Restrictive measures in respect of Somalia, Zimbabwe, the Democratic Republic of Korea and Guinea

23.3.2010 Europeiska SV unionens officiella tidning C 73/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannenom olika lagstiftningsförslag om införande av vissa särskilda restriktiva åtgärder mot Somalia, Zimbabwe, Demokratiska folkrepubliken Korea och Guinea

(2010/C 73/01)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA förslag till rådets förordning om ändring av rådets förord­ YTTRANDE ning (EG) nr 314/2004 om vissa restriktiva åtgärder mot Zimbabwe. Den 18 september antog kommissionen även ett förslag till rådets förordning om ändring av rådets för­ med beaktande av fördraget om Europeiska unionens funktions­ ordning (EG) nr 329/2007 om restriktiva åtgärder mot sätt, särskilt artikel 16, Demokratiska folkrepubliken Korea. Vidare antog kommis­ sionen den 23 november ett förslag till rådets förordning om införande av vissa specifika restriktiva åtgärder mot med beaktande av Europeiska unionens stadga om de grund­ Guinea. Kommissionen översände samtliga dessa förslag läggande rättigheterna, särskilt artikel 8, till datatillsynsmannen för samråd i enlighet med artikel 28.2 i förordning (EG) nr 45/2001. Datatillsyns­ mannen erinrar om att han även informellt har kommen­ med beaktande av Europaparlamentets och terat utkasten till dessa förslag och andra utkast till förslag rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd om ändring av likartade förordningar från rådet om infö­ för enskilda personer med avseende på behandling av person­ rande av frysning av tillgångar och andra restriktiva åtgär­ uppgifter och om det fria flödet av sådana uppgifter ( 1 ), der.

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemen­ 2. Europeiska datatillsynsmannen välkomnar att samråd hålls skapsorganen behandlar personuppgifter och om den fria rör­ och att en hänvisning till detta samråd görs i ingresserna ligheten för sådana uppgifter ( 2 ), särskilt artikel 41, och till förslagen på samma sätt som i flera andra lagstiftnings­ texter där samråd har hållits med datatillsynsmannen i enlighet med förordning (EG) nr 45/2001. med beaktande av begärandena om ett yttrande i enlighet med artikel 28.2 i förordning (EG) nr 45/2001, som skickades till Europeiska datatillsynsmannen den 29 juli, den 18 september respektive den 26 november 2009. II. FÖRSLAGEN OCH HUVUDINRIKTNINGEN FÖR DETTA

1. Den 27 juli 2009 antog kommissionen ett förslag till rå­ Dessa åtgärder – främst frysning av tillgångar och dets förordning om införande av vissa särskilda restriktiva reseförbud – avser fysiska och juridiska personer som miss­ åtgärder mot vissa fysiska och juridiska personer, enheter tänks ha samröre med terroristorganisationer och/eller med och organ mot bakgrund av situationen i Somalia samt ett vissa regeringar. Mot denna bakgrund publicerar och of­ fentliggör Europeiska kommissionen ”svarta listor” över ( 1 ) EGT L 281, 23.11.1995, s. 31. fysiska eller juridiska personer som omfattas av dessa ( 2 ) EGT L 8, 12.1.2001, s. 1. restriktiva åtgärder. C 73/2 SV Europeiska unionens officiella tidning 23.3.2010

4. Datatillsynsmannen har redan, den 28 juli 2009, lämnat 8. EU:s grundläggande rättigheter inbegriper också rätten till ett yttrande om förslaget till rådets förordning om ändring skydd av personuppgifter, vilken erkänts av EG-domstolen av förordning (EG) nr 881/2002 om införande av vissa som en av de principer som följer av artikel 6.2 i EUsärskilda restriktiva åtgärder mot vissa med Usama bin fördraget och ytterligare bekräftats genom artikel 8 i EU:s Ladin, nätverket al-Qaida och talibanerna associerade per­ stadga om de grundläggande rättigheterna ( 4 ). När det gäl­ soner och enheter (det så kallade al-Qaida-förslaget). I det ler restriktiva åtgärder spelar rätten till skydd av person­ yttrandet välkomnades kommissionens avsikt att få till uppgifter en avgörande roll och bidrar också till den fak­ stånd ett bättre skydd av grundläggande rättigheter, dä­ tiska respekten för andra grundläggande rättigheter, exem­ ribland skydd av personuppgifter, och rekommenderades pelvis svarandens rättigheter, rätten att höras och rätten till det att vissa inslag i förslaget skulle ändras och/eller för­ faktiskt rättsligt skydd. tydligas för att väsentliga EU-principer om uppgiftsskydd skulle följas. Datatillsynsmannen har noga följt hur rådets överläggningar har utvecklat sig i fråga om al-Qaida-för­ slaget ( 1 ) och beklagar att många av bestämmelserna om skydd av personuppgifter har strukits eller inskränkts vä­ sentligt. 9. I detta sammanhang välkomnar datatillsynsmannen, på samma sätt som i sitt yttrande av den 28 juli 2009 om restriktiva åtgärder mot al-Qaida, kommissionens avsikt att förbättra den befintliga rättsliga ramen genom att utveckla 5. De påpekanden som gjordes i det yttrandet är alltjämt förfarandet för upptagande i förteckningar och genom att giltiga och de flesta är också i viss utsträckning tillämpliga uttryckligen beakta rätten till skydd av personuppgifter. på de förslag som avhandlas här, vilka i fråga om många Restriktiva åtgärder grundar sig på behandling av person­ bestämmelser återspeglar de som avser det förslaget. Med uppgifter, vilket i sig – oavsett frysningen av tillgångar – är beaktande av samtliga förslag som hittills mottagits för underkastat regler och garantier för uppgiftsskydd. Det är samråd av datatillsynsmannen och av utvecklingen i över­ därför synnerligen viktigt att se till att de tillämpliga be­ läggningarna i rådet kommer föreliggande yttrande att be­ stämmelserna om behandling av personuppgifter om per­ röra tillämpningen av principer för uppgiftsskydd inom soner som är upptagna i förteckningar är tydliga och rätts­ området för restriktiva åtgärder och innehålla rekommen­ säkra, bland annat för att säkerställa att de restriktiva åt­ dationer till förbättringar. Dessa rekommendationer kom­ gärderna är lagliga och legitima. mer också att beakta ikraftträdandet av Lissabonfördraget samt de betydelsefulla politiska riktlinjer som anges i det nyligen antagna Stockholmsprogrammet ( 2 ). Detta för­ faringssätt innebär att datatillsynsmannen endast kan lämna ytterligare yttranden om lagstiftningsförslag inom detta område om dessa nya förslag väsentligt skiljer sig 10. I Stockholmsprogrammet anges det tydligt att ”[n]är det från bestämmelserna i de aktuella förslagen. gäller att bedöma den enskildes integritet på området med frihet, säkerhet och rättvisa är rätten till frihet överordnad” och att EU bör främja tillämpningen av principer om da­ taskydd i EU och i unionens förbindelser med andra län­ der. 6. Detta yttrande är huvudsakligen inriktat på de aspekter av restriktiva åtgärder som är direkt kopplade till skydd av personuppgifter, och då i synnerhet de aspekter som data­ tillsynsmannen rekommenderar ska förtydligas inom detta område för att trygga rättssäkerheten och åtgärdernas verk­ ningskraft. Detta yttrande behandlar eller påverkar inte an­ dra materiella frågor som kan vara kopplade till upptagan­ 11. Lissabonfördragets ikraftträdande stärker den rättsliga ra­ det i en förteckning enligt andra bestämmelser. men på detta område. Å ena sidan skapas genom fördraget två nya rättsliga grunder (artiklarna 75 och 215 i EUFfördraget) som gör det möjligt för EU att anta restriktiva åtgärder mot fysiska eller juridiska personer och mot grup­ per eller mot enheter som inte är stater. Å andra sidan III. DEN RÄTTSLIGA RAMEN bekräftas i artikel 16 i EUF-fördraget och artikel 39 i EUfördraget på nytt rätten till uppgiftsskydd och behovet 7. Kommissionens förslag syftar till en anpassning till dom­ av regler och garantier för uppgiftsskydd inom Europeiska stolens rättspraxis, där det flera gånger bekräftats att EU:s unionens samtliga verksamhetsområden. Dessutom blir normer för skydd av grundläggande rättigheter bör följas EU:s stadga om de grundläggande rättigheterna bindande, oavsett om restriktiva åtgärder antas på EU-nivå eller här­ något som – vilket också uttryckligen konstateras i rör från internationella organisationer som Förenta natio­ Stockholmsprogrammet – ”kommer att stärka unionens, nerna ( 3 ). inbegripet dess institutioners, skyldighet att se till att de grundläggande rättigheterna aktivt främjas inom alla dess ( 1 ) Se rådets dok. 12883/09. verksamhetsområden” ( 5 ). ( 2 ) Stockholmsprogrammet – Ett öppet och säkert Europa i medborgarnas tjänst, antaget av Europeiska rådet den 10–11 december 2009. ( 3 ) Dom av den 3 september 2008 i mål C-402/05 P och C-415/05 P, ( 4 ) Dom av den 29 januari 2008 i mål C-275/06, Promusicae mot Tele­ Kadi och Al Barakaat International Foundation mot rådet, ännu inte fónica, se framför allt punkterna 61–70. registrerade. Se framför allt punkt 285. ( 5 ) Punkt 2.1. 23.3.2010 Europeiska SV unionens officiella tidning C 73/3

12. Med särskild hänsyn till behandling av personuppgifter skydd av personuppgifter. Nödvändiga inskränkningar av som görs av EU-institutioner är artikel 16 i EUF-fördraget dessa rättigheter bör tydligt fastställas i lag, vara propor­ tillämplig på all EU:s verksamhet, inbegripet den tionerliga och i samtliga fall respektera det väsentliga i gemensamma utrikes – och säkerhetspolitiken, medan dessa rättigheter. det i artikel 39 i EU-fördraget föreskrivs en annorlunda beslutsfattandeprocess i fråga om behandling av personuppgifter som görs av medlemsstater inom ramen för den gemensamma utrikes- och säkerhetspolitiken. Des­ 17. Enligt datatillsynsmannens mening bör detta arbete utföras sutom blir EU-domstolen fullt behörig att, också på om­ parallellt med det mål som fastlagts av Europeiska rådet i rådet gemensam utrikes- och säkerhetspolitik, bedöma lag­ Stockholmsprogrammet, nämligen ”att fortsätta samarbetet ligheten – särskilt respekten för grundläggande rättigheter – […] för att […] stärka utformningen, genomförandet och i beslut som föreskriver restriktiva åtgärder mot fysiska effektiviteten av sanktioner utfärdade av FN:s säkerhetsråd eller juridiska personer (artikel 275 i EUF-fördraget). för att skydda grundläggande rättigheter och säkerställa rättvisa och tydliga förfaranden” ( 2 ).

13. Vidare kommer EU:s anslutning till Europakonventionen om de mänskliga rättigheterna, vilken planeras i Lissabon­ 18. Följande punkter, som rör bedömningen av de aktuella fördraget, att göra att rättspraxis från Europeiska domsto­ förslagen, kommer inte bara att innehålla rekommendatio­ len för de mänskliga rättigheterna och Europarådets syn­ ner om förbättring av bestämmelserna i dessa förslag utan punkter på svartlistning ( 1 ) får ännu större relevans för även belysa de uppgiftsskyddsaspekter som inte tas upp för EU:s rättsliga ram. närvarande och som enligt datatillsynsmannens rekom­ mendation bör förtydligas antingen i dessa rättsinstrument eller inom en mer övergripande ram.

14. I detta sammanhang är artikel 8 i stadgan om de grund­ läggande rättigheterna av särskild betydelse, särskilt där det klart och tydligt sägs att personuppgifter ska behandlas IV. BEDÖMNING AV DE VIKTIGASTE BESTÄMMELSERNA lagenligt på en legitim grund och att ” [v]ar och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne”. Dessa grundläggande aspekter av uppgifts­ skydd måste följas i samtliga EU-åtgärder och enskilda kan till och med ha förutsättningar att kräva att de rättig­ IV.1 Tillämplig dataskyddslagstiftning heter som denna artikel ger – oavsett huruvida de uttryck­ ligen erkänts i EU:s sekundärrätt – ska vara direkt tillämp­ 19. De bestämmelser om uppgiftsskydd som fastställs i förord­ liga. ning (EG) nr 45/2001 är, vilket redan har konstaterats i datatillsynsmannens yttrande av den 28 juli 2009, tillämp­ liga på EU-institutioners behandling av personuppgifter inom området restriktiva åtgärder även i de fall då dessa 15. Den nya rättsliga ram som har uppstått i och med Lis­ åtgärder härrör från internationella organisationer eller ge­ sabonfördragets ikraftträdande innebär att lagstiftaren får mensamma ståndpunkter som antagits inom ramen för verktyg för och skyldighet att fastställa övergripande och den gemensamma utrikes- och säkerhetspolitiken. enhetliga bestämmelser om skydd av personuppgifter, vil­ ket också gäller för området restriktiva åtgärder. Denna skyldighet blir ännu mer betydelsefull när man betänker att denna typ av åtgärder blir allt vanligare och får allt 20. I detta sammanhang hälsar datatillsynsmannen med till­ längre varaktighet, vilket får långtgående effekter för fredsställelse hänvisningarna i de aktuella förslagen till till­ de berörda personerna. lämpligheten av förordning (EG) nr 45/2001 och till de rättigheter för de registrerade som följer av förordningen. Datatillsynsmannen beklagar emellertid att överläggning­ arna om de restriktiva åtgärderna mot al-Qaida har lett 16. Mot denna bakgrund rekommenderar datatillsynsmannen till att vissa av dessa hänvisningar har strukits. starkt kommissionen att överge den nuvarande lappverks­ metoden – varigenom specifika, och stundtals skiljaktiga, bestämmelser i fråga om behandling av personuppgifter antas för olika länder eller organisationer – och i stället 21. Datatillsynsmannen vill härvidlag understryka att dessa lägga fram ett förslag om en enhetlig ram för samtliga strykningar inte innebär något undantag från eller någon be­ riktade sanktioner som EU vidtar mot fysiska eller juridiska gränsning av tillämpligheten av dessa skyldigheter och av personer, enheter eller organ, som tryggar respekten för de de registrerades rättigheter som inte längre uttryckligt om­ berörda personernas grundläggande rättigheter och då i nämns i rättsinstrumenten. Datatillsynsmannen anser dock synnerhet respekten för den grundläggande rätten till att om uppgiftsskyddsaspekterna explicit omnämns och tas upp i rättsinstrumenten om restriktiva åtgärder är detta ( 1 ) Council of Europe Parliamentary Assembly Resolution 1597 on United något som stärker skyddet av de grundläggande rättighe­ Nations Security Council and European Union blacklists (Resolution terna och dessutom gör att man kan undvika att oklarhet 1597 av den 23 januari 2008 från Europarådets parlamentariska kvarstår om känsliga frågor som därför hamnar i domstol. församling om svarta listor från Förenta nationernas säkerhetsråd och Europeiska unionen), baserad på det betänkande som utarbetats av Dick Marty (dok. 11454). ( 2 ) Punkt 4.5. C 73/4 SV Europeiska unionens officiella tidning 23.3.2010

22. Mer generellt framhåller datatillsynsmannen att ”[v]ar och den i förteckningen upptagna fysiska personens identitet. en har rätt till skydd av […] personuppgifter” enligt Denna bestämmelse är också en god återspegling av upp­ artikel 8 i EU:s stadga om de grundläggande rättigheterna. giftsskyddsprincipen om begränsning av syftet, där det fast­ Denna grundläggande rättighet bör följaktligen tryggas i ställs att personuppgifter ska samlas in för särskilda ända­ Europeiska unionen utan hänsyn till de berörda personer­ mål och inte senare behandlas på ett sätt som är oförenligt nas nationalitet, bostadsort eller yrkesverksamhet. Detta med dessa ändamål. innebär att, även om det mycket väl kan vara nödvändigt med inskränkningar av denna rättighet inom ramen för restriktiva åtgärder, inget principiellt eller generellt undantag från denna rättighet kan göras med avseende på kategorier 26. För att se till att denna princip specificeras och tillämpas av enskilda, exempelvis de personer som har förbindelser på rätt sätt med avseende på all behandling av personupp­ med regeringen i ett tredjeland. gifter inom detta område förespråkar datatillsynsmannen att denna princip uttryckligen ska tillämpas på alla katego­ rier av uppgifter genom att man ändrar de aktuella artik­ larna på sådant sätt att bilagan med de i förteckningen upptagna personerna ”endast ska omfatta de uppgifter IV.2 Uppgifternas kvalitet och begränsning av syftet som är nödvändiga för ändamålet att kontrollera de i förteckningen upptagna fysiska personerna och inte i 23. I enlighet med de gällande bestämmelserna om uppgifts­ något fall omfattar mer än följande uppgifter”. Genom skydd (artikel 4 i förordning (EG) nr 45/2001) ska person­ denna ändring skulle det bli möjligt att undvika insam­ uppgifter behandlas på ett korrekt och lagligt sätt, samlas lingen och offentliggörandet av icke nödvändiga uppgifter in för särskilda, uttryckligt angivna och berättigade ända­ om i förteckningar upptagna fysiska personer och om de­ mål och inte senare behandlas på ett sätt som är oförenligt ras familjer. med dessa ändamål, vara adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de samlas in och för vilka de senare behandlas. Personuppgifter ska också vara riktiga och hållas aktuella: Alla rimliga åtgärder ska vidtas för 27. Vidare föreslår datatillsynsmannen att det i förslagen ut­ att säkerställa att sådana personuppgifter som är felaktiga tryckligen ska anges att personuppgifter ska raderas eller eller ofullständiga utplånas eller rättas. Dessutom ska per­ anonymiseras så snart som de inte längre är nödvändiga sonuppgifter lagras på ett sätt som förhindrar att de regi­ i varje enskilt fall för tillämpningen av de restriktiva åtgär­ strerade kan identifieras under en längre tid än vad som är derna eller för ännu inte avgjorda tvister vid domstolen. nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades.

28. När det gäller skyldigheten att se till att personuppgifter är riktiga och hålls aktuella används olika förfaringssätt i de 24. Datatillsynsmannen välkomnar det faktum att det i alla olika förslagen. I förslaget om Somalia, liksom i det om alkommissionens förslag ( 1 ) uttryckligen anges vilka katego­ Qaida, fastslås att när FN beslutar att avföra en person från rier av personuppgifter som kommer att behandlas inom förteckningen ska kommissionen ändra EU:s förteckning i ramen för restriktiva åtgärder och uttryckligen regleras hur enlighet med detta (artikel 11.4). I förslaget personuppgifter som avser brott, fällande domar och sä­ om Demokratiska folkrepubliken Korea fastställs i stället kerhetsåtgärder ska behandlas. en skyldighet att se över EU:s förteckning regelbundet och minst en gång var tolfte månad (artikel 6.2). I de andra förslagen nämns inte någondera av dessa mekanis­ mer.

25. Med hänsyn till detta välkomnar datatillsynsmannen den princip som fastställs i artikel 7e.3 i förslaget om al-Qaida, enligt vilken namnen och efternamnen på den fysiska per­ 29. Icke desto mindre måste samtliga EU-förteckningar, oavsett sonens föräldrar kan inbegripas i bilagan endast när de i ett vilket land de gäller och oavsett huruvida de antas direkt specifikt fall är nödvändiga uteslutande för att kontrollera på EU-nivå eller genomför FN-beslut, följa principen om uppgifternas kvalitet, vilken inom området restriktiva ( 1 ) Se artikel 7d.2 och 7e i förslaget till utkast till rådets förordning om åtgärder är av avgörande betydelse. Som förstainstansrätten ändring av förordning (EG) nr 881/2002 om införande av vissa nyligen har påpekat ( 2 ) bör, i de fall då de restriktiva åt­ särskilda restriktiva åtgärder mot vissa med Usama bin Ladin, nät­ gärderna grundar sig på polis – och säkerhetsutredningar, verket al-Qaida och talibanerna associerade personer och enheter; vederbörlig hänsyn tas till hur dessa utredningar utvecklas artikel 11c.2 och 11c.3 i förslaget till rådets förordning om ändring av rådets förordning (EG) nr 314/2004 om vissa restriktiva åtgärder – till exempel en avslutad utredning, ett nedlagt åtal eller mot Zimbabwe; artikel 14.2 och 14.3 i förslaget till rådets förord­ en friande dom i en rättegång – då förteckningarna ses ning om införande av vissa särskilda restriktiva åtgärder mot vissa över, så att en persons medel inte blir frysta på obestämd fysiska och juridiska personer, enheter och organ mot bakgrund av tid utan prövning i någon domstol och utan hänsyn till situationen i Somalia; artikel 6.3 i förslaget till rådets förordning om resultaten av eventuella rättsliga åtgärder. ändring av rådets förordning (EG) nr 329/2007 om restriktiva åt­ gärder mot Demokratiska folkrepubliken Korea; artikel 11.1 och 11.2 i förslaget till rådets förordning om införande ( 2 ) Dom av den 30 september 2009 i mål T-341/07, Sison mot rådet, av vissa specifika restriktiva åtgärder mot Guinea. ännu inte registrerat, punkt 116. 23.3.2010 Europeiska SV unionens officiella tidning C 73/5

30. Mot denna bakgrund rekommenderar datatillsynsmannen insamlade uppgifter som rör honom eller henne och att få att verkningsfulla mekanismer för avförande av fysiska per­ rättelse av dem”, vilket gör rätten till tillgång till en av de soner från förteckningar och för regelbunden översyn av centrala aspekterna av den grundläggande rätten till skydd EU-förteckningar införs med avseende på samtliga nuva­ av personuppgifter. I linje med detta ges registrerade per­ rande och framtida förslag inom detta område. soner genom artikel 13 i förordning (EG) nr 45/2001 rätt att när som helst utan restriktioner, inom tre månader från det att ansökan mottogs, kostnadsfritt från den register­ ansvarige få bland annat klar information om vilka person­ IV.3 Information till de personer som är upptagna i uppgifter som behandlas (se artikel 13 c). förteckningar

31. I sitt yttrande av den 28 juli 2009 välkomnade Europeiska datatillsynsmannen kommissionens avsikt att stärka re­ spekten för grundläggande rättigheter genom att ge de 35. Inom området för restriktiva åtgärder återfinns ofta person­ berörda personerna möjlighet till information om skälen uppgifter om personer som är upptagna i förteckningar, till att de upptagits i förteckningarna och möjlighet att och då särskilt sådana uppgifter som avser skälen till att uttrycka sina synpunkter om detta. Samma typ av bestäm­ personer finns upptagna i förteckningen, i sekretessbelagda melse föreslås nu med avseende på Somalia ( 1 ) och Gui­ dokument. När det gäller denna typ av dokument innehål­ nea ( 2 ), medan rätten att bli informerad om skälen till ler kommissionens förslag identiskt lika bestämmelser: För upptagandet i förteckningen och att uttrycka sina synpunk­ det första anges det att om FN eller en stat lägger fram ter i fallet Zimbabwe ( 3 ) begränsas till personer utan kopp­ sekretessbelagda uppgifter ska kommissionen hantera dessa lingar till regeringen. I förslaget om Demokratiska folk­ i enlighet med kommissionens interna säkerhetsbestäm­ republiken Korea nämns denna möjlighet inte ens. melser (beslut 2001/844/EG, EKSG, Euratom ( 5 ) och, där så är tillämpligt, i enlighet med avtal mellan Europeiska unionen och den stat som lagt fram uppgifterna om sä­ 32. Datatillsynsmannen erinrar om skyldigheten att informera kerhet för sekretessbelagda uppgifter. För det andra anges den registrerade i enlighet med artikel 11 och särskilt det att handlingar som sekretessklassats på en nivå som artikel 12 i förordning (EG) nr 45/2001 som rör de upp­ motsvarar ”Tres Secret UE/EU Top Secret”, ”Secret UE” eller gifter som ska lämnas i de fall då uppgifterna inte inhäm­ ”Confidentiel UE” inte ska utlämnas utan upphovsman­ nens ( 6 ) medgivande. tats från den registrerade. Dessa bestämmelser måste följas när det gäller samtliga enskilda personer, utan hänsyn till deras nationalitet eller deras kopplingar till regeringen i ett visst land. Det finns givetvis olika metoder att informera de personer som är upptagna i förteckningar och dessa me­ toder kan anpassas till de restriktiva åtgärdernas specifika 36. Datatillsynsmannen har redan analyserat dessa bestämmel­ ser i detalj i sitt yttrande av den 28 juli 2009 ( 7 ) och politiska kontext. Dessutom kan begränsningar eller un­ dantag antas i enlighet med artikel 20 i förordning (EG) konstaterat att varken kommissionens interna säkerhets­ nr 45/2001 ( 4 ) i den mån som de är nödvändiga under bestämmelser eller avtalen med enskilda medlemsstater el­ specifika omständigheter, men något generellt och obe­ ler FN tar upp frågan om de registrerades tillgång till egna gränsat undantag från skyldigheten att informera är inte personuppgifter. Även om begränsningar av rätten till till­ möjligt. gång mycket väl kan övervägas inom området restriktiva åtgärder garanterar de nuvarande bestämmelserna des­ sutom inte att en begränsning endast införs där så är nödvändigt, och bestämmelserna innehåller inte heller 33. Mot bakgrund av detta rekommenderar datatillsynsmannen några materiella kriterier för bedömning av nödvändighe­ att de i förteckningar upptagna personernas rätt till infor­ ten av en begränsning. Enligt förslagen skulle rätten till mation ska tas upp på ett uttryckligare sätt i samtliga tillgång vara föremål för en ovillkorlig skyldighet att in­ nuvarande och framtida förslag inom detta område, till­ hämta samtycke från upphovsmannen, vilket skulle ge sammans med villkor för och närmare bestämmelser om uppgifternas upphovsman full bestämmanderätt. Dessa de begränsningar som kan vara nödvändiga. ( 5 ) Kommissionens beslut 2001/844/EG, EKSG, Euratom av den 29 november 2001 om ändring av de interna stadgarna (EGT L 317, 3.12.2001, s. 1). IV.4 Registrerades rättigheter, i synnerhet rätten till ( 6 ) Se artikel 11b i förslaget till rådets förordning om ändring av rådets tillgång till egna personuppgifter förordning (EG) nr 314/2004 om vissa restriktiva åtgärder mot Zimbabwe; artikel 13 i förslaget till rådets förordning om införande 34. I artikel 8.2 i EU:s stadga om de grundläggande rättighe­ av vissa särskilda restriktiva åtgärder mot vissa fysiska och juridiska personer, enheter och organ mot bakgrund av situationen i Somalia; terna står att ” [v]ar och en har rätt att få tillgång till artikel 13.5 och 13.6 i förslaget till rådets förordning om ändring av rådets förordning (EG) nr 329/2007 om restriktiva åtgärder mot ( 1 ) Artikel 11.2 i förslaget till rådets förordning om införande av vissa Demokratiska folkrepubliken Korea; artikel 12.6 och 12.7 i förslaget särskilda restriktiva åtgärder mot vissa fysiska och juridiska personer, till rådets förordning om införande av vissa specifika restriktiva enheter och organ mot bakgrund av situationen i Somalia. åtgärder mot Guinea. En sådan bestämmelse fanns i artikel 7d, ( 2 ) Artikel 12.2 i förslaget till rådets förordning om införande av vissa som har strukits i den nuvarande versionen, i det tidigare förslaget specifika restriktiva åtgärder mot Guinea. till utkast till rådets förordning om ändring av förordning (EG) ( 3 ) Artikel 11a.2 i förslaget till rådets förordning om ändring av rådets nr 881/2002 om införande av vissa särskilda restriktiva åtgärder förordning (EG) nr 314/2004 om vissa restriktiva åtgärder mot mot vissa med Usama bin Ladin, nätverket al-Qaida och talibanerna Zimbabwe. associerade personer och enheter. ( 4 ) Se punkt III.6 nedan. ( 7 ) Punkterna 18–32. C 73/6 SV Europeiska unionens officiella tidning 23.3.2010 upphovsmän innefattar parter som inte är underkastade från den registrerades samtycke (punkt 6 a) och försvaret EU-rätten och EU:s normer i fråga om skydd av grund­ av rättsliga anspråk (punkt 6 d) – vilket kan vara till nytta läggande rättigheter. om den i förteckningen upptagna personen har lämnat uppgifterna för att få till stånd en omprövning av upp­ tagandet i förteckningen – till mekanismer inom FN eller i det ifrågavarande tredjelandet som garanterar ett adekvat 37. Förhandlingarna inom rådet har lett till att denna bestäm­ skydd för personuppgifter som överförts från EU. melse har strukits i förslaget om al-Qaida.

43. Datatillsynsmannen, som erinrar om att de olika formerna 38. Mot bakgrund av detta rekommenderar datatillsynsmannen av behandling som förutses bör vara i överensstämmelse starkt att lagstiftaren i de nuvarande och framtida förslagen med denna ordning, rekommenderar lagstiftaren att se till tar upp den väsentliga frågan om rätten för i förteckningar att adekvata system och kontrollmekanismer – som speci­ upptagna personer att – direkt eller indirekt genom andra fikationer i förslagen och överenskommelser med FN eller myndigheter ( 1 ) – få tillgång till de personuppgifter som andra relevanta tredjeländer – inrättas i syfte att avser dem och som återfinns i sekretessbelagda dokument, säkerställa ett tillräckligt skydd av personuppgifter som är med förbehåll för de proportionerliga begränsningar som föremål för utbyte med tredjeländer och internationella kan vara nödvändiga under vissa omständigheter. organisationer.

39. Datatillsynsmannen vill också erinra om att det i förord­ IV.6 Nödvändiga inskränkningar och begränsningar av ning (EG) nr 45/2001 fastställs andra rättigheter för regi­ rättigheter i fråga om uppgiftsskydd strerade som lagstiftaren kan överväga att ta upp i dessa eller framtida förslag. Särskilt fastställs i artikel 14 i för­ 44. Datatillsynsmannen anser att frågan om inskränkningar ordning (EG) nr 45/2001 en skyldighet för den register­ och begränsningar av vissa grundläggande rättigheter, till ansvarige att utan dröjsmål rätta till felaktiga eller ofull­ exempel skydd av personuppgifter, är av avgörande vikt ständiga personuppgifter, medan det i artikel 17 fastställs inom området för restriktiva åtgärder, eftersom de kan en skyldighet att underrätta tredje man till vilken person­ vara nödvändiga för att de restriktiva åtgärderna ska kunna uppgifter har lämnats om rättelser eller utplåning av upp­ tillämpas på ett ändamålsenligt och riktigt sätt. gifter – till exempel i händelse av avförande från en för­ teckning – om detta inte visar sig omöjligt eller innebär en oproportionerligt stor ansträngning. 45. Europakonventionen om de mänskliga rättigheterna, EU:s stadga om de grundläggande rättigheterna och de specifika rättsinstrumenten om uppgiftsskydd, inklusive artikel 20 40. Vidare välkomnar datatillsynsmannen det faktum att det i i förordning (EG) nr 45/2001, ger utrymme för denna samtliga förslag föreslås att en avdelning vid Europeiska möjlighet, med förbehåll för vissa villkor som har bekräf­ kommissionen uttryckligen utses till att vara registeransva­ tats och förtydligats av såväl Europeiska domstolen för de rig, vilket underlättar identifieringen av den registeransva­ 2 mänskliga rättigheterna som EG-domstolen ( ). I korthet rige, utövandet av de registrerades rättigheter och ansvars­ ska dessa inskränkningar av den grundläggande rätten till fördelningen i enlighet med förordning (EG) nr 45/2001. uppgiftsskydd grunda sig på lagstiftningsåtgärder och upp­ fylla kraven i en strikt proportionalitetsprövning, dvs. vara begränsade – såväl i sak som i tillämpningstid – till vad som är nödvändigt för att befrämja det berörda allmän­ IV.5 Kontrollmekanismer i samband med utbyte av intresset, enligt vad som har bekräftats i EG-domstolen uppgifter med tredjeländer och internationella organi­ omfattande rättspraxis, även i fråga om restriktiva åtgärder. sationer Generella, oproportionerliga eller oförutsebara inskränk­ ningar skulle inte uppfylla dessa krav. 41. En viktig fråga, som för närvarande inte uttryckligen tas upp i förslagen men som är underförstådd i förfarandet för upptagande i förteckningar, är att säkerställa ett tillräckligt skydd av personuppgifter vid utbyte av sådana mellan å 46. Det kommer till exempel att vara nödvändigt att fördröja ena sidan EU och å andra sidan tredjeländer och interna­ information till de berörda personerna i den mån som tionella organisationer som Förenta nationerna. detta krävs för att inte förta ”överraskningseffekten” av beslutet att uppta personen i förteckningen och frysa hans eller hennes tillgångar. Däremot skulle det, vilket förs­ tainstansrätten också har påpekat i sin rättspraxis ( 3 ), vara 42. I detta avseende vill europeiska datatillsynsmannen peka på obehövligt och därmed oproportionerligt att därutöver, artikel 9 i förordning (EG) nr 45/2001, där villkoren fast­ ställs för överföring av personuppgifter till mottagare som inte är gemenskapsorgan och som inte omfattas av ( 2 ) Europeiska domstolen för de mänskliga rättigheterna, dom av den 4 december 2008, S. och Marper mot Förenade kungariket; dom av direktiv 95/46/EG. Ett stort antal lösningar finns att tillgå, den 20 maj 2003 i mål C-465/00, Rechnungshof, punkterna 76–90. ( 3 ) Dom av den 12 december 2006 i mål T-228/02, Organisation des ( 1 ) Se punkt III.6 nedan. Modjahedines du peuple d’Iran mot rådet, punkterna 128–137. 23.3.2010 Europeiska SV unionens officiella tidning C 73/7 också efter frysandet, fördröja eller vägra att lämna denna förfång han eller hon lidit, om inte den registeransvarige information. Proportionerliga och tillfälliga inskränkningar styrker att denne inte är ansvarig för den händelse som i rätten för i förteckningar upptagna personer att få tillgång gett upphov till skadan. Detta är en specificering av det till egna personuppgifter – däribland uppgifter om de be­ generella juridiska begreppet om ansvarsskyldighet, med slut som upptagandet i förteckningen grundar sig på – kan omvänd bevisbörda. också ses som en möjlighet, men ett generellt och permanent undantag från denna rättighet skulle inte vara förenligt med det väsentliga i den grundläggande rätten till skydd 51. I detta sammanhang grundas de restriktiva åtgärderna på av personuppgifter. behandling och offentliggörande av personuppgifter, vilket om det är lagstridigt i sig – oavsett de vidtagna restriktiva åtgärderna – kan leda till icke-materiell skada, vilket förs­ 47. Förordning (EG) nr 45/2001 utgör redan en rättslig ram tainstansrätten ( 3 ) redan har konstaterat. som möjliggör såväl begränsningar som kontrollmekanis­ mer. Artikel 20.3 och 20.4 innehåller regler för tillämp­ ningen av en begränsning. Enligt punkt 3 ska den berörda 52. Datatillsynsmannen framhåller att detta utomobligatoriska institutionen informera den registrerade om de huvudsak­ ansvar för ett fall av behandling av personuppgifter i strid liga skälen till begränsningen och om att han eller hon har med tillämplig lagstiftning om uppgiftsskydd fortfarande rätt att vända sig till Europeiska datatillsynsmannen. gäller och att det väsentliga innehållet inte får elimineras, I punkt 4 återfinns en ytterligare bestämmelse som särskilt oaktat vissa av de aktuella förslagen ( 4 ) utesluter ansvars­ avser en begränsning av rätten till tillgång. Där anges att skyldighet, utom i händelse av vårdslöshet, för de fysiska europeiska datatillsynsmannen vid utredning av klagomålet och juridiska personer som verkställer restriktiva åtgärder. på grundval av föregående punkt endast ska informera den registrerade om huruvida uppgifterna har behandlats kor­ rekt och, om så inte är fallet, huruvida alla nödvändiga IV.8 Effektiva rättsmedel och oberoende tillsyn korrigeringar har gjorts ( 1 ). 53. I förteckningar upptagna personer har rätt till rättsmedel inför domstol och till administrativa rättsmedel inför be­ 48. Alla de aktuella förslagen tar endast delvis eller underförs­ höriga tillsynsmyndigheter för uppgiftsskydd. De senare tått upp frågan om inskränkningar av rättigheter i fråga rättsmedlen innefattar hörande av klagomål från registre­ om uppgiftsskydd, vilket därmed ger utrymme för motstri­ rade i enlighet med artikel 32 i förordning (EG) diga normer och olika möjliga tolkningar som sannolikt nr 45/2001. En förutsättning för rättsmedlen är att data­ kommer att prövas i domstol. Överläggningarna om för­ tillsynsmannen av den registeransvarige eller en gemen­ slaget om al-Qaida tycks röra sig i riktning mot en minsk­ skapsinstitution eller ett gemenskapsorgan får tillgång till ning av hänvisningarna till rättigheterna i fråga om upp­ alla personuppgifter och all information som behövs för giftsskydd och nödvändiga inskränkningar. datatillsynsmannens utredningar (se artikel 47.2 b i förord­ ning (EG) nr 45/2001).

49. Mot bakgrund av detta rekommenderar datatillsynsmannen lagstiftaren att ta itu med denna känsliga fråga genom att i 54. Oberoende tillsyn över hur bestämmelser i fråga om upp­ de aktuella förslagen eller i ett annat rättsinstrument klar­ giftsskydd efterlevs är en grundläggande princip för upp­ göra såväl principerna om inskränkningar av uppgiftsskyd­ giftsskydd som nu på nytt uttryckligt bekräftats, med det som de kontrollmekanismer som kan vara nödvändiga avseende på behandling av personuppgifter inom ramen inom området för restriktiva åtgärder. Detta skulle göra för all EU:s verksamhet, i såväl artikel 8 i EU:s stadga restriktionerna förutsebara och proportionerliga, vilket på om de grundläggande rättigheterna som i artikel 16 i en och samma gång skulle göra att de restriktiva åtgär­ EUF-fördraget och artikel 39 i EU-fördraget. derna blir verkningsfulla, att grundläggande rättigheter re­ spekteras och att tvisterna i domstol blir färre. Dessutom speglar detta Stockholmsprogrammet där det tydligt anges 55. Datatillsynsmannen är, vilket redan nämnts i yttrandet av att EU ska föreskriva och reglera under vilka omständighe­ den 28 juli 2009 ( 5 ), orolig för att villkoret i de aktuella ter det är motiverat för de offentliga myndigheterna att ingripa i utövandet av rättigheter i fråga om uppgifts­ 3 ( ) Dom av den 12 september 2007 i mål T-259/03, Nikolaou mot kom­ skydd ( 2 ). missionen, REG 2007, s. II-99; dom av den 8 juli 2008 i mål T-48/05, Franchet och Byk mot kommissionen, ännu inte registrerat. ( 4 ) Se artikel 6 i förslaget till rådets förordning om ändring av förord­ ning (EG) nr 881/2002 om införande av vissa särskilda restriktiva IV.7 Ansvarsskyldighet i händelse av olaglig behand­ åtgärder mot vissa med Usama bin Ladin, nätverket al-Qaida och ling av personuppgifter talibanerna associerade personer och enheter; artikel 6 i förslaget till rådets förordning om införande av vissa särskilda restriktiva åtgärder 50. Enligt artikel 32.4 i förordning (EG) nr 45/2001 och mot vissa fysiska och juridiska personer, enheter och organ mot artikel 23 i direktiv 95/46/EG har en person som har bakgrund av situationen i Somalia; artikel 11.1 i förslaget till rådets åsamkats skada på grund av olaglig behandling av uppgif­ förordning om ändring av rådets förordning (EG) nr 329/2007 om restriktiva åtgärder mot Demokratiska folkrepubliken Korea; artikel 8 ter rätt till ersättning från den registeransvarige för det i förslaget till rådets förordning om införande av vissa specifika restriktiva åtgärder mot Guinea. Förslaget till rådets förordning om ( 1 ) Meddelandet av den information som avses i artikel 20.3 och 20.4 ändring av rådets förordning (EG) nr 314/2004 om vissa restriktiva kan skjutas upp så länge informationen skulle göra begränsningen åtgärder mot Zimbabwe innehåller däremot inte någon liknande verkningslös (se artikel 20.5). bestämmelse. ( 2 ) Punkt 2.5. ( 5 ) Punkterna 27–32. C 73/8 SV Europeiska unionens officiella tidning 23.3.2010 förslaget om att sekretessbelagda uppgifter endast ska läm­ spekten för den grundläggande rätten till skydd av person­ nas ut med samtycke från upphovsmannen kan inkräkta uppgifter. Nödvändiga inskränkningar av dessa rättigheter på datatillsynsmannens tillsynsbefogenheter på detta om­ bör tydligt fastställas i lag, vara proportionerliga och råde och dessutom påverka den rättsliga prövningens ef­ i samtliga fall respektera det väsentliga i dessa rättigheter. fektivitet genom att det påverkar EU-domstolens möjlighet att bedöma huruvida en korrekt avvägning görs mellan nödvändigheten att bekämpa internationell terrorism och skyddet av grundläggande rättigheter. Såsom framgår av 60. Datatillsynsmannen hälsar med tillfredsställelse hänvisning­ förstainstansrättens dom av den 4 december 2008 kan arna i de aktuella förslagen till tillämpligheten av förord­ tillgång till sekretessbelagda uppgifter vara nödvändig för ning (EG) nr 45/2001 och till de rättigheter för de regi­ att domstolen ska kunna göra detta ( 1 ). strerade som följer av förordningen.

61. Med avseende på uppgifternas kvalitet och begränsning av 56. Mot bakgrund av detta rekommenderar datatillsynsmannen syftet rekommenderar datatillsynsmannen vissa ändringar att man i de aktuella förslagen ser till att de befintliga för att se till att endast nödvändiga uppgifter rättsmedlen och den oberoende tillsynen genom tillsyns­ behandlas, att dessa uppgifter hålls aktuella och att de myndigheter för uppgiftsskydd fullt ut kan tillämpas och inte lagras längre än vad som är nödvändigt. I synnerhet att villkoren för tillgång till sekretessbelagda handlingar rekommenderar datatillsynsmannen att verkningsfulla inte inverkar menligt på deras verkningsgrad. I detta sam­ mekanismer för avförande av fysiska personer från förteck­ manhang vore det ett första steg att i de berörda artiklarna ningar och för regelbunden översyn av EU-förteckningar i de aktuella förslagen ( 2 ) ersätta ”lämnas ut/utlämnas” med införs med avseende på samtliga nuvarande och framtida ”lämnas ut till allmänheten”. förslag inom detta område.

58. I detta sammanhang välkomnar datatillsynsmannen, på 63. Datatillsynsmannen rekommenderar starkt att lagstiftaren i samma sätt som i sitt yttrande av den 28 juli 2009 om de nuvarande och framtida förslagen tar upp den väsentliga restriktiva åtgärder mot al-Qaida, kommissionens avsikt att frågan om rätten för i förteckningar upptagna personer att förbättra den befintliga rättsliga ramen genom att utveckla få tillgång till de personuppgifter som avser dem och som förfarandet för upptagande i förteckningar och genom att återfinns i sekretessbelagda dokument, med förbehåll för uttryckligen beakta rätten till skydd av personuppgifter. de proportionerliga begränsningar som kan vara nödvän­ diga under vissa omständigheter.

59. Mot bakgrund av de verktyg som Lissabonfördraget och den långsiktiga visionen i Stockholmsprogrammet erbjuder 64. Datatillsynsmannen rekommenderar lagstiftaren att se till rekommenderar datatillsynsmannen starkt kommissionen att adekvata system och kontrollmekanismer – som speci­ att överge den nuvarande lappverksmetoden – varigenom fikationer i förslagen och överenskommelser med FN specifika, och stundtals skiljaktiga, bestämmelser i fråga om eller andra relevanta tredjeländer – inrättas i syfte att säker­ behandling av personuppgifter antas för olika länder eller ställa ett tillräckligt skydd av personuppgifter som är före­ organisationer – och i stället lägga fram ett förslag om en mål för utbyte med tredjeländer och internationella orga­ enhetlig övergripande ram för samtliga riktade sanktioner nisationer. som EU vidtar mot fysiska eller juridiska personer, enheter eller organ, som tryggar respekten för de berörda perso­ nernas grundläggande rättigheter och då i synnerhet re­ 65. Datatillsynsmannen rekommenderar lagstiftaren att i de aktuella förslagen eller i ett annat rättsinstrument förtydliga ( 1 ) Dom av den 4 december 2008 i mål T-284/08, PMOI mot rådet, ännu inte registrerat. Se särskilt punkterna 7476. såväl inskränkningar av principer för uppgiftsskydd som de ( 2 ) Se artikel 11b.2 i förslaget till rådets förordning om ändring av kontrollmekanismer som kan vara nödvändiga inom om­ rådets förordning (EG) nr 314/2004 om vissa restriktiva åtgärder rådet restriktiva åtgärder, i syfte att göra restriktionerna mot Zimbabwe; artikel 13.2 i förslaget till rådets förordning om förutsebara och proportionerliga. införande av vissa särskilda restriktiva åtgärder mot vissa fysiska och juridiska personer, enheter och organ mot bakgrund av situa­ tionen i Somalia; artikel 13.6 i förslaget till rådets förordning om ändring av rådets förordning (EG) nr 329/2007 om restriktiva åt­ 66. Datatillsynsmannen konstaterar att principen om ansvar gärder mot Demokratiska folkrepubliken Korea; artikel 12.7 i för­ slaget till rådets förordning om införande av vissa specifika restrik­ för olaglig hantering av personuppgifter fortfarande gäller tiva åtgärder mot Guinea. och inte kan berövas sitt väsentliga innehåll. 23.3.2010 Europeiska SV unionens officiella tidning C 73/9 67. Datatillsynsmannen rekommenderar att man ser till att de befintliga rättsmedlen och den oberoende tillsynen genom tillsynsmyndigheter för uppgiftsskydd fullt ut kan tillämpas och att villkoren för tillgång till sekretessbelagda handlingar inte inverkar menligt på deras verkningsgrad. Utfärdat i Bryssel den 16 december 2009. Peter HUSTINX Europeisk datatillsynsman