text: FÖRSLAGET OCH DESS RELEVANS FÖR DATASKYDD

text: ( 4 ) Se dom av den 23 februari i

text: mål C-42/97

text: , Europaparlamentet mot Europeiska unionens råd, REG 1999, s. I-869, punkt 43.

text: Europeiska datatillsynsmannen (datatillsynsmannen) har ( 5 ) Se även bland annat dom av den 30 januari 2001 i

text: mål C-36/98

text: , inte hörts enligt kravet i artikel 28.2 i förordning (EG) nr Spanien mot rådet, REG 2001, s. I-779, punkt 59: ”Om bedöm 45/2001 ( 3 ). Datatillsynsmannen har därför handlat på eget ningen av en gemenskapsrättsakt visar att den har ett dubbelt syfte eller två beståndsdelar och om det framgår att en av dessa kan initiativ och antagit detta yttrande i enlighet med identifieras som den huvudsakliga eller avgörande beståndsdelen, medan den andra endast är av underordnad betydelse, skall rättsak ( 1 ) KOM(2008) 0810 slutlig. ten endast antas med stöd av en rättslig grund, nämligen den som ( 2 ) EUT L 37, 13.2.2003, s. 24. bestäms av syftet eller av den huvudsakliga eller avgörande bestånds ( 3 )

text: Europaparlamentets och rådets förordning (EG) nr 45/2001

text: av den delen.” 18 december 2000 om skydd för enskilda då gemenskapsinstitutio ( 6 ) Interinstitutionella avtalet av den 28 november 2001 om en mer nerna och gemenskapsorganen behandlar personuppgifter och om strukturerad användning av omarbetningstekniken för rättsakter, den fria rörligheten för sådana uppgifter, EGT L 8, 12.1.2001, s. 1. EGT C 77, 28.3.2002, s. 1.

text: ( 15 ) Se t.ex. BBC:s artikel på Internet Children’s files on eBay computer av den 4 maj 2007 som handlar om försäljning på eBay av en dator

text: möjliga skadliga inverkan som bortskaffandet av WEEE kan (http://news.bbc.co.uk/2/hi/uk_news/england/6627265.stm), se få på skyddet av personuppgifter som lagras i ”använda” även BBC:s artikel på Internet Bank customer data sold on eBay av den 26 augusti 2008 som handlar om försäljning på eBay av en

text: hårddisk som innehöll personuppgifter om en miljon bankkunder (http://news.bbc.co.uk/2/hi/uk_news/7581540.stm). ( 16 ) Se HP från samrådet med berörda parter om översyn av Europa parlamentets och

text: rådets direktiv 2002/96/EG

text: om avfall som utgörs 21. Denna aspekt beaktades inte heller i kommissionens kon av eller innehåller elektriska och elektroniska produkter (WEEE), s. sekvensbedömning ( 14 ) trots att erfarenheten visar att 7–8; DELL (synpunkter på utkastet), översyn av alternativen för WEEE från samrådet med berörda parter om översyn av Europa

text: parlamentets och

text: rådets direktiv 2002/96/EG

text: om avfall som utgörs av eller innehåller elektriska och elektroniska produkter (WEEE), s. ( 11 ) Se yttrandet från Europeiska datatillsynsmannen om byrån för stora 2, punkterna 1.1 och 4 samt 1.3 (3.6.2008), Royal Philips Electro IT-system (EUT C 70, 19.3.2010, s. 13), punkterna 46 och 47, nics ståndpunkt och förslag från samrådet med berörda parter om yttrandet om förslaget till ett direktiv om tillämpningen av patien översyn av direktivet om WEEE, s. 12 (5.6.2008) (http://circa. trättigheter vid gränsöverskridande hälso- och sjukvård (EUT C 128, europa.eu/Public/irc/env/weee_2008_review/library). Se även svaren 6.6.2009, s. 20, punkterna 27–31. på samrådet om WEEE, sammanfattning av svaren och regeringens ( 12 ) Se artikel 3 i samma direktiv. svar vid det fjärde samrådet om införandet av direktiven ( 13 )

text: Europaparlamentets och rådets direktiv 2009/136/EG

text: av den

text: och

text: om avfall som utgörs av eller in 25 november 2009 om ändring av direktiv

text: om sam nehåller elektriska och elektroniska produkter, december 2006, s. hällsomfattande tjänster och användares rättigheter avseende elek 30 ”Data protection and security. Some waste management com troniska kommunikationsnät och kommunikationstjänster, direktiv panies would like there to be some guidance issued on data pro

text: om behandling av personuppgifter och integritets tection and security, particularly in light of the fact they will be skydd inom sektorn för elektronisk kommunikation och förordning handling sensitive data” (http://www.berr.gov.uk/files/file35961.pdf).

text: (EG) nr 2006/2004

text: om samarbete mellan de nationella tillsyns ( 17 ) Landesbeauftragter für Datenschutz und Informationsfreiheit Bre myndigheter som ansvarar för konsumentskyddslagstiftningen. men, Entwicklung eines Konzeptes zur Löschung und Datenträger EUT L 337, 18.12.2009, s. 11. vernichtung durch Behörden und Unternehmen, 16. Mai 2007 ( 14 ) Arbetsdokument från kommissionens avdelningar som åtföljer för (http://www.datenschutz-bremen.de/rtf/datenloeschung.rtf); Garante slag till Europaparlamentets och rådets direktiv om avfall som ut per la protezione dei dati personali, Electrical and Electronic Waste görs av eller innehåller elektriska eller elektroniska produkter and Data Protection, 13 oktober 2008 (http://www.garanteprivacy. (WEEE) (omarbetning), SEK(2008) 2933, 3.12.2008, se dock United it/garante/doc.jsp?ID=1583482), även omnämnt i den tolfte årsrap Nations University, översyn 2008 av direktiv

text: om avfall porten från artikel 29-arbetsgruppen för uppgiftsskydd den 16 juni som utgörs av eller innehåller elektriska eller elektroniska produkter 2009, s. 57; se även rekommendationerna från den internationella (WEEE) (omarbetning), Europeiska kommissionen, Belgien, 2007, s. arbetsgruppen för uppgiftsskydd inom telekommunikationer som 273 (http://ec.europa.eu/environment/waste/weee/pdf/final_rep_unu. handlar om uppgiftsskydd och elektronikavfall, Sofia, pdf); (Data security is also an issue — removing personal data from 12–13.3.2009 (http://www.datenschutz-berlin.de/attachments/650/ a hard-drive). 675.38.14.pdf?1264671551).

text: ( 19 ) Se t.ex. rapporten från Europeiska datatillsynsmannen och EU:s ramprogram för forskning och utveckling av den 28 april 2008, s. 2; yttrandet från Europeiska datatillsynsmannen som handlar om intelligenta transportsystem (EUT C 47, 25.2.2010, s. 6); yttrandet från Europeiska datatillsynsmannen som handlar om övervakning av läkemedel (EUT C 229, 23.9.2009, s. 19). III.3. Återanvändning eller materialåtervinning av ( 20 ) För en vid tillämpning av principen, se artikel 29-arbetsgruppen för WEEE och säkerhetsåtgärder uppgiftsskydd – arbetsgruppen för polisiära och rättsliga frågor, personlig integritet i framtiden. Det gemensamma bidraget till Eu 29. Eftersom de som ansvarar för bortskaffandet av EEE tillåts ropeiska kommissionens samråd om den rättsliga ramen för de fatta självständiga beslut om uppgifter som finns i EEE kan grundläggande rättigheterna till skydd av personuppgifter, WP de anses vara registeransvariga ( 18 ). De måste därför införa 168, som antogs den 1 december 2009, s. 3 och 12; se även interna rutiner för att undvika onödig databehandling av kommissionens rekommendation om genomförandet av princi perna om integritets- och dataskydd i tillämpningar som stöds av eventuella personuppgifter som lagras i WEEE, det vill säga radiofrekvensidentifiering, C(2009) 3200 slutlig, s. 8. ( 21 ) Se kommissionens meddelande: En europeisk agenda för forskning ( 18 ) I sitt yttrande Opinion 1/2010 on the concepts of ”controller” and och innovation inom säkerhetsområdet – kommissionens initiala ”processor” som antogs den 16 februari 2010 fastslår

text: artikel 29

text: - ställningstagande till Esrifs huvudsakliga resultat och rekommenda arbetsgruppen för uppgiftsskydd (

text: WP 169

text: ) att begreppet register tioner, KOM(2009) 0691 slutlig, s. 6 och 14. ansvarig är […] funktionellt, i meningen att avsikten är att skyldig ( 22 ) Se även yttrandet från Europeiska datatillsynsmannen av den heter ska tilldelas där det faktiska inflytandet finns, och därför 18 mars 2010 om att främja förtroendet för informationssamhället grundas på en faktisk snarare än formell analys. genom att stödja skydd av personuppgifter och privatlivet.

text: ( 23 ) I

text: artikel 3.3 c i Europaparlamentets och rådets direktiv 1999/5/EG

text: om radioutrustning och teleterminalutrustning och om ömsesidigt —

text: Artikel 2.3

text: : ”Detta direktiv ska tillämpas utan att det erkännande av utrustningens överensstämmelse föreskrivs att kom påverkar tillämpningen av dataskyddslagstiftningen, sär missionen får ”besluta att utrustning i vissa utrustningsklasser eller skilt direktiv

text: ”. viss slags utrustning ska vara så konstruerad att […] den innehåller skyddsmekanismer för att säkerställa att användarens och abonnen tens personuppgifter och privatliv skyddas” (EGT L 91, 7.4.1999, s. 10). ( 24 ) ”När så krävs får åtgärder vidtas för att säkerställa att terminal 38. Dessutom finner datatillsynsmannen det lämpligt att föl utrustning är konstruerad så att den är förenlig med användarnas rätt till skydd och kontroll av sina personuppgifter i enlighet med jande ändringar tas i beaktande:

text: direktiv

text: och

text: rådets beslut 87/95/EEG av den 22 december 1986

text: om standardisering inom området infor mationsteknologi och telekommunikation”. Se även skäl 46 i samma direktiv som omnämns i fotnot 13. ( 25  —

text: Artikel 4.2

text: : ”Medlemsstaterna bör uppmuntra åtgärder ) Till stöd för detta strategiperspektiv se även V. Redings inlednings anförande vid dataskyddsdagen den 28 januari 2010, Europaparla för att främja sådan utformning och tillverkning av mentet, Bryssel, anförande/10/16 där Reding menar att ”företag elektriska och elektroniska produkter som underlättar måste använda sin innovationsförmåga för att förbättra skyddet radering av personuppgifter som finns i EEE vid bort för personlig integritet och personuppgifter redan i början av ut skaffandet” vecklingscykeln. Inbyggda skyddsmekanismer för att skydda den personliga integriteten (privacy by design) är en princip som främjar både medborgarnas och företagens intressen. Privacy by design kommer att leda till bättre skydd för den enskilde samt till förtro ende och tillförsikt när det gäller nya tjänster och produkter som i —

text: Artikel 8.7

text: : ”Medlemsstaterna ska se till allt insamlat sin tur kommer att inverka positivt på ekonomin. Jag har sett några WEEE som innehåller personuppgifter och som behand uppmuntrande exempel, men mycket mer återstår att göra”. 26 las för att återvinnas eller återanvändas inte säljs såvida ( ) Se t.ex. Kanadas ridande polis, B2-002 — IT Media Overwrite and Secure Erase Products (05/2009) på http://www.rcmp-grc.gc.ca/ts-st/ inte uppgifterna först har avlägsnats med bästa tillgäng pubs/it-ti-sec/index-eng.htm liga teknik.”

identifier: EDPS yttrande (2010)

amnesord:
Privacy by Design
Information Security

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Waste electrical and electronic equipment (WEEE)

serie: yttranden

text: C 280/16 SV Europeiska unionens officiella tidning 16.10.2010

type: stycke

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets direktiv om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE)

text: (2010/C 280/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA artikel 41.2 i samma förordning. Datatillsynsmannen re YTTRANDE kommenderar att en hänvisning till detta yttrande införs i ingressen i förslaget.

text: med beaktande av fördraget om Europeiska unionens funktions 3. Datatillsynsmannen är medveten om att detta råd kommer sätt, särskilt artikel 16, i ett sent skede av lagstiftningsförfarandet men anser likväl att det är lämpligt och av värde att framföra detta yttrande eftersom förslaget väcker viktiga frågor om dataskydd som inte behandlas i texten. Detta yttrande är inte avsett att med beaktande av Europeiska unionens stadga om de grund ändra det huvudsakliga och avgörande syftet och innehållet läggande rättigheterna, särskilt artikel 8, i förslaget, vars ”tyngdpunkt” ( 4 ) fortfarande ligger på mil jöskydd, utan är endast avsett att tillföra ytterligare en di mension som blir allt viktigare i vårt informationssam hälle ( 5 ).

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och 4. Datatillsynsmannen är även medveten om det begränsade om det fria flödet av sådana uppgifter, särskilt

text: artikel 17

text: , och tillämpningsområdet för förfarandet med omarbetning men uppmanar likväl lagstiftaren att beakta dessa rekommenda tioner i enlighet med artikel 8 i det interinstitutionella av talet om ett omarbetningsförfarande (enligt vilken det fast med beaktande av Europaparlamentets och rådets förordning ställs en möjlighet att ändra oförändrade bestämmelser) ( 6 ).

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för enskilda personer då gemenskapsinstitutionerna och gemen skapsorganen behandlar personuppgifter och om den fria rör II. SAMMANHANG OCH BAKGRUND NÄR DET GÄLLER ligheten för sådana uppgifter, särskilt

text: artikel 41

text: 5. Syftet med förslaget är att uppdatera det befintliga direkti vet om bortskaffande, återanvändning och materialåtervin HÄRIGENOM FRAMFÖRS FÖLJANDE. ning av WEEE. Tekniska, juridiska och administrativa svå righeter från de första årens genomförande av direktivet har lett fram till förslaget, i enlighet med vad som föreskrivs i

text: artikel 17.5 i direktivet

text: . I. INLEDNING

text: 1. Den 3 december 2008 antog kommissionen ett förslag till 6. Elektriska och elektroniska produkter (EEE) är en bred pro Europaparlamentets och rådets direktiv om avfall som ut duktgrupp som omfattar en mängd olika medier lämpade görs av eller innehåller elektriska eller elektroniska produk för lagring av personuppgifter – såsom IT- och telekom ter (WEEE) (nedan kallat förslaget) ( 1 ). Förslaget syftar till att munikationsutrustning (t.ex. persondatorer, bärbara datorer, omarbeta direktiv

text: om avfall som utgörs av elektroniska kommunikationsterminaler) – som i det aktu eller innehåller elektriska eller elektroniska produkter ella teknisk-ekonomiska sammanhanget kännetecknas av (WEEE) som antogs den 27 januari 2003 (nedan kallat allt snabbare innovationscykler och, på grund av teknisk direktivet) ( 2 ) utan att ändra varken bakgrunden till eller syf konvergens, tillgången till apparater med flera användnings tena med insamling och materialåtervinning av WEEE. områden. Utvecklingen av elektroniska lagringsmedier sker 16.10.2010 Europeiska SV unionens officiella tidning C 280/17 allt snabbare, särskilt när det gäller lagringskapacitet denna fas betingar ett lägre ekonomiskt värde innehåller de och -storlek, och marknadskrafterna gör därför att troligen en stor mängd personuppgifter och har därför omsättningen av EEE (som innehåller stora mängder, ofta troligen ett högt verkligt värde för de registrerade och/eller känsliga, personuppgifter) ökar i motsvarande takt. Detta andra personer. resulterar bland annat i att WEEE anses vara det avfallsflöde som ökar snabbast inom EU ( 7 ), men att det vid olämpligt bortskaffande av avfall även finns en uppenbart ökad risk för förlust och spridning av personuppgifter som lagras i denna typ av EEE. III. ANALYS AV FÖRSLAGET III.1. Tillämplighet av direktiv

text: 12. Datatillsynsmannen har inga synpunkter på förslagets över 7. Europeiska unionens politik när det gäller miljö och hållbar gripande målsättning och ställer sig utan förbehåll bakom utveckling har länge syftat till att minska slöseriet med initiativet som syftar till att förbättra miljövänliga strategier naturresurser och införa åtgärder för att förebygga miljö när det gäller WEEE. förstöring.

text: 8. Bortskaffandet, återanvändningen och materialåtervinningen 13. Förslaget, såväl som direktivet, är emellertid endast inriktat av WEEE omfattas av detta ramverk. Åtgärderna syftar till på miljöriskerna i samband med bortskaffandet av WEEE. att förebygga att elektriska och elektroniska produkter bort Det beaktar inte andra risker för individer och/eller organi skaffas tillsammans med blandat avfall och att ålägga till sationer som åtgärderna för bortskaffande, återanvändning verkare skyldigheten att tillhandahålla bortskaffande såsom eller materialåtervinning av WEEE kan medföra, särskilt de föreskrivs i direktivet. som är förknippade med sannolikheten för olämpligt för värv, utlämnande eller spridning av personuppgifter som lagras i WEEE.

text: 9. Bland de olika åtgärder som föreskrivs i direktivet är det särskilt värt att uppmärksamma de som avser återanvänd ning (dvs. varje åtgärd genom vilken WEEE eller komponen 8 14. Det är viktigt att notera att direktiv

text: ( ) är till ter till WEEE används för samma syfte som de ursprung lämpligt på ”varje åtgärd eller serie av åtgärder som vidtas ligen var avsedda för, inklusive fortsatt användning av pro beträffande personuppgifter” inklusive deras ”utplåning eller dukter, eller komponenter till sådana, som har lämnats in förstöring” (

text: artikel 2 b

text: ). Bortskaffande av EEE kan omfatta till insamlingsplatser, distributörer, återförsäljare, återvin behandling av uppgifter. Därför överlappar förslaget och ningsföretag eller tillverkare), materialåtervinning (dvs. bear det nämnda direktivet varandra, och dataskyddsbestämmel betning av avfallsmaterial i en produktionsprocess för det ser kan därför vara tillämpliga på aktiviteter som omfattas ursprungliga syftet eller för andra syften) samt åtgärder för av förslaget. att finna andra former för återvinning av WEEE för att minska bortskaffandet av avfall (se artiklarna

text: 3 d

text: och

text: 3 e

text: i direktivet). III.2. Bortskaffande av och säkerhetsåtgärder för WEEE

text: 10. Dessa åtgärder, i synnerhet återanvändning och materialå 15. Datatillsynsmannen har för avsikt att uppmärksamma de tervinning av WEEE och särskilt IT- och telekommunika betydande risker som kan drabba individer och/eller orga nisationer som är registeransvariga ( 9 ) om WEEE, i synnerhet tionsutrustning, kan innebära en större risk än tidigare för IT- och telekommunikationsutrustning, vid bortskaffandet att den som samlar in WEEE eller säljer och köper de innehåller personuppgifter om användarna av dessa appa använda eller återvunna produkterna kan få kännedom rater och/eller tredje man. Olaglig tillgång till eller utläm om eventuella personuppgifter som lagras däri. Sådana nande av sådana personuppgifter, som ibland kan bestå av uppgifter är ofta känsliga eller rör ett stort antal individer. särskilda kategorier av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filoso fisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv (s.k. känsliga uppgifter) ( 10 ), kan 11. Av samtliga ovannämnda skäl finner datatillsynsmannen mycket väl påverka de registrerade individernas personliga det angeläget att alla berörda parter (användare och tillver integritet och värdighet samt dessa individers/organisatio kare av EEE) blir medvetna om riskerna för personuppgif ners andra legitima intressen (t.ex. ekonomiska). ter, särskilt i slutfasen av livscykeln för EEE. Även om EEE i ( 8 )

text: Europaparlamentets och rådets direktiv 95/46/EG

text: av den ( 7 ) Se arbetsdokument från kommissionens avdelningar som åtföljer 24 oktober 1995 om skydd för enskilda personer med avseende förslag till Europaparlamentets och rådets direktiv om avfall som på behandling av personuppgifter och om det fria flödet av sådana utgörs av eller innehåller elektriska eller elektroniska produkter uppgifter, EGT L 281, 23.11.1995, s. 31. (WEEE) (omarbetning). Konsekvensbedömning av den 3 december ( 9 ) För definition av registeransvarig, se

text: artikel 2 d i direktiv 95/46/EG

text: . 2008 (KOM(2008) 0810 slutlig) SEK(2008) 2933, s. 17. ( 10 ) Se

text: artikel 8

text: , direktiv

text: . C 280/18 SV Europeiska unionens officiella tidning 16.10.2010

text: 16. Rent allmänt finner datatillsynsmannen det nödvändigt att säkerhetsåtgärder inte vidtas vid bortskaffandet av understryka betydelsen av att lämpliga säkerhetsåtgärder WEEE ( 15 ). På grund av de berörda ärendenas komplicerade antas under alla stadier (från början till slut) av behand natur (t.ex. mängden legitima metoder, tekniker och aktörer lingen av personuppgifter, vilket påpekats flera gånger i som är inblandade i cykeln för bortskaffande av WEEE) andra yttranden ( 11 ). Detta gäller i än högre grad under finner datatillsynsmannen att det hade varit lämpligt att den svåra fasen när den registeransvariga avser att bort genomföra en ”konsekvensbedömning av personlig integri skaffa apparater som innehåller personuppgifter. tet och uppgiftsskydd” för de processer som rör bortskaf fandet av WEEE.

text: 17. Respekten för säkerhetsåtgärder är ofta en förutsättning för att på ett effektivt sätt garantera rätten till skydd av person 22. Likväl rekommenderar datatillsynsmannen starkt att ”bästa uppgifter. tillgängliga teknik” utvecklas för personlig integritet, upp giftsskydd och säkerhet inom detta område.

text: 18. Det vore därför inkonsekvent att införa en skyldighet att genomföra (ibland kostsamma) säkerhetsåtgärder vid nor mal databehandling av personuppgifter (som avses i 23. Under det offentliga samrådet före omarbetningen av direk

text: artikel 17 i direktiv 95/46/EG

text: i tillämpliga fall) ( 12 ) och tivet har det förekommit att intressenter tagit upp ärenden sedan helt enkelt låta bli att överväga införandet av ade som rör säkerhet och skydd av personuppgifter, särskilt kvata skyddsåtgärder för bortskaffande av WEEE. företag inom IT och elektronisk kommunikation, vilket yt terligare belyser problemet ( 16 ).

text: 19. Det vore lika inkonsekvent att lägga sådan vikt vid datasä kerhetsfrågorna att anmälningar av överträdelse av datas 24. Slutligen är det värt att uppmärksamma att vissa nationella kyddet måste införas via artikel 2 i direktiv dataskyddsmyndigheter har utfärdat riktlinjer för att mini

text: ( 13 ) och sedan inte införa någon garanti eller mera de risker som kan uppstå om inte nödvändiga säker några skyddsåtgärder under bortskaffandet av WEEE eller hetsåtgärder vidtas, i synnerhet vid bortskaffande av mate eventuell återanvändning eller materialåtervinning av WEEE. rial som lyder under direktivet ( 17 ).

text: 20. Datatillsynsmannen beklagar att förslaget inte beaktar den som innehöll personuppgifter om fosterbarn och adoptivbarn produkter. skyddet av personuppgifter kan äventyras om lämpliga 16.10.2010 Europeiska SV unionens officiella tidning C 280/19

text: 25. Datatillsynsmannen upprepar att direktiv

text: är till behandling utöver vad som är absolut nödvändigt för att på lämpligt vid bortskaffandet av WEEE som innehåller per ett effektivt sätt verifiera att uppgifterna de innehåller rensas sonuppgifter. Registeransvariga – i synnerhet de som an bort. vänder IT- och kommunikationsutrustning – åläggs därför att fullgöra sina säkerhetsskyldigheter för att förhindra olämpligt utlämnande eller spridning av personuppgifter. I detta syfte och för att inte hållas ansvariga för överträdelser mot säkerhetsåtgärder bör registeransvariga inom offentliga 30. De ansvariga får dessutom inte låta obehöriga få kännedom och privata sektorn, i samarbete med uppgiftsskyddsombu om eller behandla uppgifter som lagras på EEE. Särskilt om den (då sådana finns), anta lämpliga strategier för bortskaf lagringsmedier återvinns eller återanvänds och därför kom fande av WEEE som innehåller personuppgifter. mer ut på marknaden igen finns det en ökad risk för olämpligt utlämnande eller spridning av personuppgifter samt ett behov av att hindra obehörig tillgång till person uppgifter.

text: 26. Om registeransvariga som bortskaffar EEE inte har den 31. Datatillsynsmannen rekommenderar därför att rådet och nödvändiga kompetensen och/eller det tekniska kunnandet Europaparlamentet inkluderar en särskild bestämmelse i för att radera de aktuella personuppgifterna kan de anförtro det nuvarande förslaget som förbjuder försäljning av begag uppgiften åt behöriga registerförare (t.ex. hjälpcentra, ut nade apparater om inte lämpliga säkerhetsåtgärder har vid rustningstillverkare och distributörer) i enlighet med vill tagits i enlighet med moderna tekniska standarder (som att koren i artikel

text: och

text: i direktiv 95/46/EG. skrivas över upprepade gånger) för att radera eventuella Registerförarna ska i sin tur intyga att åtgärderna har ut personuppgifter som dessa kan innehålla. förts eller och/eller åta sig dem. III.4. Så kallad ”privacy by design” och ”security by design”

text: 27. På grund av dessa beaktanden finner datatillsynsmannen att 32. Den framtida rättsliga ramen för elektronikavfall bör inte omarbetningen av direktivet utöver de bestämmelser som endast inkludera en särskild bestämmelse om den vidare finns för miljöskydd bör inkludera strategier för uppgifts ekodesignprincipen för produkterna (se artikel 4 i förslaget skydd. utformning av produkter) utan även – som tidigare nämnts i andra yttranden från datatillsynsmannen ( 19 ) – en bestäm melse om principen för inbyggda skyddsmekanismer för att skydda den personliga integriteten (privacy by design) ( 20 ) eller närmare bestämt inom detta område inbyggda skydds mekanismer för att skydda säkerheten (security by design) ( 21 ). Så vitt det är möjligt bör skydd av personlig integritet och 28. Datatillsynsmannen rekommenderar därför rådet och Euro uppgifter standardmässigt integreras i utformningen av paparlamentet att inkludera en särskild bestämmelse i det elektriska och elektroniska produkter så att användarna – nuvarande förslaget som anger att direktivet är tillämpligt på ett enkelt sätt och kostnadsfritt – kan radera person för bortskaffande av WEEE utan att det påverkar tillämp uppgifter som kan finnas i apparater vid ett eventuellt bort ningen av direktiv

text: . skaffande ( 22 ). C 280/20 SV Europeiska unionens officiella tidning 16.10.2010

text: 33. Detta tillvägagångssätt har ett klart stöd i artikel 3.3 c i — som förbjuder försäljning av begagnade apparater om direktiv

text: ( 23 ) om utformning av radioutrustning inte lämpliga säkerhetsåtgärder vidtagits i enlighet med och teleterminalutrustning och i artikel 14.3 i direktiv moderna tekniska standarder för att radera eventuella

text: ( 24 ). personuppgifter som dessa kan innehålla — om principen för privacy by design eller security by design: 34. Därför bör tillverkarna ”bygga in” säkerhetsåtgärder för per så långt det är möjligt bör skydd av personlig integritet sonlig integritet och säkerhet genom tekniska lösningar ( 25 ). och uppgifter standardmässigt integreras i utformningen Inom denna ram bör även initiativ till rekommendationer av elektriska och elektroniska produkter så att använ om nödvändigheten att radera eventuella personuppgifter darna – på ett enkelt sätt och kostnadsfritt – kan radera före bortskaffandet av WEEE (gäller även tillverkare av kost personuppgifter som kan finnas i apparater vid ett even nadsfria programvaror för detta ändamål) främjas och un tuellt bortskaffande. derstödjas ( 26 ).

text: 37. Datatillsynsmannen rekommenderar därför starkt att försla IV. SLUTSATSER get ändras i linje med direktiv

text: , enligt följande:

text: 35. Med hänsyn till ovanstående rekommenderar datatillsyns mannen att dataskyddsmyndigheterna, i synnerhet genom artikel 29-arbetsgruppen för uppgiftsskydd, och datatill — Skäl 11: ”Detta direktiv bör tillämpas utan att det på synsmannen blir starkt inblandade i initiativ som rör bort verkar tillämpningen av dataskyddslagstiftningen, sär skaffandet av WEEE, via samråd på ett tillräckligt tidigt skilt direktiv

text: . Eftersom elektriska och elektro stadium innan relevanta åtgärder utarbetas. niska produkter (EEE) är en bred produktgrupp som omfattar en stor mängd olika medier lämpade för lag ring av personuppgifter (såsom IT- och telekommuni kationsutrustning), kan förfaranden för deras bortskaf fande, i synnerhet återanvändning och materialåtervin 36. Med hänsyn till det sammanhang som personuppgifter be ning, medföra risker för obehörig tillgång till person handlas i rekommenderar datatillsynsmannen att förslaget uppgifter som lagras på WEEE. Därför bör så vitt det är bör inkludera särskilda bestämmelser möjligt skydd av personlig integritet och uppgifter stan dardmässigt integreras i utformningen av elektriska och elektroniska produkter som kan lagra personuppgifter så att användarna – på ett enkelt sätt och — som preciserar att direktivet om WEEE är tillämpligt kostnadsfritt – kan radera uppgifter som kan finnas utan att det påverkar tillämpningen av direktiv vid bortskaffandet.”

text: 16.10.2010 Europeiska SV unionens officiella tidning C 280/21 —

text: Artikel 14.6

text: : ”Medlemsstaterna får kräva att användare av EEE som innehåller personuppgifter ska informeras av tillverkare och/eller distributörer, t.ex. i bruksanvisningen eller vid försäljningsstället, om nödvändigheten att radera personuppgifter som kan finnas i EEE innan bortskaffandet”. Utfärdat i Bryssel den 14 april 2010. Peter HUSTINX Europeiska dataillsynsmannen

type: vagledning

utgivare: edps


text: Peter HUSTINX

amnesord:
Regulation 45/2001
Information Security
Technologies

title: Citizens' initiative

text: 30.11.2010 Europeiska SV unionens officiella tidning C 323/1

text: I

type: rubrik

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om medborgarinitiativet

text: (2010/C 323/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA 2. Medborgarinitiativet är en av de nyheter i EU-lagstiftningen YTTRANDE som infördes genom Lissabonfördraget och innebär att ett antal medborgare, som uppgår till minst en miljon perso ner och kommer från ett betydande antal medlemsstater, får uppmana kommissionen att lägga fram ett lagstiftnings med beaktande av fördraget om Europeiska unionens funktions förslag. Förslaget till förordning grundas på artikel 11.4 i sätt, särskilt artikel 16, fördraget om Europeiska unionen och artikel 24.1 i för draget om Europeiska unionens funktionssätt, där det fö reskrivs att de förfaranden och villkor som krävs för med med beaktande av Europeiska unionens stadga om de grund borgarinitiativet ska fastställas i enlighet med det ordinarie läggande rättigheterna, särskilt artikel 8, lagstiftningsförfarandet.

text: 3. Förslaget sändes till datatillsynsmannen i enlighet med med beaktande av Europaparlamentets och rådets direktiv

text: artikel 28.2 i förordning (EG) nr 45/2001

text: samma dag

text: av den 24 oktober 1995 om skydd för enskilda som det antogs. Informella samråd har hållits med datatill personer med avseende på behandling av personuppgifter och synsmannen innan förslaget antogs. Datatillsynsmannen om det fria flödet av sådana uppgifter ( 1 ), välkomnade detta informella samråd och hälsar med till fredsställelse att de flesta av hans anmärkningar har beak tats i det slutliga förslaget. med beaktande av den begäran om ett yttrande i enlighet med

text: artikel 28.2 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda 4. Generellt sett är datatillsynsmannen tillfredsställd med hur personer med avseende på behandling av personuppgifter och frågan om dataskydd har behandlats i förslaget till förord om det fria flödet av sådana uppgifter, som sändes till Europe ning. På mer detaljerad nivå har datatillsynsmannen några iska datatillsynsmannen den 31 mars 2010 ( 2 ), förslag till ändringar. Dessa behandlas närmare i kapitel II i detta yttrande. HÄRIGENOM FRAMFÖRS FÖLJANDE. 5. Inledningsvis skulle datatillsynsmannen vilja understryka att en fullständig respekt för dataskyddsbestämmelserna är av avgörande betydelse för att detta viktiga nya instrument ska I. INLEDNING bli tillförlitligt, kraftfullt och framgångsrikt.

text: 1. Den 31 mars 2010 antog kommissionen ett förslag till II. DETALJERAD ANALYS AV FÖRSLAGET Europaparlamentets och rådets förordning om medborgari nitiativet ( 3 ). Förslaget följer på ett offentligt samråd om 6. I enlighet med artikel 11.4 i fördraget om Europeiska unio denna fråga som hölls mellan den 11 november 2009 nen och

text: artikel 24.1 i fördraget om Europeiska unionen

text: s och den 31 januari 2010 ( 4 ). funktionssätt föreskriver förslaget förfaranden och villkor för medborgarinitiativet. I förslaget till förordning anges ( 1 ) EGT L 281, 23.11.1995, s. 31. vilka krav som ställs på minsta antal medlemsstater, minsta ( 2 ) EGT L 8, 12.1.2001, s. 1. antal medborgare per medlemsstat och medborgarnas mini ( 3 ) Se KOM(2010) 119 slutlig, åtföljt av kommissionens arbetsdoku miålder för att få delta i ett initiativ. I förslaget fastställs ment som beskriver resultatet av det offentliga samrådet om grön boken om ett europeiskt medborgarinitiativ, SEK(2010) 730. också de materiella och formella villkoren för att kommis ( 4 ) Grönboken, se KOM(2009) 622. sionen ska ta upp ett initiativ till prövning. C 323/2 SV Europeiska unionens officiella tidning 30.11.2010

text: 7. I detta yttrande behandlas endast de bestämmelser som är mån de förekommer. Datatillsynsmannen ser hur som helst relevanta ur ett dataskyddsperspektiv. Detta är bestämmel inte mervärdet med denna personidentifiering när det gäller serna om registrering av ett medborgarinitiativ (

text: artikel 4

text: ), att autentisera stödförklaringar. Redan övrig begärd infor förfarandena för insamling av stödförklaringar (

text: artiklarna 5

text: mation kan anses vara tillräcklig för att uppnå det syftet. och 6) samt kraven på kontroll och autentisering av stöd Datatillsynsmannen rekommenderar därför att detta infor förklaringar (

text: artikel 9

text: ). Dataskyddet uppmärksammas sär mationsfält stryks från mallen i bilaga III. skilt i artikel 12 i förslaget. I

text: artikel 13

text: behandlas också ansvaret för organisatörer av medborgarinitiativ. Dessa be stämmelser kommer nu att analyseras mer ingående.

text: 11. Datatillsynsmannen ifrågasätter om de icke-obligatoriska informationsfälten behöver vara med i standardmallen och rekommenderar att dessa fält stryks från mallen i bilaga III om det inte kan påvisas att det finns ett sådant behov.

text: Artikel 4

text: – Registrering av ett föreslaget medborgari nitiativ

text: 8. Innan stödförklaringarna från undertecknarna samlas in måste organisatören registrera initiativet hos kommissionen via ett Internetregister. Organisatören ska lämna den infor 12. Datatillsynsmannen rekommenderar också att det ska läg mation som anges i bilaga II till förslaget till förordning. gas in en vanlig integritetspolicy längst ned i mallen, med Denna information omfattar organisatörens personuppgif uppgift om den registeransvariges identitet, ändamålet med ter, dvs. fullständigt namn, postadress och e-postadress. insamlingen, övriga mottagare av uppgifterna samt lagrings Enligt artikel 4.5 i förslaget ska ett föreslaget medborgari tid. Denna information ska lämnas till den registrerade nitiativ offentliggöras i registret. Även om det inte framgår enligt

text: artikel 10 i direktiv 95/46/EG

text: . helt klart av texten, utgår datatillsynsmannen från att or ganisatörens postadress och e-postadress principiellt sett inte ska offentliggöras via registret. I annat fall skulle data tillsynsmannen uppmana lagstiftaren att bedöma och för klara nödvändigheten av ett sådant offentliggörande samt förtydliga texten i artikel 4 i detta avseende.

text: Artikel 6

text: – System för insamling via Internet

text: 13. I artikel 6 i förslaget till förordning behandlas insamling av stödförklaringar via Internetsystem. I

text: artikel 6

text: föreskrivs att organisatören, innan insamlingen av stödförklaringar på börjas, ska se till att systemet för insamling via Internet har lämpliga säkerhets- och teknikfunktioner för att bland

text: Artikel 5

text: – Förfaranden och villkor för insamling av annat garantera att uppgifter som tillhandahålls via Internet stödförklaringar lagras säkert ”[så] att de inte ska kunna ändras eller använ das i annat syfte än för det angivna stödet för ett givet 9. Organisatören ansvarar för insamlingen av de nödvändiga medborgarinitiativ och för att skydda personuppgifter från stödförklaringarna från undertecknare av det föreslagna oavsiktlig eller olovlig radering och från att gå förlorade medborgarinitiativet. Enligt

text: artikel 5.1

text: måste stödförkla genom olyckshändelse samt från ändringar, otillåten sprid ringar överensstämma med mallen i bilaga III till förslaget ning eller otillåten åtkomst” ( 1 ). till förordning. I denna mall ska en undertecknare lämna vissa (självklara) personuppgifter, till exempel för- och efter namn samt, om det sker i pappersform, den faktiska under skriften. För att den behöriga myndigheten ska kunna au tentisera en stödförklaring ska även vissa andra uppgifter lämnas: stad och land där undertecknaren bor, födelseda 14. I

text: artikel 6.2

text: fastställs också att organisatören när som helst tum och födelseort, nationalitet, personligt identifikations får be den behöriga myndigheten att intyga att systemet för nummer, typ av identifikationsnummer/identitetshandling insamling via Internet uppfyller dessa krav. Organisatören samt vilken medlemsstat som har utfärdat detta nummer/ ska i alla händelser begära att ett sådant intyg utfärdas denna handling. Andra icke-obligatoriska fält som anges i innan stödförklaringarna lämnas in för kontroll (se mallen är undertecknarens gatu- och e-postadress.

text: artikel 9

text: nedan).

text: 10. Datatillsynsmannen anser att samtliga obligatoriska infor 15. Enligt

text: artikel 6.5

text: ska kommissionen vidare anta tekniska mationsfält i mallen är nödvändiga för att organisera med specifikationer för genomförandet av dessa säkerhetsföre borgarinitiativet och autentisera stödförklaringarna, med skrifter i enlighet med det kommittéförfarande som före undantag för det personliga identifikationsnumret. Det före skrivs i artikel 19.2 i förslaget. kommer skillnader mellan medlemsstaterna när det gäller hur sådana här unika identifikationsnummer regleras, i den ( 1 ) Se artikel 6.4 i förslaget. 30.11.2010 Europeiska SV unionens officiella tidning C 323/3

text: 16. Datatillsynsmannen välkomnar det fokus som läggs på sä slag var ett smartkort för EU-medborgare med möjlighet till kerheten i systemen för insamling via Internet i artikel 6 i e-underskrifter. Med ett sådant system kommer självklart förslaget. Skyldigheten att garantera en säker databehand nya överväganden som rör dataskyddet ( 1 ). ling är ett av dataskyddskraven, som anges i

text: artikel 17 i direktiv 95/46/EG

text: . Datatillsynsmannen ser med tillfredsstäl lelse att kommissionen har anpassat texten i artikel 6.4 i förslaget till texten i

text: artikel 17.1 i direktiv 95/46/EG

text: efter de informella synpunkter som inkommit från datatillsyns mannen. Europeiska datatillsynsmannen välkomnar också

text: Artikel 9

text: – Bestämmelser om kontroll och intygande att det i

text: artikel 6.4

text: har införts en skyldighet att garantera av medlemsstaternas stödförklaringar att uppgifter inte används i annat syfte än för det angivna 20. Efter att ha samlat in de nödvändiga stödförklaringarna från stödet för ett givet medborgarinitiativ. Datatillsynsmannen undertecknarna ska organisatören överlämna dessa förkla uppmuntrar emellertid lagstiftaren att införa en liknande ringar till behörig myndighet för kontroll och intygande. generell skyldighet i

text: artikel 12

text: (se punkt 27 nedan). Organisatören överför undertecknarnas personuppgifter till behörig myndighet i den medlemsstat som har utfärdat undertecknarens identitetshandling enligt vad som anges i stödförklaringen. Inom tre månader ska den behöriga myn digheten kontrollera stödförklaringarna på grundval av ”lämpliga undersökningar” och tillhandahålla ett intyg till organisatören ( 2 ). Intyget används när initiativet faktiskt 17. Datatillsynsmannen ställer sig tveksam till tidpunkten för lämnas in till kommissionen. den behöriga myndighetens intygande. Organisatören behö ver endast begära ett sådant intyg senast innan han över lämnar de insamlade stödförklaringarna till myndigheten för kontroll. Han får göra detta tidigare. Om man utgår från att intygandet av Internetsystemet har ett mervärde, anser datatillsynsmannen att det bör äga rum innan stöd 21. Datatillsynsmannen välkomnar ett sådant decentraliserat sy förklaringarna har samlats in för att förhindra att person stem som innebär att kommissionen inte kommer att in uppgifter för minst en miljon medborgare samlas in via ett neha undertecknarnas personuppgifter, utan endast de intyg system som i efterhand skulle visa sig inte vara tillräckligt som har utfärdats av de nationella behöriga myndigheterna. säkert. Datatillsynsmannen uppmanar därför lagstiftaren att Ett sådant system minskar riskerna för olämplig hantering införa denna skyldighet i

text: artikel 6.2

text: . Därigenom ska det av personuppgifter eftersom det minimerar antalet motta självklart säkerställas att intygsförfarandet inte utgör en gare av uppgifterna. onödig administrativ börda för organisatören.

text: 22. I texten framgår det inte klart vad det är för ”lämpliga undersökningar” som den behöriga myndigheten ska utföra. Det relevanta skäl 15 ger inte heller någon klarhet i den här 18. I detta avseende vill datatillsynsmannen peka på artikel 18 i frågan. Datatillsynsmannen undrar hur de behöriga myn direktiv

text: , där det fastställs att den registeransvarige digheterna ska autentisera stödförklaringarna. Framför allt är skyldig att anmäla en behandling till den nationella da skulle han vilja veta om de behöriga myndigheterna kom taskyddsmyndigheten innan behandlingen utförs, med vissa mer att kunna kontrollera förklaringarna mot tillgänglig undantag. Det framgår inte klart hur denna anmälnings information om medborgarnas identitet från andra källor, skyldighet med undantag står i förhållande till den behöriga till exempel nationella eller regionala register. Datatillsyns nationella myndighetens intygande enligt förslaget till för mannen uppmanar lagstiftaren att klargöra denna fråga. ordning. För att förhindra administrativa bördor i största möjliga utsträckning uppmanar datatillsynsmannen lagstif taren att klargöra förhållandet mellan anmälningsförfaran det i

text: artikel 18 i direktiv 95/46/EG

text: och intygsförfarandet i artikel 6 i förslaget till förordning.

text: Artikel 12

text: – Skydd av personuppgifter

text: 23. Artikel 12 i förslaget till förordning behandlar uteslutande skyddet av personuppgifter. I denna bestämmelse under stryks det att såväl organisatören som den behöriga myn digheten måste följa direktiv

text: och de nationella 19. När det gäller tillämpningsföreskrifterna för de tekniska bestämmelser som har antagits i enlighet med detta. I skäl specifikationerna förväntar sig datatillsynsmannen att bli 20 anges också att förordning

text: (EG) nr 45/2001

text: är till hörd innan dessa tillämpningsföreskrifter antas. Detta gäller lämplig när kommissionen behandlar personuppgifter ge framför allt eftersom det i kommissionens arbetsdokument nom att registrera organisatören för ett initiativ. Datatill om resultaten av grönboken angavs att det under det of synsmannen välkomnar dessa konstateranden. fentliga samrådet hade inkommit flera förslag till system för att autentisera underskrifter via nätet. Ett av dessa förslag ( 1 ) Se SEK(2010) 730, s. 4. för att autentisera underskrifter via nätet. Ett av dessa för ( 2 ) Se artikel 9.2 i förslaget. C 323/4 SV Europeiska unionens officiella tidning 30.11.2010

text: 24. I denna bestämmelse anges det också uttryckligen att or III. SLUTSATS OCH REKOMMENDATIONER ganisatören och den behöriga myndigheten måste anses vara registeransvariga för sin respektive behandling av per 29. Som angavs i inledningen och som framgår av analysen i sonuppgifter. Datatillsynsmannen är tillfredsställd med kapitel II i detta yttrande, är datatillsynsmannen i stort sett denna specificering. Den registeransvarige har det primära nöjd med hur dataskyddsfrågan har behandlats i förslaget ansvaret för att dataskyddsbestämmelserna följs.

text: Artikel 12

text: till förordning om medborgarinitiativet. Det är tydligt att i förslaget gör att det inte råder något tvivel om vem som dataskyddet har beaktats och förslaget har utformats på ett måste anses vara registeransvarig. sådant sätt att det säkerställer överensstämmelse med datas kyddsbestämmelserna. Datatillsynsmannen välkomnar sär skilt

text: artikel 12

text: , som uteslutande behandlar dataskyddet och som klargör ansvarsfrågor och lagringstider. Datatill synsmannen skulle vilja understryka att en fullständig re 25. I

text: artikel 12

text: fastställs också de maximala lagringstiderna för spekt för dataskyddsbestämmelserna är av avgörande bety de insamlade personuppgifterna. För organisatören fastställs delse för att detta viktiga nya instrument ska bli tillförlitligt, denna tid till en månad efter det att initiativet har lämnats kraftfullt och framgångsrikt. Även om datatillsynsmannen in till kommissionen eller minst 18 månader efter den dag generellt sett är nöjd med förslaget, anser han att det fort då ett föreslaget initiativ har registrerats. De behöriga myn farande finns utrymme för förbättringar. digheterna måste förstöra uppgifterna en månad efter det att de har tillhandahållit intyget. Datatillsynsmannen väl komnar dessa begränsningar eftersom de garanterar över ensstämmelse med det krav som fastställs i

text: artikel 6.1 e i direktiv 95/46/EG

text: . 30. Datatillsynsmannen rekommenderar att lagstiftaren ändrar

text: artikel 6

text: så att organisatören är skyldig att begära intyg om säkerheten för systemet för insamling via Internet innan han börjar samla in stödförklaringar. Sådana intygsförfaranden 26. Datatillsynsmannen ser också med tillfredsställelse att tex ska dessutom inte utgöra en onödig administrativ börda för ten om en säker databehandling från artikel 17.1 i direktiv organisatören. Vidare rekommenderar datatillsynsmannen

text: återges i

text: artikel 12

text: . Därigenom klargörs det att att förhållandet mellan anmälningsförfarandet i

text: artikel 18

text: dessa skyldigheter inte gäller enbart när man använder ett i direktiv

text: och intygsförfarandet i artikel 6 i för system för insamling via Internet (se punkter 13 och föl slaget till förordning klargörs. jande punkter ovan), utan i samtliga situationer som om fattas av förslaget till förordning.

text: 31. För att förbättra förslaget ytterligare rekommenderar data tillsynsmannen lagstiftaren att 27. Som anges i punkt 16 ovan rekommenderar datatillsyns mannen lagstiftaren att införa ännu en punkt i

text: artikel 12

text: för att garantera att de personuppgifter som har samlats in av organisatören (antingen via ett system för insamling via Internet eller på annat sätt) inte används i annat syfte än för — bedöma om det är nödvändigt att offentliggöra postdet angivna stödet för ett givet medborgarinitiativ samt att och e-postadress till organisatören för ett initiativ samt de uppgifter som tas emot av den behöriga myndigheten att förtydliga texten i artikel 4 i förslaget om ett sådant endast används för att autentisera stödförklaringarna för ett offentliggörande planeras, givet medborgarinitiativ.

text: Artikel 13

text: – Ansvar — stryka begäran om det personliga identifikationsnumret och de icke-obligatoriska informationsfälten i mallen i 28. I

text: artikel 13

text: anges att medlemsstaterna ska se till att orga bilaga III, nisatörer som är bosatta eller etablerade inom deras terri torium kan ställas till civilrättsligt eller straffrättsligt ansvar för överträdelser av förslaget till förordning, särskilt för brister i uppfyllandet av de krav som gäller för system för insamling via Internet eller för användning av uppgifter i bedrägligt syfte. I skäl 19 hänvisas till kapitel III i direktiv — lägga in en vanlig integritetspolicy i mallen i bilaga III

text: , som behandlar rättslig prövning, ansvar och som garanterar överensstämmelse med artikel 10 i di sanktioner. Här fastställs att detta kapitel är tillämpligt fullt rektiv

text: , ut när det gäller den behandling av personuppgifter som utförs i samband med tillämpningen av förslaget till för ordning. Artikel 13 i förslaget måste ses som ett tillägg till detta, eftersom det till skillnad från kapitel III i direktiv

text: här finns en uttrycklig hänvisning till medlems — klargöra vad som menas med de ”lämpliga undersök staternas civil- och straffrätt. Datatillsynsmannen välkomnar ningar” enligt

text: artikel 9.2

text: som ska utföras av den behö självklart denna bestämmelse. riga myndigheten när stödförklaringarna autentiseras, 30.11.2010 Europeiska SV unionens officiella tidning C 323/5 — införa ännu en punkt i

text: artikel 12

text: för att garantera att de personuppgifter som har samlats in av organisatören inte används i annat syfte än för det angivna stödet för ett givet medborgarinitiativ samt att de uppgifter som tas emot av den behöriga myndigheten endast används för att autentisera stödförklaringarna för ett givet medborgarinitiativ. Utfärdat i Bryssel den 21 april 2010. Europeiska datatillsynsmannen


text: HÄRIGENOM FRAMFÖRS FÖLJANDE II.1. Internetleverantörernas roll när det gäller spärr

text: I. INLEDNING 7. I förslaget anges två möjliga alternativ för att spärra till trädet från unionens territorium till Internetsidor som kon

text: Europeiska datatillsynsmannen har noterat förslagets hu — Yttrande från Europeiska datatillsynsmannen av den 22 februari 2010 om Europeiska unionens pågående förhandlingar om ett vudsyfte. Datatillsynsmannens avsikt är inte att ifrågasätta handelsavtal om åtgärder mot varumärkesförfalskning (Actaavtalet). ( 1 ) EGT L 281, 23.11.1995, s. 31. Se även artikel 29-arbetsgruppens arbetsdokument om datas ( 2 ) EGT L 8, 12.1.2001, s. 1. kyddsfrågor och immateriella rättigheter (

text: WP 104

text: ), antaget den ( 3 ) KOM(2010) 94 slutlig. 18 januari 2005.

text: Peter HUSTINX

title: Sexual abuse of children and child pornography

text: C 323/6 SV Europeiska unionens officiella tidning 30.11.2010

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets direktiv om bekämpande av sexuella övergrepp mot barn, sexuell exploatering av barn och barnpornografi samt om upphävande av rambeslut 2004/68/RIF

text: (2010/C 323/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA behovet av att inrätta ett bättre ramverk med lämpliga YTTRANDE åtgärder för att skydda barn mot övergrepp. Han vill ändå betona att vissa av åtgärderna i förslaget, såsom spärr ning av webbplatser och inrättande av telefonjourer, påver med beaktande av fördraget om Europeiska unionens funktions kar de grundläggande rättigheterna till privatliv och upp sätt, särskilt artikel 16, giftsskydd för de berörda personerna. Datatillsynsmannen har därför beslutat att lämna detta korta yttrande på eget initiativ. med beaktande av Europeiska unionens stadga om de grund läggande rättigheterna, särskilt artikel 8, II. ANALYS AV FÖRSLAGET

text: med beaktande av Europaparlamentets och rådets direktiv 5. Frågan om uppgiftsskydd avser två aspekter i förslaget som

text: av den 24 oktober 1995 om skydd för enskilda inte är specifika för bekämpandet av övergrepp mot barn, personer med avseende på behandling av personuppgifter och utan gäller alla initiativ som syftar till samarbete inom den om det fria flödet av sådana uppgifter ( 1 ), privata sektorn för att bekämpa brott. Frågorna har redan analyserats av Europeiska datatillsynsmannen i olika sam manhang, särskilt när det gäller kampen mot olagligt inne med beaktande av Europaparlamentets och rådets förordning håll på Internet ( 4 ).

text: av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behand lar personuppgifter och om den fria rörligheten för sådana 6. I förslaget behandlas de två aktuella frågorna i skäl 13 och i uppgifter ( 2 ), särskilt

text: artikel 41

text: artikel 21

text: . De kan beskrivas på följande sätt:

text: ning av webbplatser

text: 1. Den 29 mars 2010 antog kommissionen ett förslag till staterats innehålla eller sprida barnpornografi: mekanismer Europaparlamentets och rådets direktiv om bekämpande för att göra det lättare för de behöriga rättsliga myndighe av sexuella övergrepp mot barn, sexuell exploatering av terna eller polismyndigheterna att beordra att sådant till barn och barnpornografi samt om upphävande av ram 3 träde spärras, eller frivilliga åtgärder från Internetleverantö beslut 2004/68/RIF ( ) (nedan kallat förslaget). rer för att spärra Internetsidorna på grundval av uppföran dekoder eller riktlinjer.

text: 2. Avsikten med förslaget är att upphäva ett rambeslut som antogs den 22 december 2003, på grund av vissa brister i denna tidigare lagstiftning. Den nya texten skulle förbättra 8. Europeiska datatillsynsmannen ifrågasätter kriterierna och bekämpandet av övergrepp mot barn när det gäller följande villkoren som leder till ett beslut om spärrning: Även om aspekter: kriminalisering av allvarliga former av övergrepp han kan stödja åtgärder som vidtas av polis eller rättsliga mot barn exempelvis i samband med sexturism som inne myndigheter inom en väl definierad rättslig ram hyser han fattar barn, skydd av barn som saknar medföljande vuxen, starka tvivel när det gäller rättssäkerheten om spärrningen brottsundersökningar och samordning av åtal, nya IT-rela genomförs av privata aktörer. terade brott, skydd av offren samt förebyggande av brott. ( 4 ) Europeiska datatillsynsmannen har framför allt lämnat följande ytt randen som innehåller kommentarer som även är relevanta för detta

text: 3. När det gäller målsättningen att förebygga brott skulle ett initiativ: — Yttrande från Europeiska datatillsynsmannen av den 23 juni verktyg kunna vara att begränsa tillgången till barnporno 2008 om förslaget till Europaparlamentets och rådets beslut grafi på Internet. om inrättande av ett flerårigt gemenskapsprogram för att skydda barn som använder Internet och annan kommunikationsteknik, EUT C 2, 7.1.2009, s. 2 30.11.2010 Europeiska SV unionens officiella tidning C 323/7

text: 9. Han ifrågasätter till att börja med den eventuella övervak krävs bättre garantier för att övervakning och/eller spärr ning av Internet som skulle kunna leda till en sådan spärr ning endast sker mycket riktat och under rättslig kontroll, ning. Övervakning och spärrning kan innefatta olika åtgär och att missbruk av mekanismen förebyggs genom lämp der, bland annat skanning av Internet, identifiering av olag liga säkerhetsåtgärder. liga eller misstänkta webbplatser och spärrning av tillträde för slutanvändare, men även övervakning av slutanvändar nas uppträdande på Internet när de försöker komma åt eller ladda ned sådant innehåll. De verktyg som används är olika och innebär olika grader av inkräktande, men ger upphov II.2. Inrättande av ett nätverk av telefonjourer till liknade frågor när det gäller Internetleverantörernas roll i behandlingen av informationsinnehåll. 12. Inom programmet för säkrare Internet planeras i enlighet med skäl 13 i förslaget ett nätverk av telefonjourer, och Europeiska datatillsynsmannen har yttrat sig om detta enligt ovan. En av kommentarerna gäller just villkoren för hur information skulle samlas in, centraliseras och utbytas: 10. Dessa övervakningsåtgärder får konsekvenser när det gäller Det finns behov av en exakt beskrivning av vad som ska uppgiftsskydd, eftersom enskilda personers personuppgifter anses som olagligt eller skadligt innehåll, vem som kan kommer att behandlas, däribland information om offer, samla in och lagra information och enligt vilka specifika vittnen, användare eller leverantörer av innehåll. Europeiska garantier. datatillsynsmannen har i tidigare yttranden uttryckt sin oro när det gäller övervakning av enskilda av aktörer inom den privata sektorn (t.ex. Internetleverantörer eller upphovsrätt sinnehavare), inom områden som i princip faller under brottsbekämpande myndigheters behörighet ( 1 ). 13. Det är särskilt viktigt med tanke på konsekvenserna av rapporteringen: utöver informationen som gäller barn kan det handla om personuppgifter för varje enskild person som på något sätt har anknytning till den information som sprids på nätet, exempelvis information om en person — Europeiska datatillsynsmannen understryker att över som misstänks för olämpligt uppträdande, oavsett om det vakning av nätet och spärrning av webbplatser skulle handlar om Internetanvändare eller leverantörer av innehåll, utgöra ett syfte som inte är kopplat till det kommersi men även information om en person som rapporterar miss ella syftet för Internetleverantörer: det skulle väcka frå tänkt innehåll eller den som utsatts för övergrepp. Alla gor när det gäller laglig behandling och korrekt använ dessa personers rättigheter måste beaktas när rapporterings dande av personuppgifter enligt

text: artikel 6.1 b

text: och förfaranden utarbetas och de bör beaktas i enlighet med

text: artikel 7 i direktivet

text: om uppgiftsskydd ( 2 ). befintliga ramar för uppgiftsskydd. — Europeiska datatillsynsmannen ifrågasätter kriterierna 14. Det är också högst sannolikt att information som samlas in för spärrning och betonar att en uppförandekod eller via dessa telefonjourer kommer att användas i samband frivilliga riktlinjer inte skulle medföra tillräcklig rätts med åtal i fallet. När det gäller kvalitets- och integritetskrav säkerhet i detta hänseende. bör ytterligare villkor införas för att säkerställa att infor mation som betraktas som digitala bevis har samlats in och lagrats korrekt och därför kommer att vara godtagbar som bevis inför rätta. — Europeiska datatillsynsmannen understryker också ris kerna med en eventuell svartlistning av enskilda och deras möjligheter att få upprättelse inför en oberoende myndighet. 15. Garantier för övervakningen av systemet, i princip av brottsbekämpande myndigheter, är avgörande beståndsdelar att rätta sig efter. Insyn och oberoende möjligheter till upprättelse för enskilda är andra grundläggande komponen ter som bör ingå i ett sådant system. 11. Europeiska datatillsynsmannen har redan vid flera tillfällen slagit fast att ”övervakningen av Internetanvändarnas bete ende och insamlingen av deras IP-adresser utgör ett intrång i deras rätt till skydd för sitt privatliv och sin korrespon dens (…). Denna ståndpunkt överensstämmer med Europa III. SLUTSATSER domstolens rättspraxis ( 3 )”. Med tanke på detta intrång

text: 16. Även om Europeiska datatillsynsmannen inte har några skäl ( 1 ) Se de båda yttranden från datatillsynsmannen som nämns ovan. att invända mot utarbetandet av en stark och effektiv ram ( 2 )

text: Europaparlamentets och rådets direktiv 95/46/EG

text: av den 24 oktober för att bekämpa sexuella övergrepp, sexuellt utnyttjande av 1995 om skydd för enskilda personer med avseende på behandling barn och barnpornografi, insisterar han på behovet av rätts av personuppgifter och om det fria flödet av sådana uppgifter, EGT L 281, 23.11.1995, s. 31. säkerhet när det gäller alla inblandade aktörer, inbegripet ( 3 ) Europeiska datatillsynsmannens yttrande om ACTA, s. 6. Internetleverantörer och enskilda som använder nätet. C 323/8 SV Europeiska unionens officiella tidning 30.11.2010

text: 17. I förslaget nämns behovet av att ta hänsyn till grundläggande rättigheter för slutanvändare, vilket välkomnas, men det är inte tillräckligt: det bör kompletteras med en skyldighet för medlemsstater att se till att det finns harmoniserade, tydliga och detaljerade förfaranden för att bekämpa olagligt innehåll, under överinseende av oberoende offentliga myndigheter. Utfärdat i Bryssel den 10 maj 2010. Europeiska datatillsynsmannen


text: ( 1 ) I

text: artikel 9

text: fastställs följande: ”1. Byrån skall, under beaktande av gemenskapens politik för återsändande, ge det bistånd som behövs 18. Datatillsynsmannen menar att exemplet med gemensamma för genomförandet av medlemsstaternas gemensamma insatser för insatser för återsändande visar att det är angeläget att klar återsändande. Byrån får använda de gemenskapsmedel som är till göra denna fråga i förslaget, eftersom det i detta exempel gängliga för återsändande. (…)”.

title: European Agency for the Management of Operational Cooperation at the external Borders (FRONTEX)

text: 30.12.2010 Europeiska SV unionens officiella tidning C 357/1

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen över förslaget till Europaparlamentets och rådets förordning om ändring av

text: rådets förordning (EG) nr 2007/2004

text: om inrättande av en europeisk byrå för förvaltningen av det operativa samarbetet vid Europeiska unionens medlemsstaters yttre gränser (Frontex)

text: (2010/C 357/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA samarbetet vid Europeiska unionens medlemsstaters yttre YTTRANDE, gränser (Frontex) ( 3 ) (nedan kallat förslaget eller förslaget till förordning).

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel

text: . Datatillsynsmannen välkomnar att kommissionen har hållit informella samråd med honom innan förslaget antogs. Da tatillsynsmannen kom med informella synpunkter den med beaktande av Europeiska unionens stadga om de grund 8 februari 2010, vilket resulterade i ett antal ändringar i läggande rättigheterna, särskilt

text: artikel 8

text: , slutversionen av det förslag som antogs av kommissionen.

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda 3. Den 2 mars 2010 sändes kommissionens antagna förslag personer med avseende på behandling av personuppgifter och till datatillsynsmannen för samråd enligt artikel 28.2 i för om det fria flödet av sådana uppgifter ( 1 ), ordning

text: (EG) nr 45/2001

text: med beaktande av begäran om ett yttrande i enlighet med

text: artikel 28.2 i förordning (EG) nr 45/2001

text: om skydd för en 4. I detta sammanhang ska det också nämnas att datatillsyns skilda personer med avseende på behandling av personuppgifter mannen den 26 april 2010 avgav ett yttrande om en an och om det fria flödet av sådana uppgifter ( 2 ), mälan om förhandskontroll som har tagits emot från upp giftsskyddsombudet vid Europeiska byrån för förvaltningen av det operativa samarbetet vid Europeiska unionens yttre gränser (Frontex) gällande ”insamling av namn och vissa HÄRIGENOM FRAMFÖRS FÖLJANDE. andra relevanta uppgifter för återsända personer för gemen samma insatser för återsändande” (nedan kallat yttrandet om förhandsgranskning) ( 4 ). Slutsatserna i ovannämnda ytt rande, som gäller behandling av personuppgifter i samband I. INLEDNING med förberedelse och genomförande av gemensamma in satser för återsändande enligt artikel 9 i förordning (EG) nr

text: 1. Den 24 februari 2010 antog kommissionen ett förslag till 2007/2004, har använts som utgångspunkt för vissa iaktta Europaparlamentets och rådets förordning om ändring av gelser och slutsatser i det här yttrandet.

text: rådets förordning (EG) nr 2007/2004

text: om inrättande av en europeisk byrå för förvaltningen av det operativa ( 3 ) KOM(2010) 61 slutlig. ( 4 ) Yttrandet finns tillgängligt på: http://www.edps.europa.eu/EDPSWEB/ ( 1 ) EGT L 281, 23.11.1995, s. 31. webdav/site/mySite/shared/Documents/Supervision/Priorchecks/ ( 2 ) EGT L 8, 12.1.2001, s. 1. Opinions/2010/10-04-26_Frontex_EN.pdf C 357/2 SV Europeiska unionens officiella tidning 30.12.2010 Förslagets mål och syfte uppgifter och befogenheter och dem som föreskrivs enligt förslaget till förordning på ett mer effektivt sätt. Enligt 5. När det gäller förslagets mål och syfte fastställs följande i motiveringen ska Frontex bland annat få följande nya upp motiveringen som åtföljer förslaget till förordning (nedan gifter, förutsatt att kommissionens förslag godkänns: 1) kallad motiveringen): ”Detta förslag avser ändringar av rådets utvidga arbetsuppgifterna i samband med riskanalys, 2) förordning

text: (EG) nr 2007/2004

text: (…) som är nödvändiga för stärka de forskningsrelaterade uppgifterna, 3) införa en att se till att byrån fungerar smidigt och korrekt under möjlighet att samordna gemensamma insatser för återsän kommande år. Syftet med förslaget är att utifrån praktiska dande, 4) införa nya arbetsuppgifter som avser utveckling erfarenheter och de utvärderingar som gjorts anpassa för och drift av informationssystem och 5) införa nya arbets ordningen för att klargöra byråns uppdrag och rätta till uppgifter som avser bistånd till Eurosur. konstaterade brister.”

text: 11. När datatillsynsmannen har övervägt innehåll och slutsatser 6. Det ska här nämnas att det i skäl 9 i förslaget hänvisas till för det här yttrandet har omfattande hänsyn tagits till den att Stockholmsprogrammet efterlyser en tydligare och star nya rättsliga ram som enligt förslaget ska gälla för Frontex kare roll för Frontex när det gäller förvaltningen av Euro verksamhet inom en snar framtid och som också kan leda peiska unionens yttre gränser. till att Frontex får nya operativa uppgifter på grundval av förslaget till förordning.

text: 7. I skäl 10 hänvisas också till behovet att stärka Frontex 12. Mot denna bakgrund och med hänsyn till byråns eventuella operativa kapacitet. Som det står i detta skäl: ”Byråns upp nya funktioner och ansvarsområden är det anmärkningsvärt drag bör därför ses över för att i synnerhet stärka byråns att Frontex behandling av personuppgifter nästan helt för operativa kapacitet samtidigt som alla åtgärder som vidtas bigås i förslaget till förordning, med ett enda undantag: ska stå i proportion till de eftersträvade målen i full respekt sista meningen i artikel 11 i förslaget. Vidare ska denna för de grundläggande fri- och rättigheterna (…)”. I skäl 11 fråga också övervägas med hänsyn till de resultat och slut understryks också att ”[d]e nuvarande möjligheterna att satser som framkommit i datatillsynsmannens yttrande om effektivt bistå medlemsstaterna i de operativa aspekterna förhandskontroll, som nämndes under punkt 4. på förvaltningen av de yttre gränserna bör stärkas med avseende på tillgängliga tekniska resurser.”

text: 13. I det här yttrandet ska också särskild tyngdpunkt läggas på de specifika bestämmelser i förslaget till förordning som 8. I skäl 4 i förslaget anges också följande: ”Denna förordning har konsekvenser för dataskyddet eller som skulle kunna respekterar de grundläggande rättigheter och iakttar de få det i framtiden. I samband med detta kommer följande principer som erkänns framför allt i Europeiska unionens specifika bestämmelser att behandlas i yttrandet: stadga om de grundläggande rättigheterna, särskilt den mänskliga värdigheten, förbud mot tortyr och omänsklig eller förnedrande bestraffning och behandling, rätt till frihet och säkerhet, rätt till skydd av personuppgifter, asylrätt, — System för utbyte av information (ny lydelse av principen om non-refoulement, icke-diskriminering, barnets

text: artikel 11

text: ). rättigheter och rätten till ett effektivt rättsmedel. Medlems staterna bör tillämpa förordningen i enlighet med dessa rättigheter och principer.” — Skydd av personuppgifter (ny

text: artikel 11

text: a),

text: 9. Det här förslaget bygger på rekommendationerna i kom missionens meddelande av den 13 februari 2008 om utvär — Säkerhetsbestämmelser för skyddet av sekretessbelagda deringen och den framtida utvecklingen av Frontex ( 1 ) och uppgifter och känsliga uppgifter som inte är sekretess styrelsens rekommendationer, i den mån de kräver en över belagda (ny

text: artikel 11

text: b), syn av byråns rättsliga ram, med de undantag som beskrivs i konsekvensbedömningen. — Samarbete med EU:s organ och byråer samt internatio nella organisationer (ny lydelse av

text: artikel 13

text: ). II. ALLMÄNNA KOMMENTARER

text: 10. Rent allmänt noterar datatillsynsmannen att syftet med för slaget är att Frontex ska kunna utföra både sina nuvarande — Underlättande av det operativa samarbetet med tredje länder och samarbetet med behöriga myndigheter i ( 1 ) KOM(2008)0067 slutlig. tredjeländer (ny lydelse av

text: artikel 14

text: ). 30.12.2010 Europeiska SV unionens officiella tidning C 357/3 Avsaknaden av en särskild rättslig grund som gäller Frontex anses vara nödvändigt att Frontex utför viss behandling av behandling av personuppgifter personuppgifter. Det väcker allvarliga betänkligheter att kommissionen inte vill specificera detta i förslaget till för 14. Som redan har nämnts sägs det i förslaget inget om huru ordning eller klart ange ett datum för när den har för avsikt vida Frontex ska få behandla (vissa) personuppgifter i an att göra det, för att i stället skjuta upp frågan i avvaktan på slutning till de utökade uppgifter och ansvarsområden som nya rättsliga och politiska omständigheter (se punkt 15 i anges i förslaget och i så fall under vilka omständigheter, det här yttrandet). Enligt datatillsynsmannen skulle ett så villkor, begränsningar och skyddsåtgärder som detta får ske. dant tillvägagångssätt kunna leda till en oönskad rättslig Denna fråga klargörs inte i förslaget till förordning, som osäkerhet och en betydande risk för att regler och skydds inte heller anger någon specifik rättslig grund som klargör åtgärder för dataskyddet inte efterlevs. under vilka omständigheter som en sådan behandling skulle kunna utföras av Frontex, förutsatt att det föreligger starka skyddsåtgärder för dataskyddet och att principerna om pro portionalitet och nödvändighet följs. 19. När det gäller de nya uppgifter och ansvarsområden som Frontex ska tilldelas enligt förslaget anser datatillsynsman nen att förslaget till förordning – i den omfattning detta är 15. Här ska det återigen hänvisas till motiveringen där det nödvändigt och lämpligt – tydligt bör klargöra tillämp anges att det bästa alternativet i konsekvensbedömningen ningsområdet för den verksamhet som kan leda till att helt kommer till uttryck i förslaget ”med undantag för den Frontex behandlar personuppgifter. Datatillsynsmannen an del som avsåg att ge Frontex begränsade rättigheter att ser att det behövs en särskild rättslig grund för Frontex behandla personuppgifter för att bekämpa kriminella nät behandling av personuppgifter när det gäller såväl dess verk som ligger bakom olaglig invandring”. I motiveringen nuvarande som dess framtida uppgifter. En sådan behand fastställs också följande: ”Kommissionen anser att man bör ling ska endast tillåtas när detta är nödvändigt för klart undersöka alla möjligheter att bekämpa människosmugg fastställda och lagliga ändamål – särskilt gemensamma in ling och människohandel.” Men ”[k]ommissionen föredrar satser för återsändande. att behandla frågan om personuppgifter i samband med den övergripande strategin för informationsutbyte som kommer att läggas fram senare i år, även med hänsyn till de överväganden som ska göras för att ytterligare utveckla samarbetet mellan byråerna inom området för rättsliga och 20. Genom den rättsliga grunden ska det också specificeras inrikes frågor, i enlighet med Stockholmsprogrammet”. vilka skyddsåtgärder, begränsningar och villkor som är nöd vändiga och lämpliga för en sådan behandling av person uppgifter, i överensstämmelse med artikel 8 i den europe 16. Datatillsynsmannen är tveksam till kommissionens sätt att iska konventionen om de mänskliga rättigheterna och hantera frågan om Frontex behandling av personuppgifter i

text: artikel 8 i EU:s stadga om de grundläggande rättigheterna

text: . förslaget till förordning. Den ovan citerade hänvisningen i motiveringen klargör inte tillämpningsområdet för behand ling av personuppgifter inom andra områden av Frontex verksamhet (se punkterna 10 och 11). Som ett förklarande exempel skulle datatillsynsmannen vilja hänvisa till sitt ytt 21. Behovet av att specificera detta är ännu mer relevant efter rande om förhandskontroll i fråga om förberedelse och som det rent praktiskt är svårt att göra tydlig åtskillnad genomförande av gemensamma insatser för återsändande. mellan Frontex operativa och icke-operativa verksamhet Här informerade Frontex datatillsynsmannen om att det och närmare bestämt mellan de fall då personuppgifter skulle kunna bli nödvändigt med viss behandling av per skulle behandlas för rent administrativa eller rent operativa sonuppgifter för att uppgifterna enligt artikel 9 i Front ändamål. Dessa begrepp kan skapa förvirring i fråga om exförordningen skulle kunna utföras på ett effektivt sätt. exakt tillämpningsområde och innehåll. Mot denna bak grund uppmanar datatillsynsmannen lagstiftaren att klar göra denna fråga i förslaget till förordning.

text: 17. I sitt yttrande om förhandskontroll ansåg datatillsynsman nen ”att det vore önskvärt, men inte nödvändigt med en mer specifik rättslig grund än

text: artikel 9 i förordning (EG) nr 2007/2004

text: med tanke på att uppgifterna är av känslig 22. Datatillsynsmannen tar också tillfället i akt att understryka karaktär och verksamheten gäller en utsatt befolknings att slutsatserna i yttrandet om förhandskontroll endast av grupp. Syftet bör vara att fastställa klarare gränser för be ser en viss verksamhet (nämligen gemensamma insatser för handlingen och se till att det finns lämpliga garantier för de återsändande) som Frontex ska utföra framöver i överens registrerade personerna i enlighet med artikel 8 i den eu stämmelse med artikel 9 i Frontexförordningen ( 1 ). Dessa ropeiska konventionen om de mänskliga rättigheterna och slutsatser baseras på en övergripande analys av de rättsliga EU:s stadga om de grundläggande rättigheterna” (officiell och praktiska omständigheterna för denna specifika verk svensk översättning saknas). samhet samt på den information som Frontex har lämnat C 357/4 SV Europeiska unionens officiella tidning 30.12.2010 till datatillsynsmannen under förhandskontrollen. De kan 26. I detta sammanhang skulle datatillsynsmannen vilja under följaktligen inte tillämpas för att bedöma om all behandling stryka att den föreslagna

text: artikel 11

text: är den enda bestäm som i framtiden kan komma att bli aktuell i samband med melse i förslaget där frågan om Frontex behandling av Frontex övriga verksamhet är nödvändig, proportionell och personuppgifter i samband med byråns operativa verksam laglig. Om Frontex skulle planera någon annan behandling het uttryckligen nämns. I bestämmelsen görs detta genom av personuppgifter, måste det bedömas från fall till fall om att utbyte av personuppgifter utesluts inom ramen för ett behandlingen är laglig eftersom det saknas en specifik be visst informationssystem. Att övriga bestämmelser – som stämmelse om detta i Frontexförordningen ( 1 ). bestämmelsen om samarbete med EU:s organ och byråer samt internationella organisationer (

text: artikel 13

text: ) eller bestäm melsen om samarbete med tredjeländer (

text: artikel 14

text: ) inte innehåller något sådant klargörande kan leda till osäkerhet eller till och med betänkligheter i dataskyddshänseende. III. ANALYS AV DE SPECIFIKA BESTÄMMELSERNA I FÖR

text: 23. Som nämndes i punkt 13 kommer de specifika bestämmel ser i förslaget till förordning som har konsekvenser för

text: Artikel 11

text: a – Skydd av personuppgifter dataskyddet eller skulle kunna få det i framtiden (artiklarna

text: a, 11b, 13 och 14) också att behandlas i det här 27. Enligt förslaget ska

text: artikel 11

text: a införas, som gäller tillämp yttrandet. ningen av förordning

text: (EG) nr 45/2001

text: och har följande lydelse: ”Styrelsen ska fastställa bestämmelser för byråns till lämpning av förordning

text: (EG) nr 45/2001

text: , även bestämmel ser som rör byråns uppgiftsskyddsombud.”

text: Artikel 11

text: – System för utbyte av information

text: 24. I förslaget har

text: artikel 11 i förordning (EG) nr 2007/2004

text: fått ny lydelse, som ändrar byråns roll och gör att den blir 28. Datatillsynsmannen välkomnar denna bestämmelse som be kräftar att byrån är skyldig att behandla personuppgifter skyldig att underlätta informationsutbyte samt att utveckla och driva ett informationssystem för att utbyta sekretess enligt förordning

text: (EG) nr 45/2001

text: i de fall den tillåts belagda uppgifter. Enligt den föreslagna lydelsen fastställs göra detta. närmare bestämt följande: ”Byrån får vidta de åtgärder som krävs för att underlätta utbyte med kommissionen och medlemsstaterna av information som är av betydelse för dess arbetsuppgifter. Byrån ska utveckla och driva ett sy 29. I detta sammanhang är utnämningen av uppgiftsskydds stem som möjliggör utbyte av sekretessbelagda uppgifter ombudet av särskilt stor betydelse och i samband med detta med kommissionen och medlemsstaterna. Informations ska det skyndsamt införas genomförandebestämmelser för utbytet inom detta system ska inte omfatta utbyte av per uppgiftsskyddsombudets befogenheter och arbetsuppgifter sonuppgifter.” enligt

text: artikel 24.8 i förordning (EG) nr 45/2001

text: . Dessa bestämmelser ska vidare kompletteras med alla de åtgärder som krävs för en effektiv tillämpning av denna förordning för Frontex. 25. Datatillsynsmannen välkomnar det klargörande som före slås i den sista meningen i ovannämnda bestämmelse, efter som det förtydligar vilken typ av information som Frontex kan utbyta med kommissionen och medlemsstaterna och 30. Denna bestämmelse är också i högsta grad relevant när det innebär att det inte råder något tvivel om att ett sådant gäller slutsatserna i yttrandet om förhandskontroll. Här in informationsutbyte skulle omfatta personuppgifter. formerade Frontex datatillsynsmannen om att det skulle bli nödvändigt med viss behandling av personuppgifter för att 1 uppgifterna enligt artikel 9 i Frontexförordningen skulle ( ) Se punkt 3.2. i yttrandet om förhandskontroll ”Lagligheten i behand lingen”: ”Datatillsynsmannen anser att artikel 9 i förordning (EG) nr kunna utföras på ett korrekt och effektivt sätt. Eftersom 2007/2004 och

text: artikel 5 a i förordning (EG) nr 45/2001

text: därför förordning

text: (EG) nr 45/2001

text: är tillämplig måste Frontex i endast kan utgöra en provisorisk rättslig grund för den planerade sin funktion som registeransvarig säkerställa överensstäm behandlingen med hänsyn till de specifika omständigheter som råder melsen med samtliga bestämmelser i den förordningen. i detta fall, och detta gäller under förutsättning att det sker en noggrann översyn av behovet av en mer specifik rättslig grund i samband med den pågående revideringen av förordning

text: (EG) nr 2007/2004

text: .” (officiell svensk översättning saknas). I de slutgiltiga slutsatserna föreslog datatillsynsmannen också att Frontex skulle 31. Det ska här också nämnas att förslaget inte innehåller några göra följande: 1) Pröva

text: artikel 9 i förordning (EG) nr 45/2001

text: innan särskilda bestämmelser om utövandet av den registrerades det sker någon överföring enligt förordningen, så att de krav som fastställs där efterlevs. I så fall uppmanade datatillsynsmannen Fron rättigheter (artiklarna

text: i förordning (EG) nr 45/2001). tex att underrätta honom om en metod för efterlevnad av denna Det finns inte heller någon särskild bestämmelse om den artikel innan överföringen äger rum. 2) Genomföra de förfaranden registeransvariges skyldighet att lämna information till den som krävs för att garantera de registrerades rättigheter. 3) Fullgöra registrerade personen (artiklarna 11 och 12 i förordning informationsskyldigheten innan behandlingen äger rum, med undan

text: (EG) nr 45/2001

text: ). Datatillsynsmannen rekommenderar att tag för om medlemsstaterna lämnar informationen till de registre dessa bestämmelser beaktas särskilt när det gäller de åtgär rade enligt

text: artikel 12 i förordningen

text: . Vidare uppmanade datatillsyns mannen Frontex att underrätta honom om de särskilda genomföran der som ska inrättas av styrelsen på grundval av den fö deåtgärder som vidtas i detta hänseende. reslagna

text: artikel 11

text: a i förslaget. 30.12.2010 Europeiska SV unionens officiella tidning C 357/5

text: Artikel 11

text: b – Säkerhetsbestämmelser för skyddet av Europeiska polisbyrån (Europol) ( 1 ) (nedan kallat Europol sekretessbelagda uppgifter och känsliga uppgifter som beslutet) gällande förbindelserna med unionens eller gemenska inte är sekretessbelagda pens institutioner, organ, kontor och byråer. Enligt denna be stämmelse får Europol upprätta och upprätthålla samarbets 32. I

text: artikel 11

text: b fastställs att Frontex ska tillämpa säkerhets förbindelserna med institutioner, organ, kontor och byråer bestämmelserna i

text: kommissionens beslut 2001/844/EG

text: , som inrättats genom eller på grundval av fördraget om EKSG, Euratom för sekretessbelagda uppgifter. Detta ska Europeiska unionen och fördraget om upprättandet av Eu bland annat omfatta bestämmelser om utbyte, behandling ropeiska gemenskapen, särskilt Frontex. Här ska det tilläg och lagring av sekretessbelagda uppgifter. Enligt den före gas att följande fastställs i

text: artikel 22.2

text: : ”Europol ska ingå slagna bestämmelsen ska byrån också behandla icke sek överenskommelser eller samarbetsavtal med enheter som retessbelagd men känslig information enligt de bestämmel avses i punkt 1. Sådana överenskommelser eller samarbets ser som antagits och genomförts av kommissionen. avtal får avse utbyte av operativ, strategisk och teknisk information, även personuppgifter och sekretessbelagda uppgifter. En sådan överenskommelse eller ett sådant sam arbetsavtal får endast ingås efter godkännande av styrelsen, som dessförinnan, vad beträffar utbyte av personuppgifter, 33. Datatillsynsmannen välkomnar denna bestämmelse som ut erhållit den gemensamma tillsynsmyndighetens yttrande.” gör ett nödvändigt klargörande av hur sekretessbelagda Innan den överenskommelse eller det gällande avtal som uppgifter ska säkras, utbytas, behandlas och lagras av Fron avses i punkt 2 träder i kraft, får Europol också enligt tex. Datatillsynsmannen välkomnar också att känsliga upp

text: artikel 22.3

text: direkt erhålla och använda information, även gifter som inte är sekretessbelagda ska behandlas på ett personuppgifter, från de enheter som avses i punkt 1, i den säkert sätt enligt de säkerhetsprinciper som har antagits utsträckning som det är nödvändigt för ett lagenligt utfö av kommissionen. För att komplettera och klargöra denna rande av Europols uppgifter och får på de villkor som säkerhetsskyldighet rekommenderar datatillsynsmannen att fastställs i

text: artikel 24.1

text: direkt överföra information, även orden ”och ska i enlighet med detta utveckla sin egen personuppgifter, till sådana enheter i den utsträckning detaljerade säkerhetspolicy” läggs till i

text: artikel 11

text: b sista me som det är nödvändigt för ett lagenligt utförande av mot ningen. För att kommissionens principer ska vara effektiva tagarens uppgifter. behöver de införlivas och genomföras på lämpligt sätt ge nom en skräddarsydd säkerhetspolicy.

text: 37. Eftersom Europolbeslutet innehåller en bestämmelse som

text: Artikel 13

text: – Samarbete med EU:s organ och byråer innebär att Europol skulle kunna få ingå överenskommelser samt internationella organisationer eller samarbetsavtal med Frontex som kan avse utbyte av operativ, strategisk och teknisk information, även person 34. I förslaget ersätts den nuvarande lydelsen av artikel 13 i uppgifter, uppmanar datatillsynsmannen lagstiftaren att i Frontexförordningen. Enligt den nya lydelsen gäller föl förslaget till förordning klargöra att ett samarbetsavtal jande: ”Byrån får samarbeta med Europol, Europeiska byrån som skulle kunna ingås med Europol på grundval av den för samarbete i asylfrågor, Europeiska unionens byrå för föreslagna artikeln 13 i Frontexförordningen inte skulle grundläggande rättigheter och andra av EU:s organ och omfatta utbyte av personuppgifter. byråer samt de internationella organisationer som har be hörighet i frågor som omfattas av denna förordning, inom ramen för vad som avtalats med dessa organ i enlighet med relevanta bestämmelser i fördraget och bestämmelserna om dessa organs behörighet.”

text: Artikel 14

text: – Underlättande av det operativa samarbetet med tredjeländer och samarbetet med behöriga myn digheter i tredjeländer

text: 35. Efter att ha analyserat denna bestämmelse tolkar datatill 38. Artikel 14.1 i förslaget gäller frågan om hur det operativa synsmannen det som att samarbetsavtal med de byråer, samarbetet med tredjeländer och samarbetet med behöriga organ och internationella organisationer som anges i denna myndigheter i tredjeländer ska underlättas. Närmare be artikel inte ska omfatta behandling av personuppgifter. stämt ska byrån ”i frågor som omfattas av byråns verk Denna tolkning grundas på att den här frågan inte närmare samhet, och i den omfattning som krävs för fullgörandet specificeras med den nya lydelsen. Här anges inte heller av dess uppgifter, (...) underlätta det operativa samarbetet vilka uppgiftskategorier som skulle kunna utbytas mellan mellan medlemsstater och tredjeländer inom ramen för Eu byråer och organ. Det fastställs inte heller under vilka om ropeiska unionens politik för yttre förbindelser, även med ständigheter som ett sådant utbyte skulle kunna äga rum. avseende på de mänskliga rättigheterna”. I punkt 6 i ovan nämnda artikel fastställs det också att ”[b]yrån får sam arbeta med de myndigheter i tredjeländer som är behöriga i frågor som omfattas av denna förordning inom ramen för vad som avtalats med dessa myndigheter i enlighet med 36. Utan hinder av ovannämnda ståndpunkt skulle datatillsyns relevanta bestämmelser i fördraget”. mannen vilja uppmärksamma bestämmelserna i artikel 22 i rådets beslut av den 6 april 2009 om inrättande av ( 1 ) 2009/371/RIF, (EUT L 121, 15.5.2009, s. 37). C 357/6 SV Europeiska unionens officiella tidning 30.12.2010

text: 39. När det gäller ovannämnda bestämmelse noterar datatill 44. Det behövs en specifik rättslig grund för frågan om Frontex synsmannen att den saknar hänvisning till behandling av behandling av personuppgifter som klargör under vilka personuppgifter. Inte heller anges det om och i så fall i omständigheter som Frontex skulle kunna utföra en sådan vilken omfattning och under vilka omständigheter som de behandling, förutsatt att det föreligger starka skyddsåtgärder ”samarbetsavtal” som avses i denna bestämmelse skulle om för dataskyddet och att principerna om proportionalitet och fatta personuppgifter. Med hänsyn till det resonemang som nödvändighet följs. En sådan behandling ska endast tillåtas anges under Allmänna kommentarer förstår datatillsyns när detta är nödvändigt för klart fastställda och lagliga mannen det därför som att denna bestämmelse inte skulle ändamål (särskilt gemensamma insatser för återsändande). omfatta behandling av personuppgifter. Denna slutsats är också i linje med den information som datatillsynsmannen har fått från Frontex i samband med anmälan om förhands 45. Genom den rättsliga grunden ska det specificeras vilka kontroll för gemensamma insatser för återsändande. skyddsåtgärder, begränsningar och villkor som är nödvän diga och lämpliga för en sådan behandling av personupp gifter, i överensstämmelse med artikel 8 i den europeiska konventionen om de mänskliga rättigheterna och artikel 8 i IV. SLUTSATSER EU:s stadga om de grundläggande rättigheterna. Något av det absolut viktigaste här är garantier för den registrerades 40. Datatillsynsmannen välkomnar att kommissionen har hållit rättigheter. samråd med honom i enlighet med artikel 28.2 i förord ning

text: (EG) nr 45/2001

text: . 46. Det väcker allvarliga betänkligheter att kommissionen inte vill specificera detta i förslaget till förordning eller klart 41. Datatillsynsmannen har noterat mål och syfte med förslaget ange ett datum för när den har för avsikt att göra det, till förordning samt de orsaker som ledde fram till anta för att i stället skjuta upp frågan i avvaktan på nya rättsliga gandet av förslaget om en revidering av Frontexlagstift och politiska omständigheter. Enligt datatillsynsmannen ningen. Han konstaterar framför allt att syftet med förslaget skulle ett sådant tillvägagångssätt kunna leda till en oöns är att Frontex ska kunna utföra både sina nuvarande upp kad rättslig osäkerhet och en betydande risk för att regler gifter och befogenheter och dem som föreskrivs enligt för och skyddsåtgärder för dataskyddet inte efterlevs. slaget till förordning på ett mer effektivt sätt.

text: 47. För att förbättra förslaget ytterligare uppmanar datatillsyns mannen också lagstiftaren att i förslaget till förordning 42. Med hänsyn till den nya rättsliga ram som enligt förslaget klargöra att ett samarbetsavtal som skulle kunna ingås ska gälla för Frontex verksamhet inom en snar framtid och med Europol på grundval av den föreslagna artikeln 13 i som också kan leda till att Frontex får nya operativa upp Frontexförordningen inte skulle omfatta utbyte av person gifter enligt förslaget till förordning, är det anmärkningsvärt uppgifter. Vidare föreslår han att

text: artikel 11

text: b i förslaget ska att Frontex behandling av personuppgifter förbigås i försla klargöras. get, med ett enda undantag: sista meningen i

text: artikel 11

text: . Utfärdat i Bryssel den 17 maj 2010. 43. Datatillsynsmannen anser att förslaget till förordning – i den omfattning detta är nödvändigt och lämpligt – tydligt Peter HUSTINX bör klargöra tillämpningsområdet för den verksamhet som kan leda till att Frontex behandlar personuppgifter. Europeiska datatillsynsmannen