text: lingen vara de registrerades ”medgivande”. 2.2.1 Inledning ( 18 ) Detta kan ske på initiativ av kommissionen, men det kan inte heller uteslutas att idén att använda IMI inom ett speciellt politikområde 19. Europeiska datatillsynsmannen välkomnar förslagets tyd kan uppkomma senare i lagstiftningsprocessen och föreslås av par liga definition av IMI:s nuvarande tillämpningsområde, lamentet och rådet. Detta har redan tidigare skett beträffande direk med bilaga I där den tillämpliga unionsrätt enligt vilken tivet om patienters rättigheter vid gränsöverskridande hälso- och sjukvård. Det skulle behövas mer klarhet i ett sådant fall när det uppgifter kan utbytas anges. Här ingår samarbete enligt de gäller ”förfarandet” för utvidgning, vilket bara tycks ha varit inriktat på fallet med utvidgning genom delegerade akter (se bestämmel ( 14 ) Se också våra synpunkter i avsnitt 2.2 beträffande den förutsedda serna om konsekvensbedömning, delegerade akter, och uppdatering utvidgningen av IMI i detta avseende. av bilaga I.)

text: ( 19 ) Informationsutbyte mellan två parter enligt direktivet om erkän nande av yrkeskvalifikationer och direktivet om patienters rättighe ter vid gränsöverskridande hälso- och sjukvård följer till exempel i — bör det specifikt anges i förordningen att samråd med huvudsak samma system och kan anpassas med hjälp av liknande Europeiska datatillsynsmannen och nationella datatill funktioner som omfattas av liknande säkerhetsåtgärder för uppgifts synsmyndigheter krävs före varje utvidgning av IMI. skydd. Samrådet kan äga rum genom mekanismen för sam ( 20 ) Se skälen 2, 10, 12, 13 och 15 och artiklarna

text: 5 b

text: i, 10.7 och ordnad övervakning i

text: artikel 20

text: . 13.2. ( 21 ) Om avsikten är att låta IMI ersätta eller komplettera den befintliga ärendehanteringen och arkiveringssystemen och/eller använda IMI ( 22 ) Se bilaga II, I.1. som databas bör detta framgå tydligare i

text: artikel 3

text: . ( 23 ) Se avsnitten 2.4 och 2.5.5 nedan.

text: ( 24 ) Se även avsnitt 2.2.2. ( 25 ) I

text: artikel 13.1

text: föreslås att 18 månader ska vara ”maximitid”, och 38. Om det är oundvikligt att en användare av IMI får rätt att följaktligen kan även en kortare period fastställas. Detta skulle emel få tillgång till information för flera politikområden (vilket lertid inte påverka den sammanlagda lagringstiden, som i vart fall kan vara fallet till exempel i lokal förvaltning) ska syste skulle vara tills det har gått fem år sedan ärendet avslutades.

text: I

text: artikel 18

text: bör det anges vem de registrerade ska vända ( 33 ) Se

text: Europaparlamentets och rådets förordning (EG) nr 1987/2006

text: sig till för att begära tillträde. Detta bör vara tydligt när av den 20 december 2006 om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) (EUT det gäller tillgång till uppgifter under olika tidsperioder: L 381, 28.12.2006, s. 4)

text: Europaparlamentets och rådets förordning (EG) nr 767/2008 av den 9 juli 2008

text: om informationssystemet för ( 32 ) När detta tillvägagångssätt för att säkerställa enhetlighet tillämpas viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter ska naturligtvis vederbörlig hänsyn tas till nationella skillnader när om viseringar för kortare vistelse (VIS-förordningen) (EUT L 218, detta är nödvändigt och motiverat. 13.8.2008, s. 60).

text: ( 34 ) Rådets förordning

text: (EG) nr 2725/2000

text: av den 11 december 2000 ( 38 ) Ett liknande tillvägagångssätt har tillämpats i

text: artikel 22.2

text: för kom om inrättande av Eurodac för jämförelse av fingeravtryck för missionen som IMI-aktör. en effektiv tillämpning av Dublinkonventionen (EGT L 316, ( 39 ) Se avsnitt 2.2.4 i yttrandet från Europeiska datatillsynsmannen om 15.12.2000, s. 1), som håller på att revideras. I detta sammanhang kommissionens meddelande till Europaparlamentet, rådet, Europe planeras bestämmelser liknande dem i VIS- och SIS II-förordning iska ekonomiska och sociala kommittén och regionkommittén – arna. ”Ett samlat grepp på skyddet av personuppgifter i Europeiska unio ( 35 ) Se till exempel artiklarna 41 och 42 i VIS-förordningen. nen”, KOM(2010) 609 slutlig. Se även avsnitt 7 i Europeiska data ( 36 ) Se till exempel artikel 43.1 i VIS-förordningen. tillsynsmannens yttrande som avgavs den 14 januari 2011 om detta ( 37 ) Se till exempel artikel 43.2 i VIS-förordningen. meddelande från kommissionen.

amnesord:
Large-Scale IT Systems
IMI
Information Security
Internal Market

title: Internal Market Information System ('IMI')

text: C 48/2 SV Europeiska unionens officiella tidning 18.2.2012

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om kommissionens förslag till Europaparlamentets och rådets förordning om administrativt samarbete genom informationssystemet för den inre marknaden (IMI)

text: (2012/C 48/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA 2. Innan förslaget antogs gavs Europeiska datatillsynsmannen YTTRANDE möjlighet att lämna informella kommentarer om förslaget, och innan dess om kommissionens meddelande ”Bättre styrning av den inre marknaden genom utökat administrativt samarbete: En strategi för att utvidga och utveckla med beaktande av fördraget om Europeiska unionens funktions informationssystemet för den inre marknaden (IMI) (nedan sätt, särskilt artikel 16, kallat meddelandet om IMI-strategin) ( 4 )”, vilket föregick för slaget. Många av dessa kommentarer har beaktats i för slaget, och dataskyddsgarantierna i förslaget har förstärks med beaktande av Europeiska unionens stadga om de grund till följd härav. läggande rättigheterna, särskilt artiklarna 7 och 8,

text: 3. Europeiska datatillsynsmannen välkomnar att kommissio med beaktande av Europaparlamentets och rådets direktiv nen rådfrågade honom och att en hänvisning till detta

text: av den 24 oktober 1995 om skydd för enskilda yttrande ingår i inledningen till förslaget. personer med avseende på behandling av personuppgifter och om det fria flödet för sådana uppgifter ( 1 ), 1.2 Förslagets mål och omfattning med beaktande av Europaparlamentets och rådets förordning 4. IMI är ett IT-verktyg med vilket behöriga myndigheter i

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för medlemsstaterna kan utbyta information med varandra enskilda då gemenskapsinstitutionerna och gemenskapsorganen när de tillämpar lagstiftningen om den inre marknaden. behandlar personuppgifter och om den fria rörligheten för så IMI gör det möjligt för nationella, regionala och lokala dana uppgifter ( 2 ), myndigheter i EU-medlemsstaterna att kommunicera snabbt och enkelt med motsvarande myndigheter i andra länder i Europa. Här ingår också behandling av relevanta personuppgifter, inbegripet känsliga uppgifter. med beaktande av begäran om yttrande i enlighet med

text: artikel 28.2 i förordning (EG) nr 45/2001

text: 5. IMI utformades först som ett kommunikationsverktyg för HÄRIGENOM FRAMFÖRS FÖLJANDE. utbyte mellan två parter enligt direktivet om erkännande av yrkeskvalifikationer ( 5 ) och tjänstedirektivet ( 6 ). IMI hjäl per användarna att hitta rätt myndighet att kontakta i ett annat land och kommunicera med denna genom för

text: 1. INLEDNING handsöversatta standardfrågor och standardsvar ( 7 ). 1.1 Samråd med Europeiska datatillsynsmannen ( 4 ) KOM(2011) 75. ( 5 )

text: Europaparlamentets och rådets direktiv 2005/36/EG

text: av den 1. Den 29 augusti 2011 antog kommissionen ett förslag till 7 september 2005 om erkännande av yrkeskvalifikationer (EUT Europaparlamentets och rådets förordning (nedan kallat L 255, 30.9.2005, s. 22). förslaget eller förslaget till förordning) om administrativt ( 6 )

text: Europaparlamentets och rådets direktiv 2006/123/EG

text: av den samarbete genom informationssystemet för den inre 12 december 2006 om tjänster på den inre marknaden (EUT marknaden (IMI) ( 3 ). Förslaget skickades samma dag till L 376, 27.12.2006, s. 36). ( 7 ) En typisk fråga som innehåller känsliga uppgifter är till exempel Europeiska datatillsynsmannen för samråd. följande: ”Kan den bifogade handlingen utgöra en rättslig grund för att den professionella verksamheten i fråga inte tillfälligt avbryts ( 1 ) EGT L 281, 23.11.1995, s. 31. eller förbjuds på grund av allvarligt fel i yrkesutövningen eller en ( 2 ) EGT L 8, 12.1.2001, s. 1. brottslig handling när det gäller [den som invandrat och utövar ( 3 ) KOM(2011) 522 slutlig. yrket]?” 18.2.2012 Europeiska SV unionens officiella tidning C 48/3

text: 6. IMI är emellertid utformat som ett flexibelt horisontellt 2. ANALYS AV FÖRSLAGET system som kan stödja många områden av lagstiftningen om den inre marknaden. Det är tänkt att användningen 2.1 Europeiska datatillsynsmannens allmänna om successivt ska ökas och stödja ytterligare rättsliga områden döme om förslaget och om de centrala utmaningar i framtiden. som gäller för IMI

text: 11. Europeiska datatillsynsmannens allmänna omdöme om IMI är positivt. Europeiska datatillsynsmannen stöder 7. En utvidgning av funktionerna i IMI planeras också. Förut- kommissionens syften med att inrätta ett elektroniskt sy om utbyte av uppgifter mellan två parter finns det också stem för informationsutbyte och reglera dess dataskydds andra funktioner som planeras eller redan har införts, aspekter. Ett sådant rationaliserat system kan inte bara såsom ”anmälningsförfaranden, varningsmekanismer, ar effektivisera samarbetet utan också hjälpa till att säker rangemang för ömsesidigt bistånd och problemlösning” ( 8 ) ställa överensstämmelse med tillämplig dataskyddslagstift liksom ”arkivering av uppgifter som framtida referens för ning. Detta är möjligt genom att systemet tillhandahåller IMI-aktörer” ( 9 ). I många, men inte i alla dessa funktioner en tydlig ram för vilken typ av information som kan kan också behandlingen av personuppgifter ingå. utbytas med vem och på vilka villkor.

text: 8. Enligt förslaget ska en tydlig rättslig grund och ett omfat 12. Europeiska datatillsynsmannen välkomnar också att kom tande ramverk för uppgiftsskydd för IMI tillhandahållas. missionen föreslår ett horisontellt rättsinstrument för IMI i form av rådets och parlamentets förordning. Han välkom nar att de viktigaste uppgiftsskyddsfrågorna för IMI i stor utsträckning belyses i förslaget. Hans synpunkter ska läsas 1.3 Bakgrund till förslaget: ett stegvist tillvägagångs mot denna positiva bakgrund. sätt för att införa ett omfattande ramverk för uppgiftsskydd för IMI

text: 9. Under våren 2007 begärde kommissionen ett yttrande 13. Europeiska datatillsynsmannen betonar icke desto mindre från arbetsgruppen för skydd av uppgifter (nedan kallad att införandet av ett enda centraliserat elektroniskt system artikel 29-gruppen) för att undersöka hur IMI påverkar för många områden av det administrativa samarbetet ger uppgiftsskyddet. Artikel 29-gruppen avgav sitt yttrande upphov till risker. Den viktigaste av dessa är att fler upp den 20 september 2007 ( 10 ). I yttrandet rekommenderades gifter kan lämnas ut mer allmänt än vad som är strikt kommissionen att tillhandahålla en tydligare rättslig grund nödvändigt för ett effektivt samarbete och att uppgifter, och särskilda riktlinjer för uppgiftsskydd vid utbyte av däribland potentiellt föråldrade och felaktiga, kan kvarstå i uppgifter inom IMI. Europeiska datatillsynsmannen deltog systemet längre än nödvändigt. Säkerheten hos en databas aktivt i arbetet i undergruppen för IMI och stödde slut som är åtkomlig för 27 medlemsstater är också en känslig satserna i artikel 29-gruppens yttrande. fråga, eftersom hela systemet bara är lika säkert som den svagaste länken i nätet.

text: 10. Europeiska datatillsynsmannen gav även fortsättningsvis ytterligare vägledning åt kommissionen om hur ett mer V ä s e n t l i g a u t m a n i n g a r omfattande ramverk för uppgiftsskyddet för IMI skulle 11 14. Beträffande det rättsliga ramverk för IMI som ska inrättas säkerställas steg för steg ( ). Inom ramen för detta sam genom den föreslagna förordningen vill Europeiska data arbete och sedan Europeiska datatillsynsmannens yttrande 12 tillsynsmannen rikta uppmärksamheten på två centrala om genomförandet av IMI ( ) avgavs den 22 februari utmaningar: 2008 har denne konsekvent påpekat behovet av ett nytt rättsinstrument som antas genom det ordinarie lagstift ningsförfarandet för att inrätta ett mer omfattande ram verk för uppgiftsskyddet för IMI och skapa rättssäkerhet. — behovet av att säkerställa enhetlighet samtidigt som Förslaget till ett sådant rättsinstrument har nu fram mångfalden respekteras, och lagts ( 13 ). ( 8 ) Se skäl 10. — behovet av att väga flexibilitet mot rättssäkerhet. ( 9 ) Se

text: artikel 13.2

text: . ( 10 ) Artikel 29-gruppens yttrande nr 7/2007 om dataskyddsfrågor i samband med informationssystemet för den inre marknaden (IMI),

text: . Finns tillgängligt på http://ec.europa.eu/justice/policies/ 15. Dessa väsentliga utmaningar är viktiga referenspunkter, privacy/docs/wpdocs/2007/wp140_sv.pdf och de bestämmer till stor del Europeiska datatillsynsman ( 11 ) Nyckeldokumenten om detta samarbete finns tillgängliga på kom nens inställning i detta yttrande. missionens webbplats för IMI på http://ec.europa.eu/internal_ market/imi-net/data_protection_sv.html och på Europeiska datatill synsmannens webbplats på http://www.edps.europa.eu ( 12 ) Yttrande från Europeiska datatillsynsmannen om kommissionens E n h e t l i g h e t s a m t i d i g t s o m m å n g f a l d r e  beslut

text: av den 12 december 2007 om genomförandet s p e k t e r a s av informationssystemet för den inre marknaden (IMI) med avse ende på skyddet av personuppgifter (EUT C 270, 25.10.2008, s. 1). 13 16. För det första är IMI ett system som används i 27 med ( ) Artikel 29-gruppen planerar också att lämna synpunkter på försla get. Europeiska datatillsynsmannen har följt utvecklingen i den re lemsstater. Med den nuvarande nivån i fråga om harmo levanta undergruppen i artikel 29-gruppen och lämnat synpunkter. nisering av den europeiska lagstiftningen finns det C 48/4 SV Europeiska unionens officiella tidning 18.2.2012 avsevärda skillnader mellan de nationella administrativa särskilda bestämmelserna i direktivet om erkännande av förfarandena och mellan de nationella bestämmelserna yrkeskvalifikationer och direktivet om tillämpningen av om uppgiftsskydd. IMI måste utformas på ett sådant sätt patienters rättigheter vid gränsöverskridande hälso- och att användarna i var och en av dessa 27 medlemsstater sjukvård ( 15 ). kan följa sina nationella lagar, inbegripet bestämmelser om uppgiftsskydd, när de utbyter personuppgifter via IMI. Samtidigt måste de registrerade också försäkras om att deras uppgifter skyddas konsekvent, oberoende av att 20. Eftersom det förväntas att tillämpningsområdet för IMI uppgifterna överförs via IMI till en annan medlemsstat. kommer att utvidgas anges potentiella områden för ut Att iaktta enhetlighet samtidigt som mångfalden respekte vidgning i bilaga II. Punkter i bilaga II kan flyttas till bilaga ras är en viktig utmaning när både den tekniska och den I genom en delegerad akt som antas av kommissionen rättsliga infrastrukturen för IMI utformas. Onödig kom efter en konsekvensbedömning ( 16 ). plexitet och uppsplittring bör undvikas. Uppgiftsbehand lingen inom IMI måste vara transparent, och ansvaret för att fatta beslut om utformningen av systemet, det dagliga underhållet och användningen av systemet, och även över vakningen av det, måste vara tydligt fördelat. 21. Europeiska datatillsynsmannen välkomnar denna metod eftersom den i) tydligt avgränsar IMI:s tillämpningsområde och ii) säkerställer insyn och iii) samtidigt ger flexibilitet i de fall då IMI används för ytterligare informationsutbyte i framtiden. Den säkerställer också att inget informations A v v ä g n i n g m e l l a n f l e x i b i l i t e t o c h r ä t t s  utbyte kan genomföras genom IMI i) utan att det finns en s ä k e r h e t lämplig rättslig grund i särskild lagstiftning om den inre 17. För det andra är IMI, till skillnad från andra storskaliga IT- marknaden som tillåter eller föreskriver informationsutby system som Schengens informationssystem, informations te ( 17 ) och ii) utan att en hänvisning till denna rättsliga systemet för viseringar, tullinformationssystemet och Eu grund införs i bilaga I till förordningen. rodac, vilka alla är inriktade på samarbete inom särskilda, klart definierade områden, ett horisontellt verktyg för in formationsutbyte som kan användas för att underlätta informationsutbytet inom många olika politikområden. 22. I detta sammanhang råder det fortfarande osäkerhet be Avsikten är också att IMI:s tillämpningsområde stegvis träffande IMI:s tillämpningsområde när det gäller de poli ska utökas till ytterligare politikområden, och funktio tikområden som IMI kan utvidgas till och beträffande de nerna kan också komma att innefatta hittills inte angivna funktioner som ingår eller kan ingå i IMI. typer av administrativt samarbete. Dessa utmärkande drag hos IMI gör det svårare att klart definiera systemets funk tioner och det utbyte av uppgifter som kan äga rum i systemet. Det är därför också en större utmaning att klart definiera lämpliga säkerhetsåtgärder för uppgiftsskydd. 23. För det första kan det inte uteslutas att IMI:s tillämpnings område kan utvidgas mer än till att omfatta de politik områden som anges i bilagorna I och II. Detta kan inträffa om användningen av IMI för vissa typer av informations utbyte inte föreskrivs av kommissionen i en delegerad akt 18. Europeiska datatillsynsmannen medger att det behövs flex utan i en akt som har antagits av parlamentet och rådet i ibilitet och tar notis om kommissionens önskan att göra ett fall där detta inte förutsetts i bilaga II ( 18 ). förordningen ”framtidssäker”. Detta får emellertid inte leda till bristande tydlighet eller rättssäkerhet i fråga om syste ( 15 )

text: Europaparlamentets och rådets direktiv 2011/24/EU

text: av den 9 mars mets funktioner och de säkerhetsåtgärder för uppgifts 2011 om tillämpningen av patienträttigheter vid gränsöverskri skydd som ska införas. Förslaget bör därför alltid när dande hälso- och sjukvård (EUT L 88, 4.4.2011, s. 45). det är möjligt göras mer specifikt, och inte bara vara en ( 16 ) I själva utkastet till förordning anges inte någon konsekvensbedöm upprepning av de viktigaste principerna för uppgiftsskydd ning. På sidan 7 i motiveringen till förslaget förklaras det att kom som anges i direktiv

text: och förordning (EG) nr missionen kommer att få befogenheter att flytta punkter från bilaga II till bilaga I genom att anta en delegerad akt och ”efter en be 45/2001 ( 14 ). dömning av teknisk genomförbarhet, kostnadseffektivitet, användar vänlighet och totala verkningar på systemet samt resultaten från en tänkbar testningsfas”. ( 17 ) Med undantag för Solvit (se bilaga II, I.1) där bara ”mjuk lagstiftning”, kommissionens rekommendation, finns tillgänglig. Från 2.2 IMI:s tillämpningsområde och dess förväntade uppgiftsskyddssynpunkt kan enligt Europeiska datatillsynsmannen i utvidgning (artiklarna

text: och

text: ) det speciella fallet med Solvit den rättsliga grunden för behand 18.2.2012 Europeiska SV unionens officiella tidning C 48/5

text: 24. För det andra, medan en utvidgning av tillämpningsområ 27. Mer specifika och tydliga åtgärder skulle till exempel det till nya politikområden i vissa fall bara kräver en liten kunna anges för integreringen av Solvit ( 22 ) i IMI (bestäm eller ingen ändring av systemets befintliga funktioner ( 19 ), melser för ”externa aktörer” och ”problemlösning”) och för kan andra utvidgningar kräva nya och annorlunda funk adresskatalogerna med yrkesverksamma och tillhandahål tioner eller viktiga ändringar i befintliga funktioner: lare av tjänster (bestämmelser om ”arkivering”). — Även om det i förslaget hänvisas till olika befintliga eller planerade funktioner är hänvisningarna ofta inte 28. Ytterligare klarlägganden bör också göras beträffande ”var tillräckligt tydliga eller tillräckligt preciserade. Detta ningar”, vilka redan används enligt tjänstedirektivet och gäller i varierande grad för hänvisningar till varningar, också kan införas inom ytterligare politikområden. I syn externa aktörer, arkivering, arrangemang för ömsesi nerhet bör ”varning” som funktion definieras tydligare i digt bistånd och problemlösning ( 20 ). Ordet ”varning”,

text: artikel 5

text: (tillsammans med andra funktioner, som infor som avser en befintlig central funktion, nämns till mationsutbyte mellan två parter och arkivering). Tillträ exempel bara en enda gång, i skäl 10. desrättigheter och lagringstider för varningar bör också klarläggas ( 23 ). — Enligt förslaget till förordning är det möjligt att anta nya typer av funktioner som inte alls nämns i försla get. F ö r f a r a n d e m ä s s i g a s k y d d s å t g ä r d e r ( k o n  s e k v e n s b e d ö m n i n g a v u p p g i f t s s k y d d o c h s a m r å d m e d d a t a t i l l s y n s m y n d i g h e t e r ) — IMI har hittills beskrivits som ett IT-verktyg för infor 29. Om avsikten är att förordningen ska vara ”framtidssäker” i mationsutbyte, med andra ord ett kommunikations fråga om ytterligare funktioner som kan bli nödvändiga verktyg (se till exempel artikel 3 i förslaget). Vissa av på längre sikt och att således ytterligare funktioner ska de funktioner som anges i förslaget, inbegripet funk tillåtas som ännu inte är definierade i förordningen bör tionen ”arkivering av information” tycks emellertid detta åtföljas av lämpliga förfarandemässiga skyddsåtgär sträcka sig längre. Den föreslagna förlängningen av der för att säkerställa att lämpliga åtgärder vidtas för att arkiveringstiden till fem år tyder också på en förskjut införa de nödvändiga åtgärderna för uppgiftsskydd innan ning i riktning mot en ”databas”. En sådan utveckling den nya funktionen tas i bruk. Detsamma bör gälla för skulle förändra IMI:s karaktär i grunden ( 21 ). utvidgningar till nya politikområden där detta påverkar uppgiftsskyddet. 2.2.2 Rekommendationer

text: 25. För att ta itu med dessa osäkra punkter rekommenderar 30. Europeiska datatillsynsmannen rekommenderar en tydlig Europeiska datatillsynsmannen ett tvådelat tillvägagångs mekanism som säkerställer att uppgiftsskyddsfrågor noga sätt. Han föreslår för det första att funktioner som redan utvärderas före varje utvidgning av funktionerna eller ut kan förutses ska klarläggas och tas upp mer specifikt, och sträckning till nya politikområden och att ytterligare för det andra att lämpliga förfarandemässiga skyddsåtgär skyddsåtgärder eller tekniska åtgärder införs i IMI:s arki der ska vidtas för att säkerställa att uppgiftsskyddet också tektur om det är nödvändigt. I synnerhet noga övervägs under den framtida utvecklingen av IMI. K l a r l ä g g a n d e a v f u n k t i o n e r s o m r e d a n ä r — bör den konsekvensbedömning som anges på sidan 7 t i l l g ä n g l i g a e l l e r f ö r u t s e b a r a ( t . e x u t  i motiveringen krävas speciellt i själva förordningen b y t e m e l l a n t v å p a r t e r , v a r n i n g a r , a r k i  och även innefatta konsekvensbedömning av uppgifts v e r i n g , p r o b l e m l ö s n i n g o c h e x t e r n a a k  skydd som ska inriktas speciellt på vilka eventuella t ö r e r ) ändringar i utformningen av IMI som är nödvändiga för att säkerställa att förordningen fortsättningsvis in 26. Europeiska datatillsynsmannen rekommenderar att förord nehåller lämpliga åtgärder för uppgiftsskydd som ningen görs mera specifik när det gäller funktioner där också omfattar de nya politikområdena och/eller funk dessa redan är kända, som i fråga om det informations tionerna, utbyte som anges i bilagorna I och II. C 48/6 SV Europeiska unionens officiella tidning 18.2.2012

text: 31. Dessa förfarandemässiga skyddsåtgärder (konsekvens met åtminstone inte tillåta att information som kommer bedömning av uppgiftsskydd och samråd) bör gälla både från olika politikområden slås samman. Undantag bör om för utvidgning genom en delegerad akt från kommissio det är nödvändigt anges i genomförandebestämmelser el nen (flyttning av en post från bilaga II till bilaga I) och ler i en unionsrättsakt med strikt iakttagande av principen genom parlamentets och rådets förordning med införande om ändamålsbegränsning. av en post som ännu inte har angetts i bilaga II.

text: 39. Dessa principer anges nu i förordningstexten, men de kan 32. Slutligen rekommenderar Europeiska datatillsynsmannen stärkas och operationaliseras ytterligare. att man i förordningen klarlägger huruvida tillämpnings området för de delegerade akter som kommissionen kom 40. När det gäller kommissionens tillträdesrättigheter välkom mer att få befogenheter att anta enligt

text: artikel 23

text: ska nar Europeiska datatillsynsmannen att det i förslagets ar innefatta andra punkter utöver flyttning av poster från tiklar 9.2, 9.4 och 10.6 sammantagna anges att kommis bilaga II till bilaga I: Om det är möjligt bör kommissionen sionen inte ska ha tillgång till de personuppgifter som ges befogenheter i förordningen att anta speciella genom utbyts mellan medlemsstater utom i de fall där kommis förandeakter eller delegerade akter för att närmare defi sionen anges som deltagare i ett förfarande för administ niera ytterligare funktioner i systemet eller ta upp upp rativt samarbete. giftsskyddsfrågor som kan uppkomma i framtiden.

text: 41. Externa aktörers tillträdesrättigheter och tillträdesrätt till 2.3 Roller, behörighet och ansvarsområden (artiklarna varningar bör också specificeras ytterligare ( 24 ). Beträffande 7–9) varningar rekommenderar Europeiska datatillsynsmannen att det i förordningen föreskrivs att varningar inte som 33. Europeiska datatillsynsmannen välkomnar att ett helt ka standard ska skickas till alla behöriga myndigheter i fråga i pitel (kapitel II) ägnas åt att klarlägga de funktioner och alla medlemsstater, utan bara till dem som är berörda, ansvarsområden som de olika aktörer som är involverade i under förutsättning att informationen behövs. Detta ute IMI har. Bestämmelserna skulle kunna stärkas ytterligare sluter inte att varningar skickas till alla medlemsstater i enligt följande. speciella fall eller inom speciella politikområden om alla är berörda. Likaledes är en bedömning från fall till fall 34. I

text: artikel 9

text: beskrivs de ansvarsområden som följer av kom nödvändig för att avgöra huruvida kommissionen ska ha missionens roll som kontrollerande institution. Europeiska tillgång till varningar. datatillsynsmannen rekommenderar dessutom att ytterli gare en bestämmelse införs med uppgift om kommissio 2.5 Bevarande av personuppgifter (

text: artiklarna 13

text: nens roll för att säkerställa att systemet är utformat med och 14) tillämpning av principerna om ”inbyggt integritetsskydd” och dess roll som samordnare när det gäller uppgifts 2.5.1 Inledning skyddsfrågor.

text: 42. Genom artikel 13 i förslaget förlängs lagringstiden för 35. Europeiska datatillsynsmannen välkomnar att det i IMI- uppgifter i IMI från för närvarande sex månader (räknat samordnarnas uppgifter som anges i

text: artikel 7

text: nu särskilt från det att ärendet avslutats) till fem år, varvid uppgif ingår samordningsuppgifter i fråga om uppgiftsskydd, in terna ”blockeras” efter 18 månader. Under den period då begripet att fungera som kontaktperson för kommissio uppgifterna ”blockeras” är de bara tillgängliga efter ett nen. Han rekommenderar att det dessutom klargörs att speciellt förfarande för inhämtning som bara kan inledas kontakter med de nationella datatillsynsmyndigheterna på begäran av den registrerade personen eller om upp också ingår i dessa samordningsuppgifter. gifterna behövs ”för att bevisa att informationsutbyte före kommit genom IMI”. 2.4 Tillträdesrättigheter (

text: artikel 10

text: ) 43. I själva verket lagras uppgifterna i IMI således under tre 36. I

text: artikel 10

text: anges skyddsåtgärder i samband med tillträ olika perioder: desrättigheter. Europeiska datatillsynsmannen välkomnar att dessa bestämmelser har stärkts avsevärt efter det att — från det att de lämnats och till dess att ärendet avslu han lämnat synpunkter. tats,

text: 37. Med tanke på IMI:s horisontella och expansiva karaktär är — från det att ärendet avslutats för en period om 18 det viktigt att säkerställa att systemet garanterar att ”kine månader ( 25 ), siska murar” tillämpas som begränsar den information som behandlas inom ett politikområde till enbart detta politikområde. Användarna av IMI bör i) bara få tillgång — i blockerad form i ytterligare tre år och sex månader till information under förutsättning att informationen be från det att de 18 månaderna har löpt ut (med andra hövs, och ii) informationen ska begränsas till ett enda ord tills det har gått fem år sedan ärendet avslutades). politikområde. 18.2.2012 Europeiska SV unionens officiella tidning C 48/7

text: 44. Utöver dessa allmänna regler är enligt

text: artikel 13.2

text: ”arki länga den nuvarande sexmånadersperioden till 18 må vering av uppgifter” tillåten så länge som det krävs för nader efter det att ärendet har avslutats och, om så är detta ändamål, med medgivande från den registrerade eller fallet, huruvida detta gäller bara för informationsutbyte när ”det är nödvändigt för att efterleva en unionsakt”. I mellan två parter eller också för andra typer av funktioner.

text: artikel 14

text: föreskrivs vidare en liknande blockeringsmeka IMI har nu funnits i flera år, och de praktiska erfarenheter nism för bevarande av personuppgifter som gäller IMI- som gjorts i detta avseende bör utnyttjas. användare i fem år efter det att de upphört att vara IMI-användare.

text: 51. Om IMI fortsätter att vara ett verktyg för informations 45. Det finns inga andra speciella bestämmelser. Därför är utbyte (till skillnad från ett system för ärendehantering, en förmodligen de allmänna reglerna avsedda att tillämpas databas eller ett arkiveringssystem) och dessutom förutsatt inte bara på utbyte mellan två parter utan också på var att de behöriga myndigheterna ges verktyg för att från ningar, problemlösning (som i Solvit ( 26 )) och på alla an systemet hämta den information som de har tagit emot dra funktioner där personuppgifter behandlas. (antingen på elektronisk väg eller i pappersform, och åt minstone på ett sådant sätt att de kan använda den häm tade informationen som bevis ( 27 )) tycks det inte finnas 46. Mot bakgrund av

text: artikel 6.1 e i direktiv 95/46/EG

text: och något större behov av att överhuvudtaget bevara uppgif

text: artikel 4.1 e i förordning (EG) nr 45/2001

text: , vilka båda terna i IMI efter det att ärendet har avslutats. kräver att personuppgifter inte lagras under en längre tid än vad som är nödvändigt för de ändamål för vilka de samlades in eller för vilka de senare behandlas, ställer sig Europeiska datatillsynsmannen tveksam i flera avseen 52. Vid utbyte av information mellan två parter kan det finnas den när det gäller lagringstiderna. behov av att ställa uppföljningsfrågor också efter det att ett svar har mottagits, och ett ärende således har avslutats, vilket kan motivera en (rimligt kort) lagringsperiod efter 2.5.2 Från överföring till avslutning av ärendet: behovet av det att ärendet har avslutats. Den nuvarande sexmånaders avslutning av ärendet i rätt tid perioden verkar vid första anblicken vara tillräckligt väl tilltagen för detta ändamål. 47. När det gäller den första perioden, från överföringen av information och till dess att ärendet avslutas, ställer sig Europeiska datatillsynsmannen tveksam eftersom det finns risk för att vissa ärenden kanske aldrig avslutas eller av 2.5.4 Från 18 månader till fem år: ”blockerade” uppgifter slutas efter orimligt lång tid. Det kan leda till att vissa personuppgifter finns kvar längre i databasen än som är 53. Europeiska datatillsynsmannen anser att kommissionen nödvändigt eller till och med för obestämd tid. inte heller har lämnat någon tillräcklig motivering till att det skulle vara nödvändigt och proportionerligt att lagra ”blockerade uppgifter” i upp till fem år. 48. Europeiska datatillsynsmannen inser att kommissionen har gjort framsteg på det praktiska planet för att minska eftersläpningen i IMI, och det finns ett system för utbyte mellan två parter för att kontrollera att ärenden avslutas i 54. I motiveringen på sidan 8 hänvisas det till domstolens rätt tid och för att påminna dem som ligger efter. Des dom i målet Rijkeboer ( 28 ). Europeiska datatillsynsmannen sutom gör en ny ändring i systemets funktioner enligt rekommenderar att kommissionen på nytt överväger hur principerna om ”inbyggt integritetsskydd” det möjligt att detta ärende påverkar lagring av uppgifter i IMI. Han anser med en enda knapptryckning acceptera ett svar och sam att domen i målet Rijkeboer inte medför att IMI måste tidigt avsluta ärendet. Tidigare har det krävts två olika steg konfigureras för att lagra uppgifter i fem år efter det att för detta, vilket kan ha varit orsaken till en del av de ärendet har avslutats. vilande fall som har stannat kvar i systemet.

text: 49. Europeiska datatillsynsmannen välkomnar dessa insatser 55. Europeiska datatillsynsmannen anser inte att en hänvis på det praktiska planet. Han rekommenderar emellertid ning till domen i målet Rijkeboer eller till registrerades att det i själva förordningstexten ges garantier för att ären rätt att få tillgång till sina uppgifter är en tillräcklig och dena avslutas i rätt tid i IMI och att vilande ärenden lämplig motivering för att lagra uppgifter i IMI i fem år (ärenden utan aktivitet på senare tid) tas bort ur databa efter det att ärendet har avslutats. Att lagra enbart ”logg sen. data” (exakt definierade för att utesluta allt innehåll, bland annat bilagor och känsliga uppgifter) kan vara ett mindre inkräktande alternativ, vilket kanske förtjänar att över 2.5.3 Från avslutning av ärendet till 18 månader: är en för vägas ytterligare. På detta stadium är Europeiska datatill längning av sexmånadersperioden befogad? synsmannen emellertid inte övertygad om att ens detta skulle vara vare sig nödvändigt eller proportionerligt. 50. Europeiska datatillsynsmannen uppmanar parterna att på nytt överväga huruvida det är tillräckligt befogat att för ( 27 ) Vi förstår att insatser har gjorts för att säkerställa detta på det praktiska planet. ( 26 ) Se bilaga II, I.1. ( 28 )

text: , Rijkeboer [2009], REG s. I-3889. C 48/8 SV Europeiska unionens officiella tidning 18.2.2012

text: 56. Dessutom är oklarheten om vem som ska få tillgång till det administrativa samarbetet enligt tjänstedirektivet och de ”blockerade uppgifterna” och för vilket syfte också direktivet om erkännande av yrkeskvalifikationer, utforma problematisk. Att bara hänvisa till användning ”när det des det faktiskt för att hantera sådana uppgifter, särskilt gäller bevis på informationsutbyte” (som i

text: artikel 13.3

text: ) uppgifter i samband med protokoll över brott och ad är inte tillräckligt. Om man behåller bestämmelsen om ministrativa förseelser som kan påverka en yrkesutövares ”blockering” bör det i vart fall bättre anges vem som eller tjänsteleverantörs rätt att utföra arbete/tjänster i en kan be om bevis på informationsutbyte och i vilket sam annan medlemsstat. manhang. Skulle andra ha rätt att begära tillträde, förutom den registrerade personen? Om så var fallet, skulle det bara vara de behöriga myndigheterna, och bara för att 62. Dessutom ska förmodligen en avsevärd mängd känsliga bevisa att ett speciellt informationsutbyte med speciellt uppgifter som omfattas av

text: artikel 8.1

text: (huvudsakligen häl innehåll har ägt rum (om ett sådant utbyte har bestridits sorelaterade uppgifter) hanteras i IMI när IMI utvidgas till av de behöriga myndigheter som skickade eller tog emot att innefatta en modul för Solvit ( 30 ). Slutligen kan det inte meddelandet)? Förutses annan möjlig användning ”för att uteslutas att ytterligare känsliga uppgifter i framtiden bevisa att ett informationsutbyte har ägt rum” ( 29 )? också kan samlas in genom IMI på ad hoc-basis eller syste matiskt. 2.5.5 Varningar

text: 57. Europeiska datatillsynsmannen rekommenderar att det 2.7 Säkerhet (

text: artikel 16

text: och skäl 16) görs en tydligare åtskillnad mellan varningar och arkive 63. Europeiska datatillsynsmannen välkomnar att det i ring av information. Det är en sak att använda en varning

text: artikel 16

text: särskilt anges att kommissionen är skyldig att som kommunikationsverktyg för att varna behöriga myn följa sina egna interna bestämmelser som den har antagit digheter om en speciell förseelse eller misstanke och en enligt

text: artikel 22 i förordning (EG) nr 45/2001

text: och att helt annan sak att lagra varningen i en databas under en anta en säkerhetsplan för IMI och hålla denna uppdaterad. lång eller till och med obestämd tid. Lagring av varnings information skulle leda till ytterligare betänkligheter och kräva särskilda regler och ytterligare skyddsåtgärder. 64. För att ytterligare stärka dessa bestämmelser rekommen derar Europeiska datatillsynsmannen att förordningen ska 58. Europeiska datatillsynsmannen rekommenderar därför att kräva en riskbedömning och en översyn av säkerhetspla det i förordningen föreskrivs som en generell regel i) att nen varje gång IMI ska utvidgas till ett nytt politikområde sex månaders lagring ska gälla för varningar om inget och innan en ny funktion som påverkar personuppgifter annat anges i vertikal lagstiftning och förutsatt att det läggs till ( 31 ). finns andra tillräckliga skyddsmekanismer och, vilket är viktigt, ii) att denna period ska räknas från det att var ningen skickas ut. 65. Europeiska datatillsynsmannen har dessutom också kon staterat att endast kommissionens skyldigheter och Euro peiska datatillsynsmannens roll som övervakare anges i 59. Som alternativ rekommenderar Europeiska datatillsyns

text: artikel 16

text: och skäl 16. Detta kan vara missvisande. Det mannen att detaljerade skyddsåtgärder anges speciellt i är visserligen sant att kommissionen är systemoperatör förslaget till förordning när det gäller varningar. Europe och som sådan har ansvar för en övervägande del av iska datatillsynsmannen är beredd att bistå kommissionen upprätthållandet av säkerheten i IMI, men de behöriga och lagstiftarna med ytterligare råd i detta avseende, om myndigheterna har också skyldigheter som i sin tur över detta andra tillvägagångssätt tillämpas. vakas av nationella datatillsynsmyndigheter. I

text: artikel 16

text: och skäl 16 bör därför också de skyldigheter beträffande säkerhet som gäller för resten av aktörerna inom IMI 2.6 Specialkategorier av uppgifter (

text: artikel 15

text: ) enligt direktiv

text: och för de nationella datatillsyns myndigheternas tillsynsbefogenheter anges. 60. Europeiska datatillsynsmannen välkomnar den åtskillnad som görs mellan sådana personuppgifter som anges i

text: artikel 8.1 i direktiv 95/46/EG

text: och sådana som nämns i

text: artikel 8.5

text: . Han välkomnar också att det i förordningen 2.8 Information till de registrerade samt insyn tydligt anges att hantering av specialkategorier av uppgif (

text: artikel 17

text: ) ter endast ska tillåtas med hänvisning till ett särskilt skäl 2.8.1 Information som lämnas i medlemsstater som anges i

text: artikel 8 i direktiv 95/46/EG

text: . 66. Beträffande

text: artikel 17.1

text: rekommenderar Europeiska data tillsynsmannen mer specifika bestämmelser i förordningen 61. I detta hänseende förstår Europeiska datatillsynsmannen för att säkerställa att de registrerade ges fullständig infor att IMI kommer att hantera en avsevärd mängd känsliga mation om sina uppgifter i IMI. Med tanke på att IMI uppgifter som omfattas av

text: artikel 8.2 i direktiv 95/46/EG

text: . används av många behöriga myndigheter, inbegripet Från första början, när IMI först togs i bruk för att stödja många små lokala förvaltningar utan tillräckliga resurser, rekommenderas det eftertryckligen att lämnandet av med ( 29 ) Även om lagring av personuppgifter innebär jämförelsevis små ris delanden samordnas på nationell nivå. ker i fråga om den personliga integriteten anser Europeiska data tillsynsmannen ändå att lagring av IMI-användarnas personuppgifter i mer än fem år när de inte längre har tillträde till IMI inte har ( 30 ) Se bilaga II, I.1. motiverats tillräckligt. ( 31 ) Se även avsnitt 12 om rekommendationer beträffande granskningar. 18.2.2012 Europeiska SV unionens officiella tidning C 48/9 2.8.2 Information som lämnas av kommissionen — innan ärendet avslutas,

text: 67. Enligt

text: artikel 17.2 a

text: ska kommissionen lämna ett integri tetsmeddelande beträffande sina egen behandling av upp — efter det att ärendet avslutats, men innan den 18 må gifter enligt artiklarna 10 och 11 i förordning (EG) nr nader långa lagringstiden har löpt ut, 45/2001. Dessutom ska kommissionen enligt

text: artikel 17.2 b

text: också lämna information om ”dataskydds aspekterna i samband med förfaranden för administrativt — och slutligen under den tid då uppgifter är ”blockera samarbete i IMI, enligt

text: artikel 12

text: ”. Slutligen ska kommis de”. sionen enligt

text: artikel 17.2 c

text: lämna information om ”un dantag från eller begränsningar av de registrerades rättig heter, enligt

text: artikel 19

text: ”. 73. Förordningen bör också kräva att de behöriga myndighe terna vid behov samarbetar när det gäller begäran om tillträde. Korrigering och radering bör utföras ”så snart 68. Europeiska datatillsynsmannen välkomnar dessa bestäm som möjligt och senast inom 60 dagar” och inte ”inom melser som bidrar till insyn i uppgiftsbehandlingen 60 dagar”. En hänvisning bör också göras till möjligheten inom IMI. Såsom konstaterats i avsnitt 2.1 ovan har det att bygga upp dataskyddsmoduler och utforma lösningar avgörande betydelse att enhetlighet säkerställs i fråga om där registren utformas med ”integritetsfrämjande teknik” användningen av systemet, de skyddsåtgärder som tilläm och där myndigheterna samarbetar kring ”den registrera pas och den information som lämnas till de registrera des rätt att ta del av uppgifter”, till exempel genom att ge de ( 32 ). dem direkt tillgång till uppgifterna när detta är tillämpligt och genomförbart.

text: 69. Bestämmelserna i

text: artikel 17.2

text: bör ändå stärkas ytterligare. Kommissionen i dess egenskap av systemoperatör har bäst 2.10 Övervakning (

text: artikel 20

text: ) förutsättningar för att inta en proaktiv hållning när en första ”del” av meddelanden om skydd av personuppgifter 74. Under de senaste åren har modellen med ”samordnad och annan relevant information till de registrerade lämnas övervakning” utvecklats. Denna modell för övervakning på dess flerspråkiga webbplats, också för behöriga myn som nu används i Eurodac och delar av tullinformations digheters räkning, det vill säga sådan information som systemet har också införts för informationssystemet för krävs enligt artiklarna

text: eller

text: i direktiv 95/46/EG. viseringar (VIS) och andra generationen av Schengens in För meddelanden som lämnas av behöriga myndigheter i formationssystem (SIS II). medlemsstater skulle det då ofta vara tillräckligt att helt enkelt hänvisa till det meddelande som kommissionen 75. Modellen består av tre delar: lämnat och bara göra nödvändiga kompletteringar, så att de följer eventuell ytterligare speciell information som krävs speciellt enligt nationell lagstiftning. — Övervakning på nationell nivå säkerställs av nationella datatillsynsmyndigheter. 70. I

text: artikel 17.2 b

text: bör det också klargöras att information som lämnas av kommissionen ska omfatta alla politik — Övervakning på EU-nivå säkerställs av Europeiska da områden, alla typer av förfaranden för administrativt sam tatillsynsmannen. arbete och alla funktioner i IMI som helhet och också särskilt de kategorier av uppgifter som kan komma att behandlas. Dessutom bör de frågeserier som används vid — Samordningen tryggas genom regelbundna möten och samarbete mellan två parter också publiceras på IMI:s andra samordnade aktiviteter som stöds av Europeiska webbplats, vilket redan sker i praktiken. datatillsynsmannen, vilken fungerar som sekretariat för samordningsmekanismen. 2.9 Rätt till tillträde, korrigering och radering (

text: artikel 18

text: 76. Modellen har visat sig vara framgångsrik och effektiv och bör i framtiden planeras för andra informationssystem. 71. Europeiska datatillsynsmannen vill åter hänvisa till att det, vilket konstaterats i avsnitt 2.1 ovan, har avgörande bety delse att enhetlighet säkerställs när det gäller driften av 77. Europeiska datatillsynsmannen välkomnar att det i systemet och de skyddsåtgärder som tillämpas. Europeiska artikel 20 i förslaget föreskrivs att de nationella datatill datatillsynsmannen skulle därför vilja se en ytterligare spe synsmyndigheterna och Europeiska datatillsynsmannen cificering av bestämmelserna om rätt till tillträde, korrige ska samordna övervakningen enligt den modell som fast ring och radering. ställs i VIS- och SIS II-förordningarna ( 33 ). C 48/10 SV Europeiska unionens officiella tidning 18.2.2012

text: 78. Europeiska datatillsynsmannen skulle vilja stärka bestäm 81. Vad beträffar regelbundna granskningar kan det också melserna om samordnad övervakning på vissa punkter vara mera effektivt att överlåta åt de samarbetande myn och skulle därför förorda bestämmelser liknande dem digheterna att i sina förfaranderegler bestämma när och som till exempel finns i samband med informationssyste hur ofta sådana granskningar ska genomföras. Detta kan met för viseringar (artiklarna 41–43 i VIS-förordningen), vara beroende av ett antal faktorer och kanske också Schengen II (artiklarna 44–46 i SIS II-förordningen) och ändra sig med tiden. Europeiska datatillsynsmannen stöder planeras för Eurodac ( 34 ). Europeiska datatillsynsmannen därför kommissionens tillvägagångssätt, som tillåter mer rekommenderar i synnerhet flexibilitet också i detta avseende. — att det i artikel

text: och

text: i förordningen görs en 2.11 Nationell användning av IMI beskrivning och en tydligare definition av de natio nella datatillsynsmyndigheternas och Europeiska data 82. Europeiska datatillsynsmannen välkomnar att förslaget till tillsynsmannens respektive övervakningsuppgifter ( 35 ), handahåller en tydlig rättslig grund för den nationella användningen av IMI och att sådan användning omfattas av flera villkor, samt att den nationella datatillsynsmyn — att det i

text: artikel 20.3

text: anges att de nationella datatill digheten ska underrättas och att användningen måste följa synsmyndigheterna och Europeiska datatillsynsmannen den nationella lagstiftningen. inom ramen för sina befogenheter ”ska samarbeta ak tivt” och ”trygga en samordnad övervakning av IMI” (och att man inte enbart hänvisar till samordnad över 2.12 Informationsutbyte med tredjeländer (

text: artikel 22

text: ) vakning utan att nämna aktivt samarbete) ( 36 ), och

text: 83. Europeiska datatillsynsmannen välkomnar de krav som fastställs i

text: artikel 22.1

text: för informationsutbyte och att — att man mer i detalj anger vad som ska ingå i sam

text: artikel 22.3

text: säkerställer insyn i utvidgningen genom att arbetet, till exempel genom att föreskriva att de natio en uppdaterad förteckning över de tredjeländer som an nella datatillsynsmyndigheterna och Europeiska data vänder IMI ska offentliggöras i Europeiska unionens officiella tillsynsmannen, ”inom ramen för sina respektive befo tidning (

text: artikel 22.3

text: ). genheter, ska utbyta relevant information, bistå va randra vid granskningar och inspektioner, utreda svå righeter med tolkningen eller tillämpningen av IMI- 84. Vidare rekommenderar Europeiska datatillsynsmannen att förordningen, undersöka problem i samband med ut kommissionen kortar ner hänvisningen till undantagen övandet av oberoende tillsyn eller den registrerades enligt

text: artikel 26 i direktiv 95/46/EG

text: så att bara rättigheter, utarbeta harmoniserade förslag till gemen

text: artikel 26.2

text: innefattas. Med andra ord: behöriga myndig samma lösningar på eventuella problem och främja heter eller andra externa aktörer i ett tredjeland utan till medvetenheten om rättigheterna i fråga om uppgifts räcklig skyddsnivå ska inte kunna få direkt tillträde till IMI skydd” ( 37 ). såvida det inte stipuleras i lämpliga avtalsklausuler. Dessa klausuler bör förhandlas fram på EU-nivå. 79. Europeiska datatillsynsmannen är ändå medveten om att de uppgifter som behandlas för närvarande är mindre omfattande och av en annan karaktär och att IMI utveck 85. Europeiska datatillsynsmannen vill betona att andra un las. Han medger därför att mer flexibilitet kan vara till dantag som ”överföringen är nödvändig eller följer av rådligt när det gäller mötes- och granskningsfrekvens. Eu lag på grund av viktiga allmänna intressen, eller för att ropeiska datatillsynsmannen rekommenderar kort sagt att kunna fastställa, göra gällande eller försvara rättsliga an förordningen ska innehålla nödvändiga minimiregler för språk” inte bör användas för att motivera överföring av att trygga ett effektivt samarbete och inte skapa onödiga uppgifter till tredjeländer genom direkt tillträde till administrativa bördor. IMI ( 38 ).

text: 80. I artikel 20.3 i förslaget föreskrivs inga regelbundna mö 2.13 Ansvarsskyldighet (

text: artikel 26

text: ) ten, utan bara att Europeiska datatillsynsmannen ”vid be hov [kan] kalla till ett möte med de nationella tillsyns 86. I linje med de förväntade förbättringarna av systemet för myndigheterna”. Europeiska datatillsynsmannen välkom ansvarsskyldighet under översynen av EU:s ram för upp nar att de berörda parterna själva kan bestämma hur giftsskydd ( 39 ) rekommenderar Europeiska datatillsyns ofta och på vilket sätt mötena ska genomföras och om mannen att det i förordningen fastställs en tydlig ram andra förfarandemässiga detaljer i fråga om samarbetet. för tillräckliga interna kontrollmekanismer som säkerstäl Detta kan avtalas i de förfaranderegler som redan har ler och styrker efterlevnaden av uppgiftsskyddet och som nämnts i förslaget. innehåller åtminstone de delar som anges nedan. 18.2.2012 Europeiska SV unionens officiella tidning C 48/11

text: 87. Europeiska datatillsynsmannen välkomnar i detta sam välkomnar att de viktigaste uppgiftsskyddsfrågorna för IMI manhang kravet i

text: artikel 26.2 i förordningen

text: att kommis i stor utsträckning belyses i förslaget. sionen vart tredje år ska lämna en rapport till Europeiska datatillsynsmannen om aspekter som hör samman med 91. Beträffande det rättsliga ramverk för IMI som ska inrättas skyddet av personuppgifter, inbegripet datasäkerhet. Det genom den föreslagna förordningen vill Europeiska data bör klargöras i förordningen att Europeiska datatillsyns tillsynsmannen rikta uppmärksamheten på två centrala mannen i sin tur ska överlämna kommissionens rapport utmaningar: till de nationella datatillsynsmyndigheterna inom ramen för den samordnade övervakning som anges i

text: artikel 20

text: . Det bör också klargöras att rapporten, med hänsyn till — Behovet av att säkerställa enhetlighet samtidigt som varje politikområde och varje funktion, bör ta upp hur mångfalden respekteras. de centrala principerna för uppgiftsskydd och uppgifts skyddsproblem (till exempel information till de registrera de, tillträdesrättigheter och säkerhet) har hanterats i prak — Behovet av att väga flexibilitet mot rättssäkerhet. tiken.

text: 92. Funktioner i IMI som redan kan förutses bör klargöras 88. I förordningen bör dessutom klargöras att ramen för in och tas upp mer specifikt. terna kontrollmekanismer också ska innefatta integritets bedömningar (inbegripet analys av säkerhetsrisker), en 93. Lämpliga förfarandemässiga skyddsåtgärder bör tillämpas uppgiftsskyddspolicy (inbegripet en säkerhetsplan) som för att säkerställa att uppgiftsskyddet noga övervägs under antas på grundval av resultaten av dessa samt periodiskt den framtida utvecklingen av IMI. Här bör ingå en kon återkommande översyn och granskning. sekvensbedömning och samråd med Europeiska datatill synsmannen och nationella datatillsynsmyndigheter varje 2.14 Inbyggda säkerhetsmekanismer gång IMI:s tillämpningsområde ska utvidgas till ett nytt politikområde och/eller nya funktioner. 89. Europeiska datatillsynsmannen välkomnar hänvisningen till denna princip i

text: skäl 6

text: i

text: förordningen

text: ( 40 ). Han rekom menderar att förordningen förutom denna hänvisning 94. Externa aktörers tillträdesrättigheter och tillträdesrätt till också inför speciella säkerhetsmekanismer såsom varningar bör specificeras ytterligare. — en uppgiftsskyddsmodul som gör det möjligt för de 95. När det gäller lagringstider registrerade att utöva sina rättigheter på ett mer effek tivt sätt ( 41 ), — bör det i förordningen ges garantier för att ärendena avslutas i IMI i rätt tid och att vilande ärenden (ären — tydlig åtskillnad av de olika politikområdena i IMI den utan aktivitet på senare tid) tas bort ur databasen, (”kinesiska murar”) ( 42 ), — bör det på nytt övervägas huruvida det är tillräckligt — speciella tekniska lösningar som begränsar sökmöjlig befogat att förlänga den nuvarande sexmånadersperio heterna i kataloger, varningsinformation med mera, den till 18 månader efter det att ärendet har avslutats, för att säkerställa ändamålsbegränsning, — har kommissionen inte lämnat någon tillräcklig moti — speciella åtgärder för att säkerställa att ärenden utan vering till att det skulle vara nödvändigt och propor aktivitet avslutas ( 43 ), tionerligt att bevara ”blockerade uppgifter” i upp till fem år, och detta förslag bör därför övervägas på nytt, — tillräckliga förfarandemässiga säkerhetsåtgärder i sam band med framtida utveckling ( 44 ). — bör det göras en tydligare åtskillnad mellan varningar och arkivering av information; förordningen bör det som en generell regel föreskrivas i) att sex månaders 3. SLUTSATSER lagring ska gälla för varningar om inget annat anges i vertikal lagstiftning och förutsatt att det finns andra 90. Europeiska datatillsynsmannens allmänna omdöme om tillräckliga skyddsmekanismer och ii) att denna period IMI är positivt. Europeiska datatillsynsmannen stöder ska räknas från det att varningen skickats ut. kommissionens syften med att inrätta ett elektroniskt sy stem för informationsutbyte och reglera dess dataskydds aspekter. Europeiska datatillsynsmannen välkomnar också 96. Förordningen ska kräva en riskbedömning och en översyn att kommissionen föreslår ett horisontellt rättsinstrument av säkerhetsplanen varje gång IMI ska utvidgas till ett nytt för IMI i form av rådets och parlamentets förordning. Han politikområde och innan en ny funktion som påverkar personuppgifter läggs till. ( 40 ) Se föregående fotnot. ( 41 ) Se avsnitt 2.9 ovan. 42 97. Bestämmelserna om information till de registrerade och ( ) Se avsnitt 2.4 ovan. ( 43 ) Se avsnitt 2.5.2 ovan. tillträdesrättigheter bör stärkas och främja ett mera enhet ( 44 ) Se avsnitt 2.2.2 ovan. ligt tillvägagångssätt. C 48/12 SV Europeiska unionens officiella tidning 18.2.2012

text: 98. Europeiska datatillsynsmannen skulle vilja stärka bestäm 100. Förordningen bör fastställa en tydlig ram för interna kon melserna om samordnad övervakning på vissa punkter trollmekanismer som säkerställer och styrker efterlevnaden och skulle därför förorda bestämmelser liknande dem av uppgiftsskyddet, innefattande integritetsbedömningar som till exempel finns i samband med informationssyste (inbegripet analys av säkerhetsrisker), en uppgiftsskydds met för viseringar och Schengen II och planeras för Eu policy (inbegripet en säkerhetsplan) som antas på grund rodac. När det gäller mötes- och granskningsfrekvens stö val av resultaten av dessa samt periodiskt återkommande der Europeiska datatillsynsmannen förslagets flexibla till översyn och granskning. vägagångssätt för att säkerställa att förordningen tillhan dahåller nödvändiga minimiregler för att trygga ett effek 101. Särskilda säkerhetsmekanismer bör också införas genom tivt samarbete utan att skapa onödiga administrativa bör förordningen. dor.

text: 99. Förordningen ska säkerställa att behöriga myndigheter el Utfärdat i Bryssel den 22 november 2011. ler andra externa aktörer i ett tredjeland utan tillräcklig skyddsnivå inte ska kunna få direkt tillträde till IMI såvida Giovanni BUTTARELLI det inte stipuleras i lämpliga avtalsklausuler. Dessa klau suler bör förhandlas fram på EU-nivå. Biträdande Europeisk datatillsynsman


text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA YTTRANDE

text: HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) KOM(2011) 807 slutlig. ( 4 ) Avtal mellan Europeiska unionen och Amerikas förenta stater om lufttrafikföretags behandling av passageraruppgifter (”PNR”) och överföring av dessa till Förenta staternas Department of Homeland Security (DHS) (EUT L 204, 4.8.2007, s. 18). ( 5 ) Europaparlamentets resolution av den 5 maj 2010 om inledandet av förhandlingar om avtal om passageraruppgifter med Förenta staterna, Australien och Kanada (EUT C 81 E, 15.3.2011, s. 70). Se även Europaparlamentets resolutioner av den 13 mars 2003 om flygbolagens överföring av personuppgifter vid transatlantiska flygningar (EUT C 61 E, 10.3.2004, s. 381), av den 9 oktober 2003 om flygbolagens överföring av personuppgifter vid transatlantiska flyg ningar: förhandlingsläget med Förenta staterna (EUT C 81 E, 31.3.2004, s. 105), av den 31 mars 2004 om förslaget till kommissionens beslut om skyddsnivån för de personuppgifter ur bokningsregistret (Passenger Name Records) (PNR) som överförs till Förenta staternas tull- och gränskontrollmyndigheter (EUT C 103 E, 29.4.2004, s. 665), rekommendation till rådet av den 7 september 2006 om förhandlingarna om ett avtal med Amerikas förenta stater om användningen av passageraruppgifter för att förebygga och bekämpa terrorism och gränsöverskridande brotts lighet, inklusive organiserad brottslighet (EUT C 305 E, 14.12.2006, s. 250), resolution av 14 februari 2007 resolution om SWIFT, PNR-avtalet och den transatlantiska dialogen om dessa frågor (EUT C 287E, 29.11.2007, s. 349) och resolution av den 12 juli 2007 om avtalet med Förenta staterna om passageraruppgifter (antagna texter, P6_TA(2007)0347). Alla finns på http://www.europarl.europa.eu

text: ( 6 ) Begränsat till brottsbekämpnings- och säkerhetsändamål i samband med organiserad och gränsöverskridande grov brottslighet eller terrorism av gränsöverskridande karaktär, baserat på de rättsliga definitionerna i rådets rambeslut 20027/475/RIF av den 13 juni 2002 om bekämpande av terrorism (EGT L 164, 22.6.2002, s. 3) och rådets rambeslut 2002/584/RIF av den 13 juni 2002 om en europeisk arresteringsorder (EGT L 190, 18.7.2002, s. 1). ( 7 ) Inga beslut om att förvägra någon att resa eller beslut om utredning eller åtal får någonsin tas enbart på grundval av sådana automatiserade genomsökningar av databaser. ( 8 ) Avtalet mellan Europeiska unionen och Australien om lufttrafikföretags behandling av passageraruppgifter (PNR) och överföring av dessa till Australiens tull- och gränsbevakningsmyndighet, undertecknat den 29 september 2011. ( 9 ) Avtalet mellan Europeiska gemenskapen och Kanada om behandling av förhandsinformation om passagerare och passageraruppgifter (EGT L 82, 21.3.2006, s. 15). ( 10 ) Förslag till Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (KOM(2011) 0032 slutlig). ( 11 ) Den 3 december 2010 bemyndigade rådet inledandet av förhandlingarna om ett avtal mellan EU och Förenta staterna om skydd av personuppgifter när dessa överförs och bearbetas för att förebygga, undersöka, upptäcka eller åtala brott, inbegripet terrorism, inom ramen för polisiärt och rättsligt samarbete i brottmål. Se kommissionens press meddelande på http://europa.eu/rapid/pressReleasesAction.do?reference=IP/10/1661 ( 12 ) Se kommissionens meddelande om ett samlat grepp på skyddet av personuppgifter i Europeiska unionen, 4 november 2010, KOM(2010) 609 slutlig, och dess uppföljning.

text: ALLMÄNNA KOMMENTARER

text: SÄRSKILDA KOMMENTARER

text: ( 13 ) Yttrande från Europeiska datatillsynsmannen av den 25 mars 2011 om förslaget till Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, yttrande från Europeiska datatillsynsmannen av den 15 juli 2011 om förslaget till rådets beslut om ingående av avtalet mellan Europeiska unionen och Australien om lufttrafikföretags behandling av passageraruppgifter (PNR) och överföring av dessa till Australiens tull- och gränsbevakningsmyndighet, yttrande från Europeiska datatill synsmannen av den 19 oktober 2010 om en övergripande strategi när det gäller överföring av passageraruppgifter (PNR-uppgifter) till tredjeländer och yttrande från Europeiska datatillsynsmannen av den 20 december 2007 om förslaget till rådets rambeslut om användande av passageraruppgifter (PNR-uppgifter) i brottsbekämpningssyfte. Samtliga finns på http://www.edps.europa.eu ( 14 ) Artikel 29-arbetsgruppens yttrande 10/2011 om förslaget till Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, yttrande 7/2010 om kommissionens meddelande om en övergripande strategi när det gäller överföring av passageraruppgifter (PNRuppgifter) till tredjeländer, yttrande 5/2007 om uppföljningsavtalet mellan Europeiska unionen och Förenta staterna om lufttrafikföretags behandling av passageraruppgifter (PNR) och överföring av dessa till Förenta staternas Depart ment of Homeland Security (DHS) som ingicks i juli 2007 och yttrande 4/2003 om skyddsnivån i USA för överföring av passageraruppgifter. Alla finns på http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/ 2011_en.htm ( 15 ) Yttrande från Europeiska unionens byrå för grundläggande rättigheter av den 14 juni 2011 om förslaget till ett direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (finns på http://fra.europa.eu/fraWebsite/attachments/FRA-PNR-Opinion-June2011.pdf) och yttrande från Europeiska ekonomiska och sociala kommittén av den 5 maj 2011 om förslaget till Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (finns på http://www.eesc.europa.eu/?i=portal.en.soc-opinions.15579). ( 16 ) Se fotnot 5. ( 17 ) Rådets rambeslut 2002/475/RIF av den 13 juni 2002 om bekämpande av terrorism (EGT L 164, 22.6.2002, s. 3).

text: ( 18 ) Se de yttranden från Europeiska datatillsynsmannen och artikel 29-arbetsgruppen som citeras ovan. ( 19 ) Other Service-related Information. ( 20 ) Special Services Information. ( 21 ) Special Service Requests. ( 22 ) Se det yttrande 4/2003 från artikel 29-arbetsgruppen som citeras ovan.

text: ( 23 ) Se skrivelse av den 19 januari 2011 från artikel 29-arbetsgruppen till kommissionsledamot Malmström gällande PNRavtalen mellan EU och Förenta staterna, Kanada och Australien.

text: ( 24 ) Artikel 29-arbetsgruppen har t.ex. redan utarbetat riktlinjer för tillhandahållande av information till passagerare (se yttrande från artikel 29-arbetsgruppen av den 15 februari 2007 (reviderat och uppdaterat den 24 juni 2008) om information till passagerare rörande överföring av passageraruppgifter till myndigheter i Förenta staterna, som finns på http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2008/wp151_en.pdf).

text: Peter HUSTINX

identifier: EDPS yttrande (2011)

amnesord:
International Agreements
PNR
Transfers of data

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Use and transfer of Passenger Name Records to the United States Department of Homeland Security

serie: yttranden

text: C 35/16 SV Europeiska unionens officiella tidning 9.2.2012

type: stycke

text: Yttrande från Europeiska datatillsynsmannenom förslaget till rådets beslut om ingående av avtalet mellan Amerikas förenta stater och Europeiska unionen om användning och överföring av passageraruppgifter till Förenta staternas Department of Homeland Security

text: (2012/C 35/03)

text: med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt

text: artikel 16

text: med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp gifter ( 1 ),

text: med beaktande av

text: Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000

text: om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt

text: artikel 41

text: ( 2 ),

text: 1.1 Samråd med datatillsynsmannen och yttrandets syfte

text: 1. Den 28 november 2011 antog kommissionen ett förslag till rådets beslut om ingående av avtalet mellan Amerikas förenta stater och Europeiska unionen om användning och överföring av passagerar uppgifter till Förenta staternas Department of Homeland Security ( 3 ) (nedan kallat ”avtalet”).

text: 2. Den 9 november 2011 rådfrågades Europeiska datatillsynsmannen informellt om utkastet till förslag i samband med en snabbehandling. Den 11 november 2011 lämnade Europeiska datatillsynsmannen ett antal begränsade synpunkter. Syftet med detta yttrande är att komplettera dessa synpunkter med hänsyn till detta förslag och offentliggöra dem. Detta yttrande bygger på ett antal tidigare interven tioner från Europeiska datatillsynsmannen och artikel 29-arbetsgruppen när det gäller PNR. 1.2 Bakgrund

text: 3. Syftet med avtalet är att ge en solid rättslig grund för överföringen av PNR-uppgifter från EU till Förenta staterna. I dagsläget bygger överföringen på avtalet från 2007 ( 4 ) eftersom parlamentet beslu tade sig för att skjuta upp sin omröstning om godkännande tills hänsyn har tagits till uppgiftsskydds aspekterna. Bland annat hänvisade parlamentet i sin resolution av den 5 maj 2010 ( 5 ) till följande krav: 9.2.2012 Europeiska SV unionens officiella tidning C 35/17 — Efterlevnad av dataskyddslagstiftningen på både nationell och europeisk nivå. — En konsekvensanalys av inverkan på integritetsskyddet innan någon rättsakt antas. — En proportionalitetsprövning som visar att befintliga rättsakter är otillräckliga. — Strikt ändamålsbegränsning ( 6 ) och begränsning av användningen av PNR-uppgifter till specifika brott eller hot, efter bedömning från fall till fall. — Begränsning av den mängd data som samlas in. — Begränsade lagringsperioder. — Förbud mot datautvinning och profilering. — Förbud mot beslut som grundar sig på automatisk behandling och har stora konsekvenser för medborgare ( 7 ). — Lämpliga mekanismer för oberoende granskning, rättslig tillsyn och demokratisk kontroll. — Alla internationella överföringar ska följa EU:s dataskyddsnormer och vara föremål för beslut om adekvat skyddsnivå.

text: 4. Det aktuella avtalet måste övervägas inom ramen för den övergripande strategin för PNR, som inne fattar förhandlingar med andra tredjeländer (dvs. Australien ( 8 ) och Kanada ( 9 )), och ett förslag till ett PNR-system på EU-nivå ( 10 ). Dessutom faller avtalet inom ramen för de pågående förhandlingarna om ett avtal mellan EU och Förenta staterna om utbyte av personuppgifter inom ramen för polissamarbete och straffrättsligt samarbete ( 11 ). Sett i ett större sammanhang har avtalet paraferats några få veckor före det förväntade antagandet av förslagen till översyn av den allmänna ramen för dataskydd ( 12 ).

text: 5. Europeiska datatillsynsmannen välkomnar denna övergripande strategi som syftar till att skapa en sammanhängande rättslig ram för PNR-avtal som är i linje med EU:s rättsliga krav men beklagar att denna tidsplan i praktiken inte medger att överensstämmelsen mellan dessa avtal och EU-reglerna för dataskydd säkerställs. Datatillsynsmannen vill också påminna om att det allmänna avtalet mellan EU och Förenta staterna om utbyte av uppgifter bör vara tillämpligt på PNR-avtalet mellan EU och Förenta staterna. C 35/18 SV Europeiska unionens officiella tidning 9.2.2012

text: 6. Enligt Europeiska unionens stadga om de grundläggande rättigheterna måste varje begränsning av de grundläggande rättigheterna och friheterna vara nödvändig, proportionerlig och föreskriven i lag. Såsom Europeiska datatillsynsmannen har påpekat vid upprepade tillfällen ( 13 ), liksom

text: artikel 29

text: -arbets gruppen ( 14 ), har nödvändighet och proportionalitet hittills inte visats vare sig för PNR-systemen eller för huvuddelen av de gruppvisa överföringarna av PNR-uppgifter till tredjeländer. Europeiska ekono miska och sociala kommittén och byrån för grundläggande rättigheter instämmer i detta påpekan de ( 15 ). De särskilda synpunkterna nedan påverkar inte denna preliminära och grundläggande iaktta gelse.

text: 7. Detta avtal har förbättrats på vissa punkter jämfört med avtalet från 2007 och innefattar adekvata garantier för dataskydd och tillsyn, men ingen hänsyn har tagits till de huvudsakliga betänkligheter som tas upp i ovannämnda yttranden och inte heller har de villkor uppfyllts som Europaparlamentet kräver för att ge sitt godkännande ( 16 ). 3.1 Syftet bör klargöras

text: 8. Enligt artikel 4.1 i avtalet behandlar Förenta staterna PNR-uppgifter i syfte att förebygga, upptäcka, utreda och lagföra a) terroristbrott och därmed förknippade brott och b) andra brott som leder till fängelsestraff i minst tre år och som är av gränsöverskridande natur. Vissa av dessa begrepp definieras närmare.

text: 9. Definitionerna är mer precisa än i avtalet från 2007, men det finns fortfarande vaga begrepp och undantag som skulle kunna åsidosätta ändamålsbegränsningen och undergräva rättssäkerheten. Särskilt gäller följande: — I artikel 4.1 a i skulle ordalydelsen vara handlingar (….) som förefaller ha för avsikt att hota eller tvinga en civil befolkning, eller att påverka en regerings politik även kunna gälla verksamhet som inte kan betraktas som terroristbrott i enlighet med rådets rambeslut 2002/475/RIF ( 17 ). Begreppen ”förefal ler ha”, ”hota” och ”påverka” bör klargöras så att denna möjlighet utesluts. —

text: Artikel 4.1 b

text: bör innehålla en förteckning över specifika brott. Hänvisningen till andra brott som leder till fängelsestraff i minst tre år är inte tillräcklig, eftersom denna gräns inte innefattar samma brott i EU och Förenta staterna och i EU:s medlemsstater och Förenta staternas delstater. 9.2.2012 Europeiska SV unionens officiella tidning C 35/19 — Mindre grova brott bör uttryckligen uteslutas för detta avtals ändamål. — I

text: artikel 4.2

text: bör begreppet ”allvarligt hot” definieras och användning av PNR-uppgifter efter beslut av domstol bör begränsas till de fall som tas upp i

text: artikel 4.1

text: . — Likaledes bör det för att undvika tillämpning av

text: artikel 4.3

text: på ändamål som gränskontroll anges att endast personer som är misstänkta för att ha varit delaktiga i något av de brott som förtecknas i

text: artikel 4.1

text: får förhöras eller undersökas närmare. 3.2 Förteckningen över PNR-uppgifter som ska överföras bör inskränkas

text: 10. Bilaga I till avtalet innehåller 19 typer av uppgifter som kommer att skickas till Förenta staterna. De flesta av dessa innefattar dessutom olika kategorier av uppgifter och är identiska med datafälten i avtalet från 2007, vilket Europeiska datatillsynsmannen och artikel 29-arbetsgruppen redan då ansåg vara oproportionerligt ( 18 ).

text: 11. Detta gäller särskilt fältet ”Allmänna anmärkningar, inklusive OSI-information ( 19 ), SSI-information ( 20 ) och SSR ( 21 )-information”, där uppgifter om religiös övertygelse (t.ex. önskemål om kost) eller hälsa (t.ex. begäran om rullstol) kan avslöjas. Sådana känsliga uppgifter bör uttryckligen uteslutas från för teckningen.

text: 12. Vid bedömningen av förteckningens proportionalitet bör hänsyn även tas till att dessa kategorier på grund av den avancerade överföringen (artikel 15.3 i avtalet) inte bara gäller faktiska passagerare utan även den som i slutänden inte flyger (t.ex. på grund av avbokningar).

text: 13. Dessutom kan förekomsten av obegränsade fält undergräva rättssäkerheten. Kategorier som ”all till gänglig kontaktinformation”, ”all bagageinformation” och ”allmänna anmärkningar” bör definieras när mare.

text: 14. Därför bör förteckningen inskränkas. Europeiska datatillsynsmannen anser i linje med yttrandet från artikel 29-arbetsgruppen ( 22 ) att uppgifterna bör begränsas till följande: PNR-postens lokaliseringskod, datum för bokning, planerat/planerade resdatum, passagerarens namn, andra namn bland PNR-upp gifterna, alla resrutter, identifiering av fribiljetter, biljetter för enkel resa, biljettinformation, ATFQ (automatiska biljettprisuppgifter), biljettnummer, datum för utfärdande av biljett, passagerare som tidigare inte har checkat in (no show), antal kollin, bagagelappsnummer, passagerare som tidigare har checkat in utan bokning (go show), antal kollin på varje sträcka, frivilliga/ofrivilliga uppgraderingar, ändringshistorik för PNR-uppgifter avseende ovannämnda poster. 3.3 DHS bör inte behandla känsliga uppgifter

text: 15. Enligt artikel 6 i avtalet ska DHS använda automatiska system för att filtrera och maskera känsliga uppgifter, men uppgifterna kommer att lagras i minst 30 dagar och kan användas i särskilda fall (

text: artikel 6.4

text: ). Europeiska datatillsynsmannen skulle vilja betona att dessa uppgifter förblir ”känsliga” även efter att de har ”maskerats” och hänför sig till identifierbara fysiska personer.

text: 16. Såsom redan påpekats av Europeiska datatillsynsmannen bör DHS inte behandla känsliga uppgifter om EU-medborgare, även om uppgifterna är maskerade vid mottagandet. Datatillsynsmannen rekommen derar att det i avtalstexten anges att lufttrafikföretag inte ska överföra känsliga uppgifter till DHS. C 35/20 SV Europeiska unionens officiella tidning 9.2.2012 3.4 Lagringstiden är alltför lång

text: 17. Enligt

text: artikel 8

text: kommer PNR-uppgifter att lagras i upp till fem år i en aktiv databas och därefter överföras till en vilande databas för en period på upp till tio år. Denna maximala lagringstid på 15 år är uppenbart oproportionerlig, oavsett om uppgifterna lagras i aktiva eller vilande databaser, vilket redan har betonats av Europeiska datatillsynsmannen och artikel 29-arbetsgruppen.

text: 18. Enligt

text: artikel 8.1

text: ska uppgifterna göras anonyma och maskeras sex månader efter att de har mottagits av DHS. Både ”maskerade” uppgifter och uppgifter som lagras i en ”vilande databas” är dock fortfarande personuppgifter så länge de inte anonymiseras. Därför bör uppgifterna anonymiseras (oåterkalleligen) eller raderas omedelbart efter analys eller efter högst sex månader. 3.5 Användning av sändmetoden och överföringsfrekvens

text: 19. Europeiska datatillsynsmannen välkomnar

text: artikel 15.1

text: , som anger att sändmetoden ska användas för överföring av uppgifter, men enligt

text: artikel 15.5

text: måste lufttrafikföretagen i särskilda undantagsfall låta DHS ”få tillgång till uppgifterna”. För att definitivt utesluta att systemet med ”pull” används, och med tanke på de betänkligheter som nyligen togs upp på nytt av artikel 29-arbetsgruppen ( 23 ), rekommen derar Europeiska datatillsynsmannen starkt att avtalet uttryckligen förbjuder möjligheten för ame rikanska tjänstemän att separat få tillgång till uppgifter via ett system med ”pull”.

text: 20. Antal och periodicitet för överföringarna från lufttrafikföretag till DHS bör definieras i avtalet. För att öka rättssäkerheten bör det även definieras närmare vilka villkor som måste uppfyllas för att ytterligare överföringar ska tillåtas. 3.6 Datasäkerhet

text: 21. Europeiska datatillsynsmannen välkomnar avtalets

text: artikel 5

text: , om datasäkerhet och integritet, framför allt skyldigheten att underrätta berörda enskilda vid en incident som gäller integritet. Däremot bör följande element förtydligas för underrättelse om incidenter som rör integritet: — Mottagarna av underrättelsen: det bör anges vilka ”behöriga europeiska myndigheter” som bör underrättas. Nationella dataskyddsmyndigheter bör under alla omständigheter ingå. Även en behö rig myndighet i Förenta staterna bör underrättas. — Gränsen för när dessa myndigheter underrättas: det bör definieras vad som utgör ”incidenter som rör integritet”. — Innehållet i underrättelsen till enskilda och myndigheter bör anges.

text: 22. Europeiska datatillsynsmannen stödjer skyldigheten att loggföra eller dokumentera all åtkomst till och behandling av PNR-uppgifter eftersom detta medger kontroll av såväl att DHS använder PNR-uppgifter korrekt som huruvida otillåtet tillträde till systemet har förekommit. 3.7 Översyn och verkställighet

text: 23. Europeiska datatillsynsmannen välkomnar att efterlevnaden av de bestämmelser som garanterar integ ritet i avtalet kommer att omfattas av oberoende granskning och tillsyn av ministeriets uppgiftsskydds ansvariga, t.ex. DHS högste dataskyddsansvarig, såsom anges i

text: artikel 14.1

text: . Men för att säkerställa att de registrerades rättigheter tas till vara effektivt bör Europeiska datatillsynsmannen och de nationella 9.2.2012 Europeiska SV unionens officiella tidning C 35/21 dataskyddsmyndigheterna samarbeta med DHS om förfaranden och metoder för utövandet av dessa rättigheter ( 24 ). Europeiska datatillsynsmannen skulle välkomna en hänvisning till detta samarbete i avtalet.

text: 24. Europeiska datatillsynsmannen stödjer helhjärtat rätten till prövning oavsett nationalitet, ursprungsland eller bostadsort som fastställs i andra stycket i

text: artikel 14.1

text: . Däremot beklagar han att det i

text: artikel 21

text: uttryckligen anges att avtalet enligt amerikansk lagstiftning inte ska ligga till grund för några rättigheter eller förmåner för några privata eller offentliga personer eller enheter. Även om rätten till rättslig prövning beviljas i Förenta staterna enligt avtalet kan en sådan rätt inte motsvara rätten till effektiv rättslig prövning i EU, särskilt inte i ljuset av den begränsning som anges i

text: artikel 21

text: . 3.8 Nationella och internationella vidareöverföringar

text: 25. Artikel 16 i avtalet förbjuder överföring av uppgifter till myndigheter i Förenta staterna som inte behandlar PNR-uppgifterna i enlighet med skyddsåtgärder som ”motsvarar eller är jämförbara med” skyddsåtgärderna i avtalet. Datatillsynsmannen välkomnar denna bestämmelse. Förteckningen över myndigheter som får ta emot PNR-uppgifter bör dock specificeras ytterligare. När det gäller interna tionella överföringar föreskriver avtalet att sådana förutom i krislägen endast ska äga rum om motta garens planerade användning är förenlig med avtalet och det visas att ett skydd av personuppgifter garanteras som är ”jämförbart” med det avtalet ger.

text: 26. När det gäller begreppen ”jämförbar” och ”motsvarande” som används i avtalet skulle Europeiska datatillsynsmannen vilja betona att ingen nationell eller internationell vidareöverföring från DHS bör äga rum annat än om mottagarna visar att garantier tillämpas för skydd av personuppgifter som inte är mindre strikta än de som fastställs i detta avtal. Det bör också klargöras i avtalet att överföring av PNRuppgifter ska göras från fall till fall och att det ska säkerställas att endast nödvändiga uppgifter överförs till relevanta mottagare. Inga undantag bör tillåtas. Dessutom rekommenderar Europeiska datatillsyns mannen att överföring av uppgifter till tredjeländer bör vara föremål för förhandsgodkännande av domstol.

text: 27. Enligt

text: artikel 17.4

text: gäller att om DHS får kännedom om att uppgifter om en medborgare eller person som är bosatt i en medlemsstat överförs ska de behöriga myndigheterna i den berörda medlemsstaten informeras om detta snarast möjligt. Detta villkor bör strykas, eftersom DHS alltid bör ha kännedom om vidareöverföringar till tredjeländer. 3.9 Form för och översyn av avtalet

text: 28. Det framgår inte klart vilken juridisk form som Förenta staterna valt för att ingå detta avtal och hur avtalet kommer att bli rättsligt bindande i Förenta staterna. Detta bör klargöras.

text: 29. I

text: artikel 20.2

text: tas sambandet med ett eventuellt PNR-system för EU upp. Europeiska datatillsynsmannen noterar att samråden om anpassning av detta avtal särskilt ska undersöka huruvida framtida EU-system för PNR-uppgifter skulle tillämpa mindre stränga normer för uppgiftsskydd än de som föreskrivs i detta avtal. Eventuella anpassningar bör också (och särskilt) ta hänsyn till strängare normer i ett eventuellt framtida PNR-system så att överensstämmelse säkerställs.

text: 30. Avtalet bör också ses över med hänsyn till den nya ramen för dataskydd och till ett eventuellt ingående av ett allmänt avtal mellan EU och Förenta staterna om utbyte av personuppgifter inom ramen för polissamarbete och straffrättsligt samarbete. En ny bestämmelse motsvarande

text: artikel 20.2

text: skulle kunna läggas till som anger att om och när en ny rättslig ram för dataskydd antas i EU eller ett nytt avtal om utbyte av uppgifter mellan EU och Förenta staterna ingås ska parterna samråda för att fastställa huruvida avtalet C 35/22 SV Europeiska unionens officiella tidning 9.2.2012 behöver ändras i konsekvens med detta. Vid detta samråd ska man särskilt undersöka huruvida framtida ändringar av EU:s rättsliga ram för dataskydd eller eventuella framtida avtal om dataskydd mellan EU och Förenta staterna skulle tillämpa starkare garantier för dataskydd än dem som fastställs i detta avtal.

text: 31. När det gäller översynen av avtalet (

text: artikel 23

text: ) anser Europeiska datatillsynsmannen att de nationella dataskyddsmyndigheterna uttryckligen bör inkluderas i översynsgruppen. Översynen bör också inriktas på bedömning av åtgärdernas nödvändighet och proportionalitet och ett effektivt utövande av de registrerades rättigheter samt inbegripa kontroll av hur de registrerades begäranden behandlas i prak tiken, särskilt när ingen direkt åtkomst är tillåten. Frekvensen för översyner bör anges.

text: 32. Europeiska datatillsynsmannen välkomnar de garantier för datasäkerhet och tillsyn som föreskrivs i avtalet och förbättringarna jämfört med avtalet från 2007. Många betänkligheter kvarstår dock, särskilt när det gäller sambandet med den övergripande strategin för PNR, ändamålsbegränsningen, vilka kategorier av uppgifter som ska överföras till DHS, behandlingen av känsliga uppgifter, lagringsperio den, undantag från sändmetoden, de registrerades rättigheter och vidareöverföring av uppgifter.

text: 33. Dessa iakttagelser påverkar inte kraven på nödvändighet och proportionalitet för varje legitimt PNRsystem och PNR-avtal om gruppöverföring av PNR-uppgifter från EU till tredjeländer. Såsom Europa parlamentet upprepar i sin resolution av den 5 maj gäller att nödvändighet och proportionalitet är grund läggande principer och att utan dem kan kampen mot terrorismen aldrig bli effektiv. Utfärdat i Bryssel den 9 december 2011. Europeiska datatillsynsmannen

type: vagledning

utgivare: edps