EU Counter-Terrorism Policy: main achievements and future challenges

C 56/2 SV Europeiska unionens officiella tidning 22.2.2011

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannenom kommissionens meddelande till Europaparlamentet och rådet, – ”EU:s strategi för terrorismbekämpning: viktiga framsteg och kommande utmaningar”

(2011/C 56/02)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA 2. Många av de initiativ som nämns i meddelandet har Euro­ YTTRANDE peiska datatillsynsmannen redan avgett särskilda yttranden eller kommentarer om. Det här meddelandet innehåller emellertid ett brett politiskt perspektiv och långsiktiga in­ riktningar som gör att ett särskilt yttrande från Europeiska med beaktande av fördraget om Europeiska unionens funktions­ datatillsynsmannen är motiverat. sätt, särskilt artikel 16,

3. Syftet med detta yttrande är således att bidra till mer grund­ med beaktande av Europeiska unionens stadga om de grund­ läggande politiska beslut på ett område där användningen läggande rättigheterna, särskilt artiklarna 7 och 8, av personuppgifter på samma gång är avgörande, omfat­ tande och särskilt känslig. med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och 4. I det här yttrandet behandlas inte kommissionens senare om det fria flödet av sådana uppgifter ( 1 ), meddelande ”EU:s strategi för den inre säkerheten i prakti­ ken: Fem steg mot ett säkrare Europa”, som antogs den 22 november 2010 ( 5 ). Detta meddelande kommer Europe­ iska datatillsynsmannen att analysera i ett separat yttrande, i vilket även behovet av tydliga kopplingar mellan de olika med beaktande av Europaparlamentets och rådets förordning dokumenten återigen tas upp. (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så­ dana uppgifter ( 2 ), särskilt artikel 41.

5. I det här yttrandet analyserar Europeiska datatillsynsman­ nen de olika delarna i meddelandet och ger råd och rekom­ mendationer i syfte att säkra den grundläggande rätten till HÄRMED FRAMFÖRS FÖLJANDE. skydd för personuppgifter inom ramen för EU:s politik för att bekämpa terrorism, i synnerhet i samband med framtida utmaningar och utformning av nya politiska riktlinjer.

1. Den 20 juli 2010 antog kommissionen meddelandet ”EU:s strategi för terrorismbekämpning: viktiga framsteg och II. ANALYS AV MEDDELANDET OCH RELEVANTA UPP­ kommande utmaningar” ( 3 ). Genom detta meddelande vill GIFTSSKYDDSFRÅGOR kommissionen redogöra ”för de viktigaste delarna i en po­ 6. Meddelandet bygger på EU:s strategi för terrorismbekämp­ litisk bedömning av EU:s nuvarande strategi för terrorism­ ning från 2005 ( 6 ) och inleds med en granskning av de fyra bekämpning”. Meddelandet är också en del av strategin för 4 ). Man utvärderar vad som hittills har åstad viktigaste beståndsdelarna i EU:s politik mot terrorism: att inre säkerhet ( ­ förebygga, skydda, följa och agera. Därefter behandlas en kommits och fastställer framtida utmaningar och riktlinjer del övergripande frågor i ett särskilt kapitel, nämligen re­ för EU:s politik mot terrorism. spekt för de grundläggande rättigheterna, internationellt samarbete och finansiering. ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 3 ) KOM(2010) 386 slutlig. ( 5 ) KOM(2010) 673 slutlig. ( 4 ) Se sidan 2 i meddelandet. ( 6 ) Dok. 14469/4/05 av den 30 november 2005. 22.2.2011 Europeiska SV unionens officiella tidning C 56/3

1. Att förebygga, skydda, följa och agera samt behovet 14. För det andra strävar kommissionen efter utbyggda partner­ av att integrera principer för skydd av uppgifter skap mellan brottsbekämpande myndigheter och privata företag (såsom Internetleverantörer, finansinstitut och trans­ 7. ”Förebyggande” omfattar ett stort antal åtgärder, från att portföretag) för att utbyta information och ibland ”delegera” hindra radikalisering och rekrytering till att hantera terroris­ vissa brottsbekämpningsuppgifter till dessa. Detta innebär ters användning av Internet. I det sammanhanget är ett av att personuppgifter som privata företag samlar in i kom­ de viktiga framsteg som man framhåller i meddelandet mersiella syften i större omfattning kommer att användas rådets rambeslut om bekämpande av terrorism, som antogs av offentliga myndigheter för att bekämpa brott. 2002 ( 1 ) och ändrades 2008 ( 2 ).

8. Att ”skydda” människor och infrastruktur är också ett myc­ 15. Många av dessa initiativ har tagits utan att man grundligt ket brett område, som täcker initiativ för gränskontroll, har tänkt igenom om det redan finns tillräckliga åtgärder transportsäkerhet, kontroll av explosiva prekursorer, skydd eller om resultatet blir en överlappning av åtgärder, ofta av kritisk infrastruktur och förstärkning av försörjningsked­ som snabba reaktioner på terrordåd. I en del fall är det jan. inte klarlagt i vilken utsträckning det intrång i medborgar­ nas privatliv som dessa åtgärder har lett till verkligen var nödvändigt, trots att det har gått några år sedan åtgärderna vidtogs. 9. Att ”följa” innebär insamling av information, polisiärt och rättsligt samarbete och hindrande av terroristers verksamhet och finansiering. Några framtida utmaningar på detta om­ råde är upprättande av ett PNR-regelverk i EU ( 3 ), använd­ ningen av artikel 75 i fördraget om Europeiska unionens 16. Vidare är det mer troligt att användning av personuppgifter funktionssätt för att inrätta en ram för frysning av penning­ i ”förebyggande” syfte leder till diskriminering. Förebyg­ medel och finansiella tillgångar och ömsesidigt erkännande gande analys av information medför insamling och behand­ i samband med bevisupptagning i brottmål. ling av personuppgifter för stora individkategorier (till ex­ empel alla passagerare och alla Internetanvändare) oavsett om det finns några specifika misstankar mot dem eller inte. Analys av dessa uppgifter kan – särskilt om också datasök­ ningsmetoder används – leda till att oskyldiga människor 10. Att ”agera” handlar till exempel om insatskapaciteten efter betecknas som misstänkta bara på grund av att deras pro­ en terroristattack och bistånd till offren för terrorism. filer (ålder, kön, religion etc.) och/eller mönster (resor, In­ ternetanvändning etc.) stämmer överens med vad som gäl­ ler för personer som har anknytning eller misstänks ha anknytning till terrorism. Därför kan olaglig eller felaktig 11. Alla dessa områden har starka kopplingar till initiativ som användning av (ibland känsliga) personuppgifter tillsam­ Europeiska datatillsynsmannen redan har tagit ställning till: mans med omfattande tvångsmedel för de brottsbekäm­ Stockholmsprogrammet, restriktiva åtgärder och frysning av pande myndigheterna leda till diskriminering och stigmati­ tillgångar, bevarande av uppgifter, säkerhetsskannrar, va­ sering av vissa människor och/eller grupper, särskilt i det penprekursorer, biometriska uppgifter, Prümbeslutet, pas­ här sammanhanget. sageraruppgifter, TFTP-avtalet, Schengens informations­ system, informationssystemet för viseringar, integrerad gränsförvaltning, EU:s strategi för informationshantering och gränsöverskridande utbyte av bevisning. 17. Mot den bakgrunden är ett gott skydd av uppgifter också ett sätt att bekämpa rasism, främlingsfientlighet och diskri­ minering som enligt meddelandet ”också kan bidra till att förhindra radikalisering och rekrytering till terrorism”. 12. De områden som är känsligast från uppgiftsskyddssynpunkt är av flera skäl ”förebyggande” och ”skydd”.

2. En konsekvent strategi som bygger på nödvändig­ 13. För det första bygger dessa områden definitionsmässigt på hetsprincipen bedömning av potentiella risker, vilket i de flesta fall leder 18. Ett viktigt generellt påpekande är att det måste finnas kon­ till en bred och ”förebyggande” behandling av stora mäng­ sekvens och tydliga samband mellan alla meddelanden och der personuppgifter om medborgare som inte misstänks för initiativ på det inrikespolitiska området, i synnerhet när det något brott (som till exempel kartläggning av Internet­ gäller den inre säkerheten. Trots att EU:s strategi för terro­ användning, e-gränser och säkerhetsskannrar). rismbekämpning hänger nära samman med strategin för informationshantering, strategin i fråga om stadgan om ( 1 ) 2002/475/RIF, (EGT L 164, 22.6.2002, s. 3). 2 de grundläggande rättigheterna och modellen för ett euro­ ( ) 2008/919/RIF, (EUT L 330, 9.12.2008, s. 21). ( 3 ) Detta anges även i kommissionens handlingsplan för genomförandet peiskt informationsutbyte har till exempel kopplingarna av Stockholmsprogrammet, KOM(2010) 171 slutlig, 20 april 2010. mellan alla dessa dokument inte behandlats på ett C 56/4 SV Europeiska unionens officiella tidning 22.2.2011 uttryckligt och heltäckande sätt. Detta blev än tydligare den 24. Överlappningar och brist på effektivitet bör leda till att 22 november 2010, då ”EU:s strategi för den inre säkerhe­ politiska beslut anpassas eller till och med till att befintliga ten i praktiken: Fem steg mot ett säkrare Europa” ( 1 ) antogs. system för insamling och behandling av uppgifter konsoli­ deras eller avskaffas.

19. Europeiska datatillsynsmannen rekommenderar därför att EU-institutionerna ser till att politiska åtgärder och initiativ i fråga om inrikespolitik och inre säkerhet utformas och 25. Europeiska datatillsynsmannen rekommenderar att förslag genomförs på ett sätt som garanterar en konsekvent linje som leder till allmän insamling av personuppgifter om och tydliga kopplingar mellan dem, skapar lämpliga och alla medborgare i stället för bara om misstänkta uppmärk­ positiva synergieffekter och gör att man undviker dubbel­ sammas särskilt. De fall där behandling av personuppgifter arbete. planeras i andra syften än det som uppgifterna ursprung­ ligen insamlades för, som till exempel när det gäller tillgång till personuppgifter i Eurodac-systemet i brottsbekämp­ 20. Europeiska datatillsynsmannen rekommenderar vidare att ningssyfte, bör också beaktas och motiveras särskilt. nödvändighetsprincipen uttryckligen beaktas när förslag framförs på området. Detta bör ske både genom att man tar hänsyn till möjlig överlappning med redan befintliga instrument och genom att man begränsar insamlingen 26. I meddelandet framhåller man också att en av de framtida och spridningen av personuppgifter till vad som verkligen utmaningarna kommer att vara att se till att säkerhetsforsk­ erfordras för de syften man har. ningen fungerar så bra som möjligt, eftersom detta leder till en hög nivå på säkerheten. Europeiska datatillsynsmannen stöder det som sägs i meddelandet om att en ändamålsenlig 21. I fallet med avtalet om programmet för att spåra finansie­ säkerhetsforskning bör förstärka kopplingarna mellan olika ring av terrorism (TFTP II) med USA ifrågasatte till exempel aktörer. I det sammanhanget är det viktigt att säkerhets­ Europeiska datatillsynsmannen om avtalet verkligen behöv­ forskningen får tillgång till sakkunskap i fråga om skydd av des för att nå resultat som kunde nås med hjälp av instru­ uppgifter på ett mycket tidigt stadium, så att denna kan ment som gör mindre intrång i den personliga integriteten, vara till vägledning för de politiska besluten och se till att såsom de instrument som redan har införts genom befint­ skydd för privatlivet i största möjliga utsträckning integre­ liga regelverk i EU och på det internationella planet ( 2 ). I ras med nya säkerhetsinriktade metoder, i enlighet med samma yttrande ifrågasatte Europeiska datatillsynsmannen principen om inbyggd integritet. behovet av att bulköverföra personuppgifter i stället för att använda sig av filtrering.

3. Användning av restriktiva åtgärder (frysning av till­ 22. I meddelandet säger man att en av utmaningarna är att ”få gångar) instrumenten att täcka de verkliga behoven (av brotts­ 27. När det gäller användning av restriktiva åtgärder (frysning bekämpning) (…) med fullt iakttagande av bestämmelserna av tillgångar) gentemot vissa länder och misstänkta terro­ om rätten till privatliv och dataskydd”. Europeiska datatill­ rister har EU-domstolens rättspraxis upprepade gånger och synsmannen välkomnar detta uttryckliga erkännande och uppmanar EU:s institutioner att göra en noggrann bedöm­ konsekvent bekräftat att det är viktigt att respektera grund­ ning av i vilken utsträckning de instrument som redan läggande rättigheter i terrorismbekämpningen, i syfte att finns och de instrument som planeras täcker de verkliga både trygga respekten för medborgerliga rättigheter och behoven av brottsbekämpning, samtidigt som överlappning garantera att vidtagna åtgärder är lagenliga. av åtgärder och onödiga begränsningar av rätten till privat­ liv undviks. I det sammanhanget bör periodiska översyner av befintliga instrument visa att de är effektiva när det gäller att bekämpa terrorism. 28. Europeiska datatillsynsmannen har redan bidragit med ytt­ randen och kommentarer i fråga om detta ( 4 ), och har å ena sidan framhållit de förbättringar av förfarandena som har 23. Europeiska datatillsynsmannen har i ett flertal yttranden gjorts men å andra sidan krävt ytterligare förbättringar, i och kommentarer förespråkat en granskning av alla befint­ synnerhet när det gäller rätten till information och tillgång liga instrument för informationsutbyte innan några nya föreslås, och gjorde detta med särskilt eftertryck i yttrandet ( 4 ) Yttrande av den 28 juli 2009 om förslaget till rådets förordning om om ”Översikt av informationshanteringen inom området ändring av förordning (EG) nr 881/2002 om införande av vissa 3 särskilda restriktiva åtgärder mot vissa med Usama bin Ladin, nät­ med frihet, säkerhet och rättvisa” ( ) nyligen. Det är viktigt verket al-Qaida och talibanerna associerade personer och enheter, att göra en bedömning av hur ändamålsenliga befintliga (EUT C 276, 17.11.2009, s. 1). Yttrande av den 16 december åtgärder är samtidigt som man tar hänsyn till hur nya 2009 om olika lagstiftningsförslag om införande av vissa särskilda planerade åtgärder påverkar den personliga integriteten, restriktiva åtgärder mot Somalia, Zimbabwe, Demokratiska folkrepu­ och detta bör vara ett framträdande inslag i Europeiska bliken Korea och Guinea, (EUT C 73, 23.3.2010, s. 1). Se också unionens verksamhet på området, i linje med den strategi Europeiska datatillsynsmannens skrivelse av den 20 juli 2010 om tre lagstiftningsförslag om vissa restriktiva åtgärder gentemot Slobodan som fastställdes i Stockholmsprogrammet. Milosevic och med honom associerade personer, till stöd för Inter­ nationella brottmålsdomstolens för f.d. Jugoslavien mandat, samt ( 1 ) Se punkt 4 i detta yttrande. gentemot Eritrea. Alla Europeiska datatillsynsmannens yttranden ( 2 ) Europeiska datatillsynsmannens yttrande av den 22 juni 2010. och kommentarer finns på Europeiska datatillsynsmannens ( 3 ) Europeiska datatillsynsmannens yttrande av den 30 september 2010. webbplats http://www.edps.europa.eu 22.2.2011 Europeiska SV unionens officiella tidning C 56/5 till personuppgifter, tydliga definitioner av begränsningarna nen att lägga fram ett förslag till inrättande av ett ramverk av dessa rättigheter och tillgången på effektiva rättsliga åt­ för skydd av uppgifter på den gemensamma utrikes- och gärder samt oberoende tillsyn. säkerhetspolitikens område.

4. Respekt för grundläggande rättigheter och interna­ 29. Domstolen bekräftade nyligen att det behövs ytterligare tionellt samarbete förbättringar av förfarandet och tillgängliga skyddsåtgärder för personer vilkas namn finns införda i förteckningen, i 32. I kapitlet om respekt för grundläggande rättigheter fram­ det så kallade Kadi II-målet ( 1 ). Domstolen framhöll särskilt håller man att EU måste vara mönstergillt när det gäller att de berörda personerna måste få detaljerad information respekten för stadgan om de grundläggande rättigheterna, om skälen till att deras namn har införts i förteckningen. vilken ska vara vägledande för all EU:s politik. Europeiska Detta ligger mycket nära de rättigheter att ha tillgång till datatillsynsmannen välkomnar denna linje. egna personuppgifter och kunna få dem korrigerade, främst när de är felaktiga eller inaktuella, som följer av uppgifts­ skyddslagstiftningen. Dessa rättigheter framgår uttryckligen 33. Europeiska datatillsynsmannen stöder också uttalandet att av artikel 8 i stadgan om de grundläggande rättigheterna respekt för grundläggande rättigheter inte bara är ett rätts­ och är centrala för skyddet av uppgifter. De får endast ligt krav utan även en avgörande förutsättning för att man begränsas i den utsträckning som detta är nödvändigt, för­ ska lyckas skapa ett ömsesidigt förtroende mellan de natio­ utsägbart och fastställt i lag. nella myndigheterna och vinna den breda allmänhetens förtroende.

30. Mot den bakgrunden instämmer Europeiska datatillsyns­ 34. Mot den bakgrunden rekommenderar Europeiska datatill­ mannen i det som sägs i meddelandet om att en av de synsmannen en aktiv strategi och konkreta åtgärder för framtida utmaningarna för kampen mot terrorism kommer att åstadkomma detta och för att se till att EU:s stadga att bli användningen av artikel 75 i fördraget om Europe­ om de grundläggande rättigheterna tillämpas på ett ända­ iska unionens funktionssätt. Denna nya rättsliga grund, som målsenligt sätt ( 4 ). infördes genom Lissabonfördraget, gör det möjligt att frysa finansiella tillgångar som tillhör fysiska och juridiska per­ soner. Europeiska datatillsynsmannen rekommenderar att denna rättsliga grund används också för att fastställa en 35. Privatlivskonsekvensanalyser och samråd med behöriga ram för frysning av tillgångar som är fullt förenlig med uppgiftsskyddsmyndigheter bör genomföras för alla initiativ respekten för grundläggande rättigheter. Europeiska datatill­ som påverkar skyddet av personuppgifter, oavsett vem som synsmannen är beredd att fortsätta bidra till utformningen är upphov till dem och vilket område det gäller. av lagstiftningsinstrument och -förfaranden och ser fram emot att bli vederbörligen rådfrågad när kommissionen utarbetar en särskild förordning på det här området, i en­ lighet med sitt arbetsprogram för 2011 ( 2 ). 36. I kapitlet om internationellt samarbete framhåller man i meddelandet också att vi måste skapa ”den rättsliga och politiska ram som krävs för ett förbättrat samarbete med EU:s externa partner på området terroristbekämpning”.

31. I ett vidare perspektiv måste en ram för skydd av uppgifter som också är tillämplig på den gemensamma utrikes- och säkerhetspolitiken fastställas. Artikel 16 i fördraget om Eu­ 37. Här påminner Europeiska datatillsynsmannen om vikten av ropeiska unionens funktionssätt ger en rättslig grund för att det finns lämpliga skyddsåtgärder när personuppgifter fastställande av regler för uppgiftsskyddet också när det sprids till tredjeländer och internationella organisationer, gäller den gemensamma utrikes- och säkerhetspolitiken. för att säkerställa att medborgarnas rätt till skydd av upp­ Den rättsliga grund och det förfarande som fastställs i gifter respekteras också inom ramen för det internationella artikel 39 i fördraget om Europeiska unionen ska bara till­ samarbetet. lämpas när medlemsstaterna behandlar personuppgifter på det här området. Trots att dessa regler för uppgiftsskyddet ska införas enligt Lissabonfördraget och att fördraget till­ 38. Detta inbegriper också att främja skydd av uppgifter i sam­ handahåller verktyg för detta planeras emellertid inget ini­ arbetet med tredjeländer och internationella organisationer, tiativ i meddelandet ”Ett samlat grepp på skyddet av per­ för att se till att EU:s normer följs. Detta är också i linje sonuppgifter i Europeiska unionen” ( 3 ). Mot den bakgrun­ med kommissionens avsikt att utarbeta höga rättsliga och den uppmanar Europeiska datatillsynsmannen kommissio­ tekniska standarder för skydd av uppgifter i tredjeländer och på internationell nivå samt öka samarbetet med tredje­ ( 1 ) Dom av den 30 september 2010 i mål T-85/09, Kadi mot kommis­ länder ( 5 ). sionen, se särskilt punkterna 157 och 177. ( 2 ) I kommissionens arbetsprogram 2011 (KOM(2010) 623, 27 oktober 2010), bilaga II (Vägledande tabell över initiativ under övervägande) ( 4 ) Se kommissionens meddelande KOM(2010) 573 av den 19 oktober talas det om en ”förordning om frysande av tillgångar för personer 2010, ”Strategi för Europeiska unionens konkreta tillämpning av som misstänks för terroristaktiviteter inom EU”. stadgan om de grundläggande rättigheterna”. ( 3 ) Kommissionens meddelande KOM(2010) 609 av den 4 november ( 5 ) Se meddelande KOM(2010) 609, ”Ett samlat grepp på skyddet av 2010. personuppgifter i Europeiska unionen”, s. 16–17. C 56/6 SV Europeiska unionens officiella tidning 22.2.2011

39. De restriktiva åtgärderna (frysning av tillgångar) ger Euro­ — När nya åtgärder planeras måste man ta hänsyn till peiska unionen stora möjligheter på det här området, men möjlig överlappning med redan befintliga instrument ett intensivt samarbete med tredjeländer och Förenta natio­ och till hur ändamålsenliga de är, och begränsa insam­ nerna får inte minska det goda skydd för grundläggande lingen och spridningen av personuppgifter till vad som rättigheter som EU:s rättssystem ger. verkligen erfordras för de syften man har.