text: HÄRIGENOM FRAMFÖRS FÖLJANDE 5. I förslaget betonas betydelsen av uppgiftsskydd genom en uttrycklig hänvisning till relevanta artiklar i fördraget och andra internationella instrument, och genom att erkänna att I. INLEDNING det är en grundläggande rättighet. I förslaget avser man

text: ( 1 ) Se pressmeddelandet http://europa.eu/rapid/pressReleasesAction. ( 3 ) Särskilt direktiv

text: om åtgärder för att förhindra att det do?reference=IP/10/609&format=HTML&aged=0&language= finansiella systemet används för penningtvätt och finansiering av EN&guiLanguage=en terrorism och förordning

text: (EG) nr 1781/2006

text: om information om ( 2 ) Rådets rambeslut av den 13 juni 2002 om bekämpning av terrorism betalaren som ska åtfölja överföringar av medel. (EGT L 164, 22.6.2002, s. 3). ( 4 ) http://www.egmontgroup.org/library/download/5

amnesord:
International Agreements
Transfers of data
Finance & Economy
Police Cooperation

title: Processing and transfer of Financial Messaging Data from the EU to the US for purposes of the Terrorist Finance Tracking Program (TFTP II)

text: C 355/10 SV Europeiska unionens officiella tidning 29.12.2010

text: Yttrande från Europeiska datatillsynsmannen om förslag till rådets beslut om ingående av avtalet mellan Europeiska unionen och Amerikas förenta stater om behandling och överföring av uppgifter om finansiella betalningsmeddelanden från Europeiska unionen till Förenta staterna i enlighet med programmet för att spåra finansiering av terrorism (TFTP II)

text: (2010/C 355/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA förda finansiella transaktioner inom det europeiska ekono YTTRANDE miska samarbetsområdet och Schweiz stannar kvar inom det europeiska området – till skillnad från det transatlan tiska området – och inte längre kommer att avspeglas i det amerikanska operativa centrumet. med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel 16,

text: 3. Med det nuvarande förslaget planerar kommissionen en internationell överenskommelse mellan EU och Förenta sta med beaktande av Europeiska unionens stadga om de grund terna som, baserat på artiklarna 216 (internationella avtal), läggande rättigheterna, särskilt artikel 8, 82 (rättsligt samarbete) och 87 (polissamarbete) i fördraget om Europeiska unionens funktionssätt, skulle kräva över föring till Förenta staternas finansministerium av relevanta med beaktande av Europaparlamentets och rådets direktiv finansiella betalningsmeddelanden som krävs för det ame

text: av den 24 oktober 1995 om skydd för enskilda rikanska finansministeriets program för att spåra finansie personer med avseende på behandling av personuppgifter och ring av terrorism. om det fria flödet av sådana uppgifter ( 1 ),

text: 4. Efter Europaparlamentets beslut den 11 februari 2010 om med beaktande av begäran om yttrande i enlighet med att inte acceptera det interimsavtal som undertecknades den

text: artikel 28.2 i förordning (EG) nr 45/2001

text: om skydd för en 30 november 2009 syftar det nya förslaget framför allt till skilda då gemenskapsinstitutionerna och gemenskapsorganen att inrikta sig på oron vad gäller skyddet av personuppgif behandlar personuppgifter och om den fria rörligheten för så ter, en grundläggande rättighet som efter Lissabonfördragets dana uppgifter ( 2 ), ikraftträdande har blivit ännu mer relevant inom Europe iska unionens rättsliga ramar.

text: 1. Den 15 juni 2010 antog kommissionen ett förslag till emellertid inte att använda artikel 16 i fördraget om Eu rådets beslut om ingående av avtalet mellan Europeiska ropeiska unionens funktionssätt som rättslig grund, trots att unionen och Amerikas förenta stater om behandling och det i artikel 1.1 i det föreslagna avtalet betonas att ett av överföring av uppgifter om finansiella betalningsmeddelan avtalets huvudsyften är att uppnå ett omfattande uppgifts den från Europeiska unionen till Förenta staterna i enlighet skydd. Europeiska datatillsynsmannen upprepar därför att med programmet för att spåra finansiering av terrorism detta avtal inte enbart gäller utbyte av personuppgifter utan (TFTP II) (nedan kallat ”förslaget”). Förslaget (inklusive tex även skydd av dessa uppgifter. Artikel 16 i fördraget om ten till ett förslag till avtal med Förenta staterna) sändes till Europeiska unionens funktionssätt är därför inte mindre Europeiska datatillsynsmannen för samråd. Datatillsyns relevant som rättslig grund än artiklarna 82 och 87 i för mannen välkomnar samrådet och rekommenderar att en draget om Europeiska unionens funktionssätt om sam hänvisning till detta yttrande förs in i förslagets ingress. arbete för att upprätthålla lag och ordning och som har valts som rättslig grund.

text: 2. Kommissionens förslag har föranletts av den förändrade utformningen av SWIFT ( 3 ), som från och med den 6. Förslaget omfattas av förfarandet i artikel 218.6 i fördraget 1 januari 2010 innebär att SWIFT:s meddelanden om slut om Europeiska unionens funktionssätt. Enligt detta för farande kan rådet endast anta ett beslut som medger att ( 1 ) EGT L 281, 23.11.1995, s. 31. avtalet sluts efter att Europaparlamentet givit sitt medgi ( 2 ) EGT L 8, 12.1.2001, s. 1. vande. Förslaget är därför ett avgörande ”testfall” när det ( 3 ) SWIFT är ett Belgienbaserat företag som tillhandahåller tjänster för gäller att tillämpa de nya Lissabonförfarandena på ett in betalningsmeddelanden till finansinstitutioner över hela världen. Se ternationellt avtal om skydd av personuppgifter. Om prin dan 2001 har det amerikanska finansdepartementet utfärdat admi ciper och garantier för skydd av uppgifter tillfredsställande nistrativa förelägganden mot SWIFT för att få tillgång till vissa per sonuppgifter rörande finansiella transaktioner som avspeglas på en slås fast i avtalet kommer det att leda till att även andra server på amerikanskt territorium. förhandlingar blir framgångsrika. 29.12.2010 Europeiska SV unionens officiella tidning C 355/11

text: 7. I detta sammanhang betonar Europeiska datatillsynsmannen 11. På begäran av Europaparlamentet och europeiska databetydelsen av förhandlingarna för ett avtal mellan Europe skyddsmyndigheter fastställs dessutom i förslaget en rad iska unionen och Amerikas förenta stater om skydd av bestämmelser (artiklarna

text: ) om rättigheter för den personuppgifter när dessa överförs och bearbetas för att person som berörs av uppgifterna, såsom rätten att bli förebygga, undersöka, upptäcka eller åtala brott, inbegripet informerad, rätten till tillgång, rätten till rättelse, radering terrorism, inom ramen för polisiärt och rättsligt samarbete i eller blockering liksom rätten att få upprättelse. Den kon brottmål. Förslaget till mandat för att inleda förhandling kreta möjligheten att genomdriva dessa bestämmelser och arna antogs av kommissionen den 26 maj 2010. I presen de förfaranden som ska följas av personer som inte är tationen av förslaget till mandat betonar kommissionen amerikanska medborgare eller bosatta i landet är emellertid behovet av ett gediget avtal om skydd av personuppgif fortfarande oklar (se nedan punkt II.2.3). ter ( 1 ).

text: 8. Mot denna bakgrund rekommenderar Europeiska datatill II.2 Ytterligare förbättringar krävs fortfarande synsmannen att det nuvarande förslaget kompletteras med 12. Europeiska datatillsynsmannen instämmer helt i behovet av en stark koppling till förhandlingarna med Förenta staterna att, såsom anges i artikel 1.1 i förslaget, se till att privatliv om denna transatlantiska ram för skydd av uppgifter. Dessa och skydd av personuppgifter respekteras fullt ut. Europe normer bör även bli tillämpliga på TFTP II-avtalet. Europe iska datatillsynsmannen påpekar i detta sammanhang att ett iska datatillsynsmannen rekommenderar att detta krav in antal öppna frågor fortfarande behöver tas upp och vissa förlivas i det nuvarande avtalet, eller åtminstone att man nyckelbeståndsdelar behöver förbättras för att villkoren i kommer överens med Förenta staternas regering om att ett EU:s rättsliga ram för skydd av personuppgifter ska vara eventuellt framtida avtal om skydd av uppgifter ska omfatta uppfyllda. det utbyte som avses i föreliggande förslag.

text: 9. Europeiska datatillsynsmannen bidrar slutligen aktivt till II.2.1 Är den planerade behandlingen av personuppgifter ståndpunkterna från artikel 29-arbetsgruppen samt arbets verkligen nödvändig och rimlig? gruppen om polis och rättsväsende. Utöver de punkter som lämnats eller kommer att lämnas i dessa ståndpunkter ana 13. Europeiska datatillsynsmannen är fullt medveten om att lyseras i yttrandet det nuvarande förslaget med utgångs kampen mot terrorismen och finansieringen av terrorismen punkt från Europeiska datatillsynsmannens tidigare kom kan kräva restriktioner i rätten att skydda personuppgifter mentarer om både interimsavtalet och de pågående för liksom när det gäller bestämmelser om banksekretess. Det handlingarna med Förenta staterna. är redan fallet när det gäller en rad EU-instrument ( 3 ) som innehåller ett antal åtgärder som syftar till att förhindra att det finansiella systemet utnyttjas för att tvätta pengar och finansiera terrorism. Dessa instrument innehåller även spe cifika bestämmelser som möjliggör utbyte av information II. ANALYS AV FÖRSLAGET med tredje lands myndigheter, liksom garantier för skydd av personuppgifter i enlighet med direktiv

text: . II.1 Förslaget innehåller ett antal förbättringar

text: 10. Europeiska datatillsynsmannen tillstår att förslaget innehål ler vissa avgörande förbättringar jämfört med det interimis tiska TFTP I-avtalet, exempelvis: 14. Avtalet om ömsesidig rättslig hjälp mellan EU och Förenta staterna medger uttryckligen utbyte av information om bankkonton och finansiella transaktioner mellan myndighe ter för upprätthållande av lag och ordning samt anger vill — Uteslutning av SEPA-uppgifter. Förslaget innebär ut koren och begränsningarna för detta utbyte. Även på in tryckligen att krav från det amerikanska finansminis ternationell nivå anges i de så kallade Egmont-princi teriet inte ska omfatta några uppgifter som gäller det perna ( 4 ) grunden för det internationella utbytet av infor gemensamma eurobetalningsområdet (

text: artikel 4.2 d

text: ). mation om finansiella transaktioner mellan finansunderrät telseenheter, och samtidigt fastställs begränsningar och ga rantier beträffande användningen av utbytta uppgifter. In strument för utbyte av uppgifter mellan Förenta staterna — Definitionen av terrorism. I artikel 2 i förslaget utgår och Europol och Eurojust finns dessutom redan, och säker man från definitionen av terrorism enligt synsättet i ställer samtidigt utbyte av information och skydd av per artikel 1 i rådets rambeslut 2002/475/JHA ( 2 ). sonuppgifter. C 355/12 SV Europeiska unionens officiella tidning 29.12.2010

text: 15. Mot denna bakgrund betonas i kommissionens förslag nyt om finansiella transaktioner i EU så att endast relevanta och tan med TFTP-programmet, såsom påpekats av det ame nödvändiga uppgifter sänds till de amerikanska myndighe rikanska finansministeriet och den framstående personens terna. Om dessa lösningar inte kan tas fram omedelbart bör rapporter. Villkoret i artikel 8 i den europeiska konventio det i vilket fall som helst i avtalet fastställas en kort över nen om de mänskliga rättigheterna för att motivera ingrepp gångsperiod efter vilken bulköverföringar inte längre är till i privatlivet är emellertid ”nödvändighet” och inte ”nytta”. låtna.

text: 16. Enligt Europeiska datatillsynsmannen krävs tillräckliga bevis L a g r i n g s p e r i o d för att det finns ett verkligt mervärde i att detta avtal beaktar befintliga instrument eller, med andra ord, i vilken 21. Beträffande lagringsperioden konstaterar Europeiska datatill utsträckning avtalet verkligen är nödvändigt för att uppnå synsmannen att förslaget korrekt fastställer maximalt till resultat som inte kan erhållas genom att använda instru låtna lagringstider för uppgifterna liksom mekanismer för ment som i mindre utsträckning inkräktar på privatlivet, att se till att personuppgifter raderas när de inte längre är såsom de som redan fastställts i befintliga EU-ramar och nödvändiga. Bestämmelserna i artikel 6 i förslaget rörande internationella ramar. Enligt Europeiska datatillsynsmannen icke framtagna uppgifter förefaller emellertid gå i motsatt bör detta mervärde fastställas otvetydigt, som ett villkor för riktning. För det första är begreppet ”icke framtagna upp varje avtal med Förenta staterna om utbyte av finansiella gifter” inte självklart och bör därför förtydligas. För det uppgifter, även med tanke på hur inträngande avtalet är (se andra har skälen till att icke framtagna uppgifter ska behål även punkterna 18-22 om rimlighet). las i fem år inte bevisats.

text: 17. Europeiska datatillsynsmannen har inte möjlighet att be döma hur nödvändigt detta avtal är. Även om det kan 22. Europeiska datatillsynsmannen inser fullständigt behovet av påvisas att avtalet är nödvändigt finns det också andra att se till att personuppgifter som krävs för en specifik punkter som förtjänar att uppmärksammas av förhand antiterroristundersökning eller åtal blir åtkomliga, kan be larna. handlas och behållas så lång tid som behövs, i vissa fall till och med längre än fem år, eftersom personuppgifter kan behövas för undersökningar eller rättsliga förfaranden som pågår under lång tid. Men om man antar att icke framtagna uppgifter är uppgifter som har bulköverförts och som man varken har gått in på eller använt för ett specifikt åtal eller 18. Rimlighet är också huvudkriteriet för att bedöma mängden en specifik undersökning bör den tillåtna lagringstiden för personuppgifter som överförs liksom deras lagringstid. I att behålla dessa uppgifter vara betydligt mer begränsad. I artikel 4 i förslaget begränsas omfattningen av den ame detta perspektiv bör det betonas att den tyska författnings rikanska begäran. Förslaget innebär emellertid att person domstolen har ansett att när det gäller att lagra uppgifter uppgifter bulköverförs till amerikanska myndigheter och om telekommunikation är en lagringsperiod på sex måna sedan i princip behålls under en femårsperiod, oavsett om der redan mycket lång och behöver därför motiveras på de har tagit fram uppgifter eller det finns en bevisad kopp lämpligt sätt ( 1 ). Författningsdomstolen föreföll anse att ling till en specifik undersökning eller ett specifikt åtal. denna sexmånadersperiod var den maximala för uppgifter som inte gällde en specifik undersökning. B u l k ö v e r f ö r i n g a r

text: 19. Trots vad Europaparlamentet och europeiska dataskydds II.2.2 Tryggar förslaget rättslig tillsyn? myndigheter har begärt bygger förslaget fortfarande på fö reställningen att personuppgifter ska bulköverföras till det 23. Enligt förhandlingsmandatet bör en rättslig offentlig myn amerikanska finansministeriet. På den punkten är det viktigt dighet ha ansvaret för att ta emot förfrågningar från det att klargöra att det faktum att det nuvarande SWIFT-syste amerikanska finansministeriet, bedöma om de överensstäm met inte medger en riktad sökning inte kan betraktas som mer med avtalet och i förekommande fall begära att leve tillräcklig motivering för att bulköverföringar av uppgifter rantören överför uppgifterna på grundval av ett ”system för ska bli lagliga enligt EU:s dataskyddslag. överföring”. Både Europaparlamentet och Europeiska data tillsynsmannen välkomnade detta synsätt som innebär en avgörande garanti – i linje med nationella konstitutioner och rättssystem i medlemsstaterna – för lagenliga och ba lanserade överföringar av uppgifter liksom en oberoende

text: 20. Europeiska datatillsynsmannen anser därför att lösningar tillsyn. bör tas fram för att se till att bulköverföringar ersätts med mekanismer som möjliggör filtrering av uppgifter ( 1 ) Dom av den 2 mars 2010. 29.12.2010 Europeiska SV unionens officiella tidning C 355/13

text: 24. Enligt förslaget lämnas emellertid denna uppgift till Euro nande av personuppgifter till den berörda personen mycket pol, som är en EU-myndighet för att förebygga och be väl kan begränsas enligt de omständigheter som anges i kämpa organiserad brottslighet, terrorism och andra former

text: artikel 15.2

text: , bör informationen kunna spridas till europe av allvarliga brott som påverkar två eller fler medlemssta iska nationella myndigheter för skydd av personuppgifter i ter ( 1 ). Det är uppenbart att Europol inte är en rättslig samtliga fall, för att dessa effektivt ska kunna sköta sin myndighet. övervakande uppgift. Myndigheter för skydd av personupp gifter är självfallet bundna av ett sekretesskrav när de utför sina uppgifter och kommer inte att lämna uppgifterna till den berörda personen så länge villkoren för ett undantag 25. Europol har dessutom specifika intressen i utbytet av per finns. sonuppgifter på grundval av det föreslagna avtalet. I för slagets

text: artikel 10

text: ges Europol befogenhet att begära att relevant information ska erhållas via TFTP om myndigheten har skäl att tro att en person eller enhet har en koppling till 30. När det gäller rätten till rättelse anges i

text: artikel 17.2

text: att ”En terrorism. Det är svårt att kombinera denna befogenhet för part som får kännedom om att materiella uppgifter som Europol, som kan vara viktig för att fullgöra Europols upp den har översänt eller mottagit från den andra parten i gift och som kräver goda relationer med det amerikanska enlighet med detta avtal är inkorrekta eller otillförlitliga, finansministeriet, med myndighetens uppgift att trygga en ska om möjligt underrätta den andra parten om detta”. oberoende tillsyn. Europeiska datatillsynsmannen anser att skyldigheten att rätta felaktiga eller otillförlitliga uppgifter är en grundläg gande garanti inte enbart för personen som berörs av upp gifterna utan även för att de åtgärder som utförs av myn 26. Europeiska datatillsynsmannen undrar dessutom i vilken digheterna som ska verkställa lagar ska bli effektiva. I det utsträckning den nuvarande rättsliga ramen anförtror Euro hänseendet bör myndigheter som utbyter uppgifter inrätta pol – särskilt utan att ändra dess rättsliga grund enligt det mekanismer för att se till att denna rättelse alltid kan ge normala förfarandet i Lissabonfördraget – uppgifterna och nomföras, och orden ”om möjligt” bör därför strykas i befogenheterna för att göra en administrativ begäran från förslaget. ett tredje land ”bindande” (

text: artikel 4.5

text: ) för ett privat företag, vilket då får ”tillåtelse och är skyldigt” att tillhandahålla uppgifter till detta tredje land. Här bör det noteras att det enligt den nuvarande EG-lagstiftningen inte är uppenbart 31. Den viktigaste frågan för Europeiska datatillsynsmannen är huruvida ett beslut från Europol rörande ett privat företag emellertid att dessa rättigheter konkret kan verkställas. Av skulle omfattas av EG-domstolens rättsliga kontroll. skäl som gäller rättssäkerhet och insyn bör det i förslaget å ena sidan anges mer i detalj vilka konkreta förfaranden som personer som berörs av uppgifterna kan använda för att genomföra de rättigheter de tillerkänns i avtalet, både inom EU och i Förenta staterna. 27. Mot den bakgrunden upprepar Europeiska datatillsynsman nen sin uppfattning att det bör vara en offentlig rättslig myndighet som har i uppgift att bedöma krav från det amerikanska finansministeriet, även i syfte att respektera 32. Å andra sidan anges uttryckligen och tydligt i

text: artikel 20.1

text: förhandlingsmandatet och EU:s nuvarande rättsliga ram. att avtalet ”inte ska ligga till grund för några rättigheter eller förmåner för några privata eller offentliga personer eller enheter”. Europeiska datatillsynsmannen noterar att denna bestämmelse förefaller upphäva eller åtminstone ifrågasätta II.2.3 Medför förslaget verkställbara rättigheter (och skydd) för den bindande effekten av de bestämmelser i avtalet som ger personer som berörs av uppgifterna? personer som berörs av uppgifterna rättigheter, vilka för 28. Såsom redan angivits i inledningen till detta yttrande fast närvarande ännu inte är vare sig erkända eller genomför ställs i förslaget en rad rättigheter för personer som berörs bara enligt amerikansk lag, särskilt när personerna som berörs av uppgifterna inte är amerikanska medborgare eller av uppgifterna, såsom rätten att bli informerad, rätten till permanent boende i landet. Den amerikanska lagen om tillgång, rätten till rättelse, radering eller blockering, liksom integritetsskydd (Privacy act) ger exempelvis en kvalificerad rätten att få upprättelse. Det är emellertid viktigt att å ena rätt att få tillgång till personlig information som är starkare sedan förbättra vissa delar av bestämmelserna och å andra sidan se till att de verkligen är möjliga att verkställa. än den generella rätt som beviljas allmänheten genom den amerikanska lagen om informationsfrihet (Freedom of In formation Act). Den amerikanska lagen om integritetsskydd (Privacy Act) anger emellertid tydligt att en begäran om tillgång till egna register endast är möjlig för ”en medbor 29. Beträffande rätten att få tillgång till sina egna personupp gare i Förenta staterna eller en utländsk medborgare som gifter anges i avtalet en rad begränsningar. Europeiska data enligt lag har permanent uppehållstillstånd” ( 2 ). tillsynsmannen är medveten om att rättigheterna för perso ner som berörs av uppgifterna kan begränsas om det är ( 2 ) Detta bekräftas av informationen på det amerikanska finansminis nödvändigt, särskilt när det gäller kampen mot terrorismen. teriets webbplats ”När du gör en begäran om anmälan om eller Förslaget bör emellertid göra det tydligt att medan utläm tillgång till register, ska den: […] ange att du är medborgare i Förenta staterna eller utländsk medborgare med permanent uppe ( 1 ) Se exempelvis artikel 3 i rådets beslut 2009/371/JHA om inrättande hållstillstånd enligt lag i Förenta staterna, […]”, http://www.treas. av Europeiska polisbyrån (Europol), (EUT L 121, 15.5.2009, s. 37). gov/foia/how-to.html (senast använd den 21 juni 2010). C 355/14 SV Europeiska unionens officiella tidning 29.12.2010

text: 33. Europeiska datatillsynsmannen rekommenderar därför att 38. Förslaget bör dessutom inte bara fastställa datum för den den nuvarande formuleringen i

text: artikel 20.1

text: ses över så första gemensamma översynen, som ska äga rum efter sex att de rättigheter som föreslås tydligt anges och verkligen månader, utan även tidsplanen för nästa översyn, som ex är genomförbara även på amerikanskt territorium. empelvis kan äga rum varje år därefter. Europeiska datatill synsmannen rekommenderar även att ett samband upprät tas mellan resultatet av dessa gemensamma översyner och avtalets löptid. II.2.4 Tryggar förslaget en tillfredsställande oberoende tillsyn och övervakning?

text: 34. I artikel 12 i förslaget anges olika nivåer av övervakning av de villkor och garantier som inrättas genom avtalet. ”Obe 39. I detta sammanhang betonar Europeiska datatillsynsmannen roende övervakare” kommer att övervaka det amerikanska att en bortre tidsgräns är önskvärd även mot bakgrund av finansministeriets sökningar, både i realtid och bakåt i ti att mer riktade lösningar på längre sikt kan bli tillgängliga. den. ”En oberoende person som utnämns av Europeiska En tidsbegränsning kan också vara ett bra incitament för att kommissionen” ska dessutom kontinuerligt övervaka den nödvändiga satsningar ska göras på att utveckla sådana första tillsynsnivån, inbegripet dess oberoende. Det bör lösningar som skulle innebära att det inte längre finns klargöras vilka uppgifter den oberoende personen ska ha, några skäl till bulköverföringar av uppgifter till det ame hur det ska garanteras att han faktiskt kan uppfylla sina rikanska finansministeriet. uppgifter och till vem han rapporterar.

text: 40. För att både tillsynen och den gemensamma översynen ska 35. I

text: artikel 13

text: fastställs också en mekanism för en gemensam bli effektivare bör det finnas information och relevanta översyn som ska genomföras efter sex månader och där uppgifter om antal begäranden om tillträde och upprättelse, efter i regelbundna intervaller. Denna gemensamma översyn möjlig uppföljning (radering, rättning, etc.) liksom antalet ska genomföras av en gemensam EU-US-delegation, där beslut om att begränsa rättigheter för personer som berörs EU-delegationen innefattar företrädare för två dataskydds av uppgifterna. På samma sätt bör information, när det myndigheter, och ska resultera i en rapport som kommis gäller översynen, vara tillgänglig och redovisa, utöver sionen lägger fram för Europaparlamentet och rådet. mängden meddelanden som det amerikanska finansminis teriet ”haft tillträde till”, även antalet meddelanden som ”lämnats” till det amerikanska finansministeriet. Detta bör anges i avtalet. 36. Europeiska datatillsynsmannen betonar att oberoende över vakning är ett mycket viktigt inslag i rätten till skydd av personuppgifter, vilket också bekräftas i artikel 16 i fördra get om Europeiska unionens funktionssätt och artikel 8 i Europeiska unionens stadga om de grundläggande rättighe 41. Dessutom bör befogenheter och behörighet för europeiska terna. EG-domstolen fastställde nyligen strikta kriterier för dataskyddsmyndigheter inte på något sätt begränsas av oberoende i sin dom av den 9 mars 2010, kommissionen detta förslag. Europeiska datatillsynsmannen noterar också mot Tyskland ( 1 ). Det är uppenbart att lika strikta kriterier att förslaget innebär ett steg tillbaka när det gäller det inte kan gälla för tredje länder, men det är också tydligt att interimistiska TFTP-avtalet. I det tidigare avtalet angavs i personuppgifter endast kan skyddas tillräckligt ( 2 ) om det inledningen att ”detta avtal inte avviker från de befintliga finns tillfredsställande garantier för oberoende tillsyn. Det är befogenheterna för medlemsstaternas dataskyddsmyndighe också ett villkor för internationella avtal med länder vars ter att skydda enskilda personer när det gäller behandling rättssystem inte kräver att en oberoende myndighet ska av deras personuppgifter” men det nya förslaget hänvisar kontrollera verksamheten. nu till ”överinsyn av de behöriga dataskyddsmyndigheterna på ett sätt som är förenligt med de särskilda bestämmel serna i detta avtal”. Europeiska datatillsynsmannen rekom menderar därför att man i förslaget tydligt anger att avtalet inte gör något undantag från eller begränsar befogenheterna 37. Mot denna bakgrund är det avgörande att minst villkoren för europeiska dataskyddsmyndigheter. för tillsyn och den gemensamma översynen, liksom befo genheterna och garantierna för oberoende för de personer som är delaktiga i översynen, fastställs tydligt i avtalet sna rare än att de ”gemensamt samordnas” eller fastställs av parterna på ett senare stadium. Det är särskilt viktigt att se till att både den person som utnämns av Europeiska III. SLUTSATSER kommissionen och företrädarna för europeiska dataskydds myndigheter har möjlighet att agera oberoende och genom 42. Europeiska datatillsynsmannen konstaterar att detta förslag föra sina övervakande uppgifter effektivt. innebär vissa betydande förbättringar när det gäller det interimistiska TFTP I-avtalet, såsom uteslutning av SEPA- 1 uppgifter, en mer begränsad definition av terrorism och ( )

text: Mål C-518/07

text: , nyr. ( 2 ) I det föreslagna avtalets

text: artikel 8

text: anges att det amerikanska finans mer detaljerade bestämmelser om rättigheter för personer ministeriet är skyldigt att trygga en tillräcklig skyddsnivå. som berörs av uppgifterna. 29.12.2010 Europeiska SV unionens officiella tidning C 355/15

text: 43. Europeiska datatillsynsmannen noterar emellertid att en av — Förbättra de oberoende mekanismerna för tillsyn och görande förutsättning för att bedöma legitimiteten hos ett övervakning genom att: nytt TFTP-avtal måste uppfyllas. Behovet av schemat måste fastställas i förhållande till redan befintliga instrument såväl i) Se till att uppgifterna och rollen för både den per inom EU som internationellt. son som utnämns av Europeiska kommissionen och företrädarna för europeiska dataskyddsmyndigheter 44. Om detta skulle vara fallet påpekar Europeiska datatillsyns är väl definierade och att de har möjlighet att agera mannen att ett antal öppna frågor återstår att ta upp och oberoende och genomföra sina övervakande uppgif att avgörande beståndsdelar behöver förbättras för att upp ter effektivt. fylla villkoren i EU:s rättsliga ram för skydd av personupp gifter, bland annat: ii) Se till att gemensamma översyner äger rum regel bundet och att deras resultat kopplas till avtalets — Se till att bulköverföringar ersätts med mekanismer som löptid genom en bortre tidsgräns. gör det möjligt att filtrera uppgifter om finansiella transaktioner i EU så att endast relevanta och nödvän iii) Utvidga tillgänglig information till oberoende till diga uppgifter sänds till de amerikanska myndigheterna. synsmän och dataskyddsmyndigheter. — Avsevärt minska lagringsperioden för icke framtagna iv) Undvika att avtalet begränsar befogenheterna för uppgifter. europeiska dataskyddsmyndigheter. — Anförtro uppgiften att bedöma begäranden från det — Lägga till en hänvisning till detta yttrande i ingressen till amerikanska finansministeriet till en offentlig rättslig förslaget. myndighet, i linje med förhandlingsmandatet och den aktuella rättsliga ramen inom EU. Utfärdat i Bryssel den 22 juni 2010. — Se till att de rättigheter som personer som berörs av uppgifterna beviljas genom förslaget anges tydligt, och Peter HUSTINX att de kan genomföras effektivt även på amerikanskt territorium. Europeiska datatillsynsmannen


text: ( 1 ) Se vidare om begreppet anonymitet i punkterna 11–28 i EDPS

text: yttrande av den 5 mars 2009 om organ avsedda för transplantation (EUT C 192, 15.8.2009, s. 6). Finns även på http://www.edps. europa.eu >> Consultation >> Opinions >> 2009.

identifier: EDPS yttrande (2010)

amnesord:
Finance & Economy
Financial markets
Internal Market

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Deposit Guarantee Schemes

serie: yttranden

text: 30.11.2010 Europeiska SV unionens officiella tidning C 323/9

type: stycke

text: Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets direktiv om insättningsgarantisystem

text: (omarbetning)

text: (2010/C 323/03)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA främja konvergensen mellan insättningssystemen, i syfte att YTTRANDE bidra till att återskapa tilltron till den finansiella sektorn. Som en nödlösning ändrades direktiv

text: genom direktiv

text: den 11 mars 2009. Den mest påtag med beaktande av fördraget om Europeiska unionens funktions liga ändringen var att täckningsnivån ökades från sätt, särskilt artikel

text: 000 EUR till 100 000 EUR för insättare om en bank måste stängas. I punkt 5 i motiveringen till det aktuella förslaget anger kommissionen att man anser att direktiv med beaktande av Europeiska unionens stadga om de grund

text: och

text: måste konsolideras och ändras läggande rättigheterna, särskilt

text: artikel 8

text: , genom en omarbetning, eftersom direktiv

text: inte

text: fullt ut tillämpats.

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda 5. Förslaget syftar till att förenkla och harmonisera relevanta personer med avseende på behandling av personuppgifter och nationella regler, i synnerhet täckningens omfattning och om det fria flödet av sådana uppgifter ( 1 ), utbetalningsmöjligheterna. Bestämmelserna ändras för att

text: ytterligare förkorta tidsfristen för utbetalning till insättare och garantera bättre åtkomst för inkomstgarantisystemen med beaktande av den begäran om ett yttrande i enlighet med till information om deras deltagare (kreditinstitutionerna, artikel 28.2 i Europaparlamentets och rådets förordning (EG) nr t.ex. banker). Vidare syftar flera av ändringarna till att säker 45/2001 av den 18 december 2000 om skydd för enskilda då ställa sunda och tillförlitliga insättningsgarantisystem med gemenskapsinstitutionerna och gemenskapsorganen behandlar tillfredsställande finansiering ( 4 ). personuppgifter och om den fria rörligheten för sådana upp gifter ( 2 ).

text: 6. Det förbättrade förfarandet för återbetalning till insättare medför en ökad behandling av personuppgifter för insättare HÄRIGENOM FRAMFÖRS FÖLJANDE. inom en medlemsstat, men även mellan medlemsstater. I

text: artikel 3.7

text: anges det att ”medlemsstaterna ska se till att insättningsgarantisystemen när som helst och på begäran I. INLEDNING från deltagarna erhåller all den information som krävs för att förbereda en återbetalning av insättningar”. Sådan infor

text: 1. Den 12 juli 2010 antog kommissionen ett förslag till Eu mation kan enligt artikel 12.4 i förslaget även utbytas mel ropaparlamentets och rådets direktiv om insättningsgaranti lan insättningsgarantisystem i olika medlemsstater. system (omarbetning) ( 3 ).

text: 7. Om insättaren är en fysisk person utgör information om

text: 2. Förslaget överlämnades till EDPS i enlighet med

text: artikel 28.2

text: insättaren personuppgifter i enlighet med artikel 2 a i di i förordning

text: (EG) nr 45/2001

text: samma dag som det antogs. rektiv

text: . Överföring av sådan information mellan EDPS rådfrågades informellt innan förslaget antogs. EDPS kreditinstitutioner och ett insättningsgarantisystem, eller välkomnade detta informella samråd och uppskattar att mellan insättningsgarantisystem, utgör behandling av per hänsyn har tagits till alla hans synpunkter i det slutliga sonuppgifter i enlighet med

text: artikel 2 b i direktiv 95/46/EG

text: . förslaget. Bestämmelserna i direktiv

text: , såsom dessa har ge nomförts i relevant nationell lagstiftning, är därför tillämp liga på sådan behandling. EDPS uppskattar att detta bekräf

text: 3. I sitt yttrande kommer EDPS att i korthet beskriva och tas och betonas i skäl 29 i förslaget. analysera förslagets dataskyddsaspekter.

text: 8. Vidare uppskattar EDPS att vissa dataskyddsaspekter ut II. FÖRSLAGETS DATASKYDDSASPEKTER tryckligen har tagits upp i förslaget. Enligt

text: artikel 3.7

text: får information som erhålls för att förbereda återbetalningar

text: 4. Insättningsgarantisystem ersätter insättarna upp till ett visst endast användas för detta syfte och får inte lagras längre belopp om ett kreditinstitut måste stänga. Direktiv än vad som är nödvändigt för detta syfte. Detta förtydligar

text: , enligt vilket medlemsstaterna är skyldiga att in den princip om begränsning av syftet som fastställs i föra ett eller flera insättningsgarantisystem inom sina terri

text: artikel 6.1 b i direktiv 95/46/EG

text: och skyldigheten att inte torier, antogs den 30 maj 1994 av Europaparlamentet och lagra data längre än vad som är nödvändigt för det ändamål rådet. Kort efter att finanskrisen utbröt 2008 uppmanade för vilket uppgifterna samlades in eller för vilket de senare rådet kommissionen att ta fram ett lämpligt förslag för att behandlades, i enlighet med

text: artikel 6.1 e i direktiv 95/46/EG

text: . ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) Se KOM(2010) 368 slutlig. ( 4 ) Se punkterna 2–3 i motiveringen till förslaget. C 323/10 SV Europeiska unionens officiella tidning 30.11.2010

text: 9. Det påpekas uttryckligen i

text: artikel 3.7

text: att den information 11. Även när det gäller information som tas emot för genom som erhålls för att förbereda återbetalningar även inklude förande av stresstester anges det i

text: artikel 3.7

text: att sådan rar märkningar i enlighet med

text: artikel 4.2

text: . Enligt den senare information endast får användas för detta ändamål och artikeln är kreditinstitutioner skyldiga att märka insätt att den inte får lagras längre än vad som är nödvändigt ningar om dessa av något skäl inte omfattas av återbetal för detta ändamål. EDPS vill påpeka att informationen om ning, till exempel därför att insättningarna härrör ur trans den anonymiseras inte längre uppfyller den definition av aktioner i samband med något för vilket en brottmålsdom personuppgifter för vilken bestämmelserna i direktiv för tvättning har meddelats, enligt definitionen i

text: artikel 1 c

text: gäller. Det kan finnas goda skäl till att möjliggöra i

text: rådets direktiv 91/308/EEG

text: (se artikel 4.1 i förslaget). begränsad användning av denna information, men EDPS Eftersom informationsutbytets syfte är just återbetalning vill klargöra att reglerna för dataskydd inte kräver detta. av insättningen kan underrättelse om en sådan märkning betraktas som en nödvändig åtgärd. EDPS anser därför att 12. För att underlätta ett effektivt samarbete mellan insättnings överföring av en sådan märkning, när den betraktas som en garantisystemen, även när det gäller det utbyte av infor personuppgift, följer reglerna för dataskydd, så länge märk mation som avses i

text: artikel 3.7

text: , anges det i artikel 12.5 i ningen i sig inte avslöjar mer information än nödvändigt. förslaget att insättningsgarantisystemen eller, i tillämpliga En enkel märkning som anger att insättningen inte omfat fall, de behöriga myndigheterna ska upprätta skriftliga sam tas av återbetalning skulle tjäna avsett syfte. Därför bör arbetsavtal. Det är i sådana avtal tillämpningen av reglerna skyldigheten enligt artikel 4.2 i förslaget tillämpas på detta om dataskydd bör utarbetas i större detalj. EDPS ser därför sätt, för att garantera att de bestämmelser som går tillbaka med tillfredsställelse att en extra mening läggs till i på direktiv

text: efterlevs.

text: artikel 12.5

text: som betonar att ”sådana avtal ska beakta de krav som ställs i direktiv

text: 10. Artikel 3.7 i förslaget tar även upp insättningsgarantisyste III. SLUTSATS mens insamling av information som krävs för att genom föra stresstester av deras system. Denna information lämnas 13. EDPS uttrycker sin tillfredsställelse med det sätt på vilket fortlöpande till insättningsgarantisystemen av kreditinstitu dataskyddsaspekterna hanteras i förslaget till direktiv och ten. Vid det informella samrådet uttryckte EDPS oro för att vill endast hänvisa till de synpunkter som lämnas i punk denna information även skulle innefatta personuppgifter. terna 9 och 11 i detta yttrande. EDPS var tveksam till om det verkligen var nödvändigt att behandla personuppgifter för att utföra stresstesterna. Kommissionen har ändrat förslaget på denna punkt och lagt till att sådan information ska anonymiseras. När det Utfärdat i Bryssel den 9 september 2010. gäller dataskydd innebär detta, med beaktande av alla me toder som sannolikt kommer att användas, att informatio 1 Peter HUSTINX nen inte kan kopplas till identifierade fysiska personer. ( ) EDPS uttrycker sin tillfredsställelse med denna försäkran. Europeiska datatillsynsmannen

type: vagledning

utgivare: edps


text: ( 19 ) Se Europeiska datatillsynsmannens tal vid konferensen för europe 42. Europeiska datatillsynsmannen noterar att kommissionen iska dataskyddskommissionärer, Prag den 29 april 2010. inte specifikt tar upp den viktiga frågan om rättigheter ( 20 ) Se när det gäller säkerhetsmekanismer yttrandet av den 18 mars för registrerade personer vilket är en grundläggande be 2010 om att främja förtroendet för informationssamhället genom ståndsdel i uppgiftsskyddet. Det är mycket viktigt att se stärkt data- och integritetsskydd samt yttrandet av den 22 juli 2009 till att medborgarna inom alla olika system och instrument om kommissionens meddelande om en handlingsplan för införande som hanterar informationsutbyte omfattas av liknande rät av intelligenta transportsystem i EU och det åtföljande förslaget till Europaparlamentets och rådets direktiv om en ram för införande av tigheter när det gäller hur deras personuppgifter hanteras. intelligenta transportsystem på vägtransportområdet och för gräns Många av de system som hänvisas till i meddelandet fast snitt mot andra transportsätt. ställer specifika regler om rättigheter för registrerade perso ( 21 ) I Europeiska datatillsynsmannens yttrande om kommissionens med ner, men det är stor variation mellan systemen och instru delande om Stockholmsprogrammet rekommenderar han att det menten, utan att det finns något bra motiv till det. ska finnas en juridisk skyldighet för dem som bygger upp och använder informationssystem att utveckla och använda system som överensstämmer med principen ”Inbyggda säkerhetsmekanis ( 22 ) SEK(2009) 92, 15.1.2009. mer”. ( 23 ) C(2009) 3200 slutlig, 12.5.2009.

amnesord:
Large-Scale IT Systems
SIS
EES
Borders, Asylum, Migration
Judicial Cooperation
Police Cooperation

title: Information management in the area of freedom, security and justice

text: C 355/16 SV Europeiska unionens officiella tidning 29.12.2010

text: Yttrande från Europeiska datatillsynsmannen – om kommissionens meddelande till Europaparlamentet och rådet – ”Översikt av informationshanteringen inom området med frihet, säkerhet och rättvisa”

text: (2010/C 355/03)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA bekämpning eller migrationshantering” ( 4 ). Syftet med do YTTRANDE kumentet är också att ge medborgarna en översikt över vilken information som samlas in, lagras och utbyts om dem, i vilket syfte och av vem. Enligt kommissionen ska meddelandet dessutom fungera som ett transparent refe med beaktande av fördraget om Europeiska unionens funktions rensverktyg för alla intressenter som vill delta i en debatt sätt, särskilt artikel 16, om den framtida inriktningen för EU:s policy på detta om råde. Det ska alltså bidra till en informerad policydialog med alla intressenter.

text: med beaktande av Europeiska unionens stadga om de grund läggande rättigheterna, särskilt artikel 8, 4. Konkret innebär det att man i meddelandet anger att det syftar till att klargöra huvudsyftet med instrumenten, deras struktur, typ av personuppgifter som de omfattar, ”vilka myndigheter som har tillgång till uppgifterna” ( 5 ) och be med beaktande av Europaparlamentets och rådets direktiv stämmelserna om uppgiftsskydd och lagring av uppgifter.

text: av den 24 oktober 1995 om skydd för enskilda Dessutom innehåller Bilaga I ett antal exempel som illustre personer med avseende på behandling av personuppgifter och rar hur dessa instrument fungerar i praktiken. om det fria flödet av sådana uppgifter ( 1 ),

text: 5. I dokumentet anges de breda principerna (”Materiella prin ciper” och ”Förfarandeorienterade principer”) som kommis med beaktande av begäran om yttrande i enlighet med förord sionen har för avsikt att tillämpa i den framtida utveck ning

text: (EG) nr 45/2001

text: om skydd för enskilda då gemenskaps lingen av instrument för insamling, lagring och utbyte av institutionerna och gemenskapsorganen behandlar personupp uppgifter. Till ”Materiella principer” räknas sådana principer gifter och om den fria rörligheten för sådana uppgifter ( 2 ), som att tillvarata grundläggande rättigheter, särskilt rätten till integritets- och uppgiftsskydd, nödvändighet, subsidiari tet och adekvat riskhantering. ”Förfarandeorienterade prin ciper” innefattar kostnadseffektivitet, utformning av strate HÄRIGENOM FRAMFÖRS FÖLJANDE gier från ett ”bottom-up”-perspektiv, en tydlig ansvarsför delning och bestämmelser om översyn och tidsfristklausu ler. I. INLEDNING

text: 1. Den 20 juli 2010 antog kommissionen ett meddelande 6. Dessa principer kommer enligt meddelandet att användas med titeln ”Översikt av informationshanteringen inom om vid utvärdering av befintliga instrument. Ett så principiellt rådet med frihet, säkerhet och rättvisa” (nedan kallat ”med synsätt på utveckling och utvärdering av politiken menar delandet”) ( 3 ). Meddelandet sändes till Europeiska datatill kommissionen kan göra både nuvarande och framtida in synsmannen för samråd. strument mer konsekventa och effektiva på ett sätt som fullt ut respekterar medborgarnas grundläggande rättigheter.

text: 2. Datatillsynsmannen uppskattar att ha blivit tillfrågad av Syftet med Europeiska datatillsynsmannens yttrande kommissionen. Redan innan meddelandet antogs gavs 7. Datatillsynsmannen noterar att meddelandet är ett viktigt han möjlighet att lämna informella kommentarer och dokument som ger en övergripande översyn över befintliga många av dessa har beaktats i slutversionen av dokumentet. och (möjliga) framtida instrument för informationsutbyte inom området frihet, säkerhet och rättvisa. Det innehåller en utveckling av kapitlen 4.2.2 (Att hantera informations Meddelandets mål och omfattning flödet) och 5.1 (Integrerad förvaltning av de yttre grän serna) i Stockholmsprogrammet ( 6 ). Det kommer också att

text: 3. Europeiska datatillsynsmannen välkomnar kommissionens målsättning att ”för första gången (tillhandahålla) en full ( 4 ) Sidan 3 i meddelandet. överblick över åtgärder på EU-nivå som redan har införts, ( 5 ) När det gäller detta avsnitt anser datatillsynsmannen att lydelsen som håller på att genomföras eller är under övervägande ”meddelandet tar upp (…) vilka myndigheter som har tillgång till när det gäller insamling, lagring eller gränsöverskridande uppgifterna” kan vara missledande eftersom meddelandet varken innehåller sådana förteckningar eller klargör dem. Det hänvisar en utbyte av personuppgifter för ändamål som rör brotts dast till huvudkategorierna av personer eller myndigheter som har tillgång till uppgifterna. ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 6 ) Stockholmsprogrammet- ett öppet och säkert Europa i medborgar ( 2 ) EGT L 8, 12.1.2001, s. 1. nas tjänst och för deras skydd, Europeiska rådet 5731/2010, ( 3 ) KOM(2010) 385 slutlig. 3.3.2010. 29.12.2010 Europeiska SV unionens officiella tidning C 355/17 spela en viktig roll för områdets framtida utveckling. Data 11. Mot denna bakgrund bör det betonas att Stockholmspro tillsynsmannen anser därför att det är lämpligt att kom grammet hänvisar till ett system för starkt uppgiftsskydd mentera meddelandets olika delar, trots att texten i själva som en huvudsaklig förutsättning för EU:s strategi för infor meddelandet inte kommer att ändras. mationshantering. Den starka betoningen av uppgiftsskyd det är helt i linje med Lissabonfördraget som, vilket också nämnts tidigare, innehåller allmänna bestämmelser om uppgiftsskydd som ger alla – även tredjelandsmedborgare – rätt till uppgiftsskydd som är verkställbart inför domare, och tvingar rådet och Europaparlamentet att inrätta en övergripande ram för skydd av uppgifter. 8. Europeiska datatillsynsmannen avser att lägga till några yt terligare begrepp som han anser behöver beaktas i den fortsatta utvecklingen av området för frihet, säkerhet och rättvisa. Meddelandet innehåller ett antal begrepp som an vänts tidigare i datatillsynsmannens yttrande av den 10 juli 2009 om meddelandet om ett område för frihet, säkerhet 12. Europeiska datatillsynsmannen stöder också kravet i strate och rättvisa i allmänhetens tjänst ( 7 ), och ett antal andra gin för informationshantering att alla nya lagstiftningsåtgär yttranden och kommentarer. Där utvecklas också de upp der som kan underlätta lagring och utbyte av personupp fattningar som lämnats tidigare. I detta sammanhang bör gifter endast ska föreslås om det finns konkreta bevis på att man även hänvisa till rapporten om integritetens framtid, de behövs. Europeiska datatillsynsmannen har förespråkat som antogs av artikel 29-arbetsgruppen och arbetsgruppen detta synsätt i olika yttranden om lagstiftningsförslag i an om polis och rättsväsende den 1 december 2009. Rappor slutning till området för frihet, säkerhet och rättvisa, dvs. ten, som är ett gemensamt bidrag till Europeiska kommis 9 om den andra generationen SIS ( ), om brottsbekämpande sionens samråd om den rättsliga ramen för de grundläg 10 myndigheters tillgång till Eurodac ( ), om översyn av Eu gande rättigheterna för att skydda personuppgifter, stöds av 11 rodac och Dublinförordningen ( ), om kommissionens datatillsynsmannen och den innehöll viktiga anvisningar 12 meddelande om Stockholmsprogrammet ( ) och om när det gäller det framtida uppgiftsskyddet som också är 13 PNR ( ). tillämpliga på informationsutbytet inom det polisiära och rättsliga samarbetet i brottmål.

text: 13. Behovet av befintliga instrument för informationsutbyte behöver absolut bedömas innan nya föreslås. Och det är ännu viktigare om man beaktar att den nuvarande ramen är Bakgrund till yttrandet ett komplicerat lapptäcke av olika instrument och system 9. Europeiska datatillsynsmannen välkomnar meddelandet varav vissa nyligen har införts, vilket innebär att det är för som ett svar på Europeiska rådets ( 8 ) uppmaning att ut tidigt att bedöma hur effektiva de är, vissa håller på att veckla instrument för informationshantering på EU-nivå i genomföras och andra befinner sig fortfarande på lagstift enlighet med en EU-strategi för informationshantering och ningsnivå. för att reflektera över en europeisk modell för infor mationsutbyte.

text: 14. Datatillsynsmannen noterar därför med tillfredsställelse att man i meddelandet, som en uppföljning till Stockholms programmet, gör en tydlig koppling till andra av kommis 10. Datatillsynsmannen noterar dessutom att meddelandet sionens åtgärder för att granska och utvärdera området. också ska ses som ett svar på Stockholmsprogrammet, som tidigare nämnts, där man uppmanar till en konsekvent ( 9 ) Yttrande av den 19 oktober 2005 om tre förslag om andra gene och konsoliderad utveckling av informationsutbytet när det rationen av Schengens informationssystem (SIS II). gäller EU:s inre säkerhet. I kapitel 4.2.2 i Stockholmspro ( 10 ) Yttrande av den 7 oktober 2009 om förslagen rörande brotts grammet uppmanas Europeiska kommissionen att bedöma bekämpande myndigheters tillgång till Eurodac. ( 11 ) Yttrande av den 18 februari 2009 om förslaget till förordning om om det behöver utarbetas en europeisk modell för infor inrättande av ”Eurodac” för jämförelse av fingeravtryck för effektiv mationsutbyte som bygger på en utvärdering av nuvarande tillämpning av förordning (EG) nr […/…] (angivande av kriterier instrument, inklusive Prüm-ramen och det så kallade och mekanismer för att fastställa vilken medlemsstat som är ansva svenska rambeslutet. Dessa bedömningar ska bidra till att rig för att granska en ansökan om internationellt skydd som lämnas fastställa om dessa instrument fungerar på det ursprung in i en av medlemsstaterna av en tredjelandsmedborgare eller stats ligen avsedda sättet och uppfyller målen i strategin för lös person) och yttrandet av den 18 februari 2009 om förslaget till förordning om inrättande av kriterier och mekanismer för att fast informationshantering. ställa vilken medlemsstat som är ansvarig för att granska en ansö kan om internationellt skydd som lämnas in i en medlemsstat av en ( 7 ) Yttrande av den 10 juli 2009 om kommissionens meddelande till tredjelandsmedborgare eller en statslös person. Europaparlamentet och rådet om ett område för frihet, säkerhet och ( 12 ) Se fotnot 6. rättvisa i allmänhetens tjänst. ( 13 ) Yttrande av den 20 december 2007 om utkastet till förslaget till ( 8 ) Rådets slutsatser om en strategi för informationshantering för EU:s rådets rambeslut om användning av lufttrafikföretags behandling av inre säkerhet, rättsliga och inrikes frågor (rådet) den 30.11.2009. passageraruppgifter (PNR) i brottsbekämpande syfte. C 355/18 SV Europeiska unionens officiella tidning 29.12.2010

text: 15. I detta sammanhang välkomnar datatillsynsmannen särskilt liga innehåll påpekar han att dokumentet endast ska be en genomgång (information mapping) som kommissionen traktas som ett första steg i utvärderingsprocessen och att inledde i januari 2010 och utförde i nära samarbete med det bör följas av ytterligare konkreta åtgärder som bör leda en projektgrupp för kartläggning av informationsflöden och till en övergripande, integrerad och välstrukturerad politik som bestod av företrädare från EU- och Eftamedlemssta för EU när det gäller utbyte och hantering av information. terna, Europol, Eurojust, Frontex och Europeiska datatill synsmannen ( 14 ). Såsom angavs i meddelandet har kommis sionen under 2010 fortfarande för avsikt att för rådet och Europaparlamentet lägga fram resultaten av genomgången II. ANALYS AV SÄRSKILDA FRÅGOR I MEDDELANDET (information mapping). Kommissionens nästa steg blir sanno likt att lägga fram ett meddelande om den europeiska mo Begränsning av ändamålet dellen för informationsutbyte. 20. I meddelandet hänvisar kommissionen till principerna för begränsning av ändamålet som ”ett mycket viktigt inslag i de flesta av de instrument som omfattas av detta medde lande”. 16. Europeiska datatillsynsmannen anser att en tydlig koppling mellan meddelandet och genomgången (information map ping) är högst välkommen eftersom de båda är så tydligt förbundna med varandra. Det är fortfarande för tidigt att bedöma vilka resultat som kan komma ut av dessa åtgärder 21. Datatillsynsmannen välkomnar att man i meddelandet be och, mer allmänt, av diskussionerna om den europeiska tonar principen att begränsa ändamålet vilket kräver att modellen för informationsutbyte (hittills har kommissionen ändamålen för vilka personuppgifter samlas in måste anges lagt fram genomgången endast som en ”inventerings tydligt senast när de samlas in, och att uppgifter inte bör åtgärd”). Datatillsynsmannen kommer att fortsätta att följa behandlas för ändamål som är oförenliga med dessa inle arbetet. Redan på det här stadiet pekar han dessutom på dande ändamål. Eventuella avsteg från principen om be behovet av att sörja för synergier och undvika divergerande gränsning av ändamålet bör endast ske undantagsvis och slutsatser av alla åtgärder som kommissionen vidtar när det enligt strikta villkor och tillsammans med nödvändiga rätts gäller diskussionerna om den europeiska modellen för in liga, tekniska och andra garantier. formationsutbyte.

text: 22. Datatillsynsmannen beklagar dock att man i meddelandet 17. Europeiska datatillsynsmannen vill dessutom hänvisa till beskriver denna grundläggande princip för uppgiftsskydd den pågående översynen av ramen för skydd av uppgifter, som en viktig fråga endast ”i de flesta av de instrument och särskilt till kommissionens avsikt att lägga fram en som omfattas av meddelandet”. På sidan 22 i meddelandet omfattande ram för skydd av uppgifter som även ska in hänvisas dessutom till SIS, SIS II och VIS och man nämner nefatta polissamarbete och straffrättsligt samarbete. att ”med undantag för dessa centraliserade informations system tycks ändamålsbegränsning spela en mycket viktig roll vid utformningen av EU-åtgärder rörande informations behandling”. 18. Datatillsynsmannen noterar också att kommissionen – un der ”Tillvarata grundläggande rättigheter, särskilt rätten till integritets- och uppgiftsskydd” – hänvisar till

text: artikel 16 i fördraget om Europeiska unionens funktionssätt

text: som inne 23. Lydelsen kan uppfattas som att man antyder att principen håller en rättslig grund för arbetet med ett så omfattande inte har varit en huvudfråga i samtliga fall och för alla system för uppgiftsskydd. Han noterar även att kommis system och instrument som gäller utbyte av information sionen nämner att den inte analyserar de aktuella instru inom EU. I det sammanhanget noterar datatillsynsmannen mentens specifika bestämmelser om uppgiftsskydd eftersom att det är möjligt, och till och med kan vara nödvändigt, att kommissionen nu, på grundval av ovannämnda

text: artikel 16

text: , göra undantag och införa begränsningar beträffande princi arbetar med en ny omfattande ram för skydd av person pen, vilket medges i

text: artikel 13 i direktiv 95/46/EG

text: och uppgifter inom EU. Han hoppas att man i detta samman artikel 3.2 i rambeslut 2008/977/RIF ( 15 ). Det är emellertid hang kommer att åstadkomma en bra översyn av befintliga nödvändigt att se till att eventuella nya instrument för och eventuellt skiftande system för uppgiftsskydd och att informationsutbyte inom EU föreslås och antas endast om kommissionen kommer att utgå från denna översyn när principen om begränsning av ändamålet vederbörligen har ytterligare beslut ska fattas. övervägts, och att eventuella tänkbara undantag och be gränsningar när det gäller principen fastställs från fall till fall och efter noggrann bedömning. Detta gäller även för SIS, SIS II och VIS.

text: 19. Sist men inte minst: även om Europeiska datatillsynsman ( 15 ) ”Vidare behandling för ett annat ändamål är tillåten om: a) denna nen välkomnar meddelandets målsättningar och huvudsak vidare behandling inte är oförenlig med det ändamål för vilket uppgifterna samlades in, b) de behöriga myndigheterna i enlighet ( 14 ) Den funktionella omfattningen av genomgången motsvarar det med tillämpliga rättsliga bestämmelser är bemyndigade att behandla svenska rambeslutet (rådets rambeslut 2006/960/RIF), dvs. utbyte sådana uppgifter för ett sådant annat ändamål, och c) denna be av information för brottsutredningar och kriminalunderrättelsverk handling är nödvändig och står i proportion till det andra ändamå samhet. let”. 29.12.2010 Europeiska SV unionens officiella tidning C 355/19

text: 24. Varje annan tillämpning skulle strida mot artikel 8 i Euro vara ett bra instrument för detta mål. Bedömningen bör peiska unionens stadga om de grundläggande rättigheterna dessutom inte endast omfatta nya förslag utan även befint och mot EU:s lagstiftning om uppgiftsskydd (dvs. direktiv liga system och mekanismer.

text: , förordning

text: (EG) nr 45/2001

text: eller rambeslut 2008/977/RIF) liksom Europadomstolens rättspraxis. Om principen om begränsning av ändamålet inte följs kan det också leda till så kallad ”funktionsglidning” för dessa sy 29. Datatillsynsmannen tar också tillfället i akt att betona att stem ( 16 ). när man tittar på proportionalitet och nödvändighet i EU:s strategi för informationshantering bör man betona behovet av rätt balans mellan uppgiftsskydd å ena sidan och brotts bekämpning å den andra. Balansen innebär inte att upp giftsskydd skulle hindra användningen av information som Nödvändighet och proportionalitet krävs för att klara upp brott. All information som behövs för detta kan användas, i enlighet med reglerna för upp 25. I meddelandet (sidan 25) hänvisas till kraven på ”propor giftsskydd ( 17 ). tionalitetstest” i Europadomstolens rättspraxis och man för klarar att ”i alla framtida strategiska upplägg kommer kom missionen att göra en bedömning av initiativets förväntade inverkan på den enskildes rätt till respekt för privatlivet och Objektiv och omfattande bedömning bör också visa på skydd av personuppgifter, och ange varför en sådan inver brister och problem kan är nödvändig och varför den föreslagna lösningen är proportionerlig i förhållande till det legitima ändamålet att 30. I Stockholmsprogrammet krävs en objektiv och omfattande upprätthålla den inre säkerheten i Europeiska unionen, fö bedömning av alla instrument och system som hanterar rebygga brott eller hantera migration”. informationsutbyte inom Europeiska unionen. Europeiska datatillsynsmannen stöder självfallet detta synsätt.

text: 26. Datatillsynsmannen välkomnar detta uttalande och har också betonat att proportionalitet och nödvändighet måste 31. Meddelandet förefaller emellertid i detta hänseende inte helt respekteras när beslut fattas om befintliga och nya system balanserat. Det verkar som om man, åtminstone när det som innefattar insamling och utbyte av personuppgifter. gäller siffror och statistik, prioriterar instrument som visat Om man ser framåt är detta också grundläggande för den sig framgångsrika under åren och betraktas som ”fram aktuella diskussionen om hur EU:s strategi för infor gångshistorier” (exempelvis ett antal framgångsrika träffar mationshantering och den europeiska modellen för infor inom SIS och Eurodac). Europeiska datatillsynsmannen ifrå mationsutbyte ska se ut. gasätter inte den generella framgången med dessa system. Han nämner dock som ett exempel att verksamhetsberät telsen för den gemensamma tillsynsmyndigheten för SIS ( 18 ) visar att i ett inte obetydligt antal fall har larm i SIS varit inaktuella, felstavade eller felaktiga vilket ledde till (eller 27. Mot denna bakgrund välkomnar datatillsynsmannen att kunde ha lett till) negativa konsekvenser för de berörda kommissionen, till skillnad från den lydelse som används personerna. Den informationen saknas i meddelandet. för att hänvisa till principen om begränsning av ändamålet (se punkt 20–22 i detta yttrande), när det gäller nödvän dighet åtar sig att bedöma alla framtida förslag till EUpolitik som rör inverkan på den enskildes rätt till privatliv 32. Europeiska datatillsynsmannen skulle vilja föreslå kommis och personuppgifter. sionen att på nytt överväga det synsätt som tillämpas i meddelandet. Han föreslår att även misslyckanden och svagheter i systemet ska redovisas i ett framtida arbete med informationshantering – exempelvis antalet personer som felaktigt anhållits eller på något sätt drabbats av olä 28. Datatillsynsmannen påpekar också att alla dessa krav rö genhet på grund av en felaktig träff i systemet – för att rande proportionalitet och nödvändighet härrör ur befintlig åstadkomma en rättvis balans. EU-lagstiftning (särskilt stadgan om grundläggande rättighe ter som nu är en del av EU:s primärrätt) och väletablerad rättspraxis från Europadomstolen. Meddelandet tillför med andra ord inte några nya beståndsdelar. Datatillsynsmannen 33. Datatillsynsmannen föreslår exempelvis att uppgifter om anser att man i meddelandet inte endast bör upprepa dessa träffar i SIS/Sirene (bilaga 1) ska kompletteras med en hän krav utan också föreslå konkreta åtgärder och mekanismer visning till det arbete som den gemensamma tillsynsmyn som skulle innebära att både nödvändighet och proportio digheten utfört om tillförlitlighet och riktighet när det gäller nalitet respekteras och genomförs praktiskt i alla förslag larmen. som påverkar den enskildes rättigheter. Konsekvensanalysen för privatlivet som diskuteras i punkt 38–41 skulle kunna ( 17 ) Se exempelvis datatillsynsmannens yttrande om europeisk PNR som nämns i fotnot 13. ( 16 ) Se särskilt Europeiska datatillsynsmannens yttrande om förslagen ( 18 ) Se den sjunde och åttonde verksamhetsberättelsen från SIS JSA på rörande brottsbekämpande myndigheters tillgång till Eurodac och http://www.schengen-jsa.dataprotection.org/ särskilt kapitlen om ar som hänvisas till i fotnot 10. tiklarna 96 och 99 i Schengenavtalet. C 355/20 SV Europeiska unionens officiella tidning 29.12.2010 Ansvarighet Konsekvensanalys av inverkan på integritets- och upp giftsskydd

text: 34. Bland de ”förfarandeorienterade principer” som nämns på sidorna 26–27 i meddelandet hänvisas till principen om 38. Europeiska datatillsynsmannen är övertygad om att medde ”tydlig ansvarsfördelning”, särskilt när det gäller frågan landet innebär en bra möjlighet att ytterligare diskutera vad om ursprunglig utformning av förvaltningsstrukturer. I som ska avses med en verklig ”konsekvensbedömning av detta sammanhang hänvisas i meddelandet till problemen integritet och uppgiftsskydd” (PIA). med SIS II-projektet och framtida ansvar för IT-byrån.

text: 39. Han noterar att varken de allmänna riktlinjerna i medde 35. Datatillsynsmannen skulle vilja ta tillfället i akt och betona landet eller kommissionens riktlinjer för konsekvensbedöm betydelsen av principen om ”ansvarighet” som också bör ning ( 22 ) specificerar denna aspekt och utvecklar den till ett genomföras inom området polissamarbete och straffrättsligt policykrav. samarbete och spela en viktig roll inom utformningen av EU:s nya och mer utvecklade politik för utbyte av uppgifter och informationshantering. Principen diskuteras för närva rande i anslutning till framtiden för den europeiska ramen för uppgiftsskydd, som ett verktyg för att i ännu större utsträckning få registeransvariga att minska risken för bris 40. Datatillsynsmannen rekommenderar därför att man med tande överensstämmelse genom att införa lämpliga meka tanke på framtida instrument genomför en mer specifik nismer för ett effektivt uppgiftsskydd. Ansvarighet kräver och noggrann konsekvensbedömning om privatliv och att uppgiftsregistrerarna inrättar interna mekanismer och uppgiftsskydd, antingen som en separat bedömning eller kontrollsystem för överensstämmelse och bevis – exempel som en del av den allmänna konsekvensbedömningen av vis revisionsberättelser – för att visa externa aktörer, inbe de grundläggande rättigheterna. Specifika indikatorer och gripet tillsynsmyndigheter, att uppgifterna stämmer ( 19 ). Eu kännetecken bör utvecklas så att alla förslag som får kon ropeiska datatillsynsmannen betonade också behovet av så sekvenser för privatliv och uppgiftsskydd beaktas noggrant. dana åtgärder i sitt yttrande om VIS och SIS II 2005. Han föreslår också att frågan ska ingå i det pågående ar betet med den omfattande ramen för uppgiftsskydd. ”Inbyggda säkerhetsmekanismer”

text: 41. Det skulle dessutom vara till hjälp i sammanhanget att 36. Kommissionen hänvisar till begreppet ”Inbyggda säkerhets hänvisa till artikel 4 i RFID-rekommendationen ( 23 ) där mekanismer” på sidan 25 i meddelandet (under Materiella kommissionen uppmanade medlemsstaterna att se till att principer ”Tillvarata grundläggande rättigheter, särskilt rät branschen, i samarbete med lämpliga aktörer från det civila ten till integritets- och uppgiftsskydd”) och förklarar att ”vid samhället, utarbetar en ram för konsekvensbedömningar av utarbetandet av nya instrument som förutsätter användning privatliv och uppgiftsskydd. Madridresolutionen som antogs av informationsteknik kommer kommissionen att sträva i november 2009 av den internationella konferensen för efter att följa en strategi som bygger på inbyggda säkerhets dataskyddskommissionärer uppmuntrade genomförandet mekanismer (privacy by design)”. av PIA innan nya informationssystem och -tekniker för behandling av personuppgifter eller omfattande ändringar i befintliga behandlingar införs.

text: 37. Europeiska datatillsynsmannen välkomnar hänvisningar till detta begrepp ( 20 ) som för närvarande utvecklas för både den privata och offentliga sektorn, och även bör spela en viktig roll inom området polisiära och rättsliga frågor ( 21 ). Rättigheter för registrerade personer 29.12.2010 Europeiska SV unionens officiella tidning C 355/21

text: 43. Europeiska datatillsynsmannen uppmanar därför kommis i detta sammanhang att driftskompatibilitet mellan syste sionen att mer noggrant titta på frågan om att anpassa men måste genomföras med vederbörlig respekt för prin rättigheter för registrerade personer inom EU i framtiden. ciper för uppgiftsskydd och särskilt principen om begräns ning av ändamål. Användning av biometriska kännetecken

text: 48. Mot denna bakgrund noterar datatillsynsmannen att man i 44. Även om kommissionen hänvisar till användningen av bio meddelandet inte hänvisar specifikt till frågan om drifts metriska kännetecken ( 24 ) tar man inte specifikt upp den kompatibilitet mellan systemen. Han uppmanar därför aktuella företeelsen med ökad användning av biometriska kommissionen att utarbeta en politik om denna grundläg kännetecken inom området för informationsutbyte inom gande aspekt av informationsutbyte inom EU, vilket bör EU, inbegripet i EU:s storskaliga IT-system och andra verk vara en del av utvärderingen. tyg för gränsförvaltning. Meddelandet innehåller inte heller några konkreta indikationer på hur kommissionen avser att i framtiden hantera frågan och huruvida den arbetar med Lagstiftningsförslag från kommissionen en omfattande politik för denna växande tendens. Det är beklagligt med tanke på att frågan är av stor betydelse och 49. Meddelandet innehåller ett kapitel om lagstiftningsförslag mycket känslig ur perspektivet med uppgiftsskydd. som kommissionen ska lägga fram i framtiden. Bland annat hänvisar dokumentet till ett förslag om ett program för registrerade resenärer (RTP) och ett förslag som gäller ett 45. Mot denna bakgrund vill datatillsynsmannen nämna att han system för in/utresa (EES). Europeiska datatillsynsmannen vid flera tillfällen och inom skilda forum och i olika ytt skulle vilja lämna några kommentarer om de båda ovan randen ( 25 ) betonat de eventuella riskerna kopplade till de nämnda förslagen om vilka, såsom påpekas i meddelandet, stora konsekvenserna som användningen av biometriska kommissionen redan har fattat ett beslut. kännetecken kan få för enskilda personers rättigheter. Vid dessa tillfällen föreslog han också att stringenta garantier skulle införas för användning av biometriska kännetecken i Program för registrerade resenärer särskilda instrument och system. Datatillsynsmannen upp märksammade också ett problem i anslutning till felaktig 50. Såsom betonas i punkt 3 i detta yttrande syftar meddelan heter vid insamling och jämförelse av biometriska känne det till att lägga fram ”en full överblick över åtgärder på tecken. EU-nivå (…) när det gäller insamling, lagring eller gräns överskridande utbyte av personuppgifter för ändamål som rör brottsbekämpning eller migrationshantering”. 46. Han tar därför tillfället i akt att be kommissionen utveckla en tydlig och strikt politik för användning av biometriska kännetecken inom området frihet, säkerhet och rättvisa, baserat på en seriös utvärdering och en bedömning från 51. I det sammanhanget undrar datatillsynsmannen vilken den fall till fall av behovet av att använda biometriska känne slutliga målsättningen med programmet för registrerade re tecken, med full respekt för sådana grundläggande principer senärer ska bli och hur detta förslag, som för närvarande för uppgiftsskydd som proportionalitet, nödvändighet och beaktas av kommissionen, kommer att omfattas av syftena begränsning av ändamålet. brottsbekämpning och migrationshantering. I meddelandet slås på sidan 20 fast att ”detta program skulle göra det möjligt för vissa grupper av personer från tredjeländer Systemhantering som reser ofta att (…) resa in i EU med förenklade gräns kontroller och automatiserade grindar”. Syftet med instru 47. Europeiska datatillsynsmannen har tidigare ( 26 ) tagit upp ett menten förefaller alltså att vara att underlätta resande för antal frågor som gäller begreppet driftskompatibilitet. En av dem som reser ofta. Instrumenten skulle därför inte ha konsekvenserna av systemens driftskompatibilitet är att det någon (direkt eller tydlig) koppling till syften som brotts skulle kunna vara en sporre för att föreslå nya målsätt bekämpning och migrationshantering. ningar för storskaliga IT-system som går längre än det ursprungliga syftet och/eller för användning av biometriska kännetecken som huvudsaklig lösning på detta område. Det EU:s system för in- och utresa krävs emellertid specifika garantier och villkor för olika slag av driftskompatibilitet. Datatillsynsmannen betonade också 52. När man i meddelandet hänvisar till EU:s framtida system för in- och utresa (sidan 20) nämns problemet med ”per ( 24 ) Exempelvis i samband med ändamålsbegränsning och möjliga över soner som stannar kvar längre än de har rätt till” och stater lappningar när det gäller funktioner (sidan 22) och effektiv identi där denna kategori människor ”är den största gruppen ille tetsförvaltning (sidan 23). gala migranter i EU”. Det senare argumentet läggs fram som ( 25 ) Se exempelvis: Yttrande om Stockholmsprogrammet (fotnot 7), ytt ett skäl till varför kommissionen beslutade att föreslå att ett rande om tre förslag om andra generationen av Schengens infor system för in- och utresa skulle införas för tredjelandsmed mationssystem (fotnot 9) eller kommentarer från den 10 mars 2006 om kommissionens meddelande av den 24 november 2005 borgare som kommer till EU för kortare vistelser på upp till om större effektivitet, förbättrad interoperabilitet och synergieffekter tre månader. mellan EU:s databaser på området rättsliga och inrikes frågor (fot not 22). ( 26 ) Datatillsynsmannens kommentarer av den 10 mars 2006 till kom 53. Dessutom sägs i meddelandet att ”detta skulle registrera tid missionens meddelande av den 24 november 2005 om större ef fektivitet, förbättrad interoperabilitet och synergieffekter mellan och plats för inresan och den tillåtna vistelsens varaktighet EU:s databaser på området rättsliga och inrikes frågor. samt automatiskt skicka varningar till de behöriga C 355/22 SV Europeiska unionens officiella tidning 29.12.2010 myndigheterna när en person konstaterats ’stanna på över III. SLUTSATS OCH REKOMMENDATIONER tid’. På grundval av kontroller av biometriska uppgifter skulle det stödjas av samma biometriska matchningssystem 59. Europeiska datatillsynsmannen stöder fullt ut meddelandet och operationella utrustning som används i SIS II och VIS”. som innebär en fullständig översikt över EU:s system för informationsutbyte, både de som redan finns och de som planeras i framtiden. Datatillsynsmannen har i ett stort antal yttranden och kommentarer förordat att behovet av alla befintliga instrument för informationsutbyte ska utvär 54. Europeiska datatillsynsmannen anser att det är grundläg deras innan nya föreslås. gande att målgruppen med personer som stannar på över tid måste specificeras med hänvisning till befintlig rättslig definition eller med stöd av tillförlitliga siffror eller statistik. Det är desto viktigare som alla beräkningar rörande antalet 60. Datatillsynsmannen välkomnar också hänvisningen i med ”personer som stannar på övertid” inom EU för närvarande delandet till det pågående arbetet med den övergripande enbart baseras på rena uppskattningar. Det bör också klar ramen för uppgiftsskydd på grundval av artikel 16 i för göras vilka åtgärder som ska vidtas mot ”personer som draget om Europeiska unionens funktionssätt, vilket bör stannar på övertid” när de har identifierats av systemet, beaktas också när det gäller arbetet med översikten av med tanke på att EU saknar en tydlig och övergripande EU:s informationshantering. politik för dessa personer.

text: 61. Europeiska datatillsynsmannen betraktar detta meddelande som ett första steg i utvärderingsprocessen. Det bör följas 55. Lydelsen i meddelandet antyder dessutom att beslutet att av en verklig bedömning som bör resultera i en övergri införa systemet redan har fattats av kommissionen trots att pande, integrerad och välstrukturerad EU-politik för infor man i meddelandet samtidigt nämner att kommissionen för mationsutbyte och hantering. Datatillsynsmannen gläds i närvarande är i färd med att genomföra en konsekvensana detta sammanhang åt att se kopplingen till andra åtgärder lys. Europeiska datatillsynsmannen betonar att ett beslut att som kommissionen inlett som en reaktion på Stockholms införa ett så komplext system som angriper privatlivet en programmet, särskilt genomgången (information mapping) dast bör fattas på grundval av en specifik konsekvensanalys som genomförs i nära samarbete med en projektgrupp som ger konkreta bevis och information om varför ett för kartläggning av informationsflöden. sådant system är nödvändigt och varför alternativa lös ningar baserade på befintliga system inte kan bli aktuella.

text: 62. Datatillsynsmannen föreslår att även brister och svagheter i systemen för informationshantering ska redovisas och be 56. Avslutningsvis förefaller kommissionen koppla detta fram aktas i det framtida arbetet, exempelvis hur många personer tida system till systemet för biometrisk matchning och som felaktigt arresterats eller drabbats av någon form av operativa utrustning inom SIS II och VIS. Det sker emeller olägenheter till följd av en felaktig träff i systemet. tid utan att man nämner att varken SIS II eller VIS har genomförts än och att de exakta datumen för när de ska bli operativa är okända på det här stadiet. Systemet för inoch utresa skulle med andra ord i stor utsträckning bero på 63. Principen om begränsning av ändamålet bör ses som ett biometriska och operativa system som ännu inte är i drift, mycket viktigt inslag i alla instrument som hanterar infor och deras resultat och funktioner kan inte rimligen ha mationsutbyte inom EU, och nya instrument kan endast bedömts på ett adekvat sätt. föreslås om principen om begränsning av ändamålet har beaktats i vederbörlig ordning och respekterats under utar betandet. Det gäller också när de genomförs. Initiativ som kommissionen ska granska

text: 64. Datatillsynsmannen uppmuntrar också kommissionen att 57. I samband med de initiativ som kommissionen ska granska genom att utveckla konkreta åtgärder och mekanismer se – och alltså inte har fattat något slutligt beslut om – hän till att principerna om nödvändighet och proportionalitet visar kommissionen, baserat på önskemålen i Stockholms respekteras och genomförs praktiskt i alla nya förslag som programmet till tre initiativ: ett EU-program för att spåra påverkar enskilda personers rättigheter. Redan befintliga finansiering av terrorism (som motsvarar det amerikanska system behöver också utvärderas när det gäller den här programmet), ett elektroniskt system för resetillstånd frågan. (ESTA) och ett europeiskt polisregistersystem (Epris).

text: 65. Datatillsynsmannen är också övertygad om att meddelandet 58. Europeiska datatillsynsmannen kommer att noga följa ut innebär ett utmärkt tillfälle att inleda en diskussion om och vecklingen i anslutning till dessa initiativ och kommer att bättre specificera vad som verkligen menas med en ”verklig lämna kommentarer och förslag när så är lämpligt. konsekvensanalys av integritet och uppgiftsskydd”. 29.12.2010 Europeiska SV unionens officiella tidning C 355/23

text: 66. Han uppmanar också kommissionen att utarbeta en mer 68. Sist men inte minst vill datatillsynsmannen framhålla sina enhetlig och konsekvent politik om kraven för användning kommentarer och sin oro över avsnittet ”Lagförslag som av biometriska kännetecken, en politik om systemhantering ska läggas fram av kommissionen” som gäller systemet samt större likriktning på EU-nivå när det gäller rättigheter för in- och utresa och programmet för registrerade resenä för registrerade personer. rer.

text: 67. Europeiska datatillsynsmannen välkomnar också hänvis Utfärdat i Bryssel den 30 september 2010. ningen till begreppet ”säkerhetsmekanismer” som för när varande utvecklas för både den privata och offentliga sek Peter HUSTINX torn i allmänhet, och därför måste spela en viktig roll inom polisiära och rättsliga frågor. Europeiska datatillsynsmannen