vurderinger og forslag i høringsnotatet

Formålet i artikkel 1 er i hovedsak sammenfallende med rammebeslutningens formål. Det er imidlertid nytt at beskyttelse mot og forebygging av trusler mot den offentlige sikkerhet eksplisitt er omfattet. I politiregisterloven § 2 nr. 13 er det imidlertid tatt høyde for dette ved at ordenstjeneste er definert som et politimessig formål, slik at det ikke ble foreslått endringer.

Direktivets virkeområde, jf. artikkel 2, omfatter også den nasjonale behandlingen av opplysninger, mens rammebeslutningen i utgangspunktet bare kom til anvendelse for opplysninger som utveksles mellom medlemsstatene. Denne forskjellen i anvendelsesområdet vil imidlertid ikke medføre lovendringer i Norge, jf. det som er sagt om dette i punkt 2.

Direktivet regulerer ikke behandling av opplysninger til formål som faller utenfor unionsretten. Dette innebærer at direktivet ikke regulerer PSTs behandling av personopplysninger. I rammebeslutningen artikkel 1 nr. 4 ble det eksplisitt sagt at rammebeslutningen ikke berørte vesentlige nasjonale sikkerhetsinteresser og særskilt etterretningsvirksomhet som gjelder nasjonal sikkerhet. Selv om dette ikke kommer like tydelig frem i direktivet, berører direktivet ikke de hemmelige tjenestene, noe som også er uttalt i direktivets fortale punkt 14. Departementet mente derfor at artikkel 2 ikke avstedkommer endringer i politiregisterloven eller forskriften hva gjelder regulering av PSTs behandling av opplysninger.

Artikkel 3 inneholder definisjoner av en rekke begreper som benyttes i direktivet. Flere av begrepene som defineres i direktivet er også definert i rammebeslutningen artikkel 2, men ordlyden er noe annerledes og mer omfattende. Blant annet regnes også opplysninger om lokasjonsdata, online-identifikator og faktorer knyttet til genetisk identitet som personopplysninger, jf. artikkel 3 nr. 1. I politiregisterloven § 2 nr. 1 er en personopplysning definert som enhver opplysning og vurdering som kan knyttes til en fysisk person. Departementet mente at definisjonen i politiregisterloven er dekkende også for den utvidete definisjonen i direktivet, men foreslo likevel at det presiseres i § 2 nr. 1 at personopplysninger er opplysninger som kan knyttes til fysisk person som «kan identifiseres direkte eller indirekte». Videre ble det foreslått å innta i forskriften § 1-2 nr. 1 at opplysninger om lokasjonsdata, online-identifikator og faktorer knyttet til genetisk identitet regnes som personopplysninger.

Behandlingsbegrepet i direktivet er utvidet ved at også strukturering av opplysninger regnes som behandling av personopplysninger. Departementet foreslo at «strukturering» inntas i definisjonen av behandling i § 2 nr. 2. Endringen innebærer ikke realitetsendringer, men sikrer sammenfall med direktivets definisjon.

I direktivet gis det enkelte nye definisjoner i forhold til rammebeslutningen. Disse er profilering (nr. 4), pseudonymisering (nr. 5), informasjonssikkerhetsbrudd (nr. 11), genetiske data (nr. 12), biometriske data (nr. 13), helseopplysninger (nr. 14), tilsynsmyndighet (nr. 15) og internasjonal organisasjon (nr. 16). Etter departementets vurdering var det ikke behov for å lovfeste definisjonene av profilering, genetiske data, biometriske data, helseopplysninger, tilsynsmyndighet og internasjonal organisasjon. Begrepene er også definert i forordningen artikkel 4, som vil bli gjennomført i norsk rett. Begrepene skal forstås på samme måte i politiregisterloven. Definisjonen av internasjonal organisasjon ble foreslått inntatt i kapittel 70 i forskriften om utlevering til tredjeland og internasjonale organisasjoner.

Departementet foreslo imidlertid å innta definisjonen av informasjonssikkerhetsbrudd i politiregisterloven § 2 nytt nr. 14. Begrunnelsen for dette var at direktivet artikkel 30 og 31 pålegger den behandlingsansvarlige å varsle tilsynsmyndigheten og informere den registrerte ved slike brudd. Dette i motsetning til de øvrige definisjonene, som ikke i seg selv utløser noen rettigheter eller plikter.

4.2.2 Høringsinstansenes syn

Politidirektoratet og Kripos mener at definisjonen av begrepet «informasjonssikkerhetsbrudd» kan gi inntrykk av at bruddet omfatter mer enn hva som er tilsiktet. Kripos anfører at begrepet informasjonssikkerhet er et samlebegrep for krav til konfidensialitet, integritet og tilgjengelighet som knyttes til informasjonsbehandling. Kripos mener at det bør komme klart frem at det er brudd på disse kravene til behandlingen som utgjør et informasjonssikkerhetsbrudd, i motsetning til eksempelvis personellsikkerhetsbrudd eller fysiske sikkerhetsbrudd.

Nasjonal kommunikasjonsmyndighet (Nkom) gir uttrykk for lignende synspunkter. Nkom gjør oppmerksom på at det synes som at begrepsbruken «informasjonssikkerhetsbrudd» som er lagt til grunn i forslaget til § 2 nr. 14 ser ut til å være noe utvidet sammenlignet med direktivteksten «personal data breach», jf. artikkel 3 nr. 11 og artiklene 30 og 31. Det vises til at teksten i høringsnotatet gir inntrykk av at det ikke er tiltenkt noen slik utvidelse av brudd på personopplysningssikkerhet til å gjelde brudd på informasjonssikkerhet.

Øst politidistrikt mener at flere av definisjonene i artikkel 3 bør gjennomføres i politiregisterloven eller forskriften i stedet for å bli henvist til definisjonen i artikkel 4 i forordningen, for derved å skape bedre tilgjengelighet for brukerne.

4.2.3 Departementets vurdering

Departementet er enig at definisjonen i forslaget til § 2 nr. 14 ikke bør etterlate tvil om hvilke brudd som omfattes. Begrepet «informasjonssikkerhetsbrudd» foreslås derfor erstattet med begrepet «personvernbrudd», samtidig som innholdet i begrepet presiseres i de spesielle merknadene til bestemmelsen, jf. punkt 7 i proposisjonen. Videre har man kommet til at noen flere av definisjonene i direktivets artikkel 3 bør gjennomføres i politiregisterloven § 2. Disse er «genetisk opplysning» og «biometrisk opplysning», som er foreslått inntatt i lovens § 7 og derved bare kan behandles dersom dette er strengt nødvendig. Endelig foreslås at begrepet «internasjonal organisasjon» inntas i § 2, som i høringsnotatet var foreslått inntatt i forskriften kapittel 70. Siden begrepet brukes i lovens § 22 kan det være hensiktsmessig at også definisjonen fremkommer i loven.

4.3 Direktivet kapittel II: Prinsipper

Kapittel II gir anvisning på hvilke prinsipper som skal legges til grunn ved behandling av opplysninger, slik de kommer til uttrykk i artikkel 4 til 11.

4.3.1 Departementets vurderinger og forslag i høringsnotatet

I høringsnotatet la departementet til grunn at artiklene 4, 5, 8, 9 og 11 ikke avstedkommer endringsbehov i politiregisterlovgivningen. Artikkel 4 omhandler krav til formålsbestemthet, nødvendighet, forholdsmessighet, opplysningens kvalitet og at behandlingen skal tilfredsstille krav til informasjonssikkerhet. Disse forholdene er på tilsvarende måte regulert i politiregisterloven §§ 4, 5, 6, 15 og 50, og krever således ingen endring. Artikkel 8 om behandlingens rettmessighet omhandler på mange måter det samme som også er nedfelt i artikkel 4 nr. 1 og 2 om at formålet med behandlingen og nødvendigheten skal være lovfestet. Dette er gjennomført i politiregisterloven § 4.

Artikkel 5 gir anvisning på at medlemsstatene skal sørge for at det etableres tidsfrister for sletting av personopplysninger eller for periodiske gjennomganger av behovet for å lagre personopplysninger. Denne bestemmelsen er gjennomført i politiregisterforskriften del 11, der det er fastsatt nærmere slettefrister for opplysninger som behandles i politiets ulike registre.

Artikkel 9 regulerer særskilte behandlingsvilkår. Av nr. 1 og 2 fremgår det at dersom opplysninger som ble innhentet til politimessige formål senere behandles til andre formål enn politimessige – enten av den behandlingsansvarlige selv eller av annen mottaker – skal denne behandlingen reguleres av forordningen. I Norge følger dette av lovens system, og er for politiets vedkommende uttrykkelig uttalt i politiregisterloven § 3 første ledd nr. 2, hvoretter politiets forvaltningsvirksomhet og sivile gjøremål er unntatt fra politiregisterlovens anvendelsesområde. I artikkel 9 nr. 3 reguleres de tilfellene der det i henhold til nasjonal rett gjelder særlige vilkår for behandling av enkelte typer opplysninger. Siden politiregisterlovgivningen ikke oppstiller slike særlige vilkår, så man ingen grunn til å gjennomføre artikkelen.

Artikkel 11 omhandler automatiserte avgjørelser og tilsvarer artikkel 7 i rammebeslutningen, som imidlertid ikke ble gjennomført i politiregisterloven. Begrunnelsen for dette var at det i Norge ikke er ordninger der individuelle avgjørelser som er av betydning for den det gjelder utelukkende er basert på automatisk behandling. Siden dette fortsatt gjelder, så departementet heller ikke grunn til å gjennomføre artikkel 11 i politiregisterloven.

Derimot ble det foreslått endringer i politiregisterlovgivningen som følge av artiklene 6, 7 og 10.

Artikkel 6 angir at den behandlingsansvarlige, der det er aktuelt og så langt det er mulig, skal skille mellom personopplysninger tilknyttet ulike kategorier av registrerte. Bestemmelsen skiller mellom personer som er mistenkt for å ha begått eller kommer til å begå et lovbrudd, domfelte, ofre for kriminalitet og andre personer tilknyttet et lovbrudd, som vitner eller personer tilknyttet mistenkte og straffedømte. Bestemmelsen er ny i forhold til rammebeslutningen. I tillegg til krav om sondring i artikkel 6, oppstilles det i artikkel 7 nr. 1 et krav om at personopplysninger basert på fakta så langt mulig skal kunne skilles fra opplysninger basert på personlige vurderinger. Bestemmelsen er ny i forhold til rammebeslutningen, og det finnes heller ikke noen lignende bestemmelse i politiregisterlovgivningen. Politiregisterlovgivningen skiller riktig nok mellom verifiserte og ikke-verifiserte opplysninger, jf. for eksempel politiregisterloven § 6 annet ledd og § 20, men denne sondringen er ikke nødvendigvis sammenfallende med skillet mellom fakta og vurderinger.

At det skal skilles mellom ulike kategorier opplysninger fremgår av politiregisterloven § 6 tredje ledd siste punktum, men bestemmelsen inneholder i motsetning til artikkel 6 ingen nærmere eksemplifisering av hvilke kategorier av opplysninger det er tale om. Det ble derfor foreslått at de ulike typer kategorier av opplysninger som er listet opp i artikkel 6 inntas i politiregisterloven § 6. Det samme gjelder for sondringen mellom opplysninger som er basert på fakta eller på vurderinger, jf. artikkel 7 nr. 1. Videre gjelder § 6 bare for opplysninger som behandles etter § 5 nr. 2, det vil si til kriminalitetsbekjempelse utenfor den enkelte straffesak. Artikkel 6 og 7 nr. 1 gjelder imidlertid også for behandling av opplysninger i den enkelte straffesak, slik at henvisningen til § 5 nr. 2 må strykes.

Artikkel 7 nr. 2 gir anvisning på at kompetente myndigheter skal sikre at personopplysninger som ikke er oppdaterte, er uriktige eller er mangelfulle ikke skal overføres eller gjøres tilgjengelig. Før opplysninger overføres eller gjøres tilgjengelige skal derfor opplysningenes kvalitet kontrolleres. Så langt mulig skal mottaker ved overføring av opplysninger gis nødvendig informasjon for å kunne vurdere opplysningenes korrekthet, fullstendighet og pålitelighet. Det skal i tillegg angis i hvilken grad opplysningene er oppdaterte. Lignende forhold er regulert i rammebeslutningen artikkel 8 nr. 1, som ikke er direkte gjennomført i politiregisterloven.

Begrunnelsen for dette var at rammebeslutningen, på grunn av sitt anvendelsesområde, ikke hadde noen egen bestemmelse om krav til opplysningens kvalitet, men utelukkende regulerte krav til opplysningens kvalitet i forbindelse med utlevering av opplysningene til andre medlemsland. Som følge av dette la man til grunn at det er tilstrekkelig å regulere opplysningens kvalitet for den nasjonale behandlingen, slik det er gjort i politiregisterloven § 6. For utlevering av opplysninger til utlandet er bestemmelsen gjennomført i politiregisterforskriften § 70-6.

Når direktivet viderefører kravet til kontroll av opplysninger ved utlevering i artikkel 7 nr. 2 til tross for at kravene til opplysningens relevans, tilstrekkelighet og korrekthet er regulert i artikkel 6 nr. 1 bokstav c og d, indikerer dette at kvalitetskontroll av opplysninger i forbindelse med utlevering er et selvstendig krav.

Departementet fant imidlertid ikke at det er nødvendig å gjennomføre artikkel 7 nr. 1 i loven, men foreslo at bestemmelsen tas inn som nytt første ledd i forskriften § 11-3, som i dag regulerer formkrav ved utlevering av opplysninger.

Artikkel 7 nr. 3 stiller krav om at dersom uriktige personopplysninger har blitt overført eller personopplysninger er overført ulovlig, skal mottaker varsles straks. Etter nr. 3 annet punktum skal de overførte personopplysningene rettes, slettes eller sperres i samsvar med reglene om retting, sletting og sperring i artikkel 16. Plikten til å informere mottakeren av uriktige opplysninger er regulert i rammebeslutningen artikkel 8 nr. 2, som er gjennomført i politiregisterloven § 53. Det fremgår imidlertid ikke uttrykkelig av § 53 at opplysningene i så fall skal rettes, slettes eller sperres, idet dette uansett følger av politiregisterloven § 51.

Om denne problemstillingen uttalte departementet i høringsnotatet følgende:

«Ved første øyekast kan det synes som om artikkel 7 nr. 3 er en ren videreføring av artikkel 8 nr. 2 i rammebeslutningen. Når artikkel 7 nr. 3 viser til artikkel 16, innbefatter dette imidlertid også artikkel 16 nr. 6, hvoretter også mottakeren i en slik situasjon pålegges å rette, slette eller sperre de uriktige opplysningene. Dette representerer noe nytt i forhold til rammebeslutningen. Bestemmelsen er noe merkelig, idet den legger opp til at politiregisterloven pålegger retting, sletting eller sperring selv om mottakeren av opplysningene faller utenfor politiregisterlovens anvendelsesområde. Dette er til en viss grad i strid med den generelle oppfatningen om at mottakeren av opplysninger skal behandle disse i samsvar med den lovgivningen som gjelder for mottakeren, med mindre avgiver har knyttet særlige vilkår til behandlingen. Dette gjelder både taushetspliktsbestemmelser og regler om behandling av opplysninger. Dersom politiet for eksempel utleverer opplysninger til skatteetaten, vil taushetspliktsbestemmelsene i skattelovgivningen og bestemmelsene i personopplysningsloven komme til anvendelse for den videre behandling i skatteetaten. Siden også personopplysningsloven (eller for den saks skyld forordningen) har regler om plikt til å rette, slette eller sperre uriktige opplysninger, ville resultatet bli det samme. Det ville videre representere noe prinsipielt nytt at det i politiregisterloven gis regler for behandlingsansvarlige som faller utenfor lovens anvendelsesområde. […]

Etter departementets oppfatning ville den beste løsning være at det i § 53 gis anvisning på at den behandlingsansvarlige i forbindelse med underretning om at det er sendt uriktige opplysninger, skal anmode mottakeren om å rette, slette eller sperre opplysningene i samsvar med det rettslige grunnlaget som gjelder for mottakeren.»

Direktivet artikkel 10 gir anvisning på at behandling av særlige kategorier av personopplysninger bare kan finne sted dersom det er strengt nødvendig. Tilsvarende forhold er regulert i rammebeslutningen artikkel 6, som er gjennomført i politiregisterloven § 7. Nytt i direktivet er at også genetisk informasjon og biometrisk informasjon regnes som særlige kategorier av personopplysninger, som kun skal behandles dersom det er strengt nødvendig. Videre er det nytt at også «seksuell orientering» faller inn under denne kategorien, mens det tidligere bare var «seksuallivet».

Nytt er også at artikkelen oppstiller tre alternative behandlingsgrunnlag for denne type opplysninger i bokstavene a til c, som kan være hjemmel i lov, for å beskytte den registrertes eller en annen fysisk persons vitale rettigheter, eller opplysninger som den registrerte selv har offentliggjort. Bestemmelsen nødvendiggjør endringer i politiregisterloven § 7, ved at man tilføyer de tidligere nevnte kategoriene. Departementet fant videre grunn til å foreslå at man i politiregisterloven § 7 tilføyer at disse opplysningene også kan behandles i de tilfellene som nevnt i artikkel 10 bokstav b, idet beskyttelse av den registrerte eller ivaretakelse av andre personers vitale interesser ikke nødvendigvis er et politimessig formål. Siden bokstav b derved i enkelte tilfeller representerer en viss utvidelse av politiregisterlovens formål, fant man det nødvendig å lovfeste denne adgangen. Når det gjelder bokstav c fant departementet ikke grunn til å gjennomføre denne. At den registrerte selv har offentliggjort slike opplysninger bør ikke være et selvstendig grunnlag for politiets behandling når vilkårene om formålsbestemthet og nødvendighet ikke er oppfylt.

Utover dette foreslo departementet at begrepet «nasjonal» i politiregisterloven § 7 erstattes med «rasemessig». Bakgrunnen for at § 7 inneholder begrepet «nasjonal» er at det under høringen av forslaget til politiregisterloven ble anført at begrepet «rasemessig bakgrunn» bør fjernes fordi det ikke finnes vitenskapelig belegg for at det eksisterer ulike raser. Departementet sluttet seg til denne argumentasjonen, og erstattet derfor begrepet «rasemessig» med «nasjonal», selv om begrepet «rasemessig» ble brukt både i politiregisterutvalgets forslag og i rammebeslutningen. Det har imidlertid i etterkant vist seg at begrepet «nasjonal» bakgrunn ble misforstått, idet begrepet ble likestilt med statsborgerskap. Videre brukes begrepet «rase» både i artikkel 10 i direktivet og i artikkel 9 i forordningen. I punkt 37 i fortalen til direktivet er det anført at opplysninger om rasemessig eller etnisk opprinnelse bør beskyttes særskilt, uten at dette innebærer at Unionen aksepterer teorier som forsøker å fastslå at det finnes forskjellige menneskeraser. På denne bakgrunn mente departementet at begrepet «rasemessig» også bør inntas i politiregisterloven for å sikre ensartet språkbruk, og for å unngå de ovenfor nevnte misforståelser.

4.3.2 Høringsinstansenes syn

Ad endringsforslaget i politiregisterloven § 6

Politidirektoratet og Kripos gir uttrykk for at opplistingen av de ulike kategorier personopplysninger er for detaljert. Videre bør man under enhver omstendighet ikke nevne kategorien «informant», idet informasjonen om i hvilken grad en person er en informant må skjermes så langt som mulig. Begge høringsinstansene reiser spørsmålet om kravet om kategorisering/merking av de registrerte personene medfører at kategoriseringen må være bygget inn i de tekniske løsningene, eller om det er tilstrekkelig at man ved innsyn eller utlevering av opplysninger skal kunne vise til hvilken kategori registrerte personer tilhører.

Øst politidistrikt støtter forslaget og gir uttrykk for at det både ut fra et personvernperspektiv og for politiets arbeid er viktig at det fremgår hvilken rolle den registrerte har og om det dreier seg om fakta eller vurderinger.

Ad endringsforslaget i politiregisterloven § 7

Politidirektoratet og Kripos støtter forslaget om å fjerne begrepet «nasjonal», men er skeptiske til begrepet «rasemessig» på grunn av de negative assosiasjonene som er knyttet til begrepet. Begge disse høringsinstansene gir videre uttrykk for at det er vanskelig å se forskjellen mellom «seksuelle forhold» og «seksuell orientering». Kripos reiser i tillegg spørsmålet om tilføyelsen av «genetiske og biometriske opplysninger med det formål entydig å identifisere en fysisk person» medfører endringer i dagens praksis om registrering og bruk av biometriske opplysninger i politiets registre som inneholder biometriske opplysninger, nærmere sagt om dagens praksis vil være innenfor kriteriet «strengt nødvendig».

Politiets sikkerhetstjeneste har ingen innsigelser mot forslaget, men forutsetter at endringen ikke hindrer eller påvirker politiets bruk av straffeprosessuelle hjemler knyttet til denne typen opplysninger.

Ad endringsforslaget i politiregisterloven § 53

Ingen av høringsinstansene som har uttalt seg om forslaget hadde innvendinger.

4.3.3 Departementets vurdering

Ad endringsforslaget i politiregisterloven § 6

Hovedhensikten med artikkel 6 i direktivet er at det skal fremgå tydelig om den registrerte er antatt gjerningsperson eller om vedkommende har en annen rolle i saken. Videre skal det fremgå om gjerningspersonen er domfelt eller om det bare er tale om mistanke, siktelse mv. Slike vurderinger var også årsaken til at kravet om markering av kategorier personer ble tatt inn i politiregisterloven § 6 tredje ledd, selv om pålegget ble begrenset til å gjelde registreringen utenfor den enkelte straffesak. Når det gjelder behandling av opplysninger i den enkelte straffesak, legges det til grunn at det uansett fremgår om den registrerte for eksempel har status som antatt gjerningsperson eller om vedkommende er fornærmet, vitne mv. Således vil det i straffesaksdokumentene regelmessig fremgå hvilken kategori personer vedkommende tilhører. Departementet legger derfor til grunn at forslaget til endring i § 6 tredje ledd, hva gjelder sondringen mellom ulike kategorier av personer, ikke vil medføre noen vesentlige endringer i praksis.

Behovet for å skille er ikke aktuelt i de registrene som bare inneholder registrering av en kategori personer, slik som for eksempel reaksjonsregisteret og DNA-registeret. Derimot vil behovet for å skille mellom ulike kategorier personer gjør seg gjeldende for enkelte registre som inneholder opplysninger tilknyttet straffesaker. Dette gjelder for eksempel for straffesaksregisteret, jf. politiregisterforskriften kapittel 48, der det i § 48-5 nr. 5 er gitt adgang til å registrere «personalia for involverte personer».

Videre kan det etter politiregisterforskriften § 26-2 registreres opplysninger som ledd i den interne saksbehandlingen. Her vil det blant annet kunne registreres opplysninger fra straffesaksdokumenter, herunder involverte personer, og behovet for å skille mellom ulike kategorier personer er derfor også tilstede i disse tilfellene.

Det å være registrert i politiets registre er et inngrep i henhold til EMK artikkel 8, og det vil av mange oppfattes som en belastning å være registrert i disse registrene. Det er derfor særlig viktig at det skilles mellom de nevnte kategoriene, slik at det ved søk på personer er tydelig hvilken kategori de tilhører. Som Øst politidistrikt anfører vil det også være i politiets egen interesse at det fremgår av registrene hvilken kategori personer den registrerte tilhører. Endringsforslaget innebærer ikke at kategoriseringen må være bygget inn i de tekniske løsningene. Det sentrale er at det i forbindelse med søk i registrene eller utlevering av opplysninger fra registrene på en eller annen måte fremgår hvilken kategori vedkommende tilhører.

Det er videre viktig å understreke at direktivet ikke oppstiller et absolutt krav om å markere slike skiller, men at dette skal gjøres dersom det er relevant og så vidt mulig. Endringsforslaget til § 6 gir derved ikke uttrykk for et absolutt krav, men åpner for en skjønnsmessig vurdering. Avgjørende for denne vurderingen vil være å ivareta formålet med bestemmelsen, som er at ingen figurerer som antatt gjerningsperson eller domfelt uten å være det.

Departementet er for øvrig enig i anførslene fra de høringsinstansene som gir uttrykk for at opplistingen av kategoriene kan kortes ned og at begrepet «informant» bør fjernes.

Ad endringsforslaget i politiregisterloven § 7

Departementet finner innledningsvis grunn til å bemerke at endringsforslagene ikke vil få betydning for politiets bruk av straffeprosessuelle hjemler knyttet til denne typen opplysninger, som for eksempel straffeprosessloven § 158 om innhenting av biologisk materiale med sikte på å gjennomføre en DNA-analyse. Det samme gjelder for registrering og bruk av biometriske opplysninger i politiets registre som inneholder biometriske opplysninger, som for eksempel DNA-registeret eller fingeravtrykkregisteret. Denne behandlingen vil fortsatt styres av de reglene som styrer angjeldende registre.

Departementet har merket seg at enkelte høringsinstanser er skeptiske til begrepet «rasemessig». Departementet har forståelse for disse synspunktene, men fastholder likevel forslaget. Som nevnt i punkt 4.3.1 brukes dette begrepet både i direktivet og i artikkel 9 i forordningen. Forordningen vil bli gjennomført ordrett i norsk rett, med mindre det er åpnet for nasjonale særreguleringer. Artikkel 9 i forordningen åpner ikke for slik særregulering. Dersom man skulle velge å erstatte begrepet «rasemessig» i politiregisterloven med et annet begrep eller å fjerne det helt, ville man komme i den situasjon at definisjonen av særlige kategorier opplysninger ville være annerledes for politiet enn for alle andre behandlingsansvarlige som er underlagt forordningen. En slik fremgangsmåte ville være egnet til å skape et inntrykk av at denne forskjellen innebærer en realitetsforskjell, noe som ikke er tilfelle. For å sikre ensartethet og for å unngå misforståelser mener departementet at det er mest hensiktsmessig å bruke begrepet i politiregisterloven. I tillegg har man erstattet begrepet «bakgrunn» med begrepet «opprinnelse» for å etablere ensartethet mellom § 7 og den norske oversettelsen av artikkel 10. Når det til slutt gjelder enkelte høringsinstansers merknader knyttet til begrepene «seksuelle forhold» og «seksuell orientering» er det også her ønskelig å oppnå mest mulig ensartethet med oversettelsen av forordningen og direktivet, og begrepene opprettholdes derfor.

Ad endringsforslaget i politiregisterloven § 53

Ingen av høringsinstansene som har avgitt uttalelse har innvendinger, og forslaget opprettholdes.

4.4 Direktivet kapittel III: Den registrertes rettigheter

Kapittel III regulerer den registrertes rettigheter. Kapittelet inneholder blant annet bestemmelser om informasjon til den registrerte, innsyn, rett til retting, sperring og sletting, rett til å utøve rettighetene gjennom tilsynsmyndigheten og en særbestemmelse om den registrertes rettigheter i straffesak.

4.4.1 Departementets vurderinger og forslag i høringsnotatet

I høringsnotatet ble det uttalt at kapittel III er noe vanskelig tilgjengelig. Dette har blant annet sammenheng med at enkelte artikler inneholder bestemmelser som også finnes i andre kapitler i direktivet, og at kapittelet i tillegg til å regulere den registrertes rettigheter, også gir en rekke bestemmelser om saksbehandlingsregler og om den behandlingsansvarliges rettigheter og plikter. I tillegg må artikkel 13, 14 og 16 ses i sammenheng med unntaksbestemmelsen i artikkel 18 om behandling av opplysninger i straffesaker, som gir uttrykk for at forhold knyttet til retten til informasjon, innsyn, sperring, retting og sletting av opplysninger reguleres av nasjonal rett når personopplysninger behandles i forbindelse med straffesaker. Direktivet forutsetter således ikke at det må gjøres endringer i de eksisterende reglene for den registrertes rettigheter i straffesaker.

I høringsnotatet ble det foretatt en bred gjennomgang av artiklene i kapittel III med henblikk på å vurdere om bestemmelsene nødvendiggjør endringer i politiregisterloven. Departementet har konkludert med at bestemmelsene i politiregisterloven som gjelder de omtalte rettighetene er i samsvar med bestemmelsene i direktivet, og at det således ikke er nødvendig å endre loven. Derimot har man foreslått enkelte endringer i politiregisterforskriften for å oppfylle direktivets krav knyttet til saksbehandling.

Selv om man var av den oppfatning at kapittel III ikke nødvendiggjør endringer i politiregisterloven, ble det i høringsnotatet likevel foreslått enkelte endringer i politiregisterloven § 48 om informasjonsplikt.

Begrunnelsen for dette var at unntakene fra informasjonsplikten i § 48 annet ledd nr. 2 ikke er sammenfallende med unntakene fra innsynsretten i § 49 fjerde ledd og artikkel 13 nr. 3, ved at hensynet til nasjonal og offentlig sikkerhet og hensynet til gjennomføring av strafferettslige reaksjoner ikke er nevnt i § 48. Hensett til det snevre virkeområdet for informasjonsplikten i § 48, er det lite trolig at hensynet til nasjonal sikkerhet og gjennomføring av strafferettslige reaksjoner vil kunne være en aktuell unntaksgrunn. Departementet har imidlertid kommet til at hensynet til harmonisering med unntakene i § 49 og artikkel 13 nr. 3 i direktivet tilsier at de nevnte forholdene også tas inn som hensyn som kan begrunne unntak fra informasjonsplikten.

4.4.2 Høringsinstansenes syn og departementets vurdering

Ingen av høringsinstansene har gitt uttrykk for at bestemmelsene i kapittel III i direktivet bør avstedkomme endringer i politiregisterloven. Forslaget til endringer i politiregisterloven § 48 støttes av de høringsinstansene som har uttalt seg om spørsmålet. Departementet opprettholder derfor endringsforslaget.

4.5 Direktivet kapittel IV: Behandlingsansvarlig og databehandler

Direktivet kapittel IV regulerer den behandlingsansvarliges og databehandlerens forpliktelser. Kapittelet er delt inn i tre deler. Første del (artikkel 19 til 28) omhandler generelle forpliktelser for den behandlingsansvarlige og databehandleren, herunder blant annet krav om å sikre at opplysninger behandles i samsvar med direktivet (artikkel 19), innebygget personvern (artikkel 20), delt behandlingsansvar (artikkel 21), den behandlingsansvarliges og databehandlerens oversikt over opplysninger som behandles (artikkel 24), logging (artikkel 25) og vurdering av personvernkonsekvenser og forhåndsdrøftelser med tilsynsmyndigheten (artikkel 27 og 28). Andre del (artikkel 29 til 31) omhandler informasjonssikkerhet, herunder krav om varsling av tilsynsmyndigheten og informasjon til den registrerte ved personvernbrudd. Tredje del (artikkel 32 til 34) omhandler personvernrådgivere.

Kapittel IV er atskillig mer omfattende enn de tilsvarende bestemmelsene i rammebeslutningen artikkel 21 til 23, noe som skyldes at kapittelet er utarbeidet etter mal av forordningen kapittel IV. Krav til blant annet informasjonssikkerhet, internkontroll, sporing og databehandlerens rådighet over personopplysninger er regulert i politiregisterloven §§ 15 til 18, og er nærmere utdypet i politiregisterforskriften kapittel 39 og 40. I hovedsak er disse bestemmelsene dekkende for kravene som stilles i kapittel IV, med unntak av enkelte endringer som omtales nærmere nedenfor.

4.5.1 Departementets vurderinger og forslag i høringsnotatet

I høringsnotatet la departementet til grunn at del 1 i direktivets kapittel IV ikke avstedkommer endringer i politiregisterloven. Derimot ble det foreslått noen tilføyelser i politiregisterforskriften §§ 39-2 og 39-5 om hvilke forhold henholdsvis behandlingsansvarlig og databehandler skal ha oversikt over.

I høringsnotatet ble det likevel foreslått å oppheve politiregisterloven § 57 om meldeplikt, og i denne forbindelse knyttet departementet noen merknader til behovet for å gjennomføre artiklene 27 og 28 om konsekvensutredning og konsultasjon med tilsynsmyndigheten.

Politiregisterloven § 57 og forskriften kapittel 41 stiller krav om at det skal gis melding til Datatilsynet blant annet ved etablering av nye registre. Kravet om meldeplikt fantes ikke i rammebeslutningen, men man valgte med politiregisterloven likevel å innføre krav om meldeplikt, ettersom det var et krav i det tidligere personverndirektivet (direktiv 95/46/EF), se Ot.prp. nr. 108 (2008–2009) punkt 16.1. Det ble imidlertid i kongelig resolusjon 20. september 2013 nr. 1097 (politiregisterforskriften) punkt. 7.10.1 uttalt at meldeplikten ville ha liten selvstendig betydning ved siden av plikten til å forskriftsregulere behandlingen. Bestemmelsene om meldeplikt er ikke trådt i kraft.

Den nye personvernforordningen viderefører ikke bestemmelsene om meldeplikt fra direktiv 95/46/EF, og det er heller ikke bestemmelser om meldeplikt i direktiv (EU) 2016/680. Departementet foreslo derfor at eksisterende bestemmelser i politiregisterloven § 57 og forskriften kapittel 41 om meldeplikten oppheves, da det ikke er grunn til å ha meldeplikt for politiets og påtalemyndighetens behandling av opplysninger når de nevnte rettsaktene ikke inneholder en slik plikt. Som følge av dette ble det også foreslått å oppheve politiregisterloven § 69 første ledd nr. 22 som hjemler adgang til å gi forskrifter om meldeplikten. Det vises til punkt 4.9 og 4.7 nedenfor, der det foreslås å gi henholdsvis § 57 og § 69 første ledd nr. 22 et nytt innhold. Opphevelsen av § 57 medfører videre at § 14 må endres, idet den viser til § 57. Det ble foreslått at formuleringen i § 14 i stedet erstattes med «før etablering av et sentralt register», slik at kravet om forskriftsregulering av politiets registre videreføres.

Selv om direktivet ikke inneholder noe krav om meldeplikt, legges det likevel opp til at det må foretas vurderinger før nye behandlinger starter, og at tilsynsmyndighetene skal involveres. Etter direktivet artikkel 27 skal den behandlingsansvarlige, før en behandling som kan medføre stor risiko for personers rettigheter og friheter starter, gjennomføre en vurdering av behandlingens konsekvenser for personvernet. Bestemmelsen tilsvarer med enkelte justeringer forordningen artikkel 35 nr. 1 og 7. Kravet om forutgående konsekvensutredning er nytt i forhold til rammebeslutningen, og er ikke regulert i politiregisterloven eller forskriften.

Artikkel 28 stiller krav om at den behandlingsansvarlige eller databehandleren skal konsultere tilsynsmyndigheten dersom konsekvensutredningen etter artikkel 27 indikerer at behandlingen vil medføre stor risiko uten kompenserende tiltak, eller dersom behandlingsmåten innebærer stor risiko for den registrertes rettigheter og friheter.

Bestemmelsen tilsvarer i hovedsak forordningen artikkel 36, men er begrenset til å gjelde der behandlingen skal utgjøre en del av et nytt register.

I høringsnotatet ble det gitt følgende begrunnelse for hvorfor man mente at det ikke var nødvendig å gjennomføre disse artiklene:

«Departementet kan ikke se at det er nødvendig å gjennomføre artikkel 27 og 28 i politiregisterloven. Ettersom loven stiller krav om at politiets registre skal forskriftsreguleres, vil ikke den behandlingsansvarlige kunne opprette nye registre uten at det først gis en forskrift. Forskriftene vil bli sendt på høring, slik at de personvernmessige konsekvensene vil bli tilstrekkelig belyst, og tilsynsmyndighetene vil ha anledning til å uttale seg. Ordningen med konsekvensutredning og konsultasjon som direktivet legger opp til vil dermed ikke ha noen selvstendig betydning, og det foreslås derfor ingen endringer.»

Departementet ba imidlertid om høringsinstansenes syn på spørsmålet, særlig fra Datatilsynet.

Når det gjelder del 2 om informasjonssikkerhet i direktivet kapittel IV fant departementet heller ingen grunn til å foreta endringer i politiregisterloven. Derimot ble det foreslått endringer i politiregisterforskriften § 40-5 om avvik som skal gjennomføre artiklene 30 og 31 i direktivet. Det ble som følge av dette også foreslått justeringer i forskriftshjemmelen i politiregisterloven § 69 første ledd nr. 7.

Kapittel IV del 3 regulerer personvernrådgiverordningen, og nødvendiggjør endringer i både politiregisterloven og forskriften. I politiregisterloven § 63 er det angitt at det kan etableres en ordning med personvernrådgiver. Personvernrådgiverens oppgaver er nærmere regulert i politiregisterforskriften kapittel 43. Etter direktivet artikkel 32 skal det opprettes en ordning med personvernrådgiver. Det fremgår imidlertid av fortalen punkt 63 at oppgaven kan utføres på heltid eller deltid, og at en personvernrådgiver kan gjøre tjeneste for flere behandlingsansvarlige. Bestemmelsen tilsvarer delvis forordningen artikkel 37, men er blant annet begrenset til kun å gjelde for den behandlingsansvarlige og ikke for databehandlere.

Bestemmelsen nødvendiggjør endringer i politiregisterloven § 63 og forskriften § 43-1 som følge av at ordningen med personvernrådgiver ikke lenger er frivillig. Det ble i tillegg foreslått å ta ut av lovbestemmelsen at den behandlingsansvarlige skal gi melding til Datatilsynet om at det er etablert en ordning med personvernrådgiver, ettersom dette også er regulert i forskriften § 43-1.

4.5.2 Høringsinstansenes syn

Ingen av høringsinstansene hadde innvendinger mot forslagene om å endre politiregisterloven § 14, endringer i forskriftshjemmelen i § 69 første ledd nr. 7 eller til forslaget om å oppheve § 57 om meldeplikt med tilsvarende forskriftshjemmel i § 69 første ledd nr. 22.

Når det gjelder behovet for å gjennomføre artikkel 27 og 28 om konsekvensutredning og konsultasjon, ga Datatilsynet uttrykk for at tilsynet hadde forståelse for departementets standpunkt i høringsnotatet, men at tilsynet likevel mener at de angjeldende artiklene bør synliggjøres i politiregisterforskriften.

Flere høringsinstanser har knyttet merknader til endringsforslaget til politiregisterloven § 63 om obligatorisk personvernrådgiverordning.

Politidirektoratet mener at ordlyden i bestemmelsen bør være klarere med hensyn til omfanget av personvernrådgiverordningen. Etter direktoratets oppfatning bør det fremgå av ordlyden at alle virksomheter i politi- og lensmannsetaten som behandler personopplysninger etter politiregisterloven skal ha en slik funksjon.

Kripos uttaler at ordningen med personvernrådgivere allerede er godt etablert i politiet, og at det derfor ikke bør medføre særlige utfordringer å gjøre ordningen obligatorisk. Kripos påpeker at det ikke fremgår av lovforslaget hvorvidt hvert politidistrikt og særorgan som har et behandlingsansvar etter politiregisterloven må ha en personvernrådgiver, eller om det er tilstrekkelig at det finnes personvernrådgivere i politiet. Kripos er av den oppfatning at ordningen bør gjelde så bredt som mulig, slik at det som minimum finnes dedikert personell som ivaretar oppgavene og rollen som personvernrådgiver i hvert distrikt og særorgan.

Innlandet politidistrikt uttaler at innføring av obligatorisk ordning med personvernrådgiver er fornuftig for å sikre korrekt og enhetlig praksis. Det vises til at personvernrådgiver er en viktig rolle sett opp mot blant annet internasjonale forpliktelser og for å bedre kvaliteten på politiets behandling av opplysninger. I tillegg uttaler politidistriktet:

«Regelverket fremstår som moderne og lett forståelig. Problemet ligger i solid forankring fra ledelsen og nedover i rekkene. Hvis ikke toppledelsen har dette som et viktig tema på agendaen, så vil vi ikke klare å skape den kulturendringen som ligger i dette fokuset på personvern og informasjonssikkerhet. Det er derfor særs viktig at dette knyttes opp mot en dedikert stilling som personvernrådgiver i en av stabene i politidistriktet.»

4.5.3 Departementets vurdering

Departementet har merket seg at Datatilsynet er enig med departementet i at artiklene 27 og 28 ikke må gjennomføres i politiregisterloven. På bakgrunn av innspillet fra Datatilsynet har departementet kommet til at artiklene likevel bør gjennomføres i politiregisterforskriften.

Når det gjelder forslaget om obligatorisk personvernrådgiverordning, finner departementet innledningsvis grunn til å understreke at ordningen ikke bare gjelder for politiet, men også for påtalemyndigheten. Utover dette finner man det gledelig at personvernrådgiverordningen, som ble innført i forbindelse med vedtakelsen av politiregisterloven, ifølge uttalelsene fra Politidirektoratet og Kripos synes å være godt etablert til tross for at ordningen er frivillig. Departementet er i utgangspunktet enig med høringsinstansene i at ordningen bør etableres i alle virksomheter innenfor politiet, og for den saks skyld også innenfor påtalemyndigheten. Man finner likevel ikke grunn til å lovfeste dette. Det vises her til at artikkel 32 riktig nok gir anvisning på at det skal innføres en personvernrådgiverordning, men dette kan ikke leses slik at hver virksomhet innenfor et offentlig organ skal ha en slik ordning. Det fremgår også tydelig av punkt 63 i direktivets fortale at en personvernrådgiver kan utføre tjeneste for flere behandlingsansvarlige og at oppgaven kan utføres på heltid eller deltid. Det er således opp til de behandlingsansvarlige, det vil si sjefene for statsadvokatembeter, politidistrikter og særorganer, å bestemme om og hvordan de vil organisere personvernrådgiverordningen. Den folkerettslige forpliktelsen som ligger i artikkel 32, nemlig at det skal finnes en personvernrådgiverordning i politiet, har Norge allerede oppfylt. Det vises også til at det i forbindelse med vedtakelsen av politiregisterloven ble tildelt 10 stillinger til personvernrådgivere i politiet.

Siden ingen av høringsinstansene hadde innvendinger mot forslagene om å endre politiregisterloven §§ 14 og 63, endringer i forskriftshjemmelen i § 69 første ledd nr. 7 eller til forslaget om å oppheve § 57 om meldeplikt med tilsvarende forskriftshjemmel i § 69 første ledd nr. 22, opprettholdes forslagene.

4.6 Direktivet kapittel V: Utlevering av opplysninger til tredjeland og internasjonale organisasjoner

Direktivet kapittel V regulerer utlevering av opplysninger til tredjeland og til internasjonale organisasjoner. Lignende forhold er regulert i rammebeslutningen artikkel 13, som er gjennomført i politiregisterforskriften § 70-16. Rammebeslutningens bestemmelse gjaldt imidlertid kun for utlevering av opplysninger som er mottatt fra et annet medlemsland, mens direktivet kapittel V gjelder uavhengig av hvor opplysningene kommer fra.

4.6.1 Departementets vurderinger og forslag i høringsnotatet

Som følge av at direktivet gir detaljerte regler som gjelder for all utlevering til tredjeland og internasjonale organisasjoner, var det nødvendig å foreslå justeringer i politiregisterloven § 22 første ledd. Det må komme klart frem at første ledd gjelder for utlevering til land som er bundet av direktivet, mens tilleggskrav om utlevering til tredjeland og internasjonale organisasjoner er gitt i forskriften.

I politiregisterforskriften kapittel 70 er det i dag inntatt de særskilte bestemmelser i rammebeslutningen som regulerer utveksling av personopplysninger over landegrenser. Som følge av at direktivet opphever rammebeslutningen, blir også gjeldende kapittel 70 å oppheve. Departementet foreslo at man i kapittel 70 i stedet inntar de bestemmelser i kapittel V som gjelder for utlevering av opplysninger til tredjeland og internasjonale organisasjoner. For å gjøre det klart at PST ikke omfattes av kapittel 70, ble det i utkastet til § 70-3 presisert at kapittelet ikke berører saker som behandles av Politiets sikkerhetstjeneste.

4.6.2 Høringsinstansenes syn og departementets vurdering

PST mener at unntaket for PST som er foreslått i politiregisterforskriften § 70-3 bør fremgå av loven, da det trinnmessig fremstår som uriktig at unntaket først synliggjøres i forskriften. Departementet slutter seg ikke til det. Når tilleggsvilkårene fastsettes i forskrift, hører unntakene også hjemme i forskrift.

4.7 Direktivet kapittel VI: Tilsyn

Kapittel VI i direktivet regulerer ulike forhold knyttet til tilsynsmyndigheter.

4.7.1 Departementets vurderinger og forslag i høringsnotatet

I høringsnotatet ble det vist til at man ikke fant det nødvendig å gjennomføre artiklene 41 til 44 i politiregisterlovgivningen. Disse artiklene inneholder bestemmelser om tilsynsmyndighetenes uavhengighet, hvordan de skal opprettes og hvilket ansvarsområde de skal ha. Bestemmelsene i kapittel VI tilsvarer i det alt vesentlige kapittel VI i forordningen. Disse forholdene vil bli regulert i regelverket som gjennomfører forordningen i norsk rett, og det er på samme måte som etter gjeldende rett ikke noen grunn til å gjennomføre disse bestemmelsene i politiregisterloven. Det fremgår også eksplisitt av direktivet artikkel 41 nr. 3 at en tilsynsmyndighet som er etablert etter forordningen også kan være tilsynsmyndighet etter direktivet.

Tilsynsmyndighetenes kompetanse, oppgaver og virkemidler er regulert i artikkel 45 til 47. Disse forholdene er regulert i politiregisterloven §§ 58 til 60, og man kunne ikke se at direktivet nødvendiggjør endringer i disse bestemmelsene.

Nytt er likevel at artikkel 46 nr. 4 åpner for at tilsynsmyndighetene kan kreve gebyr eller avvise en begjæring om kontroll fra den registrerte, dersom begjæringen åpenbart er ubegrunnet eller fremsatt gjentatte ganger. Slike situasjoner er det allerede tatt høyde for i politiregisterforskriften § 42-4 annet ledd, hvoretter Datatilsynet kan avvise slike begjæringer. Bestemmelsen åpner imidlertid ikke for å kunne kreve gebyr. Det ble derfor foreslått å innta i forskriften § 42-4 annet ledd at det i stedet for å avvise en begjæring om kontroll, kan kreves gebyr for å behandle begjæringen. Adgang til å ilegge gebyrer krever lovhjemmel. Det ble derfor foreslått at denne adgangen forankres i forskriftshjemmelen i politiregisterloven § 69 nr. 22.

Tilsynsmyndighetens adgang til å ilegge gebyrer mv. ved behandling av opplysninger i strid med regelverket vil bli omtalt under direktivets kapittel VIII, se punkt 4.9.1.

4.7.2 Høringsinstansenes syn og departementets vurdering

Ingen av høringsinstansene som har uttalt seg har innvendinger og departementet opprettholder derfor forslaget.

4.8 Direktivet kapittel VII: Samarbeid

Kapittel VII i direktivet omhandler tilsynsmyndighetenes gjensidige bistand innenfor EU-landene og Personvernrådets («European Data Protection Board») oppgaver, jf. artikkel 50 og 51. Disse bestemmelsene tilsvarer artikkel 61 og 70 i forordningen.

4.8.1 Departementets vurderinger og forslag i høringsnotatet

I høringsnotatet ga departementet uttrykk for en viss tvil med henblikk på om det var nødvendig å gjennomføre artikkel 50 i politiregisterlovgivningen, og uttalte følgende om dette:

«I artikkel 50 gis det detaljerte regler om hvordan tilsynsmyndighetene i de ulike landene skal samarbeide i forbindelse med blant annet anmodninger om bistand. Departementet er i tvil om i hvilken grad det er nødvendig å gjennomføre denne bestemmelsen i politiregisterlovgivningen. Det må legges til grunn at Datatilsynet uansett vil forholde seg til bestemmelsene i artikkel 50, som er identiske med artikkel 61 nr. 1 til 7 i forordningen som vil bli gjennomført i den nye personopplysningsloven, uten at disse eksplisitt gjentas i politiregisterlovgivningen. Det bes særlig om Datatilsynets uttalelse til om det er hensiktsmessig å innta bestemmelsen, alternativt at det vises til at den tilsvarende bestemmelsen i regelverket som gjennomfører personvernforordningen gjelder tilsvarende.»

4.8.2 Høringsinstansenes syn

Datatilsynet uttaler følgende om dette i sin høringsuttalelse:

«Som departementet skriver, kommer Datatilsynet, uansett om dette fremgår av politiregisterregelverket eller ikke, til å yte bistand til andre tilsynsmyndigheter i den aktuelle bestemmelsen i direktivet. Således er det ikke strengt nødvendig at våre forpliktelser fremgår av politiregisterlovgivningen. Vi vil likevel foreslå at tilsynsmyndighetens forpliktelse på en eller annen måte fremgår av nasjonalt regelverk.

[…]

Samtidig har vi forståelse for at disse bestemmelsene kanskje er for omfattende til at det er hensiktsmessig å innta innholdet i dem i sin helhet i politiregisterlov og -forskrift. Reglene gjelder heller ikke politiet og påtalemyndighetens forpliktelser ved behandling av personopplysninger, men tilsynsmyndighetens arbeidsform.

Vi mener derfor at det er tilstrekkelig at det inntas en henvisning til den tilsvarende bestemmelsen som gjennomfører personvernforordningen, og at det ikke er nødvendig å innta innholdet i hele artikkel 50 i lov eller forskrift. Vi kan ikke se at det er noe i veien for å gjøre dette juridisk […].»

4.8.3 Departementets vurdering

Departementet har merket seg at Datatilsynet er enig i departementets vurdering om at det ikke er nødvendig å innta ordlyden i artikkel 50 i politiregisterloven eller forskriften. Departementet er videre innstilt på å etterkomme Datatilsynets forslag om at det i forskriften gis en henvisning til den tilsvarende bestemmelsen i forordningen. Dette må imidlertid utstå inntil forordningen er gjennomført i norsk rett.

4.9 Direktivet kapittel VIII: rettsmidler, ansvar og sanksjoner

Kapittel VIII inneholder regler om hvilke rettsmidler den registrerte skal ha for å kunne ivareta sine rettigheter (artikkel 52 til 54), hvem vedkommende kan la seg representere av (artikkel 55), krav om erstatning (artikkel 56) og sanksjoner ved brudd på regelverket (artikkel 57).

4.9.1 Departementets vurderinger og forslag i høringsnotatet

Når det gjelder muligheten til bruk av rettsmidler, skiller direktivet mellom tre ulike situasjoner. Dersom klagen retter seg mot den behandlingsansvarlige eller databehandleren, skal den registrerte både ha klagemulighet til en tilsynsmyndighet og adgang til å bringe saken inn for domstolene, jf. artikkel 52 og 54. I tillegg skal den registrerte ha mulighet til å benytte seg av rettsmidler mot tilsynsmyndigheten, jf. artikkel 53.

Artikkel 52 regulerer ulike sider ved den registrertes adgang til å kunne klage til et uavhengig tilsynsorgan. I henhold til artikkel 52 nr. 1 skal den registrerte ha slik klageadgang uavhengig av eventuelle administrative klageordninger. At den registrerte har en slik rett fremgår uttrykkelig av politiregisterloven § 55 tredje ledd og bestemmelsen nødvendiggjør derved ingen endringer i politiregisterloven.

Artikkel 53 og 54 må ses i sammenheng, idet begge regulerer den registrertes adgang til å kunne saksøke tilsynsmyndigheten, den behandlingsansvarlige og databehandleren uavhengig av andre administrative klageordninger.

Artikkel 53 regulerer den registrertes adgang til å bringe tilsynsmyndighetenes avgjørelser mv. inn for domstolene. Etter artikkel 53 nr.1 skal enhver fysisk eller juridisk person ha rett til å bringe en juridisk bindende avgjørelse truffet av en tilsynsmyndighet inn for domstolene. Etter nr.2 gjelder det samme i de tilfellene der tilsynsmyndigheten unnlater å behandle den registrertes begjæring eller unnlater å underrette den registrerte om fremdrift eller utfallet innen tre måneder. Endelig gis det i nr.3 anvisning på at en rettssak mot tilsynsmyndigheten skal anlegges i den medlemsstat der tilsynsmyndigheten er etablert. Bestemmelsen er delvis ny i forhold til rammebeslutningen, men artikkel 53 tilsvarer artikkel 78 i forordningen. At den registrerte kan saksøke tilsynsmyndigheten uavhengig av administrative klageordninger, innebærer at den registrerte ikke er henvist til å benytte seg av adgangen til å påklage Datatilsynets avgjørelse til Personvernnemnda, jf. politiregisterloven § 60 tredje ledd, før saken kan bringes inn for domstolene.

Etter artikkel 54 skal den registrerte ha rett til å kunne saksøke både den behandlingsansvarlige og databehandleren, dersom vedkommende mener at hans rettigheter i henhold til den lovgivningen som gjennomfører direktivet er krenket. Denne retten skal gjelde uavhengig av andre administrative eller utenrettslige klageordninger. Bestemmelsen tilsvarer artikkel 79 nr. 1 i forordningen. For norske forhold innebærer dette at den registrerte verken må benytte seg av klageadgangen til et overordnet organ etter politiregisterloven § 55 første ledd, eller muligheten til å be Datatilsynet om kontroll etter politiregisterloven § 59 før han eventuelt går til søksmål.

Departementet foreslo at rettighetene etter artikkel 52 nr. 1 og 2 og artikkel 53 gjennomføres i politiregisterloven. At en rettssak mot tilsynsmyndigheten skal anlegges i den medlemsstat der tilsynsmyndigheten er etablert, jf. artikkel 53 nr. 3, følger allerede av lov 17. juni 2005 nr. 90 om mekling og rettergang i sivile saker (tvisteloven) § 4-4 om alminnelig verneting, og er således ikke nødvendig å gjennomføre.

Som nevnt i punkt 4.5.1 oppheves politiregisterloven § 57 som følge av at meldeplikten ikke er videreført i direktivet. Retten til å saksøke tilsynsmyndigheten, den behandlingsansvarlige og databehandleren plasseres derfor i ny § 57, samtidig som § 57 flyttes fra politiregisterlovens kapittel 10 om tilsyn til lovens kapittel 9 om klageadgang og erstatning.

Artikkel 55 omhandler hvem den registrerte kan la seg representere av i saker som er omtalt i artiklene 52 til 54. Det nevnes uttrykkelig at den registrerte kan la seg representere av organer eller sammenslutninger som har som formål å ivareta personvernmessige interesser. Artikkelen sier imidlertid også at dette gjelder dersom det er i samsvar med nasjonal rettspleielovgivning.

Når det gjelder saker om begjæring om kontroll av en tilsynsmyndighet, jf. artikkel 52, setter lovgivningen ingen begrensninger med henblikk på hvem den registrerte ønsker å la seg representere av. Det samme gjelder for så vidt også klageadgangen etter politiregisterloven § 55. Det eneste som kreves i disse tilfellene er at den registrerte utstyrer sin fullmektig med tilstrekkelig fullmakt. Når det gjelder rettssaker, som omtalt i artikkel 53 og 54, gir tvisteloven anvisning på hvem som kan være prosessfullmektig. I tvisteloven § 3-3 er det ikke åpnet for at slike organisasjoner og sammenslutninger som nevnt i artikkel 55 kan opptre som prosessfullmektig. Som følge av dette vil den registrerte heller ikke ha mulighet til å la seg representere av disse dersom han velger å saksøke en tilsynsmyndighet eller den behandlingsansvarlige. Artikkel 55 avstedkommer dermed ingen endringer i politiregisterloven.

Artikkel 56 gir uttrykk for at den registrerte skal ha rett til erstatning for økonomisk og ikke-økonomisk tap ved brudd på det nasjonale regelverket som gjennomfører direktivet. Erstatningskravet skal kunne gjøres gjeldende overfor den behandlingsansvarlige eller eventuelt annen myndighet dersom nasjonal rett gir anvisning på det. Bestemmelsen tilsvarer artikkel 19 i rammebeslutningen, som er gjennomført i politiregisterloven § 56, og krever derfor ingen endring. Det foreslås imidlertid en endring av denne bestemmelsen i punkt 5.1 nedenfor, som ikke har sammenheng med direktivet.

Artikkel 57 stiller krav om at medlemsstatene skal fastsette sanksjoner som skal få anvendelse ved overtredelse av bestemmelser som vedtas i henhold til direktivet. Det heter videre at sanksjonene skal være effektive, stå i rimelig forhold til overtredelsens art og skal ha avskrekkende virkning. Tilsvarende forhold er regulert i rammebeslutningen artikkel 24.

I politiregisterloven er det ikke innført noen særskilt straffebestemmelse. Om dette ble det i Ot.prp. nr. 108 (2008–2009) punkt 15.3.4 uttalt:

«Departementet har vurdert om artikkel 24 tilsier at det bør gis en egen straffebestemmelse i politiregisterloven, men har kommet til at dette ikke er nødvendig. Utvalget synes i sin begrunnelse å legge til grunn at sanksjoner i politiregisterloven utelukkende vil rette seg mot tjenestemenn i politiet og påtalemyndigheten. En slik innfallsvinkel er noe for snever, idet for eksempel også databehandlere vil kunne gjøre seg skyldig i brudd på politiregisterlovens bestemmelser.

Departementet viser imidlertid til at brudd på politiregisterlovgivningen vil kunne straffes etter en rekke bestemmelser i straffeloven 1902 og straffeloven 2005. Særlig sentralt står bestemmelsene om straff for henholdsvis uberettiget befatning med tilgangsdata, uberettiget tilgang til datasystem og brudd på taushetsplikt. I tillegg vil tjenestemenn som bryter bestemmelsene kunne straffes etter de mer generelle bestemmelsene om tjenestefeil eller, dersom forholdet er grovt, for misbruk av stillingen. I lys av dette kan man ikke se at er behov for særskilte straffetrusler i politiregisterloven.»

Man så imidlertid i etterkant at man i forbindelse med vedtakelsen av politiregisterloven i for stor grad har fokusert på straffesanksjonering ved brudd på loven. Av de grunner som er gjengitt ovenfor foreslo departementet fortsatt ikke sanksjoner i form av straff eller ileggelse av gebyrer. Derimot mente man at direktivets krav om effektive og avskrekkende sanksjoner også kan oppfylles ved innføring av tvangsmulkt, tilsvarende bestemmelsene i lov 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) § 47 og lov 20. juni 2014 nr. 43 om helseregistre og behandling av helseopplysninger (helseregisterloven) § 33.

4.9.2 Høringsinstansenes syn

Ad forslag til politiregisterloven ny § 57

Kripos anfører at den registrertes adgang til å gå til søksmål fremgår av forvaltningsloven § 27 b, og at forslaget til ny § 57 derfor er unødvendig. Kripos anfører videre at forslaget går lenger enn hva direktivet legger opp til. Det anføres at begrepet «without prejudice to» i artikkel 54 ikke kan forstås slik at retten til effektive rettsmidler skal gjelde uten at retten til administrative eller utenomrettslige klageordninger er benyttet. Derimot må begrepet forstås slik at retten til effektive rettsmidler skal gjelde uten at retten til administrative eller utenomrettslige klageordninger dermed påvirkes. Politidirektoratet slutter seg til merknaden fra Kripos.

Ad endringsforslaget i politiregisterloven § 60

Politidirektoratet og Kripos har i og for seg ingen innvendinger mot at det foreslås tvangsmulkt, men begge gir uttrykk for at det bør gis nærmere regler for hvilke type brudd på regelverket tvangsmulkt kan ilegges for, hvilken alvorlighetsgrad som kreves og hvilken størrelsesorden mulkten skal ha. Det anføres videre at ordningen kan ramme Kripos urimelig hardt på grunn av Kripos rolle som behandlingsansvarlig for de sentrale registrene. Som eksempler nevnes tilfeller der avviket knytter seg til behandlingen av opplysninger i et politidistrikt, eller der Kripos ikke tildeles tilstrekkelige ressurser for å avhjelpe avviket. Politidirektoratet foreslår at det gis adgang til å søke regress hos den virksomhet som i praksis har hatt eller har mulighet til å påvirke den uriktige behandlingen.

4.9.3 Departements vurdering

Ad forslag til politiregisterloven ny § 57

Når det gjelder forslaget til politiregisterloven § 57 finner departementet, på bakgrunn av uttalelsene fra Politidirektoratet og Kripos, grunn å gå noe nærmere inn på problemstillingen enn hva man gjorde i høringsnotatet. Direktivet artikkel 54 knesetter – på samme måte som artikkel 79 i forordningen – prinsippet om at den registrerte skal kunne saksøke den behandlingsansvarlige dersom han mener at hans rettigheter etter det aktuelle regelverket er krenket. At den registrerte i slike tilfeller kan gå til søksmål følger uansett av tvisteloven, og i det perspektivet hadde det ikke vært nødvendig å gjennomføre artikkel 54 i politiregisterloven, bortsett fra at det muligens uansett er nødvendig å få tydelig frem at også databehandleren kan saksøkes. Når departementet likevel valgte å foreslå at både artikkel 54 og artikkel 53 skulle implementeres slik det kommer til uttrykk i forslaget til § 57, var dette dels begrunnet i å tydeliggjøre hvem som kunne saksøkes, og dels for å eliminere eventuelle tvilstilfeller.

Departementet har merket seg at Politidirektoratet og Kripos er av den oppfatning at den registrertes adgang til å gå til søksmål fremgår av forvaltningsloven § 27 b, og at forslaget til ny § 57 derfor er unødvendig. Departementet er av flere grunner ikke enig i dette. Forvaltningsloven § 27 b gir anvisning på at det forvaltningsorgan som har truffet vedtaket, kan bestemme at søksmål om ugyldighet av forvaltningsvedtaket eller krav om erstatning som følge av vedtaket ikke skal kunne reises uten at vedkommende part har benyttet sin adgang til å klage over vedtaket. Det fremgår uttrykkelig av politiregisterloven § 3 første ledd nr. 2 at loven ikke gjelder for behandling av opplysninger som er en del av politiets forvaltningsvirksomhet. Når politiet behandler opplysninger etter politiregisterloven skjer dette med andre ord ikke i egenskap av å være forvaltningsorgan, og det samme gjelder for påtalemyndigheten. Man kan derfor ikke uten videre legge til grunn at forvaltningsloven kommer til anvendelse. Riktig nok har man i politiregisterloven § 55 åpnet for at nærmere bestemte avgjørelser av den behandlingsansvarlige kan påklages til overordnet organ, men heller ikke denne reguleringen kan tas til inntekt for at forvaltningsloven § 27 b kommer til anvendelse i disse tilfellene. Det fremgår av politiregisterloven § 55 annet ledd at bestemmelsene i forvaltningsloven kapittel VI kommer til anvendelse så langt de passer, mens forvaltningsloven § 27 b er plassert i forvaltningsloven kapittel V. Videre kan man ikke se bort fra at søkmål mot den behandlingsansvarlige kan gjelde andre forhold enn de som er listet opp i § 55, og som derved ikke er gjenstand for klagebehandling. I disse tilfellene, og i tilfeller der søksmålsgrunnlaget går ut på noe annet enn ugyldighet av vedtaket eller erstatning, ville man uansett være utenfor anvendelsesområde av forvaltningsloven § 27 b. Endelig kan det nevnes at § 27 b heller ikke fanger opp eventuelle søksmål mot databehandleren, idet denne ikke treffer vedtak. På denne bakgrunn kan man ikke slutte seg til disse høringsinstansenes standpunkt om at forvaltningsloven § 27 b regulerer de rettigheter som er nedfelt i artikkel 54 i direktivet. Samtidig illustrerer uttalelsene at det er behov for regulering av søksmålsadgangen for derved å eliminere uklarheter og misforståelser. På denne bakgrunn fastholder departementet forslaget til § 57.

Ad endringsforslaget i politiregisterloven § 60

Når det gjelder Politidirektoratet og Kripos sine innspill om at det bør gis nærmere regler for hvilke type brudd på regelverket tvangsmulkt kan ilegges for, viser departementet til at ordlyden i forslaget om tvangsmulkt er identisk med de tilsvarende bestemmelsene i personopplysningsloven og helseregisterloven, der det heller ikke er gitt nærmere anvisning på hvilke brudd som kan føre til ileggelse av tvangsmulkt eller hvilken størrelsesorden mulkten skal ha. Departementet kan ikke se at det er behov for eller hensiktsmessig å regulere disse forholdene i politiregisterloven. Departementet antar videre at Datatilsynet er best egnet til å fastlegge praksis hva gjelder bruk av tvangsmulkt, og forslaget til endring i politiregisterloven § 60 fastholdes derfor.

Utover dette er departementet kjent med de særlige utfordringene Kripos som behandlingsansvarlig for politiets sentrale registre kan møte i forbindelse med ilegges av mulkt eller pålegg ved avvik, slik dette også beskrives av Politidirektoratet. Departementet er av den oppfatning at spørsmålet om hvem som dekker kostnadene i disse tilfellene ikke er egnet for lovregulering, men at disse forholdene må finne en administrativ løsning.

5 Endringer som ikke har sammenheng med direktivet

5.1 Erstatning for ikke-økonomisk tap

5.1.1 Forslaget i høringsnotatet

Det følger av politiregisterloven § 56 annet ledd at den behandlingsansvarlige kan pålegges å betale erstatning for skade av ikke-økonomisk art. Formuleringen tilsvarer personopplysningsloven § 49 tredje ledd annet punktum, og det er i Ot.prp. nr. 108 (2008–2009) punkt 15.2.4 vist til at man har tatt utgangspunkt i de tilsvarende bestemmelsene i personopplysningsloven og lov 16. juli 1999 nr. 66 om Schengen informasjonssystem (SIS) (SIS-loven). Etter SIS-loven § 18 annet ledd annet punktum kan erstatning også omfatte erstatning for ikke-økonomisk tap, uten at det fremgår at dette skal pålegges. Det har i ettertid vist seg at ordlyden i § 56 har skapt tvil med hensyn til om begrepet «pålegge» indikerer at det er andre enn den behandlingsansvarlige som skal avgjøre dette spørsmålet, noe som ikke er tilfelle. For å eliminere denne tvilen ble det foreslått å fjerne begrepet «pålegges» i bestemmelsen.

5.1.2 Høringsinstansenes syn og departementets vurdering

De høringsinstansene som har uttalt seg om spørsmålet støtter endringen, og forslaget opprettholdes.

5.2 Obligatorisk krav om politiattest for personer som skal utføre tilsyn

5.2.1 Forslaget i høringsnotatet

Politiregisterloven § 62 annet ledd gir anvisning på at det kan kreves uttømmende og utvidet politiattest for personer som skal føre tilsyn. Begrunnelsen for kravet om politiattest er at personer hos tilsynsmyndighetene vil kunne få tilgang til svært sensitive opplysninger. Det har også vært ønskelig å begrense antall personer hos tilsynsmyndighetene som gis tilgang til opplysningene, jf. Ot.prp. nr. 108 (2008–2009) punkt 21.10.

Selv om bestemmelsen gir anvisning på at det kan kreves politiattest, har det ikke vært hensikten å åpne for at kravet om fremleggelse av politiattest kan fravikes. Det ble derfor foreslått at det i bestemmelsen kommer frem at det skal kreves uttømmende og utvidet politiattest for personer som skal utføre tilsyn.

5.2.2 Høringsinstansenes syn og departementets vurdering

De høringsinstansene som har uttalt seg om spørsmålet støtter endringen, og forslaget opprettholdes.

5.3 Sletting av opplysninger i politiets registre

5.3.1 Forslaget i høringsnotatet

Det ble foreslått endringer i politiregisterloven § 69 slik at det kan gis forskriftsbestemmelser om at opplysninger i politiets registre kan slettes uten at det først gjennomføres en arkivfaglig vurdering, dersom tungtveiende personvernhensyn gjør seg gjeldende. Det ble i tillegg foreslått en korresponderende endring i arkivloven § 9 slik at det også der fremgår at opplysninger kan slettes etter forskrifter gitt i medhold av politiregisterloven § 69 første ledd nr. 16. Hvilke opplysninger som vil være omfattet, vil være gjenstand for egen høring om endringer i politiregisterforskriften.

Bakgrunnen for forslaget var å skape bedre samsvar mellom reglene om sletting og arkivering i henholdsvis politiregisterlovgivningen og arkivlovgivningen.

Etter politiregisterloven § 50 skal opplysninger ikke lagres lenger enn det som er nødvendig for formålet med behandlingen. Opplysningene skal slettes eller sperres, med mindre de skal oppbevares i henhold til arkivloven eller annen lovgivning.

Politiregisterforskriften § 16-2 angir at etter at opplysninger er fjernet fra registre skal de behandles i samsvar med arkivloven, ved at de enten tilintetgjøres, kasseres etter vedtak av Riksarkivaren, eller bevares og avleveres til Arkivverket. Det er i forskriften del 11 for hvert enkelt register angitt etter hvilket av disse alternativene sletting skal skje. Begrunnelsen for valget av regulering har til dels vært å sikre forutberegnelighet for den registrerte om hva som skjer med opplysninger som slettes i registrene. I tillegg har man ønsket å følge opp forutsetningene i utredningen fra politiregisterutvalget (NOU 2003: 21) punkt 17.2.3 og Ot.prp. nr. 108 (2008–2009) punkt 14.5.2 om at enkelte opplysninger ikke skal avleveres til Arkivverket. Det ble i Ot.prp. nr. 108 (2008–2009) punkt 14.5.2 uttalt følgende om dette:

«Departementet mener på lik linje med utvalget at de omtalte opplysninger [opplysninger i kriminaletterretningsregistre og opplysninger som behandles etter 4-månedersregelen] må slettes, da behandlingen av slike opplysninger i utgangspunktet er svært inngripende, og bare tillates fordi man har vurdert det slik at hensynet til kriminalitetsbekjempelsen i disse tilfellene må gå foran personvernet. Det er likevel ikke noe som tilsier at disse opplysningene oppbevares lenger enn hva som er absolutt nødvendig. Sistnevnte gjelder i særdeleshet opplysninger som kan behandles etter 4-månedersregelen.

[…]

Annerledes forholder det seg i utgangspunktet med opplysninger som kan behandles i kriminaletterretningsregistre som nevnt i lovforslag til § 11. Slike opplysninger vil ikke gjennomgående kunne slettes i henhold til prinsippet om arkivbegrensning i arkivlovgivningen. Her er det likevel tale om særlig sensitive opplysninger. Når det for politiet ikke lenger er nødvendig eller for den saks skyld ikke lenger er adgang til å behandle slike opplysninger, vil det derfor etter departementets syn være en alvorlig krenkelse av personvernet dersom disse opplysningene fortsatt skulle befinne seg i et offentlig arkiv. Departementet vil derfor fremme forslag for Riksarkivaren om at regler om sletting av denne typen opplysninger blir innarbeidet i gjeldende kassasjonsbestemmelser for politiet og påtalemyndigheten.»

Departementet har i ettertid blitt gjort oppmerksom på at den løsning som er valgt i politiregisterregelverket ikke fullt ut er i overensstemmelse med arkivlovgivningens bestemmelser. I og med at det fremgår at opplysninger først kan kasseres etter vedtak fra Riksarkivaren, legges det opp til at det skal foretas en arkivfaglig vurdering. Imidlertid har man ved konkret å gi anvisning på hvordan sletting skal skje, i realiteten forskriftsregulert hva denne vurderingen skal resultere i. Etter en fornyet vurdering har departementet, i samråd med Kulturdepartementet, kommet til at det bør gjøres endringer. Det er ikke hensiktsmessig at Riksarkivaren skal vurdere saken og fatte vedtak, når utfallet av vurderingen er fastsatt i politiregisterforskriften.

Etter departementets vurdering er det behov for å åpne for at man i forskrift på enkelte områder kan fastsette at opplysninger skal tilintetgjøres uavhengig av om en arkivfaglig vurdering skulle tilsi at opplysningene bør bevares for ettertiden. En forutsetning for å gi slike bestemmelser er at tungtveiende personvernhensyn tilsier tilintetgjøring av opplysningene. Særlig vil et slikt unntak være aktuelt for opplysninger i kriminaletterretningsregisteret, jf. de vurderinger som er gjort i NOU 2003: 21 og Ot.prp. nr. 108 (2008–2009). Men det kan også være andre opplysninger der det kan være behov for å sikre at opplysninger tilintetgjøres, for eksempel opplysninger som behandles i informantregisteret eller opplysninger om biometri.

5.3.2 Høringsinstansenes syn

Riksadvokaten, Kommisjonen for gjenopptakelse av straffesaker, Advokatforeningen og Datatilsynet støtter forslaget.

Politidirektoratet er enig i departementets utgangspunkt om at det kan være behov for å gjøre unntak fra arkivloven, dersom sterke personvernmessige grunner tilsier det, og en arkivfaglig vurdering ville tilsi bevaring. Det vises i den forbindelse til at opplysningene i politiets registre kan inneholde meget personsensitiv informasjon eller uverifisert informasjon. Direktoratet savner likevel en noe mer utfyllende redegjørelse for hva slags type informasjon som kan begrunne forslaget til unntak fra arkivloven.

Direktoratet understreker viktigheten av at prosessen rundt fastsettingen av reglene/vedtakene i tilstrekkelig grad ivaretar arkivfaglige vurderinger i vid forstand. Det må i prosessen redegjøres grundig for avveiningen mellom de politifaglige, personvernmessige og øvrige arkivfaglige hensynene.

Kripos understreker at en slettebestemmelse som foreslått er viktig for å kunne sikre forutberegneligheten for den registrerte, særlig når en behandling av opplysninger er basert på samtykke.

Arkivverket er enig i at dagens regelverk ikke gir de beste forutsetninger for å foreta avveininger mellom hensynet til bevaring og hensynet til personvern som både politifaglige myndigheter og Arkivverket kan forsvare ut i fra det faglige ansvaret de har hver for seg. De uttaler følgende:

«Det er vist til uttalelser i forarbeidene om ikke-verifiserte opplysninger som av den grunn ikke har betydning i den konkrete saken. Dette er allikevel informasjon som med grunnlag i senere etterforskning kan bli verifiserte opplysninger. Selv om dette er informasjon som dermed kan få rettslig betydning, ser Arkivverket at det til syvende og sist kan være mest riktig at Justisdepartementet som fagansvarlig gis hovedansvaret for å foreta en vurdering av konsekvensene av å tillate sletting av slikt materiale.»

Arkivverket påpeker at det ikke er helt klart om det kun vil være aktuelt å fastsette konkrete sletteregler for enkelte av registrene hvor det i dag allerede foreligger bestemmelser som viser til bestemmelsen om sletting i politiregisterforskriften § 16-2, eller om slike bestemmelser kan bli aktuelt for flere registre. Jo flere særregler, jo mer vil Arkivverket være bekymret for at endringen kan åpne opp for at så store deler av politiets registre blir slettet at det kan ha samfunnsmessige konsekvenser.

Arkivverket mener videre at slik bestemmelsen er formulert, kan det være at vurderingene av personvern ikke får en tilstrekkelig «motvekt», ved at de samfunnsmessige og arkivfaglige konsekvensene ikke blir tilstrekkelig vurdert i forarbeider knyttet til konkrete forslag om slettebestemmelser. Bestemmelsen bør inneholde tydelige krav om hvilke vurderinger man må gjøre, slik at dette blir godt dokumentert i saksutredningen og begrunnelsen for de respektive særreglene.

Norsk arkivråd mener forslagene vil medføre en svekkelse av kravet om arkivfaglig bevaringsvurdering før vedtak om kassasjon fattes, og en fragmentert tilnærming til kassasjon og konsekvensene det kan få. Hensyn til personvern kan ivaretas på en god måte uten å svekke Riksarkivarens rolle som fagmyndighet for bevarings- og kassasjonsvurderinger. Videre er en prosess med arkivfaglig vurdering ingen trussel mot godt personvern, og det er heller ikke nødvendigvis slik at bevaring av materiale som dokumenterer enkeltpersoners møter med offentlige myndigheter ikke er godt personvern. Norsk Arkivråd stiller spørsmål ved nødvendigheten av å fravike det prinsipielle i at det før sletting av arkivmaterialet alltid skal foretas en arkivfaglig bevaringsvurdering som nettopp sikrer at ulike hensyn, herunder personvern, skal synliggjøres og veies mot hverandre.

Forskerforbundet ser med bekymring på en forskriftshjemmel der de arkivfaglige vurderingene blir et sekundært hensyn i arbeidet med å ta stilling til hva som skal bevares eller ikke bevares. Etter deres syn vil en mulighet for Riksarkivet til å avgi høringsuttalelse i ettertid ikke sikre at arkivfaglige vurderinger i tilstrekkelig grad får sette premissene for de avveiningene som blir gjort i arbeidet med konkrete forskrifter om kassasjon på politiregisterlovens område. De viser videre til at direktiv (EU) 2016/680 har tatt inn formålet «archiving purposes in the public interest», som et eget formål i tillegg til historiske, statistiske og vitenskapelige formål, noe som gir medlemslandene et stort handlingsrom til å gi regler om overføring av materiale til arkivinstitusjoner.

5.3.3 Departementets vurdering

Departementet har merket seg at de fleste høringsinstanser støtter forslaget. Som redegjort for i punkt 5.3.1 representerer forslaget i utgangspunktet ikke noe nytt, men snarere en bedre rettsteknisk løsning for de tilfellene der opplysningene skal tilintetgjøres fremfor arkiveres. Enkelte høringsinstanser har gitt uttrykk for bekymring for at andre hensyn enn personvernhensyn ikke vil tillegges tilstrekkelig vekt i vurderingen av om det skal gis forskriftsbestemmelser om kassasjon, og at det i forslaget bør komme klarere frem hvilke andre hensyn som skal vektlegges ved denne vurderingen.

Departementet finner grunn til å understreke at arkivering fortsatt vil være den klare hovedregelen for opplysninger som behandles av politiet. Således vil opplysninger som er inntatt i straffesaksdokumenter og i de fleste av politiets registre bli bevart. Forslaget er på denne bakgrunn ikke et generelt unntak fra arkivlovgivningen, men et snevert unntak for enkelte typer opplysninger. Begrunnelsen for at det er behov for et slikt unntak i politiregisterloven er først og fremst at politiets behandling av opplysninger på enkelte området i vesentlig grad skiller seg fra behandling av opplysninger som foretas av andre offentlige organer. Den mest markante forskjellen er at politiregisterlovgivningen inneholder en rekke unntak fra de grunnleggende prinsippene innenfor personvernlovgivningen, slik som formålsbestemthet, nødvendighet og at opplysningene skal være korrekte. Disse unntakene kommer blant annet til uttrykk i lovens § 8, der det åpnes for at politiet kan behandle opplysninger om personer til tross for at man ikke vet om behandlingen er nødvendig og relevant for et politimessig formål. I lovens § 6 annet ledd er det åpnet for at politiet kan behandle opplysninger til tross for at de ikke er verifiserte, slik at man ved registreringstidspunktet ikke vet om opplysningene er korrekte. Videre er det for eksempel i politiregisterforskriften § 47-4 nr. 2 åpnet for at man i forbindelse med kriminaletterretning ikke bare kan registrere den personen som kan antas å begå lovbrudd, men også familiemedlemmer, venner og arbeidskollegaer. I tillegg vil de personene som er registrert i medhold av disse bestemmelsene som regel ikke være kjent med at politiet behandler opplysninger om dem. Begrunnelsen for disse vidtgående unntakene er at hensynet til kriminalitetsbekjempelsen ble tillagt større vekt enn hensynet til personvernet.

Det kan på den annen side ikke være noen tvil om at registrering av opplysningene i de nevnte tilfellene representerer et betydelig inngrep, og vil av mange oppfattes som en krenkelse av personvernet. For å kompensere på denne ulempen var det en klar forutsetning at disse opplysningene skulle slettes (tilintetgjøres) dersom det viser seg at de ikke er nødvendige for kriminalitetsbekjempelsen. Etter hva departementet kan se ville arkivering i disse tilfellene innebære en fortsettelse av krenkelsen av personvernet. Når hensynet til kriminalitetsbekjempelsen var den eneste begrunnelsen for at man tillater denne form for behandlingen av personopplysninger, kan ikke dette hensynet erstattes med andre hensyn for å forsvare fortsatt behandling i form av arkivering. Alternativet til lovforslaget er således ikke at man tillater arkivering, men at man hever terskelen for registrering. Departementet ønsker imidlertid ikke å benytte seg av denne fremgangsmåten, idet de omtalte unntakene er et viktig og nødvendig verktøy for politiet i kriminalitetsbekjempelsen.

Enkelte høringsinstanser har tatt til orde for at det i lovforslaget kommer eksplisitt frem at også andre hensyn, herunder arkivfaglige hensyn, skal vektlegges. Departementet har vurdert anførslene, men har kommet frem til at en slik fremgangsmåte av flere grunner ikke er nødvendig. Når lovforslaget gjør unntak fra arkivlovens kassasjonsbestemmelse ligger det i sakens natur at man avveier hensynet til personvern mot de hensyn arkivloven er basert på. Videre vil en angivelse av andre hensyn kunne skape et inntrykk av at opplistingen av disse hensynene er uttømmende, noe som kan føre til utilsiktede virkninger. Departementet er kjent med at tilsvarende unntaksregler i henholdsvis personopplysningsloven § 28 og helseregisterloven § 25 eksplisitt angir hvilke andre hensyn enn personvernet som skal vektlegges. Den vesentlige forskjellen mellom disse unntakene fra arkivloven og nærværende lovforslag er imidlertid at de nevnte bestemmelsene gjør unntak i enkeltsaker, mens lovforslaget legger opp til unntak fra visse kategorier opplysninger i form av forskrift. Slike forskrifter vil være gjenstand for høring, og det ligger i sakens natur at det i forslaget til forskriften vil bli foretatt en bred vurdering av de hensyn som gjør seg gjeldende, herunder hensynet til dokumentasjon, forskning og eventuelle andre allmenne hensyn. At slike hensyn skal vektlegges er også nevnt i særmerknadene til § 69, jf. punkt 7.5.

Derimot har departementet etter en nærmere vurdering kommet til at unntaksbestemmelsen bør utvides til også å omfatte hensynet til fare for liv og helse. Som nevnt i høringsnotatet vil det være aktuelt å unnta opplysninger i politiets informantregister, jf. politiregisterforskriften kapittel 57. Registeret ble opprettet fordi politiet har behov for å ha oversikt over sine informanter. Det er imidlertid svært få personer innad i politiet som har tilgang til dette registeret. Begrunnelsen for dette er at informanter kan bli utsatt for alvorlige represalier fra kriminelle miljøer dersom deres informantvirksomhet blir kjent. Det er derfor særdeles viktig at disse opplysningene skjermes så godt som mulig og at de ikke gjøres kjent for utenforstående. For denne kategorien opplysninger er det derfor ikke helt treffende når det i forslaget som ble sendt på høring bare vises til tungtveiende personvernhensyn, siden det her er tale om fare for liv og helse.

Avslutningsvis finner departementet også grunn til å understreke at utarbeidelsen av forskriftene som representerer et unntak fra arkivlovens kassasjonsbestemmelse vil skje i nært samarbeid med både Arkivverket og Kulturdepartementet for å sikre at de arkivfaglige hensynene blir ivaretatt på en god måte.

5.4 Registrering i DNA-registeret

5.4.1 Forslaget i høringsnotatet

Det følger av politiregisterloven § 12 at det kan registreres opplysninger i identitetsregisteret i politiets DNA-register om «den som arbeider eller oppholder seg i Norge, og som i utlandet er ilagt en straff som svarer til dem som er nevnt i straffeloven § 29, og den begåtte handling kunne ha medført frihetsstraff om den hadde vært begått i Norge». Ordlyden er en videreføring av straffeprosessloven § 160 a tredje ledd, som ble opphevet ved ikrafttredelsen av politiregisterloven § 12.

I reaksjonsregisteret kan det registreres opplysninger om «norsk statsborger, norsk foretak eller person som arbeider eller oppholder seg i Norge», jf. politiregisterforskriften § 44-5. I fingeravtrykkregisteret kan det registreres opplysninger om den som er «norsk statsborger eller som arbeider eller oppholder seg i Norge», jf. politiregisterforskriften § 46-5 annet ledd nr. 3.

Det ble i høringsnotatet blant annet vist til at det ikke synes å være gode grunner til at personer som er norske statsborgere, men som ikke bor eller arbeider i Norge, kan registreres i reaksjonsregisteret og fingeravtrykkregisteret, men ikke i DNA-registeret. Det fremgår videre av Ot.prp. nr. 19 (2006–2007) punkt 3.5 at formuleringen «arbeider eller oppholder seg i Norge» ble valgt for å sikre at man fanger opp personer som har tilknytning til Norge, og ikke at man har ment å stenge for registrering av personer som er norske statsborgere, men som ikke arbeider eller oppholder seg i Norge.

Det ble derfor foreslått endringer i politiregisterloven § 12 slik at norske statsborgere kan registreres i DNA-registeret uavhengig av om de bor eller oppholder seg i Norge.

5.4.2 Høringsinstansenes syn og departementets vurdering

De høringsinstansene som har uttalt seg om spørsmålet støtter endringen, og forslaget opprettholdes.

5.5 Opphevelse av straffeprosessloven § 158 annet ledd tredje punktum

5.5.1 Forslaget i høringsnotatet

Straffeprosessloven § 158 regulerer innhenting av biologisk materiale for DNA-analyse. Bestemmelsens annet ledd åpner for at det etter samtykke kan innhentes biologisk materiale med sikte på å gjennomføre DNA-analyse, uten hensyn til om det foreligger skjellig grunn til mistanke. Analyseresultatet og det biologiske materialet skal tilintetgjøres når formålet med undersøkelsen er oppnådd. Etter bestemmelsens annet ledd tredje punktum kan analyseinstitusjonen likevel oppbevare profilene for å dokumentere sin virksomhet. Dette unntaket kom inn i bestemmelsen ved lov 19. juni 2009 nr. 79, som følge av at det etter det opplyste ikke var mulig å slette DNA-profilene fra de analysemaskinene som ble benyttet av Rettsmedisinsk institutt, som på den tiden analyserte biologisk materiale for politiet.

DNA-analyser foretas i dag av Folkehelseinstituttet (FHI)/Oslo universitetssykehus, som i disse tilfellene er databehandler for politiet. En databehandler kan ikke behandle opplysninger på annen måte enn det som følger av databehandleravtalen, og skal derfor følge de regler om sletting som fremgår av avtalen. Det er nå også mulig å slette DNA-profiler, slik at forutsetningene for tilføyelsen av straffeprosessloven § 158 annet ledd tredje punktum ikke lenger er til stede.

Ved ikraftsettingen av politiregisterloven § 12 og politiregisterforskriften kapittel 45 ble påtaleinstruksen kapittel 11A om sentralt register over DNA-profiler opphevet. Bestemmelsen i påtaleinstruksen § 11a-4 om at analyseinstitusjonen kan oppbevare profilene utelukkende for å dokumentere sin virksomhet, ble ikke videreført i politiregisterforskriften. Ved en forglemmelse ble imidlertid ikke straffeprosessloven § 158 annet ledd tredje punktum opphevet. Det ble derfor foreslått å oppheve bestemmelsen.

5.5.2 Høringsinstansenes syn

Riksadvokaten,PST og Advokatforeningen støtter forslaget.

Kommisjonen for gjenopptakelse av straffesaker viser til at de tidligere har uttrykt bekymring for at destruksjon av biologisk materiale og sletting av DNA-profiler, rådata mv. kan svekke kommisjonens mulighet for å foreta en forsvarlig opplysning av saker som begjæres gjenåpnet. De kan ikke se at dette hensynet gjør seg gjeldende ved spørsmålet om oppheving av denne bestemmelsen, og har ingen innvendinger mot forslaget.

Politidirektoratet støtter forslaget og viser til at forslaget er en klargjøring av lovgivers intensjon om at slike profiler skal slettes, også hos analyseinstitusjon, når formålet med behandlingen er oppnådd. Praksisen med at analyseinstitusjonen kan oppbevare profilen står i motstrid til hva avgiveren av profilen får opplyst ved DNA-prøvetakingen, og samtykket hans/hennes er gitt nettopp med den forutsetning om at profilen ikke skal lagres lengre enn til formålet med undersøkelsen er utført (å bli sjekket ut av saken). Analysering av referanseprofiler et viktig element i etterforskningen ved at man da kan utelukke falske spor i straffesaker og således unngå uhensiktsmessige og unødvendige etterforskingsskritt. Videre er det viktig for politiets troverdighet at slettingen av disse profilene faktisk skjer, all den tid disse er avgitt med denne forutsetningen.

Kripos støtter forslaget, og viser til at det er mulig å slette profiler hos Oslo universitetssykehus. Kripos har tidligere avklart med Norsk akkreditering ar det ikke er nødvendig å oppbevare alle resultater for å kunne akkreditere virksomheten, det er arbeidsmetoder og metodikk som må kunne dokumenteres.

Rogaland statsadvokatembeter mener det er et reelt behov for at opplysningene ikke slettes. Det er etter deres syn vanskelig å se en begrunnelse for at allerede sikret materiale skal slettes selv om en sak formelt anses som oppklart eller rettskraftig. Blir konklusjonene senere bestridt må de sakkyndige kunne gå til referanseprøvene for å kontrollere om det har skjedd feil. Det er videre vanskelig å se noen større praktiske eller økonomiske fordeler med forslaget. Embetet mener at analyseinstitusjonene må kunne beholde prøvene, eventuelt må de arkiveres på et annet egnet sted, både for å kunne dokumentere institusjonens virksomhet og for senere å kunne innestå for at analysens konklusjoner er basert på korrekte premisser.

Norsk arkivråd viser til at analyseinstitusjonene har et selvstendig ansvar for å dokumentere sin oppgaveutførelse, og det bør derfor foretas en selvstendig arkivfaglig vurdering før kassasjon av DNA-profiler oppbevart ved Folkehelseinstituttet vedtas. En arkivfaglig vurdering vil kunne avdekke om kassasjon av disse profilene hos analyseinstitusjonen har uønskede konsekvenser, for eksempel ved at man i ettertid ikke vil kunne avdekke om det ble gjort feil i analysen som ble gjort.

Oslo universitetssykehus legger til grunn at analyseinstitusjonen har selvstendig arkivplikt i henhold til arkivloven, og at en databehandleravtale ikke kan oppheve den lovpålagte arkivplikten til en offentlig institusjon. Forslaget innebærer videre at analyseinstitusjonen blir fratatt den lovfestede retten til å dokumentere egen virksomhet gjennom bl.a. å arkivere referanseprofiler. Dersom referanseprofiler ikke kan oppbevares hos analyseinstitusjonen eller Arkivverket, vil ikke påstander og spørsmål om feil eller forbyttinger kunne utredes og besvares. De er ikke kjent med at det er blitt foretatt en vurdering av positive og negative konsekvenser ved å tilintetgjøre de samtykkebaserte DNA-profilene, og beslutningsgrunnlaget for lovendringen fremstår mangelfullt. Endringen har stor betydning for enkeltpersoners rettssikkerhet ved at muligheten for å etterprøve en konklusjon oppheves, og man vil miste muligheten til å foreta nye vurderinger av teknisk dårlige blandingsresultater ettersom metoder kontinuerlig fornyes og forbedres. Dersom referanseprofiler skal tilintetgjøres, fjernes premissgrunnlaget for konklusjonen i saken som omtaler sammenlikning av referanseprofilen mot DNA-resultatet for sporprøvene. Dersom personen er død og DNA-profilen er slettet, er premisset for konklusjonen i straffesaken ugjenkallelig borte.

Oslo universitetssykehus mener at referanseprofiler og tilhørende grunnlagsdata må bevares som en vesentlig del av straffesaksdokumentasjonen ettersom profilene er de mest sentrale premissene for sakkyndiges vurderinger, og utgjør en nødvendig del av beviskjeden i straffesaker. Tilintetgjøring vil svekke eller ødelegge muligheter til å ivareta hensynet til en forsvarlig rettsprosess og rettssikkerhet. De foreslår derfor at referanseprofiler slettes hos analyseinstitusjonen ved at de overføres, sammen med øvrig dokumentasjon tilhørende enkeltsaken, til Arkivverket etter en nærmere definert tid. DNA-profilene vil da ikke være tilgjengelige for analyseinstitusjonen eller politiet, og kan eventuelt kun utleveres fra Arkivverket etter en rettskjennelse.

5.5.3 Departementets vurderinger

Departementet har merket seg at flere instanser er kritiske til forslaget om å oppheve bestemmelsen om at analyseinstitusjonen kan oppbevare referanseprofiler for å kunne dokumentere sin virksomhet. Man finner derfor innledningsvis grunn til å minne om at referanseprofiler er profiler fra personer som det ikke knytter seg skjellig grunn til mistanke til, og som frivillig har avgitt prøve. Det klare utgangspunktet er at slike profiler skal slettes når formålet med undersøkelsen er oppnådd, jf. straffeprosessloven § 158 annet ledd annet punktum. I praksis vil dette være så snart vedkommende er sjekket mot spor på åstedet, og det er utelukket at sporet stammer fra vedkommende. Profilen vil heller ikke registreres i politiets DNA-register. Dersom det foreligger samsvar, vil referanseprofilen være et bevis av betydning og vil bli oppbevart på vanlig måte.

Bestemmelsen om at analyseinstitusjonen kan oppbevare resultatene for å dokumentere sin virksomhet kom inn etter at det ble opplyst at det ikke var teknisk mulig å slette resultatene, jf. redegjørelsen i punkt 5.5.1. Etter departementets vurdering er det ingen grunn til å oppbevare et svært stort antall DNA-profiler fra personer som ikke er mistenkt i en sak, og som frivillig har avgitt en prøve, for det tilfelle at man senere eventuelt skal kunne gå tilbake og foreta nye vurderinger. Departementet kan ikke se at det er et rettssikkerhetsmessig problem at man ikke senere kan vurdere prøver som ikke samsvarer med funn på et åsted på nytt. Dersom en person som har avgitt referanseprøve som ikke har samsvart med spor fra åstedet senere skulle komme i politiets søkelys i saken, vil ny prøve måtte innhentes enten etter § 158 første ledd eller etter et nytt samtykke. Når det nå har vist seg at det likevel er mulig å slette profilene, og profilene heller ikke er nødvendig for akkreditering av virksomheten, ser departementet ingen grunn til at analyseinstitusjonene skal oppbevare referanseprofilene etter at formålet med undersøkelsen er oppnådd. Lovforslaget innebærer således at den opprinnelige rettstilstanden gjenopprettes.

Det følger både av personopplysningsloven § 15 og politiregisterloven § 18 at en databehandler ikke kan behandle opplysningene på en annen måte enn det som følger av avtale med eller instruks fra den behandlingsansvarlige. Dersom den behandlingsansvarlige etter sitt regelverk skal slette opplysningene, vil det samme gjelde for databehandleren. Etter departementets syn vil derfor analyseinstitusjonen ikke ha en selvstendig arkivplikt. Dette ble også lagt til grunn i Personvernnemndas vedtak 19. juni 2014 (PVN-2013-1) punkt 6.

5.6 Forslag til endring i politiloven

5.6.1 Forslaget i høringsnotatet

Etter politiloven § 14 tredje ledd kan kommunene ved siden av politiet håndheve bestemmelsene om renhold og vintervedlikehold i politiloven § 14 første ledd nr. 1 og 2, dersom kommunen velger å benytte seg av denne adgangen. Siden ikrafttredelsen av bestemmelsen i juli 2012 har det vist seg at flere kommuner finner det uklart hvilke formkrav og saksbehandlingsregler som gjelder for at kommunen kan benytte seg av hjemmelen. Det har vært tvil om kommunen må fastsette dette i de lokale politivedtektene (forskrift) eller om det er tilstrekkelig med et alminnelig vedtak i kommunen.

Departementets forslag ble omtalt på følgende måte i høringsnotatet:

«Reguleringen i forskriften § 2 sammenholdt med politiloven § 14 tredje ledd, er etter departementets vurdering lite egnet til å veilede kommunene om hvordan de bør gå frem når de vil håndheve deler av vedtektene selv. Et kommunalt vedtak om håndheving er dessuten lite tilgjengelig for publikum (kombinasjon av lov, sentral forskrift, lokal forskrift og vedtak i bystyret). Innholdet i vedtaket er i motsetning til innholdet i politivedtektene ikke underlagt Politidirektoratets legalitetskontroll som skal påse at vedtektene kun regulerer forhold som det er hjemmel for å regulere i kommunens lokale politivedtekter.

Departementet foreslår derfor at de kommunene som vedtar å benytte seg av adgangen til å håndheve deler av politivedtektene i henhold til § 14 tredje ledd, må fastsette dette i kommunens lokale politivedtekter. På den måten kommer arbeidsfordelingen mellom kommunen og politiet tydeligere frem og det skapes tydeligere ansvarslinjer både for dem som håndhever de aktuelle vedtektene og for publikum.

Et krav om fastsettelse av håndhevelse i kommunens lokale politivedtekter krever i likhet med øvrige bestemmelser i politivedtektene forskrifts form og skal følge prosedyrene for forskriftsendringer i forvaltningsloven §§ 37 og 38 og stadfestes (legalitetskontroll) av Politidirektoratet, jf. politiloven § 14 første ledd og delegasjonsvedtak av 16. november 2000 nr. 1151.

Enkelte kommuner praktiserer allerede ordningen slik den som nå foreslås. Det vises til at blant annet Drammen kommune og Oslo kommune har inntatt en bestemmelse om kommunal håndheving i sine politivedtekter.

Av hensyn til enhetlig praksis på området finner departementet det nødvendig at også kommuner som allerede har vedtatt kommunal håndhevelse av deler av vedtektene uten at dette fremgår av kommunenes lokale politivedtekter, også bør følge de formkrav som lovforslaget foreslår. Departementet er ikke kjent med hvor mange kommuner dette gjelder.

En overgangsperiode på ett år fra lovens ikrafttredelse vil sikre at disse kommunene har tilstrekkelig tid til nødvendige tilføyelser i sine lokale politivedtekter, sende bestemmelsen på høring til relevante instanser i kommunen og sende utkastet til ny bestemmelse inn til Politidirektoratet for stadfestelse. Departementet kan ikke se at en slik form for tilbakevirkende kraft gjør et urimelig inngrep i en etablert rettslig posisjon.

Det foreslås en mindre språklig justering i § 14 tredje ledd tredje punktum, slik at det fremdeles fremgår klart av bestemmelsen at den kommunale håndhevelsen ikke gjelder opprettholdelse av ro og orden.»

5.6.2 Høringsinstansenes syn og departementets vurdering

De høringsinstansene som har uttalt seg om spørsmålet støtter endringen. Dette gjelder blant annet Politidirektoratet, Kommunesektorens organisasjon (KS) samt flere kommuner. Departementet opprettholder forslaget.

5.7 Forslag til endring i straffeloven

Ved ikraftsettelsen av straffeloven av 2005 ble straffebudet i våpenloven § 33 første ledd annet alternativ om ulovlig innføring, avhendelse, erverv eller besittelse av skytevåpen eller ammunisjon opphevet, slik at forholdet nå reguleres av straffeloven § 190 første ledd. Etter Ot.prp. nr. 8 (2007–2008) side 346 var straffebudet ment å skulle gjelde for ulovlig befatning med skytevåpen eller ammunisjon. Ved en inkurie er ikke alternativet «ammunisjon» inntatt i ordlyden i straffeloven § 190 første ledd. Det foreslås derfor å endre ordlyden i straffeloven § 190 første ledd slik at straffebudet også omfatter ulovlig befatning med ammunisjon. Videre er benevnelsen «skytevåpen» i tidligere våpenlov § 33 første ledd annet alternativ byttet ut med benevnelsen «våpen», uten at det i forarbeidene til bestemmelsen fremkommer at det var tilsiktet å utvide straffebudet til også å omfatte ulovlig befatning med våpen som ikke er skytevåpen. Departementet foreslår derfor å endre ordlyden slik at det kommer klart frem at straffebudet i § 190 første ledd gjelder ulovlig befatning med skytevåpen.

6 Økonomiske og administrative konsekvenser

Forslagene til endringer i politiregisterloven for å gjennomføre direktivet kan ikke ses å medføre nevneverdige administrative eller økonomiske konsekvenser. Riktig nok vil enkelte endringer i saksbehandlingsreglene kunne medføre en noe større aktivitet fra den behandlingsansvarliges side, men denne eventuelle merbelastningen må antas å bli kompensert gjennom adgangen til å kunne avvise grunnløse eller gjentatte begjæringer og gjennom opphevelsen av meldeplikten. Innføringen av en obligatorisk personvernrådgiverordning medfører heller ikke merkostnader, jf. det som er sagt om dette i punkt 4.5.3 foran. De endringsforslagene som er foreslått i punkt 5 i proposisjonen og som ikke har sammenheng med gjennomføringen av direktivet, vil heller ikke medføre nevneverdige økonomiske eller administrative konsekvenser.

7 Merknader til bestemmelsene

7.1 Straffeprosessloven

Til § 158 annet ledd tredje punktum

§ 158 annet ledd tredje punktum oppheves som følge av at det likevel er teknisk mulig å slette DNA-profiler hos analyseinstitusjonene. Begrunnelsen for at bestemmelsen i sin tid ble tilføyd er derfor ikke lenger til stede.

7.2 Arkivloven

Til § 9 bokstav c

Endringen innebærer at opplysninger kan slettes etter bestemmelser gitt i medhold av politiregisterloven § 69 første ledd nr. 16 uten at det først foretas en arkivfaglig vurdering.

7.3 Politiloven

Til § 14 tredje ledd

Kommuner som vedtar å benytte seg av adgangen til å håndheve deler av politivedtektene i henhold til § 14 tredje ledd, må fastsette dette i kommunens lokale politivedtekter. Fastsettelse av håndhevelse i kommunens lokale politivedtekter krever forskrifts form og skal følge prosedyrene for forskriftsendringer i forvaltningsloven §§ 37 og 38 og stadfestes (legalitetskontroll) av Politidirektoratet, jf. politiloven § 14 første ledd og delegasjonsvedtak av 16. november 2000 nr. 1151.

7.4 Straffeloven

Til § 190 første ledd

Endringen i første ledd tilføyer at straffebudet mot ulovlig innføring, avhendelse, erverv eller besittelse også skal gjelde for ammunisjon, samt at det presiseres at straffebudet ikke omfatter ulovlig befatning med våpen som ikke er skytevåpen. For en nærmere omtale av hva som regnes som skytevåpen og ammunisjon vises det til merknadene i Ot.prp. nr. 8 (2007–2008) punkt 12.2.5 til § 188.

7.5 Politiregisterloven

Til § 2

Endringen i nr. 1 er en gjennomføring av direktivet artikkel 3 nr. 1, og representerer kun en presisering av gjeldende rett.

Endringen i nr. 2 innebærer ingen realitetsendring, men tilføyelsen av begrepet «strukturering» sikrer at definisjonen av behandlingsbegrepet er sammenfallende med definisjonen i direktivet artikkel 3 nr. 2.

Tilføyelsen av nr. 14, 15, 16 og 17 gjennomfører direktivet artikkel 3 nr. 11, 12, 13 og 16. Med begrepet «personvernbrudd» i nr. 14 menes brudd på krav til konfidensialitet, integritet og tilgjengelighet som knyttes til informasjonsbehandling.

Til § 6 tredje ledd

Endringen gjennomfører direktivet artikkel 6. Hovedhensikten med pålegget om å skille mellom ulike kategorier personer er at det skal komme tydelig frem om den registrerte er antatt gjerningsperson eller innehar en annen rolle i saken på den ene siden og om den registrerte er domfelt eller ikke på den andre siden. Endringen innebærer at kategorisering av de registrerte også omfatter behandling av opplysninger i straffesaker, uten at dette innebærer en realitetsendring i forhold til gjeldende rett. Utover dette vises det til punkt 4.3.3 i proposisjonen.

Til § 7

Endringen gjennomfører direktivet artikkel 10. Nytt er at også genetiske og biometriske opplysninger er å anse som særlige kategorier av personopplysninger. Videre er det nytt at slike opplysninger også kan behandles for å verne den registrertes eller en annens persons vitale interesser, noe som representerer en utvidelse av formålet slike opplysninger kan behandles for. Etter gjeldende rett kunne slike opplysninger bare behandles til politimessige formål. Når det gjelder begrunnelsen for hvorfor begrepet «nasjonal» blir erstattet med begrepet «rasemessig» og «bakgrunn» endres til «opprinnelse», vises det til punkt 4.3.3 i proposisjonen.

Til § 12 annet ledd nr. 3

Endringen er en presisering av gjeldende rett, jf. punkt 5.4 i proposisjonen.

Til § 14

Endringen er en konsekvens av at meldeplikten i politiregisterloven § 57 er opphevet. Plikten til å forskriftsregulere en behandling knyttes derfor ikke lenger til meldeplikt, men til opprettelse av et sentralt register.

Til § 22 første ledd nytt fjerde punktum

Forskriftshjemmelen vil bli brukt til å gjennomføre direktivet kapittel V.

Til § 48 annet ledd nr. 2

Endringen er begrunnet i et ønske om å harmonisere unntaksbestemmelsen for informasjonsplikt med unntaksbestemmelsen for innsyn i § 49 fjerde ledd og artikkel 13 nr. 3 i direktivet.

Til § 53 annet punktum

Endringen gjennomfører direktivet artikkel 7 nr. 3 og artikkel 16 nr. 6. Begrunnelsen for hvorfor bestemmelsen er utformet som en anmodning, og ikke som et pålegg er det gjort rede for i punkt 4.3.1 i proposisjonen. Dersom mottakeren av de uriktige opplysningene faller inn under politiregisterlovens anvendelsesområde, vil anmodningen imidlertid kunne gis i form av et pålegg.

Til § 56 annet ledd

Endringen er begrunnet i å eliminere tvil med henblikk på at det er den behandlingsansvarlige som avgjør spørsmål om erstatning, jf. punkt 5.1.1 i proposisjonen.

Til § 57

Bestemmelsens annet ledd vil også gjelde for kommunikasjonskontrollutvalget og kontrollutvalget for tiltak mot hvitvasking. For kommunikasjonskontrollutvalget følger dette av at det i kommunikasjonskontrollforskriften § 11 er uttalt at politiregisterloven og tilhørende forskrift kommer til anvendelse så langt de passer. For kontrollutvalget for tiltak mot hvitvasking vil det i politiregisterforskriften § 52-15 bli tilføyd at politiregisterloven § 57 annet ledd kommer til anvendelse. Bestemmelsen gjelder imidlertid ikke for PST og EOS-utvalget, siden direktivet ikke kommer til anvendelse for disse organene.

Til § 60

Nytt fjerde ledd skal sikre at pålegget i direktivet artikkel 57 om effektive virkemidler ved brudd på politiregisterlovgivningen etterleves. Bestemmelsen tilsvarer bestemmelsene om tvangsmulkt i personopplysningsloven og helseregisterloven. For nærmere om dette vises det til punkt 4.9.1 i proposisjonen.

Til § 62 annet ledd

Endringen i annet ledd skal tydeliggjøre at vandelskontroll av ansatte hos tilsynsmyndigheten er obligatorisk og ikke frivillig, slik nåværende ordlyd kan gi uttrykk av.

Til § 63 første ledd

Endringen gjennomfører direktivet artikkel 32 om at personvernrådgiverordningen skal være obligatorisk, jf. nærmere om dette i punkt 4.5.1 i proposisjonen.

Til § 69

Endringen i nr. 7 er en følge av at det skal reguleres nærmere i politiregisterforskriften hvem som skal varsles ved avvik.

Endringen i nr. 16 åpner for at det i forskrift kan gis bestemmelser om at opplysninger i politiets registre kan slettes uavhengig av arkivlovens forbud mot kassasjon, dersom fare for liv og helse eller tungtveiende personvernhensyn tilsier det, jf. nærmere om dette i punkt 5.3 ovenfor. Registerbegrepet knyttes ikke bare til de registrene som er regulert i politiregisterforskriften del 11, men kan også omfatte andre opplysninger som faller inn under definisjonen av et register i § 2 nr. 3. Siden bestemmelsen åpner for å gjøre unntak fra arkivloven må det foretas en avveining mellom de hensynene som er nevnt og de bevaringshensyn som ligger til grunn for arkivloven. Videre skal man legge vekt på de samfunnsmessige hensyn som nevnt i politiregisterloven § 50 annet ledd. Siden endringen i nr. 16 er ment som en heller snever unntaksbestemmelse, vil den som regel bare kunne anvendes dersom tungtveiende personvernhensyn må tillegges større vekt enn bevaringshensyn og andre allmenne hensyn. Når det derimot gjelder fare for liv og helse må utgangspunktet være at muligheten for en slik fare må tillegges større vekt enn andre hensyn.

Endringen i nr. 22 er begrunnet i at artikkel 46 nr. 4 i direktivet gir anvisning på at tilsynsmyndigheten enten kan avvise eller kreve gebyr for behandling av gjentatte eller åpenbart grunnløse begjæringer om kontroll. Adgangen til å kreve gebyr representerer noe nytt og vil bli regulert i politiregisterforskriften, men må forankres i loven.

Tilråding

Justis- og beredskapsdepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et framlagt forslag til proposisjon til Stortinget om endringer i politiregisterloven mv. (gjennomføring av direktiv (EU) 2016/680 mv.).

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om endringer i politiregisterloven mv. (gjennomføring av direktiv (EU) 2016/680 mv.) i samsvar med et vedlagt forslag.

Forslag
til lov om endringer i politiregisterloven mv. (gjennomføring av direktiv (EU) 2016/680 mv.)

I

I lov 22. mai 1981 nr. 25 om rettergangsmåten i straffesaker oppheves § 158 annet ledd tredje punktum.

II

I lov 4. desember 1992 nr. 126 om arkiv skal § 9 bokstav c lyde:

c) kasserast. Dette forbodet går framom føresegner om kassasjon i eller i medhald av andre lover. Personregister eller delar av personregister kan likevel slettast etter føresegnene i personopplysningslova, helseregisterlova og etter føresegner i medhald av helseregisterlova §§ 8 til 12. Slik sletting kan først gjerast etter at det er innhenta fråsegn frå Riksarkivaren. Personregister eller delar av personregister kan i tillegg slettast etter føresegner i medhald av politiregisterloven § 69 første ledd nr. 16.

III

I lov 4. august 1995 nr. 53 om politiet skal § 14 tredje ledd lyde:

Kommunale vedtekter som nevnt i første ledd nr. 1 og 2 kan i tillegg håndheves av kommunen eller personer utpekt av kommunen dersom kommunen har fastsatt dette i politivedtektene.Slik håndhevelse gjelder likevel ikke opprettholdelse av ro og orden. Ved overtredelse av de kommunale vedtektene som nevnt overfor kan kommunen, eller dens utpekte, ilegge overtredelsesgebyr. Departementet kan i forskrift gi nærmere regler om gjennomføring av bestemmelsene i dette ledd, herunder hvilke deler av ferdselen kommunene kan sikre.

IV

I lov 20. mai 2005 nr. 28 om straff skal § 190 første ledd lyde:

Med bot eller fengsel inntil 2 år straffes den som forsettlig eller grovt uaktsomt, og gjentatt eller på graverende måte, overtrer bestemmelsene om ulovlig innføring, avhendelse, erverv eller besittelse av skytevåpen eller ammunisjon i våpenloven.

V

I lov 28. mai 2010 nr. 16 om behandling av opplysninger i politiet og påtalemyndigheten gjøres følgende endringer:

§ 2 nr. 1, 2 og ny nr. 14 til 17 skal lyde:

1. personopplysning: opplysning og vurdering som kan knyttes til fysisk person som kan identifiseres direkte eller indirekte,

2. behandling av opplysninger: enhver elektronisk eller manuell bruk av opplysninger, som for eksempel innsamling, registrering, systematisering, strukturering, oppbevaring, tilpasning, endring, gjenfinning, søking, videreformidling ved overføring, spredning eller andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, sperring, sletting eller tilintetgjøring eller en kombinasjon av slike bruksmåter,

14. personvernbrudd: et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet,

15. genetisk opplysning: opplysning om en fysisk persons nedarvede eller ervervede genetiske egenskaper som gir entydig informasjon om den aktuelle fysiske personens fysiologi eller helse, og som særlig er framkommet etter analysering av en biologisk prøve fra den aktuelle fysiske personen,

16. biometriske opplysning: opplysning som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, for eksempel ansiktsbilder eller fingeravtrykk,

17. internasjonal organisasjon: en organisasjon og dens underordnede organer som er underlagt folkeretten, eller ethvert annet organ opprettet ved eller på grunnlag av en avtale mellom to eller flere stater.

§ 6 tredje ledd skal lyde:

Når opplysninger behandles skal det så vidt mulig og dersom det er relevant fremgå hvilken kategori personer den registrerte tilhører, for eksempel om vedkommende er domfelt, mistenkt, fornærmet, vitne eller melder eller har tilknytning til personer som nevnt. På samme måte skal det så vidt mulig fremgå om opplysninger bygger på faktiske forhold eller vurderinger. I tillegg skal opplysninger som behandles etter § 5 nr. 2 markeres med kildens pålitelighet og opplysningens holdbarhet.

§ 7 skal lyde:

§ 7 Behandling av særlige kategorier av personopplysninger

Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk, religiøs eller filosofisk overbevisning, fagforeningstilhørighet samt behandling av genetiske og biometriske opplysninger med det formål entydig å identifisere en fysisk person, eller opplysninger om helsemessige forhold, seksuelle forhold eller seksuell orientering kan bare finne sted dersom det er strengt nødvendig ut fra formålet med behandlingen. Slike opplysninger kan også behandles dersom det er strengt nødvendig for å verne den registrertes eller en annen persons vitale interesser.

§ 12 annet ledd nr. 3 skal lyde:

3. er norsk statsborger eller arbeider eller oppholder seg i Norge, og som i utlandet er ilagt en straff som svarer til dem som er nevnt i straffeloven § 29, og den begåtte handling kunne ha medført frihetsstraff om den hadde vært begått i Norge, eller

§ 14 innledningen skal lyde:

Før etablering av et sentralt register, gir Kongen forskrift om

§ 22 første ledd nytt fjerde punktum skal lyde:

For utlevering av opplysninger til land som ikke har gjennomført direktiv (EU) 2016/680 og til internasjonale organisasjoner, gjelder i tillegg de vilkår som fastsettes i forskrift.

§ 48 annet ledd nr. 2 skal lyde:

2. der det er nødvendig å gjøre unntak av hensyn til kriminalitetsbekjempelse, nasjonal og offentlig sikkerhet, gjennomføring av strafferettslige reaksjoner, vern av andre personer enn den registrerte eller mottakerorganets lovpålagte kontrolloppgaver,

§ 53 annet punktum skal lyde:

Er opplysningene utlevert, skal mottaker av opplysningene varsles om feilen uten unødig opphold og anmodes om å rette, slette eller sperre opplysningene i samsvar med eget rettsgrunnlag.

Kapittel 9 overskriften skal lyde:

Kapittel 9 Klageadgang, erstatning og rettsmidler

§ 56 annet ledd skal lyde:

Erstatningen kan også omfatte slik erstatning for skade av ikke-økonomisk art (oppreisning) som synes rimelig, med mindre det godtgjøres at skaden ikke skyldes feil eller forsømmelse på den behandlingsansvarliges side.

§ 57 flyttes til kapittel 9 og skal lyde:

§ 57 Rettsmidler

Den registrerte kan, uavhengig av rettighetene etter § 55 første ledd og § 59, saksøke den behandlingsansvarlige eller databehandleren dersom vedkommendes rettigheter etter loven har blitt krenket som følge av behandlingen av opplysningene om vedkommende.

Den registrerte kan, uavhengig av rettigheten etter § 60 tredje ledd, saksøke Datatilsynet når Datatilsynet har truffet en avgjørelse som er rettslig bindende for den registrerte. Det samme gjelder dersom Datatilsynet ikke behandler en begjæring om kontroll innen 3 måneder, eller ikke innen 3 måneder gir opplysning om sakens fremdrift eller utfall.

Kapittel 10 overskriften skal lyde:

Kapittel 10 Tilsyn

§ 60 overskriften skal lyde:

§ 60 Datatilsynets virkemidler og tvangsmulkt

§ 60 nytt fjerde ledd skal lyde:

Ved pålegg som nevnt i første ledd kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, inntil pålegget er oppfylt. Tvangsmulkten løper ikke før klagefristen er ute. Hvis vedtaket påklages, løper ikke tvangsmulkt før klageinstansen har bestemt det. Datatilsynet kan frafalle påløpt tvangsmulkt.

§ 62 annet ledd skal lyde:

Det skal kreves uttømmende og utvidet politiattest for personer som skal utføre tilsyn.

§ 63 første ledd skal lyde:

Det skal etableres en ordning med personvernrådgiver.

§ 69 første ledd nr. 7 skal lyde:

7. informasjonssikkerhet ved behandling av opplysninger etter denne lov, jf. § 15, herunder nærmere regler om organisatoriske og tekniske sikkerhetstiltak, hvem som er behandlingsansvarlig for de ulike behandlingene og hvem som skal informeres ved avvik,

§ 69 første ledd nr. 16 skal lyde:

16. når og hvordan retting, sperring og sletting skal gjennomføres, jf. §§ 50 og 51, herunder om at sletting av opplysninger i politiets registre kan skje når fare for liv og helse eller tungtveiende personvernhensyn tilsier det, jf. lov 4. desember 1992 nr. 126 om arkiv § 9 bokstav c.

§ 69 første ledd nr. 22 skal lyde:

22. adgang for Datatilsynet til å kreve gebyr for behandling av gjentatte eller åpenbart grunnløse begjæringer

VI

1. Loven trer i kraft fra den tid Kongen bestemmer. Kongen kan sette i kraft de enkelte bestemmelsene til forskjellig tid.

2. Loven del III gjelder først ett år etter ikrafttredelsen for kommuner som har vedtatt kommunal håndheving på annen måte enn ved fastsettelse i politivedtektene før lovendringen trådte i kraft.

Vedlegg 1
Europaparlaments- og rådsdirektiv (EU) 2016/680 av 27. april 2016 om fysiske personers vern i forbindelse med kompetente myndigheters behandling av personopplysninger med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner og om fri utveksling av slike opplysninger, og opphevelse av Rådets rammebeslutning 2008/977/JIS

EUROPAPARLAMENTET OG RÅDET FOR DEN EUROPEISKE UNION HAR –

under henvisning til traktaten om Den europeiske unions virkemåte, særlig artikkel 16 nr. 2,

under henvisning til forslag fra Europakommisjonen,

etter oversending av utkast til regelverksakt til de nasjonale parlamentene,

under henvisning til uttalelse fra Regionkomiteen[1] ,

etter den ordinære regelverksprosessen[2] og

ut fra følgende betraktninger:

1) Vern av fysiske personer i forbindelse med behandling av personopplysninger er en grunnleggende rettighet. I artikkel 8 nr. 1 i Den europeiske unions pakt om grunnleggende rettigheter («pakten») og artikkel 16 nr. 1 i traktaten om Den europeiske unions virkemåte (TEUV) er det fastsatt at enhver person har rett til vern av personopplysninger om vedkommende selv.

2) Prinsippene og reglene for vern av fysiske personer i forbindelse med behandling av personopplysninger som gjelder dem selv, bør, uavhengig av nevnte personers statsborgerskap eller bosted, respektere deres grunnleggende rettigheter og friheter, særlig retten til vern av personopplysninger. Hensikten med dette direktiv er å bidra til å skape et område med frihet, sikkerhet og rettferdighet.

3) Den raske tekniske utviklingen samt globaliseringen har skapt nye utfordringer med hensyn til vern av personopplysninger. Omfanget av innsamlingen og utvekslingen av personopplysninger har økt betraktelig. Teknologien gjør det mulig å behandle personopplysninger i et helt nytt omfang med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner.

4) Det bør legges til rette for fri flyt av personopplysninger mellom kompetente myndigheter med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet i Unionen, og for overføring av slike personopplysninger til tredjestater og internasjonale organisasjoner, samtidig som det sikres et godt vern av personopplysninger. Denne utviklingen krever at det bygges opp en sterk og mer helhetlig ramme for vern av personopplysninger i Unionen, understøttet av streng håndheving.

5) Europaparlaments- og rådsdirektiv 95/46/EF[3] gjelder for all behandling av personopplysninger i medlemsstatene, både i offentlig og i privat sektor. Det gjelder imidlertid ikke for behandling av personopplysninger i forbindelse med virksomhet utenfor fellesskapsrettens virkeområde, for eksempel virksomhet på områdene strafferettslig samarbeid og politisamarbeid.

6) Rådets rammebeslutning 2008/977/JIS[4] gjelder for områdene strafferettslig samarbeid og politisamarbeid. Rammebeslutningens virkeområde er begrenset til behandling av personopplysninger som overføres eller blir tilgjengelige medlemsstatene imellom.

7) Det er helt avgjørende å sikre et ensartet og godt vern av fysiske personers personopplysninger og legge til rette for utveksling av personopplysninger mellom kompetente myndigheter i medlemsstatene for å kunne sikre effektivt strafferettslig samarbeid og politisamarbeid. For det formål bør vernet av fysiske personers rettigheter og friheter i forbindelse med kompetente myndigheters behandling av personopplysninger med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet i Unionen, holde samme nivå i alle medlemsstater. For å sikre et effektivt vern av personopplysninger i hele Unionen kreves det en styrking av rettighetene til de registrerte og pliktene til dem som behandler personopplysninger, samt at det i medlemsstatene finnes den samme myndighet til å føre tilsyn med og sikre overholdelse av reglene for vern av personopplysninger.

8) Ved artikkel 16 nr. 2 i TEUV gis Europaparlamentet og Rådet fullmakt til å fastsette regler for vern av fysiske personer i forbindelse med behandling av personopplysninger samt regler for fri utveksling av personopplysninger.

9) Med denne hjemmel er det i europaparlaments- og rådsforordning (EU) 2016/679[5] fastsatt generelle bestemmelser som gir fysiske personer vern i forbindelse med behandling av personopplysninger og sikrer fri utveksling av personopplysninger innenfor Unionen.

10) I erklæring nr. 21 om vern av personopplysninger på områdene strafferettslig samarbeid og politisamarbeid, vedlagt sluttakten fra den mellomstatlige konferansen som vedtok Lisboa-traktaten, erkjente konferansen at det kan vise seg å bli nødvendig med særlige bestemmelser om vern av personopplysninger og fri utveksling av personopplysninger på områdene strafferettslig samarbeid og politisamarbeid, med hjemmel i artikkel 16 i TEUV, ut fra disse områdenes særpreg.

11) Disse områdene bør derfor behandles i et direktiv som fastsetter særlige bestemmelser om fysiske personers vern i forbindelse med kompetente myndigheters behandling av personopplysninger med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet, med respekt for disse områdenes særpreg. Disse kompetente myndigheter kan være offentlige myndigheter som rettsmyndigheter, politi eller andre rettshåndhevingsmyndigheter, men også alle andre organer eller enheter som i henhold til medlemsstatenes nasjonale rett har til oppgave å utøve offentlig myndighet for dette direktivs formål. Når et slikt organ eller en slik enhet behandler personopplysninger for andre formål enn formålene i dette direktiv, får forordning (EU) 2016/679 anvendelse. Forordning (EU) 2016/679 får derfor anvendelse i tilfeller der et organ eller en enhet innhenter personopplysninger for andre formål og viderebehandler disse personopplysningene for å oppfylle en rettslig forpliktelse. For eksempel oppbevarer finansinstitusjoner visse personopplysninger som behandles av dem, for å kunne etterforske, avsløre eller rettsforfølge straffbare handlinger, og disse personopplysningene leveres bare ut til kompetente nasjonale myndigheter i særlige tilfeller og i samsvar med medlemsstatens nasjonale rett. Et organ eller en enhet som behandler personopplysninger på vegne av slike myndigheter innenfor dette direktivs virkeområde bør være bundet av en avtale eller annen rettshandel og av de bestemmelser som gjelder for databehandlere i henhold til dette direktiv, mens anvendelsen av forordning (EU) 2016/679 forblir upåvirket med hensyn til databehandlerens behandling av personopplysninger utenfor dette direktivs virkeområde.

12) Politiets eller andre rettshåndhevende myndigheters virksomhet er hovedsakelig rettet inn mot å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger, herunder politivirksomhet der det ikke er fastslått om en hendelse er en straffbar handling eller ikke. Slik virksomhet kan også omfatte myndighetsutøvelse ved bruk av tvang, for eksempel politiets virksomhet under demonstrasjoner, store sportsarrangementer og opptøyer. Den omfatter også opprettholdelse av lov og orden, som en oppgave tillagt politiet eller andre rettshåndhevende myndigheter der det er nødvendig for å hindre trusler mot og verne om offentlig orden og grunnleggende samfunnsinteresser vernet ved lov, når dette kan føre til en straffbar handling. Medlemsstatene kan gi kompetente myndigheter andre oppgaver som ikke nødvendigvis utføres med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger, herunder hindre trusler mot og verne om offentlig sikkerhet, slik at behandling av personopplysninger for disse andre formålene, i den grad dette omfattes av unionsretten, hører under virkeområdet for forordning (EU) 2016/679.

13) En straffbar handling som definert i dette direktiv bør være et selvstendig begrep i unionsretten, slik det fortolkes av Den europeiske unions domstol («Domstolen»).

14) Ettersom dette direktiv ikke bør få anvendelse på behandling av personopplysninger i forbindelse med virksomhet utenfor unionsrettens virkeområde, bør virksomhet som vedrører nasjonal sikkerhet, virksomhet utført av institusjoner eller enheter som håndterer spørsmål knyttet til nasjonal sikkerhet, samt medlemsstatenes behandling av opplysninger når de utfører virksomhet som hører under virkeområdet for avdeling V kapittel 2 i traktaten om Den europeiske union (TEU), ikke anses som virksomhet innenfor dette direktivs virkeområde.

15) For å sikre at fysiske personer har det samme vern i hele Unionen gjennom rettigheter som kan håndheves, og for å hindre ulikheter som vanskeliggjør utveksling av personopplysninger mellom kompetente myndigheter, bør dette direktiv fastsette harmoniserte bestemmelser om vern og fri utveksling av personopplysninger som behandles med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet. Tilnærmingen mellom medlemsstatenes nasjonale rett bør ikke føre til et dårligere vern av personopplysninger, men bør tvert om søke å sikre et godt vern innenfor Unionen. Medlemsstatene bør ikke hindres i å fastsette strengere tiltak enn det som er fastsatt i dette direktiv til vern av den registrertes rettigheter og friheter i forbindelse med kompetente myndigheters behandling av personopplysninger.

16) Dette direktiv berører ikke prinsippet om offentlig innsyn i offentlige dokumenter. I henhold til forordning (EU) 2016/679 kan personopplysninger i offentlige dokumenter som en offentlig myndighet eller et offentlig eller privat organ sitter med for å kunne utføre en oppgave som er i samfunnets interesse, leveres ut av denne myndigheten eller dette organet i samsvar med unionsretten eller den nasjonale rett som den offentlige myndigheten eller organet er undergitt, slik at hensynet til offentlig innsyn i offentlige dokumenter balanseres mot retten til vern av personopplysninger.

17) Det vern som dette direktiv gir i forbindelse med behandling av personopplysninger, bør få anvendelse på fysiske personer, uavhengig av deres statsborgerskap eller bosted.

18) For å unngå at det oppstår en alvorlig risiko for at bestemmelsene omgås bør vernet av fysiske personer være teknologisk nøytralt og ikke avhenge av teknikkene som benyttes. Vernet av fysiske personer bør få anvendelse på automatisert behandling av personopplysninger samt manuell behandling dersom personopplysningene inngår i eller skal inngå i et register. Saksmapper eller samlinger av saksmapper samt deres forsider som ikke er strukturert etter bestemte kriterier, bør ikke omfattes av dette direktivs virkeområde.

19) Europaparlaments- og rådsforordning (EF) nr. 45/2001[6] får anvendelse på behandling av personopplysninger som utføres av Unionens institusjoner, organer, kontorer og byråer. Forordning (EF) nr. 45/2001 og andre EU-rettsakter som får anvendelse på nevnte behandling av personopplysninger, bør tilpasses prinsippene og reglene i forordning (EU) 2016/679.

20) Dette direktiv er ikke til hinder for at medlemsstatene i sine straffeprosessbestemmelser spesifiserer behandling og behandlingsprosedyrer i forbindelse med domstolenes og andre rettsmyndigheters behandling av personopplysninger, særlig hva angår personopplysninger i en rettsavgjørelse eller i en protokoll fra en straffesak.

21) Prinsippene om vern av personopplysninger bør få anvendelse på enhver opplysning om en identifisert eller identifiserbar fysisk person. Når det skal fastslås om en fysisk person er identifiserbar, bør det tas hensyn til alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte, f.eks. utpeking. For å fastslå om midler med rimelighet kan tenkes å bli tatt i bruk for å identifisere den fysiske personen bør det tas hensyn til alle objektive faktorer, f.eks. kostnadene for og tiden som er nødvendig for å foreta identifikasjonen, idet det tas hensyn til teknologien som er tilgjengelig på behandlingstidspunktet, samt den teknologiske utvikling. Prinsippene om vern av personopplysninger bør derfor ikke få anvendelse på anonyme opplysninger, nærmere bestemt opplysninger som ikke kan knyttes til en identifisert eller identifiserbar fysisk person, eller personopplysninger som er blitt anonymisert på en slik måte at den registrerte ikke lenger kan identifiseres.

22) Offentlige myndigheter som får utlevert personopplysninger i samsvar med en rettslig forpliktelse i forbindelse med utøvelse av sitt offentlige oppdrag, f.eks. skatte- og tollmyndigheter, enheter som driver økonomisk etterforskning, uavhengige forvaltningsmyndigheter eller finansmarkedsmyndigheter med ansvar for regulering av og tilsyn med verdipapirmarkeder, bør ikke anses som mottakere dersom de mottar personopplysninger som er nødvendige for å utføre en bestemt granskning av allmenn interesse i samsvar med unionsretten eller medlemsstatenes nasjonale rett. Offentlige myndigheters anmodninger om utlevering av informasjon bør alltid være skriftlige, begrunnede og leilighetsvise, og bør ikke gjelde et helt register eller føre til sammenkopling av registre. Nevnte offentlige myndigheters behandling av personopplysninger bør overholde gjeldende regler for vern av personopplysninger i samsvar med formålet med behandlingen.

23) Genetiske opplysninger bør defineres som personopplysninger om en fysisk persons nedarvede eller ervervede genetiske egenskaper som gir entydig informasjon om denne persons fysiologi eller helse som foreligger etter analysering av en biologisk prøve fra nevnte fysiske person, særlig en kromosomanalyse eller en DNA- eller RNA-analyse, eller analysering av andre elementer som gjør det mulig å innhente tilsvarende opplysninger. Ettersom genetisk informasjon er kompleks og sensitiv, er det stor risiko for misbruk og gjenbruk til forskjellige formål fra den behandlingsansvarliges side. All diskriminering på grunnlag av genetiske egenskaper bør i prinsippet være forbudt.

24) Personopplysninger om helse bør omfatte alle opplysninger om den registrertes helsetilstand som avdekker den registrertes tidligere, nåværende eller fremtidige fysiske eller psykiske helsetilstand. Dette omfatter opplysninger om den fysiske personen innsamlet under registrering av vedkommende med henblikk på eller under yting av helsetjenester, som nevnt i europaparlaments- og rådsdirektiv 2011/24/EU[7] , til den aktuelle fysiske personen; et tall, symbol eller kjennetegn som tildeles en fysisk person for på en entydig måte å identifisere vedkommende for helseformål; opplysninger som stammer fra prøvinger eller undersøkelser av en kroppsdel eller en kroppssubstans, herunder fra genetiske opplysninger og biologiske prøver; og enhver opplysning om den registrerte med hensyn til f.eks. sykdom, funksjonshemning, sykdomsrisiko, sykehistorie, klinisk behandling eller fysiologisk eller biomedisinsk tilstand uavhengig av hvor dette stammer fra, f.eks. fra en lege eller annet helsepersonell, et sykehus, medisinsk utstyr eller in vitro-diagnostikk.

25) Alle medlemsstater er tilknyttet den internasjonale politiorganisasjonen Interpol. I forbindelse med sitt oppdrag mottar, lagrer og videreformidler Interpol personopplysninger for å bistå kompetente myndigheter med å forebygge og bekjempe internasjonal kriminalitet. Det er derfor hensiktsmessig å styrke samarbeidet mellom Unionen og Interpol ved å fremme effektiv utveksling av personopplysninger, samtidig som respekten for grunnleggende rettigheter og friheter i forbindelse med automatisk behandling av personopplysninger sikres. Når personopplysninger overføres fra Unionen til Interpol, og til stater som har delegert medlemmer til Interpol, bør dette direktiv og framfor alt bestemmelsene om internasjonale overføringer, få anvendelse. Dette direktiv bør ikke berøre de særlige bestemmelsene i Rådets felles holdning 2005/69/JIS[8] og rådsbeslutning 2007/533/JIS[9] .

26) Enhver behandling av personopplysninger skal være lovlig og rettferdig, og gi de berørte fysiske personer mulighet for innsyn, og bare finne sted for visse lovbestemte formål. Dette er i seg selv ikke til hinder for at rettshåndhevende myndigheter kan utføre sine oppgaver, for eksempel etterforskning i det skjulte eller videoovervåking. Slike oppgaver kan utføres med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet, så lenge de er fastlagt ved lov og er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn, og det tas behørig hensyn til den berørte fysiske personens berettigede interesser. Personvernprinsippet om redelig behandling er et annet begrep enn retten til rettferdig rettergang slik dette er definert i paktens artikkel 47 og i artikkel 6 i Den europeiske konvensjon om beskyttelse av menneskerettighetene og de grunnleggende friheter (ECHR). Fysiske personer bør gjøres kjent med risiko, bestemmelser, vernetiltak og rettigheter knyttet til behandling av personopplysninger og hvordan de kan utøve sine rettigheter i forbindelse med behandlingen. De konkrete formålene med behandlingen av personopplysningene bør være uttrykkelig angitt og berettigede og fastlagt på tidspunktet da personopplysningene innhentes. Personopplysningene bør være adekvate og relevante ut fra behandlingens formål. Det bør framfor alt sikres at de innhentede personopplysningene ikke er for omfattende, og ikke oppbevares lenger enn det som er nødvendig ut fra behandlingens formål. Personopplysninger skal bare behandles dersom behandlingens formål ikke med rimelighet kan oppfylles på annen måte. For å sikre at personopplysningene ikke lagres lenger enn nødvendig, bør den behandlingsansvarlige fastsette frister for sletting eller nødvendige garantier til vern av personopplysninger som lagres i lengre tidsrom, med sikte på arkivering i samfunnets interesse eller til vitenskapelig, statistisk eller historisk bruk.

27) Kompetente myndigheter har, med sikte på å forebygge, etterforske og rettsforfølge straffbare handlinger, behov for at personopplysninger som er innhentet i forbindelse med forebygging, etterforskning, avsløring eller rettsforfølgning av konkrete straffbare handlinger, behandles i en videre sammenheng for å få en bedre forståelse av den kriminelle virksomheten og knytte sammen ulike avslørte straffbare handlinger.

28) For å opprettholde sikkerheten i forbindelse med behandling og hindre behandling som er i strid med dette direktiv, bør personopplysninger behandles på en måte som gir tilstrekkelig sikkerhet og fortrolighet, herunder ved å hindre uvedkommendes tilgang til eller bruk av personopplysninger og utstyr som benyttes i behandlingen, og som tar hensyn til det aktuelle tekniske nivå og tilgjengelig teknologi, gjennomføringskostnadene sett i forhold til risikoen og hva slags personopplysninger som skal vernes.

29) Personopplysninger bør innhentes for uttrykkelig angitte og berettigede formål innenfor dette direktivs virkeområde, og bør ikke behandles for formål som er uforenlige med å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet. Dersom personopplysninger behandles av den samme eller en annen behandlingsansvarlig for et formål som er innenfor dette direktivs virkeområde, men som har et annet formål enn det som lå til grunn for at de ble innhentet, bør en slik behandling være tillatt, forutsatt at den er godkjent i samsvar med gjeldende lovbestemmelser og er nødvendig og forholdsmessig ut fra det andre formålet.

30) Prinsippet om riktige opplysninger bør sees i lys av den aktuelle behandlingens art og formål. Under rettergang er forklaringer inneholdende personopplysninger basert på fysiske personers subjektive oppfatning, og de kan ikke alltid verifiseres. Kravet om riktighet bør derfor ikke dreie seg om hvorvidt en forklaring er riktig, men bare det faktum at en bestemt forklaring er gitt.

31) Ved behandling av personopplysninger i forbindelse med strafferettslig samarbeid og politisamarbeid ligger det i sakens natur at det behandles personopplysninger om ulike kategorier registrerte. Når det er relevant, og så langt som mulig, bør det derfor skilles klart mellom personopplysninger om ulike kategorier registrerte, for eksempel mistenkte, straffedømte, ofre og andre parter, slik som vitner, personer med relevante opplysninger eller kontakter, samt personer med tilknytning til mistenkte og straffedømte. Dette bør ikke være til hinder for anvendelsen av retten til formodet uskyld, slik den er sikret ved pakten og Den europeiske menneskerettskonvensjonen, og fortolket i rettspraksis ved Domstolen og Den europeiske menneskerettighetsdomstol.

32) Kompetente myndigheter bør sikre at personopplysninger som er uriktige, ufullstendige eller ikke lenger ajourført, ikke overføres eller blir tilgjengelige. For å sikre fysiske personers vern, og at personopplysningene som overføres eller blir tilgjengelige er riktige, fullstendige, pålitelige og ajourført, bør kompetente myndigheter så langt som mulig tilføye nødvendig informasjon ved all overføring av personopplysninger.

33) Når dette direktiv viser til medlemsstatenes nasjonale rett, en rettslig hjemmel eller et lovgivningsmessig tiltak, betyr dette ikke nødvendigvis en lov som er vedtatt av et parlament, med forbehold for den berørte medlemsstatens forfatningsregler. Denne nasjonale rett, denne rettslige hjemmel eller dette lovgivningsmessige tiltak bør imidlertid være klar(t) og presis(t), og anvendelsen bør være forutsigelig for dem som omfattes av den, i henhold til rettspraksis ved Domstolen og Den europeiske menneskerettighetsdomstol. Medlemsstatenes nasjonale rett, som regulerer behandlingen av personopplysninger innenfor dette direktivs virkeområde, bør som et minimum angi målene for behandlingen, hvilke personopplysninger som skal behandles, behandlingens formål, prosedyrene for å bevare personopplysningenes integritet og fortrolige karakter, samt prosedyrene for tilintetgjøring, og derved gi tilstrekkelig garanti mot risiko for misbruk og vilkårlighet.

34) Kompetente myndigheters behandling av personopplysninger med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet, bør omfatte enhver operasjon eller serie av operasjoner som utføres på personopplysninger eller sett med personopplysninger for disse formålene, enten det skjer automatisk eller ikke, for eksempel innhenting, registrering, organisering, systematisering, lagring, tilpasning eller endring, gjenfinning, lesing, bruk, justering eller samkjøring, begrensning av behandlingen, sletting eller tilintetgjøring. Bestemmelsene i dette direktiv bør ikke minst få anvendelse på overføring av personopplysninger for dette direktivs formål til en mottaker som ikke omfattes av dette direktiv. En slik mottaker kan være en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som mottar personopplysninger fra kompetent myndighet på lovlig måte. Om personopplysningene først ble innhentet av en kompetent myndighet for et av formålene i dette direktiv, bør forordning (EU) 2016/679 få anvendelse på behandling av disse opplysningene dersom formålet er et annet enn formålene i dette direktiv, når behandlingen er godkjent i henhold til unionsretten eller medlemsstatenes nasjonale rett. Framfor alt bør bestemmelsene i forordning (EU) 2016/679 få anvendelse på overføring av personopplysninger for formål utenfor dette direktivs virkeområde. Forordning (EU) 2016/679 bør få anvendelse når personopplysninger behandles av en mottaker som ikke er en kompetent myndighet, eller som ikke fungerer som en kompetent myndighet som definert i dette direktiv, og som mottar personopplysninger fra en kompetent myndighet på lovlig måte. Ved gjennomføring av dette direktiv bør medlemsstatene også kunne presisere anvendelsen av bestemmelsene i forordning (EU) 2016/679, med forbehold for vilkårene i forordningen.

35) For å være lovlig bør behandling av personopplysninger i henhold til dette direktiv være nødvendig for at en kompetent myndighet skal kunne utføre en oppgave som er i samfunnets interesse, med hjemmel i unionsretten eller medlemsstatenes nasjonale rett, med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet. Denne virksomheten bør omfatte vern av den registrertes vitale interesser. Oppgavene med å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger, som institusjonelt er tillagt kompetente myndigheter ved lov, gjør at de kan kreve eller gi ordre om at fysiske personer skal etterkomme anmodninger. I et slikt tilfelle bør den registrertes samtykke, som definert i forordning (EU) 2016/679, ikke utgjøre et rettsgrunnlag for kompetente myndigheters behandling av personopplysninger. Når den registrerte må oppfylle en rettslig forpliktelse, har vedkommende ikke et reelt og fritt valg, slik at den registrertes reaksjon ikke kan anses som et uttrykk for hans eller hennes vilje avgitt på fritt grunnlag. Dette bør ikke være til hinder for at medlemsstatene fastsetter ved lov at den registrerte kan godta behandling av sine personopplysninger for dette direktivs formål, slik som DNA-testing i forbindelse med etterforskning av straffbare forhold, eller overvåking av hans eller hennes geografiske plassering med elektronisk fotlenke for å fullbyrde strafferettslige sanksjoner.

36) Medlemsstatene bør fastsette at når unionsretten eller den nasjonale rett som gjelder for den kompetente myndighet som overfører opplysningene fastsetter særlige vilkår, som under særlige omstendigheter gjelder for behandling av personopplysninger, for eksempel bruk av håndteringsregler, bør den kompetente myndighet som overfører opplysningene informere mottakeren av personopplysningene om disse vilkårene og kravet om å overholde dem. Slike vilkår kan for eksempel være et forbud mot å videresende personopplysningene til andre, et forbud mot å bruke dem til andre formål enn det som lå til grunn for at de ble oversendt til mottakeren, eller et forbud mot å informere den registrerte i tilfelle av begrenset rett til informasjon uten forhåndsgodkjenning fra den kompetente myndighet som overfører opplysningene. Disse forpliktelsene bør også gjelde for overføring fra den kompetente myndighet som overfører opplysningene, til mottakere i tredjestater eller internasjonale organisasjoner. Medlemsstatene bør sikre at den kompetente myndighet som overfører opplysningene, ikke setter slike vilkår for mottakere i andre medlemsstater, eller for byråer, kontorer og organer opprettet i henhold til avdeling V kapittel 4 og 5 i TEUV, med unntak av de vilkår som gjelder for tilsvarende dataoverføring i den kompetente myndighetens medlemsstat.

37) Personopplysninger som av natur er særlig sensitive med hensyn til grunnleggende rettigheter og friheter, fortjener et særskilt vern, ettersom sammenhengen de behandles i, kan skape betydelige risikoer for de grunnleggende rettigheter og friheter. Slike personopplysninger bør omfatte personopplysninger som avdekker rasemessig eller etnisk opprinnelse, idet bruken av begrepet «rasemessig opprinnelse» i dette direktiv ikke innebærer at Unionen godtar teorier som søker å fastslå at det finnes forskjellige menneskeraser. Slike personopplysninger bør ikke behandles, med mindre behandlingen er undergitt nødvendige garantier til vern av den registrertes lovbestemte rettigheter og friheter og er tillatt i tilfeller hjemlet i lov, eller behandlingen, dersom den ikke er hjemlet i lov, er nødvendig for å verne om den registrertes eller en annen persons vitale interesser, eller behandlingen gjelder opplysninger som helt åpenbart er offentliggjort av den registrerte. Nødvendige garantier til vern av den registrertes rettigheter og friheter kan omfatte muligheten til bare å innhente slike opplysninger i forbindelse med andre opplysninger om den berørte fysiske personen, muligheten til å sikre de innhentede opplysningene på tilfredsstillende måte, strengere bestemmelser om tilgang til opplysningene for den kompetente myndighetens personale og forbud mot overføring av slike opplysninger. Behandling av slike opplysninger bør også tillates ved lov når den registrerte har gitt uttrykkelig samtykke til en behandling som er særlig inngripende overfor ham eller henne. Den registrertes samtykke bør imidlertid ikke i seg selv utgjøre et rettsgrunnlag for kompetente myndigheters behandling av slike sensitive personopplysninger.

38) Den registrerte bør ha rett til ikke å bli gjenstand for en avgjørelse som kan omfatte en vurdering av personlige aspekter ved vedkommende som fullt ut bygger på automatisert behandling og som har negative rettsvirkninger eller i betydelig grad påvirker ham eller henne. Under alle omstendigheter bør en slik behandling ledsages av nødvendige garantier, herunder spesifikk informasjon til den registrerte og rett til menneskelig inngripen, til å uttrykke sine synspunkter, til å få en forklaring på beslutningen som er truffet etter en slik vurdering, og til å protestere mot beslutningen. Profilering som fører til diskriminering av fysiske personer på grunnlag av personopplysninger som er av en slik art at de er særlig sensitive med hensyn til grunnleggende rettigheter og friheter, bør være forbudt på de vilkår som er fastlagt i paktens artikkel 21 og 52.

39) For at den registrerte skal kunne utøve sine rettigheter, bør all informasjon rettet til vedkommende være lett tilgjengelig, blant annet på den behandlingsansvarliges nettsted, og være enkel å forstå, og det skal benyttes et klart og enkelt språk. Informasjonen bør tilpasses behovene til sårbare personer, for eksempel barn.

40) Det bør fastsettes nærmere regler for å sikre at den registrerte på en enkel måte kan utøve sine rettigheter etter bestemmelser vedtatt i henhold til dette direktiv, herunder mekanismer for å anmode om og, dersom det er relevant, kostnadsfritt få innsyn i personopplysninger og få korrigert eller slettet disse, og til begrensning av behandlingen. Den behandlingsansvarlige bør ha plikt til å svare på anmodninger fra den registrerte uten ugrunnet opphold, med mindre den behandlingsansvarlige anvender begrensninger på den registrertes rettigheter i samsvar med dette direktiv. Dersom det imidlertid dreier seg om en anmodning som er åpenbart grunnløs eller urimelig, som når den registrerte uten grunn og gjentatte ganger ber om informasjon, eller når den registrerte misbruker sin rett til informasjon, for eksempel ved å gi uriktig eller villedende informasjon i sin anmodning, bør den behandlingsansvarlige kunne kreve et rimelig gebyr eller unnlate å etterkomme anmodningen.

41) Når den behandlingsansvarlige ber om at det legges fram ytterligere opplysninger for å kunne bekrefte den registrertes identitet, bør disse opplysningene behandles utelukkende for dette konkrete formålet, og ikke lagres lenger enn det som er nødvendig ut fra dette.

42) Som et minimum bør følgende informasjon bli tilgjengelig for den registrerte: den behandlingsansvarliges identitet, at behandlingen finner sted, behandlingens formål, retten til å klage og retten til å be den behandlingsansvarlige om innsyn i personopplysningene og få dem korrigert eller slettet, eller om begrensning av behandlingen. Dette kan gjøres på den kompetente myndighetens nettsted. I tillegg bør den registrerte, i særlige tilfeller og for å gjøre det mulig for ham eller henne å utøve sine rettigheter, informeres om rettsgrunnlaget for behandlingen og om hvor lenge opplysningene vil bli lagret, i den grad slike ytterligere opplysninger er nødvendige for å sikre den registrerte en redelig behandling, ut fra de konkrete omstendighetene rundt behandlingen av opplysningene.

43) En fysisk person bør ha rett til å få innsyn i personopplysninger som er samlet inn om vedkommende, og til på en enkel måte og med rimelige intervaller å utøve denne retten for å forvisse seg om og kontrollere at behandlingen er lovlig. Alle registrerte bør derfor ha rett til å kjenne til og bli informert om formålet med behandlingen av opplysningene, perioden som personopplysningene behandles og hvem som mottar dem, herunder mottakere i tredjestater. Når meldingen inneholder informasjon om hvor personopplysningene kommer fra, bør informasjonen ikke avsløre fysiske personers identitet, og særlig ikke fortrolige kilder. For at denne rettigheten skal respekteres, er det tilstrekkelig at den registrerte får et fullstendig sammendrag av opplysningene i en forståelig form, det vil si en form som gjør at den registrerte får kjennskap til disse opplysningene og kan verifisere at de er riktige og behandles i samsvar med dette direktiv, slik at det blir mulig for ham eller henne å utøve sine rettigheter i henhold til dette direktiv. Et slikt sammendrag kan leveres i form av en kopi av personopplysningene som blir behandlet.

44) Medlemsstatene bør kunne vedta lovgivningsmessige tiltak som utsetter, begrenser eller utelater informasjonen til de registrerte eller helt eller delvis begrenser deres innsyn i sine personopplysninger, i den utstrekning og så lenge et slikt tiltak er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn, og det tas behørig hensyn til den berørte fysiske personens grunnleggende rettigheter og berettigede interesser, med sikte på å unngå å hindre offentlige eller rettslige undersøkelser, etterforskninger eller prosedyrer, unngå å skade arbeidet med å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, å verne om offentlig sikkerhet eller nasjonal sikkerhet, eller å verne om andres rettigheter og friheter. Den behandlingsansvarlige bør, ved en konkret og individuell undersøkelse av hvert enkelt tilfelle, vurdere om retten til innsyn bør helt eller delvis begrenses.

45) Ethvert avslag på eller begrensning av innsyn bør i prinsippet meldes skriftlig til den registrerte, og meldingen bør inneholde de faktiske eller rettslige grunnene som beslutningen er basert på.

46) Enhver begrensning av den registrertes rettigheter må være i samsvar med pakten og med Den europeiske menneskerettskonvensjonen, fortolket i rettspraksis ved Domstolen og Den europeiske menneskerettighetsdomstol, og framfor alt respektere kjernen i disse rettigheter og friheter.

47) En fysisk person bør ha rett til å få korrigert uriktige personopplysninger om seg, særlig faktaopplysninger, og rett til å få dem slettet når behandling av opplysningene er i strid med dette direktiv. Imidlertid bør retten til korrigering ikke berøre for eksempel innholdet i en vitneforklaring. En fysisk person bør også ha rett til begrensning av behandlingen når han eller hun bestrider riktigheten av personopplysningene og det ikke kan fastslås om de er riktige eller uriktige, eller når personopplysningene må oppbevares som bevismiddel. I stedet for at personopplysninger slettes, bør behandlingen begrenses dersom det i et konkret tilfelle er rimelig grunn til å tro at sletting kan innvirke på den registrertes berettigede interesser. I et slikt tilfelle bør begrensede opplysninger behandles bare for det formål som var til hinder for at de ble slettet. Behandlingen av personopplysninger kan blant annet begrenses ved å flytte de utvalgte opplysningene til et annet behandlingssystem, for eksempel for arkivformål, eller ved å sørge for at de utvalgte opplysningene er utilgjengelige. I automatiserte registre bør begrensning av behandlingen i prinsippet sikres med tekniske hjelpemidler. Det faktum at behandlingen av personopplysninger er begrenset, bør angis i systemet på en slik måte at det framgår klart at behandlingen av personopplysninger er begrenset. En slik korrigering eller sletting av personopplysninger, eller begrensning av behandlingen, bør meldes til de mottakere som har fått opplysningene utlevert, og til de kompetente myndigheter som de uriktige opplysningene kommer fra. De behandlingsansvarlige bør også avstå fra ytterligere utlevering av slike opplysninger.

48) Når den behandlingsansvarlige ikke vil innrømme en registrert rett til informasjon, til innsyn i personopplysninger, eller til å få dem korrigert eller slettet, eller til begrensning av behandlingen, bør den registrerte ha rett til å be om at den nasjonale tilsynsmyndigheten kontrollerer om behandlingen er lovlig. Den registrerte bør informeres om denne rettigheten. Når tilsynsmyndigheten opptrer på vegne av den registrerte, bør tilsynsmyndigheten som et minimum informere vedkommende om at den har gjennomført alle nødvendige kontroller eller undersøkelser. Tilsynsmyndigheten bør også informere den registrerte om retten til å kreve rettslig prøving.

49) Når personopplysninger behandles i forbindelse med etterforskning av straffbare forhold og domstolsbehandling av straffesaker, bør medlemsstatene kunne fastsette at retten til informasjon, til innsyn i personopplysningene, til å få dem korrigert eller slettet, og til begrensning av behandlingen, utøves i samsvar med nasjonale rettergangsregler.

50) Den behandlingsansvarliges ansvar og erstatningsansvar for enhver behandling av personopplysninger som utføres av eller på vegne av vedkommende, bør fastsettes. Den behandlingsansvarlige bør særlig ha plikt til å gjennomføre egnede og effektive tiltak og bør kunne vise at behandlingsaktivitetene er i samsvar med dette direktiv. Nevnte tiltak bør ta høyde for behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene for fysiske personers rettigheter og friheter. Den behandlingsansvarliges tiltak bør omfatte utarbeiding og gjennomføring av særlige vernetiltak for behandling av personopplysninger om sårbare personer, for eksempel barn.

51) Behandling av personopplysninger kan føre til at det oppstår risikoer av varierende sannsynlighet og alvorlighetsgrad for fysiske personers rettigheter og friheter som kan medføre fysisk, materiell eller ikke-materiell skade, særlig når behandlingen kan føre til forskjellsbehandling, identitetstyveri eller -bedrageri, økonomisk tap, skade på omdømme, tap av fortrolighet for taushetsbelagte opplysninger, uautorisert oppheving av pseudonymisering eller andre betydelige økonomiske eller sosiale ulemper, når de registrerte kan bli fratatt sine rettigheter og friheter eller bli hindret i å utøve kontroll over egne personopplysninger, når behandlingen gjelder personopplysninger som avslører rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs eller filosofisk overbevisning, fagforeningsmedlemskap, og behandling av genetiske eller biometriske opplysninger som entydig kan identifisere en person, helseopplysninger, seksuelle forhold eller straffedommer og straffbare forhold eller tilknyttede sikkerhetstiltak, når personlige aspekter vurderes, særlig for å analysere og forutsi aspekter som gjelder arbeidsprestasjoner, økonomisk situasjon, helse, personlige preferanser eller interesser, pålitelighet eller atferd, plassering eller bevegelser, for å opprette eller bruke personlige profiler, når sårbare fysiske personers, særlig barns, personopplysninger behandles, eller når behandlingen omfatter en stor mengde personopplysninger og berører et stort antall registrerte.

52) Hvor sannsynlig og alvorlig risikoen er bør fastslås ut fra behandlingens art, omfang, formål og sammenhengen den utføres i. Risikoen bør vurderes ut fra en objektiv vurdering der det fastslås om behandlingen av personopplysningene innebærer en høy risiko. Høy risiko er en særlig risiko for skade på de registrertes rettigheter og friheter.

53) Vern av fysiske personers rettigheter og friheter i forbindelse med behandling av personopplysninger krever at det treffes egnede tekniske og organisatoriske tiltak for å sikre at kravene i dette direktiv blir oppfylt. Gjennomføringen av slike tiltak bør ikke avhenge utelukkende av økonomiske hensyn. For å påvise at dette direktiv er overholdt bør den behandlingsansvarlige vedta interne retningslinjer og gjennomføre tiltak, som framfor alt følger prinsippene om innebygd personvern og personvern som standardinnstilling. Om den behandlingsansvarlige har gjennomført en vurdering av personvernkonsekvenser i henhold til dette direktiv, bør det tas hensyn til resultatene når disse tiltakene og prosedyrene skal utarbeides. Ett tiltak kan være pseudonymisering på et så tidlig tidspunkt som mulig. Bruk av pseudonymisering for dette direktivs formål kan fungere som et verktøy, som ikke minst kan lette fri flyt av personopplysninger innenfor området med frihet, sikkerhet og rettferdighet.

54) Vernet av registrertes rettigheter og friheter samt de behandlingsansvarliges og databehandleres ansvar, herunder i forbindelse med tilsynsmyndighetenes tilsyn og tiltak, krever en tydelig fordeling av ansvar i dette direktiv, herunder når den behandlingsansvarlige fastsetter formålene med og midlene for behandlingen sammen med andre behandlingsansvarlige, eller når en behandling utføres på vegne av en behandlingsansvarlig.

55) Behandling som utføres av en databehandler bør reguleres ved et rettslig dokument, herunder en avtale som binder databehandleren til den behandlingsansvarlige, og som fastsetter at databehandleren utelukkende skal handle på instruks fra den behandlingsansvarlige. Databehandleren bør ta hensyn til prinsippene om innebygd personvern og personvern som standardinnstilling.

56) For å påvise samsvar med dette direktiv bør den behandlingsansvarlige eller databehandleren føre protokoll over alle kategorier behandlingsaktiviteter som de har ansvar for. Hver behandlingsansvarlig og hver databehandler bør ha plikt til å samarbeide med tilsynsmyndigheten og på anmodning gjøre disse protokollene tilgjengelig for den, slik at de kan benyttes til kontroll av nevnte behandlingsaktiviteter. En behandlingsansvarlig eller databehandler som behandler personopplysninger i ikke-automatiserte behandlingssystemer, bør ha innført effektive metoder som viser at behandlingen er lovlig, muliggjør egenkontroll og garanterer dataintegritet og datasikring, for eksempel logg eller andre typer registrering.

57) Det bør som et minimum føres logg over operasjoner i automatiserte behandlingssystemer, slik som innhenting, endring, lesing, utlevering – herunder overføring – samkjøring eller sletting. Det bør loggføres hvem som har søkt etter eller utlevert personopplysninger, og ut fra dette bør det være mulig å fastslå hva som var begrunnelsen for behandlingen. Loggene bør utelukkende benyttes til å verifisere at behandlingen er lovlig, til egenkontroll, til å garantere dataintegritet og datasikring, og i forbindelse med straffesaker. Egenkontroll omfatter også kompetente myndigheters interne disiplinærsaker.

58) Den behandlingsansvarlige bør gjennomføre en vurdering av personvernkonsekvenser når de ulike operasjonene på grunn av sin karakter, sitt virkeområde eller sitt formål sannsynligvis vil innebære stor risiko for registrertes rettigheter og friheter, og den bør blant annet omfatte planlagte tiltak, vernetiltak og ordninger for å sikre vern av personopplysninger, og for å kunne påvise at dette direktiv er overholdt. Vurderinger av personvernkonsekvenser bør omfatte relevante systemer og prosesser for de ulike operasjonene, men ikke enkeltsaker.

59) For å sikre et effektivt vern av registrertes rettigheter og friheter bør den behandlingsansvarlige eller databehandleren i enkelte tilfeller rådføre seg med tilsynsmyndigheten før behandling.

60) For å opprettholde sikkerheten og hindre behandling som er i strid med dette direktiv, bør den behandlingsansvarlige eller databehandleren vurdere de iboende risikoene forbundet med behandlingen og gjennomføre tiltak for å begrense disse, for eksempel kryptering. Slike tiltak bør sørge for et egnet sikkerhetsnivå, herunder et egnet nivå av fortrolighet, idet det tas hensyn til det nåværende utviklingstrinn i teknikken og gjennomføringskostnadene i forbindelse med risikoene, samt arten av personopplysninger som skal vernes. Når risikoen for datasikkerheten vurderes, bør det tas hensyn til risikoene forbundet med behandling av opplysninger, f.eks. utilsiktet eller ulovlig tilintetgjøring, tap, endring, ikke-autorisert utlevering av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet, som særlig kan føre til fysisk, materiell eller ikke-materiell skade. Den behandlingsansvarlige og databehandleren bør påse at personopplysninger ikke behandles av uautoriserte personer.

61) Et personvernbrudd kan, dersom det ikke håndteres på egnet måte og i rett tid, påføre fysiske personer fysisk, materiell eller ikke-materiell skade, f.eks. tap av kontroll over egne personopplysninger eller begrensning av egne rettigheter, forskjellsbehandling, identitetstyveri eller -bedrageri, økonomisk tap, uautorisert oppheving av pseudonymisering, skade på omdømme, tap av fortrolighet for taushetsbelagte personopplysninger eller andre betydelige økonomiske eller sosiale ulemper for den berørte fysiske personen. Så snart den behandlingsansvarlige får kjennskap til at det har oppstått et personvernbrudd, skal vedkommende melde nevnte brudd til tilsynsmyndigheten uten ugrunnet opphold og om mulig senest 72 timer etter å ha fått kjennskap til det, med mindre vedkommende i samsvar med ansvarlighetsprinsippet kan påvise at det er lite trolig at nevnte personvernbrudd vil medføre en risiko for fysiske personers rettigheter og friheter. Dersom nevnte melding ikke kan gis innen 72 timer, bør årsaken til forsinkelsen oppgis i meldingen, og informasjonen kan gis trinnvis uten videre ugrunnet opphold.

62) Når personvernbruddet sannsynligvis vil innebære en høy risiko for en fysisk persons rettigheter og friheter, bør vedkommende underrettes uten ugrunnet opphold, slik at han eller hun kan treffe nødvendige forholdsregler. Underretningen bør beskrive arten av personvernbruddet og inneholde anbefalinger som den berørte fysiske personen kan følge for å begrense mulige skadevirkninger. De registrerte bør underrettes så snart det med rimelighet er mulig, og i nært samarbeid med tilsynsmyndigheten og i samsvar med retningslinjer utstedt av den eller av andre relevante myndigheter. Behovet for å redusere en umiddelbar risiko for skade kan for eksempel kreve at de registrerte underrettes omgående, mens behovet for å gjennomføre egnede tiltak mot fortsatte eller lignende personvernbrudd kan berettige en lengre frist for underretning. Når det ikke er mulig å unngå å hindre offentlige eller rettslige undersøkelser, etterforskninger eller prosedyrer, å unngå å skade arbeidet med å forebygge, avsløre, etterforske eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, eller verne om offentlig sikkerhet eller nasjonal sikkerhet eller andres rettigheter og friheter, ved å utsette eller begrense underretningen til den berørte fysiske personen om personvernbruddet, kan denne underretningen under særlige omstendigheter utelates.

63) Den behandlingsansvarlige bør utnevne en person til å bistå seg i arbeidet med å kontrollere intern overholdelse av bestemmelser vedtatt i henhold til dette direktiv, bortsett fra når en medlemsstat beslutter at domstoler og andre uavhengige rettsmyndigheter skal unntas når de utfører sine judisielle oppgaver. Denne personen kan være et medlem av den behandlingsansvarliges personale, som har fått særlig opplæring om rett og praksis på personvernområdet med sikte på å tilegne seg dybdekunnskap på dette området. Nødvendig dybdekunnskapsnivå bør ikke minst bestemmes ut fra den aktuelle databehandlingen og hvilket vern som kreves for personopplysningene som den behandlingsansvarlige har til behandling. Vedkommendes oppgaver kan utføres på deltid eller heltid. Flere behandlingsansvarlige kan i fellesskap utnevne en personvernrådgiver i samsvar med sin organisatoriske struktur og størrelse, for eksempel når de har felles ressurser i sentrale enheter. Denne personen kan også utnevnes til forskjellige stillinger i de berørte behandlingsansvarliges struktur. Han eller hun bør bistå den behandlingsansvarlige og ansatte som behandler personopplysninger, ved å gi dem informasjon og råd om hvordan de kan oppfylle sine personvernforpliktelser. Personvernrådgiveren bør kunne utføre sin tjeneste og sine oppgaver i full uavhengighet, i samsvar med medlemsstatenes nasjonale rett.

64) Medlemsstatene bør sikre at overføring til en tredjestat eller en internasjonal organisasjon finner sted bare dersom det er nødvendig for å kunne forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet, og at den behandlingsansvarlige i tredjestaten eller den internasjonale organisasjonen er en kompetent myndighet som definert i dette direktiv. En overføring bør bare utføres av kompetente myndigheter som fungerer som behandlingsansvarlige, med mindre en databehandler har fått uttrykkelig instruks om overføring på vegne av en behandlingsansvarlig. En slik overføring kan finne sted når Kommisjonen har besluttet at vernet i den aktuelle tredjestaten eller internasjonale organisasjonen er tilfredsstillende, når det er fastsatt nødvendige garantier, eller når det gjøres unntak for særlige situasjoner. Når personopplysninger overføres fra Unionen til behandlingsansvarlige, databehandlere eller andre mottakere i tredjestater eller internasjonale organisasjoner, bør vernenivået for fysiske personer fastsatt i Unionen ved dette direktiv ikke undergraves, og heller ikke når personopplysninger overføres videre fra tredjestaten eller den internasjonale organisasjonen til behandlingsansvarlige eller databehandlere i den samme eller en annen tredjestat eller internasjonal organisasjon.

65) Når personopplysninger overføres fra en medlemsstat til tredjestater eller internasjonale organisasjoner, bør overføringen i prinsippet finne sted først etter at medlemsstaten der opplysningene ble innhentet, har gitt tillatelse til overføringen. For å oppnå et effektivt samarbeid om rettshåndheving bør den kompetente myndighet kunne overføre relevante personopplysninger til den aktuelle tredjestaten eller internasjonale organisasjonen uten tillatelse på forhånd når det er en så umiddelbar trussel mot offentlig sikkerhet i en medlemsstat eller en tredjestat, eller mot en medlemsstats vesentlige interesser, at forhåndstillatelse ikke kan innhentes i tide. Medlemsstatene bør fastsette at eventuelle særlige vilkår for overføringen bør meldes til tredjestater eller internasjonale organisasjoner. Videreoverføring av personopplysninger bør godkjennes på forhånd av den kompetente myndighet som har foretatt den opprinnelige overføringen. Når den kompetente myndighet som har foretatt den opprinnelige overføringen treffer beslutning om en anmodning om tillatelse til videreoverføring, bør den ta alle relevante faktorer i betraktning, blant annet hvor alvorlig den straffbare handlingen er, de særlige vilkårene for, og formålet med, den opprinnelige overføringen av opplysningene, hva slags fullbyrding av den strafferettslige sanksjonen det dreier seg om og vilkårene for den, samt vernenivået for personopplysninger i tredjestaten eller den internasjonale organisasjonen som personopplysningene videreoverføres til. Den kompetente myndighet som har foretatt den opprinnelige overføringen bør også kunne fastsette særlige vilkår for videreoverføringen. Slike særlige vilkår kan for eksempel beskrives i håndteringsregler.

66) Kommisjonen bør kunne beslutte, med virkning for hele Unionen, at visse tredjestater, et territorium eller en eller flere nærmere angitte sektorer i en tredjestat, eller en internasjonal organisasjon, har et tilstrekkelig nivå for vern av personopplysninger, og på den måten skape rettssikkerhet og ensartethet i hele Unionen med hensyn til tredjestater eller internasjonale organisasjoner som anses å ha et slikt vernenivå. I slike tilfeller bør overføring av personopplysninger til disse statene kunne finne sted uten at det er nødvendig å innhente en særlig tillatelse, unntatt når en annen medlemsstat, der opplysningene ble innhentet, må gi tillatelse til overføringen.

67) I samsvar med de grunnleggende verdiene som Unionen bygger på, særlig beskyttelse av menneskerettighetene, bør Kommisjonen i sin vurdering av tredjestaten, eller av et territorium, eller en bestemt sektor i en tredjestat, ta hensyn til hvordan en bestemt tredjestat overholder rettsstatsprinsippet, sikrer klageadgang og domstolsprøving og overholder internasjonale menneskerettighetsstandarder samt sin allmenne og sektorbestemte lovgivning, herunder lovgivning om offentlig sikkerhet, forsvar, nasjonal sikkerhet, offentlig orden og strafferett. Når det treffes en beslutning om tilstrekkelig vernenivå som gjelder et territorium eller en bestemt sektor i en tredjestat, bør det tas hensyn til tydelige og objektive kriterier, f.eks. spesifikke behandlingsaktiviteter og omfanget av gjeldende rettsregler og lovgivning i tredjestaten. Tredjestaten bør gi garantier som sikrer et tilstrekkelig vernenivå, og som i hovedtrekk tilsvarer det som sikres i Unionen, særlig når opplysninger behandles i en eller flere spesifikke sektorer. Tredjestaten bør særlig sikre et effektivt og uavhengig personverntilsyn og bør opprette mekanismer for samarbeid med medlemsstatenes personvernmyndigheter, og de registrerte bør ha effektive og håndhevbare rettigheter og kunne oppnå effektiv administrativ og rettslig prøving.

68) I tillegg til de internasjonale forpliktelsene som tredjestaten eller den internasjonale organisasjonen har inngått, bør Kommisjonen også ta hensyn til forpliktelsene som følger av tredjestatens eller den internasjonale organisasjonens deltakelse i multilaterale eller regionale systemer, særlig i forbindelse med vern av personopplysninger, samt gjennomføringen av nevnte forpliktelser. Det bør særlig tas hensyn til tredjestatens tiltredelse til Europarådets konvensjon av 28. januar 1981 om personvern i forbindelse med elektronisk databehandling av personopplysninger samt dens tilleggsprotokoll. Kommisjonen bør rådspørre Det europeiske personvernrådet, som ble opprettet ved forordning (EU) 2016/679 («Personvernrådet»), når den vurderer vernenivået i tredjestater eller internasjonale organisasjoner. Kommisjonen bør også ta hensyn til en eventuell relevant kommisjonsbeslutning om tilfredsstillende vernenivå, vedtatt i samsvar med artikkel 45 i forordning (EU) 2016/679.

69) Kommisjonen bør overvåke virkningen av beslutninger om vernenivået i en tredjestat, på et territorium eller i en bestemt sektor i en tredjestat eller en internasjonal organisasjon. I sine beslutninger om tilstrekkelig vernenivå bør Kommisjonen fastsette en mekanisme for regelmessig gjennomgåelse av beslutningenes virkning. Nevnte regelmessige gjennomgåelse bør utføres i samråd med den aktuelle tredjestat eller internasjonale organisasjon, og bør ta hensyn til all relevant utvikling i tredjestaten eller den internasjonale organisasjonen.

70) Kommisjonen bør også kunne fastslå at en tredjestat, et territorium eller en bestemt sektor i en tredjestat eller en internasjonal organisasjon, ikke lenger sikrer et tilstrekkelig nivå for vern av personopplysninger. Overføring av personopplysninger til nevnte tredjestat eller internasjonal organisasjonen bør da forbys, med mindre kravene i dette direktiv som gjelder overføringer som omfattes av nødvendige garantier og unntak for særlige situasjoner er oppfylt. Det bør fastsettes at det skal gjennomføres samråd mellom Kommisjonen og nevnte tredjestater eller internasjonale organisasjoner. Kommisjonen bør i rett tid underrette tredjestaten eller den internasjonale organisasjonen om årsakene og innlede samråd med den for å avhjelpe situasjonen.

71) Overføringer som ikke er basert på en slik beslutning om tilstrekkelig vernenivå, bør tillates bare når det er fastlagt nødvendige garantier i et rettslig bindende instrument som sikrer vernet av personopplysninger, eller når den behandlingsansvarlige har vurdert alle forhold ved dataoverføringen og på grunnlag av vurderingen anser at det foreligger nødvendige garantier til vern av personopplysninger. Slike rettslig bindende instrumenter kan for eksempel være rettslig bindende bilaterale avtaler som er inngått av medlemsstatene og gjennomført i deres rettsorden, og som kan håndheves av de registrerte i disse statene og garanterer at kravene til personvern og de registrertes rettigheter blir overholdt, herunder retten til effektiv administrativ eller rettslig prøving. Den behandlingsansvarlige bør, i sin vurdering av alle forhold av betydning for dataoverføringen, kunne ta hensyn til samarbeidsavtaler som er inngått mellom Europol eller Eurojust og tredjestater, og som åpner for utveksling av personopplysninger. Den behandlingsansvarlige bør også kunne ta hensyn til det faktum at overføringen av personopplysninger vil være undergitt taushetsplikt og avgrensningsprinsippet, noe som sikrer at opplysningene ikke vil bli behandlet for andre formål enn formålene med overføringen. Dessuten bør den behandlingsansvarlige ta hensyn til at personopplysningene ikke vil bli brukt til å be om, avsi eller iverksette dødsstraff eller annen form for grusom og umenneskelig behandling. Selv om disse vilkårene kan anses som hensiktsmessige vernetiltak som muliggjør overføring av opplysninger, bør den behandlingsansvarlige kunne kreve ytterligere vernetiltak.

72) Når det ikke foreligger nødvendige garantier eller en beslutning om tilstrekkelig vernenivå, kan en overføring eller en type overføring bare finne sted i særlige situasjoner dersom det er nødvendig for å verne om den registrertes eller en annen persons vitale interesser, eller for å trygge den registrertes berettigede interesser når det er fastsatt i nasjonal rett i medlemsstaten som overfører personopplysningene; for å kunne hindre en umiddelbar og alvorlig trussel mot offentlig sikkerhet i en medlemsstat eller en tredjestat; i en enkeltsak med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet; eller i en enkeltsak for å kunne fastslå, gjøre gjeldende eller forsvare rettslige krav. Disse unntakene bør tolkes restriktivt og bør ikke åpne for hyppige, omfattende og systematiske overføringer av personopplysninger, eller overføringer av opplysninger i stor skala, men begrenses til opplysninger som er strengt nødvendige. Slike overføringer bør dokumenteres og på anmodning gjøres tilgjengelig for tilsynsmyndigheten, slik at den kan kontrollere at overføringen er lovlig.

73) Kompetente myndigheter anvender bilaterale eller multilaterale internasjonale avtaler inngått med tredjestater på området strafferettslig samarbeid og politisamarbeid, med sikte på utveksling av relevant informasjon slik at de kan utføre sine lovbestemte oppgaver. I prinsippet finner dette sted via eller i det minste i samarbeid med kompetente myndigheter i de aktuelle tredjestatene for dette direktivs formål, enkelte ganger også uten en bilateral eller multilateral internasjonal avtale. I konkrete enkeltsaker kan imidlertid vanlige prosedyrer, som krever kontakt med en slik myndighet i tredjestaten, være lite effektive eller uhensiktsmessige, ikke minst fordi overføringen ikke kan gjennomføres i tide, eller fordi tredjestatens myndighet ikke respekterer rettsstatens prinsipper eller internasjonale menneskerettighetsstandarder, slik at medlemsstatenes kompetente myndigheter kan beslutte å overføre personopplysninger direkte til mottakere i disse tredjestatene. Dette kan være tilfellet når det er et akutt behov for å overføre personopplysninger for å redde livet til en person som står i fare for å bli offer for en straffbar handling, eller for å hindre nært forestående kriminalitet, herunder terrorisme. Selv om en slik overføring mellom kompetente myndigheter og mottakere i tredjestater bare bør finne sted i konkrete enkeltsaker, bør dette direktiv fastsette vilkår som regulerer slike tilfeller. Disse bestemmelsene bør ikke anses som unntak fra eksisterende bilaterale eller multilaterale internasjonale avtaler på området strafferettslig samarbeid og politisamarbeid. Disse reglene bør få anvendelse i tillegg til de øvrige bestemmelsene i dette direktiv, og særlig bestemmelsene om lovlig behandling og bestemmelsene i kapittel V.

74) Når personopplysninger krysser landegrenser, kan det øke risikoen for at fysiske personer ikke kan utøve sine rettigheter med hensyn til vern av personopplysninger for å beskytte seg mot ulovlig bruk eller utlevering av disse opplysningene. Samtidig kan tilsynsmyndigheter i noen tilfeller innse at de ikke er i stand til å følge opp klager eller foreta undersøkelser av aktiviteter som finner sted utenfor deres grenser. Samarbeidet på tvers av landegrensene kan også bli hindret av utilstrekkelig myndighet til å treffe forebyggende tiltak eller utbedringstiltak og av uensartede rettsordninger. Det er derfor behov for å fremme et tettere samarbeid mellom tilsynsmyndigheter for personvern, slik at de lettere kan utveksle informasjon og foreta undersøkelser sammen med sine utenlandske kolleger.

75) Opprettelse av tilsynsmyndigheter i medlemsstatene som kan utføre sine oppgaver i full uavhengighet, har avgjørende betydning for vernet av fysiske personer i forbindelse med behandling av deres personopplysninger. Tilsynsmyndighetene bør føre tilsyn med anvendelsen av bestemmelser vedtatt i henhold til dette direktiv, og bør bidra til en ensartet anvendelse i hele Unionen med sikte på å gi fysiske personer vern i forbindelse med behandling av personopplysninger. Tilsynsmyndighetene bør samarbeide med hverandre og med Kommisjonen om dette.

76) Medlemsstatene kan gi en tilsynsmyndighet som allerede er opprettet i henhold til forordning (EU) 2016/679, ansvaret for oppgaver tillagt de nasjonale tilsynsmyndighetene som skal opprettes i henhold til dette direktiv.

77) Medlemsstatene bør kunne opprette mer enn én tilsynsmyndighet for å gjenspeile deres forfatningsmessige, organisatoriske og administrative struktur. Hver tilsynsmyndighet bør ha de nødvendige økonomiske og menneskelige ressurser, lokaler og infrastruktur for å kunne utføre sine oppgaver på en effektiv måte, herunder oppgaver knyttet til gjensidig bistand og samarbeid med andre tilsynsmyndigheter i Unionen. Hver tilsynsmyndighet bør ha et separat og offentlig årlig budsjett som kan inngå i det overordnede statsbudsjettet eller nasjonale budsjettet.

78) Tilsynsmyndigheter bør være undergitt uavhengig kontroll eller tilsyn med egen økonomistyring, forutsatt at en slik finansiell kontroll ikke påvirker deres uavhengighet.

79) De allmenne vilkårene for medlemmet/medlemmene av tilsynsmyndigheten bør fastsettes ved lov i hver medlemstat, og det bør særlig fastsettes at nevnte medlemmer skal oppnevnes ved hjelp av en gjennomsiktig prosess, enten av parlamentet, regjeringen eller statsoverhodet i medlemsstaten på grunnlag av et forslag fra regjeringen, et medlem av regjeringen, parlamentet eller et kammer i parlamentet, eller av et uavhengig organ med myndighet til dette i henhold til medlemsstatens nasjonale rett. For å sikre tilsynsmyndighetens uavhengighet bør medlemmet/medlemmene opptre med integritet, avstå fra enhver handling som ikke er forenlig med deres oppgaver og så lenge oppnevningsperioden varer, ikke utøve en uforenlig yrkesvirksomhet, enten den er lønnet eller ikke. For å sikre tilsynsmyndighetens uavhengighet bør den selv velge sitt personale, eventuelt med medvirkning av et uavhengig organ, som er tillagt denne oppgaven i henhold til medlemsstatens nasjonale rett.

80) Selv om dette direktiv også gjelder for nasjonale domstolers og andre rettsmyndigheters virksomhet, bør tilsynsmyndighetenes kompetanse ikke omfatte domstolenes behandling av personopplysninger innenfor rammen av sin dømmende virksomhet, for å sikre dommernes uavhengighet når de utfører sine judisielle oppgaver. Dette unntaket bør begrenses til judisiell virksomhet i domstolssaker, og ikke gjelde for annen virksomhet der dommere kan delta i henhold til medlemsstatenes nasjonale rett. Medlemsstatene bør også kunne bestemme at tilsynsmyndighetens kompetanse ikke omfatter tilsyn med andre uavhengige rettsmyndigheters behandling av personopplysninger når de utfører sine judisielle oppgaver, for eksempel påtalemyndigheten. Under alle omstendigheter er domstolenes og andre uavhengige rettsmyndigheters overholdelse av bestemmelsene i dette direktiv alltid undergitt uavhengig tilsyn i samsvar med paktens artikkel 8 nr. 3.

81) Hver tilsynsmyndighet bør behandle klager fra registrerte, og undersøke saken eller oversende den til kompetent tilsynsmyndighet. Undersøkelsen av en klage bør, med forbehold for rettslig prøving, gjennomføres i den utstrekning som er hensiktsmessig i den konkrete saken. Tilsynsmyndigheten bør innen rimelig tid informere den registrerte om hvordan arbeidet med klagen forløper, og om utfallet. Dersom saken krever videre undersøkelser eller samordning med en annen tilsynsmyndighet, bør den registrerte umiddelbart informeres om dette.

82) For å sikre effektiv, pålitelig og ensartet overvåking med hvordan dette direktiv overholdes og håndheves i hele Unionen, i henhold til TEUV, og som fortolket av Domstolen, bør tilsynsmyndighetene ha de samme oppgaver og den samme effektive myndighet i alle medlemsstater, herunder myndighet til å foreta undersøkelser, til å treffe korrigerende tiltak og gi råd, som er nødvendig for at de skal kunne utføre sitt arbeid. Deres myndighet bør imidlertid ikke innvirke på særlige straffeprosessbestemmelser, herunder etterforskning og påtale i forbindelse med straffbare handlinger, eller rettsvesenets uavhengighet. Med forbehold for påtalemyndighetenes myndighet i henhold til medlemsstatenes nasjonale rett, bør tilsynsmyndighetene også ha myndighet til å bringe manglende overholdelse av dette direktiv inn for rettsmyndighetene, eller til å delta i rettssaker. Tilsynsmyndighetenes myndighet bør utøves i samsvar med egnede prosessuelle garantier som er fastsatt i unionsretten og medlemsstatenes nasjonale rett, på en upartisk og rettferdig måtte og innen rimelig tid. For å sikre samsvar med dette direktiv bør hvert tiltak være egnet, nødvendig og forholdsmessig, idet det tas hensyn til omstendighetene i hvert enkelt tilfelle, samt respektere enhver persons rett til å bli hørt før det treffes individuelle tiltak som kan påvirke vedkommende negativt, og være utformet slik at overflødige kostnader og for store ulemper for de berørte personene unngås. Når det gjelder adgang til lokaler, bør undersøkelsesmyndigheten utøves i samsvar med særlige krav i medlemsstatenes rett, f.eks. kravet om at det skal innhentes en rettslig forhåndsgodkjenning. Vedtakelsen av en rettslig bindende beslutning bør kunne prøves rettslig i medlemsstaten der tilsynsmyndigheten som vedtok beslutningen er hjemmehørende.

83) Tilsynsmyndighetene bør bistå hverandre i forbindelse med utførelsen av sine oppgaver og yte gjensidig bistand for å sikre ensartet anvendelse og håndheving av bestemmelser vedtatt i henhold til dette direktiv.

84) Personvernrådet bør bidra til en ensartet anvendelse av dette direktiv i hele Unionen, herunder ved å gi Kommisjonen råd og fremme samarbeidet mellom tilsynsmyndighetene i hele Unionen.

85) Enhver registrert bør ha rett til å inngi klage til én enkelt tilsynsmyndighet, samt ha rett til et effektivt rettsmiddel i samsvar med artikkel 47 i pakten dersom vedkommende anser sine rettigheter etter bestemmelser vedtatt i henhold til dette direktiv for krenket, eller dersom tilsynsmyndigheten ikke reagerer på en klage, helt eller delvis avslår eller avviser en klage, eller ikke griper inn når det er nødvendig for å verne den registrertes rettigheter. Undersøkelsen av en klage bør foretas i den utstrekning som er egnet i det enkelte tilfellet, med forbehold for domstolskontroll. Tilsynsmyndigheten bør innen en rimelig frist underrette den registrerte om klagebehandlingsforløpet og om utfallet av klagen. Dersom saken krever ytterligere undersøkelse eller samordning med en annen tilsynsmyndighet, bør den registrerte underrettes om dette underveis. For å forenkle inngivelsen av klager bør hver tilsynsmyndighet treffe tiltak som f.eks. å utarbeide et klageskjema, som også kan fylles ut elektronisk, uten at andre kommunikasjonsmidler utelukkes.

86) Hver fysiske eller juridiske person bør ha rett til å få en tilsynsmyndighets beslutning rettslig prøvd ved kompetent nasjonal domstol når beslutningen har rettsvirkninger for vedkommende. Dette dreier seg særlig om tilsynsmyndighetens utøvelse av myndighet til å foreta undersøkelser, rette opp visse forhold og gi tillatelse, eller til å avslå eller avvise klager. Denne retten omfatter imidlertid ikke andre tiltak som tilsynsmyndigheten treffer, og som ikke er rettslig bindende, for eksempel tilsynsmyndighetens uttalelser eller råd. En sak mot en tilsynsmyndighet bør bringes inn for domstolene i medlemsstaten der tilsynsmyndigheten er hjemmehørende, og bør føres i samsvar med medlemsstatens nasjonale rett. Disse domstolene bør ha full jurisdiksjon, herunder jurisdiksjon til å undersøke alle faktiske og rettslige forhold som er relevante for tvisten de får seg forelagt.

87) Dersom en registrert mener at vedkommendes rettigheter i henhold til dette direktiv er krenket, bør vedkommende ha rett til å gi et organ som skal verne om registrertes rettigheter og interesser i forbindelse med vern av personopplysninger, og som er opprettet i samsvar med medlemsstatens nasjonale rett, fullmakt til å klage til en tilsynsmyndighet på sine vegne, og til å utøve retten til rettslig prøving. Registrertes rett til å være representert bør ikke berøre medlemsstatenes prosessuelle rettsregler, som kan kreve at registrerte representeres av en advokat, som definert i rådsdirektiv 77/249/EØF[10] , ved nasjonale domstoler.

88) Den som er skadelidt som følge av behandling i strid med bestemmelser vedtatt i henhold til dette direktiv, bør få erstatning fra den behandlingsansvarlige eller en annen myndighet som er kompetent etter medlemsstatens nasjonale rett. Begrepet «skade» bør fortolkes vidt i lys av Domstolens rettspraksis, og på en måte som fullt ut tar hensyn til målene for dette direktiv. Dette berører ikke eventuelle krav om skadeserstatning som følge av overtredelse av andre bestemmelser i unionsretten eller medlemsstatenes nasjonale rett. Når det vises til behandling som ikke er lovlig, eller som er i strid med bestemmelser vedtatt i henhold til dette direktiv, omfatter dette også behandling som er i strid med rettsakter vedtatt til gjennomføring av dette direktiv. Registrerte bør få full og effektiv erstatning for skaden de er påført.

89) Sanksjoner bør ilegges alle fysiske eller juridiske personer, enten de er undergitt privatrettslige eller offentligrettslige bestemmelser, som ikke overholder dette direktiv. Medlemsstatene bør sørge for at sanksjonene er effektive, står i forhold til overtredelsen og virker avskrekkende, og bør treffe alle tiltak for å iverksette dem.

90) For å sikre ensartede vilkår for gjennomføringen av dette direktiv, bør Kommisjonen gis gjennomføringsmyndighet hva angår tilstrekkelig vernenivå i en tredjestat, eller et territorium eller en nærmere angitt sektor i en tredjestat, eller i en internasjonal organisasjon, og hva angår format og prosedyrer for gjensidig bistand og ordninger for elektronisk utveksling av informasjon tilsynsmyndighetene imellom, og mellom tilsynsmyndighetene og Personvernrådet. Denne myndighet bør utøves i samsvar med europaparlaments- og rådsforordning (EU) nr. 182/2011[11] .

91) Framgangsmåten med undersøkelseskomité bør brukes når det vedtas gjennomføringsrettsakter om det tilstrekkelige vernenivået i en tredjestat, eller et territorium eller en angitt sektor i nevnte tredjestat, eller en internasjonal organisasjon, og om format og framgangsmåter for gjensidig bistand og ordninger for elektronisk utveksling av informasjon mellom tilsynsmyndigheter, samt mellom tilsynsmyndighetene og Personvernrådetrådet, forutsatt at disse rettsaktene har generell anvendelse.

92) Kommisjonen bør vedta gjennomføringsrettsakter med umiddelbar virkning, i behørig begrunnede tilfeller vedrørende en tredjestat, et territorium eller en angitt sektor i en tredjestat, eller en internasjonal organisasjon, som ikke lenger sikrer et tilstrekkelig vernenivå, når tvingende og presserende hensyn krever det.

93) Ettersom målene for dette direktiv, som er å verne om fysiske personers grunnleggende rettigheter og friheter, og særlig deres rett til vern av personopplysninger, og å sikre fri utveksling av personopplysninger mellom kompetente myndigheter innenfor Unionen, ikke kan nås i tilstrekkelig grad av medlemsstatene og derfor på grunn av tiltakets omfang og virkninger bedre kan nås på unionsplan, kan Unionen treffe tiltak i samsvar med nærhetsprinsippet som fastsatt i artikkel 5 i TEU. I samsvar med forholdsmessighetsprinsippet fastsatt i nevnte artikkel går dette direktiv ikke lenger enn det som er nødvendig for å nå disse målene.

94) Særlige bestemmelser i unionsrettsakter som er vedtatt på området strafferettslig samarbeid og politisamarbeid før den dag dette direktiv vedtas, og som regulerer behandlingen av personopplysninger mellom medlemsstatene eller tilgang for utpekte myndigheter i medlemsstatene til informasjonssystemer som er opprettet i henhold til traktatene, bør ikke endres, for eksempel de særlige bestemmelsene om vern av personopplysninger som anvendes i henhold til rådsbeslutning 2008/615/JIS[12] , eller artikkel 23 i konvensjonen om gjensidig bistand i straffesaker mellom medlemsstatene i Den europeiske union[13] . Ettersom paktens artikkel 8 og artikkel 16 i TEUV krever at den grunnleggende retten til vern av personopplysninger sikres på en ensartet måte i hele Unionen, bør Kommisjonen se nærmere på forholdet mellom dette direktiv og rettsakter som er vedtatt før den dag dette direktiv vedtas, og som regulerer behandlingen av personopplysninger mellom medlemsstatene eller tilgang for utpekte myndigheter i medlemsstatene til informasjonssystemer som er opprettet i henhold til traktatene, med sikte på å vurdere behovet for å bringe disse særlige bestemmelsene i tråd med dette direktiv. Når det er hensiktsmessig, bør Kommisjonen legge fram forslag med sikte på å sikre ensartede bestemmelser om behandling av personopplysninger.

95) For å sikre et omfattende og ensartet vern av personopplysninger i Unionen bør internasjonale avtaler som er inngått av medlemsstatene før den dag dette direktiv trer i kraft, og som er i samsvar med relevant unionsrett anvendt før det tidspunktet, forbli i kraft til de endres, erstattes eller oppheves.

96) Medlemsstatene bør gis en innarbeidingsfrist på høyst to år fra den dag dette direktiv trer i kraft. Behandling som allerede pågår på det tidspunktet, bør bringes i samsvar med dette direktiv innen to år etter at dette direktiv trer i kraft. Når en slik behandling er i samsvar med unionsrett anvendt før dette direktiv trer i kraft, bør kravene i dette direktiv om å rådføre seg med tilsynsmyndigheten på forhånd, ikke gjelde for behandling som allerede pågår på det tidspunktet, ettersom det ligger i sakens natur at disse kravene skal oppfylles før behandling. Når medlemsstatene benytter den lengre gjennomføringsfristen, som utløper sju år etter at dette direktiv trer i kraft, til å oppfylle loggføringsforpliktelsene for automatiserte behandlingssystemer som er opprettet før det tidspunktet, bør den behandlingsansvarlige eller databehandleren ha innført effektive metoder som påviser at databehandlingen er lovlig, muliggjør egenkontroll og garanterer dataintegritet og datasikkerhet, for eksempel logg eller andre typer registrering.

97) Dette direktiv berører ikke bestemmelsene om bekjempelse av seksuelt misbruk av barn, seksuell utnytting av barn og barnepornografi i europaparlaments- og rådsdirektiv 2011/93/EU[14] .

98) Rammebeslutning 2008/977/JIS bør derfor oppheves.

99) I samsvar med artikkel 6a i protokoll nr. 21 om Det forente kongerikes og Irlands stilling med hensyn til området med frihet, sikkerhet og rettferdighet, som følger som vedlegg til TEU og TEUV, er bestemmelsene i dette direktiv om medlemsstatenes behandling av personopplysninger under utøvelse av virksomhet som hører under tredje del avdeling V kapittel 4 eller 5 i TEUV, ikke bindende for Det forente kongerike og Irland, når bestemmelser om former for strafferettslig samarbeid eller politisamarbeid som krever overholdelse av bestemmelser fastsatt med hjemmel i artikkel 16 i TEUV, ikke er bindende for Det forente kongerike og Irland.

100) I samsvar med artikkel 2 og 2a i protokoll nr. 22 om Danmarks stilling, som følger som vedlegg til TEU og TEUV, er bestemmelsene i dette direktiv om medlemsstatenes behandling av personopplysninger under utøvelse av virksomhet som hører under tredje del avdeling V kapittel 4 eller 5 i TEUV, ikke bindende for Danmark og får ikke anvendelse der. Ettersom dette direktiv bygger på gjeldende Schengen-rett etter bestemmelsene i tredje del avdeling V i TEUV, skal Danmark, i samsvar med artikkel 4 i nevnte protokoll, innen seks måneder etter at dette direktiv er vedtatt, beslutte om Danmark skal gjennomføre det i sin nasjonale rett.

101) Hva angår Island og Norge utgjør dette direktiv en videreutvikling av bestemmelsene i gjeldende Schengen-rett, i samsvar med avtalen mellom Rådet for Den europeiske union og Republikken Island og Kongeriket Norge om disse to staters deltakelse som assosiert i gjennomføringen, anvendelsen og videreutviklingen av Schengen-retten[15] .

102) Hva angår Sveits utgjør dette direktiv en videreutvikling av bestemmelsene i gjeldende Schengen-rett, i samsvar med avtalen mellom Den europeiske union, Det europeiske fellesskap og Det sveitsiske edsforbund om Det sveitsiske edsforbunds deltakelse som assosiert i gjennomføringen, anvendelsen og videreutviklingen av Schengen-retten[16] .

103) Hva angår Liechtenstein utgjør dette direktiv en videreutvikling av bestemmelsene i gjeldende Schengen-rett som omhandlet i protokollen mellom Den europeiske union, Det europeiske fellesskap, Det sveitsiske edsforbund og Storhertugdømmet Liechtenstein om Storhertugdømmet Liechtensteins tiltredelse til avtalen mellom Den europeiske union, Det europeiske fellesskap og Det sveitsiske edsforbund om Det sveitsiske edsforbunds deltakelse som assosiert i gjennomføringen, anvendelsen og videreutviklingen av Schengen-retten[17] .

104) Dette direktiv er forenlig med de grunnleggende rettigheter og prinsipper som er anerkjent i pakten og forankret i TEUV, og særlig retten til respekt for privatliv og familieliv, retten til vern av personopplysninger og retten til effektive rettsmidler og en rettferdig rettergang. Begrensninger av disse rettighetene er i samsvar med paktens artikkel 52 nr. 1, ettersom de er nødvendige for å nå mål av allmenn interesse som er anerkjent av Unionen, eller for å verne om andres rettigheter og friheter.

105) I samsvar med medlemsstatenes og Kommisjonens felles politiske erklæring om forklarende dokumenter av 28. september 2011 har medlemsstatene forpliktet seg til, når det er berettiget, å la meldingen om innarbeidingstiltak følge av ett eller flere dokumenter som forklarer sammenhengen mellom delene i et direktiv og de tilsvarende delene i nasjonale innarbeidingstiltak. Regelgiveren anser at oversending av slike dokumenter er berettiget i forbindelse med dette direktiv.

106) EUs datatilsynsmann ble rådspurt i samsvar med artikkel 28 nr. 2 i forordning (EF) nr. 45/2001 og avga en uttalelse 7. mars 2012[18] .

107) Dette direktiv bør ikke være til hinder for at medlemsstatene gjennomfører bestemmelser om registrertes utøvelse av sine rettigheter med hensyn til informasjon, til innsyn i personopplysninger, til å få dem korrigert eller slettet, og til begrensning av behandlingen i forbindelse med straffesaker, samt eventuelle begrensninger av disse rettigheter, i nasjonale straffeprosessbestemmelser —

VEDTATT DETTE DIREKTIV:

Kapittel I

Generelle bestemmelser

Artikkel 1

Formål og mål

1. I dette direktiv fastsettes bestemmelser om vern av fysiske personer i forbindelse med kompetente myndigheters behandling av personopplysninger med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet.

2. Medlemsstatene skal, i samsvar med dette direktiv:

a) verne om fysiske personers grunnleggende rettigheter og friheter, og særlig deres rett til vern av personopplysninger, og

b) sikre at kompetente myndigheters utveksling av personopplysninger innenfor Unionen, når en slik utveksling kreves etter unionsretten eller medlemsstatenes nasjonale rett, verken begrenses eller forbys av årsaker som gjelder fysiske personers vern med hensyn til behandling av personopplysninger.

3. Dette direktiv skal ikke være til hinder for at medlemsstatene fastsetter strengere tiltak enn tiltakene i dette direktiv til vern av den registrertes rettigheter og friheter i forbindelse med kompetente myndigheters behandling av personopplysninger.

Artikkel 2

Virkeområde

1. Dette direktiv får anvendelse på kompetente myndigheters behandling av personopplysninger for formålene oppført i artikkel 1 nr. 1.

2 Dette direktiv får anvendelse på helt eller delvis automatisert behandling av personopplysninger, og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register.

3. Dette direktiv får ikke anvendelse på behandling av personopplysninger som utføres

a) i forbindelse med utøvelse av en aktivitet som ikke omfattes av unionsretten,

b) som utføres av Unionens institusjoner, organer, kontorer og byråer.

Artikkel 3

Definisjoner

I dette direktiv menes med

1) «personopplysning»: enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, for eksempel et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en online-identifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet,

2) «behandling»: enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, for eksempel innhenting, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring,

3) «begrensning av behandling»: merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden,

4) «profilering»: enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser,

5) «pseudonymisering»: behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person,

6) «register»: enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, enten samlingen er plassert sentralt, er desentralisert eller spredt på et funksjonelt eller geografisk grunnlag,

7) «kompetent myndighet»:

a) enhver offentlig myndighet som er kompetent med hensyn til å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet, eller

b) ethvert annet organ eller enhver annen enhet som i henhold til medlemsstatenes nasjonale rett skal utøve offentlig myndighet med sikte på å forebygge, etterforske, avsløre eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner, herunder hindre trusler mot og verne om offentlig sikkerhet,

8) «behandlingsansvarlig»: den kompetente myndighet som, alene eller sammen med andre, bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet med og midlene for behandlingen er fastsatt i unionsretten eller medlemsstatenes nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller medlemsstatenes nasjonale rett,

9) «databehandler»: en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige,

10) «mottaker»: en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som personopplysninger utleveres til, enten det dreier seg om en tredjepart eller ikke. Offentlige myndigheter som kan motta personopplysninger innenfor rammen av en særskilt undersøkelse i samsvar med medlemsstatenes nasjonale rett, skal imidlertid ikke anses som mottakere; nevnte offentlige myndigheters behandling av slike opplysninger skal være i samsvar med gjeldende regler for vern av personopplysninger i henhold til formålet med behandlingen,

11) «personvernbrudd»: et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet,

12) «genetiske opplysninger»: personopplysninger om en fysisk persons nedarvede eller ervervede genetiske egenskaper som gir unik informasjon om den aktuelle fysiske personens fysiologi eller helse, og som særlig er framkommet etter analysering av en biologisk prøve fra den aktuelle fysiske personen,

13) «biometriske opplysninger»: personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, for eksempel ansiktsbilder eller fingeravtrykksopplysninger,

14) «helseopplysninger»: personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand,

15) «tilsynsmyndighet»: en uavhengig offentlig myndighet som er opprettet av en medlemsstat i henhold til artikkel 41,

16) «internasjonal organisasjon»: en organisasjon og dens underordnede organer som er underlagt folkeretten, eller ethvert annet organ opprettet ved eller på grunnlag av en avtale mellom to eller flere stater.

Kapittel II

Prinsipper

Artikkel 4

Prinsipper for behandling av personopplysninger

1. Medlemsstatene skal fastsette at personopplysninger skal:

a) behandles på lovlig og rettferdig måte,

b) samlet inn for spesifikke, uttrykkelig angitte og berettigede formål, og ikke behandles på en måte som er uforenlig med disse formålene,

c) være adekvate, relevante og ikke for omfattende ut fra formålene de behandles for,

d) være korrekte og, dersom det er nødvendig, oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller korrigeres,

e) lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for,

f) behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling, og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak.

2. Behandling som foretas av den samme eller en annen behandlingsansvarlig for et av formålene oppført i artikkel 1 nr. 1, men ikke det formål som lå til grunn for innhenting av opplysningene, skal tillates i den grad:

a) den behandlingsansvarlige har tillatelse til å behandle slike personopplysninger for et slikt formål i samsvar med unionsretten eller medlemsstatenes nasjonale rett, og

b) behandlingen er nødvendig og står i forhold til dette andre formålet i samsvar med unionsretten eller medlemsstatenes nasjonale rett.

3. Behandling som foretas av den samme eller en annen behandlingsansvarlig kan være arkivering i samfunnets interesse eller til vitenskapelig, statistisk eller historisk bruk for formålene oppført i artikkel 1 nr. 1, med forbehold om tilstrekkelige tiltak for å sikre de registrertes rettigheter og friheter.

4. Den behandlingsansvarlige er ansvarlig for, og skal kunne påvise at nr. 1, 2 og 3 overholdes.

Artikkel 5

Tidsbegrenset lagring og gjennomgang

Medlemsstatene skal sørge for at det fastsettes egnede frister for sletting av personopplysninger, eller for jevnlig gjennomgang av behovet for å lagre personopplysninger. Saksbehandlingsregler skal sikre at disse fristene blir overholdt.

Artikkel 6

Skille mellom ulike kategorier registrerte

Medlemsstatene skal fastsette at den behandlingsansvarlige, når det er relevant, og så langt som mulig, skal skille klart mellom personopplysninger for ulike kategorier registrerte, for eksempel:

a) når det er tungtveiende grunner til å tro at den registrerte har begått eller er i ferd med å begå en straffbar handling,

b) når den registrerte er dømt for en straffbar handling,

c) når den registrerte er offer for en straffbar handling, eller visse omstendigheter gir grunn til å tro at vedkommende kan bli offer for en straffbar handling, og

d) når det det dreier seg om andre parter knyttet til en straffbar handling, for eksempel personer som kan bli bedt om å vitne under etterforskning av en straffbar handling eller en senere straffesak, personer som har opplysninger om en straffbar handling, eller personer som har kontakt med eller tilknytning til personer som nevnt i bokstav a) og b).

Artikkel 7

Skille mellom personopplysninger og kvalitetskontroll av personopplysninger

1. Medlemsstatene skal fastsette at det så langt som mulig skal skilles mellom personopplysninger basert på fakta og personopplysninger basert på personlige vurderinger.

2. Medlemsstatene skal fastsette at kompetente myndigheter skal treffe alle rimelige tiltak for å sikre at personopplysninger som er uriktige, ufullstendige eller ikke ajourført, ikke overføres eller blir tilgjengelige. For det formål skal hver kompetent myndighet, så langt som praktisk mulig, kvalitetskontrollere personopplysninger før de overføres eller gjøres tilgjengelige. Ved all overføring av personopplysninger skal det, så langt som mulig, tilføyes nødvendig informasjon som gjør at den kompetente myndighet som mottar personopplysningene, kan vurdere i hvilken grad opplysningene er riktige, fullstendige og pålitelige, og i hvilken utstrekning de er ajourført.

3. Dersom det viser seg at det er overført uriktige personopplysninger, eller at personopplysninger er ulovlig overført, skal mottakeren få melding om dette umiddelbart. I et slikt tilfelle skal personopplysningene korrigeres eller slettes, eller behandlingen skal begrenses i samsvar med artikkel 16.

Artikkel 8

Behandlingens lovlighet

1. Medlemsstatene skal fastsette at en behandling er lovlig bare dersom og i den utstrekning den er nødvendig for at en kompetent myndighet skal kunne uføre en oppgave for formålene oppført i artikkel 1 nr. 1, og den er hjemlet i unionsretten eller medlemsstatenes nasjonale rett.

2. Nasjonal rett som regulerer behandling innenfor dette direktivs virkeområde, skal som et minimum angi målet for behandlingen, hvilke personopplysninger som skal behandles og behandlingens formål.

Artikkel 9

Særlige vilkår for behandling

1. Personopplysninger som er innhentet av kompetente myndigheter for formålene oppført i artikkel 1 nr. 1, skal ikke behandles for andre formål enn dem som er oppført i artikkel 1 nr. 1, med mindre slik behandling er tillatt etter unionsretten eller medlemsstatenes nasjonale rett. Når personopplysninger behandles for slike andre formål, får forordning (EU) 2016/679 anvendelse, med mindre behandlingen skjer som ledd i en virksomhet utenfor unionsrettens virkeområde.

2. Når kompetente myndigheter har andre oppgaver i henhold til medlemsstatenes nasjonale rett enn dem som utføres for formålene oppført i artikkel 1 nr. 1, får forordning (EU) 2016/679 anvendelse på behandling for slike formål, herunder arkivering i samfunnets interesse, vitenskapelig eller historisk forskning eller statistikk, med mindre behandlingen skjer som ledd i en virksomhet utenfor unionsrettens virkeområde.

3. Når unionsretten eller den nasjonale rett som gjelder for den kompetente myndighet som overfører opplysningene, fastsetter særlige vilkår for behandling, skal medlemsstatene fastsette at denne kompetente myndighet skal informere mottakeren av personopplysningene om disse vilkårene, og om kravet om å overholde dem.

4. Medlemsstatene skal fastsette at den kompetente myndighet som overfører opplysningene, ikke skal sette vilkår som fastsatt i nr. 3 for mottakere i andre medlemsstater, eller for byråer, kontorer og organer opprettet i henhold til kapittel 4 og 5 i avdeling V i TEUV, som er annerledes enn vilkårene for tilsvarende dataoverføring i medlemsstaten der den kompetente myndigheten som overfører opplysningene er hjemmehørende.

Artikkel 10

Behandling av særlige kategorier personopplysninger

Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs eller filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske eller biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om seksuelle forhold eller seksuell orientering, skal tillates bare når det er strengt nødvendig, med forbehold om tilstrekkelige garantier til vern av den registrertes rettigheter og friheter, og bare:

a) når det er tillatt etter unionsretten eller medlemsstatenes nasjonale rett,

b) for å verne den registrertes eller en annen fysisk persons vitale interesser, eller

c) når behandlingen gjelder opplysninger som det er åpenbart at den registrerte har offentliggjort.

Artikkel 11

Automatiserte individuelle avgjørelser

1. Medlemsstatene skal fastsette at en avgjørelse som utelukkende er basert på automatisert behandling, herunder profilering, og som har negativ rettsvirkning for den registrerte eller i betydelig grad påvirker vedkommende, skal være forbudt, med mindre det er tillatt etter unionsretten eller den nasjonale rett som den behandlingsansvarlige er underlagt, og som fastsetter tilstrekkelige garantier til vern av den registrertes rettigheter og friheter, i det minste retten til menneskelig inngripen fra den behandlingsansvarlige.

2. De avgjørelser som er nevnt i nr. 1 i denne artikkel, skal ikke baseres på særlige kategorier personopplysninger som nevnt i artikkel 10, med mindre det er innført egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

3. Profilering som fører til diskriminering av fysiske personer basert på særlige kategorier personopplysninger som nevnt i artikkel 10 skal forbys, i samsvar med unionsretten.

Kapittel III

Den registrertes rettigheter

Artikkel 12

Kommunikasjon og vilkår for utøvelse av den registrertes rettigheter

1. Medlemsstatene skal fastsette at den behandlingsansvarlige skal treffe rimelige tiltak for å gi all informasjon nevnt i artikkel 13, og sende alle meldinger om behandling omhandlet i artikkel 11, artikkel 14 til 18 og artikkel 31 til den registrerte på en kortfattet, forståelig og lett tilgjengelig måte, og i et klart og enkelt språk. Informasjonen skal gis på hensiktsmessig måte, for eksempel elektronisk. Den behandlingsansvarlige skal som en hovedregel gi informasjonen i samme form som den som ble benyttet for anmodningen.

2. Medlemsstatene skal fastsette at den behandlingsansvarlige skal legge til rette for at den registrerte kan utøve sine rettigheter etter artikkel 11 og artikkel 14 til 18.

3. Medlemsstatene skal fastsette at den behandlingsansvarlige uten ugrunnet opphold skal informere den registrerte skriftlig om oppfølgingen av hans eller hennes anmodning.

4. Medlemsstatene skal fastsette at informasjon i henhold til artikkel 13, og alle meldinger eller tiltak i henhold til artikkel 11, artikkel 14 til 18 og artikkel 31, skal være gratis. Dersom anmodninger fra en registrert er åpenbart grunnløse eller overdrevne, særlig dersom de gjentas, kan den behandlingsansvarlige enten:

a) kreve et rimelig gebyr, idet det tas hensyn til administrasjonskostnadene for å gi informasjonen eller treffe de tiltak det anmodes om, eller

b) nekte å etterkomme anmodningen.

Den behandlingsansvarlige skal bære bevisbyrden for at anmodningen er åpenbart grunnløs eller overdreven.

5. Den behandlingsansvarlige kan, dersom det hersker rimelig tvil om identiteten til den fysiske personen som inngir anmodningen nevnt i artikkel 14 eller 16, anmode om ytterligere opplysninger som er nødvendige for å kunne bekrefte den registrertes identitet.

Artikkel 13

Informasjon som skal gjøres tilgjengelig for eller gis til den registrerte

1. Medlemsstatene skal fastsette at den behandlingsansvarlige som et minimum skal gjøre følgende informasjon tilgjengelig for den registrerte:

a) identiteten og kontaktopplysningene til den behandlingsansvarlige,

b) kontaktopplysningene til personvernrådgiveren, dersom dette er relevant,

c) formålene med den tiltenkte behandlingen av personopplysningene,

d) retten til å inngi klage til en tilsynsmyndighet, samt tilsynsmyndighetens kontaktopplysninger,

e) retten til å anmode den behandlingsansvarlige om innsyn i og korrigering eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte.

2. I tillegg til den informasjon som er nevnt i nr. 1, skal medlemsstatene lovfeste at den behandlingsansvarlige i særlige tilfeller skal gi den registrerte følgende ekstra informasjon, slik at han eller hun kan utøve sine rettigheter:

a) det rettslige grunnlaget for behandlingen,

b) hvor lenge personopplysningene vil bli lagret eller, når det ikke er mulig, hvilke kriterier som benyttes til å bestemme dette,

c) eventuelt de ulike kategorier mottakere av personopplysningene, herunder i tredjestater eller i internasjonale organisasjoner,

d) om nødvendig utfyllende informasjon, og særlig når personopplysningene innhentes uten at den registrerte vet om det.

3. Medlemsstatene kan vedta lovgivningsmessige tiltak som utsetter, begrenser eller utelater informasjon til den registrerte i henhold til nr. 2, i den utstrekning og så lenge et slikt tiltak er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn, og det tas behørig hensyn til den berørte fysiske personens grunnleggende rettigheter og berettigede interesser, med sikte på:

a) å unngå å hindre offentlige eller rettslige undersøkelser, etterforskninger eller prosedyrer,

b) å unngå å skade arbeidet med å forebygge, avsløre, etterforske eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner,

c) å verne om offentlig sikkerhet,

d) å verne om nasjonal sikkerhet,

e) å verne om andres rettigheter og friheter.

4. Medlemsstatene kan vedta lovgivningsmessige tiltak for å fastsette kategorier behandling som helt eller delvis omfattes av et ledd i nr. 3.

Artikkel 14

Den registrertes rett til innsyn

Med forbehold for artikkel 15 skal medlemsstatene fastsette at den registrerte har rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles, og dersom det er tilfellet, innsyn i personopplysningene og følgende informasjon:

a) behandlingens formål og rettsgrunnlag,

b) de berørte kategoriene av personopplysninger,

c) hvilke mottakere eller kategorier mottakere som personopplysningene er blitt utlevert til, og særlig mottakere i tredjestater eller internasjonale organisasjoner,

d) dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret eller, dersom det ikke er mulig, kriteriene som brukes for å fastsette denne perioden,

e) retten til å anmode den behandlingsansvarlige om korrigering eller sletting av personopplysninger eller begrensning av behandlingen av personopplysninger som gjelder den registrerte,

f) retten til å inngi klage til en tilsynsmyndighet, samt tilsynsmyndighetens kontaktopplysninger,

g) melding om hvilke personopplysninger som er under behandling, og all tilgjengelig informasjon om hvor de stammer fra.

Artikkel 15

Begrensninger i retten til innsyn

1. Medlemsstatene kan vedta lovgivningsmessige tiltak som helt eller delvis begrenser den registrertes rett til innsyn, i den utstrekning og så lenge en slik delvis eller full begrensning er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn, og det tas behørig hensyn til den berørte fysiske personens grunnleggende rettigheter og berettigede interesser, med sikte på:

a) å unngå å hindre offentlige eller rettslige undersøkelser, etterforskninger eller prosedyrer,

b) å unngå å skade arbeidet med å forebygge, avsløre, etterforske eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner,

c) å verne om offentlig sikkerhet,

d) å verne om nasjonal sikkerhet,

e) å verne om andres rettigheter og friheter.

2. Medlemsstatene kan vedta lovgivningsmessige tiltak for å fastsette kategorier behandlinger som helt eller delvis omfattes av nr. 1 bokstav a) til e).

3. I de tilfeller som er nevnt i nr. 1 og 2, skal medlemsstatene fastsette at den behandlingsansvarlige uten ugrunnet opphold skal informere den registrerte skriftlig om ethvert avslag på eller enhver begrensning av innsyn, og om grunnene til avslaget eller begrensningen. Informasjonen kan utelates om den kan undergrave et formål oppført i nr. 1. Medlemsstatene skal fastsette at den behandlingsansvarlige skal informere den registrerte om muligheten for å klage til en tilsynsmyndighet eller kreve rettslig prøving.

4. Medlemsstatene skal fastsette at den behandlingsansvarlige skal dokumentere de faktiske eller rettslige grunnene til beslutningen. Denne informasjonen skal være tilgjengelig for tilsynsmyndighetene.

Artikkel 16

Rett til å få korrigert eller slettet personopplysninger, og til begrensning av behandlingen

1. Medlemsstatene skal fastsette at den registrerte skal ha rett til å få uriktige opplysninger om seg korrigert av den behandlingsansvarlige uten ugrunnet opphold. Medlemsstatene skal fastsette at den registrerte, samtidig som det tas hensyn til behandlingens formål, skal ha rett til å få ufullstendige personopplysninger komplettert, herunder ved å framlegge en supplerende erklæring.

2. Medlemsstatene skal kreve at den behandlingsansvarlige sletter personopplysninger uten ugrunnet opphold, og skal fastsette at den registrerte skal ha rett til å få opplysninger om seg slettet av den behandlingsansvarlige uten ugrunnet opphold når behandlingen er i strid med bestemmelser vedtatt i henhold til artikkel 4, 8 eller 10, eller når personopplysninger må slettes for å oppfylle en rettslig forpliktelse for den behandlingsansvarlige.

3. I stedet for sletting skal den behandlingsansvarlige begrense behandlingen når:

a) den registrerte bestrider riktigheten av personopplysningene, og det ikke kan fastslås om de er riktige eller uriktige, eller

b) personopplysningene skal oppbevares som bevismateriale.

Når behandlingen begrenses i henhold til bokstav a), skal den behandlingsansvarlige informere den registrerte før begrensningen av behandlingen oppheves.

4. Medlemsstatene skal fastsette at den behandlingsansvarlige skal informere den registrerte skriftlig når korrigering eller sletting av personopplysninger eller begrensning av behandlingen avslås og om grunnene til avslaget. Medlemsstatene kan vedta lovgivningsmessige tiltak som helt eller delvis begrenser plikten til å gi slik informasjon, i den utstrekning en slik begrensning er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn, og det tas behørig hensyn til den berørte fysiske personens grunnleggende rettigheter og berettigede interesser, med sikte på:

a) å unngå å hindre offentlige eller rettslige undersøkelser, etterforskninger eller prosedyrer,

b) å unngå å skade arbeidet med å forebygge, avsløre, etterforske eller rettsforfølge straffbare handlinger eller fullbyrde strafferettslige sanksjoner,

c) å verne om offentlig sikkerhet,

d) å verne om nasjonal sikkerhet,

e) å verne om andres rettigheter og friheter.

Medlemsstatene skal fastsette at den behandlingsansvarlige skal informere den registrerte om muligheten for å klage til en tilsynsmyndighet eller kreve rettslig prøving.

5. Medlemsstatene skal fastsette at den behandlingsansvarlige skal gi den kompetente myndighet som de uriktige personopplysningene kommer fra, melding om at disse personopplysningene blir korrigert.

6. Medlemsstatene skal, når personopplysninger er blitt korrigert eller slettet eller behandlingen er blitt begrenset i henhold til nr. 1, 2 og 3, fastsette at den behandlingsansvarlige skal gi mottakerne melding om dette, og at mottakerne skal korrigere eller slette personopplysningene eller begrense den behandling av personopplysninger de har ansvar for.

Artikkel 17

Den registrertes utøvelse av rettigheter og tilsynsmyndighetens kontroll

1. I de tilfeller som er nevnt i artikkel 13 nr. 3, artikkel 15 nr. 3 og artikkel 16 nr. 4, skal medlemsstatene vedta bestemmelser om at den registrertes rettigheter også kan utøves via kompetent tilsynsmyndighet.

2. Medlemsstatene skal fastsette at den behandlingsansvarlige skal informere den registrerte om hans eller hennes mulighet for å utøve sine rettigheter via tilsynsmyndigheten i henhold til nr. 1.

3. Når det utøves en rettighet som nevnt i nr. 1, skal tilsynsmyndigheten som et minimum informere den registrerte om at tilsynsmyndigheten har gjennomført alle nødvendige kontroller, eller har foretatt en gjennomgang. Tilsynsmyndigheten skal også informere den registrerte om hans eller hennes rett til rettslig prøving.

Artikkel 18

Den registrertes rettigheter i forbindelse med etterforskning av straffbare forhold og straffesaker

Medlemsstatene kan fastsette at utøvelsen av rettigheter som nevnt i artikkel 13, 14 og 16 skal skje i samsvar med medlemsstatenes nasjonale rett når personopplysningene inngår i en rettsavgjørelse eller en protokoll eller et saksdokument som behandles i forbindelse med etterforskning av straffbare forhold og straffesaker.

Kapittel IV

Behandlingsansvarlig og databehandler

Avsnitt 1

Generelle forpliktelser

Artikkel 19

Den behandlingsansvarliges ansvar

1. Medlemsstatene skal fastsette at den behandlingsansvarlige, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighet og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med dette direktiv. Nevnte tiltak skal gjennomgås på nytt og skal oppdateres ved behov.

2. Dersom det står i forhold til behandlingsaktivitetene, skal tiltakene nevnt i nr. 1 omfatte den behandlingsansvarliges implementering av retningslinjer for vern av personopplysninger.

Artikkel 20

Innebygd personvern og personvern som standardinnstilling

1. Medlemsstatene skal fastsette at den behandlingsansvarlige, idet det tas hensyn til det nåværende utviklingstrinn i teknikken, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighet og alvorlighetsgrad for fysiske personers rettigheter og friheter som behandlingen medfører, skal, både på tidspunktet for fastsettelse av midlene som skal brukes i forbindelse med behandlingen, og på tidspunktet for selve behandlingen, gjennomføre egnede tekniske og organisatoriske tiltak, f.eks. pseudonymisering, utformet for å oppnå en effektiv gjennomføring av prinsippene for vern av personopplysninger, f.eks. dataminimering, og for å integrere de nødvendige garantier i behandlingen for å oppfylle kravene i dette direktiv og verne de registrertes rettigheter.

2. Medlemsstatene skal fastsette at den behandlingsansvarlige skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre at det som standard bare er personopplysninger som er nødvendig for hvert spesifikke formål med behandlingen, som behandles. Nevnte forpliktelse får anvendelse på den mengden personopplysninger som samles inn, omfanget av behandlingen av opplysningene, hvor lenge de lagres og deres tilgjengelighet. Nevnte tiltak skal særlig sikre at personopplysninger som standard ikke gjøres tilgjengelig for et ubegrenset antall fysiske personer uten den berørte personens medvirkning.

Artikkel 21

Felles behandlingsansvarlige

1. Medlemsstatene skal, dersom to eller flere behandlingsansvarlige i fellesskap fastsetter formålene med og midlene for behandlingen, fastsette at de skal være felles behandlingsansvarlige. De skal på en gjennomsiktig måte fastsette sitt respektive ansvar for å overholde forpliktelsene i dette direktiv, særlig med hensyn til utøvelse av den registrertes rettigheter og den plikt de har til å framlegge informasjonen nevnt i artikkel 13, ved hjelp av en ordning seg imellom, med mindre, og i den grad de behandlingsansvarliges respektive ansvar er fastsatt i unionsretten eller medlemsstatenes nasjonale rett som de behandlingsansvarlige er underlagt. Kontaktpunktet for registrerte skal angis i ordningen. Medlemsstatene kan utpeke den av de felles behandlingsansvarlige som kan fungere som et felles kontaktpunkt for registrerte når disse skal utøve sine rettigheter.

2. Uavhengig av vilkårene for ordningen nevnt i nr. 1 kan medlemsstatene fastsette at den registrerte kan utøve sine rettigheter etter bestemmelser vedtatt i henhold til dette direktiv med hensyn til og overfor hver av de behandlingsansvarlige.

Artikkel 22

Databehandler

1. Medlemsstatene skal, dersom en behandling skal foretas på vegne av en behandlingsansvarlig, fastsette at den behandlingsansvarlige bare skal bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i dette direktiv og vern av den registrertes rettigheter.

2. Medlemsstatene skal fastsette at databehandleren ikke skal engasjere en annen databehandler uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse til dette fra den behandlingsansvarlige. Dersom det er innhentet en generell skriftlig tillatelse, skal databehandleren underrette den behandlingsansvarlige om eventuelle planer om å benytte andre databehandlere eller skifte ut databehandlere, og dermed gi den behandlingsansvarlige muligheten til å motsette seg slike endringer.

3. Medlemsstatene skal fastsette at behandling utført av en databehandler skal være underlagt en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett som er bindende for databehandleren med hensyn til den behandlingsansvarlige, og der hensikten med og varigheten av behandlingen, behandlingens formål og art, typen personopplysninger og kategorier av registrerte samt den behandlingsansvarliges rettigheter og plikter er fastsatt. I nevnte avtale eller nevnte andre rettslige dokument skal det særlig angis at databehandleren:

a) handler utelukkende på instruks fra den behandlingsansvarlige,

b) sikrer at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene fortrolig eller er underlagt en egnet lovfestet taushetsplikt,

c) bistår den behandlingsansvarlige på alle måter med å sikre at bestemmelsene om den registrertes rettigheter blir overholdt,

d) etter den behandlingsansvarliges valg, sletter eller tilbakeleverer alle personopplysninger til den behandlingsansvarlige etter at databehandlingen er avsluttet, og sletter eksisterende kopier, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at personopplysningene lagres,

e) gjør tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å vise at denne artikkel er overholdt,

f) overholder vilkårene i nr. 2 og 3 når det gjelder å engasjere en annen databehandler.

4. Avtalen eller det andre rettslige dokumentet nevnt i nr. 3 skal være skriftlig, herunder elektronisk.

5. Dersom en databehandler, i strid med dette direktiv, fastsetter formålene med og midlene for behandlingen, skal databehandleren anses for å være en behandlingsansvarlig med hensyn til nevnte behandling.

Artikkel 23

Behandling som utføres for den behandlingsansvarlige eller databehandleren

Medlemsstatene skal fastsette at databehandleren og enhver person som handler for den behandlingsansvarlige eller databehandleren, og som har tilgang til personopplysninger, skal behandle nevnte opplysninger kun etter instruks fra den behandlingsansvarlige, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett.

Artikkel 24

Protokoller over behandlingsaktiviteter

1. Medlemsstatene skal fastsette at den behandlingsansvarlige skal føre en protokoll over behandlingsaktiviteter som utføres under deres ansvar. Nevnte protokoll skal inneholde følgende informasjon:

a) navnet på og kontaktopplysningene til den behandlingsansvarlige og, dersom det er relevant, den felles behandlingsansvarlige og personvernrådgiveren,

b) formålene med behandlingen,

c) kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, herunder mottakere i tredjestater eller internasjonale organisasjoner,

d) en beskrivelse av kategoriene av registrerte og kategoriene av personopplysninger,

e) dersom det er relevant, bruk av profilering,

f) dersom det er relevant, kategorier av overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon,

g) rettsgrunnlaget for behandlingen av personopplysningene, herunder overføringer,

h) dersom det er mulig, de planlagte tidsfristene for sletting av de forskjellige kategoriene av opplysninger,

i) dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 29 nr. 1.

2. Medlemsstatene skal fastsette at hver databehandler skal føre en protokoll over alle kategorier av behandlingsaktiviteter som utføres på vegne av en behandlingsansvarlig, og som skal inneholde:

a) navnet på og kontaktopplysningene til databehandleren eller databehandlerne og til hver behandlingsansvarlig som databehandleren opptrer på vegne av, samt, dersom det er relevant, personvernrådgiveren,

b) kategoriene av behandling utført på vegne av hver behandlingsansvarlig,

c) dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, når den behandlingsansvarlige har gitt uttrykkelig instruks om dette, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon,

d) dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 29 nr. 1.

3. Protokollene som er nevnt i nr. 1 og 2, skal være skriftlige, herunder elektroniske.

Den behandlingsansvarlige og databehandleren skal på anmodning gjøre protokollen tilgjengelig for tilsynsmyndigheten.

Artikkel 25

Loggføring

1. Medlemsstatene skal fastsette at det som et minimum skal føres logg over følgende behandling i automatiserte behandlingssystemer: innhenting, endring, lesing, utlevering – herunder overføring – samkjøring og sletting. Loggene for lesing og utlevering skal gjøre det mulig å fastslå begrunnelse, dato og klokkeslett for slike operasjoner og, så langt som mulig, hvem som har søkt etter eller utlevert personopplysningene, og hvem som har mottatt dem.

2. Loggene skal utelukkende brukes til å verifisere at behandlingen er lovlig, til egenkontroll, til å garantere personopplysningenes integritet og sikkerhet, og i forbindelse med straffesaker.

3. Den behandlingsansvarlige og databehandleren skal på anmodning sørge for at loggene er tilgjengelige for tilsynsmyndigheten.

Artikkel 26

Samarbeid med tilsynsmyndigheten

Medlemsstatene skal fastsette at den behandlingsansvarlige og databehandleren på anmodning skal samarbeide med tilsynsmyndigheten i forbindelse med utførelsen av dens oppgaver.

Artikkel 27

Vurdering av personvernkonsekvenser

1. Dersom det er trolig at en type behandling, særlig ved bruk av ny teknologi og idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal medlemsstatene fastsette at den behandlingsansvarlige før behandlingen skal foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet.

2. Vurderingen som er nevnt i nr. 1, skal som et minimum inneholde en generell beskrivelse av de planlagte behandlingsaktivitetene, en vurdering av risikoen for registrertes rettigheter og friheter, hvilke tiltak som planlegges for å håndtere denne risikoen, garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysninger og for å påvise at dette direktiv overholdes, idet det tas hensyn til de registrertes og andre berørte personers rettigheter og berettigede interesser.

Artikkel 28

Forhåndsdrøftinger med tilsynsmyndigheten

1. Medlemsstatene skal fastsette at den behandlingsansvarlige eller databehandleren skal rådføre seg med tilsynsmyndigheten før behandling som vil inngå i et nytt register som skal opprettes, når:

a) en vurdering av personvernkonsekvenser i henhold til artikkel 27 tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen, eller

b) den type behandling, ikke minst ved bruk av ny teknologi eller nye mekanismer eller prosedyrer, innebærer høy risiko for de registrertes rettigheter og friheter.

2. Medlemsstatene skal fastsette at tilsynsmyndigheten skal rådføres ved utarbeiding av forslag til lovgivning som skal treffes av et nasjonalt parlament, eller et reguleringsmessig tiltak som er basert på slik lovgivning, og som er knyttet til behandling.

3. Medlemsstatene skal fastsette at tilsynsmyndigheten kan opprette en liste over operasjoner som forutsetter forhåndsdrøftinger i henhold til nr. 1.

4. Medlemsstatene skal fastsette at den behandlingsansvarlige skal legge vurderingen av personvernkonsekvenser omhandlet i artikkel 27 fram for tilsynsmyndigheten og, på anmodning, annen informasjon som gjør det mulig for tilsynsmyndigheten å foreta en vurdering av behandlingens samsvar, og ikke minst risikoen for vernet av den registrertes personopplysninger og tilknyttede garantier.

5. Medlemsstatene skal, dersom tilsynsmyndigheten mener at den planlagte behandlingen nevnt i nr. 1 vil være i strid med bestemmelser vedtatt i henhold til dette direktiv, særlig dersom den behandlingsansvarlige ikke i tilstrekkelig grad har identifisert eller redusert risikoen, fastsette at tilsynsmyndigheten innen en frist på opptil seks uker fra mottak av anmodningen om drøftinger, skal gi den behandlingsansvarlige og, dersom det er relevant, databehandleren, skriftlige råd, og kan i den forbindelse benytte den myndighet den har i henhold til artikkel 47. Denne fristen kan forlenges med én måned, idet det tas hensyn til den planlagte behandlingens kompleksitet. Tilsynsmyndigheten skal underrette den behandlingsansvarlige og, dersom det er relevant, databehandleren om en eventuell forlengelse, sammen med årsakene til dette, senest én måned etter å ha mottatt anmodningen om drøftinger.

Avsnitt 2

Personopplysningssikkerhet

Artikkel 29

Sikkerhet ved behandlingen

1. Medlemsstatene skal fastsette at den behandlingsansvarlige og databehandleren, idet det tas hensyn til det nåværende utviklingstrinn i teknikken, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighet og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er egnet i forhold til risikoen, framfor alt hva angår særlige kategorier personopplysninger som nevnt i artikkel 10.

2. Ved automatisert behandling skal hver medlemsstat fastsette at den behandlingsansvarlige eller databehandleren, etter å ha foretatt en risikovurdering, skal gjennomføre tiltak med sikte på å:

a) nekte uvedkommende tilgang til behandlingsutstyr som benyttes i behandlingen («kontroll med tilgang til utstyret»),

b) hindre uautorisert lesing, kopiering, endring eller fjerning av datamedier («kontroll med datamedier»),

c) hindre uautorisert innlegging av personopplysninger og uautorisert inspeksjon, endring eller sletting av lagrede personopplysninger («lagringskontroll»),

d) hindre at uvedkommende bruker automatiserte behandlingssystemer ved hjelp av utstyr til datakommunikasjon («brukerkontroll»),

e) sikre at personer som er autorisert til å bruke et automatisert behandlingssystem kun har tilgang til personopplysninger som omfattes av autorisasjonen («kontroll med datatilgang»),

f) sikre at det er mulig å verifisere og fastslå til hvilke organer personopplysninger er eller kan bli overført, eller for hvilke organer personopplysninger er eller kan bli tilgjengelige, ved hjelp av utstyr til datakommunikasjon («kommunikasjonskontroll»),

g) sikre at det er mulig i etterhånd å verifisere og fastslå hvilke personopplysninger som er lagt inn i automatiserte behandlingssystemer, og når og av hvem personopplysningene ble lagt inn («innleggingskontroll»),

h) hindre uautorisert lesing, kopiering, endring eller sletting av personopplysninger under overføring av personopplysninger, eller under transport av datamedier («transportkontroll»).

i) sikre at installerte systemer kan gjenopprettes etter avbrudd («gjenoppretting»),

j) sikre at systemet fungerer, at oppståtte funksjonsfeil rapporteres («pålitelighet»), og at lagrede personopplysninger ikke kan skades som følge av feilfunksjoner i systemet («integritet»).

Artikkel 30

Melding til tilsynsmyndigheten om personvernbrudd

1. Medlemsstatene skal fastsette at den behandlingsansvarlige uten ugrunnet opphold og, når det er mulig, senest 72 timer etter å ha fått kjennskap til det, skal melde personvernbruddet til vedkommende tilsynsmyndighet, med mindre det er lite trolig at personvernbruddet vil medføre en risiko for fysiske personers rettigheter og friheter. Dersom bruddet ikke meldes til tilsynsmyndigheten innen 72 timer, skal årsakene til forsinkelsen oppgis.

2. Etter å ha fått kjennskap til et personvernbrudd skal databehandleren uten ugrunnet opphold underrette den behandlingsansvarlige.

3. Meldingen nevnt i nr. 1 skal minst:

a) beskrive arten av personvernbruddet, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall personopplysningsposter som er berørt,

b) inneholde navnet på og kontaktopplysningene til personvernrådgiveren eller et annet kontaktpunkt der mer informasjon kan innhentes,

c) beskrive de sannsynlige konsekvensene av personvernbruddet,

d) beskrive de tiltak som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere personvernbruddet, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.

4. Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold.

5. Medlemsstatene skal fastsette at den behandlingsansvarlige skal dokumentere ethvert personvernbrudd som nevnt i nr. 1, herunder de faktiske forhold rundt nevnte brudd, virkningene av det og hvilke tiltak som er truffet for å utbedre det. Denne dokumentasjonen skal gjøre det mulig for tilsynsmyndigheten å kontrollere samsvar med denne artikkel.

6. Medlemsstatene skal, når personvernbruddet omfatter personopplysninger som er overført til eller fra den behandlingsansvarlige i en annen medlemsstat, fastsette at den informasjon som er nevnt i nr. 3, skal oversendes til den behandlingsansvarlige i denne medlemsstaten uten ugrunnet opphold.

Artikkel 31

Underretning til den registrerte om personvernbrudd

1. Medlemsstatene skal, når det er trolig at personvernbruddet vil medføre en høy risiko for fysiske personers rettigheter og friheter, fastsette at den behandlingsansvarlige uten ugrunnet opphold skal underrette den registrerte om personvernbruddet.

2. Underretningen til den registrerte som nevnt i nr. 1 skal inneholde en klar og tydelig beskrivelse av arten av personvernbruddet og minst informasjonen og tiltakene nevnt i artikkel 30 nr. 3 bokstav b), c) og d).

3. Underretning til den registrerte som nevnt i nr. 1 er ikke påkrevd dersom noen av følgende vilkår er oppfylt:

a) den behandlingsansvarlige har gjennomført egnede tekniske og organisatoriske vernetiltak, og disse tiltakene er anvendt på personopplysningene som er berørt av personvernbruddet, særlig tiltak som gjør personopplysningene uleselige for enhver person som ikke har godkjent tilgang til dem, for eksempel kryptering,

b) den behandlingsansvarlige har truffet etterfølgende tiltak som sikrer at det er lite trolig at den høye risikoen for de registrertes rettigheter og friheter nevnt i nr. 1 vil oppstå,

c) det vil innebære en uforholdsmessig stor innsats. Dersom dette er tilfellet, skal allmennheten isteden underrettes, eller det skal treffes et lignende tiltak som sikrer at de registrerte underrettes på en like effektiv måte.

4. Dersom den behandlingsansvarlige ikke allerede har underrettet den registrerte om personvernbruddet, kan tilsynsmyndigheten etter å ha vurdert sannsynligheten for at personvernbruddet vil medføre en høy risiko, kreve at den behandlingsansvarlige gjør dette, eller beslutte at ett eller flere av vilkårene nevnt i nr. 3 er oppfylt.

5. Underretning til den registrerte som nevnt i nr. 1 kan utsettes, begrenses eller utelates på de vilkår og av de grunner som er nevnt i artikkel 13 nr. 3.

Avsnitt 3

Personvernrådgiver

Artikkel 32

Utpeking av en personvernrådgiver

1. Medlemsstatene skal fastsette at den behandlingsansvarlige skal utpeke en personvernrådgiver. Medlemsstatene kan unnta domstoler og andre uavhengige rettsmyndigheter fra denne plikten når de handler innenfor rammen av sin domsmyndighet.

2. Personvernrådgiveren skal utpekes på grunnlag av faglige kvalifikasjoner og særlig på grunnlag av dybdekunnskap om personvernlovgivning og praksis på området samt evne til å utføre oppgavene nevnt i artikkel 34.

3. Det kan utnevnes en felles personvernrådgiver for flere kompetente myndigheter, idet det tas hensyn til deres organisasjonsstruktur og størrelse.

4. Medlemsstatene skal fastsette at den behandlingsansvarlige skal offentliggjøre kontaktopplysningene til personvernrådgiveren og meddele disse til tilsynsmyndigheten.

Artikkel 33

Personvernrådgiverens stilling

1. Medlemsstatene skal fastsette at den behandlingsansvarlige skal sikre at personvernrådgiveren på riktig måte og i rett tid involveres i alle spørsmål som gjelder vern av personopplysninger.

2. Den behandlingsansvarlige skal støtte personvernrådgiveren i forbindelse med utførelsen av oppgavene nevnt i artikkel 34 ved å stille til rådighet de ressurser som er nødvendig for å utføre nevnte oppgaver, samt gi tilgang til personopplysninger og behandlingsaktiviteter og gjøre det mulig for vedkommende å opprettholde sin dybdekunnskap.

Artikkel 34

Personvernrådgiverens oppgaver

Medlemsstatene skal fastsette at den behandlingsansvarlige, som et minimum, skal gi personvernrådgiveren følgende oppgaver:

a) informere og gi råd til den behandlingsansvarlige eller databehandleren og de ansatte som utfører behandlingen, om de forpliktelsene de har i henhold til dette direktiv, og i henhold til andre av Unionens eller medlemsstatenes personvernregler,

b) kontrollere overholdelsen av dette direktiv, av andre av Unionens eller medlemsstatenes personvernregler og den behandlingsansvarliges eller databehandlerens personvernretningslinjer, herunder fordeling av ansvar, holdningsskapende tiltak og opplæring av personellet som er involvert i behandlingsaktivitetene, og de tilhørende revisjoner,

c) på anmodning gi råd om vurderingen av personvernkonsekvenser og kontrollere gjennomføringen av den i henhold til artikkel 27,

d) samarbeide med tilsynsmyndigheten,

e) fungere som kontaktpunkt for tilsynsmyndigheten ved spørsmål om behandlingen, herunder forhåndsdrøftingen nevnt i artikkel 28, og ved behov rådføre seg med tilsynsmyndigheten om eventuelle andre spørsmål.

Kapittel V

Overføring av personopplysninger til tredjestater eller internasjonale organisasjoner

Artikkel 35

Generelle prinsipper for overføring av personopplysninger

1. Medlemsstatene skal fastsette at kompetente myndigheters overføring av personopplysninger som behandles eller skal behandles etter overføring til en tredjestat eller en internasjonal organisasjon, herunder med sikte på videreoverføring til en annen tredjestat eller internasjonal organisasjon, skal finne sted med forbehold om at nasjonale bestemmelser vedtatt i henhold til andre bestemmelser i dette direktiv er overholdt, og bare dersom vilkårene i dette kapittel er oppfylt, det vil si:

a) at overføringen er nødvendig for formålene oppført i artikkel 1 nr. 1,

b) at personopplysningene overføres til en behandlingsansvarlig i en tredjestat eller internasjonal organisasjon som er en kompetent myndighet for formålene oppført i artikkel 1 nr. 1,

c) når personopplysninger overføres eller gjøres tilgjengelige fra en annen medlemsstat, at den medlemsstaten på forhånd har gitt tillatelse til overføringen i samsvar med sin nasjonale rett,

d) at Kommisjonen har vedtatt en beslutning om tilstrekkelig vernenivå i henhold til artikkel 36 eller, dersom det ikke foreligger en slik beslutning, at det er fastsatt eller foreligger nødvendige garantier i henhold til artikkel 37 eller, dersom det ikke foreligger en beslutning om tilstrekkelig vernenivå i henhold til artikkel 36 og det ikke er vedtatt nødvendige garantier i henhold til artikkel 37, at unntak for særlige situasjoner får anvendelse i henhold til artikkel 38, og

e) ved videreoverføring til en annen tredjestat eller internasjonal organisasjon, at den kompetente myndighet som har foretatt den opprinnelige overføringen, eller en annen kompetent myndighet i samme medlemsstat, gir tillatelse til videreoverføring etter å ha tatt alle relevante faktorer i betraktning, blant annet hvor alvorlig den straffbare handlingen er, formålet med den opprinnelige overføringen av personopplysningene, samt vernenivået for personopplysninger i tredjestaten eller den internasjonale organisasjonen som personopplysningene videreoverføres til.

2. Medlemsstatene skal fastsette at overføring uten forhåndstillatelse fra en annen medlemsstat i samsvar med nr. 1 bokstav c) skal tillates bare dersom overføringen av personopplysningene er nødvendig for å kunne hindre en umiddelbar og alvorlig trussel mot offentlig sikkerhet i en medlemsstat eller en tredjestat, eller mot en medlemsstats vesentlige interesser, og forhåndstillatelse ikke kan innhentes i tide. Den myndighet som har ansvar for å gi forhåndstillatelse, skal underrettes umiddelbart.

3. Alle bestemmelser i dette kapittel skal få anvendelse for å sikre at det nivået for vern av fysiske personer som garanteres i dette direktiv, ikke undergraves.

Artikkel 36

Overføringer på grunnlag av en beslutning om tilstrekkelig vernenivå

1. Medlemsstatene skal fastsette at personopplysninger kan overføres til en tredjestat eller en internasjonal organisasjon når Kommisjonen har fastslått at tredjestaten, et territorium eller en eller flere angitte sektorer i nevnte tredjestat, eller den aktuelle internasjonale organisasjonen sikrer et tilstrekkelig vernenivå. En slik overføring skal ikke kreve særlig godkjenning.

2. Ved vurderingen av om vernenivået er tilstrekkelig skal Kommisjonen særlig ta hensyn til det følgende:

a) prinsippet om rettsstaten, respekt for menneskerettigheter og grunnleggende friheter, relevant lovgivning, både generell og sektorbestemt, herunder om offentlig sikkerhet, forsvar, nasjonal sikkerhet og strafferett og offentlige myndigheters tilgang til personopplysninger, samt gjennomføring av nevnte lovgivning, regler for vern av personopplysninger, regler for yrkesutøvelse og sikkerhetstiltak, herunder regler for videreoverføring av personopplysninger til en annen tredjestat eller internasjonal organisasjon som gjelder i nevnte stat eller internasjonale organisasjon, rettspraksis samt effektive og håndhevbare rettigheter for de registrerte og rett til effektiv administrativ og rettslig prøving for de registrerte hvis personopplysninger overføres,

b) om det finnes en eller flere velfungerende, uavhengige tilsynsmyndigheter i tredjestaten eller som en internasjonal organisasjon er underlagt, med ansvar for å sikre og håndheve at reglene for vern av personopplysninger overholdes, herunder tilstrekkelig håndhevingsmyndighet, for å bistå og gi råd til de registrerte når de utøver sine rettigheter, og for samarbeid med tilsynsmyndighetene i medlemsstatene, og

c) de internasjonale forpliktelsene som den berørte tredjestaten eller den internasjonale organisasjonen har påtatt seg, eller andre forpliktelser som følger av rettslig bindende konvensjoner eller instrumenter og av tredjestatens eller organisasjonens deltakelse i multilaterale eller regionale systemer, særlig i forbindelse med vern av personopplysninger.

3. Etter å ha vurdert om vernenivået er tilstrekkelig, kan Kommisjonen ved hjelp av gjennomføringsrettsakter beslutte at en tredjestat, et territorium eller en eller flere angitte sektorer i en tredjestat eller en internasjonal organisasjon sikrer et tilstrekkelig vernenivå i henhold til nr. 2 i denne artikkel. I gjennomføringsrettsaktene skal det fastsettes en mekanisme for regelmessig gjennomgåelse, som skal foretas minst hvert fjerde år, der det skal tas hensyn til all relevant utvikling i tredjestaten eller den internasjonale organisasjonen. I gjennomføringsrettsakten skal dens geografiske og sektorvise virkeområde angis samt, dersom det er relevant, den eller de tilsynsmyndigheter som er nevnt i nr. 2 bokstav b) i denne artikkel. Gjennomføringsrettsakten skal vedtas etter framgangsmåten med undersøkelseskomité nevnt i artikkel 58 nr. 2.

4. Kommisjonen skal fortløpende overvåke utviklingen i tredjestater og internasjonale organisasjoner som kan påvirke virkemåten til beslutninger truffet i henhold til nr. 3.

5. Når tilgjengelig informasjon, særlig etter gjennomgåelsen nevnt i nr. 3 i denne artikkel, viser at en tredjestat, et territorium eller en eller flere angitte sektorer i en tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig vernenivå i henhold til nr. 2 i denne artikkel, skal Kommisjonen i det omfang som er nødvendig, oppheve, endre eller midlertidig oppheve beslutningen nevnt i nr. 3 i denne artikkel ved hjelp av gjennomføringsrettsakter uten tilbakevirkende kraft. Disse gjennomføringsrettsaktene skal vedtas etter framgangsmåten med undersøkelseskomité nevnt i artikkel 58 nr. 2.

I behørig begrunnede, tvingende hastetilfeller skal Kommisjonen vedta gjennomføringsrettsakter med umiddelbar virkning i samsvar med framgangsmåten nevnt i artikkel 58 nr. 3.

6. Kommisjonen skal innlede samråd med tredjestaten eller den internasjonale organisasjonen med henblikk på å avhjelpe situasjonen som har gitt opphav til beslutningen truffet i henhold til nr. 5.

7. Medlemsstatene skal fastsette at en beslutning i henhold til nr. 5 ikke skal berøre overføringer av personopplysninger til tredjestaten, et territorium eller en eller flere angitte sektorer i nevnte tredjestat, eller til den aktuelle internasjonale organisasjonen som utføres i henhold til artikkel 37 og 38.

8. Kommisjonen skal i Den europeiske unions tidende og på sitt nettsted offentliggjøre en liste over tredjestatene, territoriene og de angitte sektorene i en tredjestat samt internasjonale organisasjoner som den har fastslått ikke eller ikke lenger sikrer et tilstrekkelig vernenivå.

Artikkel 37

Overføringer som omfattes av nødvendige garantier

1. Dersom det ikke foreligger en beslutning i henhold til artikkel 36 nr. 3, skal medlemsstatene fastsette at en overføring av personopplysninger til en tredjestat eller en internasjonal organisasjon kan finne sted når:

a) det er fastsatt nødvendige garantier til vern av personopplysninger i et rettslig bindende instrument, eller

b) den behandlingsansvarlige har vurdert alle forhold rundt overføringen av personopplysninger, og har kommet til at det foreligger nødvendige garantier til vern av personopplysninger.

2. Den behandlingsansvarlige skal underrette tilsynsmyndigheten om de ulike kategorier overføringer i henhold til nr. 1 bokstav b).

3. En overføring hjemlet i nr. 1 bokstav b) skal dokumenteres, og dokumentasjonen skal på anmodning gjøres tilgjengelig for tilsynsmyndigheten, herunder dato og klokkeslett for overføringen, informasjon om den kompetente myndighet som mottar opplysningene, begrunnelsen for overføringen og hvilke personopplysninger som er overført.

Artikkel 38

Unntak for særlige situasjoner

1. Dersom det ikke foreligger en beslutning om tilstrekkelig vernenivå i henhold til artikkel 36, eller om nødvendige garantier i henhold til artikkel 37, skal medlemsstatene fastsette at en overføring eller en kategori overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon bare kan finne sted dersom overføringen er nødvendig :

a) for å verne om den registrertes eller en annen persons vitale interesser,

b) for å verne om den registrertes berettigede interesser, når det er fastsatt i nasjonal rett i medlemsstaten som overfører personopplysningene,

c) for å hindre en umiddelbar og alvorlig trussel mot offentlig sikkerhet i en medlemsstat eller en tredjestat,

d) i enkeltsaker for formålene oppført i artikkel 1 nr. 1, eller

e) i en enkeltsak for å fastsette, gjøre gjeldende eller forsvare rettskrav knyttet til formålene oppført i artikkel 1 nr. 1.

2. Personopplysninger skal ikke overføres dersom den kompetente myndighet som foretar overføringen, fastslår at den registrertes grunnleggende rettigheter og friheter veier tyngre enn samfunnets interesse i en overføring som oppført i nr. 1 bokstav d) og e).

3. En overføring hjemlet i nr. 1 skal dokumenteres, og dokumentasjonen skal på anmodning gjøres tilgjengelig for tilsynsmyndigheten, herunder dato og klokkeslett for overføringen, informasjon om den kompetente myndighet som mottar opplysningene, begrunnelsen for overføringen og hvilke personopplysninger som er overført.

Artikkel 39

Overføring av personopplysninger til mottakere i tredjestater

1. Som unntak fra artikkel 35 nr. 1 bokstav b), og med forbehold for en internasjonal avtale som nevnt i denne artikkel nr. 2, kan unionsretten eller medlemsstatenes nasjonale rett fastsette at kompetente myndigheter som definert i artikkel 3 nr. 7 bokstav a) kan overføre personopplysninger direkte til mottakere i tredjestater i enkeltstående og særlige tilfeller, men bare dersom de øvrige bestemmelsene i dette direktiv er overholdt og alle følgende vilkår er oppfylt:

a) overføringen er strengt nødvendig for at den kompetente myndighet som foretar overføringen, skal kunne utføre en oppgave i henhold til unionsretten eller medlemsstatenes nasjonale rett for formålene oppført i artikkel 1 nr. 1,

b) den kompetente myndighet som foretar overføringen, fastslår at ingen av den registrertes grunnleggende rettigheter og friheter veier tyngre enn den samfunnsinteresse som nødvendiggjør overføring i det aktuelle tilfellet,

c) den kompetente myndighet som foretar overføringen, anser at overføring til en myndighet i tredjestaten som er kompetent for formålene oppført i artikkel 1 nr. 1, er lite effektivt eller uhensiktsmessig, særlig fordi overføringen ikke kan skje i tide,

d) den myndighet i tredjestaten som er kompetent for formålene oppført i artikkel 1 nr. 1, underrettes uten ugrunnet opphold, med mindre dette er lite effektivt eller uhensiktsmessig,

e) den kompetente myndighet som foretar overføringen, underretter mottakeren om hvilke(t) formål som utelukkende kan ligge til grunn for at sistnevnte behandler personopplysningene, og forutsatt at behandlingen er nødvendig.

2. En internasjonal avtale som nevnt i nr. 1 skal være enhver bilateral eller multilateral internasjonal avtale som er i kraft mellom medlemsstatene og tredjestater på området strafferettslig samarbeid og politisamarbeid.

3. Den kompetente myndighet som foretar overføringen, skal underrette tilsynsmyndigheten om overføringer i henhold til denne artikkel.

4. En overføring hjemlet i nr. 1 skal dokumenteres.

Artikkel 40

Internasjonalt samarbeid om vern av personopplysninger

I forbindelse med tredjestater og internasjonale organisasjoner skal Kommisjonen og tilsynsmyndighetene treffe nødvendige tiltak for å :

a) utvikle mekanismer for internasjonalt samarbeid for å fremme en effektiv håndheving av regelverket om vern av personopplysninger,

b) yte internasjonal gjensidig bistand ved håndheving av regelverket om vern av personopplysninger, herunder ved underretning, oversending av klager, etterforskningsbistand og informasjonsutveksling, tatt i betraktning nødvendige garantier for vern av personopplysninger og andre grunnleggende rettigheter og friheter,

c) trekke inn relevante berørte parter i drøftinger og aktiviteter som har som mål å fremme internasjonalt samarbeid om håndheving av regelverket for vern av personopplysninger,

d) fremme utveksling av og dokumentasjon på regelverket for vern av personopplysninger og praksis på området, herunder om kompetansekonflikter med tredjestater.

Kapittel VI

Uavhengige tilsynsmyndigheter

Avsnitt 1

Uavhengig stilling

Artikkel 41

Tilsynsmyndighet

1. Hver medlemsstat skal sikre at en eller flere uavhengige offentlige myndigheter har ansvar for å føre tilsyn med anvendelsen av dette direktiv for å verne fysiske personers grunnleggende rettigheter og friheter i forbindelse med behandling, og for å fremme den frie flyten av personopplysninger i Unionen («tilsynsmyndighet»).

2. Hver tilsynsmyndighet skal bidra til en ensartet anvendelse av dette direktiv i hele Unionen. For dette formål skal tilsynsmyndighetene samarbeide med hverandre og med Kommisjonen i samsvar med kapittel VII.

3. Medlemsstatene kan fastsette at en tilsynsmyndighet som er opprettet i henhold til forordning (EU) 2016/679, skal være den tilsynsmyndighet som er omhandlet i dette direktiv, og skal ha ansvar for de oppgaver som er tillagt tilsynsmyndigheten som skal opprettes i henhold til nr. 1.

4. Dersom mer enn én tilsynsmyndighet er etablert i en medlemsstat, skal nevnte medlemsstat utpeke en tilsynsmyndighet som skal representere disse myndighetene i Personvernrådet som nevnt i artikkel 51.

Artikkel 42

Uavhengighet

1. Hver medlemsstat skal fastsette at hver tilsynsmyndighet skal utføre sine oppgaver og utøve sin myndighet etter dette direktiv i full uavhengighet.

2. Medlemsstatene skal fastsette at når medlemmet eller medlemmene av hver tilsynsmyndighet skal utføre sine oppgaver og utøve sin myndighet i samsvar med dette direktiv, skal de ikke utsettes for påvirkninger utenfra, verken direkte eller indirekte, og de skal ikke anmode om eller motta instrukser fra andre.

3. Medlemmene av hver tilsynsmyndighet skal avstå fra enhver handling som ikke er forenlig med vedkommendes oppgaver, og skal så lenge oppnevningsperioden varer, ikke utøve en uforenlig yrkesvirksomhet, verken lønnet eller ulønnet.

4. Hver medlemsstat skal sikre at hver tilsynsmyndighet har de menneskelige, tekniske og økonomiske ressurser, lokaler samt infrastruktur som er nødvendig for å kunne utføre sine oppgaver og utøve sin myndighet på en effektiv måte, herunder i forbindelse med gjensidig bistand, samarbeid og deltakelse i Personvernrådet.

5. Hver medlemsstat skal sikre at hver tilsynsmyndighet velger og har sitt eget personell som utelukkende skal stå under ledelse av medlemmet eller medlemmene av den berørte tilsynsmyndighet.

6. Hver medlemsstat skal sikre at hver tilsynsmyndighet er undergitt finansiell kontroll som ikke påvirker dens uavhengighet, og at den har separate, offentlige årsbudsjetter som kan være en del av det samlede statsbudsjettet eller nasjonalbudsjettet.

Artikkel 43

Generelle vilkår for medlemmer av tilsynsmyndigheten

1. Medlemsstatene skal ved hjelp av en gjennomsiktig framgangsmåte sikre at hvert medlem av deres tilsynsmyndigheter oppnevnes av

deres parlament

deres regjering,

deres statsoverhode eller

et uavhengig organ som har fått ansvar for oppnevnelsen i henhold til medlemsstatens nasjonale rett.

2. Hvert medlem skal ha de kvalifikasjoner, den erfaring og den kompetanse, særlig på området vern av personopplysninger, som er nødvendig for å utføre sine oppgaver og utøve sin myndighet.

3. Et medlems oppgaver opphører ved utløpet av oppnevningsperioden, ved avgang eller ved avsettelse i samsvar med nasjonal rett i den berørte medlemsstat.

4. Et medlem kan bare avskjediges ved alvorlig forsømmelse eller dersom medlemmet ikke lenger oppfyller vilkårene for å utføre oppgavene.

Artikkel 44

Regler for opprettelse av tilsynsmyndigheten

1. Hver medlemsstat skal ved lov fastsette følgende:

a) opprettelse av hver tilsynsmyndighet,

b) de nødvendige kvalifikasjonene og utvelgelseskriteriene for å kunne bli oppnevnt som medlem av en tilsynsmyndighet,

c) reglene og framgangsmåtene for oppnevnelse av medlemmet eller medlemmene av hver tilsynsmyndighet,

d) varigheten av mandatet til medlemmet eller medlemmene av hver tilsynsmyndighet, som skal være minst fire år, bortsett fra den første oppnevnelsen etter 6. mai 2016, som kan ha kortere varighet dersom det er nødvendig for å sikre tilsynsmyndighetens uavhengighet ved hjelp av en trinnvis oppnevnelsesprosess,

e) om mandatet til medlemmet eller medlemmene av hver tilsynsmyndighet kan fornyes og, dersom dette er tilfellet, hvor mange ganger,

f) de vilkår som gjelder for forpliktelsene til medlemmet eller medlemmene av og personellet hos hver tilsynsmyndighet, forbud mot aktiviteter, yrkesvirksomhet og fordeler som er uforenlige med disse i og etter oppnevningsperioden, samt regler for avslutning av arbeidsforholdet.

2. Medlemmet eller medlemmene og personellet hos hver tilsynsmyndighet skal, i samsvar med unionsretten eller medlemsstatenes nasjonale rett, både i og etter oppnevningsperioden være bundet av taushetsplikt med hensyn til eventuell fortrolig informasjon de får kjennskap til under utførelsen av sine oppgaver eller utøvelsen av sin myndighet. I oppnevningsperioden skal taushetsplikten særlig omfatte fysiske personers varsling om overtredelser av dette direktiv.

Avsnitt 2

Kompetanse, oppgaver og myndighet

Artikkel 45

Kompetanse

1. Hver medlemsstat skal fastsette at hver tilsynsmyndighet skal ha kompetanse til å utføre de oppgaver og utøve den myndighet den gis i samsvar med dette direktiv, på sin medlemsstats territorium.

2. Hver medlemsstat skal fastsette at den enkelte tilsynsmyndighet ikke skal ha kompetanse til å føre tilsyn med domstolers behandlingsaktiviteter når disse handler innenfor rammen av sin domsmyndighet. Hver medlemsstat skal fastsette at den enkelte tilsynsmyndighet ikke skal ha kompetanse til føre tilsyn med andre uavhengige rettsmyndigheters behandlingsaktiviteter når disse handler innenfor rammen av sin domsmyndighet.

Artikkel 46

Oppgaver

1. Hver medlemsstat skal fastsette at den enkelte tilsynsmyndighet på sitt territorium skal:

a) føre tilsyn med og håndheve anvendelsen av bestemmelser vedtatt i henhold til dette direktiv og dets gjennomføringsbestemmelser,

b) fremme allmennhetens kjennskap til og forståelse for risikoer, regler, garantier og rettigheter i forbindelse med behandling,

c) rådgi, i samsvar med medlemsstatenes nasjonale rett, det nasjonale parlament, regjeringen og andre institusjoner og organer om lovgivning og administrative tiltak knyttet til vern av fysiske personers rettigheter og friheter ved behandling,

d) fremme de behandlingsansvarliges og databehandlernes kjennskap til de forpliktelsene de har i henhold til dette direktiv,

e) på anmodning informere registrerte om utøvelse av de rettighetene de har i henhold til dette direktiv og, dersom det er relevant, samarbeide med tilsynsmyndighetene i andre medlemsstater om dette,

f) behandle klager som er inngitt av en registrert eller et organ, en organisasjon eller en sammenslutning i samsvar med artikkel 55, og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, særlig dersom det er behov for videre undersøkelse eller samordning med en annen tilsynsmyndighet,

g) kontrollere om en behandling i henhold til artikkel 17 er lovlig, og innen rimelig tid informere den registrerte om utfallet av kontrollen i henhold til nr. 3 i nevnte artikkel, eller om grunnene til at kontrollen ikke er gjennomført,

h) samarbeide med andre tilsynsmyndigheter, herunder ved å utveksle informasjon og yte gjensidig bistand, for å sikre ensartet anvendelse og håndheving av dette direktiv,

i) gjennomføre undersøkelser om anvendelsen av dette direktiv, herunder på grunnlag av informasjon mottatt fra en annen tilsynsmyndighet eller en annen offentlig myndighet,

j) følge relevant utvikling, i den grad den har innvirkning på personvern, særlig utviklingen innen informasjons- og kommunikasjonsteknologi,

k) gi råd om behandlingsaktivitetene nevnt i artikkel 28, og

l) bidra i Personvernrådets arbeid.

2. Hver tilsynsmyndighet skal legge til rette for inngivelse av klager som nevnt i nr. 1 bokstav f) ved hjelp av tiltak som for eksempel et klageskjema, som også kan fylles ut elektronisk, uten å utelukke andre kommunikasjonsmidler.

3. Oppgavene som hver tilsynsmyndighet utfører skal være gratis for den registrerte og for personvernrådgiveren.

4. Dersom anmodninger er åpenbart grunnløse eller overdrevne, især fordi de gjentas, kan tilsynsmyndigheten kreve et rimelig gebyr basert på administrasjonskostnadene, eller nekte å etterkomme anmodningen. Tilsynsmyndigheten skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.

Artikkel 47

Myndighet

1. Medlemsstatene skal lovfeste at den enkelte tilsynsmyndighet skal ha effektiv undersøkelsesmyndighet. Dette skal som et minimum omfatte myndighet til å kreve at den behandlingsansvarlige og databehandleren gir tilgang til alle personopplysninger som behandles, og til all informasjon den trenger for å kunne utføre sine oppgaver.

2. Hver medlemsstat skal lovfeste at den enkelte tilsynsmyndighet skal ha myndighet til å treffe korrigerende tiltak, for eksempel:

a) utstede advarsler til en behandlingsansvarlig eller databehandler om at de planlagte behandlingsaktivitetene trolig er i strid med bestemmelser vedtatt i henhold til dette direktiv,

b) pålegge den behandlingsansvarlige eller databehandleren å sørge for at behandlingsaktivitetene skjer i samsvar med bestemmelser vedtatt i henhold til dette direktiv og, dersom det er relevant, på en bestemt måte og innen en bestemt frist, blant annet ved å kreve at personopplysninger korrigeres eller slettes, eller at behandlingen begrenses i henhold til artikkel 16,

c) innføre en midlertidig eller varig begrensning, herunder et forbud mot, behandling.

3. Hver medlemsstat skal lovfeste at den enkelte tilsynsmyndighet skal ha effektiv myndighet til å rådgi den behandlingsansvarlige i samsvar med framgangsmåten for forhåndsdrøftinger nevnt i artikkel 28, og til å avgi uttalelse, på eget initiativ eller på anmodning, til det nasjonale parlamentet, medlemsstatens regjering eller, i samsvar med medlemsstatenes nasjonale rett, til andre institusjoner og organer samt allmennheten om eventuelle spørsmål knyttet til vern av personopplysninger.

4. Utøvelse av den myndighet som tilsynsmyndigheten gis i henhold til denne artikkel, skal være underlagt nødvendige garantier, herunder effektive rettsmidler og rettferdig rettergang, fastsatt i unionsretten og medlemsstatenes nasjonale rett i samsvar med pakten.

5. Hver medlemsstat skal ved lov fastsette at dens tilsynsmyndighet skal ha myndighet til å bringe overtredelser av bestemmelser vedtatt i henhold til dette direktiv inn for rettsapparatet og, dersom det er relevant, til å innlede eller på annen måte opptre som part i rettssaker med det som mål å håndheve bestemmelser vedtatt i henhold til dette direktiv.

Artikkel 48

Rapportering av overtredelser

Medlemsstatene skal fastsette at kompetente myndigheter skal innføre effektive ordninger som oppmuntrer til fortrolig rapportering av overtredelser av dette direktiv.

Artikkel 49

Årsrapporter

Hver tilsynsmyndighet skal utarbeide en årlig rapport om sin virksomhet, som kan inneholde en liste over hvilke typer overtredelser som er meldt, og hvilke typer sanksjoner som er ilagt. Nevnte rapporter skal oversendes til det nasjonale parlamentet, regjeringen og andre myndigheter som er utpekt i henhold til medlemsstatens nasjonale rett. De skal gjøres tilgjengelig for allmennheten, Kommisjonen og Personvernrådet.

Kapittel VII

Samarbeid

Artikkel 50

Gjensidig bistand

1. Hver medlemsstat skal fastsette at deres tilsynsmyndigheter skal utveksle relevant informasjon og yte gjensidig bistand for å oppnå en ensartet gjennomføring og anvendelse av dette direktiv samt treffe tiltak for å sikre et effektivt samarbeid seg imellom. Gjensidig bistand skal særlig omfatte anmodninger om informasjon samt tilsynstiltak, for eksempel anmodninger om forhåndsgodkjenninger og gjennomføring av forhåndsdrøftinger, inspeksjoner og undersøkelser.

2. Hver medlemsstat skal fastsette at hver tilsynsmyndighet skal treffe alle egnede tiltak som er nødvendig for å kunne svare på en anmodning fra en annen tilsynsmyndighet, uten ugrunnet opphold og senest én måned etter mottak av anmodningen. Nevnte tiltak kan særlig omfatte overføring av relevant informasjon om gjennomføringen av en undersøkelse.

3. Anmodninger om bistand skal inneholde all nødvendig informasjon, herunder informasjon om formålet med og årsakene til anmodningen. Informasjon som utveksles, skal bare benyttes til de formål som omfattes av anmodningen.

4. Den anmodede tilsynsmyndighet skal ikke nekte å etterkomme anmodningen, med mindre :

a) den ikke har kompetanse med hensyn til det anmodningen gjelder, eller de tiltak den anmodes om å iverksette, eller

b) etterkommelse av anmodningen vil være i strid med dette direktiv, unionsretten eller medlemsstatenes nasjonale rett som tilsynsmyndigheten som mottar anmodningen, er underlagt.

5. Den anmodede tilsynsmyndigheten skal underrette den anmodende tilsynsmyndigheten om resultatene eller, alt etter hva som er relevant, om framskrittene med tiltakene som er truffet for å svare på anmodningen. Den anmodede tilsynsmyndigheten skal begrunne ethvert avslag på å etterkomme en anmodning i henhold til nr. 4.

6. Anmodede tilsynsmyndigheter skal som hovedregel oversende informasjonen som en annen tilsynsmyndighet har anmodet om, elektronisk og ved bruk av et standardisert format.

7. Anmodede tilsynsmyndigheter skal ikke kreve et gebyr for tiltak de treffer på grunnlag av en anmodning om gjensidig bistand. Tilsynsmyndighetene kan vedta regler for å godtgjøre hverandre for spesifikke utgifter som oppstår ved yting av gjensidig bistand i særlige tilfeller.

8. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette formatene og framgangsmåtene for gjensidig bistand nevnt i denne artikkel og ordningene for elektronisk utveksling av informasjon mellom tilsynsmyndighetene, og mellom tilsynsmyndighetene og Personvernrådet. Disse gjennomføringsrettsaktene skal vedtas etter framgangsmåten med undersøkelseskomité nevnt i artikkel 58 nr. 2.

Artikkel 51

Personvernrådets oppgaver

1. Personvernrådet som er opprettet ved forordning (EU) 2016/679 skal, i forbindelse med behandling innenfor dette direktivs virkeområde, utføre følgende oppgaver:

a) rådgi Kommisjonen i alle spørsmål knyttet til vern av personopplysninger i Unionen, herunder om eventuelle forslag til endring av dette direktiv,

b) på eget initiativ, på anmodning fra ett av dets medlemmer eller fra Kommisjonen granske alle spørsmål som gjelder anvendelse av dette direktiv, og utstede retningslinjer, anbefalinger og beste praksis for å fremme en ensartet anvendelse av dette direktiv,

c) utarbeide retningslinjer for tilsynsmyndigheter om anvendelsen av tiltakene som er nevnt i artikkel 47 nr. 1 og 3,

d) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav b) i dette nummer for å fastslå personvernbrudd og fastsette det ugrunnede oppholdet som nevnt i artikkel 30 nr. 1 og 2, samt for de særlige tilfellene der en behandlingsansvarlig eller en databehandler har plikt til å melde personvernbrudd,

e) utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav b) i dette nummer for omstendighetene der et personvernbrudd trolig vil føre til en høy risiko for rettighetene og frihetene til de fysiske personene nevnt i artikkel 31 nr. 1,

f) gjennomgå den praktiske anvendelsen av retningslinjene, anbefalingene og beste praksis nevnt i bokstav b) og c),

g) avgi uttalelse til Kommisjonen om vurderingen av om vernenivået i en tredjestat eller internasjonal organisasjon er tilstrekkelig, herunder vurderingen av om en tredjestat, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig vernenivå,

h) fremme samarbeid og en effektiv bi- og multilateral utveksling av informasjon og beste praksis mellom tilsynsmyndighetene,

i) fremme felles opplæringsprogrammer og utveksling av personell mellom tilsynsmyndighetene og, dersom det er relevant, med tilsynsmyndigheter i tredjestater eller internasjonale organisasjoner,

j) fremme utveksling av kunnskap og dokumentasjon om personvernlovgivning og praksis på området med datatilsynsmyndigheter over hele verden.

Hva angår nr. 1 bokstav g) skal Kommisjonen framlegge for Personvernrådet all nødvendig dokumentasjon, herunder korrespondanse med regjeringen i tredjestaten, med hensyn til nevnte tredjestat, territorium eller spesifikke sektor, eller med den internasjonale organisasjonen.

2. Dersom Kommisjonen ber Personvernrådet om råd, kan den oppgi en tidsfrist, idet det tas hensyn til hvor mye saken haster.

3. Personvernrådet skal videresende sine uttalelser, retningslinjer, anbefalinger og beste praksis til Kommisjonen og til komiteen nevnt i artikkel 58 nr. 1 samt offentliggjøre dem.

4. Kommisjonen skal underrette Personvernrådet om hvilke tiltak den har truffet som en følge av Personvernrådets uttalelser, retningslinjer, anbefalinger og beste praksis.

Kapittel VIII

Rettsmidler, ansvar og sanksjoner

Artikkel 52

Rett til å klage til en tilsynsmyndighet

1. Uten at det berører annen administrativ eller rettslig prøving, skal medlemsstatene fastsette at enhver registrert skal ha rett til å klage til én tilsynsmyndighet dersom den registrerte anser at behandlingen av personopplysninger som gjelder vedkommende er i strid med bestemmelser vedtatt i henhold til dette direktiv.

2. Medlemsstatene skal fastsette at tilsynsmyndigheten som har mottatt klagen, skal overføre den til kompetent tilsynsmyndighet uten ugrunnet opphold dersom klagen ikke er inngitt til den tilsynsmyndighet som er kompetent i henhold til artikkel 45 nr. 1. Den registrerte skal underrettes om overføringen.

3. Medlemsstatene skal fastsette at den tilsynsmyndighet som har mottatt klagen, skal gi ytterligere bistand på anmodning fra den registrerte.

4. Kompetent tilsynsmyndighet skal underrette klageren om klagebehandlingsforløpet og utfallet av klagen, herunder muligheten for rettslig prøving i henhold til artikkel 53.

Artikkel 53

Rett til et effektivt rettsmiddel overfor en tilsynsmyndighet

1. Uten at det berører annen administrativ eller ikke-rettslig prøving, skal medlemsstatene fastsette at enhver fysisk eller juridisk person skal ha rett til et effektivt rettsmiddel overfor en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet.

2. Uten at det berører annen administrativ eller ikke-rettslig prøving, skal enhver registrert ha rett til et effektivt rettsmiddel dersom tilsynsmyndigheten som har kompetanse i henhold til artikkel 45 nr. 1, ikke behandler en klage eller ikke underretter den registrerte innen tre måneder om klagebehandlingsforløpet eller utfallet av klagen som er inngitt i henhold til artikkel 52.

3. Medlemsstatene skal fastsette at en sak mot en tilsynsmyndighet skal bringes inn for domstolene i medlemsstaten der tilsynsmyndigheten er etablert.

Artikkel 54

Rett til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler

Uten at det berører annen tilgjengelig administrativ eller ikke-rettslig prøving, herunder retten til å klage til en tilsynsmyndighet i henhold til artikkel 52, skal medlemsstatene fastsette at enhver registrert skal ha rett til et effektivt rettsmiddel dersom vedkommende anser at vedkommendes rettigheter i henhold til dette direktiv er krenket som følge av at vedkommendes personopplysninger er blitt behandlet på en måte som ikke er i samsvar med bestemmelser vedtatt i henhold til dette direktiv.

Artikkel 55

Representasjon av registrerte

Medlemsstatene skal, i samsvar med medlemsstatenes prosessuelle rettsregler, fastsette at den registrerte skal ha rett til å gi et ideelt organ eller en ideell organisasjon eller sammenslutning som er opprettet i samsvar med nasjonal rett i en medlemstat, som har vedtektsfestede formål som er i allmennhetens interesse, og som er aktiv på området vern av registrertes rettigheter og friheter med hensyn til vern av deres personopplysninger, fullmakt til å klage på vedkommendes vegne, og til å utøve rettighetene i artikkel 52, 53 og 54 på vedkommendes vegne.

Artikkel 56

Rett til erstatning

Medlemsstatene skal fastsette at enhver person som har lidd materiell eller ikke-materiell skade som følge av behandling som ikke er lovlig, eller som følge av en handling som er i strid med nasjonal rett vedtatt i henhold til dette direktiv, skal ha rett til erstatning for forvoldt skade fra den behandlingsansvarlige eller en annen myndighet som er kompetent i henhold til medlemsstatenes nasjonale rett.

Artikkel 57

Sanksjoner

Medlemsstatene skal fastsette regler for sanksjoner som får anvendelse på overtredelser av bestemmelser vedtatt i henhold til dette direktiv, og skal treffe alle nødvendige tiltak for å sikre at de gjennomføres. Sanksjonene skal være effektive, stå i forhold til overtredelsen og virke avskrekkende.

Kapittel IX

Gjennomføringsrettsakter

Artikkel 58

Komitéframgangsmåte

1. Kommisjonen skal bistås av den komité som er nedsatt ved artikkel 93 i forordning (EU) 2016/679. Nevnte komité skal være en komité som definert i forordning (EU) nr. 182/2011.

2. Når det vises til dette nummer, får artikkel 5 i forordning (EU) nr. 182/2011 anvendelse.

3. Når det vises til dette nummer, får artikkel 8 i forordning (EU) nr. 182/2011, sammenholdt med artikkel 5 i samme forordning, anvendelse.

Kapittel X

Sluttbestemmelser

Artikkel 59

Oppheving av rammebeslutning 2008/977/JIS

1. Rammebeslutning 2008/977/JIS oppheves med virkning fra 6. mai 2018.

2. Henvisninger til den opphevde beslutningen nevnt i nr. 1 skal forstås som henvisninger til dette direktiv.

Artikkel 60

Unionsrettsakter som allerede er i kraft

Dette direktiv skal ikke berøre særlige bestemmelser om vern av personopplysninger i unionsrettsakter på området strafferettslig samarbeid og politisamarbeid som er trådt i kraft innen 6. mai 2016, og som regulerer behandling mellom medlemsstatene og tilgang for utpekte myndigheter i medlemsstatene til informasjonssystemer som er opprettet i henhold til traktatene og er innenfor dette direktivs virkeområde.

Artikkel 61

Forholdet til tidligere inngåtte internasjonale avtaler på området strafferettslig samarbeid og politisamarbeid

Internasjonale avtaler som omfatter overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, som er inngått av medlemsstatene før 6. mai 2016 og som er i samsvar med unionsretten som gjaldt før nevnte dato, får fortsatt anvendelse fram til de endres, erstattes eller oppheves.

Artikkel 62

Kommisjonsrapporter

1. Kommisjonen skal senest 6. mai 2022, og deretter hvert fjerde år, framlegge en rapport om vurderingen og gjennomgåelsen av dette direktiv for Europaparlamentet og Rådet. Rapportene skal offentliggjøres.

2. I forbindelse med vurderingene og gjennomgåelsene nevnt i nr. 1, skal Kommisjonen særlig undersøke hvordan kapittel V om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner anvendes og fungerer, særlig med hensyn til beslutninger som er truffet i henhold til artikkel 36 nr. 3 og artikkel 39.

3. Kommisjonen kan, for formålene oppført i nr. 1 og 2, anmode om informasjon fra medlemsstater og tilsynsmyndigheter.

4. Når Kommisjonen foretar vurderingene og gjennomgåelsene nevnt i nr. 1 og 2, skal den ta hensyn til holdningene og konklusjonene fra Europaparlamentet, Rådet og andre relevante organer eller kilder.

5. Kommisjonen skal ved behov framlegge egnede forslag til endring av dette direktiv, idet det tas særlig hensyn til utviklingen innen informasjonsteknologi og de framskrittene som har funnet sted i informasjonssamfunnet.

6. Innen 6. mai 2019 skal Kommisjonen gjennomgå andre rettsakter som er vedtatt av Unionen, og som regulerer kompetente myndigheters behandling for formålene oppført i artikkel 1 nr. 1, herunder dem som er nevnt i artikkel 60, for å kunne vurdere behovet for å bringe disse rettsaktene i tråd med dette direktiv, og eventuelt legge fram nødvendige forslag om å endre dem for å sikre en ensartet tilnærming til vern av personopplysninger innenfor dette direktivs virkeområde.

Artikkel 63

Innarbeiding

1. Medlemsstatene skal innen 6. mai 2018 vedta og kunngjøre de lover og forskrifter som er nødvendige for å etterkomme dette direktiv. De skal umiddelbart oversende Kommisjonen teksten til disse bestemmelsene. De skal anvende disse bestemmelsene fra 6. mai 2018.

Disse bestemmelsene skal, når de vedtas av medlemsstatene, inneholde en henvisning til dette direktiv, eller det skal vises til direktivet når de kunngjøres. Nærmere bestemmelser om henvisningen skal fastsettes av medlemsstatene.

2. Som unntak fra nr. 1 kan en medlemsstat fastsette at automatiserte behandlingssystemer som er innført før 6. mai 2016, unntaksvis og når det er uforholdsmessig vanskelig, skal bringes i samsvar med artikkel 25 nr. 1 innen 6. mai 2023.

3. Som unntak fra nr. 1 og 2 kan en medlemsstat unntaksvis bringe et automatisert behandlingssystem som nevnt i nr. 2 i samsvar med artikkel 25 nr. 1 i løpet av en bestemt frist, etter fristen i nr. 2, dersom det ellers ville oppstå alvorlige problemer med driften av det bestemte automatiserte behandlingssystemet. Medlemsstaten skal underrette Kommisjonen om grunnene til de alvorlige problemene, og grunnene til den angitte fristen for å bringe det bestemte automatiserte behandlingssystemet i samsvar med artikkel 25 nr. 1. Den angitte fristen skal ikke under noen omstendighet være senere enn 6. mai 2026.

4. Medlemsstatene skal oversende Kommisjonen teksten til de viktigste internrettslige bestemmelser som de vedtar på det område dette direktiv omhandler.

Artikkel 64

Ikrafttredelse

Dette direktiv trer i kraft dagen etter at det er kunngjort i Den europeiske unions tidende.

Artikkel 65

Adressater

Dette direktiv er rettet til medlemsstatene.

Utferdiget i Brussel, 27. april 2016.

For Europaparlamentet

M. Schulz

President

For Rådet

J.A. Hennis-Plasschaert

Formann

Fotnoter

1)

EUT C 391 av 18.12.2012, s. 127.

2)

Europaparlamentets holdning av 12. mars 2014 (ennå ikke offentliggjort i EUT) og Rådets holdning ved første behandling av 8. april 2016 (ennå ikke offentliggjort i EUT). Europaparlamentets holdning av 14. april 2016.

3)

Europaparlaments- og rådsdirektiv 95/46/EF av 24. oktober 1995 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (EFT L 281 av 23.11.1995, s. 31).

4)

Rådets rammebeslutning 2008/977/JIS av 27. november 2008 om vern av personopplysninger som behandles innenfor rammen av politisamarbeid og strafferettslig samarbeid (EUT L 350 av 30.12.2008, s. 60).

5)

Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning).

6)

Europaparlaments og rådsforordning (EF) nr. 45/2001 av 18. desember 2000 om personvern i forbindelse med behandling av personopplysninger i Fellesskapets institusjoner og organer og om fri utveksling av slike opplysninger (EFT L 8 av 12.1.2001, s. 1).

7)

Europaparlaments- og rådsdirektiv 2011/24/EU av 9. mars 2011 om anvendelse av pasientrettigheter i forbindelse med helsetjenester over landegrensene (EUT L 88 av 4.4.2011, s. 45).

8)

Rådets felles holdning 2005/69/JIS av 24. januar 2005 om utveksling av visse opplysninger med Interpol (EUT L 27 av 29.1.2005, s. 61).

9)

Rådsbeslutning 2007/533/JIS av 12. juni 2007 om opprettelse, drift og bruk av annen generasjon av Schengen-informasjonssystemet (SIS II) (EUT L 205 av 7.8.2007, s. 63).

10)

Rådsdirektiv 77/249/EØF av 22. mars 1977 med henblikk på å lette den faktiske gjennomføring av advokaters adgang til å yte tjenester (EFT L 78 av 26.3.1977, s. 17).

11)

Europaparlaments- og rådsforordning (EU) nr. 182/2011 av 16. februar 2011 om fastsettelse av allmenne regler og prinsipper for medlemsstatenes kontroll med Kommisjonens utøvelse av sin gjennomføringsmyndighet (EUT L 55 av 28.2.2011, s. 13).

12)

Rådsbeslutning 2008/615/JIS av 23. juni 2008 om opptrapping av samarbeidet over landegrensene, særlig med sikte på å bekjempe terrorisme og grensekryssende kriminalitet (EUT L 210 av 6.8.2008, s. 1)

13)

Rådets rettsakt av 29. mai 2000 om opprettelse i samsvar med artikkel 34 i traktaten om Den europeiske union av konvensjonen om gjensidig bistand i straffesaker mellom medlemsstatene i Den europeiske union (EFT C 197 av 12.7.2000, s. 1)

14)

Europaparlaments- og rådsdirektiv 2011/93/EU av 13. desember 2011 om bekjempelse av seksuelt misbruk av barn, seksuell utnytting av barn og barnepornografi, og om erstatning av Rådets rammebeslutning 2004/68/JIS (EUT L 335 av 17.12.2011, s. 1)

15)

EFT L 176 av 10.7.1999, s. 36.

16)

EUT L 53 av 27.2.2008, s. 52.

17)

EUT L 160 av 18.6.2011, s. 21.

18)

EUT C 192 av 30.6.2012, s. 7.