text: ( 9 ) Se även yttrande nr 6/2007 från artikel 29-gruppen (till vilket ( 8 ) Se artiklarna

text: och

text: i förordningen om konsumentskyddssam hänvisas i del II ovan). arbete. ( 10 ) Se

text: artikel 10.2 i förordningen

text: om konsumentskyddssamarbete.

text: ( 12 ) Se avsnitt 7 i yttrandet från Europeiska datatillsynsmannen om 47. Efter att i del III ha diskuterat de särskilda frågor som har kommissionens meddelande till Europaparlamentet, rådet , Europe uppkommit genom andra ändringen beträffande kon iska ekonomiska och sociala kommittén och regionkommittén – ”Ett samlat grepp på skyddet av personuppgifter i Europeiska unio sumentskyddssamarbetet önskar Europeiska datatillsyns nen”- utfärdat den 14 januari 2011 (http://www.edps.europa.eu/ mannen i delarna IV till VI göra kommissionen uppmärk EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/ sam på några andra punkter som bör övervägas för den Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf). fortsatta utvecklingen av den rättsliga ramen för CPCS. ( 13 ) Idem.

text: ROPEISKA UNIONEN

text: VII. SAMMANFATTNING

amnesord:
Privacy by Design
Accountability
Consumers
Internal Market
Digital Single Market

title: Consumer Protection Cooperation System ("CPCS")

text: C 217/18 SV Europeiska unionens officiella tidning 23.7.2011

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om

text: kommissionens beslut 2011/141/EU

text: om ändring av beslut

text: om systemet för konsumentskyddssamarbete (CPCS) och om

text: kommissionens rekommendation 2011/136/EU

text: om riktlinjer för tillämpningen av reglerna för uppgiftsskydd i CPCS

text: (2011/C 217/06)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA jerna för uppgiftsskydd i konsumentskyddssamarbetet) ( 4 ). YTTRANDE Båda handlingarna skickades till Europeiska datatillsyns mannen för samråd enligt

text: artikel 28.2 i förordning (EG) nr 45/2001

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel

text: . CPCS är ett informationstekniksystem som har utvecklats och används av kommissionen i enlighet med förordning

text: (EG) nr 2006/2004

text: om konsumentskyddssamarbete (för med beaktande av Europeiska unionens stadga om de grund ordningen om konsumentskyddssamarbete). CPCS underlät läggande rättigheterna, särskilt artiklarna

text: och

text: , tar samarbetet mellan ”behöriga myndigheter” i EU-med lemsstaterna och kommissionen inom konsumentskydd när det gäller överträdelse av en på förhand bestämd lista med EU-direktiv och EU-förordningar. För att omfattas av med beaktande av Europaparlamentets och rådets direktiv tillämpningsområdet för förordningen om konsuments

text: av den 24 oktober 1995 om skydd för enskilda kyddssamarbete ska överträdelserna ha gränsöverskridande personer med avseende på behandling av personuppgifter och karaktär och skada ”konsumenternas kollektiva intressen”. om det fria flödet av sådana uppgifter ( 1 ),

text: 3. Inom ramen för samarbetet utbyter användarna av CPCS information och personuppgifter. Dessa personuppgifter med beaktande av begäran om ett yttrande i enlighet med kan avse direktörer eller anställda hos en handlare eller artikel 28.2 i Europaparlamentets och rådets förordning (EG) leverantör som misstänks för en överträdelse, handlaren nr 45/2001 om skydd för enskilda då gemenskapsinstitutio eller leverantören själv (om denna är en enskild person) nerna och gemenskapsorganen behandlar personuppgifter och och tredje part såsom konsumenter eller klagande. om den fria rörligheten för sådana uppgifter ( 2 ).

text: 4. Systemet är konstruerat för att vara såväl ett säkert kom HÄRIGENOM FRAMFÖRS FÖLJANDE. munikationsverktyg mellan de behöriga myndigheterna som en databas. CPCS används av de behöriga myndighe terna för att begära information som hjälp för att under söka ett fall ( 5 ) eller begära bistånd med tillsynsåtgärder ( 6 ) I. INLEDNING (”framställningar om ömsesidigt bistånd”). Dessutom kan behöriga myndigheter också skicka ett varningsmeddelande

text: 1. Den 1 mars 2011 antog Europeiska kommissionen ett (”anmälan”) för att informera andra behöriga myndigheter beslut om ändring av

text: kommissionens beslut 2007/76/EG

text: och kommissionen om en överträdelse eller en misstänkt beträffande CPCS (andra ändringen beträffande kon överträdelse. ( 7 ) CPCS innehåller dessutom ytterligare sumentskyddssamarbetet) ( 3 ). Samma datum antog kom missionen också en rekommendation om riktlinjer för till ( 4 ) Kommissionens rekommendation av den 1 mars 2011; riktlinjer för lämpningen av reglerna för uppgiftsskydd i CPCS (riktlin tillämpningen av reglerna för uppgiftsskydd i systemet för kon sumentskyddssamarbete (CPCS) (

text: ) (EUT L 57, ( 1 ) EGT L 281, 23.11.1995, s. 31. 2.3.2011, s. 44). ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 5 ) Se

text: artikel 6 i förordningen

text: om konsumentskyddssamarbete beträf ( 3 ) Kommissionens beslut av den 1 mars 2011 om ändring av beslut fande ”utbyte av information på begäran”.

text: om tillämpning av Europaparlamentets och rådets för ( 6 ) Se

text: artikel 8 i förordningen

text: om konsumentskyddssamarbete beträf ordning

text: (EG) nr 2006/2004

text: om samarbete mellan de nationella fande ”begäran om tillsynsåtgärder”. tillsynsmyndigheter som ansvarar för konsumentskyddslagstiftningen ( 7 ) Se

text: artikel 7 i förordningen

text: om konsumentskyddssamarbete beträf vad gäller ömsesidigt bistånd (20011/141/EU) (EUT L 59, 4.3.2011, fande ”utbyte av information utan begäran” (eller, för enkelhetens s. 63). skull, ”anmälan”). 23.7.2011 Europeiska SV unionens officiella tidning C 217/19 funktioner, bland annat ett anmälningssystem ( 8 ) och ett jerna för uppgiftsskydd i konsumentskyddssamarbetet. Eu forum för utbyte av uppgifter som inte rör enskilda ären ropeiska datatillsynsmannen välkomnar också att kommis den. sionen tidigare också rådfrågade artikel 29-gruppen för skydd av personuppgifter (WP29), som den 21 september 2007 avgav sitt yttrande nr 6/2007 (

text: WP 139

text: ). Slutligen välkomnar Europeiska datatillsynsmannen det faktum att 5. I detta yttrande tar Europeiska datatillsynsmannen upp ett hänvisningar görs till dessa samråd i skälen i riktlinjerna antal frågor som rör den rättsliga ramen för CPCS och för uppgiftsskydd i konsumentskyddssamarbetet. inriktar sig i första hand på den nyligen antagna ändringen beträffande konsumentskyddssamarbetet. Europeiska data tillsynsmannen bedömer också de resultat som hittills har nåtts och belyser vissa återstående problem och frågor för framtiden. Han kommenterar också vissa bestämmelser i 9. Europeiska datatillsynsmannen konstaterar i) att kommis riktlinjerna för uppgiftsskydd i konsumentskyddssamarbe sionen noga övervägt de rekommendationer som Europe tet. iska datatillsynsmannen lämnat i tidigare informellt utbyte och rekommendationerna från artikel 29-gruppen för skydd av personuppgifter vilka uttrycktes i yttrande nr 6/2007 och ii) att många av dessa rekommendationer följts 6. Parallellt med detta yttrande (som antas enligt artikel 28.2 i vid den fortsatta utvecklingen av den rättsliga ramen för förordning

text: (EG) nr 45/2001

text: ) avger Europeiska datatillsyns CPCS och/eller på praktisk, teknisk och organisatorisk nivå. mannen också ett yttrande i samband med förhandskont Hans kommentarer i detta yttrande och i yttrandet beträf roll vid utövandet av sina tillsynsbefogenheter (enligt fande förhandskontroll bör också ses mot denna positiva artikel 27 i samma förordning) (yttrande i samband med bakgrund. förhandskontroll). Yttrandet i samband med förhandskont roll innehåller en mer ingående beskrivning av CPCS och behandlingen av personuppgifter i detta. I yttrandet i sam band med förhandskontroll inriktar sig Europeiska datatill synsmannen på rekommendationer om särskilda åtgärder III. UPPGIFTSSKYDDSFRÅGOR MED HÄNSYN TILL AN som bör vidtas på praktisk, teknisk och organisatorisk DRA ÄNDRINGEN BETRÄFFANDE KONSUMENTSKYDDS nivå för att förbättra efterlevnaden av uppgiftsskyddet i SAMARBETET CPCS. Med tanke på att riktlinjerna för uppgiftsskydd i 3.1 Lagring av personuppgifter i CPCS konsumentskyddssamarbetet också har nära samband med dessa särskilda åtgärder kommenteras också utvalda be 3.1.1 Inledning stämmelser i riktlinjerna i yttrandet i samband med för handskontroll. 10. Som en inledande anmärkning vill Europeiska datatillsyns mannen påpeka att frågan om avslutning av ärenden och lagringstider inte behandlats tillräckligt och ingående i för RÄTTSLIG RAM FÖR CPCS ordningen om konsumentskyddssamarbete ( 9 ). II.

text: 7. Europeiska datatillsynsmannen välkomnar att CPCS har en väletablerad rättslig grund, i synnerhet en förordning som har antagits av rådet och parlamentet. Europeiska datatill 11. I förordningen om konsumentskyddssamarbete finns fak synsmannen välkomnar dessutom att den rättsliga grunden tiskt bara två uttryckliga regler för utplåning av uppgifter med tiden har kompletterats för att ge ytterligare infor 10 ). För det första och ingen regel för avslutning av ärenden ( mation och behandla frågor om uppgiftsskydd. Europeiska krävs det enligt förordningen att om en anmälan ”visar sig datatillsynsmannen välkomnar särskilt att kommissionens vara ogrundad” ska den behöriga myndigheten dra tillbaka beslut

text: av den 22 december 2006 om tillämp den, och kommissionen ska utan dröjsmål utplåna infor ning av förordningen om konsumentskyddssamarbete (be mationen i databasen. För det andra krävs det enligt för slutet om tillämpning av förordningen om konsuments ordningen att när en behörig myndighet i enlighet med kyddssamarbete) antagits och därefter ändrats ytterligare

text: artikel 8.6 i förordningen

text: om konsumentskyddssamarbete den 17 mars 2008 och nyligen den 1 mars 2011 genom anmäler att en överträdelse har upphört ska de lagrade andra ändringen beträffande konsumentskyddssamarbetet. uppgifterna utplånas fem år efter anmälan. Han välkomnar också att kommissionen antagit riktlinjerna för uppgiftsskydd i konsumentskyddssamarbetet och speci ellt tagit upp uppgiftsskyddsfrågor.

text: 12. Syftet med fem års lagringstid anges inte i förordningen om konsumentskyddssamarbete, och det lämnas inga ytterligare 8. Även om Europeiska datatillsynsmannen beklagar att han uppgifter om hur och när det ska bedömas huruvida en inte rådfrågades när förordningen om konsumentskydds anmälan ska anses vara ”ogrundad”. Det framgår dessutom samarbete och beslutet om tillämpning av förordningen inte av förordningen om konsumentskyddssamarbete hur om konsumentskyddssamarbete först antogs välkomnar länge informationen ska finnas kvar i databasen i ärenden han att kommissionen rådfrågade honom när de båda änd som inte omfattas av de båda uttryckliga reglerna som ringarna av beslutet om tillämpningen av förordningen om nämnts ovan (i förordningen anges till exempel inte hur konsumentskyddssamarbete antogs och beträffande riktlin C 217/20 SV Europeiska unionens officiella tidning 23.7.2011 länge framställningar om ömsesidigt bistånd ska finnas kvar ”Consumer Protection Cooperation Network: Operation i databasen om de inte har lett till någon framgångsrik Guidelines” som godkändes av kommittén för konsuments tillsynsåtgärd som skulle ha stoppat överträdelsen). kyddssamarbete den 6 december 2010. I punkt 2.7 under rubriken ”phases and time-lines in a CPC case” i riktlinjerna för verksamheten diskuteras typiska fall, och det föreskrivs att begäran om upplysningar i normala ska behandlas inom 13. Europeiska datatillsynsmannen välkomnar att man genom en till tre månader. Begäran om tillsynsåtgärder ska enligt det ändrade beslutet om tillämpning av förordningen om riktlinjerna för verksamheten i normala fall kunna behand konsumentskyddssamarbete och riktlinjerna för uppgifts las inom sex till nio månader (utom i samband med före skydd i konsumentskyddssamarbetet försöker göra ytterli lägganden eller i samband med överklagande av förvalt gare klarlägganden. Europeiska datatillsynsmannen hyser ningsbeslut, där ett år eller mer är mera realistiskt). ändå oro över flera aspekter beträffande reglerna för avslut ning av ärenden och datalagring i CPCS, vilket diskuteras nedan i avsnitten 3.1.2 till 3.1.4. 3.1.3 Anmälningar

text: 20. Genom andra ändringen beträffande konsumentskyddssam 14. Europeiska datatillsynsmannen rekommenderar att dessa arbetet lades ett nytt stycke till i punkt 2.2.2 i bilagan till problem tas upp vid nästa översyn av den rättsliga ramen beslutet om tillämpning av förordningen om konsuments för CPCS genom en ytterligare ändring av beslutet om till kyddssamarbete enligt vilket det krävs att ”motiverade” an lämpning av förordningen om konsumentskyddssamarbete, mälningar ska avlägsnas från databasen fem år efter det att eller helst genom en ändring av själva förordningen om de gjorts (när det gäller anmälningar som ”saknar grund” konsumentskyddssamarbete. krävdes det redan enligt de tidigare bestämmelserna att de skulle utplånas så snart som ”en anmälan visar sig vara ogrundad”).

text: 15. Tills sådana rättsliga åtgärder blir möjliga rekommenderar Europeiska datatillsynsmannen att frågorna om lagrings 21. För att sätta in denna nya bestämmelse i ett sammanhang tider tas upp på praktisk, teknisk och organisatorisk nivå betonar Europeiska datatillsynsmannen att en av de frågor och att de också tydligt betonas i ”Consumer Protection som han prioriterar är att se till att personuppgifter inte Cooperation Network: Operating Guidelines” (närverket finns kvar längre än nödvändigt i CPCS-databasen. Detta är för konsumentskyddssamarbete: riktlinjer för verksamheten) en känslig fråga särskilt när det gäller anmälningar (vilka som anges i avsnitt 3.1.2. nedan. har ett större antal mottagare än bilateralt utbyte) och, i fråga om anmälningar, särskilt när det gäller anmälningar som avser misstänkta överträdelser. Avsaknaden av en klar 3.1.2 Avslutning av ärenden i rätt tid tidsgräns för oavslutade anmälningar innebär i praktiken att vissa anmälningar förblir oavslutade under orimligt lång tid 16. I andra ändringen beträffande konsumentskyddssamarbetet (så länge som det inte tydligt styrkts att de är ogrundade). anges ingen tidpunkt då ett ärende med en framställning Sådana åtgärder som baseras på obekräftade misstankar om ömsesidigt bistånd (begäran om upplysningar eller be skulle innebära ett avsevärt hot mot den grundläggande gäran om tillsynsåtgärder) måste avslutas. rätten till uppgiftsskydd och mot andra grundläggande rät tigheter såsom principen om oskuldspresumtion.

text: 17. I yttrandet beträffande förhandskontroll konstaterar Euro peiska datatillsynsmannen ett antal praktiska åtgärder som 22. Mot denna bakgrund välkomnar Europeiska datatillsyns kommissionen för närvarande vidtar för att vilande ärenden mannen att en lagringstid har fastställts för anmälningar. säkert ska avslutas i rätt tid. Europeiska datatillsynsmannen anser emellertid att kommis sionen inte har lagt fram godtagbara motiveringar för att visa att en lagringstid på fem år skulle vara proportionell. Europeiska datatillsynsmannen rekommenderar att kom 18. I detta yttrande rekommenderar Europeiska datatillsyns missionen gör en proportionalitetsbedömning och en ny mannen att tidsfrister fastställs för begäran om upplys bedömning av hur lång lagringstiden för anmälningar ska ningar och begäran om tillsynsåtgärder. Dessa bör anges i vara. I princip ska alla rapporterade anmälningar raderas det rättsliga ramverket nästa gång det ses över. Tidsfristerna mycket tidigare från databasen såvida inte en anmälan av bör knytas både till typen av ärende och till den faktiska en överträdelse eller en misstänkt överträdelse har lett till åtgärden. Samtidigt bör reglerna också vara flexibla, så att en framställning om ömsesidigt bistånd och den gränsöver de behöriga myndigheterna kan förlänga behandlingen av skridande undersökningen eller tillsynsåtgärden fortfarande ett ärende av synnerliga skäl, för att säkerställa att ärenden pågår. Lagringstiden ska vara tillräckligt lång för att var och inte avslutas för tidigt även om ett komplext ärende tar en av de myndigheter som får meddelandet ska kunna längre tid än genomsnittet att avsluta. avgöra huruvida den önskar genomföra ytterligare under sökningar eller tillsynsåtgärder och huruvida den önskar sända en framställning om ömsesidigt bistånd via CPCS. Den ska dock vara tillräckligt kort för att minimera risken 19. För att göra detta rekommenderar Europeiska datatillsyns för att anmälningarna missbrukas för svartlistning eller da mannen att man som utgångspunkt använder dokumentet tautvinning. 23.7.2011 Europeiska SV unionens officiella tidning C 217/21

text: 23. Mot den bakgrunden rekommenderar Europeiska datatill lämpas i CPCS efter det att ett ärende har avslutats (utom i synsmannen att kommissionen gör en översyn av den rätts särskilda undantagsfall) faktiskt är fem år både för begäran liga ramen för att säkerställa att anmälningar utplånas se om upplysningar och begäran om tillsynsåtgärder. nast sex månader efter det att de överförts till systemet, såvida inte en annan, lämpligare lagringstid kan motiveras.

text: 29. Texten i beslutet om tillämpning av förordningen om kon sumentskyddssamarbete, vilken ändrats genom andra änd 24. Detta bör i synnerhet bidra till att oskyldiga som misstänks ringen beträffande konsumentskyddssamarbetet, överens inte ”svartlistas” eller ”förblir misstänkta” under onödigt stämmer inte helt med förordningen om konsumentskydds lång tid i de fall då misstanken inte har bekräftats (eller samarbete. I synnerhet görs det i

text: artikel 10.2 i förordningen

text: utretts ytterligare), vilket inte skulle vara förenligt med om konsumentskyddssamarbete åtskillnad mellan å ena si

text: artikel 6 e i direktiv 95/46/EG

text: . dan information som utbyts och som leder till en fram gångsrik tillsynsåtgärd (det vill säga fall där överträdelsen har upphört till följd av de tillsynsåtgärder som har vidta gits) och å andra sidan information som inte har lett till någon framgångsrik tillsynsåtgärd. I det förra fallet före 25. Denna begränsning är också nödvändig för att säkerställa skrivs en lagringstid på fem år efter det att ärendet har principen om uppgiftskvalitet (se artikel 6 d i direktiv avslutats. För det senare fallet finns inga speciella bestäm

text: ) och andra viktiga rättsliga principer. Detta leder melser (förutom att ogrundade anmälningar ska dras till inte bara till ett mer tillfredsställande skydd för enskilda baka och utplånas). individer, utan det gör det samtidigt också möjligt för tjäns temän som ansvarar för tillsyn att på ett effektivare sätt inrikta brottsbekämpningen på mer allvarliga fall.

text: 30. Endast om tillsynsåtgärder har vidtagits och dessa lett till att överträdelsen har upphört krävs det med andra ord 3.1.4 Lagringstid för avslutade framställningar om ömsesidigt enligt förordningen om konsumentskyddssamarbete en lag bistånd ringstid på fem år efter det att ärendet avslutats.

text: 26. Genom andra ändringen beträffande konsumentskyddssam arbetet lades ett nytt stycke till i punkt 2.15 i bilagan till beslutet om tillämpning av förordningen enligt vilket krävs att ”övrig information i anslutning till en begäran om öm 31. Även om Europeiska datatillsynsmannen hyser tvivel beträf sesidigt bistånd enligt artikel 6 i [förordningen om kon fande syftet med och proportionaliteten i fråga om lagring sumentskyddssamarbete] ska avlägsnas från databasen fem av data i fem år efter det att ärendet har avslutats (se hans år efter det att ärendet har avslutats”. kommentarer i avsnitt 3.1.4 nedan) finns det ur uppgifts skyddssynpunkt en viss logik i att åtskillnad görs mellan ärenden som resulterat i en framgångsrik tillsynsåtgärd och ärenden för vilka så inte är fallet. Speciellt om data lagras under lång tid i samband med enbart misstankar är det mer 27. Enligt den befintliga texten och den ändrade punkten 2.15 sannolikt att de är felaktiga och det finns också risk för att ska allt informationsutbyte enligt

text: artikel 6

text: lagras i fem år andra viktiga rättsliga principer åsidosätts. Man kan därför efter det att ärendet har avslutats med undantag av de fall generellt hävda att det är mer sannolikt att lagring av så dana uppgifter under lång tid ger upphov till uppgifts skyddsfrågor än lagring av uppgifter beträffande faktiska förseelser som har styrkts på ett tillfredsställande sätt och — då felaktiga uppgifter har utplånats, lett till en tillsynsåtgärd. — då informationsutbytet inte har lett till en anmälan eller 32. Till skillnad från förordningen om konsumentskyddssam en begäran om tillsynsåtgärder, eller arbete tillåter det ändrade beslutet om tillämpning av för ordningen om konsumentskyddssamarbete åtminstone i vissa fall att en lagringstid på fem år ska gälla också för information som inte lett till framgångsrika tillsynsåtgärder. — då det har fastställts att ingen överträdelse har ägt rum i den mening som avses i förordningen om konsuments kyddssamarbete.

text: 33. Enligt beslutet om tillämpning av förordningen om kon sumentskyddssamarbete ligger till exempel en begäran om information som lett till en anmälan, men inte till någon 28. Såsom förklarats i yttrandet beträffande förhandskontroll tillsynsåtgärd, kvar i systemet i fem år efter det att ”ärendet har det visat sig att den ”normala” lagringstiden som till har avslutats”. C 217/22 SV Europeiska unionens officiella tidning 23.7.2011

text: 34. Man har således något olika synsätt i förordningen om — undersöker huruvida all information som för närva konsumentskyddssamarbete och i beslutet om tillämpning rande föreskrivs behöver finnas kvar eller om en del av förordningen om konsumentskyddssamarbete. Även om av informationen skulle vara tillräcklig (det bör till ex beslutet om tillämpning av förordningen om konsuments empel övervägas om det skulle vara tillräckligt att bara kyddssamarbete i viss mån avspeglar bestämmelserna i för behålla anmälningar enligt

text: artikel 8.6

text: , och det bör ordningen om konsumentskyddssamarbete inför det också också särskilt undersökas huruvida det är nödvändigt ytterligare viktiga regler för lagringstid. Även om det i och att ha kvar direktörernas namn eller bilagor som kan för sig är välkommet att reglerna klargörs ifrågasätter Eu innehålla ytterligare personuppgifter; det bör också gö ropeiska datatillsynsmannen huruvida det är lagligt att fast ras åtskillnad mellan uppgifter i samband med miss ställa längre lagringstider i de fall då detta inte redan krävts tänkta överträdelser och i samband med ”styrkta” över i förordningen om konsumentskyddssamarbete. Härigenom trädelser). skulle den grundläggande rätten till uppgiftsskydd inskrän kas ytterligare genom att lagstiftning som står i strid med förordningen om konsumentskyddssamarbete och tillämp liga bestämmelser om uppgiftsskydd införs. 3.2 Kommissionens tillgång till uppgifter i CPCS

text: 38. Europeiska datatillsynsmannen välkomnar att andra änd 35. Mot bakgrund av ovanstående rekommenderar Europeiska ringen beträffande konsumentskyddssamarbetet (genom datatillsynsmannen att kommissionen ser över den rättsliga att en ny punkt 4.3 läggs till i bilagan till beslutet om till ramen och på nytt bedömer huruvida lagringstiden på fem lämpning av förordningen om konsumentskyddssamarbete) år ska gälla för andra ärenden än de ärenden där en fram klargör kommissionens tillgång till uppgifter i CPCS och att gångsrik tillsynsåtgärd har vidtagits i enlighet med förord sådan tillgång klart och specifikt begränsas till vad som ningen om konsumentskyddssamarbete. krävs enligt förordningen om konsumentskyddssamarbete. Europeiska datatillsynsmannen välkomnar i synnerhet att kommissionen inte har getts tillgång till sekretessbelagda meddelanden mellan behöriga myndigheter i medlemssta 36. Europeiska datatillsynsmannen välkomnar dessutom att syf terna, såsom framställningar om ömsesidigt bistånd. tet med lagring av uppgifter efter det att ett ärende har avslutats anges i riktlinjerna för uppgiftsskydd, vilket är en viktig fråga som inte tas upp i förordningen om kon sumentskyddssamarbete eller i andra ändringen beträffande konsumentskyddssamarbetet. I synnerhet anges det i riktlin 39. Klargörandet och begränsningen är särskilt viktiga med jerna för uppgiftsskydd att ”under bevarandeperioden får tanke på att oklarheter kan ha lett till en situation där godkända tjänstemän som ansvarar för tillsyn och arbetar kommissionen skulle ha kunnat få tillgång till information vid en behörig myndighet som ursprungligen handlade och personuppgifter som endast är avsedda för behöriga ärendet läsa informationen för att se om det finns kopp myndigheter i medlemsstaterna. lingar till upprepade överträdelser, vilket bidrar till bättre och effektivare tillsyn” ( 11 ).

text: 40. Såsom redovisats i avsnitt 5 i riktlinjerna för uppgiftsskydd 37. Även om detta klarläggande är välkommet i avsaknad av ”behöver kommissionen tillgång till informationen för att ytterligare motivering av att denna åtkomst är nödvändig är övervaka tillämpningen av förordningen om konsuments Europeiska datatillsynsmannen dock inte övertygad om att kyddssamarbete och den konsumentskyddslagstiftning som detta syfte är proportionerligt och tillräckligt för att moti förtecknas i bilagan till förordningen om konsuments vera en lagringstid på fem år. Europeiska datatillsynsman kyddssamarbete och för att sammanställa statistiska uppgif nen rekommenderar därför att kommissionen ter i samband med utförandet av dessa åligganden”. — ytterligare klargör vad som är syftet med fem års data lagringstid, 41. Detta innebär inte att kommissionen ska ha tillgång till alla uppgifter som utbyts i CPCS mellan medlemsstaterna. — undersöker huruvida samma mål skulle kunna uppnås med en kortare lagringstid, och

text: 42. Europeiska datatillsynsmannen vill faktiskt betona att till ( 11 ) Se avsnitt 8 i riktlinjerna, ”Mer vägledning; Varför är lagringstiden för uppgifter fastställd till fem år?” I riktlinjerna för uppgiftsskydd gång till databaser som CPCS uppfyller definitionen av be tilläggs också att ”syftet med lagringstiden är att underlätta sam handling av personuppgifter. Enligt artikel 5 a i direktiv arbetet mellan de offentliga myndigheter som handhar tillsynen

text: (EG) nr 45/2001

text: , som är tillämplig på kommissionens åt över de lagar som skyddar konsumenternas intressen när de hand komsträttigheter i CPCS, får institutionerna bara behandla lägger överträdelser i EU, bidra till såväl den inre marknadens personuppgifter om detta är nödvändigt för att utföra en funktion som kvalitet och konsekvens vid kontroll av efterlevnaden arbetsuppgift av allmänt intresse och dessutom under för av de lagar som skyddar konsumenternas intressen, övervaka skyd det av konsumenternas ekonomiska intressen samt bidra till att utsättning att behandlingen utförs på grundval av fördragen höja tillsynens kvalitet och konsekvens”. eller sekundärrätt. 23.7.2011 Europeiska SV unionens officiella tidning C 217/23

text: 43. Dessa krav – som följer direkt av rätten till uppgiftsskydd 4.1 Inbyggda säkerhetsmekanismer enligt artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och artiklarna 7 och 8 i Europeiska 48. Europeiska datatillsynsmannen har under en tid uppmanat unionens stadga om de grundläggande rättigheterna – tol kommissionen och andra EU-institutioner att vidta tekniska kar Europeiska datatillsynsmannen så, att de innebär att och organisatoriska åtgärder där uppgiftsskydd och säkerhet kommissionen bara kan få tillgång till medlemsstaternas integreras som en grundläggande del av konstruktionen och informationssystem om detta föreskrivs i särskilda bestäm införandet av deras informationssystem (”säkerhetsmekanis melser som är baserade på en till fullo lämplig rättslig mer”) ( 12 ). grund (i normala fall det ordinarie lagstiftningsförfarandet). Rättssäkerhet och öppenhet är de två värden som utgör grundvalen och som förklarar varför en speciell och säker rättslig grund för kommissionens tillgång till uppgifter är 49. Även om Europeiska datatillsynsmannen välkomnar och en särskilt viktig garanti för att enskildas grundläggande värdesätter att en del åtgärder har vidtagits i denna riktning rättigheter säkerställs när det gäller uppgiftsskydd. rekommenderar han att kommissionen gör en ingående bedömning av vilka ytterligare säkerhetsmekanismer som skulle kunna integreras i CPCS-systemet. Bland annat bör om nödvändigt följande övervägas och införas: 44. Varken den allmänna kontrollrätt som kommissionen har som ”fördragets väktare” eller medlemsstaternas skyldighet att säkerställa lojalt samarbete är tillräckligt preciserade för att ge kommissionen tillgång till databaser med personupp — lösningar i fråga om säkerhetsmekanismer för vägled gifter. Lojalt samarbete innebär att medlemsstaterna – under ning av användarna av systemet, så att de fattar ”lämp vissa villkor – ska lämna information till kommissionen när liga” beslut om uppgiftsskydd (se avsnitt 3.2 i yttrandet de ombeds göra detta eller när det krävs att de lämnar beträffande förhandskontroll), information enligt en viss bestämmelse. Det innebär emel lertid inte att kommissionen ska ha tillgång till deras data baser. — åtgärder för att underlätta avslutning och utplåning av ärenden i rätt tid (idem, avsnitt 3.3), 45. I detta sammanhang vill Europeiska datatillsynsmannen också betona att det enligt förordningen om konsuments kyddssamarbete inte är möjligt för kommissionen att få tillgång till information som finns i framställningar om — förfaranden för att underlätta information och åtkom ömsesidigt bistånd och begäran om tillsynsåtgärder. I artik strättigheter för registrerade personer (idem, avsnitt 3.5), larna 6 och 8 i förordningen om konsumentskyddssam arbete anges bara den anmodade myndigheten, och inte kommissionen, som mottagare av uppgifterna. — tydliga förfaranden för ändringar som utförs direkt på databasnivå, loggning av åtkomst, skälet för åtgärden och godkännande på lämplig nivå (idem, avsnitt 3.6), 3.3 Särskilda kategorier av uppgifter i CPCS och

text: 46. Europeiska datatillsynsmannen välkomnar att det, genom andra ändringen beträffande konsumentskyddssamarbetet, i punkt 4.4 i bilagan till beslutet om tillämpning av för — ”krypterad” lagring av information i databasen så att ITordningen om konsumentskyddssamarbete har lagts till en operatörer inte kan komma åt den (åtminstone för vissa bestämmelse avseende behandling av särskilda kategorier av uppgifter såsom sekretessbelagda bilagor) (idem, avsnitt uppgifter i CPCS. Europeiska datatillsynsmannen välkomnar 3.6). i synnerhet att bestämmelsen begränsar sådan behandling till de fall ”när det krävs” för att uppfylla skyldigheterna i förordningen om konsumentskyddssamarbete och att be handlingen av sådana uppgifter omfattas av det ytterligare villkoret att behandlingen ska vara ”tillåten enligt direktiv 4.2 Ansvarsskyldighet

text: ”. 50. I enlighet med principen om ”ansvarsskyldighet” ( 13 ) rekom menderar Europeiska datatillsynsmannen dessutom att en tydlig ram för ansvarsskyldighet upprättas som säkerställer och styrker efterlevnaden av uppgiftsskyddet. Man bör IV. INBYGGDA SÄKERHETSMEKANISMER OCH C 217/24 SV Europeiska unionens officiella tidning 23.7.2011 — om nödvändigt anta och uppdatera en uppgiftsskydds land både i) kräver medgivande från den behöriga myndig policy för godkännande på högsta ledningsnivå inom het som ursprungligen överförde informationen och ii) om GD Hälso- och konsumentfrågor. Denna uppgifts fattas av tillämplig EU-lagstiftning om uppgiftsskydd. skyddspolicy bör också innefatta en säkerhetsplan (se avsnitt 3.6 i yttrandet beträffande förhandskontroll) ( 14 ).

text: 54. Europeiska datatillsynsmannen välkomnar också att det i riktlinjerna för uppgiftsskydd rekommenderas att det i — genomföra periodiskt återkommande granskningar för alla bilaterala avtal om bistånd anges lämpliga säkerhets att bedöma om uppgiftsskyddspolicyn fortfarande är åtgärder för uppgiftsskydd – såvida inte tredjelandet garan adekvat och efterlevs (inklusive granskning av säkerhets terar en lämplig skyddsnivå –, och avtalet ska också – när planen, idem, avsnitt 3.6), det krävs – anmälas till de berörda tillsynsmyndigheterna för uppgiftsskydd. — (åtminstone till en del) offentliggöra resultatet av granskningarna för att lugna intressenterna när det gäl 55. De åtgärder som föreskrivs i förordningen om konsument ler efterlevnaden av uppgiftsskyddet, och skyddssamarbete är ändå inte idealiska. Tillämpningen är komplex: när en behörig myndighet ska bestämma om den ska överföra information till ett tredje land har den inte bara att ta hänsyn till det egna landets bilaterala över — anmäla överträdelser i fråga om personuppgifter och enskommelser med tredjelandet, till det egna landetss upp andra säkerhetsincidenter till kommissionens uppgifts giftsskyddslagstiftning och till sin egen bedömning av huru skyddsombud, berörda registrerade personer (och andra vida det är lämpligt att uppgifterna överförs till tredjelandet intressenter och myndigheter när det är lämpligt) ( 15 ). i fråga enligt det egna landets uppgiftsskyddslagstiftning, utan myndigheten måste också ta hänsyn till om de andra berörda behöriga myndigheterna som bidragit till registret (och det kan finnas flera sådana) har gett sitt samtycke på V. ÖVERFÖRING AV PERSONUPPGIFTER UTANFÖR EU grundval sin egen uppgiftsskyddslagstiftning. 5.1 Bilaterala överenskommelser

text: 51. I

text: artikel 14.2 i förordningen

text: om konsumentskyddssam 56. Ur uppgiftsskyddssynpunkt leder denna komplexitet till arbete föreskrivs att information som överförs i enlighet osäkerhet beträffande den registrerade personens rättigheter, med förordningen om konsumentskyddssamarbete också och i synnerhet osäkerhet om och på vilka villkor hans kan överföras av en behörig myndighet till en myndighet eller hennes uppgifter överförs utomlands. De registrerade i tredje land i enlighet med ett bilateralt biståndsavtal med personerna åtnjuter inte heller största möjliga skydd av en tredjelandet förutsatt i) att den behöriga myndighet som väletablerad och harmoniserad europeisk uppgiftsskydds ursprungligen överförde informationen har gett sitt medgi lagstiftning. Ur de behöriga myndigheternas synvinkel hind vande och ii) att överföringen är i överensstämmelse med rar denna komplexitet dessutom samarbetet mellan de be tillämplig EU-lagstiftning om uppgiftsskydd. höriga myndigheterna och utgör en administrativ börda.

text: 52. I artiklarna

text: och

text: i direktiv 95/46/EG anges vissa 57. Mot bakgrund av ovanstående uppmuntrar Europeiska da ytterligare villkor för överföring till tredje land. Dessa vill tatillsynsmannen därför att avtal som gäller hela EU sluts, i kor är avsedda att säkerställa att uppgifterna skyddas utom vilka tillräckliga säkerhetsåtgärder föreskrivs samtidigt som lands på lämpligt sätt. De innehåller dessutom ett antal de också bidrar till att undvika att olika kriterier tillämpas undantag. Tillämpningen och tolkningen av dessa bestäm och en ökad administrativ börda påläggs de behöriga myn melser i direktiv

text: kan skilja sig åt från den ena digheterna till följd av av detta. medlemsstaten till den andra. 5.2 Avtal som gäller hela EU 53. Mot bakgrund av ovanstående kan Europeiska datatillsyns mannen godta säkerhetsåtgärderna i förordningen om kon 58. Utöver den möjlighet som anges i

text: artikel 14

text: för bilateralt sumentskyddssamarbete, nämligen att överföring till tredje samarbete föreskrivs också i

text: artikel 18

text: om internationella avtal i förordningen om ”konsumentskyddssamarbete att ( 14 ) Kommissionen bör också överväga att om nödvändigt genomföra gemenskapen skall samarbeta med tredjeländer och med åtminstone en partiell uppgiftsskydds- och integritetskonsekvens behöriga internationella organisationer” och att ”bestäm bedömning med inriktning på lagringstidens syfte och längd och melserna om samarbete, bland annat när det gäller upp villkoren för denna och eventuellt diskutera andra olösta problem rättandet av bestämmelser om ömsesidigt bistånd, kan fast som ännu inte har behandlats ingående. ( 15 ) Se avsnitt 6.3 i det ovan nämnda yttrandet från Europeiska data ställas i avtal mellan gemenskapen och berörda tredjelän tillsynsmannen av den 14 januari 2011. der”. 23.7.2011 Europeiska SV unionens officiella tidning C 217/25

text: 59. Av de skäl som har angetts i avsnitt 5.1 ovan stöder Eu olika produkter och tjänster kommer allt fler enskildas per ropeiska datatillsynsmannen kommissionens initiativ att sonuppgifter att behandlas när de agerar som konsumenter. förhandla om och ingå avtal som gäller hela EU, med till Konsumenterna kan således också i allt större utsträckning räckliga säkerhetsåtgärder för uppgiftsskydd och harmoni råka ut för att deras rättigheter i fråga om uppgiftsskydd serade på EU-nivå, för att ersätta de befintliga bilaterala kränks. Datatillsynsmyndigheterna måste därför också sam överenskommelserna. arbeta effektivt för att stoppa sådana kränkningar.

text: 60. Hans stöd för sådana avtal som gäller hela EU är dock 65. Till de vanligaste fallen av kränkning av ”rätten till kon förenat med villkoret att kommissionen och EU-lagstiftarna sumentdataskydd” hör icke begärd kommersiell kommuni åtar sig att säkerställa högsta möjliga skydd vid utbyte av kation (skräppost), identitetsstöld, illegal profilanalys, olag personuppgifter med tredje land. Det måste noga övervägas lig beteendestyrd annonsering och överträdelser i fråga om vad internationella samarbetsavtal med tredjeländer innebär personuppgifter (överträdelser av säkerheten). ur uppgiftsskyddssynpunkt, tydliga regler måste införas för utbytet och tillräckliga säkerhetsåtgärder för uppgiftsskydd måste införas, på grundval av samråd med Europeiska data tillsynsmannen och, när så är lämpligt, med nationella data 66. Med tanke på att antalet gränsöverskridande ärenden för tillsynsmyndigheter. modligen kommer att öka i informationssamhället upp manar Europeiska datatillsynsmannen kommissionen att överväga möjliga lagstiftningsåtgärder för att skydda ”rätten till konsumentdataskydd” och för att förstärka det gräns 61. Även om frågan om direkt tillgång till CPCS för myndig överskridande samarbetet mellan de behöriga myndighe heter i tredje land inte tas upp speciellt i artikel 18 i för terna, det vill säga datatillsyns- och konsumentskyddsmyn ordningen om konsumentskyddssamarbete kan detta vara digheter. tekniskt möjligt. Europeiska datatillsynsmannen vill inte hindra att nya funktioner införs i CPCS, så att behöriga myndigheter i tredje land kan få strikt begränsad och se lektiv tillgång via en specialkonstruerad mekanism (kom 67. Samtidigt som också andra möjliga alternativ övervägs bör munikationskanal och gränssnitt). Genom detta skulle sam man i synnerhet noga överväga huruvida datatillsynsmyn arbetet faktiskt kunna bli mer effektivt. digheter ska ges specialanpassad tillgång till CPCS, så att de kan samarbeta med varandra och med andra behöriga myn digheter som redan har tillgång till CPCS.

text: 62. Sådan direkt åtkomst är ändå förenad med särskilda risker, och därför måste de följder det kan få för uppgiftsskyddet och nödvändiga tekniska och organisatoriska åtgärder och 68. Datatillsynsmyndigheternas åtkomst bör klart begränsas till säkerhetsåtgärder undersökas speciellt. Alla sådana tekniska det som är nödvändigt för att de ska kunna utföra sina funktioner bör skapas enligt principerna om inbyggda sä arbetsuppgifter inom sina behörighetsområden och i enlig kerhetsmekanismer som skydd för den personliga integrite het med identifierade synergieffekter. Det ska naturligtvis ten (privacy by design). Säkerheten ska också ges klar prio också säkerställas att ramen för datatillsynsmyndigheternas ritet. Slutligen bör Europeiska datatillsynsmannen rådfrågas medverkan utformas med hänsyn till deras oberoende. liksom de nationella datatillsynsmyndigheterna när detta är lämpligt. VI. ”RÄTT TILL KONSUMENTDATASKYDD” OCH FÖRS 69. Europeiska datatillsynsmannen välkomnar att CPCS har en TÄRKT SAMARBETE VIA CPCS MELLAN DATATILLSYNS rättslig grund enligt vilken också särskilda säkerhetsåtgärder MYNDIGHETERNA för uppgiftsskydd föreskrivs. Beträffande eventuella återstå ende uppgiftsskyddsfrågor vill Europeiska datatillsynsman 63. Under förutsättning att Europeiska datatillsynsmannens re nen påpeka att de rekommendationer som sammanfattas kommendationer (även innefattande yttrandet beträffande nedan bör övervägas när den rättsliga ramen för CPCS förhandskontroll) följs är Europeiska datatillsynsmannen ses över nästa gång. övertygad om att CPCS kan vara ett effektivt verktyg som främjar uppgiftsskyddet vid gränsöverskridande tillsyns åtgärder mot överträdelser av konsumenternas rättigheter på den internationella marknaden. 70. Under tiden kan ytterligare åtgärder som vidtas på praktisk, teknisk och organisatorisk nivå (vilka rekommenderas i ytt randet beträffande förhandskontroll) vara en tillfällig dellös ning för att åtgärda dessa problem. I väntan på ändringar i 64. I och med utvecklingen av e-handeln och konsumenternas lagstiftningen kan vissa ändringar också införas via riktlin ökade användning av elektroniska kommunikationsnät för jerna för verksamheten med CPCS. C 217/26 SV Europeiska unionens officiella tidning 23.7.2011

text: 71. När det gäller lagringstiden rekommenderar Europeiska da bör vidtas för att säkerställa att personlig integritet och tatillsynsmannen i) att framställningar om ömsesidigt bis uppgiftsskydd ”byggs in” i systemarkitekturen för CPCS tånd avslutas inom speciellt fastställda tidsgränser, ii) att (”säkerhetsmekanismer”) och att det finns lämpliga kontrol anmälningar, såvida inte en undersökning eller tillsyns ler, så att bestämmelserna om uppgiftsskydd efterlevs och åtgärd pågår, dras tillbaka och utplånas inom sex månader att detta styrks (”ansvarsskyldighet”). efter det att de utsänts (såvida inte en lämpligare lagringstid kan motiveras), och iii) att kommissionen klargör och på nytt prövar syftet med att ha kvar alla uppgifter avseende avslutade ärenden i ytterligare fem år och huruvida detta är 75. Om ett avtal mellan Europeiska unionen och ett tredjeland proportionerligt. som gäller i hela EU ska slutas med avseende på kon sumentskyddssamarbetet måste dessutom följderna av så dana avtal övervägas noga. Klara regler måste införas för utbytet, och lämpliga säkerhetsåtgärder för uppgiftsskydd 72. Europeiska datatillsynsmannen välkomnar dessutom att måste vidtas. kommissionens tillgång till uppgifter i CPCS klargörs ge nom andra ändringen beträffande konsumentskyddssam arbetet. Europeiska datatillsynsmannen välkomnar i synner het att kommissionen inte har tillgång till sekretessbelagda 76. Slutligen rekommenderar Europeiska datatillsynsmannen att meddelanden mellan behöriga myndigheter i medlemssta kommissionen undersöker de eventuella synergieffekter terna, såsom framställningar om ömsesidigt bistånd. som skulle uppkomma om datatillsynsmyndigheterna fick möjlighet att ansluta sig till användarna av CPCS för att samarbeta och bidra till att ”rätten till konsumentdata 73. Europeiska datatillsynsmannen välkomnar också att en be skydd” drivs igenom. stämmelse avseende behandling av särskilda kategorier av uppgifter i CPCS infördes genom andra ändringen beträf fande konsumentskyddssamarbetet. Utfärdat i Bryssel den 5 maj 2011.

text: 74. Som ytterligare punkter rekommenderar Europeiska datatill Giovanni BUTTARELLI synsmannen att kommissionen gör en ny bedömning av vilka ytterligare tekniska och organisatoriska åtgärder som Biträdande datatillsynsman


text: I. INLEDNING

text: ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 3 ) För enkelhetens skull kallas härefter centrala register, handelsregister ( 2 ) EUT L 8, 12.1.2001, s. 1. och företagsregister för bolagsregister.

text: ( 1 )

text: Europaparlamentets och rådets direktiv 2009/101/EG av den 16 september 2009

text: om samordning av de skyddsåtgärder som krävs i medlemsstaterna av de i artikel 48 andra stycket i fördraget av sedda bolagen i bolagsmännens och tredje mans intressen, i syfte att göra skyddsåtgärderna likvärdiga inom gemenskapen (EUT L 258, II. AKTUELLA BESTÄMMELSER I FÖRSLAGET 1.10.2009, s. 11). ( 2 ) Rådets elfte direktiv

text: av den 21 december 1989 om krav 10. Genom artikel 3 i förslaget ändras direktiv

text: på på offentlighet i filialer som har öppnats i en medlemsstat av vissa flera sätt. Två av dessa ändringar har tydlig relevans för typer av bolag som lyder under lagstiftningen i en annan stat (EUT dataskyddet. L 395, 30.12.1989, s. 36). ( 3 )

text: Europaparlamentets och rådets direktiv 2005/56/EG av den 26 oktober 2005

text: om gränsöverskridande fusioner av bolag med ( 7 ) Förordning

text: (EG) nr 2157/2001

text: av den 8 oktober 2001 om stadga begränsat ansvar (EUT L 310, 25.11.2005, s. 1). för Europablag (EUT L 294, 10.11.2001, s. 1). ( 4 ) Direktiv

text: , se ovan för fullständig hänvisning. Genom ( 8 ) Förordning

text: (EG) nr 1435/2003

text: av den 18 augusti 2003 om stadga

text: artikel 1 i direktivet

text: begränsas bestämmelsernas räckvidd till aktie för europeiska kooperativa föreningar (SCE-föreningar) (EUT L 207, bolag. 18.8.2003, s. 1). ( 5 )

text: Europaparlamentets och rådets direktiv 2003/58/EG

text: av den 15 juli ( 9 ) http://www.ebr.org/ 2003 om ändring av

text: rådets direktiv 68/151/EEG

text: när det gäller krav ( 10 ) http://www.briteproject.eu på offentlighet i vissa typer av bolag (EUT L 221, 4.9.2003, s. 13). ( 11 ) https://e-justice.europa.eu/home.do ( 6 ) Direktiv

text: , se ovan för fullständig hänvisning. ( 12 ) http://ec.europa.eu/internal_market/imi-net/index_en.html

text: III. EUROPEISKA DATATILLSYNSMANNENS KOMMENTA

text: RER OCH REKOMMENDATIONER

text: ( 1 ) Detta med visst undantag för datautbyte vid fusioner över gränserna, omlokalisering av företagssäten och uppdateringar av uppgifter om filialer som tas upp specifikt i förslaget. 48. För att skapa mer klarhet på denna punkt rekommenderar ( 2 ) Om det i detta hänseende finns ett potentiellt behov av databehand Europeiska datatillsynsmannen att det i förslaget till direktiv ling inom ett område på den inre marknaden som inte omfattas av tydligt specificeras att det elektroniska nätverket ska under en särskild EU-rättsakt efterlyser Europeiska datatillsynsmannen yt lätta i) specifika manuella enstaka datautbyten mellan bo terligare analys av hur en rättslig ram kan utformas så att den, eventuellt i kombination meld allmänna fördragsbestämmelser, med lagsregister (i enlighet med en EU-rättsakt, till exempel vid ger att särskilda bestämmelser i fastställs i förslaget till direktiv och i fusioner eller omlokalisering av företagssäten) och ii) auto tillhörande delegerade akter för att kunna utgöra lämplig rättslig matiskt datautbyte (i enlighet med en EU-rättsakt, till ex grund ur ett dataskyddsperspektiv. I förslaget till direktiv bör man empel vid uppdatering av information i register för ut också specificera huruvida bolagsregistret kan använda det elektro ländska filialer). niska nätverket och den gemensamma åtkomstpunkten för att ut byta eller offentliggöra personuppgifter som inte omfattas av någon EU-rättsakt men som tillåts eller krävs enligt nationell lagstiftning. ( 3 ) Se förslaget till formulering av

text: artikel 4

text: a (3) i direktiv

text: ( 1 ) Eftersom ämnet i dagsläget inte tas upp i förslaget kommer Euro peiska datatillsynsmannen inte heller att behandla det närmare i detta yttrande. Han vill dock lyfta fram det faktum att om frågan 64. Detta är en särskilt känslig fråga när det gäller ”svarta lis eventuellt övervägs kan detta kräva en separat proportionalitetsana tor”. I vissa länder fungerar det elektroniska registret i rea lys samt att ytterligare lämpliga dataskyddsåtgärder införs. liteten också som ett slags ”svarta listor” och kan genom ( 2 ) Se

text: artikel 6 b i direktiv 95/46/EG

text: och förordning

text: (EG) nr 45/2001

identifier: EDPS yttrande (2011)

amnesord:
Privacy by Design
Interoperability
Privacy by Default
Transfers of data
Internal Market
Technologies

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Interconnection of central, commercial and companies registers

serie: yttranden

text: 26.7.2011 Europeiska SV unionens officiella tidning C 220/1

type: stycke

text: I

type: rubrik

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen över förslaget till Europaparlamentets och rådets direktiv om ändring av direktiven

text: och

text: vad avser sammankoppling av centrala register, handelsregister och företagsregister

text: (2011/C 220/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA ändring av direktiven

text: och YTTRANDE

text: vad avser sammankoppling av centrala regis ter, handelsregister och företagsregister ( 3 ) (”förslaget”) och samrådde därefter med Europeiska datatillsynsmannen.

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt

text: artikel 16

text: 2. Europeiska datatillsynsmannen är nöjd över att ha blivit tillfrågad i enlighet med artikel 28.2 i förordning (EG) nr med beaktande av Europeiska unionens stadga om de grund 45/2001 och att det i ingressen till förslaget finns en hän läggande rättigheterna, särskilt artiklarna

text: och

text: , visning till detta yttrande. med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda 1.1 Förslagets syfte personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ), 3. Syftet med förslaget är att underlätta och öka samarbetet och informationsutbytet över gränserna mellan bolagsregis ter i det Europeiska ekonomiska samarbetsområdet och därigenom göra den information som är tillgänglig över med beaktande av begäran om yttrande i enlighet med gränserna öppnare och mer tillförlitlig. Effektiva samarbets artikel 28.2 i Europaparlamentets och rådets förordning (EG) rutiner kring bolagsregister är avgörande för att öka tilltron nr 45/2001 av den 18 december 2000 om skydd för enskilda till den inre marknaden genom att ge konsumenter, lån då gemenskapsinstitutionerna och gemenskapsorganen behand givare och andra affärspartner ett säkrare näringslivsklimat, lar personuppgifter ( 2 ). samtidigt som den administrativa bördan minskar och rättssäkerheten ökar. Att utöka samarbetsrutinerna kring bolagsregister i Europa är särskilt viktigt vid hanteringen av fusioner, omlokalisering av företagssäten, uppdatering av registrering av utländska filialer i länder där det i dag HÄRIGENOM FRAMFÖRS FÖLJANDE. saknas samarbetsformer eller där dessa är begränsade.

text: 1. Den 24 februari 2011 antog Europeiska kommissionen 4. Syftet med förslaget är att ändra tre befintliga direktiv enligt förslaget till Europaparlamentets och rådets direktiv om följande: C 220/2 SV Europeiska unionens officiella tidning 26.7.2011 — Ändringarna av direktiv

text: ( 1 ) handlar om Europabolags (SE) säte ( 7 ) samt av europeiska kooperativa att underlätta tillgången till officiell företagsinformation föreningars (SCE-föreningar) säte ( 8 ). över gränserna genom att i) inrätta ett elektroniskt nät verk av bolagsregister och ii) fastställa en minsta ge mensamma uppsättning uppdaterad information som via en gemensam europeisk flerspråkig plattform/åt komstpunkt ska vara elektroniskt tillgänglig för tredje part. 7. År 1992 infördes en frivillig samarbetsform för bolagsregis ter i Europa. Det europeiska företagsregistret – European Business Register (EBR) ( 9 )– samordnar officiella bolagsregis ter från 19 medlemsländer och sex andra europeiska juris diktioner. Mellan 2006 och 2009 ingick EBR i forsknings projektet Brite ( 10 ) med syfte att utveckla en teknisk platt 2 form som skulle fungera för bolagsregister i hela Europa. — Genom ändringarna av direktiv 89/666/EEC ( ) ska ett Den konsekvensbedömning som görs i anslutning till för företags uppgifter i ett bolagsregister bli tillgängliga i slaget visar dock att EBR står inför stora utmaningar i fråga bolagsregistret för den utländska filialen i hela Europa. om utbyggnad, finansiering och styrning. Enligt kon sekvensbedömningen är inte den nuvarande samarbetsfor men helt tillfredsställande för potentiella användare. — Ändringarna av direktiv

text: ( 3 ) ska förbättra bolagsregistrens inbördes administrativa samarbetsfor mer vid gränsöverskridande fusioner. 1.3 Synergier med andra initiativ

text: 8. I motiveringen till förslaget noteras det att Europeiska ejuridikportalen ( 11 ) ska bli ett nav för tillgång till juridisk information, för rätts- och förvaltningsinstanser, register, databaser och andra tjänster på EU-nivå. Här bekräftas 1.2 Förslagets innehåll också att förslaget är ett komplement till den europeiska e-juridikportalen och ska bidra till att tredje part enklare får 5. Det finns bolagsregister i alla medlemsstater. De ligger på tillgång till bolagsinformation via portalen. antingen nationell, regional eller lokal nivå. År 1968 antogs gemensamma bestämmelser om att införa en lägsta stan dard för insyn (registrering och offentliggörande) i bolags information ( 4 ). Från den 1 januari 2007 måste medlems staterna också ha ett elektroniskt bolagsregister ( 5 ) och ge tredje part tillgång till innehållet via webben. 9. Enligt konsekvensbedömningen är Informationssystemet för den inre marknaden ( 12 ) (IMI) ett annat intilliggande projekt som kan ge synergieffekter. IMI är ett elektroniskt verktyg som tagits fram för att underlätta olika offentlig förvalt ningars vardagliga administrativa samarbete med anknyt ning till tjänstedirektivet (

text: ) och direktivet om erkännande av yrkeskvalifikationer (

text: ). Just 6. Samarbete kring bolagsregister från olika medlemsstater nu växer och uppdateras IMI och skulle enligt konsekvens krävs uttryckligen i en del EU-rättsliga instrument för att bedömningen också kunna stödja genomförandet av andra underlägga gränsöverskridande fusioner av bolag med be direktiv, däribland på bolagsrättens område. gränsat ansvar ( 6 ) och gränsöverskridande överföring av ett 26.7.2011 Europeiska SV unionens officiella tidning C 220/3 2.1 Offentliggörande av uppgifter genom en gemensam 2.2 Driftskompatibilitet och samkörning av bolags europeisk elektronisk plattform/åtkomstpunkt register: Införandet av elektroniskt nätverk

text: 11. Enligt

text: artikel 2 i direktiv 2009/101/EG

text: som gäller i dag 16. Genom förslaget införs också en ny

text: artikel 4

text: a i direktiv finns det redan krav på att en viss miniminivå av uppgifter

text: om att medlemsstaterna ska vidta nödvän ska offentliggöras i bolagsregistren i samtliga medlemstater diga åtgärder för att säkerställa att [bolagsregistren] är så att tredje part kan bedöma uppgifter om bolagen. Som driftskompatibla och bildar ett elektroniskt nätverk. Även framgår av avsnitt 1.2 ovan ska medlemsstaterna också föra här ska övriga detaljer fastställas i delegerade akter. elektroniska bolagsregister och ge tredje part tillgång till deras innehåll via webben.

text: 12. I

text: artikel 2

text: anges också elva grundläggande bolagsuppgifter 2.3 Bestämmelser om dataskydd som ska offentliggöras för allmänheten, däribland 17. För att hantera eventuella dataskyddsproblem införs genom förslaget i alla tre direktiven en särskild artikel om data skydd: Den behandling av personuppgifter som utförs inom — stiftelseurkund, bolagsordning och eventuella ändringar ramen för detta direktiv ska omfattas av Europaparlamen av den, tets och

text: rådets direktiv 95/46/EG

text: . — det tecknade kapitalets storlek, — redovisningshandlingar, 3.1 Inledning: Att samtidigt uppfylla behovet av insyn och skyddet av privatlivet

text: 18. Europeiska datatillsynsmannen håller med kommissionen — byte av bolagets säte, om att i) användningen av informations- och kommunika tionsteknik kan bidra till ett effektivare samarbete kring bolagsregister och ii) att ökad tillgång till uppgifter ur bo lagsregister kan ge ökad öppenhet. Europeiska datatillsyns — upplösning, ogiltigförklaring, utnämning av likvidatorer, mannen stöder därför syftet med förslaget. Kommentarerna avslutning av likvidation, uppgift om avregistrering. ska därför ses som konstruktiva.

text: 13. Viktigt i dataskyddshänseende är att det i

text: artikel 2

text: också krävs offentlighet kring tillsättande och entledigande av samt personuppgifter (vår understrykning) om dem som i) är behöriga att företräda bolaget och/eller ii) på annat 19. Samtidigt betonar Europeiska datatillsynsmannen att ökad sätt deltar i ledning, tillsyn eller kontroll av bolaget. tillgång till personuppgifter också medför ökad risk för samma personuppgifter. Om det till exempel blir lättare att göra en korrekt identifiering av en bolagsföreträdare när hans bostadsadress offentliggörs kan samma öppenhet 14. Förteckningen över uppgifter som ska offentliggöras i en också få negativa konsekvenser för samma persons rätt till lighet med

text: artikel 2

text: ändras inte genom förslaget. Det är inte skydd av sina personuppgifter. Detta gäller särskilt person heller något nytt krav att alla medlemsstater ska göra upp uppgifter som blir tillgängliga i stor skala, i digitalt format gifterna offentligt tillgängliga på elektronisk väg. Det nya i på internet och på flera språk via en lättillgänglig europeisk förslaget är att de uppgifter som tidigare bara har varit plattform/åtkomstpunkt. tillgängliga i fragment, ofta bara på lokala språk och via lokala webbplatser, nu blir lätt tillgängliga via en gemensam europeisk plattform/åtkomstpunkt och på flera språk.

text: 20. För inte alltför länge sedan offentliggjordes personuppgifter 15. För att åstadkomma detta införs i förslaget en ny

text: artikel 3

text: a ur bolagsregister (till exempel en direktörs namn, adress i direktivet: Medlemsstaterna ska se till att varje sökande får och namnteckning) för allmänheten på papper, på ett lokalt tillgång till de handlingar och uppgifter som avses i språk och ofta vid personligt besök av den sökande vid ett

text: artikel 2

text: och som har getts in till deras register, i elektro av bolagsregistrets lokalkontor. Det är viktigt att förstå att nisk form genom en enda europeisk plattform som är till dessa förhållanden skiljer sig kvalitativt från ett digitalt of gänglig från varje medlemsstat. Övriga detaljer ska enligt fentliggörande av uppgifter via en nationstäckande elektro förslaget fastställas i delegerade akter. nisk åtkomstpunkt. Offentliggörande av personuppgifter via C 220/4 SV Europeiska unionens officiella tidning 26.7.2011 en lättillgänglig Europatäckande plattform/åtkomstpunkt Ytterligare bestämmelser om genomförandet av specifika driver saken ytterligare ett steg i samma riktning och skyddsåtgärder kan sedan behandlas i delegerade akter efter ökar tillgången till information ytterligare, liksom hoten samråd med Europeiska datatillsynsmannen och, i tillämp mot personuppgifternas skydd och mot berörda individer. liga fall, med nationella dataskyddsmyndigheter (se avsnitt 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 och 3.13).

text: 21. Ett hot mot den personliga integriteten är (på grund av att uppgifterna är lätt tillgängliga i digitalt format via en ge mensam elektronisk åtkomstpunkt) identitetsstöld och an 3.3 Övriga väsentliga delar i de föreslagna åtgärderna nan kriminell verksamhet. Ett annat är att de offentliggjorda bör också tydliggöras uppgifterna olagligen kan samlas in och efter profilering av 26. I förslaget utelämnas inte bara frågan om viktiga data de berörda personerna användas av företag i kommersiella skyddsåtgärder. Förslaget är också mycket vagt i andra hän syften som inte ursprungligen avsågs. Utan adekvat skydd seenden. Framför allt hänvisas det till delegerade akter när kan också uppgifterna säljas till andra eller samköras med det gäller att fastställa väsentliga delar, till exempel hur den andra uppgifter och säljas tillbaka till stater och regeringar föreslagna i) sammankopplingen av bolagsregister och ii) för att användas i helt andra och okända syften (till exem offentliggörandet av uppgifter ska uppnås. pel skattejuridiska frågor eller andra brotts- eller förvalt ningsrelaterade utredningar) utan korrekt rättslig grund ( 1 ).

text: 27. Tydlighet kring dessa övriga väsentliga delar i förslaget är 22. Av dessa skäl måste man noggrant bedöma vilka person en nödvändig förutsättning för att kunna anta adekvata uppgifter som ska bli tillgängliga via den gemensamma dataskyddsåtgärder. Datatillsynsmannen rekommenderar europeiska plattformen/åtkomstpunkten och vilka extra da därför att dessa väsentliga delar anges i förslaget till direktiv taskyddsåtgärder – inklusive tekniska åtgärder för att be (se avsnitt 3.4 och 3.5). gränsa sökningar eller nedladdning och utvinning av data – som bör införas. 3.4 Styrning: Roller, behörighet och ansvarsområden 3.2 Viktiga dataskyddsåtgärder bör anges i förslaget bör klargöras i förslaget till direktiv och inte definieras i delegerade akter

text: 28. I dagsläget hänvisas det i förslaget till delegerade akter när 23. Som vi påpekade i avsnitt 2.1 och 2.2 är de föreslagna det gäller fastställandet av bestämmelser kring styrning,

text: artiklarna 3

text: a och 4a till direktiv

text: mycket ge ledning, drift och rätt att driva det elektroniska nätver nerella och överlämnar många viktiga frågor till delegerade ket ( 2 ). akter.

text: 24. Europeiska datatillsynsmannen inser att det finns ett behov 29. I konsekvensbedömningen och motiveringen definieras av flexibilitet och därmed även ett behov av delegerade vissa synergier med IMI och Europeisk e-juridikportal akter. Men han vill samtidigt betona att de dataskyddsåtgär men i själva förslaget till direktiv lämnas dörren öppen der som behövs är mycket viktiga och bör tydligt och för olika alternativ i fråga om huruvida några synergier specifikt anges direkt i det föreslagna direktivet. De kan i alls – eller alla möjliga synergier – ska uppnås, däribland detta hänseende inte ses som ”icke väsentliga delar” som omstrukturering av EBR, användningen av IMI för viss data kan behandlas i efterföljande delegerade akter som antas överföring och/eller användningen av Europeisk e-juridik enligt artikel 290 i föredraget om Europeiska unionens portal som plattform/åtkomstpunkt för att lämna uppgifter funktionssätt. ur bolagsregister till allmänheten.

text: 25. Europeiska datatillsynsmannen rekommenderar därför att 30. Andra alternativ utesluts inte heller, som att lägga ut rätten bestämmelserna om dataskydd i förslaget ska göras mer att utforma och driva det elektroniska nätverket på anbud specifika och vara mer utförliga än att enbart innehålla eller att kommissionen tar ett direkt ansvar för att utforma en hänvisning till direktiv

text: (se avsnitt 3.4–3.13). och driva systemet. Företrädare för medlemsstaterna kan också engageras i ledningsstrukturen för det elektroniska ( 1 ) Det finns en framväxande marknad för försäljning av den här typen nätverket. av företaginformation. Tjänsteleverantörer på denna marknad vär derar företagens/enskilda personers trovärdighet på grundval av upp gifter som samlas in från olika platser, däribland bolagsregister, ( 2 ) Se förslaget till formulering för

text: artikel 4

text: a och 3 a i direktiv domstolar, konkursförvaltare osv.

text: . 26.7.2011 Europeiska SV unionens officiella tidning C 220/5

text: 31. I sin nuvarande form anges visserligen en gemensam eu 36. Europeiska datatillsynsmannen betonar att tydlighet framför ropeisk elektronisk plattform (vår understrykning) i försla allt krävs i situationer med flera aktörer involverade och i get, men det är inte uteslutet att texten ändras ytterligare i samarbeten. Detta är ofta fallet med EU:s informations lagstiftningsförfarandet för att gälla en mer decentraliserad system som används för offentliga syften och där syftet struktur. med bearbetningen anges i EU-lagstiftningen.

text: 37. Därför rekommenderar Europeiska datatillsynsmannen att 32. Dataillsynsmannen observerar också att det nuvarande för man i själva direktivet specifikt, tydligt och entydigt fast slaget visserligen inte specifikt tar upp frågan om samkör ställer ning av bolagsregister med andra databaser (till exempel med fastighets- och folkbokföringsregister) men detta är definitivt tekniskt möjligt och något som redan görs i vissa medlemsstater ( 1 ). — huruvida det elektroniska nätverket ska drivas av kom missionen eller av tredje part och huruvida det får en centraliserad eller decentraliserad struktur,

text: 33. Valet av något av alternativen kan leda till helt olika struk turer för styrningen av det elektroniska nätverket och det elektroniska verktyg som ska användas för att offentliggöra uppgifter. Detta leder i sin tur till olika roller och ansvars — uppgifter och ansvarsområden för alla berörda i data områden för berörda parter, vilket i sin tur också leder till behandlingen och styrningen av det elektroniska nätver andra roller och ansvarsområden ur ett dataskyddsperspek ket, inklusive kommissionen, medlemsstaternas företrä tiv. dare, bolagsregistrens innehavare i medlemsstaterna och eventuella tredje parter,

text: 34. Europeiska datatillsynsmannen betonar i det hänseendet att — förhållandet mellan det elektroniska system som avses i varje gång personuppgifter bearbetas är det av största vikt förslaget och andra initiativ, till exempel IMI, Europeisk att korrekt definiera vem som är ”ansvarig”. Detta betonade e-juridikportal och EBR. också artikel 29-arbetsgruppen för skydd av personuppgif ter i sitt yttrande 1/2010 om begreppen ”registeransvarig” och ”registerförare” ( 2 ). Det främsta skälet till varför det är så viktigt att klart och entydigt definiera vem som är an svarig är att detta avgör vem som ansvarar för att datas 38. Ur ett dataskyddsperspektiv bör även dessa klargöranden kyddsbestämmelserna följs. Det har också betydelse för att vara specifika och entydiga så att man på grundval av avgöra vilken lagstiftning som är tillämplig ( 3 ). förslaget till direktiv kan avgöra huruvida en viss aktör ska betraktas som ”registeransvarig” eller ”registerförare”.

text: 35. Artikel 29-arbetsgruppen konstaterar följande i sitt ytt rande: Om det inte är tillräckligt tydligt vad som krävs av 39. Enligt vad som kan utläsas av det nuvarande förslaget i dess vem – om t.ex. ingen är ansvarig eller det finns en mängd helhet bör det i princip uttryckligen bidra till att bolags möjliga registeransvariga – finns det en uppenbar risk för registrens innehavare respektive systemens operatör/er be att alldeles för lite – eller inget alls – händer och att de traktas som registeransvariga vad gäller sin egen verksam rättsliga bestämmelserna förblir ineffektiva. het. Mot bakgrund av detta och med tanke på att det i förslaget i nuläget inte finns någon beskrivning av lednings ( 1 ) Samkörning tas i dagsläget inte upp i förslaget och Europeiska data strukturen eller någon definition av vem som ska driva det tillsynsmannen kommer inte att behandla frågan vidare i detta ytt elektroniska systemet kan man inte uteslut att den eller de rande. Han vill dock lyfta fram det faktum att om eventuell sam enheter som till sist ska driva systemet rent praktiskt kom körning övervägs kan detta kräva en egen analys av proportionali mer att fungera som registerförare snarare än registeransva teten samt att ytterligare lämpliga dataskyddsåtgärder införs. riga. Detta kan mycket väl bli fallet om verksamheten läggs ( 2 ) Se

text: artikel 2

text: d och 2e i både direktiv

text: och i förordning (EG) ut på entreprenad på en tredje part som agerar strikt utifrån nr 45/2001 samt yttrande 1/2010 av den 16 februari 2010 från artikel 29-arbetsgruppen för skydd av personuppgifter om begrep givna anvisningar. Det förefaller i vilket fall som om det pen registeransvarig och registerförare (

text: WP 169

text: ). kvarstår flera olika registeransvariga, minst en i varje med ( 3 ) Eftersom dataskyddslagstiftningen inte är helt harmoniserad inom lemsstat, det vill säga de enheter som håller i bolagsregi Europa är den registeransvariges identitet viktig för att kunna avgöra stren. Att det också kan finnas andra (privata) enheter som vilken nationell lagstiftning som är tillämplig. Det är också på sin är engagerade som operatörer, ”distributörer” eller liknande plats att avgöra huruvida direktiv

text: eller förordning (EG) nr förändrar inte saken. Detta bör i vilket fall specificeras i det 45/2001 är tillämplig. Om kommissionen (också) är registeransvarig blir (även) förordning

text: (EG) nr 45/2001

text: tillämplig, vilket framgår av föreslagna direktivet för att skapa tydlighet och värna om avsnitt 3.11. rättssäkerheten. C 220/6 SV Europeiska unionens officiella tidning 26.7.2011

text: 40. Sist men inte minst bör man i förslaget också mer specifikt 3.6 Andra centrala frågor som hänskjuts till delegerade och kortfattat beskriva vilka ansvarsområden som följer akter bör också diskuteras i förslaget till direktiv med dessa roller. Operatörens roll för att se till att systemet utformas på ett sätt som värnar om den personliga integ 45. Enligt förslaget ska också följande frågor fastställas i dele riteten samt vederbörandes samordnande funktion och hän gerade akter ( 3 ): syn till dataskyddsfrågor bör till exempel tas med i försla get.

text: 41. Europeiska datatillsynsmannen konstaterar att alla dessa förtydliganden också är viktiga för att avgöra vilka datatill — Villkoren för medverkan i det elektroniska nätverket för synsmyndigheter som är behöriga och för vilken behand länder utanför EES-området. ling av personuppgifter. 3.5 Rättsliga ramar och rättslig grund för samarbeten kring dataflöden/förvaltning bör anges i förslaget till direktiv — Lägsta säkerhetsnivå för det elektroniska nätverket.

text: 42. I den nuvarande utformningen verkar det inte som om det elektroniska nätverket ska bidra till att alla uppgifter i re spektive bolagsregister blir automatiskt tillgängliga för samtliga övriga bolagsregister i medlemsstaterna. Förslaget anger bara att bolagsregistren ska vara sammankopplade och driftskompatibla och förlägger därmed villkoren för — Definitionen av standard för format, innehåll och be informationsutbyten och tillgång till framtiden. För att ga gränsningar för lagring och hämtning av handlingar och rantera rättssäkerheten bör det av förslaget framgå huruvida uppgifter som underlättar automatiskt datautbyte. denna tolkning är korrekt.

text: 43. I förslaget anges inte heller vilka dataflöden/administrativa samarbetsförfaranden som kan ske via de sammankopplade bolagsregistren ( 1 ). Europeiska datatillsynsmannen har för 46. Vad gäller första och andra strecksatsen anser Europeiska ståelse för att det krävs viss flexibilitet så att eventuella datatillsynsmannen att vissa viktiga säkerhetsåtgärder bör framtida behov kan tillgodoses. Men Europeiska datatill anges i förslaget till direktiv (se avsnitt 3.12 och 3.13). synsmannen anser ändå att det är av största vikt att man Ytterligare detaljer kan därefter fastställas i de delegerade i förslaget anger ramen för vilka dataflöden och administ akterna. rativa samarbetsformer som kan skapas i framtiden för att utnyttja det elektroniska nätverket. Detta är av särskild be tydelse för att garantera att i) allt utbyte av uppgifter görs på tydliga rättsliga grunder och att ii) adekvata dataskydds åtgärder införs.

text: 47. När det gäller automatiska datautbyten är Europeiska data tillsynsmannen glad över att det i förslaget heter att de 44. Enligt Europeiska datatillsynsmannen bör allt datautbyte delegerade akterna ska innehålla definition av standarder eller annan databehandling som görs med hjälp av det för format, innehåll och begränsningar för lagring och elektroniska nätverket (till exempel offentliggörande av per hämtning av handlingar och uppgifter som möjliggör auto sonuppgifter via den gemensamma plattformen/åtkomst matiskt datautbyte. punkten) bygga på en bindande EU-rättsakt som antagits på rättsliga grunder. Detta bör tydligt framgå av förslaget till direktiv ( 2 ). 26.7.2011 Europeiska SV unionens officiella tidning C 220/7

text: 49. För att skapa ytterligare klarhet rekommenderar Europeiska Uttrycket ’uppgifter om personer’ bör klargöras i förslaget till datatillsynsmannen också att den föreslagna formuleringen direktiv av

text: artikel 4 a

text: (3 i) i direktiv

text: ändras så att i) delegerade akter blir heltäckande för både manuellt och 55. I

text: artikel 2 i direktiv 2009/101/EG

text: finns ingen definition av automatiskt datautbyte ii) all behandling som kan gälla vilka uppgifter om berörda personer (personer som företrä personuppgifter (inte bara lagring och hämtning) omfattas, der bolaget och andra som deltar i bolagets styrning) som iii) särskilda dataskyddsbestämmelser i delegerade akter måste offentliggöras. också täcker den praktiska tillämpningen av aktuella data skyddsåtgärder.

text: 56. De olika språkversionerna av förslaget visar faktiskt märk 50.

text: Artikel 4 a

text: (3 i) kan till exempel ändras enligt följande: bara skillnader vad gäller översättningen av begreppet per sonuppgifter (particulars of persons). På franska heter det till exempel l’identité des personnes (dvs. personens identitet), på italienska le generalità delle persone (dvs. personliga detaljer i) format, innehåll och gränser för all manuell eller auto såsom för- och efternamn), på ungerska személyek adatai matisk databehandling som görs med användning av (dvs. uppgifter om personen), på nederländska de identiteit nätverket, inklusive överföring, lagring och hämtning van de personen (dvs. personens identitet) och på rumänska av information samt specifika åtgärder som kan bli nöd identitatea persoanelor (dvs. personens identitet). vändiga för att garantera den praktiska tillämpningen av aktuella dataskyddsåtgärder. 3.7 Kategorierna av personuppgifter bör förtydigas 57. I vissa medlemsstater är företagschefers och/eller andra per ytterligare i förslaget till direktiv soners, till exempel särskilda aktieägares, bostadsadresser offentliga på internet. I andra medlemsstater är sådana upp 51. Europeiska datatillsynsmannen betonar preliminärt att gifter av sekretessbelagda i det bolagsregister där de lagts in, namn (och eventuellt andra detaljer som bostadsadress) bland annat av rädsla för identitetsstöld. på bolagens företrädare (och andra personer som medver kar i bolagets styrning) utan tvekan utgör den mest uppen bara personuppgift som kan behandlas i det elektroniska nätverket och/eller offentliggöras via den gemensamma elektroniska plattform/åtkomstpunkten. Det är dock långt ifrån den enda uppgift som finns i bolagsregistren. 58. Europeiska datatillsynsmannen rekommenderar att

text: artikel 2 i direktiv 2009/101/EG

text: ändras så att det klargörs vilka – om några – personuppgifter utöver de berörda personernas (företrädare för bolaget och andra personer som medverkar 52. Först och främst kan vissa av de handlingar som finns i bolagets styrning) namn som måste offentliggöras. Däri förtecknade i

text: artikel 2 i direktiv 2009/101/EG

text: (till exempel genom bör behovet av insyn och korrekt identifiering av stiftelseurkund, bolagsordning och redovisningar) också in dessa personer beaktas noggrant och samtidigt vägas mot nehålla personuppgifter som rör andra individer. Dessa andra konkurrerande hänsyn, till exempel behovet av att skydda de berördas personliga integritet ( 1 ). uppgifter kan vara namn, adress, eventuella personnummer och födelsedata liksom inskannade namnteckningar från en rad olika personer, däribland dem som grundade företaget, aktieägare, advokater, revisorer, anställda eller notarius pub licus. 59. Om ingen överenskommelse kan nås på grund av varie rande nationell praxis bör man åtminstone ändra

text: artikel 2

text: så att det krävs att det fullständiga namnet på berörda 53. För det andra kan företagsuppgifter som sammankopplas personer och, om så uttryckligen krävs i nationell lagstift till en persons namn (till exempel en direktör) också be ning, ytterligare uppgifter som krävs för deras identifiering traktas som denna individs personuppgifter. Om uppgif ska offentliggörs. Det blir därmed tydligt att varje enskild terna från bolagsregistret till exempel visar att en viss indi medlemsstat i sin nationella lagstiftning kan avgöra vilka, vid ingår i styrelsen för ett företag som omfattas av ett konkursförfarande är denna information också relevant ( 1 ) Vid proportionalitetsbedömningen bör framför allt hänsyn tas till de för denna individ. kriterier som fastställs av EU-domstolen i dom av den 9 november 2010 i det gemensamma målet

text: och

text: , Schecke och Eifert, REG, framför allt punkterna 81, 65 och 86). I målet Schecke betonade domstolen att undantag och begränsningar av skyddet av 54. För att skapa klarhet kring vilka personuppgifter som be den personliga integriteten enbart ska tillämpas om det är absolut nödvändigt. Domstolen ansåg också att institutionerna bör under handlas och för att bredden av uppgifter som behandlas ska söka olika metoder för offentliggörande för att hitta den metod som stå i proportion till syftet med förslaget rekommenderar överensstämmer med offentliggörandets syfte och samtidigt vållar Europeiska datatillsynsmannen de förtydliganden som redo minsta besvär för den berörda personens rätt till sitt privatliv i visas längre fram i detta avsnitt. allmänhet och skyddet av personuppgifter i synnerhet. C 220/8 SV Europeiska unionens officiella tidning 26.7.2011 om några, uppgifter utöver namn som ska offentliggöras sökas av valfri tredje part via en elektronisk portal som vill och att ytterligare personuppgifter endast måste offentlig ha information om bolagsföreträdare som har avstängts göras om det behövs för att identifiera den berörda perso från sin verksamhet. nen.

text: 65. För att hantera detta problem rekommenderar Europeiska 60. Med tanke på att det i

text: artikel 2

text: talas om minst följande datatillsynsmannen att man i förslaget klargör huruvida och handlingar och uppgifter snarare än en fullständig harmoni i vilken utsträckning medlemsstaterna efterhand får offent sering av innehållet i bolagsregister i Europa kan ett alter liggöra mer information via den gemensamma portalen nativ vara att helt enkelt ersätta begreppet personuppgifter och/eller efterhand om de så önskar får utbyta mer infor med personers fullständiga namn. Det blir därmed varje en mation med varandra med utgångspunkt från respektive skild medlemsstat som kan avgöra vilka, om några, ytterli nationell lagstiftning. I detta fall bör en strikt proportiona gare uppgifter de vill offentliggöra. litetsbedömning (se Schecke, ovan) bygga på nationell lag stiftning och också beakta målet för den inre marknaden. Uttrycket ”ledning, tillsyn eller kontroll” bör klargöras

text: 61. I

text: artikel 2 i direktiv 2009/101/EG

text: heter det också att upp 66. Europeiska datatillsynsmannen föreslår dessutom att utnytt gifter ska offentligöras om personer som deltar i bolagets jandet av dessa befogenheter knyts till en funktion som ska ledning, tillsyn eller kontroll. Det är med hjälp av denna breda fyllas av nationella dataskyddsmyndigheter, till exempel via formulering inte helt tydligt huruvida uppgifter om aktie samråd. ägare måste offentliggöras, framför allt uppgifter om aktie ägare som har i) ett betydande, inflytelserikt eller kontrol lerande innehav utöver ett visst tröskelvärde eller ii) genom bonusar, särskilda avtal eller på annat sätt utövar reell kont roll/inflytande över bolaget. 67. Slutligen betonar Europeiska datatillsynsmannen att om ett europeiskt system skulle tas fram för att uttryckligen åstad komma sådana ”svarta listor” bör det också ha angivits uttryckligen i förslaget till direktiv ( 1 ).

text: 62. Europeiska datatillsynsmannen förstår att det krävs en bred formulering för att täcka in den stora variationen av bolags styrningar som i dag finns för aktiebolag i de olika med lemsstaterna. Men rättssäkerheten i fråga om vilka katego rier av personer som kan omfattas av ett offentliggörande 3.8 Garantier för att begränsa syftet: Skyddsåtgärder är viktig ur ett dataskyddsperspektiv. Därför rekommende mot datainsamling, datautvinning, samkörning och ex rar Europeiska datatillsynsmannen att artikel 2 i direktiv trema sökningar

text: ändras för att klargöra vilka, om några, per sonuppgifter kring aktieägare som måste offentliggöras. I 68. Europeiska datatillsynsmannen rekommenderar att förslaget samband med detta måste också en proportionalitetsanalys till direktiv särskilt anger att varje gång personuppgifter i enlighet med målet Schecke (enligt not ovan) också göras. offentliggörs eller på annat sätt sprids bland bolagsregister bör det finnas lämpliga skyddsåtgärder, framför allt mot datainsamling, datautvinning, samkörning och extrema sök ningar för att grantera att personuppgifter som offentligg jorts för att främja öppenhet inte missbrukas för andra Offentliggörande utöver lägsta angivna nivå – svarta listor syften än just detta ( 2 ).

text: 63. Även om det enligt förslaget inte krävs något utbyte eller offentliggörande av personuppgifter utöver de minimikrav som anges i

text: artikel 2 i direktiv 2009/101/EG

text: har ändå medlemsstaterna möjlighet att om de vill kräva att deras 69. Europeiska datatillsynsmannen betonar särskilt behovet av bolagsregister behandlar eller lämnar ut ytterligare person att beakta tekniska och organisatoriska åtgärder som följer uppgifter och gör dem tillgängliga även via den gemen principen om integritetsfrämjande teknik (se avsnitt 3.14). samma europeiska plattformen/åtkomstpunkten och/eller Det praktiska införandet av dessa skyddsåtgärder kan hän utbyter sådana uppgifter med bolagsregister i andra med skjutas till delegerade akter. Principerna bör dock anges i lemsstater. förslaget till direktiv. 26.7.2011 Europeiska SV unionens officiella tidning C 220/9 3.9 Uppgifter till den som registrerats samt öppenhet som inte har fullgott skydd av personuppgifter betonar Europeiska datatillsynsmannen först och främst att det är 70. Europeiska datatillsynsmannen rekommenderar att det i viktigt att urskilja två situationer, nämligen förslaget till direktiv finns en särskild bestämmelse om att information enligt artiklarna

text: och

text: i direktiv 95/46/EG (och i tillämpliga fall motsvarande bestämmelser i förord ning

text: (EG) nr 45/2001

text: ) effektivt och i sin helhet bör lämnas ut till de registrerade personerna. Dessutom, och beroende på den ledningsstruktur som överenskommits och de olika — fall där personuppgifterna redan finns tillgängliga i of berörda parternas roller och ansvarsområden, kan man i fentliga register (till exempel via den gemensamma eu förslaget till direktiv uttryckligen kräva att ett systems ope ropeiska plattformen/åtkomstpunkten), ratör på sin webbplats i förebyggande syfte lämnar medde landen och annan information till personer som registre rats, även om det är på bolagsregistrets ”vägnar”. Närmare detaljer kan om så behövs formuleras i delegerade akter eller fastställas i en dataskyddspolicy. — fall där personuppgifterna inte är offentliggjorda.

text: 75. I det första fallet kan undantag beviljas enligt

text: artikel 26.1 f

text: 3.10 Rätt till tillgång, rättelse och radering i direktiv

text: när överföringen görs från ett offentligt 71. I förslaget ska det åtminstone finnas en hänvisning till register och på vissa villkor. Om till exempel innehavaren kravet att ta fram bestämmelser (i delegerade akter) om av ett bolagsregister i ett europeiskt land vill överföra en given uppsättning personuppgifter (till exempel i samband system som gör att registrerade personer kan utnyttja med registreringen av utländska filialer) till innehavaren av sina rättigheter Det bör också finnas en hänvisning till ett bolagsregister i ett tredjeland och samma uppgifter re möjligheten att bygga upp dataskyddsmoduler och utforma lösningar där registren utformas med integritetsfrämjande dan är offentliggjorda skulle överföringen i vilket fall vara teknik samt där myndigheterna samarbetar kring den regi möjlig att göra även om det aktuella tredjelandet inte har strerades rätt att ta del av uppgifter, liksom i tillämpliga fall tillräckligt hög skyddsnivå. mer ”egenmakt” för de registrerade.

text: 76. I det andra fallet rekommenderar Europeiska datatillsyns mannen att man i förslaget klargör att uppgifter som inte är offentliggjorda bara kan överföras till enheter eller per 3.11 Tillämplig lagstiftning soner i ett tredjeland utan tillräcklig skyddsnivå om den 72. Eftersom det finns en möjlighet att kommissionen eller registeransvariga kräver adekvat skyddsnivå för att värna någon annan EU-institution/organ också kan behandla per om den registrerades personliga integritet och grundläg sonuppgifter i det elektroniska nätverket (till exempel ge gande rättigheter och friheter samt vederbörandes möjlighet nom att fungera som operatör eller genom att hämta per att utöva dessa rättigheter. Sådana skyddsåtgärder kan fram sonuppgifter från det), bör en hänvisning också göras till för allt stipuleras i lämpliga avtalsklausuler i enlighet med förordning

text: (EG) nr 45/2001

text: artikel 26.2 i direktiv 95/46/EG

text: ( 1 ). Om sådan dataöver föring till tredjeländer systematiskt innebär att uppgifter delas mellan bolagsregister i två eller flera EU-länder eller om det på annat sätt krävs en insats på EU-nivå kan även här en förhandling om särskilda avtalsklausuler föras på EU-nivå (

text: artikel 26.4

text: 73. Det bör också framgå att direktiv

text: gäller både bolagsregister och andra parter som agerar enligt nationell lagstiftning i medlemsstaterna, medan förordning

text: (EG) nr 45/2001

text: gäller kommissionen och övriga EU-institutioner och EU-organ. 77. Europeiska datatillsynsmannen betonar att andra undantag, till exempel där överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk (

text: artikel 26 d

text: ), inte får utnyttjas för att motivera systematisk överföring av personuppgifter till tredjeländer med hjälp av det elektroniska nätverket. 3.12 Överföring av personuppgifter till tredjeland ( 1 ) Om det är möjligt att kommissionen i vissa fall är en av de aktörer 74. När innehavaren av ett bolagsregister ska överföra person som kan överföra uppgifter till tredjeländer bör en hänvisning också uppgifter till innehavaren av ett bolagsregister i tredjeland göras till artikel

text: och

text: i förordning (EG) nr 45/2001. C 220/10 SV Europeiska unionens officiella tidning 26.7.2011 3.13 Ansvarsskyldighet och integritetsfrämjande — Andra skyddsåtgärder för att förhindra/begränsa ned teknik laddning i stora volymer, datautvinnig, extrema sök ningar och garantera adekvat begränsning enligt ett gi 78. Europeiska datatillsynsmannen rekommenderar att man i vet syfte; skyddsåtgärder för att förhindra eller begränsa förslaget uttryckligen hänvisar till och strävar efter att ge tredje parts möjlighet att använda sökfunktionen för att nomföra principen om ansvarsskyldighet ( 1 ) och fastställer samla in uppgifter och skapa profiler över personer (till en tydlig ram för lämpliga interna mekanismer och kont exempel ”captcha” ( 3 ) eller registreringskrav för betal rollsystem så att skyddsnivåer följs och även kan bevisas, ning), till exempel genom att — göra en konsekvensbedömning om den personliga in — Inbyggda systemfunktioner som gör det lättare för den tegriteten (med en analys av säkerhetsriskerna) innan registrerade att utöva sina rättigheter direkt; inbyggda systemet utformas, funktioner så att bolagsregistren kan samordna sig in bördes för att uppfylla den registrerades krav på tillgång till uppgifter. — anta och i tillämpliga fall uppdatera en formell datas kyddspolicy (genomförandebestämmelser) och även en säkerhetsplan, — Rutiner för att hantera information om sökande som laddar ner uppgifter från offentliga register på ett säkert — göra regelbundna granskningar för att bedöma datas och integritetsfrämjande sätt. kyddets och säkerhetspolicyns fortsatta lämplighet och överensstämmelse med bestämmelserna, — Gransknings-/spårningsmekanismer. — offentliggöra (åtminstone delvis) resultaten av dessa granskningar för att visa intressenterna att dataskyddet efterlevs, IV. SLUTSATSER — anmäla dataintrång och andra säkerhetsrelaterade inci 80. Europeiska datatillsynsmannen stöder förslagets syfte. Kom denter. mentarerna ska därför ses som konstruktiva.

text: 79. Det bör finnas en särskild hänvisning till integritetsfräm jande teknik ( 2 ) i förslaget och åtagandet bör också kon 81. Europeiska datatillsynsmannen betonar att ett nödvändigt kretiseras i åtgärder. Förslaget bör framför allt fastställa att uppgiftsskydd tydligt och uttryckligen ska anges direkt i det elektroniska nätverket ska ha en säker och trygg kon direktivet eftersom de är väsentliga delar. Kompletterande struktion så att flera skyddsmekanismer är automatiskt in bestämmelser om genomförandet av särskilda skyddsåtgär byggda. Följande är några exempel på skyddsåtgärder ge der kan därefter fastställas i delegerade akter. nom integritetsfrämjande teknik: — Ett decentraliserat synsätt där personuppgifter endast 82. Frågorna om styrning, roller, behörighets- och ansvars lagras i en central källa (”master”) varifrån de enskilda områden måste behandlas i förslaget till direktiv. Därför ”distributörerna” hämtar uppgifter (för att garantera att bör det av direktivet framgå uppgifterna är aktuella). — Automatiska processer med sökningar av inkonsekventa — huruvida det elektroniska nätverket ska drivas av kom eller felaktiga uppgifter. missionen eller tredje part och huruvida det ska ha en centraliserad eller decentraliserad struktur, — Begränsade sökmöjligheter där bara de uppgifter index eras som är proportionella och adekvata för det aktuella syftet. — uppdrag och ansvarsområden för alla parter som är berörda i databehandling och styrning av det elektro ( 1 ) Se avsnitt 7 i Europeiska datatillsynsmannens yttrande över kom niska nätverket, inklusive kommissionen, medlemssta missionens meddelande till Europaparlamentet, rådet, Europeiska ternas företrädare, innehavarna av bolagsregister i med ekonomiska och sociala kommittén och Regionkommittén: Ett sam lemsstaterna och eventuella tredje parter, lat grepp på skyddet av personuppgifter i Europeiska unionen, den 14 januari 2011, http://www.edps.europa.eu/EDPSWEB/webdav/site/ mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_ ( 3 ) En ”captcha” är ett slags text modell utmaning-svar som används Personal_Data_Protection_EN.pdf inom IT-teknik för att försöka garantera att svaret inte genereras av ( 2 ) Idem. en dator. 26.7.2011 Europeiska SV unionens officiella tidning C 220/11 — förhållandet mellan det elektroniska system som be automatiskt datautbyte. Förslaget bör också ändras så handlas i förslaget och övriga initiativ som IMI, Eu att i) delegerade akter blir heltäckande för både manu ropeisk e-juridikportal och EBR, ellt och automatiskt datautbyte, ii) all behandling som kan gälla personuppgifter (inte bara lagring och hämt ning) omfattas, iii) särskilda dataskyddsbestämmelser i — särskilda och tydliga angivelser för att kunna avgöra delegerade akter också täcker den praktiska tillämp huruvida en viss aktör ska betraktas som ”registeransva ningen av aktuella dataskyddsåtgärder. rig” eller ”registerförare”. — Genom förslaget bör

text: artikel 2 i direktiv 2009/101/EG

text: 83. All databehandling som görs med hjälp av det elektroniska ändras så att det tydligt framgår vilka, om några, per nätverket bör bygga på bindande rättsliga instrument, till sonuppgifter utöver de berörda personernas namn som exempel en viss EU-rättsakt som antagits på rättsliga grun måste offentliggöras. Det bör också klargöras huruvida der. Detta bör tydligt anges i förslaget till direktiv. uppgifter om aktieägare också måste offentliggöras. Här bör hänsyn tas till behovet av öppenhet och korrekt identifiering av personerna, men dessa hänsyn måste 84. Bestämmelserna om tillämplig lagstiftning bör förtydligas också vägas mot andra konkurrerande hänsyn, till ex och innehålla en hänvisning till förordning (EG) nr empel behovet av att skydda de berördas personliga 45/2001. integritet.

text: 85. När det gäller överföring av personuppgifter till tredjeländer — Det bör framgå tydligt i förslaget huruvida medlems bör det av förslaget framgå att principiellt, och med un stater efterhand får offentliggöra fler uppgifter via den dantag för fall som omfattas av artikel 26.1 f i direktiv gemensamma portalen (och/eller utbyta fler uppgifter

text: , kan överföringar bara göras till enheter eller med varandra) med utgångspunkt från nationell lags personer i tredjeland utan adekvat skydd om registeransva tiftning och med hänsyn till att ytterligare dataskydds rig kräver adekvat skydd för att värna om individens integ åtgärder införs. ritet och grundläggande rättigheter och friheter samt veder börandes möjlighet att utöva dessa rättigheter. Sådana skyddsåtgärder kan med fördel anges i avtalsklausuler i — I förslaget till direktiv bör det uttryckligen anges att enlighet med

text: artikel 26 i direktiv 95/46/EG

text: . personuppgifter som har offentliggjorts för att främja öppenhet inte missbrukas för ytterligare syften utan relation till öppenhet. Tekniska och organisatoriska åt 86. Kommissionen bör dessutom noggrant bedöma vilka tek gärder bör därför införas i enlighet med principen om niska och organisatoriska åtgärder den ska vidta för att se integritetsfrämjande teknik. till att integritets- och uppgiftsskydd ”byggs in” i det elek troniska nätverkets konstruktion (”integritetsfrämjande tek nik”) och att det finns adekvata kontroller för att garantera — I förslaget bör det också föreskrivas särskilda skydds att uppgiftsskyddet följs och kan bevisas (”ansvarsskyldig åtgärder för att meddela de registrerade liksom krav på het”). att i delegerade akter utveckla formerna för hur den som är registrerad kan utnyttja sina rättigheter.

text: 87. Europeiska datatillsynsmannens övriga rekommendationer gäller följande: Utfärdat i Bryssel den 6 maj 2011. — I förslaget till direktiv bör det tydligt specificeras att det Giovanni BUTTARELLI elektroniska nätverket ska underlätta i) specifika manu ella enstaka datautbyten mellan bolagsregister och ii) Biträdande Europeisk datatillsynsman

type: vagledning

utgivare: edps