text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA YTTRANDE

text: HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: INLEDNING 1.1 Samråd med datatillsynsmannen 1. Den 12 oktober 2011 antog kommissionen följande förslag (nedan kallade förslagen) om den gemen samma jordbrukspolitiken (nedan kallad GJP) efter 2013. Förslagen översändes till Europeiska datatill synsmannen för samråd samma dag.

text: ( 5 ) KOM(2011) 627 slutlig. ( 6 ) KOM(2011) 628 slutlig. ( 7 ) KOM(2011) 629 slutlig. ( 8 ) KOM(2011) 630 slutlig. ( 9 ) KOM(2011) 631 slutlig. ( 10 ) EU-domstolen, 9 november 2010, Volker und Markus Schecke,

text: och

text: ANALYS AV FÖRSLAGEN

text: ( 11 ) Många av dessa bestämmelser ingår redan i den gällande rättsliga ramen. ( 12 ) KOM(2011) 625 slutlig: skäl 42, KOM(2011) 626 slutlig: skäl 137, KOM(2011) 627 slutlig: skäl 67, KOM(2011) 628 slutlig: skäl 69. ( 13 ) Se bland annat artikel 157 i enda förordningen om de gemensamma organisationerna av marknaden, avdelning VII (Övervakning och utvärdering) och artiklarna

text: och

text: i förordningen om landsbygdsutveckling samt artiklarna

text: och avsnitt V, kapitlen II och III i den horisontella förordningen. ( 14 ) Se även yttrandet från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förslag om ändring av direktiven

text: och

text: vad avser sammankoppling av centrala register, handelsregister och företagsregister (EUT C 220, 26.7.2011, s. 1), avsnitt 3.2, yttrandet från Europeiska datatillsyns mannen om förslaget till Europaparlamentets och rådets förordning om OTC-derivat, centrala motparter och trans aktionsregister (EUT C 216, 22.7.2011, s. 9), punkterna 13, 28 och 30 och yttrandet från Europeiska datatillsyns mannen om förslaget till Europaparlamentets och rådets direktiv om bostadslåneavtal, punkterna 7, 12 och 13, som alla finns på http://www.edps.europa.eu ( 15 ) Se bland annat artiklarna

text: och

text: i förordningen om landsbygdsutveckling. ( 16 ) Se artikel 70.1 och 72.2 i den horisontella förordningen.

text: ( 17 )

text: Artikel 10.5 i förordning (EG) nr 45/2001

text: och

text: artikel 8.5 i direktiv 95/46/EG

text: . ( 18 )

text: Artikel 27.2 i förordning (EG) nr 45/2001

text: och

text: artikel 20 i direktiv 95/46/EG

text: . ( 19 ) Syftet med dessa kommunikationskrav är att „tillämpa denna förordning, övervaka, analysera och förvalta marknaden för jordbruksprodukter, säkerställa insyn på marknaden och säkerställa att åtgärderna inom den gemensamma jord brukspolitiken fungerar tillfredsställande, att kontrollerna, övervakningen, utvärderingen och revisionen av åtgärderna inom den gemensamma jordbrukspolitiken fungerar korrekt och för att genomföra internationella avtal, även anmäl ningsplikten enligt de avtalen” (se första stycket i

text: artikel 157.1

text: ). ( 20 ) Utbyte av information för likartade ändamål behandlas redan i gällande lagstiftning (se t.ex.

text: artikel 36 i rådets förordning (EG) nr 1290/2005 av den 21 juni 2005

text: om finansieringen av den gemensamma jordbrukspolitiken (nedan kallad ”förordningen om finansieringen av den gemensamma jordbrukspolitiken”) (EUT L 209, 11.8.2005, s. 1) och

text: artikel 192 i rådets förordning (EG) nr 1234/2007 av den 22 oktober 2007

text: om upprättande av en gemensam organisation av jordbruksmarknaderna och om särskilda bestämmelser för vissa jordbruksprodukter (EUT L 299, 16.11.2007, s. 1)). ( 21 ) Se även yttrandet från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) (KOM(2005) 236 slutlig) och förslaget till Europaparlamentets och rådets förordning om tillträde till andra generationen av Schengens informationssystem (SIS II) för de enheter i medlemsstaterna som ansvarar för att utfärda registreringsbevis för fordon (KOM(2005) 237 slutlig) (EUT C 91, 19.4.2006, s. 38), särskilt punkt 10, yttrandet från Europeiska datatillsyns mannen – om kommissionens meddelande till Europaparlamentet och rådet – ”Översikt av informationshanteringen inom området med frihet, säkerhet och rättvisa”, särskilt punkterna 47-48 och Europeiska datatillsynsmannens kommentarer till kommissionens meddelande om interoperabilitet mellan EU:s databaser av den 10 mars 2006, som alla finns på http://www.edps.europa.eu ( 22 ) Se

text: artikel 4.1 b i förordning (EG) nr 45/2001

text: samt de nationella bestämmelser som införlivar

text: artikel 6.1 a i direktiv 95/46/EG

text: ( 23 ) Fastställs redan i

text: artikel 14 i rådets förordning (EG) nr 73/2009 av den 19 januari 2009

text: om upprättande av gemensamma bestämmelser för system för direktstöd för jordbrukare inom den gemensamma jordbrukspolitiken och om upprättande av vissa stödsystem för jordbrukare, om ändring av förordningarna

text: (EG) nr 1290/2005

text: (EG) nr 247/2006

text: och

text: (EG) nr 378/2007

text: samt om upphävande av förordning

text: (EG) nr 1782/2003

text: (EUT L 30, 31.1.2009, s. 16) (nedan kallad ”förordningen om direktstöd”). ( 24 )

text: Artikel 19.1 c i förordningen

text: om direktbetalningar innehåller en liknande ordalydelse. ( 25 )

text: Artikel 36 i förordningen

text: om finansieringen av den gemensamma jordbrukspolitiken föreskriver redan utbyte av uppgifter för liknande ändamål. ( 26 ) Se

text: artikel 110

text: ( 27 ) Kontroller på plats föreskrivs redan i gällande lagstiftning (se artiklarna

text: och

text: i förordningen om finansieringen av den gemensamma jordbrukspolitiken). ( 28 ) Motsvarar det system som redan inrättats genom

text: artikel 14 i förordningen

text: om direktstöd. ( 29 ) Granskning av affärshandlingar, inbegripet tredje parters, och kommissionens åtkomst till dessa handlingar, föreskrivs redan i den gällande lagstiftningen (se t.ex.

text: artikel 15 i rådets förordning (EG) nr 485/2008 av den 26 maj 2008

text: om medlemsstaternas granskning av de transaktioner som utgör en del av systemet för finansiering genom Europeiska garantifonden för jordbruket (kodifierad version) (EUT L 143, 3.6.2008, s. 1)). ( 30 ) Se även yttrandet från Europeiska datatillsynsmannen av den 19 april 2011 om förslaget till Europaparlamentets och rådets förordning om OTC-derivat, centrala motparter och transaktionsregister (EUT C 216, 22.7.2011, s. 9), särskilt punkt 32, som finns på http://www.edps.europa.eu

text: ( 31 ) Såsom redan anges i

text: artikel 16 i förordningen

text: om direktstöd. ( 32 )

text: Artikel 18 i förordningen

text: om direktbetalningar innehåller en mycket likartad ordalydelse. ( 33 ) Första stycket i artikel 157.1 i enda förordningen om de gemensamma organisationerna av marknaden innehåller en förteckning över ändamål för kommunikation av information till kommissionen men anger inte för vilka ändamål dessa uppgifter får överföras till tredjeländer eller internationella organisationer. ( 34 )

text: Artikel 9.7 i förordning (EG) nr 45/2001

text: . ( 35 ) Europeiska unionens domstol, 9 november 2010, Volker und Markus Schecke och Eifert, de förenade målen

text: och

text: . ( 36 ) EU-domstolen, Schecke, paragraferna 77–88.

text: Giovanni BUTTARELLI

amnesord:
Transfers of data
Large-Scale IT Systems
IMI
Information Security
Transparency

title: Common Agricultural Policy after 2013

text: 9.2.2012 Europeiska SV unionens officiella tidning C 35/1

text: I

type: rubrik

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om lagstiftningsförslagen för den gemensamma jordbrukspolitiken efter 2013

text: (2012/C 35/01)

text: med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt

text: artikel 16

text: med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp gifter ( 1 ),

text: med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter ( 2 ),

text: med beaktande av begäran om ett yttrande i enlighet med

text: artikel 28.2 i förordning (EG) nr 45/2001

text: — Förslag till Europaparlamentets och rådets förordning om regler för direktstöd för jordbrukare inom de stödordningar som ingår i den gemensamma jordbrukspolitiken (nedan kallad förordningen om direktstöd) ( 3 ).

text: — Förslag till Europaparlamentets och rådets förordning om upprättande av en samlad marknads ordning för jordbruksprodukter (nedan kallad enda förordningen om de gemensamma organisationerna av marknaden) ( 4 ). ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) KOM(2011) 625 slutlig. ( 4 ) KOM(2011) 626 slutlig.

text: C 35/2 SV Europeiska unionens officiella tidning 9.2.2012

text: — Förslag till Europaparlamentets och rådets förordning om stöd till landsbygdsutveckling från Eu ropeiska jordbruksfonden för landsbygdsutveckling (EJFLU) (nedan kallad förordningen om landsbygds utveckling) ( 5 ).

text: — Förslag till Europaparlamentets och rådets förordning om finansiering, förvaltning och övervakning av den gemensamma jordbrukspolitiken (nedan kallad den horisontella förordningen) ( 6 ).

text: — Förslag till rådets förordning om fastställande av vissa stöd och bidrag inom ramen för den samlade marknadsordningen för jordbruksprodukter ( 7 ).

text: — Förslag till Europaparlamentets och rådets förordning om ändring av

text: rådets förordning (EG) nr 73/2009

text: vad gäller tillämpningen av direktstöd till jordbrukare avseende år 2013 ( 8 ).

text: rådets förordning (EG) nr 1234/2007

text: vad gäller systemet med samlat gårdsstöd och stöd till vinodlare ( 9 ).

text: 2. Europeiska datatillsynsmannen välkomnar att kommissionen rådfrågar honom formellt och att en hänvisning till detta yttrande ingår i de föreslagna ingresserna till förordningen om direktstöd, enda förordningen om de gemensamma organisationerna av marknaden, förordningen om landsbygdsutveck ling och den horisontella förordningen. 1.2 Syften med förslagen och behandling av personuppgifter

text: 3. Förslagen syftar till att ge en ram för 1) hållbar livsmedelsproduktion, 2) hållbar förvaltning av natur resurser och klimatåtgärder och 3) balanserad territoriell utveckling. Därför inrättar förslagen flera stödordningar för jordbrukare samt andra åtgärder för att stimulera jordbrukets och landsbygdens utveckling.

text: 4. I samband med dessa program behandlas personuppgifter – huvudsakligen om stödmottagare men även om tredje parter – i olika faser av programmen (behandling av ansökningar om stöd, säkerställande av öppenhet och insyn i utbetalningarna, kontroll och bekämpning av bedrägerier osv.). Huvuddelen av behandlingen genomförs av medlemsstaterna och under deras ansvar, men kommissionen kan få åtkomst till de flesta av dessa uppgifter. Stödmottagare och i vissa fall tredje parter måste t.ex. i samband med bedrägerikontroller tillhandahålla information till utsedda behöriga myndigheter. 1.3 Syftet med Europeiska datatillsynsmannens yttrande

text: 5. Relevansen av dataskydd inom ramen för den gemensamma jordbrukspolitiken har framförts av EUdomstolen i dess avgörande i Schecke-målet, som ogiltigförklarar EU-lagstiftningen om offentliggörande av namn på mottagare av stöd från jordbruksfonderna ( 10 ). Europeiska datatillsynsmannen är medveten om att dataskyddsaspekterna i detta fall inte är centrala för förslagen. I den mån förslagen tar upp behandling av personuppgifter kan dock relevanta synpunkter läggas fram.

text: 6. Målet för detta yttrande är inte att analysera hela uppsättningen förslag utan att erbjuda inspiration och vägledning när det gäller att utforma den behandling av personuppgifter som krävs för att förvalta den gemensamma jordbrukspolitiken på ett sätt som innebär att de grundläggande rättigheterna till privatliv och dataskydd respekteras, samtidigt som en effektiv förvaltning av stödet säkerställs, bedrägerier för hindras och utreds och stödanvändningen är öppen och kontrollerbar. 9.2.2012 Europeiska SV unionens officiella tidning C 35/3

text: 7. Därför är detta yttrande indelat i två delar: den första är en mer allmän del som innefattar analys och rekommendationer som gäller de flesta av förslagen. Det rör sig till största delen om synpunkter på kommissionens delegerade befogenheter och genomförandebefogenheter. I den andra delen diskuteras specifika bestämmelser i flera av förslagen ( 11 ) och rekommendationer ges om hur de problem som tas upp kan hanteras. 2.1 Allmänna kommentarer

text: 8. Såsom nämnts genomförs det mesta av behandlingen av personuppgifter av medlemsstaterna. I många fall kan dock kommissionen få åtkomst till personuppgifter. Europeiska datatillsynsmannen välkomnar därför att hänvisningar till tillämpligheten av direktiv

text: och förordning

text: (EG) nr 45/2001

text: ingår i ingresserna till berörda förslag ( 12 ).

text: 9. Generellt noterar Europeiska datatillsynsmannen att många frågor som är centrala för dataskyddet inte ingår i förslagen utan kommer att regleras genom genomförandeakter eller delegerade akter. Detta gäller t.ex. de åtgärder som ska antas för övervakning av stöd, inrättande av IT-system, överföring av infor mation till tredjeländer och kontroller på plats ( 13 ).

text: 10. I

text: artikel 290 i EUF-fördraget

text: anges villkoren för kommissionens delegerade befogenheter. Kommissio nen kan ges befogenhet att komplettera eller ändra vissa icke väsentliga delar av lagstiftningsakten. Dessutom ska mål, innehåll, omfattning och varaktighet för delegeringen uttryckligen anges. När det gäller genom förandebefogenheter fastställs det i

text: artikel 291 i EUF-fördraget

text: att sådana kan beviljas kommissionen om enhetliga villkor för genomförande av unionens rättsligt bindande akter krävs. Lämplig granskning från medlemsstaternas sida bör säkerställas.

text: 11. Europeiska datatillsynsmannen anser att de centrala aspekter av behandlingen av personuppgifter som tas upp i förslagen och de nödvändiga garantierna för dataskydd inte kan betraktas som ”icke väsentliga delar”. Därför bör åtminstone följande aspekter regleras redan i huvudrättsakterna för att öka rätts säkerheten ( 14 ): — Det särskilda ändamålet med varje uppgiftsbehandling ska uttryckligen anges. Detta är särskilt relevant när det gäller offentliggörande av personuppgifter och överföring av personuppgifter till tredjeländer. — Det bör föreskrivas och anges vilka kategorier av uppgifters som ska behandlas, eftersom behand lingens omfattning i många fall är oklar ( 15 ). — Reglerna om åtkomsträttigheter till information bör förtydligas, särskilt när det gäller kommissio nens tillträde till uppgifter. I detta avseende bör det specificeras att kommissionen endast får behandla personuppgifter när det är nödvändigt, t.ex. för kontrolländamål. — Längsta tillåtna lagringsperioder bör fastställas, eftersom i vissa fall endast minimiperioder för lagring nämns i förslagen ( 16 ). C 35/4 SV Europeiska unionens officiella tidning 9.2.2012 — De registrerades rättigheter bör anges, särskilt rätten till information. Stödmottagarna kanske är medvetna om att deras personuppgifter behandlas, men även tredje parter bör informeras på ett adekvat sätt om att deras uppgifter kan komma att användas för kontrolländamål. — Även omfattningen av och syftet med överföringar till tredjeländer bör anges och bör uppfylla de krav som fastställs i

text: artikel 25 i direktiv 95/46/EG

text: och

text: artikel 9.1 i förordning (EG) nr 45/2001

text: 12. När dessa element har specificerats i huvudförslagen till rättsakter kan delegerade akter eller genom förandeakter användas för att i större detalj genomföra dessa specifika garantier för dataskydd. Euro peiska datatillsynsmannen förväntar sig att bli rådfrågad om genomförandeakter och delegerade akter som tar upp frågor som är relevanta ur dataskyddssynpunkt.

text: 13. I vissa fall kan uppgifter som rör (misstänkta) brott behandlas (t.ex. i samband med bedrägeri). Eftersom den tillämpliga lagstiftningen om dataskydd ger särskilt skydd för sådana uppgifter ( 17 ) kan en för handskontroll som utförs av nationella dataskyddsmyndigheter eller Europeiska datatillsynsmannen behövas ( 18 ).

text: 14. Slutligen bör säkerhetsåtgärder föreskrivas, särskilt när det gäller datoriserade databaser och system. Även principen om ansvarighet och principen om inbyggda säkerhetsmekanismer bör beaktas. 2.2 Särskilda kommentarer Ändamålsbegränsning och behandlingens omfattning

text: 15. Artikel 157 i enda förordningen om de gemensamma organisationerna av marknaden ger kommis sionen befogenhet att anta åtgärder när det gäller kommunikationskraven för olika ändamål (såsom insyn på marknaden, kontroll av åtgärder inom ramen för GJP och genomförande av internationella avtal) ( 19 ), med hänsyn till uppgiftsbehovet och till möjliga synergieffekter mellan uppgiftskällorna ( 20 ). Europe iska datatillsynsmannen rekommenderar att det i denna bestämmelse specificeras vilka uppgiftskällor som ska användas för vilka särskilda ändamål. I detta avseende skulle Europeiska datatillsynsmannen vilja påminna om risken för att sammankoppling av databaser kan strida mot principen om ändamåls begränsning ( 21 ), enligt vilken personuppgifter inte får behandlas vidare på ett sätt som inte är förenligt med det ursprungliga ändamål för vilket de samlades in ( 22 ). 9.2.2012 Europeiska SV unionens officiella tidning C 35/5

text: 16. I artikel

text: och

text: i förordningen om landsbygdsutveckling fastställs att ett nytt elektroniskt infor mationssystem ska inrättas genom ett samarbete mellan kommissionen och medlemsstaterna för övervakningsoch utvärderingsändamål. Systemet kommer att innebära behandling av uppgifter om nyckelvariablerna för såväl stödmottagaren som projektet som tillhandahålls av stödmottagarna själva (

text: artikel 78

text: ). I den mån ”nyckelvariablerna” innefattar personuppgifter bör detta specificeras i bestämmelsen. Vidare bör de kategorier av uppgifter som ska behandlas definieras och Europeiska datatillsynsmannen bör rådfrågas om genomförandet av de akter som avses i

text: artikel 74

text: 17. Enligt artikel 92 i samma förslag ska dessutom ett nytt informationssystem inrättas av kommissionen i samarbete med medlemsstaterna för att säkerställa utbyte av data av gemensamt intresse. Definitionen av de kategorier av uppgifter som ska utbytas är alltför vid och bör inskränkas om personuppgifter ska överföras med detta system. Dessutom bör förhållandet mellan

text: artikel 77

text: och

text: artikel 92

text: klargöras, eftersom det inte är klart huruvida de har samma ändamål och omfattning.

text: 18. I skäl 40 i den horisontella förordningen anges det att medlemsstaterna bör ha ett integrerat administ rations- och kontrollsystem ( 23 ) för vissa utbetalningar och ha befogenhet att även använda det integrerade systemet för andra typer av EU-stöd för att unionsstöden ska bli effektivare och övervakas på ett bättre sätt. Denna bestämmelse bör förtydligas, särskilt om den inte bara syftar till att synergier ska utnyttjas när det gäller infrastruktur utan även till användning av den information som finns lagrad i systemet för övervakning av andra stödsystem.

text: 19. Enligt artikel 73.1 c i den horisontella förordningen ska ansökningar om stöd utöver jordbruksskiften och stödrättigheter även innefatta alla övriga uppgifter som fastställs i denna förordning eller krävs för att fullgöra den relevanta sektorslagstiftningen inom jordbruket eller av den berörda medlemsstaten ( 24 ). Om det förväntas att denna information innehåller personuppgifter bör det anges vilka kategorier av data som krävs. Åtkomsträttigheter

text: 20. Den horisontella förordningen fastställer ett antal organ för praktisk tillämpning av den gemensamma jordbrukspolitiken och tilldelar dem uppgifter (artiklarna

text: ). För kommissionen föreskrivs följande behörigheter (avsnitten IV–VII): — Kommissionen ska ha åtkomsträtt till uppgifter som behandlas av dessa organ för kontrolländamål (av specifika utbetalningar och stödmottagare) ( 25 ). — Kommissionen ska också ha åtkomsträtt till dessa uppgifter för den allmänna utvärderingen av åtgärderna ( 26 ).

text: 21. Den första arbetsuppgiften som nämns i stycket ovan kommer att innefatta behandling av person uppgifter medan det för den andra arbetsuppgiften inte vid första påseendet krävs någon behandling av personuppgifter: en allmän utvärdering av åtgärderna kan göras även på grundval av sammanställda eller anonymiserade data. Om kommissionen inte tillhandahåller en adekvat motivering för behovet av att behandla personuppgifter i detta sammanhang bör det klargöras att inga personuppgifter ska överlämnas till kommissionen för den allmänna utvärderingen av åtgärderna. C 35/6 SV Europeiska unionens officiella tidning 9.2.2012

text: 22. Reglerna för kontroller på plats fastställs i artiklarna 49–52 och 61–63 i den horisontella förordning en ( 27 ). Förslaget anger att dessa kontroller i huvudsak ska genomföras av behöriga myndigheter i medlemsstaterna, särskilt när det gäller hembesök eller formell utfrågning av enskilda, men att kom missionen ska ha tillgång till information som har erhållits genom kontrollerna. Här bör lagstiftaren ange att kommissionen endast ska ha åtkomst till dessa uppgifter när detta är nödvändigt för kont rolländamål. Det bör också anges vilka kategorier av personuppgifter kommissionen ska ha tillgång till.

text: 23. För övervakning av stödet inrättas genom den horisontella förordningen ett administrations- och kontrollsystem ( 28 ) (artiklarna

text: ) som består av ett antal databaser: — Datoriserad databas (

text: artikel 70

text: ). — Identifieringssystem för jordbruksskiften (

text: artikel 71

text: ). — System för identifiering och registrering av stödrättigheter (

text: artikel 72

text: ). — Stödansökningar (

text: artikel 73

text: 24. Den datoriserade databasen ska bestå av en databas per medlemsstat (och, på frivillig basis, decen traliserade databaser i medlemsstaterna). Den registrerar uppgifter för varje stödmottagare från stöd ansökningar och stödanspråk. Med tanke på att alla uppgifter som samlas in genom stödansökningar kanske inte är nödvändiga för kontrolländamål bör möjligheten övervägas att minimera behandlingen av personuppgifter i detta avseende.

text: 25. Åtkomsten till administrations- och kontrollsystemet regleras inte uttryckligen. Liksom när det gäller kontroller på plats rekommenderar Europeiska datatillsynsmannen att lagstiftaren inför tydligt avgrän sade regler för åtkomsten till systemet.

text: 26. När det gäller kontroller föreskriver den horisontella förordningen granskning av affärshandlingarna, inbegripet från tredje parter (artiklarna

text: ) ( 29 ). Dessa handlingar kan innehålla personuppgifter om tredje parter. Det bör anges i rättsakten under vilka omständigheter tredje parter måste lämna ut sina affärshandlingar ( 30 ).

text: 27. I artikel 87 i samma förordning fastställs det att kommissionens tjänstemän ska ha tillgång till samtliga handlingar som utarbetats antingen inför eller som resultat av den granskning som organiserats, i enlighet med relevant nationell lagstiftning. Detta gäller både fall där tjänstemännen kan delta i granskningen (punkt 2) och fall där vissa handlingar är reserverade för tjänstemän som utsetts enligt lagstiftningen i den medlemsstat där granskningen genomförs (punkt 4). I båda fallen ska det säkerställas att kommissio nens tjänstemän endast får tillgång till dessa uppgifter när det är nödvändigt (dvs. för kontrolländamål), även i fall där den nationella lagstiftningen kan tillåta tillgång för andra ändamål. Europeiska datatill synsmannen uppmuntrar lagstiftaren att formulera om texten så att detta tydligt framgår. 9.2.2012 Europeiska SV unionens officiella tidning C 35/7

text: 28. Enligt artikel 102 i den horisontella förordningen ska medlemsstaterna lämna in vissa kategorier av information, handlingar och deklarationer till kommissionen. Det material som ska inlämnas ska även innehålla en sammanfattning av resultaten från alla tillgängliga revisioner och kontroller som utförts (

text: artikel 102.1 c

text: v). I detta fall ska det antingen anges att inga personuppgifter kommer att ingå i dessa sammanfattningar eller, om personuppgifter krävs, så ska det anges för vilket ändamål de överförs. Lagringsperioder

text: 29. Enligt artikel 70.1 i den horisontella förordningen ska den datoriserade databasen via medlemsstatens behöriga myndighet tillåta tillgång till uppgifter från 2000 och framåt och direkt och omedelbar tillgång till åtminstone de uppgifter som rör de fem närmast föregående kalenderåren ( 31 ).

text: 30. Systemet för identifiering och registrering av stödrättigheter gör det möjligt att verifiera stödrättigheterna och samköra uppgifterna med stödansökningarna och identifieringssystemet för jordbruksskiften. I artikel 72.2 i den horisontella förordningen fastställs det att uppgifterna ska vara tillgängliga i minst fyra år ( 32 ).

text: 31. När det gäller dessa båda system påminner Europeiska datatillsynsmannen om

text: artikel 6.1 e i direktiv 95/46/EG

text: och

text: artikel 4.1 e i förordning (EG) nr 45/2001

text: , enligt vilka uppgifter inte får lagras i identifierbar form längre än vad som är nödvändigt för det ändamål för vilket de samlades in. Detta innebär att den längsta lagringstiden måste definieras, inte bara minimitiderna för lagring. Internationella överföringar

text: 32. I andra stycket i artikel 157.1 i enda förordningen om de gemensamma organisationerna av marknaden anges det att uppgifter får överföras till tredjeländer och internationella organisationer. Europeiska datatillsynsmannen skulle vilja påminna om att överföring av personuppgifter till länder som inte garanterar ett tillräckligt skydd endast kan motiveras från fall till fall om något av undantagen enligt

text: artikel 26 i direktiv 95/46/EG

text: eller

text: artikel 9.6 i förordning (EG) nr 45/2001

text: gäller (t.ex. om över föringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen).

text: 33. I detta fall bör det särskilda ändamålet med överföringen (t.ex. samband med genomförandet av internationella avtal) anges ( 33 ). Relevanta internationella avtal bör inbegripa särskilda garantier när det gäller skyddet av privatliv och personuppgifter och de registrerades utövande av dessa rättigheter. Om uppgifter ska överföras till kommissionen bör dessutom överföringen godkännas av Europeiska datatillsynsmannen ( 34 ). Offentliggörande av information

text: 34. I skäl 70 i den horisontella förordningen och i motiveringen till förslagen anges det att nya regler om offentliggörande av information om stödmottagare håller på att utarbetas mot bakgrund av de påpekanden som gjorts av Europeiska unionens domstol i Schecke-målet ( 35 ).

text: 35. Europeiska datatillsynsmannen skulle vilja påminna om att reglerna för offentliggörande av information som rör stödmottagare bör respektera proportionalitetsprincipen. Såsom bekräftas av EU-domstolen ( 36 ) måste en lämplig avvägning göras mellan stödmottagarnas grundläggande rättigheter till privatliv och dataskydd och Europeiska unionens intresse av att garantera insyn och säkerställa att allmänna medel förvaltas väl. C 35/8 SV Europeiska unionens officiella tidning 9.2.2012

text: 36. Detta är relevant även i samband med andra stycket i artikel 157.1 i enda förordningen om de gemensamma organisationerna av marknaden, enligt vilken information får offentliggöras, under förutsätt ning att personuppgifter skyddas och företagens berättigade intresse av att skydda sina affärshemligheter beaktas. Artiklarna

text: 157.2 d

text: och

text: 157.3 c

text: ger kommissionen befogenhet att anta delegerade akter som fastställer på vilka villkor och med vilka medel informationen får offentliggöras och genomförandeakter med bestäm melser om hur information och dokument får göras tillgängliga för allmänheten.

text: 37. Europeiska datatillsynsmannen välkomnar att offentliggörandet av information och dokument kommer att vara underkastat skyddet av personuppgifter. Avgörande inslag såsom ändamålet med offentliggö randet samt vilka kategorier av uppgifter som ska offentliggöras bör dock anges i förslagen och inte i genomförandeakter eller delegerade akter. Den registrerades rättigheter

text: 38. De registrerades rättigheter bör anges, särskilt rätten till information och rätten till tillgång till uppgifter. Detta är särskilt relevant för artikel 81 i den horisontella förordningen, enligt vilken stödmottagarnas affärshandlingar, men även affärshandlingar från leverantörer, kunder, transportföretag och andra tredje parter, kan kontrolleras. Stödmottagarna kanske är medvetna om att deras personuppgifter behandlas, men även tredje parter bör på ett adekvat sätt informeras om att deras uppgifter kan användas för kontrolländamål (t.ex. genom ett integritetsmeddelande som ges vid insamling samt information på alla relevanta webbplatser och i alla relevanta dokument). Skyldigheten att informera de registrerade, även tredje parter, bör inkluderas i förslagen. Säkerhetsåtgärder

text: 39. Säkerhetsåtgärder bör föreskrivas, särskilt när det gäller datoriserade databaser och system. Principen om ansvarighet och principen om inbyggda säkerhetsmekanismer bör beaktas. En förteckning över säkerhetsåtgärder som ska antas när det gäller dessa datoriserade databaser och system skulle kunna införas åtminstone genom delegerade akter eller genomförandeakter. Detta är desto viktigare eftersom de personuppgifter som behandlas inom ramen för kontroller och granskning kan innehålla uppgifter om misstänkta brott.

text: 40. Europeiska datatillsynsmannen välkomnar de krav som fastställs i artikel 103 i den horisontella för ordningen när det gäller konfidentialitet och tystnadsplikt vid granskning i den mening som avses i artiklarna 79–88 i samma förordning.

text: 41. För att öka rättssäkerheten anser Europeiska datatillsynsmannen att de centrala aspekterna av de upp giftsbehandlingar som förutses i förslagen och de nödvändiga garantierna för dataskydd bör regleras i huvudlagtexterna och inte i delegerade akter eller genomförandeakter: — det särskilda ändamålet för varje uppgiftsbehandling bör uttryckligen anges i förslagen, särskilt när det gäller offentliggörande av personuppgifter och internationella överföringar. — Det bör anges vilka kategorier av uppgifter som ska behandlas. — Personuppgifter bör endast behandlas om det är nödvändigt. — Rätten till tillgång till uppgifterna bör klargöras. Det bör särskilt anges att kommissionen endast får behandla personuppgifter när det är nödvändigt, t.ex. för kontrolländamål. — Maximala lagringstider bör fastställas i förslagen. — De registrerades rättigheter bör anges, särskilt rätten till information. Det bör säkerställas att inte bara stödmottagare utan även tredje parter informeras om att deras uppgifter behandlas. — De särskilda ändamålen för och omfattningen av internationella överföringar bör begränsas till vad som är nödvändigt och detta bör fastställas i förslagen. 9.2.2012 Europeiska SV unionens officiella tidning C 35/9

text: 42. Dessa element kan utvecklas vidare i delegerade akter eller genomförandeakter. Europeiska datatillsyns mannen förväntar sig att bli rådfrågad rörande detta.

text: 43. Dessutom bör säkerhetsåtgärder föreskrivas minst genom genomförandeakter eller delegerade akter, särskilt när det gäller datoriserade databaser och system. Även principen om ansvarighet och principen om inbyggda säkerhetsmekanismer bör beaktas.

text: 44. Slutligen, med hänsyn till att uppgifter i vissa fall gäller (misstänkta) brott som kan bli föremål för åtal (t.ex. i samband med bedrägeri), kan en förhandskontroll som utförs av nationella dataskyddsmyndig heter eller Europeiska datatillsynsmannen behövas. Utfärdat i Bryssel den 14 december 2011. Biträdande Europeisk datatillsynsman


text: ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 3 ) KOM(2011) 793 slutlig. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 4 ) KOM(2011) 794 slutlig.

text: ( 1 ) Enligt

text: artikel 27 i förordning (EG) nr 45/2001

text: ska ”behandling av — Bestämmelserna om säkerhet bör kompletteras. uppgifter som rör hälsa samt behandlingar av uppgifter som rör misstankar om brott, brott, brottmålsdomar eller säkerhetsåtgärder” förhandskontrolleras av Europeiska datatillsynsmannen. Enligt arti kel 20.1 i direktiv

text: ska behandlingsåtgärder som kan med — Behovet av att samråda med Europeiska datatillsyns föra särskilda risker i samband med dataskydd, enligt vad som be mannen om delegerade akter och tillämpningsbestäm stäms av den nationella dataskyddslagstiftningen, omfattas av för handskontroll av den nationella dataskyddsmyndigheten. melser som avser behandlingen av personuppgifter bör ( 2 ) Skäl 23 och 24 och artikel 7.4 och 7.5 i förslaget till förordning. framgå.

identifier: EDPS yttrande (2012)

amnesord:
Privacy by Design
Information Security
Consumers

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Alternative and Online Dispute Resolution for consumer disputes

serie: yttranden

text: 11.5.2012 Europeiska SV unionens officiella tidning C 136/1

type: stycke

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till direktiv om alternativ tvistlösning och förslaget till förordning om tvistlösning online vid konsumenttvister

text: (2012/C 136/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT FÖLJANDE — Förslag till Europaparlamentets och rådets direktiv om YTTRANDE alternativ tvistlösning vid konsumenttvister och om ändring av förordning

text: (EG) nr 2006/2004

text: och direktiv

text: (i fortsättningen kallat ”förslaget till direk tiv”) ( 3 ). med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt

text: artikel 16

text: — Förslag till Europaparlamentets och rådets förordning om tvistlösning online vid konsumenttvister (i fortsätt ningen kallat ”förslaget till förordning”) ( 4 ). med beaktande av Europeiska unionens stadga om de grund läggande rättigheterna, särskilt artiklarna

text: och

text: 2. Den 6 december 2011 mottog Europeiska datatillsynsman nen förslaget till direktiv och förslaget till förordning för med beaktande av Europaparlamentets och rådets direktiv samråd. Europeiska datatillsynsmannen tillfrågades också

text: av den 24 oktober 1995 om skydd för enskilda informellt innan förslagen antogs och lämnade informella personer med avseende på behandling av personuppgifter och kommentarer. Europeiska datatillsynsmannen välkomnar om det fria flödet av sådana uppgifter ( 1 ), och detta tidiga samråd och att de flesta av rekommendatio nerna i hans kommentarer togs upp i förslagen. med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för 3. Syftet med detta yttrande är att analysera den behandling av enskilda då gemenskapsinstitutionerna och gemenskapsorganen personuppgifter som nämns i förslagen och att redovisa hur behandlar personuppgifter och om den fria rörligheten för så frågorna om dataskydd behandlas i förslagen. Yttrandet dana uppgifter, särskilt

text: artikel 41

text: ( 2 ). kommer att koncentreras till förslaget till förordning, efter som det inbegriper en centraliserad behandling av person uppgifter i samband med tvister som löses via en onlinep lattform. HÄRIGENOM FRAMFÖRS FÖLJANDE. I.2 Syftet med förslagen I. INLEDNING 4. Alternativa tvistlösningssystem erbjuder ett alternativt sätt I.1 Samrådet med Europeiska datatillsynsmannen och att lösa tvister som i regel är billigare och snabbare än att yttrandets syfte väcka talan i domstol. Syftet med förslaget till direktiv är att se till att dessa system finns på plats i alla EU:s medlems

text: 1. Den 29 november 2011 antog kommissionen två lagstift stater för att lösa eventuella gränsöverskridande kon ningsförslag om alternativ tvistlösning (i fortsättningen kal sumenttvister som kan uppkomma i samband med försälj lade ”förslagen”): ning av varor eller tillhandahållande av tjänster i EU. C 136/2 SV Europeiska unionens officiella tidning 11.5.2012

text: 5. Förslaget till förordning bygger på denna allmänna tillgång formen kan till exempel granskas av flera olika kontaktper till alternativ tvistlösning för konsumenttvister inom EU. soner för tvistlösning online och av det behöriga organet Enligt förslaget till förordning inrättas en onlineplattform för alternativ tvistlösning som ska behandla tvisten. Kom (i fortsättningen kallad ”plattformen”) som konsumenter missionen kan också behandla dessa personuppgifter i sam och affärsidkare ska kunna använda för att lämna in kla band med drift och underhåll av plattformen. gomål om gränsöverskridande transaktioner till det behö riga organet för alternativ tvistlösning. 10. Europeiska datatillsynsmannen välkomnar i det samman hanget att det i skäl 20 i förslaget till förordning framhålls ALLMÄNNA KOMMENTARER att dataskyddslagstiftningen gäller för alla dessa aktörer. I II. lagstiftningsdelen till förslaget till förordning bör det emel 6. Europeiska datatillsynsmannen stöder förslagens syfte och lertid anges till vilken av de registeransvariga som de regi välkomnar att principerna om dataskydd beaktades redan strerade ska skicka sin begäran om tillgång, ändring, bloc från start när förslagen utarbetades. kering eller utplåning av uppgifterna samt vilken register ansvarig som ska ha ansvaret vid olika typer av överträdel ser av dataskyddsbestämmelserna (till exempel säkerhets överträdelser). De registrerade bör också informeras i enlig 7. Europeiska datatillsynsmannen välkomnar också hänvis het med detta. ningarna till dataskyddslagstiftningens tillämpbarhet i för slaget till förordning ( 1 ) och till att den nationella lagstift ning som införlivar direktiv

text: är tillämpbar i sam III.2 Begränsning av tillgång och lagringstid band med förslaget till direktiv ( 2 ), samt hänvisningarna till samråden med Europeiska datatillsynsmannen ( 3 ). 11. Enligt artikel 11 i förslaget till förordning är tillgången till personuppgifter som behandlas i plattformen för tvistlös ning online begränsad till III. SÄRSKILDA ANMÄRKNINGAR III.1 De registeransvarigas roll: behovet av tydlig an — det behöriga organet för alternativ tvistlösning när det svarsfördelning ska lösa tvisten, 8. Enligt förslaget till förordning ska uppgifterna behandlas av tre grupper av aktörer i samband med varje tvist som hanteras via plattformen: — kontaktpersonerna för tvistlösning online när de ska bistå vid lösning av tvisten (till exempel för att under lätta kommunikationen mellan parterna och det rele vanta organet för alternativ tvistlösning eller för att — Organ för alternativ tvistlösning. informera konsumenterna om olika sätt att få rättelse, vid sidan av plattformen), — Kontaktpersoner för tvistlösning online som ska bistå vid lösning av tvister som lämnas in via plattformen ( 4 ). — kommissionen, om det krävs för att driva och under hålla plattformen, inklusive att övervaka de alternativa tvistlösningsorganens och kontaktpersonernas använd ning av plattformen ( 6 ). — Kommissionen.

text: 12. Europeiska datatillsynsmannen välkomnar dessa begräns Enligt

text: artikel 11.4

text: ska var och en av dessa aktörer betraktas ningar av syfte och tillgång. Det står emellertid inte klart som registeransvarig vid behandlingen av personuppgifter i om alla kontaktpersoner för tvistlösning online (minst 54) samband med sina respektive ansvarsområden. ska få tillgång till personuppgifterna i samband med samt liga tvister. Europeiska datatillsynsmannen rekommenderar att man förtydligar att kontaktpersonerna för tvistlösning online endast ska ha tillgång till de uppgifter som krävs för 9. Många av dessa registeransvariga skulle emellertid kunna bli att uppfylla deras åligganden enligt

text: artikel 6.2

text: . ansvariga för behandlingen av samma personuppgifter ( 5 ). Uppgifter som gäller en viss tvist som lämnats in via platt

text: 13. Vad gäller lagringstiden välkomnar Europeiska datatillsyns ( 1 ) Skäl 20 och 21 och artikel 11.4 i förslaget till förordning. mannen

text: artikel 11.3

text: , där det sägs att lagring av uppgifter ( 2 ) Skäl 16 i förslaget till direktiv. ( 3 ) Förslagens ingresser och motiveringar. enbart är tillåten under den tid som krävs för att lösa ( 4 ) Varje medlemsstat ska utse en kontaktpunkt för tvistlösning online tvisten och för att utöva de registrerade personernas rätt som ska bemannas av minst två kontaktpersoner. Kommissionen ska till tillgång. Datatillsynsmannen välkomnar också skyldighe inrätta ett nätverk av kontaktpersoner för tvistlösning online. ten att automatiskt radera uppgifter sex månader efter det ( 5 ) Se också artikel 29 i arbetsgruppens yttrande nr 1/2010 om begrep att tvisten har lösts. pen ”registeransvarig” och ”registerförare” som antogs den 16 februari 2010 (

text: WP 169

text: ), s. 17–24 på http://ec.europa.eu/justice/policies/ privacy/docs/wpdocs/2010/wp169_en.pdf ( 6 ) Se artikel 11.2 i förslaget till förordning om tvistlösning online. 11.5.2012 Europeiska SV unionens officiella tidning C 136/3 III.3 Behandling av särskilda typer av uppgifter: even anges i artikel 12 i förslaget till förordning inkluderar till tuellt behov av förhandskontroll gångskontroller, en säkerhetsplan och hantering av säker hetsincidenter. 14. Om man ser till syftet med förslagen finns det en möjlighet att personuppgifter i samband med misstänkta överträdelser kan behandlas. Hälsouppgifter kan också komma att be handlas i samband med tvister som uppkommer i samband 20. Europeiska datatillsynsmannen rekommenderar att man med försäljning av varor eller tillhandahållande av tjänster också lägger till en hänvisning till behovet av att göra en som avser hälsa. bedömning av sekretesskonsekvenser (inklusive en risk bedömning) och till kravet att regelbundet granska och rapportera om efterlevnaden av dataskyddslagstiftningen och datasäkerheten. 15. Behandlingen av uppgifter inom ramen för plattformen för tvistlösning online kan därför omfattas av reglerna om de nationella dataskyddsmyndigheternas och Europeiska data tillsynsmannens förhandskontroll enligt artikel 27 i förord 21. Europeiska datatillsynsmannen vill också påminna om att ning

text: (EG) nr 45/2001

text: och artikel 20 i direktiv aspekterna som rör personuppgifts- och dataskydd bör in

text: ( 1 ). Europeiska datatillsynsmannen förstår att tegreras i utvecklingen av plattformens IT-verktyg redan på kommissionen inser behovet av att fastställa om behand projektstadiet (Privacy by Design), inklusive verktyg som lingen ska omfattas av förhandskontroll innan plattformen medger möjligheten att bättre skydda personuppgifter (så tas i drift. som autentisering och kryptering). III.4 Europeiska datatillsynsmannen bör konsulteras III.6 Information till registrerade personer om delegerade lagstiftningsakter och genomförande bestämmelser som avser klagomålsformuläret

text: 22. Europeiska datatillsynsmannen välkomnar skäl 21 i försla get till förordning där det sägs att de registrerade bör un 16. Informationen som ska lämnas på det elektroniska klago derrättas om behandlingen av deras personuppgifter och målsformuläret (i fortsättningen kallat ”formuläret”) anges i om sina rättigheter genom ett omfattande integritetsmed bilagan till förslaget till förordning. Formuläret omfattar delande som kommissionen offentliggör. Skyldigheten att parternas personuppgifter (namn, adress och i förekom informera de registrerade bör också ingå i lagstiftningsdelen mande fall e-post- och webbplatsadresser) och uppgifter till förslaget till förordning. som syftar till att fastställa vilket organ för alternativ tvist lösning som har behörighet att hantera tvisten (konsumen tens hemvist vid tidpunkten när varorna eller tjänsterna beställdes, typen av varor eller tjänster etc.). 23. De registrerade bör dessutom informeras om vilken regis teransvarig som har ansvaret för att deras rättigheter efter levs. Integritetsmeddelandet bör vara klart synligt för alla 17. Europeiska datatillsynsmannen välkomnar

text: artikel 7.6

text: där som fyller i formuläret. det framhålls att endast korrekta, relevanta och inte över drivet omfattande uppgifter får behandlas via formuläret och dess bilagor. Förteckningen över uppgifter i bilagan respekterar också principen om begränsning till syftet. IV. SLUTSATS

text: 24. Europeiska datatillsynsmannen välkomnar att datas kyddsprinciperna har integrerats i texten, framför allt vad 18. Denna förteckning kan emellertid ändras genom delegerade gäller syfte, begränsning av tillgången, begränsning av lag lagstiftningsakter och formulärets utformning ska fastställas ringsperioden och säkerhetsåtgärderna. Datatillsynsmannen i genomförandebestämmelser ( 2 ). Europeiska datatillsyns rekommenderar emellertid följande: mannen rekommenderar att det inkluderas en hänvisning till behovet av att samråda med Europeiska datatillsynsman nen om dessa akter avser behandlingen av personuppgifter. — De registeransvarigas ansvarsområden bör förtydligas och de registrerade bör informeras i enlighet därmed. III.5 Säkerhetsåtgärder: behovet av en utvärdering av sekretesseffekter — Begränsningen av rätten till tillgång bör förtydligas. 19. Europeiska datatillsynsmannen välkomnar bestämmelserna som avser sekretess och säkerhet. De säkerhetsåtgärder som C 136/4 SV Europeiska unionens officiella tidning 11.5.2012 25. Europeiska datatillsynsmannen vill också påminna om att behandlingen av personuppgifter via platt formen för tvistlösning online kan bli föremål för förhandskontroll av Europeiska datatillsynsmannen och de nationella dataskyddsmyndigheterna. Utfärdat i Bryssel den 12 januari 2012. Giovanni BUTTARELLI Biträdande Europeisk datatillsynsman

type: vagledning

utgivare: edps


text: — De behöriga myndigheter som lämnat informationen ( 3 ) Enligt

text: skäl 58

text: i

text: direktiv 95/46/EG

text: omfattar detta undantag över har gett sitt samtycke i enlighet med sin nationella lag föringar mellan skatte- eller tullmyndigheter. ( 4 ) Se även Arbetsdokument om en gemensam tolkning av

text: artikel 26.1

text: stiftning. i direktiv

text: av den 24 oktober 1995 som antogs av Arti kel 29-arbetsgruppen för uppgiftsskydd den 25 november 2005 ( 1 ) Se artiklarna

text: och

text: i direktiv 95/46/EG. (

text: ), på http://ec.europa.eu/justice/policies/privacy/docs/ ( 2 ) Se

text: artikel 13.1 e i direktiv 95/46/EG

text: . wpdocs/2005/wp114_sv.pdf

amnesord:
Transfers of data
Finance & Economy

title: Administrative Cooperation in the field of Excise Duties

text: 13.3.2012 Europeiska SV unionens officiella tidning C 74/1

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till rådets förordning om administrativt samarbete i fråga om punktskatter

text: (2012/C 74/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA som en begäran om rådgivning till gemenskapsinstitutioner YTTRANDE och gemenskapsorgan i enlighet med artikel 28.2 i förord ning

text: (EG) nr 45/2001

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel

text: . Innan förslaget antogs gav kommissionen datatillsynsman nen möjlighet att lämna informella synpunkter. Datatill synsmannen välkomnar denna process, som har bidragit med beaktande av Europeiska unionens stadga om de grund till att på ett tidigt stadium göra texten bättre ur data läggande rättigheterna, särskilt artiklarna

text: och

text: , skyddssynpunkt. Kommissionen har tagit hänsyn till vissa av datatillsynsmannens synpunkter i sitt förslag. Datatill synsmannen välkomnar den uttryckliga hänvisningen till med beaktande av Europaparlamentets och rådets direktiv det aktuella samrådet i förslagets ingress.

text: av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ), 4. Datatillsynsmannen vill emellertid lyfta fram vissa aspekter som fortfarande kan förbättras i texten ur uppgiftsskydds med beaktande av Europaparlamentets och rådets förordning perspektiv.

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så 1.2 Allmän bakgrund dana uppgifter ( 2 ), särskilt

text: artikel 28.2

text: 5. Syftet med förslaget är att uppdatera bestämmelserna i för ordning

text: (EG) nr 2073/2004

text: där det fastställs en rättslig HÄRIGENOM FRAMFÖRS FÖLJANDE: ram för det administrativa samarbetet mellan nationella skattemyndigheter i fråga om punktskatt (på alkohol, tobak och energiprodukter) för att bekämpa punktskattebedräge

text: 1. INLEDNING rier. Genom förordningen infördes bindande regler om samarbete mellan medlemsstaterna, automatiskt och spon 1.1 Samråd med datatillsynsmannen tant informationsutbyte (utöver informationsutbyte på be gäran) och nationella behöriga myndigheter fick möjlighet 1. Den 14 november 2011 antog kommissionen ett förslag att utbyta information, framför allt elektroniskt. Dessutom till rådets förordning om administrativt samarbete i fråga fastställdes villkoren för samarbetet med kommissionen. om punktskatter ( 3 ) (nedan kallat förslaget).

text: 2. Samma dag översände kommissionen förslaget till Europe 6. Dessa bestämmelser behöver ses över för att ta hänsyn till iska datatillsynsmannen. Datatillsynsmannen tolkar detta ändringarna i det datoriserade systemet för förflyttning och kontroll av punktskattepliktiga varor (nedan kallat EMCS) 1 som syftar till att datorisera uppgifter om förflyttning och ( ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. kontroll av punktskattepliktiga varor. Dessutom är förslaget ( 3 ) KOM(2011) 730 slutlig. avsett att i) modernisera förordningens språk, ii) avskaffa C 74/2 SV Europeiska unionens officiella tidning 13.3.2012 bestämmelser som inte längre är relevanta och göra textens 13. Dessutom bör datatillsynsmannen rådfrågas innan genom disposition mer logisk, och iii) förenkla och effektivisera förandeåtgärder som kan påverka skyddet för personupp regelverket. gifter antas. Denna skyldighet bör anges i texten till för slaget.

text: 7. I det här sammanhanget sker behandling av personuppgif ter på olika sätt. Medlemsstaterna utbyter information sin 2.3 Behandling av känsliga uppgifter semellan, med kommissionen och även med tredjeländer ( 1 ) om fysiska eller juridiska personer som handlar med punkt 14. Med tanke på förslagets syfte är det sannolikt att uppgifter skattepliktiga varor och annan kommersiell information, som rör misstänkta bedrägerier kommer att behandlas. Da tillsammans med information om misstänkta eller bekräf tatillsynsmannen påpekar att uppgifter om misstänkta över tade överträdelser i fråga om brott mot punktskattelagstift trädelser endast får behandlas under en offentlig myndig ningen. hets kontroll ( 2 ) eller om särskilda skyddsåtgärder finns i lag ( 3 ) eftersom de betraktas som känsliga uppgifter som kräver särskilt skydd. Skyddsåtgärder för tillåten använd 8. Detta yttrande handlar om de aspekter av förslaget som ning av denna information (till exempel strängare regler påverkar uppgiftsskyddet. för åtkomst, kraftfullare skyddsåtgärder, däribland en kon sekvensbedömning om personlig integritet, en säkerhets plan och regelbunden revision) bör införas i förordningens 2. ANALYS AV FÖRSLAGET text. 2.1 Hänvisning till direktiv

text: 15. Dessutom vill datatillsynsmannen påminna om att behand 9. Datatillsynsmannen välkomnar att det uttryckligen anges i lingen av dessa känsliga uppgifter kan behöva kontrolleras i skäl 18 i förslaget att kommissionens behandling av per förhand av datatillsynsmannen eller de nationella myndig sonuppgifter styrs av förordning

text: (EG) nr 45/2001

text: och att heterna för skydd av personuppgifter. den behandling som utförs av medlemsstaternas behöriga myndigheter omfattas av direktiv

text: . 2.4 Uppgifternas kvalitet och de registrerades rättighe 10. Datatillsynsmannen välkomnar också hänvisningen i arti ter kel 28.4 i förslaget till att nationella lagar om uppgiftsskydd ska tillämpas. Denna bestämmelse borde dock innehålla en 16. Genom förslaget införs en skyldighet för medlemsstaterna mer specifik hänvisning till ”behandling av personuppgifter” att föra ett register i en elektronisk databas över alla ekono i stället för till all lagring och utbyte av information. En miska aktörer som är godkända upplagshavare eller regi sådan hänvisning är att föredra eftersom termen ”behand strerade mottagare eller avsändare. Informationen i dessa ling” omfattar allt arbete med informationen och alltså även register skulle utbytas automatiskt mellan medlemsstaterna inbegriper alla steg i användningen av informationen, från genom det centrala register som förvaltas av kommissionen insamling till all vidare användningen enligt punkterna 2 (se

text: artikel 19.4

text: ). och 3. Detta är viktigt eftersom användningen av person uppgifter för andra syften är för vilka de ursprungligen samlades in omfattas av stränga villkor i artiklarna

text: och

text: . Enligt

text: artikel 19.3

text: ska det centrala kontaktkontoret för 7 i direktiv

text: . punktskatter eller ett kontaktorgan i varje medlemsstat se till att informationen i de nationella registren är fullständig, korrekt och aktuell. Datatillsynsmannen välkomnar denna 2.2 Definition av de kategorier av uppgifter som ska bestämmelse som är förenlig med den princip om uppgif utbytas ternas kvalitet som fastställs både i direktiv

text: ( 4 ) och i förordning

text: (EG) nr 45/2001

text: ( 5 ). 11. I förslaget görs det åtskillnad mellan två typer av infor mationsutbyte: ”Samarbete på begäran” (kapitel II) och ”In formationsutbyte utan föregående begäran” (kapitel III). Da 18. Enligt artikel 20 i förslaget har ekonomiska aktörer rätt att tatillsynsmannen noterar dock att det inte anges i förord genom att ange sitt punktskatteregistreringsnummer kont ningens text vilka kategorier av uppgifter som ska utbytas. I rollera den offentligt tillgängliga informationen i den cent båda fallen (på begäran och utan föregående begäran) fast rala databas som förvaltas av kommissionen (SEED-on-Eu ställs det att kommissionen ska besluta om innehållet i ropa) i fråga om detaljer i sitt tillstånd. De ges också ut dokumenten om ömsesidigt administrativt bistånd genom tryckligen rätt att få eventuella fel i den offentliga infor genomförandeakter (artiklarna

text: och

text: ). mationen rättade av den medlemsstat som utfärdar tillstån det. Kommissionen åtar sig att vidarebefordra en sådan begäran om rättelse till lämplig behörig myndighet. För 12. Datatillsynsmannen rekommenderar att det införs en all tillgång till och rättelse av sådana uppgifter om ekonomiska män beskrivning i förslaget i sig av de kategorier av upp aktörer som inte är offentliga, och som kommissionen inte gifter som de behöriga myndigheterna kan utbyta, eftersom detta avgör tillämpningsområdet för förordningens väsent ( 2 ) Se

text: artikel 8.5 i direktiv 95/46/EG

text: . liga delar. Detta går inte att hantera i en genomförandeakt. ( 3 ) Se

text: artikel 8.5 i direktiv 95/46/EG

text: och

text: artikel 10.5 i förordning (EG) nr 45/2001

text: . ( 1 ) När så är tillåtet enligt direktiv

text: , såsom anges i

text: artikel 32.1

text: ( 4 ) Se

text: artikel 6.1 d

text: . i förslaget. ( 5 ) Se

text: artikel 4.1 d

text: . 13.3.2012 Europeiska SV unionens officiella tidning C 74/3 har åtkomst till, måste en ekonomisk aktör även i fortsätt — Det är förenligt med direktiv

text: och den natio ningen vända sig till relevant behörig myndighet. Datatill nella lagstiftning som genomför det direktivet. synsmannen välkomnar att de registrerades rätt till tillgång till och rättelse av personuppgifter om dem fastställs ut tryckligen i förslaget. — Uppgifterna överförs för samma ändamål som för vilka de samlades in.

text: 19. I

text: artikel 28.4 andra stycket

text: fastställs emellertid att med 23. Datatillsynsmannen välkomnar hänvisningen till tillämplig lemsstaterna ska begränsa rätten till information och till heten av uppgiftsskyddslagstiftningen och att överföringen gång samt offentliggörandet av behandlingsverksamheter ( 1 ) av uppgifter begränsas till uppgifter om särskilda trans i den mån det är nödvändigt att skydda ”ett viktigt ekono aktioner som misstänks strida mot punktskattelagstiftning miskt eller finansiellt intresse” hos en medlemsstat eller hos en. Eftersom detta kommer att innebära behandling av Europeiska unionen, inklusive monetära frågor, budgetfrå känsliga uppgifter måste överföringen emellertid också ske gor och skattefrågor ( 2 ). Detta innebär en begränsning av i enlighet med den nationella lagstiftning som genomför vissa viktiga delar i rätten till uppgiftsskydd enligt artikel 8 i

text: artikel 8 i direktiv 95/46/EG

text: (se punkt 2.3). unionens stadga om de grundläggande rättigheterna. Lag stiftaren måste tydligt visa att dessa begränsningar är nöd vändiga och proportionella. Dessutom måste de specifika 24. Datatillsynsmannen välkomnar också det faktum att upp situationer där sådana begränsningar är nödvändiga anges i gifter endast får överföras för samma ändamål som för texten till förslaget, eller i ett skäl. vilka de samlades in. De särskilda ändamålen för vilka upp gifter får överföras till tredjeländer och vilka kategorier av uppgifter som får överföras bör dock anges uttryckligen i förslaget i och i princip begränsas till kampen mot över 2.5 Lagring av uppgifter trädelser mot punktskattelagstiftningen. Det bör också anges att överföring av personuppgifter till tredjeländer en 20. I artikel 21.1 i förslaget införs en skyldighet att lagra upp dast får göras av nationella skattemyndigheter. gifter om förflyttningar inom gemenskapen inom minst tre år, beroende på den behöriga myndighetens lagringspolicy, för att uppgifterna ska gå att använda i de förfaranden som 25. Datatillsynsmannen påminner också om att överföringar till fastställs i förordningen. tredjeländer enligt direktiv

text: i princip endast är till låtna om en tillräckligt hög skyddsnivå garanteras i motta garlandet. Överföring till länder som inte tillhandahåller ett tillfredsställande skydd kan endast vara motiverad om något 21. Datatillsynsmannen välkomnar att personuppgifter måste av de undantag som anges i

text: artikel 26 i direktiv 95/46/EG

text: raderas eller anonymiseras när denna period har löpt ut är tillämpliga, till exempel om överföringen är nödvändig (se

text: artikel 21.2

text: ). Förslaget bör dock inte enbart innehålla eller det finns tvingande regler för detta för att skydda bestämmelser om kortast tillåtna lagringsperiod utan även allmänhetens intresse ( 3 ). Detta undantag får dock endast om längsta tillåtna period för att lagra dessa uppgifter. tillämpas om överföringen är av intresse för myndigheterna Dessutom borde det motiveras och visas att det är nödvän i en EU-medlemsstat och inte enbart för myndigheterna i digt att lagra personuppgifterna under denna period, åtmin mottagarlandet ( 4 ). Undantag bör dessutom endast tillämpas stone i skälen till förslaget. från fall till fall, vilket innebär att inga massiva eller syste matiska överföringar av uppgifter bör baseras på det un dantag som avser allmänhetens intresse. 2.6 Internationella överföringar 26. Dessutom bör det berörda rättsliga åtagandet från tredje 22. I artikel 32.1 i förslaget fastställs att information som har landet omfatta särskilda skyddsåtgärder i fråga om skyddet inhämtats enligt förslaget får vidarebefordras till tredjeland för personlig integritet och personuppgifter och om de om samtliga följande villkor är uppfyllda och om trans registrerades möjlighet att utöva sina rättigheter. aktionerna förefaller strida mot punktskattelagstiftningen: — Det berörda tredjelandet har rättsligt förbundit sig att ge 27. Datatillsynsmannen välkomnar att det i förslaget särskilt det bistånd som är nödvändigt för insamling av bevis hänvisas till att direktiv

text: och förordning (EG) nr material för det oriktiga i en transaktion. 45/2001 är tillämpliga på den behandling av personupp gifter som omfattas av förordningen, och föreslår att denna hänvisning ska preciseras närmare. C 74/4 SV Europeiska unionens officiella tidning 13.3.2012

text: 28. Datatillsynsmannen utfärdar följande rekommendationer i — Den längsta tillåtna perioden för lagring av uppgifter syfte att förbättra texten ur uppgiftsskyddsperspektiv: om förflyttningar inom gemenskapen bör fastställas i förordningen. — De uppgiftskategorier som ska utbytas mellan behöriga myndigheter bör anges i förslaget. — Lagringsperioden bör motiveras i förordningens ingress. — Datatillsynsmannen förväntar sig att rådfrågas om ge nomförandeåtgärder i samband med skyddet för per — Internationella överföringar av uppgifter om misstänkta sonuppgifter. transaktioner bör vara förenliga med artiklarna

text: och

text: i direktiv 95/46/EG och deras omfattning, avsända rens identitet samt ändamålet med överföringen bör — Det bör införas skyddsåtgärder i fråga om tillåten an fastställas. vändning av information i samband med misstänkta fall av bedrägeri i förordningens text. Utfärdat i Bryssel den 27 januari 2012. — Lagstiftaren måste tydligt visa att begränsningarna av rätten till information och tillgång är nödvändiga och proportionella. Dessutom måste de specifika situationer Giovanni BUTTARELLI där sådana begränsningar är nödvändiga anges i texten till förslaget, eller i ett skäl. Biträdande Europeisk datatillsynsman


text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA YTTRANDE

text: HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: I. INLEDNING I.1 Samråd med Europeiska datatillsynsmannen och syftet med yttrandet

text: ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) KOM(2011) 937 slutlig. ( 4 ) Se punkterna 8–9 i detta yttrande.

text: II. ANALYS AV FÖRSLAGET TILL BESLUT

text: ( 1 ) Avtal mellan Europeiska gemenskapen och Amerikas förenta stater om samarbete och ömsesidigt bistånd i tullfrågor (EGT L 222, 12.8.1997, s. 17), se http://ec.europa.eu/world/agreements/prepareCreateTreatiesWorkspace/ treatiesGeneralData.do?step=0&redirect=true&treatyId=308 (sammanfattning och fullständig text). ( 2 ) Förslag till beslut av gemensamma tullsamarbetskommittén EU–USA om ömsesidigt erkännande av programmet Customs-Trade Partnership against Terrorism i USA och programmet för godkända ekonomiska aktörer i Europeiska unionen. ( 3 ) Personuppgifter definieras i

text: artikel 2

text: a i direktiv

text: och

text: artikel 2

text: a i förordning

text: (EG) nr 45/2001

text: som varje upplysning som avser en identifierad eller identifierbar fysisk person. ( 4 ) Se även Europeiska datatillsynsmannens yttrande om förslaget till rådets beslut om unionens ståndpunkt i den gemensamma tullsamarbetskommittén för EU och Japan om det ömsesidiga erkännandet av programmen för god kända ekonomiska aktörer i Europeiska unionen och Japan, som finns på http://eur-lex.europa.eu/LexUriServ/ LexUriServ.do?uri=OJ:C:2010:190:0002:0006:EN:PDF ( 5 ) EU-domstolen, 9 november 2010, Volker och Markus Schecke,

text: och

text: , punkt 53 (se http://curia. europa.eu/jurisp/cgi-bin/gettext.pl?where=&lang=en&num=79898890C19090092&doc=T&ouvert=T&seance=ARRET).

text: ( 1 ) Se avsnitt I.2 i förslaget till beslut. ( 2 ) I förordningen står dessutom att dessa överföringar endast kan ske om uppgifterna överförs ”uteslutande för att göra det möjligt för den registeransvarige att utföra de uppgifter för vilka han har behörighet”. ( 3 ) Se artiklarna

text: och

text: i förordningen, artiklarna 25.1 och 25.2 i dataskyddsdirektivet och EU:s nationella lagar om dataskydd som införlivar dem. Se även Europeiska datatillsynsmannens yttrande om EU–Japans gemensamma tull samarbete som nämns ovan. ( 4 ) I dessa fall tullmyndigheterna i EU och dess medlemsstater. ( 5 ) I vissa medlemsstater kan endast myndigheter för dataskydd godkänna överföringen. ( 6 ) Artikel 26.2 i dataskyddsdirektivet och

text: artikel 9.7 i förordningen

text: . ( 7 ) Se även Europeiska datatillsynsmannens skrivelse ”Transfers of personal data to third countries: ’adequacy’ of signa tories to Council of Europe Convention 108 (Case 2009-0333)” på följande webbadress: http://www.edps.europa.eu/ EDPSWEB/webdav/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_ EN.pdf

text: ( 1 ) Se

text: artikel 9.6 d i förordningen

text: eller artikel 26.1 d i dataskyddsdirektivet som, enligt skäl 58 i dataskyddsdirektivet innefattar utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter. ( 2 ) Se artikel 29-arbetsgruppens dokument av den 25 november 2005 om en gemensam tolkning av

text: artikel 26.1 i direktiv 95/46/EG av den 24 oktober 1995

text: ), s. 7–9, på följande webbadress: http://ec.europa.eu/justice/ policies/privacy/docs/wpdocs/2005/wp114_en.pdf ( 3 ) Se avsnitt IV 3 a–g i förslaget till beslut. ( 4 ) Se

text: artikel 8.5 i direktiv 95/46/EG

text: och

text: . ( 5 ) Se

text: artikel 27

text: a i förordning

text: (EG) nr 45/2001

text: och EU:s nationella lagstiftning om data om att genomföra

text: artikel 20 i direktiv 95/46/EG

text: ( 1 ) Såsom redan förutses i artikel 33 i det nya förslaget till förordning om skydd av enskilda när det gäller bearbetning av personuppgifter och om den fria rörligheten för sådana uppgifter (allmänna förordningen om dataskydd) (KOM(2012) 11/4 förslag). ( 2 ) Se avsnitt V.5 i förslaget till beslut.

text: III. SLUTSATS

text: ( 1 ) Se avsnitt V.4, sista meningen.

amnesord:
International Agreements
Transfers of data

title: EU-US Joint Customs Cooperation

text: 6.6.2012 Europeiska SV unionens officiella tidning C 160/1

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till rådets beslut om unionens ståndpunkt i gemensamma tullsamarbetskommittén EU–USA avseende ömsesidigt erkännande av program för godkända ekonomiska aktörer i Europeiska unionen och Förenta staternas program Custom-Trade Partnership against Terrorism

text: (2012/C 160/01)

text: med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt

text: artikel 16

text: med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

text: med beaktande av Europarlamentets och

text: rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp gifter ( 1 ), och

text: med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt

text: artikel 41

text: ( 2 ).

text: 1. Den 5 januari 2011 antog kommissionen ett förslag till rådets beslut om unionens ståndpunkt i gemensamma tullsamarbetskommittén EU–USA avseende ömsesidigt erkännande av program för god kända ekonomiska aktörer i Europeiska unionen och Förenta staternas program Customs-Trade Part nership Against Terrorism ( 3 ) (nedan kallat: ”förslaget”). Förslaget sändes till datatillsynsmannen samma dag.

text: 2. Datatillsynsmannen hade tidigare deltagit i informella samråd och lämnat ett antal informella kom mentarer till kommissionen. Syftet med detta yttrande är att komplettera dessa kommentarer mot bakgrund av föreliggande förslag och göra datatillsynsmannens uppfattningar allmänt tillgängliga.

text: 3. Datatillsynsmannen inser att behandling av personuppgifter inte är det centrala i förslaget. Merparten av den information som behandlas kommer inte att innehålla några personuppgifter, enligt definitionen i dataskyddslagen ( 4 ). Lagen ska ändå följas även då detta förekommer, vilket förklaras nedan. C 160/2 SV Europeiska unionens officiella tidning 6.6.2012 I.2 Förslagets bakgrund

text: 4. Syftet med förslaget är att få till stånd ett ömsesidigt erkännande av EU:s och USA:s program för handelspartnerskap – det vill säga EU:s godkända ekonomiska aktörer (GEA) och Förenta staternas Customs-Trade Partnership against Terrorism (C-TPAT) – för att underlätta handeln för aktörer som har investerat i säkerhet för leverantörskedjor och ingår i ett av dessa program.

text: 5. Förbindelserna mellan EU och Förenta staterna på tullområdet bygger på avtalet om samarbete och ömsesidigt bistånd i tullfrågor ( 1 ). Genom denna överenskommelse inrättas den gemensamma tullsam arbetskommittén, som består av företrädare för tullmyndigheterna i EU och Förenta staterna. Ömsesi digt erkännande ska fastställas genom ett beslut i denna kommitté. Förslaget består därför av: — en motivering — ett förslag till rådets beslut om att EU kommer att inta en ståndpunkt inom den gemensamma tullsamarbetskommittén i enlighet med vad som anges i förslaget till beslut om ömsesidigt erkän nande — förslaget till beslut från den gemensamma tullsamarbetskommittén om ömsesidigt erkännande av EU:s GEA och USA:s C-TPAT (nedan kallat: ”förslaget till beslut”) ( 2 ).

text: 6. Förslaget till beslut ska genomföras av tullmyndigheterna som har fastställt ett förfarande för ömsesidig validering (ansökningsförfarande för beviljande av medlemskap för aktörerna, bedömning av ansök ningar, beviljande av medlemskap och övervakning av medlemskapsstatus).

text: 7. Ett väl fungerande ömsesidigt erkännande bygger därmed på utbyte av information mellan EU:s och Förenta staternas tullmyndigheter om handelsaktörer som redan ingår i partnerskapsprogrammet. II.1 Behandling av uppgifter rörande fysiska personer

text: 8. Även om syftet med förslaget till beslut inte är att behandla personuppgifter kommer viss information som utbyts att gälla fysiska personer, särskilt om aktören är en fysisk person ( 3 ) eller om den officiella titeln för den juridiska person som fungerar som aktör medför att en fysisk person kan identifieras ( 4 ).

text: 9. Betydelsen av dataskydd i detta sammanhang har betonats av EU-domstolen i dess avgörande i Scheckemålet. Enligt domstolen kan juridiska personer kräva skydd av rätten till privatliv och dataskydd, i enlighet med Europeiska unionens stadga om de grundläggande rättigheterna, om den juridiska perso nens officiella titel medför att en eller flera fysiska personer kan identifieras ( 5 ). I detta yttrande kommer därför att analyseras hur utbytet av personuppgifter rörande aktörer regleras i förslaget till beslut. 6.6.2012 Europeiska SV unionens officiella tidning C 160/3 II.2 Tillämplighet av EU:s rambeslut om skydd av personuppgifter

text: 10. Behandlingen kommer att genomföras av de tullmyndigheter som anges i

text: artikel 1

text: b i avtalet om samarbete och ömsesidigt bistånd i tullfrågor ( 1 ). Definitionen hänför sig inom EU till ”behöriga enhe ter” inom Europeiska kommissionen och tullmyndigheter i EU:s medlemsstater. Enligt EU:s dataskydd slagstiftning omfattas behandling som genomförs av EU:s medlemsstater av direktiv

text: (nedan kallat: ”dataskyddsdirektivet”) och av nationell lagstiftning om dataskydd för genomförande av data skyddsdirektivet, medan behandling av personuppgifter som genomförs av EU:s institutioner och organ omfattas av förordning

text: (EG) nr 45/2001

text: (nedan kallad: ”förordningen”). I detta fall är därför både dataskyddsdirektivet och förordningen tillämpliga. II.3 Skyddsnivå

text: 11. Utbytet av information ska ske i elektroniskt format och i enlighet med avtalet om samarbete och ömsesidigt bistånd i tullfrågor. I artikel 17.2 i samarbetsavtalet anges att personuppgifter endast får överföras mellan parterna i en överenskommelse om den part som mottar uppgifterna förpliktar sig att beträffande sådana uppgifter tillämpa en skyddsnivå som minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna.

text: 12. Datatillsynsmannen välkomnar denna bestämmelse som bör uppfattas som att den syftar till att upp fylla EU:s lagstiftning om dataskydd. Enligt artikel 25 i dataskyddsdirektivet och

text: artikel 9 i förordningen

text: kan som huvudregel uppgifter endast överföras från EU till tredje land om det mottagande landet säkerställer en ”adekvat” skyddsnivå ( 2 ). Artikel 17.2 i samarbetsavtalet förefaller därmed striktare än dataskyddsdirektivet.

text: 13. Det bör därför analyseras på grundval av alla relevanta omständigheter om de mottagande myndighe terna i Förenta staterna verkligen garanterar motsvarande skyddsnivå (eller åtminstone en ”adekvat” nivå). Analysen av huruvida nivån är adekvat måste genomföras mot bakgrund av alla omständigheter som omger överföringen eller uppsättningen överföringar ( 3 ).

text: 14. Europeiska kommissionen har inte funnit att Förenta staterna som helhet erbjuder en adekvat skydds nivå. I avsaknad av ett allmänt beslut om adekvat skydd kan registeransvariga ( 4 ), under överinseende av myndigheter för dataskydd ( 5 ), besluta att skyddet som tillhandahålls i detta särskilda fall är adekvat. EU:s medlemsstater (eller Europeiska datatillsynsmannen om överföringen genomförs av EU:s institu tioner eller organ) får även tillåta en särskild överföring eller en uppsättning överföringar av person uppgifter till ett tredjeland om den registeransvarige ställer tillräckliga garantier ( 6 ).

text: 15. Dessa tillfälliga beslut om att skyddet är adekvat kan tillämpas i detta fall om de nationella tullmyn digheterna och de av Europeiska kommissionens enheter som ansvarar för tullfrågor lämnar tillräckliga bevis till stöd för påståendena om att de amerikanska tullmyndigheterna infört ett adekvat skydd när det gäller sådant utbyte som avses i förslaget till beslut ( 7 ).

text: 16. Europeiska datatillsynsmannen har emellertid inte tillräckliga bevis för att de amerikanska tullmyndig heterna säkerställer en dataskyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i avtalet om sam arbete och ömsesidigt bistånd i tullfrågor. C 160/4 SV Europeiska unionens officiella tidning 6.6.2012

text: 17. Europeiska datatillsynsmannen är därför mån om att säkerställa att bevis som visar att de amerikanska tullmyndigheterna tryggar en skyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i samarbets avtalet, blir tillgängliga för datatillsynsmannen och nationella myndigheter för dataskydd. Detta bör krävas genom en bestämmelse i förslaget till beslut.

text: 18. Avslutningsvis kan utbyte av personuppgifter från EU till länder som inte garanterar en ”adekvat” skyddsnivå även tillåtas om något av undantagen i artikel 26.1 i dataskyddsdirektivet eller

text: artikel 9.6 i förordningen

text: tillämpas. I detta särskilda fall kan det hävdas att utbytet är ”nödvändigt eller bindande enligt författning av skäl som rör viktiga allmänna intressen” ( 1 ). Dessa undantag bör emellertid tolkas restriktivt och kan inte ligga till grund för massiva eller systematiska överföringar av personuppgifter ( 2 ). Enligt datatillsynsmannens uppfattning skulle dessa undantag inte vara till hjälp i detta fall. II.4 Begränsning av ändamålet

text: 19. I avsnitt V.1 i förslaget till beslut anges att de uppgifter som utbyts endast får bearbetas av den mottagande tullmyndigheten i syfte att genomföra förslaget till beslut, i enlighet med artikel 17 i samarbetsavtalet.

text: 20. Emellertid medges behandling av andra skäl även enligt avsnitt V.3, fjärde strecksatsen och artikel 17.3 i samarbetsavtalet. Med tanke på att syftena i förslaget till beslut går längre än tullsamarbete och innefattar kampen mot terrorism tillråder datatillsynsmannen att alla tänkbara syften för överföring av personuppgifter ska specificeras i texten till beslutet. Dessutom bör alla uppgifter som överförs vara nödvändiga och proportionella för att uppfylla dessa syften. Det bör även specificeras att de registrerade ska informeras på ett begripligt sätt om alla syften och villkor när det gäller behandling av deras personuppgifter. II.5 Kategorier av uppgifter som kan utbytas

text: 21. Uppgifter om handelspartnerskapsprogrammens medlemmar som kan utbytas mellan tullmyndigheter är följande: namn, adress, medlemskapsstatus, datum för validering eller godkännande, upphävanden och återkallanden, det unika tillstånds- eller identifieringsnumret, samt ”eventuella uppgifter som öm sesidigt överenskommits mellan tullmyndigheterna, i förekommande fall med sådana säkerhetsföreskrif ter som kan behövas” ( 3 ). Eftersom detta sista område är alltför öppet rekommenderar datatillsyns mannen att det anges vilka kategorier av uppgifter som kan ingå.

text: 22. Datatillsynsmannen noterar även att uppgifter som utväxlas kan innefatta uppgifter om lagöverträdelser eller misstänkta överträdelser, exempelvis uppgifter rörande upphävande och återkallande av medlem skap. Datatillsynsmannen betonar att EU:s dataskyddslagstiftning är begränsad till behandling av person uppgifter när det gäller lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder ( 4 ). Behandling av dessa kategorier uppgifter kan omfattas av kontroll i förväg av datatillsynsmannen och EU:s nationella myndigheter för dataskydd ( 5 ). II.6 Vidareöverföring

text: 23. Enligt avsnitt V.3, tredje strecksatsen, får inte uppgifter överföras till tredjeländer eller internationella organ utan föregående medgivande från den myndighet som har lämnat uppgifterna, i enlighet med de villkor som denna myndighet fastställt. Vidareöverföring bör endast vara tillåten om en motivering lämnas. 6.6.2012 Europeiska SV unionens officiella tidning C 160/5

text: 24. Det förefaller därför som om avsnitt V.3 borde innefatta en bestämmelse liknande den som ingår i artikel 17.2 i samarbetsavtalet, där det anges att personuppgifter endast kan överföras till ett tredjeland om det mottagande landet garanterar en skyddsnivå som minst motsvarar den som krävs i förslaget till beslut. Det skydd som beviljas personuppgifter enligt detta förslag till beslut skulle annars kunna kringgås genom vidareöverföringar.

text: 25. I denna bestämmelse bör i vilket fall som helst syftet med dessa överföringar och de särskilda situa tioner när de är tillåtna anges. Det bör också uttryckligen slås fast att nödvändigheten och proportio naliteten i internationell vidareöverföring måste bedömas från fall till fall och att massiva eller syste matiska överföringar inte är tillåtna. Skyldigheten att informera de registrerade om möjligheten till internationell vidareöverföring bör också ingå i texten. II.7 Lagring av uppgifter

text: 26. Europeiska datatillsynsmannen välkomnar avsnitt V.2 enligt vilket det är förbjudet att behandla eller bevara informationen längre än nödvändigt för det ändamål för vilket den överförs. En maximalt till låten period för lagring av uppgifter bör också fastställas. II.8 Säkerhet och ansvarighet

text: 27. I avsnitt IV anges att utbyte av information kommer att genomföras elektroniskt. Enligt datatillsyns mannen bör ytterligare detaljer om systemet för informationsutbyte fastställas i detta avsnitt. I vilket fall som helst bör det valda systemet innefatta skydd av privatlivet och personuppgifter från och med utformningsstadiet (inbyggda säkerhetsmekanismer).

text: 28. Datatillsynsmannen välkomnar i detta hänseende de säkerhetsgarantier som planeras i avsnitt V.3, första och andra strecksatsen, vilka innefattar tillträdeskontroll, ”skydd mot obehörig tillgång, spridning och ändring, radering eller förstöring” och kontroll av att uppgifterna endast behövs för de ändamål som anges i förslaget till beslut. Datatillsynsmannen välkomnar även de tillträdesloggar som planeras i avsnitt V.3, femte strecksatsen.

text: 29. Datatillsynsmannen rekommenderar även att man i dessa bestämmelser innefattar skyldigheten att genomföra en konsekvensbedömning av dataskyddet (inklusive en riskbedömning) innan utbytet av uppgifter inleds. Bedömningen bör innefatta en riskbedömning och de åtgärder som planeras för att hantera riskerna ( 1 ). I texten bör också specificeras att överensstämmelse med dessa åtgärder och deras genomförande ska revideras och rapporteras regelbundet. Detta är desto mer relevant med tanke på att känsliga uppgifter kan komma att behandlas. II.9 Uppgiftskvalitet och rättigheter för de registrerade

text: 30. Europeiska datatillsynsmannen välkomnar tullmyndigheternas skyldighet att se till att den information som utbyts är korrekt och uppdateras regelbundet (se avsnitt V.2 och V.5). Han välkomnar även avsnitt V.4, där det garanteras att partnerskapsprogrammets aktörer har rätt att få tillgång till och ändra sina personliga uppgifter.

text: 31. Datatillsynsmannen noterar emellertid att utövandet av dessa rättigheter omfattas av tullmyndighetens inhemska lagstiftning. När det gäller uppgifter från EU:s tullmyndigheter, och för att garantera en ”adekvat” skyddsnivå (se avsnitt II.3 i detta yttrande), bör dessa rättigheter endast begränsas om det krävs för att trygga ett viktigt ekonomiskt eller finansiellt intresse.

text: 32. Datatillsynsmannen välkomnar även det faktum att tullmyndigheter är skyldiga att radera uppgifter de har erhållit om insamling och behandling av dessa strider mot förslaget till beslut eller samarbets avtalet ( 2 ). Datatillsynsmannen vill erinra om att i enlighet med artikel 17.2 i samarbetsavtalet gäller denna bestämmelse för all behandling som strider mot EU:s lagstiftning om dataskydd. C 160/6 SV Europeiska unionens officiella tidning 6.6.2012

text: 33. Datatillsynsmannen välkomnar skyldigheten för tullmyndigheter att informera programmedlemmar om deras möjligheter att söka prövning ( 1 ). Det bör emellertid klargöras vilka möjligheter till prövning som finns om den säkerhet för skydd av uppgifter som garanteras i förslaget till beslut överträds. I denna bestämmelse bör också specificeras att andra registrerade (det vill säga aktörer som ansöker om med lemskap) också bör informeras om möjligheten att söka prövning. II.10 Tillsyn

text: 34. Datatillsynsmannen välkomnar avsnitt V.6 som innebär att hela avsnitt V omfattas av ”oberoende tillsyn” av USA:s Department of Homeland Security's Chief Privacy Officer, Europeiska datatillsyns mannen och nationella myndigheter för dataskydd.

text: 35. Det bör också anges att datatillsynsmannen och nationella myndigheter för dataskydd bör övervaka att den mottagande tullmyndighetens skyddsnivå för personuppgifter är ”adekvat” (se avsnitt III.1.). Avsnitt IV bör också omfattas av tillsyn.

text: 36. Europeiska datatillsynsmannen välkomnar de garantier som planeras i förslaget till beslut, särskilt vad gäller datasäkerhet. Bevis för att de amerikanska tullmyndigheterna säkerställer en dataskyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i samarbetsavtalet, bör emellertid vara tillgängliga för datatill synsmannen och nationella myndigheter för dataskydd. Detta bör krävas genom en bestämmelse i förslaget till beslut.

text: 37. Dessutom rekommenderar datatillsynsmannen följande: — Syftet/syftena med utbytet av uppgifter som planeras i förslaget till beslut bör anges och dessa bör vara nödvändiga och proportionella. — Kategorier av uppgifter som ingår i avsnitt IV.3 g bör anges. — Om nödvändigheten av internationella vidareöverföringar motiveras bör det framgå att dessa endast tillåts, från fall till fall, för jämförbara syften och om det mottagande landet garanterar en skydds nivå som minst motsvarar den som beviljas enligt förslaget till beslut. — Skyldigheten att informera alla registrerade om ovanstående bör inkluderas. — Säkerhetsbestämmelserna bör kompletteras. — Maximal tillåten lagringsperiod för uppgifterna bör anges. — Rättigheterna för de registrerade inom EU bör inte begränsas om inte sådana restriktioner är nödvändiga för att skydda ett viktigt ekonomiskt eller finansiellt intresse. — Rätten till prövning bör garanteras. — Avsnitt IV bör omfattas av tillsyn. — Det bör anges att europeiska datatillsynsmannen, EU:s nationella myndigheter för dataskydd och den amerikanska Department of Homeland Security's Chief Privacy Officer bör övervaka skydd som införts av den mottagande tullmyndigheten för att säkerställa att adekvat skyddsnivå för person uppgifter är effektiva och i linje med EU:s krav. 6.6.2012 Europeiska SV unionens officiella tidning C 160/7

text: 38. Datatillsynsmannen noterar även att förslaget kan innebära behandling av personuppgifter rörande brott eller misstänkta brott. Dessa uppgifter omfattas av strängare skydd enligt EU:s lagstiftning och kan omfattas av kontroll i förväg av datatillsynsmannen och av EU:s nationella myndigheter för dataskydd. Utfärdat i Bryssel den 9 februari 2012. Giovanni BUTTARELLI Biträdande Europeisk datatillsynsman