EU-Japan Joint Customs Cooperation

C 190/2 SV Europeiska unionens officiella tidning 14.7.2010

EUROPEISKA DATATILLSYNSMANNEN

Europeiska datatillsynsmannens yttrande om förslaget till rådets beslut om unionens ståndpunkt i den gemensamma tullsamarbetskommittén för EU och Japan om det ömsesidiga erkännandet av programmen för godkända ekonomiska aktörer i Europeiska unionen och Japan

(2010/C 190/02)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT FÖLJANDE Det aktuella yttrandet grundas därför på artikel 41.2 i YTTRANDE samma förordning. Datatillsynsmannen rekommenderar att en hänvisning till detta yttrande tas med i ingressen till beslutet.

med beaktande av fördraget om Europeiska unionens funktions­ sätt, särskilt artikel 16 i detta,

3. Datatillsynsmannen har noterat några brister och oklarheter när det gäller skyddet av personuppgifter. Efter en beskriv­ ning av sammanhanget och bakgrunden till förslaget i ka­ med beaktande av Europeiska unionens stadga om de grund­ pitel III kommer dessa kommenterar att utvecklas i kapitel läggande rättigheterna, särskilt artikel 8 i denna, IV.

med beaktande av Europaparlamentets och rådets direktiv II. SAMRÅD MED EUROPEISKA DATATILLSYNSMANNEN 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och 4. Datatillsynsmannen har utfärdat ett policydokument där om det fria flödet av sådana uppgifter ( 1 ), dennes rådgivande roll beskrivs: ”The EDPS as an advisor to the Community Institutions on proposals for legislation and related documents” (om datatillsynsmannens rådgi­ vande roll för gemenskapsinstitutionerna när det gäller lag­ förslag och relaterade handlingar) ( 4 ). Denna rådgivande roll med beaktande av Europaparlamentets och rådets förordning grundas på artiklarna 28.2 och 41 i förordning (EG) nr (EG) nr 45/2001 av den 18 december 2000 om skydd för 45/2001. I skäl 17 i förordningen anges dessutom följande: enskilda då gemenskapsinstitutionerna och gemenskapsorganen ”En förutsättning för att skyddet av personer skall bli ef­ behandlar personuppgifter och om den fria rörligheten för så­ 2 fektivt vid behandling av personuppgifter i unionen är att dana uppgifter, särskilt artikel 41 i denna ( ). de regler och förfaranden som på detta område skall till­ lämpas på den verksamhet som omfattas av de olika rätts­ liga ramarna är enhetliga”. Faktum är att enhetligheten ska ses som ett nödvändigt inslag för att uppnå en hög grad av HÄRIGENOM FRAMFÖRS FÖLJANDE: uppgiftsskydd på EU-nivå, vilket också innefattar unionens yttre åtgärder.

1. Den 19 februari 2010 antog kommissionen ett förslag till 5. Detta omfattande ansvar för datatillsynsmannen har erkänts rådets beslut om unionens ståndpunkt i den gemensamma av Europeiska kommissionen och det är rådande praxis att tullsamarbetskommittén för EU och Japan om det ömsesi­ datatillsynsmannen rådfrågas av kommissionen om alla re­ diga erkännandet av programmen för godkända ekono­ levanta förslag, både om lagstiftningsinstrument och om miska aktörer i Europeiska unionen och Japan ( 3 ). andra instrument. Datatillsynsmannens rådgivande uppgift gäller ”frågor som rör behandling av personuppgifter”. Detta innebär att all lagstiftning som innehåller bestämmel­ ser om behandling av personuppgifter eller bestämmelser som inverkar (eller kan inverka) på sådan behandling bör

2. Europeiska datatillsynsmannen har inte rådfrågats såsom vara föremål för samråd. Samma sak gäller för alla instru­ krävs enligt artikel 28.2 i förordning (EG) nr 45/2001. ment som faller inom unionens externa behörighet.

14.7.2010 Europeiska SV unionens officiella tidning C 190/3

6. I policydokumentet beskrivs också samrådets tidsaspekt. Ett nen med tillhörande uppgifter, då främst om programmed­ samråd i ett tidigt skede i lagstiftningsprocessen gör det lemmar, ska ske systematiskt och elektroniskt. De uppgifter möjligt för datatillsynsmannen att agera effektivt och före­ som ska utbytas om ekonomiska aktörer som godkänts slå ändringar av en text. Detta är ett informellt samråd och genom program för godkända ekonomiska aktörer anges, utkastet till text ska skickas till datatillsynsmannen av kom­ till exempel namnet på den ekonomiska aktör som har missionens ansvariga avdelning, där det är lämpligt, innan status som godkänd ekonomisk aktör, adressen till den det formella förslaget antas. Efter det att förslaget har an­ berörda ekonomiska aktören, etc. tagits är det formella samrådet ett andra steg. I detta skede offentliggörs datatillsynsmannens råd i EUT (C-serien).

7. I fråga om det föreliggande förslaget har datatillsynsman­ 12. Reglerna för godkända ekonomiska aktörer fastställs i nen såsom nämnts ovan varken mottagit utkastet till för­ artikel 5a i Europaparlamentets och rådets förordning slag eller förslaget till samråd efter dess antagande. Datatill­ (EG) nr 648/2005 ( 3 ). Där anges följande: ”1. (…). En god­

synsmannen uttrycker särskild besvikelse över detta händel­ känd ekonomisk aktör skall omfattas av lättnader i fråga seförlopp eftersom hans deltagande skulle ha inneburit ett om säkerhets- och skyddsrelaterade tullkontroller och/eller idealiskt tillfälle att ge ett mervärde till förslaget, vilket förenklingar enligt tullagstiftningen. (…)”.

kommer att förklaras nedan.

och Japans program för godkända ekonomiska aktörer är ”en person som i sin näringsverksamhet ägnar sig åt verk­ förenliga och likvärdiga och att den motsvarande statusen samhet som omfattas av tullagstiftningen”. En ekonomisk som godkänd ekonomisk aktör godkänns ömsesidigt. aktör kan alltså vara en fysisk eller juridisk person. Begrep­ pet ”ekonomisk aktör” innefattar godkända ekonomiska aktörer, såsom avses i punkt 9. Informationen om vissa godkända ekonomiska aktörer kan därför betraktas som ”personuppgifter” i enlighet med artiklarna 2 a i förordning 9. Förbindelserna mellan EU och Japan på tullområdet grun­ (EG) nr 45/2001 och direktiv 95/46/EG, åtminstone infor­ das på avtalet om samarbete och ömsesidigt administrativt 1 mationen om de godkända ekonomiska aktörer som är bistånd i tullfrågor (nedan kallat tullsamarbetsavtalet) ( ) fysiska personer. Även informationen om godkända ekono­ som trädde i kraft den 1 februari 2008. Enligt tullsam­ miska aktörer som är juridiska personer kan i vissa fall arbetsavtalet omfattar tullsamarbetet alla frågor som gäller betraktas som personuppgifter. I detta fall är den avgörande tillämpningen av tullagstiftningen. I avtalet uppmanas också faktorn huruvida informationen ”avser” en ”identifierbar fy­ unionen och Japan att samarbeta för att utveckla handels­ sisk person” ( 5 ). Följaktligen råder det inga tvivel om att främjande åtgärder på tullområdet i enlighet med interna­ 2 ). Ömsesidigt erkännande av programmen personuppgifter kan komma att utbytas i samband med tionella normer ( förslaget i fråga. för godkända ekonomiska aktörer och säkerhetsåtgärder underlättar handeln och förbättrar säkerheten i hela försörj­ ningskedjan.

14. Personuppgifterna kommer att hanteras av tullmyndighe­ 10. I förslaget anges också bland annat att tullmyndigheterna terna. I artikel I.2 i bilagan till förslaget anges att ”De tull­ ska se till att systemen är förenliga och att varje tullmyn­ myndigheter som definieras i artikel 1 c i tullsamarbets­ dighet ska tillhandahålla jämförbara förmåner för ekono­ avtalet (…) ansvarar för genomförande av det här beslutet”. miska aktörer med status som godkända ekonomiska aktö­ Referensdefinitionen är att ”tullmyndighet” i gemenskapen rer. Det uppges också att tullmyndigheterna måste förbättra ska avse ”de behöriga enheter inom Europeiska gemenska­ kommunikationen samt utbyta information. I förslaget pernas kommission som är ansvariga för tullfrågor samt anges vilken information som ska utbytas om godkända tullmyndigheterna i gemenskapens medlemsstater”. Därför ekonomiska aktörer. kommer både förordning (EG) nr 45/2001 och direktiv 95/46/EG att vara tillämpliga inom denna ram ( 6 ). Förord­

ning (EG) nr 45/2001 gäller kommissionens behandling medan direktiv 95/46/EG gäller de nationella tullmyndig­ IV. ANALYS AV FÖRSLAGET heternas behandling.

IV.1 Dataskyddslagens tillämplighet ( 3 ) EUT L 117, 4.5.2005, s. 13. ( 4 ) EUT L 360, 19.12.2006, s. 64. 11. Artikel IV i bilagan till förslaget gäller informationsutbyte ( 5 ) Se artikel 29-gruppen för skydd av personuppgifter, yttrande nr och kommunikation. Det anges att utbytet av informatio­ 4/2007 om begreppet personuppgifter, WP 136, tillgänglig på: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2007/ ( 1 ) EUT L 62, 6.3.2008, s. 24. wp136_sv.pdf, särskilt sidorna 23 och 24. ( 2 ) Artikel 4 i tullsamarbetsavtalet. ( 6 ) Artiklarna 3.1 i förordning (EG) nr 45/2001 och direktiv 95/46/EG.

C 190/4 SV Europeiska unionens officiella tidning 14.7.2010

IV.2 Internationella överföringar av personuppgifter 20. När det gäller det föreliggande förslaget har man inte följt

detta förfarande. Förklaringen som gjorts i punkt 11, om 15. Både i direktivet och i förordningen anges analoga regler att Japans system för uppgiftsskydd är ”adekvat”, står därför

som gäller gränsöverskridande flöde av personuppgifter, i i strid med artikel 25.6 i direktivet. Datatillsynsmannen

artiklarna 25–26 respektive 9. Den princip som fastställs rekommenderar därför starkt att denna förklaring stryks.

där medför att personuppgifter inte kan överföras från en

medlemsstat till ett tredje land om inte detta tredje land

garanterar en tillräcklig grad av skydd (eller om inte till­

räckliga skyddsmekanismer antas, eller något av de angivna undantagen skulle vara tillämpligt). 21. Datatillsynsmannen medger att det i artikel IV.5 i bilagan

till förslaget anges att ”Tullmyndigheterna garanterar skydd

av personuppgifter i enlighet med tullsamarbetsavtalet,

framförallt artikel 16”. Artikel 16 behandlar ”Informations­ Förklaring om adekvata regler i förslaget utbyte och sekretess” och i punkt 2 i denna artikel anges

följande: ”Personuppgifter får utbytas endast om den mot­ 16. Motiveringen innehåller en punkt om uppgiftsskydd (punkt tagande avtalsslutande parten åtar sig att skydda uppgif­ 5). I punkt 11 uppges det att Japans system för uppgifts­ terna på ett sätt som åtminstone är likvärdigt med det skydd är adekvat enligt artikel 9 i förordning (EG) nr sätt som i det aktuella fallet gäller hos den avtalsslutande 45/2001. I artikel 9 behandlas det system som ska gälla i part som lämnar uppgifterna. Den avtalsslutande part som händelse av överföring av personuppgifter till andra motta­ tillhandahåller uppgifterna får inte ställa strängare krav än gare än gemenskapsinstitutioner och gemenskapsorgan, de som gäller inom den egna jurisdiktionen”. som inte omfattas av direktiv 95/46/EG, såsom är fallet

för tredjeländer som Japan.

22. Datatillsynsmannen skulle dock vilja betona att såsom be­ 17. I förordningens artikel 9.1 anges följande: ”Personuppgifter skrivits ovan, systemet för att analysera ett tredje lands grad får endast överföras till andra mottagare än gemenskaps­ av skydd grundas på om det är ”adekvat”, inte på om det är institutionerna och gemenskapsorganen vilka inte omfattas ”likvärdigt” (jämför EU:s aktuella internationella åtagan­ av den nationella lagstiftning som har antagits med stöd av den) ( 1 ). I alla händelser förefaller artikel 16 ha en föreskri­ direktiv 95/46/EG, om en adekvat skyddsnivå har säker­ vande funktion, eftersom inga belägg ges i tullsamarbets­ ställts i mottagarens land eller inom den mottagande inter­ avtalet för att det föreligger ”likvärdighet”. Dessutom hän­ nationella organisationen och om uppgifterna överförs ute­ visar det inte till att någon analys gjorts av ”likvärdighet” slutande för att göra det möjligt för den registeransvarige eller ens av ”adekvata regler”. Därmed kan enbart denna att utföra de uppgifter för vilka han har behörighet.” förklaring i artikel 16 inte ses som en avgörande faktor i

en bedömning av adekvata regler, och kan inte utgöra

grunden för den förklaring som görs i punkt 11 i motive­

ringen. 18. I artikel 9.2 anges att bedömningen av skyddsnivån i ett

tredje land eller inom en internationell organisation ska ske

på grundval av ”alla de förhållanden som har samband med

en eller flera överföringar av personuppgifter”. Vidare ges

några exempel på aspekter som ska beaktas vid bedöm­ Ett bredare perspektiv när det gäller ärendets specifika omstän­ ningen: ”(…) Särskild hänsyn skall tas till uppgifternas art,

digheter

den föreslagna behandlingens eller behandlingarnas ända­

mål och varaktighet, det tredje land eller den internationella 23. Det bör noteras att bedömningen av skyddsnivån i ett visst

organisation som utgör slutdestination, den lagstiftning, land kan genomföras på olika nivåer och med olika rätts­

både allmän och sektoriell, som gäller i ifrågavarande tredje liga effekter, av Europeiska kommissionen, dataskyddsmyn­

land eller för ifrågavarande internationella organisation digheter och registeransvariga. Ett fastställande från

samt de yrkesregler och säkerhetsbestämmelser som skall Europeiska kommissionens sida om att situationen är ade­

följas i detta tredje land eller denna internationella organi­ kvat enligt artikel 25.6 i direktiv 95/46/EG är bindande för

sation”. Denna förteckning är inte uttömmande. Andra ele­ medlemsstaterna. Detta gäller även EU:s institutioner och

ment kan också vara relevanta beroende på det aktuella organ enligt artikel 9.5 i förordningen. I avsaknad av ett

fallet. sådant beslut överlämnas bedömningen av om reglerna är

adekvata till dataskyddsmyndigheter i många medlemssta­

ter, och i andra till registeransvariga, under tillsyn av

19. Artikel 9 i förordningen måste tolkas mot bakgrund av ( 1 ) Se artikel XIV i Gats: ”Med iakttagande av kravet att sådana åtgärder artiklarna 25 och 26 i direktiv 95/46/EG. I artikel 25.6 i icke tillämpas på ett sätt som skulle innebära ett medel för godtyck­ direktivet anges följande: ”Kommissionen kan, i enlighet lig eller oberättigad diskriminering mellan länder där samma förhål­ med det i artikel 31.2 angivna förfarandet, konstatera att landen råder eller en förtäckt inskränkning av internationell handel,

land är ”adekvat”. (…)”.

14.7.2010 Europeiska SV unionens officiella tidning C 190/5

dataskyddsmyndigheter. Artikel 9 i förordningen följer tyd­ för utbytet av information i samband med programmen för ligt denna senare modell. godkända ekonomiska aktörer.

24. Detta innebär att även om ett land som helhet inte har 30. Mot denna bakgrund måste registeransvariga (i detta fall de förklarats vara ”adekvat” enligt det förfarande som anges i behöriga avdelningarna inom Europeiska kommissionen artikel 25.6 i direktivet, kan det tillämpliga systemet för med ansvar för tullfrågor och tullmyndigheterna i unionens uppgiftsskydd för en särskild överföring eller en särskild medlemsstater) genomföra en bedömning för att kontrol­ grupp överföringar anses vara ”adekvat” av den register­ lera om ett destinationsland (i detta fall Japan) verkligen ansvarige (i det sammanhang som förklaras nedan). tillhandahåller en tillräcklig skyddsnivå för de särskilda överföringarna i fråga och att de begränsas till de specifika syftena och mottagarna i detta land ( 2 ) (detta är utbytet av 25. Mot bakgrund av artikel 9.2 i förordningen (samt uppgifter för genomförande av programmen för godkända artikel 25.2 i direktivet), bör den registeransvarige bedöma ekonomiska aktörer). Någon sådan bedömning genomför­ alla omständigheter som kringgärdar en eller flera över­ des dock inte. föringar av uppgifter. Analysen behöver göras på konkret sätt, med beaktande av de särskilda egenskaperna (garantier och/eller risker) för överföringen eller gruppen överföringar i fråga. Denna bedömning skulle leda till en slutsats gäl­ 31. Förslaget skulle ha kunnat följa detta tillvägagångssätt, som lande den befintliga skyddsnivån när det gäller en särskild ett alternativ till de förfarande för adekvata regler för Japan överföring eller en grupp överföringar och skulle begränsas som beskrivits ovan. till de syften som beaktats av den registeransvarige och mottagarna i slutdestinationslandet. I detta fall skulle den registeransvarige ha ansvaret för att kontrollera huruvida

Andra alternativ

villkoren för adekvata regler är uppfyllda. När analysen har gjorts av den registeransvarige skulle slutsatsen vara 32. Förslaget skulle också ha kunnat undersöka om de register­ föremål för tillsyn av dataskyddsmyndigheten. ansvariga skulle kunna åberopa andra typer av skydds­ mekanismer såsom i artikel 9.7 i förordningen och 26.2 i direktivet, eller huruvida något av de undantag som nämns 26. I punkt 11 i motiveringen anges att de japanska regler som i artiklarna 9.6 i förordningen eller 26.1 i direktivet var beaktas finns i Japans tullagstiftning (artikel 108-2), i ”Law tillämpliga ( 3 ). for International Assistance in Investigation and other rela­ ted matters” (artiklarna 1 och 3), i ”National Public Service Law” (artikel 100), i ”Act on the Protection of Personal Information Held by Administrative Organs” (artikel 8) IV.3 Ytterligare krav enligt dataskyddslagen och i ”Act on Access to Information Held by Administra­ tive Organs” (artikel 5). Uppgifternas kvalitet

33. Principen om uppgifternas kvalitet beskrivs i förordningens artikel 4. Där anges bland annat att ”personuppgifter … c) 27. Datatillsynsmannen har inga belägg för att dessa regler har skall vara adekvata och relevanta och får inte omfatta mer utvärderats mot bakgrund av artikel 29-gruppens arbets­ än vad som är nödvändigt med hänsyn till de ändamål för dokument (arbetsdokument 12), ”Överföring av personupp­ vilka de samlas in och för vilka de senare behandlas”. De gifter till tredje land: tillämpning av artiklarna 25 och 26 i uppgiftskategorier som nämns i artikel IV.4 förefaller följa EU:s dataskyddsdirektiv”, och på ett sätt som följer de prin­ denna princip. ciper som fastställts i detta ( 1 ).

34. I artikel 4 i förordningen anges vidare: ”Personuppgifter 28. Man bör också betänka att metoden med adekvata regler (…) e) skall lagras på ett sätt som förhindrar att de regi­ medför att både lagens bokstav och lagens tillämpning ska strerade kan identifieras under en längre tid än vad som är beaktas (objektivt och funktionellt tillvägagångssätt). Därför nödvändigt för de ändamål för vilka uppgifterna samlades utgör övervägandet av dessa rättsliga regler i sig inte till­ in eller för vilka de senare behandlas. (…)”. Det är därför räckliga belägg för att de har genomförts i praktiken. nödvändigt att fastställa en lagringsperiod för behandling av personuppgifterna.

C 190/6 SV Europeiska unionens officiella tidning 14.7.2010

Den registrerades rättigheter ven i förordning (EG) nr 45/2001 och direktiv 95/46/EG. Vidare rekommenderar han att man utforskar de olika möj­ 35. Kommissionen måste se till att det finns mekanismer som ligheter som förordningen och direktivet ger för att säkra garanterar att den registrerade kan utöva sina rättigheter, respekten för regler för internationella överföringar. såsom rätten till tillgång och rättelse (artiklarna 13 och 14 i förordningen). 39. Datatillsynsmannen rekommenderar också att kommissio­ nen

Skyldighet att tillhandahålla information

36. I artiklarna 11 och 12 i förordningen anges att information — fastställer en lagringsperiod för de personuppgifter som ska ges till den registrerade personen och att det ska anges ska behandlas, hur länge uppgifterna kommer att lagras. Kommissionen kommer att behöva inrätta det förfarande som ska följas för att till exempel fastställa om information kommer att — tillhandahåller mekanismer som garanterar att den regi­ ges vid insamlingen av uppgifter (av tredjelandet) eller av strerade kan utöva sina rättigheter, kommissionen själv.

— fastställer ett förfarande för att tillhandahålla infor­ V. SLUTSATSER OCH REKOMMENDATIONER mation till de registrerade personerna. 37. Datatillsynsmannen uttrycker besvikelse över att det sam­ rådsförfarande som beskrivs i kapitel II inte följdes. Utfärdat i Bryssel den 12 mars 2010.

38. Datatillsynsmannen rekommenderar att man stryker förkla­ Peter HUSTINX ringen om att de japanska reglerna är adekvata i punkt 11 i motiveringen, eftersom denna förklaring inte uppfyller kra­ Europeiska datatillsynsmannen