text: HÄRIGENOM FRAMFÖRS FÖLJANDE. II. ANALYS AV FÖRSLAGET

text: I. INLEDNING 5. Den föreslagna förordningen omfattar flera aspekter som

text: ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 3 ) EGT L 248, 16.9.2002, s. 1. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 4 ) Se KOM(2010) 260 slutlig respektive KOM(2010) 71 slutlig.

text: ( 7 ) Se även Europeiska datatillsynsmannens yttranden om förhands granskning av den 23 juni 2006, om Olafs interna utredningar ( 9 ) EU-domstolen den 9 november 2010, Schecke och Eifert, de för (ärende 2005-0418), och av den 4 oktober 2007 om Olafs externa enade målen

text: och

text: . utredningar (ärendena 2007-47, 2007-48, 2007-49, 2007-50 och ( 10 ) EU-domstolen, Schecke, punkt 85. 2007-72), som finns på Europeiska datatillsynsmannens webbplats ( 11 ) EU-domstolen, Schecke, punkt 86. (http://www.edps.europa.eu). ( 12 ) EU-domstolen, Schecke, punkt 81. ( 8 ) Se i detta avseende även ovannämnda yttrande 1/2006 från ( 13 ) Se fotnot 12. artikel 29-arbetsgruppen. ( 14 ) EU-domstolen, Schecke, punkterna 68, 69, 75 och 76.

text: ( 17 ) Se Europeiska datatillsynsmannens yttrande om förhandsgranskning — frasen ”garantera ett rimligt skydd av personuppgifter” i av den 26 maj 2010 om behandling av personuppgifter när det

text: artikel 57.2 f

text: ersätts med ”garantera att all behandling gäller registrering av personer i den centrala databasen över ute slutna (ärende 2009-0681), som finns på Europeiska datatillsyns av personuppgifter följer de nationella bestämmelser

text: mannens webbplats (http://www.edps.europa.eu). som införlivar direktiv

text: Giovanni BUTTARELLI —

text: artikel 103.3

text: , som gäller offentliggörande av beslut eller en sammanfattning av beslut om administrativa och Biträdande europeisk datatillsynsman

amnesord:
Privacy in the EU Institutions
Anti-fraud
Procurements, Grants, Experts
Transparency
Whistleblowing

title: Financial rules applicable to the annual budget of the Union

text: 21.7.2011 Europeiska SV unionens officiella tidning C 215/13

text: YTTRANDEN

type: rubrik

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannenom förslaget till Europaparlamentets och rådets förordning om finansiella bestämmelser för unionens årliga budget

text: (2011/C 215/05)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA Euratom) nr 1605/2002 ( 3 )). Dessa båda förslag gällde dels YTTRANDE treårsöversynen av budgetförordningen, dels en anpassning av budgetförordningen till Lissabonfördraget ( 4 ).

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel 16, 2. Den 5 januari 2011 överlämnades förslaget till Europeiska datatillsynsmannen (EDPS) i enlighet med

text: artikel 28.2 i förordning (EG) nr 45/2001

text: . Europeiska datatillsynsman nen rådfrågades informellt innan förslaget antogs. Europe med beaktande av Europeiska unionens stadga om de grund iska datatillsynsmannen rekommenderar att lagstiftaren in läggande rättigheterna, särskilt artiklarna

text: och

text: , kluderar en hänvisning till samrådet med Europeiska data tillsynsmannen i inledningen till förslaget till förordning.

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda 3. Förslaget har vissa konsekvenser för integritets- och personer med avseende på behandling av personuppgifter och 1 dataskyddet såväl på EU-nivå som på nationell nivå. Dessa om det fria flödet av sådana uppgifter ( ), kommer att diskuteras i detta yttrande.

text: med beaktande av den begäran om ett yttrande i enlighet med

text: om skydd för en 4. Hänvisningar till relevanta instrument för integritets- och skilda då gemenskapsinstitutionerna och gemenskapsorganen dataskydd finns i förslaget. Såsom kommer att förklaras i behandlar personuppgifter och om den fria rörligheten för så detta yttrande behövs dock en del ytterligare arbete och dana uppgifter ( 2 ) som överlämnades av kommissionen den förtydliganden för att säkerställa att den rättsliga ramen 5 januari 2011. för dataskyddet följs fullt ut.

text: II.1 Allmänna hänvisningar till relevanta EU-regler för

text: dataskydd

text: 1. Den 22 december 2010 antog kommissionen ett förslag involverar att såväl EU-institutioner, EU-byråer och EU-or till Europaparlamentets och rådets förordning om finansi gan som enheter på medlemsstatsnivå behandlar person ella bestämmelser för unionens årliga budget (nedan kallat uppgifter. Denna behandling kommer att analyseras när förslaget). Förslaget sammanför och ersätter två tidigare mare nedan. Vid behandling av personuppgifter är EU-in kommissionsförslag till översyn av budgetförordningen (ne stitutioner, EU-byråer och EU-organ bundna av bestämmel dan kallad budgetförordningen, rådets förordning (EG, serna om dataskydd i förordning

text: (EG) nr 45/2001

text: . Enheter

text: C 215/14 SV Europeiska unionens officiella tidning 21.7.2011

text: som är verksamma på nationell nivå är bundna av de 11. När det gäller den aspekten anges det i punkt 4 f i nationella bestämmelser i berörd medlemsstat som inför

text: artikel 56

text: (som bör vara 4 e enligt den logiska ordnings livar direktiv

text: . följden för styckena) att de organ som medlemsstaterna har ackrediterat och som ensamma är ansvariga för att de me del som ackrediteringen omfattar förvaltas och kontrolleras på lämpligt sätt ska ”se till att personuppgifter skyddas 6. Europeiska datatillsynsmannen uppskattar att den före enligt principerna i direktiv

text: ”. Europeiska datatill slagna förordningen innehåller hänvisningar till det ena av synsmannen rekommenderar att denna hänvisning skärps eller båda dessa instrument ( 5 ), men det hänvisas inte syste genom att lydelsen ändras till ”se till att all behandling av matiskt och konsekvent till instrumenten i förslaget. Därför personuppgifter följer de nationella bestämmelser som in uppmanar Europeiska datatillsynsmannen lagstiftaren att förlivar direktiv

text: ”. anlägga en mer övergripande strategi i förslaget när det gäller sådana hänvisningar.

text: 12. När det gäller enheter och personer andra än medlemssta 7. Europeiska datatillsynsmannen rekommenderar att lagstifta terna ska dessa enligt

text: artikel 57.2 f

text: ”garantera ett rimligt ren inkluderar följande hänvisningar till direktiv

text: skydd av personuppgifter”. Europeiska datatillsynsmannen och förordning

text: (EG) nr 45/2001

text: i förordningens ingress: är starkt kritisk till denna lydelse, eftersom den förefaller lämna utrymme för en mindre strikt tillämpning av reg lerna för skydd av personuppgifter. Europeiska datatillsyns mannen rekommenderar därför att denna fras ersätts med ”Denna förordning påverkar inte kraven enligt Europapar ”garantera att all behandling av personuppgifter följer de lamentets och

text: rådets direktiv 95/46/EG

text: av den 24 oktober nationella bestämmelser som införlivar direktiv

text: ”. 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och enligt

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och ge II.3 Uppgiftslämnare menskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter”. 13.

text: Artikel 63.8

text: behandlar anmälan av missförhållanden. Enligt artikeln är en anställd skyldig att underrätta den delege rande utanordnaren (eller den specialiserade instans för fi nansiella oriktigheter som ska inrättas enligt artikel 70.6 i 8. Vidare rekommenderar Europeiska datatillsynsmannen att förslaget) om han eller hon bedömer att ett beslut som en en hänvisning till direktiv

text: och förordning (EG) överordnad fattat och som han eller hon uppmanas att nr 45/2001 inkluderas i

text: artikel 57.2 f

text: , på motsvarande sätt verkställa eller godta utgör en oegentlighet eller ett brott som i artikel 31.3 i förslaget. mot principerna för sund ekonomisk förvaltning eller de bestämmelser som gäller för yrket och som han eller hon är skyldig att följa. Om det förfarande som upptäcks är brottsligt eller utgör bedrägeri eller korruption som kan skada unionens intressen måste de anställda underrätta de II.2 Förebyggande, upptäckt och korrigering av bedrägerier och myndigheter och instanser som utsetts i gällande lagstift

text: oriktigheter

text: ning. 9. Artikel 28 i förslaget gäller intern kontroll av budget genomförandet. Enligt punkt 2 d är den interna kontrollen av genomförande av budgeten utformad för att ge rimliga garantier för att bedrägerier och oriktigheter förebyggs, upptäcks och korrigeras. 14. Europeiska datatillsynsmannen vill betona att uppgiftsläm nare befinner sig i en utsatt position. Personer som tar emot sådana uppgifter ska se till att uppgiftslämnarens identitet hemlighålls, särskilt för den person som påstås 10. Vid indirekt genomförande av budgeten genom att kom vara ansvarig för den överträdelse som rapporteras ( 6 ). missionen delar förvaltningen med medlemsstaterna eller Hemlighållande av en uppgiftslämnares identitet skyddar med andra enheter och personer ska enligt

text: artikel 56.2

text: respektive

text: artikel 57.3

text: medlemsstaterna och andra enheter 6 ( ) Vikten av att hemlighålla uppgiftslämnares identitet har redan beto och personer förebygga, upptäcka och korrigera oriktighe nats av Europeiska datatillsynsmannen i en skrivelse till Europeiska ter och bedrägerier när de utför uppgifter som ingår i ombudsmannen av den 30 juli 2010 i ärende 2010-0458, som budgetförfarandet. Sådana åtgärder ska självfallet till fullo finns på Europeiska datatillsynsmannens webbplats (http://www. följa de nationella bestämmelser som införlivar direktiv edps.europa.eu). Även artikel 29-arbetsgruppen har betonat detta i sitt yttrande 1/2006 av den 1 februari 2006 om tillämpningen av

text: . EU:s dataskyddsregler på interna system för anmälan av missförhål landen när det gäller räkenskaper, intern granskning av räkenska ( 5 ) Se

text: artikel 31.3

text: och artikel 56.4 i förslaget. Dessutom finns en allmän perna, revision, bekämpning av mutor, bankväsende och finansiell hänvisning till ”krav på uppgiftsskydd” i skäl 36, till ”skydd av brottslighet. Yttrandet finns på artikel 29-arbetsgruppens webbplats: personuppgifter” i

text: artikel 57.2 f

text: och till ”unionens bestämmelser (http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en. om skydd av personuppgifter” i

text: artikel 102.1

text: . htm).

text: 21.7.2011 Europeiska SV unionens officiella tidning C 215/15

text: inte bara den personen utan garanterar också att systemet

text: rådets direktiv 95/46/EG

text: och Europaparlamentets och rå med anmälan av missförhållanden som sådant fungerar dets förordning

text: (EG) nr 45/2001

text: , samt säkerhetskraven, effektivt. Utan tillräckliga garantier för sekretess blir an med beaktande av de närmare förutsättningarna för varje ställda mindre benägna att rapportera oegentligheter och sådan förvaltningsmetod […] och, i förekommande fall, i brottslig verksamhet. enlighet med relevanta sektorspecifika bestämmelser”.

text: 20. Offentliggörande av namn på mottagare av EU-medel togs 15. Skyddet av uppgiftslämnares identitet är dock inte absolut. upp av EU-domstolen i domen av november 2010 i målet Efter den inledande interna utredningen kan ytterligare för 9 Schecke och Eifert ( ). Utan att gå in på detaljer ska det farandeåtgärder eller rättsliga åtgärder förekomma som kan betonas att domstolen gjorde en omsorgsfull bedömning kräva att uppgiftslämnarens identitet yppas, t.ex. för rätts av huruvida EU-lagstiftningen, som innebär skyldighet att liga myndigheter. I det fallet ska nationella bestämmelser lämna ut information, följde bestämmelserna i

text: artiklarna 7

text: för rättsliga förfaranden följas ( 7 ). och 8 i EU-stadgan om de grundläggande rättigheterna (nedan kallad EU-stadgan).

text: 16. Det kan också förekomma situationer när den person som 21. Domstolen granskade det ändamål för vilket informationen anklagas för en överträdelse har rätt att få veta uppgifts lämnades ut och därefter åtgärdens proportionalitet. Dom lämnarens namn. Detta är möjligt om personen behöver stolen ansåg att institutionerna har skyldighet att innan känna till uppgiftslämnarens identitet för att kunna inleda information om en fysisk person lämnas ut göra en avväg rättsliga förfaranden mot denne efter att det har fastställts ning mellan Europeiska unionens intresse och ingreppet i att uppgiftslämnaren av illvilja har lämnat oriktiga uppgifter de rättigheter som erkänns genom EU-stadgan ( 10 ). Dom om personen ( 8 ). stolen betonade att undantag och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändigt ( 11 ).

text: 17. Europeiska datatillsynsmannen rekommenderar att det nu varande förslaget ändras så att det garanteras att uppgifts lämnarens identitet hemlighålls under utredningarna föru 22. Domstolen ansåg att institutionerna bör utforska olika me tom om detta strider mot nationella bestämmelser för rätts toder för offentliggörande för att hitta en som överensstäm liga förfaranden eller om den person som anklagas för en mer med offentliggörandets ändamål samtidigt som den överträdelse har rätt att få veta uppgiftslämnarens identitet medför ett så litet ingrepp som möjligt i stödmottagarens därför att detta krävs för att den anklagade personen ska rätt till respekt för privatlivet i allmänhet och rätt till skydd kunna inleda rättsliga förfaranden mot uppgiftslämnaren av personuppgifter i synnerhet ( 12 ). I detta enskilda mål

text: efter att det har fastställts att denne av illvilja har lämnat hänvisade domstolen till att begränsa offentliggörandet av oriktiga uppgifter om personen. uppgifter där stödmottagarna namnges beroende på de pe rioder under vilka de tog emot stöd samt på stödets fre kvens, typ eller omfattning ( 13 ).

text: II.4 Offentliggörande av information om mottagare av medel ur budgeten 23. Europeiska datatillsynsmannen betonar än en gång att re

text: spekt för privatlivet och skydd av personuppgifter inte är 18. Enligt

text: artikel 31.2

text: (Offentliggörande av namn på mottagare liktydigt med att alltid förhindra offentlig åtkomst till infor av medel från unionen samt annan information) ska kom mation när personuppgifter är involverade eller att otillbör missionen på lämpligt sätt ge tillgång till information om ligen begränsa EU-förvaltningens öppenhet. Datatillsyns mottagare av medel ur budgeten som den förfogar över när mannen förespråkar ståndpunkten att principen om öppen budgeten genomförs av kommissionen, antingen direkt el het ”ger medborgarna bättre möjligheter att delta i besluts ler av unionens delegationer. förfarandet och garanterar att förvaltningen åtnjuter större legitimitet och är effektivare och har ett större ansvar gente mot medborgarna i ett demokratiskt system” samt att of fentliggörande på internet av uppgifter där stödmottagarna 19. Enligt

text: artikel 31.3

text: ska informationen ”tillhandahållas med namnges som görs på ett korrekt sätt ”bidrar till att myn vederbörligt iakttagande av sekretesskraven, särskilt kraven digheterna använder allmänna medel på föreskrivet sätt” på skydd av personuppgifter enligt Europaparlamentets och och ”stärker allmänhetens insyn i hur dessa medel an vänds” ( 14 ).

text: C 215/16 SV Europeiska unionens officiella tidning 21.7.2011

text: 24. Utifrån denna grund vill Europeiska datatillsynsmannen be har lämnat de uppgifter som krävs (se

text: artikel 101 b

text: ) eller b) tona att EU-domstolens överväganden enligt ovan har ome kontraktsparter som på ett allvarligt sätt har konstaterats delbar relevans för det aktuella förslaget. Det hänvisas i bryta mot sina skyldigheter som täcks av budgeten. förslaget till direktiv

text: och förordning

text: (EG) nr 45/2001

text: , men det säkerställs inte att det offentliggörande som förutses uppfyller de krav som domstolen beskriver i Schecke. Det bör här understrykas att EU-domstolen inte 29. I

text: artikel 103.1

text: anges det att den berörda personen måste bara ogiltigförklarade den kommissionens förordning som ges tillfälle att lägga fram sina synpunkter. Enligt innehöll närmare bestämmelser om offentliggörande av in

text: artikel 103.2

text: kan påföljderna bestå i att den anbuds formation om mottagare av stöd från jordbruksfon 15 sökande, anbudsgivaren eller kontraktsparten utesluts från derna ( ) utan även den bestämmelse i förordningen som deltagande i upphandlingar och inte får beviljas bidrag som utgör den rättsliga grunden för kommissionens förordning finansieras genom budgeten under en period på upp till tio och som innehöll det övergripande kravet att lämna ut år, och/eller blir föremål för ekonomiska påföljder upp till information så långt bestämmelsen gällde fysiska perso 16 värdet på det aktuella kontraktet. ner ( ).

text: 30. Jämfört med den rådande situationen är ett nytt inslag i 25. Europeiska datatillsynsmannen tvivlar starkt på att det ak förslaget den möjlighet för institutionen som nämns i tuella förslaget uppfyller de kriterier som domstolen beskri

text: artikel 103.3

text: att offentliggöra besluten eller en sammanfatt ver i Schecke. Varken

text: artikel 31

text: eller de intilliggande artik ning av dem med uppgifter om namn på den ekonomiska larna innehåller ett tydligt och väldefinierat ändamål för aktören, en kort beskrivning av omständigheterna, uteslut vilket offentliggörande av personuppgifter förutses. Vidare ningens varaktighet och belopp för eventuella ekonomiska är det oklart när och i vilket format informationen ska påföljder. lämnas ut. Därför går det inte att bedöma om den rätta avvägningen gjorts mellan de intressen som står mot va randra och inte heller att på det sätt som domstolen ut tryckligen tar upp i Schecke bekräfta att ett offentliggörande är en proportionerlig åtgärd. Dessutom är det oklart hur de 31. Eftersom denna bestämmelse innebär att uppgifter om fy registrerades rättigheter skyddas. siska personer lämnas ut ger den anledning till en del

text: frågetecken när det gäller dataskydd. För det första framgår det av ordet ”får” att det inte är obligatoriskt att offentlig göra informationen, men detta ger upphov till ett antal frågor som inte besvaras av förslaget. Vilket är syftet med 26. Även om tillämpningslagstiftning planeras – vilket inte att lämna ut uppgifterna? Vilka kriterier ska den berörda anges tydligt – bör de grundläggande förtydliganden som institutionen använda för att besluta att uppgifter ska läm nämns ovan ingå i den rättsliga grunden till budgetförord nas ut? Hur länge är informationen offentligt tillgänglig och ningen när det gäller att lämna ut sådana uppgifter. via vilket medium? Vem kontrollerar att informationen fortfarande är korrekt och håller den uppdaterad? Vem underrättar den berörda personen om offentliggörandet? Alla dessa frågor rör kraven på datakvalitet enligt

text: artikel 6 i direktiv 95/46/EG

text: och artikel 4 i förordning 27. Europeiska datatillsynsmannen rekommenderar därför att

text: (EG) nr 45/2001

text: . lagstiftaren förtydligar ändamålet och förklarar varför ut lämnandet krävs, anger hur och i vilken grad personupp gifter kommer att lämnas ut samt säkerställer att uppgif terna lämnas ut endast om detta är en proportionerlig åtgärd och att de registrerade kan åberopa sina rättigheter 32. Det ska understrykas att offentliggörande av sådan infor enligt EU:s dataskyddslagstiftning. mation innebär ytterligare negativa följder för den berörda personen. Offentliggörande bör vara tillåtet endast om det är strikt nödvändigt för det avsedda ändamålet. Kommen tarerna ovan i del II.4 i samband med domstolens dom i Schecke är relevanta även i detta sammanhang. II.5 Offentliggörande av beslut eller en sammanfattning av beslut

text: om administrativa och ekonomiska följder

text: 28. Artikel 103 i förslaget behandlar upphandlande myndighe ters möjlighet att besluta om administrativa eller ekono 33. I sin nuvarande form uppfyller den föreslagna lydelsen av miska följder för a) kontraktsparter, anbudssökande eller

text: artikel 103.3

text: inte helt dataskyddslagstiftningens krav. Euro anbudsgivare som har lämnat felaktiga uppgifter till den peiska datatillsynsmannen rekommenderar därför att lags upphandlande myndigheten i fråga om de krav som måste tiftaren förtydligar ändamålet och förklarar varför utläm uppfyllas för att delta i upphandlingsförfarandet eller inte nandet krävs, anger hur och i vilken grad personuppgifter kommer att lämnas ut samt säkerställer att uppgifterna ( 15 ) Kommissionens förordning (EC) nr 259/2008, EUT L 76, lämnas ut endast om detta är en proportionerlig åtgärd 19.3.2008, s. 28. ( 16 )

text: Artikel 44

text: a i förordning (EG) nr 1290/205, EUT L 209, 11.8.2005, och att de registrerade kan åberopa sina rättigheter enligt s. 1, i dess ändrade form. EU:s dataskyddslagstiftning.

text: 21.7.2011 Europeiska SV unionens officiella tidning C 215/17

text: II.6 Central databas över uteslutna krävs för att garantera att mottagaren erbjuder en adekvat

text: skyddsnivå vid överföring av personuppgifter när mottaga 34. Förslaget innebär också att en central databas över ute ren är ett tredjeland eller en annan organisation än EUslutna inrättas som ska innehålla närmare uppgifter om institutionerna och EU-organen. Europeiska datatillsyns anbudssökande och anbudsgivare som är uteslutna från mannen vill betona att det måste bedömas från fall till att delta i anbud (se

text: artikel 102

text: ). Denna databas finns redan fall om skyddsnivån är adekvat och att bedömningen bör i enlighet med nuvarande budgetförordning och dess funk innefatta en grundlig analys av omständigheterna kring tion beskrivs närmare i kommissionens förordning (EG) nr överföringen av uppgifter eller serier av uppgifter. Budget 1302/2008. Den behandling av personuppgifter som äger förordningen kan inte befria kommissionen från denna rum i samband med den centrala databasen har analyserats skyldighet. Även överföringar som bygger på något av un av Europeiska datatillsynsmannen i ett yttrande om för dantagen enligt

text: artikel 9

text: bör bedömas från fall till fall. handsgranskning av den 26 maj 2010 ( 17 ).

text: 35. Det finns många mottagare för de data som tillhandahålls i 40. I detta avseende rekommenderar Europeiska datatillsyns

text: den centrala databasen över uteslutna. Beroende på vem mannen att lagstiftaren lägger till ytterligare en punkt i

text: som har åtkomst till databasen gäller artiklarna

text: eller

text: artikel 102

text: om skyddet av personuppgifter. Denna punkt

text: 9 i förordning

text: (EG) nr 45/2001

text: . kan inledas med den första mening som redan finns i

text: artikel 102

text: , dvs. ”En central databas ska inrättas och skötas

text: av kommissionen i enlighet med unionens bestämmelser

text: om skydd av personuppgifter”. Till detta bör läggas att 36. I det ovannämnda yttrandet om förhandsgranskning drog åtkomst för myndigheter i tredjeländer endast är tillåten

text: Europeiska datatillsynsmannen slutsatsen att nuvarande när villkoren enligt

text: artikel 9 i förordning (EG) nr 45/2001

text: praxis när det gäller tillämpning av

text: artiklarna 7

text: (överföring är uppfyllda.

text: av personuppgifter inom eller mellan EU-institutioner och

text: EU-organ) och 8 (överföring av personuppgifter till andra

text: mottagare än EU-institutionerna och EU-organen) följer för

text: ordning

text: (EG) nr 45/2001

text: . III. SLUTSATS

text: 41. Förslaget har vissa konsekvenser för integritets- och datas

text: kyddet såväl på EU-nivå som på nationell nivå. Dessa har 37. Samma slutsats går däremot inte att dra när det gäller diskuterats i detta yttrande. Hänvisningar till relevanta in överföring av personuppgifter till myndigheter i tredjelän strument för integritets- och dataskydd finns i förslaget. der. Denna regleras av artikel 9 i förordning (EG) nr Såsom har förklarats i detta yttrande behövs dock en del 45/2001, som rör personuppgifter som överförs till myn ytterligare arbete och förtydliganden för att säkerställa att digheter i tredjeländer och/eller internationella organisatio den rättsliga ramen för dataskyddet följs fullt ut. Europeiska ner. I

text: artikel 102.2

text: anges det att även myndigheter i tredje datatillsynsmannen rekommenderar att länder ska ha åtkomst till den centrala databasen över ute

text: slutna.

text: — en hänvisning till direktiv

text: och förordning 38. Enligt

text: artikel 9.1 i förordning (EG) nr 45/2001

text: gäller föl

text: (EG) nr 45/2001

text: läggs till i förordningens ingress,

text: jande: ”Personuppgifter får endast överföras till andra mot

text: tagare än gemenskapsinstitutionerna och gemenskapsorga

text: nen vilka inte omfattas av den nationella lagstiftning som

text: har antagits med stöd av direktiv

text: , om en adekvat — en hänvisning till direktiv

text: och förordning skyddsnivå har säkerställts i mottagarens land eller inom

text: (EG) nr 45/2001

text: läggs till i

text: artikel 57.2 f

text: , på motsva den mottagande internationella organisationen och om rande sätt som i artikel 31.3 i förslaget, uppgifterna överförs uteslutande för att göra det möjligt

text: för den registeransvarige att utföra de uppgifter för vilka

text: han har behörighet.”. Trots vad som sägs i

text: artikel 9.1

text: och

text: artikel 9.6

text: får personuppgifter överföras till länder som inte

text: erbjuder en adekvat skyddsnivå om ”överföringen är nöd — hänvisningen till direktiv

text: i

text: artikel 56.4 f

text: (som

text: vändig eller följer av lag på grund av viktiga allmänna bör vara 4 e enligt den logiska ordningsföljden för

text: intressen (…)”. styckena) görs tydligare genom att lydelsen ändras till

text: ”garantera att all behandling av personuppgifter följer

text: de nationella bestämmelser som införlivar direktiv

text: ”, 39. I det ovannämnda yttrandet om förhandsgranskning beto

text: nade Europeiska datatillsynsmannen att ytterligare åtgärder

text: C 215/18 SV Europeiska unionens officiella tidning 21.7.2011

text: artikel 63.8

text: säkerställer att uppgiftslämnarens identitet ekonomiska följder, förbättras genom att det förklaras hemlighålls under utredningarna förutom om detta stri varför utlämnandet krävs, anges hur och i vilken grad der mot nationella bestämmelser för rättsliga förfaran personuppgifter kommer att lämnas ut samt säkerställs den eller om den person som anklagas för en överträ att uppgifterna lämnas ut endast om detta är en pro delse har rätt att få veta uppgiftslämnarens identitet portionerlig åtgärd och att de registrerade kan åberopa därför att detta krävs för att den anklagade personen sina rättigheter enligt EU:s dataskyddslagstiftning, ska kunna inleda rättsliga förfaranden mot uppgiftsläm naren efter att det har fastställts att denne av illvilja har lämnat oriktiga uppgifter om den anklagade, — ytterligare en punkt läggs till i

text: artikel 102

text: , som behand lar skyddet av personuppgifter, där det anges att åt komst för tredjeländers myndigheter är tillåten endast — ändamålet förtydligas i

text: artikel 31

text: och att det förklaras om de villkor som anges i artikel 9 i förordning (EG) nr varför uppgifter om mottagare av medel ur budgeten 45/2001 är uppfyllda och efter bedömning från fall till måste lämnas ut, anges hur och i vilken grad uppgif fall. terna ska lämnas ut samt säkerställs att uppgifterna lämnas ut endast om detta är en proportionerlig åtgärd och att de registrerade kan åberopa sina rättigheter en Utfärdat i Bryssel den 15 april 2011. ligt EU:s dataskyddslagstiftning,


text: FÖRSLAGETS BAKGRUND OCH HUVUDSAKLIGA med beaktande av Europaparlamentets och rådets förordning INNEHÅLL

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för 4. I finanskrisens kölvatten har kommissionen initierat och enskilda då gemenskapsinstitutionerna och gemenskapsorganen lagt fram en översikt av den befintliga rättsliga ramen för behandlar personuppgifter och om den fria rörligheten för så finansiell tillsyn i syfte att hantera de stora brister som dana uppgifter ( 2 ), särskilt

text: artikel 41

text: . upptäckts på området, både i enskilda fall och när det gäller finanssystemet som helhet. Ett antal lagstiftningsför slag har nyligen antagits på området för att stärka befint HÄRIGENOM FRAMFÖRS FÖLJANDE. liga tillsynsordningar och förbättra samordningen och sam arbetet på EU-nivå.

text: ( 4 )

text: Europaparlamentets och rådets förordning (EU) nr 1092/2010

text: av

text: Kommissionen har inte samrått med Europeiska datatill den 24 november 2010 om makrotillsyn av det finansiella systemet synsmannen trots att detta krävs i artikel 28.2 i förordning på EU-nivå och om inrättande av en europeisk systemrisknämnd, (EUT L 331, 15.12.2010, s. 1).

text: (EG) nr 45/2001

text: (”förordning

text: (EG) nr 45/2001

text: ”). Europe ( 5 )

text: Europaparlamentets och rådets förordning (EU) nr 1093/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyn ( 1 ) EGT L 281, 23.11.1995, s. 31. dighet (Europeiska bankmyndigheten), om ändring av beslut nr ( 2 ) EGT L 8, 12.1.2001, s. 1.

text: och om upphävande av kommissionens beslut ( 3 ) KOM(2010) 484 slutlig.

text: , (EUT L 331, 15.12.2010, s. 12).

text: ANALYS AV BESTÄMMELSERNA FÖR TILLGÅNG TILL REGISTER ÖVER TELE- OCH DATATRAFIK 9. Europeiska datatillsynsmannen erkänner att kommissionens

text: liksom mottagare och andra berörda användare. ( 6 )

text: Europaparlamentets och rådets förordning (EU) nr 1094/2010

text: av ( 10 ) Se

text: artikel 6.1 i direktiv 2002/58/EG

text: , (EGT L 201, 31.7.2002, s. 45). den 24 november 2010 om inrättande av en europeisk tillsynsmyn ( 11 ) Se

text: artikel 15.1 i direktiv 2002/58/EG

text: , där det föreskrivs att när en

text: dighet (Europeiska försäkrings- och tjänstepensionsmyndigheten), sådan begränsning i ett demokratiskt samhälle är nödvändig, lämp om ändring av beslut nr

text: och om upphävande av lig och proportionell för att skydda nationell säkerhet (dvs. statens

text: kommissionens beslut 2009/79/EG

text: , (EUT L 331, 15.12.2010, s. 48). säkerhet), försvaret och allmän säkerhet samt för förebyggande, ( 7 )

text: Europaparlamentets och rådets förordning (EU) nr 1095/2010

text: av undersökning, avslöjande av och åtal för brott eller vid obehörig

text: den 24 november 2010 om inrättande av en europeisk tillsynsmyn användning av ett elektroniskt kommunikationssystem enligt dighet (Europeiska värdepappers- och marknadsmyndigheten), om

text: artikel 13.1 i direktiv 95/46/EG

text: . Medlemsstaterna får för detta än ändring av beslut nr

text: och om upphävande av kommis damål bland annat vidta lagstiftningsåtgärder som innebär att upp sionens beslut

text: , (EUT L 331, 15.12.2010, s. 84). gifter får bevaras under en begränsad period som motiveras av de ( 8 ) Ett derivat är ett finansiellt kontrakt kopplat till det framtida värdet skäl som fastställs i denna punkt. eller den framtida ställningen för det underliggande värdepapper ( 12 ) Se exempelvis gemensamma målen

text: och

text: , Volker

text: som det hänför sig till (dvs. utveckling av räntesatser eller en valutas und Markus Schecke GbR (

text: ), Hartmut Eifert (

text: ) v. Land värde). Hessen, ännu ej offentliggjorda i rättsfallssamlingen, punkt 74.

text: ( 23 )

text: Europaparlamentets och rådets förordning (EG) nr 1060/2009

text: av 4.2 Begränsning av syfte, nödvändighet och uppgifts den 16 september 2009 om kreditvärderingsinstitut, (EUT L 302,

text: 17.11.2009, s. 1). ( 24 ) Europaparlamentets och rådets förslag till direktiv av den 30 april 2009 om förvaltning av alternativa investeringsfonder samt om 24. Ett av de huvudsakliga syftena med den föreslagna förord ändring av direktiven

text: och 2009/…/EG, KOM(2009) ningen är att förbättra insynen på marknaden för OTC- 207. derivat och förbättra lagens tillsyn över denna marknad. ( 25 ) Europaparlamentets och rådets förslag till förordning av den 2 juni Mot bakgrund av den målsättningen innebär förslaget att 2010 om ändring av förordning

text: (EG) nr 1060/2009

text: om kredit finansiella motparter och icke finansiella motparter som värderingsinstitut, KOM(2010) 289. ( 26 ) Europaparlamentets och rådets förslag till förordning av den 15 september 2010 om blankning och vissa aspekter av kredits ( 29 ) Exempelvis innebär artikel 37 i förslaget om kreditvärderingsinstitut wappar, KOM(2010) 482. att kommissionen kan ändra bilagor till förordningen vilka innehål ( 27 ) Europaparlamentets och rådets förordning om integritet och öppen ler detaljerade krav för registerhållning som föreskrivs för kreditvär het på energimarknaderna, KOM(2010) 726. dighetsinstitut. Se även skäl 10 i förslaget om kreditvärderingsinsti ( 28 ) Se exempelvis

text: artikel 12.2 i direktivet

text: om marknadsmissbruk som tut för värdepappers- och marknadsmyndighetens befogenhet att nämns i fotnot 20. Se även artikel 50 i MiFID-direktivet som nämns utfärda och uppdatera icke bindande riktlinjer om frågor rörande i fotnot 21. tillämpningen av förordningen om kreditvärderingsinstitut.

identifier: EDPS yttrande (2011)

amnesord: Electronic Communications, Information Society

publisher: Europeiska datatillsynsmannen

sprak: sv

title: OTC derivatives, central counterparties and trade repositories

serie: yttranden

text: 22.7.2011 Europeiska SV unionens officiella tidning C 216/9

type: stycke

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om OTC-derivat, centrala motparter och transaktionsregister

text: (2011/C 216/04)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA iska datatillsynsmannen har därför på eget initiativ avgett YTTRANDE detta yttrande baserat på

text: artikel 41.2 i förordning (EG) nr 45/2001

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel

text: . Europeiska datatillsynsmannen är medveten om att detta yttrande lämnas på ett relativt tidigt stadium i lagstiftnings processen. Han anser det ändå lämpligt och fördelaktigt att med beaktande av Europeiska unionens stadga om de grund avge detta yttrande. Till att börja med betonar han försla läggande rättigheterna, särskilt artiklarna

text: och

text: , gets potentiella konsekvenser för uppgiftsskyddet. För det andra är analysen i detta yttrande direkt relevant för till lämpning av befintlig lagstiftning och för andra pågående och eventuella framtida förslag som innehåller liknande med beaktande av Europaparlamentets och rådets direktiv bestämmelser, vilket kommer att förklaras i avsnitt 3.4 i

text: av den 24 oktober 1995 om skydd för enskilda detta yttrande. personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ), och

text: 1. Den 15 september 2010 antog kommissionen Europapar 5. Genom reformen infördes framför allt ett effektiviserat EUlamentets och rådets förslag till förordning om OTC-deri ramverk för finansiell tillsyn som består av en europeisk systemrisknämnd ( 4 ) och ett EU-system för finansiell tillsyn vat, centrala motparter och transaktionsregister (”försla get”) ( 3 ). Förslagets huvudsyfte är att fastställa gemensamma (ESFS). ESFS består i sin tur av ett nätverk av nationella regler för att göra marknaden för OTC-derivat säkrare och finansiella tillsynsmyndigheter som samarbetar med effektivare. tre nya europeiska tillsynsmyndigheter, nämligen Europe iska bankmyndigheten ( 5 ) (EBA), Europeiska försäkrings-

text: C 216/10 SV Europeiska unionens officiella tidning 22.7.2011

text: och tjänstepensionsmyndigheten ( 6 ) (Eiopa) och Europeiska rektiv

text: nu benämnt ”direktivet om integritet

text: värdepappers- och marknadsmyndigheten (Esma) ( 7 ). Kom och elektronisk kommunikation”), dvs. uppgifter som gäller

text: missionen antog dessutom ett antal specifika initiativ för tele- och datatrafik för identifierade eller identifierbara fy att genomföra reformen avseende särskilda områden eller siska personer ( 9 ). Så länge det fungerar på det viset bör

text: finansiella produkter. man säkerställa att villkoren för rättvis och laglig behand

text: ling av personuppgifter respekteras fullt ut, på det sätt som

text: anges i direktiven och förordningen.

text: 6. Ett av dessa är föreliggande förslag som tar upp ”OTCderivat”, dvs. de derivatprodukter ( 8 ) som inte handlas på 8. Uppgifter som gäller användning av elektronisk kommuni börser, utan i stället förhandlas privat mellan två motpar kation kan ge mycket personlig information, såsom iden ter. Det innebär att alla finansiella motparter och icke-fi titeten hos den person som ringer och tar emot samtal, nansiella motparter som uppfyller vissa tröskelkrav är skyl klockslag och varaktighet för samtalet, vilket nätverk som diga att reglera alla standardiserade OTC-derivat via cen används, var användaren befinner sig om han eller hon trala motparter (CCP). Den föreslagna förordningen ska använder bärbar utrustning, etc. Vissa trafikuppgifter som dessutom tvinga dessa finansiella och icke-finansiella mot gäller Internet och användning av e-post (exempelvis en parter att redovisa detaljerna i alla derivatkontrakt och alla förteckning över besökta webbplatser) kan dessutom av ändringar av dessa i ett registrerat transaktionsregister. För slöja viktiga detaljer i kommunikationens innehåll. Bearbet slaget innehåller också harmoniserade organisatoriska och ning av trafikuppgifter strider dessutom mot brevhemlig tillsynsmässiga krav för centrala motparter och organisato heten. Mot bakgrund av detta har man genom direktiv riska och operativa krav för transaktionsregister. Nationella

text: inrättat principen att trafikuppgifter måste ra behöriga myndigheter ansvarar även fortsättningsvis för deras eller göras anonyma när de inte längre behövs för tillstånd och tillsyn rörande dessa motparter, medan regi överföring av ett meddelande ( 10 ). Medlemsstaterna kan in strering och övervakning av transaktionsregister helt anför föra undantag i nationell lagstiftning för specifika berätti tros värdepappers- och marknadsmyndigheten enligt den gade syften, men de måste vara nödvändiga, lämpliga och föreslagna förordningen. proportionella inom ett demokratiskt samhälle för att uppnå dessa mål ( 11 ).

text: mål i detta fall är berättigade. Han inser behovet av initiativ 3.1 Allmänna iakttagelser som syftar till att stärka tillsyn av finansmarknader i syfte

text: att bevara deras sundhet och bättre skydda investerare och 7. Enligt artikel 61.2 d i förslaget får värdepappers- och mark ekonomin i allmänhet. Befogenheter att göra undersök nadsmyndigheten befogenhet att kräva register över teleningar som är direkt kopplade till trafikuppgifter måste och datatrafik. Bestämmelsens omfattning och särskilt den emellertid, med tanke på deras eventuellt ingripande karak exakta innebörden av ”register över tele- och datatrafik” är tär, uppfylla kraven på nödvändighet och proportionalitet, inte tydlig, vilket kommer att förklaras nedan. Det förefaller dvs. de måste begränsas till vad som är lämpligt för att emellertid sannolikt – eller det kan åtminstone inte ute uppnå målsättningen och inte gå längre än vad som är

text: slutas – att de aktuella registren över tele- och datatrafik nödvändigt för att uppnå den ( 12 ). Det är därför avgörande

text: innehåller personuppgifter enligt betydelsen i direktiv i detta perspektiv att de formuleras tydligt när det gäller

text: och förordning

text: (EG) nr 45/2001

text: och, i relevant

text: omfattning, direktiv

text: (efter ändring genom di ( 9 ) Normalt de anställda som tele- och datatrafiken kan hänföras till,

text: 22.7.2011 Europeiska SV unionens officiella tidning C 216/11

text: vilken personkrets eller vilket materiellt tillämpnings andra berörda personer (inbegripet fysiska personer vad område som omfattas, liksom under vilka omständigheter gäller vite) kan drabbas av om de bryter mot den före och villkor de kan användas. Dessutom bör det finnas slagna förordningen (jfr artiklarna

text: och

text: ). Dessa böter adekvat skydd mot risken för missbruk. kan uppgå till 20 procent av årsinkomsten eller omsätt ningen för transaktionsregistret under föregående verksam hetsår, dvs. en tröskel som är dubbelt så hög som den maximala tröskeln som föreskrivs för överträdelse i EU:s konkurrenslagstiftning. 3.2 Omfattningen av värdepappers- och marknads

text: myndighetens befogenheter är oklar.

text: 10. I

text: artikel 61.2 d

text: står att ”för fullgörandet av sina uppgifter enligt artiklarna

text: och

text: (dvs. uppgifter som 13. Det bör också noteras att genom ovannämnda

text: artikel 67.4

text: gäller tillsyn av transaktionsregister), ska värdepappershar kommissionen befogenhet att anta tekniska reglerings och marknadsmyndigheten ha [...] (befogenhet) att få be standarder om närmare uppgifter i informationen som gära register över tele- och datatrafik”. På grund av den transaktionsregister obligatoriskt ska göra tillgänglig för breda formuleringen reser bestämmelsen flera tvivel när värdepappers- och marknadsmyndigheten och andra myn det gäller personkrets och materiellt tillämpningsområde. digheter. Bestämmelsen kan därför användas för att ytter ligare specificera registerhållningskrav för transaktionsregis ter och därmed indirekt den befogenhet som värdepappersoch marknadsmyndigheten beviljar för att ge tillgång till register över tele- och datatrafik. Artikel 290 i fördraget 11. Till att börja med är innebörden av ”register över tele- och om Europeiska unionens funktionssätt innebär att genom datatrafik” inte helt klar och behöver därför förtydligas. en lagstiftningsakt kan det till kommissionen delegeras be Bestämmelsen kan gälla register över tele- och datatrafik fogenhet att anta akter med allmän räckvidd som inte är som transaktionsregister är skyldiga att bevara under sin lagstiftningsakter som kompletterar eller ändrar icke väsent verksamhet. Flera bestämmelser i den föreslagna förord liga delar i lagstiftningsakten. Enligt värdepappers- och ningen gäller krav på transaktionsregisters registerhåll marknadsmyndigheten kan inte den exakta omfattningen ning ( 13 ). Det framgår emellertid inte i någon av dessa av befogenheten för att få tillgång till trafikuppgifter be bestämmelser om, och i så fall vilka, register över teletraktas som en icke-väsentlig del i förordningen. Den vä och datatrafik som måste hållas av transaktionsregister ( 14 ). sentliga omfattningen av den bör därför specificeras direkt i Om bestämmelsen skulle hänvisa till register som hålls av förordningens text och inte skjutas upp till framtida dele transaktionsregister, är det därför viktigt att exakt definiera gerade akter. vilka kategorier tele- och datatrafik som måste hållas och kan krävas av värdepappers- och marknadsmyndigheten. I linje med proportionalitetsprincipen måste dessa uppgifter vara adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de behandlas ( 15 ). 14. Liknande tvivel gäller den personkrets som den berörda

text: bestämmelsen är tillämplig på. De eventuella mottagarna av en begäran om att tillhandahålla register över tele- och datatrafik anges inte i

text: artikel 61.2 d

text: . Det är framför allt inte tydligt huruvida befogenheten att kräva register över 12. Större precision krävs särskilt i detta fall med tanke på de tele- och datatrafik endast skulle begränsas till transaktions omfattande böter och viten som transaktionsregister och register ( 16 ). Eftersom bestämmelsens syfte är att göra det

text: möjligt för värdepappers- och marknadsmyndigheten att ( 13 ) I skäl 44 anges exempelvis att transaktionsregister ska omfattas av utöva tillsyn över transaktionsregister anser Europeiska da stränga krav på registerhållning och datahantering. I

text: artikel 66

text: står tatillsynsmannen att denna befogenhet bör vara strikt be att ett ”transaktionsregister ska omgående registrera de uppgifter gränsad till enbart transaktionsregister. som mottas enligt

text: artikel 6

text: och bevara dem i minst tio år efter det att motsvarande avtal löpt ut. Det ska ha snabba och effektiva registerförfaranden för att dokumentera förändringar av registrerade uppgifter [sic]”. I

text: artikel 67

text: föreskrivs dessutom att ett ”trans aktionsregister ska tillhandahålla nödvändiga uppgifter” till vär depappers- och marknadsmyndigheten och flera andra behöriga 15. Avslutningsvis inser Europeiska datatillsynsmannen att må myndigheter. ( 14 ) Uttrycket ”register över tele- och datatrafik” kan eventuellt innefatta let med

text: artikel 61.2 d

text: inte är att göra det möjligt för mycket information, inbegripet varaktighet, tid eller omfattning av värdepappers- och marknadsmyndigheten att få tillgång kommunikationen, vilket protokoll som används, placering av sän till trafikuppgifter direkt från telekomleverantörer. Det ser daren eller mottagarens terminalutrustning, det nätverk som kom ut att vara den logiska slutsatsen, särskilt med tanke på att munikationen kommer ifrån eller till, början, slutet eller varaktig man i förslaget inte alls hänvisar till uppgifter som innehas heten för en anslutning eller till och med förteckningen över be sökta webbplatser och innehållet i själva kommunikationerna om de registreras. I den mån som de gäller identifierade eller identifi ( 16 )

text: Artikel 56.1 c

text: , som innebär att kommissionen på begäran av vär erbara fysiska personer utgör all denna information personuppgif depappers- och marknadsmyndigheten får besluta att viten ska åläg ter. gas personer som är anställda vid ett transaktionsregister eller andra ( 15 ) Se

text: artikel 6.1 c i direktiv 95/46/EG

text: och artikel 4.1 c i förordning personer i anslutning till ett transaktionsregister för att förmå dem

text: (EG) nr 45/2001

text: . Det bör också beaktas huruvida särskilt skydd kan att underkasta sig en utredning som inleds av värdepappers- och införas för att undvika att uppgifter som rör genuint privat använd marknadsmyndigheten enligt

text: artikel 61.2

text: , kan (oavsiktligt) väcka ning fångas in och bearbetas. andra tankar.

text: C 216/12 SV Europeiska unionens officiella tidning 22.7.2011

text: av telekomleverantörer eller till kraven som anges i direk utan denna noggranna tillsyn ( 18 ). Datatillsynsmannen tivet om integritet och elektronisk kommunikation enligt anser det åtminstone nödvändigt att domstolstillstånd vad som anges i punkt 8 ovan ( 17 ). För tydlighetens skull är obligatoriskt närhelst ett sådant tillstånd krävs enligt rekommenderar datatillsynsmannen ändå att en sådan slut nationell lag ( 19 ). sats blir mer explicit i

text: artikel 61.2

text: eller åtminstone i ett skäl i den föreslagna förordningen.

text: c) Datatillsynsmannen rekommenderar att man ska kräva att värdepappers- och marknadsmyndigheten begäran 3.3 I förslaget anges inte omständigheterna och vill om tillträde till register över tele- och datatrafik ska koren för när tillträde kan krävas omfattas av ett formellt beslut där man specificerar den rättsliga grunden och syftet med begäran och vilken 16. I

text: artikel 61.2 d

text: anges inte omständigheterna och villkoren information som krävs, tidsgränsen inom vilken infor för när tillträde kan krävas. Den innehåller inte heller vik mationen ska tillhandahållas liksom mottagarens rätt att tiga garantier för förfaranden eller skydd mot risken för få beslutet granskat av EU-domstolen. En begäran utan missbruk. I följande stycken kommer datatillsynsmannen ett formellt beslut ska inte vara bindande för mottaga att lämna några konkreta förslag i den riktningen. ren.

text: a) Enligt

text: artikel 61.2

text: kan värdepappers- och marknads d) Lämpliga förfarandeskydd mot möjligt missbruk bör myndigheten kräva tillträde till register över tele- och erbjudas. Här kan förslaget innebära att kommissionen datatrafik för ”fullgörandet av sina uppgifter enligt ar måste anta genomförandeåtgärder som i detalj anger tiklarna 51‒60, 62 och 63”. Dessa artiklar omfattar hela förfarandena som ska följas av transaktionsregister och titeln i den föreslagna förordningen om registrering och värdepappers- och marknadsmyndigheten vid hantering övervakning av transaktionsregister. Enligt datatillsyns av dessa uppgifter. Dessa handlingar bör framför allt mannen bör omständigheter och villkor för användning specificera lämpliga säkerhetsåtgärder liksom lämpliga av dessa befogenheter definieras tydligare. Datatillsyns garantier mot risken för missbruk, inklusive, men inte mannen rekommenderar att tillgången till tele- och da begränsat till, de professionella standarder som de be tatrafikregister ska begränsas till särskilt identifierade höriga personer som hanterar dessa uppgifter bör upp och allvarliga överträdelser av den föreslagna förord fylla samt interna förfaranden som innebär att kon ningen och till fall där en rimlig misstanke (som bör fidentialitet och tystnadsplikt iakttas. Europeiska datatill stödjas av konkreta inledande bevis) finns om att en synsmannen bör konsulteras under förfarandet med att överträdelse har skett. En sådan begränsning är också anta dessa åtgärder. särskilt viktig för att undvika att tillträdesbefogenheten kan användas för ”fiske” efter uppgifter eller datautvin ning eller för andra syften.

text: 3.4 Yttrandets relevans för andra rättsliga instrument

text: som innehåller liknande bestämmelser

text: b) I förslaget krävs inget rättsligt tillstånd i förväg för att 17. Tillsynsmyndigheters befogenhet att kräva tillträde till re värdepappers- och marknadsmyndigheten ska kunna gister över tele- och datatrafik är inte ny i EU-lagstiftningen kräva tillträde till tele- och datatrafikregister. Datatill eftersom den redan ingår i olika befintliga direktiv och synsmannen anser att detta allmänna krav skulle vara förordningar för finanssektorn. Direktivet om marknads motiverat med tanke på att den aktuella befogenheten missbruk ( 20 ), MiFID-direktivet ( 21 ), Ucits-direktivet ( 22 ) och kan orsaka intrång. Det bör också beaktas att lagen i vissa medlemsstater kräver domstolstillstånd i förväg för ( 18 ) Den italienska konstitutionen kräver exempelvis att varje inkräk alla slags inkräktanden på brevhemligheten och därför tande på brevhemligheten, inbegripet tillträde till trafikuppgifter hindrar andra brottsbekämpande organ (dvs. poliskårer) som inte avslöjar innehållet i kommunikationen, ska beställas eller tillåtas av en medlem av en domstol. och administrativa institutioner från sådant inkräktande ( 19 ) Ett liknande krav har införts i den ändrade versionen av förslaget om kreditvärderingsinstitut som Europaparlamentet röstade för i ( 17 ) I direktivet om integritet och elektronisk kommunikation fastställs december 2010. såsom tidigare angivits den allmänna principen att trafikuppgifter ( 20 )

text: Europaparlamentets och rådets direktiv 2003/6/EG

text: av den måste raderas eller göras anonyma när de inte längre behövs för att 28 januari 2003 om insiderhandel och otillbörlig marknadspåver överföra en kommunikation. Sådana uppgifter kan behandlas ytter kan (marknadsmissbruk), (EUT L 96, 12.4.2003, s. 16). ligare endast om det gäller fakturering och samtrafikavgifter och ( 21 )

text: Europaparlamentets och rådets direktiv 2004/39/EG

text: av den 21 april fram till utgången av den period under vilken det lagligen går att 2004 om marknader för finansiella instrument och om ändring av göra invändningar mot fakturan eller kräva betalning. Eventuella

text: rådets direktiv 85/611/EEG

text: och

text: och Europaparlamentets undantag från principen måste vara nödvändiga, lämpliga och pro och

text: rådets direktiv 2000/12/EG

text: samt upphävande av rådets direktiv portionella i ett demokratiskt samhälle för specifika syften när det

text: , (EUT L 145, 30.4.2004, s. 1). gäller allmän ordning (dvs. att skydda nationell säkerhet (dvs. sta ( 22 )

text: Europaparlamentets och rådets direktiv 2009/65/EG

text: av den 13 juli tens säkerhet), försvaret, offentlig säkerhet eller förebyggande, un 2009 om samordning av lagar och andra författningar som avser dersökning, avslöjande och åtal för brott eller obehörig användning företag för kollektiva investeringar i överlåtbara värdepapper (fond av de elektroniska kommunikationssystemen). företag), (EUT L 302, 17.11.2009, s. 32).

text: 22.7.2011 Europeiska SV unionens officiella tidning C 216/13

text: den nuvarande förordningen om kreditvärderingsinsti uppmanar ändå institutionerna att överväga behovet av att tut ( 23 ) innehåller alla bestämmelser som utformats på lik ändra de ännu inte avgjorda förslagen för att ta hänsyn till nande sätt. Detsamma gäller för att antal förslag som ny den oro som uttryckts i föreliggande yttrande. När det ligen antagits av kommissionen, nämligen förslagen till ett gäller redan antagna texter uppmanar datatillsynsmannen direktiv om förvaltning av alternativa investeringsfon institutionerna att eftersträva möjligheter att klargöra frå der ( 24 ), en förordning om ändring av den befintliga för gor, exempelvis huruvida omfattningen av den aktuella ordningen om kreditvärderingsinstitut ( 25 ), en förordning bestämmelsen direkt eller indirekt kan specificeras i dele om blankning och vissa aspekter av kreditswappar ( 26 ) gerade akter eller genomförandeakter, såsom akter där de samt en förordning om integritet och öppenhet på ener taljerna för kraven på registerhållning, tolkningsmeddelan gimarknaderna ( 27 ). den eller andra jämförbara dokument fastställs ( 29 ). Datatill synsmannen förväntar sig att kommissionen rådgör med honom i god tid i samband med dessa förfaranden.

text: 18. När det gäller dessa befintliga och föreslagna lagstiftnings instrument bör en åtskillnad göras mellan undersökande befogenheter som beviljas nationella myndigheter och be 4. DATASKYDDSFRÅGOR SOM GÄLLER ANDRA DELAR viljande av sådana befogenheter till EU-myndigheter. Enligt AV FÖRSLAGET flera instrument är medlemsstaterna skyldiga att bevilja nationella myndigheter befogenheten att kräva tele- och 21. Datatillsynsmannen anser det lämpligt att lämna ytterligare datatrafikregister ”i enlighet med nationell rätt” ( 28 ). Det kommentarer om några andra punkter i förslaget som gäl faktiska verkställandet av denna skyldighet omfattas därför ler enskildas rätt till integritet och dataskydd. nödvändigtvis av nationell lag, inbegripet den som inför livar direktiven

text: och

text: och andra na tionella lagar som innehåller ytterligare förfarandeskydd för nationella tillsyns- och undersökningsmyndigheter. 4.1 Tillämplighet av direktiv

text: och förordning

text: (EG) nr 45/2001

text: 22. I skäl 48 anges korrekt att medlemsstaterna och värdepap 19. Inget sådant villkor ingår i det instrument som direkt be pers- och marknadsmyndigheten bör skydda fysiska perso viljar EU-myndigheter befogenheten att kräva tele- och da ners rätt när det gäller bearbetning av personuppgifter, i tatrafikregister, såsom i det föreliggande förslaget om OTC- enlighet med direktiv

text: . Datatillsynsmannen väl derivat och ovannämnda förslag till förordning om ändring komnar hänvisningen till direktivet i skälet. Skälets inne av förordning

text: (EG) nr 1060/2009

text: om kreditvärdighetsinsti börd kan emellertid bli tydligare om man ytterligare speci tut (”förslaget om kreditvärderingsinstitut”). I dessa fall ficerar att bestämmelserna i förordningen inte påverkar de finns det därför ett ännu starkare krav på att i själva lags nationella reglerna för genomförande av direktiv

text: . tiftningsinstrumentet klargöra omfattningen av denna befo Denna hänvisning bör helst också ingå i en faktisk bestäm genhet när det gäller personkrets och materiellt tillämp melse. ningsområde, och under vilka omständigheter och villkor det kan användas för att säkerställa att lämpligt skydd mot missbruk finns. 23. Datatillsynsmannen noterar dessutom att värdepappersoch marknadsmyndigheten är ett europeiskt organ som omfattas av förordning

text: (EG) nr 45/2001

text: och datatillsyns 20. I detta hänseende är iakttagelserna i föreliggande yttrande mannens tillsyn. En uttrycklig hänvisning till denna förord mer allmänt relevanta även om de gäller förslaget om ning bör därför införas, där det specificeras att också be OTC-derivat. Datatillsynsmannen är medveten om att när stämmelserna i förslaget inte påverkar denna förordning. det gäller lagstiftning som redan antagits eller är på väg att antas kanske dessa kommentarer kommer för sent. Han

text: kvalitet

text: C 216/14 SV Europeiska unionens officiella tidning 22.7.2011

text: uppfyller vissa tröskelvillkor är skyldiga att rapportera de syftet med principen om begränsning. Denna princip ut taljerna i alla OTC-derivatavtal som de har ingått och alla sätts för ytterligare press i artikel 20.3 i den föreslagna ändringar eller avslut av dem till ett transaktionsregister förordningen om ”tystnadsplikt”, som med den nuvarande (

text: artikel 6

text: ) ( 30 ). Denna information är tänkt att hållas av formuleringen ser ut att tillåta användning av konfidentiell transaktionsregister och göras tillgänglig av dessa till olika information som erhållits enligt den föreslagna förord myndigheter i regleringssyfte (

text: artikel 67

text: ) ( 31 ). ningen för ett antal ytterligare och inte tydligt specificerade syften ( 33 ).

text: 25. Om en av parterna i ett derivatavtal som omfattas av 28. I förslaget specificeras inte heller det slag av uppgifter som ovannämnda clearing- och redovisningsskyldigheter är en kommer att registreras, redovisas och göras tillgängliga, fysisk person, utgör information om denna fysiska person inbegripet personuppgifter för identifierade eller identifier personuppgifter i den mening som avses i artikel 2 a i bara personer. De ovannämnda artiklarna

text: och

text: ger direktiv

text: . Uppfyllandet av ovannämnda skyldighe kommissionen befogenhet att ytterligare specificera inne ter utgör därför bearbetning av personuppgifter i den me hållet i skyldigheter som rör redovisning och registerhåll ning som avses i

text: artikel 2 b i direktiv 95/46/EG

text: . Till om ning i delegerade akter. Även om datatillsynsmannen inser med om parterna i transaktionen inte är fysiska personer det praktiska behovet av att använda ett sådant förfarande kan personuppgifter fortfarande bearbetas inom ramen för vill han ändå betona att så länge som den information som artiklarna

text: och

text: , exempelvis namn och kontaktuppgif bearbetas enligt artiklarna ovan gäller fysiska personer bör ter för företagens ledare. Bestämmelserna i direktiv de huvudsakliga reglerna och garantierna för uppgiftsskydd

text: (eller förordning

text: (EG) nr 45/2001

text: i förekom anges i den grundläggande lagen. mande fall) skulle därför vara tillämpliga på denna åtgärd.

text: 29. Avslutningsvis krävs i

text: artikel 6 i direktiv 46/95/EG

text: och 26. Ett grundläggande krav för lagstiftning om uppgiftsskydd

text: artikel 4 i förordning (EG) nr 45/2001

text: att personuppgifter är att informationen måste bearbetas för specificerade, ut måste hållas i en form som gör det möjligt att identifiera tryckliga och berättigade syften och att den inte kan be de personer som berörs av uppgifterna endast under den arbetas ytterligare på ett sätt som inte är förenligt med tid som krävs för de syften för vilka uppgifterna samlades dessa syften ( 32 ). De uppgifter som används för att uppnå in. Datatillsynsmannen noterar att förslaget inte innehåller syftena bör dessutom vara adekvata och relevanta och får någon konkret begränsad period för att bevara personupp inte omfatta mer än vad som är nödvändigt med hänsyn gifter som kan ha bearbetats enligt artiklarna

text: och

text: till de ändamål för vilka de behandlas. Efter att ha analy i den föreslagna förordningen. I artiklarna

text: och

text: fö serat den föreslagna förordningen drar datatillsynsmannen reskrivs endast att relevanta register ska hållas i minst tio år. slutsatsen att förslagets system inte uppfyller dessa krav. Detta är emellertid endast en minimiperiod, som tydligt strider mot kraven i lagstiftningen om uppgiftsskydd.

text: 27. När det gäller begränsning av syftet måste det betonas att förslagen inte lyckas specificera syftena med redovisnings 30. På grundval av ovanstående anmodar datatillsynsmannen systemet och, viktigast av allt, i vilka syften informationen lagstiftaren att specificera det slag av personuppgifter som som innehas av transaktionsregister kan nås av behöriga kan bearbetas enligt förslaget, att definiera syftena för vilka myndigheter enligt artikel 67 i förslaget. En allmän hänvis personuppgifter kan bearbetas av de olika berörda enhe ning till behovet av att förbättra insynen på marknaden för terna och fastställa exakta, nödvändiga och proportionella OTC-derivat är tydligen inte tillräckligt för att uppfylla perioder för uppgiftsbevarande för ovannämnda bearbet ning. ( 30 ) Enligt artikel 6.4 i förslaget ska kommissionen ha delegerad befo genhet att för de olika derivattyperna fastställa uppgifter och typer ( 33 ) I

text: artikel 20.3

text: står: ”Utan att det påverkar fall som omfattas av av rapporter. Rapporterna ska minst innehålla följande: a) avtals straffrättsliga bestämmelser får konfidentiell information enligt för parterna och i annat fall förmånstagaren till avtalets rättigheter och ordningen användas av de behöriga myndigheterna, värdepappersskyldigheter och b) avtalets väsentliga kännetecken inklusive typ, och marknadsmyndigheten, organ eller andra fysiska eller juridiska underliggande instrument, löptid och nominellt värde. personer än behöriga myndigheter som mottar den, fast i de behö ( 31 ) Se motiveringen sidan 11. I

text: artikel 67

text: konkretiseras detta genom att riga myndigheternas fall enbart för att utföra sina uppgifter och det föreskrivs att ett transaktionsregister ska tillhandahålla nödvän fullgöra sitt uppdrag inom förordningens ram, eller i andra myn diga uppgifter till ett antal enheter, nämligen värdepappers- och digheters, organs eller fysiska eller juridiska personers fall i det syfte marknadsmyndigheten, de behöriga myndigheter som utövar tillsyn för vilket informationen lämnades till dem och/eller inom ramen över företag som omfattas av rapporteringskravet, de behöriga för administrativa eller rättsliga förfaranden som har ett samband myndigheter som utövar tillsyn över centrala motparter och rele med fullgörandet av respektive uppdrag. Om värdepappers- och vanta centralbanker inom Europeiska centralbankssystemet. marknadsmyndigheten, den behöriga myndigheten eller annan ( 32 ) Se exempelvis datatillsynsmannens yttrande av den 6 januari 2010 myndighet, organ eller person som lämnar information ger sitt om förslaget till rådets direktiv om administrativt samarbete i fråga samtycke, får den mottagande myndigheten emellertid använda om beskattning, (EUT C 101, 20.4.2010, s. 1). den i andra syften.”.

text: 22.7.2011 Europeiska SV unionens officiella tidning C 216/15

text: 4.3 Inspektioner på plats ska införas för det slag av personlig information som kan utbytas och definiera i vilka syften personuppgifter kan 31. Enligt

text: artikel 61.2 c

text: har värdepappers- och marknadsmyn utbytas. digheten befogenhet att genomföra inspektioner på plats med eller utan avisering. Det är inte klart huruvida dessa inspektioner ska begränsas till transaktionsregisters affärs lokaler eller om de också gäller privata lokaler eller fysiska 4.5 Ansvarighet och redovisning personers innehav.

text: Artikel 56.1 c

text: som gör det möjligt för 35. Artikel 68 i förslaget innehåller ett antal redovisningsskyl kommissionen att på begäran av värdepappers- och mark digheter från kommissionen rörande genomförandet av nadsmyndigheten besluta att viten ska åläggas anställda vid olika beståndsdelar av den föreslagna förordningen. Data ett transaktionsregister eller andra personer anknutna till tillsynsmannen rekommenderar att man även inför skyldig ett transaktionsregister, för att förmå dem att underkasta heten för värdepappers- och marknadsmyndigheten att pe sig en inspektion på plats som begärts av värdepappersriodiskt redovisa användningen av sin undersökande befo och marknadsmyndigheten enligt

text: artikel 61.2

text: , kan (oavsikt genhet och särskilt befogenheten att kräva register över ligt) väcka andra tankar. tele- och datatrafik. Mot bakgrund av resultatet av rappor ten bör kommissionen även kunna lämna rekommendatio ner, inbegripet lämpliga förslag för översyn av förord ningen. 32. Utan att utveckla denna punkt ytterligare rekommenderar datatillsynsmannen att man begränsar befogenheten att ut föra inspektioner på plats (och den därtill hörande befo genheten att kräva viten enligt

text: artikel 56

text: ) endast till affärs 5. SLUTSATSER lokaler som tillhör transaktionsregister och andra juridiska personer som avsevärt och tydligt är anknutna till dem ( 34 ). 36. Föreliggande förslag ger värdepappers- och marknadsmyn Om kommissionen faktiskt skulle planera för att tillåta digheten befogenhet att ”begära register över tele- och data inspektioner av fysiska personers lokaler som inte är affärs trafik” i syfte att fullgöra uppgifter i anslutning till tillsyn av lokaler bör det göras tydligt och mer stringenta krav be transaktionsregister. För att kunna betraktas som nödvän hövs för att se till att detta sker i överensstämmelse med dig och proportionell bör befogenheten att begära register nödvändighets- och proportionalitetsprinciperna (särskilt över tele- och datatrafik begränsas till vad som är lämpligt vad gäller angivande av omständigheter och villkor där för att uppnå målsättningen och inte gå längre än vad som sådana inspektioner kan genomföras). är nödvändigt för att uppnå den. I den nuvarande utform ningen uppfyller bestämmelsen i fråga inte dessa krav efter som den är alltför brett formulerat. Framför allt är omfatt ningen av befogenheten när det gäller personkrets och 4.4 Utbyte av uppgifter och principen om begränsning materiellt tillämpningsområde samt omständigheter och av syftet villkor för när den kan användas inte tillräckligt specifice rad. 33. Flera bestämmelser i den föreslagna förordningen möjliggör ett brett utbyte av uppgifter och information mellan vär depappers- och marknadsmyndigheten, behöriga myndig heter i medlemsstater och behöriga myndigheter i tredje 37. Även om kommentarerna i föreliggande yttrande rör för land (se särskilt artiklarna

text: och

text: ). Överföring av slaget om OTC-derivat, är de också relevanta för tillämp ningen av befintlig lagstiftning och för andra ej avgjorda uppgifter till tredje länder kan också förekomma när en och eventuella framtida förslag som innehåller liknande erkänd central motpart eller transaktionsregister från ett förslag. Det gäller särskilt när befogenheten, som i detta tredje land tillhandahåller tjänster till enheter som är god förslag, har anförtrotts en EU-myndighet utan att hänvisa kända i unionen. I den mån som den information och de till de specifika villkor och förfaranden som finns i natio uppgifter som utbyts gäller identifierade eller identifierbara nell lagstiftning (exempelvis förslaget om kreditvärderings fysiska personer gäller artiklarna 7–9 i förordning (EG) nr institut). 45/2001 respektive 25–26 i direktiv

text: . Överföring till tredje land kan endast ske när en lämplig nivå av skydd kan garanteras i dessa länder eller om ett av de relevanta undantagen i lagstiftningen om uppgiftsskydd gäller. Av 38. Med beaktande av ovanstående råder datatillsynsmannen tydlighetsskäl bör texten innehålla en uttrycklig hänvisning lagstiftaren att till förordning

text: (EG) nr 45/2001

text: och direktiv

text: och det bör framgå att dessa överföringar bör vara förenliga med tillämpliga regler i förordningen respektive direktivet. — tydligt specificera de kategorier av register över teleoch datatrafik som transaktionsregister ska hålla och/ eller tillhandahålla till de behöriga myndigheterna; 34. I enlighet med principen om begränsning av syftet ( 35 ) re dessa uppgifter måste vara adekvata, relevanta och kommenderar datatillsynsmannen även att tydliga gränser inte innehålla mer än vad som är nödvändigt i förhål lande till syftet för vilket de bearbetas, ( 34 ) En liknande specifikation har införts i den ändrade versionen av förslaget om kreditvärdighetsinstitut som Europaparlamentet rös tade för i december 2010. ( 35 ) Se

text: artikel 6.1 b i direktiv 95/46/EG

text: och artikel 4.1 b i förordning — begränsa befogenheten att begära tillgång till register

text: (EG) nr 45/2001

text: . över tele- och datatrafik till transaktionsregister,

text: C 216/16 SV Europeiska unionens officiella tidning 22.7.2011

text: — göra det tydligt att tillgång till tele- och datatrafik direkt melse, där det anges att bestämmelserna i den före från telekomföretag är uteslutet, slagna förordningen inte påverkar direktivet respektive förordningen, — begränsa tillträdet till tele- och datatrafikregister till identifierade och allvarliga överträdelser av den före — specificera det slag av personlig information som kan slagna förordningen och i fall där en rimlig misstanke bearbetas enligt förslaget i enlighet med nödvändighets (som bör stödjas av konkreta inledande bevis) finns om principen (särskilt i förhållande till artiklarna

text: och

text: ), att en överträdelse har begåtts, definiera för vilka syften personuppgifter kan bearbetas av de olika berörda myndigheterna/enheterna och fast — klargöra att transaktionsregister ska tillhandahålla regis ställa exakta, nödvändiga och proportionella perioder ter över tele- och datatrafik endast när de uppmanas till för bevarande av uppgifter för ovannämnda bearbet det genom ett formellt beslut som bland annat specifi ning, cerar rätten att få beslutet kontrollerat av EU-domsto len, — begränsa befogenheten för att genomföra inspektioner på plats enligt

text: artikel 61.2 c

text: och införa viten enligt — kräva att beslutet inte ska verkställas utan domstolstill

text: artikel 56

text: enbart för transaktionsregister och andra juri stånd i förväg från den nationella rättsliga myndigheten diska personer som tydligt och avsevärt är förbundna i den berörda medlemsstaten (åtminstone när ett sådant med dessa, tillstånd krävs enligt nationell lag), — uttryckligen ange att internationella överföringar av — kräver att kommissionen antar genomförandeåtgärder personuppgifter bör vara förenliga med relevanta regler som i detalj anger förfarandena som ska följas, inbegri i förordning

text: (EG) nr 45/2001

text: och direktiv

text: , pet lämpliga säkerhetsåtgärder och garantier. införa tydliga gränser vad gäller personlig information som kan utbytas och definiera för vilka syften person uppgifter kan utbytas. 39. Vad gäller övriga aspekter i förslaget skulle datatillsynsman nen vilja hänvisa till sina kommentarer under avsnitt 4 i yttrandet. Datatillsynsmannen uppmanar lagstiftaren fram för allt att Utfärdat i Bryssel den 19 april 2011.

text: — införliva en hänvisning till direktiv

text: och för Giovanni BUTTARELLI ordning

text: (EG) nr 45/2001

text: åtminstone i skälen till det föreslagna direktivet och helst även i en faktisk bestäm Biträdande datatillsynsman

type: vagledning

utgivare: edps