text: HÄRIGENOM FRAMFÖRS FÖLJANDE. 1.3 Relevans för dataskyddet

text: INLEDNING 5. Ur dataskyddssynpunkt är de två viktigaste aspekterna av förslaget i) införandet av en varningsmekanism (

text: artikel 56

text: a) 1.1 Samrådet med Europeiska datatillsynsmannen och ii) införandet av ett frivilligt europeiskt yrkeskort (ar tiklarna 4a, b, c, d och e) ( 5 ). Behandlingen av personupp 1. Den 19 december 2011 antog kommissionen ett förslag till Europaparlamentets och rådets direktiv om ändring av gifter föreslås i båda fallen ske via informationssystemet för direktiv

text: om erkännande av yrkeskvalifikatio den inre marknaden (IMI). ner och förordning […] om administrativt samarbete ge nom informationssystemet för den inre marknaden ( 3 ). För ( 4 ) Förordningen om informationssystemet för den inre marknaden har slaget skickades till Europeiska datatillsynsmannen för sam ännu inte antagits. I november 2011 lämnade Europeiska datatill synsmannen ett yttrande om kommissionens förslag. Se http://www. råd samma dag. edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/ Consultation/Opinions/2011/11-11-22_IMI_Opinion_SV.pdf ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 5 ) Om inget annat anges avser hänvisningarna till artiklar i detta förslag ( 2 ) EGT L 8, 12.1.2001, s. 1. bestämmelserna i kommissionens förslag till direktiv om yrkeskvali ( 3 ) KOM(2011) 883 slutlig. fikationer.

text: ANALYS AV FÖRSLAGET eller domstolarna att utöva, även temporärt, sin yrkes 2.1 Allmänna kommentarer verksamhet på medlemsstatens territorium. Varningarna kan skickas av de behöriga myndigheterna i någon av 10. Europeiska datatillsynsmannen välkomnar ansatserna i för medlemsstaterna till de behöriga myndigheterna i alla slaget att ta itu med dataskyddsfrågorna. Datatillsynsman övriga medlemsstater samt till kommissionen. nen välkomnar också förslaget att utnyttja ett befintligt informationssystem, IMI, för det administrativa samarbetet, eftersom det systemet redan erbjuder ett antal dataskydds mekanismer på praktisk nivå. Trots detta återstår det viktiga — Genom

text: artikel 56

text: a.2 inrättas en ytterligare varnings frågor, i första hand i samband med varningsmekanismen. mekanism för de yrkesgrupper som inte redan omfattas av varningssystemet enligt

text: artikel 56

text: a.1 (eller av den varningsmekanism som redan inrättats enligt direktiv

text: ( 2 )). Här ska varningarna skickas om 11. För att ta itu med de problemen rekommenderar Europe medlemsstaten får ”kunskap om ett beteende, specifika iska datatillsynsmannen att det klart anges i förslaget i vilka handlingar eller omständigheter som är knutna till konkreta fall varningar kan skickas, att det tydligare anges denna verksamhet och som skulle kunna vålla allvarlig vilken typ av uppgifter som kan ingå i varningarna och att skada för människors hälsa eller säkerhet eller miljön i behandlingen begränsas till det minimum som krävs för att en annan medlemsstat”. Varningarna ska skickas till beakta proportionalitet och balansen mellan rättigheter och ”övriga berörda medlemsstater och kommissionen”. I intressen. Framför allt bör förslaget innehålla följande: förslaget anges dessutom följande: ”Dessa uppgifter ska inte gå utöver vad som är strikt nödvändigt för ( 1 )

text: Artikel 56

text: a.2 bör förtydligas ytterligare så att detta helt klart gäller inte bara varningar enligt

text: artikel 56

text: a.1, som avser vårdpersonal, utan ( 2 )

text: Europaparlamentets och rådets direktiv 2006/123/EG

text: av den 12 de även varningar enligt

text: artikel 56

text: a.2, som avser andra yrkesutövare än cember 2006 om tjänster på den inre marknaden (EUT L 376, vårdpersonal. Se punkterna 24–27 i detta yttrande. 27.12.2006, s. 36).

text: ( 1 ) Europeiska datatillsynsmannen välkomnar för övrigt att det, till skill 28. Det bör dessutom klargöras, precis som i

text: artikel 56

text: a.1, att nad från varningar enligt

text: artikel 56

text: a.1, hänvisas till ”berörda med innehållet i varningarna ska vara klart begränsat till i) de lemsstater” och inte ”alla medlemsstater”. personuppgifter som är nödvändiga för att identifiera den ( 2 ) Vi konstaterar att en begränsning av varningens innehåll till de berörda yrkesutövaren, ii) uppgiften om att yrkesutövaren minimiuppgifter som är nödvändiga samt till rena fakta och objek tiva uppgifter, såsom om en viss typ av beslut (till exempel tillfälligt har förbjudits att bedriva sin yrkesverksamhet, iii) infor verksamhetsförbud) har fattats av en behörig myndighet eller dom mation om huruvida förbudet är provisoriskt (i avvaktan stol, också skulle bidra till att minska antalet förfrågningar om kor på ett överklagandeförfarande) eller definitivt, iv) infor rigering, blockering eller radering av en varning, eftersom det skulle mation om under hur lång tid förbudet gäller och v) upp bli svårare att ifrågasätta korrektheten för sådana uppgifter.

text: ( 1 ) Se även Europeiska datatillsynsmannens yttrande om förslaget till IMI-förordning, punkterna 29–32.

identifier: EDPS yttrande (2012)

amnesord:
Internal Market
Surveillance
Tracking

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Review of the Professional Qualifications Directive

serie: yttranden

text: 12.5.2012 Europeiska SV unionens officiella tidning C 137/1

type: stycke

text: I

type: rubrik

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om kommissionens förslag till Europaparlamentets och rådets direktiv om ändring av direktiv

text: om erkännande av yrkeskvalifikationer och förordning […] om administrativt samarbete genom informationssystemet för den inre marknaden

text: (2012/C 137/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA 2. Innan förslaget antogs fick Europeiska datatillsynsmannen YTTRANDE möjlighet att lämna informella synpunkter. Många av de synpunkterna har beaktats i förslaget. Som ett resultat av detta har dataskyddsfunktionerna i förslaget avsevärt förs med beaktande av fördraget om Europeiska unionens funktions tärkts. sätt, särskilt

text: artikel 16

text: med beaktande av Europeiska unionens stadga om de grund 3. Europeiska datatillsynsmannen välkomnar också det for läggande rättigheterna, särskilt artiklarna

text: och

text: , mella samrådet med kommissionen och att en hänvisning till detta yttrande ska införas i ingressen till det instrument med beaktande av Europaparlamentets och rådets direktiv som antas.

text: av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ), 1.2 Förslagets syfte och omfattning

text: med beaktande av Europaparlamentets och rådets förordning 4. Syftet med förslaget är att modernisera och ändra den be

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för fintliga texten till direktiv

text: (nedan kallat direk enskilda då gemenskapsinstitutionerna och gemenskapsorganen tivet om yrkeskvalifikationer). För att uppnå det målet fö behandlar personuppgifter och om den fria rörligheten för så reslår kommissionen också att hänvisningarna till bestäm dana uppgifter ( 2 ), och melserna i det reviderade direktivet om yrkeskvalifikationer ändras i relevanta delar av förordning […] om administra med beaktande av begäran om yttrande enligt artikel 28.2 i tivt samarbete genom informationssystemet för den inre förordning

text: (EG) nr 45/2001

text: . marknaden (nedan kallad IMI-förordningen) ( 4 ).

text: C 137/2 SV Europeiska unionens officiella tidning 12.5.2012

text: 6. Varningar utfärdas i princip sedan en behörig myndighet — Entydiga uppgifter om vilka varningar som kan skickas eller domstol i en medlemsstat fattat beslut om att förbjuda sedan ett beslut har fattats av en behörig myndighet en viss individ att bedriva sin yrkesverksamhet på medlems eller domstol i en medlemsstat om att förbjuda en statens territorium ( 1 ). Enligt direktivet om yrkeskvalifikatio viss person att utöva sitt yrke på medlemsstatens terri ner kan varningar utfärdas för alla yrkesutövare, inklusive torium. sådana som inte har ansökt om det europeiska yrkeskortet. Sedan varningarna har utfärdats sparas de i IMI och samt liga medlemsstater och kommissionen har tillgång till dem. — En precisering av att innehållet i varningen inte får innehålla ytterligare uppgifter om omständigheterna kring och skälen till förbudet. 7. Införandet av ett europeiskt yrkeskort innebär att en infor mationsakt om den yrkesutövare som frivilligt ansökt om att få ett kort skapas och lagras i IMI (nedan kallad IMI- — Ett förtydligande av hur länge varningarna får lagras, akten). Informationen i IMI-akten är tillgänglig för yrkes samtidigt som den perioden begränsas till ett absolut utövaren samt för värd- och hemmedlemsstaten. Yrkes minimum. utövaren kan när som helst begära att informationen i IMI-akten raderas, blockeras eller korrigeras. — Garantier för att varningarna enbart skickas till behöriga myndigheter i medlemsstaterna och att de myndighe 8. Varningsuppgifterna och några av uppgifterna i IMI-akten terna bevarar sekretessen för den mottagna varnings innehåller information om straffrättsliga eller administrativa informationen och inte ytterligare distribuerar eller of påföljder och kräver därför förstärkt skydd enligt

text: artikel 8.5

text: fentliggör den. i direktiv

text: och

text: artikel 10.5 i förordning (EG) nr 45/2001

text: . Varningsmekanismen kan påverka rätten till upp giftsskydd för ett stort antal personer från olika yrkeskate gorier i samtliga medlemsstater, inklusive vårdpersonal, 2.2 Varningar oavsett om de faktiskt bedriver eller har för avsikt att be driva verksamhet utanför sina hemländer. Varningsmekanismen som föreslås av kommissionen

text: 12. I

text: artikel 56

text: a införs två i vissa avseenden olika varnings mekanismer för två olika kategorier av yrkesutövare. 9. Förslaget väcker dessutom viktiga frågor om hur varnings mekanismen och lagringsfunktionen i IMI ska utvecklas i framtiden. Detta är en övergripande fråga som också är — I

text: artikel 56

text: a.1 införs en varningsmekanism för allmän relevant för administrativt samarbete inom andra politiska praktiserande läkare och läkare med specialistkom områden. petens, sjuksköterskor, tandläkare, veterinärer, barn morskor, apotekare och vissa andra yrkesgrupper. Var ningarna ska inkludera ”identiteten för en yrkesutövare” som har ”förbjudits” av de nationella myndigheterna 12.5.2012 Europeiska SV unionens officiella tidning C 137/3 att identifiera den berörda yrkesutövaren och ska inne personal, som de behöriga myndigheterna använder för fatta referensuppgifter om den behöriga myndighetens att rutinmässigt kontrollera sådana yrkesutövare. beslut att förbjuda yrkesutövaren att utöva verksamhe ten i fråga”. 18. Som framgår av vårt yttrande om IMI-förslaget ( 1 ) är det en sak att använda en varning som ett kommunikationsred Allmänna kommentarer skap för att varna de behöriga myndigheterna för en viss oegentlighet eller misstanke, men något helt annat att spara 13. Europeiska datatillsynsmannen konstaterar att det inrättas den varningen i en databas under lång, eller till och med en begränsad varningsmekanism på EU-nivå för att utbyta obegränsad, tid. information bland de berörda behöriga myndigheterna om yrkesutövare som har förbjudits att utöva sitt yrke i en viss medlemsstat för att skydda viktiga allmänintressen, bland annat i yrken där människors liv, hälsa och säkerhet (samt 19. Europeiska datatillsynsmannen oroas över att det i den djurskyddet) kan äventyras, eller i andra yrken i situationer föreslagna

text: artikel 56

text: a.5 överlåts åt kommissionen att i de där detta är motiverat för att förhindra allvarliga skador på legerade akter ange hur länge varningarna ska finnas kvar i hälsa, säkerhet eller miljö. IMI. Han rekommenderar att dessa centrala bestämmelser, som omfattar en beskrivning av den föreslagna varnings mekanismens själva natur och därför utgör grundsatser, 14. Europeiska datatillsynsmannen anser emellertid att var införs i texten till det föreslagna direktivet. ningsmekanismen måste förbli proportionell.

text: 20. Ur dataskyddssynpunkt skulle det vara bättre om alla var 15. I det avseendet välkomnar Europeiska datatillsynsmannen ningar som införs i systemet raderas efter en i förväg be förbättringarna i texten efter hans informella kommentarer. stämd, rimligt kort tidsperiod som beräknas från den tid Dessa förbättringar – även om de fortfarande kräver ytter punkt när varningen skickas. Perioden bör vara tillräckligt ligare förtydliganden – verkar syfta till att begränsa varning lång (till exempel sex månader) för att de behöriga myn arna till yrkesutövare som har förbjudits att utöva sitt yrke digheter som tar emot en varning ska kunna ställa kom genom beslut från en behörig myndighet och verkar ute pletterande frågor via IMI och bestämma om de ska vidta sluta möjligheterna att skicka varningar som bygger på några specifika åtgärder inom sina behörighetsområden på enbart misstankar eller klagomål mot en viss yrkesutövare, grundval av den mottagna informationen. Perioden bör om de inte styrks av tydliga bevis och inte har lett till ett emellertid inte vara längre än vad som är absolut nödvän formellt beslut från den behöriga myndigheten eller en digt för det syftet. domstol om att förbjuda personen i fråga att utöva sitt yrke. Detta kan bidra till att skapa rättssäkerhet och att presumtionen för oskuld respekteras. 21. Om behovet av lagring under lång tid kan motiveras tydligt rekommenderar Europeiska datatillsynsmannen som ett al ternativ att förslaget åtminstone bör innehålla ett tydligt 16. Förutom att rekommendera ytterligare förtydliganden om krav på att den utfärdande myndigheten ska radera en villkoren för att skicka varningar och om innehållet i var varning så snart förbudet som låg till grund för varningen ningarna känner Europeiska datatillsynsmannen i första inte längre gäller (till exempel på grund av ett överklagande hand viss oro över lagringsperioderna. Bestämmelserna eller eftersom förbudet var tidsbegränsat). Det bör också om korrektheten för och uppdateringen av varningar undvikas att en varning i onödan gäller under obegränsad samt om mottagarna kunde också förbättras ytterligare. tid, kanske till och med efter det att den berörda yrkes Slutligen bör sekretesskyldigheten uttryckligen nämnas i utövaren har gått i pension eller avlidit. direktivet. Innehållet i varningar enligt

text: artikel 56

text: a.1 Lagringsperioder

text: 22. Europeiska datatillsynsmannen välkomnar de förtydligan 17. En av Europeiska datatillsynsmannens huvudinvändningar den som redan gjorts i förslaget avseende varningarnas mot varningsmekanismen gäller själva dess natur. Frågan innehåll. Det krävs emellertid ytterligare förtydliganden är om de varningar som avses i förslaget för att det inte ska råda någon oklarhet om att innehållet i varningarna enligt

text: artikel 56

text: a.1 är klart begränsade till i) de personuppgifter som är nödvändiga för att identifiera — ska finnas kvar i IMI enbart under en begränsad tids den berörda yrkesutövaren, ii) uppgiften om att yrkesutöva period som en varning för att ange en nödsituation ren har förbjudits att bedriva sin yrkesverksamhet, iii) infor som kräver omedelbara åtgärder, eller mation om huruvida förbudet är provisoriskt (i avvaktan på ett överklagandeförfarande) eller definitivt, iv) information om under hur lång tid förbudet gäller och v) uppgifter om — om varningsmekanismen ska leda till att det skapas en vilken behörig myndighet som utfärdar beslutet (med upp databas där varningsuppgifter lagras under långa tids gift om i vilket land beslutet fattades). perioder och som därför i praktiken skulle utgöra en europeisk svart lista över yrkesutövare, inklusive vård ( 1 ) Se punkterna 57–59. C 137/4 SV Europeiska unionens officiella tidning 12.5.2012

text: 23. Europeiska datatillsynsmannen rekommenderar dessutom gifter om vilken behörig myndighet som utfärdar beslutet att det uttryckligen anges i förslaget att varningarna inte (med uppgift om i vilket land beslutet fattades). får innehålla någon mer specifik information om omstän digheterna kring och skälen till förbudet. I det avseendet konstaterar datatillsynsmannen att kompletterande frågor kan ställas via de vanliga bilaterala systemen för infor Mottagarna av varningar enligt

text: artikel 56

text: a.2 mationsutbyte när det blir nödvändigt att erhålla sådan ytterligare information. IMI kan också utnyttjas för att ge 29. Enligt

text: artikel 56

text: a.2 ska varningar skickas till ”övriga be handläggare ytterligare allmän information om nationella rörda medlemsstater och kommissionen”. Europeiska data förfaranden som kan hjälpa dem att förstå information tillsynsmannen rekommenderar att texten ändras, så att det som bygger på ett annat lands nationella förfaranden. anges att varningar ska skickas till ”behöriga myndigheter i övriga berörda medlemsstater och kommissionen”. Formu leringen ”behöriga myndigheter” används redan i arti kel 56a.1 när det gäller varningar enligt den artikeln ( 1 ). Villkor för att skicka varningar och innehållet i sådana varningar enligt

text: artikel 56

text: 24. För att garantera rättssäkerhet är det viktigt att villkoren för Korrekthet och uppdateringar att skicka varningar enligt

text: artikel 56

text: a.2 klargörs helt. I den nuvarande ordalydelsen hänvisas till att medlemsstaten ”får 30. Europeiska datatillsynsmannen rekommenderar att det i faktisk kunskap om ett beteende, specifika handlingar eller förslaget införs ett tydligt krav på att den uppladdande omständigheter som är knutna till denna verksamhet och behöriga myndigheten regelbundet ska granska om var som skulle kunna vålla allvarlig skada för människors hälsa ningar är aktuella samt snabbt korrigera och ta bort var eller säkerhet eller miljön i en annan medlemsstat”. Dessa ningar om den information de innehåller inte längre är bestämmelser är inte tillräckligt tydliga och lämnar alltför korrekt eller behöver uppdateras. Det skulle också vara stor frihet åt handläggare när det gäller att bestämma när bra om det anges i varningsinformationen (till exempel en varning ska skickas. genom att en uppdatering av varningen skickas) att en yrkesutövare har överklagat en ”varning” enligt

text: artikel 56

text: a.4 eller har begärt att varningen korrigeras, blockeras eller raderas ( 2 ). 25. Det framgår till exempel inte klart av formuleringen ”faktisk kunskap om” huruvida det överhuvudtaget krävs en rimlig misstanke om något slags överträdelse eller annan händelse, eller om fakta måste undersökas grundligt och styrkas ge Sekretess, vidare spridning och offentliggörande av varningar nom någon form av administrativt förfarande innan en varning kan skickas. 31. Europeiska datatillsynsmannen är medveten om att med lemsstaternas lagar och rutiner skiljer sig åt när det gäller i vilken utsträckning information om disciplinära åtgärder eller straffrättsliga påföljder mot vårdpersonal eller andra 26. I den reviderade versionen av förslaget hänvisas till ett yrkesutövare sprids till behöriga myndigheter, andra be beslut av den behöriga myndigheten om att förbjuda yrkes rörda organisationer (till exempel sjukhus) och allmänheten. utövaren att bedriva sin yrkesverksamhet. Detta är en klar I ett litet antal länder är svarta listor för vissa yrkesgrupper förbättring jämfört med tidigare utkast och verkar, enligt offentligt tillgängliga för alla på internet. Andra tillämpar en vår uppfattning, antyda att varningar enbart kan skickas om annan strategi och låter allmänheten enbart konsultera ”vita ett förbud redan har införts för den aktuella yrkesutövaren listor”, dvs. listor över yrkesutövare som har rätt att utöva på grundval av ett beslut från den behöriga myndigheten. sin verksamhet.

text: 27. Texten bör emellertid förbättras ytterligare genom att man 32. Så länge det samtidigt finns så olika rutiner och nationella förtydligar kravet att en varning måste bygga på ett tidigare lagar rekommenderar Europeiska datatillsynsmannen att det beslut av domstol eller behörig myndighet som förbjuder i direktivet införs ett sekretesskrav för alla berörda behöriga en yrkesutövare att bedriva sin yrkesverksamhet. Detta myndigheter när det gäller de varningsuppgifter de erhåller skulle garantera rättssäkerheten och förebygga alla risker från en annan medlemsstat, om inte uppgifterna offentligg för feltolkning. jorts i enlighet med de lagar som gäller i den uppgiftsläm nande medlemsstaten. 12.5.2012 Europeiska SV unionens officiella tidning C 137/5 2.3 Europeiska yrkeskortet lång tid förbudet gäller och iv) vilken behörig myndighet som utfärdar beslutet (även med uppgift om i vilket land 33. Europeiska datatillsynsmannen välkomnar att kommissio beslutet fattades). Ytterligare uppgifter, till exempel om för nen i enlighet med hans informella kommentarer kraftigt budet är resultatet av en straffrättslig dom eller en discipli har förstärkt klarheten, rättssäkerheten och dataskyddsåtgär när åtgärd och vilka brott som begicks, bör inte lämnas. derna i

text: artikel 4

text: a i förslaget. Om en berörd myndighet i ett visst fall behöver sådan ytterligare information kan den alltid begära att få den genom ett bilateralt informationsutbyte (via IMI, men utan för IMI-akten). 34. Europeiska datatillsynsmannen känner dock viss osäkerhet inför

text: artikel 4

text: e.1 i förslaget, där följande villkor fastställs: ”Ursprungsmedlemsstatens och den mottagande medlems statens behöriga myndigheter ska i god tid uppdatera den Lagringsperioder berörda IMI-akten när det gäller uppgifter om disciplinära åtgärder eller straffrättsliga påföljder som vidtagits eller an 39. För det andra är avsikten att IMI-akten ska finnas kvar i IMI dra allvarliga, specifika omständigheter som kan ha följder under längre tid än bilaterala informationsutbyten enligt för verksamhetsutövandet av innehavaren av ett europeiskt den nuvarande

text: artikel 56.2

text: , som för närvarande bara sparas yrkeskort inom ramen för detta direktiv.” i IMI-systemet under sex månader efter det att ärendet avslutats. Det bör därför också finnas bestämmelser som garanterar att alla hänvisningar till disciplinära eller straff rättsliga åtgärder som vidtas eller andra allvarliga specifika 35.

text: Artikel 4

text: e.1 kompletterar de nuvarande bestämmelserna i omständigheter snabbt raderas från IMI-akten när väl till

text: artikel 56.2

text: , som redan medger bilaterala utbyten på gång till informationen inte längre krävs. samma villkor. Enligt den nuvarande

text: artikel 56.2

text: ska ”[d]e behöriga myndigheterna i den mottagande medlemsstaten och ursprungsmedlemsstaten […] utbyta information om disciplinära åtgärder eller straffrättsliga påföljder som in förts eller andra allvarliga, specifika omständigheter som 40. Den föreslagna hänvisningen till radering när uppgifterna kan ha följder för utövandet av verksamhet enligt detta ”inte längre behövs” är bra, men som vi ser det inte till direktiv”. räcklig för att garantera konsekvens och rättssäkerhet. Eu ropeiska datatillsynsmannen rekommenderar därför att det i förslaget anges en tillräckligt kort lagringsperiod för den information som utbyts. Av de skäl som redovisats ovan 36. Europeiska datatillsynsmannen har tre huvudsakliga invänd i diskussionen om varningarnas lagringsperiod skulle det ningar när det gäller de bestämmelserna: vara bättre om informationen fanns kvar i IMI enbart så länge som krävs för att den mottagande myndigheten ska hinna vidta lämpliga åtgärder (till exempel en period på sex månader för att genomföra undersökningar eller vidta po Villkoren för att uppdatera IMI-akten enligt

text: artikel 4

text: e.1 och lisiära åtgärder). innehållet i sådana uppdateringar

text: 37. För det första ger bestämmelserna handläggarna stor frihet att bestämma om IMI-akten ska uppdateras. Av de skäl som 41. Om lagstiftarna väljer lagring under lång tid av förbudet i angavs ovan i samband med bristen på klarhet kring vill IMI-akten rekommenderar Europeiska datatillsynsmannen koren för att skicka varningar enligt

text: artikel 56

text: a.2 vore det som ett alternativ att förslaget åtminstone ska innehålla önskvärt om det även här gjordes vissa förtydliganden. ett tydligt krav på att den utfärdande myndigheten ska Europeiska datatillsynsmannen skulle välkomna kravet att radera alla hänvisningar till förbudet när förbudet inte uppdateringarna ska göras ”utan att det ska påverka pre längre gäller (till exempel på grund av ett överklagande sumtionen för oskuld” ( 1 ). En mer tillfredsställande lösning eller eftersom förbudet var tidsbegränsat). vore om det i direktivet införs ett krav (på samma sätt som när det gäller varningarna enligt

text: artikel 56

text: a.2 som diskute rats ovan) att alla uppdateringar måste bygga på ett tidigare beslut av domstol eller behörig myndighet som förbjuder en viss person att utöva sitt yrke. Detta skulle garantera 2.4 På lång sikt rättssäkerheten och förebygga alla risker för feltolkning. 42. På lång sikt, om och när användning av yrkeskorten och IMI blir allmän (detta kan ske för vissa eller samtliga regle rade yrken som omfattas av varningssystemet), rekommen derar Europeiska datatillsynsmannen att kommissionen 38. Det bör dessutom klargöras, precis som för varningar enligt granskar om varningssystemen enligt

text: artikel 56

text: a fort

text: artikel 56

text: a.1, att innehållet i uppdateringen ska vara klart farande behövs och om de inte kan ersättas av ett mer begränsat till i) frågan om yrkesutövaren har förbjudits att begränsat system som därför ur dataskyddssynpunkt med utöva sitt yrke, ii) om förbudet är provisoriskt (i avvaktan för mindre intrång. Vid en sådan tidpunkt kan man till på ett överklagandeförfarande) eller definitivt, iii) under hur exempel överväga om informationsdelningen kan begränsas till de behöriga myndigheterna i hem- och värdmedlems ( 1 ) Liknande hänvisningar till presumtionen för oskuld ingår redan i staterna som har tillgång till yrkeskortet och IMI-akten för

text: artikel 10.4 i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011

text: om tillämpningen av patienträttigheter vid den yrkesutövare det gäller, i stället för att skicka varning gränsöverskridande hälso- och sjukvård (EGT L 88, 4.4.2011, s. 45). arna till samtliga medlemsstater. C 137/6 SV Europeiska unionens officiella tidning 12.5.2012 2.5 Europeiska datatillsynsmannens och de nationella — Perioden under vilken varningarna lagras ska tydligt dataskyddsmyndigheternas samråd om delegerade ak anges och begränsas till ett absolut minimum. ter

text: 43. Slutligen rekommenderar Europeiska datatillsynsmannen att — Varningar får endast skickas till behöriga myndigheter i han själv och artikel 29-arbetsgruppen, där de nationella medlemsstaterna som måste bevara sekretessen för de dataskyddsmyndigheterna också är företrädda, tillfrågas in mottagna uppgifterna och inte distribuera dem vidare för antagandet av de delegerade akter som anges i arti eller offentliggöra dem, om inte uppgifterna offentlig kel 56a.5 och alla andra delegerade akter som antas enligt gjorts i enlighet med lagstiftningen i den utsändande

text: artikel 58

text: och som kan ha betydelse för dataskyddet. Ett medlemsstaten. sådant samråd bör föregås av en konsekvensbedömning avseende dataskyddet ( 1 ). 47. När det gäller det europeiska yrkeskortet och tillhörande IMI-akt rekommenderar Europeiska datatillsynsmannen yt

text: 3. SLUTSATSER terligare förtydliganden om på vilka villkor uppgifter om disciplinära åtgärder eller straffrättsliga påföljder eller andra 44. Europeiska datatillsynsmannen konstaterar att det inrättas allvarliga specifika omständigheter måste tas med i akten, en begränsad varningsmekanism på europeisk nivå för att inklusive om uppgifternas innehåll. Datatillsynsmannen re utbyta information om yrkesutövare som har förbjudits att kommenderar också tydliga begränsningar för lagrings utöva sitt yrke i en medlemsstat, om detta motiveras av perioden. viktiga allmänintressen.

text: 48. På lång sikt, om och när användningen av yrkeskortet och 45. Europeiska datatillsynsmannen anser emellertid att var IMI blir allmänt, rekommenderar Europeiska datatillsyns ningsmekanismen måste förbli proportionell. mannen dessutom att kommissionen granskar om var ningsmekanismerna enligt

text: artikel 56

text: a fortfarande är nöd 46. Europeiska datatillsynsmannen rekommenderar framför allt vändiga och om de kan ersättas av mer begränsade meka följande: nismer som ur dataskyddssynpunkt innebär ett mindre in trång. — Det bör klart anges i förslaget i vilka konkreta fall var ningar kan skickas. Typen av uppgifter som kan ingå i 49. Slutligen rekommenderar Europeiska datatillsynsmannen att varningarna ska beskrivas tydligare och behandlingen han själv och artikel 29-arbetsgruppen, där de nationella bör begränsas till det minimum som krävs med beak dataskyddsmyndigheterna också är företrädda, ska tillfrågas tande av proportionalitet och balansen mellan rättighe före antagandet av de delegerade akter som anges i arti ter och intressen. kel 56a.5 och alla andra delegerade akter som antas enligt

text: artikel 58

text: och som kan ha betydelse för dataskyddet. Ett sådant samråd bör föregås av en konsekvensbedömning — Det bör helt klart anges i förslaget att varningar endast avseende dataskyddet. kan skickas sedan ett beslut har fattats av en behörig myndighet eller domstol i en medlemsstat om att för bjuda en viss person att utöva sitt yrke på medlems statens territorium. Utfärdat i Bryssel den 8 mars 2012. — Det bör anges att innehållet i varningen inte får inne Giovanni BUTTARELLI hålla detaljerade uppgifter om omständigheterna kring och skälen till förbudet. Biträdande Europeisk datatillsynsman

type: vagledning

utgivare: edps


text: OJ L 281, 23.11.1995, p. 31. 2 OJ L 8, 12.1.2001, p. 1.

text: OJ L268, 3.10.1998, p. 1. 4 OJ L 21, 26.1.2000, p. 32. 5 The ECDC is established by

text: Regulation (EC) No 851/2004

text: (OJ L 142, 30.4.2004, p.1). 6 Available on the EDPS website: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Priorcheck s/Opinions/2010/10-04-26_EWRS_EN.pdf. 7 OJ L 36 9.2.2012, p. 31.

text: Contact tracing involves sharing of often sensitive health information. Data relating to health are subject to special protection under Article 10 of Regulation (EC) No 45 2001 and

text: Article 8 of Directive 95/46/EC

text: . Processing such data is only allowed under certain conditions. In the context of contact tracing purposes, their processing has a potential impact not only on the privacy of the individuals concerned but can also potentially lead to important restrictions on their freedom of movement (e.g. quarantining or refusal of entry in a country). Due to the sensitivity of personal data processed, one of the key concerns of the EDPS is to ensure that the Proposal foresee adequate safeguards for contact tracing.

text: See also the prior check opinion referred to in fn. 6, p. 4.

text: See section 5 of the guidelines referenced in fn. 7. 13 See fn. 7.

amnesord:
Rights of the Individual
Health
Surveillance
Tracking

sprak: en

title: Cross-border threats to health

text: Opinion of the European Data Protection Supervisor

text: on the proposal for a decision of the European Parliament and of the Council on serious cross-border threats to health

text: THE EUROPEAN DATA PROTECTION SUPERVISOR,

text: Having regard to the Treaty on the Functioning of the European Union, and in particular Article 16 thereof,

text: Having regard to the Charter of Fundamental Rights of the European Union, and in particular Articles 7 and 8 thereof,

text: Having regard to Directive

text: of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data,

text: Having regard to

text: Regulation (EC) No 45/2001

text: of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data,

text: HAS ADOPTED THE FOLLOWING OPINION:

text: I. Introduction

text: 1. On 8 December 2011, the Commission adopted a Proposal for a Decision of the European Parliament and of the Council on serious cross-border threats to health ('the Proposal') and on the same day forwarded it to the EDPS for consultation. On 19 January 2012, the Council sent the Proposal for consultation as well.

text: 2. Already before the adoption of the Proposal, the EDPS had the opportunity to provide informal comments on a draft text. The EDPS welcomes this consultation at an early stage and is pleased to see that some of his comments have been taken into account.

text: 3. The Proposal aims at replacing Decision

text: of the European Parliament and of the Council of 24 September 1998 setting up a network for the epidemiological surveillance and control of communicable diseases in the Community , which is the current legal basis (along with its implementing

text: Commission Decision 2000/57/EC

text: ) for the Early Warning and Response System ('EWRS'). The EWRS is operated by the European Centre for Disease Prevention and Control ('ECDC') on behalf of the Commission and is used by the competent authorities in the Member States to exchange information necessary for the epidemiological surveillance and control of communicable diseases at European level. The EWRS has been successfully used in a number of situations such as SARS, avian influenza in humans and other major communicable diseases. It constitutes an important tool to protect public health.

text: 4. The Proposal aims at increasing cooperation between Member States as regards cross-border health threats. Among others, the Proposal extends the scope of the existing EWRS, which currently only covers communicable diseases, to other kinds of cross-border health threats, including hazards of biological, chemical, environmental or unknown origin which are likely to spread across national borders.

text: 5. The EWRS itself has been the subject of a prior check Opinion of the EDPS issued on 26 April 2010. In the follow-up to that Opinion, the data protection safeguards for the EWRS have improved considerably. Among others, in the framework of the follow-up procedure, a Commission recommendation on data protection guidelines for the EWRS has also been adopted.

text: 6. This Opinion should be read in the light of the progress already made and contains recommendations to further improve the level of data protection under the Proposal.

text: 7. The EDPS welcomes the references to

text: Regulation (EC) No 45/2001

text: and Directive

text: in recital 18 and Article 18 of the Proposal and that the reference to the applicable data protection legislation in

text: Article 18

text: now encompasses all personal data processing under the scope of the Proposal. He also welcomes the specific data protection safeguards for contact tracing set forth, or required to be adopted by the Commission, under

text: Article 18

text: 8. However, the following elements of the Proposal still require, or would benefit from, clarification, further detail or other improvements from the point of view of data protection:  contact tracing,  ad hoc surveillance,  controller-processor relationship,  retention period, and  security measures.

text: 9. As a preliminary remark, the EDPS notes that several aspects of the Proposal are not elaborated in the text itself, but will be the subject of delegated and implementing acts, such as the list of communicable diseases to which the Proposal shall apply and the procedures for the information exchange in the EWRS. Other aspects will be clarified in guidelines and recommendations to be adopted by the Commission, such as the data protection guidelines for the EWRS.

text: 10. Delegated acts are meant to amend and specify certain non-essential aspects of legal acts (

text: Article 290

text: TFEU), while implementing acts aim to establish uniform conditions for the implementation of legally binding Union acts (

text: Article 291

text: TFEU). While details can of course be regulated in delegated and implementing acts, and such additional provisions are certainly of great benefit, the EDPS recommends that the Proposal itself also provide more guidance on some of the points mentioned in point 8, as will be discussed below. II. The system of contact tracing

text: 12. Contact tracing is defined in

text: Article 3

text: (c) of the Proposal. The definition refers to 'measures implemented at national level in order to trace persons who have been exposed to a source of serious cross-border threat to health, and who are potentially in danger of developing or have developed a disease'. The Proposal, thus, opens up the possibility of exchanging contact tracing information beyond communicable diseases, to a wide range of other types of health threats.

text: 13. The EDPS welcomes the fact that this provision clarifies that contact tracing means measures implemented at national level and that no additional tracing mechanism on the European level is foreseen. Similarly, he welcomes the fact that pursuant to

text: Article 18(3)

text: , contact tracing shall only be carried out using the selective messaging function of the EWRS, which, at the practical level, more strictly limits information sharing to recipients on a need-to-know basis and also limits retention periods.

text: 14. The EDPS also welcomes the obligation in

text: Article 18(5)

text: for competent national authorities to inform their counterparts if they come to the conclusion that a 'notification' of personal data for the purpose of contact tracing was unlawful. This obligation also flows from the data quality principle enshrined in

text: Article 6 of Directive 95/46/EC

text: and the controller's task to ensure compliance with it.

text: 15. However, the EDPS notes that the concept of contact tracing and its purposes are not more clearly defined in

text: Article 3

text: (c) and are nowhere else explained in further detail. It is not clear from the text of the Proposal what is the objective of contract tracing, how contacts will be determined, which sources might be used to obtain contact details of contacts, how individuals will be informed of the processing of their personal data, how long data will be retained, etc. While these issues can be addressed at national level, subject to national data protection safeguards, at least some basic clarifications should be made in the Proposal to ensure legal certainty, consistency across Europe and guarantee the necessity and proportionality of the exchange of contact tracing data via the EWRS.

text: 16. In this regard, and in addition to a clearer definition of what is contact tracing, and what purposes it may serve, the EDPS considers it particularly important that the Proposal should also provide more guidance on criteria to be used when assessing whether contact tracing measures (or their exchange via the EWRS) are necessary and proportionate. While the ultimate decisions could be left to Member States, for the reasons noted above, general principles should be included in the Proposal.

text: 17. For communicable diseases, these criteria could be modelled on the criteria used in practice in ECDC recommendations on contact tracing in specific cases, and could include at least such general criteria as the nature of the disease, its severity, its infectivity and the context in which exposure has occurred. The criteria used for other health threats should also be identified and set forth in the Proposal.

text: 18. With respect to other health threats, it is also not sufficiently clear what is the purpose of contact tracing, and how the scope of the contact tracing and the contact tracing procedure will differ in cases where the individual will have no infectious disease, and therefore, there is no public health interest in limiting the spread of the disease via tracing contacts.

text: Article 18(6)

text: requires the Commission to adopt a set of data protection guidelines for the EWRS and a recommendation providing an 'indicative' list of personal data that 'may or should' be exchanged for the purpose of contact tracing measures. While the EDPS welcomes the fact that the data categories shall be defined further by the Commission, the EDPS also stresses that at least the main categories of data to be processed (e.g. name and contact details of the individual concerned and who may have been in contact with him/her, travel routes, name of the disease) should already be outlined in the main Proposal. The main categories may be different for communicable diseases and for other health threats where contact with an exposed person does not lead to contamination/infection.

text: 20. Finally, the EDPS welcomes the fact that

text: Article 9(3)

text: specifically mentions that in case of

text: Article 9

text: alerts, personal data can only be exchanged for contact tracing purposes and subject to the safeguards of

text: Article 18

text: . However, this provision could be further clarified by deleting paragraph 9(3)(i) and instead, inserting a new paragraph 9(4) explicitly requiring that personal data processing under Article 9 of the Proposal should be restricted to what is necessary for contact tracing and should be processed subject to the safeguards set forth in

text: Article 18

text: . This could also help overcome the inconsistency in the current formulation of

text: Article 9(3)

text: , which mentions 'useful' information in the introductory sentence and 'necessary' personal data for contact tracing in item (i) of the list in this Article. III. The system of ad hoc surveillance

text: 21. Article 7 of the Proposal foresees the establishment of ad hoc monitoring networks in case of emergence of certain cross-border health threats (other than communicable diseases). These networks are to be established in response to a specific threat and will be shut down when it has passed, complementing the permanent surveillance of certain communicable diseases.

text: 22. However, several aspects of these networks remain unclear: o Which kinds of data are to be processed in these networks? o What will be the relationship between the ad hoc networks and the EWRS? o What will be the role (if any) of the ECDC? o Who will be responsible for compliance with data protection rules?

text: 23. It is not completely clear which types of data are to be exchanged in this network; paragraph 2 of

text: Article 7

text: provides only some indication, stating that 'in particular any change in geographic distribution, spread and severity of the health threat concerned and of the means of detection' shall be included. Prima facie, these networks seem to be meant to process aggregate and/or to a large extent anonymised information, similar to the permanent monitoring of certain communicable diseases.

text: 24. This aspect should be clarified. In any case, measures should be taken to minimise the processing of personal data, for example by applying appropriate anonymisation techniques and restricting the processing to aggregate data that cannot be traced back to individuals as far as possible. Indeed, it would be helpful if this requirement would be set forth in the Proposal with general applicability for all cases when personal data are processed, except for contact tracing.

text: 25. It is not clear from the Proposal what the relationship between EWRS and these ad hoc networks will be. While they are to be established following an alert in the EWRS, they seem to be formally independent of it. This should be explained further.

text: 26. Related to this, it is also not clear which role the ECDC would play in these networks. The wording of

text: Article 7

text: gives no hint of ECDC involvement, mentioning that the networks shall be set up by the Commission; however, it is not clear whether this excludes any role for the ECDC. A comparison with the provisions on the EWRS is useful here: these do not mention any role for the ECDC either, but as mentioned in recital 5, the EWRS is managed by the ECDC. This should be clarified.

text: 27. These previous two points are also important for the question of who is responsible for the compliance of these networks with the data protection framework, in other words, which bodies are controller(s) or processor(s) (see Section IV). IV. Controllership and responsibilities

text: 28. An important issue is the distribution of responsibilities between the Commission, the ECDC and the competent authorities in the Member States for compliance with the data protection rules. This includes clear determination of which bodies are controller(s) or processor(s) and what are their tasks and responsibilities. This issue has already been discussed between the EDPS and the Commission in the follow-up of the prior check opinion on EWRS, and important clarifications have been achieved, which have also been reflected in the data protection guidelines for the EWRS.

text: 29. However, to provide legal certainty, this should be clarified in the Proposal itself either by specifically mentioning which entity is considered as a data controller and which entity is considered as a processor, or by otherwise unambiguously indicating responsibilities, for example, by outlining the tasks and responsibilities of all actors involved. V. Retention periods

text: 30. As it stands, the Proposal also does not include any indication of retention periods for personal data processed under its scope. As a general principle, personal data should not be kept longer than is necessary to fulfil the purpose for which it was collected, as established by

text: Article 6(1)

text: (e) of Directive

text: and

text: Article 4(1)

text: (e) of

text: Regulation (EC) No 45/2001

text: . This is a particularly important concern for contact tracing data, due to their sensitivity.

text: 31. The EDPS notes that the already adopted recommendations on data protection guidelines for the EWRS establish a maximum retention period of 12 months for retaining contact tracing data and also encourage users to delete personal data before the end of this period if their retention is no longer necessary. Depending on the health issue at hand, necessary retention periods might well be significantly shorter than 12 months, for example for communicable diseases with short incubation periods.

text: 32. The EDPS welcomes the recommendations. However, since these are only non-binding recommendations, the EDPS recommends that the Proposal itself should establish this 12 months period as a binding maximum retention period for contact tracing data. Should a longer period be necessary for contact tracing data for other health threats, this should be carefully considered, adequately justified, and specifically set forth in the Proposal. VI Data security

text: 33. Finally, regarding data security, the EDPS encourages the legislators to include in Article 18 of the Proposal a more specific reference to the requirements on data security and confidentiality included in Articles

text: and

text: of Regulation (EC) No 45/2001 and Articles

text: and

text: of Directive 95/46/EC. This could be complemented with a requirement for a systemspecific security plan for the operation of the EWRS, including adequate control mechanisms that allow comprehensive monitoring of its effectiveness, with a security officer appointed to carry out this task. VII. Conclusion

text: 34. In general, the EDPS recommends that some essential elements, including certain essential data protection safeguards, should be also included in the text of the Proposal itself. In addition, some clarifications are also necessary due to the expansion of the scope of the Proposal to additional health threats beyond communicable diseases, which have not been subject to the prior checking procedure and also not discussed in the guidelines.

text: 35. More particularly, the EDPS recommends that the Proposal should:  Provide a clearer definition for contact tracing, including also its purposes and scope, which might be different for communicable diseases and other heath threats.  Define more clearly how the individuals used for contact tracing will be determined, which sources might be used to obtain contact details and how these individuals will be informed of the processing of their personal data.  Include criteria to be used when assessing whether contact tracing measures are necessary and proportionate.  Specify at least the main categories of data to be processed for contact tracing.  For the system of ad hoc surveillance, specify the kinds of data to be processed and take measures to minimise the processing of personal data, for example by using appropriate anonymization techniques and restricting the processing to aggregate data as far as possible.  Clarify the relationship between ad hoc surveillance networks and the EWRS.  Clarify the role of the ECDC in ad hoc surveillance networks.  Clarify the tasks and responsibilities of all actors involved from the data protection point of view in order to obtain legal certainty on the issue of controllership.  Establish legally binding retention periods at least for contact tracing.  Include in

text: Article 18

text: a more specific reference to the requirements on data security and confidentiality. Brussels, 28 March 2012 (signed) GIOVANNI BUTTARELLI Assistant European Data Protection Supervisor


text: ( 1 ) COM(2011) 937 final. ( 2 ) Avtal mellan Europeiska gemenskapen och Kanada om samarbete och ömsesidigt bistånd i tullfrågor (EGT L 7, s. 37, 13.1.1998, s. 38). ( 3 ) Avtal mellan Europeiska gemenskapen och Amerikas förenta stater om intensifiering och utvidgning av avtalet mellan Europeiska gemenskapen och Amerikas förenta stater om samarbete och ömsesidigt bistånd i tullfrågor så att detta omfattar samarbete om containersäkerhet och därmed sammanhängande frågor (EUT L 304, 30.9.2004, s. 34). Se också det nyligen framlagda förslaget till rådets beslut om unionens ståndpunkt i gemensamma tullsamarbetskom mittén EU–USA avseende ömsesidigt erkännande av program för godkända ekonomiska aktörer i Europeiska unionen och Förenta staternas program Custom-Trade Partnership Against Terrorism (COM(2011) 937 final) och Europeiska datatillsynsmannens yttrande av den 9 februari 2012, som finns tillgängligt på http://www.edps.europa.eu/EDPSWEB/ webdav/site/mySite/shared/Documents/Consultation/Opinions/2012/12-02-09_EU_US_Joint_Customs_EN.pdf

amnesord:
Rights of the Individual
International Agreements
Transfers of data

title: EU-Canada Agreement on supply chain security

text: C 335/6 SV Europeiska unionens officiella tidning 1.11.2012

text: EUROPEISKA DATATILLSYNSMANNEN

text: Sammanfattning av yttrande från Europeiska datatillsynsmannen om förslaget till rådets beslut om ingående av avtalet mellan Europeiska unionen och Kanada om frågor som rör säkerhet i leveranskedjan

text: (Hela texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats

text: (2012/C 335/05)

text: I. Inledning

text: I.1 Samråd med Europeiska datatillsynsmannen

text: 1. Den 28 mars 2012 antog kommissionen ett förslag till rådets beslut om ingående av avtalet mellan Europeiska unionen och Kanada om frågor som rör säkerhet i leveranskedjan ( 1 ) (nedan kallat utkastet till avtal). Förslaget skickades samma dag till Europeiska datatillsynsmannen. I.2 Förslagets bakgrund och syfte

text: 2. Förbindelserna mellan EU och Kanada inom tullområdet grundas på 1998 års avtal om samarbete och ömsesidigt bistånd i tullfrågor ( 2 ). Enligt artikel 23 i avtalet om samarbete och ömsesidigt bistånd i tullfrågor får de avtalsslutande parterna utvidga avtalets räckvidd för att utöka sitt samarbete i tullfrågor.

text: 3. Genom förslaget ska avtalet om samarbete och ömsesidigt bistånd i tullfrågor utökas genom en ny tilläggsöverenskommelse (nedan kallad utkastet till avtal) och en rättslig grund skapas för tullsamarbetet mellan EU och Kanada kring frågor som rör säkerheten i leveranskedjan och sammanhängande riskhante ring, i likhet med det nuvarande samarbetet med Förenta staterna om vilket Europeiska datatillsynsmannen antog ett yttrande den 9 februari 2012 ( 3 ). I.3 Syftet med Europeiska datatillsynsmannens yttrande

text: 4. Enligt förslaget ska utkastet till avtal också skapa en rättslig grund för utbytet av information. Även om utbyte av personuppgifter inte är huvudsyftet med förslaget kommer ett betydande utbyte av person uppgifter att äga rum särskilt när det gäller aktörer. I det nuvarande yttrandet analyseras hur utbytet av sådana personuppgifter regleras i utkastet till avtal. I yttrandet analyseras också de relevanta bestämmelserna i avtalet om samarbete och ömsesidigt bistånd i tullfrågor i den mån de påverkar behandlingen av person uppgifter enligt utkastet till avtal. Med hänsyn tagen till att utkastet till avtal utgör den rättsliga grunden för ytterligare samarbete lämnas också rekommendationer i yttrandet beträffande framtida beslut eller avtal som kräver utbyte av personuppgifter och som kan antas på grundval av utkastet till avtal. IV. Slutsats

text: 27. Europeiska datatillsynsmannen välkomnar hänvisningen till tillämpligheten av de avtalsslutande par ternas krav i fråga om sekretess och privatliv och hänvisningen till artikel 16 i avtalet om samarbete och ömsesidigt bistånd i tullfrågor. Han rekommenderar dock att följande läggs till i texten i utkastet till avtal där det är möjligt eller i framtida beslut eller avtal som antas på grundval av utkastet till avtal: 1.11.2012 Europeiska SV unionens officiella tidning C 335/7 — att det klargörs att spörsmål som inte rör den gemensamma handelspolitiken undantas från avtalets tillämpningsområde, — att omfattningen av utbytet av personuppgifter begränsas och definieras på ett bättre sätt, — att de kategorier av uppgifter som ska utbytas specificeras, — att, när det gäller behandling av känsliga uppgifter, tillräckliga skyddsåtgärder föreskrivs och att behand lingen där det är relevant först kontrolleras av de nationella datatillsynsmyndigheterna i EU och Eu ropeiska datatillsynsmannen. — att alla registrerade personer garanteras rätt till åtkomst och rättelse och effektiv rättslig och administ rativ prövning, — att de registrerade personerna informeras om de särdrag i behandlingen som har beskrivits ovan, — att tillräckliga säkerhetsåtgärder krävs, — att det nämns att efterlevnaden av de avtalsslutande parternas bestämmelser om uppgiftsskydd ska övervakas av de nationella datatillsynsmyndigheterna i EU, Europeiska datatillsynsmannen och Kanadas uppgiftsskyddsansvariga, — att Europeiska datatillsynsmannen rådfrågas om ytterligare beslut i gemensamma tullsamarbetskommit tén om behandling av personuppgifter. Utfärdat i Bryssel den 12 april 2012. Giovanni BUTTARELLI Biträdande Europeisk datatillsynsman


text: ( 1 ) KOM(2011) 778. ( 2 ) KOM(2011) 779. ( 3 ) Kommissionen rådfrågade inte Europeiska datatillsynsmannen om förslaget till direktiv

text: om lagstadgad revision; själva direktivet antogs den 17 maj 2006. ( 4 ) Europeiska datatillsynsmannens yttranden av den 10 februari 2012, som finns tillgängliga på http://www.edps.europa. eu

text: Giovanni BUTTARELLI

title: Statutory audits

text: C 336/4 SV Europeiska unionens officiella tidning 6.11.2012

text: EUROPEISKA DATATILLSYNSMANNEN

text: Sammanfattning av yttrande från Europeiska datatillsynsmannen om kommissionens förslag om ändring av direktiv

text: om lagstadgad revision av årsbokslut och sammanställd redovisning och om en förordning om särskilda krav avseende lagstadgad revision av företag av allmänt intresse

text: (2012/C 336/04)

text: Inledning

text: Samråd med Europeiska datatillsynsmannen

text: 1. Den 30 november 2011 antog kommissionen ett förslag om ändring av direktiv

text: om lagstadgad revision ( 1 ). Ändringarna av direktiv

text: avser godkännande och registrering av revisorer och revisionsföretag, principerna i fråga om yrkesetik, tystnadsplikt, oberoende och rapportering samt tillhörande tillsynsbestämmelser. Samma datum antog kommissionen ett förslag till förordning om lag stadgad revision av företag av allmänt intresse ( 2 ) i vilken villkoren för att utföra revisioner anges (nedan kallad den föreslagna förordningen). Förslagen skickades den 6 december 2011 till Europeiska datatillsyns mannen för samråd.

text: 2. Europeiska datatillsynsmannen välkomnar att kommissionen rådfrågar honom och rekommenderar att en hänvisning till detta yttrande införs i inledningen till direktivet. En hänvisning till samrådet med Eu ropeiska datatillsynsmannen har redan införts i inledningen till den föreslagna förordningen.

text: 3. I detta yttrande tar Europeiska datatillsynsmannen upp sådana frågor i samband med direktiv

text: som går utöver det som omfattas av de föreslagna ändringarna. Han betonar de eventuella följder som själva direktivet kan få för uppgiftsskyddet ( 3 ). Analysen i detta yttrande har direkt relevans för tillämpningen av den befintliga lagstiftningen och för andra förslag med liknande bestämmelser som är under behandling eller kan komma att framläggas i framtiden, som de som diskuteras i Europeiska data tillsynsmannens yttranden om lagstiftningspaketet om översyn av banklagstiftningen, kreditvärderingsinsti tuten, marknaderna för finansiella instrument (MiFID/MiFIR) och otillbörlig marknadspåverkan. ( 4 ) Europe iska datatillsynsmannen rekommenderar därför att detta yttrande läses parallellt med hans yttranden av den 10 februari 2012 om de ovannämnda initiativen. Förslagets mål och omfattning

text: 4. Kommissionen anser att revisionsföretagen har bidragit till finanskrisen och tar upp den roll som revisorerna spelade i krisen – eller snarare den roll de borde ha spelat. Kommissionen konstaterar också att grundliga revisioner är en central faktor för att återställa förtroendet på marknaderna.

text: 5. Kommissionen nämner att det också är viktigt att betona att revisorerna har anförtrotts uppdraget att utföra lagstadgade revisioner av årsboksluten för aktiebolag och andra bolag med begränsat ansvar och/eller har tillstånd att tillhandahålla tjänster inom den finansiella sektorn. De fullgör sin samhälleliga uppgift genom att yttra sig om huruvida de granskade bolagens årsbokslut ger en sann och rättvisande bild. 6.11.2012 Europeiska SV unionens officiella tidning C 336/5

text: 6. Slutligen har finanskrisen enligt kommissionen belyst svagheter i den lagstadgade revisionen, särskilt när det gäller företag av allmänt intresse. Dessa företag är av betydande allmänt intresse på grund av sin verksamhet, storlek eller antalet anställda, sin ställning som bolag eller på grund av att de har ett stort antal aktieägare.

text: 7. För att ta upp dessa problem har kommissionen offentliggjort ett förslag till ändring av direktiv

text: om lagstadgad revision som avser godkännande och registrering av revisorer och revisions företag, principerna i fråga om yrkesetik, tystnadsplikt, oberoende och rapportering samt tillhörande till synsbestämmelser. Kommissionen har också föreslagit en ny förordning om lagstadgad revision av företag av allmänt intresse där villkoren för att utföra sådana revisioner anges.

text: 8. Kommissionen föreslår att direktiv

text: ska gälla för de situationer som inte omfattas av den föreslagna förordningen. Det är därför viktigt att göra tydlig åtskillnad mellan de båda rättsakterna. Det innebär att de nuvarande bestämmelserna i direktiv

text: som bara avser lagstadgad revision av årsbokslut och sammanställd redovisning för företag av allmänt intresse flyttas till och ändras på lämpligt sätt i den föreslagna förordningen. Syftet med Europeiska datatillsynsmannens yttrande

text: 9. Införandet och tillämpningen av regelverket för lagstadgad revision kan i vissa fall påverka enskildas rättigheter när det gäller behandling av deras personuppgifter. I direktiv

text: i dess nuvarande och ändrade form och i den föreslagna förordningen finns bestämmelser som kan få följder för personerna i fråga. Slutsatser

text: 46. Europeiska datatillsynsmannen välkomnar den särskilda uppmärksamhet som ägnats åt uppgiftsskydd i den föreslagna förordningen, men har upptäckt att det finns utrymme för ytterligare förbättringar.

text: 47. Europeiska datatillsynsmannen lämnar följande rekommendationer: — Att artikel 56 i den föreslagna förordningen omformuleras och att en bestämmelse förs in i direktiv

text: i vilken betonas att den befintliga dataskyddslagstiftningen kan tillämpas fullt ut samt att de många hänvisningarna i de olika artiklarna i den föreslagna förordningen ersätts av en allmän bestäm melse med en hänvisning till både direktiv

text: och förordning

text: (EG) nr 45/2001

text: . Europeiska datatillsynsmannen föreslår att hänvisningen till direktiv

text: klargörs genom att det anges att bestämmelserna ska gälla i enlighet med de nationella regler genom vilka direktiv

text: införlivas. — Att det specificeras vilket slag av personuppgifter som kan behandlas i enlighet med direktiv

text: och den föreslagna förordningen, att de syften för vilka personuppgifter kan behandlas av de behöriga myndigheterna definieras och att en exakt, nödvändig och proportionerlig lagringstid för uppgifter fastställs för ovannämnda behandling. — Mot bakgrund av riskerna i fråga när det gäller överföring av uppgifter till tredjeländer rekommenderar Europeiska datatillsynsmannen att det i

text: artikel 47 i direktiv 2006/43/EG

text: läggs till att en bedömning ska göras från fall till fall, eftersom en tillräcklig nivå av skydd saknas. Han rekommenderar också att en liknande hänvisning och en uppgift om bedömning från fall till fall förs in i bestämmelserna i fråga i den föreslagna förordningen. — Att den minsta lagringstiden på 5 år i artikel 30 i den föreslagna förordningen ersätts med en maximal lagringstid. Den valda perioden ska vara nödvändig och proportionell för det syfte för vilket uppgifterna behandlas. — Att syftet med att offentliggöra sanktioner i artiklarna i fråga nämns i direktiv

text: och i den föreslagna förordningen och att offentliggörandets nödvändighet och proportionalitet förklaras i skälen i både direktiv

text: och i den föreslagna förordningen. Han rekommenderar också att beslut om offentliggörande fattas från fall till fall och att det ska finnas en möjlighet att offentliggöra mindre information än som för närvarande krävs. C 336/6 SV Europeiska unionens officiella tidning 6.11.2012 — Att tillräckliga skyddsåtgärder ska föreskrivas beträffande obligatoriskt offentliggörande av sanktioner för att garantera respekten för oskuldspresumtionen, de berörda personernas rätt att protestera, uppgifternas säkerhet och korrekthet och att de verkligen raderas efter en lämplig tidsperiod. — Att en bestämmelse med följande lydelse införs i artikel 66.1 i den föreslagna förordningen: ”Hemlighål landet av dessa personers identitet måste garanteras i alla etapper av förfarandet, såvida inte nationell lag kräver att deras identitet lämnas ut i samband med ytterligare utredning eller senare rättsliga förfaran den”. — Att formuleringen ”principerna i” tas bort från artikel 66.1 c i den föreslagna förordningen. Utfärdat i Bryssel den 13 april 2012. Biträdande Europeisk datatillsynsman


text: ( 1 ) COM(2011) 877 final. ( 2 ) COM(2011) 882 final. ( 3 )

text: . ( 4 ) Se motiveringen till förslaget, avsnitt 1. ( 5 ) Se också avsnitt 3.2 sjätte stycket i motiveringen till förslaget enligt vilket åtgärder på gemenskapsnivå är nödvändiga för att ”garantera” att ”vidareutnyttjande” tillåts för centrala data från den offentliga sektorn i alla medlemsstater, och avsnitt 5 med rubriken ”Ändring av lagstiftningen”, punkt iii) i sammanfattningen av konsekvensanalysen, enligt vilket det är nödvändigt att ändra den allmänna principen för att tillgängliga handlingar ska kunna vidareutnyttjas.

text: Peter HUSTINX

amnesord:
Transfers of data
eGovernment
Transparency
Technologies
Open Data

title: Open-Data Package

text: C 335/8 SV Europeiska unionens officiella tidning 1.11.2012

text: Sammanfattning av yttrande från Europeiska datatillsynsmannen om Europeiska kommissionens paket om öppna uppgifter och ett förslag till direktiv om ändring av direktiv

text: om vidareutnyttjande av information från den offentliga sektorn (PSI), meddelande från kommissionen om öppna uppgifter och

text: kommissionens beslut 2011/833/EU

text: (Hela texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats

text: (2012/C 335/06)

text: 1. Inledning 1.1 Bakgrund

text: 1. Den 12 december 2011 antog kommissionen ett förslag till direktiv om ändring av direktiv

text: om vidareutnyttjande av information från den offentliga sektorn (PSI) (nedan kallat försla get) ( 1 ). Förslaget är en del av paketet om öppna uppgifter där också två andra dokument som antagits samma dag ingår: i) meddelande från kommissionen med titeln ”Öppna uppgifter – En drivkraft för innovation, tillväxt och öppen styrning” (nedan kallat meddelandet) ( 2 ) och ii) kommissionens beslut om vidareutnyttjande av kommissionens handlingar (nedan kallat beslutet) ( 3 ).

text: 2. Europeiska datatillsynsmannen har inte rådfrågats i enlighet med kraven i

text: artikel 28.2 i förordning (EG) nr 45/2001

text: . Detta är beklagligt med tanke på den stora mängd uppgifter som eventuellt berörs av initiativet. Detta yttrande grundar sig därför på artikel 41.2 i samma förordning. Europeiska datatillsyns mannen rekommenderar att en hänvisning till detta yttrande förs in i ingressen till det instrument som antas. 1.2 Förslagets och beslutets mål och omfattning samt yttrandets fokus

text: 3. Målet med förslaget är att aktualisera och ändra den befintliga texten i direktiv

text: om vidareutnyttjande av information från den offentliga sektorn (nedan kallat PSI-direktivet).

text: 4. PSI-direktivet syftar till att förenkla vidareutnyttjandet av information från den offentliga sektorn inom EU genom att harmonisera de grundläggande villkoren för vidareutnyttjande av information från den offentliga sektorn och genom att undanröja hinder för vidareutnyttjande av information på den inre mark naden. PSI-direktivet innehåller bestämmelser om icke-diskriminering, avgifter, ensamrättsavtal, öppenhet och insyn, licenser och praktiska verktyg för att göra det enklare att hitta och vidareutnyttja offentliga handlingar ( 4 ).

text: 5. Ett av de viktiga nya målen för politiken i förslaget, vilket beskrivs i avsnitt 5.1 i meddelandet, är att införa principen om att all offentlig information som inte uttryckligen omfattas av ett av undantagen får vidareutnyttjas för kommersiella eller icke-kommersiella ändamål ( 5 ). Enligt den föreslagna ändringen av artikel 3.1 i PSI-direktivet måste medlemsstaterna i synnerhet säkerställa att handlingar som finns hos offentliga myndigheter i medlemsstaterna kan “utnyttjas för kommersiella eller icke-kommersiella ändamål”.

text: 6. Andra relevanta nya bestämmelser i förslaget är, bortsett från några undantag, att de avgifter som de offentliga myndigheterna kan ta ut för information som vidareutnyttjas begränsas till ”marginalkostnaderna för kopiering och spridning” (ändrad

text: artikel 6.1

text: ). Genom förslaget utökas dessutom också PSI-direktivet till att gälla bibliotek, arkiv, museer och universitetsbibliotek.

text: 7. Syftet med beslutet är att fastställa regler som ska gälla för kommissionen beträffande vidareutnytt jande av dess egna handlingar. 1.11.2012 Europeiska SV unionens officiella tidning C 335/9

text: 8. Avsnitten 2 och 3 i yttrandet avser själva förslaget, medan avsnitt 4 innehåller en kortfattad kom mentar om beslutet. I avsnitt 2 ges en allmän översikt över uppgiftsskyddsfrågorna i samband med öppna uppgifter, med utmaningar och överväganden som är viktiga referenspunkter och till stor del är avgörande för Europeiska datatillsynsmannens inställning i de mer specifika rekommendationerna i avsnitt 3.

text: 5. Slutsatser

text: 72. Vidareutnyttjande av information från den offentliga sektorn som innehåller personuppgifter kan ge betydande fördelar, men det innebär också avsevärda risker för skyddet av personuppgifter. Mot bakgrund av dessa risker rekommenderar Europeiska datatillsynsmannen att det i förslaget definieras klart och tydligt i vilka situationer och med förbehåll för vilka skyddsåtgärder det kan krävas att information som innehåller personuppgifter ska göras tillgänglig för att vidareutnyttjas. Det ska i förslaget i synnerhet — tydligare fastställas i vilken utsträckning PSI-direktivet ska avse personuppgifter (avsnitt 3.1), — krävas att den berörda offentliga myndigheten gör en bedömning innan information från den offentliga sektorn som innehåller personuppgifter får göras tillgänglig för att vidareutnyttjas (avsnitt 3.1), — där det är lämpligt krävas att uppgifter helt eller delvis anonymiseras och att återidentifiering av personer och vidareutnyttjande av personuppgifter för syften som kan beröra enskilda registrerade personer uttryckligen förbjuds i licensvillkoren (avsnitten 3.2 och 3.3), — krävas att det i licensvillkoren för att vidareutnyttja information från den offentliga sektorn alltid ska finnas en bestämmelse om uppgiftsskydd när personuppgifter behandlas (avsnitt 3.3), — när det är nödvändigt, med hänsyn till riskerna för skyddet av personuppgifter, krävas att sökandena (genom en konsekvensbedömning av uppgiftsskyddet eller på annat sätt) visar att eventuella risker för skyddet av personuppgifter beaktas tillräckligt och att sökanden kommer att behandla uppgifterna i enlighet med tillämplig dataskyddslagstiftning (avsnitt 3.3), — klargörs att det kan ställas villkor för vidareutnyttjande beroende på syftet med vidareutnyttjandet, i strid med den allmänna regel som tillåter vidareutnyttjande för kommersiella eller icke-kommersiella ändamål (avsnitt 3.3).

text: 73. Europeiska datatillsynsmannen föreslår dessutom — att man överväger att tillåta att en avgift när det är lämpligt tas ut av licensinnehavarna för förbehand ling (såsom digitalisering), anonymisering och sammanslagning (avsnitt 3.5), och — att kommissionen utarbetar ytterligare vägledning med inriktning på anonymisering och licensiering och rådfrågar artikel 29-gruppen i detta avseende (avsnitt 3.6). Utfärdat i Bryssel den 18 april 2012. Europeiska datatillsynsmannen