Community control system for ensuring compliance with the rules of the Common Fisheries Policy

10.2.2012 Europeiska SV unionens officiella tidning C 37/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om kommissionens genomförandeförordning (EU) nr 404/2011 om tillämpningsföreskrifter för rådets förordning (EG) nr 1224/2009 om införande av ett kontrollsystem i gemenskapen för att säkerställa att bestämmelserna i den gemensamma fiskeripolitiken efterlevs

(2012/C 37/01)

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp­ gifter ( 1 ),

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter ( 2 ), särskilt artikel 41.2,

2. Europeiska datatillsynsmannen rådfrågades inte såsom krävs enligt artikel 28.2 i förordning (EG) nr 45/2001, trots att lagstiftningsinitiativet ingår i datatillsynsmannens prioriteringsinventering för lags­ tiftningssamråd ( 4 ). Det aktuella yttrandet grundas därför på artikel 41.2 i samma förordning. 1.2 Genomförandeförordningens syften

3. Syftet med rådets förordning (EG) nr 1224/2009 av den 20 november 2009 om införande av ett kontrollsystem i gemenskapen för att säkerställa att bestämmelserna i den gemensamma fiskeripolitiken efterlevs (nedan kallad kontrollförordningen) ( 5 ), är att införa ett europeiskt system för kontroll, inspektion och tillsyn i syfte att säkerställa efterlevnad av den gemensamma fiskeripolitikens alla regler. C 37/2 SV Europeiska unionens officiella tidning 10.2.2012

4. Enligt kontrollförordningen skulle kommissionen anta tillämpningsföreskrifter och åtgärder för genom­ förande av vissa av bestämmelserna i förordningen. I genomförandeförordningen föreskrivs sådana till­ lämpningsföreskrifter för följande områden: allmänna villkor för tillträde till vatten och resurser (av­ delning II), kontroll av fiske (avdelning III), kontroll av saluföringen (avdelning IV), övervakning (av­ delning V), inspektion (avdelning VI), tillsyn (avdelning VII), åtgärder för att se till att medlemsstaterna följer målen (avdelning VIII), uppgifter och information (avdelning IX) och genomförande (avdelning X). 1.3 Syftet med detta yttrande

5. I mars 2009 utfärdade Europeiska datatillsynsmannen ett yttrande om kontrollförordningen ( 6 ). I ytt­ randet betonades det att förslaget omfattade behandling av olika kategorier av uppgifter, som i vissa fall kunde anses vara personuppgifter. Normalt sett skulle personuppgifter behandlas i samtliga fall där fartygets befälhavare eller ägare eller någon fiskare eller besättningsmedlem är identifierad eller identi­ fierbar. Mot denna bakgrund gav datatillsynsmannen vissa rekommendationer om några av förslagets bestämmelser.

6. Vidare framhöll datatillsynsmannen att flera artiklar i förslaget till förordning hänvisade till ett kom­ mittéförfarande för antagandet av genomförandebestämmelser samt att vissa av dessa bestämmelser även omfattade dataskyddsaspekter ( 7 ). Med tanke på de följder som de bestämmelserna kan få på dataskyddet rekommenderade därför datatillsynsmannen ett samråd med honom innan dessa detaljerade bestämmelser antogs. Genomförandeförordningen antogs den 8 april 2011, men datatillsynsmannen rådfrågades inte före antagandet.

7. Datatillsynsmannen beklagar att genomförandeförordningen inte först lämnades till honom för samråd, såsom rekommenderades i 2009 års yttrande. Han skulle ändå vilja uppmärksamma kommissionen på några aspekter i genomförandeförordningen som kan väcka frågor med hänsyn till dataskyddet. Mot denna bakgrund har datatillsynsmannen beslutat att avge detta korta yttrande. Datatillsynsmannen kommentarer gäller framför allt följande aspekter: 1) övervakning av fiskefartygens verksamhet samt dataskydd, 2) system för fjärrövervakning av fartyg, 3) kommissionens och de behöriga myndigheternas lagring av personuppgifter, och 4) tillämpligheten av förordning (EG) nr 45/2001. 2.1 Övervakning av fiskefartygens verksamhet samt dataskydd

8. I skäl 31 fastställs att behandlingen av personuppgifter enligt genomförandeförordningen regleras genom direktiv 95/46/EG och förordning (EG) nr 45/2001, ”särskilt när det gäller kraven på sekretess och säkerhet vid databehandling, överföring av personuppgifter från medlemsstaternas nationella system till kommissionen, vid vilka tillfällen uppgifter får behandlas och de registrerades rätt att få information om, ha tillgång till och rätta egna personuppgifter”. Datatillsynsmannen välkomnar denna hänvisning till den tillämpliga dataskyddslagstiftningen.

9. Fiskefartygens verksamhet övervakas systematiskt och ingående genom avancerade tekniska metoder, som satellitföljare och elektroniska databaser ( 8 ). Fiskefartygens geografiska position, kurs och hastighet kontrolleras regelbundet med hjälp av kontrollsystem för fartyg (VMS) ( 9 ) samt i tillämpliga fall av automatiska identifieringssystem (AIS) ( 10 ) eller system för positionsbestämning (VDS) ( 11 ). Samtliga 10.2.2012 Europeiska SV unionens officiella tidning C 37/3 dessa uppgifter korskontrolleras, analyseras och verifieras systematiskt genom datoriserade algoritmer och automatiska mekanismer för att upptäcka motstridigheter eller misstänkta överträdelser. Som fram­ går av artikel 145.3 i genomförandeförordningen kan datautvinning och profilering komma att till­ lämpas för denna behandling ( 12 ).

10. Så länge som dessa uppgifter kan kopplas till identifierade eller identifierbara enskilda personer (t.ex. fartygets befälhavare, ägare eller besättningsmedlemmar) inbegriper denna kontroll behandling av per­ sonuppgifter. Det är därför viktigt att kontrollsystemet är välbalanserat och att lämpliga garantier införs och genomförs för att undvika att de berörda personernas rättigheter begränsas på ett orättmätigt sätt. Detta innebär till exempel att det klart och tydligt avgränsas för vilka syften som de aktuella uppgifterna får behandlas, att de (person-)uppgifter som behandlas ska hållas på en minimal nivå samt att maximala lagringsperioder ska fastställas för dessa uppgifter. Detta är särskilt viktigt i det här fallet där behand­ lingar kan komma att omfatta uppgifter som gäller brott eller misstänkta brott, som sannolikt kan kopplas till personuppgifter för fartygets ägare och/eller befälhavare.

11. Med tanke på kontrollverksamhetens omfattning förefaller det som att genomförandeförordningen inte alltid lyckas skapa en bra balans mellan syftet att säkerställa efterlevnad och respekten för de berörda personernas privatliv och dataskydd. Eftersom genomförandeförordningen redan har antagits, anser datatillsynsmannen att det är viktigt för kommissionen att, där så är möjligt, i efterhand klargöra omfattning och begränsningar för behandlingarna samt föreskriva specifika garantier där så krävs. Detta skulle till exempel kunna uppnås genom att allmänna eller specifika riktlinjer eller interna regler antas för att klargöra vissa aspekter av behandlingarna när det gäller skyddet av personuppgifter eller med hjälp av förhandskontroller med datatillsynsmannen enligt artikel 27 i förordning (EG) nr 45/2001.

12. De aspekter som enligt datatillsynsmannen framför allt behöver specificeras ytterligare behandlas här nedan. 2.2 Användning av VMS-, AIS- och VDS-uppgifter och principen om att begränsa syftet

13. En av grundprinciperna för den grundläggande rättigheten till dataskydd är att personuppgifter endast ska behandlas för särskilda, uttryckligt angivna och berättigade ändamål ( 13 ). Genom principen om att begränsa syftet fastställs att de registeransvariga har ett särskilt ansvar, samtidigt som lagstiftaren åläggs ett krav i och med att lagbestämmelserna inte får vara så allmänt hållna att det berättigar till att personuppgifter används för ändamål som inte är tillräckligt definierade. Undantag från principen om att begränsa syftet är tillåtna, förutsatt att de är nödvändiga och proportionella samt att övriga krav i artikel 52 i Europeiska unionens stadga om de grundläggande rättigheterna har uppfyllts.

14. Såsom angivits ovan enligt kontrollförordningen och genomförandeförordningen ska fiskeriverksamhe­ ten övervakas systematiskt och ingående genom VMS, AIS och VDS. Enligt artikel 12 i kontrollför­ ordningen får uppgifter från VMS, AIS och VDS överföras till EU:s organ och medlemsstaternas behöriga myndigheter som ägnar sig åt övervakning på ”sjösäkerhets- och sjöfartsskyddsområdet, gräns­ kontroll, skydd av den marina miljön och allmän tillsyn över att lagen följs” I artikel 27 i genom­ förandeförordningen specificeras vidare att medlemsstaterna ska använda VMS-uppgifter ”för att säker­ ställa att fiskefartygens verksamhet övervakas effektivt” samt att medlemsstaterna ska ”vidta alla nöd­ vändiga åtgärder för att garantera att de endast används för officiella ändamål”. C 37/4 SV Europeiska unionens officiella tidning 10.2.2012

15. Med beaktande av principen om att begränsa syftet anser datatillsynsmannen att artikel 12 i kontroll­ förordningen och artikel 27 i genomförandeförordningen är alltför brett utformade. Om begreppen ”allmän tillsyn över att lagen följs”, ”övervakning av fiskefartygens verksamhet” och ”officiella ändamål” inte tolkas restriktivt, kommer de sannolikt att täcka in ett alltmer brett spektrum av olika behand­ lingar, som inte ens har ett avlägset samband med kontrollförordningens syften. Denna öppna strategi väcker frågor i samband med principen om att begränsa syftet.

16. När det gäller ovannämnda överväganden råder datatillsynsmannen kommissionen att ge konkret vägledning om tolkningen av artikel 27 i genomförandeförordningen. Kommissionen bör framför allt klargöra innebörden och begränsa omfattningen av behandling av VMS-, AIS- och VDS-uppgifter för ”allmän tillsyn över att lagen följs” eller andra ändamål som inte har något samband med den gemensamma fiskeripolitiken. 2.3 Lagringsperioder

17. En annan grundläggande princip för dataskyddslagstiftningen är att personuppgifter bör sparas i en form som inte möjliggör identifiering av registrerade längre än vad som är nödvändigt för de ändamål som uppgifterna ursprungligen insamlades för ( 14 ). Denna princip har också en direkt koppling till principen om att begränsa syftet. Om personuppgifterna inte längre krävs för det ursprungliga ända­ målet, är det inte längre tillåtet att spara dessa uppgifter eftersom det skulle innebära att behandlingen var oförenlig med det ursprungliga ändamålet.

18. I genomförandeförordningen fastställs en minimal lagringsperiod på tre år för ett antal olika uppgifter. När det gäller VMS-uppgifter föreskrivs det till exempel i artikel 27.2 a att medlemsstaterna ska säker­ ställa att de relevanta uppgifterna registreras i elektronisk form och lagras på ett säkert sätt i elek­ troniska databaser ”under minst tre år”. Enligt artikel 92.3 ska uppgifterna som avser övervaknings­ rapporterna finnas tillgängliga i databasen ”under minst tre år”. I artikel 118 fastställs också att upp­ gifterna från inspektionsrapporterna ska vara åtkomliga i databasen ”under minst tre år”.

19. Generellt sett anser datatillsynsmannen att lagringsperioden bör fastställas mer exakt genom en max­ imal lagringsperiod (i stället för enbart en minimal lagringsperiod). Under alla omständigheter anser han att ovannämnda bestämmelser bör tolkas i överensstämmelse med artikel 6.1 e i direktiv 95/46/EG och artikel 4.1 e i förordning (EG) nr 45/2001. Detta innebär att lagringsperioden på tre år principiellt sett bör tolkas som en maximal lagringsperiod, om det inte kan styrkas att uppgifterna måste lagras en längre period på lämpligt sätt och genom övertygande bevis. 2.4 Administrativt samarbete och överföringar av uppgifter till tredje land

20. Artikel 164 i genomförandeförordningen reglerar informationsutbyte med tredjeländer. I artikel 164.2 behandlas framför allt informationsutbyte från en medlemsstat till ett tredjeland eller en regional fis­ keriförvaltningsorganisation med stöd av ett bilateralt avtal med det landet eller i överensstämmelse med den organisationens regler. I artikel 164.3 behandlas informationsutbyte om bristande efterlevnad av den gemensamma fiskeripolitikens regler, från kommissionen eller det av kommissionen utsedda organet inom ramen för fiskeavtal som ingåtts mellan unionen och tredjeländer eller inom ramen för regionala fiskeriförvaltningsorganisationer eller liknande arrangemang.

21. I artikel 164.2 fastställs det att informationsutbytet från medlemsstater till tredjeland ska äga rum ”i överensstämmelse med EU-lagstiftningen och den nationella lagstiftningen om skydd för enskilda vid behandling av personuppgifter”, medan artikel 164.3 inte innehåller någon sådan hänvisning i fråga om informationsutbyte som härrör från kommissionen. Enligt artikel 164.3 får informationsutbytet endast ske under förutsättning av den medlemsstat som tillhandahållit informationen ger sitt tillstånd till detta.

22. I detta sammanhang betonar datatillsynsmannen att personuppgifter endast får vidarebefordras från kommissionen eller andra EU-institutioner eller organ till tredjeländer enligt artikel 164 om kraven i förordning (EG) nr 45/2001 och särskilt artikel 9, har uppfyllts. 10.2.2012 Europeiska SV unionens officiella tidning C 37/5 2.5 Kommissionen bör överväga behovet av förhandskontroller

23. Kontrollförordningen och genomförandeförordningen kan inbegripa att kommissionen eller andra EUorgan behandlar personuppgifter, vilket innebär att förordning (EG) nr 45/2001 skulle vara tillämplig på behandlingarna. I den mån som sådana behandlingar kan innebära särskilda risker för de registre­ rades fri- och rättigheter, ska de förhandskontrolleras av datatillsynsmannen enligt artikel 27 i för­ ordning (EG) nr 45/2001.

24. Framför allt förefaller det som om de behandlingar som utförs enligt kontrollförordningen och genom­ förandeförordningen kan omfatta behandling av uppgifter som rör brott eller misstänkta brott som har utförts av ett fartyg. Dessa uppgifter kan sannolikt komma att kopplas till personuppgifterna för fartygets ägare eller befälhavare (eller en besättningsmedlem) i samband med överträdelserna av de tillämpliga bestämmelserna.

25. Datatillsynsmannen uppmanar därför kommissionen (och andra berörda EU-organ) att överväga beho­ vet av en förhandskontroll av de behandlingar som utförs enligt kontrollförordningen och genom­ förandeförordningen samt att göra de anmälningar som krävs utifrån denna bedömning ( 15 ).

26. Datatillsynsmannen beklagar att texten till genomförandeförordningen inte lämnades till honom för lagstiftningssamråd enligt artikel 28.2 i förordning (EG) nr 45/2001, vilket rekommenderades i 2009 års yttrande. Även om datatillsynsmannen välkomnar hänvisningen till den tillämpliga dataskyddslags­ tiftningen i skäl 31 i genomförandeförordningen, anser han att vissa bestämmelser i denna förordning kan väcka frågor med hänsyn till dataskyddet.

27. Eftersom genomförandeförordningen redan har antagits, råder datatillsynsmannen kommissionen att, där så är möjligt, i efterhand klargöra omfattning och begränsningar för behandlingarna samt föreskriva specifika garantier där så krävs. Detta skulle kunna uppnås genom att allmänna eller specifika riktlinjer eller interna regler antas eller med hjälp av förhandskontroller med datatillsynsmannen enligt artikel 27 i förordning (EG) nr 45/2001.

28. Datatillsynsmannen råder framför allt kommissionen och övriga berörda EU-organ att — ge konkret vägledning om tolkningen av artikel 27 i genomförandeförordningen. Kommissionen bör framför allt klargöra innebörden och begränsa omfattningen av behandling av VMS-, AIS- och VDS-uppgifter för ”allmän tillsyn över att lagen följs” eller andra syften som inte har något samband med den gemensamma fiskeripolitiken. — endast lagra personuppgifter under längre tid än den minimala lagringsperiod som fastställs i genomförandeförordningen för vissa kategorier av uppgifter (se exemplen i punkt 19) om det på lämpligt sätt kan styrkas att detta är nödvändigt, — säkerställa att överföringen av personuppgifter från kommissionen eller andra EU-institutioner eller organ till tredjeländer enligt artikel 164 i genomförandeförordningen uppfyller kraven i förordning (EG) nr 45/2001 och särskilt artikel 9, — överväga behovet av att datatillsynsmannen förhandskontrollerar de behandlingar som utförs enligt kontrollförordningen och genomförandeförordningen samt att göra de anmälningar som krävs utifrån denna bedömning. Utfärdat i Bryssel den 28 oktober 2011. Biträdande Europeisk datatillsynsman