Schengen Information System (SIS II)
C 91/38 SV Europeiska unionens officiella tidning 19.4.2006
EUROPEISKA DATATILLSYNSMANNEN
Yttrande från Europeiska datatillsynsmannen
— om förslaget till rådets beslut om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) (KOM(2005) 230 slutlig),
— om förslaget till Europaparlamentets och rådets förordning om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) (KOM(2005) 236 slutlig), och
— om förslaget till Europaparlamentets och rådets förordning om tillträde till andra generationen av Schengens informationssystem (SIS II) för de enheter i medlemsstaterna som ansvarar för att utfärda registreringsbevis för fordon (KOM(2005) 237 slutlig).
(2006/C 91/11)
EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA Schengenkonventionen trädde i kraft 1995 som ett mellanstat- YTTRANDE ligt avtal. SIS som är en del av Schengenkonventionen införlivades senare inom EU:s ram genom Amsterdamfördraget. med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286, En ny ”andra generation” av Schengens informationssystem (SIS med beaktande av Europeiska unionens stadga om de grundläg- II) kommer att ersätta det nuvarande systemet och därigenom gande rättigheterna, särskilt artikel 8, möjliggöra utvidgningen av Schengenområdet till de nya EUmedlemsstaterna. Det kommer också att införas nya funktioner i systemet. Schengen-bestämmelserna, som utformats inom en med beaktande av Europaparlamentets och rådets direktiv mellanstatlig ram, kommer att införlivas fullt ut i traditionella 95/46/EG av den 24 oktober 1995 om skydd för enskilda europeiska lagstiftningsinstrument. personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter,
med beaktande av Europaparlamentets och rådets förordning Den 1 juni 2005 lade Europeiska kommissionen fram tre (EG) nr 45/2001 av den 18 december 2000 om skydd för förslag till inrättande av SIS II. Dessa förslag består av enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 41, — ett förslag till förordning, som grundas på avdelning IV i EG-fördraget (visering, asyl och invandring och annan med beaktande av den begäran om ett yttrande i enlighet med politik som rör fri rörlighet för personer) och som kommer artikel 28.2 i förordning (EG) nr 45/2001 som mottogs den 17 att reglera de aspekter av SIS som rör första pelaren juni 2005 från kommissionen. (invandring), nedan kallat förslaget till förordning,
— ett förslag till beslut, som grundas på avdelning VI i EUfördraget (polissamarbete och straffrättsligt samarbete) och HÄRIGENOM FRAMFÖRS FÖLJANDE. som kommer att reglera användningen av SIS för syften som rör tredje pelaren, nedan kallat förslaget till beslut,
19.4.2006 SV Europeiska unionens officiella tidning C 91/39
SIS II består av en central databas som kallas Schengens 4. Det är också uppenbart att stor omsorg har ägnats åt centrala informationssystem (CS-SIS), för vilken kommissionen utformningen av förslagen. De är komplexa, men detta kommer att sörja för den operativa förvaltning som är kopplad speglar den komplexa beskaffenheten hos själva det system till nationella anslutningspunkter som skall fastställas av de som de skall reglera. De flesta kommentarerna i detta enskilda medlemsstaterna (NI-SIS). Sirenemyndigheter skall yttrande syftar till att klargöra eller komplettera bestämsörja för utbytet av kompletterande information (information melser men innebär inte att det krävs någon fullständig som har anknytning till SIS II-rapporter men som inte lagras i omarbetning. SIS II).
Trots denna allmänt sett positiva bedömning kan dock vissa reservationer göras beträffande bland annat följande: Medlemsstaterna kommer att bidra med uppgifter till SIS II om personer som efterlyses för att häktas, överlämnas eller utlämnas, personer som efterlyses för att lagföras, personer som skall sättas under övervakning eller utsättas för särskilda kontroller, personer som skall nekas inresa vid den yttre 1. Det är i många hänseenden svårt att veta vilken avsikt som gränsen samt försvunna eller stulna föremål. En uppsättning ligger bakom texten. Det är mycket beklagligt att det saknas uppgifter som kallas ”rapporter” och som införs i SIS gör det en motivering. Eftersom dessa dokument är mycket möjligt för den behöriga myndigheten att identifiera en person komplexa till sin natur skulle detta har varit ett grundläggande krav. Avsaknaden av en motivering gör att läsaren i eller ett föremål. vissa fall inte har något annat alternativ än att gissa.
I SIS II utvecklas nya egenskaper: utökat tillträde till SIS
2. Dessutom kan det endast beklagas att ingen konsekvensbe- (Europol, Eurojust, nationella åklagare, myndigheter som dömning har genomförts. Det faktum att den första utfärdar registreringsbevis för fordon), sammankoppling av versionen av systemet redan har införts rättfärdigar inte rapporter, tillägg av nya kategorier av uppgifter, inklusive detta eftersom det finns avsevärda skillnader mellan de båda. biometriska uppgifter (fingeravtryck och foton) samt en teknisk Till exempel borde effekterna av införandet av biometriska plattform som skall delas med Informationssystemet för viseruppgifter ha undersökts bättre. ingar. Dessa tillägg har orsakat diskussioner i flera år om en ändring av syftet med SIS, från ett kontrollverktyg till ett system för rapportering och undersökning.
3. Den rättsliga ramen för uppgiftsskydd är mycket komplex. Den grundas på en kombinerad tillämpning av lex generalis (generell lagstiftning) och lex specialis (specifik lagstiftning). Det bör säkerställas att den befintliga ramen för uppgiftsskydd i direktiv 95/46/EG och förordning nr 45/2001 förblir tillämplig fullt ut även när en specifik lagstiftning Allmän bedömning av förslagen utformas. En kombinerad tillämpning av olika rättsinstru- 1.2 ment bör inte leda vare sig till olikheter mellan nationella ordningar när det gäller grundläggande aspekter eller till en urvattning av den nuvarande nivån på uppgiftsskyddet.
1. Datatillsynsmannen välkomnar att han blir föremål för samråd på grundval av artikel 28.2 i förordning (EG) nr 45/2001. Eftersom artikel 28.2 är tvingande bör emel-
4. Eftersom många nya myndigheter som inte passar in i det lertid detta yttrande omnämnas i ingressen till rättsakterna. ”ursprungliga syftet med kontrollerna av personer och föremål” får tillträde till systemet, bör strängare skyddsgarantier införas. 2. Av flera skäl välkomnar datatillsynsmannen förslagen. Att införliva en mellanstatlig struktur i europeiska lagstiftningsinstrument medför flera positiva följder: det rättsliga värdet av reglerna för SIS II kommer att klargöras, domstolen 5. Förslagen grundas till betydande del på andra rättsinstrukommer att få behörighet att tolka det rättsinstrument som ment som fortfarande är under utarbetande (beträffande rör första pelaren, Europaparlamentet blir åtminstone delvis vilka det ibland inte ens har lagts fram förslag). Datatillsyninbegripet (även om det sker något sent i processen). smannen inser svårigheterna med att lagstifta i en komplex miljö i ständig utveckling, men med hänsyn till följderna för de berörda personerna och till den rättsosäkerhet som det 3. I sak ägnas dessutom en betydande del av förslagen åt medför anser han det oacceptabelt. uppgiftsskydd, och en del av detta är välkomna förbättringar jämfört med den nuvarande situationen. Man kan särskilt nämna åtgärderna för personer som utsatts för identitetsstöld, utvidgningen av förordning nr 45/2001 till att även 6. Det råder viss oklarhet om fördelningen av befogenheter gälla det fall då kommissionen behandlar uppgifter inom mellan medlemsstaterna och kommissionen. Tydlighet är ramen för verksamheten inom avdelning VI och en bättre ytterst viktigt eftersom detta inte bara är nödvändigt för att definition av skälen för registrering av enskilda personer i systemet skall fungera väl utan också är ett grundläggande syfte att vägra inresa. krav för att säkerställa en övergripande tillsyn av systemet.
C 91/40 SV Europeiska unionens officiella tidning 19.4.2006
1.3 Yttrandets struktur — I artikel 6.2 i EU-fördraget fastställs att unionen skall respektera de grundläggande rättigheterna, såsom de garanteras i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna.
Yttrandet kommer att struktureras på följande sätt: Först klargörs den rättsliga ramen för SIS II. Därefter behandlas definitionen av syftet med SIS II och de delar som avsevärt skiljer sig Följande tre rättsakter är klart tillämpliga på förslagen om SIS från det nuvarande systemet. Punkt 5 innehåller kommentarer II: om kommissionens och medlemsstaternas respektive roller i driften av SIS II. Punkt 6 rör den registrerades rättigheter och punkt 7 behandlar tillsynen, på nationell nivå och från datatillsynsmannens sida, samt samarbetet mellan tillsynsmyndighe- — Europarådets konvention nr 108 av den 28 januari 1981 terna. I punkt 8 framläggs vissa synpunkter och möjliga om skydd för enskilda vid automatisk databehandling av ändringar i fråga om säkerheten. I punkterna 9 och 10 personuppgifter (nedan kallad konvention nr 108) innebehandlas kommittéförfarande respektive interoperabilitet. I en håller grundläggande principer för skydd för enskilda vid sammanfattning av slutsatserna framläggs slutligen de viktigaste automatisk databehandling av personuppgifter. Samtliga slutsatserna för varje punkt. medlemsstater har ratificerat konvention nr 108. Den är även tillämplig på verksamheter som bedrivs inom ramen för de polisiära och rättsliga områdena. Konvention nr 108 är för närvarande den ordning för uppgiftsskydd som är tillämplig på SIS-konventionen, tillsammans med rekommendation nr R (87) 15 av den 17 september 1987 från Europarådets ministerkommitté om polisens användning av personuppgifter. 2. RELEVANT RÄTTSLIG RAM
— Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avse- 2.1 Relevant ram för uppgiftsskydd när det gäller SIS II ende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31). Direktivet kallas nedan direktiv 95/46/EG. Det är värt att notera att den nationella lagstiftningen om genomförandet av direktiv- I förslagen anges direktiv 95/46/EG, (Europarådets) konvention et i de flesta medlemsstaterna även omfattar den behandling nr 108 och förordning nr 45/2001 som förslagens rättsliga av uppgifter som utförs av polis och rättsväsen. ram för uppgiftsskydd. Andra instrument är också relevanta.
— Europaparlamentets och rådets förordning (EG) nr 45/2001 För att klargöra detta sammanhang och erinra om vilka de av den 18 december 2000 om skydd för enskilda då viktigaste referenspunkterna för vår granskning är, är det lämpgemenskapsinstitutionerna och gemenskapsorganen ligt att ta upp följande: behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, s. 1). Denna förordning kallas nedan förordning nr 45/2001. — Respekten för privatlivet har varit garanterad i Europa sedan Europarådet 1950 antog konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (nedan kallad ECHR). I artikel 8 i ECHR fastställs att var och Direktiv 95/46/EG och förordning nr 45/2001 måste delvis en har ”rätt till skydd för sitt privat- och familjeliv”. tolkas med hänsyn till relevant rättspraxis vid Europeiska domstolen för de mänskliga rättigheterna i enlighet med den europeiska konventionen om skydd för de mänskliga rättighe- Enligt artikel 8.2 får en offentlig myndighet inte ingripa i terna och de grundläggande friheterna (ECHR) från 1950. Med denna rättighet annat än ”med stöd av lag” och ”om det i andra ord måste direktivet och förordningen, i den mån de ett demokratiskt samhälle är nödvändigt” för att skydda handlar om behandling av personuppgifter som kan kränka väsentliga intressen. I rättspraxis vid Europeiska domstolen grundläggande friheter och i synnerhet rätten till privatliv, för de mänskliga rättigheterna har dessa villkor föranlett tolkas mot bakgrund av de grundläggande rättigheterna. Detta kompletterande krav på kvaliteten på den rättsliga grunden följer också av rättspraxis vid Europeiska gemenskapernas för ingripanden, åtgärdernas proportionalitet och behovet domstol ( ). av lämpliga skyddsåtgärder mot missbruk. ( ) Det är lämpligt att i detta sammanhang hänvisa till domstolens dom i målet Österreichischer Rundfunk m.fl. (Förenade mål C-465/00, C- 138/01 och C-139/01, dom av den 20 maj 2003, sammanträde i — Rätten till respekt för privatliv och skydd av personupp- plenum, (2003) REG I-4989). Domstolen behandlade en österrikisk gifter har på senare tid fastställts i artiklarna 7 och 8 i Euro- lag om överföring av löneuppgifter för offentliganställda till den peiska unionens stadga om de mänskliga rättigheterna. österrikiska revisionsrätten och det därpå följande offentliggörandet av dessa uppgifter. I sin dom fastslår domstolen ett antal kriterier Enligt artikel 52 i stadgan erkänns att dessa rättigheter kan från artikel 8 i ECHR som bör användas vid tillämpningen av begränsas under förutsättning att villkor som är likvärdiga direktiv 95/46/EG i den mån det i detta direktiv anges vissa begränsmed dem i artikel 8 i ECHR är uppfyllda. ningar av rätten till privatliv.
19.4.2006 SV Europeiska unionens officiella tidning C 91/41
Den 4 oktober 2005 utfärdade kommissionen ett förslag till ning) eller tredje pelaren (förslaget till beslut). I skäl 21 i rådets rambeslut om skydd av personuppgifter som behandlas förslaget till beslut anges följande: ”förordning (EG) nr 45/2001 inom ramen för polissamarbete och straffrättsligt samarbete ( ) (…) skall tillämpas då kommissionen behandlar personupp- (nedan kallat utkastet till rambeslut). Detta rambeslut är avsett gifter, i de fall då behandlingen görs för att utföra uppgifter att ersätta konvention nr 108 som referenslagstiftning för som helt eller delvis omfattas av gemenskapslagstiftningen. utkastet till beslutet om SIS II, vilket troligen kommer att få Behandlingen av personuppgifter inom SIS II omfattas till viss följder för ordningen för uppgiftsskydd i detta sammanhang (se del av gemenskapslagstiftningen”. nedan, punkt 2.2.5).
Det finns praktiska skäl för detta: det skulle verkligen vara ytterst svårt att när det gäller kommissionen fastställa om 2.2 Rättsordning för uppgiftsskydd när det gäller SIS II uppgifterna behandlas inom ramen för verksamhet som faller inom lagstiftningen för första eller tredje pelaren.
2.2.1 Allmän anmärkning Att tillämpa ett rättsinstrument på all verksamhet som kommissionen utför inom ramen för SIS II är dessutom inte bara mer Den rättsliga grunden för SIS II består av separata instrument rimligt ur praktisk synvinkel, utan det förbättrar också enhetligmen, såsom anges i ingressen, detta ”påverkar inte principen att heten (och säkerställer enligt skäl 21 i förslaget till förordning SIS II är ett enda system som skall fungera som ett enda system. en ”konsekvent och enhetlig tillämpning av reglerna om skydd Vissa av bestämmelserna i dessa instrument bör därför vara av individens grundläggande rättigheter och friheter i samband identiska.” med behandlingen av personuppgifter”). Datatillsynsmannen välkomnar därför kommissionens erkännande av att förordning nr 45/2001 är tillämplig på all behandling av personuppgifter De båda dokumentens struktur är i grunden den samma och som kommissionen utför i SIS II. kapitlen I–III är rent av nästan identiska i båda texterna. Det faktum att SIS II skall betraktas som ett enda informationssystem med två olika rättsliga grunder speglas också i – den tämligen komplexa – ordningen för uppgiftsskydd.
2.2.3 Tillämplig ordning för medlemsstaterna Ordningen för uppgiftsskydd fastställs delvis i själva förslagen, som en lex specialis som kompletteras genom en annan referenslagstiftning (lex generalis) för varje avsnitt (kommissionen, medlemsstaterna i första pelaren, medlemsstaterna i tredje Situationen är mer komplex när det gäller medlemsstaterna. pelaren). Behandlingen av personuppgifter i enlighet med förslaget till förordning regleras av själva förslaget till förordning samt av direktiv 95/46/EG. Av lydelsen i skäl 14 i förslaget till förord- Denna struktur ger upphov till frågan om hur specifika ning framgår mycket tydligt att direktivet måste anses som lex uppsättningar av regler skall behandlas i förhållande till allmän generalis medan förordningen om SIS II kommer att vara lagstiftning. I detta fall anser datatillsynsmannen att den lex specialis. Detta får en del konsekvenser som beskrivs närmare särskilda regeln är en tillämpning av den allmänna regeln. nedan. Därför måste lex specialis alltid stå i överensstämmelse med lex generalis. Den är en vidareutveckling (specificering eller utökning) av lex generalis men är inte att betrakta som ett När det gäller förslaget till beslut är det rättsliga referensinstruundantag från den. mentet för uppgiftsskydd (lex generalis) konvention nr 108, vilket kan göra en viktig skillnad mellan ordningarna för uppgiftsskydd inom första och tredje pelaren på några punkter. När det gäller frågan om vilken regel som bör tillämpas i specifika fall är principen att lex specialis skall tillämpas med förtur, men när den lagen tiger eller är oklar bör hänvisning göras till lex generalis.
2.2.4 Inverkan på uppgiftsskyddet Enligt denna struktur finns det tre olika kombinationer av lex generalis och lex specialis. Det kan sammanfattas på följande sätt:
Som en allmän kommentar till denna uppbyggnad av uppgiftsskyddet understryker datatillsynsmannen följande:
2.2.2 Tillämplig ordning för kommissionen — Tillämpningen av den föreslagna förordningen som en lex specialis av direktiv 95/46/EG (och på liknande sätt av det Om kommissionen är inblandad är förordning 45/2001 föreslagna beslutet som en lex specialis av konvention nr tillämplig, inklusive datatillsyningsmannens roll, vare sig verk- 108) bör aldrig leda till en urvattning av det uppgiftsskydd samheterna utförs inom ramen för första (förslaget till förord- som garanteras enligt direktivet eller konventionen. Datatillsynsmannen kommer att lämna rekommendationer om ( ) (KOM(2005) 475 slutlig). detta (se exempelvis rätten till rättsmedel).
C 91/42 SV Europeiska unionens officiella tidning 19.4.2006
— På liknande sätt får den kombinerade tillämpningen av 2.2.6 Tillämpning av artikel 13 i direktiv 95/46/EG och artikel 9 i rättsliga instrument inte leda till att det uppgiftsskydd som konvention 108 garanteras enligt den nuvarande Schengenkonventionen försämras (se exempelvis kommentarerna nedan till artikel 13 i direktiv 95/46/EG).
Enligt artikel 13 i direktiv 95/46/EG och artikel 9 i konvention — Tillämpningen av två olika instrument, även om det är 108 får medlemsstaterna genom lagstiftning vidta åtgärder för nödvändigt på grund av den europeiska rättsliga ramen, bör att begränsa omfattningen av de skyldigheter och rättigheter inte leda till omotiverade avvikelser mellan de berörda som anges för dem i fall då en sådan begränsning är en enskilda personernas uppgiftsskydd alltefter den typ av nödvändig åtgärd för att skydda andra viktiga intressen (t.ex. uppgifter om dem som behandlas. Detta måste undvikas så statens säkerhet, försvaret, allmän säkerhet) ( ). långt som möjligt. Syftet med rekommendationerna nedan är också att förbättra enhetligheten så mycket som möjligt (se exempelvis de nationella tillsynsmyndigheternas befogenheter).
I skälen i både förslaget till förordning och förslaget till beslut anges att medlemsstaterna kan använda sig av denna möjlighet — Den rättsliga ramen är så komplex att den med all sannonär de genomför förslagen på nationell nivå. Ett dubbelt test likhet kommer att skapa en del förvirring vid den praktiska bör göras i detta fall: tillämpningen av artikel 13 i direktiv tillämpningen. Det är i en del fall svårt att se hur lex gene- 95/46/EG måste överensstämma med artikel 8 i Europakonvenralis och lex specialis påverkar varandra, och det skulle vara tionen om skydd för de mänskliga rättigheterna och de grundbra om detta klargörs i förslagen. I detta komplexa rättsliga läggande friheterna och bör inte leda till att den nuvarande sammanhang är förslaget från den gemensamma tillsynsordningen för uppgiftsskydd försvagas. myndigheten för Schengen i dess ”yttrande om den föreslagna rättsliga grunden för SIS II” (den 27 september 2005) om att utveckla ett ”vademecum”, där alla rättigheter som finns när det gäller SIS II uppräknas och där en tydlig hierarki anges för tillämplig lagstiftning, mycket konstruktivt. Det är ännu viktigare när det gäller SIS II eftersom systemet måste vara förutsägbart. Eftersom medlemsstaterna utbyter uppgifter måste det finnas en möjlighet att med rimlig säkerhet få veta hur de kommer att behandlas på nationell nivå. Sammanfattningsvis är syftet med detta yttrande att säkerställa en hög nivå på uppgiftsskydd, enhetlighet och klarhet för att ge den registrerade nödvändig rättssäkerhet.
Det finns särskilt en oroande faktor när det gäller detta, nämligen att förslagen skulle leda till att den nuvarande nivån på uppgiftsskyddet sänks. Enligt artikel 102 i Schengenkonventionen skall det finnas ett system i vilket användningen av uppgifter är strikt reglerad och begränsad även i nationell 2.2.5 Inverkan från utkastet till rambeslut om skydd av personupplagstiftning (”All användning av uppgifterna som inte är
gifter inom tredje pelaren
förenlig med punkterna 1–4 skall betraktas som åsidosättande av varje parts lagar”). Både i direktiv 95/46/EG och i konvention nr 108 anges dock att undantag, bl.a. från principen om begränsning av syftet, kan införas i nationell lagstiftning. Om detta görs skulle det innebära en avvikelse från det nuvarande Konvention nr 108 som är referensinstrumentet när det gäller systemet i Schengenkonventionen, där nationell lagstiftning inte uppgiftsskydd för utkastet till beslut om SIS II kommer att får avvika från den centrala principen om begränsning av syftet ersättas av rambeslutet om skydd av personuppgifter inom och användningen. tredje pelaren ( ). Detta nämns inte i förslaget, men är en följd av den föreslagna rambeslutet. I artikel 34.2 i rambeslutet anges att ”Varje hänvisning till Europarådets konvention nr 108 av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter skall förstås som en hänvisning till detta rambeslut”. Datatillsynsmannen kommer inom de Denna synpunkt skulle inte ändras genom antagandet av närmaste veckorna att yttra sig om utkastet till rambeslut och rambeslutet: problemet ligger mycket mer i att behålla en kommer inte att i detalj analysera dess innehåll i detta yttrande. princip om strikt begränsning av syftet för behandlingen av SIS Om tillämpningen av rambeslutet kan komma att få en bety- II-uppgifter än i att säkerställa att uppgifter behandlas i enlighet dande inverkan på ordningen för uppgiftsskydd i SIS II kommer med rambeslutet. detta dock att nämnas. ( ) En medlemsstat som använder detta alternativ för att begränsa ( ) Det kommer också att ersätta den allmänna ordningen för uppgifts- rättigheter får göra detta endast i enlighet med artikel 8 i Europaskydd i Schengenkonventionen (artiklarna 126–130 i Schengenkon- konventionen om skydd för de mänskliga rättigheterna och de ventionen). Ordningen gäller inte för SIS. grundläggande friheterna, såsom nämnts tidigare.
19.4.2006 SV Europeiska unionens officiella tidning C 91/43
Datatillsynsmannen föreslår att det i förslagen om SIS II (dvs. i Förslagen har alltså en mycket vidare räckvidd än den befintliga artikel 21 i förslaget till förordning och artikel 40 i förslaget till ramen. Detta kräver ytterligare skyddsåtgärder. Datatillsynsbeslut) införs en bestämmelse med samma verkan som den mannen kommer i detta avseende att inrikta sin analys mer på nuvarande artikel 102.4 i Schengenkonventionen, där funktionerna och de andra konstruktiva delarna av SIS II än på medlemsstaternas möjlighet att tillåta användning av uppgif- den breda definitionen i artikel 1. terna som inte förutses i texterna om SIS II begränsas. En annan möjlighet är att i förslaget till beslut och förslaget till förordning uttryckligen begränsa omfattningen av de undantag som kan tillämpas enligt artikel 13 i direktivet eller artikel 9 i konventionen och föreskriva t.ex. att medlemsstaterna endast kan begränsa rätten till tillgång och information men inte principerna om uppgiftskvalitet.
Detta kapitel kommer främst att inriktas på de nya inslag som införts genom SIS II, nämligen införandet av biometriska 3. SYFTE uppgifter, den nya uppfattningen om tillgång, med särskild inriktning på Europols och Eurojusts tillgång, på myndigheter med ansvar för fordonsregistrering, sammankopplingen av rapporter och olika myndigheters tillgång till uppgifter om invandring. Enligt artikel 1 i de båda dokumenten (”Inrättande av SIS II och allmänt mål”) skall SIS II inrättas ”för att möjliggöra samarbete mellan medlemsstaternas behöriga myndigheter i form av utbyte av information för kontroller av personer och föremål” och skall ”bidra till en hög säkerhetsnivå inom ett område utan kontroller vid medlemsstaternas inre gränser”.
4.1 Biometriska uppgifter
Syftet med SIS II formuleras i ganska grova drag; de ovannämnda bestämmelserna är inte i sig en exakt indikation på vad som omfattas av (avses med) detta mål. I SIS II-förslagen införs möjligheten att behandla en ny kategori uppgifter som förtjänar särskild uppmärksamhet: biometriska uppgifter. Såsom redan framhållits i datatillsynsmannens yttrande om informationssystemet för viseringar ( ), kräver de Syftet med SIS II förefaller vara mycket vidare än syftet med det biometriska uppgifternas känsliga natur särskilda skyddsåtnuvarande SIS enligt artikel 92 i Schengenkonventionen, i gärder som inte har införts i SIS II-förslagen. vilken det särskilt hänvisas till ”(…) kunna få rapporter om personer och föremål för gränskontroller, undersökningar och andra kontroller som utförs av polis och tullmyndigheter (…) och (beträffande rapporter enligt artikel 96) vid utfärdande av Det kan generellt sägas att tendensen att använda biometriska viseringar, uppehållstillstånd och handhavande av utlänningar uppgifter i informationssystem som omfattar hela EU (VIS, (…)”. Eurodac, informationssystem om körkort osv.) stadigt ökar, men inte följs av ett noggrant övervägande av involverade risker och nödvändiga säkerhetsåtgärder.
Detta vidare syfte härrör också från tillägget till SIS II av nya funktioner och ny tillgång som inte passar in i det ursprungliga Detta behov av en djupare eftertanke har även framhållits i syftet med kontroller av personer och föremål, men passar resolutionen nyligen om biometriska uppgifter, som utfärdats bättre i ett utredande verktyg. I synnerhet förutses tillgång för vid dataskyddsmyndigheternas internationella konferens i myndigheter som vill använda SIS II-uppgifter för egna Montreux ( ). Mervärdet för utvecklingen av normer har hittills ändamål och inte för att förverkliga SIS II-syften (se nedan); inriktats endast på den allt större kompatibiliteten mellan rapporter kommer generellt att kopplas samman, medan detta system och inte på en förbättring av kvaliteten på de biometär ett särdrag utmärkande för ett verktyg för polisutredningar. riska processerna.
C 91/44 SV Europeiska unionens officiella tidning 19.4.2006
Det skulle vara lämpligt att ställa upp en rad allmänna skyldig- Eventuell användning av SIS II-uppgifter för utredningsändamål heter eller krav relaterade till sådana uppgifters särdrag samt en medför allvarliga risker för den registrerade om man ger allmän metod för deras genomförande. I dessa allmänna krav biometriska bevis en ökad eller övervärderad roll, vilket har kan särskilt följande inslag ingå (behovet av dessa illustreras i illustrerats i tidigare fall ( ). SIS II-förslagen):
I förslagen bör man därför erkänna och öka medvetenheten om biometriska uppgifters verkliga kapacitet för identifieringsän- — Riktad konsekvensanalys: Det måste understrykas att damål. förslagen inte har varit föremål för någon konsekvensanalys av användningen av biometriska uppgifter ( ).
— Betoning på registreringsprocessen: Källan till biometriska uppgifter och det sätt på vilket de kommer att samlas 4.2 Tillgång till uppgifter i SIS II in beskrivs inte i detalj. Registrering är ett mycket viktigt steg i den övergripande processen med biometrisk identifiering och kan inte fastställas endast i bilagor eller under ytterligare diskussioner i undergrupper, eftersom den direkt kommer att påverka slutresultatet av processen, dvs. frek- 4.2.1 En ny vision av tillgång vensen av felaktiga avvisningar eller felaktiga godkännanden.
De myndigheter som har tillgång till uppgifter i SIS preciseras för varje rapport. I princip används ett dubbelt test för bevil- Framhävande av graden av korrekthet jande av tillgång till uppgifter i SIS: tillgång måste beviljas — : Användningen av biometriska uppgifter för identifiering (jämförelse av en myndigheter i full överensstämmelse med SIS allmänna syfte grupp av uppgifter mot många – ”one to many”), som lades och med det specifika syftet med varje rapport. fram i förslaget som ett framtida genomförande av en ”biometrisk sökmotor”, är farligare eftersom resultaten av denna process är mindre korrekta än användningen för Detta följer av definitionen av rapporter i både förslaget till äkthet eller kontroll (jämförelse av en grupp av uppgifter förordning och förslaget till beslut (artikel 3.1 a i båda instrumot en annan). Biometrisk identifiering bör därför inte vara menten: ”registrering: ett antal uppgifter som lagts in i SIS II och det enda identifieringssättet eller den enda nyckeln till yttermed hjälp av vilka de behöriga myndigheterna kan identifiera en ligare information. person eller ett föremål med avsikt på en specifik åtgärd som skall vidtas”). Artikel 39.3 förstärker den uppfattningen genom att följande anges: ”De uppgifter som avses i punkt 1 skall endast användas för identifiering av en person med avseende på en specifik åtgärd som vidtas i enlighet med detta beslut”. I detta avseende har — Säkerhetsförfarande: Lättillgängliga säkerhetsförfaranden SIS II fortfarande de kännetecken som utmärker ett ”träff/ej skall tillämpas för att respektera värdigheten hos människor träff”-system, där varje rapport införs för ett specifikt syfte som kan ha utsatts för felaktig identifiering och för att (överlämnande, vägrad inresa …). undvika att den börda som systemets brister medför överförs på dem. De myndigheter som har tillgång till SIS-uppgifterna kan i praktiken använda dessa uppgifter i begränsad omfattning eftersom de i princip endast har tillgång till dem för att vidta en specifik åtgärd. Användningen av biometriska uppgifter utan en lämplig föregående bedömning avslöjar även en övervärdering av de biometriska uppgifternas tillförlitlighet. Biometriska uppgifter Några tillgångar som föreskrivs i de nya förslagen överensär ”levande” uppgifter som utvecklas med tiden och de prov stämmer dock inte med denna logik eftersom syftet med dem som lagras i databasen är bara ett ”snapshot” av ett dynamiskt faktiskt är att förse myndigheterna med information, men inte element. Det har ingen absolut beständighet och måste kontrolatt de skall kunna identifiera en person och vidta den åtgärd leras. Korrektheten hos biometriska uppgifter måste sättas i som förutses i rapporten. relation till andra uppgifter eftersom den aldrig kommer att vara absolut. 2 ( ) I juni 2004 sattes en advokat från Portland (USA) i fängelse under två veckor eftersom FBI lyckades matcha hans fingeravtryck med ( ) Analysen kan bygga på den biometriska vishetens s.k. sju pelare i fingeravtryck som påträffats vid terroristbombningen i Madrid (på ”Biometrics at the frontiers: Assessing the impact on Society”, Insti- den plastpåse som innehöll detonatorn). Det visade sig slutligen att tutet för prospektiva tekniska studier, Gemensamma forsknings- det fanns brister i matchningsprocessen, vilket ledde till en feltolkcentret, EUR 21585 EN, del 1.2, s. 32. ning.
19.4.2006 SV Europeiska unionens officiella tidning C 91/45
Detta gäller mer specifikt 4.2.2 Villkor för beviljande av tillgång
— tillgång till uppgifter om invandring för asylmyndigheter,
1. Tillgång kan under alla omständigheter endast beviljas om — tillgång till uppgifter om invandring för myndigheter med det är förenligt med det allmänna syftet med SIS II och överansvar för att bevilja flyktingstatus, ensstämmer med den rättsliga grunden.
— tillgång till rapporter om utlämning, hemlig övervakning och stulna handlingar som skall beslagtas för Europol, Detta innebär i praktiken att tillgång till uppgifter om invandring enligt förslaget till förordning måste stödja genomförandet av strategier i samband med den rörlighet för personer som ingår i Schengenregelverket. — tillgång till uppgifter om utlämning och lokalisering för Eurojust.
På samma sätt skall tillgång till rapporter enligt detta beslut Alla dessa myndigheter kännetecknas av samma sak när det syfta till att underlätta det operativa polissamarbetet och det gäller SIS II-uppgifter: de kan inte vidta den specifika åtgärd operativa straffrättsliga samarbetet. som avses i definitionen av registreringar.
Tillgång beviljas dem som en källa till information för deras Datatillsynsmannen pekar i detta sammanhang på kapitlet egna syften. om tillgång till SIS för enheter som ansvarar för att utfärda registreringsbevis (se punkt 4.6 nedan).
Även mellan dessa myndigheter måste åtskillnad göras mellan dem som har tillgång för sina egna syften, men med ett ganska specifikt syfte, och dem (dvs. Europol och Eurojust) för vilka 2. Behovet av tillgång till uppgifter i SIS II måste bevisas och det inte finns någon specifikation alls av syftet med tillgången. att det är omöjligt eller mycket svårt att erhålla uppgifterna Asylmyndigheter exempelvis har tillgång för ett specifikt syfte, på andra, mindre inkräktande sätt. Detta borde ha gjorts i även om det inte är det syfte som avses i registreringen. De kan en motivering, och det är som redan nämnts mycket beklagha tillgång till uppgifter om invandring ”för att kunna ta ställligt att det inte finns någon sådan. ning till om en asylsökande har uppehållit sig illegalt i en annan medlemsstat”. Men Europol och Eurojust har tillgång till uppgifter i vissa kategorier av registreringar ”vilket är nödvändigt för att de skall kunna utföra sina uppgifter”. 3. Det måste definieras uttryckligen och restriktivt hur uppgifterna kommer att användas. Sammanfattningsvis beviljas tillgång till uppgifter i SIS II i följande tre fall:
Exempelvis har asylmyndigheterna tillgång till uppgifter om invandring ”för att kunna ta ställning till om en asylsökande — Tillgång för genomförandet av registreringen. har uppehållit sig illegalt i en annan medlemsstat”. Men Europol och Eurojust har tillgång till uppgifter i särskilda kategorier av registreringar, ”vilket är nödvändigt för att de — Tillgång för annat syfte än SIS II, men väl begränsat i skall kunna utföra sina uppgifter”: detta beskrivs inte tillförslagen. räckligt ingående (se nedan).
— Tillgång för annat syfte än SIS II, men inte exakt beskrivet. 4. Villkoren för tillgång måste vara väl definierade och begränsade. Endast de enheter inom dessa organisationer som måste hantera uppgifter i SIS II bör få tillgång till dem. Datatillsynsmannen anser att ju allmännare syftet med tillgång Denna skyldighet enligt artikel 40 i förslaget till beslut och är desto strängare bör de säkerhetsåtgärder som behöver artikel 21.2 i förslaget till förordning bör kompletteras med genomföras vara. De allmänna säkerhetsåtgärderna räknas upp en skyldighet för de nationella myndigheterna att ha en i detalj nedan och då kommer Europols och Eurojusts specifika aktuell förteckning över personer med rätt till tillgång till situation att tas upp. SIS II. Samma bör gälla för Europol och Eurojust.
C 91/46 SV Europeiska unionens officiella tidning 19.4.2006
5. Det faktum att dessa myndigheter beviljas tillgång till SIS II- för dem används. Europeiska datatillsynsmannen stöder uppgifter kan aldrig vara ett skäl till att lägga in eller behålla denna rekommendation. uppgifter i systemet om de inte är användbara för den specifika registrering som de ingår i. Nya uppgiftskategorier får inte läggas till eftersom de skulle gagna andra informationssystem. I artikel 39 i förslaget till beslut ges till exempel föreskrifter om införande i registreringar av uppgifter om c) Säkerhetsaspekter den myndighet som har lagt in registreringen. Dessa uppgifter behövs inte för att vidta en åtgärd (gripande, övervakning, …) och det enda skälet till att de kan införas är förmodligen att de kan gagna Europol eller Eurojust. En Europeiska datatillsynsmannen välkomnar skyldigheten att tydlig förklaring om behandlingen av dessa uppgifter bör föra loggbok över alla transaktioner som utförs av Europol lämnas. och Eurojust när de är anslutna samt förbudet mot kopiering eller nedladdning av delar av systemet.
6. Bevarandetiden för uppgifterna får inte förlängas, såvida det inte är nödvändigt med tanke på det ändamål för vilket uppgifterna lades in. Det innebär att även om Europol eller Enligt artikel 56 i förslaget till beslut skall det finnas ”en eller Eurojust har tillgång till dessa uppgifter, är detta inte ett till- två” anslutningspunkter för Europol och Eurojust. Hur räckligt skäl för att behålla dem i systemet (till exempel: när förståeligt det än kan vara att en medlemsstat på grund av en efterlyst person har utlämnats skall uppgifterna raderas, dess behöriga myndigheters decentraliserade läge behöver även om de kan vara till nytta för Europol). Även på denna mer än en anslutningspunkt, är inte en sådan begäran motipunkt kommer en noggrann tillsyn att behövas för att säker- verad på grund av Europols och Eurojusts ställning och ställa att de nationella myndigheterna tillämpar detta. verksamhet. Det måste även ur säkerhetssynpunkt understrykas att risken för missbruk ökar genom en mångfald anslutningspunkter, som därför noga bör motiveras med gedignare argument. I avsaknad av övertygande argumen- 4.2.3 Tillgång för Europol och Eurojust tering föreslår därför Europeiska datatillsynsmannen att endast en anslutningspunkt bör beviljas när det gäller Europol och Eurojust. a) Grunder för tillgång
Tillgången för Europol och Eurojust till vissa uppgifter i SIS debatterades innan de infördes genom rådets beslut av den 24 februari 2005 ( ). Bland alla de myndigheter som har till- 4.3 Sammanlänkning av registreringar gång för sina egna syften åtnjuter Europol och Eurojust tillgång som beviljas på ytterst generösa villkor. Fastän användningen av dessa uppgifter beskrivs i kapitel XII i beslutet, är För att upprätta en förbindelse mellan två eller flera registreför det första grunderna för att bevilja tillgång inte tillräckringar får en medlemsstat enligt artikel 26 i förordningen och ligt genomarbetade. Detta är fallet i desto högre grad artikel 46 i beslutet skapa en länk mellan registreringar i övereftersom Europols och Eurojusts arbetsuppgifter troligen ensstämmelse med nationell lagstiftning. kommer att utvecklas med tiden.
Europeiska datatillsynsmannen uppmanar kommissionen att Fastän länkar mellan registreringar säkert kan vara användbara ge en restriktiv definition av de arbetsuppgifter som berät- för kontroller (en arresteringsorder mot en biltjuv kan till tigar att Europol och Eurojust får tillgång till uppgifter. exempel länkas till ett stulet fordon), är införandet av länkar mellan registreringar ett mycket typiskt kännetecken för tillvägagångssättet vid en polisutredning.
b) Begränsning av uppgifter Sammanlänkning av registreringar kan ha betydande effekter på den berörda personens rättigheter, eftersom personen inte längre bedöms på grundval av uppgifter som endast gäller För att undvika att Europol och Eurojust gör ospecificerade honom/henne utan på grundval av hans/hennes eventuella eftersökningar och för att förvissa sig om att de endast har anknytning till andra personer. Enskilda om vilka uppgifter är tillgång till uppgifter som är nödvändiga för deras arbete, länkade till uppgifter om brottslingar eller efterlysta personer föreslog den gemensamma tillsynsmyndigheten för kommer troligen att behandlas med större misstänksamhet än Schengens informationssystem i sitt yttrande av den 27 andra. Sammanlänkning av registreringar utgör dessutom en september 2005 om förslagen avseende SIS II en begräns- utvidgning av SIS utredningsbefogenheter, eftersom en ning av Europols och Eurojusts tillgång till uppgifter om sammanlänkning kommer att möjliggöra inregistrering av enskilda vars namn redan förekommer i deras register. Detta påstådda gäng eller nätverk (om till exempel uppgifter om olagskulle garantera att endast de registreringar som är relevanta liga invandrare är länkade till uppgifter om människosmugglare). Eftersom upprättandet av länkar regleras genom nationell 1 lagstiftning är slutligen en möjlig konsekvens att länkar som är ( ) Rådets beslut 2005/211/RIF av den 24 februari 2005 om införande av ett antal nya funktioner för Schengens informationssystem, bland olagliga i en medlemsstat kan upprättas av en annan medlemsannat i kampen mot terrorism, EUT L 68/44, 15.3.2005. stat, som således matar in ”olagliga” uppgifter i systemet.
19.4.2006 SV Europeiska unionens officiella tidning C 91/47
I rådets slutsatser av den 14 juni 2004 om funktionskraven för Förbättringarna består i en tydligare beskrivning av grunderna SIS II fastställs att varje sammankoppling måste ha ett tydligt för införande av uppgifterna. Schengenkonventionens nuvadriftkrav samt grundas på ett klart fastställt samband och rande lydelse har lett till en situation med betydande skillnader respektera proportionalitetsprincipen. Vidare får inte åt- mellan medlemsstaterna i fråga om antalet personer som regikomsträttigheterna påverkas. Under alla omständigheter måste strerats enligt artikel 96 i konventionen. Den gemensamma tillsammanlänkningen uppfylla kraven i den nationella lagstift- synsmyndigheten för Schengens informationssystem har ningen för genomförande av direktiv 95/46/EG och/eller genomfört en omfattande studie ( ) om den frågan och kommit konvention nr 108, eftersom sammanlänkningen av registre- med rekommendationer om att ”beslutsfattarna bör överväga ringar utgör en behandling. att i de olika Schengenstaterna harmonisera skälen till att göra en registrering”.
I förslagen upprepas att förekomsten av länkar inte kan ändra Lydelsen i den förslagna artikel 15 är mer detaljerad, vilket tillgångsrättigheterna (annars skulle faktiskt förekomsten av välkomnas. länkar ge tillgång till uppgifter som det inte vore lagligt att behandla enligt nationell lagstiftning, i strid med artikel 6 i direktivet). Vidare innehåller artikel 15.2 även en förteckning över de fall när personer inte kan registreras eftersom de lagligen vistas på en medlemsstats territorium med tillämpning av olika status. Europeiska datatillsynsmannen betonar vikten av en strikt tolk- Fastän det skulle kunna härledas från den nuvarande Schengenning av artikel 26 i förslaget till förordning och artikel 46 i konventionen har praxis visat att även tillämpningen av denna förslaget till beslut: ett sätt att sörja för detta är att klargöra att mekanism har varierat mellan medlemsstaterna. Förtydligandet myndigheter utan rätt till tillgång till vissa uppgiftskategorier är därför ett positivt inslag. inte får ha tillgång till dessa kategorier och inte ens bör vara medvetna om länkarnas existens. Det måste vara omöjligt att se länkarna om det saknas rättigheter till tillgång till de länkade uppgifterna. Denna bestämmelse är emellertid även föremål för allvarlig kritik, eftersom den till betydande del baseras på en ännu icke antagen text, nämligen direktivet om återvändande.
Europeiska datatillsynsmannen skulle vidare vilja rådfrågas om de tekniska åtgärder som säkerställer detta. Efter antagandet av förslagen om SIS II har kommissionen föreslagit ett ”direktiv om gemensamma normer och förfaranden för återvändande av tredjelandsmedborgare som vistas olagligt i medlemsstaterna” (den 1 september 2005), men så länge som denna text inte är slutlig kan den inte betraktas som en giltig grund för införande av uppgifter i ett system. Det strider bland annat mot artikel 8 i den europeiska konventionen om skydd 4.4 Registreringar på spärrlista för de mänskliga rättigheterna och de grundläggande friheterna, eftersom ett intrång i enskildas privatliv skall motiveras med – bland annat – en tydlig och tillgänglig lagstiftning.
4.4.1 Grunder för införande Europeiska datatillsynsmannen uppmanar därför kommissionen att antingen ta tillbaka förslaget eller att på grundval av befintlig lagstiftning omarbeta det på så sätt att en enskild Användningen av ”registreringar om tredjelandsmedborgare i person ges möjlighet att veta exakt vilka åtgärder som myndigsyfte att neka dessa inresa” (artikel 15 i förordningen) har betyheterna kan vidta mot honom/henne. dande effekter på den enskildes friheter: en enskild person som registrerats enligt denna bestämmelse har inte tillträde till Schengenområdet under flera år. Hittills har detta varit den mest använda registreringen när det gäller antalet registrerade personer. Med tanke på konsekvenserna av denna registrering och antalet berörda personer måste man vara ytterst försiktig 4.4.2 Tillgång till registreringar enligt artikel 15 vid utformningen och tillämpningen av denna registrering. Detta gäller visserligen även andra registreringar, men Europeiska datatillsynsmannen kommer att ägna ett särskilt kapitel åt I artikel 18 föreskrivs det vilka myndigheter som har tillgång denna registrering, eftersom den innebär specifika problem i till dessa registreringar och för vilka ändamål. I artikel 18.1 och fråga om grunderna för införande. 18.2 fastställs det vilka myndigheter som har tillgång till registreringar som lagts in på grundval av direktivet om återvändande. Samma kommentar som ovan gäller.
Den nya registreringen på spärrlista innebär förbättringar 1 ( ) Rapport från den gemensamma tillsynsmyndigheten för Schengens jämfört med den nuvarande situationen, men är inte heller helt informationssystem om en undersökning av användningen av regitillfredsställande, eftersom den till stor del baserar sig på instru- streringar i Schengens informationssystem enligt artikel 96, Bryssel ment som ännu inte har antagits eller ens föreslagits. den 20 juni 2005.
C 91/48 SV Europeiska unionens officiella tidning 19.4.2006
I artikel 18.3 i förslaget förordning beviljas tillgång för myndig- är särskilt oroande när det gäller registreringar av personer för heter med ansvar för beviljande av flyktingstatus, enligt ett hemlig övervakning eller särskild kontroll, eftersom dessa regidirektiv som ännu inte ens har föreslagits. Europeiska datatill- streringar kan läggas in på grundval av misstankar. synsmannen måste upprepa de ovanstående kommentarerna, eftersom ingen text finns tillgänglig. Europeiska datatillsynsmannen efterlyser en seriös motivering av denna förlängning av lagringstiderna för uppgifter. Om det inte finns någon övertygande motivering föreslår han att lagringstiderna kortas till nuvarande längd och insisterar särskilt 4.4.3 Lagringstid för registreringar enligt artikel 15 på fallet med registreringar för hemlig övervakning eller särskild kontroll.
Enligt artikel 20 skall registreringen inte lagras längre än den tid för avvisning som föreskrivs i beslutet (om återsändande eller återvändande). Detta står i överensstämmelse med reglerna om dataskydd. Vidare kommer registreringen att raderas auto- 4.6 Tillgång för myndigheter med ansvar för att utfärda matiskt efter fem år, såvida inte den medlemsstat som har lagt registreringsbevis för fordon in uppgifterna i SIS II beslutar om annat.
Huvudfrågan ligger i valet av en rättslig grund som i högsta Lämplig tillsyn på nationell nivå bör garantera att lagringstiden grad kan ifrågasättas. Kommissionen anför inget övertygande inte automatiskt förlängs utan grund och att medlemsstaterna skäl till att använda en rättslig grund inom första pelaren som raderar uppgifterna innan fem år förflutit, om tiden för avvis- avser transporter, för en åtgärd som skulle ge administrativa ning råkar vara kortare. myndigheter tillgång till SIS för att förebygga och bekämpa brott (olaglig handel med stulna fordon). I punkt 4.2.2 i detta yttrande redogjordes i detalj för nödvändigheten av en stark motivering och en solid rättslig grund för att bevilja tillgång till SIS II.
4.5 Lagringstider Europeiska datatillsynsmannen hänvisar till kommentarerna om denna fråga från den gemensamma tillsynsmyndigheten för Principen om lagringstid är oförändrad (som allmän regel skall Schengens informationssystem i dess yttrande om den föreen registrering raderas från SIS II när den åtgärd som begärts slagna rättsliga grunden för SIS II. I synnerhet skall man följa genom registreringen har vidtagits), men förslagen kommer att förslaget från den gemensamma tillsynsmyndigheten för medföra att lagringstiden för registreringarna allmänt kommer Schengens informationssystem om att ändra förslaget till beslut att ha förlängts. så att denna tillgång omfattas.
Enligt Schengenkonventionen skulle det senast tre år efter det att uppgifterna lagts in (eller ett år i fråga om uppgifter som lagts in för hemlig övervakning) göras en undersökning av 5. KOMMISSIONENS OCH MEDLEMSSTATERNAS ROLL huruvida uppgifterna måste bevaras. I de nya förslagen tänker man sig en automatisk radering (med möjlighet för den medlemsstat som lagt in registreringen att invända) efter fem år En tydlig beskrivning och fördelning av ansvarsområdena när i fråga om uppgifter om invandring, tio år i fråga om uppgifter det gäller SIS II är av största vikt inte bara för att systemet skall om gripande, försvunna personer och eftersökta eller efterlysta fungera smidigt utan även ur tillsynssynpunkt. Fördelningen av personer som söks för lagföring samt tre år för personer som tillsynsbefogenheter kommer att vara en följd av beskrivningen skall sättas under hemlig övervakning. av ansvarsområdena, och fullständig tydlighet är därför nödvändig.
Även om medlemsstaterna i princip kommer att vara tvungna att radera uppgifterna när syftet med registreringen är uppfyllt, innebär detta en betydande förlängning av den längsta bevarandetiden (i flertalet fall en trefaldig förlängning) utan någon som 5.1 Kommissionens roll helst motivering från kommissionens sida. I fråga om uppgifter om invandring kan man inte annat än våga sig på gissningen att det föreligger ett samband mellan den femåriga bevarande- Europeiska datatillsynsmannen välkomnar kapitel III i båda tiden och den varaktighet av förbudet mot inresa som föreslås i förslagen, vilket beskriver kommissionens roll och ansvar när utkastet till direktiv om återvändande. I alla övriga fall finns det det gäller SIS II (som en ”operativ förvaltningsroll”). Ett sådant ingen förklaring som Europeiska datatillsynsmannen känner till. klarläggande fanns inte i förslaget om VIS. Kommissionens roll definieras emellertid inte uttömmande i endast det kapitlet. Såsom diskuteras i kapitel 9 i detta yttrande är kommissionen De potentiella effekterna för dem som registrerats i SIS kan få även engagerad i genomförandet och förvaltningen av systemet betydande konsekvenser för de berörda personernas liv. Detta genom kommittéförfarandet.
19.4.2006 SV Europeiska unionens officiella tidning C 91/49
I fråga om dataskydd har kommissionen en roll som redan direktiv 95/46. Detta är en välkommen förändring jämfört med erkänns i VIS- och Eurodac-systemen, nämligen att ansvara för den nuvarande situationen, där det inte explicit anges någon operativ förvaltning. Tillsammans med dess mer betydande roll rätt till information i konventionen. Det finns emellertid visst att utveckla och underhålla systemet bör detta betraktas som utrymme för förbättringar på följande punkter. rollen för en registeransvarig sui generis. Såsom redan nämnts i Europeiska datatillsynsmannens yttrande om VIS är rollen mycket mer omfattande än registerförarens roll, men även mer begränsad än en normal registeransvarigs roll, eftersom Viss information bör läggas till i förteckningen, eftersom detta kommissionen inte har tillgång till de uppgifter som behandlas skulle bidra till att garantera en rättvis behandling av den regii SIS II. strerade ( ). Denna information bör avse lagringstiden för uppgifterna, rätten att begära omprövning eller överklagande av beslutet om inläggning av en registrering (i vissa fall; se Eftersom SIS II kommer att bygga på komplexa system, varav artikel 15.3 i förslaget till förordning), möjligheten att få hjälp en del är beroende av ny teknik, insisterar Europeiska datatill- av dataskyddsmyndigheten samt rättsmedel. synsmannen på en förstärkning av kommissionens ansvar för att hålla systemen fullt moderna genom att införa bästa tillgängliga teknik för säkerhet och dataskydd. I förslaget till förordning finns det ingen hänvisning till den tidpunkt då informationen skall lämnas. Detta kan göra det Det bör därför tilläggas i artikel 12 i förslagen att kommis- omöjligt för den registrerade att göra sina rättigheter gällande. sionen regelbundet skall föreslå införandet av ny teknik som För att dessa rättigheter skall bli faktiska, bör förordningen ange utgör den modernaste på detta område och kommer att höja en exakt tidpunkt då information skall lämnas, beroende på nivån på dataskyddet och säkerheten samt underlätta arbetet vilken myndighet som har lagt in registreringen. för de nationella myndigheter som har tillgång till dessa uppgifter.
Det vore för det första en praktisk lösning att lägga till information om registreringen i det beslut som registreringen grundar sig på: antingen ett rättsligt eller administrativt beslut grundat Medlemsstaternas roll på ett hot mot allmän ordning (…) eller ett beslut om återvän- 5.2 dande eller utvisning tillsammans med ett återreseförbud. Detta bör läggas till i artikel 28 i förordningen. Medlemsstaternas situation är inte helt klar, eftersom det är svårt att veta vilken myndighet (vilka myndigheter) som kommer att vara registeransvarig(a).
6.1.2 Förslaget till beslut I förslagen beskrivs en roll för nationella SIS II-byrån (för att säkerställa att de behöriga myndigheterna har tillgång till SIS II) och för Sirenemyndigheterna (för att säkerställa utbyte av all tilläggsinformation). En medlemsstat skall också säkerställa I artikel 50 i beslutet föreskrivs att information skall utlämnas funktionen och säkerheten hos sitt NS (nationella system). Det på begäran av den registrerade personen och där anges också står inte klart huruvida någon av de ovannämnda myndighede möjliga skälen för att vägra utlämnande av denna informaterna skall ansvara för detta sista ansvarsområde. Under alla tion. Begränsningarna av denna rättighet är naturligtvis förståeomständigheter behövs ett förtydligande i detta avseende. liga med hänsyn till uppgifternas art och det sammanhang i vilket de behandlas. När det gäller dataskydd bör kommissionen och medlemsstaterna betraktas som gemensamt registeransvariga, var och en med specifika ansvarsområden. Erkännandet av dessa uppdrag Rätten till information bör emellertid inte vara avhängigt av en som kompletterar varandra är det enda sättet att inte lämna ansökan från den registrerade personen (detta skulle faktiskt något område av verksamheten inom SIS II utan tillsyn. snarare vara definitionen av en ansökan om tillgång). Det kan förmodas att behovet av att ”ansöka om” information motiverades av de fall då den registrerade personen inte kan informeras därför att han inte är lokaliserad.
En bättre lösning på problemet skulle vara att lägga till ett 6.1 Information undantag till rätten till information i de fall då det visar sig omöjligt eller medför en oproportionerlig ansträngning att lämna ut information. Artikel 50 i beslutet bör ändras i 6.1.1 Förslaget till förordning enlighet härmed.
C 91/50 SV Europeiska unionens officiella tidning 19.4.2006
Denna lösning skulle också vara förenlig med tillämpningen av eller att överklaga till en rättslig myndighet, om beslutet fattas utkastet till rambeslut om uppgiftsskydd i tredje pelaren. av en administrativ myndighet. Detta är ett välkommet tillägg jämfört med den nuvarande Schengenkonventionen.
Detta understryker behovet av att den registrerade personen 6.2 Tillgång erhåller fullständig information och att det sker i tid, såsom nämndes i punkt 6.1 ovan: utan denna rättighet förblir denna I både förslaget till förordning och förslaget till beslut föreskrivs nya rättighet teoretisk. tidsfrister för besvarande av ansökningar om tillgång, vilket är en positiv utveckling. Eftersom förfarandet för utövandet av rätten till tillgång fastställs på nationell nivå kan man emellertid undra hur de tidsfrister som föreskrivs i förslagen kan samverka med de befintliga förfarandena, i synnerhet om medlemsstaterna har kortare tidsfrister för att besvara en ansökan om till- 6.4 Rättsmedel gång. Det bör klargöras att de tidsfrister som är mest förmånliga för den registrerade personen bör tillämpas.
I artikel 30 i förslaget till förordning och artikel 52 i förslaget till beslut föreskrivs rätten att väcka talan eller klagomål inför domstol i vilken medlemsstat som helst om den registrerade 6.2.1 Förslaget till förordning personen vägras rätten att ta del av eller att rätta eller radera uppgifter eller rätten att få information eller upprättelse.
Det är värt att notera att de begränsningar av rätten till tillgång (”skall avslås, om det kan skada verkställigheten av rättsliga uppdrag som rapporten avser, eller om någon annan persons Lydelsen (”varje individ som befinner sig på någon av medlemsrätt och frihet måste skyddas”) som för närvarande finns i staternas territorium”) antyder att den klagande måste befinna Schengenkonventionen inte förekommer i förslaget till förord- sig fysiskt på territoriet för att väcka sin talan inför domstol. ning. Denna territoriella begränsning motiveras inte och kan göra rätten till rättsmedel ineffektiv, eftersom den klagande mycket ofta väcker talan just därför att han inte beviljas tillträde till Emellertid beror detta förmodligen på tillämpligheten av Schengenterritoriet. När det gäller förslaget till förordning direktiv 95/46/EG, där det föreskrivs (i artikel 13) att det finns måste dessutom artikel 22 i direktivet beaktas eftersom direkmöjlighet att införa undantag i nationella lagstiftningar. I varje tivet är lex generalis; enligt denna artikel har ”var och en” rätt till fall bör det påpekas att användningen av artikel 13 i nationell ett rättsmedel, oberoende av bostadsort. Förslaget till rambeslut lagstiftning för att begränsa rätten till tillgång alltid bör vara innehåller inte heller någon territoriell begränsning. Datatillförenlig med artikel 8 i ECHR och att detta endast bör ske i synsmannen föreslår att den territoriella begränsningen i artikel begränsade fall. 30 och artikel 52 stryks.
6.2.2 Förslaget till beslut
Enligt förslagen skall tillsynsuppgiften fördelas mellan natio- Eftersom tillgången till uppgifter med anknytning till brottsbe- 1 nella tillsynsmyndigheter ( ) och datatillsynsmannen, var och en kämpning i flera medlemsstater är ”indirekt” (det vill säga för sitt ansvarsområde. Detta är i överensstämmelse med förslautövas via den nationella myndigheten med ansvar för uppgifts- gens syn på tillämplig lagstiftning och ansvar för driften och skydd) torde det vara lämpligt att föreskriva en skyldighet för användningen av SIS II och med behovet av en effektiv tillsyn. myndigheter med ansvar för uppgiftsskydd att samarbeta aktivt i utövandet av rätten till tillgång.
Datatillsynsmannen välkomnar därför detta synsätt i artikel 31 i förslaget till förordning och artikel 53 i förslaget till beslut. För att göra respektive uppgifter tydligare och mer begripliga 6.3 Rätt till omprövning eller överklagande av ett beslut föreslår datatillsynsmannen dock att varje artikel skall delas upp om att lägga in en registrering i flera bestämmelser och att var och en av dessa skall ägnas åt en tillsynsnivå, på samma sätt som i förslagen om VIS.
Enligt artikel 15.3 i förordningen har en registrerad person rätt 1 ( ) Tillsynsmyndigheterna för Europol och Eurojust är också involveatt få ett beslut om att lägga in en registrering omprövat av rade men i mindre utsträckning.
19.4.2006 SV Europeiska unionens officiella tidning C 91/51
7.2 Tillsyn från nationella myndigheter med ansvar för 7.4 Gemensam tillsyn
uppgiftsskydd
I förslagen erkänns också behovet av att samordna de olika, Enligt artikel 31 i förslaget till förordning och artikel 53 i berörda myndigheternas tillsynsverksamhet. Enligt artikel 31 i förslaget till beslut skall varje medlemsstat se till att en förslaget till förordning och artikel 53 i förslaget till beslut ska oberoende myndighet övervakar att behandlingen av person- ”de nationella tillsynsmyndigheterna och Europeiska datatilluppgifter i SIS II sker enligt gällande regler. synsmannen … samarbeta aktivt. Europeiska datatillsynsmannen skall för detta ändamål sammankalla ett möte minst en gång om året.”
Artikel 53 i förslaget till beslut innehåller ett tillägg om att enskilda individer skall ha rätt att begära att tillsynsmyndig- Tillsynsmannen välkomnar detta förslag som i sak innehåller de heten kontrollerar att hans eller hennes personuppgifter nödvändiga faktorerna för att upprätta samarbetet – vilket verkbehandlas enligt gällande regler. Någon liknande bestämmelse ligen är mycket väsentligt – mellan de myndigheter som finns inte i förslaget till förordning eftersom direktivet är ansvarar för tillsyn på nationell och europeisk nivå. Det bör tillämpligt som lex generalis. Därför måste det anses att natiounderstrykas att det i förslagen föreskrivs ett möte minst en nella myndigheter med ansvar för uppgiftsskydd kan utöva, gång om året men att detta skall betraktas som ett minimum. med avseende på SIS II, alla de befogenheter som den tilldelas genom artikel 28 i direktiv 95/46/EG, inklusive kontroll av om behandlingen av uppgifter är enligt gällande regler. I artikel 31.1 i förordningen klargörs deras uppgift, men detta kan inte innebära en begränsning av dessa befogenheter. Erkännandet av När det gäller dessa bestämmelser (artikel 31 i förslaget till dessa befogenheter bör klargöras i förslaget till förordning. förordning och artikel 53 i förslaget till beslut) kunde det emellertid vara lämpligt med vissa klargöranden om innehållet i denna samordning. Den nuvarande gemensamma tillsynsmyndigheten har befogenhet att granska svårigheter med tolkning eller tillämpning av konventionen, att studera problem som När det gäller förslaget till beslut tillerkänns de nationella tillkan förekomma när det gäller utövandet av oberoende tillsyn synsmyndigheterna mer omfattande skyldigheter genom detta eller rätten till tillgång samt att utforma harmoniserade förslag eftersom dess lex generalis är annorlunda. En situation då tillsyntill gemensamma lösningar på befintliga problem. smyndigheter skulle ha olika uppdrag och befogenheter beroende på vilken kategori av uppgifter som behandlas är emellertid inte sund och mycket svårhanterlig i praktiken. Därför bör den undvikas antingen genom att dessa myndigheter tillerkänns samma befogenheter i själva förslaget till beslut eller De nya förslagen kan inte leda till en urvattning av den nuvagenom att det hänvisas till en annan lex generalis (nämligen rande omfattningen av den gemensamma tillsynen. Om det är rambeslutet om uppgiftsskydd i tredje pelaren) varigenom de uppenbart att myndigheter med ansvar för uppgiftsskydd med myndigheter som ansvarar för uppgiftsskydd tilldelas fler befo- avseende på SIS II han utöva alla de tillsynsbefogenheter som genheter. de tilldelas genom direktivet, kan samarbetet mellan dessa myndigheter omfatta breda aspekter av tillsynen av SIS II, inklusive den befintliga gemensamma tillsynsmyndighetens arbetsuppgifter enligt artikel 155 i Schengenkonventionen.
För att klargöra detta helt och hållet skulle det vara lämpligt att 7.3 Tillsyn från datatillsynsmannen bekräfta detta uttryckligen i förslagen.
Datatillsynsmannen övervakar att den behandling av uppgifter som bedrivs av kommissionen utförs i enlighet med förslagen. På samma sätt bör datatillsynsmannen kunna utöva alla sina befogenheter enligt förordning 45/2001, dock med hänsyn till 8. SÄKERHET kommissionens begränsade befogenheter med avseende på själva uppgifterna.
Förvaltningen av och respekten för en optimal säkerhetsnivå för SIS II utgör ett grundläggande krav för säkerställande av ett Det bör tilläggas att datatillsynsmannen enligt artikel 46 f i adekvat skydd av personuppgifter som lagras i databasen. För förordning nr 45/2001 skall ”samarbeta med de nationella till- att erhålla denna tillfredställande skyddsnivå måste lämpliga synsmyndigheter … i den omfattning som behövs för att de säkerhetsgarantier införas när det gäller hanteringen av potentiskall kunna fullgöra sina respektive uppgifter”. Samarbetet med ella risker för systemets infrastruktur och för de berörda persomedlemsstaterna vid tillsynen av SIS II härrör inte endast från nerna. Detta ämne diskuteras nu i olika delar av förslaget och förslagen utan även från förordning 45/2001. därvidlag krävs det en viss förbättring.
C 91/52 SV Europeiska unionens officiella tidning 19.4.2006
Artiklarna 10 och 13 i förslaget innehåller olika åtgärder för — De uppgifter som behandlas i dessa kopior är inte väl defiuppgiftssäkerhet och där anges också vilka typer av missbruk nierade. som behöver förebyggas. Datatillsynsmannen välkomnar att bestämmelser om systematisk (egen)kontroll av säkerhetsåtgärder ingår i dessa artiklar. — Kraven på korrekthet, kvalitet och tillgänglighet i artikel 9 medför stora tekniska utmaningar och ökar därför kostnaden i enlighet med den senaste tillgängliga tekniken.
Artikel 59 i förslaget till beslut och artikel 34 i förslaget till — De nationella myndigheternas tillsyn av dessa kopior förordning, som handlar om övervakning och utvärdering, bör kommer att kräva ytterligare mänskliga och finansiella emellertid inte endast röra aspekterna produktivitet, kostnadsef- resurser, vilka kanske inte alltid kommer att stå till förfofektivitet och tjänsternas kvalitet utan även överensstämmelsen gande. med rättsliga krav, i synnerhet inom området uppgiftsskydd. Datatillsynsmannen rekommenderar därför att räckvidden för dessa artiklar utvidgas till övervakning av och rapportering om Med hänsyn till de risker som det innebär är datatillhuruvida behandlingen sker enligt gällande regler. synsmannen inte övertygad om vare sig behovet (med tanke på tillgänglig teknik) eller mervärdet av användningen av nationella kopior. Han rekommenderar att möjligheten för medlemsstaterna att använda nationella kopior skall strykas.
Som komplement till artikel 10.1 f eller artikel 18 i förslaget till beslut och artikel 17 i förslaget till förordning beträffande den vederbörligen auktoriserade personal som har tillgång till Om nationella kopior skall tas fram, erinrar datatillsynsmannen uppgifterna bör det tilläggas att medlemsstaterna (liksom dock om att en strikt princip om begränsning rörande syftet Europol och Eurojust) bör se till att exakta användarprofiler är måste tillämpas på den nationella användningen av dem. Likaså tillgängliga (vilka bör stå till de nationella tillsynsmyndighe- får man aldrig söka i den nationella kopian på andra sätt än i ternas förfogande för kontroller). Utöver dessa användarprofiler den centrala databasen. måste en fullständig förteckning över användaridentiteter utarbetas och kontinuerligt uppdateras av medlemsstaterna. Detta gäller även kommissionen i tillämpliga delar. Lagligheten när det gäller behandlingen av personuppgifter grundas på fullständig respekt för uppgiftssäkerhet och uppgiftsintegritet. Datatillsynsmannen kommer att på ett effektivt sätt övervaka dessa processer, om han inte endast kan övervaka Dessa säkerhetsåtgärder kompletteras med skyddsåtgärder med uppgiftssäkerheten utan även uppgifternas integritet genom avseende på övervakning och organisation. I artikel 14 i analys av de tillgängliga loggböckerna. Det är därför nödvänförslagen beskrivs villkoren för och syftena med registrering- digt att lägga till ”uppgifternas integritet” i artikel 14.6. arna av alla databehandlingsoperationerna. Dessa registreringar skall inte bara lagras för övervakning av uppgiftsskyddet och säkerställande av uppgiftssäkerheten utan även för konsolidering av den regelbundna egenkontrollen av SIS II, såsom föreskrivs i artikel 10. Egenkontrollrapporterna kommer att bidra till att tillsynsmyndigheterna utför sina arbetsuppgifter effektivt 9. KOMMITTÉFÖRFARANDE och att dessa kan fastställa de svagaste punkterna och koncentrera sig på dem under sitt egenkontrollförfarande.
I förslagen föreskrivs kommittéförfaranden i flera fall där det krävs tekniska beslut för genomförandet eller förvaltningen av SIS II. Såsom angavs i yttrandet om VIS av liknande skäl Såsom nämndes tidigare i detta yttrande måste en ökning av kommer dessa beslut att få betydande konsekvenser för det antalet anslutningspunkter till systemet motiveras noggrant korrekta genomförandet av principen om syfte och proportioeftersom det automatiskt ökar riskerna för missbruk. I artikel nalitet. 4.1 b 9 i förslagen bör det därför konkret påvisas att det behövs en andra anslutningspunkt.
Datatillsynsmannen rekommenderar att beslut med väsentliga konsekvenser för uppgiftsskyddet, till exempel tillgång till och införande av uppgifter, utbyte av kompletterande information, Förslagen innehåller ingen tydlig förklaring av behovet av uppgifternas kvalitet och kompatibilitet mellan rapporter, nationella kopior av det centrala systemet och föranleder allvarnationella kopiors tekniska överensstämmelse osv., bör antas liga farhågor om den övergripande risk- och säkerhetsnivån för genom en förordning eller ett beslut och helst med hjälp av systemet, till exempel följande: 1 medbeslutandeförfarandet ( ).
19.4.2006 SV Europeiska unionens officiella tidning C 91/53
När det gäller alla andra fall med konsekvenser för uppgifts- — Behovet av interoperabilitet mellan system som skyddet bör datatillsynsmannen ges möjlighet att ge rekom- konstruerats för olika ändamål eller med tredjelandsmendation om de val som dessa kommittéer gör. system kan däremot ifrågasättas.
Som exempel på tillgängliga skyddsåtgärder som används för Datatillsynsmannens rådgivande roll bör anges i artiklarna 60 att begränsa systemets syfte och förebygga ”funktionsglidning” och 61 i beslutet och artikel 35 i förordningen. kan nämnas användningen av olika tekniska normer som bidrar till denna begränsning. Dessutom bör alla slag av interaktion mellan två olika system dokumenteras noggrant. Interoperabilitet bör aldrig leda till ett läge där en myndighet som inte har rätt till tillgång till eller användning av vissa uppgifter kan I det mer specifika fallet rörande tekniska bestämmelser för erhålla dessa via ett annat informationssystem. I den mån man sammanlänkade registreringar (artikel 26 i förordningen och kan upptäcka det genom att läsa förslagen tycks det till artikel 46 i beslutet) måste behovet av olika kommittéförfar- exempel som om ett automatiskt fingeravtrycksidentifieringsanden (rådgivande kommittéförfarande för beslutet och före- system (AFIS) inte kommer att finnas under SIS II:s första år; skrivande kommittéförfarande för förordningen) förklaras. det görs endast en hänvisning till en kommande biometrisk sökmotor. Om ett scenario planeras där AFIS från andra EUsystem används, bör det dokumenteras tydligt med de nödvändiga skyddsåtgärder som krävs för sådana synergier.
Datatillsynsmannen vill återigen betona att systemens interope- 10. INTEROPERABILITET rabilitet inte kan förverkligas i strid med principen om begränsning av ändamålet och att alla förslag i frågan bör läggas fram för honom.
Eftersom kommissionens meddelande om interoperabiliteten för framtida system inom EU ännu inte föreligger, är det svårt att på ett korrekt sätt utvärdera mervärdet av den planerade men ännu inte definierade samverkan.
1. Datatillsynsmannen välkomnar flera positiva aspekter av Datatillsynsmannen meddelade redan i yttrandet om informa- förslagen, som på en del punkter innebär en förbättring tionssystemet för viseringar att interoperabilitet är en viktig och jämfört med den situation som nu råder. Han konstaterar avgörande förutsättning för att storskaliga IT-system som SIS II att bestämmelserna om uppgiftsskydd generellt sett har utarskall bli effektiva. Den ger möjlighet att konsekvent minska de betats med stor omsorg. totala kostnaderna och att undvika en naturlig överlappning av heterogena delar. 2. Datatillsynsmannen framhåller att den nya rättsliga ordningen, även om den är komplex, bör — Interoperabilitet kan även bidra till målet att behålla en hög säkerhetsnivå på ett område utan inre gränskontroller mellan medlemsstaterna genom att tillämpa samma normer — garantera en hög nivå på uppgiftsskyddet, för förfarandet för alla bärande delar av denna politik. Det är dock mycket viktigt att skilja mellan följande två nivåer för interoperabilitet: — vara förutsägbar för medborgarna och för de myndigheter som utbyter uppgifter,
— Interoperabilitet mellan EU:s medlemsstater är högst önskvärd; den rapport som sänds från en medlemsstats myndigheter måste vara interoperabel med sådana som — vara konsekvent i sin tillämpning på olika kontexter översänts av alla andra medlemsstaters myndigheter. (första eller tredje pelaren).
C 91/54 SV Europeiska unionens officiella tidning 19.4.2006
3. Tillägget av nya element i SIS II, vilket ökar dess eventuella 3. Följande stränga villkor bör gälla när en myndighet beviljas inverkan på enskilda människors liv, bör dessutom följas av tillgång till SIS II-uppgifter: strängare säkerhetsåtgärder vilka beskrivs i yttrandet. Följande kan särskilt framföras:
— Tillgången måste vara förenlig med SIS II:s allmänna syfte och överensstämma med dess rättsliga grund. — Tillgång till uppgifter i SIS II får inte ges till nya myndigheter om det inte finns en mycket stark motivering för detta. Den bör även begränsas så mycket som möjligt, när det gäller både tillgängliga uppgifter och bemyndigade personer. — Behovet av tillgång till SIS II-uppgifter måste bevisas.
— Sammankoppling av registreringar får aldrig, ens indi- — Det måste uttryckligen och restriktivt preciseras hur rekt, leda till en ändring av rätten till tillgång. uppgifterna kommer att användas.
— Icke antagen lagstiftning får inte betraktas som en giltig grund för införande av uppgifter i SIS II (registreringar — Villkoren för tillgång måste vara väl definierade och för att vägra inresa). begränsade. I synnerhet bör det finnas en aktuell förteckning över personer med rätt till tillgång till SIS II även för Europol och Eurojust.
— Den rättsliga grunden för tillgång för myndigheter som ansvarar för utfärdande av registreringsbevis för fordon bör övervägas på nytt eftersom den huvudsakligen är — Det faktum att dessa myndigheter beviljas tillgång till avsedd att bekämpa brottslighet. SIS II-uppgifter kan aldrig vara ett skäl till att införa eller behålla uppgifter i systemet om de inte är användbara för den särskilda registrering som de ingår i. — Datatillsynsmannen inser att användningen av biometeriska uppgifter kan förbättra systemets resultat och hjälpa offren för identitetsstöld. Effekten av detta införande verkar dock inte vara tillräckligt genomtänkt och — Bevarandetiden för uppgifter får inte förlängas om det dessa uppgifters tillförlitlighet förefaller överskattad. inte är nödvändigt för det syfte för vilket uppgifterna infördes.
4. I de specifika fallen Europol och Eurojust uppmanar datatillsynsmannen kommissionen att på ett restriktivt sätt precisera de uppgifter där tillgång är motiverad för att de 11.2 Särskilda påpekanden skall kunna utföras. Europols och Eurojusts tillgång bör dessutom begränsas till uppgifter om enskilda personer vars namn redan förekommer i deras filer. Det föreslås också att Europol och Eurojust beviljas endast en anslutningspunkt. 1. Datatillsynsmannen välkomnar kommissionens erkännande att förordning nr 45/2001 gäller all behandling av uppgifter av kommissionen i SIS II, eftersom den kommer att bidra till att garantera en enhetlig och homogen 5. När det gäller registreringar i syfte att vägra inresa bör de tillämpning av reglerna för skydd av enskilda personers bestämmelser som grundar sig på ännu inte antagen grundläggande rättigheter och friheter när det gäller lagstiftning antingen dras tillbaka eller formuleras om på behandlingen av personuppgifter. ett sätt – baserat på befintlig lagstiftning – som låter de enskilda personerna få veta exakt vilka åtgärder myndigheterna kan vidta beträffande dem. 2. För att säkerställa en strikt begränsning av syftet på nationell nivå rekommenderar datatillsynsmannen att det i SIS II-förslagen (dvs. artikel 21 i förslaget till förordning och artikel 40 i förslaget till beslut) införs en bestämmelse med 6. Bevarandetiderna för uppgifter har förlängts utan att någon samma verkan som den nuvarande artikel 102.4 i riktig motivering till detta har lämnats. Om det inte finns Schengenkonventionen, varigenom medlemsstaternas någon övertygande motivering bör de återgå till sin nuvamöjlighet att bestämma om annan användning av uppgif- rande längd, särskilt när det gäller registreringar för hemlig terna än den som förutses i SIS II-texterna begränsas. övervakning eller särskilda kontroller.
19.4.2006 SV Europeiska unionens officiella tidning C 91/55
7. Kommissionens roll beskrivs som den roll som en ansvarig genom artikel 28 i direktiv 95/46/EG, och detta bör för operativ förvaltning har. I kombination med dess klargöras i förslaget till förordning. huvudroll i utvecklingen och underhållet av systemet bör detta ses som den roll som en registeransvarig sui generis har. Den är mycket större än en registerförares roll, men är också mer begränsad än en vanlig registeransvarigs roll, — I förslaget till beslut bör tillsynsmyndigheterna tillereftersom kommissionen inte har någon tillgång till de kännas samma befogenheter som i förordningen/direkuppgifter som behandlas i SIS II. tivet.
I enlighet med den rollen bör det tilläggas i artikel 12 i båda förslagen att kommissionen regelbundet bör föreslå 13. Vad beträffar datatillsynsmannens befogenheter bör denne genomförandet av nya tekniker som ger en bild av det kunna utöva alla sina befogenheter enligt förordning aktuella forskningsläget på detta område och som kommer nr 45/2001, dock med beaktande av kommissionens att öka uppgiftsskyddet och säkerheten. begränsade befogenheter när det gäller själva uppgifterna.
8. När det gäller medlemsstaternas roll behövs ett klargörande i fråga om myndigheter som är registeransvariga. 14. Beträffande samordnad övervakning erkänns i förslagen även behovet av att samordna de olika inblandade myndigheternas tillsynsverksamheter. Datatillsynsmannen
9. Beträffande informationen om den registrerade gäller välkomnar att de i huvudsak innehåller de nödvändiga följande: inslagen för att skapa samarbete mellan de myndigheter som ansvarar för tillsynen på nationell och europeisk nivå. Dessa bestämmelser (artikel 31 i förslaget till förordning — I förslaget till förordning bör viss information läggas till och artikel 53 i förslaget till beslut) skulle dock behöva en på förteckningen, nämligen bevarandetiden för uppgifdel klargöranden av innehållet i den samordningen. terna, förekomsten av rättigheten att begära en översyn eller överklagan av beslutet att utfärda en registrering, möjligheten att få stöd från dataskyddsmyndigheten och förekomsten av rättsmedel. 15. Artiklarna 10 och 13 i förslaget innehåller olika åtgärder för datasäkerhet och införandet av bestämmelser om syste- När det gäller den tidpunkt då denna information matisk (egen)kontroll av säkerhetsåtgärder välkomnas. lämnas bör det dessutom finnas en skyldighet att lämna information om registreringen i det beslut som först och främst utgör grunden för registreringen. — Artikel 59 i förslaget till beslut och artikel 34 i förslaget till förordning som innehåller bestämmelser — I förslaget till beslut bör artikel 50 ändras så att rätten om övervakning och utvärdering bör dock inte endast till information inte är beroende av en begäran från gälla aspekterna produktivitet, kostnadseffektivitet och den registrerade. tjänsternas kvalitet utan även efterlevnad av rättsliga krav, särskilt på området uppgiftsskydd. Dessa bestämmelser bör ändras i enlighet därmed.
10. Vad gäller tidsfristerna för besvarandet av en begäran om tillgång välkomnas att sådana införs i beslutet. Om tidsfrister införs även i nationell lagstiftning bör det klargöras att de tidsfrister som är mest fördelaktiga för den registre- — Som ett komplement till artikel 10.1 f eller artikel 18 i rade bör tillämpas. förslaget till beslut och artikel 17 i förslaget till förordning bör det dessutom läggas till att medlemsstaterna, Europol och Eurojust bör se till att exakta användar- Det kan dessutom vara lämpligt att föreskriva en skyldighet profiler finns tillgängliga (dessa bör ställas till förfoför dataskyddsmyndigheterna att samarbeta aktivt vid gande för de nationella tillsynsmyndigheterna för utövandet av rätten till tillgång. kontroll). Förutom dessa användarprofiler måste en fullständig förteckning över användaridentiteterna göras och hållas ständigt aktuell av medlemsstaterna.
11. Vad beträffar rätten till rättsmedel föreslår datatillsyns- Samma sak gäller kommissionen. mannen att den territoriella begränsningen i artiklarna 30 och 52 stryks.
— Lagenligheten i behandlingen av personuppgifter
12. När det gäller de nationella dataskyddsmyndigheternas bygger på den strikta respekten av uppgifternas befogenheter kan följande framföras: säkerhet och integritet. Datatillsynsmannen bör ha möjlighet att övervaka inte bara uppgifternas säkerhet utan även uppgifternas integritet genom en analys av — I förordningen måste det beaktas att de i fråga om SIS tillgängliga loggar. Det är således nödvändigt att lägga II kan utöva alla de befogenheter som tilldelas dem till ”uppgifternas integritet” i artikel 14.6.
C 91/56 SV Europeiska unionens officiella tidning 19.4.2006
16. Användningen av nationella kopior kan medföra många förfarande. Om kommittéförfarandet tillämpas bör datatillextra risker. Datatillsynsmannen är varken övertygad om synsmannens rådgivande roll tas med i artiklarna 60 och behovet (med hänsyn till tillgängliga tekniker) eller 61 i beslutet och artikel 35 i förordningen. mervärdet av användningen av nationella kopior. Han 18. Systemens interoperabilitet får inte genomföras i strid med rekommenderar att man undviker eller åtminstone allvarprincipen om begränsning av syftet och alla förslag i denna ligt begränsar medlemsstaternas möjlighet att använda fråga bör föreläggas datatillsynsmannen. nationella kopior. Om nationella kopior skall tas fram måste dock en princip om strikt begränsning av syftet tillämpas på deras nationella användning. Likaledes får man aldrig söka i en nationell kopia på annat sätt än i den centrala databasen. Utfärdat i Bryssel den 19 oktober 2005
17. När det gäller kommittéförfarandet bör beslut med bety- Peter HUSTINX dande konsekvenser för uppgiftsskydd fattas genom en förordning eller ett beslut, helst genom ett medbeslutande- Europeisk datatillsynsmannen
Fotnoter
- 1 INLEDNING — ett förslag till förordning som grundas på avdelning V 1.1 Bakgrund (transporter) och specifikt rör tillträde till uppgifter i SIS för myndigheter som utfärdar registreringsbevis för fordon. Detta förslag kommer att behandlas separat (se nedan, Schengens informationssystem (SIS) är ett storskaligt IT-system punkt 4.6). för EU som inrättats som en kompensationsåtgärd till följd av avskaffandet av kontrollerna vid de inre gränserna inom Schengenområdet. SIS ger behöriga myndigheter i medlemsstaterna möjlighet att utbyta information som används för att Det är värt att nämna i detta sammanhang att kommissionen genomföra kontroller av personer och föremål vid de yttre under de kommande månaderna kommer att utfärda ett meddegränserna eller på territoriet och för att utfärda viseringar och lande om interoperabilitet och ökade synergier mellan EU:s uppehållstillstånd. informationssystem (SIS, VIS och Eurodac).
- 4 BETYDANDE ÄNDRINGAR I SIS II
- ( ) Punkt 3.4 2. i datatillsynsmannens yttrande av den 23 mars 2005 om förslaget till Europaparlamentets och rådets förordning om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse. Det finns också frågor om den biometriska sökmotor som skall 2 ( ) Den 27:e internationella konferensen i Montreux den 16 september utvecklas under de kommande åren och som kommer att göra 2005 mellan myndigheterna för skydd av personuppgifter och det möjligt att göra sökningar i systemet, vilka går utöver vad skydd av privatlivet; resolution om användning av biometriska som behövs för ett kontrollsystem. uppgifter i pass, identitetskort och resehandlingar.
- 6 REGISTRERADES RÄTTIGHETER
- ( ) Se yttrandet från Europeiska datatillsynsmannen om inrätttandet av I artikel 28 i förslaget till förordning anges den registrerades informationssystemet för viseringar, punkt 3.10.1 med samma innerätt till information, och man följer i huvudsak artikel 10 i börd.
- 7 TILLSYN I förslaget till beslut begränsas rätten till tillgång på samma sätt som i Schengenkonventionen. Förslaget till rambeslut innehåller i sak samma begränsningar av rätten till tillgång och därför bör 7.1 Inledande anmärkning: ansvarsfördelning antagandet av detta instrument inte innebära någon betydande skillnad härvidlag.
- ( ) Se i detta sammanhang datatillsynsmannens yttrande om Informationssystemet för viseringar, punkt 3.12, och datatillsynsmannens yttrande om förslaget till direktiv om lagring av uppgifter som — En ökning av antalet kopior ökar riskerna för missbruk behandlats i samband med tillhandhållande av allmänt tillgängliga (särskilt med tanke på förekomsten av nya uppgifter, till elektroniska kommunikationstjänster, vilket utfärdades den 26 exempel biometriska uppgifter). september 2005, punkt 60.
- 11 SAMMANFATTNING AV SLUTSATSER I detta sammanhang vill datatillsynsmannen också hänvisa till rådets uttalande av den 25 mars 2004 om bekämpande av terrorism, där kommissionen uppmanas att lägga fram förslag i syfte att öka interoperabilitet och samverkan mellan informationssystem (SIS, VIS och Eurodac). Han vill också hänvisa till 11.1 Allmänna punkter den pågående diskussionen om vilket organ som skall anförtros förvaltningen av de olika storskaliga systemen i framtiden (se även punkt 3.8 i detta yttrande).