Agency for large-scale IT systems

19.3.2010 Europeiska SV unionens officiella tidning C 70/13

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannenom förslaget till Europaparlamentets och rådets förordning om inrättande av en byrå för den operativa förvaltningen av stora it system inom området med frihet, säkerhet och rättvisa, ochom förslaget till rådets beslut om överförande av uppgifter som rör den operativa förvaltningen av SIS II och VIS till den byrå som inrättas genom förordning XX med tillämpning av avdelning VI i EU fördraget

(2010/C 70/02)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA lamentets och rådets förordning om inrättande av byrån YTTRANDE och ett förslag till rådets beslut om att till den byrån över­ föra uppgifter som rör den operativa förvaltningen av SIS II och VIS med tillämpning av avdelning VI i EU-fördraget ( 3 ). De två förslagen redovisas mer utförligt i ett meddelande med beaktande av fördraget om Europeiska unionens funktions­ som antogs samma dag ( 4 ). Den 11 augusti 2009 översän­ sätt, särskilt artikel 16, des förslagen och meddelandet till datatillsynsmannen för samråd tillsammans med konsekvensbedömningen och sammanfattningen av konsekvensbedömningen ( 5 ).

med beaktande av Europeiska unionens stadga om de grund­ läggande rättigheterna, särskilt artikel 8,

2. Den rättsliga grunden för den föreslagna förordningen åter­ finns i avdelning IV i EG-fördraget. Eftersom användningen med beaktande av Europaparlamentets och rådets direktiv av SIS II och VIS för polissamarbete och straffrättsligt sam­ 95/46/EG av den 24 oktober 1995 om skydd för enskilda arbete för närvarande grundas på avdelning VI i EU-fördra­ personer med avseende på behandling av personuppgifter och get kompletteras den föreslagna förordningen av ett förslag om det fria flödet av sådana uppgifter ( 1 ), och till rådets beslut, som grundas på avdelning VI i EU-för­ draget. med beaktande av begäran om ett yttrande i enlighet med artikel 28.2 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behand­ 3. I rättsakterna om inrättande av SIS II, VIS och Eurodac lar personuppgifter och om den fria rörligheten för sådana fastställs att kommissionen ska ansvara för den operativa uppgifter, som översändes till datatillsynsmannen förvaltningen av dessa tre system ( 6 ). När det gäller SIS II den 11 augusti 2009 ( 2 ). och VIS är detta enbart avsett för en övergångsperiod, och därefter ska en förvaltningsmyndighet överta den operativa förvaltningen. I ett gemensamt uttalande av den 7 juni 2007 uppmanade Europaparlamentet och rådet kommissio­ HÄRIGENOM FRAMFÖRS FÖLJANDE. nen att, utifrån en konsekvensbedömning där olika alterna­ tiv analyserades, lägga fram de lagförslag som krävs för att överföra den långsiktiga operativa förvaltningen av SIS II och VIS till en byrå ( 7 ). Denna uppmaning har lett till de I. INLEDNING – BAKGRUND TILL YTTRANDET föreliggande förslagen.

1. Den 24 juni 2009 antog kommissionen ett lagstiftnings­ ( 5 ) Se SEK(2009) 836 slutlig och SEK(2009) 837 slutlig. paket om inrättande av en byrå för den operativa förvalt­ ( 6 ) Se artikel 15 i förordning (EG) nr 1987/2006 om SIS II (EUT L 381, ningen av stora it-system inom området med frihet, säker­ 28.12.2006, s. 4), artikel 26 i förordning (EG) nr 767/2008 om VIS (EUT L 218, 13.8.2008, s. 60) och artikel 13 i rådets förordning het och rättvisa. Paketet består av ett förslag till Europapar­ (EG) nr 2725/2000 (EGT L 316, 15.12.2000, s. 1). ( 7 ) Se gemensamt uttalande av den 7 juni 2007, som är fogat till ( 1 ) EGT L 281, 23.11.1995, s. 31. parlamentets lagstiftningsresolution av den 7 juni 2007 om den ( 2 ) EGT L 8, 12.1.2001, s. 1. föreslagna VIS-förordningen. C 70/14 SV Europeiska unionens officiella tidning 19.3.2010

4. Den byrå som inrättas genom den föreslagna förordningen Samråd med datatillsynsmannen kommer att ansvara för den operativa förvaltningen av SIS II och VIS, men även för Eurodac och eventuella andra 8. Datatillsynsmannen välkomnar att samråd hålls i denna stora it-system. Hänvisningen till ”andra stora it-system” fråga och rekommenderar att det hänvisas till detta samråd kommer att diskuteras i punkterna 28–31 i detta yttrande. i skälen till förslaget, på samma sätt är brukligt för rätt­ Enligt ingressen till den föreslagna förordningen är skälen sakter om vilka samråd har hållits med datatillsynsmannen till att föra in de tre stora it-systemen, och eventuella andra i enlighet med förordning (EG) nr 45/2001. system, under ledningen av en byrå att skapa synergier och stordriftsfördelar, att uppnå en kritisk massa samt att ga­ rantera högsta möjliga utnyttjandegrad av kapital och per­ sonalresurser ( 8 ). 9. Informella samråd har hållits med datatillsynsmannen innan förslaget antogs. Datatillsynsmannen välkomnade detta in­ formella samråd och hälsar med tillfredsställelse att de flesta av datatillsynsmannens anmärkningar har beaktats i det slutliga förslaget.

5. Genom den föreslagna förordningen inrättas en byrå med ställning som juridisk person som är självbestämmande i rättsligt, administrativt och finansiellt hänseende. Byrån 10. Självfallet följer datatillsynsmannen noga utvecklingen be­ kommer att utföra de uppgifter som åligger förvaltnings­ träffande inrättandet av byrån som förväntas få ansvaret för myndigheten (eller kommissionen) enligt beskrivningen i att databaser som SIS II, VIS och Eurodac, som innehåller rättsakterna om inrättande av SIS II, VIS och Eurodac. By­ stora mängder personuppgifter, hanteras på ett riktigt och rån ska dessutom följa upp forskningen och, efter särskild säkert sätt. Datatillsynsmannen motsätter sig inte att en begäran av kommissionen, genomföra pilotprojekt för ut­ sådan byrå inrättas, vilket kommer att redovisas mer utför­ veckling eller operativ förvaltning av stora it-system med ligt i detta yttrande, så länge vissa eventuella risker som tillämpning av avdelning IV i EG-fördraget och eventuellt skulle kunna få omfattande konsekvenser för enskilda indi­ även det bredare området för frihet, säkerhet och rättvisa viders integritet behandlas tillräckligt ingående i de(n) (se punkterna 28–31 nedan). grundläggande rättsakten/rättsakterna.

11. Denna uppfattning utvecklas mer utförligt i del III och del 6. Byråns förvaltnings- och ledningsstruktur ska bestå av en IV i datatillsynsmannens yttrande, men dessförinnan görs styrelse, med en företrädare för varje medlemsstat och två en analys i del II av konsekvenserna för de föreliggande företrädare för kommissionen, en verkställande direktör förslagen av Lissabonfördraget, som trädde i kraft som utses av styrelsen och rådgivande grupper, som bistår den 1 december 2009. I del V återfinns datatillsynsman­ styrelsen med sakkunskap om respektive it-system. I nulä­ nens anmärkningar när det gäller en rad specifika bestäm­ get förutses i förslaget tre rådgivande grupper för SIS II, VIS melser i båda förslagen. och Eurodac.

12. Europeiska unionens juridiska form har förändrats radikalt i 7. Genom det föreslagna rådsbeslutet överförs till byrån de och med ikraftträdandet av Lissabonfördraget uppgifter som genom rådets beslut 2007/533/RIF om SIS den 1 december 2009. EU:s behörighet har vidgats och II och rådets beslut 2008/633/RIF om VIS ålades förvalt­ lagstiftningsförfarandena har anpassats, särskilt när det gäl­ ningsmyndigheten ( 9 ). Enligt det föreslagna beslutet beviljas ler området med frihet, säkerhet och rättvisa. Datatillsyns­ dessutom Europol observatörsställning vid byråns styrelse­ mannen har analyserat konsekvenserna av förändringarna i möten då en fråga rörande SIS II eller VIS står på dagord­ fördragen för de föreliggande förslagen. ningen. Europol får också utse en företrädare till de rådgi­ vande grupperna för SIS II och VIS ( 10 ). Även Eurojust har observatörsställning och får utse en företrädare, men bara i rådgivande grupper för SIS II. 13. De rättsliga grunder som nämns i den föreslagna förord­ ningen är artiklarna 62.2 a, 62.2 b ii, 63.1 a, 63.3 b och ( 8 ) Se skäl 5 i den föreslagna förordningen. 66 i EG-fördraget. Texten i dessa artiklar kan i stor ut­ ( 9 ) EUT L 205, 7.8.2007, s. 63 och EUT L 218, 13.8.2008, s. 129. sträckning spåras i artiklarna 77.1 b, 77.2 b, 77.2 a, ( 10 ) Om Europol beviljas tillgång till Eurodac sedan det föreslagna råds­ beslutet om medlemsstaternas brottsbekämpande myndigheters och 78.2 e, 79.2 c och 74 i EUF-fördraget. Lagstiftningsför­ Europols framställningar om jämförelser med Eurodacuppgifter i farandet för antagande av åtgärder på dessa rättsliga grun­ brottsbekämpande syfte antagits (se KOM(2009) 344 slutlig), kom­ der kommer inte att ändras – medbeslutandeförfarandet har mer Europol sannolikt att få rätt till samma ställning i förhållande varit och kommer fortfarande att vara tillämpligt men kal­ till Eurodac. Se dock Europeiska datatillsynsmannens kritiska ytt­ las numera det ”ordinarie lagstiftningsförfarandet”. Kon­ rande av den 7 oktober 2009 rörande det föreslagna rådsbeslutet, sekvenserna av de ändrade fördragen för den rättsliga grun­ som finns tillgängligt på: http://www.edps.europa.eu/EDPSWEB/ webdav/site/mySite/shared/Documents/Consultation/Opinions/ den och lagstiftningsförfarandet för den föreslagna förord­ 2009/09-10-07_Access_Eurodac_EN.pdf ningen förefaller därför bli begränsade. 19.3.2010 Europeiska SV unionens officiella tidning C 70/15

14. Det föreslagna rådsbeslutet grundas för närvarande på ar­ — Nuvarande ordning består, dvs. kommissionen står för tiklarna 30.1 a, 30.1 b och 34.2 c i EU-fördraget. I de nya förvaltningen vilket, i fråga om SIS II och VIS, innebär fördragen har artikel 34 i EU-fördraget upphävts. att uppgifter delegeras till två medlemsstater (Österrike Artikel 30.1 a ersätts med artikel 87.2 a i EUF-fördraget, och Frankrike). där en grund inrättas för åtgärder avseende insamling, lag­ ring, behandling, analys och utbyte av relevant information, som antagits i enlighet med det ordinarie lagstiftningsför­ farandet. Artikel 30.1 b i EU-fördraget, som berör operativt — Samma som alternativ 1, men kommissionen delegerar samarbete mellan de behöriga myndigheterna, ersätts med även den operativa förvaltningen av Eurodac till myn­ artikel 87.3 i EUF-fördraget, där ett särskilt lagstiftningsför­ digheter i medlemsstaterna. farande föreskrivs som innebär att rådet ska besluta med enhällighet efter att ha hört Europaparlamentet. Eftersom de två lagstiftningsförfarandena inte är förenliga med varandra — En ny byrå inrättas. kan artiklarna 87.2 a och 87.3 i EUF-fördraget inte längre utgöra en kombinerad rättslig grund för rådets beslut. Där­ för måste ett val göras. — Den operativa förvaltningen överlämnas till Frontex.

15. Datatillsynsmannen anser att artikel 87.2 a i EUF-fördraget — Den operativa förvaltningen av SIS II överlämnas till kan vara den enda rättsliga grunden för den föreslagna Europol och kommissionen behåller förvaltningen av åtgärden. Det skulle också vara det bästa alternativet efter­ VIS och Eurodac. som användningen av det ordinarie lagstiftningsförfarandet innebär att Europaparlamentet är helt och hållet delaktigt och säkerställer förslagets demokratiska legitimitet ( 11 ). Där­ vidlag måste betonas att förslaget gäller inrättandet av en Kommissionen har analyserat dessa alternativ ur fyra olika byrå som kommer att ansvara för skyddet av personupp­ aspekter: driften, ledningen, finansiella frågor och rättsliga gifter, som härrör från en grundläggande rättighet som frågor. erkänns i artikel 16 i EUF-fördraget och artikel 8 i stadgan om de grundläggande rättigheterna, som är bindande sedan den 1 december 2009. 19. I sin analys av den rättsliga aspekten jämförde kommissio­ nen dessa olika strukturer i fråga om effektivitet när det gäller att garantera grundläggande fri- och rättigheter, sär­ skilt skyddet av personuppgifter. Slutsatsen blev att alterna­ tiven 3 och 4 var att föredra i det avseendet ( 12 ). När det 16. Genom att artikel 87.2 a i EUF-fördraget blir den enda gäller de två förstnämnda alternativen framhöll kommissio­ rättsliga grunden blir det dessutom möjligt för kommissio­ nen de eventuella svårigheterna med datatillsynsmannens nen att sammanföra de två föreliggande förslagen till en övervakning, som diskuterades under utvecklingen av SIS enda rättsakt för inrättandet av byrån, en förordning som II. För de två förstnämnda alternativen hänvisade kommis­ antas i enlighet med det ordinarie lagstiftningsförfarandet. sionen dessutom till den besvärliga ansvarssituationen, som härrör från artikel 288 i EG-fördraget (numera artikel 340 i EUF-fördraget) om den förvaltning som genomförs av den nationella personalen skulle ifrågasättas. 17. Datatillsynsmannen uppmanar under alla omständigheter kommissionen att klargöra situationen med kort varsel.

20. Datatillsynsmannen instämmer med kommissionen i att, sett från datatillsynsmannens tillsynsperspektiv, en eu­ ropeisk enhet skulle vara att föredra, som ansvarar för den operativa förvaltningen av ett stort it-system som SIS III. INRÄTTANDET AV EN BYRÅ UR UPPGIFTSSKYDDS­ II, VIS och Eurodac. Om en enda enhet inrättades skulle det dessutom leda till att ansvarsfrågor och frågor om tillämp­ 18. Som redan nämnts i punkt 3 uppmanade Europaparlamen­ lig lag klargjordes. Förordning (EG) nr 45/2001 skulle vara tet och rådet kommissionen att analysera alternativ och tillämplig på all verksamhet vid en sådan europeisk enhet. lägga fram de lagförslag som krävs för att överföra den långsiktiga operativa förvaltningen av SIS II och VIS till en byrå. Eurodac lades till av kommissionen. I konsekvens­ 21. Nästa fråga är dock vilken typ av europeisk enhet det bör bedömningen redogör kommissionen för följande vara. Kommissionen diskuterar inrättandet av en ny byrå fem alternativ för den operativa förvaltningen av de tre och användningen av två befintliga enheter, nämligen Fron­ systemen: tex och Europol. Det finns ett starkt argument mot att Frontex och Europol skulle sköta den operativa förvalt­ ( 11 ) I den s.k. titandioxiddomen fäste domstolen särskild vikt vid Euro­ ningen av stora it-system, eftersom Frontex och Europol i paparlamentets deltagande i beslutsprocessen, se domstolens dom av den 11 juni 1991, Kommissionen mot rådet, Mål C-300/89, [REG] 1991, s. I-2867, punkt. 20. ( 12 ) Se konsekvensbedömningen s. 32. C 70/16 SV Europeiska unionens officiella tidning 19.3.2010 fullgörandet av sina egna uppgifter, har ett eget intresse i samma byrå sköter bör därför begränsas till ett antal som användningen av personuppgifter. Europols tillgång till SIS möjliggör tillräckliga garantier för skyddet av uppgifter. II och VIS har redan slagits fast, och lagstiftning om Eu­ Med andra ord bör inte utgångspunkten vara att föra sam­ ropols tillgång till Eurodac diskuteras för närvarande ( 13 ). man den operativa förvaltningen av så många stora it- Datatillsynsmannen anser att ett alternativ där den kom­ system som möjligt under en byrå. binerade operativa förvaltningen av en stor databas som SIS II, VIS och Eurodac överlåts till en oberoende enhet som inte har något eget intresse i egenskap av användare av databasen skulle vara att föredra. Därmed minskar risken för att uppgifter används på ett felaktigt sätt. Datatillsyns­ IV.1 Funktionsglidning mannen vill här lyfta fram den grundläggande uppgifts­ skyddsprincipen om ändamålsbegränsning, som kräver att 26. Farhågorna för funktionsglidning sammanhänger med tan­ personuppgifter inte får användas för ändamål som är oför­ ken att den nya byrån kommer att på eget initiativ kunna enliga med det ändamål för vilket uppgifterna ursprung­ skapa och kombinera redan befintliga och nya stora it-sysligen behandlades ( 14 ). tem i en omfattning som just nu inte går att förutse. Data­ tillsynsmannen anser att denna funktionsglidning hos byrån går att undvika om, för det första, omfattningen av byråns (eventuella) verksamhet begränsas och definieras tydligt i 22. Ett alternativ som kommissionen inte diskuterar är att den rättsakt genom vilken den inrättas och, för det andra, kommissionen själv skulle stå för den operativa förvalt­ det säkerställs att varje utvidgning av verksamhetens om­ ningen av systemen, utan någon delegering till nationell fattning grundas på ett demokratiskt beslutsförfarande, van­ nivå. Ett näraliggande alternativ är inrättande av en exekutiv ligtvis det ordinarie lagstiftningsförfarandet. byrå i stället för en byrå. Även om det inte finns något principiellt från uppgiftsskyddssynpunkt som talar emot att kommissionen själv övertar uppgiften (kommissionen själv är inte användare av dessa system), menar datatillsynsman­ nen att det finns praktiska fördelar med en separat byrå. 27. När det gäller begränsningen av byråns (eventuella) verk­ Valet av en byrå i stället för en exekutiv byrå kan också samhet talas i det föreliggande förslaget i artikel 1 både om välkomnas, eftersom det hindrar att byrån, och dess verk­ operativ förvaltning av SIS II, VIS och Eurodac samt om samhet inrättas och fastställs enbart på grundval av ett utvecklingen och förvaltningen av andra storskaliga it-sy­ kommissionsbeslut. Den aktuella byrån skulle inrättas på stem, med tillämpning av avdelning IV i EG-fördraget. När grundval av en förordning som har antagits i enlighet det gäller fastställande av omfattningen leder det sist­ med det ordinarie lagstiftningsförfarandet och är därför un­ nämnda till följande tre frågor: Vad menas med ”utveck­ derkastad ett demokratiskt beslut. ling”, vad menas med ”storskaliga it-system” och vad är innebörden i den fras som följer efter kommatecknet? Dessa tre frågor kommer att beröras nedan, i omvänd ord­ ning. 23. Datatillsynsmannen ser fördelarna med att inrätta en obe­ roende byrå. Datatillsynsmannen vill dock understryka att en sådan byrå endast bör inrättas under förutsättning att omfattningen av dess verksamhet och ansvar definieras tyd­ ligt. Vad är innebörden i frasen ”med tillämpning av avdelning IV i EG-fördraget”?

28. Frasen ”med tillämpning av avdelning IV i EG-fördraget” innebär en begränsning av vilka stora it-system som byrån IV. TVÅ ALLMÄNNA FARHÅGOR NÄR DET GÄLLER IN­ kan ansvara för. Datatillsynsmannen noterar emellertid att denna fras innebär en mer begränsad omfattning av even­ 24. Under den pågående lagstiftningsdebatten och offentliga tuell verksamhet än vad som följer av rubriken på den debatten om detta förslag har farhågor förts fram om en föreslagna förordningen samt skälen 4 och 10. Dessa texter eventuell ”storebrorsmyndighet”. Sådana uttalanden är skiljer sig från artikel 1 i den meningen att de omfattar ett kopplade till en eventuell funktionsglidning, men också större område: i dessa texter hänvisas till området med till frågan om driftskompatibilitet mellan de olika it-syste­ frihet, säkerhet och rättvisa i stället för till det mer begrän­ men. Dessa två farhågor kommer att beröras i denna del av sade behörighetsområdet enligt avsnitt IV i EG-fördraget yttrandet. (visering, asyl, invandring och annan politik som rör fri rörlighet för personer).

25. Datatillsynsmannen vill dock först framföra – som ett grun­ dantagande – att risken för misstag eller missbruk av per­ sonuppgifter kan öka när större it-system anförtros samma 29. Skillnaden mellan avdelning IV i EG-fördraget och det vi­ driftsledning. Det totala antalet stora it-system som en och dare begreppet området med frihet, säkerhet och rättvisa (som också innefattar avdelning VI i EU-fördraget) noteras i 13 artikel 6 i den föreslagna förordningen, där punkt 1 berör ( ) För det sistnämnda, se datatillsynsmannens yttrande av den 7 oktober 2009 som det hänvisas till i fotnot 10. byråns möjlighet att genomföra pilotprojekt för utveckling ( 14 ) Se artikel 4.1 b i förordning (EG) nr 45/2001. eller operativ förvaltning av stora it-system med tillämpning 19.3.2010 Europeiska SV unionens officiella tidning C 70/17 av avdelning IV i EG-fördraget, och punkt 2 berör möjlig­ mationssystemet för utbyte av uppgifter ur kriminalregister heten att pilotprojekt avseende andra stora it-system ge­ (Ecris) ( 15 ). För att förebygga alla framtida missförstånd upp­ nomförs av byrån inom området med frihet, säkerhet och rätt­ manar datatillsynsmannen lagstiftaren att förtydliga begrep­ visa. Artikel 6.2 överensstämmer egentligen inte med pet ”stora it-system” i samband med inrättandet av byrån. artikel 1 i den föreslagna förordningen. Vad menas med ”utveckling” av stora it-system?

30. Det faktum att artikel 1 strider mot titeln på den föreslagna 33. Vid sidan av den operativa förvaltningen av stora it-system förordningen samt mot skälen 4 och 10 och artikel 6.2 kommer byrån också att utföra de uppgifter som fastställs i måste få en lösning. Med hänvisning till grundantagandet i artikel 5 (uppföljning av forskning) och artikel 6 (pilotpro­ punkt 25 ovan anser datatillsynsmannen att det i nuläget jekt). Den första uppgiften innefattar övervakning av rele­ skulle vara att rekommendera att behörighetsområdet be­ vant forskning och rapportering av detta till kommissionen. gränsas till stora it-system med tillämpning av avdelning IV Verksamhet i samband med pilotprojekten är genom­ i EG-fördraget. Sedan Lissabonfördragets ikraftträdande förande av pilotprojekt för utveckling eller operativ förvalt­ den 1 december 2009 skulle detta innebära en begränsning ning av stora it-system (se emellertid kommentarerna i till de politiska områden som nämns i kapitel 2 i avsnitt V i punkt 31 ovan). I artikel 6 fastställs vad som avses med EUF-fördraget. Sedan erfarenheter vunnits och byråns funk­ ”utveckling”. Användningen av ordet i artikel 1 leder till tionssätt utvärderats med positivt resultat (se artikel 27 i tanken att byrån kan ansvara för utvecklingen av stora itförslaget och synpunkterna i punkt 49 nedan) kan kanske system på eget initiativ. Detta är dock uteslutet genom hänvisningen i artikel 1 vidgas till att omfatta hela området formuleringen i artikel 6.1 och 6.2. Där anges klart och med frihet, säkerhet och rättvisa, så länge ett sådant beslut tydligt att byrån får göra det ”på särskild och preciserad grundas på det ordinarie lagstiftningsförfarandet. begäran av kommissionen”. Med andra ord ligger initiativet till utvecklingen av nya stora it-system hos kommissionen. Varje beslut om att faktiskt inrätta ett nytt stort it-system bör självfallet grundas på de lagstiftningsförfaranden som föreskrivs i EUF-fördraget. För att ytterligare förstärka for­ 31. Om lagstiftaren skulle välja en omfattning som kan härle­ muleringen i artikel 6 i den föreslagna förordningen skulle das från titeln och skälen 4 och 10 bör en annan fråga som lagstiftaren kunna lägga till ordet ”endast” i början av rör artikel 6.2 klargöras. I motsats till den första punkten i artikel 6.1 och 6.2. artikel 6 preciseras inte i den andra punkten att genom­ förandet av pilotprogram avser utveckling eller operativ för­ valtning av stora it-system. Den avsiktliga skillnaden mellan de två punkterna och avsaknaden av en tilläggsformulering Sammanfattning i den andra punkten leder till frågan vad kommissionen egentligen har försökt åstadkomma. Innebär det att de pi­ 34. Som tidigare sagts kan risken för funktionsglidning hos lotprojekt som omnämns i den första punkten bör omfatta byrån undvikas om, för det första, omfattningen av byråns en bedömning av eventuell utveckling och operativ förvalt­ (eventuella) verksamhet begränsas och definieras tydligt i ning som görs av den nya byrån, och att en sådan bedöm­ den rättsakt genom vilken den inrättas och, för det andra, ning inte ingår i pilotprojekten enligt den andra punkten? det säkerställs att varje utvidgning av verksamhetens om­ Om så är fallet bör det förtydligas i texten, eftersom ett fattning grundas på en demokratisk beslutsprocess, vanligt­ utelämnande av ett förtydligande inte utesluter att byrån vis det ordinarie lagstiftningsförfarandet. Den föreliggande inför och står för operativ förvaltning av sådana system. texten innehåller redan förtydliganden som begränsar risken Om kommissionen menade någonting annat bör detta för funktionsglidning. också förtydligas.

35. Viss osäkerhet kvarstår emellertid i fråga om den exakta omfattningen av den nya byråns eventuella verksamhet. Vad är ett stort it-system? Lagstiftaren bör, först och främst, förtydliga och medvetet fastställa om verksamhetens omfattning är begränsad till 32. Begreppet ”stora it-system” kan diskuteras. Det finns inte kapitel 2 i avdelning V i EUF-fördraget eller om den even­ alltid en gemensam uppfattning om vilka system som ska tuellt ska omfatta alla stora it-system som utvecklas på betraktas som stora it-system och vilka som inte ska det. Tolkningen av begreppet får viktiga konsekvenser för om­ ( 15 ) För Prümsystemet, se rådets beslut 2008/615/RIF och fattningen av byråns eventuella framtida verksamhet. Det 2008/616/RIF av den 23 juni 2008 om ett fördjupat gränsöver­ gemensamma draget för de tre stora it-system som nämns skridande samarbete, särskilt för bekämpning av terrorism och uttryckligen i förslaget är lagring av uppgifter i en centra­ gränsöverskridande brottslighet (EUT L 210, 6.8.2008, s. 1 och liserad databas som kommissionen (för närvarande) ansva­ EUT L 210, 6.8.2008, s. 12) och datatillsynsmannens yttranden rar för. Det framgår inte klart om byråns eventuella fram­ av den 4 april 2007 (EUT C 169, 21.7.2007, s. 2) och den tida verksamhet begränsas till stora it-system med detta 19 december 2007 (EUT C 89, 10.4.2008, s. 1). För Ecris, se rådets beslut 2009/316/RIF av den 6 april 2009 om inrättande av det kännetecken, eller om decentraliserade system också kan europeiska informationssystemet för utbyte av uppgifter ur krimi­ ingå, där kommissionens ansvar begränsas till utveckling nalregister (Ecris) (EUT L 93, 7.4.2009, s. 33) och datatillsynsman­ och underhåll av den gemensamma infrastrukturen i ett nens yttrande av den 16 september 2008 (EUT C 42, 20.2.2009, sådant system, t.ex. Prümsystemet och det europeiska infor­ s. 1). C 70/18 SV Europeiska unionens officiella tidning 19.3.2010 området med frihet, säkerhet och rättvisa. Lagstiftaren bör liga säkerhetsåtgärder för att förhindra all eventuell samman­ för det andra förtydliga begreppet ”stora it-system” inom koppling av de stora it-system som den förvaltar (angående denna ram och klargöra om det är begränsat till stora it- säkerhetsåtgärder, se även punkterna 46 och 47). system för lagring av uppgifter i en centraliserad databas som kommissionen eller byrån ansvarar för. För det tredje kan texten i artikel 6 förstärkas ytterligare, även om den redan förhindrar att byrån på eget initiativ utvecklar nya it- 39. Driftskompatibilitet (planerad eller eventuellt planerad i system, genom att ordet ”endast” läggs till i punkterna 1 framtiden) kan ingå i kommissionens begäran att byrån och 2, om den sistnämnda bibehålls. ska genomföra ett pilotprojekt för utvecklingen av ett nytt stort it-system, som beskrivs i artikel 6 i den före­ slagna förordningen. Det leder också till frågan hur kom­ missionen kommer att gå till väga för att begära ett sådant pilotprojekt av byrån. Kommissionens begäran bör under IV.2 Driftskompatibilitet alla omständigheter grundas på åtminstone en preliminär bedömning av huruvida det stora it-systemet i sig, och 36. Begreppet ”driftskompatibilitet” är inte entydigt. Datatill­ driftskompatibiliteten i synnerhet, är förenligt med kraven synsmannen drog den slutsatsen i sina synpunkter av på uppgiftsskydd och mer generellt med den rättsliga grun­ den 10 mars 2006 om kommissionens meddelande om 16 den för inrättande av dessa system. Vidare kan ett obligato­ interoperabilitet mellan EU:s databaser ( ). När det gäller riskt samråd med Europaparlamentet och datatillsynsman­ den nya byrån måste begreppet driftskompatibilitet tolkas nen ingå i förfarandet inför en sådan begäran. Själva begä­ som att det innefattar risken för att flera stora it-system ran från kommissionen till byrån bör under alla omstän­ förs in under en enda byrås operativa förvaltning och att digheter göras tillgänglig för alla berörda parter, inklusive liknande teknik kommer att användas för alla system vilka parlamentet och datatillsynsmannen. Datatillsynsmannen därmed lätt kan kopplas samman. Rent generellt instämmer uppmanar lagstiftaren att tydligt klargöra detta förfarande. datatillsynsmannen i denna farhåga. I sina synpunkter av den 10 mars 2006 konstaterade datatillsynsmannen att det faktum att det blir tekniskt genomförbart att koppla sam­ man olika stora it-system utgör en stark drivkraft att fak­ tiskt göra det. Detta är ett starkt skäl till att återigen betona V. SÄRSKILDA KOMMENTARER vikten av reglerna för uppgiftsskydd. Datatillsynsmannen underströk därför att driftskompatibilitet mellan stora it- Skäl 16 och artikel 25 i den föreslagna förordningen: hänvis­ system endast kan möjliggöras med full respekt för princi­ ningar till förordning (EG) nr 45/2001 perna om uppgiftsskydd och särskilt med full respekt för den tidigare nämnda principen om ändamålsbegränsning 40. I och med den föreslagna förordningen inrättas en obero­ (se punkt 21 ovan). ende byrå med ställning som juridisk person. I skäl 6 i den föreslagna förordningen anges att en sådan byrå inrättas eftersom förvaltningsmyndigheten bör vara självbestäm­ mande i rättsligt, administrativt och finansiellt hänseende. Som redan konstaterats i punkt 20 ovan innebär inrättan­ det av en enda enhet att ansvarsfrågor och frågor om till­ 37. Det eventuella incitamentet att göra stora it-system kom­ lämplig lag klargörs. patibla om teknik används som underlättar sammankopp­ lande har emellertid inte nödvändigtvis något att göra med inrättandet av en ny byrå. Även utan en sådan byrå skulle system kunna utvecklas på liknande sätt som kan leda till driftskompatibilitet. 41. I artikel 25 i den föreslagna förordningen bekräftas att den nya byråns behandling av information omfattas av förord­ ning (EG) nr 45/2001. I skäl 16 framhålls också att detta innebär att datatillsynsmannen ska ha rätt att från byrån erhålla alla uppgifter som denne behöver för sina under­ 38. Vilken struktur som än väljs för den operativa förvaltningen sökningar. kan driftskompatibilitet möjliggöras endast om det är för­ enligt med reglerna om uppgiftsskydd och själva beslutet om detta grundas på ett ordinarie lagstiftningsförfarande. Av den föreslagna förordningen framgår att beslutet att 42. Datatillsynsmannen välkomnar att tillämpligheten av för­ göra stora it-system driftskompatibla inte är ett beslut ordning (EG) nr 45/2001 på den nya byråns verksamhet som byrån kan fatta (se även analysen i punkt 33 ovan). understryks på det sättet. I det föreslagna rådsbeslutet sak­ För att uttrycka det ännu tydligare, enligt kommissionens nas en hänvisning till förordning (EG) nr 45/2001, trots att meddelande om EU:s tillsynsmyndigheter av den 11 mars det är uppenbart att byrån också kommer att vara bunden 2008 får kommissionen inte delegera befogenheten att anta av bestämmelserna i den förordningen när databasen an­ allmängiltiga bestämmelser till en byrå ( 17 ). Så länge ett vänds för verksamhet inom ramen för polissamarbete och sådant beslut inte har fattats måste byrån tillämpa ordent­ straffrättsligt samarbete. I och med Lissabonfördragets ikraftträdande, och om lagstiftaren beslutar att bibehålla ( 16 ) Datatillsynsmannens synpunkter av den 10 mars 2006 återfinns på uppdelningen mellan två rättsakter (se synpunkterna i del http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/ II ovan) finns ingen anledning att inte hänvisa till förord­ Documents/Consultation/Comments/2006/06-03-10_ Interoperability_EN.pdf ning (EG) nr 45/2001 också i skälen och/eller bestämmel­ ( 17 ) KOM(2008) 135 slutlig, s. 5. serna i rådets beslut. 19.3.2010 Europeiska SV unionens officiella tidning C 70/19 Artikel 9.1 o i den föreslagna förordningen: uppgiftsskyddsombud hetsplan (se artiklarna 14.6. g och 9.1 n). Säkerheten nämns också i artikel 26, som gäller säkerhetsbestämmelser

43. Datatillsynsmannen hälsar också med tillfredsställelse att om skydd av sekretessbelagda uppgifter och uppgifter som utnämningen av ett uppgiftsskyddsombud anges uttryckli­ inte är sekretessbelagda men av känslig natur. Hänvisning gen i artikel 9.1 o i den föreslagna förordningen. Datatill­ görs till kommissionens beslut 2001/844/EG, EKSG, Eura­ synsmannen vill betona vikten av att utnämna ett uppgifts­ tom ( 19 ) av den 29 november 2001 och i punkt 2 till de skyddsombud i ett tidigt skede, med beaktande av datatill­ säkerhetsprinciper för behandling av icke sekretessbelagd synsmannens ståndpunktsdokument om uppgiftsskydds­ men känslig information som antagits och genomförts av ombud ( 18 ). Europeiska kommissionen. Bortsett från de synpunkter som följer i nästa punkt rekommenderar datatillsynsmannen lagstiftaren att även ta med en hänvisning till specifik do­ kumentation i punkt 2, eftersom den punkten är ganska Artikel 9.1 i och 9.1 j i den föreslagna förordningen: årligt vag i sin nuvarande lydelse. arbetsprogram och verksamhetsrapport

44. Datatillsynsmannen har, på grundval av förordning (EG) nr 45/2001 och genom rättsakter om inrättande av it-sy­ 47. Datatillsynsmannen vill framhålla att rättsakterna som lig­ stemen, kontrollbefogenheter över byrån. Dessa befogenhe­ ger till grund för SIS II, VIS och Eurodac innehåller utför­ ter, som finns förtecknade i artikel 47 i förordning (EG) liga säkerhetsbestämmelser. Det är inte självklart att dessa nr 45/2001, åberopas oftast då reglerna för uppgiftsskydd specifika bestämmelser helt och hållet liknar eller är helt redan har överträtts. Datatillsynsmannen är angelägen om förenliga med de regler som det hänvisas till i artikel 26. att få regelbunden information, inte bara i efterhand utan Eftersom den högsta säkerhetsnivån bör säkerställas genom även i förhand, om byråns verksamhet. Datatillsynsmannen säkerhetsplanen rekommenderar datatillsynsmannen lagstif­ har nyligen utvecklat rutiner tillsammans med kommissio­ taren att vidga artikel 26 till en mer allmän säkerhets­ nen som tillmötesgår denna önskan. Datatillsynsmannen bestämmelse och införa hänvisningar till de relevanta be­ uttrycker en förhoppning om ett sådant tillfredsställande stämmelserna i rättsakterna om de tre stora it-systemen. samarbete också med den nyinrättade byrån. Mot bakgrund Detta bör föregås av en bedömning av i vilken utsträckning av det rekommenderar datatillsynsmannen lagstiftaren att de bestämmelser som det hänvisas till liknar och är för­ föra in datatillsynsmannen i förteckningen över mottagare enliga med varandra. Dessutom bör en koppling göras av det årliga arbetsprogrammet och den årliga verksamhets­ mellan denna vidare bestämmelse och artiklarna 14.6 g rapporten, som regleras i artikel 9.1 i och 9.1 j i den och 9.1 n, som berör utarbetande och antagande av säker­ föreslagna förordningen. hetsåtgärder och en säkerhetsplan. Artikel 9.1 r i den föreslagna förordningen: datatillsynsmannens Artiklarna 7.4 och 19 i den föreslagna förordningen: byråns säte granskning

48. Datatillsynsmannen är medveten om att beslutet om byråns 45. I artikel 9.1 r i den föreslagna förordningen behandlas säte, som kommer att anges i artikel 7.4, i hög grad är ett datatillsynsmannens rapport om granskningen enligt politiskt beslut. Datatillsynsmannen rekommenderar ändå, artikel 45 i förordning (EG) nr 1987/2006 om SIS II och mot bakgrund av artikel 19 om överenskommelse om säte, artikel 42.2 i förordning (EG) nr 767/2008 om VIS. Den att valet av säte grundas på objektiva kriterier såsom vilka nuvarande lydelsen ger intrycket att byrån helt och hållet lokaler som finns tillgängliga – det bör vara en fristående själv kan avgöra hur uppföljningen av granskningen ska byggnad som endast är avsedd för byrån – och möjligheten ske, inbegripet en möjlighet att inte alls följa några rekom­ att garantera säkerheten i byggnaden. mendationer. Även om byrån kan lämna synpunkter på rapporten och fritt bestämma om hur datatillsynsmannens rekommendationer ska genomföras, är det inte ett alterna­ tiv att inte alls följa rekommendationerna. Datatillsynsman­ nen föreslår därför att denna artikel tas bort eller att for­ Artikel 27 i den föreslagna förordningen: utvärdering muleringen ”och besluta hur granskningen ska följas upp” 49. I artikel 27 i den föreslagna förordningen fastställs att sty­ ersätts med ”och besluta hur rekommendationerna ska ge­ relsen ska beställa en oberoende extern utvärdering senast nomföras på lämpligaste sätt efter granskningen”. tre år efter det att byrån inlett sin verksamhet och vart femte år därefter, på grundval av de direktiv som styrelsen utfärdat efter samråd med kommissionen. För att garantera att uppgiftsskydd ingår i dessa direktiv rekommenderar da­ Artikel 9.1 n, artikel 14.6 g och artikel 26 i den föreslagna tatillsynsmannen lagstiftaren att hänvisa uttryckligen till förordningen: säkerhetsbestämmelser detta i den första punkten. Datatillsynsmannen uppmanar också lagstiftaren att räkna upp exempel på de berörda 46. I den föreslagna förordningen föreskrivs att den verkstäl­ parter som omnämns i punkt 2, och att i det samman­ lande direktören ska överlämna till styrelsen för antagande hanget inkludera datatillsynsmannen. Datatillsynsmannen utkast till nödvändiga säkerhetsåtgärder, inklusive en säker­ rekommenderar dessutom lagstiftaren att ta med datatill­ synsmannen i listan över de institutioner som erhåller de ( 18 ) Datatillsynsmannens ståndpunktsdokment av den 28 november dokument som omnämns i punkt 3. 2005 återfinns på: http://www.edps.europa.eu/EDPSWEB/webdav/ C 70/20 SV Europeiska unionens officiella tidning 19.3.2010 VI. SLUTSATSER OCH REKOMMENDATIONER system. Datatillsynsmannen anser dock inte att inrättandet av byrån utgör det största hotet i det avseendet. Datatill­ 50. Inledningsvis framhåller datatillsynsmannen det omöjliga i synsmannen har noterat att byrån inte kommer att kunna att grunda det föreslagna rådsbeslutet på de två artiklarna i besluta om driftskompatibilitet på eget initiativ. Datatill­ EUF-fördraget som efterträder de artiklar i EU-fördraget på synsmannen uppmuntrar lagstiftaren att, i samband med vilka förslaget för närvarande grundas. Datatillsynsmannen de föreslagna pilotprojekten, klargöra vilket förfarande uppmanar kommissionen att klarlägga situationen, att över­ kommissionen bör följa innan den begär ett pilotprojekt. väga att som rättslig grund använda den artikel som ger Enligt datatillsynsmannen bör ett sådant förfarande inne­ Europaparlamentet störst makt och att överväga att sam­ hålla en bedömning, som kan kräva samråd med Europa­ manföra de båda förslagen till en förordning. parlamentet och datatillsynsmannen, av de eventuella kon­ sekvenser för uppgiftsskyddet som initiativet efter en sådan begäran kan få. 51. Datatillsynsmannen har analyserat de olika alternativen för den operativa förvaltningen av SIS II, VIS och Eurodac och ser fördelarna med att inrätta en byrå för den operativa 55. Datatillsynsmannen lämnar också följande särskilda rekom­ förvaltningen av vissa stora it-system. Datatillsynsmannen mendationer: vill dock understryka att en sådan byrå endast bör inrättas om omfattningen av dess verksamhet och ansvar definieras tydligt. — Att datatillsynsmannen förs in i förteckningen över mottagare av det årliga arbetsprogrammet och den år­ liga verksamhetsrapporten, som regleras i artikel 9.1 i 52. Datatillsynsmannen har redogjort för två allmänna farhågor och 9.1 j i den föreslagna förordningen. som rör uppgiftsskydd när det gäller inrättandet av en byrå: risken för funktionsglidning och konsekvenserna för drifts­ kompatibiliteten mellan systemen. — Att artikel 9.1 r i den föreslagna förordningen tas bort eller att formuleringen ”och besluta hur granskningen ska följas upp” ersätts med ”och besluta hur rekommen­ 53. Datatillsynsmannen menar att risken för funktionsglidning dationerna ska genomföras på lämpligaste sätt efter hos byrån kan undvikas om, för det första, omfattningen av granskningen”. byråns (eventuella) verksamhet begränsas och definieras tydligt i den rättsakt genom vilken den inrättas och, för det andra, det säkerställs att varje utvidgning av verksam­ — Att artikel 26 i den föreslagna förordningen ändras till hetens omfattning grundas på en demokratisk beslutspro­ en mer allmän säkerhetsbestämmelse med hänvisningar cess. Datatillsynsmannen noterar att de föreliggande försla­ till relevanta bestämmelser i rättsakterna om de tre gen redan innehåller sådana preciseringar men att viss osä­ stora it-systemen och att en koppling görs mellan kerhet kvarstår. Datatillsynsmannen rekommenderar därför denna vidare bestämmelse och artiklarna 14.6 g och lagstiftaren 9.1 n i den föreslagna förordningen. — att förtydliga och medvetet fastställa om omfattningen — När det gäller den föregående punkten, att en hänvis­ av byråns verksamhet är begränsad till kapitel 2 i av­ ning tas med till specifik dokumentation i artikel 26.2 i delning V i EUF-fördraget eller om den eventuellt ska den föreslagna förordningen. omfatta alla stora it-system som utvecklas på området med frihet, säkerhet och rättvisa, — Att objektiva, praktiska kriterier beaktas vid valet av byråns säte. — att förtydliga begreppet stora it-system vid inrättandet av byrån och klargöra om det är begränsat till stora itsystem för lagring av uppgifter i en centraliserad data­ — Att datatillsynsmannen tas med i listan över de institu­ bas som kommissionen eller byrån ansvarar för, samt tioner som erhåller de dokument som omnämns i artikel 27.3 i den föreslagna förordningen. — att förstärka texten i artikel 6 ytterligare genom att lägga till ordet ”endast” i punkterna 1 och 2, om den Utfärdat i Bryssel den 7 december 2009. sistnämnda bibehålls.