European statistics

21.3.2017 SV Europeiska unionens officiella tidning C 87/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om förslaget till en gemensam ram för europeisk statistik om personer och hushåll

(2017/C 87/01)

Förslaget syftar till att fastställa en gemensam ram för europeisk statistik om personer och hushåll, som grundas på uppgifter på individnivå som samlas in genom urvalsundersökningar.

I relevanta delar innehåller förslaget hänvisningar till användning av såväl administrativa register som andra källor eller innovativa tillvägagångssätt för att skaffa fram statistiska uppgifter inom ramen för stordata. Nya innovativa tillvägagångssätt kan vara lovande för statistik och forskning men utgör också risker och medför utmaningar, och lagstiftarna måste säkerställa att potentiella fördelar inte uppnås på bekostnad av enskildas rättigheter. För att ge ett effektivt skydd av rätten till personlig integritet och rätten till skydd av personuppgifter bör lagstiftarna förutse de potentiella risker och utmaningar som dessa lovande tekniker kan medföra och tillhandahålla tillräckliga skyddsåtgärder.

Vi rekommenderar därför en betydande ändring av artikel 8 för att säkerställa att all databehandling som rör administrativa register och andra datakällor måste göras i enlighet med tillämplig lagstiftning om uppgiftsskydd och att allt direkt tillhandahållande av uppgifter från enskilda (förutom vissa undantag enligt lagen och med tillämpning av lämpliga skyddsåtgärder) måste ske frivilligt.

När det gäller kopplingen av administrativa register enligt artikel 11 betonar vi också att det behöver säker­ ställas att all sådan koppling görs i enlighet med lagstiftningen om uppgiftsskydd samt med hänsyn till vad som är nödvändigt, proportionellt och i enlighet med specifika skyddsåtgärder enligt medlemsstaternas eller unionens lagstiftning.

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16 i detta,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter,

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 28.2.

1. Förslagets bakgrund och syfte

1. Den 8 augusti 2016 offentliggjorde Europeiska kommissionen (nedan kallad kommissionen) ett förslag till Europa­ parlamentets och rådets förordning om fastställande av en gemensam ram för europeisk statistik om personer och hushåll, som grundas på uppgifter på individnivå som samlas in genom urvalsundersökningar (nedan kallat försla­ get) ( ). Samma dag begärde kommissionen ett yttrande från Europeiska datatillsynsmannen (nedan kallad EDPS) i egenskap av oberoende rådgivande organ. Även Europeiska unionens råd (nedan kallat rådet) lämnade en begäran den 25 november 2016.

2. Såsom anges i artikel 1 i förslaget till förordning (”Syfte”) är syftet med förordningen att fastställa en gemensam ram för europeisk statistik om personer och hushåll, som grundas på uppgifter på individnivå som samlas in genom ett urval. C 87/2 SV Europeiska unionens officiella tidning 21.3.2017

3. EDPS noterar de politiska målen med förslaget. EDPS välkomnar — att redan ha hörts och att en hänvisning till denna rådfrågning finns i skäl 23 i förslaget till förordning, — tillägget av skäl 20 med en hänvisning till tillämplig lagstiftning om uppgiftsskydd (Europaparlamentets och rådets förordning 95/46/EG och förordning (EG) nr 45/2001), samt — hänvisningen till bestämmelserna om uppgiftsskydd i samband med att personer kopplas till olika register (artikel 11).

2. Översikt och viktiga aspekter

4. Vår främsta farhåga är det aktuella förslagets oklarhet kring möjligheten att använda ”administrativa” uppgifter och ”stordatakällor” som exempelvis lokaliseringsuppgifter för telefoner, företags- och beskattningsregister, socialförsäk­ ringsuppgifter och patientjournaler, register från arbetsförmedlingar och institutioner som förvaltar det sociala trygghetssystemet. Stordata innebär nya och lovande möjligheter och medger en effektivare produktion av officiell statistik, men medför även specifika risker. Därför föreslår vi en grundlig granskning av relevanta bestämmelser ( ).

5. Vi efterlyser större klarhet när det gäller att information som lämnas direkt av enskilda ska lämnas på frivillig grund, med samtycke i enlighet med artiklarna 6 och 7 i den allmänna dataskyddsförordningen ( ) som rättslig grund för behandling av personuppgifter, förutom om det är ett specifikt krav enligt unionslagstiftningen eller medlemsstaternas lagstiftning att tillhandahålla uppgifter i enlighet med tillämplig lagstiftning om uppgiftsskydd.

6. Mot bakgrund av dessa betänkligheter skulle vi särskilt välkomna om lagstiftarna kunde formulera artikel 8 (om uppgiftskällor och metoder) på ett tydligare sätt.

7. Andra relevanta bestämmelser som EDPS anser kan förbättras är bland annat följande: — Artikel 2 e när det gäller definitionen av administrativa register. — Skäl 4 när det gäller användningen av administrativa källor för statistiska ändamål. — Skäl 20 om tillämplig lagstiftning om uppgiftsskydd och begreppet viktigt allmänt intresse. — Artikel 11.1 om urvalsramar.

3. Rekommendationer 3.1 Hänvisningar till tillämplig lagstiftning om uppgiftsskydd (skäl 20)

8. Beroende på datum för ikraftträdande av den föreslagna förordningen kan hänvisningar till tillämplig lagstiftning i skäl 20 behöva uppdateras. Bland annat kan de behöva ersättas med hänvisningar till den allmänna dataskyddsförordningen, som börjar tillämpas den 25 maj 2018, och med hänvisningar till det nya rättsinstrument som ersätter förordning (EG) nr 45/2001.

9. Vi skulle också välkomna en hänvisning, i ett skäl, till efterlevnad av skyddsåtgärderna som rör behandling för statistiska ändamål enligt artikel 89 i den allmänna dataskyddsförordningen.

10. Med tanke på att förslaget förutser användning av data från nya datakällor, som exempelvis kan inbegripa lokalise­ ringsdata från mobiltelefonregister (se avsnitt 3.4 nedan som behandlar artikel 8), rekommenderar vi även en speci­ fik hänvisning till direktivet om integritet och elektronisk kommunikation ( ) som nu ses över (eller till det nya direktivet om integritet och elektronisk kommunikation om det är lämpligt med tanke på tidsramarna). 3.2 Hänvisningar till ”viktigt allmänt intresse” (skäl 20)

11. För enklare hänvisning för andra än experter rekommenderar vi att orden enligt artikel 8.4 i direktiv 95/46/EG läggs till efter orden viktigt allmänt intresse. Om texten skulle hänvisa till den allmänna dataskyddsförordningen skulle hänvisningen gälla artikel 9.2 g i denna. 21.3.2017 SV Europeiska unionens officiella tidning C 87/3 3.3 Definition av administrativa register (artikel 2 e och skäl 4)

12. I artikel 2 e definieras administrativa register som uppgifter som en icke-statistisk källa, oftast ett offentligt organ, tar fram för egna ändamål. Termen administrativa register används sedan såväl i artikel 8 som i skäl 4.

13. Denna definition av administrativa register förefaller mycket bred och verkar i praktiken inkludera alla andra källor, som är ett annat begrepp som också det används i artikel 8. Begreppet administrativa uppgifter kan så som det definieras exempelvis inkludera inte bara administrativa register från offentliga organ utan även källor som lokalise­ ringsdata för mobiltelefoner, vilka enligt den innebörd termen har i dagligt tal inte alltid betraktas som ett admini­ strativt register.

14. Detta i sig förefaller inte ha någon direkt inverkan på skyddsnivån för personuppgifter, med tanke på att artikel 8 i alla händelser inkluderar alla andra källor. För klarhetens skull kunde lagstiftarna ändå överväga att se över artikel 2 e och definiera administrativa register snävare. Alternativt kunde lagstiftarna stryka artikel 2 e helt och i stället i artikel 8 hänvisa till ”administrativa register som skapas av en organisation, vanligen ett offentligt organ, för andra, icke-statistiska ändamål, och till alla andra källor, metoder eller innovativa tillvägagångssätt […]”.

15. Som vi noterar ovan uppmuntrar vidare skäl 4 specifikt till användning av administrativa källor för statistiska ändamål. Vi välkomnar att det i skälet betonas att man alltid behöver säkerställa statistikens kvalitet, noggrannhet, aktualitet och jämförbarhet. För att ytterligare förbättra denna bestämmelse rekommenderar vi att en hänvisning till skyddet av personuppgifter läggs till. Exempelvis kan följande text läggas till i slutet av stycket: liksom rätten till skydd av personuppgifter. 3.4 Uppgiftskällor och metoder (artikel 8)

16. Utöver de uppgifter som tillhandahålls direkt av respondenterna hänvisar artikel 8 även till administrativa register och alla andra källor, metoder eller innovativa tillvägagångssätt, i den mån de möjliggör framtagning av uppgifter som är jämför­ bara och förenliga med de tillämpliga särskilda krav som fastställs i denna förordning.

17. Artikel 8 återspeglar avsikten som tas upp på sidan 13 i motiveringen, att möjliggöra och främja användning av nya former av uppgiftsinsamling och alternativa uppgiftskällor, inklusive administrativa uppgifter och skattningar genom modellering och stordata. Se även skäl 4 i förslaget, som redan nämnts ovan, där det uppmuntras att främja använd­ ningen av administrativa källor för statistiska ändamål, med hänvisning till att möjligheten till detta har ökat tack vare den tekniska utvecklingen, och artikel 13 om genomförbarhets- och pilotstudier, som också tar upp användningen av andra uppgiftskällor.

18. Inom statistikområdet, liksom inom andra områden, medför stordata olika fördelar som ökad effektivitet. Stordata kan dock också skapa ytterligare risker. Det nya ramverket för uppgiftsskydd, och i synnerhet antagandet av den allmänna dataskyddsförordningen, syftar till att behandla dessa risker på ett sätt som ger skydd men även tillåter flexibilitet för ytterligare dataanvändning, bland annat för statistiska ändamål.

19. Troligen kommer det dock ändå att krävas ytterligare lagstiftningsåtgärder inom statistikområdet på nationell nivå eller EU-nivå för att tillåta en bredare användning av stordata i statistik på ett sätt som är förenligt med tillämplig lagstiftning om uppgiftsskydd.

20. Det aktuella förslaget bör inte ge en illusion av att artikel 8 i sig ger en tillräcklig rättslig grund för att använda stordata för förslagets syfte. Det är mycket viktigt att skälen och artikel 8 i kombination klargör att varje sådan användning av stordatakällor är föremål för tillämplig lagstiftning om uppgiftsskydd, inbegripet behovet av lämplig rättslig grund enligt artikel 6 i den allmänna dataskyddsförordningen.

21. Vi rekommenderar därför att artikel 8 ändras på följande sätt: Artikel 8 Datakällor och metoder

1. Medlemsstaterna ska tillhandahålla de uppgifter som avses i artikel 1 med hjälp av en eller en kombination av följande källor, under förutsättning att de uppfyller kvalitetskraven i artikel 12 och samlas in och vidarebe­ handlas i enlighet med och med tillämpning av skyddsåtgärderna i tillämplig lagstiftning om uppgiftsskydd: a) Uppgifter som lämnas direkt av uppgiftslämnarna på frivillig grund, grundat på att de registrerade lämnar data enligt artikel 7 [i den allmänna dataskyddsförordningen] efter samtycke (förutom om tillhandahållande av information krävs specifikt enligt unions- eller medlemsstatslagstiftning som omfattar den personuppgiftsansvariga och som även fastställer lämpliga åtgärder för att skydda de regi­ strerades rättigheter, friheter och legitima intresse). C 87/4 SV Europeiska unionens officiella tidning 21.3.2017 b) Administrativa register och alla andra källor, metoder eller innovativa tillvägagångssätt, i den mån de möjliggör framtagning av uppgifter som är jämförbara och förenliga med de tillämpliga särskilda krav som fastställs i denna förordning. 2. Medlemsstaterna ska förse kommissionen (Eurostat) med ingående uppgifter om de källor och metoder som används. 3.5 Urvalsramar (artikel 11)

22. Enligt artikel 11.1 ska urvalsramar också inbegripa de uppgifter som behövs för att koppla personer till andra adm­ inistrativa register, i den mån det medges enligt bestämmelserna om uppgiftsskydd.

23. Vi rekommenderar att ordalydelsen i den andra delen av meningen formuleras om enligt följande: i den mån koppling till sådana andra register är nödvändig och proportionell, samt specifikt tillåten enligt tillämplig unions- eller med­ lemsstatslagstiftning som den registeransvariga omfattas av och som även fastställer lämpliga åtgärder för att skydda de regi­ strerades rättigheter, friheter och legitima intresse. 4. Slutsatser

24. EDPS rekommenderar följande: — En hänvisning till direktivet om integritet och elektronisk kommunikation bör tas med vid hänvisning till gällande lagstiftning och en uppdatering bör göras av alla relevanta referenser enligt vad som krävs med hänsyn till den aktuella översynen av ramverket för uppgiftsskydd. — Hänvisningar till viktigt allmänt intresse i skäl 20 bör förtydligas. — En betydande ändring av artikel 8 bör göras för att säkerställa att all databehandling som rör administrativa register och andra datakällor måste ske i enlighet med tillämplig lagstiftning om uppgiftsskydd och att allt direkt tillhandahållande av uppgifter från individer (förutom vissa undantag enligt lagen och med tillämpning av lämpliga skyddsåtgärder) måste ske frivilligt. — När det gäller kopplingen av administrativa register enligt artikel 11 bör det säkerställas att all sådan koppling görs i enlighet med lagstiftningen om uppgiftsskydd samt med hänsyn till vad som är nödvändigt, propor­ tionellt och i enlighet med specifika skyddsåtgärder enligt medlemsstaternas eller unionens lagstiftning. — En revidering av definitionen av administrativa register i artikel 2 e bör övervägas, liksom tillägg av en hänvisning till skyddet av rätten till skydd av personuppgifter i relaterade skäl 4. Bryssel den 1 mars 2017 Biträdande europeiska datatillsynsmannen