DA Den Europæiske Unions Tidende C 147/1

Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om Kommissionens forslag til Europa-Parlamentets og Rådets direktiv om markeder for finansielle instrumenter og ophævelse af Europa-Parlamentets og Rådets direktiv 2004/39/EF og om Europa-Parlamentets og Rådets forordning om markeder for finansielle instrumenter og om ændring af forordningen om OTC-derivater, centrale modparter og transaktionsregistre

2012/C 147/01

DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16,

under henvisning til Den Europæiske Unions charter om grundlæggende rettigheder, særlig artikel 7 og 8,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1),

under henvisning til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (2), særlig artikel 28, stk. 2, —

VEDTAGET FØLGENDE UDTALELSE:

1. INDLEDNING

1.1. Høring af den tilsynsførende (EDPS)

1. Denne udtalelse er en del af en pakke bestående af fire udtalelser fra den tilsynsførende om den finansielle sektor, der blev vedtaget samme dag (3).

2. Den 20. oktober 2011 vedtog Kommissionen et forslag til Europa-Parlamentets og Rådets direktiv om markeder for finansielle instrumenter og ophævelse af Europa-Parlamentets og Rådets direktiv 2004/39/EF (4) (direktivforslaget) og et forslag til Europa-Parlamentets og Rådets forordning om markeder for finansielle instrumenter og om ændring af forordningen (EMIR) om OTC-derivater, centrale modparter og transaktionsregistre (forslaget til forordning) (begge tekster benævnes i det følgende i fællesskab som »forslagene«).

3. Den tilsynsførende blev hørt uformelt inden vedtagelsen af forslagene. Den tilsynsførende bemærker, at mange af hans bemærkninger er taget i betragtning i forslagene.

1.2. Forslagenes mål og anvendelsesområder

4. Direktivet om markeder for finansielle instrumenter (MiFID), som trådte i kraft i november 2007, er en af hjørnestenene i integreringen af EU's finansielle markeder. Det består i øjeblikket af et rammedirektiv (direktiv 2004/39/EF), et gennemførelsesdirektiv (direktiv 2006/73/EF) og en gennemførelsesforordning (forordning (EF) nr. 1287/2006).

5. Med MiFID er der etableret et regelsæt for bankers og investeringsselskabers ydelser af investeringsservice i forbindelse med finansielle instrumenter (f.eks. mægling, rådgivning, handel, porteføljepleje, emissionsgaranti etc.) og for markedsoperatørers virksomhed på regulerede markeder. Det fastlægger også, hvilke beføjelser og opgaver der tilkommer de kompetente nationale myndigheder i forbindelse med disse aktiviteter. I praksis afskaffer det medlemsstaternes mulighed for at kræve, at al handel med finansielle instrumenter skal foregå på bestemte markeder, og det muliggør europæisk konkurrence mellem traditionelle markeder og alternative markeder.

6. Efter at bestemmelserne har været i kraft i over tre år, har de givet øget konkurrence mellem markedspladserne i forbindelse med handel med finansielle instrumenter, og der er blevet flere valgmuligheder for investorer med hensyn til tjenesteydere og tilgængelige finansielle instrumenter. Der er dog også opstået visse problemer. For eksempel er fordelene ved den nye konkurrence ikke kommet alle markedsdeltagere til gode i lige stort omfang, og de er ikke altid blevet ført videre til de endelige investorer, detailhandelen eller engrosniveauet, markedsudviklingen og den teknologiske udvikling har overhalet forskellige MiFID-bestemmelser, og finanskrisen har afsløret en række svagheder i reguleringen af visse instrumenter.

7. MiFID-revisionen har til formål at vedtage og opdatere de nuværende regler til markedsudviklingen — herunder finanskrisen og den teknologiske udvikling — og gøre dem mere effektive.

1.3. Formålet med den tilsynsførendes udtalelse

8. Adskillige aspekter af forslaget har indvirkning på enkeltpersoners rettigheder vedrørende behandlingen af deres personoplysninger. Det drejer sig om: 1) forpligtelsen til at føre protokoller og foretage transaktionsindberetning, 2) de kompetente myndigheders beføjelser (inklusive inspektionsbeføjelsen og beføjelsen til at kræve udlevering af telefon- og datatrafik), 3) offentliggørelse af sanktioner, 4) rapportering om overtrædelser samt i særdeleshed bestemmelser om lækning af informationer, 5) samarbejde mellem medlemsstaternes ansvarlige myndigheder og ESMA.

2. ANALYSE AF FORSLAGENE

2.1. Databeskyttelseslovgivningens anvendelsesområde

9. Adskillige betragtninger (5) i forslaget nævner chartret om grundlæggende rettigheder, direktiv 95/46/EF og forordning (EF) nr. 45/2001. Der bør imidlertid indsættes en henvisning til den relevante databeskyttelseslovgivning i en væsentlig artikel i forslagene.

10. Et godt eksempel på en sådan materiel bestemmelse findes i artikel 22 i Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (6), der udtrykkeligt nævner som en generel regel, at direktiv 95/46/EF og forordning (EF) nr. 45/2001 finder anvendelse for behandling af personoplysninger inden for forslagets ramme. Den tilsynsførende afgav for nylig en udtalelse om dette forslag, hvor han i høj grad bifalder denne overordnede bestemmelse. Den tilsynsførende foreslår imidlertid, at henvisningen til direktiv 95/46/EF præciseres ved at anføre, at bestemmelserne finder anvendelse i overensstemmelse med de nationale bestemmelser til gennemførelse af direktiv 95/46/EF.

11. Den tilsynsførende foreslår derfor, at der indsættes en lignende materiel bestemmelse som i artikel 22 i forslaget til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (7) i henhold til hans forslag om dette forslag (8), dvs. anvendeligheden af eksisterende databeskyttelseslovgivning og en præcisering af henvisningen til direktiv 95/46/EF ved at anføre, at bestemmelserne finder anvendelse i overensstemmelse med de nationale bestemmelser til gennemførelse af direktiv 95/46/EF.

12. Betragtningerne bør også konsekvent anvende ordlyden, at medlemsstaterne »skal« og ikke kun »bør« respektere den relevante databeskyttelseslovgivning, da sidstnævnte er gældende, og der ikke findes nogen skønsmargin med hensyn til dens anvendelse.

2.2. Forpligtelse til at føre protokoller og foretage transaktionsindberetning

2.2.1. Forpligtelser i henhold til forslaget til forordning

13. Betragtning 27 og artikel 21 til 23 i forslaget til forordning introducerer princippet ifølge hvilket de kompetente myndigheder og ESMA skal føre tilsyn med investeringsselskabers virksomhed for at sikre, at de handler ærligt, redeligt og professionelt på en måde, der fremmer markedets integritet. For at gøre det skal myndighederne kunne identificere den person, der har truffet investeringsbeslutningen, samt de ansvarlige for dens udførelse (betragtning 28).

14. For at gennemføre denne overvågningsaktivitet skal investeringsselskaber ifølge artikel 22 sørge for, at de relevante oplysninger om samtlige transaktioner med finansielle instrumenter, som de har foretaget, er tilgængelige for den kompetente myndighed i mindst fem år. Disse registre skal indeholde alle oplysninger og nærmere enkeltheder om kundens identitet. De nærmere oplysninger om transaktioner med finansielle instrumenter skal indberettes til de kompetente myndigheder for at sætte dem i stand til at opdage og undersøge potentielle tilfælde af markedsmisbrug og sikre redelige og velfungerende markeder samt kontrol med investeringsselskabernes aktiviteter. ESMA kan også kræve adgang til disse oplysninger.

15. Investeringsselskaberne skal snarest muligt give de kompetente myndigheder nærmere oplysninger om disse transaktioner inklusive kundernes identitet (artikel 23). Hvis de involverede kunder er fysiske personer, omfatter disse operationer behandling af personoplysninger i henhold til direktiv 95/46/EF og forordning (EF) nr. 45/2001 samt muligvis oprettelse af generelle databaser.

16. Konsekvensanalysen synes ikke at tage fat på vurderingen af opbevaringsfristen på fem år for transaktionsindberetninger. Som det fremgår af artikel 6, stk. 1, litra e), i direktiv 95/46/EF, bør personoplysninger ikke opbevares længere end nødvendigt af hensyn til det formål, som de blev indhentet til. For at leve op til dette krav foreslår den tilsynsførende, at den minimale opbevaringsperiode på 5 år erstattes med en maksimal opbevaringsperiode. Den valgte periode skal være nødvendig og stå i et passende forhold til det formål, som oplysningerne er indsamlet til.

2.2.2. Forpligtelser i henhold til direktivforslaget

17. Artikel 16 i direktivet omfatter organisationsmæssige krav til investeringsselskaber. Selskaberne skal i særdeleshed sørge for at føre fortegnelser over alle tjenester og transaktioner, hvilket vil sætte de pågældende kompetente myndigheder i stand til at kontrollere, om kravene i henhold til direktivet opfyldes. Sådanne fortegnelser vil gøre det muligt at kontrollere, at investeringsselskaberne har overholdt deres forpligtelser i forhold til kunder eller potentielle kunder. Skønt det ikke er specificeret i teksten, må det antages, at sådanne oplysninger vil indeholde personlige oplysninger om kunder og ansatte.

18. I henhold til artikel 16, stk. 12, har Kommissionen beføjelser til at vedtage delegerede retsakter for at angive de konkrete organisatoriske krav, der er præciseret i denne artikel. I denne henseende opfordrer den tilsynsførende Kommissionen til at høre ham i forbindelse med vedtagelsen af de delegerede retsakter. Under alle omstændigheder bør sådanne foranstaltninger sigte mod at minimere opbevaringen og behandlingen af de personlige oplysninger, som investeringsselskaberne skal registrere. Som allerede nævnt i forbindelse med forordningen skal Kommissionen også grundigt evaluere, hvilken opbevaringsperiode der skal indføres for sådanne informationer for at sikre, at lagringen er tilstrækkelig og forholdsmæssig.

2.3. Pligt til at registrere telefonsamtaler eller elektroniske meddelelser

19. Ifølge direktivforslaget skal telefonsamtaler eller elektroniske meddelelser registreres.

20. Registreringer af telefonsamtaler eller elektroniske meddelelser indeholder normalt personoplysninger om meddelelsens parter, skønt de vedrører finansielle transaktioner eller professionelle aktiviteter. Oplysninger vedrørende elektroniske meddelelser kan overbringe en lang række personoplysninger inklusive trafikdata og indhold. Endvidere indebærer brugen af udtrykket »samtaler«, at indholdet af kommunikationen bliver registreret.

21. Hvad angår personoplysninger i henhold til direktiv 95/46/EF og forordning (EF) nr. 45/2001 gælder de væsentligste databeskyttelsesregler og i særdeleshed principperne om formålsbegrænsning, nødvendighed og proportionalitet samt pligten til ikke at opbevare oplysningerne længere end nødvendigt.

Formålsbegrænsning

22. Ifølge artikel 6, stk. 1, litra b), i direktiv 95/46/EF skal personoplysninger indsamles til udtrykkeligt angivne og legitime formål, og de må ikke senere behandles på en måde, der anses for uforenelig med disse formål.

23. Artikel 16, stk. 7, i direktivforslaget angiver ikke eksplicit formålet med registreringen af telefonsamtaler og elektroniske meddelelser. Der henvises imidlertid til adskillige forskellige formål i betragtning 42, artikel 16, stk. 6, i direktivforslaget, i CESR's rådgivning og i konsekvensanalysen.

24. Ifølge artikel 16, stk. 6, i direktivforslaget skal et investeringsselskab opbevare lister over udførte tjenesteydelser og transaktioner, »så den kompetente myndighed på grundlag heraf kan kontrollere, om kravene i henhold til direktivforslaget opfyldes, og især forvisse sig om, at investeringsselskabet har opfyldt alle sine forpligtelser over for sine kunder eller potentielle kunder«.

25. I betragtning 42 i direktivforslaget står der, at »Registrering af telefonsamtaler eller elektroniske meddelelser vedrørende kundeordrer (…) er begrundet i behovet for at styrke investorbeskyttelsen, forbedre markedsovervågningen og øge retssikkerheden i investeringsselskabernes og deres kunders interesse«. Denne betragtning nævner også den tekniske rådgivning til Europa-Kommissionen, som Det Europæiske Værdipapirtilsynsudvalg (CESR) udsendte den 29. juli 2010 om betydningen af sådanne registreringer (9).

26. CESR's rådgivning fremhæver, at registrering af samtaler ifølge de kompetente myndigheder vil være nødvendig for i) at sikre den fornødne dokumentation til at løse tvister mellem et investeringsselskab og dets kunder om transaktionernes betingelser, ii) at fremme tilsynsarbejdet vedrørende regler for god forretningsskik, og iii) at medvirke til at hindre og opdage markedsmisbrug og fremme håndhævelsen på dette område. Registreringen vil ikke være det eneste middel til at sikre myndighedernes overvågning, men den »kan hjælpe« en kompetent myndighed med f.eks. at kontrollere overholdelsen af kravene i MiFID om oplysning af kunder og potentielle kunder om best execution og behandling af kundeordrer.

27. Konsekvensanalysen forklarer, at »de kompetente myndigheder har brug for disse oplysninger (dvs. registrering af telefonsamtaler og elektroniske meddelelser) for at sikre markedets integritet og overholdelse af regler for god forretningsskik« (10).

28. De forskellige formål, der nævnes i betragtning 42, artikel 16, stk. 6, i direktivforslaget, CESR's rådgivning og konsekvensanalysen, beskrives ikke på en logisk og konsekvent måde, men skal findes flere forskellige steder i forslaget og sidedokumenter. Ifølge artikel 6, stk.1, i direktiv 95/46/EF skal oplysninger indsamles til udtrykkeligt angivne og legitime formål. Den tilsynsførende opfordrer derfor lovgiveren til klart og præcist at definere formålet med optagelse af telefonsamtaler og elektroniske meddelelser i direktivforslagets artikel 16, stk. 7.

Nødvendighed og proportionalitet

29. Ifølge artikel 6, stk. 1, litra c), i direktiv 95/46/EF skal personoplysninger være tilstrækkelige, relevante og nødvendige i forhold til de formål, hvortil de indsamles, og/eller til de formål, hvortil de senere behandles. Det vil sige, at de indsamlede data skal være tilstrækkelige til at opnå de forfulgte formål og ikke være mere vidtgående end nødvendigt.

30. I artikel 16, stk. 7, nævnes telefonsamtaler eller elektroniske meddelelser, der som et minimum omfatter transaktioner foretaget for egen regning og kundeordrer, når der ydes modtagelse og formidling af ordrer og udførelse af ordrer på kunders vegne.

31. For det første præciserer artikel 16, stk. 7, bortset fra de udtrykkeligt nævnte transaktioner ikke, hvilke telefonsamtaler og elektroniske meddelelser listerne henviser til. Den tilsynsførende kan forstå, at de omhandler meddelelser vedrørende de tjenesteydelser og transaktioner, der gennemføres af investeringsselskaber. Dette bør imidlertid klart anføres. Endvidere giver brugen af udtrykket »der som et minimum omfatter« mulighed for registrering af forskellige telefonsamtaler eller elektroniske meddelelser. Denne bestemmelse skal tværtimod klart definere de meddelelser, der bliver registreret, og begrænse dem til det nødvendige for formålet.

32. For det andet præciserer bestemmelsen ikke, hvilke kategorier af data der opbevares. Som allerede nævnt kan data vedrørende elektroniske meddelelser indeholde en lang række personoplysninger som f.eks. identiteten af de personer, der sender og modtager meddelelsen, tidsindikationer, det anvendte netværk, brugerens geografiske placering i tilfælde af bærbare anordninger etc. Det medfører også mulig adgang til meddelelsernes indhold. Endvidere indebærer brugen af udtrykket »samtaler«, at indholdet af kommunikationen bliver registreret. I overensstemmelse med proportionalitetsprincippet skal personoplysninger indeholdt i registreringer af telefonsamtaler eller elektroniske meddelelser begrænses til det, der er nødvendigt for at opfylde det formål, hvortil de er indsamlet.

33. Hvis f.eks. formålet med at registrere meddelelserne er at dokumentere transaktionerne, er den eneste mulighed nok at registrere indholdet af meddelelserne for at kunne fremfinde beviser på transaktionerne. En registrering af meddelelsernes indhold for at hindre og opdage markedsmisbrug eller for generelt at overvåge overholdelsen af kravene i direktivforslaget vil være overdrevent og ude af proportioner. Artikel 71, stk. 2, litra d), i direktivforslaget, der giver de kompetente myndigheder beføjelser til at få udleveret registre over telefon- og trafikdata fra investeringsselskaber, når der er en rimelig formodning om et brud på det foreslåede direktiv, udelukker eksplicit indholdet af meddelelsen. På samme måde udelukkes indholdet af meddelelsen også eksplicit i artikel 17, stk. 2, litra f), i forslaget til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (11), der giver de samme efterforskningsbeføjelser til de kompetente myndigheder for at bevise insiderhandel eller markedsmanipulation.

34. Den tilsynsførende anbefaler derfor kraftigt, at det i direktivforslagets artikel 16, stk. 7, anføres, hvilke former for telefonsamtaler og elektroniske meddelelser, samt hvilke kategorier af oplysninger vedrørende samtaler og meddelelser der registreres. Sådanne data skal være tilstrækkelige, relevante og nødvendige i forhold til samme formål.

Datalagringsperiode

35. Ifølge artikel 6, stk. 1, litra e), i direktiv 95/46/EF må personoplysninger ikke opbevares på en måde, der giver mulighed for at identificere de registrerede data i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles (12). Datalagringsperioden i artikel 16, stk. 7, er tre år. Konsekvensanalysen anerkender, at enhver foranstaltning på dette område bør respektere EU's databeskyttelsesregler i henhold til direktiv 95/46/EF. Den pointerer imidlertid, at den opbevaringsperiode, der fastsættes, skal tage højde for den eksisterende EU-lovgivning om lagring af data, der genereres eller behandles i forbindelse med leveringen af offentligt tilgængelige elektroniske meddelelser til bekæmpelse af alvorlige forbrydelser. Den hævder, at maksimumperioden på tre år er i overensstemmelse med de principper om nødvendighed og proportionalitet, der er nødvendige for at sikre en lovlig indblanding i en grundlæggende rettighed (13).

36. Efter den tilsynsførendes opfattelse er analysen om nødvendigheden og proportionaliteten af foranstaltningens varighed utilstrækkelig. Ingen af de forskellige (og noget uklare) formål med registreringen af telefonsamtaler og elektroniske meddelelser, der nævnes i artikel 16, stk. 6, betragtning 42, konsekvensanalysen eller CESR's rådgivning, nævner bekæmpelse af alvorlige forbrydelser.

37. Vurderingen skal foretages i overensstemmelse med formålene med registreringen inden for rammerne af direktivforslaget. Hvis f.eks. formålet er »at sikre den fornødne dokumentation til at løse tvister mellem et investeringsselskab og dets kunder om transaktionernes betingelser« (14), bør konsekvensanalysen vurdere, hvor længe data skal opbevares i forhold til statutten om begrænsning af rettigheder på basis af hvilken sådanne tvister kan starte.

38. Den tilsynsførende opfordrer lovgiveren til grundigt at vurdere, hvilken opbevaringsperiode der er nødvendig for at registrere telefonsamtaler og elektroniske meddelelser inden for forslagets specifikke anvendelsesområde.

2.4. De kompetente myndigheders beføjelser

39. Artikel 71 i direktivet nævner de kompetente myndigheders tilsyns- og undersøgelsesbeføjelser.

40. Artikel 71, stk. 4, henviser til direktiv 95/46/EF ved at angive, at behandlingen af personoplysninger, der er indsamlet under udøvelsen af tilsyns- og undersøgelsesbeføjelser, under alle omstændigheder skal udføres under overholdelse af de grundlæggende rettigheder til privatliv og databeskyttelse. Den tilsynsførende bifalder disse bestemmelser, der specifikt vedrører forbindelsen mellem myndighedernes rolle som undersøgere og behandlingen af personoplysninger, der er involveret i deres aktiviteter.

2.4.1. Beføjelser til at foretage inspektioner på stedet

41. Artikel 71, stk. 2, litra c), giver de kompetente myndigheder beføjelser til at foretage inspektioner på stedet. I strid med forslaget til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (15) indeholder nærværende bestemmelse ingen henvisning til de kompetente myndigheders beføjelser til »at gå ind i private lokaler og beslaglægge dokumenter«. Det kunne antyde, at inspektionsbeføjelserne er begrænset til investeringsselskabernes lokaler, og at de ikke omfatter private lokaler. Af hensyn til klarheden foreslår vi derfor, at denne begrænsning udtrykkeligt fremgår af teksten. Hvis Kommissionen i stedet ønsker at tillade inspektion af private lokaler, henviser den tilsynsførende til sine kommentarer til dette spørgsmål i udtalelsen om ovennævnte forslag (16), ifølge hvilke han mener, at det generelle krav om forudgående dommerkendelse, uanset om den kræves i henhold til national lovgivning, vil være begrundet i betragtning af den pågældende beføjelses potentielle indgriben.

2.4.2. Beføjelser til at anmode om registreringer af telefon- og datatrafik

42. Artikel 71, stk. 2, litra d), i direktivforslaget giver de kompetente myndigheder beføjelser til »at kræve foreliggende oplysninger om telefonsamtaler og datatrafik, som investeringsselskaber er i besiddelse af«. Det præciseres, at anmodningen skal ske på basis af en »rimelig mistanke« om, at sådanne oplysninger »kan være relevante for påvisning af misligholdelse fra investeringsselskabets side af dets forpligtelser« i henhold til direktivet. Under alle omstændigheder må oplysningerne ikke vedrøre »indholdet af den kommunikation, som de vedrører«. Det glæder den tilsynsførende, at teksten begrænser de kompetente myndigheders beføjelser ved som en betingelse for adgang til registrene at kræve en rimelig formodning om et brud og ved at formene de kompetente myndigheder adgang til meddelelsernes indhold.

43. Begrebet »oplysninger om telefonsamtaler og datatrafik« er imidlertid ikke defineret i direktivforslaget. Direktiv 2002/58/EF (e-databeskyttelsesdirektivet) nævner kun »trafikdata« og ikke »oplysninger om telefonsamtaler og datatrafik«. Det er klart, at den nøjagtige betydning af disse begreber er afgørende for undersøgelsesbeføjelsernes indgriben i de pågældende personers ret til privatlivets fred og databeskyttelse. Den tilsynsførende foreslår at anvende den allerede fastlagte terminologi i definitionen af »trafikdata« i direktiv 2002/58/EF.

44. Data vedrørende elektronisk kommunikation kan indeholde en lang række personoplysninger som f.eks. identiteten af de personer, der foretager og besvarer opkaldet, tidspunktet for og varigheden af opkaldet, det anvendte netværk, brugerens geografiske placering i tilfælde af bærbare anordninger etc. Visse trafikdata i forbindelse med anvendelsen af internettet og e-mail (f.eks. listen over besøgte websteder) kan desuden afsløre vigtige detaljer om kommunikationens indhold. Hertil kommer, at behandlingen af trafikdata strider mod korrespondancehemmeligheden. I betragtning af dette fastslås i direktiv 2002/58/EF det princip, at trafikdata skal slettes eller gøres anonyme, når de ikke længere er nødvendige for at overføre kommunikation (17). Ifølge direktivets artikel 15, stk. 1, kan medlemsstaterne i den nationale lovgivning indføje undtagelser til specifikke lovlige formål, men undtagelserne skal være nødvendige, passende og forholdsmæssige i et demokratisk samfund med henblik på opfyldelsen af disse formål (18).

45. Den tilsynsførende erkender, at de mål, Kommissionen forfølger i forordningen om kreditvurderingsbureauer, er lovlige. Han har forståelse for behovet for initiativer, der sigter mod at styrke overvågningen af finansmarkederne med henblik på at bevare deres soliditet og sikre en bedre beskyttelse af investorerne og økonomien som helhed. Undersøgelsesbeføjelser, der er direkte relateret til trafikdata, skal imidlertid på grund af deres potentielt indgribende karakter opfylde kravene om nødvendighed og proportionalitet, dvs. at de skal begrænses til, hvad der er passende for opfyldelsen af formålet, og at de ikke må overskride grænsen for, hvad der er nødvendigt for at nå dette (19). På denne baggrund er det derfor vigtigt, at undersøgelsesbeføjelserne er klart formuleret med hensyn til deres personlige og materielle afgrænsning samt de omstændigheder og betingelser, under hvilke de kan anvendes. Der bør desuden tilvejebringes passende garantier mod risikoen for misbrug.

46. Oplysninger om de pågældende telefonsamtaler og den pågældende datatrafik omfatter tydeligvis personoplysninger i betydningen efter direktiv 95/46/EF, direktiv 2002/58/EF og forordning (EF) nr. 45/2001. Det bør derfor sikres, at betingelserne for loyal og lovlig behandling af personoplysninger, således som de er fastlagt i direktiverne og forordningen, til fulde overholdes.

47. Den tilsynsførende bemærker, at der i henhold til artikel 71, stk. 3, skal anmodes om en dommerkendelse, såfremt en sådan kendelse kræves i henhold til national lovgivning. Den tilsynsførende mener imidlertid, at et generelt krav om forudgående dommerkendelse, uanset om den kræves i henhold til national lovgivning, under alle omstændigheder vil være begrundet i betragtning af den pågældende beføjelses potentielle indgriben og af hensyn til en harmoniseret anvendelse af lovgivningen i alle EU's medlemsstater. Der skal også tages højde for, at de forskellige love i medlemsstaterne omfatter særlige garantier for hjemmets ukrænkelighed som følge af uforholdsmæssige og mangelfuldt regulerede kontroller, undersøgelser eller beslaglæggelser, navnlig foretaget af institutioner af administrativ art.

48. Den tilsynsførende anbefaler endvidere, at der indføres krav om, at ESMA skal anmode om oplysninger om telefonsamtaler og datatrafik ved en formel afgørelse, der indeholder oplysninger om retsgrundlaget for og formålet med anmodningen, og om, hvilke oplysninger der ønskes udleveret og den frist, inden for hvilken oplysningerne ønskes udleveret, samt adressatens ret til få afgørelsen prøvet ved Domstolen.

49. Udtrykket »foreliggende oplysninger om telefonsamtaler og datatrafik« er ikke tilstrækkeligt klart. Oplysninger om telefonsamtaler og datatrafik er ikke defineret, skønt artikel 71, stk. 2, (2), i MiFID-forslaget anfører, at der kun er tale om sådanne oplysninger, »som investeringsselskaber er i besiddelse af«. Investeringsselskabernes oplysninger er sandsynligvis de oplysninger, der er nævnt i artikel 16, stk. 6, og artikel 16, stk. 7, og som er kommenteret ovenfor. Det skulle betyde, at teksten udelukker oplysninger fra elektroniske kommunikationsudbydere, der har en leveringsaftale med det pågældende investeringsselskab. Af hensyn til klarheden anbefaler den tilsynsførende en præcisering af, hvad der menes med de oplysninger om telefonsamtaler og datatrafik, som investeringsselskabet er i besiddelse af.

2.5. Offentliggørelse af sanktioner eller andre foranstaltninger

2.5.1. Obligatorisk offentliggørelse af sanktioner

50. Ifølge direktivforslagets artikel 74 skal medlemsstaterne sikre, at de kompetente myndigheder offentliggør sanktioner eller foranstaltninger, som pålægges for overtrædelse af bestemmelserne i forslaget til forordning eller af nationale bestemmelser til gennemførelse af dette direktiv snarest muligt, herunder også oplysninger om overtrædelsens art og identiteten på de personer, som er ansvarlige for overtrædelsen, medmindre offentliggørelsen vil være en alvorlig trussel mod de finansielle markeders stabilitet. Denne forpligtelse lempes kun, når offentliggørelsen vil forvolde de involverede parter »uforholdsmæssig stor skade«, og i så fald offentliggør de kompetente myndigheder sanktionerne anonymt.

51. Offentliggørelsen af sanktioner vil bidrage til at øge den afskrækkende virkning, da lovovertrædere og potentielle lovovertrædere vil blive afskrækket fra at begå lovovertrædelser for at undgå betydelig skade af omdømme. Det vil ligeledes øge gennemsigtigheden, da markedsoperatører vil blive gjort opmærksomme på, at en bestemt person har begået en overtrædelse (20). Denne forpligtelse lempes kun, når offentliggørelsen vil forvolde de involverede parter »uforholdsmæssig stor skade«, og i så fald offentliggør de kompetente myndigheder sanktionerne anonymt. Skønt det i konsekvensanalysen erkendes, at indførelsen af en sanktionsordning (enten gennem en minimal eller en fuldstændig harmonisering) vil have en effekt på grundlæggende rettigheder såsom artikel 7 (respekt for privatliv og familieliv) og artikel 8 (beskyttelse af personoplysninger) samt eventuelt også artikel 47 (retten til effektive retsmidler og en retfærdig rettergang) og artikel 48 (uskyldsformodningen og retten til et forsvar) i EU's charter om grundlæggende rettigheder (21), synes konsekvensanalysen ikke at undersøge de mulige indvirkninger af en offentliggørelse af selve sanktionerne på disse rettigheder.

52. Ifølge artikel 75, stk. 2, litra a), råder de kompetente myndigheder allerede blandt deres sanktionsbeføjelser over muligheden for at udsende en offentlig meddelelse med angivelse af den ansvarlige person og overtrædelsens art (22). Det er ikke klart, hvordan kravet om offentliggørelse i henhold til artikel 74 kan forenes med beføjelsen til at udsende en offentlig meddelelse i henhold til artikel 75, stk. 2, litra a). Medtagelsen af beføjelsen til at udsende en offentlig meddelelse i artikel 75, stk. 2, litra a), viser, at selve offentliggørelsen er en ægte sanktion, der skal vurderes fra sag til sag i lyset af proportionalitetskriteriet som fastlagt i artikel 76 (23).

53. Den tilsynsførende er ikke overbevist om, at den obligatoriske offentliggørelse af sanktioner i sin nuværende form lever op til kravene i databeskyttelseslovgivningen som præciseret af Domstolen i Schecke-dommen (24). Den tilsynsførende er af den opfattelse, at foranstaltningens formål, nødvendighed og proportionalitet ikke er tilstrækkelig klarlagt, og at der under alle omstændigheder skulle have været forudset passende garantier mod krænkelse af enkeltpersoners rettigheder.

2.5.2. Offentliggørelsens nødvendighed og proportionalitet

54. I Schecke-dommen annullerede Domstolen bestemmelserne i en rådsforordning og en kommissionsforordning, der krævede obligatorisk offentliggørelse af oplysninger om modtagerne af landbrugsstøtte, herunder om støttemodtagernes identitet og støttebeløbet. Domstolen fastslog, at den pågældende offentliggørelse udgjorde behandling af personoplysninger omfattet af artikel 8, stk. 2, i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«) og således et indgreb i rettighederne fastsat i chartrets artikel 7 og 8.

55. Domstolen fastslog, at »undtagelser fra og begrænsninger af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige«, og den vurderede herefter offentliggørelsens formål og proportionalitet. Den konkluderede, at intet tydede på, at Rådet og Kommissionen ved vedtagelsen af den pågældende lovgivning havde taget i betragtning, hvilken fremgangsmåde til offentliggørelse af oplysningerne der ville være forenelig med formålet med en sådan offentliggørelse, og som samtidig ville være mindre indgribende over for disse modtagere.

56. Artikel 74 i direktivforslaget har tilsyneladende de samme mangler, som Domstolen har påpeget i Schecke-dommen. Det skal erindres, at det ved vurderingen af, hvorvidt en bestemmelse om obligatorisk offentliggørelse af personoplysninger er i overensstemmelse med databeskyttelseskravene, er afgørende, at der er et klart og veldefineret formål med den påtænkte offentliggørelse. Kun med et klart og veldefineret formål kan det vurderes, om en offentliggørelse af personoplysninger faktisk er nødvendig og forholdsmæssig (25).

57. Efter at have læst forslaget og ledsagedokumenterne (dvs. konsekvensanalysen) mener den tilsynsførende, at foranstaltningens formål og således nødvendighed ikke er klarlagt. Mens disse spørgsmål ikke berøres i betragtningerne i forslaget, konstateres det blot i konsekvensanalysen, at »offentliggørelsen af sanktioner er et vigtigt element for at sikre, at sanktioner virker afskrækkende på modtagerne, og den er nødvendig for at sikre, at sanktionerne virker afskrækkende på offentligheden«. (26) En sådan generel udtalelse er ikke tilstrækkelig til at påvise nødvendigheden af den foreslåede foranstaltning. Hvis det overordnede formål er at øge den afskrækkende virkning, burde Kommissionen i særdeleshed have forklaret, hvorfor det ikke ville have været tilstrækkeligt at anvende hårdere finansielle sanktioner (eller andre sanktioner ud over »naming and shaming«).

58. Endvidere ser det ud til, at der i konsekvensanalysen ikke tages tilstrækkeligt hensyn til mindre indgribende metoder som f.eks. offentliggørelse begrænset til kreditinstitutter eller offentliggørelse på basis af vurderinger fra sag til sag. Specielt den sidste mulighed synes umiddelbart at være en bedre løsning, navnlig hvis det betænkes — sådan som det erkendes i artikel 75, stk. 2, litra a) — at offentliggørelse er en sanktion, der derfor skal vurderes fra sag til sag, idet der tages hensyn til de pågældende omstændigheder såsom overtrædelsens grovhed, graden af personligt ansvar, recidiv, tabene for tredjeparter etc. (27)

59. Efter den tilsynsførendes opfattelse er det en bedre løsning, idet det er muligt at vurdere sagen under hensyn til de særlige forhold, og denne løsning er derfor at foretrække frem for obligatorisk offentliggørelse af alle sager. Denne skønsbeføjelse vil f.eks. give den kompetente myndighed mulighed for at undlade offentliggørelse af mindre alvorlige overtrædelser, hvor overtrædelsen ikke forvoldte alvorlig skade, hvor den pågældende har været samarbejdsvillig etc.

60. Artikel 35, stk. 6, i forslaget til forordning vedrører offentliggørelse på ESMA's websted af en notits om enhver beslutning om at indføre eller forny enhver begrænsning i en persons mulighed for at indgå en kontrakt vedrørende råvarederivater. Identiteten på personer, hvis forhandlingsmuligheder er blevet begrænset af ESMA, skal derfor offentliggøres ved siden af de pågældende finansielle instrumenter, de relevante kvantitative foranstaltninger som f.eks. det maksimale antal kontrakter, som den pågældende person eller kategori af personer kan indgå, samt grundene hertil. Foranstaltningens ikrafttræden er bundet til selve offentliggørelsen (artikel 35, stk. 7). På baggrund af det ræsonnement, der er udviklet i forhold til direktivets bestemmelser, opfordrer den tilsynsførende lovgiveren til at overveje, om en offentliggørelse er nødvendig, og om der findes andre mindre restriktive midler i sager, hvor fysiske personer er involveret.

2.5.3. Behovet for tilstrækkelige garantier

61. Direktivforslaget burde have omfattet tilstrækkelige garantier for at sikre en rimelig balance mellem de forskellige berørte interesser. For det første skal der være garantier vedrørende de anklagedes ret til at få afgørelsen prøvet ved en domstol og vedrørende uskyldsformodningen. Der burde have været indføjet en specifik bestemmelse i artikel 74, som forpligtede de kompetente myndigheder til at træffe passende foranstaltninger i de tilfælde, hvor afgørelsen appelleres og efterfølgende annulleres af en domstol (28).

62. For det andet bør direktivforslaget sikre en proaktiv tilgang til beskyttelsen af den registreredes rettigheder. Det glæder den tilsynsførende, at den endelige version af forslaget giver mulighed for at undlade offentliggørelse, såfremt offentliggørelse ville forvolde uforholdsmæssig stor skade. En proaktiv tilgang bør imidlertid indebære, at de registrerede forhåndsunderrettes om den påtænkte offentliggørelse af en afgørelse om sanktioner mod dem og om, at de har ret til at gøre indsigelse af vægtige legitime grunde i medfør af artikel 14 i direktiv 95/46/EF (29).

63. For det tredje er det tænkeligt, at offentliggørelsen i de fleste medlemsstater vil ske på internettet, selv om det ikke i direktivforslaget præciseres, hvilket medium der skal anvendes til at offentliggøre oplysningerne. Offentliggørelse på internettet indebærer en række specifikke problemer og risici, og det skal navnlig sikres, at oplysningerne ikke opbevares online i et længere tidsrum end nødvendigt, og at oplysningerne ikke kan manipuleres eller ændres. Anvendelsen af eksterne søgemaskiner indebærer også den risiko, at oplysningerne kan tages ud af sammenhængen og kanaliseres gennem og uden for internettet på måder, der ikke så let lader sig kontrollere (30).

64. I lyset af ovenstående er det nødvendigt at pålægge medlemsstaterne at sikre, at de pågældende personers personoplysninger kun opbevares online i et rimeligt tidsrum, hvorefter de systematisk slettes (31). Der skal desuden stilles krav til medlemsstaterne om at sikre, at der indføres tilstrækkelige sikkerhedsforanstaltninger og garantier, navnlig for at beskytte mod risiciene forbundet med anvendelsen af eksterne søgemaskiner (32).

2.5.4. Konklusioner om offentliggørelse

65. Det er den tilsynsførendes opfattelse, at bestemmelsen om obligatorisk offentliggørelse af sanktioner i sin nuværende form ikke er i overensstemmelse med den grundlæggende rettighed til privatliv og databeskyttelse. Lovgiveren bør nøje vurdere nødvendigheden af det foreslåede system og undersøge, om kravet om offentliggørelse går ud over, hvad der er nødvendigt for at nå det pågældende mål af almen interesse, og om det samme mål ikke kan nås med mindre restriktive foranstaltninger. Uanset resultatet af denne proportionalitetstest skal kravet om offentliggørelse under alle omstændigheder ledsages af tilstrækkelige garantier, der sikrer, at princippet om uskyldsformodning og de pågældende personers ret til at gøre indsigelse respekteres, og at oplysningerne er sikre/nøjagtige og slettes efter et passende tidsrum.

2.6. Indberetning af overtrædelser

66. Artikel 77 i direktivforslaget omhandler mekanismer til rapportering af uregelmæssigheder, der også kendes som informant-ordninger. Skønt disse systemer kan tjene som et effektivt værktøj til at sikre overholdelse, skaber de betydelige problemer i forhold til databeskyttelse (33). Det glæder den tilsynsførende, at direktivforslaget indeholder konkrete garantier — der skal udvikles yderligere på nationalt plan — vedrørende beskyttelse af personer, der indberetter en mistanke om overtrædelser, og mere generelt vedrørende beskyttelse af personoplysninger. I konsekvensvurderingen nævnes ordninger for rapportering af uregelmæssigheder som en af mulighederne for at introducere sanktioner i vurderingen af grundlæggende rettigheder (34), og der gøres atter opmærksom på behovet for at gennemføre en lovgivning om overholdelse af databeskyttelsesprincipper og -kriterier som anført af databeskyttelsesmyndighederne. Den tilsynsførende er opmærksom på, at direktivet kun fastsætter hovedelementerne af den ordning, der skal gennemføres af medlemsstaterne. Han vil ikke desto mindre gøre opmærksom på følgende ekstra punkter.

67. Den tilsynsførende understreger ligesom i andre udtalelser (35) behovet for at indføre en specifik henvisning til behovet for at sikre fortroligheden af informanternes identitet. Den tilsynsførende understreger, at informanterne befinder sig i en følsom situation. Personer, der leverer sådanne oplysninger, skal sikres, at deres identitet holdes fortrolig, navnlig over for den person, om hvem den påståede fejl indberettes (36). Fortroligheden af informanters identitet skal sikres i alle faser af proceduren, så længe det ikke er i strid med nationale regler om retslige procedurer. Det kan f.eks. i særdeleshed være nødvendigt at afsløre informanternes identitet i forbindelse med yderligere undersøgelser eller efterfølgende retssager, der er iværksat som følge af undersøgelsen (herunder også hvis det er blevet fastslået, at der i ond tro er fremsat falske anklager) (37). I betragtning af ovenstående anbefaler den tilsynsførende en tilføjelse af følgende bestemmelse i litra b) i artikel 77, stk. 1: »identiteten af disse personer skal holdes fortrolig i alle faser af proceduren, medmindre det er nødvendigt at afsløre den i henhold til den nationale lovgivning i forbindelse med yderligere undersøgelser eller efterfølgende retssager«.

68. Den tilsynsførende understreger endvidere vigtigheden af at levere passende regler for at sikre de anklagedes adgangsrettigheder, der er tæt forbundne med retten til et forsvar (38). Procedurerne for modtagelsen af rapporten og den opfølgning herpå, der nævnes i artikel 77, stk. 1, litra a), skal sikre, at de anklagedes ret til et forsvar — f.eks. retten til information, adgangsret til efterforskningens akter samt uskyldsformodning — respekteres og kun begrænses i et nødvendigt omfang (39). Den tilsynsførende foreslår i denne henseende også i direktivforslaget at tilføje bestemmelsen fra artikel 29, litra d), i Kommissionens forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation, ifølge hvilken medlemsstaterne skal indføre »hensigtsmæssige procedurer for at sikre den tiltalte persons ret til at forsvare sig og blive hørt, inden der træffes en afgørelse, som vedrører ham, samt retten til at have adgang til effektive retsmidler for en domstol i forhold til en afgørelse eller foranstaltning, som vedrører ham«.

69. Endelig bemærker den tilsynsførende med hensyn til artikel 77, stk. 1, litra c), med tilfredshed, at medlemsstaterne ifølge denne bestemmelse skal sikre beskyttelse af personoplysninger for både den anklagede og den anklagende i overensstemmelse med principperne i direktiv 95/46/EF. Han foreslår imidlertid, at passagen »principperne i« fjernes for at gøre direktivet mere omfattende og bindende. Hvad angår behovet for at respektere databeskyttelseslovgivningen i den praktiske gennemførelse af ordningerne vil den tilsynsførende specielt fremhæve anbefalingerne fra Artikel 29-Gruppen i dens 2006-udtalelse om rapportering af uregelmæssigheder. Ved gennemførelsen af de nationale ordninger skal de berørte enheder bl.a. huske på behovet for at respektere proportionalitetsprincippet ved så vidt muligt at begrænse de kategorier af personer, der skal indberette, de kategorier af personer, der kan blive anklaget, samt de overtrædelser, de kan blive anklaget for, behovet for at fremme identificerede og fortrolige rapporter i forhold til anonyme rapporter, behovet for at afsløre informanters identitet, hvor informanten har fremsat maliciøse erklæringer, og behovet for at overholde strenge datalagringsperioder.

2.7. Samarbejde mellem de kompetente myndigheder i medlemsstaterne og ESMA

2.7.1. Samarbejde i henhold til direktivforslaget

70. Artikel 83 indfører en samarbejdspligt mellem de kompetente myndigheder i medlemsstaterne og ESMA. Specielt afsnit 83, stk. 5, forpligter de kompetente myndigheder til at overlevere detaljer til ESMA og andre myndigheder om (a) enhver anmodning til enhver person, der leverede oplysninger om samlet eksponering for at tage skridt til at reducere en sådan eksponering (ifølge artikel 72, stk. 1, litra f)) og (b) enhver begrænsning i personers evne til at indgå varekontrakter (ifølge artikel 72, stk. 1, litra g)). Meddelelsen skal indeholde detaljer vedrørende identiteten på den person, der er genstand for sådanne foranstaltninger, samt omfanget af begrænsninger, typen af finansielle instrumenter, der er dækket, samt andre oplysninger.

71. Det bestemmes endvidere, at medlemsstaternes kompetente myndigheder, der modtager ovenfor beskrevne meddelelser »kan træffe foranstaltninger i henhold til artikel 72, stk. 1, litra f) eller g), hvis de finder det godtgjort, at sådanne foranstaltninger er nødvendige for, at en anden kompetent myndighed kan opnå sit mål«. Den tilsynsførende vil gerne understrege, at denne type beslutning fra den kompetente myndigheds side kan fortolkes som opfyldelse af kriteriet om en »edb-behandlet individuel afgørelse« som beskrevet i artikel 15 i direktiv 95/46/EF: Denne fortolkning udløses af det faktum, at den modtagende kompetente myndighed ifølge artikel 72 skal kontrollere, om den pågældende foranstaltning kan nå den anden kompetente myndigheds mål. Den kompetente myndighed i den medlemsstat, der modtager meddelelsen, bedes således ikke specifikt om at gennemføre en uafhængig analyse af forholdets natur — også på baggrund af den pågældendes personoplysninger — for at udsende en foranstaltning, der begrænser vedkommendes rettigheder. Ifølge artikel 15 i direktiv 95/46/EF skal enhver person have ret til ikke at være undergivet afgørelser, der har retsvirkning for ham, eller som berører ham i væsentlig grad, og som alene er truffet på grundlag af edb-behandling af oplysninger, der er bestemt til at vurdere bestemte personlige forhold, såsom erhvervsevne, kreditværdighed, pålidelighed, adfærd etc. For det undersøgte område er artikel 15, stk. 2, i direktiv 95/46/EF relevant: Ifølge denne bestemmelse kan en person underlægges en beslutning af ovennævnte type, hvis beslutningen »er hjemlet i en lov« og beskytter den registreredes legitime interesser. De nationale love til gennemførelse af direktivet vil udgøre retsgrundlaget for en undtagelse af artikel 15, stk. 2, i direktiv 95/46/EF, men der indføres ingen konkrete garantier for at beskytte de registreredes legitime interesser.

72. Teksten i direktivforslaget synes derfor at give mulighed for en edb-baseret afgørelse, der påvirker muligheden for kontraktindgåelser hos en myndighed, der er baseret i en anden medlemsstat end den, hvori sanktionen oprindelig fandt anvendelse. I betragtning af den effekt, som en sådan beslutning kan have på rettighederne for en person, der beskæftiger sig professionelt med investeringsaktiviteter, understreger den tilsynsførende, at teksten specifikt bør have en henvisning til retten til at protestere mod edb-baserede afgørelser i henhold til artikel 15 i direktiv 95/46/EF. Den bør udtrykkeligt indføre garantier for at sikre, at den registrerede kan blive gjort opmærksom på overførslen af oplysninger og eksistensen af en proces, der er iværksat af den modtagende kompetente myndighed for at vedtage en sådan beslutning, for at vedkommende effektivt kan udnytte retten til at protestere.

2.7.2. Samarbejde i henhold til forslaget til forordning

73. Ifølge forordningens artikel 34, stk. 2, skal ESMA efter at have modtaget en meddelelse om foranstaltninger i medfør af artikel 83, stk. 5, i direktivet registrere foranstaltningen og årsagerne hertil, og den skal på sit websted offentliggøre og ajourføre en database med resuméer af de gældende foranstaltninger i forhold til foranstaltninger i medfør af direktivets artikel 72, stk. 1, litra (f) og (g), »inklusive oplysninger om den berørte person eller gruppe af personer«.

74. En sådan offentliggørelse udgør en viderebehandling, der involverer personoplysninger. De samme bemærkninger, der blev fremsat vedrørende offentliggørelsen af sanktioner i kapitel 2.5 ovenfor, gælder også i dette tilfælde. Det ser ud til, at konsekvensanalysen ikke indeholder nogen vurdering af indvirkningen på de grundlæggende rettigheder i denne type af internetpublikation. Den tilsynsførende opfordrer derfor lovgiveren til at overveje nødvendigheden og proportionaliteten af denne foranstaltning.

2.8. Informationsudveksling med tredjelande

75. Den tilsynsførende bemærker henvisningen til direktiv 95/46/EF, særligt til kapitel 4 og forordning (EF) nr. 45/2001 i artikel 92 i direktivforslaget.

76. I betragtning af risiciene i forbindelse med sådanne overførsler anbefaler den tilsynsførende imidlertid, at der indføres specifikke garantier som f.eks. en vurdering fra sag til sag, en forsikring om nødvendigheden af overførslen, krav om forudgående udtrykkelig tilladelse fra den kompetente myndighed til videregivelse af oplysninger til og af et tredjeland samt sikring af et tilstrækkeligt beskyttelsesniveau for personlige oplysninger i det tredjeland, der modtager de personlige oplysninger.

77. Et godt eksempel på en sådan bestemmelse med tilstrækkelige garantier findes i artikel 23 i forslaget til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (40).

3. KONKLUSIONER

78. Den tilsynsførende anbefaler følgende: — Indsæt en substansbestemmelse i forslagene med følgende ordlyd: »Med hensyn til behandlingen af personoplysninger, der udføres af medlemsstater inden for rammerne af denne forordning, skal de kompetente myndigheder anvende bestemmelserne i nationale regler til gennemførelse af direktiv 95/46/EF. Med hensyn til behandlingen af personoplysninger, der udføres af ESMA inden for rammerne af denne forordning, skal ESMA overholde bestemmelserne i forordning (EF) nr. 45/2001«. — Erstat i artikel 22 i forslaget til forordning den minimale opbevaringsperiode på 5 år med en maksimal opbevaringsperiode. — Anfør i artikel 16, stk. 7, i direktivforslaget i) formålet med at registrere telefonsamtaler og elektroniske meddelelser, og ii) typen af telefonsamtaler og elektroniske meddelelser, der henvises til, samt hvilke kategorier af oplysninger vedrørende samtaler og meddelelser der registreres. — Præcisér i artikel 71, stk. 2, litra c), i direktivforslaget, at inspektionsbeføjelserne er begrænset til investeringsselskabernes lokaler, og at de ikke omfatter private lokaler. — Indfør i artikel 71, stk. 2, litra d), vedrørende beføjelserne til at anmode om oplysninger om telefonsamtaler og datatrafik en forudgående dommerkendelse som et generelt krav samt et krav om en formel afgørelse, der indeholder oplysninger om: i) retsgrundlaget, ii) formålet med anmodningen, iii) hvilke oplysninger der ønskes udleveret, iv) den frist inden for hvilken oplysningerne ønskes udleveret, og v) adressatens ret til at få afgørelsen prøvet ved Domstolen. — Præcisér, hvad der menes med oplysninger om telefonsamtaler og datatrafik i artikel 71, stk. 2, litra d). — I lyset af den tvivl, der udtrykkes i nærværende udtalelse, skal nødvendigheden og proportionaliteten af det foreslåede system af obligatorisk offentliggørelse af sanktioner vurderes. Uanset resultatet af denne nødvendigheds- og proportionalitetstest skal kravet om offentliggørelse under alle omstændigheder ledsages af tilstrækkelige garantier, der sikrer, at princippet om uskyldsformodning og de pågældende personers ret til at gøre indsigelse respekteres, og at oplysningerne er sikre/nøjagtige og slettes efter et passende tidsrum. — Med hensyn til artikel 77, stk.1: i): Tilføj i litra b) følgende bestemmelse: »identiteten af disse personer skal holdes fortrolig i alle faser af proceduren, medmindre det er nødvendigt at afsløre den i henhold til den nationale lovgivning i forbindelse med yderligere undersøgelser eller efterfølgende retssager«. ii): Tilføj en litra d) med krav til medlemsstaterne om at indføre »hensigtsmæssige procedurer for at sikre den tiltalte persons ret til at forsvare sig og blive hørt, inden der træffes en afgørelse, som vedrører ham, samt retten til at have adgang til effektive retsmidler for en domstol i forhold til en afgørelse eller foranstaltning, som vedrører ham«. iii): Fjern »principperne i« fra litra c) i bestemmelsen.

Udfærdiget i Bruxelles, den 10. februar 2012. Giovanni BUTTARELLI Europæisk assisterende tilsynsførende for databeskyttelse

(1) EFT L 281 af 23.11.1995, s. 31.

(2) EFT L 8 af 12.1.2001, s. 1.

(3) Den tilsynsførendes udtalelser af 10. februar 2012 om lovgivningspakken om en revision af banklovgivningen, kreditvurderingsbureauerne, markederne for finansielle instrumenter (MiFID/MiFIR) og markedsmisbrug.

(4) EUT L 145 af 30.4.2004, s. 1.

(5) Se betragtning 20, 30 og 45 i forslaget til forordning og betragtning 41, 43, 69 og 103 i direktivforslaget.

(6) KOM(2011) 651.

(7) Kommissionens forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation KOM(2011) 651.

(8) Se den tilsynsførendes udtalelse af 10. februar 2012 om forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation KOM(2011) 651.

(9) CESR's tekniske rådgivning til Kommissionen i forbindelse med MiFID-revisionen — investorbeskyttelse og formidlere, 29. juli 2010, CESR/10-417, s. 7, http://www.esma.europa.eu/system/files/10_417.pdf

(10) Konsekvensanalyse, side 150.

(11) KOM(2011) 651 endelig.

(12) Artikel 6, stk. 1, litra e), i direktiv 95/46/EF.

(13) Konsekvensanalyse, side 150.

(14) Se den CESR-undersøgelse, der nævnes i afsnit 26 ovenfor.

(15) KOM(2011) 651.

(16) Se den tilsynsførendes nylige udtalelse af 10. februar 2012 om forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation.

(17) Se artikel 6, stk. 1, i direktiv 2002/58/EF (EFT L 201 af 31.7.2002, s. 37).

(18) I henhold til artikel 15, stk. 1 i direktiv 2002/58/EF skal en sådan indskrænkning være »nødvendig, passende og forholdsmæssig i et demokratisk samfund af hensyn til den nationale sikkerhed (dvs. statens sikkerhed), forsvaret, den offentlige sikkerhed, eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller uautoriseret brug af det elektroniske kommunikationssystem efter artikel 13, stk. 1, i direktiv 95/46/EF. Med henblik herpå kan medlemsstaterne bl.a. vedtage retsforskrifter om lagring af data i en begrænset periode, som kan begrundes af de hensyn, der er nævnt i dette stykke (…)«.

(19) Se f.eks. de forenede sager C-92/09 og C-93/09, Volker og Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) v. Land Hessen, endnu ikke offentliggjort i samlingen, præmis 74.

(20) Se konsekvensanalysen, s. 42 ff.

(21) Se også side 43 — vurdering af indvirkningen på de grundlæggende rettigheder af valgmuligheden »minimumsharmonisering«: »Valgmuligheden griber ind i artikel 7 (respekt for privatliv og familieliv) og artikel 8 (beskyttelse af personoplysninger) og eventuelt også artikel 47 (adgang til effektive retsmidler og en retfærdig rettergang) og artikel 48 (uskyldsformodning og retten til et forsvar) i EU's charter om grundlæggende rettigheder. Valgmuligheden begrænser disse rettigheder, samtidig med at den respekterer essensen af rettighederne. Det er nødvendigt at begrænse disse rettigheder på grund af det almene hensyn om at sikre overholdelse af MiFID-reglerne for at sikre en redelig og velfungerende handel samt investorbeskyttelse. For at være lovlige skal de iværksatte administrative foranstaltninger og sanktioner stå i et rimeligt forhold til lovovertrædelsen, respektere retten til ikke at blive retsforfulgt eller straffet to gange for samme lovovertrædelse, retten til uskyldsformodning, retten til at blive hørt samt retten til effektive retsmidler og en retfærdig rettergang under alle omstændigheder […]«.

(22) Se den tilsynsførendes nylige udtalelse af 10. februar 2012 om forslag til et direktiv om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter og investeringsselskaber og et forslag om en forordning om tilsynsregler for kreditinstitutter og investeringsselskaber.

(23) »Medlemsstaterne sikrer, at de kompetente myndigheder ved valget af arten af administrative sanktioner eller foranstaltninger og fastsættelse af størrelsen af de administrative bøder tager højde for alle relevante omstændigheder: a) overtrædelsens grovhed og varighed, b) den ansvarlige fysiske eller juridiske persons grad af ansvar, c) den ansvarlige fysiske eller juridiske persons finansielle styrke med udgangspunkt i den ansvarlige juridiske persons samlede omsætning eller den ansvarlige fysiske persons årsindkomst, d) den ansvarlige fysiske eller juridiske persons fortjeneste eller undgåede tab, såfremt disse beløb kan beregnes, e) tabene for tredjeparter, som kan tilskrives overtrædelsen, såfremt de kan beregnes, f) den ansvarlige fysiske eller juridiske persons vilje til at samarbejde med den kompetente myndighed, g) overtrædelser som den ansvarlige fysiske eller juridiske person tidligere har begået […]«.

(24) De forenede sager C-92/09 og C-93/09, Schecke, præmis 56-64.

(25) Se også i denne henseende den tilsynsførendes udtalelse af 15. april 2011 om de finansielle regler vedrørende Unionens årlige budget, (EUT C 215, 21.7.2011, s. 13).

(26) Se fodnote 11 ovenfor.

(27) Dvs. i overensstemmelse med direktivforslagets artikel 74, der opstiller kriterier for fastsættelsen af sanktioner.

(28) De nationale myndigheder kan f.eks. overveje følgende foranstaltninger: at udsætte offentliggørelsen, indtil klagen er afvist, eller som foreslået i konsekvensanalyserapporten, klart at angive, at afgørelsen kan appelleres, og at den pågældende person skal anses for uskyldig, indtil afgørelsen bliver endelig, at offentliggøre en berigtigelse, hvis afgørelsen annulleres af en domstol.

(29) Se den tilsynsførendes udtalelse af 10. april 2007 om finansiering af den fælles landbrugspolitik (EUT C 134, 16.6.2007, s. 1).

(30) Se i denne forbindelse dokumentet offentliggjort af den italienske databeskyttelsesmyndighed — »Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination«, tilgængeligt på den italienske databeskyttelsesmyndigheds websted, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(31) Dette spørgsmål hænger også sammen med den mere generelle ret til at blive glemt, hvor der i øjeblikket pågår drøftelser om at integrere denne ret i den nye retlige ramme for beskyttelse af personoplysninger.

(32) Disse foranstaltninger og garantier kan f.eks. være udelukkelse af indeksering af oplysninger ved hjælp af eksterne søgemaskiner.

(33) Artikel 29-Gruppen offentliggjorde i 2006 en udtalelse om sådanne ordninger vedrørende databeskyttelsesaspekter af dette fænomen: Udtalelse 1/2006 om anvendelsen af EU's databeskyttelsesregler på interne ordninger for rapportering af uregelmæssigheder på områderne regnskabsføring, intern regnskabskontrol, revision, bekæmpelse af korruption samt kriminalitet i bank- og finanssektoren (Artikel 29-Gruppens udtalelse om rapportering af uregelmæssigheder). Udtalelsen kan findes på Artikel 29-Gruppens websted: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(34) Se konsekvensanalysen, s. 137-138: »Indførelsen af »ordninger for rapportering af uregelmæssigheder« rejser spørgsmål vedrørende beskyttelse af personoplysninger (artikel 8 i EU-chartret og artikel 16 i TEUF) samt retten til uskyldsformodning og retten til at blive hørt (artikel 48) i henhold til EU-chartret. Enhver gennemførelse af ordninger for rapportering af uregelmæssigheder skal derfor overholde og integrere databeskyttelsesprincipper og -kriterier som anført af EU's databeskyttelsesmyndigheder og sikre garantier i henhold til chartret om grundlæggende rettigheder«.

(35) Se f.eks. udtalelsen af 15. april 2011 om de finansielle regler vedrørende Unionens årlige budget og udtalelsen af 1. juni 2011 om undersøgelser, der foretages af OLAF, der begge findes på http://www.edps.europa.eu

(36) Den tilsynsførende har allerede understreget betydningen af at holde informantens identitet fortrolig i en skrivelse til Den Europæiske Ombudsmand af 30. juli 2010 i sag 2010-0458, som findes på den tilsynsførendes websted (http://www.edps.europa.eu). Se også den tilsynsførendes udtalelser om forudgående kontrol af 23. juni 2006 om OLAFs interne undersøgelser (sag 2005-0418) og af 4. oktober 2007 om OLAFs eksterne undersøgelser (sag 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(37) Se udtalelsen af 15. april 2011 om de finansielle regler vedrørende Unionens årlige budget, der findes på http://www.edps.europa.eu

(38) Se i denne forbindelse den tilsynsførendes retningslinjer vedrørende EU-institutioners og -organers behandling af personoplysninger i administrative undersøgelser og disciplinærsager, der påpeger den tætte forbindelse mellem de registreredes ret til adgang og de anklagedes ret til at blive hørt (se side 8 og 9) http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Guidelines/10-04-23_Guidelines_inquiries_EN.pdf

(39) Se Artikel 29-Gruppens udtalelse om rapportering af uregelmæssigheder, s. 13-14.

(40) Artikel 23 i forslaget til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation KOM(2011) 651 lyder således: