Resumé af udtalelsen fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til ændring af Europolforordningen

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2021/C 143/05)

Den 9. december 2020 forelagde Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets forordning om ændring af forordning (EU) 2016/794 for så vidt angår Europols samarbejde med private parter, Europols behandling af personoplysninger til støtte for strafferetlige efterforskninger og Europols rolle inden for forskning og innovation. Lovgivningsforslaget tager sigte på at styrke og i visse tilfælde udvide Europols mandat som reaktion på det skiftende sikkerhedslandskab og de voksende og stadig mere komplekse trusler.

Den tilsynsførende forstår behovet for, at de retshåndhævende myndigheder drager fordel af de bedst mulige retlige og tekniske værktøjer til at udføre deres opgaver, som er at opdage, efterforske og forebygge kriminalitet og andre trusler mod den offentlige sikkerhed. Desuden er han overbevist om, at der ikke er nogen iboende og uforenelig konflikt mellem sikkerhed og grundlæggende rettigheder, herunder retten til databeskyttelse. Denne udtalelse har derfor til formål at give en rimelig og objektiv vurdering af nødvendigheden og proportionaliteten af de foreslåede foranstaltninger, ledsaget af en række specifikke henstillinger med henblik på at sikre den rette balance mellem de værdier og interesser, der er på spil.

Kriminalefterforskninger og kriminalefterretningsoperationer omfatter i stigende grad, at de retshåndhævende myndigheder indsamler og behandler store og komplekse datasæt. Den tilsynsførende noterer sig med tilfredshed de garantier, der ledsager de foreslåede undtagelser i sådanne tilfælde, men er bekymret over, at undtagelserne fra de nuværende databeskyttelsesregler, der gælder for Europol, i realiteten kan blive reglen. Han anbefaler derfor, at Europolforordningen bedre definerer de situationer og betingelser, hvor Europol kan anvende de foreslåede undtagelser. Selv i disse tilfælde bør agenturets behandling af personoplysninger endvidere være i fuld overensstemmelse med de generelle principper og forpligtelser i kapitel IX i forordning (EU) 2018/1725.

Med hensyn til Europols udvidede retlige muligheder for at samarbejde med private parter, navnlig i tilfælde af datasæt, der vedrører flere jurisdiktioner eller ikke kan henføres til en bestemt jurisdiktion, påskønner den tilsynsførende, at de opvejes af specifikke garantier, såsom forbuddet mod systematiske, omfangsrige eller strukturelle overførsler af oplysninger. Samtidig anbefaler den tilsynsførende, at denne vigtige begrænsning anvendes på alle udvekslinger mellem Europol og private parter, uanset hvor de befinder sig – i eller uden for EU. Den tilsynsførende mener også, at Europols nøjagtige retlige rolle og ansvar, når agenturet fungerer som tjenesteudbyder til nationale myndigheder og dermed databehandler, bør præciseres yderligere i en bindende retsakt. Endvidere ser han et behov for en vurdering af de mulige sikkerhedsrisici, der er forbundet med, at private parter kan anvende Europols kommunikationsinfrastruktur.

Den tilsynsførende er også særlig opmærksom på Europols påtænkte anvendelse af personoplysninger til forsknings- og innovationsformål. Samtidig er han klar over, at alternativet – at Europol og de nationale retshåndhævende myndigheder er nødt til at anvende værktøjer og produkter udviklet af eksterne leverandører, ofte beliggende uden for EU – tydeligvis udgør langt større risici med hensyn til de grundlæggende rettigheder. Uanset dette mener den tilsynsførende, at det nye behandlingsformål er for bredt defineret, og anbefaler, at forsknings- og innovationsaktiviteternes omfang præciseres i et bindende dokument.

Den tilsynsførende ser med tilfredshed på og støtter fuldt ud den foreslåede yderligere styrkelse af Europols databeskyttelsesramme og navnlig den direkte anvendelse af de horisontale regler i kapitel IX i forordning (EU) 2018/1725 på agenturets operationelle databehandling. Det er også et vigtigt skridt i retning af en omfattende tilpasning af databeskyttelsesrammen for alle EU’s institutioner, organer og agenturer, som den tilsynsførende gentagne gange har opfordret til.

Et stærkere mandat til Europol bør altid ledsages af et stærkere tilsyn. Den tilsynsførende opfordrer derfor til, at hans tilsynsbeføjelser over for Europol harmoniseres fuldt ud med den tilsynsførendes almindelige beføjelser i henhold til forordning (EU) 2018/1725, som finder anvendelse på EU’s øvrige institutioner, agenturer og organer, herunder Europa-Parlamentet, Rådet og Kommissionen. En sådan tilpasning vil være i overensstemmelse med EU-lovgiverens ønske og også bidrage til at undgå en forskellig behandling af EU’s organer og give dem en mere eller mindre privilegeret stilling.

1. INDLEDNING OG BAGGRUND

1. Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/794 (Europolforordningen) for at støtte og styrke medlemsstaternes kompetente myndigheders indsats for og deres indbyrdes samarbejde om at forebygge og bekæmpe grov grænseoverskridende kriminalitet, terrorisme og andre kriminelle handlinger, der berører Unionens fælles interesser. Europolforordningen erstattede den tidligere basisretsakt – Rådets afgørelse 2009/371/RIA ( 1 ) – og gav den tilsynsførende til opgave at kontrollere lovligheden af Europols behandling af personoplysninger fra den 1. maj 2017.

2. Den 9. december 2020 vedtog Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets forordning om ændring af forordning (EU) 2016/794 for så vidt angår Europols samarbejde med private parter, Europols behandling af personoplysninger til støtte for strafferetlige efterforskninger og Europols rolle inden for forskning og innovation ( 2 )

3. Forslaget indgår i Kommissionens arbejdsprogram for 2020 som et lovgivningsinitiativ med henblik på at »styrke Europols mandat for at styrke det operationelle politisamarbejde«. Det er også et af de vigtigste tiltag i strategien for EU’s sikkerhedsunion, der blev fremlagt i juli 2020 ( 3 ) . Endvidere er lovgivningsforslaget en del af en pakke af foranstaltninger, som Kommissionen forelagde den 9. december 2020 for at styrke EU’s reaktion på terrortruslen ( 4 )

4. Formålet med forslaget er at styrke og, hvor det skønnes nødvendigt, udvide Europols mandat inden for rammerne af agenturets mission og opgaver som fastsat i artikel 88 i traktaten om Den Europæiske Unions funktionsmåde (TEUF). De tre hovedområder, der behandles i forslaget, er udtrykkeligt nævnt i forordningsudkastets titel, nemlig samarbejde med private parter, operationel støtte til strafferetlige efterforskninger samt forskning og innovation. Der er imidlertid en række yderligere ændringer af andre vigtige aspekter af Europols arbejde, såsom den retlige ordning for databeskyttelse, videregivelse af oplysninger til tredjelande, indlæsning af indberetninger i Schengeninformationssystemet osv. Sidstnævnte element er genstand for et særskilt lovgivningsforslag ( 5 ) , som den tilsynsførende også er blevet hørt om og har kommenteret i en særskilt udtalelse.

5. Ifølge begrundelsen er lovgivningsforslaget en reaktion på det skiftende sikkerhedslandskab og de voksende og stadig mere komplekse trusler, herunder kriminelle gruppers udnyttelse af den digitale omstilling, nye teknologier og covid-19-krisen. I denne forbindelse minder Kommissionen om flere nylige politiske erklæringer fra Rådet og Europa-Parlamentet, som specifikt omhandler behovet for yderligere at styrke Europols mandat og kapacitet ( 6 )

6. Den tilsynsførende blev hørt uformelt af Kommissionen ved flere lejligheder under udarbejdelsen af lovgivningsforslaget, senest den 25. november 2020, og fremsatte sine uformelle bemærkninger. Han hilser med tilfredshed, at han er blevet hørt i en tidlig fase af proceduren, og opfordrer Kommissionen til at fortsætte denne gode praksis. Endvidere afholdt den tilsynsførende den 9. oktober 2020 et webinar for eksperter »The Europol reform: the data protection perspective« (Reformen af Europol: databeskyttelsesperspektivet), med særligt fokus på at bringe databeskyttelsesbestemmelserne i Europolforordningen i overensstemmelse med de generelle regler om behandling af operationelle personoplysninger.

7. Den tilsynsførende blev formelt hørt af Kommissionen den 7. januar 2021 om forslaget til Europa-Parlamentets og Rådets forordning om ændring af forordning (EU) 2016/794 og har vedtaget denne udtalelse i overensstemmelse med artikel 42, stk. 3, i forordning (EU) 2018/1725.

2. KONKLUSIONER

49. På baggrund af ovenstående fremsætter den tilsynsførende følgende henstillinger:

Vedrørende samarbejde med private parter

— forbuddet mod systematiske, omfangsrige eller strukturelle overførsler (artikel 26, stk. 6, sidste afsnit) bør gælde for alle udvekslinger med private parter, også inden for EU

— Europols forpligtelser, når agenturet fungerer som databehandler/tjenesteudbyder, navnlig de obligatoriske elementer, der er omhandlet i artikel 87, stk. 3, i forordning (EU) 2018/1725, bør fastsættes i en bindende retsakt i henhold til EU-retten eller medlemsstaternes ret

— Europol bør foretage en vurdering af de mulige sikkerhedsrisici, der er forbundet med, at private parter kan anvende agenturets infrastruktur, og om nødvendigt gennemføre passende forebyggende og afbødende foranstaltninger.

Vedrørende behandling af store og komplekse datasæt, herunder til støtte for specifikke strafferetlige efterforskninger

— Europolforordningen bør indeholde tilstrækkelige garantier til at sikre, at undtagelserne i artikel 18, stk. 5a, og artikel 18a i realiteten ikke bliver reglen

— Europolforordningen bør yderligere definere de tilfælde, hvor Europol kan gøre brug af undtagelsen i artikel 18, stk. 5a, eller hvor agenturet kan anmode om en forlængelse af maksimumsperioden på et år. Desuden bør samspillet mellem stk. 5a og stk. 6 i artikel 18 præciseres

— artikel 18a bør fastsætte yderligere betingelser og tærskler for Europols behandling af oplysninger uden for de kategorier af registrerede, der er opført i bilag II, til støtte for en specifik strafferetlig efterforskning, såsom efterforskningens omfang, kompleksitet, type eller betydning

— behandlingen af personoplysninger i henhold til undtagelserne i artikel 18, stk. 5a, og artikel 18a bør under alle omstændigheder være i overensstemmelse med de generelle principper og forpligtelser i kapitel IX i forordning (EU) 2018/1725.

Vedrørende anvendelse af oplysninger til forskning og innovation

— forsknings- og innovationsaktiviteternes omfang bør defineres bedre i Europolforordningen og præciseres yderligere i et bindende dokument, som efterfølgende kan ajourføres.

Vedrørende Europols samarbejde med tredjelande

— betydningen af »kategorier af videregivelser« i artikel 25, stk. 5, samt afgrænsningen i forhold til »en gruppe videregivelser« i samme artikels stk. 6 bør defineres yderligere og præciseres i Europolforordningen.

Vedrørende databeskyttelsesrammen for Europol

— den tilsynsførendes tilsynsbeføjelser over for Europol bør være i fuld overensstemmelse med den tilsynsførendes almindelige beføjelser i henhold til artikel 58 i forordning (EU) 2018/1725

— det foreslåede nye formål i artikel 37a bør slettes, og begrænsningen af Europols behandling af personoplysninger bør derfor reguleres direkte af bestemmelsen i artikel 82 i forordning (EU) 2018/1725.

Vedrørende andre elementer i forslaget

— betingelserne for videregivelse af oplysninger til andre EU-organer i Europolforordningens artikel 24 bør bringes i overensstemmelse med de generelle regler i artikel 71, stk. 2, i forordning (EU) 2018/1725, navnlig med kravet om proportionalitet

— begrebet »fælles operationel analyse« og de retsregler, der gælder for behandling af personoplysninger i denne forbindelse, bør defineres klart i Europolforordningen.

Bruxelles, den 8. marts 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Rådets afgørelse 2009/371/RIA af 6. april 2009 om oprettelse af Den Europæiske Politienhed (Europol) (EUT L 121 af 15.5.2009, s. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final (24. juli 2020).

(4) https://ec.europa.eu/commission/presscorner/detail/da/ip_20_2326

(5) Forslag til Europa-Parlamentets og Rådets forordning om ændring af forordning (EU) 2018/1862 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området politisamarbejde og strafferetligt samarbejde for så vidt angår Europols indlæsning af indberetninger, COM(2020) 791 final.

(6) Jf. navnlig Europa-Parlamentets beslutning af 10. juli 2020 om en samlet EU-politik for forebyggelse af hvidvask af penge og finansiering af terrorisme (2020/2686(RSP), Rådets konklusioner om Europols samarbejde med private parter af 2. december 2019 eller erklæringen fra EU’s indenrigsministre (»Ten points on the Future of Europol«) af 21. oktober 2020.