# Europeiska unionens C 34/2012

| | ISSN 1977-1061
  doi:10.3000/19771061.C_2012.034.swe |
| --- | --- |
| Europeiska unionens
  officiella tidning | C 34 |
| | |
| Svensk utgåva | Meddelanden och upplysningar | 55 årgången8 februari 2012 |

ISSN 1977-1061

doi:10.3000/19771061.C_2012.034.swe

Europeiska unionens

officiella tidning

C 34

Svensk utgåva

Meddelanden och upplysningar

55 årgången8 februari 2012

---

| Informationsnummer | Innehållsförteckning | Sida |
| --- | --- | --- |
| | I   Resolutioner, rekommendationer och yttranden |
| | YTTRANDEN |
| | Europeiska datatillsynsmannen |
| 2012/C 034/01 | Yttrande från Europeiska datatillsynsmannenom nätneutralitet, trafikstyrning och integritetsskydd och skydd av personuppgifter | 1 |
| 2012/C 034/02 | Yttrande från Europeiska datatillsynsmannen över kommissionens meddelande till Europaparlamentet, rådet, Ekonomiska och sociala kommittén och Regionkommittén om migration | 18 |

Informationsnummer

Innehållsförteckning

Sida

I   Resolutioner, rekommendationer och yttranden

YTTRANDEN

Europeiska datatillsynsmannen

2012/C 034/01

Yttrande från Europeiska datatillsynsmannenom nätneutralitet, trafikstyrning och integritetsskydd och skydd av personuppgifter

1

2012/C 034/02

Yttrande från Europeiska datatillsynsmannen över kommissionens meddelande till Europaparlamentet, rådet, Ekonomiska och sociala kommittén och Regionkommittén om migration

18

| | IV   Upplysningar |
| --- | --- |
| | UPPLYSNINGAR FRÅN EUROPEISKA UNIONENS INSTITUTIONER, BYRÅER OCH ORGAN |
| | Europeiska kommissionen |
| 2012/C 034/03 | Eurons växelkurs | 27 |

IV   Upplysningar

UPPLYSNINGAR FRÅN EUROPEISKA UNIONENS INSTITUTIONER, BYRÅER OCH ORGAN

Europeiska kommissionen

2012/C 034/03

Eurons växelkurs

27

| | V   Yttranden |
| --- | --- |
| | ÖVRIGA AKTER |
| | Europeiska kommissionen |
| 2012/C 034/04 | Meddelande till Monir Chouka, Yassin Chouka och Mevlüt Kar som genom kommissionens förordning (EU) nr 97/2012 lagts till i de förteckningar som avses i artiklarna 2, 3 och 7 i rådets förordning (EG) nr 881/2002 om införande av vissa särskilda restriktiva åtgärder mot vissa med nätverket al-Qaida associerade personer och enheter | 28 |

V   Yttranden

ÖVRIGA AKTER

Europeiska kommissionen

2012/C 034/04

Meddelande till Monir Chouka, Yassin Chouka och Mevlüt Kar som genom kommissionens förordning (EU) nr 97/2012 lagts till i de förteckningar som avses i artiklarna 2, 3 och 7 i rådets förordning (EG) nr 881/2002 om införande av vissa särskilda restriktiva åtgärder mot vissa med nätverket al-Qaida associerade personer och enheter

28

| SV | |
| --- | --- |

SV

---

I Resolutioner, rekommendationer och yttranden

YTTRANDEN

Europeiska datatillsynsmannen

| 8.2.2012 | SV | Europeiska unionens officiella tidning | C 34/1 |
| --- | --- | --- | --- |

8.2.2012

SV

Europeiska unionens officiella tidning

C 34/1

---

Yttrande från Europeiska datatillsynsmannenom nätneutralitet, trafikstyrning och integritetsskydd och skydd av personuppgifter

2012/C 34/01

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA YTTRANDE

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1),

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (2), särskilt artikel 41.2, och

med beaktande av Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (3).

HÄRIGENOM FRAMFÖRS FÖLJANDE

I.   INLEDNING

I.1   Bakgrund

| 1. | Den 19 april 2011 antog kommissionen meddelandet Ett öppet internet och nätneutralitet i Europa
   (4). |
| --- | --- |

1.

Den 19 april 2011 antog kommissionen meddelandet Ett öppet internet och nätneutralitet i Europa
   (4).

| 2. | Det här yttrandet kan ses som datatillsynsmannens reaktion på detta meddelande och syftar till att bidra till den pågående politiska debatten inom EU om nätneutralitet, särskilt i fråga om dataskydd och integritet. |
| --- | --- |

2.

Det här yttrandet kan ses som datatillsynsmannens reaktion på detta meddelande och syftar till att bidra till den pågående politiska debatten inom EU om nätneutralitet, särskilt i fråga om dataskydd och integritet.

| 3. | Yttrandet utgår från datatillsynsmannens svar (5) på kommissionens offentliga samråd om ett öppet internet och nätneutralitet i Europa, som föregick kommissionens meddelande. Datatillsynsmannen har också tagit del av det färska utkastet till rådets slutsatser om nätneutralitet (6). |
| --- | --- |

3.

Yttrandet utgår från datatillsynsmannens svar (5) på kommissionens offentliga samråd om ett öppet internet och nätneutralitet i Europa, som föregick kommissionens meddelande. Datatillsynsmannen har också tagit del av det färska utkastet till rådets slutsatser om nätneutralitet (6).

I.2   Begreppet nätneutralitet

| 4. | Begreppet nätneutralitet hänvisar till en pågående diskussion om huruvida internetleverantörer (7) ska få begränsa, filtrera eller blockera internetanslutningar eller på annat sätt påverka deras prestanda. Begreppet nätneutralitet bygger på tanken att informationen på internet ska förmedlas opartiskt utan hänsyn till innehåll, destination eller källa och att användare ska få bestämma vilka tillämpningar, tjänster och maskinvara de vill använda. Detta betyder att internetleverantörer inte själva får välja, prioritera eller sänka åtkomsthastigheten för vissa tillämpningar eller tjänster, som t.ex. fildelning (Peer to Peer, P2P) (8). |
| --- | --- |

4.

Begreppet nätneutralitet hänvisar till en pågående diskussion om huruvida internetleverantörer (7) ska få begränsa, filtrera eller blockera internetanslutningar eller på annat sätt påverka deras prestanda. Begreppet nätneutralitet bygger på tanken att informationen på internet ska förmedlas opartiskt utan hänsyn till innehåll, destination eller källa och att användare ska få bestämma vilka tillämpningar, tjänster och maskinvara de vill använda. Detta betyder att internetleverantörer inte själva får välja, prioritera eller sänka åtkomsthastigheten för vissa tillämpningar eller tjänster, som t.ex. fildelning (Peer to Peer, P2P) (8).

| 5. | Filtrering, blockering och kontroll av nättrafik ger upphov till viktiga frågor som ofta förbises eller kringgås i fråga om kommunikationens konfidentialitet och respekten för enskildas integritet och personuppgifter när de använder internet. Vissa kontrolltekniker innebär t.ex. övervakning av innehållet i kommunikationerna, besökta webbplatser, skickade och mottagna e-postmeddelanden, tidpunkt för utbytet osv., för att göra det möjligt att filtrera kommunikationen. |
| --- | --- |

5.

Filtrering, blockering och kontroll av nättrafik ger upphov till viktiga frågor som ofta förbises eller kringgås i fråga om kommunikationens konfidentialitet och respekten för enskildas integritet och personuppgifter när de använder internet. Vissa kontrolltekniker innebär t.ex. övervakning av innehållet i kommunikationerna, besökta webbplatser, skickade och mottagna e-postmeddelanden, tidpunkt för utbytet osv., för att göra det möjligt att filtrera kommunikationen.

| 6. | Vid sin kontroll av kommunikationsuppgifter kan internetleverantörer bryta mot konfidentialiteten i kommunikationen, som är en grundläggande rättighet enligt artikel 8 i europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) och artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (stadgan). Konfidentialiteten skyddas dessutom i EU:s sekundärlagstiftning genom artikel 5 i direktivet om integritet och elektronisk kommunikation. |
| --- | --- |

6.

Vid sin kontroll av kommunikationsuppgifter kan internetleverantörer bryta mot konfidentialiteten i kommunikationen, som är en grundläggande rättighet enligt artikel 8 i europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) och artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (stadgan). Konfidentialiteten skyddas dessutom i EU:s sekundärlagstiftning genom artikel 5 i direktivet om integritet och elektronisk kommunikation.

I.3   Yttrandets inriktning och struktur

| 7. | Datatillsynsmannen anser att en seriös politisk diskussion om nätneutralitet måste gå in på konfidentialiteten vid kommunikation såväl som andra konsekvenser för integritets- och uppgiftsskydd. |
| --- | --- |

7.

Datatillsynsmannen anser att en seriös politisk diskussion om nätneutralitet måste gå in på konfidentialiteten vid kommunikation såväl som andra konsekvenser för integritets- och uppgiftsskydd.

| 8. | Detta yttrande är ett bidrag till denna pågående diskussion inom EU. Yttrandet har tre mål:






  — | Att lyfta fram vikten av integritets- och uppgiftsskydd i de pågående diskussionerna om nätneutralitet, särskilt behovet av att följa de befintliga bestämmelserna om konfidentialitet vid kommunikation. Endast metoder som respekterar dessa bestämmelser bör vara tillåtna. |
| --- | --- | --- |

8.

Detta yttrande är ett bidrag till denna pågående diskussion inom EU. Yttrandet har tre mål:

—

Att lyfta fram vikten av integritets- och uppgiftsskydd i de pågående diskussionerna om nätneutralitet, särskilt behovet av att följa de befintliga bestämmelserna om konfidentialitet vid kommunikation. Endast metoder som respekterar dessa bestämmelser bör vara tillåtna.

| — | Nätneutralitet berör förhållandevis nya – tekniska – möjligheter och det saknas erfarenhet av hur den rättsliga ramen ska tillämpas. Därför innehåller detta yttrande riktlinjer för hur internetleverantörer måste tillämpa och följa den rättsliga ramen för uppgiftsskydd om de filtrerar, blockerar och kontrollerar nättrafik. Detta bör underlätta för internetleverantörerna och även för de myndigheter som ansvarar för att verkställa reglerna. |
| --- | --- |

—

Nätneutralitet berör förhållandevis nya – tekniska – möjligheter och det saknas erfarenhet av hur den rättsliga ramen ska tillämpas. Därför innehåller detta yttrande riktlinjer för hur internetleverantörer måste tillämpa och följa den rättsliga ramen för uppgiftsskydd om de filtrerar, blockerar och kontrollerar nättrafik. Detta bör underlätta för internetleverantörerna och även för de myndigheter som ansvarar för att verkställa reglerna.

| — | Inom ramen för integritets- och uppgiftsskydd identifieras de områden som kräver särskild uppmärksamhet och där det kan behövas åtgärder på EU-nivå. Detta är särskilt viktigt med hänsyn till den pågående diskussionen på EU-nivå och de politiska åtgärder som kommissionen kan vidta i sammanhanget. |
| --- | --- |

—

Inom ramen för integritets- och uppgiftsskydd identifieras de områden som kräver särskild uppmärksamhet och där det kan behövas åtgärder på EU-nivå. Detta är särskilt viktigt med hänsyn till den pågående diskussionen på EU-nivå och de politiska åtgärder som kommissionen kan vidta i sammanhanget.

| 9. | Datatillsynsmannen är medveten om att nätneutralitet ger upphov till andra frågor som beskrivs närmare nedan, t.ex. i fråga om tillgång till information. Dessa frågor behandlas bara i den mån de är relevanta för eller inverkar på integritets- och uppgiftsskyddet. |
| --- | --- |

9.

Datatillsynsmannen är medveten om att nätneutralitet ger upphov till andra frågor som beskrivs närmare nedan, t.ex. i fråga om tillgång till information. Dessa frågor behandlas bara i den mån de är relevanta för eller inverkar på integritets- och uppgiftsskyddet.

| 10. | Yttrandet är uppbyggt på följande sätt: Avsnitt II inleds med en kort överblick över internetleverantörers praxis i fråga om filtrering. I avsnitt III sammanfattas EU:s rättsliga ram för nätneutralitet. Därefter ges en teknisk beskrivning i avsnitt IV, följd av en bedömning av konsekvenserna för integriteten, beroende på vilken teknik som används. Avsnitt V innehåller en analys av de praktiska detaljerna för tillämpningen av EU:s nuvarande regelverk för integritets- och uppgiftsskydd. Avsnitt VI innehåller förslag till politisk utveckling och en beskrivning av de områden där det kan krävas förtydliganden och förbättringar av den rättsliga ramen. Avsnitt VII innehåller slutsatserna. |
| --- | --- |

10.

Yttrandet är uppbyggt på följande sätt: Avsnitt II inleds med en kort överblick över internetleverantörers praxis i fråga om filtrering. I avsnitt III sammanfattas EU:s rättsliga ram för nätneutralitet. Därefter ges en teknisk beskrivning i avsnitt IV, följd av en bedömning av konsekvenserna för integriteten, beroende på vilken teknik som används. Avsnitt V innehåller en analys av de praktiska detaljerna för tillämpningen av EU:s nuvarande regelverk för integritets- och uppgiftsskydd. Avsnitt VI innehåller förslag till politisk utveckling och en beskrivning av de områden där det kan krävas förtydliganden och förbättringar av den rättsliga ramen. Avsnitt VII innehåller slutsatserna.

II.   NÄTNEUTRALITET OCH TRAFIKSTYRNINGSPOLITIK

Ökad användning av trafikstyrningspolitik

| 11. | Traditionellt sett har internetleverantörer endast övervakat och påverkat nättrafiken i begränsad omfattning. Internetleverantörer har t.ex. använt kontrolltekniker och begränsat informationsflöden för att upprätthålla säkerheten i nätet, t.ex. för att bekämpa virus. Generellt sett har internet alltså vuxit och samtidigt bevarat en hög grad av neutralitet. |
| --- | --- |

11.

Traditionellt sett har internetleverantörer endast övervakat och påverkat nättrafiken i begränsad omfattning. Internetleverantörer har t.ex. använt kontrolltekniker och begränsat informationsflöden för att upprätthålla säkerheten i nätet, t.ex. för att bekämpa virus. Generellt sett har internet alltså vuxit och samtidigt bevarat en hög grad av neutralitet.

| 12. | På senare år har dock vissa internetleverantörer visat intresse för att kontrollera nättrafik för att differentiera och tillämpa olika policyer på den för att t.ex. blockera vissa tjänster eller ge förmånligare åtkomst till andra. Detta kallas ibland trafikstyrningspolitik
   (9). |
| --- | --- |

12.

På senare år har dock vissa internetleverantörer visat intresse för att kontrollera nättrafik för att differentiera och tillämpa olika policyer på den för att t.ex. blockera vissa tjänster eller ge förmånligare åtkomst till andra. Detta kallas ibland trafikstyrningspolitik
   (9).

| 13. | Internetleverantörerna har många skäl för att kontrollera och differentiera trafiken. Trafikstyrningspolitiken kan t.ex. hjälpa internetleverantörerna att styra trafiken under perioder av hög belastning genom t.ex. prioritera viss tidskänslig trafik som direktuppspelning av video och försämra andra trafikformer som kan vara mindre tidskänsliga, som fildelning (10). Trafikstyrning kan också vara ett sätt för internetleverantörerna att skaffa sig en möjlig intäktsström, och denna kan komma från olika källor. Å ena sidan kan internetleverantörerna ta ut avgifter från innehållstjänsteleverantörer, t.ex. vars tjänster kräver större brandbedd, i utbyte mot att ge dem prioritet (och därmed hastighet). Detta skulle innebära att åtkomsten till en viss tjänst, t.ex. en tjänst som erbjuder beställvideo, skulle vara snabbare än åtkomsten till en annan liknande tjänst som inte har anslutit sig till höghastighetsöverföringen. Intäkter kan också komma från abonnenter som vill betala mer (eller mindre) för vissa typer av differentierade abonnemang. Ett abonnemang utan tillgång till fildelning skulle t.ex. kunna vara billigare än ett som ger obegränsad tillgång. |
| --- | --- |

13.

Internetleverantörerna har många skäl för att kontrollera och differentiera trafiken. Trafikstyrningspolitiken kan t.ex. hjälpa internetleverantörerna att styra trafiken under perioder av hög belastning genom t.ex. prioritera viss tidskänslig trafik som direktuppspelning av video och försämra andra trafikformer som kan vara mindre tidskänsliga, som fildelning (10). Trafikstyrning kan också vara ett sätt för internetleverantörerna att skaffa sig en möjlig intäktsström, och denna kan komma från olika källor. Å ena sidan kan internetleverantörerna ta ut avgifter från innehållstjänsteleverantörer, t.ex. vars tjänster kräver större brandbedd, i utbyte mot att ge dem prioritet (och därmed hastighet). Detta skulle innebära att åtkomsten till en viss tjänst, t.ex. en tjänst som erbjuder beställvideo, skulle vara snabbare än åtkomsten till en annan liknande tjänst som inte har anslutit sig till höghastighetsöverföringen. Intäkter kan också komma från abonnenter som vill betala mer (eller mindre) för vissa typer av differentierade abonnemang. Ett abonnemang utan tillgång till fildelning skulle t.ex. kunna vara billigare än ett som ger obegränsad tillgång.

| 14. | Vid sidan av internetleverantörens egna skäl för att använda trafikstyrningspolitik kan även andra parter ha ett intresse av att internetleverantörerna använder en sådan. Om internetleverantörerna styr sina nät och kontrollerar innehåll som passerar deras anläggningar kan de sannolikt öka sin förmåga att upptäcka påstådd olaglig användning, t.ex. brott mot upphovsrättslagen eller pornografisk användning. |
| --- | --- |

14.

Vid sidan av internetleverantörens egna skäl för att använda trafikstyrningspolitik kan även andra parter ha ett intresse av att internetleverantörerna använder en sådan. Om internetleverantörerna styr sina nät och kontrollerar innehåll som passerar deras anläggningar kan de sannolikt öka sin förmåga att upptäcka påstådd olaglig användning, t.ex. brott mot upphovsrättslagen eller pornografisk användning.

Andra intressen som berörs, däribland uppgiftsskydd och integritet

| 15. | Denna utveckling har väckt debatt om huruvida dessa metoder är legitima och i synnerhet om huruvida särskilda skyldigheter i fråga om nätneutralitet bör fastställas i lag. |
| --- | --- |

15.

Denna utveckling har väckt debatt om huruvida dessa metoder är legitima och i synnerhet om huruvida särskilda skyldigheter i fråga om nätneutralitet bör fastställas i lag.

| 16. | En ökad användning av trafikstyrningspolitik från internetleverantörernas sida kan begränsa tillgången till information. Om detta beteende blir allmänt utbrett och användare inte kan få tillgång (eller detta blir mycket dyrt) till hela internet, skulle detta hota tillgången till information och användarnas förmåga att skicka och ta emot det innehåll de vill ha med hjälp av de tillgångar eller tjänster som de själva väljer. Med en rättsligt bindande princip om nätneutralitet skulle det kanske gå att undvika detta problem. |
| --- | --- |

16.

En ökad användning av trafikstyrningspolitik från internetleverantörernas sida kan begränsa tillgången till information. Om detta beteende blir allmänt utbrett och användare inte kan få tillgång (eller detta blir mycket dyrt) till hela internet, skulle detta hota tillgången till information och användarnas förmåga att skicka och ta emot det innehåll de vill ha med hjälp av de tillgångar eller tjänster som de själva väljer. Med en rättsligt bindande princip om nätneutralitet skulle det kanske gå att undvika detta problem.

| 17. | Här vill datatillsynsmannen ta upp konsekvenserna för uppgiftsskydd och integritet när internetleverantörer använder trafikstyrning. Det gäller i synnerhet följande:






  — | När internetleverantörer behandlar trafikuppgifter med det enda syftet att dirigera informationsflödet från sändaren till mottagare, utför de i allmänhet endast en begränsad behandling av personuppgifter (11). På samma sätt som posten behandlar de uppgifter som står på kuvertet till ett brev, behandlar internetleverantören de uppgifter som krävs för att dirigera kommunikationen till mottagaren. Detta strider inte mot de rättsliga kraven på uppgiftsskydd, integritet och konfidentialitet vid kommunikation. |
| --- | --- | --- |

17.

Här vill datatillsynsmannen ta upp konsekvenserna för uppgiftsskydd och integritet när internetleverantörer använder trafikstyrning. Det gäller i synnerhet följande:

—

När internetleverantörer behandlar trafikuppgifter med det enda syftet att dirigera informationsflödet från sändaren till mottagare, utför de i allmänhet endast en begränsad behandling av personuppgifter (11). På samma sätt som posten behandlar de uppgifter som står på kuvertet till ett brev, behandlar internetleverantören de uppgifter som krävs för att dirigera kommunikationen till mottagaren. Detta strider inte mot de rättsliga kraven på uppgiftsskydd, integritet och konfidentialitet vid kommunikation.

| — | När internetleverantörer kontrollerar kommunikationsuppgifter för att skilja ut varje kommunikationsflöde och tillämpa särskilda policyer som kan vara ogynnsamma för enskilda personer, blir konsekvenserna emellertid större. Beroende på omständigheterna i varje fall och på vilken typ av analys som görs kan behandlingen medföra mycket stora intrång i en persons integritet och personuppgifter. Detta blir tydligare när styrningspolitiken avslöjar innehållet i enskilda personers internetkommunikation, som skickade och mottagna e-postmeddelanden, besökta webbplatser, nedladdade eller uppladdade filer osv. |
| --- | --- |

—

När internetleverantörer kontrollerar kommunikationsuppgifter för att skilja ut varje kommunikationsflöde och tillämpa särskilda policyer som kan vara ogynnsamma för enskilda personer, blir konsekvenserna emellertid större. Beroende på omständigheterna i varje fall och på vilken typ av analys som görs kan behandlingen medföra mycket stora intrång i en persons integritet och personuppgifter. Detta blir tydligare när styrningspolitiken avslöjar innehållet i enskilda personers internetkommunikation, som skickade och mottagna e-postmeddelanden, besökta webbplatser, nedladdade eller uppladdade filer osv.

III.   ÖVERSIKT ÖVER EU:S RÄTTSLIGA RAM FÖR NÄTNEUTRALITET OCH VIDARE POLITISKA ÅTGÄRDER

III.1   III.1 Den rättsliga ramen i korthet

| 18. | Fram till 2009 innehöll EU-lagstiftningen inga bestämmelser där internetleverantörer uttryckligen förbjöds att använda filtrering eller blockering eller ta ut extra avgifter för att ge abonnenter tillgång till tjänster. Den innehöll inte heller några bestämmelser där dessa metoder uttryckligen erkändes. Läget var alltså i viss mån osäkert. |
| --- | --- |

18.

Fram till 2009 innehöll EU-lagstiftningen inga bestämmelser där internetleverantörer uttryckligen förbjöds att använda filtrering eller blockering eller ta ut extra avgifter för att ge abonnenter tillgång till tjänster. Den innehöll inte heller några bestämmelser där dessa metoder uttryckligen erkändes. Läget var alltså i viss mån osäkert.

| 19. | Detta ändrades 2009 genom telekompaketet där det ingick bestämmelser för att främja öppenheten på internet. I artikel 8.4 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv) införs t.ex. en skyldighet för regleringsmyndigheterna att främja användarnas förmåga att skaffa sig tillgång till information, tillämpningar och tjänster efter eget val (12). Denna bestämmelse gäller för nätet i sin helhet och inte för enskilda leverantörer. I rådets slutsatser nyligen framhölls också behovet av att bevara ett öppet internet (13). |
| --- | --- |

19.

Detta ändrades 2009 genom telekompaketet där det ingick bestämmelser för att främja öppenheten på internet. I artikel 8.4 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv) införs t.ex. en skyldighet för regleringsmyndigheterna att främja användarnas förmåga att skaffa sig tillgång till information, tillämpningar och tjänster efter eget val (12). Denna bestämmelse gäller för nätet i sin helhet och inte för enskilda leverantörer. I rådets slutsatser nyligen framhölls också behovet av att bevara ett öppet internet (13).

| 20. | I direktivet om samhällsomfattande tjänster (14) finns mer konkreta skyldigheter. I artiklarna 20 och 21 fastställs krav på öppenhet i fråga om begränsningar av tillgång till och/eller användning av tjänster och tillämpningar. Dessutom ställs krav på nivån för minimitjänstekvalitet. |
| --- | --- |

20.

I direktivet om samhällsomfattande tjänster (14) finns mer konkreta skyldigheter. I artiklarna 20 och 21 fastställs krav på öppenhet i fråga om begränsningar av tillgång till och/eller användning av tjänster och tillämpningar. Dessutom ställs krav på nivån för minimitjänstekvalitet.

| 21. | När internetleverantörernas metoder innebär en kontroll av enskilda personers kommunikation betonas det i skäl 28 i direktivet om ändring av direktivet om samhällsomfattande tjänster och direktivet om integritet och elektronisk kommunikation (15) att sådana begränsningar kan kräva användarnas samtycke i enlighet med direktivet om integritet och elektronisk kommunikation. I skäl 28 erinras alltså om behovet av samtycke i enlighet med artikel 5.1 i direktivet om integritet och elektronisk kommunikation i fråga om alla begränsningar som bygger på övervakning av kommunikation. I avsnitt IV analyseras tillämpningen av artikel 5.1 och den övergripande rättsliga ramen för uppgiftsskydd och integritet närmare. |
| --- | --- |

21.

När internetleverantörernas metoder innebär en kontroll av enskilda personers kommunikation betonas det i skäl 28 i direktivet om ändring av direktivet om samhällsomfattande tjänster och direktivet om integritet och elektronisk kommunikation (15) att sådana begränsningar kan kräva användarnas samtycke i enlighet med direktivet om integritet och elektronisk kommunikation. I skäl 28 erinras alltså om behovet av samtycke i enlighet med artikel 5.1 i direktivet om integritet och elektronisk kommunikation i fråga om alla begränsningar som bygger på övervakning av kommunikation. I avsnitt IV analyseras tillämpningen av artikel 5.1 och den övergripande rättsliga ramen för uppgiftsskydd och integritet närmare.

| 22. | Slutligen ger artikel 22.3 i direktivet om samhällsomfattande tjänster nationella regleringsmyndigheter möjlighet att vid behov fastställa krav på lägsta tjänstekvalitet hos internetleverantörer för att förebygga försämring av tjänster och förhindrad eller långsam trafik i offentliga nät. |
| --- | --- |

22.

Slutligen ger artikel 22.3 i direktivet om samhällsomfattande tjänster nationella regleringsmyndigheter möjlighet att vid behov fastställa krav på lägsta tjänstekvalitet hos internetleverantörer för att förebygga försämring av tjänster och förhindrad eller långsam trafik i offentliga nät.

| 23. | Detta innebär att det på EU-nivå finns en stark ambition att bevara ett öppet internet (se artikel 8.4 i ramdirektivet). Detta politiska mål, som gäller för nätet i sin helhet, är dock inte direkt kopplat till förbud eller skyldigheter för enskilda internetleverantörer. En internetleverantör kan med andra ord bedriva en trafikstyrningspolitik som kan utesluta tillgång till vissa tillämpningar, förutsatt att slutanvändarna är fullständigt informerade och har gett sitt frivilliga samtycke, särskilt och otvetydigt. |
| --- | --- |

23.

Detta innebär att det på EU-nivå finns en stark ambition att bevara ett öppet internet (se artikel 8.4 i ramdirektivet). Detta politiska mål, som gäller för nätet i sin helhet, är dock inte direkt kopplat till förbud eller skyldigheter för enskilda internetleverantörer. En internetleverantör kan med andra ord bedriva en trafikstyrningspolitik som kan utesluta tillgång till vissa tillämpningar, förutsatt att slutanvändarna är fullständigt informerade och har gett sitt frivilliga samtycke, särskilt och otvetydigt.

| 24. | Läget kan variera mellan de olika medlemsstaterna. I vissa medlemsstater kan internetleverantörer under vissa omständigheter använda trafikstyrningspolitik för att t.ex. blockera tillämpningar som IP-telefoni (som del av ett billigare internetabonnemang), förutsatt att enskilda personer har givit sitt frivilliga, särskilda och otvetydiga informerade samtycke till detta. Andra medlemsstater har valt att stärka principen om nätneutralitet. I juli 2011 antog t.ex. det nederländska parlamentet en lag om ett generellt förbud för leverantörer mot att hindra eller sänka hastigheten för tillämpningar eller tjänster på internet (t.ex. IP-telefoni), så länge det inte krävs för att minimera effekterna av överbelastning, av integritets- eller säkerhetsskäl, för att bekämpa skräppost eller enligt ett domstolsbeslut (16). |
| --- | --- |

24.

Läget kan variera mellan de olika medlemsstaterna. I vissa medlemsstater kan internetleverantörer under vissa omständigheter använda trafikstyrningspolitik för att t.ex. blockera tillämpningar som IP-telefoni (som del av ett billigare internetabonnemang), förutsatt att enskilda personer har givit sitt frivilliga, särskilda och otvetydiga informerade samtycke till detta. Andra medlemsstater har valt att stärka principen om nätneutralitet. I juli 2011 antog t.ex. det nederländska parlamentet en lag om ett generellt förbud för leverantörer mot att hindra eller sänka hastigheten för tillämpningar eller tjänster på internet (t.ex. IP-telefoni), så länge det inte krävs för att minimera effekterna av överbelastning, av integritets- eller säkerhetsskäl, för att bekämpa skräppost eller enligt ett domstolsbeslut (16).

III.2   Meddelandet om nätneutralitet

| 25. | I sitt meddelande om nätneutralitet (17) konstaterade Europeiska kommissionen att situationen i fråga om nätneutralitet behöver övervakas och analyseras mer ingående. Denna politik handlar om att ”vänta och se” innan nya regleringsåtgärder övervägs. |
| --- | --- |

25.

I sitt meddelande om nätneutralitet (17) konstaterade Europeiska kommissionen att situationen i fråga om nätneutralitet behöver övervakas och analyseras mer ingående. Denna politik handlar om att ”vänta och se” innan nya regleringsåtgärder övervägs.

| 26. | I kommissionens meddelande anges att alla åtgärder och nya regleringar ska föregås av en djupgående bedömning av aspekterna för uppgiftsskydd och integritet. Även i utkastet till rådets slutsatser noteras de uppgiftsskydds- och integritetsfrågor som berörs (18). |
| --- | --- |

26.

I kommissionens meddelande anges att alla åtgärder och nya regleringar ska föregås av en djupgående bedömning av aspekterna för uppgiftsskydd och integritet. Även i utkastet till rådets slutsatser noteras de uppgiftsskydds- och integritetsfrågor som berörs (18).

| 27. | Den fråga som ska bedömas ur uppgiftsskydds- och integritetsperspektiv är huruvida ”vänta och se”-politiken är tillräcklig. Regelverket för uppgiftsskydd och integritet innehåller visserligen i dagsläget vissa skyddsmekanismer, särskilt genom principen om konfidentialitet vid kommunikation, men det verkar vara nödvändigt med en noggrann övervakning av efterlevnaden och att utfärda riktlinjer för flera aspekter som inte är särskilt tydliga. Dessutom bör det sägas något om hur regelverket kan förtydligas och förbättras ytterligare mot bakgrund av den tekniska utvecklingen. Om övervakningen visar att marknaden utvecklas mot massiv kontroll av kommunikationer i realtid och att det finns problem med efterlevnaden av regelverket, kommer det att krävas lagstiftningsåtgärder. Konkreta förslag i det avseendet kommer att lämnas i avsnitt VI. |
| --- | --- |

27.

Den fråga som ska bedömas ur uppgiftsskydds- och integritetsperspektiv är huruvida ”vänta och se”-politiken är tillräcklig. Regelverket för uppgiftsskydd och integritet innehåller visserligen i dagsläget vissa skyddsmekanismer, särskilt genom principen om konfidentialitet vid kommunikation, men det verkar vara nödvändigt med en noggrann övervakning av efterlevnaden och att utfärda riktlinjer för flera aspekter som inte är särskilt tydliga. Dessutom bör det sägas något om hur regelverket kan förtydligas och förbättras ytterligare mot bakgrund av den tekniska utvecklingen. Om övervakningen visar att marknaden utvecklas mot massiv kontroll av kommunikationer i realtid och att det finns problem med efterlevnaden av regelverket, kommer det att krävas lagstiftningsåtgärder. Konkreta förslag i det avseendet kommer att lämnas i avsnitt VI.

IV.   TEKNISK BAKGRUND OCH KONSEKVENSER FÖR INTEGRITETS- OCH UPPGIFTSSKYDD

| 28. | Innan vi går djupare in i frågan är det viktigt att få en bättre överblick över de kontrolltekniker som internetleverantörer kan använda i sin trafikstyrning och hur detta kan påverka principen om nätneutralitet. Konsekvenserna för integritets- och uppgiftsskyddet av dessa tekniker varierar kraftigt beroende på vilken eller vilka tekniker som används. Denna tekniska bakgrund är nödvändig för att förstå hur det regelverk för uppgiftsskydd som beskrivs i avsnitt V ska tillämpas på korrekt sätt. Det bör dock påpekas att detta område är mycket komplext och ständigt förändras. Den följande beskrivningen är alltså inte avsedd att vara uttömmande och fullständigt aktuell utan endast att ge den tekniska information som krävs för att man ska förstå det rättsliga resonemanget. |
| --- | --- |

28.

Innan vi går djupare in i frågan är det viktigt att få en bättre överblick över de kontrolltekniker som internetleverantörer kan använda i sin trafikstyrning och hur detta kan påverka principen om nätneutralitet. Konsekvenserna för integritets- och uppgiftsskyddet av dessa tekniker varierar kraftigt beroende på vilken eller vilka tekniker som används. Denna tekniska bakgrund är nödvändig för att förstå hur det regelverk för uppgiftsskydd som beskrivs i avsnitt V ska tillämpas på korrekt sätt. Det bör dock påpekas att detta område är mycket komplext och ständigt förändras. Den följande beskrivningen är alltså inte avsedd att vara uttömmande och fullständigt aktuell utan endast att ge den tekniska information som krävs för att man ska förstå det rättsliga resonemanget.

IV.1   Överföring av information via internet: grunderna

| 29. | När en användare kommunicerar via internet delas den överförda informationen upp i paket. Dessa paket skickas genom internet från avsändaren till mottagaren. Varje paket innehåller bl.a. information om källan och om destinationen. Dessutom kan internetleverantören lägga in dessa paket i ytterligare lager och protokoll (19) för att styra de olika trafikflödena i internetleverantörens nät. |
| --- | --- |

29.

När en användare kommunicerar via internet delas den överförda informationen upp i paket. Dessa paket skickas genom internet från avsändaren till mottagaren. Varje paket innehåller bl.a. information om källan och om destinationen. Dessutom kan internetleverantören lägga in dessa paket i ytterligare lager och protokoll (19) för att styra de olika trafikflödena i internetleverantörens nät.

| 30. | För att gå tillbaka till analogin med vanliga brev så motsvarar användningen av ett nätöverföringsprotokoll att lägga innehållet i ett brev i ett kuvert med en mottagaradress som ska läsas av en posttjänst och sedan levereras av posttjänsten. Posttjänsten får använda ytterligare protokoll i sin interna hantering för att styra alla kuvert som ska överföras för att se till att varje kuvert kommer fram till den mottagare som sändaren ursprungligen angav. Enligt samma analogi har varje paket två delar: Först IP-nyttolasten som omfattar innehållet i kommunikationen och som motsvarar själva brevet. Den innehåller information som enbart är avsedd för mottagaren. Paketets andra del utgörs av IP-filetiketten som bl.a. innehåller mottagarens och sändarens adresser. Denna del motsvarar själva kuvertet. IP-filetiketten gör det möjligt för internetleverantörer och andra mellanhänder att dirigera nyttolasten från källadressen till destinationsadressen. |
| --- | --- |

30.

För att gå tillbaka till analogin med vanliga brev så motsvarar användningen av ett nätöverföringsprotokoll att lägga innehållet i ett brev i ett kuvert med en mottagaradress som ska läsas av en posttjänst och sedan levereras av posttjänsten. Posttjänsten får använda ytterligare protokoll i sin interna hantering för att styra alla kuvert som ska överföras för att se till att varje kuvert kommer fram till den mottagare som sändaren ursprungligen angav. Enligt samma analogi har varje paket två delar: Först IP-nyttolasten som omfattar innehållet i kommunikationen och som motsvarar själva brevet. Den innehåller information som enbart är avsedd för mottagaren. Paketets andra del utgörs av IP-filetiketten som bl.a. innehåller mottagarens och sändarens adresser. Denna del motsvarar själva kuvertet. IP-filetiketten gör det möjligt för internetleverantörer och andra mellanhänder att dirigera nyttolasten från källadressen till destinationsadressen.

| 31. | Internetleverantörer och andra mellanhänder ser till att IP-paket flyttas i nätet genom noder som läser informationen på IP-filetiketten, kontrollerar den gentemot routertabeller och sedan skickar dem vidare till nästa nod på väg mot destinationen. Denna process sker i nätet med hjälp av en minneslös strategi för ”best effort”, eftersom alla paket som kommer till en nod behandlas neutralt. När de har skickats vidare till nästa nod finns inget behov av att lagra ytterligare information i routern (20). |
| --- | --- |

31.

Internetleverantörer och andra mellanhänder ser till att IP-paket flyttas i nätet genom noder som läser informationen på IP-filetiketten, kontrollerar den gentemot routertabeller och sedan skickar dem vidare till nästa nod på väg mot destinationen. Denna process sker i nätet med hjälp av en minneslös strategi för ”best effort”, eftersom alla paket som kommer till en nod behandlas neutralt. När de har skickats vidare till nästa nod finns inget behov av att lagra ytterligare information i routern (20).

IV.2   Kontrolltekniker

| 32. | Som visas ovan läser internetleverantörer IP-filetiketter för att dirigera paketen till sin destination. Men som också framgår ovan kan trafikanalysen (av IP-filetiketter och IP-nyttolaster) göras för andra syften och med andra typer av teknik. Nya trender kan t.ex. handla om att göra trafiken långsammare för vissa tillämpningar som användarna använder, t.ex. fildelning, eller höja hastigheten för vissa tjänster som beställvideo för premiumabonnenter. Rent tekniskt innebär alla kontrolltekniker en kontroll av paketen, men de innebär olika grad av intrång i integriteten. Det finns två huvudsakliga kategorier av kontrolltekniker. Den ena bygger enbart på IP-filetiketten, den andra omfattar även IP-nyttolasten.

  Baserad på informationen i IP-filetiketten. Kontrollen av en IP-filetikett på ett paket visar vissa fält som kan göra det möjligt för internetleverantören att tillämpa ett antal särskilda policyer för att styra trafiken. Dessa tekniker som enbart baseras på IP-filetiketter innebär att uppgifter som i princip är avsedda för routerinformation behandlas i ett annat syfte (t.ex. för att differentiera trafiken). Genom att titta på källans IP-adress kan internetleverantören koppla den till en konkret abonnent och tillämpa en viss politik, t.ex. dirigera paketet genom en snabbare eller långsammare länk. Genom att titta på IP-adressen för destinationen kan internetleverantören också tillämpa en viss politik och t.ex. blockera eller filtrera tillgång till vissa webbplatser.

  Baserad på en djupare kontroll. Med deep packet inspection kan internetleverantören komma åt information som är avsedd enbart för mottagaren av kommunikationen. Om vi går tillbaka till exemplet med vanliga brev skulle detta vara detsamma som att öppna kuvertet och läsa brevet inuti för att analysera innehållet i kommunikationen (det som finns inuti IP-paketen) för att tillämpa en särskild nätpolitik. Det finns olika sätt att göra denna kontroll och vart och ett av dem innebär olika hot mot den registrerade.






  — | Deep packet inspection baserad på analys av protokoll och statistikuppgifter. Utöver IP-protokollet som ska göra det möjligt att överföra uppgifterna genom internet, finns det andra protokoll som kodar den överförda informationen på ett överenskommet sätt (transport, session, presentation och tillämpning osv.). Målet för dessa protokoll är att se till att de parter som deltar i kommunikationen kan förstå varandra. Det finns t.ex. vissa protokoll som hör ihop med webbläsning (21), andra är avsedda för filöverföring (22) osv. Kontrolltekniker som är baserade på kontroll av protokoll och kombineras med statistisk analys syftar alltså till att leta efter särskilda mönster eller fingeravtryck som avgör vilka protokoll som används (23). Med dessa kontrolltekniker kan internetleverantörerna förstå vilken typ av kommunikation det är fråga om (e-post, webbläsning, uppladdning av filer) och i vissa fall identifiera den specifika tjänst eller tillämpning som används, vilket t.ex. är fallet för vissa former av IP-telefoni där de protokoll som används är mycket specifika för en viss försäljare eller tjänsteleverantör. Kännedomen om kommunikationstypen kan i sig göra det möjligt för internetleverantörer att tillämpa konkret trafikstyrningspolitik och t.ex. blockera webbtrafik. Det kan också vara första steget mot att låta internetleverantören göra ytterligare analyser som kan kräva fullständig tillgång till kommunikationens metadata och innehåll. |
| --- | --- | --- |

32.

Som visas ovan läser internetleverantörer IP-filetiketter för att dirigera paketen till sin destination. Men som också framgår ovan kan trafikanalysen (av IP-filetiketter och IP-nyttolaster) göras för andra syften och med andra typer av teknik. Nya trender kan t.ex. handla om att göra trafiken långsammare för vissa tillämpningar som användarna använder, t.ex. fildelning, eller höja hastigheten för vissa tjänster som beställvideo för premiumabonnenter. Rent tekniskt innebär alla kontrolltekniker en kontroll av paketen, men de innebär olika grad av intrång i integriteten. Det finns två huvudsakliga kategorier av kontrolltekniker. Den ena bygger enbart på IP-filetiketten, den andra omfattar även IP-nyttolasten.

Baserad på informationen i IP-filetiketten. Kontrollen av en IP-filetikett på ett paket visar vissa fält som kan göra det möjligt för internetleverantören att tillämpa ett antal särskilda policyer för att styra trafiken. Dessa tekniker som enbart baseras på IP-filetiketter innebär att uppgifter som i princip är avsedda för routerinformation behandlas i ett annat syfte (t.ex. för att differentiera trafiken). Genom att titta på källans IP-adress kan internetleverantören koppla den till en konkret abonnent och tillämpa en viss politik, t.ex. dirigera paketet genom en snabbare eller långsammare länk. Genom att titta på IP-adressen för destinationen kan internetleverantören också tillämpa en viss politik och t.ex. blockera eller filtrera tillgång till vissa webbplatser.

Baserad på en djupare kontroll. Med deep packet inspection kan internetleverantören komma åt information som är avsedd enbart för mottagaren av kommunikationen. Om vi går tillbaka till exemplet med vanliga brev skulle detta vara detsamma som att öppna kuvertet och läsa brevet inuti för att analysera innehållet i kommunikationen (det som finns inuti IP-paketen) för att tillämpa en särskild nätpolitik. Det finns olika sätt att göra denna kontroll och vart och ett av dem innebär olika hot mot den registrerade.

—

Deep packet inspection baserad på analys av protokoll och statistikuppgifter. Utöver IP-protokollet som ska göra det möjligt att överföra uppgifterna genom internet, finns det andra protokoll som kodar den överförda informationen på ett överenskommet sätt (transport, session, presentation och tillämpning osv.). Målet för dessa protokoll är att se till att de parter som deltar i kommunikationen kan förstå varandra. Det finns t.ex. vissa protokoll som hör ihop med webbläsning (21), andra är avsedda för filöverföring (22) osv. Kontrolltekniker som är baserade på kontroll av protokoll och kombineras med statistisk analys syftar alltså till att leta efter särskilda mönster eller fingeravtryck som avgör vilka protokoll som används (23). Med dessa kontrolltekniker kan internetleverantörerna förstå vilken typ av kommunikation det är fråga om (e-post, webbläsning, uppladdning av filer) och i vissa fall identifiera den specifika tjänst eller tillämpning som används, vilket t.ex. är fallet för vissa former av IP-telefoni där de protokoll som används är mycket specifika för en viss försäljare eller tjänsteleverantör. Kännedomen om kommunikationstypen kan i sig göra det möjligt för internetleverantörer att tillämpa konkret trafikstyrningspolitik och t.ex. blockera webbtrafik. Det kan också vara första steget mot att låta internetleverantören göra ytterligare analyser som kan kräva fullständig tillgång till kommunikationens metadata och innehåll.

| — | Deep packet inspection baserad på analys av innehållet i kommunikationen. Slutligen går det också att kontrollera metadata (24) och innehåll i själva kommunikationen. Med denna teknik avlyssnas alla IP-paket som ingår i det ursprungliga kommunikationsflödet så att kommunikationens ursprungliga innehåll kan rekonstrueras och analyseras i sin helhet. För att exempelvis upptäcka skadligt eller olagligt innehåll som virus, barnpornografi osv. måste man rekonstruera innehållet i sig så att det går att analysera. Ibland är kommunikationen genomgående krypterad av de berörda parterna och denna metod kommer att hindra internetleverantörerna från att analysera kommunikationens innehåll. |
| --- | --- |

—

Deep packet inspection baserad på analys av innehållet i kommunikationen. Slutligen går det också att kontrollera metadata (24) och innehåll i själva kommunikationen. Med denna teknik avlyssnas alla IP-paket som ingår i det ursprungliga kommunikationsflödet så att kommunikationens ursprungliga innehåll kan rekonstrueras och analyseras i sin helhet. För att exempelvis upptäcka skadligt eller olagligt innehåll som virus, barnpornografi osv. måste man rekonstruera innehållet i sig så att det går att analysera. Ibland är kommunikationen genomgående krypterad av de berörda parterna och denna metod kommer att hindra internetleverantörerna från att analysera kommunikationens innehåll.

IV.3   Konsekvenser för integritets- och uppgiftsskydd

| 33. | Kontrolltekniker som baseras på IP-filetiketter och i synnerhet dem som baseras på paketkontroll omfattar övervakning och filtrering av dessa uppgifter och har allvarliga konsekvenser i fråga om integritets- och uppgiftsskydd. De kan också stå i konflikt med rätten till konfidentialitet vid kommunikation. |
| --- | --- |

33.

Kontrolltekniker som baseras på IP-filetiketter och i synnerhet dem som baseras på paketkontroll omfattar övervakning och filtrering av dessa uppgifter och har allvarliga konsekvenser i fråga om integritets- och uppgiftsskydd. De kan också stå i konflikt med rätten till konfidentialitet vid kommunikation.

| 34. | Att titta närmare på enskilda personers kommunikationer innebär i sig allvarliga konsekvenser för integritets- och uppgiftsskyddet. Ändå är problemet större än så, eftersom konsekvenserna för integriteten kan bli ännu större, beroende på vilka syften som finns med övervakningen och avlyssningen. Det är inte samma sak att enbart kontrollera kommunikation för att exempelvis se till att systemet fungerar bra som att kontrollera kommunikation i syfte att tillämpa en politik som påverkar enskilda personer. När trafik- och urvalspolitik enbart syftar till att undvika överbelastningar på nätet medför detta oftast inte några större konsekvenser för enskilda personers integritet. Men trafikstyrningspolitiken kan syfta till att blockera viss information om innehåll eller påverka kommunikationen genom t.ex. beteendestyrd reklam. I dessa fall innebär effekterna ett större intrång. Farhågorna blir ännu större om man inser att den här typen av information skulle samlas in, inte bara för en liten grupp av enskilda personer utan på generell basis för alla kunder till internetleverantören (25). Om alla internetleverantörer börjar använda filtreringstekniker skulle detta kunna leda till en allmän övervakning av internetanvändningen. Om man dessutom ser på vilken typ av uppgifter som behandlas finns det uppenbart stora risker för integriteten, eftersom en stor del av de uppgifter som samlas in sannolikt är mycket känsliga och efter insamlingen finns tillgängliga för internetleverantörer och för dem som vill hämta information ur dem. Uppgifterna kan dessutom vara mycket värdefulla ur kommersiell synvinkel. Detta innebär i sig stor risk för en funktionsglidning där de ursprungliga syftena lätt kan utvecklas till kommersiell eller annan användning av de insamlade uppgifterna. |
| --- | --- |

34.

Att titta närmare på enskilda personers kommunikationer innebär i sig allvarliga konsekvenser för integritets- och uppgiftsskyddet. Ändå är problemet större än så, eftersom konsekvenserna för integriteten kan bli ännu större, beroende på vilka syften som finns med övervakningen och avlyssningen. Det är inte samma sak att enbart kontrollera kommunikation för att exempelvis se till att systemet fungerar bra som att kontrollera kommunikation i syfte att tillämpa en politik som påverkar enskilda personer. När trafik- och urvalspolitik enbart syftar till att undvika överbelastningar på nätet medför detta oftast inte några större konsekvenser för enskilda personers integritet. Men trafikstyrningspolitiken kan syfta till att blockera viss information om innehåll eller påverka kommunikationen genom t.ex. beteendestyrd reklam. I dessa fall innebär effekterna ett större intrång. Farhågorna blir ännu större om man inser att den här typen av information skulle samlas in, inte bara för en liten grupp av enskilda personer utan på generell basis för alla kunder till internetleverantören (25). Om alla internetleverantörer börjar använda filtreringstekniker skulle detta kunna leda till en allmän övervakning av internetanvändningen. Om man dessutom ser på vilken typ av uppgifter som behandlas finns det uppenbart stora risker för integriteten, eftersom en stor del av de uppgifter som samlas in sannolikt är mycket känsliga och efter insamlingen finns tillgängliga för internetleverantörer och för dem som vill hämta information ur dem. Uppgifterna kan dessutom vara mycket värdefulla ur kommersiell synvinkel. Detta innebär i sig stor risk för en funktionsglidning där de ursprungliga syftena lätt kan utvecklas till kommersiell eller annan användning av de insamlade uppgifterna.

| 35. | En korrekt tillämpning av tekniker för övervakning, kontroll och filtrering måste ske i enlighet med gällande mekanismer för integritets- uppgiftsskydd där det fastställs gränser för vad som får göras och under vilka omständigheter. Nedan följer en översikt över gällande skyddsmekanismer enligt EU:s nuvarande rättslig ram för uppgiftsskydd och integritet. |
| --- | --- |

35.

En korrekt tillämpning av tekniker för övervakning, kontroll och filtrering måste ske i enlighet med gällande mekanismer för integritets- uppgiftsskydd där det fastställs gränser för vad som får göras och under vilka omständigheter. Nedan följer en översikt över gällande skyddsmekanismer enligt EU:s nuvarande rättslig ram för uppgiftsskydd och integritet.

V.   TILLÄMPNING AV EU:S RÄTTSLIGA RAM FÖR INTEGRITETS- OCH UPPGIFTSSKYDD

| 36. | EU:s ram för uppgiftsskydd är teknikneutral, dvs. den reglerar inte specifika kontrolltekniker, som dem som beskrivs ovan. Direktivet om integritet och elektronisk kommunikation reglerar integriteten i tillhandahållandet av elektroniska kommunikationstjänster i offentliga nät (som internettillgång och telefoni) (26) och direktivet om uppgiftsskydd reglerar behandling av uppgifter i allmänhet. Sammantaget fastställs i denna rättsliga ram de olika skyldigheter som gäller för internetleverantörer som behandlar och övervakar trafik och kommunikationsuppgifter. |
| --- | --- |

36.

EU:s ram för uppgiftsskydd är teknikneutral, dvs. den reglerar inte specifika kontrolltekniker, som dem som beskrivs ovan. Direktivet om integritet och elektronisk kommunikation reglerar integriteten i tillhandahållandet av elektroniska kommunikationstjänster i offentliga nät (som internettillgång och telefoni) (26) och direktivet om uppgiftsskydd reglerar behandling av uppgifter i allmänhet. Sammantaget fastställs i denna rättsliga ram de olika skyldigheter som gäller för internetleverantörer som behandlar och övervakar trafik och kommunikationsuppgifter.

V.1   Rättslig grund för behandling av trafik- och innehållsuppgifter

| 37. | Enligt lagstiftningen om uppgiftsskydd måste det finnas en tillfredsställande rättslig grund för behandlingen av personuppgifter, som i det här fallet med behandling av trafik- och kommunikationsuppgifter. Utöver detta generella krav kan särskilda krav vara tillämpliga i vissa fall. |
| --- | --- |

37.

Enligt lagstiftningen om uppgiftsskydd måste det finnas en tillfredsställande rättslig grund för behandlingen av personuppgifter, som i det här fallet med behandling av trafik- och kommunikationsuppgifter. Utöver detta generella krav kan särskilda krav vara tillämpliga i vissa fall.

| 38. | I det här fallet består de personuppgifter som behandlas av internetleverantörer av trafikuppgifter och kommunikationens innehåll. Innehållet i kommunikationen och trafikuppgifterna skyddas båda av rätten till brevhemlighet som garanteras genom artikel 8 i Europakonventionen och artiklarna 7 och 8 i stadgan. I artikel 5.1 i direktivet om integritet och elektronisk kommunikation, med rubriken ”Konfidentialitet vid kommunikation” krävs i synnerhet att medlemsstaterna ska säkerställa konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. Samtidigt anges i artikel 5.1 i direktivet om integritet och elektronisk kommunikation att internetleverantörers behandling av trafik- och innehållsuppgifter får tillåtas under vissa omständigheter, med användarnas samtycke. Detta görs genom ett förbud mot ”avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra metoder som innebär att kommunikationen och de därmed förbundna trafikuppgifterna kan fångas upp eller övervakas av andra personer än användarna utan de berörda användarnas samtycke, utom när de har laglig rätt att göra detta i enlighet med artikel 15.1”. Detta utvecklas närmare nedan. |
| --- | --- |

38.

I det här fallet består de personuppgifter som behandlas av internetleverantörer av trafikuppgifter och kommunikationens innehåll. Innehållet i kommunikationen och trafikuppgifterna skyddas båda av rätten till brevhemlighet som garanteras genom artikel 8 i Europakonventionen och artiklarna 7 och 8 i stadgan. I artikel 5.1 i direktivet om integritet och elektronisk kommunikation, med rubriken ”Konfidentialitet vid kommunikation” krävs i synnerhet att medlemsstaterna ska säkerställa konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. Samtidigt anges i artikel 5.1 i direktivet om integritet och elektronisk kommunikation att internetleverantörers behandling av trafik- och innehållsuppgifter får tillåtas under vissa omständigheter, med användarnas samtycke. Detta görs genom ett förbud mot ”avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra metoder som innebär att kommunikationen och de därmed förbundna trafikuppgifterna kan fångas upp eller övervakas av andra personer än användarna utan de berörda användarnas samtycke, utom när de har laglig rätt att göra detta i enlighet med artikel 15.1”. Detta utvecklas närmare nedan.

| 39. | Utöver samtycke från berörda användare föreskrivs i direktivet om integritet och elektronisk kommunikation andra legitima grunder för internetleverantörers behandling av trafik- och kommunikationsuppgifter. De relevanta rättsliga grunderna för behandling är i detta fall i) leverans av tjänsten, ii) skydd av tjänstens säkerhet, och iii) minimering av överbelastning. Andra möjliga legitima grunder för trafikstyrningspolitik baserad på trafik- eller kommunikationsuppgifter diskuteras nedan i punkt iv). |
| --- | --- |

39.

Utöver samtycke från berörda användare föreskrivs i direktivet om integritet och elektronisk kommunikation andra legitima grunder för internetleverantörers behandling av trafik- och kommunikationsuppgifter. De relevanta rättsliga grunderna för behandling är i detta fall i) leverans av tjänsten, ii) skydd av tjänstens säkerhet, och iii) minimering av överbelastning. Andra möjliga legitima grunder för trafikstyrningspolitik baserad på trafik- eller kommunikationsuppgifter diskuteras nedan i punkt iv).

i)   Rättsliga grunder för leverans av tjänsten

| 40. | Som framgår av avsnitt IV behandlar internetleverantörerna informationen i IP-filetiketter i syfte att dirigera varje IP-paket mot dess destination. Enligt artikel 6.1 och 6.2 i direktivet om integritet och elektronisk kommunikation är det tillåtet att behandla trafikuppgifter för att överföra en kommunikation. Internetleverantörer får alltså behandla den information som krävs för att leverera tjänsten. |
| --- | --- |

40.

Som framgår av avsnitt IV behandlar internetleverantörerna informationen i IP-filetiketter i syfte att dirigera varje IP-paket mot dess destination. Enligt artikel 6.1 och 6.2 i direktivet om integritet och elektronisk kommunikation är det tillåtet att behandla trafikuppgifter för att överföra en kommunikation. Internetleverantörer får alltså behandla den information som krävs för att leverera tjänsten.

ii)   Rättslig grund för att skydda tjänstens säkerhet

| 41. | Enligt artikel 4 i direktivet om integritet och elektronisk kommunikation har en internetleverantör en generell skyldighet att vidta lämpliga åtgärder för att skydda säkerheten i sina tjänster. Metoden med att filtrera virus kan omfatta behandling av IP-filetiketter och IP-nyttolaster. Med hänsyn till att internetleverantörer enligt artikel 4 i direktivet om integritet och elektronisk kommunikation ska garantera säkerheten i nätet legitimerar denna bestämmelse kontrolltekniker som är baserade på IP-filetiketter och innehåll och som enbart syftar till detta. I praktiken innebär detta att internetleverantörer inom de gränser som följer av proportionalitetsprincipen (se avsnitt V.3) får övervaka och filtrera kommunikationsuppgifter för att bekämpa virus och rent generellt garantera säkerheten i nätet (27). |
| --- | --- |

41.

Enligt artikel 4 i direktivet om integritet och elektronisk kommunikation har en internetleverantör en generell skyldighet att vidta lämpliga åtgärder för att skydda säkerheten i sina tjänster. Metoden med att filtrera virus kan omfatta behandling av IP-filetiketter och IP-nyttolaster. Med hänsyn till att internetleverantörer enligt artikel 4 i direktivet om integritet och elektronisk kommunikation ska garantera säkerheten i nätet legitimerar denna bestämmelse kontrolltekniker som är baserade på IP-filetiketter och innehåll och som enbart syftar till detta. I praktiken innebär detta att internetleverantörer inom de gränser som följer av proportionalitetsprincipen (se avsnitt V.3) får övervaka och filtrera kommunikationsuppgifter för att bekämpa virus och rent generellt garantera säkerheten i nätet (27).

iii)   Rättslig grund för att minimera effekterna av överbelastning

| 42. | Den logiska grunden för denna rättsliga grund återfinns i skäl 22 i direktivet om integritet och elektronisk kommunikation, där förbudet i artikel 5.1 om lagring av kommunikationer förklaras. Detta förbud innebär inte något förbud mot automatisk, mellanliggande och tillfällig lagring, i den mån lagringen enbart görs för att utföra överföringen och informationen inte lagras längre än vad som är nödvändigt för överföringen och trafikstyrningen och att konfidentialiteten förblir garanterad. |
| --- | --- |

42.

Den logiska grunden för denna rättsliga grund återfinns i skäl 22 i direktivet om integritet och elektronisk kommunikation, där förbudet i artikel 5.1 om lagring av kommunikationer förklaras. Detta förbud innebär inte något förbud mot automatisk, mellanliggande och tillfällig lagring, i den mån lagringen enbart görs för att utföra överföringen och informationen inte lagras längre än vad som är nödvändigt för överföringen och trafikstyrningen och att konfidentialiteten förblir garanterad.

| 43. | Om det finns en överbelastning uppstår frågan om huruvida internetleverantörer slumpvis får sänka hastigheten eller fördröja trafiken eller i stället ska skänka hastigheten för kommunikationer som inte är tidskänsliga, som fildelning eller e-posttrafik och på så sätt göra det möjligt för t.ex. rösttrafik att fungera med acceptabel kvalitet. |
| --- | --- |

43.

Om det finns en överbelastning uppstår frågan om huruvida internetleverantörer slumpvis får sänka hastigheten eller fördröja trafiken eller i stället ska skänka hastigheten för kommunikationer som inte är tidskänsliga, som fildelning eller e-posttrafik och på så sätt göra det möjligt för t.ex. rösttrafik att fungera med acceptabel kvalitet.

| 44. | Med hänsyn till det övergripande samhällsintresset för att garantera ett användbart kommunikationsnät kan internetleverantörer hävda att det är nödvändigt att göra prioriteringar eller strypa trafik för att hantera överbelastningar för att leverera en tillfredsställande tjänst. Detta betyder att det i dessa fall och för detta syfte skulle finnas en generell rättslig grund för att behandla personuppgifter och att det inte skulle behövs något särskilt samtycke från användarna. |
| --- | --- |

44.

Med hänsyn till det övergripande samhällsintresset för att garantera ett användbart kommunikationsnät kan internetleverantörer hävda att det är nödvändigt att göra prioriteringar eller strypa trafik för att hantera överbelastningar för att leverera en tillfredsställande tjänst. Detta betyder att det i dessa fall och för detta syfte skulle finnas en generell rättslig grund för att behandla personuppgifter och att det inte skulle behövs något särskilt samtycke från användarna.

| 45. | Samtidigt är möjligheten att ingripa på detta sätt inte obegränsad. Om internetleverantörer behöver kontrollera kommunikationer måste de ur konfidentialitetssynvinkel och med strikt tillämpning av proportionalitetsprincipen använda den minst ingripande metod som finns tillgänglig för att uppnå ändamålet (undvika deep packet inspection) och de får endast tillämpa den så länge som krävs för att avhjälpa överbelastningen. |
| --- | --- |

45.

Samtidigt är möjligheten att ingripa på detta sätt inte obegränsad. Om internetleverantörer behöver kontrollera kommunikationer måste de ur konfidentialitetssynvinkel och med strikt tillämpning av proportionalitetsprincipen använda den minst ingripande metod som finns tillgänglig för att uppnå ändamålet (undvika deep packet inspection) och de får endast tillämpa den så länge som krävs för att avhjälpa överbelastningen.

iv)   Rättslig grund för behandling av uppgifter för andra ändamål

| 46. | Internetleverantörer kan också vilja kontrollera trafik- och innehållsuppgifter för andra ändamål, t.ex. för att erbjuda målinriktade abonnemang (t.ex. ett abonnemang som begränsar tillgången till fildelning eller ett abonnemang som ökar hastigheten för vissa tillämpningar). Kontroll och ytterligare användning av trafik- och kommunikationsuppgifter för andra syften än att leverera tjänsten eller säkerställa dess säkerhet eller undvika överbelastning är endast tillåten på stränga villkor, i enlighet med den rättsliga ramen. |
| --- | --- |

46.

Internetleverantörer kan också vilja kontrollera trafik- och innehållsuppgifter för andra ändamål, t.ex. för att erbjuda målinriktade abonnemang (t.ex. ett abonnemang som begränsar tillgången till fildelning eller ett abonnemang som ökar hastigheten för vissa tillämpningar). Kontroll och ytterligare användning av trafik- och kommunikationsuppgifter för andra syften än att leverera tjänsten eller säkerställa dess säkerhet eller undvika överbelastning är endast tillåten på stränga villkor, i enlighet med den rättsliga ramen.

| 47. | Den rättsliga ramen utgörs främst av artikel 5.1 i direktivet om integritet och elektronisk kommunikation där det krävs samtycke från de berörda användarna för avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra metoder för att fånga upp eller övervaka kommunikationer och tillhörande trafikuppgifter. I praktiken innebär detta att användare som deltar i en kommunikation måste ge sitt samtycke för att legitimera behandling av trafik- och kommunikationsuppgifter i enlighet med artikel 5.1. |
| --- | --- |

47.

Den rättsliga ramen utgörs främst av artikel 5.1 i direktivet om integritet och elektronisk kommunikation där det krävs samtycke från de berörda användarna för avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra metoder för att fånga upp eller övervaka kommunikationer och tillhörande trafikuppgifter. I praktiken innebär detta att användare som deltar i en kommunikation måste ge sitt samtycke för att legitimera behandling av trafik- och kommunikationsuppgifter i enlighet med artikel 5.1.

| 48. | Som förklaras ovan är tillämpningen av kontroll- och filtreringstekniker antingen baserad antingen på IP-filetiketter, som utgör trafikuppgifter, eller på deep packet inspection som även omfattar IP-nyttolaster och utgör kommunikationsuppgifter. Därför skulle i princip tillämpningen av dessa tekniker för andra ändamål än leverans av tjänsten eller säkerhet vara förbjuden såvida inte det finns en legitim grund för behandlingen, exempelvis samtycke (artikel 5.1). Ett exempel där artikel 5.1 skulle vara tillämplig är när en internetleverantör erbjuder kunder en lägre taxa för internettillgång i utbyte mot att de tar emot beteendestyrd reklam och använder deep packet inspection och därmed kontroll av kommunikationsuppgifter för att göra detta. Därför krävs ett verkligt, särskilt och informerat samtycke enligt artikel 5.1. |
| --- | --- |

48.

Som förklaras ovan är tillämpningen av kontroll- och filtreringstekniker antingen baserad antingen på IP-filetiketter, som utgör trafikuppgifter, eller på deep packet inspection som även omfattar IP-nyttolaster och utgör kommunikationsuppgifter. Därför skulle i princip tillämpningen av dessa tekniker för andra ändamål än leverans av tjänsten eller säkerhet vara förbjuden såvida inte det finns en legitim grund för behandlingen, exempelvis samtycke (artikel 5.1). Ett exempel där artikel 5.1 skulle vara tillämplig är när en internetleverantör erbjuder kunder en lägre taxa för internettillgång i utbyte mot att de tar emot beteendestyrd reklam och använder deep packet inspection och därmed kontroll av kommunikationsuppgifter för att göra detta. Därför krävs ett verkligt, särskilt och informerat samtycke enligt artikel 5.1.

| 49. | Vidare innehåller artikel 6 i direktivet om integritet och elektronisk kommunikation, med rubriken Trafikuppgifter, vissa bestämmelser som särskilt gäller trafikuppgifter. I synnerhet förskrivs att internetleverantörer kan behandla trafikuppgifter på grundval av användarnas samtycke för att tillhandahålla mervärdestjänster (28). I denna bestämmelse fastställs det krav på samtycke som anges i artikel 5.1 i fråga om trafikuppgifter. |
| --- | --- |

49.

Vidare innehåller artikel 6 i direktivet om integritet och elektronisk kommunikation, med rubriken Trafikuppgifter, vissa bestämmelser som särskilt gäller trafikuppgifter. I synnerhet förskrivs att internetleverantörer kan behandla trafikuppgifter på grundval av användarnas samtycke för att tillhandahålla mervärdestjänster (28). I denna bestämmelse fastställs det krav på samtycke som anges i artikel 5.1 i fråga om trafikuppgifter.

| 50. | I praktiken är det inte alltid lätt att t.ex. kontrollera i vilka fall det krävs samtycke och i vilka fall nätets säkerhet kan göra behandlingen legitim, särskilt om kontrolltekniken har ett dubbelt syfte (t.ex. undvika överbelastning och tillhandahålla mervärdestjänster). Det bör understrykas att samtycke inte får betraktas som en enkel och systematisk väg att följa principerna om uppgiftsskydd. |
| --- | --- |

50.

I praktiken är det inte alltid lätt att t.ex. kontrollera i vilka fall det krävs samtycke och i vilka fall nätets säkerhet kan göra behandlingen legitim, särskilt om kontrolltekniken har ett dubbelt syfte (t.ex. undvika överbelastning och tillhandahålla mervärdestjänster). Det bör understrykas att samtycke inte får betraktas som en enkel och systematisk väg att följa principerna om uppgiftsskydd.

| 51. | Det finns liten erfarenhet av tillämpning av regelverket, särskilt när det gäller de olika aspekter som har beskrivits ovan. Detta är ett område där det krävs ytterligare vägledning, vilket utvecklas närmare i avsnitt VI. Dessutom finns det andra relevanta aspekter på samtycke som också måste övervägas. Dessa beskrivs nedan. |
| --- | --- |

51.

Det finns liten erfarenhet av tillämpning av regelverket, särskilt när det gäller de olika aspekter som har beskrivits ovan. Detta är ett område där det krävs ytterligare vägledning, vilket utvecklas närmare i avsnitt VI. Dessutom finns det andra relevanta aspekter på samtycke som också måste övervägas. Dessa beskrivs nedan.

V.2   Frågor om informerat samtycke som rättslig grund

| 52. | Det samtycke som krävs enligt artiklarna 5 och 6 i direktivet om integritet och elektronisk kommunikation har samma innebörd som den registrerades samtycke och beskrivs närmare i direktiv 95/46/EG (29). Enligt artikel 2 h i direktivet om uppgiftsskydd avses med den registrerades samtycke”varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”. Samtyckets roll och kraven för att det ska vara giltigt har nyligen behandlats av artikel 29-arbetsgruppen i dess yttrande nr 15/2011 om samtycke (30). |
| --- | --- |

52.

Det samtycke som krävs enligt artiklarna 5 och 6 i direktivet om integritet och elektronisk kommunikation har samma innebörd som den registrerades samtycke och beskrivs närmare i direktiv 95/46/EG (29). Enligt artikel 2 h i direktivet om uppgiftsskydd avses med den registrerades samtycke”varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”. Samtyckets roll och kraven för att det ska vara giltigt har nyligen behandlats av artikel 29-arbetsgruppen i dess yttrande nr 15/2011 om samtycke (30).

| 53. | Internetleverantörer som kräver samtycke för kontroll och filtrering av trafikuppgifter och innehållsuppgifter måste alltså se till att samtycket är frivilligt och särskilt och det måste ske i form av en fullständigt informerad viljeyttring genom vilken den enskilda personen godtar behandling av personuppgifter som rör honom. Detta bekräftas i skäl 17 i direktivet om integritet och elektronisk kommunikation: ”(...) Samtycke kan ges i varje lämplig form som gör det möjligt att frivilligt lämna särskilda och informerade uppgifter om användarens önskemål, däribland genom markeringar i en ruta vid besök på en webbplats”. Nedan följer några konkreta exempel på vad det innebär att samtycke är frivilligt, särskilt och informerat. |
| --- | --- |

53.

Internetleverantörer som kräver samtycke för kontroll och filtrering av trafikuppgifter och innehållsuppgifter måste alltså se till att samtycket är frivilligt och särskilt och det måste ske i form av en fullständigt informerad viljeyttring genom vilken den enskilda personen godtar behandling av personuppgifter som rör honom. Detta bekräftas i skäl 17 i direktivet om integritet och elektronisk kommunikation: ”(...) Samtycke kan ges i varje lämplig form som gör det möjligt att frivilligt lämna särskilda och informerade uppgifter om användarens önskemål, däribland genom markeringar i en ruta vid besök på en webbplats”. Nedan följer några konkreta exempel på vad det innebär att samtycke är frivilligt, särskilt och informerat.

Samtycke: Frivillig, särskild och informerad viljeyttring

| 54. | Frivilligt samtycke Användare bör inte utsättas för begränsningar som där samtycke knyts till det internetabonnemang de vill teckna. |
| --- | --- |

54.

Frivilligt samtycke Användare bör inte utsättas för begränsningar som där samtycke knyts till det internetabonnemang de vill teckna.

| 55. | Enskilda personers samtycke skulle inte vara frivilligt om de var tvungna att samtycka till övervakning av deras kommunikationsuppgifter för att få tillgång till en kommunikationstjänst. Detta skulle gälla i ännu högre grad om samtliga leverantörer på en viss marknad skulle använda trafikstyrningspolitik för andra syften än nätets säkerhet. Det enda återstående alternativet skulle i så fall vara att inte abonnera på någon internettjänst alls. Eftersom internet har blivit ett nödvändigt verktyg för både arbete och fritid är lösningen att inte abonnera på en internettjänst inte något verkligt alternativ. Resultatet skulle bli att de enskilda personerna inte hade något verkligt val, dvs. de skulle inte kunna ge sitt frivilliga samtycke (31). |
| --- | --- |

55.

Enskilda personers samtycke skulle inte vara frivilligt om de var tvungna att samtycka till övervakning av deras kommunikationsuppgifter för att få tillgång till en kommunikationstjänst. Detta skulle gälla i ännu högre grad om samtliga leverantörer på en viss marknad skulle använda trafikstyrningspolitik för andra syften än nätets säkerhet. Det enda återstående alternativet skulle i så fall vara att inte abonnera på någon internettjänst alls. Eftersom internet har blivit ett nödvändigt verktyg för både arbete och fritid är lösningen att inte abonnera på en internettjänst inte något verkligt alternativ. Resultatet skulle bli att de enskilda personerna inte hade något verkligt val, dvs. de skulle inte kunna ge sitt frivilliga samtycke (31).

| 56. | Datatillsynsmannen anser att det finns ett tydligt behov av att kommissionen och de nationella myndigheterna övervakar marknaden, särskilt för att kontrollera om detta scenario – alltså att leverantörer kopplar telekommunikationstjänster till kommunikationsövervakning – blir standardpraxis. Leverantörer bör erbjuda alternativa tjänster, däribland ett internetabonnemang som inte omfattas av trafikstyrningspolitik, utan högre kostnader för enskilda personer. |
| --- | --- |

56.

Datatillsynsmannen anser att det finns ett tydligt behov av att kommissionen och de nationella myndigheterna övervakar marknaden, särskilt för att kontrollera om detta scenario – alltså att leverantörer kopplar telekommunikationstjänster till kommunikationsövervakning – blir standardpraxis. Leverantörer bör erbjuda alternativa tjänster, däribland ett internetabonnemang som inte omfattas av trafikstyrningspolitik, utan högre kostnader för enskilda personer.

| 57. | Särskilt samtycke. Behovet av att samtycke ska vara särskilt kräver i detta fall att internetleverantörerna begär samtycke till övervakning av trafikuppgifter och kommunikationsuppgifter på ett tydligt och distinkt sätt. Artikel 29-arbetsgruppen anger att ”... för att vara särskilt måste samtycket vara begripligt: uppgiftsbehandlingens omfattning och konsekvenser måste framgå tydligt och exakt. Det får inte gälla en obegränsad uppsättning behandlingsverksamheter. Det sammanhang som samtycket gäller ska med andra ord vara begränsat.” Det är inte sannolikt att särskilt samtycke erhålls om samtycket till kontroll av trafikuppgifter och kommunikationsuppgifter ”buntas ihop” med det övergripande samtycket till att abonnera på tjänsten. Kravet på särskilt samtycke innebär i stället att man använder riktade metoder för att erhålla samtycke, t.ex. genom att användaren får markera en särskild ruta där det tydligt framgår att syftet är övervakning (i stället för att lägga in informationen i de allmänna avtalsvillkoren och begära att avtalet ska undertecknas i befintligt skick). |
| --- | --- |

57.

Särskilt samtycke. Behovet av att samtycke ska vara särskilt kräver i detta fall att internetleverantörerna begär samtycke till övervakning av trafikuppgifter och kommunikationsuppgifter på ett tydligt och distinkt sätt. Artikel 29-arbetsgruppen anger att ”... för att vara särskilt måste samtycket vara begripligt: uppgiftsbehandlingens omfattning och konsekvenser måste framgå tydligt och exakt. Det får inte gälla en obegränsad uppsättning behandlingsverksamheter. Det sammanhang som samtycket gäller ska med andra ord vara begränsat.” Det är inte sannolikt att särskilt samtycke erhålls om samtycket till kontroll av trafikuppgifter och kommunikationsuppgifter ”buntas ihop” med det övergripande samtycket till att abonnera på tjänsten. Kravet på särskilt samtycke innebär i stället att man använder riktade metoder för att erhålla samtycke, t.ex. genom att användaren får markera en särskild ruta där det tydligt framgår att syftet är övervakning (i stället för att lägga in informationen i de allmänna avtalsvillkoren och begära att avtalet ska undertecknas i befintligt skick).

| 58. | Informerat samtycke. För att samtycket ska vara giltigt måste det vara informerat. Behovet av att lämna tillräcklig förhandsinformation följer inte bara av direktiven om integritet och elektronisk kommunikation och om uppgiftsskydd, utan även av artiklarna 20 och 21 i direktivet om samhällsomfattande tjänster, ändrat genom direktiv 2009/136/EG (32). Behovet av information och samtycke bekräftas uttryckligen i skäl 28 i direktiv 2009/136/EG där det anges att ”användare under alla omständigheter [bör] vara fullt informerade om eventuella begränsningar av användningen av elektroniska kommunikationstjänster som införts av tjänstens och/eller nätets leverantör Leverantören bör ha möjlighet att själv specificera informationen så att den anger antingen vilket slags innehåll, tillämpning eller tjänst det är fråga om, eller de individuella tillämpningarna och tjänsterna, eller bådadera”. Därefter anges följande: ”Beroende på den använda tekniken och vilken begränsning som tillämpas kan dessa begränsningar kräva användarnas samtycke i enlighet med direktiv 2002/58/EG”. |
| --- | --- |

58.

Informerat samtycke. För att samtycket ska vara giltigt måste det vara informerat. Behovet av att lämna tillräcklig förhandsinformation följer inte bara av direktiven om integritet och elektronisk kommunikation och om uppgiftsskydd, utan även av artiklarna 20 och 21 i direktivet om samhällsomfattande tjänster, ändrat genom direktiv 2009/136/EG (32). Behovet av information och samtycke bekräftas uttryckligen i skäl 28 i direktiv 2009/136/EG där det anges att ”användare under alla omständigheter [bör] vara fullt informerade om eventuella begränsningar av användningen av elektroniska kommunikationstjänster som införts av tjänstens och/eller nätets leverantör Leverantören bör ha möjlighet att själv specificera informationen så att den anger antingen vilket slags innehåll, tillämpning eller tjänst det är fråga om, eller de individuella tillämpningarna och tjänsterna, eller bådadera”. Därefter anges följande: ”Beroende på den använda tekniken och vilken begränsning som tillämpas kan dessa begränsningar kräva användarnas samtycke i enlighet med direktiv 2002/58/EG”.

| 59. | Med tanke på komplexiteten i dessa övervakningstjänster är frågan om att ge meningsfull förhandsinformation en av de största utmaningarna för att erhålla ett giltigt samtycke. Konsumenterna bör informeras på ett sådant sätt att de förstår vilka uppgifter som behandlas, hur de används och vilka konsekvenser det får för användarupplevelsen och graden av intrång i den personliga integriteten som tekniken innebär. |
| --- | --- |

59.

Med tanke på komplexiteten i dessa övervakningstjänster är frågan om att ge meningsfull förhandsinformation en av de största utmaningarna för att erhålla ett giltigt samtycke. Konsumenterna bör informeras på ett sådant sätt att de förstår vilka uppgifter som behandlas, hur de används och vilka konsekvenser det får för användarupplevelsen och graden av intrång i den personliga integriteten som tekniken innebär.

| 60. | Detta betyder inte bara att informationen i sig måste vara tydlig och begriplig för den genomsnittlige användaren utan också att informationen ska ges direkt till enskilda personer på ett framträdande sätt så att de inte missar den. |
| --- | --- |

60.

Detta betyder inte bara att informationen i sig måste vara tydlig och begriplig för den genomsnittlige användaren utan också att informationen ska ges direkt till enskilda personer på ett framträdande sätt så att de inte missar den.

| 61. | Viljeyttring. Enligt den gällande rättsliga ramen kräver samtycket också att användaren aktivt bekräftar sitt samtycke. Ett underförstått samtycke uppfyller alltså inte kravet. Detta bekräftar också behovet av att använda särskilda metoder för att erhålla samtycke till att internetleverantörer kontrollerar trafikuppgifter och kommunikationsuppgifter i samband med tillämpning av trafikstyrningspolitik. I sitt yttrande om samtycke nyligen betonade artikel 29-arbetsgruppen behovet av att samtycke måste ges för varje enskild del av de olika moment som ingår i uppgiftsbehandlingen. |
| --- | --- |

61.

Viljeyttring. Enligt den gällande rättsliga ramen kräver samtycket också att användaren aktivt bekräftar sitt samtycke. Ett underförstått samtycke uppfyller alltså inte kravet. Detta bekräftar också behovet av att använda särskilda metoder för att erhålla samtycke till att internetleverantörer kontrollerar trafikuppgifter och kommunikationsuppgifter i samband med tillämpning av trafikstyrningspolitik. I sitt yttrande om samtycke nyligen betonade artikel 29-arbetsgruppen behovet av att samtycke måste ges för varje enskild del av de olika moment som ingår i uppgiftsbehandlingen.

| 62. | Man kan hävda att om de parter som deltar i en kommunikation inte vill att internetleverantörer ska avlyssna den för att tillämpa trafikstyrningspolitik kan de alltid kryptera sin kommunikation. Detta kan vara bra rent praktiskt, men det kräver en viss ansträngning och teknisk kunskap och kan inte betraktas som likvärdigt med ett frivilligt, särskilt och informerat samtycke. Användning av krypteringsteknik skapar inte heller fullständig konfidentialitet för kommunikationen eftersom internetleverantören åtminstone kommer att kunna komma åt uppgifterna i IP-filetiketten för att kunna dirigera kommunikationen och också kommer att kunna göra en statistisk analys. |
| --- | --- |

62.

Man kan hävda att om de parter som deltar i en kommunikation inte vill att internetleverantörer ska avlyssna den för att tillämpa trafikstyrningspolitik kan de alltid kryptera sin kommunikation. Detta kan vara bra rent praktiskt, men det kräver en viss ansträngning och teknisk kunskap och kan inte betraktas som likvärdigt med ett frivilligt, särskilt och informerat samtycke. Användning av krypteringsteknik skapar inte heller fullständig konfidentialitet för kommunikationen eftersom internetleverantören åtminstone kommer att kunna komma åt uppgifterna i IP-filetiketten för att kunna dirigera kommunikationen och också kommer att kunna göra en statistisk analys.

| 63. | Enligt artikel 5.1 i direktivet om integritet och elektronisk kommunikation måste de berörda användarna ge sitt samtycke. I många fall är användaren samma person som abonnenten vilket innebär att samtycke kan ges samtidigt som abonnemanget på telekommunikationstjänsten tecknas. I andra fall, t.ex. när mer än en person berörs, måste samtycket inhämtas från var och en av de berörda personerna. Detta kan ge upphov till praktiska problem, vilket beskrivs nedan. |
| --- | --- |

63.

Enligt artikel 5.1 i direktivet om integritet och elektronisk kommunikation måste de berörda användarna ge sitt samtycke. I många fall är användaren samma person som abonnenten vilket innebär att samtycke kan ges samtidigt som abonnemanget på telekommunikationstjänsten tecknas. I andra fall, t.ex. när mer än en person berörs, måste samtycket inhämtas från var och en av de berörda personerna. Detta kan ge upphov till praktiska problem, vilket beskrivs nedan.

Samtycke från alla berörda användare

| 64. | Enligt artikel 5.1 krävs användarnas samtycke för att behandlingen ska vara legitim. Samtycket måste inhämtas från alla användare som deltar i en kommunikation. Den logiska grunden för detta är att en kommunikation oftast omfattar minst två enskilda personer (sändaren och mottagaren). Om en internetleverantör t.ex. läser av IP-nyttolaster för ett e-postmeddelande, kontrollerar de uppgifter som berör både sändaren och mottagaren av meddelandet. |
| --- | --- |

64.

Enligt artikel 5.1 krävs användarnas samtycke för att behandlingen ska vara legitim. Samtycket måste inhämtas från alla användare som deltar i en kommunikation. Den logiska grunden för detta är att en kommunikation oftast omfattar minst två enskilda personer (sändaren och mottagaren). Om en internetleverantör t.ex. läser av IP-nyttolaster för ett e-postmeddelande, kontrollerar de uppgifter som berör både sändaren och mottagaren av meddelandet.

| 65. | När de övervakar och avlyssnar trafik och kommunikation (t.ex. viss webbtrafik) kan det räcka att internetleverantören inhämtar användarens, dvs. abonnentens, samtycke. Anledningen är att den andra parten i kommunikationen, i detta fall en besökt webbplats, inte kan betraktas som en ”berörd användare” (33). Situationen kan dock bli mer komplicerad om övervakning omfattar kontroll av innehållet i e-postmeddelanden och därmed av personlig information om sändaren och mottagaren av meddelandet och de kanske inte båda har ett avtalsmässigt förhållande med samma internetleverantör. I dessa fall skulle internetleverantören i själva verket behandla personuppgifter (namn, e-postadress och eventuellt känsligt innehåll) från personer som inte är kunder. Ur ett praktiskt perspektiv kan det vara svårare att få dessa personers samtycke eftersom detta skulle göras från fall till fall i stället för när personen tecknar abonnemang på telekommunikationstjänsten. Det skulle inte heller vara realistiskt att anta att abonnentens samtycke också lämnas på andra användares vägnar, vilket ofta kan vara fallet för enskilda hushåll. |
| --- | --- |

65.

När de övervakar och avlyssnar trafik och kommunikation (t.ex. viss webbtrafik) kan det räcka att internetleverantören inhämtar användarens, dvs. abonnentens, samtycke. Anledningen är att den andra parten i kommunikationen, i detta fall en besökt webbplats, inte kan betraktas som en ”berörd användare” (33). Situationen kan dock bli mer komplicerad om övervakning omfattar kontroll av innehållet i e-postmeddelanden och därmed av personlig information om sändaren och mottagaren av meddelandet och de kanske inte båda har ett avtalsmässigt förhållande med samma internetleverantör. I dessa fall skulle internetleverantören i själva verket behandla personuppgifter (namn, e-postadress och eventuellt känsligt innehåll) från personer som inte är kunder. Ur ett praktiskt perspektiv kan det vara svårare att få dessa personers samtycke eftersom detta skulle göras från fall till fall i stället för när personen tecknar abonnemang på telekommunikationstjänsten. Det skulle inte heller vara realistiskt att anta att abonnentens samtycke också lämnas på andra användares vägnar, vilket ofta kan vara fallet för enskilda hushåll.

| 66. | I det här sammanhanget anser datatillsynsmannen att internetleverantörerna bör följa befintliga rättsliga krav och tillämpa en politik som inte omfattar övervakning och kontroll av uppgifter. Detta blir ännu mer viktigt när det gäller kommunikationstjänster som omfattar tredje parter som inte kan ge sitt samtycke till övervakningen, särskilt i fråga om skickade och mottagna e-postmeddelanden (detta gäller inte när syftet bygger på säkerhetshänsyn). |
| --- | --- |

66.

I det här sammanhanget anser datatillsynsmannen att internetleverantörerna bör följa befintliga rättsliga krav och tillämpa en politik som inte omfattar övervakning och kontroll av uppgifter. Detta blir ännu mer viktigt när det gäller kommunikationstjänster som omfattar tredje parter som inte kan ge sitt samtycke till övervakningen, särskilt i fråga om skickade och mottagna e-postmeddelanden (detta gäller inte när syftet bygger på säkerhetshänsyn).

| 67. | Samtidigt bör det noteras att nationell lagstiftning för att genomföra artikel 5.1 i direktivet om integritet och elektronisk kommunikation inte alltid är tillfredsställande på denna punkt och att det i allmänhet tycks finnas ett behov av bättre riktlinjer i fråga om kraven i direktivet om integritet och elektronisk kommunikation i detta sammanhang. Därför uppmanar datatillsynsmannen kommissionen att agera mer aktivt i detta avseende och ta ett initiativ som skulle kunna dra nytta av synpunkter från de tillsynsmyndigheter som deltar i artikel 29-arbetsgruppen och från andra intressenter. Vid behov skulle ett fall kunna anmälas till EU-domstolen för att få ett förtydligande av vad artikel 5.1 betyder och innebär. |
| --- | --- |

67.

Samtidigt bör det noteras att nationell lagstiftning för att genomföra artikel 5.1 i direktivet om integritet och elektronisk kommunikation inte alltid är tillfredsställande på denna punkt och att det i allmänhet tycks finnas ett behov av bättre riktlinjer i fråga om kraven i direktivet om integritet och elektronisk kommunikation i detta sammanhang. Därför uppmanar datatillsynsmannen kommissionen att agera mer aktivt i detta avseende och ta ett initiativ som skulle kunna dra nytta av synpunkter från de tillsynsmyndigheter som deltar i artikel 29-arbetsgruppen och från andra intressenter. Vid behov skulle ett fall kunna anmälas till EU-domstolen för att få ett förtydligande av vad artikel 5.1 betyder och innebär.

V.3   Proportionalitet – principen om dataminimering

| 68. | I artikel 6 c i direktivet om uppgiftsskydd föreskrivs proportionalitetsprincipen (34), som ska tillämpas på internetleverantörer eftersom de är registeransvariga i den mening som avses i det direktivet när de utför övervakning och filtrering. |
| --- | --- |

68.

I artikel 6 c i direktivet om uppgiftsskydd föreskrivs proportionalitetsprincipen (34), som ska tillämpas på internetleverantörer eftersom de är registeransvariga i den mening som avses i det direktivet när de utför övervakning och filtrering.

| 69. | Enligt den principen får personuppgifter endast behandlas om de är ”adekvata och relevanta och inte [] omfatta[r] mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas”. Tillämpningen av denna princip innebär att det måste göras en bedömning av om de metoder som används för uppgiftsbehandlingen och de typer av personuppgifter som används är lämpliga och med rimlig sannolikhet bidrar till att målen uppnås. Om man konstaterar att fler uppgifter än nödvändigt samlas in, har principen inte följts. |
| --- | --- |

69.

Enligt den principen får personuppgifter endast behandlas om de är ”adekvata och relevanta och inte [] omfatta[r] mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas”. Tillämpningen av denna princip innebär att det måste göras en bedömning av om de metoder som används för uppgiftsbehandlingen och de typer av personuppgifter som används är lämpliga och med rimlig sannolikhet bidrar till att målen uppnås. Om man konstaterar att fler uppgifter än nödvändigt samlas in, har principen inte följts.

| 70. | Det måste avgöras från fall till fall huruvida kontrolltekniker följer proportionalitetsprincipen eller ej. Det går inte att dra hypotetiska slutsatser. Det går dock att peka på olika konkreta aspekter som bör bedömas när efterlevnaden av proportionalitetsprincipen kontrolleras. |
| --- | --- |

70.

Det måste avgöras från fall till fall huruvida kontrolltekniker följer proportionalitetsprincipen eller ej. Det går inte att dra hypotetiska slutsatser. Det går dock att peka på olika konkreta aspekter som bör bedömas när efterlevnaden av proportionalitetsprincipen kontrolleras.

| 71. | Mängden behandlade uppgifter. Övervakning av internetleverantörernas kunders kommunikation på djupast möjliga nivåer kommer i de flesta fall att vara alltför omfattande och olaglig. Det faktum att övervakningen kan göras med metoder som inte är uppenbara för enskilda personer och att det kan vara svårt för dem att förstå vad som händer förstärker effekterna för deras integritet. Internetleverantörer bör bedöma om det går att använda metoder som innebär mindre intrång för att nå det önskade resultatet. Kan t.ex. övervakning av IP-filetiketter ge det resultat som behövs, i stället för deep packet inspection? Även när deep packet inspection används kan identifiering av enbart vissa protokoll leda fram till den information som krävs. Tillämpningen av mekanismer för att skydda personuppgifter, bl.a. pseudoanonymisering, kan också vara relevant. Resultatet av bedömningen måste bekräfta att uppgiftsbehandlingen är proportionell. |
| --- | --- |

71.

Mängden behandlade uppgifter. Övervakning av internetleverantörernas kunders kommunikation på djupast möjliga nivåer kommer i de flesta fall att vara alltför omfattande och olaglig. Det faktum att övervakningen kan göras med metoder som inte är uppenbara för enskilda personer och att det kan vara svårt för dem att förstå vad som händer förstärker effekterna för deras integritet. Internetleverantörer bör bedöma om det går att använda metoder som innebär mindre intrång för att nå det önskade resultatet. Kan t.ex. övervakning av IP-filetiketter ge det resultat som behövs, i stället för deep packet inspection? Även när deep packet inspection används kan identifiering av enbart vissa protokoll leda fram till den information som krävs. Tillämpningen av mekanismer för att skydda personuppgifter, bl.a. pseudoanonymisering, kan också vara relevant. Resultatet av bedömningen måste bekräfta att uppgiftsbehandlingen är proportionell.

| 72. | Behandlingens effekter (direkt kopplade till ändamålen). Det kan finnas bristande proportionalitet i fall där internetleverantörer använder trafikstyrningspolitik som utesluter tillgång till vissa tjänster utan att i gengäld ge användarna en rimlig andel av fördelen med detta. |
| --- | --- |

72.

Behandlingens effekter (direkt kopplade till ändamålen). Det kan finnas bristande proportionalitet i fall där internetleverantörer använder trafikstyrningspolitik som utesluter tillgång till vissa tjänster utan att i gengäld ge användarna en rimlig andel av fördelen med detta.

| 73. | Det är viktigt att påpeka att proportionalitetsprincipen fortsätter att gälla även när andra obligatoriska rättsliga krav har uppfyllts, t.ex. om en internetleverantör har fått enskilda personers samtycke till innehållsövervakning. Detta betyder att den behandling av uppgifter som görs via innehållsövervakningen fortfarande kan vara olaglig om den strider mot den underliggande grundläggande proportionalitetsprincipen. |
| --- | --- |

73.

Det är viktigt att påpeka att proportionalitetsprincipen fortsätter att gälla även när andra obligatoriska rättsliga krav har uppfyllts, t.ex. om en internetleverantör har fått enskilda personers samtycke till innehållsövervakning. Detta betyder att den behandling av uppgifter som görs via innehållsövervakningen fortfarande kan vara olaglig om den strider mot den underliggande grundläggande proportionalitetsprincipen.

V.4   Säkerheter och organisatoriska åtgärder

| 74. | I artikel 4 i direktivet om integritet och elektronisk kommunikation krävs uttryckligen att internetleverantörer ska vidta tekniska och organisatoriska åtgärder för att säkerställa att i) endast auktoriserad personal, och endast i lagliga syften, får tillgång till personuppgifter, ii) personuppgifter skyddas mot oavsiktlig eller olaglig behandling, och iii) en säkerhetspolitik införs för behandlingen av personuppgifter. Dessutom föreskrivs att nationella behöriga myndigheter ska kunna granska dessa åtgärder. |
| --- | --- |

74.

I artikel 4 i direktivet om integritet och elektronisk kommunikation krävs uttryckligen att internetleverantörer ska vidta tekniska och organisatoriska åtgärder för att säkerställa att i) endast auktoriserad personal, och endast i lagliga syften, får tillgång till personuppgifter, ii) personuppgifter skyddas mot oavsiktlig eller olaglig behandling, och iii) en säkerhetspolitik införs för behandlingen av personuppgifter. Dessutom föreskrivs att nationella behöriga myndigheter ska kunna granska dessa åtgärder.

| 75. | Enligt artikel 4.3 och 4.2 i direktivet om integritet och elektronisk kommunikation är internetleverantörer också skyldiga att anmäla personuppgiftsbrott till de behöriga nationella myndigheterna och till de berörda enskilda personerna om brottet kan inverka menligt på dem. |
| --- | --- |

75.

Enligt artikel 4.3 och 4.2 i direktivet om integritet och elektronisk kommunikation är internetleverantörer också skyldiga att anmäla personuppgiftsbrott till de behöriga nationella myndigheterna och till de berörda enskilda personerna om brottet kan inverka menligt på dem.

| 76. | Behandling av personuppgifter som ingår i kommunikationer i syfte att tillämpa trafikstyrningspolitik kan ge internetleverantörer tillgång till uppgifter som är ännu känsligare än trafikuppgifter. |
| --- | --- |

76.

Behandling av personuppgifter som ingår i kommunikationer i syfte att tillämpa trafikstyrningspolitik kan ge internetleverantörer tillgång till uppgifter som är ännu känsligare än trafikuppgifter.

| 77. | Den säkerhetspolitik som internetleverantörer utvecklar bör därför innehålla särskilda skyddsmekanismer för att se till att de vidtagna åtgärderna är lämpliga för dessa risker. Samtidigt bör de nationella behöriga myndigheter som granskar dessa åtgärder ställa särskilt höga krav. Slutligen bör effektiva anmälningsförfaranden införas för att informera de registrerade vars uppgifter har utsatts för risker och som därför kan påverkas negativt. |
| --- | --- |

77.

Den säkerhetspolitik som internetleverantörer utvecklar bör därför innehålla särskilda skyddsmekanismer för att se till att de vidtagna åtgärderna är lämpliga för dessa risker. Samtidigt bör de nationella behöriga myndigheter som granskar dessa åtgärder ställa särskilt höga krav. Slutligen bör effektiva anmälningsförfaranden införas för att informera de registrerade vars uppgifter har utsatts för risker och som därför kan påverkas negativt.

VI.   FÖRSLAG TILL POLITISKA ÅTGÄRDER OCH LAGSTIFTNINGSÅTGÄRDER

| 78. | Kontrolltekniker som baseras på trafikuppgifter och kontroll av IP-nyttolaster, dvs. innehållet i kommunikationer, kan avslöja användarnas aktivitet på internet: Besökta webbplatser och aktiviteter på dessa platser, användning av fildelningstillämpningar, nedladdade filer, skickade och mottagna e-postmeddelanden, från vem, om vilket ändamål och på vilka villkor osv. Internetleverantörer kan vilja använda dessa uppgifter för att prioritera vissa former av kommunikation, t.ex. beställvideo, framför andra. De kan vilja använda uppgifterna för att upptäcka virus eller skapa profiler för beteendestyrd reklam. Dessa åtgärder inskränker rätten till konfidentialitet vid kommunikation. |
| --- | --- |

78.

Kontrolltekniker som baseras på trafikuppgifter och kontroll av IP-nyttolaster, dvs. innehållet i kommunikationer, kan avslöja användarnas aktivitet på internet: Besökta webbplatser och aktiviteter på dessa platser, användning av fildelningstillämpningar, nedladdade filer, skickade och mottagna e-postmeddelanden, från vem, om vilket ändamål och på vilka villkor osv. Internetleverantörer kan vilja använda dessa uppgifter för att prioritera vissa former av kommunikation, t.ex. beställvideo, framför andra. De kan vilja använda uppgifterna för att upptäcka virus eller skapa profiler för beteendestyrd reklam. Dessa åtgärder inskränker rätten till konfidentialitet vid kommunikation.

| 79. | Effekterna för integriteten förstärks beroende på vilken teknik som används och omständigheterna i det specifika fallet. Ju mer djupgående kontrollen och analysen av de insamlade uppgifterna är, desto större blir konflikten med principen om konfidentialitet vid kommunikation. Syftet med övervakningen och de mekanismer för uppgiftsskydd som har använts är också viktiga för att avgöra graden av intrång i enskilda personers integritet och personuppgifter. Blockering och övervakning för att bekämpa sabotageprogram, med strikta begränsningar för lagring och användning av de uppgifter som kontrolleras, kan inte jämföras med situationer där uppgifter registreras för att skapa individuella profiler till stöd för beteendeinriktad reklam. |
| --- | --- |

79.

Effekterna för integriteten förstärks beroende på vilken teknik som används och omständigheterna i det specifika fallet. Ju mer djupgående kontrollen och analysen av de insamlade uppgifterna är, desto större blir konflikten med principen om konfidentialitet vid kommunikation. Syftet med övervakningen och de mekanismer för uppgiftsskydd som har använts är också viktiga för att avgöra graden av intrång i enskilda personers integritet och personuppgifter. Blockering och övervakning för att bekämpa sabotageprogram, med strikta begränsningar för lagring och användning av de uppgifter som kontrolleras, kan inte jämföras med situationer där uppgifter registreras för att skapa individuella profiler till stöd för beteendeinriktad reklam.

| 80. | I princip anser datatillsynsmannen att EU:s befintliga regelverk för integritetsskydd och uppgiftsskydd skulle vara tillräckligt för att garantera att rätten till konfidentialitet respekteras och att enskilda personers integritet och uppgiftsskydd inte hotas, om det tolkas, tillämpas och verkställs på rätt sätt (35). Internetleverantörer bör endast använda sådana mekanismer om de har tillämpat den rättsliga ramen korrekt. I synnerhet bör internetleverantörerna ta hänsyn till och respektera följande delar i regelverket:






  — | Internetleverantörer kan använda trafikstyrningspolitik i avsikt att garantera säkerhet för tjänsten och leverera tjänsten, inbegripet begränsning av överbelastningar, enligt artiklarna 4 och 6 i direktivet om integritet och elektronisk kommunikation. |
| --- | --- | --- |

80.

I princip anser datatillsynsmannen att EU:s befintliga regelverk för integritetsskydd och uppgiftsskydd skulle vara tillräckligt för att garantera att rätten till konfidentialitet respekteras och att enskilda personers integritet och uppgiftsskydd inte hotas, om det tolkas, tillämpas och verkställs på rätt sätt (35). Internetleverantörer bör endast använda sådana mekanismer om de har tillämpat den rättsliga ramen korrekt. I synnerhet bör internetleverantörerna ta hänsyn till och respektera följande delar i regelverket:

—

Internetleverantörer kan använda trafikstyrningspolitik i avsikt att garantera säkerhet för tjänsten och leverera tjänsten, inbegripet begränsning av överbelastningar, enligt artiklarna 4 och 6 i direktivet om integritet och elektronisk kommunikation.

| — | Internetleverantörerna behöver en annan särskild rättslig grund och eventuellt användarnas samtycke för att använda trafikstyrningspolitik som innebär behandling av trafikuppgifter och/eller kommunikationsuppgifter för andra syften än de ovannämnda. Det krävs t.ex. informerat samtycke från användarna för att övervaka och filtrera enskilda personers kommunikationer i syfte att begränsa (eller tillåta) tillgång till vissa tillämpningar och tjänster som fildelning och IP-telefoni. |
| --- | --- |

—

Internetleverantörerna behöver en annan särskild rättslig grund och eventuellt användarnas samtycke för att använda trafikstyrningspolitik som innebär behandling av trafikuppgifter och/eller kommunikationsuppgifter för andra syften än de ovannämnda. Det krävs t.ex. informerat samtycke från användarna för att övervaka och filtrera enskilda personers kommunikationer i syfte att begränsa (eller tillåta) tillgång till vissa tillämpningar och tjänster som fildelning och IP-telefoni.

| — | Det krävs frivilligt, uttryckligt och informerat samtycke. Samtycket bör ges genom en aktiv viljeyttring. Dessa krav lägger stark tonvikt vid behovet av att intensifiera ansträngningarna för att se till att enskilda personer får ordentlig information på ett sätt som är direkt, begripligt och specifikt, så att de kan bedöma effekterna av metoderna och i slutändan fatta ett informerat beslut. Med tanke på komplexiteten i dessa tekniker är frågan om att ge meningsfull förhandsinformation till användarna en av de största utmaningarna för att erhålla ett giltigt samtycke. Dessutom bör det inte finnas några negativa konsekvenser (där ekonomiska kostnader) för användare som inte ger sitt samtycke till någon övervakning. |
| --- | --- |

—

Det krävs frivilligt, uttryckligt och informerat samtycke. Samtycket bör ges genom en aktiv viljeyttring. Dessa krav lägger stark tonvikt vid behovet av att intensifiera ansträngningarna för att se till att enskilda personer får ordentlig information på ett sätt som är direkt, begripligt och specifikt, så att de kan bedöma effekterna av metoderna och i slutändan fatta ett informerat beslut. Med tanke på komplexiteten i dessa tekniker är frågan om att ge meningsfull förhandsinformation till användarna en av de största utmaningarna för att erhålla ett giltigt samtycke. Dessutom bör det inte finnas några negativa konsekvenser (där ekonomiska kostnader) för användare som inte ger sitt samtycke till någon övervakning.

| — | Proportionalitetsprincipen spelar en avgörande roll när internetleverantörer använder trafikstyrningspolitik, oberoende av den rättsliga grunden för och syftet med behandlingen: Leverera tjänsten, undvika överbelastning eller erbjuda anpassade abonnemang med eller utan tillgång till vissa tjänster och tillämpningar. Principen begränsar internetleverantörernas förmåga att övervaka innehållet i enskilda personers kommunikationer på ett sätt som medför behandling av alltför många uppgifter eller som skapar fördelar enbart för internetleverantören. Vad internetleverantören kan göra rent logistikmässigt beror på graden av intrång som tekniken medför, vilka resultat som eftersträvas (som de kan dra fördel av) och de särskilda mekanismer för integritetsskydd och uppgiftsskydd som tillämpas. Innan internetleverantören börjar använda kontrolltekniker måste denne göra en bedömning av huruvida tekniken uppfyller proportionalitetsprincipen. |
| --- | --- |

—

Proportionalitetsprincipen spelar en avgörande roll när internetleverantörer använder trafikstyrningspolitik, oberoende av den rättsliga grunden för och syftet med behandlingen: Leverera tjänsten, undvika överbelastning eller erbjuda anpassade abonnemang med eller utan tillgång till vissa tjänster och tillämpningar. Principen begränsar internetleverantörernas förmåga att övervaka innehållet i enskilda personers kommunikationer på ett sätt som medför behandling av alltför många uppgifter eller som skapar fördelar enbart för internetleverantören. Vad internetleverantören kan göra rent logistikmässigt beror på graden av intrång som tekniken medför, vilka resultat som eftersträvas (som de kan dra fördel av) och de särskilda mekanismer för integritetsskydd och uppgiftsskydd som tillämpas. Innan internetleverantören börjar använda kontrolltekniker måste denne göra en bedömning av huruvida tekniken uppfyller proportionalitetsprincipen.

| 81. | I dagsläget omfattar den rättsliga ramen relevanta villkor och skyddsmekanismer, men det bör särskilt uppmärksammas huruvida internetleverantören faktiskt uppfyller de rättsliga kraven, om de ger den information till konsumenter som krävs för att fatta meningsfulla beslut och om de respekterar proportionalitetsprincipen. På nationell nivå omfattar de behöriga myndigheterna för detta dels de nationella telekommunikationsmyndigheterna, dels de nationella myndigheterna för skydd av personuppgifter. På EU-nivå berörs bl.a. Organet för europeiska regleringsmyndigheter för elektronisk kommunikation (Berec). Datatillsynsmannen kan också ha betydelse i detta sammanhang. |
| --- | --- |

81.

I dagsläget omfattar den rättsliga ramen relevanta villkor och skyddsmekanismer, men det bör särskilt uppmärksammas huruvida internetleverantören faktiskt uppfyller de rättsliga kraven, om de ger den information till konsumenter som krävs för att fatta meningsfulla beslut och om de respekterar proportionalitetsprincipen. På nationell nivå omfattar de behöriga myndigheterna för detta dels de nationella telekommunikationsmyndigheterna, dels de nationella myndigheterna för skydd av personuppgifter. På EU-nivå berörs bl.a. Organet för europeiska regleringsmyndigheter för elektronisk kommunikation (Berec). Datatillsynsmannen kan också ha betydelse i detta sammanhang.

| 82. | Utöver övervakningen av den nuvarande efterlevnadsnivån behöver vissa aspekter av den ram som har diskuterats i detta yttrande analyseras mer ingående och förklaras ytterligare, med hänsyn till att den förhållandevis nya möjligheten till massiv kontroll av kommunikationer i realtid. Den typ av vägledning som är särskilt relevant inom flera områden handlar bl.a. om följande:






  — | Avgöra vilka kontrollmetoder som är legitima för att garantera ett avbrottsfritt trafikflöde och som kanske inte kräver användarnas samtycke, t.ex. bekämpning av skräppost. Utöver graden av intrång som den använda övervakningen medför är det relevant med aspekter som t.ex. graden av störning av det obrutna trafikflödet som annars skulle uppstå. |
| --- | --- | --- |

82.

Utöver övervakningen av den nuvarande efterlevnadsnivån behöver vissa aspekter av den ram som har diskuterats i detta yttrande analyseras mer ingående och förklaras ytterligare, med hänsyn till att den förhållandevis nya möjligheten till massiv kontroll av kommunikationer i realtid. Den typ av vägledning som är särskilt relevant inom flera områden handlar bl.a. om följande:

—

Avgöra vilka kontrollmetoder som är legitima för att garantera ett avbrottsfritt trafikflöde och som kanske inte kräver användarnas samtycke, t.ex. bekämpning av skräppost. Utöver graden av intrång som den använda övervakningen medför är det relevant med aspekter som t.ex. graden av störning av det obrutna trafikflödet som annars skulle uppstå.

| — | Avgöra vilka kontrollmetoder som kan användas för säkerhetsändamål och som kanske inte kräver användarnas samtycke. |
| --- | --- |

—

Avgöra vilka kontrollmetoder som kan användas för säkerhetsändamål och som kanske inte kräver användarnas samtycke.

| — | Avgöra när övervakning kräver den enskilda personens samtycke, framför allt samtycke från alla berörda användare, och tillåtna tekniska parametrar för att se till att kontrolltekniken inte innebär uppgiftsbehandling som inte står i proportion till ändamålen. |
| --- | --- |

—

Avgöra när övervakning kräver den enskilda personens samtycke, framför allt samtycke från alla berörda användare, och tillåtna tekniska parametrar för att se till att kontrolltekniken inte innebär uppgiftsbehandling som inte står i proportion till ändamålen.

| — | I de tre ovannämnda fallen kan det också behövas vägledning om tillämpningen av de mekanismer för uppgiftsskydd som krävs (begränsning av ändamål, säkerhet osv.). |
| --- | --- |

—

I de tre ovannämnda fallen kan det också behövas vägledning om tillämpningen av de mekanismer för uppgiftsskydd som krävs (begränsning av ändamål, säkerhet osv.).

| 83. | Eftersom behörigheterna inom detta område ligger på både nationell nivå och på EU-nivå anser datatillsynsmannen att det är mycket viktigt att det sker ett utbyte av synpunkter och erfarenheter för att ta fram harmoniserade strategier. Därför föreslår datatillsynsmannen att det ska bildas en plattform eller en expertgrupp med företrädare för nationella regleringsmyndigheter, artikel 29-arbetsgruppen, datatillsynsmannen och Berec. Denna plattforms första mål bör vara att ta fram riktlinjer om åtminstone de frågor som identifieras ovan, för att skapa solida och harmoniserad strategier och lika villkor. Datatillsynsmannen uppmanar kommissionen att organisera detta initiativ. |
| --- | --- |

83.

Eftersom behörigheterna inom detta område ligger på både nationell nivå och på EU-nivå anser datatillsynsmannen att det är mycket viktigt att det sker ett utbyte av synpunkter och erfarenheter för att ta fram harmoniserade strategier. Därför föreslår datatillsynsmannen att det ska bildas en plattform eller en expertgrupp med företrädare för nationella regleringsmyndigheter, artikel 29-arbetsgruppen, datatillsynsmannen och Berec. Denna plattforms första mål bör vara att ta fram riktlinjer om åtminstone de frågor som identifieras ovan, för att skapa solida och harmoniserad strategier och lika villkor. Datatillsynsmannen uppmanar kommissionen att organisera detta initiativ.

| 84. | Sist men inte minst måste både nationella myndigheter och deras EU-motsvarigheter, däribland Berec och kommissionen, noggrant följa utvecklingen på marknaden inom detta område. Ur uppgiftsskydds- och integritetsperspektiv skulle ett scenario där internetleverantörer rutinmässigt använder trafikstyrningspolitik med abonnemang som baseras på filtrering av tillgång till innehåll och tjänster vara mycket problematiskt. Om detta inträffar skulle det behövas lagstiftning för att hantera situationen. |
| --- | --- |

84.

Sist men inte minst måste både nationella myndigheter och deras EU-motsvarigheter, däribland Berec och kommissionen, noggrant följa utvecklingen på marknaden inom detta område. Ur uppgiftsskydds- och integritetsperspektiv skulle ett scenario där internetleverantörer rutinmässigt använder trafikstyrningspolitik med abonnemang som baseras på filtrering av tillgång till innehåll och tjänster vara mycket problematiskt. Om detta inträffar skulle det behövas lagstiftning för att hantera situationen.

VII.   SLUTSATSER

| 85. | Internetleverantörer förlitar sig i allt högre grad på övervaknings- och kontrolltekniker som inskränker nätneutraliteten och konfidentialiteten vid kommunikation. Detta skapar allvarliga problem för skyddet av användarnas integritet och personuppgifterna. |
| --- | --- |

85.

Internetleverantörer förlitar sig i allt högre grad på övervaknings- och kontrolltekniker som inskränker nätneutraliteten och konfidentialiteten vid kommunikation. Detta skapar allvarliga problem för skyddet av användarnas integritet och personuppgifterna.

| 86. | I kommissionens meddelande om ett öppet internet och nätneutralitet i Europa berörs dessa frågor kortfattat, men datatillsynsmannen anser att det bör göras mer för att nå fram en tillfredsställande politik för utvecklingen. Detta yttrande är därför ett inlägg i den pågående politiska diskussionen om nätneutralitet, särskilt om aspekter på uppgiftsskydd och integritet. |
| --- | --- |

86.

I kommissionens meddelande om ett öppet internet och nätneutralitet i Europa berörs dessa frågor kortfattat, men datatillsynsmannen anser att det bör göras mer för att nå fram en tillfredsställande politik för utvecklingen. Detta yttrande är därför ett inlägg i den pågående politiska diskussionen om nätneutralitet, särskilt om aspekter på uppgiftsskydd och integritet.

| 87. | Datatillsynsmannen anser att nationella myndigheter och Berec behöver övervaka situationen på marknaden. Denna övervakning bör leda fram till en tydlig bild av huruvida marknaden går mot massiv kontroll av kommunikationer i realtid och av problem i samband med efterlevnaden av den rättsliga ramen. |
| --- | --- |

87.

Datatillsynsmannen anser att nationella myndigheter och Berec behöver övervaka situationen på marknaden. Denna övervakning bör leda fram till en tydlig bild av huruvida marknaden går mot massiv kontroll av kommunikationer i realtid och av problem i samband med efterlevnaden av den rättsliga ramen.

| 88. | Övervakningen av marknaden bör åtföljas av en mer ingående analys av hur nya metoder påverkar uppgiftsskyddet och integriteten på internet. I detta yttrande beskrivs några områden som skulle behöva förtydligas. EU-organ och organ som Berec, artikel 29-arbetsgruppen och datatillsynsmannen kan vara väl lämpade att förtydliga villkoren för att tillämpa ramen, men datatillsynsmannen anser att kommissionen är skyldig att samordna och leda debatten. Därför uppmanar datatillsynsmannen kommissionen att ta ett initiativ för att ge alla dessa intressenter möjlighet att delta i en plattform eller arbetsgrupp med detta syfte. Bland de frågor som behöver analyseras mer bör följande punkter tas upp:






  — | Avgöra vilka kontrollmetoder som är legitima för att garantera ett trafikflöde utan avbrott och som kan användas för säkerhetsändamål. |
| --- | --- | --- |

88.

Övervakningen av marknaden bör åtföljas av en mer ingående analys av hur nya metoder påverkar uppgiftsskyddet och integriteten på internet. I detta yttrande beskrivs några områden som skulle behöva förtydligas. EU-organ och organ som Berec, artikel 29-arbetsgruppen och datatillsynsmannen kan vara väl lämpade att förtydliga villkoren för att tillämpa ramen, men datatillsynsmannen anser att kommissionen är skyldig att samordna och leda debatten. Därför uppmanar datatillsynsmannen kommissionen att ta ett initiativ för att ge alla dessa intressenter möjlighet att delta i en plattform eller arbetsgrupp med detta syfte. Bland de frågor som behöver analyseras mer bör följande punkter tas upp:

—

Avgöra vilka kontrollmetoder som är legitima för att garantera ett trafikflöde utan avbrott och som kan användas för säkerhetsändamål.

| — | Avgöra när övervakning kräver den enskilda personens samtycke, framför allt samtycke från alla berörda användare, och tillåtna tekniska parametrar för att se till att kontrolltekniken inte innebär uppgiftsbehandling som inte står i proportion till ändamålen. |
| --- | --- |

—

Avgöra när övervakning kräver den enskilda personens samtycke, framför allt samtycke från alla berörda användare, och tillåtna tekniska parametrar för att se till att kontrolltekniken inte innebär uppgiftsbehandling som inte står i proportion till ändamålen.

| — | I de ovannämnda fallen kan det också behövas vägledning om tillämpningen av de mekanismer för uppgiftsskydd som krävs (begränsning av ändamål, säkerhet osv.). |
| --- | --- |

—

I de ovannämnda fallen kan det också behövas vägledning om tillämpningen av de mekanismer för uppgiftsskydd som krävs (begränsning av ändamål, säkerhet osv.).

| 89. | Beroende på resultaten kan det komma att krävas ytterligare lagstiftningsåtgärder. I så fall bör kommissionen föreslå politiska åtgärder för att stärka den rättsliga ramen och garantera rättslig säkerhet. Nya åtgärder bör förtydliga de praktiska konsekvenserna av principen om nätneutralitet, precis som redan har skett i vissa medlemsstater, och se till att användarna har en verklig valmöjlighet, främst genom att tvinga internetleverantörer att erbjuda anslutningar som inte är övervakade. |
| --- | --- |

89.

Beroende på resultaten kan det komma att krävas ytterligare lagstiftningsåtgärder. I så fall bör kommissionen föreslå politiska åtgärder för att stärka den rättsliga ramen och garantera rättslig säkerhet. Nya åtgärder bör förtydliga de praktiska konsekvenserna av principen om nätneutralitet, precis som redan har skett i vissa medlemsstater, och se till att användarna har en verklig valmöjlighet, främst genom att tvinga internetleverantörer att erbjuda anslutningar som inte är övervakade.

Utfärdat i Bryssel den 7 oktober 2011.

Peter HUSTINX

Europeiska datatillsynsmannen

---

(1)  EGT L 281, 23.11.1995, s. 31, dataskyddsdirektivet.

1

(2)  EGT L 8, 12.1.2001, s. 1, dataskyddsförordningen.

2

(3)  EGT L 201, 31.7.2002, s. 37, ändrat genom Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 (se fotnot 15), direktivet om integritet och elektronisk kommunikation.

3

(4)  KOM(2011) 222 slutlig.

4

(5)  Datatillsynsmannen svarade med att framhålla vikten av att ta hänsyn till uppgifts- och integritetsskyddsfrågor tillsammans med andra befintliga rättigheter och värderingar. Svaret finns på http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2010/10-10-06_EC_Consultation_Open_Internet_EN.pdf

5

(6)  Finns på http://register.consilium.europa.eu/pdf/en/11/st14/st14209.en11.pdf

6

(7)  Detta innefattar tillhandahållandet av både fast och mobil tillgång till internet.

7

(8)  Principen gäller dock inte internetleverantörers begränsning av hastighet eller mängd information som en abonnent kan skicka eller ta emot genom abonnemang med begränsningar för volym eller bandbredd. Enligt principen om nätneutralitet skulle internetleverantörer alltså fortfarande kunna erbjuda internetabonnemang med begränsningar utifrån kriterier som hastighet eller volym så länge detta inte innebär diskriminering av något särskilt innehåll.

8

(9)  Se till exempel rapporten från OFCOM Site blocking to reduce online copyright infringement av den 27 maj 2011. Den finns att ladda ned från http://www.culture.gov.uk/images/publications/Ofcom_Site-Blocking-_report_with_redactions_vs2.pdf: ”Vissa internetleverantörer använder redan system för s.k. deep packet inspection eller informationsextraktion i sina nät för trafikstyrning och andra syften, varför vi antar att det går att införa även om det skulle vara mycket komplicerat och medföra stora kostnader för dem som inte redan har sådana tjänster. Det är möjligt att endast de större internetleverantörerna skulle kunna använda informationsextraktion på kort till medellång sikt med tanke på de kapitalinvesteringar som krävs”.

9

Site blocking to reduce online copyright infringement

deep packet inspection

(10)  Kvaliteten i realtidstillämpningar, som direktuppspelning av video beror bl.a. på latenstiden, dvs. fördröjningar på grund av t.ex. överbelastning i nätet.

10

(11)  Detta utesluter operationer som syftar till att öka säkerheten i nätet och upptäcka skadlig trafik och även operationer som krävs för fakturering och samtrafik. Det utesluter även skyldigheter som följer av direktivet om lagring av uppgifter, Europaparlamentets och rådets direktiv 2006/24/EC av den 15 mars 2006 om lagring av uppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv 2002/58/EG, (EUT L 105, 13.4.2006, s. 54).

11

(12)  Direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster, ändrat genom direktiv 2009/140/EG och förordning (EG) nr 544/2009 (EUT L 337, 18.12.2009, s. 37).

12

(13)  Se punkt 3 e där rådet erkänner behovet av att bevara ett öppet internet och samtidigt se till att det kan fortsätta att tillhandahålla tjänster av hög kvalitet inom en ram som främjar och respekterar grundläggande rättigheter som yttrandefrihet och näringsfrihet och punkt 8 d där rådet uppmanar medlemsstaterna att ha som politiskt mål att främja internets öppna och neutrala karaktär.

13

(14)  Direktiv 2002/22/EG, ändrat genom Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 om ändring av direktiv 2002/22/EG om samhällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster, direktiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation och förordning (EG) nr 2006/2004 om samarbete mellan de nationella tillsynsmyndigheter som ansvarar för konsumentskyddslagstiftningen (EUT L 337, 18.12.2009, s. 11). Se även artikel 1.3 där det anges att internetleverantörer i direktivet varken föreskrivs eller förbjuds att begränsa användarnas tillgång till och/eller användning av tillämpningar och tjänster, om dessa villkor är tillåtna enligt nationell lagstiftning och stämmer överens med gemenskapsrätten; däremot införs en skyldighet att lämna information om sådana villkor.

14

(15)  Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 om ändring av direktiv 2002/22/EG om samhällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster, direktiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation och förordning (EG) nr 2006/2004 om samarbete mellan de nationella tillsynsmyndigheter som ansvarar för konsumentskyddslagstiftningen.

15

(16)  Det ursprungliga nederländska ändringsförslaget finns på https://zoek.officielebekendmakingen.nl/kst-32549-A.html. Enligt medierna fanns det i skälen till detta politiska alternativ inte någon hänvisning till överväganden om integritets- och uppgiftsskydd, utan det handlade om att se till att användare inte hindrades att få, eller erbjöds begränsad, tillgång till information. Det verkar alltså som om frågor i samband med tillgång till information låg bakom ändringsförslaget.

16

(17)  Se fotnot 4.

17

(18)  Se punkt 4 e där rådet konstaterar att det finns vissa farhågor, främst hos myndigheter för konsumentskydd och uppgiftsskydd, i fråga skyddet för personuppgifter.

18

(19)  Som beskrivs närmare i avsnitt IV.2 kodar dessa protokoll den överförda informationen genomgående på ett överenskommet sätt så att de parter som deltar i kommunikationen kan förstå varandra – t.ex. HTTP, FTP osv.

19

(20)  Nätutrustningen för internet använder dock routerprotokoll som loggar aktivitet, behandlar trafikstatistik och utbyter information med annan nätutrustning för att dirigera IP-paket till den mest effektiva vägen. Om en länk t.ex. är överbelastad eller bruten och en router tar emot denna information kommer den att uppdatera sin routertabell med ett alternativ som inte använder den länken. Det är också värt att notera den insamling och behandling som i vissa fall görs för faktureringsändamål eller till och med i enlighet med kraven i direktivet om lagring av uppgifter.

20

(21)  HTTP — Hypertext transfer protocol — eller HTML — Hypertext Markup Language.

21

(22)  FTP — File transfer protocol.

22

(23)  Det finns olika metoder för att identifiera vilka protokoll som används. Det går t.ex. att söka i särskilda fält i de inre protokollen för att t.ex. identifiera vilka portar som används för att upprätta kommunikationen. Det går också att göra en statistik karakterisering av ett kommunikationsflöde genom analysen av vissa specifika fält och korrelera protokoll som används samtidigt mellan två IP-adresser.

23

(24)  Varje protokoll har vissa specifika fält i sin filetikett som innehåller ytterligare informell information om den kommunikation som överförs. Innehållet i de fälten kan kallas för kommunikationens metadata. Ett exempel på sådana fält kan vara numret på den port som används. Om det t.ex. är nummer 80 utgörs kommunikationen sannolikt av webbläsning.

24

(25)  Det är förstås inte bara internetleverantörer som har spårningskapacitet. Även annonseringstjänster kan spåra användare på webbplatser med hjälp kakor från tredje part. Se t.ex. en färsk akademisk artikel som visar att Google är närvarande på 97 av de 100 populäraste webbplatserna, vilket innebär att Google kan spåra användare som inte har valt bort kakor från tredje part när de surfar på dessa populära webbplatser. Se Ayenson, Mika, Wambach, Dietrich James, Soltani, Ashkan, Good, Nathan and Hoofnagle, Chris Jay, Flash Cookies and Privacy II: Now with HTML5 and ETag Respawning (29 juli 2011). Finns på http://ssrn.com/abstract=1898390. Spårningen av användare med hjälp av kakor från tredje part har tagits upp av artikel 29-arbetsgruppen. Se yttrande nr 2/2010 om beteendestyrd annonsering online som antogs den 22 juni 2010 (WP 171).

25

(26)  I skäl 10 i direktivet om integritet och elektronisk kommunikation anges följande: ”Direktiv 95/46/EG är tillämpligt på området för elektronisk kommunikation, i synnerhet beträffande alla de frågor avseende skydd av grundläggande fri- och rättigheter som inte särskilt omfattas av bestämmelserna i det här direktivet, inbegripet den registeransvariges skyldigheter och enskilda personers rättigheter”. Även skäl 17 är relevant i fråga om den registrerades samtycke: ”I detta direktiv bör en användares eller abonnents samtycke, oavsett om den senare är en fysisk eller juridisk person, ha samma betydelse som den registrerades samtycke enligt vad som definieras och i övrigt fastställs i direktiv 95/46/EG”.

26

(27)  Artikel 29-arbetsgruppens yttrande nr 2/2006 om skydd av personuppgifter i samband med tillhandahållandet av kontroll av innehållet i e-post, antaget den 21 februari 2006 (WP 118). I detta yttrande anser arbetsgruppen att det kan vara förenligt med artikel 5 i direktivet om integritet och elektronisk kommunikation att använda filter för tillämpningen av artikel 4.

27

(28)  I skäl 18 i direktivet finns en förteckning med exempel på mervärdestjänster. Det är inte klart huruvida tjänster som omfattas av trafikstyrningspolitik kan anses omfattas av den förteckningen. Trafikstyrningspolitik som syftar till att prioritera visst innehåll kan uppfattas som ett tillhandahållande av en kvalitet i tjänsten. Trafikstyrning som exempelvis enbart innebär behandling av IP-filetiketter och vars mål är att erbjuda speltjänster till premiumpris, där användarens personliga speltrafik prioriteras i nätet, kan betraktas som en mervärdestjänst. Å andra sidan är det långt ifrån uppenbart om trafikstyrningspolitik för att strypa vissa typer av trafik, t.ex. försämra fildelningstrafiken, kan betraktas som en sådan.

28

(29)  Se skäl 17 och artikel 2 f i direktivet om integritet och elektronisk kommunikation.

29

(30)  Antaget den 13 juli 2011 (WP 187).

30

(31)  Ett liknande fall är passageraruppgifter där det diskuterades huruvida passagerares samtycke till att bokningsuppgifter överfördes till amerikanska myndigheter var giltigt. Artikel 29-arbetsgruppen ansåg att passagerarnas samtycke inte kunde ges frivilligt eftersom flygbolagen är skyldiga att skicka uppgifterna innan flygets avgång och att passagerarna därför inte har något verkligt val, om de vill flyga – artikel 29-arbetsgruppens yttrande nr 6/2000 om överföring av passagerarlistor och andra uppgifter från flygbolag till Förenta staterna.

31

(32)  Direktiv 2009/136/EG av den 25 november 2009 om ändring av direktiv 2002/22/EG om samhällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster (se fotnot 15).

32

(33)  Oaktat de fall där webbtrafiken omfattar överföring av personlig information som t.ex. bilder på identifierbara fysiska personer som läggs upp på en webbplats. Behandlingen av sådana uppgifter kräver en rättslig grund, men skulle inte omfattas av artikel 5.1 eftersom dessa personer inte skulle vara ”berörda användare”.

33

(34)  Som beskrivs ovan ska direktivet om uppgiftsskydd tillämpas i alla frågor som gäller skyddet av grundläggande fri- och rättigheter och som inte täcks specifikt av direktivet om integritet och elektronisk kommunikation.

34

(35)  Detta påverkar inte behovet av ändringar i lagstiftningen på grundval av andra överväganden, särskilt inom ramen för den allmänna översynen av EU:s rättsliga ram för uppgiftsskydd i syfte att göra den mer effektiv med hänsyn till ny teknik och globalisering.

35

---

| 8.2.2012 | SV | Europeiska unionens officiella tidning | C 34/18 |
| --- | --- | --- | --- |

8.2.2012

SV

Europeiska unionens officiella tidning

C 34/18

---

Yttrande från Europeiska datatillsynsmannen över kommissionens meddelande till Europaparlamentet, rådet, Ekonomiska och sociala kommittén och Regionkommittén om migration

2012/C 34/02

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA YTTRANDE

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), och

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 41 (2).

HÄRIGENOM FRAMFÖRS FÖLJANDE.

I.   INLEDNING

| 1. | Den 4 maj 2011 offentliggjorde kommissionen ett meddelande om migration (3) (nedan kallat meddelandet). Datatillsynsmannen avger detta yttrande på eget initiativ i enlighet med artikel 41 i förordning (EG) nr 45/2001. |
| --- | --- |

1.

Den 4 maj 2011 offentliggjorde kommissionen ett meddelande om migration (3) (nedan kallat meddelandet). Datatillsynsmannen avger detta yttrande på eget initiativ i enlighet med artikel 41 i förordning (EG) nr 45/2001.

| 2. | Datatillsynsmannen rådfrågades inte innan meddelandet antogs. Detta är beklagligt eftersom synpunkter som hade lämnats i ett tidigare skede hade kunnat bidra till att lösa några av de problem som beskrivs i detta yttrande. |
| --- | --- |

2.

Datatillsynsmannen rådfrågades inte innan meddelandet antogs. Detta är beklagligt eftersom synpunkter som hade lämnats i ett tidigare skede hade kunnat bidra till att lösa några av de problem som beskrivs i detta yttrande.

Meddelandets mål och omfattning

| 3. | Syftet med meddelandet är att placera in nyligen framlagda och kommande politiska förslag i ett ramverk som beaktar alla aspekter på migration och att undvika ett ”kortsiktigt förhållningssätt som inskränker sig till gränskontroller utan hänsyn till de långsiktiga frågorna” (4). Meddelandet är främst skrivet som en reaktion på den pågående händelseutvecklingen i Nordafrika, särskilt konflikten i Libyen. |
| --- | --- |

3.

Syftet med meddelandet är att placera in nyligen framlagda och kommande politiska förslag i ett ramverk som beaktar alla aspekter på migration och att undvika ett ”kortsiktigt förhållningssätt som inskränker sig till gränskontroller utan hänsyn till de långsiktiga frågorna” (4). Meddelandet är främst skrivet som en reaktion på den pågående händelseutvecklingen i Nordafrika, särskilt konflikten i Libyen.

| 4. | Meddelandet behandlar humanitärt bistånd, gränsförvaltning, viseringar, asyl och det ekonomiska behovet av invandring och integration. Det hänvisas till ett antal lagstiftningsförslag, varav några är nya och andra redan har lagts fram. Flera förslag berör gränsförvaltning, som är en viktig del i meddelandet. Några av dem skulle innebära storskalig behandling av personuppgifter. |
| --- | --- |

4.

Meddelandet behandlar humanitärt bistånd, gränsförvaltning, viseringar, asyl och det ekonomiska behovet av invandring och integration. Det hänvisas till ett antal lagstiftningsförslag, varav några är nya och andra redan har lagts fram. Flera förslag berör gränsförvaltning, som är en viktig del i meddelandet. Några av dem skulle innebära storskalig behandling av personuppgifter.

| 5. | Detta meddelande är bara det första i en rad av meddelanden och förslag som ska läggas fram inom kort för att vidareutveckla särskilda aspekter som nämns i det föreliggande meddelandet. Europeiska rådet anger i sina slutsatser av den 23–24 juni 2011 (5) att ”insatser kommer också att förstärkas genom att man snabbt går vidare med arbetet med ’smarta gränser’, i syfte att se till att ny teknik utnyttjas för att möta de utmaningar som gränskontroller innebär. I synnerhet bör ett inrese-/utresesystem och ett program för registrering av resenärer införas. Europeiska rådet välkomnar den överenskommelse som nåtts om Byrån för den operativa förvaltningen av stora it-system inom området med frihet, säkerhet och rättvisa”. |
| --- | --- |

5.

Detta meddelande är bara det första i en rad av meddelanden och förslag som ska läggas fram inom kort för att vidareutveckla särskilda aspekter som nämns i det föreliggande meddelandet. Europeiska rådet anger i sina slutsatser av den 23–24 juni 2011 (5) att ”insatser kommer också att förstärkas genom att man snabbt går vidare med arbetet med ’smarta gränser’, i syfte att se till att ny teknik utnyttjas för att möta de utmaningar som gränskontroller innebär. I synnerhet bör ett inrese-/utresesystem och ett program för registrering av resenärer införas. Europeiska rådet välkomnar den överenskommelse som nåtts om Byrån för den operativa förvaltningen av stora it-system inom området med frihet, säkerhet och rättvisa”.

Syfte med datatillsynsmannens yttrande

| 6. | Uppgiftsskyddsfrågor ligger inte i fokus för meddelandet, men det nämns ändå flera initiativ och förslag i fråga om gränsförvaltning, som systemet för registrering av in- och utresor och programmet för registrerade resenärer som kommer att få stor inverkan på den grundläggande rätten till uppgiftsskydd. Det framhålls i meddelandet att gränskontroll ger ett viktigt bidrag till kampen mot brottsligheten och det hänvisas till den strategi för den inre säkerheten som kommissionen lade fram 2010 (6). |
| --- | --- |

6.

Uppgiftsskyddsfrågor ligger inte i fokus för meddelandet, men det nämns ändå flera initiativ och förslag i fråga om gränsförvaltning, som systemet för registrering av in- och utresor och programmet för registrerade resenärer som kommer att få stor inverkan på den grundläggande rätten till uppgiftsskydd. Det framhålls i meddelandet att gränskontroll ger ett viktigt bidrag till kampen mot brottsligheten och det hänvisas till den strategi för den inre säkerheten som kommissionen lade fram 2010 (6).

| 7. | Flera av de förslag och initiativ som nämns kommer att utformas närmare i framtiden och det föreliggande meddelandet ger därför möjlighet att kommentera dessa initiativ i ett tidigt skede. För de initiativ som redan har lagts fram, som förslaget till förordning om ändring av Frontexförordningen (7), är detta ett tillfälle att upprepa några av de viktigaste synpunkter som redan har framförts, i väntan på att rådet och Europaparlamentet ska fatta ett slutligt beslut. |
| --- | --- |

7.

Flera av de förslag och initiativ som nämns kommer att utformas närmare i framtiden och det föreliggande meddelandet ger därför möjlighet att kommentera dessa initiativ i ett tidigt skede. För de initiativ som redan har lagts fram, som förslaget till förordning om ändring av Frontexförordningen (7), är detta ett tillfälle att upprepa några av de viktigaste synpunkter som redan har framförts, i väntan på att rådet och Europaparlamentet ska fatta ett slutligt beslut.

| 8. | Syftet med detta yttrande är inte att analysera samtliga politikområden som omfattas och förslag som tas upp i meddelandet utan att






  — | lyfta fram flera principer och begrepp för uppgiftsskydd, som begränsning av syfte, nödvändighet, proportionalitet och inbyggda skyddsmekanismer för att skydda den personliga integriteten, som bör beaktas när det förhållningssätt som föreslås i meddelandet tillämpas i praktiken, |
| --- | --- | --- |

8.

Syftet med detta yttrande är inte att analysera samtliga politikområden som omfattas och förslag som tas upp i meddelandet utan att

—

lyfta fram flera principer och begrepp för uppgiftsskydd, som begränsning av syfte, nödvändighet, proportionalitet och inbyggda skyddsmekanismer för att skydda den personliga integriteten, som bör beaktas när det förhållningssätt som föreslås i meddelandet tillämpas i praktiken,

| — | diskutera de specifika åtgärder som föreslås i meddelandet ur ett uppgiftsskyddsperspektiv och ge råd redan i detta skede om hur de grundläggande rättigheterna ska kunna skyddas tillfredsställande, i synnerhet skyddet av personuppgifter. |
| --- | --- |

—

diskutera de specifika åtgärder som föreslås i meddelandet ur ett uppgiftsskyddsperspektiv och ge råd redan i detta skede om hur de grundläggande rättigheterna ska kunna skyddas tillfredsställande, i synnerhet skyddet av personuppgifter.

| 9. | Yttrandet är uppdelat i två huvuddelar. Den första delen innehåller synpunkter på det generella förhållningssätt som föreslås i meddelandet och övergripande överväganden om meddelandet, t.ex. behovet av att bedöma och ta hänsyn till grundläggande rättigheter vid utformningen av it-system. Den andra delen innehåller synpunkter på särskilda förslag och initiativ (8). |
| --- | --- |

9.

Yttrandet är uppdelat i två huvuddelar. Den första delen innehåller synpunkter på det generella förhållningssätt som föreslås i meddelandet och övergripande överväganden om meddelandet, t.ex. behovet av att bedöma och ta hänsyn till grundläggande rättigheter vid utformningen av it-system. Den andra delen innehåller synpunkter på särskilda förslag och initiativ (8).

II.   ALLMÄNNA SYNPUNKTER

Förhållningssätt som föreslås i meddelandet

| 10. | Datatillsynsmannen välkomnar meddelandets målsättning att undvika ett ”kortsiktigt förhållningssätt som inskränker sig till gränskontroller utan hänsyn till de långsiktiga frågorna” (9). Ett omfattande och effektivt förhållningssätt till migration kan inte enbart bestå av gränsbevakning utan måste också innefatta andra aspekter. |
| --- | --- |

10.

Datatillsynsmannen välkomnar meddelandets målsättning att undvika ett ”kortsiktigt förhållningssätt som inskränker sig till gränskontroller utan hänsyn till de långsiktiga frågorna” (9). Ett omfattande och effektivt förhållningssätt till migration kan inte enbart bestå av gränsbevakning utan måste också innefatta andra aspekter.

| 11. | Ett sådant omfattande förhållningssätt måste respektera migranters och flyktingars grundläggande rättigheter, däribland deras rätt till uppgiftsskydd. Detta är desto viktigare eftersom dessa grupper ofta är sårbara. |
| --- | --- |

11.

Ett sådant omfattande förhållningssätt måste respektera migranters och flyktingars grundläggande rättigheter, däribland deras rätt till uppgiftsskydd. Detta är desto viktigare eftersom dessa grupper ofta är sårbara.

| 12. | I detta sammanhang nämns i meddelandet att unionens dubbla mål måste vara att bibehålla höga säkerhetsnivåer samtidigt som passagen av gränserna förenklas för ”dem som bör släppas in, med full respekt för deras grundläggande rättigheter” (10). Denna formulering kan ge intrycket att de grundläggande rättigheterna för personer som – av olika skäl – inte bör släppas in inte behöver respekteras. Datatillsynsmannen menar att det är uppenbart att deras rättigheter inte nödvändigtvis omfattar rätten att bosätta sig inom EU:s territorium och att det i så fall kan behöva vidtas lämpliga åtgärder, men att de grundläggande rättigheterna alltid måste respekteras. |
| --- | --- |

12.

I detta sammanhang nämns i meddelandet att unionens dubbla mål måste vara att bibehålla höga säkerhetsnivåer samtidigt som passagen av gränserna förenklas för ”dem som bör släppas in, med full respekt för deras grundläggande rättigheter” (10). Denna formulering kan ge intrycket att de grundläggande rättigheterna för personer som – av olika skäl – inte bör släppas in inte behöver respekteras. Datatillsynsmannen menar att det är uppenbart att deras rättigheter inte nödvändigtvis omfattar rätten att bosätta sig inom EU:s territorium och att det i så fall kan behöva vidtas lämpliga åtgärder, men att de grundläggande rättigheterna alltid måste respekteras.

| 13. | När det gäller gränsförvaltning förespråkas i meddelandet ett förhållningssätt som i hög grad bygger på teknikanvändning. Bland annat förordas ökad övervakning vid gränsen (se det planerade europeiska gränsövervakningssystemet Eurosur) (11). Dessutom vill kommissionen undersöka möjligheten att inrätta nya stora it-system för att behandla uppgifter om resenärer (ett system för registrering av in- och utresor och ett program för registrerade resenärer) (12). Slutligen rekommenderas att befintliga system ska utvidgas till nya användare (t.ex. för Eurodac) (13). Detta tekniska fokus avspeglar en generell tendens på senare år. |
| --- | --- |

13.

När det gäller gränsförvaltning förespråkas i meddelandet ett förhållningssätt som i hög grad bygger på teknikanvändning. Bland annat förordas ökad övervakning vid gränsen (se det planerade europeiska gränsövervakningssystemet Eurosur) (11). Dessutom vill kommissionen undersöka möjligheten att inrätta nya stora it-system för att behandla uppgifter om resenärer (ett system för registrering av in- och utresor och ett program för registrerade resenärer) (12). Slutligen rekommenderas att befintliga system ska utvidgas till nya användare (t.ex. för Eurodac) (13). Detta tekniska fokus avspeglar en generell tendens på senare år.

Utvärdering av befintliga instrument innan nya föreslås, samt nödvändighetstestet

| 14. | Datatillsynsmannen har vid ett flertal tillfällen betonat att befintliga instrument bör utvärderas innan nya föreslås (14). Här påminner datatillsynsmannen om rättspraxis hos Europeiska domstolen för de mänskliga rättigheterna (15) och Europeiska unionens domstol (16) och påpekar att inskränkningar i rätten till personlig integritet måste vara ”nödvändiga i ett demokratiskt samhälle” och följa proportionalitetsprincipen. Begreppet nödvändighet innebär att det ställs hårdare krav på bevisningen (17). Alla förslag måste i det här sammanhanget åtföljas av tydliga bevis på att de är både nödvändiga och proportionerliga. |
| --- | --- |

14.

Datatillsynsmannen har vid ett flertal tillfällen betonat att befintliga instrument bör utvärderas innan nya föreslås (14). Här påminner datatillsynsmannen om rättspraxis hos Europeiska domstolen för de mänskliga rättigheterna (15) och Europeiska unionens domstol (16) och påpekar att inskränkningar i rätten till personlig integritet måste vara ”nödvändiga i ett demokratiskt samhälle” och följa proportionalitetsprincipen. Begreppet nödvändighet innebär att det ställs hårdare krav på bevisningen (17). Alla förslag måste i det här sammanhanget åtföljas av tydliga bevis på att de är både nödvändiga och proportionerliga.

| 15. | Sådana bevis bör tillhandahållas genom en konsekvensbedömning för den personliga integriteten (18) som grundas på tillräckliga belägg (19). Det räcker inte med en selektiv användning av statistik och uppskattningar. Datatillsynsmannen är medveten om att det är svårt att samla in tillförlitlig information om företeelser som olaglig invandring, men i sådana konsekvensbedömningar skulle det också vara nödvändigt att överväga alternativa lösningar på problemen för att minimera inverkan på de grundläggande rättigheterna (20). Att tekniska lösningar är genomförbara innebär inte i sig att de är nödvändiga och proportionerliga. |
| --- | --- |

15.

Sådana bevis bör tillhandahållas genom en konsekvensbedömning för den personliga integriteten (18) som grundas på tillräckliga belägg (19). Det räcker inte med en selektiv användning av statistik och uppskattningar. Datatillsynsmannen är medveten om att det är svårt att samla in tillförlitlig information om företeelser som olaglig invandring, men i sådana konsekvensbedömningar skulle det också vara nödvändigt att överväga alternativa lösningar på problemen för att minimera inverkan på de grundläggande rättigheterna (20). Att tekniska lösningar är genomförbara innebär inte i sig att de är nödvändiga och proportionerliga.

| 16. | Om en bedömning leder till slutsatsen att det behövs nya stora it-lösningar bör de utformas med inbyggda skyddsmekanismer för att skydda den personliga integriteten. De registeransvariga måste kunna visa att det har vidtagits lämpliga åtgärder för att se till att utformningen av deras system uppfyller kraven på skydd av den personliga integriteten. På så sätt skulle det gå att begränsa nya åtgärders negativa inverkan på den personliga integriteten (eller förstärka den positiva inverkan). Kommissionen har ställt sig bakom detta förhållningssätt (21). Genom att bygga in skyddsmekanismer för den personliga integriteten i system som exempelvis det system för registrering av in- och utresor som nämns i meddelandet skulle det gå att begränsa insamlingen av personuppgifter till det minimum som är nödvändigt, begränsa lagringsperioderna och anpassa behandlingen så att den skyddar den personliga integriteten och medger insyn för dem som är registrerade. |
| --- | --- |

16.

Om en bedömning leder till slutsatsen att det behövs nya stora it-lösningar bör de utformas med inbyggda skyddsmekanismer för att skydda den personliga integriteten. De registeransvariga måste kunna visa att det har vidtagits lämpliga åtgärder för att se till att utformningen av deras system uppfyller kraven på skydd av den personliga integriteten. På så sätt skulle det gå att begränsa nya åtgärders negativa inverkan på den personliga integriteten (eller förstärka den positiva inverkan). Kommissionen har ställt sig bakom detta förhållningssätt (21). Genom att bygga in skyddsmekanismer för den personliga integriteten i system som exempelvis det system för registrering av in- och utresor som nämns i meddelandet skulle det gå att begränsa insamlingen av personuppgifter till det minimum som är nödvändigt, begränsa lagringsperioderna och anpassa behandlingen så att den skyddar den personliga integriteten och medger insyn för dem som är registrerade.

| 17. | Dessutom måste principen om begränsning av syfte följas. Funktionsglidning måste förhindras. I meddelandet föreslås t.ex. att initiativet om att låta brottsbekämpande myndigheter få tillgång till Eurodac (22) ska tas upp på nytt, vilket verkar bekräfta trenden att brottsbekämpande myndigheter beviljas tillgång till EU:s stora system och väcker frågan om en utvidgning av systemets ursprungliga syfte. Att flera myndigheter ges tillgång till databaser är en fråga som kan få mycket stora konsekvenser: En databas som uppfattas som proportionerlig när den används för ett visst ändamål kan bli oproportionerlig om dess användning utvidgas till andra ändamål senare (23). |
| --- | --- |

17.

Dessutom måste principen om begränsning av syfte följas. Funktionsglidning måste förhindras. I meddelandet föreslås t.ex. att initiativet om att låta brottsbekämpande myndigheter få tillgång till Eurodac (22) ska tas upp på nytt, vilket verkar bekräfta trenden att brottsbekämpande myndigheter beviljas tillgång till EU:s stora system och väcker frågan om en utvidgning av systemets ursprungliga syfte. Att flera myndigheter ges tillgång till databaser är en fråga som kan få mycket stora konsekvenser: En databas som uppfattas som proportionerlig när den används för ett visst ändamål kan bli oproportionerlig om dess användning utvidgas till andra ändamål senare (23).

| 18. | Därför vill datatillsynsmannen att alla (nuvarande och nya) förslag som omfattar begränsningar av den grundläggande rätten till uppgiftsskydd ska åtföljas av tydliga bevis för att de är nödvändiga (24). När stora it-system anses vara nödvändiga bör de dessutom utformas med hänsyn till principen om inbyggda skyddsmekanismer. De åtgärder som vidtas bör också ses över regelbundet för att kontrollera att de fortfarande är nödvändiga. |
| --- | --- |

18.

Därför vill datatillsynsmannen att alla (nuvarande och nya) förslag som omfattar begränsningar av den grundläggande rätten till uppgiftsskydd ska åtföljas av tydliga bevis för att de är nödvändiga (24). När stora it-system anses vara nödvändiga bör de dessutom utformas med hänsyn till principen om inbyggda skyddsmekanismer. De åtgärder som vidtas bör också ses över regelbundet för att kontrollera att de fortfarande är nödvändiga.

III.   SÄRSKILDA SYNPUNKTER

Eurodac

| 19. | I meddelandet hänvisas till brottsbekämpande myndigheters tillgång till Eurodac och det sägs att Eurodac, vid sidan av att fortsätta att fungera som stöd för en effektiv tillämpning av Dublinförordningen, också ska tillgodose ”de brottsbekämpande myndigheternas övriga behov” (25). |
| --- | --- |

19.

I meddelandet hänvisas till brottsbekämpande myndigheters tillgång till Eurodac och det sägs att Eurodac, vid sidan av att fortsätta att fungera som stöd för en effektiv tillämpning av Dublinförordningen, också ska tillgodose ”de brottsbekämpande myndigheternas övriga behov” (25).

| 20. | I förslaget från december 2008 om en reform av Eurodacförordningen (26) ingick inga bestämmelser om tillgång för brottsbekämpande myndigheter. Dessa infördes i ett förslag från kommissionen i september 2009 (27). I oktober 2010 antog kommissionen ett ändrat förslag (28) som i likhet med det ursprungliga förslaget inte längre innefattade några bestämmelser om tillgång för brottsbekämpande myndigheter. |
| --- | --- |

20.

I förslaget från december 2008 om en reform av Eurodacförordningen (26) ingick inga bestämmelser om tillgång för brottsbekämpande myndigheter. Dessa infördes i ett förslag från kommissionen i september 2009 (27). I oktober 2010 antog kommissionen ett ändrat förslag (28) som i likhet med det ursprungliga förslaget inte längre innefattade några bestämmelser om tillgång för brottsbekämpande myndigheter.

| 21. | I sitt yttrande av den 15 december 2010 om Eurodac välkomnade datatillsynsmannen att möjligheten att få tillgång till databasen i brottsbekämpningssyfte hade tagits bort (29) och påminde om att en sådan användning för ett annat syfte måste grundas på att det visas genom bevisning i sak att det föreligger en koppling mellan asylsökande och terrorism och/eller grov brottslighet. Dessutom måste man ta hänsyn till asylsökandes utsatta ställning när nödvändigheten och proportionaliteten i en sådan tillgång bedöms. |
| --- | --- |

21.

I sitt yttrande av den 15 december 2010 om Eurodac välkomnade datatillsynsmannen att möjligheten att få tillgång till databasen i brottsbekämpningssyfte hade tagits bort (29) och påminde om att en sådan användning för ett annat syfte måste grundas på att det visas genom bevisning i sak att det föreligger en koppling mellan asylsökande och terrorism och/eller grov brottslighet. Dessutom måste man ta hänsyn till asylsökandes utsatta ställning när nödvändigheten och proportionaliteten i en sådan tillgång bedöms.

| 22. | Reformen av Eurodacförordningen ingår i upprättandet av ett europeiskt asylsystem som enligt Stockholmsprogrammet ska införas senast 2012 (30). Enligt kommissionen är en av anledningarna till att de brottsbekämpande myndigheternas tillgång till Eurodac lyftes ut ur förslaget från oktober 2010 att det skulle göra det lättare att anta asylpaketet i tid, om denna kontroversiella åtgärd inte ingick (31). Reformen hänger också ihop med inrättandet av Byrån för den operativa förvaltningen av stora it-system inom området med frihet, säkerhet och rättvisa (32). |
| --- | --- |

22.

Reformen av Eurodacförordningen ingår i upprättandet av ett europeiskt asylsystem som enligt Stockholmsprogrammet ska införas senast 2012 (30). Enligt kommissionen är en av anledningarna till att de brottsbekämpande myndigheternas tillgång till Eurodac lyftes ut ur förslaget från oktober 2010 att det skulle göra det lättare att anta asylpaketet i tid, om denna kontroversiella åtgärd inte ingick (31). Reformen hänger också ihop med inrättandet av Byrån för den operativa förvaltningen av stora it-system inom området med frihet, säkerhet och rättvisa (32).

| 23. | Med hänsyn till detta och mot bakgrund av sina tidigare synpunkter anser datatillsynsmannen att det hittills inte har lagts fram tillräckligt tydliga och tillförlitliga belägg för att det är nödvändigt att återinföra brottsbekämpande myndigheters möjlighet att få tillgång till Eurodac. Ett sådant återförande skulle eventuellt kunna övervägas först efter en ny konsekvensbedömning där hänsyn tas till uppgiftsskyddsfrågor. För att ge brottsbekämpande myndigheter tillgång till Eurodac skulle det dessutom krävas betydande ändringar av databasen för att åtkomsten skulle bli säker. De tekniska och ekonomiska konsekvenserna måste också utredas i en ny konsekvensbedömning (33). |
| --- | --- |

23.

Med hänsyn till detta och mot bakgrund av sina tidigare synpunkter anser datatillsynsmannen att det hittills inte har lagts fram tillräckligt tydliga och tillförlitliga belägg för att det är nödvändigt att återinföra brottsbekämpande myndigheters möjlighet att få tillgång till Eurodac. Ett sådant återförande skulle eventuellt kunna övervägas först efter en ny konsekvensbedömning där hänsyn tas till uppgiftsskyddsfrågor. För att ge brottsbekämpande myndigheter tillgång till Eurodac skulle det dessutom krävas betydande ändringar av databasen för att åtkomsten skulle bli säker. De tekniska och ekonomiska konsekvenserna måste också utredas i en ny konsekvensbedömning (33).

| 24. | Återinförandet av förslaget kan även få stor inverkan på tidplanen för asylpaketet i sin helhet. Kommissionen nämner inget datum för ett eventuellt nytt förslag och anger inte heller huruvida ett sådant förslag skulle åtföljas av en ny konsekvensbedömning. |
| --- | --- |

24.

Återinförandet av förslaget kan även få stor inverkan på tidplanen för asylpaketet i sin helhet. Kommissionen nämner inget datum för ett eventuellt nytt förslag och anger inte heller huruvida ett sådant förslag skulle åtföljas av en ny konsekvensbedömning.

System för registrering av in- och utresor

| 25. | I meddelandet tillkännages också att ett meddelande om smarta gränser ska offentliggöras i september 2011 med initiativ till ett system för registrering av in- och utresor och ett program för registrerade resenärer. Kommissionen erkänner att dessa projekt skulle kräva ”avsevärda investeringar” för att säkerställa ”ett skydd av personuppgifter av hög kvalitet” (34). |
| --- | --- |

25.

I meddelandet tillkännages också att ett meddelande om smarta gränser ska offentliggöras i september 2011 med initiativ till ett system för registrering av in- och utresor och ett program för registrerade resenärer. Kommissionen erkänner att dessa projekt skulle kräva ”avsevärda investeringar” för att säkerställa ”ett skydd av personuppgifter av hög kvalitet” (34).

| 26. | När det gäller system för registrering av in- och utresor motiverar kommissionen detta initiativ med att hävda att ”vistelse efter det att viseringen har löpt ut” är ”den främsta källan till olaglig invandring i EU” (35). Bortsett från detta innehåller meddelandet inte någon förklaring om syftet med systemet. |
| --- | --- |

26.

När det gäller system för registrering av in- och utresor motiverar kommissionen detta initiativ med att hävda att ”vistelse efter det att viseringen har löpt ut” är ”den främsta källan till olaglig invandring i EU” (35). Bortsett från detta innehåller meddelandet inte någon förklaring om syftet med systemet.

| 27. | Att minska antalet personer som stannar kvar efter det att viseringen har löpt ut kan tveklöst få positiva effekter. Datatillsynsmannen förstår att ett system för registrering av in- och utresor kan avskräcka medborgare från tredjeländer från att stanna kvar längre än de har tillstånd till om de vet att de sannolikt kommer att identifieras automatiskt när deras visum har löpt ut. Det finns dock fortfarande flera obesvarade frågor. |
| --- | --- |

27.

Att minska antalet personer som stannar kvar efter det att viseringen har löpt ut kan tveklöst få positiva effekter. Datatillsynsmannen förstår att ett system för registrering av in- och utresor kan avskräcka medborgare från tredjeländer från att stanna kvar längre än de har tillstånd till om de vet att de sannolikt kommer att identifieras automatiskt när deras visum har löpt ut. Det finns dock fortfarande flera obesvarade frågor.

| 28. | Hittills finns ingen konsekvent politik i medlemsstaterna för att hantera problemet med vistelser efter det att viseringen har löpt ut. Begreppet ”vistelse efter det att viseringen har löpt ut” är överlag inte väl definierat. En gemensam definition av begreppet skulle vara ett nödvändigt först steg mot att få en tydlig bild av frågan (36). |
| --- | --- |

28.

Hittills finns ingen konsekvent politik i medlemsstaterna för att hantera problemet med vistelser efter det att viseringen har löpt ut. Begreppet ”vistelse efter det att viseringen har löpt ut” är överlag inte väl definierat. En gemensam definition av begreppet skulle vara ett nödvändigt först steg mot att få en tydlig bild av frågan (36).

| 29. | Dessutom är alla siffror som har tagits fram hittills uppskattningar (37). Problemets omfattning måste utredas innan det går att göra en motiverad bedömning av nödvändigheten. |
| --- | --- |

29.

Dessutom är alla siffror som har tagits fram hittills uppskattningar (37). Problemets omfattning måste utredas innan det går att göra en motiverad bedömning av nödvändigheten.

| 30. | Registreringar enligt artikel 96 i konventionen om tillämpningen av Schengenavtalet är en befintlig åtgärd för att förhindra vissa personer från att resa in i Schengenområdet. Det går att använda dessa registreringar för att hindra återinresa för personer som har stannat efter det att deras visering har löpt ut (38). I ett meddelande nyligen uppmanade kommissionen medlemsstaterna att använda denna möjlighet i så stor utsträckning som möjligt (39). Detta innebär att åtgärden i nuläget inte utnyttjas fullt ut. |
| --- | --- |

30.

Registreringar enligt artikel 96 i konventionen om tillämpningen av Schengenavtalet är en befintlig åtgärd för att förhindra vissa personer från att resa in i Schengenområdet. Det går att använda dessa registreringar för att hindra återinresa för personer som har stannat efter det att deras visering har löpt ut (38). I ett meddelande nyligen uppmanade kommissionen medlemsstaterna att använda denna möjlighet i så stor utsträckning som möjligt (39). Detta innebär att åtgärden i nuläget inte utnyttjas fullt ut.

| 31. | Systemet för registrering av in- och utresor skulle sannolikt också baseras på biometriska uppgifter. Datatillsynsmannen inser att det kan finnas fördelar med att använda biometriska uppgifter, men måste också påpeka svagheterna hos dem. All användning av biometriska uppgifter måste åtföljas av strikta skyddsmekanismer och bör ta hänsyn till risken för misstag (40). I detta sammanhang förordar datatillsynsmannen att det inrättas minimikriterier för användningen av biometriska uppgifter, t.ex. i fråga om uppgifternas tillförlitlighet, riktade konsekvensbedömningar av användning av biometriska uppgifter, uppgifternas exakthet och säkerhetsförfaranden (41). Dessutom har en viss andel av de berörda personerna inte fingeravtryck som går att avläsa i ett sådant system (42). Om systemet för registrering av in- och utresor ska omfatta biometriska kännetecken måste det också innefatta säkerhetsförfaranden för dessa resenärer (43). |
| --- | --- |

31.

Systemet för registrering av in- och utresor skulle sannolikt också baseras på biometriska uppgifter. Datatillsynsmannen inser att det kan finnas fördelar med att använda biometriska uppgifter, men måste också påpeka svagheterna hos dem. All användning av biometriska uppgifter måste åtföljas av strikta skyddsmekanismer och bör ta hänsyn till risken för misstag (40). I detta sammanhang förordar datatillsynsmannen att det inrättas minimikriterier för användningen av biometriska uppgifter, t.ex. i fråga om uppgifternas tillförlitlighet, riktade konsekvensbedömningar av användning av biometriska uppgifter, uppgifternas exakthet och säkerhetsförfaranden (41). Dessutom har en viss andel av de berörda personerna inte fingeravtryck som går att avläsa i ett sådant system (42). Om systemet för registrering av in- och utresor ska omfatta biometriska kännetecken måste det också innefatta säkerhetsförfaranden för dessa resenärer (43).

| 32. | Datatillsynsmannen vill också lyfta fram erfarenheterna av US-VISIT (United States Visitor and Immigrant Status Indicator Technology) som är ett liknande system i USA. Enligt US-VISIT måste de flesta medborgare från tredjeländer lämna biometriska uppgifter vid sin inresa till amerikanskt territorium. Utresedelen av detta system är fortfarande under utveckling. Under 2009 utfördes två pilottester av insamling av biometriska uppgifter för den delen av systemet (44). Department of Homeland Security erkände att resultatet av dessa tester var ”överdrivna på grund av begränsningar i systemet i ärenden där uppgifterna i ADIS inte avspeglade resenärens aktuella status på grund av nyligen gjorda förändringar eller förlängningar av statusen” (45). I testerna kontrollerades passagerarna också mot flera bevakningslistor, men ”ingen av [...] träffarna skulle ha förhindrat avresan” (46). Sammanlagt har Department of Homeland Security satsat ca 1,3 miljarder USD för att utveckla inresedelen av US-VISIT (47). Detta väcker frågan om ett system för registrering av in- och utresor är en kostnadseffektiv åtgärd för att minska mängden vistelser efter det att viseringen har löpt ut. |
| --- | --- |

32.

Datatillsynsmannen vill också lyfta fram erfarenheterna av US-VISIT (United States Visitor and Immigrant Status Indicator Technology) som är ett liknande system i USA. Enligt US-VISIT måste de flesta medborgare från tredjeländer lämna biometriska uppgifter vid sin inresa till amerikanskt territorium. Utresedelen av detta system är fortfarande under utveckling. Under 2009 utfördes två pilottester av insamling av biometriska uppgifter för den delen av systemet (44). Department of Homeland Security erkände att resultatet av dessa tester var ”överdrivna på grund av begränsningar i systemet i ärenden där uppgifterna i ADIS inte avspeglade resenärens aktuella status på grund av nyligen gjorda förändringar eller förlängningar av statusen” (45). I testerna kontrollerades passagerarna också mot flera bevakningslistor, men ”ingen av [...] träffarna skulle ha förhindrat avresan” (46). Sammanlagt har Department of Homeland Security satsat ca 1,3 miljarder USD för att utveckla inresedelen av US-VISIT (47). Detta väcker frågan om ett system för registrering av in- och utresor är en kostnadseffektiv åtgärd för att minska mängden vistelser efter det att viseringen har löpt ut.

| 33. | Varken syftet med ett sådant system eller hur det skulle utformas och tillämpas är alltså tillräckligt uppenbart. När det gäller behovet av åtgärder finns det inte någon tydlig definition av det centrala begreppet ”vistelse efter det att viseringen löpt ut”, vilket innebär att det inte finns någon tillförlitlig statistik över problemets omfattning. När det gäller vilka åtgärder som ska vidtas används de befintliga instrumenten för att förhindra återinresa för personer som man vet har stannat kvar för länge sannolikt inte i den utsträckning som de borde. Dessutom medför den biometriska delen av in-/utresesystemet vissa problem. När det gäller genomförbarheten och kostnaden för detta system pekar erfarenheterna i USA på att ett system för registrering av in- och utresor blir dyrt att införa. Dessa överväganden innebär att det är tveksamt om ett system för registrering av in- och utresor är effektivt och nödvändigt. |
| --- | --- |

33.

Varken syftet med ett sådant system eller hur det skulle utformas och tillämpas är alltså tillräckligt uppenbart. När det gäller behovet av åtgärder finns det inte någon tydlig definition av det centrala begreppet ”vistelse efter det att viseringen löpt ut”, vilket innebär att det inte finns någon tillförlitlig statistik över problemets omfattning. När det gäller vilka åtgärder som ska vidtas används de befintliga instrumenten för att förhindra återinresa för personer som man vet har stannat kvar för länge sannolikt inte i den utsträckning som de borde. Dessutom medför den biometriska delen av in-/utresesystemet vissa problem. När det gäller genomförbarheten och kostnaden för detta system pekar erfarenheterna i USA på att ett system för registrering av in- och utresor blir dyrt att införa. Dessa överväganden innebär att det är tveksamt om ett system för registrering av in- och utresor är effektivt och nödvändigt.

Program för registrerade resenärer

| 34. | I meddelandet nämns också införandet av ett program för registrerade resenärer. Det är inte helt klart vilket mervärde ett sådant system skulle medföra jämfört med att t.ex. använda viseringar för flera inresor med lång giltighetstid. Målgrupperna skulle vara desamma (personer som ofta passerar gränsen). Det faktum att det fortfarande finns ”ovilja” (48) att utfärda sådana viseringar är inte i sig ett tillräckligt skäl för att föreslå nya åtgärder när de befintliga åtgärderna – om de utnyttjades till fullo – skulle göra det möjligt att nå samma mål. Därför är datatillsynsmannen inte helt övertygad om att systemet verkligen är nödvändigt. |
| --- | --- |

34.

I meddelandet nämns också införandet av ett program för registrerade resenärer. Det är inte helt klart vilket mervärde ett sådant system skulle medföra jämfört med att t.ex. använda viseringar för flera inresor med lång giltighetstid. Målgrupperna skulle vara desamma (personer som ofta passerar gränsen). Det faktum att det fortfarande finns ”ovilja” (48) att utfärda sådana viseringar är inte i sig ett tillräckligt skäl för att föreslå nya åtgärder när de befintliga åtgärderna – om de utnyttjades till fullo – skulle göra det möjligt att nå samma mål. Därför är datatillsynsmannen inte helt övertygad om att systemet verkligen är nödvändigt.

| 35. | I meddelandet hänvisas också till begreppet resenärer med ”ärligt uppsåt” (s. 11), främst i samband med programmet för registrerade resenärer. Detta kan underförstått tolkas som att det skapas en grupp resenärer med ”oärligt uppsåt”. Endast resenärer som vidtar de extra åtgärderna, går med i programmet för registrerade resenärer och lämnar ytterligare personuppgifter skulle betraktas som resenärer med ”ärligt uppsåt”. Utgångspunkten skulle inte längre vara att resenärer i allmänhet ska anses resa in i unionen med goda avsikter så länge inte särskilda bevis väcker misstankar, utan att resenärerna måste rentvå sig genom att lämna ytterligare upplysningar om sig själva, även när det saknas bevis. Genom att deklarera att endast vissa resenärer har ”ärligt uppsåt” får de resenärer som inte vill lämna ytterligare upplysningar i praktiken en stämpel på sig om att de har ”oärligt uppsåt”, även om deras vägran att lämna ytterligare information kan ha fullt legitima skäl. t.ex. att de inte reser ofta (49). |
| --- | --- |

35.

I meddelandet hänvisas också till begreppet resenärer med ”ärligt uppsåt” (s. 11), främst i samband med programmet för registrerade resenärer. Detta kan underförstått tolkas som att det skapas en grupp resenärer med ”oärligt uppsåt”. Endast resenärer som vidtar de extra åtgärderna, går med i programmet för registrerade resenärer och lämnar ytterligare personuppgifter skulle betraktas som resenärer med ”ärligt uppsåt”. Utgångspunkten skulle inte längre vara att resenärer i allmänhet ska anses resa in i unionen med goda avsikter så länge inte särskilda bevis väcker misstankar, utan att resenärerna måste rentvå sig genom att lämna ytterligare upplysningar om sig själva, även när det saknas bevis. Genom att deklarera att endast vissa resenärer har ”ärligt uppsåt” får de resenärer som inte vill lämna ytterligare upplysningar i praktiken en stämpel på sig om att de har ”oärligt uppsåt”, även om deras vägran att lämna ytterligare information kan ha fullt legitima skäl. t.ex. att de inte reser ofta (49).

Frontex och samarbete mellan myndigheter

| 36. | I meddelandet manas till ett ”[n]ära samarbete mellan myndigheter”, mellan Europol, Frontex och nationella tull- och polismyndigheter, något som anses vara ”av största vikt”, särskilt mellan gränsbevakningsmyndigheter och tullmyndigheter (50). Detta samarbete ska stödjas genom förslag till bästa metoder som ska läggas fram under 2012. Kommissionen tillkännager också att ett lagstiftningsförslag ska läggas fram under 2011 för att göra det möjligt för medlemsstaternas myndigheter som utför gränsövervakning att ”sprida operativ information och att samarbeta sinsemellan och med Frontex” (51). Slutligen pågår förhandlingar i rådet och Europaparlamentet om förslaget om att uppdatera Frontex rättsliga ram så att byrån ”operativt kan agera mer effektivt” (52). |
| --- | --- |

36.

I meddelandet manas till ett ”[n]ära samarbete mellan myndigheter”, mellan Europol, Frontex och nationella tull- och polismyndigheter, något som anses vara ”av största vikt”, särskilt mellan gränsbevakningsmyndigheter och tullmyndigheter (50). Detta samarbete ska stödjas genom förslag till bästa metoder som ska läggas fram under 2012. Kommissionen tillkännager också att ett lagstiftningsförslag ska läggas fram under 2011 för att göra det möjligt för medlemsstaternas myndigheter som utför gränsövervakning att ”sprida operativ information och att samarbeta sinsemellan och med Frontex” (51). Slutligen pågår förhandlingar i rådet och Europaparlamentet om förslaget om att uppdatera Frontex rättsliga ram så att byrån ”operativt kan agera mer effektivt” (52).

| 37. | För att säkerställa konsekvens och skapa mervärde i fråga om uppgiftsskydd bör de olika bestämmelserna i de rättsliga grunderna för att ingå samarbetsavtal och utbyta personuppgifter mellan Frontex och de myndigheter som byrån ska samarbete med vara samstämmiga och enhetliga för att garantera fullständigt samarbete mellan organen i fråga om respekten för bestämmelserna om uppgiftsskydd. |
| --- | --- |

37.

För att säkerställa konsekvens och skapa mervärde i fråga om uppgiftsskydd bör de olika bestämmelserna i de rättsliga grunderna för att ingå samarbetsavtal och utbyta personuppgifter mellan Frontex och de myndigheter som byrån ska samarbete med vara samstämmiga och enhetliga för att garantera fullständigt samarbete mellan organen i fråga om respekten för bestämmelserna om uppgiftsskydd.

| 38. | Datatillsynsmannen upprepar också de påpekanden som gjordes i yttrandet över förslaget till reform av Frontexförordningen (53), nämligen att det krävs en tydlig rättslig grund för behandlingen av personuppgifter. Om Frontex ges mandat att utbyta personuppgifter bör den grunden omfatta kraftfulla och tydliga bestämmelser om registrerade personers rättigheter och andra skyddsmekanismer. Alla bestämmelser som ger Frontex tillstånd att behandla och/eller utbyta personuppgifter bör vara exakta och tydligt avgränsade. |
| --- | --- |

38.

Datatillsynsmannen upprepar också de påpekanden som gjordes i yttrandet över förslaget till reform av Frontexförordningen (53), nämligen att det krävs en tydlig rättslig grund för behandlingen av personuppgifter. Om Frontex ges mandat att utbyta personuppgifter bör den grunden omfatta kraftfulla och tydliga bestämmelser om registrerade personers rättigheter och andra skyddsmekanismer. Alla bestämmelser som ger Frontex tillstånd att behandla och/eller utbyta personuppgifter bör vara exakta och tydligt avgränsade.

Eurosur

| 39. | Kommissionen tillkännager också ett lagstiftningsförslag som avgränsar mål, tillämpningsområde och den tekniska och operativa ramen för det europeiska gränsövervakningssystemet (Eurosur) i december 2011 (54). Syftet med förslaget är att se till att man använder ”mer modern teknik såväl vid land- som vid sjögränserna” (55) och även utväxlar operativ information om incidenter (56). Detta hör också ihop med Frontex, eftersom kommissionen tänker lägga fram ett ytterligare förslag för att ge de myndigheter i medlemsstaterna som utför gränsbevakningsverksamhet möjlighet att dela operativ information med varandra och med Frontex (57). |
| --- | --- |

39.

Kommissionen tillkännager också ett lagstiftningsförslag som avgränsar mål, tillämpningsområde och den tekniska och operativa ramen för det europeiska gränsövervakningssystemet (Eurosur) i december 2011 (54). Syftet med förslaget är att se till att man använder ”mer modern teknik såväl vid land- som vid sjögränserna” (55) och även utväxlar operativ information om incidenter (56). Detta hör också ihop med Frontex, eftersom kommissionen tänker lägga fram ett ytterligare förslag för att ge de myndigheter i medlemsstaterna som utför gränsbevakningsverksamhet möjlighet att dela operativ information med varandra och med Frontex (57).

| 40. | Det är inte uppenbart huruvida och i vilken omfattning detta skulle innefatta behandling av personuppgifter (58). Datatillsynsmannen uppmanar kommissionen att förtydliga dessa frågor i sina kommande förslag. |
| --- | --- |

40.

Det är inte uppenbart huruvida och i vilken omfattning detta skulle innefatta behandling av personuppgifter (58). Datatillsynsmannen uppmanar kommissionen att förtydliga dessa frågor i sina kommande förslag.

Europeiskt system av gränsbevakningspersonal

| 41. | I meddelandet nämns att det bör undersökas om det är möjligt att införa ett europeiskt system av gränsbevakningspersonal. Det framgår inte av texten hur ett sådant system skulle se ut. Enligt texten skulle detta inte ”nödvändigtvis” (59) ske i form av en central förvaltning, vilket ändå lämnar öppet för möjligheten att det kan bli en sådan. Om det inte inrättas någon central förvaltning föreslås i meddelandet att det bland annat kommer att krävas mer ”delad kapacitet” och ”praktiskt samarbete” (60). |
| --- | --- |

41.

I meddelandet nämns att det bör undersökas om det är möjligt att införa ett europeiskt system av gränsbevakningspersonal. Det framgår inte av texten hur ett sådant system skulle se ut. Enligt texten skulle detta inte ”nödvändigtvis” (59) ske i form av en central förvaltning, vilket ändå lämnar öppet för möjligheten att det kan bli en sådan. Om det inte inrättas någon central förvaltning föreslås i meddelandet att det bland annat kommer att krävas mer ”delad kapacitet” och ”praktiskt samarbete” (60).

| 42. | Det framgår inte tydligt om detta ska syfta till en bättre tillämpning av befintliga åtgärder eller om det är en fingervisning om nya, ännu inte tillkännagivna, förslag. Eftersom ”praktiskt samarbete” sannolikt skulle omfatta utbyte av personuppgifter, vilket måste ha en rättslig grund, bör den grunden anges i kommande förslag, om projektet ska drivas vidare. |
| --- | --- |

42.

Det framgår inte tydligt om detta ska syfta till en bättre tillämpning av befintliga åtgärder eller om det är en fingervisning om nya, ännu inte tillkännagivna, förslag. Eftersom ”praktiskt samarbete” sannolikt skulle omfatta utbyte av personuppgifter, vilket måste ha en rättslig grund, bör den grunden anges i kommande förslag, om projektet ska drivas vidare.

IV.   SLUTSATSER OCH REKOMMENDATIONER

| 43. | I linje med etablerad rättspraxis hos Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna påminner datatillsynsmannen om kravet på att alla (nuvarande och kommande) förslag som innebär inskränkningar av de grundläggande rättigheterna till personlig integritet och uppgiftsskydd måste vara nödvändiga och proportionerliga. Varje förslag måste åtföljas av en konsekvensbedömning för den personliga integriteten där det visas att förslaget är nödvändigt. |
| --- | --- |

43.

I linje med etablerad rättspraxis hos Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna påminner datatillsynsmannen om kravet på att alla (nuvarande och kommande) förslag som innebär inskränkningar av de grundläggande rättigheterna till personlig integritet och uppgiftsskydd måste vara nödvändiga och proportionerliga. Varje förslag måste åtföljas av en konsekvensbedömning för den personliga integriteten där det visas att förslaget är nödvändigt.

| 44. | Principen om inbyggda skyddsmekanismer och principen om begränsning av syfte måste följas både när förslag till nya stora it-system läggs fram och när systemen utformas. |
| --- | --- |

44.

Principen om inbyggda skyddsmekanismer och principen om begränsning av syfte måste följas både när förslag till nya stora it-system läggs fram och när systemen utformas.

| 45. | Datatillsynsmannen kräver att all användning av biometriska uppgifter ska åtföljas av strikta skyddsmekanismer och säkerhetsförfaranden för dem som inte kan delta. Mer generellt bör det införas minimivillkor för användningen av biometriska uppgifter. |
| --- | --- |

45.

Datatillsynsmannen kräver att all användning av biometriska uppgifter ska åtföljas av strikta skyddsmekanismer och säkerhetsförfaranden för dem som inte kan delta. Mer generellt bör det införas minimivillkor för användningen av biometriska uppgifter.

| 46. | Dessutom uppmanar datatillsynsmannen kommissionen att förtydliga omfattningen av och innehållet i de förslag som nämns i yttrandet. Detta gäller de lagstiftningsförslag som ska läggas fram i fråga om systemet för registrering av in- och utresor, programmet för registrerade resenärer, Eurosur, Frontex och samarbete mellan myndigheter, samt meddelandet om smarta gränser och undersökningen av ett europeiskt system av gränsbevakningspersonal. |
| --- | --- |

46.

Dessutom uppmanar datatillsynsmannen kommissionen att förtydliga omfattningen av och innehållet i de förslag som nämns i yttrandet. Detta gäller de lagstiftningsförslag som ska läggas fram i fråga om systemet för registrering av in- och utresor, programmet för registrerade resenärer, Eurosur, Frontex och samarbete mellan myndigheter, samt meddelandet om smarta gränser och undersökningen av ett europeiskt system av gränsbevakningspersonal.

| 47. | Datatillsynsmannen uppmanar också kommissionen att inte återinföra förslaget om att ge brottsbekämpande myndigheter tillgång till Eurodac så länge inte en ny konsekvensbedömning, inbegripet tekniska och finansiella konsekvenser, tydligt visar att systemet är nödvändigt. |
| --- | --- |

47.

Datatillsynsmannen uppmanar också kommissionen att inte återinföra förslaget om att ge brottsbekämpande myndigheter tillgång till Eurodac så länge inte en ny konsekvensbedömning, inbegripet tekniska och finansiella konsekvenser, tydligt visar att systemet är nödvändigt.

| 48. | Datatillsynsmannen kommer att följa utvecklingen noggrant och utfärda nya yttranden vid behov. Datatillsynsmannen finns tillgänglig för ytterligare samråd, i god samarbetsanda. |
| --- | --- |

48.

Datatillsynsmannen kommer att följa utvecklingen noggrant och utfärda nya yttranden vid behov. Datatillsynsmannen finns tillgänglig för ytterligare samråd, i god samarbetsanda.

Utfärdat i Bryssel den 7 juli 2011.

Peter HUSTINX

Europeiska datatillsynsmannen

---

(1)  EGT L 281, 23.11.1995, s. 31.

1

(2)  EGT L 8, 12.1.2001, s. 1.

2

(3)  KOM(2011) 248 slutlig.

3

(4)  Meddelandet, s. 3.

4

(5)  Slutsatser från Europeiska rådets möte den 23–24 juni 2011. EUCO 23/11.

5

(6)  Kommissionens meddelande EU:s strategi för den inre säkerheten i praktiken: Fem steg mot ett säkrare Europa, KOM(2010) 673.

6

(7)  Förslag till förordning om ändring av rådets förordning (EG) nr 2007/2004 om inrättande av en europeisk byrå för förvaltningen av det operativa samarbetet vid Europeiska unionens medlemsstaters yttre gränser (Frontex), KOM(2010) 61.

7

(8)  Detta yttrande utgår särskilt från och kompletterar datatillsynsmannens yttrande av den 17 december 2010 om meddelandet ”EU:s strategi för den inre säkerheten i praktiken” (nedan kallat datatillsynsmannens yttrande av den 17 december 2010) (EUT C 101, 1.4.2011, s. 6), datatillsynsmannens yttrande av den 15 december 2010 om det ändrade förslaget till Europaparlamentets och rådets förordning om inrättandet av Eurodac (nedan kallat datatillsynsmannens yttrande av den 15 december 2010), EUT C 101, 1.4.2011, s. 14, datatillsynsmannens yttrande av den 30 september 2010 om meddelandet ”Översikt av informationshanteringen inom området med frihet, säkerhet och rättvisa” (nedan kallat datatillsynsmannens yttrande av den 30 september 2010) (EUT C 355, 29.12.2010, s. 16), samt datatillsynsmannens preliminära synpunkter av den 3 mars 2008 om gränspaketet (nedan kallade datatillsynsmannens preliminära synpunkter av den 3 mars 2008), som finns på datatillsynsmannens webbplats.

8

datatillsynsmannens yttrande av den 17 december 2010

datatillsynsmannens yttrande av den 15 december 2010

datatillsynsmannens yttrande av den 30 september 2010

datatillsynsmannens preliminära synpunkter av den 3 mars 2008

(9)  Meddelandet, s. 3.

9

(10)  Meddelandet, s. 7.

10

(11)  Meddelandet, s. 7–8. Se även punkterna 42–44 i detta yttrande.

11

(12)  Meddelandet, s. 10.

12

(13)  Meddelandet, s. 14.

13

(14)  Se datatillsynsmannens yttrande av den 30 september 2010. Se även datatillsynsmannens preliminära synpunkter på gränspaketet. Datatillsynsmannen välkomnar det arbete som utförs av gruppen för kartläggning av informationsprojekt inom ramen för arbetet med den europeiska modellen för informationsutbyte. Arbetet på detta område bör dock utvidgas och bör i framtiden ske med ett vidare perspektiv.

14

(15)  Se t.ex. Europeiska domstolen för de mänskliga rättigheterna, målet S. and Marper mot Förenade kungariket, nr 30562/04 och 30566/04, som offentliggjorts i Recueil des arrêts et décisions.

15

S. and Marper

Förenade kungariket

Recueil des arrêts et décisions

(16)  Se t.ex. domstolens dom i förenade målen C-92/09 och C-93/09, Volker und Markus Schecke och Hartmut Eifert mot Land Hessen [2010], ännu ej offentliggjord (”Schecke”).

16

Volker und Markus Schecke och Hartmut Eifert

Land Hessen

(17)  Flera domar sedan Europeiska domstolen för de mänskliga rättigheternas dom i mål nr 5493/72, Handyside mot Förenade kungariket, serie A nr 24, § 48.

17

Handyside

Förenade kungariket

(18)  De kan antingen göras som en separat konsekvensbedömning för den personliga integriteten och uppgiftsskydd eller integreras i den övergripande konsekvensbedömningen. Enligt de gällande riktlinjerna för konsekvensbedömningar (Europeiska kommissionens riktlinjer för konsekvensbedömningar, SEK(2009) 92) föreskrivs ingen separat konsekvensbedömning om effekterna för grundläggande rättigheter, t.ex. uppgiftsskydd, utan dessa aspekter ska integreras i den övergripande konsekvensbedömningen. Under tiden har det enligt kommissionens meddelande ”Strategi för Europeiska unionens konkreta tillämpning av stadgan om de grundläggande rättigheterna” (KOM(2010) 573) utarbetats ytterligare riktlinjer i form av ett arbetsdokument från kommissionen om operativa riktlinjer för att ta hänsyn till grundläggande rättigheter i kommissionens konsekvensbedömningar (SEK(2011) 567),

18

(19)  Se även datatillsynsmannens yttrande av den 25 mars 2011 om förslaget till Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (nedan kallat datatillsynsmannens yttrande av den 25 mars 2011), ännu inte offentliggjort i EUT, särskilt punkt 25.

19

datatillsynsmannens yttrande av den 25 mars 2011

(20)  När det gäller behovet att överväga alternativa lösningar, se även EU-domstolens ovannämnda dom i Schecke-målet.

20

(21)  Kommissionens meddelande ”Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen”, KOM(2010) 609, s. 12. Se också datatillsynsmannens yttrande av den 14 januari 2011 om kommissionens meddelande till Europaparlamentet, rådet, Ekonomiska och sociala kommittén och Regionkommittén – ”Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen” (EUT C 181, 22.6.2011, s. 1), punkterna 108–115.

21

(22)  Meddelandet, s. 14.

22

(23)  Se datatillsynsmannens preliminära synpunkter på gränspaketet, s. 3.

23

(24)  Se även datatillsynsmannens yttrande av den 31 maj 2011 om utvärderingsrapporten från kommissionen till rådet och Europaparlamentet om datalagringsdirektivet (direktiv 2006/24/EG), ännu ej offentliggjort i EUT, samt datatillsynsmannens yttrande av den 25 mars 2011.

24

(25)  Meddelandet, s. 14.

25

(26)  Förslag till förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EG) nr (.../...) (om kriterier och mekanismer för att avgöra vilken medlemsstat som har ansvaret för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har gett in i någon medlemsstat) (omarbetad version), KOM(2008) 825.

26

(27)  Ändrat förslag till Europaparlamentets och rådets förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EG) nr (.../...) (om kriterier och mekanismer för att avgöra vilken medlemsstat som har ansvaret för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har gett in i någon medlemsstat) (omarbetad version) KOM(2009) 342. Datatillsynsmannen yttrade sig över detta förslag, se Europeiska datatillsynsmannens yttrande av den 7 oktober 2009 om det ändrade förslaget till Europaparlamentets och rådets förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EG) nr (.../...) (om kriterier och mekanismer för att avgöra vilken medlemsstat som har ansvaret för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har gett in i någon medlemsstat) och om förslaget till rådets beslut om medlemsstaternas brottsbekämpande myndigheters och Europols framställningar om jämförelser med Eurodacuppgifter i brottsbekämpande syfte (nedan kallat datatillsynsmannens yttrande av den 7 oktober 2009) (EUT C 92, 10.4.2010, s. 1).

27

datatillsynsmannens yttrande av den 7 oktober 2009

(28)  Ändrat förslag till förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EG) nr (.../...) (om kriterier och mekanismer för att avgöra vilken medlemsstat som har ansvaret för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har gett in i någon medlemsstat) (omarbetad version), KOM(2010) 555 (nedan kallad KOM(2010) 555). Datatillsynsmannen yttrade sig över detta förslag, se datatillsynsmannens yttrande av den 15 december 2010, särskilt punkterna 18–22, 28–33 och 51–57.

28

KOM(2010) 555

(29)  Datatillsynsmannens yttrande av den 15 december 2010, särskilt punkterna 12–17.

29

(30)  Europeiska rådet: Stockholmsprogrammet – ett öppet och säkert Europa i medborgarnas tjänst och för deras skydd, s. 5 (EUT C 115, 4.5.2010, s. 1).

30

(31)  KOM(2010) 555, s. 3.

31

(32)  Ibid.

32

(33)  Kommissionens förslag från oktober 2010 åtföljdes inte av någon konsekvensbedömning. I stället hänvisade kommissionen till den konsekvensbedömning som gjordes för 2009 års förslag – se kommissionens arbetsdokument som åtföljer det ändrade förslaget till Europaparlamentets och rådets förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EG) nr (.../...) (om kriterier och mekanismer för att avgöra vilken medlemsstat som har ansvaret för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har gett in i någon medlemsstat) och om förslaget till rådets beslut om medlemsstaternas brottsbekämpande myndigheters och Europols framställningar om jämförelser med Eurodacuppgifter i brottsbekämpande syfte – Konsekvensbedömning, SEK(2009) 936. Se även KOM(2010) 555, s. 3.

33

(34)  Meddelandet, s. 10.

34

(35)  Meddelandet, s. 10.

35

(36)  Det måste också undersökas vilka undantag – t.ex. av medicinska eller humanitära skäl – som skulle gälla.

36

(37)  Se datatillsynsmannens yttrande av den 30 september 2010, punkterna 52–56.

37

(38)  Se datatillsynsmannens preliminära synpunkter av den 3 mars 2008, s. 4.

38

(39)  Kommissionens meddelande: Årsrapport om invandring och asyl, KOM(2011) 291, s. 9.

39

(40)  Se t.ex. datatillsynsmannens yttrande av den 16 oktober 2006 om det ändrade förslaget till rådets förordning om ändring av förordning (EG) nr 1030/2002 om en enhetlig utformning av uppehållstillstånd för medborgare i tredjeland (EUT C 320, 28.12.2006, s. 21). Se även artikel 29-gruppen för skydd av personuppgifter, yttrande nr 3/2007 om förslaget till Europaparlamentets och rådets förordning om ändring av de gemensamma konsulära anvisningarna angående viseringar till diplomatiska beskickningar och karriärkonsulat i samband med införandet av biometri samt bestämmelser om organiseringen av mottagandet och behandlingen av viseringsansökningar (KOM(2009) 269, slutlig), WP134 av den 1 mars 2007.

40

(41)  Se t.ex. datatillsynsmannens yttrande av den 19 oktober 2005 om förslaget till rådets beslut om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II), om förslaget till Europaparlamentets och rådets förordning om inrättande, drift och användning av andra generationen av Schengens informationssystem (...) (EUT C 91, 19.4.2006, s. 38), samt Towards more comprehensive data protection in Europe including Biometrics — a European perspective, tolfte konferensen – Biometrics Institute Australia, Sydney, 26 maj 2011:

41

Towards more comprehensive data protection in Europe including Biometrics — a European perspective

http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2011/11-05-26_Biometrics_Institute_EN.pdf

(42)  T.ex. på grund av sjukdom, funktionsnedsättningar, skador eller brännsår. Dessutom verkar fingeravtrycken hos personer som arbetar inom jordbruk eller byggnadssektorn i ett icke försumbart antal fall vara så pass skadade att de inte går att läsa av. Se datatillsynsmannens yttrande av den 15 december 2010, punkt 19.

42

(43)  Liknande synpunkter på Eurodac finns i datatillsynsmannens yttrande av den 15 december 2010, punkterna 18–25.

43

(44)  På en av de flygplatser som valdes ut för testerna uppgick arbetskostnaderna för 35 dagars testverksamhet till 393 410 USD, vilket utmynnade i 90 misstänkta fall av vistelse efter det att viseringen hade löpt ut. Vid ett annat test som utfördes samtidigt fick man 44 misstänkta träffar, till en kostnad av 77 501 USD. Dessa siffror omfattar inte utvecklingskostnaderna. Se nedan för en bedömning av dessa tester: United States Government Accountability Office: US-VISIT Pilot Evaluations Offer Limited Understanding of Air Exit Options, augusti 2010, GAO-10-860, på http://www.gao.gov/new.items/d10860.pdf (nedan kallad US GAO: US-VISIT Pilot Evaluations).

44

US GAO: US-VISIT Pilot Evaluations

(45)  Återgiven i US GAO: US-VISIT Pilot Evaluations, s. 72.

45

(46)  US GAO: US-VISIT Pilot Evaluations, s. 72.

46

(47)  Se datatillsynsmannens preliminära synpunkter av den 3 mars 2008, s. 4.

47

(48)  Meddelandet, s. 11.

48

(49)  Se även datatillsynsmannens preliminära synpunkter av den 3 mars 2008.

49

(50)  Meddelandet, s. 10.

50

(51)  Meddelandet, s. 8.

51

(52)  Meddelandet, s. 8.

52

(53)  Datatillsynsmannens yttrande av den 17 maj 2010 över förslaget till Europaparlamentets och rådets förordning om ändring av rådets förordning (EG) nr 2007/2004 om inrättande av en europeisk byrå för förvaltningen av det operativa samarbetet vid Europeiska unionens medlemsstaters yttre gränser (Frontex), ännu ej offentliggjort i EUT. Se även datatillsynsmannens yttrande av den 17 december 2010, punkterna 48–51.

53

(54)  Meddelandet, s. 18.

54

(55)  Meddelandet, s. 7.

55

(56)  Meddelandet, s. 8.

56

(57)  Meddelandet, s. 8.

57

(58)  Se även datatillsynsmannens yttrande av den 17 december 2010, punkterna 46–47, där denna fråga redan har behandlats. I det yttrandet behandlas också den hittills olösta frågan om hur de tänkta förbindelserna mellan Frontex och Eurosur ska se ut.

58

(59)  Meddelandet, s. 7.

59

(60)  Meddelandet, s. 7.

60

---

IV Upplysningar

UPPLYSNINGAR FRÅN EUROPEISKA UNIONENS INSTITUTIONER, BYRÅER OCH ORGAN

Europeiska kommissionen

| 8.2.2012 | SV | Europeiska unionens officiella tidning | C 34/27 |
| --- | --- | --- | --- |

8.2.2012

SV

Europeiska unionens officiella tidning

C 34/27

---

Eurons växelkurs (1)

7 februari 2012

2012/C 34/03

1 euro =

| | Valuta | Kurs |
| --- | --- | --- |
| USD | US-dollar | 1,3113 |
| JPY | japansk yen | 100,67 |
| DKK | dansk krona | 7,4336 |
| GBP | pund sterling | 0,83020 |
| SEK | svensk krona | 8,8215 |
| CHF | schweizisk franc | 1,2087 |
| ISK | isländsk krona | |
| NOK | norsk krona | 7,6225 |
| BGN | bulgarisk lev | 1,9558 |
| CZK | tjeckisk koruna | 25,000 |
| HUF | ungersk forint | 291,66 |
| LTL | litauisk litas | 3,4528 |
| LVL | lettisk lats | 0,6990 |
| PLN | polsk zloty | 4,1783 |
| RON | rumänsk leu | 4,3523 |
| TRY | turkisk lira | 2,3076 |
| AUD | australisk dollar | 1,2161 |
| CAD | kanadensisk dollar | 1,3088 |
| HKD | Hongkongdollar | 10,1682 |
| NZD | nyzeeländsk dollar | 1,5747 |
| SGD | singaporiansk dollar | 1,6370 |
| KRW | sydkoreansk won | 1 467,38 |
| ZAR | sydafrikansk rand | 9,9577 |
| CNY | kinesisk yuan renminbi | 8,2763 |
| HRK | kroatisk kuna | 7,5750 |
| IDR | indonesisk rupiah | 11 791,87 |
| MYR | malaysisk ringgit | 3,9509 |
| PHP | filippinsk peso | 55,715 |
| RUB | rysk rubel | 39,2870 |
| THB | thailändsk baht | 40,611 |
| BRL | brasiliansk real | 2,2636 |
| MXN | mexikansk peso | 16,6601 |
| INR | indisk rupie | 64,7060 |

Valuta

Kurs

USD

US-dollar

1,3113

JPY

japansk yen

100,67

DKK

dansk krona

7,4336

GBP

pund sterling

0,83020

SEK

svensk krona

8,8215

CHF

schweizisk franc

1,2087

ISK

isländsk krona

NOK

norsk krona

7,6225

BGN

bulgarisk lev

1,9558

CZK

tjeckisk koruna

25,000

HUF

ungersk forint

291,66

LTL

litauisk litas

3,4528

LVL

lettisk lats

0,6990

PLN

polsk zloty

4,1783

RON

rumänsk leu

4,3523

TRY

turkisk lira

2,3076

AUD

australisk dollar

1,2161

CAD

kanadensisk dollar

1,3088

HKD

Hongkongdollar

10,1682

NZD

nyzeeländsk dollar

1,5747

SGD

singaporiansk dollar

1,6370

KRW

sydkoreansk won

1 467,38

ZAR

sydafrikansk rand

9,9577

CNY

kinesisk yuan renminbi

8,2763

HRK

kroatisk kuna

7,5750

IDR

indonesisk rupiah

11 791,87

MYR

malaysisk ringgit

3,9509

PHP

filippinsk peso

55,715

RUB

rysk rubel

39,2870

THB

thailändsk baht

40,611

BRL

brasiliansk real

2,2636

MXN

mexikansk peso

16,6601

INR

indisk rupie

64,7060

---

(1)  Källa: Referensväxelkurs offentliggjord av Europeiska centralbanken.

---

V Yttranden

ÖVRIGA AKTER

Europeiska kommissionen

| 8.2.2012 | SV | Europeiska unionens officiella tidning | C 34/28 |
| --- | --- | --- | --- |

8.2.2012

SV

Europeiska unionens officiella tidning

C 34/28

---

Meddelande till Monir Chouka, Yassin Chouka och Mevlüt Kar som genom kommissionens förordning (EU) nr 97/2012 lagts till i de förteckningar som avses i artiklarna 2, 3 och 7 i rådets förordning (EG) nr 881/2002 om införande av vissa särskilda restriktiva åtgärder mot vissa med nätverket al-Qaida associerade personer och enheter

| 1. | Genom gemensam ståndpunkt 2002/402/Gusp (1) uppmanas unionen att frysa tillgångar (även kallat penningmedel) och ekonomiska resurser som tillhör medlemmar av al-Qaida-organisationen samt andra personer, grupper, företag och enheter som är associerade med dem, enligt den förteckning som upprättats i enlighet med UNSCR 1267 (1999) och 1333 (2000) och som ska uppdateras regelbundet av den FN-kommitté som inrättats genom UNSCR 1267 (1999).
  Den förteckning som upprättats av FN-kommittén omfattar






  — | Al-Qaida, |
| --- | --- | --- |

1.

Genom gemensam ståndpunkt 2002/402/Gusp (1) uppmanas unionen att frysa tillgångar (även kallat penningmedel) och ekonomiska resurser som tillhör medlemmar av al-Qaida-organisationen samt andra personer, grupper, företag och enheter som är associerade med dem, enligt den förteckning som upprättats i enlighet med UNSCR 1267 (1999) och 1333 (2000) och som ska uppdateras regelbundet av den FN-kommitté som inrättats genom UNSCR 1267 (1999).

Den förteckning som upprättats av FN-kommittén omfattar

—

Al-Qaida,

| — | fysiska eller juridiska personer, enheter eller organ som är associerade med al-Qaida, och |
| --- | --- |

—

fysiska eller juridiska personer, enheter eller organ som är associerade med al-Qaida, och

| — | juridiska personer, enheter och organ som ägs eller kontrolleras av, eller som på annat sätt stöder, någon av dessa associerade personer, enheter, organ och grupper. |
| --- | --- |

—

juridiska personer, enheter och organ som ägs eller kontrolleras av, eller som på annat sätt stöder, någon av dessa associerade personer, enheter, organ och grupper.

Sådana handlingar eller sådan verksamhet som anger att en person, en grupp, ett företag eller en enhet är ”associerad med” al-Qaida omfattar följande:

| a) | Deltagande i finansiering, planering, underlättande, förberedande eller genomförande av handlingar eller verksamhet som företas av, tillsammans med, i namnet av, på vägnar av eller till stöd för al-Qaida alternativt celler, filialer, utbrytargrupper eller avknoppningar till denna organisation, |
| --- | --- |

a)

Deltagande i finansiering, planering, underlättande, förberedande eller genomförande av handlingar eller verksamhet som företas av, tillsammans med, i namnet av, på vägnar av eller till stöd för al-Qaida alternativt celler, filialer, utbrytargrupper eller avknoppningar till denna organisation,

| b) | tillhandahållande, försäljning eller överförande av vapen och därtill hörande materiel till någon av dessa, |
| --- | --- |

b)

tillhandahållande, försäljning eller överförande av vapen och därtill hörande materiel till någon av dessa,

| c) | rekrytering till någon av dessa eller |
| --- | --- |

c)

rekrytering till någon av dessa eller

| d) | annat stöd till deras handlingar eller verksamhet. |
| --- | --- |

d)

annat stöd till deras handlingar eller verksamhet.

| 2. | FN-kommittén beslutade den 25 januari 2012 att lägga till Monir Chouka, Yassin Chouka och Mevlüt Kar i förteckningen i fråga. De får när som helst lämna in en begäran till FN:s ombudsman, tillsammans med styrkande handlingar, om att beslutet att föra upp dem på FN:s förteckning omprövas. En sådan begäran ska ställas till följande adress:





  United Nations — Office of the Ombudsperson |
| --- | --- |
| Room TB-08041D |
| New York, NY 10017 |
| UNITED STATES OF AMERICA |
| Tfn +1 2129632671 |
| Fax +1 2129631300 / 3778 |
| E-post: ombudsperson@un.org |

2.

FN-kommittén beslutade den 25 januari 2012 att lägga till Monir Chouka, Yassin Chouka och Mevlüt Kar i förteckningen i fråga. De får när som helst lämna in en begäran till FN:s ombudsman, tillsammans med styrkande handlingar, om att beslutet att föra upp dem på FN:s förteckning omprövas. En sådan begäran ska ställas till följande adress:

United Nations — Office of the Ombudsperson

Room TB-08041D

New York, NY 10017

UNITED STATES OF AMERICA

Tfn +1 2129632671

Fax +1 2129631300 / 3778

E-post: ombudsperson@un.org

Se http://www.un.org/sc/committees/1267/delisting.shtml för mer information.

| 3. | Som en följd av det FN-beslut som avses i punkt 2 har kommissionen antagit förordning (EU) nr 97/2012 (2), som ändrar bilaga I till rådets förordning (EG) nr 881/2002 om införande av vissa särskilda restriktiva åtgärder mot vissa med nätverket al-Qaida associerade personer och enheter (3). Genom ändringen, som görs med stöd av artiklarna 7.1 a och 7a.1 i förordning (EG) nr 881/2002, läggs Monir Chouka, Yassin Chouka och Mevlüt Kar till i förteckningen i bilaga I till förordningen (nedan kallad bilaga I).
  De personer och enheter som läggs till i bilaga I omfattas av följande åtgärder enligt förordning (EG) nr 881/2002:






  1. | Frysning av alla tillgångar och ekonomiska resurser som tillhör eller ägs eller innehas av de berörda personerna och enheterna samt förbud (för alla) mot att direkt eller indirekt göra tillgångar och ekonomiska resurser tillgängliga för, eller till förmån för, de berörda personerna och enheterna (artiklarna 2 och 2a (4)), och |
| --- | --- | --- |

3.

Som en följd av det FN-beslut som avses i punkt 2 har kommissionen antagit förordning (EU) nr 97/2012 (2), som ändrar bilaga I till rådets förordning (EG) nr 881/2002 om införande av vissa särskilda restriktiva åtgärder mot vissa med nätverket al-Qaida associerade personer och enheter (3). Genom ändringen, som görs med stöd av artiklarna 7.1 a och 7a.1 i förordning (EG) nr 881/2002, läggs Monir Chouka, Yassin Chouka och Mevlüt Kar till i förteckningen i bilaga I till förordningen (nedan kallad bilaga I).

De personer och enheter som läggs till i bilaga I omfattas av följande åtgärder enligt förordning (EG) nr 881/2002:

1.

Frysning av alla tillgångar och ekonomiska resurser som tillhör eller ägs eller innehas av de berörda personerna och enheterna samt förbud (för alla) mot att direkt eller indirekt göra tillgångar och ekonomiska resurser tillgängliga för, eller till förmån för, de berörda personerna och enheterna (artiklarna 2 och 2a (4)), och

| 2. | Förbud mot att direkt eller indirekt bevilja, sälja, tillhandahålla eller överföra teknisk rådgivning, tekniskt stöd eller teknisk utbildning som rör militär verksamhet till de berörda personerna och enheterna (artikel 3). |
| --- | --- |

2.

Förbud mot att direkt eller indirekt bevilja, sälja, tillhandahålla eller överföra teknisk rådgivning, tekniskt stöd eller teknisk utbildning som rör militär verksamhet till de berörda personerna och enheterna (artikel 3).

| 4. | I artikel 7a i förordning (EG) nr 881/2002 (5) föreskrivs ett förfarande för omprövning om någon som uppförts på förteckningen lägger fram synpunkter på skälen till att vederbörande förts upp på förteckningen. De personer och enheter som genom förordning (EU) nr 97/2012 läggs till i bilaga I får begära information från kommissionen om skälen till att de förts upp på förteckningen. En sådan begäran ska ställas till följande adress:





  European Commission |
| --- | --- |
| ‘Restrictive measures’ |
| Rue de la Loi/Wetstraat 200 |
| 1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

4.

I artikel 7a i förordning (EG) nr 881/2002 (5) föreskrivs ett förfarande för omprövning om någon som uppförts på förteckningen lägger fram synpunkter på skälen till att vederbörande förts upp på förteckningen. De personer och enheter som genom förordning (EU) nr 97/2012 läggs till i bilaga I får begära information från kommissionen om skälen till att de förts upp på förteckningen. En sådan begäran ska ställas till följande adress:

European Commission

‘Restrictive measures’

Rue de la Loi/Wetstraat 200

1049 Bruxelles/Brussel

BELGIQUE/BELGIË

| 5. | De berörda personerna och enheterna uppmärksammas också på möjligheten att väcka talan mot förordning (EU) nr 97/2012 vid Europeiska unionens tribunal enligt villkoren i artikel 263 fjärde och sjätte styckena i fördraget om Europeiska unionens funktionssätt. |
| --- | --- |

5.

De berörda personerna och enheterna uppmärksammas också på möjligheten att väcka talan mot förordning (EU) nr 97/2012 vid Europeiska unionens tribunal enligt villkoren i artikel 263 fjärde och sjätte styckena i fördraget om Europeiska unionens funktionssätt.

| 6. | De personer och enheter som lagts till i bilaga I uppmärksammas på möjligheten att vända sig till de behöriga myndigheterna i medlemsstaten/medlemsstaterna i fråga, enligt förteckningen i bilaga II till förordning (EG) nr 881/2002, med en ansökan om tillstånd att få använda frysta tillgångar och ekonomiska resurser för grundläggande behov eller särskilda betalningar enligt artikel 2a i den förordningen. |
| --- | --- |

6.

De personer och enheter som lagts till i bilaga I uppmärksammas på möjligheten att vända sig till de behöriga myndigheterna i medlemsstaten/medlemsstaterna i fråga, enligt förteckningen i bilaga II till förordning (EG) nr 881/2002, med en ansökan om tillstånd att få använda frysta tillgångar och ekonomiska resurser för grundläggande behov eller särskilda betalningar enligt artikel 2a i den förordningen.

---

(1)  EGT L 139, 29.5.2002, s. 4.

(2)  EUT L 35, 8.2.2012, s. 4.

(3)  EGT L 139, 29.5.2002, s. 9.

(4)  Artikel 2a infördes genom rådets förordning (EG) nr 561/2003 (EUT L 82, 29.3.2003, s. 1).

(5)  Artikel 7a infördes genom rådets förordning (EU) nr 1286/2009 (EUT L 346, 23.12.2009, s. 42).

---