text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA 1.1 Samråd med Europeiska datatillsynsmannen YTTRANDE 2. Kommissionen översände förslaget till Europeiska datatill synsmannen den 3 januari 2011. Datatillsynsmannen tol kar detta som en begäran om att ge råd till gemenskaps med beaktande av fördraget om Europeiska unionens funktions institutioner och gemenskapsorgan i enlighet med sätt, särskilt

text: artikel 16

text: artikel 28.2 i förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskaps institutionerna och gemenskapsorganen behandlar person uppgifter och om den fria rörligheten för sådana uppgifter med beaktande av Europeiska unionens stadga om de grund (nedan kallad förordning

text: (EG) nr 45/2001

text: ). Kommissionen läggande rättigheterna, särskilt artiklarna

text: och

text: har tidigare ( ), innan förslaget antogs, gett datatillsynsman nen möjlighet att lämna informella synpunkter. Europeiska datatillsynsmannen välkomnar öppenheten i processen, som har bidragit till att på ett tidigt stadium göra texten med beaktande av Europaparlamentets och rådets direktiv bättre ur dataskyddssynpunkt. Kommissionen har i försla

text: av den 24 oktober 1995 om skydd för enskilda get tagit hänsyn till vissa av datatillsynsmannens synpunk personer med avseende på behandling av personuppgifter och ter. Europeiska datatillsynsmannen skulle välkomna en ut om det fria flödet av sådana uppgifter ( 1 ), trycklig hänvisning till det aktuella samrådet i förslagets ingress.

text: ( 1 ) Överföring av namn och IBAN äger rum direkt från betalningsmot tagare till betalare vid betalning och från betalare till betalningsmot tagare vid autogirering. I båda fallen ger det faktum att det är den registrerade som själv frivilligt överför sina uppgifter behandlingen legitimitet. ( 2 ) Sådan information kan innefatta betalarens namn, hans eller hennes adress, telefonnummer och andra uppgifter i samband med det kont rakt som utgör skälet till överföringen av medel.

amnesord:
Interoperability
Finance & Economy
Financial markets

title: Technical requirements for credit transfers and direct debits in euros

text: 28.9.2011 Europeiska SV unionens officiella tidning C 284/1

text: I

type: rubrik

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslag till Europaparlamentets och rådets förordning om antagande av tekniska krav för betalningar och autogireringar i euro och om ändring av förordning

text: (EG) nr 924/2009

text: (2011/C 284/01)

text: med beaktande av begäran om ett yttrande i enlighet med

text: artikel 28.2 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda 1.2 Det gemensamma eurobetalningsområdet och den då gemenskapsinstitutionerna och gemenskapsorganen behand

text: rättsliga ramen

text: lar personuppgifter och om den fria rörligheten för sådana upp gifter ( 2 ). 3. Sedan Europeiska ekonomiska gemenskapen inrättades har en progressiv rörelse mot en mer integrerad europeisk fi nansmarknad pågått. Inom betalningsområdet var det mest uppenbara steget att införa euron som gemensam valuta HÄRIGENOM FRAMFÖRS FÖLJANDE. 1999 och att börja använda eurosedlar och euromynt 2002.

text: 1. Den 16 december 2010 antog kommissionen ett förslag till Europaparlamentets och rådets förordning om anta 4. Till dags dato hanteras och behandlas betalningar av låga gande av tekniska krav för betalningar och autogireringar belopp (upp till 50 000 EUR) med annat än kontanter i euro och om ändring av förordning

text: (EG) nr 924/2009

text: fortfarande på många olika sätt i EU. Därmed blir avgif (nedan kallad förordningen). terna för gränsöverskridande betalningar inom EU i ge nomsnitt högre än avgifterna för nationella betalningar. ( 1 ) EGT L 281, 23.11.1995, s. 31 (nedan kallat direktiv

text: ). ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) I september 2010. C 284/2 SV Europeiska unionens officiella tidning 28.9.2011 Enligt en europeisk förordning om gränsöverskridande be och betalningsmottagare och indirekt genom deras respek talningar i euro (förordning

text: (EG) nr 2560/2001

text: ) gällde tive betaltjänstleverantörer för att garantera att överföring bland annat att betalningsavgifter inte längre fick vara arna fungerar smidigt. För detta ändamål innehåller försla högre för gränsöverskridande eurobetalningar inom EU get också en artikel om driftskompatibilitet som ger stöd än för motsvarande nationella eurobetalningar. Som en för att skapa standardbestämmelser för nationella och reaktion på den förordningen skapade den europeiska gränsöverskridande transaktioner och som uttryckligen an banksektorn år 2002 Europeiska betalningsrådet (EPC) ger att inga tekniska hinder ska försvåra behandlingen av som utgjorde ett samordnings- och beslutsorgan för betal betalningar och autogireringar. De olika ekonomiska opera ningsområdet och lanserade projektet med det gemen törer som medverkar i verksamheter som omfattas av för samma eurobetalningsområdet (Sepa). År 2009 ersattes slaget är föremål för olika nationella lagar om genom förordning

text: (EG) nr 2560/2001

text: av förordning (EG) nr förande av direktiv

text: . 924/2009 och utökade principen om lika avgifter till auto girering, som blev tillgängligt på gränsöverskridande basis från november 2009.

text: 9. Europeiska datatillsynsmannen betonar att utbyte och be handling av personuppgifter om betalare och betalnings mottagare och med olika betaltjänstleverantörer måste re 5. Vidare syftar direktiv

text: (nedan kallat betaltjänst spektera nödvändighetsprincipen, proportionalitetsprinci direktivet) till att harmonisera nationell lagstiftning om be pen och principen om ändamålsbegränsning. Även när talningar i Europeiska unionen. Målet är ett införa standar uppgifter förs vidare mellan olika intermediärer måste prin diserade villkor och rättigheter för betaltjänster och att göra ciperna för sekretess och säkerhet vid behandling respekte gränsöverskridande betalningar lika enkla, effektiva och ras, i enlighet med artiklarna 16 och 17 i direktiv säkra som ”nationella” betalningar inom en medlemsstat.

text: . Betaltjänstdirektivet är även avsett att stärka konkurrensen genom att öppna betalmarknaderna för nya aktörer.

text: 10. Förslaget inför också en ny roll för nationella behöriga myndigheter: att övervaka efterlevnaden av förordningen 6. Sepa syftar till att inrätta en gemensam marknad för de och vidta alla nödvändiga åtgärder för att garantera efter taljistbetalningar i euro genom att undanröja tekniska, juri levnaden. Denna roll är avgörande för ett effektivt genom diska och marknadsrelaterade hinder som har sitt ursprung förande av Sepa men kan också medföra omfattande be i perioden innan den gemensamma valutan infördes. När hörighet för myndigheterna att behandla personuppgifter Sepa har slutförts kommer det inte att vara någon skillnad ytterligare. Även inom detta område måste de nationella mellan nationella och gränsöverskridande eurobetalningar: behöriga myndigheternas åtkomst till personuppgifter alla betalningar blir inhemska. Sepa omfattar inte bara eu bygga på respekt för nödvändighetsprincipen, proportiona roområdet utan hela Europeiska unionen samt Island, litetsprincipen och principen om ändamålsbegränsning. Liechtenstein, Monaco, Norge och Schweiz. Detta innebär att även samhällen utanför euroområdet kan anta Sepastandarder och Sepa-praxis för sina eurobetalningar.

text: 11. Förslaget bör inte införa alltför detaljerade bestämmelser om efterlevnad av principerna för uppgiftsskydd, som ga 7. Förslaget gäller betalningar och autogireringar. Betalningar ranteras genom att all nationell behandling omfattas av initieras av betalaren, som skickar en instruktion till sin nationella lagar om genomförande av direktiv

text: , bank. Banken för över medlen till betalningsmottagarens men Europeiska datatillsynsmannen föreslår ändå vissa för bank. Detta kan ske via flera intermediärer. Vid autogire tydliganden av texten. ring ger betalaren i förväg betalningsmottagaren rätt att samla in medel från betalarens bankkonto. Betalaren till handahåller därför en ”fullmakt” för sin bank att överföra medel till betalningsmottagarens konto. Autogirering an vänds ofta för återkommande betalningar, t.ex. för el, 2. SÄRSKILDA SYNPUNKTER värme och vatten, men kan också användas för engångs betalningar. I detta fall godkänner betalaren en enskild 2.1 Skäl 26 betalning. 12. Europeiska datatillsynsmannen ser med tillfredsställelse att direktiv

text: nämns i skäl 26 i förslaget. För att avspegla att olika nationella lagar om genomförande av ett sådant direktiv är de lämpliga referenserna och betona 1.3 Det gemensamma eurobetalningsområdet och EU:s att all uppgiftsbehandling måste utföras i enlighet med uppgiftsskydd genomförandebestämmelserna skulle texten i skälet dock kunna ändras på följande sätt: ”All behandling av person 8. Införandet och utvecklingen av Sepa medför uppgifts uppgifter som genomförs i enlighet med denna förordning behandling av flera slag: namn, bankkontonummer och ska följa relevanta nationella lagar om genomförande av kontraktsuppgifter måste utbytas direkt mellan betalare direktiv

text: ”. 28.9.2011 Europeiska SV unionens officiella tidning C 284/3 2.2 Artiklarna

text: och

text: : nationella behöriga myn betalning eller autogirering) av medel mellan enskilda för digheters befogenheter att kontrollera om multilaterala förmedlingsavgifter tas ut på ett olagligt sätt eller vid vägran som strider mot skyl 13. Genom artikel 6 i förslaget införs ett förbud mot att införa digheterna i artiklarna

text: och

text: . Denna befogenhet innefat multilaterala förmedlingsavgifter ( 1 ) per autogirering eller tar behandling av personuppgifter (namn på berörda fy någon annan överenskommen ersättning med motsvarande siska personer, deras bankkontonummer och de belopp syfte eller verkan. För autogireringar som inte kan genom som ska tas emot eller överföras). föras korrekt av betaltjänstleverantören (avvisas, vägras, återsänds eller vänds, s.k. R-transaktion) får en multilateral förmedlingsavgift tillämpas under förutsättning att ett antal villkor är uppfyllda.

text: 17. All behandling av personuppgifter ska följa nationella lagar om genomförande av direktiv

text: , men datatillsyns mannen vill betona att övervakningsskyldigheten bör be 14. Genom artikel 8 i förslaget införs skyldigheter för betalare dömas redan i förslaget med tanke på att proportionalitetssom använder betalningar och betalningsmottagare som och nödvändighetsprinciperna ska gälla enligt direktiv använder autogireringar. En betalare får inte vägra att

text: artikel 6.1 c

text: ). Särskilt med tanke på artiklarna göra betalningar till betalkonton hos betaltjänstleverantörer 6 och 8 anser Europeiska datatillsynsmannen att det i detta som är etablerande i en annan medlemsstat och som är avseende vore mer proportionerligt att införa ett system nåbara ( 2 ) i enlighet med

text: artikel 3

text: . En betalningsmottagare som innebär att behöriga myndigheters behandling av per som tar emot medel på sitt betalkonto från andra betal sonuppgifter endast utlöses från fall till fall. Detta skulle konton hos betaltjänstleverantörer i samma medlemsstat innebära att myndighetens ingripande – och därmed be får inte vägra att ta emot autogireringar från betalkonton handlingen av en viss betalares och/eller betalningsmotta hos betaltjänstleverantörer som är etablerade i en annan gares personuppgifter – huvudsakligen skulle ske när det medlemsstat. finns en särskild anledning, t.ex. om ett klagomål om en överträdelse av

text: artikel 6

text: eller

text: artikel 8

text: lämnats av en be talare eller betalningsmottagare, eller inom ramen för en målinriktad utredning på eget initiativ, eventuellt på grund val av information som lämnats av tredje part. 15. Enligt artikel 9 i förslaget ska medlemsstaterna utse behö riga myndigheter som ska se till att förordningen efterlevs. Myndigheterna ska ha de befogenheter som krävs för att utföra sina arbetsuppgifter. De ska också övervaka efterlev naden och vidta alla åtgärder som krävs för att garantera 18. Garantin för en effektiv efterlevnadskontroll skulle vara att förordningens efterlevnad. Enligt

text: artikel 9.3

text: gäller vidare att en mekanism införs som gör att en klagande kan lämna ett om mer än en myndighet är behörig i frågor som omfattas klagomål eller en tredje part kan lämna information och av denna förordning på en medlemsstats territorium ska snabbt få svar från myndigheten, eventuellt i form av en denna medlemsstat se till att dessa myndigheter har ett order till den andra parten att uppfylla skyldigheterna en nära samarbete så att de effektivt kan uppfylla sina arbets ligt artiklarna

text: och

text: . Förslaget inför faktiskt redan i uppgifter. Genom

text: artikel 10

text: införs en skyldighet för med

text: artikel 11

text: regler för lämpliga och effektiva förfaranden lemsstaterna att fastställa bestämmelser om vilka sanktio för klagomål och tvistlösning utanför domstol för att ner som ska tillämpas vid överträdelser av förordningen lösa tvister mellan betaltjänstanvändare och deras betal och vidta alla åtgärder som krävs för att se till dessa be tjänstleverantörer (som omfattar fallet enligt

text: artikel 6

text: ). stämmelser tillämpas. Dessa sanktioner ska vara effektiva, För att uppmuntra till efterlevnad av

text: artikel 8

text: utan att proportionella och avskräckande. nationella myndigheter får bred allmän tillgång till person uppgifter föreslår Europeiska datatillsynsmannen att be stämmelsen i

text: artikel 11

text: även omfattar tvister mellan beta lare och betalningsmottagare.

text: 16. På grundval av dessa artiklar kommer nationella myndig heter att ha befogenhet att övervaka möjliga överträdelser av alla skyldigheter som ingår i förslaget och att tillämpa sanktioner, inbegripet sanktioner i samband med skyldig heten enligt artiklarna

text: och

text: . Denna befogenhet kan 19. Datatillsynsmannen noterar också att övervakningen kan potentiellt ha stora konsekvenser för integriteten ur datas innefatta överföring av personuppgifter mellan behöriga kyddsperspektiv: myndigheterna kan ha allmän tillgång till nationella myndigheter i olika medlemsstater inom ramen information om alla överföringar (oavsett om de sker via för det samarbete som nämns i

text: artikel 9.3

text: . Med tanke på den omfattande befogenhet som beviljas nationella myn ( 1 ) En multilateral förmedlingsavgift är det belopp som betalningsmot digheter för övervakning av efterlevnaden av förordningen tagarens betaltjänstleverantör betalar till betalarens betaltjänstleveran (även om de begränsningar i samband med

text: artiklarna 6

text: tör vid varje autogireringstransaktion. och 8 som föreslås ovan skulle införas) föreslår Europeiska ( 2 ) Syftet med detta krav är att garantera att alla betaltjänstleverantörer datatillsynsmannen att texten uttryckligen nämner att över som är nåbara för en betalning eller autogirering på nationell nivå föring av personuppgifter mellan myndigheter måste ske även ska vara nåbara för transaktioner som initieras genom betal tjänstleverantörer som är etablerade i en annan medlemsstat med respekt för relevanta dataskyddsprinciper. Särskilt gäl (artikel 3 i förslaget). ler att sådana överföringar inte bör vara massöverföringar C 284/4 SV Europeiska unionens officiella tidning 28.9.2011 av uppgifter utan endast bör ske i samband med särskilda 22. Behandling av personuppgifter måste följa nationella lagar fall där det redan finns en prima facie-misstanke om en om genomförande av direktiv

text: , men i utkastet till möjlig överträdelse av förordningen. Därför skulle följande förslaget nämns ändå bara att överföringar i förhållande till mening kunna läggas till i

text: artikel 9.3

text: : ”Överföringar av situation a) ovan ska tillhandahållas ”i enlighet med kraven personuppgifter mellan behöriga myndigheter inom ramen i den nationella lagen om genomförande av direktiv för ett sådant nära samarbete ska endast äga rum från fall

text: ”. För att undvika felaktiga tolkningar föreslår till fall när det finns rimlig misstanke om överträdelse av Europeiska datatillsynsmannen att en sådan hänvisning förordningen och med respekt för nödvändighetsprincipen, till direktivet inkluderas även i förhållande till

text: artikel 3 b

text: proportionalitetsprincipen och principen om ändamåls och

text: artikel 3 g

text: . Om texten i skäl 26 ändrades enligt för begränsning.” slaget ovan skulle i stället lydelsen i

text: artikel 2 b

text: med hänvis ning till direktiv

text: kunna uteslutas. 2.3 Bilaga 3. SLUTSATS 20. I bilagan till förslaget fastställs de tekniska krav som måste uppfyllas för betalningar och autogireringar enligt

text: artikel 5

text: 23. Europeiska datatillsynsmannen välkomnar den särskilda i förslaget. Syftet med att införa dessa krav är att ha har hänvisningen i förslaget till direktiv

text: . Han föreslår moniserade identifierings- och kommunikationsformat som dock några smärre ändringar av texten för att förtydliga att garanterar driftskompatibilitet för betalnings- och autogire dataskyddsprinciperna ska tillämpas på överföringar som ringstransaktioner mellan medlemsstaterna. omfattas av förslaget. Särskilt gäller följande:

text: 21. I detta sammanhang utförs behandling av personuppgifter — Skäl 26 bör avspegla att nationella lagar om genom av intermediärer (betaltjänstleverantörerna) vid olika tillfäl förande av direktiv

text: är de lämpliga referen len ( 1 ): serna och betona att behandling av uppgifter måste följa dessa lagar. a)

text: Artikel 2 b

text: : för betalningar är de uppgifter som ska överföras från betalaren till hans eller hennes betal — De nationella behöriga myndigheternas övervaknings tjänstleverantör och föras vidare i betalningskedjan till befogenheter i förhållande till skyldigheterna enligt ar betalningsmottagaren: betalarens namn och/eller IBAN tiklarna 6 och 8 bör begränsas till att fastställas från fall för betalarens konto, betalningsbeloppet, betalningsmot till fall, när rimlig misstanke föreligger om överträdelse tagarens namn och IBAN och eventuellt överförings av förordningen. För att uppmuntra till efterlevnad av uppgifter.

text: artikel 8

text: bör den mekanism för klagomål och tvistlös ning utanför domstol som föreskrivs i

text: artikel 11

text: utvid gas till att gälla tvister mellan betalare och betalnings b)

text: Artikel 3 b

text: : för autogirering är de uppgifter som ska mottagare. överföras från betalningsmottagaren till hans eller hen nes betaltjänstleverantör och sedan från den senare till betalarens betaltjänstleverantör med varje transaktion: — Hänvisningar till direktiv

text: i bilagan bör har uppgifter om fullmakten ( 2 ). moniseras för att undvika felaktig tolkning. c)

text: Artikel 3 g

text: : för autogirering är de uppgifter som ska överföras från betalningsmottagaren till hans eller hen Utfärdad i Bryssel den 23 juni 2011. nes betaltjänstleverantör och föras vidare i betalnings kedjan till betalaren: betalningsmottagarens namn och Giovanni BUTTARELLI IBAN för betalningsmottagarens konto, betalarens namn och IBAN för dennes betalningskonto. Biträdande Europeisk datatillsynsman


text: OJ L 281, 23.11.1995, p. 31 2 OJ L 8, 12.01.2001, p. 1 3 COM(2011)248 final Postal address: rue Wiertz 60 - B-1047 Brussels Offices: rue Montoyer 63 E-mail : edps@edps.europa.eu - Website: www.edps.europa.eu Tel.: 02-283 19 00 - Fax: 02-283 19 50

text: Communication, p. 3 5 European Council 23/24 June 2011 Conclusion, EUCO 23/11. 6 Commission's Communication on the EU Internal Security Strategy in Action: Five steps towards a more secure Europe, COM(2010)673 7 Proposal for a Regulation amending

text: Council Regulation (EC) No 2007/2004

text: establishing a European Agency for the Management of Operational Cooperation at the External Borders of the Member States of the European Union (FRONTEX), COM(2010)61

text: This Opinion will especially draw on and complement the EDPS Opinion of 17 December 2010 on the Communication "Internal Security Strategy in Action" ("EDPS Opinion of 17 December 2010"), OJ C 101, 1.4. 2011, p. 6; the EDPS Opinion of 15 December 2010 on the amended proposal for a Regulation of the European Parliament and of the Council on the establishment of ‘Eurodac’ ("EDPS Opinion of 15 December 2010"), OJ C 101, 1.4.2011, p. 14; the EDPS Opinion of 30 September 2010 on the Communication on "Overview of information management in the area of freedom, security and justice" ("EDPS Opinion of 30 September 2010"), OJ C 255, 29.12.2011, p. 16; and the EDPS Preliminary Comments of 3 March 2008 on the Border Package ("EDPS preliminary comments of 3 March 2008"), available on the EDPS website. 9 Communication, p. 3 10 Communication, p. 7

text: Communication, p. 7-8. See also paragraphs 42-44 of this opinion. Communication, p. 10 Communication, p. 14 SeeEDPS Opinion of 30 September 2010, cited above; see also EDPS Preliminary Comments on the border package, cited above. In this regard, the EDPS welcomes the work carried out by the Information Project Mapping Team in the context of the work on the European Information Exchange Model. However, the scope of this exercise should be extended and the future work in this area needs to take a broader perspective. See for example European Court of Human Rights, S. and Marper v. United Kingdom, nos. 30562/04 and 30566/04, selected for publication in Reports of Judgments and Decisions. For instance Joined Cases

text: and

text: , Volker und Markus Schecke and Hartmut Eifert v. Land Hessen [2010], not yet published in European Court Report ("Schecke"). Numerous judgments since European Court of Human Rights Handyside v. United Kingdom, no. 5493/72, Series A Number 24, §48. These could either take the form of a separate privacy and data protection impact assessment or be integrated into the general impact assessment. The current guidance on impact assessments (European Commission Impact Assessment Guidelines, SEC(2009)92) does not foresee a separate impact assessment for the impact on fundamental rights, such as data protection; these aspects are to be integrated in the general impact assessment. In the meantime, following the Commission's Communication on the strategy for the effective implementation of the Charter of Fundamental Rights by the European Union (COM(2010)573), additional guidance has been prepared in the form of a Commission Staff Working Paper on operational guidance on taking account of Fundamental Rights in Commission Impact Assessments (SEC(2011)567). 19 See on this also EDPS Opinion of 25 March 2011 on the Proposal for a Directive of the European Parliament and of the Council on the use of Passenger Name Record data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime ("EDPS Opinion of 25 March 2011"), not yet published in the OJ, especially pt. 25 On the need to consider alternative solutions see also the ECJ in Schecke, cited above.

text: Commission's Communication on a comprehensive approach on personal data protection in the European Union, COM(2010)609, p. 12. See also the EDPS Opinion of 14 January 2011 on the Communication from the Commission to the European Parliament, the Council, the Economic and Social Committee and the Committee of the Regions - "A comprehensive approach on personal data protection in the European Union", OJ C 181, 22.6.2011, p. 1, paragraphs 108-115. 22 Communication, p. 14. 23 See EDPS Preliminary comments on the Border Package, cited above, p. 3 24 See also the EDPS Opinion of 31 May 2011 on the Evaluation report from the Commission to the Council and the European Parliament on the Data Retention Directive (Directive

text: ), not yet published in the OJ, as well as the EDPS Opinion of 25 March 2011.

text: Communication, p.14. Proposal for a Regulation concerning the establishment of 'Eurodac' for the comparison of fingerprints for the effective application of Regulation (EC) No […/…] [establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person] (Recast version), COM(2008)825 Amended proposal for a Regulation of the European Parliament and of the Council concerning the establishment of 'EURODAC' for the comparison of fingerprints for the effective application of Regulation (EC) No […/…] [establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person] (Recast version), COM(2009)342. The EDPS issued an opinion on this proposal, see EDPS Opinion of 7 October 2009 on the amended proposal for a Regulation of the European Parliament and of the Council concerning the establishment of ‘Eurodac’ for the comparison of fingerprints for the effective application of Regulation (EC) No (…/…) (establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person), and on the proposal for a Council Decision on requesting comparisons with Eurodac data by Member States’ law enforcement authorities and Europol for law enforcement purposes ("EDPS Opinion of 7 October 2009"), OJ C 92, 14.4.2010, p. 1. Amended proposal for a Regulation on the establishment of 'EURODAC' for the comparison of fingerprints for the effective application of Regulation (EC) No […/…] [establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person] (Recast version), COM (2010)555 ("COM(2010)555"). The EDPS issued an opinion on this proposal, see EDPS Opinion of 15 December 2010, cited above, especially paragraphs 18-22, 28-33, 51-57. EDPS Opinion of 15 December 2010, especially paragraphs 12-17. European Council: The Stockholm Programme - An open and secure Europe serving and protecting citizens, p.5, OJ C 115, 4 May 2010, p.1 COM(2010)555, cited above, p.3

text: ibid 33 The October 2010 proposal was not accompanied by an impact assessment. Instead, the Commission referred to the impact assessment conducted for the 2009 proposal, see Commission staff working document - Accompanying document to the Amended proposal for a Regulation of the European Parliament and of the Council concerning the establishment of 'EURODAC' for the comparison of fingerprints for the effective application of Regulation (EC) No […/…] [establishing the criteria and mechanisms for determining the Member State responsible for examining an application for international protection lodged in one of the Member States by a third-country national or a stateless person] (Recast version) and to the Proposal for a Council Decision on requesting comparisons with EURODAC data by Member States' law enforcement authorities and Europol for law enforcement purposes - Impact assessment, SEC(2009)936. See also COM(2010)555, cited above, p. 3. 34 Communication, p. 10 35 Communication, p. 10

text: It would also need to be clarified which exceptions - for example for medical or humanitarian reasons - would apply. See EDPS Opinion of 30 September 2010, cited above, paragraphs 52-56 See EDPS Preliminary Comments of 3 March 2008, cited above p. 4 Commission's Communication: Annual report on Asylum, COM(2011)291, p. 9 See e.g. EDPS Opinion of 16 October 2006 on the modified proposal for a Council Regulation amending

text: Regulation (EC) 1030/2002

text: laying down a uniform format for residence permits for thirdcountry nationals, OJ C 320, 28.12.2006, p. 26; see also

text: Article 29

text: Data Protection Working Party Opinion N° 3/2007 on the Proposal for a Regulation of the European Parliament and of the Council amending the Common Consular Instructions on visas for diplomatic missions and consular posts in relation to the introduction of biometrics, including provisions on the organisation of the reception and processing of visa applications (COM(2006)269 final),

text: of 1 March 2007 See e.g. EDPS Opinion of 19 October 2005 on the Proposal for a Council Decision on the establishment, operation and use of the Second Generation Schengen Information System (SIS II), the Proposal for a Regulation of the European Parliament and of the Council on the establishment, operation and use of the Second Generation Schengen Information System (...) OJ c 91/38, 19.04.2006; and "Towards more comprehensive data protection in Europe including Biometrics - a European perspective", 12th Conference - Biometrics Institute Australia, Sydney, 26 May 2011: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Spe eches/2011/11-05-26_Biometrics_Institute_EN.pdf This can for example be due to illnesses, disabilities, wounds and burns. It also seems to be the case that the fingerprints of persons working in agriculture and construction may, in a non-trivial number of cases, be damaged to the point that they become unreadable. See also EDPS opinion of 15 December 2010, cited above, paragraph 19. For similar comments in the context of EURODAC see EDPS Opinion of 15 December 2010, paragraphs 18-25

text: In one of the airports selected for testing, 393410 US$ in labour costs and expenses were incurred for 35 days of test operations, which lead to 90 cases of suspected "overstay". In a second test conducted at the same time, there were 44 suspected hits, at the cost of 77501 US$. These numbers do not include development costs. For an assessment of these tests see: United States Government Accountability Office: US-VISIT Pilot Evaluations Offer Limited Understanding of Air Exit Options, August 2010, GAO-10-860, available at: http://www.gao.gov/new.items/d10860.pdf ("US GAO: US-VISIT Pilot Evaluations") 45 Reproduced in US GAO: US-VISIT Pilot Evaluations, p. 72. 46 US GAO: US-VISIT Pilot Evaluations, p. 72. 47 See EDPS Preliminary comments of 3 March 2008, cited above, p. 4 48 Communication, p. 11.

text: See also EDPS Preliminary Comments EDPS Preliminary Comments of 3 March 2008, cited above 50 Communication, p. 10 51 Communication, p. 8 52 Communication, p. 8 53 EDPS Opinion Opinion of 17 May 2010 on the proposal for a Regulation of the European Parliament and of the Council amending

text: Council Regulation (EC) No 2007/2004

text: establishing a European Agency for the Management of Operational Cooperation at the External Borders of the Member States of the European Union (FRONTEX), not yet published in the OJ, see also EDPS Opinion of 17 December 2010, cited above, paragraphs 48-51.

text: Communication, p. 18 55 Communication, p. 7 56 Communication, p. 8 57 Communication, p. 8 58 See also the EDPS Opinion of 17 December 2010, cited above, paragraphs 46-47, in which already addressed this issue. This opinion also addresses the so far unresolved question of the nature of the envisaged links between FRONTEX and EUROSUR. 59 Communication, p. 7 60 Communication, p. 7

identifier: EDPS yttrande (2011)

amnesord:
Privacy by Design
Borders, Asylum, Migration

publisher: Europeiska datatillsynsmannen

sprak: en

title: Migration

serie: yttranden

text: Opinion of the European Data Protection Supervisor

type: stycke

text: on the Communication from the Commission to the European Parliament, the Council, the Economic and Social Committee and the Committee of the Regions on migration

text: THE EUROPEAN DATA PROTECTION SUPERVISOR,

text: Having regard to the Treaty on the Functioning of the European Union, and in particular Article 16 thereof,

text: Having regard to the Charter of Fundamental Rights of the European Union, and in particular Articles 7 and 8 thereof,

text: Having regard to Directive

text: of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data,

text: Having regard to

text: Regulation (EC) No 45/2001

text: of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data, and in particular

text: Article 41

text: thereof,

text: HAS ADOPTED THE FOLLOWING OPINION

text: I. Introduction

text: 1. On 4 May 2011, the Commission issued a Communication on migration ("the Communication"). In accordance with

text: Article 41 of Regulation (EC) No 45/2001

text: , the EDPS presents this opinion on his own motion.

text: 2. The EDPS has not been consulted before the adoption of the Communication. This is regrettable, as comments provided at an earlier stage could have helped to address some of the issues outlined in this Opinion. Objectives and scope of the Communication

text: 3. The Communication aims to set recent and future policy proposals in a framework that takes account of all relevant aspects of migration and to avoid "a short-term approach limited to border control without taking account of long-term issues". It is written mostly as a response to current events in North Africa, especially the conflict in Libya.

text: 4. In order to do this, the Communication addresses humanitarian aid, border management, visas, asylum, the economic need for immigration and integration. It refers to a number of legislative proposals, some of which are new, while others have already been tabled. Many of these proposals deal with border management, which forms an important part of the Communication. Some of these would entail large-scale processing of personal data.

text: 5. The Communication is only the first in a number of communications and proposals to be issued in the near future, each elaborating on particular aspects referred to in the present Communication. In this context, the European Council Conclusions of 23-24 June 2011 mention that "efforts will also be strengthened by pushing forward rapidly with work on “smart borders”, to ensure that new technologies are harnessed to meet the challenges of border control. In particular, an entry/exit system and a registered travellers' programme should be introduced. The European Council also welcomes the agreement reached on the agency for the operational management of largescale IT systems in the area of freedom, security and justice". Aim of the Opinion of the EDPS

text: 6. While matters of data protection do not form the heart of the Communication, it nevertheless mentions several initiatives and proposals in the area of border management, such as the entry-exit system and the registered traveller programme, which will have a significant impact on the fundamental right to data protection. In this context, the Communication highlights that border control makes a major contribution in the fight against crime and refers to the Internal Security Strategy presented by the Commission in 2010.

text: 7. Many of the proposals and initiatives mentioned will be elaborated in more detail in the future; the present Communication therefore provides an opportunity to comment on these initiatives at an early stage. For those initiatives that have already been tabled, such as the Proposal for a Regulation amending the FRONTEX Regulation , this presents an opportunity to reiterate some of the most essential comments made on earlier occasions pending the final adoption by the Council and the European Parliament.

text: 8. The aim of this Opinion is not to analyse all policy areas covered and proposals mentioned in the Communication, but to:  address several data protection principles and notions such as purpose limitation, necessity, proportionality, and "privacy by design", which should be taken into account when putting the approach outlined in the Communication into practice;  discuss the specific measures proposed in the Communication from a data protection perspective and provide advice already at this stage on how to ensure proper respect for fundamental rights, in particular the right to the protection of personal data.

text: 9. To this end, the Opinion is divided in two main parts. The first part comments on the general approach taken in the Communication and contains horizontal considerations on the Communication such as the need for evaluation and the implications of fundamental rights for the design of IT systems. The second part contains targeted comments on specific proposals and initiatives. II. General Comments The Communication's approach

text: 10. The EDPS welcomes the Communication's aim to avoid "a short-term approach limited to border control without taking account of long-term 9 issues" . A comprehensive and effective approach to migration cannot only consist of border control, but also has to integrate other aspects.

text: 11. Such a comprehensive approach must respect the fundamental rights of migrants and refugees, including their right to data protection. This is even more important as these groups often find themselves in vulnerable positions.

text: 12. In this context, the Communication mentions that the Union's dual aim must be to maintain high levels of security while also making border crossings simpler for "those who should be admitted, in full respect of their fundamental 10 rights". This formulation could give the impression that the fundamental rights of persons who - for various reasons - should not be admitted need not be respected. According to the EDPS, it is obvious that their rights do not necessarily include the right to settle in EU territory, in which case, appropriate reactions such as return operations would need to be taken, however always respecting fundamental rights.

text: 13. It is noted that in terms of border management, the Communication advocates an approach strongly based on the use of technology. Among others, it is in favour of increased surveillance at the border (see the envisaged European Border Surveillance System EUROSUR). It also envisages exploring the possible establishment of new large-scale IT systems for processing information about travellers (an entry-exit system and a registered traveller programme). Finally, it advocates the expansion of existing systems to new users (i.e. for EURODAC). This focus on technological reflects a general tendency in recent years. Evaluation of existing instruments before proposing new ones and the necessity test

text: 14. The EDPS has on many occasions emphasised that existing instruments should be evaluated before proposing new ones. In this context, recalling the caselaw of the European Court of Human Rights and the European Court of Justice , the EDPS points out that interferences with the right to private life must meet the standard of being "necessary in a democratic society" and comply with the principle of proportionality. The notion of necessity implies a stricter burden of proof than just being "useful". This implies that any relevant proposals have to be accompanied by clear proof of their necessity and proportionality.

text: 15. Such proof should be provided by a privacy impact assessment based on sufficient evidence. A selective use of statistics and estimates is not sufficient. The EDPS is aware that gathering reliable information on phenomena such as irregular migration is difficult; however, these impact assessments would also have to consider alternative solutions to the problems faced in order to minimise the impact on fundamental rights. The mere fact that technological solutions are feasible does not mean that they are necessary and proportionate.

text: 16. If an assessment leads to the conclusion that new large-scale IT systems are needed, the concept of "privacy by design" should be taken into account when designing them. Controllers should be able to demonstrate that appropriate measures have been taken to ensure that privacy requirements have been met in the design of their systems. Doing so may limit the negative impact of new measures on privacy (or enhance the positive impact). This approach has been 21 endorsed by the Commission. Implementing "privacy by design" in the context of systems such as the entry-exit system mentioned in the Communication, would result in restricting the collection of personal data to the minimum necessary, limiting retention periods and making processing privacy friendly and transparent to data subjects.

text: 17. Additionally, the principle of purpose limitation must be adhered too. "Function creep" has to be prevented. For instance, the Communication foresees the reintroduction of the initiative to give law-enforcement agencies access to EURODAC which seems to confirm a tendency to grant access of law enforcement to the EU large-scale systems and raises the issue of the extension of the original purpose of the system. Granting additional authorities access to databases is an issue that may have a serious impact: a database regarded as proportionate when used for one specific purpose can become disproportionate when the use is expanded to other purposes afterwards.

text: 18. Consequently, the EDPS calls for any (current and new) proposals involving restrictions to the fundamental right to data protection to be accompanied by clear proof of their necessity. Furthermore, when large-scale IT systems are deemed necessary, they should be designed with due account to the principle of "privacy by design". Additionally, implemented measures should be regularly evaluated to establish whether they are still necessary. III. Specific Comments EURODAC

text: 19. The Communication refers to law enforcement access to EURODAC, saying that EURODAC, apart from continuing to support the efficiency of the Dublin Regulation, should also be "meeting other needs of law enforcement authorities".

text: 20. The December 2008 proposal for a reform of the EURODAC regulation did not contain provisions for law enforcement access. These were included in a proposal put forward by the Commission in September 2009. In October 2010, the Commission adopted an amended proposal which no longer included provisions for law enforcement access, similar to the original proposal.

text: 21. In his Opinion of 15 December 2010 on Eurodac, the EDPS welcomed the omission of law enforcement access , recalling that such a use for a different purpose must be based on substantial evidence of a link between asylum applicants and terrorism and/or serious crime. Additionally, the precarious situation of asylum seekers has to be taken into account when analysing the necessity and proportionality of such access.

text: 22. The reform of the EURODAC Regulation is part of the establishment of a European asylum system, which according to the Stockholm Programme should be put in place by 2012. One of the reasons given by the Commission for the omission of law enforcement access in the October 2010 proposal was that not including this controversial measure could facilitate a timely adoption of the asylum package. This is also linked to the establishment of the Agency for the operational management of large-scale IT systems in the area of freedom, security and justice.

text: 23. Against this background and in light of previous comments, the EDPS takes the position that until now sufficient clear and reliable evidence of the necessity of the reintroduction of the law enforcement access to Eurodac was not produced. Only after a new impact assessment taking into account privacy concerns, such reintroduction could possibly be contemplated. Moreover, including access for law enforcement authorities would require significant changes to the EURODAC database in order to accommodate such access in a secure manner. The technical and financial implications of this would also need to be addressed in a new impact assessment. .

text: 24. Furthermore, the reintroduction of the proposal might have a significant impact on the timing of the asylum package as a whole. The Commission does not mention a date when a possible new proposal should be put forward; neither does it mention whether such a proposal would be accompanied by a new impact assessment. Entry-exit system

text: 25. The Communication also announces a Communication on smart borders to be issued in September 2011. This Communication is supposed to elaborate on initiatives for an entry-exit system and a registered traveller programme. The Commission acknowledges that these projects would require "substantial investment" in order to ensure "high level standards for the protection of personal data".

text: 26. As regards the entry-exit system, the Commission justifies this initiative by claiming that "over-stay" is "the main source of irregular immigration in the EU". Apart from that, the Communication does not provide explanation as to the purpose of this system.

text: 27. Reducing the number of "overstayers" can certainly have positive effects. The EDPS understands that an entry-exit system could deter third country nationals from overstaying if they know that they are likely to be identified automatically once their visa expires. However, several questions remain.

text: 28. So far, there is no consistent policy relating to the phenomenon of overstaying in the Member States. The concept of "overstaying" in general is not well defined; arriving at a common definition of the term would be a necessary first step towards a clear understanding of the issue .

text: 29. Additionally, any numbers available so far are estimates. The dimension of the problem would need to be clarified as a precondition for a reasoned assessment on necessity.

text: 30. Alerts under Article 96 of the Schengen Implementing Convention are an existing measure for preventing specific persons from entering the Schengen territory. These alerts can be used to stop known "overstayers" from reentering. In a recent Communication, the Commission called on Member States to use this possibility to the fullest extent possible. This implies that the measure is currently not used to its full extent.

text: 31. The entry-exit system would probably also rely on biometrics. While the EDPS acknowledges the possible benefits of the use of biometrics, he is also compelled to point out their weaknesses. Any use of biometrics must be accompanied by stringent safeguards and should take into account the risk of mistake. In this context, the EDPS encourages the establishment of a set of minimum criteria related to the use of biometrics such as reliability of biometrics, targeted impact assessment on biometrics, accuracy and a fallback procedure . Additionally, a certain portion of the population involved does not have fingerprints that could be read by such a system. If the entry-exit system is to include biometrics, it would have to provide for fall-back procedures for these travellers.

text: 32. The EDPS would also like to draw attention to the experiences with regard to US-VISIT (United States Visitor and Immigrant Status Indicator Technology), a similar system in the USA. Under US-VISIT, most third country nationals are obliged to provide biometrics upon entering US territory. The "exit" part of this system is still under development. In 2009, two pilot tests on collecting biometrics for this part of the system were conducted. The Department of Homeland Security acknowledged that the results of these tests were "overstated due to system limitations related to instances where ADIS records did not reflect up-to-date traveller status due to recent changes or extensions of status". The tests also screened passengers against several watch lists; however, "none of the [...] hits would have prevented departure". In total, the Department of Homeland Security has spent about 1.3 billion US$ for developing the entry component of US-VISIT. This raises the question of whether an entry-exit system is a cost-efficient measure to reduce "overstaying".

text: 33. In short, neither the purpose of such a system nor the way it would be constructed and implemented is sufficiently clear. As regards the need for action, there is no clear definition of the central term of "overstaying"; consequently, there are no reliable statistics on the size of the problem. As regards the action to be taken, the existing instruments in place to prevent known "overstayers" from re-entering are probably not used to the extent they should be; additionally, the biometric component of the entry-exit system raises questions. As regards the feasibility and cost of this system, experiences from the USA suggest that an entry-exit system will be expensive to implement. These points cast doubts on the necessity and cost-effectiveness of an entry-exit system. Registered traveller programme

text: 34. The Communication also mentions the introduction of a registered traveller programme. It is not entirely clear what the added value of this system would be, as compared for instance to using multiple-entry visa with a long period of validity. The target groups would be the same (frequent travellers). The fact that there is still "reluctance" to issue such visas cannot on its own serve as a reason to propose new measures instead, when the ones currently in place - if fully used - would allow the same objectives to be met. In light of the above, the EDPS is not fully convinced that the system is really necessary.

text: 35. Moreover, the Communication refers to the concept of "bona fide" travellers (page 11), mostly relating to the registered travellers programme. Implicitly, this wording might be read as creating a class of "mala fide" travellers. Only those travellers taking extra steps, enrolling in the registered travellers programme and supplying additional personal information, would be regarded as "bona fide". The starting assumption would no longer be that travellers in general are to be considered as entering the Union in good faith, unless specific evidence causes suspicion, but that it would be up to travellers to exculpate themselves by supplying additional information about themselves, even in the absence of any evidence. This implies that by declaring only some travellers "bona fide", those who are not willing to provide additional information de facto become labelled "mala fide" although such a refusal to supply additional information can have legitimate reasons, e.g. not travelling frequently. FRONTEX and interagency cooperation

text: 36. The Communication calls for "close interagency cooperation" between Europol, FRONTEX and national customs and police authorities, which is deemed "essential", especially between border control and customs authorities. This cooperation will be supported by proposals on best practices to be put forward during 2012. The Commission also announces a legislative proposal to be put forward during 2011 allowing Member States' agencies carrying out border surveillance to "share operational information and to cooperate with each other and with FRONTEX". Finally, the proposal to update FRONTEX's legal framework in order to "be more effective in terms of its operational capacity" is currently negotiated in Council and European Parliament..

text: 37. With a view to ensuring consistency and creating an added value from a data protection perspective, the respective provisions in the legal bases for concluding possible cooperation agreements and exchanging personal data between FRONTEX and the agencies it shall cooperate with should be coherent and consistent to ensure full cooperation between the bodies in respect of data protection rules.

text: 38. The EDPS reiterates furthermore the points raised in his Opinion on the proposal for a reform of the FRONTEX Regulation , specifically the need for a clear legal basis for the processing of personal data. If FRONTEX is given a mandate to exchange personal data, this should include strong and clear provisions on data subject rights, as well as other safeguards. Any provision allowing FRONTEX to process and/or exchange personal data should be precise and clearly delineated. EUROSUR

text: 39. The Commission also announces a legislative proposal for defining the scope, purpose, and technical and operational framework for the European Border Surveillance System (EUROSUR) for December 2011. This proposal is supposed to ensure "greater use of modern technology at land as well as sea 55 56 borders" as well as the exchange of operational information on incidents. This is also related to FRONTEX, as the Commission plans to put forward another proposal allowing Member States' authorities carrying out border surveillance to share operational information with each other and FRONTEX.

text: 40. It is not clear whether and to which extent this would include processing personal data. The EDPS encourages the Commission to clarify these matters in the proposals to come. European system of border guards

text: 41. The Communication mentions that the feasibility of a European system of border guards should be considered. It is not clear from the text what this system could look like. According to the text, it would not "necessarily" have to be a central administration, which still leaves open the possibility that there could be one. If there is not to be a central administration, the Commission suggests that - among others - "shared capacities" and "practical cooperation" will have to be improved.

text: 42. It is not clear whether this is meant to aim at better implementation of existing measures or if it hints at new, as yet unannounced proposals. Given that "practical cooperation" would likely include the exchange of personal data, which would necessarily have to have a legal basis, this should be specified in future proposals, if the project is to be pursued. IV. Conclusion and recommendations

text: 43. In line with the established case-law of the European Court of Justice and the European Court of Human Rights, the EDPS recalls the requirement of necessity and proportionality for all (current and new) proposals that infringe the fundamental rights to privacy and data protection. For each proposal, necessity would have to be demonstrated by a privacy impact assessment.

text: 44. The principle of "privacy by design" and the purpose limitation principle must be observed when proposing and designing new large-scale IT systems.

text: 45. The EDPS urges that any use of biometrics should be accompanied by stringent safeguards and fall-back procedures for those who cannot enrol. In more general terms, minimum conditions for the use of biometric data should be established.

text: 46. Furthermore, the EDPS urges the Commission to clarify the scope and content of its proposals mentioned in this Opinion. This applies to the announced legislative proposals related to the entry-exit system, the registered traveller programme, EUROSUR, FRONTEX and interagency cooperation, as well as to the Communication on smart borders and the study into a European system of border guards.

text: 47. He also calls on the Commission not to re-introduce the proposal on law enforcement access to Eurodac, unless a new impact assessment would clearly demonstrate the necessity of the proposal including technical and financial implications for the system.

text: 48. The EDPS will closely follow these developments and issue additional comments where appropriate. He is available for further consultations, in the spirit of good cooperation. Done in Brussels, 7 July 2011 (signed) PETER HUSTINX European Data Protection Supervisor

type: vagledning

utgivare: edps


text: INLEDNING 5. Avtalet mellan EU och Australien om PNR-uppgifter är 1.1 Samråd med datatillsynsmannen ytterligare en punkt på EU-agendan, som inkluderar globala riktlinjer för PNR, införande av ett PNR-system för EU och 1. Den 19 maj 2011 antog kommissionen ett förslag till 4 ). förhandlingar om avtal med tredjeländer ( rådets beslut om ingående av avtalet mellan Europeiska unionen och Australien om lufttrafikföretags behandling ( 3 ) KOM(2011) 281 slutlig. ( 4 ) Se särskilt kommissionens meddelande av den 21 september 2010 ( 1 ) EGT L 281, 23.11.1995, s. 31. om en övergripande strategi när det gäller överföring av passagerar ( 2 ) EGT L 8, 12.1.2001, s. 1. uppgifter (PNR-uppgifter) till tredjeländer, KOM(2010) 492 slutlig.

text: ANALYS AV FÖRSLAGET ( 2 ) Artikel 29-arbetsgruppens yttrande 10/2011 av den 5 april 2011 om förslaget till Europaparlamentets och rådets direktiv om använd 2.1 Rättslig grund ning av PNR-uppgifter för att förebygga, upptäcka, utreda och lag föra terroristbrott och grov brottslighet. http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/ 14. Europeiska datatillsynsmannen noterar att avtalet bygger på 2011_en.htm

text: artikel 82.1 d

text: artikel 87.2 a

text: och artikel 218.6 a i fördraget ( 3 ) Europeiska ekonomiska och sociala kommitténs yttrande av den om Europeiska unionens funktionssätt. Datatillsynsmannen 5 maj 2011 om förslaget till Europaparlamentets och rådets direktiv påminner om att de objektiva faktorer till vilka hänsyn om användning av PNR-uppgifter för att förebygga, upptäcka, utreda måste tas vid valet av rättslig grund särskilt inkluderar och lagföra terroristbrott och grov brottslighet, KOM(2011) 32 slut lig. ( 4 ) Yttrande från Europeiska unionens byrå för grundläggande rättighe ( 5 ) Europeiska datatillsynsmannens yttrande av den 25 mars 2011 om ter av den 14 juni 2011 om förslaget till Europaparlamentets och förslaget till Europaparlamentets och rådets direktiv om användning rådets direktiv om användning av PNR-uppgifter för att förebygga, av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra upptäcka, utreda och lagföra terroristbrott och grov brottslighet terroristbrott och grov brottslighet. Se även det yttrande från (KOM(2011) 32 slutlig). artikel 29-arbetsgruppen som nämns ovan.

text: till Europeiska kommissionen behövs ytterligare förkla pen. Yttrande 1/2004 av den 16 januari 2004 om skyddsnivån i Australien vid överföring av PNR-uppgifter från flygbolag,

text: artikel 85

text: ringar om det förfarande som ska följas. Dessutom anser arbetsgruppen. Yttrandet tar hänsyn till att ”tullens allmänna policy är alltså att bevara dessa uppgifter. För de 0,05–0,1 procent av ( 1 ) I detta avseende bör den grundläggande mötesfriheten (artikel 12 i passagerarna som hänvisas till tullen för vidare utvärdering bevaras

text: stadgan om grundläggande rättigheter) inte vattnas ur genom ett flygbolagets PNR-uppgifter tillfälligt men lagras inte, i väntan på att alltför brett förslag. gränskontrollen ska bli klar. Efter kontroll raderas dessa passagerares ( 2 ) Yttrande av den 23 juni 2003 om den skyddsnivå som garanteras i PNR-uppgifter från datorn hos den berörda tulltjänstemannen och

text: Amerikas förenta stater för överföring av passageraruppgifter,

text: . införs aldrig i de australiska databaserna”.

amnesord:
International Agreements
PNR
Transfers of data

sprak: sv

title: PNR - Australia

text: 5.11.2011 Europeiska SV unionens officiella tidning C 322/1

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till rådets beslut om ingående av avtalet mellan Europeiska unionen och Australien om lufttrafikföretags behandling av passageraruppgifter (PNR) och överföring av dessa till Australiens tull- och gränsbevakningsmyndighet

text: (2011/C 322/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA av passageraruppgifter (PNR) och överföring av dessa till YTTRANDE Australiens tull- och gränsbevakningsmyndighet ( 3 ). Försla get sändes till Europeiska datatillsynsmannen den 23 maj.

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel 16, 2. Europeiska datatillsynsmannen hade rådfrågats informellt under maj månad 2011, i samband med en snabbehandling av förslaget om ett avtal mellan Europeiska unionen och Australien om behandling och överföring av passagerarupp med beaktande av Europeiska unionens stadga om de grund gifter (PNR). läggande rättigheterna, särskilt artiklarna 7 och 8,

text: 3. Med tanke på att datatillsynsmannens synpunkter fortsatt är med beaktande av Europaparlamentets och rådets direktiv giltiga när det gäller innehållet i det förslag som kommis

text: av den 24 oktober 1995 om skydd för enskilda sionen antagit och överlämnat till rådet och Europaparla personer med avseende på behandling av personuppgifter och mentet, har datatillsynsmannen beslutat att göra sina iaktta om det fria flödet av sådana uppgifter ( 1 ), och gelser mer allmänt tillgängliga genom ett offentligt ytt rande. På så sätt kan hänsyn tas till iakttagelserna vid kom mande debatter om förslaget. med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så 4. Europeiska datatillsynsmannen utnyttjar detta tillfälle till att dana uppgifter ( 2 ). ta upp ytterligare några frågor och ber rådet och Europa parlamentet att ta hänsyn till dessa synpunkter när de be slutar om förslaget i enlighet med

text: artikel 218 i fördraget om Europeiska unionens funktionssätt

text: . HÄRIGENOM FRAMFÖRS FÖLJANDE. 1.2 Bakgrund C 322/2 SV Europeiska unionens officiella tidning 5.11.2011

text: 6. Europeiska datatillsynsmannen har följt utvecklingen i sam sätt. EU måste se till att EU:s bestämmelser om uppgifts band med PNR noga och har nyligen antagit två yttranden skydd följs, också när europeiska medborgares personupp om kommissionens ”PNR-paket” och om förslaget till ett gifter behandlas och överförs från EU:s territorium till ett direktiv om ett PNR-system för EU ( 1 ). De synpunkter data tredjeland. I dessa fall måste nödvändigheten och propor tillsynsmannen hade på PNR-system kompletterar och sam tionaliteten utvärderas och fastställas innan något avtal kan manfaller till stor del med dem från

text: artikel 29

text: -arbetsgrup skrivas under. Förutom element som stödjer PNR-systemets pen ( 2 ), men också med andra nya dokument, bland annat nödvändighet, krävs det för proportionalitetens skull en Europeiska ekonomiska och sociala kommitténs yttrande ( 3 ) rimlig balans mellan syftet och behandlingen av stora och yttrandet från Europeiska unionens byrå för grundläg mängder data som leder till omfattande intrång i enskildas gande rättigheter ( 4 ). privatliv.

text: 7. Såsom beskrivs närmare nedan har Europeiska datatillsyns mannens konsekventa strategi varit att alltid ställa syftet 11. När det gäller PNR-system är syftet att bekämpa terrorism med PNR-system mot de grundläggande kraven på nödvän och allvarlig (transnationell) brottslighet genom insamling dighet och proportionalitet och att i en andra fas analysera av stora mängder uppgifter för alla passagerare för att bestämmelserna i detalj för att i relevanta fall kunna föreslå kunna riskbedöma dessa passagerare. Hittills har Europeiska förbättringar. datatillsynsmannen inte sett några övertygande argument varken i motiveringarna till befintliga eller planerade PNR-system, t.ex. PNR-systemet för EU som datatillsyns mannen analyserade i detalj i sitt yttrande från mars 2011 ( 5 ). 1.3 Preliminär iakttagelse

text: 8. Europeiska datatillsynsmannen välkomnar den övergripande strategin, som syftar till att harmonisera dataskyddsgaranti erna i de olika PNR-avtalen med tredjeländer. Några iaktta gelser är dock fortfarande aktuella. 12. Om nödvändigheten kan fastställas betonar datatillsyns mannen för övrigt att proportionalitetskravet fortfarande ska uppfyllas. Datatillsynsmannen ifrågasätter balansen mel lan storskalig behandling av personuppgifter och syftet, sär skilt med tanke på den mångfald av brott som innefattas av 9. En konsekvent anmärkning som datatillsynsmannen upp tillämpningsområdet för förslaget till avtal. Datatillsynsman repar i sina yttranden, som återfinns i yttranden från nen beaktar att andra effektiva instrument finns att tillgå artikel 29-arbetsgruppen och som i lika grad gäller PNRför bekämpning av terrorism och grov brottslighet. förslaget för Australien är att PNR-systemens nödvändighet och proportionalitet måste visas.

text: 13. De särskilda synpunkterna nedan påverkar inte denna pre 10. Dessa två grundläggande krav är väsentliga aspekter av liminära och grundläggande iakttagelse. Europeiska datatill bestämmelserna om uppgiftsskydd enligt

text: artiklarna 7

text: och synsmannen välkomnar de bestämmelser som innebär sär 8 i stadgan om de grundläggande rättigheterna och skilda garantier såsom datasäkerhet, genomförande och

text: artikel 16 i fördraget om Europeiska unionen

text: s funktions översyn samt bestämmelser som gäller vidareöverföring. Förutom för systemets nödvändighet och proportionalitet ( 1 ) — Europeiska datatillsynsmannens yttrande av den 25 mars 2011 uttrycker datatillsynsmannen samtidigt också oro för till om förslaget till Europaparlamentets och rådets direktiv om an lämpningsområdet för definitioner och för villkoren för vändning av PNR-uppgifter för att förebygga, upptäcka, utreda lagring av uppgifter. och lagföra terroristbrott och grov brottslighet. — Europeiska datatillsynsmannens yttrande av den 19 oktober 2010 om en övergripande strategi när det gäller överföring av passageraruppgifter (PNR-uppgifter) till tredjeländer. Båda yttrandena finns på http://www.edps.europa.eu/EDPSWEB/edps/ cache/off/Consultation 5.11.2011 Europeiska SV unionens officiella tidning C 322/3 åtgärdens syfte och innehåll ( 1 ). Om bedömningen av en

text: artikel 2

text: (definitioner),

text: artikel 5

text: (tillfredsställande skydds EU-rättsakt visar att det finns två avsikter med akten eller nivå) och artiklarna

text: (säkerhetsbestämmelser vid be att den har två beståndsdelar, och om en av dessa kan handling av passageraruppgifter). identifieras som den huvudsakliga eller avgörande avsikten eller beståndsdelen, medan den andra endast är av under ordnad betydelse, ska rättsakten ha en enda rättslig grund, nämligen den som krävs med hänsyn till den huvudsakliga 18. När det gäller säkerhetsbestämmelser (artiklarna

text: ) bör eller avgörande avsikten eller beståndsdelen ( 2 ). I undantags det noteras att dessa innehåller bestämmelser som är ty fall, om det visas att det finns flera avsikter med rättsakten piska för dataskyddslagstiftning ( 6 ). Det faktum att en rätts som har ett sådant samband att de inte kan åtskiljas, och akt innehåller bestämmelser som är typiska för ett särskilt att den ena inte är sekundär och indirekt i förhållande till lagstiftningsområde ansågs av domstolen vara ett element den andra, ska rättsakten antas med stöd av de motsva som motiverar en särskild rättslig grund ( 7 ). rande rättsliga grunderna ( 3 ).

text: 19. Sammanfattningsvis anser Europeiska datatillsynsmannen att syftet med avtalet snarare än att förbättra polissamarbe 15. Mot bakgrund av fast rättspraxis, som här sammanfattats tet är att bemyndiga och tillåta att privata aktörer överför kort, och bortsett från

text: artikel 218.6 a

text: , hävdar Europeiska personuppgifter efter begäran från ett tredjeland. En sådan datatillsynsmannen att avtalet inte bör bygga på överföring till ett tredjeland skulle i princip vara omöjlig

text: artikel 82.1 d

text: och

text: artikel 87.2 a

text: utan på artikel 16 i för enligt EU-reglerna, men PNR-avtalet syftar till att möjlig draget om Europeiska unionens funktionssätt. göra överföring av personuppgifter på ett sätt som upp fyller EU:s krav på dataskydd genom att särskilda garantier antas.

text: 16. När det gäller syftet bör man komma ihåg att de PNR-avtal som förhandlas av EU alla har utlösts av behovet av att 20. Därför tror Europeiska datatillsynsmannen att avtalet åt förena flygbolagens skyldighet att tillhandahålla PNR-upp minstone primärt borde bygga på artikel 16 i fördraget gifter till tredjeländers myndigheter med den grundläggande om Europeiska unionens funktionssätt ( 8 ). rätten till dataskydd ( 4 ). Vidare hänvisar förslagstexten på många ställen till syftet med skyddet av personuppgifter ( 5 ). 2.2 Syfte och definitioner

text: 21. Europeiska datatillsynsmannen noterar att de syften för 17. När det gäller innehållet är det givet att bestämmelserna om vilka PNR-uppgifter kan behandlas definieras exakt i dataskydd dominerar avtalet. Bortsett från artiklarna

text: artikel 3 i förslaget. Han beklagar dock att de aktuella och 6 förefaller dataskyddet genomsyra nästan alla bestäm definitionerna är vidare än definitionerna i förslaget till melser i avtalet. Detta är uppenbart i

text: artikel 1

text: (syfte), ett direktiv om ett PNR-system för EU, som dessutom i sig borde ha snävats in, särskilt när det gäller mindre grova ( 1 )

text: Mål C-491/01

text: , British American tobacco, särskilt punkterna 92–93. brott. ( 2 )

text: Mål C-42/97

text: , Europaparlamentet mot rådet, punkterna 39 och 40. ( 3 ) Se, för ett liknande resonemang,

text: mål C-491/01

text: , British American tobacco, punkterna 92–93 och

text: mål C-42/97

text: , Europaparlamentet mot rådet, punkt 38. ( 4 ) Detta erkänns av domstolen i den del som avser sakförhållandena i 22. I förslaget om ett PNR-system för EU tas hänsyn till kon PNR-avgörandena i de förenade målen

text: och

text: , sekvenserna av verksamheter som definiera som ”terro punkt 33. rism”, t.ex. konkret skada på personer eller regeringar ( 5 ) — I motiveringen tas det upp att EU:s bestämmelser om uppgifts (dödsfall, angrepp på den fysiska integriteten, förstörelse skydd inte tillåter att lufttrafikföretag överför PNR-uppgifter till länder som inte kan garantera en tillräcklig skyddsnivå. Därmed av transportsystem, infrastruktur osv.), medan föreliggande ”krävs en lösning som kan utgöra rättslig grund för överföring förslag är mindre specifikt och mer orienterat mot syftet […] i syfte att garantera […] respekten för enskildas rätt till när det hänvisar till hot mot enskilda eller regeringar eller skydd av personuppgifter”. allvarlig destabilisering av grundläggande politiska eller eko — Syftet med att garantera respekten för enskildas rätt till skydd av nomiska strukturer. personuppgifter framgår också tydligt i ingressen, nämligen i det skäl där

text: artikel 6 i EU-fördraget

text: , artikel 16 i fördraget om Eu ropeiska unionens funktionssätt, artikel 8 i konventionen om ( 6 ) Såsom bestämmelser om känsliga uppgifter, datasäkerhet, ansvarig skydd för de mänskliga rättigheterna, konvention 108 osv. cite het, öppenhet, rätt till tillgång, rättelse och radering, rätt till pröv ras. ning, automatisk behandling osv. — I ingressen citeras också relevanta bestämmelser om uppgifts ( 7 ) Yttrande 2/2000, Cartagenaprotokollet, punkt 33. skydd i australisk lag och erkänns det att dessa bestämmelser ( 8 ) I detta sammanhang bör det även hänvisas till deklaration 21 till reglerar dataskydd, rätt till tillgång och prövning, möjligheter till Lissabonfördraget om skydd av personuppgifter inom områdena rättelse och tillägg samt rättsmedel och påföljder vid missbruk av straffrättsligt samarbete och polissamarbete. Den tydliga lydelsen i personuppgifter. deklaration 21 bekräftar att ett instrument för dataskydd inom detta — I artikel 1 i avtalet – med titeln ”Avtalets syfte” – anges det att område fortfarande bör bygga på artikel 16 i fördraget om Europe avtalet behandlar överföring av PNR-uppgifter. Vidare anges det iska unionens funktionssätt (i tillämpliga fall med andra bestämmel att i ”avtalet fastställs de villkor under vilka sådana uppgifter får ser), även i fall där ett visst inslag av polissamarbete föreligger. överföras och användas samt det sätt på vilket uppgifterna skall Denna analys påverkar inte alls arbetsdelningen inom Europeiska skyddas” (kursivering tillagd). kommissionen. C 322/4 SV Europeiska unionens officiella tidning 5.11.2011

text: 23. Europeiska datatillsynsmannen anser att en ytterligare pre datatillsynsmannen att även dataskyddsmyndigheterna är cisering behövs i förhållande till begreppen ”hota, förmå relevanta mottagare av denna typ av uppgifter och att detta eller tvinga” samt av ”ett lands eller en internationell orga bör nämnas uttryckligen i förslaget nisations grundläggande politiska, konstitutionella, ekono miska eller (särskilt) sociala strukturer”. Detta skulle för hindra att PNR-systemet tillämpas i fall som det inte under 2.5 Översyn och verkställighet några omständigheter bör vara riktat mot, såsom laglig verksamhet (t.ex. fredliga demonstrationer) i ett socialt, kul 28. Övervakningssystemet, inklusive åtgärder för översyn och turellt eller politiskt sammanhang ( 1 ). ansvarighet och med betoning på frånvaron av diskrimine ring baserad på nationalitet eller bostadsort, är välkommet. Europeiska datatillsynsmannen ger också starkt stöd för den enskildes grundläggande rätt till administrativ prövning och 24. Möjligheten att behandla data i andra undantagsfall ger ett effektivt rättsskydd. Han anser att den australiska datas upphov till ytterligare frågor, särskilt eftersom möjligheten kyddsmyndighetens roll är en viktig garanti när det gäller innefattar ”hot mot hälsan”. Europeiska datatillsynsmannen möjligheterna till prövning och de registrerades utövande anser att en sådan utvidgning av syftet är oproportionerlig, av sina rättigheter. särskilt eftersom alternativa och mer specifika förfaranden kan finnas för att hantera betydande hot mot hälsan där så krävs och från fall till fall. Dessutom är PNR-uppgifter inte 2.6 Beslut som bygger på automatisk behandling av det lämpligaste verktyget för att identifiera passagerare: det uppgifter finns mer tillförlitliga uppgifter, bland annat förhandsinfor mation om passagerarna. 29. Enligt

text: artikel 15

text: , tolkad e contrario, kan ett beslut som inte ”avsevärt påverkar eller innebär negativa rättsliga verkningar för en passagerare” fattas på grundval av automatisk be handling av uppgifter. Garantierna gäller bara när beslutet skulle påverka passageraren avsevärt. Med tanke på det 25. Europeiska datatillsynsmannen noterar också att förteck breda tillämpningsområdet för automatisk behandling av ningen över PNR-uppgifter som finns som bilaga till för personuppgifter som PNR-systemet innebär är denna be slaget går utöver vad dataskyddsmyndigheterna har ansett gränsning enligt Europeiska datatillsynsmannens uppfatt vara proportionerligt enligt yttrandena från

text: artikel 29

text: -ar ning tveksam. För att undvika en alltför flexibel tolkning betsgruppen ( 2 ). Förteckningen bör kortas. Särskilt gäller av denna bestämmelse rekommenderar datatillsynsmannen att fältet ”Allmänna kommentarer”, som kan innehålla irre att ”avsevärt” stryks och att det säkerställs att inga beslut levanta – och potentiellt känsliga – uppgifter, inte är mo över huvud taget som bygger på automatisk behandling av tiverat och bör uteslutas. uppgifter tillåts få negativa verkningar för enskilda. 2.7 Lagring av uppgifter 2.3 Känsliga uppgifter

text: 30. Europeiska datatillsynsmannen anser att tidsgränsen i 26. Europeiska datatillsynsmannen välkomnar att behandling av

text: artikel 16

text: för lagring av uppgifter är en av de största svå känsliga uppgifter utesluts från tillämpningsområdet, såsom righeterna med förslaget. En lagringstid på fem och ett anges i artikel 8 i förslaget. Denna bestämmelse är dock halvt år, inklusive tre år utan någon maskering av upp fortfarande formulerad så att känsliga uppgifter kan ”be gifterna, är tveklöst oproportionerligt, särskilt om lagrings handlas”. Bestämmelsen tillåter att uppgifterna i en första tiden jämförs med det föregående australiska PNR-systemet, fas skickas av flygbolagen. Därefter raderas uppgifterna av enligt vilket inga uppgifter lagrades annat än från fall till offentliga myndigheter i en andra fas. Flygbolagens sänd fall ( 3 ). En omfattande motivering bör presenteras som för ning är en del av behandlingen. Europeiska datatillsynsman klarar varför en så lång lagringstid behöver föreskrivas nu, nen anser att flygbolagen bör vara skyldiga att filtrera bort när det inte ansågs nödvändigt i det första australiska PNRkänsliga uppgifter vid källan till behandlingen. systemet.

text: 31. I linje med den ståndpunkt som datatillsynsmannen hävdar 2.4 Datasäkerhet i sitt yttrande om förslaget till ett direktiv om ett PNR- 27. Förslaget innehåller i

text: artikel 9

text: en fyllig bestämmelse om system för EU anser han att en fullständig (dvs. oåterkalle datasäkerhet och dataintegritet, vilket är välkommet. Euro lig) anonymisering av alla uppgifter bör äga rum, om inte peiska datatillsynsmannen stödjer särskilt skyldigheten att omedelbart efter analys så efter högst 30 dagar. rapportera säkerhetsbrister till den australiska dataskydds myndigheten. När det gäller vidarebefordran av uppgifter ( 3 ) Se i detta avseende det positiva yttrandet från

text: artikel 29

text: -arbetstrup 5.11.2011 Europeiska SV unionens officiella tidning C 322/5 2.8 Vidareöverföring ning till att en överföring i undantagsfall inte skulle vara föremål för de garantier som föreskrivs i artikel

text: och

text: . Garantierna i artiklarna

text: och

text: är välkomna, särskilt

text: artikel 19

text: , särskilt när det gäller ändamålsbegränsning eller med tanke på att de föreskriver en förteckning över mot dataminimering, och även omfattas av skyddet av motta tagare av data som överförs inom Australien, att uppgifter garnas identitet och den skyddsnivå som tillämpas för per får utbytas endast från fall till fall och att endast uppgifter sonuppgifter. som visas vara nödvändiga får utbytas. Europeiska datatill synsmannen noterar dock att denna bestämmelse kan kringgås genom undantaget i

text: artikel 18.1 c

text: , som tillåter delning av avpersonaliserade uppgifter även på annat sätt än från fall till fall. Avpersonalisering innebär dock inte att 2.9 Flygbolags överföring element som möjliggör identifiering raderas utan bara att dessa maskeras, samtidigt som tillgång till de fullständiga 36. Enligt

text: artikel 21.3

text: kan PNR-uppgifter i särskilda fall, när ett uppgifterna fortfarande är möjlig. Därför rekommenderar specifikt hot föreligger, överföras till myndigheter mer än Europeiska datatillsynsmannen att inga undantag tillåts fem gånger i samband med varje flygning. För att öka den från principen ”fall till fall” för utbyte av uppgifter. Som rättsliga förutsebarheten bör villkoren för sådana ytterligare en ytterligare garanti föreslår datatillsynsmannen att utbytet överföringar beskrivas närmare och bland annat inkludera av uppgifter begränsas till myndigheter ”som har till uppgift skärpta krav på att ett omedelbart hot ska föreligga. att bekämpa terrorism eller transnationell brottslighet” i stället för till de myndigheter som ”direkt arbetar med att förebygga (dessa) brott”. 2.10 Översyn av avtalet

text: 37. Europeiska datatillsynsmannen anser att villkoren för över synen ska vara mer detaljerade i flera avseenden. Frekven 33. Europeiska datatillsynsmannen stödjer att överföringar till sen för översyner efter den inledande bör anges. Dessutom tredjeländer är föremål för villkoret att de ger ”samma” bör det inte bara vara möjligt för dataskyddsmyndigheterna dataskyddsgarantier som det ursprungliga avtalet. Med att ingå i översynsgruppen utan de bör uttryckligen ingå. tanke på att ytterligare överföringar ändå medför en förlust av kontroll av hur uppgifter kan behandlas, och eftersom ett internationellt avtal som garanterar en effektiv tillämp ning av dessa nya mottagares dataskyddsgarantier saknas, föreslår Europeiska datatillsynsmannen dessutom att dessa 38. Europeiska datatillsynsmannen föreslår också att översynen överföringar ska kräva förhandsgodkännande av domstol. fokuseras på att bedöma åtgärdernas nödvändighet och proportionalitet genom att statistik samlas in om hur många enskilda som påverkas och faktiskt döms på grund val av PNR-uppgifter och på ett effektivt utövande av de registrerades rättigheter: bedömningen bör inbegripa kont roll av hur de registrerades begäranden behandlas i prakti 34. Förslaget föreskriver att när uppgifter om en person som är ken, särskilt när ingen direkt tillgång har tillåtits. varaktigt bosatt i en EU-medlemsstat överförs till ett tredje land ska den berörda medlemsstaten informeras i de fall då Australiens tull- och gränsbevakningsmyndigheten känner till denna situation (

text: artikel 19.1 f

text: ). Europeiska datatillsyns mannen anser att ytterligare information bör inkluderas 3. SLUTSATS som förklarar syftet med en sådan överföring till en med lemsstat. Om en sådan överföring av uppgifter skulle in 39. Europeiska datatillsynsmannen välkomnar de dataskydds verka på den registrerade bör en ytterligare motivering och garantier som föreskrivs i förslaget, särskilt när det gäller fler dataskyddsgarantier inkluderas. avtalets konkreta tillämpning. Särskilt bestämmelserna om datasäkerhet, övervakning och verkställighet har utvecklats på ett tillfredsställande sätt. Europeiska datatillsynsmannen betonar att den enskilde har tillgång såväl till den austra liska dataskyddsmyndigheten som till de australiska rättsliga myndigheterna. Detta ingår i de väsentliga garantier som 35. När det gäller överföringar inom Australien och till tredje förslaget innehåller. länder innehåller slutligen både

text: artikel 18

text: och

text: artikel 19

text: en allmän bestämmelse enligt vilken det inte finns några hin der för att PNR-uppgifter avslöjas när detta är nödvändigt enligt

text: artikel 3.4

text: ( 1 ), eller med andra ord i undantagsfall om detta är nödvändigt för att skydda någon individs vitala 40. Europeiska datatillsynsmannen har dock också identifierat intressen, inklusive att undgå hot mot hälsan. Europeiska ett betydande utrymme för förbättringar, särskilt när det datatillsynsmannen har redan tagit upp risken för en bred gäller avtalets tillämpningsområde, definitionen av terro tolkning av detta undantag. Dessutom ser han ingen anled rism och att vissa exceptionella syften inkluderas samt lag ringstiden för PNR-uppgifter. Jämfört med det föregående ( 1 ) Liksom i enlighet med

text: artikel 10

text: när uppgifter överförs inom Au australiska PNR-systemet, och även med förslaget om ett stralien. PNR-system för EU, är lagringstiden oproportionerligt lång. C 322/6 SV Europeiska unionens officiella tidning 5.11.2011

text: 41. Den rättsliga grunden till avtalet bör övervägas på nytt. Mot gande rättigheter och artikel 16 i fördraget om Europeiska bakgrund av fast rättspraxis, och bortsett från unionens funktionssätt kan ett förslag uppfylla övriga krav

text: artikel 218.6 a

text: , menar Europeiska datatillsynsmannen att enligt ramen för dataskydd. avtalet i vilket fall primärt bör bygga på artikel 16 i för draget om Europeiska unionens funktionssätt och inte på 43. Därför drar Europeiska datatillsynsmannen också slutsatsen

text: artikel 82.1 d

text: och artikel 87.2 a i det fördraget. Detta är att mer uppmärksamhet bör ägnas åt dessa grundläggande helt i linje med deklaration 21 till Lissabonfördraget. krav i samband med de slututvärderingar som kommer att föregå ingåendet av avtalet.

text: 42. Dessa iakttagelser bör betraktas i det större sammanhang som utgörs av legitimiteten hos PNR-system i allmänhet, Utfärdat i Bryssel den 15 juli 2011. sett som en systematisk insamling av passageraruppgifter för riskbedömningsändamål. Endast om systemet respekte Peter HUSTINX rar de grundläggande kraven på nödvändighet och propor tionalitet enligt artiklarna

text: och

text: i stadgan om grundläg Europeiska datatillsynsmannen


text: Giovanni BUTTARELLI 16. Datatillsynsmannen välkomnar att det i förslaget särskilt hänvisas till direktiv

text: . Däremot föreslås några Biträdande Europeisk datatillsynsman

text: ( 1 ) Detta begrepp bör tolkas som tillgång för en godkänd kreditgivare

text: vid vilken tidpunkt som helst. ( 2 ) Se

text: artikel 7 b i direktiv 95/46/EG

amnesord:
Consumers
Finance & Economy
Internal Market

title: Credit agreements relating to residential property

text: 23.12.2011 Europeiska SV unionens officiella tidning C 377/5

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets direktiv om bostadslåneavtal

text: (2011/C 377/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA förslaget antogs, gett datatillsynsmannen möjlighet att YTTRANDE lämna informella synpunkter. Europeiska datatillsynsman nen välkomnar öppenheten i processen, som har bidragit till att på ett tidigt stadium göra texten bättre ur datas med beaktande av fördraget om Europeiska unionens funktions kyddssynpunkt. Kommissionen har i förslaget tagit hänsyn sätt, särskilt artikel 16, till vissa av datatillsynsmannens synpunkter. Europeiska da tatillsynsmannen välkomnar den uttryckliga hänvisningen till det aktuella samrådet i förslagets ingress. med beaktande av Europeiska unionens stadga om de grund läggande rättigheterna, särskilt artiklarna 7 och 8, 1.2 Allmän bakgrund

text: med beaktande av Europaparlamentets och rådets direktiv 3. I förslaget avses med ansvarsfull utlåning den omsorg kre

text: av den 24 oktober 1995 om skydd för enskilda ditgivare och kreditförmedlare visar när det gäller att låna personer med avseende på behandling av personuppgifter och ut belopp som konsumenterna har råd med och som är om det fria flödet av sådana uppgifter ( 1 ), och anpassade efter deras behov och omständigheter. Begreppet ansvarsfull utlåning innebär att konsumenterna bör lämna relevant, fullständig och korrekt information om sin ekono med beaktande av Europaparlamentets och rådets förordning miska situation och uppmuntras att fatta väl underbyggda

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för och hållbara beslut. enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så dana uppgifter ( 2 ), särskilt

text: artikel 28.2

text: . 4. I förslaget nämns en rad faktorer som inverkar vid beslutet om att bevilja ett hypotekslån och vid låntagarens slutliga val av låneprodukt, och även låntagarens förmåga att betala HÄRIGENOM FRAMFÖRS FÖLJANDE tillbaka lånet. Hit hör bland annat det ekonomiska klimatet, skillnader i synen på informationsbehov, intressekonflikter, luckor och inkonsekvenser i lagstiftningen samt andra fak

text: 1. INLEDNING torer som låntagarens förmåga att förstå finansiell infor mation och hypoteksfinansieringsstrategier. Enligt förslaget 1. Den 31 mars 2011 antog kommissionen ett förslag till var vissa marknadsaktörers oansvariga beteende en av or Europaparlamentets och rådets direktiv om bostadslåneavtal sakerna till finanskrisen, varför oansvarig utlåning och oan (nedan kallat förslaget). svarigt låntagande står i fokus för lagstiftningsinitiativet i syfte att undvika en upprepning av den finansiella krisen.

text: 1.1 Samråd med Europeiska datatillsynsmannen

text: 2. Kommissionen skickade förslaget till Europeiska datatill 5. Därför innefattar förslaget krav på tillsyn och övervakning synsmannen den 31 mars 2011. Datatillsynsmannen tolkar av kreditgivare samt skyldigheter och rättigheter för lånta detta som en begäran om att ge råd till gemenskapsinsti gare i syfte att skapa en tydlig rättslig ram som ska skydda tutioner och gemenskapsorgan i enlighet med artikel 28.2 i bostadslånemarknaden i EU mot de skadliga effekter som förordning

text: (EG) nr 45/2001

text: av den 18 december 2000 om uppstod under finanskrisen. skydd för enskilda då gemenskapsinstitutionerna och ge menskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (nedan kallad förordning

text: (EG) nr 45/2001

text: ). Kommissionen har tidigare ( 3 ), innan 1.3 Förhållande till EU:s uppgiftsskydd

text: 1 6. Förslaget omfattar ett begränsat antal verksamheter som är ( ) EGT L 281, 23.11.1995, s. 31 (nedan kallat direktiv

text: ). ( 2 ) EGT L 8, 12.1.2001, s. 1. relevanta för EU:s bestämmelser om uppgiftsskydd. De ( 3 ) I december 2010. handlar främst om hur kreditgivare och kreditförmedlare

text: C 377/6 SV Europeiska unionens officiella tidning 23.12.2011

text: ska använda den s.k. kreditdatabasen för att bedöma kon 2.2 Sökning i kreditdatabasen sumenters kreditvärdighet och om hur konsumenter ska lämna information till kreditgivare eller kreditförmedlare. 11. Kreditdatabasen nämns första gången i skäl 27 där det framhålls att den är till nytta vid bedömningen av kredit värdighet och även under lånets löptid. I skälet anges också att konsumenterna i enlighet med direktiv

text: bör 7. Datatillsynsmannen välkomnar att förslagets nuvarande text underrättas om att kreditdatabasen utnyttjas och bör ha rätt innefattar viktiga hänvisningar till gällande bestämmelser att få tillgång till databasen för att rätta, utplåna eller bloc om uppgiftsskydd, men vill påpeka att det behövs vissa kera personuppgifter om dem i databasen. I

text: artikel 14

text: in förtydliganden. Å ena sidan bör förslaget inte innehålla förs särskilda skyldigheter för kreditgivaren i fråga om ett alltför detaljerade bestämmelser om respekten för princi eventuellt avslag på en kreditansökan, särskilt i samband perna om uppgiftsskydd, eftersom denna garanteras i och med en sökning i kreditdatabasen. med att all uppgiftsbehandling omfattas av de nationella lagar som genomför direktiv

text: . Å andra sidan fö reslår datatillsynsmannen vissa förbättringar av texten för att förtydliga den och för att undvika att kriterier för att fastställa åtkomsträttigheter till kreditdatabasen underställs 12. Mer allmänna bestämmelser om kriterier för tillgång till delegerad lagstiftning. databaser fastställs i

text: artikel 16

text: Artikel 16

text: är väldigt allmänt formulerad. (”Varje medlemsstat ska säkerställa att alla kre ditgivare kan få icke-diskriminerande tillgång till databaser som i den medlemsstaten används för att bedöma […] 2. ANALYS AV FÖRSLAGET kreditvärdighet och övervaka konsumenters fullgörande av kreditvillkoren […].”) Det anges inte i texten huruvida da 2.1 Hänvisning till direktiv

text: och skyldigheten tabaserna bör vara särskilt framtagna för den här typen av

text: att bedöma en konsuments kreditvärdighet

text: kreditprövningar, vem som är ansvarig för databasen, vilka Skäl 30 slags uppgifter som kan finnas i databasen, vad ”övervak ning” av konsumenters fullgörande innebär osv. Datatill 8. Datatillsynsmannen välkomnar att förslaget innefattar en synsmannen förstår att kreditdatabaser har olika struktur hänvisning till direktiv

text: i ingressen till direktivet. och är upprättade inom olika rättsliga ramar i de olika I skäl 30 beskrivs den allmänna tillämpningen av direktiv medlemsstaterna och att en fullständig harmonisering av

text: på behandlingen av uppgifter i samband med ovannämnda kriterier ligger utanför direktivets räckvidd. bedömningen av konsumenters kreditvärdighet. Förslaget bör dock syfta till att införa harmoniserade villkor för tillgång till databasen så att till exempel en kreditgivare i Belgien kan få tillgång till kredithistoriken för en kon sument i Italien (trots att de belgiska och italienska databa 9. För att återspegla att all uppgiftsbehandling måste utföras i serna kan vara olika) på samma villkor som italienska kre enlighet med tillämpningsföreskrifterna och att det är lämp ditgivare, om konsumenten ansöker om ett hypotekslån i ligt att hänvisa de olika nationella lagar som införlivar detta Belgien. Kriterierna för harmoniserad tillgång ska specifice direktiv bör det läggas till en allmän artikel enligt följande i ras närmare i delegerade akter från kommissionen (se förslaget: ”All behandling av personuppgifter enligt det här

text: artikel 16.2

text: ). Datatillsynsmannen noterar också hänvis direktivet ska utföras i enlighet med gällande nationell lags ningen till direktiv

text: i

text: artikel 16.4

text: ( 1 ). tiftning om tillämpning av direktiv

text: .” Om en så dan artikel införs kan de specifika hänvisningarna till direk tivet i artiklarna

text: och

text: tas bort.

text: 13. Datatillsynsmannen har redan framfört sin åsikt att åtgärder som får väsentlig inverkan på invånarnas privatliv inte bör

text: Artikel 14

text: behandlas i delegerad lagstiftning. Detaljerna kan mycket 10. Enligt artikel 14 i förslaget ska kreditgivare vara skyldiga att väl utvecklas i sådan lagstiftning, men de viktigaste effek göra en grundlig bedömning av konsumentens kreditvär terna för invånarna bör vara tydliga och överenskomna i dighet. Bedömningen bör baseras på kriterier som kon den lagstiftning som antas enligt det ordinarie lagstiftnings sumentens inkomst, besparingar, skulder och andra ekono förfarandet. Ur ett uppgiftsskyddsperspektiv är datatillsyns miska förpliktelser. Denna skyldighet kan få betydande in mannen särskilt oroad över den uppenbara motsägelsen verkan på enskildas privatliv när de ansöker om kredit, mellan (ett ännu inte identifierbart antal) kreditgivares ge eftersom kreditgivaren kan få möjlighet att bedöma ett nerella möjlighet att göra sökningar i databasen enligt flertal typer av information och en stor mängd uppgifter.

text: artikel 16

text: och den ”lätta” skyldighet som införs enbart Därför välkomnar datatillsynsmannen införandet av specifi genom skäl 27, nämligen att ”[konsumenter ska] underrät kationer i texten i fråga om att begränsa kreditgivarens tas om en databas används” och ”ska […] få tillgång till sökning till den ”nödvändiga” information som kreditgiva uppgifterna […] rätta, utplåna eller blockera personuppgif ren har erhållit. I artikel fastställs i allmänna ordalag att ter om dem […]”. Datatillsynsmannen anser att den regi denna information enbart får erhållas från ”relevanta in strerades konkreta möjlighet att utnyttja sina rättigheter terna eller externa källor”. Datatillsynsmannen välkomnar enligt direktiv

text: är beroende av möjligheten att den uttryckliga hänvisningen till de principer om nödvän identifiera möjliga mottagare av de personuppgifter som dighet och proportionalitet som anges i

text: artikel 6 i direktiv 95/46/EG

text: , men föreslår ändå att det, så långt det är möjligt, 1 ( ) Där står det att artikeln inte ska ”påverka tillämpningen av Europa ska göras en mer detaljerad specifikation av vilka källor parlamentets och

text: rådets direktiv 95/46/EG

text: […]”. Se emellertid punkt som information får hämtas från. 9 där det föreslås en ändring av denna artikel.

text: 23.12.2011 Europeiska SV unionens officiella tidning C 377/7

text: kreditdatabsen innehåller. Effekten av hänvisningen till de mindre justeringar av texten för att förtydliga hur princi rättigheter som fastställs i direktiv

text: kan alltså upp perna om uppgiftsskydd ska tillämpas på de behandlings hävas av att den registrerade inte har möjlighet att tydligt operationer som omfattas av förslaget. Särskilt gäller föl och i förebyggande syfte identifiera vilka fysiska och juri jande: diska personer som kan få tillgång till databasen.

text: — För att bättre avspegla att de nationella lagar som ge 14. Därför föreslår datatillsynsmannen vissa justeringar av tex 1 nomför direktiv

text: bör användas som referens ten till direktivet för att avhjälpa dessa brister. All ( ) till och betona att all uppgiftsbehandling måste utföras i gång till databasen bör omfattas av följande villkor, som enlighet med den lagstiftningen föreslår datatillsyns bör införas i

text: artikel 16

text: : (i) Definition av kriterierna för att mannen att en ny artikel som särskilt uttrycker detta ge kreditgivare eller kreditförmedlare tillgång till databasen införs. Då skulle det också gå att ta bort andra hänvis och framför allt förtydligande av huruvida enbart kreditgi ningar till direktiv

text: i förslagets text. vare eller kreditförmedlare som har slutit avtal med kon sumenten eller som uppmanas av konsumenten att vidta åtgärder för att ingå avtalsförbindelser med denne ( 2 ) kan få — Det bör mer detaljerat anges i förslaget från vilka källor tillgång till konsumentens uppgifter. (ii) Skyldighet att i information om kreditgivarens kreditvärdighet får häm förväg underrätta konsumenten om att en viss kreditgivare tas. eller kreditförmedlare har för avsikt att ta del av konsumen tens personuppgifter i databasen. (iii) Skyldighet att sam tidigt underrätta konsumenten om dennes rätt att få till — Definitionen av kriterierna för att få göra sökningar i gång till, rätta, blockera eller utplåna de uppgifter som databasen och skyldigheterna att underrätta den regi databasen innehåller, i enlighet med principerna i direktiv strerade om sina rättigheter innan sökningar görs i da

text: . tabasen bör införas i förslaget för att på så sätt säker ställa att den registrerade får konkret och faktisk möj 15. Om sådana allmänna kriterier och skyldigheter införs i lighet att utöva sina rättigheter. texten kan den särskilda bestämmelsen i

text: artikel 14.2 c

text: och skäl 29 om skyldigheten att underrätta konsumenten om tillgång till databasen om en kreditansökan avslås tas bort ur texten. Utfärdat i Bryssel den 25 juli 2011.