ARTIKEL 29-GRUPPEN OM DATABESKYTTELSE

Transkript

1 ARTIKEL 29-GRUPPEN OM DATABESKYTTELSE 11118/02/DA/endelig WP 65 Arbejdsdokument om sortlister Vedtaget den 3. oktober 2002 Gruppen, der er nedsat ved artikel 29 i direktiv 95/46/EF, er et uafhængigt EU-rådgivningsorgan vedrørende databeskyttelse og beskyttelse af privatlivets fred, hvis opgaver er fastsat i artikel 30 i direktiv 95/46/EF og i artikel 14 i direktiv 97/66/EF. Gruppens sekretariat varetages af Europa-Kommissionen, GD for det Indre Marked, Direktorat A (Det indre markeds funktion og virkning. Koordinering. Databeskyttelse), B-1049 Bruxelles, Kontor: C100-6/136 Websted:

2 SORTLISTER GRUPPEN VEDRØRENDE BESKYTTELSE AF FYSISKE PERSONER I FORBINDELSE MED BEHANDLING AF PERSONOPLYSNINGER, som er nedsat ved Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober , som henviser til artikel 29, artikel 30, stk. 1, litra a), og artikel 30, stk. 3, i nævnte direktiv, som henviser til sin forretningsorden, særlig artikel 12 og 14, har vedtaget følgende arbejdsdokument: Gruppen fastslår indledningsvis, at en persons ret til beskyttelse af sine personoplysninger er en grundlæggende rettighed i henhold til artikel 8 i den europæiske konvention om beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder. Denne ret er også indarbejdet i EU s charter om grundlæggende rettigheder og er uddybet nærmere i direktiv 95/46/EF og 97/66/EF om beskyttelse af personoplysninger. Den grundlæggende ret til databeskyttelse som en uafhængig og selvstændig ret i forhold til retten til privatlivets fred eller retten til kommunikationshemmelighed er i praksis en nyskabelse i vort samfund. Der må skabes den rette balance mellem denne ret og de øvrige grundlæggende rettigheder på den ene side og andre legitime offentlige og private interesser med virkninger for den enkelte og for samfundet som helhed på den anden, idet vi er vidner til omfattende og betydningsfulde teknologiske fremskridt, som gør det muligt at formidle, oplagre og behandle enorme mængder af information på kort tid og med ubetydelige omkostninger. Derfor er vi nødt til at overveje et særdeles vigtigt aspekt ved en lang række borgeres stilling i situationer, der kan føre til konflikter (som praktisk talt alle er uønskede) i forbindelse med kommercielle, finansielle, erhvervsmæssige eller private forretninger. Det er en krænkelse at indføre fysiske personer i databaser, hvor de sættes i forbindelse med en bestemt situation eller bestemte kendsgerninger. Dette stadigt mere udbredte fænomen kendes i daglig tale som "sortlister". Af forskellige årsager er det vanskeligt at definere dem, eftersom det både er vanskeligt at beskrive deres grundlæggende form og karakter og også er nødvendigt at se på de forskelle, som skyldes forskellige love og retlig- og forfatningsmæssige traditioner i hver medlemsstat 2. Hvis man anlægger en generisk synsvinkel på et muligt grundbegreb, kan en sortliste siges at bestå af indsamling og formidling af særlig information om en bestemt gruppe 1 2 EFT L 281 af , s. 31, kan ses på: Det skal også bemærkes, at lovgivningen om databeskyttelse i nogle medlemsstater ligeledes gælder for juridiske personer. 2

3 af personer, der sammensættes efter særlige kriterier i forhold til den pågældende type sortliste, hvilket generelt medfører negative og skadelige virkninger for dem, der står på listen, og kan diskriminere en gruppe mennesker ved at hindre dem i at få adgang til en bestemt tjenesteydelse eller skade deres rygte. Enhver behandling eller række af behandlinger af personoplysninger, hvad enten den udføres elektronisk eller ej, udgør en behandling af personoplysninger i henhold til direktiv 95/46/EF og er derfor omfattet af de respektive regler, hvormed dette direktiv er gennemført i de forskellige medlemsstater. For at være lovlige skal disse såkaldte sortlister som følge heraf overholde de lovlighedsprincipper, der er fastlagt i direktivet, og respektere de rettigheder, det giver borgerne, medmindre de kan blive omfattet af nogle af de deri indeholdte undtagelser. Dette dokument blev udfærdiget på grundlag af informationer fra EU-medlemsstaternes tilsynsmyndigheder efter en intern høring mellem medlemmerne af Artikel 29-Gruppen, som afdækkede de vigtigste kategorier eller typer af sortlister og deres mest karakteristiske træk. Høringen viste, at visse former for regulerede sortlister er udbredte. Disse lister kan være registre over gæld og strafbare handlinger eller kan vedrøre forebyggelse af svindel, og de har alle hjemmel i forskellige nationale regler. Der findes andre former for "sortlister", der ikke er så almindelige som de ovennævnte, og reglerne for dem er langt fra ensartede. De vigtigste omfatter lister vedrørende administrative overtrædelser, fejl i forbindelse med udøvelsen af et erhverv, oplysninger om ansættelsesforhold, eller filer, der indeholder oplysninger om enkeltpersoners særlige adfærd, som visse sociale sektorer finder upassende. Debitorregistre og oplysningstjenester vedrørende solvens og kredit Denne form for register er måske den sortliste, der har størst betydning for en lang række borgere, og den findes i alle medlemsstater. Behandlingen af personoplysninger giver normalt anledning til det største antal klager til EU s tilsynsmyndigheder vedrørende databeskyttelse. Det første, der kan siges om disse registre er, at alle medlemsstater har fastsat forskellige typer bestemmelser. I nogle tilfælde står de i regler, der har til formål at gennemføre direktiv 95/46/EF i national ret, mens de i andre optræder i regler for den kommercielle eller finansielle sektor. Dette dokument har ikke til formål at vurdere eller afgøre, hvorvidt disse registre er lovlige, da de som sagt har deres retsgrundlag i de enkelte medlemsstater, men det sigter mod at analysere, hvordan de drives og fungerer i praksis. Disse aktiviteter indebærer konsultation af diskrete foretagender med henblik på, normalt via et centralt organ, at samle kundeoplysninger, der direkte har betydelig indflydelse på kommercielle eller servicemæssige forhold. Reguleringen af disse lister er begrundet i virksomhedernes behov for information, så de kan vurdere de risici, der er forbundet med at acceptere at levere tjenesteydelser eller varer på kredit, og de bidrager således til at sikre stabile og ordentlige handelstransaktioner. Der bør sondres klart mellem registre med solvens- og kreditoplysninger og registre, som indeholder oplysninger om brud på betalingsforpligtelser. 3

4 De førstnævnte danner grundlag for at vurdere en persons økonomiske og finansielle evne til at påtage sig en fremtidig kreditforpligtelse. Sidstnævnte opbevarer oplysninger om overholdelse af eller brud på betalingsforpligtelser med det formål at fastslå, hvorvidt en person har undladt at opfylde tidligere forpligtelser. Disse medfører naturligvis en negativ bedømmelse ved senere kreditansøgning. Nogle registre indeholder en positiv opgørelse over en persons betalinger (hvilket er forbudt i visse medlemsstater, da en debitor, som opfylder sine forpligtelser, ikke udgør nogen som helst risiko for det finansielle systems stabilitet, og formidlingen af denne information er i princippet heller ikke nødvendig for at sikre et vellykket kontraktligt forhold mellem parterne). Hvis disse oplysninger indgår i fælles registre, skal der være hjemmel hertil i lovgivningen (f.eks. for at gøre det muligt for de kompetente finansmyndigheder at vurdere den generelle risiko, finansvirksomheder påtager sig), eller også skal de registrerede give deres frie, utvetydige, specifikke og informerede samtykke hertil. I modsætning til sortlisterne oprettes en sådan positivliste ikke med det formål at stemple en gruppe mennesker, men denne type register nævnes alligevel her, fordi det bør erindres, at den vil have samme virkning, hvis den bliver meget udbredt, i kraft af en slags positiv forskelsbehandling (alle, der står på listen, er gode, alle, der ikke står på listen, er dårlige, eller i det mindste suspekte). Der skal også sondres mellem to slags registre vedrørende brud på betalingsforpligtelser: Det første er et kreditorregister, hvor alle en bestemt debitors betalinger registreres, og som udspringer af en kreditors kontraktlige forhold med debitor. Det andet er et såkaldt fælles register, hvor den registeransvarlige er et organ, der leverer oplysninger om solvens- og kreditbedømmelse, som det får fra kreditor. Disse kaldes registre over "dårlige betalere". Normalt indgår flere organer (enten inden for en enkelt sektor eller med en bredere dækning) en aftale med en tredje virksomhed om at videregive oplysninger om kunder, der misligholder lån, til den pågældende virksomhed, hvorefter disse oplysninger lægges ind i det fælles debitorregister, som den dataansvarlige stiller til rådighed for aftaleparterne til brug ved vurdering af deres forskellige kreditmuligheder. Denne form for register, som er særligt relevant, fordi der er tale om at dele og centralisere information og de deltagende virksomheders eller selskabers adgang hertil, er en reel sortliste af personer, der på et hvilket som helst tidspunkt har misligholdt deres tidligere finansielle forpligtelser. Hvis det skal være lovligt at registrere oplysninger heri, skal kreditor i specifikke kontraktlige betingelser forbeholde sig ret til at videregive oplysninger om udestående gæld til et fælles register eller og dette er afgørende den dataansvarlige skal have en legitim interesse i at vide, hvorvidt nogen, der søger om kredit, tidligere har undladt at tilbagebetale et lån. Denne legitime interesse i at opretholde et stabilt finansielt system berettiger derfor til at videregive disse oplysninger til en tredjepart, men da denne foranstaltning har alvorlige negative konsekvenser for de registrerede, skal den træffes uden at tabe direktivets principper af syne, og der skal også etableres særlige sikkerhedsforanstaltninger for at beskytte de registreredes legitime rettigheder. 4

5 Den afvejning af interesser kræver derfor, at videregivelse af oplysninger, som kan have negative følger for de registrerede, skal leve op til en række krav og beskyttelsesforanstaltninger, der er fastsat i direktivet og i medlemsstaternes bestemmelser. a) For det første skal principperne for oplysningernes pålidelighed i henhold til direktivets artikel 6 overholdes. Grundlæggende betyder dette, at en bestemt forfalden gæld skal være ubetalt, og at den debitor, der har ansvaret for at opfylde forpligtelsen, har modtaget en påmindelse med krav om at foretage betalingen. De oplysninger, der indføres i registret, skal være korrekte og ajourførte. Med henblik herpå bliver spørgsmålet om opbevaring eller sletning af en indførelse vedrørende en bestemt gæld, når denne er blevet betalt, særdeles relevant. En del af kriteriet i den forbindelse er behovet for at begrænse den tid, negative oplysninger kan blive i disse registre, men det skal understreges, at der ikke er nogen enstemmig opfattelse af, hvor lang denne periode skal være, og de enkelte medlemsstater har forskellige holdninger til problemet. I nogle lande må denne indførelse ikke opretholdes, når gælden er blevet betalt, selv om det er sket for sent, mens oplysningerne i andre kan blive i registret i en maksimumsperiode, der svinger fra det ene land til det andet 3. Det, der står klart til trods for disse forskelle er, at princippet om ajourføring af oplysninger medfører en forpligtelse til klart at afspejle, at gælden er blevet betalt, selv om indførelsen om misligholdelse af betalingen opretholdes ud over den dato, hvor den fulde tilbagebetaling er foretaget. b) Da oplysningerne om gælden til indførelse i det fælles register ikke kommer fra de registrerede, skal disse have de i artikel 11 i direktivet anførte oplysninger på det tidspunkt, hvor oplysningerne om dem indføres i det fælles register. For at sikre, at disse oplysninger er korrekte, skal der træffes alle rimelige foranstaltninger til at underrette de registrerede. Denne underretning sikrer deres ret til at forsvare sig, og eventuelle fejl kan således undgås (f.eks. med hensyn til at identificere de registrerede eller indføre oplysninger om gæld, som den registrerede ikke betaler, fordi den pågældende er uenig i beløbet eller den leverede tjenesteydelse). c) Et andet aspekt af allerstørste betydning er behovet for at sikre, at borgerne i fuldt omfang har indsigt i oplysningerne i disse registre og retten til at få dem berigtiget eller slettet, når oplysningerne er behæftet med fejl eller indeholder oplysninger, der ikke skulle stå i registret. Det er en uacceptabel praksis at hindre eller nægte disse rettigheder (f.eks. ved at sende borgerne rundt til flere registeransvarlige eller give dem uforståelig information), hvilket hæmmer disse registres nødvendige gennemsigtighed og drift. Derfor bør der på meddelelsen til borgerne om indførelsen af personoplysningerne anføres én kontaktperson, der kan give alle relevante oplysninger og varetage de registreredes udøvelse af deres rettigheder. 3 Undertiden fastsættes opbevaringsperioden også i kontrakten mellem kreditor og debitor, men den kan dog ikke gå ud over denne maksimumsperiode. 5

6 d) Endnu et vigtigt aspekt ved denne type register vedrører edb-behandlede individuelle afgørelser, som er omtalt i direktivets artikel 15. På baggrund af de mange computerprogrammer til vurdering af personers kreditværdighed (kreditvurdering), der florerer i finanskoncerner, er det ubetinget nødvendigt at minde om beskyttelsesforanstaltningerne i artikel 15. Disse beskyttelsesforanstaltninger understøtter en persons ret til ikke at være undergivet den slags afgørelser, undtagen når de er hjemlet i en lov, medmindre afgørelsen blev truffet på den registreredes anmodning ved indgåelse eller opfyldelse af en kontrakt, eller der er bestemmelser, som giver den registrerede mulighed for at forsvare sine legitime interesser og gøre sit synspunkt gældende. Det skal i forbindelse med denne type afgørelse ligeledes erindres, at direktivets artikel 12 fastslår borgernes ret til at kende den logik, der ligger bag enhver edbbehandling, som har ført til den slags afgørelse. Lovovertrædelser Artikel 8, stk. 5 og 6, i direktiv 95/46/EF drejer sig om behandling af oplysninger om lovovertrædelser eller straffedomme 4, og det fastsættes, at en sådan behandling normalt kun må gennemføres under kontrol af en offentlig myndighed, med mindre medlemsstaterne vedtager undtagelser, hvor der gælder tilstrækkelige garantier, så borgernes grundlæggende rettigheder ikke påvirkes, og de skal også meddeles Europa- Kommissionen. Legitimiteten i at behandle den type register, der omfatter oplysninger om lovovertrædelser, ligger i myndighedernes pligt til at opretholde sikkerhed og offentlig orden. Dette princip berettiger uden nogen tvivl denne behandling, forudsat at de i forrige afsnit nævnte restriktioner overholdes i henhold til direktivets artikel 7, litra e). De fleste medlemsstater har registre med personoplysninger om lovovertrædelser, og de kontrolleres af en offentlig myndighed. Ikke desto mindre har forskellige tilsynsmyndigheder konstateret, at registre med dette indhold oprettes og forvaltes privat i deres lande og henviser især til registre i store supermarkeder eller biludlejningsfirmaer. Når tilsynsmyndighederne har opsporet tilfælde, hvor personoplysninger om uønskede kunder bliver indsamlet og behandlet i supermarkeder, lavprisvarehuse eller stormagasiner, har de pålagt den registeransvarlige at ophøre med denne behandling, fordi det er uacceptabelt, at private virksomheder fører den type register. 4 Artikel 8 i direktiv 95/46/EF: ( ) 5. Behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger må kun foretages under kontrol af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig myndighed. Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile retssager ligeledes skal foretages under en offentlig myndigheds kontrol. 6. Undtagelser fra stk. 1 som omhandlet i stk. 4 og 5 meddeles til Kommissionen. 6

7 Denne form for behandling skal altid respektere direktivets principper om oplysningernes pålidelighed og især principperne om, at oplysningerne skal være korrekte og ajourførte. Ligeledes skal der lægges særlig vægt på retten til rutinemæssig eller automatisk berigtigelse og sletning af oplysninger om en registreret person, så snart den lovfæstede periode er udløbet, og med henblik herpå skal de forskellige mekanismer organiseres, så dette kan ske lettere og hurtigere, eftersom det kan have skadelige følger at opbevare oplysninger om en person i disse registre ud over de fastsatte perioder. Dette er især relevant for frifindelsesdomme, begrænsning af ansvar eller frigørelse af en fallents forpligtelser. Det vil ikke tjene noget formål at opbevare den slags oplysninger. Det skal bemærkes, at disse aspekter i de fleste medlemsstater reguleres i straffeloven, og kriterierne i den forbindelse er forskellige. Et andet grundlæggende punkt, der skal overvejes, er spørgsmålet om adgang til information, dvs. at det skal besluttes, hvilke personer eller institutioner der har ret til få indsigt i oplysningerne i disse registre. De registrerede skal også altid have ret til at få indsigt i de oplysninger, der ligger om dem i et register. Denne bestemmelse om indsigt kan give anledning til nogle ret komplekse og problematiske situationer, som f.eks. en situation, hvor den registrerede søger job i en af de medlemsstater, hvor en arbejdsgiver som led i udvælgelsesprocessen kan anmode arbejdstageren om at fremlægge en straffeattest udstedt af en registeransvarlig offentlig myndighed. Ansøgeren vil få en sådan attest, der kan indeholde oplysninger om eventuelle straffedomme eller andre sikkerhedsmæssige foranstaltninger. Arbejdsgiveren vil således få adgang til visse oplysninger, der ikke er direkte retligt anerkendt. Denne hypotese kan kompliceres yderligere i situationer, hvor arbejdsgiveren efterfølgende bruger disse oplysninger, eftersom det i princippet ikke vil være et brud på bestemmelsen i direktivets artikel 8, stk. 5, blot at se de oplysninger, ansøgeren har stillet til rådighed under udvælgelsesprocessen, mens en eventuel senere manuel behandling eller edb-behandling kan være det. Opsporing af svig I visse erhvervssektorer, især i forsikringsbranchen, kan forsøg på svig forekomme så hyppigt og påvirke virksomhedernes aktiviteter så meget, at de opretter mekanismer til at udveksle oplysninger via fælles registre, der kan hjælpe dem med at bekæmpe svig og således mindske deres driftsomkostninger. Fælles eller centrale registre med informationer, der er tilgængelige i selskaberne 5, bruges til at udveksle oplysninger om betalinger foretaget til kunder, som er under mistanke for svig eller overtrædelse af gældende bestemmelser i den pågældende sektor Jf. afsnit 2 i kapitlet om debitorregistre og oplysningstjenester vedrørende solvens og kredit. I nogle lande centraliserer forsikringsselskaber også oplysninger om kunder, der anses for at udgøre en særlig risiko, under anvendelse af kriterier som f.eks. en kundes antal af skader i en bestemt tidsperiode, uden at der altid tages hensyn til kundens ansvar for skaden. Forsikringsselskabernes begrundelse er, at et stort antal skader, selv om kunden ikke er ansvarlig herfor, kan betragtes som et 7

8 Som følge af lighederne mellem begge typer (centrale registre, tredjeparters videregivelse af oplysninger, informationsformidling mellem parterne i systemet osv.) ligner også problemerne og de forskellige beskyttelsesforanstaltninger, der skal iværksættes, dem, der findes i forbindelse med registre over misligholdelse af betalingsforpligtelser eller registre over dårlige betalere, som blev gennemgået ovenfor 7. Sådanne lister skal være i overensstemmelse med reglerne om beskyttelse af personoplysninger: udøvelse af retten til indsigt, meddelelse til den registrerede om, at han/hun er blevet indført i registret 8, opbevaring af oplysningerne i en periode, der står i et rimeligt forhold til det formål, de er indsamlet for at opfylde og forpligtelse til at slette oplysninger, når de ikke længere er nødvendige for opfyldelse af det formål, hvortil de blev indsamlet. Et andet væsentligt spørgsmål vedrører den vigtige etablering af de mekanismer, der er nødvendige for at undgå fejl med hensyn til at identificere de berørte personer (hvilket er særligt relevant i tilfælde af registrerede med almindelige navne), indføre forkert gæld (f.eks. gæld, der er under drøftelse med den registrerede) og med hensyn til referencer til gældsbeløbet, fejl med opdateringen af disse i tilfælde af efterfølgende betalinger osv. 9 Eventuelle fejl af den art skal rettes omgående, så snart de påvises, hvilket indebærer, at der skal oprettes strenge kontrolmekanismer. I de fleste lande er denne form for register privat, og i forbindelse med de interne regler i de forskellige medlemsstater skal det understreges, at de registrerede som regel får at vide, at de er blevet indført i et register i henhold til reglerne herom, selv om de oplysninger, den registrerede får, måske ikke altid er fuldstændige, og det lejlighedsvist kan være vanskeligt for den registrerede at udøve sin ret til indsigt på grund af de vanskeligheder, den pågældende står over for. Andre kategorier af sortlister Vi har foretaget en hurtig gennemgang af de mest udbredte kategorier af sortlister, der distribueres og reguleres i medlemsstaterne, og som de fleste oplysninger derfor ligger i. Men en anden gruppe, som indtil videre ikke har været så udbredt og reguleret, er ikke mindre vigtig i betragtning af de enorme følger, den kan have for de personer, der er opført i den. Bemærkelsesværdige registre i denne kategori indeholder negative foreløbigt element i en formodning for svig. Visse databeskyttelsesmyndigheder har fremhævet, at der sker overtrædelsen af lovgivningen om databeskyttelse i forbindelse med visse aspekter af denne form for behandling, med mindre der findes lovbestemmelser, hvori der fastsættes tilstrækkelige garantier i henhold til national lovgivning. Begrundelserne er de samme: der foreligger en offentlig interesse bekæmpelse af svig, det finansielle systems stabilitet, regulering og beskyttelse af handelstransaktioner osv. eller den registeransvarliges legitime interesser, forudsat at den registreredes interesser eller rettigheder og frihedsrettigheder ikke kommer i første række. En måde, hvorpå fejl og problemer kan undgås, kan være at fastsætte en rimelig periode mellem meddelelsen til den registrerede og den faktiske indførelse af oplysningerne i det fælles register, og den procedure kan også gælde for registre om misligholdelse af betalingsforpligtelser. Dette punkt kan også gælde for de kategorier af sortlister, der er analyseret i dette arbejdsdokument under hensyntagen til de særlige karakteristiske træk ved hver enkelt. 8

9 oplysninger om ansatte eller jobansøgere eller vedrører helbredsspørgsmål, social eller politisk adfærd og fejl i forbindelse med udøvelsen af et erhverv. Der er tale om sortlister, som er baseret på indsamling og formidling af oplysninger, der nyder særlig beskyttelse, fordi de har den største betydning for den registreredes interesser, og det ser ud til, at det er disse registre, tilsynsmyndighederne oftest har problemer med. Disse lister reguleres af direktiv 95/46/EF, artikel 8 10, 13 og I overensstemmelse med direktivet forbyder de fleste medlemsstater behandling af særlige kategorier af personoplysninger uden den registreredes udtrykkelige samtykke. Nogle medlemsstater har fastsat bestemmelser for behandling af den type oplysninger, hvis de er tilladt i henhold til lovgivningen, eller hvis der er legitime samfundsmæssige eller kommercielle interesser på spil 12, eftersom medlemsstaterne i henhold til direktivet kan fastsætte andre undtagelser, der giver mulighed for at behandle især beskyttede oplysninger med forbehold af, at der gives tilstrækkelige garantier 13. På samme måde Artikel 8 i direktiv 95/46/EF: 1. Medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold. 2. Stk. 1 finder ikke anvendelse, hvis: den registrerede udtrykkeligt har givet sit samtykke til en sådan behandling, medmindre det i medlemsstatens lovgivning fastsættes, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke, eller behandlingen er nødvendig for overholdelsen af den registeransvarliges arbejdsretlige forpligtelser og specifikke rettigheder, for så vidt den er tilladt ifølge nationale lovbestemmelser, som fastsætter de fornødne garantier, eller c) behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den pågældende ikke fysisk eller juridisk er i stand til at give sit samtykke, [ ]; 3. Stk. 1 finder ikke anvendelse, hvis behandlingen af oplysningerne er nødvendig med henblik på forebyggende medicin, medicinsk diagnose, sygepleje eller patientbehandling eller forvaltning af læge- og sundhedstjenester, og hvis behandlingen af disse oplysninger foretages af en erhvervsudøvende i sundhedssektoren, der i henhold til den nationale lovgivning eller til regler, der er fastsat af kompetente nationale organer, har tavshedspligt, eller af en anden person med tilsvarende tavshedspligt. Artikel 15 i direktiv 95/46/EF: Edb-behandlede individuelle afgørelser: 1. Medlemsstaterne indrømmer enhver person ret til ikke at være undergivet afgørelser, der har retsvirkning for ham, eller som berører ham i væsentlig grad, og som alene er truffet på grundlag af edb-behandling af oplysninger, der er bestemt til at vurdere bestemte personlige forhold, såsom erhvervsevne, kreditværdighed, pålidelighed, adfærd osv.; 2. Uden at dette berører de øvrige bestemmelser i dette direktiv, fastsætter medlemsstaterne bestemmelser om, at en person kan undergives en afgørelse af den art, der er omhandlet i stk. 1, når: a) den pågældende afgørelse træffes som led i indgåelsen eller opfyldelsen af en kontrakt, såfremt den registreredes anmodning om indgåelse eller opfyldelse af kontrakten er blevet efterkommet, eller der findes passende foranstaltninger til at beskytte den registreredes legitime interesser, som f.eks. mulighed for denne til at gøre sit synspunkt gældende, eller når: b) den pågældende afgørelse er hjemlet i en lov, der indeholder bestemmelser til beskyttelse af den registreredes legitime interesser. Jf. artikel 8, stk. 2, litra b), i direktiv 95/46/EF. Artikel 8, stk. 4, i direktiv 95/46/EF: Med forbehold af, at der gives tilstrækkelige garantier, kan medlemsstaterne af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser, fastsætte andre undtagelser end dem, der er nævnt i stk. 2, enten ved national lovgivning eller ved en afgørelse truffet af tilsynsmyndigheden. 9

10 nedlægger nogle medlemsstater et udtrykkeligt retligt forbud mod at indsamle sortlister over arbejdstagere. I nogle medlemsstater har domstolene nemlig forbudt opbygning af registre, der indeholder oplysninger om politisk overbevisning, fagforeningsmæssigt tilhørsforhold, etiske spørgsmål eller information om arbejdstageres helbredsforhold. Domstolene har påtalt den type register, selv når det, som i de omtalte tilfælde, kun skulle oprettes inden for virksomhedens rammer. For så vidt angår sortlister med andre typer særligt beskyttede oplysninger, såsom oplysninger om helbredsforhold, skal det understreges, at den type registre hovedsagelig opbygges af forsikringsselskaber i forbindelse med tilbud om livsforsikring. Såfremt der i disse tilfælde mangler en regulering med tilstrækkelige beskyttelsesforanstaltninger, kan disse registre kun opbygges med den registreredes frie, specifikke, udtrykkelige og informerede samtykke, som den pågældende har ret til at tilbagekalde. Selv i de tilfælde skal bestemmelserne i direktivets artikel 6 imidlertid overholdes og især skal oprettelsen af disse registre stå i rimeligt forhold til slutmålet. Det er også nødvendigt at fastslå, at ingen specifikke regler i de berørte medlemsstater forbyder denne praksis, selv når den registrerede har givet sit samtykke. Restriktionerne vedrørende edb-behandlede individuelle afgørelser i henhold til artikel 15 i direktiv 95/46/EF skal endnu en gang understreges. Som konkrete eksempler på foranstaltninger i forbindelse med denne type sortliste har visse nationale tilsynsmyndigheder påtalt fælles registre, der var opbygget af en sammenslutning af forsikringsselskaber, og som indeholdt oplysninger om personer, der var blevet nægtet livsforsikring på grund af deres helbredsproblemer. Tilsynsmyndigheden afgjorde, at de skulle slettes eller bringes i overensstemmelse med direktivet, da den mente, at det ikke var et tilstrækkeligt grundlag for oprettelsen af disse lister, at oplysningerne faktisk burde være tilgængelige for de selskaber, der havde indgået kontrakter om livsforsikringer med de registrerede, hvis kontraktlige tilknytning kunne berettige selskabernes opbevaring af disse oplysninger. Sortlister med særligt beskyttede oplysninger vedrørende visse aktiviteter med samfundsmæssige eller politiske konsekvenser findes rent faktisk i nogle medlemsstater (registre eller offentlige sagsmapper over personer, hvis adfærd anses for farlig), men er kun tilladt, når det i lovbestemmelserne om opbygning af disse også er anført, hvilke beskyttelsesforanstaltninger og restriktioner der gælder for indsigt i oplysningerne. Selv om der i den forbindelse er udbredt enighed blandt tilsynsmyndighederne om, at disse lister ikke er lovlige, har nogle medlemsstater oplevet konflikter mellem retten til privatlivets fred for de fysiske personer, der står på listerne, og retten til ytringsfrihed for dem, der udbreder dem; domstolene har i særlige tilfælde støttet sidstnævnte ret i nogle medlemsstater og tilsidesat den i andre. Dette dokument har ikke til formål at analysere retlige afgørelser eller fremsætte en fælles udtalelse om, hvordan balancen mellem disse rettigheder skal være, men det er nødvendigt at minde om, at selv i meget specifikke tilfælde og i medfør af retlige og forfatningsmæssige traditioner, hvor ytringsfrihed bliver fortolket meget bredt, er dette ingen hindring for at respektere principperne om formål og proportionalitet og principperne for, at oplysningerne skal være ajour, samt principperne for udøvelse af 10

11 retten til indsigt og retten til at berigtige og slette data. Hvis det afvises, er tilsynsmyndighederne vedrørende databeskyttelses nødt til at fremsætte en udtalelse. KONKLUSIONER OG HENSTILLINGER Som nævnt i indledningen har dette arbejdsdokument til formål at belyse fænomenet sortlister i EU og beskrive situationen på baggrund af oplysninger fra tilsynsmyndighederne i EU-medlemsstaterne i en intern høring mellem medlemmerne af Artikel 29-Gruppen. Analysen giver anledning til to grundlæggende konklusioner: forekomst, skadevirkninger og følger af denne form for fælles register for fysiske personers private (og sociale) liv og eksistensen af klare uoverensstemmelser mellem regulering og brug af denne form for register i medlemsstaterne. Generelt er det derfor vigtigt at understrege, at der skal være ensartede harmoniserede kriterier 14 for behandling af personoplysninger kaldet sortlister, så der kan fastsættes regler, som sikrer, at de registrerede kan udøve deres rettigheder i henhold til reglerne om beskyttelse af retten til privatlivets fred og personoplysninger. På baggrund af dette dokument er harmoniseringen især relevant i forbindelse med følgende spørgsmål. Betydningen af at fastlægge mekanismer, der klart og gennemskueligt definerer, hvilken type personoplysninger der kan behandles, formålet med denne behandling og beskyttelsesforanstaltningerne for de registrerede (dvs. oprettelse af systemer med henblik på at undersøge og kontrollere de behandlede oplysninger) og de forhold og forudsætninger, hvorunder disse registre kan tillades. Dette bør fastlægges i henhold til principperne for, hvornår behandling er lovlig, der er fastlagt i artikel 7 i direktiv 95/46/EF. Det er også afgørende at ajourføre oplysningerne 15. Det kunne være meget hensigtsmæssigt at definere generelle parametre for standardisering af, hvor længe oplysninger i registre må opbevares eller blokeres. Såfremt der mangler gennemsigtighed i forhold til dette princip om oplysningernes pålidelighed i henhold til direktivet, kan de registrerede stå helt uden beskyttelse, fordi der mangler mekanismer, der efterfølgende kan afhjælpe den forårsagede skade (dvs. i tilfælde af, at oplysninger videregives til tredjemand uden den registreredes vidende). En indsats for at opnå den størst mulige harmonisering af dette spørgsmål må gå i retning af at fjerne de forskellige kriterier, der i øjeblikket findes i de fleste I henhold til direktiv 95/46/EF og de respektive nationale love. Artikel 6, stk. 1, litra d), i direktiv 95/46/EF: Principper vedrørende oplysningernes pålidelighed: 1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger: [...] skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Jf. Debitorregistre og oplysningstjenester vedrørende solvens og kredit ovenfor. 11

12 medlemsstater, og må lette markedsdeltagernes arbejde i forbindelse med konkurrencelovgivningen i overensstemmelse med betragtning 7 i direktiv 95/46/EF 16. Et andet altafgørende aspekt er de registreredes ret til at blive informeret om behandlingen af deres personoplysninger. Hvis dette hovedprincip ikke følges, bliver borgerne sårbare, idet de ikke selv ved, at deres personoplysninger er blevet opført på en sortliste, fordi disse oplysninger er givet af en anden, hvilket forhindrer dem i effektivt at udøve deres ret til indsigt, berigtigelse, sletning og indsigelse 17. Det er væsentligt at indføre klare regler for anmeldelsen til de registrerede, herunder kriterier for rettidig og behørig information og en klar meddelelse om, på hvilke betingelser oplysningerne kan videregives til tredjemand 18. Der kan også fastsættes bestemmelser om, hvilke oplysninger der skal gives til en registreret, når den pågældende nægtes en bestemt tjenesteydelse og en eventuel bestemmelse om den registreredes efterfølgende kontrol (i forbindelse med ovennævnte beskyttelsesforanstaltninger). Det anerkendes nemlig i direktivet, at den registrerede har ret til ikke at være undergivet afgørelser, der har retsvirkning for ham, eller som berører ham i væsentlig grad, og som alene er truffet på grundlag af edb-behandling af oplysninger, der er bestemt til at vurdere bestemte personlige forhold 19. Det bør også overvejes at oprette mekanismer, så den registrerede kan gribe ind, og hvis han har en behørig begrundelse herfor i en eventuel tvist, kræve, at oplysninger om hans synspunkter i tide bliver optaget i registret Forskellen i den beskyttelse af personers rettigheder og frihedsrettigheder, og navnlig retten til privatlivets fred, som de enkelte medlemsstater yder i forbindelse med behandling af personoplysninger, kan forhindre, at oplysninger af denne art videregives fra én medlemsstats område til en anden medlemsstats område; denne forskel kan derved udgøre en hindring for udøvelsen af en række økonomiske aktiviteter på fællesskabsplan, virke konkurrencefordrejende og hindre de nationale myndigheder i at udføre de opgaver, som påhviler dem i henhold til fællesskabsretten; denne forskel i beskyttelsesniveauet hidrører fra forskellene i de nationale love og administrative bestemmelser. Artikel 11 i direktiv 95/46/EF: Oplysningspligt, når oplysningerne ikke er indsamlet hos den registrerede: 1. Når oplysningerne ikke er indsamlet hos den registrerede, fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige eller dennes repræsentant allerede ved registreringen af oplysningerne, eller senest når oplysningerne første gang videregives til tredjemand, skal give den registrerede mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne: a) den registeransvarliges og eventuelt dennes repræsentants identitet; b) formålene med behandlingen; c) alle yderligere informationer som f.eks.: hvilken type oplysninger det drejer sig om; modtagerne eller kategorierne af modtagere; hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede. 2. Bestemmelserne i stk. 1 finder ikke anvendelse, navnlig ikke når behandlingen foretages i statistisk øjemed eller til historiske eller videnskabelige forskningsformål, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssig vanskelig, eller registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved lov. I sådanne tilfælde fastsætter medlemsstaterne de fornødne garantier. Jf. dette dokument vedrørende Debitorregistre og oplysningstjenester vedrørende solvens og kredit. Der erindres om de tilfælde, hvor oplysningerne er afgivet af den registrerede. Jf. artikel 11, stk. 1, i direktiv 95/46/EF. Oplysningspligt, når oplysningerne ikke er indsamlet hos den registrerede. Artikel 15 i direktiv 95/46/EF Edb-behandlede individuelle afgørelser. 12

13 Et andet centralt punkt vedrørende fælles og gensidige centrale registre er de registeransvarliges forpligtelse til at iværksætte de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger og -betingelser for adgang til den slags registre 20. Registre, herunder sortlister, i bestemte sektorer, der leverer vigtige tjenesteydelser (som den finansielle sektor eller telekommunikationssektoren), berører et stort antal borgere, og derfor ønsker gruppen vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger at øge bevidstheden i alle EU s institutioner om behovet for at fortsætte ad den vej, der er skitseret i konklusionerne og understrege behovet for fælles kriterier, retnings- eller indsatslinjer på dette område inden for rammerne af og i overensstemmelse med direktiv 95/46/EF og med medlemsstaternes respektive lovgivninger. Udfærdiget i Bruxelles, den 3. oktober 2002 På arbejdsgruppens vegne Stefano Rodota Formand 20 Artikel 17 i direktiv 95/46/EF Behandlingssikkerhed. 13