text: ANALYS AV FÖRSLAGET

identifier: EDPS yttrande (2006)

amnesord:
Large-Scale IT Systems
Borders, Asylum, Migration
Technologies

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Access to VIS by authorities responsible for internal security

serie: yttranden

text: C 97/6 SV Europeiska unionens officiella tidning 25.4.2006

type: stycke

text: EUROPEISKA DATATILLSYNSMANNEN

type: rubrik

text: Yttrande från Europeiska datatillsynsmannen om förslaget till rådets beslut om möjlighet till sökningar i informationssystemet för viseringar (VIS) för medlemsstatsmyndigheter med ansvar för inre säkerhet och för Europol för att förebygga, upptäcka och utreda terroristbrott och andra grova brott (KOM(2005) 600 slutlig)

text: (2006/C 97/03)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA som en begäran om samråd med gemenskapsinstitutioner och YTTRANDE gemenskapsorgan i enlighet med

text: artikel 28.2 i förordning (EG) nr 45/2001

text: . Enligt datatillsynsmannen bör detta yttrande nämnas i ingressen till beslutet. med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt

text: artikel 286

text: Datatillsynsmannen anser att det är viktigt att lämna ett yttrande om detta känsliga ämne eftersom detta förslag är en med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt

text: artikel 8

text: , direkt följd av inrättandet av VIS, som datatillsynsmannen kommer att övervaka och som han yttrade sig om den 23 mars 2005 ( ). Redan i det yttrandet diskuterades hypotesen att med beaktande av Europaparlamentets och rådets direktiv brottsbekämpande myndigheter skulle få tillgång till systemet

text: av den 24 oktober 1995 om skydd för enskilda (se nedan). Skapandet av nya åtkomsträttigheter till VIS personer med avseende på behandling av personuppgifter och kommer att få avgörande konsekvenser för systemet när det om det fria flödet av sådana uppgifter, gäller dataskydd. Yttrandet om detta förslag är därför en nödvändig uppföljning av det första yttrandet.

text: med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för 1.2 Förslagets betydelse sådana uppgifter, särskilt

text: artikel 41

text: med beaktande av begäran om ett yttrande i enlighet med a) Bakgrund

text: artikel 28.2 i Europaparlamentets och rådets förordning (EG) nr 45/2001

text: som mottogs den 29 november 2005 från kommissionen. Förslaget är viktigt inte bara som ett självständigt förslag utan också för att det ligger inom den allmänna trenden att bevilja tillgång för brottsbekämpande myndigheter till flera storskaliga informations- och identifieringssystem. Detta nämns bl.a. i kommissionens meddelande av den 24 november 2005 om större effektivitet, förbättrad interoperabilitet och synergieffekter mellan EU:s databaser på området rättsliga och inrikes HÄRIGENOM FRAMFÖRS FÖLJANDE. 2 frågor ( ), särskilt i punkt 4.6: ”Med tanke på målsättningen att bekämpa terrorism och brottslighet ser rådet nu det som en brist att uppgifterna i VIS inte kan användas av de myndigheter som ansvarar för den inre säkerheten. Detta gäller även uppgifter om invandring i

text: 1. INLEDNING SIS II och uppgifter i Eurodac.”

text: 1.1 Inledande anmärkning Förslaget kan därför ses som en föregångare till liknande rättsliga instrument som utvecklas när det gäller andra databaser, och det är ytterst viktigt att från början fastställa i vilka fall Förslaget till rådets beslut om möjlighet till sökningar i inforsådan tillgång skulle kunna tillåtas. mationssystemet för viseringar (VIS) för medlemsstatsmyndigheter med ansvar för inre säkerhet och för Europol för att 1 ( ) Europeiska datatillsynsmannens yttrande om Europaparlamentets förhindra, upptäcka och utreda terroristbrott och andra grova och rådets förordning om informations-systemet för viseringar (VIS) brott (nedan kallat ”förslaget”) sändes av kommissionen och utbytet mellan medlemsstaterna av uppgifter om viseringar för till Europeiska datatillsynsmannen i ett brev av kortare vistelse (KOM(2004) 835 slutlig). den 24 november 2005. Datatillsynsmannen tolkar detta brev ( ) KOM(2005) 597 slutlig.

text: 25.4.2006 SV Europeiska unionens officiella tidning C 97/7

text: b) Konsekvenser av nya åtkomsträttigheter till VIS skyddsåtgärder kan beviljas ad hoc i enlighet med artikel 13 i direktiv

text: kan en systematisk tillgång inte medges.”

text: Sammanfattningsvis är de väsentliga kraven följande: Datatillsynsmannen är givetvis medveten om att de brottsbekämpande myndigheterna behöver tillgång till bästa möjliga — Systematisk tillgång bör inte beviljas. Beslutet måste garanverktyg för att identifiera personer som begår terroristhandtera att man alltid i varje enskilt fall bedömer om det är lingar eller andra grova brott. Datatillsynsmannen är också nödvändigt och rimligt att ge myndigheter inom tredje medveten om att VIS-uppgifter under vissa omständigheter kan pelaren tillgång till systemet. I detta hänseende är det ytterst utgöra en viktig informationskälla för dessa myndigheter. viktigt att rättsakten formuleras mycket noga så att det inte finns något utrymme för en bred tolkning som i sin tur leder till rutinmässig tillgång. Hur motiverat det än må vara med tanke på kampen mot terrorismen är det emellertid inte ett obetydligt steg att ge brottsbe- — I de fall då tillgång beviljas måste lämpliga skyddsåtgärder kämpande myndigheter tillgång till databaser inom första och villkor tillämpas, inklusive ett omfattande dataskyddspelaren. Man måste beakta att VIS är ett informationssystem system för nationell användning av uppgifterna, med tanke som har utvecklats för tillämpningen av den europeiska viser- på att sådan tillgång är av känslig natur. ingspolitiken och inte som ett instrument för brottsbekämpning. Rutinmässig tillgång skulle helt klart utgöra ett allvarligt brott mot principen om begränsning av ändamålet. Det skulle 1.3 Inledande synpunkter innebära en oproportionerlig kränkning av den personliga integriteten för resande som samtycker till att deras uppgifter behandlas för att de skall få en visering, och som förväntar sig Datatillsynsmannen är medveten om att dataskydd har ägnats att deras uppgifter samlas in, granskas och översänds endast för stor uppmärksamhet i detta förslag till rättsakt, huvudsakligen det ändamålet. genom att tillgången begränsas till specifika ärenden och endast medges i syfte att bekämpa grov brottslighet ( ).

text: Bland de andra positiva inslagen vill datatillsynsmannen också Eftersom informationssystem är konstruerade för ett visst särskilt nämna ändamål, med skyddsåtgärder, säkerhet och villkor för tillgång som är fastställda med tanke på detta ändamål, skulle bevil- — begränsningen till vissa former av brott som anges i Eurojandet av systematisk tillgång för ett annat ändamål än det polkonventionen, ursprungliga inte endast utgöra ett brott mot principen om begränsning av ändamålet, utan det skulle också kunna inne- — skyldigheten för medlemsstaterna att sammanställa en bära att dessa försiktighetsåtgärder blir olämpliga eller otillräck- förteckning över myndigheter som har tillgång till systemet liga. och att offentliggöra dessa förteckningar,

text: — inrättandet av en central åtkomstpunkt i varje medlemsstat (och en specialenhet inom Europol) för att möjliggöra Enligt samma resonemang skulle en sådan betydande förändnoggrannare prövning av framställningar om tillgång samt ring av systemet kunna leda till att resultaten av konsekvensbebättre övervakning, dömningen (som endast gällde användningen av systemet för det ursprungliga ändamålet) blir ogiltiga. Detsamma gäller — strikta regler för vidareöverföring av uppgifter enligt yttrandena från dataskyddsmyndigheterna. Man skulle kunna artikel 8.5 i förslaget, hävda att det nya förslaget ändrar förutsättningarna för den undersökning av förenligheten som dessa utfört. — skyldigheten för medlemsstaterna och Europol att föra register över de personer som ansvarar för sökningarna bland uppgifterna.

text: c) Strikt begränsning av tillgången

text: 2.1 Inledande anmärkning Mot denna bakgrund vill datatillsynsmannen betona att tillgång till VIS för brottsbekämpande myndigheter endast kan beviljas under särskilda omständigheter, från fall till fall, och att strikta I syfte att medge tillgång för myndigheter på grundval av tredje skyddsåtgärder måste vidtas. Med andra ord måste sökningar pelaren bör huvudförslaget om VIS avseende första pelaren som görs av brottsbekämpande organ begränsas till specifika innehålla en övergångsklausul som i huvudsak fastställer det ärenden med lämpliga tekniska och rättsliga medel. möjliga innehållet i en rättsakt inom tredje pelaren såsom detta förslag. När datatillsynsmannen lämnade sitt yttrande om VIS hade denna övergångsklausul ännu inte införts, och datatillsyn- Datatillsynsmannen har redan framhållit detta i sitt yttrande om VIS: smannen kunde inte lämna synpunkter på den. Alla nedanstå-

text: ”Datatillsynsmannen är medveten om att de brottsbekämpande

text: ende synpunkter lämnas därför med förbehåll för innehållet i myndigheterna är intresserade av att beviljas tillgång till VIS; rådet övergångsklausulen. antog slutsatser i denna riktning den 7 mars 2005. Eftersom syftet med VIS är förbättring av den gemensamma viseringspolitiken bör 1 ( ) Detta överensstämmer också med rådets slutsatser från mars och det noteras att rutinmässig tillgång för brottsbekämpande myndigjuli 2005, där det begärdes att myndigheter med ansvar för inre heter inte skulle vara förenligt med detta syfte. Samtidigt som sådan säkerhet skulle beviljas tillgång till VIS ”under strikt iakttagande av tillgång under vissa omständigheter och med förbehåll för lämpliga bestämmelserna om skydd av personuppgifter”.

text: C 97/8 SV Europeiska unionens officiella tidning 25.4.2006

text: 2.2 Ändamålet med tillgången endast om en sökning på grundval av den första uppsättningen uppgifter har gett en träff. Detta är i sig en klok strategi. Den första uppsättningen uppgifter förefaller emellertid vara mycket generell. Man kan särskilt ifrågasätta relevansen av följande För att säkerställa en lämplig begränsning av tillgången är det uppgifter som anges i 5.2 e och i för den första uppsättningen viktigt att noga fastställa villkoren för tillgång till VIS. Datatilluppgifter: synsmannen välkomnar att det, inte enbart i själva förslaget till beslut utan även i motiveringen och skälen (särskilt skäl 7), tydligt klargörs att avsikten är att medge tillgång endast från fall till fall. — ”Syftet med resan” förefaller vara en alltför allmän nyckel för att möjliggöra effektiva sökningar i systemet. Dessutom medför den en risk att resande profileras på grundval av En synpunkt kan lämnas på artikel 5 i förslaget för att styra denna uppgift. tolkningen av denna.

text: Artikel 5

text: begränsar omfattningen av tillgången genom följande — När det gäller ”fotografier” är möjligheten till sökningar på villkor: grundval av fotografier begränsad i en så stor databas. Med nuvarande teknik ger sådana sökningar ett oacceptabelt antal falska matchningar. Konsekvenserna av en felaktig b) Sökningarna måste vara nödvändiga för att förebygga, identifiering är mycket allvarliga för personen i fråga. upptäcka eller utreda terroristbrott eller andra grova brott.

text: c) Sökningarna måste vara nödvändiga i ett specifikt ärende. Datatillsynsmannen begär därför att uppgifterna i

text: artikel 5.2 e

text: (…) och i betraktas som kompletterande information som blir tillgänglig om den första sökningen visar att det redan finns d) Det måste, på grundval av faktiska indikationer, finnas uppgifter i systemet, och att de flyttas till

text: artikel 5.3

text: . rimliga skäl att anse att en sökning av VIS-uppgifter kommer att bidra till att brotten i fråga förebyggs, upptäcks eller utreds. Ett annat alternativ är att tillåta sökningar i databasen på Dessa villkor är kumulativa, eftersom villkoret under b snarare grundval av fotografier endast på villkor att den rådgivande är en avgränsning av det materiella tillämpningsområdet. I kommittén gör en bedömning av tekniken, och först när denna praktiken innebär det att en myndighet som önskar få tillgång teknik utvecklats och kan anses tillräckligt tillförlitlig. till VIS måste ha att göra med ett grovt brott enligt b i förslaget, och det måste finnas ett specifikt ärende enligt c. Dessutom måste myndigheten kunna visa att sökningar av VIS-uppgifter i detta specifika ärende kommer att bidra till att brottet i fråga förebyggs, upptäcks eller utreds i enlighet med d.

text: 2.4 Tillämpning på medlemsstater som inte omfattas av Även med denna tolkning av

text: artikel 5

text: är datatillsynsmannen

text: VIS-förordningen

text: oroad över den flexibla lydelsen i punkt d: ”bidra till” är ett ganska brett uttryck. Det finns många fall då VIS-uppgifter skulle ”bidra till” att ett grovt brott förebyggs eller utreds. För att det skall vara motiverat att ge tillgång till VIS-uppgifter genom undantag från principen om begränsning av ändamålet Myndigheter med ansvar för inre säkerhet i medlemsstater som anser datatillsynsmannen att sådana sökningar ”i väsentlig grad inte deltar i VIS kan ges tillgång till VIS för sökningar. Dessa bör bidra till” att brottet i fråga förebyggs, upptäcks eller utreds, myndigheter måste utföra sökningarna via en deltagande och föreslår att

text: artikel 5

text: skall ändras i enlighet med detta. medlemsstat, med iakttagande av de regler som fastställs i artikel 5.1

text: b

text: d

text: (dvs. endast från fall till fall), och måste lämna in en välmotiverad skriftlig begäran. I

text: artikel 10

text: föreskrivs att det exakta ändamålet med sökningen skall anges i register. Det ”exakta ändamålet” bör innefatta de faktorer som gjorde det nödvändigt att göra sökningar i VIS i enlighet med

text: artikel 5 d

text: . Detta skulle bidra till att garantera att Datatillsynsmannen vill betona att det är nödvändigt att införa en nödvändighetsprövning tillämpas för alla sökningar i VIS, ett antal villkor för ytterligare behandling utöver sökningarna. och minska risken för rutinmässig tillgång. Den regel som gäller för medlemsstater som deltar i VIS är att uppgifter som har hämtats från VIS måste behandlas i enlighet med rambeslutet om skydd av personuppgifter inom tredje pelaren (se nedan). Samma villkor bör gälla för medlemsstater som inte omfattas av VIS-förordningen, men som söker uppgifter i systemet. Samma princip bör tillämpas när det gäller 2.3 Söknycklar för VIS-databasen registerföring för framtida övervakning. Datatillsynsmannen rekommenderar därför att man lägger till en punkt i artikel 6 i förslaget där det anges att artiklarna 8 och 10 i beslutet även I artikel

text: och

text: föreskrivs ett system för tillgång till VIS- skall gälla för medlemsstater som inte omfattas av VIS-förorduppgifter i två steg, där en uppsättning uppgifter blir tillgänglig ningen.

text: 25.4.2006 SV Europeiska unionens officiella tidning C 97/9

text: 2.5 Dataskyddssystem emellertid, nämligen behovet av en samordnad strategi för övervakning, vilket redan har påpekats i datatillsynsmannens yttrande om VIS: ”När det gäller tillsynen av VIS är det även viktigt a) Tillämpning av rambeslutet om skydd för personuppgifter inom att framhålla att de nationella tillsynsmyndigheternas och datatillsyn-

text: tredje pelaren

text: smannens tillsyn bör samordnas i viss mån. Det är nödvändigt med ett harmoniserat genomförande av förordningen och att man verkar för ett gemensamt tillvägagångssätt när det gäller gemensamma Eftersom tillgången till systemet för myndigheter med ansvar problem. för inre säkerhet utgör ett undantag från ändamålet med VIS bör denna tillgång omfattas av ett konsekvent dataskyddssystem som garanterar en hög skyddsnivå för uppgifter som hämtas från VIS och behandlas av nationella myndigheter eller

text: Artikel 35

text: [i VIS-förslaget] bör innehålla en bestämmelse om detta Europol. där det fastställs att datatillsynsmannen skall sammankalla ett möte med alla nationella tillsynsmyndigheter, minst en gång varje år.” I artikel 8 i förslaget fastställs att rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (nedan kallat rambeslutet) skall Detta gäller även denna särskilda användning av VIS-systemet (i gälla för behandling av uppgifter enligt förslaget till beslut. När detta fall även med deltagande av Europols gemensamma tilldet gäller dataskydd bör detta förslag alltså betraktas som en lex synsmyndighet). Tillsynen bör helt överensstämma med överspecialis, som kompletterar eller preciserar en lex generalis vakningen av ”VIS inom första pelaren”, eftersom det är samma (dvs. rambeslutet). Reglerna om vidareöverföring av uppgifter system. Vidare är samordningsmöten med alla parter som deltar är exempelvis striktare i detta förslag och bör följas. Detsamma i övervakningen, med datatillsynsmannen som sammankalgäller skälen för att ge tillgång till uppgifterna. lande, också den modell som har valts för övervakningen av andra storskaliga informationssystem, exempelvis Eurodac.

text: b) Tillämpningsområde Datatillsynsmannen är medveten om att en viss samordning planeras i förslaget, där man nämner de uppgifter som skall Datatillsynsmannen välkomnar att dataskyddssystemet i rambe- utföras av den framtida arbetsgruppen för skydd av enskilda slutet gäller för all behandling av personuppgifter i enlighet med avseende på behandling av personuppgifter, vilken inrättas med förslaget till beslut. Det betyder att dataskyddsnivån skall genom artikel 31 i förslaget till rambeslut. Det bör emellertid vara likvärdig oavsett vilka myndigheter som gör sökningar i upprepas att själva övervakningen inte ingår i detta rådgivande VIS-uppgifterna. organs uppdrag.

text: Eftersom man i

text: artikel 2

text: använder ett funktionellt kriterium för att definiera dessa myndigheter (”myndigheter i medlemssta- Datatillsynsmannen föreslår att man lägger till en bestämmelse terna som är ansvariga för att förebygga, upptäcka eller utreda där det fastställs att det samordningsmöte som datatillsynterroristbrott eller andra grova brott”) kan denna definition smannen sammankallar inom ramen för övervakningen av ”VIS innefatta både underrättelsetjänster och brottsbekämpande inom första pelaren” också skall vara behörigt när det gäller myndigheter. Följaktligen gäller i princip samma skyldigheter i uppgifter som behandlas enligt detta förslag, och att Europols fråga om dataskydd för underrättelsetjänster som gör sökningar gemensamma tillsynsmyndighet därför bör vara företrädd. i VIS, vilket naturligtvis är ett positivt inslag.

text: Eftersom det kan finnas vissa tvivel när det gäller denna tolkning av rambeslutets tillämplighet på underrättelsetjänster när de gör sökningar i VIS, föreslår emellertid datatillsynsmannen 2.6 Egenkontroll en alternativ lydelse, exempelvis:

text: ”Om rambeslutet (…) inte är tillämpligt skall medlemsstaterna I artikel 12 i förslaget föreskrivs övervakningssystem för VIS. föreskriva en dataskyddsnivå som åtminstone motsvarar den Datatillsynsmannen anser att denna övervakning inte enbart nivå som garanteras enligt rambeslutet.” bör gälla produktivitet, kostnadseffektivitet och tjänsternas kvalitet, utan även efterlevnaden av rättsliga krav, särskilt när det gäller dataskydd.

text: Artikel 12

text: bör ändras i enlighet med c) Tillsyn detta.

text: När det gäller lydelsen i

text: artikel 8

text: bör det klargöras att punkt 1 För att utföra denna egenkontroll av behandlingens laglighet gäller behandling av uppgifter inom medlemsstaternas territobör kommissionen få möjlighet att använda de register som rium. Tillämpningsområdet för punkterna 2 och 3 (databehandling inom Europol och kommissionen) klargörs i dessa förs i enlighet med artikel 10 i förslaget. I

text: artikel 10

text: bör det därför föreskrivas att dessa register skall föras inte endast för punkter, och det bör uttryckligen anges att punkt 1 gäller en tillsyn av dataskyddet och för att garantera datasäkerhet utan annan hypotes. även för regelbunden egenkontroll av VIS. Rapporterna över egenkontrollen kommer att underlätta datatillsynsmannens och Det är en god idé att fördela tillsynsbefogenheterna i enlighet de andra tillsynsmyndigheternas arbete eftersom de får bättre med de olika aktörernas verksamhetsområden. Ett inslag saknas möjlighet att välja prioriterade områden för tillsynen.

text: C 97/10 SV Europeiska unionens officiella tidning 25.4.2006

text: 3. SLUTSATS — En likvärdig dataskyddsnivå bör gälla för behandling utöver sökningar oavsett vilka myndigheter som söker uppgifter i Mot denna bakgrund betonar datatillsynsmannen att det är VIS. Artiklarna

text: och

text: bör även gälla medlemsstater som ytterst viktigt att myndigheter med ansvar för inre säkerhet inte omfattas av VIS-förordningen. samt Europol endast beviljas tillgång till systemet från fall till fall och med tillämpning av strikta skyddsåtgärder. Detta mål — En samordnad strategi för övervakning bör garanteras, även uppnås på det hela taget med förslaget, även om vissa förbättr- när det gäller tillgång till VIS i enlighet med detta förslag. ingar kan införas, enligt följande förslag i detta yttrande: — Bestämmelser om övervakning bör också säkerställa egen- — Ett villkor för tillgång till VIS enligt

text: artikel 5

text: bör vara att kontroll av efterlevnaden av dataskyddskraven. sökningarna i ”väsentlig grad” bidrar till att ett grovt brott förebyggs, upptäcks eller utreds, och de register som föreskrivs i

text: artikel 10

text: bör möjliggöra en bedömning av detta villkor i varje enskilt fall. Bryssel den 20 januari 2006 — Två söknycklar för tillgång till VIS som nämns i

text: artikel 5.2

text: , nämligen ”syftet med resan” och ”fotografier” bör övervägas Peter HUSTINX på nytt och göras tillgängliga som kompletterande information om en sökning ger en träff. Europeisk datatillsynsman


text: ANTAGIT FÖLJANDE YTTRANDE 6. Datatillsynsmannen kommer att finnas till hands för ytterligare rådfrågning på ett senare stadium efter den normala gången genom lagstiftningsprocessen när det gäller detta I. INLEDANDE ANMÄRKNINGAR förslag men även andra besläktade förslag.

text: ( ) Yttrande av den 26 september 2005 om förslaget till Europaparlamentets och rådets direktiv om bevarande av uppgifter som behandlats i samband med tillhandahållande av allmänna elektroniska 32. Utgångspunkten för förslaget är att det inte skall leda till kommunikationstjänster och om ändring av direktiv

text: uppbyggnad av nya databaser med personuppgifter. På den (KOM(2005) 438 slutlig)

text: ( ) Svar på frågeformuläret om rambeslutet om förenklat uppgifts- och underrättelseutbyte mellan de brotts-bekämpande myndigheterna i 38. Det krävs dock en ordentlig analys, eftersom inrättandet av Europeiska unionens medlemsstater, särskilt i fråga om grova brott, ett system med registerdata – på områden där det hittills inbegripet terroristdåd (rådets dok. nr 5815/1/05).

text: VII. PRINCIPERNA FÖR UPPGIFTSSKYDD

amnesord:
Interoperability
Borders, Asylum, Migration
Judicial Cooperation
Police Cooperation

title: Exchange of information under the principle of availability

text: C 116/8 SV Europeiska unionens officiella tidning 17.5.2006

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om förslaget till rådets rambeslut om utbyte av uppgifter enligt principen om tillgänglighet (KOM(2005) 490 slutlig)

text: (2006/C 116/04)

text: EUROPEISKA DATATILLSYNSMANNEN HAR mening, utbyte av sådan information – över gränserna ligger högt på medlemsstaternas dagordning, både inom och utanför rådet, liksom inom Europaparlamentet. med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

text: 4. Lika uppenbart är att detta ämne är i hög grad relevant sett med beaktande av Europeiska unionens stadga om de grundlägmed utgångspunkt i skyddet av personuppgifter, vilket gande rättigheterna, särskilt artikel 8, yttrandet i sig kommer att visa. Datatillsynsmannen påminner om att det föreliggande förslaget lades fram av kommissionen, med tät koppling till förslaget till rådets med beaktande av Europaparlamentets och rådets direktiv rambeslut om skydd av personuppgifter som behandlas

text: av den 24 oktober 1995 om skydd för enskilda inom ramen för polissamarbete och straffrättsligt samarpersoner med avseende på behandling av personuppgifter och bete, vilket datatillsynsmannen lade fram ett yttrande till om det fria flödet av sådana uppgifter, den 19 december 2005. med beaktande av begäran om ett yttrande i enlighet med artikel 28.2 i Europaparlamentets och rådets förordning (EG) 5. Datatillsynsmannen kommer att utnyttja tillfället för att i nr 45/2001 av den 18 december 2000 om skydd för enskilda detta yttrande lägga fram några allmänna och mer grunddå gemenskapsinstitutionerna och gemenskapsorganen läggande synpunkter när det gäller frågan om utbyte av behandlar personuppgifter och om den fria rörligheten för information om brottsbekämpning och om strategier för sådana uppgifter. att reglera denna fråga. Genom att lägga fram detta yttrande avser datatillsynsmannen att se till att dataskyddsperspektivet vederbörligen beaktas i diskussioner om ämnet i framtiden.

text: 1. Förslaget till rambeslut om utbyte av uppgifter enligt principen om tillgänglighet sändes av kommissionen till datatillsynsmannen i ett brev daterat den 12 oktober 2005. Datatillsynsmannen ser detta brev som en begäran om II. FÖRSLAGET I SITT SAMMANHANG samråd från gemenskapens institutioner och organ i enlighet med artikel 28.2 i förordning nr

text: . Enligt datatillsynsmannen bör detta yttrande nämnas i ingressen till rambeslutet. 7. Principen om tillgänglighet infördes som en viktig ny rättsprincip i Haagprogrammet. Det medför att information som behövs för brottsbekämpning bör förmedlas över EU:s

text: 2. Yttrandets karaktär skall ses mot bakgrund av det samman- internationella gränser utan hinder. Syftet med detta förslag hang som beskrivs under II. Så som anges under II är det är att införa denna princip genom ett bindande rättsinstrulångt ifrån självklart att föreliggande förslag – eller försla- ment. gets strategi när det gäller tillgänglighet – så småningom kommer att leda fram till antagandet av ett rättsinstrument. Många medlemsstater förespråkar andra lösningar. 8. Utbyte av polisiär information mellan olika länder är ett populärt ämne bland lagstiftare, såväl inom som utanför

text: 3. Det är emellertid uppenbart att frågan om tillgänglighet ramen för EU. Följande initiativ har nyligen uppmärksamavseende brottsbekämpningsinformation – eller, i vidare mats av datatillsynsmannen. 17.5.2006 SV Europeiska unionens officiella tidning C 116/9

text: 9. För det första lade Sverige den 4 juni 2004 fram ett förslag 15. Datatillsynsmannen intar samma ståndpunkt när det gäller till rambeslut om förenklat uppgifts- och underrättelseut- antagandet av andra rättsinstrument som underlättar flödet byte mellan de brottsbekämpande myndigheterna i Europe- av uppgifter om brottsbekämpning över EU:s inre gränser. iska unionens medlemsstater. För detta förslag nådde rådet Datatillsynsmannen ser därför med tillfredsställelse att såväl en överenskommelse om en allmän riktlinje vid sitt möte rådet som Europaparlamentet har gett prioritet åt förslaget den 1 december 2005. till ett rambeslut om skydd av personuppgifter.

text: 10. För det andra undertecknade sju medlemsstater den 27 maj 2005 en konvention i Prüm i Tyskland om stärkt gränsöverskridande samarbete särskilt för att bekämpa terrorism, III. TILLGÄNGLIGHETSPRINCIPEN SOM SÅDAN gränsöverskridande brottslighet och olaglig invandring. Bland annat införs där åtgärder för förbättrat informationsutbyte om DNA och fingeravtryck. Alla medlemsstater i Europeiska unionen kan ansluta sig till konventionen. De 16. Tillgänglighetsprincipen är i sig en enkel princip. De fördragsslutande parterna avser att införliva bestämmel- uppgifter som finns tillgängliga för vissa myndigheter i en serna i konventionen i Europeiska unionens rättsliga medlemsstat skall också tillhandahållas motsvarande ramar. myndigheter i andra medlemsstater. Uppgifterna skall utväxlas så snabbt och enkelt som möjligt mellan medlemsstaternas myndigheter och företrädesvis genom att direktåtkomst tillåts.

text: 11. För det tredje kommer tillgängligheten till information om brottsbekämpning över Europeiska unionens internationella gränser också att ytterligare underlättas genom andra 17. Svårigheterna uppkommer beroende av den miljö där tillrättsinstrument, exempelvis förslagen om en andra generagänglighetsprincipen skall omsättas i effektiv praktik: tion av Schengens informationssystem (SIS II), förslaget om möjlighet till sökningar i informationssystemet för viseringar (VIS) och förslaget till rambeslut om organisa- — En heterogen organisation av polis- och domstolsvätionen av medlemsstaternas utbyte av uppgifter ur krimisendet i medlemsstaterna, med varierande kontrollmenalregistret och uppgifternas innehåll. Här är det också kanismer. viktigt att nämna meddelandet om större effektivitet, förbättrad interoperabilitet och för synergieffekter mellan EU:s databaser på området rättsliga och inrikesfrågor — Olika typer av (känslig) information ingår (såsom DNA utfärdat av kommissionen den 25 november 2005. eller fingeravtryck). — Olika sätt för att få tillgång till relevant information för de behöriga myndigheterna också inom medlemsstater. 12. Eftersom alla dessa initiativ har utfärdats bör inte förslaget till rambeslut om tillgänglighet behandlas isolerat, utan andra lösningar när det gäller utbyte av uppgifter om — Det är svårt att garantera att uppgifter med ursprung i brottsbekämpning bör också beaktas. Detta är desto viktien annan medlemsstat kommer att tolkas rätt beroende gare med tanke på den rådande tendensen inom rådet att på skillnader i språk, tekniska system (driftskompatibige företräde åt andra lösningar för utbyte av uppgifter och litet) och i fråga om rättssystem. åt begreppet tillgänglighet än den allmänna riktlinje som kommissionen föreslår i föreliggande förslag. Förslagets nuvarande text kanske inte ens kommer att tas upp till — Den måste införlivas i det befintliga och omfattande diskussion i rådet. lappverk av rättsregler som behandlar utbytet av uppgifter om brottsbekämpning mellan länderna.

text: 13. Vidare är detta förslag nära knutet till förslaget till ett 18. Oberoende av denna komplexa miljö är det allmänt känt rambeslut om skydd av personuppgifter. Föreliggande att principen inte kan fungera i isolering. Det krävs ytterliyttrande måste ses mot bakgrund av det mer ingående gare åtgärder för att garantera att det faktiskt går att hitta yttrandet om det sistnämnda rambeslutet. och få åtkomst till uppgifter. Under alla förhållanden måste dessa åtgärder underlätta för brottsbekämpande myndigheter att ta reda på huruvida brottsbekämpande myndigheter i andra medlemsstater har relevant information till sitt förfogande och var denna relevanta information finns. 14. I sitt yttrande över förslaget till rambeslut om skydd av Sådana ytterligare åtgärder skulle kunna bestå av gränssnitt personuppgifter framhöll datatillsynsmannen vikten av till- (interface) som ger direktåtkomst till alla eller specifika data fredsställande uppgiftsskydd som en ofrånkomlig följd av som innehas av andra medlemsstater. Förslaget till rambeett rättsinstrument om tillgänglighet. Enligt datatillsyn- slut om tillgånglighet inför av detta skäl ”registerdata”, smannen bör ett sådant rättsinstrument inte antas utan särskilda data som det är möjliga att få direkt åtkomst till garantier som är av vikt för uppgiftsskyddet. över gränserna. C 116/10 SV Europeiska unionens officiella tidning 17.5.2006

text: 19. Rent allmänt bör tillgänglighetsprincipen underlätta flödet 23. I förslaget anges inte huruvida ”tillgängliga uppgifter” av uppgifter mellan medlemsstaterna. De inre gränserna enbart består av information som redan kontrolleras av kommer att avskaffas och medlemsstaterna måste i allt behöriga myndigheter eller även innefattar information större omfattning låta andra myndigheter få åtkomst till som de potentiellt har tillgång till. Enligt datatillsynden information de egna polisiära myndigheterna har till- smannen kan förslaget tolkas som att det omfattar båda. gång till. Medlemsstaterna förlorar sin behörighet att kontrollera flödet av uppgifter vilket också medför att de inte längre kan lita på att deras nationella lagstiftning är ett tillräckligt instrument för ett fullgott skydd av uppgifterna. 24. Det verkar också vara så att det i

text: artikel 2.2

text: föreslås en mer begränsad räckvidd med angivelsen att rambeslutet inte skall ”medföra någon skyldighet att samla in och lagra 20. Detta skäl gör att perspektivet med skydd av personupp- uppgifter […] enbart för att göra dem tillgängliga”, medan gifter i förslaget kräver särskild uppmärksamhet. För det

text: artikel 3 a

text: lämnar utrymme för en bredare tolkning genom första måste uppgifter som normalt sett är konfidentiella fastställandet av att med ”uppgifter” avses ”befintliga och omgärdade med betryggande säkerhetsåtgärder tillhan- uppgifter enligt förteckningen i bilaga II”. dahållas myndigheter i andra medlemsstater. För det andra krävs det för att få systemet att fungera att registerdata fastställs och görs tillgängliga för myndigheter i de andra medlemsstaterna. Genomförandet av denna princip 25. I bilaga II nämns åtminstone två kategorier av data som kommer följaktligen att alstra mer data än dem som för det normalt inte är polisen som bestämmer över. Den närvarande är tillgängliga. första kategorin är uppgifter ur fordonsregister. I många medlemsstater är det inte brottsbekämpande myndigheter som har hand om databaser med denna information, även om sådana myndigheter regelbundet utnyttjar möjligheten att få tillgång till den. Bör denna typ av information omfattas av tillämpligheten för sådan ”tillgänglig informa- IV. HUVUDDRAG tion” som enligt

text: artikel 1

text: skall tillhandahållas motsvarande behöriga myndigheter i andra medlemsstater? Den andra kategorin data enligt förteckningen i bilaga II som skall omnämnas är telefonnummer och andra uppgifter om Tillgänglighetsprincipens tillämpningsområde kommunikation: skall sådana uppgifter betraktas som ”tillgängliga” också när det inte är de behöriga myndigheterna som förvaltar dem, utan privata företag? 21. Först och främst är det väsentligt att definiera för vilken typ av uppgifter principen om tillgänglighet skall gälla. Tillämpningsområdet för denna princip definieras i allmänna termer i artikel 2 i förslaget, i kombination med 26. Dessutom ger andra bestämmelser i förslaget, närmare

text: artikel 1.1

text: och

text: artikel 3 a

text: . Principen skall tillämpas på bestämt artiklarna 3 d och 4.1 c i förslaget stöd för följande uppgifter: uppfattningen att ”utsedda myndigheter” och till och med ”utsedda parter” kan få förvalta sådan information som de — Befintliga uppgifter, ”behöriga myndigheterna” har ”tillgång till”. Av förslagstexten följer också att en ”behörig myndighet i en medlemsstat är en myndighet enligt

text: artikel 29

text: första — Enligt förteckning i bilaga II med sex typer av strecksatsen i EU-fördraget”, medan däremot varje nationell uppgifter, myndighet uppfyller villkoren för att kallas för ”utsedd myndighet”. — Uppgifter som behöriga myndigheter har tillgång till. Detta är tre väsentliga inslag i tillämpningsområdet för 27. Enligt datatillsynsmannen leder en tillämpning av tillgängprincipen enligt kommissionens förslag. Tillämpningsom- lighetsprincipen på uppgifter som förvaltas av utsedda rådet förfinas ytterligare i

text: artikel 2

text: . Enligt

text: artikel 2.1

text: myndigheter och utsedda parter till följande frågor: begränsas det till stadiet som föregår inledningen av ett rättsligt förfarande, medan det i artikel

text: anges några mer specifika restriktioner. — Ger

text: artikel 30.1 b

text: en tillräcklig rättslig grund, eftersom uppgifterna skall göras tillgängliga av utsedda myndigheter och utsedda parter och från databaser som inte ligger inom ramarna för tredje pelaren? 22. För att förstå förslagets följder krävs det en mer djupgående analys av de tre väsentliga inslagen. De första två inslagen i tillämpningen är i sig själva tillräckligt klara. En närmare definition av ”befintliga uppgifter” finns i artikel — Kommer rambeslutet om skydd av personuppgifter att 2.2 där det fastslås att rambeslutet inte skall medföra vara tillämpligt på det sätt som antas exempelvis i någon skyldighet att samla in och lagra uppgifter enbart artikel 8 i förslaget? för att göra dem tillgängliga, medan däremot förteckningen i bilaga II inte kan tolkas på mer än ett sätt. Det är det tredje väsentliga inslaget, ensamt eller i kombination med — Om inte så är fallet, överensstämmer i så fall behandde två första inslagen som kräver ytterligare förklaring. lingen med skyldigheterna enligt direktiv

text: ? 17.5.2006 SV Europeiska unionens officiella tidning C 116/11

text: 28. Genomförandet av en sådan bred princip som ”principen punkten är

text: artikel 2.2

text: tydlig: Den medför inte någon skylom tillgänglighet” kräver en klar och precis definition av dighet att samla in och lagra uppgifter enbart för att göra vilka uppgifter som är att betrakta som tillgängliga. Data- dem tillgängliga. Från personuppgiftsskyddssynpunkt är tillsynsmannen rekommenderar därför detta ett viktigt och positivt inslag i förslaget. Datatillsynsmannen påminner om sitt yttrande till förslaget till direktiv om lagring av uppgifter som behandlats i samband — förtydligande av tillämpningsområdet, med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster ( ), där han betonade att lagstadgade skyldigheter som leder till omfattande databaser — som ett första alternativ, en begränsning av räckvidden medför särskilda risker för den registrerade, bl.a. på grund för tillgänglighetsprincipen till sådana uppgifter som av risken för olaglig användning. förvaltas av behöriga myndigheter, — som ett andra alternativ, när tillämpningsområdet är 33. Emellertid gäller följande: bredare, skapande av betryggande skyddsåtgärder för personuppgifter. De frågor som tas upp under punkt 27 ovan måste beaktas. — Det är viktigt att se till att förslaget inte gynnar en ovillkorlig sammankoppling av databaser och således ett nät av databaser som det blir svårt att övervaka. Andra frågor med anknytning till tillämpningsområdet — Det finns ett undantag från den nämnda utgångspunkten: Artikel 10 i förslaget som garanterar att registerdata finns direkt tillgängliga. Registerdata kan innehålla personuppgifter eller i varje fall röja att sådana 29. Enligt artikel 2.1 i förslaget skall detta rambeslut gälla för finns. behandling av uppgifter före det att rättsliga åtgärder inleds. Dess tillämpningsområde är mer begränsat än förslaget till ett rambeslut om skydd av personuppgifter som i full utsträckning är tillämpligt på straffrättsligt samarbete. Direkt och indirekt tillgång till information

text: 30. Enligt datatillsynsmannen innebär dock inte denna begränsning i sig att tillämpningsområdet för förslaget begränsas till polissamarbete. Det skulle också kunna 34. I förslaget föreskrivs direkt och indirekt tillgång till omfatta straffrättsligt samarbete eftersom ett antal av uppgifter. I artikel 9 i förslaget föreskrivs direkt tillgång till medlemsstaternas rättsliga myndigheter också har behöuppgifter i sådana databaser som motsvarande nationella righet för brottsutredningar, innan ett rättsligt förfarande myndigheter har direkt tillgång till.

text: Artikel 10

text: innebär inleds. Men förslaget grundar sig enbart på artikel 30.1 b i indirekt tillgång. Registerdata för uppgifter utan direkt till- EU-fördraget, vilket pekar på att det endast är tillämpligt gång skall finnas tillgängliga för sökning online för på polissamarbete. Ett förtydligande av denna aspekt vore motsvarande behöriga myndigheter i andra medlemsstater välkommet. och för Europol. Vid en träff för en sökning i registerdata får myndigheten utfärda en framställan om uppgifter och sända den till den utsedda myndigheten för att få ut de 31. Föreliggande förslag gäller tillhandahållande av information uppgifter som identifierats av i registerdata. till Europol, medan förslaget till rambeslut om skydd av personuppgifter utesluter behandling av personuppgifter av Europol. Datatillsynsmannen rekommenderar att utbytet av uppgifter med Europol begränsas till Europols egna 35. Direkt tillgång leder inte till nya databaser, men förutsätter syften enligt artikel 2 i Europolkonventionen och i bilagan. däremot driftskompatibilitet mellan databaserna i Beaktas bör dessutom de närmare bestämmelserna om medlemsstaternas motsvarande behöriga system. Dessutom utbyte av uppgifter med Europol som redan fastställts i kommer det med nödvändighet att innebära ny användflera olika rådsakter. ning av redan befintliga databaser genom att för alla medlemsstaters behöriga myndigheter tillhandahålla en facilitet som hittills endast har stått till de nationella behöriga myndigheternas förfogande. Direkt tillgång kommer automatiskt att innebära en ökning av antalet personer med tillgång till en databas och därmed en ökande risk för missbruk. Inga nya databaser som innehåller personuppgifter C 116/12 SV Europeiska unionens officiella tidning 17.5.2006

text: 36. När det gäller direkt tillgång av en behörig myndighet i en inte har funnits sådana system, utom de storskaliga europeannan medlemsstat har de utsedda myndigheterna i den iska informationssystemen – kan skapa nya risker för den ursprungliga medlemsstaten ingen kontroll över tillgången registrerade. Datatillsynsmannen betonar att även om registill och den vidare användningen av data. Denna konse- terdata inte innehåller mycket information om den regikvens av sådan direkt tillgång som avses i förslaget strerade, kan sökning på registerdata leda till ett mycket nödvändiggör att det vidtas lämpliga åtgärder av följande känsligt resultat. Det kan avslöja att en person finns med i skäl: ett polisregister som gäller brott. — Den förefaller upphäva de utsedda myndigheternas 39. Därför är det av yttersta vikt att de europeiska lagstiftarna befogenhet att vägra tillhandahålla information (enligt anger lämpliga bestämmelser åtminstone om skapande av

text: artikel 14

text: ). registerdata, om förvaltningen av databaser med registerdata och om hur åtkomsten till registerdata lämpligen bör organiseras. Enligt datatillsynsmannen är förslaget inte tillfredsställande på dessa punkter. I detta skede har datatill- — Det väcker frågor om vem som har ansvaret för att synsmannen tre påpekanden: data stämmer och för uppdatering av data sedan åtkomst har ägt rum. Hur kan en utsedd myndighet i den ursprungliga medlemsstaten sörja för att data — Definitionen av registerdata är oklar. Det är inte klart uppdateras? huruvida registerdata betraktas som metadata, primärnycklar eller kanske rentav båda? Begreppet registerdata behöver förtydligas, eftersom det direkt inverkar på dataskyddets nivå och vilka skyddsåtgärder som krävs. — Det är inte bara den utsedda myndigheten som inte längre har möjlighet att uppfylla alla sina förpliktelser enligt lagen om uppgiftsskydd, inte heller den nationella uppgiftsskyddsmyndigheten i den ursprungliga — Förslaget bör klargöra de nationella kontaktpunkternas medlemsstaten kan längre övervaka tillämpningen av roll i förhållande till registerdata. Man kan ibland förpliktelserna eftersom den saknar all behörighet gent- behöva ta med nationella kontaktpunkter, särskilt i emot de brottsbekämpande myndigheterna i andra sådana fall där tolkningen av registerdata kräver medlemsstater. specialkunskaper, exempelvis vid en eventuell jämförelse av fingeravtryck. — Dessa problem är ännu mer framträdande i fråga om — Förslaget överlåter antagandet av nödvändiga regler för tillgång till databaser från utsedda myndigheter och skapande av registerdata till genomförandelagstiftning utsedda parter, då dessa inte är brottsbekämpande enligt det kommittéförfarande som avses i

text: artikel 19

text: . myndigheter (se punkterna 25-28 i detta yttrande). Även om tillämpningsregler kan komma att behövas bör grundreglerna för skapande av registerdata ingå i själva rambeslutet. Denna konsekvens av direkt tillgång är ett viktigt skäl till att antagandet av föreliggande förslag bör vara beroende av antagandet av ett rambeslut om skydd av personuppgifter. Ett problem återstår: det är svårt att se hur utsedda myndigheter skulle kunna vägra att lämna Förhandsgodkännande av rättsliga myndigheter ut uppgifter enligt

text: artikel 14

text: 40. Utbytet av uppgifter skall inte hindra medlemsstaterna från 37. När det gäller indirekt tillgång genom registerdata som ger att kräva förhandsgodkännande från rättsliga myndigheter information i ett träff/icke träffsystem: detta är inget nytt för att överföra uppgifterna till den ansökande myndigfenomen. Det är grunden för hur europeiska storskaliga heten när dessa uppgifter står under rättslig kontroll i det informationssystem, exempelvis Schengens informationsanmodade landet. Detta är viktigt eftersom inte alla system, fungerar. Inrättandet av ett system med registerdata medlemsstaters polis har autonom åtkomst till dessa data, har den fördelen att ursprungsmedlemsstaterna kan enligt en översikt om polismyndigheternas befogenheter kontrollera utbytet av uppgifter från sina egna polisre- 1 att utbyta personuppgifter ( ). Enligt datatillsynsmannen gister. Om sökning på registerdata leder till träff kan den bör tillgänglighetsprincipen inte undergräva skyldigheten ansökande myndigheten lägga in en begäran om informaenligt nationell lagstiftning att erhålla förhandsgodkäntion avseende den registrerade i det särskilda fallet. Denna nande för informationen, eller åtminstone att fastställa begäran kan vederbörligen bedömas av den tillfrågade särskilda regler beträffande för vilka kategorier uppgifter myndigheten. det krävs förhandsgodkännande, som kommer att vara tillämplig i alla medlemsstater. 17.5.2006 SV Europeiska unionens officiella tidning C 116/13

text: 41. Denna skyldighet bör tolkas mot bakgrund av

text: artikel 11.2

text: medlemsstaternas behörighet att fullständigt kontrollera i förslaget om rambeslut om skydd av personuppgifter, där uppgiftsutbytet berörs. Det bör inte antas oberoende av det också anges att den överlämnande medlemsstaten har antagandet av rambeslutet om skydd av personuppinflytande över den vidare användningen av data i den gifter. medlemsstat som uppgifterna har överförts till. Datatillsynsmannen noterar betydelsen av denna princip som behövs för att garantera att tillgängligheten inte kommer att leda till kringgående av restriktiv nationell lagstiftning om ytterligare användning av personuppgifter. Prümkonventionen Slutanmärkning

text: 45. Prümkonventionen väljer en annan infallsvinkel för att genomföra principen om tillgänglighet. Där föreliggande 42. Dessa inslag kräver hög nivå på personuppgiftsskyddet. förslag till rambeslut har valt en allmän infallsvinkel – utan Särskild uppmärksamhet bör ägnas åt att garantera princiatt ange några särskilda regler för utbyte av specifika perna om begränsning av ändamålet och senare behanduppgiftstyper utan regler som är tillämpliga för alla typer ling samt exakthet och tillförlitlighet när det gäller de av uppgifter i den mån de står upptagna i förteckningen i uppgifter som åtkomsten gäller (se datatillsynsmannens bilaga II (se punkterna 21–28 i detta yttrande) – är Prümyttrande om rambeslutet om skydd av personuppgifter, konventionens strategi successiv. IV.2 och IV.6).

text: 46. Denna strategi benämns ibland en ”strategi dataområde för V. ANDRA LÖSNINGAR dataområde”. Den är tillämplig på särskilda typer av information (DNA, fingeravtrycksdata och uppgifter ur fordonsregister) och bygger på skyldigheten att ta hänsyn till Förslaget från Sverige uppgifternas särskilda natur. I konventionen fastställs skyldigheten att öppna och underhålla DNA-analysfiler för undersökning av brott. En liknande skyldighet gäller för 43. Det svenska förslaget begränsar sig inte till särskilda inforfingeravtrycksdata. När det gäller uppgifter ur fordonsremationstyper utan täcker alla information och underrättelser, gister måste direkt åtkomst ges till andra medlemsstaters också information och underrättelser som förvaltas av nationella kontaktpunkter. andra än de behöriga brottsbekämpande myndigheterna. Förslaget främjar samarbete genom att det fastställs tidsfrister för att besvara framställningar om information och genom avskaffande av åtskillnad mellan utbytet inom en 47. Prümkonventionens strategi ger upphov till tre olika slags medlemsstat och gränsöverskridande informationsutbyte. påpekanden. Inga ytterligare åtgärder föreskrivs för att garantera den faktiska åtkomsten till informationen. Av detta skäl är det förståeligt att kommissionen inte var nöjd med Sveriges förslag i sig, som ett tillfredsställande instrument för tillgänglighet ( ). 48. För det första är det överflödigt att påpeka att datatillsynsmannen inte ställer sig bakom det förfarande som leder fram till denna konvention, utanför Europeiska unio- 44. Lösningarna i det svenska förslaget har följande allmänna nens institutionella ramar, och därför utan deltagande i konsekvenser, ur ett dataskyddsperspektiv: någon större omfattning från kommissionens sida. Dessutom innebär detta att det inte förekommer någon demo- — Det är välkommet att förslaget strikt begränsas till kratisk kontroll av Europaparlamentet och ingen rättslig behandling av befintliga data och inte leder till några kontroll från domstolen och att det följaktligen finns nya databaser, inte ens till registerdata. mindre garantier för att alla (allmänna) intressen är lika avvägda. Detta innefattar dataskyddsperspektivet. Med andra ord har EU's institutioner ingen möjlighet att innan — Frånvaron av registerdata är dock inte definitionsmässigt ett positivt inslag. Registerdata kan med tillräckligt systemet upprättas bedöma effekterna av de politiska linjesäker hantering underlätta en riktad och därför mindre valen för skyddet av personuppgifter. ingripande sökning efter uppgifter av känslig karaktär. Det kan också möjliggöra bättre filtrering av sökningar och bättre övervakning. 49. För det andra är det uppenbart att vissa inslag i Prümkon- — Under alla förhållanden leder förslaget till ett ökat ventionen är klart mer ingripande för den registrerade än gränsöverskridande utbyte av personuppgifter, med förslaget till rambeslut om tillgänglighet. Konventionen risker för skyddet av personuppgifter, bl.a. eftersom leder med nödvändighet till inrättande av nya databaser som i sig medför risker för skyddet av personuppgifter. 1 Nödvändighet och proportionalitet bör visas för att dessa ( ) Se i kommissionens arbetsdokument en bilaga till förslaget till rådets rambeslut om utbyte av uppgifter enligt principen om tillgänglighet, nya databaser skall få inrättas. Lämpliga garantier för SEK 2005 (1207), 12.10.2005. skyddet av personuppgifter borde lämnas. C 116/14 SV Europeiska unionens officiella tidning 17.5.2006 En ”strategi dataområde för dataområde” inte. I ”Strategi för genomförandet av principen om tillgång” ( ) betecknas följande data som registerdata:

text: 50. För det tredje väljer konventionen, så som redan har påpe- — Identifiering av de berörda personerna, kats, en ”strategi dataområde för dataområde”. I det föregående nämnde datatillsynsmannen de svårigheter och osäkerhetsmoment som uppkommer beroende av den — Ett identifieringsnummer för de aktuella föremålen miljö där principen om tillgänglighet skall omsättas i (fordon, handlingar), effektiv praktik. Under sådana omständigheter är det enligt datatillsynsmannen att föredra att man inte inrättar ett system för en uppsättning data, utan börjar med en försik- — Fingeravtryck/digitala foton. tigare strategi som avser en typ av data och följa upp i vilken mån principen om tillgänglighet faktiskt kan stödja brottsbekämpning, liksom särskilda risker för skyddet av En annan typ av data som skulle kunna betecknas som personuppgifter. På grundval av dessa erfarenheter kan registerdata skulle vara DNA-profiler. Denna förteckning systemet möjlighen utvidgas till andra typer av data och/ över registerdata avslöjar att registerdata kan innehålla eller ändras så att det blir mer effektivt. personuppgifter och således nödvändiggör ett tillfredsställande skydd.

text: 51. Denna ”strategi dataområde för dataområde” skulle också vara bättre skickad att uppfylla kraven enligt proportionali- 55. Datatillsynsmannen tar särskilt upp frågan om DNAtetsprincipen. Enligt datatillsynsmannen skulle behovet av profiler. DNA-analys har visat sig ha ett avsevärt värde för ett bättre gränsöverskridande utbyte av uppgifter för brottsundersökningar, och ett effektivt utbyte av DNA-data brottsbekämpning kunna motivera antagandet av ett rätts- kan visa sig väsentligt för brottsbekämpning. Det är emelinstrument på EU-nivå, men för att vara proportionellt bör lertid nödvändigt att begreppet DNA ges en klar definition instrumentet vara lämpat för att uppnå sitt mål, vilket kan och att de särskilda kännetecknen för dessa data verkligen bli lättare att fastställa efter en period med praktiska expe- beaktas på rätt sätt. Från uppgiftsskyddssynpunkt finns det riment. Vidare bör inte instrumentet på ett oproportionellt faktiskt en stor skillnad mellan DNA-prov och DNAsätt vara till skada för den registrerade. Utbytet bör inte profiler. avse fler typer av data än som är strikt nödvändigt, med en möjlighet till anonymt datautbyte, och bör ske under iakttagande av stränga villkor för uppgiftsskydd. 56. DNA-prov (ofta insamlade och lagrade av brottsbekämpande myndigheter) bör anses vara särskilt känsliga, eftersom det är mer sannolikt att de innehåller hela DNA- 52. Vidare skulle en sådan försiktigare strategi som datatill- ”bilden”. Där kan man hämta information om genetiska synsmannen förespråkar – möjligen utöver strategin ”data- egenskaper och en individs hälsostatus, något som kan bli område för dataområde” – kunna omfatta att genomfö- aktuellt för helt olika syften, t.ex. medicinsk rådgivning till randet av tillgänglighetsprincipen inleds med enbart indi- enskilda personer eller unga par. rekt tillgång, via registerdata. Datatillsynsmannen nämner detta som en punkt som är värd övervägande i den vidare lagstiftningsprocessen. 57. DNA-profiler däremot innehåller bara en del partiell DNAinformation hämtad från DNA-provet: De kan användas för att verifiera en individs identitet, men i princip röjer de inte en individs genetiska egenskaper. Naturligtvis kan vetenskapliga framsteg medföra att den information som kan avslöjas genom DNA-profiler ökas: Något som vid en viss tidpunkt betraktas som en ”oskyldig” DNA-profil kan i VI. VILKA UPPGIFTER? ett senare skede röja mycket mer än den väntade och nödvändiga informationen, särskilt information om en individs genetiska kännemärken. Den information som kan röjas genom DNA-profiler måste alltså betraktas som dyna- 53. I bilaga II finns en uppräkning av vilka typer av uppgifter misk. som får erhållas enligt det föreslagna rambeslutet. Alla de sex typer av uppgifter som finns i förteckningen där är i de flesta sammanhang personuppgifter, eftersom de innebär ett samband till en identifierad eller identifierbar person. 58. Mot den bakgrunden noterar datatillsynsmannen att såväl Prümkonventionen som kommissionens förslag främjar utbyte av DNA-data mellan brottsbekämpande myndigheter, men att det finns betydande skillnader när det gäller 54. Enligt artikel 3 g i förslaget avses med registerdata data sättet. som sammanställts för att göra det möjligt att tydligt identifiera uppgifter och som man kan söka i med en sökmotor 1 ( ) Dokument från ordförandeskapet till rådet av den 5 april 2005 för att få veta om vissa uppgifter finns tillgängliga eller (dok. nr: 7641/05). 17.5.2006 SV Europeiska unionens officiella tidning C 116/15

text: 59. Datatillsynsmannen välkomnar att det i kommissionens 63. Utifrån detta perspektiv vill datatillsynsmannen härmed förslag inte fastställs någon skyldighet att samla in DNA- bekräfta och införliva de redan tidigare gjorda anmärkningdata, och att utbytet av DNA-data klart begränsas till DNA- arna i sitt yttrande om rambeslutet om skydd av persoprofiler. I bilaga II definieras DNA-profiler genom en inle- nuppgifter (punkt 80). I det yttrandet påpekade datatillsyndande gemensam förteckning över DNA-markörer som smannen att det med avseende på DNA-data skulle föreanvänds vid kriminalteknisk DNA-analys i medlemssta- skrivas särskilda skyddsåtgärder för att garantera att den terna. Denna förteckning, byggd på sju DNA-markörer från tillgängliga informationen får användas endast för att idenden europeiska standarduppsättningen som definieras i tifiera individer i syfte att förebygga, upptäcka eller utreda bilaga I till rådets resolution av den 25 juni 2001 om brott; att DNA-profilernas grad av exakthet noga beaktas utbyte av resultat av DNA-analyser ( ), garanterar att DNA- och kan ifrågasättas av den registrerade med de medel som profiler inte vid sammanställning innehåller någon infor- finns omedelbart tillgängliga; det finns fullständiga garanmation om särskilda ärftliga egenskaper. tier för att personers värdighet respekteras ( ).

text: 64. Dessa överväganden leder vidare till slutsatsen att lagstift- 60. Datatillsynsmannen framhåller att denna rådsresolution ning om upprättande av DNA-filer och utbyte av uppgifter fastställer några mycket betydelsefulla garantier särskilt från dessa filer endast bör antas efter en konsekvensanalys med avseende på DNA-profilernas dynamiska natur. Och i där man noga har kunnat bedöma fördelar och risker. avsnitt III i resolutionen rekommenderas medlemsstaterna Datatillsynsmannen rekommenderar att denna lagstiftning därefter faktiskt, efter det att utbyten av DNA-analyser skall ange skyldighet till regelbunden utvärdering efter begränsats till ”kromosomzoner […] som inte anses inne- ikraftträdandet. hålla någon information om särskilda ärftliga egenskaper” att upphöra med att använda sådana DNA-markörer som genom den vetenskapliga utvecklingen kan tänkas lämna information om särskilda ärftliga egenskaper. 65. Slutligen innehåller bilaga II andra typer av uppgifter som får utväxlas. Där ingår även uppgifter som härrör från privata organ, eftersom telefonnummer och andra uppgifter om kommunikation samt trafikuppgifter normalt härrör från telefonoperatörer. I motiveringen bekräftas att 61. Prümkonventionen ger prov på en annan infallsvinkel, där medlemsstaterna är skyldiga att se till att information som de fördragsslutande parterna åläggs skyldighet att öppna är relevant för brottsbekämpning och som innehas av och underhålla DNA-analysfiler för utredning av brott. myndigheter eller privata organ utsedda att inneha sådan Den förutsätter därför att det skapas nya DNA-databaser information, utbyts med likvärdiga behöriga myndigheter i och att DNA-data samlas in i större omfattning. Vidare är andra medlemsstater och med Europol. Förslaget gäller ju det oklart vilken sorts data som ingår i ”DNA-analysfi- personuppgifter som härrör från privata organ, men den lerna”, och konventionen tar ingen hänsyn till DNA-profi- tillämpliga rättsliga ramen bör, så som datatillsynsmannen lernas dynamiska utveckling. ser det, omfatta ytterligare garantier för att skydda den registrerade så att uppgifterna är korrekta.

text: 62. Datatillsynsmannen påpekar att alla rättsinstrument som fastställer krav på utbyte av DNA-data bör: — klart begränsa och definiera vilken typ av DNA-information som får utbytas (också med tanke på den grundläggande skillnaden mellan DNA-prov och DNA- 66. Reglerna för skydd av personuppgifter finns inte särskilt profiler), fastställda i förslaget till rådets rambeslut, medan det däremot i andra instrument, exempelvis i Prümkonventionen eller i det svenska förslaget, finns vissa särskilda bestämmelser för skydd av personuppgifter. Bristen på — upprätta gemensamma tekniska normer med syftet att särskilda regler om skydd av personuppgifter i tillgängligundvika att variationer i praxis för kriminaltekniska hetsförslaget är godtagbar endast i den mån de allmänna databaser i medlemsstaterna leder till svårigheter och reglerna i förslaget till ett rambeslut om dataskydd inom felaktiga resultat vid utbyte av data, tredje pelaren är fullt tillämpliga och lämnar tillräckligt skydd. Vidare får inte regler om skydd för personuppgifter som fastställs genom särskilda instrument såsom det svenska förslaget och Prümkonventionen sänka den — föreskriva lämpliga rättsligt bindande garantier för att skyddsnivå som de allmänna ramarna garanterar. Datatillförebygga att vetenskapens utveckling leder till att det synsmannen rekommenderar tillägg av en specialklausul går att ur DNA-profiler få fram personuppgifter som om eventuella konflikter mellan olika regler om dataskydd. inte bara är känsliga, utan dessutom ovidkommande för det syfte för vilket de samlades in. 2 ( ) Se även Europarådets ”Lägesrapport om tillämpningen av principerna i konvention 108 på insamling och bearbetning av personliga ( ) EGT C 187, s.1. biometriska data”, februari 2005, som är inne på samma linje. C 116/16 SV Europeiska unionens officiella tidning 17.5.2006

text: 67. På denna punkt skulle datatillsynsmannen återigen vilja enbart på grund av den mottagande myndighetens påminna om sitt yttrande om rambeslutet om skydd av annorlunda, kanske bredare, befogenheter. personuppgifter, och framhålla betydelsen av att det finns konsekventa och övergripande regler för dataskydd avseende brottsbekämpningssamarbete som är tillämpliga på all bearbetning. Därefter upprepar datatillsynsmannen Därför välkomnar datatillsynsmannen artikel 7 i det övriga punkter i yttrandet. I denna punkt betonas följande föreslagna rambeslutet, vilket bör tolkas som en specifiuppgiftsskyddsfrågor: cering av de allmänna regler som fastställs i förslaget till rambeslut om skydd av personuppgifter. Vidare noterar datatillsynsmannen att bedömningen av motsvarighet mellan olika myndigheter (i det föreliggande beslutet överlåtet till kommittéförfarande) bör — Laglig behandling av personuppgifter. Datatillutföras varsamt med vederbörlig respekt för principen synsmannen stöder synsättet att uppgifter får göras tillom ändamålsbegränsning. gängliga endast om de har samlats in lagligen (så som anges i

text: artikel 2.2

text: avseende uppgifter insamlade genom tvångsåtgärder). Laglig bearbetning av personuppgifter skulle också sörja för att information som gjorts tillgänglig och utväxlats kan användas regelrätt även i en — Tidsbegränsningar för lagring av utbytta uppgifter bör rättsligt förfarande. Och även om uppgifter som också ses mot bakgrund av principen om ändamålsbebehandlats efter inledningen av ett förfarande ligger gränsning: Uppgifter som sökts eller utbytts för ett utanför tillämpningsområdet för det föreslagna instru- ändamål bör raderas så snart de inte längre behövs för mentet, är det ändå sannolikt att uppgifter som utbytts detta ändamål. Därigenom skulle onödig kopiering av tidigare av brottsbekämpande myndigheter så databaser undvikas, samtidigt som behöriga myndigsmåningom hamnar i rättsliga förfaranden. heter fortfarande tillåts åtkomst på nytt av (uppdaterad) tillgängliga uppgifter, för den händelse detta krävs för något annat legitimt ändamål. — Kvaliteten på personuppgifter är av särskild vikt, eftersom tillgänglighetsprincipen talar för att uppgif- — Registrering av uppgifter som överförts enligt tillgängterna kommer att användas av brottsbekämpande lighetsprincipen. Registrering bör ske på båda sidor: myndigheter utanför det sammanhang där de insam- Både i den anmodade och i den sökande medlemslades. Sådana myndigheter har till och med direktåt- staten. Register över åtkomst, inte bara över utbyten, komst till andra medlemsstaters databaser. Personupp- bör föras (se datatillsynsmannens yttrande om skydd av gifternas kvalitet kan endast garanteras om exaktheten personuppgifter, punkt 133), också i syfte att försäkra kontrolleras regelbundet och ordentligt, om man skiljer sig om att nationella behöriga myndigheter litar på på uppgifter efter de olika kategorier av personer som varandra och inte helt förlorar kontrollen över de tillberörs (offer, misstänkta, vittnen osv.), och vid behov gängliga uppgifterna. Behovet av att uppgifterna skall anger graden av exakthet (se yttrande från datatill- vara spårbara innebär också en möjlighet att uppdatera synsmannen om skydd av personuppgifter, IV.6). och/eller korrigera uppgifterna. — De registrerades rättigheter. System för informationsut- Genom dessa punkter framgår det åter en gång klart byte mellan EU:s brottsbekämpande myndigheter gör varför regler för uppgiftsskydd, och särskilt regler om att situationerna ökar där personuppgifter behandlas exaktheten, bör vara tillämpliga på alla sorters behand- (temporärt) samtidigt av behöriga myndigheter i olika ling, även när den sker inom landet. Annars är det medlemsstater. Detta innebär å ena sidan att gementänkbart att personuppgifter som fåtts fram genom samma EU-normer om de registrerades rättigheter bör direktåtkomst är oriktiga, inaktuella och således upprättas, och å andra sidan att de registrerade bör inskränker den registrerades rättigheter och påverkar kunna utöva sina rättigheter, i den mån detta medges effektiviteten i undersökningarna negativt. av regler om uppgiftsskydd inom tredje pelaren, avseende både myndigheter som ställer uppgifter till förfogande och myndigheter som söker på och behandlar dessa uppgifter. — Ändamålsbegränsning. Enligt principen om tillgänglighet får sökning på personuppgifter göras av motsvarande behöriga myndigheter i andra medlemsstater. Det kan emellertid skilja väsentligt mellan brottsbekäm- — Tillsyn. Datatillsynsmannen påpekar att det beroende pande myndigheters befogenheter från land till land. på omständigheterna kan finnas mer än en nationell Det är därför av vikt att se till att grundprincipen om tillsynsmyndighet som har behörighet att övervaka begränsning av ändamålet iakttas trots skillnaderna i behandlingen av personuppgifter som utförs på räckvidd när det gäller befogenheter mellan de olika grundval av de rådande förslagen. I detta avseende behöriga myndigheter som utbyter uppgifter. Uppgifter nödvändiggör direktåtkomst till brottsbekämpningsinsom samlas in och behandlas av en viss myndighet i ett formation ökad tillsyn och samordning mellan respeksärskilt syfte får då inte användas för ett annat ändamål tive nationella uppgiftsskyddsmyndigheter. 17.5.2006 SV Europeiska unionens officiella tidning C 116/17 VIII. SLUTSATSER kontroll över tillgång till och den vidare användningen av data. Allmänna slutsatser beträffande tillgänglighetsprincipen — Förslaget får inte främja en ovillkorlig sammankoppling 68. Datatillsynsmannen tar tillfället i akt för att i detta yttrande av databaser och således ett nät av databaser som det lägga fram några allmänna och mer grundläggande blir svårt att övervaka. synpunkter när det gäller frågan om utbyte av uppgifter om brottsbekämpning och om strategier för att reglera 73. Rambeslutet bör vara mer precist i fråga om inrättandet av denna fråga. Datatillsynsmannen kommer att finnas till ett system med registerdata. Det gäller särskilt med avsehands för ytterligare rådfrågning på ett senare stadium ende på följande: efter den relevanta utvecklingen i lagstiftningsprocessen — Förslaget bör ange lämpliga och tillräckliga bestämnär det gäller detta förslag eller andra besläktade förslag. melser åtminstone om skapande av registerdata, om förvaltningen av databaser med registerdata och om 69. Enligt datatillsynsmannen bör principen om tillgänglighet hur åtkomsten till registerdata lämpligen bör organigenomföras i ett bindande rättsinstrument i form av en seras. mer försiktig successiv strategi som innefattar en typ av uppgifter och övervaka i vilken mån principen om tillgäng- — Definitionen av registerdata behöver klargöras. lighet effektivt kan stödja brottsbekämpning, liksom de — Förslaget bör klargöra de nationella kontaktpunkternas specifika riskerna för skyddet av personuppgifter. Denna roll när det gäller registerdata. mer försiktiga strategi skulle kunna inkludera att man börjar med införandet av tillgänglighetsprincipen enbart i — Grundreglerna för skapande av registerdata bör ingå i form av indirekt åtkomst, via registerdata. På grundval av själva rambeslutet och inte överlåtas åt tillämpningslagdessa erfarenheter kan systemet möjligen utvidgas till andra stiftningen enligt kommittéförfarandet. typer av uppgifter och/eller ändras så att det blir mer effek- 74. Datatillsynsmannen påpekar att förslaget i den mån det tivt. fastställer krav på utbyte av DNA-uppgifter bör 70. Inga rättsinstrument om genomförande av principen om — klart begränsa och definiera vilken typ av DNAtillgänglighet bör antas utan att det i förväg antas väsentuppgifter som kan tänkas utbytas (också med tanke på liga garantier för uppgiftsskydd såsom de som ingår i den grundläggande skillnaden mellan DNA-prov och förslaget till rambeslut om skydd av personuppgifter. DNA-profiler). Rekommendationer som syftar till en ändring av förelig- — upprätta gemensamma tekniska normer med syfte att gande förslag undvika att variationer i praxis för kriminaltekniska databaser i medlemsstaterna leder till svårigheter och 71. Datatillsynsmannen rekommenderar ett klargörande av felaktiga resultat vid utbyte av uppgifter. principen om tillgänglighet enligt följande: — föreskriva lämpliga rättsligt bindande garantier för att — Lägg till en klar och precis definition av vilka uppgifter förebygga att vetenskapens utveckling leder till att det som kommer att betraktas som tillgängliga. går att ur DNA-profiler få fram personuppgifter som — Som ett första alternativ, en begränsning av räckvidden inte bara är känsliga, utan dessutom ovidkommande för tillgänglighetsprincipen till sådana uppgifter som för det syfte för vilket de samlades in. förvaltas av behöriga myndigheter. — endast antas efter en konsekvensanalys. — Som ett andra alternativ, när tillämpningsområdet är 75. Datatillsynsmannen rekommenderar att utbytet av bredare, skapande av betryggande garantier för skyddet uppgifter med Europol begränsas till Europols egna syften av personuppgifter. De frågor som tas upp under punkt enligt artikel 2 i Europolkonventionen och i bilagan. 27 i detta yttrande måste beaktas.

text: 72. Datatillsynsmannen gör följande påpekanden om direkt tillgång till databaser av en behörig myndighet i en annan medlemsstat: Utfärdad i Bryssel den 28 februari 2006 — Det krävs en ordentlig behandling av frågan, eftersom Peter HUSTINX de utsedda myndigheterna i den ursprungliga medlemsstaten när det gäller direkt tillgång inte har någon Europeiska datatillsynsmannen

type: vagledning

utgivare: edps