text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTTRANDE

text: HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: ( ) EUT L 281 av den 23.11.1995, s. 31. ( ) EUT L 8 av den 12.1.2001, s. 1. ( ) EUT C 47 av den 25.2.2006, s. 27. ( ) Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter. ( ) Formellt finns det inga offentliga handlingar tillgängliga och datatillsynsmannen deltar inte direkt i överläggningarna i rådets arbetsgrupp. Lägesrapporter om rådets arbete finns på webbsidan Statewatch (www.statewatch.org).

text: ( ) Avtal mellan Europeiska unionen och Amerikas förenta stater om lufttrafikföretags behandling av passageraruppgifter och överföring av dessa till Förenta staternas Department of Homeland Security, EUT L 298, 27.10.2006, s. 29. ( ) Se

text: artikel 13

text: jämförd med

text: artikel 6.1 b i direktiv 95/46/EG

text: och

text: artikel 9

text: jämförd med artikel 5 b i konvention 108. ( ) Se

text: artikel 8 i direktiv 95/46/EG

text: och artikel 6 i konvention 108.

text: Europaparlamentets och rådets direktiv 2006/24/EG av den 15 mars 2006

text: om lagring av uppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv

text: , EUT L 105, 13.4.2006, s. 54. ( ) Se yttrande 10/2006 av den 22 november 2006 från arbetsgruppen för uppgiftsskydd (artikel 29‑gruppen) om behandling av personuppgifter av Society for Worldwide Interbank Financial Telecommunication (SWIFT). ( ) Dom i

text: mål C-317/04

text: och

text: . ( ) Se även mer exakt: Artikel 2 i tilläggsprotokollet (som ratificerats av flera medlemsstater) som överensstämmer med artiklarna

text: i direktiv 95/46/EG.

text: Peter HUSTINX

amnesord:
Rights of the Individual
Judicial Cooperation
Police Cooperation

title: Data protection in third pillar

text: 26.4.2007 SV Europeiska unionens officiella tidning C 91/9

text: Europeiska datatillsynsmannens andra yttrande om förslaget till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete

text: (2007/C 91/02)

text: med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

text: med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artikel 8,

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( ),

text: med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter ( ), särskilt

text: artikel 41

text: 1. Den 19 december 2005 utfärdade Europeiska datatillsynsmannen ett yttrande ( ) om kommissionens förslag till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. I detta yttrande betonade han förslagets betydelse som ett effektivt instrument för skydd för personuppgifter på det område som omfattas av avdelning VI i EU-fördraget. Ett sådant instrument bör inte bara respektera principerna för uppgiftsskydd enligt Europarådets konvention nr 108 ( ), och mer specifikt enligt direktiv

text: , utan också sörja för ytterligare en rad regler med hänsyn till brottsbekämpningens särskilda natur. För datatillsynsmannen är det väsentligt att rambeslutet omfattar all databehandling av polisuppgifter och rättsliga uppgifter, även om de inte överlämnas eller görs tillgängliga av de behöriga myndigheterna i andra medlemsstater. Samstämmighet i skyddet av personuppgifter är mycket viktigt, oavsett var, av vem eller för vilket ändamål de behandlas. Datatillsynsmannen har lämnat flera förslag till förbättring av skyddsnivån.

text: 2. Den 27 september 2006 antog Europaparlamentet en lagstiftningsresolution om kommissionens förslag. I allmänna ordalag har resolutionen samma mål som datatillsynsmannens yttrande, nämligen stöd för förslaget i stort och förslag till ändringar i syfte att öka den skyddsnivå som rambeslutet erbjuder.

text: 3. Kommissionens förslag diskuteras för närvarande i rådet. Rådet påstås ( ) göra framsteg och ändrar väsentliga inslag i förslaget. Rådets ordförandeskap gör stora insatser för att göra ytterligare framsteg. Dess syfte är att komma fram till en gemensam inställning om de viktigaste inslagen senast i december 2006.

text: 4. Datatillsynsmannen välkomnar att rådet ägnar mycket uppmärksamhet åt detta viktiga förslag. Han är emellertid bekymrad över vart händelseutvecklingen leder. I de texter som för närvarande diskuteras i rådet införlivas varken Europaparlamentets förslag till ändringar eller yttrandena från datatillsynsmannen och Europeiska dataskyddskonferensen. Tvärtom stryks i många fall bestämmelser till skydd för medborgarna i kommissionens förslag eller försvagas i hög grad. Resultatet är att det finns en betydande risk att skyddsnivån kommer att bli lägre än skyddsnivån enligt direktiv

text: eller till och med lägre än i Europarådets mer allmänt formulerade konvention nr 108 som är bindande för medlemsstaterna. C 91/10 SV Europeiska unionens officiella tidning 26.4.2007

text: 5. Datatillsynsmannen noterar att även Europaparlamentets utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor (LIBE) nyligen gav uttryck för oro över rådets val när det gäller detta förslag till rambeslut.

text: 6. Det är av dessa skäl som datatillsynsmannen nu utfärdar ett andra yttrande. Detta andra yttrande inriktas på vissa väsentliga problem och alla punkter i datatillsynsmannens yttrande från december 2005, tas inte upp igen, men gäller i samtliga fall fortfarande. Allmänna problem

text: 7. Inom det område med frihet, säkerhet och rättvisa som är under utveckling blir utbytet av polisuppgifter och rättsliga uppgifter allt viktigare. Flera rättsinstrument föreslås eller har antagits för att underlätta detta informationsutbyte. Datatillsynsmannen understryker ännu en gång att det behövs en solid rättslig ram som skyddar de registrerade för att säkerställa att medborgarnas grundläggande rättigheter respekteras. Detta (förslag till) rambeslut är direkt kopplat till förslagen om att underlätta informationsutbytet.

text: 8. Datatillsynsmannen inser vikten av att rådet snarast antar rambeslutet, men påpekar att det snabba beslutsfattandet inte bör leda till sänkta skyddsnormer. De texter som för närvarande diskuteras i rådet väcker tvivel om huruvida resultatet kommer att bli tillräckligt stabilt för att medborgarna skall få en effektiv skyddsnivå. I den nuvarande situationen förefaller det som om följden av målet att göra det snabbt blir att eventuellt kontroversiella bestämmelser tas bort eller försvagas. Bristen på tid för att nå konsensus om eventuellt kontroversiella bestämmelser kan leda till att rambeslutets kvalitet äventyras.

text: 9. Under dessa omständigheter rekommenderar datatillsynsmannen att rådet avsätter mer tid för förhandlingarna så att man uppnår ett resultat som ger tillräckligt skydd. Tillämpbarhet på nationell uppgiftsbehandling

text: 10. Denna fråga var ett väsentligt inslag i yttrandet från december 2005 och diskuterades ingående efteråt. Gemensamma regler om uppgiftsskydd bör tillämpas för alla uppgifter inom polissamarbete och rättsligt samarbete och inte begränsas till gränsöverskridande utbyte mellan medlemsstaterna. Ett mer begränsat tillämpningsområde kan inte erbjuda lämpligt skydd enligt kraven i artikel 30.1 b i EUfördraget. Denna punkt betonades vid flera tillfällen, också av andra aktörer än datatillsynsmannen.

text: 11. I sitt yttrande från december 2005 konstaterade datatillsynsmannen att varje begränsning av de uppgifter som utbyts med andra medlemsstater skulle göra rambeslutets tillämpningsområde synnerligen osäkert och vagt, vilket skulle motverka dess huvudsakliga syfte. Vid tidpunkten för insamling och behandling av personuppgifter vet man inte om dessa uppgifter senare kommer i fråga för ett utbyte med behöriga myndigheter i andra medlemsstater.

text: 12. Av detta skäl är ett mer begränsat tillämpningsområde svårhanterligt och, om det infördes, skulle kräva svåra och exakta distinktioner inom de brottsbekämpande myndigheternas databaser som bara skulle leda till ytterligare komplikationer och kostnader för dessa myndigheter och dessutom skada enskilda personers rättssäkerhet.

text: 13. Två exempel kan ges för att belysa konsekvenserna. För det första uppstår ytterligare komplikationer och kostnader genom att kriminalregistren i många fall är sammanställda av uppgifter från olika myndigheter. Konsekvensen av ett begränsat tillämpningsområde skulle bli att delar av sådana sammanställda register, dvs. de delar som innehåller uppgifter från myndigheter i andra medlemsstater, skulle vara skyddade enligt rambeslutet och att andra delar inte skulle vara skyddade. För det andra skulle enskilda personers rättssäkerhet skadas, eftersom uppgifter från tredjeländer som inte har utbytts mellan medlemsstaterna inte skulle omfattas av rambeslutet om tillämpningsområdet begränsas. Det säger sig självt att behandlingen av dessa uppgifter innebär särskilda risker för den registrerade om det exempelvis inte skulle finnas någon rättslig skyldighet att undersöka om uppgifterna är korrekta. Ett bra exempel skulle vara användning av tredjeländers förteckningar över personer med flygförbud för brottsbekämpande ändamål i en medlemsstat. 26.4.2007 SV Europeiska unionens officiella tidning C 91/11

text: 14. Datatillsynsmannen betonar på nytt att en hög uppgiftsskyddsnivå är nödvändig inom polissamarbete och rättsligt samarbete, ett område där behandlingen av personuppgifter på grund av dess art innebär särskilda risker för medborgarna, vilket bland annat erkänns genom

text: artikel 30.1 b i EU-fördraget

text: . Dessutom skulle stora avvikelser mellan uppgiftsskyddet inom första och tredje pelaren inte bara påverka medborgarnas rätt till skydd av personuppgifter utan också inverka på brottsbekämpningens effektivitet och det ömsesidiga förtroendet mellan medlemsstaterna.

text: 15. Förslaget tjänar båda dessa syften. För medborgaren skulle det ge garantier mot oriktig användning av hans eller hennes personuppgifter. För den medborgare som drabbas har det ingen betydelse om uppgifter om honom eller henne behandlas i samband med ett utbyte mellan medlemsstaterna eller i rent nationella sammanhang. Dessutom skulle det bidra till det ömsesidiga förtroendet mellan medlemsstaterna som ett villkor för ett framgångsrikt informationsutbyte. Om gemensamma normer tillämpas för behandlingen av uppgifter kommer detta att leda till att uppgiftsutbytet mellan medlemsstaterna lättare accepteras.

text: 16. Datatillsynsmannen varnar för att en begränsning av rambeslutets tillämpningsområde till uppgifter i samband med ett utbyte inte skulle innebära någon fullständig garanti för att förtroende skapas mellan medlemsstaternas myndigheter. Dessutom skyddar en begränsad text inte medborgarna på lämpligt sätt. Under dessa omständigheter skulle rambeslutet inte längre ge medborgarna tillräckliga garantier mot eventuellt missbruk av hans eller hennes uppgifter från de offentliga myndigheternas sida. Datatillsynsmannen anser att lagstiftningens funktion som ”sköld” är viktig, om än bara för att garantera att Europeiska unionen respekterar de grundläggande rättigheterna i enlighet med

text: artikel 6 i EU-fördraget

text: 17. Slutligen finns det ett strategiskt argument för ett rambeslut som är tillämpligt på all behandling. Som de senaste förhandlingarna med Förenta staterna om ett nytt avtal om behandling och överföring av uppgifter om flygpassagerare ( ) visar, skulle en solid EU-lagstiftning till skydd för medborgarna i alla interna EU-situationer också stärka EU:s position i förhandlingar med tredjeländer. I avsaknad av en sådan solid lagstiftning skulle det vara tämligen svårt att insistera på en adekvat skyddsnivå i tredjeländer som en förutsättning för överföring av personuppgifter. Andra problem

text: 18. Betoning på uppgifternas kvalitet. Artikel 4 i kommissionens förslag innehåller inte bara de viktigaste principerna om uppgifternas kvalitet enligt direktiv

text: men anger också en del särskilda regler. I artikeln skiljer man mellan olika typer av registrerade (misstänkta, dömda, offer, vittnen, osv.). Uppgifter som dessa bör behandlas olika, med särskilda skyddsåtgärder, särskilt när det gäller icke misstänkta. Vidare innehåller den skyldigheter för medlemsstaterna att särskilja uppgifterna efter deras grad av exakthet och tillförlitlighet. Detta är en viktig bestämmelse eftersom de brottsbekämpande myndigheterna också använder icke kontrollerade uppgifter grundade på antaganden och inte nödvändigtvis på fakta. Datatillsynsmannen betraktar dessa bestämmelser som väsentliga skyddsåtgärder som inte bör utgå ur förslaget eller göras frivilliga.

text: 19. Uppgiftsbehandling och begränsning av ändamålet. I yttrandet från december 2005 analyserade datatillsynsmannen behovet av bättre rättsliga bestämmelser om senare behandling av uppgifter som har samlats in av en myndighet för ett visst ändamål. Datatillsynsmannens betänkligheter när det gäller

text: artikel 5

text: avser nu hans åsikt att (senare) behandling av uppgifter för bredare ändamål å ena sidan måste tillåtas, men å andra sidan måste exakta villkor för senare behandling anges i lagstiftningen för att skydda den registrerade. Datatillsynsmannen varnar för lösningar som överlåter denna fråga helt till den nationella lagstiftningen eller som inte begränsar villkoren för senare behandling i överensstämmelse med direktiv

text: och Europarådets konvention nr 108 ( ). Behandlingen av särskilda kategorier av uppgifter hanteras i direktiv

text: och konvention nr 108 genom ett allmänt förbud med undantag ( ). Datatillsynsmannen är oroad över att det allmänna förbudet kommer att tas bort i rambeslutet, och att undantaget därigenom blir regel. Denna lösning skulle avvika från direktiv

text: och dessutom inte överensstämma med konvention nr 108. C 91/12 SV Europeiska unionens officiella tidning 26.4.2007

text: 20. Utbyte av uppgifter med andra myndigheter och privata parter. Kommissionens förslag innehåller begränsningar och särskilda skyddsåtgärder för informationsutbyte med andra myndigheter än polisen och de rättsliga myndigheterna, dvs. privata parter och myndigheter i ett tredjeland. Datatillsynsmannen betonar vikten av dessa särskilda bestämmelser av följande skäl. För det första innebär informationsutbyte med dessa tredje parter särskilda risker (överträdelse av säkerhetsreglerna, senare behandling för olika ändamål, osv.). För det andra blir tredje parters medverkan i brottsbekämpningen och i behandlingen av information om brottsbekämpning allt vanligare. Direktiv

text: om lagring av 1 2 uppgifter ( ), avtalet om passageraruppgifter med Förenta staterna och det så kallade Swift-fallet ( ) är goda exempel. För det tredje väcker EG-domstolens dom av den 30 maj 2006 ( ) angående passageraruppgifter allvarliga tvivel på skyddet av personuppgifter som samlas in av privata parter för kommersiella ändamål och senare behandlas för brottsbekämpande ändamål.

text: 21. När det gäller överföringen till och från andra - offentliga eller privata - parter inom EU, är det viktigt att förslaget tar upp frågan i exakta termer och erbjuder lösningar som överensstämmer med direktiv

text: . Lösningarna måste säkerställa att följderna av pelarstrukturen - särskilt osäkerheten om avgränsningen av de båda pelarna när det gäller utbytet av personuppgifter mellan brottsbekämpande myndigheter och andra parter - inte gör skyddet mindre effektivt.

text: 22. Beträffande överföringen av uppgifter från tredjeländer skall det enligt kommissionens förslag finnas ett kommissionsbeslut om adekvat skydd. Om rådet inte kan godta detta skulle det leda till att varje medlemsstat kommer att besluta om adekvat skydd på egen hand eller, ännu värre, överföra uppgifterna utan att undersöka skyddsnivån i tredjelandet. Avsaknaden av ett harmoniserat system för utbyte av personuppgifter med tredjeländer kan också — inverka skadligt på förtroendet mellan medlemsstaternas myndigheter, eftersom en myndighet kan vara mindre villig att utbyta information med en myndighet i en annan medlemsstat om denna medlemsstat också kan utbyta denna information med myndigheter i tredjeländer utan tydliga skyddsåtgärder, — leda till kringgående manövrer; om myndigheten i en medlemsstat inte kan ta emot information direkt från en annan medlemsstat på grund av det skydd som rambeslutet ger, kan den be om hjälp från en myndighet i ett tredjeland, — göra det möjligt för myndigheter i ett tredjeland att ägna sig åt forum shopping. Dessa myndigheter kan be om information i den medlemsstat som har de lägsta rättsliga kraven för överföringar. Datatillsynsmannen anser att det är väsentligt att mekanismer som garanterar gemensamma normer och samordnade beslut om adekvat skydd införs, bland annat för att följa Europarådets konvention nr 108 (särskilt

text: artikel 12

text: ) ( ). I rambeslutet bör sådana mekanismer föreskrivas.

text: 23. Datatillsynsmannen inser att flera medlemsstater ifrågasätter den rättsliga grunden för införandet av en bestämmelse om utbyte av personuppgifter med ett tredjeland i de fall när dessa uppgifter inte mottas från eller ställs till förfogande av den behöriga myndigheten i en annan medlemsstat. Enligt datatillsynsmannen finns det inga skäl för att ifrågasätta denna rättsliga grund. De exempel som utvecklades närmare i yttrandet från december 2005 och de argument som nämndes i föregående punkt visar att det finns en direkt koppling mellan detta utbyte med tredjeländer och polissamarbetet och det rättsliga samarbetet enligt

text: artikel 29 i EU-fördraget

text: . En bestämmelse om utbyte av personuppgifter med ett tredjeland måste betraktas som en kompletterande och nödvändig bestämmelse i syfte att uppnå målen i

text: artikel 29 i EU-fördraget

text: jämförd med

text: artikel 6 i EU-fördraget

text: , särskilt ett närmare samarbete av polismyndigheter med respekt för grundläggande rättigheter. 26.4.2007 SV Europeiska unionens officiella tidning C 91/13

text: 24. Den registrerades rättigheter. Den registrerade har rätt att bli informerad om behandlingen av hans eller hennes personuppgifter. Denna rättighet är kopplad till principen om rättvis och laglig behandling av personuppgifter som i sig respekteras i rambeslutet och dessutom skyddas enligt Europarådets konvention nr 108, särskilt

text: artikel 5 a

text: och

text: artikel 8

text: . Ett viktigt inslag i denna rättighet är att informationen bör ges av den registeransvarige på eget initiativ. Eftersom den registrerade vanligen inte vet och inte kan veta att information om honom eller henne behandlas, skulle det strida mot rättighetens natur att kräva en begäran från den registrerade. Naturligtvis finns det undantag från denna rätt att bli informerad, och det är uppenbart att undantagen kan ha stor betydelse när det gäller brottsbekämpning, eftersom information om brottsutredningar skulle kunna skada själva utredningen. En lösning som gör rätten till information avhängig av en begäran från den registrerade skulle dock inte kunna godtas och inte vara förenlig med Europarådets konvention nr 108.

text: 25. Datatillsynsmannen betonar att dataskyddsmyndigheternas ställning bör överensstämma med den ställning som de tilldelades enligt direktiv

text: . Denna ställning är så mycket mera viktig eftersom det rör sig om polissamarbete och rättsligt samarbete. Samarbetet mellan brottsbekämpande myndigheter för att effektivt bekämpa terrorism och annan grov brottslighet kräver behandling av ofta känsliga personuppgifter och undantag från de registrerades rättigheter (se t.ex. föregående punkt om rätten att bli informerad).

text: 26. Datatillsynsmannen framhåller för det första behovet av effektiv övervakning och inspektion från myndigheternas sida av behandlingen av personuppgifter inom tillämpningsområdet för detta rambeslut, särskilt när personuppgifter utbyts mellan medlemsstaterna inom polissamarbetet. För det andra bör myndigheternas rådgivande roll säkerställas i den nationella rättskipningen och i det institutionaliserade nätverket av dataskyddsmyndigheter, dvs. den arbetsgrupp som består av dessa myndigheter (i direktivet kallad artikel 29-gruppen). Dataskyddsmyndigheternas bidrag behövs för att öka överensstämmelsen mellan skyddet enligt detta instrument och skyddet enligt direktiv

text: , för att garantera att de rättsliga skyldigheterna uppfylls och för att uppnå fullständig harmonisering mellan medlemsstaterna också på den praktiska nivån.

text: 27. Artikel 24 i kommissionens förslag innehåller detaljerade säkerhetsregler som kan jämföras med reglerna i Europolkonventionen. Datatillsynsmannen varnar för att stryka dessa regler ur förslaget. En harmoniserad säkerhetsnivå är ett viktigt verktyg för att öka de registrerades förtroende och förtroendet mellan medlemsstaternas myndigheter.

text: 28. I sitt yttrande från december 2005 rekommenderade datatillsynsmannen att särskilda skyddsåtgärder borde införas när det gäller behandlingen av vissa kategorier av uppgifter, till exempel biometriska uppgifter och DNA-profiler. Inom brottsbekämpningen blir användningen av dessa kategorier av uppgifter allt mer betydelsefull, men användningen kan medföra särskilda risker för den registrerade. Det behövs gemensamma regler. Datatillsynsmannen beklagar att rådet, åtminstone inte synbarligen, har beaktat rekommendationen. Datatillsynsmannen uppmanar kommissionen och rådet att anta ett förslag i denna fråga, med eller utan anknytning till principen om tillgänglighet. Slutsats

text: 29. Datatillsynsmannen rekommenderar att rådet avsätter mer tid för förhandlingarna så att man uppnår ett resultat som erbjuder tillräckligt skydd. Datatillsynsmannen erkänner vikten av att rådet snarast kan anta rambeslutet, men påminner om att det snabba beslutsfattandet inte bör leda till sänkta skyddsnormer.

text: 30. Ett samstämmigt skydd är väsentlig, oberoende av var, av vem eller för vilket ändamål personuppgifterna behandlas. Datatillsynsmannen uppmanar rådet att respektera en skyddsnivå som inte är lägre än den skyddsnivå som erbjuds enligt direktiv

text: eller Europarådets mer allmänt formulerade konvention nr 108 som är bindande för medlemsstaterna.

text: 31. Gemensamma regler om uppgiftsskydd bör tillämpas för alla uppgifter inom polissamarbete och rättsligt samarbete och inte begränsas till gränsöverskridande utbyte mellan medlemsstaterna. Detta yttrande innehåller argument som visar att ett mer begränsat tillämpningsområde är svårhanterligt och, om det infördes, skulle leda till ytterligare komplikationer och kostnader för dessa myndigheter och dessutom skada enskilda personers rättssäkerhet. C 91/14 SV Europeiska unionens officiella tidning 26.4.2007

text: 32. Datatillsynsmannen har även följande betänkligheter: — De särskilda bestämmelserna om uppgifternas kvalitet i kommissionens förslag bör inte utgå ur förslaget eller göras frivilliga. — Bestämmelserna om senare användning av uppgifter och om särskilda kategorier av uppgifter bör överensstämma med direktiv

text: och Europarådets konvention nr 108. — De särskilda bestämmelserna om utbyte av uppgifter med andra parter än brottsbekämpande myndigheter i EU bör inte utgå ur förslaget och bör inte heller begränsas. När det gäller utbyte av uppgifter med ett tredjeland bör åtminstone mekanismer som garanterar gemensamma normer och samordnade beslut om adekvat skydd införas, bland annat för att uppfylla Europarådets konvention nr 108. Rambeslutet bör föreskriva sådana mekanismer. — Lösningar som gör rätten till information avhängig av en begäran från den registrerade kan inte godtas och är inte förenliga med Europarådets konvention nr 108. — Dataskyddsmyndigheternas ställning bör överensstämma med den ställning de tilldelades enligt direktiv

text: . — De detaljerade säkerhetsreglerna, som kan jämföras med reglerna i Europolkonventionen, bör inte utgå ur förslaget. — Kommissionen och rådet bör anta ett förslag om behandling av särskilda kategorier av uppgifter, till exempel biometriska uppgifter och DNA-profiler, med eller utan anknytning till principen om tillgänglighet. Utfärdat i Bryssel den 29 november 2006 Europeisk datatillsynsman


text: ( ) Ett illustrativt exempel på detta finns i datatillsynsmannens yttrande om Europaparlamentets TOP 50-förfarande (fall 2004-0126).

identifier: EDPS yttrande (2006)

amnesord:
Finance & Economy
Privacy in the EU Institutions
Anti-fraud
Transparency

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Financial Regulation

serie: yttranden

text: C 94/12 SV Europeiska unionens officiella tidning 28.4.2007

type: stycke

text: Yttrande från Europeiska datatillsynsmannen om ändrat förslag till rådets förordning om ändring av rådets förordning (EG, Euratom) nr 1605/2002 med budgetförordning för Europeiska gemenskapernas allmänna budget (KOM(2006) 213 slutlig) och förslag till kommissionens förordning (EG, Euratom) om ändring av förordning (EG, Euratom) nr 2342/2002 om genomförandebestämmelser för rådets förordning (EG, Euratom) nr 1605/2002 med budgetförordning för Europeiska gemenskapernas allmänna budget (SEK(2006) 866 slutlig)

text: (2007/C 94/03)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA och varje gång det visar sig nödvändigt. Huvudsyftet med YTTRANDE förslaget till budgetförordning är att göra reglerna effektivare och tydligare genom att skapa en bättre balans mellan med beaktande av fördraget om upprättandet av Europeiska kostnaden för kontrollfunktioner och de faktiska finansiella gemenskapen, särskilt artikel 286, riskerna, samtidigt som skyddsnivån för gemenskapens medel förblir hög. Det ändrade BF-förslaget godkändes genom förlikningsförfarande mellan Europaparlamentet och med beaktande av Europeiska unionens stadga om de grundlägrådet i slutet av november 2006. Detta yttrande beaktar gande rättigheterna, särskilt artikel 8, 5 den texten ( ).

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( ), 3. För att påskynda lagstiftningsprocessen tog kommissionen initiativet att lägga fram ett förslag till kommissionens med beaktande av Europaparlamentets och rådets förordning förordning (EG, Euratom) om ändring av förordning (EG,

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för Euratom) nr 2342/2002 om genomförandebestämmelser enskilda då gemenskapsinstitutionerna och gemenskapsorganen för rådets förordning (EG, Euratom) nr 1605/2002 med behandlar personuppgifter och om den fria rörligheten för 2 budgetförordning för Europeiska gemenskapernas allmänna sådana uppgifter ( ), särskilt artikel

text: budget ( ) (nedan kallat GB-förslaget). Samråd hålls med Europeiska datatillsynsmannen (EDPS) inom ramen för med beaktande av begäran om yttrande i enlighet med artikel dessa båda förslag. 28 i förordning

text: (EG) nr 45/2001

text: , avsänd den 18 maj 2006 (det ändrade förslaget till budgetförordning) och den 4 juli 2006 (förslaget om genomförandebestämmelser) av kommissionen,

text: 4. Datatillsynsmannen anser det viktigt med en analys av förslagen eftersom de kommer att påverka hur vissa per- HÄRIGENOM FRAMFÖRS FÖLJANDE. sonuppgifter för enskilda personer som rör finansiell verksamhet behandlas. En av förslagens huvudpunkter gäller att kommissionen skall inrätta och driva en för samtliga institutioner och organ gemensam central databas över anbuds- I. INLEDNING sökande och anbudsgivare i särskilda situationer som leder till uteslutning i samband med bedrägeri och att tillåta

text: 1. Rådets förordning (EG, Euratom) nr 1605/2002 av den 25 utbyte av informationen i databasen med myndigheter på juni 2002 med budgetförordning för Europeiska gemen- olika nivåer. Datatillsynsmannen framhåller att den plane- 3 rade centrala databasen, som skulle inkludera anbudssöskapernas allmänna budget ( ) (nedan kallad BF), innehåller de grundläggande rättsliga bestämmelserna för budgetför- kande och anbudsgivare som befunnit sig i någon av de valtningsreformen. Kommissionen antog i december 2002, situationer som avses i artiklarna

text: 96.1 b

text: och

text: 96.2 a

text: efter omfattande samråd med övriga institutioner, genomfö- i budgetförordningen, fanns redan före ändringen av randebestämmelserna för budgetförordningen (nedan budgetförordningen ( ). Den befintliga databasen är kallade GB). Båda förordningarna, som gäller för samtliga hänvisad till att använda varningar på olika nivåer (1, 2, 3, institutioner, trädde i kraft den 1 januari 2003. 4, 5a och 5b), allt efter deras inverkan på anbudssökande och anbudsgivare. Den befintliga databasen som utvecklades på institutionsnivå av kommissionen har dock bredare till-

text: 2. Det ändrade förslaget till rådets förordning om ändring av ämpningsområde än som är tänkt i budgetförordningens förordning (EG, Euratom) nr 1605/2002 med budgetförord- 4 förslag (detta täcker bara varningar på nivå 5). Denna ning för Europeiska gemenskapernas allmänna budget ( ) centrala databas och andra aspekter av förslagen kräver en (nedan kallat BF-förslaget) som antogs 2006 läggs fram för omsorgsfull analys ur dataskyddssynpunkt. att uppfylla kraven i artikel 184 i BF som innehåller föreskrifter om översyn av budgetförordningen vart tredje år 5 ( )

text: Artikel 95.3

text: .2 har strukits ur det ändrade förslaget, vilket innebär en förbättring ur dataskyddssynpunkt. 1 6 ( ) EGT L 281, 23.11.1995, s. 31 ( ) Dok. SEK(2006) 866 slutlig. 2 7 ( ) EGT L 8, 12.1.2001, s. 1 ( ) För en analys av den rådande situationen se datatillsynsmannens ( ) EGT L 248, 16.9.2002, s. 1 förgranskningsyttrande om kommissionens system för snabb varning, ( ) Dok. KOM(2006) 213 slutlig – 2005/0090 (CNS). från den 6 december 2006; finns att tillgå på: www.edps.europa.eu. 28.4.2007 SV Europeiska unionens officiella tidning C 94/13 Samråd med datatillsynsmannen sådana uppgifter kan komma att offentliggöras, och i att man förvissar sig om att de registrerades rätt att få tillgång till uppgifter och deras rätt att göra invändningar respekteras. Denna princip bör också gälla vid offentliggörande i 5. BF- och GB-förslagen sändes av kommissionen till datatillefterhand av mottagarna (artikel 169 i genomförandebesynsmannen för rådgivning i enlighet med artikel 28.2 i stämmelserna). förordning

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (nedan kallad förordning

text: (EG) nr 45/2001

text: ). Med tanke på att

text: artikel 28.2 i förordning (EG) nr 45/2001

text: är bindande välkomnar datatillsynsmannen den utryckliga hänvisningen till detta II.2 Central databas för systemet för snabb varning samråd i förslagens ingress. (EWS)

text: 9. I artikel 95 i BF-förslaget föreskrivs att det inrättas en II. ANALYS AV FÖRSLAGEN central databas som skall innehålla de relevanta uppgifterna om anbudssökande och anbudsgivare som är i en situation som kan medföra uteslutning som avses i artiklarna

text: ( ), 96.1 b och 96.2 a och att den skall drivas av 6. För kommissionen, som ansvarar för verkställigheten av Europeiska unionens allmänna budget och övriga medel kommissionen i enlighet med gemenskapens bestämmelser som gemenskaperna förvaltar, gäller en skyldighet att om behandling av personuppgifter. Som redan nämns i motarbeta bedrägeri och all annan olaglig verksamhet som inledningen innebär inte denna nya version av

text: artikel 95

text: , med dess betoning av kommissionens ledande roll, en berör gemenskapernas finansiella intressen. I BF- och GBändring i sak av rådande praxis (dvs. i

text: artikel 95

text: BF fastförslagen fastställs nya förpliktelser för kommissionen ställs att varje institution skall ha sin egen centrala databas). beträffande tilldelning av kontrakt och bidrag till tredje parter inom ramen för förvaltningen av gemenskapsmedel. Institutionerna ( ) har ju för närvarande inte någon särskild Med beaktande av att det i förslagen fastställs regler som databas utan utnyttjar Europeiska kommissionens databas skall följas för att se till att gemenskapernas finansiella och utbyter information med denna ( ). Denna databas hanteras enligt det förfarande som föreskrivs i kommissiointressen skyddas är det väsentligt att därvid uppgiftsskydd nens beslut om systemet för snabb varning (EWS) ( ). och skyddet för privatlivet för de berörda personerna på Kommissionen centraliserar all relevant information och lämpligt sätt garanteras vid behandling av personuppgifter. fungerar som ett nav mellan alla institutioner som deltar i systemet. II.1 Insyn 10. I artikel 95 i förslaget till budgetförordning fastställs också att databasen skall vara gemensam för de genomförandeorgan, institutioner och organ som nämns i artikel 185 i BF. I den godkända versionen av budgetförordningen fast- 7. Datatillsynsmannen erkänner att förslagen tillskyndar ställs det vidare i

text: artikel 95

text: att medlemsstaternas och tredjeviktiga principer för sund ekonomisk förvaltning, nya prinländernas myndigheter samt de organ som deltar i genomciper introduceras, andra förstärks. Exempelvis noterar dataförandet av budgeten skall meddela den behöriga utanordtillsynsmannen att det i skäl 1 i förslaget till budgetförordnaren information om anbudssökande och anbudsgivare ning föreskrivs att ”insynen, i all synnerhet, måste stärkas som befinner sig i en av de situationer som avses i artikel genom att information lämnas om mottagarna av gemenskapens 93.1 e (dvs. enligt lagakraftvunnen dom). Denna informamedel.” Denna princip utvecklas i artiklarna 30.3 och 53 i tion skall meddelas när den berörda aktörens beteende BF. skadat gemenskapens finansiella intressen (

text: artikel 95.2

text: ). Konsekvenserna av dessa aktörers inblandning kommer att analyseras nedan. 8. I dessa bestämmelser, som handlar om principen om insyn, införs som en nyhet att uppgiften om mottagarna av medel 9 ( ) I artiklarna

text: och

text: (som läses tillsammans med

text: artikel 114.2

text: ) fastsom härrör från budgeten skall offentliggöras. Datatill- ställs en skyldighet att utesluta tredje parter från deltagande i ett synsmannen är för att denna princip införs med vederbörlig upphandlings- eller tilldelningsförfarande när de befinner sig i någon av 8 de situationer som avses i

text: artikel 93

text: BF eller att förbjuda tilldelning av respekt för direktiv

text: ( ) och förordning (EG) ett kontrakt eller bidrag till tredje parter i en situation där det föreligger nr 45/2001, men önskar understryka att ett proaktivt en intressekonflikt eller där falsk information har lämnats till den synsätt för de registrerades rättigheter bör respekteras upphandlande myndigheten för att få delta i en upphandling eller ett eftersom personuppgifter kommer att avslöjas. Detta proak- tilldelningsförfarande. tiva synsätt skulle kunna bestå i att de registrerade infor- ( )

text: Artikel 1

text: BF: Vid tillämpningen av denna förordning skall Ekonomiska och sociala kommittén, Regionkommittén, ombudsmannen och Euromeras på förhand, när personuppgifterna samlas in, om att peiska datatillsynsmannen behandlas som gemenskapsinstitutioner. ( ) Se datatillsynsmannens yttrande om domstolens förhandsgranskning ( ) Se artiklarna

text: och

text: i förordning (EG) nr 45/2001. Beträffande av systemet för snabb varning, som kommer att offentliggöras på vår begreppet proaktivt synsätt, se: Bakgrundsdokument från datatillsyn- webbplats. smannen: Allmänhetens tillgång till handlingar och uppgiftsskydd, den 12 ( ) C(2004) 193/3 som ändrats genom corrigendum C(2004)517, senast juli 2005, finns att tillgå på: http://www.edps.europa.eu/EDPSWEB/ ändrat genom 2006 års arbetsordning. Se: http://ec.europa.eu/budget/ edps/lang/en/pid/21 library/sound_fin_mgt/ews_decision_en.pdf. C 94/14 SV Europeiska unionens officiella tidning 28.4.2007

text: 11. Datatillsynsmannen godkänner principen om en central 15. Dessutom föreslår datatillsynsmannen att GB-förslaget i databas med anbudssökande och anbudsgivare som

text: artikel 134

text: a skall förtydliga vilka kategorier av organ som befunnit sig i någon av de situationer som avses i artiklarna berörs av databasen.

text: Artikel 134

text: a avser tredje parter, i LEF 93, 94, 96.1 b och 96.2 a mot bakgrund av de syften för även benämnda juridiska personer, som är antingen fysiska databehandling som avses i BF. Dessa syften är ökad effekti- personer eller juridiska personer. Dessutom förutses i vitet, förbättrat skydd för gemenskapens finansiella förslaget en tredje kategori i den meningen att informaintressen och säkrad tillgång till skyddad information om tionen också kan innefatta fysiska personer som har rätt att tredje parter. representera, fatta beslut eller utföra kontroll hos vissa juridiska personer. Därför finns i det sistnämnda fallet fysiska personer med i systemet i den mån de har representationsbefogenhet. Enligt nuvarande praxis har de tagits upp som en ny autonom post i databasen. Sambanden och skillna- 12. Även om centrala databaser och storskaliga system nuför- derna mellan de juridiska personerna och fysiska personer tiden blir allt vanligare, anser emellertid datatillsynsmannen som har rätt att representera, fatta beslut eller utföra att behovet av en sådan databas i varje enskilt fall måste kontroll hos vissa juridiska personer bör framstå klarare bedömas noggrant och omsorgsfullt, och att det, när en efter ett förtydligande. sådan databas inrättas, måste införas särskilda garantier som vägleds av dataskyddsprinciper. Skälet bakom är en önskan att undvika alla tendenser som i onödan skulle påverka skyddet av personuppgifter. Som datatillsynsmannen ser saken måste varje förslag som syftar till central lagring av personuppgifter följa och i praxis genomföra det europeiska regelverket för dataskydd. Till exempel

text: artiklarna 4

text: (uppgif- II.2.b Uppdatering av databasens information ternas kvalitet), 5 (när personuppgifter får behandlas) och 10 (behandlingen av särskilda kategorier av uppgifter) i förordning

text: (EG) nr 45/2001

text: har störst relevans för de europeiska institutionernas behandling av personuppgifter. 16. Principen om uppgifternas kvalitet (

text: artikel 4 i förordning (EG) nr 45/2001

text: ) kräver att uppgifterna måste vara adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de insamlas ( ). Det är uppenbart att personuppgifternas kvalitet endast kan garanteras genom 13. Dessutom framhåller datatillsynsmannen att personupp- regelbunden och noggrann kontroll av att de är riktiga. gifter skall samlas in för berättigade ändamål (artikel 4.1 b i Enligt det förfarande som för närvarande föreskrivs i artikel förordning

text: (EG) nr 45/2001

text: ). Datatillsynsmannen anser 134a.2 i GB-förslaget skall kommissionen regelbundet, via härvid att det är ett rättmätigt intresse för institutionerna ett säkerhetsprotokoll, lämna kontrollerade uppgifter från och organen att inrätta systemet för att skydda gemenskap- databasen till de särskilt utsedda personer som avses i punkt ernas finansiella intressen och anseende, men eftersom en 1 i den artikeln. Detta förslag till tidsplan är oklart. Datatillvarning som utfärdas mot en person kan få allvarliga nega- synsmannen är medveten om att alternativ övervägs, där bl. tiva följdverkningar för en registrerad måste det införas a. permanent inlämning av data ingår. Men därmed skulle särskilda garantier för att tillvarata den registrerades rättmä- det inte räcka. Uppdateringen av den centrala databasen tiga intressen. Dessa garantier utvecklas i de följande punk- måste göras ofta, och periodiciteten måste struktureras och terna. följa en noggrann tidsplan (överföringar varje månad eller vecka skulle bidra till att uppdateringen av data görs korrekt och i tid). II.2.a Registrerade personer som berörs II.2.c Administration och säkerhet

text: 17. Den centrala databasen måste ha ett tillfredsställande skydd. 14. EWS-databasen är baserad på det centralt kontrollerade Administrationen av och respekten för en optimal säker- ”registret över juridiska personer” (nedan LEF) och hämtar hetsnivå i den centrala databasen är ett grundläggande krav data ur detta register. LEF är en allmän databas och omfattar för att säkra tillfredsställande skydd för personuppgifter juridiska personer eller individer som vid något tillfälle har lagrade i databasen och uppdateringen av databasen. För att (haft) avtalsmässiga och/eller finansiella kontakter med få till stånd denna tillfredsställande skyddsnivå måste något kommissionsorgan: Serviceorgan, personal, experter, ordentliga garantier införas för att hantera de potentiella bidragsmottagare. Artikel 95 i BF-förslaget hänvisar endast riskerna i samband med systemets infrastruktur och de till anbudssökande och anbudsgivare och avser inte berörda personerna. personal eftersom de inte samtidigt kan vara anbudssökande och anbudsgivare. Datatillsynsmannen föreslår därför 13 ( ) Följande information ingår i EWS-systemet: Individens namn och ett förtydligande av definitionen av anbudssökande och adress – typ av EWS‑varning – startdatum – slutdatum för aktiv anbudsgivare i förslaget till genomförandebestämmelser för varning – kommissionsorgan som begärt utfärdande av EWS-flaggatt undvika sammanblandning av vilka organ som avses. ning. 28.4.2007 SV Europeiska unionens officiella tidning C 94/15

text: 18. Datatillsynsmannen anser därför att det måste införas ett 22. Den första situationen täcks av artikel 95.1 i BF-förslaget, konsekvent system för urval av utanordnare, för ett tillfreds- där det fastställs att databasen, inrättad och driven av ställande skydd av den information som är lagrad i den kommissionen, är gemensam för de genomförandeorgan, centrala databasen och för att skydda dess integritet. Artikel institutioner och organ som nämns i artikel 185 i BF. Data- 134a innehåller visserligen bestämmelser om urval och tillsynsmannen betonar att artikel 7 i förordning (EG) definition av uppgifterna för utanordnaren som skall nr 45/2001 är tillämplig när det gäller överföring av persoansvara för att begära att uppgifter införs i databasen och nuppgifter inom eller emellan institutioner eller organ i för att ta emot kontrollerade uppgifter från databasen, men gemenskapen. Därför påminner datatillsynsmannen om att detta förfarande gäller endast de genomförandeorgan, insti- mottagaren av uppgifterna skall hantera dem enbart för de tutioner eller organ som avses i artikel 185 i BF, och det ändamål som motiverade att de överfördes. genomförs för kommissionen i kommissionens beslut om systemet för snabb varning. Ingen särskild regel förutses för situationen när det gäller medlemsstater, tredjeländer eller internationella organisationer. Denna situation kan leda till inkonsekvenser i fråga om skyddet av de data som är åtkomliga. 23. Medlemsstaters, tredjeländers och internationella organisationers åtkomsträtt täcks av

text: artikel 95.2

text: andra strecksatsen i BF-förslaget. De skall ha tillgång till den information som ingår i databasen och kan ta hänsyn till den, när så är lämpligt och på eget ansvar, vid tilldelningen av kontrakt som är 19. Datatillsynsmannen rekommenderar att ta med bestäm- kopplade till genomförandet av budgeten. Därför föreskrivs melser i de kompletterande förvaltningsbestämmelserna om enligt förslaget automatisk tillgång till databasen inom hur tillgång till uppgifter beviljas medlemsstaternas myndig- ramen för tilldelningen av kontrakt som har anknytning till heter och organ, tredjeländer och internationella organisa- genomförandet av budgeten. tioner samt hur stor mängd data som är åtkomlig. Datatillsynsmannen anser att det är av stor vikt inte enbart att garantera säkerheten för den information som finns lagrad i databasen utan också att informationen sänds ut till de relevanta och behöriga myndigheterna, och inom myndigheterna uteslutande till de relevanta tjänstemännen. 24. Datatillsynsmannen understryker att

text: artikel 8 i förordning (EG) nr 45/2001

text: är tillämplig när medlemsstater står som mottagare av berörda data. Denna artikel behandlar överföring av personuppgifter till mottagare andra än institutioner och organ inom gemenskapen, med förbehåll för direktiv

text: . I detta fall är det sannolikt att man respekterar

text: artikel 8 a

text: , med tanke på att det finns ett samband mellan dels hur stort behovet är av data för fullgö- II.2.d Utbyte av data randet av de uppgifter som utförs av mottagarna och dels det sätt på vilket kommissionen valt att genomföra budgeten. Vidare följer alla dessa organ nationell lagstiftning om genomförande av direktiv

text: och är deras mål genomförandet av europeisk budget. 20. Datatillsynsmannen erkänner inrättandet av en gemensam central åtkomstpunkt för databasen, samordnad av kommissionen. Dessutom utvidgas genom BF-förslaget det nuvarande tillämpningsområdet för EWS eftersom det föreslås åtkomst för fler myndigheter och organ än i den tidigare versionen. Därför anger BF-förslaget olika situationer när 25. För tredjeländer och internationella organisationer är artikel det gäller tillgång till information. Situationerna avser olika 14 9 i förordning

text: (EG) nr 45/2001

text: tillämplig ( ). Enligt artikel myndigheter och organ och måste analyseras var för sig. Ur 9.1 förbjuds överföring av personuppgifter till andra mottaett dataskyddsperspektiv noterar datatillsynsmannen att gare än institutioner och organ inom gemenskapen, som denna rätt till åtkomst till databasen som beviljas olika inte lyder under nationell lagstiftning antagen enligt direktiv organ medför en dataöverföring till vart och ett av de

text: , om det inte finns garantier för en tillfredsstälberörda organen, trots att dessa data lagras av kommislande skyddsnivå i mottagarens land eller inom den mottasionen. Därför måste analysen göras med ledning av artikgande internationella organisationen och uppgifterna överlarna 7, 8 och 9 i förordning

text: (EG) nr 45/2001

text: som förs enbart för att möjliggöra fullgörandet av uppgifter som behandlar dataöverföring. täcks av den registeransvariges behörighet. Enligt förordning

text: (EG) nr 45/2001

text: medges undantag vilka täcker situationen med tilldelning av kontrakt som har anknytning till genomförandet av budgeten. Datatillsynsmannen framhåller dock 21. Förslaget till budgetförordning gör åtskillnad mellan två fall att dessa undantag skall tolkas restriktivt. Helst bör det vid av dataöverföring. Det första fallet avser överföring av data strukturella överföringar ställas krav på tillfredsställande inom eller mellan institutioner och organ inom gemen- garantier. Beträffande överföring från den centrala databasen skapen. Det andra fallet avser medlemsstaters och tredjelän- är dessa strukturella, varför behovet av garantier, exempelvis ders eller internationella organs åtkomsträtt. I detta yttrande genom avtalsbestämmelser i bidragsöverenskommelserna analyserar datatillsynsmannen medlemsstaternas situation för EU-medel, bör fastställas i genomförandebestämmelför sig och tredjeländernas eller de internationella organens serna. situation för sig, eftersom de behandlas separat i förordning

text: (EG) nr 45/2001

text: Artikel 9

text: är jämförlig med artiklarna

text: och

text: i direktiv 95/46/EG. C 94/16 SV Europeiska unionens officiella tidning 28.4.2007

text: 26. Dessutom är det enligt BF

text: artikel 95

text: inte enbart så att tred- Utifrån samma perspektiv erkänner datatillsynsmannen likajeländer förses med data från den centrala databasen. ledes ansträngningarna för att få till stånd ytterligare rätt till

text: Artikel 134

text: a i GB innehåller också bestämmelser om information. Exempelvis behandlas i skäl 36 i BF-förslaget mottagande av data från tredjeländer och internationella sådan rätt till information som skall ges, efter kontraktstillorganisationer, och de skall därför intyga för kommissionen delning, till anbudsgivare som inte fått sina anbud antagna. att informationen fastställdes och översändes i enlighet med Så som redan framhålls i detta yttrande föreslår datatillsynreglerna om skydd av personuppgifter. Datatillsynsmannen smannen att detta förfarande följs i alla berörda instituframhåller härvid vikten av principen om uppgifternas tioner, myndigheter och organ och att det föreskrivs i GBkvalitet när det sker internationella dataöverföringar. Garan- förslaget. tier måste ges för åtlydande av bestämmelserna i förordning

text: (EG) nr 45/2001

text: om uppgifters korrekthet och om uppdatering av uppgifter som lämnas till kommissionen och regi- 30. I

text: artikel 13 i förordning (EG) nr 45/2001

text: fastställs en registreras i databasen. När avtal ingås om finansieringen är det strerads rätt till tillgång till information som hanteras av därför viktigt att definiera vilka uppgifter som täcks och registeransvariga. För att denna rättighet skall införas bör vilka garantier som ges för kvaliteten. Behovet av sådana det därför i genomförandebestämmelserna fastställas att garantier bör också ingå i genomförandebestämmelserna. varje tredje part som tagits upp i databasen har rätt till tillgång till uppgifterna om sig själv och att denna rättighet inte får begränsas förutom av de skäl som nämns i

text: artikel 20 i förordning (EG) nr 45/2001

text: . Dessutom är åtkomsträtten nära besläktad med det proaktiva synsätt som nämns ovan i så måtto att ovetskap om att ha upptagits i II.2.e Anbudssökandes och anbudsgivares rättigheter databasen bl.a. medför att vederbörande inte kan utöva sin rätt till åtkomst.

text: 27. Anbudssökande och anbudsgivare som är registrerade i den centrala databasen skall få garantier för hanteringen av deras personuppgifter i den centrala databasen. Dessa garantier bör bl.a. bestå i den registrerades rätt att infor- II.2.f Behov av förhandsgranskning meras och att få tillgång till uppgifter som rör dem.

text: 31. Enligt

text: artikel 27.2 b i förordning (EG) nr 45/2001

text: kan 28. Rätten till information täcks av

text: artikel 134

text: a.1.3 i GBsärskilda risker uppstå för de registrerades rättigheter vid förslaget. Datatillsynsmannen anser dock att formuleringen behandlingsmoment där syftet är att bedöma de registreav denna punkt bör ses över och få följande tolkning: ”De rades personliga förhållanden, t.ex. deras kompetens, prestainstitutioner, genomförandeorgan, myndigheter och organ tionsförmåga och uppträdande. Samma sak gäller dessutom som avses i artikel 95.1 och 95.2 i budgetförordningen när behandlingen syftar till att enskilda personer skall skall intyga för kommissionen att informationen fastställts utestängas från att komma i åtnjutande av en rättighet, en och översänts i enlighet med reglerna om skydd av persoförmån eller ett avtal (

text: artikel 27.2 d

text: ). nuppgifter, och att den berörda tredje parten underrättats om överföringen av information.” Datatillsynsmannen understryker att förordning

text: (EG) nr 45/2001

text: är tillämplig på genomförandeorgan, institutioner och organ men att 32. När detta yttrande antogs hade såväl Europeiska kommisnationell lagstiftning om genomförande av direktiv sionen som Europeiska domstolen gjort en anmälan till

text: kommer att vara tillämplig i medlemsstaterna. datatillsynsmannen om en förhandsgranskning av systemet för snabb varning på grundval av den befintliga versionen Problem kan emellertid uppstå på nationell nivå när ett tredjeland inte ger sina medborgare rätt till information. av BF. Eftersom det i den nya versionen av BF införs Datatillsynsmannen anser att kommissionen bör skapa en ändringar i databasens hantering avseende inrättande och mekanism för att det skall stå klart för anbudssökande och drift av en gemensam databas som medlemsstaterna, tredjeanbudsgivare att de är upptagna i den centrala databasen. länder och internationella organisationer kommer att ha åtkomst till och kommer att sända uppgifter till, betraktar datatillsynsmannen det som en ändring i sak som omfattas av

text: artikel 27 i förordning (EG) nr 45/2001

text: . När kommis- 29. Vidare godkänner datatillsynsmannen ett proaktivt synsätt 15 sionen vidtar åtgärder för att genomföra de nya rättsliga för rätten till information ( ). I det förhandskontrollsfall ramarna kommer därför datatillsynsmannen att förhandsom genomförandet av systemet för snabb varning vid 16 granska systemet. domstolen ( ) välkomnar datatillsynsmannen att alla tredje parter har informerats på förhand om att deras personuppgifter kan komma att användas av domstolen inte endast för interna syften i samband med upphandlingsförfarandet utan också meddelas andra institutioner inom ramen för artiklarna

text: BF i syfte att tas upp i kommissionens III. TIDSFRISTER FÖR BEVARANDE OCH BUDGET- databas som avses i

text: artikel 95

text: BF. I sådana fall har en tredje part redan informerats om möjligheten att uteslutas från deltagande i upphandlingsförfarandet eller från kontraktstilldelningen, om den finns med i kommissionens databas. 33. Även om den inte täcks av de aktuella ändringar som ingår i förslagen, skulle datatillsynsmannen vilja utnyttja detta till- 15 fälle för att rikta uppmärksamheten på en bestämmelse ( ) Se ovan beträffande insynsprincipen. 16 som han behandlade vid tidigare fall med förhandsgransk- ( ) Kommer att offentliggöras snart på vår webbplats www.edps.europa. eu. ning som avsåg budgetfrågor. 28.4.2007 SV Europeiska unionens officiella tidning C 94/17 Befintliga ramar lingen, om det inte är nödvändigt att lagra dem ytterligare för att kunna fastställa, göra gällande eller försvara ett rättsligt anspråk i ett mål som redan är anhängiggjort vid en domstol. 34. I artikel 49 i de nuvarande genomförandebestämmelserna Om vid sexmånadersperiodens utgång ingen talan väckts om utanordnarnas förvaring av styrkande handlingar före- måste trafikdata utplånas eller avidentifieras. Om talan väckts skrivs att ”Förvaltningsförfarandena angående systemet för inom denna period avbryts därmed preskriptionsperioden förvaring av styrkande originalhandlingar skall omfatta fram till förfarandets slut och vidare fram till slutet av den följande: (...) d) Förvaring av dessa handlingar under minst 5 preskriptionsperiod som inträder vid eventuellt överklagande år från och med datumet för Europaparlamentets beviljande eller när överklagandet avslutats, allt efter omständigheterna. av ansvarsfrihet för det budgetår som handlingarna hänför Om på något sätt trafik- och faktureringsdata bevaras utöver sig till. Handlingar gällande transaktioner för vilka bokslut dessa sex månader måste detta motiveras på grundval av ännu inte upprättats skall bevaras fram till slutet av det år

text: artikel 20

text: . som följer på det år bokslutet gjordes, även om detta blir en längre period än vad som anges i första stycket punkt d.”

text: 41. I

text: artikel 20 i förordning (EG) nr 45/2001

text: föreskrivs att 35. Den princip avseende förvaring av styrkande handlingar som undantag och begränsningar kan tillämpas på den omedelfastställs i GB tillåter alltså en möjlig förvaringsperiod på upp bara utplåning av trafikdata som föreskrivs i artikel 37.1 i till 7 år med tanke på beviljandet av ansvarsfrihet avseende vissa begränsade fall som räknas upp i artikeln. Trafikdata budgeten för europeiska institutioners och organs räken- kan bevaras bl.a. i den mån det är en nödvändig åtgärd för skaper. att förebygga, utreda, avslöja eller beivra brott, skydda ett viktigt ekonomiskt eller finansiellt intresse för en medlemsstat eller Europeiska gemenskaperna, inklusive monetära 36. Styrkande handlingar som bevaras av utanordnare får inne- frågor och budget- och skattefrågor, eller säkerställa skydd av hålla personuppgifter och i så måtto skall de principer om den registrerade eller av andras fri- och rättigheter.

text: Artikel 20

text: förvaring av personuppgifter som fastställs i förordning (EG) måste, såsom ett undantag från förordningens principer om nr 45/2001 om skydd för enskilda då gemenskapsinstitutio- dataskydd, tolkas restriktivt och kan endast tillämpas från fall nerna och gemenskapsorganen behandlar personuppgifter till fall. Vidare avser

text: artikel 20

text: endast undantag från den och om den fria rörligheten för sådana uppgifter också omedelbara utplåning av trafikdata som fastställs i artikel tillämpas i sådana fall. 37.1 och inte den begränsning på sex månader som föreskrivs i

text: artikel 37.2

text: Artikel 20

text: kan därför inte åberopas för att motivera bevarandet av trafikdata längre än sex månader 37. Som allmän princip föreskrivs i artikel 4.1 c i förordning för sådana allmänna revisionsändamål som avses i

text: artikel 49

text: (EG) nr 45/2001

text: att personuppgifterna måste vara adekvata, GB. relevanta och nödvändiga med hänsyn till de ändamål för vilka de insamlas och/eller för vilka de senare behandlas. I

text: artikel 4.1 e i förordningen

text: föreskrivs vidare att personuppgifter kan bevaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller Behov av översyn för vilka de senare behandlades.

text: 38. I

text: artikel 37 i förordningen

text: föreskrivs särskilda regler för beva- 42. Datatillsynsmannen rekommenderar därför att bestämmelrande av trafik- och faktureringsdata i interna kommunikaserna i GB om förvaring av styrkande handlingar ses över för tionsnät. Sådana nät karakteriseras i

text: artikel 34

text: som ”telenät att garantera att principerna för skydd av personuppgifter eller terminalutrustning vilkas drift kontrolleras av en följs. gemenskapsinstitution eller ett gemenskapsorgan”. Artikeln är därför tillämplig på trafik- och faktureringsdata som insamlas av gemenskapsinstitutionernas eller -organens interna nät. 43. För att garantera att dessa principer följs måste informationen i de styrkande handlingarna kontrolleras. Styrkande handlingar innehåller ju olika informationsnivåer: Allmän infor- 39. Enligt

text: artikel 37.1

text: skall trafikdata, vilka behandlas och lagras mation rörande beviljandet av ansvarsfrihet för genomföför att koppla upp samtal och för andra förbindelser via tele- randet av budgeten, inklusive eventuell revision, och detaljinnätet, utplånas eller avidentifieras vid samtalets eller förbin- formation som inte i sig krävs för budgetkontroll. delsens slut. Principen är därför att utplåna data så snart de inte längre behövs för att få till stånd samtalet eller upprätta förbindelsen. 44. Som allmän princip bör gälla att om de styrkande handlingarna innehåller personuppgifter, får endast sådana perso- 40. I

text: artikel 37.2

text: föreskrivs emellertid att trafikdata ( ) enligt en nuppgifter som krävs för beviljande av ansvarsfrihet för av datatillsynsmannen godkänd förteckning får behandlas genomförandet av budgeten behandlas. Så långt det är om så behövs för förvaltningen av budgeten och trafikstyr- möjligt bör handlingar med personuppgifter som inte är ningen, inklusive verifieringen av behörig användning av tele- nödvändiga för detta ändamål utplånas. Relevanta uppgifter kommunikationssystemen. De skall utplånas eller avidentifi- får endast bevaras så länge som krävs för beviljande av eras snarast möjligt och senast sex månader efter insam- ansvarsfrihet för genomförandet av budgeten. Den period på 5–7 år som fastställs i

text: artikel 49

text: GB måste under alla förhål- 17 landen anses vara en maximigräns för förvaring av styrkande ( ) Faktureringsdata nämns inte uttryckligen i

text: artikel 37.2

text: men hör underförstått till. handlingar. C 94/18 SV Europeiska unionens officiella tidning 28.4.2007

text: 45. När det gäller förvaring av styrkande handlingar som inne- — Särskilda garantier mot bakgrund av dataskyddsprinciper håller sådana detaljer som trafikdata bör principen vara att måste genomföras när en central databas upprättas. sådana trafikdata bör utplånas eftersom de inte krävs för — Genomförandebestämmelserna bör i

text: artikel 134

text: a klargöra beviljande av ansvarsfrihet för genomförandet av budgeten. begreppen anbudssökande och anbudsgivare liksom vilka Varje gång när styrkande handlingar är uppställda i olika kategorier av enheter som berörs av databasen. nivåer är den lägsta, mest detaljerade nivån, den som kan innehålla trafikdata, onödig, och den bör inte bevaras för — En noggrann tidsplan för uppdatering av information i databeviljande av ansvarsfrihet för genomförandet av budgeten. basen bör införas i genomförandebestämmelserna. Om de styrkande handlingarna inte är uppställda i olika nivåer, bör en partiell behandling av informationen i hand- — För att undvika inkonsekvenser skall det inrättas ett system lingarna övervägas förutsatt att detta inte kräver en opropor- för urval av utanordnare i medlemsstater, myndigheter och tionerligt stor arbetsinsats. organ. Deras tillgång till information, samt hur stor mängd data de har åtkomst till enligt

text: artikel 95.2

text: , bör definieras i 46. För att belysa denna punkt skulle datatillsynsmannen vilja ta kompletterande förvaltningsbestämmelser. exemplet med budgeteringen av fast telefoni i institutionerna. — Beträffande överföring av personuppgifter från den centrala I fråga om fast telefoni innebär den princip som fastställs i databasen är dessa strukturella, varför behovet av garantier

text: artikel 37

text: att trafikdata om t.ex. nummeruppringning, vilket exempelvis genom avtalsbestämmelser bör fastställas i nummer som upprings och samtalets varaktighet får bevaras genomförandebestämmelserna. för ändamålet trafik- och budgetförvaltning inklusive kontroll av behörig användning av kommunikationssystemet i upp till — När data mottas från tredje land och internationella organi- 6 månader. När väl den behöriga användningen av kommu- sationer kommer det att vara viktigt att definiera vilka nikationsverktygen vederbörligen kontrollerats bör alla trafik- uppgifter som täcks och vilka garantier som ges för kvalidata utplånas eller avidentifieras. Om det skulle visa sig teten, och behovet av sådana garantier bör således ingå i nödvändigt att bevara data för revision av kommunikations- genomförandebestämmelserna. kostnader i enlighet med GB, är det onödigt att bevara trafikdata. De enda relevanta data som kan bevaras för budgetän- — Formuleringen av

text: artikel 134

text: a.1.3 i genomförandebestämdamål gäller kostnaderna för kommunikationer som inte melserna bör ses över så att den syftar på de institutioner, 18 genomförandeorgan, myndigheter och organ som avses i aravslöjar några underliggande trafikdata ( ). tiklarna 95.1–2 i budgetförordningen. Förslag till en ändrad

text: artikel 49

text: — När det gäller anbudssökandes och anbudsgivares åtkomsträtt bör en hänvisning till artikel 13 i förordning (EG) 47. För att lösa denna fråga om överensstämmelse föreslår datanr 45/2001 införas. tillsynsmannen att det läggs till en punkt i artikel 49 i genomförandebestämmelserna med följande lydelse: ”Perso- — För att lösa frågan om överensstämmelsen med artikel 37 i nuppgifter i styrkande handlingar bör raderas så långt möjligt när förordning

text: (EG) nr 45/2001

text: föreslår datatillsynsmannen att uppgifterna inte krävs för beviljande av ansvarsfrihet för genomfö- det läggs till en punkt i

text: artikel 49

text: GB. randet av budgeten. Under alla förhållanden bör

text: artikel 37.2

text: När det gäller förfarandet i förordning

text: (EG) nr 45/2001

text: om bevarande av trafikdata respekteras”. — rekommenderar datatillsynsmannen en uttrycklig hänvisning till detta yttrande i förslagets ingress, IV. SAMMANFATTNING — påminner datatillsynsmannen om att han måste förhands- Datatillsynsmannen uppskattar att ha inbjudits till samråd om granska systemet före genomförandet, eftersom de planerade dessa förslag som strävar till sund finansiell förvaltning, under behandlingsmomenten kommer att medföra ändringar i sak ökad insyn, av gemenskapsmedel. Likaså uppskattas detta tillfälle i databasens hantering och således omfattas av artikel 27 i att framhäva ett antal specifika dataskyddsaspekter när det gäller förordning

text: (EG) nr 45/2001

text: . genomförandet, särskilt i samband med systemet för snabb varning. I sak rekommenderar datatillsynsmannen följande: Utfärdat i Bryssel den 12 december 2006 — Hänvisa i genomförandebestämmelserna till ett proaktivt synsätt (förhandsinformation och returinformation) som bör Peter HUSTINX tillämpas allmänt av alla berörda institutioner, myndigheter och organ, mot bakgrund av insynsprincipen. Europeisk datatillsynsman

type: vagledning

utgivare: edps