Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om henstillingen med henblik på Rådets afgørelse om bemyndigelse til at føre forhandlinger om en omfattende international konvention om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS' websted www.edps.europa.eu)

(2022/C 240/05)

Den 29. marts 2022 udsendte Europa-Kommissionen en henstilling med henblik på Rådets afgørelse om bemyndigelse af Kommissionen til på vegne af Den Europæiske Union at deltage i De Forenede Nationers (FN’s) forhandlinger om en omfattende international konvention om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål.

EDPS erkender retshåndhævende myndigheders behov for at sikre og indhente elektronisk bevismateriale hurtigt og effektivt. Han understreger imidlertid, at et lignende internationalt instrument allerede er i kraft, nemlig Budapestkonventionen og den anden tillægsprotokol hertil, som nu er åben for undertegnelse.

EDPS bemærker, at der allerede er indledt forhandlinger i FN om en anden konvention, der sigter mod bekæmpelse af cyberkriminalitet samt grænseoverskridende samarbejde i straffesager. Han støtter derfor henstillingen om at bemyndige Kommissionen til at føre forhandlinger på EU’s vegne, da det vil bidrage til bedre at sikre det beskyttelsesniveau, der garanteres af EU’s databeskyttelsesramme. EDPS noterer sig imidlertid det store antal lande i FN med meget forskelligartede retssystemer. På denne baggrund mener EDPS, at der er en betydelig risiko for, at den endelige tekst til konventionen kan føre til en svækkelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i henhold til EU-retten, navnlig deres ret til databeskyttelse og privatlivets fred. Det skal derfor understreges, at hvis Rådet bemyndiger Kommissionen til at føre forhandlinger på EU’s vegne inden for denne ramme, vil en sådan bemyndigelse ikke kræve, at EU bliver part i konventionen, hvis den vedtages. EDPS mener, at EU ikke bør søge at blive part i en sådan konvention, hvis det databeskyttelsesniveau for fysiske personer, der er sikret ved EU-retten, undermineres.

Denne udtalelse har til formål at yde konstruktiv og objektiv rådgivning til EU-institutionerne med henblik på at sikre, at det databeskyttelsesniveau, der er sikret ved EU-retten, ikke undermineres. EDPS glæder sig over, at formålet med mandatet fra begyndelsen er at sikre, at konventionen fastsætter strenge betingelser og stærke garantier for at sikre, at EU’s medlemsstater kan respektere og beskytte de grundlæggende rettigheder, friheder og generelle principper i EU-retten, som er fastsat i EU-traktaterne og EU’s charter om grundlæggende rettigheder.

I denne forbindelse understreger EDPS behovet for navnlig at sikre fuldstændig overholdelse af de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger. EU’s databeskyttelseslovgivning bestemmer i princippet, at dataoverførsler til et tredjeland kun kan finde sted uden yderligere krav, når tredjelandet sikrer et tilstrækkeligt beskyttelsesniveau. Når tredjelandets beskyttelsesniveau ikke er erklæret for tilstrækkeligt, gælder undtagelser for specifikke overførsler, så længe der gives passende garantier. Selv om EDPS erkender, at det i givet fald ikke er muligt at overføre terminologien og definitionerne i EU-retten til en aftale med et stort antal tredjelande, skal garantierne for fysiske personer være klare og effektive for fuldt ud at overholde EU-retten. Den Europæiske Unions Domstol har i de senere år bekræftet databeskyttelsesprincipper, herunder domstolsprøvelse og fysiske personers individuelle rettigheder. Disse principper bliver så meget desto vigtigere i betragtning af følsomheden af de data, der kræves til strafferetlige efterforskninger.

På denne baggrund mener EDPS, at selv om mange allerede planlagte forhandlingsdirektiver hilses velkomne, bør de styrkes. For navnlig at sikre overholdelse af EU’s charter og artikel 16 i TEUF fremsætter EDPS fire primære henstillinger vedrørende forhandlingsdirektiverne:

— at begrænse bestemmelserne om internationalt samarbejde til de strafbare handlinger, der er defineret i konventionen

— tredjelandes retshåndhævende myndigheders direkte adgang til data og grænseoverskridende direkte samarbejde med tjenesteudbydere bør udelukkes

— at sikre, at fremtidige bilaterale og multilaterale aftaler med tredjelande anvendes i stedet for konventionen, hvis disse fremtidige aftaler sikrer højere standarder med hensyn til beskyttelse af grundlæggende rettigheder, navnlig retten til privatlivets fred og databeskyttelse

— at sikre, at konventionen ikke har virkning mellem to kontraherende stater, hvis en af dem giver meddelelse om, at en anden kontraherende stats ratifikation, accept, godkendelse eller tiltrædelse ikke bevirker, at der etableres forbindelser mellem disse to kontraherende stater i henhold til denne konvention.

Derudover indeholder udtalelsen yderligere anbefalinger til forbedringer og afklaringer af forhandlingsdirektiverne. Bemærkningerne i denne udtalelse berører ikke eventuelle yderligere bemærkninger, som EDPS måtte fremsætte, hvis der opstår yderligere spørgsmål, som vil blive behandlet, når der foreligger yderligere oplysninger. EDPS forventer at blive hørt senere om bestemmelserne i udkastet til konvention, før det færdiggøres.

1. INDLEDNING OG BAGGRUND

1. De Forenede Nationer (FN) er en mellemstatslig organisation, der på nuværende tidspunkt består af 193 medlemsstater ( 1 ) . FN og dets arbejde er baseret på de formål og principper, der er indeholdt i FN-pagten. I henhold til FN-pagten omfatter organisationens mål opretholdelse af mellemfolkelig fred og sikkerhed, beskyttelse af menneskerettighederne, ydelse af humanitær bistand, fremme af bæredygtig udvikling og overholdelse af folkeretten ( 2 )

2. , under fuld hensyntagen til eksisterende internationale instrumenter og bestræbelser på nationalt, regionalt og internationalt plan vedrørende bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål , navnlig arbejdet i og resultaterne af den åbne mellemstatslige ekspertgruppe til gennemførelse af en omfattende undersøgelse af cyberkriminalitet Den 17. december 2018 vedtog FN’s Generalforsamling resolution 73/187 om »bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål« ( 3 ) . Den 27. december 2019 vedtog den efterfølgende resolution 74/247 ( 4 ) , hvorved det blev besluttet at nedsætte et åbent mellemstatsligt ad hoc-ekspertudvalg (»ad hoc-udvalget«) til at udarbejde en omfattende international konvention om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål. I resolution 74/247 understreges behovet for at styrke koordineringen og samarbejdet mellem staterne om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål, herunder ved at yde teknisk bistand til udviklingslande på disses anmodning. I resolutionen understreges ligeledes behovet for at forbedre national lovgivning og nationale rammer og opbygge de nationale myndigheders kapacitet til at håndtere en sådan brug i alle dens former, herunder forebyggelse, afsløring, efterforskning og retsforfølgning ( 5 ) , navnlig arbejdet i og resultaterne af den åbne mellemstatslige ekspertgruppe til gennemførelse af en omfattende undersøgelse af cyberkriminalitet ( 6 ) . Tre EU-medlemsstater (Estland, Polen og Portugal) er næstformænd i ad hoc-udvalget ( 7 )

3. fuldt ud skal tage hensyn til eksisterende internationale instrumenter og bestræbelser på nationalt, regionalt og internationalt plan om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål Den 26. maj 2021 bekræftede FN’s Generalforsamling yderligere ved resolution 75/282 ( 8 ) , at ad hoc-udvalgetog bestræbelser på nationalt, regionalt og internationalt plan om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål ( 9 ) . Den besluttede, at dette ad hoc-udvalg skal indkalde til mindst seks møder og afslutte sit arbejde med henblik på at forelægge Generalforsamlingen et udkast til konvention på dens 78. samling, som efter planen indledes i september 2023 og afsluttes i september 2024.

4. Det første forhandlingsmøde blev afholdt fra den 28. februar til den 11. marts 2022. Ved den lejlighed blev konventionens mål, anvendelsesområde, struktur og centrale elementer drøftet ( 10 ) . Ifølge udkastet til rapport fra dette første forhandlingsmøde blev det besluttet, at konventionens struktur bør udgøres af følgende elementer ( 11 ) Præambel 1. Generelle bestemmelser 2. Kriminalisering 3. Processuelle foranstaltninger og retshåndhævelse 4. Internationalt samarbejde 5. Teknisk bistand, herunder udveksling af erfaringer 6. Forebyggende foranstaltninger 7. Gennemførelsesmekanisme 8. Afsluttende bestemmelser

5. Europa-Kommissionen deltog i ad hoc-udvalgets møder som observatør. Der blev afholdt et særligt møde den 24. og 25. marts 2022 for at indhente input fra en bred vifte af interessenter til udarbejdelsen af udkastet til konvention ( 12 ) . Det næste forhandlingsmøde indledes efter planen den 30. maj 2022 ( 13 )

6. Den 29. marts 2022 udsendte Europa-Kommissionen en henstilling med henblik på Rådets afgørelse om bemyndigelse af Kommissionen til på vegne af Den Europæiske Union at deltage i De Forenede Nationers forhandlinger om en omfattende international konvention om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål (»henstillingen«) ( 14 ) . Henstillingen ledsages af et bilag (»bilaget«), der fastlægger Rådets foreslåede direktiver for forhandling af konventionen.

7. Kommissionen henstiller til, at der vedtages en rådsafgørelse på grundlag af proceduren, der er fastlagt i artikel 218 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) om aftaler, der indgås mellem EU og tredjelande. Med denne henstilling søger Kommissionen at opnå bemyndigelse fra Rådet til at blive udpeget som chefforhandler på EU’s vegne for at sikre EU’s passende deltagelse i FN-forhandlingerne, som forventes at berøre elementer, der vedrører EU’s lovgivning og kompetence, navnlig inden for cyberkriminalitet ( 15 )

8. Denne udtalelse fra EDPS er afgivet på grundlag af en høring fra Europa-Kommissionen af 29. marts 2022 i henhold til artikel 42, stk. 1, i EUDPR. EDPS glæder sig over henvisningen til denne høring i henstillingens betragtning 5.

7. KONKLUSIONER

42. EDPS støtter vedtagelsen af en rådsafgørelse, der giver Europa-Kommissionen et klart mandat til på EU’s vegne at deltage i FN’s igangværende forhandlinger om denne konvention. Han understreger imidlertid, at en bemyndigelse til at deltage i forhandlingerne ikke bør kræve, at EU bliver part i konventionen, hvis den vedtages, og navnlig bør EU ikke søge at blive part i en sådan konvention, hvis det databeskyttelsesniveau for fysiske personer, der er sikret ved EU-retten, undermineres.

43. EDPS glæder sig over og understreger betydningen af punkt 6, 17 og 23 i bilaget, der sigter mod at bevare eksisterende globale og regionale instrumenter, og af garantierne i bilagets punkt 8, 9, 10, 11, 13, 18, 19 og 24.

44. På baggrund af ovenstående fremsætter EDPS følgende henstillinger: Vedrørende forholdet mellem konventionen og andre instrumenter — at lade mandatet omfatte, at Unionen bør sigte mod at opnå, at fremtidige aftaler med tredjelande anvendes i stedet for konventionen, hvis disse fremtidige aftaler sikrer højere standarder med hensyn til beskyttelse af grundlæggende rettigheder, navnlig retten til privatlivets fred og databeskyttelse. Vedrørende konventionens anvendelsesområde — at begrænse bestemmelserne om samarbejde til de strafbare handlinger, der er defineret i konventionen — at gøre det klart i mandatet, at Unionen bør modsætte sig enhver bestemmelse om grænseoverskridende direkte adgang til data og grænseoverskridende direkte samarbejde med tjenesteudbydere — at præcisere, at direktiverne i punkt 15 i bilaget ikke vedrører grænseoverskridende samarbejde. Vedrørende behovet for passende garantier og respekten for grundlæggende rettigheder — at gøre det klart i mandatet, at Unionen bør sikre en klar afgrænsning mellem datakategorier — at lade mandatet omfatte et direktiv med henblik på at sigte mod at opnå, at konventionen ledsages af en udtømmende liste over de kompetente myndigheder i modtagerlande, som oplysningerne vil blive overført til, samt en kort beskrivelse af deres kompetencer. Vedrørende de afsluttende bestemmelser i konventionen — yderligere at præcisere i mandatet, at Unionen bør sigte mod at opnå, at en kontraherende stat på tidspunktet for undertegnelsen, ratifikationen eller tiltrædelsen kan erklære, at den ikke vil efterkomme en anmodning om overførsler af personoplysninger til en anden part, hvis der er tegn på, at der ikke længere er sikret et væsentligt beskyttelsesniveau for oplysningerne i den anmodende stat. — at lade mandatet omfatte, at Unionen bør sigte mod at opnå, at der indføres en bestemmelse om obligatorisk regelmæssig revision af konventionens praktiske anvendelse. Den bør fastsættes senest fem år efter dens ikrafttræden og derefter med regelmæssige mellemrum med angivelse af hyppigheden af disse yderligere revisioner. Indholdet af revisionen bør præciseres. Revisionen bør ikke kun have fokus på gennemførelsen af konventionen, men også vurdere nødvendigheden og proportionaliteten. Revisionsholdene bør omfatte databeskyttelseseksperter, herunder repræsentanter for de nationale databeskyttelsesmyndigheder. — at lade mandatet omfatte, at Unionen bør sigte mod at sikre, at konventionen ikke har virkning mellem to kontraherende stater, hvis en af dem giver meddelelse om, at en anden kontraherende stats ratifikation, accept, godkendelse eller tiltrædelse ikke bevirker, at der etableres forbindelser mellem disse to kontraherende stater i henhold til denne konvention.

45. Endelig står EDPS fortsat til Kommissionens, Rådets og Europa-Parlamentets rådighed med hensyn til at yde rådgivning i senere faser i denne proces. Bemærkningerne i denne udtalelse berører ikke eventuelle yderligere bemærkninger, som EDPS måtte fremsætte, hvis der opstår yderligere spørgsmål, som vil blive behandlet, når der foreligger yderligere oplysninger. EDPS forventer at blive hørt om bestemmelserne i udkastet til konvention, før det færdiggøres.

Bruxelles, den 18. maj 2022. Wojciech Rafał Wiewiórowski

(1) Se FN’s medlemsstater her: https://www.un.org/en/about-us/member-states

(2) Se præamblen til De Forenede Nationers pagt, San Francisco, 26. juni 1945: https://www.un.org/en/about-us/un-charter/full-text

(3) FN’s Generalforsamlings resolution af 17. december 2018, A/RES/73/187.

(4) FN’s Generalforsamlings resolution af 27. december 2019, A/RES/74/247.

(5) Se s. 1 i resolutionen.

(6) Den åbne mellemstatslige ekspertgruppe til gennemførelse af en omfattende undersøgelse af cyberkriminalitet blev nedsat af Kommissionen for Kriminalitetsforebyggelse og Strafferet (CCPCJ) i Wien efter anmodning i FN’s Generalforsamlings resolution 65/230 og er et organ under CCPCJ. Ekspertgruppen er adskilt fra det ad hoc-udvalg, der forhandler konventionen, og som er et organ under Generalforsamlingen med et andet mandat.

(7) Ad hoc-udvalget har følgende medlemmer: Algeriet (formand), Egypten, Nigeria, Kina, Japan, Estland, Polen, Den Russiske Føderation, Den Dominikanske Republik, Nicaragua, Brasilien, Australien, Portugal, USA (næstformænd), Indonesien (ordfører).

(8) FN’s Generalforsamlings resolution af 26. maj 2021, A/RES/75/282.

(9) Se punkt 11 i resolutionen.

(10) Indlæg til dette første møde er tilgængelige her: https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc-first-session.html.

(11) https://documents-dds-ny.un.org/doc/UNDOC/LTD/V22/012/09/PDF/V2201209.pdf?OpenElement.

(12) https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/intersessional-consultations/1st-intersessional-consultation.

(13) https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc-second-session.html.

(14) Henstilling med henblik på Rådets afgørelse om bemyndigelse til at føre forhandlinger om en omfattende international konvention om bekæmpelse af brug af informations- og kommunikationsteknologi til kriminelle formål (COM(2022)132 final).

(15) Se begrundelsen, s. 2, og artikel 1 i henstillingen.