text: Gemensamma förklaringar av Europaparlamentet, rådet och kommissionen: Gemensam förklaring om praktiska bestämmelser för medbeslutandeförfarandet (artikel 251 i EGfördraget) (2007/C, 145/02), EUT C 145, 30.6.2007. COM (2012) 11 final, Europaparlamentets lagstiftningsresolution av den 12 mars 2014 om ett förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet för sådana uppgifter (allmän uppgiftsskyddsförordning), P7_TA(2014)0212: förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning) – utarbetande av allmänna riktlinjer, rådets dokument 9565/15, 11.6.2015. Den långa titeln är Förslag till direktiv om skydd för enskilda personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter, (COM(2012)10 final, Europaparlamentets lagstiftningsresolution av den 12 mars 2014 om förslaget till Europaparlamentets och rådets direktiv om skydd för enskilda personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter, P7_TA(2014)0219. För tider och omfattning när det gäller trepartssamtalen, se Europeiska rådets slutsatser 25-26 juni 2015, EUCO 22/15; en ”färdplan” för trepartssamtalen angavs vid en gemensam presskonferens med parlamentet, rådet och kommissionen http://audiovisual.europarl.europa.eu/AssetDetail.aspx?id=690e8d8d-682d-4755-bfb6a4c100eda4ed [senast hämtad 20.7.2015] men har inte publicerats offentligt. Den allmänna uppgiftsskyddsförordningen kommer att träda i kraft 20 dagar efter att den offentliggjorts i Europeiska unionens officiella tidning och förväntas vara fullständigt tillämplig två år efter att den trätt i kraft (

text: artikel 91

text: ). Utlysning av ledig tjänst som Europeisk datatillsynsman COM/2014/10354 (2014/C 163 A/02), EUT C 163 A/6, 28.5.2014. Datatillsynsmannens strategi för 2015–2019 innehöll löftet att man skulle eftersträva smidiga lösningar som undviker byråkrati, vara fortsatt flexibla när det gäller teknisk innovation och gränsöverskridande flöde av uppgifter samt underlätta för enskilda personer att hävda sina rättigheter effektivare både på nätet och utanför. Se Leading by example: The EDPS Strategy 2015-2019, mars 2015. Europeiska datatillsynsmannens yttrande om reformpaketet om uppgiftsskydd, 7.3.2015. Se bilaga till skrivelse från artikel 29-gruppen till Vĕra Jourová, kommissionär med ansvar för rättsliga frågor, konsumentfrågor och jämställdhet, 17.6.2015. Förordningens materiella och territoriella omfattning är svår att sammanfatta kortfattat. Institutionerna förefaller åtminstone vara överens om att den omfattar organisationer etablerade i EU som är ansvariga för att behandla personuppgifter antingen inom EU eller utanför, organisationer etablerade utanför EU som behandlar personuppgifter för enskilda personer i EU i samband med att erbjuda varor eller tjänster till eller övervaka enskilda personer i EU. (Se

text: artikel 2

text: om materiellt tillämpningsområde och

text: artikel 3

text: om territoriellt tillämpningsområde). 8 Andra resultat var att sju av tio var oroade över att deras information användes för annat syfte än den var insamlad för, en av sju säger att deras uttryckliga medgivande ska krävas i samtliga fall innan deras uppgifter samlas in och behandlas, och två tredjedelar anser att det är viktigt att kunna överföra personlig information från en tidigare tjänsteleverantör till en ny. Särskild Eurobarometer 431 om uppgiftsskydd, juni 2015. Jämförbara resultat från Pew Research 2014 visade att 91 procent av amerikanerna känner att de har förlorat kontrollen över hur företag

text: samlar in och använder personuppgifter, och av dem som använder sociala nätverk är 80 procent oroade över att tredje parter som annonsörer eller företag får deras uppgifter och 64 procent säger att staten borde göra mer för att reglera annonsörerna. Pew Research Privacy Panel Survey, januari 2014. Kommissionen föreslår en omfattande reform av reglerna för uppgiftsskydd för att öka användarnas kontroll av deras uppgifter och minska kostnaderna för företagen. Skrivelse från icke-statliga organisationer till ordförande Juncker, 21.4.2015 https://edri.org/files/DP_letter_Juncker_20150421.pdf och svar från vice ordförande Timmermans kansliansvariga, 17.7.2015 https://edri.org/files/eudatap/Re_EC_EDRi-GDPR.pdf [hämtad 23.7.2015]. Europeiska datatillsynsmannen träffade företrädare för flera av dessa ickestatliga organisationer i maj 2015 för att diskutera deras oro. Se PRESSMEDDELANDE EDPS/2015/04, 1.6.2015, EU Data Protection Reform: the EDPS meets international civil liberties groups. Hela inspelningen av diskussionen finns på Europeiska datatillsynsmannens webbplats (https://secure.edps.europa.eu/EDPSWEB/edps/EDPS/Pressnews/Videos/GDPR_civil_soc).

text: Artikel 2.2 e

text: Artikel 1

text: I

text: artikel 8 i stadgan

text: står [vår fetstil] 1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. 3. En oberoende myndighet ska kontrollera att dessa regler efterlevs.

text: Artikel 10

text: . Till dess att det finns en tydlig och juridiskt bindande definition av ”pseudonymiserade uppgifter”, till skillnad från ”personuppgifter”, måste denna typ av uppgifter omfattas av för reglerna för uppgiftsskydd. Artiklarna

text: och

text: . Med tanke på att det förelegat viss osäkerhet när det gäller betydelsen av ”överensstämmelse” rekommenderar vi, i enlighet med artikel 29-gruppens yttrande 03/2013 om ändamålsbegränsning, en uppsättning allmänna kriterier för bedömning av behandlingens överensstämmelse med reglerna (se

text: artikel 5.2

text: ). 16 Effektiv funktionell separation är ett sätt att säkerställa laglig behandling i avsaknad av samtycke, men berättigat intresse bör inte tolkas överdrivet. En ovillkorlig rättighet att tillämpa undantagsklausuler (”opt-out”) kan också vara ett lämpligt alternativ i vissa situationer. Att bedöma huruvida samtycke lämnas fritt beror delvis på (a) huruvida det föreligger en betydande obalans mellan den registrerade och den registeransvariga och (b) vid behandling enligt

text: artikel 6.1 b

text: , huruvida verkställandet av ett kontrakt eller tillhandahållande av en tjänst förutsätter samtycke till behandling av uppgifter som inte är nödvändiga för detta syfte. (Se

text: artikel 7.4

text: ). Detta speglar bestämmelsen i EU:s konsumentlag: enligt

text: artikel 3.1 i direktiv 93/13/EEG av den 5 april 1993

text: om oskäliga villkor i konsumentavtal, ”Ett avtalsvillkor som inte har varit föremål för individuell förhandling skall anses vara oskäligt om det i strid med kravet på god sed medför en betydande obalans i parternas rättigheter och skyldigheter enligt avtalet till nackdel för konsumenten.” Dessa regler innefattar beslut om lämplighet för angivna sektorer och territorier, periodiska översyner av beslut om lämplighet och bindande regler för företag. Se artiklarna

text: Artikel 73

text: Artikel 76

text: . För svårighet att få upprättelse vid överträdelse av regler om uppgiftsskydd, se rapporten från Europeiska unionens byrå för grundläggande rättigheter, Tillgång till kompensation för uppgiftsskydd i EU:s medlemsstater, 2013. I EU:s regler betonas företagens egenbedömning när det gäller efterlevnad av

text: artikel 101 i fördraget om Europeiska unionens funktionssätt

text: , förbud mot konkurrensbegränsande överenskommelser, eftersom dominerande företag på en marknad har ett ”särskilt ansvar” för att undvika alla åtgärder som kan försämra en effektiv konkurrens (punkt 9 i kommissionens riktlinjer 2009/C 45/02), se Europeiska datatillsynsmannens preliminära yttrande om privatliv och konkurrenskraft i stordataåldern, 14.3.2014. De tre texterna hänvisar på olika sätt till att texterna ska ”utformas på ett begripligt sätt och i en begriplig form genom att använda ett klart och tydligt språk samt tydligt åtskilja detta från övrig information” (skäl 57, Europaparlamentet;

text: artikel 19

text: , kommissionen och rådet), att de ska vara ”tydliga och entydiga” (skäl 99, Europaparlamentet;

text: artikel 10 a

text: Europaparlamentet) och ge ”tydlig och lättbegriplig information” (

text: artikel 10

text: Europaparlamentet,

text: artikel 11

text: Europaparlamentet), och information som är ”koncis, klar och tydlig och lätt tillgänglig” (skäl 25, Europaparlamentet, kommissionen och rådet,

text: artikel 11

text: Europaparlamentet). Bestämmelser om delegerade akter har i stor utsträckning tagits bort i parlamentets och rådets versioner. Vi anser att EU skulle kunna gå längre och lämna dessa tekniska frågor till experterna vid de oberoende myndigheterna. Våra rekommendationer skulle leda till en text på cirka 20 000 ord: den genomsnittliga längden på de tre institutionernas texter är omkring 28 000 ord.

text: Artikel 22

text: . Artiklarna

text: och

text: Artikel 39

text: Artikel 83

text: . Undersökning och arkivering utgör i sig själva inte en rättslig grund för behandling, varför vi rekommenderar att

text: artikel 6.2

text: stryks.

text: Artikel 83 a

text: . Artikel 29-gruppen har utarbetat en vision för styrning, konsekvensmekanismen och en så kallad one stop shop baserat på förtroende för oberoende dataskyddsmyndigheter och formulerat i tre nivåer:  Den enskilda dataskyddsmyndigheten som är stark och har fullständiga resurser för att hantera fall inom deras behörighetsområde.  Effektivt samarbete mellan dataskyddsmyndigheter med tydligt ansvar i gränsöverskridande fall.  Europeiska datatillsynsmannen som måste vara självständig, en egen juridisk person, ha tillräckliga medel, bestående av likvärdiga dataskyddsmyndigheter som arbetar i en anda av solidaritet, med befogenhet att fatta bindande beslut och som har stöd av ett sekretariat som bistår styrelsen via ordföranden. Vi rekommenderar också ett klargörande av tillsynsmyndigheternas behörighet och utnämning av en ledande myndighet vid gränsöverskridande behandling, samtidigt som tillsynsmyndigheternas förmåga att hantera rent lokala fall behålls. Vi rekommenderar också en förenklad version av mekanismen för konsekvens med större tydlighet kring hur fall där tillsynsmyndigheten skulle behöva samråda med Europeiska datatillsynsmannens styrelse ska identifieras och när styrelsen skulle behöva utfärda ett bindande beslut för att trygga en konsekvent tillämpning av förordningen.

text: Kommissionens meddelande En strategi för en inre digital marknad i Europa, COM(2015) 192 final; Europeiska rådets slutsatser juni 2015, EUCO 22/15; Rådets slutsatser om den digitala omvandlingen av den europeiska industrin, 8993/15.

text: Artikel 14 h

text: Artikel 23

text: Artikel 18

text: . Vi rekommenderar dessutom att för att rätten till portabilitet av uppgifter ska vara effektiv ska den ha ett vidare tillämpningsområde, och inte endast tillämpas på behandling som använder uppgifter från den registrerade. Vi rekommenderar exempelvis att begrepp som ”på nätet”, skriftligt” och ”informationssamhället” utelämnas. En möjlighet som vi skulle föredra är att detta sker genom en bestämmelse i själva förordningen. Greenleaf, Graham, Global Data Privacy Laws 2015: 109 Countries, with European Laws Now a Minority (January 30, 2015); (2015) 133 Privacy Laws & Business International Report, February 2015; UNSW Law Research Paper No. 2015-21.

identifier: EDPS yttrande (2015)

amnesord:
General Data Protection Regulation
Rights of the Individual
Accountability

sprak: sv

title: EDPS recommendations on the EU’s options for data protection reform

text: Yttrande 3/2015

type: rubrik

text: Europas stora möjlighet

text: Europeiska datatillsynsmannens rekommendationer om EU:s alternativ för reform av uppgiftsskyddet

text: 28 juli 2015 1 | S i d a

text: Den 24 juni 2015 inledde EU:s tre institutioner, Europaparlamentet, rådet och Europeiska kommissionen, förhandlingar enligt medbeslutandeförfarandet om den föreslagna allmänna uppgiftsskyddsförordningen, genom ett så kallat trepartsmöte. Grunden för mötet är kommissionens förslag från januari 2012, parlamentets lagstiftningsresolution av den 12 mars 2014 och rådets allmänna riktlinjer som antogs den 15 juni 2015. De tre institutionerna ska hantera förordningen som en del av det större reformpaketet om uppgiftsskydd som innefattar det föreslagna direktivet för polisens och domstolars verksamhet. Förfarandet ska vara avslutat under 2015 och sannolikt göra det möjligt att formellt anta båda instrumenten i början av 2016, följt av en tvåårig övergångsperiod.

text: Europeiska datatillsynsmannen (EDPS) är en oberoende institution inom EU. Datatillsynsmannen deltar inte i trepartssamtalen, men är ansvarig enligt artikel 41.2 i förordning 45/2001 ”Vad gäller behandling av personuppgifter… säkerställa att fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till privatliv, respekteras av gemenskapsinstitutionerna och gemenskapsorganen”, och ”…för att ge råd till gemenskapsinstitutionerna och gemenskapsorganen och de registrerade i alla frågor som rör behandling av personuppgifter.” Europeiska datatillsynsmannen och den biträdande datatillsynsmannen utsågs i december 2014, med specifika befogenheter för att bli mer konstruktiva och aktiva och de publicerade i mars 2015 en femårig strategi om hur de avsåg att genomföra dessa befogenheter, och ansvara för att det sker.

text: Detta yttrande är det första steget i datatillsynsmannens strategi. Våra råd bygger på diskussioner med EU-institutionerna, medlemsstaterna, det civila samhället, näringslivet och andra intressenter och syftar till att hjälpa deltagarna i trepartssamtalet att nå rätt samförstånd i tid. Vi diskuterar den allmänna uppgiftsskyddsförordningen i två delar:

text:  Datatillsynsmannens vision för framtidsorienterade regler om uppgiftsskydd med illustrativa exempel på våra rekommendationer.

text:  En bilaga (Bilaga till yttrande 3/2015: Jämförande tabell över texter i den allmänna uppgiftsskyddsförordningen med rekommendationer från datatillsynsmannen) innehållande en tabell med fyra kolumner för att, artikel för artikel, jämföra texten i uppgiftsskyddsförordningen, så som den antagits av kommissionen, parlamentet och rådet, tillsammans med datatillsynsmannens rekommendation.

text: Yttrandet har publicerats på vår webbplats och via en mobilapp. Det kommer att kompletteras under hösten 2015 med rekommendationer både för skälen i den allmänna uppgiftsskyddsförordningen och, när rådet har antagit sin allmänna ståndpunkt om direktivet, om uppgiftsskydd som gäller för polisens och domstolars verksamhet.

text: Datatillsynsmannens fullständiga yttrande om kommissionens föreslagna reformpaket i mars 2012 gäller fortfarande. Tre år senare behövde vi emellertid uppdatera våra råd för att mer direkt delta i medlagstiftarnas yttrande och erbjuda specifika rekommendationer. På samma sätt som 2012 års yttrande är detta yttrande i linje med yttranden och uttalanden i artikel 29-gruppen, inbegripet ”bilagan” om ”huvudsakliga ämnen inför trepartssamtalen” som antogs den 18 juni, och som Europeiska datatillsynsmannen bidrog till som fullvärdig medlem av arbetsgruppen.

text: 2 | S i d a

text: 3 | S i d a

text: En sällsynt möjlighet: Därför är reformen så viktig

text: EU befinner sig på den sista sträckan av en maratonsatsning för att reformera

text: sina regler om personuppgifter. Den allmänna uppgiftsskyddsförordningen kommer sannolikt att under de närmaste årtiondena påverka alla enskilda inom EU, alla organisationer inom EU som behandlar personuppgifter och organisationer utanför EU som behandlar personuppgifter om enskilda i EU. Det är därför dags att skydda enskilda personers grundläggande rättigheter och friheter i framtidens uppgiftsstyrda samhälle.

text: Effektivt uppgiftsskydd ger enskilda styrka och främjar ansvarstagande företag

text: och offentliga myndigheter. Lagstiftningen på området är komplex och teknisk och kräver expertråd, särskilt från oberoende myndigheter inom uppgiftsskydd som inser utmaningen med efterlevnad av reglerna. Den allmänna förordningen om uppgiftsskydd kan bli den längsta i unionens författningssamling, så EU måste nu försöka vara selektiv, fokusera på de bestämmelser som verkligen är nödvändiga och undvika detaljer som oavsiktligt kan leda till att de otillbörligt inkräktar på framtida teknik. Samtliga institutioners texter förespråkar tydlighet och begriplighet vid behandling av personuppgifter: den allmänna uppgiftsskyddsförordningen måste därför tillämpa vad den förespråkar, genom att vara så exakt och lättförståelig som möjligt.

text: Det är parlamentet och rådet som medlagstiftare som måste fastställa den slutliga juridiska texten, som förenklats av kommissionen, som initiativtagare till

text: lagstiftning och som fördragens väktare. Europeiska datatillsynsmannen deltar inte i förhandlingarna i trepartssamtalen, men vi är juridiskt behöriga att ge råd, och göra det aktivt i linje med datatillsynsmannens och biträdande datatillsynsmannens befogenheter om möten, och datatillsynsmannens nyligen framtagna strategi. Yttrandet innehåller över ett decenniums erfarenhet av tillsyn av efterlevnad av uppgiftsskydd och politiska råd för att hjälpa till att vägleda institutionerna i riktning mot ett resultat som gynnar enskilda personers intressen.

text: Lagstiftning är det möjligas konst. De framlagda valmöjligheterna, i form av de texter som kommissionen, parlamentet respektive rådet föredrar, innehåller var och en många hedervärda bestämmelser, men de kan alla förbättras. Resultatet blir inte perfekt enligt vår uppfattning, men vi avser att stödja institutionerna i att nå bästa möjliga resultat. Det är anledningen till att våra rekommendationer håller sig inom gränserna för de tre texterna. Vi drivs av följande tre orubbliga frågor:

text:  En bättre lösning för medborgarna.

text:  Regler som fungerar i praktiken.

text:  Regler som räcker under en generation.

text: Detta yttrande är ett exempel på öppenhet och ansvarighet, två principer som kanske är den mest anmärkningsvärda nyheten i förordningen. Trepartsprocessen granskas mer omfattande än någonsin förut. Våra rekommendationer är offentliga, och vi skulle vilja vädja till alla EU-institutioner att utnyttja initiativet och föregå med gott exempel så att denna lagstiftningsreform blir resultatet av en öppen process och inte en hemlig kompromiss.

text: 4 | S i d a

text: EU-behöver en ny och uppfräschad lösning på uppgiftsskyddet. Den övriga världen följer oss noga. Kvaliteten på den nya lagen och hur den interagerar med internationella juridiska system och trender är av största vikt. Med detta yttrande signalerar Europeiska datatillsynsmannen sin vilja och tillgänglighet för att bidra till att EU gör det bästa av denna historiska möjlighet.

text: 5 | S i d a

text: 1 En bättre lösning för medborgarna

text: EU:s regler har alltid syftat till att underlätta uppgiftsflöden, både inom EU och mellan EU och andra handelspartner, dock alltid med en övergripande omsorg om den enskilda personens rättigheter och friheter. Internet har möjliggjort en aldrig tidigare skådad nivå av kommunikationflöden och kontaktytor, med möjligheter att uttrycka sig och räckvidd för att leverera värde till företag och konsumenter. Men det innebär också att integriteten spelar en större roll än någonsin för européerna. Enligt undersökningen i Eurobarometern om uppgiftsskydd i juni 2015, är det fler än sex av tio medborgare som inte litar på företag på nätet och två tredjedelar är oroade över att inte ha fullständig kontroll över den information de tillhandahåller över nätet.

text: Den reformerade ramen behöver bibehålla och, där så är möjligt, även höja nivån på skyddet för den enskilde. Reformpaketet om uppgiftsskydd föreslogs först som ett verktyg för att ”stärka rätten till integritet på nätet” genom att se till att ”människor blir bättre informerade om sina rättigheter och får större kontroll över sina uppgifter.” Företrädare för organisationer i det civila samhället skrev till Europeiska kommissionen i april 2015 för att be institutionerna att hålla sig till dessa avsikter även i fortsättningen.

text: Befintliga principer som anges i stadgan, EU:s primärrätt, ska tillämpas konsekvent, dynamiskt och innovativt så att de är ändamålsenliga för medborgaren i praktiken. Reformen behöver vara omfattande, därav satsningen på ett paket, men eftersom uppgiftsskydd kan sortera under separata rättsliga instrument måste det framgå tydligt vad de omfattar och hur de samverkar, och det får inte finnas några kryphål för kompromisser när det gäller garantier.

text: För Europeiska datatillsynsmannen är utgångspunkten att den enskildes värdighet alltid måste gå före en rent juridisk efterlevnad av lagstiftningen. Våra rekommendationer bygger på en bedömning av varje artikel i den allmänna förordningen om uppgiftsskydd, enskilt och tillsammans, utifrån om den kommer att stärka den enskildes ställning jämfört med den nuvarande ramen. Referenspunkten är principerna som står i centrum för uppgiftsskyddet, dvs.

text: artikel 8 i stadgan

text: om de grundläggande rättigheterna.

text: 1. Definitioner: låt oss vara tydliga om vad personuppgifter är

text:  Enskilda ska kunna utöva sina rättigheter effektivare när det gäller all information som kan identifiera eller peka ut dem, även om informationen anses vara ”pseudonymiserad”.

text: 2. All behandling av uppgifter måste vara både laglig och motiverad

text:  Kraven att all behandling av uppgifter ska vara begränsad till specifika syften och vila på rättslig grund, är kumulativa, inte alternativa. Vi rekommenderar att sammanflätning undviks vilket skulle försvaga dessa principer. I stället bör EU upprätthålla, förenkla och praktiskt genomdriva sin fastställda uppfattning att personuppgifter endast bör användas på sätt som är förenliga med det ursprungliga syftet till insamlandet.

text: S i d a

text:  Samtycke är en möjlig rättslig grund för behandling, men vi behöver förebygga tvingande kryssrutor när det inte finns något meningsfullt val för den enskilde och när det inte finns något behov av att behandla uppgifter över huvudtaget. Vi rekommenderar att man låter människor ge ett brett eller begränsat samtycke, exempelvis till klinisk forskning, som respekteras och som kan dras tillbaka.

text:  Europeiska datatillsynsmannen stöder sunda, innovativa lösningar för internationell överföring av personuppgifter som underlättar uppgiftsutbyte och respekterar principerna för uppgiftsskydd och övervakning. Vi är starkt emot att tillåta överföring på grundval av den registeransvarigas berättigade intressen på grund av det otillräckliga skyddet för den enskilde, och EU ska inte heller öppna dörren för att tredjeländers myndigheter ska få direktåtkomst till uppgifter som finns inom EU. En begäran om överföring från myndigheter i ett tredjeland ska endast godkännas om den respekterar normerna i fördrag om ömsesidig rättslig hjälp, internationella överenskommelser eller andra lagliga kanaler för internationellt samarbete.

text: 3. Mer oberoende, mer central tillsyn

text:  EU:s myndigheter för uppgiftsskydd ska vara beredda att utöva sina roller så snart den allmänna uppgiftsskyddsförordningen träder i kraft, och Europeiska dataskyddsstyrelsen är fullt operativ så snart förordningen blir tillämplig.

text:  Myndigheterna ska kunna pröva och utreda klagomål och krav från registrerade eller organ, organisationer eller föreningar.

text:  Verkställande av enskilda rättigheter kräver ett effektivt system för ansvar och ersättning för skada som orsakats av olaglig behandling av uppgifter. Med tanke på de tydliga hindren mot att få upprättelse i praktiken, ska enskilda kunna företrädas av organ, organisationer och föreningar vid rättsliga förfaranden.

text: 2 Regler som fungerar i praktiken

text: Garantier ska inte förväxlas med formaliteter. Överdrivna detaljer eller försök vid mikroförvaltning av företagsprocesser riskerar att bli omoderna i framtiden. Här kan vi följa exemplet i EU:s konkurrensmanual, där en relativt liten grupp av sekundärlagstiftning rigoröst verkställs och uppmuntrar till en kultur av ansvarighet och medvetenhet bland företagen.

text: I samtliga tre texter krävs större tydlighet och enkelhet från de ansvariga för behandlingen av personuppgifter. På samma sätt måste tekniska skyldigheter också vara exakta och lättförståeliga om de ska genomföras korrekt av registeransvariga.

text: Befintliga förfaranden är inte heliga: våra rekommendationer syftar till att hitta sätt att avbyråkratisera, minimera föreskrifterna för dokumentation och irrelevanta formaliteter. Vi rekommenderar lagstiftning endast när det är absolut nödvändigt. Detta ger manöverutrymme oavsett om det gäller företag, offentliga myndigheter eller myndigheter för uppgiftsskydd: ett utrymme som måste fyllas med ansvarighet och rådgivning från myndigheter för uppgiftsskydd. Totalt skulle våra rekommendationer åstadkomma en text i den allmänna uppgiftsskyddsförordningen som är närmare 30 procent kortare än den genomsnittliga längden från de tre institutionerna.

text: S i d a

text: 1. Effektivt skydd, inte förfaranden

text:  Dokumentation ska vara ett sätt, inte ett mål för efterlevnad, och reformen måste fokusera på resultat. Vi rekommenderar ett skalbart synsätt som minskar dokumentationsskyldigheterna för de registeransvariga till en enda policy för hur överensstämmelse med reglerna uppnås, med beaktande av riskerna, där överensstämmelse ska visas på ett öppet sätt, oavsett om det gäller överföringar, kontrakt med uppgiftsbehandlare eller meddelanden om överträdelse.

text:  På grundval av uttryckliga kriterier för riskbedömning, och till följd av vår erfarenhet av att övervaka EU-institutionerna, rekommenderar vi att man kräver anmälan av personuppgiftsbrott till tillsynsmyndigheten och konsekvensbedömningar av uppgiftsskydd endast när rättigheter och friheter för de registrerade riskeras.

text:  Branschinitiativ, vare sig det sker via bindande företagsregler eller privata överenskommelser, bör uppmuntras aktivt.

text: 2. Bättre balans mellan offentliga intressen och skydd av personuppgifter

text:  Regler för uppgiftsskydd ska inte hindra historisk, statistisk eller vetenskaplig forskning som verkligen ligger i allmänhetens intresse. De som ansvarar för detta måste vidta nödvändiga åtgärder för att förebygga att personuppgifter används i strid med den enskildes intressen, och särskilt uppmärksamma reglerna för känslig information rörande exempelvis hälsa.

text:  Forskare och arkivarier ska kunna lagra uppgifter så länge det behövs baserat på dessa garantier.

text: 3. Tillit och bemyndigande för tillsynsmyndigheter

text:  Vi rekommenderar att tillsynsmyndigheter får möjlighet att utfärda riktlinjer till registeransvariga och utveckla sina egna interna förfaranderegler i en anda av förenklad, enklare tillämpning av den allmänna förordningen om uppgiftsskydd genom en enda tillsynsmyndighet (”one stop shop”) nära medborgaren (”närhetsprincipen”).

text:  Myndigheterna ska kunna fastställa effektiva, proportionerliga och avvärjande sanktioner på grundval av alla relevanta omständigheter.

text: 3 Regler som håller en generation

text: Huvudpelaren i den nuvarande ramen, direktiv

text: , har stått modell för ytterligare lagstiftning om behandling av uppgifter i EU och i övriga världen, och till och med legat till grund för ordalydelsen i rätten till skydd av personuppgifter i

text: artikel 8 i stadgan

text: om de grundläggande rättigheterna. Reformen kommer att forma behandlingen av uppgifter för en generation som inte vet hur det är att leva utan internet. EU måste därför fullt ut förstå effekten av denna handling för enskilda personer och dess hållbarhet när det gäller teknisk utveckling.

text: Under de senaste åren har generering, insamling, analys och utbyte av personuppgifter ökat exponentiellt, vilket är resultatet av tekniska innovationer som internet,

text: S i d a

text: molntjänster, stordata och öppna data, vars utnyttjande EU anser grundläggande för sin konkurrenskraft. Med tanke på livslängden för direktiv

text: är det rimligt att förvänta sig en liknande tidsram innan nästa stora revidering av reglerna för uppgiftsskydd äger rum, kanske först i slutet av 2030-talet. Långt innan dess kan datadriven teknik förväntas ha sammankopplats med artificiell intelligens, behandling av naturligt tal och biometriska system, vilket förser applikationer med maskinlärningsförmåga för avancerad intelligens.

text: Dessa tekniker utmanar principerna för uppgiftsskydd. En framtidsorienterad reform måste därför bygga på den enskildes värdighet och kännetecknas av etik. Den måste återupprätta obalansen mellan innovation inom skydd av personuppgifter och dess utnyttjande, och göra garantierna effektiva i vårt digitaliserade samhälle.

text: 1. Ansvarig affärspraxis och innovativ teknik

text:  Reformen bör vända den senaste trenden i riktning mot hemlig spårning och beslutsfattande på grundval av profiler som döljs för den enskilde. Problemet är inte riktad reklam eller praxis med profilering, utan snarare bristen på meningsfull information om den algoritmiska logik som utvecklar dessa profiler och påverkar den registrerade. Vi rekommenderar större öppenhet från de registeransvariga.

text:  Vi stöder starkt införandet av principerna om inbyggt uppgiftsskydd och uppgiftsskydd som standard som ett sätt att kickstarta marknadsdrivna lösningar i den digitala ekonomin. Vi rekommenderar enklare ordalydelse för att kräva att den enskildes rättigheter och intressen integreras i produktutveckling och standardinställningar.

text: 2. Starka individer

text:  Portabilitet för uppgifter är inkörsporten i den digitala miljön till den användarkontroll som enskilda nu inser att de saknar. Vi rekommenderar att direkt överföring av uppgifter tillåts från en registeransvarig till en annan om den registrerades begäran och att de registrerade får rätt att erhålla en kopia av de uppgifter som de själva kan föra över till en annan registeransvarig.

text: 3. Framtidsgodkända regler

text:  Vi rekommenderar att språk och praxis som sannolikt kommer att bli omodernt eller diskutabelt undviks.

text: 4 Oavslutad verksamhet

text: Antagandet av ett framtidsorienterat reformpaket om uppgifter inom EU kommer att resultera i ett imponerande men ändå ofullständigt resultat.

text: Samtliga institutioner är överens om att principerna i den allmänna förordningen om uppgiftsskydd bör tillämpas konsekvent på samtliga institutioner. Vi har förespråkat rättssäkerhet och enhetlighet för den rättsliga ramen, och samtidigt accepterat att EU:s offentliga sektor är unik och att man bör undvika att försvaga den aktuella nivån av skyldigheter (liksom behovet av att tillhandahålla en rättslig och organisatorisk grund för den allmänna uppgiftsskyddsförordningen). Ett förslag som är förenligt med den

text: S i d a

text: allmänna uppgiftsskyddsförordningen för översynen av förordning 45/2001 bör därför lämnas av kommissionen så snart som möjligt efter att diskussionerna om den allmänna uppgiftsskyddsförordningen har avslutats, så att båda texterna kan blir tillämpliga samtidigt.

text: För det andra är det uppenbart att direktiv

text: (direktivet om integritet och elektronisk kommunikation) måste ändras. Betydligt viktigare är att EU kräver en tydlig ram för att kommunikation ska vara konfidentiell, en fullständig del av rätten till privatliv, som styr alla tjänster som möjliggör kommunikation, inte bara leverantörer av offentligt tillgänglig elektronisk kommunikation. Detta måste ske genom en rättssäker och harmoniserande förordning som minst erbjuder samma skyddsnormer enligt direktivet om integritet och elektronisk kommunikation på lika villkor.

text: I detta yttrande rekommenderas därför en satsning på att förslag inom dessa två områden ska antas så snart som möjligt.

text: 5 Ett avgörande tillfälle för digitala rättigheter i och utanför EU

text: För första gången på en generation har EU en möjlighet att modernisera och harmonisera regler för hur personuppgifter hanteras. Privatliv och uppgiftsskydd konkurrerar inte med ekonomisk tillväxt och internationell handel och inte heller med stora tjänster eller produkter – de är en del av förslaget om kvalitet och värde. Såsom Europeiska rådet medger är tillit en nödvändig förutsättning för innovativa produkter och tjänster som bygger på behandling av personuppgifter.

text: EU 1995 var banbrytande när det gäller uppgiftsskydd. Nu har över 100 länder i hela världen lagar om uppgiftsskydd och färre än hälften av dessa är europeiska länder. EU fortsätter emellertid att kräva noggrant beaktande från länder som överväger att etablera eller se över sina rättsliga ramar. I en tid när människors förtroende för företag och regeringar har skakats av avslöjanden om massövervakning och dataöverträdelser innebär detta ett stort ansvar för EU:s lagstiftare, vars beslut i år förväntas få effekt utanför Europa.

text: Enligt Europeiska datatillsynsmannen är texterna i den allmänna uppgiftsskyddsförordningen på rätt spår men problem kvarstår, och några av dem är allvarliga. Det finns alltid en risk med medbeslutandeförfarandet att vissa bestämmelser försvagas av förhandlare med goda avsikter som eftersträvar en politisk kompromiss. Med reformen av uppgiftsskyddet är det emellertid annorlunda eftersom vi har att göra med grundläggande rättigheter och hur de kommer att skyddas i en generation.

text: Därför eftersträvas i detta yttrande att bistå EU:s största institutioner med att lösa problem. Vi vill inte bara ha starkare rättigheter för den enskilde registrerade, utan vi vill också underlätta innovation genom en rättslig ram som är neutral när det gäller teknik men positiv när det gäller de fördelar som tekniken kan tillföra samhället.

text: Med förhandlingar som befinner sig på upploppet hoppas vi att våra rekommendationer kommer att hjälpa EU att ta sig över mållinjen med en reform som fortfarande fyller sitt syfte under de närmaste åren och decennierna: ett nytt kapitel för uppgiftsskyddet med ett globalt perspektiv, där EU föregår med gott exempel.

text: S i d a

text: Bryssel den 28 juli 2015 Giovanni Buttarelli Europeisk datatillsynsman

text: S i d a

text: Tillägg

text: Den 27 juli 2015 offentliggjorde vi vårt förslag till rekommendationer avseende den allmänna uppgiftsskyddsförordningens normativa del (Europeiska datatillsynsmannens yttrande 3/2015). Efter att nu ha reflekterat över de bakomliggande orsakerna till artiklarna i de tre versioner som kommissionen, Europaparlamentet respektive rådet har lagt fram vill vi, som ett ytterligare bidrag till de pågående trepartsförhandlingarna, lägga fram våra rekommendationer om innehållet i skälen i den allmänna uppgiftsskyddsförordningen.

text: Skälen i ingressen till en EU-rättsakt är viktiga, eftersom de förklarar orsakerna till varje bestämmelse. Även om skälen inte har något självständigt rättsligt värde kan de användas vid tolkningen av tillämpningsområdet för de materiella bestämmelserna i texten. EU-domstolen har upprepade gånger konstaterat att välgrundade skäl är nödvändiga för att domstolen ska kunna fullgöra sin uppgift att tolka lagstiftningen. Eftersom skälen innehåller de bakomliggande orsakerna till rättsakten, förtjänar de noggrant övervägande.

text: Följaktligen upprepar vi i dessa rekommendationer att respekt för den mänskliga värdigheten bör fastställas som grunden för all behandling av personuppgifter. Den allmänna uppgiftsskyddsförordningen måste spegla ett etiskt synsätt där de samhälleliga fördelarna av teknisk förändring och innovation välkomnas samtidigt som enskilda skyddas från skada och ges makt att själva ta kontroll över informationen om dem på internet. I skälen bör föreskrivas om större ansvarighet för de registeransvariga och möjlighet till vägledning från tillsynsmyndigheterna i Europeiska dataskyddsstyrelsen.

text: Vi fortsätter att arbeta för att förslagen ska vara så tydliga, koncisa och lättförståeliga som möjligt. Våra rekommendationer undanröjer också alla onödiga detaljer i skälen som kan begränsa flexibiliteten när det gäller att anpassa sig till framtida utmaningar i en tid när snabba förändringar är den nya normen.

text: Bryssel den 9 oktober 2015

text: Giovanni Buttarelli

text: S i d a

text: Anmärkningar

text: S i d a

text: S i d a

text: S i d a

text: S i d a


text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA BESLUT

text: HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: ( ) COM(2016) 551 final.

text: ( ) När det gäller möjligheter, risker och utmaningar med stordata, se EDPS yttrande nr 7/2015 om att möta utmaningarna med stordata (”Meeting the challenges of big data”): https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11- 19_Big_Data_EN.pdf. Se framför allt avsnitt 1. ( )

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1). ( )

text: Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002

text: om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (EGT L 201, 31.7.2002, s. 37).

text: Wojciech Rafał WIEWIÓROWSKI

identifier: EDPS yttrande (2017)

publisher: Europeiska datatillsynsmannen

title: European statistics

serie: yttranden

text: 21.3.2017 SV Europeiska unionens officiella tidning C 87/1

type: stycke

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till en gemensam ram för europeisk statistik om personer och hushåll

text: (2017/C 87/01)

text: Förslaget syftar till att fastställa en gemensam ram för europeisk statistik om personer och hushåll, som grundas på uppgifter på individnivå som samlas in genom urvalsundersökningar.

text: I relevanta delar innehåller förslaget hänvisningar till användning av såväl administrativa register som andra källor eller innovativa tillvägagångssätt för att skaffa fram statistiska uppgifter inom ramen för stordata. Nya innovativa tillvägagångssätt kan vara lovande för statistik och forskning men utgör också risker och medför utmaningar, och lagstiftarna måste säkerställa att potentiella fördelar inte uppnås på bekostnad av enskildas rättigheter. För att ge ett effektivt skydd av rätten till personlig integritet och rätten till skydd av personuppgifter bör lagstiftarna förutse de potentiella risker och utmaningar som dessa lovande tekniker kan medföra och tillhandahålla tillräckliga skyddsåtgärder.

text: Vi rekommenderar därför en betydande ändring av artikel 8 för att säkerställa att all databehandling som rör administrativa register och andra datakällor måste göras i enlighet med tillämplig lagstiftning om uppgiftsskydd och att allt direkt tillhandahållande av uppgifter från enskilda (förutom vissa undantag enligt lagen och med tillämpning av lämpliga skyddsåtgärder) måste ske frivilligt.

text: När det gäller kopplingen av administrativa register enligt artikel 11 betonar vi också att det behöver säker ställas att all sådan koppling görs i enlighet med lagstiftningen om uppgiftsskydd samt med hänsyn till vad som är nödvändigt, proportionellt och i enlighet med specifika skyddsåtgärder enligt medlemsstaternas eller unionens lagstiftning.

text: med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt

text: artikel 16

text: i detta,

text: med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter,

text: med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt

text: artikel 28.2

text: 1. Förslagets bakgrund och syfte

text: 1. Den 8 augusti 2016 offentliggjorde Europeiska kommissionen (nedan kallad kommissionen) ett förslag till Europa parlamentets och rådets förordning om fastställande av en gemensam ram för europeisk statistik om personer och hushåll, som grundas på uppgifter på individnivå som samlas in genom urvalsundersökningar (nedan kallat försla get) ( ). Samma dag begärde kommissionen ett yttrande från Europeiska datatillsynsmannen (nedan kallad EDPS) i egenskap av oberoende rådgivande organ. Även Europeiska unionens råd (nedan kallat rådet) lämnade en begäran den 25 november 2016.

text: 2. Såsom anges i artikel 1 i förslaget till förordning (”Syfte”) är syftet med förordningen att fastställa en gemensam ram för europeisk statistik om personer och hushåll, som grundas på uppgifter på individnivå som samlas in genom ett urval. C 87/2 SV Europeiska unionens officiella tidning 21.3.2017

text: 3. EDPS noterar de politiska målen med förslaget. EDPS välkomnar — att redan ha hörts och att en hänvisning till denna rådfrågning finns i skäl 23 i förslaget till förordning, — tillägget av skäl 20 med en hänvisning till tillämplig lagstiftning om uppgiftsskydd (

text: Europaparlamentets och rådets förordning 95/46/EG

text: och förordning

text: (EG) nr 45/2001

text: ), samt — hänvisningen till bestämmelserna om uppgiftsskydd i samband med att personer kopplas till olika register (

text: artikel 11

text: 2. Översikt och viktiga aspekter

text: 4. Vår främsta farhåga är det aktuella förslagets oklarhet kring möjligheten att använda ”administrativa” uppgifter och ”stordatakällor” som exempelvis lokaliseringsuppgifter för telefoner, företags- och beskattningsregister, socialförsäk ringsuppgifter och patientjournaler, register från arbetsförmedlingar och institutioner som förvaltar det sociala trygghetssystemet. Stordata innebär nya och lovande möjligheter och medger en effektivare produktion av officiell statistik, men medför även specifika risker. Därför föreslår vi en grundlig granskning av relevanta bestämmelser ( ).

text: 5. Vi efterlyser större klarhet när det gäller att information som lämnas direkt av enskilda ska lämnas på frivillig grund, med samtycke i enlighet med artiklarna

text: och

text: i den allmänna dataskyddsförordningen ( ) som rättslig grund för behandling av personuppgifter, förutom om det är ett specifikt krav enligt unionslagstiftningen eller medlemsstaternas lagstiftning att tillhandahålla uppgifter i enlighet med tillämplig lagstiftning om uppgiftsskydd.

text: 6. Mot bakgrund av dessa betänkligheter skulle vi särskilt välkomna om lagstiftarna kunde formulera

text: artikel 8

text: (om uppgiftskällor och metoder) på ett tydligare sätt.

text: 7. Andra relevanta bestämmelser som EDPS anser kan förbättras är bland annat följande: —

text: Artikel 2 e

text: när det gäller definitionen av administrativa register. — Skäl 4 när det gäller användningen av administrativa källor för statistiska ändamål. — Skäl 20 om tillämplig lagstiftning om uppgiftsskydd och begreppet viktigt allmänt intresse. —

text: Artikel 11.1

text: om urvalsramar.

text: 3. Rekommendationer 3.1 Hänvisningar till tillämplig lagstiftning om uppgiftsskydd (skäl 20)

text: 8. Beroende på datum för ikraftträdande av den föreslagna förordningen kan hänvisningar till tillämplig lagstiftning i skäl 20 behöva uppdateras. Bland annat kan de behöva ersättas med hänvisningar till den allmänna dataskyddsförordningen, som börjar tillämpas den 25 maj 2018, och med hänvisningar till det nya rättsinstrument som ersätter förordning

text: (EG) nr 45/2001

text: 9. Vi skulle också välkomna en hänvisning, i ett skäl, till efterlevnad av skyddsåtgärderna som rör behandling för statistiska ändamål enligt

text: artikel 89 i den allmänna dataskyddsförordningen

text: 10. Med tanke på att förslaget förutser användning av data från nya datakällor, som exempelvis kan inbegripa lokalise ringsdata från mobiltelefonregister (se avsnitt 3.4 nedan som behandlar

text: artikel 8

text: ), rekommenderar vi även en speci fik hänvisning till direktivet om integritet och elektronisk kommunikation ( ) som nu ses över (eller till det nya direktivet om integritet och elektronisk kommunikation om det är lämpligt med tanke på tidsramarna). 3.2 Hänvisningar till ”viktigt allmänt intresse” (skäl 20)

text: 11. För enklare hänvisning för andra än experter rekommenderar vi att orden enligt

text: artikel 8.4 i direktiv 95/46/EG

text: läggs till efter orden viktigt allmänt intresse. Om texten skulle hänvisa till den allmänna dataskyddsförordningen skulle hänvisningen gälla artikel 9.2 g i denna. 21.3.2017 SV Europeiska unionens officiella tidning C 87/3 3.3 Definition av administrativa register (

text: artikel 2 e

text: och skäl 4)

text: 12. I

text: artikel 2 e

text: definieras administrativa register som uppgifter som en icke-statistisk källa, oftast ett offentligt organ, tar fram för egna ändamål. Termen administrativa register används sedan såväl i

text: artikel 8

text: som i skäl 4.

text: 13. Denna definition av administrativa register förefaller mycket bred och verkar i praktiken inkludera alla andra källor, som är ett annat begrepp som också det används i

text: artikel 8

text: . Begreppet administrativa uppgifter kan så som det definieras exempelvis inkludera inte bara administrativa register från offentliga organ utan även källor som lokalise ringsdata för mobiltelefoner, vilka enligt den innebörd termen har i dagligt tal inte alltid betraktas som ett admini strativt register.

text: 14. Detta i sig förefaller inte ha någon direkt inverkan på skyddsnivån för personuppgifter, med tanke på att artikel 8 i alla händelser inkluderar alla andra källor. För klarhetens skull kunde lagstiftarna ändå överväga att se över

text: artikel 2 e

text: och definiera administrativa register snävare. Alternativt kunde lagstiftarna stryka

text: artikel 2 e

text: helt och i stället i

text: artikel 8

text: hänvisa till ”administrativa register som skapas av en organisation, vanligen ett offentligt organ, för andra, icke-statistiska ändamål, och till alla andra källor, metoder eller innovativa tillvägagångssätt […]”.

text: 15. Som vi noterar ovan uppmuntrar vidare skäl 4 specifikt till användning av administrativa källor för statistiska ändamål. Vi välkomnar att det i skälet betonas att man alltid behöver säkerställa statistikens kvalitet, noggrannhet, aktualitet och jämförbarhet. För att ytterligare förbättra denna bestämmelse rekommenderar vi att en hänvisning till skyddet av personuppgifter läggs till. Exempelvis kan följande text läggas till i slutet av stycket: liksom rätten till skydd av personuppgifter. 3.4 Uppgiftskällor och metoder (

text: artikel 8

text: 16. Utöver de uppgifter som tillhandahålls direkt av respondenterna hänvisar

text: artikel 8

text: även till administrativa register och alla andra källor, metoder eller innovativa tillvägagångssätt, i den mån de möjliggör framtagning av uppgifter som är jämför bara och förenliga med de tillämpliga särskilda krav som fastställs i denna förordning.

text: Artikel 8

text: återspeglar avsikten som tas upp på sidan 13 i motiveringen, att möjliggöra och främja användning av nya former av uppgiftsinsamling och alternativa uppgiftskällor, inklusive administrativa uppgifter och skattningar genom modellering och stordata. Se även skäl 4 i förslaget, som redan nämnts ovan, där det uppmuntras att främja använd ningen av administrativa källor för statistiska ändamål, med hänvisning till att möjligheten till detta har ökat tack vare den tekniska utvecklingen, och

text: artikel 13

text: om genomförbarhets- och pilotstudier, som också tar upp användningen av andra uppgiftskällor.

text: 18. Inom statistikområdet, liksom inom andra områden, medför stordata olika fördelar som ökad effektivitet. Stordata kan dock också skapa ytterligare risker. Det nya ramverket för uppgiftsskydd, och i synnerhet antagandet av den allmänna dataskyddsförordningen, syftar till att behandla dessa risker på ett sätt som ger skydd men även tillåter flexibilitet för ytterligare dataanvändning, bland annat för statistiska ändamål.

text: 19. Troligen kommer det dock ändå att krävas ytterligare lagstiftningsåtgärder inom statistikområdet på nationell nivå eller EU-nivå för att tillåta en bredare användning av stordata i statistik på ett sätt som är förenligt med tillämplig lagstiftning om uppgiftsskydd.

text: 20. Det aktuella förslaget bör inte ge en illusion av att artikel 8 i sig ger en tillräcklig rättslig grund för att använda stordata för förslagets syfte. Det är mycket viktigt att skälen och artikel 8 i kombination klargör att varje sådan användning av stordatakällor är föremål för tillämplig lagstiftning om uppgiftsskydd, inbegripet behovet av lämplig rättslig grund enligt

text: artikel 6 i den allmänna dataskyddsförordningen

text: 21. Vi rekommenderar därför att

text: artikel 8

text: ändras på följande sätt:

text: Artikel 8

text: Datakällor och metoder

text: 1. Medlemsstaterna ska tillhandahålla de uppgifter som avses i

text: artikel 1

text: med hjälp av en eller en kombination av följande källor, under förutsättning att de uppfyller kvalitetskraven i

text: artikel 12

text: och samlas in och vidarebe handlas i enlighet med och med tillämpning av skyddsåtgärderna i tillämplig lagstiftning om uppgiftsskydd: a) Uppgifter som lämnas direkt av uppgiftslämnarna på frivillig grund, grundat på att de registrerade lämnar data enligt

text: artikel 7

text: [i den allmänna dataskyddsförordningen] efter samtycke (förutom om tillhandahållande av information krävs specifikt enligt unions- eller medlemsstatslagstiftning som omfattar den personuppgiftsansvariga och som även fastställer lämpliga åtgärder för att skydda de regi strerades rättigheter, friheter och legitima intresse). C 87/4 SV Europeiska unionens officiella tidning 21.3.2017 b) Administrativa register och alla andra källor, metoder eller innovativa tillvägagångssätt, i den mån de möjliggör framtagning av uppgifter som är jämförbara och förenliga med de tillämpliga särskilda krav som fastställs i denna förordning. 2. Medlemsstaterna ska förse kommissionen (Eurostat) med ingående uppgifter om de källor och metoder som används. 3.5 Urvalsramar (

text: artikel 11

text: 22. Enligt

text: artikel 11.1

text: ska urvalsramar också inbegripa de uppgifter som behövs för att koppla personer till andra adm inistrativa register, i den mån det medges enligt bestämmelserna om uppgiftsskydd.

text: 23. Vi rekommenderar att ordalydelsen i den andra delen av meningen formuleras om enligt följande: i den mån koppling till sådana andra register är nödvändig och proportionell, samt specifikt tillåten enligt tillämplig unions- eller med lemsstatslagstiftning som den registeransvariga omfattas av och som även fastställer lämpliga åtgärder för att skydda de regi strerades rättigheter, friheter och legitima intresse. 4. Slutsatser

text: 24. EDPS rekommenderar följande: — En hänvisning till direktivet om integritet och elektronisk kommunikation bör tas med vid hänvisning till gällande lagstiftning och en uppdatering bör göras av alla relevanta referenser enligt vad som krävs med hänsyn till den aktuella översynen av ramverket för uppgiftsskydd. — Hänvisningar till viktigt allmänt intresse i skäl 20 bör förtydligas. — En betydande ändring av

text: artikel 8

text: bör göras för att säkerställa att all databehandling som rör administrativa register och andra datakällor måste ske i enlighet med tillämplig lagstiftning om uppgiftsskydd och att allt direkt tillhandahållande av uppgifter från individer (förutom vissa undantag enligt lagen och med tillämpning av lämpliga skyddsåtgärder) måste ske frivilligt. — När det gäller kopplingen av administrativa register enligt

text: artikel 11

text: bör det säkerställas att all sådan koppling görs i enlighet med lagstiftningen om uppgiftsskydd samt med hänsyn till vad som är nödvändigt, propor tionellt och i enlighet med specifika skyddsåtgärder enligt medlemsstaternas eller unionens lagstiftning. — En revidering av definitionen av administrativa register i

text: artikel 2 e

text: bör övervägas, liksom tillägg av en hänvisning till skyddet av rätten till skydd av personuppgifter i relaterade skäl 4. Bryssel den 1 mars 2017 Biträdande europeiska datatillsynsmannen

type: vagledning

utgivare: edps


text: Regulation (EU) 2016/679

text: of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive

text: (General Data Protection Regulation), L119 of 4.5.2016.

text: Regulation (EU) 2018/1725

text: of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing

text: Regulation (EC) No 45/2001

text: and Decision No

text: , L 295, 21.11.2018. See

text: Recital 60

text: of

text: Regulation (EU) 2018/1725

text: : “In order to ensure consistency of data protection rules throughout the Union, when preparing proposals or recommendations, the Commission should endeavour to consult the European Data Protection Supervisor. A consultation by the Commission should be obligatory following the adoption of legislative acts or during the preparation of delegated acts and implementing acts as defined in Article

text: and

text: TFEU and following the adoption of recommendations and proposals relating to agreements with third countries and international organisations as provided for in

text: Article 218

text: TFEU which have an impact on the right to protection of personal data. In such cases, the Commission should be obliged to consult the European Data Protection Supervisor, except where the

text: Regulation (EU) 2016/679

text: provides for mandatory consultation of the European Data Protection Board, for example on adequacy decisions or delegated acts on standardised icons and requirements for certification mechanisms.” Proposal for a Council Directive amending Directive

text: as regards introducing certain requirements for payment service providers, COM(2018)812 final, proc. 2018/0412 (CNS). Proposal for a Council Regulation amending

text: Regulation (EU) No 904/2010

text: as regards measures to strengthen administrative cooperation in order to combat VAT fraud, COM(2018) 813 final, proc. 2018/0413 (CNS). Commission staff working document Impact Assessment, Accompanying the document Proposals for a Council Directive, a Council Implementing Regulation and a Council Regulation on Mandatory transmission and exchange of VAT-related payment data. See at page 9 of the Explanatory Memorandum to the Council Directive. See at page 3 of the Explanatory Memorandum to the Council Directive.

text: Article 58(2) of Regulation (EU) 904/2010

text: lays down: “Where reference is made to this paragraph,

text: Article 5 of Regulation (EU) No 182/2011

text: of the European Parliament and of the Council shall apply.” The quality of the Commission as controller as defined under Article 3(8) of the

text: Regulation (EU) 2018/1725

text: is evident in particular having regard to

text: Article 24

text: a (“The Commission shall develop, maintain, host and manage a central electronic system of payment information ‘CESOP’); as well as

text: Article 24

text: e of the Council Regulation, detailing the “measures, tasks, technical details, format of the standard electronic form, information elements, practical arrangements and security procedure” relating to CESOP to be laid down by the Commission by implementing act. As acknowledged in the Impact Assessment, at page 45, the “EU central repository [...] must guarantee the appropriate level of security in line with the rules governing the processing of personal data by the European Institutions.” On the volume of storage expected, see at page 100 of the Impact Assessment. Guidelines on the protection of personal data in IT governance and IT management of EU institutions, March 2018, available at: https://edps.europa.eu/sites/edp/files/publication/it_governance_management_en.pdf The Impact Assessment, at page 46, specifies: “in line with Regulation 45/2001 the central system will guarantee by design the highest possible level of data security.”

text: Council Regulation (EU) 2018/1541 of 2 October 2018

text: amending Regulations

text: (EU) No 904/2010

text: and

text: (EU) 2017/2454

text: as regards measures to strengthen administrative cooperation in the field of value added tax, L 259/1, 16.10.2018. The full text of

text: Article 55(5)

text: is: “All storage, processing or exchange of information referred to in this Regulation is subject to Regulations

text: (EU) 2016/679

text: (*) and

text: (EC) No 45/2001

text: (**) of the European Parliament and of the Council. However, Member States shall for the purpose of the correct application of this Regulation, restrict the scope of the obligations and rights provided for in

text: Articles 12

text: to 15, 17, 21 and 22 of

text: Regulation (EU) 2016/679

text: . Such restrictions shall be limited to what is strictly necessary in order to safeguard the interests referred to in point (e) of Article 23(1) of that Regulation, in particular to: (a) enable the competent authorities of the Member States to fulfil their tasks properly for the purposes of this Regulation; or (b) avoid obstructing official or legal enquiries, analyses, investigations or procedures for the purposes of this Regulation and to ensure that the prevention, investigation and detection of tax evasion and tax fraud is not jeopardised. The processing and storage of information referred to in this Regulation shall be carried out only for the purposes referred to in

text: Article 1(1) of this Regulation and the information shall not be further processed in a way that is incompatible with those purposes. The processing of personal data on the basis of this Regulation for any other purposes, such as commercial purposes, shall be prohibited. The storage periods of this information shall be limited to the extent necessary to achieve those purposes. The storage periods of the information referred to in Article 17 of this Regulation shall be determined as per the limitation periods provided for in the legislation of the Member State concerned but no longer than ten years.” Formal comments of the EDPS on the proposal for a Council Regulation amending

text: Council Regulation (EU) No 904/2010

text: on administrative cooperation and combating fraud in the field of VAT, available at: https://edps.europa.eu/sites/edp/files/publication/18-03-06_formal_comments_vat_fraud_en.pdf

text: Case C-293/12

text: , Judgment of the Court (Grand Chamber), 8 April 2014, Digital Rights Ireland Ltd v Minister for Communications, Marine and Natural Resources and Others and Kärntner Landesregierung and Others (ECLI:EU:C:2014:238), see in particular para. 65, on the need to define in the legal act clear and precise rules governing the extent of the interference with the fundamental rights enshrined in Articles 7 and 8 of the Charter. Guidance on Article 25 of the new Regulation and internal rules, December 2018, available at: https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf

identifier: EDPS yttrande (2019)

amnesord:
Finance & Economy
Tax cooperation
Privacy in the EU Institutions
Investigations
Anti-fraud

sprak: en

title: Combatting VAT Fraud

text: on two legislative proposals relating to combating VAT fraud

text: 14 March 2019 1 | P a g e

text: The European Data Protection Supervisor (EDPS) is an independent institution of the EU, responsible under

text: Article 52(2) of Regulation (EU) 2018/1725

text: ‘With respect to the processing of personal data… for ensuring that the fundamental rights and freedoms of natural persons, and in particular their right to data protection, are respected by Union institutions and bodies’, and under

text: Article 52(3)

text: ‘…for advising Union institutions and bodies and data subjects on all matters concerning the processing of personal data’.

text: adoption of proposals for a legislative act, of recommendations or of proposals to the Council pursuant to

text: Article 218

text: TFEU or when preparing delegated acts or implementing acts, consult the EDPS where there is an impact on the protection of individuals’ rights and freedoms with regard to the processing of personal data’ and under

text: Article 57(1)

text: (g), the EDPS shall ‘advise on his or her own initiative or on request, all Union institutions and bodies on legislative and administrative measures relating to the protection of natural persons’ rights and freedoms with regard to the processing of personal data’.

text: He was appointed in December 2014 together with the Assistant Supervisor with the specific remit of being constructive and proactive. The EDPS published in March 2015 a five-year strategy setting out how he intends to implement this remit, and to be accountable for doing so.

text: This Opinion is issued by the EDPS, within the period of eight weeks from the receipt of the

text: regard to impact on the protection of individuals’ rights and freedoms with regard to the processing of personal data of the following proposals for legislative acts adopted by the Commission on 12 December 2018: Proposal for a Council Directive amending Directive

text: as regards introducing certain requirements for payment service providers, COM(2018)812 final; Proposal for a Council Regulation amending

text: Regulation (EU) No 904/2010

text: as regards measures to strengthen administrative cooperation in order to combat VAT fraud, COM(2018) 813 final.

text: 2 | P a g e

text: Executive Summary

text: With this Opinion, issued pursuant to

text: Article 42(1) of Regulation (EU) 2018/1725

text: , the EDPS puts forward recommendations aiming at minimizing the impact of two Commission’s proposals on the fight against VAT fraud in the context of “e-commerce” on the fundamental right to privacy and to the protection of personal data, thus ensuring compliance with the applicable data protection legal framework.

text: In doing so, the EDPS stresses the need to strictly limit the processing operations envisaged by the proposals to the purpose of fighting tax fraud, and to limit the collection and use of personal data to what is necessary and proportionate for this purpose. In particular, we point out to that, in the context of these proposals, the data undergoing processing should not relate to the consumers (the payers) but only to the online businesses (payees). This would limit the risk of the information being used for other purposes, such as controlling purchase habits of the consumers. We appreciate the fact that the Commission followed this approach and we strongly recommend that this approach is maintained in the negotiations with the co-legislators leading to the final approval of the proposals.

text: Moreover, the EDPS wishes to stress that, pursuant to

text: , it expects to be consulted on the implementing act that will in the future define the standard format for the transmission of information from the payment service providers to the national tax administration, before its adoption by the Commission.

text: Since the proposals would set up, in addition to the national databases, a central electronic database (CESOP) to be developed, maintained, hosted and managed by the Commission, the EDPS recalls his guidance on IT governance and management. The EDPS will follow up on the setting up of this information system as competent Supervisory Authority under

text: Regulation (EU) 2018/1725

text: Finally, this Opinion provides guidance on the conditions and limits for lawful and appropriate restrictions of data subject’s rights in compliance with the GDPR and

text: Regulation (EU) 2018/1725

text: 3 | P a g e

text: THE EUROPEAN DATA PROTECTION SUPERVISOR,

text: Having regard to the Treaty on the Functioning of the European Union, and in particular

text: Article 16

text: thereof, Having regard to the Charter of Fundamental Rights of the European Union, and in particular Articles

text: and

text: thereof, Having regard to

text: Regulation (EU) 2016/679

text: (General Data Protection Regulation) , Having regard to

text: Regulation (EU) No 2018/1725

text: of the European Parliament and of the Council of 23 October 2018 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data , and in particular

text: Article 42(1)

text: thereof,

text: HAS ADOPTED THE FOLLOWING OPINION:

text: 1. INTRODUCTION AND BACKGROUND

text: 1.1 Context of the Proposals

text: 1. On 10 September 2018, the EDPS has been informally consulted by the European Commission on the following draft proposals: Draft Proposal for a Council Directive amending Directive

text: as regards the introduction of certain requirements on payment service providers; Draft Proposal for a Council implementing Regulation amending

text: Regulation (EU) No 282/2011

text: as regards certain value added tax obligations for certain taxable persons; Draft Proposal for a Council Regulation amending

text: Regulation (EU) No 904/2010

text: as regards measures to strengthen administrative cooperation in order to combat VAT fraud in the field of “e-commerce”. The EDPS issued informal comments on 18 September 2018. In this regard, the EDPS confirms that he welcomes the possibility to exchange views with the Commission early in the policy-making process with a view to minimising the impacts of the proposals on the rights to privacy and to data protection .

text: 2. On 12 December 2018, the European Commission published a Proposal for a Council Directive amending Directive

text: as regards introducing certain requirements for payment service providers (hereinafter, “the proposed Council Directive”) and a Proposal for a Council Regulation amending

text: Regulation (EU) No 904/2010

text: as regards measures to strengthen administrative cooperation in order to combat VAT fraud (hereinafter, “the proposed Council Regulation”) , hereinafter, collectively referred to as the “Proposals”.

text: 4. The EDPS also points out to the fact that the proposed Regulation and Directive would, as highlighted further in this Opinion, establish data processing operations for which the Commission would be the controller pursuant to

text: Regulation (EU) 2018/1725

text: . We 5 | P a g e therefore recall that the EDPS is the competent supervisory authority as regards such processing. 1.2 Content of the Proposals

text: 5. The EDPS notes that the Proposals, which are accompanied by an Impact Assessment , aim to address the problem of VAT fraud related to “e-commerce” by enhancing the cooperation between tax authorities and the payment service providers (hereinafter “PSPs”).

text: 6. In particular, according to the proposed Council Directive, Member States should enact legislation that ensures that PSPs keep records of cross-border payment transactions in order to enable tax authorities to detect VAT fraud. The proposed Council Regulation complements the set of anti-fraud measures: (a) requiring Member States’ competent authorities to collect, exchange and analyse the information relating to payment transactions detailed in the Council Directive Proposal, and (b) setting up a central electronic information system (‘CESOP’) where Member States transmit the information stored at national level. The CESOP would then be accessible by Eurofisc liaison officials for the analysis of the information stored therein with the purpose of investigating tax fraud.

text: 7. The EDPS acknowledges the objectives of the proposals and in particular the need to regulate on this subject matter establishing anti-fraud measures addressing e-commerce operations. The present Opinion seeks to provide a pragmatic advice on how to minimise the impact of the processing of personal data triggered by the proposals, ensuring compliance with the applicable data protection law.

text: 2. COMMENTS AND RECOMMENDATIONS

text: 2.1 General remarks on the applicable data protection law

text: 8. The EDPS welcomes that both Recital 11 of the Council Directive and Recital 17 of the Council Regulation refer to “the right of protection of personal data laid down in article 8 of the Charter”. However, for the sake of clarity he recommends inserting in the recitals a reference to the applicable data protection legislation, i.e. the

text: Regulation (EU) 2016/679

text: (hereinafter “the GDPR”) and the

text: Regulation (EU) 2018/1725

text: . The EDPS also notes that Recital 17 of the proposed Council Regulation, differently from the wording of Recital 11 of the proposed Council Directive (“fully respects” [the right of protection of personal data]), contains the wording “seeks to ensure full respect”). He recommends adjusting this wording aligning it to the one of the Council Directive. The EDPS also welcomes the reference, in both recitals, to the specification of the purpose of the processing operations envisaged by the proposals (under Recital 11 of the Council Directive: “The payment information retained and disclosed in accordance 6 | P a g e with this Directive should be processed only by the anti-fraud experts of tax authorities within the limits of what is necessary and proportionate to achieve the objective of fighting e-commerce VAT fraud.”; under Recital 17 of the Council Regulation: “The processing of payment information pursuant to this Regulation should only occur for the purpose of countering e-commerce VAT fraud.”). The EDPS considers that the specification of the purpose in the context of the proposals is particularly important in order to avoid any risk of ‘function-creep’ and, in particular, the use of information “for other purposes, such as controlling purchase habits of the consumers” . Hence, we recommend including the aforesaid purpose specification in the operative part of the legal act of both the Council Directive and the Council Regulation.

text: 3. SPECIFIC REMARKS

text: 3.1 On the obligation for Payment Service Providers (PSPs) to keep records of payment transactions and make them available to the tax authority of the Member State of establishment

text: Article 243

text: b of the proposed Council Directive provides that Member States should ensure that PSPs keep records of payment transactions. This obligation for PSPs only applies in cases where funds are transferred from a payer located in a Member State to a payee in another Member State or third country (cross-border transaction) and the PSP executes more than 25 payment transactions to the same payee in the course of a calendar quarter.

text: Article 243

text: d defines the relevant categories of data that would have to be retained by a PSP. The EDPS notes that this data only refers to data regarding payees (in other words, information on the consumers paying for a purchase of goods or services payers - are not part of the exchange of information, except for the location of the payer established in accordance with

text: Article 243

text: c) and comprise inter alia the name and surname of the payee, his VAT identification number, his address and the time and date of the transaction. Pursuant to

text: Article 243

text: b(3)(b) of the proposed Council Directive, these records shall be made available to the Member State of establishment of the PSP in accordance with

text: Article 24

text: b of the Council Regulation.

text: 10. Concerning the fact that, according to the proposals, data on payers will not be processed the EDPS agrees with the assessment by the Commission that “it would be disproportionate to systematically have recourse to (these) final consumers to investigate VAT fraud by the seller” . Furthermore, he notes that

text: Article 24

text: b(2)(b) of the proposed Council Regulation provides that an electronic standard format shall be used by each Member State tax authority to collect by PSPs into the national electronic system the information prescribed under the Council Directive. Such format will be adopted by the 7 | P a g e Given its data protection implications (from the data protection viewpoint, the standard format represents a useful safeguard against a potentially unnecessary and disproportionate collection of personal data), the EDPS points out that he expects to be consulted by the Commission prior to the adoption of such implementing act in accordance with

text: . 3.2 On the national and central database (CESOP)

text: Article 24

text: b of the proposed Council Regulation provides that each Member State shall collect and store the payment transactions of the PSPs in a national database and transfer them to a new central database - the “CESOP” - which, according to

text: Article 24

text: a, shall be developed, maintained, hosted and managed as a central electronic system by the Commission.

text: Article 24

text: d of the proposed Council Regulation Proposal provides the possibility for Eurofisc liaison officials to access information contained in the CESOP when the following cumulative conditions are fulfilled: (i) in respect of individual payees for the purpose of VAT fraud investigation; and (ii) when the Eurofisc liaison official queries the information system via a “personal user identification”. Having regard to the access to the new database by Eurofisc, the EDPS welcomes the safeguard, laid down under the proposed

text: Article 55

text: (1a) of the Council Regulation, providing that the information can only be used if cross-checked with other information available to the tax authority (“where it has been verified by reference to other VAT information available to the competent authorities of the Member States”).

text: 13. The EDPS points out that the Commission, as controller of the CESOP , has to comply with all relevant provisions of the

text: Regulation (EU) 2018/1725

text: and, in particular, with the provisions on security of processing . In particular, due to the high volume of information to be stored in the CESOP and to the sensitivity of the information stored therein , we recommend the Commission to follow our “Guidelines on the protection of personal data in IT governance and IT management of EU institutions” when implementing/setting up the CESOP and working on its technical details .

text: 14. The EDPS notes that neither of the Proposals refers to the possible restrictions of data subjects’ rights. The matter remains therefore regulated under the current text of

text: Article 55(5) of Regulation (EU) No. 904/2010

text: , as amended by

text: Council Regulation (EU) 2018/1541

text: , which lays down as follows: “All storage, processing or exchange of information referred to in this Regulation is subject to Regulations

text: (EU) 2016/679

text: and

text: (EC) No 45/2001

text: Articles 12

text: to 15, 17, 21 and 22 of

text: Regulation (EU) 2016/679

text: . Such restrictions shall be limited to what is strictly necessary in order to safeguard the interests referred to in point (e) of

text: Article 8

text: | P a g e 23(1) of that Regulation, in particular to: (a) enable the competent authorities of the Member States to fulfil their tasks properly for the purposes of this Regulation; or (b) avoid obstructing official or legal enquiries, analyses, investigations or procedures for the purposes of this Regulation and to ensure that the prevention, investigation and detection of tax evasion and tax fraud is not jeopardised.” In this regard, the EDPS wishes to reiterate his observation made earlier in his formal comments (under Section 2.2) on the proposal for

text: Council Regulation (EU) 2018/1541

text: , namely that the word “shall” [restrict the scope] should be replaced with “may”. The proposed Council Regulation would thus be brought in line with

text: Article 23(1)

text: GDPR which provides that “[Union or] Member State law to which the controller is subject may restrict by way of a legislative measure the scope of the obligations and rights provided for in

text: Articles 12

text: to 22 and

text: Article 34

text: , as well as

text: Article 5

text: in so far as its provisions correspond to the rights and obligations provided for in

text: Articles 12

text: to 22 [...].” In other words, to the extent that the EU legislator wishes to leave the assessment of necessity of specific restriction to national law, this should be properly reflected in the optional language of the provision (“Member States may restrict”). By contrast, where it is considered that certain restrictions are necessary and indispensable in the context of the Proposal, such restrictions should be imposed directly by the proposed Council Regulation. Such harmonization at EU level would be in line with

text: Article 23

text: GDPR and would facilitate administrative cooperation among the national tax authorities. Moreover, specifying directly in the Proposal the conditions under which certain data subjects’ rights may be restricted, along with the necessary safeguards, would be in line with the case-law of the Court of Justice of the European Union . Concerning the applicability of

text: Regulation (EU) 2018/1725

text: , the EDPS observes that Article 55(5) of the proposed Council Regulation does not contain any reference to the possible restrictions of data subjects’ rights under

text: Regulation (EU) 2018/1725

text: applicable to Union institutions and bodies (in this case, to the Commission, for all the data processing activities, notably concerning the CESOP, for which it will be the controller). The EDPS therefore recommends inserting under

text: Article 24

text: e of the proposed Council Regulation, among the elements to be further defined by the Commission in a future implementing act, the possible restrictions of data subjects’ rights (specifically, for instance, to safeguard “an important economic or financial interest of the Union or a Member State, including (...) taxation matters”, as laid down under

text: Article 25(1)

text: (c) of

text: Regulation (EU) 2018/1725

text: ). The EDPS has recently adopted Guidelines on this issue which - although concerned mainly with internal rules of EU institutions and bodies can provide guidance to the Commission when regulating this matter. As pointed out with regard to the implementing act that will define the standard format for the transmission of data by the PSP to the competent tax authority, also in this case the Commission should consult the EDPS before the adoption of the act. 9 | P a g e

text: 4. CONCLUSIONS

text: 17. In light of the above, the EDPS makes the following recommendations:  Recital 11 of the proposed Council Directive and Recital 17 of the proposed Council Regulation on the applicable data protection law should be amended as indicated under Section 2.1 of this Opinion;  including the purpose specification, as laid down under Recital 11 of the Council Directive and Recital 17 of the Council Regulation, in the operative part of the legal act of both the Council Directive and the Council Regulation;  having regard to the central database ‘CESOP’, the Commission must ensure compliance with the provisions on security of processing under

text: Regulation (EU) 2018/1725

text: , in particular following the EDPS “Guidelines on the protection of personal data in IT governance and management of EU institutions”;  regarding possible restrictions of data subjects’ rights: i. amending the wording of

text: Regulation (EU) No 904/2010

text: , as amended by

text: Council Regulation (EU) 2018/1541

text: , in accordance with Article 23 of the GDPR, to either leave the possibility to enact restrictions to Member States (replacing the word “shall’ with “may restrict”); or, to the extent restrictions are necessary, provide for them directly in the

text: Regulation (EU) No 904/2010

text: ; ii. inserting under

text: Article 24

text: e of the Council Regulation, among the elements to be further defined by the Commission in a future implementing act, the possible restrictions of data subjects’ rights in accordance with

text: Article 25 of Regulation (EU) 2018/1725

text: and the guidance issued by the EDPS on this matter (“Guidance on Article 25 of the new Regulation and internal rules”).  the Commission must, in accordance with

text: , consult the EDPS on the implementing act on the electronic standard format for the transmission of information by the PSP to the competent tax authority of the Member State where the PSP is established before its adoption by the Commission. Brussels, 14 March 2019 Wojciech Rafał WIEWIÓROWSKI 10 | P a g e

text: Notes

text: 11 | P a g e

text: 12 | P a g e


text: Agreement on mutual legal assistance between the European Union and the United States of America of 19 July 2003, entered into force on 1 February 2010.

text: https://data.consilium.europa.eu/doc/document/ST-9666-2019-INIT/en/pdf 3 See EDPS Opinion 2/2019 on the negotiating mandate of an EU-US agreement on cross-border access to electronic evidence.

title: EDPB-EDPS Joint Response on the US Cloud Act

text: Mr. Juan Fernando López Aguilar Chair of the European Parliament’s Committee on Civil Liberties, Justice and Home Affairs (LIBE)

text: Brussels, 10 July 2019

text: By email only

text: Ref: OUT2019-0007

text: Subject: LIBE Committee letters to the EDPS and to the EDPB regarding legal assessment of the impact of the US Cloud Act on the European legal framework for personal data protection

text: Dear Mr. López Aguilar,

text: We thank the LIBE Committee for its letters, by which the Committee asked both the EDPS and the EDPB for a legal assessment of the impact of the US Clarifying Lawful Overseas Use of Data Act (US CLOUD Act) on the European legal framework for the protection of personal data, as this is an important and complex issue.

text: The attached initial legal assessment focuses on this specific context of requests made by US law enforcement authorities under the US CLOUD Act for criminal investigations purposes. It builds on the current EU data protection legal framework and is therefore subject to its accurate interpretation. It does not preclude any conclusions that could possibly be drawn in other contexts or any future legal improvements where necessary.

text: The General Data Protection Regulation 2016/679 contains in particular one important provision, which aims to regulate “transfers or disclosures not authorised by Union law” and constitutes an important element of the current set of rules framing disclosures and transfers of personal data from the EU to third countries (Article 48).

text: We would like also to remind you that the GDPR also contains a series of derogations for transfers in specific situations that must be subject to strict interpretation (Article 49). We have conducted an initial analysis of this question that you will find attached. We are of the view that currently, unless a US CLOUD Act warrant is recognised or made enforceable on the basis of an international agreement, the lawfulness of such transfers of personal data cannot be ascertained, without prejudice to exceptional circumstances where processing is necessary in order to protect the vital interests of the data subject.

text: The Mutual Legal Assistance Treaty already in force between the EU and the US , as a legal instrument mainly aimed at facilitating judicial cooperation, contains only very limited provisions relevant from a data protection point of view. The EDPB and EDPS therefore wish to emphasize the urgent need for a new generation of MLATs to be implemented, allowing for a much faster and secure

text: processing of requests in practice. In order to provide a much better level of data protection, such updated MLATs should contain relevant and strong data protection safeguards such as, for example, guarantees based on the principles of proportionality and data minimisation. In addition, the "dual criminality principle" providing safeguard against discrepancy between how a crime is defined under the foreign law and how the same crime is legally defined under EU law should be preserved.

text: We also note that the European Commission has recently engaged in negotiations with the US of an international agreement dealing precisely with cross-border access requests to electronic evidence. The relevant negotiating mandate together with more specific negotiating directives were adopted by the Council on 27 May 2019 . We would like to recall that, of course, such international agreement must also contain sufficient adequate data protection safeguards and be compliant with EU law.

text: In light of the above, we would like to stress the importance of a comprehensive EU-US agreement on access to electronic evidence, containing strong procedural and substantive fundamental rights' safeguards, to ensure the necessary level of protection for EU data subjects and legal certainty for businesses operating in both jurisdictions.

text: We also stress the need for an EU-level approach. In this specific context, as massive amounts of electronic communication data are processed and stored by operators falling under US jurisdiction and since direct access requests sent by US authorities are likely to affect any Member State, an EUlevel approach is essential here in order to avoid the potential negative consequences of a fragmented patchwork of non-harmonised bilateral executive agreements between the US and EU Member States that would be concluded under the US CLOUD Act.

text: Finally, an EU-level approach should on the one hand be coherent: conditions under which US law enforcement authorities could obtain personal data stored in the EU should not be more lenient/flexible than conditions for EU law enforcement authorities to obtain data in the EU. On the other hand, such approach should be reciprocal: conditions for US authorities to access personal data stored in the EU should take into account conditions with which EU law enforcement authorities must comply to request data in the US, so that individuals on both sides of the Atlantic enjoy similar safeguards and protections.

text: Further analysis is required with regard to additional specific situations and other issues raised in this legal assessment.

text: Yours sincerely,

text: For the EDPB For the EDPS

text: Andrea Jelinek Giovanni Buttarelli

text: Attached: Annex Cc: Antoine CAHEN, Head of Unit, LIBE Secretariat. Jose-Manuel de FRUTOS GOMEZ, Administrator, LIBE Secretariat.