Data retention

29.11.2005 SV Europeiska unionens officiella tidning C 298/1

I

(Meddelanden)

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets direktiv om bevarande av uppgifter som behandlats i samband med tillhandahållande av allmänna elektroniska kommunikationstjänster och om ändring av direktiv 2002/58/EG (KOM(2005) 438 slutlig) (2005/C 298/01)

med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artikel 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( ) och Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) ( ),

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter ( ), särskilt artikel 41,

med beaktande av kommissionens begäran om yttrande i enlighet med artikel 28.2 i förordning (EG) nr 45/2001, mottagen den 23 september 2005,

I. Inledning bindande, bör detta yttrande dock nämnas i direktivets ingress.

1. Datatillsynsmannen välkomnar begäran om samråd på 2. Datatillsynsmannen inser vikten av att medlemsstaternas grundval av artikel 28.2 i förordning (EG) nr 45/2001. Med brottsbekämpande organ förfogar över alla nödvändiga rättstanke på att artikel 28.2 i förordning (EG) nr 45/2001 är instrument, särskilt i kampen mot terrorism och andra C 298/2 SV Europeiska unionens officiella tidning 29.11.2005 allvarliga brott. Adekvat tillgång till vissa trafik- och lokaliser- II. Allmänna kommentarer ingsuppgifter för allmänna elektroniska tjänster kan vara ett avgörande redskap för de brottsbekämpande organen och kan bidra till människors fysiska säkerhet. Vidare bör det noteras att detta inte automatiskt innebär att de nya instrument som planeras i detta förslag är nödvändiga. Förslagets inverkan på skyddet av personuppgifter

8. Datatillsynsmannen fäster synnerlig vikt vid att förslaget respekterar de grundläggande rättigheterna. En lagstiftningsåtgärd som kommer att skada det skydd som garanteras 3. Det är också uppenbart att förslaget i betydande grad genom gemenskapsrätten, och mer specifikt genom rättspraxis inverkar på skyddet av personuppgifter. Om man betraktar förslaget enbart ur ett uppgiftsskyddsperspektiv, bör trafik- vid EG-domstolen och Europeiska domstolen för de mänskliga rättigheterna (”Europadomstolen”), är inte bara oacceptabel och lokaliseringsuppgifter över huvud taget inte bevaras i utan också olaglig. Samhällsförhållandena kan ha ändrats på brottsbekämpande syfte. Det är av uppgiftsskyddsskäl som det i direktiv 2002/58/EG fastställs som en rättsprincip att grund av terroristattacker, men detta får inte äventyra en hög trafikuppgifter skall utplånas när lagring inte längre behövs skyddsstandard i den gällande lagstiftningen. Skyddet ges enligt lag, oberoende av brottsbekämpningens aktuella behov. för ändamål som har med själva kommunikationen att göra Vidare ger rättspraxis möjlighet till undantag, om det är (bl.a. faktureringsändamål). Undantag från denna rättsprincip omfattas av stränga villkor. nödvändigt i ett demokratiskt samhälle.

9. Förslaget har direkt inverkan på det skydd som ges genom artikel 8 i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna 4. I detta yttrande kommer datatillsynsmannen att betona (”Europa-konventionen”). I rättspraxis vid Europeiska domförslagets inverkan på skyddet av personuppgifter. Han stolen för de mänskliga rättigheterna fastställs följande: kommer dessutom att ta hänsyn till att förslaget, trots dess betydelse för brottsbekämpningen, inte får leda till att människor berövas sin grundläggande rätt till integritetsskydd. — Lagring av information om en person ansågs utgöra ett intrång i privatlivet, trots att den inte innehöll några känsliga uppgifter (Amann ( )).

5. Yttrandet från datatillsynsmannen måste betraktas mot — Detsamma gäller s.k. samtalsmätning som inbegriper bakgrund av dessa hänsynstaganden. Datatillsynsmannen användning av utrustning som automatiskt registrerar eftersträvar ett balanserat synsätt, där nödvändigheten och uppringda nummer på en telefon samt tidpunkt och proportionaliteten av en inskränkning av uppgiftsskyddet har 2 varaktighet för varje samtal (Malone ( )). central betydelse. — Motiveringarna för intrång bör uppväga de skadliga konsekvenser som själva existensen av de aktuella lagbestämmelserna kan ha för den som berörs (Dud- 6. När det gäller själva förslaget, måste det ses som en geon ( )). reaktion på initiativet från Frankrike, Irland, Sverige och Förenade kungariket till ett rambeslut om bevarande av uppgifter som har behandlats och lagrats i samband med tillhandahållande av allmänt tillgängliga elektroniska kom- 10. I artikel 6.2 i EU-fördraget föreskrivs att unionen skall munikationstjänster eller uppgifter i allmänna kommunika- respektera de grundläggande rättigheterna, såsom de garantetionsnät för förebyggande, utredning, upptäckt och lagföring ras i Europakonventionen. I punkt 9 påvisades att, enligt av brott och straffbara gärningar, inklusive terrorism (”utkastet Europadomstolens rättspraxis, skyldigheten att bevara upptill rambeslut”), vilket avvisades av Europaparlamentet (vid gifter omfattas av artikel 8 i Europakonventionen och att det samrådsförfarandet). krävs en tungt vägande motivering som respekterar kriteriet i 29.11.2005 SV Europeiska unionens officiella tidning C 298/3 Dudgeon-domen. Det måste styrkas att skyldigheten att bevara av personuppgifter som inrättats i enlighet med artikel 29. uppgifter till alla delar är nödvändig och proportionell. Arbetsgruppen hävdade att obligatoriskt bevarande av trafikuppgifter enligt villkoren i utkastet till rambeslut inte kan godtas. Slutsatsen grundades bland annat på att behovet av bevarande av uppgifter för att upprätthålla den allmänna 11. Förslaget har dessutom stor inverkan på de principer om ordningen inte var styrkt, eftersom en undersökning visade att uppgiftsskydd som erkänns i gemenskapsrätten. större delen av de trafikuppgifter som efterfrågades inom brottsbekämpningen inte var äldre än sex månader. — Uppgifterna måste bevaras under en mycket längre tid än de vanligen bevaras av leverantörerna av allmänt tillgängliga elektroniska kommunikationstjänster eller elektroniska kommunikationsnät (båda tjänsterna nedan kallade ”leverantörer”). 15. Datatillsynsmannen anser att de ovannämnda överläggningarna i arbetsgruppen bör vara utgångspunkten för en bedömning av förslaget. Resultatet av överläggningarna kan dock inte rätt och slätt överföras till det här förslaget. Hänsyn — Enligt direktiv 2002/58/EG, närmare bestämt artikel 6, måste tas till att omständigheterna kan förändras. Enligt får uppgifter endast samlas in och lagras för ändamål datatillsynsmannen kan följande händelseutveckling vara av som direkt har med själva kommunikationen att göra, bl. 1 betydelse för bedömningen: a. faktureringsändamål ( ). Efteråt skall uppgifterna utplånas (med vissa undantag). Enligt förslaget skall bevarande för brottsbekämpningsändamål vara obligatorisk. Utgångspunkten är alltså motsatt.

16. För det första har vissa sifferuppgifter lagts fram för att I direktiv 2002/58/EG garanteras säkerhet och konfi- påvisa att trafikuppgifter som är upp till ett år gamla — dentialitet. Detta förslag får inte leda till kryphål på det efterfrågas inom brottsbekämpningen. Både kommissionen området. Det krävs strikta skyddsåtgärder och begräns- och rådets ordförandeskap fäster vikt vid en utredning från ningen av syftet bör klargöras. den brittiska polisen ( ) som visar att uppgifter som är mellan sex månader och ett år gamla har använts i komplicerade utredningar av allvarliga brott, även om 85 % av de trafikuppgifter som efterfrågades av polisen var mindre än — Införandet av skyldigheten att bevara uppgifter enligt sex månader gamla. Det gavs även några exempel på fall. förslaget medför omfattande databaser och har särskilda Lagringstiden i förslaget ett år för telefonuppgifter – – risker för de registrerade. Man kan föreställa sig ett återspeglar dessa metoder inom brottsbekämpningen. kommersiellt utnyttjande av uppgifterna och användning av uppgifterna för ”fishing operations” och/eller datautvinning från brottsbekämpande myndigheters eller nationella säkerhetstjänsters sida.

17. Datatillsynsmannen är inte övertygad om att dessa sifferuppgifter styrker att det är nödvändigt att bevara 12. Slutligen har både skyddet för privatlivet och skyddet av trafikuppgifter i upp till ett år. Att tillgången till trafik- och/ personuppgifter erkänts i stadgan om de grundläggande eller lokaliserings-uppgifter i vissa fall har bidragit till att lösa rättigheterna, vilket har nämnts i motiveringen. brott innebär inte automatiskt att dessa uppgifter behövs (generellt) som ett redskap för brottsbekämpning. Sifferuppgifterna kan dock inte ignoreras. De utgör åtminstone ett 13. Förslagets inverkan på skyddet av personuppgifter kräver allvarligt försök att påvisa nödvändigheten av bevarandet. en noggrann analys. Vid denna analys kommer datatill- Dessutom visar de tydligt att en lagringstid på över ett år inte synsmannen att ta hänsyn till ovannämnda faktorer och dra krävs med utgångspunkt från nuvarande brottsbekämpningsslutsatsen att det behövs fler skyddsåtgärder. En enkel metoder. hänvisning till den befintliga rättsliga ramen för uppgiftsskydd (särskilt direktiven 95/46/EG och 2002/58/EG) räcker inte.

18. För det andra utnyttjas inte alltid de befintliga möjlighe- Nödvändigheten av att bevara trafik- och lokaliseringsuppgifter terna enligt direktiv 2002/58/EG för leverantörerna att bevara trafikuppgifter för faktureringsändamål, eftersom det blir allt vanligare att bevarande av uppgifter för faktureringsändamål 14. Datatillsynsmannen erinrar om slutsatsen av den inte alls äger rum (förbetalda kort för mobilkommunikation, 9 november 2004 om utkastet till rambeslut från arbetsgruppen för skydd av enskilda med avseende på behandlingen C 298/4 SV Europeiska unionens officiella tidning 29.11.2005 abonnemang till fastställd taxa, osv.). I dessa fall – som i den rättsliga princip som fastställs genom direktiv 2002/58/ praktiken har blivit vanligare – lagras trafik- och lokalisering- EG att trafikuppgifter skall utplånas när lagring inte längre suppgifter inte alls utan utplånas omedelbart efter kommu- behövs för ändamål som inte har med själva kommunikanikationen. Detsamma gäller misslyckade uppringningar. tionen att göra. De sifferuppgifter som har lämnats styrker inte Detta kan påverka brottsbekämpningens effektivitet. att den befintliga rättsliga ramen inte tillhandahåller de instrument som behövs för att skydda den fysiska säkerheten, och inte heller att medlemsstaterna fullt ut tillämpar sin behörighet enligt EG-rätten att samarbeta på det sätt som de har rätt att göra inom den befintliga rättsliga ramen (men utan de resultat som är nödvändiga). 19. Denna utveckling inom telekommunikationstjänsterna kan dessutom leda till störningar i den inre marknadens funktion, bland annat på grund av att lagstiftningsåtgärder 23. Om Europaparlamentet och rådet – efter en noggrann (inom kort) kommer att antas i medlemsstaterna i enlighet avvägning mellan de intressen som står på spel – finner att med artikel 15 i direktiv 2002/58/EG. Exempelvis offentlignödvändigheten av att bevara trafik- och lokaliseringsuppgifter gjorde den italienska regeringen nyligen ett lagdekret enligt är tillräckligt styrkt, anser datatillsynsmannen dock att vilket leverantörerna är skyldiga att lagra telefonuppgifter bevarandet endast kan motiveras enligt gemenskapsrätten under fyra år. Denna skyldighet kommer att medföra om proportionalitetsprincipen respekteras och lämpliga betydande kostnader i vissa medlemsstater, bland annat skyddsåtgärder vidtas i enlighet med detta yttrande. Italien. Proportionaliteten

20. För det tredje har de brottsbekämpande myndigheternas arbetsmetoder också utvecklats: proaktiva utredningar och användning av teknikstöd har fått större betydelse. Utveck- 24. Den föreslagna nya lagstiftningsåtgärdens proportionalingen kräver att myndigheterna förfogar över lämpliga och litet beror av sakinnehållet i de bestämmelser den innehåller: noggrant utformade redskap för att de skall kunna utföra sitt Innehåller den ett lämpligt och proportionerligt svar på arbete med vederbörlig respekt för principerna om upp- samhällets behov? giftsskydd. Ett av de redskap som medlemsstaternas myndigheter vanligen förfogar över är säkrande av uppgifter, eller frysning av kommunikationsuppgifter på begäran vid en 25. Det första övervägandet avser förslagets lämplighet: Kan konkret utredning. Man har uppgett att detta redskap, som i man förvänta sig att förslaget ökar EU-invånarnas fysiska sig har mindre inverkan på dessa principer än det redskap som säkerhet? En anledning till att betvivla lämpligheten som ofta nu föreslås (bevarande av uppgifter), kanske inte alltid räcker nämns i den offentliga debatten är att trafik- och lokalisertill, särskilt inte för att spåra personer som är inblandade i ingsuppgifter inte alltid är kopplade till en viss person, varför terrorism eller andra allvarliga brott, men som inte tidigare har kännedom om ett telefonnummer (eller IP-nummer) inte misstänkts för någon brottslig verksamhet. Det behövs dock nödvändigtvis avslöjar en persons identitet. Ett annat och ytterligare belägg för att fastställa om så verkligen är fallet. ännu allvarligare skäl till tvivel är om gigantiska databaser verkligen gör det möjligt för de brottsbekämpande organen att lätt finna vad de söker i ett specifikt fall.

21. För det fjärde har oron för terroristattacker ökat. 26. Datatillsynsmannen anser att enbart bevarande av trafik- Datatillsynsmannen delar den åsikt som har framförts i och lokaliseringsuppgifter i sig inte är ett lämpligt eller samband med förslagen om bevarande av uppgifter, nämligen effektivt svar. Det behövs ytterligare åtgärder för att se till att att den fysiska säkerheten i sig är av allt överskuggande myndigheterna har riktad och snabb tillgång till de uppgifter betydelse. Samhället måste skyddas. Av denna anledning är som behövs i ett specifikt fall. Bevarandet av uppgifter är bara regeringarna skyldiga att i händelse av attacker mot samhället lämpligt och effektivt om det finns effektiva sökmotorer. visa att de allvarligt beaktar detta behov av skydd och utreda om de måste reagera genom att införa nya lagstiftningsåtgärder. Naturligtvis stöder regeringarna fullt ut statsmakternas uppgift både på nationell nivå och EU-nivå att skydda 27. Det andra övervägandet avser frågan om svaret är – – samhället och visa att de gör allt som behövs för att erbjuda proportionerligt. För att vara proportionerligt bör förslaget skydd och även antar nya, legitima och effektiva åtgärder till följd av sina utredningar. — begränsa lagringstiderna; dessa måste återspegla styrkta behov från brotts-bekämpningens sida,

22. Datatillsynsmannen inser att omständigheterna föränd- — begränsa antalet uppgifter som skall lagras; antalet måste ras, men är ännu inte övertygad om att det är nödvändigt att återspegla styrkta behov från brottsbekämpningens sida bevara trafik- och lokaliseringsuppgifter för brottsbekämpande och det måste säkerställas att det är omöjligt att komma ändamål, vilket fastslås i förslaget. Han understryker vikten av åt uppgifternas innehåll, 29.11.2005 SV Europeiska unionens officiella tidning C 298/5 — innehålla lämpliga säkerhetsåtgärder för att begränsa pelaren enligt artikel 33 i EU-fördraget och artikel 64 i EGtillgången och vidareanvändningen, garantera uppgifter- fördraget inte skall påverka medlemsstaternas ansvar för att nas säkerhet och se till att de registrerade kan utöva sina upprätthålla lag och ordning och skydda den inre säkerheten. rättigheter. Datatillsynsmannen anser att det följer av dessa bestämmelser att Europeiska unionen saknar behörighet att kontrollera säkerhets- eller underrättelsetjänsters tillgång till de uppgifter som leverantörerna bevarar. Dessa myndigheters tillgång till 28. Datatillsynsmannen betonar vikten av dessa strikta leverantörernas trafik- och lokaliseringsuppgifter eller vidarbegränsningar med lämpliga skyddsåtgärder för att tillgången eanvändningen av den information som de förvärvar påverkas skall begränsas. På grund av vikten av de tre faktorer som med andra ord inte av Europeiska unionens lagstiftning. Detta nämndes i punkt 27 anser han att medlemsstaterna med är en faktor som måste beaktas vid bedömningen av förslaget. avseende på dessa tre faktorer inte får vidta kompletterande Det är medlemsstaterna som bör vidta nödvändiga åtgärder nationella åtgärder som äventyrar proportionaliteten. Detta för att reglera underrättelsetjänsternas tillgång. behov av harmonisering kommer att utvecklas närmare i avsnitt IV.

34. För det tredje har de effekter som beskrivs i de föregående punkterna möjliga konsekvenser för de registrerade. Det Lämpliga säkerhetsåtgärder behövs ytterligare skyddsåtgärder för att se till att dessa enkelt och snabbt kan utöva sina rättigheter i egenskap av registrerade. Datatillsynsmannen påpekar att det är nödvändigt med en effektiv kontroll av tillgången och vidareanvänd- 29. En följd av förslaget kommer att bli att leverantörerna ningen, helst genom medlemsstaternas rättsliga myndigheter. kommer att förfoga över databaser där ett stort antal trafik- Skyddsåtgärderna bör också gälla om myndigheter i andra och lokaliseringsuppgifter lagras. medlemsstater får tillgång till och vidareanvänder trafikuppgifter.

30. För det första måste det säkerställas i förslaget att tillgången till och vidareanvändningen av dessa uppgifter 35. I detta sammanhang hänvisar datatillsynsmannen till begränsas enbart till särskilda omständigheter och för ett initiativ till en ny rättslig ram för tillämpligt dataskydd för begränsat antal särskilda ändamål. brottsbekämpning (inom EU-fördragets tredje pelare). Han anser att en sådan rättslig ram kräver ytterligare skyddsåtgärder och inte kan begränsas till ett bekräftande av de 31. För det andra måste databaserna skyddas på lämpligt sätt allmänna principerna om skydd av personuppgifter inom (datasäkerhet). Det måste därför garanteras att uppgifterna första pelaren ( ). utplånas effektivt när bevarandetiden har löpt ut. Det bör inte förekomma någon ”dumpning av uppgifter” eller utnyttjande av uppgifter. Kort uttryckt, detta kräver hög datasäkerhet och lämpliga tekniska och organisatoriska säkerhetsåtgärder. 36. För det fjärde finns det ett direkt samband mellan säkerhetsåtgärdernas lämplighet och kostnaderna för dessa. En adekvat lag om bevarande av uppgifter måste därför innehålla incitament för leverantörerna att investera i den tekniska 32. Hög datasäkerhet är ännu viktigare på grund av att det infrastrukturen. Sådan stimulans kan innebära att leverantöfaktum att det finns uppgifter kan leda till ansökningar om rerna kompenseras för den extra kostnaden för lämpliga tillgång och användning från åtminstone tre grupper av säkerhetsåtgärder. berörda aktörer:

37. Sammanfattningsvis bör lämpliga säkerhetsåtgärder — Leverantörerna själva. De kan frestas att använda uppgifterna för sina egna kommersiella syften. Garantier är nödvändiga som förhindrar kopiering av filerna. — begränsa tillgången till och vidareanvändningen av uppgifter, — Myndigheter med ansvar för brottsbekämpning. Förslaget ger dem rätt till tillgång, men bara i särskilda fall och i enlighet med den nationella lagstiftningen (artikel 3.2 i förslaget). Tillgång bör inte tillåtas för datautvinning eller — sörja för lämpliga tekniska och organisatoriska säker- ”fishing operations”. Utbyte av uppgifter med myndig- hetsåtgärder för att skydda databaserna, däribland heter i andra medlemsstater bör tydligt regleras. lämplig utplåning av uppgifterna efter bevarandetiden — Underrättelsetjänster (med ansvar för nationell säkerhet). C 298/6 SV Europeiska unionens officiella tidning 29.11.2005 och uppmärksammande av ansökningar från olika 41. När det gäller fastställandet av behöriga myndigheter grupper av berörda aktörer om tillgång och användning erkänner datatillsynsmannen att ansvaret vilar på medlemsav uppgifterna, staterna. Detta gäller även organisationen av brottsbekämpningen och det rättsliga skyddet. En gemenskapsakt kan dock införa villkor för medlemsstaterna när det gäller fastställandet av behöriga myndigheter, domstolskontroll eller medborgar- — garantera de registrerades utövande av sina rättigheter, nas tillgång till domstolsprövning. Dessa bestämmelser inte bara genom bekräftande av de allmänna principerna säkerställer att det finns lämpliga mekanismer på nationell om uppgiftsskydd, nivå för att garantera att rättsakten har full verkan och dessutom fullt ut är förenlig med uppgiftsskyddslagstiftningen. — innehålla incitament för leverantörerna att investera i den tekniska infrastrukturen. 42. Datatillsynsmannen tar upp en annan fråga med anknytning till den rättsliga grunden. Det är gemenskapslagstiftarens sak att välja den lämpliga rättsliga grunden och således det lämpliga lagstiftningsförfarandet. Detta val går utöver datatillsynsmannens uppdrag. Mot bakgrund av de viktiga grundläggande frågor som står på spel, framför datatillsynsmannen III. Den rättsliga grunden och utkastet till rambeslut dock i den aktuella situationen stark preferens för medbeslutandeförfarandet. Endast detta förfarande är en öppen beslutsprocess med fullständigt deltagande av de tre berörda institutionerna och med vederbörlig respekt för de principer 38. Förslaget grundas på EG-fördraget, särskilt artikel 95, och som unionen grundas på. syftar enligt artikel 1 till att harmonisera leverantörernas skyldigheter när det gäller behandling och bevarande av trafikoch lokaliseringsuppgifter. Det anges att uppgifterna endast skall tillhandahållas de behöriga nationella myndigheterna i enskilda fall som avser brott, men den mer exakta definitionen av syftet samt tillgången till och vidareanvändningen av Behovet av harmonisering IV. uppgifterna överlåts till medlemsstaterna att avgöra, med förbehåll för skyddsåtgärderna i den befintliga gemenskapsramen för skydd av personuppgifter. 43. I förslaget till direktiv harmoniseras de typer av uppgifter som skall bevaras, tidsgränserna för hur länge uppgifterna bör bevaras samt de ändamål för vilka uppgifter får lämnas till de 39. I detta avseende har förslaget en mer begränsad räckvidd behöriga myndigheterna. Enligt förslaget skall dessa faktorer än utkastet till rambeslut som grundas på artikel 31.1 c i EUharmoniseras fullt ut. Det har i detta avseende en helt annan fördraget och som innehåller kompletterande bestämmelser karaktär än utkastet till rambeslut, där minimiregler föreskrivs. om tillgången till bevarade uppgifter och om ansökningar om tillgång från andra medlemsstater. I motiveringen försvaras denna begränsning av förslagets räckvidd. Det anges att tillgång till och utbyte av information mellan berörda 44. Datatillsynsmannen betonar att det är nödvändigt att brottsbekämpande organ är en fråga som inte omfattas av harmonisera dessa faktorer fullt ut med tanke på den inre EG-fördragets räckvidd. marknadens funktion och brottsbekämpningens behov samt – sist men inte minst – Europakonventionen samt principerna om uppgiftsskydd. 40. Datatillsynsmannen låter sig inte övertygas av detta påstående i motiveringen. En intervention från gemenskapens sida som grundas på artikel 95 i EG-fördraget (inre marknaden) måste som främsta syfte ha att undanröja 45. Harmoniseringen av skyldigheterna att bevara uppgifter handelshinder. Enligt domstolens rättspraxis måste en sådan motiverar valet av rättslig grund för förslaget (artikel 95 i EGintervention vara verkligt lämplig för att bidra till undan- fördraget) när det gäller den inre marknadens funktion. Att röjandet av sådana hinder. Gemenskapslagstiftaren måste dock medge väsentliga skillnader mellan medlemsstaternas lagar i sin intervention se till att de grundläggande rättigheterna skulle inte avlägsna de befintliga störningarna på den inre respekteras (artikel 6.2 i EU-fördraget; se avsnitt II i detta marknaden för elektronisk kommunikation som bland annat yttrande). Det oaktat kan ett fastställande på gemenskapsnivå beror på (det nära förestående) antagandet av lagstiftningsav regler för bevarande av uppgifter i den inre marknadens åtgärder i medlemsstaterna enligt artikel 15 i direktiv intresse kräva att Europeiska gemenskapen även behandlar 2002/58/EG (se punkt 19 i detta yttrande). frågan om respekten för de grundläggande rättigheterna. Om gemenskapslagstiftaren inte kan fastställa regler för tillgång till och användning av uppgifter kan han inte fullgöra sin skyldighet enligt artikel 6 i EU-fördraget, eftersom de senare 46. Detta är så mycket viktigare eftersom mer än en reglerna är oundgängliga för att garantera att uppgifter bevaras medlemsstats jurisdiktion är relevant för en betydande mängd med vederbörlig respekt för de grundläggande rättigheterna. elektronisk kommunikation. Belysande exempel är telefon- Med andra ord går det, enligt datatillsynsmannens mening, samtal över gränserna, roaming, gränspassage under pågående inte att skilja reglerna om tillgång, användning och utbyte av mobilkommunikation och användning av leverantörer i andra uppgifter från själva skyldigheten att bevara uppgifterna. medlemsstater än personens bosättningsland. 29.11.2005 SV Europeiska unionens officiella tidning C 298/7

47. Vidare skulle avsaknad av harmonisering i detta uppgifterna. Enligt artikel 6 i direktiv 2002/58/EG får sammanhang inverka menligt på brottsbekämpningens behov leverantörerna endast behandla trafikuppgifter fram till eftersom de behöriga myndigheterna måste uppfylla skilj- utgången av den period under vilken uppgifterna bevaras för aktiga rättsliga krav. Detta kan hindra informationsutbytet faktureringsändamål. Enligt datatillsynsmannen är det inte mellan medlemsstaternas myndigheter. motiverat att leverantörerna eller andra berörda parter har annan tillgång till uppgifter än den tillgång som anges i direktiv 2002/58/EG och enligt villkoren i det direktivet. 48. Slutligen understryker datatillsynsmannen – med hänvisning till sitt ansvar enligt artikel 41 i förordning (EG) nr45/2001 – att fullständig harmonisering av förslagets huvudinslag är oumbärlig för att efterleva Europakonventionen och principerna om uppgiftsskydd. Alla lagstiftnings- 52. Datatillsynsmannen rekommenderar att en bestämmelse åtgärder som inför skyldighet att bevara trafik- och införs i texten för att säkerställa att inga andra än de behöriga lokaliseringsuppgifter måste tydligt begränsa det antal uppmyndigheterna får tillgång till uppgifterna. Bestämmelsen kan gifter som skall bevaras, lagringstiderna och (syftet med) formuleras på följande sätt: ”tillgång till uppgifterna och/eller tillgången till och vidareanvändningen av uppgifterna för att behandling av dessa får endast ske för det syfte som anges i kunna godtas från uppgiftsskyddssynpunkt och för att artikel 3.2” eller ”leverantörerna skall fullt ut garantera att uppfylla kraven på nödvändighet och proportionalitet. tillgång endast medges de berörda myndigheterna”. V. Kommentarer till artiklarna i förslaget

53. För det andra: Begränsningen till särskilda fall tycks förhindra rutinmässig tillgång för ”fishing operations” eller datautvinning. Det bör dock närmare anges i förslaget att Artikel 3: Skyldighet att bevara uppgifter uppgifter endast kan tillhandahållas om det är nödvändigt med avseende på ett specifikt brott.

49. Artikel 3 är den viktigaste bestämmelsen i förslaget. I artikel 3.1 införs skyldigheten att bevara trafik- och lokaliseringsuppgifter, medan principen om begränsning av syftet tillämpas i artikel 3.2. I artikel 3.2 fastställs tre viktiga begränsningar. De bevarade uppgifterna skall endast till- 54. För det tredje: Datatillsynsmannen välkomnar att syftet handahållas med tillgången begränsas till allvarliga brott som terrorism och organiserad brottslighet. I andra, mindre allvarliga fall kommer tillgång till trafik- och lokaliseringsuppgifter knapde behöriga nationella myndigheterna, past att vara proportionerlig. Datatillsynsmannen är dock — tveksam till om denna begränsning är tillräckligt exakt, särskilt om tillgång begärs i fråga om andra allvarliga brott än terrorism och organiserad brottslighet. Praxis i medlemssta- — i särskilda fall, terna kommer att skifta. Datatillsynsmannen betonade i avsnitt IV i yttrandet att fullständig harmonisering av huvudinslagen i förslaget är nödvändig. Han rekommenderar — i syfte att förhindra, utreda, upptäcka och lagföra därför att bestämmelsen begränsas till vissa allvarliga brott. allvarliga brott som terrorism och organiserad brottslighet. Artikel 3.2 hänvisar till medlemsstaternas nationella lagstift- 55. För det fjärde: I motsats till utkastet till rambeslut ning när det gäller specificering av ytterligare begränsningar. innehåller förslaget ingen bestämmelse om tillgång. Datatillsynsmannen anser att man i förslaget inte bör bortse från tillgången till och vidareanvändningen av uppgifter. De utgör 50. Datatillsynsmannen välkomnar artikel 3.2 som en viktig en oavskiljbar del av ämnet (se avsnitt III i detta yttrande). bestämmelse men anser att begränsningarna inte är tillräckligt exakta, att tillgången och vidareanvändningen uttryckligen bör regleras i direktivet och att det behövs ytterligare skyddsåtgärder. Som nämndes i avsnitt III i detta yttrande är datatillsynsmannen inte övertygad om att det faktum att (exakta) bestämmelser inte har införts när det gäller tillgång 56. Datatillsynsmannen rekommenderar att en eller flera och vidareanvändning av trafik- och lokaliseringsuppgifterna artiklar om de behöriga myndigheternas tillgång till trafik- och är en oundviklig följd av förslagets rättsliga grund (artikel 95 i lokaliseringsuppgifter och vidareanvändningen av uppgifter EG-fördraget). Detta föranleder följande kommentarer. införs i förslaget. Syftet med dessa artiklar skulle vara att se till att uppgifterna endast används för de syften som avses i artikel 3.2, att myndigheterna garanterar de mottagna upp- 51. För det första: Det anges inte särskilt att andra berörda gifternas kvalitet, konfidentialitet och säkerhet och att aktörer, som t.ex. leverantören, inte har tillgång till uppgifterna utplånas när de inte längre behövs för förhind- C 298/8 SV Europeiska unionens officiella tidning 29.11.2005 rande, utredning, upptäckt och lagföring av ett specifikt brott. 60. Datatillsynsmannen rekommenderar följande ändringar: Dessutom bör det fastställas att tillgång i särskilda fall bör stå under domstolskontroll i medlemsstaterna. — Artikel 4.2 bör innehålla mer konkreta kriterier för att se till att uppgifternas innehåll inte inbegrips. Följande mening bör läggas till: ”I bilagan får inte inbegripas uppgifter som avslöjar kommunikationens innehåll.” 57. För det femte: Förslaget innehåller inga ytterligare åtgärder för uppgiftsskydd. I skälen hänvisas det bara till skyddsåtgärder i den befintliga lagstiftningen, närmare bestämt i direktiven 95/46/EG och 2002/58/EG. Datatill- — Enligt artikel 5 ges möjlighet till revidering av bilagan synsmannen motsätter sig denna begränsade syn på upp- genom ett kommissionsdirektiv (kommittéförfarande). giftsskydd, i trots av att (ytterligare) skyddsåtgärder är särskilt Datatillsynsmannen tillråder att revideringar av bilagan viktiga (se avsnitt II i detta yttrande). som har betydande inverkan på uppgiftsskyddet lämpligen görs genom ett direktiv, i enlighet med medbeslutandeförfarandet ( ).

58. Datatillsynsmannen rekommenderar därför att ett avsnitt om uppgiftsskydd införs. I denna punkt kan de ovannämnda Artikel 7: Lagringstider rekommendationerna om artikel 3.2 infogas, samt andra bestämmelser om uppgiftsskydd, exempelvis bestämmelser om de registrerades utövande av sina rättigheter (se avsnitt II i 61. Datatillsynsmannen välkomnar att lagringstiderna i detta yttrande), uppgiftskvalitet och uppgiftssäkerhet samt förslaget är betydligt kortare än de tider som anges i utkastet trafik- och lokaliseringsuppgifter avseende personer som inte till rambeslut. misstänks för brott. — Datatillsynsmannen påminner om den tveksamhet som har framförts i detta yttrande om huruvida det kan anses styrkt att det är nödvändigt att bevara trafikuppgifter i upp till ett år. Tidsgränsen ett år återspeglar metoder som Artikel 4: Kategorier av uppgifter som skall bevaras används inom brottsbekämpningen, som de har framställts genom de sifferuppgifter som kommissionen och rådets ordförandeskap har tillhandahållit.

59. Rent allmänt välkomnar datatillsynsmannen artikeln och — Sifferuppgifterna visar också att bevarande av uppgifter bilagan av följande skäl: under längre tid, utom i undantagsfall, inte återspeglar metoder som används inom brottsbekämpningen. — Den valda lagstiftningstekniken med funktionsbeskriv- — En kortare period på sex månader för uppgifter om ningar i själva direktivet och tekniska detaljer i en bilaga. elektronisk kommunikation som enbart eller huvud- Den är tillräckligt flexibel för att på lämpligt sätt anpassas sakligen äger rum med användning av Internetprotokoll till den tekniska utvecklingen och ger medborgarna är viktig från uppgiftsskyddssynpunkt, eftersom bevarättslig säkerhet. rande av Internetkommunikation medför omfattande databaser (uppgifterna bevaras vanligen inte för faktureringsändamål), gränsen till uppgifter om innehåll är oklar och bevarande under mer än sex månader inte återspeglar metoder som används inom brottsbekämp- — Åtskillnaden mellan uppgifter om telekommunikationer ningen. och Internetuppgifter, trots att skillnaden blir alltmer tekniskt oviktig. Från uppgiftsskyddssynpunkt är skillnaden dock viktig, eftersom gränsen mellan uppgifter om 62. Det bör i texten klargöras att innehåll och trafikuppgifter inte är tydlig på Internet (se t.ex. erkännandet i artikel 1.2 i direktivet att information som söks på Internet är uppgifter om innehåll). — lagringstiderna sex månader respektive ett år är maximitider för bevarande, — Harmoniseringsgraden: I förslaget anges en hög grad av harmonisering med en uttömmande förteckning över kategorier av uppgifter som skall bevaras (i motsats till ( ) Se i detta sammanhang Europeiska datatillsynsmannens utkastet till rambeslut som innehåller en minimiförteck- yttrande av den 23 mars 2005 om förslaget till Europaning med bred marginal för medlemsstaterna att lägga till parlamentets och rådets förordning om informationssystemet uppgifter). Från uppgiftsskyddssynpunkt är fullständig för viseringar (VIS) och utbytet mellan medlemsstaterna av harmonisering mycket viktig (se avsnitt IV). uppgifter om viseringar för kortare vistelse (punkt 3.12). 29.11.2005 SV Europeiska unionens officiella tidning C 298/9 — uppgifterna skall utplånas när lagringstiden har löpt ut. 66. Enligt datatillsynsmannens mening ger denna skyldighet Det bör också klargöras i texten hur uppgifterna skall verkan åt principen om öppenhet. Europas medborgare har utplånas. Datatillsynsmannen anser att leverantören rätt att veta hur effektivt bevarandet av uppgifter är. Därför måste utplåna uppgifterna automatiskt och minst en bör leverantören dessutom vara skyldig att hålla register och gång om dagen. genomföra systematisk (egen)kontroll så att de nationella dataskyddsmyndigheterna kan kontrollera hur reglerna om uppgiftsskydd tillämpas i praktiken ( ). Förslaget bör ändras i det avseendet. Artikel 8: Lagringskrav för bevarade uppgifter

63. Denna artikel hör nära samman med artikel 3.2 och innehåller en viktig bestämmelse som kan säkerställa att Artikel 10: Kostnader tillgång i särskilda fall kan begränsas till uppgifter som uttryckligen är nödvändiga. I artikel 8 och artikel 3.2 är det underförstått att leverantörerna överför de begärda uppgifterna till myndigheterna och att de senare inte har direkt 67. Som nämndes i avsnitt II finns det ett direkt samband tillgång till databaserna. Datatillsynsmannen rekommenderar mellan säkerhetsåtgärdernas lämplighet och kostnaderna för att denna förutsättning uttryckligen anges i texten. dessa, eller med andra ord mellan säkerhet och kostnader. Datatillsynsmannen anser därför att artikel 10 – där ersättning för styrkta extrakostnader föreskrivs – är en viktig bestämmelse som kan ge leverantörerna incitament att investera i den tekniska infrastrukturen. 64. Bestämmelsen bör preciseras genom att det anges att

68. Enligt beräkningarna i den konsekvensanalys som kommissionen har överlämnat till datatillsynsmannen är — leverantörerna överför de begärda uppgifterna till kostnaderna för bevarande av uppgifter avsevärda. För en myndigheterna (se punkt 63), stor leverantör av nät och tjänster skulle kostnaderna uppgå till över 150 miljoner euro för en bevarandetid av 12 månader, med årliga driftskostnader på cirka 50 miljoner Euro ( ). Det finns dock inga sifferuppgifter om kostnaderna för komplette- — leverantörerna skall installera den nödvändiga tekniska rande säkerhetsåtgärder som dyra sökmotorer (se kommentastrukturen, inklusive sökmotorer för att underlätta riktad ren till artikel 6) eller om de (beräknade) ekonomiska tillgång till angivna uppgifter, konsekvenserna av full ersättning för leverantörernas extrakostnader. — leverantörerna skall se till att endast anställda med 69. Enligt datatillsynsmannens mening behövs det mer närmare angivet tekniskt ansvar har tillgång till databa- exakta sifferuppgifter för att man skall kunna bedöma serna av tekniska skäl och att dessa anställda är medvetna förslaget i dess helhet. Han föreslår att förslagets ekonomiska om uppgifternas känsliga karaktär och arbetar enligt konsekvenser klargörs i motiveringen. strikta interna sekretessregler.

70. När det gäller själva artikel 10 bör sambandet mellan säkerhetsåtgärdernas lämplighet och kostnaderna klargöras i — överföringen av uppgifterna skall ske utan onödigt bestämmelsen. Vidare bör förslaget ange miniminivåer för de dröjsmål men också utan att avslöja andra trafik- och säkerhetsåtgärder som leverantörerna skall vidta, för att få rätt lokaliseringsuppgifter än de som är nödvändiga för till ersättning från en medlemsstat. Datatillsynsmannen anser begäran. att fastställandet av nivåerna inte helt kan överlåtas till C 298/10 SV Europeiska unionens officiella tidning 29.11.2005 medlemsstaterna. Detta kan äventyra den harmoniseringsgrad lagstiftningsåtgärd som kommer att inverka menligt på det som anges i direktivet. Dessutom bör hänsyn tas till att de skydd som garanteras genom gemenskapsrätten, och mer ekonomiska konsekvenserna av ersättningen skall bäras av specifikt genom rättspraxis vid EG-domstolen och Europeiska medlemsstaterna. domstolen för de mänskliga rättigheterna, är inte bara oacceptabel utan också olaglig. Artikel 11: Ändring av direktiv 2002/58/EG 75. Det måste styrkas att skyldigheten att bevara uppgifter till alla delar är nödvändig och proportionell. 71. Förhållandet till artikel 15.1 i direktiv 2002/58/EG bör klargöras eftersom detta förslag berövar den bestämmelsen mycket av dess innehåll. Hänvisningarna i artikel 15.1 i direktiv 2002/58/EG till artiklarna 6 och 9 (i samma direktiv) 76. När det gäller nödvändigheten: Datatillsynsmannen inser bör strykas eller åtminstone ändras för att klargöra att att omständigheterna förändras, men är ännu inte övertygad medlemsstaterna inte längre har behörighet att anta lagstift- om att det är nödvändigt att bevara trafik- och lokaliseringning avseende brott som går längre än detta förslag. All suppgifter för brottsbekämpande ändamål, vilket fastslås i tvetydighet om deras kvarstående behörighet exempelvis när förslaget. – det gäller bevarande av uppgifter avseende brott ”som inte är allvarliga” – måste avlägsnas.

77. Trots detta lägger datatillsynsmannen i detta yttrande fram sin åsikt om förslagets proportionalitet. För det första Artikel 12: Utvärdering anser han att enbart bevarande av trafik- och lokaliseringsuppgifter i sig inte är ett lämpligt eller effektivt svar. Det behövs ytterligare åtgärder för att se till att myndigheterna har riktad och snabb tillgång till de uppgifter som behövs i ett 72. Datatillsynsmannen välkomnar att förslaget innehåller en specifikt fall. För det andra bör förslaget artikel om utvärdering av direktivet inom tre år efter ikraftträdandet. En utvärdering är mycket viktig mot bakgrund av tveksamheten när det gäller förslagets nödvändighet och dess proportionalitet. — begränsa bevarandetiderna; dessa måste återspegla brottsbekämpningens behov,

73. Datatillsynsmannen tillråder härvidlag att skyldigheten skärps genom införande av följande faktorer: — begränsa antalet uppgifter som skall lagras; antalet måste återspegla brottsbekämpningens behov och det måste — Utvärderingen bör innehålla en bedömning av effektivi- säkerställas att det är omöjligt att komma åt uppgifternas teten i genomförandet av direktivet ur brottsbekämp- innehåll, ningens synvinkel samt en bedömning av konsekvenserna för de registrerades grundläggande rättigheter. Kommissionen bör ta med alla belägg som kan påverka utvärderingen. — innehålla lämpliga säkerhetsåtgärder. — Utvärderingen bör äga rum regelbundet (minst vartannat år). Allmän bedömning — Kommissionen bör vara skyldig att i förekommande fall lägga fram ändringar av förslaget (liksom i artikel 18 i direktiv 2002/58/EG). 78. Datatillsynsmannen betonar vikten av att det i det i förslaget föreskrivs fullständig harmonisering av huvudinslagen i förslaget, särskilt vilka typer av uppgifter som skall bevaras, tidsgränserna för bevarande av uppgifterna samt (syftet med) tillgången och vidareanvändningen av upp- VI. Slutsatser gifterna. Nödvändiga förutsättningar 79. Det behövs ytterligare klargöranden av vissa punkter, exempelvis för att säkerställa adekvat utplåning av uppgifterna när lagringstiden har löpt ut och för att effektivt förhindra att 74. Datatillsynsmannen fäster synnerlig vikt vid att förslaget olika grupper av berörda aktörer får tillgång till uppgifterna respekterar de grundläggande rättigheterna. En och använder dem. 29.11.2005 SV Europeiska unionens officiella tidning C 298/11

80. Datatillsynsmannen anser att följande punkter är väsent- 82. Artiklarna 4 och 5: liga för att förslaget skall kunna godtas från uppgiftsskyddssynpunkt: — Införande av följande mening i artikel 4.2: ”I bilagan får inte inbegripas uppgifter som avslöjar kommunikationens innehåll.” — Särskilda bestämmelser om de behöriga myndigheternas tillgång till trafik- och lokaliseringsuppgifter och om vidareanvändningen av uppgifterna bör införas i förslaget som en väsentlig och oavskiljbar del av ämnet. — Specificering av att revideringar av bilagan som har betydande inverkan på uppgiftsskyddet lämpligen görs genom ett direktiv, i enlighet med medbeslutandeförfarandet. — Ytterligare kompletterande skyddsåtgärder bör införas, (i motsats till en enkel hänvisning till skyddsåtgärder i den befintliga lagstiftningen, närmare bestämt i direktiven 95/46/EG och 2002/58/EG) bland annat för att 83. Artikel 7, närmare uppgift i texten om att säkerställa att de registrerade kan utöva sina rättigheter. — lagringstiderna sex månader respektive ett år är maximitider för bevarande, — I förslaget bör ytterligare stimulansåtgärder införas för leverantörerna att investera i lämplig teknisk infrastruktur, däribland ekonomiska incitament. Infrastrukturen kan bara bli adekvat om det finns effektiva sökmotorer. — uppgifterna skall utplånas när lagringstiden har löpt ut. Det bör också klargöras i texten hur uppgifterna skall utplånas, dvs. automatiskt och minst en gång om dagen. Rekommendationer om ändringar i förslaget 84. Artikel 8, närmare uppgift i texten om att

81. Artikel 3.2: leverantörerna överför de begärda uppgifterna till — myndigheterna, — Införande av en bestämmelse för att säkerställa att inga andra än de behöriga myndigheterna får tillgång till — leverantörerna skall installera den nödvändiga tekniska uppgifterna. Bestämmelsen kan formuleras på följande strukturen, inklusive sökmotorer, för att underlätta riktad sätt: tillgång till uppgifterna och/eller behandling av dessa tillgång till angivna uppgifter, får endast ske för det syfte som anges i artikel 3.2– eller – leverantörerna skall fullt ut garantera att tillgång endast medges de berörda myndigheterna–. — leverantörerna skall se till att endast anställda med närmare angivet tekniskt ansvar har tillgång till databaserna av tekniska skäl och att dessa anställda är medvetna om uppgifternas känsliga karaktär och arbetar enligt — Närmare angivelse av att uppgifter endast kan tillstrikta interna sekretessregler, handahållas om det är nödvändigt med avseende på ett specifikt brott. — överföringen av uppgifterna skall ske utan onödigt dröjsmål men också utan att avslöja andra trafik- och — Begränsning av bestämmelsen till vissa allvarliga brott. lokaliseringsuppgifter än de som är nödvändiga för begäran. — Införande i förslaget av en eller flera artiklar om de 85. Artikel 9: behöriga myndigheternas tillgång till trafik- och lokaliseringsuppgifter och vidareanvändningen av uppgifter samt en bestämmelse om att tillgång i särskilda fall bör stå under domstolskontroll i medlemsstaterna. — Införande av en bestämmelse som ålägger leverantörer att hålla register och genomföra systematisk (egen) kontroll så att de nationella dataskyddsmyndigheterna kan kontrollera hur reglerna om uppgiftsskydd tillämpas — Införande av en punkt om uppgiftsskydd. i praktiken. C 298/12 SV Europeiska unionens officiella tidning 29.11.2005

86. Artikel 10: bör strykas eller åtminstone ändras för att klargöra att medlemsstaterna inte längre har behörighet att anta — Klargörande i bestämmelsen av sambandet mellan lagstiftning avseende brott som går längre än detta säkerhetsåtgärdernas lämplighet och kostnaderna. förslag. — Införande av miniminivåer för de säkerhetsåtgärder som 88. Ändring av bestämmelsen om utvärdering i artikel 12: leverantörerna skall vidta, för att de skall få rätt till ersättning från en medlemsstat. — Den bör innehålla en bedömning av effektiviteten i genomförandet av direktivet. — Klargörande av förslagets ekonomiska konsekvenser i motiveringen. — Den bör äga rum regelbundet (åtminstone vartannat år). 87. Artikel 11: — Kommissionen bör vara skyldig att i förekommande fall — Ändring av artikel 15.1 i direktiv 2002/58/EG där lägga fram ändringar av förslaget (liksom i artikel 18 i hänvisningarna till artiklarna 6 och 9 (i samma direktiv) direktiv 2002/58/EG). Utfärdat i Bryssel den 26 september 2005. Peter HUSTINX Europeiska datatillsynsmannen