European Protection Order and European Investigation Order in criminal matters

29.12.2010 Europeiska SV unionens officiella tidning C 355/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om Konungariket Belgiens, Republiken Bulgariens, Republiken Estlands, Konungariket Spaniens, Republiken Frankrikes, Republiken Italiens, Republiken Ungerns, Republiken Polens, Republiken Portugals, Rumäniens, Republiken Finlands och Konungariket Sveriges initiativ inför antagandet av Europaparlamentets och rådets direktiv om den europeiska skyddsordern, och om Konungariket Belgiens, Republiken Bulgariens, Republiken Estlands, Konungariket Spaniens, Republiken Österrikes, Republiken Sloveniens och Konungariket Sveriges initiativ till Europaparlamentets och rådets direktiv om en europeisk utredningsorder på det straffrättsliga området

(2010/C 355/01)

med beaktande av Europaparlamentets och rådets direktiv 2. Därför har Europeiska datatillsynsmannen (EDPS) ägnat sär­ 95/46/EG av den 24 oktober 1995 om skydd för enskilda skilt uppmärksamhet åt denna fråga ( 5 ) och avser genom personer med avseende på behandling av personuppgifter och detta yttrande att än en gång understryka behovet av skydd om det fria flödet av sådana uppgifter ( 1 ), för grundläggande rättigheter som en hörnsten när det gäl­ ler området med frihet, säkerhet och rättvisa, såsom anges i Stockholmsprogrammet.

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen 3. Detta yttrande är en reaktion på två initiativ till direktiv behandlar personuppgifter och om den fria rörligheten för så­ från ett antal medlemsstater, i enlighet med artikel 76 i dana uppgifter, särskilt artikel 41 ( 2 ), EUF-fördraget, nämligen

C 355/2 SV Europeiska unionens officiella tidning 29.12.2010

a) initiativet från 12 medlemsstater till Europaparlamentets över gränserna i straffrättsliga frågor genom gränsöverskri­ och rådets direktiv om den europeiska skyddsordern dande inhämtning av bevis – finns det viktiga likheter mel­ (EPO-initiativet) som presenterades i januari 2010 ( 6 ), lan dem: och

b) initiativet från 7 medlemsstater till Europaparlamentets a) De bygger båda på principen om ömsesidigt erkännande och rådets direktiv om en europeisk utredningsorder på av domar och rättsliga avgöranden ( 9 ). det straffrättsliga området (EIO-initiativet), som presen­ terades i april 2010 ( 7 ).

b) De har sin grund i Stockholmsprogrammet ( 10 ). 4. Rådgivning om dessa initiativ omfattas av datatillsynsman­ nen ansvarsområde i enlighet med artikel 41 i förordning (EG) nr 45/2001 när det gäller att ge råd till EU-institutio­ ner och EU-organ i alla frågor som rör behandling av c) De möjliggör utbyte av personuppgifter mellan med­ personuppgifter. Detta yttrande innehåller därför synpunk­ lemsstaterna (se punkterna 10 och 13 och avsnitt II.4). ter på initiativen i den mån dessa gäller behandling av personuppgifter. Europeiska datatillsynsmannen avger detta yttrande på eget initiativ eftersom ingen begäran om råd­ givning har lämnats ( 8 ). Därför anser datatillsynsmannen att det är lämpligt att granska initiativen tillsammans.

5. Datatillsynsmannen påminner om att kommissionen i en­ lighet med artikel 28.2 i förordning (EG) nr 45/2001 ska samråda med datatillsynsmannen när kommissionen antar ett lagförslag som rör skyddet av enskilda personers fri- och 8. Det ska i detta sammanhang nämnas att Europeiska kom­ rättigheter med avseende på behandling av personuppgifter. missionen nyligen har tagit upp frågan om insamling av Denna skyldighet gäller inte i strikt mening för initiativ från bevis i syfte att överlämna dessa till behöriga myndigheter i medlemsstaterna, men sedan Lissabonfördraget trädde i andra medlemsstater (vilket är det särskilda ändamålet med kraft gäller det ordinarie lagstiftningsförfarandet även om­ EIO-initiativet). En grönbok ( 11 ) (vars samrådsfas nu är rådet polisiärt och straffrättsligt samarbete, med ett särskilt slut ( 12 )) offentliggjordes av kommissionen i slutet av 2009. undantag i enlighet med artikel 76 i EUF-fördraget, nämli­ Kommissionens syfte, som kan härledas från Handlingsplan gen att en fjärdedel av medlemsstaterna kan ta initiativ till för att genomföra Stockholmsprogrammet ( 13 ), var att 2011 EU-åtgärder. Enligt Lissabonfördraget ska dessa initiativ i lämna ett lagstiftningsförslag om ett övergripande system möjligaste mån vara anpassade till kommissionens förslag, för bevisupptagning i brottmål som grundar sig på princi­ och skyddsregler som rör förfarandet ska om möjligt till­ pen om ömsesidigt erkännande och omfattar alla typer av lämpas. Därför åtföljs dessa initiativ av en konsekvens­ bevisning ( 14 ). bedömning. ( 9 ) Denna princip, som infördes genom Wienhandlingsplanen (Hand­ lingsplan för att på bästa sätt genomföra bestämmelserna i Ams­ terdamfördraget om upprättande av ett område med frihet, säkerhet 6. Det är mot denna bakgrund som datatillsynsmannen dels och rättvisa, text antagen av rådet (rättsliga och inrikes frågor) den beklagar att han inte rådfrågades när initiativen lades fram, 3 december 1998, EGT C 19, 23.1.1999, s. 1, punkt 45 f), har dels rekommenderar rådet att inrätta ett förfarande inom formulerats tydligt i slutsatserna från Europeiska rådets möte i Tammerfors den 15 och 16 oktober 1999, i punkterna 33 och vilket samråd med datatillsynsmannen äger rum när med­ 35–37. lemsstaterna lägger fram ett initiativ som rör behandlingen 10 ( ) Ett tredje initiativ (inför antagandet av Europaparlamentets och rå­ av personuppgifter. dets direktiv om rätt till tolkning och översättning i brottmål, den 22 januari 2010, 2010/0801) har samma ursprung, men ingen hänsyn tas till detta initiativ här, eftersom det inte innefattar frågor som rör skyddet av personuppgifter. Se även Förslag till Europapar­ 7. Trots att de båda initiativen har olika syften – dvs. att lamentets och rådets direktiv om rätt till tolkning och översättning i brottmål, 9.3.2010, KOM(2010) 82 slutlig, som rör samma ämne. förbättra skyddet för brottsoffer respektive samarbetet ( 11 ) Grönbok om inhämtande av bevis som ska användas i straffrättsliga förfaranden från en medlemsstat till en annan och om säkerstäl­ ( 6 ) EUT C 69, 18.3.2010, s. 5. lande av att sådana bevis tillåts i domstol, KOM(2009) 624 slutlig, ( 7 ) EUT C 165, 24.6.2010, s. 22. 11.11.2009. ( 8 ) Europeiska datatillsynsmannen har även tidigare antagit yttranden ( 12 ) De olika och i vissa fall motstridiga svaren beaktas av Europeiska om initiativ från medlemsstaterna: se t.ex. Europeiska datatillsyns­ kommissionen och kan läsas på: http://ec.europa.eu/justice_home/ mannens yttrande av den 4 april 2007 om initiativet från 15 med­ news/consulting_public/news_consulting_0004_en.htm lemsstater inför antagandet av rådets beslut om ett fördjupat gräns­ ( 13 ) Meddelande från kommissionen till Europaparlamentet, rådet, Eu­ överskridande samarbete, särskilt för bekämpning av terrorism och ropeiska ekonomiska och sociala kommittén och regionkommittén. gränsöverskridande brottslighet (EUT C 169, 21.7.2007, s. 2) och Att förverkliga ett område med frihet, säkerhet och rättvisa för EU- Europeiska datatillsynsmannens yttrande av den 25 april 2008 om medborgarna. Handlingsplan för att genomföra Stockholmspro­ initiativet från 14 medlemsstater inför antagandet av rådets beslut grammet, Bryssel den 20.4.2010, KOM(2010) 171 slutlig, sid 18. om förstärkning av Eurojust och om ändring av beslut ( 14 ) Det är för närvarande oklart hur en möjlig framtida rättsakt kom­ 2002/187/RIF (EUT C 310, 5.12.2008, s. 1). mer att samverka med EIO-initiativet. 29.12.2010 Europeiska SV unionens officiella tidning C 355/3 II. STRAFFRÄTTSLIGT SAMARBETE OCH BEHANDLING 13. För att detta mål ska kunna uppnås måste administrativa AV PERSONUPPGIFTER INOM RAMEN FÖR EPO- OCH åtgärder införas. Dessa kommer delvis att omfatta utbytet EIO-INITIATIVEN av personuppgifter mellan utfärdande och verkställande medlemsstater om den berörda personen (offret) och den II.1 Initiativens bakgrund person som orsakar fara. Utbytet av personuppgifter om­ fattas av följande bestämmelser: 9. Ovannämnda initiativ ligger i linje med trenden för EU:s åtgärder under de senaste åren när det gäller ett område med frihet, säkerhet och rättvisa. Sedan september 2001 har insamling och delning av information inom Europeiska unionen (och med tredje länder) ökat betydligt, också tack vare utvecklingen av informations- och kommunikations­ a) Enligt artikel 6 ska den europeiska skyddsordern som teknik (IKT) och ett antal EU-rättsakter som har främjat sådan innehålla många personuppgifter, i enlighet med denna utveckling. Även EPO- och EIO-initiativen syftar till punkterna a, e, f, g och h samt bilaga I. att förbättra utbytet av information om fysiska personer inom ett område med frihet, säkerhet och rättvisa. b) De skyldigheter som den behöriga myndigheten i den verkställande staten har enligt artikel 8.1 kräver behand­ ling av personuppgifter, särskilt skyldigheten till under­ II.2 EPO-initiativet rättelse om alla överträdelser av skyddsåtgärden (artikel 8.1 d och bilaga II). 10. EPO-initiativet – som bygger på artikel 82.1 d i EUF-för­ draget – har tyngdpunkten på skyddet av brottsoffer, sär­ skilt kvinnor, och syftar till att garantera ett effektivt skydd för offer inom Europeiska unionen. För att uppnå detta mål tillåter EPO-initiativet en utvidgning av de skyddsåtgärder som räknas upp i artikel 2.2 i initiativet och som antagits c) Skyldigheter för de behöriga myndigheterna i den verk­ enligt en medlemsstats lagstiftning (den utfärdande staten) ställande och den utfärdande staten i samband med att till en annan medlemsstat till vilken den skyddade personen skyddsordern och/eller skyddsåtgärderna har ändrats, flyttar (den verkställande staten) utan att offret behöver löpt ut eller återkallats (artikel 14). inleda nya förfaranden eller på nytt lägga fram bevis i den verkställande staten.

14. Den information som nämns i föregående stycke måste utan tvekan anses omfattas av dataskyddslagstiftningens 11. De skyddsåtgärder som (på offrets begäran) ålagts den per­ breda definition av personuppgifter, ”varje upplysning son som är orsak till fara syftar därför till att skydda offrets som avser en identifierad eller identifierbar fysisk per­ son” ( 15 ), som förklaras mer ingående av EU:s artikel 29liv, fysiska och psykiska integritet, frihet eller sexuella in­ tegritet inom EU, oberoende av nationella gränser, och arbetsgrupp. EPO-initiativet gäller information om en en­ syftar till att förebygga nya brott mot samma offer. skild person (offret eller den person som orsakar fara) eller information som används eller sannolikt kommer att an­ vändas för att utvärdera, hantera på ett visst sätt eller på­ verka en enskild persons status (särskilt den person som orsakar fara) ( 16 ).

12. En europeisk skyddsorder ska utfärdas på offrets begäran i den utfärdande (medlems)staten av rättslig (eller motsva­ rande) myndighet. Processen består av följande steg: II.3 EIO-initiativet

15. EIO-initiativet – som bygger på artikel 82.1 a i EUF-fördra­ get – kräver att medlemsstaterna samlar in, lagrar och överför bevisning, även om denna ännu inte finns tillgäng­ a) Den utfärdande staten begär en europeisk skyddsorder. lig inom det nationella rättssystemet. Initiativet går därför utöver den princip om tillgänglighet som lades fram i Haagprogrammet från 2004 som en innovativ strategi för C 355/4 SV Europeiska unionens officiella tidning 29.12.2010 gränsöverskridande utbyte av information om brotts­ rättsaktens effektivitet och behovet av ytterligare rättsliga bekämpning ( 17 ). Initiativet går också längre än rådets ram­ åtgärder) ( 20 ) påminner datatillsynsmannen om behovet av beslut 2008/978/RIF av den 18 december 2008 om en återkommande kontroll av effektiviteten och proportionali­ europeisk bevisinhämtningsorder som endast gäller (given) teten av rättsliga åtgärder som antas inom området med bevisning som redan finns ( 18 ). frihet, säkerhet och rättvisa, i ljuset av dataskyddsprinci­ perna ( 21 ). Datatillsynsmannen rekommenderar därför att en utvärderingsklausul läggs till i EIO-initiativet som kräver att medlemsstaterna regelbundet rapporterar om rättsaktens tillämpning och att kommissionen sammanställer dessa 16. En europeisk utredningsorder ska utfärdas för att en eller rapporter och i relevanta fall lägger fram lämpliga ändrings­ flera specifika utredningsåtgärder ska utföras i den verkstäl­ förslag. lande staten i syfte att samla in bevisning (även sådan som inte föreligger när ordern utfärdas) och överföra denna bevisning (artikel 12). Utredningsordern gäller nästan alla utredningsåtgärder (se skälen 6 och 7 i initiativet). II.4 Behandling av personuppgifter som planeras enligt EPO- och EIO-initiativen

20. Såsom beskrivs ovan i punkterna 13, 14 och 18 står det klart att personuppgifter enligt förslagen till direktiv kom­ mer att behandlas och utbytas av behöriga myndigheter i 17. Syftet med EIO-initiativet är att skapa ett enda, effektivt och de olika medlemsstaterna. Under dessa omständigheter flexibelt instrument för att erhålla bevisning som finns i en skyddas den registrerade av den grundläggande rätt till annan medlemsstat inom ramen för brottmål, i stället för skydd av personuppgifter som fastställs i artikel 16 i det mer komplexa nuvarande rättsliga instrument som an­ EFU-fördraget och artikel 8 i EU-stadgan om de grundläg­ vänds av rättsliga myndigheter (och som bygger dels på gande rättigheterna. ömsesidigt rättsligt bistånd, dels på ömsesidigt erkän­ nande) ( 19 ).

21. Trots detta uppskattas risken för inkräktande på grundläg­ gande rättigheter i den detaljerade redogörelse som åtföljer EPO-initiativet till ”0” (noll) ( 22 ), och i den konsekvensanalys 18. Det är uppenbart att bevisning som samlats in med hjälp av som ingår i den detaljerade redogörelse som åtföljer EIOen utredningsorder (se även bilaga A till initiativet) kan initiativet tas dataskyddsfrågor inte upp ( 23 ). innehålla personuppgifter, såsom i fallet med uppgifter om bankkonton (artikel 23), information om banktrans­ aktioner (artikel 24) och övervakning av banktransaktioner (artikel 25), eller skulle kunna omfatta överföring av per­ 22. Datatillsynsmannen beklagar dessa slutsatser och understry­ sonuppgifter (såsom i fallet med video- eller telefonkon­ ker vikten av dataskydd i det särskilda sammanhang i vilket ferenser, i enlighet med artiklarna 21 och 22). personuppgifterna behandlas, nämligen a) det breda området för straffrättsligt samarbete, 19. Av dessa skäl har EIO-initiativet en betydande inverkan på rätten till skydd av personuppgifter. Även med tanke på att genomförandedatum för rambeslut 2008/978/RIF ännu inte har passerat (och att det därför är svårt att bedöma b) att uppgifterna ofta är av känslig karaktär och vanligen erhålls av polis och rättsliga myndigheter som en följd av en utredning, ( 17 ) Principen om tillgänglighet enligt Haagprogrammet för ett stärkt område med frihet, säkerhet och rättvisa innebär att en brotts­ bekämpande tjänsteman i en av unionens medlemstater som behö­ ver information för att utföra sina uppgifter kan få denna från en annan medlemsstat och att den brottsbekämpande myndigheten i c) uppgifternas möjliga innehåll, särskilt när det gäller EIOden andra medlemsstat som innehar denna information kommer att initiativet, som skulle omfatta alla typer av bevisning, göra den tillgänglig för det angivna ändamålet, med hänsyn tagen och till behov med anknytning till pågående utredningar i den medlems­ staten. Se i denna fråga Europeiska datatillsynsmannens yttrande om förslaget till rådets rambeslut om utbyte av uppgifter enligt ( 20 ) Enligt artikel 23.1 i rambeslut 2008/978/RIF ska ”medlemsstaterna principen om tillgänglighet (KOM(2005) 490 slutlig), EUT C 116, vidta de åtgärder som är nödvändiga för att följa bestämmelserna i 17.5.2006, s. 8. detta rambeslut före den 19 januari 2011”. ( 18 ) Rådets rambeslut 2008/978/RIF av den 18 december 2008 om en ( 21 ) Även enligt punkt 1.2.3 i Stockholmsprogrammet ska nya lagstift­ europeisk bevisinhämtningsorder för att inhämta föremål, hand­ ningsinitiativ läggas fram först efter en kontroll av att proportiona­ lingar eller uppgifter som ska användas i straffrättsliga förfaranden, litetsprincipen efterlevs. EUT L 350, 30.12.2008, s. 72. ( 22 ) Detaljerad redogörelse för att bedöma efterlevnaden av principerna ( 19 ) För närvarande finns två rättsakter om ömsesidigt erkännande som om subsidiaritet och proportionalitet i enlighet med artikel 5 i är tillämpliga på inhämtande av bevis: rådets rambeslut protokoll (nr 2) till Lissabonfördraget av den 6 januari 2010. 2003/577/RIF av den 22 juli 2003 om verkställighet i Europeiska ( 23 ) Detaljerad redogörelse av den 23 juni 2010, Interinstitutionellt unionen av beslut om frysning av egendom eller bevismaterial (EUT ärende 2010/0817 (COD) hänvisar uttryckligen endast till rätten L 196, 2.8.2003, s. 45) och rådets rambeslut 2008/978/RIF, som till frihet och säkerhet och rätten till god förvaltning (se s. 25 citeras i fotnot 18. och 41). 29.12.2010 Europeiska SV unionens officiella tidning C 355/5 d) den möjliga överföringen av bevisning utanför EU, i 27. Därför, och utan att det påverkar avsnitt II nedan, bör båda enlighet med artikel 13 i rambeslut 2008/977/RIF om initiativen inkludera en särskild bestämmelse som klargör skydd av personuppgifter som behandlas inom ramen att rambeslut 2008/977/RIF gäller för databehandling i en­ för polissamarbete och straffrättsligt samarbete ( 24 ). lighet med initiativen. skilt stor effekt och väsentligt kan påverka de registrerades grundläggande rättigheter, inklusive rätten till skydd av per­ sonuppgifter. 28. Båda initiativen ger än en gång anledning att ta upp det grundläggande problemet med ofullständig och oenhetlig tillämpning av dataskyddsprinciper inom området straff­ rättsligt samarbete ( 28 ).

24. På grund av ovannämnda överväganden undrar datatillsyns­ mannen varför initiativen varken tar upp skyddet av per­ sonuppgifter (förutom hänvisningen till den sekretess som gäller för aktörer som medverkar i en utredning i artikel 18 29. Datatillsynsmannen är medveten om vikten av att förbättra i EIO-initiativet) eller uttryckligen hänvisar till rambeslut det rättsliga samarbetet mellan medlemsstaterna, även inom det område som omfattas av EPO- och EIO-initiativen ( 29 ). 2008/977/RIF. Detta rambeslut skulle faktiskt vara tillämp­ ligt på den behandling som avses i de båda initiativen (se Datatillsynsmannen ser vidare fördelarna med och behovet artikel 1.2 a). av att dela information, men vill understryka att behandling av sådana uppgifter måste ske i enlighet med – bland an­ nat ( 30 ) – EU:s regler om dataskydd. Detta är ännu mer uppenbart med tanke på att Lissabonfördraget inför artikel 16 i EUF-fördraget och gör artikel 8 i Europeiska unionens stadga om grundläggande rättigheter bindande. 25. Därför välkomnar datatillsynsmannen att en hänvisning till rambeslut 2008/997/RIF har införts ( 25 ) under det förbere­ dande arbetet i rådet med EPO-initiativet och är övertygad om att Europaparlamentet kommer att bekräfta denna änd­ ring av de ursprungliga initiativen ( 26 ). 30. Situationer som innefattar gränsöverskridande infor­ mationsutbyte inom EU förtjänar särskild uppmärksamhet eftersom behandling av personuppgifter i mer än ett rätts­ system ökar riskerna för berörda personers rättigheter och intressen. Personuppgifter kommer att behandlas i flera 26. Datatillsynsmannen beklagar att inget motsvarande skäl har rättssystem där de rättsliga kraven och de tekniska ramarna införts i EIO-initiativet, som innefattar ett mycket intensi­ inte nödvändigtvis är desamma. vare utbyte av personuppgifter. Datatillsynsmannen väl­ komnar i detta sammanhang att Europeiska kommissionen i sina kommentarer till EIO-initiativet föreslår att en hänvis­ ning (både i skälen och i själva förslaget) införs till till­ lämpligheten av rambeslut 2008/977/RIF ( 27 ). 31. Detta leder vidare till rättosäkerhet för de registrerade: par­ ter från andra medlemsstater kan vara inblandade, de na­ tionella lagarna i olika medlemsstater kan vara tillämpliga ( 24 ) Se vidare rambeslut 2008/977/RIF. ( 25 ) Se skäl 27 i det senaste utkastet till EPO-initiativet (28 maj 2010, och kan skilja sig från de lagar de registrerade är vana vid rådets dokument nr 10384/10): ”Personuppgifter som behandlas eller kan gälla i ett rättssystem som är obekant för den vid genomförandet av detta direktiv bör skyddas i enlighet med registrerade. Detta kräver större ansträngningar för att sä­ rådets rambeslut 2008/977/RIF av den 27 november 2008 om kerställa efterlevnad av de bestämmelser som härrör från skydd av personuppgifter som behandlas inom ramen för polissam­ EU-lagstiftningen om dataskydd ( 31 ). arbete och straffrättsligt samarbete, och i enlighet med Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter, som ratificerats av ( 28 ) Se även avsnitt V i yttrandet. samtliga medlemsstater”. ( 29 ) Se bland annat instämmandet när det gäller behovet av att förbättra ( 26 ) I detta avseende, se ändringsförslag 21 i Förslag till betänkande tillgången till rättvisa, samarbetet mellan europeiska rättsliga myn­ om initiativet till Europaparlamentets och rådets direktiv om digheter och själva rättssystemets effektivitet i Europeiska datatill­ den europeiska skyddsordern (00002/2010 – C7-0006/2010 – synsmannens yttrande om en europeisk strategi för e-juridik, EUT C 2010/0802 (COD)), 20.5.2010, Utskottet för medborgerliga 128, 6.6.2009, s. 13, punkterna 9 och 21. fri- och rättigheter samt rättsliga och inrikes frågor – Utskottet ( 30 ) I förhållande till den aspekt som har att göra med respekten för för kvinnors rättigheter och jämställdhet mellan kvinnor och medlemsstaternas straffprocesslagstiftning, särskilt inom området män, föredragande: Teresa Jiménez-Becerril Barrio, Carmen Romero för förslaget till en europeisk utredningsorder, kan hänvisning göras López, på http://www.europarl.europa.eu/meetdocs/2009_2014/ till de överväganden och betänkligheter som har tagits upp i svaren documents/femm/pr/817/817530/817530sv.pdf till Europeiska kommissionen under det offentliga samrådet om ( 27 ) Se kommissionens kommentarer till den föreslagna europeiska ut­ grönboken (se fotnoterna 11 och 12). redningsordern på det straffrättsliga området, 24.8.2010, JUST/ ( 31 ) Se även rådet, Haagprogrammet för stärkt frihet, säkerhet och rätt­ B/1/AA-et D(2010) 6815, s. 9 och s. 38, på http://ec.europa.eu/ visa i Europeiska unionen (2005/C 53/01), EUT C 53, 3.3.2005, justice/news/intro/doc/comment_2010_08_24_en.pdf s. 1, 7 ff. C 355/6 SV Europeiska unionens officiella tidning 29.12.2010

32. Enligt datatillsynsmannens mening är det endast ett första garantera informationens riktighet. I detta avseende väl­ steg att klargöra att rambeslut 2008/977/RIF är tillämpligt, komnar datatillsynsmannen att EPO-initiativets artikel 14 så som föreslås i punkt 27. innehåller klara skyldigheter för den utfärdande statens be­ höriga myndighet att underrätta den behöriga myndigheten i den verkställande staten om ändringar av skyddsordern eller om att skyddsordern har återkallats eller löpt ut.

33. De särskilda utmaningarna när det gäller effektivt skydd inom området straffrättsligt samarbete i kombination med ett inte helt tillfredsställande rambeslut 2008/977/RIF (se punkterna 52–56 ovan) kan kräva mer detaljerade bestäm­ melser om dataskydd, när särskilda rättsliga EU-instrument 38. Datatillsynsmannen noterar också att behovet av översätt­ kräver utbyte av personuppgifter. ning kan påverka informationens riktighet, särskilt eftersom initiativen gäller specifika rättsliga instrument som kan ha olika innebörd på olika språk och i olika rättssystem. I detta sammanhang välkomnar datatillsynsmannen att EPO-initiativet tar upp frågan om översättningar IV. UTMANINGAR FÖR ETT EFFEKTIVT DATASKYDD I (artikel 16) men föreslår också att motsvarande bestäm­ SAMBAND MED STRAFFRÄTTSLIGT SAMARBETE: RE­ melse inkluderas i EIO-initiativet. IV.1 Inledande anmärkningar

34. Ett effektivt skydd av personuppgifter (såsom belyses i punkt 29) är inte bara viktigt för de registrerade utan bidrar Säkerhet, medvetenhet och ansvarighet också till att det rättsliga samarbetet som sådant blir fram­ gångsrikt. Villigheten att utbyta dessa uppgifter med myn­ 39. Den ökning av gränsöverskridande samarbete som skulle digheter i andra medlemsstater kommer faktiskt att öka om följa om de två initiativen antogs kräver noggrant över­ en myndighet kan känna sig säker på graden av skydd, vägande av säkerhetsaspekterna av gränsöverskridande riktighet och tillförlighet när det gäller personuppgifter i överföring av personuppgifter i samband med verkställande andra medlemsstater ( 32 ). Sammanfattningsvis kan en (hög) av europeiska personskyddsorder eller europeiska utred­ gemensam standard för dataskyddet inom detta känsliga ningsorder ( 33 ). Detta är nödvändigt, inte bara för att upp­ område främja ömsesidig tillit och ömsesidigt förtroende fylla de säkerhetskrav för behandling av personuppgifter mellan medlemsstaterna, stärka det rättsliga samarbete som anges i artikel 22 i rambeslut 2008/977/RIF, utan som bygger på ömsesidigt erkännande och därigenom för­ också för att garantera sekretessen dels för utredningar bättra datakvaliteten vid utbyte av information. och berörda brottmål i enlighet med artikel 18 i EIO-ini­ tiativet, dels generellt för personuppgifter i samband med gränsöverskridande utbyte av information, i enlighet med artikel 21 i rambeslut 2008/977/RIF.

35. I detta speciella sammanhang rekommenderar datatillsyns­ mannen att särskilda dataskyddsgarantier inkluderas i EPOoch EIO-initiativen, utöver den allmänna hänvisningen till rambeslut 2008/977/RIF (såsom föreslås i punkt 27). 40. Datatillsynsmannen betonar behovet av säkra telekom­ munikationssystem för överföringsförfaranden. Han väl­ komnar därför bestämmelsen om att det europeiska rätts­ liga nätverket ( 34 ) ska användas som verktyg för att säker­ 36. Vissa av dessa garantier är av mer allmän karaktär och är ställa att skyddsorder och utredningsorder ställs korrekt till avsedda att inkluderas i båda initiativen, särskilt de garantier de behöriga nationella myndigheterna för att förhindra eller som syftar till att förbättra såväl uppgifternas riktighet som minimera risken för att fel myndigheter blir delaktiga i säkerheten och sekretessen. Andra garantier gäller särskilda utbytet av personuppgifter (se artiklarna 7.2 och 7.3 i bestämmelser i antingen EPO- eller EIO-initiativet. EPO-initiativet och artiklarna 6.3 och 6.4 i EIO-initiativet). IV.2 Garantier av mer allmän karaktär 41. Initiativen ska därför innehålla bestämmelser om att med­ Riktighet lemsstaterna ska se till att

37. I de situationer där data i enlighet med initiativen utbyts ( 33 ) Mer generellt, se Meddelande från kommissionen till rådet, Europa­ mellan medlemsstaterna ska särskild tonvikt läggas på att parlamentet och Europeiska ekonomiska och sociala kommittén, Mot en europeisk strategi för e-juridik, Bryssel, 30.5.2008, ( 32 ) Se Europeiska datatillsynsmannens yttrande om förslaget till rådets KOM(2008) 329 slutlig, s. 8: ”De rättsliga myndigheterna ska i fullt rambeslut om skydd av personuppgifter som behandlas inom ra­ förtroende kunna utbyta konfidentiella uppgifter”. men för polissamarbete och straffrättsligt samarbete (KOM(2005) ( 34 ) Rådets beslut 2008/976/RIF av den 16 december 2008 om det 475 slutlig), EUT C 47, 25.2.2006, s. 27, punkterna 5–7. europeiska rättsliga nätverket (EUT L 348, 24.12.2008, s. 130). 29.12.2010 Europeiska SV unionens officiella tidning C 355/7 a) de behöriga myndigheterna tilldelas de resurser som 44. Ett undantag från tillämpning av bestämmelserna i krävs för tillämpningen av de föreslagna direktiven, artikel 11.1 d bör därför inkluderas i EIO-initiativet, där det anges att bevisning som samlats in enligt EIO inte får användas för andra ändamål än att förhindra, eftersöka, upptäcka och beivra straffbelagda brott eller tillämpa straff­ rättsliga påföljder och utöva rätten till försvar. b) de behöriga tjänstemännen följer yrkesmässiga normer och är bundna av tillämpliga interna förfaranden som särskilt säkerställer skydd av enskilda med avseende på behandlingen av personuppgifter, rättvisa förfaranden och korrekt efterlevnad av bestämmelserna om sekretess IV.4 Garantier i EPO-initiativet och tystnadsplikt. 45. När det gäller EPO-initiativet erkänner datatillsynsmannen att de personuppgifter som utväxlas mellan de behöriga myndigheterna och som förtecknas i bilaga I till initiativet (gällande både offret och den person som orsakar fara) är 42. Vidare rekommenderar datatillsynsmannen att bestämmel­ tillräckliga, relevanta och inte alltför omfattande i förhål­ ser införs som säkerställer att väsentliga dataskyddsprinci­ lande till det syfte för vilket de insamlas och behandlas. per följs vid behandling av personuppgifter och att det finns nödvändiga interna mekanismer för att visa att ex­ terna intressenter tillmötesgås. Sådana bestämmelser skulle vara instrument som gör registeransvariga ansvariga (enligt den princip om ansvarighet som diskuteras inom ramen för den pågående översynen av den rättsliga ramen för data- 46. Det framgår dock inte tillräckligt tydligt av initiativet – skyddet ( 35 )). Detta innebär att registeransvariga är skyldiga särskilt i artikel 8.1 b – vilka personuppgifter om offret att vidta nödvändiga åtgärder för att säkerställa efterlevnad. som den behöriga myndigheten i den verkställande staten Bestämmelserna bör innefatta kommer att förmedla till den person som orsakar fara. a) autentiseringssystem som endast tillåter behöriga perso­ 47. Datatillsynsmannen menar att det är lämpligt att överväga ner åtkomst till både databaser som innehåller person­ omständigheterna och innehållet i de skyddsåtgärder som uppgifter och till lokaler där bevisning finns, utfärdas av den rättsliga myndigheten i den utfärdande medlemsstaten innan den person som orsakar fara under­ rättas. Denna person bör därför endast få de av offrets personuppgifter (vilka i vissa fall kan innefatta kontaktupp­ b) spårning av åtkomst till personuppgifter och operationer gifter) som är strikt nödvändiga för att skyddsåtgärden ska som har utförts med uppgifterna, kunna genomföras fullt ut. c) genomförande av revisioner. 48. Datatillsynsmannen är medveten om att tillhandahållande av kontaktuppgifter (t.ex. telefonnummer, offrets adress samt andra platser där offret vistas regelbundet, bland annat arbetsplatsen eller barns skolor) faktiskt kan äventyra off­ rets fysiska och psykiska välbefinnande och även påverka IV.3 Garantier i EIO-initiativet hans eller hennes rätt till privatliv och skydd av person­ 43. Med tanke på de särskilt integritetskränkande egenskaperna uppgifter. Å andra sidan kan en indikation om relevanta hos vissa utredningsåtgärder uppmanar datatillsynsmannen adresser i vissa fall krävas för att varna den person som till grundlig eftertanke om huruvida det ska vara tillåtet att i orsakar fara för platser som han eller hon inte får besöka. domstol ta upp bevisning som samlats in för andra ända­ Detta krävs för att göra det möjligt för personen att följa mål än att förhindra, eftersöka, upptäcka och beivra straff­ personskyddsordern och förhindra eventuella påföljder för belagda brott eller tillämpa straffrättsliga påföljder och ut­ överträdelse av denna. Beroende på omständigheterna kan öva rätten till försvar. Särskilt användning av bevisning som identifiering av den eller de platser krävas som den person erhållits i enlighet med artikel 11.1 d i rambeslut som orsakar fara inte får besöka, för att hans eller hennes 2008/977/RIF ska övervägas noga ( 36 ). rörelsefrihet inte ska begränsas i onödan. C 355/8 SV Europeiska unionens officiella tidning 29.12.2010 få tillgång endast till de av offrets personuppgifter (vilka i vention nr 108) för uppgifter som har sitt ursprung i med­ vissa fall kan innefatta kontaktuppgifter) som är strikt nöd­ lemsstaten själv och tillämpningsföreskrifterna för ram­ vändiga för att skyddsåtgärden ska kunna genomföras fullt beslut 2008/977/RIF för uppgifter som har sitt ursprung i ut, allt efter de omständigheter som gäller i ärendet ( 37 ). andra medlemsstater. Olika uppgifter kan därmed omfattas av olika regelverk.

50. Slutligen ber datatillsynsmannen om ett förtydligande av uttrycket elektroniska medel i skäl 10 i EPO-initiativet. Sär­ skilt bör det klargöras om personuppgifter behandlas med 54. Konsekvenserna av att tillämpa en ”dubbel” dataskyddsstan­ användning av elektroniska medel och, i så fall, vilka ga­ dard för varje brottsutredning med gränsöverskridande in­ rantier som ges. slag är relevant i daglig praxis (exempelvis för bevarande av information fastställd genom tillämpliga lagar för vart och ett av de överförande organen; ytterligare behandlings­ begränsningar som krävs av vart och ett av de överförande V. DATASKYDDSREGLER OCH STRAFFRÄTTSLIGT SAM­ organen; vid begäran från ett tredje land skulle varje över­ ARBETE: BETÄNKLIGHETER I SAMBAND MED EPO- OCH förande organ behöva ge sitt samtycke i enlighet med sin EIO-INITIATIVEN egen utvärdering av tillräcklighet och/eller internationella åtaganden; skillnader i regleringen av den registrerades 51. Rambeslut 2008/977/RIF gäller för alla utbyten av person­ rätt till åtkomst). Dessutom skulle medborgarnas skydd uppgifter i enlighet med EPO- och EIO-initiativen. och rättigheter variera och vara föremål för olika breda undantag beroende på i vilken medlemsstat behandlingen sker ( 41 ).

52. Datatillsynsmannen har visserligen vidgått att rambeslut 2008/977/RIF – när detta genomförts av medlemsstaterna – är ett viktigt steg framåt när det gäller dataskyddet inom det polisiära och rättsliga samarbetet ( 38 ), men rambeslutet i 55. Datatillsynsmannen tar därför tillfället i akt att upprepa sina sig är inte helt tillfredsställande ( 39 ). Det viktigaste olösta synpunkter när det gäller behovet av en heltäckande rättslig problemet gäller dess begränsade omfattning. Rambeslutet ram för dataskydd som omfattar alla EU:s behörighetsområ­ är begränsat till utbyten av personuppgifter inom det poli­ den, inklusive det polisiära och rättsliga området, och ska siära och rättsliga området mellan myndigheter och system tillämpas på både personuppgifter som överförs eller görs i olika medlemsstater och på EU-nivå ( 40 ). tillgängliga av andra medlemsstaters behöriga myndigheter och på behandling inom området med frihet, säkerhet och rättvisa ( 42 ).

53. Även om detta problem inte kan lösas inom ramen för EPO- och EIO-initiativen understryker datatillsynsmannen än en gång att bristen på en (hög) gemensam standard för dataskyddet inom det rättsliga samarbetet skulle kunna 56. Slutligen noterar datatillsynsmannen att dataskyddsreglerna innebära att en rättslig myndighet på nationell nivå eller bör gälla alla sektorer och användning av data för alla EU-nivå vid hantering av en brottsundersökning som inne­ ändamål ( 43 ). Självfallet ska vederbörligen motiverade och håller information som härrör från andra medlemsstater tydligt beskrivna undantag vara möjliga, särskilt när det (inklusive exempelvis bevisning som samlats in på grundval gäller personuppgifter som behandlas för brottsbekämp­ av en europeisk utredningsorder) skulle vara tvungen att ningsändamål ( 44 ). Brister i skyddet av personuppgifter stri­ tillämpa olika databehandlingsregler: den självständiga na­ der mot EU:s gällande (förnyade) rättsliga ram. Artikel 3.2 i tionella rättsordningen (som måste följa Europarådets kon­ direktiv 95/46/EG – som undantar det polisiära och rätts­ liga området – överensstämmer inte med den filosofi som ( 37 ) Detta förefaller vara innebörden i ändringsförslagen 13 och 55 i Förslag till betänkande om initiativet till Europaparlamentets och rådets direktiv om den europeiska skyddsordern (00002/2010 – ( 41 ) Se Europeiska datatillsynsmannens tredje yttrande om förslaget till C7-0006/2010 – 2010/0802 (COD)), 20.5.2010, Utskottet för rådets rambeslut om skydd av personuppgifter som behandlas inom medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor ramen för polissamarbete och straffrättsligt samarbete EUT C 139, – Utskottet för kvinnors rättigheter och jämställdhet mellan kvinnor 23.6.2007, s. 41, som nämns i fotnot 39, punkt 46. och män. ( 42 ) Europeiska datatillsynsmannens ståndpunkt har ett tydligt stöd i ( 38 ) Se Europeiska datatillsynsmannens yttrande om meddelandet från artikel 29-arbetsgruppen för uppgiftsskydd och arbetsgruppen för kommissionen till rådet, Europaparlamentet och Europeiska ekono­ polisiära frågor och rättsliga frågor, Personlig integritet i framtiden. miska och sociala kommittén – Mot en europeisk strategi för e- Det gemensamma bidraget till Europeiska kommissionens samråd juridik (2009/C 128/02), EUT C 128, 6.6.2009, s. 13, punkt 17. om den rättsliga ramen för de grundläggande rättigheterna till ( 39 ) Se de tre yttrandena från datatillsynsmannen om förslaget till rådets skydd av personuppgifter, WP 168, som antogs den 1 december rambeslut om skydd av personuppgifter som behandlas inom ra­ 2009, s. 4, 7 ff. och 24 ff. men för polissamarbete och straffrättsligt samarbete (KOM(2005) ( 43 ) Se Meddelande från kommissionen till Europaparlamentet och rå­ 475, slutlig), EUT C 47, 25.2.2006, s. 27, EUT C 91, 26.4.2007, det, Ett område med frihet, säkerhet och rättvisa i allmänhetens s. 9, EUT C 139, 23.6.2007, s. 1. Se även Europeiska datatillsyns­ tjänst, Bryssel, 10.6.2009, KOM(2009) 262 slutlig, s. 30: ”EU bör mannens yttrande om kommissionens meddelande till Europapar­ utveckla ett enhetligt system för skydd av personuppgifter som lamentet och rådet om ett område med frihet, säkerhet och rättvisa täcker alla unionens behörighetsområden”. i allmänhetens tjänst, EUT C 276, 17.11.2009, s. 8, punkterna 9, ( 44 ) En sådan strategi skulle också överensstämma med syftet med de­ 29 och 30. klaration 21 till Lissabonfördraget om skydd av personuppgifter ( 40 ) Se artikel 2 i rambeslut 2008/977/RIF. inom områdena straffrättsligt samarbete och polissamarbete. 29.12.2010 Europeiska SV unionens officiella tidning C 355/9 kommer till uttryck i artikel 16 i EUF-fördraget. Vidare — uttrycket elektroniska medel i skäl 10 i EPO-initiativet åtgärdas dessa brister inte i tillräcklig grad av Europarådets förklaras. konvention nr 108 ( 45 ), som är bindande för alla medlems­ stater. 59. När det gäller EIO-initiativet rekommenderar datatillsyns­ mannen att VI. SLUTSATSER OCH REKOMMENDATIONER

57. Datatillsynsmannen rekommenderar följande både när det — en bestämmelse om översättningar motsvarande gäller EPO- och EIO-initiativet: artikel 16 i EIO-initiativet införs, — Särskilda bestämmelser bör införas vilka anger att rätt­ — en bestämmelse införs som förhindrar användning av sakter är tillämpliga utan att det påverkar rådets ram­ bevisning för andra ändamål än att förhindra, eftersöka, beslut 2008/977/RIF av den 27 november 2008 om upptäcka och beivra straffbelagda brott eller tillämpa skydd av personuppgifter som behandlas inom ramen straffrättsliga påföljder och utöva rätten till försvar, för polissamarbete och straffrättsligt samarbete. som ett undantag från artikel 11.1 d i rambeslut 2008/977/RIF, — Bestämmelser bör införas som kräver att medlemssta­ terna säkerställer att — en utvärderingsklausul läggs till i EIO-initiativet som kräver att medlemsstaterna regelbundet rapporterar — behöriga myndigheter har tillräckliga resurser för om direktivets tillämpning och att kommissionen sam­ tillämpning av de föreslagna direktiven, manställer dessa rapporter och i relevanta fall lägger fram lämpliga ändringsförslag. — de behöriga tjänstemännen följer yrkesmässiga nor­ mer och är bundna av tillämpliga interna förfaran­ den som särskilt säkerställer skydd av enskilda med 60. Vidare, och mer generellt, vill datatillsynsmannen avseende på behandlingen av personuppgifter, rätt­ visa förfaranden och korrekt efterlevnad av bestäm­ — rekommendera rådet att införa ett förfarande inom vil­ melserna om sekretess och tystnadsplikt, ket samråd med datatillsynsmannen äger rum när ini­ tiativ från medlemsstaterna berör behandling av person­ — autentiseringssystem endast tillåter behöriga perso­ uppgifter, ner åtkomst till både databaser som innehåller per­ sonuppgifter och lokaler där bevisning finns, — upprepa att det behövs en heltäckande rättslig ram för dataskydd som omfattar alla EU:s behörighetsområden, — spårning av åtkomst och operationer genomförs, inklusive det polisiära och rättsliga området, och ska tillämpas både på personuppgifter som överförs eller — revisioner genomförs. görs tillgängliga av andra medlemsstaters behöriga myn­ digheter och på behandling inom området med frihet, säkerhet och rättvisa. 58. När det gäller EPO-initiativet rekommenderar datatillsyns­ mannen att Utfärdat i Bryssel den 5 oktober 2010. — det tydligt anges, beroende på omständigheterna i ären­ det, att den person som orsakar fara endast ska få de av offrets personuppgifter (vilka i vissa fall innefattar kon­ Peter HUSTINX taktuppgifter) som är strikt nödvändiga för att skydds­ åtgärden ska kunna genomföras fullt ut, Europeiska datatillsynsmannen