DA Den Europæiske Unions Tidende C 190/2

Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelseom forslaget til Rådets afgørelse om den holdning, som Den Europæiske Union skal indtage i Det Blandede Toldsamarbejdsudvalg EU/Japan til den gensidige anerkendelse af programmer for autoriserede økonomiske operatører i EU og Japan

2010/C 190/02

DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE,

som henviser til Traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16,

som henviser til Den Europæiske Unions charter om grundlæggende rettigheder, særlig artikel 8,

som henviser til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1),

som henviser til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (2), særlig artikel 41,

HAR VEDTAGET FØLGENDE UDTALELSE:

I. INDLEDNING

1. Den 19. februar 2010 vedtog Kommissionen et forslag til Rådets afgørelse om den holdning, som Den Europæiske Union skal indtage i Det Blandede Toldsamarbejdsudvalg EU/Japan til den gensidige anerkendelse af programmer for autoriserede økonomiske operatører i EU og Japan (3).

2. Den tilsynsførende er ikke blevet hørt, som påkrævet i artikel 28, stk. 2, i Rådets forordning (EF) nr. 45/2001. Denne udtalelse er derfor baseret på artikel 41, stk. 2, i samme forordning. Den tilsynsførende anbefaler, at der i indledningen til afgørelsen tilføjes en henvisning til denne udtalelse.

3. Den tilsynsførende har afdækket visse mangler og unøjagtigheder, for så vidt angår beskyttelse af personoplysninger. Efter en beskrivelse af forslagets anvendelsesområde og baggrund i kapitel III følger en uddybning af bemærkningerne i kapitel IV.

II. HØRING AF DEN TILSYNSFØRENDE

4. Den tilsynsførende har offentliggjort et policydokument, hvori han beskriver sin rådgivende rolle: The EDPS as an advisor to the Community Institutions on proposals for legislation and related documents (Den Europæiske Tilsynsførende for Databeskyttelse som rådgiver for fællesskabsinstitutionerne i forbindelse med lovgivningsforslag og dermed beslægtede dokumenter). (4) Denne rådgivende rolle er baseret på artikel 28, stk. 2, artikel 41 i forordning (EF) nr. 45/2001. Det anføres endvidere i betragtning 17 i forordningen, at »En effektiv beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionen forudsætter sammenhæng mellem de regler og procedurer, som finder anvendelse på de aktiviteter, der henhører under de forskellige retlige rammer«. Denne sammenhæng er uundværlig for opnåelsen af et højt databeskyttelsesniveau i Europa, som også omfatter EU's optræden udadtil.

5. Den tilsynsførendes vidtrækkende ansvar er anerkendt af Europa-Kommissionen, og det er fast praksis, at den tilsynsførende høres af Kommissionen i forbindelse med relevante forslag, både for så vidt angår lovgivningsmæssige og ikke-lovgivningsmæssige instrumenter. Den tilsynsførendes rådgivningsopgave omfatter »spørgsmål vedrørende behandling af personoplysninger«. Dette indebærer, at al lovgivning, som indeholder bestemmelser om behandling af personoplysninger eller bestemmelser, som indvirker (eller kan indvirke) på denne behandling, bør sendes til høring. Dette gælder også alle instrumenter, der hører under EU’s eksterne kompetencer.

6. Policydokumentet indeholder også retningslinjer for tidspunktet for høring. En høring på et tidligt tidspunkt i lovgivningsprocessen giver den tilsynsførende mulighed for at handle effektivt og at foreslå ændringer til en tekst. Kommissionens ansvarlige tjenestegren skal sende udkastet til en sådan uformel høring hos den tilsynsførende, om nødvendigt inden det formelle forslag vedtages. Når forslaget er vedtaget, er næste skridt en formel høring. På dette stadie offentliggøres den tilsynsførendes henstillinger i EU-tidende (C-udgaven).

7. Hvad angår nærværende forslag, har den tilsynsførende, som nævnt ovenfor, hverken modtaget udkastet til forslag eller forslaget til høring efter dets vedtagelse. Den tilsynsførende er skuffet over dette forløb, eftersom hans involvering i processen, som det vil blive forklaret i det nedenstående, ville have været en oplagt mulighed for at tilføje værdifulde ændringer til forslaget.

III. FORSLAGETS KONTEKST OG BAGGRUND

8. Formålet med forslaget er, at EU's og Japans programmer for autoriserede økonomiske operatører (AEO) anerkendes gensidigt som værende forenelige og ækvivalente, og de dertil svarende AEO-statusser godkendes gensidigt.

9. Forholdet mellem EU og Japan på toldområdet bygger på aftalen om samarbejde og gensidig administrativ bistand i toldspørgsmål (5), som trådte i kraft den 1. februar 2008. I henhold til toldsamarbejdsaftalen omfatter toldsamarbejdet alle spørgsmål vedrørende anvendelsen af toldlovgivningen. Ifølge toldsamarbejdsaftalen skal EU og Japan ligeledes samarbejde om at udbygge samhandelsfremmende foranstaltninger inden for toldområdet i overensstemmelse med internationale standarder (6). Gensidig anerkendelse af programmer for autoriserede økonomiske operatører (AOE) og sikkerhedsforanstaltninger øger sikkerheden fra første til sidste led i forsyningskæden og fremmer samhandelen.

10. Ifølge forslaget sikrer toldmyndighederne bl.a., at der til stadighed hersker overensstemmelse mellem systemerne, og at økonomiske operatører med AEO-status nyder fordele. Det fastsættes endvidere, at toldmyndighederne forbedrer kommunikationen og udveksler oplysninger. Forslaget indeholder en detaljeret redegørelse for, hvilke oplysninger de udveksles om autoriserede økonomiske operatører.

IV. ANALYSE AF FORSLAGET

IV.1. Anvendelsesområde for loven om beskyttelse af personoplysninger

11. Bestemmelse IV i bilaget til forslaget omhandler udveksling af oplysninger og kommunikation. Det præciseres, at oplysninger og dermed forbundne data, særligt om medlemmer af programmerne, udveksles systematisk og i elektronisk form. De oplysninger, der udveksles om økonomiske operatører, der er autoriserede i henhold til AEO-programmer er anført, herunder f.eks. navnet på den økonomiske operatør med AEO-status, den pågældende økonomiske operatørs adresse osv.

12. Ordningen for AEO’er er fastsat i artikel 5, stk. a), i Europa-Parlamentets og Rådets forordning (EF) nr. 648/2005 (7), hvori det angives, at »1. (…). En autoriseret økonomisk operatør skal kunne udnytte lettelser med hensyn til sikkerheds- og sikringsrelateret toldkontrol og/eller forenklinger, der omhandles i toldbestemmelserne. (…)«.

13. En »økonomisk operatør« defineres i artikel 1, nr. 12, i Kommissionens forordning (EF) nr. 1875/2006 (8) som »en person, der som led i sit erhverv er involveret i aktiviteter, der er omfattet af toldlovgivningen«. En økonomisk operatør kan derfor både være en fysisk person og en juridisk person. Begrebet »økonomisk operatør« omfatter den autoriserede økonomiske operatør, som nævnt i stk. 9. Oplysninger om visse AEO’er kan derfor betragtes som »personoplysninger«, som defineret i artikel 2, litra a), i forordning (EF) nr. 45/2001 og direktiv 95/46/EF, i det mindste oplysninger om AEO’er, som er fysiske personer. Oplysninger om AEO’er, som er juridiske personer, er i nogle tilfælde at betragte som personoplysninger. Den afgørende faktor i disse tilfælde er, hvorvidt oplysningerne vedrører en »identificerbar« fysisk person. (9) Der er derfor ingen tvivl om, at der kan udveksles personoplysninger i forbindelse med nærværende forslag.

14. Personoplysninger skal behandles af toldmyndighederne. Det fastsættes i bestemmelse I, nr. 2), i bilaget til forslaget, at »De i toldsamarbejdsaftalens artikel 1, litra c, anførte toldmyndigheder (i det følgende benævnt »toldmyndigheder«) er ansvarlige for gennemførelsen«. Den definition, der henvises til, er følgende: »»toldmyndighed«: (…) i Fællesskabet, de tjenestegrene i Kommissionen for De Europæiske Fællesskaber, der er ansvarlige for toldspørgsmål, og toldmyndighederne i Fællesskabets medlemsstater«. Derfor finder både forordning (EF) nr. 45/2001 og direktiv 95/46/EF anvendelse i forbindelse med nærværende forslag (10). Forordning (EF) nr. 45/2001 gælder for Kommissionens behandling af oplysninger, mens direktiv 95/46/EF finder anvendelse i forbindelse med de nationale toldmyndigheders behandling af oplysninger.

IV.2. International videregivelse af personoplysninger

15. Både direktivet og forordningen indeholder analoge bestemmelser vedrørende grænseoverskridende videregivelse af personoplysninger, i henholdsvis artikel 25 og 26 og artikel 9. Det i disse bestemmelser knæsatte princip indebærer, at personoplysninger ikke kan videregives fra en medlemsstat til et tredjeland, medmindre det pågældende tredjeland kan sikre et tilstrækkeligt beskyttelsesniveau (eller medmindre der er vedtaget de fornødne garantier, i modsat fald finder en af de fastsatte undtagelser anvendelse).

Erklæring om tilstrækkeligt beskyttelsesniveau i forslaget

16. Begrundelsen indeholder et punkt om databeskyttelse (punkt 5). Det angives i punkt 11, at den japanske databeskyttelsesordning sikrer et tilstrækkeligt beskyttelsesniveau, jf. artikel 9 i forordning nr. 45/2001. Artikel 9 omhandler den ordning, der er gældende for videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, og som ikke er underlagt direktiv 95/46/EF, hvilket er tilfældet for tredjelande som f.eks. Japan.

17. Det anføres i artikel 9, stk. 1, at »(videregivelse af personoplysninger til modtagere, som ikke er fællesskabsinstitutioner eller -organer, og som ikke er undergivet national lovgivning, der er vedtaget i medfør af direktiv 95/46/EF, kun må finde sted, hvis modtagerens land eller den modtagende internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau, og personoplysningerne alene videregives med henblik på udførelse af opgaver, der ligger inden for den registeransvarliges kompetenceområde«).

18. I artikel 9, stk. 2, fastsættes det, at beskyttelsesniveauet i et tredjeland eller en international organisationen skal vurderes på grundlag af »alle de forhold, der har indflydelse på videregivelse eller en kategori af videregivelse af oplysninger«. Artiklen indeholder endvidere eksempler på aspekter, der skal lægges til grund for vurderingen: »Til grund for vurderingen lægges navnlig personoplysningernes art, den eller de påtænkte behandlingers formål og varighed, det endelige bestemmelsessted (tredjeland eller international organisation), de retsregler (almindelige regler eller sektorregler), der er gældende i det pågældende tredjeland eller gælder for den pågældende internationale organisation, samt de regler for god forretningsskik og de sikkerhedsforanstaltninger, der gælder i dette tredjeland eller denne internationale organisation«. Denne liste er ikke udtømmende, og der kan også indgå andre elementer i vurderingen afhængigt af den faktiske sag.

19. Forordningens artikel 9 skal fortolkes i lyset af artikel 25 og 26 i direktiv 95/46/EF. I artikel 25, stk. 6, i direktivet fastsættes det, at »Kommissionen efter proceduren i artikel 31, stk. 2, kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2, på grundlag af dets nationale lovgivning eller dets internationale forpligtelser (…)«. Den udvalgsprocedure, der beskrives i artikel 31, stk. 2, i direktivet, skal derfor være overholdt, før et tredjeland kan erklæres at sikre et »tilstrækkeligt beskyttelsesniveau«.

20. Denne procedure er ikke blevet overholdt i forbindelse med nærværende forslag. Erklæringen i punkt 11 om, at Japans databeskyttelsesordning er tilstrækkelig, er som følge heraf ikke i overensstemmelse med direktivets artikel 25, stk. 6. Den tilsynsførende anbefaler derfor på det kraftigste, at denne erklæring slettes.

21. Den tilsynsførende anerkender, at det i bestemmelse IV, nr. 5, i bilaget til forslaget anføres, at »Toldmyndighederne står inde for databeskyttelsen i overensstemmelse med toldsamarbejdsaftalen, særligt artikel 16«. Artikel 16 omhandler »Informationsudveksling og tavshedspligt«, og det anføres i stk. 2 heri, at »Personoplysninger kun må udveksles, hvis den kontraherende part, der modtager dem, forpligter sig til at beskytte sådanne oplysninger på mindst samme måde som den, der gælder i det særlige tilfælde hos den kontraherende part, der leverer oplysningerne. Den kontraherende part, der leverer oplysningerne, må ikke fastsætte krav, der er strengere end dem, der gælder i dens egen jurisdiktion«.

22. Den tilsynsførende vil imidlertid gerne fremhæve, at det system, der, som beskrevet ovenfor, skal anvendes til at analysere beskyttelsesniveauet i et tredjeland, tager udgangspunkt i begrebet »tilstrækkelig beskyttelse« og ikke »ensartet beskyttelse« (jf. EU's internationale forpligtelser) (11). Artikel 16 synes under alle omstændigheder at være en hensigtserklæring, idet aftalen om samarbejde ikke indeholder krav om dokumentation for eksistensen af en reel »ensartet beskyttelse«. Der henvises desuden ikke til nogen analyser af hverken »ensartet beskyttelse« eller »tilstrækkelig beskyttelse«. Denne erklæring i artikel 16 kan derfor ikke anses for at være et afgørende element i en vurdering af, om beskyttelsesniveauet er tilstrækkeligt, og den kan ikke danne grundlag for den erklæring, der fremsættes i punkt 5, nr. 1, i begrundelsen.

Anlæggelse af et bredere perspektiv i lyset af sagens karakteristika

23. Det skal bemærkes, at vurderingen af beskyttelsesniveauet i et givent land kan udføres af Kommissionen, databeskyttelsesmyndigheder og dataansvarlige, på forskellige niveauer og med forskellige juridiske konsekvenser. Hvis Kommissionen på grundlag af artikel 26, stk. 6, i direktiv 95/46 fastslår, at beskyttelsesniveauet er tilstrækkeligt, er denne afgørelse bindende for medlemsstaterne. Dette gælder også EU's institutioner og organer, som anført under artikel 9, stk. 5, i forordningen. Hvis der ikke træffes en sådan afgørelse, skal vurderingen af, hvorvidt databeskyttelsesniveauet er tilstrækkeligt, i mange medlemsstater foretages af databeskyttelsesmyndighederne, mens det i andre medlemsstater påhviler de dataansvarlige under tilsyn af databeskyttelsesmyndighederne. Artikel 9 i forordningen følger klart sidstnævnte model.

24. Det betyder, at selv om et land som helhed ikke vurderes at sikre et »tilstrækkeligt beskyttelsesniveau« i henhold til den procedure, der er fastlagt i direktivets artikel 25, stk. 6, kan den dataansvarlige vurdere, at den databeskyttelsesordning, der er gældende for en specifik videregivelse eller en specifik kategori af videregivelser af oplysninger er »tilstrækkelig« (inden for de rammer, der forklares i det nedenstående).

25. På grundlag af artikel 9, stk. 2, i forordningen (samt artikel 25, stk. 2, i direktivet) skal den dataansvarlige vurdere alle forhold, der har indflydelse på videregivelse eller en kategori af videregivelse af oplysninger. Der skal foretages en konkret analyse, der tager højde for de særlige karakteristika (garantier og/eller risici) ved den pågældende videregivelse eller kategori af videregivelse. Denne vurdering vil munde ud i en konklusion vedrørende det eksisterende beskyttelsesniveau i forbindelse med en specifik videregivelse eller kategori af videregivelse og vil være begrænset til at omfatte de formål, der er lagt til grund for vurderingen af den dataansvarlige og modtagerne i bestemmelseslandet. Den dataansvarlige er i dette tilfælde ansvarlig for at vurdere, om betingelserne for at sikre et tilstrækkeligt beskyttelsesniveau er til stede. Når den dataansvarlige har foretaget sin analyse, vil konklusionen blive underlagt databeskyttelsesmyndighedens tilsyn.

26. I punkt 11 i begrundelsen anføres det, at den japanske databeskyttelsesordning er fastlagt i den japanske toldlov (artikel 108, stk. 2), loven om international efterforskningsbistand og hermed forbundne anliggender (artikel 1 og 3), loven om offentlig forvaltning (artikel 100), loven om beskyttelse af personoplysninger i administrative organer (artikel 8) og loven om offentlighed i forvaltningen (artikel 5).

27. Den tilsynsførende har ikke set nogen dokumentation for, at denne ordning er blevet evalueret på grundlag af Artikel 29-gruppens arbejdsdokument (WP12) om »Videregivelse af personoplysninger til tredjelande: anvendelse af artikel 25 og 26 i EU's databeskyttelsesdirektiv«, eller at det er sket på en måde, der er i overensstemmelse med de principper, der fastsættes heri (12).

28. Der erindres endvidere om, at modellen med tilstrækkelig beskyttelse indebærer, at der skal tages hensyn til både lovens ordlyd og udøvelse (dvs. en både objektiv og funktionel tilgang). Det forhold, at der er taget højde for selve retsreglerne, er ikke tilstrækkelig dokumentation for, at reglerne er gennemført i praksis.

29. Det betyder, at der skal foretages en vis kontrol af reglernes effektive gennemførelse og anvendelse i praksis, inden det kan afgøres, hvorvidt der er sikret et tilstrækkeligt beskyttelsesniveau i forbindelse med den pågældende videregivelse af oplysninger eller en kategori af videregivelse af oplysninger. Det vil i dette tilfælde sige udvekslingen af oplysninger inden for rammerne af AEO-programmerne.

30. I lyset af dette skal de dataansvarlige (i dette tilfælde de tjenestegrene i Europa-Kommissionen, der er ansvarlige for toldspørgsmål, og toldmyndighederne i EU's medlemsstater) foretage en vurdering af, hvorvidt et bestemmelsesland (i dette tilfælde Japan) på effektiv måde sikrer et tilstrækkeligt beskyttelsesniveau i forbindelse med den specifikke videregivelse og begrænset til de specifikke formål og modtagere i bestemmelseslandet (13) (dvs. udveksling af oplysninger med henblik på gennemførelse af AEO-programmerne). En sådan vurdering blev imidlertid ikke foretaget.

31. Forslaget kunne have lagt sig på linje med denne tilgang som et alternativ til proceduren for fastlæggelse af, hvorvidt Japan sikrer et tilstrækkeligt beskyttelsesniveau.

Andre alternativer

32. Man kunne med forslaget også have valgt at se på, hvorvidt de dataansvarlige kunne give andre former for »fornødne garantier«, jf. forordningens artikel 9, stk. 7, og direktivets artikel 26, stk. 2, eller hvorvidt nogle af de undtagelser, der anføres i forordningens artikel 9, stk. 6, eller direktivets artikel 26, stk. 1, fandt anvendelse (14).

IV.3. Yderligere krav i loven om beskyttelse af personoplysninger

Oplysningernes pålidelighed

33. Princippet om oplysningernes pålidelighed beskrives i artikel 4 i forordningen. Heri fastsættes bl.a., at »(personoplysninger: (…) c) skal være tilstrækkelige og relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og de formål, hvortil de senere behandles (…))«. De kategorier af oplysninger, der nævnes i bestemmelse IV, nr. 4, synes at overholde dette princip.

34. I forordningens artikel 4 fastsættes endvidere, at: »(personoplysninger: (…) e) skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne indsamles, eller de formål, hvortil de senere behandles (…))«. Det er derfor nødvendigt at fastsætte en opbevaringsperiode for de personoplysninger, der skal behandles.

Den registreredes rettigheder

35. Kommissionen skal sikre, at der er indført mekanismer til at garantere, at den registrerede kan udøve sine rettigheder, som f.eks. retten til indsigt og til berigtigelse (artikel 13 og 14 i forordningen).

Forpligtelse til underretning

36. I artikel 11 og 12 i forordningen fastsættes en forpligtelse til at underrette den pågældende person og angive tidsplanen for disse oplysninger. Kommissionen skal fastsætte den procedure, der skal anvendes i forbindelse med fastsættelse af, om oplysningerne f.eks. vil blive videregivet på tidspunktet for indsamlingen af data (af tredjelandet) eller af Kommissionen selv.

V. KONKLUSIONER OG HENSTILLINGER

37. Den tilsynsførende er skuffet over, at den høringsprocedure, der beskrives i kapitel II, ikke er blevet fulgt.

38. Den tilsynsførende henstiller til, at erklæringen om, at der er sikret et tilstrækkeligt beskyttelsesniveau under den japanske ordning, som er indeholdt i punkt 11 i begrundelsen, slettes, idet denne erklæring ikke er forenelig med kravene i forordning (EF) nr. 45/2001 og direktiv 95/46/EF. Han henstiller endvidere til at undersøge de i forordningen og direktivet hjemlede muligheder nærmere, således at det sikres, at reglerne om international videregivelse af oplysninger overholdes.

39. Den tilsynsførende henstiller også til, at Kommissionen: — definerer en periode for opbevaring af de personoplysninger, der skal behandles — sørger for mekanismer, der skal sikre, at den registrerede kan udøve sine rettigheder — indfører en procedure for videregivelse af oplysninger til de registrerede.

Udfærdiget i Bruxelles, den 12. marts 2010. Peter HUSTINX Den Europæiske Tilsynsførende for Databeskyttelse

(1) EFT L 281 af 23.11.1995, s. 31.

(2) EFT L 8 af 12.1.2001, s. 1.

(3) KOM(2010) 55 endelig.

(4) Policydokumentet kan ses på: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Papers/PolicyP/05-03-18_PP_EDPSadvisor_EN.pdf

(5) EUT L 62 af 6.3.2008, s. 24.

(6) Artikel 4 i aftalen om samarbejde og gensidig administrativ bistand i toldspørgsmål.

(7) EFT L 117 af 4.5.2005, s. 13.

(8) EUT L 360 af 19.12.2006, s. 64.

(9) Se Artikel 29-Gruppen vedrørende databeskyttelse, udtalelse nr. 4/2007 om begrebet personoplysninger, WP 136, som findes på: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2007/wp136_da.pdf, navnlig side 23 og 24.

(10) Artikel 3, stk. 1, i forordning (EF) nr. 45/2001 og direktiv 95/46/EF.

(11) Se artikel XIV i GATS: »Under forbehold af kravet om, at sådanne foranstaltninger ikke anvendes på en måde, der udgør en vilkårlig eller uberettiget forskelsbehandling mellem lande, hvis forhold ligner hinanden, eller en skjult begrænsning på handelen med tjenesteydelser, må intet i denne aftale fortolkes således, at det forhindrer noget medlem i at indføre eller håndhæve bestemmelser, der er (…) c) nødvendige for at sikre overholdelse af love eller bestemmelser, der ikke er uforenelige med bestemmelserne i denne aftale, herunder bestemmelser om: (…) (ii) beskyttelse af enkeltpersoners privatliv i forbindelse med behandling og udbredelse af personlige oplysninger og beskyttelse af fortroligheden for personlige optegnelser og konti«.

(12) Artikel 29-gruppen vedrørende databeskyttelse, arbejdsdokument »Videregivelse af personoplysninger: anvendelse af artikel 25 og 26 i EU's databeskyttelsesdirektiv«, der kan ses på: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/1998/wp12_da.pdf

(13) Den tilsynsførende foretog en tilsvarende fortolkning i forbindelse med en høring fra OLAF om »Transfers of personal data to third countries: »adequacy« of signatories to Council of Europe Convention 108 (case 2009-0333)«, der findes på: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(14) Hvad angår direktivets artikel 26, stk. 1, henvises til: Artikel 29-Gruppen vedrørende databeskyttelse, arbejdsdokument om en ensartet fortolkning af artikel 26, stk. 1, i direktiv 95/46/EF, WP114, der findes på: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2005/wp114_da.pdf