PNR - Australia

5.11.2011 Europeiska SV unionens officiella tidning C 322/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslaget till rådets beslut om ingående av avtalet mellan Europeiska unionen och Australien om lufttrafikföretags behandling av passageraruppgifter (PNR) och överföring av dessa till Australiens tull- och gränsbevakningsmyndighet

(2011/C 322/01)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA av passageraruppgifter (PNR) och överföring av dessa till YTTRANDE Australiens tull- och gränsbevakningsmyndighet ( 3 ). Försla­ get sändes till Europeiska datatillsynsmannen den 23 maj.

med beaktande av fördraget om Europeiska unionens funktions­ sätt, särskilt artikel 16, 2. Europeiska datatillsynsmannen hade rådfrågats informellt under maj månad 2011, i samband med en snabbehandling av förslaget om ett avtal mellan Europeiska unionen och Australien om behandling och överföring av passagerarupp­ med beaktande av Europeiska unionens stadga om de grund­ gifter (PNR). läggande rättigheterna, särskilt artiklarna 7 och 8,

3. Med tanke på att datatillsynsmannens synpunkter fortsatt är med beaktande av Europaparlamentets och rådets direktiv giltiga när det gäller innehållet i det förslag som kommis­ 95/46/EG av den 24 oktober 1995 om skydd för enskilda sionen antagit och överlämnat till rådet och Europaparla­ personer med avseende på behandling av personuppgifter och mentet, har datatillsynsmannen beslutat att göra sina iaktta­ om det fria flödet av sådana uppgifter ( 1 ), och gelser mer allmänt tillgängliga genom ett offentligt ytt­ rande. På så sätt kan hänsyn tas till iakttagelserna vid kom­ mande debatter om förslaget. med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för så­ 4. Europeiska datatillsynsmannen utnyttjar detta tillfälle till att dana uppgifter ( 2 ). ta upp ytterligare några frågor och ber rådet och Europa­ parlamentet att ta hänsyn till dessa synpunkter när de be­ slutar om förslaget i enlighet med artikel 218 i fördraget om Europeiska unionens funktionssätt. HÄRIGENOM FRAMFÖRS FÖLJANDE. 1.2 Bakgrund C 322/2 SV Europeiska unionens officiella tidning 5.11.2011

6. Europeiska datatillsynsmannen har följt utvecklingen i sam­ sätt. EU måste se till att EU:s bestämmelser om uppgifts­ band med PNR noga och har nyligen antagit två yttranden skydd följs, också när europeiska medborgares personupp­ om kommissionens ”PNR-paket” och om förslaget till ett gifter behandlas och överförs från EU:s territorium till ett direktiv om ett PNR-system för EU ( 1 ). De synpunkter data­ tredjeland. I dessa fall måste nödvändigheten och propor­ tillsynsmannen hade på PNR-system kompletterar och sam­ tionaliteten utvärderas och fastställas innan något avtal kan manfaller till stor del med dem från artikel 29-arbetsgrup­ skrivas under. Förutom element som stödjer PNR-systemets pen ( 2 ), men också med andra nya dokument, bland annat nödvändighet, krävs det för proportionalitetens skull en Europeiska ekonomiska och sociala kommitténs yttrande ( 3 ) rimlig balans mellan syftet och behandlingen av stora och yttrandet från Europeiska unionens byrå för grundläg­ mängder data som leder till omfattande intrång i enskildas gande rättigheter ( 4 ). privatliv.

7. Såsom beskrivs närmare nedan har Europeiska datatillsyns­ mannens konsekventa strategi varit att alltid ställa syftet 11. När det gäller PNR-system är syftet att bekämpa terrorism med PNR-system mot de grundläggande kraven på nödvän­ och allvarlig (transnationell) brottslighet genom insamling dighet och proportionalitet och att i en andra fas analysera av stora mängder uppgifter för alla passagerare för att bestämmelserna i detalj för att i relevanta fall kunna föreslå kunna riskbedöma dessa passagerare. Hittills har Europeiska förbättringar. datatillsynsmannen inte sett några övertygande argument varken i motiveringarna till befintliga eller planerade PNR-system, t.ex. PNR-systemet för EU som datatillsyns­ mannen analyserade i detalj i sitt yttrande från mars 2011 ( 5 ). 1.3 Preliminär iakttagelse

8. Europeiska datatillsynsmannen välkomnar den övergripande strategin, som syftar till att harmonisera dataskyddsgaranti­ erna i de olika PNR-avtalen med tredjeländer. Några iaktta­ gelser är dock fortfarande aktuella. 12. Om nödvändigheten kan fastställas betonar datatillsyns­ mannen för övrigt att proportionalitetskravet fortfarande ska uppfyllas. Datatillsynsmannen ifrågasätter balansen mel­ lan storskalig behandling av personuppgifter och syftet, sär­ skilt med tanke på den mångfald av brott som innefattas av 9. En konsekvent anmärkning som datatillsynsmannen upp­ tillämpningsområdet för förslaget till avtal. Datatillsynsman­ repar i sina yttranden, som återfinns i yttranden från nen beaktar att andra effektiva instrument finns att tillgå artikel 29-arbetsgruppen och som i lika grad gäller PNRför bekämpning av terrorism och grov brottslighet. förslaget för Australien är att PNR-systemens nödvändighet och proportionalitet måste visas.

13. De särskilda synpunkterna nedan påverkar inte denna pre­ 10. Dessa två grundläggande krav är väsentliga aspekter av liminära och grundläggande iakttagelse. Europeiska datatill­ bestämmelserna om uppgiftsskydd enligt artiklarna 7 och synsmannen välkomnar de bestämmelser som innebär sär­ 8 i stadgan om de grundläggande rättigheterna och skilda garantier såsom datasäkerhet, genomförande och artikel 16 i fördraget om Europeiska unionens funktions­ översyn samt bestämmelser som gäller vidareöverföring. Förutom för systemets nödvändighet och proportionalitet ( 1 ) — Europeiska datatillsynsmannens yttrande av den 25 mars 2011 uttrycker datatillsynsmannen samtidigt också oro för till­ om förslaget till Europaparlamentets och rådets direktiv om an­ lämpningsområdet för definitioner och för villkoren för vändning av PNR-uppgifter för att förebygga, upptäcka, utreda lagring av uppgifter. och lagföra terroristbrott och grov brottslighet. — Europeiska datatillsynsmannens yttrande av den 19 oktober 2010 om en övergripande strategi när det gäller överföring av passageraruppgifter (PNR-uppgifter) till tredjeländer. Båda yttrandena finns på http://www.edps.europa.eu/EDPSWEB/edps/ cache/off/Consultation 5.11.2011 Europeiska SV unionens officiella tidning C 322/3 åtgärdens syfte och innehåll ( 1 ). Om bedömningen av en artikel 2 (definitioner), artikel 5 (tillfredsställande skydds­ EU-rättsakt visar att det finns två avsikter med akten eller nivå) och artiklarna 7–19 (säkerhetsbestämmelser vid be­ att den har två beståndsdelar, och om en av dessa kan handling av passageraruppgifter). identifieras som den huvudsakliga eller avgörande avsikten eller beståndsdelen, medan den andra endast är av under­ ordnad betydelse, ska rättsakten ha en enda rättslig grund, nämligen den som krävs med hänsyn till den huvudsakliga 18. När det gäller säkerhetsbestämmelser (artiklarna 7–19) bör eller avgörande avsikten eller beståndsdelen ( 2 ). I undantags­ det noteras att dessa innehåller bestämmelser som är ty­ fall, om det visas att det finns flera avsikter med rättsakten piska för dataskyddslagstiftning ( 6 ). Det faktum att en rätts­ som har ett sådant samband att de inte kan åtskiljas, och akt innehåller bestämmelser som är typiska för ett särskilt att den ena inte är sekundär och indirekt i förhållande till lagstiftningsområde ansågs av domstolen vara ett element den andra, ska rättsakten antas med stöd av de motsva­ som motiverar en särskild rättslig grund ( 7 ). rande rättsliga grunderna ( 3 ).

19. Sammanfattningsvis anser Europeiska datatillsynsmannen att syftet med avtalet snarare än att förbättra polissamarbe­ 15. Mot bakgrund av fast rättspraxis, som här sammanfattats tet är att bemyndiga och tillåta att privata aktörer överför kort, och bortsett från artikel 218.6 a, hävdar Europeiska personuppgifter efter begäran från ett tredjeland. En sådan datatillsynsmannen att avtalet inte bör bygga på överföring till ett tredjeland skulle i princip vara omöjlig artikel 82.1 d och artikel 87.2 a utan på artikel 16 i för­ enligt EU-reglerna, men PNR-avtalet syftar till att möjlig­ draget om Europeiska unionens funktionssätt. göra överföring av personuppgifter på ett sätt som upp­ fyller EU:s krav på dataskydd genom att särskilda garantier antas.

16. När det gäller syftet bör man komma ihåg att de PNR-avtal som förhandlas av EU alla har utlösts av behovet av att 20. Därför tror Europeiska datatillsynsmannen att avtalet åt­ förena flygbolagens skyldighet att tillhandahålla PNR-upp­ minstone primärt borde bygga på artikel 16 i fördraget gifter till tredjeländers myndigheter med den grundläggande om Europeiska unionens funktionssätt ( 8 ). rätten till dataskydd ( 4 ). Vidare hänvisar förslagstexten på många ställen till syftet med skyddet av personuppgifter ( 5 ). 2.2 Syfte och definitioner

21. Europeiska datatillsynsmannen noterar att de syften för 17. När det gäller innehållet är det givet att bestämmelserna om vilka PNR-uppgifter kan behandlas definieras exakt i dataskydd dominerar avtalet. Bortsett från artiklarna 3, 4 artikel 3 i förslaget. Han beklagar dock att de aktuella och 6 förefaller dataskyddet genomsyra nästan alla bestäm­ definitionerna är vidare än definitionerna i förslaget till melser i avtalet. Detta är uppenbart i artikel 1 (syfte), ett direktiv om ett PNR-system för EU, som dessutom i sig borde ha snävats in, särskilt när det gäller mindre grova ( 1 ) Mål C-491/01, British American tobacco, särskilt punkterna 92–93. brott. ( 2 ) Mål C-42/97, Europaparlamentet mot rådet, punkterna 39 och 40. ( 3 ) Se, för ett liknande resonemang, mål C-491/01, British American tobacco, punkterna 92–93 och mål C-42/97, Europaparlamentet mot rådet, punkt 38. ( 4 ) Detta erkänns av domstolen i den del som avser sakförhållandena i 22. I förslaget om ett PNR-system för EU tas hänsyn till kon­ PNR-avgörandena i de förenade målen C-317/04 och C-318/04, sekvenserna av verksamheter som definiera som ”terro­ punkt 33. rism”, t.ex. konkret skada på personer eller regeringar ( 5 ) — I motiveringen tas det upp att EU:s bestämmelser om uppgifts­ (dödsfall, angrepp på den fysiska integriteten, förstörelse skydd inte tillåter att lufttrafikföretag överför PNR-uppgifter till länder som inte kan garantera en tillräcklig skyddsnivå. Därmed av transportsystem, infrastruktur osv.), medan föreliggande ”krävs en lösning som kan utgöra rättslig grund för överföring förslag är mindre specifikt och mer orienterat mot syftet […] i syfte att garantera […] respekten för enskildas rätt till när det hänvisar till hot mot enskilda eller regeringar eller skydd av personuppgifter”. allvarlig destabilisering av grundläggande politiska eller eko­ — Syftet med att garantera respekten för enskildas rätt till skydd av nomiska strukturer. personuppgifter framgår också tydligt i ingressen, nämligen i det skäl där artikel 6 i EU-fördraget, artikel 16 i fördraget om Eu­ ropeiska unionens funktionssätt, artikel 8 i konventionen om ( 6 ) Såsom bestämmelser om känsliga uppgifter, datasäkerhet, ansvarig­ skydd för de mänskliga rättigheterna, konvention 108 osv. cite­ het, öppenhet, rätt till tillgång, rättelse och radering, rätt till pröv­ ras. ning, automatisk behandling osv. — I ingressen citeras också relevanta bestämmelser om uppgifts­ ( 7 ) Yttrande 2/2000, Cartagenaprotokollet, punkt 33. skydd i australisk lag och erkänns det att dessa bestämmelser ( 8 ) I detta sammanhang bör det även hänvisas till deklaration 21 till reglerar dataskydd, rätt till tillgång och prövning, möjligheter till Lissabonfördraget om skydd av personuppgifter inom områdena rättelse och tillägg samt rättsmedel och påföljder vid missbruk av straffrättsligt samarbete och polissamarbete. Den tydliga lydelsen i personuppgifter. deklaration 21 bekräftar att ett instrument för dataskydd inom detta — I artikel 1 i avtalet – med titeln ”Avtalets syfte” – anges det att område fortfarande bör bygga på artikel 16 i fördraget om Europe­ avtalet behandlar överföring av PNR-uppgifter. Vidare anges det iska unionens funktionssätt (i tillämpliga fall med andra bestämmel­ att i ”avtalet fastställs de villkor under vilka sådana uppgifter får ser), även i fall där ett visst inslag av polissamarbete föreligger. överföras och användas samt det sätt på vilket uppgifterna skall Denna analys påverkar inte alls arbetsdelningen inom Europeiska skyddas” (kursivering tillagd). kommissionen. C 322/4 SV Europeiska unionens officiella tidning 5.11.2011

23. Europeiska datatillsynsmannen anser att en ytterligare pre­ datatillsynsmannen att även dataskyddsmyndigheterna är cisering behövs i förhållande till begreppen ”hota, förmå relevanta mottagare av denna typ av uppgifter och att detta eller tvinga” samt av ”ett lands eller en internationell orga­ bör nämnas uttryckligen i förslaget nisations grundläggande politiska, konstitutionella, ekono­ miska eller (särskilt) sociala strukturer”. Detta skulle för­ hindra att PNR-systemet tillämpas i fall som det inte under 2.5 Översyn och verkställighet några omständigheter bör vara riktat mot, såsom laglig verksamhet (t.ex. fredliga demonstrationer) i ett socialt, kul­ 28. Övervakningssystemet, inklusive åtgärder för översyn och turellt eller politiskt sammanhang ( 1 ). ansvarighet och med betoning på frånvaron av diskrimine­ ring baserad på nationalitet eller bostadsort, är välkommet. Europeiska datatillsynsmannen ger också starkt stöd för den enskildes grundläggande rätt till administrativ prövning och 24. Möjligheten att behandla data i andra undantagsfall ger ett effektivt rättsskydd. Han anser att den australiska datas­ upphov till ytterligare frågor, särskilt eftersom möjligheten kyddsmyndighetens roll är en viktig garanti när det gäller innefattar ”hot mot hälsan”. Europeiska datatillsynsmannen möjligheterna till prövning och de registrerades utövande anser att en sådan utvidgning av syftet är oproportionerlig, av sina rättigheter. särskilt eftersom alternativa och mer specifika förfaranden kan finnas för att hantera betydande hot mot hälsan där så krävs och från fall till fall. Dessutom är PNR-uppgifter inte 2.6 Beslut som bygger på automatisk behandling av det lämpligaste verktyget för att identifiera passagerare: det uppgifter finns mer tillförlitliga uppgifter, bland annat förhandsinfor­ mation om passagerarna. 29. Enligt artikel 15, tolkad e contrario, kan ett beslut som inte ”avsevärt påverkar eller innebär negativa rättsliga verkningar för en passagerare” fattas på grundval av automatisk be­ handling av uppgifter. Garantierna gäller bara när beslutet skulle påverka passageraren avsevärt. Med tanke på det 25. Europeiska datatillsynsmannen noterar också att förteck­ breda tillämpningsområdet för automatisk behandling av ningen över PNR-uppgifter som finns som bilaga till för­ personuppgifter som PNR-systemet innebär är denna be­ slaget går utöver vad dataskyddsmyndigheterna har ansett gränsning enligt Europeiska datatillsynsmannens uppfatt­ vara proportionerligt enligt yttrandena från artikel 29-ar­ ning tveksam. För att undvika en alltför flexibel tolkning betsgruppen ( 2 ). Förteckningen bör kortas. Särskilt gäller av denna bestämmelse rekommenderar datatillsynsmannen att fältet ”Allmänna kommentarer”, som kan innehålla irre­ att ”avsevärt” stryks och att det säkerställs att inga beslut levanta – och potentiellt känsliga – uppgifter, inte är mo­ över huvud taget som bygger på automatisk behandling av tiverat och bör uteslutas. uppgifter tillåts få negativa verkningar för enskilda. 2.7 Lagring av uppgifter 2.3 Känsliga uppgifter

30. Europeiska datatillsynsmannen anser att tidsgränsen i 26. Europeiska datatillsynsmannen välkomnar att behandling av artikel 16 för lagring av uppgifter är en av de största svå­ känsliga uppgifter utesluts från tillämpningsområdet, såsom righeterna med förslaget. En lagringstid på fem och ett anges i artikel 8 i förslaget. Denna bestämmelse är dock halvt år, inklusive tre år utan någon maskering av upp­ fortfarande formulerad så att känsliga uppgifter kan ”be­ gifterna, är tveklöst oproportionerligt, särskilt om lagrings­ handlas”. Bestämmelsen tillåter att uppgifterna i en första tiden jämförs med det föregående australiska PNR-systemet, fas skickas av flygbolagen. Därefter raderas uppgifterna av enligt vilket inga uppgifter lagrades annat än från fall till offentliga myndigheter i en andra fas. Flygbolagens sänd­ fall ( 3 ). En omfattande motivering bör presenteras som för­ ning är en del av behandlingen. Europeiska datatillsynsman­ klarar varför en så lång lagringstid behöver föreskrivas nu, nen anser att flygbolagen bör vara skyldiga att filtrera bort när det inte ansågs nödvändigt i det första australiska PNRkänsliga uppgifter vid källan till behandlingen. systemet.

31. I linje med den ståndpunkt som datatillsynsmannen hävdar 2.4 Datasäkerhet i sitt yttrande om förslaget till ett direktiv om ett PNR- 27. Förslaget innehåller i artikel 9 en fyllig bestämmelse om system för EU anser han att en fullständig (dvs. oåterkalle­ datasäkerhet och dataintegritet, vilket är välkommet. Euro­ lig) anonymisering av alla uppgifter bör äga rum, om inte peiska datatillsynsmannen stödjer särskilt skyldigheten att omedelbart efter analys så efter högst 30 dagar. rapportera säkerhetsbrister till den australiska dataskydds­ myndigheten. När det gäller vidarebefordran av uppgifter ( 3 ) Se i detta avseende det positiva yttrandet från artikel 29-arbetstrup­ 5.11.2011 Europeiska SV unionens officiella tidning C 322/5 2.8 Vidareöverföring ning till att en överföring i undantagsfall inte skulle vara föremål för de garantier som föreskrivs i artikel 18 och 32. Garantierna i artiklarna 18 och 19 är välkomna, särskilt artikel 19, särskilt när det gäller ändamålsbegränsning eller med tanke på att de föreskriver en förteckning över mot­ dataminimering, och även omfattas av skyddet av motta­ tagare av data som överförs inom Australien, att uppgifter garnas identitet och den skyddsnivå som tillämpas för per­ får utbytas endast från fall till fall och att endast uppgifter sonuppgifter. som visas vara nödvändiga får utbytas. Europeiska datatill­ synsmannen noterar dock att denna bestämmelse kan kringgås genom undantaget i artikel 18.1 c, som tillåter delning av avpersonaliserade uppgifter även på annat sätt än från fall till fall. Avpersonalisering innebär dock inte att 2.9 Flygbolags överföring element som möjliggör identifiering raderas utan bara att dessa maskeras, samtidigt som tillgång till de fullständiga 36. Enligt artikel 21.3 kan PNR-uppgifter i särskilda fall, när ett uppgifterna fortfarande är möjlig. Därför rekommenderar specifikt hot föreligger, överföras till myndigheter mer än Europeiska datatillsynsmannen att inga undantag tillåts fem gånger i samband med varje flygning. För att öka den från principen ”fall till fall” för utbyte av uppgifter. Som rättsliga förutsebarheten bör villkoren för sådana ytterligare en ytterligare garanti föreslår datatillsynsmannen att utbytet överföringar beskrivas närmare och bland annat inkludera av uppgifter begränsas till myndigheter ”som har till uppgift skärpta krav på att ett omedelbart hot ska föreligga. att bekämpa terrorism eller transnationell brottslighet” i stället för till de myndigheter som ”direkt arbetar med att förebygga (dessa) brott”. 2.10 Översyn av avtalet

37. Europeiska datatillsynsmannen anser att villkoren för över­ synen ska vara mer detaljerade i flera avseenden. Frekven­ 33. Europeiska datatillsynsmannen stödjer att överföringar till sen för översyner efter den inledande bör anges. Dessutom tredjeländer är föremål för villkoret att de ger ”samma” bör det inte bara vara möjligt för dataskyddsmyndigheterna dataskyddsgarantier som det ursprungliga avtalet. Med att ingå i översynsgruppen utan de bör uttryckligen ingå. tanke på att ytterligare överföringar ändå medför en förlust av kontroll av hur uppgifter kan behandlas, och eftersom ett internationellt avtal som garanterar en effektiv tillämp­ ning av dessa nya mottagares dataskyddsgarantier saknas, föreslår Europeiska datatillsynsmannen dessutom att dessa 38. Europeiska datatillsynsmannen föreslår också att översynen överföringar ska kräva förhandsgodkännande av domstol. fokuseras på att bedöma åtgärdernas nödvändighet och proportionalitet genom att statistik samlas in om hur många enskilda som påverkas och faktiskt döms på grund­ val av PNR-uppgifter och på ett effektivt utövande av de registrerades rättigheter: bedömningen bör inbegripa kont­ roll av hur de registrerades begäranden behandlas i prakti­ 34. Förslaget föreskriver att när uppgifter om en person som är ken, särskilt när ingen direkt tillgång har tillåtits. varaktigt bosatt i en EU-medlemsstat överförs till ett tredje­ land ska den berörda medlemsstaten informeras i de fall då Australiens tull- och gränsbevakningsmyndigheten känner till denna situation (artikel 19.1 f). Europeiska datatillsyns­ mannen anser att ytterligare information bör inkluderas 3. SLUTSATS som förklarar syftet med en sådan överföring till en med­ lemsstat. Om en sådan överföring av uppgifter skulle in­ 39. Europeiska datatillsynsmannen välkomnar de dataskydds­ verka på den registrerade bör en ytterligare motivering och garantier som föreskrivs i förslaget, särskilt när det gäller fler dataskyddsgarantier inkluderas. avtalets konkreta tillämpning. Särskilt bestämmelserna om datasäkerhet, övervakning och verkställighet har utvecklats på ett tillfredsställande sätt. Europeiska datatillsynsmannen betonar att den enskilde har tillgång såväl till den austra­ liska dataskyddsmyndigheten som till de australiska rättsliga myndigheterna. Detta ingår i de väsentliga garantier som 35. När det gäller överföringar inom Australien och till tredje­ förslaget innehåller. länder innehåller slutligen både artikel 18 och artikel 19 en allmän bestämmelse enligt vilken det inte finns några hin­ der för att PNR-uppgifter avslöjas när detta är nödvändigt enligt artikel 3.4 ( 1 ), eller med andra ord i undantagsfall om detta är nödvändigt för att skydda någon individs vitala 40. Europeiska datatillsynsmannen har dock också identifierat intressen, inklusive att undgå hot mot hälsan. Europeiska ett betydande utrymme för förbättringar, särskilt när det datatillsynsmannen har redan tagit upp risken för en bred gäller avtalets tillämpningsområde, definitionen av terro­ tolkning av detta undantag. Dessutom ser han ingen anled­ rism och att vissa exceptionella syften inkluderas samt lag­ ringstiden för PNR-uppgifter. Jämfört med det föregående ( 1 ) Liksom i enlighet med artikel 10 när uppgifter överförs inom Au­ australiska PNR-systemet, och även med förslaget om ett stralien. PNR-system för EU, är lagringstiden oproportionerligt lång. C 322/6 SV Europeiska unionens officiella tidning 5.11.2011

41. Den rättsliga grunden till avtalet bör övervägas på nytt. Mot gande rättigheter och artikel 16 i fördraget om Europeiska bakgrund av fast rättspraxis, och bortsett från unionens funktionssätt kan ett förslag uppfylla övriga krav artikel 218.6 a, menar Europeiska datatillsynsmannen att enligt ramen för dataskydd. avtalet i vilket fall primärt bör bygga på artikel 16 i för­ draget om Europeiska unionens funktionssätt och inte på 43. Därför drar Europeiska datatillsynsmannen också slutsatsen artikel 82.1 d och artikel 87.2 a i det fördraget. Detta är att mer uppmärksamhet bör ägnas åt dessa grundläggande helt i linje med deklaration 21 till Lissabonfördraget. krav i samband med de slututvärderingar som kommer att föregå ingåendet av avtalet.

42. Dessa iakttagelser bör betraktas i det större sammanhang som utgörs av legitimiteten hos PNR-system i allmänhet, Utfärdat i Bryssel den 15 juli 2011. sett som en systematisk insamling av passageraruppgifter för riskbedömningsändamål. Endast om systemet respekte­ Peter HUSTINX rar de grundläggande kraven på nödvändighet och propor­ tionalitet enligt artiklarna 7 och 8 i stadgan om grundläg­ Europeiska datatillsynsmannen