Evaluation report from the Commission to the Council and the European Parliament on the Data Retention Directive (Directive 2006/24/EC)

23.9.2011 Europeiska SV unionens officiella tidning C 279/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om utvärderingsrapporten från kommissionen till rådet och Europaparlamentet om datalagringsdirektivet (direktiv 2006/24/EG)

(2011/C 279/01)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA nedom. Av de skäl som anges i del I.2 nedan avger Euro­ YTTRANDE peiska datatillsynsmannen på eget initiativ detta yttrande i enlighet med artikel 41 i förordning (EG) nr 45/2001.

med beaktande av fördraget om Europeiska unionens funktions­ sätt, särskilt artikel 16, 2. Innan meddelandet antogs gavs Europeiska datatillsynsman­ nen möjlighet att lämna informella kommentarer. Europe­ iska datatillsynsmannen välkomnar att kommissionen tog med beaktande av Europeiska unionens stadga om de grund­ hänsyn till flera av kommentarerna när den slutliga versio­ läggande rättigheterna, särskilt artiklarna 7 och 8, nen av dokumentet avfattades.

med beaktande av Europaparlamentets och rådets direktiv 3. Kommissionen har utarbetat utvärderingsrapporten för att 95/46/EG av den 24 oktober 1995 om skydd för enskilda uppfylla sin skyldighet enligt artikel 14 i datalagringsdirek­ personer med avseende på behandling av personuppgifter och tivet att utvärdera tillämpningen av direktivet och dess kon­ om det fria flödet för sådana uppgifter ( 1 ), sekvenser för ekonomiska aktörer och konsumenter för att avgöra huruvida det är nödvändigt att ändra bestämmel­ med beaktande av Europaparlamentets och rådets direktiv serna i direktivet ( 5 ). Europeiska datatillsynsmannen väl­ 2002/58/EG av den 12 juli 2002 om behandling av person­ komnar att kommissionen, även om det inte var ett absolut uppgifter och integritetsskydd inom sektorn för elektronisk krav enligt artikel 14, i sin rapport också tog hänsyn till kommunikation ( 2 ), ”direktivets inverkan på de grundläggande rättigheterna mot bakgrund av den allmänna kritik som riktats mot lagringen av uppgifter” ( 6 ). med beaktande av förordning (EG) nr 45/2001 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så­ I.2 Anledningar till och syfte med detta yttrande från dana uppgifter ( 3 ), särskilt artikel 41. Europeiska datatillsynsmannen

4. Datalagringsdirektivet utgjorde EU:s svar på angelägna sä­ HÄRIGENOM FRAMFÖRS FÖLJANDE. kerhetsutmaningar efter de stora terrordåden i Madrid år 2004 och i London år 2005. Trots det legitima syftet INLEDNING med att inrätta ett system för lagring av uppgifter restes I. då kritik när det gällde de enorma konsekvenser som åt­ I.1 Offentliggörande av rapporten gärden hade för medborgarnas privatliv.

1. Den 18 april 2011 presenterade kommissionen sin utvär­ deringsrapport om datalagringsdirektivet (nedan kallad ut­ 5. Genom skyldigheten att lagra uppgifter enligt datalagrings­ värderingsrapporten) ( 4 ). Utvärderingsrapporten skickades direktivet blir det möjligt för behöriga nationella myndig­ samma dag till Europeiska datatillsynsmannen för kän­ heter att i upp till två år spåra personers telefon- och internetbeteende i EU när de använder telefon och Internet. ( 1 ) EGT L 281, 23.11.1995, s. 31. ( 2 ) EGT L 201, 31.7.2002, s. 37, ändrat genom Europaparlamentets och ( 5 ) Datalagringsdirektivet (direktiv 2006/24/EG) antogs den 15 mars rådets direktiv 2009/136/EG av den 25 november 2009, EUT 2006 och offentliggjordes i EUT L 105, 13.4.2006, s. 54. Tidsfristen L 337, 18.12.2009, s. 11. för att avge rapporten var satt till den 15 september 2010, se ( 3 ) EGT L 8, 12.1.2001, s. 1. artikel 14.1 i datalagringsdirektivet. ( 4 ) KOM(2011) 225 slutlig. ( 6 ) Se s. 1 i utvärderingsrapporten. C 279/2 SV Europeiska unionens officiella tidning 23.9.2011

6. Det står klart att lagring av uppgifter om telekommunika­ juli 2010, är en rapport om hur direktivet har tillämpats i tion utgör ett ingrepp i berörda personers rätt till privatliv praktiken ( 13 ). Slutligen har Europeiska datatillsynsmannen enligt artikel 8 i Europeiska konventionen om mänskliga intervenerat i ett mål vid Europeiska unionens domstol i rättigheter (nedan kallad Europakonventionen) och artikel 7 vilket direktivets giltighet ifrågasattes ( 14 ). i EU:s stadga om de grundläggande rättigheterna. 11. Utvärderingsrapportens och utvärderingsprocessens bety­ delse kan inte nog betonas ( 15 ). Datalagringsdirektivet är 7. Europeiska domstolen för de mänskliga rättigheterna (ne­ ett framträdande exempel på en EU-åtgärd för att säker­ dan kallad Europadomstolen) har vid upprepade tillfället ställa att uppgifter som genererats och behandlats i sam­ fastslagit att ”redan lagring av uppgifter beträffande en en­ band med elektronisk kommunikation finns tillgänglig för skilds privatliv är ett ingrepp i den mening som avses i brottsbekämpande insatser. När åtgärden nu har använts i artikel 8 [i Europakonventionen]” ( 7 ). Speciellt beträffande flera år borde en utvärdering av den praktiska tillämp­ telefonuppgifter har Europadomstolen fastslagit att ”utläm­ ningen faktiskt visa att åtgärden är nödvändig och propor­ nande av informationen till polisen utan abonnentens sam­ tionerlig med tanke på rätten till privatliv och uppgifts­ tycke också […] utgör ett ingrepp i en rättighet som ga­ skydd. Europeiska datatillsynsmannen har i detta avseende ranteras genom artikel 8 [i Europakonventionen]” ( 8 ). kallat utvärderingen för ”sanningens ögonblick” för datalag­ ringsdirektivet ( 16 ).

8. Av artikel 8.2 i Europakonventionen och artikel 52.1 i EU:s 12. Den nuvarande utvärderingsprocessen har också betydelse stadga om de grundläggande rättigheterna följer att ett in­ för andra instrument som reglerar informationshantering grepp kan vara befogat om det föreskrivs i lag, tjänar ett och däribland behandling av stora mängder personuppgifter legitimt syfte och är nödvändigt i ett demokratiskt samhälle inom området frihet, säkerhet och rättvisa. I ett meddelande för att uppnå detta legitima syfte. 2010 kom kommissionen fram till att utvärderingsmeka­ nismerna för de olika instrumenten är mycket skiftande ( 17 ). Europeiska datatillsynsmannen anser att den nuvarande ut­ 9. Europeiska datatillsynsmannen har medgett att det kan ha värderingsprocessen bör utgöra en förebild för utvär­ avgörande betydelse för brottsbekämpningsorganen att de deringar av andra EU-instrument och garantera att bara har tillgång till vissa trafik- och lokaliseringsuppgifter i de åtgärder tillämpas som verkligen är befogade. kampen mot terrorism och annan allvarlig brottslighet. Eu­ ropeiska datatillsynsmannen har emellertid samtidigt vid 13. Mot denna bakgrund önskar Europeiska datatillsynsmannen upprepade tillfällen uttryckt tvivel beträffande det berätti­ i ett offentligt yttrande dela med sig av sina reflexioner gade i att lagra uppgifter i sådan omfattning med tanke på beträffande de resultat som presenteras i utvärderingsrap­ rätten till privatliv och uppgiftsskydd ( 9 ). Många organisa­ porten. Detta sker på ett tidigt stadium av processen för att tioner inom det civila samhället har också delat dessa tvi­ lämna ett effektivt och konstruktivt bidrag till de kom­ vel ( 10 ). mande diskussionerna, eventuellt i samband med ett nytt lagstiftningsförslag som kommissionen hänvisar till i utvär­ deringsrapporten ( 18 ). 10. Europeiska datatillsynsmannen har på olika sätt noga följt tillkomsten, genomförandet och utvärderingen av direktivet I.3 Yttrandets struktu sedan år 2005. Europeiska datatillsynsmannen avgav ett kritiskt yttrande år 2005 efter det att kommissionen hade 14. I detta yttrande analyseras och diskuteras innehållet i utvär­ offentliggjort sitt förslag till direktivet ( 11 ). När direktivet deringsrapporten med hänsyn till personlig integritet och hade antagits blev datatillsynsmannen ledamot i den expert­ uppgiftsskydd. Analysen inriktas på frågan huruvida det grupp för lagring av uppgifter som anges i skäl 14 i data­ nuvarande datalagringsdirektivet uppfyller de krav som lagringsdirektivet ( 12 ). Dessutom deltar Europeiska datatill­ ställs genom dessa båda grundläggande rättigheter. Frågan synsmannen i arbetet i artikel 29-arbetsgruppen, som har huruvida det har bevisats tillräckligt att lagring av uppgifter offentliggjort flera dokument om frågan. Det senaste, från i enlighet med direktivet var nödvändig analyseras också. 23.9.2011 Europeiska SV unionens officiella tidning C 279/3 personuppgifter och integritetsskydd inom sektorn för elek­ och trafikuppgifter i samband med denna ( 20 ). Enligt direk­ tronisk kommunikation (nedan kallat direktivet om integ­ tivet om integritet och elektronisk kommunikation krävs ritet och elektronisk kommunikation) ( 19 ). I del III beskrivs i det att trafik- och lokaliseringsuppgifter som genereras korthet de ändringar som skett på grund av Lissabonför­ med hjälp av elektroniska kommunikationstjänster raderas draget, eftersom de har särskild betydelse för denna fråga eller görs anonyma när de inte längre behövs för över­ och får direkta konsekvenser för hur EU-regler om lagring föring, utom i de fall och så länge som de behövs för av uppgifter ska uppfattas, utvärderas och eventuellt revide­ fakturering ( 21 ). Förutsatt att medgivande ges får vissa upp­ ras. Den största delen av yttrandet, del IV, innehåller ana­ gifter behandlas så länge som det behövs för att tillhanda­ lysen beträffande datalagringsdirektivets giltighet med tanke hålla en mervärdestjänst. på rätten till privatliv och uppgiftsskydd och med hänsyn till de resultat som presenterats i utvärderingsrapporten. I del V diskuteras olika vägar att gå vidare. I del VI avslutas yttrandet med en sammanfattning. 21. Enligt artikel 15.1 i direktivet om integritet och elektronisk kommunikation kan medlemsstater vidta lagstiftningsåtgär­ der för att begränsa omfattningen av de ovannämnda skyl­ digheterna, om ”en sådan begränsning i ett demokratiskt II. EU-REGLERNA OM LAGRING AV UPPGIFTER samhälle är nödvändig, lämplig och proportionell för att skydda nationell säkerhet (dvs. statens säkerhet), försvaret 16. Med lagring av uppgifter avses i samband med detta ytt­ och allmän säkerhet samt för förebyggande, undersökning, rande en skyldighet för leverantörerna av allmänt tillgäng­ avslöjande av och åtal för brott […]”. Frågan om lagring av liga elektroniska kommunikationstjänster eller allmänna uppgifter anges uttryckligen i artikel 15.1 i direktivet om kommunikationsnät att lagra trafik- och lokaliseringsupp­ integritet och elektronisk kommunikation. Medlemsstaterna gifter och uppgifter som behövs för att identifiera abon­ får ”vidta lagstiftningsåtgärder som innebär att uppgifter får nenten eller användaren under en viss tid. Denna skyldighet bevaras under en begränsad period” som motiveras av de anges i datalagringsdirektivet, som i artikel 5.1 ytterligare skäl som nämnts ovan. specificerar de kategorier av uppgifter som ska lagras. Enligt artikel 6 i direktivet ska medlemsstaterna säkerställa att uppgifterna lagras i minst sex månader och inte i mer än två år efter det datum då kommunikationen ägde rum. 22. Datalagringsdirektivet var avsett att samordna medlemssta­ ternas initiativ enligt artikel 15.1 när det gäller lagring av uppgifter för utredning, avslöjande och åtal för allvarliga 17. Uppgifterna ska lagras i den utsträckning som de genereras brott. Det bör betonas att datalagringsdirektivet utgör ett eller behandlas av leverantörerna när de levererar de be­ undantag från den allmänna skyldigheten enligt direktivet rörda kommunikationstjänsterna (artikel 3). Uppgifter i om integritet och elektronisk kommunikation att radera samband med misslyckade uppringningsförsök ingår också. uppgifterna när de inte längre behövs ( 22 ). Uppgifter som avslöjar innehållet i kommunikationen får inte lagras enligt direktivet (artikel 5.1).

23. När datalagringsdirektivet antogs kompletterades artikel 15 i direktivet om integritet och elektronisk kommunikation 18. Uppgifterna lagras för att säkerställa att uppgifterna är till­ med en ny punkt (1 a) där det fastställs att artikel 15.1 inte gängliga för ”utredning, avslöjande och åtal för allvarliga ska gälla för uppgifter för vilka det i datalagringsdirektivet brott såsom de definieras av varje medlemsstat i den natio­ krävs speciellt att de lagras för de syften som anges i nella lagstiftningen” (artikel 1.1) artikel 1.1 i direktivet.

19. I datalagringsdirektivet finns inga ytterligare bestämmelser 24. I utvärderingsrapporten konstateras, vilket diskuteras ytter­ om de villkor enligt vilka de behöriga nationella myndig­ ligare i del IV.3 nedan, att artiklarna 15.1 och 15.1 b har heterna kan få tillgång till lagrade data. Detta ankommer på använts av flera medlemsstater för att utnyttja uppgifter medlemsstaterna och omfattas inte av direktivet. I artikel 4 som lagrats enligt datalagringsdirektivet också för andra i direktivet betonas att de nationella reglerna ska följa nöd­ syften ( 23 ). Europeiska datatillsynsmannen har kallat detta vändighets- och proportionalitetskraven så som de i syn­ ett ”kryphål i lagen” som hindrar syftet med datalagrings­ nerhet tolkas av Europadomstolen. lagringsdirektivet, nämligen att skapa lika villkor för nä­ ringslivet ( 24 ). C 279/4 SV Europeiska unionens officiella tidning 23.9.2011 III. DE ALLMÄNNA TILLÄMPLIGA EU-BESTÄMMELSERNA 30. Europeiska datatillsynsmannen har från början hävdat att HAR ÄNDRATS EFTER LISSABON om EU skulle anta ett instrument för lagring av uppgifter skulle det reglera både skyldigheten för operatörer och 25. De allmänna tillämpliga EU-bestämmelser som har bety­ brottsbekämpande myndigheters tillgång och ytterligare an­ delse för datalagringsdirektivet har ändrats avsevärt i och vändning. I sitt yttrande 2005 om kommissionens förslag med att Lissabonfördraget trätt i kraft. En viktig förändring underströk Europeiska datatillsynsmannen att behöriga na­ var avskaffandet av pelarstrukturen, som hade inneburit tionella myndigheters tillgång och ytterligare användning olika lagstiftningsprocedurer och granskningsmekanismer utgjorde en väsentlig och oskiljaktig del av frågan ( 28 ). inom EU:s olika behörighetsområden.

31. De negativa effekterna av att EU bara reglerar frågan till hälften har bekräftats av den aktuella utvärderingsrappor­ 26. Den tidigare pelarstrukturen gav ofta upphov till diskussion ten, vilket utvecklas vidare nedan. Kommissionen konstate­ om den korrekta rättsliga grunden för ett EU-instrument, rar att skillnaderna i de nationella lagarna när det gäller om en fråga medförde behörighet för EU inom de olika behöriga nationella myndigheters tillgång och ytterligare pelarna. Valet av rättslig grund saknade inte betydelse efter­ användning har lett till ”avsevärda svårigheter” för opera­ som det ledde till olika lagstiftningsprocedurer till exempel törerna ( 29 ). beträffande omröstningskraven i rådet (kvalificerad majori­ tet eller enhällighet) eller involvering av Europaparlamentet.

32. När pelarstrukturen avskaffades efter det att Lissabonfördra­ get hade trätt i kraft slogs de båda relevanta områdena av 27. Dessa diskussioner var i hög grad relevanta för lagring av EU:s behörighet samman i fördraget om Europeiska unio­ uppgifter. Eftersom datalagringsdirektivet skulle harmoni­ nens funktionssätt (FEUF), vilket gör det möjligt att anta sera skyldigheten för operatörer, och därigenom undanröja EU-lagstiftning enligt samma lagstiftningsprocedur. Denna hindren på den inre marknaden, kunde den rättsliga grun­ nya situation skulle göra det möjligt att anta ett enda nytt den återfinnas i artikel 95 i det tidigare EG-fördraget (den instrument om lagring av uppgifter som reglerar både skyl­ tidigare första pelaren). Frågan kunde emellertid ha behand­ digheterna för operatörerna och villkoren för brottsbekäm­ lats ur ett brottsbekämpningsperspektiv med argumentet att pande myndigheters tillgång och ytterligare användning. syftet med att lagra uppgifter var att bekämpa allvarlig Såsom förklaras nedan i del IV.3 kräver rätten till privatliv brottslighet inom ramen för polissamarbete och straffrätts­ och uppgiftsskydd att om en reviderad EU-åtgärd beträf­ ligt samarbete i det tidigare EU-fördraget (den tidigare tredje fande lagring av uppgifter övervägs ska den åtminstone pelaren) ( 25 ). reglera frågan i dess helhet.

33. Genom Lissabonfördraget avskaffades inte bara pelarstruk­ 28. Datalagringsdirektivet antogs till slut i enlighet med turen, utan det gav samma rättsliga status som fördragen åt artikel 95 i det tidigare EG-fördraget och reglerade bara EU:s tidigare icke bindande stadga om de grundläggande skyldigheterna för operatörer. I direktivet fanns inga be­ rättigheterna, i vilken rätten till privatliv och uppgiftsskydd stämmelser om brottsbekämpande myndigheters tillgång i artiklarna 7 och 8 ingår ( 30 ). En subjektiv rätt till uppgifts­ till och användning av de lagrade uppgifterna. skydd infördes dessutom i artikel 16 FEUF och upprättade en egen rättslig grund för EU-instrument beträffande skydd av personuppgifter.

29. När direktivet hade antagits ifrågasattes dess giltighet vid EU-domstolen. Det hävdades att direktivet skulle ha base­ 34. Skyddet av de grundläggande rättigheterna har sedan lång rats på den tredje pelaren i stället för på den första pelaren, tid tillbaka varit en hörnsten i EU:s politik, och Lissabon­ eftersom syftet med lagringen av uppgifter (utredning, av­ fördraget har lett till ett ännu större engagemang för dessa slöjande och åtal för allvarliga brott) omfattades av EU:s rättigheter i EU-sammanhang. Förändringarna genom Lis­ behörighet i den tredje pelaren ( 26 ). Eftersom de behöriga sabonfördraget gav i oktober 2010 kommissionen inspira­ myndigheternas agerande emellertid uttryckligen inte om­ tion till att tillkännage att ”medvetandet om de grundläg­ fattades av direktivet kom EU-domstolen fram till att direk­ gande rättigheterna” skulle stärkas på alla nivåer i lagstift­ tivet helt riktigt var baserat på EG-fördraget ( 27 ). ningsprocessen och till att fastslå att EU:s stadga om de grundläggande rättigheterna skulle ”tjäna som en ledstjärna ( 25 ) Ett första förslag till EU-bestämmelser om lagring av uppgifter (ram­ för EU:s politiska insatser” ( 31 ). Europeiska datatillsynsman­ beslut) baserades på det tidigare EU-fördraget och lades fram av nen anser att den nuvarande utvärderingsprocessen är ett Frankrike, Irland, Sverige och Förenade kungariket. Se rådets doku­ bra tillfälle för kommissionen att visa detta engagemang. ment 8958/04 av den 28 april 2004. Detta förslag följdes av ett förslag från kommissionen som var baserat på EG-fördraget. Se KOM(2005) 438 av den 21 september 2005. ( 28 ) Se yttrandet 2005, punkt 80. Se, beträffande detta, också del IV.3 i ( 26 ) Detta argument grundade sig på EU-domstolens dom i ”PNR-må­ detta yttrande. len”, se EU-domstolens dom av den 30 maj 2006 i de förenade ( 29 ) Se s. 31 i utvärderingsrapporten. målen C-317/05 och C-318/04, Parlamentet mot rådet och kommis­ ( 30 ) Se artikel 6.1 FEU. sionen. ( 31 ) KOM(2010) 573 av den 19 oktober 2010, Strategi för Europeiska ( 27 ) Se EU-domstolens dom av den 10 februari 2009 i mål C-301/06, unionens konkreta tillämpning av stadgan om de grundläggande rättighe­ Irland mot parlamentet och rådet, punkterna 82 och 83. terna, s. 4. 23.9.2011 Europeiska SV unionens officiella tidning C 279/5 IV. UPPFYLLER DATALAGRINGSDIREKTIVET KRAVEN PÅ baserat på antagandet att lagring av uppgifter i enlighet med PERSONLIG INTEGRITET OCH UPPGIFTSSKYDD? datalagringsdirektivet var en nödvändig åtgärd ( 37 ). Europe­ iska datatillsynsmannen uppmanade därför kommissionen 35. Utvärderingsrapporten belyser flera svagheter i det nuva­ och medlemsstaterna att utnyttja det tillfälle som utvär­ rande datalagringsdirektivet. Informationen som lämnas i deringsrapporten gav för att lämna ytterligare bevis som rapporten visar att direktivet inte fyller sitt viktigaste syfte, bekräftade att det faktiskt var ett korrekt antagande att nämligen att harmonisera nationell lagstiftning beträffande datalagringsåtgärden var nödvändig och att det sätt som lagring av uppgifter. Kommissionen konstaterar att det fö­ den reglerades på i datalagringsdirektivet var nödvändigt. rekommer ”betydande” skillnader mellan införlivandet av lagstiftning på områdena ändamålsbegränsning, tillgång till uppgifter, lagringsperioder, uppgiftsskydd och datasäker­ het samt statistik ( 32 ). Enligt kommissionen beror skill­ 39. På denna punkt fastslår kommissionen i utvärderingsrap­ naderna till en del på den variation som uttryckligen före­ porten att ”[m]erparten av medlemsstaterna anser att EU:s skrivs i direktivet. Kommissionen konstaterar emellertid att regler om lagring av uppgifter är nödvändig som ett red­ utöver detta har ”skillnaderna i den nationella tillämp­ skap för brottsbekämpning, skydd av brottsoffer och straff­ ningen av lagringen av uppgifter visat sig medföra stora rättssystemen”. Vidare uppges att lagring av uppgifter spelar svårigheter för operatörerna” och att ”avsaknaden av rätts­ en ”mycket viktig roll” vid brottsutredningar och ”åtmin­ säkerhet för näringslivet fortsätter” ( 33 ). Det behöver inte stone är värdefull och i vissa fall oumbärlig”, och det kon­ påpekas att en sådan avsaknad av harmonisering är till stateras att en del straffbara gärningar ”kanske aldrig skulle men för alla berörda parter: både medborgarna, företagarna ha lösts” utan lagring ( 38 ). Kommissionen drar slutsatsen att och de brottsbekämpande myndigheterna. EU därför bör ”stödja och reglera lagringen av uppgifter som en nödvändig säkerhetsåtgärd” ( 39 ).

36. Ur ett integritets- och uppgiftsskyddsperspektiv kan man av utvärderingsrapporten också sluta sig till att datalagrings­ direktivet inte uppfyller de krav som ställs genom rätten till 40. Det är emellertid tveksamt huruvida kommissionen verkli­ privatliv och uppgiftsskydd. Det finns flera brister: behovet gen kan dra slutsatsen att merparten av medlemsstaterna av lagring av uppgifter enligt datalagringsdirektivet har inte anser att lagring av uppgifter är ett nödvändigt redskap. bevisats tillräckligt, lagringen av uppgifter kunde i varje fall Det framgår inte vilka medlemsstater som utgör en majo­ ha reglerats på ett sätt som ger mindre ingrepp i privatlivet, ritet, vilket i ett EU med 27 medlemsstater bör vara minst och datalagringsdirektivet är inte ”förutsägbart”. Dessa tre 14 för att man ska kunna tala om merparten av medlems­ punkter behandlas närmare nedan. staterna. Antalet medlemsstater som faktiskt anges i kapitel 5, vilket slutsatserna baseras på, är på sin höjd nio ( 40 ). IV.1 Behovet av lagring av uppgifter enligt datalag­ ringsdirektivet har inte bevisats tillräckligt 41. Det tycks vidare som om kommissionen huvudsakligen stöder sig på medlemsstaters uttalanden om huruvida de 37. Ingrepp i rätten till privatliv och uppgiftsskydd är bara till­ anser lagring av uppgifter vara ett nödvändigt redskap för låtet om åtgärden är nödvändig för att uppnå det berätti­ brottsbekämpning. Dessa uttalanden visar emellertid snarare gade målet. Nödvändigheten av att lagra uppgifter som en att medlemsstaterna i fråga skulle vilja ha EU-regler för brottsbekämpningsåtgärd har ständigt varit en viktig diskus­ lagring av uppgifter, men som sådana inte kan bevisa be­ sionspunkt ( 34 ). I förslaget till direktivet angavs det att be­ hovet av lagring av uppgifter som en brottsbekämpnings­ gränsningarna i rätten till privatliv och uppgiftsskydd var åtgärd som stöds och regleras av EU. Uttalandena om nöd­ ”nödvändiga för att uppfylla de allmänt erkända målen att vändigheten bör stödjas av tillräckliga bevis. förebygga och bekämpa brottslighet och terrorism” ( 35 ). I yttrandet 2005 antydde emellertid Europeiska datatillsyns­ mannen att han inte övertygades av detta argument, efter­ som det krävdes ytterligare bevis ( 36 ). Utan att några ytter­ 42. Det medges att det inte är en lätt uppgift att visa att en ligare bevis anfördes fastslogs det ändå i skäl 9 i datalag­ åtgärd som gör ingrepp i den personliga integriteten är ringsdirektivet att ”lagring av uppgifter har visat sig vara ett nödvändig. I synnerhet inte för kommissionen, som i stor […] nödvändigt och effektivt redskap för de brottsbekäm­ utsträckning är beroende av information som lämnas av pande myndigheternas utredningar i många medlemsstater”. medlemsstaterna.

38. På grund av avsaknaden av tillräckliga bevis hävdade Euro­ 43. Om en åtgärd redan tillämpas, såsom datalagringsdirektivet, peiska datatillsynsmannen att datalagringsdirektivet bara var och man har fått praktisk erfarenhet bör det emellertid finnas tillräcklig kvalitativ och kvantitativ information ( 32 ) Se s. 31 i utvärderingsrapporten. ( 33 ) Se s. 31 i utvärderingsrapporten. ( 34 ) Se Europeiska datatillsynsmannens yttrande 2005. Se även brevet av ( 37 ) Se talet av den 3 december 2010, som anges i fotnot 9. den 22 juni 2010 från en stor grupp organisationer inom det civila ( 38 ) Alla citat har hämtats från s. 23 eller 31 i utvärderingsrapporten. samhället, till vilket hänvisas i fotnot 10. ( 39 ) Se s. 31 i utvärderingsrapporten. ( 35 ) Se KOM(2005) 438 av den 21 september 2005, s. 3. ( 40 ) Tjeckien, Slovenien, Förenade kungariket, Tyskland, Polen, Finland, ( 36 ) Se yttrandet 2005, punkterna 17–22. Nederländerna, Irland och Ungern. C 279/6 SV Europeiska unionens officiella tidning 23.9.2011 tillhands som gör det möjligt att bedöma om åtgärden 48. Kommissionen tycks fästa stor vikt vid exempel som getts faktiskt fungerar och om jämförbara resultat kunde ha upp­ av medlemsstaterna på att lagrade uppgifter använts för att nåtts utan instrumentet eller med alternativa medel som utesluta misstänkta personer från brottsplatsen och kont­ gör mindre ingrepp i den personliga integriteten. Sådan rollera alibin ( 43 ). Även om detta är intressanta exempel på information bör vara ett tillräckligt bevis och visa samban­ hur uppgifter används av brottsbekämpande myndigheter det mellan användning och resultat ( 41 ). Eftersom det är fråga kan de inte anföras för att bevisa behovet av lagring av om ett EU-direktiv bör informationen dessutom represen­ uppgifter. Det är ett argument som ska användas med för­ tera förhållandena i åtminstone en majoritet av EU-med­ siktighet eftersom det kan missförstås och uppfattas som lemsstaterna. att lagring av uppgifter är nödvändig för att bevisa att medborgare är oskyldiga, vilket skulle vara svårt att förena med principen om oskuldspresumtion. 44. Kommissionen har uppenbarligen ansträngt sig för att samla in information från medlemsstaternas regeringar, 49. I utvärderingsrapporten diskuteras bara i korthet värdet av men efter att ha gjort en noggrann analys anser Europeiska lagring av uppgifter i relation till teknisk utveckling och datatillsynsmannen att den kvantitativa och kvalitativa in­ mera specifikt användningen av förbetalda SIMkort ( 44 ). Eu­ formation som lämnats av medlemsstaterna inte är tillräck­ ropeiska datatillsynsmannen understryker att mer kvantita­ lig för att bekräfta att lagring av uppgifter så som den tiv och kvalitativ information om användningen av ny tek­ föreskrivs i datalagringsdirektivet är nödvändig. Intressanta nik som inte omfattas av direktivet (det kan gälla IP-telefoni exempel på användningen har lämnats, men det finns helt och sociala nätverk) skulle ha varit instruktiv för att be­ enkelt för många brister i den information som presenteras döma direktivets effektivitet. i rapporten för att man ska kunna dra några generella slutsatser om behovet av instrumentet. Dessutom bör alter­ nativa möjligheter utredas ytterligare. Dessa båda punkter 50. Utvärderingsrapporten är begränsad eftersom den framför ska nu utvecklas närmare. allt inriktas på kvantitativ och kvalitativ information som lämnats av de medlemsstater som har tillämpat datalag­ ringsdirektivet. Det skulle emellertid ha varit intressant att Den kvantitativa och kvalitativa information som lämnas i ut­ se om några avsevärda skillnader har uppkommit mellan värderingsrapporten. dessa medlemsstater och de medlemsstater som inte har till­ lämpat direktivet. Särskilt när det gäller de medlemsstater 45. När det gäller den kvantitativa, statistiska informationen som där tillämpningen av lagstiftningen har upphävts (Tyskland, huvudsakligen lämnas i kapitel 5 och i bilagan till utvär­ Rumänien och Tjeckien) skulle det ha varit intressant att se deringsrapporten saknas viktig information. Statistiken visar om det finns belägg för att antalet lyckade brottsutred­ till exempel inte för vilket syfte uppgifter sökts. Siffrorna ningar har ökat eller minskat antingen innan eller efter avslöjar inte heller om alla uppgifter till vilka tillgång har det att tillämpningen upphävdes. begärts var uppgifter som lagrats till följd av skyldigheten enligt lag att lagra uppgifter eller i affärssyfte. Det lämnas inte heller någon information om resultatet av använd­ 51. Kommissionen medger att den statistik och de exempel ningen av uppgifter. För att dra slutsatser är det dessutom som redovisas i utvärderingsrapporten är ”begränsade i problematiskt att informationen från de olika medlemssta­ vissa avseenden”, men den pekar ändå på ”den mycket terna inte alltid är helt jämförbar och att siffrorna i många viktiga roll som lagringen av uppgifter spelar vid brotts­ fall bara representerar nio medlemsstater. utredningar” ( 45 ).

52. Europeiska datatillsynsmannen anser att kommissionen 46. De kvalitativa exemplen som ges i rapporten visar bättre skulle ha varit mer kritisk mot medlemsstaterna. Såsom vilken viktig roll de lagrade uppgifterna spelar i vissa spe­ förklarats ovan kan inte vissa medlemsstaters politiska ut­ ciella situationer och den eventuella nyttan med ett system talanden om behovet av en sådan åtgärd ensam motivera för lagring av uppgifter. Det är dock inte i samtliga fall klart en EU-åtgärd. Kommissionen borde ha insisterat på att huruvida användningen av de lagrade uppgifterna var det medlemsstaterna skulle lämna tillräckliga bevis för att åt­ enda sättet att bekämpa brottet i fråga. gärden var nödvändig. Enligt Europeiska datatillsynsman­ nen borde kommissionen åtminstone som villkor för att den skulle stödja lagring av uppgifter som en säkerhets­ 47. Några exempel visar att lagringen av uppgifter var absolut åtgärd (se s. 31 i utvärderingsrapporten) ha krävt att med­ nödvändig för att bekämpa it-brottslighet. I detta avseende lemsstaterna lämnade ytterligare bevis under konsekvens­ är det värt att notera att det i det viktigaste internationella bedömningen. instrumentet inom detta område, Europarådets konvention om Internetrelaterad brottslighet, inte föreskrivs att lagring av uppgifter ska vara ett medel för att bekämpa it-brotts­ Alternativa lösningar lighet, utan det anges bara att frysning av uppgifter är ett 53. Huruvida lagring av uppgifter i enlighet med datalagrings­ undersökningsredskap ( 42 ). direktivet är nödvändig beror också på om det finns alter­ nativa lösningar som inkräktar mindre på den personliga ( 41 ) Se, beträffande principen om nödvändighet och proportionalitet, integriteten och som kunde ha gett jämförbara resultat. även Europeiska datatillsynsmannens yttrande av den 25 mars 2011 om förslaget till EU:s system för PNR-uppgifter, vilket finns på Europeiska datatillsynsmannens webbplats (http://www.edps. ( 43 ) Se s. 24 i utvärderingsrapporten. europa.eu) under ”Consultation” >> ”Opinions” >> ”2011”. ( 44 ) Se s. 25 i utvärderingsrapporten. ( 42 ) Se även s. 5 i utvärderingsrapporten. ( 45 ) Se s. 31 i utvärderingsrapporten. 23.9.2011 Europeiska SV unionens officiella tidning C 279/7 Detta bekräftades av EU-domstolen i dess beslut i målet IV.2 Den lagring av uppgifter som regleras i datalag­ Schecke i november 2010, i vilket EU-lagstiftning om of­ ringsdirektivet går under alla omständigheter utöver fentliggörande av namn på stödmottagare som får stöd från vad som är nödvändigt jordbruksfonder ogiltigförklarades ( 46 ). Ett av skälen till ogil­ tigförklaringen var att rådet och kommissionen inte hade 58. Enligt Europeiska datatillsynsmannen innehåller informatio­ övervägt alternativa åtgärder som skulle vara förenliga med nen i utvärderingsrapporten inte tillräckliga bevis för att det det mål som eftersträvades med offentliggörandet men som är nödvändigt att lagra uppgifter i enlighet med datalag­ ändå innebar ett mindre långtgående ingrepp i berörda ringsdirektivet. Ändå kan man av utvärderingsrapporten dra personers rätt till privatliv och uppgiftsskydd ( 47 ). slutsatsen att datalagringsdirektivet har reglerat lagring av uppgifter på ett sätt som går utöver vad som är nödvändigt eller åtminstone inte har säkerställt att lagring av uppgifter 54. Det alternativ som framför allt har förts fram i diskussioner inte har tillämpats på sådant sätt. I det avseendet kan fyra i samband med datalagringsdirektivet är frysning av kom­ punkter belysas. munikationsuppgifter (”quick freeze” och ”quick freeze plus”) ( 48 ). Det går ut på att, endast för specifika personer som misstänks för brottslig verksamhet, tillfälligt säkra eller 59. För det första har det otydliga ändamålet med åtgärden och ”frysa” vissa telekommunikations- och lokaliseringsuppgifter det vida begreppet ”behöriga nationella myndigheter” lett som senare kan göras tillgängliga för brottsbekämpande till att lagrade uppgifter har använts för alldeles för många myndigheter med rättsligt bemyndigande. syften och av alldeles för många myndigheter. Vidare är säkerhetsåtgärderna och villkoren för tillgång till uppgif­ 55. Frysning av uppgifter nämns i utvärderingsrapporten i sam­ terna inte konsekventa. Det har till exempel inte ställts band med den ovannämnda konventionen om Internetre­ som villkor för tillgång att den i alla medlemsstater först laterad brottslighet, men den anses vara olämplig eftersom ska godkännas av en rättslig myndighet eller en annan den ”inte ger någon garanti för att det kan fastställas bevis oberoende myndighet. innan beslut om frysning har fattats, att en utredning kan inledas i de fall där målet för brottet inte är känt eller att bevis kan samlas in om hur offer eller vittnen till brott 60. För det andra tycks den maximala lagringsperioden på två förflyttar sig” ( 49 ). år vara längre än nödvändigt. Statistisk information från ett antal medlemsstater i utvärderingsrapporten visar att begä­ ran om tillgång i de allra flesta fall avser uppgifter i upp till 56. Europeiska datatillsynsmannen medger att färre uppgifter 51 sex månader, nämligen 86 procent ( ). Vidare har 16 med­ finns tillgängliga när ett system för frysning av uppgifter lemsstater valt en lagringsperiod på ett år eller mindre i sin används i stället för ett omfattande system för lagring av 52 lagstiftning ( ). Detta tyder i hög grad på att en längsta uppgifter. Det är emellertid just på grund av att frysning av period på två år är betydligt mer än de flesta medlemsstater uppgifter är mer målinriktad som den inkräktar mindre på anser vara nödvändigt. den personliga integriteten i fråga om omfattning och antal personer som berörs. Bedömningen bör inte bara inriktas på tillgängliga uppgifter, utan också på de olika resultat 61. Dessutom har den omständigheten att det inte finns en som har uppnåtts med de båda systemen. Europeiska data­ enda fast lagringstid för alla medlemsstater gett upphov tillsynsmannen anser att en mera grundlig undersökning av till olika avvikande nationella lagar som kan medföra kom­ åtgärden är befogad och absolut nödvändig. Detta skulle plikationer eftersom det inte alltid är uppenbart vilken na­ kunna göras under konsekvensbedömningen de kommande tionell lag – om lagring av uppgifter och om uppgiftsskydd månaderna. – som är tillämplig när operatörer lagrar uppgifter i en annan medlemsstat än den där uppgifterna samlas in. 57. I detta avseende är det olyckligt att kommissionen i sam­ manfattningen av rapporten åtar sig att undersöka huruvida – och i så fall hur – EU-strategi för frysning kan komplettera 62. För det tredje är säkerhetsnivån inte tillräckligt harmonise­ (dvs. inte ersätta) lagring av uppgifter ( 50 ). Möjligheten att rad. En av de viktigaste slutsatserna i artikel 29-arbetsgrup­ kombinera någon typ av system för lagring med procedur­ pens rapport i juli 2010 var att det förekommer ett lapp­ mässiga säkerhetsåtgärder i samband med olika sätt att täcke av säkerhetsåtgärder i de olika medlemsstaterna. frysa uppgifter förtjänar faktiskt att undersökas ytterligare. Kommissionen tycks anse att säkerhetsåtgärderna i det nu­ Europeiska datatillsynsmannen rekommenderar emellertid varande direktivet är tillräckliga eftersom ”det inte finns att kommissionen vid konsekvensbedömningen även över­ några konkreta exempel på allvarliga brott mot integrite­ väger om ett system för frysning av uppgifter eller andra ten” ( 53 ). Det visar sig emellertid att kommissionen bara har alternativa lösningar helt eller delvis skulle kunna ersätta det bett medlemsstaternas regeringar rapportera om detta. För nuvarande systemet för lagring av uppgifter. att utvärdera lämpligheten av de nuvarande säkerhets­ bestämmelserna och åtgärderna behövs det mer omfattande ( 46 ) EU-domstolens dom av den 9 november 2010 i de förenade målen konsultation och en mer konkret undersökning av fall av C-92/09 och C-93/09, Volker och Markus Schecke. missbruk. Även om inga specifika fall av säkerhetsöverträ­ ( 47 ) EU-domstolens dom i målet Schecke, punkt 81. delser nämns i samband med rapporten tjänar brott mot ( 48 ) Med ”Quick freeze” avses ”frysning” av trafik- och lokaliseringsupp­ gifter i samband med en specifik misstänkt från och med det datum då rättsligt bemyndigande getts. I ”Quick freeze plus” ingår också ( 51 ) Se s. 22 i utvärderingsrapporten. 12 procent gäller uppgifter som är ”frysning” av uppgifter som operatörerna redan har för fakturering mellan sex och tolv månader gamla, och 2 procent gäller uppgifter och överföring. som är äldre än ett år. ( 49 ) Se s. 5 i utvärderingsrapporten. ( 52 ) Se s. 14 i utvärderingsrapporten. ( 50 ) Se s. 32 i utvärderingsrapporten. ( 53 ) Se s. 30 i utvärderingsrapporten. C 279/8 SV Europeiska unionens officiella tidning 23.9.2011 uppgiftsskydd och skandaler inom området trafikuppgifter sin nationella lagstiftning. Ett välkänt krav är att de grund­ och elektronisk kommunikation också som varnande ex­ läggande rättigheterna respekteras vid sådan tillämp­ empel i en del medlemsstater. Detta problem får inte un­ ning ( 61 ). derskattas, eftersom de lagrade uppgifternas säkerhet har avgörande betydelse för ett system för lagring av uppgifter som sådant, då det säkerställer att alla andra säkerhetsåtgär­ 67. I utvärderingsrapporten betonar kommissionen också att der respekteras ( 54 ). direktivet ”inte i sig självt garanterar att uppgifterna lagras, hämtas och används helt i enlighet med rätten till integritet och skydd av personuppgifter”. Kommissionen erinrar om att ”medlemsstaterna har ansvar för att säkerställa att dessa 63. För det fjärde framgår det inte av rapporten huruvida alla rättigheter upprätthålls” ( 62 ). kategorier av lagrade uppgifter har visat sig vara nödvän­ diga. Det görs bara vissa allmänna distinktioner mellan telefon- och Internetuppgifter. Några medlemsstater har 68. Europeiska datatillsynsmannen anser emellertid att ett EUvalt att införa en kortare lagringstid för internetuppgif­ direktiv självt ska uppfylla kravet på förutsebarhet i viss ter ( 55 ). Det går dock inte att dra några generella slutsatser utsträckning. Eller, för att omformulera lydelsen i EU-dom­ av detta. stolens dom i målet Lindqvist, får det system som föreskrivs i ett direktiv inte ”brista i förutsägbarhet” ( 63 ). Detta gäller särskilt en EU-åtgärd som kräver att medlemsstaterna or­ IV.3 Datalagringsdirektivet är inte förutsebart ganiserar ingrepp i stor skala i rätten till privatliv och upp­ giftsskydd för medborgarna. Europeiska datatillsynsmannen 64. En annan brist hos datalagringsdirektivet är att det inte är anser att EU har ansvar för att garantera åtminstone ett förutsebart. Kravet på förutsebarhet härrör från det all­ klart definierat ändamål och en tydlig angivelse av vem männa kravet i artikel 8.2 i Europakonventionen och som ska kunna få tillgång till uppgifterna och under vilka artikel 52.1 i EU:s stadga om de grundläggande rättighe­ villkor. terna att en inskränkning av rättigheterna ska vara föreskri­ ven i lag. Enligt Europadomstolen innebär det att åtgärden ska ha rättsligt stöd och följa rättsstatsprincipen. Det för­ 69. Denna ståndpunkt stöds av det nya rättsliga sammanhang utsätter att lagen är tillräckligt tillgänglig och förutsebar ( 56 ). som skapats genom Lissabonfördraget som, vilket förklarats I domen i målet Österreichischer Rundfunk betonade EU-dom­ ovan, ökade EU:s behörighet när det gäller polissamarbete stolen också att lagen ska formuleras med tillräcklig preci­ och straffrättsligt samarbete och ålade EU att i högre grad sion för att medborgarna ska kunna anpassa sitt handlings­ värna om grundläggande rättigheter. sätt till den ( 57 ). Lagen måste tillräckligt tydligt ange vilket utrymme för skönsmässig bedömning som de behöriga myndigheterna har och det sätt på vilket detta utövas ( 58 ). 70. Europeiska datatillsynsmannen vill erinra om att kravet på ett bestämt ändamål och förbud mot att uppgifter behandlas på ett sätt som är oförenligt med detta ändamål (”principen om ändamålsbegränsning”) har grundläggande betydelse för 65. I checklistan i kommissionens meddelande om EU:s stadga skyddet av personuppgifter, vilket bekräftas av artikel 8 i om de grundläggande rättigheterna är en av de frågor som EU:s stadga om de grundläggande rättigheterna ( 64 ). ska besvaras också frågan om huruvida eventuella inskränk­ ningar av de grundläggande rättigheterna är ”tydligt och rättssäkert formulerade” ( 59 ). I sitt meddelande om översik­ 71. Utvärderingsrapporten visar att valet att ge medlemsstaterna ten av informationshanteringen inom området med frihet, utrymme för skönsmässig när det gäller att exakt definiera säkerhet och rättvisa fastslog kommissionen också att med­ vad som utgör ”allvarlig brottslighet” och av vad som ska borgarna ”har rätt att få veta vilka av deras personuppgifter anses vara ”behöriga myndigheter” har gett upphov till ett som behandlas och utbyts, av vem och för vilket syfte” ( 60 ). stort antal ändamål för vilka uppgifter har använts ( 65 ).

66. När det gäller EU-direktiv ligger ansvaret för att grundläg­ 72. Kommissionen konstaterar att ”[m]erparten av de medlems­ gande rättigheter beaktas, liksom kravet på förutsägbarhet, i stater som införlivat direktivet ger, i enlighet med sin lagförsta hand på de medlemsstater som tillämpar direktivet i stiftning, tillgång till och tillåter användning av lagrade uppgifter för ändamål som sträcker sig utöver dem som ( 54 ) Se, beträffande detta, även Europeiska datatillsynsmannens yttrande anges i direktivet, inbegripet förebyggande och bekämpning 2005, punkterna 29–37. Se även den biträdande datatillsynsman­ av brott generellt samt risker som är livshotande” ( 66 ). Med­ nens tal av den 4 maj 2011, vilket finns på Europeiska datatillsyns­ lemsstaterna utnyttjar ”kryphålet i lagen” i samband med mannens webbplats (http://www.edps.europa.eu) under ”Publica­ artikel 15.1 i direktivet om integritet och elektronisk kom­ tions” >> ”Speeches & Articles” >> ”2011”. munikation ( 67 ). Kommissionen anser att det är en situation ( 55 ) Se s. 14 i utvärderingsrapporten. ( 56 ) Se Europadomstolens dom i målet S. och Marper, som anges i fotnot 7, punkt 151. ( 61 ) Se till exempel EU-domstolens dom av den 6 november 2003 i ( 57 ) EU-domstolens dom av den 20 maj 2003 i mål C-465/00, Öster­ målet Lindqvist, punkt 87. reichischer Rundfunk, punkt 77, och Europadomstolens dom i målet ( 62 ) Se s. 31 i utvärderingsrapporten. S. and Marper, som anges i fotnot 7, punkt 95. ( 63 ) EU-domstolens dom i målet Lindqvist, punkt 84. ( 58 ) Se Europadomstolens dom i målet Malone, som anges i fotnot 8, ( 64 ) Se även artikel 6 i direktiv 95/46/EG punkterna 66–68. ( 65 ) Se s. 8 i utvärderingsrapporten. ( 59 ) KOM(2010) 573, som anges i fotnot 31, s. 5. ( 66 ) Se s. 8 i utvärderingsrapporten. ( 60 ) KOM(2010) 385, som anges i fotnot 17, s. 3. ( 67 ) Detta har diskuterats i punkt 24 ovan. 23.9.2011 Europeiska SV unionens officiella tidning C 279/9 som inte tillräckligt tillgodoser kravet på ”förutsägbarhet 79. Bara om det råder enighet om behovet av EU-regler med som är ett krav i eventuella lagstiftningsåtgärder som be­ tanke på den inre marknaden och polissamarbete och gränsar rätten till integritet” ( 68 ). straffrättsligt samarbete, och om nödvändigheten av lagring av uppgifter som stöds och regleras av EU kan visas till­ räckligt vid konsekvensbedömningen, vid vilken alternativa 73. Under dessa omständigheter kan man inte säga att datalag­ åtgärder noga bör övervägas, kan ett framtida datalagrings­ ringsdirektivet som sådant, särskilt om man läser det till­ direktiv övervägas. sammans med direktivet om integritet och elektronisk kommunikation, ger den klarhet som behövs för att upp­ fylla principen om förutsebarhet på EU-nivå. 80. Europeiska datatillsynsmannen förnekar inte att lagrade uppgifter är värdefulla för brottsbekämpning och att de kan spela en avgörande roll i vissa fall. Liksom tyska Bun­ V. VÄGEN FRAMÅT: ALLA ALTERNATIV BÖR ÖVER­ desverfassungsgericht utesluter inte Europeiska datatillsyns­ mannen att en väldefinierad skyldighet att lagra telekom­ 74. Analysen i den förra delen motiverar slutsatsen att datalag­ munikationsuppgifter kan vara motiverad under vissa myc­ ket stränga villkor ( 71 ). ringsdirektivet inte uppfyller de krav som ställs genom rät­ ten till privatliv och uppgiftsskydd. Det står därför klart att datalagringsdirektivet inte kan fortsätta existera i sin nuva­ 81. Ett eventuellt framtida EU-instrument om lagring av upp­ rande form. I det avseendet gör kommissionen en riktig gifter ska därför uppfylla följande grundläggande krav: bedömning när den föreslår att det nuvarande systemet för lagring av uppgifter ska ses över ( 69 ). — Det ska vara heltäckande och verkligen harmonisera reglerna om skyldigheten att lagra uppgifter och om 75. Innan en reviderad version av direktivet föreslås behöriga myndigheters tillgång till och ytterligare an­ vändning av uppgifterna. a) bör kommissionen emellertid när konsekvensbedöm­ ningen görs samla in ytterligare konkreta exempel från — Det ska vara uttömmande, vilket innebär att den ska ha medlemsstaterna för att visa att lagring av uppgifter är ett tydligt och exakt ändamål och att kryphålet i lagen i nödvändig som en åtgärd enligt EU-lagstiftningen. samband med artikel 15.1 i direktivet om integritet och elektronisk kommunikation ska täppas till. b) Om en majoritet av medlemsstaterna anser att lagring av uppgifter är nödvändig bör dessa medlemsstater alla — Det ska vara proportionerligt och inte gå utöver vad lämna kvantitativa och kvalitativa uppgifter till kommis­ som är nödvändigt (se i detta avseende kommentarerna sionen som bevis för detta. i del IV.2 ovan).

82. Europeiska datatillsynsmannen kommer naturligtvis att c) Medlemsstater som motsätter sig sådan lagring av upp­ noga granska alla framtida förslag beträffande lagring av gifter bör lämna information till kommissionen som gör uppgifter mot bakgrund av dessa grundläggande villkor. det möjligt att göra en mer omfattande bedömning. C 279/10 SV Europeiska unionens officiella tidning 23.9.2011 — Datalagringsdirektivet är inte förutsebart. behöriga myndigheters tillgång till och ytterligare an­ vändning av uppgifterna. 86. Europeiska datatillsynsmannen uppmanar kommissionen att allvarligt överväga alla alternativ vid konsekvensbedöm­ — Det ska vara uttömmande, vilket innebär att det ska ha ningen, inbegripet möjligheten att upphäva direktivet, an­ ett tydligt och exakt ändamål och att kryphålet i lagen i tingen som en enda åtgärd eller tillsammans med ett förslag samband med artikel 15.1 i direktivet om integritet och till en alternativ, mer målinriktad EU-åtgärd. elektronisk kommunikation ska täppas till.

87. Ett framtida datalagringsdirektiv kan bara övervägas om det — Det ska vara proportionerligt och inte gå utöver vad råder enighet om behovet av EU-regler med tanke på den som är nödvändigt. inre marknaden och polissamarbete och straffrättsligt sam­ arbete, och om nödvändigheten av lagring av uppgifter som stöds och regleras av EU kan visas tillräckligt vid kon­ sekvensbedömningen, vid vilken alternativa åtgärder noga Utfärdat i Bryssel den 31 maj 2011. bör övervägas. Ett sådant instrument ska uppfylla följande grundläggande krav: Peter HUSTINX — Det ska vara heltäckande och verkligen harmonisera reglerna om skyldigheten att lagra uppgifter och om Europeiska datatillsynsmannen