text: ANALYS AV FÖRSLAGET

text: 8 ( ) Europeiska datatillsynsmannens yttrande om förslaget till Europaparla- ( ) I

text: artikel 18.3 c

text: begränsas uppgifterna till att gälla ”efternamn, namn som mentets och rådets förordning om ömsesidigt administrativt bistånd ogift, förnamn, alias, födelsedatum och -ort, nationalitet, kön och adress avseför att skydda gemenskapens ekonomiska intressen mot bedrägerier ende ägarna, avsändarna, mottagarna, speditörerna, transportörerna och och all annan olaglig verksamhet (KOM(2004) 509 slutlig av den 20 juli övriga personer som ingriper i den internationella logistiska kedjan och i varu- 2004), EUT C 301, 7.12.2004, s. 4. sändningen”.

text: ( ) Yttrande av den 19 oktober 2005 om tre förslag om andra generationen av Schengens informationssystem (SIS II) (KOM(2005) 230 slutlig, KOM(2005) 236 slutlig och KOM(2005) 237 slutlig), EUT C 34. Eftersom TIS regleras av såväl förordning

text: (EG) nr 45/2001

text: 91, 19.4.2006, s. 38 samt yttrande av den 23 mars 2005 om förslaget som de nationella genomförandebestämmelserna för till Europaparlamentets och rådets förordning om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av direktiv

text: , har datatillsynsmannen och de natiouppgifter om viseringar för kortare vistelse, EUT C 181, 23.7.2005, s. nella dataskyddsmyndigheterna gemensamt ansvar för till- 13. synen av TIS. De nationella tillsynsmyndigheternas och ( ) EUT L 381, 28.12.2006, s. 4.

amnesord:
Regulation 45/2001
Rights of the Individual
Right of Access
Large-Scale IT Systems
CIS

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Correct application of the law on customs and agricultural matters

serie: yttranden

text: 28.4.2007 SV Europeiska unionens officiella tidning C 94/3

type: stycke

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om ändring av

text: rådets förordning (EG) nr 515/97

text: om ömsesidigt bistånd mellan medlemsstaternas administrativa myndigheter och om samarbete mellan dessa och kommissionen för att säkerställa en korrekt tillämpning av tull- och jordbrukslagstiftningen (KOM(2006) 866 slutlig)

text: (2007/C 94/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA europeisk databas där transport av containrar och/eller YTTRANDE, transportmedel samt berörda varor och personer kommer att kunna följas (den europeiska databasen).

text: med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt

text: artikel 286

text: 3. I förslaget införlivas dessutom det register för identifiering med beaktande av Europeiska unionens stadga om de grundläg- av tullutredningar (Fide) som ursprungligen upprättades av gande rättigheterna, särskilt

text: artikel 8

text: , medlemsstaterna i enlighet med avdelning IV i fördraget om Europeiska unionen ( ), med gemenskapslagstiftningen. Från och med nu kommer Fide att omfattas av såväl ramen för med beaktande av Europaparlamentets och rådets direktiv Europeiska gemenskapens åtgärder som tredje pelaren, med

text: av den 24 oktober 1995 om skydd för enskilda tillämpning av det relevanta rättsliga instrument som personer med avseende på behandling av personuppgifter och omfattar Fide i varje situation. Samma situation gäller för 1 5 om det fria flödet av sådana uppgifter ( ), TIS ( ). I praktiken uppnås detta genom att det upprättas två databaser som görs tillgängliga för olika enheter i syfte att säkerställa att de används för olika ändamål (första och med beaktande av Europaparlamentets och rådets förordning tredje pelaren).

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter ( ), särskilt

text: artikel 41

text: med beaktande av den begäran om ett yttrande i enlighet med

text: artikel 28.2 i förordning (EG) nr 45/2001

text: som mottogs den 4 I. Samråd med Europeiska datatillsynsmannen januari 2007 från kommissionen.

text: 4. Förslaget översändes av kommissionen till Europeiska datatillsynsmannen (nedan datatillsynsmannen) för samråd i enlighet med artikel 28.2 i Europaparlamentets och rådets förordning 45/2001 av den 18 december 2000 om skydd HÄRIGENOM FRAMFÖRS FÖLJANDE. för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (nedan kallad ”förordning

text: (EG) nr 45/2001

text: ”). Datatillsynsmannen mottog denna begäran INLEDNING den 4 januari 2007.

text: 1. Förslaget till Europaparlamentets och rådets förordning om ändring av

text: rådets förordning (EG) nr 515/97

text: om ömsesidigt 5. Med beaktande av den bindande karaktären hos

text: artikel 28.2

text: bistånd mellan medlemsstaternas administrativa myndigi förordning

text: (EG) nr 45/2001

text: bör det göras en hänvisning heter och om samarbete mellan dessa och kommissionen för att säkerställa en korrekt tillämpning av tull- och jord- till detta samråd i ingressen till förslaget, före skälen. I detta 3 syfte föreslår datatillsynsmannen följande formulering, brukslagstiftningen ( ) (nedan kallat ”förslaget”) har två mål. motsvarande den som används i andra lagförslag för att Å den ena sidan syftar det till att få den gällande rådets hänvisa till yttranden från datatillsynsmannen ( ): ”efter förordning

text: (EG) nr 515/97

text: att överensstämma med gemensamråd med Europeiska datatillsynsmannen”. skapens nya befogenheter när det gäller gemenskapssamarbete i tullfrågor. Å den andra sidan syftar förslaget till att stärka samarbetet och utbytet av uppgifter mellan medlems- ( ) Protokoll upprättat enligt

text: artikel 34 i Fördraget om Europeiska unionen

text: , om ändring, när det gäller inrättande av ett register för identistaterna och mellan dem och kommissionen. fiering av tullutredningar, av konventionen om användning av informationsteknologi för tulländamål, TIS-konventionen. Protokollet antogs genom rådets akt av den 8 maj 2003, EUT C 139, 13.6.2003, s. 1.

text: 2. För att kunna uppnå dessa båda mål innehåller förslaget 5 ( ) Den rättsliga grunden för den mellanstatliga databasen är TIS-konvenbland annat utökade funktioner hos det befintliga tullinfor- tionen, en konvention som utarbetats på grundval av artikel K 3 i mationssystemet (TIS), och det inrättas en kompletterande Fördraget om Europeiska unionen, om användning av informationsteknologi för tulländamål, (EGT C 316, 27.11.1995, s. 34). ( ) Jfr förslaget till Europaparlamentets och rådets förordning om ändring ( ) EGT L 281, 23.11.1995, s. 31 av förordning

text: (EG) nr 1073/1999

text: om utredningar som utförs av Euro- ( ) EGT L 8, 12.1.2001, s. 1 peiska byrån för bedrägeribekämpning (OLAF), SEK(2006) 638, KOM ( ) EGT L 82, 22.3.1997, s. 1 (2006) 244 slutlig - COD 2006/0084.

text: C 94/4 SV Europeiska unionens officiella tidning 28.4.2007

text: II. Förslagets betydelse ur dataskyddssynvinkel säkerställa skyddet av enskilda personers personuppgifter och privatliv. Datatillsynsmannen välkomnar även beslutet att låta Fide omfattas av räckvidden för gemenskapslagstiftningen, dvs. av förordning

text: (EG) nr 45/2001

text: . 6. Inrättandet och utvecklingen av olika instrument för att förstärka gemenskapens samarbete, t.ex. TIS, Fide och den europeiska databasen, innebär en ökning av antalet personuppgifter som först kommer att samlas in och därefter 11. Datatillsynsmannen inser relevansen av de mål som efterutbytas mellan medlemsstaternas administrativa myndigsträvas i förslaget, nämligen att stärka samarbetet såväl heter och, i vissa fall, även med tredjeländer. De personuppmellan medlemsstaterna som mellan dessa och kommisgifter som behandlas och därefter sprids kan innehålla sionen. Han inser även behovet av att upprätta eller uppdauppgifter om en persons påstådda eller bekräftade deltatera befintliga instrument såsom TIS och Fide för att uppnå gande i förseelser på området tull- eller jordbruksverkdessa mål. Datatillsynsmannen välkomnar dessutom att det samhet. Ur denna synvinkel får förslaget betydande konsei detta syfte har införts dataskyddsåtgärder i förslaget där kvenser när det gäller skyddet av personuppgifter. Dess den nuvarande dataskyddslagstiftning som gäller för EU:s betydelse ökar dessutom om man betänker typen av institutioner beaktas. Datatillsynsmannen anser dock att det uppgifter som samlas in och sprids, särskilt misstankar om finns utrymme för förbättringar för att säkerställa förslagets att personer deltar i förseelser, och det övergripande ändaövergripande överensstämmelse med den befintliga rättsliga målet med och resultatet av behandlingen. ramen för dataskydd och ett effektivt skydd av enskildas personuppgifter. Av denna anledning gör datatillsynsmannen de kommentarer och ger de förslag som återges i 7. Med beaktande av förslagets konsekvenser för skyddet av nästa avsnitt. personuppgifter anser datatillsynsmannen att det är lämpligt att i yttrandet inbegripa en analys av förslagets inverkan på skyddet av enskilda personers fri- och rättigheter i samband med behandling av personuppgifter.

text: III. De viktigaste inslagen i förslaget samt inledande kommentarer I. Inrättande av en europeisk databas

text: 8. De viktigaste inslagen i förslaget med relevans ur dataskyddsperspektiv är de följande: i) Inrättande av en europeisk 12. Enligt

text: artikel 18

text: a.1 i förslaget skall kommissionen inrätta databas (

text: artikel 18

text: a och 18b); ii) bestämmelserna om och förvalta en europeisk databas i syfte att ”spåra dels varuuppdatering av reglerna om TIS (artiklarna

text: ); och iii) sändningar som skulle kunna bli föremål för transaktioner som bestämmelserna om fastställande av Fide som en gemens- strider mot jordbruks- och tullagstiftningen, dels de transportkapsdatabas (

text: artikel 41

text: a-41d). Även andra bestämmelser är medel … som används …”. Kommissionen kommer att få de relevanta, bland annat de om övervakning av dataskyddet flesta uppgifterna från statliga och privata tjänsteleveranvilka har ändrats för att beakta antagandet av förordning törer som arbetar med internationell logistik eller varusänd-

text: (EG) nr 45/2001

text: (artiklarna

text: och

text: ). ningar. Databasen får utökas ”med uppgifter ur andra källor” enligt

text: artikel 18

text: a.2 b. I

text: artikel 18

text: a.3 förtecknas de uppgifter som får föras in i databasen, inbegripet en förteckning över de personuppgifter som berörs ( ). Kommissionen kommer 9. Datatillsynsmannen erinrar om att han, i sitt tidigare att ge de behöriga myndigheterna i medlemsstaterna tillyttrande om förslaget till Europaparlamentets och rådets gång till uppgifterna i databasen. förordning om ömsesidigt administrativt bistånd för att skydda gemenskapens ekonomiska intressen mot bedrägerier och all annan olaglig verksamhet ( ), påpekade behovet av att anpassa några av bestämmelserna i rådets förordning 13. I förslaget säkerställs det att inrättandet av en databas

text: (EG) nr 515/97

text: för att de bättre skall överensstämma med kommer att bidra till att det blir möjligt att spåra transakden nya dataskyddslagstiftning som gäller för tioner som kan strida mot tull- och jordbrukslagstiftningen. EU:s institutioner, nämligen förordning

text: (EG) nr 45/2001

text: . Datatillsynsmannen anser emellertid, i likhet med vad som Datatillsynsmannen välkomnar därför de bestämmelser i bör göras varje gång det inrättas en central databas med förslaget som går i denna riktning. personuppgifter, att behovet av en sådan databas måste utvärderas på ett lämpligt och noggrant sätt och, när databasen har inrättats, att det vidtas särskilda säkerhetsåtgärder 10. Datatillsynsmannen välkomnar även att bestämmelserna med beaktande av dataskyddsprinciperna. Syftet med detta om inrättandet av en europeisk databas och om uppdater- är att undvika allting som på ett olämpligt sätt skulle kunna ingen av reglerna om TIS, innehåller skyddsåtgärder för att inverka på skyddet av personuppgifter.

text: 28.4.2007 SV Europeiska unionens officiella tidning C 94/5

text: 14. Datatillsynsmannen anser att förslaget inte innehåller till- 19. Datatillsynsmannen erinrar om att kommissionen, för att räckliga argument till stöd för att inrätta denna databas. För följa förordning

text: (EG) nr 45/2001

text: , bl.a. kommer att vara att säkerställa att det endast inrättas databaser som verk- skyldig att underrätta enskilda personer vars namn är regiligen behövs, uppmanar datatillsynsmannen kommissionen strerade i databasen om detta ( ). Det bör särskilt hållas i att genomföra en lämplig bedömning av behovet av att minne att en sådan rättighet existerar även om de persodenna databas inrättas och att rapportera om resultatet. nuppgifter som förts in i databasen härrör från offentliga källor. Med hänsyn till databasens ändamål kommer kommissionen dessutom att vara bunden av

text: artikel 27 i förordning (EG) nr 45/2001

text: enligt vilken datatillsyn- 15. När det gäller säkerhetsåtgärder för dataskyddet noterar smannen i förhand skall kontrollera systemet innan det datatillsynsmannen att förslaget visserligen innehåller några genomförs ( ). säkerhetsåtgärder, men att det krävs ytterligare åtgärder.

text: I.2 Tillämpning av nationella genomförandebestämmelser till I.1 Tillämpning av förordning

text: (EG) nr 45/2001

text: direktiv

text: 16. Med beaktande av att kommissionen kommer att inrätta 20. Enligt

text: artikel 18

text: a.2 c i förslaget har kommissionen behöoch förvalta den europeiska databasen och att denna righet att ställa uppgifterna i databasen till förfogande för kommer att innehålla personuppgifter, noterar datatillsyn- de behöriga myndigheterna i medlemsstaterna. Datatillsynsmannen att förordning

text: (EG) nr 45/2001

text: om skydd för smannen noterar att eftersom en sådan överföring omfattas enskilda då gemenskapsinstitutionerna och gemenskapsor- av förordning

text: (EG) nr 45/2001

text: , omfattas medlemsstaternas ganen behandlar personuppgifter och om den fria rörlig- senare behandlingar av uppgifterna av direktiv

text: av heten för sådana uppgifter utan tvekan är tillämplig på den 24 oktober 1995. Även om

text: artikel 18

text: a.2 c förefaller databasen. Kommissionen måste således, i egenskap av vara avsedd att förmedla denna idé, såsom närmare beskrivs registeransvarig för databasen ( ), säkerställa efterlevnad av nedan, skulle formuleringen kunna förbättras så att den alla bestämmelser i denna förordning. uttrycks på ett klarare sätt.

text: 17. Även om förordning

text: (EG) nr 45/2001

text: alltså i sig gäller för 21. I

text: artikel 18

text: a.2 c anges följande: ”Kommissionen har följande inrättandet och förvaltningen av databasen, anser datatill- behörighet i fråga om förvaltningen av databasen: (…) c) Ställa synsmannen av konsekvensskäl att det vore lämpligt att uppgifterna i databasen till förfogande för de behöriga myndigföra in ett nytt stycke där det erinras om dess tillämpning. heter som avses i

text: artikel 1.1

text: , i avsikt att uppnå syftet med den Datatillsynsmannen noterar t.ex. att artikel 34 i förslaget, här förordningen och med hänsyn till de nationella genomförandesom gäller tullinformationssystemet (TIS) och registret för bestämmelserna till direktiv

text: .” Datatillsynsmannen identifiering av tullutredningar (Fide), innehåller en bestäm- anser att

text: artikel 18

text: a.2 c inte i tillräcklig utsträckning återmelse där det erinras om tillämpningen av förordning (EG) speglar idén att senare behandling av personuppgifterna i nr 45/2001. Datatillsynsmannen föreslår därför att det skall medlemsstaternas behöriga myndigheter skall omfattas av föras in ett nytt stycke i

text: artikel 18.1

text: med en lydelse nationella genomförandebestämmelser till direktiv liknande den i

text: artikel 34

text: enligt följande: ”Kommissionen skall

text: . För att klargöra denna punkt anser datatillsynbehandla den europeiska databasen som ett sådant system för smannen att den sista delen av

text: artikel 18

text: a.2 c bör formubehandling av personuppgifter som lyder under förordning (EG) leras på följande sätt: ”… i avsikt att uppnå syftet med den här nr 45/2001”. förordningen. Senare behandling av personuppgifterna i dessa myndigheter skall omfattas av de nationella genomförandebestämmelserna till direktiv

text: .” Sådan senare behandling på

text: 18. Datatillsynsmannen noterar att det i

text: artikel 18

text: a.2 b i 10 ( ) Såvida inte den tjänsteleverantör som överför uppgifterna till kommisförslaget bekräftas att förordning

text: (EG) nr 45/2001

text: är sionen redan har underrättat personerna om detta, i enlighet med de tillämplig för viss användning av databasen, särskilt när nationella bestämmelserna för att genomföra direktiv

text: av kommissionen använder databasen för att ”sammanställa och den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana jämföra uppgifter … indexera och utöka dem …”. Såvida det uppgifter, EGT L 281, 23.11.95, s. 31. inte finns något allmänt uttalande där det bekräftas att 11 ( ) Databehandling som skall omfattas av förhandskontroll av datatillsynförordning

text: (EG) nr 45/2001

text: är tillämplig på databasen i sin smannen inbegriper den behandling som förtecknas i artikel 27 i helhet, inbegripet behandlingar som genomförs från inrät- förordning

text: (EG) nr 45/2001

text: , dvs. a) behandling av uppgifter som rör hälsa samt behandlingar av uppgifter som rör misstankar om brott, tandet till förvaltningen av databasen, skulle alla andra brott, brottmålsdomar eller säkerhetsåtgärder; b) behandling där syftet åtgärder/skeden som inte uttryckligen omnämns i artikel är att bedöma den registrerades personlighet, t.ex. hans kompetens, 18a.2 b inte anses vara omfattade av förordning (EG) nr 45/ prestationsförmåga eller uppträdande; c) behandling som möjliggör 2001. Detta är ytterligare ett skäl som stöder införandet av samkörning som inte anges i nationell lagstiftning eller gemenskapsden föreslagna texten ovan. lagstiftning mellan uppgifter som behandlats för olika ändamål; d) behandling som syftar till att enskilda personer skall utestängas från att komma i åtnjutande av en rättighet, en förmån eller ett avtal. ( ) Registeransvariga är de personer eller organ som fastställer syftet med Direktiv

text: av den 24 oktober 1995 om skydd för enskilda och medlen för behandling av personuppgifter, inom såväl den offent- personer med avseende på behandling av personuppgifter och om det liga som den privata sektorn. fria flödet av sådana uppgifter, (EGT L 281, 23.11.1995, s. 31).

text: C 94/6 SV Europeiska unionens officiella tidning 28.4.2007

text: nationell nivå måste under alla omständigheter vara förenlig II.1 Vidgning av tänkbar användning för uppgifter som lagras i med det ändamål för vilket kommissionen gjorde uppgif- TIS terna tillgängliga, såvida inte särskilda villkor är uppfyllda (se artiklarna

text: 6.1 b

text: och

text: i direktiv 95/46/EG).

text: 26. I förslaget har några av de ursprungliga bestämmelserna om upprättande och användning av TIS ändrats. Man har bl.a. i

text: artikel 25

text: utökat antalet kategorier av personuppgifter som får lagras i TIS och i

text: artikel 27

text: utvidgat möjligheterna till användning för personuppgifter som lagras i TIS till att omfatta operativ analys för att bland annat möjliggöra 1.3 Kompletterande synpunkter ”bedömning av källans och uppgifternas tillförlitlighet”, ”utarbetande av fakta, rekommendationer (…) för att spåra (…) transaktioner (…) eller för att närmare identifiera fysiska eller juridiska personer”. I

text: artikel 35.3

text: ges även en möjlighet att kopiera 22. Datatillsynsmannen stöder tillvägagångssättet i

text: artikel 18.4

text: innehållet i TIS till andra informationsbehandlingssystem i förslaget att inom kommissionen begränsa de avdelningar när det gäller ”sådana system för riskanalys som används för att som är behöriga att behandla personuppgifterna i den euromålstyra nationella tullkontroller eller system för operativ analys peiska databasen. Detta ligger i linje med

text: artikel 22

text: i

text: som används för att målstyra samordnade åtgärder inom gemen-

text: förordning

text: (EG) nr 45/2001

text: där det krävs att den registeskapen.” ransvarige bl.a. skall vidta lämpliga tekniska och organisatoriska åtgärder, t.ex. se till att uppgifterna endast lämnas ut om behovsenlig behörighet föreligger, för att säkerställa en lämplig dataskyddsnivå. 27. Enligt förslaget är de kompletterande användningsmöjligheter som anges ovan nödvändiga för spårande och uppföljning av transaktioner som strider mot tull- och jordbrukslagstiftningen. Även om datatillsynsmannen inte ifrågasätter 23. I den sista delen av

text: artikel 18.4

text: fastställs det att personupp- ett sådant behov anser han att det i kommissionens förslag gifter som inte är nödvändiga för att uppnå syftet skall borde ha givits mer övergripande information samt hållbara avidentifieras. Det anges även att de under inga omständig- skäl för detta behov. heter får sparas i mer än ett år. Datatillsynsmannen välkomnar denna skyldighet som ligger i linje med

text: artikel 4.1 e i förordningen

text: , där det föreskrivs att personuppgifter 28. Datatillsynsmannen välkomnar att ovanstående ändringar skall lagras på ett sätt som förhindrar att de registrerade åtföljs av dataskyddsåtgärder. Man har i förslaget t.ex. kan identifieras under en längre tid än vad som är nödvänbehållit en fast lista med de personuppgifter som får föras digt för de ändamål för vilka uppgifterna samlades in eller in i TIS (tidigare

text: artikel 25.1

text: ) på villkor att det finns senare behandlas. ”faktiska bevis” som tyder på att den berörda personen har begått eller kommer att begå förseelser (tidigare

text: artikel 27.2

text: ). Dessutom, enligt tidigare

text: artikel 25.3

text: , får det inte föras in några känsliga uppgifter ( ) i TIS. I

text: artikel 35.3

text: 24. I enlighet med

text: artikel 22 i förordning (EG) nr 45/2001

text: begränsas dessutom de personer som får kopiera innehållet måste databasen skyddas på lämpligt sätt. Säkerställandet av i TIS för de ändamål som anges i samma artikel samt den en optimal säkerhetsnivå för databasen är ett grundläggande tidsperiod under vilken uppgifter som kopierats från TIS får krav för skyddet av de personuppgifter som lagras i datalagras. Dessa åtgärder ligger i linje med principen om basen. Medan det i bestämmelserna om TIS fastställs att det skall vidtas särskilda säkerhetsåtgärder, föreskrivs det inte uppgifternas kvalitet i artikel 4 i förordning (EG) nr 45/ något i förslaget när det gäller den europeiska databasen. 2001. Datatillsynsmannen anser att säkerhetsfrågorna i fråga om databasen bör omfattas av kompletterande administrativa bestämmelser om särskilda åtgärder för att säkerställa uppgifternas sekretess. När dessa bestämmelser antas bör datatillsynsmannen höras. II.2 Tillämpningsområdet för förordning

text: (EG) nr 45/2001

text: 29. I artikel 34 i förslaget beaktas antagandet av förordning

text: (EG) nr 45/2001

text: som är tillämplig på gemenskapsinstitutionernas och -organens behandling av personuppgifter. II. Ändringar av bestämmelserna om tullinformations- Kommissionen uppmanas därför att notera att förordning systemet (TIS)

text: (EG) nr 45/2001

text: är tillämplig på TIS. Datatillsynsmannen bekräftar att med beaktande av att TIS innehåller personuppgifter och att kommissionen har tillgång till och är registeransvarige för databasen, är förordning (EG) nr 45/ 25. I artiklarna

text: i rådets förordning (EG) nr 515/97 fast- 2001 utan tvekan tillämplig. Datatillsynsmannen välkomnar ställs bestämmelserna om upprättandet av tullinformations- därför denna ändring som återspeglar den nuvarande rättssystemet (TIS) som en databas som förvaltas av kommis- liga ramen för dataskydd. sionen, är tillgänglig för medlemsstaterna och kommissionen och avsedd att lämna hjälp för att förebygga, utreda 12 ( ) Uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös tro, och beivra överträdelser av tull- eller jordbrukslagstift- filosofisk övertygelse, fackföreningstillhörighet samt uppgifter om ningen. hälsa eller sexualliv.

text: 28.4.2007 SV Europeiska unionens officiella tidning C 94/7

text: 30. Datatillsynsmannen erinrar om att på grund av tillämp- datatillsynsmannens tillsynsverksamhet bör slutligen i viss ningen av

text: artikel 27 i förordning (EG) nr 45/2001

text: och med utsträckning samordnas för att säkerställa tillräcklig överbeaktande av att syftet med TIS kan bedömas medföra ensstämmelse och övergripande effektivitet. Såsom datatillrisker för de registrerades rättigheter och friheter, måste synsmannen framhållit i tidigare yttranden om databaser datatillsynsmannen förhandsgranska systemet. som övervakas av EU:s medlemsstater och datatillsynsmannen ”… är (det) nödvändigt med ett harmoniserat genomförande av förordningen och att man verkar för ett gemensamt tillvägagångssätt när det gäller gemensamma problem” ( ). 31. Utöver tillämpningen av förordning

text: (EG) nr 45/2001

text: , har man samtidigt i artikel 34 i förslaget bevarat tillämpningen av de nationella genomförandebestämmelserna för direktiv

text: . Datatillsynsmannen anser att detta tillvägagångssätt är korrekt i den mån som medlemsstaternas myndigheter har tillträde till TIS och behörighet att föra in och 35. Det föreskrivs tyvärr inte något samordningsförfarande i senare behandla uppgifterna i TIS. Datatillsynsmannen förslaget för att strukturera och förbättra samarbetet mellan anser alltså kommissionen och medlemsstaterna, i egenskap datatillsynsmannen och de nationella dataskyddsmyndigheav medregisteransvariga, skall ha gemensamt ansvar för terna. För att åtgärda detta problem föreslår datatillsynkontrollen av TIS-uppgifterna. smannen som ett första alternativ att det förs in ett nytt stycke i

text: artikel 37

text: om kontroll av dataskyddet enligt följande: ”Datatillsynsmannen skall sammankalla ett möte med alla nationella tillsynsmyndigheter minst en gång varje år för att

text: behandla tillsynsfrågor med anknytning till TIS. Medlemmar i

text: nationella dataskyddsmyndigheter och datatillsynsmannen kallas nedan ’tillsynsmyndigheterna’”.

text: II.3 Datatillsynsmannens översyn av TIS tillsammans med de

text: nationella dataskyddsmyndigheterna

text: 36. En bättre lösning för att återspegla tillsyn på olika nivåer vore, såsom nämndes tidigare, att dela upp bestämmelserna 32. Till följd av att förordning

text: (EG) nr 45/2001

text: är tillämplig, om tillsyn (

text: artikel 37

text: ) i flera bestämmelser, där var och en har datatillsynsmannen ansvaret för att förordningen av dem gäller en viss tillsynsnivå, såsom det har gjorts i de tillämpas på TIS. Även om datatillsynsmannens behörighet nyligen antagna rättsliga instrumenten om inrättande av återspeglas i några av artiklarna i förslaget är så inte fallet i Schengens informationssystem (SIS II). Särskilt i artiklarna andra. Datatillsynsmannen beklagar särskilt att några av de 44-46 i Europaparlamentets och rådets förordning (EG) delar i

text: artikel 37

text: som gäller tillsyn inte har ändrats i nr 1987/2006 om inrättande, drift och användning av enlighet därmed och uppmanar lagstiftarna att göra de andra generationen av Schengens informationssystem (SIS ändringar som beskrivs nedan. II) ( ) fastställs det ett väl avvägt system där tillsynen är uppdelad på nationell nivå och gemenskapsnivå samt samordning av dessa. Datatillsynsmannen förordar att samma tillsynssystem (med några smärre anpassningar) skall fastställas för TIS. TIS och SIS II är till stor del jämför- 33. Datatillsynsmannen noterar att behörigheten för medlemsbara när det gäller tillsynens struktur. staternas myndigheter att utöva tillsyn över TIS uttryckligen erkänns i

text: artikel 37.1

text: . I denna artikel omnämns dock inte någon liknande behörighet för datatillsynsmannen enligt förordning

text: (EG) nr 45/2001

text: . Detta problem framträder ännu tydligare i

text: artikel 37.3

text: , som inte har ändrats i förslaget: ”Kommissionen skall inom sina avdelningar vidta de 37. I

text: artikel 43.5

text: fastställs det att en för ändamålet inrättad åtgärder som behövs för att säkerställa att en kontroll av skyddet sammansättning av den kommitté som avses i

text: artikel 43.1

text: av personuppgifter erbjuder en skyddsnivå motsvarande den i (nedan kallad ad hoc-kommittén) regelbundet skall punkt 1”. Med andra ord tillerkänns ”kommissionen” sammanträda för att behandla alla dataskyddsproblem som kontrollen av dataskyddet i

text: artikel 37.3

text: . Det är uppenbart rör TIS. Datatillsynsmannen anser att denna ad hocatt denna artikel borde ha ändrats för att återspegla den nya kommitté inte bör uppfattas som det behöriga organet för tillsynsrollen för datatillsynsmannen. I sin nuvarande form att utöva tillsyn över TIS eftersom denna behörighet utesluär

text: artikel 37.3

text: ologisk. För att åtgärda detta problem bör tande ligger hos medlemsstaternas myndigheter och datatillartikel 37.3 ändras på följande sätt: ”Europeiska datatillsyn- synsmannen. Den ad hoc-kommitté som fastställs i artikel smannen skall kontrollera att TIS överensstämmer med förordning 43.5 är i själva verket en kommitté för så kallat kommitté-

text: (EG) nr 45/2001

text: .” förfarande.

text: C 94/8 SV Europeiska unionens officiella tidning 28.4.2007

text: 38. Datatillsynsmannen anser emellertid att ad hoc-kommittén genomförandet av direktiv

text: eller förordning (EG)

text: är ett lämpligt forum för att behandla dataskyddsproblem i nr 45/2001. Den tillämpliga lagstiftningen kommer i varje

text: samband med driften av TIS. I detta syfte föreslår datatill- enskilt fall att bero på var rättigheterna utövas. synsmannen att

text: artikel 43.5

text: skall omformuleras för att åter-

text: spegla uppgifterna och rollen för ad hoc-kommittén enligt

text: artikel 43.5

text: på följande sätt: ”Kommittén skall tillsammans 43. Begränsningar av rätten till tillgång: I det andra stycket av

text: med den tillsynsgrupp som avses i artikel … undersöka alla

text: artikel 36.2

text: fastställs det att ”ingen (får) beviljas tillgång (…)

text: problem som rör driften av TIS och som uppmärksammas av till- under den period då åtgärder vidtas för observation,

text: synsmyndigheterna. Kommittén skall sammanträda i ad hoc-

text: rapportering eller (…) en utredning pågår”. Av de skäl som sammansättningen minst en gång om året.” anges nedan önskar datatillsynsmannen att texten ändras på

text: följande sätt: ”ansökan om tillgång får avslås” (i stället för

text: ”ingen (får) beviljas tillgång”). 39. Datatillsynsmannen vill även göra lagstiftaren uppmärksam

text: på ett annat gemensamt kännetecken för TIS och SIS II,

text: nämligen att de omfattas av såväl den första som den tredje 44. I förordning

text: (EG) nr 45/2001

text: fastställs den allmänna prinpelaren vilket innebär att det finns två särskilda rättsliga cipen att enskilda får utöva rätten till tillgång till sina egna grunder för vart och ett av systemen. Tredje pelarens TIS personuppgifter. I

text: artikel 20 i förordning (EG) nr 45/2001

text: regleras av den konvention som avses i punkt 3 i detta fastställs det dock att en sådan rätt kan begränsas om något yttrande. Detta medför en rad konsekvenser, bland annat av de särskilda villkor som motiverar en begränsning föreför tillsynens struktur: medan den första pelarens TIS skall ligger. De enskilda har med andra ord rätt till tillgång i kontrolleras av datatillsynsmannen och de nationella tillsynprincip, men en sådan tillgång kan begränsas. Omvänt smyndigheterna, skall den tredje pelarens del kontrolleras medger lydelsen av

text: artikel 36.2

text: ”ingen (får) beviljas tillgång” av en gemensam tillsynsmyndighet (bestående av företräinte något utrymme för en bedömning av huruvida tillgång dare för samma nationella myndigheter). Detta utgör ett kan beviljas eller ej. Detta innebär i grunden att enskilda ganska svårhanterligt tillsynssystem som kan leda till brist under en viss tid inte har någon sådan rätt alls. Det finns på överensstämmelse och effektivitet och det belyser svåriginte någon anledning till att det allmänna tillvägagångssättet heterna med en så komplex rättslig miljö som denna. i förordning

text: (EG) nr 45/2001

text: inte skulle kunna tillämpas i denna situation, särskilt om en begränsning av tillgång

text: 40. Det är värt att notera att när det gäller SIS II har den euro- under den period som avses i

text: artikel 36.2

text: skulle vara möjlig

text: peiska lagstiftaren valt att rationalisera tillsynsmodellen enligt

text: artikel 20

text: . Om kommissionen önskar avslå en

text: genom att använda samma modell i flera nivåer som den ansökan skulle detta kunna ske genom

text: artikel 20

text: , enligt

text: som beskrivs ovan när det gäller såväl den första som den vilken tillgång kan avslås för att skydda utredningen.

text: tredje pelaren i systemet. Detta tillvägagångssätt är utan tvekan värt att överväga, och datatillsynsmannen rekom-

text: menderar att man ytterligare undersöker de möjligheter 45. Datatillsynsmannen anser att förslaget bör formuleras i

text: systemet erbjuder för bättre och mer konsekvent tillsyn. samma anda som förordning

text: (EG) nr 45/2001

text: . Något annat

text: skulle strida mot den allmänna ramen där rätten till tillgång

text: enligt förordning

text: (EG) nr 45/2001

text: föreskrivs. Problemet

text: skulle enkelt kunna lösas genom att byta ut ”ingen (får) beviljas tillgång” mot ”ansökan om tillgång får avslås”. II.4 De enskildas rättigheter

text: 46. Förfarandet för ansökan om tillgång för enskilda: I förslaget har 41. De enskildas dataskyddsrättigheter enligt förslaget, särskilt den tidigare

text: artikel 37.2 i förordning (EG) nr 515/97

text: rätten till tillgång, regleras i artiklarna

text: och

text: , vilka ändrats där man tar upp det förfarande som skall användas delvis har ändrats i förslaget. Datatillsynsmannen skulle vilja för att få kunskap om huruvida TIS innehåller personuppta upp följande tre frågor med anknytning till rätten till tillgifter för en viss person. I den nya

text: artikel 37.2

text: erkänns gång: i) Tillämplig lagstiftning enligt den tidigare artikel möjligheten för enskilda att lämna in en begäran hos 36.1; ii) Begränsningar av rätten till tillgång enligt den tidi- Europeiska datatillsynsmannen eller de nationella tillsyngare

text: artikel 36.2

text: samt iii) Förfarandet för enskilda för att smyndigheterna, beroende på om uppgifterna fördes in i lämna in en ansökan om tillgång enligt den tidigare artikel TIS av kommissionen eller en medlemsstat. 37.2 i förslaget.

text: 42. Tillämplig lagstiftning: I

text: artikel 36.1

text: , som inte har ändrats i 47. Datatillsynsmannen välkomnar denna ändring som gör att

text: förslaget, erkänns tillämpningen av dataskyddsbestämmelser förfarandet bättre överensstämmer med den nuvarande

text: för enskilda ”som hastigast” och det fastställs att rätten till rättsliga ramen för dataskydd. Av följande skäl anser data-

text: tillgång skall regleras av medlemsstaternas lagstiftning eller tillsynsmannen dock att medlemsstaternas eller kommissio-

text: av de dataskyddsbestämmelser som är tillämpliga på nens behörighet inte bör vara avhängig vilket organ som kommissionen, beroende på om denna rätt åberopas i en förde i uppgifterna i TIS. För det första noterar datatillsyn-

text: medlemsstat eller i en EU-institution. I detta kriterium åter- smannen att enskilda i de flesta fall inte kommer att ha

text: speglas vad som ovan sagts om artikel 34 i förslaget, vetskap om vem, kommissionen eller en medlemsstat, som

text: nämligen att både kommissionen och medlemsstaterna är förde in uppgifterna i TIS. De kan följaktligen inte veta

text: medregisteransvariga för TIS. Datatillsynsmannen samtycker vilket organ som är behörigt att behandla deras ansökan

text: till detta tillvägagångssätt och välkomnar att man i förslaget om tillgång. Förfarandet för att ansöka om tillgång skulle har bevarat lydelsen av

text: artikel 36.1

text: . Det står under alla bli tungrott om enskilda först skulle vara tvungna att ta

text: omständigheter klart att det i denna bestämmelse indirekt reda på vem som förde in uppgifterna. Datatillsynsmannen

text: hänvisas till den relevanta nationella lagstiftningen för anser dessutom att denna bestämmelse strider mot det

text: 28.4.2007 SV Europeiska unionens officiella tidning C 94/9

text: kriterium som fastställs i

text: artikel 36.1

text: , enligt vilken rätten III.1 Tillämpning av förordning

text: (EG) nr 45/2001

text: till tillgång skall regleras av medlemsstaternas lagstiftning eller de dataskyddsbestämmelser som är tillämpliga på kommissionen, beroende på om denna rätt åberopas i en 53. Med beaktande av att kommissionen är behörig att medlemsstat eller en EU-institution. Enbart för att skapa behandla uppgifter i Fide noterar datatillsynsmannen att överensstämmelse med

text: artikel 36

text: borde därför behörig- förordning

text: (EG) nr 45/2001

text: om skydd för enskilda då heten för att behandla ansökningar om tillgång bero på om gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för rätten till en sådan tillgång har åberopats hos en nationell tillsynsmyndighet eller datatillsynsmannen. sådana uppgifter, otvetydigt är tillämplig på Fide. Datatillsynsmannen anser att det vore lämpligt om det i

text: artikel 41

text: erinrades om att förordning

text: (EG) nr 45/2001

text: är tillämplig på Fide samt att datatillsynsmannen är behörig att övervaka 48. För att kunna lösa detta problem bör orden ”Beroende på och säkerställa att bestämmelserna i denna förordning eftervem som fört in uppgifterna i TIS” bytas ut mot ”Beroende på levs. om rätten åberopas hos en nationell tillsynsmyndighet eller datatillsynsmannen”. Om man väljer detta tillvägagångssätt blir även den sista meningen i

text: artikel 37.2

text: fullt logisk: ”Om 54. Datatillsynsmannen erinrar om att, till följd av tillämpuppgifterna har förts in av en annan medlemsstat eller av ningen av

text: artikel 27 i förordning (EG) nr 45/2001

text: och med kommissionen, skall kontrollen genomföras i nära samarbete med beaktande av Fides ändamål och uppgifternas art, kan denna medlemsstats nationella tillsynsmyndighet eller med Euro- särskilda risker för de registrerades rättigheter och frihet peiska datatillsynsmannen”. anses föreligga och datatillsynsmannen måste således förhandsgranska systemet.

text: II.5 Utbyte av uppgifter III.2 Lagring av uppgifter

text: 55. I

text: artikel 41

text: d fastställs särskilda tidsfrister för bevarande av 49. Förslaget innehåller inte några nya inslag när det gäller uppgifter. Datatillsynsmannen anser att de tidsfrister som utbyte av personuppgifter med myndigheter i tredjeländer. fastställs i

text: artikel 41

text: d är rimliga. Frågan berörs i artikel 30.4 i förslaget. Datatillsynsmannen anser att artikeln borde ha ändrats för att hänvisa till kommissionens (och inte enbart medlemsstaternas) behov 56. Det är osäkert på vilket sätt denna artikel är kopplad till av att det vidtas särskilda åtgärder för att säkerställa säker-

text: artikel 33

text: när det gäller TIS. Man kan förmoda att artikel heten för uppgifterna när dessa överförs eller överlämnas 41d har företräde framför bestämmelserna om samma fråga till myndigheter i tredjeländer.

text: Artikel 30.4 i förordningen

text: när det gäller TIS, men detta fastställs inte uttryckligen i bör dessutom ändras på så sätt att överensstämmelse säker- förslaget. Det borde införas en bestämmelse där detta klarställs med den lagstiftning som är tillämplig på överföring görs. av personuppgifter till tredjeländer.

text: III.3 Uppdatering av uppgifter som förts in i Fide

text: III. Register för identifiering av tullutredningar (Fide) 57. Enligt principen för uppgifternas kvalitet enligt tidigare

text: artikel 4 i förordning (EG) nr 45/2001

text: , skall personuppgifterna vara adekvata och relevanta och får inte omfatta mer 50. I

text: artiklarna 41

text: a, 41b, 41c och 41d i förslaget fastställs än vad som är nödvändigt med hänsyn till de ändamål för bestämmelser för driften av registret för identifiering av vilka de samlats in. Det är tydligt att kvaliteten på persotullutredningar. Genom Fide kan de behöriga myndighenuppgifterna endast kan säkerställas om de omfattas av terna kontrollera om en person eller ett företag har varit regelbunden och lämplig kontroll. Datatillsynsmannen föremål för en brottsutredning i någon medlemsstat. välkomnar även bestämmelsen i

text: artikel 41

text: d, där det krävs att personuppgifter omedelbart skall raderas om en person har avförts från utredningen enligt lagar, förordningar och 51. Fide är ett instrument som medlemsstaterna redan använder 15 förfaranden i den medlemsstat som lämnat upplysningarna. sig av inom tredje pelaren ( ). Syftet med

text: artikel 41

text: är således att ge en rättslig grund för gemenskapens Fide, vilket är något som datatillsynsmannen välkomnar. 58. För att kunna säkerställa att uppgifter som inte behövs inte ligger kvar i Fide, föreslår datatillsynsmannen dessutom att några av bestämmelserna för TIS om lagring av uppgifter 52. Eftersom alla de bestämmelser i förslaget som gäller TIS enligt

text: artikel 33

text: även skall gälla för Fide. Datatillsynäven gäller Fide i enlighet med den tidigare

text: artikel 41

text: a, smannen föreslår särskilt att bestämmelserna i

text: artikel 33.1

text: gäller också alla kommentarer i avsnitt II ovan Fide, med skall tillämpas på Fide, enligt vilka behovet av att lagra nödvändiga anpassningar. uppgifter skall ses över årligen av den uppgiftslämnande parten. I detta syfte föreslår datatillsynsmannen att följande 15 mening skall föras in efter

text: artikel 41

text: d.2: ”Behovet av att lagra ( ) Inrättat genom rådets akt av den 8 maj 2003 om upprättande av ett protokoll om ändring av konventionen om användning av informa- uppgifter skall ses över minst en gång per år av den uppgiftslämtionsteknologi för tulländamål. nande medlemsstaten”.

text: C 94/10 SV Europeiska unionens officiella tidning 28.4.2007

text: SLUTSATSER gripande effektivitet i fråga om tillsynen över TIS.

text: Därför föreslår datatillsynsmannen som första alternativ

text: att det införs ett nytt stycke i

text: artikel 37

text: enligt följande:

text: ”Datatillsynsmannen skall sammankalla ett möte med alla

text: nationella tillsynsmyndigheter minst en gång varje år för att 59. Datatillsynsmannen uttrycker sin tillfredsställelse över att ha

text: behandla tillsynsfrågor med anknytning till TIS. Medlemmar

text: hörts om förslaget i vilket olika system som innehåller

text: i nationella dataskyddsmyndigheter och datatillsynsmannen

text: personuppgifter - den europeiska databasen, tullinformaskall kallas för ’tillsynsmyndigheterna’”. En bättre lösning tionssystemet (TIS) och registret för identifiering av tullutvore dock att följa den mer utvecklade modell som redningar (Fide) - inrättas eller uppdateras i syfte att stärka nyligen antogs för andra generationen av Schengens samarbetet och utbytet av uppgifter såväl mellan medlemsinformationssystem (SIS II). I linje med detta måste staterna som mellan dem och kommissionen.

text: artikel 43.5

text: ändras på följande sätt: ”Kommittén skall till-

text: sammans med den tillsynsgrupp som avses i artikel … undersöka alla problem som rör driften av TIS och som uppmärk-

text: sammas av de tillsynsmyndigheter som avses i

text: artikel 37

text: 60. I fråga om innehållet konstaterar datatillsynsmannen Kommittén skall sammanträda i ad hoc-sammansättningen

text: följande: minst en gång om året.”

text: — Förslaget innehåller inte tillräckliga argument till stöd

text: för inrättandet av en europeisk databas. Datatillsyn-

text: smannen uppmanar kommissionen att genomföra en

text: lämplig bedömning av behovet av att denna databas — I

text: artikel 36.2 andra stycket

text: om tillgång till personupp-

text: inrättas och att rapportera om resultatet. gifter som lagras i TIS fastställs det att ”ingen (får) beviljas

text: tillgång (…) under den period då åtgärder vidtas för

text: observation, rapportering eller (…) en utredning pågår”.

text: För att säkerställa överensstämmelse med förordning — Det bör införas ett nytt stycke i

text: artikel 18

text: a.1 där det

text: (EG) nr 45/2001

text: vill datatillsynsmannen att texten erinras om tillämpningen av förordning (EG) ändras på följande sätt: ”ansökan om tillgång får avslås”. nr 45/2001 på den europeiska databasen: ”Kommissionen

text: skall behandla den europeiska databasen som ett sådant system för behandling av personuppgifter som lyder under

text: förordning

text: (EG) nr 45/2001

text: — När det gäller förfarandet för att begära tillgång, dvs. — För att klargöra att de nationella genomförandebestämom tillgång skall begäras hos datatillsynsmannen eller melserna för direktiv

text: är tillämpliga på hos de nationella tillsynsmyndigheterna, anser datatillmedlemsstaternas användning av den europeiska datasynsmannen att det föreslagna systemet enligt den tidibasen, föreslår datatillsynsmannen följande ändring av gare

text: artikel 37.2

text: där fastställandet av den behöriga

text: artikel 18

text: a2 c: ”Kommissionen har följande behörighet i myndigheten beror på om det var en medlemsstat eller

text: fråga om förvaltningen av databasen: c) Ställa uppgifterna i

text: kommissionen som införde uppgifterna i TIS, är mycket

text: databasen till förfogande för de behöriga myndigheter som

text: tungrott. Det strider även mot andra artiklar i förslaget.

text: avses i

text: artikel 1.1

text: , i avsikt att uppnå syftet med den här

text: Därför bör orden ”Beroende på vem som fört in uppgifterna

text: förordningen. Senare behandling av personuppgifterna i dessa

text: i TIS” i

text: artikel 37.2

text: bytas ut mot ”Beroende på om rätten

text: myndigheter skall omfattas av de nationella genomförandebe-

text: åberopas hos en nationell tillsynsmyndighet eller datatillsynstämmelserna till direktiv

text: .” smannen”.

text: — Inga säkerhetsbestämmelser för den europeiska data-

text: basen fastställs i förslaget. Datatillsynsmannen anser att

text: det vore lämpligt att lägga till ett nytt stycke i artikel

text: 18a2, där det fastställs att det skall antas komplette- — Datatillsynsmannen anser att det vore lämpligt om det i rande administrativa bestämmelser om särskilda

text: artikel 41

text: a erinrades om att förordning

text: (EG) nr 45/2001

text: åtgärder för att säkerställa uppgifternas sekretess. När är tillämplig på registret för identifiering av tullutreddessa bestämmelser antas bör datatillsynsmannen höras. ningar (Fide) samt att datatillsynsmannen är behörig att

text: övervaka och säkerställa att bestämmelserna i denna

text: förordning efterlevs.

text: — I förslaget erkänns inte till fullo datatillsynsmannens roll

text: när det gäller tillsyn över tullinformationssystemet (TIS).

text: Därför bör

text: artikel 37.3

text: ändras på följande sätt:

text: ”Europeiska datatillsynsmannen skall kontrollera att TIS över-

text: ensstämmer med förordning

text: (EG) nr 45/2001

text: 61. För att kunna säkerställa att personuppgifter som inte

text: behövs raderas föreslår datatillsynsmannen att följande

text: — De nationella tillsynsmyndigheternas och datatillsyn- införs efter

text: artikel 41

text: d.2: ”Behovet av att lagra uppgifter skall

text: smannens verksamhet bör i viss utsträckning samordnas ses över minst en gång per år av den uppgiftslämnande medlems-

text: för att säkerställa tillräcklig överensstämmelse och över- staten”.

text: 28.4.2007 SV Europeiska unionens officiella tidning C 94/11

text: 62. När det gäller förfarandet uppgifternas art, måste datatillsynsmannen förhandsgranska de tre systemen. — rekommenderar datatillsynsmannen att det görs följande uttryckliga hänvisning i ingressen till förslaget: ”efter samråd med Europeiska datatillsynsmannen”, Utfärdat i Bryssel den 22 februari 2007 — erinrar datatillsynsmannen om att eftersom behandlingen av uppgifter i den europeiska databasen, TIS och Peter HUSTINX Fide innebär särskilda risker för de registrerades rättigheter och friheter, p g a av databasernas ändamål och Europeisk datatillsynsman


text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTTRANDE

text: HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: I. INLEDNING

text: ( ) EUT L 281 av den 23.11.1995, s. 31 ( ) EUT L 8 av den 12.1.2001, s. 1 ( ) EUT L 166 av den 30.4.2004, s. 1 ( ) I december varje år offentliggör datatillsynsmannen en inventering över sina prioriteringar för det kommande året på samrådsområdet. Där förtecknas de mest relevanta kommissionsförslag som kan kräva en formell reaktion från datatillsynsmannen. De förslag som förväntas ha stor inverkan på uppgiftsskyddet ges hög prioritet. Datatillsynsmannens inventering 2007 finns på hans webbsida www.edps.europa.eu.

text: ( ) För närvarande fastställs bestämmelserna i

text: rådets förordning (EEG) nr 1408/71 av den 14 juni 1971

text: om tillämpningen av systemen för social trygghet när anställda och deras familjer flyttar inom gemenskapen, EGT L 149, 5.7.1971, s. 2, och tillämpningsförordningen till denna,

text: rådets förordning (EEG) nr 574/72 av den 21 mars 1972

text: , EGT L 74, 27.3.1972, s. 1. ( ) EGT C 38, 12.2.1999, s. 10. ( ) Yttrande från Europeiska ekonomiska och sociala kommittén av den 26 oktober 2006 om ”Förslag till Europaparlamentets och rådets förordning om tillämpningsbestämmelser till förordning

text: (EG) nr 883/2004

text: om samordning av de sociala trygghetssystemen”, EUT C 324, 30.12.2006, s. 59.

text: II. TILLÄMPLIG RÄTTSLIG RAM FÖR UPPGIFTSSKYDD

text: ( ) Eftersom bestämmelserna i förordning nr 45/2001 återspeglar bestämmelserna i direktiv 95/46, kommer det i detta yttrande, för att underlätta för läsaren, bara att hänvisas till tillämpliga artiklar i direktivet och inte till liknande bestämmelser i förordningen. ( ) Till exempel behandlas i

text: artikel 15 i förordning (EG) nr 883/2004

text: och artikel 18 i detta förslag fallet med överföring av personuppgifter rörande extraanställda.

text: III. TILLÄMPNING AV RELEVANTA PRINCIPER FÖR UPPGIFTSSKYDD

text: ( ) I sitt yttrande betonade EESK denna fråga och efterlyste en formulering ”som uttryckligen förbjuder att uppgifterna används för andra ändamål än socialförsäkringsändamål”, i likhet med

text: artikel 84.5 b i förordning (EEG) nr 1408/71

text: . Yttrande från EESK, punkt 4.10.2.

text: ( ) Ett exempel på sådana bestämmelser under senare tid kan sökas i kommissionens förslag till rådets förordning om domstols behörighet, tillämplig lag, erkännande och verkställighet av domar samt samarbete i fråga om underhållsskyldighet (KOM(2005) 649 slutlig). Särskilt i artikel 46 i detta förslag fastställs skyldigheter för de centrala nationella myndigheterna att radera uppgifter som de har mottagit från andra medlemsstaters myndigheter omedelbart efter det att de har skickat dem vidare till den behöriga nationella myndigheten. I punkt 3 anges vidare ett uttryckligt förbud mot att lagra uppgifter som har översänts enligt förordningen längre än nödvändigt och aldrig längre än ett år. Se även datatillsynsmannens yttrande om detta förslag, EUT C 242, 7.10.2006, punkterna 45-49.

text: ( ) EESK:s yttrande, punkt 1.11.

text: ( ) Ett färskt exempel finns i kommissionens förslag till rådets rambeslut om organisationen av medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll (KOM(2005) 690 slutlig). Enligt artikel 6 i förslaget tillåts den registrerade att utöva sin rätt till tillgång till sina personuppgifter inte bara genom att vända sig till den myndighet som kontrollerar uppgifterna utan även via myndigheten på sin bosättningsort. Flera exempel finns också i Schengens informationssystem. ( ) EESK:s yttrande, punkt 4.10. ( ) Enligt

text: artikel 71 i förordning (EG) nr 883/2004

text: . I artikel 4 i förslaget anges att den administrativa kommissionen skall fastställa form och metod för informationsutbytet. ( ) http://ec.europa.eu/idabc/en/home

text: IV. SLUTSATSER OCH REKOMMENDATIONER

text: Peter HUSTINX

identifier: EDPS yttrande (2007)

amnesord:
Rights of the Individual
Interoperability

title: Coordination of social security systems

text: 26.4.2007 SV Europeiska unionens officiella tidning C 91/15

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om tillämpningsbestämmelser till förordning

text: (EG) nr 883/2004

text: om samordning av de sociala trygghetssystemen (KOM(2006) 16 slutlig)

text: (2007/C 91/03)

text: med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt

text: artikel 286

text: med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt

text: artikel 8

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( ),

text: med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter ( ), särskilt

text: artikel 41

text: med beaktande av den begäran om ett yttrande i enlighet med

text: artikel 28.2 i förordning (EG) nr 45/2001

text: som mottogs den 7 december 2006 från Europeiska kommissionen.

text: Samråd med datatillsynsmannen

text: 1. Förslaget till Europaparlamentets och rådets förordning om tillämpningsbestämmelser till förordning

text: (EG) nr 883/2004

text: av den 29 april 2004 om samordning av de sociala trygghetssystemen (nedan kallat ”förslaget”) ( ) översändes av kommissionen till datatillsynsmannen för samråd i enlighet med artikel 28.2 i förordning nr

text: . Datatillsynsmannen anser att detta yttrande bör nämnas i ingressen till förordningen.

text: 2. Kommissionens formella hörande är resultatet av kontakterna mellan datatillsynsmannens sekretariat och det berörda generaldirektoratet vid kommissionen (DG EMPL) inom ramen för datatillsynsmannens inventeringsverksamhet 2007 ( ). Detta förslag är ett av de förslag inom DG EMPL:s område som har stort intresse för datatillsynsmannen. Datatillsynsmannen bidrog också till en utfrågning i Europaparlamentet den 23 november 2006 genom att lämna några preliminära kommentarer till förslaget. Datatillsynsmannen välkomnar detta samråd och förväntar sig att höras i tid i framtiden om andra kommissionsförslag om skyddet för personuppgifter inom sektorerna social trygghet och sysselsättning, särskilt de förslag som nämns i datatillsynsmannens inventering. C 91/16 SV Europeiska unionens officiella tidning 26.4.2007 Förslaget i dess sammanhang

text: 3. I förslaget fastställs tillämpningsbestämmelser för

text: Europaparlamentets och rådets förordning (EG) nr 883/2004 av den 29 april 2004

text: om samordning av de sociala trygghetssystemen. De nya reglerna om samordning i den senare förordningen kan inte tillämpas innan det aktuella förslaget om tillhörande tillämpningsbestämmelser har antagits ( ). Förslaget skall därför bedömas jämfört med den grundförordning som det bygger på. Härvid bör det också noteras att datatillsynsmannen inte har avgivit något yttrande om förordning

text: (EG) nr 883/2004

text: , eftersom motsvarande kommissionsförslag antogs den 12 februari 1999 ( ), innan förordning nr

text: hade trätt i kraft.

text: 4. Syftet med förslaget är att modernisera och förenkla de befintliga bestämmelserna genom ett ökat samarbete mellan socialförsäkringsinstitutionerna och bättre metoder för informationsutbytet mellan socialförsäkringsinstitutionerna.

text: 5. Förslaget har stor räckvidd, både vad gäller de berörda medborgarna och de områden som ingår. Dels omfattar det alla EU-medborgare som är försäkrade enligt den nationella lagstiftningen (därför inbegrips personer utan anställning), förutsatt att det finns gränsöverskridande inslag. Dels är det tillämpligt på många olika socialförsäkringsområden: sjukförmåner, moder- och faderskapsförmåner, förmåner vid invaliditet, ålderspension, efterlevandepension, ersättning vid olycksfall i arbetet och arbetssjukdomar, dödsfallsersättning, arbetslöshetsersättning, förtidspension, familjeförmåner.

text: 6. Datatillsynsmannen välkomnar detta förslag, såtillvida att det syftar till att främja den fria rörligheten för medborgarna och förbättra levnadsstandarden och anställningsvillkoren för EU-medborgare som flyttar inom unionen.

text: 7. En stor del av förslaget utgörs av bestämmelser om utbyte av personuppgifter mellan de nationella myndigheter som har behörighet när det gäller den sociala tryggheten. Social trygghet kan inte existera utan att olika typer av personuppgifter, ofta av känslig natur, behandlas. Vidare är utbyte av personuppgifter beträffande social trygghet mellan olika medlemsstater en naturlig följd av en europeisk union där medborgarna i allt högre grad utnyttjar sin rätt till fri rörlighet.

text: 8. Det är emellertid också viktigt att detta ökade utbyte av personuppgifter mellan medlemsstaternas nationella myndigheter, samtidigt som det förbättrar villkoren för människors fria rörlighet, också säkerställer en hög skyddsnivå för personuppgifter och därigenom garanterar en av EU:s grundläggande rättigheter. Datatillsynsmannen noterar i detta sammanhang med tillfredsställelse att också Europeiska ekonomiska och sociala kommittén (EESK) i sitt yttrande om förslaget av den 26 oktober 2006 påpekade att det är nödvändigt att ombesörja adekvat skydd för personuppgifter, särskilt med hänsyn till uppgifternas ibland känsliga natur ( ). Yttrandets huvudinriktning

text: 9. Datatillsynsmannen har hörts om förslaget till tillämpningsförordning. Som ovan nämnts kan tillämpningsförordningen inte bedömas utan samband med förordning

text: (EG) nr 883/2004

text: , i vilken grundprincipen om samordning av de sociala trygghetssystemen fastställs, bland annat vad avser skyddet för personuppgifter. Datatillsynsmannen kommer därför att i sitt yttrande ta hänsyn till den ram som fastställs i den förordningen. Datatillsynsmannen kommer dock att inrikta sin rådgivning på de frågor där tillämpningsförordningens lagstiftare fortfarande har handlingsutrymme. 26.4.2007 SV Europeiska unionens officiella tidning C 91/17

text: 10. Vidare noterar datatillsynsmannen att förslaget, utöver att det har ett brett tillämpningsområde, också är mycket komplext, eftersom det däri fastställs detaljerade och ibland tekniska bestämmelser om de olika villkoren, mekanismerna och begränsningarna vid samordningen av de sociala trygghetssystemen. När datatillsynsmannen analyserar förslaget, kommer han därför inte att behandla varje bestämmelse för sig utan använda en övergripande metod, genom att fokusera på de principer för uppgiftsskydd som är särskilt relevanta för förslaget.

text: 11. Inom ramen för denna metod syftar detta yttrande till att säkerställa att uppgiftsskyddslagstiftningen följs samt att de föreslagna åtgärderna blir effektiva, genom att förutse och behandla frågor som kan komma att uppstå vid genomförandet i de nationella rättssystemen. I yttrandet kommer datatillsynsmannen först att ange den tillämpliga rättsliga ramen för uppgiftsskyddet och därefter behandla tillämpningen av relevanta principer för uppgiftsskydd på förslaget. I slutsatserna kommer datatillsynsmannen att belysa sina viktigaste konstateranden och rekommendationer.

text: 12. Enligt förordningen kommer de försäkrade personernas personuppgifter vanligen att behandlas av de behöriga nationella myndigheterna och på så sätt omfattas av räckvidden för de nationella lagarna för genomförande av direktiv

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (nedan kallat ”direktivet”). I det mer begränsade antalet fall när personuppgifter för de försäkrade personerna behandlas av gemenskapens institutioner, kommer de att omfattas av förordning nr 45/2001 ( ) om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. Detta är till exempel fallet när EU-anställdas personuppgifter behandlas ( ). Den aktuella ramen för uppgiftsskydd tillhandahåller därför en harmoniserad skyddsnivå inom hela EU.

text: 13. Det aktuella förslaget kommer att vara beroende av denna harmoniserade ram. De nationella lagstiftningarna för genomförande av direktivet är dock inte helt enhetliga och det kan fortfarande finnas vissa skillnader mellan de nationella lagarna om uppgiftsskydd. Det är därför mycket viktigt att lagstiftaren tar hänsyn till detta och ser till att de föreslagna bestämmelserna fullt ut överensstämmer med ramen och överbryggar dessa eventuella skillnader.

text: 14. Vidare kommer det ökade utbytet av uppgifter över gränserna att kräva bättre samordning av de nationella bestämmelserna om skydd för personuppgifter. Härvid välkomnar datatillsynsmannen

text: artikel 77 i förordning (EG) nr 883/2004

text: . I denna bestämmelse anges det uttryckligen att personuppgifter som behandlas enligt förordningen eller tillämpningsförordningen skall överlämnas i enlighet med gemenskapsbestämmelserna om skydd för personuppgifter.

text: 15. I

text: ges också riktlinjer för vilken nationell uppgiftsskyddslagstiftning som är tillämplig vid överlämnande av uppgifter mellan behöriga myndigheter i olika medlemsstater, genom att det anges att överlämnande av personuppgifter från en medlemsstat till en annan skall omfattas av lagstiftningen om uppgiftsskydd i den medlemsstat som lämnar uppgifterna. Däremot skall alla meddelanden från den mottagande medlemsstaten samt lagring, ändring och förstörande av uppgifter omfattas av den mottagande medlemsstatens lagstiftning om uppgiftsskydd. Denna bestämmelse överensstämmer med bestämmelsen om tillämplig nationell lagstiftning i

text: artikel 4 i direktivet

text: 16. I förslaget görs en hänvisning till gemenskapens bestämmelser om skydd för personuppgifter i skäl 3 och i

text: artikel 3.2

text: . Medan det i skäl 3 allmänt uppges att de berörda personerna bör ges alla garantier som föreskrivs i gemenskapsbestämmelserna om skydd för personuppgifter, hänvisas det i

text: artikel 3.2

text: specifikt till rätten att få tillgång till och att korrigera sina egna personuppgifter. C 91/18 SV Europeiska unionens officiella tidning 26.4.2007

text: 17. Datatillsynsmannen samtycker till nödvändigheten att i ett rättsinstrument för genomförande av förbättrad behandling och överföring av personuppgifter klart och tydligt erinra om den tillämpliga ramen för uppgiftsskydd. Från denna utgångspunkt rekommenderar datatillsynsmannen att en allmän hänvisning till gemenskapens bestämmelser om skydd av personuppgifter inte bara anges i skälen utan också uttryckligen anges i bestämmelserna (till exempel i

text: artikel 3

text: ). Denna allmänna bestämmelse skulle inte utesluta att andra bestämmelser, såsom de som för närvarande fastställs i

text: artikel 3.2

text: , kan ta upp mer specifika frågor rörande den konkreta tillämpningen av principerna om uppgiftsskydd i samband med samordningen av de sociala trygghetssystemen (se nedan, punkterna 36-38). Ändamålsbegränsning

text: 18. En av grundprinciperna för lagstiftningen om uppgiftsskydd är att personuppgifter bara skall behandlas för det ändamål för vilket de samlats in eller för ett förenligt ändamål (

text: artikel 6.1 b i direktivet

text: ). Förslaget innehåller ingen allmän bestämmelse om ändamålsbegränsning ( ). Det allmänna synsättet i förslaget är dock att personuppgifter som samlats in för ett socialförsäkringsändamål (pension, förmåner vid invaliditet, arbetslöshet osv.) kommer att behandlas och överlämnas till andra medlemsstaters myndigheter för samma ändamål. De flesta behandlingsoperationer som anges i förslaget kommer därför att gälla personuppgifter som behandlats för samma eller ett förenligt ändamål. Detta kommer också att vara fallet vid behandling av personuppgifter i samband med överlämnande av upplysningar för indrivning av en fordran eller förmåner som utgetts felaktigt (

text: artikel 73

text: 19. Under andra omständigheter, till exempel vid samarbete mellan skattemyndigheter (skäl 14), kan socialförsäkringsuppgifter dock vara nödvändiga även för annat än socialförsäkringsändamål. I detta fall kan undantag från principen om ändamålsbegränsning motiveras enligt

text: artikel 13 i direktivet

text: , under särskilda omständigheter och förutsatt att de är nödvändiga och grundade på lagstiftningsåtgärder antingen på nationell nivå eller gemenskapsnivå. Lagstiftaren kan i detta sammanhang överväga att i förslaget särskilt hänvisa till de omständigheter under vilka socialförsäkringsuppgifter får behandlas för ett annat ändamål.

text: 20. Mot denna bakgrund anser datatillsynsmannen att förslaget respekterar de grundläggande uppgiftsskyddsbestämmelserna om ändamålsbegränsning. Vidare noterar datatillsynsmannen att förbudet mot att använda personuppgifter för andra ändamål än socialförsäkringsändamål härrör från den tillämpliga uppgiftsskyddslagstiftningen, som medger undantag från denna allmänna princip endast på specifika och strikta villkor. Behandlade uppgifter, behöriga organs och lagringstiders proportionalitet

text: 21. Enligt principerna om uppgiftsskydd skall personuppgifter vara adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas (

text: artikel 6.1 c i direktivet

text: ). När det gäller de sociala trygghetssystemen, innebär detta att bara en nödvändig och proportionerlig uppsättning uppgifter skall överlämnas vid varje tillfälle.

text: 22. Denna princip finns på ett korrekt sätt med i artikel 2.1 i förslaget, där det föreskrivs att medlemsstaternas institutioner skall lämna de upplysningar till varandra som behövs för att fastställa och bestämma rättigheter och skyldigheter för de försäkrade personerna. Datatillsynsmannen betonar i detta sammanhang att bedömningen av vilka uppsättningar av personuppgifter som är nödvändiga kan variera något beroende på vilket slags förmån det gäller. Exempelvis kommer den typ av personuppgifter som behövs för sjukförmåner att skilja sig från de uppgifter som behövs för ålderspensioner. Den information som överlämnas av medlemsstaternas myndigheter bör inte gå utöver vad som är nödvändigt för de av den försäkrade personens rättigheter eller skyldigheter som berörs i det specifika fallet. 26.4.2007 SV Europeiska unionens officiella tidning C 91/19

text: 23. Proportionaliteten bör också gälla med avseende på det antal behöriga organ som har tillgång till uppgifterna samt hur och hur länge personuppgifterna lagras. Endast berörda myndigheter och institutioner skall ha tillgång till socialförsäkringsuppgifter och dessa uppgifter skall inte lagras - i en form som gör det möjligt att identifiera den registrerade - längre än vad som är nödvändigt för det ändamål för vilket de behandlas (

text: artikel 6.1 e i direktivet

text: 24. Vad beträffar det antal myndigheter och institutioner som har tillgång till de försäkrade personernas personuppgifter, kommer det genom artikel 83 i förslaget att inrättas en offentlig databas, där de berörda organen i varje medlemsstat förtecknas. Det bör också noteras att förslaget lämnar utrymme för medlemsstaterna att besluta om personuppgifter skall överlämnas via en central kontaktpunkt i en medlemsstat eller direkt till den berörda myndigheten eller institutionen (

text: artikel 2.3

text: ). Vidare kan det finnas många utsedda organ i varje medlemsstat, varav en del kan vara verksamma på regional nivå.

text: 25. När det gäller lagringstiden för personuppgifter, noterar datatillsynsmannen att proportionalitetsprövningen på området social trygghet kan leda till mycket olika resultat, beroende på vilket område av den sociala tryggheten som omfattas. Behandling av personuppgifter rörande sjukförmåner kommer till exempel vanligen att vara nödvändig under än kortare tid än i fråga om pensioner, som är förmåner som sannolikt kommer att tillhandahållas under längre tid. Lagringstiden för personuppgifter kommer också att bero på vilken typ av organ som behandlar dem. I fråga om centrala kontaktpunkter kommer detta exempelvis att innebära att personuppgifter kommer att utplånas så snart de har skickats vidare till det behöriga organet. I alla händelser bör det klargöras att personuppgifter skall utplånas eller göras anonyma så snart de inte längre är nödvändiga för det ändamål för vilket de samlades in eller behandlades.

text: 26. Mot bakgrund av ovanstående betonar datatillsynsmannen att man i ett sådant komplext system, varigenom personuppgifter behandlas och skickas vidare via ett asymmetriskt nätverk av organ, särskilt bör se till att personuppgifter behandlas av de behöriga myndigheterna under en proportionerlig tidsrymd och att dubblering av databaser undviks. Datatillsynsmannen anser att den databas som anges i

text: artikel 83

text: kommer att bidra till att säkerställa att nödvändiga personuppgifter endast överlämnas till de berörda myndigheterna i varje särskilt fall. Ytterligare klargöranden om hur uppgifterna skall överlämnas och lagras kan dock införas i det aktuella förslaget, som kommissionen redan har gjort i andra förslag ( ). I detta sammanhang anser datatillsynsmannen att en viss harmonisering av lagringstiderna både skulle skydda medborgarnas rätt till skydd för personuppgifter och göra samordningen mellan de nationella myndigheterna i olika medlemsstater mer effektiv. Rättsliga grunder för behandling av personuppgifter

text: 27. I förslaget fastställs flera olika mekanismer för överföring av personuppgifter om försäkrade personer mellan behöriga organ i olika medlemsstater. Dessa utbyten av personuppgifter kan indelas i två stora kategorier: de som görs på begäran av den berörda personen och de som görs på eget initiativ, vanligen mellan tredje parter (behöriga organ, arbetsgivare) utan någon särskild begäran av den berörda personen. I många fall kommer berörda organ att behandla och överlämna känsliga uppgifter, särskilt sådana som gäller hälsotillstånd.

text: 28. All denna behandling skall uppfylla villkoren för behandling av personuppgifter enligt direktivet. Behöriga nationella organ och arbetsgivare får endast behandla personuppgifter med den berörda personens samtycke eller av något annat legitimt skäl, såsom fullgörande av en rättslig förpliktelse eller utförande av en arbetsuppgift av allmänt intresse eller vid myndighetsutövning (artikel

text: 7 a

text: 7 c

text: och

text: 7 e

text: i direktivet). Strängare villkor gäller för känsliga uppgifter, dvs. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv (

text: artikel 8 i direktivet

text: ). C 91/20 SV Europeiska unionens officiella tidning 26.4.2007

text: 29. Mot denna bakgrund framhåller datatillsynsmannen att bestämmelserna i förslaget visserligen kan anses fastställa en rättslig förpliktelse - enligt

text: artikel 7 c i direktivet

text: - att behandla och överlämna socialförsäkringsuppgifter, såtillvida att denna förpliktelse är specifik. I de fall där förslaget fastställer en klar förpliktelse att behandla personuppgifter kan de behöriga nationella myndigheternas och arbetsgivarnas behandling därför grundas på

text: artikel 7 c i direktivet

text: . Om denna rättsliga förpliktelse däremot inte direkt fastställs i förslaget, skall behandlingen av personuppgifter grundas antingen på en nationell (ickeharmoniserad) specifik rättslig förpliktelse eller på en annan rättslig grund.

text: 30. I

text: artikel 7 e i direktivet

text: medges behandling av personuppgifter när det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning av den registeransvarige eller en tredje man till vilken uppgifterna har lämnats ut. Detta kommer att vara fallet när det berörda organet behandlar uppgifter på grundval av sina arbetsuppgifter eller myndighetsutövning till följd av en allmän - nationell eller gemenskaplig - rättslig bestämmelse och inte på grundval av en specifik rättslig förpliktelse. I detta fall är rätten att göra invändningar tillämplig enligt

text: artikel 14 a i direktivet

text: 31. Användningen av samtycke som rättslig grund i enlighet med

text: artikel 7 a i direktivet

text: har ett mer begränsat tillämpningsområde när det gäller offentliga myndigheters behandling av personuppgifter eller i anställningsförhållanden, eftersom samtycke endast kan bedömas vara frivilligt - i enlighet med

text: artikel 2 h i direktivet

text: - om det finns realistiska alternativ för den berörda personen.

text: 32. När det gäller behandling av känsliga uppgifter (

text: artikel 8 i direktivet

text: ), skall liknande faktorer som i de föregående punkterna gälla. Datatillsynsmannen anser att förpliktelser som följer av arbetsrätten (

text: artikel 8.2 b i direktivet

text: ), andra undantag (

text: artikel 8.4

text: ) eller samtycke (

text: artikel 8.2 a

text: ) kan utgöra tillämpliga rättsliga grunder för behandling av känsliga socialförsäkringsuppgifter. I detta fall kan särskilda skyddsåtgärder - till exempel tekniska uppdelningsåtgärder - vara nödvändiga.

text: 33. Mot bakgrund av ovanstående överväganden påpekar datatillsynsmannen att ju tydligare förslaget fastställer specifika rättsliga förpliktelser för behöriga organ och arbetsgivare att behandla personuppgifter, desto lättare och effektivare kommer dess genomförande i medlemsstaterna att vara med avseende på de nationella uppgiftsskyddslagar som följer av direktivet. Utan att i detalj gå in på de olika särskilda mekanismer som anges i förslaget rekommenderar datatillsynsmannen därför EU-lagstiftaren att se till att var och en av de föreslagna mekanismerna för behandling och överföring av personuppgifter tydligt grundas på en specifik rättslig förpliktelse som direkt anges i förslaget eller på andra legitima grunder för behandling enligt artiklarna

text: och

text: i direktivet. Information till försäkrade personer

text: 34. Det är viktigt att informera de registrerade på lämpligt sätt om behandlingen av deras personuppgifter och om deras rättigheter i enlighet med avsnitt IV i direktiv 95/46. Detta är ännu viktigare när personuppgifterna behandlas av många myndigheter i olika medlemsstater och de registrerade därför riskerar att tappa kontrollen över vem som behandlar personuppgifterna, för vilka ändamål och hur de ska utöva sina rättigheter.

text: 35. Datatillsynsmannen stöder härvid starkt en proaktiv metod: att förse de registrerade med uttömmande information i rätt tid i syfte att klargöra både användningen av de insamlade upplysningarna och de registrerades rättigheter. Datatillsynsmannen stöder härvid kravet från EESK ( ) på att öka medvetenheten mellan alla potentiella användare av förordningen och begär samtidigt att lagstiftaren i förslaget skall införa en uttrycklig hänvisning till behovet av att förse de berörda personerna med specifik och adekvat information om behandlingen av deras personuppgifter. Detta kan göras genom att

text: artikel 19

text: (Uppgifter om försäkrade personer) ändras, så att det säkerställs att de försäkrade personerna får nödvändig information. 26.4.2007 SV Europeiska unionens officiella tidning C 91/21 Registrerades rättigheter

text: 36. De registrerades rättigheter är särskilt relevanta i samband med de sociala trygghetssystemen, eftersom de gör det möjligt för de berörda personerna att hålla kontroll över sina (känsliga) uppgifter, att se till att de är korrekta och att kontrollera den information som ligger till grund för viktiga beslut och beviljade förmåner. Detta är särskilt relevant i ett gränsöverskridande sammanhang, när felmarginalen vid överföring av personuppgifter sannolikt är större genom att det är nödvändigt att översätta informationen. Värt att nämna är också att en mer korrekt information till följd av att de registrerade utövar sina rättigheter inte bara gynnar de berörda personerna utan också de berörda sociala myndigheterna.

text: 37. Datatillsynsmannen välkomnar varmt artikel 3.2 i förslaget, där det anges att medlemsstaterna skall garantera berörda personer rätt att få tillgång till och korrigera sina personuppgifter, i enlighet med gemenskapsbestämmelserna om skydd för personuppgifter. Datatillsynsmannen föreslår dock att denna bestämmelse kompletteras med en bredare hänvisning till alla registrerades rättigheter, bland annat rätten att göra invändningar (artikel 14 i direktiv 95/46) och skyddet vid individuella beslut grundade på automatisk databehandling (artikel 15 i direktiv 95/46).

text: 38. Dessutom rekommenderar datatillsynsmannen att förslaget skall ta vederbörlig hänsyn till behovet av att underlätta det faktiska utövandet av de registrerades rättigheter i ett gränsöverskridande sammanhang. De berörda personerna kommer att vara tvungna att utöva sina rättigheter i en situation där deras personuppgifter kommer från olika myndigheter i två eller flera länder. Det vore därför önskvärt att de registrerades rättigheter i sådana fall också kan utövas direkt via den berörda myndighet som tar emot personuppgifter från andra medlemsstater. Detta skulle innebära att den behöriga myndighet som har direktkontakt med den försäkrade personen skulle uppmanas att agera som enda instans både när det gäller de sociala förmånerna och när det gäller alla personuppgifter som behandlas i samband med dessa förmåner. En försäkrad person skull då kunna utöva sina rättigheter som registrerade via den behöriga myndigheten oavsett uppgifternas ursprung. Datatillsynsmannen uppmanar därför lagstiftaren att överväga denna möjlighet, bland annat mot bakgrund av de exempel som redan lämnats i andra kommissionsförslag ( ). Säkerhetsåtgärder

text: 39. I förslaget har säkerhet vid behandling av uppgifter särskild relevans med tanke på den allt mer utbredda användningen av elektroniska verktyg vid olika medlemsstaters offentliga myndigheter. Översändandet kommer vidare i de flesta fall att omfatta känsliga uppgifter och det är därför, vilket även EESK har påpekat, ännu viktigare att ”garantera att denna typ av uppgifter skyddas på ett adekvat sätt och inte hamnar i fel händer” ( ).

text: 40. Datatillsynsmannen välkomnar härvid artikel 4 i förslaget, där det anges att överlämnandet av uppgifter mellan de berörda organen ”skall ske på elektronisk väg inom gemensamma säkerhetsramar som garanterar sekretessen och skyddar informationsutbytet”. Datatillsynsmannen betonar dock att denna ”gemensamma säkerhetsram”, som skall fastställas av den administrativa kommissionen för samordningen av de 3 4 sociala systemen ( ), vederbörligen bör beakta de rekommendationer som utfärdats av IDABC ( ) (interoperabelt tillhandahållande av alleuropeiska e-förvaltningstjänster för offentliga förvaltningar, företag och medborgare) när det gäller gemenskapens uppgiftsskyddsbestämmelser och särskilt de som gäller säkerhet vid behandling (

text: artikel 17 i direktivet

text: ). Härvid rekommenderar datatillsynsmannen också att experter på uppgiftsskydd och säkerhet medverkar i den administrativa kommissionens verksamhet i samband härmed. C 91/22 SV Europeiska unionens officiella tidning 26.4.2007

text: 41. Datatillsynsmannen välkomnar detta förslag såtillvida att det syftar till att främja den fria rörligheten för medborgarna och förbättra levnadsstandarden och anställningsvillkoren för EU-medborgare som flyttar inom unionen. Samordning av de sociala trygghetssystemen skulle inte kunna existera utan behandling och överföring av olika typer av personuppgifter, i många fall av känslig natur.

text: 42. Det är emellertid också viktigt att det ökade utbytet av personuppgifter mellan medlemsstaternas nationella myndigheter, samtidigt som det förbättrar villkoren för människors fria rörlighet, också säkerställer en hög skyddsnivå för personuppgifter och därigenom garanterar en av EU:s grundläggande rättigheter.

text: 43. Förslaget kommer att vila på den harmoniserade ram för uppgiftsskydd som fastställs i gemenskapens bestämmelser om skydd för personuppgifter och i synnerhet i direktiv

text: och nationella genomförandelagar. Datatillsynsmannen välkomnar att möjligheten att tillämpa denna ram för uppgiftsskydd nämns både i grundförordningen

text: (EG) nr 883/2004

text: och i förslaget. Särskilda frågor rörande tillämpningen av uppgiftsskyddsprinciperna i samband med samordningen av de sociala trygghetssystemen bör dock få en närmare och mer explicit behandling.

text: 44. Beträffande principen om ändamålsbegränsning anser datatillsynsmannen att förslaget respekterar de grundläggande uppgiftsskyddsbestämmelserna om ändamålsbegränsning. Datatillsynsmannen noterar vidare att förbudet mot att använda personuppgifter för annat än socialförsäkringsändamål inte uttryckligen fastställs i förslaget utan följer av den tillämpliga uppgiftsskyddslagstiftningen, vilket kommer att medge undantag från denna allmänna princip endast under särskilda omständigheter och på stränga villkor. I detta sammanhang kan lagstiftaren överväga om det i förslaget särskilt skall hänvisas till de villkor på vilka socialförsäkringsuppgifter får behandlas för ett annat ändamål.

text: 45. När det gäller proportionaliteten hos de behandlade uppgifterna, de behöriga organen och lagringstiderna, betonar datatillsynsmannen att man i ett sådant komplext system, varigenom personuppgifter behandlas och skickas vidare via ett asymmetriskt nätverk av organ, särskilt bör se till att personuppgifterna behandlas av de behöriga myndigheterna under en proportionerlig tidsrymd och att dubblering av databaser undviks. I detta sammanhang kan ytterligare klargöranden om hur uppgifterna överförs och lagras införas i förslaget.

text: 46. När det gäller rättsliga grunder för behandling av personuppgifter, rekommenderar datatillsynsmannen, utan att i detalj gå in på de olika specifika mekanismer som anges i förslaget, att EU-lagstiftaren ser till att var och en av de föreslagna mekanismerna för behandling och överföring av personuppgifter klart grundas på en specifik rättslig förpliktelse som direkt anges i förslaget eller på andra legitima grunder för behandling enligt artiklarna

text: och

text: i direktivet.

text: 47. När det gäller information till försäkrade personer, rekommenderar datatillsynsmannen att en uttrycklig hänvisning till behovet av att förse berörda personer med specifik och adekvat information om behandlingen av deras personuppgifter skall införas i förslaget.

text: 48. Beträffande de registrerades rättigheter välkomnar datatillsynsmannen varmt artikel 3.2 i förslaget och föreslår att denna bestämmelse kompletteras med en bredare hänvisning till alla registrerades rättigheter, bland annat rätten att göra invändningar och skyddet vid individuella beslut grundade på databehandling. Vidare uppmanar datatillsynsmannen lagstiftaren att göra det lättare för de registrerade att effektivt utöva sina rättigheter i ett gränsöverskridande sammanhang, genom att föreskriva att den behöriga myndighet som har direktkontakt med den försäkrade personen bör fungera som enda instans både när det gäller socialförsäkringsförmåner och i fråga om alla uppgifter som behandlas med anknytning till dessa förmåner. 26.4.2007 SV Europeiska unionens officiella tidning C 91/23

text: 49. När det gäller säkerhetsåtgärder, rekommenderar datatillsynsmannen att den ”gemensamma säkerhetsram” för överföring av uppgifter som anges i artikel 4 i förslaget vederbörligen tar hänsyn till de relevanta rekommendationerna om uppgiftsskydd och säker behandling. I detta sammanhang bör experter på uppgiftsskydd och säkerhet medverka i den behöriga administrativa kommissionens arbete. Utfärdat i Bryssel den 6 mars 2007 Europeisk datatillsynsman

type: vagledning

utgivare: edps