text: I. INLEDNING

identifier: EDPS yttrande (2010)

title: Cooperation in the field of taxation

text: 20.4.2010 Europeiska SV unionens officiella tidning C 101/1

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen över förslaget till rådets direktiv om administrativt samarbete i fråga om beskattning

text: (2010/C 101/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA grund för förslaget ( 5 ). Beslut om denna rättsliga grund

text: YTTRANDE antas i enlighet med ett särskilt lagstiftningsförfarande. Det innebär att rådet enhälligt beslutar om ett förslag från kommissionen efter samråd med Europaparlamentet med beaktande av fördraget om Europeiska unionens funktions och Europeiska ekonomiska och sociala kommittén. sätt, särskilt artikel 16,

text: med beaktande av Europeiska unionens stadga om de grund 3. Kommissionen har inte samrått med Europeiska datatill läggande rättigheterna, särskilt artikel 8, synsmannen enligt

text: artikel 28.2 i förordning (EG) nr 45/2001

text: . Detta yttrande baseras därför på artikel 41.2 i med beaktande av Europaparlamentets och rådets direktiv samma förordning. Europeiska datatillsynsmannen rekom

text: av den 24 oktober 1995 om skydd för enskilda menderar att en hänvisning till detta yttrande förs in i personer med avseende på behandling av personuppgifter och förslagets ingress. om det fria flödet av sådana uppgifter ( 1 ),

text: med beaktande av Europaparlamentets och rådets förordning 4. Ett av de viktigaste syftena med förslaget är att förbättra

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för utbytet av information, som i de flesta fall (även) rör fysiska enskilda då gemenskapsinstitutionerna och gemenskapsorganen personer. Europeiska datatillsynsmannen är medveten om behandlar personuppgifter och om den fria rörligheten för så vikten av att effektivisera det administrativa samarbetet dana uppgifter, särskilt

text: artikel 41

text: ( 2 ). mellan medlemsstater i fråga om beskattning. Europeiska datatillsynsmannen ser också fördelarna med och behovet av att utbyta information men vill understryka att dessa HÄRIGENOM FRAMFÖRS FÖLJANDE. uppgifter måste behandlas i enlighet med EU:s dataskydds regler.

text: 1. Den 2 februari 2009 antog kommissionen ett förslag till rådets direktiv om administrativt samarbete i fråga om be 5. Särskild uppmärksamhet krävs vid gränsöverskridande ut skattning ( 3 ). Förslaget till rådets direktiv är tänkt att ersätta byte av personuppgifter inom EU. Detta innebär en ökad

text: rådets direktiv 77/799/EEG

text: om ömsesidigt bistånd av med databehandling som automatiskt medför större risker för lemsstaternas behöriga myndigheter på direktbeskattning berörda fysiska personers rättigheter och intressen, eftersom ens område ( 4 ). samma personuppgifter – i varje fall – behandlas i mer än en jurisdiktion. Det innebär att det krävs större insatser för att se till att EU:s dataskyddslagstiftning efterlevs. Det leder

text: 2. Efter Lissabonfördragets ikraftträdande den 1 december även till rättsosäkerhet för den registrerade. Aktörer från 2009 utgör artiklarna

text: och

text: i EUF-fördraget rättslig alla andra medlemsstater kan vara inblandade, nationella lagar i dessa andra medlemsstater kan vara tillämpliga ( 1 ) EGT L 281, 23.11.1995, s. 31. och kan skilja sig något från de lagar som den registrerade ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) KOM(2009) 29 slutlig av den 2 februari 2009. ( 4 ) Rådets direktiv

text: av den 19 december 1977 (EGT L 336, ( 5 ) Se KOM(2009) 665 slutlig av den 11 december 2009, bilaga IV, 27.12.1977, s. 15). s. 45. C 101/2 SV Europeiska unionens officiella tidning 20.4.2010 är van vid, eller tillämpas i ett rättssystem som den regi förordning

text: (EG) nr 1798/2003

text: och förordning (EG) nr strerade inte känner till. Det måste tydligt klargöras vilka 2073/2004 ( 2 ). Den 18 augusti 2009 offentliggjorde kom skyldigheter de olika aktörerna har vid gränsöverskridande missionen ett förslag till ändring av förordning (EG) nr informationsutbyte, bland annat för att underlätta behöriga 1798/2003 ( 3 ). Europeiska datatillsynsmannen presenterade myndigheters tillsyn och domstolskontroll i olika samman ett yttrande över förslaget den 30 oktober 2009 ( 4 ). hang.

text: 11. Kommissionen föreslår att det nya direktivets tillämpnings 6. Tyvärr har Europeiska datatillsynsmannen först nyligen fått område utökas från beskattning av inkomst och kapital till kännedom om föreliggande förslag. Detta kan bero på att all indirekt beskattning. Mervärdesskatt och punktskatt är det fortfarande finns ganska lite kunskap om dataskydds fortfarande undantagna från direktivets tillämpningsområde. kraven i beskattningsfrågor. Europeiska datatillsynsmannen Förslaget är dock avsett att anpassa samarbetet enligt det ser tecken på att kunskapen håller på att öka men betonar nya direktivet till samarbetet på dessa båda specifika om att mycket mer kan och måste göras i det avseendet. råden. En del av synpunkterna i del III i detta yttrande kommer därför att likna dem som framfördes i yttrandet av den 30 oktober 2009.

text: 7. Föreliggande förslag är ett tydligt exempel på den bristande kunskapen om dataskydd, eftersom dataskyddsfrågan näs tan helt har ignorerats. Följaktligen är flera punkter i för slaget inte förenliga med gällande dataskyddskrav. II.2 Förslagets innehåll

text: 12. Medan kapitel I i förslaget innehåller flera allmänna bestäm melser handlar kapitel II om informationsutbyte mellan medlemsstater. Detta görs via behöriga myndigheters kon taktkontor som varje medlemsstat utser för tillämpningen 8. Europeiska datatillsynsmannen är medveten om att för av direktivet. Informationsutbytet kan ske på förfrågan, au farandet i Europaparlamentet nästan befinner sig i sitt slut- tomatiskt eller spontant. skede i utskottet. Eftersom man inte har tagit tillräcklig hänsyn till hur det föreslagna samarbetet påverkar dataskyddet anser Europeiska datatillsynsmannen dock att det är nödvändigt att presentera sin syn på frågan. Europeiska datatillsynsmannen önskar att synpunkterna i detta yttrande fortfarande kommer att beaktas och kommer att leda till att 13. Kapitel III i förslaget innehåller bestämmelser om andra förfarandet med administrativt samarbete utvecklas på ett former av administrativt samarbete än informationsutbyte, sätt som respekterar EU-medborgarnas rätt till datatill exempel samtidiga kontroller, administrativ delgivning skydd ( 1 ). och utbyte av bästa praxis och erfarenheter. I kapitel IV anges villkoren för det administrativa samarbetet. Kapitlet innehåller bestämmelser om utlämnande av uppgifter och dokument till andra myndigheter, om förutsättningarna för ett gott samarbete, om standardformulär och standardise II. EU-SAMARBETE I FRÅGA OM BESKATTNING rade datorformat och om användningen av Gemensamma kommunikationsnätet (CCN-nätet). II.1 Bakgrund och tillämpningsområde

text: 9. Föreliggande förslag är som sagt tänkt att ersätta direktiv

text: . Det direktivet som antogs den 19 december 1977 handlar om utbyte av information om beskattning av inkomst och kapital. 14. Kapitel V innehåller en bestämmelse om utvärderingen av det administrativa samarbetet och kapitel VI handlar om informationsutbytet med tredjeländer. I det sista kapitlet, kapitel VII, införs ett kommittéförfarande för antagandet av mer detaljerade regler. 10. Från början gällde direktiv

text: administrativt sam arbete i fråga om mervärdesskatt och punktskatt. Sedan den ( 2 ) Se

text: rådets förordning (EG) nr 1798/2003 av den 7 oktober 2003

text: 7 oktober 2003 respektive den 16 november 2004 be (EUT L 264, 15.10.2003, s. 1) och

text: rådets förordning (EG) nr 2073/2004 av den 16 november 2004

text: , EUT L 359, 4.12.2004, handlas dock dessa skatter i separata rättsakter, nämligen s. 1. ( 3 ) KOM(2009) 427 slutlig av den 18 augusti 2009. ( 1 ) Se även artikel 8 i Europeiska unionens stadga om de grundläggande ( 4 ) Se Europeiska datatillsynsmannens yttrande av den 30 oktober rättigheterna och

text: artikel 16.1 i EUF-fördraget

text: , som båda är bindande 2009, som finns på följande länk: http://www.edps.europa.eu/ för EU:s institutioner och för medlemsstaterna när de genomför EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/ unionens lagstiftning. Opinions/2009/09-10-30_tax_fraud_EN.pdf 20.4.2010 Europeiska SV unionens officiella tidning C 101/3 III. DETALJERAD ANALYS AV FÖRSLAGET bestämmelse, där det står att kommissionen, när den be handlar personuppgifter enligt direktivet, är förbunden att III.1 Tillämpliga dataskyddsregler följa förordning

text: (EG) nr 45/2001

text: 15. I dataskyddslagstiftningen avses med personuppgifter ”varje upplysning som avser en identifierad eller identifierbar fy sisk person” ( 1 ). Det är uppenbart att personuppgifter enligt förslaget till direktiv kommer att behandlas och utbytas av de behöriga myndigheterna i de olika medlemsstaterna. I en 19. Vid behandling av personuppgifter krävs det enligt artik sådan situation är de nationella reglerna om genomförandet larna 16 och 17 i direktiv

text: och

text: artiklarna 21

text: och av direktiv

text: tillämpliga och bör följas. Detta är 22 i förordning

text: (EG) nr 45/2001

text: att sekretessen och säker visserligen självklart, men Europeiska datatillsynsmannen heten vid databehandlingen garanteras. Det framgår inte uppmanar lagstiftaren att för tydlighetens skull införa en uttryckligen av ovannämnda

text: artikel 20

text: om kommissionen hänvisning till direktiv

text: , åtminstone i skälen i är ansvarig för CCN-nätets underhåll och säkerhet ( 3 ). För föreliggande förslag och helst även i en materiell bestäm att undvika tveksamheter om vem som bär ansvaret för att melse, där det står att bestämmelserna i direktivet inte garantera denna sekretess och säkerhet uppmanar Europe påverkar de nationella reglerna om genomförandet av di iska datatillsynsmannen lagstiftaren att tydligare definiera rektiv

text: . kommissionens ansvar i det avseendet, att betona medlems staternas skyldigheter och att betrakta det hela i ljuset av kraven i direktiv

text: och förordning

text: (EG) nr 45/2001

text: 16. Även om kommissionen inte är direkt inblandad i infor mationsutbytet mellan de behöriga myndigheterna visar förslaget till direktiv att kommissionen under vissa omstän digheter kommer att behandla personuppgifter enligt direk tivet. Enligt artikel 20.2 i förslaget är kommissionen ansva III.2 Ändamålsbegränsning, nödvändighet och uppgif rig för ”den utveckling av CCN-nätet som krävs för att ternas kvalitet denna information ska kunna utbytas mellan medlemssta 20. Ett grundläggande krav i dataskyddslagstiftningen är att terna”. Som framgår av

text: artikel 20.3

text: kan detta ansvar under information måste behandlas för särskilda, uttryckligt an vissa omständigheter innebära att kommissionen får till givna och berättigade ändamål och att senare behandling gång till den information som utbyts via systemet. inte får ske på ett sätt som är oförenligt med dessa ända mål ( 4 ). De uppgifter som används för detta ändamål ska vidare vara nödvändiga och de ska vara adekvata och rele vanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till ändamålet ( 5 ). Efter att ha analyserat för 17. Det är inte uteslutet att även andra bestämmelser ger kom slaget till direktiv drar Europeiska datatillsynsmannen slut missionen möjlighet att behandla personuppgifter. Enligt satsen att det förfarande för informationsutbyte som anges i

text: artikel 22

text: ska kommissionen till exempel få tillgång till direktivet på det hela taget inte uppfyller dessa krav. ”all relevant information” som krävs för att utvärdera hur ändamålsenligt det administrativa samarbetet enligt direkti vet är. Kommissionen ska dessutom få tillgång till ”statis tiska uppgifter” och anta en förteckning över dessa enligt kommittéförfarandet i artikel 24 i förslaget.

text: 21. När det gäller ändamålsbegränsningen anges i artikel 5.1 i förslaget, som handlar om informationsutbyte på förfrågan, informationsutbyte som kan vara relevant för en ”korrekt beräkning av sådana skatter som avses i

text: artikel 2

text: ”. I

text: artikel 2

text: fastställs direktivets tillämpningsområde genom 18. När kommissionen behandlar personuppgifter är den för att ange vilka skatter direktivet gäller. Europeiska datatill bunden att följa de dataskyddsregler som gäller EU:s insti synsmannen anser att den korrekta bedömning av skatter tutioner och organ och som anges i förordning (EG) nr som avses inte är tillräckligt exakt. Dessutom framgår det 45/2001 och omfattas av Europeiska datatillsynsmannens inte av artikeln att nödvändigheten av informationsutbytet tillsyn ( 2 ). För tydlighetens skull och för att undvika tvek måste bedömas. samheter om tillämpligheten av förordning

text: (EG) nr 45/2001

text: uppmanar Europeiska datatillsynsmannen lagstif ( 3 ) För relevanta synpunkter, se även Europeiska datatillsynsmannens taren att införa en hänvisning till förordningen, åtminstone yttrande av den 16 september 2008 om förslaget till rådets beslut i skälen i förslaget till direktiv och helst även i en materiell om inrättande av Europeiska informationssystemet för utbyte av uppgifter ur kriminalregister (ECRIS) (EUT C 42, 20.2.2009, s. 1), ( 1 ) Se

text: artikel 2 a i direktiv 95/46/EG

text: och artikel 2 a i förordning (EG) punkt 23 och framåt. nr 45/2001. Se artikel 29-gruppens yttrande 4/2007 av den 20 juni ( 4 ) Se

text: artikel 6 b i direktiv 95/46/EG

text: och artikel 4.1 b i förordning (EG) 2007 för en förklaring av begreppet ”personuppgifter” (tillgänglig på nr 45/2001. följande länk: http://ec.europa.eu/justice_home/fsj/privacy/docs/ ( 5 ) Begreppet ”nödvändighet” återfinns i hela direktiv

text: och wpdocs/2007/wp136_en.pdf). förordning

text: (EG) nr 45/2001

text: . Se framförallt artikel 7 i direktiv ( 2 ) När det gäller behandling av statistiska uppgifter, se Europeiska data

text: och

text: artikel 5 i förordning (EG) nr 45/2001

text: . Kraven på tillsynsmannens yttrande av den 20 maj 2008 (EUT C 308, uppgifternas kvalitet återfinns i

text: artikel 6 d i direktiv 95/46/EG

text: och i 3.12.2008, s. 1.)

text: artikel 4 c i förordning (EG) nr 45/2001

text: . C 101/4 SV Europeiska unionens officiella tidning 20.4.2010

text: 22. I

text: artikel 5.1

text: anges eller begränsas inte heller vilken typ av med principen om ändamålsbegränsning. Det är endast till uppgifter som får utbytas. Som anges ovan tar den upp låtet att behandla personuppgifter för andra ändamål än det ”uppgifter som kan vara relevanta” för en korrekt beräkning ursprungliga på vissa stränga villkor. Principen om ända av nämnda skatter. Enligt

text: artikel 5.1

text: omfattar denna infor målsbegränsning får endast åsidosättas om detta fastställs i mation ”alla uppgifter som avser ett särskilt eller flera sär lag eller om det är nödvändigt av något av de viktiga skäl skilda fall”. I artikel 17.1 i förslaget betonas att denna infor som anges i

text: artikel 13 i direktiv 95/46/EG

text: . Hänvisningen mation även omfattar uppgifter som den tillfrågade med till lagstiftningen i den berörda medlemsstaten i

text: artikel 15.1

text: lemsstaten kanske inte behöver för egna skatteändamål. skulle kunna utgöra ett sådant krav men det är inte till Enligt

text: artikel 5.2

text: ska dessutom den tillfrågade myndigheten räckligt tydligt. Europeiska datatillsynsmannen uppmanar lämna den begärande myndigheten alla relevanta uppgifter därför lagstiftaren att i artikel 15.1 i förslaget lägga till som den har tillgång till eller erhåller till följd av administ att behandlingen av information för andra ändamål än de rativa utredningar. Även i artikel 9 i förslaget, som handlar som avses i

text: artikel 2

text: ”ska ske i enlighet med villkoren i om spontant informationsutbyte, talas det om utbyte av

text: artikel 13 i direktiv 95/46/EG

text: ”. ”alla sådana uppgifter” med tillägget ”enligt

text: artikel 1

text: ”. I

text: artikel 1

text: ges emellertid ingen relevant förklaring. Använd ningen av breda begrepp i artiklarna

text: och

text: tycks främja ett informationsutbyte som omfattar mer än vad som är nödvändigt med hänsyn till ändamålet och strider därför mot principen om uppgifternas kvalitet. III.3 Den registrerades insyn och rättigheter

text: 26. Enligt artiklarna

text: och

text: i direktiv 95/46/EG är den fysiska eller juridiska person som ansvarar för databehand lingen – som med dataskyddsterminologi kallas ”register ansvarig” ( 1 ) – skyldig att informera den registrerade innan uppgifterna samlas in eller, om uppgifterna inte har samlats 23. Artikel 8 i förslaget gör det möjligt att uppfylla de normer in från den registrerade, vid tiden för registreringen av som anges i punkt 20 ovan men endast i fråga om obli personuppgifterna. Den registrerade ska informeras om gatoriskt, automatiskt informationsutbyte utan någon före den registeransvariges identitet, databehandlingens ändamål gående förfrågan. Enligt artikeln ska de typer av uppgifter och ytterligare information, till exempel mottagarna av som ska utbytas fastställas genom kommittéförfarandet. uppgifterna och förekomsten av rättigheter att få tillgång Detta ger kommissionen möjlighet att begränsa och preci till och att erhålla rättelse av uppgifter som rör honom eller sera vilka uppgifter som ska utbytas, vilket ska göras i henne. Artiklarna

text: och

text: i direktiv 95/46/EG kan ses enlighet med dataskyddskraven. I artikeln anges också nöd som en utveckling av den allmänna öppenhetsprincip som vändigheten av informationsutbytet för att göra en korrekt ingår i kravet på en korrekt behandling i artikel 6.1 a i beräkning av sådana skatter som avses i

text: artikel 2

text: och en direktiv

text: . lista på flera specifika omständigheter.

text: Artikel 8

text: gäller dock som sagt bara obligatoriskt automatiskt informationsutbyte och begränsar inte informationsutbyte på förfrågan eller spontant informationsutbyte. Den kritik som framförts ovan mot artiklarna 5, 9 och 17 i förslaget gäller således fortfarande. 27. Europeiska datatillsynsmannen har noterat att förslaget inte innehåller några bestämmelser som rör öppenhetsprincipen, till exempel hur den breda allmänheten ska informeras om informationsutbytet eller hur de registrerade ska informeras om databehandlingen. Europeiska datatillsynsmannen upp manar därför lagstiftaren att anta en bestämmelse som be 24. Mot bakgrund av ovanstående uppmanar Europeiska data handlar öppenheten kring informationsutbytet. tillsynsmannen lagstiftaren att när det gäller informations utbytet mellan behöriga myndigheter, antingen på förfrågan eller spontant, precisera den typ av personuppgifter som får utbytas, bättre definiera för vilka ändamål personuppgifter får utbytas och bedöma nödvändigheten av utbytet, eller åtminstone se till att principen om nödvändighet iakttas. III.4 Överföring av uppgifter till tredjeland

text: 28. I

text: artikel 23

text: ges möjlighet till informationsutbyte med tred jeländer. I den står att ”de behöriga myndigheterna får i enlighet med nationella bestämmelser om överföring av personuppgifter till tredjeland lämna uppgifter som erhållits 25. Principen om ändamålsbegränsning utsätts dessutom för enligt detta direktiv till ett tredjeland”. Europeiska datatill tryck i artikel 15.1 i förslaget. Enligt denna artikel får upp synsmannen uppskattar att kommissionen har varit medve gifter och dokument som erhållits av en behörig myndighet ten om de specifika dataskyddsregler som gäller vid utbyte enligt direktivet utlämnas till andra myndigheter inom av personuppgifter med länder utanför EU. Europeiska da samma medlemsstat, om detta är tillåtet enligt lagstift tatillsynsmannen vill dock understryka att utbytet först och ningen i den medlemsstaten och ”även om uppgifterna skulle kunna användas för andra ändamål än de som avses 1 ( ) Se

text: artikel 2 d i direktiv 95/46/EG

text: och artikel 2 d i förordning (EG) i

text: artikel 2

text: ”. Europeiska datatillsynsmannen vill understryka nr 45/2001. Båda bestämmelser ger möjlighet till ensam eller ge att den sista delen av denna bestämmelse går stick i stäv mensam kontroll (”… ensamt eller tillsammans med andra …”). 20.4.2010 Europeiska SV unionens officiella tidning C 101/5 främst måste ske mellan medlemsstaterna i enlighet med — att införa en hänvisning till förordning (EG) nr dataskyddsreglerna innan en dataskyddsanalys kan göras av 45/2001, åtminstone i skälen i förslaget till direktiv om dessa uppgifter får överföras till tredjeland. och helst även i en materiell bestämmelse, där det står att kommissionen, när den behandlar personupp gifter enligt direktivet, är bunden av bestämmelserna i 29. För tydlighetens skull kan en uttrycklig hänvisning till di förordning

text: (EG) nr 45/2001

text: , rektiv

text: införas i texten där det står att ett sådant utbyte bör ske i enlighet med de nationella regler om ge nomförandet av bestämmelserna i kapitel IV i direktiv — att tydligare definiera kommissionens ansvar för att ga

text: som handlar om överföring av personuppgifter rantera säkerheten i CCN-nätet, betona medlemsstater till tredjeländer. nas skyldigheter i det avseendet och behandla allt detta i ljuset av kraven i direktiv

text: och förordning

text: (EG) nr 45/2001

text: , III.5 Kommittéförfarande

text: 30. Flera frågor med betydelse för dataskyddet kommer att — att när det gäller informationsutbytet mellan behöriga utvecklas närmare i regler som antas i enlighet med det myndigheter, antingen på förfrågan eller spontant, pre kommittéförfarande som anges i artikel 24 i förslaget. cisera den typ av personuppgifter som får utbytas, Även om Europeiska datatillsynsmannen inser det praktiska bättre definiera för vilka ändamål personuppgifter får behovet av att använda ett sådant förfarande vill han under utbytas och bedöma nödvändigheten av utbytet, eller stryka att de huvudsakliga dataskyddsreglerna och garanti åtminstone se till att principen om nödvändighet erna bör anges i ramlagen. iakttas,

text: 31. Europeiska datatillsynsmannen vill betona att om ytterligare regler diskuteras via kommittéförfarandet bör detta göras — att i artikel 15.1 i förslaget lägga till att behandlingen av med dataskyddskraven i direktiv

text: och förordning information för andra ändamål än de som avses i

text: (EG) nr 45/2001

text: i åtanke. Vidare uppmanar Europeiska

text: artikel 2

text: ska ”ske i enlighet med villkoren i

text: artikel 13

text: datatillsynsmannen kommissionen att samarbeta med Euro i direktiv

text: ”, peiska datatillsynsmannen och rådfråga denne om ytterli gare regler med betydelse för dataskyddet diskuteras. — att anta en bestämmelse som behandlar öppenheten kring informationsutbytet, 32. För att garantera att Europeiska datatillsynsmannen deltar när ytterligare regler med betydelse för dataskyddet antas enligt kommittéförfarandet rekommenderar datatillsyns — att i

text: artikel 23.2

text: uttryckligen ange att överföring av mannen lagstiftaren att i

text: artikel 24

text: infoga en fjärde punkt personuppgifter till ett tredjeland bör ske i enlighet där det står att ”Europeiska datatillsynsmannen ska rådfrå med de nationella reglerna om genomförandet av be gas när genomförandeåtgärder rör behandling av person stämmelserna i kapitel IV i direktiv

text: , uppgifter”. — att i

text: artikel 24

text: infoga en fjärde punkt där det står att IV. SLUTSATS OCH REKOMMENDATIONER ”Europeiska datatillsynsmannen ska rådfrågas när ge nomförandeåtgärder rör behandling av personuppgif 33. I detta yttrande har Europeiska datatillsynsmannen rekom ter”. menderat lagstiftaren, Utfärdat i Bryssel den 6 januari 2010 — att införa en hänvisning till direktiv

text: , åtmin stone i skälen i förslaget till direktiv och helst även i en materiell bestämmelse, där det står att bestämmelserna i Peter HUSTINX direktivet inte påverkar de nationella reglerna om ge nomförandet av direktiv

text: , Europeisk datatillsynsmannen


text: Förslaget beskriver i detalj det breda urval av uppgifter som ( 5 )

text: Artikel 4 i förordning (EG) nr 45/2001

text: och artikel 6 i direktiv är åtkomliga för dem som ansvarar för utredningen. Bland

text: . annat ingår personuppgifter som dem som finns registre ( 6 )

text: Artikel 4 e i förordning (EG) nr 45/2001

text: och artikel 6 e i direktiv rade i flygfärdskrivare och alla andra registreringar, under

text: . ( 7 ) Anonymisering innebär att varje senare identifiering av personen sökningsresultaten från de personer som var offer för olyc omöjliggörs. För vissa typer av information, till exempel röstinspel kor och personer som var inblandade i lyftfartygets hand ning, är fullständig anonymisering omöjlig, vilket är en ytterligare havande samt utfrågning av vittnen som kan bli ombedda anledning att tillämpa stränga skyddsåtgärder för att förhindra miss att lämna relevanta uppgifter eller relevant bevisning. bruk.

text: ( 8 ) Samråd hölls med datatillsynsmannen i november 2008, i samband med ett förlikningsförfarande om ett förslag till ett direktiv om grundläggande principer för utredning av olyckor i sjötransportsek 23. Slutligen är även offentliggörandet av passagerarlistan före torn. Med tanke på likheten mellan de båda sammanhangen har mål för vissa villkor. Principen är att listan inte får offent likartade frågeställningar tagits upp, och synpunkterna i kapitel III.4 fokuserar i likhet med svaret på det föregående samrådet på balan liggöras innan alla anhöriga till passagerarna har underrät sen mellan utlämnande av uppgifter under loppet av en utredning tats, och medlemsstaterna får besluta att låta listan vara och uppgiftsskyddet. konfidentiell. Datatillsynsmannen anser att man bör vända ( 9 ) Detta innefattar uppgifter om vittnen, kommunikation mellan per på denna princip. Listan bör i princip hållas konfidentiell, soner som har varit involverade i luftfartygets handhavande och men medlemsstaterna bör i särskilda fall och på lagliga registreringar från enheter för flygkontroll. Det gäller även ”särskilt känsliga” uppgifter, till exempel uppgifter om personers hälsa. ( 10 ) Det bör noteras att direktiv

text: medger undantag från prin ( 11 ) Avidentifiering skulle innebära att proportionalitetsprincipen upp cipen om ändamålsbegränsning endast om detta är lagligt och fylls, förutsatt att det rör sig om fullständig anonymisering, med krävs för att skydda vissa allmänna intressen i enlighet med vill andra ord att det är omöjligt att återidentifiera personen (se koren i

text: artikel 13 i det direktivet

text: . fotnot 5).

text: IV. SLUTSATSER 27. Datatillsynsmannen noterar att observatörer och experter, som kan vara bland annat representanter för flygbolag eller 32. Datatillsynsmannen välkomnar att förordningen uttryckli flygplanstillverkare, kan inbjudas att delta i nätverket. Dessa gen inte påverkar tillämpningen av direktiv

text: och skulle ha tillgång till samma typ av uppgifter som nätver därmed i viss mån tar hänsyn till principerna för uppgifts kets medlemmar, förutom om kommissionen efter bedöm skydd. Med tanke på det sammanhang i vilket personupp ning från fall till fall beslutar att uppgifterna är konfidenti gifterna behandlas anser datatillsynsmannen dock att sär ella och att tillgången till dem ska begränsas. Denna be skilda bestämmelser bör läggas till för att säkerställa en stämmelse kan lämna öppet för tredje parter att få tillgång korrekt behandling. till personuppgifter om exempelvis offer eller vittnen, om dessa uppgifter inte betraktas som konfidentiella. Datatill ( 12 ) Se

text: artikel 9 i förordning (EG) nr 45/2001

text: och artikel 26 i direktiv synsmannen anser att personuppgifter i samband med detta

text: . förslag alltid ska betraktas som konfidentiella. Om detta 13 ( ) Inklusive preciseringar av aspekter som vem som administrerar inte skulle vara fallet bör tredje parters tillgång till person åtkomsträttigheterna till nätverket och vem som garanterar nätver uppgifter begränsas. kets integritet.

text: Peter HUSTINX — att en begränsning införs för hur länge personuppgifter får lagras, Europeisk datatillsynsman

amnesord:
Interoperability
Transfers of data
Transport

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Accidents and incidents in civil aviation

serie: yttranden

text: 21.5.2010 Europeiska SV unionens officiella tidning C 132/1

type: stycke

text: I

type: rubrik

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från europeiska datatillsynsmannenom förslaget till Europaparlamentets och rådets förordning om utredning och förebyggande av olyckor och tillbud inom civil luftfart

text: (2010/C 132/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTT bygger därför på artikel 41.2 i samma förordning. Datatill RANDE synsmannen rekommenderar att en hänvisning till detta yttrande förs i förslagets ingress.

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel 16, 3. Som en allmän kommentar beklagar datatillsynsmannen att inget samråd har hållits men noterar med tillfredsställelse att aspekter som rör skyddet av personuppgifter behandlas i med beaktande av Europeiska unionens stadga om de grund förslaget. Vissa bestämmelser betonar att föreslagna åtgär läggande rättigheterna, särskilt artikel 8, der inte påverkar tillämpningen av direktiv

text: , och insynsskyddet för personuppgifter är en av flera viktiga aspekter av förslaget. med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ), och 4. Datatillsynsmannen har trots detta identifierat vissa brister och oklarheter när det gäller skyddet av personuppgifter. Efter en beskrivning av bakgrunden till förslaget i kapitel II med beaktande av Europaparlamentets och rådets direktiv för kommer kommentarer om dessa brister och oklarheter att ordning

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd utvecklas i kapitel III. för enskilda då gemenskapsinstitutionerna och gemenskapsorga nen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt

text: artikel 41

text: ( 2 ). II. BAKGRUND TILL FÖRSLAGET

text: 5. Förslagets syfte är att aktualisera den gällande förordningen HÄRIGENOM FRAMFÖRS FÖLJANDE. inom området utredning av luftfartsolyckor. De tidigare regler som antogs för 15 år sedan skulle inte längre vara anpassade för den nya gemensamma luftfartsmarknaden I. INLEDNING och till den expertkompetens som krävs för mer komplexa luftfartssystem. Även de växande skillnaderna mellan med

text: 1. Den 29 oktober 2009 antog kommissionen ett förslag till lemsstaternas utredningskapacitet skulle vara en motivering Europaparlamentets och rådets förordning om utredning för ett nytt regelverk som stödjer samarbete och samord och förebyggande av olyckor och tillbud inom civil luft ning mellan nationella utredningsmyndigheter. fart ( 3 ). Den föreslagna förordningen är avsedd att ersätta

text: rådets direktiv 94/56/EG

text: om grundläggande principer för utredning av flyghaverier och tillbud inom civil luftfart ( 4 ). 6. Förslaget är därför koncentrerat till inrättande av ett nytt nätverk av myndigheter för säkerhetsutredning inom civil luftfart för att underlätta ett mer strukturerat samarbete.

text: 2. Samråd med datatillsynsmannen enligt artikel 28.2 i för Förslaget innehåller även bindande regler vars huvudsyfte ordning

text: (EG) nr 45/2001

text: har inte hållits. Detta yttrande är att definiera ömsesidiga rättigheter och skyldigheter för nationella utredningsmyndigheter och för Europeiska byrån ( 1 ) EGT L 281, 23.11.1995, s. 31. 2 för luftfartssäkerhet (Easa), vilket skulle säkerställa att käns ( ) EGT L 8, 12.1.2001, s. 1. ( 3 ) KOM(2009) 611 slutlig. liga uppgifter skyddas och att enhetliga krav införs när det ( 4 ) EGT L 319, 12.12.1994, s. 14. gäller handläggning av säkerhetsrekommendationer. C 132/2 SV Europeiska unionens officiella tidning 21.5.2010

text: 7. Datatillsynsmannen har inga synpunkter på förslagets över 12. Dessa uppgifter finns tillgängliga för utredningsledaren, gripande mål och ger sitt fulla stöd till initiativet att effek hans/hennes experter och rådgivare samt de ackrediterade tivisera utredningarna och därmed förhindra framtida flyg representanterna i den utsträckning som är nödvändig. olyckor. Synpunkterna nedan är inriktade på de aspekter av Även Easa har med några få undantag, bland annat om förslaget som inverkar på skyddet av personuppgifter, sär vittnet inte går med på att hans/hennes uttalanden lämnas skilt behandlingen av uppgifter från passagerarlistor, om ut, rätt att få tillgång till en del av dessa uppgifter medan olycksoffer, deras anhöriga och vittnen samt om flygplans myndigheten deltar i utredningen under utredningsledarens besättningen, under utredningens olika faser och med tanke överinseende. på informationsutbytet mellan utredningsmyndigheter.

text: 13. Förslaget beskriver också under vilka villkor passagerarlistan får göras tillgänglig. Här är ändamålet inte bara knutet till III. ANALYS AV FÖRSLAGET genomförandet av en utredning utan även till behovet av att handha förbindelserna med passagerarnas anhöriga och III.1 Förslagets syfte med medicinska enheter. 8. Skäl 3 och

text: artikel 1

text: tar upp den begränsning som även anges i motiveringen till förslaget, enligt vilken det enda syftet med säkerhetsutredningar ska vara att förhindra fram tida olyckor och tillbud utan att fördela skuld eller ansvar. Datatillsynsmannen välkomnar detta förtydligande, vilket är 14. Datatillsynsmannen välkomnar förslagets detaljgrad när det i linje med den princip om ändamålsbegränsning som gäller villkoren för insamling av personuppgifter i förhål anges i

text: artikel 4 i förordning (EG) nr 45/2001

text: och lande till ändamålet, vilket är i linje med nödvändighets principen ( 5 ) i lagstiftningen om uppgiftsskydd.

text: artikel 6 i direktiv 95/46/EG

text: . Enligt dessa bestämmelser ska personuppgifter behandlas för särskilda, uttryckligt an givna och berättigade ändamål och får inte senare behand las på ett sätt som är oförenligt med dessa ändamål. III.3 Lagring av personuppgifter

text: 15. Datatillsynsmannen förstår behovet av en bred insamling av uppgifter, bland annat personuppgifter, så som anges ovan, men betonar behovet av stränga regler för lagring och 9. Trots att denna begränsning efter ändamålet uttryckligen spridning till tredje part. anges i förslagets inledning är det viktigt att inget undantag vattnar ur denna princip, vilket kommer att diskuteras i kapitel III.4 till III.6.

text: 16. När det gäller lagring tar förslaget i

text: artikel 14

text: upp behovet av att bevara dokument, material och registrerade uppgifter som av uppenbara skäl har samband med utredningens 10. Datatillsynsmannen noterar att utkastet till förordning ut genomförande. Förslaget tycks emellertid inte innehålla nå över sitt huvudsyfte att förbättra flygsäkerheten också fö gon angivelse om hur länge sådan information får lagras. reskriver insamling av personuppgifter i samband med bis Enligt principerna för uppgiftsskydd ( 6 ) ska personuppgifter tånd till offren för flygolyckor och deras anhöriga lagras ”på ett sätt som förhindrar att de registrerade kan (

text: artikel 23

text: ). Datatillsynsmannen ser inget problem med identifieras under en längre tid än vad som är nödvändigt att förena detta ändamål med ändamålet för säkerhetsutred för de ändamål för vilka uppgifterna samlades in eller för ningen.

text: Artikel 1 i förordningen

text: skulle emellertid kunna vilka de senare behandlas”. Följaktligen ska personuppgifter kompletteras så att den på ett lämpligt sätt avspeglar i princip raderas så snart utredningen är avslutad eller lag båda aspekterna av förordningen. ras i anonym form om det inte går att radera dem full ständigt ( 7 ). Alla skäl till att lagra identifierbara uppgifter längre ska anges och motiveras och ska inkludera kriterier som identifierar dem som har rätt att lagra uppgifterna. En bestämmelse om detta bör införas i förslaget, som skulle gälla övergripande för alla personuppgifter som utväxlas III.2 Insamling av uppgifter inom nätverket. 21.5.2010 Europeiska SV unionens officiella tidning C 132/3 III.4 Tillgänglighet till och offentliggörande av uppgif Datatillsynsmannen efterfrågar ett förtydligande av detta ter undantag och ett detaljerat förfarande som innefattar strängare åtgärder för att skydda den registrerades grund 17. Även om det i förslaget anges som en princip att person läggande rättigheter. uppgifter endast ska användas för utredningsändamål och av de parter som ansvarar för utredningar innehåller texten några breda undantag ( 8 ).

text: 20. Datatillsynsmannen efterfrågar även en definition av en typ av känslig säkerhetsinformation i denna artikel, dvs. infor mation som är av ”särskilt känslig och privat natur”. I 18. Detta är fallet när det gäller uttalanden från vittnen som direktiv

text: finns en definition av känsliga uppgifter, kan göras tillgängliga eller användas för andra ändamål än men det är oklart huruvida förslaget hänvisar till denna säkerhetsutredningar om vittnet går med på detta definition. Om målet är att täcka och gå utöver definitionen (

text: artikel 15.1 a

text: ). Datatillsynsmannen anser att ett sådant i direktiv

text: skulle en lämpligare terminologi kunna samtycke från ett vittne bör vara fritt, specifikt och infor hänvisa till uppgifter som är av särskilt personlig och privat merat, och att senare användning av uppgifterna inte bör natur, inklusive såväl känsliga uppgifter enligt direktiv vara för ändamål som skulle vara oförenliga med säkerhets

text: som andra exempel på personuppgifter som lis utredningar. Om dessa villkor inte uppfylls bör samtycket tas i definitionen. Detta skulle kunna klargöras i

text: artikel 2

text: inte användas som grund för senare användning av person (där definitioner ges) eller i artikel 15 i förslaget. uppgifter. Denna kommentar gäller också utnyttjande av samtycke för att göra undantag från principen om ända målsbegränsning (

text: artikel 16

text: 21. Registreringar skyddas i princip på likartat sätt, men de kan i vissa fall göras tillgängliga eller användas för andra ända mål, bland annat för luftvärdighets- eller underhållsända mål, om registreringarna är avidentifierade eller om de 19. Artikel 15 i förslaget innehåller även ett brett undantag kan utlämnas enligt säkra förfaranden. Dessa undantag är som gäller alla typer av känslig säkerhetsinformation ( 9 ). alternativa, inte kumulativa. Datatillsynsmannen frågar sig Sådan information, som i princip är föremål för särskilt varför registreringar inte som regel skulle avidentifieras, dvs. skydd mot missbruk, kan fortfarande utlämnas för vilket 11 anonymiseras ( ): det bör motiveras varför luftvärdighetssom helst annat ändamål än säkerhetsutredningar om den eller underhållsändamål kräver behandling av identifierbara behöriga myndigheten för rättskipning i en medlemsstat personuppgifter. Vidare är det tredje undantaget, som med beslutar detta utifrån ett övervägande allmänintresse och ger utlämnande enligt säkra förfaranden, alltför vagt och balansen mellan fördelarna med att lämna ut uppgifterna inte proportionellt. Om inga särskilda lagliga ändamål och nackdelarna i form av inhemska och internationella nämns bör detta undantag strykas. konsekvenser för utredningar och för hanteringen av säker het inom den civila luftfarten. Datatillsynsmannen anser att detta undantag inte ger tillräcklig rättssäkerhet. Särskilt be greppet ”behörig myndighet för rättskipning” skulle kunna leda till spekulationer. Ett administrativt beslut fattat av ett 22. Samma princip med avidentifiering bör som standard gälla statligt organ (t.ex. ett justitieministerium) skulle inte ha för överföring av information enligt artiklarna

text: och

text: samma legitimitet som beslut som fattas av domstol från i förslaget när det gäller nätverket och överföring av infor fall till fall. Även för domstolsbeslut bör stränga villkor mation. Datatillsynsmannen välkomnar i denna anda om anges: utöver att ändamålet måste vara tillåtet i lag och nämnandet av tystnadsplikt och skyldigheten att överföra att det måste finnas ett övervägande allmänintresse ( 10 ) endast relevant information till relevanta parter. Datatill bör hänsyn tas till de registrerades intressen och grundläg synsmannen stödjer också den princip som tas upp i gande rättigheter. Särskilt det faktum att personuppgifter

text: artikel 19.2

text: , nämligen att anonymiteten hos de personer som lämnas av individen inom ramen för en säkerhets som är inblandade i olyckan eller tillbudet ska skyddas i utredning kan användas emot honom/henne i ett domstols utredningsrapporten. förfarande skulle kunna påverka behandlingens laglighet. C 132/4 SV Europeiska unionens officiella tidning 21.5.2010 grunder kunna besluta att offentliggöra listan, efter att ha 28. Detta är desto viktigare om experter eller observatörer re underrättat alla anhöriga och fått deras samtycke att offent presenterar tredje länder eller om utredningen görs tillsam liggöra deras släktingars namn. Datatillsynsmannen rekom mans med utredare från tredje länder som inte kan erbjuda menderar motsvarande ändring av

text: artikel 22.3

text: . en tillräcklig skyddsnivå. En bestämmelse skulle kunna läg gas till i förslaget som erinrar om att inga personuppgifter får överföras till representanter för ett tredje land som inte erbjuder en lämplig skyddsnivå, förutom när särskilda vill III.5 Informationsutbyte mellan medlemsstaterna och kor uppfylls ( 12 ). Denna bestämmelse skulle gälla särskilt i med tredje länder samband med

text: artikel 8

text: om nätverket och

text: artikel 18

text: om villkoren för överföring av information. 24. Ett av huvudsyftena med utkastet till förordning är att inrätta ett nätverk för utredningsmyndigheterna så att dessa kan utbyta information och erfarenheter. Enligt artikel 8.6 i utkastet till förslag ska de myndigheter för säkerhetsutred ning som deltar i nätverkets arbete utbyta all information 29. Dessa synpunkter gäller åter en allmän princip om anony som de har tillgång till inom ramen för tillämpningen av misering av personuppgifter i ett tidigt stadium av förfaran förordningen. De ska vidta nödvändiga åtgärder för att det och så snart identifiering inte längre krävs för utred säkerställa lämplig sekretess för sådan information, i enlig ningens genomförande, så som redan har nämnts i kapitel het med tillämplig nationell lagstiftning eller gemenskaps III.3. lagstiftning. III.6 Kommissionens och Easas roll 25. Datatillsynsmannen välkomnar de föreskrivna åtgärderna när det gäller sekretess för den berörda informationen, sär 30. Datatillsynsmannen noterar att kommissionen och Easa är skilt skyldigheten att inte lämna ut information som kom involverade i nätverkets funktion (artiklarna

text: och

text: ) och missionen har betraktat som konfidentiell. När det gäller att de i viss mån kommer att ha rätt att delta i säkerhets personuppgifter som behandlas via nätverket anser datatill utredningar (

text: artikel 9

text: ). Datatillsynsmannen erinrar om att synsmannen att dessa skyddsåtgärder bör kompletteras av dessa båda organs behandling av personuppgifter ska följa en skyldighet att säkerställa att uppgifterna är korrekta, att förordning

text: (EG) nr 45/2001

text: och är föremål för datatillsyns de i förekommande fall rättas och att de raderas på ett mannens övervakning. En bestämmelse som gäller denna synkroniserat sätt av alla medlemmar i nätverket som be punkt bör läggas till i förordningen. handlar sådana personuppgifter.

text: 26. Funktionen för det centrala upplag som nämns i 31. Datatillsynsmannen efterfrågar ett klargörande av i vilken

text: artikel 15.3

text: bör klargöras i förhållande till cirkulationen grad nätverket kommer att administreras av kommissionen av information inom nätverket. Särskilt ska det klargöras och via Europeiska unionens tekniska infrastruktur. Om att det centrala upplaget inte alls är kopplat till nätverket syftet skulle vara att använda ett befintligt nätverk bör och att det inte innehåller några personuppgifter, något alla planer på att tillåta driftskompatibilitet med befintliga som datatillsynsmannen har underättats om på informell databaser anges tydligt och motiveras. Datatillsynsmannen väg. Datatillsynsmannen noterar i detta avseende att upp betonar behovet av ett säkert nätverk som är tillgängligt gifter som exempelvis flightnummer kan möjliggöra indi endast för de ändamål som beskrivs i förslaget och för rekt identifiering av individer som är involverade i en flyg behöriga intressenter. Kommissionens och Easas ( 13 ) respek olycka eller ett flygtillbud. Som en minimiregel bör det i tive roller samt rollen för alla andra EU-organ som skulle förordningen preciseras att den information som finns lag vara involverade i administrationen av nätverket bör av rad i ett upplag inte får användas för att spåra personer rättssäkerhetsskäl klargöras i texten. som har varit inblandade i en flygolycka eller ett flygtillbud. 21.5.2010 Europeiska SV unionens officiella tidning C 132/5

text: 33. Detta är desto viktigare med tanke på under vilka omstän — att ett samordnat förfarande säkerställs för tillgång till, digheter uppgifterna behandlas: de gäller i de flesta fall rättelse av och/eller radering av personuppgifter, särskilt personer som direkt eller indirekt påverkas av en allvarlig med avseende på deras överföring till medlemsstaterna olycka och/eller förlust av anhöriga. Detta innebär att be via nätverket, hovet av ett effektivt skydd för dessa personers rättigheter är särskilt stort, liksom en strikt begränsning av överföring eller offentliggörande av personuppgifter. — att överföringen av personuppgifter till representanter för tredje länder får ske endast på villkor att en till 34. Med tanke på att förslagets syfte är att tillåta utredning av räcklig skyddsnivå garanteras, och olyckor eller tillbud och att personuppgifter är relevanta endast då de är nödvändiga inom ramen för en sådan utredning ska sådana uppgifter i princip raderas eller ano — att kommissionens och Easas roller och ansvar i sam nymiseras så snart som möjligt och inte först i samband band med tillämpningen av förordning (EG) nr med slutrapporten. Detta bör garanteras genom att en över 45/2001 klargörs. gripande bestämmelse införs i förordningen.

text: 35. Datatillsynsmannen rekommenderar dessutom Utfärdat i Bryssel den 4 februari 2010 — att undantagen från principen om ändamålsbegränsning definieras och begränsas,

type: vagledning

utgivare: edps