text: ( ) Se yttrandet från Europeiska datatillsynsmannen om Prüm, punk- Begränsat handlingsutrymme terna 57-76 och Europeiska datatillsynsmannens tredje yttrande av den 27 april 2007 om förslaget till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, punkt 14 (EUT C 139, 23.6.2007, s. 1). 12. Datatillsynsmannen konstaterar att den omständigheten att 2 ( ) Den senaste utkastet till detta förslag finns i rådets register som genomförandebestämmelser redan finns och är i kraft för dok. 16397/07.

amnesord:
Judicial Cooperation
Police Cooperation
Security
Technologies
Biometrics

title: Implementing rules of Prüm Initiative

text: 10.4.2008 SV Europeiska unionens officiella tidning C 89/1

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om Förbundsrepubliken Tysklands initiativ inför antagandet av rådets beslut om genomförande av beslut 2007/…/RIF om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet

text: (2008/C 89/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA 2. Datatillsynsmannen ombads inte att avge något yttrande YTTRANDE om detta initiativ till genomförandebeslut. Han avger därför detta yttrande på eget initiativ, på samma sätt som hans med beaktande av fördraget om upprättandet av Europeiska yttrande om initiativet till ett rådsbeslut avgavs den gemenskapen, särskilt artikel 286, 4 april 2007 ( ).

text: med beaktande av Europeiska unionens stadga om de grund- 3. Även om en medlemsstat som tar initiativ till en lagstiftläggande rättigheterna, särskilt artikel 8, ningsåtgärd under avdelning VI i EU-fördraget inte har någon rättslig skyldighet att anmoda datatillsyningsmannen med beaktande av Europaparlamentets och rådets direktiv att avge ett yttrande, utesluter förfarandet inte heller att en

text: av den 24 oktober 1995 om skydd för enskilda sådan framställan görs. Dessutom rekommenderade datapersoner med avseende på behandling av personuppgifter och tillsynsmannen i sitt yttrande av den 4 april 2007 att om det fria flödet av sådana uppgifter, följande mening skulle läggas till i artikel 34 i rådets beslut: ”Rådet ska samråda med datatillsynsmannen innan det med beaktande av Europaparlamentets och rådets förordning beslutar om en sådan genomförandeåtgärd”. Tyvärr har

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för denna rekommendation inte följts, trots den logik som enskilda då gemenskapsinstitutionerna och gemenskapsorganen ligger bakom den. Genomförandeåtgärder påverkar i detta behandlar personuppgifter och om den fria rörligheten för fall oftast behandlingen av personuppgifter. Det aktuella sådana uppgifter, särskilt

text: artikel 41

text: , initiativet från Förbundsrepubliken Tyskland är en klar illustration av denna logik.

text: 4. Europeiska datatillsynsmannen drar inte någon tungt HÄRIGENOM FRAMFÖRS FÖLJANDE: vägande slutsats av detta resultat. Det stämmer överens med det tillvägagångssätt som rådet valt, nämligen att ändra initiativet så litet som möjligt för att säkerställa fullständig förenlighet med texten till Prümfördraget, som tidigare I. INLEDNING undertecknats av en rad medlemsstater. Datatillsynsmannen kommer i detta yttrande närmare in på de demokratiska

text: 1. Den 9 november 2007 offentliggjordes i Europeiska unionens konsekvenser som detta tillvägagångssätt har. officiella tidning Förbundsrepubliken Tysklands initiativ inför rådets beslut om genomförande av beslut 2007/…/RIF om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brotts- 1 II. BAKGRUND OCH RÄTTSLIG RAM lighet ( ) (nedan kallat ”initiativet”). Initiativet kompletteras med en bilaga av den 18 oktober 2007 med ytterligare detaljer om genomförandet av beslut 2007/…/RIF (nedan 2 5. Prümfördraget undertecknades i maj 2005 av sju medlemskallad ”bilagan”) ( ). stater utanför EU-fördragets ram. Därefter har andra 1 medlemsstater anslutit sig till fördraget. ( ) EUT C 267, 9.11.2007, s. 4. ( ) Bilagan har ännu inte offentliggjorts i EUT men är offentligt tillgänglig som dokument 11045/1/07 REV 1 ADD 1 i rådets register. ( ) EUT C 169, 21.7.2007, s. 2. C 89/2 SV Europeiska unionens officiella tidning 10.4.2008

text: 6. Prümfördraget kompletteras av ett genomförandeavtal, som Prümfördraget även i detta fall starkt verkar reducera rådets bygger på artikel 44 i Prümfördraget, och antogs den reella handlingsutrymme. Det framgår således av skäl 3 5 december 2006. Detta genomförandeavtal är nödvändigt och artikel 18 i initiativet att både genomförandebeslutet för att Prümfördraget ska fungera såsom avsikten var. och handböckerna ska bygga på de genomförandebestämmelser som antogs den 5 december 2006 beträffande det administrativa och tekniska genomförandet av Prüm- 7. De viktigaste delarna av Prümfördraget kommer att integre- fördraget. Därför måste 27 medlemsstater enligt det nuvaras i Europeiska unionens rättsliga ram, efter antagande av rande initiativet följa den väg som redan har fastställts av de rådets beslut 2007/…/RIF på initiativ av 15 medlemsstater sju medlemsstater som undertecknade Prümfördraget. (nedan kallat ”Prüminitiativet”), om vilket en politisk överenskommelse redan har nåtts i rådet. Denna integrering var redan från början vad de fördragsslutande parterna till 13. Denna strategi är ett hinder för utvecklingen av en verkligt EU-fördraget avsåg, vilket bekräftas i förordet till Prümöppen och demokratisk lagstiftningsprocess, eftersom den i fördraget. betydande omfattning minskar möjligheten till en bred debatt och till beaktande av Europaparlamentets lagstiftande roll och andra institutioners roll som rådgivande organ, 8. Avsikten under det rättsliga förfarande som ledde fram till såsom Europeiska datatillsynsmannen. Datatillsynsmannen antagandet av rådets beslut var inte längre att diskutera rekommenderar att initiativet och dess bilaga diskuteras större frågor utan att nå enighet om Prümfördragets regelöppet och att man därvid effektivt drar nytta av bidragen verk. Denna avsikt var desto viktigare, då ratificeringen av från samtliga institutionella aktörer, även med tanke på den fördraget – i avvaktan på detta rättsliga förfarande – fortroll som medlagstiftare som Europaparlamentet kommer att skred i en rad medlemsstater och fördraget trädde i kraft. spela på detta område, när reformfördraget – som undertecknades den 13 december i Lissabon – träder i kraft. III. SYFTET MED YTTRANDET OCH DESS INRIKTNING Rättslig ram för uppgiftsskydd och kopplingen till utkastet till rambeslut om uppgiftsskydd inom tredje pelaren

text: 9. Detta yttrande kommer att inriktas på utkastet till rådets beslut om genomförandebestämmelserna. De kommentarer som lades fram i det tidigare yttrandet från datatillsynsmannen om rådets beslut om Prüminitiativet har fortsatt 14. Den gällande rättsliga ramen för uppgiftsskydd är kompligiltighet och kommer inte att upprepas, såvida det inte är cerad och varierande. I kapitel 6 i Prüminitiativ fastställs nödvändigt för att framhäva de frågor som lagstiftaren fort- visserligen vissa garantier och särskilda bestämmelser om farande kan ta upp genom genomförandebestämmelserna. uppgiftsskydd. Dessa särskilda bestämmelser är dock inte tillräckliga i sig, utan behöver, för att kunna fungera baseras på en fullt utvecklad och generell ram för skydd för sådana 10. Det är i detta sammanhang viktigt att betona att genom- personuppgifter som behandlas av polismyndigheter och förandebestämmelserna är särskilt betydelsefulla, eftersom rättsliga myndigheter. Artikel 25 i Prüminitiativ hänvisar för de utöver vissa administrativa och tekniska bestämmelser närvarande till Europarådets konvention nr 108. Datapreciserar avgörande aspekter och redskap i systemet och tillsynsmannen har emellertid vid upprepade tillfällen dess sätt att fungera. Till exempel fastställs i kapitel 1 i understrukit behovet av att ytterligare specificera princigenomförandebestämmelserna definitionerna av de termer perna i konvention nr 108 och därmed säkerställa en som används i rådets beslut om Prümfördraget. Vidare uppgiftsskyddsnivå som är hög, harmoniserad och därför fastställs i genomförandebestämmelserna gemensamma skickad att garantera både medborgarnas rättigheter och bestämmelser om utbyte av uppgifter (kapitel 2) och effektiv i brottsbekämpning i ett område av frihet, säkerhet därefter de särskilda reglerna vid utbyte av DNA (kapitel 3), och rättvisa ( ). fingeravtryck (kapitel 4) och uppgifter ur fordonsregister (kapitel 5). Slutbestämmelserna i kapitel 6 innehåller viktiga bestämmelser om antagandet av ytterligare genomförande- 15. Kommissionen föreslog därför redan i oktober 2005 ett bestämmelser i handböcker samt om utvärdering av allmänt instrument, nämligen rådets rambeslut om skydd tillämpningen av beslutet. av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (nedan kallat ”utkast till rambeslut om uppgiftsskydd inom tredje pelaren”). Detta 11. Vidare kommer bilagan att diskuteras i den mån som den förslag har ännu inte antagits av rådet och är således fortbidrar till eller borde bidra till att fastställa detaljer i det farande föremål för diskussion och eventuella ändringar och föreslagna systemet och garantier för de registrerade. eventuellt ytterligare dröjsmål i fråga om antagande och genomförande. Det står nu emellertid klart att detta rambeslut, i sin nuvarande utformning, endast kommer att gälla personuppgifter som utbyts med andra medlemsstater och inte uppgiftsbehandling på nationell nivå ( ). IV. ALLMÄNNA SYNPUNKTER 10.4.2008 SV Europeiska unionens officiella tidning C 89/3

text: 16. Vidare fastställer den nuvarande texten till utkastet till tydlig, effektiv och övergripande rättslig ram beträffande rambeslut om uppgiftsskydd inom tredje pelaren, trots uppgiftsskydd – vilken kombinerar olika rättsliga instrumålsättningen att säkerställa en hög uppgiftsskyddsnivå, ment med generella bestämmelser och specifika garantier – endast en minimiharmonisering och -garantier. Det betyder innan det nuvarande initiativet träder i kraft. att vissa instrument, t.ex. det nuvarande initiativet, som kunde ha dragit nytta av en enhetlig och generell ram för uppgiftsskydd, nu måste behandla de brister, som utkastet till rambeslut inom tredje pelaren uppvisar. 21. Därför kommer datatillsynsmannen i detta yttrande i tillämpliga fall att hänvisa till de frågor som ännu inte (helt) har tagits med i utkastet till rambeslut om uppgiftsskydd inom tredje pelaren och som därför bör beaktas vid genomförandet av systemet i det nuvarande initiativet. 17. Datatillsynsmannen upprepar därför å ena sidan att rådets beslut om Prüm inte bör träda i kraft förrän medlemsstaterna har genomfört ett generellt rambeslut om uppgiftsskydd inom tredje pelaren. Detta villkor bör specifikt fast- Öppenhet i beslutsprocessen och genomförandeställas i initiativet och med förbehåll för lämplig förhands- bestämmelserna kontroll av att uppgiftsskyddsgarantierna inom systemet med uppgiftsutbyte fungerar tillfredsställande. Det är i detta sammanhang också viktigt att säkerställa att kopplingarna mellan de rättsliga instrumenten är klargjorda i syfte att 22. Datatillsynsmannen understryker att öppenhet är ett väsentsäkerställa att rambeslutet om uppgiftsskydd inom tredje ligt element både under beslutsprocessen och i genompelaren fungerar som en lex generalis, samtidigt som andra förandet av bestämmelserna. Öppenhet ska därför å ena specifika garantier och skräddarsydda striktare normer i sidan möjliggöra ett fullständigt och effektivt deltagande av Prüminitiativ kan få tillämpas ( ). alla berörda institutionella aktörer och å andra sidan främja en offentlig debatt och lämplig information till medborgarna.

text: 18. På andra sidan bör lagstiftaren precisera att särskilda uppgiftsskyddsbestämmelser för DNA, fingeravtryck och 23. I detta fall påverkar tyvärr en rad omständigheter denna uppgifter ur fordonsregistret i kapitel 6 i rådets Prümöppenhet: det föreligger inte någon motivering som initiativ inte bara är tillämpliga på utbyte av dessa uppgifter redogör för skälen till de föreslagna åtgärderna, deras effekutan också på insamling, lagring och nationell behandling tivitet och möjliga politiska alternativ, texten till bilagan är samt på tillhandahållandet av ytterligare personuppgifter fortfarande ofullständig – den har till exempel ännu inte inom ramen för rådets beslut. Denna precisering skulle vara offentliggjorts i Europeiska unionens officiella tidning, är inte i överensstämmelse med artikel 24.2 i Prüminitiativ samt översatt till alla officiella språk, hänvisningar till artiklar och en logisk konsekvens av medlemsstaternas skyldighet att terminologi är ofta felaktiga och uttalanden från medlemssamla in, lagra och vidarebefordra ovannämnda typer av staterna om innehållet i DNA-databaserna finns inte uppgifter. tillgängliga. I själva initiativet fastställs inte några skyldigheter eller mekanismer med avseende på lämplig information till medborgarna om de åtgärder som vidtagits och ändringar av dessa åtgärder. 19. Detta är desto viktigare med tanke på att utkastet till rambeslut om uppgiftsskydd inom tredje pelaren förmodligen inte kommer att tillämpas på nationell behandling av 24. Datatillsynsmannen rekommenderar därför att man ökar personuppgifter. Rådet fattade detta beslut men preciserade insynen i åtgärderna, genom att snarast möjligt utarbeta en samtidigt att detta val inte hindrar att den rättsliga grunden slutgiltig version av bilagan och införa mekanismer i syfte omfattar denna typ av behandling. Eftersom det nuvarande att informera medborgarna om detaljerna i systemet, om paketet med initiativ – vilket omfattar Prüminitiativ och medborgarnas rättigheter och hur de ska utöva dessa. genomförandebestämmelserna – medför en skyldighet att Denna upplysningskampanj bör uttryckligen fastställas i inrätta och underhålla vissa databaser, t.ex. DNA-databasen, initiativet eller i dess bilaga. bör det därför också innehålla garantier beträffande den behandling – nämligen insamling och lagring av DNA-profiler – som härrör från insamlingen och lagringen. Om tillämpningen endast omfattade utbyte av personuppgifter, Systemets storlek skulle dessa rättsakter inte innehålla de relevanta bestämmelser om skydd av personuppgifter som varje åtgärd som grundar sig på

text: artikel 30.1 b i EU-fördraget

text: bör omfattas av. 25. Den nuvarande initiativet avspeglar nära de genomförandebestämmelser som har utarbetas inom ramen för Prümfördraget. Så som redan framgår av yttrandet om rådets Prüm- 20. Datatillsynsmannen uppmanar lagstiftaren att i enlighet initiativ (punkterna 33-35), är mekanismer som har utformed

text: artikel 30.1 b i EU-fördraget

text: se till att det inrättas en mats med tanke på ett informationsutbyte mellan några få medlemsstater inte nödvändigtvis lämpliga – och måste 1 därför kanske justeras – när de ska tillämpas på ett system i ( ) Texten i

text: artikel 27

text: b i det senaste utkastet till rambeslut om uppgiftsskydd inom tredje pelaren bör noggrant övervägas och diskuteras i en mycket större skala, t.ex. för ett informationsutbyte förhållande till denna punkt. mellan 27 medlemsstater. C 89/4 SV Europeiska unionens officiella tidning 10.4.2008

text: 26. System i liten skala främjar verkligen nära kontakter mellan ligen fastslås i initiativet i den mån som det i rambeslutet de berörda medlemsstaterna, både när det gäller brotts- om uppgiftsskydd inom tredje pelaren inte upprättas ett bekämpning och övervakning av riskerna för skyddet av mer generellt forum för dataskyddsmyndigheter på EU-nivå. personuppgifter för de registrerade. Detta är inte fallet när det rör sig om ett system i stor skala, där nationell praxis och nationella rättsordningar kan vara mycket olika vad gäller insamling, lagring och behandling av uppgifter, särskilt när det gäller DNA-profiler och fingeravtryck. V. SÄRSKILDA FRÅGOR Vidare kan användningen av olika språk och olika juridiska begrepp påverka korrektheten i uppgiftsutbytet mellan länder med olika rättsliga traditioner. Datatillsynsmannen Definitioner uppmanar därför lagstiftaren att noga beakta systemets storlek under de fortsatta diskussionerna om det nuvarande initiativet, genom att se till att ökningen av antalet del- 31. I artikel 2 i initiativet fastställs en rad definitioner, som tagande medlemsstater inte innebär minskad effektivitet. delvis motsvarar definitionerna i rådets beslut. För det första Det bör särskilt införas specifika format för datakommunibör det understrykas att definitionerna i artikel 2 i initiakation i genomförandebestämmelserna, även med beaktivet inte exakt motsvarar definitionerna i rådets beslut, tande av språkliga olikheter, och uppgiftsutbytets korrekthet särskilt

text: artikel 24

text: . Lagstiftaren bör justera formuleringarna i bör kontinuerligt övervakas. de två texterna i syfte att förhindra genomförandeproblem.

text: 32. För det andra beklagade datatillsynsmannen redan i sitt yttrande om Prüminitiativ att det saknas en klar Medverkan från dataskyddsmyndigheter definition av personuppgifter (punkterna 41-43). Denna brist är ännu mer beklaglig i genomförandebestämmelserna, som föreslås vid en tidpunkt då det redan står klart att rambeslutet om uppgiftsskydd inom tredje pelaren inte kommer att vara tillämpligt på nationell insamling och behandling av personuppgifter, särskilt DNA-profiler. Euro- 27. Initiativet bör erkänna den viktiga roll som de oberoende peiska datatillsynsmannen uppmanar därför lagstiftaren att övervakningsmyndigheterna ska spela vid gränsöverskriännu en gång införa en klar och heltäckande definition av dande uppgiftsutbyte i stor skala och sätta dem i stånd att personuppgifter. effektivt utföra sina uppgifter.

text: 33. I detta hänseende bör genomförandebestämmelserna också precisera tillämpningen av dataskyddsbestämmelserna på oidentifierade DNA-profiler – som ännu inte har kopplats 28. För det första föreskriver den nuvarande rättsliga ramen inte till en identifierad person. Dessa uppgifter samlas in, utbyts att de behöriga tillsynsmyndigheterna ska höras eller delta och jämförs för att kopplas till de personer de tillhör. vid ändringar av genomförandebestämmelserna eller deras Eftersom syftet med systemet är att identifiera dessa bilagor (artikel 18 i initiativet), medlemsstaternas genom- personer och dessa uppgifter i princip endast är oidentifieförande av dataskyddsbestämmelserna (

text: artikel 20

text: ) eller rade temporärt, bör de också omfattas av de flesta om inte utvärderingen av utbytet av uppgifter (

text: artikel 21

text: ). Det är samtliga bestämmelser och garantier som är tillämpliga på exempelvis särskilt olyckligt att kapitel IV i bilagan, som personuppgifter ( ). fastställer detaljerade bestämmelser om utvärdering av genomförandet, överhuvudtaget inte nämner de behöriga dataskyddsmyndigheterna. Datatillsynsmannen rekommen- 34. Även med avseende på definitionen av icke-kodifierande del derar att den viktiga rådgivande roll som dessa myndigheter av DNA (

text: artikel 2 e

text: ) erinrar datatillsynsmannen ännu en spelar uttryckligen erkänns i ovan nämnda artiklar. 2 gång om ( ) att vissa kromosomområdens förmåga att lämna information om en organisms känsliga ärftliga egenskaper kan förbättras efter hand som vetenskapen utvecklas. Därför bör definitionen av icke-kodifierande del göras dynamisk, genom att det införs en skyldighet att inte längre använda de DNA-markörer som på grund av den veten- 29. För det andra bör det i initiativet säkerställas att medlemsskapliga utvecklingen kan lämna information om särskilda staterna ställer de (extra) resurser som krävs till dataskydds- 3 ärftliga egenskaper ( ). myndigheternas förfogande, för att de ska kunna utföra de övervakningsuppgifter som följer av genomförandet av det föreslagna systemet. ( ) För tillämpningen av dataskyddsbestämmelser på DNA-profiler, se artikel 29 i arbetsgruppens yttrande nr 4/2007 av den 20 juni 2007 om personuppgifter,

text: , s. 8-9. I samma yttrande preciseras också ett analogt fall om tillämplighet av dataskyddsbestämmelser på dynamiska IP-adresser, s. 16-17. ( ) Se även yttrande från Europeiska datatillsynsmannen av den 28 februari 2006 om förslaget till rådets rambeslut om utbyte av uppgifter enligt 30. För det tredje bör det av initiativet framgå att de behöriga principen om tillgänglighet (KOM(2005) 490 slutlig), punkt 58-60 (EUT C 116, 17.5.2006). dataskyddsmyndigheterna regelbundet ska sammanträda på 3 ( ) Se i överensstämmelse med detta bilaga I till rådets resolution av den EU-nivå i syfte att samordna sin verksamhet och harmoni- 25 juni 2001 om utbyte av resultat av DNA-analyser (EUT C 187, sera tillämpningen av dessa instrument. Detta ska uttryck- 3.7.2001, s. 1). 10.4.2008 SV Europeiska unionens officiella tidning C 89/5 Exakthet i fråga om automatiska sökningar och jämfö- 39. Enligt samma synsätt rekommenderar datatillsynsmannen relser att medventenheten om att DNA-profiler inte är entydiga identifikatorer ökas, särskilt bland brottsbekämpande aktörer som arbetar med DNA-jämförelser och sökningar: 35. Artikel 8 i initiativet reglerar automatisk sökning och till och med full överenstämmelse i ett visst antal loci jämförelse av DNA-profiler, genom att fastställa att en över- utesluter inte möjligheten av felaktiga överensstämmelser, ensstämmelse endast ska meddelas automatiskt ”om den dvs. möjligheten att en person felaktigt förbinds med en automatiska sökningen eller jämförelsen har resulterat i en över- DNA-profil. Det kan uppstå fel på olika stadier i samband ensstämmelse mellan ett minimiantal loci”. Detta minimiantal med jämförelser och sökningar av DNA-profiler: den dåliga anges i kapitel I i bilagan: varje medlemsstat ska säkerställa kvaliteten på DNA-proverna vid insamlingstillfället, möjliga att de DNA-profiler som görs tillgängliga innehåller minst 6 tekniska fel vid DNA-analysen, fel vid inmatningen eller av 7 EU-”standard”-loci (punkt 1.1 i kapitel I i bilagan). bara på grund av tillfälliga överensstämmelser i specifika Jämförelsen sker mellan värdena av de jämförda loci som loci som jämförs. När det gäller den sista punkten, är både förekommer i den begärande och den anmodade felmarginalen förmodligen högre, när antalet loci minskar DNA-profilen (punkt 1.2). Överensstämmelse konstateras och när databasen blir större. om alla jämförda locis värden är desamma (”full överensstämmelse”) eller om endast ett av värdena är skiljaktligt (”nära överensstämmelse”) (punkt 1.2). Både full överensstämmelse och nära överensstämmelse ska rapporteras (punkt 1.3). 40. Ett liknande resonemang kan föras med avseende på exaktheten när det gäller fingeravtrycköverenstämmelse. Enligt artikel 12 i initiativet ska digitalisering och översändande av 36. Med hänsyn till denna mekanism konstaterar datatillsynsfingeravtrycksuppgifter genomföras med hjälp av ett enhetmannen att överensstämmelsens exakthet är ett väsentligt ligt dataformat, som anges i kapitel II i bilagan. Varje villkor. Ju högre antal loci som överensstämmer, desto medlemsstat ska vidare se till att fingeravtrycksuppgifterna mindre troligt är det att överensstämmelsen mellan de är av tillräckligt god kvalitet, så att de kan jämföras med DNA-profiler som jämfördes är felaktig. Inom den hjälp av det automatiska fingeravtrycksidentifieringssysnuvarande Europeiska unionen varierar förekomsten av och temet (Afis). I kapitel II i bilagan fastställs vissa detaljer strukturen hos DNA-databaser från land till land. Det om det format som skall användas. Därför noterar dataanvänds olika antal och olika uppsättningar loci i olika tillsynsmannen att initiativet och bilagan till detta, i syfte att länder. Bilagan fastställer det minsta antalet loci för överenssäkerställa korrektheten i överensstämmelseförfarandet, i stämmelse till 6, utan att upplysa om den beräknade största möjliga utsträckning bör harmonisera de olika felmarginalen för detta system. Datatillsynsmannen konsta- Afis-system som används i medlemsstaterna och det sätt på terar härvidlag att det i många länder används ett högre vilket dessa system används, särskilt vad gäller procentantal loci för att göra överensstämmelserna exaktare och 1 andelen avvisning av felaktiga överensstämmelser. Enligt reducera antalet felaktiga överensstämmelser ( ). För att datatillsynsmannen bör dessa upplysningar tas med i den korrekt kunna bedöma systemets grad av exakthet är det handbok som ska utarbetas i enlighet med artikel 18.2 i därför viktigt att det lämnas upplysningar om den beräkinitiativet. nade felmarginalen för varje antal jämförda loci.

text: 37. Det betyder också att minimiantalet loci är ett viktigt element och det bör därför snarare fastställas i texten till det nuvarande initiativet än i bilagan (som enligt

text: artikel 18

text: 41. Ett annat mycket viktigt element är att DNA- (och fingeravi initiativet kan ändras av rådet med kvalificerad majoritet trycks-) databaser noga bör avgränsas, eftersom de alltefter utan hörande av Europaparlamentet), för att förhindra att medlemsstat kan innehålla DNA-profiler eller fingeravtryck en minskning av antalet loci påverkar exaktheten. Det bör av olika typer av registrerade (kriminella, misstänkta eller tas vederbörlig hänsyn till möjligheten till felaktigheter och andra personer som var närvarande på brottsplatsen osv.). felaktiga överensstämmelser, genom att det föreskrivs att Trots dessa olikheter avgränsar det aktuella initiativet inte nära överensstämmelser uttryckligen ska rapporteras som de slag av databaser som kommer att användas av varje sådana (så att de mottagande myndigheterna är medvetna medlemsstat och bilagan innehåller ännu inte förklaringar om att denna överensstämmelse inte är lika pålitlig som en om detta. Det kan därför förekomma överensstämmelser full överensstämmelse). mellan DNA och fingeravtryck från icke-homogena och ofta irrelevanta kategorier av registrerade.

text: 38. Dessutom erkänns i själva initiativet möjligheten att sökningar och jämförelser kan resultera i flera överensstämmelser, vilket uttryckligen fastställs i artikel 8 i initiativet vad gäller DNA-profiler och i kapitel 3 (punkt 1.2) i bilagan vad gäller fordon. I alla dessa fall bör ytterligare kontroll 42. Enligt datatillsynsmannen bör det i initiativet preciseras och verifikation äga rum för att avgöra vilka skälen till flera vilka typer av registrerade som kommer att ingå i uppgiftsöverensstämmelser är och vilken av dessa överensstäm- utbytet och hur deras olika status kommer att meddelas melser som är korrekt, innan ytterligare utbyte av person- andra medlemsstater inom ramen för en jämförelse eller en uppgifter sker på basis av denna överensstämmelse. sökning. Initiativet kan t.ex. fastställa en skyldighet att i överensstämmelserapporten upplysa om vilken typ av regis- 1 trerade personer DNA-uppgifterna eller fingeravtrycken har ( ) I Förenade kungariket t.ex. har den nationella DNA-databasen ökat antalet loci för DNA-profiler från 6 till 10, bl.a. för att förbättra syste- jämförts med, i den mån de anmodade myndigheterna mets tillförlitlighet. förfogar över denna information. C 89/6 SV Europeiska unionens officiella tidning 10.4.2008 Utvärdering av uppgiftsutbytet — Därför upprepar datatillsynsmannen å ena sidan att rådets beslut om Prüm inte bör träda i kraft förrän medlemsstaterna har genomfört ett generellt rambeslut 43. Utvärderingen av uppgiftsutbytet enligt artikel 21 i initia- om dataskydd inom tredje pelaren, vilket ska fungera tivet och kapitel 4 i bilagan välkomnas. Dessa bestämmelser som lex generalis, utöver vilket de bestämmelser i Prümär dock endast inriktade på det administrativa, tekniska och initiativ som säkerställer specifika garantier och skräddarfinansiella genomförandet av automatiskt uppgiftsutbyte sydda striktare normer bör tillämpas. utan att överhuvudtaget nämna utvärderingen av genomförandet av dataskyddsbestämmelserna. — På andra sidan bör lagstiftaren precisera att de särskilda 44. Datatillsynsmannen föreslår därför att man särskilt betonar bestämmelserna om uppgiftsskydd i fråga om DNA, utvärderingen av dataskyddsaspekterna av uppgiftsutbytet, fingeravtryck och uppgifter ur fordonsregistret i kapitel 6 varvid särskild uppmärksamhet ägnas de ändamål för vilka i Prüminitiativ inte bara är tillämpliga på utbytet av dessa uppgifterna har utbytts, korrektheten i de utbytta uppgift- uppgifter, utan också på insamling, lagring och nationell erna och felaktiga överensstämmelser, framställningar om behandling av dem samt på tillhandahållandet av ytterlitillgång till personuppgifter, lagringsperiodernas längd och gare personuppgifter inom ramen för rådets beslut. säkerhetsåtgärdernas effektivitet. Härvid bör de relevanta dataskyddsmyndigheterna och experterna delta på vederbörligt sätt, t.ex. genom att det föreskrivs att dataskyddsexperter ska delta i utvärderingsbesök enligt kapitel 4 i — Datatillsynsmannen rekommenderar ökad insyn i åtgärderna, bilagan och att relevanta dataskyddsmyndigheter ska motta genom att snarast möjligt utarbeta en slutgiltig version av den utvärderingsrapport som avses i artikel 20 i initiativet bilagan och genom att införa mekanismer i syfte att inforoch i kapitel 4 i bilagan. mera medborgare om detaljerna i systemet, deras rättigheter och hur de ska utöva dessa. Kommunikationsnät och systemets tekniska aspekter

text: 45. Enligt artikel 4 i initiativet ska all elektroniskt uppgiftsut- — Datatillsynsmannen uppmanar lagstiftaren att ta vederbörlig byte ske med hjälp av kommunikationsnätet ”TESTA II”. I hänsyn till systemets storlek under de fortsatta diskussionerna om det nuvarande initiativet, genom att se till att detta sammanhang nämns i bilagan på sidan 76 punkt 54, att systemet uppfyller dataskyddskraven i förordning ökningen av antalet deltagande medlemsstater inte innebär

text: (EG) nr 45/2001

text: (artiklarna

text: och

text: ) och direktiv minskad effektivitet. Det bör införas specifika format

text: . Datatillsynsmannen rekommenderar att denna för datakommunikation i genomförandebestämmelserna, där information förtydligas, även med hänsyn till den roll som även språkliga differenser beaktas, och det bör kontinuerligt gemenskapsinstitutionerna ska spela i systemet. I detta övervakas att de uppgifter som byts är korrekta. sammanhang bör man fullt ut beakta datatillsynsmannens både övervakande och rådgivande roll enligt förordning

text: (EG) nr 45/2001

text: . — Datatillsynsmannen rekommenderar att den avgörande roll som relevanta dataskyddsmyndigheter spelar uttryckligen 46. När bilagan slutgiltigt har utformats och innehåller alla erkänns i artiklarna om ändringar av genomförandebestämdetaljer och förklaringar av systemet, kommer datatillsyns- melserna och bilagorna till dessa (

text: artikel 18

text: ), om medlemsmannen dessutom att överväga huruvida han ska tillhanda- staternas genomförande av dataskyddsbestämmelserna hålla ytterligare råd om de mer tekniska aspekterna av (

text: artikel 20

text: ) och om utvärderingen av uppgiftsutbytet systemet. (

text: artikel 21

text: ). Initiativet bör vidare säkerställa att medlemsstaterna tillhandahåller sådana (kompletterande) resurser till dataskyddsmyndigheterna som krävs för utförandet av de övervakningsuppgifter som följer av genomförandet av det föreslagna systemet och att de behöriga dataskyddsmyndig- VI. SLUTSATSER heterna regelbundet sammanträder på EU-nivå för att samordna sin verksamhet och harmonisera tillämpningen av dessa instrument. — Datatillsynsmannen rekommenderar att initiativet och dess bilaga diskuteras öppet och att man därvid drar effektiv nytta av bidragen från alla institutionella aktörer, även med tanke på den roll som medlagstiftare som Europaparla- — Europeiska datatillsynsmannen uppmanar därför ännu en mentet kommer att spela på detta område, när reformförgång lagstiftaren att införa en klar och övergripande definidraget – som undertecknades den 13 december i Lissabon – tion av personuppgifter. Mot denna bakgrund bör det i träder i kraft. genomförandebestämmelserna också preciseras hur dataskyddsbestämmelser ska tillämpas på oidentifierade — Datatillsynsmannen uppmanar lagstiftaren att i enlighet med DNA-profiler – som ännu inte är kopplade till en identifiartikel 30.1 b i EU-fördraget säkerställa att det införs en klar, erad person. Datatillsynsmannen erinrar ånyo om att definieffektiv och heltäckande rättslig ram med avseende på skydd tionen av icke-kodifierande del bör vara dynamisk, genom att av personuppgifter – vilken kombinerar olika rättsliga instru- det införs en skyldighet att inte längre använda de ment med generella bestämmelser och specifika garantier – DNA-markörer som på grund av vetenskapens utveckling innan det aktuella initiativet träder i kraft. kan lämna information om särskilda ärftliga egenskaper. 10.4.2008 SV Europeiska unionens officiella tidning C 89/7 — Datatillsynsmannen rekommenderar att det i samband med — Datatillsynsmannen föreslår att man lägger särskild vikt vid automatiska sökningar och jämförelser tas vederbörlig utvärderingen av dataskyddsaspekterna av uppgiftsutbytet, hänsyn till överensstämmelseprocessens exakthet. varvid särskild uppmärksamhet ägnas de ändamål för vilka uppgifterna har utbytts, metoder för att informera registre- — Detta betyder att det med avseende på DNA-jämförelser rade, korrektheten i de utbytta uppgifterna och felaktiga och -sökningar bör upplysas om den beräknade felmaröverensstämmelser, framställningar om tillgång till personginalen för varje antal loci som jämförs, att nära överensuppgifter, lagringsperiodernas längd och säkerhetsåtgärtämmelser uttryckligen bör rapporteras som sådana, att dernas effektivitet. Härvid bör relevanta dataskyddsmyndigdet bör genomföras ytterligare kontroller vid flera överheter och -experter vederbörligen medverka. ensstämmelser och att medvetenheten om att DNA-pro- filer inte är entydiga identifikatorer bör ökas. När det — Datatillsynsmannen rekommenderar att kommunikationsgäller fingeravtryck, bör initiativet i möjligaste mån nätet ”TESTA II” används och att dess överensstämmelse harmonisera de olika Afis-system som används i med förordning

text: (EG) nr 45/2001

text: preciseras, även med medlemsstaterna och det sätt som dessa system används hänsyn till den roll som gemenskapsinstitutionerna ska spela på, särskilt i fråga om procentandelen avvisningar av i systemet. felaktiga överensstämmelser. — Dessutom bör databaser över DNA och fingeravtryck noggrant avgränsas, eftersom de alltefter medlemsstat kan innehålla DNA-profiler och fingeravtryck av olika typer av registrerade. I initiativet bör det preciseras vilka Utfärdat i Bryssel den 19 december 2007. typer av registrerade som kommer att ingå i uppgiftsut- bytet och hur deras olika status kommer att meddelas Peter HUSTINX andra medlemsstater som ett led i en jämförelse eller sökning. Europeisk datatillsynsman