Proposal for a Regulation on the marketing and use of explosives precursors

1.4.2011 Europeiska SV unionens officiella tidning C 101/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannenom förslaget till förordning om saluföring och användning av sprängämnesprekursorer

(2011/C 101/01)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA 2. De föreslagna åtgärdernas främsta syfte är att minska risken YTTRANDE för attacker från terrorister eller andra brottslingar som använder sig av hemmagjorda sprängladdningar. Förord­ ningen medför därför en begränsning av allmänhetens till­ gång till vissa kemikalier som kan missbrukas som prekur­ med beaktande av fördraget om Europeiska unionens funktions­ sorer för hemmagjorda sprängämnen. Genom förslaget sätt, särskilt artikel 16, förstärks också kontrollen av försäljningen av sådana kemi­ kalier genom rapportering av misstänkta transaktioner och stölder. med beaktande av Europeiska unionens stadga om de grund­ läggande rättigheterna, särskilt artiklarna 7 och 8,

3. Med detta yttrande vill Europeiska datatillsynsmannen upp­ märksamma lagstiftarna på ett antal relevanta uppgifts­ med beaktande av Europaparlamentets och rådets direktiv skyddsfrågor och utfärda rekommendationer för att garan­ 95/46/EG av den 24 oktober 1995 om skydd för enskilda tera den grundläggande rätten till skydd av personuppgifter. personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ),

1. Den 20 september 2010 antog kommissionen ett förslag uppgiftsskydd. till förordning om saluföring och användning av spräng­ ämnesprekursorer ( 3 ) (nedan kallat förslaget). Den 11 november 2010 skickades det förslag som kommissio­ nen antagit till Europeiska datatillsynsmannen för samråd Artiklarna 4 och 5: Förbud mot försäljning, tillstånd och enligt artikel 28.2 i förordning (EG) nr 45/2001. Datatill­ registrering av transaktioner synsmannen välkomnar samrådet och hänvisningen till detta i skälen till förslaget. 5. Försäljning till allmänheten av vissa kemikalier över fast­ ställda gränsvärden för koncentration kommer att förbju­ 1 das. Kemikalier med högre koncentrationer ska endast få ( ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 8, 12.1.2001, s. 1. säljas till användare som kan dokumentera ett legitimt be­ ( 3 ) KOM(2010) 473. hov. C 101/2 SV Europeiska unionens officiella tidning 1.4.2011

6. Förbudet gäller endast en kort förteckning över kemiska Artikel 7: Uppgiftsskydd ämnen och blandningar av dessa (se bilaga I till förslaget), samt försäljning av dessa ämnen till allmänheten Restrik­ 13. I skäl 11 och artikel 7 krävs att den behandling av person­ tionerna gäller inte professionella användare eller i trans­ uppgifter som sker genom tillämpning av denna förordning aktioner mellan företag. Allmänhetens tillgång till de äm­ ska vara förenlig med EU:s uppgiftsskyddslagstiftning, sär­ nen som finns med i förteckningen är bara begränsad om skilt direktiv 95/46/EG ( 4 ), och nationell uppgiftsskyddslagde överstiger vissa gränsvärden för tillåtna koncentrationer. stiftning om genomförande av detta direktiv. Förslaget in­ Dessa ämnen kan fortfarande fås mot uppvisande av myn­ nehåller inga ytterligare bestämmelser avseende uppgifts­ dighetstillstånd (som bevisar legitim användning). Slutligen skydd. gäller ett undantag för jordbrukare som utan tillstånd tillåts införskaffa ammoniumnitrat för användning som gödsel­ medel, oavsett gränsvärdet för koncentration.

2. Mer utförliga bestämmelser krävs för att säkra ett tillfredsställande personuppgiftsskydd

14. Skyldigheten att rapportera misstänkta transaktioner och 7. Tillstånd ska även krävas om en enskild person avser att stölder, samt det tillstånds- och registreringssystem som importera de förtecknade ämnena till EU. föreskrivs i förordningen kräver behandling av personupp­ gifter. Detta medför – åtminstone i viss utsträckning – ett intrång i privatlivet och i rätten till skydd för personupp­ gifter, varför det krävs tillräckliga skyddsåtgärder.

8. En ekonomisk aktör som tillhandahåller ett ämne eller en blandning till en enskild person som har ett tillstånd ska förvissa sig om att tillståndet är giltigt och registrera trans­ 15. Europeiska tillsynsmannen välkomnar att förslaget innehål­ aktionen. ler en separat bestämmelse (artikel 7) om uppgiftsskydd. Denna enda – och mycket generella – bestämmelse i för­ slaget är emellertid otillräcklig för att på ett tillfredsställande sätt tillgodose de krav på uppgiftsskydd som följer av de föreslagna åtgärderna. Det beskrivs heller inte tillräckligt 9. Varje medlemsstat ska fastställa regler för beviljande av till­ utförligt i de berörda artiklarna (artiklarna 4, 5 och 6) exakt stånd. Den behöriga myndigheten i medlemsstaten ska av­ vilken typ av uppgiftsbehandling som det kan bli fråga om. slå ansökan om tillstånd om det finns rimliga skäl att betvivla att den avsedda användningen är legitim. Beviljade tillstånd ska gälla i samtliga medlemsstater. Kommissionen kan utarbeta riktlinjer om tekniska detaljer i tillstånden för 16. När det gäller frågan om tillstånd kräver förordningen till att underlätta det ömsesidiga erkännandet av tillstånd. exempel att ekonomiska aktörer ska registrera transaktioner som sker inom ramen för tillstånd. Det sägs emellertid inte vilka personuppgifter som ska registreras, hur länge de ska lagras, vem som kan få tillgång till dem och på vilka vill­ kor. Det sägs inte heller vilka uppgifter som ska samlas in i Artikel 6: Rapportering av misstänkta transaktioner och stölder samband med behandling av ansökningar om tillstånd. 10. Försäljningen av ett större antal av kemikalier som ger anledning till oro (vilka förtecknas i bilaga II, utöver de som företecknas i bilaga I och som redan kräver tillstånd) 17. När det gäller kravet på rapportering av misstänkta trans­ kommer att omfattas av kravet på rapportering av miss­ aktioner och stölder fastställs ett rapporteringskrav i försla­ tänkta transaktioner och stölder. get, men det anges inte närmare vad som utgör en miss­ tänkt transaktion, vilka personuppgifter som ska rappor­ teras, hur länge de rapporterade uppgifterna ska lagras, vem som kan få tillgång till dem och på vilka villkor. Förslaget innehåller inte heller några närmare bestämmelser 11. I förslaget krävs att varje medlemsstat ska inrätta en natio­ om de ”nationella kontaktpunkter” som ska utses, om even­ nell kontaktpunkt (med tydligt angivet telefonnummer och tuella databaser som dessa kontaktpunkter kan upprätta i en e-postadress) för rapportering av misstänkta transaktio­ medlemsstaterna, eller om eventuella databaser som kan ner och stölder. Ekonomiska aktörer ska omedelbart rap­ upprättas på EU-nivå. portera varje misstänkt transaktion eller stöld, och om möj­ ligt ange kundens identitet.

18. Ur uppgiftsskyddssynpunkt är det insamlingen av uppgifter om misstänkta transaktioner som är den mest känsliga 12. Kommissionen ska utarbeta och uppdatera riktlinjer för att frågan i förslaget. De relevanta bestämmelserna bör förtydli­ ekonomiska aktörer lättare ska kunna upptäcka och rap­ gas för att se till att behandlingen av uppgifter är propor­ portera misstänkta transaktioner. Riktlinjerna ska även om­ tionerlig och för att förhindra missbruk. För att uppnå detta fatta regelbundna uppdateringar av en förteckning över bör det fastställas tydliga villkor för uppgiftsbehandling och ämnen utöver de som finns med i bilagorna I och II, och tillräckliga skyddsåtgärder. för vilka en frivillig rapportering av misstänkta transaktio­ ner och stölder uppmuntras. ( 4 ) Citerat i fotnot 1. 1.4.2011 Europeiska SV unionens officiella tidning C 101/3

19. Det är viktigt att uppgifterna inte används för något annat lagring av personuppgifter bör begränsas till vad som är syfte än för bekämpning av terrorism (och annan brotts­ absolut nödvändigt med hänsyn till de avsedda ändamålen lighet som innebär att kemikalier används för hemmagjorda (se artikel 6 c och 6 e i direktiv 95/46/EG). Om sådana sprängladdningar). Uppgifter bör heller inte lagras under närmare bestämmelser överlåts åt nationell lagstiftning eller lång tid, särskilt om antalet personer som potentiellt eller praxis skulle det troligen leda till onödig ovisshet och till faktiskt får tillgång till dem blir stort, och/eller om upp­ att liknande fall i praktiken behandlades på olika sätt. gifterna används för datautvinning. Detta är särskilt viktigt i fall där det visar sig att den ursprungliga misstanken var grundlös, då det måste krävas särskilda skäl för att lagra uppgifterna under längre tid. Europeiska datatillsynsmannen Förbud mot insamling av ”särskilda kategorier av uppgifter” vill i detta sammanhang till exempel hänvisa till domen från Europeiska domstolen för de mänskliga rättigheterna 24. Det bör i artikel 5 i förordningen dessutom uttryckligen i målet S. och Marper mot Förenade kungariket (2008) ( 5 ), förbjudas att ”särskilda kategorier av uppgifter” (enligt defi­ där det slogs fast att det var ett brott mot rätten till pri­ nitionen i artikel 8 i direktiv 95/46/EG) samlas in och vatliv enligt artikel 8 i Europeiska konventionen om behandlas i samband med tillståndsförfarandet, t.ex. person­ mänskliga rättigheter att under lång tid lagra DNA-uppgif­ uppgifter som avslöjar ras eller etniskt ursprung, politiska ter om personer som inte har dömts för något brott. åsikter, samt religiös eller filosofisk övertygelse.

20. Europeiska datatillsynsmannen rekommenderar därför att 25. Detta bör även bidra till att garantera att sökande inte det i artiklarna 5, 6 och 7 i förslaget fastställs ytterligare diskrimineras på grund av t.ex. ras, nationalitet eller politisk och mer utförliga bestämmelser för att tillgodose dessa krav eller religiös tillhörighet. Europeiska datatillsynsmannen be­ på ett tillfredsställande sätt. Nedan ges några specifika re­ tonar i detta sammanhang att ett starkt uppgiftsskydd även kommendationer. bidrar till att bekämpa rasism, främlingsfientlighet och dis­ kriminering, vilket i sin tur kan förhindra radikalisering och rekrytering till terrorism. 21. Det bör vidare övervägas om kommissionen kan fastställa särskilda och mer utförliga bestämmelser i ett genomföran­ debeslut i enlighet med artiklarna 10, 11 och 12 i förslaget 3.2. Rekommendationer avseende riktlinjer/genomföran­ om hur andra uppgiftsskyddsfrågor ska hanteras i prakti­ debeslut ken. Insamling av uppgifter under tillståndsförfarandet

26. I förordningen föreskrivs att en ansökan om tillstånd ska 22. Europeiska datatillsynsmannen rekommenderar slutligen avslås om det finns rimliga skäl att betvivla att den till­ också att kommissionens riktlinjer om misstänkta trans­ tänkta användningen är legitim. Det skulle i detta samman­ aktioner och om tekniska detaljer i tillstånden ska innehålla hang vara bra om det i riktlinjerna eller genomförande­ ytterligare, särskilda bestämmelser om uppgiftsbehandling beslutet angavs vilka uppgifter de tillståndsgivande myndig­ och uppgiftsskydd. Både dessa riktlinjer och ett eventuellt heterna kan samla in i samband med behandlingen av genomförandebeslut om uppgiftsskyddet bör antas efter ansökan om tillstånd. samråd med datatillsynsmannen och – när det gäller ge­ nomförandet på nationell nivå – med artikel 29-gruppen för skydd av personuppgifter. Detta bör tydligt förutses i själva förordningen, där det också tydligt bör anges vilka Ändamålsbegränsning huvudfrågor som ska behandlas i riktlinjerna/genomföran­ debeslutet. 27. Det bör i riktlinjerna eller genomförandebeslutet föreskrivas att endast behöriga brottsbekämpande myndigheter som utreder terroristverksamhet eller misstankar om annan brottslig användning av sprängämnesprekursorer bör få till­

3. Rekommendationer avseende utfärdande av tillstånd gång till uppgifterna. Uppgifterna får inte användas för an­ och registrering av transaktioner dra ändamål (se artikel 6 b i direktiv 95/46/EG). 3.1. Rekommendationer för artikel 5 i förslaget Längsta lagringstid och kategorier av uppgifter som samlas in Information till den registrerade om registreringen av transaktio­ 23. Europeiska datatillsynsmannen rekommenderar att det i ner (och om rapporteringen av misstänkta transaktioner) artikel 5 i förordningen fastställs en längsta lagringstid (som preliminärt inte bör vara längre än två år) och vilka 28. Europeiska datatillsynsmannen rekommenderar dessutom kategorier av personuppgifter som ska registreras (inga an­ att det i riktlinjerna eller genomförandebeslutet fastställs dra uppgifter än namn, tillståndsnummer och inköpta va­ att den tillståndsgivande myndigheten – som är bäst läm­ ror). Dessa rekommendationer grundas på principen om pad att skicka ett sådant meddelande direkt till den regi­ nödvändighet och proportionalitet, dvs. att insamling och strerade – ska informera tillståndsinnehavare om att deras inköp kommer att registreras och kan komma att rappor­ ( 5 ) S. och Marper mot Förenade kungariket (4 december 2008) (Ansök­ teras om de bedöms vara ”misstänkta” (se artiklarna 10 och ningar nr 30562/04 och 30566/04). 11 i direktiv 95/46/EG). C 101/4 SV Europeiska unionens officiella tidning 1.4.2011

4. Rekommendationer avseende rapportering av miss­ 4.2. Rekommendationer avseende riktlinjer/genomföran­ tänkta transaktioner och stölder debeslut 4.1. Rekommendationer för artikel 6 i förslaget Kriterier för misstänkta transaktioner bör anges

29. Europeiska datatillsynsmannen rekommenderar att de na­ 34. Det anges inte i förslaget vilka transaktioner som kan vara tionella kontaktpunkternas roll och beskaffenhet förtydligas ”misstänkta”. I artikel 6.6 a i förslaget förutses emellertid att i förslaget. I punkt 6.33 i konsekvensanalysen sägs att dessa kommissionen ska ”utarbeta riktlinjer […] och hålla dessa kontaktpunkter inte behöver vara ”brottsbekämpande myn­ riktlinjer uppdaterade” samt tillhandahålla information om digheter” utan även kan vara ”sammanslutningar”. Det ges ”hur misstänkta transaktioner kan kännas igen och rappor­ ingen närmare information om detta i lagstiftningshand­ teras”. lingarna. Denna fråga bör särskilt förtydligas i artikel 6.2 i förslaget. Uppgifter bör i princip handhas av brottsbekäm­ pande myndigheter och det bör finnas en mycket tydlig motivering om så inte är fallet. 35. Europeiska datatillsynsmannen välkomnar att det i förslaget krävs att kommissionen ska utarbeta riktlinjer. Dessa bör vara tillräckligt tydliga och konkreta för att inte kunna ges en alltför vid tolkning och därmed minimera överföringen 30. I artikel 6 i förordningen bör det dessutom anges vilka av personuppgifter till brottsbekämpande myndigheter, personuppgifter som ska registreras (inga andra uppgifter samt förhindra en godtycklig eller diskriminerande praxis än namn, tillståndsnummer, inköpta varor och skälen till som baseras på t.ex. ras, nationalitet och politisk eller reli­ misstanken). Dessa rekommendationer grundas på princi­ giös övertygelse. pen om nödvändighet och proportionalitet, dvs. att insam­ ling och lagring av personuppgifter bör begränsas till vad som är absolut nödvändigt med hänsyn till de avsedda ändamålen (se artikel 6 c i direktiv 95/46/EG). I detta sam­ Ändamålsbegränsning, sekretess, säkerhet och tillgång manhang gäller liknande överväganden som de som ut­ trycks i punkt 23. 36. Det bör vidare fastställas i riktlinjerna/genomförande­ bestämmelserna att informationen ska förvaras på ett säkert sätt och omfattas av sekretess, samt att endast behöriga brottsbekämpande myndigheter som utreder terroristverk­ 31. Det bör i artikel 6 i förordningen dessutom uttryckligen samhet eller annan misstänkt brottslig användning av förbjudas att ”särskilda kategorier av uppgifter” (enligt defi­ sprängämnesprekursorer ska kunna få tillgång till den. In­ nitionen i artikel 8 i direktiv 95/46/EG) samlas in och formationen bör inte användas för andra ändamål, t.ex. för behandlas i samband med rapporteringsförfarandet, t.ex. skatte- eller migrationsmyndigheters utredningar av ärenden personuppgifter som avslöjar ras eller etniskt ursprung, po­ som rör andra frågor. litiska åsikter, samt religiös eller filosofisk övertygelse (se även punkterna 24–25).

37. Det bör i riktlinjerna/genomförandebeslutet även anges vem som ska ha tillgång till de uppgifter som mottas (och lag­ 32. Det bör i artikel 6 slutligen fastställas en längsta lagringstid ras) av de nationella kontaktpunkterna. Endast personer med hänsyn till de ändamål för vilka uppgifterna ska lagras. med behovsenlig behörighet bör ha eller få tillgång till Om en misstänkt transaktion eller stöld inte har lett till en uppgifter. Det bör även övervägas om en förteckning särskild utredning, och denna fortfarande pågår, rekom­ över tänkbara mottagare ska offentliggöras. menderar Europeiska datatillsynsmannen att alla rappor­ terade misstänkta transaktioner och stölder ska raderas från databasen efter en viss tid (preliminärt senast två år efter rapporteringstidpunkten). Detta bör bidra till att oskyl­ Den registrerades rätt att få tillgång till uppgifter diga inte ”svartlistas” eller förblir misstänkta under onödigt lång tid (se artikel 6 e i direktiv 95/46/EG) i fall där miss­ 38. Det bör i riktlinjerna/genomförandebeslutet fastställas att tanken inte har kunnat styrkas (eller ens utretts vidare). den registrerade ska ha rätt till tillgång för att vid behov Alltför stora skillnader på denna punkt på nationell nivå få uppgifter rättade eller raderade (se artiklarna 12–14 i bör under alla omständigheter undvikas. direktiv 95/46/EG). En sådan rättighet – eller eventuella undantag i enlighet med artikel 13 – kan få betydande följder. Enligt de allmänna bestämmelserna har den registre­ rade även rätt att få veta om hans/hennes transaktion har 33. Denna begränsning är även nödvändig för att garantera rapporterats som misstänkt. Ett (potentiellt) utövande av principen om uppgiftskvalitet (se artikel 6 d i direktiv denna rättighet kan emellertid leda till att säljaren av 95/46/EG) och andra viktiga rättsliga principer, t.ex. sprängämnesprekursorer inte rapporterar köparens miss­ oskuldspresumtion. Detta kan inte bara leda till ett mer tänkta transaktioner. Eventuella undantag bör därför tydligt tillfredsställande skydd för enskilda individer, utan också motiveras och specificeras, helst i förordningen men under göra det möjligt att på ett effektivare sätt inrikta brotts­ alla omständigheter i riktlinjerna/genomförandebeslutet. En bekämpningen på mer allvarliga fall, där det är troligt att möjlighet till prövning bör också förutses i samverkan med misstankarna i slutändan kommer att styrkas. de nationella kontaktpunkterna. 1.4.2011 Europeiska SV unionens officiella tidning C 101/5

5. Övriga kommentarer 42. Kontaktpunkternas roll och beskaffenhet bör förtydligas i artikel 6 i förslaget. I samma bestämmelse bör det även Återkommande översyn av instrumentens verkningsfullhet fastställas en längsta lagringstid för de uppgifter som rap­ porteras om misstänkta transaktioner (som preliminärt inte 39. Europeiska datatillsynsmannen välkomnar att det i ska vara längre än två år) och de personuppgifter som ska artikel 16 i förslaget föreskrivs en översyn av förordningen registreras (inga andra uppgifter än namn, registrerings­ [fem år efter antagandet]. Datatillsynsmannen anser defini­ nummer, inköpta varor och skälen till misstanken). Behand­ tivt att det genom en återkommande översyn måste påvisas ling av särskilda kategorier av uppgifter bör uttryckligen att alla nya instrument fortfarande är verkningsfulla i be­ förbjudas. kämpningen av terrorism (och annan brottslig verksamhet). Europeiska datatillsynsmannen rekommenderar att det ut­ tryckligen föreskrivs i förordningen att en sådan översyn 43. Det bör i riktlinjerna/genomförandebeslutet vidare anges ska avse förordningens verkningsfullhet och att även dess vilka uppgifter tillståndsgivande myndigheter får samla in följder för de grundläggande rättigheterna, däribland upp­ i samband med behandling av ansökan om tillstånd. Det giftsskyddet, ska beaktas. bör i dessa även fastställas en tydlig begränsning av de ändamål för vilka uppgifterna kan användas. Liknande be­ stämmelser bör även gälla för registret över misstänkta transaktioner. Det bör i riktlinjerna/genomförandebeslutet III. SLUTSATSER anges att den tillståndsgivande myndigheten ska informera tillståndsinnehavare om att deras inköp kommer att regi­ 40. Europeiska datatillsynsmannen rekommenderar ytterligare streras och kan komma att rapporteras om de bedöms vara och mer utförliga bestämmelser i förslaget för att säkra ”misstänkta”. I riktlinjerna/genomförandebeslutet bör även ett tillfredsställande uppgiftsskydd. Kommissionens riktlinjer anges vem som kommer att ha tillgång till de uppgifter om misstänkta transaktioner och om tekniska detaljer i som de nationella kontaktpunkterna mottagit (och lagrat). tillstånden – och ett eventuellt genomförandebeslut om Endast personer med behovsenlig behörighet bör ha eller få uppgiftsskydd – bör även innehålla ytterligare, särskilda tillgång till uppgifter. Det bör i riktlinjerna/genomförande­ bestämmelser om uppgiftsbehandling och uppgiftsskydd. beslutet även fastställas att den registrerade ska ha rätt till Riktlinjerna (och ett eventuellt genomförandebeslut) bör tillgång till uppgifter, och eventuella undantag bör tydligt antas efter samråd med Europeiska datatillsynsmannen specificeras och motiveras. och, i lämpliga fall, med artikel 29-gruppen bestående av företrädare för uppgiftsskyddsmyndigheter i medlemssta­ terna. 44. Det bör göras en återkommande översyn av de planerade åtgärdernas verkningsfullhet då även deras konsekvenser för privatlivet beaktas.

41. Det bör i artikel 5 i förordningen fastställas en längsta lagringstid (som preliminärt inte bör vara längre än två år) för de registrerade transaktionerna och de kategorier Utfärdat i Bryssel den 15 december 2010. av personuppgifter som ska registreras (inga andra uppgif­ ter än namn, registreringsnummer och inköpta varor). Be­ Peter HUSTINX handling av särskilda kategorier av uppgifter bör uttryckli­ gen förbjudas. Europeiska datatillsynsmannen