Comprehensive approach on personal data protection in the European Union

22.6.2011 Europeiska SV unionens officiella tidning C 181/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om kommissionens meddelande till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén och Regionkommittén – ”Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen”

(2011/C 181/01)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA 2. I meddelandet beskrivs hur kommissionen ska hantera YTTRANDE översynen av EU:s rättsliga ram för skyddet av personuppgifter på alla EU:s verksamhetsområden, med särskild hänsyn till de utmaningar som globaliseringen och den med beaktande av fördraget om Europeiska unionens funktionsnya tekniken medför ( 4 ). sätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grund3. Europeiska datatillsynsmannen välkomnar meddelandet läggande rättigheterna, särskilt artiklarna 7 och 8, rent allmänt, eftersom han är övertygad om att en översyn av den nuvarande rättsliga ramen för skydd av personmed beaktande av Europaparlamentets och rådets direktiv uppgifter inom EU är nödvändig för att säkra ett effektivt 95/46/EG av den 24 oktober 1995 om skydd för enskilda skydd för informationssamhällets fortsatta utveckling. Repersoner med avseende på behandling av personuppgifter och dan i sitt yttrande av den 25 juli 2007 om genomförande om det fria flödet av sådana uppgifter ( 1 ), av dataskyddsdirektivet ( 5 ) drog han slutsatsen att föränd­

ringar av direktiv 95/46/EG förefaller oundvikliga på med beaktande av Europaparlamentets och rådets förordning längre sikt. (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så­ 4. Meddelandet utgör ett viktigt steg i riktning mot en sådan dana uppgifter ( 2 ), särskilt artikel 41. ändring av lagen som i sin tur skulle vara den viktigaste

utvecklingen när det gäller uppgiftsskydd inom EU sedan HÄRIGENOM FRAMFÖRS FÖLJANDE. direktiv 95/46/EG antogs, vilket i allmänhet betraktas som den viktigaste hörnstenen för dataskydd inom Europeiska unionen (och i ett vidare begrepp inom Europeiska ekonoA. ALLMÄNT miska samarbetsområdet).

1. Inledning 1.1 En första och allmän bedömning 5. Meddelandet erbjuder rätt ram för en målinriktad översyn, även på grund av att det rent allmänt identifierar huvud1. Den 4 november 2010 antog kommissionen ett meddefrågor och utmaningar. Datatillsynsmannen instämmer i lande med titeln ”Ett samlat grepp på skyddet av personkommissionens uppfattning att ett starkt system för datauppgifter i Europeiska unionen” (”meddelandet”) ( 3 ). Medskydd kommer att behövas även i framtiden, baserat på delandet sändes till Europeiska datatillsynsmannen för principen att befintliga allmänna principer för dataskydd samråd. Datatillsynsmannen välkomnar att kommissionen fortfarande är giltiga i ett samhälle som genomgår grundsamrått med honom i enlighet med artikel 41 i förordläggande förändringar på grund av snabb teknisk utveckning (EG) nr 45/2001. Han fick möjlighet att lämna inforling och globalisering. Detta kräver att befintliga lagstiftmella kommentarer redan innan meddelandet antogs och ningslösningar ses över. vissa av dessa kommentarer har beaktats i slutversionen av dokumentet. ( 4 ) Se s. 5 i meddelandet, första stycket. ( 5 ) Yttrande från Europeiska datatillsynsmannen av den 25 juli 2007 ( 1 ) EGT L 281, 23.11.1995, s. 31. om meddelandet från kommissionen till Europaparlamentet och rå( 2 ) EGT L 8, 12.1.2001, s. 1. det om uppföljningen av arbetsprogrammet för ett bättre genom( 3 ) KOM(2010) 609 slutlig. förande av dataskyddsdirektivet, (EUT C 255, 27.10.2007, s. 1). C 181/2 SV Europeiska unionens officiella tidning 22.6.2011

6. I meddelandet betonas med rätta att utmaningarna är rättsväsende som inleddes av kommissionen 2009 (”arenorma. Datatillsynsmannen instämmer i yttrandet och betsgruppens dokument om integritetens framtid”) ( 7 ). betonar att de föreslagna lösningarna bör vara lika ambitiösa och göra skyddet effektivare.

11. Vid en presskonferens den 15 november 2010 lämnade 1.2 Syftet med yttrandet datatillsynsmannen också sina första reaktioner på det aktuella meddelandet. I detta yttrande utvecklas närmare 7. I detta yttrande bedöms de lösningar som föreslås i med­ de mer allmänna uppfattningar som framfördes under delandet på grundval av följande två kriterier: ambition presskonferensen ( 8 ). och effektivitet. Perspektivet är på det hela taget positivt. Datatillsynsmannen stöder meddelandet men är samtidigt kritisk till aspekter där enligt hans uppfattning större ambitioner skulle leda till ett effektivare system.

12. Avslutningsvis utnyttjas i detta yttrande ett antal tidigare yttranden från datatillsynsmannen samt handlingar från artikel 29-arbetsgruppen. Hänvisningar till dessa yttranden 8. Datatillsynsmannen hoppas med detta yttrande kunna bi­ och handlingar görs på olika platser i detta yttrande när dra till att den rättsliga ramen för dataskydd utvecklas det är relevant. ytterligare. Han ser fram emot kommissionens förslag som förväntas under mitten av 2011 och hoppas att hans idéer kommer att beaktas i förslaget. Han noterar också att man i meddelandet förefaller utesluta vissa områden, exempelvis behandling av uppgifter inom EU:s institutioner och organ, från det allmänna instrumentet. Om 2. Bakgrund kommissionen verkligen skulle besluta sig för att ute13. Översynen av reglerna för dataskydd genomförs vid en lämna vissa områden på detta stadium – något som datahistoriskt avgörande tidpunkt. I meddelandet beskrivs baktillsynsmannen skulle beklaga – vädjar han till kommisgrunden på ett omfattande och övertygande sätt. Baserat sionen att åta sig att ta fram en heltäckande utformning på den beskrivningen identifierar datatillsynsmannen de inom en kort och angiven tidsram. fyra huvudfaktorer som avgör den miljö där översynsprocessen äger rum. 1.3 Yttrandets beståndsdelar

9. Det här yttrandet är inte fristående. Det bygger på tidigare 14. Den första faktorn är teknisk utveckling. Dagens teknik är ståndpunkter från datatillsynsmannen och Europeiska dainte densamma som när direktiv 95/46/EG utformades taskyddsmyndigheter vid olika tillfällen. Det bör framför och antogs. Tekniska företeelser som datormoln, beteenallt betonas att i det tidigare nämnda yttrandet från datadestyrd annonsering, sociala nätverk, vägtullar och gpstillsynsmannen av den 25 juli 2007 fastställdes och utsystem förändrade på djupet hur uppgifter behandlas vecklades några viktiga beståndsdelar i framtida ändoch innebär enorma utmaningar för dataskyddet. I en ringar ( 6 ). Yttrandet bygger också på diskussioner med översyn av reglerna för europeiskt dataskydd måste dessa andra aktörer på området integritet och dataskydd. Deras utmaningar tas upp på ett effektivt sätt. bidrag utgjorde en mycket användbar bakgrund för både meddelandet och detta yttrande. Man kan därför dra slutsatsen att det finns synergier när det gäller hur dataskyddet kan effektiviseras.

15. Den andra faktorn är globaliseringen. Det successiva avskaffandet av handelshinder har gjort affärsverksamheten allt mer internationell. Gränsöverskridande hantering av 10. En annan viktig komponent i detta yttrande är dokumentet ”Integritetens framtid”, det gemensamma bidraget från ( 7 ) Arbetsgruppens dokument 168 (http://ec.europa.eu/justice/policies/ artikel 29-arbetsgruppen och arbetsgruppen om polis och privacy/docs/wpdocs/2009/wp168_en.pdf). Dess huvudbudskap är att en lagändring är ett bra tillfälle att klargöra vissa huvudregler ( 6 ) Se särskilt (punkt 77 i yttrandet): Inget behov av att ändra befintliga och principer (exempelvis samtycke, öppenhet), införa några nya principer men ett klart behov av andra administrativa lösningar, principer (exempelvis inbyggda skyddsmekanismer, ansvarighet), dataskyddslagstiftningens breda tillämpning på all användning av öka effektiviteten genom att modernisera lösningarna (exempelvis personuppgifter bör inte förändras, dataskyddslagstiftningen bör genom att begränsa befintliga anmälningskrav) och samla allt i ett möjliggöra ett balanserat tillvägagångssätt i konkreta fall och bör heltäckande regelverk (inbegripet polisiärt och rättsligt samarbete). också göra det möjligt för dataskyddsmyndigheterna att fastställa ( 8 ) Presskonferensens talepunkter finns på datatillsynsmannens prioriteringar; systemet bör gälla fullt ut för användningen av per­ webbplats: http://www.edps.europa.eu/EDPSWEB/webdav/site/ sonuppgifter vid brottsbekämpning, men det kan krävas ytterligare mySite/shared/Documents/EDPS/Publications/Speeches/2010/10-11lämpliga åtgärder för att hantera särskilda problem på detta område. 15_Press_conf_speaking_points_PHBG_EN.pdf 22.6.2011 Europeiska SV unionens officiella tidning C 181/3 uppgifter internationella överföringar har ökat enormt de grundläggande rättigheterna och artikel 16 i fördraget om senaste åren. Dessutom har behandling av uppgifter blivit Europeiska unionens funktionssätt, liksom den starka allestädes närvarande på grund av informations- och kom­ kopplingen till artikel 7 i stadgan ( 12 ). munikationsteknik: Internet och datormoln gjorde det möjligt att utlokalisera hanteringen av stora mängder uppgifter över hela världen. Under det senaste årtiondet har vi 19. En stark ram för dataskydd gynnar emellertid också större också sett en ökning av internationella polisiära och rätts­ offentliga och privata intressen i ett informationssamhälle liga åtgärder för att bekämpa terrorism och andra former där behandling av uppgifter förekommer överallt. Dataav internationell organiserad brottslighet, med stöd av ett skydd främjar förtroende som är ett grundläggande inslag enormt utbyte av information. Allt detta kräver noggranna i ett väl fungerande samhälle. Det är avgörande att lösöverväganden om hur skydd av personuppgifter kan tryg­ ningar för dataskydd tolkas på ett sätt så att de – så långt gas effektivt i en globaliserad värld, utan att internationella det är möjligt – aktivt stödjer snarare än hindrar andra databehandlingsåtgärder hindras alltför mycket. berättigade rättigheter och intressen.

20. Viktiga exempel på andra berättigade intressen är en stark 16. Den tredje faktorn är Lissabonfördraget. Lissabonfördra­ europeisk ekonomi, enskildas säkerhet liksom regeringars gets ikraftträdande innebär en ny era för uppgiftsskyddet. ansvarighet. Artikel 16 i fördraget om Europeiska unionens funktionssätt innehåller inte bara en individuell rätt för den som berörs av uppgifterna utan även en direkt rättslig grund 21. Ekonomisk utveckling inom EU går hand i hand med för en stark lag i hela EU om uppgiftsskydd. I och med att införande och marknadsföring av ny teknik och nya tjänspelarstrukturen avskaffats blir Europaparlamentet och rå­ ter. I informationssamhället är framväxt och framgångsrik det dessutom skyldiga att tillhandahålla uppgiftsskydd utveckling av informations- och kommunikationsteknik inom alla områden i EU:s lagstiftning. Med andra ord och tjänster beroende av förtroende. Om människor inte möjliggör det en omfattande rättslig ram för uppgifts­ litar på informations- och kommunikationstekniken risskydd som kan tillämpas på den privata sektorn, den kerar tekniken att misslyckas ( 13 ). Och människor kommer offentliga sektorn i medlemsstaterna och EU:s institutioner endast att lita på informations- och kommunikationstekoch organ. I Stockholmsprogrammet ( 9 ) fastställs genom­ niken om deras uppgifter skyddas effektivt. Dataskydd bör gående i detta hänseende att unionen behöver säkerställa därför vara en integrerad del av teknik och tjänster. En en omfattande strategi för att skydda uppgifter inom EU stark ram för dataskydd främjar den europeiska ekonooch sina förbindelser med andra länder. min, under förutsättning att detta ramverk inte bara är starkt utan även utformat på rätt sätt. Ytterligare harmonisering inom EU och minimering av administrativa bördor är i detta sammanhang grundläggande (se kapitel 5 i 17. Den fjärde faktorn utgörs av parallella utvecklingar som yttrandet). äger rum inom internationella organisationer. Olika pågående debatter fokuserar på modernisering av de nuvarande rättsliga instrumenten för uppgiftsskydd. Det är viktigt att 22. Mycket har de senaste åren sagts om behovet av balans i detta sammanhang nämna de aktuella reflektioner som mellan integritet och säkerhet, särskilt i förhållande till gjorts om den kommande översynen av Europarådets instrument för behandling och utbyte av data på området konvention 108 ( 10 ) och av OECD:s riktlinjer för privatli­ polissamarbete och rättsligt samarbete ( 14 ). Dataskydd bevet ( 11 ). En annan viktig utveckling gäller antagandet av skrevs ganska ofta felaktigt som ett hinder för att fullt ut internationella normer för skydd av personuppgifter och skydda enskildas fysiska säkerhet ( 15 ), eller åtminstone integritet, som eventuellt kan leda till att ett bindande som ett oundvikligt villkor som skulle respekteras av övergripande instrument om dataskydd antas. Samtliga brottsbekämpande myndigheter. Det är emellertid inte dessa initiativ förtjänar att stödjas i sin helhet. Deras ge­ hela sanningen. En stark ram för dataskydd kan vässa mensamma mål bör vara att säkra ett effektivt och kon­ och stärka säkerheten. På grundval av principerna om sekvent skydd i en teknikdriven och globaliserad miljö. dataskydd ska registeransvariga – när principerna fungerar väl – se till att informationen är korrekt och uppdaterad och att överflödiga personuppgifter som inte krävs för brottsbekämpning raderas i systemen. Man kan även 3. Huvudperspektiv peka på skyldigheter att genomföra tekniska och C 181/4 SV Europeiska unionens officiella tidning 22.6.2011 åorganisatoriska åtgärder för att trygga säkerheten i sys­ sina friheter i ett demokratiskt samhälle, exempelvis ytttem, exempelvis system som skyddar mot otillåten sprid­ randefriheten. ning eller tillträde och som har utvecklats inom dataskyddsområdet. 28. Det är dessutom svårt att tänka sig kontroll av den enskilda utan att de ansvariga är skyldiga att begränsa be23. Om principerna för skydd av uppgifter följs kan det yt­ handlingen enligt principerna om nödvändighet, proporterligare bidra till att de brottsbekämpande myndigheterna tionalitet och begränsning av syfte. Det är också svårt att följer rättsstatens regler vilket leder till förtroende för de­ tänka sig kontroll av den enskilda om det inte finns några ras uppträdande och i en vidare mening främjar förtroen­ erkända rättigheter för registrerade, exempelvis rätten till det för våra samhällen. Den rättspraxis som utvecklas i tillträde, ändring, radering eller blockering av uppgifter. artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna tryggar att polis- och rättsväsende kan behandla alla uppgifter som är relevanta för deras 3.2.3 P e r s p e k t i v e t m e d g r u n d l ä g g a n d e arbete men inte på ett obegränsat sätt. Dataskydd kräver r ä t t i g h e t e r kontroller och balanser (se kapitel 9 i yttrandet om polisoch rättsväsende). 29. Datatillsynsmannen betonar att dataskydd erkänns som en grundläggande rättighet. Det innebär inte att dataskydd alltid ska ha företräde före andra viktiga rättigheter och 24. I demokratiska samhällen är regeringar ansvariga för alla intressen i ett demokratiskt samhälle, men det får konsina åtgärder, vilket även innefattar användning av person­ sekvenser för form och omfattning av det skydd som uppgifter för olika offentliga intressen. Detta sträcker sig måste erbjudas enligt en rättslig ram inom EU, så att från offentliggörande av uppgifter på Internet av öppen­ kraven när det gäller dataskydd alltid beaktas på lämpligt hetsskäl, till användning av uppgifter som ett stöd till sätt. politik inom områden som folkhälsa, transport eller beskattning, eller övervakning av enskilda i brottsbekämpande syfte. Med hjälp av ett starkt ramverk för dataskydd 30. Dessa huvudsakliga konsekvenser kan definieras på fölkan regeringar ta sitt ansvar och vara ansvariga som en jande sätt: del av en god förvaltning. — Skyddet måste vara effektivt. En rättslig ram måste 3.2 Konsekvenser för den rättsliga ramen för dataskydd tillhandahålla instrument som gör att enskilda kan utöva sina rättigheter i praktiken. 3.2.1 Y t t e r l i g a r e h a r m o n i s e r i n g k r ä v s

25. I meddelandet slogs med rätta fast att en av den nuva— Ramen måste vara stabil under en lång period. rande ramens största brister är att medlemsstaterna i alltför stor utsträckning själva kan bestämma om införlivandet av EU:s bestämmelser i nationell lag. Bristande harmo— Skydd måste erbjudas under alla omständigheter och nisering får ett antal negativa konsekvenser i ett inforfår inte bero på politiska preferenser inom en viss mationssamhälle där de fysiska gränserna mellan medtidsram. lemsstaterna blir allt mindre relevanta (se kapitel 5 i yttrandet). — Utövandet av rätten kan behöva begränsas, men det måste utgöra ett undantag, motiveras på lämpligt sätt 3.2.2 A l l m ä n n a p r i n c i p e r f ö r d a t a s k y d d ä r och aldrig påverka de grundläggande beståndsdelarna i f o r t f a r a n d e g i l t i g a själva rättigheten ( 16 ). 26. Ett första och mer formellt skäl till att de allmänna principerna för dataskydd varken bör eller kan ändras är av Datatillsynsmannen rekommenderar att kommissionen tar rättsligt slag. Dessa principer slås fast i Europarådets konhänsyn till dessa konsekvenser när lagstiftningsförslag fövention 108 som är bindande för alla medlemsstater. reslås. Konventionen ligger till grund för dataskyddet inom EU. Några av huvudprinciperna nämns dessutom uttryckligen i artikel 8 i stadgan om de grundläggande rättigheterna i 3.2.4 N y a l a g s t i f t n i n g s f ö r s l a g b e h ö v s unionen. Om dessa principer ändras skulle alltså fördragen behöva ändras. 31. Meddelandet koncentreras med rätta på behovet av att stärka lagstiftningslösningar för dataskydd. I detta sammanhang är det lämpligt att erinra om att i arbetsgrup27. Det är emellertid inte hela sanningen. Det finns också pens dokument om integritetens framtid ( 17 ) betonade avsevärda skäl till att inte ändra de allmänna principerna. dataskyddsmyndigheterna behovet av starkare roller för Datatillsynsmannen anser att ett informationssamhälle inte kan eller bör fungera utan lämpligt skydd av enskildas ( 16 ) Se även Europeiska datatillsynsmannens yttrande av den 25 juli privatliv och personuppgifter. När mer information han2007 om kommissionens meddelande till Europaparlamentet och teras behövs också ett bättre skydd. Ett informationssamrådet om uppföljningen av arbetsprogrammet för ett bättre genomhälle där ett överflöd av information om alla behandlas förande av dataskyddsdirektivet, punkt 17, som bygger på rättsbehöver bygga på begreppet med den enskildas kontroll, praxis från Europadomstolen och EG-domstolen. så att han eller hon kan agera som enskild och använda ( 17 ) Se fotnot 7. 22.6.2011 Europeiska SV unionens officiella tidning C 181/5 dataskyddsområdets olika aktörer, framför allt registrerade — I meddelandet anges helt korrekt att de rättsliga inpersoner, registeransvariga och de övervakande myndighe­ strument för dataskydd som för närvarande är tillämpterna själva. liga på polisiära och rättsliga myndigheter (rambeslut 2008/977/RIF ( 21 )) är otillräckliga.

32. Intressenterna förefaller ha en bred samsyn om att starkare lagstiftningslösningar – som tar hänsyn till teknisk utveckling och globalisering – är nyckeln till ett ambitiöst — Flertalet medlemsstater har införlivat direktiv och effektivt dataskydd även i framtiden. Såsom redan 95/46/EG och konvention 108 i sin nationella lagangivits i punkt 7 är detta datatillsynsmannens kriterier stiftning och därmed gjort dem tillämpliga för de poför bedömning av alla föreslagna lösningar. lisiära och rättsliga myndigheterna. 3.2.5 A l l s i d i g h e t s o m e n n ö d v ä n d i g f ö r u t s ä t t n i n g 36. Att låta polis och rättsliga myndigheter omfattas av det allmänna rättsliga instrumentet skulle inte bara innebära 33. Såsom erinras om i meddelandet gäller direktiv 95/46/EG större garantier för medborgarna utan också göra polisall verksamhet rörande behandling av personuppgifter i myndigheternas uppgift enklare. Att behöva tillämpa olika medlemsstaterna inom både offentlig och privat sektor, uppsättningar regler är besvärligt, onödigt tidsödande och med undantag för åtgärder som inte omfattas av tidigare hindrar internationellt samarbete (se vidare kapitel 9 i gemenskapslagstiftning ( 18 ). Detta undantag behövdes enyttrandet). Detta talar också för att även behandling vid ligt det tidigare fördraget men är inte längre nödvändigt nationella säkerhetstjänster bör ingå, under förutsättning efter att Lissabonfördraget trätt i kraft. Dessutom strider att det är möjligt enligt nuvarande EU-lagstiftning. undantaget mot – texten och i vilket fall som helst andan i – artikel 16 i fördraget om Europeiska unionens funktionssätt. 3.2.6 T e k n i s k n e u t r a l i t e t

34. Enligt datatillsynsmannen måste ett omfattande lagstift37. Tiden sedan direktiv 95/46/EG antogs 1995 kan beskrivas ningsinstrument för dataskydd inbegripet polisiärt och som tekniskt turbulent. Den tekniska utvecklingen går rättsligt samarbete i brottmål ses som en av de viktigaste framåt och nya hjälpmedel införs hela tiden. I många förbättringar som en ny rättslig ram kan åstadkomma. Det fall har detta lett till grundläggande förändringar av hur är en nödvändig förutsättning för ett effektivt dataskydd i enskildas personuppgifter hanteras. Informationssamhället framtiden. kan inte längre betraktas som en parallell miljö där enskilda frivilligt kan delta utan har blivit en integrerad del 35. Datatillsynsmannen betonar följande argument som stöd av vårt dagliga liv. Bara som ett exempel upprättar sakerför detta uttalande: nas Internet ( 22 ) förbindelser mellan fysiska objekt och information på nätet som handlar om dem. — Distinktionen mellan åtgärder inom den privata sektorn och sektorn för brottsbekämpning är oklar. Enheter inom den privata sektorn kan behandla uppgifter 38. Tekniken kommer att utvecklas ytterligare. Detta får konsom sedan används brottsförebyggande (exempelvis: sekvenser för den nya rättsliga ramen. Den måste fungera passageraruppgifter ( 19 )), medan de i andra fall måste under ett stort antal år, och samtidigt inte hindra ytterli­ behålla uppgifterna i brottsförebyggande syfte (exem­ gare teknisk utveckling. Det kräver tekniskt neutrala lagspelvis: direktivet om lagring av uppgifter ( 20 )). tiftningslösningar. Ramen måste emellertid också skapa större rättssäkerhet för företag och enskilda. De måste förstå vad som förväntas av dem och kunna utöva sina — Det finns ingen grundläggande skillnad mellan polirättigheter. Lagstiftningslösningarna måste därför vara exsiära och rättsliga myndigheter och andra brottsakta. bekämpande myndigheter (skattemyndigheter, tull, bedrägeribekämpning, immigrationsmyndigheter) när det gäller direktiv 95/46/EG.

39. Enligt datatillsynsmannen måste ett allmänt instrument ( 18 ) Detta yttrande kommer huvudsakligen att inriktas på den tidigare för skydd av uppgifter så långt det är möjligt utformas C 181/6 SV Europeiska unionens officiella tidning 22.6.2011 ska införas utöver befintliga principer för dataskydd, något 45. Europeiska datatillsynsmannen föredrar absolut att besom skulle kunna få särskild betydelse i en snabbt för­ handling på EU-nivå ska ingå i den allmänna rättsliga änderlig elektronisk miljö (se huvudsakligen kapitel 6 ramen. Han erinrar om att detta var den ursprungliga och 7). avsikten i den tidigare artikel 286 EG där dataskydd för första gången nämndes i fördraget. Artikel 286 EG innebar helt enkelt att rättsliga instrument för behandling av personuppgifter även skulle gälla för institutionerna. Vad 3.2.7 L å n g s i k t i g t : R ä t t s s ä k e r h e t u n d e r som är ännu viktigare är att en lagtext innebär att risken l ä n g r e t i d för bristande överensstämmelse mellan bestämmelser undviks och den skulle vara bäst lämpad för utbyte av upp40. Direktiv 95/46/EG har varit det huvudsakliga dokumentet gifter mellan EU och offentliga och privata enheter i mednär det gäller dataskydd inom EU under de senaste 15 lemsstaterna. Det skulle också innebära att man undviker åren. Det införlivades i medlemsstaternas lagstiftning och risken att det efter ändring av direktiv 95/46/EG inte tillämpades av olika aktörer. Under åren har man utnyttjat längre finns något politiskt intresse av att ändra förordpraktiska erfarenheter och ytterligare rådgivning från komning (EG) nr 45/2001 eller ge denna ändring tillräcklig missionen, dataskyddsmyndigheter (på nationell nivå och prioritet för att undvika bristande överensstämmelse när inom ramen för artikel 29-arbetsgruppen) samt nationella det gäller datum för ikraftträdande. och europeiska domstolar.

46. Datatillsynsmannen vädjar till kommissionen – i det fall 41. Det är bra att betona att denna utveckling kräver tid och – den skulle dra slutsatsen att det inte skulle vara möjligt att särskilt eftersom vi har att göra med en allmän ram som införliva behandling på EU-nivå i det allmänna rättsliga påverkar en grundläggande rättighet – att denna tid beinstrumentet – att föreslå en anpassning av förordning hövs för att skapa rättssäkerhet och stabilitet. Ett nytt (EG) nr 45/2001 (inte ”bedöma behovet”) så snart som allmänt rättsligt instrument behöver utarbetas med ambimöjligt och helst före slutet av 2011. tionen att det ska kunna skapa rättssäkerhet och stabilitet under en längre period, och med tanke på att det är mycket svårt att förutsäga hur teknik och globalisering kommer att utvecklas ytterligare. I vilket fall som helst 47. Det är lika viktigt att kommissionen ser till att andra stöder datatillsynsmannen målet att skapa rättssäkerhet områden inte hamnar på efterkälken, framför allt följande: under en längre tid, jämfört med perspektivet i direktiv 95/46/EG. När tekniken utvecklas snabbt måste lagen vara stabil. — Dataskydd i den gemensamma utrikes- och säkerhetspolitiken, på grundval av artikel 39 i fördraget om Europeiska unionens funktionssätt ( 24 ). 3.2.8 K o r t s i k t i g t : B ä t t r e u t n y t t j a n d e a v b e f i n t l i g a i n s t r u m e n t

42. På kort sikt är det avgörande att befintliga lagstiftnings­ — Sektorspecifika system för dataskydd för EU:s organ, lösningar är effektiva, i första hand genom att koncent­ exempelvis Europol, Eurojust och för storskaliga inforreras på verkställighet, på nationell nivå och EU-nivå (se mationssystem, i den mån de behöver anpassas till det kapitel 11 i detta yttrande). nya rättsliga instrumentet.

43. Datatillsynsmannen stöder helt det samlade greppet på skyddet av uppgifter som inte bara är titeln utan också utgångspunkten för meddelandet och nödvändigtvis inne48. Avslutningsvis kan och sannolikt bör ett allmänt rättsligt fattar en utvidgning av de allmänna reglerna för dataskydd instrument för dataskydd kompletteras med ytterligare till polissamarbete och straffrättsligt samarbete ( 23 ). sektorsvisa och specifika förordningar, exempelvis för polissamarbete och rättsligt samarbete, men även inom andra områden ( 25 ). Vid behov och för att vara förenliga

44. Datatillsynsmannen noterar emellertid också att kommis­ med subsidiaritetsprincipen bör dessa ytterligare förordsionen inte har för avsikt att ta med all behandling av ningar antas på EU-nivå. Medlemsstaterna kan utarbeta uppgifter i detta allmänna rättsliga instrument. Behandling ytterligare regler inom särskilda områden när detta är av uppgifter inom EU:s institutioner, organ, kontor och befogat (se 5.2). byråer kommer framför allt inte att omfattas. Kommissionen slår endast fast att den ”kommer att bedöma behovet ( 24 ) Se även Europeiska datatillsynsmannens yttrande av den 22.6.2011 Europeiska SV unionens officiella tidning C 181/7

5. Ytterligare harmonisering och förenkling skäl 9 i direktivet bekräftas uttryckligen att medlemsstaterna har fått ett visst manöverutrymme och att skillnader 5.1 Behovet av harmonisering inom denna marginal kan uppstå vid direktivets inför­ livande. Flera bestämmelser har införlivats på olika sätt 49. Harmonisering är av största betydelse för EU:s lagstiftning av medlemsstaterna, inbegripet några avgörande bestämom dataskydd. I meddelandet betonas med rätta att datamelser ( 28 ). Situationen är inte tillfredsställande och större skydd har en stark koppling till den inre marknaden efterenhetlighet borde eftersträvas. som det måste säkra fritt flöde av personuppgifter mellan medlemsstaterna på den inre marknaden. Harmoniseringsnivån enligt det nuvarande direktivet har emellertid bedömts som allt annat än tillfredsställande. I meddelandet erkänns att detta är ett av de vanligaste återkommande orosmomenten bland intressenter. Intressenterna betonar 53. Det innebär inte att mångfald bör uteslutas utan vidare. framför allt behovet av att förbättra rättssäkerheten, Inom vissa områden kan flexibilitet behövas för att behålla minska den administrativa bördan och se till att de ekono­ motiverade särdrag, viktiga offentliga intressen eller instimiska aktörerna har samma villkor. Såsom kommissionen tutionell självständighet i medlemsstaterna. Enligt datatillmed rätta noterar gäller detta särskilt för registeransvariga synsmannen bör utrymmet för skillnader mellan medsom är etablerade i flera medlemsstater och som måste lemsstaterna framför allt begränsas till följande specifika uppfylla (sannolikt olika) krav i nationell lagstiftning om situationer: dataskydd ( 26 ). — Yttrandefrihet: Enligt den nuvarande ramen (artikel 9) 50. Harmonisering är inte enbart viktigt för den inre markkan medlemsstaterna bevilja undantag och avvikelser naden utan även för att säkra lämpligt dataskydd. Enligt när det gäller behandling av uppgifter i journalistiskt artikel 16 i fördraget om Europeiska unionens funktionssyfte eller i konstnärliga eller litterära sammanhang. sätt har ”alla” rätt till skydd av personuppgifter som gäller Denna flexibilitet förefaller väl lämpad, naturligtvis dem. För att denna rättighet verkligen ska respekteras med förbehåll för gränser i stadgan och den europemåste samma skyddsnivå garanteras i hela EU. I arbetsiska konventionen om skydd för de mänskliga rättiggruppens dokument om integritetens framtid betonades heterna och de grundläggande friheterna, med tanke att flera bestämmelser om de registrerades ställning inte på olika traditioner och kulturella skillnader som kan har införlivats eller tolkats enhetligt i alla medlemsstafinnas inom detta område i de olika medlemsstaterna. ter ( 27 ). I en globaliserad och sammanlänkad värld kan Det skulle emellertid inte hindra att nuvarande dessa skillnader underminera eller begränsa enskildas artikel 9 uppdateras mot bakgrund av Internets utskydd. veckling.

51. Datatillsynsmannen anser att ytterligare och bättre harmonisering är en av huvudmålsättningarna med översynsför­ — Särskilda offentliga intressen: Enligt den nuvarande rafarandet. Han välkomnar kommissionens avsikt att men (artikel 13) kan medlemsstaterna anta lagstiftgranska möjligheterna att uppnå ytterligare harmonisering ningsåtgärder för att begränsa omfattningen av skylav dataskydd på EU-nivå. Han noterar dock med viss digheter och rättigheter när en sådan begränsning utförvåning att meddelandet på detta stadium inte innehåller gör en nödvändig åtgärd för att skydda viktiga offentnågra konkreta förslag. Han anger därför själv ett antal liga intressen såsom nationell säkerhet, försvar, offentområden där det snarast krävs större enhetlighet (se 5.3). lig säkerhet, etc. En sådan behörighet för medlemsstaYtterligare harmonisering inom dessa områden bör inte terna är fortfarande motiverad. När så är möjligt bör enbart uppnås genom att manöverutrymmet för nationell emellertid tolkningen av undantagen harmoniseras ytlag minskas utan även förebygga felaktigt införlivande i terligare (se avsnitt 9.1). Dessutom förefaller den numedlemsstaterna (se även kapitel 11) och säkra ett mer varande omfattningen av undantag från artikel 6.1 enhetligt och samordnat verkställande (se även kapitel 10). onödigt omfattande. 5.2 Minskning av manöverutrymmet vid direktivets inför— Rättsmedel, sanktioner och administrativa förfaranden: livande Ett europeiskt ramverk skulle fastställa huvudvillkoren, men enligt EU-lagstiftningens nuvarande utformning 52. Direktivet innehåller ett antal brett utformade bestämmelmåste fastställande av sanktioner, rättsmedel, förfaranser som lämnar stort utrymme för olika införlivanden. I deregler och villkoren för inspektioner som är tillämpliga på nationell nivå ligga hos medlemsstaterna. ( 26 ) Meddelandet s. 10. ( 27 ) Se arbetsgruppens dokument om integritetens framtid (fotnot 7), punkt 70. Dokumenten hänvisar framför allt till bestämmelser om ( 28 ) Vissa motstridiga synsätt föreligger också när det gäller manuella C 181/8 SV Europeiska unionens officiella tidning 22.6.2011 5.3 Områden som kan harmoniseras ytterligare 58. Internationella överföringar (artiklarna 25–26). Detta är ett område som har gett upphov till omfattande kritik på 54. Definitioner (artikel 2 i direktiv 95/46/EG). Definitionerna grund av bristen på enhetlig praxis i hela EU. Intressenter är rättssystemets hörnsten och bör tolkas enhetligt i alla kritiserade att kommissionens beslut om lämplighet tolkas medlemsstater, utan någon marginal när det gäller inför­ och införlivas mycket olika av medlemsstaterna. Bindande livande. Skillnader har uppstått inom den nuvarande ra­ regler för företag är ett annat område där datatillsynsmanmen, exempelvis när det gäller begreppet registeransva­ nen rekommenderar ytterligare harmonisering (se rig ( 29 ). Datatillsynsmannen föreslår att ytterligare punkter kapitel 9). ska läggas till den nuvarande förteckningen i artikel 2 för att åstadkomma större rättssäkerhet, exempelvis anonyma uppgifter, pseudonymförsedda uppgifter, rättsliga uppgifter, överföring av uppgifter och uppgiftsskyddsombud. 59. Nationella dataskyddsmyndigheter (artikel 28). Nationella dataskyddsmyndigheter omfattas av högst olika regler i de 27 medlemsstaterna, särskilt när det gäller deras ställning, resurser och befogenheter. Artikel 28 har delvis bidragit 55. Bestämmelser om när uppgifter får behandlas (artikel 5). Det till denna skillnad på grund av bristande precision ( 32 ) och nya rättsliga instrumentet bör vara så exakt som möjligt bör därför specificeras ytterligare, i enlighet med EG-domnär det gäller huvudbeståndsdelarna för att fastställa när stolens dom i mål C-518/07 ( 33 ) (se närmare kapitel 10). uppgifter får behandlas. Artikel 5 i direktivet (liksom skäl 9) som ger medlemsstaterna rätt att mer exakt fastställa villkoren för hur uppgifter får behandlas, kanske därför inte kommer att behövas i en framtida ram. 5.4 Förenkling av anmälningssystemet

60. Kraven på anmälan (artiklarna 18–21 i direktiv 95/46/EG) är ett annat område där medlemsstaterna hittills har haft 56. Grunder för behandling av uppgifter (artikel 7 och 8). Att stor frihet. I meddelandet erkänns med rätta att ett harfastställa villkoren för behandling av uppgifter är en moniserat system skulle minska kostnaderna liksom den grundläggande beståndsdel i all lagstiftning om dataskydd. administrativa bördan för registeransvariga ( 34 ). Medlemsstaterna ska inte ha rätt att införa ytterligare eller ändrade grunder för behandling eller utesluta några. Möjligheten till undantag bör uteslutas eller begränsas (särskilt när det gäller känsliga uppgifter ( 30 )). I ett nytt rättsligt instrument bör grunderna för hantering av uppgifter for­ 61. Detta är ett område där förenkling bör vara huvudmålsättmuleras tydligt och på så sätt minska marginalen för ningen. Översynen av ramen för uppgiftsskydd är en unik bedömning vid införlivande eller verkställande. Begreppet möjlighet att ytterligare förenkla och/eller minska omfattsamtycke kan framför allt behöva specificeras ytterligare ningen av de nuvarande kraven på anmälan. I meddelan(se avsnitt 6.5). Grunderna baserade på berättigade intres­ det erkänns också att det finns en allmän samsyn bland sen för den registeransvariga (artikel 7 f), ger dessutom intressenterna om att det nuvarande systemet för anmälan utrymme för högst olika tolkningar på grund av sin flex­ är relativt besvärligt och i sig självt inte tillför något meribla utformning. Det behövs därför ytterligare specifice­ värde när det gäller skydd av enskildas personuppgifring. En annan bestämmelse som sannolikt behöver spe­ ter ( 35 ). Europeiska datatillsynsmannen välkomnar därför cificeras är artikel 8.2 b, som tillåter behandling av käns­ kommissionens satsning på att undersöka olika möjligheliga uppgifter som är nödvändiga för att fullgöra de skyl­ ter att förenkla det nuvarande anmälningssystemet. digheter och särskilda rättigheter som åligger den registeransvarige inom arbetsrätten ( 31 ).

62. Enligt datatillsynsmannen borde utgångspunkten för denna förenkling vara en övergång från ett system där 57. Rättigheter för registrerade personer (artiklarna 10–15). Detta anmälan är regel, om den inte tillhandahålls på annat är ett av de områden där inte alla delar av direktivet har sätt (dvs. ”undantagssystem”), till ett mer inriktat system. införlivats och tolkats konsekvent av medlemsstaterna. Undantagssystemet har visat sig ineffektivt eftersom det Rättigheter för registrerade är en viktig del av ett effektivt genomfördes på ett inkonsekvent sätt i medlemsstadataskydd. Manöverutrymmet bör därför minskas avse­ 36 ). Europeiska datatillsynsmannen föreslår att föl terna ( värt. Datatillsynsmannen rekommenderar att information jande alternativ ska övervägas: som lämnas till registrerade personer bör vara enhetlig inom hela EU. ( 32 ) Arbetsgruppens dokument om Integritetens framtid, punkt 87. ( 33 ) Mål C-518/07, Kommissionen mot Tyskland, ännu ej offentliggjord i ( 29 ) Se artikel 29-arbetsgruppens yttrande 1/2010 om begreppen ”regis­ rättsfallssamlingen. teransvarig” och ”registerförare” (arbetsgruppen 169). ( 34 ) Se fotnot 26. ( 30 ) Artikel 8.4 och 8.5 tillåter för närvarande medlemsstaterna att ( 35 ) Se fotnot 26. enligt vissa villkor medge ytterligare undantag för känsliga uppgif­ ( 36 ) Artikel 29-arbetsgruppens rapport om skyldigheten med anmälan ter. till de nationella tillsynsmyndigheterna, den bästa användningen av ( 31 ) Se i detta hänseende kommissionens första rapport om införlivan­ undantag och förenklingar och rollen för uppgiftsskyddsombud det av dataskyddsdirektivet som citeras ovan, s. 14. inom Europeiska unionen, WP 106, 2005, s. 7. 22.6.2011 Europeiska SV unionens officiella tidning C 181/9 — Begränsa anmälningsskyldigheten till specifika slag av 67. Valet av en förordning som ett allmänt instrument gör det behandlingar som innebär specifika risker (dessa an­ möjligt att vid behov inrätta bestämmelser som är direkt mälningar kan medföra ytterligare steg såsom tidigare riktade till medlemsstater där flexibilitet krävs. Det påverundersökning av behandlingen). kar inte heller medlemsstaternas behörighet att vid behov anta ytterligare regler för dataskydd, i enlighet med EU:s lagstiftning. — En enkel registreringsskyldighet som innebär att registeransvariga måste registrera sig (i motsats till omfattande registrering av alla åtgärder inom behandling av 6. Stärka enskildas rättigheter uppgifter). 6.1 Behovet av att stärka rättigheter En standardiserad alleuropeisk anmälningsblankett skulle 68. Datatillsynsmannen stöder helt meddelandets förslag att dessutom kunna införas för att åstadkomma harmonisestärka enskildas rättigheter eftersom befintliga rättsliga inrade synsätt när det gäller den information som begärs. strument inte fullt ut ger det effektiva skydd som behövs i en allt mer komplex och digitaliserad värld.

63. Översynen av det nuvarande systemet för anmälan bör inte påverka förbättringen av skyldigheten till kontroll i förväg för vissa skyldigheter när det gäller behandling som 69. Å ena sidan innebär utvecklingen av en digitaliserad värld kan innebära specifika risker (exempelvis storskaliga infor­ en stark ökning av insamling, användning och ytterligare mationssystem). Datatillsynsmannen skulle förorda att en överföring av personuppgifter på ett extremt komplext ofullständig förteckning över fall där sådan kontroll i för­ och icke öppet sätt. Enskilda är ofta inte medvetna om väg krävs införs i det nya rättsliga instrumentet. Förord­ eller förstår inte hur detta sker, vem som samlar in deras ning (EG) nr 45/2001 om skydd för enskilda då gemen­ uppgifter eller hur de kan utöva kontroll. En illustration skapsinstitutionerna och gemenskapsorganen behandlar av denna företeelse är annonsnätverksleverantörers överpersonuppgifter och om den fria rörligheten för sådana vakning av enskildas webbläsningsaktiviteter med hjälp av uppgifter innehåller en användbar modell för detta ( 37 ). cookies eller liknande hjälpmedel, i syfte att inrikta reklamen på vissa målgrupper. När användarna besöker webbplatser förväntar de sig inte att en osynlig tredje 5.5 En förordning, inte ett direktiv part registrerar sådana besök och skapar användarregister, baserade på information som avslöjar deras livsstil eller 64. Avslutningsvis anser datatillsynsmannen att processen vad de tycker om eller inte tycker om. med översyn också är ett tillfälle att överväga vilken typ av rättsligt instrument som lämpar sig för uppgiftsskydd. En förordning, ett enda instrument som är direkt tillämpligt i medlemsstaterna är det mest effektiva sättet att 70. Å andra sidan stimulerar utvecklingen enskilda personer skydda de grundläggande rättigheterna till skydd av upp­ som aktivt delar med sig av sin personliga information, gifter och skapa en verklig inre marknad där personupp­ exempelvis på sociala nätverk. Unga människor ingår i allt gifter kan överföras fritt och där skyddsnivån är den­ större utsträckning i ett socialt nätverk och samverkar samma oavsett land eller sektor där uppgifterna behandlas. med likasinnade. Det är tveksamt om (unga) människor är medvetna om i vilken omfattning informationen sprids och om de långsiktiga effekterna av deras åtgärder. 65. En förordning skulle minska utrymmet för motstridiga tolkningar och för omotiverade skillnader när lagen ska införas och tillämpas. Det skulle också minska betydelsen 6.2 Öka insynen av att fastställa vilken lag som är tillämplig på behandling av åtgärder inom EU, vilket är en av de mest kontrover71. Öppenhet är av stor betydelse i alla system för uppgiftssiella aspekterna av det nuvarande systemet (se kapitel 9). skydd, inte enbart på grund av det inneboende värdet utan också för att det gör det möjligt att tillämpa andra principer för uppgiftsskydd. Det är först när de enskilda kän66. Inom området dataskydd är en förordning desto mer moner till hur uppgifterna behandlas som de kan utöva sina tiverad eftersom rättigheter. — artikel 16 i fördraget om Europeiska unionens funktionssätt innehåller en uppgradering av rätten till 72. Flera bestämmelser i direktiv 95/46/EG handlar om öpskydd av personuppgifter till fördragsnivå och förbere­ penhet. Artikel 10 och 11 innehåller en skyldighet att der för – eller till och med förordar – en enhetlig informera enskilda om insamling av deras personuppgifskyddsnivå för enskilda i hela EU, ter. I artikel 12 erkänns dessutom rätten att erhålla en kopia av de egna personuppgifterna i en begriplig form (rätt till tillträde). I artikel 15 erkänns rätten att ha tillträde — behandling av uppgifter sker i en elektronisk miljö där till den logik där automatiska beslut som ger rättsliga de inre gränserna mellan medlemsländerna har blivit effekter fattas. Sist men inte minst innehåller mindre viktiga. artikel 6.1 a, där det krävs att hanteringen också ska vara rättvis, ett krav på öppenhet. Personuppgifter kan ( 37 ) Se artikel 27 i förordningen, (EGT L 8, 12.1.2001, s. 1). inte behandlas av dolda eller hemliga skäl. C 181/10 SV Europeiska unionens officiella tidning 22.6.2011

73. I meddelandet föreslås att en allmän princip om öppenhet heten. Skälen som motiverar skyldigheten gäller fullt ut ska läggas till. Som en reaktion på detta förslag betonar för andra registeransvariga än tjänsteleverantörer inom datatillsynsmannen att begreppet öppenhet också är en elektronisk kommunikation. fullständig del av den nuvarande rättsliga ramen om uppgiftsskydd, om än på ett implicit sätt. Denna slutsats kan dras från de olika bestämmelserna om öppenhet vilket också nämns i föregående stycke. Enligt datatillsynsmannen kunde det ha tillfört värde att ta med en explicit 76. Anmälan om säkerhetsöverträdelser har olika syften och princip om öppenhet, eventuellt kopplad till den befintliga mål. Det mest uppenbara som också betonas av kommisbestämmelsen om rättvis behandling. Det skulle öka rätts­ sionen är att fungera som ett informationsverktyg för att säkerheten och även bekräfta att en registeransvarig under göra enskilda medvetna om riskerna de löper när deras alla förhållanden bör hantera personuppgifter på ett öppet personuppgifter äventyras. Det hjälper dem att vidta nödsätt, inte bara på begäran eller när en särskild rättslig vändiga åtgärder för att mildra dessa risker. När enskilda bestämmelse kräver att så sker. varnas om överträdelser som påverkar deras finansiella information kan de exempelvis ändra sina lösenord eller säga upp sina konton. Anmälan om säkerhetsöverträdelse bidrar också till en effektiv tillämpning av andra principer och skyldigheter i direktivet. Krav när det gäller anmälan 74. Det är emellertid kanske viktigare att förstärka befintliga om säkerhetsöverträdelser sporrar exempelvis registerbestämmelser om öppenhet, exempelvis de befintliga aransvariga att införa omfattande säkerhetsåtgärder för att tiklarna 10 och 11 i direktiv 95/46/EG. Där anges vilken förebygga överträdelser. Säkerhetsöverträdelser är också information som måste tillhandahållas, utan att de exakta ett verktyg för att stärka ansvaret för registeransvariga villkoren anges. Mer konkret föreslår datatillsynsmannen och i ännu större utsträckning att öka ansvarigheten (se att befintliga bestämmelser ska stärkas enligt följande: kapitel 7). Avslutningsvis fungerar det som ett verktyg för dataskyddsmyndigheters verkställande. En anmälan om överträdelse till dataskyddsmyndigheter kan leda till att en registeransvarigs hela verksamhet undersöks. — Krav för en registeransvarig att tillhandahålla information om behandling av uppgifter på ett sätt som är lättillgängligt och lätt att förstå, på ett tydligt och lättfattligt språk ( 38 ). Informationen ska vara tydlig, 77. De särskilda reglerna om säkerhetsöverträdelser i det ändsynlig och framträdande. Bestämmelsen kan också inrade direktivet om integritet och elektronisk kommunikanefatta skyldigheten att se till att informationen är lätt tion diskuterades omfattande under den parlamentariska att förstå. Denna skyldighet skulle innebära att integfasen av lagstiftningsramen som föregick antagandet av ritetspolicyer som är dunkla eller svårförståeliga blir direktivet. I denna debatt beaktades uppfattningarna från olagliga. artikel 29-arbetsgruppen och från datatillsynsmannen tillsammans med synpunkter från andra intressenter. Reglerna återspeglar olika intressenters synpunkter. De utgör en balans av intressen: samtidigt som kriterierna för skyldigheten att anmäla i princip är lämpliga för att skydda — Ett krav på att lämna informationen enkelt och direkt enskilda gör de det utan att ställa alltför besvärliga och till de personer som berörs av uppgifterna. Informatiooanvändbara krav. nen ska också alltid vara tillgänglig och inte försvinna från ett elektroniskt medium efter kort tid. Detta skulle hjälpa användarna att lagra och reproducera informationen i framtiden och möjliggöra ytterligare tillgång. 6.4 Förstärkt samtycke

78. I artikel 7 i direktivet om uppgiftsskydd anges sex rättsliga grunder för att hantera personuppgifter. Samtycke från 6.3 Stöd till en skyldighet att rapportera säkerhetsöverträdelser den enskilda är en av dem. En registeransvarig har rätt att behandla personuppgifter i den utsträckning som en75. Datatillsynsmannen stöder införandet i det allmänna in­ skilda har lämnat ett informerat medgivande till att få sina strumentet av en bestämmelse om anmälan av överträ­ uppgifter insamlade och ytterligare behandlade. delse när det gäller personuppgifter, vilket utvidgar skyldigheten som införlivades i det reviderade direktivet om integritet och elektronisk kommunikation för vissa leverantörer till alla registeransvariga, enligt förslaget i meddelandet. Enligt det reviderade direktivet om integritet och 79. I praktiken har användare ofta begränsad kontroll över elektronisk kommunikation gäller skyldigheten enbart sina uppgifter, särskilt i tekniska miljöer. En metod som tjänsteleverantörer inom elektronisk kommunikation (le­ ibland används är underförstått samtycke, vilket innebär verantörer av telefoni [inbegripet VoIP] och Internetleve­ att samtycke har antytts. Man kan dra den slutsatsen från rantörer). Andra registeransvariga omfattas inte av skyldig­ en handling som den enskilda har utfört (exempelvis betraktas en handling som består i att använda en webbplats ( 38 ) Se meddelandet, s. 6. som samtycke till att registrera användaruppgifter för 22.6.2011 Europeiska SV unionens officiella tidning C 181/11 marknadsföringssyfte). Det kan också underförstås genom den registeransvariga att radera information så snart den tystnad eller overksamhet (att inte kryssa av en ifylld ruta inte längre är nödvändig för behandlingen. betraktas som samtycke).

84. Dessa två nya begrepp har huvudsakligen tillfört värde i 80. För att samtycket ska vara giltigt måste det enligt direktiinformationssamhället där fler och fler uppgifter lagras vet vara informerat, frivilligt lämnat och specifikt. Det automatiskt och behålls under obestämd tid. Det har i måste vara en informerad indikation på den enskildas praktiken visat sig att även om uppgifterna laddas upp önskemål genom vilket han ger sitt samtycke till att perav den registrerade personen själv är den personens faksonuppgifter som gäller honom får behandlas. Sättet som tiska kontroll över sina personuppgifter mycket begränsamtycket lämnas på måste vara otvetydigt. sad. Det är desto mer sant mot bakgrund av det gigantiska minne som Internet i dag utgör. Ur ett ekonomiskt perspektiv är det dessutom dyrare för den registeransvariga 81. Samtycke som har antytts genom en handling och fram­ att radera uppgifter än att fortsätta att lagra dem. Enskilför allt genom tystnad eller overksamhet är ofta inte ett das utövande av sina rättigheter strider därför mot den otvetydigt samtycke. Det är emellertid inte alltid tydligt naturliga ekonomiska trenden. vad som utgör ett verkligt otvetydigt samtycke. Vissa registeransvariga utnyttjar denna osäkerhet genom att förlita sig på metoder som inte är lämpliga för att lämna ett verkligt otvetydigt samtycke. 85. Både uppgifters portabilitet och rätten till radering kan bidra till att ändra balansen till förmån för registrerade personer. Målsättningen för uppgifters portabilitet skulle 82. Mot bakgrund av ovanstående stöder datatillsynsmannen vara att ge den enskilda större kontroll över informatiokommissionens uppfattning att gränserna för samtycke nen, medan rätten till radering skulle trygga att inforbehöver klargöras och att man behöver se till att endast mationen automatiskt försvinner efter en viss tidsperiod, samtycke som förklaras på ett omsorgsfullt sätt betraktas även om den registrerade personen inte vidtar någon åtsom sådant. Datatillsynsmannen föreslår därför följande gärd eller ens är medveten om att uppgifterna överhuvudåtgärder ( 39 ): taget lagrades. — Man skulle kunna överväga att bredda de situationer 86. Mer specifikt innebär uppgifters portabilitet en möjlighet där uttryckligt samtycke krävs, vilket för närvarande är för användaren att ändra preferens när det gäller behandbegränsat till känsliga uppgifter. ling av deras uppgifter, framför allt i anslutning till tjänster inom ny teknik. Detta gäller i allt större utsträckning tjänster som medför lagring av information, inbegripet — Anta ytterligare regler för samtycke på nätet. personuppgifter, såsom mobiltelefoni och tjänster som lagrar bilder, e-post och annan information, och som ibland använder datormoln. — Anta ytterligare regler för samtycke till att behandla uppgifter för underordnade syften (dvs. behandlingen är underordnad huvudbehandlingen eller är inte en 87. Enskilda personer måste enkelt och fritt kunna byta leveuppenbar sådan). rantör och överföra sina personuppgifter till en annan tjänsteleverantör. Datatillsynsmannen anser att de nuvarande rättigheter som anges i direktiv 95/46/EG kan för— I ett ytterligare lagstiftningsinstrument oavsett om det stärkas genom en rätt till portabilitet särskilt rörande inantas av kommissionen enligt artikel 290 i fördraget formationssamhällets tjänster, för att bistå enskilda när det om Europeiska unionens funktionssätt fastställs den gäller att trygga att leverantörer och andra relevanta registyp av samtycke som krävs, exempelvis för att speci­ teransvariga ger dem tillgång till deras personliga uppgifter ficera nivån av samtycke när det gäller behandling av samtidigt som det säkras att de tidigare leverantörerna uppgifter från RFID-taggar på konsumentprodukter el­ eller andra registeransvariga raderar den informationen, ler annan specifik teknik. även om de skulle vilja behålla den för egna berättigade syften. 6.5 Portabilitet av uppgifter och rätt till radering

83. Portabilitet av uppgifter och rätt till radering är två sam­ 88. En nyligen kodifierad ”rätt till radering” skulle trygga ramanhängande begrepp som läggs fram i meddelandet för dering av personuppgifter eller förbud mot att använda att stärka registrerade personers rättigheter. De komplet­ dem ytterligare utan att den registrerade personen ska vara terar de principer som redan nämnts i direktivet, och ger tvungen vidta åtgärder, men under förutsättning att dessa registrerade personer rätt att motsätta sig ytterligare be­ uppgifter redan har lagrats för en viss tid. Uppgifterna handling av sina personuppgifter, och en skyldighet för skulle med andra ord förses med något slags utgångsdatum. Principen har redan bekräftats i nationella dom( 39 ) Artikel 29-arbetsgruppen arbetar för närvarande med ett yttrande stolsfall eller tillämpats inom specifika sektorer, exempelom ”samtycke”. Detta yttrande kan leda till ytterligare förslag. vis polisakter, brottsregister eller disciplinära akter: enligt C 181/12 SV Europeiska unionens officiella tidning 22.6.2011 viss nationell lagstiftning ska information om enskilda som barn, hanteras dessa frågor i nationell lagstiftning, automatiskt raderas eller inte användas eller spridas ytter­ vilket skiljer sig från medlemsstat till medlemsstat ( 40 ). ligare, särskilt efter en fastställd tidsperiod, utan att detta först behöver analyseras från fall till fall. — Hur barn eller deras juridiska företrädare kan utöva sina rättigheter enligt direktivet.

89. I den meningen borde en ny ”rätt till radering” kombineras med portabilitet av uppgifter. Det mervärde detta 93. Datatillsynsmannen anser att barns särskilda intressen skulle tillföra är att den registrerade personen inte skulle bättre skulle skyddas om det nya rättsliga instrumentet behöva anstränga sig eller yrka på att uppgifterna ska innehöll ytterligare bestämmelser, som särskilt gäller inraderas, eftersom detta skulle ske objektivt och auto­ samling och ytterligare behandling av barns uppgifter. matiskt. Endast under mycket specifika omständigheter, Dessa specifika bestämmelser skulle också bidra till rättsnär det kan fastställas att det finns ett specifikt behov säkerheten inom detta specifika område och de skulle av att behålla uppgifterna under längre tid, kan en regi­ gynna registeransvariga som för närvarande utsätts för streringsansvarig få rätt att behålla uppgifterna. Denna olika rättsliga krav. ”rätt till radering” skulle därmed överföra bevisbördan från den enskilda till den registeransvariga och utgöra en ”förvald inställning för sekretess” vid behandling av 94. Datatillsynsmannen föreslår att följande bestämmelser inpersonuppgifter. förs i det rättsliga instrumentet: — Ett krav på att information ska anpassas till barn i den 90. Datatillsynsmannen anser att rätten till radering kan visa mån som detta skulle göra det enklare för barn att sig särskilt användbar i samband med informationssam­ förstå vad det innebär när uppgifter samlas in från hällets tjänster. En skyldighet att radera eller att inte yt­ dem. terligare sprida information efter en bestämd tidsperiod är rimlig, särskilt i media eller på Internet, och framför allt i sociala nätverk. Det skulle också vara användbart när det — Andra informationskrav anpassade till barn, om hur gäller terminalutrustning: uppgifter som lagras på mobila informationen måste lämnas och sannolikt också om enheter eller datorer skulle automatiskt raderas eller blocinnehållet. keras efter en bestämd tidsperiod när de inte längre innehas av den enskilda. I den betydelsen kan rätten till radering omsättas till en skyldighet till ”inbyggda skydds— En särskild bestämmelse som skyddar barn mot betemekanismer”. endestyrd annonsering. — Principen om att begränsa syftet bör förstärkas när det 91. Sammanfattningsvis anser datatillsynsmannen att uppgifgäller barns uppgifter. ters portabilitet och rätten till radering båda är användbara koncept. Det skulle kunna vara användbart att införliva dem i det rättsliga instrumentet, men sannolikt begränsat — Vissa kategorier av uppgifter bör aldrig samlas in från till den elektroniska miljön. barn. — En åldergräns. Under denna åldersgräns bör generellt 6.6 Hantering av personuppgifter som rör barn information från barn samlas in endast med uttryckligt 92. Enligt direktiv 95/46/EG finns det inga särskilda regler för och kontrollerbart medgivande från föräldrar. behandling av personuppgifter som rör barn. Det innebär att behovet av ett särskilt skydd för barn under specifika omständigheter, på grund av deras sårbarhet, inte erkänns — Om det krävs medgivande från en förälder skulle det eftersom det orsakar rättslig osäkerhet, särskilt inom föl­ vara nödvändigt att fastställa regler för hur man verijande områden: fierar ett barns ålder, med andra ord hur man vet att barnet är minderårigt hur man kontrollerar 22.6.2011 Europeiska SV unionens officiella tidning C 181/13 föräldrarnas medgivande. Detta är ett område där EU går inom EU om att införa kollektiva konsumentmekakan få inspiration från andra länder, exempelvis Fö­ nismer för upprättelse. Han är också medveten om risken renta staterna ( 41 ). för överdrifter som dessa mekanismer kan medföra på grundval av erfarenheterna från andra rättsliga system. Dessa faktorer utgör emellertid inte enligt hans uppfattning tillräckliga argument för att avvisa eller skjuta upp deras införande i lagstiftningen om uppgiftsskydd, med 6.7 Kollektiva mekanismer för upprättelse tanke på de fördelar de skulle innebära ( 43 ).

95. Att stärka innehållet i enskildas rättigheter skulle vara meningslöst om det inte finns några effektiva mekanismer för att verkställa dessa rättigheter. Datatillsynsmannen rekommenderar därför att det i EU:s lagstiftning införs kollektiva mekanismer för upprättelse om reglerna för uppgiftsskydd överträds. Kollektiva mekanismer för upprät­ 7. Stärkning av organisationers/registeransvarigas roll telse som ger grupper av medborgare möjligheter att 7.1 Allmänt samla sina krav i en gemensam åtgärd utgör ett mycket kraftfullt verktyg för att underlätta tillämpningen av reg99. Datatillsynsmannen anser att utöver att förstärka enskildas lerna för uppgiftsskydd ( 42 ). Denna innovation stöds också rättigheter måste ett modernt rättsligt system för uppgiftsav dataskyddsmyndigheterna i artikel 29-dokumentet om skydd innehålla nödvändiga verktyg som ökar de registerintegritetens framtid. ansvarigas ansvar. Ramen måste i synnerhet innehålla incitament för registeransvariga inom den privata eller offentliga sektorn att aktivt införliva åtgärder för uppgiftsskydd i sina affärsprocesser. Dessa verktyg skulle till att börja med vara till nytta eftersom, vilket också nämnts 96. I fall med mindre inflytande är det osannolikt att offren tidigare, teknisk utveckling leder till en stark ökning av för en överträdelse av regler om uppgiftsskydd skulle geinsamling, användning och ytterligare överföring av pernomföra enskilda åtgärder mot de registeransvariga, med sonuppgifter vilket ökar risken för integriteten och skydtanke på kostnader, förseningar, osäkerhet, risker och bördet av personuppgifter för enskilda, vilket i sin tur borde dor de skulle utsättas för. Dessa svårigheter skulle kunna kompenseras på ett effektivt sätt. För det andra saknar den överbryggas eller avsevärt minskas om ett system med nuvarande ramen – med undantag för ett fåtal, väldefiniekollektiv upprättelse fanns, som skulle göra det möjligt rade bestämmelser (se nedan) – sådana verktyg och regisför dem som utsätts för överträdelser att samla sina enteransvariga kan inta ett reaktivt synsätt på uppgiftsskydd skilda krav i en gemensam åtgärd. Datatillsynsmannen och privatliv och endast agera efter att ett problem har skulle också förespråka möjligheten för kvalificerade enuppstått. Detta synsätt återspeglas i statistik som visar att heter, såsom konsumentsammanslutningar eller offentliga bristande tillämpningar när det gäller överensstämmelse organ, att vidta åtgärder när registrerade personer drabbas och förlust av uppgifter är återkommande problem. av skador på grund av att uppgiftsskyddet har överträtts. Dessa åtgärder skulle inte påverka rätten för registrerade personer att vidta enskilda åtgärder.

100. Enligt datatillsynsmannen är den befintliga ramen inte till97. Kollektiva åtgärder är inte bara viktiga för att säkra full räcklig för att skydda personuppgifter effektivt enligt nukompensation eller andra åtgärder, de har också indirekt varande och kommande villkor. Ju högre risken är, desto en avskräckande funktion. Risken att drabbas av dyrbara större är behovet av att införliva konkreta åtgärder som kollektiva skadeståndskrav vid sådana åtgärder skulle öka skyddar information på en praktisk nivå och ger ett efde registeransvarigas incitament att effektivt se till att kra­ fektivt skydd. Om dessa aktiva åtgärder de facto inte införs ven uppfylls. I detta hänseende skulle förbättrat privat kommer sannolikt misstag, missöden och försumlighet att genomförande med hjälp av kollektiva mekanismer för fortsätta inträffa och enskildas privatliv att utsättas för fara upprättelse komplettera det offentliga genomförandet. i det alltmer digitala samhället. Därför föreslår datatillsyns­ mannen följande åtgärder.

98. Meddelandet innehåller ingen ståndpunkt i den här frågan. Datatillsynsmannen är medveten om den debatt som på­ ( 41 7.2 Förstärkning av de registeransvarigas ansvarighet ) I USA kräver COPPA (Childrens Online Privacy Protection Act Rule) att de som har en kommersiell webbplats eller onlinetjänster som vänder sig till barn under 13 år måste ha föräldrarnas medgivande 101. Datatillsynsmannen rekommenderar att en ny bestäminnan de samlar in personuppgifter, och de som driver kommersi­ melse förs in i det rättsliga instrumentet som innebär ella webbplatser för allmänheten måste ha faktisk kunskap om att att registeransvariga ska genomföra lämpliga och effektiva vissa besökare är barn. åtgärder för att verkställa det rättsliga instrumentets prin( 42 ) Se även Europeiska datatillsynsmannens yttrande av den 25 juli ciper och skyldigheter och visa detta på begäran. 2007 om kommissionens meddelande till Europaparlamentet och rådet om uppföljningen av arbetsprogrammet för ett bättre genomförande av dataskyddsdirektivet, (EUT C 255, 27.10.2007, s. 10). ( 43 ) Vissa nationella lagar innehåller redan liknande mekanismer. C 181/14 SV Europeiska unionens officiella tidning 22.6.2011

102. Denna typ av bestämmelse är inte helt ny. I artikel 6.2 i heter skulle det öka deras rättssäkerhet och harmonisera direktiv 95/46/EG hänvisas till principerna om uppgifts­ överensstämmelsen inom hela EU. Vid utveckling av såkvalitet och det sägs att ”det är den registeransvariga som dana specifika instrument bör artikel 29-arbetsgruppen ska se till att punkt 1 uppfylls”. I artikel 17.1 krävs också och Europeiska datatillsynsmannen konsulteras. att registeransvariga ska genomföra åtgärder, både tekniska och organisatoriska. Dessa bestämmelser har emellertid en begränsad omfattning. Att införa en allmän bestämmelse om ansvarighet skulle stimulera de registeransvariga att införa aktiva åtgärder för att kunna uppfylla 107. Avslutningsvis kan också de konkreta ansvarighetsåtgärder alla delar i lagen om uppgiftsskydd. som genomförs av registeransvariga krävas av dataskyddsmyndigheter i anslutning till deras tillsynsbefogenheter. Dataskyddsmyndigheterna bör därför få nya befogenheter så att de kan införa åtgärder eller sanktioner. Exemplen bör innefatta inrättande av interna program för att upp103. En bestämmelse om ansvarighet skulle leda till att regis­ fylla reglerna, för att genomföra inbyggda skyddsmekanisteransvariga måste införa interna mekanismer och kont­ mer för vissa produkter och tjänster, etc. Åtgärderna ska rollsystem som ser till att ramverkets principer och skylendast införas om de är lämpliga, proportionella och efdigheter följs. Det skulle exempelvis innebära att man fektiva för att säkra överensstämmelse med tillämpliga och måste involvera den högsta ledningen när det gäller poli­ verkställbara rättsliga normer. tiken för uppgiftsskydd, kartläggningsförfaranden för att säkra korrekt identifiering av alla åtgärder för uppgiftsskydd, ha en bindande policy för uppgiftsskydd vilken också skulle ses över och uppdateras kontinuerligt för att täcka nya åtgärder inom uppgiftshantering som över7.3 Inbyggda skyddsmekanismer ensstämmer med principerna om uppgiftskvalitet, anmälan, säkerhet, tillträde etc. Det skulle också kräva att de 108. Inbyggda skyddsmekanismer innebär att uppgiftsskydd registeransvariga behåller bevis för att på begäran från och integritet införlivas redan vid framtagningen av nya myndigheterna kunna visa att reglerna följs. Att visa för produkter, tjänster och förfaranden som omfattar behandden stora allmänheten att reglerna följs bör i vissa fall ling av personuppgifter. Enligt datatillsynsmannen är inockså bli obligatoriskt. Det kan exempelvis ske genom byggda skyddsmekanismer en del av ansvarigheten. Regisatt kräva att de registeransvariga ska införliva uppgifts­ teransvariga skulle därför också uppmanas att visa att de skydd i offentliga (års)rapporter, när sådana rapporter är hade genomfört inbyggda skyddsmekanismer när så är obligatoriska av andra skäl. lämpligt. Den 32:e internationella konferensen för ombudsmännen för dataskydd och integritet utfärdade en resolution där man slår fast att inbyggda skyddsmekanismer är en mycket viktig beståndsdel i grundläggande integritetsskydd ( 44 ). 104. De olika interna och externa åtgärder som bör genomföras måste naturligtvis vara lämpliga och beror på fakta och omständigheter i varje enskilt fall. Det är skillnad om en registeransvarig hanterar några hundra kundregister som huvudsakligen består av namn och adresser eller om 109. Direktiv 95/46/EG innehåller ett antal bestämmelser som det handlar om register över miljontals patienter och deras uppmuntrar inbyggda skyddsmekanismer ( 45 ), men erkänmedicinska historia. Detsamma gäller de specifika sätt som ner inte en sådan skyldighet explicit. Europeiska datatillåtgärdernas effektivitet måste bedömas på. Det finns ett synsmannen är nöjd med att man i meddelandet stöder behov av skalanpassning. inbyggda skyddsmekanismer som ett verktyg för att säkra överensstämmelse med reglerna för uppgiftsskydd. Han föreslår att en bindande bestämmelse om skyldighet till ”inbyggda skyddsmekanismer”, ska införas vilken kan bygga på lydelsen i skäl 46 i direktiv 95/46/EG. Mer 105. I det allmänna övergripande rättsliga instrumentet för specifikt åskulle bestämmelsen uttryckligen kräva att regisuppgiftsskydd bör inte de specifika kraven på ansvarighet teransvariga genomför tekniska och organisatoriska slås fast utan enbart de grundläggande beståndsdelarna. I åtgärder, både i samband med utformningen av meddelandet planeras vissa beståndsdelar för att förstärka ansvaret för registeransvariga, vilket är mycket välkommet. Datatillsynsmannen stöder i synnerhet att uppgiftsskydds­ ( 44 ) Resolution om inbyggda skyddsmekanismer, antagen av den 32:a internationella konferensen för ombudsmännen för dataskydd och ombud och bedömningar av inverkan på privatlivet görs integritet, Jerusalem 27–29 oktober 2010. obligatoriska, inom vissa fastställda gränser. ( 45 ) Direktivet innehåller bestämmelser som indirekt i olika situationer kräver att inbyggda skyddsmekanismer införlivas. Framför allt i artikel 17 krävs att registeransvariga genomför lämpliga tekniska och organisatoriska åtgärder för att förhindra olovlig behandling av uppgifter. Direktivet om integritet och elektronisk kommunika106. Datatillsynsmannen rekommenderar dessutom att befo­ tion är mer explicit. I artikel 14.3 står att ”När så krävs får åtgärder vidtas för att säkerställa att terminalutrustning är konstruerad så att genheter delegeras till kommissionen enligt artikel 290 i den är förenlig med användarnas rätt till skydd och kontroll av sina fördraget om Europeiska unionens funktionssätt för att personuppgifter i enlighet med direktiv 1999/5/EG och rådets bekomplettera baskraven för att uppfylla ansvarighetsnor­ slut 87/95/EEG av den 22 december 1986 om standardisering merna. Om de registeransvariga använder dessa befogen­ inom området informationsteknologi och telekommunikation)”. 22.6.2011 Europeiska SV unionens officiella tidning C 181/15 förfarandesystemet och vid själva förfarandet, särskilt i gäller inbyggda skyddsmekanismer som är tillämpliga syfte att säkra skyddet av personuppgifter och förebygga inom olika sektorer, produkter och tjänster, exempelvis otillåten behandling ( 46 ). att säkerställa användarnas åtgärder för egenmakt som ska antas enligt principen.

110. På grundval av en sådan bestämmelse skulle registeransvariga vara tvungna att – bland annat – se till att system för 114. Datatillsynsmannen rekommenderar dessutom att befodatabehandling är utformade för att behandla så få per­ genheter delegeras till kommissionen enligt artikel 290 i sonuppgifter som möjligt, för att genomföra inbyggda fördraget om Europeiska unionen – när så är lämpligt – skyddsmekanismer, exempelvis i sociala nätverk, för att för att komplettera grundkraven för inbyggda skyddshålla enskildas profiler automatiskt åtskilda från andras mekanismer för utvalda produkter och tjänster. Om regisoch införa verktyg som gör det lättare för användarna teransvariga använder dessa befogenheter skulle det öka att skydda sina personuppgifter (exempelvis tillträdeskont­ deras rättssäkerhet och harmonisera överensstämmelsen roll och kryptering). inom hela EU. Vid utveckling av sådana specifika instrument bör artikel 29-arbetsgruppen och Europeiska datatillsynsmannen konsulteras (se även punkt 106 om ansvarighet). 111. Fördelarna med en mer explicit hänvisning till inbyggda skyddsmekanismer kan sammanfattas enligt följande:

115. Avslutningsvis bör dataskyddsmyndigheterna få befogenheter att införa åtgärder eller sanktioner, enligt liknande — Det skulle betona betydelsen av principen i sig, som restriktiva villkor som redan nämnts i punkt 107, när de ett verktyg för att säkra att förfaranden, produkter och registeransvariga tydligt har misslyckats med att vidta kontjänster redan från början är utformade med tanke på kreta åtgärder i fall där detta skulle krävas. integritet. 7.4 Certifieringstjänster — Det skulle minska missbruk av integritet och minimera onödig insamling av uppgifter samt göra det möjligt 116. I meddelandet erkänns behovet av att undersöka inrättanför enskilda att göra verkliga val när det gäller deras det av certifieringssystem inom EU för produkter och personuppgifter. tjänster som garanterar skydd av privatlivet. Datatillsynsmannen stöder fullt ut detta mål och föreslår att en bestämmelse ska införas som tillgodoser deras inrättande och möjliga effekter i hela EU, vilket kan utvecklas ytter— Det skulle också förhindra att man blir tvungen att ligare i senare lagstiftning. Bestämmelsen ska komplettera senare ”lägga förband på” för att försöka lösa problem bestämmelserna om ansvarighet och inbyggda skyddssom kan vara svåra eller till och med omöjliga att mekanismer. reparera.

117. Frivilliga certifieringssystem skulle göra det möjligt att — Det skulle också göra det enklare för dataskyddsmyn­ kontrollera att en registeransvarig har infört åtgärder för digheter att effektivt tillämpa och verkställa principen. att uppfylla det rättsliga instrumentet. Registeransvariga – eller till och med produkter eller tjänster – som har förmånen att vara certifierade kommer dessutom sannolikt att ha en konkurrensfördel framför andra. Sådana system 112. Den kombinerade effekten av denna skyldighet skulle leda skulle också hjälpa dataskyddsmyndigheter i deras övertill större efterfrågan på produkter och tjänster inom invakande och verkställande roll. byggda skyddsmekanismer, vilket i sin tur skulle ge näringslivet större incitament att möta en sådan efterfrågan. Man bör dessutom överväga att skapa en separat skyldighet som vänder sig till designers och tillverkare av nya 8. Globalisering och tillämplig lag produkter och tjänster som kan tänkas påverka dataskydd och integritet. Datatillsynsmannen föreslår att en sådan 8.1 Ett tydligt behov av mer konsekvent skydd separat skyldighet ska införlivas som i ännu större ut118. Såsom nämnts i kapitel 2 har överföring av personuppsträckning skulle kunna göra det möjligt för registeransvagifter utanför EU:s gränser ökat exponentiellt som en konriga att uppfylla sina egna skyldigheter. sekvens av utvecklingen av ny teknik, multinationella företags roll och regeringars ökade påverkan när det gäller behandling och spridning av personuppgifter på interna113. Kodifieringen av inbyggda skyddsmekanismer kan kom­ tionell nivå. Detta är ett av huvudskälen till att den nupletteras av en bestämmelse om allmänna krav när det varande rättsliga ramen bör ses över. Detta är därmed ett av de områden där datatillsynsmannen kräver ambition 46 och effektivitet, eftersom det finns ett tydligt behov av ( ) Enligt den nuvarande ramen uppmuntras i skäl 46 registeransvariga som inför sådana åtgärder, men ett skäl har självfallet ingen bin­ mer konsekvent skydd när uppgifter behandlas utanför dande kraft. EU. C 181/16 SV Europeiska unionens officiella tidning 22.6.2011 8.2 Investeringar i internationella regler principerna för uppgiftsskydd. Ledning ges, särskilt av dataskyddsmyndigheter, om hur direktiv 95/46/EG ska tol119. Enligt datatillsynsmannen behövs mer satsningar på att kas och tillämpas i sådana fall, men enbart ledning är inte utveckla internationella regler. Större harmonisering av tillräckligt för att trygga rättssäkerheten i denna nya miljö. skyddsnivån för personuppgifter i hela världen skulle avsevärt klargöra innehållet i de principer som bör uppfyllas och villkoren för överföring av uppgifter. Dessa övergri124. Inom EU:s territorium har behovet av större precision pande regler skulle behöva kombinera kraven på en hög inom den rättsliga ramen och ett förenklat kriterium för standard när det gäller uppgiftsskydd – inbegripet de viktiatt fastställa den lag som ska tillämpas betonats av gaste beståndsdelarna i uppgiftsskyddet i EU – med regioartikel 29-arbetsgruppen i ett yttrande nyligen ( 48 ). nala särdrag.

125. Enligt datatillsynsmannen skulle den bästa lösningen vara att slå fast det rättsliga instrumentet i en förordning som 120. Europeiska datatillsynsmannen stöder det ambitiösa arbete skulle leda till identiska regler som är tillämpliga i alla som hittills utförts inom ramen för den internationella medlemsstater. En förordning skulle göra behovet av att konferensen för ombudsmän för dataskydd och integritet fastställa tillämplig lag mindre viktigt. Detta är ett av skäför att utveckla och sprida de så kallade ”Madridnorlen till att datatillsynsmannen starkt förordar en förordmerna”, i syfte att integrera dem i ett bindande instrument ning. Även en förordning kan emellertid medge visst maoch sannolikt initiera en mellanstatlig konferens ( 47 ). Han növerutrymme för medlemsstaterna. Om visst betydande uppmanar kommissionen att ta nödvändiga initiativ för manöverutrymme behålls i det nya instrumentet skulle att underlätta genomförandet av denna målsättning. datatillsynsmannen stödja arbetsgruppens förslag om en övergång från en distributiv tillämpning av olika nationella lagar till en centraliserad tillämpning av en enda lagstiftning i alla medlemsstater där en registeransvarig 121. Enligt datatillsynsmannen är det också viktigt att se till att har anläggningar. Han vädjar också om större samarbete detta initiativ är förenligt med internationella normer, den och samordning mellan dataskyddsmyndigheter vid gränsnuvarande översynen av EU:s ram för uppgiftsskydd och överskridande mål, fall och klagomål (se kapitel 10). annan utveckling, exempelvis den nuvarande översynen av OECD:s riktlinjer för integritet samt konvention 108 från Europarådet som är öppen för undertecknande av tredje 8.4 Rationella system för uppgiftsflöden länder (se även punkt 17). Datatillsynsmannen anser att kommissionen kan spela en specifik roll här, genom att 126. Behovet av enhetlighet och höga normer måste beaktas specificera hur den kommer att främja denna konsekvens i inte enbart med tanke på övergripande principer för uppförhandlingarna i OECD och Europarådet. giftsskydd utan även när det gäller internationella överföringar. Datatillsynsmannen stöder fullständigt kommissionens målsättning att rationalisera nuvarande förfaranden för internationella överföringar av uppgifter och trygga ett mer enhetligt och sammanhängande synsätt 8.3 Klargörande av tillämpliga lagkriterier gentemot tredje länder och internationella organisationer. 122. Eftersom det inte är enkelt att uppnå fullständig konsekvens kommer det – åtminstone inom den närmaste tiden – att kvarstå vissa skillnader mellan lagarna inom 127. Mekanismer för uppgiftsflöden innefattar både överEU och de utanför EU:s gränser. Datatillsynsmannen anser föringar inom den privata sektorn, särskilt via kontraktskatt ett nytt rättsligt instrument behöver klargöra kriteri­ lausuler eller bindande företagsregler, och överföringar erna som fastställer tillämplig lag, och säkerställa ratio­ mellan offentliga myndigheter. Bindande företagsregler är nella system för uppgiftsflöden liksom ansvarighet för ak­ en av de beståndsdelar där ett mer enhetligt och rationellt törer som är involverade i uppgiftsflöden. synsätt skulle vara önskvärt. Datatillsynsmannen rekommenderar att villkoren för bindande företagsregler tas upp på ett explicit sätt i det nya rättsliga instrumentet ( 49 ), genom att

123. Till att börja med bör det rättsliga instrumentet säkra att EU:s lagstiftning är tillämplig när personuppgifter behandlas utanför EU:s gränser, men där det finns ett motiverat — uttryckligen erkänna bindande företagsregler som ett krav på att tillämpa EU:s lagstiftning. Exemplet med icke verktyg som tillhandahåller lämpliga säkerheter, europeiska molnbaserade datortjänster som är inriktade på EU-medborgare illustrerar varför detta är nödvändigt. I en miljö där uppgifter inte fysiskt lagras och hanteras på en — se till att huvudbeståndsdelarna/villkoren för att anta fast plats, där tjänsteleverantörer och användare i olika bindande företagsregler finns, länder har avgörande påverkan på uppgifter är det mycket svårt att identifiera vem som är ansvarig för att uppfylla ( 48 ) Artikel 29-arbetsgruppens yttrande 8/2010 om tillämplig lag, arbetsgrupp 179. ( 47 ) Enligt förslaget i resolutionen om internationella normer, antagen ( 49 ) Beträffande internationella överföringar, se även kapitel 8 i yttranav den 32:a internationella konferensen för ombudsmän för data­ det. 22.6.2011 Europeiska SV unionens officiella tidning C 181/17 — införa samarbetsförfaranden för antagande av bin­ fördraget. Begränsningar av rättigheter för personer som dande företagsregler inbegripet kriterier för att välja berörs av uppgifterna kan ingå, men de måste vara nödut en ledande myndighet för övervakning (en enda vändiga och proportionella och får inte ändra själva rätkontaktpunkt). tighetens grundläggande beståndsdelar. Det bör i detta sammanhang betonas att direktiv 95/46/EG, inklusive artikel 13 i detta, för närvarande gäller för brottsbekämpning inom olika områden (exempelvis beskattning, tull, 9. Polis och rättsväsende bedrägeribekämpning) som inte i grunden skiljer sig från många verksamheter inom det polisiära och rättsliga om9.1 Allmänt instrument rådet.

128. Kommissionen har vid upprepade tillfällen betonat betydelsen av att stärka dataskyddet när det gäller upprätthållande av lag och ordning och brottsförebyggande där ut­ 132. Särskilda garantier behöver dessutom införas för att kombytet och användningen av personuppgifter intensifierats pensera registrerade personer genom att ge dem extra avsevärt. Även i Stockholmsprogrammet, som godkänts skydd inom ett område där hantering av personuppgifter av Europeiska rådet, hänvisas till ett system för starkt kan vara mer påträngande. uppgiftsskydd som en huvudsaklig förutsättning för EU:s strategi för informationshantering på detta område ( 50 ).

133. Mot bakgrund av ovanstående anser datatillsynsmannen att den nya ramen bör innefatta minst följande bestånds129. Översynen av den allmänna ramen för dataskydd är ett delar, i linje med konvention 108 och rekommendation perfekt tillfälle att göra framsteg på området, särskilt som nr R (87) 15: rambeslut 2008/977 i meddelandet med rätta beskrivs som bristfälligt ( 51 ). — En distinktion mellan olika kategorier av uppgifter och register i enlighet med hur korrekta och tillförlitliga de 130. Datatillsynsmannen pläderade i avsnitt 3.2.5 i detta ytt­ är, och stöd till principen att uppgifter baserade på rande för varför området med polisärt och rättsligt sam­ fakta bör skiljas från uppgifter baserade på uppfattarbete skulle ingå i det allmänna instrumentet. Det finns ningar eller personliga bedömningar. ett antal fördelar med att införliva polis och rättsväsende i instrumentet. Det innebär att reglerna inte längre enbart kommer att gälla för utbyte av uppgifter över gränserna ( 52 ), utan även för behandling inom länderna. Lämp­ — En distinktion mellan olika kategorier av personer som ligt skydd vid utbyte av personuppgifter med tredje land berörs av uppgifterna (brottsmisstänkta, offer, vittnen, kommer att garanteras bättre, även när det gäller interna­ etc.) och register (tillfälliga och permanenta register tionella avtal. Myndigheter som hanterar personuppgifter samt underrättelseregister). Särskilda villkor och garankommer dessutom att ha samma omfattande och harmo­ tier behövs för hantering av uppgifter om personer niserade befogenheter gentemot polis och rättsliga myn­ som inte är misstänkta. digheter som gentemot andra registeransvariga. Avslutningsvis måste den nuvarande artikel 13, som innebär att medlemsstaterna är berättigade att anta särskild lagstiftning för att begränsa skyldigheter och rättigheter enligt — Mekanismer för att trygga periodisk kontroll och rätdet allmänna instrumentet för särskilda offentliga intres­ telse för att garantera kvaliteten på de uppgifter som sen, tillämpas på samma restriktiva sätt som den tillämpas hanteras. på andra områden. De särskilda garantier som erhålls enligt det allmänna instrumentet inom detta område måste framför allt respekteras även inom nationell lagstiftning som antas på området polisiärt och rättsligt samarbete. — Särskilda bestämmelser och/eller garantier kan införas för (den allt mer relevanta) behandlingen av biometriska och genetiska uppgifter på det brottsförebyggande området. Användningen av dem bör begränsas 9.2 Ytterligare särskilda regler för polis och rättsväsende endast till fall där inga mindre inkräktande möjligheter är tillgängliga som kan garantera samma effekt ( 53 ). 131. Detta införlivande utesluter emellertid inte särskilda regler och undantag, vilka vederbörligen tar hänsyn till särdragen inom denna sektor, i linje med förklaring 21 till Lissabon— Villkor för överföring av personuppgifter till icke be( 50 ) Se Europeiska datatillsynsmannens yttrande av den 30 september höriga myndigheter och privata aktörer liksom för till2010 om kommissionens meddelande till Europaparlamentet och träde och ytterligare användning inom brottsbekämrådet – ”Översikt av informationshanteringen inom området för pande myndigheter av personuppgifter som samlats frihet, säkerhet och rättvisa”, punkterna 9–19. in av privata parter. ( 51 ) Se avsnitt 3.2.5 ovan. ( 52 ) Detta är för närvarande den begränsade omfattningen av rambeslut 2008/977. ( 53 ) Se arbetsgruppens dokument om Integritetens framtid, punkt 112. C 181/18 SV Europeiska unionens officiella tidning 22.6.2011 9.3 Sektorspecifika system för dataskydd terfråga eller ta instruktioner från någon. Datatillsynsmannen föreslår uttryckligen att dessa inslag av oberoende ska 134. I meddelandet slås fast att ”inte heller rambeslutet ersätter kodifieras i lagen. de olika rättsakter om polisiärt och straffrättsligt samarbete som antagits inom EU, särskilt inte dem som styr funktionssätten för Europol, Eurojust, Schengens informationssystem (SIS) och tullinformationssystem (CIS) vilka 139. För att utföra sina uppgifter måste dessa myndigheter få antingen innehåller särskilda bestämmelser om uppgifts­ tillräckliga resurser när det gäller personal och finanser. skydd eller vanligen hänvisar till Europarådets rättsakter Datatillsynsmannen föreslår att detta krav ska införlivas i om uppgiftsskydd”. lagen ( 55 ). Han betonar slutligen behovet av att se till att myndigheterna har fullt harmoniserade befogenheter när det gäller undersökning och införande av tillräckligt avskräckande åtgärder och sanktioner. Detta skulle öka rätts135. Enligt datatillsynsmannen bör en ny rättslig ram så långt säkerheten för både registrerade personer och för registerdet är möjligt vara tydlig, enkel och konsekvent. När olika ansvariga. system sprids som gäller för exempelvis Europol, Eurojust, SIS och Prüm måste de fortfarande överensstämma med reglerna eller blir till och med ännu mer komplicerade. Det är ett av skälen till att datatillsynsmannen förespråkar 140. Ökat oberoende, resurser och befogenheter för dataen övergripande rättsakt för alla sektorer. skyddsmyndigheter bör införas tillsammans med förstärkt samarbete på multilateral nivå, särskilt mot bakgrund av det växande antalet frågor om uppgiftsskydd på europeisk nivå. Den huvudsakliga infrastruktur som bör användas 136. Datatillsynsmannen inser emellertid att anpassningen av för detta samarbete är helt uppenbart artikel 29-arbetsde olika systemens regler kommer att kräva avsevärt argruppen. bete, vilket måste genomföras mycket noggrant. Han anser att ett gradvis synsätt som nämns i meddelandet förefaller rimligt så länge satsningen på att hålla en hög nivå på uppgiftsskyddet på ett konsekvent och effektivt sätt 10.2 Stärkt roll för arbetsgruppen fortfarande är tydlig och synlig. För att vara mer konkret: 141. Historien har visat att sedan gruppen startade 1997 och fram till i dag har gruppens funktion utvecklats. Den har blivit mer oberoende och kan kanske inte längre i prak— I ett första skede bör den allmänna rättsakten för tiken betraktas som en enkel rådgivande arbetsgrupp till uppgiftsskydd gälla all hantering inom det polisiära kommissionen. Datatillsynsmannen föreslår ytterligare föroch rättsliga samarbetet, och innefatta anpassningar bättringar av arbetsgruppens funktionssätt, även vad gäller till polis och rättsväsende (enligt betydelsen i 9.2). dess infrastruktur och oberoende. — I ett andra steg bör de sektorsspecifika systemen för 142. Datatillsynsmannen anser att gruppens inneboende styrka uppgiftsskydd anpassas till detta allmänna instrument. är kopplad till medlemmarnas oberoende och befogenheKommissionen bör anta förslag för detta andra steg, ter. Arbetsgruppens autonomi bör tryggas i den nya rättsinom en kort och specificerad tidsram. liga ramen i enlighet med kriterierna för dataskyddsmyndigheters fullständiga oberoende som utarbetats av EGdomstolen i mål C-518/07. Datatillsynsmannen anser att arbetsgruppen också bör få tillräckliga resurser och budget 10. Dataskyddsmyndigheter och samarbete mellan och ett förstärkt sekretariat för att stödja dess bidrag. dessa myndigheter 10.1 Förstärkt roll för dataskyddsmyndigheterna

137. Datatillsynsmannen stöder fullständigt kommissionens 143. När det gäller arbetsgruppens sekretariat uppskattar datamålsättning att ta upp frågan om dataskyddsmyndigheter­ tillsynsmannen det faktum att det ingår i enheten för nas ställning och mer explicit stärka deras oberoende, dataskydd vid GD Rättvisa, frihet och säkerhet vilket har resurser och befogenheter när det gäller verkställighet. fördelen att arbetsgruppen själv kan dra nytta av effektiva och flexibla kontakter och uppdaterad information om utvecklingen när det gäller dataskydd. Å andra sidan ifrågasätter han det faktum att kommissionen (och mer spe138. Datatillsynsmannen betonar också behovet av att i det nya cifikt enheten) samtidigt är medlem, sekretariat för och rättsliga instrumentet klargöra det grundläggande begrep­ mottagare av arbetsgruppens yttranden. Det skulle motipet med oberoende för dessa myndigheter. EG-domstolen vera ett större oberoende för sekretariatet. Datatillsynshar nyligen fattat ett beslut i frågan i mål C-518/07 ( 54 ), mannen uppmuntrar kommissionen att – i nära samarbete där domstolen betonar att oberoende innebär avsaknad av med intressenter – bedöma hur detta oberoende bäst kan all extern påverkan. En dataskyddsmyndighet får inte ef­ åstadkommas. 22.6.2011 Europeiska SV unionens officiella tidning C 181/19

144. En förstärkning av dataskyddsmyndigheternas inflytande samordning och verkställande av åtgärder mellan olika kräver också starka befogenheter för arbetsgruppen inklu­ dataskyddsmyndigheter ( 57 ) i stora frågor om uppgiftssive bättre regler och garantier samt större öppenhet. skydd med dessa internationella effekter. Detta var fallet Detta kommer att utvecklas dels för arbetsgruppens råd­ med sociala nätverk och sökmotorer ( 58 ), liksom när det givande, dels för dess verkställande roll. gäller samordnade inspektioner i olika medlemsstater om telekommunikation och hälsoförsäkringsfrågor. 10.3 Arbetsgruppens rådgivande roll 149. Det finns emellertid gränser för vilka verkställandeåtgärder 145. Arbetsgruppens ståndpunkt måste införlivas effektivt när som arbetsgruppen kan vidta enligt det nuvarande ramdet gäller dess rådgivande roll gentemot kommissionen, verket. Gemensamma ståndpunkter kan intas av arbetssärskilt i förhållande till tolkningen och tillämpningen av gruppen men det finns inget instrument för att se till principerna i direktivet och andra instrument för uppgifts­ att dessa faktiskt genomförs i praktiken. skydd, med andra ord för att trygga en officiell utformning av arbetsgruppens ståndpunkter. Ytterligare diskussioner behövs bland dataskyddsmyndigheter för att fastställa hur detta kan införlivas i det rättsliga instrumentet. 150. Datatillsynsmannen föreslår att det rättsliga instrumentet ska innehålla ytterligare bestämmelser som kan stödja ett samordnat verkställande, framför allt följande:

146. Datatillsynsmannen rekommenderar lösningar som skulle göra yttranden från arbetsgruppen mer officiella utan att deras funktionssätt ändras avsevärt. Datatillsynsmannen föreslår att en skyldighet ska införas för dataskyddsmyn­ — En skyldighet att se till att dataskyddsmyndigheter och digheter och kommissionen att ta största hänsyn till ytt­ kommissionen tar den största hänsyn till yttranden randen och gemensamma ståndpunkter som antagits av och gemensamma ståndpunkter som antagits av arbetsgruppen, baserat på den modell som antagits för artikel 29-arbetsgruppen ( 59 ). ståndpunkterna från organet för europeiska regleringsmyndigheter för elektronisk kommunikation (Berec) ( 56 ). Den nya rättsakten kan dessutom ge arbetsgruppen den uttryckliga uppgiften att anta ”förklarande rekommendationer”. Dessa alternativa lösningar skulle ge arbetsgrup— En skyldighet för dataskyddsmyndigheter att trovärdigt pens ståndpunkter en starkare roll, även inför domstosamarbeta med varandra och med kommissionen och larna. 60 artikel 29-arbetsgruppen ( ). Som en praktisk illustration av ett trovärdigt samarbete kan ett förfarande inrättas där dataskyddsmyndigheter informerar kommissionen eller arbetsgruppen vid nationella åtgärder för verkställande som har ett gränsöverskridande in10.4 Samordnat verkställande av arbetsgruppen slag, i analogi med förfarandet i den nuvarande ramen vad gäller beslut om nationell lämplighet. 147. Enligt den nuvarande ramen lämnas verkställandet av dataskyddslagstiftning i medlemsstaterna till 27 olika dataskyddsmyndigheter med liten samordning när det gäller hantering av särskilda fall. När det handlar om fall som omfattar mer än en medlemsstat eller har en tydlig global — Specificering av röstningsreglerna för att öka datasdimension mångfaldigas kostnaderna för företag, vilka kyddsmyndigheters satsning på att genomföra arbetsmåste ha kontakt med olika offentliga myndigheter för gruppens beslut. Arbetsgruppen skulle kunna planera samma aktivitet, och det ökar risken för inkonsekvent tilllämpning: I undantagsfall kan samma behandlingsåtgärd ( 57 ) Utöver artikel 29-arbetsgruppen har den europeiska konferensen för betraktas som laglig av en dataskyddsmyndighet och förombudsmän för dataskydd för cirka tio år sedan inrättat en permabjuden av en annan. nent workshop som ska hantera gränsöverskridande klagomål på ett samordnat sätt. Även om denna workshop obestridligt tillför mervärde när det gäller utbyte mellan personal vid dataskyddsmyndigheter och erbjuder ett tillförlitligt nätverk av kontaktpunkter, kan det inte betraktas som en samordnad mekanism för beslutsfattande. ( 58 ) Se skrivelser från artikel 29-arbetsgruppen av den 12 maj 2010 och 148. Vissa fall är av strategisk betydelse och bör tas upp på ett den 26 maj 2010, offentliggjorda på artikel 29-arbetsgruppens webbplats (http://ec.europa.eu/justice/policies/privacy/workinggroup/ centraliserat sätt. Artikel 29-arbetsgruppen underlättar wpdocs/2010-others_en.htm). ( 59 ) Såsom angivits ovan fastställs en liknande skyldighet i förordning ( 56 ) Europaparlamentets och rådets förordning (EG) nr 1211/2009 av (EG) nr 1211/2009 där rollen för organet för europeiska regleringsden 25 november 2009 om inrättande av organet för europeiska myndigheter för elektronisk kommunikation (Berec) specificeras. regleringsmyndigheter för elektronisk kommunikation (Berec) och ( 60 ) Se i detta hänseende artikel 3 i förordning (EG) nr 1211/2009, som byrån, (EUT L 337, 18.12.2009, s. 1). citeras ovan. C 181/20 SV Europeiska unionens officiella tidning 22.6.2011 för att fatta beslut på grundval av en samsyn och när han skyldig att samarbeta med nationella dataskyddsmynsamsyn inte kan uppnås verkställs beslutet enbart med digheter och delta i arbetsgruppens verksamhet. Datatillkvalificerad majoritet. Utöver detta kan det i ett skäl synsmannen rekommenderar att samarbete uttryckligen anges att de dataskyddsmyndigheter som röstar för ett ska nämnas i det nya rättsliga instrumentet och strukturedokument är skyldiga eller åtar sig att genomföra det ras vid behov, exempelvis genom att fastställa ett förpå nationell nivå. farande för samarbete. 10.6 Samarbete mellan Europeiska datatillsynsmannen och 151. Datatillsynsmannen vill protestera mot införandet av star­ dataskyddsmyndigheter vid övervakning av EU:s system kare åtgärder såsom att ge artikel 29-arbetsgruppens ståndpunkter bindande kraft. Det skulle underminera data­ 156. Dessa beaktanden gäller även områden där övervakandet tillsynsmyndigheters oberoende ställning som medlemssta­ måste samordnas mellan europeisk och nationell nivå. Det terna enligt nationell lag måste garantera. Om arbetsgrup­ gäller exempelvis EU-organ som hanterar betydande pens beslut direkt skulle inverka på tredje part såsom mängder uppgifter från nationella myndigheter eller för registeransvariga skulle nya förfaranden behövas, inklusive storskaliga informationssystem som är såväl europeiska garantier som öppenhet och upprättelse, samt möjlighet som nationella. till överklagande vid EG-domstolen.

157. Befintliga system för några EU-organ och storskaliga in10.5 Samarbete mellan datatillsynsmannen och arbetsgruppen formationssystem – exempelvis Europol, Eurojust och den första generationen Schengens informationssystem (SIS) 152. Datatillsynsmannens och arbetsgruppens samarbete kan har gemensamma tillsynsorgan med företrädare för natioockså förbättras ytterligare. Datatillsynsmannen är medlem nella dataskyddsmyndigheter – är en kvarleva från mellani arbetsgruppen och bidrar till ståndpunkter om de vikti­ statligt samarbete från tiden före Lissabon och följer inte gaste strategiska utvecklingarna inom EU, samtidigt som EU:s institutionella struktur som Europol och Eurojust nu han säkerställer att dessa är förenliga med hans egna är en fullständig del av och där ”Schengenregelverket” nu ståndpunkter. Datatillsynsmannen noterar det ökande an­ också har införlivats ( 62 ). talet privata frågor, både inom den privata och den offentliga sektorn, vilket får effekter på nationell nivå i flera medlemsstater, och där kan arbetsgruppen spela en speci158. I meddelandet aviseras att kommissionen under 2011 fik roll. kommer att inleda ett samråd med intressenter om översynen av dessa övervakningssystem. Datatillsynsmannen uppmanar kommissionen att så snart som möjligt (inom en kort och specificerad tidsram, se ovan) inta en stånd153. Datatillsynsmannen har en kompletterande uppgift att ge punkt i den pågående diskussionen om övervakning. Han råd om utvecklingen inom EU och den bör bibehållas. I kommer att i denna diskussion inta följande ståndpunkt. sin egenskap av europeiskt organ utövar han denna rådgivande befogenhet gentemot EU:s institutioner på samma sätt som nationella dataskyddsmyndigheter ger råd till sina regeringar. 159. Utgångsläget bör vara att se till att alla övervakande organ uppfyller det nödvändiga kriteriet med oberoende, resurser och verkställande befogenheter. Det bör dessutom säkerställas att de perspektiv och de expertkunskaper som finns 154. Datatillsynsmannen och arbetsgruppen arbetar ur olika på EU-nivå beaktas. Det innebär att nationella myndighemen kompletterande perspektiv. Det finns därför ett be­ ter bör samarbeta sinsemellan men även med europeiska hov av att bevara och kanske förbättra samordningen datatillsynsmyndigheter (för närvarande Europeiska datamellan arbetsgruppen och datatillsynsmannen, så att de tillsynsmannen). Datatillsynsmannen anser det nödvändigt samarbetar om de viktigaste frågorna kring uppgiftsskydd, att följa en modell som uppfyller dessa krav ( 63 ). exempelvis genom att samordna agendor regelbundet ( 61 ), och genom att säkra öppenhet i frågor som har en mer nationell eller specifik EU-aspekt. 160. Under de senaste åren har modellen med ”samordnad övervakning” utvecklats. Denna övervakningsmodell är nu operativ inom Eurodac och delar av tullinformationssystemet och kommer snart att utvidgas till Informations155. Samordning nämns inte i det nuvarande direktivet av det systemet för viseringar (VIS) och den andra generationen enkla skälet att datatillsynsmannen inte fanns när direktiav Schengens informationssystem (SIS II). Modellen har tre vet antogs, men efter sex års existens är det uppenbart att nivåer: (1) övervakning på nationell nivå sköts av datasdatatillsynsmannen och arbetsgruppen kompletterar vakyddsmyndigheter, (2) övervakning inom EU sköts av randra och detta kan erkännas formellt. Datatillsynsmannen erinrar om att enligt förordning (EG) nr 45/2001 är ( 62 ) Enligt förordning (EG) nr 45/2001 är Europeiska datatillsynsmannen skyldig att samarbeta med dessa organ. ( 61 ) Exempelvis på grundval av förteckningen över lagstiftningsåtgärder ( 63 ) För Eurojust bör modellen också ta hänsyn till att övervakningen av som offentliggörs varje år och uppdateras regelbundet och som är dataskyddet respekterar domstolarnas oberoende, när Eurojust hantillgänglig på Europeiska datatillsynsmannens webbplats. terar uppgifter i samband med brottmål. 22.6.2011 Europeiska SV unionens officiella tidning C 181/21 Europeiska datatillsynsmannen och (3) samordning säker­ mensamma synsätt kan och bör uppnås inom arbetsgrupställs genom regelbundna möten som datatillsynsmannen pen. Samordnade undersökningar inom hela EU under kallar till när han fungerar som sekretariat för denna sam­ överinseende av arbetsgruppen kan också tillföra betyordningsmekanism. Modellen har visat sig framgångsrik dande mervärde. och effektiv och bör användas i framtiden för andra informationssystem.

165. För det fjärde bör principer för uppgiftsskydd ”byggas in” aktivt i nya förordningar som direkt eller indirekt kan C. HUR KAN TILLÄMPNINGEN AV DEN NUVARANDE påverka uppgiftsskyddet. Inom EU gör datatillsynsmannen RAMEN FÖRBÄTTRAS? avsevärda ansträngningar för att bidra till en bättre EUlagstiftning och dessa satsningar måste också genomföras 11. På kort sikt på nationell nivå. Dataskyddsmyndigheter bör därför fullt ut utnyttja sina rådgivande befogenheter för att säkra ett 161. Eftersom översynsprocessen pågår bör ansträngningar gösådant aktivt synsätt. Dataskyddsmyndigheter, inbegripet ras för att de nuvarande reglerna verkligen ska införlivas Europeiska datatillsynsmannen, kan också spela en aktiv fullständigt och effektivt. Dessa regler kommer att vara roll när det gäller att övervaka teknisk utveckling. Övertillämpliga till dess att det kommande ramverket antas vakning är viktigt för att på ett tidigt stadium identifiera och kommer sedan att införlivas i nationell lag i medlemsframväxande trender, understryka möjliga konsekvenser staterna. I det sammanhanget finns flera möjliga åtgärder. när det gäller uppgiftsskydd, stödja lösningar som gynnar uppgiftsskydd och öka intressenternas medvetenhet.

162. För det första bör kommissionen fortsätta att övervaka att medlemsstaterna efterlever direktiv 95/46/EG och vid be166. Avslutningsvis behöver samarbetet mellan olika aktörer på hov använder sina befogenheter enligt artikel 258 i Förinternationell nivå aktivt fortsätta. Det är därför viktigt att draget om Europeiska unionens funktionssätt. Nyligen har förstärka det internationella samarbetsinstrumentet. Initiaförfaranden om överträdelser inletts på grund av underlåtiv som Madridnormerna och det pågående arbetet inom tenhet att korrekt införliva artikel 28 i direktivet vad gäller Europarådet och OECD förtjänar fullt stöd. Det är därför kravet på oberoende för dataskyddsmyndigheter ( 64 ). Även mycket positivt att även US Federal Trade Commission nu inom andra områden behöver man övervaka att reglerna också ingår i gruppen av ombudsmän för dataskydd och följs och verkställs i sin helhet ( 65 ). Datatillsynsmannen integritet inom ramen för deras internationella konferens. välkomnar därför och stöder fullständigt kommissionens satsning i meddelandet på att fortsätta sin aktiva politik när det gäller överträdelser. Kommissionen bör även fortsätta den strukturella dialogen med medlemsstaterna om D. SLUTSATSER införlivande ( 66 ).

167. Datatillsynsmannen välkomnar meddelandet rent allmänt, 163. För det andra måste verkställande på nationell nivå upp­ eftersom han är övertygad om att översynen av den numuntras så att regler för uppgiftsskydd, inbegripet när det varande rättsliga ramen för skydd av personuppgifter är gäller nya tekniska företeelser och globala aktörer verkli­ nödvändig för att säkra ett effektivt skydd i ett alltmer gen tillämpas praktiskt. Dataskyddsmyndigheter bör fullt utvecklat och globaliserat informationssamhälle. ut utnyttja sina befogenheter när det gäller undersökning och sanktioner. Det är också viktigt att befintliga rättigheter för registrerade personer, särskilt rätten till tillträde, genomförs praktiskt i sin helhet. 168. I meddelandet identifieras huvudfrågor och utmaningar. Datatillsynsmannen instämmer i kommissionens uppfattning att ett starkt system för uppgiftsskydd kommer att behövas även i framtiden, baserat på principen att befint164. För det tredje förefaller större samordning när det gäller liga allmänna principer för uppgiftsskydd fortfarande är verkställande nödvändigt på kort sikt. Artikel 29-arbets­ giltiga i ett samhälle som genomgår grundläggande förgruppens roll och dess tolkande dokument är i detta hän­ ändringar. Datatillsynsmannen instämmer också i meddeseende avgörande men även dataskyddsmyndigheter bör landets yttrande om att utmaningarna är enorma och göra sitt bästa för att omsätta dem i praktiken. Olika betonar att de föreslagna lösningarna bör vara lika ambiresultat inom EU eller globalt behöver undvikas och ge­ tiösa och göra skyddet effektivare. Han efterlyser därför ett mer ambitiöst synsätt på en rad punkter. ( 64 ) Se mål C-518/07 som nämns ovan och kommissionens pressmeddelande av den 28 oktober 2010 (IP/10/1430). ( 65 ) Kommissionen har inlett ett överträdelseförfarande mot Storbritannien för en påstådd överträdelse av olika bestämmelser om upp­ 169. Europeiska datatillsynsmannen stöder helt den övergrigiftsskydd, inbegripet krav på konfidentialitet inom elektronisk pande strategin för uppgiftsskydd. Han beklagar emellertid kommunikation när det gäller beteendestyrd annonsering. Se komatt meddelandet utesluter vissa områden, exempelvis uppmissionens pressmeddelande av den 9 april 2009 (IP/09/570). ( 66 ) Se kommissionens första rapport om införlivande av dataskydds­ giftshantering inom EU:s institutioner och organ, från det direktivet som nämns i punkt 22 och följande ovan. allmänna instrumentet. Om kommissionen skulle besluta C 181/22 SV Europeiska unionens officiella tidning 22.6.2011 att utelämna dessa områden vädjar datatillsynsmannen till fektiva sättet att skydda de grundläggande rättigheterna till kommissionen om att snarast anta ett förslag på EU-nivå, skydd av uppgifter och uppnå ytterligare enhetlighet på företrädesvis före slutet av 2011. den inre marknaden. Stärka enskildas rättigheter

170. Utgångspunkterna för översynsförfarandet för datatillsyns174. Datatillsynsmannen stöder meddelandets förslag att stärka mannen är följande: enskilda rättigheter. Han lämnar följande förslag: — Lösningar för uppgiftsskydd måste så långt det är möjligt aktivt stödja snarare än hindra andra berättigade — En öppenhetsprincip kan införlivas i lagen. Det är intressen (såsom europeisk ekonomi, enskildas säkeremellertid viktigare att förstärka befintliga bestämmelhet och regeringars ansvarighet). ser om öppenhet (såsom befintliga artiklar 10 och 11 i direktiv 95/46/EG). — Den allmänna principen för uppgiftsskydd varken bör eller kan ändras. — En bestämmelse om anmälan av överträdelse som utvidgar skyldigheten i det reviderade direktivet om in— Ytterligare harmonisering bör vara en av huvudmåltegritet och elektronisk kommunikation från vissa lesättningarna för översynen. verantörer till alla registeransvariga bör införas i det allmänna instrumentet. — Perspektivet med grundläggande rättigheter bör stå i centrum för översynsförfarandet. En grundläggande rätt syftar till att skydda medborgare under alla för­ — Gränserna för medgivande bör klargöras. Att bredda hållanden. de fall där uttryckligt medgivande krävs bör övervägas liksom att anta ytterligare regler för miljön på nätet. — Det nya rättsliga instrumentet måste innefatta den polisiära och rättsliga sektorn. — Ytterligare rättigheter bör införas såsom uppgifters portabilitet och rätten till radering, särskilt tjänster — Det nya rättsliga instrumentet måste så långt det är inom informationssamhället på Internet. möjligt utformas på ett tekniskt neutralt sätt och syfta till att skapa rättssäkerhet på längre sikt. — Barns intressen bör skyddas bättre med ytterligare ett BESTÅNDSDELAR I EN NY RAM antal bestämmelser som särskilt gäller insamling och vidare behandling av barns uppgifter. Harmonisering och förenkling

171. Datatillsynsmannen välkomnar kommissionens satsning — Mekanismer för kollektiv upprättelse vid överträdelse på att granska möjligheterna att uppnå ytterligare harmoav regler för uppgiftsskydd bör införas i EU:s lagstiftnisering av uppgiftsskyddet på EU-nivå. Enligt datatillsynsning för att ge kvalificerade enheter möjlighet att vidta mannen finns det områden där ytterligare och bättre haråtgärder för grupper av enskilda. monisering snarast behövs: definitioner, grunder för behandling av uppgifter, rättigheter för registrerade personer, internationella överföringar och dataskyddsmyndigheter. Stärkning av organisationers/registeransvarigas skyldigheter

172. Europeiska datatillsynsmannen föreslår att följande alternativ ska övervägas för att underlätta och/eller minska 175. Den nya ramen måste innehålla incitament för registeromfattningen av kraven på anmälan: ansvariga att aktivt införliva åtgärder för dataskydd i sin affärsverksamhet. Datatillsynsmannen föreslår att allmänna bestämmelser om ansvarighet och inbyggda — Begränsa anmälningsskyldigheten till specifika slag av skyddsmekanismer ska införas. En bestämmelse om sysbehandlingsåtgärder som medför specifika risker. tem för sekretesscertifiering bör också införas. — En enkel registreringsskyldighet som innebär att registeransvariga måste registrera sig (i motsats till omfat­ Globalisering och tillämplig lag tande registrering av alla åtgärder inom databehandling). 176. Datatillsynsmannen stöder det ambitiösa arbetet inom ramen för den internationella konferensen för ombudsmän för dataskydd och integritet för att utveckla de så kallade — Införande av en standardiserad alleuropeisk anmäl”Madridnormerna” i syfte att införliva dem i ett bindande ningsblankett. instrument och sannolikt initiera en mellanstatlig konferens. Datatillsynsmannen uppmanar kommissionen att 173. Enligt datatillsynsmannen är en förordning, ett instrument vidta konkreta steg i denna riktning i nära samarbete som är direkt tillämpligt i medlemsstaterna, det mest ef­ med OECD och Europarådet. 22.6.2011 Europeiska SV unionens officiella tidning C 181/23

177. Ett nytt rättsligt instrument måste klargöra kriterierna som 182. Datatillsynsmannen föreslår ytterligare förbättringar av fastställer tillämplig lag. Det bör säkerställas att uppgifter artikel 29-arbetsgruppens funktionssätt, inbegripet av som behandlas utanför EU:s gränser ändå omfattas av dess oberoende och infrastruktur. Arbetsgruppen bör EU:s jurisdiktion när det finns ett motiverat krav på att också få tillräckliga resurser och ett förstärkt sekretariat. EU-lagstiftning ska tillämpas. Om den rättsliga ramen skulle ha formen av en förordning skulle reglerna vara 183. Datatillsynsmannen föreslår att den rådgivande rollen för identiska i alla medlemsstater och det skulle vara mindre arbetsgruppen ska förstärkas genom att man inför en relevant att fastställa tillämplig lag (inom EU). skyldighet för dataskyddsmyndigheter och kommissionen att ta den största hänsyn till yttranden och gemensamma 178. Datatillsynsmannen stöder helt målsättningen att säker­ ståndpunkter som antagits av arbetsgruppen. Datatillsynsställa ett mer enhetligt och sammanhängande synsätt gen­ mannen är inte positiv till att ge bindande kraft åt arbetstemot tredje länder och internationella organisationer. gruppens ståndpunkter, särskilt på grund av enskilda daBindande företagsregler bör ingå i det rättsliga instrumen­ taskyddsmyndigheters oberoende ställning. Datatillsynstet. mannen rekommenderar att kommissionen inför särskilda bestämmelser för att öka samarbetet med Europeiska datatillsynsmannen i det nya rättsliga instrumentet. Polis och rättsväsende

179. Ett övergripande instrument som innefattar polis och 184. Datatillsynsmannen vädjar till kommissionen att så snart som möjligt inta en ståndpunkt i frågan om kontroll av rättsväsende kan möjliggöra särskilda regler som vederbörEU:s organ och storskaliga informationssystem, med tanke ligen tar hänsyn till särdragen inom denna sektor, i linje på att alla övervakande organ bör uppfylla det nödvändiga med förklaring 21 till Lissabonfördraget. Särskilda garantier behöver införas för att kompensera registrerade per­ kriteriet med oberoende, tillräckliga resurser och verkstälsoner genom att ge dem extra skydd inom ett område där lande befogenheter och att man ser till att EU:s perspektiv hantering av personuppgifter är mer påträngande. är väl representerat. Datatillsynsmannen stöder modellen med ”samordnad övervakning”.

180. Den nya rättsliga ramen bör så långt det är möjligt vara Förbättringar inom det nuvarande systemet: tydlig, enkel och konsekvent. En spridning av olika system som exempelvis gäller för Europol, Eurojust, SIS och Prüm 185. Datatillsynsmannen uppmuntrar kommissionen att bör undvikas. Datatillsynsmannen inser att de olika systemens regler måste anpassas noggrant och successivt. — fortsätta att övervaka att medlemsstaterna efterlever direktiv 95/46/EG och vid behov använda sina befoDataskyddsmyndigheter och samarbete mellan dessa genheter enligt artikel 258 i fördraget om Europeiska myndigheter unionens funktionssätt,

181. Datatillsynsmannen stöder fullständigt kommissionens — uppmuntra verkställande på nationell nivå liksom målsättning att ta upp frågan om dataskyddsmyndighetersamordning av verkställande, nas ställning och stärka deras oberoende, resurser och befogenheter när det gäller verkställighet. Han rekommen— aktivt bygga in principer för uppgiftsskydd i nya förderar följande: ordningar som direkt eller indirekt kan påverka uppgiftsskyddet, — Kodifiera i det nya rättsliga instrumentet det grundläggande begreppet med oberoende för dataskydds— aktivt fortsätta ytterligare samarbete mellan olika akmyndigheter, enligt specifikationen från EG-domstotörer på internationell nivå. len. — Slå fast i lagen att dataskyddsmyndigheterna måste få Utfärdat i Bryssel den 14 januari 2011. tillräckliga resurser.