Investigations conducted by the European Anti-Fraud Office (OLAF)

23.9.2011 Europeiska SV unionens officiella tidning C 279/11

Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets förordning om ändring av förordning (EG) nr 1073/1999 om utredningar som utförs av Europeiska byrån för bedrägeribekämpning (Olaf) och om upphävande av förordning (Euratom) nr 1074/1999

(2011/C 279/02)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA (nedan kallad förordning (EG) nr 45/2001). Europeiska da­ YTTRANDE tatillsynsmannen välkomnar den uttryckliga hänvisningen till detta samråd i inledningen till förslaget.

med beaktande av fördraget om Europeiska unionens funktions­ sätt, särskilt artikel 16, 3. Syftet med förslaget är att ändra artiklarna 1–14 och att stryka artikel 15 i förordning (EG) nr 1073/1999. Rådets förordning (Euratom) nr 1074/1999 av den 25 maj 1999 om utredningar som utförs av Europeiska byrån för bedrä­ med beaktande av Europeiska unionens stadga om de grund­ geribekämpning (Olaf) förväntas bli upphävd. läggande rättigheterna, särskilt artiklarna 7 och 8,

4. Tidigare ( 3 ), innan förslaget antogs, gav kommissionen Eu­ med beaktande av Europaparlamentets och rådets direktiv ropeiska datatillsynsmannen möjlighet att lämna informella 95/46/EG av den 24 oktober 1995 om skydd för enskilda kommentarer. Europeiska datatillsynsmannen välkomnar personer med avseende på behandling av personuppgifter och öppenheten i processen, vilken på ett tidigt stadium har om det fria flödet för sådana uppgifter ( 1 ), och bidragit till att förbättra texten ur uppgiftsskyddssynpunkt. Några av kommentarerna har faktiskt beaktats i förslaget. med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för 5. Den nya texten är ett resultat av en lång översynsprocess. enskilda då gemenskapsinstitutionerna och gemenskapsorganen År 2006 lade kommissionen fram ett förslag om ändring behandlar personuppgifter och om den fria rörligheten för så­ av förordning (EG) nr 1073/1999. Lagförslaget inriktades dana uppgifter ( 2 ), särskilt artikel 28.2. på att ”effektivisera den operativa verksamheten och för­ bättra Olafs kontrollsystem”.

1. INLEDNING många synpunkter på hur texten till förslaget skulle göras mer samstämmig med reglerna för uppgiftsskydd i förord­ 1. Den 17 mars 2011 antog kommissionen ett förslag till ning (EG) nr 45/2001 ( 4 ). Europaparlamentet antog en reso­ Europaparlamentets och rådets förordning om ändring av lution den 20 november 2008 ( 5 ) och inbegrep cirka ett­ förordning (EG) nr 1073/1999 om utredningar som utförs hundra ändringar av förslaget vid den första behandlingen. av Europeiska byrån för bedrägeribekämpning (Olaf) och om upphävande av förordning (Euratom) nr 1074/1999 (nedan kallat förslaget). 7. På begäran av rådets tjeckiska ordförandeskap (januari–juni 2009) lade kommissionen i juli 2010 fram ett aktualiserat diskussionsunderlag om omorganisationen av Olaf för Eu­ 1.1 Samråd med Europeiska datatillsynsmannen ropaparlamentet och rådet. I oktober välkomnade Europa­ parlamentet diskussionsunderlaget och uppmanade kom­

2. Rådet skickade förslaget till Europeiska datatillsynsmannen missionen att återuppta lagstiftningsförfarandet. Den den 8 april 2011. Europeiska datatillsynsmannen uppfattar meddelandet som en begäran om rådgivning åt gemen­ ( 3 ) I januari 2011. skapsinstitutioner och gemenskapsorgan så som föreskrivs ( 4 ) Europeiska datatillsynsmannens yttrande om förslaget till Europapar­ i artikel 28.2 i förordning (EG) nr 45/2001 av den lamentets och rådets förordning om ändring av förordning (EG) nr 18 december 2000 om skydd för enskilda då gemenskaps­ 1073/1999 om utredningar som utförs av Europeiska byrån för institutionerna och gemenskapsorganen behandlar person­ bedrägeribekämpning (Olaf), EUT C 91, 26.4.2007, s. 1. ( 5 ) Europaparlamentets lagstiftningsresolution av den 20 november uppgifter och om den fria rörligheten för sådana uppgifter 2008 om förslaget till Europaparlamentets och rådets förordning om ändring av förordning (EG) nr 1073/1999 om utredningar ( 1 ) EGT L 281, 23.11.1995, s. 31. som utförs av Europeiska byrån för bedrägeribekämpning (Olaf), ( 2 ) EGT L 8, 12.1.2001, s. 1. P6_TA-PROV(2008) 553. C 279/12 SV Europeiska unionens officiella tidning 23.9.2011 6 december 2010 antog rådet sina slutsatser om det dis­ skilt att betydelsen av de registrerade personernas rättighe­ kussionsunderlag som kommissionen hade lagt fram. Olafs ter enligt artiklarna 11 och 12 i förordning (EG) nr övervakningskommitté bidrog till diskussionerna genom 45/2001 ( 7 ) uttryckligen erkänns. sina yttranden om diskussionsunderlaget och om respekten för de grundläggande rättigheterna och rättssäkerheten i Olafs utredningar. Kommissionen har därefter lagt fram det nya förslaget. 11. Även om helhetsintrycket är positivt anser Europeiska data­ tillsynsmannen att när det gäller skydd av personuppgifter skulle förslaget kunna förbättras ytterligare utan att syftet äventyras. Europeiska datatillsynsmannen befarar i synner­ 1.2 Förslagets betydelse och Europeiska datatillsyns­ het att förslaget, på grund av den bristande samstämmig­ mannens råd heten beträffande vissa aspekter, kan tolkas som en speci­ allag som reglerar behandling av personuppgifter som sam­ 8. I förslaget ingår bestämmelser som i hög grad påverkar las in i samband med Olafs utredningar som skulle ha enskilda personers rättigheter. Olaf kommer att fortsätta företräde framför tillämpningen av den allmänna ramen att samla in och ytterligare behandla känsliga uppgifter i för dataskyddsbestämmelser enligt förordning (EG) nr samband med misstänkta förseelser, förseelser, brottmåls­ 45/2001. Det finns således risk för att dataskyddsnormerna domar och information varigenom enskilda kan uteslutas i förslaget kan tolkas ex contrario som varande normer av från en rättighet, en förmån eller ett avtal i den mån som lägre rang än normerna i förordningen, och till detta finns informationen utgör en särskild risk för de registrerades ingen uppenbar förklaring vare sig i själva förslaget eller i rättigheter och friheter. Den grundläggande rätten till skydd motiveringen. av personuppgifter är av betydelse inte bara för dess egen skull, utan den har nära samband med andra grundläg­ gande rättigheter, som rätten till icke-diskriminering och ett korrekt rättsförfarande och rätten att höras i Olafs ut­ redningar. Respekten för ett korrekt rättsförfarande påver­ 12. För att undvika detta analyseras förslaget i de följande av­ kar bevisningens giltighet och bör prioriteras av Olaf för att snitten. Dels beskrivs bristerna i förslaget, dels ges förslag stärka dess ansvarsskyldighet. Det är därför viktigt att säker­ till speciella lösningar för att åtgärda bristerna. Analysen ställa att grundläggande rättigheter inbegripet de berörda begränsas till de bestämmelser som direkt påverkar skyddet personernas rätt till uppgiftsskydd och privatliv garanteras av personuppgifter, särskilt artikel 1, punkterna 8, 9, 10, när Olaf genomför sina utredningar. 11 och 12, enligt vilka artiklarna 7a, 7b, 8, 9, 10 och10a läggs till eller ändras. 1.3 Huvuddragen i förslaget 2. ANALYS AV FÖRSLAGET 9. Förslagets syfte är att öka Olafs verkan, effektivitet och ansvarsskyldighet samtidigt som oberoende undersökningar 2.1 Allmän bakgrund garanteras. Detta syfte ska framför allt uppnås genom att i) öka samarbetet och informationsutbytet med andra EU-in­ 13. Olaf inrättades år 1999 ( 8 ) för att skydda EU:s finansiella stitutioner, EU-organ och EU-byråer och med medlemssta­ intressen och skattebetalarnas pengar mot bedrägerier, kor­ terna, ii) finjustera de minimis-strategin ( 6 ) för utredningar, ruption och annan olaglig verksamhet. Byrån är knuten till iii) stärka rättssäkerhetsgarantierna för de personer som kommissionen, men den är oberoende av denna. Olaf gör berörs av Olafs utredningar, iv) göra det möjligt för Olaf utredningar som kan vara externa ( 9 ) (särskilt utredningar att ingå administrativa avtal för att underlätta informations­ som kan äga rum i medlemsstaterna och i tredjeländer) och utbytet med Europol, Eurojust, behöriga myndigheter i tred­ interna ( 10 ) (utredningar inom EU:s institutioner, organ, och jeland och internationella organisationer och v) förtydliga byråer) för att bekämpa bedrägerier och illegal verksamhet övervakningskommitténs övervakande roll. som kan skada Europeiska unionens finansiella intressen.

10. Europeiska datatillsynsmannen stöder syftet med de före­ 14. Olaf kan dessutom i) vidarebefordra information som har slagna ändringarna och välkomnar förslaget i detta avse­ framkommit under dess externa utredningar till nationella ende. Europeiska datatillsynsmannen välkomnar särskilt behöriga myndigheter, ii) vidarebefordra information till de att en ny artikel 7a införts som avser de rättssäkerhets­ garantier som ges till enskilda. När det gäller enskildas ( 7 ) Se förslaget, de nya artiklarna 7a och 8.4. rätt till skydd av personuppgifter och privatliv anser Euro­ ( 8 ) Kommissionens beslut 1999/352/EG av den 28 april 1999 om peiska datatillsynsmannen att förslaget på det hela taget inrättande av Europeiska byrån för bedrägeribekämpning (Olaf), innehåller förbättringar i förhållande till den nuvarande si­ EGT L 136, 31.5.1999, s. 20. Se även Europaparlamentets och rådets förordning (EG) nr 1073/1999 av den 25 maj 1999 om tuationen. Europeiska datatillsynsmannen välkomnar sär­ utredningar som utförs av Europeiska byrån för bedrägeribekämp­ ning (Olaf), EGT L 136, 31.5.1999, s. 1. ( 6 ) Det vill säga att Olaf ska definiera och inrikta sig på sina prioriterade ( 9 ) Se artikel 3 i förordning (EG) nr 1073/1999. utredningsområden för att utnyttja sina resurser på ett effektivt sätt. ( 10 ) Se artiklarna 1 och 4 i förordning (EG) nr 1073/1999. 23.9.2011 Europeiska SV unionens officiella tidning C 279/13 nationella organen inom rättsväsendet vilken har framkom­ brott mot tullagstiftningen. För att på ett effektivt sätt upp­ mit under interna utredningar av ärenden som kan leda till täcka och ta itu med dessa överträdelser måste Olaf således straffrättsliga åtgärder och iii) vidarebefordra information genomföra kontroller och inspektioner på platsen också i som har erhållits under interna utredningar till den berörda tredjeländer. Betydelsen av internationellt samarbete och institutionen eller byrån eller det berörda organet ( 11 ). således också utbyte av uppgifter visas av att Europeiska unionen för närvarande har mer än 50 avtal om ömsesidigt administrativt bistånd i tullärenden, till exempel med stora handelspartner som Kina, USA, Japan, Turkiet, Ryssland och Indien.

15. Olaf får också ha nära samarbete med Eurojust ( 12 ) och Europol ( 13 ) för att fullgöra sin lagstadgade skyldighet att bekämpa bedrägerier, korruption och annan verksamhet som kan påverka unionens finansiella intressen. Europol ( 14 ) och Eurojust ( 15 ) kan i detta sammanhang utbyta operativ, strategisk och teknisk information, inbegripet personupp­ 17. Tillämpningen av förordning (EG) nr 45/2001 i samband gifter, med Olaf. med Olafs verksamhet har varit målet med ett antal av Europeiska datatillsynsmannens interventioner de senaste åren. I samband med förslagets inriktning (Olafs utred­ ningar) är det värt att notera yttrandet av den 23 juni 2006 om en anmälan om förhandskontroll beträffande Olafs interna utredningar ( 16 ), yttrandet av den 4 oktober 16. Med stöd av förordning (EG) nr 1073/1999 får Olaf också 2007 om fem anmälningar om förhandskontroll beträf­ göra utredningar i tredjeländer i enlighet med de olika sam­ fande externa utredningar ( 17 ) och yttrandet av den arbetsavtal som gäller mellan Europeiska unionen och dessa 19 juli 2007 om en anmälan om förhandskontroll beträf­ tredjeländer. Bedrägerier som är till nackdel för unionens fande regelbunden övervakning av genomförandet av den budget kan också äga rum utanför Europeiska unionens utredande funktion ( 18 ) som har samband med övervak­ territorium, till exempel när det gäller utländskt bistånd ningskommitténs utredande verksamhet. som Europeiska unionen beviljar utvecklingsländer, kandi­ datländer eller andra mottagarländer, eller när det gäller 2.2 Personlig integritet och konsekvensbedömning En förklaring av hur konsekvenserna för uppgiftsskyddet har hanterats skulle säkerligen göra helhetsbedömningen och konsekvensbedömningar”. ling av uppgifter som utförs av Olaf. I den nya C 279/14 SV Europeiska unionens officiella tidning 23.9.2011 formuleringen av artikel 8.4 ( 20 ) nämns i synnerhet tydligt kärnan i rättigheten respekteras, om proportionalitetsprin­ förordningens roll i samband med Olafs olika åtgärder. cipen tillämpas och om Europeiska unionens allmännyttiga Detta är en aktualisering av texten i förordning (EG) nr mål uppfylls. Europeiska datatillsynsmannen lägger stor vikt 1073/1999, i vilken direktiv 95/46/EG bara nämndes vid respekten för de grundläggande rättigheterna inom om­ som referens för skyldigheter i fråga om uppgiftsskydd. rådet för Olafs verksamhet.

20. Genom den sista meningen i artikel 8.4 införs kravet att 23. I skäl 13 i förslaget klargörs det att de grundläggande utse ett uppgiftsskyddsombud. ”Olaf ska utse ett uppgifts­ rättigheter som de personer har som berörs av en utredning skyddsombud i enlighet med artikel 24 i förordning (EG) nr alltid ska respekteras, och särskilt när information om på­ 45/2001”. Detta tillägg genom vilket den faktiska tillsätt­ gående utredningar lämnas. I skälet betonas sedan att det är ningen av Olafs uppgiftsskyddsombud formaliseras välkom­ nödvändigt att iaktta sekretess beträffande utredningar, att nas också av Europeiska datatillsynsmannen. respektera de berörda personernas legitima rättigheter, de nationella bestämmelser som gäller för rättsliga förfaranden och slutligen unionens lagstiftning om uppgiftsskydd. Det anges att proportionalitetsprincipen och principen om be­ hovsenlig behörighet ska gälla för utbytet av information. 21. Europeiska datatillsynsmannen befarar emellertid att in­ förandet av dataskyddsnormer i den föreslagna texten inte helt överensstämmer med kraven i förordningen, och det kan vara ett problem när det gäller samstämmigheten. Denna aspekt analyseras i detalj nedan. 24. Genom detta skäl tycks en begränsning införas när det gäller tillämpning av grundläggande rättigheter både ratione personae (begränsat till personer som berörs av utredningen) och ratione materiae (begränsat till utbyte av information). Detta kan leda till en felaktig tolkning av den text enligt

3. SÄRSKILDA KOMMENTARER vilken grundläggande rättigheter inom området för Olafs verksamhet skulle tillämpas ”restriktivt” ( 24 ). 3.1 Olaf och respekten för grundläggande rättigheter och principer för uppgiftsskydd

22. Olafs utredningar kan få allvarliga konsekvenser för enskil­ das grundläggande rättigheter. Såsom EU-domstolen på­ 25. Europeiska datatillsynsmannen föreslår därför att texten i pekade i domen i målet Kadi ( 21 ) skyddas dessa rättigheter skälet ändras för att undvika eventuella feltolkningar: i skä­ genom gemenskapsrätten. I domen i målet Schecke ( 22 ) be­ let nämns att ”de utredda personernas” grundläggande rät­ tonar domstolen närmare bestämt, genom att hänvisa till tigheter alltid bör respekteras. Eftersom Olaf inte bara har Europeiska unionens stadga om de grundläggande rättighe­ att göra med personer som berörs av en utredning (”miss­ terna (nedan kallad stadgan) ( 23 ), och i synnerhet till artik­ tänkta”) utan också med uppgiftslämnare (personer som larna 8 och 52, att all inskränkning av rätten till uppgifts­ lämnar information om omständigheterna i ett möjligt eller skydd bara kan motiveras om den föreskrivs i lag, om faktiskt ärende), whistleblowers ( 25 ) (personer inom EU:s institutioner som rapporterar till Olaf om omständigheter ( 20 ) ”Olaf får endast behandla personuppgifter i den mån det krävs för i samband med ett möjligt eller faktiskt ärende) och vittnen, att fullgöra dess uppgifter i enlighet med den här förordningen. bör de kategorier av ”personer” som åtnjuter de grundläg­ Behandlingen av personuppgifter ska ske i enlighet med förordning (EG) nr 45/2001, inklusive informationsplikten gentemot den regi­ gande rättigheterna ges en mer vidsträckt definition. strerade i enlighet med artiklarna 11 och 12 i den förordningen. Uppgifterna får endast överlämnas till sådana personer vid unionens eller medlemsstaternas institutioner som på grund av sin befattning behöver känna till dem, och får inte användas i andra syften än att bekämpa bedrägerier, korruption och annan olaglig verksamhet. (…)”. 26. Vidare avser skäl 13 respekt för grundläggande rättigheter ( 21 ) Dom av den 3 september 2008 i de förenade målen C-402/05 P särskilt i samband med ”informationsutbyte”. I skälet och C-415/05 P, Kadi mot Europeiska unionens råd och Europeiska nämns förutom grundläggande rättigheter och sekretess gemenskapernas kommission, punkt 283: ”[…] utgör de grundläg­ att ”[u]ppgifter som överlämnas eller erhålls i samband gande rättigheterna en integrerad del av de allmänna rättsprinciper med utredningarna bör behandlas enligt unionens bestäm­ som domstolen ska säkerställa efterlevnaden av. Domstolen utgår därvid från medlemsstaternas gemensamma konstitutionella tradi­ melser om skydd av personuppgifter”. Placeringen av denna tioner samt från den vägledning som ges i de folkrättsliga doku­ mening kan vara förvirrande, och den bör placeras i ett ment angående skydd för de mänskliga rättigheterna som medlems­ separat skäl för att klarlägga att respekt för dataskyddslags­ staterna varit med om att utarbeta eller har tillträtt. I detta avseende tiftning är åtskild och fristående och inte bara har samband är Europakonventionen av särskild betydelse.” Se även punkt 304. med informationsutbyte. ( 22 ) Dom av den 9 november 2010 i de förenade målen C-92/09 och C-93/09, Volker och Markus Schecke, punkt 44 och följande punk­ ter. ( 24 ) Se även punkt 36 nedan. ( 23 ) Efter det att Lissabonfördraget trätt i kraft är den europeiska kon­ ( 25 ) Se yttrande om en anmälan om förhandskontroll som tagits emot ventionen om skydd för de mänskliga rättigheterna och de grund­ från uppgiftsskyddsombudet vid Europeiska byrån för bedrägeribe­ läggande friheterna tillämplig på alla områden av Europeiska unio­ kämpning (Olaf) om Olafs interna utredningar, 23 juni 2006, nens verksamhet. ärende 2005/0418, vilket finns på http://www.edps.europa.eu 23.9.2011 Europeiska SV unionens officiella tidning C 279/15

27. Europeiska datatillsynsmannen välkomnar att artikel 7a äg­ 45/2001 har lämnats till den registrerade personen kom­ nas speciellt åt rättssäkerhetsgarantier under utredningar. mer det emellertid inte att vara nödvändigt att lämna Denna nya bestämmelse är i linje med förslagets syfte att samma information i de följande stegen. öka Olafs ansvarsskyldighet. I artikeln hänvisas också till stadgan i vilken finns bestämmelser som har betydelse i samband med Olafs utredningar, nämligen artikel 8 (”Skydd av personuppgifter”) och hela avdelning VI (”Rättskipning”). 32. I texten anges dessutom inga detaljer beträffande de regi­ strerade personernas rätt till tillgång till och rättelse av uppgifterna i enlighet med artiklarna 13 och 14 i förord­ ning (EG) nr 45/2001. Dessa rättigheter skyddas genom artikel 8.2 i stadgan och har därför en särskilt framskjuten ställning bland den registrerade personens rättigheter. Eu­ 28. I artikel 7a.1 i förslaget föreskrivs att byrån ska beakta ropeiska datatillsynsmannen hade redan bett ( 28 ) om att den omständigheter som talar såväl för som emot de berörda registrerade personens rätt till tillgång och rättelse skulle personerna och att utredningarna ska utföras på ett objek­ anges tydligare för att undvika risken för att texten tolkas tivt och opartiskt sätt. Dessa principer har positiv inverkan som att det genom denna införs ett särskilt uppgiftsskydds­ på principen om ”uppgifternas kvalitet” ( 26 ) som anges i system av ”lägre rang” för de personer som berörs av Olafs artikel 4 i förordning (EG) nr 45/2001, såtillvida som kri­ utredningar. Europeiska datatillsynsmannen beklagar att teriet kräver att uppgifterna ska vara riktiga, överensstämma dessa aspekter inte beaktas i förslaget. med verkligheten och vara fullständiga och aktuella. Euro­ peiska datatillsynsmannen välkomnar därför att detta stycke har införts. 33. Europeiska datatillsynsmannen vill också peka på möjlighe­ ten att begränsa rätten till information, tillgång och rättelse i speciella fall, vilket anges i artikel 20 i förordning (EG) nr 45/2001. Olafs skyldighet att följa reglerna för uppgifts­ Rätt till information, tillgång och rättelse skydd kan därför gälla samtidigt som det är nödvändigt att iaktta sekretess i dess utredningar. Denna aspekt be­ 29. Följande stycken i artikel 7a avser de olika stegen i Olafs handlas ytterligare i nedanstående punkter. utredningar. Dessa steg kan sammanfattas enligt följande: i) intervjuer med vittnen eller berörda personer (artikel 7a.2), ii) personer som funnits vara berörda av utredningarna (artikel 7a.3), iii) slutsatser i utredningen som avser en Utredningssekretess och den registrerade personens rättigheter persons namn (artikel 7a.4). 34. Som en allmän kommentar medger Europeiska datatillsyns­ mannen att Olafs utredande roll kräver att utredningssek­ retessen kan skyddas för att på ett effektivt sätt ta itu med bedrägerier och olaglig verksamhet, vilket är Olafs skyldig­ het. Europeiska datatillsynsmannen vill dock betona att 30. Europeiska datatillsynsmannen konstaterar att skyldigheten denna möjlighet får konsekvenser för vissa rättigheter att lämna information enligt artiklarna 11 och 12 i för­ som registrerade personer har och att det i förordning ordning (EG) nr 45/2001 (endast) nämns i samband med (EG) nr 45/2001 anges särskilda omständigheter under steg iii) ovan. Europeiska datatillsynsmannen välkomnar att vilka sådana rättigheter kan begränsas i detta sammanhang Europeiska datatillsynsmannens rekommendationer i den­ 27 ) har tagits med i för (artikel 20). nes yttrande om lagförslag 2006 ( ­ slaget.

35. Enligt artikel 20 i förordning (EG) nr 45/2001 kan de rättigheter som anges i artiklarna 4 (uppgifternas kvalitet) och 11–17 (information som ska ges, rätt till tillgång, rät­ 31. Om en registrerad persons rättigheter i samband med ett telse, blockering, utplåning, rätt till meddelande till tredje enda skede i förfarandet nämns på ett sådant selektivt sätt man) begränsas när det är nödvändigt för att bland annat kan detta emellertid tolkas som att samma information inte ”a) förebygga, utreda, avslöja eller beivra brott” eller ”b) ska lämnas till den registrerade personen (vittnet eller per­ skydda ekonomiska och finansiella intressen för medlems­ sonen i fråga) när han eller hon kallas till intervju eller när staterna eller Europeiska gemenskaperna” och ”e) säkerställa den anställde informeras om att han eller hon kan beröras en övervakande, inspekterande […] uppgift som är förenad av utredningen. För att ge rättslig säkerhet föreslår Europe­ med myndighetsutövning, i fall som avses i punkterna a iska datatillsynsmannen därför att hänvisningen till artik­ och b ovan”. I samma artikel föreskrivs att de huvudsakliga larna i fråga förs in beträffande alla tre situationerna som skälen till att en begränsning har införts ska meddelas den nämns i punkterna i), ii) och iii) ovan. När informationen i registrerade personen och att personen ska informeras om samband med artiklarna 11 eller 12 i förordning (EG) nr möjligheten att vända sig till Europeiska datatillsynsmannen (artikel 20.3). I artikel 20.5 föreskrivs vidare att meddelan­ ( 26 ) Se fotnot 25. det kan uppskjutas så länge som det skulle göra den be­ ( 27 ) Europeiska datatillsynsmannens yttrande om förslaget till Europa­ gränsning som införts verkningslös om informationen läm­ parlamentets och rådets förordning om ändring av förordning (EG) nades. nr 1073/1999 om utredningar som utförs av Europeiska byrån för bedrägeribekämpning (Olaf), EUT C 91, 26.4.2007, s. 1, punkt 14 och följande punkter. ( 28 ) I dennes yttrande 2006, se ovan fotnot 19. C 279/16 SV Europeiska unionens officiella tidning 23.9.2011

36. Genom texten till förslaget införs huvudsakligen undantag 40. Om artikel 20.3 och 20.5 i förordning (EG) nr 45/2001 från registrerade personers rättigheter för utredningssek­ beaktas står ett sådant scenario i sig inte i strid med för­ retessens skull. I artikel 7a.4 föreskrivs att ”[u]tan hinder ordningen. Den omständigheten att det i texten inte finns av det som sägs i artikel 4.6 och artikel 6.5” ( 29 ), får inga någon tydlig hänvisning till artiklarna i förordningen tycks slutsatser dras om namngivna personer ”i utredningens emellertid inte överensstämma med förslagets syfte att slutskede utan att de berörda personerna dels beretts tillfälle stärka rättssäkerhetsgarantierna för personer som berörs att yttra sig om samtliga omständigheter som gäller dem, av Olafs utredningar och att öka Olafs ansvarsskyldighet. antingen skriftligen eller vid intervju […], dels fått ta del av de uppgifter som krävs enligt artikel 11 och 12 i förord­ ning (EG) nr 45/2001”. Av texten tycks därför framgå att den registrerade personens rätt att höras och rätt till infor­ mation kan begränsas i de fall som anges i artiklarna 4.6 41. Europeiska datatillsynsmannen föreslår därför att en möjlig och 6.5. begränsning av den registrerade personens rätt i den me­ ning som avses i artikel 20 i förordning (EG) nr 45/2001 uttryckligen införs. Dessutom bör rättssäkerhetsgarantin i artikel 20.3 nämnas i texten liksom det möjliga undantaget 37. I förslaget fastslås också att om utredningssekretessen måste i artikel 20.5. Genom en sådan klar bestämmelse skulle den skyddas och omständigheterna kräver utredningsåtgärder rättsliga säkerheten för den registrerade personen och Olafs som ingår i en nationell rättslig myndighets behörighet ansvarsskyldighet öka. får Olafs generaldirektör vänta med att göra det möjligt för personen att yttra sig. I texten anges inte huruvida även den information som krävs i artiklarna 11 och 12 i förordning (EG) nr 45/2001 ska uppskjutas i detta sam­ manhang. 42. Sammanfattningsvis föreslår Europeiska datatillsynsmannen att följande anges tydligt i texten för att fastställa en tydlig uppsättning rättigheter för den registrerade personen och för att införa möjliga undantag på grund av utredningssek­ 38. Texten är oklart formulerad. För det första finns det alls retessen i enlighet med artikel 20 i förordning (EG) nr inget klart samband mellan de eventuella begränsningarna 45/2001: av den utredda personens rättigheter när det gäller slutsat­ ser som har samband med hans eller hennes namn och den typ av information som Olaf ska lämna till EU-organet i fråga i den aktuella undersökningen. För det andra är det inte klart vilka kategorier av den registrerade personens — Vilken information som ska lämnas till den registrerade rättigheter som eventuellt ska begränsas. I artikeln införs personen för att iaktta dataskyddslagstiftningen (artik­ för det tredje inte det nödvändiga skyddet i artikel 20.3 i larna 11 och 12 i förordning (EG) nr 45/2001) i sam­ förordning (EG) nr 45/2001. band med de olika stegen i Olafs utredningar ( 30 ): i) intervjuer (artikel 7a.2, ii) information när en person kan vara berörd av utredningen (artikel 7a.3) och iii) vid slutet av utredningen (artikel 7a.4). 39. Konsekvensen skulle kunna bli att enskilda i vissa fall kan konfronteras med slutsatser om utredningen utan att ha känt till att de är föremål för utredningen och utan att få information om skälen till att deras rätt att höras och rätt till information enligt artiklarna 11 och 12 i förordning (EG) nr 45/2001 har begränsats. — Vilken typ av information som Olaf kan uppskjuta på grund av utredningssekretess med klara uppgifter om vilka villkor och kategorier av registrerade personer ( 29 ) Artikel 4.6 – ”Intern utredning” – har följande lydelse: ”Om utred­ ningarna visar att en ledamot eller anställd kan beröras av en intern som berörs av att informationen uppskjuts. utredning, ska den institution, det organ eller den byrå där denne är verksam informeras. I undantagsfall där utredningssekretessen inte kan säkras ska Olaf använda lämpliga alternativa informationskana­ ler”. Artikel 6.5 – ”Utredningsarbetet” – har följande lydelse: ”Om utredningarna visar att det kan vara lämpligt att vidta administrativa säkerhetsåtgärder för att skydda unionens ekonomiska intressen ska — Vilken information som ska lämnas till den registrerade Olaf utan onödigt dröjsmål informera den berörda institutionen, det personen för att iaktta dataskyddslagstiftningen, om berörda organet eller den berörda byrån om den pågående utred­ meddelandet enligt artiklarna 11 eller 12 uppskjuts eller ningen. Följande uppgifter ska lämnas: a) Identitetsuppgifter för de berörda ledamöterna eller anställda och en sammanfattning av de om rätten till tillgång och rättelse begränsas (nämligen faktiska omständigheterna, b) alla uppgifter som kan hjälpa institu­ informationen enligt artikel 20.3 i förordning (EG) nr tionen, organet eller byrån att avgöra om det är lämpligt att vidta 45/2001), inbegripet undantaget i samband med möj­ administrativa säkerhetsåtgärder för att skydda unionens ekono­ ligheten att ytterligare uppskjuta informationen enligt miska intressen, c) eventuella rekommendationer om särskilda sek­ artikel 20.5 i förordning (EG) nr 45/2001. retessåtgärder i ärenden där utredningsåtgärderna måste vidtas av en nationell rättslig myndighet eller i fråga om externa utredningar som ingår i en nationell myndighets behörighet, i enlighet med ( 30 ) När informationen har lämnats skulle det såsom nämnts ovan inte de nationella bestämmelser som är tillämpliga på utredningen. […]”, vara nödvändigt att upprepa samma information i de följande ste­ min understrykning. gen. 23.9.2011 Europeiska SV unionens officiella tidning C 279/17 3.2 Informationsstrategi mannen konstaterar att en sådan bestämmelse skulle vara i linje med artikel 29-gruppens yttrande om interna system 43. Europeiska datatillsynsmannen vill betona att all infor­ för whistleblowing ( 36 ). mation om utredningar som Olaf eventuellt offentliggör kan innehålla känsliga personuppgifter, och man måste noga överväga om det är nödvändigt att offentliggöra upp­ gifterna. I domen i målet Nikolaou år 2007 ( 31 ) fastställde inte vederbörligen iaktta sin skyldighet att säkerställa skyd­ 46. Europeiska datatillsynsmannen rekommenderar att det nu­ det av personuppgifter i samband med en ”läcka” ( 33 ) och varande förslaget ändras och att det säkerställs att sekretess offentliggörande av ett pressmeddelande ( 34 ). iakttas beträffande whistleblowers och uppgiftslämnares identitet under utredningarna så länge som detta inte står i strid med nationella bestämmelser som reglerar rättspro­ cesser. I synnerhet kan den som är föremål för anklagelser ha rätt att känna till whistleblowers och/eller uppgiftsläm­ nares identitet för att inleda rättsliga förfaranden mot dessa, om det har fastställts att de uppsåtligen har lämnat felaktiga uppgifter om honom eller henne ( 37 ). 44. Europeiska datatillsynsmannen välkomnar därför införandet av punkt 8.5 i vilken uttryckligen föreskrivs att general­ direktören ska se till att information till allmänheten läm­ nas på ett ”neutralt och opartiskt” sätt i enlighet med de principer som fastställs i artiklarna 8 och 7a. Mot bakgrund av de kommentarer som lämnats ovan i artikel 7a i sam­ band med den restriktiva tillämpningen av reglerna i för­ ordning (EG) nr 45/2001 välkomnar Europeiska datatill­ 3.4 Överföring av personuppgifter från Olaf synsmannen särskilt hänvisningen i artikel 8.5 till den Samarbete med Eurojust och Europol mer allmänna bestämmelsen i artikel 8, vilken innebär att all behandling av personuppgifter i samband med infor­ 47. Europeiska datatillsynsmannen välkomnar de specificeringar mation till allmänheten ska utföras i enlighet med alla som gjorts i skäl 6 och artikel 10a och särskilt införandet principerna i förordning (EG) nr 45/2001. av kravet på en klar rättslig grund för samarbetet med Eurojust och Europol, vilket är helt i linje med förordning (EG) nr 45/2001. Förslaget bör dock vara mer detaljerat så att det avspeglar de olika systemen för uppgiftsskydd för Eurojust och Europol. 3.3 Sekretess beträffande whistleblowers och uppgifts­ lämnares identitet

45. Europeiska datatillsynsmannen skulle i samband med den 48. Idag har Olaf en praktisk överenskommelse med Euro­ aktuella översynen vilja hålla fast vid behovet av att införa just ( 38 ) som anger de villkor enligt vilka överföringen av en särskild bestämmelse för att garantera sekretess beträf­ personuppgifter får äga rum. I samarbetet mellan Olaf och fande whistleblowers och uppgiftslämnares identitet. Euro­ Eurojust ingår i synnerhet utbyte av sammanfattningar av peiska datatillsynsmannen understryker att whistleblowers ärenden, av ärenderelaterad strategisk och operativ infor­ har en känslig ställning. Personer som lämnar sådan infor­ mation, deltagande i möten och ömsesidigt bistånd som mation bör garanteras att sekretess iakttas beträffande deras kan bidra till ett funktionsdugligt och effektivt genom­ identitet, särskilt gentemot den person som rapporteras ha 35 ). De nuvarande ga förande av deras respektive uppgifter. I den praktiska över­ gjort sig skyldig till en överträdelse ( ­ enskommelsen ( 39 ) definieras framför allt arbetssättet för rantierna (kommissionens meddelande SEK(2004) 151/2) är utbytet av information, inbegripet personuppgifter, och i inte tillräckliga ur rättslig synvinkel. Europeiska datatillsyns­ några fall betonas eller specificeras också vissa delar av den befintliga rättsliga ramen. ( 31 ) Mål T-259/03, Nikolaou mot kommissionen, 12 juli 2007, EUT C 247, 20.10.2007, s. 23. ( 32 ) Artikeln avser speciellt dataskyddslagstiftning. ( 36 ) Se artikel 29-arbetsgruppens yttrande 1/2006 av den 1 februari ( 33 ) Nikolaou, punkt 213. 2006 om tillämpningen av EU:s dataskyddsregler på interna system ( 34 ) Nikolaou, punkt 232. för whistleblowing när det gäller räkenskaper, intern granskning av ( 35 ) Vikten av att iaktta sekretess beträffande whistleblowers identitet räkenskaperna, revision, bekämpning av mutor, bankväsende och har redan betonats av Europeiska datatillsynsmannen i ett brev av finansiell brottslighet, som finns på http://ec.europa.eu/justice/ den 30 juli 2010 i ärende 2010-0458, som finns på Europeiska policies/privacy/workinggroup/index_en.htm datatillsynsmannens webbplats (http://www.edps.europa.eu). Se även ( 37 ) Se yttrandet om finansiella regler som är tillämpliga på unionens Europeiska datatillsynsmannens yttrande om förhandskontroll av budget av den 15 april 2011, vilket finns på http://www.edps. den 23 juni 2006 om Olafs interna utredningar (ärende 2005- europa.eu 0418) och av den 4 oktober 2007 beträffande Olafs externa utred­ ( 38 ) Praktisk överenskommelse om samarbetsarrangemang mellan Euro­ ningar (ärendena 2007-47, 2007-48, 2007-49, 2007-50 och just och Olaf av den 24 september, se fotnot 12 ovan. 2007-72). ( 39 ) Praktisk överenskommelse mellan Eurojust och Olaf, punkt 4.1. C 279/18 SV Europeiska unionens officiella tidning 23.9.2011

49. När det gäller Europol finns ingen sådan överenskommelse när det gäller att genomföra skyldigheterna enligt förord­ med Olaf ( 40 ), men enligt Europolbeslutet får Europol direkt ning (EG) nr 45/2001beträffande överföringar av person­ ta emot, använda och överföra uppgifter, innefattande per­ uppgifter. sonuppgifter, från – bland andra – Olaf också innan en formell överenskommelse om utbyte träffas så länge som det är nödvändigt för ett lagenligt utförande av Europols och Olafs uppgifter ( 41 ). Ett villkor för utbytet är också att det finns ett sekretessavtal mellan de båda enheterna. I Samarbete med tredjeland och internationella organisationer artikel 24 i Europolbeslutet anges vissa säkerhetsåtgärder som Europol ska iaktta i samband med all överföring av 52. I punkt 3 i artikel 10a nämns att ”Olaf också […] vid uppgifter som äger rum innan en formell överenskommelse behov [får] ingå administrativa avtal med behöriga myndig­ om utbyte träffas: ”Europol ska ansvara för att överföringen heter i tredjeland och med internationella organisationer. av uppgifter är laglig. Europol ska föra ett register över alla Olaf ska samordna sig med kommissionens behöriga enhe­ överföringar som utförs enligt denna artikel och över grun­ ter och Europeiska utrikestjänsten”. derna för överföringarna. Uppgifter får överföras endast om mottagaren gör ett åtagande om att uppgifterna kommer att användas endast för de ändamål för vilka de överfördes”. I artikel 29 i samma beslut anges också när ansvaret för de uppgifter som överförs av tredje man ligger på Europol. 53. Europeiska datatillsynsmannen välkomnar att Olafs sam­ arbete med tredjeland och internationella organisationer kopplas till att administrativa avtal ingås. Följderna för upp­ giftsskyddet av det eventuella utbytet av uppgifter med tredjeland och internationella organisationer bör dock tas upp mer specifikt i förslaget.

50. Europeiska datatillsynsmannen förespråkar med kraft att en särskild överenskommelse träffas med Europol om över­ föring av uppgifter, och den omständigheten att någon sådan överenskommelse hittills inte har träffats ökar beho­ 54. Förslaget bör vara mera preciserat när det gäller de särskilda vet av särskilda garantier i texten till förslaget. Med tanke kraven och villkoren för eventuella överföringar av upp­ på de olika systemen för uppgiftsskydd i samband med gifter från och till tredjeland och organisationer. Europeiska överföring av personuppgifter från Olaf till Eurojust och datatillsynsmannen förordar att också följande formulering Europol och vice versa anser Europeiska datatillsynsmannen tas med i texten till artikel 10a.3: ”I den mån samarbete att de nödvändiga garantier och normer som reglerar sam­ med internationella organisationer och tredjeland innebär arbetet mellan Olaf och dessa organ bör anges tydligare och att personuppgifter överförs från Olaf till andra enheter beaktas i nuvarande och framtida arbetsavtal mellan dessa. ska överföringen äga rum i enlighet med kriterierna i artikel 9 i förordning (EG) nr 45/2001”. Övervakningskommitténs tillgång till personuppgifter

51. För att betona behovet av att ingå ett administrativt avtal 55. Europeiska datatillsynsmannen välkomnar formuleringen i bör bestämmelsen i artikel 10a.2 ändras till ”Olaf ska enas artikel 11 i förslaget enligt vilken ”[ö]vervakningskommit­ om sådana administrativa avtal […]”. På så sätt skulle den tén får be Olaf om ytterligare uppgifter om utredningar när liknande bestämmelsen i Europolbeslutet ( 42 ) avspeglas, ge­ situationen så kräver utan att störa pågående utredningar”, nom vilken fastställs att Europol ska träffa överenskommel­ eftersom formuleringen uttrycker nödvändighetsprincipen i ser eller arbetsavtal med andra institutioner, organ och samband med all eventuell överföring av personuppgifter byråer i unionen. I artikel 10a i förslaget skulle dessutom från Olaf till övervakningskommittén. kunna klargöras att utbytet av personuppgifter med Euro­ just och Europol som en allmän princip bör begränsas till och inte gå utöver vad som är nödvändigt för ett lagenligt utförande av Olafs, Europols och Eurojusts uppgifter. I för­ slaget bör också införas en skyldighet för Olaf att föra register över alla överföringar av uppgifter och grunderna 56. Frågan om övervakningskommitténs tillgång till personupp­ för sådana överföringar, för att öka Olafs ansvarsskyldighet gifter för personer som berörs eller eventuellt berörs av utredningar bör också klarläggas i samband med den ar­ ( 40 ) Det administrativa avtalet av den 8 april 2004 begränsas till utbyte betsordning som kommittén ska anta i enlighet med den 23.9.2011 Europeiska SV unionens officiella tidning C 279/19

4. STRATEGISK PLANERING — De olika kategorierna av registrerade personers rätt till information bör nämnas tydligt i förslaget, liksom rät­ 57. Utöver de speciella punkter som nämnts ovan vill Europe­ ten till tillgång och rättelse i samband med alla skeden i iska datatillsynsmannen uppmana kommissionen att föreslå de utredningar som genomförs av Olaf. att Olaf tillämpar ett öppnare tillvägagångssätt när det gäl­ ler EU:s uppgiftsskyddssystem. Det skulle vara rätt tidpunkt för Olaf att utveckla en strategisk planering av efterlev­ — Sambandet mellan behovet av utredningssekretess och naden av uppgiftsskyddet genom att frivilligt klarlägga det systemet för uppgiftsskydd som gäller under utredning­ praktiska tillvägagångssättet för behandlingen av dess arna bör klargöras i förslaget. Europeiska datatillsyns­ många register som innehåller personuppgifter. Olaf skulle mannen föreslår att de registrerade personernas rättig­ kunna förklara proaktivt och offentligt hur personuppgifter heter definieras och åtskiljs klart liksom möjliga undan­ behandlas i dess olika aktiviteter. Europeiska datatillsyns­ tag på grund av sekretesskrav och att de säkerhetsåtgär­ mannen anser att en sådan global och uttrycklig strategi der som föreskrivs i artikel 20 i förordning (EG) nr skulle leda till att Olafs behandling av personuppgifter blev 45/2001 uttryckligen införs. mer öppen och utredningsprocesserna mer användarvän­ liga. — I förslaget bör Olafs strategi för information till allmän­ heten i samband med uppgiftsskydd klargöras. 58. Europeiska datatillsynsmannen föreslår därför att general­ direktören genom bestämmelserna i förslaget ges i uppgift att säkerställa att en omfattande översikt över Olafs alla olika åtgärder inom behandling av uppgifter genomförs — Särskilda bestämmelser om sekretess beträffande whist­ och hålls aktuell, eller att detta åtminstone förklaras i ett leblowers och uppgiftslämnare bör införas genom för­ skäl. En sådan översikt – vars resultat bör vara klara och slaget. tydliga genom till exempel en årlig rapport eller genom andra alternativ – skulle inte bara öka effektiviteten i Olafs olika åtgärder och deras växelverkan, utan också upp­ — De allmänna principerna för uppgiftsskydd enligt vilka muntra Olaf till att anta en mera global strategi i fråga Olaf kan överföra och ta emot information, inbegripet om nödvändigheten av och proportionaliteten hos åtgär­ personuppgifter, med andra EU-organ och EU-byråer, derna inom behandling av uppgifter. Det skulle också tredjeländer och internationella organisationer bör klar­ vara till hjälp för Olaf att bättre visa att byrån på veder­ göras i förslaget. börligt sätt inför inbyggda säkerhetsmekanismer och prin­ ciper om ansvarsskyldighet. — Generaldirektören bör genom bestämmelserna i försla­ get ges i uppgift att säkerställa att en strategisk och

5. SAMMANFATTNING omfattande översikt över Olafs olika åtgärder för be­ handling genomförs, hålls aktuell och görs klar och 59. Sammanfattningsvis välkomnar Europeiska datatillsynsman­ tydlig, eller åtminstone att behovet av detta förklaras i nen de ändringar som har införts i texten och som medför ett skäl. att förslaget bättre överensstämmer med EU:s system för uppgiftsskydd. Utfärdat i Bryssel den 1 juni 2011.

60. Europeiska datatillsynsmannen skulle emellertid också vilja Giovanni BUTTARELLI belysa ett antal brister som bör åtgärdas genom ändringen av texten, och framför allt följande: Biträdande Europeisk datatillsynsman