Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om europæiske editions- og sikringskendelser om elektronisk bevismateriale i straffesager

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS' websted www.edps.europa.eu)

(2020/C 32/04)

I april 2018 fremlagde Kommissionen to forslag — for én forordning og ét direktiv — til at fastlægge retlige rammer, som vil gøre det nemmere og hurtigere for politi- og retsmyndigheder at sikre og opnå adgang til elektronisk bevismateriale i grænseoverskridende sager. Siden da har Rådet vedtaget generelle indstillinger for forslagene, og Europa-Parlamentet har udstedt flere arbejdsdokumenter. Det Europæiske Databeskyttelsesråd har afgivet sin udtalelse. Relaterede udviklinger har fundet sted på internationalt plan, navnlig indledning af forhandlinger om en international aftale med De Forenede Stater om grænseoverskridende adgang til elektronisk bevismateriale samt arbejde på en anden tillægsprotokol til konventionen om IT-kriminalitet. Med nærværende udtalelse ønsker EDPS at forsyne EU-lovgiveren med nye input til det forestående arbejde på forslagene, under hensyntagen til ovennævnte udviklinger.

I verden i dag, som er forandret af nye teknologier, er myndighederne ofte meget tidspresset i forhold til at indhente de data, som er nødvendige til at udføre deres opgaver. På samme tid befinder retshåndhævende myndigheder sig, selv ved efterforskning af sager inden for samme land, oftere i »grænseoverskridende situationer«, blot fordi der blev benyttet en udenlandsk tjenesteudbyder, og oplysningerne er lagret elektronisk i en anden medlemsstat. EDPS støtter målet om at sikre, at der er effektive værktøjer tilgængelige for retshåndhævende myndigheder, så de kan efterforske og retsforfølge lovovertrædelser, og glæder sig især over målet i forslagene om at fremskynde og lette adgangen til data i grænseoverskridende sager ved at strømline procedurer inden for EU.

Samtidig vil EDPS gerne understrege, at alle initiativer på dette område fuldt ud skal overholde Den Europæiske Unions charter om grundlæggende rettigheder og EU's databeskyttelsesramme, og det er vigtigt at sikre, at alle nødvendige beskyttelsesforanstaltninger er på plads. Effektiv beskyttelse af grundlæggende rettigheder under indsamling af elektronisk bevismateriale på tværs af grænser kræver især en større involvering af den fuldbyrdende medlemsstats judicielle myndigheder. De skal systematisk involveres så tidligt som muligt i denne proces, have mulighed for at gennemgå kendelsers overholdelse af chartret og er forpligtet til at påberåbe en begrundelse for afvisning på dette grundlag.

Desuden bør definitionen af datakategorier i den foreslåede forordning præciseres, og deres sammenhæng med andre definitioner af datakategorier i EU-retten bør sikres. Han anbefaler også at genvurdere balancen mellem de overtrædelsesformer, hvorom europæiske editionskendelser kan udstedes, og de berørte datakategorier set i lyset af EU-Domstolens relevante retspraksis.

Endvidere fremsætter EDPS specifikke henstillinger om flere aspekter af forslagene om elektronisk bevismateriale, som kræver forbedringer: ægthed og fortrolighed for overførte kendelser og data, begrænset sikring i medfør af europæiske sikringskendelser, de gældende databeskyttelsesrammer, registrerede personers rettigheder, registrerede personer, der besidder immuniteter og privilegier, de retlige repræsentanter, fristerne for overholdelse af europæiske editionskendelser og muligheden for at tjenesteudbydere kan gøre indsigelse mod kendelser.

Endelig beder EDPS om mere klarhed om den foreslåede forordnings interaktion med fremtidige internationale aftaler. Den foreslåede forordning skal vedligeholde et højt databeskyttelsesniveau i EU og være en referenceramme ved forhandling af internationale aftaler om grænseoverskridende adgang til elektronisk bevismateriale.

1. INDLEDNING OG BAGGRUND

1. Den 17. april 2018 fremlagde Kommissionen to lovforslag (herefter kaldet »forslagene«), som var ledsaget af en konsekvensanalyse ( 1 ) , herunder: — et forslag til en forordning om europæiske editions- og sikringskendelser om elektronisk bevismateriale i straffesager (2) (herefter kaldet »den foreslåede forordning«) — et forslag til et direktiv, som fastlægger harmoniserede regler for udpegning af retlige repræsentanter med henblik på indsamling af bevismateriale i straffesager (3) (herefter kaldet »det foreslåede direktiv«).

4. Den 7. december 2018 og 8. marts 2019 vedtog Rådet sin generelle indstilling til henholdsvis den foreslåede forordning ( 10 ) og det foreslåede direktiv ( 11 ) . Europa-Parlamentet offentliggjorde en række arbejdsdokumenter.

5. Den Europæiske Tilsynsførende for Databeskyttelse (herefter kaldet »EDPS«) glæder sig over, at han blev uformelt hørt af Kommissionens tjenestegrene inden forslagenes vedtagelse. EDPS glæder sig også over henvisningerne til den nærværende udtalelse i betragtning 66 i den foreslåede forordning og betragtning 24 i det foreslåede direktiv.

6. Den 5. februar 2019 vedtog Kommissionen to henstillinger med henblik på Rådets afgørelse: en henstilling om bemyndigelse til at indlede forhandlinger med henblik på indgåelse af en international aftale mellem Den Europæiske Union (EU) og Amerikas Forenede Stater (USA) om grænseoverskridende adgang til elektronisk bevismateriale inden for strafferetligt samarbejde ( 12 ) og en henstilling om at bemyndige Kommissionen til på vegne af EU at deltage i forhandlinger om den anden tillægsprotokol til Europarådets konvention om IT-kriminalitet (CETS nr. 185) (i det følgende »konvention om IT-kriminalitet«) ( 13 ) . De to henstillinger var genstand for to EDPS-udtalelser ( 14 ) . Begge forhandlinger med USA og i Europarådet er tæt forbundne.

7. I februar 2019 udsendte Europa-Parlamentets Udvalg om Borgernes Rettigheder og Retlige og Indre Anliggender lignende skrivelser til EDPS og EDPB for at anmode om en juridisk vurdering af konsekvenserne af USA's CLOUD Act ( 15 ) , som blev vedtaget af den amerikanske kongres i marts 2018, for de europæiske lovrammer for databeskyttelse. Den 12. juli 2019 vedtog EDPS og EDPB et fælles svar til denne anmodning med deres indledende vurdering ( 16 )

8. Den 3. oktober 2019 underskrev Det Forenede Kongerige og De Forenede Stater en bilateral aftale om grænseoverskridende adgang til elektronisk bevismateriale med henblik på at bekæmpe grov kriminalitet ( 17 ) . Det er den første administrative aftale, som tillader, at amerikanske tjenesteudbydere kan efterkomme anmodninger om indholdsdata fra et fremmed land i medfør af USA's CLOUD Act.

Nærværende udtalelse omhandler begge forslag, men fokuserer dog primært på den foreslåede forordning. I overensstemmelse med EDPS' målsætninger fokuserer den primært på retten til privatlivets fred og beskyttelse af personoplysninger og sigter mod at være konsistent og supplere EDPB-udtalelse 23/2018, hvor den også tager hensyn til Rådets generelle indstillinger og Europa-Parlamentets arbejdsdokumenter.

5. KONKLUSIONER

70. EDPS støtter målsætningen om at sikre, at der er effektive værktøjer tilgængelige for retshåndhævende myndigheder og judicielle myndigheder, så de kan efterforske og retsforfølge lovovertrædelser i en verden, som er forandret af nye teknologier. På samme tid vil EDPS gerne sikre, at denne aktion fuldt ud respekterer chartret og gældende EU-ret om databeskyttelse. Den foreslåede forordning ville kræve lagring og formidling af personoplysninger inden og uden for EU imellem medlemsstaters kompetente myndigheder, private enheder og i nogle tilfælde tredjelandes myndigheder. Den ville medføre begrænsninger af de to grundlæggende rettigheder til respekt for privatlivet og beskyttelse af personoplysninger, der garanteres af artikel 7 og 8 i chartret. For at være lovlige skal sådanne begrænsninger overholde betingelserne fastlagt i artikel 52, stk. 1, i chartret og navnlig overholde betingelsen om nødvendighed.

71. EDPS er for det første af den opfattelse, at andre alternativer, som ville give bedre beskyttelsesforanstaltninger og opnå de samme mål, bør undersøges yderligere.

72. For det andet bemærker EDPS, at den foreslåede forordning allerede indeholder flere proceduremæssige garantier. EDPS er dog bekymret over, at det vigtige ansvar for at gennemgå EPOC's og EPOC-PR's overholdelse af chartret tildeles tjenesteudbydere, og anbefaler at involvere judicielle myndigheder, som er udpeget af den fuldbyrdende medlemsstat, så hurtigt som muligt i processen for indsamling af elektronisk bevismateriale.

73. EDPS anbefaler at sikre yderligere sammenhæng mellem definitionerne af kategorier for data om elektronisk bevismateriale og eksisterende definitioner af specifikke datakategorier i medfør af EU-ret og genovervejelse af kategorien for adgangsdata eller at underkaste adgang til disse data til lignende betingelser som dem for adgang til kategorier for transaktionsdata og indholdsdata. Den foreslåede forordning bør fastlægge tydelige og enkle definitioner af hver datakategori for at sikre retssikkerhed for alle involverede interessenter. Han anbefaler også at ændre den foreslåede definition af kategorien for abonnentdata med henblik på yderligere uddybelse heraf.

74. Han anbefaler desuden at genvurdere balancen mellem de overtrædelsesformer, hvorom europæiske editionskendelser kan udstedes, og de berørte datakategorier set i lyset af EU-Domstolens nylige relevante retspraksis. Navnlig bør muligheden for at udstede en europæisk editionskendelse til at fremskaffe transaktionsdata og indholdsdata begrænses til alvorlige forbrydelser. Ideelt ville EDPS foretrække definitionen af en lukket liste over specifikke alvorlige lovovertrædelser, hvorom europæiske editionskendelser kan fremskaffe transaktionsdata og indholdsdata, hvilket også vil øge retssikkerheden for alle involverede interessenter.

75. EDPS fremsætter også henstillinger rettet mod at sikre, at retten til databeskyttelse og privatlivets fred respekteres, hvor man på samme tid hurtigt kan indsamle beviser til specifikke straffesager. De fokuserer på sikkerheden af dataoverførsler mellem alle involverede interessenter, ægtheden af kendelser og certifikater og den begrænsede sikring af data under en EPO-PR.

76. Ud over de generelle bemærkninger og centrale henstillinger, der er anført ovenfor, har EDPS fremstillet supplerende henstillinger i nærværende udtalelse vedrørende følgende aspekter af forslagene: — henvisningen til de gældende databeskyttelsesrammer — registrerede personers rettigheder (større gennemsigtighed og retten til et retsmiddel) — registrerede personer, som besidder immuniteter og privilegier — udpegelse af retlige repræsentanter til indsamling af bevismateriale i straffesager — tidsfristerne til at overholde EPOC og fremføre dataene — muligheden for at tjenesteudbydere kan gøre indsigelse mod kendelser på begrænsede grundlag.

77. Endelig er EDPS opmærksom på den bredere sammenhæng, hvorunder initiativet er fremlagt, og for de to vedtagne afgørelser fra Rådet: én vedrørende den anden tillægsprotokol til Europarådets konvention om IT-kriminalitet og én vedrørende indledningen af forhandlinger med De Forenede Stater. Han beder om mere klarhed om den foreslåede forordnings interaktion med internationale aftaler. EDPS ser frem til at bidrage konstruktivt til at sikre sammenhæng og kompatibilitet mellem de færdige tekster og EU's databeskyttelsesrammer.

Bruxelles, den 6. november 2019. Wojciech Rafał WIEWIÓROWSKI Assisterende tilsynsførende

(1) Arbejdsdokument fra Kommissionens tjenestegrene: konsekvensanalyse, SWD(2018) 118 final (herefter kaldet »konsekvensanalyse«), tilgængelig på: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=SWD%3A2018%3A118%3AFIN.

(2) Forslag til Europa-Parlamentets og Rådets forordning om europæiske editions- og sikringskendelser om elektronisk bevismateriale i straffesager (COM(2018) 225 final).

(3) Forslag til Europa-Parlamentets og Rådets direktiv om harmoniserede regler for udpegning af retlige repræsentanter med henblik på indsamling af bevismateriale i straffesager (COM(2018) 226 final).

(4) Europa-Parlamentets og Rådets direktiv 2014/41/EU af 3. april 2014 om den europæiske efterforskningskendelse i straffesager (EUT L 130 af 1.5.2014, s. 1). Se artikel 23 i den foreslåede forordning.

(5) EIO-direktivet fastlægger et direkte samarbejde mellem en medlemsstats udstedelsesmyndighed og en anden medlemsstats fuldbyrdelsesmyndighed eller, i givet fald, via den/de centrale myndighed/myndigheder udpeget af den/de pågældende medlemsstat/-stater. Det er rettet mod at tilvejebringe og fremskynde dette samarbejde ved at fastlægge standardformularer og faste tidsfrister og fjerne flere forhindringer for grænseoverskridende samarbejde, f.eks. »kan udstedelsesmyndigheden udstede en europæisk efterforskningskendelse for at træffe enhver foranstaltning med henblik på foreløbigt at forhindre, at en genstand, der kan anvendes som bevismateriale, destrueres, omdannes, fjernes, overføres eller bortskaffes«, og »fuldbyrdelsesmyndigheden træffer beslutning om denne anmodning og meddeler sin beslutning om den foreløbige foranstaltning snarest muligt og, hvis det overhovedet er muligt, inden 24 timer efter modtagelsen af den europæiske efterforskningskendelse« (artikel 32). Derudover er fuldbyrdelse af en europæisk efterforskningskendelse til identifikation af en person, som besidder et abonnement på et bestemt telefonnummer eller IP-adresse, ikke underlagt kravet om dobbelt strafbarhed (artikel 10, stk. 2, litra e), samt artikel 11, stk. 2).

(6) Alle medlemsstater undtagen Danmark og Irland.

(7) Alle deltagende medlemsstater har gennemført EIO-direktivet i deres nationale lovgivning i 2017 eller 2018. Se status over gennemførelse i Det Europæiske Retlige Netværk: https://www.ejn-crimjust.europa.eu/ejn/EJN_Library_StatusOfImpByCat.aspx?l=DK&CategoryId=120.

(8) EDPB, som blev etableret ved artikel 68 i GDPR, efterfulgte gruppen, som blev etableret ved artikel 29 i direktiv 95/46/EF, der senere er ophævet. Ligesom artikel 29-gruppen består EDPB af repræsentanter fra de nationale databeskyttelsesmyndigheder og EDPS.

(9) Udtalelse 23/2018 af 26. september 2018 om Kommissionens forslag om europæiske editions- og sikringskendelser om elektronisk bevismateriale i straffesager (artikel 70.1.b) (herefter kaldet »EDPB-udtalelse 23/2018«), tilgængelig på: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb-2018-09-26-eevidence_da.pdf.

(10) https://www.consilium.europa.eu/da/press/press-releases/2018/12/07/regulation-on-cross-border-access-to-e-evidence-council-agrees-its-position/.

(11) https://www.consilium.europa.eu/da/press/press-releases/2019/03/08/e-evidence-package-council-agrees-its-position-on-rules-to-appoint-legal-representatives-for-the-gathering-of-evidence/.

(12) Henstilling med henblik på Rådets afgørelse om bemyndigelse til at indlede forhandlinger med henblik på indgåelse af en aftale mellem Den Europæiske Union og Amerikas Forenede Stater om grænseoverskridende adgang til elektronisk bevismateriale inden for strafferetligt samarbejde (COM(2019) 70 final).

(13) Henstilling med henblik på Rådets afgørelse om bemyndigelse til at deltage i forhandlinger om den anden tillægsprotokol til Europarådets konvention om IT-kriminalitet (CETS nr. 185) (COM(2019) 71 final). Indtil nu har alle EU's medlemsstater underskrevet Europarådets konvention om et styrket internationalt samarbejde om IT-kriminalitet og elektronisk bevismateriale, og næsten alle har ratificeret den. Irland og Sverige er stadig i gang med at ratificere konventionen om IT-kriminalitet. Konventionen om IT-kriminalitet er et bindende internationalt instrument, som kræver, at de kontraherende parter fastlægger specifikke lovovertrædelser begået imod eller ved hjælp af elektroniske netværk i deres nationale lovgivning og fastsætter specifik hjemmel og procedurer, der gør det muligt for deres nationale myndigheder at udføre deres strafferetlige efterforskninger, herunder indsamling af bevismateriale for en lovovertrædelse i elektronisk form. Den fremmer også internationalt samarbejde mellem de kontraherende parter. Der er specifikke foranstaltninger til at håndtere de udfordringer, som følger af datas volatilitet. I denne sammenhæng fastlægger konventionen hastesikring af lagrede computerdata. Da overførslen af det sikrede bevismateriale til den anmodede stat er underlagt en endelig afgørelse om den formelle anmodning om gensidig retshjælp, skal sikringen ikke være underlagt alle begrundelser for afvisning, navnlig skal kravet om dobbelt strafbarhed kun finde anvendelse i særlige tilfælde (artikel 29).

(14) EDPS' udtalelse 2/2019 om forhandlingsmandatet til en aftale mellem EU og USA om grænseoverskridende adgang til elektronisk bevismateriale og EDPS' udtalelse 3/2019 om deltagelse i forhandlingerne på baggrund af den anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet.

(15) Tilgængelig på: https://www.congress.gov/bill/115th-congress/house-bill/1625/text.

(16) https://edpb.europa.eu/our-work-tools/our-documents/letters/epdb-edps-joint-response-libe-committee-impact-us-cloud-act_da.

(17) https://www.gov.uk/government/publications/ukusa-agreement-on-access-to-electronic-data-for-the-purpose-of-countering-serious-crime-cs-usa-no62019.