Exchange of information under the principle of availability

C 116/8 SV Europeiska unionens officiella tidning 17.5.2006

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslaget till rådets rambeslut om utbyte av uppgifter enligt principen om tillgänglighet (KOM(2005) 490 slutlig)

(2006/C 116/04)

EUROPEISKA DATATILLSYNSMANNEN HAR mening, utbyte av sådan information – över gränserna ligger högt på medlemsstaternas dagordning, både inom och utanför rådet, liksom inom Europaparlamentet. med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

4. Lika uppenbart är att detta ämne är i hög grad relevant sett med beaktande av Europeiska unionens stadga om de grundlägmed utgångspunkt i skyddet av personuppgifter, vilket gande rättigheterna, särskilt artikel 8, yttrandet i sig kommer att visa. Datatillsynsmannen påminner om att det föreliggande förslaget lades fram av kommissionen, med tät koppling till förslaget till rådets med beaktande av Europaparlamentets och rådets direktiv rambeslut om skydd av personuppgifter som behandlas 95/46/EG av den 24 oktober 1995 om skydd för enskilda inom ramen för polissamarbete och straffrättsligt samarpersoner med avseende på behandling av personuppgifter och bete, vilket datatillsynsmannen lade fram ett yttrande till om det fria flödet av sådana uppgifter, den 19 december 2005. med beaktande av begäran om ett yttrande i enlighet med artikel 28.2 i Europaparlamentets och rådets förordning (EG) 5. Datatillsynsmannen kommer att utnyttja tillfället för att i nr 45/2001 av den 18 december 2000 om skydd för enskilda detta yttrande lägga fram några allmänna och mer grunddå gemenskapsinstitutionerna och gemenskapsorganen läggande synpunkter när det gäller frågan om utbyte av behandlar personuppgifter och om den fria rörligheten för information om brottsbekämpning och om strategier för sådana uppgifter. att reglera denna fråga. Genom att lägga fram detta yttrande avser datatillsynsmannen att se till att dataskyddsperspektivet vederbörligen beaktas i diskussioner om ämnet i framtiden.

1. Förslaget till rambeslut om utbyte av uppgifter enligt principen om tillgänglighet sändes av kommissionen till datatillsynsmannen i ett brev daterat den 12 oktober 2005. Datatillsynsmannen ser detta brev som en begäran om II. FÖRSLAGET I SITT SAMMANHANG samråd från gemenskapens institutioner och organ i enlighet med artikel 28.2 i förordning nr 45/2001/EG. Enligt datatillsynsmannen bör detta yttrande nämnas i ingressen till rambeslutet. 7. Principen om tillgänglighet infördes som en viktig ny rättsprincip i Haagprogrammet. Det medför att information som behövs för brottsbekämpning bör förmedlas över EU:s

2. Yttrandets karaktär skall ses mot bakgrund av det samman- internationella gränser utan hinder. Syftet med detta förslag hang som beskrivs under II. Så som anges under II är det är att införa denna princip genom ett bindande rättsinstrulångt ifrån självklart att föreliggande förslag – eller försla- ment. gets strategi när det gäller tillgänglighet – så småningom kommer att leda fram till antagandet av ett rättsinstrument. Många medlemsstater förespråkar andra lösningar. 8. Utbyte av polisiär information mellan olika länder är ett populärt ämne bland lagstiftare, såväl inom som utanför

3. Det är emellertid uppenbart att frågan om tillgänglighet ramen för EU. Följande initiativ har nyligen uppmärksamavseende brottsbekämpningsinformation – eller, i vidare mats av datatillsynsmannen. 17.5.2006 SV Europeiska unionens officiella tidning C 116/9

9. För det första lade Sverige den 4 juni 2004 fram ett förslag 15. Datatillsynsmannen intar samma ståndpunkt när det gäller till rambeslut om förenklat uppgifts- och underrättelseut- antagandet av andra rättsinstrument som underlättar flödet byte mellan de brottsbekämpande myndigheterna i Europe- av uppgifter om brottsbekämpning över EU:s inre gränser. iska unionens medlemsstater. För detta förslag nådde rådet Datatillsynsmannen ser därför med tillfredsställelse att såväl en överenskommelse om en allmän riktlinje vid sitt möte rådet som Europaparlamentet har gett prioritet åt förslaget den 1 december 2005. till ett rambeslut om skydd av personuppgifter.

10. För det andra undertecknade sju medlemsstater den 27 maj 2005 en konvention i Prüm i Tyskland om stärkt gränsöverskridande samarbete särskilt för att bekämpa terrorism, III. TILLGÄNGLIGHETSPRINCIPEN SOM SÅDAN gränsöverskridande brottslighet och olaglig invandring. Bland annat införs där åtgärder för förbättrat informationsutbyte om DNA och fingeravtryck. Alla medlemsstater i Europeiska unionen kan ansluta sig till konventionen. De 16. Tillgänglighetsprincipen är i sig en enkel princip. De fördragsslutande parterna avser att införliva bestämmel- uppgifter som finns tillgängliga för vissa myndigheter i en serna i konventionen i Europeiska unionens rättsliga medlemsstat skall också tillhandahållas motsvarande ramar. myndigheter i andra medlemsstater. Uppgifterna skall utväxlas så snabbt och enkelt som möjligt mellan medlemsstaternas myndigheter och företrädesvis genom att direktåtkomst tillåts.

11. För det tredje kommer tillgängligheten till information om brottsbekämpning över Europeiska unionens internationella gränser också att ytterligare underlättas genom andra 17. Svårigheterna uppkommer beroende av den miljö där tillrättsinstrument, exempelvis förslagen om en andra generagänglighetsprincipen skall omsättas i effektiv praktik: tion av Schengens informationssystem (SIS II), förslaget om möjlighet till sökningar i informationssystemet för viseringar (VIS) och förslaget till rambeslut om organisa- — En heterogen organisation av polis- och domstolsvätionen av medlemsstaternas utbyte av uppgifter ur krimisendet i medlemsstaterna, med varierande kontrollmenalregistret och uppgifternas innehåll. Här är det också kanismer. viktigt att nämna meddelandet om större effektivitet, förbättrad interoperabilitet och för synergieffekter mellan EU:s databaser på området rättsliga och inrikesfrågor — Olika typer av (känslig) information ingår (såsom DNA utfärdat av kommissionen den 25 november 2005. eller fingeravtryck). — Olika sätt för att få tillgång till relevant information för de behöriga myndigheterna också inom medlemsstater. 12. Eftersom alla dessa initiativ har utfärdats bör inte förslaget till rambeslut om tillgänglighet behandlas isolerat, utan andra lösningar när det gäller utbyte av uppgifter om — Det är svårt att garantera att uppgifter med ursprung i brottsbekämpning bör också beaktas. Detta är desto viktien annan medlemsstat kommer att tolkas rätt beroende gare med tanke på den rådande tendensen inom rådet att på skillnader i språk, tekniska system (driftskompatibige företräde åt andra lösningar för utbyte av uppgifter och litet) och i fråga om rättssystem. åt begreppet tillgänglighet än den allmänna riktlinje som kommissionen föreslår i föreliggande förslag. Förslagets nuvarande text kanske inte ens kommer att tas upp till — Den måste införlivas i det befintliga och omfattande diskussion i rådet. lappverk av rättsregler som behandlar utbytet av uppgifter om brottsbekämpning mellan länderna.

13. Vidare är detta förslag nära knutet till förslaget till ett 18. Oberoende av denna komplexa miljö är det allmänt känt rambeslut om skydd av personuppgifter. Föreliggande att principen inte kan fungera i isolering. Det krävs ytterliyttrande måste ses mot bakgrund av det mer ingående gare åtgärder för att garantera att det faktiskt går att hitta yttrandet om det sistnämnda rambeslutet. och få åtkomst till uppgifter. Under alla förhållanden måste dessa åtgärder underlätta för brottsbekämpande myndigheter att ta reda på huruvida brottsbekämpande myndigheter i andra medlemsstater har relevant information till sitt förfogande och var denna relevanta information finns. 14. I sitt yttrande över förslaget till rambeslut om skydd av Sådana ytterligare åtgärder skulle kunna bestå av gränssnitt personuppgifter framhöll datatillsynsmannen vikten av till- (interface) som ger direktåtkomst till alla eller specifika data fredsställande uppgiftsskydd som en ofrånkomlig följd av som innehas av andra medlemsstater. Förslaget till rambeett rättsinstrument om tillgänglighet. Enligt datatillsyn- slut om tillgånglighet inför av detta skäl ”registerdata”, smannen bör ett sådant rättsinstrument inte antas utan särskilda data som det är möjliga att få direkt åtkomst till garantier som är av vikt för uppgiftsskyddet. över gränserna. C 116/10 SV Europeiska unionens officiella tidning 17.5.2006

19. Rent allmänt bör tillgänglighetsprincipen underlätta flödet 23. I förslaget anges inte huruvida ”tillgängliga uppgifter” av uppgifter mellan medlemsstaterna. De inre gränserna enbart består av information som redan kontrolleras av kommer att avskaffas och medlemsstaterna måste i allt behöriga myndigheter eller även innefattar information större omfattning låta andra myndigheter få åtkomst till som de potentiellt har tillgång till. Enligt datatillsynden information de egna polisiära myndigheterna har till- smannen kan förslaget tolkas som att det omfattar båda. gång till. Medlemsstaterna förlorar sin behörighet att kontrollera flödet av uppgifter vilket också medför att de inte längre kan lita på att deras nationella lagstiftning är ett tillräckligt instrument för ett fullgott skydd av uppgifterna. 24. Det verkar också vara så att det i artikel 2.2 föreslås en mer begränsad räckvidd med angivelsen att rambeslutet inte skall ”medföra någon skyldighet att samla in och lagra 20. Detta skäl gör att perspektivet med skydd av personupp- uppgifter […] enbart för att göra dem tillgängliga”, medan gifter i förslaget kräver särskild uppmärksamhet. För det artikel 3 a lämnar utrymme för en bredare tolkning genom första måste uppgifter som normalt sett är konfidentiella fastställandet av att med ”uppgifter” avses ”befintliga och omgärdade med betryggande säkerhetsåtgärder tillhan- uppgifter enligt förteckningen i bilaga II”. dahållas myndigheter i andra medlemsstater. För det andra krävs det för att få systemet att fungera att registerdata fastställs och görs tillgängliga för myndigheter i de andra medlemsstaterna. Genomförandet av denna princip 25. I bilaga II nämns åtminstone två kategorier av data som kommer följaktligen att alstra mer data än dem som för det normalt inte är polisen som bestämmer över. Den närvarande är tillgängliga. första kategorin är uppgifter ur fordonsregister. I många medlemsstater är det inte brottsbekämpande myndigheter som har hand om databaser med denna information, även om sådana myndigheter regelbundet utnyttjar möjligheten att få tillgång till den. Bör denna typ av information omfattas av tillämpligheten för sådan ”tillgänglig informa- IV. HUVUDDRAG tion” som enligt artikel 1 skall tillhandahållas motsvarande behöriga myndigheter i andra medlemsstater? Den andra kategorin data enligt förteckningen i bilaga II som skall omnämnas är telefonnummer och andra uppgifter om Tillgänglighetsprincipens tillämpningsområde kommunikation: skall sådana uppgifter betraktas som ”tillgängliga” också när det inte är de behöriga myndigheterna som förvaltar dem, utan privata företag? 21. Först och främst är det väsentligt att definiera för vilken typ av uppgifter principen om tillgänglighet skall gälla. Tillämpningsområdet för denna princip definieras i allmänna termer i artikel 2 i förslaget, i kombination med 26. Dessutom ger andra bestämmelser i förslaget, närmare artikel 1.1 och artikel 3 a. Principen skall tillämpas på bestämt artiklarna 3 d och 4.1 c i förslaget stöd för följande uppgifter: uppfattningen att ”utsedda myndigheter” och till och med ”utsedda parter” kan få förvalta sådan information som de — Befintliga uppgifter, ”behöriga myndigheterna” har ”tillgång till”. Av förslagstexten följer också att en ”behörig myndighet i en medlemsstat är en myndighet enligt artikel 29 första — Enligt förteckning i bilaga II med sex typer av strecksatsen i EU-fördraget”, medan däremot varje nationell uppgifter, myndighet uppfyller villkoren för att kallas för ”utsedd myndighet”. — Uppgifter som behöriga myndigheter har tillgång till. Detta är tre väsentliga inslag i tillämpningsområdet för 27. Enligt datatillsynsmannen leder en tillämpning av tillgängprincipen enligt kommissionens förslag. Tillämpningsom- lighetsprincipen på uppgifter som förvaltas av utsedda rådet förfinas ytterligare i artikel 2. Enligt artikel 2.1 myndigheter och utsedda parter till följande frågor: begränsas det till stadiet som föregår inledningen av ett rättsligt förfarande, medan det i artikel 2.2-4 anges några mer specifika restriktioner. — Ger artikel 30.1 b en tillräcklig rättslig grund, eftersom uppgifterna skall göras tillgängliga av utsedda myndigheter och utsedda parter och från databaser som inte ligger inom ramarna för tredje pelaren? 22. För att förstå förslagets följder krävs det en mer djupgående analys av de tre väsentliga inslagen. De första två inslagen i tillämpningen är i sig själva tillräckligt klara. En närmare definition av ”befintliga uppgifter” finns i artikel — Kommer rambeslutet om skydd av personuppgifter att 2.2 där det fastslås att rambeslutet inte skall medföra vara tillämpligt på det sätt som antas exempelvis i någon skyldighet att samla in och lagra uppgifter enbart artikel 8 i förslaget? för att göra dem tillgängliga, medan däremot förteckningen i bilaga II inte kan tolkas på mer än ett sätt. Det är det tredje väsentliga inslaget, ensamt eller i kombination med — Om inte så är fallet, överensstämmer i så fall behandde två första inslagen som kräver ytterligare förklaring. lingen med skyldigheterna enligt direktiv 95/46/EG? 17.5.2006 SV Europeiska unionens officiella tidning C 116/11

28. Genomförandet av en sådan bred princip som ”principen punkten är artikel 2.2 tydlig: Den medför inte någon skylom tillgänglighet” kräver en klar och precis definition av dighet att samla in och lagra uppgifter enbart för att göra vilka uppgifter som är att betrakta som tillgängliga. Data- dem tillgängliga. Från personuppgiftsskyddssynpunkt är tillsynsmannen rekommenderar därför detta ett viktigt och positivt inslag i förslaget. Datatillsynsmannen påminner om sitt yttrande till förslaget till direktiv om lagring av uppgifter som behandlats i samband — förtydligande av tillämpningsområdet, med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster ( ), där han betonade att lagstadgade skyldigheter som leder till omfattande databaser — som ett första alternativ, en begränsning av räckvidden medför särskilda risker för den registrerade, bl.a. på grund för tillgänglighetsprincipen till sådana uppgifter som av risken för olaglig användning. förvaltas av behöriga myndigheter, — som ett andra alternativ, när tillämpningsområdet är 33. Emellertid gäller följande: bredare, skapande av betryggande skyddsåtgärder för personuppgifter. De frågor som tas upp under punkt 27 ovan måste beaktas. — Det är viktigt att se till att förslaget inte gynnar en ovillkorlig sammankoppling av databaser och således ett nät av databaser som det blir svårt att övervaka. Andra frågor med anknytning till tillämpningsområdet — Det finns ett undantag från den nämnda utgångspunkten: Artikel 10 i förslaget som garanterar att registerdata finns direkt tillgängliga. Registerdata kan innehålla personuppgifter eller i varje fall röja att sådana 29. Enligt artikel 2.1 i förslaget skall detta rambeslut gälla för finns. behandling av uppgifter före det att rättsliga åtgärder inleds. Dess tillämpningsområde är mer begränsat än förslaget till ett rambeslut om skydd av personuppgifter som i full utsträckning är tillämpligt på straffrättsligt samarbete. Direkt och indirekt tillgång till information

30. Enligt datatillsynsmannen innebär dock inte denna begränsning i sig att tillämpningsområdet för förslaget begränsas till polissamarbete. Det skulle också kunna 34. I förslaget föreskrivs direkt och indirekt tillgång till omfatta straffrättsligt samarbete eftersom ett antal av uppgifter. I artikel 9 i förslaget föreskrivs direkt tillgång till medlemsstaternas rättsliga myndigheter också har behöuppgifter i sådana databaser som motsvarande nationella righet för brottsutredningar, innan ett rättsligt förfarande myndigheter har direkt tillgång till. Artikel 10 innebär inleds. Men förslaget grundar sig enbart på artikel 30.1 b i indirekt tillgång. Registerdata för uppgifter utan direkt till- EU-fördraget, vilket pekar på att det endast är tillämpligt gång skall finnas tillgängliga för sökning online för på polissamarbete. Ett förtydligande av denna aspekt vore motsvarande behöriga myndigheter i andra medlemsstater välkommet. och för Europol. Vid en träff för en sökning i registerdata får myndigheten utfärda en framställan om uppgifter och sända den till den utsedda myndigheten för att få ut de 31. Föreliggande förslag gäller tillhandahållande av information uppgifter som identifierats av i registerdata. till Europol, medan förslaget till rambeslut om skydd av personuppgifter utesluter behandling av personuppgifter av Europol. Datatillsynsmannen rekommenderar att utbytet av uppgifter med Europol begränsas till Europols egna 35. Direkt tillgång leder inte till nya databaser, men förutsätter syften enligt artikel 2 i Europolkonventionen och i bilagan. däremot driftskompatibilitet mellan databaserna i Beaktas bör dessutom de närmare bestämmelserna om medlemsstaternas motsvarande behöriga system. Dessutom utbyte av uppgifter med Europol som redan fastställts i kommer det med nödvändighet att innebära ny användflera olika rådsakter. ning av redan befintliga databaser genom att för alla medlemsstaters behöriga myndigheter tillhandahålla en facilitet som hittills endast har stått till de nationella behöriga myndigheternas förfogande. Direkt tillgång kommer automatiskt att innebära en ökning av antalet personer med tillgång till en databas och därmed en ökande risk för missbruk. Inga nya databaser som innehåller personuppgifter C 116/12 SV Europeiska unionens officiella tidning 17.5.2006

36. När det gäller direkt tillgång av en behörig myndighet i en inte har funnits sådana system, utom de storskaliga europeannan medlemsstat har de utsedda myndigheterna i den iska informationssystemen – kan skapa nya risker för den ursprungliga medlemsstaten ingen kontroll över tillgången registrerade. Datatillsynsmannen betonar att även om registill och den vidare användningen av data. Denna konse- terdata inte innehåller mycket information om den regikvens av sådan direkt tillgång som avses i förslaget strerade, kan sökning på registerdata leda till ett mycket nödvändiggör att det vidtas lämpliga åtgärder av följande känsligt resultat. Det kan avslöja att en person finns med i skäl: ett polisregister som gäller brott. — Den förefaller upphäva de utsedda myndigheternas 39. Därför är det av yttersta vikt att de europeiska lagstiftarna befogenhet att vägra tillhandahålla information (enligt anger lämpliga bestämmelser åtminstone om skapande av artikel 14). registerdata, om förvaltningen av databaser med registerdata och om hur åtkomsten till registerdata lämpligen bör organiseras. Enligt datatillsynsmannen är förslaget inte tillfredsställande på dessa punkter. I detta skede har datatill- — Det väcker frågor om vem som har ansvaret för att synsmannen tre påpekanden: data stämmer och för uppdatering av data sedan åtkomst har ägt rum. Hur kan en utsedd myndighet i den ursprungliga medlemsstaten sörja för att data — Definitionen av registerdata är oklar. Det är inte klart uppdateras? huruvida registerdata betraktas som metadata, primärnycklar eller kanske rentav båda? Begreppet registerdata behöver förtydligas, eftersom det direkt inverkar på dataskyddets nivå och vilka skyddsåtgärder som krävs. — Det är inte bara den utsedda myndigheten som inte längre har möjlighet att uppfylla alla sina förpliktelser enligt lagen om uppgiftsskydd, inte heller den nationella uppgiftsskyddsmyndigheten i den ursprungliga — Förslaget bör klargöra de nationella kontaktpunkternas medlemsstaten kan längre övervaka tillämpningen av roll i förhållande till registerdata. Man kan ibland förpliktelserna eftersom den saknar all behörighet gent- behöva ta med nationella kontaktpunkter, särskilt i emot de brottsbekämpande myndigheterna i andra sådana fall där tolkningen av registerdata kräver medlemsstater. specialkunskaper, exempelvis vid en eventuell jämförelse av fingeravtryck. — Dessa problem är ännu mer framträdande i fråga om — Förslaget överlåter antagandet av nödvändiga regler för tillgång till databaser från utsedda myndigheter och skapande av registerdata till genomförandelagstiftning utsedda parter, då dessa inte är brottsbekämpande enligt det kommittéförfarande som avses i artikel 19. myndigheter (se punkterna 25-28 i detta yttrande). Även om tillämpningsregler kan komma att behövas bör grundreglerna för skapande av registerdata ingå i själva rambeslutet. Denna konsekvens av direkt tillgång är ett viktigt skäl till att antagandet av föreliggande förslag bör vara beroende av antagandet av ett rambeslut om skydd av personuppgifter. Ett problem återstår: det är svårt att se hur utsedda myndigheter skulle kunna vägra att lämna Förhandsgodkännande av rättsliga myndigheter ut uppgifter enligt artikel 14.

40. Utbytet av uppgifter skall inte hindra medlemsstaterna från 37. När det gäller indirekt tillgång genom registerdata som ger att kräva förhandsgodkännande från rättsliga myndigheter information i ett träff/icke träffsystem: detta är inget nytt för att överföra uppgifterna till den ansökande myndigfenomen. Det är grunden för hur europeiska storskaliga heten när dessa uppgifter står under rättslig kontroll i det informationssystem, exempelvis Schengens informationsanmodade landet. Detta är viktigt eftersom inte alla system, fungerar. Inrättandet av ett system med registerdata medlemsstaters polis har autonom åtkomst till dessa data, har den fördelen att ursprungsmedlemsstaterna kan enligt en översikt om polismyndigheternas befogenheter kontrollera utbytet av uppgifter från sina egna polisre- 1 att utbyta personuppgifter ( ). Enligt datatillsynsmannen gister. Om sökning på registerdata leder till träff kan den bör tillgänglighetsprincipen inte undergräva skyldigheten ansökande myndigheten lägga in en begäran om informaenligt nationell lagstiftning att erhålla förhandsgodkäntion avseende den registrerade i det särskilda fallet. Denna nande för informationen, eller åtminstone att fastställa begäran kan vederbörligen bedömas av den tillfrågade särskilda regler beträffande för vilka kategorier uppgifter myndigheten. det krävs förhandsgodkännande, som kommer att vara tillämplig i alla medlemsstater. 17.5.2006 SV Europeiska unionens officiella tidning C 116/13

41. Denna skyldighet bör tolkas mot bakgrund av artikel 11.2 medlemsstaternas behörighet att fullständigt kontrollera i förslaget om rambeslut om skydd av personuppgifter, där uppgiftsutbytet berörs. Det bör inte antas oberoende av det också anges att den överlämnande medlemsstaten har antagandet av rambeslutet om skydd av personuppinflytande över den vidare användningen av data i den gifter. medlemsstat som uppgifterna har överförts till. Datatillsynsmannen noterar betydelsen av denna princip som behövs för att garantera att tillgängligheten inte kommer att leda till kringgående av restriktiv nationell lagstiftning om ytterligare användning av personuppgifter. Prümkonventionen Slutanmärkning

45. Prümkonventionen väljer en annan infallsvinkel för att genomföra principen om tillgänglighet. Där föreliggande 42. Dessa inslag kräver hög nivå på personuppgiftsskyddet. förslag till rambeslut har valt en allmän infallsvinkel – utan Särskild uppmärksamhet bör ägnas åt att garantera princiatt ange några särskilda regler för utbyte av specifika perna om begränsning av ändamålet och senare behanduppgiftstyper utan regler som är tillämpliga för alla typer ling samt exakthet och tillförlitlighet när det gäller de av uppgifter i den mån de står upptagna i förteckningen i uppgifter som åtkomsten gäller (se datatillsynsmannens bilaga II (se punkterna 21–28 i detta yttrande) – är Prümyttrande om rambeslutet om skydd av personuppgifter, konventionens strategi successiv. IV.2 och IV.6).

46. Denna strategi benämns ibland en ”strategi dataområde för V. ANDRA LÖSNINGAR dataområde”. Den är tillämplig på särskilda typer av information (DNA, fingeravtrycksdata och uppgifter ur fordonsregister) och bygger på skyldigheten att ta hänsyn till Förslaget från Sverige uppgifternas särskilda natur. I konventionen fastställs skyldigheten att öppna och underhålla DNA-analysfiler för undersökning av brott. En liknande skyldighet gäller för 43. Det svenska förslaget begränsar sig inte till särskilda inforfingeravtrycksdata. När det gäller uppgifter ur fordonsremationstyper utan täcker alla information och underrättelser, gister måste direkt åtkomst ges till andra medlemsstaters också information och underrättelser som förvaltas av nationella kontaktpunkter. andra än de behöriga brottsbekämpande myndigheterna. Förslaget främjar samarbete genom att det fastställs tidsfrister för att besvara framställningar om information och genom avskaffande av åtskillnad mellan utbytet inom en 47. Prümkonventionens strategi ger upphov till tre olika slags medlemsstat och gränsöverskridande informationsutbyte. påpekanden. Inga ytterligare åtgärder föreskrivs för att garantera den faktiska åtkomsten till informationen. Av detta skäl är det förståeligt att kommissionen inte var nöjd med Sveriges förslag i sig, som ett tillfredsställande instrument för tillgänglighet ( ). 48. För det första är det överflödigt att påpeka att datatillsynsmannen inte ställer sig bakom det förfarande som leder fram till denna konvention, utanför Europeiska unio- 44. Lösningarna i det svenska förslaget har följande allmänna nens institutionella ramar, och därför utan deltagande i konsekvenser, ur ett dataskyddsperspektiv: någon större omfattning från kommissionens sida. Dessutom innebär detta att det inte förekommer någon demo- — Det är välkommet att förslaget strikt begränsas till kratisk kontroll av Europaparlamentet och ingen rättslig behandling av befintliga data och inte leder till några kontroll från domstolen och att det följaktligen finns nya databaser, inte ens till registerdata. mindre garantier för att alla (allmänna) intressen är lika avvägda. Detta innefattar dataskyddsperspektivet. Med andra ord har EU's institutioner ingen möjlighet att innan — Frånvaron av registerdata är dock inte definitionsmässigt ett positivt inslag. Registerdata kan med tillräckligt systemet upprättas bedöma effekterna av de politiska linjesäker hantering underlätta en riktad och därför mindre valen för skyddet av personuppgifter. ingripande sökning efter uppgifter av känslig karaktär. Det kan också möjliggöra bättre filtrering av sökningar och bättre övervakning. 49. För det andra är det uppenbart att vissa inslag i Prümkon- — Under alla förhållanden leder förslaget till ett ökat ventionen är klart mer ingripande för den registrerade än gränsöverskridande utbyte av personuppgifter, med förslaget till rambeslut om tillgänglighet. Konventionen risker för skyddet av personuppgifter, bl.a. eftersom leder med nödvändighet till inrättande av nya databaser som i sig medför risker för skyddet av personuppgifter. 1 Nödvändighet och proportionalitet bör visas för att dessa ( ) Se i kommissionens arbetsdokument en bilaga till förslaget till rådets rambeslut om utbyte av uppgifter enligt principen om tillgänglighet, nya databaser skall få inrättas. Lämpliga garantier för SEK 2005 (1207), 12.10.2005. skyddet av personuppgifter borde lämnas. C 116/14 SV Europeiska unionens officiella tidning 17.5.2006 En ”strategi dataområde för dataområde” inte. I ”Strategi för genomförandet av principen om tillgång” ( ) betecknas följande data som registerdata:

50. För det tredje väljer konventionen, så som redan har påpe- — Identifiering av de berörda personerna, kats, en ”strategi dataområde för dataområde”. I det föregående nämnde datatillsynsmannen de svårigheter och osäkerhetsmoment som uppkommer beroende av den — Ett identifieringsnummer för de aktuella föremålen miljö där principen om tillgänglighet skall omsättas i (fordon, handlingar), effektiv praktik. Under sådana omständigheter är det enligt datatillsynsmannen att föredra att man inte inrättar ett system för en uppsättning data, utan börjar med en försik- — Fingeravtryck/digitala foton. tigare strategi som avser en typ av data och följa upp i vilken mån principen om tillgänglighet faktiskt kan stödja brottsbekämpning, liksom särskilda risker för skyddet av En annan typ av data som skulle kunna betecknas som personuppgifter. På grundval av dessa erfarenheter kan registerdata skulle vara DNA-profiler. Denna förteckning systemet möjlighen utvidgas till andra typer av data och/ över registerdata avslöjar att registerdata kan innehålla eller ändras så att det blir mer effektivt. personuppgifter och således nödvändiggör ett tillfredsställande skydd.

51. Denna ”strategi dataområde för dataområde” skulle också vara bättre skickad att uppfylla kraven enligt proportionali- 55. Datatillsynsmannen tar särskilt upp frågan om DNAtetsprincipen. Enligt datatillsynsmannen skulle behovet av profiler. DNA-analys har visat sig ha ett avsevärt värde för ett bättre gränsöverskridande utbyte av uppgifter för brottsundersökningar, och ett effektivt utbyte av DNA-data brottsbekämpning kunna motivera antagandet av ett rätts- kan visa sig väsentligt för brottsbekämpning. Det är emelinstrument på EU-nivå, men för att vara proportionellt bör lertid nödvändigt att begreppet DNA ges en klar definition instrumentet vara lämpat för att uppnå sitt mål, vilket kan och att de särskilda kännetecknen för dessa data verkligen bli lättare att fastställa efter en period med praktiska expe- beaktas på rätt sätt. Från uppgiftsskyddssynpunkt finns det riment. Vidare bör inte instrumentet på ett oproportionellt faktiskt en stor skillnad mellan DNA-prov och DNAsätt vara till skada för den registrerade. Utbytet bör inte profiler. avse fler typer av data än som är strikt nödvändigt, med en möjlighet till anonymt datautbyte, och bör ske under iakttagande av stränga villkor för uppgiftsskydd. 56. DNA-prov (ofta insamlade och lagrade av brottsbekämpande myndigheter) bör anses vara särskilt känsliga, eftersom det är mer sannolikt att de innehåller hela DNA- 52. Vidare skulle en sådan försiktigare strategi som datatill- ”bilden”. Där kan man hämta information om genetiska synsmannen förespråkar – möjligen utöver strategin ”data- egenskaper och en individs hälsostatus, något som kan bli område för dataområde” – kunna omfatta att genomfö- aktuellt för helt olika syften, t.ex. medicinsk rådgivning till randet av tillgänglighetsprincipen inleds med enbart indi- enskilda personer eller unga par. rekt tillgång, via registerdata. Datatillsynsmannen nämner detta som en punkt som är värd övervägande i den vidare lagstiftningsprocessen. 57. DNA-profiler däremot innehåller bara en del partiell DNAinformation hämtad från DNA-provet: De kan användas för att verifiera en individs identitet, men i princip röjer de inte en individs genetiska egenskaper. Naturligtvis kan vetenskapliga framsteg medföra att den information som kan avslöjas genom DNA-profiler ökas: Något som vid en viss tidpunkt betraktas som en ”oskyldig” DNA-profil kan i VI. VILKA UPPGIFTER? ett senare skede röja mycket mer än den väntade och nödvändiga informationen, särskilt information om en individs genetiska kännemärken. Den information som kan röjas genom DNA-profiler måste alltså betraktas som dyna- 53. I bilaga II finns en uppräkning av vilka typer av uppgifter misk. som får erhållas enligt det föreslagna rambeslutet. Alla de sex typer av uppgifter som finns i förteckningen där är i de flesta sammanhang personuppgifter, eftersom de innebär ett samband till en identifierad eller identifierbar person. 58. Mot den bakgrunden noterar datatillsynsmannen att såväl Prümkonventionen som kommissionens förslag främjar utbyte av DNA-data mellan brottsbekämpande myndigheter, men att det finns betydande skillnader när det gäller 54. Enligt artikel 3 g i förslaget avses med registerdata data sättet. som sammanställts för att göra det möjligt att tydligt identifiera uppgifter och som man kan söka i med en sökmotor 1 ( ) Dokument från ordförandeskapet till rådet av den 5 april 2005 för att få veta om vissa uppgifter finns tillgängliga eller (dok. nr: 7641/05). 17.5.2006 SV Europeiska unionens officiella tidning C 116/15

59. Datatillsynsmannen välkomnar att det i kommissionens 63. Utifrån detta perspektiv vill datatillsynsmannen härmed förslag inte fastställs någon skyldighet att samla in DNA- bekräfta och införliva de redan tidigare gjorda anmärkningdata, och att utbytet av DNA-data klart begränsas till DNA- arna i sitt yttrande om rambeslutet om skydd av persoprofiler. I bilaga II definieras DNA-profiler genom en inle- nuppgifter (punkt 80). I det yttrandet påpekade datatillsyndande gemensam förteckning över DNA-markörer som smannen att det med avseende på DNA-data skulle föreanvänds vid kriminalteknisk DNA-analys i medlemssta- skrivas särskilda skyddsåtgärder för att garantera att den terna. Denna förteckning, byggd på sju DNA-markörer från tillgängliga informationen får användas endast för att idenden europeiska standarduppsättningen som definieras i tifiera individer i syfte att förebygga, upptäcka eller utreda bilaga I till rådets resolution av den 25 juni 2001 om brott; att DNA-profilernas grad av exakthet noga beaktas utbyte av resultat av DNA-analyser ( ), garanterar att DNA- och kan ifrågasättas av den registrerade med de medel som profiler inte vid sammanställning innehåller någon infor- finns omedelbart tillgängliga; det finns fullständiga garanmation om särskilda ärftliga egenskaper. tier för att personers värdighet respekteras ( ).

64. Dessa överväganden leder vidare till slutsatsen att lagstift- 60. Datatillsynsmannen framhåller att denna rådsresolution ning om upprättande av DNA-filer och utbyte av uppgifter fastställer några mycket betydelsefulla garantier särskilt från dessa filer endast bör antas efter en konsekvensanalys med avseende på DNA-profilernas dynamiska natur. Och i där man noga har kunnat bedöma fördelar och risker. avsnitt III i resolutionen rekommenderas medlemsstaterna Datatillsynsmannen rekommenderar att denna lagstiftning därefter faktiskt, efter det att utbyten av DNA-analyser skall ange skyldighet till regelbunden utvärdering efter begränsats till ”kromosomzoner […] som inte anses inne- ikraftträdandet. hålla någon information om särskilda ärftliga egenskaper” att upphöra med att använda sådana DNA-markörer som genom den vetenskapliga utvecklingen kan tänkas lämna information om särskilda ärftliga egenskaper. 65. Slutligen innehåller bilaga II andra typer av uppgifter som får utväxlas. Där ingår även uppgifter som härrör från privata organ, eftersom telefonnummer och andra uppgifter om kommunikation samt trafikuppgifter normalt härrör från telefonoperatörer. I motiveringen bekräftas att 61. Prümkonventionen ger prov på en annan infallsvinkel, där medlemsstaterna är skyldiga att se till att information som de fördragsslutande parterna åläggs skyldighet att öppna är relevant för brottsbekämpning och som innehas av och underhålla DNA-analysfiler för utredning av brott. myndigheter eller privata organ utsedda att inneha sådan Den förutsätter därför att det skapas nya DNA-databaser information, utbyts med likvärdiga behöriga myndigheter i och att DNA-data samlas in i större omfattning. Vidare är andra medlemsstater och med Europol. Förslaget gäller ju det oklart vilken sorts data som ingår i ”DNA-analysfi- personuppgifter som härrör från privata organ, men den lerna”, och konventionen tar ingen hänsyn till DNA-profi- tillämpliga rättsliga ramen bör, så som datatillsynsmannen lernas dynamiska utveckling. ser det, omfatta ytterligare garantier för att skydda den registrerade så att uppgifterna är korrekta.

62. Datatillsynsmannen påpekar att alla rättsinstrument som fastställer krav på utbyte av DNA-data bör: — klart begränsa och definiera vilken typ av DNA-information som får utbytas (också med tanke på den grundläggande skillnaden mellan DNA-prov och DNA- 66. Reglerna för skydd av personuppgifter finns inte särskilt profiler), fastställda i förslaget till rådets rambeslut, medan det däremot i andra instrument, exempelvis i Prümkonventionen eller i det svenska förslaget, finns vissa särskilda bestämmelser för skydd av personuppgifter. Bristen på — upprätta gemensamma tekniska normer med syftet att särskilda regler om skydd av personuppgifter i tillgängligundvika att variationer i praxis för kriminaltekniska hetsförslaget är godtagbar endast i den mån de allmänna databaser i medlemsstaterna leder till svårigheter och reglerna i förslaget till ett rambeslut om dataskydd inom felaktiga resultat vid utbyte av data, tredje pelaren är fullt tillämpliga och lämnar tillräckligt skydd. Vidare får inte regler om skydd för personuppgifter som fastställs genom särskilda instrument såsom det svenska förslaget och Prümkonventionen sänka den — föreskriva lämpliga rättsligt bindande garantier för att skyddsnivå som de allmänna ramarna garanterar. Datatillförebygga att vetenskapens utveckling leder till att det synsmannen rekommenderar tillägg av en specialklausul går att ur DNA-profiler få fram personuppgifter som om eventuella konflikter mellan olika regler om dataskydd. inte bara är känsliga, utan dessutom ovidkommande för det syfte för vilket de samlades in. 2 ( ) Se även Europarådets ”Lägesrapport om tillämpningen av principerna i konvention 108 på insamling och bearbetning av personliga ( ) EGT C 187, s.1. biometriska data”, februari 2005, som är inne på samma linje. C 116/16 SV Europeiska unionens officiella tidning 17.5.2006

67. På denna punkt skulle datatillsynsmannen återigen vilja enbart på grund av den mottagande myndighetens påminna om sitt yttrande om rambeslutet om skydd av annorlunda, kanske bredare, befogenheter. personuppgifter, och framhålla betydelsen av att det finns konsekventa och övergripande regler för dataskydd avseende brottsbekämpningssamarbete som är tillämpliga på all bearbetning. Därefter upprepar datatillsynsmannen Därför välkomnar datatillsynsmannen artikel 7 i det övriga punkter i yttrandet. I denna punkt betonas följande föreslagna rambeslutet, vilket bör tolkas som en specifiuppgiftsskyddsfrågor: cering av de allmänna regler som fastställs i förslaget till rambeslut om skydd av personuppgifter. Vidare noterar datatillsynsmannen att bedömningen av motsvarighet mellan olika myndigheter (i det föreliggande beslutet överlåtet till kommittéförfarande) bör — Laglig behandling av personuppgifter. Datatillutföras varsamt med vederbörlig respekt för principen synsmannen stöder synsättet att uppgifter får göras tillom ändamålsbegränsning. gängliga endast om de har samlats in lagligen (så som anges i artikel 2.2 avseende uppgifter insamlade genom tvångsåtgärder). Laglig bearbetning av personuppgifter skulle också sörja för att information som gjorts tillgänglig och utväxlats kan användas regelrätt även i en — Tidsbegränsningar för lagring av utbytta uppgifter bör rättsligt förfarande. Och även om uppgifter som också ses mot bakgrund av principen om ändamålsbebehandlats efter inledningen av ett förfarande ligger gränsning: Uppgifter som sökts eller utbytts för ett utanför tillämpningsområdet för det föreslagna instru- ändamål bör raderas så snart de inte längre behövs för mentet, är det ändå sannolikt att uppgifter som utbytts detta ändamål. Därigenom skulle onödig kopiering av tidigare av brottsbekämpande myndigheter så databaser undvikas, samtidigt som behöriga myndigsmåningom hamnar i rättsliga förfaranden. heter fortfarande tillåts åtkomst på nytt av (uppdaterad) tillgängliga uppgifter, för den händelse detta krävs för något annat legitimt ändamål. — Kvaliteten på personuppgifter är av särskild vikt, eftersom tillgänglighetsprincipen talar för att uppgif- — Registrering av uppgifter som överförts enligt tillgängterna kommer att användas av brottsbekämpande lighetsprincipen. Registrering bör ske på båda sidor: myndigheter utanför det sammanhang där de insam- Både i den anmodade och i den sökande medlemslades. Sådana myndigheter har till och med direktåt- staten. Register över åtkomst, inte bara över utbyten, komst till andra medlemsstaters databaser. Personupp- bör föras (se datatillsynsmannens yttrande om skydd av gifternas kvalitet kan endast garanteras om exaktheten personuppgifter, punkt 133), också i syfte att försäkra kontrolleras regelbundet och ordentligt, om man skiljer sig om att nationella behöriga myndigheter litar på på uppgifter efter de olika kategorier av personer som varandra och inte helt förlorar kontrollen över de tillberörs (offer, misstänkta, vittnen osv.), och vid behov gängliga uppgifterna. Behovet av att uppgifterna skall anger graden av exakthet (se yttrande från datatill- vara spårbara innebär också en möjlighet att uppdatera synsmannen om skydd av personuppgifter, IV.6). och/eller korrigera uppgifterna. — De registrerades rättigheter. System för informationsut- Genom dessa punkter framgår det åter en gång klart byte mellan EU:s brottsbekämpande myndigheter gör varför regler för uppgiftsskydd, och särskilt regler om att situationerna ökar där personuppgifter behandlas exaktheten, bör vara tillämpliga på alla sorters behand- (temporärt) samtidigt av behöriga myndigheter i olika ling, även när den sker inom landet. Annars är det medlemsstater. Detta innebär å ena sidan att gementänkbart att personuppgifter som fåtts fram genom samma EU-normer om de registrerades rättigheter bör direktåtkomst är oriktiga, inaktuella och således upprättas, och å andra sidan att de registrerade bör inskränker den registrerades rättigheter och påverkar kunna utöva sina rättigheter, i den mån detta medges effektiviteten i undersökningarna negativt. av regler om uppgiftsskydd inom tredje pelaren, avseende både myndigheter som ställer uppgifter till förfogande och myndigheter som söker på och behandlar dessa uppgifter. — Ändamålsbegränsning. Enligt principen om tillgänglighet får sökning på personuppgifter göras av motsvarande behöriga myndigheter i andra medlemsstater. Det kan emellertid skilja väsentligt mellan brottsbekäm- — Tillsyn. Datatillsynsmannen påpekar att det beroende pande myndigheters befogenheter från land till land. på omständigheterna kan finnas mer än en nationell Det är därför av vikt att se till att grundprincipen om tillsynsmyndighet som har behörighet att övervaka begränsning av ändamålet iakttas trots skillnaderna i behandlingen av personuppgifter som utförs på räckvidd när det gäller befogenheter mellan de olika grundval av de rådande förslagen. I detta avseende behöriga myndigheter som utbyter uppgifter. Uppgifter nödvändiggör direktåtkomst till brottsbekämpningsinsom samlas in och behandlas av en viss myndighet i ett formation ökad tillsyn och samordning mellan respeksärskilt syfte får då inte användas för ett annat ändamål tive nationella uppgiftsskyddsmyndigheter. 17.5.2006 SV Europeiska unionens officiella tidning C 116/17 VIII. SLUTSATSER kontroll över tillgång till och den vidare användningen av data. Allmänna slutsatser beträffande tillgänglighetsprincipen — Förslaget får inte främja en ovillkorlig sammankoppling 68. Datatillsynsmannen tar tillfället i akt för att i detta yttrande av databaser och således ett nät av databaser som det lägga fram några allmänna och mer grundläggande blir svårt att övervaka. synpunkter när det gäller frågan om utbyte av uppgifter om brottsbekämpning och om strategier för att reglera 73. Rambeslutet bör vara mer precist i fråga om inrättandet av denna fråga. Datatillsynsmannen kommer att finnas till ett system med registerdata. Det gäller särskilt med avsehands för ytterligare rådfrågning på ett senare stadium ende på följande: efter den relevanta utvecklingen i lagstiftningsprocessen — Förslaget bör ange lämpliga och tillräckliga bestämnär det gäller detta förslag eller andra besläktade förslag. melser åtminstone om skapande av registerdata, om förvaltningen av databaser med registerdata och om 69. Enligt datatillsynsmannen bör principen om tillgänglighet hur åtkomsten till registerdata lämpligen bör organigenomföras i ett bindande rättsinstrument i form av en seras. mer försiktig successiv strategi som innefattar en typ av uppgifter och övervaka i vilken mån principen om tillgäng- — Definitionen av registerdata behöver klargöras. lighet effektivt kan stödja brottsbekämpning, liksom de — Förslaget bör klargöra de nationella kontaktpunkternas specifika riskerna för skyddet av personuppgifter. Denna roll när det gäller registerdata. mer försiktiga strategi skulle kunna inkludera att man börjar med införandet av tillgänglighetsprincipen enbart i — Grundreglerna för skapande av registerdata bör ingå i form av indirekt åtkomst, via registerdata. På grundval av själva rambeslutet och inte överlåtas åt tillämpningslagdessa erfarenheter kan systemet möjligen utvidgas till andra stiftningen enligt kommittéförfarandet. typer av uppgifter och/eller ändras så att det blir mer effek- 74. Datatillsynsmannen påpekar att förslaget i den mån det tivt. fastställer krav på utbyte av DNA-uppgifter bör 70. Inga rättsinstrument om genomförande av principen om — klart begränsa och definiera vilken typ av DNAtillgänglighet bör antas utan att det i förväg antas väsentuppgifter som kan tänkas utbytas (också med tanke på liga garantier för uppgiftsskydd såsom de som ingår i den grundläggande skillnaden mellan DNA-prov och förslaget till rambeslut om skydd av personuppgifter. DNA-profiler). Rekommendationer som syftar till en ändring av förelig- — upprätta gemensamma tekniska normer med syfte att gande förslag undvika att variationer i praxis för kriminaltekniska databaser i medlemsstaterna leder till svårigheter och 71. Datatillsynsmannen rekommenderar ett klargörande av felaktiga resultat vid utbyte av uppgifter. principen om tillgänglighet enligt följande: — föreskriva lämpliga rättsligt bindande garantier för att — Lägg till en klar och precis definition av vilka uppgifter förebygga att vetenskapens utveckling leder till att det som kommer att betraktas som tillgängliga. går att ur DNA-profiler få fram personuppgifter som — Som ett första alternativ, en begränsning av räckvidden inte bara är känsliga, utan dessutom ovidkommande för tillgänglighetsprincipen till sådana uppgifter som för det syfte för vilket de samlades in. förvaltas av behöriga myndigheter. — endast antas efter en konsekvensanalys. — Som ett andra alternativ, när tillämpningsområdet är 75. Datatillsynsmannen rekommenderar att utbytet av bredare, skapande av betryggande garantier för skyddet uppgifter med Europol begränsas till Europols egna syften av personuppgifter. De frågor som tas upp under punkt enligt artikel 2 i Europolkonventionen och i bilagan. 27 i detta yttrande måste beaktas.

72. Datatillsynsmannen gör följande påpekanden om direkt tillgång till databaser av en behörig myndighet i en annan medlemsstat: Utfärdad i Bryssel den 28 februari 2006 — Det krävs en ordentlig behandling av frågan, eftersom Peter HUSTINX de utsedda myndigheterna i den ursprungliga medlemsstaten när det gäller direkt tillgång inte har någon Europeiska datatillsynsmannen