Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslag om midlertidige undtagelser fra direktiv 2002/58/EF med henblik på bekæmpelse af seksuelt misbrug af børn online

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS' websted www.edps.europa.eu)

(2021/C 102/04)

Den 10. september 2020 offentliggjorde Kommissionen et forslag til en forordning om en midlertidig undtagelse fra visse bestemmelser i e-datadirektivet 2002/58/EF for så vidt angår udbydere af nummeruafhængige interpersonelle kommunikationstjenesters anvendelse af teknologier til behandling af personoplysninger og andre data med henblik på bekæmpelse af seksuelt misbrug af børn online. Undtagelsen vedrører artikel 5, stk. 1, og artikel 6 i e-datadirektivet vedrørende behandling af personoplysninger i forbindelse med levering af »nummeruafhængige interpersonelle kommunikationstjenester«, der er en forudsætning for brugen af teknologi, og har det ene formål at fjerne materiale, der viser seksuelt misbrug af børn og opdage eller indberette seksuelt misbrug af børn online til myndigheder.

I denne udtalelse kommer EDPS med sine henstillinger vedrørende forslaget som svar på Kommissionens formelle høring i henhold til artikel 42 i forordning (EU) 2018/1725.

EDPS påpeger navnlig, at foranstaltningerne i forslaget ville være en indgriben i de grundlæggende rettigheder med hensyn til beskyttelse af privatlivets fred og databeskyttelse for alle brugere af meget populære elektroniske kommunikationstjenester, såsom instant messaging-platforme og -applikationer. Kommunikationshemmeligheden er en hjørnesten i de grundlæggende rettigheder til privatliv og familieliv. Selv private virksomheders frivillige foranstaltninger er en indgriben i disse rettigheder, når disse foranstaltninger omfatter overvågning og analyse af indholdet i kommunikationen og behandlingen af personoplysninger.

EDPS ønsker at fremhæve, at de spørgsmål, der behandles her, ikke er specifikke for bekæmpelse af misbrug af børn men gælder ethvert tiltag, der har til formål at samarbejde med den private sektor med henblik på retshåndhævelse. Hvis forslaget vedtages, vil det uundgåeligt danne præcedens for fremtidig lovgivning på området. EDPS finder det derfor særdeles vigtigt, at forslaget ikke vedtages, heller ikke som midlertidig undtagelse, før alle nødvendige sikkerhedsforanstaltninger, der er beskrevet i denne udtalelse, er indarbejdet.

Navnlig af hensyn til retssikkerheden finder EDPS det nødvendigt at præcisere, hvorvidt selve forslaget har til formål at fungere som retsgrundlag for behandlingen for så vidt angår GDPR. I modsat fald anbefaler EDPS, at det i forslaget tydeligt præciseres, hvilket retsgrundlag i henhold til GDPR der ville finde anvendelse i dette specifikke tilfælde. EDPS understreger i denne henseende, at vejledninger fra databeskyttelsesmyndigheder ikke kan erstatte opfyldelse af kravet om lovlighed. Det er ikke tilstrækkeligt at anføre, at den midlertidige undtagelse »ikke berører« GDPR og kræve forudgående høring af databeskyttelsesmyndigheder. Medlovgiveren skal påtage sig sit ansvar og sikre, at den foreslåede undtagelse er i overensstemmelse med kravene i artikel 15, stk. 1, som fortolket af EU-Domstolen.

Med henblik på at opfylde kravet om proportionalitet skal retsakten fastlægge klare og præcise regler om omfang og anvendelse af de pågældende foranstaltninger og indføre minimumsgarantier, således at personer, hvis personoplysninger er berørt, har tilstrækkelige garantier for, at deres oplysninger bliver beskyttet effektivt mod risici for misbrug.

Endelig er EDPS af den opfattelse, at den femårige periode, der foreslås, ikke synes proportional, eftersom retsaktens ordlyd ikke omfatter a) forudgående godtgørelse af den påtænkte foranstaltnings proportionalitet og b) medtagelse af tilstrækkelige sikkerhedsforanstaltninger. GDPS mener, at enhver midlertidig foranstaltning ikke bør have en gyldighedsperiode på mere end to år.

I. INDLEDNING OG BAGGRUND

I.1. Baggrund

1. Kommissionen vedtog den 24. juli 2020 en meddelelse om en »EU-strategi for en mere effektiv bekæmpelse af misbrug af børn« ( 1 ) . Meddelelsen påpeger, at Europa-Parlamentets og Rådets direktiv 2002/58/EF (»e-databeskyttelsesdirektivet«) ( 2 ) fra december 2020 har et udvidet anvendelsesområde som følge af den allerede vedtagne kodeks for elektronisk kommunikation (»EECC«) ( 3 ) . Med EECC udvides anvendelsesområdet af e-databeskyttelsesdirektivet til over-the-top-kommunikationstjenester (OTT-kommunikationstjenester) såsom beskedtjenester og e-mail. I henhold til meddelelsen ville dette forhindre visse virksomheder (hvis der ikke er truffet nationale retsforskrifter i henhold til artikel 15, stk. 1, i e-databeskyttelsesdirektivet) i at fortsætte deres egne frivillige foranstaltninger til opdagelse, fjernelse og indberetning af seksuelt misbrug af børn online ( 4 )

2. Den 10. september 2020 offentliggjorde Kommissionen ( 5 ) et forslag til en midlertidig forordning om behandling af personoplysninger og andre data med henblik på bekæmpelse af seksuelt misbrug af børn online, som indeholder en midlertidig undtagelse fra artikel 5, stk. 1, og artikel 6 i e-databeskyttelsesdirektivet (»forslaget«). Kommissionen mener, at en sådan undtagelse er nødvendig for, at de nuværende frivillige aktiviteter vil kunne fortsætte efter december 2020. Undtagelsen ville vedrøre behandling af personoplysninger i forbindelse med levering af »nummeruafhængige interpersonelle kommunikationstjenester« ( 6 ) (f.eks. IP-telefoni, meddelelsestjenester og webbaserede e-mailtjenester), der er fuldstændig nødvendige for brug af teknologi til det ene formål at fjerne materiale, der viser seksuelt misbrug af børn og opdage eller indberette seksuelt misbrug af børn online til retshåndhævende myndigheder og til organisationer, der handler i offentlighedens interesse for at bekæmpe seksuelt misbrug af børn. Forslaget nævner en række betingelser for anvendelse af undtagelsen, som vil blive analyseret senere i denne udtalelse.

3. EDPS blev formelt hørt af Kommissionen den 16. september 2020. Den 30. september iværksatte Kommissionen en offentlig høring, hvor den opfordrede til at komme med feedback til forslaget.

I.2. Forbindelse med direktiv 2011/93/EU

4. EU har tidligere vedtaget et omfattende retligt instrument til bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi, nemlig Europa-Parlamentets og Rådets direktiv 2011/93/EU (»direktiv om seksuelt misbrug af børn«) ( 7 )

5. Direktivet om seksuelt misbrug af børn fastsætter minimumsbestemmelser om definitionen af forbrydelser og sanktioner vedrørende seksuelt misbrug og seksuel udnyttelse af børn samt materiale om seksuelt misbrug af børn. Det pålægger medlemsstaterne at sikre, at bl.a. følgende forsætlige handlinger, når de udføres uretmæssigt ( 8 ) , er strafbare: — forsætligt og bevidst erhvervelse af adgang til børnepornografi ved hjælp af informations- og kommunikationsteknologi — distribution, udbredelse eller transmission af børnepornografi — udbydelse, levering eller tilrådighedsstillelse af børnepornografi (9).

6. Direktivet om seksuelt misbrug af børn pålægger desuden medlemsstaterne at træffe de nødvendige foranstaltninger for at sikre, at visse handlinger, som hvervning af børn til seksuelle formål, herunder ved hjælp af informations- og kommunikationsteknologi, er strafbare.

7. Direktivet om seksuelt misbrug af børn pålægger medlemsstaterne at træffe de nødvendige foranstaltninger for at sikre øjeblikkelig fjernelse af internetsider udbudt på deres område, som indeholder eller udbreder børnepornografi, og at søge at få fjernet lignende sider, der udbydes uden for deres område, samt til at beslaglægge og konfiskere redskaber og udbytte fra sådanne lovovertrædelser ( 10 ) . Derudover skal medlemsstaterne træffe foranstaltninger til at blokere adgangen til internetsider, der indeholder eller udbreder børnepornografi, for internetbrugere på deres eget område ( 11 )

8. I 2010 udstedte EDPS en initiativudtalelse om forslaget til et direktiv om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi ( 12 ) . Denne udtalelse indeholder betragtninger og henstillinger, som også er relevante for forslaget til en midlertidig forordning. EDPS vil, hvor det er relevant, gentage og/eller henvise til sin udtalelse fra 2010.

III. KONKLUSIONER

52. Foranstaltningerne i forslaget ville være en indgriben i de grundlæggende rettigheder med hensyn til beskyttelse af privatlivets fred og databeskyttelse for alle brugere af meget populære elektroniske kommunikationstjenester, såsom instant messaging-platforme og -applikationer. Selv private virksomheders frivillige foranstaltninger er en indgriben i disse rettigheder, når disse foranstaltninger omfatter overvågning og analyse af indholdet i kommunikationen og behandlingen af personoplysninger.

53. De spørgsmål, der behandles her, er ikke specifikke for bekæmpelse af misbrug af børn men gælder ethvert tiltag, der har til formål at samarbejde med den private sektor med henblik på retshåndhævelse. Hvis forslaget vedtages, vil det uundgåeligt danne præcedens for fremtidig lovgivning på området. EDPS finder det derfor særdeles vigtigt, at forslaget ikke vedtages, heller ikke som midlertidig undtagelse, før alle nødvendige sikkerhedsforanstaltninger, der er beskrevet i denne udtalelse, er indarbejdet.

54. Af hensyn til retssikkerheden finder EDPS det nødvendigt at præcisere, hvorvidt selve forslaget har til formål at fungere som retsgrundlag for behandlingen for så vidt angår GDPR. I modsat fald anbefaler EDPS, at det i forslaget tydeligt præciseres, hvilket retsgrundlag i henhold til GDPR der ville finde anvendelse i dette specifikke tilfælde. EDPS understreger i denne henseende, at vejledninger fra databeskyttelsesmyndigheder ikke kan erstatte opfyldelse af kravet om lovlighed. Det er ikke tilstrækkeligt at anføre, at den midlertidige undtagelse »ikke berører« GDPR og kræve forudgående høring af databeskyttelsesmyndigheder. Medlovgiveren skal påtage sig sit ansvar og sikre, at den foreslåede undtagelse er i overensstemmelse med kravene i artikel 15, stk. 1, som fortolket af EU-Domstolen.

55. Med henblik på at opfylde kravet om proportionalitet skal retsakten fastlægge klare og præcise regler om omfang og anvendelse af de pågældende foranstaltninger og indføre minimumsgarantier, således at personer, hvis personoplysninger er berørt, har tilstrækkelige garantier for, at deres oplysninger bliver beskyttet effektivt mod risici for misbrug.

56. Manglende præcis afgrænsning af de foranstaltninger, der er omfattet af undtagelsen, vil sandsynligvis underminere retssikkerheden.

57. Endelig er EDPS af den opfattelse, at den femårige periode, der foreslås, ikke synes proportional, eftersom retsaktens ordlyd ikke omfatter a) forudgående godtgørelse af den påtænkte foranstaltnings proportionalitet og b) medtagelse af tilstrækkelige sikkerhedsforanstaltninger. GDPS mener, at enhver midlertidig foranstaltning ikke bør have en gyldighedsperiode på mere end to år.

Bruxelles, den 10. november 2020. Wojciech WIEWIOROWSKI

(1) COM(2020) 607 final, https://ec.europa.eu/home-affairs/sites/homeaffairs/files/what-we-do/policies/european-agenda-security/20200724_com-2020-607-commission-communication_en.pdf.

(2) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37).

(3) Europa-Parlamentets og Rådets direktiv (EU) 2018/1972 af 11. december 2018 om oprettelse af en europæisk kodeks for elektronisk kommunikation (omarbejdning) (EUT L 321 af 17.12.2018, s. 36).

(4) COM(2020) 607 final, s. 4. Meddelelsen påpeger, at eftersom e-databeskyttelsesdirektivet ikke indeholder et retsgrundlag for frivillig behandling af indhold og trafikdata med henblik på at opdage seksuelt misbrug af børn, kan udbydere kun anvende sådanne foranstaltninger, hvis de er baseret på en national retsforskrift, der opfylder kravene i artikel 15 i e-databeskyttelsesdirektivet om indskrænkning af retten til fortrolighed. Uden sådanne retsforskrifter, ville der ikke være noget retsgrundlag for foranstaltninger til at opdage seksuelt misbrug af børn, der træffes af disse udbydere, som behandler indhold eller trafikdata.

(5) COM(2020) 568 final, 2020/0259 (COD), forslag til Europa-Parlamentets og Rådets forordning om en midlertidig undtagelse fra visse bestemmelser i Europa-Parlamentets og Rådets direktiv 2002/58/EF for så vidt angår udbydere af nummeruafhængige interpersonelle kommunikationstjenesters anvendelse af teknologier til behandling af personoplysninger og andre data med henblik på bekæmpelse af seksuelt misbrug af børn online, https://ec.europa.eu/digital-single-market/en/news/interim-regulation-processing-personal-and-other-data-purpose-combatting-child-sexual-abuse.

(6) Artikel 2, stk. 5, i EECC definerer en »interpersonel kommunikationstjeneste« som »en tjeneste, som normalt ydes mod betaling, og som muliggør direkte interpersonel og interaktiv informationsudveksling via elektroniske kommunikationsnet mellem et afgrænset antal personer, hvor de personer, der indleder eller deltager i kommunikationen, bestemmer, hvem modtageren eller modtagerne skal være, og omfatter ikke tjenester, der blot muliggør interpersonel og interaktiv kommunikation som en mindre støttefunktion, der er tæt knyttet til en anden tjeneste«. En »nummeruafhængig interpersonel kommunikationstjeneste«: en interpersonel kommunikationstjeneste, der ikke etablerer forbindelse til offentligt tildelte nummerressourcer, dvs. et eller flere numre i nationale eller internationale nummerplaner, eller der ikke muliggør kommunikation med et eller flere numre i nationale eller internationale nummerplaner (artikel 2, stk. 7, EECC).

(7) Europa-Parlamentets og Rådets direktiv 2011/93/EU af 13. december 2011 om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi og om erstatning af Rådets rammeafgørelse 2004/68/RIA (EUT L 335 af 17.12.2011, s. 1).

(8) Begrebet »uretmæssigt« giver medlemsstaterne mulighed for at forsvare anvendelse af pornografisk materiale til f.eks. medicinske eller videnskabelige eller tilsvarende formål. Desuden muliggør det aktiviteter, der gennemføres under udøvelse af interne juridiske beføjelser, f.eks. myndigheders legitime besiddelse af børnepornografi med henblik på gennemførelse af straffesager eller forebyggelse, afsløring eller efterforskning af strafbare handlinger. Endvidere udelukker det ikke retlige forsvarsforanstaltninger eller tilsvarende relevante principper, der under visse omstændigheder fritager en person for sit ansvar, f.eks. i forbindelse med telefon- eller internethotlines' aktiviteter, der fører til indberetning af sådanne tilfælde. Betragtning 25 til direktiv 2011/93/EU.

(9) Artikel 5, stk. 3, 4 og 5, i direktiv 2011/93/EU.

(10) Artikel 11 og artikel 25, stk. 1, i direktiv 2011/93/EU.

(11) Artikel 25, stk. 2, i direktiv 2011/93/EU.

(12) Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til Europa-Parlamentets og Rådets direktiv om bekæmpelse af seksuelt misbrug af børn, seksuel udnyttelse af børn og børnepornografi og om ophævelse af rammeafgørelse 2004/68/RIA, 10. maj 2010, https://edps.europa.eu/sites/edp/files/publication/10-05-10_child_abuse_en.pdf.