DA Den Europæiske Unions Tidende C 87/1

Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om den foreslåede fælles ramme for europæiske statistikker vedrørende personer og husholdninger

(2017/C 87/01)

Formålet med forslaget er at oprette en fælles ramme for europæiske statistikker vedrørende personer og husholdninger baseret på data indsamlet ved hjælp af stikprøver på individniveau.

Forslaget henviser i relevante dele til brugen af administrative registre samt andre kilder eller innovative tilgange til at tilvejebringe statistiske data i forbindelse med massedata. Nye innovative tilgange kan love godt for statistikker og forskning, men også indebære risici og udfordringer, og lovgiverne må sikre, at den potentielle nytte heraf aldrig drages på bekostning af individets rettigheder. For at sikre effektiv beskyttelse af privatlivets fred og retten til beskyttelse af personoplysninger bør lovgiverne foregribe de potentielle risici og udfordringer, som disse lovende teknikker kan indebære, og sørge for passende garantier.

Derfor anbefaler vi en revision af artikel 8 for at sikre, at databehandling, der involverer administrative registre og andre datakilder, foregår i overensstemmelse med gældende databeskyttelseslovgivning, og at enhver direkte levering af data fra enkeltpersoner (bortset fra visse undtagelser i henhold til loven og med forbehold af passende garantier) sker frivilligt.

Med hensyn til tilknytning til administrative registre som bestemt i artikel 11 understreger vi også behovet for at sikre, at enhver sådan tilknytning foregår under overholdelse af databeskyttelseslovgivningen og principperne om nødvendighed og proportionalitet og i overensstemmelse med specifikke garantier i henhold til medlemsstatens lov eller EU-retten.

DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE HAR —

under henvisning til Traktaten om Den Europæiske Unions Funktionsmåde, særlig artikel 16,

under henvisning til Den Europæiske Unions charter om grundlæggende rettigheder, særlig artikel 7 og 8,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger,

under henvisning til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger, særlig artikel 28, stk. 2, —

VEDTAGET FØLGENDE UDTALELSE:

1. Baggrund og formål med forslaget

1. Den 8. august 2016 offentliggjorde Europa-Kommissionen (»Kommissionen«) et forslag til Europa-Parlamentets og Rådets forordning om oprettelse af en fælles ramme for europæiske statistikker vedrørende personer og husholdninger baseret på data på individniveau indsamlet ved hjælp af stikprøver (herefter benævnt »forslaget«) (1). Samme dag anmodede Kommissionen Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«) som uafhængig instans om en udtalelse. Rådet for Den Europæiske Union (»Rådet«) indgav også en anmodning den 25. november 2016.

2. Som bestemt i artikel 1 (»Genstand«) er formålet med forslaget at oprette en fælles ramme for europæiske statistikker vedrørende personer og husholdninger baseret på data på individniveau indsamlet ved hjælp af stikprøver.

3. Den tilsynsførende noterer sig forslagets politiske målsætninger. Han bifalder: — at han er blevet hørt, og at der henvises til dette i betragtning 23 i forslaget til forordning — at der i betragtning 20 henvises til gældende databeskyttelseslovgivning (Europa-Parlamentet og Rådets direktiv 95/46/EF og Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001), og — at der henvises til databeskyttelsesregler i forbindelse med tilknytning af enkeltpersoner til forskellige registre (artikel 11).

2. Overblik og centrale bekymringer

4. Vores primære bekymring er tvetydigheden i det aktuelle udkast omkring mulig brug af administrative data og massedata fra kilder som mobiltelefonlokaliseringsdata, selskabs- og skatteregistre, socialsikrings- og sundhedsregistre samt registre hos jobcentre og andre sociale aktører. Selv om massedata kan give løfte om nye muligheder og øget effektivitet for produktionen af officielle statistikker, indebærer de også specifikke risici, hvorfor vi foreslår nøje gennemsyn af de relevante bestemmelser (2).

5. Vi så også gerne, at det stod mere klart, at når oplysninger leveres direkte af enkeltpersoner, skal dette ske frivilligt ved brug af samtykke i henhold til artikel 6 og 7 i den generelle databeskyttelsesforordning (3) som retsgrundlag for behandlingen af personoplysninger; medmindre tilvejebringelsen af oplysninger er specifikt påkrævet i henhold til EU-retten eller medlemsstaternes lovgivning i overensstemmelse med gældende databeskyttelseslovgivning.

6. I lyset af disse bekymringer ville vi særligt sætte pris på, at lovgiverne indførte mere klarhed i den måde, hvorpå artikel 8 (»Datakilder og metoder«) er affattet.

7. Andre relevante bestemmelser, som ifølge den tilsynsførende kunne forbedres, er f.eks. følgende: — artikel 2, litra e), om definitionen af »administrative registre« — betragtning 4 om benyttelsen af »administrative kilder« til statistiske formål — betragtning 20 om gældende databeskyttelseslovgivning og om begrebet »væsentlige offentlige interesser« — artikel 11, stk. 1, om stikprøvegrundlag.

3. Henstillinger

3.1. Henvisninger til gældende databeskyttelseslovgivning (betragtning 20)

8. Afhængigt af datoen for ikrafttrædelsen af den foreslåede forordning kan der være behov for at ajourføre henvisningerne til gældende lov i betragtning 20. Navnlig skal de måske erstattes med henvisninger til den generelle databeskyttelsesforordning, som træder i kraft den 25. maj 2018, og henvisninger til de nye retlige instrumenter, der erstatter forordning (EF) nr. 45/2001.

9. Vi ville også hilse det velkommen, om der i en betragtning blev henvist til overholdelse af garantierne i forbindelse med behandling til statistiske formål i henhold til artikel 89 i den generelle databeskyttelsesforordning.

10. I betragtning af at forslaget omhandler brug af data fra nye datakilder, som f.eks. kunne omfatte lokaliseringsdata fra mobiltelefonregistre (se afsnit 3.4 om artikel 8 nedenfor), anbefaler vi tillige en specifik henvisning til direktivet om databeskyttelse inden for elektronisk kommunikation (4), som i øjeblikket revideres (eller til den nye forordning om samme emne, hvis det er relevant set i forhold til tidspunktet).

3.2. Henvisninger til »væsentlige offentlige interesser« (betragtning 20)

11. For at gøre det lettere for lægfolk at forstå henvisningen anbefaler vi, at udtrykket »væsentlige offentlige interesser« suppleres med ordlyden »i henhold til artikel 8, stk. 4, i direktiv 95/46/EF«. Hvis teksten skal henvise til den generelle databeskyttelsesforordning, vil referencen være artikel 9, stk. 2, litra g), i den generelle databeskyttelsesforordning.

3.3. Definition af administrative registre (artikel 2, litra e), og betragtning 4

12. I artikel 2, litra e), i forslaget defineres »administrative registre« som »data genereret af en ikke-statistisk kilde, normalt et offentligt organ, som ikke i sig selv har til formål at producere statistikker«. Udtrykket »administrative registre« bruges derefter i artikel 8 og i betragtning 4.

13. Denne definition af administrative registre forekommer meget bred og synes i praksis at omfatte »andre kilder«, som er en anden term, der også bruges i artikel 8. Termen »administrative data« kan således som defineret omfatte f.eks. ikke alene offentlige organers administrative registre, men også kilder som mobiltelefonlokaliseringsdata, som ifølge den betydning, termen har i daglig tale, ikke altid anses for at være et »administrativt register«.

14. Dette forekommer ikke i sig selv at have direkte indvirkning på niveauet for beskyttelse af personoplysninger, idet artikel 8 under alle omstændigheder omfatter »andre kilder«. Ikke desto mindre kunne lovgiverne af hensyn til klarheden overveje at revidere artikel 2, litra e), for at definere »administrative registre« mere snævert. Alternativt kunne lovgiverne helt ophæve artikel 2, litra e), og i stedet i artikel 8 henvise til »administrative registre oprettet af en organisation, sædvanligvis et offentligt organ, til andre, ikke-statistiske formål, og andre kilder, metoder eller innovative tilgange, …«.

15. Som bemærket ovenfor tilskyndes der endvidere i betragtning 4 specifikt til brugen af administrative kilder til statistiske formål. Vi bifalder, at betragtningen understreger behovet for at sikre, at »disse statistikkers kvalitet, nøjagtighed, aktualitet og sammenlignelighed sikres«. For at styrke denne bestemmelse yderligere anbefaler vi at tilføje en henvisning til beskyttelse af personoplysninger. F.eks. kan følgende ordlyd føjes til slutningen af afsnittet: »og retten til beskyttelse af personoplysninger garanteres«.

3.4. Datakilder og metoder (artikel 8)

16. Ud over data, der direkte leveres af respondenterne, henvises der også i artikel 8 til »administrative registre og andre kilder, metoder eller innovative tilgange, så længe de muliggør produktion af data, der er sammenlignelige og er i overensstemmelse med de gældende specifikke krav fastlagt i denne forordning«.

17. Artikel 8 afspejler målet, der beskrives på side 13 i begrundelsen, om at give mulighed for og fremme »brugen af nye former for dataindsamling og alternative datakilder, herunder administrative data og estimater indhentet fra modellering og massedata«. Se også betragtning 4 i forslaget som allerede nævnt ovenfor, der tilskynder til benyttelse af »administrative kilder … takket være teknologiske fremskridt« og artikel 13 om gennemførligheds- og pilotundersøgelser, der også omhandler brug af andre datakilder.

18. Inden for statistik som på andre felter kan brug af massedata give fordele som f.eks. øget effektivitet Men det kan også være forbundet med yderligere risici. Den nye databeskyttelsesramme og især vedtagelsen af den generelle databeskyttelsesforordning skal imødegå disse risici på en måde, som sikrer beskyttelse, men også tillader fleksibilitet til øget databrug, herunder til statistiske formål.

19. Der vil sandsynligvis fortsat være behov for yderligere lovgivningsmæssige foranstaltninger inden for national eller EU-retlig statistiklovgivning for at muliggøre mere udbredt udnyttelse af massedata til statistiske formål på en måde, der er forenelig med gældende lov om databeskyttelse.

20. Det aktuelle forslag bør ikke give indtryk af, at artikel 8 i sig selv udgør et tilstrækkeligt retsgrundlag for brug af massedata til formålene i forslaget. Det er meget vigtigt, at betragtningerne og artikel 8 tilsammen gør det klart, at enhver sådan brug af massedatakilder er omfattet af gældende databeskyttelseslovgivning, herunder behovet for et egnet retsgrundlag i henhold til artikel 6 i den generelle databeskyttelsesforordning.

21. Derfor anbefaler vi, at artikel 8 ændres som følger: Artikel 8 Datakilder og metoder 1. Medlemsstaterne leverer de data, der er omhandlet i artikel 1, ved hjælp af en eller en kombination af følgende kilder, forudsat at de opfylder kvalitetskravene i artikel 12 og er indsamlet og viderebehandlet i overensstemmelse med og underlagt garantier i henhold til gældende databeskyttelseslovivning : a) oplysninger leveret direkte af respondenterne, frivilligt og på grundlag af samtykke fra de registrerede, der fremsender dataene, i henhold til artikel 7 i den generelle databeskyttelsesforordning (medmindre tilvejebringelsen af oplysninger er specifikt påkrævet i henhold til EU-retten eller medlemsstaternes lovgivning, som den registeransvarlige er underlagt, og som også indeholder egnede foranstaltninger til at beskytte de registreredes rettigheder og frihedsrettigheder samt legitime interesse) b) administrative registre og andre kilder, metoder eller innovative tilgange, så længe de muliggør produktion af data, der er sammenlignelige og er i overensstemmelse med de gældende specifikke krav fastlagt i denne forordning. 2. Medlemsstaterne giver Kommissionen (Eurostat) detaljerede oplysninger om de anvendte kilder og metoder.

3.5. Stikprøvegrundlag (artikel 11)

22. Ifølge artikel 11, stk. 1, skal stikprøvegrundlaget også omfatte »de oplysninger, der er brug for til at knytte personer til andre administrative registre, i det omfang dette er tilladt i henhold til databeskyttelsesreglerne«.

23. Vi anbefaler, at anden del af sætningen omformuleres som følge: »i det omfang det er nødvendigt og proportionalt at knytte personer til sådanne andre registre, og det er udtrykkeligt tilladt i henhold til gældende EU-ret eller national lov, som den registeransvarlige er underlagt, og som også indeholder egnede foranstaltninger til at beskytte de registreredes rettigheder og frihedsrettigheder samt legitime interesse«.

4. Konklusion

24. Den tilsynsførende anbefaler: — at indføje en henvisning til direktivet om databeskyttelse inden for elektronisk kommunikation, når der henvises til gældende lov i betragtning 20, samt foretage de nødvendige ajourføringer af alle relevante henvisninger i nødvendigt omfang set i lyset af den aktuelle gennemgang af databeskyttelsesrammen — at præcisere henvisningerne til »væsentlige offentlige interesser« (betragtning 20) — at foretage en gennemgribende revision af artikel 8 for at sikre, at databehandling, der involverer administrative registre og andre datakilder, foregår i overensstemmelse med gældende databeskyttelseslovgivning, og at enhver direkte levering af data fra enkeltpersoner (bortset fra visse undtagelser i henhold til loven og med forbehold af passende garantier) sker frivilligt — med hensyn til tilknytning til administrative registre som bestemt i artikel 11 at sikre, at enhver sådan tilknytning foregår under overholdelse af databeskyttelseslovgivningen og principperne om nødvendighed og proportionalitet og underlagt specifikke garantier i henhold til medlemsstatens lov eller EU-retten — at overveje at revidere definitionen af »administrative registre« i artikel 2, litra e), og tilføje en henvisning til beskyttelsen af retten til beskyttelse af personoplysninger i den tilhørende betragtning 4.

Bruxelles, den 1. marts 2017. Assisterende tilsynsførende Wojciech Rafał WIEWIÓROWSKI

(1) COM(2016) 551 final.

(2) Vedrørende muligheder, risici og udfordringer ved massedata, se Den Europæiske Tilsynsførende for Databeskyttelses udtalelse nr. 7/2015 »Meeting the challenges of big data«:

https://secure.edps.europa.eu/edpsweb/webdav/site/mysite/shared/documents/consultation/opinions/2015/15-11-19_big_data_en.pdf. Se mere specifikt afsnit 1.

(3) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel databeskyttelsesforordning) (EUT L 119 af 4.5.2016, s. 1).

(4) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (EFT L 201 af 31.7.2002, s. 37).