text: I. INLEDNING II. HUVUDDRAGEN I YTTRANDET

text: ( 9 ) Avtalet från 2007 om passageraruppgifter omnämns i föregående 24. Detta är desto viktigare eftersom området med frihet, sä och tidigare fotnoter. kerhet och rättvisa är ett område som inverkar på medbor ( 10 )

text: Europaparlamentets och rådets direktiv 2006/24/EG av den 15 mars 2006

text: om lagring av uppgifter som genererats eller be garnas situation i livet, särskilt den privata sfären av eget handlats i samband med tillhandahållande av allmänt tillgängliga ansvar och personlig och social trygghet vilka skyddas ge elektroniska kommunikationstjänster eller allmänna kommunika nom de grundläggande rättigheterna, något som helt nyli tionsnät och om ändring av direktiv

text: , EUT L 105, gen betonades av den tyska författningsdomstolen i domen 13.4.2006, s. 54. Även om den rättsliga grunden är artikel 95 i av den 30 juni 2009 om Lissabonfördraget ( 13 ). EG-fördraget var direktivet en omedelbar reaktion på bombdåden i London. ( 11 ) Rådets rambeslut 2008/977/RIF av den 27 november 2008 om ( 12 ) Se meddelandets titel. skydd av personuppgifter som behandlas inom ramen för polissam ( 13 ) Se den tyska federala författningsdomstolens pressmeddelande nr arbete och straffrättsligt samarbete, EUT L 350, 30.12.2008, s. 60. 72/2009 av den 30 juni 2009, punkt 2 c.

text: ( 14 ) Datatillsynsmannen behandlar utförligt denna sista punkt i yttrandet 31. Förverkligandet av ett omfattande dataskyddssystem skulle av den 19 december 2005 om förslaget till rådets rambeslut om kunna stimuleras genom att man skapar en tydlig vision på skydd av personuppgifter som behandlas inom ramen för polissam lång sikt. Denna vision skulle kunna innehålla en övergri arbete och straffrättsligt samarbete (KOM(2005)475 slutlig), EUT C pande och konsekvent strategi för att definiera insamling 47, 25.2.2006, s. 27, punkterna 30–32. och utbyte av uppgifter, utnyttjande av befintliga databaser ( 15 ) Dataskydd i Europeiska unionen. Medborgarnas uppfattning. Ana lytisk rapport, Flash Eurobarometer serie 225, januari 2008, http://www.ec.europa.eu/public_opinion/flash/fl_225_en.pdf ( 17 ) KOM(2006) 331 slutlig av den 28 juni 2006. ( 16 ) Se även de prioriterade frågorna i meddelandet. ( 18 ) Se fotnot 11.

text: ( 21 ) Domstolens dom av den 30 maj 2006 i de förenade målen C-

text: 317/04 och

text: , Europaparlamentet mot Europeiska unio

text: nens råd (

text: ) och Europeiska gemenskapernas kommission 34. Lissabonfördraget ger möjlighet till en verkligt övergripande (

text: ), Reg. [2006], s. I-4721. ( 22 ) Domstolens dom av den 10 februari 2009 i

text: mål C-301/06

text: , Irland ram för dataskydd. Enligt artikel 16.2 i fördraget om Eu mot Europaparlamentet och Europeiska unionens råd. ( 23 ) Se förklaring 21 om skydd av personuppgifter på området för ( 19 ) KOM(2007) 87 slutlig av den 7 mars 2007. straffrättsligt samarbete och polissamarbete, fogad till slutakten ( 20 ) Yttrande av den 25 juli 2007, EUT C 255, 27.10.2007, s. 1, särskilt från den regeringskonferens som antagit Lissabonfördraget, EUT C

text: punkt 30. 115, 9.5.2008, s. 345.

text: ( 24 ) Artikel 29-gruppen, i vilken datatillsynsmannen deltar, har beslutat ( 25 ) Ett exempel på ett sådant system är European Privacy Seal (Euro att arbeta intensivt med sitt bidrag till detta offentliga samråd. PriSe – en europeisk integritetsmärkning).

text: ( 45 ) Meddelande från kommissionen – Att förbereda nästa steg i utveck

text: Ett decentraliserat system skulle ha vissa fördelar i data- lingen av Europeiska unionens gränsförvaltning, av den 13 februari 2008, KOM(2008) 69 slutlig. skyddshänseende. Man undviker dubbel lagring av uppgifter ( 46 ) Datatillsynsmannens inledande kommentarer om tre meddelanden i medlemsstatens myndighet och i det centraliserade syste från kommissionen om gränsförvaltning (KOM(2008) 69, met, och ansvaret för uppgifterna är tydligt eftersom det är KOM(2008) 68 och KOM(2008) 67), av den 3 mars 2008. medlemsstatens myndighet som är registeransvarig och http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/ rättsväsendets och dataskyddsmyndigheternas kontroll kan Documents/Consultation/Comments/2008/08-03-03_Comments_ äga rum på medlemsstatsnivå. Men vid utbyte av uppgifter border_package_EN.pdf ( 47 ) I synnerhet bör följande nämnas: Yttrande av den 23 mars 2005 med andra jurisdiktioner finns det också brister i systemet, om förslaget till Europaparlamentets och rådets förordning om informationssystemet för viseringar (VIS) och utbytet mellan med ( 43 ) Med central lagring avses i detta sammanhang lagring på central lemsstaterna av uppgifter om viseringar för kortare vistelse, EUT C

text: europeisk nivå medan decentraliserad lagring avser lagring på med 181, 23.7.2005, s. 13 samt yttrande av den 19 oktober 2005 om lemsstatsnivå. tre förslag om andra generationen av Schengens informations ( 44 ) Se fotnot 33. system (SIS II), EUT C 91, 19.4.2006, s. 38.

text: tets och rådets förordning om inrättande av en byrå för den opera Europadomstolen, ännu inte offentliggjord. tiva förvaltningen av Schengens informationssystem (SIS II), Infor ( 51 ) Yttrande av den 26 mars 2008 om förslaget till förordning om

text: mationssystemet för viseringar (VIS), Eurodac och andra stora IT- ändring av rådets förordning 2252/2004 om standarder för säker system inom området med frihet, säkerhet och rättvisa (KOM(2009) hetsdetaljer och biometriska kännetecken i pass och resehandlingar 293/2). som utfärdas av medlemsstaterna, EUT C 200, 6.8.2008, s. 1.

text: Peter HUSTINX 92. Bland de övriga förslagen när det gäller användning av personuppgifter ingår följande: Europeiska datatillsynsmannen

amnesord:
Interoperability
Large-Scale IT Systems
SIS
VIS
Borders, Asylum, Migration
Judicial Cooperation
Police Cooperation
ECRIS
Transparency
Technologies
Biometrics

title: "Stockholm Programme" - An Area of freedom, security and justice serving the citizen

text: C 276/8 SV Europeiska unionens officiella tidning 17.11.2009

text: Yttrande från Europeiska datatillsynsmannen om kommissionens meddelande till Europaparlamentet och rådet om ett område med frihet, säkerhet och rättvisa i allmänhetens tjänst

text: (2009/C 276/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTT Detta fleråriga program (redan är känt som ”Stockholms RANDE programmet”) kommer att utgöra uppföljningen av Tam merfors- och Haagprogrammen som gav viktiga politiska impulser till området med frihet, säkerhet och rättvisa.

text: med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

text: 4. Meddelandet är avsett att utgöra grunden för detta nya med beaktande av Europeiska unionens stadga om de mänskliga fleråriga program. Datatillsynsmannen noterar i detta sam rättigheterna, särskilt artikel 8, manhang att även om fleråriga program i sig inte är några bindande instrument har de en betydande inverkan på den politik som institutioner kommer att utveckla på det be rörda området, eftersom många av de konkreta, lagstiftande med beaktande av Europaparlamentets och rådets direktiv och icke lagstiftande åtgärderna kommer att grundas på

text: av den 24 oktober 1995 om skydd för enskilda programmet. personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter,

text: 5. Även själva meddelandet måste betraktas ur detta perspek med beaktande av Europaparlamentets och rådets förordning tiv. Det utgör nästa steg i en debatt som i stort sett inleddes

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för genom två rapporter som lades fram i juni 2008 av de enskilda då gemenskapsinstitutionerna och gemenskapsorganen ”framtidsgrupper” som rådets ordförandeskap inrättade i behandlar personuppgifter och om den fria rörligheten för så syfte att tillhandahålla idéer: Frihet, säkerhet och personlig dana uppgifter, särskilt

text: artikel 41

text: . integritet – europeiska inrikes frågor i en öppen värld ( 3 ) och Förslag till lösningar för EU:s framtida program för rättsliga frågor ( 4 ). HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: 1. Den 10 juni 2009 antog kommissionen meddelandet till 6. Detta yttrande är inte bara en reaktion på meddelandet Europaparlamentet och rådet om ett område med frihet, utan är också ett bidrag från datatillsynsmannen till diskus säkerhet och rättvisa i allmänhetens tjänst ( 1 ). Datatillsyns sionerna i allmänhet om framtiden för området med frihet, mannen lämnar detta yttrande i enlighet med artikel 41 i säkerhet och rättvisa, vilka måste leda fram till ett nytt förordning

text: (EG) nr 45/2001

text: . strategiskt arbetsprogram (Stockholmsprogrammet) i enlig het med vad det svenska ordförandeskapet för EU medde lat ( 5 ). I det här yttrande kommer också några av kon

text: 2. Genom en skrivelse av den 19 maj 2009 hörde kommis sekvenserna av ett eventuellt ikraftträdande av Lissabonför sionen informellt datatillsynsmannen om meddelandet in draget att tas upp. nan det antogs. Därefter skickade datatillsynsmannen den 20 maj 2009 några informella synpunkter för att ytterligare förbättra texten till meddelandet. Datatillsynsmannen har dessutom aktivt bidragit till en skrivelse av den 7. I del III anges de viktigaste aspekterna i yttrandet och i del 14 januari 2009 från arbetsgruppen för polisiära och rätts IV görs en allmän bedömning av meddelandet. liga frågor om det fleråriga programmet på området frihet, säkerhet och rättvisa ( 2 ).

text: 3. I meddelandet (punkt 1) betonas det att unionen behöver 8. I del V behandlas frågan hur man ska bemöta behovet av ett nytt flerårigt program som bygger på de framsteg som att upprätthålla respekt för skyddet av personlig integritet hittills gjorts och erfarenheterna av de kvarstående bristerna och personuppgifter i samband med ett allt större utbyte av för att ambitiöst kunna gå vidare. I det nya programmet personuppgifter. Tonvikten kommer att ligga på punkt 2.3 bör prioriteringarna för de kommande fem åren fastställas. i meddelandet, Skydd av personuppgifter och privatliv, och mer allmänt, behovet av ytterligare lagstiftande åtgärder och andra åtgärder för att förbättra ramen för dataskydd. ( 1 ) KOM(2009) 262 slutlig (”meddelandet”). ( 2 ) Ej offentliggjord. Arbetsgruppen för polisiära och rättsliga frågor inrättades av de europeiska dataskyddskommissionärernas konferens ( 3 ) Rådets dokument nr 11657/08. Nedan kallad rapporten om inrikes för att utarbeta konferensens ståndpunkter på brottsbekämpnings frågor. området och för att agera på konferensens vägnar i brådskande ( 4 ) Rådets dokument nr 11549/08 (rapporten om rättsliga frågor). ärenden. ( 5 ) Regeringens arbetsprogram för EU, http://www.regeringen.se 17.11.2009 Europeiska SV unionens officiella tidning C 276/9

text: 9. I del VI diskuteras behovet av och möjligheterna till lagring, till en allt mer sammankopplad värld där organisationer för åtkomst och utbyte av uppgifter som instrument för brotts allmän säkerhet kan få tillgång till stora mängder potentiellt bekämpning eller, som det uttrycks i meddelandet, ”Ett EU användbara uppgifter som direkt kan påverka de berörda som erbjuder skydd”. Punkt 4 i meddelandet innehåller ett personernas liv. antal mål när det gäller informationsflödet och de tekniska verktygen, särskilt punkterna 4.1.2 (Hantering av infor mation), 4.1.3 (Införande av nödvändiga tekniska verktyg) och 4.2.3.2 (Informationssystem). Framtagandet av en eu ropeisk informationsmodell (punkt 4.1.2) kan betraktas som det mest utmanande förslaget i detta sammanhang. 14. Den andra aspekten är internationaliseringen. Dels är data- Datatillsynsmannen kommer att göra en ingående analys utbytet i den digitala tidsåldern inte begränsat av Europe av detta förslag. iska unionens yttre gränser, dels finns det ett ökat behov av internationellt samarbete när det gäller alla gemenskaps insatser på området med frihet, säkerhet och rättvisa. Kam pen mot terrorism, polisiärt och rättsligt samarbete, civilrätt och gränskontroll är bara några exempel.

text: 10. Del VII berör i korthet en särskild fråga på området med frihet, säkerhet och rättvisa och som har anknytning till dataskydd, nämligen, möjligheten att få rättslig prövning och e-juridik. 15. Den tredje aspekten är användningen av uppgifter för brottsbekämpande ändamål. Hoten mot samhället på senare tid har, oavsett om de har anknytning till terrorism eller inte, lett till (krav på) utökade möjligheter för brottsbekäm pande myndigheter att samla in, lagra och utbyta person uppgifter. I många fall deltar privata aktörer aktivt, vilket III. ASPEKTERNA I YTTRANDET bland annat framgår av direktivet om lagring av uppgif 11. Utgångspunkten för att analysera meddelandet i detta ytt ter ( 7 ) och olika instrument som gäller passageraruppgif rande är behovet av skydd av de grundläggande rättighe ter ( 8 ). terna och, mer allmänt, framtiden för området med frihet, säkerhet och rättvisa, i enlighet med det nya fleråriga pro grammet. Yttrandet bygger också vidare på datatillsynsman nens bidrag för att utveckla EU:s politik på detta område, huvudsakligen i rollen som rådgivare. Hittills har datatill 16. Den fjärde aspekten är den fria rörligheten. En utveckling synsmannen antagit mer än trettio yttranden och kommen steg-för-steg av ett område med frihet, säkerhet och rättvisa tarer när det gäller initiativ som har sitt ursprung kräver att de inre gränserna och eventuella hinder för den i Haagprogrammet. Samtliga yttranden återfinns på datatill fria rörligheten inom området avskaffas i ännu högre grad. synsmannens webbplats. Under inga omständigheter bör hindren på detta område återinföras genom nya instrument. Fri rörlighet omfattar i detta sammanhang dels fri rörlighet för personer, dels fri rörlighet för (person-) uppgifter.

text: 12. I bedömningen av detta meddelande kommer datatillsyns mannen särskilt att beakta följande fyra aspekter som är relevanta för framtiden för området med frihet, säkerhet och rättvisa. Alla dessa aspekter har även en framträdande 17. Dessa fyra aspekter visar att det sammanhang i vilket upp plats i meddelandet. gifterna används förändras snabbt. I ett sådant samman hang kan det inte råda några tvivel om vikten av en stark mekanism för att skydda medborgarnas grundläggande rät tigheter, särskilt när det gäller personlig integritet och datas kydd. Det är av dessa skäl som datatillsynsmannen väljer behovet av skydd som utgångspunkt för sin analys, vilket 13. Den första aspekten gäller den exponentiella ökning av nämns i punkt 11. digital information som medborgarna kommer i kontakt med till följd av informations- och kommunikationstek ( 7 )

text: Europaparlamentets och rådets direktiv 2006/24/EG

text: av den 15 mars nikens snabba utveckling ( 6 ). Samhället är på väg mot vad 2006 om lagring av uppgifter som genererats eller behandlats i som ofta kallas ”övervakningssamhället” där varje trans samband med tillhandahållande av allmänt tillgängliga elektroniska aktion och nästan varje rörelse av medborgarna kan för kommunikationstjänster eller allmänna kommunikationsnät och om väntas skapa en digital notering. De så kallade ”sakernas ändring av direktiv

text: , EUT L 105, 13.4.2006, s. 54. Internet” och ”intelligent miljö” utvecklas redan snabbt ( 8 ) Se t.ex. avtalet mellan Europeiska unionen och Amerikas förenta med hjälp av RFID-etiketter. Digitaliserade uppgifter om stater om lufttrafikföretags behandling av passageraruppgifter (PNR) och överföring av dessa till Förenta staternas Department of Home människokroppen (biometri) används allt oftare. Detta leder land Security (DHS) (2007 års PNR-avtal), EUT L 204, 4.8.2007, s. 18 och förslaget till rådets rambeslut om användande av passage ( 6 ) I rapporten om inrikes frågor talas det i detta sammanhang t.o.m. raruppgifter (PNR-uppgifter) i brottsbekämpningssyfte, KOM(2007) om en ”digital störtflod”. 654 slutlig. C 276/10 SV Europeiska unionens officiella tidning 17.11.2009 IV. ALLMÄN BEDÖMNING översyner. Det är också mycket viktigt att göra dessa över väganden innan större initiativ för den närmaste framtiden 18. Meddelandet och Stockholmsprogrammet syftar till att ange fastställs i det nya fleråriga programmet. EU:s avsikter för de kommande fem åren, med möjliga effekter på ännu längre sikt. Datatillsynsmannen noterar att meddelandet är avfattat på ett ”Lissabonneutralt” sätt. Datatillsynsmannen inser till fullo anledningen till att kom missionen valt detta tillvägagångssätt, men beklagar sam tidigt att meddelandet inte till fullo utnyttjar de extra möj 21. Datatillsynsmannen välkomnar att skyddet av de grundläg ligheter som erbjuds genom Lissabonfördraget. Lissabonför gande rättigheterna, särskilt skyddet av personuppgifter, er dragets aspekter kommer att ges ökad uppmärksamhet i känns i meddelandet som en av de viktigaste frågorna i detta yttrande. framtiden för området med frihet, säkerhet och rättvisa. I punkt 2 i meddelandet beskrivs EU som ett unikt område för skyddet av grundläggande rättigheter grundade på ge mensamma värderingar. Det är också positivt att anslut ningen till den europeiska konventionen om de mänskliga rättigheterna omnämns som en prioriterad fråga – t.o.m. 19. Meddelandet bygger vidare på resultaten av EU:s åtgärder den högst prioriterade frågan i meddelandet. Anslutningen på området med frihet, säkerhet och rättvisa de senaste är ett viktigt steg framåt för att säkerställa ett harmoniskt åren. Dessa resultat kan betecknas som händelsestyrda, och sammanhängande system för skyddet av de grundläg med betoning på åtgärder som utvidgar de brottsbekäm gande rättigheterna. Sist men inte minst har dataskydd fått pande myndigheternas befogenheter och som har en in en framträdande plats i meddelandet. kräktande verkan för medborgarna. Detta är tveklöst fallet på de områden där personuppgifter intensivt utnyttjas och utbyts och som därför har stor betydelse i fråga om datas kydd. Resultaten är händelsestyrda efter det att yttre hän delser såsom 9/11 och bombdåden i Madrid och London gav starka impulser till lagstiftningsarbetet. Överföringen av 22. Att meddelandet fått denna inriktning visar på en stark vilja passageraruppgifter till Förenta staterna kan t.ex. ses som att säkerställa skyddet av medborgarnas rättigheter och – en följd av 9/11, ( 9 ) medan bombdåden i London ledde till genom att göra detta – inta ett mer balanserat förhållnings direktiv

text: ( 10 ) om lagring av uppgifter. Tyngd sätt. Regeringarna behöver lämpliga instrument för att ga punkten låg på mer inkräktande åtgärder eftersom EU:s rantera medborgarnas säkerhet, men måste i våra europe lagstiftare inriktade sig på åtgärder för att underlätta an iska samhällen även till fullo respektera medborgarnas vändning och utbyte av uppgifter, medan diskussionerna grundläggande rättigheter. För att kunna vara i allmänhe om åtgärder för att garantera skyddet av personuppgifter tens tjänst ( 12 ), krävs det att Europeiska unionen upprätt gavs lägre prioritering. De viktigaste skyddsåtgärder som håller denna jämvikt. antogs, efter tre års diskussioner i rådet, var rådets ram beslut 2008/977/RIF om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete ( 11 ). Resultatet var ett rambeslut från rådet som inte är helt tillfredsställande (se punkterna 29–30).

text: 23. Datatillsynsmannen anser att behovet av jämvikt mycket väl beaktas i meddelandet, inbegripet behovet av skydd av per sonuppgifter. Det erkänns att det är nödvändigt att tyngd punkten förskjuts. Detta är viktigt eftersom politiken på området med frihet, säkerhet och rättvisa inte bör främja 20. De senaste årens erfarenheter har visat att det, innan nya utvecklingen mot ett övervakningssamhälle. Datatillsyns instrument antas, finns ett behov av att överväga kon mannen förväntar sig att rådet intar samma förhållningssätt sekvenserna för de brottsbekämpande myndigheterna och när det gäller Stockholmsprogrammet, däribland genom att för de europeiska medborgarna. När dessa övervägs bör erkänna riktlinjerna i punkt 25 nedan. vederbörlig hänsyn tas till kostnaderna för den personliga integriteten och brottsbekämpningens effektivitet, i första hand när nya instrument föreslås och diskuteras men även efter det att de har genomförts genom regelbundna 17.11.2009 Europeiska SV unionens officiella tidning C 276/11

text: 25. Datatillsynsmannen understryker att på ett sådant område till fullo detta mål, oberoende av ikraftträdandet av Lis sabonfördraget. Datatillsynsmannen noterar också att ett sådant system inte nödvändigtvis innebär ett enda regelverk som omfattar all behandling. Enligt de gällande fördragen är möjligheterna att anta ett enda övergripande regelverk — bör utbytet av uppgifter mellan medlemsstaternas myn för all behandling begränsade på grund av pelarstrukturen digheter, däribland, när så är lämpligt, europeiska organ och på grund av att skyddet av de uppgifter som behandlas eller databaser, genomförs med hjälp av lämpliga och av EU:s institutioner – åtminstone inom den första pelaren effektiva mekanismer som till fullo respekterar de – omfattas av en särskild rättslig grund (

text: artikel 286

text: EG). grundläggande rättigheterna för medborgarna och ska Datatillsynsmannen påpekar dock att man kan göra vissa par ömsesidigt förtroende. förbättringar genom att till fullo utnyttja de möjligheter som erbjuds i de nuvarande fördragen, vilket kommissionen redan framhävde i sitt meddelande om ”Genomförandet av Haagprogrammet: framtida utveckling” ( 17 ). Efter ikraftträ dandet av Lissabonfördraget kommer artikel 16 i EUF-för — Detta kräver inte bara tillgång till uppgifter i kombina draget att ge den nödvändiga rättsliga grunden för ett över tion med ömsesidigt erkännande av rättssystemen i gripande regelverk som omfattar all behandling. medlemsstaterna (och EU), utan även en harmonisering av dataskyddsnormer till exempel, men inte uteslutande, genom en gemensam ram för dataskydd.

text: 28. Datatillsynsmannen noterar att det – under alla omständig heter – är avgörande att säkerställa överensstämmelse inom — Dessa gemensamma normer bör inte endast vara till den rättsliga ramen för dataskydd, när så är lämpligt genom lämpliga på situationer med gränsöverskridande dimen att harmonisera och konsolidera de olika rättsliga instru sioner. Ömsesidigt förtroende kan endast existera när ment som gäller på området med frihet, säkerhet och rätt det finns solida normer som alltid respekteras, utan visa. någon risk för att de inte längre kommer att tillämpas när den gränsöverskridande dimensionen inte är själv klar. Bortsett från detta, särskilt när det gäller hur upp gifterna utnyttjas, fungerar skillnaderna mellan ”interna” och ”gränsöverskridande” uppgifter inte i praktiken ( 14 ). Under de gällande fördragen

text: 29. Ett första steg togs nyligen genom antagandet av rådets rambeslut 2008/977/RIF ( 18 ). Detta rättsliga instrument kan dock inte betraktas som någon övergripande ram, V. DATASKYDDSINSTRUMENT främst på grund av att dess bestämmelser inte har allmän giltighet. De gäller inte interna situationer när personupp V.1 Mot ett övergripande system för uppgiftsskydd gifterna kommer från den medlemsstat som utnyttjar dem. En sådan begränsning kommer att minska mervärdet av 26. Datatillsynsmannen stöder strategin att ge dataskydd en rådets rambeslut, såvida inte alla medlemsstater beslutar framträdande plats i meddelandet. Många initiativ på om att låta den interna situationen omfattas av den nationella rådet med frihet, säkerhet och rättvisa är beroende av att genomförandelagstiftningen vilket är föga sannolikt. personuppgifter används och ett bra dataskydd är avgö rande för att dessa initiativ ska kunna bli framgångsrika. Respekt för personlig integritet och dataskydd är inte bara en rättsligt förpliktelse som i allt större utsträckning er känns på gemenskapsnivå utan också en fråga som är myc 30. Det andra skälet till varför datatillsynsmannen anser att ket viktig för medborgarna, vilket framgår av resultaten av 15 rådets rambeslut 2008/977/RIF i det långa loppet inte Eurobarometer ( ). Att begränsa tillgången till personupp kommer att utgöra någon tillfredsställande dataskyddsram gifter är dessutom viktigt i syfte att skapa förtroende för de på området med frihet, säkerhet och rättvisa, är att flera brottsbekämpande organen. viktiga bestämmelser inte överensstämmer med direktiv

text: . Ett andra steg skulle kunna tas enligt de gällande fördragen genom att utöka räckvidden och anpassa rådets rambeslut till direktiv

text: . 27. Enligt punkt 2.3 i meddelandet finns det ett behov av att inrätta ett heltäckande dataskyddssystem som omfattar alla EU:s behörighetsområden ( 16 ). Datatillsynsmannen stöder C 276/12 SV Europeiska unionens officiella tidning 17.11.2009 och dataskyddsgarantier. I denna vision bör onödigt dub ropeiska unionens funktionssätt ska rådet och Europaparla belarbete och dubblering av instrument (och därmed be mentet fastställa bestämmelser om skydd för enskilda per handling av personuppgifter) undvikas. Visionen bör främja soner när det gäller behandling av personuppgifter hos en sammanhängande EU-politik på detta område samt för unionens institutioner, organ och byråer och troende för myndigheternas hantering av uppgifter om i medlemsstaterna, när dessa utövar verksamhet som om medborgarna. Datatillsynsmannen rekommenderar rådet fattas av unionsrättens tillämpningsområde, samt hos pri att fastställa att det finns behov av en tydlig vision på vata aktörer. lång sikt i Stockholmsprogrammet.

text: 35. Datatillsynsmannen har förståelse för att tyngdpunkten i 32. Datatillsynsmannen rekommenderar också att de åtgärder meddelandet ligger på ett övergripande dataskyddssystem som redan har antagits på detta område liksom deras kon och att kommissionen avser att föreslå en rättslig ram kreta genomförande och effektivitet bör utvärderas och som ska gälla för all behandling. Datatillsynsmannen stöder sättas in i sitt rätta perspektiv. I denna utvärdering bör till fullo dessa avsikter som skulle öka samstämmigheten i vederbörlig hänsyn tas till kostnaderna för den personliga systemet, säkerställa rättssäkerhet och därigenom förbättra integriteten och brottsbekämpningens effektivitet. Om ut skyddet. Framför allt skulle svårigheter kunna undvikas i värderingen visar att vissa åtgärder inte leder till avsett framtiden för att dra gränsen mellan pelarna när uppgifter resultat eller inte står i proportion till de ändamål som som samlas in inom den privata sektorn för kommersiella eftersträvas, bör följande åtgärder övervägas: ändamål senare används för brottsbekämpande ändamål. Gränsen mellan pelarna återspeglar dock inte till fullo verk ligheten, vilket framgår av betydelsefulla domar från dom — I första hand, ändra eller upphäva åtgärderna om dessa stolen när det gäller passageraruppgifter ( 21 ) och uppgifts- inte verkar vara tillräckligt motiverade för att skapa ett lagring ( 22 ). konkret mervärde för de brottsbekämpande myndighe terna och för de europeiska medborgarna.

text: 36. Datatillsynsmannen föreslår att motiveringen för ett över gripande dataskyddssystem ska ges en framträdande plats i — I andra hand, utvärdera möjligheterna att förbättra till Stockholmsprogrammet. Det skulle visa att ett sådant sy lämpningen av de befintliga åtgärderna. stem inte bara är något önskvärt utan också en nödvändig het på grund av ändrad praxis i användningen av uppgif terna. Datatillsynsmannen rekommenderar även att behovet av en ny rättslig ram, för att bland annat ersätta rådets — Endast i tredje hand bör nya lagstiftningsåtgärder före rambeslut 2008/977/RIF, prioriteras i Stockholmsprogram slås, om det är troligt att de behövs för de planerade met. ändamålen. Nya instrument bör endast antas om de har ett tydligt och konkret mervärde för de brottsbekäm pande myndigheterna och för de europeiska medbor garna. 37. Datatillsynsmannen betonar att ett övergripande datas kyddssystem på grundval av en allmän rättslig ram inte utesluter att det antas ytterligare dataskyddsbestämmelser Datatillsynsmannen rekommenderar att det görs en hänvis för polisen och rättsväsendet. I dessa tilläggsbestämmelser ning till ett utvärderingssystem för befintliga åtgärder i skulle man kunna ta hänsyn till brottsbekämpningens sär Stockholmsprogrammet. skilda behov, i enlighet med förklaring 21 som bifogas Lissabonfördraget ( 23 ).

text: 33. Sist men inte minst bör särskild tonvikt läggas på ett bättre genomförande av befintliga skyddsåtgärder, i linje med kommissionens meddelande om uppföljningen av arbets V.2 Åminnelse om dataskyddsprinciperna programmet för ett bättre genomförande av dataskydds 38. I meddelandet noteras de tekniska förändringar som inver direktivet ( 19 ) och de förslag som lades fram av datatillsyns kar på kommunikationen mellan enskilda och offentliga mannen i yttrandet om detta meddelande ( 20 ). Tyvärr sak och privata organisationer. Enligt kommissionen föranleder nar kommissionen möjlighet att inleda överträdelseförfaran detta en omformulering ett antal grundläggande dataden i tredje pelaren. skyddsprinciper. Enligt Lissabonfördraget 17.11.2009 Europeiska SV unionens officiella tidning C 276/13

text: 39. Datatillsynsmannen välkomnar dessa avsikter i meddelan lats in av privata företag för kommersiella ändamål det. En utvärdering av principernas effektivitet mot bak inom telekommunikations-, transport- och finanssek grund av de tekniska förändringarna är mycket användbar. torn används för brottsbekämpningsändamål. Dessutom För det första är det viktigt att notera att en omformulering inrättas storskaliga informationssystem, till exempel i och upprepning av dataskyddsprinciperna inte alltid måste fråga om invandring och gränskontroll. Dessutom till ha direkt koppling till den tekniska utvecklingen. Detta kan låts sammankopplingar mellan och åtkomst till databa också behövas på grund av någon annan aspekt som ser, varvid de ändamål för vilka personuppgifterna ur nämns i del III ovan, dvs. internationaliseringen, den ökade sprungligen samlades in utvidgas. Det behövs en diskus användningen av uppgifter för brottsbekämpande ändamål sion om de nuvarande tendenserna, däribland juste och den fria rörligheten. ringar och/eller ytterligare skyddsåtgärder, när så krävs.

text: 40. Enligt datatillsynsmannen skulle denna utvärdering dess- — Utöver de dataskyddsprinciper som nämns i meddelan utom kunna omfattas av det offentliga samråd som kom det bör man vid utvärderingen uppmärksamma behovet missionen kungjorde vid konferensen ”Personuppgifter – av öppenhet i behandlingen, och möjligheterna för de ökad användning, bättre skydd?” den 19–20 maj 2009. registrerade att utöva sina rättigheter. Öppenhet är en Detta offentliga samråd skulle kunna ge ett värdefullt bi speciellt svår fråga på brottsbekämpningsområdet, sär drag ( 24 ). Datatillsynsmannen föreslår att sambandet mellan skilt eftersom öppenhet bör vägas mot risker vid utred avsikterna i punkt 2.3 i meddelandet och det offentliga ningar. samrådet om dataskyddet i framtiden, betonas av rådet i texten till Stockholmsprogrammet och av kommissionen i dess offentliga uttalanden om samrådet. — Man bör finna lösningar för utbyten med tredjeland.

text: 41. För att åskådliggöra vad som skulle kunna ingå i sådan utvärdering, nämns följande punkter: 42. Denna utvärdering bör dessutom inriktas på möjligheterna att förbättra effektiviteten vid tillämpningen av datas kyddsprinciper. I detta sammanhang kan det vara bra att koncentrera sig på instrument som kan stärka de register — Personuppgifter på området med frihet, säkerhet och ansvarigas ansvar. Instrumenten måste innebära fullständig rättvisa kommer sannolikt att vara en särskilt känslig ansvarsutkrävning av de registeransvariga för datahante fråga, t.ex. uppgifter om brottmålsdomar, polisuppgifter ringen. ”Uppgiftsförvaltning” är ett användbart begrepp i och biometriska uppgifter såsom fingeravtryck och detta sammanhang. Det omfattar alla rättsliga, tekniska DNA-profiler. och organisatoriska medel genom vilka organisationer sä kerställer fullständigt ansvar för hur uppgifterna hanteras, såsom planering och kontroll, användning av sund teknik, — Behandlingen av dessa kan medföra negativa kon lämplig utbildning av personal, granskning av regelefterlev sekvenser för de registrerade, särskilt när man beaktar nad, etc. de brottsbekämpande myndigheternas rätt att tillgripa tvångsmedel. Dataövervakningen och -analyserna blir dessutom alltmer automatiserade, ofta utan någon mänsklig inblandning. Tekniken gör det möjligt att ut V.3 Integritetsbeaktande teknik nyttja databaser med personuppgifter för allmänna sök 43. Datatillsynsmannen välkomnar att certifiering av respekt för ningar (datautvinning, profilering etc.). De rättsliga skyl privatlivet omnämns i punkt 2.3 i meddelandet. Utöver digheterna i samband med behandlingen bör tydligt detta skulle man kunna hänvisa till inbyggda skydds fastställas. mekanismer för personlig integritet (”privacy by design”) och behovet av att identifiera ”bästa tillgängliga teknik” som överensstämmer med EU:s ram för dataskydd. — En hörnsten i dataskyddslagstiftningen är att person uppgifter ska samlas in för särskilda ändamål och inte får användas på ett sätt som är oförenligt med dessa ändamål. Användning för oförenliga ändamål bör en 44. Datatillsynsmannen anser att ”privacy by design” och intedast tillåtas i den mån detta föreskrivs i lag och är gritetsbeaktande teknik skulle kunna vara användbara verk nödvändigt för att uppnå specifika allmänna intressen, tyg för att uppnå ett bättre skydd och en effektivare an såsom de som fastställs i artikel 8.2 i den europeiska vändning av uppgifter. Datatillsynsmannen föreslår två vä konventionen om skydd för de mänskliga rättigheterna gar framåt, som inte utesluter varandra: och de grundläggande friheterna. — Ett certifieringssystem för personlig integritet och data- — Kravet att respektera principen om ändamålsbegräns skydd ( 25 ) som ett alternativ för konstruktörer och an ning kan få konsekvenser för nuvarande praxis när vändare av informationssystem, med eller utan stöd av det gäller uppgifternas användning. Uppgifter som sam EU-medel eller EU-lagstiftning. C 276/14 SV Europeiska unionens officiella tidning 17.11.2009 — En lagfäst skyldighet för konstruktörer och användare med USA om dataskydd och utbyte av uppgifter. Ett sådant av informationssystem att använda system som iakttar allmänt avtal skulle kunna utgöra grunden för särskilda principen med ”privacy by design”. Detta kan komma arrangemang för utbyte av personuppgifter. Detta är desto att kräva att den nuvarande räckvidden för dataskydd viktigare med tanke på att Europeiska unionen ska ingå slagstiftningen utvidgas för att konstruktörerna ska ta avtal om polissamarbete där så behövs, i enlighet med ansvar för de informationssystem de utvecklar ( 26 ). punkt 4.2.1 i meddelandet.

text: 48. Datatillsynsmannen förstår till fullo behovet av att öka det Datatillsynsmannen föreslår att dessa tänkbara vägar framåt internationella samarbetet, i vissa fall även med länder där omnämns i Stockholmsprogrammet. skydd av de grundläggande rättigheterna saknas. Det är emellertid ( 29 ) mycket viktigt att beakta att detta internatio nella samarbete troligen kommer att föranleda en stor ök ning av antalet insamlade och internationellt överförda uppgifter. Det är därför väsentligt att principerna om en rättvis och laglig behandling – samt principerna om ett V.4 Yttre aspekter korrekt rättsligt förfarande i allmänhet – gäller för insam ling och överföring av personuppgifter över Europeiska 45. En annan fråga som nämns i meddelandet är utveckling unionens gränser, och att personuppgifter endast överförs och främjande av internationella dataskyddsnormer. Det till tredje länder eller internationella organisationer om en vidtas för närvarande många åtgärder för att fastställa nor adekvat skyddsnivå eller lämpliga skyddsåtgärder garanteras mer som är möjliga att tillämpa internationellt, t. ex. av den av de berörda tredje parterna. internationella konferensen för ombudsmän för dataskydd och integritet. Detta kan inom kort leda till ett internatio nellt avtal. Datatillsynsmannen föreslår att dessa åtgärder får stöd i Stockholmsprogrammet.

text: 49. Avslutningsvis rekommenderar datatillsynsmannen att det betonas i Stockholmsprogrammet att det är viktigt att all männa avtal med Förenta staterna och andra tredje länder om dataskydd och utbyte av uppgifter grundar sig på den 46. I meddelandet nämns även ingående, på grundval av de skyddsnivå som garanteras inom EU:s territorium. I ett framsteg som redan gjorts tillsammans med USA, av bila bredare perspektiv pekar datatillsynsmannen på vikten av terala avtal. Datatillsynsmannen håller med om att det be att aktivt främja respekt för de grundläggande rättigheterna, hövs en tydlig rättslig ram för överföring av uppgifter till särskilt dataskydd, i förbindelserna med tredjeländer och tredje land och välkomnar därför det gemensamma arbete internationella organisationer ( 30 ). Den allmänna uppfatt som gjorts av myndigheterna i gemenskapen och i USA, ningen att utbyte av personuppgifter med tredjeländer krä inom kontaktgruppen på hög nivå, om ett eventuellt trans ver en tillräcklig skyddsnivå eller lämpliga skyddsåtgärder i atlantiskt instrument för dataskydd, men begär samtidigt dessa tredjeländer skulle också kunna nämnas i Stock ökad tydlighet och större uppmärksamhet åt specifika frå holmsprogrammet. gor ( 27 ). I detta perspektiv är det också intressant att notera idéerna i rapporten om inrikes frågor om ett euroatlantiskt samarbetsområde när det gäller frihet, säkerhet och rättvisa om vilket EU, enligt denna rapport, bör fatta beslut senast 2014. Ett sådant område skulle inte vara möjligt utan till VI. ANVÄNDNING AV UPPGIFTER räckliga dataskyddsgarantier. VI.1 Mot en europeisk informationsmodell

text: 50. Bättre utbyte av uppgifter är ett viktigt politiskt mål för Europeiska unionen på området med frihet, säkerhet och rättvisa. I punkt 4.1.2 i meddelandet betonas det att säker heten i Europeiska unionen förutsätter effektiva mekanis 47. Enligt datatillsynsmannen bör de europeiska dataskyddsnor mer för utbyte av uppgifter mellan nationella myndigheter mer som bygger på Europarådets konvention 108 om och andra europeiska aktörer. Denna betoning av uppgifts skydd för enskilda vid automatisk databehandling av per utbyte är logisk, i avsaknad av en europeisk polisstyrka, ett sonuppgifter ( 28 ) samt rättspraxis vid Europeiska gemenska pernas domstol och Europeiska domstolen för de mänskliga ( 29 ) Se datatillsynsmannens yttrande av den 28 november 2005 om rättigheterna, avgöra nivån för skyddet i ett allmänt avtal kommissionens meddelande om den yttre dimensionen av området med frihet, säkerhet och rättvisa som finns tillgängligt på datatill ( 26 ) Användare av uppgifter, liksom registeransvariga eller registerförare, synsmannens webbplats. omfattas av dataskyddslagstiftningen. ( 30 ) Aktuell rättspraxis i fråga om terroristlistor bekräftar att det behövs ( 27 ) Se datatillsynsmannens yttrande av den 11 november 2008 om garantier – även i förbindelserna med Förenta nationerna – för att slutrapporten från EU–USA-kontaktgruppen på hög nivå för infor säkerställa att åtgärderna för att bekämpa terrorism överensstämmer mationsutbyte, integritetsskydd och skydd av personuppgifter, EUT med EU:s normer om grundläggande rättigheter (förenade målen C- C 128, 6.6.2009, s. 1. 402/05 P och

text: P, Kadi and Al Barakaat Foundation mot ( 28 ) ETS nr 108, 28.1.1981. rådet, dom den 3 september 2008, ännu ej offentliggjord). 17.11.2009 Europeiska SV unionens officiella tidning C 276/15 europeiskt straffrättsligt system och en europeisk gräns har stor kapacitet till strategiska analyser och möjliggör kontroll. Åtgärder när det gäller uppgifter utgör därför vik förbättrad insamling och behandling av operativa uppgifter. tiga bidrag från Europeiska unionen som gör det möjligt Det erkänns också att politiska aspekter – som kriterier för för myndigheterna i medlemsstaterna att ta itu med gräns insamling, utbyte och behandling av uppgifter – bör beak överskridande brottslighet på ett effektivt sätt och att effek tas samtidigt som dataskyddsprinciperna iakttas. tivt skydda de yttre gränserna. De bidrar dock inte bara till medborgarnas säkerhet utan även till deras frihet – den fria rörligheten för personer nämndes tidigare som en av aspek terna av detta yttrande – och till rättvisa. 55. Informationsteknik och rättsliga villkor är – och kommer att fortsätta att vara – väsentliga. Datatillsynsmannen väl komnar att man i meddelandet utgår från antagandet att en 51. Det är just av dessa skäl som principen om tillgänglighet europeisk informationsmodell inte ska förstås på grundval infördes i Haagprogrammet. Det medför att uppgifter som av tekniska överväganden. Det är mycket viktigt att upp behövs för brottsbekämpningsändamål bör förmedlas över gifter endast samlas in, utbyts och behandlas på grundval EU:s inre gränser utan hinder. De senaste erfarenheterna av konkreta säkerhetsbehov och med beaktande av princi visar att det har varit svårt att införliva denna princip i perna om dataskydd. Datatillsynsmannen håller också helt de rättsliga åtgärderna. Kommissionens förslag till rådets med om att det måste definieras en uppföljningsmekanism rambeslut om utbyte av uppgifter enligt principen om till för att bedöma hur utbytet av uppgifter fungerar. Han gänglighet av den 12 oktober 2005 ( 31 ) godkändes inte av föreslår att rådet vidareutvecklar dessa inslag i Stockholms rådet. Medlemsstaterna var inte redo att acceptera kon programmet. sekvenserna av principen om tillgänglighet i full utsträck ning. I stället antogs mer begränsade instrument ( 32 ) såsom rådets beslut 2008/615/RIF av den 23 juni 2008 om ett fördjupat gränsöverskridande samarbete, särskilt för be kämpning av terrorism och gränsöverskridande brottslighet (Prümbeslutet) ( 33 ). 56. I detta sammanhang understryker datatillsynsmannen att dataskydd i syfte att skydda medborgarna inte bör ses som ett hinder för en effektiv datahantering. Dataskyddet tillhandahåller viktiga verktyg för att förbättra lagring, åt 52. Även om principen om tillgänglighet utgjorde kärnan i komst och utbyte av information. De registrerades rättighet Haagprogrammet förefaller kommissionen nu inta ett mått att informeras om vilka uppgifter om dem som har be fullare tillvägagångssätt. Kommissionen avser att ytterligare handlats och att korrigera felaktiga uppgifter, kan också stimulera utbytet av uppgifter mellan myndigheter i med stärka uppgifternas korrekthet i systemen för datahantering. lemsstaterna genom att införa den europeiska informations modellen. Det svenska ordförandeskapet för EU är inne på samma spår ( 34 ). Det kommer att lägga fram ett förslag till en strategi för utbyte av uppgifter. Rådet har redan inlett arbetet med detta ambitiösa projekt för en informations 57. Dataskyddslagstiftningen har i huvudsak följande kon hanteringsstrategi för Europeiska unionen som är nära knu sekvenser: Om uppgifterna behövs för specifika och legi ten till den europeiska informationsmodellen. Datatillsyns tima ändamål får de utnyttjas. Om de inte behövs för ett mannen noterar utvecklingen med stort intresse och under väl definierat ändamål får personuppgifter inte användas. I stryker den vikt som dataskyddsaspekter bör ges i dessa det första fallet kan särskilda åtgärder mycket väl vidtas för projekt. att tillhandahålla lämpligt skydd. Den europeiska informationsmodellen och dataskydd

text: 53. Det bör inledningsvis betonas att framtiden för området 58. Datatillsynsmannen är dock kritisk mot den utsträckning i med frihet, säkerhet och rättvisa inte bör vara ”teknikdri vilken ”fastställandet av framtida behov” omnämns i med ven”, vilket innebär att de näst intill obegränsade möjlighe delandet som en del av informationsmodellen. Datatillsyns ter som erbjuds genom ny teknik alltid bör kontrolleras mannen betonar också att principen om ändamålsbegräns mot gällande dataskyddsprinciper och endast utnyttjas i ning även i framtiden bör vara vägledande när infor den mån de överensstämmer med dessa principer. mationssystem utarbetas ( 35 ). Den utgör en av de viktigaste garantier som dataskyddssystemet erbjuder medborgaren: Han måste i förväg veta för vilket ändamål uppgifterna om honom samlas in och att de endast kommer att utnytt 54. Datatillsynsmannen noterar att informationsmodellen enligt jas för detta ändamål, särskilt i framtiden. Denna garanti meddelandet inte bara är en teknisk modell, utan dessutom föreskrivs t.o.m. i

text: artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna

text: . Principen om ända ( 31 ) KOM(2005) 490 slutlig. målsbegränsning tillåter undantag – som är av särskild re ( 32 ) När det gäller tillgänglighetsaspekten innehåller Prümbeslutet långt levans på området med frihet, säkerhet och rättvisa – men gående beslut om användning av biometriska uppgifter (DNA och dessa undantag bör inte vara avgörande för utformningen fingeravtryck). av ett system. ( 33 ) EUT L 210, 6.8.2008, s. 1. ( 34 ) Se regeringens arbetsprogram för EU som omnämns i fotnot 5, s. 23. ( 35 ) Se även ovan, punkt 41. C 276/16 SV Europeiska unionens officiella tidning 17.11.2009 Att välja rätt struktur VI.2 Användning av uppgifter som samlats in för andra ändamål

text: 59. Att välja rätt struktur för uppgiftsutbytet är utgångspunkten för det hela. Vikten av en lämplig informationsstruktur 63. En av de viktigaste tendenserna under de senaste åren, erkänns i meddelandet (punkt 4.1.3) men tyvärr endast i nämligen användning för polisiära ändamål av uppgifter samband med driftskompatibilitet. som samlats in i den privata sektorn för kommersiella ändamål, tas inte uttryckligen upp i meddelandet. Denna tendens berör inte bara uppgifter om elektronisk kommuni kation och passageraruppgifter om enskilda som flyger till (vissa) tredjeländer ( 39 ), utan gäller även den finansiella sek torn. Ett exempel är Europaparlamentets och rådets direktiv 60. Datatillsynsmannen framhåller en annan aspekt: I den eu

text: av den 26 oktober 2005 om åtgärder för att ropeiska informationsmodellen bör dataskyddskraven ingå i förhindra att det finansiella systemet används för penning all systemutveckling och inte enbart ses som en nödvändig tvätt och finansiering av terrorism ( 40 ). Ett annat välkänt förutsättning för att ett system ska vara lagligt ( 36 ). Man bör och omdiskuterat exempel är behandlingen vid Society utnyttja begreppet ”privacy by design” och fastställa ”bästa for Worldwide Interbank Financial Telecommunication tillgängliga teknik” ( 37 ), vilket omnämns i punkt 43 ovan. (SWIFT) ( 41 ) av personuppgifter som det amerikanska fi Den europeiska informationsmodellen bör bygga på dessa nansministeriet behöver för sitt program för att spåra finan begrepp. Mer konkret innebär detta att informationssystem siering av terrorism. som utformas för att tillgodose allmänna säkerhetsbehov alltid ska utformas i enlighet med principen om ”privacy by design”. Datatillsynsmannen rekommenderar rådet att ta med dessa inslag i Stockholmsprogrammet.

text: 64. Datatillsynsmannen anser att dessa tendenser bör ägnas särskild uppmärksamhet i Stockholmsprogrammet. De kan ses som undantag från principen om ändamålsbegräns ning och inkräktar i stor utsträckning ofta på privatlivet, Systemens driftskompatibilitet eftersom användningen av dessa uppgifter kan avslöja myc 61. Datatillsynsmannen betonar att driftskompatibilitet inte en ket om de enskildas beteende. Varje gång sådana åtgärder bart är en teknisk fråga utan även har konsekvenser för föreslås måste det föreligga mycket starka bevis för att en skyddet av medborgarna, särskilt dataskyddet. När det gäller sådan inkräktande åtgärd är nödvändig. Om detta kan be dataskydd innebär driftskompatibilitet mellan systemen, om visas måste man säkerställa att den enskildes rättigheter denna är rätt utformad, klara fördelar i och med att man skyddas fullt ut. undviker dubbellagring av uppgifterna. Men det är även uppenbart att det faktum att man gör tillgång till och utbyte av uppgifter tekniskt möjligt i många fall blir en stark drivkraft för att faktiskt ta del av eller utbyta dessa uppgifter. Med andra ord innebär driftskompabilitet sär 65. Datatillsynsmannen anser att personuppgifter som samlats skilda risker i fråga om samtrafik mellan databaser som in för kommersiella ändamål endast bör få användas för har olika ändamål ( 38 ). Detta kan ha konsekvenser för da brottsbekämpande ändamål på strikta villkor, såsom de tabasernas strikta ändamålsbegränsningar. följande:

text: 62. Kort sagt motiverar det faktum att det är tekniskt möjligt — Uppgifterna ska enbart användas för särskilda, i varje att utbyta digitala uppgifter mellan kompatibla databaser enskilt fall fastställda ändamål såsom kampen mot ter eller att slå samman dessa databaser inte något undantag rorism eller grov brottslighet. från principen om ändamålsbegränsning. Driftskompatibi litet måste i det konkreta fallet grundas på tydliga och noggranna politiska val. Datatillsynsmannen föreslår att detta preciseras i Stockholmsprogrammet. — Uppgifterna ska överföras genom ett direktåtkomst ( 36 ) Se de riktlinjer och kriterier för utveckling, genomförande och an system (”pull system”) snarare än genom ett sändsystem vändning av integritetsfrämjande säkerhetsteknik som utarbetats (”push system”) ( 42 ). inom Priseprojektet (http://www.prise.oeaw.ac.at). ( 37 ) Med bästa tillgängliga teknik avses det mest effektiva och avance rade skedet i utvecklingen av åtgärder och deras funktionssätt och ( 39 ) Se punkt 15 ovan. som anger en viss tekniks praktiska lämplighet att i princip ligga till ( 40 ) EUT L 309, 25.11.2005, s. 15. grund för att tillämpningar och system för informationsteknik och ( 41 ) Se yttrande 10/2006 från artikel 29-gruppen om behandlingen av datasäkerhet iakttar kraven på personlig integritet, dataskydd och personuppgifter vid Society for Worldwide Interbank Financial Te säkerhet i EU:s regelverk. lecommunication (SWIFT). ( 38 ) Se datatillsynsmannens yttrande om kommissionens meddelande ( 42 ) Enligt sändsystemet skickar den registeransvarige uppgifterna på om kommissionens meddelande om interoperabilitet mellan de eu begäran till det brottsbekämpande organet. Enligt direktåtkomst ropeiska databaserna av den 10 mars 2006 som är tillgängligt på systemet har det brottsbekämpande organet tillgång till den regis http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/ teransvariges databas och hämtar uppgifterna från denna databas. Documents/Consultation/Comments/2006/06-03-10_ Enligt direktåtkomstsystemet är det svårare för den registeransvarige Interoperability_EN.pdf att återta ansvaret för uppgifterna. 17.11.2009 Europeiska SV unionens officiella tidning C 276/17 — En begäran om uppgifter ska vara proportionell, speci t.ex. när man vill säkerställa att uppgifterna är uppdaterade fikt riktad och i princip bygga på misstankar mot sär såväl i ursprungslandet som i bestämmelselandet och att skilda personer. det finns en effektiv kontroll på båda sidor. Att säkerställa ansvaret för det tekniska systemet för utbytet är än mer komplicerat. Bristerna kan lösas genom att man väljer ett centraliserat system där EU-organen har ansvar för åtmin — Rutinsökningar, datautvinning och profilering bör und stone delar av systemet (t.ex. den tekniska infrastrukturen). vikas.

text: 69. I detta sammanhang skulle det vara värdefullt om det ut arbetades konkreta kriterier för valet mellan centrala och — All användning av uppgifterna för brottsbekämpande decentraliserade system, vilket skulle säkerställa klara och ändamål bör registreras för att den registrerade vid ut genomtänkta politiska beslut i de konkreta fallen. Dessa övandet av sina rättigheter, dataskyddsmyndigheterna kriterier kan bidra till driften av själva systemen, liksom och rättsväsendet effektivt ska kunna kontrollera an till skyddet av medborgarnas uppgifter. Datatillsynsmannen vändningen. föreslår att avsikten att utveckla sådana kriterier tas med i Stockholmsprogrammet. VI.3 Informationssystem och EU-organ Storskaliga informationssystem Informationssystem med eller utan central lagring ( 43 )

text: 70. I punkt 4.2.3.2 i meddelandet diskuteras i korthet fram 66. Under de senaste åren har antalet informationssystem ba tiden för storskaliga informationssystem med tonvikt på serade på gemenskapslagstiftningen avsevärt ökat på områ Schengens informationssystem (SIS) och Informationssyste det med frihet, säkerhet och rättvisa. I bland fattats beslut met för viseringar (VIS). om att etablera ett system med central lagring av uppgifter på europeisk nivå, i andra fall föreskrivs det i lagstiftningen endast ett utbyte av uppgifter mellan nationella databaser. Schengens informationssystem är förmodligen det bästa ex 71. I punkt 4.2.3.2 nämns även inrättande av ett system för emplet på ett system med central lagring. Rådets elektronisk registrering av inresor till och utresor från med beslut 2008/615/RIF (Prümbeslutet) ( 44 ) är i dataskyddshän lemsstaternas territorium vid sidan av program för registre seende det mest belysande exemplet på ett system utan rade resenärer. Detta system tillkännagavs tidigare av kom central lagring, eftersom det i detta föreskrivs ett omfat missionen som en del av det ”gränspaket” som kommis tande utbyte av biometriska uppgifter mellan myndighe sionens vice ordförande Franco Frattini har tagit initiativet terna i medlemsstaterna. 45 46 till ( ). I sina inledande kommentarer ( ) var datatillsyns mannen relativt kritisk mot detta förslag, eftersom behovet av ett sådant inkräktande system, utöver de befintliga stor skaliga systemen, inte kunde påvisas tillräckligt. Datatill 67. I meddelandet ges exempel som illustrerar att tendensen att synsmannen kan inte se några andra belägg för att ett skapa nya system kommer att fortsätta. Det första exemp sådant system skulle behövas och föreslår därför att rådet let, i punkt 4.2.2, gäller ett informationssystem genom inte tar upp denna idé i Stockholmsprogrammet. vilket det europeiska informationssystemet för utbyte av uppgifter ur kriminalregister (Ecris) utvidgas till att omfatta tredjelandsmedborgare. Kommissionen har redan beställt en studie om ett europeiskt index över dömda tredjelandsmed 72. I detta sammanhang hänvisar datatillsynsmannen till sina borgare vilket skulle kunna leda fram till en central databas. yttranden om olika initiativ när det gäller EU:s infor Ett annat exempel är utbyte av personuppgifter mationsutbyte ( 47 ) i vilka han lagt fram flera förslag och i konkursregister i andra medlemsstater, inom ramen för synpunkter i fråga om konsekvenserna av användningen e-juridik (punkt 3.4.1 i meddelandet) utan någon central av stora databaser på gemenskapsnivå för dataskyddet. lagring. Bland annat uppmärksammade datatillsynsmannen särskilt behovet av kraftfulla, skräddarsydda skyddsåtgärder och C 276/18 SV Europeiska unionens officiella tidning 17.11.2009 proportionalitet, liksom behovet av konsekvensanalyser in 77. I detta sammanhang välkomnar datatillsynsmannen det nya nan det föreslås eller vidtas några åtgärder på detta område. utkast till avtal som Europol och Eurojust nyligen enats Datatillsynsmannen har alltid förespråkat system där skyd om ( 49 ) och som syftar till ett förbättrat och stärkt sam det av rättigheter och uppgifter respekteras och där det arbete mellan de båda organen och till ett effektivt utbyte råder jämvikt mellan säkerhetskraven och integritetsskyddet av uppgifter mellan dem. Detta är ett arbete där ett effektivt för de enskilda som omfattas av systemen. Datatillsynsman och ändamålsenligt dataskydd spelar en avgörande roll. nen har intagit samma förhållningssätt i rollen som tillsyns ansvarig för de centrala delarna i systemen. VI.4 Användning av biometriska uppgifter

text: 73. Vidare tar datatillsynsmannen tillfället i akt att betona att 78. Datatillsynsmannen noterar att meddelandet inte tar upp det krävs en konsekvent strategi för EU:s uppgiftsutbyte i frågan om den ökade användningen av biometriska upp sin helhet när det gäller den rättsliga och tekniska över gifter i Europeiska unionens olika rättsliga instrument om ensstämmelsen samt tillsynsöverensstämmelsen mellan de användning av informationsutbyte, inklusive rättsakterna system som redan finns och de som håller på att utvecklas. om inrättande av storskaliga informationssystem. Detta är Faktum är att det i dag, mer än någonsin, finns ett klart beklagligt eftersom det är en fråga som är särskilt känslig i behov av en modig och övergripande syn på hur EU:s dataskydds- och integritetshänseende. uppgiftsutbyte och de framtida storskaliga informations systemen bör se ut. Endast på grundval av en sådan vision skulle ett system för elektronisk registrering av inresor till och utresor från medlemsstaternas territorium eventuellt kunna omprövas. 79. Datatillsynsmannen inser de generella fördelarna med att utnyttja biometriska kännetecken, men har vid upprepade tillfällen betonat de viktigaste konsekvenserna för enskildas rättigheter av att sådana uppgifter används och har föresla 74. Datatillsynsmannen föreslår att Stockholmsprogrammet in git att det ska införas strikta skyddsåtgärder för användning nehåller en hänvisning till avsikten att utveckla en sådan av biometriska kännetecken i varje enskilt system. Den vision och en diskussion om ett tänkbart ikraftträdande av nyligen avkunnade domen från Europeiska domstolen för Lissabonfördraget och konsekvenserna därav för system de mänskliga rättigheterna i målet S. och Marper mot För med en rättslig grund för den första respektive den tredje enade kungariket ( 50 ) ger goda insikter i detta sammanhang, pelaren. särskilt när det gäller berättigandet av och begränsningarna för användningen av biometriska uppgifter. Särskilt använd ningen av DNA-uppgifter kan avslöja känslig information om enskilda personer, också med beaktande av att de tek 75. Slutligen omnämns i meddelandet inrättandet av ett nytt niska möjligheterna att utvinna information från DNA fort organ som enligt meddelandet även bör bli behörigt för farande ökar. När det gäller användning i stor skala av systemet för elektronisk registrering av inresor och utresor. biometriska uppgifter i informationssystem finns det också Under tiden har kommissionen antagit ett förslag om in problem på grund av en inneboende osäkerhet i insam rättande av ett sådant organ ( 48 ). Datatillsynsmannen stöder lingen och jämförelsen av de biometriska uppgifterna. Av i princip detta förslag eftersom det kan göra att dessa sy dessa skäl bör EU:s lagstiftare utnyttja dessa uppgifter med stem fungerar mer effektivt, däribland att göra dataskyddet återhållsamhet. mer effektivt. Datatillsynsmannen kommer i god tid att avge ett yttrande om förslaget.

text: 80. En annan återkommande fråga under de senaste åren har Europol och Eurojust varit användningen av fingeravtryck från barn och äldre, på 76. Europols roll nämns på flera ställen i meddelandet där det grund av den inneboende osäkerheten i de biometriska betonas, som en prioriterad fråga, att Europol måste spela systemen när det gäller dessa åldersgrupper. Datatillsyns en central roll för samordning, utbyte av uppgifter och mannen har begärt en djupgående undersökning för att korrekt fastställa systemens exakthet ( 51 ). Han föreslog en fortbildning. Likaså hänvisas det i punkt 4.2.2 i meddelan det till de senaste ändringarna i den rättsliga ramen för åldersgräns på 14 år för barn såvida inte studien visade på samarbetet mellan Eurojust och Europol, och det anges något annat. Datatillsynsmannen föreslår att denna fråga att arbetet med att stärka Eurojust kommer att fortsätta, omnämns i Stockholmsprogrammet. särskilt vad gäller utredningar på områden med gränsöver skridande organiserad brottslighet. Datatillsynsmannen stö ( 49 ) Utkast till avtal, godkänt av rådet, som fortfarande måste under der till fullo dessa mål förutsatt att åtgärderna för dataskydd tecknas av båda parter. Se rådets register: http://register.consilium.europa.eu/pdf/en/09/st10/st10019.en09.pdf iakttas på lämpligt sätt. http://register.consilium.europa.eu/pdf/en/09/st10/st10107.en09.pdf ( 50 ) Gemensamma ansökningar 30562/04 och 30566/04, S. och Mar ( 48 ) Kommissionens förslag av den 24 juni 2009 till Europaparlamen per mot Förenade kungariket, dom den 4 december 2008 från 17.11.2009 Europeiska SV unionens officiella tidning C 276/19

text: 81. Datatillsynsmannen anser dock att det vore värdefullt att Datatillsynsmannen anser att meddelandet på ett korrekt utveckla konkreta kriterier för användningen av biometriska sätt främjar jämvikt mellan behoven av lämpliga instrument uppgifter. Dessa kriterier bör säkerställa att uppgifterna en för att säkerställa säkerhet för medborgarna och skydda dast används när så är nödvändigt, lämpligt och proportio deras grundläggande rättigheter. Det erkänns i meddelandet nellt och när ett uttryckligt, särskilt och berättigat ändamål att skyddet av personuppgifter bör uppmärksammas i har påvisats av lagstiftaren. Närmare bestämt bör biome- större utsträckning. triska uppgifter och i synnerhet DNA-uppgifter inte använ das om samma resultat kan uppnås med hjälp av andra, mindre känsliga uppgifter. 85. Datatillsynsmannen ger sitt fulla stöd till punkt 2.3 i med delandet där man konstaterar behovet av att det inrättas ett övergripande dataskyddssystem som omfattar alla EU:s be VII. TILLGÅNG TILL RÄTTSLIG PRÖVNING OCH E-JURI hörighetsområden, oberoende av ikraftträdandet av Lis DIK sabonfördraget. Han rekommenderar i detta sammanhang att 82. Även tekniken kommer att utnyttjas som ett instrument för att förbättra det rättsliga samarbetet. Enligt punkt 3.4.1 i meddelandet kommer e-juridiken att underlätta tillgången — behovet av en tydlig vision på lång sikt när det gäller till rättslig prövning för medborgarna. Den består av en ett sådant övergripande system fastställs i Stockholms portal med uppgifter och videokonferenser som en del av programmet, det rättsliga förfarandet. Det möjliggör dessutom rättsliga förfaranden online och förutser en sammankoppling av nationella register såsom konkursregister. Datatillsynsman — de åtgärder som redan har antagits på detta område, nen noterar att meddelandet inte tar upp några nya initiativ liksom deras konkreta genomförande och effektivitet, om e-juridik men däremot befäster de åtgärder som redan utvärderas med beaktande av kostnaderna för den per är i gång. Datatillsynsmannen deltar i några av dessa åtgär sonliga integriteten och brottsbekämpningens effektivi der, som en uppföljning av det yttrande han avgav den tet, 19 december 2008 om meddelandet från kommissionen – Mot en europeisk strategi för e-juridik ( 52 ). — behovet av en ny rättslig ram, för att bland annat er sätta rådets rambeslut 2008/977/RIF, prioriteras i 83. e-juridik är ett ambitiöst projekt som måste stödjas fullt ut. Stockholmsprogrammet. Det kan effektivt förbättra rättsväsendet i Europa och det rättsliga skyddet för medborgarna. Det är ett viktigt steg framåt mot ett europeiskt område med rättvisa. Med detta 86. Datatillsynsmannen välkomnar kommissionens avsikt att positiva omdöme i åtanke kan dock några kommentarer upprepa dataskyddsprinciperna vilka måste kopplas till det göras: offentliga samråd som kommissionen kungjorde vid kon ferensen ”Personuppgifter – ökad användning, bättre skydd?” den 19–20 maj 2009. När det gäller själva sakfrå — De tekniska systemen för e-juridik bör byggas i enlighet gan betonar datatillsynsmannen vikten av principen om med principen ”privacy by design”. Att välja rätt struk ändamålsbegränsning som en hörnsten i dataskyddslagstift tur är, som tidigare nämnts, utgångspunkten när det ningen samt inriktningen på möjligheterna att förbättra gäller den europeiska informationsmodellen. effektiviteten vid tillämpningen av dataskyddsprinciperna genom instrument som stärker de registeransvarigas ansvar. — Samtrafiken och driftskompatibiliteten mellan systemen bör respektera principen om ändamålsbegränsning. 87. ”Privacy by design” och integritetsbeaktande teknik skulle kunna främjas genom — Ansvarsfördelningen mellan de olika aktörerna bör fast ställas exakt. — ett certifieringssystem för personlig integritet och datas kydd som ett alternativ för konstruktörer och använ dare av informationssystem, — Konsekvenserna för enskilda av sammankopplingen av nationella register med känsliga personuppgifter, såsom konkursregister, bör analyseras i förväg. — en lagfäst skyldighet för konstruktörer och användare av informationssystem att använda system som iakttar principen med ”privacy by design”. VIII. SLUTSATSER

text: 84. Datatillsynsmannen välkomnar att skyddet av de grundläg gande rättigheterna, särskilt skyddet av personuppgifter, 88. När det gäller dataskyddets yttre aspekter rekommenderar framhävs i meddelandet som en av de viktigaste frågorna datatillsynsmannen att i framtiden för området med frihet, säkerhet och rättvisa. 52 — vikten av allmänna avtal med Förenta staterna och an ( ) Datatillsynsmannens yttrande av den 19 december 2008 om med delandet från kommissionen – Mot en europeisk strategi för e-juridik. dra tredje länder om dataskydd och utbyte av uppgifter EUT C 128, 6.6.2009, s. 13. betonas i Stockholmsprogrammet, C 276/20 SV Europeiska unionens officiella tidning 17.11.2009 — respekten för de grundläggande rättigheterna, särskilt — Att utarbeta materiella kriterier för valet mellan centrala dataskyddet, aktivt främjas i förbindelserna med tredje och decentraliserade system och nämna avsikterna att länder och internationella organisationer, utarbeta dessa kriterier i Stockholmsprogrammet. — det nämns i Stockholmsprogrammet att utbyte av per — Att inte omnämna inrättandet av ett system för elek sonuppgifter med tredjeländer kräver en tillräcklig tronisk registrering av inresor till och utresor från med skyddsnivå eller lämpliga skyddsåtgärder i dessa tredje lemsstaternas territorium vid sidan av program för re länder. gistrerade resenärer i Stockholmsprogrammet.

text: 89. Datatillsynsmannen noterar med stort intresse utvecklingen mot en informationshanteringsstrategi för Europeiska unio — Att stödja förstärkningen av Europol och Eurojust samt nen liksom en europeisk informationsmodell, och under det nya avtal mellan dem som nyligen utarbetats. stryker att dataskyddsinslagen i dessa projekt närmare bör utarbetas i Stockholmsprogrammet. Strukturen för upp giftsutbytet bör grundas på ”privacy by design” och ”bästa — Utarbeta konkreta kriterier för användningen av bio tillgängliga teknik”. metriska uppgifter för att säkerställa att uppgifterna en dast används när så är nödvändigt, lämpligt och pro portionellt och när ett uttryckligt, särskilt och berättigat 90. Det faktum att det är tekniskt möjligt att utbyta digitala ändamål har påvisats av lagstiftaren. DNA-uppgifter bör uppgifter mellan kompatibla databaser eller att slå samman inte användas om samma resultat kan uppnås med dessa databaser motiverar inte något undantag från princi hjälp av andra, mindre känsliga uppgifter. pen om ändamålsbegränsning. Driftskompatibilitet måste i det konkreta fallet grundas på tydliga och genomtänkta politiska val. Datatillsynsmannen föreslår att detta precise 93. Datatillsynsmannen stöder e-juridik och har lämnat några ras i Stockholmsprogrammet. synpunkter på hur projektet kan förbättras (se punkt 83).

text: 91. Datatillsynsmannen anser att personuppgifter som samlats in för kommersiella ändamål endast bör få användas för brottsbekämpande ändamål på strikta villkor, vilka anges i Utfärdat i Bryssel den 10 juli 2009. punkt 65 i detta yttrande.