Citizens' initiative

30.11.2010 Europeiska SV unionens officiella tidning C 323/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om medborgarinitiativet

(2010/C 323/01)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA 2. Medborgarinitiativet är en av de nyheter i EU-lagstiftningen YTTRANDE som infördes genom Lissabonfördraget och innebär att ett antal medborgare, som uppgår till minst en miljon perso­ ner och kommer från ett betydande antal medlemsstater, får uppmana kommissionen att lägga fram ett lagstiftnings­ med beaktande av fördraget om Europeiska unionens funktions­ förslag. Förslaget till förordning grundas på artikel 11.4 i sätt, särskilt artikel 16, fördraget om Europeiska unionen och artikel 24.1 i för­ draget om Europeiska unionens funktionssätt, där det fö­ reskrivs att de förfaranden och villkor som krävs för med­ med beaktande av Europeiska unionens stadga om de grund­ borgarinitiativet ska fastställas i enlighet med det ordinarie läggande rättigheterna, särskilt artikel 8, lagstiftningsförfarandet.

3. Förslaget sändes till datatillsynsmannen i enlighet med med beaktande av Europaparlamentets och rådets direktiv artikel 28.2 i förordning (EG) nr 45/2001 samma dag 95/46/EG av den 24 oktober 1995 om skydd för enskilda som det antogs. Informella samråd har hållits med datatill­ personer med avseende på behandling av personuppgifter och synsmannen innan förslaget antogs. Datatillsynsmannen om det fria flödet av sådana uppgifter ( 1 ), välkomnade detta informella samråd och hälsar med till­ fredsställelse att de flesta av hans anmärkningar har beak­ tats i det slutliga förslaget. med beaktande av den begäran om ett yttrande i enlighet med artikel 28.2 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda 4. Generellt sett är datatillsynsmannen tillfredsställd med hur personer med avseende på behandling av personuppgifter och frågan om dataskydd har behandlats i förslaget till förord­ om det fria flödet av sådana uppgifter, som sändes till Europe­ ning. På mer detaljerad nivå har datatillsynsmannen några iska datatillsynsmannen den 31 mars 2010 ( 2 ), förslag till ändringar. Dessa behandlas närmare i kapitel II i detta yttrande. HÄRIGENOM FRAMFÖRS FÖLJANDE. 5. Inledningsvis skulle datatillsynsmannen vilja understryka att en fullständig respekt för dataskyddsbestämmelserna är av avgörande betydelse för att detta viktiga nya instrument ska I. INLEDNING bli tillförlitligt, kraftfullt och framgångsrikt.

1. Den 31 mars 2010 antog kommissionen ett förslag till II. DETALJERAD ANALYS AV FÖRSLAGET Europaparlamentets och rådets förordning om medborgari­ nitiativet ( 3 ). Förslaget följer på ett offentligt samråd om 6. I enlighet med artikel 11.4 i fördraget om Europeiska unio­ denna fråga som hölls mellan den 11 november 2009 nen och artikel 24.1 i fördraget om Europeiska unionens och den 31 januari 2010 ( 4 ). funktionssätt föreskriver förslaget förfaranden och villkor för medborgarinitiativet. I förslaget till förordning anges ( 1 ) EGT L 281, 23.11.1995, s. 31. vilka krav som ställs på minsta antal medlemsstater, minsta ( 2 ) EGT L 8, 12.1.2001, s. 1. antal medborgare per medlemsstat och medborgarnas mini­ ( 3 ) Se KOM(2010) 119 slutlig, åtföljt av kommissionens arbetsdoku­ miålder för att få delta i ett initiativ. I förslaget fastställs ment som beskriver resultatet av det offentliga samrådet om grön­ boken om ett europeiskt medborgarinitiativ, SEK(2010) 730. också de materiella och formella villkoren för att kommis­ ( 4 ) Grönboken, se KOM(2009) 622. sionen ska ta upp ett initiativ till prövning. C 323/2 SV Europeiska unionens officiella tidning 30.11.2010

7. I detta yttrande behandlas endast de bestämmelser som är mån de förekommer. Datatillsynsmannen ser hur som helst relevanta ur ett dataskyddsperspektiv. Detta är bestämmel­ inte mervärdet med denna personidentifiering när det gäller serna om registrering av ett medborgarinitiativ (artikel 4), att autentisera stödförklaringar. Redan övrig begärd infor­ förfarandena för insamling av stödförklaringar (artiklarna 5 mation kan anses vara tillräcklig för att uppnå det syftet. och 6) samt kraven på kontroll och autentisering av stöd­ Datatillsynsmannen rekommenderar därför att detta infor­ förklaringar (artikel 9). Dataskyddet uppmärksammas sär­ mationsfält stryks från mallen i bilaga III. skilt i artikel 12 i förslaget. I artikel 13 behandlas också ansvaret för organisatörer av medborgarinitiativ. Dessa be­ stämmelser kommer nu att analyseras mer ingående.

11. Datatillsynsmannen ifrågasätter om de icke-obligatoriska informationsfälten behöver vara med i standardmallen och rekommenderar att dessa fält stryks från mallen i bilaga III om det inte kan påvisas att det finns ett sådant behov. Artikel 4 – Registrering av ett föreslaget medborgari­ nitiativ

8. Innan stödförklaringarna från undertecknarna samlas in måste organisatören registrera initiativet hos kommissionen via ett Internetregister. Organisatören ska lämna den infor­ 12. Datatillsynsmannen rekommenderar också att det ska läg­ mation som anges i bilaga II till förslaget till förordning. gas in en vanlig integritetspolicy längst ned i mallen, med Denna information omfattar organisatörens personuppgif­ uppgift om den registeransvariges identitet, ändamålet med ter, dvs. fullständigt namn, postadress och e-postadress. insamlingen, övriga mottagare av uppgifterna samt lagrings­ Enligt artikel 4.5 i förslaget ska ett föreslaget medborgari­ tid. Denna information ska lämnas till den registrerade nitiativ offentliggöras i registret. Även om det inte framgår enligt artikel 10 i direktiv 95/46/EG. helt klart av texten, utgår datatillsynsmannen från att or­ ganisatörens postadress och e-postadress principiellt sett inte ska offentliggöras via registret. I annat fall skulle data­ tillsynsmannen uppmana lagstiftaren att bedöma och för­ klara nödvändigheten av ett sådant offentliggörande samt förtydliga texten i artikel 4 i detta avseende. Artikel 6 – System för insamling via Internet

13. I artikel 6 i förslaget till förordning behandlas insamling av stödförklaringar via Internetsystem. I artikel 6 föreskrivs att organisatören, innan insamlingen av stödförklaringar på­ börjas, ska se till att systemet för insamling via Internet har lämpliga säkerhets- och teknikfunktioner för att bland Artikel 5 – Förfaranden och villkor för insamling av annat garantera att uppgifter som tillhandahålls via Internet stödförklaringar lagras säkert ”[så] att de inte ska kunna ändras eller använ­ das i annat syfte än för det angivna stödet för ett givet 9. Organisatören ansvarar för insamlingen av de nödvändiga medborgarinitiativ och för att skydda personuppgifter från stödförklaringarna från undertecknare av det föreslagna oavsiktlig eller olovlig radering och från att gå förlorade medborgarinitiativet. Enligt artikel 5.1 måste stödförkla­ genom olyckshändelse samt från ändringar, otillåten sprid­ ringar överensstämma med mallen i bilaga III till förslaget ning eller otillåten åtkomst” ( 1 ). till förordning. I denna mall ska en undertecknare lämna vissa (självklara) personuppgifter, till exempel för- och efter­ namn samt, om det sker i pappersform, den faktiska under­ skriften. För att den behöriga myndigheten ska kunna au­ tentisera en stödförklaring ska även vissa andra uppgifter lämnas: stad och land där undertecknaren bor, födelseda­ 14. I artikel 6.2 fastställs också att organisatören när som helst tum och födelseort, nationalitet, personligt identifikations­ får be den behöriga myndigheten att intyga att systemet för nummer, typ av identifikationsnummer/identitetshandling insamling via Internet uppfyller dessa krav. Organisatören samt vilken medlemsstat som har utfärdat detta nummer/ ska i alla händelser begära att ett sådant intyg utfärdas denna handling. Andra icke-obligatoriska fält som anges i innan stödförklaringarna lämnas in för kontroll (se mallen är undertecknarens gatu- och e-postadress. artikel 9 nedan).

10. Datatillsynsmannen anser att samtliga obligatoriska infor­ 15. Enligt artikel 6.5 ska kommissionen vidare anta tekniska mationsfält i mallen är nödvändiga för att organisera med­ specifikationer för genomförandet av dessa säkerhetsföre­ borgarinitiativet och autentisera stödförklaringarna, med skrifter i enlighet med det kommittéförfarande som före­ undantag för det personliga identifikationsnumret. Det före­ skrivs i artikel 19.2 i förslaget. kommer skillnader mellan medlemsstaterna när det gäller hur sådana här unika identifikationsnummer regleras, i den ( 1 ) Se artikel 6.4 i förslaget. 30.11.2010 Europeiska SV unionens officiella tidning C 323/3

16. Datatillsynsmannen välkomnar det fokus som läggs på sä­ slag var ett smartkort för EU-medborgare med möjlighet till kerheten i systemen för insamling via Internet i artikel 6 i e-underskrifter. Med ett sådant system kommer självklart förslaget. Skyldigheten att garantera en säker databehand­ nya överväganden som rör dataskyddet ( 1 ). ling är ett av dataskyddskraven, som anges i artikel 17 i direktiv 95/46/EG. Datatillsynsmannen ser med tillfredsstäl­ lelse att kommissionen har anpassat texten i artikel 6.4 i förslaget till texten i artikel 17.1 i direktiv 95/46/EG efter de informella synpunkter som inkommit från datatillsyns­ mannen. Europeiska datatillsynsmannen välkomnar också Artikel 9 – Bestämmelser om kontroll och intygande att det i artikel 6.4 har införts en skyldighet att garantera av medlemsstaternas stödförklaringar att uppgifter inte används i annat syfte än för det angivna 20. Efter att ha samlat in de nödvändiga stödförklaringarna från stödet för ett givet medborgarinitiativ. Datatillsynsmannen undertecknarna ska organisatören överlämna dessa förkla­ uppmuntrar emellertid lagstiftaren att införa en liknande ringar till behörig myndighet för kontroll och intygande. generell skyldighet i artikel 12 (se punkt 27 nedan). Organisatören överför undertecknarnas personuppgifter till behörig myndighet i den medlemsstat som har utfärdat undertecknarens identitetshandling enligt vad som anges i stödförklaringen. Inom tre månader ska den behöriga myn­ digheten kontrollera stödförklaringarna på grundval av ”lämpliga undersökningar” och tillhandahålla ett intyg till organisatören ( 2 ). Intyget används när initiativet faktiskt 17. Datatillsynsmannen ställer sig tveksam till tidpunkten för lämnas in till kommissionen. den behöriga myndighetens intygande. Organisatören behö­ ver endast begära ett sådant intyg senast innan han över­ lämnar de insamlade stödförklaringarna till myndigheten för kontroll. Han får göra detta tidigare. Om man utgår från att intygandet av Internetsystemet har ett mervärde, anser datatillsynsmannen att det bör äga rum innan stöd­ 21. Datatillsynsmannen välkomnar ett sådant decentraliserat sy­ förklaringarna har samlats in för att förhindra att person­ stem som innebär att kommissionen inte kommer att in­ uppgifter för minst en miljon medborgare samlas in via ett neha undertecknarnas personuppgifter, utan endast de intyg system som i efterhand skulle visa sig inte vara tillräckligt som har utfärdats av de nationella behöriga myndigheterna. säkert. Datatillsynsmannen uppmanar därför lagstiftaren att Ett sådant system minskar riskerna för olämplig hantering införa denna skyldighet i artikel 6.2. Därigenom ska det av personuppgifter eftersom det minimerar antalet motta­ självklart säkerställas att intygsförfarandet inte utgör en gare av uppgifterna. onödig administrativ börda för organisatören.

22. I texten framgår det inte klart vad det är för ”lämpliga undersökningar” som den behöriga myndigheten ska utföra. Det relevanta skäl 15 ger inte heller någon klarhet i den här 18. I detta avseende vill datatillsynsmannen peka på artikel 18 i frågan. Datatillsynsmannen undrar hur de behöriga myn­ direktiv 95/46/EG, där det fastställs att den registeransvarige digheterna ska autentisera stödförklaringarna. Framför allt är skyldig att anmäla en behandling till den nationella da­ skulle han vilja veta om de behöriga myndigheterna kom­ taskyddsmyndigheten innan behandlingen utförs, med vissa mer att kunna kontrollera förklaringarna mot tillgänglig undantag. Det framgår inte klart hur denna anmälnings­ information om medborgarnas identitet från andra källor, skyldighet med undantag står i förhållande till den behöriga till exempel nationella eller regionala register. Datatillsyns­ nationella myndighetens intygande enligt förslaget till för­ mannen uppmanar lagstiftaren att klargöra denna fråga. ordning. För att förhindra administrativa bördor i största möjliga utsträckning uppmanar datatillsynsmannen lagstif­ taren att klargöra förhållandet mellan anmälningsförfaran­ det i artikel 18 i direktiv 95/46/EG och intygsförfarandet i artikel 6 i förslaget till förordning. Artikel 12 – Skydd av personuppgifter

23. Artikel 12 i förslaget till förordning behandlar uteslutande skyddet av personuppgifter. I denna bestämmelse under­ stryks det att såväl organisatören som den behöriga myn­ digheten måste följa direktiv 95/46/EG och de nationella 19. När det gäller tillämpningsföreskrifterna för de tekniska bestämmelser som har antagits i enlighet med detta. I skäl specifikationerna förväntar sig datatillsynsmannen att bli 20 anges också att förordning (EG) nr 45/2001 är till­ hörd innan dessa tillämpningsföreskrifter antas. Detta gäller lämplig när kommissionen behandlar personuppgifter ge­ framför allt eftersom det i kommissionens arbetsdokument nom att registrera organisatören för ett initiativ. Datatill­ om resultaten av grönboken angavs att det under det of­ synsmannen välkomnar dessa konstateranden. fentliga samrådet hade inkommit flera förslag till system för att autentisera underskrifter via nätet. Ett av dessa förslag ( 1 ) Se SEK(2010) 730, s. 4. för att autentisera underskrifter via nätet. Ett av dessa för­ ( 2 ) Se artikel 9.2 i förslaget. C 323/4 SV Europeiska unionens officiella tidning 30.11.2010

24. I denna bestämmelse anges det också uttryckligen att or­ III. SLUTSATS OCH REKOMMENDATIONER ganisatören och den behöriga myndigheten måste anses vara registeransvariga för sin respektive behandling av per­ 29. Som angavs i inledningen och som framgår av analysen i sonuppgifter. Datatillsynsmannen är tillfredsställd med kapitel II i detta yttrande, är datatillsynsmannen i stort sett denna specificering. Den registeransvarige har det primära nöjd med hur dataskyddsfrågan har behandlats i förslaget ansvaret för att dataskyddsbestämmelserna följs. Artikel 12 till förordning om medborgarinitiativet. Det är tydligt att i förslaget gör att det inte råder något tvivel om vem som dataskyddet har beaktats och förslaget har utformats på ett måste anses vara registeransvarig. sådant sätt att det säkerställer överensstämmelse med datas­ kyddsbestämmelserna. Datatillsynsmannen välkomnar sär­ skilt artikel 12, som uteslutande behandlar dataskyddet och som klargör ansvarsfrågor och lagringstider. Datatill­ synsmannen skulle vilja understryka att en fullständig re­ 25. I artikel 12 fastställs också de maximala lagringstiderna för spekt för dataskyddsbestämmelserna är av avgörande bety­ de insamlade personuppgifterna. För organisatören fastställs delse för att detta viktiga nya instrument ska bli tillförlitligt, denna tid till en månad efter det att initiativet har lämnats kraftfullt och framgångsrikt. Även om datatillsynsmannen in till kommissionen eller minst 18 månader efter den dag generellt sett är nöjd med förslaget, anser han att det fort­ då ett föreslaget initiativ har registrerats. De behöriga myn­ farande finns utrymme för förbättringar. digheterna måste förstöra uppgifterna en månad efter det att de har tillhandahållit intyget. Datatillsynsmannen väl­ komnar dessa begränsningar eftersom de garanterar över­ ensstämmelse med det krav som fastställs i artikel 6.1 e i direktiv 95/46/EG. 30. Datatillsynsmannen rekommenderar att lagstiftaren ändrar artikel 6 så att organisatören är skyldig att begära intyg om säkerheten för systemet för insamling via Internet innan han börjar samla in stödförklaringar. Sådana intygsförfaranden 26. Datatillsynsmannen ser också med tillfredsställelse att tex­ ska dessutom inte utgöra en onödig administrativ börda för ten om en säker databehandling från artikel 17.1 i direktiv organisatören. Vidare rekommenderar datatillsynsmannen 95/46/EG återges i artikel 12. Därigenom klargörs det att att förhållandet mellan anmälningsförfarandet i artikel 18 dessa skyldigheter inte gäller enbart när man använder ett i direktiv 95/46/EG och intygsförfarandet i artikel 6 i för­ system för insamling via Internet (se punkter 13 och föl­ slaget till förordning klargörs. jande punkter ovan), utan i samtliga situationer som om­ fattas av förslaget till förordning.

31. För att förbättra förslaget ytterligare rekommenderar data­ tillsynsmannen lagstiftaren att 27. Som anges i punkt 16 ovan rekommenderar datatillsyns­ mannen lagstiftaren att införa ännu en punkt i artikel 12 för att garantera att de personuppgifter som har samlats in av organisatören (antingen via ett system för insamling via Internet eller på annat sätt) inte används i annat syfte än för — bedöma om det är nödvändigt att offentliggöra postdet angivna stödet för ett givet medborgarinitiativ samt att och e-postadress till organisatören för ett initiativ samt de uppgifter som tas emot av den behöriga myndigheten att förtydliga texten i artikel 4 i förslaget om ett sådant endast används för att autentisera stödförklaringarna för ett offentliggörande planeras, givet medborgarinitiativ. Artikel 13 – Ansvar — stryka begäran om det personliga identifikationsnumret och de icke-obligatoriska informationsfälten i mallen i 28. I artikel 13 anges att medlemsstaterna ska se till att orga­ bilaga III, nisatörer som är bosatta eller etablerade inom deras terri­ torium kan ställas till civilrättsligt eller straffrättsligt ansvar för överträdelser av förslaget till förordning, särskilt för brister i uppfyllandet av de krav som gäller för system för insamling via Internet eller för användning av uppgifter i bedrägligt syfte. I skäl 19 hänvisas till kapitel III i direktiv — lägga in en vanlig integritetspolicy i mallen i bilaga III 95/46/EG, som behandlar rättslig prövning, ansvar och som garanterar överensstämmelse med artikel 10 i di­ sanktioner. Här fastställs att detta kapitel är tillämpligt fullt rektiv 95/46/EG, ut när det gäller den behandling av personuppgifter som utförs i samband med tillämpningen av förslaget till för­ ordning. Artikel 13 i förslaget måste ses som ett tillägg till detta, eftersom det till skillnad från kapitel III i direktiv 95/45/EG här finns en uttrycklig hänvisning till medlems­ — klargöra vad som menas med de ”lämpliga undersök­ staternas civil- och straffrätt. Datatillsynsmannen välkomnar ningar” enligt artikel 9.2 som ska utföras av den behö­ självklart denna bestämmelse. riga myndigheten när stödförklaringarna autentiseras, 30.11.2010 Europeiska SV unionens officiella tidning C 323/5 — införa ännu en punkt i artikel 12 för att garantera att de personuppgifter som har samlats in av organisatören inte används i annat syfte än för det angivna stödet för ett givet medborgarinitiativ samt att de uppgifter som tas emot av den behöriga myndigheten endast används för att autentisera stödförklaringarna för ett givet medborgarinitiativ. Utfärdat i Bryssel den 21 april 2010. Europeiska datatillsynsmannen