Waste electrical and electronic equipment (WEEE)

C 280/16 SV Europeiska unionens officiella tidning 16.10.2010

Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets direktiv om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE)

(2010/C 280/02)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA artikel 41.2 i samma förordning. Datatillsynsmannen re­ YTTRANDE kommenderar att en hänvisning till detta yttrande införs i ingressen i förslaget.

med beaktande av fördraget om Europeiska unionens funktions­ 3. Datatillsynsmannen är medveten om att detta råd kommer sätt, särskilt artikel 16, i ett sent skede av lagstiftningsförfarandet men anser likväl att det är lämpligt och av värde att framföra detta yttrande eftersom förslaget väcker viktiga frågor om dataskydd som inte behandlas i texten. Detta yttrande är inte avsett att med beaktande av Europeiska unionens stadga om de grund­ ändra det huvudsakliga och avgörande syftet och innehållet läggande rättigheterna, särskilt artikel 8, i förslaget, vars ”tyngdpunkt” ( 4 ) fortfarande ligger på mil­ jöskydd, utan är endast avsett att tillföra ytterligare en di­ mension som blir allt viktigare i vårt informationssam­ hälle ( 5 ).

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och 4. Datatillsynsmannen är även medveten om det begränsade om det fria flödet av sådana uppgifter, särskilt artikel 17, och tillämpningsområdet för förfarandet med omarbetning men uppmanar likväl lagstiftaren att beakta dessa rekommenda­ tioner i enlighet med artikel 8 i det interinstitutionella av­ talet om ett omarbetningsförfarande (enligt vilken det fast­ med beaktande av Europaparlamentets och rådets förordning ställs en möjlighet att ändra oförändrade bestämmelser) ( 6 ). (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda personer då gemenskapsinstitutionerna och gemen­ skapsorganen behandlar personuppgifter och om den fria rör­ II. SAMMANHANG OCH BAKGRUND NÄR DET GÄLLER ligheten för sådana uppgifter, särskilt artikel 41.

5. Syftet med förslaget är att uppdatera det befintliga direkti­ vet om bortskaffande, återanvändning och materialåtervin­ HÄRIGENOM FRAMFÖRS FÖLJANDE. ning av WEEE. Tekniska, juridiska och administrativa svå­ righeter från de första årens genomförande av direktivet har lett fram till förslaget, i enlighet med vad som föreskrivs i artikel 17.5 i direktivet. I. INLEDNING

1. Den 3 december 2008 antog kommissionen ett förslag till 6. Elektriska och elektroniska produkter (EEE) är en bred pro­ Europaparlamentets och rådets direktiv om avfall som ut­ duktgrupp som omfattar en mängd olika medier lämpade görs av eller innehåller elektriska eller elektroniska produk­ för lagring av personuppgifter – såsom IT- och telekom­ ter (WEEE) (nedan kallat förslaget) ( 1 ). Förslaget syftar till att munikationsutrustning (t.ex. persondatorer, bärbara datorer, omarbeta direktiv 2002/96/EG om avfall som utgörs av elektroniska kommunikationsterminaler) – som i det aktu­ eller innehåller elektriska eller elektroniska produkter ella teknisk-ekonomiska sammanhanget kännetecknas av (WEEE) som antogs den 27 januari 2003 (nedan kallat allt snabbare innovationscykler och, på grund av teknisk direktivet) ( 2 ) utan att ändra varken bakgrunden till eller syf­ konvergens, tillgången till apparater med flera användnings­ tena med insamling och materialåtervinning av WEEE. områden. Utvecklingen av elektroniska lagringsmedier sker 16.10.2010 Europeiska SV unionens officiella tidning C 280/17 allt snabbare, särskilt när det gäller lagringskapacitet denna fas betingar ett lägre ekonomiskt värde innehåller de och -storlek, och marknadskrafterna gör därför att troligen en stor mängd personuppgifter och har därför omsättningen av EEE (som innehåller stora mängder, ofta troligen ett högt verkligt värde för de registrerade och/eller känsliga, personuppgifter) ökar i motsvarande takt. Detta andra personer. resulterar bland annat i att WEEE anses vara det avfallsflöde som ökar snabbast inom EU ( 7 ), men att det vid olämpligt bortskaffande av avfall även finns en uppenbart ökad risk för förlust och spridning av personuppgifter som lagras i denna typ av EEE. III. ANALYS AV FÖRSLAGET III.1. Tillämplighet av direktiv 95/46/EG

12. Datatillsynsmannen har inga synpunkter på förslagets över­ 7. Europeiska unionens politik när det gäller miljö och hållbar gripande målsättning och ställer sig utan förbehåll bakom utveckling har länge syftat till att minska slöseriet med initiativet som syftar till att förbättra miljövänliga strategier naturresurser och införa åtgärder för att förebygga miljö­ när det gäller WEEE. förstöring.

8. Bortskaffandet, återanvändningen och materialåtervinningen 13. Förslaget, såväl som direktivet, är emellertid endast inriktat av WEEE omfattas av detta ramverk. Åtgärderna syftar till på miljöriskerna i samband med bortskaffandet av WEEE. att förebygga att elektriska och elektroniska produkter bort­ Det beaktar inte andra risker för individer och/eller organi­ skaffas tillsammans med blandat avfall och att ålägga till­ sationer som åtgärderna för bortskaffande, återanvändning verkare skyldigheten att tillhandahålla bortskaffande såsom eller materialåtervinning av WEEE kan medföra, särskilt de föreskrivs i direktivet. som är förknippade med sannolikheten för olämpligt för­ värv, utlämnande eller spridning av personuppgifter som lagras i WEEE.

9. Bland de olika åtgärder som föreskrivs i direktivet är det särskilt värt att uppmärksamma de som avser återanvänd­ ning (dvs. varje åtgärd genom vilken WEEE eller komponen­ 8 14. Det är viktigt att notera att direktiv 95/46/EG ( ) är till­ ter till WEEE används för samma syfte som de ursprung­ lämpligt på ”varje åtgärd eller serie av åtgärder som vidtas ligen var avsedda för, inklusive fortsatt användning av pro­ beträffande personuppgifter” inklusive deras ”utplåning eller dukter, eller komponenter till sådana, som har lämnats in förstöring” (artikel 2 b). Bortskaffande av EEE kan omfatta till insamlingsplatser, distributörer, återförsäljare, återvin­ behandling av uppgifter. Därför överlappar förslaget och ningsföretag eller tillverkare), materialåtervinning (dvs. bear­ det nämnda direktivet varandra, och dataskyddsbestämmel­ betning av avfallsmaterial i en produktionsprocess för det ser kan därför vara tillämpliga på aktiviteter som omfattas ursprungliga syftet eller för andra syften) samt åtgärder för av förslaget. att finna andra former för återvinning av WEEE för att minska bortskaffandet av avfall (se artiklarna 1, 3 d och 3 e i direktivet). III.2. Bortskaffande av och säkerhetsåtgärder för WEEE

10. Dessa åtgärder, i synnerhet återanvändning och materialå­ 15. Datatillsynsmannen har för avsikt att uppmärksamma de tervinning av WEEE och särskilt IT- och telekommunika­ betydande risker som kan drabba individer och/eller orga­ nisationer som är registeransvariga ( 9 ) om WEEE, i synnerhet tionsutrustning, kan innebära en större risk än tidigare för IT- och telekommunikationsutrustning, vid bortskaffandet att den som samlar in WEEE eller säljer och köper de innehåller personuppgifter om användarna av dessa appa­ använda eller återvunna produkterna kan få kännedom rater och/eller tredje man. Olaglig tillgång till eller utläm­ om eventuella personuppgifter som lagras däri. Sådana nande av sådana personuppgifter, som ibland kan bestå av uppgifter är ofta känsliga eller rör ett stort antal individer. särskilda kategorier av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filoso­ fisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv (s.k. känsliga uppgifter) ( 10 ), kan 11. Av samtliga ovannämnda skäl finner datatillsynsmannen mycket väl påverka de registrerade individernas personliga det angeläget att alla berörda parter (användare och tillver­ integritet och värdighet samt dessa individers/organisatio­ kare av EEE) blir medvetna om riskerna för personuppgif­ ners andra legitima intressen (t.ex. ekonomiska). ter, särskilt i slutfasen av livscykeln för EEE. Även om EEE i ( 8 ) Europaparlamentets och rådets direktiv 95/46/EG av den ( 7 ) Se arbetsdokument från kommissionens avdelningar som åtföljer 24 oktober 1995 om skydd för enskilda personer med avseende förslag till Europaparlamentets och rådets direktiv om avfall som på behandling av personuppgifter och om det fria flödet av sådana utgörs av eller innehåller elektriska eller elektroniska produkter uppgifter, EGT L 281, 23.11.1995, s. 31. (WEEE) (omarbetning). Konsekvensbedömning av den 3 december ( 9 ) För definition av registeransvarig, se artikel 2 d i direktiv 95/46/EG. 2008 (KOM(2008) 0810 slutlig) SEK(2008) 2933, s. 17. ( 10 ) Se artikel 8, direktiv 95/46/EG. C 280/18 SV Europeiska unionens officiella tidning 16.10.2010

16. Rent allmänt finner datatillsynsmannen det nödvändigt att säkerhetsåtgärder inte vidtas vid bortskaffandet av understryka betydelsen av att lämpliga säkerhetsåtgärder WEEE ( 15 ). På grund av de berörda ärendenas komplicerade antas under alla stadier (från början till slut) av behand­ natur (t.ex. mängden legitima metoder, tekniker och aktörer lingen av personuppgifter, vilket påpekats flera gånger i som är inblandade i cykeln för bortskaffande av WEEE) andra yttranden ( 11 ). Detta gäller i än högre grad under finner datatillsynsmannen att det hade varit lämpligt att den svåra fasen när den registeransvariga avser att bort­ genomföra en ”konsekvensbedömning av personlig integri­ skaffa apparater som innehåller personuppgifter. tet och uppgiftsskydd” för de processer som rör bortskaf­ fandet av WEEE.

17. Respekten för säkerhetsåtgärder är ofta en förutsättning för att på ett effektivt sätt garantera rätten till skydd av person­ 22. Likväl rekommenderar datatillsynsmannen starkt att ”bästa uppgifter. tillgängliga teknik” utvecklas för personlig integritet, upp­ giftsskydd och säkerhet inom detta område.

18. Det vore därför inkonsekvent att införa en skyldighet att genomföra (ibland kostsamma) säkerhetsåtgärder vid nor­ mal databehandling av personuppgifter (som avses i 23. Under det offentliga samrådet före omarbetningen av direk­ artikel 17 i direktiv 95/46/EG i tillämpliga fall) ( 12 ) och tivet har det förekommit att intressenter tagit upp ärenden sedan helt enkelt låta bli att överväga införandet av ade­ som rör säkerhet och skydd av personuppgifter, särskilt kvata skyddsåtgärder för bortskaffande av WEEE. företag inom IT och elektronisk kommunikation, vilket yt­ terligare belyser problemet ( 16 ).

19. Det vore lika inkonsekvent att lägga sådan vikt vid datasä­ kerhetsfrågorna att anmälningar av överträdelse av datas­ 24. Slutligen är det värt att uppmärksamma att vissa nationella kyddet måste införas via artikel 2 i direktiv dataskyddsmyndigheter har utfärdat riktlinjer för att mini­ 2009/136/EG ( 13 ) och sedan inte införa någon garanti eller mera de risker som kan uppstå om inte nödvändiga säker­ några skyddsåtgärder under bortskaffandet av WEEE eller hetsåtgärder vidtas, i synnerhet vid bortskaffande av mate­ eventuell återanvändning eller materialåtervinning av WEEE. rial som lyder under direktivet ( 17 ).

20. Datatillsynsmannen beklagar att förslaget inte beaktar den som innehöll personuppgifter om fosterbarn och adoptivbarn produkter. skyddet av personuppgifter kan äventyras om lämpliga 16.10.2010 Europeiska SV unionens officiella tidning C 280/19

25. Datatillsynsmannen upprepar att direktiv 95/46/EG är till­ behandling utöver vad som är absolut nödvändigt för att på lämpligt vid bortskaffandet av WEEE som innehåller per­ ett effektivt sätt verifiera att uppgifterna de innehåller rensas sonuppgifter. Registeransvariga – i synnerhet de som an­ bort. vänder IT- och kommunikationsutrustning – åläggs därför att fullgöra sina säkerhetsskyldigheter för att förhindra olämpligt utlämnande eller spridning av personuppgifter. I detta syfte och för att inte hållas ansvariga för överträdelser mot säkerhetsåtgärder bör registeransvariga inom offentliga 30. De ansvariga får dessutom inte låta obehöriga få kännedom och privata sektorn, i samarbete med uppgiftsskyddsombu­ om eller behandla uppgifter som lagras på EEE. Särskilt om den (då sådana finns), anta lämpliga strategier för bortskaf­ lagringsmedier återvinns eller återanvänds och därför kom­ fande av WEEE som innehåller personuppgifter. mer ut på marknaden igen finns det en ökad risk för olämpligt utlämnande eller spridning av personuppgifter samt ett behov av att hindra obehörig tillgång till person­ uppgifter.

26. Om registeransvariga som bortskaffar EEE inte har den 31. Datatillsynsmannen rekommenderar därför att rådet och nödvändiga kompetensen och/eller det tekniska kunnandet Europaparlamentet inkluderar en särskild bestämmelse i för att radera de aktuella personuppgifterna kan de anförtro det nuvarande förslaget som förbjuder försäljning av begag­ uppgiften åt behöriga registerförare (t.ex. hjälpcentra, ut­ nade apparater om inte lämpliga säkerhetsåtgärder har vid­ rustningstillverkare och distributörer) i enlighet med vill­ tagits i enlighet med moderna tekniska standarder (som att koren i artikel 17.2, 17.3 och 17.4 i direktiv 95/46/EG. skrivas över upprepade gånger) för att radera eventuella Registerförarna ska i sin tur intyga att åtgärderna har ut­ personuppgifter som dessa kan innehålla. förts eller och/eller åta sig dem. III.4. Så kallad ”privacy by design” och ”security by design”

27. På grund av dessa beaktanden finner datatillsynsmannen att 32. Den framtida rättsliga ramen för elektronikavfall bör inte omarbetningen av direktivet utöver de bestämmelser som endast inkludera en särskild bestämmelse om den vidare finns för miljöskydd bör inkludera strategier för uppgifts­ ekodesignprincipen för produkterna (se artikel 4 i förslaget skydd. utformning av produkter) utan även – som tidigare nämnts i andra yttranden från datatillsynsmannen ( 19 ) – en bestäm­ melse om principen för inbyggda skyddsmekanismer för att skydda den personliga integriteten (privacy by design) ( 20 ) eller närmare bestämt inom detta område inbyggda skydds­ mekanismer för att skydda säkerheten (security by design) ( 21 ). Så vitt det är möjligt bör skydd av personlig integritet och 28. Datatillsynsmannen rekommenderar därför rådet och Euro­ uppgifter standardmässigt integreras i utformningen av paparlamentet att inkludera en särskild bestämmelse i det elektriska och elektroniska produkter så att användarna – nuvarande förslaget som anger att direktivet är tillämpligt på ett enkelt sätt och kostnadsfritt – kan radera person­ för bortskaffande av WEEE utan att det påverkar tillämp­ uppgifter som kan finnas i apparater vid ett eventuellt bort­ ningen av direktiv 95/46/EG. skaffande ( 22 ). C 280/20 SV Europeiska unionens officiella tidning 16.10.2010

33. Detta tillvägagångssätt har ett klart stöd i artikel 3.3 c i — som förbjuder försäljning av begagnade apparater om direktiv 1999/5/EG ( 23 ) om utformning av radioutrustning inte lämpliga säkerhetsåtgärder vidtagits i enlighet med och teleterminalutrustning och i artikel 14.3 i direktiv moderna tekniska standarder för att radera eventuella 2002/58/EG ( 24 ). personuppgifter som dessa kan innehålla — om principen för privacy by design eller security by design: 34. Därför bör tillverkarna ”bygga in” säkerhetsåtgärder för per­ så långt det är möjligt bör skydd av personlig integritet sonlig integritet och säkerhet genom tekniska lösningar ( 25 ). och uppgifter standardmässigt integreras i utformningen Inom denna ram bör även initiativ till rekommendationer av elektriska och elektroniska produkter så att använ­ om nödvändigheten att radera eventuella personuppgifter darna – på ett enkelt sätt och kostnadsfritt – kan radera före bortskaffandet av WEEE (gäller även tillverkare av kost­ personuppgifter som kan finnas i apparater vid ett even­ nadsfria programvaror för detta ändamål) främjas och un­ tuellt bortskaffande. derstödjas ( 26 ).

37. Datatillsynsmannen rekommenderar därför starkt att försla­ IV. SLUTSATSER get ändras i linje med direktiv 95/46/EG, enligt följande:

35. Med hänsyn till ovanstående rekommenderar datatillsyns­ mannen att dataskyddsmyndigheterna, i synnerhet genom artikel 29-arbetsgruppen för uppgiftsskydd, och datatill­ — Skäl 11: ”Detta direktiv bör tillämpas utan att det på­ synsmannen blir starkt inblandade i initiativ som rör bort­ verkar tillämpningen av dataskyddslagstiftningen, sär­ skaffandet av WEEE, via samråd på ett tillräckligt tidigt skilt direktiv 95/46/EG. Eftersom elektriska och elektro­ stadium innan relevanta åtgärder utarbetas. niska produkter (EEE) är en bred produktgrupp som omfattar en stor mängd olika medier lämpade för lag­ ring av personuppgifter (såsom IT- och telekommuni­ kationsutrustning), kan förfaranden för deras bortskaf­ fande, i synnerhet återanvändning och materialåtervin­ 36. Med hänsyn till det sammanhang som personuppgifter be­ ning, medföra risker för obehörig tillgång till person­ handlas i rekommenderar datatillsynsmannen att förslaget uppgifter som lagras på WEEE. Därför bör så vitt det är bör inkludera särskilda bestämmelser möjligt skydd av personlig integritet och uppgifter stan­ dardmässigt integreras i utformningen av elektriska och elektroniska produkter som kan lagra personuppgifter så att användarna – på ett enkelt sätt och — som preciserar att direktivet om WEEE är tillämpligt kostnadsfritt – kan radera uppgifter som kan finnas utan att det påverkar tillämpningen av direktiv vid bortskaffandet.” 95/46/EG 16.10.2010 Europeiska SV unionens officiella tidning C 280/21 — Artikel 14.6: ”Medlemsstaterna får kräva att användare av EEE som innehåller personuppgifter ska informeras av tillverkare och/eller distributörer, t.ex. i bruksanvisningen eller vid försäljningsstället, om nödvändigheten att radera personuppgifter som kan finnas i EEE innan bortskaffandet”. Utfärdat i Bryssel den 14 april 2010. Peter HUSTINX Europeiska dataillsynsmannen