Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om de to forslag til Rådets afgørelser om bemyndigelse af medlemsstaterne til i Den Europæiske Unions interesse at ratificere anden tillægsprotokol til konventionen om IT-kriminalitet vedrørende forstærket samarbejde og videregivelse af elektronisk bevismateriale

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu)

(2022/C 182/04)

Den 25. november 2021 vedtog Kommissionen to forslag til Rådets afgørelser i henhold til artikel 16, artikel 82, stk. 1, og artikel 218, stk. 5 og 6, i traktaten om Den Europæiske Unions funktionsmåde, hvoraf det ene bemyndiger medlemsstaterne til i Den Europæiske Unions interesse at undertegne og det andet til at ratificere den anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet. I bilaget til forslagene fastlægges Rådets direktiver for forbehold, erklæringer og meddelelser ved undertegnelse og ratificering af protokollen.

Det er et legitimt mål at efterforske og retsforfølge kriminalitet, og internationalt samarbejde, herunder udveksling af oplysninger, er blevet vigtigere end nogensinde. Som EDPS længe har argumenteret for, har EU brug for bæredygtige ordninger for deling af personoplysninger med tredjelande med henblik på retshåndhævelse, der fuldt ud er i overensstemmelse med EU-traktaterne og chartret om grundlæggende rettigheder. Selv ved efterforskning af sager inden for samme land befinder retshåndhævende myndigheder sig stadig oftere i »grænseoverskridende situationer«, fordi oplysningerne bliver lagret elektronisk i et tredjeland. Det voksende antal anmodninger og digitale oplysningers volatilitet begrænser de eksisterende samarbejdsmodeller, som f.eks. MLAT’er. EDPS erkender, at myndigheder står overfor et kapløb med tiden for at indhente data til deres efterforskninger, og støtter bestræbelser på at udarbejde nye samarbejdsmodeller, bl.a. i forbindelse med samarbejde med tredjelande.

Sigtet med protokollen er at forbedre de traditionelle samarbejdskanaler, og den indeholder bestemmelser til at styrke det direkte grænseoverskridende samarbejde mellem retshåndhævende myndigheder og tjenesteudbydere. Navnlig vil protokollen styrke samarbejdet om IT-kriminalitet og indsamling af bevismateriale i elektronisk form vedrørende strafbare handlinger med henblik på specifikke strafferetlige efterforskninger eller retssager.

Selv om det må erkendes, at det ikke er muligt fuldstændig at overføre terminologien og definitionerne i EU-retten til en multilateral, international aftale, understreger EDPS, der skal sikres garantier for personers databeskyttelse for fuldt ud at efterleve EU-retten.

Databeskyttelsesprincipperne, herunder retfærdighed, nøjagtighed og relevans af oplysninger, uafhængigt tilsyn og enkeltpersoners individuelle rettigheder er lige så relevante for offentlige organer, som de er for private virksomheder. Disse grundlæggende principper er så meget desto vigtigere i betragtning af følsomheden af de data, der kræves til strafferetlige efterforskninger.

Formålet med denne udtalelse er at tilvejebringe EU-institutionerne en objektiv analyse og konstruktiv rådgivning, mens Rådet behandler Kommissionens forslag om at undertegne og ratificere protokollen, og før Europa-Parlamentet bliver opfordret til at give sit samtykke til indgåelse af protokollen.

EDPS glæder sig over, at den endelige tekst til protokollen ikke har medtaget nogen bestemmelse om retshåndhævende myndigheders direkte adgang til data. EDPS glæder sig også over, at protokollen indeholder en specifik artikel om beskyttelse af personoplysninger. Derudover noterer EDPS sig positivt de mange garantier, der er medtaget i protokollen.

EDPS erkender, at det er bekræftet, at paraplyaftalen mellem EU og USA vil finde anvendelse på overførsler fra EU til USA inden for rammerne af bestemmelserne i protokollen vedrørende myndighedssamarbejde. EDPS beklager et sådant resultat.

Hvis der vedtages en rådsafgørelse, der bemyndiger medlemsstaterne til i Unionens interesse henholdsvis at undertegne og ratificere protokollen, glæder EDPS sig over Kommissionens forslag om, at medlemsstaterne i Unionens interesse skal fremsætte de erklæringer, underretninger og meddelelser, der anføres i protokollens artikel 7, stk. 2, litra b), 5, litra a) og e). Disse forslag sikrer, at tjenesteudbydere i Unionen kun kan anmodes om overførsel af personoplysninger på grundlag af ordrer udstedt i det anmodende tredjeland, der er part i protokollen, af eller under tilsyn af en anklager eller anden retslig myndighed. eller under uafhængigt tilsyn og kontrolleret af en kompetent myndighed i den anmodede medlemsstat.

EDPS noterer sig også positivt forslaget om, at medlemsstaterne afgiver erklæringen i henhold til protokollens artikel 8, stk. 4, (om samarbejde mellem kompetente myndigheder om håndhævelse af pålæg om udlevering af abonnentoplysninger og trafikdata) for at sikre, at der kræves yderligere supplerende oplysninger for at håndhæve pålæg i henhold til denne bestemmelse.

Derudover har EDPS følgende henstillinger i forhold til fremtidige rådsafgørelser, hvis protokollen i Unionens interesse skulle blive undertegnet og ratificeret af medlemsstaterne:

— Visse data, der er indeholdt i kategorien af abonnentoplysninger defineret i konventionen om IT-kriminalitet, kan i henhold til EU-retten anses for trafikdata, som indebærer et alvorligt indgreb i den registreredes grundlæggende rettigheder, og hvortil der kun kan gives adgang med begrundelse i bekæmpelsen af alvorlig kriminalitet. EDPS henstiller derfor til medlemsstaterne, i modsætning til Kommissionens forslag, at forbeholde sig retten til ikke at anvende protokollens artikel 7 om videregivelse af abonnentdata fra tjenesteudbydere direkte til kompetente myndigheder i et andet land i forbindelse med visse typer af adgangsnumre i henhold til artikel 7, stk. 9, litra b).

— Medlemsstaterne bør i overensstemmelse med artikel 7, stk. 5, litra e), i protokollen udpege en judiciel eller anden uafhængig myndighed.

— Der bør foretages en præcisering af den foreslåede meddelelse fra medlemsstaterne til de amerikanske myndigheder i forhold til paraplyaftalen mellem EU og USA på tidspunktet for undertegnelsen eller ved deponeringen af deres ratifikations-, accept- eller godkendelsesinstrumenter.

— Den foreslåede betragtning i forhold til andre aftaler eller ordninger i henhold til protokollens artikel 14, stk. 1, litra c), der kunne erstatte protokollens databeskyttelsesbestemmelse (artikel 14), bør ændres.

1. INDLEDNING OG BAGGRUND

1. Komitéen for konventionen om IT-kriminalitet godkendte i juni 2017 mandatet for udarbejdelse af en anden tillægsprotokol til konventionen om cyberkriminalitet i perioden fra september 2017 til december 2019 ( 1 )

2. Den 5. februar 2019 vedtog Kommissionen en henstilling ( 2 ) med henblik på Rådets afgørelse om bemyndigelse af Kommissionen til at deltage på Den Europæiske Unions vegne i forhandlingerne om en anden tillægsprotokol (i det følgende benævnt »protokollen«) ( 3 ) til Europarådets konvention om styrket internationalt samarbejde om IT-kriminalitet og elektronisk bevismateriale (i det følgende benævnt »konventionen om IT-kriminalitet«) (CETS nr. 185) ( 4 )

3. Den Europæiske Tilsynsførende for Databeskyttelse (i det følgende benævnt »EDPS«) vedtog en udtalelse om henstillingen den 2. april 2019 ( 5 ) . Ved afgørelse af 6. juni 2019 bemyndigede Rådet for Den Europæiske Union Kommissionen til på Den Europæiske Unions vegne at deltage i forhandlingerne om protokollen ( 6 )

4. Komitéen for konventionen om IT-kriminalitet forlængede mandatet to gange, indtil december 2020 og efterfølgende indtil maj 2021. Protokollen blev udarbejdet af Komitéen for konventionen om IT-kriminalitet (T-CY) mellem september 2017 og maj 2021. Der blev i denne periode afholdt mere end 90 samlinger i T-CY’s plenarforsamling vedrørende udarbejdelse af protokollen, redaktionsgruppen og undergrupper samt seks høringsrunder med interessenter.

5. Det Europæiske Databeskyttelsesråd bidrog til de offentlige høringer om udkastet til protokol den 13. november 2019, den 2. februar 2021 og den 4. maj 2021 ( 7 )

6. Europa-Parlamentet anerkendte behovet for at afslutte arbejdet med protokollen i sin beslutning fra 2021 om EU’s strategi for cybersikkerhed for det digitale årti ( 8 )

7. Den 17. november 2021 vedtog Europarådets Ministerkomité protokollen. Det skulle stå åbnet for undertegnelse i maj 2022. Ændringer til den kan derfor kun foreslås af en part i protokollen og vedtages af Ministerkomitéen. Protokollen kræver alle parters godkendelse, for at ændringerne kan træde i kraft ( 9 )

8. Den Europæiske Union kan ikke blive part i protokollen, da både protokollen og Europarådets konvention om IT-kriminalitet kun er åbne for stater ( 10 )

9. Den 25. november 2021 vedtog Kommissionen to forslag til Rådets afgørelser i henhold til artikel 16, artikel 82, stk. 1, og artikel 218, stk. 5 og 6, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) ( 11 )

10. Ifølge disse forslag ( 12 ) , falder protokollen inden for et område, der i vid udstrækning er omfattet af fælles regler som defineret i artikel 3, stk. 2, i TEUF. Kommissionen søger med disse forslag at opnå to afgørelser fra Rådet om bemyndigelse af medlemsstaterne til i Den Europæiske Unions interesse at undertegne og ratificere protokollen. Begge forslag er ledsaget af et bilag (i det følgende benævnt »bilaget«), som giver medlemsstaterne instrukser om de forbehold, erklæringer, underretninger eller meddelelser og andre betragtninger, der skal fremsættes i Den Europæiske Unions interesse ved undertegnelse og ratificering af protokollen. Forslaget vedrørende ratificeringen er også ledsaget af teksten til protokollen i bilaget.

11. For at aftalen kan indgås, bør Rådet, hvis det i Unionens interesse beslutter at bemyndige medlemsstaterne til at undertegne den, vedtage en afgørelse, der bemyndiger medlemsstaterne til i Unionens interesse at ratificere aftalen, efter at have indhentet samtykke fra Europa-Parlamentet. Protokollen træder i kraft den første dag i måneden efter udløbet af en periode på tre måneder efter den dato, hvor de fem parter i konventionen om IT-kriminalitet har givet deres samtykke til at være bundet af protokollen i overensstemmelse med bestemmelserne i protokollens artikel 16, stk. 1 og 2 ( 13 )

12. EDPS er af Europa-Kommissionen blevet hørt i forbindelse med begge forslag efter deres vedtagelse i henhold til artikel 42, stk. 1, i forordning (EU) 2018/1725 ( 14 ) . Der henvises til denne udtalelse i betragtning 12 og 13 i forslagene om henholdsvis ratificering og undertegnelse af protokollen. EDPS ønsker at understrege, at nærværende udtalelse ikke berører nogen yderligere bemærkninger, som han eventuelt fremsætter på baggrund af oplysninger, der måtte blive tilgængelige.

7. KONKLUSIONER

129. I betragtning af IT-kriminalitetens udbredelse og den stigende vigtighed af elektronisk bevismateriale til strafferetlige efterforskninger erkender EDPS behovet for, at de retshåndhævende myndigheder hurtigt og effektivt indhenter elektronisk bevismateriale, når det ikke er inden for medlemsstaternes jurisdiktion for at sikre, at de effektivt kan bekæmpe kriminalitet.

130. EDPS går i denne sammenhæng derfor ind for at svare igen med et internationalt instrument med passende garantier for eksisterende spørgsmål.

131. Sigtet med protokollen er både at forbedre de traditionelle samarbejdskanaler og sikre direkte samarbejde mellem retshåndhævende myndigheder og tjenesteudbydere på tværs af grænserne. Den indeholder ikke bestemmelser om retshåndhævende myndigheders direkte adgang til data, hvilket glæder EDPS.

132. Selv om det må erkendes, at det ikke er muligt fuldstændig at overføre terminologien og definitionerne i EU-retten til en multilateral, international aftale, understreger EDPS, der skal sikres garantier for personers databeskyttelse for fuldt ud at efterleve EU-retten.

133. EDPS glæder sig over, at protokollen indeholder en specifik artikel om beskyttelse af personoplysninger. EDPS noterer sig også positivt de mange garantier, der er medtaget i protokollen.

134. EDPS erkender, at det er bekræftet, at paraplyaftalen mellem EU og USA vil finde anvendelse på overførsler fra EU til USA inden for rammerne af bestemmelserne i protokollen vedrørende myndighedssamarbejde. EDPS beklager et sådant resultat.

135. Hvis der vedtages en rådsafgørelse, der bemyndiger medlemsstaterne til i Unionens interesse henholdsvis at undertegne og ratificere protokollen, glæder EDPS sig over Kommissionens forslag om, at medlemsstaterne i Unionens interesse skal fremsætte erklæringen, underretningen og meddelelsen i henhold til protokollens artikel 7, stk. 2, litra b), 5, litra a) og e). Disse forslag sikrer, at tjenesteudbydere i Unionen kun kan anmodes om overførsel af personoplysninger på grundlag af ordrer udstedt i det anmodende tredjeland, der er part i protokollen, af eller under tilsyn af en anklager eller anden retslig myndighed eller under uafhængigt tilsyn og kontrolleret af en kompetent myndighed i den anmodede medlemsstat.

136. EDPS noterer sig også positivt forslaget om, at medlemsstaterne afgiver erklæringen i henhold til protokollens artikel 8, stk. 4, (om samarbejde mellem kompetente myndigheder om håndhævelse af pålæg om udlevering af abonnentoplysninger og trafikdata) for at sikre, at der kræves yderligere supplerende oplysninger for at håndhæve pålæg i henhold til denne bestemmelse.

137. EDPS har følgende henstillinger i forhold til fremtidige rådsafgørelser, hvis protokollen i Unionens interesse skulle blive undertegnet og ratificeret af medlemsstaterne: — Visse data, der indgår i kategorien af abonnentoplysninger defineret i konventionen om IT-kriminalitet, kan i henhold til EU-retten anses for trafikdata, der indebærer et alvorligt indgreb i den registreredes grundlæggende rettigheder, og hvortil adgang kun kan begrundes i bekæmpelsen af alvorlig kriminalitet. EDPS henstiller derfor til medlemsstaterne, i modsætning til Kommissionens forslag, at forbeholde sig retten til ikke at anvende protokollens artikel 7 om videregivelse af abonnentdata fra tjenesteudbydere direkte til kompetente myndigheder i et andet land i forbindelse med visse typer af adgangsnumre i henhold til artikel 7, stk. 9, litra b). — Medlemsstaterne bør i overensstemmelse med artikel 7, stk. 5, litra e), i protokollen udpege en judiciel eller anden uafhængig myndighed. — Der bør foretages en præcisering af den foreslåede meddelelse fra medlemsstaterne til de amerikanske myndigheder i forhold til paraplyaftalen mellem EU og USA på tidspunktet for undertegnelsen eller ved deponeringen af deres ratifikations-, accept- eller godkendelsesinstrument. — Den foreslåede betragtning i forhold til andre aftaler eller ordninger i henhold til protokollens artikel 14, stk. 1, litra c), der kunne erstatte protokollens databeskyttelsesbestemmelse (artikel 14), bør ændres.

138. EDPS understreger endelig, at en anklager i en medlemsstat og derfor også EPPO bør kunne afgive en kendelse eller overføre data baseret på en kendelse fra en anden part i henhold til artikel 8, hvis det konstateres, at en sådan kendelse er genstand for en vurdering af en judiciel myndighed eller et uafhængigt organ som defineret i EU-Domstolens retspraksis.

139. EDPS står fortsat til Kommissionens, Rådets og Europa-Parlamentets rådighed med hensyn til at yde yderligere rådgivning i denne proces. Denne udtalelse berører ikke nogen yderligere bemærkninger, som EDPS eventuelt fremsætter på baggrund af oplysninger, der måtte blive tilgængelige.

Bruxelles, den 20. januar 2022 Wojciech Rafał WIEWIÓROWSKI

(1) https://rm.coe.int/t-cy-terms-of-reference-protocol/1680a03690

(2) Henstilling med henblik på Rådets afgørelse om bemyndigelse til at deltage i forhandlinger om den anden tillægsprotokol til Europarådets konvention om IT-kriminalitet (CETS nr. 185) (COM(2019) 71 final).

(3) https://rm.coe.int/1680a49dab (foreløbig udgave som godkendt af Ministerkomitéen).

(4) https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680081561

(5) EDPS-udtalelse 3/2019 om deltagelse i forhandlingerne på baggrund af den anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet.

(6) Rådets afgørelse vedtaget den 6. juni 2019 om bemyndigelse af Europa-Kommissionen til på vegne af Den Europæiske Union at deltage i forhandlinger om en anden tillægsprotokol til Europarådets konvention om IT-kriminalitet (CETS nr. 185).

(7) »EDPB’s bidrag til høringen om et udkast til anden tillægsprotokol til Europarådets konvention om IT-kriminalitet (Budapestkonventionen) af 13. november 2019«»Statement 02/201 on new draft provisions of the second additional protocol to the Council of Europe Convention on Cybercrime (Budapest Convention) as adopted on 2 February 2021«; »EDPB Contribution to the 6th round of consultations on the draft Second Additional Protocol to the Council of Europe Budapest Convention on Cybercrime of 4 May 2021«

(8) Europa-Parlamentets beslutning af 10. juni 2021 om EU’s strategi for cybersikkerhed for det digitale årti.

(9) Artikel 21 i protokollen.

(10) Betragtning 10 i forslag til Rådets afgørelse om bemyndigelse af medlemsstaterne til i Den Europæiske Unions interesse at ratificere anden tillægsprotokol til konventionen om IT-kriminalitet vedrørende forstærket samarbejde og videregivelse af elektronisk bevismateriale.

(11) Forslag til Rådets afgørelse om bemyndigelse af medlemsstaterne til i Den Europæiske Unions interesse at undertegne anden tillægsprotokol til konventionen om IT-kriminalitet vedrørende forstærket samarbejde og videregivelse af elektronisk bevismateriale (COM(2021)718 final).

Forslag til Rådets afgørelse om bemyndigelse af medlemsstaterne til i Den Europæiske Unions interesse at ratificere anden tillægsprotokol til konventionen om IT-kriminalitet vedrørende forstærket samarbejde og videregivelse af elektronisk bevismateriale (COM(2021)719 final).

I henhold til betragtning 14 og 15 i forslaget om undertegnelse og betragtning 13 og 14 i forslaget om ratificering har Irland mulighed for at deltage i vedtagelsen og anvendelsen af afgørelsen, og Danmark deltager ikke i vedtagelsen af denne afgørelse. og er ikke bundet af den eller underlagt dens anvendelse.

(12) Betragtning 3 til forslagene.

(13) Artikel 16, stk. 1. »[...][Konventionens parter], som kan udtrykke deres samtykke til at være bundet enten ved:

a. undertegnelse uden forbehold med hensyn til ratificering, accept eller godkendelse eller

b. undertegnelse med forbehold af ratificering, accept eller godkendelse fulgt af ratificering, accept eller godkendelse«.

2. Ratifikations-, accept- eller godkendelsesinstrumenter skal deponeres hos Europarådets generalsekretær.

(14) EUT L 295 af 21.11.2018, s. 39.