Interconnection of central, commercial and companies registers

26.7.2011 Europeiska SV unionens officiella tidning C 220/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen över förslaget till Europaparlamentets och rådets direktiv om ändring av direktiven 89/666/EEG, 2005/56/EG och 2009/101/EG vad avser sammankoppling av centrala register, handelsregister och företagsregister

(2011/C 220/01)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA ändring av direktiven 89/666/EEG, 2005/56/EG och YTTRANDE 2009/101/EG vad avser sammankoppling av centrala regis­ ter, handelsregister och företagsregister ( 3 ) (”förslaget”) och samrådde därefter med Europeiska datatillsynsmannen.

med beaktande av fördraget om Europeiska unionens funktions­ sätt, särskilt artikel 16,

2. Europeiska datatillsynsmannen är nöjd över att ha blivit tillfrågad i enlighet med artikel 28.2 i förordning (EG) nr med beaktande av Europeiska unionens stadga om de grund­ 45/2001 och att det i ingressen till förslaget finns en hän­ läggande rättigheterna, särskilt artiklarna 7 och 8, visning till detta yttrande. med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda 1.1 Förslagets syfte personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( 1 ), 3. Syftet med förslaget är att underlätta och öka samarbetet och informationsutbytet över gränserna mellan bolagsregis­ ter i det Europeiska ekonomiska samarbetsområdet och därigenom göra den information som är tillgänglig över med beaktande av begäran om yttrande i enlighet med gränserna öppnare och mer tillförlitlig. Effektiva samarbets­ artikel 28.2 i Europaparlamentets och rådets förordning (EG) rutiner kring bolagsregister är avgörande för att öka tilltron nr 45/2001 av den 18 december 2000 om skydd för enskilda till den inre marknaden genom att ge konsumenter, lån­ då gemenskapsinstitutionerna och gemenskapsorganen behand­ givare och andra affärspartner ett säkrare näringslivsklimat, lar personuppgifter ( 2 ). samtidigt som den administrativa bördan minskar och rättssäkerheten ökar. Att utöka samarbetsrutinerna kring bolagsregister i Europa är särskilt viktigt vid hanteringen av fusioner, omlokalisering av företagssäten, uppdatering av registrering av utländska filialer i länder där det i dag HÄRIGENOM FRAMFÖRS FÖLJANDE. saknas samarbetsformer eller där dessa är begränsade.

1. Den 24 februari 2011 antog Europeiska kommissionen 4. Syftet med förslaget är att ändra tre befintliga direktiv enligt förslaget till Europaparlamentets och rådets direktiv om följande: C 220/2 SV Europeiska unionens officiella tidning 26.7.2011 — Ändringarna av direktiv 2009/101/EG ( 1 ) handlar om Europabolags (SE) säte ( 7 ) samt av europeiska kooperativa att underlätta tillgången till officiell företagsinformation föreningars (SCE-föreningar) säte ( 8 ). över gränserna genom att i) inrätta ett elektroniskt nät­ verk av bolagsregister och ii) fastställa en minsta ge­ mensamma uppsättning uppdaterad information som via en gemensam europeisk flerspråkig plattform/åt­ komstpunkt ska vara elektroniskt tillgänglig för tredje part. 7. År 1992 infördes en frivillig samarbetsform för bolagsregis­ ter i Europa. Det europeiska företagsregistret – European Business Register (EBR) ( 9 )– samordnar officiella bolagsregis­ ter från 19 medlemsländer och sex andra europeiska juris­ diktioner. Mellan 2006 och 2009 ingick EBR i forsknings­ projektet Brite ( 10 ) med syfte att utveckla en teknisk platt­ 2 form som skulle fungera för bolagsregister i hela Europa. — Genom ändringarna av direktiv 89/666/EEC ( ) ska ett Den konsekvensbedömning som görs i anslutning till för­ företags uppgifter i ett bolagsregister bli tillgängliga i slaget visar dock att EBR står inför stora utmaningar i fråga bolagsregistret för den utländska filialen i hela Europa. om utbyggnad, finansiering och styrning. Enligt kon­ sekvensbedömningen är inte den nuvarande samarbetsfor­ men helt tillfredsställande för potentiella användare. — Ändringarna av direktiv 2005/56/EG ( 3 ) ska förbättra bolagsregistrens inbördes administrativa samarbetsfor­ mer vid gränsöverskridande fusioner. 1.3 Synergier med andra initiativ

8. I motiveringen till förslaget noteras det att Europeiska ejuridikportalen ( 11 ) ska bli ett nav för tillgång till juridisk information, för rätts- och förvaltningsinstanser, register, databaser och andra tjänster på EU-nivå. Här bekräftas 1.2 Förslagets innehåll också att förslaget är ett komplement till den europeiska e-juridikportalen och ska bidra till att tredje part enklare får 5. Det finns bolagsregister i alla medlemsstater. De ligger på tillgång till bolagsinformation via portalen. antingen nationell, regional eller lokal nivå. År 1968 antogs gemensamma bestämmelser om att införa en lägsta stan­ dard för insyn (registrering och offentliggörande) i bolags­ information ( 4 ). Från den 1 januari 2007 måste medlems­ staterna också ha ett elektroniskt bolagsregister ( 5 ) och ge tredje part tillgång till innehållet via webben. 9. Enligt konsekvensbedömningen är Informationssystemet för den inre marknaden ( 12 ) (IMI) ett annat intilliggande projekt som kan ge synergieffekter. IMI är ett elektroniskt verktyg som tagits fram för att underlätta olika offentlig förvalt­ ningars vardagliga administrativa samarbete med anknyt­ ning till tjänstedirektivet (2006/123/EG) och direktivet om erkännande av yrkeskvalifikationer (2005/36/EG). Just 6. Samarbete kring bolagsregister från olika medlemsstater nu växer och uppdateras IMI och skulle enligt konsekvens­ krävs uttryckligen i en del EU-rättsliga instrument för att bedömningen också kunna stödja genomförandet av andra underlägga gränsöverskridande fusioner av bolag med be­ direktiv, däribland på bolagsrättens område. gränsat ansvar ( 6 ) och gränsöverskridande överföring av ett 26.7.2011 Europeiska SV unionens officiella tidning C 220/3 2.1 Offentliggörande av uppgifter genom en gemensam 2.2 Driftskompatibilitet och samkörning av bolags­ europeisk elektronisk plattform/åtkomstpunkt register: Införandet av elektroniskt nätverk

11. Enligt artikel 2 i direktiv 2009/101/EG som gäller i dag 16. Genom förslaget införs också en ny artikel 4a i direktiv finns det redan krav på att en viss miniminivå av uppgifter 2009/101/EG om att medlemsstaterna ska vidta nödvän­ ska offentliggöras i bolagsregistren i samtliga medlemstater diga åtgärder för att säkerställa att [bolagsregistren] är så att tredje part kan bedöma uppgifter om bolagen. Som driftskompatibla och bildar ett elektroniskt nätverk. Även framgår av avsnitt 1.2 ovan ska medlemsstaterna också föra här ska övriga detaljer fastställas i delegerade akter. elektroniska bolagsregister och ge tredje part tillgång till deras innehåll via webben.

12. I artikel 2 anges också elva grundläggande bolagsuppgifter 2.3 Bestämmelser om dataskydd som ska offentliggöras för allmänheten, däribland 17. För att hantera eventuella dataskyddsproblem införs genom förslaget i alla tre direktiven en särskild artikel om data­ skydd: Den behandling av personuppgifter som utförs inom — stiftelseurkund, bolagsordning och eventuella ändringar ramen för detta direktiv ska omfattas av Europaparlamen­ av den, tets och rådets direktiv 95/46/EG. — det tecknade kapitalets storlek, — redovisningshandlingar, 3.1 Inledning: Att samtidigt uppfylla behovet av insyn och skyddet av privatlivet

18. Europeiska datatillsynsmannen håller med kommissionen — byte av bolagets säte, om att i) användningen av informations- och kommunika­ tionsteknik kan bidra till ett effektivare samarbete kring bolagsregister och ii) att ökad tillgång till uppgifter ur bo­ lagsregister kan ge ökad öppenhet. Europeiska datatillsyns­ — upplösning, ogiltigförklaring, utnämning av likvidatorer, mannen stöder därför syftet med förslaget. Kommentarerna avslutning av likvidation, uppgift om avregistrering. ska därför ses som konstruktiva.

13. Viktigt i dataskyddshänseende är att det i artikel 2 också krävs offentlighet kring tillsättande och entledigande av samt personuppgifter (vår understrykning) om dem som i) är behöriga att företräda bolaget och/eller ii) på annat 19. Samtidigt betonar Europeiska datatillsynsmannen att ökad sätt deltar i ledning, tillsyn eller kontroll av bolaget. tillgång till personuppgifter också medför ökad risk för samma personuppgifter. Om det till exempel blir lättare att göra en korrekt identifiering av en bolagsföreträdare när hans bostadsadress offentliggörs kan samma öppenhet 14. Förteckningen över uppgifter som ska offentliggöras i en­ också få negativa konsekvenser för samma persons rätt till lighet med artikel 2 ändras inte genom förslaget. Det är inte skydd av sina personuppgifter. Detta gäller särskilt person­ heller något nytt krav att alla medlemsstater ska göra upp­ uppgifter som blir tillgängliga i stor skala, i digitalt format gifterna offentligt tillgängliga på elektronisk väg. Det nya i på internet och på flera språk via en lättillgänglig europeisk förslaget är att de uppgifter som tidigare bara har varit plattform/åtkomstpunkt. tillgängliga i fragment, ofta bara på lokala språk och via lokala webbplatser, nu blir lätt tillgängliga via en gemensam europeisk plattform/åtkomstpunkt och på flera språk.

20. För inte alltför länge sedan offentliggjordes personuppgifter 15. För att åstadkomma detta införs i förslaget en ny artikel 3a ur bolagsregister (till exempel en direktörs namn, adress i direktivet: Medlemsstaterna ska se till att varje sökande får och namnteckning) för allmänheten på papper, på ett lokalt tillgång till de handlingar och uppgifter som avses i språk och ofta vid personligt besök av den sökande vid ett artikel 2 och som har getts in till deras register, i elektro­ av bolagsregistrets lokalkontor. Det är viktigt att förstå att nisk form genom en enda europeisk plattform som är till­ dessa förhållanden skiljer sig kvalitativt från ett digitalt of­ gänglig från varje medlemsstat. Övriga detaljer ska enligt fentliggörande av uppgifter via en nationstäckande elektro­ förslaget fastställas i delegerade akter. nisk åtkomstpunkt. Offentliggörande av personuppgifter via C 220/4 SV Europeiska unionens officiella tidning 26.7.2011 en lättillgänglig Europatäckande plattform/åtkomstpunkt Ytterligare bestämmelser om genomförandet av specifika driver saken ytterligare ett steg i samma riktning och skyddsåtgärder kan sedan behandlas i delegerade akter efter ökar tillgången till information ytterligare, liksom hoten samråd med Europeiska datatillsynsmannen och, i tillämp­ mot personuppgifternas skydd och mot berörda individer. liga fall, med nationella dataskyddsmyndigheter (se avsnitt 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 och 3.13).

21. Ett hot mot den personliga integriteten är (på grund av att uppgifterna är lätt tillgängliga i digitalt format via en ge­ mensam elektronisk åtkomstpunkt) identitetsstöld och an­ 3.3 Övriga väsentliga delar i de föreslagna åtgärderna nan kriminell verksamhet. Ett annat är att de offentliggjorda bör också tydliggöras uppgifterna olagligen kan samlas in och efter profilering av 26. I förslaget utelämnas inte bara frågan om viktiga data­ de berörda personerna användas av företag i kommersiella skyddsåtgärder. Förslaget är också mycket vagt i andra hän­ syften som inte ursprungligen avsågs. Utan adekvat skydd seenden. Framför allt hänvisas det till delegerade akter när kan också uppgifterna säljas till andra eller samköras med det gäller att fastställa väsentliga delar, till exempel hur den andra uppgifter och säljas tillbaka till stater och regeringar föreslagna i) sammankopplingen av bolagsregister och ii) för att användas i helt andra och okända syften (till exem­ offentliggörandet av uppgifter ska uppnås. pel skattejuridiska frågor eller andra brotts- eller förvalt­ ningsrelaterade utredningar) utan korrekt rättslig grund ( 1 ).

27. Tydlighet kring dessa övriga väsentliga delar i förslaget är 22. Av dessa skäl måste man noggrant bedöma vilka person­ en nödvändig förutsättning för att kunna anta adekvata uppgifter som ska bli tillgängliga via den gemensamma dataskyddsåtgärder. Datatillsynsmannen rekommenderar europeiska plattformen/åtkomstpunkten och vilka extra da­ därför att dessa väsentliga delar anges i förslaget till direktiv taskyddsåtgärder – inklusive tekniska åtgärder för att be­ (se avsnitt 3.4 och 3.5). gränsa sökningar eller nedladdning och utvinning av data – som bör införas. 3.4 Styrning: Roller, behörighet och ansvarsområden 3.2 Viktiga dataskyddsåtgärder bör anges i förslaget bör klargöras i förslaget till direktiv och inte definieras i delegerade akter

28. I dagsläget hänvisas det i förslaget till delegerade akter när 23. Som vi påpekade i avsnitt 2.1 och 2.2 är de föreslagna det gäller fastställandet av bestämmelser kring styrning, artiklarna 3a och 4a till direktiv 2009/101/EG mycket ge­ ledning, drift och rätt att driva det elektroniska nätver­ nerella och överlämnar många viktiga frågor till delegerade ket ( 2 ). akter.

24. Europeiska datatillsynsmannen inser att det finns ett behov 29. I konsekvensbedömningen och motiveringen definieras av flexibilitet och därmed även ett behov av delegerade vissa synergier med IMI och Europeisk e-juridikportal akter. Men han vill samtidigt betona att de dataskyddsåtgär­ men i själva förslaget till direktiv lämnas dörren öppen der som behövs är mycket viktiga och bör tydligt och för olika alternativ i fråga om huruvida några synergier specifikt anges direkt i det föreslagna direktivet. De kan i alls – eller alla möjliga synergier – ska uppnås, däribland detta hänseende inte ses som ”icke väsentliga delar” som omstrukturering av EBR, användningen av IMI för viss data­ kan behandlas i efterföljande delegerade akter som antas överföring och/eller användningen av Europeisk e-juridik­ enligt artikel 290 i föredraget om Europeiska unionens portal som plattform/åtkomstpunkt för att lämna uppgifter funktionssätt. ur bolagsregister till allmänheten.

25. Europeiska datatillsynsmannen rekommenderar därför att 30. Andra alternativ utesluts inte heller, som att lägga ut rätten bestämmelserna om dataskydd i förslaget ska göras mer att utforma och driva det elektroniska nätverket på anbud specifika och vara mer utförliga än att enbart innehålla eller att kommissionen tar ett direkt ansvar för att utforma en hänvisning till direktiv 95/46/EG (se avsnitt 3.4–3.13). och driva systemet. Företrädare för medlemsstaterna kan också engageras i ledningsstrukturen för det elektroniska ( 1 ) Det finns en framväxande marknad för försäljning av den här typen nätverket. av företaginformation. Tjänsteleverantörer på denna marknad vär­ derar företagens/enskilda personers trovärdighet på grundval av upp­ gifter som samlas in från olika platser, däribland bolagsregister, ( 2 ) Se förslaget till formulering för artikel 4a och 3 a i direktiv domstolar, konkursförvaltare osv. 2009/101/EG. 26.7.2011 Europeiska SV unionens officiella tidning C 220/5

31. I sin nuvarande form anges visserligen en gemensam eu­ 36. Europeiska datatillsynsmannen betonar att tydlighet framför ropeisk elektronisk plattform (vår understrykning) i försla­ allt krävs i situationer med flera aktörer involverade och i get, men det är inte uteslutet att texten ändras ytterligare i samarbeten. Detta är ofta fallet med EU:s informations­ lagstiftningsförfarandet för att gälla en mer decentraliserad system som används för offentliga syften och där syftet struktur. med bearbetningen anges i EU-lagstiftningen.

37. Därför rekommenderar Europeiska datatillsynsmannen att 32. Dataillsynsmannen observerar också att det nuvarande för­ man i själva direktivet specifikt, tydligt och entydigt fast­ slaget visserligen inte specifikt tar upp frågan om samkör­ ställer ning av bolagsregister med andra databaser (till exempel med fastighets- och folkbokföringsregister) men detta är definitivt tekniskt möjligt och något som redan görs i vissa medlemsstater ( 1 ). — huruvida det elektroniska nätverket ska drivas av kom­ missionen eller av tredje part och huruvida det får en centraliserad eller decentraliserad struktur,

33. Valet av något av alternativen kan leda till helt olika struk­ turer för styrningen av det elektroniska nätverket och det elektroniska verktyg som ska användas för att offentliggöra uppgifter. Detta leder i sin tur till olika roller och ansvars­ — uppgifter och ansvarsområden för alla berörda i data­ områden för berörda parter, vilket i sin tur också leder till behandlingen och styrningen av det elektroniska nätver­ andra roller och ansvarsområden ur ett dataskyddsperspek­ ket, inklusive kommissionen, medlemsstaternas företrä­ tiv. dare, bolagsregistrens innehavare i medlemsstaterna och eventuella tredje parter,

34. Europeiska datatillsynsmannen betonar i det hänseendet att — förhållandet mellan det elektroniska system som avses i varje gång personuppgifter bearbetas är det av största vikt förslaget och andra initiativ, till exempel IMI, Europeisk att korrekt definiera vem som är ”ansvarig”. Detta betonade e-juridikportal och EBR. också artikel 29-arbetsgruppen för skydd av personuppgif­ ter i sitt yttrande 1/2010 om begreppen ”registeransvarig” och ”registerförare” ( 2 ). Det främsta skälet till varför det är så viktigt att klart och entydigt definiera vem som är an­ svarig är att detta avgör vem som ansvarar för att datas­ 38. Ur ett dataskyddsperspektiv bör även dessa klargöranden kyddsbestämmelserna följs. Det har också betydelse för att vara specifika och entydiga så att man på grundval av avgöra vilken lagstiftning som är tillämplig ( 3 ). förslaget till direktiv kan avgöra huruvida en viss aktör ska betraktas som ”registeransvarig” eller ”registerförare”.

35. Artikel 29-arbetsgruppen konstaterar följande i sitt ytt­ rande: Om det inte är tillräckligt tydligt vad som krävs av 39. Enligt vad som kan utläsas av det nuvarande förslaget i dess vem – om t.ex. ingen är ansvarig eller det finns en mängd helhet bör det i princip uttryckligen bidra till att bolags­ möjliga registeransvariga – finns det en uppenbar risk för registrens innehavare respektive systemens operatör/er be­ att alldeles för lite – eller inget alls – händer och att de traktas som registeransvariga vad gäller sin egen verksam­ rättsliga bestämmelserna förblir ineffektiva. het. Mot bakgrund av detta och med tanke på att det i förslaget i nuläget inte finns någon beskrivning av lednings­ ( 1 ) Samkörning tas i dagsläget inte upp i förslaget och Europeiska data­ strukturen eller någon definition av vem som ska driva det tillsynsmannen kommer inte att behandla frågan vidare i detta ytt­ elektroniska systemet kan man inte uteslut att den eller de rande. Han vill dock lyfta fram det faktum att om eventuell sam­ enheter som till sist ska driva systemet rent praktiskt kom­ körning övervägs kan detta kräva en egen analys av proportionali­ mer att fungera som registerförare snarare än registeransva­ teten samt att ytterligare lämpliga dataskyddsåtgärder införs. riga. Detta kan mycket väl bli fallet om verksamheten läggs ( 2 ) Se artikel 2d och 2e i både direktiv 95/46/EG och i förordning (EG) ut på entreprenad på en tredje part som agerar strikt utifrån nr 45/2001 samt yttrande 1/2010 av den 16 februari 2010 från artikel 29-arbetsgruppen för skydd av personuppgifter om begrep­ givna anvisningar. Det förefaller i vilket fall som om det pen registeransvarig och registerförare (WP 169). kvarstår flera olika registeransvariga, minst en i varje med­ ( 3 ) Eftersom dataskyddslagstiftningen inte är helt harmoniserad inom lemsstat, det vill säga de enheter som håller i bolagsregi­ Europa är den registeransvariges identitet viktig för att kunna avgöra stren. Att det också kan finnas andra (privata) enheter som vilken nationell lagstiftning som är tillämplig. Det är också på sin är engagerade som operatörer, ”distributörer” eller liknande plats att avgöra huruvida direktiv 95/46/EG eller förordning (EG) nr förändrar inte saken. Detta bör i vilket fall specificeras i det 45/2001 är tillämplig. Om kommissionen (också) är registeransvarig blir (även) förordning (EG) nr 45/2001 tillämplig, vilket framgår av föreslagna direktivet för att skapa tydlighet och värna om avsnitt 3.11. rättssäkerheten. C 220/6 SV Europeiska unionens officiella tidning 26.7.2011

40. Sist men inte minst bör man i förslaget också mer specifikt 3.6 Andra centrala frågor som hänskjuts till delegerade och kortfattat beskriva vilka ansvarsområden som följer akter bör också diskuteras i förslaget till direktiv med dessa roller. Operatörens roll för att se till att systemet utformas på ett sätt som värnar om den personliga integ­ 45. Enligt förslaget ska också följande frågor fastställas i dele­ riteten samt vederbörandes samordnande funktion och hän­ gerade akter ( 3 ): syn till dataskyddsfrågor bör till exempel tas med i försla­ get.

41. Europeiska datatillsynsmannen konstaterar att alla dessa förtydliganden också är viktiga för att avgöra vilka datatill­ — Villkoren för medverkan i det elektroniska nätverket för synsmyndigheter som är behöriga och för vilken behand­ länder utanför EES-området. ling av personuppgifter. 3.5 Rättsliga ramar och rättslig grund för samarbeten kring dataflöden/förvaltning bör anges i förslaget till direktiv — Lägsta säkerhetsnivå för det elektroniska nätverket.

42. I den nuvarande utformningen verkar det inte som om det elektroniska nätverket ska bidra till att alla uppgifter i re­ spektive bolagsregister blir automatiskt tillgängliga för samtliga övriga bolagsregister i medlemsstaterna. Förslaget anger bara att bolagsregistren ska vara sammankopplade och driftskompatibla och förlägger därmed villkoren för — Definitionen av standard för format, innehåll och be­ informationsutbyten och tillgång till framtiden. För att ga­ gränsningar för lagring och hämtning av handlingar och rantera rättssäkerheten bör det av förslaget framgå huruvida uppgifter som underlättar automatiskt datautbyte. denna tolkning är korrekt.

43. I förslaget anges inte heller vilka dataflöden/administrativa samarbetsförfaranden som kan ske via de sammankopplade bolagsregistren ( 1 ). Europeiska datatillsynsmannen har för­ 46. Vad gäller första och andra strecksatsen anser Europeiska ståelse för att det krävs viss flexibilitet så att eventuella datatillsynsmannen att vissa viktiga säkerhetsåtgärder bör framtida behov kan tillgodoses. Men Europeiska datatill­ anges i förslaget till direktiv (se avsnitt 3.12 och 3.13). synsmannen anser ändå att det är av största vikt att man Ytterligare detaljer kan därefter fastställas i de delegerade i förslaget anger ramen för vilka dataflöden och administ­ akterna. rativa samarbetsformer som kan skapas i framtiden för att utnyttja det elektroniska nätverket. Detta är av särskild be­ tydelse för att garantera att i) allt utbyte av uppgifter görs på tydliga rättsliga grunder och att ii) adekvata dataskydds­ åtgärder införs.

47. När det gäller automatiska datautbyten är Europeiska data­ tillsynsmannen glad över att det i förslaget heter att de 44. Enligt Europeiska datatillsynsmannen bör allt datautbyte delegerade akterna ska innehålla definition av standarder eller annan databehandling som görs med hjälp av det för format, innehåll och begränsningar för lagring och elektroniska nätverket (till exempel offentliggörande av per­ hämtning av handlingar och uppgifter som möjliggör auto­ sonuppgifter via den gemensamma plattformen/åtkomst­ matiskt datautbyte. punkten) bygga på en bindande EU-rättsakt som antagits på rättsliga grunder. Detta bör tydligt framgå av förslaget till direktiv ( 2 ). 26.7.2011 Europeiska SV unionens officiella tidning C 220/7

49. För att skapa ytterligare klarhet rekommenderar Europeiska Uttrycket ’uppgifter om personer’ bör klargöras i förslaget till datatillsynsmannen också att den föreslagna formuleringen direktiv av artikel 4 a (3 i) i direktiv 2009/101/EG ändras så att i) delegerade akter blir heltäckande för både manuellt och 55. I artikel 2 i direktiv 2009/101/EG finns ingen definition av automatiskt datautbyte ii) all behandling som kan gälla vilka uppgifter om berörda personer (personer som företrä­ personuppgifter (inte bara lagring och hämtning) omfattas, der bolaget och andra som deltar i bolagets styrning) som iii) särskilda dataskyddsbestämmelser i delegerade akter måste offentliggöras. också täcker den praktiska tillämpningen av aktuella data­ skyddsåtgärder.

56. De olika språkversionerna av förslaget visar faktiskt märk­ 50. Artikel 4 a (3 i) kan till exempel ändras enligt följande: bara skillnader vad gäller översättningen av begreppet per­ sonuppgifter (particulars of persons). På franska heter det till exempel l’identité des personnes (dvs. personens identitet), på italienska le generalità delle persone (dvs. personliga detaljer i) format, innehåll och gränser för all manuell eller auto­ såsom för- och efternamn), på ungerska személyek adatai matisk databehandling som görs med användning av (dvs. uppgifter om personen), på nederländska de identiteit nätverket, inklusive överföring, lagring och hämtning van de personen (dvs. personens identitet) och på rumänska av information samt specifika åtgärder som kan bli nöd­ identitatea persoanelor (dvs. personens identitet). vändiga för att garantera den praktiska tillämpningen av aktuella dataskyddsåtgärder. 3.7 Kategorierna av personuppgifter bör förtydigas 57. I vissa medlemsstater är företagschefers och/eller andra per­ ytterligare i förslaget till direktiv soners, till exempel särskilda aktieägares, bostadsadresser offentliga på internet. I andra medlemsstater är sådana upp­ 51. Europeiska datatillsynsmannen betonar preliminärt att gifter av sekretessbelagda i det bolagsregister där de lagts in, namn (och eventuellt andra detaljer som bostadsadress) bland annat av rädsla för identitetsstöld. på bolagens företrädare (och andra personer som medver­ kar i bolagets styrning) utan tvekan utgör den mest uppen­ bara personuppgift som kan behandlas i det elektroniska nätverket och/eller offentliggöras via den gemensamma elektroniska plattform/åtkomstpunkten. Det är dock långt ifrån den enda uppgift som finns i bolagsregistren. 58. Europeiska datatillsynsmannen rekommenderar att artikel 2 i direktiv 2009/101/EG ändras så att det klargörs vilka – om några – personuppgifter utöver de berörda personernas (företrädare för bolaget och andra personer som medverkar 52. Först och främst kan vissa av de handlingar som finns i bolagets styrning) namn som måste offentliggöras. Däri­ förtecknade i artikel 2 i direktiv 2009/101/EG (till exempel genom bör behovet av insyn och korrekt identifiering av stiftelseurkund, bolagsordning och redovisningar) också in­ dessa personer beaktas noggrant och samtidigt vägas mot nehålla personuppgifter som rör andra individer. Dessa andra konkurrerande hänsyn, till exempel behovet av att skydda de berördas personliga integritet ( 1 ). uppgifter kan vara namn, adress, eventuella personnummer och födelsedata liksom inskannade namnteckningar från en rad olika personer, däribland dem som grundade företaget, aktieägare, advokater, revisorer, anställda eller notarius pub­ licus. 59. Om ingen överenskommelse kan nås på grund av varie­ rande nationell praxis bör man åtminstone ändra artikel 2 så att det krävs att det fullständiga namnet på berörda 53. För det andra kan företagsuppgifter som sammankopplas personer och, om så uttryckligen krävs i nationell lagstift­ till en persons namn (till exempel en direktör) också be­ ning, ytterligare uppgifter som krävs för deras identifiering traktas som denna individs personuppgifter. Om uppgif­ ska offentliggörs. Det blir därmed tydligt att varje enskild terna från bolagsregistret till exempel visar att en viss indi­ medlemsstat i sin nationella lagstiftning kan avgöra vilka, vid ingår i styrelsen för ett företag som omfattas av ett konkursförfarande är denna information också relevant ( 1 ) Vid proportionalitetsbedömningen bör framför allt hänsyn tas till de för denna individ. kriterier som fastställs av EU-domstolen i dom av den 9 november 2010 i det gemensamma målet C-92/09 och C-93/09, Schecke och Eifert, REG, framför allt punkterna 81, 65 och 86). I målet Schecke betonade domstolen att undantag och begränsningar av skyddet av 54. För att skapa klarhet kring vilka personuppgifter som be­ den personliga integriteten enbart ska tillämpas om det är absolut nödvändigt. Domstolen ansåg också att institutionerna bör under­ handlas och för att bredden av uppgifter som behandlas ska söka olika metoder för offentliggörande för att hitta den metod som stå i proportion till syftet med förslaget rekommenderar överensstämmer med offentliggörandets syfte och samtidigt vållar Europeiska datatillsynsmannen de förtydliganden som redo­ minsta besvär för den berörda personens rätt till sitt privatliv i visas längre fram i detta avsnitt. allmänhet och skyddet av personuppgifter i synnerhet. C 220/8 SV Europeiska unionens officiella tidning 26.7.2011 om några, uppgifter utöver namn som ska offentliggöras sökas av valfri tredje part via en elektronisk portal som vill och att ytterligare personuppgifter endast måste offentlig­ ha information om bolagsföreträdare som har avstängts göras om det behövs för att identifiera den berörda perso­ från sin verksamhet. nen.

65. För att hantera detta problem rekommenderar Europeiska 60. Med tanke på att det i artikel 2 talas om minst följande datatillsynsmannen att man i förslaget klargör huruvida och handlingar och uppgifter snarare än en fullständig harmoni­ i vilken utsträckning medlemsstaterna efterhand får offent­ sering av innehållet i bolagsregister i Europa kan ett alter­ liggöra mer information via den gemensamma portalen nativ vara att helt enkelt ersätta begreppet personuppgifter och/eller efterhand om de så önskar får utbyta mer infor­ med personers fullständiga namn. Det blir därmed varje en­ mation med varandra med utgångspunkt från respektive skild medlemsstat som kan avgöra vilka, om några, ytterli­ nationell lagstiftning. I detta fall bör en strikt proportiona­ gare uppgifter de vill offentliggöra. litetsbedömning (se Schecke, ovan) bygga på nationell lag­ stiftning och också beakta målet för den inre marknaden. Uttrycket ”ledning, tillsyn eller kontroll” bör klargöras

61. I artikel 2 i direktiv 2009/101/EG heter det också att upp­ 66. Europeiska datatillsynsmannen föreslår dessutom att utnytt­ gifter ska offentligöras om personer som deltar i bolagets jandet av dessa befogenheter knyts till en funktion som ska ledning, tillsyn eller kontroll. Det är med hjälp av denna breda fyllas av nationella dataskyddsmyndigheter, till exempel via formulering inte helt tydligt huruvida uppgifter om aktie­ samråd. ägare måste offentliggöras, framför allt uppgifter om aktie­ ägare som har i) ett betydande, inflytelserikt eller kontrol­ lerande innehav utöver ett visst tröskelvärde eller ii) genom bonusar, särskilda avtal eller på annat sätt utövar reell kont­ roll/inflytande över bolaget. 67. Slutligen betonar Europeiska datatillsynsmannen att om ett europeiskt system skulle tas fram för att uttryckligen åstad­ komma sådana ”svarta listor” bör det också ha angivits uttryckligen i förslaget till direktiv ( 1 ).

62. Europeiska datatillsynsmannen förstår att det krävs en bred formulering för att täcka in den stora variationen av bolags­ styrningar som i dag finns för aktiebolag i de olika med­ lemsstaterna. Men rättssäkerheten i fråga om vilka katego­ rier av personer som kan omfattas av ett offentliggörande 3.8 Garantier för att begränsa syftet: Skyddsåtgärder är viktig ur ett dataskyddsperspektiv. Därför rekommende­ mot datainsamling, datautvinning, samkörning och ex­ rar Europeiska datatillsynsmannen att artikel 2 i direktiv trema sökningar 2009/101/EG ändras för att klargöra vilka, om några, per­ sonuppgifter kring aktieägare som måste offentliggöras. I 68. Europeiska datatillsynsmannen rekommenderar att förslaget samband med detta måste också en proportionalitetsanalys till direktiv särskilt anger att varje gång personuppgifter i enlighet med målet Schecke (enligt not ovan) också göras. offentliggörs eller på annat sätt sprids bland bolagsregister bör det finnas lämpliga skyddsåtgärder, framför allt mot datainsamling, datautvinning, samkörning och extrema sök­ ningar för att grantera att personuppgifter som offentligg­ jorts för att främja öppenhet inte missbrukas för andra Offentliggörande utöver lägsta angivna nivå – svarta listor syften än just detta ( 2 ).

63. Även om det enligt förslaget inte krävs något utbyte eller offentliggörande av personuppgifter utöver de minimikrav som anges i artikel 2 i direktiv 2009/101/EG har ändå medlemsstaterna möjlighet att om de vill kräva att deras 69. Europeiska datatillsynsmannen betonar särskilt behovet av bolagsregister behandlar eller lämnar ut ytterligare person­ att beakta tekniska och organisatoriska åtgärder som följer uppgifter och gör dem tillgängliga även via den gemen­ principen om integritetsfrämjande teknik (se avsnitt 3.14). samma europeiska plattformen/åtkomstpunkten och/eller Det praktiska införandet av dessa skyddsåtgärder kan hän­ utbyter sådana uppgifter med bolagsregister i andra med­ skjutas till delegerade akter. Principerna bör dock anges i lemsstater. förslaget till direktiv. 26.7.2011 Europeiska SV unionens officiella tidning C 220/9 3.9 Uppgifter till den som registrerats samt öppenhet som inte har fullgott skydd av personuppgifter betonar Europeiska datatillsynsmannen först och främst att det är 70. Europeiska datatillsynsmannen rekommenderar att det i viktigt att urskilja två situationer, nämligen förslaget till direktiv finns en särskild bestämmelse om att information enligt artiklarna 10 och 11 i direktiv 95/46/EG (och i tillämpliga fall motsvarande bestämmelser i förord­ ning (EG) nr 45/2001) effektivt och i sin helhet bör lämnas ut till de registrerade personerna. Dessutom, och beroende på den ledningsstruktur som överenskommits och de olika — fall där personuppgifterna redan finns tillgängliga i of­ berörda parternas roller och ansvarsområden, kan man i fentliga register (till exempel via den gemensamma eu­ förslaget till direktiv uttryckligen kräva att ett systems ope­ ropeiska plattformen/åtkomstpunkten), ratör på sin webbplats i förebyggande syfte lämnar medde­ landen och annan information till personer som registre­ rats, även om det är på bolagsregistrets ”vägnar”. Närmare detaljer kan om så behövs formuleras i delegerade akter eller fastställas i en dataskyddspolicy. — fall där personuppgifterna inte är offentliggjorda.

75. I det första fallet kan undantag beviljas enligt artikel 26.1 f 3.10 Rätt till tillgång, rättelse och radering i direktiv 95/46/EG när överföringen görs från ett offentligt 71. I förslaget ska det åtminstone finnas en hänvisning till register och på vissa villkor. Om till exempel innehavaren kravet att ta fram bestämmelser (i delegerade akter) om av ett bolagsregister i ett europeiskt land vill överföra en given uppsättning personuppgifter (till exempel i samband system som gör att registrerade personer kan utnyttja med registreringen av utländska filialer) till innehavaren av sina rättigheter Det bör också finnas en hänvisning till ett bolagsregister i ett tredjeland och samma uppgifter re­ möjligheten att bygga upp dataskyddsmoduler och utforma lösningar där registren utformas med integritetsfrämjande dan är offentliggjorda skulle överföringen i vilket fall vara teknik samt där myndigheterna samarbetar kring den regi­ möjlig att göra även om det aktuella tredjelandet inte har strerades rätt att ta del av uppgifter, liksom i tillämpliga fall tillräckligt hög skyddsnivå. mer ”egenmakt” för de registrerade.

76. I det andra fallet rekommenderar Europeiska datatillsyns­ mannen att man i förslaget klargör att uppgifter som inte är offentliggjorda bara kan överföras till enheter eller per­ 3.11 Tillämplig lagstiftning soner i ett tredjeland utan tillräcklig skyddsnivå om den 72. Eftersom det finns en möjlighet att kommissionen eller registeransvariga kräver adekvat skyddsnivå för att värna någon annan EU-institution/organ också kan behandla per­ om den registrerades personliga integritet och grundläg­ sonuppgifter i det elektroniska nätverket (till exempel ge­ gande rättigheter och friheter samt vederbörandes möjlighet nom att fungera som operatör eller genom att hämta per­ att utöva dessa rättigheter. Sådana skyddsåtgärder kan fram­ sonuppgifter från det), bör en hänvisning också göras till för allt stipuleras i lämpliga avtalsklausuler i enlighet med förordning (EG) nr 45/2001. artikel 26.2 i direktiv 95/46/EG ( 1 ). Om sådan dataöver­ föring till tredjeländer systematiskt innebär att uppgifter delas mellan bolagsregister i två eller flera EU-länder eller om det på annat sätt krävs en insats på EU-nivå kan även här en förhandling om särskilda avtalsklausuler föras på EU-nivå (artikel 26.4).

73. Det bör också framgå att direktiv 95/46/EG gäller både bolagsregister och andra parter som agerar enligt nationell lagstiftning i medlemsstaterna, medan förordning (EG) nr 45/2001 gäller kommissionen och övriga EU-institutioner och EU-organ. 77. Europeiska datatillsynsmannen betonar att andra undantag, till exempel där överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk (artikel 26 d), inte får utnyttjas för att motivera systematisk överföring av personuppgifter till tredjeländer med hjälp av det elektroniska nätverket. 3.12 Överföring av personuppgifter till tredjeland ( 1 ) Om det är möjligt att kommissionen i vissa fall är en av de aktörer 74. När innehavaren av ett bolagsregister ska överföra person­ som kan överföra uppgifter till tredjeländer bör en hänvisning också uppgifter till innehavaren av ett bolagsregister i tredjeland göras till artikel 9.1 och 9.7 i förordning (EG) nr 45/2001. C 220/10 SV Europeiska unionens officiella tidning 26.7.2011 3.13 Ansvarsskyldighet och integritetsfrämjande — Andra skyddsåtgärder för att förhindra/begränsa ned­ teknik laddning i stora volymer, datautvinnig, extrema sök­ ningar och garantera adekvat begränsning enligt ett gi­ 78. Europeiska datatillsynsmannen rekommenderar att man i vet syfte; skyddsåtgärder för att förhindra eller begränsa förslaget uttryckligen hänvisar till och strävar efter att ge­ tredje parts möjlighet att använda sökfunktionen för att nomföra principen om ansvarsskyldighet ( 1 ) och fastställer samla in uppgifter och skapa profiler över personer (till en tydlig ram för lämpliga interna mekanismer och kont­ exempel ”captcha” ( 3 ) eller registreringskrav för betal­ rollsystem så att skyddsnivåer följs och även kan bevisas, ning), till exempel genom att — göra en konsekvensbedömning om den personliga in­ — Inbyggda systemfunktioner som gör det lättare för den tegriteten (med en analys av säkerhetsriskerna) innan registrerade att utöva sina rättigheter direkt; inbyggda systemet utformas, funktioner så att bolagsregistren kan samordna sig in­ bördes för att uppfylla den registrerades krav på tillgång till uppgifter. — anta och i tillämpliga fall uppdatera en formell datas­ kyddspolicy (genomförandebestämmelser) och även en säkerhetsplan, — Rutiner för att hantera information om sökande som laddar ner uppgifter från offentliga register på ett säkert — göra regelbundna granskningar för att bedöma datas­ och integritetsfrämjande sätt. kyddets och säkerhetspolicyns fortsatta lämplighet och överensstämmelse med bestämmelserna, — Gransknings-/spårningsmekanismer. — offentliggöra (åtminstone delvis) resultaten av dessa granskningar för att visa intressenterna att dataskyddet efterlevs, IV. SLUTSATSER — anmäla dataintrång och andra säkerhetsrelaterade inci­ 80. Europeiska datatillsynsmannen stöder förslagets syfte. Kom­ denter. mentarerna ska därför ses som konstruktiva.

79. Det bör finnas en särskild hänvisning till integritetsfräm­ jande teknik ( 2 ) i förslaget och åtagandet bör också kon­ 81. Europeiska datatillsynsmannen betonar att ett nödvändigt kretiseras i åtgärder. Förslaget bör framför allt fastställa att uppgiftsskydd tydligt och uttryckligen ska anges direkt i det elektroniska nätverket ska ha en säker och trygg kon­ direktivet eftersom de är väsentliga delar. Kompletterande struktion så att flera skyddsmekanismer är automatiskt in­ bestämmelser om genomförandet av särskilda skyddsåtgär­ byggda. Följande är några exempel på skyddsåtgärder ge­ der kan därefter fastställas i delegerade akter. nom integritetsfrämjande teknik: — Ett decentraliserat synsätt där personuppgifter endast 82. Frågorna om styrning, roller, behörighets- och ansvars­ lagras i en central källa (”master”) varifrån de enskilda områden måste behandlas i förslaget till direktiv. Därför ”distributörerna” hämtar uppgifter (för att garantera att bör det av direktivet framgå uppgifterna är aktuella). — Automatiska processer med sökningar av inkonsekventa — huruvida det elektroniska nätverket ska drivas av kom­ eller felaktiga uppgifter. missionen eller tredje part och huruvida det ska ha en centraliserad eller decentraliserad struktur, — Begränsade sökmöjligheter där bara de uppgifter index­ eras som är proportionella och adekvata för det aktuella syftet. — uppdrag och ansvarsområden för alla parter som är berörda i databehandling och styrning av det elektro­ ( 1 ) Se avsnitt 7 i Europeiska datatillsynsmannens yttrande över kom­ niska nätverket, inklusive kommissionen, medlemssta­ missionens meddelande till Europaparlamentet, rådet, Europeiska ternas företrädare, innehavarna av bolagsregister i med­ ekonomiska och sociala kommittén och Regionkommittén: Ett sam­ lemsstaterna och eventuella tredje parter, lat grepp på skyddet av personuppgifter i Europeiska unionen, den 14 januari 2011, http://www.edps.europa.eu/EDPSWEB/webdav/site/ mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_ ( 3 ) En ”captcha” är ett slags text modell utmaning-svar som används Personal_Data_Protection_EN.pdf inom IT-teknik för att försöka garantera att svaret inte genereras av ( 2 ) Idem. en dator. 26.7.2011 Europeiska SV unionens officiella tidning C 220/11 — förhållandet mellan det elektroniska system som be­ automatiskt datautbyte. Förslaget bör också ändras så handlas i förslaget och övriga initiativ som IMI, Eu­ att i) delegerade akter blir heltäckande för både manu­ ropeisk e-juridikportal och EBR, ellt och automatiskt datautbyte, ii) all behandling som kan gälla personuppgifter (inte bara lagring och hämt­ ning) omfattas, iii) särskilda dataskyddsbestämmelser i — särskilda och tydliga angivelser för att kunna avgöra delegerade akter också täcker den praktiska tillämp­ huruvida en viss aktör ska betraktas som ”registeransva­ ningen av aktuella dataskyddsåtgärder. rig” eller ”registerförare”. — Genom förslaget bör artikel 2 i direktiv 2009/101/EG 83. All databehandling som görs med hjälp av det elektroniska ändras så att det tydligt framgår vilka, om några, per­ nätverket bör bygga på bindande rättsliga instrument, till sonuppgifter utöver de berörda personernas namn som exempel en viss EU-rättsakt som antagits på rättsliga grun­ måste offentliggöras. Det bör också klargöras huruvida der. Detta bör tydligt anges i förslaget till direktiv. uppgifter om aktieägare också måste offentliggöras. Här bör hänsyn tas till behovet av öppenhet och korrekt identifiering av personerna, men dessa hänsyn måste 84. Bestämmelserna om tillämplig lagstiftning bör förtydligas också vägas mot andra konkurrerande hänsyn, till ex­ och innehålla en hänvisning till förordning (EG) nr empel behovet av att skydda de berördas personliga 45/2001. integritet.

85. När det gäller överföring av personuppgifter till tredjeländer — Det bör framgå tydligt i förslaget huruvida medlems­ bör det av förslaget framgå att principiellt, och med un­ stater efterhand får offentliggöra fler uppgifter via den dantag för fall som omfattas av artikel 26.1 f i direktiv gemensamma portalen (och/eller utbyta fler uppgifter 95/46/EG , kan överföringar bara göras till enheter eller med varandra) med utgångspunkt från nationell lags­ personer i tredjeland utan adekvat skydd om registeransva­ tiftning och med hänsyn till att ytterligare dataskydds­ rig kräver adekvat skydd för att värna om individens integ­ åtgärder införs. ritet och grundläggande rättigheter och friheter samt veder­ börandes möjlighet att utöva dessa rättigheter. Sådana skyddsåtgärder kan med fördel anges i avtalsklausuler i — I förslaget till direktiv bör det uttryckligen anges att enlighet med artikel 26 i direktiv 95/46/EG. personuppgifter som har offentliggjorts för att främja öppenhet inte missbrukas för ytterligare syften utan relation till öppenhet. Tekniska och organisatoriska åt­ 86. Kommissionen bör dessutom noggrant bedöma vilka tek­ gärder bör därför införas i enlighet med principen om niska och organisatoriska åtgärder den ska vidta för att se integritetsfrämjande teknik. till att integritets- och uppgiftsskydd ”byggs in” i det elek­ troniska nätverkets konstruktion (”integritetsfrämjande tek­ nik”) och att det finns adekvata kontroller för att garantera — I förslaget bör det också föreskrivas särskilda skydds­ att uppgiftsskyddet följs och kan bevisas (”ansvarsskyldig­ åtgärder för att meddela de registrerade liksom krav på het”). att i delegerade akter utveckla formerna för hur den som är registrerad kan utnyttja sina rättigheter.

87. Europeiska datatillsynsmannens övriga rekommendationer gäller följande: Utfärdat i Bryssel den 6 maj 2011. — I förslaget till direktiv bör det tydligt specificeras att det Giovanni BUTTARELLI elektroniska nätverket ska underlätta i) specifika manu­ ella enstaka datautbyten mellan bolagsregister och ii) Biträdande Europeisk datatillsynsman