Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslag til Europa-Parlamentets og Rådets forordning om de finansielle regler vedrørende Unionens almindelige budget (omarbejdning)

(2022/C 288/05)

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS' websted https://edps.europa.eu)

Den 16. maj 2022 fremlagde Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets forordning om de finansielle regler vedrørende Unionens almindelige budget og om ændring af finansforordningen. EDPS bemærker, at forslaget har til formål at forbedre kvaliteten og interoperabiliteten af oplysninger om modtagere af EU-midler og om dem, der i sidste ende direkte eller indirekte modtager EU-midler, med henblik på effektivt at forebygge, opdage, undersøge og korrigere svig eller afhjælpe uregelmæssigheder.

EDPS støtter fuldt ud forslagets mål, herunder den øgede brug af digitalisering for bedre at beskytte EU’s finansielle interesser og bekæmpe svig og andre uregelmæssigheder. Selv om behandling af personoplysninger kan være nødvendig for at nå dette mål, påhviler det EU-lovgiveren at sikre, at ethvert indgreb i retten til databeskyttelse begrænses til, hvad der er strengt nødvendigt, og står i et rimeligt forhold til de tilstræbte mål.

EDPS glæder sig over, at forslaget tilsigter at fastsætte de kategorier af oplysninger, der vil blive behandlet, med henblik på at nå forslagets mål. EDPS forstår imidlertid, at processen med datamining og risikovurdering ikke vil være begrænset til de oplysninger, der udtrykkeligt er identificeret i forslaget, og at disse oplysninger ville blive sammenlignet med oplysninger fra andre kilder. EDPS finder det nødvendigt udtrykkeligt at identificere alle de kategorier af personoplysninger, der skal behandles, samt kilderne til disse oplysninger. Der bør også indføres fornødne garantier for at sikre disse oplysningers kvalitet og nøjagtighed, navnlig under omstændigheder, hvor disse andre oplysninger ville blive indsamlet fra tredjeparter.

EDPS bemærker, at forslaget ikke indeholder yderligere information om selve IT-systemet. Han anbefaler derfor, at det præciseres, hvilken type IT-system der skal anvendes, navnlig om Kommissionen agter at basere systemet på det allerede eksisterende IT-system »Arachne« eller at oprette et helt nyt IT-system. Uanset anvendelsen af eksisterende strukturer vil EDPS gerne minde om, at der skal sikres og indføres fornødne garantier i dette IT-systems arkitektur i overensstemmelse med de generelle databeskyttelsesregler, der gælder for behandlingen af personoplysninger. Dette bør klart afspejles i forbindelse med udformningen og udviklingen af IT-systemet i overensstemmelse med kravet om databeskyttelse gennem design.

EDPS anbefaler ligeledes kraftigt, at medlovgiveren klart definerer den maksimale periode, hvori de omhandlede personoplysninger kan opbevares og være tilgængelige i det fælles integrerede IT-system til datamining og risikovurdering, som Kommissionen stiller til rådighed.

Med hensyn til offentliggørelse af relevant information om alle modtagere af midler, der finansieres over EU-budgettet, noterer EDPS sig med tilfredshed de bestræbelser, der er gjort for at skabe balance mellem princippet om gennemsigtighed og indgrebet i de pågældende modtageres ret til privatlivets fred i almindelighed og til beskyttelse af deres personoplysninger ved at fritage modtagere fra offentliggørelse af deres personoplysninger, hvis visse betingelser opfyldes (tærskel for det modtagne støttebeløb, foranstaltningens art, risici for rettigheder og frihedsrettigheder osv.).

1. INDLEDNING

1. Den 16. maj 2022 fremlagde Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets forordning om de finansielle regler vedrørende Unionens almindelige budget (omarbejdning) (»forslaget«) og om ændring af finansforordningen ( 1 )

2. Formålet med forslaget er at tilpasse finansforordningen til den flerårige finansielle ramme (FFR) for 2021-2027 for at opretholde et »fælles regelsæt« for Unionens udgifter, hvilket indebærer, at alle generelle finansielle regler omfattes af finansforordningen. Desuden indeholder forslaget målrettede forbedringer og forenklinger, som er blevet identificeret siden ikrafttrædelsen af finansforordningen fra 2018. Forslaget har også til formål at øge brugen af digitalisering for bedre at beskytte EU’s finansielle interesser, bidrage bedre til at nå EU’s politiske mål og opnå en yderligere forenkling for modtagere af EU-midler ( 2 )

3. Denne udtalelse fra EDPS er afgivet på grundlag af en høring fra Europa-Kommissionen af 16. maj 2022 i medfør af artikel 42, stk. 1, i EUDPR ( 3 ) . EDPS bifalder henvisningen til denne høring i forslagets betragtning 257. I denne henseende noterer EDPS sig ligeledes med tilfredshed, at han var blevet hørt uformelt i medfør af betragtning 60 i EUDPR.

5. KONKLUSIONER

26. På baggrund af ovenstående fremsætter EDPS følgende henstillinger: (1) at præcisere rollen for alle enheder, der ville anvende og få adgang til personoplysninger, der behandles af det fælles integrerede IT-system til datamining og risikovurdering (2) at det præciseres, hvilken type IT-system der skal anvendes, navnlig om Kommissionen agter at basere systemet på det allerede eksisterende IT-system »Arachne« eller at oprette et helt nyt IT-system (3) udtrykkeligt at identificere alle de pågældende kategorier af oplysninger, dvs. hvilke oplysninger der vil blive behandlet/sat i forbindelse med de identifikationsoplysninger, der er nævnt i forslagets artikel 36, stk. 6, samt kilderne til disse oplysninger (4) indføre fornødne garantier for at sikre oplysningernes kvalitet og nøjagtighed, navnlig hvor disse andre oplysninger ville blive indhentet fra tredjeparter (5) uanset om Kommissionen agter at gøre brug af eksisterende strukturer, i selve forslaget at medtage en detaljeret beskrivelse af IT-værktøjet, herunder databeskyttelsesroller og -ansvar og relevante gældende garantier (6) at anvende yderligere garantier for de typer af oplysninger, der ikke offentliggøres. F.eks. bør pseudonymisering af oplysninger overvejes (7) at præcisere, om elektronisk registrering og lagring af oplysninger ville blive foretaget inden for IT-systemet til datamining og risikovurdering, eller om IT-systemet kun ville have adgang til oplysninger, der er lagret andetsteds (8) klart at definere den maksimale periode, hvori de i forslagets artikel 36 omhandlede oplysninger kan opbevares og være tilgængelige i det fælles integrerede IT-system til datamining og risikovurdering, som Kommissionen stiller til rådighed.

Bruxelles, den 7. juli 2022. Wojciech Rafał WIEWIÓROWSKI

(1) Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 af 18. juli 2018 om de finansielle regler vedrørende Unionens almindelige budget, om ændring af forordning (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 og afgørelse nr. 541/2014/EU og om ophævelse af forordning (EU, Euratom) nr. 966/2012 (EUT L 193 af 30.7.2018, s. 1).

(2) Se COM(2022) 223 final, s. 1.

(3) Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).