DA Den Europæiske Unions Tidende C 164/2

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2017/C 164/02)

En ny generation af databeskyttelsesstandarder er ved at blive indført af EU. Vedtagelsen for næsten et år siden af den generelle forordning om databeskyttelse og direktivet for politi og retsvæsen udgjorde EU-lovgiverens hidtil mest ambitiøse bestræbelse på at sikre den enkeltes grundlæggende rettigheder i den digitale tidsalder. Nu er tiden kommet til, at EU-institutionerne selv går forrest med et godt eksempel, når det gælder de regler, som de selv anvender som registeransvarlige og registerførere. I de seneste 18 måneder har den tilsynsførende indledt dialog med EU-institutioner på højeste niveau for at forberede dem på de nye udfordringer vedrørende overholdelse af databeskyttelse med fokus på det nye princip om ansvarlighed for, hvordan data behandles. Med denne udtalelse tilsigter den tilsynsførende på grundlag af tolv års erfaring med uafhængigt tilsyn, politisk rådgivning og støtte at foreslå forbedringer af den foreslåede forordning om EU-institutioners og -organers behandling af personoplysninger.

Forordning 45/2001 har fungeret som toneangiver og fastsat umiddelbart gældende forpligtelser for registeransvarlige, rettigheder for registrerede og en klart uafhængig kontrolmyndighed. EU skal nu sikre overensstemmelse med den generelle forordning om databeskyttelse ved at lægge vægt på ansvarlighed og garantier for enkeltpersoner frem for procedurer. Visse forskelle i de regler, der gælder for EU-institutioners databehandling, er berettigede, på samme måde som der er medtaget undtagelser for den offentlige sektor i den generelle forordning om databeskyttelse, men disse skal holdes på et minimum.

Fra den enkeltes perspektiv er det imidlertid væsentligt, at de fælles principper i hele EU's databeskyttelsesramme anvendes konsekvent, uanset hvem der måtte være den registeransvarlige. Det er også væsentligt, at den samlede ramme finder anvendelse på samme tid, dvs. i maj 2018, fristen for, at den generelle forordning om databeskyttelse skal finde fuld anvendelse.

Den tilsynsførende blev hørt af Kommissionen om udkastet til forslag i overensstemmelse med en mangeårig ordning mellem vores institutioner. Vi mener, at Kommissionen generelt har opnået en god balance mellem de forskellige involverede interesser. I denne udtalelse behandles en række områder, hvor forslaget kunne forbedres yderligere. Vi slår til lyd for forbedringer af den foreslåede forordning, navnlig med hensyn til begrænsningerne for den registreredes rettigheder og muligheden for, at EU-institutioner kan anvende certificeringsmekanismer i visse sammenhænge. Med hensyn til vores egne opgaver og beføjelser som en uafhængig myndighed synes forslaget at sikre en fornuftig balance og afspejle en uafhængig databeskyttelsesmyndigheds normale funktioner i henhold til chartret om grundlæggende rettigheder og som bekræftet i Domstolens nyere praksis, hvad enten det er som håndhævende myndighed, klagebehandler eller rådgiver for lovgiveren om politikker, der berører databeskyttelse og privatlivets fred.

Vi opfordrer EU-lovgiveren til at opnå enighed om forslaget så hurtigt som muligt, for at EU-institutionerne kan blive omfattet af en rimelig overgangsperiode, inden den nye forordning kan finde anvendelse.

1. INDLEDNING OG BAGGRUND

1.1. Kontekst

1. Den 10. januar 2017 vedtog Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1) (herefter »forslaget«).

2. Den grundlæggende ret til beskyttelse af personoplysninger er fastsat i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) og artikel 16 i traktaten om Den Europæiske Unions funktionsmåde (herefter »TEUF«).

3. Den Europæiske Tilsynsførende for Databeskyttelse (herefter »den tilsynsførende«) er den uafhængige tilsynsmyndighed, som har til opgave at sikre, at europæiske institutioner, organer, kontorer og agenturer (herefter »EU-institutioner«) overholder databeskyttelseslovgivningen i forbindelse med behandling af personoplysninger (2). Kravet om at sikre en uafhængig kontrol i EU's databeskyttelsessystem er fastsat i den primære ret, i både artikel 16, stk. 2, i TEUF og chartrets artikel 8, stk. 3. Domstolen har understreget i fast praksis, at kontrol fra en uafhængig myndigheds side er af afgørende betydning for retten til databeskyttelse, og fastsatte kriterierne for en sådan uafhængighed (3). Navnlig skal tilsynsmyndigheden handle i fuld uafhængighed, hvilket indebærer en beslutningsbeføjelse for tilsynsmyndigheden, der er unddraget enhver ydre påvirkning (4) og uden for enhver mistanke om partiskhed (5).

4. Det væsentligste retsinstrument, der finder anvendelse på EU-institutioners behandling af personoplysninger, er forordning (EF) nr. 45/2001 (6) (herefter »forordning 45/2001«), suppleret af afgørelse nr. 1247/2002/EF (7).

5. Efter afslutningen den 27. april 2016 af de langvarige forhandlinger om EU's nye databeskyttelsesramme — den generelle forordning om databeskyttelse og direktivet for politi og retsvæsen — markerer dette forslag (sammen med Kommissionens forslag til forordning om databeskyttelse inden for elektronisk kommunikation (herefter »e-databeskyttelsesforordningen« (8)) begyndelsen på en afgørende fase i processen med at fuldføre EU's databeskyttelsesramme. Det har til formål at tilpasse bestemmelserne i forordning 45/2001 til reglerne i den generelle forordning om databeskyttelse med henblik på at sikre en stærkere og mere sammenhængende databeskyttelsesramme i Unionen og give mulighed for, at begge instrumenter kan træde i kraft på samme tid (9). Endvidere omfatter forslaget også de nye regler for beskyttelse af slutbrugeres terminaludstyr, der er fastsat i Kommissionens forslag til den nye e-databeskyttelsesforordning.

6. I strategien for 2015-2019 forpligtede den tilsynsførende sig til at samarbejde med Europa-Parlamentet, Rådet og Kommissionen for at sikre, at de nuværende regler i forordning 45/2001 bringes i overensstemmelse med den generelle forordning om databeskyttelse, og at en revideret ramme træder i kraft senest i begyndelsen af 2018. Den tilsynsførende bifalder, at han er blevet uformelt hørt af Kommissionen forud for forslagets vedtagelse, og at forslaget synes at have taget højde for mange elementer, der er fremført i hans hidtidige uformelle bidrag. Han finder det nuværende forslag mere end tilfredsstillende med hensyn til størst mulig tilpasning til den generelle forordning om databeskyttelse, medmindre snævert definerede særlige karakteristika ved EU's offentlige sektor begrunder andet, og bifalder navnlig den balance mellem de forskellige involverede interesser, som Kommissionen har opnået.

7. Selv om der i denne udtalelse er anført en række områder, hvor forslaget kunne forbedres yderligere, opfordrer den tilsynsførende EU-lovgiveren til at opnå enighed om forslaget så hurtigt som muligt, for at EU-institutionerne kan blive omfattet af en rimelig overgangsperiode, inden den nye forordning kan finde fuld anvendelse.

1.2. Forslagets formål og tidsplan

8. Den tilsynsførende har tidligere anbefalet, at de materielle regler for EU-institutioner blev indarbejdet i (på daværende tidspunkt) udkastet til generel forordning om databeskyttelse (10). EU-lovgiveren valgte en anden mulighed: Et særskilt retsinstrument, der finder anvendelse på EU-institutioner, og som er tilpasset til og kan træde i kraft på samme tid som den generelle forordning om databeskyttelse. Den tilsynsførende støtter denne tilgang: Det ville være uacceptabelt, hvis Europa-Kommissionen og de øvrige EU-institutioner ikke var bundet af regler svarende til dem, der snart træder i kraft på medlemsstatsplan. Endvidere ville det være uønskeligt, hvis den tilsynsførende skulle føre tilsyn med EU-institutioners overholdelse på grundlag af materielle regler, som ville være ringere end de regler, som hans kolleger anvender til tilsynet på nationalt plan, navnlig i betragtning af, at den tilsynsførende bliver medlem af det fremtidige Europæiske Databeskyttelsesråd (herefter »Databeskyttelsesrådet«) (11).

9. De fremtidige regler, der finder anvendelse på EU-institutioners behandling af personoplysninger, bør derfor tilpasses bestemmelserne i den generelle forordning om databeskyttelse, medmindre snævert fortolkede særlige karakteristika ved den offentlige sektor begrunder andet. I denne henseende bifalder den tilsynsførende betragtning 5 til forslaget, som understreger behovet for størst mulig tilpasning og præciserer, at »(w)henever the provisions of this Regulation are based on the same concept as the provisions of (the GDPR), those two provisions should be interpreted homogenously, in particular because the scheme of this Regulation should be understood as equivalent to the scheme of (the GDPR).« ((n)år en bestemmelse i denne forordning er baseret på det samme begreb som en bestemmelse i (den generelle forordning om databeskyttelse), bør disse to bestemmelser fortolkes ensartet, navnlig da systematikken i denne forordning bør forstås som svarende til systematikken i (den generelle forordning om databeskyttelse)).

10. Samtidig kan tilpasningen til den generelle forordning om databeskyttelse hverken være fuldstændig eller automatisk. Den generelle forordning om databeskyttelse indeholder mange bestemmelser, som giver medlemsstaterne mulighed for at opretholde eller indføre specifik lovgivning på visse områder, herunder for offentlige myndigheder (12). I disse tilfælde, hvor den generelle forordning om databeskyttelse fastsætter specifikke regler for offentlige myndigheder (13) eller giver medlemsstaterne mulighed for at gennemføre dens bestemmelser, kan forslaget anses for at spille en rolle, der kan sammenlignes med en national retsakt, der »gennemfører« den generelle forordning om databeskyttelse, f.eks. i forslagets artikel 9 »Transmissions of personal data to recipients other than Union institutions and bodies« (Videregivelse af personoplysninger til modtagere, som ikke er Unionens institutioner og organer) eller artikel 66 »Administrative fines« (Administrative bøder) (se afsnit 2.8.1 nedenfor). Det er desuden vigtigt at sikre, at det høje beskyttelsesniveau, der på nuværende tidspunkt gælder for EU-institutioner, opretholdes. Det er derfor nødvendigt at opretholde visse særlige karakteristika ved forordning 45/2001, f.eks. i artikel 25 Restrictions (Begrænsninger) (se afsnit 2.3.1 nedenfor) og artikel 44 Designation of a Data Protection Officer (Udpegning af en databeskyttelsesansvarlig) (se afsnit 2.4.5.1 nedenfor).

11. Foruden en materiel tilpasning til den generelle forordning om databeskyttelse er det væsentligt, at de reviderede regler finder fuld anvendelse på samme tid som den generelle forordning om databeskyttelse, dvs. den 25. maj 2018. Med det eksisterende netværk af databeskyttelsesansvarlige er der tilvejebragt en effektiv kanal til informationsudveksling og samarbejde. Den tilsynsførende har derfor tillid til, at der kan opnås overholdelse efter en forholdsvis kort overgangsperiode, f.eks. tre måneder.

12. Princippet om ansvarlighed, der ligger til grund for den generelle forordning om databeskyttelse — såvel som det foreliggende forslag — rækker videre end blot en overholdelse af reglerne og indebærer en kulturændring. For at lette overgangen iværksatte den tilsynsførende et »ansvarlighedsprojekt«. I denne forbindelse var den tilsynsførende i løbet af 2016 og 2017 i kontakt med syv vigtige EU-institutioner og -organer med henblik på rettidigt at hjælpe med at forberede anvendelsen af den generelle forordning for databeskyttelse.

1.3. Anvendelsesområde og sammenhæng med andre retsinstrumenter

13. Den tilsynsførende har tidligere ved flere lejligheder opfordret Kommissionen til at foreslå et robust og samlet system, som ville være ambitiøst og øge effektiviteten af og sammenhængen i databeskyttelsen i EU, for at sikre et gunstigt miljø for en yderligere udvikling i de kommende år (14). Kommissionen valgte en anden tilgang og foreslog et særskilt retsinstrument for databeskyttelse på retshåndhævelsesområdet (15). Der fulgte en række forslag til retsakter, der indførte særskilte »selvstændige« databeskyttelsesordninger (16).

14. Den tilsynsførende anerkender, at den nuværende, omend fragmenterede, retlige ramme for beskyttelse af personoplysninger er det bedste resultat, der kan opnås på nuværende tidspunkt (17). Den tilsynsførende forstår, at det foreliggende forslag fortsat vil finde anvendelse på de EU-institutioner, der på nuværende tidspunkt er omfattet af anvendelsesområdet for forordning 45/2001 (18) (i det væsentlige alle institutioner, organer, kontorer og agenturer under den tidligere første og anden »søjle« (19)), men ikke som sådan vil berøre de eksisterende eller kommende »selvstændige« ordninger (20). Sådanne ordninger vil kun blive berørt af det foreliggende forslag, hvis og i det omfang dette udtrykkeligt er fastsat i det relevante retsinstrument. Den tilsynsførende noterer sig denne tilgang, men foreslår, at dette anføres mere udtrykkeligt i betragtningerne til forslaget og eventuelt også i dets artikel 2 Scope (Anvendelsesområde). Samtidig understreger den tilsynsførende, at fragmenteringen og det stadig mere komplekse retsgrundlag for databehandling foretaget af de forskellige EU-institutioner, der er aktive inden for den tidligere første og tredje »søjle«, ikke er et helt tilfredsstillende resultat og i givet fald vil skulle tages op af EU-lovgiveren på mellemlang sigt.

15. Forordning 45/2001 fastsætter foranstaltninger, der har til formål at beskytte privatlivets fred og kommunikationshemmeligheden i tilfælde, hvor EU-institutionerne kontrollerer den infrastruktur, der anvendes til kommunikation. Med henblik herpå indeholder det en række bestemmelser, som omfatter dele af anvendelsesområdet for direktiv 2002/58/EF (herefter »e-databeskyttelsesdirektivet«) (21), og fastsætter princippet om, at regler for beskyttelse af grundlæggende rettigheder skal anvendes konsekvent og ensartet overalt i Unionen, under henvisning til relevante instrumenter som direktivet om databeskyttelse inden for elektronisk kommunikation (22). Behovet for at sikre det samme niveau af beskyttelse af privatlivets fred og kommunikationshemmelighed i forbindelse med EU-institutioner forbliver uændret, og princippet om en konsekvent og ensartet anvendelse bør derfor fastholdes. Den tilsynsførende er derfor af den opfattelse, at forslaget bør sikre, at de relevante regler i den generelle forordning om databeskyttelse og den fremtidige e-databeskyttelsesforordning finder tilsvarende anvendelse på EU-institutioner. Dette bør omfatte både beskyttelsen af fortrolighed og privatlivets fred med hensyn til kommunikationstjenester, der kontrolleres af EU-institutioner, samt andre principper i den fremtidige e-databeskyttelsesforordning, f.eks. beskyttelsen af terminaludstyr og andre regler, f.eks. vedrørende sporing og spam.

16. Selv om EU's databeskyttelseslovgivning også gælder for Det Europæiske Økonomiske Samarbejdsområde, og de deltagende EFTA-lande er forpligtet til at oprette uafhængige tilsynsmyndigheder i henhold til den generelle forordning om databeskyttelse, er EFTA-institutionerne ikke underlagt specifikke databeskyttelsesregler og databeskyttelsestilsyn, selv om de udveksler personoplysninger med EU-institutioner. Den tilsynsførende mener, at det foreliggende forslag kunne være en lejlighed til at tage dette spørgsmål op.

3. KONKLUSION

90. Den tilsynsførende er generelt af den opfattelse, at det er lykkedes forslaget at tilpasse reglerne for EU-institutioner til den generelle forordning om databeskyttelse samtidig med, at der tages højde for de særlige karakteristika ved EU's offentlige sektor. Det høje beskyttelsesniveau i forbindelse med EU-institutioners databehandling opretholdes generelt i forslaget. Den tilsynsførende bifalder navnlig den balance mellem de forskellige involverede interesser, som Kommissionen har opnået.

91. Den tilsynsførende mener, at forslaget bør forbedres yderligere, navnlig vedrørende de nærmer vilkår for begrænsninger i henhold til artikel 25. For at sikre overholdelse af kvaliteten af lovkrav, der er nævnt ovenfor, vil artikel 25, stk. 1, i forslaget skulle ændres, således at kun retsakter, der er vedtaget på grundlag af traktaterne, vil kunne begrænse grundlæggende rettigheder, hvorved EU-institutioner vil blive pålagt de samme standarder som dem, der vil gælde for medlemsstater i henhold til den generelle forordning om databeskyttelse. For så vidt der overvejes begrænsninger for artikel 34 Confidentiality of electronic communications (Fortrolighed i elektronisk kommunikation), opfordrer den tilsynsførende EU-lovgiveren til at sikre, at de eventuelle begrænsninger for den grundlæggende ret til privatlivets fred i forbindelse med kommunikation fra EU-institutioners side i forbindelse med deres egne aktiviteter følger de samme standarder, som fastsat i EU-retten og fortolket af Domstolen på dette område.

92. Den tilsynsførende hilser med tilfredshed, at forslaget omfatter en særskilt artikel, der er dedikeret den tilsynsførendes rolle som rådgiver for EU- institutioner (artikel 42 i forslaget). Han er imidlertid bekymret for, at ordlyden »(f)ollowing the adoption of proposals« ((e)fter vedtagelsen af forslag) (i modsætning til »(n)år Kommissionen vedtager et forslag til retsakt« i artikel 28, stk. 2, i forordning 45/2001) kunne sætte spørgsmålstegn ved Europa-Kommissionens mangeårige tilsagn om at høre den tilsynsførende om udkast til forslag på en uformel måde, normalt i fasen med høring af andre tjenestegrene. I betragtning af betydningen af uformel høring ville den tilsynsførende bifalde en betragtning, hvori Kommissionen gentager sit tilsagn om at fastholde denne mangeårige praksis. Han ville også bifalde, hvis forslaget fastholder ordlyden i artikel 28, stk. 2, i forordning 45/2001 (»når Kommissionen vedtager«), som giver mulighed for en bredere manøvremargen i denne henseende. Han mener, at den foreslåede artikel 42 er tilstrækkelig klar med hensyn til den tilsynsførendes og Databeskyttelsesrådets respektive opgaver for at undgå unødvendigt dobbeltarbejde i fremtiden.

93. Den tilsynsførende er af den opfattelse, at muligheden for at udlicitere den funktion, der udøves af en databeskyttelsesansvarlig, ikke er egnet for EU-institutioner, som udøver offentlig myndighed. Artikel 44, stk. 4, andet alternativ (»or fulfil the tasks on the basis of a service contract« (eller kan udføre hvervet på grundlag af en tjenesteydelseskontrakt)), bør derfor udgå.

94. Den tilsynsførende bifalder artikel 66 i forslaget, som ville give den tilsynsførende beføjelse til at pålægge administrative bøder. Han mener, at hvis EU's tilsynsmyndighed fratages muligheden for at pålægge administrative bøder, når det er relevant, ville dette give EU-institutioner en privilegeret stilling i forhold til institutioner i den offentlige sektor i mange medlemsstater.

95. Den tilsynsførende mener, at certificeringsmekanismer kan være et meget nyttigt instrument for EU-institutioner, og de anvendes allerede i visse sammenhænge, f.eks. certificering af overholdelse af almindeligt anerkendte standarder. Henvisninger til anvendelsen af certificering (men ikke adfærdskodekser) bør derfor føjes til artikel 26 Responsibility of the controller (Den dataansvarliges ansvar), artikel 27 Data protection by design and by default (Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger) samt artikel 33 Security (Sikkerhed).

96. Selv om der i denne udtalelse er anført en række områder, hvor forslaget kunne forbedres yderligere, vil den tilsynsførende opfordre EU-lovgiveren til at opnå enighed om forslaget så hurtigt som muligt, for at EU-institutionerne kan blive omfattet af en rimelig overgangsperiode, inden den nye forordning kan træde i kraft på samme tid som den generelle forordning om databeskyttelse, dvs. i maj 2018.

Bruxelles, den 15. marts 2017. Giovanni BUTTARELLI Den Europæiske Tilsynsførende for Databeskyttelse

(1) COM(2017) 8 final; 2017/0002 (COD) (later, »the Proposal«).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: »Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.«

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135, 24.5.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach (First reading) on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 »Europe’s big opportunity — EDPS recommendations on the EU’s options for data protection reform«, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf.

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OJ L 201, 31.7.2002, p. 37), as amended (later, »the ePrivacy Directive«).

(22) Recitals 10-12 ePrivacy Directive.