LexBot — Danmarks juridiske opslagsværk
← Europol-loven

§ Europol-loven · kapitel 5 af 11

KAPITEL V – DATABESKYTTELSE OG DATASIKKERHED

LOV nr 1261 af 16/12/2009

Artikel 27

Databeskyttelsesniveau

Uden at det berører specifikke bestemmelser i denne afgørelse, tager Europol hensyn til principperne i Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger af 28. januar 1981 og anbefaling R(87)15 vedtaget den 17. september 1987 af Europarådets Ministerkomité. Europol overholder disse principper i forbindelse med behandling af personoplysninger, bl.a. i forbindelse med automatiserede og ikke-automatiserede oplysninger i form af registre, især strukturerede personoplysninger, der er tilgængelige ifølge specifikke kriterier.

Artikel 28

Databeskyttelsesansvarlig

  1. Styrelsesrådet udpeger på forslag af direktøren en databeskyttelsesansvarlig, som skal være medlem af Europols personale. Den databeskyttelsesansvarlige handler uafhængigt ved udførelsen af sine opgaver.

  2. Den databeskyttelsesansvarlige har bl.a. følgende opgaver:

a) på uafhængig vis at sikre lovligheden og overholdelsen af bestemmelserne i denne afgørelse om behandling af personoplysninger, herunder behandling af personoplysninger om Europols personale

b) at sikre, at der føres en skriftlig fortegnelse over videregivelse og modtagelse af personoplysninger i overensstemmelse med denne afgørelse

c) at sikre, at de registrerede efter anmodning informeres om deres rettigheder i henhold til denne afgørelse

d) at samarbejde med de medlemmer af Europols personale, der har ansvaret for procedurer, uddannelse og rådgivning om databehandling.

e) at samarbejde med Den Fælles Kontrolinstans

f) at udarbejde en årsberetning og sende denne til Styrelsesrådet og Den Fælles Kontrolinstans.

  1. Den databeskyttelsesansvarlige skal ved udførelsen af sine opgaver have adgang til alle de oplysninger, Europol behandler, og til alle Europols lokaler.

  2. Hvis den databeskyttelsesansvarlige mener, at bestemmelserne i denne afgørelse om behandling af personoplysninger ikke er overholdt, skal denne underrette direktøren og kræve, at vedkommende løser problemet vedrørende den manglende overholdelse inden en fastsat frist.

Hvis direktøren ikke inden for en fastsat tidsfrist har løst problemet med en uregelmæssig behandling, underretter den databeskyttelsesansvarlige Styrelsesrådet og aftaler en bestemt svarfrist med dette.

Hvis Styrelsesrådet ikke inden for den fastsatte tidsfrist har løst problemet med en uregelmæssig behandling, underretter den databeskyttelsesansvarlige Den Fælles Kontrolinstans.

  1. Styrelsesrådet vedtager yderligere gennemførelsesbestemmelser vedrørende den databeskyttelsesansvarlige. Disse gennemførelsesbestemmelser vedrører navnlig udnævnelse og afskedigelse af den databeskyttelsesansvarlige og dennes hverv, opgaver og beføjelser og beskyttelsesforanstaltninger vedrørende den databeskyttelsesansvarliges uafhængighed.

Artikel 29

Databeskyttelsesansvar

  1. Ansvaret for oplysninger behandlet af Europol, navnlig for lovligheden af indsamling, videregivelse til Europol og registrering samt oplysningernes korrekthed og ajourføring og lagringsfristens overholdelse påhviler:

a) den medlemsstat, der har registreret eller videregivet de pågældende oplysninger

b) Europol, for så vidt angår oplysninger modtaget fra tredjepart, herunder oplysninger fra private i henhold til artikel 25, stk. 3, litra b) og c), og artikel 25, stk. 4, samt oplysninger modtaget via kontaktpunktet i et tredjeland, som Europol har indgået en samarbejdsaftale med i henhold til artikel 23, eller som er resultatet af Europols analysearbejde.

  1. Oplysninger, som Europol har modtaget, men som endnu ikke er indgået i et af Europols dataregistre, forbliver under den videregivende parts databeskyttelse. Det er imidlertid Europols opgave at sørge for datasikkerheden i overensstemmelse med artikel 35, stk. 2, i og med at disse data, indtil de er lagret i et dataregister, kun er tilgængelige for bemyndigede medlemmer af Europols personale med henblik på at fastslå, om de kan behandles af Europol, eller for bemyndigede ansatte hos den part, der har leveret oplysningerne. Hvis Europol efter en sådan vurdering har grund til at formode, at de leverede oplysninger er ukorrekte eller ikke længere er aktuelle, underretter Europol den part, der har leveret oplysningerne.

  2. Med forbehold af andre bestemmelser i denne afgørelse er Europol endvidere ansvarlig for alle oplysninger, som den behandler.

  3. Hvis Europol kan bevise, at oplysninger, der er registreret i et af dens systemer som omhandlet i kapitel II, faktisk er ukorrekte eller registreret ulovligt, underretter den den berørte medlemsstat eller anden part herom.

  4. Europol lagrer oplysningerne på en sådan måde, at det kan konstateres, hvilken medlemsstat eller tredjepart der har videregivet dem, eller om de er resultatet af Europols analysearbejde.

Artikel 30

Fysiske personers ret til adgang

  1. Enhver person har med rimelige mellemrum ret til at få oplyst, om personoplysninger om vedkommende behandles af Europol, til at blive underrettet om sådanne oplysninger om vedkommende i letforståelig form eller til at få dem kontrolleret, under alle omstændigheder på de betingelser, der er fastlagt i denne artikel.

  2. Enhver person, der ønsker at benytte sig af sine rettigheder ifølge denne artikel, kan fremsætte en anmodning herom uden for store udgifter i en medlemsstat efter eget valg til den myndighed, der er udpeget hertil i den pågældende medlemsstat. Denne myndighed skal straks henvende sig til Europol, og under alle omstændigheder senest en måned efter modtagelsen.

  3. Anmodningen besvares af Europol inden for en rimelig frist og under alle omstændigheder inden tre måneder fra modtagelsen i overensstemmelse med denne artikel.

  4. Europol hører de pågældende medlemsstaters kompetente myndigheder, inden den træffer beslutning om at besvare en anmodning efter stk. 1. En beslutning om adgang til oplysninger er betinget af et tæt samarbejde mellem Europol og de medlemsstater, der direkte er berørt af udleveringen. Når en medlemsstat har tilkendegivet sine indsigelser mod Europols foreslåede svar, underretter den Europol om grundene hertil.

  5. Udleveringen af oplysninger som svar på en anmodning efter stk. 1 nægtes, for så vidt dette er nødvendigt for:

a) at Europol kan udføre sine opgaver behørigt

b) at beskytte medlemsstaternes sikkerhed og den offentlige orden eller for at forebygge strafbare handlinger

c) at sikre, at eventuelle nationale efterforskninger ikke bringes i fare

d) at beskytte tredjemands rettigheder og frihedsrettigheder.

Ved vurderingen af, om en undtagelse finder anvendelse, tages der hensyn til den berørte persons interesser.

  1. Hvis udleveringen af oplysninger som svar på en anmodning efter stk. 1 nægtes, underretter Europol den pågældende person om, at den har foretaget kontrol uden at anføre oplysninger, som gør det muligt at finde ud af, om Europol behandler personoplysninger om vedkommende.

  2. Enhver kan med rimelige mellemrum anmode Den Fælles Kontrolinstans om at undersøge, om de oplysninger om vedkommende, som Europol har indsamlet, lagret, behandlet og anvendt, er i overensstemmelse med denne afgørelses bestemmelser om behandling af personoplysninger. Den Fælles Kontrolinstans underretter den pågældende om, at der er foretaget kontrol uden at anføre oplysninger, som gør det muligt at finde ud af, om Europol har registreret personoplysninger om vedkommende.

Artikel 31

Den registreredes ret til rettelse og sletning af oplysninger

  1. Enhver har ret til at anmode Europol om, at fejlagtige oplysninger vedrørende den pågældende rettes eller slettes. Hvis det enten som følge af udøvelsen af denne ret eller på anden måde viser sig, at oplysninger, som lagres hos Europol, og som er blevet videregivet af eksterne instanser, eller som er resultatet af Europols analysevirksomhed, er ukorrekte, eller at registrering og lagring af dem er i strid med denne afgørelse, skal Europol rette eller slette dem.

  2. Hvis oplysninger, som er ukorrekte eller behandlet i strid med denne afgørelse, er videregivet direkte til Europol af en medlemsstat, skal denne rette eller slette dem i samarbejde med Europol.

  3. Hvis ukorrekte oplysninger er videregivet på anden passende vis, eller hvis fejlene i oplysningerne fra medlemsstaterne skyldes fejl i registreringen eller en registrering, der er i strid med denne afgørelse, eller hvis fejlene skyldes, at Europol har registreret dem, accepteret dem eller lagret dem forkert eller i strid med denne afgørelse, skal Europol rette eller slette oplysningerne i samarbejde med de berørte medlemsstater.

  4. I de i stk. 1, 2 og 3 nævnte tilfælde skal medlemsstater eller eksterne instanser, som har modtaget de pågældende oplysninger, straks underrettes. De modtagende medlemsstater skal ligeledes rette eller slette disse oplysninger. Hvis sletning ikke er mulig, skal oplysningerne blokeres for at forhindre fremtidig behandling.

  5. Europol underretter inden for en rimelig frist og under alle omstændigheder inden tre måneder skriftligt den pågældende om, at rettelsen eller sletningen af de oplysninger, der vedrører ham eller hende, er blevet foretaget.

Artikel 32

Klager

  1. Europol skal i sit svar på en anmodning om kontrol af eller adgang til oplysninger, eller om rettelse og sletning af oplysninger, underrette ansøgeren om, at vedkommende kan indgive klage til Den Fælles Kontrolinstans, hvis han eller hun ikke er tilfreds med afgørelsen. Ansøgeren kan ligeledes indgive klage til Den Fælles Kontrolinstans, hvis vedkommende ikke har modtaget svar på sin anmodning inden for de tidsfrister, der er fastlagt i artikel 30 og 31.

  2. Hvis ansøgeren indgiver klage til Den Fælles Kontrolinstans, behandles den af denne instans.

  3. Når en klage vedrører en beslutning som omhandlet i artikel 30 og 31, hører Den Fælles Kontrolinstans de nationale kontrolinstanser eller den kompetente judicielle myndighed i den medlemsstat, oplysningen stammer fra, eller den direkte berørte medlemsstat. Afgørelsen i Den Fælles Kontrolinstans, der kan gå så vidt som til at afslå anmodningen om udlevering, træffes i tæt samarbejde med den nationale kontrolinstans eller den kompetente judicielle myndighed.

  4. Hvis en klage vedrører adgang til oplysninger, som Europol har lagret i Europols informationssystem, oplysninger lagret i analyseregistre eller i andre systemer oprettet af Europol med henblik på behandling af personoplysninger i medfør af artikel 10, og er der fortsat indsigelser fra Europol, kan Den Fælles Kontrolinstans kun tilsidesætte sådanne indsigelser med et flertal på to tredjedele af sine medlemmer efter at have hørt Europol og den eller de medlemsstat(er), der er omhandlet i artikel 30, stk. 4. Hvis der ikke er et sådant flertal, meddeler Den Fælles Kontrolinstans ansøgeren afslaget uden at anføre forhold, som kan afsløre, om der er registreret personoplysninger om ansøgeren.

  5. Når en klage vedrører kontrol af oplysninger, der er registreret i Europols informationssystem af en medlemsstat, oplysninger lagret i analyseregistre eller et andet system, som Europol har oprettet med henblik på behandling af personoplysninger i medfør af artikel 10, sikrer Den Fælles Kontrolinstans sig, at de nødvendige undersøgelser er foretaget på korrekt vis i tæt samarbejde med den nationale kontrolinstans i den medlemsstat, der har registreret oplysningerne. Den Fælles Kontrolinstans meddeler ansøgeren, at der er foretaget de nødvendige undersøgelser, uden at anføre forhold, som kan afsløre, om der er registreret personoplysninger om ansøgeren.

  6. Når en klage vedrører kontrol af oplysninger, der er registreret i Europols informationssystem af Europol, eller oplysninger, der er lagret i analyseregistrene eller et andet system, som Europol har oprettet med henblik på behandling af personoplysninger i medfør af artikel 10, sikrer Den Fælles Kontrolinstans sig, at Europol har foretaget de nødvendige undersøgelser på korrekt vis. Den Fælles Kontrolinstans meddeler ansøgeren, at der er foretaget de nødvendige undersøgelser, uden at anføre forhold, som kan afsløre, om der er registreret personoplysninger om ansøgeren.

Artikel 33

Den nationale kontrolinstans

  1. Hver medlemsstat udpeger en national kontrolinstans, som har til opgave uafhængigt og i overensstemmelse med national ret at overvåge lovligheden af den pågældende medlemsstats registrering, søgning samt videregivelse uanset form af personoplysninger til Europol samt at sikre sig, at den registreredes rettigheder ikke krænkes herved. Med henblik herpå har kontrolinstansen via de nationale enheder eller forbindelsesofficererne adgang til de oplysninger, som medlemsstaten har registreret i Europols informationssystem eller i andre systemer oprettet af Europol med henblik på behandling af personoplysninger i medfør af artikel 10 i overensstemmelse med de gældende nationale procedurer.

For at kunne udføre kontrollen skal de nationale kontrolinstanser have adgang til lokaler og sagsakter hos de respektive forbindelsesofficer ved Europol.

I overensstemmelse med gældende nationale procedurer kontrollerer den nationale kontrolinstans endvidere de aktiviteter, som den nationale enhed og forbindelsesofficeren udfører, for så vidt disse vedrører beskyttelsen af personoplysninger. Den nationale kontrolinstans skal også holde Den Fælles Kontrolinstans informeret om alle foranstaltninger, der træffes i relation til Europol.

  1. Enhver kan anmode den nationale kontrolinstans om at kontrollere, at registreringen hos og videregivelsen til Europol af personoplysninger om vedkommende selv uanset form samt medlemsstaternes søgninger sker lovligt.

Denne ret udøves i overensstemmelse med national ret i den medlemsstat, hvor anmodningen fremsættes.

Artikel 34

Den Fælles Kontrolinstans

  1. Der oprettes en uafhængig fælles kontrolinstans, som har til opgave i overensstemmelse med denne afgørelse at overvåge Europols virksomhed for at sikre, at registrerede personers rettigheder ikke krænkes ved lagring, behandling og anvendelse af oplysninger, som Europol er i besiddelse af. Den Fælles Kontrolinstans kontrollerer endvidere, at videregivelsen af oplysninger, som stammer fra Europol, er lovlig. Den Fælles Kontrolinstans består af højst to medlemmer eller repræsentanter, som eventuelt bistås af suppleanter, fra hver national kontrolinstans, som har de nødvendige kvalifikationer og udnævnes for fem år af hver medlemsstat. Hver delegation råder over én stemme ved afstemninger.

Den Fælles Kontrolinstans vælger en formand blandt sine medlemmer.

Medlemmerne af Den Fælles Kontrolinstans må ikke modtage instruktioner fra nogen myndighed under udøvelsen af deres hverv.

  1. Europol bistår Den Fælles Kontrolinstans med udførelsen af dennes opgaver. Europol skal således især:

a) give Den Fælles Kontrolinstans alle de oplysninger, den anmoder om, indsigt i alle dokumenter og sagsakter samt adgang til oplysninger, der er lagret i registret

b) give Den Fælles Kontrolinstans fri adgang til alle sine lokaler på et hvilket som helst tidspunkt

c) gennemføre Den Fælles Kontrolinstans' afgørelser i klagesager.

  1. Den Fælles Kontrolinstans har kompetence til at undersøge anvendelses- og fortolkningsproblemer, der måtte opstå i tilknytning til Europols arbejde med at behandle og anvende personoplysninger, til at undersøge problemer, der måtte opstå i forbindelse med den uafhængige kontrol, som medlemsstaternes nationale kontrolinstanser har foretaget, eller som vedrører udøvelse af retten til adgang, samt til at udarbejde harmoniserede forslag med henblik på fælles løsninger af de foreliggende problemer.

  2. Hvis Den Fælles Kontrolinstans konstaterer, at der ved lagring, behandling eller anvendelse af personoplysninger er handlet i strid med denne afgørelse, fremsætter den de bemærkninger, den finder nødvendige, over for direktøren og anmoder om at få svar inden for en fastsat frist. Direktøren holder Styrelsesrådet underrettet om hele forløbet. Hvis Den Fælles Kontrolinstans ikke er tilfreds med direktørens svar på anmodningen, henviser Den Fælles Kontrolinstans sagen til Styrelsesrådet.

  3. Med henblik på udførelsen af sine opgaver og for at bidrage til en mere konsekvent anvendelse af regler og procedurer for databehandling samarbejder Den Fælles Kontrolinstans i det omfang, det er nødvendigt, med andre kontrolinstanser.

  4. Den Fælles Kontrolinstans udarbejder regelmæssigt en beretning om sin virksomhed. Beretningen forelægges for Europa-Parlamentet og Rådet. Styrelsesrådet får forinden lejlighed til at afgive en udtalelse, som vedlægges beretningen.

Den Fælles Kontrolinstans beslutter, om dens beretning skal offentliggøres eller ej, og i givet fald hvordan.

  1. Den Fælles Kontrolinstans fastsætter selv sin forretningsorden med et flertal på to tredjedele af sine medlemmer og forelægger den for Rådet med henblik på godkendelse. Rådet træffer afgørelse med kvalificeret flertal.

  2. Den Fælles Kontrolinstans opretter af sin midte et udvalg sammensat af et medlem fra hver medlemsstat, som har stemmeret. Udvalget skal med alle passende midler behandle klager, jf. artikel 32. Hvis parterne anmoder om det, høres de af udvalget, eventuelt bistået af deres rådgivere. Afgørelser truffet inden for denne ramme er endelige for alle de berørte parter.

  3. Den Fælles Kontrolinstans kan nedsætte en eller flere kommissioner ud over den i stk. 8 omhandlede.

  4. Den Fælles Kontrolinstans høres om den del af Europols budget, som vedrører kontrolinstansen. Dens udtalelse vedlægges det pågældende budgetforslag.

  5. Den Fælles Kontrolinstans bistås af et sekretariat, hvis opgaver fastsættes i forretningsordenen.

Artikel 35

Datasikkerhed

  1. Europol træffer de nødvendige tekniske og administrative foranstaltninger til at sikre gennemførelsen af denne afgørelse. Foranstaltningerne betragtes som nødvendige, hvis den indsats, der kræves, står i rimeligt forhold til det tilstræbte beskyttelsesniveau.

  2. Med henblik på Europols databehandling træffer hver medlemsstat og Europol foranstaltninger for at:

a)

forhindre, at uautoriserede får adgang til det udstyr, der benyttes til databehandling af personoplysninger (fysisk adgangskontrol)

b)

forhindre uautoriseret læsning, kopiering, ændring eller fjernelse af datamedier (kontrol med datamedier)

c)

forhindre uautoriseret registrering af oplysninger samt uautoriseret adgang til, ændring eller sletning af registrerede personoplysninger (kontrol med lagring)

d)

forhindre uautoriseret benyttelse af databehandlingssystemerne ved hjælp af datatransmissionsudstyr (brugerkontrol)

e)

sikre, at autoriserede personer for så vidt angår brugen af et automatiseret databehandlingssystem kun får adgang til de oplysninger, som henhører under deres kompetence (adgangskontrol)

f)

sikre, at det er muligt at undersøge og fastslå, til hvilke myndigheder der kan videregives eller er blevet videregivet personoplysninger via datatransmissionsudstyr (kontrol med videregivelse)

g)

sikre, at det kan efterprøves og fastslås, hvilke personoplysninger der er blevet registreret i databehandlingssystemerne, hvornår og af hvem (kontrol med registrering)

h)

forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med videregivelse af oplysninger eller transport af datamedier (kontrol med transport)

i)

sikre, at de anvendte systemer i tilfælde af tekniske forstyrrelser straks kan genetableres (genopretning)

j)

sikre, at systemet fungerer fejlfrit, at indtrufne fejl straks meldes (pålidelighed), og at lagrede oplysninger ikke bliver forkerte som følge af fejlfunktioner i systemet (integritet).