text: HÄRIGENOM FRAMFÖRS FÖLJANDE. 5. Den allmänna avsikten med de båda förslagen är att åtgärda dessa svagheter och att förbättra och förstärka gemenska I. INLEDNING pens system för säkerhetsövervakning med det övergri pande syftet att skydda folkhälsan bättre, säkerställa att

text: ( 1 ) EUT L 281, 23.11.1995, s. 31. ( 7 ) EGT 22, 9.2.1965, s. 369. ( 2 ) EUT L 8, 12.1.2001, s. 1. ( 8 ) Se motiveringarna, punkt 2. ( 3 ) KOM(2008) 664 slutlig och KOM(2008) 665 slutlig. ( 9 ) Se definitionen av hälsouppgifter i datatillsynsmannens yttrande av ( 4 ) EUT L 136, 30.4.2004, s. 1. den 2 december 2008 om det föreslagna direktivet om patienträt ( 5 ) EUT L 311, 28.11.2001, s. 67. tigheter vid gränsöverskridande hälso- och sjukvård, punkterna ( 6 ) Se motiveringen till båda förslagen, punkt 3. 15–17, se http://www.edps.europa.eu

text: II. EU:s SYSTEM FÖR SÄKERHETSÖVERVAKNING: BE 7. Trots detta har det inte införts någon hänvisning till data- HANDLING AV PERSONUPPGIFTER OCH DATAskydd i den nuvarande texten till förordning (EG) nr SKYDDSHÄNSYN 726/2004 och direktiv

text: , förutom en specifik

text: Peter HUSTINX — bestämmelserna i förordning

text: (EG) nr 726/2004

text: och direktiv

text: inte påverkar de rättigheter Europeiska datatillsynsmannen

amnesord:
Rights of the Individual
Right of Information
Right of Access
Health

title: Pharmacovigilance

text: 23.9.2009 Europeiska SV unionens officiella tidning C 229/19

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om ändring, när det gäller säkerhetsövervakning av humanläkemedel, av förordning

text: (EG) nr 726/2004

text: om inrättande av gemenskapsförfaranden för godkännande av och tillsyn över humanläkemedel och veterinärmedicinska läkemedel samt om inrättande av en europeisk läkemedelsmyndighet, och förslaget till Europaparlamentets och rådets direktiv om ändring, när det gäller säkerhetsövervakning av humanläkemedel, av direktiv

text: om upprättande av gemenskapsregler för humanläkemedel

text: (2009/C 229/04)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTT Europa gör det möjligt för patienter och hälso och sjuk RANDE vårdspersonal att rapportera om biverkningar till behöriga offentliga och privata organ som är aktiva på såväl nationell som europeisk nivå. EMEA ansvarar för en EU-täckande med beaktande av fördraget om upprättandet av Europeiska databas (databasen EudraVigilance) som en central punkt gemenskapen, särskilt

text: artikel 286

text: , för hantering och rapportering av misstänkta biverkningar.

text: med beaktande av Europeiska unionens stadga om de grund 3. Säkerhetsövervakning anses vara ett nödvändigt komple läggande rättigheterna, särskilt

text: artikel 8

text: , ment till det gemenskapssystem för godkännande av läke medel som inrättades 1965 när rådet antog direktiv

text: . ( 7 ) med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ), 4. Enligt den motivering och konsekvensbedömning som bifo gas förslagen lider det nuvarande systemet för säkerhets övervakning av vissa svagheter, bl.a. brist på klarhet om med beaktande av Europaparlamentets och rådets förordning de olika berörda parternas roll och ansvar, komplicerade

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för förfaranden för rapportering av biverkningar, behovet av enskilda då gemenskapsinstitutionerna och gemenskapsorganen bättre öppenhet och information i frågor som rör läkeme behandlar personuppgifter och om den fria rörligheten för så delssäkerhet och behovet av att rationalisera planeringen av dana uppgifter ( 2 ), särskilt

text: artikel 41

text: , läkemedelsriskhanteringen.

text: Förslag om ändring av nuvarande system för säkerhetsövervak

text: den inre marknaden fungerar korrekt och förenkla nuva ning av läkemedel 8 rande regler och förfaranden. ( )

text: 1. Den 10 december 2008 antog kommissionen två förslag om ändring av förordning

text: (EG) nr 726/2004

text: respektive direktiv

text: . ( 3 ) Förordning

text: (EG) nr 726/2004

text: in Personuppgifter vid säkerhetsövervakning och samråd med Euro rättar gemenskapsförfaranden för godkännande av och till peiska datatillsynsmannen syn över humanläkemedel och veterinärmedicinska läkeme del samt om inrättande av en europeisk läkemedelsmyndig 6. Det sätt som det nuvarande systemet för säkerhetsövervak het (nedan kallad EMEA). ( 4 ) Direktiv

text: innehål ning fungerar på är beroende av behandlingen av person ler bestämmelser om gemenskapsregler för humanläkeme uppgifter. Dessa uppgifter ingår i rapporteringen om bi del och tar upp specifika processer på medlemsstatsnivå. ( 5 ) verkningar och kan betraktas som uppgifter som rör de De föreslagna ändringarna avser de delar i båda rättsakterna berörda personernas hälsa (”hälsouppgifter”), eftersom de som rör säkerhetsövervakning av humanläkemedel. avslöjar information om läkemedelsanvändning och till hörande hälsoproblem. Behandling av sådana uppgifter är underställd stränga dataskyddsregler enligt

text: artikel 10

text: i

text: 2. Säkerhetsövervakning kan definieras som vetenskapen och förordning

text: (EG) nr 45/2001

text: och

text: artikel 8

text: verksamheten rörande upptäckt, bedömning, förståelse och i direktiv

text: . ( 9 ) Europeiska domstolen för de förebyggande av läkemedelsbiverkningar. ( 6 ) Det system för mänskliga rättigheterna har nyligen upprepade gånger un säkerhetsövervakning som för närvarande har inrättats i derstrukit vikten av att skydda sådana uppgifter i enlighet C 229/20 SV Europeiska unionens officiella tidning 23.9.2009 med artikel 8 i den europeiska konventionen om de nens förslag till förbättring av den nuvarande och planerade mänskliga rättigheterna: ”Skyddet av personuppgifter, sär rättsliga ramen att diskuteras och rekommendationer att skilt hälsouppgifter, är av grundläggande betydelse för en lämnas om hur man säkerställer och förbättrar dataskydds persons åtnjutande av sin rätt till skydd för privat- och normerna. familjeliv i enlighet med artikel 8 i konventionen”. ( 10 ) Aktörer engagerade i insamling och spridning av information hänvisning i förordningen, som kommer att diskuteras ne dan i punkt 21 och följande punkter. 12. Flera aktörer är engagerade i insamling och spridning av information om läkemedelsbiverkningar i Europeiska unio nen. På nationell nivå är de viktigaste aktörerna inneha varna av godkännandet för försäljning (företag som har tillstånd att släppa ut läkemedel på marknaden) och natio 8. Europeiska datatillsynsmannen (”datatillsynsmannen”) be nella behöriga myndigheter (myndigheter som ansvarar för klagar att dataskyddsaspekterna inte har beaktats i de fö försäljningsgodkännandet). Nationella behöriga myndighe reslagna ändringarna och att han inte formellt hördes om ter godkänner produkter genom nationella förfaranden, vil de båda förslagen till ändringar enligt artikel 28.2 i ket inbegriper ett ”förfarande för ömsesidigt erkännande” förordning

text: (EG) nr 45/2001

text: . Detta yttrande grundar sig och det ”decentraliserade förfarandet”. ( 11 ) För de produkter därför på artikel 41.2 i samma förordning. Datatillsynsman som godkänns genom det s.k. centraliserade förfarandet nen rekommenderar att en hänvisning till detta yttrande kan Europeiska kommissionen även uppträda som behörig införs i ingressen i båda förslagen. myndighet. En annan viktig aktör på europeisk nivå är EMEA. En av denna myndighets uppgifter är att säkerställa spridning av information om biverkningar av läkemedel som är godkända i gemenskapen med hjälp av en databas, 9. Datatillsynsmannen noterar att den praktiska tillämpningen nämligen den tidigare nämnda databasen EudraVigilance. av det centrala gemenskapssystemet EudraVigilance klart väcker frågor om dataskydd, även om dataskyddet inte har beaktats tillräckligt, varken i den nuvarande rättsliga ramen för säkerhetsövervakning eller i förslagen, EMEA Insamling och lagring av personuppgifter på nationell nivå anmälde det nuvarande systemet EudraVigilance till datatill synsmannen i juni 2008 för en förhandskontroll på grund 13. Direktiv

text: anger i allmänna termer medlemssta val av

text: artikel 27 i förordning (EG) nr 45/2001

text: . ternas ansvar för att upprätta ett system för säkerhetsöver vakning där information samlas in som är ”av betydelse för säkerhetsövervakningen” (

text: artikel 102

text: ). På grundval av artik larna 103 och 104 i direktiv

text: (se även artik 10. Detta yttrande och datatillsynsmannens slutsatser om för larna 23 och 24 i förordning

text: (EG) nr 726/2004

text: ) måste handskontroll (som väntas offentliggöras senare i år) kom innehavarna av godkännandet för försäljning ha infört mer nödvändigtvis att innehålla vissa överlappningar. De egna system för säkerhetsövervakning för att påta sig an båda instrumenten har emellertid olika inriktningar: Medan svar och skyldigheter för sina produkter på marknaden och detta yttrande är koncentrerat till den allmänna rättsliga säkerställa att lämpliga åtgärder vidtas vid behov. Infor ram som stöder det system som följer av mation samlas in direkt från hälso och sjukvårdspersonal förordning

text: (EG) nr 726/2004

text: och direktiv

text: eller patienter. Innehavaren av godkännandet för försäljning och de föreslagna ändringarna, består förhandskontrollen måste rapportera all information som rör risk/nyttaförhål av en detaljerad dataskyddsanalys som koncentreras till landet för ett läkemedel elektroniskt till den behöriga myn hur de nuvarande reglerna har vidareutvecklats i efterföl digheten. jande instrument (t.ex. beslut och riktlinjer) som utfärdats av EMEA eller gemensamt av kommissionen och EMEA och hur systemet EudraVigilance fungerar i praktiken. 14. Direktiv

text: är i sig inte särskilt exakt när det gäller vilket slags information om biverkningar som bör samlas in på nationell nivå, hur den bör lagras eller hur den bör meddelas. Artiklarna

text: och

text: hänvisar endast 11. Detta yttrande kommer först att i enkla ordalag förklara till ”rapporter” som måste utarbetas. Mer detaljerade regler systemet för säkerhetsövervakning i EU, såsom det följer om dessa rapporter finns i de riktlinjer som kommissionen av förordning

text: (EG) nr 726/2004

text: och direktiv

text: utformat efter samråd med EMEA, medlemsstaterna och i deras nuvarande lydelse. Sedan kommer nödvändigheten berörda parter på grundval av

text: artikel 106

text: . I dessa riktlinjer av att behandla personuppgifter i samband med säkerhets för säkerhetsövervakning av humanläkemedel (nedan kal övervakning att analyseras. Därefter kommer kommissio lade ”riktlinjerna”) hänvisas det till s.k. enskilda biverknings rapporter, som är rapporter om läkemedelsbiverkningar hos ( 10 ) Se Europadomstolen, 17 juli 2008,

text: I mot Finland

text: (ans. nr 20511/03), punkt 38 och Europadomstolen, 25 november 2008, Armonas mot Litauen (ans. nr 36919/02) punkt 40. ( 11 ) Se konsekvensanalysen, punkt 10. 23.9.2009 Europeiska SV unionens officiella tidning C 229/21 en enskild patient. ( 12 ) Av riktlinjerna framgår det att en sak 18. Den nuvarande databasen EudraVigilance består av två de i den minimiinformation som krävs i de enskilda biverk lar, nämligen (1) information som följer av kliniska försök ningsrapporterna är ”en identifierbar patient”. ( 13 ) Det anges (som äger rum innan läkemedlet släpps ut på marknaden, att patienten får identifieras genom initialer, patientnum varför den kallas perioden före godkännandet) och (2) in mer, födelsedatum, vikt, längd och kön, sjukhusregistre formation som härrör från rapporter om biverkningar (in ringsnummer, information om patientens sjukdomshistoria samlad i efterhand, varför den kallas perioden efter godkän och information om patientens föräldrar. ( 14 ) nandet). Detta yttrande är inriktat på perioden efter god kännandet, eftersom de föreslagna ändringarna är koncent rerade till denna period.

text: 15. Genom att framhäva patientens identifierbarhet hamnar be handlingen av denna information klart inom området för dataskyddsreglerna i direktiv

text: . Även om patienten 19. Databasen EudraVigilance innehåller uppgifter om patienter, inte nämns vid namn, är det faktiskt möjligt att identifiera som härrör från enskilda biverkningsrapporter. EMEA får honom eller henne under särskilda förhållanden och genom sådana rapporter av de nationella behöriga myndigheterna att sammanställa olika delar av informationen (t.ex. sjukhus, (se

text: artikel 102 i direktiv 2001/83/EG

text: och artikel 22 i födelsedatum, initialer) (t.ex. i slutna kretsar, på mindre förordning

text: (EG) nr 726/2004

text: ) och i vissa fall direkt från orter). Därför bör i princip den information som behandlas innehavaren av godkännandet för försäljning (se artikel 104 i samband med säkerhetsövervakning anses avse en identi i direktiv

text: och artikel 24 i fierbar fysisk person enligt artikel 2 a i direktiv förordning

text: (EG) nr 726/2004

text: . ( 15 ) Även om detta inte klargörs varken i förord ningen eller direktivet, erkänns detta i riktlinjerna, där det anges att ”informationen ska vara så fullständig som möjligt med beaktande av EU:s dataskyddslagstiftning.” ( 16 ) 20. Detta yttrande är koncentrerat på behandling av personlig information om patienter. Det bör dock noteras att data basen EudraVigilance även innehåller personlig information om de personer som arbetar för den nationella behöriga 16. Det måste understrykas att rapporteringen om biverkningar myndigheten eller innehavaren av godkännandet för försälj på nationell nivå trots riktlinjerna är långt ifrån enhetlig. ning, när de lämnar information till databasen. Dessa per Detta kommer att diskuteras vidare i punkterna 24 och 25. soners fullständiga namn och adress, kontaktuppgifter och uppgifter om legitimationshandlingar finns bevarade i sy stemet. En annan kategori av personlig information är upp gifter om s.k. kvalificerade personer som ansvarar för sä Databasen EudraVigilance kerhetsövervakningen, vilka utses av innehavarna av god kännandet för försäljning på den grund som anges i 17. EMEA ansvarar för databasen EudraVigilance, som spelar en

text: artikel 103 i direktiv 2001/83/EG

text: . De rättigheter och skyl väsentlig roll i EU:s system för säkerhetsövervakning. Som digheter som härrör från förordning

text: (EG) nr 45/2001

text: är redan nämnts är EudraVigilance ett centraliserat databe givetvis fullt tillämpliga på behandlingen av denna infor handlingsnät och ett hanteringssystem för rapportering mation. och utvärdering av misstänkta biverkningar under utveck lingen av läkemedel och efter godkännandet av försäljning av dem inom Europeiska gemenskapen och i de länder som ingår i Europeiska ekonomiska samarbetsområdet. Den rättsliga grunden för databasen EudraVigilance återfinns i Tillgång till databasen EudraVigilance

text: artikel 51.1 d i förordning (EG) nr 726/2004

text: . 21. I

text: artikel 57.1 d i förordning (EG) nr 726/2004

text: anges det att databasen ständigt ska vara tillgänglig för alla medlems ( 12 ) Se volym 9A i publikationen Rules Governing Medicinal Products stater. Dessutom måste hälso och sjukvårdspersonal, inne in the European Union: Guidelines on Pharmacovigilance for Me havare av godkännandet för försäljning och allmänheten ha dicinal Products for Human Use, som återfinns på webbplatsen: http://ec.europa.eu/enterprise/pharmaceuticals/eudralex/vol-9/pdf/ åtkomst till denna databas på lämplig nivå, samtidigt som vol9a_09-2008.pdf personuppgifterna skyddas. Så som sades i punkt 7 ovan, är ( 13 ) Se punkt 57 i riktlinjerna. detta den enda bestämmelse i såväl förordningen som ( 14 ) Se fotnot 13. direktiv

text: som hänvisar till dataskydd. ( 15 )

text: Artikel 2 a i direktiv 95/46/EG

text: innehåller följande definition: ”per sonuppgifter: varje upplysning som avser en identifierad eller iden tifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller 22.

text: Artikel 57.1 d

text: har lett till följande ordning för tillgång. Så flera faktorer som är specifika för hans fysiska, fysiologiska, psy snart EMEA erhållit en enskild biverkningsrapport införs kiska, ekonomiska, kulturella eller sociala identitet”. Skäl 26 anger dessutom: ”För att avgöra om en person är identifierbar skall härvid den direkt i nätporten till EudraVigilance, som är fullt till beaktas alla hjälpmedel som i syfte att identifiera vederbörande gänglig för EMEA, nationella behöriga myndigheter och rimligen kan komma att användas antingen av den registeransvarige kommissionen. Efter det att en enskild biverkningsrapport eller av någon annan person.” För ytterligare analys, se yttrande godkänts (kontroll av äkthet och unikhet) av EMEA, över 4/2007 från artikel 29-gruppen om begreppet personuppgifter (do förs informationen från biverkningsrapporten till den fak kument

text: WP 136

text: ), som antogs den 20 juni 2007 och återfinns på tiska databasen. EMEA, nationella behöriga myndigheter webbplatsen: http://ec.europa.eu/justice_home/fsj/privacy/index_en. htm Detta gäller även förordning

text: (EG) nr 45/2001

text: . och kommissionen har full tillgång till databasen, medan ( 16 ) Se fotnot 13. innehavarna av godkännandet för försäljning endast har C 229/22 SV Europeiska unionens officiella tidning 23.9.2009 tillgång till databasen med vissa begränsningar, nämligen per under säkerhetsövervakningen, finns det för närvarande endast till de uppgifter som de själva lämnat till EMEA. inga bestämmelser för skyddet av dessa uppgifter. Det enda Aggregerade uppgifter om enskilda biverkningsrapporter undantaget från detta är den allmänna hänvisningen till införs slutligen på EudraVigilances webbplats, till vilken dataskydd i

text: , allmänheten har tillgång, inklusive hälso- och sjukvårdsper som endast avser den sista etappen i databehandlingen, sonal. nämligen åtkomsten till de uppgifter som finns i databasen EudraVigilance. Bristen på klarhet om de olika berörda parternas roller och ansvar liksom bristen på specifika nor mer för själva behandlingen utgör dessutom ett hot mot 23. Den 19 december 2008 offentliggjorde EMEA ett utkast till insynsskyddet liksom mot integriteten hos och ansvarighe sin politik för tillgång till webbplatsen för offentlig kon ten för de personuppgifter som behandlas. sultation. ( 17 ) Dokumentet visar hur EMEA planerar att ge nomföra

text: . Datatillsynsmannen kommer att kortfattat återkomma till detta ämne från och med punkt 48 och följande punkter. 27. Datatillsynsmannen vill därför understryka att avsaknaden av en noggrann dataskyddsanalys, som avspeglas i den rättsliga ram som utgör grunden för systemet för säkerhets övervakning i EU, också måste anses vara en av svagheterna Svagheter i det nuvarande systemet och bristen på uppgiftsskydds i det nuvarande systemet. Denna svaghet bör åtgärdas ge garantier nom ändringar i nuvarande lagstiftning.

text: 24. Kommissionens konsekvensanalys visar ett antal svagheter i EU:s nuvarande system för säkerhetsövervakning, som an ses som krångligt och oklart. Det komplicerade systemet SÄKERHETSÖVERVAKNING OCH BEHOVET AV III. för de olika aktörernas insamling, lagring och förmedling PERSONUPPGIFTER av uppgifter på nationell och europeisk nivå framförs som en av de största bristerna. Situationen kompliceras ytterli 28. Av preliminärt och allmänt intresse vill datatillsynsmannen gare genom att det råder skillnader i sättet att genomföra väcka frågan om behandlingen av hälsouppgifter för iden direktiv

text: i medlemsstaterna. ( 18 ) Till följd av tifierbara fysiska personer verkligen är nödvändig i alla detta mottar nationella behöriga myndigheter och EMEA etapper i systemet för säkerhetsövervakning (på såväl na ofta av ofullständig rapportering eller dubblering av rap tionell som europeisk nivå). porter om biverkningar. ( 19 )

text: 29. Som tidigare har förklarats, så nämns patientens namn inte 25. Detta beror på att medlemsstaterna själva beslutar på vilket i en enskild biverkningsrapport och denne är sålunda inte sätt dessa rapporter ska genomföras på nationell nivå, även identifierad. Patienten skulle dock fortfarande kunna iden om en beskrivning av den enskilda biverkningsrapportens tifieras i vissa fall genom att vissa delar av informationen i innehåll finns i de tidigare nämnda riktlinjerna. Här ingår biverkningsrapporten sammanställs. I enlighet med riktlin både de kommunikationsmedel som innehavaren av god jerna anges det i vissa fall ett specifikt patientnummer, som kännandet för försäljning använder för rapportering till de innebär att systemet som helhet gör det möjligt att spåra nationella behöriga myndigheterna och den faktiska infor den berörda personen. Varken direktivet eller förordningen mationen i rapporterna (inget standardiserat formulär an innehåller emellertid någon hänvisning till personuppgifter vänds för rapportering inom Europa). Dessutom kan några nas spårbarhet som en del av syftet med systemet för sä nationella behöriga myndigheter tillämpa specifika kvalitets kerhetsövervakning. kriterier för mottagande av rapporterna (beroende på deras innehåll, hur fullständiga de är osv.), medan detta kanske inte är fallet i andra länder. Det är tydligt att det tillväga gångssätt som används på nationell nivå för rapportering 30. Datatillsynsmannen uppmanar därför lagstiftaren att klar och kvalitetsutvärdering av enskilda biverkningsrapporter göra om spårbarheten verkligen avser att tjäna som ett syfte har en direkt inverkan på det sätt som denna rapportering för säkerhetsövervakning på olika behandlingsnivåer och sker till EMEA, dvs. genom databasen EudraVigilance. mer specifikt inom ramen för databasen EudraVigilance.

text: 26. Datatillsynsmannen skulle vilja understryka att ovan 31. I detta avseende kan det vara lärorikt att jämföra med den nämnda svagheter inte bara leder till praktiska problem planerade ordningen för donation och transplantation av utan också utgör ett avsevärt hot mot skyddet för medbor organ. ( 20 ) Vid organtransplantation är det ytterst viktigt garnas hälsouppgifter. Även om behandlingen av hälsoupp att kunna spåra ett organ såväl till donatorn som till mot gifter, så som framgår av tidigare punkter, sker i fler etap tagaren av organet, särskilt vid allvarliga komplikationer eller reaktioner. ( 17 ) Se utkast till politik för tillgång till EudraVigilance i fråga om humanläkemedel av den 19 december 2008, som återfinns ( 20 ) Se kommissionens förslag till Europaparlamentets och rådets direk på webbplatsen: http://www.emea.europa.eu/pdfs/human/phv/ tiv om kvalitets- och säkerhetsnormer för organ av mänskligt ur 18743906en.pdf sprung avsedda för transplantation, KOM(2008) 818 slutlig. Se ( 18 ) Se punkt 17 i konsekvensanalysen. datatillsynsmannens yttrande av den 5 mars 2009, som finns till ( 19 ) Se fotnot 18. gängligt på webbplatsen: http://www.edps.europa.eu 23.9.2009 Europeiska SV unionens officiella tidning C 229/23

text: 32. När det gäller säkerhetsövervakning, har datatillsynsmannen hovet av en sådan kontrollmekanism, är han inte övertygad emellertid inte tillräckliga bevis för att dra slutsatsen att om att endast detta skulle motivera lagring av uppgifter spårbarhet faktiskt alltid behövs. Säkerhetsövervakning in som kan identifieras i säkerhetsövervakningens alla etapper nebär rapportering av biverkningar av läkemedel som an och framför allt i databasen EudraVigilance. Genom att vänds av ett (för det mesta) okänt antal personer och kom strukturera och samordna rapporteringssystemet bättre, mer att användas av ett (för det mesta) okänt antal perso t.ex. genom ett decentraliserat system enligt diskussionen ner. Därför finns det – åtminstone under perioden efter i punkt 42 och följande punkter, skulle dubbleringar kunna godkännandet för försäljning – en länk mellan uppgifterna undvikas redan på nationell nivå. om biverkningar och den berörda personen som är mindre automatisk och individuell än uppgifter om organ och de enskilda personer som är föremål för transplantation av ett specifikt organ. Naturligtvis har de patienter som använt ett visst läkemedel och rapporterat om biverkningar intresse av att få veta resultatet av en senare bedömning. Detta innebär 35. Datatillsynsmannen inser att det under särskilda omständig dock inte att de inrapporterade uppgifterna under alla för heter är omöjligt att avidentifiera uppgifterna. Detta är t.ex. hållanden bör kopplas till denna specifika person under fallet när vissa läkemedel används av en mycket begränsad hela säkerhetsövervakningen. I många fall skulle det räcka grupp av personer. I dessa fall bör särskilda skyddsåtgärder att koppla informationen om biverkningar till själva läke vidtas för att följa de skyldigheter som härrör från datas medlet, vilket ger berörda parter möjlighet att t.ex. genom kyddslagstiftningen. hälso och sjukvårdspersonal informera patienter i allmänhet om följderna av att ta eller ha tagit ett visst läkemedel.

text: 36. Avslutningsvis hyser datatillsynsmannen starka tvivel på huruvida spårbarhet eller användning av uppgifter om iden 33. Om spårbarhet ändå är avsedd, vill datatillsynsmannen tifierbara patienter är nödvändiga i säkerhetsövervakningens erinra om den analys han gjorde i sitt yttrande om kom alla etapper. Datatillsynsmannen är medveten om att det missionens förslag till ett direktiv om kvalitets- och säker kan vara omöjligt att utesluta behandlingen av identifier hetsnormer för organ av mänskligt ursprung avsedda för bara uppgifter i varje etapp, särskilt på nationell nivå, där transplantation. I detta yttrande förklarade han förhållandet själva insamlingen av uppgifter om biverkningar äger rum. mellan uppgifternas spårbarhet, identifierbarhet, anonymitet Dataskyddsreglerna kräver dock att behandlingen av hälso och insynsskydd. Identifierbarhet är en term som är väsent uppgifter endast ska äga rum när det är absolut nödvändigt. lig i dataskyddslagstiftningen. ( 21 ) Dataskyddsreglerna gäller Användningen av identifierbara uppgifter bör därför ned uppgifter som rör personer som identifierats eller är iden bringas så mycket som möjligt och förhindras eller stoppas tifierbara. ( 22 ) Uppgifternas spårbarhet till en viss person i ett så tidigt skede som möjligt i sådana fall där detta inte kan kopplas ihop med identifierbarhet. I dataskyddslagstift anses nödvändigt. Datatillsynsmannen skulle därför vilja ningen är anonymitet motsatsen till identifierbarhet och uppmana lagstiftaren att ompröva behovet av att använda sålunda till spårbarhet. Endast när det är inte är möjligt sådan information på såväl europeisk som nationell nivå. att identifiera (eller spåra) den person som uppgifterna av ser, anses uppgifterna vara anonyma. Begreppet ”anonymi tet” skiljer sig därför från vad man i dagliga livet menar med anonymitet, nämligen att en enskild person inte kan identifieras utifrån uppgifterna som sådana, t.ex. eftersom hans eller hennes namn har strukits. I sådana situationer 37. I sådana fall där det föreligger ett verkligt behov av att talar man snarare om insynsskydd för uppgifterna, dvs. att behandla identifierbara uppgifter eller när uppgifterna inte informationen endast är (fullt) tillgänglig för dem som har kan avidentifieras (se punkt 35 ovan) bör de tekniska möj rätt till tillgång. Spårbarhet och anonymitet kan inte samex ligheterna för indirekt identifiering av de registrerade utfors istera, men det kan spårbarhet och insynsskydd. kas, t.ex. genom pseudonymiseringsmekanismer. ( 23 )

text: 34. Utöver spårbarhet skulle en annan motivering för att låta 38. Datatillsynsmannen rekommenderar därför att det i förord patienterna vara identifierbara under hela säkerhetsövervak ning

text: (EG) nr 726/2004

text: och direktiv

text: införs en ningen kunna vara att systemet bör fungera väl. Datatill ny artikel, som anger att bestämmelserna i förordning (EG) synsmannen förstår att det är enklare för de berörda behö nr 726/2004 och direktiv

text: inte påverkar till riga myndigheterna (dvs. nationella behöriga myndigheter lämpningen av de rättigheter och skyldigheter som härrör och EMEA) att övervaka och kontrollera innehållet i en från bestämmelserna i förordning

text: (EG) nr 45/2001

text: respek enskild biverkningsrapport (t.ex. kontrollera om det finns tive direktiv

text: , med särskild hänvisning till dubbletter) när informationen avser en identifierbar och därför unik person. Även om datatillsynsmannen inser be ( 23 ) Pseudonymisering är en process som kan användas för att dölja den registrerades identitet, medan det samtidigt går att spåra uppgif ( 21 ) Se punkterna 11–28 i datatillsynsmannens yttrande. terna. Det finns olika tekniska möjligheter, t.ex. ha olika förteck ( 22 ) Se

text: artikel 2 a i direktiv 95/46/EG

text: och artikel 3 a i förordning (EG) ningar med verklig identitet respektive pseudonymer, använda dub nr 45/2001 och ytterligare förklaring i fotnot 13. belriktade krypteringsalgoritmer osv. C 229/24 SV Europeiska unionens officiella tidning 23.9.2009

text: artikel 10 i förordning (EG) nr 45/2001

text: respektive

text: artikel 8

text: tidigt ökar systemets dataskyddsrisker. Datatillsynsmannen i direktiv

text: . Dessutom bör det tilläggas att identi uppmanar lagstiftaren att låta utformningen av ett sådant fierbara hälsouppgifter endast ska behandlas, om det är rapporteringssystem underställas kraven i dataskyddslagabsolut nödvändigt och berörda parter bör utvärdera nöd stiftningen. Som tidigare sagts innebär detta att man måste vändigheten vid varje enskild etapp i säkerhetsövervak undersöka om det verkligen är nödvändigt att behandla ningen. personuppgifterna i varje etapp i processen. Detta bör av speglas såväl i det sätt på vilket rapporteringen organiseras på nationell nivå som i hur information lämnas till EMEA och databasen EudraVigilance. I en bredare bemärkelse re IV. DETALJERAD ANALYS AV FÖRSLAGET kommenderar datatillsynsmannen starkt att det utarbetas enhetliga formulär på nationell nivå, vilket skulle förhindra 39. Även om dataskydd knappt beaktas i de föreslagna ändring olika praxis, vilket leder till olika dataskyddsnivåer. arna, är en mer detaljerad analys av förslaget fortfarande lärorikt, eftersom det visar att några av de planerade änd ringarna ökar effekterna och de därpå följande riskerna för dataskyddet.

text: 44. Det planerade systemet verkar medföra att patienter kan rapportera direkt till EMEA eller kanske även direkt till 40. Den allmänna avsikten med de båda förslagen är att för själva databasen EudraVigilance. Detta skulle innebära att bättra reglernas samstämmighet, klarlägga ansvarsområden, informationen enligt den nuvarande tillämpningen av data förenkla rapporteringssystemet och förstärka databasen basen EudraVigilance kommer att införas i EMEA:s nätport, EudraVigilance. ( 24 ) såsom förklarats i punkterna 21–22 ovan, och dessutom är fullt tillgänglig för kommissionen och behöriga nationella myndigheter. Klarhet om ansvarsområdena

text: 41. Kommissionen har tydligt försökt att förbättra klarheten i fråga om ansvarsområdena, genom att föreslå en ändring av 45. Rent allmänt förespråkar datatillsynsmannen starkt ett de nuvarande bestämmelser på så sätt att själva lagstiftningen centraliserat rapporteringssystem. Kommunikationen till den tydligare föreskriver vem som ska göra vad. Naturligtvis blir europeiska nätporten bör samordnas genom användning av systemet mer öppet genom att det klargörs vilka aktörer nationella nätportar som faller inom de nationella behöriga som är inblandade och vilka skyldigheter de har att rap myndigheternas ansvarsområde. Patienters indirekta rappor portera om biverkningar, något som är en positiv utveck tering, dvs. genom hälso och sjukvårdspersonal (med och ling även ur dataskyddssynpunkt. Rent allmänt bör pa utan användning av nätportar), bör hellre användas än pa tienter av lagstiftningen kunna förstå hur, när och av tienternas möjlighet till direkt rapportering, särskilt till da vem som deras personuppgifter behandlas. Den föreslagna tabasen EudraVigilance. klarheten i fråga om skyldigheter och ansvar bör också klart sättas i samband med de skyldigheter och ansvar som härrör från dataskyddslagstiftningen.

text: 46. Ett system med rapportering via nätportar kräver i vilket Förenkling av rapporteringssystemet fall som helst strikta säkerhetsregler. I detta avseende skulle datatillsynsmannen vilja hänvisa till det ovan nämnda ytt 42. Förenklingen av rapporteringssystemet bör nås genom att randet om det föreslagna direktivet om gränsöverskridande man använder nationella webbplatser för läkemedelssäker hälso- och sjukvård, särskilt delen om uppgiftsskydd i med het, som är kopplade till den europeiska webbplatsen för lemsstaterna och integritet i tillämpningar för e-hälsa. ( 25 ) läkemedelssäkerhet (se den nya föreslagna artikel 106 i Redan i detta yttrande underströk datatillsynsmannen att direktiv

text: och artikel 26 i förordning (EG) nr integritet och dataskydd bör ingå i utformningen och ge 726/2004). De nationella webbplatserna kommer att inne nomförandet av alla tillämpningar av e-hälsa (inbyggda hålla offentligt tillgängliga formulär för hälso och sjuk skyddsmekanismer). ( 26 ) Samma övervägande gäller de plane vårdspersonals och patienters rapportering av misstänkta rade nätportarna. biverkningar (se den nya förslagna

text: artikel 106.3 i direktiv 2001/83/EG

text: och

text: artikel 25 i förordning (EG) nr 726/2004

text: ). Även den europeiska webbplatsen kommer att innehålla information om hur man rapporterar, inklu sive standardformulär för patienters och hälso- och sjuk 47. Datatillsynsmannen skulle därför vilja rekommendera att vårdspersonals webbbaserade rapportering. det i de nya föreslagna artiklarna

text: och

text: i förordning (EG) nr 726/2004 och

text: artikel 106 i direktiv 2001/83/EG

text: , som handlar om utarbetandet av ett rapporteringssystem för biverkningar med användning av nätportar, införs en 43. Datatillsynsmannen vill understryka att användningen av dessa webbplatser och standardiserade formulär, även om ( 25 ) Datatillsynsmannens yttrande enligt fotnot 7 om det föreslagna den kommer att effektivisera rapporteringssystemet, sam direktivet om patienträttigheter vid gränsöverskridande hälso och sjukvård, punkterna 32–34. ( 24 ) Se motiveringen, s. 2–3. ( 26 ) Se punkt 32 i yttrandet. 23.9.2009 Europeiska SV unionens officiella tidning C 229/25 skyldighet att införliva lämpliga integritets- och skydds förs en mening som anger att tillgången till databasen åtgärder. Principerna om uppgifternas konfidentialitet, in EudraVigilance ska regleras i enlighet med de rättigheter tegritet, ansvarighet och tillgänglighet skulle också kunna och skyldigheter som härrör från gemenskapens dataskydd nämnas som viktiga säkerhetssyften som bör garanteras på slagstiftning. samma nivå i alla medlemsstater. Användningen av lämp liga tekniska normer och medel, t.ex. kryptering och be styrkande genom digital signatur, skulle dessutom kunna Den registrerades rättigheter införas. 53. Datatillsynsmannen vill understryka att den part som an svarar för behandling av identifierbara uppgifter bör upp fylla kraven i gemenskapens dataskyddslagstiftning så snart Förstärkning av databasen EudraVigilance: bättre tillgång sådan behandling sker. Detta innebär bl.a. att den berörda 48. Den nya föreslagna artikel 24 i förordning (EG) nr personen är välinformerad om vad som kommer att hända 726/2004 handlar om databasen EudraVigilance. Artikeln med uppgifterna, vem som ska behandla dem och all annan klarlägger att förstärkningen av databasen medför att alla information som krävs enligt artikel 11 i förordning (EG) berörda parter ökar sin användning av databasen genom nr 45/2001 och/eller

text: artikel 10 i direktiv 95/46/EG

text: . Det tillhandahållande av och tillgång till information till och ska också vara möjligt för den berörda personen att åbe från databasen. Två punkter i

text: artikel 24

text: är av särskilt in ropa sina rättigheter såväl på nationell som europeisk nivå, tresse. t.ex. rätt till tillgång (

text: artikel 12 i direktiv 95/46/EG

text: och

text: artikel 13 i förordning (EG) nr 45/2001

text: ), rätt att göra invändningar (

text: artikel 18 i förordning (EG) nr 45/2001

text: och

text: artikel 14 i direktiv 95/46/EG

text: ) osv. 49.

text: Artikel 24.2

text: handlar om möjlig tillgång till databasen. Den ersätter nuvarande

text: , som är den enda bestämmelse som för närva rande hänvisar till dataskydd enligt föregående diskussion. 54. Datatillsynsmannen skulle därför vilja rekommendera att Hänvisningen till dataskydd har behållits, men antalet ak det i den föreslagna

text: artikel 101 i direktiv 2001/83/EG

text: läggs törer som underställts det har minskat. Medan den nuva till en punkt som anger att den berörda personen vid be rande texten anger att tillgång till databasen på lämplig nivå handling av personuppgifter ska bli korrekt informerad i med skydd för personuppgifter ska ges hälso- och sjuk enlighet med

text: artikel 10 i direktiv 95/46/EG

text: . vårdspersonal, innehavare av godkännanden för försäljning och allmänheten, föreslår kommissionen att innehavare av godkännanden ska strykas från förteckningen och ges till 55. Frågan om en persons tillgång till egna uppgifter i databa gång ”i den omfattning som behövs för att fullgöra skyl sen EudraVigilance tas inte upp i den nuvarande och i den digheterna avseende säkerhetsövervakning” utan någon föreslagna lagstiftningen. Det måste framhållas att den be hänvisning till dataskydd. Skälen till detta är oklara. rörda patienten i sådana fall där det anses nödvändigt att lagra personuppgifter i databasen, som nyss nämnts, bör kunna åberopa sin rätt till tillgång till sina personuppgifter i 50.

text: Artikel 24.3

text: föreskriver dessutom regler om tillgång till enlighet med

text: artikel 13 i förordning (EG) nr 45/2001

text: . enskilda biverkningsrapporter. Allmänheten kan begära till Datatillsynsmannen skulle därför vilja rekommendera att gång och sådan ska tillhandahållas inom 90 dagar ”under det i den föreslagna

text: artikel 24

text: läggs till en punkt som anger förutsättning att de inte röjer identiteten på de personer att åtgärder ska vidtas för att se till att den registrerade kan som rapporterna rör”. Datatillsynsmannen stöder tanken utnyttja sin rätt till tillgång till personuppgifter som rör bakom denna bestämmelse, nämligen att endast anonyma honom enligt

text: artikel 13 i förordning (EG) nr 45/2001

text: . uppgifter kan lämnas ut. Han vill emellertid, som han tidi gare förklarat, understryka att anonymitet ska tolkas som att det är totalt omöjligt att identifiera den person som V. SLUTSATS OCH REKOMMENDATIONER rapporterat om biverkningen (se även punkt 33). 56. Datatillsynsmannen anser att bristen på en korrekt bedöm ning av säkerhetsövervakningens konsekvenser för dataskyddet utgör en av svagheterna i den nuvarande rättsliga 51. Möjligheten att få tillgång till EudraVigilance-systemet bör ramen enligt förordning

text: (EG) nr 726/2004

text: och direktiv allmänt omprövas mot bakgrund av dataskyddsreglerna.

text: . Den nuvarande ändringen av förordning Detta har också direkta konsekvenser för det utkast till

text: (EG) nr 726/2004

text: och direktiv

text: bör ses som tillgångspolitik som EMEA offentliggjorde i december 2008, ett lämpligt tillfälle att införa dataskydd som ett fullvärdigt vilket nämns ovan i punkt 23. ( 27 ) I den mån som infor och viktigt inslag i säkerhetsövervakningen. mationen i databasen EudraVigilance nödvändigtvis avser identifierbara fysiska personer bör tillgång till dessa upp gifter vara så restriktiv som möjlig. 57. En allmän fråga som därvid bör tas upp är det faktiska behovet av att behandla personliga hälsouppgifter under säkerhetsövervakningens alla etapper. Såsom förklarats i 52. Datatillsynsmannen rekommenderar därför att det i den detta yttrande hyser datatillsynsmannen allvarliga tvivel på föreslagna

text: artikel 24.2 i förordning (EG) nr 726/2004

text: in detta behov och uppmanar lagstiftaren att ompröva de olika nivåerna i denna övervakning. Det står klart att syftet ( 27 ) Se fotnot 15. med säkerhetsövervakningen i många fall kan nås genom C 229/26 SV Europeiska unionens officiella tidning 23.9.2009 att utbyta uppgifter om biverkningar som är anonyma i och skyldigheter som härrör från bestämmelserna i dataskyddslagstiftningens mening. Dubbel rapportering förordning

text: (EG) nr 45/2001

text: respektive direktiv kan undvikas genom tillämpning av välstrukturerade för

text: , med särskild hänvisning till artikel 10 i faranden för rapportering av uppgifter redan på nationell förordning

text: (EG) nr 45/2001

text: respektive artikel 8 i nivå. direktiv

text: 58. De föreslagna ändringarna syftar till ett förenklat rappor — identifierbara hälsouppgifter bara ska behandlas, om teringssystem och en förstärkning av databasen EudraVigi det är absolut nödvändigt och berörda parter bör lance. Datatillsynsmannen har förklarat att dessa ändringar bedöma denna nödvändighet i säkerhetsövervak leder till ökade risker för dataskyddet, särskilt när det gäller ningens alla etapper, patienternas direkta rapportering till EMEA eller till databa sen EudraVigilance. I detta avseende förespråkar datatill synsmannen starkt ett decentraliserat och indirekt rapporterings system, varigenom kommunikationen till den europeiska — att i den föreslagna artikel 24.2 i förordning (EG) nr nätporten samordnas genom användning av de nationella 726/2004 införa en mening som anger att tillgången nätportarna. Dessutom framhåller datatillsynsmannen att till databasen EudraVigilance ska regleras i enlighet med integritet och säkerhet bör ingå som en del av utform de rättigheter och skyldigheter som härrör från gemen ningen och genomförandet av ett rapporteringssystem skapens dataskyddslagstiftning, med användning av nätportar (”inbyggda skyddsmekanis mer”). — att lägga till en punkt i den föreslagna

text: artikel 24

text: , som anger att åtgärder ska införas för att säkerställa att den 59. Datatillsynsmannen understryker också att den person som registrerade kan utnyttja sin rätt till tillgång till de per ansvarar för behandling av hälsouppgifter som rör identi sonuppgifter som rör honom enligt artikel 13 i förord fierade eller identifierbara fysiska personer så snart sådan ning

text: (EG) nr 45/2001

text: , behandling sker bör uppfylla alla kraven i gemenskapens dataskyddslagstiftning. — att lägga till en punkt i föreslagna

text: artikel 101 i direktiv 2001/83/EG

text: som anger att den berörda personen vid 60. Mer specifikt rekommenderar datatillsynsmannen behandling av personuppgifter ska informeras korrekt enligt

text: artikel 10 i direktiv 95/46/EG

text: , — att införa en hänvisning till detta yttrande i ingressen till båda förslagen, — att i de nya föreslagna artiklarna 25 och 26 i förord ning

text: (EG) nr 726/2004

text: och

text: artikel 106 i direktiv 2001/83/EG

text: , som handlar om utarbetandet av ett rap — att i både förordning

text: (EG) nr 726/2004

text: och direktiv porteringssystem för biverkningar genom användning

text: införa ett skäl som anger vikten av data- av nätportar, införa en skyldighet att införliva lämpliga skydd i samband med säkerhetsövervakning, med hän integritets och säkerhetsåtgärder på samma nivå i alla visning till den relevanta gemenskapslagstiftningen, medlemsstater, med beaktande av de grundläggande principerna för uppgifternas konfidentialitet, integritet, ansvarighet och tillgänglighet. — att i förordning

text: (EG) nr 726/2004

text: och direktiv

text: införa en ny artikel av allmän art som anger att Utfärdat i Bryssel den 22 april 2009


text: HÄRIGENOM FRAMFÖRS FÖLJANDE. 6. Datatillsynsmannen har beaktat yttrande 09/03 av I. INLEDNING den 24 mars 2009 från Gemensamma tillsynsmyndigheten Samråd med datatillsynsmannen för tullfrågor avseende utkastet till rådets beslut om an vändning av informationsteknik för tulländamål.

text: IV. SLUTSATSER 64. Datatillsynsmannen stöder förslaget till rådets beslut om Utfärdat i Bryssel den 20 april 2009 informationsteknik för tulländamål. Han betonade att hans kommentarer inte bygger på den slutliga texten av Peter HUSTINX förslaget med tanke på det pågående lagstiftningsarbetet i rådet. Europeisk datatillsynsman

identifier: EDPS yttrande (2009)

amnesord:
Large-Scale IT Systems
CIS
Judicial Cooperation
Police Cooperation

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Use of information technology for customs purposes

serie: yttranden

text: C 229/12 SV Europeiska unionens officiella tidning 23.9.2009

type: stycke

text: Yttrande från Europeiska datatillsynsmannen om Republiken Frankrikes initiativ till ett rådsbeslut om informationsteknik för tulländamål (5903/2/09 REV 2)

text: (2009/C 229/03)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTT gon rättslig skyldighet att rådfråga datatillsynsmannen, RANDE finns det inte något i tillämpliga bestämmelser som hindrar detta. Datatillsynsmannen beklagar att han i detta fall var med beaktande av fördraget om upprättandet av Europeiska ken har rådfrågats av Republiken Frankrike eller av rådet. gemenskapen, särskilt artikel 286,

text: med beaktande av Europeiska unionens stadga om de grund 4. Då förslaget håller på att behandlas i rådet understryker läggande rättigheterna, särskilt artikel 8, datatillsynsmannen att kommentarerna i detta yttrande bygger på en version av förslaget som lades fram med beaktande av Europaparlamentets och rådets direktiv den 24 februari 2009 (5903/2/09 REV 2) och som finns

text: av den 24 oktober 1995 om skydd för enskilda 6 utlagd på Europaparlamentets webbplats ( ). personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ),

text: med beaktande av rådets rambeslut 2008/977/RIF av 5. Datatillsynsmannen ser ett behov av att själva initiativet den 27 november 2008 om skydd av personuppgifter som samt vissa specifika artiklar och mekanismer motiveras behandlas inom ramen för polissamarbete och straffrättsligt bättre. Han beklagar att initiativet inte åtföljs av någon samarbete ( 2 ), konsekvensbedömning eller motivering. Detta behövs för att öka öppenheten och, mer allmänt, höja kvaliteten i med beaktande av Europaparlamentets och rådets förordning lagstiftningsprocessen. Motiveringar skulle också gör det

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för lättare att bedöma ett antal framställningar i förslaget, ex enskilda då gemenskapsinstitutionerna och gemenskapsorganen empelvis i fråga om det nödvändiga och berättigade i att ge behandlar personuppgifter och om den fria rörligheten för så Europol och Eurojust åtkomst till uppgifter i tullinfor dana uppgifter ( 3 ), särskilt

text: artikel 41

text: . mationssystemet.

text: 1. Initiativet från Republiken Frankrike inför antagande av rådets beslut om användning av informationsteknik för tulländamål offentliggjordes i EUT den 5 februari 2009 ( 4 ). Datatillsynsmannen hade varken rådfrågats av den med Förslaget i sitt sammanhang lemsstat som lade fram initiativet eller av rådet. När Euro paparlamentet skulle yttra sig om initiativet bad dock Eu 7. De rättsliga ramarna för tullinformationssystemet (nedan ropaparlamentets utskott för medborgerliga fri och rättig kallat TIS) regleras för närvarande av instrument inom heter och inrikesfrågor datatillsynsmannen att lämna kom både första och tredje pelaren. De rättsliga ramar för tredje mentarer till det franska initiativet i enlighet med

text: artikel 41

text: pelaren som reglerar systemet är framför allt konventionen i förordning

text: (EG) nr 45/2001

text: . Datatillsynsmannen har i av den 26 juli 1995 som utarbetats på grundval av artikel liknande fall ( 5 ) yttrat sig på eget initiativ, men föreliggande K 3 i fördraget om Europeiska unionen, om användning av yttrande måste också ses som ett svar på Europaparlamen informationsteknologi för tulländamål (nedan kallad TIS konventionen ( 7 ) och protokollen av den 12 mars 1999 tets begäran. och den 8 mars 2003.

text: 2. Enligt datatillsynsmannen bör det här yttrandet omnämnas i ingressen till rådets beslut, på samma sätt som hans ytt rande omnämns i ett antal rättsliga instrument antagna på 8. Nuvarande dataskyddsarrangemang innefattar tillämp grundval av ett förslag från kommissionen. ningen av Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehand

text: 3. Även om en medlemsstat som tar initiativ till en lagstift ling av personuppgifter (nedan kallad Europarådets konven ningsåtgärd enligt avdelning VI i EU-fördraget inte har nå tion 108). Dessutom är rådets rambeslut 2008/977/RIF om skydd av personuppgifter som behandlas inom ramen för ( 1 ) EUT L 281, 23.11.1995, s. 31. polissamarbete och straffrättsligt samarbete (nedan kallade ( 2 ) EUT L 350, 30.12.2008, s. 60. rambeslut 2008/977/RIF) tillämpligt på TIS i enlighet med ( 3 ) EUT L 8, 12.1.2001, s. 1. förslaget. ( 4 ) EUT C 29, 5.2.2009, s. 6. ( 5 ) Senast när Europeiska datatillsynsmannen lämnade ett yttrande om initiativet från 15 medlemsstater inför antagandet av rådets beslut ( 6 ) http://www.europarl.europa.eu/meetdocs/2004_2009/organes/libe/ om förstärkning av Eurojust och om ändring av beslut libe_20090330_1500.htm 2002/187/RIF (EUT C 310, 5.12.2008, s. 1). ( 7 ) EGT C 316, 27.11.1995, s. 33. 23.9.2009 Europeiska SV unionens officiella tidning C 229/13

text: 9. Den del av systemet som avser första pelaren regleras av 13. Förslaget innebär emellertid mer än att TIS-konventionen

text: rådets förordning (EG) nr 515/97 av den 13 mars 1997

text: ersätts med ett rådsbeslut. Det ändrar många av konven om ömsesidigt bistånd mellan medlemsstaternas administ tionens bestämmelser och utvidgar det nuvarande tillämp rativa myndigheter och om samarbete mellan dessa och ningsområdet så att Europol och Eurojust ges åtkomst till kommissionen för att säkerställa en korrekt tillämpning uppgifter i TIS. Dessutom införlivar förslaget liknande be av tull och jordbrukslagstiftningen ( 1 ). stämmelser om tullinformationssystemets funktion som finns i ovannämnda förordning (EG) nr 766/8008, exem pelvis när det gäller inrättandet av ett register för identifie ring av tullutredningar (kapitel VI). 10. TIS-konventionen syftar enligt artikel 2.2 i konventionen till att bistå med att förebygga, utreda och lagföra grova överträdelser av nationella lagar genom att påskynda infor mationsspridningen och därmed öka effektiviteten av sam 14. Förslaget beaktar också nya rättsliga instrument, såsom arbets och kontrollförfaranden hos tullmyndigheterna i rambeslut 2008/977/RIF och rambeslut 2006/960/RIF av medlemsstaterna. den 13 december 2006 om förenklat informations och underrättelseutbyte mellan de brottsbekämpande myndig heterna i Europeiska unionens medlemsstater ( 3 ). 11. I enlighet med TIS-konventionen består tullinformations systemet av en central databas och är åtkomligt via termi naler som placerats i varje medlemsstat. Andra viktiga in slag är de följande: 15. Förslaget syftar bland annat till att — TIS-konventionen föreskriver att TIS endast kan inne hålla sådana uppgifter, inbegripet uppgifter som rör — förstärka samarbetet mellan tullmyndigheterna genom enskilda personer, som är nödvändiga för att uppnå att fastställa förfaranden som möjliggör för tullmyndig dess syfte inom följande kategorier: a) varor, b) trans heterna att agera gemensamt och utbyta personuppgif portmedel, c) företag, d) personer, e) utvecklingen vad ter och andra uppgifter som har samband med olaglig avser bedrägeri, och f) tillgång till expertis ( 2 ). handel genom användning av ny teknik för förvaltning och överföring av sådan information; denna uppgifts behandling är underkastad bestämmelserna i Europarå dets konvention 108, rambeslut 2008/977/RIF och — Medlemsstaterna fastställer vilka uppgifter som ska ingå principerna i Europarådets ministerkommittés rekom i TIS inom var och en av de tre sistnämnda kategori mendation R(87) 15 av den 17 september 1987 om erna, om detta är nödvändigt för att uppnå systemets användningen av personuppgifter inom polisväsendet, syfte. Inga personuppgifter får ingå i de två sistnämnda kategorierna. Direkt tillgång till uppgifter i TIS är för närvarande förbehållen uteslutande de nationella myn digheter som varje medlemsstat anger. Dessa nationella — förbättra komplementariteten i förhållande till de åtgär myndigheter är tullmyndigheter, men kan också inbe der som vidtas i samarbetet med Europol och Eurojust gripa andra myndigheter som enligt den berörda med genom att dessa organ får åtkomst till uppgifter i tull lemsstatens lagar, förordningar och förfaranden är be informationssystemet. höriga att handla i syfte att uppnå det ändamål som anges i förordningen.

text: 16. Syftet med tullinformationssystemet är i enlighet med — Medlemsstaterna får endast använda uppgifter i tull artikel 1 i förslaget att bistå med att förebygga, utreda informationssystemet för att uppnå det ändamål som och beivra grova överträdelser av nationella lagar genom anges i konventionen; de får dock använda dem för att göra informationen snabbare tillgänglig och därmed öka administrativa eller andra ändamål med föregående till ändamålsenligheten i samarbets och kontrollförfarandena stånd och enligt de villkor som påbjuds av den med hos tullmyndigheterna i medlemsstaterna. Denna bestäm lemsstat som infört uppgifterna i systemet. En gemen melse återspeglar i stor utsträckning artikel 2.2 i TIS-kon sam tillsynsmyndighet har upprättats för övervaka den ventionen. del av TIS som avser tredje pelaren.

text: 17. För att detta mål ska kunna uppnås ska enligt förslaget 12. Det franska initiativet, som bygger på

text: artiklarna 30.1 a

text: och användningen av uppgifterna i TIS utvidgas till att också 34.2 i fördraget om Europeiska unionen, syftar till att omfatta sökningar i systemen och möjlighet till strategisk ersätta TIS-konventionen samt protokollet av den eller operativ analys. Datatillsynsmannen noterar utvidg 12 mars 1999 och protokollet av den 8 mars 2003 så ningen av syftet, den utvidgade förteckningen över katego att de delar av systemet som avser tredje pelaren anpassas rier personuppgifter som ska samlas in och behandlas samt till instrumenten inom första pelaren. den utvidgade förteckningen över registrerade som har di rekt åtkomst till uppgifter i TIS. ( 1 ) EUT L 82, 22.3.1997, s. 1. ( 2 ) I förslaget finns ytterligare en kategori: g) Kvarhållande, beslag eller förverkande av varor. ( 3 ) EUT L 386, 29.12.2006, s. 89. C 229/14 SV Europeiska unionens officiella tidning 23.9.2009 Yttrandets fokus som rör tillsynen av den del av TIS som avser första pelaren, särskilt yttrandet av den 22 februari 18. Med tanke på datatillsynsmannens nuvarande roll som till 2007 ( 2 ). synsmyndighet för den centrala delen av den del av TIS som avser första pelaren är han särskilt intresserad av ini tiativet och den nya utvecklingen angående dess innehåll i 24. I detta yttrande betonade datatillsynsmannen att ”inrättan rådet. Datatillsynsmannen framhåller behovet av en sam det och utvecklingen av olika instrument för att förstärka manhållen och övergripande strategi som ska anpassa de gemenskapens samarbete, t.ex. TIS, […] innebär en ökning delar av systemet som avser första och andra pelaren till av antalet personuppgifter som först kommer att samlas in varandra. och därefter utbytas mellan medlemsstaternas administra tiva myndigheter och, i vissa fall, även med tredjeländer. De personuppgifter som behandlas och därefter sprids kan 19. Datatillsynsmannen noterar att förslaget omfattar olika innehålla uppgifter om en persons påstådda eller bekräftade aspekter som rör grundläggande rättigheter, särskilt skydd deltagande i förseelser på området tull eller jordbruksverk av personuppgifter samt rätt till information och andra samhet. […] Dess betydelse ökar dessutom om man betän rättigheter som den registrerade har. ker typen av uppgifter som samlas in och sprids, särskilt misstankar om att personer deltar i förseelser, och det 20. När det gäller den nuvarande dataskyddsordningen i TIS övergripande ändamålet med och resultatet av behand konventionen måste datatillsynsmannen nämna att ett an lingen.” tal av bestämmelserna i den nuvarande konventionen be höver ändras och fräschas upp, eftersom de inte längre uppfyller aktuella krav och normer på dataskyddsområdet. Behov av ett strategiskt förhållningssätt till TIS som helhet Datatillsynsmannen vill ta tillfället i akt att betona att en 25. Datatillsynsmannen framhåller att till skillnad från de änd hög skyddsnivå för personuppgifter och ett effektivare ge ringar som infördes i förordning

text: (EG) nr 766/2008

text: i fråga nomförande i praktiken bör ses som viktiga förutsättningar om det instrument inom första pelaren som reglerar TIS, för att tullinformationssystemets funktion ska kunna för innebär förslaget en total översyn av TIS-konventionen, bättras. vilket ger lagstiftaren möjlighet att få en bättre helhetssyn på hela systemet, utifrån en konsekvent och övergripande 21. Efter några allmänna anmärkningar kommer detta yttrande strategi. i huvudsak att ta upp följande frågor av relevans för skyd det av personuppgifter: 26. Datatillsynsmannen anser att denna strategi även måste vara framåtblickande. Ny utveckling, såsom antagandet av — Garantier för skydd av uppgifter i systemet. rambeslut 2008/977/RIF och ett (eventuellt) framtida ikraftträdande av Lissabonfördraget, bör på lämpligt sätt övervägas och beaktas när det fattas ett beslut om själva — Registret för identifiering av tullutredningar. innehållet i förslaget. — Eurojusts och Europols åtkomst till uppgifter i systemet 27. Beträffande ikraftträdandet av Lissabonfördraget vill datatill (proportionalitet och behov av att ge dessa organ åt synsmannen uppmärksamma lagstiftaren på behovet av en komst till uppgifter). ingående analys av vilka konsekvenser ett avskaffande av EU:s pelarstruktur skulle kunna få på TIS, eftersom det — Tillsynsmodell för TIS som helhet. nuvarande systemet bygger vidare på en kombination av instrument inom första och tredje pelaren. Datatillsyns mannen beklagar att det inte ges någon förklarande infor — Förteckningen över myndigheter som har åtkomst till mation om denna viktiga framtida utveckling, som i hög uppgifter i TIS. grad skulle påverka de rättsliga ramar som kommer att reglera TIS i framtiden. Mer generellt frågar datatillsyns mannen om det inte skulle vara lämpligare att lagstiftaren II. ALLMÄNNA ANMÄRKNINGAR väntar med revideringen till dess att Lissabonfördraget trätt Överensstämmelse mellan de delar i systemet som avser första i kraft, så att eventuell rättsosäkerhet kan undvikas. respektive tredje pelaren

text: 22. Såsom nämndes i inledningen är datatillsynsmannen sär Datatillsynsmannen efterlyser samstämmighet med andra stor skilt intresserad av den nya utvecklingen när det gäller den skaliga system del av TIS som avser tredje pelaren, eftersom han redan har tillsyn över den centrala delen av den del som avser första 28. Datatillsynsmannen anser att ersättandet av hela TIS-kon pelaren i överensstämmelse med den nya förordning (EG) ventionen också är ett bra tillfälle att se till att TIS stämmer nr 766/2008 ( 1 ), för att säkerställa en korrekt tillämpning överens med andra system och mekanismer som har ut av tull och jordbrukslagstiftningen. vecklats efter konventionens antagande. Datatillsynsman nen efterlyser också en tillsynsmodell som överensstämmer med andra rättsliga instrument, särskilt dem som inrättar 23. Datatillsynsmannen vill här uppmärksamma lagstiftaren på SIS II och VIS. att han i ett antal yttranden redan har kommenterat frågor ( 2 ) Yttrande av den 22 februari 2007 om förslaget till förordning ( 1 ) EUT L 218, 13.8.2008, s. 48. (KOM(2006) 866 slutlig) (EUT C 94, 28.4.2007, s. 3). 23.9.2009 Europeiska SV unionens officiella tidning C 229/15 Förhållandet till rambeslut 2008/977/RIF 34. När det gäller specifika bestämmelser i förslaget om skydd av personuppgifter noterar datatillsynsmannen lagstiftarens 29. Datatillsynsmannen välkomnar att förslaget beaktar ram ansträngningar för att få till stånd fler skyddsåtgärder än beslutet om skydd av personuppgifter eftersom utbytet av vad TIS-konventionen medger. Datatillsynsmannen känner uppgifter mellan medlemsstaterna sker inom TIS. dock fortfarande ett behov av att föra fram ett antal all I artikel 20 i förslaget står det klart och tydligt att ram varliga betänkligheter som rör bestämmelserna om upp beslut 2008/977/RIF ska gälla för skydd vid utbyte av giftsskydd, särskilt tillämpningen av principen om ända uppgifter i enlighet med detta beslut om inget annat anges målsbegränsning. i det här beslutet. Datatillsynsmannen noterar också att det i förslaget hänvisas till rambeslutet också i andra bestäm melser, t.ex. i

text: artikel 4.5

text: , där det slås fast att uppgifter som avses i artikel 6 i rambeslut 2008/977/RIF inte ska införas, i

text: artikel 8

text: om användning av de uppgifter som erhålls från 35. Det bör i detta sammanhang också nämnas att datatillsyns TIS för att uppnå det mål som avses i artikel 1.2 i beslutet, mannens anmärkningar i detta yttrande inte bara gäller i artikel 22 i förslaget om individers rättigheter med avse bestämmelser som ändrar eller utvidgar tillämpningsområ ende på personuppgifter i TIS och

text: artikel 29

text: om ansvar det för TIS-konventionen, utan också de delar som är tagna och skyldigheter. från den nuvarande konventionstexten. Såsom nämnts i de allmänna anmärkningarna beror detta på att vissa bestäm melser i konventionen enligt datatillsynsmannen inte längre verkar uppfylla nuvarande dataskyddskrav, och det franska 30. Datatillsynsmannen anser att de begrepp och principer som initiativet ger ett lämpligt tillfälle att på nytt diskutera hela fastställs i detta rambeslut lämpar sig för TIS och därför systemet och se till att man har en lämplig dataskyddsnivå bör tillämpas, både av rättssäkerhetsskäl och för samstäm som motsvarar den som finns inom den del av systemet migheten mellan rättsordningarna. som avser första pelaren.

text: 31. Trots detta betonar datatillsynsmannen att lagstiftaren bör ge nödvändiga garantier för att det i avvaktan på ett full 36. Datatillsynsmannen välkomnar att endast en fast och ut ständigt genomförande av rambeslut 2008/977/RIF inte tömmande förteckning över personuppgifter får tas med i finns några kryphål i dataskyddssystemet. Med andra ord TIS. Han välkomnar också att förslaget innebär att defini vill datatillsynsmannen understryka att han är för ett upp tionen av termen personuppgifter utvidgas i förhållande till lägg där nödvändiga och adekvata skyddsåtgärder inrättas TIS-koventionen. Med personuppgifter avses enligt innan det sker något nytt utbyte av uppgifter. artikel 2.2 i förslaget varje upplysning som avser en iden tifierad eller identifierbar fysisk person (den registrerade); en identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett III. SÄRSKILDA ANMÄRKNINGAR identifikationsnummer eller till en eller flera faktorer som Dataskyddsåtgärder är specifika för hans fysiska, fysiologiska, psykiska, ekono miska, kulturella eller sociala identitet. 32. För att tullinformationssystemet ska kunna fungera på ett korrekt sätt är det enligt datatillsynsmannen mycket viktig att rätten till uppgiftsskydd och information tillämpas ef fektivt. Dataskyddsåtgärder behövs inte bara för att effektivt Ändamålsbegränsning skydda individer upptagna i TIS, utan bör också kunna göra det lättare att få systemet att fungera på ett korrekt 37. Ett exempel på bestämmelser som väcker allvarliga farhå sätt och effektivare. gor på dataskyddsområdet är artikel 8 i förslaget, där det fastställs att medlemsstaterna endast får använda de upp gifter som de erhåller från tullinformationssystemet för att uppnå det mål som avses i

text: artikel 1.2

text: . De får dock använda 33. Datatillsynsmannen uppmärksammar lagstiftaren på att be dem för administrativa eller andra ändamål med föregående hovet av starka och effektiva dataskyddsåtgärder blir ännu tillstånd från den medlemsstat som infört uppgifterna i tydligare om man tänker på att TIS är en databas som systemet och om inte annat följer av de villkor som angetts bygger på ”misstankar” snarare än på fällande domar eller av denna medlemsstat. En sådan användning för andra andra rättsliga eller administrativa avgöranden. Detta återändamål ska vara förenlig med lagar, bestämmelser och speglas i artikel 5 i förslaget, där det fastställs att ”[u]ppgif förfaranden i den medlemsstat som önskar använda upp ter i de kategorier som avses i

text: artikel 3

text: ska införas i tull gifterna i enlighet med artikel 3.2 i rambeslut informationssystemet endast för observation och rappor 2008/977/RIF. Denna bestämmelse om användningen av tering, diskret övervakning, särskilda kontroller och strate uppgifter som erhålls från TIS är väsentlig för systemets gisk eller operativ analys. För de föreslagna åtgärderna […] struktur och kräver därför särskild uppmärksamhet. får personuppgifter […]införas i tullinformationssystemet endast om det, särskilt på grundval av tidigare illegal verk samhet, finns faktiska tecken som tyder på att den berörda personen har gjort, gör eller kommer att göra sig skyldig till grova överträdelser av nationella lagar.” Med tanke på 38. I artikel 8 i förslaget görs en hänvisning till artikel 3.2 i tullinformationssystemets särdrag krävs enligt förslaget väl rambeslut 2008/977/RIF som behandlar principerna om avvägda, effektiva och förbättrade åtgärder för skydd av lagenlighet, proportionalitet och ändamål. I artikel 3 i ram personuppgifter och kontrollmekanismer. beslutet fastställs följande: C 229/16 SV Europeiska unionens officiella tidning 23.9.2009 ”1. De behöriga myndigheterna får inom ramen för sina skydd av personuppgifter. Datatillsynsmannen vill att uppgifter samla in personuppgifter endast för särskilda,

text: artikel 8.4

text: tas under omprövning så att man kan säkerställa uttryckligt angivna och berättigade ändamål och uppgif ett enhetligt system för att bedöma tillräckligheten genom terna får endast behandlas för det ändamål som låg till en lämplig mekanism; den kommitté som avses i

text: artikel 26

text: grund för insamlingen av dem. Behandlingen av uppgif i förslaget skulle exempelvis kunna delta i denna bedöm terna ska vara lagenlig och adekvat, relevant och inte orim ning. lig i förhållande till det ändamål för vilket de samlades in.

text: 2. Vidare behandling för ett annat ändamål är tillåten Andra dataskyddsåtgärder om 42. Datatillsynsmannen noterar med tillfredsställelse bestäm melserna om ändring av uppgifter (kapitel IV,

text: artikel 13

text: ) a) denna vidare behandling inte är oförenlig med de än som är ett viktigt inslag i principen om uppgifternas kva damål för vilket uppgifterna samlades in, litet. Han välkomnar särskilt den i förhållande till TIS-kon ventionen utvidgade och ändrade räckvidden för denna bestämmelse, som nu också omfattar rättelse och radering b) de behöriga myndigheterna i enlighet med tillämpliga av uppgifter. Enligt

text: artikel 13.2

text: ska till exempel en upp rättsliga bestämmelser är bemyndigade att behandla så giftslämnande medlemsstat eller Europol, om de upptäcker dana uppgifter för ett sådant annat ändamål, och eller uppmärksammas på att de uppgifter som de har infört är oriktiga i sak eller har införts eller lagrats i strid med c) denna behandling är nödvändig och står i proportion detta beslut, ändra, komplettera, rätta eller radera dessa till det andra ändamålet.” uppgifter, beroende på vad som är lämpligt, och underrätta de andra medlemsstaterna och Europol om detta.

text: 39. Trots tillämpningen av artikel 3.2 i rambeslut 2008/977/RIF om allmänna villkor där behandling för ett annat ändamål kan tillåtas, vill datatillsynsmannen påpeka 43. Datatillsynsmannen noterar bestämmelserna i kapitel V om att bestämmelsen i artikel 8 i förslaget genom att tillåta bevarande av uppgifter som huvudsakligen bygger på TIS användning av TIS-uppgifter för eventuella administrativa konventionen och bland annat fastställer tidsfrister för be eller andra ändamål, som inte anges i förslaget, väcker varande av uppgifter som kopierats från TIS. farhågor om överensstämmelsen med dataskyddskraven, särskilt principen om ändamålsbegränsning. Dessutom till låter inte instrument inom första pelaren en sådan allmän 44. Kapitel IX (Skydd av personuppgifter) återspeglar många av användning. Datatillsynsmannen vill därför se att ändamål bestämmelserna i TIS-konventionen. Det finns dock en för vilka uppgifterna får användas specificeras. Detta är i viktig ändring, nämligen tillämpningen i rambeslutet om dataskyddshänseende mycket viktigt, eftersom det rör hu skydd av personuppgifter på TIS och att det i

text: artikel 22

text: vudprinciperna för användningen av uppgifter i storskaliga i förslaget står att ”[i]ndividers rättigheter med avseende på system: uppgifter bör endast användas för väldefinierade personuppgifter i tullinformationssystemet, särskilt deras och tydligt avgränsade ändamål som regleras av rättsliga rätt till tillgång till uppgifterna, till rättelse, radering eller ramar. blockering ska utövas i överensstämmelse med lagar, be stämmelser och förfaranden i den medlemsstat som ge nomför rambeslut 2008/977/RIF där dessa rättigheter åbe Överföring av uppgifter till tredjeländer ropas.” Datatillsynsmannen vill här särskilt framhålla hur 40. Artikel 8.4 i förslaget behandlar uppgifter som ska över viktigt det är att behålla ett förfarande där de registrerade föras till tredjeländer eller internationella organisationer. kan åberopa sina rättigheter och begära åtkomst till upp Enligt denna bestämmelse får ”uppgifter som erhålls från gifter i alla medlemsstater. Datatillsynsmannen kommer att tullinformationssystemet […], med föregående tillstånd av titta närmare på den praktiska tillämpningen av denna för den medlemsstat som infört uppgifterna i systemet och om de registrerade mycket viktiga rättighet. inte annat följer av de villkor som denna stat angett, över föras […] till tredjeländer och till internationella eller re gionala organisationer som vill använda dem. Varje med 45. Förslaget utvidgar också TIS-konventionens räckvidd i fråga lemsstat ska vidta särskilda åtgärder för att garantera dessa om förbudet att kopiera uppgifter från TIS till andra na uppgifters säkerhet när de överförs till organ som är be tionella dataregister. I artikel 14.2 i TIS-konventionen står lägna utanför dess territorium. En redogörelse för dessa det uttryckligen att personuppgifter som införts av andra åtgärder skall meddelas den gemensamma tillsynsmyndig medlemsstater inte får kopieras från tullinformationssyste het som avses i

text: artikel 25

text: .” met till andra nationella dataregister. Enligt artikel 21.3 i förslaget får en sådan kopiering endast förekomma ”för 41. Datatillsynsmannen konstaterar att artikel 11 i rambeslutet kopior i sådana system för riskanalys som används för om skydd av personuppgifter är tillämplig i detta samman att målstyra nationella tullkontroller eller kopior i system hang. Det bör dock betonas att de garantier som ingår i för operativ analys som används för att samordna åtgär bestämmelsen i artikel 8.4 i beslutet, på grund av att till der.” Med hänsyn till detta ställer datatillsynsmannen sig lämpningen av den bestämmelsen är av mycket allmän bakom påpekandena i yttrande 09/03 från Gemensamma karaktär och i princip gör det möjligt för medlemsstaterna tillsynsmyndigheten för tullfrågor, särskilt i fråga om ter att överföra uppgifter som erhållits från TIS till tredjeländer men system för riskanalys och behovet av att närmare och till internationella eller regionala organisationer som bestämma när och på vilka villkor som den kopiering vill använda dem, är långt ifrån tillräckliga vad beträffar som avses i

text: artikel 21.3

text: skulle vara möjlig. 23.9.2009 Europeiska SV unionens officiella tidning C 229/17

text: 46. Datatillsynsmannen välkomnar säkerhetsbestämmelserna, IX har de nationella medlemmarna och deras biträdande som är mycket betydelsefulla för att TIS ska kunna fungera medlemmar rätt att inom ramen för sitt mandat och för att på ett effektivt sätt (kapitel XII). fullgöra sina uppgifter få åtkomst till de uppgifter som införts i TIS i enlighet med artiklarna

text: och

text: Registret för identifiering av tullutredningar och att söka i dem. Förslaget föreskriver liknande meka nismer i fråga om samtycke för den medlemsstat som fört 47. Förslaget innehåller ytterligare bestämmelser om registret in uppgifterna som dem som planeras för Europol. Det för identifiering av tullutredningar (artiklarna

text: ). Detta ovannämnda gäller också för Eurojust, nämligen behovet återspeglar inrättandet av ett register för identifiering av av att motivera nödvändigheten att ge åtkomst till uppgif tullutredningar inom det instrument som avser första pe ter och att sätta upp adekvata och nödvändiga begräns laren. Datatillsynsmannen ifrågasätter inte behovet av så ningar om sådan åtkomst beviljas. dana nya databaser inom TIS, men betonar behovet av lämpliga dataskyddsåtgärder. Han välkomnar i detta sam manhang att det undantag som föreskrivs i

text: artikel 21.3

text: 55. Datatillsynsmannen välkomnade att åtkomsten till uppgif inte ska tillämpas på registren för identifiering av tullutred ter i TIS begränsas till att endast gälla nationella medlem ningar. mar, deras suppleanter och deras biträdande medlemmar. Datatillsynsmannen konstaterar dock att det i

text: artikel 12.1

text: Europols och Eurojusts åtkomst till uppgifter i TIS endast är tal om nationella medlemmar och deras biträ 48. Enligt förslaget får Europeiska polisbyrån (Europol) och dande medlemmar, medan suppleanter till de nationella Europeiska enheten för rättsligt samarbete (Eurojust) åt medlemmarna också nämns i andra punkter i

text: artikel 12

text: . komst till uppgifter i systemet. Lagstiftaren bör se till att klarhet och konsekvens råder i detta fall. 49. Datatillsynsmannen betonar först och främst att åtkoms tens syfte klart måste definieras och att det måste göras en bedömning av proportionaliteten och nödvändigheten av Tillsyn – mot en enhetlig, konsekvent och övergripande modell att åtkomsten utvidgas. Det finns ingen information om varför det är nödvändigt att också låta Europol och Euro 56. I anslutning till den föreslagna tillsynen över den del av TIS just få åtkomst till uppgifter i systemet. Han betonar också som avser tredje pelaren vill datatillsynsmannen fästa lagatt när åtkomsten till databaser, funktioner och behandling stiftarens uppmärksamhet på att det måste finnas en kon av personuppgifter står på spel finns det ett tydligt behov sekvent och övergripande tillsyn över hela systemet. De av att i förväg utvärdera inte bara åtkomstens ändamåls komplexa rättsliga ramar som reglerar TIS, med en dubbel enlighet utan också den verkliga och dokumenterade nöd rättslig grund, bör tas i beaktande, och två olika tillsyns vändigheten av ett sådant förslag. Datatillsynsmannen modeller bör undvikas, både av rättssäkerhetsskäl och prak framhåller att skälen inte har motiverats. tiska skäl.

text: 50. Datatillsynsmannen vill också att det i texten klart framgår exakt för vilka uppdrag som Europol och Eurojust kan få 57. Såsom tidigare nämnts i detta yttrande utövar datatillsyns utkomst till uppgifter. mannen för närvarande tillsyn över den centrala delen av den del av systemet som avser första pelaren. Detta är i 51. Enligt

text: artikel 11

text: har Europol rätt att inom ramen för sitt enlighet med

text: artikel 37 i rådets förordning (EG) nr 515/97

text: , mandat och för att fullgöra sina uppgifter få åtkomst till de ändrad genom förordning

text: (EG) nr 766/2008

text: , som slår fast uppgifter som införts i TIS, att direkt söka i dem och att att Europeiska datatillsynsmannen ska kontrollera att TIS föra in uppgifter i nämnda system. överensstämmer med förordning

text: (EG) nr 45/2001

text: . Data tillsynsmannen konstaterar att den tillsynsmodell som 52. Datatillsynsmannen välkomnar de begränsningar som har Frankrike föreslår inte tar hänsyn till denna roll. Tillsyns införts i förslaget, särskilt modellen bygger på den roll som Gemensamma tillsyns myndigheten för TIS spelar. — det samtycke som krävs från den medlemsstat som fört in uppgifterna i systemet för att uppgifterna från TIS ska kunna användas, 58. Datatillsynsmannen uppskattar det arbete som utförts av Gemensamma tillsynsmyndigheten för TIS, men framhåller — begränsningen av Europols vidarebefordran av uppgif två skäl till varför en samordnad tillsynsmodell som över ter till tredjeländer (återigen enbart med samtycke från ensstämmer med hans nuvarande tillsynsuppgifter inom den medlemsstat som fört in uppgifterna i systemet), andra storskaliga system bör tillämpas. För det första skulle en sådan modell garantera den inre överensstämmelsen — begränsad åtkomst till uppgifter i TIS (personal med mellan de delar inom systemet som avser första och tredje särskilt tillstånd), pelaren. För det andra skulle den också överensstämma med modeller som inrättats inom andra storskaliga system. — den översyn av Europols verksamhet som ska göras av Därför föreslår datatillsynsmannen att man för TIS som Europols gemensamma tillsynsmyndighet. helhet använder en liknande modell som den som använ 53. Datatillsynsmannen vill också nämna att man överallt i des inom SIS II (”samordnad tillsyn” eller ”modell i flera förslaget där Europolkonventionen nämns bör beakta det nivåer”). Såsom nämns i datatillsynsmannens yttrande om rådsbeslut där det fastställs att Europol med verkan från den del av TIS som avser första pelaren har den europeiska och med den 1 januari 2010 ska bli en EU-byrå. lagstiftaren när det gäller SIS II valt att rationalisera till synsmodellen genom att använda samma modell i flera 54. Artikel 12 i förslaget tar upp Eurojusts åtkomst till upp nivåer som den som beskrivs ovan när det gäller såväl gifter i TIS. Där fastställs att om inte annat följer av kapitel den första som den tredje pelaren i systemet. C 229/18 SV Europeiska unionens officiella tidning 23.9.2009

text: 59. Datatillsynsmannen anser att den lämpligaste lösningen på 65. Han beklagar att det saknas förklarande dokument som detta problem skulle vara att införa ett enhetligare tillsyns skulle kunna ge de klargöranden och den information system, den redan beprövade modell som bygger på en som behövs om några av bestämmelsernas syften och spe struktur med tre nivåer: dataskyddsmyndigheter på natio cificitet. nell nivå, datatillsynsmannen på central nivå och en sam ordning mellan dessa båda. Datatillsynsmannen är över 66. Datatillsynsmannen skulle vilja se att förslaget i större ut tygad om att ersättandet av TIS-konventionen är ett unikt sträckning tar upp behovet av specifika dataskyddsåtgärder. tillfälle att förenkla tillsynen och få den att bli mer sam Han anser att det finns ett antal frågor där det bättre skulle manhållen, helt i linje med andra storskaliga system (VIS, kunna sörjas för det praktiska genomförandet av data- SIS II, Eurodac). skyddsåtgärderna, särskilt tillämpningen av ändamåls begränsningen när det gäller användningen av de uppgifter 60. Slutligen tar en samordnad tillsynsmodell också bättre hän som förs in i TIS. Datatillsynsmannen anser att detta är en syn till de ändringar som Lissabonfördragets ikraftträdande viktig förutsättning för att tullinformationssystemet ska och avskaffandet av EU:s pelarstruktur kommer att med kunna förbättras. föra.

text: 67. Datatillsynsmannen vill se att en samordnad tillsynsmodell 61. Datatillsynsmannen tar inte ställning i frågan om införan tas med i förslaget. Det bör noteras att datatillsynsmannen det av en samordnad tillsynsmodell skulle kräva en ändring för närvarande har till uppgift att utöva tillsyn över den del av det instrument inom första pelaren som reglerar TIS, av systemet som avser första pelaren. Han betonar att det dvs. förordning

text: (EG) nr 766/2008

text: , men uppmärksammar av enhetlighets och konsekvensskäl är bäst att den samord lagstiftaren på behovet av att analysera denna aspekt, också nade tillsynsmodellen också tillämpas på den del av syste när det gäller rättslig konsekvens. met som avser tredje pelaren. Denna modell skulle där så är nödvändigt och lämpligt sörja för konsekvens med an dra rättsliga instrument som reglerar inrättandet av andra Förteckningen över myndigheter som har åtkomst till uppgifter i storskaliga itsystem. TIS

text: 62. Enligt

text: artikel 7.2

text: ska varje medlemsstat till de övriga med 68. Datatillsynsmannen efterlyser ett klargörande av om det är lemsstaterna och till den kommitté som avses i

text: artikel 26

text: nödvändigt och proportionerligt att Eurojust och Europol översända en förteckning över de behöriga myndigheter ges åtkomst till uppgifter. Han betonar att det i förslaget som utsetts och som är behöriga att ha direkt åtkomst saknas förklarande information i denna fråga. till TIS, och i fråga om varje myndighet precisera till vilka uppgifter denna kan få åtkomst och för vilka ändamål. 69. Datatillsynsmannen håller också fast vid att bestämmelsen i 63. Datatillsynsmannen påpekar att förslaget endast slår fast att artikel 8.4 i förslaget om överföring av uppgifter till tredje information om de myndigheter som har åtkomst till upp länder eller internationella organisationer måste stärkas. gifter i TIS bör utbytas mellan medlemsstaterna och att de Detta omfattar behovet av att säkerställa ett enhetligt sy bör informera den kommitté som avses i

text: artikel 26

text: , men stem för att bedöma lämpligheten. att det inte är aktuellt att offentliggöra någon sådan för teckning över myndigheter. Detta är beklagligt, eftersom ett 70. Datatillsynsmannen efterlyser en bestämmelse om offent sådant offentliggörande skulle bidra till en större öppenhet liggörande av en förteckning över myndigheter som har och skapa ett praktiskt verktyg för effektiv tillsyn över åtkomst till uppgifter i TIS, så att öppenheten ökas och systemet, t.ex. av behöriga dataskyddsmyndigheter. tillsynen över systemet underlättas.

type: vagledning

utgivare: edps