EU-US Joint Customs Cooperation

6.6.2012 Europeiska SV unionens officiella tidning C 160/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslaget till rådets beslut om unionens ståndpunkt i gemensamma tullsamarbetskommittén EU–USA avseende ömsesidigt erkännande av program för godkända ekonomiska aktörer i Europeiska unionen och Förenta staternas program Custom-Trade Partnership against Terrorism

(2012/C 160/01)

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

med beaktande av Europarlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp­ gifter ( 1 ), och

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 41 ( 2 ).

1. Den 5 januari 2011 antog kommissionen ett förslag till rådets beslut om unionens ståndpunkt i gemensamma tullsamarbetskommittén EU–USA avseende ömsesidigt erkännande av program för god­ kända ekonomiska aktörer i Europeiska unionen och Förenta staternas program Customs-Trade Part­ nership Against Terrorism ( 3 ) (nedan kallat: ”förslaget”). Förslaget sändes till datatillsynsmannen samma dag.

2. Datatillsynsmannen hade tidigare deltagit i informella samråd och lämnat ett antal informella kom­ mentarer till kommissionen. Syftet med detta yttrande är att komplettera dessa kommentarer mot bakgrund av föreliggande förslag och göra datatillsynsmannens uppfattningar allmänt tillgängliga.

3. Datatillsynsmannen inser att behandling av personuppgifter inte är det centrala i förslaget. Merparten av den information som behandlas kommer inte att innehålla några personuppgifter, enligt definitionen i dataskyddslagen ( 4 ). Lagen ska ändå följas även då detta förekommer, vilket förklaras nedan. C 160/2 SV Europeiska unionens officiella tidning 6.6.2012 I.2 Förslagets bakgrund

4. Syftet med förslaget är att få till stånd ett ömsesidigt erkännande av EU:s och USA:s program för handelspartnerskap – det vill säga EU:s godkända ekonomiska aktörer (GEA) och Förenta staternas Customs-Trade Partnership against Terrorism (C-TPAT) – för att underlätta handeln för aktörer som har investerat i säkerhet för leverantörskedjor och ingår i ett av dessa program.

5. Förbindelserna mellan EU och Förenta staterna på tullområdet bygger på avtalet om samarbete och ömsesidigt bistånd i tullfrågor ( 1 ). Genom denna överenskommelse inrättas den gemensamma tullsam­ arbetskommittén, som består av företrädare för tullmyndigheterna i EU och Förenta staterna. Ömsesi­ digt erkännande ska fastställas genom ett beslut i denna kommitté. Förslaget består därför av: — en motivering — ett förslag till rådets beslut om att EU kommer att inta en ståndpunkt inom den gemensamma tullsamarbetskommittén i enlighet med vad som anges i förslaget till beslut om ömsesidigt erkän­ nande — förslaget till beslut från den gemensamma tullsamarbetskommittén om ömsesidigt erkännande av EU:s GEA och USA:s C-TPAT (nedan kallat: ”förslaget till beslut”) ( 2 ).

6. Förslaget till beslut ska genomföras av tullmyndigheterna som har fastställt ett förfarande för ömsesidig validering (ansökningsförfarande för beviljande av medlemskap för aktörerna, bedömning av ansök­ ningar, beviljande av medlemskap och övervakning av medlemskapsstatus).

7. Ett väl fungerande ömsesidigt erkännande bygger därmed på utbyte av information mellan EU:s och Förenta staternas tullmyndigheter om handelsaktörer som redan ingår i partnerskapsprogrammet. II.1 Behandling av uppgifter rörande fysiska personer

8. Även om syftet med förslaget till beslut inte är att behandla personuppgifter kommer viss information som utbyts att gälla fysiska personer, särskilt om aktören är en fysisk person ( 3 ) eller om den officiella titeln för den juridiska person som fungerar som aktör medför att en fysisk person kan identifieras ( 4 ).

9. Betydelsen av dataskydd i detta sammanhang har betonats av EU-domstolen i dess avgörande i Scheckemålet. Enligt domstolen kan juridiska personer kräva skydd av rätten till privatliv och dataskydd, i enlighet med Europeiska unionens stadga om de grundläggande rättigheterna, om den juridiska perso­ nens officiella titel medför att en eller flera fysiska personer kan identifieras ( 5 ). I detta yttrande kommer därför att analyseras hur utbytet av personuppgifter rörande aktörer regleras i förslaget till beslut. 6.6.2012 Europeiska SV unionens officiella tidning C 160/3 II.2 Tillämplighet av EU:s rambeslut om skydd av personuppgifter

10. Behandlingen kommer att genomföras av de tullmyndigheter som anges i artikel 1b i avtalet om samarbete och ömsesidigt bistånd i tullfrågor ( 1 ). Definitionen hänför sig inom EU till ”behöriga enhe­ ter” inom Europeiska kommissionen och tullmyndigheter i EU:s medlemsstater. Enligt EU:s dataskydd­ slagstiftning omfattas behandling som genomförs av EU:s medlemsstater av direktiv 95/46/EG (nedan kallat: ”dataskyddsdirektivet”) och av nationell lagstiftning om dataskydd för genomförande av data­ skyddsdirektivet, medan behandling av personuppgifter som genomförs av EU:s institutioner och organ omfattas av förordning (EG) nr 45/2001 (nedan kallad: ”förordningen”). I detta fall är därför både dataskyddsdirektivet och förordningen tillämpliga. II.3 Skyddsnivå

11. Utbytet av information ska ske i elektroniskt format och i enlighet med avtalet om samarbete och ömsesidigt bistånd i tullfrågor. I artikel 17.2 i samarbetsavtalet anges att personuppgifter endast får överföras mellan parterna i en överenskommelse om den part som mottar uppgifterna förpliktar sig att beträffande sådana uppgifter tillämpa en skyddsnivå som minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna.

12. Datatillsynsmannen välkomnar denna bestämmelse som bör uppfattas som att den syftar till att upp­ fylla EU:s lagstiftning om dataskydd. Enligt artikel 25 i dataskyddsdirektivet och artikel 9 i förordningen kan som huvudregel uppgifter endast överföras från EU till tredje land om det mottagande landet säkerställer en ”adekvat” skyddsnivå ( 2 ). Artikel 17.2 i samarbetsavtalet förefaller därmed striktare än dataskyddsdirektivet.

13. Det bör därför analyseras på grundval av alla relevanta omständigheter om de mottagande myndighe­ terna i Förenta staterna verkligen garanterar motsvarande skyddsnivå (eller åtminstone en ”adekvat” nivå). Analysen av huruvida nivån är adekvat måste genomföras mot bakgrund av alla omständigheter som omger överföringen eller uppsättningen överföringar ( 3 ).

14. Europeiska kommissionen har inte funnit att Förenta staterna som helhet erbjuder en adekvat skydds­ nivå. I avsaknad av ett allmänt beslut om adekvat skydd kan registeransvariga ( 4 ), under överinseende av myndigheter för dataskydd ( 5 ), besluta att skyddet som tillhandahålls i detta särskilda fall är adekvat. EU:s medlemsstater (eller Europeiska datatillsynsmannen om överföringen genomförs av EU:s institu­ tioner eller organ) får även tillåta en särskild överföring eller en uppsättning överföringar av person­ uppgifter till ett tredjeland om den registeransvarige ställer tillräckliga garantier ( 6 ).

15. Dessa tillfälliga beslut om att skyddet är adekvat kan tillämpas i detta fall om de nationella tullmyn­ digheterna och de av Europeiska kommissionens enheter som ansvarar för tullfrågor lämnar tillräckliga bevis till stöd för påståendena om att de amerikanska tullmyndigheterna infört ett adekvat skydd när det gäller sådant utbyte som avses i förslaget till beslut ( 7 ).

16. Europeiska datatillsynsmannen har emellertid inte tillräckliga bevis för att de amerikanska tullmyndig­ heterna säkerställer en dataskyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i avtalet om sam­ arbete och ömsesidigt bistånd i tullfrågor. C 160/4 SV Europeiska unionens officiella tidning 6.6.2012

17. Europeiska datatillsynsmannen är därför mån om att säkerställa att bevis som visar att de amerikanska tullmyndigheterna tryggar en skyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i samarbets­ avtalet, blir tillgängliga för datatillsynsmannen och nationella myndigheter för dataskydd. Detta bör krävas genom en bestämmelse i förslaget till beslut.

18. Avslutningsvis kan utbyte av personuppgifter från EU till länder som inte garanterar en ”adekvat” skyddsnivå även tillåtas om något av undantagen i artikel 26.1 i dataskyddsdirektivet eller artikel 9.6 i förordningen tillämpas. I detta särskilda fall kan det hävdas att utbytet är ”nödvändigt eller bindande enligt författning av skäl som rör viktiga allmänna intressen” ( 1 ). Dessa undantag bör emellertid tolkas restriktivt och kan inte ligga till grund för massiva eller systematiska överföringar av personuppgifter ( 2 ). Enligt datatillsynsmannens uppfattning skulle dessa undantag inte vara till hjälp i detta fall. II.4 Begränsning av ändamålet

19. I avsnitt V.1 i förslaget till beslut anges att de uppgifter som utbyts endast får bearbetas av den mottagande tullmyndigheten i syfte att genomföra förslaget till beslut, i enlighet med artikel 17 i samarbetsavtalet.

20. Emellertid medges behandling av andra skäl även enligt avsnitt V.3, fjärde strecksatsen och artikel 17.3 i samarbetsavtalet. Med tanke på att syftena i förslaget till beslut går längre än tullsamarbete och innefattar kampen mot terrorism tillråder datatillsynsmannen att alla tänkbara syften för överföring av personuppgifter ska specificeras i texten till beslutet. Dessutom bör alla uppgifter som överförs vara nödvändiga och proportionella för att uppfylla dessa syften. Det bör även specificeras att de registrerade ska informeras på ett begripligt sätt om alla syften och villkor när det gäller behandling av deras personuppgifter. II.5 Kategorier av uppgifter som kan utbytas

21. Uppgifter om handelspartnerskapsprogrammens medlemmar som kan utbytas mellan tullmyndigheter är följande: namn, adress, medlemskapsstatus, datum för validering eller godkännande, upphävanden och återkallanden, det unika tillstånds- eller identifieringsnumret, samt ”eventuella uppgifter som öm­ sesidigt överenskommits mellan tullmyndigheterna, i förekommande fall med sådana säkerhetsföreskrif­ ter som kan behövas” ( 3 ). Eftersom detta sista område är alltför öppet rekommenderar datatillsyns­ mannen att det anges vilka kategorier av uppgifter som kan ingå.

22. Datatillsynsmannen noterar även att uppgifter som utväxlas kan innefatta uppgifter om lagöverträdelser eller misstänkta överträdelser, exempelvis uppgifter rörande upphävande och återkallande av medlem­ skap. Datatillsynsmannen betonar att EU:s dataskyddslagstiftning är begränsad till behandling av person­ uppgifter när det gäller lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder ( 4 ). Behandling av dessa kategorier uppgifter kan omfattas av kontroll i förväg av datatillsynsmannen och EU:s nationella myndigheter för dataskydd ( 5 ). II.6 Vidareöverföring

23. Enligt avsnitt V.3, tredje strecksatsen, får inte uppgifter överföras till tredjeländer eller internationella organ utan föregående medgivande från den myndighet som har lämnat uppgifterna, i enlighet med de villkor som denna myndighet fastställt. Vidareöverföring bör endast vara tillåten om en motivering lämnas. 6.6.2012 Europeiska SV unionens officiella tidning C 160/5

24. Det förefaller därför som om avsnitt V.3 borde innefatta en bestämmelse liknande den som ingår i artikel 17.2 i samarbetsavtalet, där det anges att personuppgifter endast kan överföras till ett tredjeland om det mottagande landet garanterar en skyddsnivå som minst motsvarar den som krävs i förslaget till beslut. Det skydd som beviljas personuppgifter enligt detta förslag till beslut skulle annars kunna kringgås genom vidareöverföringar.

25. I denna bestämmelse bör i vilket fall som helst syftet med dessa överföringar och de särskilda situa­ tioner när de är tillåtna anges. Det bör också uttryckligen slås fast att nödvändigheten och proportio­ naliteten i internationell vidareöverföring måste bedömas från fall till fall och att massiva eller syste­ matiska överföringar inte är tillåtna. Skyldigheten att informera de registrerade om möjligheten till internationell vidareöverföring bör också ingå i texten. II.7 Lagring av uppgifter

26. Europeiska datatillsynsmannen välkomnar avsnitt V.2 enligt vilket det är förbjudet att behandla eller bevara informationen längre än nödvändigt för det ändamål för vilket den överförs. En maximalt till­ låten period för lagring av uppgifter bör också fastställas. II.8 Säkerhet och ansvarighet

27. I avsnitt IV anges att utbyte av information kommer att genomföras elektroniskt. Enligt datatillsyns­ mannen bör ytterligare detaljer om systemet för informationsutbyte fastställas i detta avsnitt. I vilket fall som helst bör det valda systemet innefatta skydd av privatlivet och personuppgifter från och med utformningsstadiet (inbyggda säkerhetsmekanismer).

28. Datatillsynsmannen välkomnar i detta hänseende de säkerhetsgarantier som planeras i avsnitt V.3, första och andra strecksatsen, vilka innefattar tillträdeskontroll, ”skydd mot obehörig tillgång, spridning och ändring, radering eller förstöring” och kontroll av att uppgifterna endast behövs för de ändamål som anges i förslaget till beslut. Datatillsynsmannen välkomnar även de tillträdesloggar som planeras i avsnitt V.3, femte strecksatsen.

29. Datatillsynsmannen rekommenderar även att man i dessa bestämmelser innefattar skyldigheten att genomföra en konsekvensbedömning av dataskyddet (inklusive en riskbedömning) innan utbytet av uppgifter inleds. Bedömningen bör innefatta en riskbedömning och de åtgärder som planeras för att hantera riskerna ( 1 ). I texten bör också specificeras att överensstämmelse med dessa åtgärder och deras genomförande ska revideras och rapporteras regelbundet. Detta är desto mer relevant med tanke på att känsliga uppgifter kan komma att behandlas. II.9 Uppgiftskvalitet och rättigheter för de registrerade

30. Europeiska datatillsynsmannen välkomnar tullmyndigheternas skyldighet att se till att den information som utbyts är korrekt och uppdateras regelbundet (se avsnitt V.2 och V.5). Han välkomnar även avsnitt V.4, där det garanteras att partnerskapsprogrammets aktörer har rätt att få tillgång till och ändra sina personliga uppgifter.

31. Datatillsynsmannen noterar emellertid att utövandet av dessa rättigheter omfattas av tullmyndighetens inhemska lagstiftning. När det gäller uppgifter från EU:s tullmyndigheter, och för att garantera en ”adekvat” skyddsnivå (se avsnitt II.3 i detta yttrande), bör dessa rättigheter endast begränsas om det krävs för att trygga ett viktigt ekonomiskt eller finansiellt intresse.

32. Datatillsynsmannen välkomnar även det faktum att tullmyndigheter är skyldiga att radera uppgifter de har erhållit om insamling och behandling av dessa strider mot förslaget till beslut eller samarbets­ avtalet ( 2 ). Datatillsynsmannen vill erinra om att i enlighet med artikel 17.2 i samarbetsavtalet gäller denna bestämmelse för all behandling som strider mot EU:s lagstiftning om dataskydd. C 160/6 SV Europeiska unionens officiella tidning 6.6.2012

33. Datatillsynsmannen välkomnar skyldigheten för tullmyndigheter att informera programmedlemmar om deras möjligheter att söka prövning ( 1 ). Det bör emellertid klargöras vilka möjligheter till prövning som finns om den säkerhet för skydd av uppgifter som garanteras i förslaget till beslut överträds. I denna bestämmelse bör också specificeras att andra registrerade (det vill säga aktörer som ansöker om med­ lemskap) också bör informeras om möjligheten att söka prövning. II.10 Tillsyn

34. Datatillsynsmannen välkomnar avsnitt V.6 som innebär att hela avsnitt V omfattas av ”oberoende tillsyn” av USA:s Department of Homeland Security's Chief Privacy Officer, Europeiska datatillsyns­ mannen och nationella myndigheter för dataskydd.

35. Det bör också anges att datatillsynsmannen och nationella myndigheter för dataskydd bör övervaka att den mottagande tullmyndighetens skyddsnivå för personuppgifter är ”adekvat” (se avsnitt III.1.). Avsnitt IV bör också omfattas av tillsyn.

36. Europeiska datatillsynsmannen välkomnar de garantier som planeras i förslaget till beslut, särskilt vad gäller datasäkerhet. Bevis för att de amerikanska tullmyndigheterna säkerställer en dataskyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i samarbetsavtalet, bör emellertid vara tillgängliga för datatill­ synsmannen och nationella myndigheter för dataskydd. Detta bör krävas genom en bestämmelse i förslaget till beslut.

37. Dessutom rekommenderar datatillsynsmannen följande: — Syftet/syftena med utbytet av uppgifter som planeras i förslaget till beslut bör anges och dessa bör vara nödvändiga och proportionella. — Kategorier av uppgifter som ingår i avsnitt IV.3 g bör anges. — Om nödvändigheten av internationella vidareöverföringar motiveras bör det framgå att dessa endast tillåts, från fall till fall, för jämförbara syften och om det mottagande landet garanterar en skydds­ nivå som minst motsvarar den som beviljas enligt förslaget till beslut. — Skyldigheten att informera alla registrerade om ovanstående bör inkluderas. — Säkerhetsbestämmelserna bör kompletteras. — Maximal tillåten lagringsperiod för uppgifterna bör anges. — Rättigheterna för de registrerade inom EU bör inte begränsas om inte sådana restriktioner är nödvändiga för att skydda ett viktigt ekonomiskt eller finansiellt intresse. — Rätten till prövning bör garanteras. — Avsnitt IV bör omfattas av tillsyn. — Det bör anges att europeiska datatillsynsmannen, EU:s nationella myndigheter för dataskydd och den amerikanska Department of Homeland Security's Chief Privacy Officer bör övervaka skydd som införts av den mottagande tullmyndigheten för att säkerställa att adekvat skyddsnivå för person­ uppgifter är effektiva och i linje med EU:s krav. 6.6.2012 Europeiska SV unionens officiella tidning C 160/7

38. Datatillsynsmannen noterar även att förslaget kan innebära behandling av personuppgifter rörande brott eller misstänkta brott. Dessa uppgifter omfattas av strängare skydd enligt EU:s lagstiftning och kan omfattas av kontroll i förväg av datatillsynsmannen och av EU:s nationella myndigheter för dataskydd. Utfärdat i Bryssel den 9 februari 2012. Giovanni BUTTARELLI Biträdande Europeisk datatillsynsman