Comprehensive approach on personal data protection in the European Union

22.6.2011 Europeiska SV unionens officiella tidning C 181/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om kommissionens meddelande till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén och Regionkommittén – ”Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen”

(2011/C 181/01)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA 2. I meddelandet beskrivs hur kommissionen ska hantera YTTRANDE översynen av EU:s rättsliga ram för skyddet av person­ uppgifter på alla EU:s verksamhetsområden, med särskild hänsyn till de utmaningar som globaliseringen och den med beaktande av fördraget om Europeiska unionens funktions­ nya tekniken medför ( 4 ). sätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grund­ 3. Europeiska datatillsynsmannen välkomnar meddelandet läggande rättigheterna, särskilt artiklarna 7 och 8, rent allmänt, eftersom han är övertygad om att en översyn av den nuvarande rättsliga ramen för skydd av person­ med beaktande av Europaparlamentets och rådets direktiv uppgifter inom EU är nödvändig för att säkra ett effektivt 95/46/EG av den 24 oktober 1995 om skydd för enskilda skydd för informationssamhällets fortsatta utveckling. Re­ personer med avseende på behandling av personuppgifter och dan i sitt yttrande av den 25 juli 2007 om genomförande om det fria flödet av sådana uppgifter ( 1 ), av dataskyddsdirektivet ( 5 ) drog han slutsatsen att föränd­

ringar av direktiv 95/46/EG förefaller oundvikliga på med beaktande av Europaparlamentets och rådets förordning längre sikt. (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så­ 4. Meddelandet utgör ett viktigt steg i riktning mot en sådan dana uppgifter ( 2 ), särskilt artikel 41. ändring av lagen som i sin tur skulle vara den viktigaste

utvecklingen när det gäller uppgiftsskydd inom EU sedan HÄRIGENOM FRAMFÖRS FÖLJANDE. direktiv 95/46/EG antogs, vilket i allmänhet betraktas som den viktigaste hörnstenen för dataskydd inom Europeiska unionen (och i ett vidare begrepp inom Europeiska ekono­ A. ALLMÄNT miska samarbetsområdet).

1. Inledning 1.1 En första och allmän bedömning 5. Meddelandet erbjuder rätt ram för en målinriktad översyn, även på grund av att det rent allmänt identifierar huvud­ 1. Den 4 november 2010 antog kommissionen ett medde­ frågor och utmaningar. Datatillsynsmannen instämmer i lande med titeln ”Ett samlat grepp på skyddet av person­ kommissionens uppfattning att ett starkt system för data­ uppgifter i Europeiska unionen” (”meddelandet”) ( 3 ). Med­ skydd kommer att behövas även i framtiden, baserat på delandet sändes till Europeiska datatillsynsmannen för principen att befintliga allmänna principer för dataskydd samråd. Datatillsynsmannen välkomnar att kommissionen fortfarande är giltiga i ett samhälle som genomgår grund­ samrått med honom i enlighet med artikel 41 i förord­ läggande förändringar på grund av snabb teknisk utveck­ ning (EG) nr 45/2001. Han fick möjlighet att lämna infor­ ling och globalisering. Detta kräver att befintliga lagstift­ mella kommentarer redan innan meddelandet antogs och ningslösningar ses över. vissa av dessa kommentarer har beaktats i slutversionen av dokumentet. ( 4 ) Se s. 5 i meddelandet, första stycket. ( 5 ) Yttrande från Europeiska datatillsynsmannen av den 25 juli 2007 ( 1 ) EGT L 281, 23.11.1995, s. 31. om meddelandet från kommissionen till Europaparlamentet och rå­ ( 2 ) EGT L 8, 12.1.2001, s. 1. det om uppföljningen av arbetsprogrammet för ett bättre genom­ ( 3 ) KOM(2010) 609 slutlig. förande av dataskyddsdirektivet, (EUT C 255, 27.10.2007, s. 1). C 181/2 SV Europeiska unionens officiella tidning 22.6.2011

6. I meddelandet betonas med rätta att utmaningarna är rättsväsende som inleddes av kommissionen 2009 (”ar­ enorma. Datatillsynsmannen instämmer i yttrandet och betsgruppens dokument om integritetens framtid”) ( 7 ). betonar att de föreslagna lösningarna bör vara lika ambi­ tiösa och göra skyddet effektivare.

11. Vid en presskonferens den 15 november 2010 lämnade 1.2 Syftet med yttrandet datatillsynsmannen också sina första reaktioner på det aktuella meddelandet. I detta yttrande utvecklas närmare 7. I detta yttrande bedöms de lösningar som föreslås i med­ de mer allmänna uppfattningar som framfördes under delandet på grundval av följande två kriterier: ambition presskonferensen ( 8 ). och effektivitet. Perspektivet är på det hela taget positivt. Datatillsynsmannen stöder meddelandet men är samtidigt kritisk till aspekter där enligt hans uppfattning större am­ bitioner skulle leda till ett effektivare system.

12. Avslutningsvis utnyttjas i detta yttrande ett antal tidigare yttranden från datatillsynsmannen samt handlingar från artikel 29-arbetsgruppen. Hänvisningar till dessa yttranden 8. Datatillsynsmannen hoppas med detta yttrande kunna bi­ och handlingar görs på olika platser i detta yttrande när dra till att den rättsliga ramen för dataskydd utvecklas det är relevant. ytterligare. Han ser fram emot kommissionens förslag som förväntas under mitten av 2011 och hoppas att hans idéer kommer att beaktas i förslaget. Han noterar också att man i meddelandet förefaller utesluta vissa om­ råden, exempelvis behandling av uppgifter inom EU:s in­ stitutioner och organ, från det allmänna instrumentet. Om 2. Bakgrund kommissionen verkligen skulle besluta sig för att ute­ 13. Översynen av reglerna för dataskydd genomförs vid en lämna vissa områden på detta stadium – något som data­ historiskt avgörande tidpunkt. I meddelandet beskrivs bak­ tillsynsmannen skulle beklaga – vädjar han till kommis­ grunden på ett omfattande och övertygande sätt. Baserat sionen att åta sig att ta fram en heltäckande utformning på den beskrivningen identifierar datatillsynsmannen de inom en kort och angiven tidsram. fyra huvudfaktorer som avgör den miljö där översynspro­ cessen äger rum. 1.3 Yttrandets beståndsdelar

9. Det här yttrandet är inte fristående. Det bygger på tidigare 14. Den första faktorn är teknisk utveckling. Dagens teknik är ståndpunkter från datatillsynsmannen och Europeiska da­ inte densamma som när direktiv 95/46/EG utformades taskyddsmyndigheter vid olika tillfällen. Det bör framför och antogs. Tekniska företeelser som datormoln, beteen­ allt betonas att i det tidigare nämnda yttrandet från data­ destyrd annonsering, sociala nätverk, vägtullar och gpstillsynsmannen av den 25 juli 2007 fastställdes och ut­ system förändrade på djupet hur uppgifter behandlas vecklades några viktiga beståndsdelar i framtida änd­ och innebär enorma utmaningar för dataskyddet. I en ringar ( 6 ). Yttrandet bygger också på diskussioner med översyn av reglerna för europeiskt dataskydd måste dessa andra aktörer på området integritet och dataskydd. Deras utmaningar tas upp på ett effektivt sätt. bidrag utgjorde en mycket användbar bakgrund för både meddelandet och detta yttrande. Man kan därför dra slut­ satsen att det finns synergier när det gäller hur dataskyd­ det kan effektiviseras.

15. Den andra faktorn är globaliseringen. Det successiva av­ skaffandet av handelshinder har gjort affärsverksamheten allt mer internationell. Gränsöverskridande hantering av 10. En annan viktig komponent i detta yttrande är dokumen­ tet ”Integritetens framtid”, det gemensamma bidraget från ( 7 ) Arbetsgruppens dokument 168 (http://ec.europa.eu/justice/policies/ artikel 29-arbetsgruppen och arbetsgruppen om polis och privacy/docs/wpdocs/2009/wp168_en.pdf). Dess huvudbudskap är att en lagändring är ett bra tillfälle att klargöra vissa huvudregler ( 6 ) Se särskilt (punkt 77 i yttrandet): Inget behov av att ändra befintliga och principer (exempelvis samtycke, öppenhet), införa några nya principer men ett klart behov av andra administrativa lösningar, principer (exempelvis inbyggda skyddsmekanismer, ansvarighet), dataskyddslagstiftningens breda tillämpning på all användning av öka effektiviteten genom att modernisera lösningarna (exempelvis personuppgifter bör inte förändras, dataskyddslagstiftningen bör genom att begränsa befintliga anmälningskrav) och samla allt i ett möjliggöra ett balanserat tillvägagångssätt i konkreta fall och bör heltäckande regelverk (inbegripet polisiärt och rättsligt samarbete). också göra det möjligt för dataskyddsmyndigheterna att fastställa ( 8 ) Presskonferensens talepunkter finns på datatillsynsmannens prioriteringar; systemet bör gälla fullt ut för användningen av per­ webbplats: http://www.edps.europa.eu/EDPSWEB/webdav/site/ sonuppgifter vid brottsbekämpning, men det kan krävas ytterligare mySite/shared/Documents/EDPS/Publications/Speeches/2010/10-11lämpliga åtgärder för att hantera särskilda problem på detta område. 15_Press_conf_speaking_points_PHBG_EN.pdf 22.6.2011 Europeiska SV unionens officiella tidning C 181/3 uppgifter internationella överföringar har ökat enormt de grundläggande rättigheterna och artikel 16 i fördraget om senaste åren. Dessutom har behandling av uppgifter blivit Europeiska unionens funktionssätt, liksom den starka allestädes närvarande på grund av informations- och kom­ kopplingen till artikel 7 i stadgan ( 12 ). munikationsteknik: Internet och datormoln gjorde det möjligt att utlokalisera hanteringen av stora mängder upp­ gifter över hela världen. Under det senaste årtiondet har vi 19. En stark ram för dataskydd gynnar emellertid också större också sett en ökning av internationella polisiära och rätts­ offentliga och privata intressen i ett informationssamhälle liga åtgärder för att bekämpa terrorism och andra former där behandling av uppgifter förekommer överallt. Data­ av internationell organiserad brottslighet, med stöd av ett skydd främjar förtroende som är ett grundläggande inslag enormt utbyte av information. Allt detta kräver noggranna i ett väl fungerande samhälle. Det är avgörande att lös­ överväganden om hur skydd av personuppgifter kan tryg­ ningar för dataskydd tolkas på ett sätt så att de – så långt gas effektivt i en globaliserad värld, utan att internationella det är möjligt – aktivt stödjer snarare än hindrar andra databehandlingsåtgärder hindras alltför mycket. berättigade rättigheter och intressen.

20. Viktiga exempel på andra berättigade intressen är en stark 16. Den tredje faktorn är Lissabonfördraget. Lissabonfördra­ europeisk ekonomi, enskildas säkerhet liksom regeringars gets ikraftträdande innebär en ny era för uppgiftsskyddet. ansvarighet. Artikel 16 i fördraget om Europeiska unionens funktions­ sätt innehåller inte bara en individuell rätt för den som berörs av uppgifterna utan även en direkt rättslig grund 21. Ekonomisk utveckling inom EU går hand i hand med för en stark lag i hela EU om uppgiftsskydd. I och med att införande och marknadsföring av ny teknik och nya tjäns­ pelarstrukturen avskaffats blir Europaparlamentet och rå­ ter. I informationssamhället är framväxt och framgångsrik det dessutom skyldiga att tillhandahålla uppgiftsskydd utveckling av informations- och kommunikationsteknik inom alla områden i EU:s lagstiftning. Med andra ord och tjänster beroende av förtroende. Om människor inte möjliggör det en omfattande rättslig ram för uppgifts­ litar på informations- och kommunikationstekniken ris­ skydd som kan tillämpas på den privata sektorn, den kerar tekniken att misslyckas ( 13 ). Och människor kommer offentliga sektorn i medlemsstaterna och EU:s institutioner endast att lita på informations- och kommunikationstek­ och organ. I Stockholmsprogrammet ( 9 ) fastställs genom­ niken om deras uppgifter skyddas effektivt. Dataskydd bör gående i detta hänseende att unionen behöver säkerställa därför vara en integrerad del av teknik och tjänster. En en omfattande strategi för att skydda uppgifter inom EU stark ram för dataskydd främjar den europeiska ekono­ och sina förbindelser med andra länder. min, under förutsättning att detta ramverk inte bara är starkt utan även utformat på rätt sätt. Ytterligare harmo­ nisering inom EU och minimering av administrativa bör­ dor är i detta sammanhang grundläggande (se kapitel 5 i 17. Den fjärde faktorn utgörs av parallella utvecklingar som yttrandet). äger rum inom internationella organisationer. Olika pågå­ ende debatter fokuserar på modernisering av de nuvarande rättsliga instrumenten för uppgiftsskydd. Det är viktigt att 22. Mycket har de senaste åren sagts om behovet av balans i detta sammanhang nämna de aktuella reflektioner som mellan integritet och säkerhet, särskilt i förhållande till gjorts om den kommande översynen av Europarådets instrument för behandling och utbyte av data på området konvention 108 ( 10 ) och av OECD:s riktlinjer för privatli­ polissamarbete och rättsligt samarbete ( 14 ). Dataskydd be­ vet ( 11 ). En annan viktig utveckling gäller antagandet av skrevs ganska ofta felaktigt som ett hinder för att fullt ut internationella normer för skydd av personuppgifter och skydda enskildas fysiska säkerhet ( 15 ), eller åtminstone integritet, som eventuellt kan leda till att ett bindande som ett oundvikligt villkor som skulle respekteras av övergripande instrument om dataskydd antas. Samtliga brottsbekämpande myndigheter. Det är emellertid inte dessa initiativ förtjänar att stödjas i sin helhet. Deras ge­ hela sanningen. En stark ram för dataskydd kan vässa mensamma mål bör vara att säkra ett effektivt och kon­ och stärka säkerheten. På grundval av principerna om sekvent skydd i en teknikdriven och globaliserad miljö. dataskydd ska registeransvariga – när principerna fungerar väl – se till att informationen är korrekt och uppdaterad och att överflödiga personuppgifter som inte krävs för brottsbekämpning raderas i systemen. Man kan även 3. Huvudperspektiv peka på skyldigheter att genomföra tekniska och C 181/4 SV Europeiska unionens officiella tidning 22.6.2011 åorganisatoriska åtgärder för att trygga säkerheten i sys­ sina friheter i ett demokratiskt samhälle, exempelvis ytt­ tem, exempelvis system som skyddar mot otillåten sprid­ randefriheten. ning eller tillträde och som har utvecklats inom data­ skyddsområdet. 28. Det är dessutom svårt att tänka sig kontroll av den en­ skilda utan att de ansvariga är skyldiga att begränsa be­ 23. Om principerna för skydd av uppgifter följs kan det yt­ handlingen enligt principerna om nödvändighet, propor­ terligare bidra till att de brottsbekämpande myndigheterna tionalitet och begränsning av syfte. Det är också svårt att följer rättsstatens regler vilket leder till förtroende för de­ tänka sig kontroll av den enskilda om det inte finns några ras uppträdande och i en vidare mening främjar förtroen­ erkända rättigheter för registrerade, exempelvis rätten till det för våra samhällen. Den rättspraxis som utvecklas i tillträde, ändring, radering eller blockering av uppgifter. artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna tryggar att polis- och rättsväsende kan behandla alla uppgifter som är relevanta för deras 3.2.3 P e r s p e k t i v e t m e d g r u n d l ä g g a n d e arbete men inte på ett obegränsat sätt. Dataskydd kräver r ä t t i g h e t e r kontroller och balanser (se kapitel 9 i yttrandet om polisoch rättsväsende). 29. Datatillsynsmannen betonar att dataskydd erkänns som en grundläggande rättighet. Det innebär inte att dataskydd alltid ska ha företräde före andra viktiga rättigheter och 24. I demokratiska samhällen är regeringar ansvariga för alla intressen i ett demokratiskt samhälle, men det får kon­ sina åtgärder, vilket även innefattar användning av person­ sekvenser för form och omfattning av det skydd som uppgifter för olika offentliga intressen. Detta sträcker sig måste erbjudas enligt en rättslig ram inom EU, så att från offentliggörande av uppgifter på Internet av öppen­ kraven när det gäller dataskydd alltid beaktas på lämpligt hetsskäl, till användning av uppgifter som ett stöd till sätt. politik inom områden som folkhälsa, transport eller be­ skattning, eller övervakning av enskilda i brottsbekäm­ pande syfte. Med hjälp av ett starkt ramverk för dataskydd 30. Dessa huvudsakliga konsekvenser kan definieras på föl­ kan regeringar ta sitt ansvar och vara ansvariga som en jande sätt: del av en god förvaltning. — Skyddet måste vara effektivt. En rättslig ram måste 3.2 Konsekvenser för den rättsliga ramen för dataskydd tillhandahålla instrument som gör att enskilda kan utöva sina rättigheter i praktiken. 3.2.1 Y t t e r l i g a r e h a r m o n i s e r i n g k r ä v s

25. I meddelandet slogs med rätta fast att en av den nuva­ — Ramen måste vara stabil under en lång period. rande ramens största brister är att medlemsstaterna i allt­ för stor utsträckning själva kan bestämma om införlivan­ det av EU:s bestämmelser i nationell lag. Bristande harmo­ — Skydd måste erbjudas under alla omständigheter och nisering får ett antal negativa konsekvenser i ett infor­ får inte bero på politiska preferenser inom en viss mationssamhälle där de fysiska gränserna mellan med­ tidsram. lemsstaterna blir allt mindre relevanta (se kapitel 5 i ytt­ randet). — Utövandet av rätten kan behöva begränsas, men det måste utgöra ett undantag, motiveras på lämpligt sätt 3.2.2 A l l m ä n n a p r i n c i p e r f ö r d a t a s k y d d ä r och aldrig påverka de grundläggande beståndsdelarna i f o r t f a r a n d e g i l t i g a själva rättigheten ( 16 ). 26. Ett första och mer formellt skäl till att de allmänna prin­ ciperna för dataskydd varken bör eller kan ändras är av Datatillsynsmannen rekommenderar att kommissionen tar rättsligt slag. Dessa principer slås fast i Europarådets kon­ hänsyn till dessa konsekvenser när lagstiftningsförslag fö­ vention 108 som är bindande för alla medlemsstater. reslås. Konventionen ligger till grund för dataskyddet inom EU. Några av huvudprinciperna nämns dessutom uttryckligen i artikel 8 i stadgan om de grundläggande rättigheterna i 3.2.4 N y a l a g s t i f t n i n g s f ö r s l a g b e h ö v s unionen. Om dessa principer ändras skulle alltså fördragen behöva ändras. 31. Meddelandet koncentreras med rätta på behovet av att stärka lagstiftningslösningar för dataskydd. I detta sam­ manhang är det lämpligt att erinra om att i arbetsgrup­ 27. Det är emellertid inte hela sanningen. Det finns också pens dokument om integritetens framtid ( 17 ) betonade avsevärda skäl till att inte ändra de allmänna principerna. dataskyddsmyndigheterna behovet av starkare roller för Datatillsynsmannen anser att ett informationssamhälle inte kan eller bör fungera utan lämpligt skydd av enskildas ( 16 ) Se även Europeiska datatillsynsmannens yttrande av den 25 juli privatliv och personuppgifter. När mer information han­ 2007 om kommissionens meddelande till Europaparlamentet och teras behövs också ett bättre skydd. Ett informationssam­ rådet om uppföljningen av arbetsprogrammet för ett bättre genom­ hälle där ett överflöd av information om alla behandlas förande av dataskyddsdirektivet, punkt 17, som bygger på rätts­ behöver bygga på begreppet med den enskildas kontroll, praxis från Europadomstolen och EG-domstolen. så att han eller hon kan agera som enskild och använda ( 17 ) Se fotnot 7. 22.6.2011 Europeiska SV unionens officiella tidning C 181/5 dataskyddsområdets olika aktörer, framför allt registrerade — I meddelandet anges helt korrekt att de rättsliga in­ personer, registeransvariga och de övervakande myndighe­ strument för dataskydd som för närvarande är tillämp­ terna själva. liga på polisiära och rättsliga myndigheter (rambeslut 2008/977/RIF ( 21 )) är otillräckliga.

32. Intressenterna förefaller ha en bred samsyn om att star­ kare lagstiftningslösningar – som tar hänsyn till teknisk utveckling och globalisering – är nyckeln till ett ambitiöst — Flertalet medlemsstater har införlivat direktiv och effektivt dataskydd även i framtiden. Såsom redan 95/46/EG och konvention 108 i sin nationella lag­ angivits i punkt 7 är detta datatillsynsmannens kriterier stiftning och därmed gjort dem tillämpliga för de po­ för bedömning av alla föreslagna lösningar. lisiära och rättsliga myndigheterna. 3.2.5 A l l s i d i g h e t s o m e n n ö d v ä n d i g f ö r ­ u t s ä t t n i n g 36. Att låta polis och rättsliga myndigheter omfattas av det allmänna rättsliga instrumentet skulle inte bara innebära 33. Såsom erinras om i meddelandet gäller direktiv 95/46/EG större garantier för medborgarna utan också göra polis­ all verksamhet rörande behandling av personuppgifter i myndigheternas uppgift enklare. Att behöva tillämpa olika medlemsstaterna inom både offentlig och privat sektor, uppsättningar regler är besvärligt, onödigt tidsödande och med undantag för åtgärder som inte omfattas av tidigare hindrar internationellt samarbete (se vidare kapitel 9 i gemenskapslagstiftning ( 18 ). Detta undantag behövdes en­ yttrandet). Detta talar också för att även behandling vid ligt det tidigare fördraget men är inte längre nödvändigt nationella säkerhetstjänster bör ingå, under förutsättning efter att Lissabonfördraget trätt i kraft. Dessutom strider att det är möjligt enligt nuvarande EU-lagstiftning. undantaget mot – texten och i vilket fall som helst andan i – artikel 16 i fördraget om Europeiska unionens funk­ tionssätt. 3.2.6 T e k n i s k n e u t r a l i t e t

34. Enligt datatillsynsmannen måste ett omfattande lagstift­ 37. Tiden sedan direktiv 95/46/EG antogs 1995 kan beskrivas ningsinstrument för dataskydd inbegripet polisiärt och som tekniskt turbulent. Den tekniska utvecklingen går rättsligt samarbete i brottmål ses som en av de viktigaste framåt och nya hjälpmedel införs hela tiden. I många förbättringar som en ny rättslig ram kan åstadkomma. Det fall har detta lett till grundläggande förändringar av hur är en nödvändig förutsättning för ett effektivt dataskydd i enskildas personuppgifter hanteras. Informationssamhället framtiden. kan inte längre betraktas som en parallell miljö där en­ skilda frivilligt kan delta utan har blivit en integrerad del 35. Datatillsynsmannen betonar följande argument som stöd av vårt dagliga liv. Bara som ett exempel upprättar saker­ för detta uttalande: nas Internet ( 22 ) förbindelser mellan fysiska objekt och information på nätet som handlar om dem. — Distinktionen mellan åtgärder inom den privata sek­ torn och sektorn för brottsbekämpning är oklar. En­ heter inom den privata sektorn kan behandla uppgifter 38. Tekniken kommer att utvecklas ytterligare. Detta får kon­ som sedan används brottsförebyggande (exempelvis: sekvenser för den nya rättsliga ramen. Den måste fungera passageraruppgifter ( 19 )), medan de i andra fall måste under ett stort antal år, och samtidigt inte hindra ytterli­ behålla uppgifterna i brottsförebyggande syfte (exem­ gare teknisk utveckling. Det kräver tekniskt neutrala lags­ pelvis: direktivet om lagring av uppgifter ( 20 )). tiftningslösningar. Ramen måste emellertid också skapa större rättssäkerhet för företag och enskilda. De måste förstå vad som förväntas av dem och kunna utöva sina — Det finns ingen grundläggande skillnad mellan poli­ rättigheter. Lagstiftningslösningarna måste därför vara ex­ siära och rättsliga myndigheter och andra brotts­ akta. bekämpande myndigheter (skattemyndigheter, tull, be­ drägeribekämpning, immigrationsmyndigheter) när det gäller direktiv 95/46/EG.

39. Enligt datatillsynsmannen måste ett allmänt instrument ( 18 ) Detta yttrande kommer huvudsakligen att inriktas på den tidigare för skydd av uppgifter så långt det är möjligt utformas C 181/6 SV Europeiska unionens officiella tidning 22.6.2011 ska införas utöver befintliga principer för dataskydd, något 45. Europeiska datatillsynsmannen föredrar absolut att be­ som skulle kunna få särskild betydelse i en snabbt för­ handling på EU-nivå ska ingå i den allmänna rättsliga änderlig elektronisk miljö (se huvudsakligen kapitel 6 ramen. Han erinrar om att detta var den ursprungliga och 7). avsikten i den tidigare artikel 286 EG där dataskydd för första gången nämndes i fördraget. Artikel 286 EG inne­ bar helt enkelt att rättsliga instrument för behandling av personuppgifter även skulle gälla för institutionerna. Vad 3.2.7 L å n g s i k t i g t : R ä t t s s ä k e r h e t u n d e r som är ännu viktigare är att en lagtext innebär att risken l ä n g r e t i d för bristande överensstämmelse mellan bestämmelser und­ viks och den skulle vara bäst lämpad för utbyte av upp­ 40. Direktiv 95/46/EG har varit det huvudsakliga dokumentet gifter mellan EU och offentliga och privata enheter i med­ när det gäller dataskydd inom EU under de senaste 15 lemsstaterna. Det skulle också innebära att man undviker åren. Det införlivades i medlemsstaternas lagstiftning och risken att det efter ändring av direktiv 95/46/EG inte tillämpades av olika aktörer. Under åren har man utnyttjat längre finns något politiskt intresse av att ändra förord­ praktiska erfarenheter och ytterligare rådgivning från kom­ ning (EG) nr 45/2001 eller ge denna ändring tillräcklig missionen, dataskyddsmyndigheter (på nationell nivå och prioritet för att undvika bristande överensstämmelse när inom ramen för artikel 29-arbetsgruppen) samt nationella det gäller datum för ikraftträdande. och europeiska domstolar.

46. Datatillsynsmannen vädjar till kommissionen – i det fall 41. Det är bra att betona att denna utveckling kräver tid och – den skulle dra slutsatsen att det inte skulle vara möjligt att särskilt eftersom vi har att göra med en allmän ram som införliva behandling på EU-nivå i det allmänna rättsliga påverkar en grundläggande rättighet – att denna tid be­ instrumentet – att föreslå en anpassning av förordning hövs för att skapa rättssäkerhet och stabilitet. Ett nytt (EG) nr 45/2001 (inte ”bedöma behovet”) så snart som allmänt rättsligt instrument behöver utarbetas med ambi­ möjligt och helst före slutet av 2011. tionen att det ska kunna skapa rättssäkerhet och stabilitet under en längre period, och med tanke på att det är mycket svårt att förutsäga hur teknik och globalisering kommer att utvecklas ytterligare. I vilket fall som helst 47. Det är lika viktigt att kommissionen ser till att andra stöder datatillsynsmannen målet att skapa rättssäkerhet områden inte hamnar på efterkälken, framför allt följande: under en längre tid, jämfört med perspektivet i direktiv 95/46/EG. När tekniken utvecklas snabbt måste lagen vara stabil. — Dataskydd i den gemensamma utrikes- och säkerhets­ politiken, på grundval av artikel 39 i fördraget om Europeiska unionens funktionssätt ( 24 ). 3.2.8 K o r t s i k t i g t : B ä t t r e u t n y t t j a n d e a v b e f i n t l i g a i n s t r u m e n t

42. På kort sikt är det avgörande att befintliga lagstiftnings­ — Sektorspecifika system för dataskydd för EU:s organ, lösningar är effektiva, i första hand genom att koncent­ exempelvis Europol, Eurojust och för storskaliga infor­ reras på verkställighet, på nationell nivå och EU-nivå (se mationssystem, i den mån de behöver anpassas till det kapitel 11 i detta yttrande). nya rättsliga instrumentet.

43. Datatillsynsmannen stöder helt det samlade greppet på skyddet av uppgifter som inte bara är titeln utan också utgångspunkten för meddelandet och nödvändigtvis inne­ 48. Avslutningsvis kan och sannolikt bör ett allmänt rättsligt fattar en utvidgning av de allmänna reglerna för dataskydd instrument för dataskydd kompletteras med ytterligare till polissamarbete och straffrättsligt samarbete ( 23 ). sektorsvisa och specifika förordningar, exempelvis för po­ lissamarbete och rättsligt samarbete, men även inom an­ dra områden ( 25 ). Vid behov och för att vara förenliga

44. Datatillsynsmannen noterar emellertid också att kommis­ med subsidiaritetsprincipen bör dessa ytterligare förord­ sionen inte har för avsikt att ta med all behandling av ningar antas på EU-nivå. Medlemsstaterna kan utarbeta uppgifter i detta allmänna rättsliga instrument. Behandling ytterligare regler inom särskilda områden när detta är av uppgifter inom EU:s institutioner, organ, kontor och befogat (se 5.2). byråer kommer framför allt inte att omfattas. Kommissio­ nen slår endast fast att den ”kommer att bedöma behovet ( 24 ) Se även Europeiska datatillsynsmannens yttrande av den 22.6.2011 Europeiska SV unionens officiella tidning C 181/7

5. Ytterligare harmonisering och förenkling skäl 9 i direktivet bekräftas uttryckligen att medlemssta­ terna har fått ett visst manöverutrymme och att skillnader 5.1 Behovet av harmonisering inom denna marginal kan uppstå vid direktivets inför­ livande. Flera bestämmelser har införlivats på olika sätt 49. Harmonisering är av största betydelse för EU:s lagstiftning av medlemsstaterna, inbegripet några avgörande bestäm­ om dataskydd. I meddelandet betonas med rätta att data­ melser ( 28 ). Situationen är inte tillfredsställande och större skydd har en stark koppling till den inre marknaden efter­ enhetlighet borde eftersträvas. som det måste säkra fritt flöde av personuppgifter mellan medlemsstaterna på den inre marknaden. Harmoniserings­ nivån enligt det nuvarande direktivet har emellertid be­ dömts som allt annat än tillfredsställande. I meddelandet erkänns att detta är ett av de vanligaste återkommande orosmomenten bland intressenter. Intressenterna betonar 53. Det innebär inte att mångfald bör uteslutas utan vidare. framför allt behovet av att förbättra rättssäkerheten, Inom vissa områden kan flexibilitet behövas för att behålla minska den administrativa bördan och se till att de ekono­ motiverade särdrag, viktiga offentliga intressen eller insti­ miska aktörerna har samma villkor. Såsom kommissionen tutionell självständighet i medlemsstaterna. Enligt datatill­ med rätta noterar gäller detta särskilt för registeransvariga synsmannen bör utrymmet för skillnader mellan med­ som är etablerade i flera medlemsstater och som måste lemsstaterna framför allt begränsas till följande specifika uppfylla (sannolikt olika) krav i nationell lagstiftning om situationer: dataskydd ( 26 ). — Yttrandefrihet: Enligt den nuvarande ramen (artikel 9) 50. Harmonisering är inte enbart viktigt för den inre mark­ kan medlemsstaterna bevilja undantag och avvikelser naden utan även för att säkra lämpligt dataskydd. Enligt när det gäller behandling av uppgifter i journalistiskt artikel 16 i fördraget om Europeiska unionens funktions­ syfte eller i konstnärliga eller litterära sammanhang. sätt har ”alla” rätt till skydd av personuppgifter som gäller Denna flexibilitet förefaller väl lämpad, naturligtvis dem. För att denna rättighet verkligen ska respekteras med förbehåll för gränser i stadgan och den europe­ måste samma skyddsnivå garanteras i hela EU. I arbets­ iska konventionen om skydd för de mänskliga rättig­ gruppens dokument om integritetens framtid betonades heterna och de grundläggande friheterna, med tanke att flera bestämmelser om de registrerades ställning inte på olika traditioner och kulturella skillnader som kan har införlivats eller tolkats enhetligt i alla medlemssta­ finnas inom detta område i de olika medlemsstaterna. ter ( 27 ). I en globaliserad och sammanlänkad värld kan Det skulle emellertid inte hindra att nuvarande dessa skillnader underminera eller begränsa enskildas artikel 9 uppdateras mot bakgrund av Internets ut­ skydd. veckling.

51. Datatillsynsmannen anser att ytterligare och bättre harmo­ nisering är en av huvudmålsättningarna med översynsför­ — Särskilda offentliga intressen: Enligt den nuvarande ra­ farandet. Han välkomnar kommissionens avsikt att men (artikel 13) kan medlemsstaterna anta lagstift­ granska möjligheterna att uppnå ytterligare harmonisering ningsåtgärder för att begränsa omfattningen av skyl­ av dataskydd på EU-nivå. Han noterar dock med viss digheter och rättigheter när en sådan begränsning ut­ förvåning att meddelandet på detta stadium inte innehåller gör en nödvändig åtgärd för att skydda viktiga offent­ några konkreta förslag. Han anger därför själv ett antal liga intressen såsom nationell säkerhet, försvar, offent­ områden där det snarast krävs större enhetlighet (se 5.3). lig säkerhet, etc. En sådan behörighet för medlemssta­ Ytterligare harmonisering inom dessa områden bör inte terna är fortfarande motiverad. När så är möjligt bör enbart uppnås genom att manöverutrymmet för nationell emellertid tolkningen av undantagen harmoniseras yt­ lag minskas utan även förebygga felaktigt införlivande i terligare (se avsnitt 9.1). Dessutom förefaller den nu­ medlemsstaterna (se även kapitel 11) och säkra ett mer varande omfattningen av undantag från artikel 6.1 enhetligt och samordnat verkställande (se även kapitel 10). onödigt omfattande. 5.2 Minskning av manöverutrymmet vid direktivets inför­ — Rättsmedel, sanktioner och administrativa förfaranden: livande Ett europeiskt ramverk skulle fastställa huvudvillkoren, men enligt EU-lagstiftningens nuvarande utformning 52. Direktivet innehåller ett antal brett utformade bestämmel­ måste fastställande av sanktioner, rättsmedel, förfaran­ ser som lämnar stort utrymme för olika införlivanden. I deregler och villkoren för inspektioner som är tillämp­ liga på nationell nivå ligga hos medlemsstaterna. ( 26 ) Meddelandet s. 10. ( 27 ) Se arbetsgruppens dokument om integritetens framtid (fotnot 7), punkt 70. Dokumenten hänvisar framför allt till bestämmelser om ( 28 ) Vissa motstridiga synsätt föreligger också när det gäller manuella C 181/8 SV Europeiska unionens officiella tidning 22.6.2011 5.3 Områden som kan harmoniseras ytterligare 58. Internationella överföringar (artiklarna 25–26). Detta är ett område som har gett upphov till omfattande kritik på 54. Definitioner (artikel 2 i direktiv 95/46/EG). Definitionerna grund av bristen på enhetlig praxis i hela EU. Intressenter är rättssystemets hörnsten och bör tolkas enhetligt i alla kritiserade att kommissionens beslut om lämplighet tolkas medlemsstater, utan någon marginal när det gäller inför­ och införlivas mycket olika av medlemsstaterna. Bindande livande. Skillnader har uppstått inom den nuvarande ra­ regler för företag är ett annat område där datatillsynsman­ men, exempelvis när det gäller begreppet registeransva­ nen rekommenderar ytterligare harmonisering (se rig ( 29 ). Datatillsynsmannen föreslår att ytterligare punkter kapitel 9). ska läggas till den nuvarande förteckningen i artikel 2 för att åstadkomma större rättssäkerhet, exempelvis anonyma uppgifter, pseudonymförsedda uppgifter, rättsliga uppgif­ ter, överföring av uppgifter och uppgiftsskyddsombud. 59. Nationella dataskyddsmyndigheter (artikel 28). Nationella da­ taskyddsmyndigheter omfattas av högst olika regler i de 27 medlemsstaterna, särskilt när det gäller deras ställning, resurser och befogenheter. Artikel 28 har delvis bidragit 55. Bestämmelser om när uppgifter får behandlas (artikel 5). Det till denna skillnad på grund av bristande precision ( 32 ) och nya rättsliga instrumentet bör vara så exakt som möjligt bör därför specificeras ytterligare, i enlighet med EG-dom­ när det gäller huvudbeståndsdelarna för att fastställa när stolens dom i mål C-518/07 ( 33 ) (se närmare kapitel 10). uppgifter får behandlas. Artikel 5 i direktivet (liksom skäl 9) som ger medlemsstaterna rätt att mer exakt fastställa villkoren för hur uppgifter får behandlas, kanske därför inte kommer att behövas i en framtida ram. 5.4 Förenkling av anmälningssystemet

60. Kraven på anmälan (artiklarna 18–21 i direktiv 95/46/EG) är ett annat område där medlemsstaterna hittills har haft 56. Grunder för behandling av uppgifter (artikel 7 och 8). Att stor frihet. I meddelandet erkänns med rätta att ett har­ fastställa villkoren för behandling av uppgifter är en moniserat system skulle minska kostnaderna liksom den grundläggande beståndsdel i all lagstiftning om dataskydd. administrativa bördan för registeransvariga ( 34 ). Medlemsstaterna ska inte ha rätt att införa ytterligare eller ändrade grunder för behandling eller utesluta några. Möj­ ligheten till undantag bör uteslutas eller begränsas (särskilt när det gäller känsliga uppgifter ( 30 )). I ett nytt rättsligt instrument bör grunderna för hantering av uppgifter for­ 61. Detta är ett område där förenkling bör vara huvudmålsätt­ muleras tydligt och på så sätt minska marginalen för ningen. Översynen av ramen för uppgiftsskydd är en unik bedömning vid införlivande eller verkställande. Begreppet möjlighet att ytterligare förenkla och/eller minska omfatt­ samtycke kan framför allt behöva specificeras ytterligare ningen av de nuvarande kraven på anmälan. I meddelan­ (se avsnitt 6.5). Grunderna baserade på berättigade intres­ det erkänns också att det finns en allmän samsyn bland sen för den registeransvariga (artikel 7 f), ger dessutom intressenterna om att det nuvarande systemet för anmälan utrymme för högst olika tolkningar på grund av sin flex­ är relativt besvärligt och i sig självt inte tillför något mer­ ibla utformning. Det behövs därför ytterligare specifice­ värde när det gäller skydd av enskildas personuppgif­ ring. En annan bestämmelse som sannolikt behöver spe­ ter ( 35 ). Europeiska datatillsynsmannen välkomnar därför cificeras är artikel 8.2 b, som tillåter behandling av käns­ kommissionens satsning på att undersöka olika möjlighe­ liga uppgifter som är nödvändiga för att fullgöra de skyl­ ter att förenkla det nuvarande anmälningssystemet. digheter och särskilda rättigheter som åligger den register­ ansvarige inom arbetsrätten ( 31 ).

62. Enligt datatillsynsmannen borde utgångspunkten för denna förenkling vara en övergång från ett system där 57. Rättigheter för registrerade personer (artiklarna 10–15). Detta anmälan är regel, om den inte tillhandahålls på annat är ett av de områden där inte alla delar av direktivet har sätt (dvs. ”undantagssystem”), till ett mer inriktat system. införlivats och tolkats konsekvent av medlemsstaterna. Undantagssystemet har visat sig ineffektivt eftersom det Rättigheter för registrerade är en viktig del av ett effektivt genomfördes på ett inkonsekvent sätt i medlemssta­ dataskydd. Manöverutrymmet bör därför minskas avse­ 36 ). Europeiska datatillsynsmannen föreslår att föl terna ( ­ värt. Datatillsynsmannen rekommenderar att information jande alternativ ska övervägas: som lämnas till registrerade personer bör vara enhetlig inom hela EU. ( 32 ) Arbetsgruppens dokument om Integritetens framtid, punkt 87. ( 33 ) Mål C-518/07, Kommissionen mot Tyskland, ännu ej offentliggjord i ( 29 ) Se artikel 29-arbetsgruppens yttrande 1/2010 om begreppen ”regis­ rättsfallssamlingen. teransvarig” och ”registerförare” (arbetsgruppen 169). ( 34 ) Se fotnot 26. ( 30 ) Artikel 8.4 och 8.5 tillåter för närvarande medlemsstaterna att ( 35 ) Se fotnot 26. enligt vissa villkor medge ytterligare undantag för känsliga uppgif­ ( 36 ) Artikel 29-arbetsgruppens rapport om skyldigheten med anmälan ter. till de nationella tillsynsmyndigheterna, den bästa användningen av ( 31 ) Se i detta hänseende kommissionens första rapport om införlivan­ undantag och förenklingar och rollen för uppgiftsskyddsombud det av dataskyddsdirektivet som citeras ovan, s. 14. inom Europeiska unionen, WP 106, 2005, s. 7. 22.6.2011 Europeiska SV unionens officiella tidning C 181/9 — Begränsa anmälningsskyldigheten till specifika slag av 67. Valet av en förordning som ett allmänt instrument gör det behandlingar som innebär specifika risker (dessa an­ möjligt att vid behov inrätta bestämmelser som är direkt mälningar kan medföra ytterligare steg såsom tidigare riktade till medlemsstater där flexibilitet krävs. Det påver­ undersökning av behandlingen). kar inte heller medlemsstaternas behörighet att vid behov anta ytterligare regler för dataskydd, i enlighet med EU:s lagstiftning. — En enkel registreringsskyldighet som innebär att regis­ teransvariga måste registrera sig (i motsats till omfat­ tande registrering av alla åtgärder inom behandling av 6. Stärka enskildas rättigheter uppgifter). 6.1 Behovet av att stärka rättigheter En standardiserad alleuropeisk anmälningsblankett skulle 68. Datatillsynsmannen stöder helt meddelandets förslag att dessutom kunna införas för att åstadkomma harmonise­ stärka enskildas rättigheter eftersom befintliga rättsliga in­ rade synsätt när det gäller den information som begärs. strument inte fullt ut ger det effektiva skydd som behövs i en allt mer komplex och digitaliserad värld.

63. Översynen av det nuvarande systemet för anmälan bör inte påverka förbättringen av skyldigheten till kontroll i förväg för vissa skyldigheter när det gäller behandling som 69. Å ena sidan innebär utvecklingen av en digitaliserad värld kan innebära specifika risker (exempelvis storskaliga infor­ en stark ökning av insamling, användning och ytterligare mationssystem). Datatillsynsmannen skulle förorda att en överföring av personuppgifter på ett extremt komplext ofullständig förteckning över fall där sådan kontroll i för­ och icke öppet sätt. Enskilda är ofta inte medvetna om väg krävs införs i det nya rättsliga instrumentet. Förord­ eller förstår inte hur detta sker, vem som samlar in deras ning (EG) nr 45/2001 om skydd för enskilda då gemen­ uppgifter eller hur de kan utöva kontroll. En illustration skapsinstitutionerna och gemenskapsorganen behandlar av denna företeelse är annonsnätverksleverantörers över­ personuppgifter och om den fria rörligheten för sådana vakning av enskildas webbläsningsaktiviteter med hjälp av uppgifter innehåller en användbar modell för detta ( 37 ). cookies eller liknande hjälpmedel, i syfte att inrikta rekla­ men på vissa målgrupper. När användarna besöker webbplatser förväntar de sig inte att en osynlig tredje 5.5 En förordning, inte ett direktiv part registrerar sådana besök och skapar användarregister, baserade på information som avslöjar deras livsstil eller 64. Avslutningsvis anser datatillsynsmannen att processen vad de tycker om eller inte tycker om. med översyn också är ett tillfälle att överväga vilken typ av rättsligt instrument som lämpar sig för uppgiftsskydd. En förordning, ett enda instrument som är direkt tillämp­ ligt i medlemsstaterna är det mest effektiva sättet att 70. Å andra sidan stimulerar utvecklingen enskilda personer skydda de grundläggande rättigheterna till skydd av upp­ som aktivt delar med sig av sin personliga information, gifter och skapa en verklig inre marknad där personupp­ exempelvis på sociala nätverk. Unga människor ingår i allt gifter kan överföras fritt och där skyddsnivån är den­ större utsträckning i ett socialt nätverk och samverkar samma oavsett land eller sektor där uppgifterna behandlas. med likasinnade. Det är tveksamt om (unga) människor är medvetna om i vilken omfattning informationen sprids och om de långsiktiga effekterna av deras åtgärder. 65. En förordning skulle minska utrymmet för motstridiga tolkningar och för omotiverade skillnader när lagen ska införas och tillämpas. Det skulle också minska betydelsen 6.2 Öka insynen av att fastställa vilken lag som är tillämplig på behandling av åtgärder inom EU, vilket är en av de mest kontrover­ 71. Öppenhet är av stor betydelse i alla system för uppgifts­ siella aspekterna av det nuvarande systemet (se kapitel 9). skydd, inte enbart på grund av det inneboende värdet utan också för att det gör det möjligt att tillämpa andra prin­ ciper för uppgiftsskydd. Det är först när de enskilda kän­ 66. Inom området dataskydd är en förordning desto mer mo­ ner till hur uppgifterna behandlas som de kan utöva sina tiverad eftersom rättigheter. — artikel 16 i fördraget om Europeiska unionens funk­ tionssätt innehåller en uppgradering av rätten till 72. Flera bestämmelser i direktiv 95/46/EG handlar om öp­ skydd av personuppgifter till fördragsnivå och förbere­ penhet. Artikel 10 och 11 innehåller en skyldighet att der för – eller till och med förordar – en enhetlig informera enskilda om insamling av deras personuppgif­ skyddsnivå för enskilda i hela EU, ter. I artikel 12 erkänns dessutom rätten att erhålla en kopia av de egna personuppgifterna i en begriplig form (rätt till tillträde). I artikel 15 erkänns rätten att ha tillträde — behandling av uppgifter sker i en elektronisk miljö där till den logik där automatiska beslut som ger rättsliga de inre gränserna mellan medlemsländerna har blivit effekter fattas. Sist men inte minst innehåller mindre viktiga. artikel 6.1 a, där det krävs att hanteringen också ska vara rättvis, ett krav på öppenhet. Personuppgifter kan ( 37 ) Se artikel 27 i förordningen, (EGT L 8, 12.1.2001, s. 1). inte behandlas av dolda eller hemliga skäl. C 181/10 SV Europeiska unionens officiella tidning 22.6.2011

73. I meddelandet föreslås att en allmän princip om öppenhet heten. Skälen som motiverar skyldigheten gäller fullt ut ska läggas till. Som en reaktion på detta förslag betonar för andra registeransvariga än tjänsteleverantörer inom datatillsynsmannen att begreppet öppenhet också är en elektronisk kommunikation. fullständig del av den nuvarande rättsliga ramen om upp­ giftsskydd, om än på ett implicit sätt. Denna slutsats kan dras från de olika bestämmelserna om öppenhet vilket också nämns i föregående stycke. Enligt datatillsynsman­ nen kunde det ha tillfört värde att ta med en explicit 76. Anmälan om säkerhetsöverträdelser har olika syften och princip om öppenhet, eventuellt kopplad till den befintliga mål. Det mest uppenbara som också betonas av kommis­ bestämmelsen om rättvis behandling. Det skulle öka rätts­ sionen är att fungera som ett informationsverktyg för att säkerheten och även bekräfta att en registeransvarig under göra enskilda medvetna om riskerna de löper när deras alla förhållanden bör hantera personuppgifter på ett öppet personuppgifter äventyras. Det hjälper dem att vidta nöd­ sätt, inte bara på begäran eller när en särskild rättslig vändiga åtgärder för att mildra dessa risker. När enskilda bestämmelse kräver att så sker. varnas om överträdelser som påverkar deras finansiella information kan de exempelvis ändra sina lösenord eller säga upp sina konton. Anmälan om säkerhetsöverträdelse bidrar också till en effektiv tillämpning av andra principer och skyldigheter i direktivet. Krav när det gäller anmälan 74. Det är emellertid kanske viktigare att förstärka befintliga om säkerhetsöverträdelser sporrar exempelvis register­ bestämmelser om öppenhet, exempelvis de befintliga ar­ ansvariga att införa omfattande säkerhetsåtgärder för att tiklarna 10 och 11 i direktiv 95/46/EG. Där anges vilken förebygga överträdelser. Säkerhetsöverträdelser är också information som måste tillhandahållas, utan att de exakta ett verktyg för att stärka ansvaret för registeransvariga villkoren anges. Mer konkret föreslår datatillsynsmannen och i ännu större utsträckning att öka ansvarigheten (se att befintliga bestämmelser ska stärkas enligt följande: kapitel 7). Avslutningsvis fungerar det som ett verktyg för dataskyddsmyndigheters verkställande. En anmälan om överträdelse till dataskyddsmyndigheter kan leda till att en registeransvarigs hela verksamhet undersöks. — Krav för en registeransvarig att tillhandahålla infor­ mation om behandling av uppgifter på ett sätt som är lättillgängligt och lätt att förstå, på ett tydligt och lättfattligt språk ( 38 ). Informationen ska vara tydlig, 77. De särskilda reglerna om säkerhetsöverträdelser i det änd­ synlig och framträdande. Bestämmelsen kan också in­ rade direktivet om integritet och elektronisk kommunika­ nefatta skyldigheten att se till att informationen är lätt tion diskuterades omfattande under den parlamentariska att förstå. Denna skyldighet skulle innebära att integ­ fasen av lagstiftningsramen som föregick antagandet av ritetspolicyer som är dunkla eller svårförståeliga blir direktivet. I denna debatt beaktades uppfattningarna från olagliga. artikel 29-arbetsgruppen och från datatillsynsmannen till­ sammans med synpunkter från andra intressenter. Reg­ lerna återspeglar olika intressenters synpunkter. De utgör en balans av intressen: samtidigt som kriterierna för skyl­ digheten att anmäla i princip är lämpliga för att skydda — Ett krav på att lämna informationen enkelt och direkt enskilda gör de det utan att ställa alltför besvärliga och till de personer som berörs av uppgifterna. Informatio­ oanvändbara krav. nen ska också alltid vara tillgänglig och inte försvinna från ett elektroniskt medium efter kort tid. Detta skulle hjälpa användarna att lagra och reproducera informationen i framtiden och möjliggöra ytterligare tillgång. 6.4 Förstärkt samtycke

78. I artikel 7 i direktivet om uppgiftsskydd anges sex rättsliga grunder för att hantera personuppgifter. Samtycke från 6.3 Stöd till en skyldighet att rapportera säkerhetsöverträdelser den enskilda är en av dem. En registeransvarig har rätt att behandla personuppgifter i den utsträckning som en­ 75. Datatillsynsmannen stöder införandet i det allmänna in­ skilda har lämnat ett informerat medgivande till att få sina strumentet av en bestämmelse om anmälan av överträ­ uppgifter insamlade och ytterligare behandlade. delse när det gäller personuppgifter, vilket utvidgar skyl­ digheten som införlivades i det reviderade direktivet om integritet och elektronisk kommunikation för vissa leve­ rantörer till alla registeransvariga, enligt förslaget i med­ delandet. Enligt det reviderade direktivet om integritet och 79. I praktiken har användare ofta begränsad kontroll över elektronisk kommunikation gäller skyldigheten enbart sina uppgifter, särskilt i tekniska miljöer. En metod som tjänsteleverantörer inom elektronisk kommunikation (le­ ibland används är underförstått samtycke, vilket innebär verantörer av telefoni [inbegripet VoIP] och Internetleve­ att samtycke har antytts. Man kan dra den slutsatsen från rantörer). Andra registeransvariga omfattas inte av skyldig­ en handling som den enskilda har utfört (exempelvis be­ traktas en handling som består i att använda en webbplats ( 38 ) Se meddelandet, s. 6. som samtycke till att registrera användaruppgifter för 22.6.2011 Europeiska SV unionens officiella tidning C 181/11 marknadsföringssyfte). Det kan också underförstås genom den registeransvariga att radera information så snart den tystnad eller overksamhet (att inte kryssa av en ifylld ruta inte längre är nödvändig för behandlingen. betraktas som samtycke).

84. Dessa två nya begrepp har huvudsakligen tillfört värde i 80. För att samtycket ska vara giltigt måste det enligt direkti­ informationssamhället där fler och fler uppgifter lagras vet vara informerat, frivilligt lämnat och specifikt. Det automatiskt och behålls under obestämd tid. Det har i måste vara en informerad indikation på den enskildas praktiken visat sig att även om uppgifterna laddas upp önskemål genom vilket han ger sitt samtycke till att per­ av den registrerade personen själv är den personens fak­ sonuppgifter som gäller honom får behandlas. Sättet som tiska kontroll över sina personuppgifter mycket begrän­ samtycket lämnas på måste vara otvetydigt. sad. Det är desto mer sant mot bakgrund av det gigantiska minne som Internet i dag utgör. Ur ett ekonomiskt per­ spektiv är det dessutom dyrare för den registeransvariga 81. Samtycke som har antytts genom en handling och fram­ att radera uppgifter än att fortsätta att lagra dem. Enskil­ för allt genom tystnad eller overksamhet är ofta inte ett das utövande av sina rättigheter strider därför mot den otvetydigt samtycke. Det är emellertid inte alltid tydligt naturliga ekonomiska trenden. vad som utgör ett verkligt otvetydigt samtycke. Vissa re­ gisteransvariga utnyttjar denna osäkerhet genom att förlita sig på metoder som inte är lämpliga för att lämna ett verkligt otvetydigt samtycke. 85. Både uppgifters portabilitet och rätten till radering kan bidra till att ändra balansen till förmån för registrerade personer. Målsättningen för uppgifters portabilitet skulle 82. Mot bakgrund av ovanstående stöder datatillsynsmannen vara att ge den enskilda större kontroll över informatio­ kommissionens uppfattning att gränserna för samtycke nen, medan rätten till radering skulle trygga att infor­ behöver klargöras och att man behöver se till att endast mationen automatiskt försvinner efter en viss tidsperiod, samtycke som förklaras på ett omsorgsfullt sätt betraktas även om den registrerade personen inte vidtar någon åt­ som sådant. Datatillsynsmannen föreslår därför följande gärd eller ens är medveten om att uppgifterna överhuvud­ åtgärder ( 39 ): taget lagrades. — Man skulle kunna överväga att bredda de situationer 86. Mer specifikt innebär uppgifters portabilitet en möjlighet där uttryckligt samtycke krävs, vilket för närvarande är för användaren att ändra preferens när det gäller behand­ begränsat till känsliga uppgifter. ling av deras uppgifter, framför allt i anslutning till tjäns­ ter inom ny teknik. Detta gäller i allt större utsträckning tjänster som medför lagring av information, inbegripet — Anta ytterligare regler för samtycke på nätet. personuppgifter, såsom mobiltelefoni och tjänster som lagrar bilder, e-post och annan information, och som ibland använder datormoln. — Anta ytterligare regler för samtycke till att behandla uppgifter för underordnade syften (dvs. behandlingen är underordnad huvudbehandlingen eller är inte en 87. Enskilda personer måste enkelt och fritt kunna byta leve­ uppenbar sådan). rantör och överföra sina personuppgifter till en annan tjänsteleverantör. Datatillsynsmannen anser att de nuva­ rande rättigheter som anges i direktiv 95/46/EG kan för­ — I ett ytterligare lagstiftningsinstrument oavsett om det stärkas genom en rätt till portabilitet särskilt rörande in­ antas av kommissionen enligt artikel 290 i fördraget formationssamhällets tjänster, för att bistå enskilda när det om Europeiska unionens funktionssätt fastställs den gäller att trygga att leverantörer och andra relevanta regis­ typ av samtycke som krävs, exempelvis för att speci­ teransvariga ger dem tillgång till deras personliga uppgifter ficera nivån av samtycke när det gäller behandling av samtidigt som det säkras att de tidigare leverantörerna uppgifter från RFID-taggar på konsumentprodukter el­ eller andra registeransvariga raderar den informationen, ler annan specifik teknik. även om de skulle vilja behålla den för egna berättigade syften. 6.5 Portabilitet av uppgifter och rätt till radering

83. Portabilitet av uppgifter och rätt till radering är två sam­ 88. En nyligen kodifierad ”rätt till radering” skulle trygga ra­ manhängande begrepp som läggs fram i meddelandet för dering av personuppgifter eller förbud mot att använda att stärka registrerade personers rättigheter. De komplet­ dem ytterligare utan att den registrerade personen ska vara terar de principer som redan nämnts i direktivet, och ger tvungen vidta åtgärder, men under förutsättning att dessa registrerade personer rätt att motsätta sig ytterligare be­ uppgifter redan har lagrats för en viss tid. Uppgifterna handling av sina personuppgifter, och en skyldighet för skulle med andra ord förses med något slags utgångs­ datum. Principen har redan bekräftats i nationella dom­ ( 39 ) Artikel 29-arbetsgruppen arbetar för närvarande med ett yttrande stolsfall eller tillämpats inom specifika sektorer, exempel­ om ”samtycke”. Detta yttrande kan leda till ytterligare förslag. vis polisakter, brottsregister eller disciplinära akter: enligt C 181/12 SV Europeiska unionens officiella tidning 22.6.2011 viss nationell lagstiftning ska information om enskilda som barn, hanteras dessa frågor i nationell lagstiftning, automatiskt raderas eller inte användas eller spridas ytter­ vilket skiljer sig från medlemsstat till medlemsstat ( 40 ). ligare, särskilt efter en fastställd tidsperiod, utan att detta först behöver analyseras från fall till fall. — Hur barn eller deras juridiska företrädare kan utöva sina rättigheter enligt direktivet.

89. I den meningen borde en ny ”rätt till radering” kombine­ ras med portabilitet av uppgifter. Det mervärde detta 93. Datatillsynsmannen anser att barns särskilda intressen skulle tillföra är att den registrerade personen inte skulle bättre skulle skyddas om det nya rättsliga instrumentet behöva anstränga sig eller yrka på att uppgifterna ska innehöll ytterligare bestämmelser, som särskilt gäller in­ raderas, eftersom detta skulle ske objektivt och auto­ samling och ytterligare behandling av barns uppgifter. matiskt. Endast under mycket specifika omständigheter, Dessa specifika bestämmelser skulle också bidra till rätts­ när det kan fastställas att det finns ett specifikt behov säkerheten inom detta specifika område och de skulle av att behålla uppgifterna under längre tid, kan en regi­ gynna registeransvariga som för närvarande utsätts för streringsansvarig få rätt att behålla uppgifterna. Denna olika rättsliga krav. ”rätt till radering” skulle därmed överföra bevisbördan från den enskilda till den registeransvariga och utgöra en ”förvald inställning för sekretess” vid behandling av 94. Datatillsynsmannen föreslår att följande bestämmelser in­ personuppgifter. förs i det rättsliga instrumentet: — Ett krav på att information ska anpassas till barn i den 90. Datatillsynsmannen anser att rätten till radering kan visa mån som detta skulle göra det enklare för barn att sig särskilt användbar i samband med informationssam­ förstå vad det innebär när uppgifter samlas in från hällets tjänster. En skyldighet att radera eller att inte yt­ dem. terligare sprida information efter en bestämd tidsperiod är rimlig, särskilt i media eller på Internet, och framför allt i sociala nätverk. Det skulle också vara användbart när det — Andra informationskrav anpassade till barn, om hur gäller terminalutrustning: uppgifter som lagras på mobila informationen måste lämnas och sannolikt också om enheter eller datorer skulle automatiskt raderas eller bloc­ innehållet. keras efter en bestämd tidsperiod när de inte längre in­ nehas av den enskilda. I den betydelsen kan rätten till radering omsättas till en skyldighet till ”inbyggda skydds­ — En särskild bestämmelse som skyddar barn mot bete­ mekanismer”. endestyrd annonsering. — Principen om att begränsa syftet bör förstärkas när det 91. Sammanfattningsvis anser datatillsynsmannen att uppgif­ gäller barns uppgifter. ters portabilitet och rätten till radering båda är användbara koncept. Det skulle kunna vara användbart att införliva dem i det rättsliga instrumentet, men sannolikt begränsat — Vissa kategorier av uppgifter bör aldrig samlas in från till den elektroniska miljön. barn. — En åldergräns. Under denna åldersgräns bör generellt 6.6 Hantering av personuppgifter som rör barn information från barn samlas in endast med uttryckligt 92. Enligt direktiv 95/46/EG finns det inga särskilda regler för och kontrollerbart medgivande från föräldrar. behandling av personuppgifter som rör barn. Det innebär att behovet av ett särskilt skydd för barn under specifika omständigheter, på grund av deras sårbarhet, inte erkänns — Om det krävs medgivande från en förälder skulle det eftersom det orsakar rättslig osäkerhet, särskilt inom föl­ vara nödvändigt att fastställa regler för hur man veri­ jande områden: fierar ett barns ålder, med andra ord hur man vet att barnet är minderårigt hur man kontrollerar 22.6.2011 Europeiska SV unionens officiella tidning C 181/13 föräldrarnas medgivande. Detta är ett område där EU går inom EU om att införa kollektiva konsumentmeka­ kan få inspiration från andra länder, exempelvis Fö­ nismer för upprättelse. Han är också medveten om risken renta staterna ( 41 ). för överdrifter som dessa mekanismer kan medföra på grundval av erfarenheterna från andra rättsliga system. Dessa faktorer utgör emellertid inte enligt hans uppfatt­ ning tillräckliga argument för att avvisa eller skjuta upp deras införande i lagstiftningen om uppgiftsskydd, med 6.7 Kollektiva mekanismer för upprättelse tanke på de fördelar de skulle innebära ( 43 ).

95. Att stärka innehållet i enskildas rättigheter skulle vara meningslöst om det inte finns några effektiva mekanismer för att verkställa dessa rättigheter. Datatillsynsmannen re­ kommenderar därför att det i EU:s lagstiftning införs kol­ lektiva mekanismer för upprättelse om reglerna för upp­ giftsskydd överträds. Kollektiva mekanismer för upprät­ 7. Stärkning av organisationers/registeransvarigas roll telse som ger grupper av medborgare möjligheter att 7.1 Allmänt samla sina krav i en gemensam åtgärd utgör ett mycket kraftfullt verktyg för att underlätta tillämpningen av reg­ 99. Datatillsynsmannen anser att utöver att förstärka enskildas lerna för uppgiftsskydd ( 42 ). Denna innovation stöds också rättigheter måste ett modernt rättsligt system för uppgifts­ av dataskyddsmyndigheterna i artikel 29-dokumentet om skydd innehålla nödvändiga verktyg som ökar de register­ integritetens framtid. ansvarigas ansvar. Ramen måste i synnerhet innehålla in­ citament för registeransvariga inom den privata eller of­ fentliga sektorn att aktivt införliva åtgärder för uppgifts­ skydd i sina affärsprocesser. Dessa verktyg skulle till att börja med vara till nytta eftersom, vilket också nämnts 96. I fall med mindre inflytande är det osannolikt att offren tidigare, teknisk utveckling leder till en stark ökning av för en överträdelse av regler om uppgiftsskydd skulle ge­ insamling, användning och ytterligare överföring av per­ nomföra enskilda åtgärder mot de registeransvariga, med sonuppgifter vilket ökar risken för integriteten och skyd­ tanke på kostnader, förseningar, osäkerhet, risker och bör­ det av personuppgifter för enskilda, vilket i sin tur borde dor de skulle utsättas för. Dessa svårigheter skulle kunna kompenseras på ett effektivt sätt. För det andra saknar den överbryggas eller avsevärt minskas om ett system med nuvarande ramen – med undantag för ett fåtal, väldefinie­ kollektiv upprättelse fanns, som skulle göra det möjligt rade bestämmelser (se nedan) – sådana verktyg och regis­ för dem som utsätts för överträdelser att samla sina en­ teransvariga kan inta ett reaktivt synsätt på uppgiftsskydd skilda krav i en gemensam åtgärd. Datatillsynsmannen och privatliv och endast agera efter att ett problem har skulle också förespråka möjligheten för kvalificerade en­ uppstått. Detta synsätt återspeglas i statistik som visar att heter, såsom konsumentsammanslutningar eller offentliga bristande tillämpningar när det gäller överensstämmelse organ, att vidta åtgärder när registrerade personer drabbas och förlust av uppgifter är återkommande problem. av skador på grund av att uppgiftsskyddet har överträtts. Dessa åtgärder skulle inte påverka rätten för registrerade personer att vidta enskilda åtgärder.

100. Enligt datatillsynsmannen är den befintliga ramen inte till­ 97. Kollektiva åtgärder är inte bara viktiga för att säkra full räcklig för att skydda personuppgifter effektivt enligt nu­ kompensation eller andra åtgärder, de har också indirekt varande och kommande villkor. Ju högre risken är, desto en avskräckande funktion. Risken att drabbas av dyrbara större är behovet av att införliva konkreta åtgärder som kollektiva skadeståndskrav vid sådana åtgärder skulle öka skyddar information på en praktisk nivå och ger ett ef­ de registeransvarigas incitament att effektivt se till att kra­ fektivt skydd. Om dessa aktiva åtgärder de facto inte införs ven uppfylls. I detta hänseende skulle förbättrat privat kommer sannolikt misstag, missöden och försumlighet att genomförande med hjälp av kollektiva mekanismer för fortsätta inträffa och enskildas privatliv att utsättas för fara upprättelse komplettera det offentliga genomförandet. i det alltmer digitala samhället. Därför föreslår datatillsyns­ mannen följande åtgärder.

98. Meddelandet innehåller ingen ståndpunkt i den här frågan. Datatillsynsmannen är medveten om den debatt som på­ ( 41 7.2 Förstärkning av de registeransvarigas ansvarighet ) I USA kräver COPPA (Childrens Online Privacy Protection Act Rule) att de som har en kommersiell webbplats eller onlinetjänster som vänder sig till barn under 13 år måste ha föräldrarnas medgivande 101. Datatillsynsmannen rekommenderar att en ny bestäm­ innan de samlar in personuppgifter, och de som driver kommersi­ melse förs in i det rättsliga instrumentet som innebär ella webbplatser för allmänheten måste ha faktisk kunskap om att att registeransvariga ska genomföra lämpliga och effektiva vissa besökare är barn. åtgärder för att verkställa det rättsliga instrumentets prin­ ( 42 ) Se även Europeiska datatillsynsmannens yttrande av den 25 juli ciper och skyldigheter och visa detta på begäran. 2007 om kommissionens meddelande till Europaparlamentet och rådet om uppföljningen av arbetsprogrammet för ett bättre genom­ förande av dataskyddsdirektivet, (EUT C 255, 27.10.2007, s. 10). ( 43 ) Vissa nationella lagar innehåller redan liknande mekanismer. C 181/14 SV Europeiska unionens officiella tidning 22.6.2011

102. Denna typ av bestämmelse är inte helt ny. I artikel 6.2 i heter skulle det öka deras rättssäkerhet och harmonisera direktiv 95/46/EG hänvisas till principerna om uppgifts­ överensstämmelsen inom hela EU. Vid utveckling av så­ kvalitet och det sägs att ”det är den registeransvariga som dana specifika instrument bör artikel 29-arbetsgruppen ska se till att punkt 1 uppfylls”. I artikel 17.1 krävs också och Europeiska datatillsynsmannen konsulteras. att registeransvariga ska genomföra åtgärder, både tek­ niska och organisatoriska. Dessa bestämmelser har emel­ lertid en begränsad omfattning. Att införa en allmän be­ stämmelse om ansvarighet skulle stimulera de register­ ansvariga att införa aktiva åtgärder för att kunna uppfylla 107. Avslutningsvis kan också de konkreta ansvarighetsåtgärder alla delar i lagen om uppgiftsskydd. som genomförs av registeransvariga krävas av dataskydds­ myndigheter i anslutning till deras tillsynsbefogenheter. Dataskyddsmyndigheterna bör därför få nya befogenheter så att de kan införa åtgärder eller sanktioner. Exemplen bör innefatta inrättande av interna program för att upp­ 103. En bestämmelse om ansvarighet skulle leda till att regis­ fylla reglerna, för att genomföra inbyggda skyddsmekanis­ teransvariga måste införa interna mekanismer och kont­ mer för vissa produkter och tjänster, etc. Åtgärderna ska rollsystem som ser till att ramverkets principer och skyl­ endast införas om de är lämpliga, proportionella och ef­ digheter följs. Det skulle exempelvis innebära att man fektiva för att säkra överensstämmelse med tillämpliga och måste involvera den högsta ledningen när det gäller poli­ verkställbara rättsliga normer. tiken för uppgiftsskydd, kartläggningsförfaranden för att säkra korrekt identifiering av alla åtgärder för uppgifts­ skydd, ha en bindande policy för uppgiftsskydd vilken också skulle ses över och uppdateras kontinuerligt för att täcka nya åtgärder inom uppgiftshantering som över­ 7.3 Inbyggda skyddsmekanismer ensstämmer med principerna om uppgiftskvalitet, anmä­ lan, säkerhet, tillträde etc. Det skulle också kräva att de 108. Inbyggda skyddsmekanismer innebär att uppgiftsskydd registeransvariga behåller bevis för att på begäran från och integritet införlivas redan vid framtagningen av nya myndigheterna kunna visa att reglerna följs. Att visa för produkter, tjänster och förfaranden som omfattar behand­ den stora allmänheten att reglerna följs bör i vissa fall ling av personuppgifter. Enligt datatillsynsmannen är in­ också bli obligatoriskt. Det kan exempelvis ske genom byggda skyddsmekanismer en del av ansvarigheten. Regis­ att kräva att de registeransvariga ska införliva uppgifts­ teransvariga skulle därför också uppmanas att visa att de skydd i offentliga (års)rapporter, när sådana rapporter är hade genomfört inbyggda skyddsmekanismer när så är obligatoriska av andra skäl. lämpligt. Den 32:e internationella konferensen för om­ budsmännen för dataskydd och integritet utfärdade en resolution där man slår fast att inbyggda skyddsmekanis­ mer är en mycket viktig beståndsdel i grundläggande in­ tegritetsskydd ( 44 ). 104. De olika interna och externa åtgärder som bör genomfö­ ras måste naturligtvis vara lämpliga och beror på fakta och omständigheter i varje enskilt fall. Det är skillnad om en registeransvarig hanterar några hundra kundregister som huvudsakligen består av namn och adresser eller om 109. Direktiv 95/46/EG innehåller ett antal bestämmelser som det handlar om register över miljontals patienter och deras uppmuntrar inbyggda skyddsmekanismer ( 45 ), men erkän­ medicinska historia. Detsamma gäller de specifika sätt som ner inte en sådan skyldighet explicit. Europeiska datatill­ åtgärdernas effektivitet måste bedömas på. Det finns ett synsmannen är nöjd med att man i meddelandet stöder behov av skalanpassning. inbyggda skyddsmekanismer som ett verktyg för att säkra överensstämmelse med reglerna för uppgiftsskydd. Han föreslår att en bindande bestämmelse om skyldighet till ”inbyggda skyddsmekanismer”, ska införas vilken kan bygga på lydelsen i skäl 46 i direktiv 95/46/EG. Mer 105. I det allmänna övergripande rättsliga instrumentet för specifikt åskulle bestämmelsen uttryckligen kräva att regis­ uppgiftsskydd bör inte de specifika kraven på ansvarighet teransvariga genomför tekniska och organisatoriska slås fast utan enbart de grundläggande beståndsdelarna. I åtgärder, både i samband med utformningen av meddelandet planeras vissa beståndsdelar för att förstärka ansvaret för registeransvariga, vilket är mycket välkommet. Datatillsynsmannen stöder i synnerhet att uppgiftsskydds­ ( 44 ) Resolution om inbyggda skyddsmekanismer, antagen av den 32:a internationella konferensen för ombudsmännen för dataskydd och ombud och bedömningar av inverkan på privatlivet görs integritet, Jerusalem 27–29 oktober 2010. obligatoriska, inom vissa fastställda gränser. ( 45 ) Direktivet innehåller bestämmelser som indirekt i olika situationer kräver att inbyggda skyddsmekanismer införlivas. Framför allt i artikel 17 krävs att registeransvariga genomför lämpliga tekniska och organisatoriska åtgärder för att förhindra olovlig behandling av uppgifter. Direktivet om integritet och elektronisk kommunika­ 106. Datatillsynsmannen rekommenderar dessutom att befo­ tion är mer explicit. I artikel 14.3 står att ”När så krävs får åtgärder vidtas för att säkerställa att terminalutrustning är konstruerad så att genheter delegeras till kommissionen enligt artikel 290 i den är förenlig med användarnas rätt till skydd och kontroll av sina fördraget om Europeiska unionens funktionssätt för att personuppgifter i enlighet med direktiv 1999/5/EG och rådets be­ komplettera baskraven för att uppfylla ansvarighetsnor­ slut 87/95/EEG av den 22 december 1986 om standardisering merna. Om de registeransvariga använder dessa befogen­ inom området informationsteknologi och telekommunikation)”. 22.6.2011 Europeiska SV unionens officiella tidning C 181/15 förfarandesystemet och vid själva förfarandet, särskilt i gäller inbyggda skyddsmekanismer som är tillämpliga syfte att säkra skyddet av personuppgifter och förebygga inom olika sektorer, produkter och tjänster, exempelvis otillåten behandling ( 46 ). att säkerställa användarnas åtgärder för egenmakt som ska antas enligt principen.

110. På grundval av en sådan bestämmelse skulle registeransva­ riga vara tvungna att – bland annat – se till att system för 114. Datatillsynsmannen rekommenderar dessutom att befo­ databehandling är utformade för att behandla så få per­ genheter delegeras till kommissionen enligt artikel 290 i sonuppgifter som möjligt, för att genomföra inbyggda fördraget om Europeiska unionen – när så är lämpligt – skyddsmekanismer, exempelvis i sociala nätverk, för att för att komplettera grundkraven för inbyggda skydds­ hålla enskildas profiler automatiskt åtskilda från andras mekanismer för utvalda produkter och tjänster. Om regis­ och införa verktyg som gör det lättare för användarna teransvariga använder dessa befogenheter skulle det öka att skydda sina personuppgifter (exempelvis tillträdeskont­ deras rättssäkerhet och harmonisera överensstämmelsen roll och kryptering). inom hela EU. Vid utveckling av sådana specifika instru­ ment bör artikel 29-arbetsgruppen och Europeiska data­ tillsynsmannen konsulteras (se även punkt 106 om ansva­ righet). 111. Fördelarna med en mer explicit hänvisning till inbyggda skyddsmekanismer kan sammanfattas enligt följande:

115. Avslutningsvis bör dataskyddsmyndigheterna få befogen­ heter att införa åtgärder eller sanktioner, enligt liknande — Det skulle betona betydelsen av principen i sig, som restriktiva villkor som redan nämnts i punkt 107, när de ett verktyg för att säkra att förfaranden, produkter och registeransvariga tydligt har misslyckats med att vidta kon­ tjänster redan från början är utformade med tanke på kreta åtgärder i fall där detta skulle krävas. integritet. 7.4 Certifieringstjänster — Det skulle minska missbruk av integritet och minimera onödig insamling av uppgifter samt göra det möjligt 116. I meddelandet erkänns behovet av att undersöka inrättan­ för enskilda att göra verkliga val när det gäller deras det av certifieringssystem inom EU för produkter och personuppgifter. tjänster som garanterar skydd av privatlivet. Datatillsyns­ mannen stöder fullt ut detta mål och föreslår att en be­ stämmelse ska införas som tillgodoser deras inrättande och möjliga effekter i hela EU, vilket kan utvecklas ytter­ — Det skulle också förhindra att man blir tvungen att ligare i senare lagstiftning. Bestämmelsen ska komplettera senare ”lägga förband på” för att försöka lösa problem bestämmelserna om ansvarighet och inbyggda skydds­ som kan vara svåra eller till och med omöjliga att mekanismer. reparera.

117. Frivilliga certifieringssystem skulle göra det möjligt att — Det skulle också göra det enklare för dataskyddsmyn­ kontrollera att en registeransvarig har infört åtgärder för digheter att effektivt tillämpa och verkställa principen. att uppfylla det rättsliga instrumentet. Registeransvariga – eller till och med produkter eller tjänster – som har för­ månen att vara certifierade kommer dessutom sannolikt att ha en konkurrensfördel framför andra. Sådana system 112. Den kombinerade effekten av denna skyldighet skulle leda skulle också hjälpa dataskyddsmyndigheter i deras över­ till större efterfrågan på produkter och tjänster inom in­ vakande och verkställande roll. byggda skyddsmekanismer, vilket i sin tur skulle ge nä­ ringslivet större incitament att möta en sådan efterfrågan. Man bör dessutom överväga att skapa en separat skyldig­ het som vänder sig till designers och tillverkare av nya 8. Globalisering och tillämplig lag produkter och tjänster som kan tänkas påverka dataskydd och integritet. Datatillsynsmannen föreslår att en sådan 8.1 Ett tydligt behov av mer konsekvent skydd separat skyldighet ska införlivas som i ännu större ut­ 118. Såsom nämnts i kapitel 2 har överföring av personupp­ sträckning skulle kunna göra det möjligt för registeransva­ gifter utanför EU:s gränser ökat exponentiellt som en kon­ riga att uppfylla sina egna skyldigheter. sekvens av utvecklingen av ny teknik, multinationella fö­ retags roll och regeringars ökade påverkan när det gäller behandling och spridning av personuppgifter på interna­ 113. Kodifieringen av inbyggda skyddsmekanismer kan kom­ tionell nivå. Detta är ett av huvudskälen till att den nu­ pletteras av en bestämmelse om allmänna krav när det varande rättsliga ramen bör ses över. Detta är därmed ett av de områden där datatillsynsmannen kräver ambition 46 och effektivitet, eftersom det finns ett tydligt behov av ( ) Enligt den nuvarande ramen uppmuntras i skäl 46 registeransvariga som inför sådana åtgärder, men ett skäl har självfallet ingen bin­ mer konsekvent skydd när uppgifter behandlas utanför dande kraft. EU. C 181/16 SV Europeiska unionens officiella tidning 22.6.2011 8.2 Investeringar i internationella regler principerna för uppgiftsskydd. Ledning ges, särskilt av da­ taskyddsmyndigheter, om hur direktiv 95/46/EG ska tol­ 119. Enligt datatillsynsmannen behövs mer satsningar på att kas och tillämpas i sådana fall, men enbart ledning är inte utveckla internationella regler. Större harmonisering av tillräckligt för att trygga rättssäkerheten i denna nya miljö. skyddsnivån för personuppgifter i hela världen skulle av­ sevärt klargöra innehållet i de principer som bör uppfyllas och villkoren för överföring av uppgifter. Dessa övergri­ 124. Inom EU:s territorium har behovet av större precision pande regler skulle behöva kombinera kraven på en hög inom den rättsliga ramen och ett förenklat kriterium för standard när det gäller uppgiftsskydd – inbegripet de vikti­ att fastställa den lag som ska tillämpas betonats av gaste beståndsdelarna i uppgiftsskyddet i EU – med regio­ artikel 29-arbetsgruppen i ett yttrande nyligen ( 48 ). nala särdrag.

125. Enligt datatillsynsmannen skulle den bästa lösningen vara att slå fast det rättsliga instrumentet i en förordning som 120. Europeiska datatillsynsmannen stöder det ambitiösa arbete skulle leda till identiska regler som är tillämpliga i alla som hittills utförts inom ramen för den internationella medlemsstater. En förordning skulle göra behovet av att konferensen för ombudsmän för dataskydd och integritet fastställa tillämplig lag mindre viktigt. Detta är ett av skä­ för att utveckla och sprida de så kallade ”Madridnor­ len till att datatillsynsmannen starkt förordar en förord­ merna”, i syfte att integrera dem i ett bindande instrument ning. Även en förordning kan emellertid medge visst ma­ och sannolikt initiera en mellanstatlig konferens ( 47 ). Han növerutrymme för medlemsstaterna. Om visst betydande uppmanar kommissionen att ta nödvändiga initiativ för manöverutrymme behålls i det nya instrumentet skulle att underlätta genomförandet av denna målsättning. datatillsynsmannen stödja arbetsgruppens förslag om en övergång från en distributiv tillämpning av olika natio­ nella lagar till en centraliserad tillämpning av en enda lagstiftning i alla medlemsstater där en registeransvarig 121. Enligt datatillsynsmannen är det också viktigt att se till att har anläggningar. Han vädjar också om större samarbete detta initiativ är förenligt med internationella normer, den och samordning mellan dataskyddsmyndigheter vid gräns­ nuvarande översynen av EU:s ram för uppgiftsskydd och överskridande mål, fall och klagomål (se kapitel 10). annan utveckling, exempelvis den nuvarande översynen av OECD:s riktlinjer för integritet samt konvention 108 från Europarådet som är öppen för undertecknande av tredje 8.4 Rationella system för uppgiftsflöden länder (se även punkt 17). Datatillsynsmannen anser att kommissionen kan spela en specifik roll här, genom att 126. Behovet av enhetlighet och höga normer måste beaktas specificera hur den kommer att främja denna konsekvens i inte enbart med tanke på övergripande principer för upp­ förhandlingarna i OECD och Europarådet. giftsskydd utan även när det gäller internationella över­ föringar. Datatillsynsmannen stöder fullständigt kommis­ sionens målsättning att rationalisera nuvarande förfaran­ den för internationella överföringar av uppgifter och trygga ett mer enhetligt och sammanhängande synsätt 8.3 Klargörande av tillämpliga lagkriterier gentemot tredje länder och internationella organisationer. 122. Eftersom det inte är enkelt att uppnå fullständig kon­ sekvens kommer det – åtminstone inom den närmaste tiden – att kvarstå vissa skillnader mellan lagarna inom 127. Mekanismer för uppgiftsflöden innefattar både över­ EU och de utanför EU:s gränser. Datatillsynsmannen anser föringar inom den privata sektorn, särskilt via kontraktsk­ att ett nytt rättsligt instrument behöver klargöra kriteri­ lausuler eller bindande företagsregler, och överföringar erna som fastställer tillämplig lag, och säkerställa ratio­ mellan offentliga myndigheter. Bindande företagsregler är nella system för uppgiftsflöden liksom ansvarighet för ak­ en av de beståndsdelar där ett mer enhetligt och rationellt törer som är involverade i uppgiftsflöden. synsätt skulle vara önskvärt. Datatillsynsmannen rekom­ menderar att villkoren för bindande företagsregler tas upp på ett explicit sätt i det nya rättsliga instrumentet ( 49 ), genom att

123. Till att börja med bör det rättsliga instrumentet säkra att EU:s lagstiftning är tillämplig när personuppgifter behand­ las utanför EU:s gränser, men där det finns ett motiverat — uttryckligen erkänna bindande företagsregler som ett krav på att tillämpa EU:s lagstiftning. Exemplet med icke verktyg som tillhandahåller lämpliga säkerheter, europeiska molnbaserade datortjänster som är inriktade på EU-medborgare illustrerar varför detta är nödvändigt. I en miljö där uppgifter inte fysiskt lagras och hanteras på en — se till att huvudbeståndsdelarna/villkoren för att anta fast plats, där tjänsteleverantörer och användare i olika bindande företagsregler finns, länder har avgörande påverkan på uppgifter är det mycket svårt att identifiera vem som är ansvarig för att uppfylla ( 48 ) Artikel 29-arbetsgruppens yttrande 8/2010 om tillämplig lag, ar­ betsgrupp 179. ( 47 ) Enligt förslaget i resolutionen om internationella normer, antagen ( 49 ) Beträffande internationella överföringar, se även kapitel 8 i yttran­ av den 32:a internationella konferensen för ombudsmän för data­ det. 22.6.2011 Europeiska SV unionens officiella tidning C 181/17 — införa samarbetsförfaranden för antagande av bin­ fördraget. Begränsningar av rättigheter för personer som dande företagsregler inbegripet kriterier för att välja berörs av uppgifterna kan ingå, men de måste vara nöd­ ut en ledande myndighet för övervakning (en enda vändiga och proportionella och får inte ändra själva rät­ kontaktpunkt). tighetens grundläggande beståndsdelar. Det bör i detta sammanhang betonas att direktiv 95/46/EG, inklusive artikel 13 i detta, för närvarande gäller för brottsbekämp­ ning inom olika områden (exempelvis beskattning, tull, 9. Polis och rättsväsende bedrägeribekämpning) som inte i grunden skiljer sig från många verksamheter inom det polisiära och rättsliga om­ 9.1 Allmänt instrument rådet.

128. Kommissionen har vid upprepade tillfällen betonat bety­ delsen av att stärka dataskyddet när det gäller upprätthål­ lande av lag och ordning och brottsförebyggande där ut­ 132. Särskilda garantier behöver dessutom införas för att kom­ bytet och användningen av personuppgifter intensifierats pensera registrerade personer genom att ge dem extra avsevärt. Även i Stockholmsprogrammet, som godkänts skydd inom ett område där hantering av personuppgifter av Europeiska rådet, hänvisas till ett system för starkt kan vara mer påträngande. uppgiftsskydd som en huvudsaklig förutsättning för EU:s strategi för informationshantering på detta område ( 50 ).

133. Mot bakgrund av ovanstående anser datatillsynsmannen att den nya ramen bör innefatta minst följande bestånds­ 129. Översynen av den allmänna ramen för dataskydd är ett delar, i linje med konvention 108 och rekommendation perfekt tillfälle att göra framsteg på området, särskilt som nr R (87) 15: rambeslut 2008/977 i meddelandet med rätta beskrivs som bristfälligt ( 51 ). — En distinktion mellan olika kategorier av uppgifter och register i enlighet med hur korrekta och tillförlitliga de 130. Datatillsynsmannen pläderade i avsnitt 3.2.5 i detta ytt­ är, och stöd till principen att uppgifter baserade på rande för varför området med polisärt och rättsligt sam­ fakta bör skiljas från uppgifter baserade på uppfatt­ arbete skulle ingå i det allmänna instrumentet. Det finns ningar eller personliga bedömningar. ett antal fördelar med att införliva polis och rättsväsende i instrumentet. Det innebär att reglerna inte längre enbart kommer att gälla för utbyte av uppgifter över grän­ serna ( 52 ), utan även för behandling inom länderna. Lämp­ — En distinktion mellan olika kategorier av personer som ligt skydd vid utbyte av personuppgifter med tredje land berörs av uppgifterna (brottsmisstänkta, offer, vittnen, kommer att garanteras bättre, även när det gäller interna­ etc.) och register (tillfälliga och permanenta register tionella avtal. Myndigheter som hanterar personuppgifter samt underrättelseregister). Särskilda villkor och garan­ kommer dessutom att ha samma omfattande och harmo­ tier behövs för hantering av uppgifter om personer niserade befogenheter gentemot polis och rättsliga myn­ som inte är misstänkta. digheter som gentemot andra registeransvariga. Avslut­ ningsvis måste den nuvarande artikel 13, som innebär att medlemsstaterna är berättigade att anta särskild lags­ tiftning för att begränsa skyldigheter och rättigheter enligt — Mekanismer för att trygga periodisk kontroll och rät­ det allmänna instrumentet för särskilda offentliga intres­ telse för att garantera kvaliteten på de uppgifter som sen, tillämpas på samma restriktiva sätt som den tillämpas hanteras. på andra områden. De särskilda garantier som erhålls en­ ligt det allmänna instrumentet inom detta område måste framför allt respekteras även inom nationell lagstiftning som antas på området polisiärt och rättsligt samarbete. — Särskilda bestämmelser och/eller garantier kan införas för (den allt mer relevanta) behandlingen av biomet­ riska och genetiska uppgifter på det brottsförebyg­ gande området. Användningen av dem bör begränsas 9.2 Ytterligare särskilda regler för polis och rättsväsende endast till fall där inga mindre inkräktande möjligheter är tillgängliga som kan garantera samma effekt ( 53 ). 131. Detta införlivande utesluter emellertid inte särskilda regler och undantag, vilka vederbörligen tar hänsyn till särdragen inom denna sektor, i linje med förklaring 21 till Lissabon­ — Villkor för överföring av personuppgifter till icke be­ ( 50 ) Se Europeiska datatillsynsmannens yttrande av den 30 september höriga myndigheter och privata aktörer liksom för till­ 2010 om kommissionens meddelande till Europaparlamentet och träde och ytterligare användning inom brottsbekäm­ rådet – ”Översikt av informationshanteringen inom området för pande myndigheter av personuppgifter som samlats frihet, säkerhet och rättvisa”, punkterna 9–19. in av privata parter. ( 51 ) Se avsnitt 3.2.5 ovan. ( 52 ) Detta är för närvarande den begränsade omfattningen av rambeslut 2008/977. ( 53 ) Se arbetsgruppens dokument om Integritetens framtid, punkt 112. C 181/18 SV Europeiska unionens officiella tidning 22.6.2011 9.3 Sektorspecifika system för dataskydd terfråga eller ta instruktioner från någon. Datatillsynsman­ nen föreslår uttryckligen att dessa inslag av oberoende ska 134. I meddelandet slås fast att ”inte heller rambeslutet ersätter kodifieras i lagen. de olika rättsakter om polisiärt och straffrättsligt sam­ arbete som antagits inom EU, särskilt inte dem som styr funktionssätten för Europol, Eurojust, Schengens infor­ mationssystem (SIS) och tullinformationssystem (CIS) vilka 139. För att utföra sina uppgifter måste dessa myndigheter få antingen innehåller särskilda bestämmelser om uppgifts­ tillräckliga resurser när det gäller personal och finanser. skydd eller vanligen hänvisar till Europarådets rättsakter Datatillsynsmannen föreslår att detta krav ska införlivas i om uppgiftsskydd”. lagen ( 55 ). Han betonar slutligen behovet av att se till att myndigheterna har fullt harmoniserade befogenheter när det gäller undersökning och införande av tillräckligt av­ skräckande åtgärder och sanktioner. Detta skulle öka rätts­ 135. Enligt datatillsynsmannen bör en ny rättslig ram så långt säkerheten för både registrerade personer och för register­ det är möjligt vara tydlig, enkel och konsekvent. När olika ansvariga. system sprids som gäller för exempelvis Europol, Eurojust, SIS och Prüm måste de fortfarande överensstämma med reglerna eller blir till och med ännu mer komplicerade. Det är ett av skälen till att datatillsynsmannen förespråkar 140. Ökat oberoende, resurser och befogenheter för data­ en övergripande rättsakt för alla sektorer. skyddsmyndigheter bör införas tillsammans med förstärkt samarbete på multilateral nivå, särskilt mot bakgrund av det växande antalet frågor om uppgiftsskydd på europeisk nivå. Den huvudsakliga infrastruktur som bör användas 136. Datatillsynsmannen inser emellertid att anpassningen av för detta samarbete är helt uppenbart artikel 29-arbets­ de olika systemens regler kommer att kräva avsevärt ar­ gruppen. bete, vilket måste genomföras mycket noggrant. Han an­ ser att ett gradvis synsätt som nämns i meddelandet före­ faller rimligt så länge satsningen på att hålla en hög nivå på uppgiftsskyddet på ett konsekvent och effektivt sätt 10.2 Stärkt roll för arbetsgruppen fortfarande är tydlig och synlig. För att vara mer konkret: 141. Historien har visat att sedan gruppen startade 1997 och fram till i dag har gruppens funktion utvecklats. Den har blivit mer oberoende och kan kanske inte längre i prak­ — I ett första skede bör den allmänna rättsakten för tiken betraktas som en enkel rådgivande arbetsgrupp till uppgiftsskydd gälla all hantering inom det polisiära kommissionen. Datatillsynsmannen föreslår ytterligare för­ och rättsliga samarbetet, och innefatta anpassningar bättringar av arbetsgruppens funktionssätt, även vad gäller till polis och rättsväsende (enligt betydelsen i 9.2). dess infrastruktur och oberoende. — I ett andra steg bör de sektorsspecifika systemen för 142. Datatillsynsmannen anser att gruppens inneboende styrka uppgiftsskydd anpassas till detta allmänna instrument. är kopplad till medlemmarnas oberoende och befogenhe­ Kommissionen bör anta förslag för detta andra steg, ter. Arbetsgruppens autonomi bör tryggas i den nya rätts­ inom en kort och specificerad tidsram. liga ramen i enlighet med kriterierna för dataskyddsmyn­ digheters fullständiga oberoende som utarbetats av EGdomstolen i mål C-518/07. Datatillsynsmannen anser att arbetsgruppen också bör få tillräckliga resurser och budget 10. Dataskyddsmyndigheter och samarbete mellan och ett förstärkt sekretariat för att stödja dess bidrag. dessa myndigheter 10.1 Förstärkt roll för dataskyddsmyndigheterna

137. Datatillsynsmannen stöder fullständigt kommissionens 143. När det gäller arbetsgruppens sekretariat uppskattar data­ målsättning att ta upp frågan om dataskyddsmyndigheter­ tillsynsmannen det faktum att det ingår i enheten för nas ställning och mer explicit stärka deras oberoende, dataskydd vid GD Rättvisa, frihet och säkerhet vilket har resurser och befogenheter när det gäller verkställighet. fördelen att arbetsgruppen själv kan dra nytta av effektiva och flexibla kontakter och uppdaterad information om utvecklingen när det gäller dataskydd. Å andra sidan ifrå­ gasätter han det faktum att kommissionen (och mer spe­ 138. Datatillsynsmannen betonar också behovet av att i det nya cifikt enheten) samtidigt är medlem, sekretariat för och rättsliga instrumentet klargöra det grundläggande begrep­ mottagare av arbetsgruppens yttranden. Det skulle moti­ pet med oberoende för dessa myndigheter. EG-domstolen vera ett större oberoende för sekretariatet. Datatillsyns­ har nyligen fattat ett beslut i frågan i mål C-518/07 ( 54 ), mannen uppmuntrar kommissionen att – i nära samarbete där domstolen betonar att oberoende innebär avsaknad av med intressenter – bedöma hur detta oberoende bäst kan all extern påverkan. En dataskyddsmyndighet får inte ef­ åstadkommas. 22.6.2011 Europeiska SV unionens officiella tidning C 181/19

144. En förstärkning av dataskyddsmyndigheternas inflytande samordning och verkställande av åtgärder mellan olika kräver också starka befogenheter för arbetsgruppen inklu­ dataskyddsmyndigheter ( 57 ) i stora frågor om uppgifts­ sive bättre regler och garantier samt större öppenhet. skydd med dessa internationella effekter. Detta var fallet Detta kommer att utvecklas dels för arbetsgruppens råd­ med sociala nätverk och sökmotorer ( 58 ), liksom när det givande, dels för dess verkställande roll. gäller samordnade inspektioner i olika medlemsstater om telekommunikation och hälsoförsäkringsfrågor. 10.3 Arbetsgruppens rådgivande roll 149. Det finns emellertid gränser för vilka verkställandeåtgärder 145. Arbetsgruppens ståndpunkt måste införlivas effektivt när som arbetsgruppen kan vidta enligt det nuvarande ram­ det gäller dess rådgivande roll gentemot kommissionen, verket. Gemensamma ståndpunkter kan intas av arbets­ särskilt i förhållande till tolkningen och tillämpningen av gruppen men det finns inget instrument för att se till principerna i direktivet och andra instrument för uppgifts­ att dessa faktiskt genomförs i praktiken. skydd, med andra ord för att trygga en officiell utform­ ning av arbetsgruppens ståndpunkter. Ytterligare diskus­ sioner behövs bland dataskyddsmyndigheter för att fast­ ställa hur detta kan införlivas i det rättsliga instrumentet. 150. Datatillsynsmannen föreslår att det rättsliga instrumentet ska innehålla ytterligare bestämmelser som kan stödja ett samordnat verkställande, framför allt följande:

146. Datatillsynsmannen rekommenderar lösningar som skulle göra yttranden från arbetsgruppen mer officiella utan att deras funktionssätt ändras avsevärt. Datatillsynsmannen föreslår att en skyldighet ska införas för dataskyddsmyn­ — En skyldighet att se till att dataskyddsmyndigheter och digheter och kommissionen att ta största hänsyn till ytt­ kommissionen tar den största hänsyn till yttranden randen och gemensamma ståndpunkter som antagits av och gemensamma ståndpunkter som antagits av arbetsgruppen, baserat på den modell som antagits för artikel 29-arbetsgruppen ( 59 ). ståndpunkterna från organet för europeiska reglerings­ myndigheter för elektronisk kommunikation (Berec) ( 56 ). Den nya rättsakten kan dessutom ge arbetsgruppen den uttryckliga uppgiften att anta ”förklarande rekommenda­ tioner”. Dessa alternativa lösningar skulle ge arbetsgrup­ — En skyldighet för dataskyddsmyndigheter att trovärdigt pens ståndpunkter en starkare roll, även inför domsto­ samarbeta med varandra och med kommissionen och larna. 60 artikel 29-arbetsgruppen ( ). Som en praktisk illustra­ tion av ett trovärdigt samarbete kan ett förfarande inrättas där dataskyddsmyndigheter informerar kom­ missionen eller arbetsgruppen vid nationella åtgärder för verkställande som har ett gränsöverskridande in­ 10.4 Samordnat verkställande av arbetsgruppen slag, i analogi med förfarandet i den nuvarande ramen vad gäller beslut om nationell lämplighet. 147. Enligt den nuvarande ramen lämnas verkställandet av da­ taskyddslagstiftning i medlemsstaterna till 27 olika datas­ kyddsmyndigheter med liten samordning när det gäller hantering av särskilda fall. När det handlar om fall som omfattar mer än en medlemsstat eller har en tydlig global — Specificering av röstningsreglerna för att öka datas­ dimension mångfaldigas kostnaderna för företag, vilka kyddsmyndigheters satsning på att genomföra arbets­ måste ha kontakt med olika offentliga myndigheter för gruppens beslut. Arbetsgruppen skulle kunna planera samma aktivitet, och det ökar risken för inkonsekvent till­ lämpning: I undantagsfall kan samma behandlingsåtgärd ( 57 ) Utöver artikel 29-arbetsgruppen har den europeiska konferensen för betraktas som laglig av en dataskyddsmyndighet och för­ ombudsmän för dataskydd för cirka tio år sedan inrättat en perma­ bjuden av en annan. nent workshop som ska hantera gränsöverskridande klagomål på ett samordnat sätt. Även om denna workshop obestridligt tillför mervärde när det gäller utbyte mellan personal vid dataskyddsmyn­ digheter och erbjuder ett tillförlitligt nätverk av kontaktpunkter, kan det inte betraktas som en samordnad mekanism för beslutsfattande. ( 58 ) Se skrivelser från artikel 29-arbetsgruppen av den 12 maj 2010 och 148. Vissa fall är av strategisk betydelse och bör tas upp på ett den 26 maj 2010, offentliggjorda på artikel 29-arbetsgruppens webbplats (http://ec.europa.eu/justice/policies/privacy/workinggroup/ centraliserat sätt. Artikel 29-arbetsgruppen underlättar wpdocs/2010-others_en.htm). ( 59 ) Såsom angivits ovan fastställs en liknande skyldighet i förordning ( 56 ) Europaparlamentets och rådets förordning (EG) nr 1211/2009 av (EG) nr 1211/2009 där rollen för organet för europeiska reglerings­ den 25 november 2009 om inrättande av organet för europeiska myndigheter för elektronisk kommunikation (Berec) specificeras. regleringsmyndigheter för elektronisk kommunikation (Berec) och ( 60 ) Se i detta hänseende artikel 3 i förordning (EG) nr 1211/2009, som byrån, (EUT L 337, 18.12.2009, s. 1). citeras ovan. C 181/20 SV Europeiska unionens officiella tidning 22.6.2011 för att fatta beslut på grundval av en samsyn och när han skyldig att samarbeta med nationella dataskyddsmyn­ samsyn inte kan uppnås verkställs beslutet enbart med digheter och delta i arbetsgruppens verksamhet. Datatill­ kvalificerad majoritet. Utöver detta kan det i ett skäl synsmannen rekommenderar att samarbete uttryckligen anges att de dataskyddsmyndigheter som röstar för ett ska nämnas i det nya rättsliga instrumentet och strukture­ dokument är skyldiga eller åtar sig att genomföra det ras vid behov, exempelvis genom att fastställa ett för­ på nationell nivå. farande för samarbete. 10.6 Samarbete mellan Europeiska datatillsynsmannen och 151. Datatillsynsmannen vill protestera mot införandet av star­ dataskyddsmyndigheter vid övervakning av EU:s system kare åtgärder såsom att ge artikel 29-arbetsgruppens ståndpunkter bindande kraft. Det skulle underminera data­ 156. Dessa beaktanden gäller även områden där övervakandet tillsynsmyndigheters oberoende ställning som medlemssta­ måste samordnas mellan europeisk och nationell nivå. Det terna enligt nationell lag måste garantera. Om arbetsgrup­ gäller exempelvis EU-organ som hanterar betydande pens beslut direkt skulle inverka på tredje part såsom mängder uppgifter från nationella myndigheter eller för registeransvariga skulle nya förfaranden behövas, inklusive storskaliga informationssystem som är såväl europeiska garantier som öppenhet och upprättelse, samt möjlighet som nationella. till överklagande vid EG-domstolen.

157. Befintliga system för några EU-organ och storskaliga in­ 10.5 Samarbete mellan datatillsynsmannen och arbetsgruppen formationssystem – exempelvis Europol, Eurojust och den första generationen Schengens informationssystem (SIS) 152. Datatillsynsmannens och arbetsgruppens samarbete kan har gemensamma tillsynsorgan med företrädare för natio­ också förbättras ytterligare. Datatillsynsmannen är medlem nella dataskyddsmyndigheter – är en kvarleva från mellan­ i arbetsgruppen och bidrar till ståndpunkter om de vikti­ statligt samarbete från tiden före Lissabon och följer inte gaste strategiska utvecklingarna inom EU, samtidigt som EU:s institutionella struktur som Europol och Eurojust nu han säkerställer att dessa är förenliga med hans egna är en fullständig del av och där ”Schengenregelverket” nu ståndpunkter. Datatillsynsmannen noterar det ökande an­ också har införlivats ( 62 ). talet privata frågor, både inom den privata och den of­ fentliga sektorn, vilket får effekter på nationell nivå i flera medlemsstater, och där kan arbetsgruppen spela en speci­ 158. I meddelandet aviseras att kommissionen under 2011 fik roll. kommer att inleda ett samråd med intressenter om över­ synen av dessa övervakningssystem. Datatillsynsmannen uppmanar kommissionen att så snart som möjligt (inom en kort och specificerad tidsram, se ovan) inta en stånd­ 153. Datatillsynsmannen har en kompletterande uppgift att ge punkt i den pågående diskussionen om övervakning. Han råd om utvecklingen inom EU och den bör bibehållas. I kommer att i denna diskussion inta följande ståndpunkt. sin egenskap av europeiskt organ utövar han denna råd­ givande befogenhet gentemot EU:s institutioner på samma sätt som nationella dataskyddsmyndigheter ger råd till sina regeringar. 159. Utgångsläget bör vara att se till att alla övervakande organ uppfyller det nödvändiga kriteriet med oberoende, resurser och verkställande befogenheter. Det bör dessutom säker­ ställas att de perspektiv och de expertkunskaper som finns 154. Datatillsynsmannen och arbetsgruppen arbetar ur olika på EU-nivå beaktas. Det innebär att nationella myndighe­ men kompletterande perspektiv. Det finns därför ett be­ ter bör samarbeta sinsemellan men även med europeiska hov av att bevara och kanske förbättra samordningen datatillsynsmyndigheter (för närvarande Europeiska data­ mellan arbetsgruppen och datatillsynsmannen, så att de tillsynsmannen). Datatillsynsmannen anser det nödvändigt samarbetar om de viktigaste frågorna kring uppgiftsskydd, att följa en modell som uppfyller dessa krav ( 63 ). exempelvis genom att samordna agendor regelbundet ( 61 ), och genom att säkra öppenhet i frågor som har en mer nationell eller specifik EU-aspekt. 160. Under de senaste åren har modellen med ”samordnad övervakning” utvecklats. Denna övervakningsmodell är nu operativ inom Eurodac och delar av tullinformations­ systemet och kommer snart att utvidgas till Informations­ 155. Samordning nämns inte i det nuvarande direktivet av det systemet för viseringar (VIS) och den andra generationen enkla skälet att datatillsynsmannen inte fanns när direkti­ av Schengens informationssystem (SIS II). Modellen har tre vet antogs, men efter sex års existens är det uppenbart att nivåer: (1) övervakning på nationell nivå sköts av datas­ datatillsynsmannen och arbetsgruppen kompletterar va­ kyddsmyndigheter, (2) övervakning inom EU sköts av randra och detta kan erkännas formellt. Datatillsynsman­ nen erinrar om att enligt förordning (EG) nr 45/2001 är ( 62 ) Enligt förordning (EG) nr 45/2001 är Europeiska datatillsynsman­ nen skyldig att samarbeta med dessa organ. ( 61 ) Exempelvis på grundval av förteckningen över lagstiftningsåtgärder ( 63 ) För Eurojust bör modellen också ta hänsyn till att övervakningen av som offentliggörs varje år och uppdateras regelbundet och som är dataskyddet respekterar domstolarnas oberoende, när Eurojust han­ tillgänglig på Europeiska datatillsynsmannens webbplats. terar uppgifter i samband med brottmål. 22.6.2011 Europeiska SV unionens officiella tidning C 181/21 Europeiska datatillsynsmannen och (3) samordning säker­ mensamma synsätt kan och bör uppnås inom arbetsgrup­ ställs genom regelbundna möten som datatillsynsmannen pen. Samordnade undersökningar inom hela EU under kallar till när han fungerar som sekretariat för denna sam­ överinseende av arbetsgruppen kan också tillföra bety­ ordningsmekanism. Modellen har visat sig framgångsrik dande mervärde. och effektiv och bör användas i framtiden för andra infor­ mationssystem.

165. För det fjärde bör principer för uppgiftsskydd ”byggas in” aktivt i nya förordningar som direkt eller indirekt kan C. HUR KAN TILLÄMPNINGEN AV DEN NUVARANDE påverka uppgiftsskyddet. Inom EU gör datatillsynsmannen RAMEN FÖRBÄTTRAS? avsevärda ansträngningar för att bidra till en bättre EUlagstiftning och dessa satsningar måste också genomföras 11. På kort sikt på nationell nivå. Dataskyddsmyndigheter bör därför fullt ut utnyttja sina rådgivande befogenheter för att säkra ett 161. Eftersom översynsprocessen pågår bör ansträngningar gö­ sådant aktivt synsätt. Dataskyddsmyndigheter, inbegripet ras för att de nuvarande reglerna verkligen ska införlivas Europeiska datatillsynsmannen, kan också spela en aktiv fullständigt och effektivt. Dessa regler kommer att vara roll när det gäller att övervaka teknisk utveckling. Över­ tillämpliga till dess att det kommande ramverket antas vakning är viktigt för att på ett tidigt stadium identifiera och kommer sedan att införlivas i nationell lag i medlems­ framväxande trender, understryka möjliga konsekvenser staterna. I det sammanhanget finns flera möjliga åtgärder. när det gäller uppgiftsskydd, stödja lösningar som gynnar uppgiftsskydd och öka intressenternas medvetenhet.

162. För det första bör kommissionen fortsätta att övervaka att medlemsstaterna efterlever direktiv 95/46/EG och vid be­ 166. Avslutningsvis behöver samarbetet mellan olika aktörer på hov använder sina befogenheter enligt artikel 258 i För­ internationell nivå aktivt fortsätta. Det är därför viktigt att draget om Europeiska unionens funktionssätt. Nyligen har förstärka det internationella samarbetsinstrumentet. Initia­ förfaranden om överträdelser inletts på grund av underlå­ tiv som Madridnormerna och det pågående arbetet inom tenhet att korrekt införliva artikel 28 i direktivet vad gäller Europarådet och OECD förtjänar fullt stöd. Det är därför kravet på oberoende för dataskyddsmyndigheter ( 64 ). Även mycket positivt att även US Federal Trade Commission nu inom andra områden behöver man övervaka att reglerna också ingår i gruppen av ombudsmän för dataskydd och följs och verkställs i sin helhet ( 65 ). Datatillsynsmannen integritet inom ramen för deras internationella konferens. välkomnar därför och stöder fullständigt kommissionens satsning i meddelandet på att fortsätta sin aktiva politik när det gäller överträdelser. Kommissionen bör även fort­ sätta den strukturella dialogen med medlemsstaterna om D. SLUTSATSER införlivande ( 66 ).

167. Datatillsynsmannen välkomnar meddelandet rent allmänt, 163. För det andra måste verkställande på nationell nivå upp­ eftersom han är övertygad om att översynen av den nu­ muntras så att regler för uppgiftsskydd, inbegripet när det varande rättsliga ramen för skydd av personuppgifter är gäller nya tekniska företeelser och globala aktörer verkli­ nödvändig för att säkra ett effektivt skydd i ett alltmer gen tillämpas praktiskt. Dataskyddsmyndigheter bör fullt utvecklat och globaliserat informationssamhälle. ut utnyttja sina befogenheter när det gäller undersökning och sanktioner. Det är också viktigt att befintliga rättig­ heter för registrerade personer, särskilt rätten till tillträde, genomförs praktiskt i sin helhet. 168. I meddelandet identifieras huvudfrågor och utmaningar. Datatillsynsmannen instämmer i kommissionens uppfatt­ ning att ett starkt system för uppgiftsskydd kommer att behövas även i framtiden, baserat på principen att befint­ 164. För det tredje förefaller större samordning när det gäller liga allmänna principer för uppgiftsskydd fortfarande är verkställande nödvändigt på kort sikt. Artikel 29-arbets­ giltiga i ett samhälle som genomgår grundläggande för­ gruppens roll och dess tolkande dokument är i detta hän­ ändringar. Datatillsynsmannen instämmer också i medde­ seende avgörande men även dataskyddsmyndigheter bör landets yttrande om att utmaningarna är enorma och göra sitt bästa för att omsätta dem i praktiken. Olika betonar att de föreslagna lösningarna bör vara lika ambi­ resultat inom EU eller globalt behöver undvikas och ge­ tiösa och göra skyddet effektivare. Han efterlyser därför ett mer ambitiöst synsätt på en rad punkter. ( 64 ) Se mål C-518/07 som nämns ovan och kommissionens pressmed­ delande av den 28 oktober 2010 (IP/10/1430). ( 65 ) Kommissionen har inlett ett överträdelseförfarande mot Storbritan­ nien för en påstådd överträdelse av olika bestämmelser om upp­ 169. Europeiska datatillsynsmannen stöder helt den övergri­ giftsskydd, inbegripet krav på konfidentialitet inom elektronisk pande strategin för uppgiftsskydd. Han beklagar emellertid kommunikation när det gäller beteendestyrd annonsering. Se kom­ att meddelandet utesluter vissa områden, exempelvis upp­ missionens pressmeddelande av den 9 april 2009 (IP/09/570). ( 66 ) Se kommissionens första rapport om införlivande av dataskydds­ giftshantering inom EU:s institutioner och organ, från det direktivet som nämns i punkt 22 och följande ovan. allmänna instrumentet. Om kommissionen skulle besluta C 181/22 SV Europeiska unionens officiella tidning 22.6.2011 att utelämna dessa områden vädjar datatillsynsmannen till fektiva sättet att skydda de grundläggande rättigheterna till kommissionen om att snarast anta ett förslag på EU-nivå, skydd av uppgifter och uppnå ytterligare enhetlighet på företrädesvis före slutet av 2011. den inre marknaden. Stärka enskildas rättigheter

170. Utgångspunkterna för översynsförfarandet för datatillsyns­ 174. Datatillsynsmannen stöder meddelandets förslag att stärka mannen är följande: enskilda rättigheter. Han lämnar följande förslag: — Lösningar för uppgiftsskydd måste så långt det är möj­ ligt aktivt stödja snarare än hindra andra berättigade — En öppenhetsprincip kan införlivas i lagen. Det är intressen (såsom europeisk ekonomi, enskildas säker­ emellertid viktigare att förstärka befintliga bestämmel­ het och regeringars ansvarighet). ser om öppenhet (såsom befintliga artiklar 10 och 11 i direktiv 95/46/EG). — Den allmänna principen för uppgiftsskydd varken bör eller kan ändras. — En bestämmelse om anmälan av överträdelse som ut­ vidgar skyldigheten i det reviderade direktivet om in­ — Ytterligare harmonisering bör vara en av huvudmål­ tegritet och elektronisk kommunikation från vissa le­ sättningarna för översynen. verantörer till alla registeransvariga bör införas i det allmänna instrumentet. — Perspektivet med grundläggande rättigheter bör stå i centrum för översynsförfarandet. En grundläggande rätt syftar till att skydda medborgare under alla för­ — Gränserna för medgivande bör klargöras. Att bredda hållanden. de fall där uttryckligt medgivande krävs bör övervägas liksom att anta ytterligare regler för miljön på nätet. — Det nya rättsliga instrumentet måste innefatta den po­ lisiära och rättsliga sektorn. — Ytterligare rättigheter bör införas såsom uppgifters portabilitet och rätten till radering, särskilt tjänster — Det nya rättsliga instrumentet måste så långt det är inom informationssamhället på Internet. möjligt utformas på ett tekniskt neutralt sätt och syfta till att skapa rättssäkerhet på längre sikt. — Barns intressen bör skyddas bättre med ytterligare ett BESTÅNDSDELAR I EN NY RAM antal bestämmelser som särskilt gäller insamling och vidare behandling av barns uppgifter. Harmonisering och förenkling

171. Datatillsynsmannen välkomnar kommissionens satsning — Mekanismer för kollektiv upprättelse vid överträdelse på att granska möjligheterna att uppnå ytterligare harmo­ av regler för uppgiftsskydd bör införas i EU:s lagstift­ nisering av uppgiftsskyddet på EU-nivå. Enligt datatillsyns­ ning för att ge kvalificerade enheter möjlighet att vidta mannen finns det områden där ytterligare och bättre har­ åtgärder för grupper av enskilda. monisering snarast behövs: definitioner, grunder för be­ handling av uppgifter, rättigheter för registrerade personer, internationella överföringar och dataskyddsmyndigheter. Stärkning av organisationers/registeransvarigas sky­ ldigheter

172. Europeiska datatillsynsmannen föreslår att följande alter­ nativ ska övervägas för att underlätta och/eller minska 175. Den nya ramen måste innehålla incitament för register­ omfattningen av kraven på anmälan: ansvariga att aktivt införliva åtgärder för dataskydd i sin affärsverksamhet. Datatillsynsmannen föreslår att all­ männa bestämmelser om ansvarighet och inbyggda — Begränsa anmälningsskyldigheten till specifika slag av skyddsmekanismer ska införas. En bestämmelse om sys­ behandlingsåtgärder som medför specifika risker. tem för sekretesscertifiering bör också införas. — En enkel registreringsskyldighet som innebär att regis­ teransvariga måste registrera sig (i motsats till omfat­ Globalisering och tillämplig lag tande registrering av alla åtgärder inom databehand­ ling). 176. Datatillsynsmannen stöder det ambitiösa arbetet inom ra­ men för den internationella konferensen för ombudsmän för dataskydd och integritet för att utveckla de så kallade — Införande av en standardiserad alleuropeisk anmäl­ ”Madridnormerna” i syfte att införliva dem i ett bindande ningsblankett. instrument och sannolikt initiera en mellanstatlig kon­ ferens. Datatillsynsmannen uppmanar kommissionen att 173. Enligt datatillsynsmannen är en förordning, ett instrument vidta konkreta steg i denna riktning i nära samarbete som är direkt tillämpligt i medlemsstaterna, det mest ef­ med OECD och Europarådet. 22.6.2011 Europeiska SV unionens officiella tidning C 181/23

177. Ett nytt rättsligt instrument måste klargöra kriterierna som 182. Datatillsynsmannen föreslår ytterligare förbättringar av fastställer tillämplig lag. Det bör säkerställas att uppgifter artikel 29-arbetsgruppens funktionssätt, inbegripet av som behandlas utanför EU:s gränser ändå omfattas av dess oberoende och infrastruktur. Arbetsgruppen bör EU:s jurisdiktion när det finns ett motiverat krav på att också få tillräckliga resurser och ett förstärkt sekretariat. EU-lagstiftning ska tillämpas. Om den rättsliga ramen skulle ha formen av en förordning skulle reglerna vara 183. Datatillsynsmannen föreslår att den rådgivande rollen för identiska i alla medlemsstater och det skulle vara mindre arbetsgruppen ska förstärkas genom att man inför en relevant att fastställa tillämplig lag (inom EU). skyldighet för dataskyddsmyndigheter och kommissionen att ta den största hänsyn till yttranden och gemensamma 178. Datatillsynsmannen stöder helt målsättningen att säker­ ståndpunkter som antagits av arbetsgruppen. Datatillsyns­ ställa ett mer enhetligt och sammanhängande synsätt gen­ mannen är inte positiv till att ge bindande kraft åt arbets­ temot tredje länder och internationella organisationer. gruppens ståndpunkter, särskilt på grund av enskilda da­ Bindande företagsregler bör ingå i det rättsliga instrumen­ taskyddsmyndigheters oberoende ställning. Datatillsyns­ tet. mannen rekommenderar att kommissionen inför särskilda bestämmelser för att öka samarbetet med Europeiska data­ tillsynsmannen i det nya rättsliga instrumentet. Polis och rättsväsende

179. Ett övergripande instrument som innefattar polis och 184. Datatillsynsmannen vädjar till kommissionen att så snart som möjligt inta en ståndpunkt i frågan om kontroll av rättsväsende kan möjliggöra särskilda regler som vederbör­ EU:s organ och storskaliga informationssystem, med tanke ligen tar hänsyn till särdragen inom denna sektor, i linje på att alla övervakande organ bör uppfylla det nödvändiga med förklaring 21 till Lissabonfördraget. Särskilda garan­ tier behöver införas för att kompensera registrerade per­ kriteriet med oberoende, tillräckliga resurser och verkstäl­ soner genom att ge dem extra skydd inom ett område där lande befogenheter och att man ser till att EU:s perspektiv hantering av personuppgifter är mer påträngande. är väl representerat. Datatillsynsmannen stöder modellen med ”samordnad övervakning”.

180. Den nya rättsliga ramen bör så långt det är möjligt vara Förbättringar inom det nuvarande systemet: tydlig, enkel och konsekvent. En spridning av olika system som exempelvis gäller för Europol, Eurojust, SIS och Prüm 185. Datatillsynsmannen uppmuntrar kommissionen att bör undvikas. Datatillsynsmannen inser att de olika syste­ mens regler måste anpassas noggrant och successivt. — fortsätta att övervaka att medlemsstaterna efterlever direktiv 95/46/EG och vid behov använda sina befo­ Dataskyddsmyndigheter och samarbete mellan dessa genheter enligt artikel 258 i fördraget om Europeiska myndigheter unionens funktionssätt,

181. Datatillsynsmannen stöder fullständigt kommissionens — uppmuntra verkställande på nationell nivå liksom målsättning att ta upp frågan om dataskyddsmyndigheter­ samordning av verkställande, nas ställning och stärka deras oberoende, resurser och befogenheter när det gäller verkställighet. Han rekommen­ — aktivt bygga in principer för uppgiftsskydd i nya för­ derar följande: ordningar som direkt eller indirekt kan påverka upp­ giftsskyddet, — Kodifiera i det nya rättsliga instrumentet det grund­ läggande begreppet med oberoende för dataskydds­ — aktivt fortsätta ytterligare samarbete mellan olika ak­ myndigheter, enligt specifikationen från EG-domsto­ törer på internationell nivå. len. — Slå fast i lagen att dataskyddsmyndigheterna måste få Utfärdat i Bryssel den 14 januari 2011. tillräckliga resurser.