EUROPA-KOMMISSIONEN Bruxelles, den 25.7.2022 COM(2022) 364 final MEDDELELSE FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET Første rapport om anvendelsen og funktionen af direktiv (EU) 2016/680 om databeskyttelse på retshåndhævelsesområdet









MEDDELELSE FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET Første rapport om anvendelsen og funktionen af direktiv (EU) 2016/680 om databeskyttelse på retshåndhævelsesområdet Indholdsfortegnelse 1 Direktivet om databeskyttelse på retshåndhævelsesområdet som hovedinstrument til at sikre databeskyttelse i Den Europæiske Unions sikkerhedspolitik 1.1 Et centralt element i en sammenhængende EU-databeskyttelsesramme 1.2 Et vigtigt bidrag til at sikre en robust sikkerhedspolitik i Den Europæiske Union 1.3 Vigtige betragtninger i forbindelse med udarbejdelsen af rapporten 2 En tilfredsstillende gennemførelse, men der er stadig en række udestående spørgsmål 2.1 En fuldstændig overordnet gennemførelse, men med nogle betænkeligheder vedrørende specifikke bestemmelser 2.2 Prioriteter for vurdering af overensstemmelse 2.2.1 Anvendelsesområde for retshåndhævelsesdirektivet 2.2.2 Datatilsynsmyndigheders forvaltning og beføjelser 2.2.3 Retsmidler 2.2.4 Tidsfrister for opbevaring og revision 2.2.5 Retsgrundlag for behandling, herunder særlige kategorier af personoplysninger 2.2.6 Automatiske afgørelser 2.2.7 De registreredes rettigheder

2.2.8 Vigtige bestemmelser, der er specifikke for retshåndhævelsesdirektivet 3 De første erfaringer med retshåndhævelsesdirektivets anvendelse og funktion 3.1 Klager og positiv indvirkning på registreredes rettigheder 3.2 Øget bevidsthed om databeskyttelse hos de kompetente myndigheder 3.3 Forbedret datasikkerhed, men forskelle med hensyn til anmeldelser af brud på datasikkerheden 3.4 Datatilsynsmyndighedernes tilsyn 3.4.1 Datatilsynsmyndighedernes ressourcer 3.4.2 Anvendelse af beføjelser 3.4.3 Domstolsprøvelse af datatilsynsmyndighedernes foranstaltninger 3.4.4 Databeskyttelsesrådets retningslinjer 3.4.5 Gensidig bistand 3.5 Fleksibelt instrument til internationale dataoverførsler 3.5.1 Afgørelser om tilstrækkeligheden af beskyttelsesniveauet 3.5.2 Fornødne garantier 3.5.3 Anvendelse af undtagelser 3.5.4 Effektivt politisamarbejde og retligt samarbejde på tværs af grænserne 4 Det videre forløb



1Direktivet om databeskyttelse på retshåndhævelsesområdet som hovedinstrument til at sikre databeskyttelse i Den Europæiske Unions sikkerhedspolitik

Denne meddelelse indeholder Europa-Kommissionens første rapport om evaluering og revision af direktiv (EU) 2016/680 om databeskyttelse på retshåndhævelsesområdet ("retshåndhævelsesdirektivet" eller "direktivet"), jf. direktivets artikel 62, stk. 1. Rapporten omhandler navnlig anvendelsen og funktionen af retshåndhævelsesdirektivets regler om overførsel af personoplysninger til tredjelande og internationale organisationer som krævet i direktivet, men benytter også en bredere tilgang. Retshåndhævelsesdirektivet placeres inden for rammerne af EU-retten om beskyttelse af personoplysninger og EU-retten om behandlingen af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed ("strafferetlig håndhævelse") . I rapporten gives der et overblik over medlemsstaternes gennemførelse af retshåndhævelsesdirektivet i deres nationale lovgivning, ligesom de første erfaringer med direktivets anvendelse og funktion præsenteres, og det videre forløb skitseres. 1.1Et centralt element i en sammenhængende EU-databeskyttelsesramme Retshåndhævelsesdirektivet er en af de tre søjler i EU-rammen, der garanterer den grundlæggende ret til beskyttelse af personoplysninger. De to andre er den generelle forordning om databeskyttelse ("persondataforordningen") og forordningen om databeskyttelse for EU's institutioner og organer . Den grundlæggende ret til databeskyttelse er fastsat i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder ("chartret") og i artikel 16 i traktaten om Den Europæiske Unions funktionsmåde ("TEUF"). Retshåndhævelsesdirektivet trådte i kraft den 6. maj 2016, og medlemsstaterne skulle gennemføre det senest den 6. maj 2018 . Retshåndhævelsesdirektivet er den første EU-retsakt, hvor der benyttes en samlet tilgang til de kompetente myndigheders beskyttelse af personoplysninger (dvs. judicielle myndigheder, politiet og andre strafferetshåndhævende myndigheder, jf. direktivets artikel 3, stk. 7) med henblik på strafferetlig håndhævelse. I forhold til Rådets rammeafgørelse 2008/977/RIA, som det ophævede og erstattede, er retshåndhævelsesdirektivet et stort fremskridt med hensyn til at sikre ensartet anvendelse af databeskyttelsesreglerne i hele EU. Retshåndhævelsesdirektivet indeholder for det første et komplet sæt regler for både grænseoverskridende og national behandling af personoplysninger med henblik på strafferetlig håndhævelse, mens Rådets rammeafgørelse kun omfattede grænseoverskridende behandling. Retshåndhævelsesdirektivet indeholder desuden et omfattende og horisontalt sæt regler, mens hver sektorspecifik EU-retsakt, der indeholdt bestemmelser om behandling af personoplysninger i forbindelse med strafferetlig håndhævelse, under den tidligere tilgang var underlagt dens egne databeskyttelsesregler. Persondataforordningen, forordningen om databeskyttelse for EU's institutioner og organer og retshåndhævelsesdirektivet bygger på lignende begreber og principper, og det sikrer ensartet fortolkning og anvendelse af EU's databeskyttelsesregler. De har fælles definitioner og indeholder lignende forpligtelser for dataansvarlige og databehandlere. Retshåndhævelsesdirektivet omhandler imidlertid også specifikt risici i forbindelse med behandling af personoplysninger i forbindelse med strafferetlig håndhævelse. De tilsvarende bestemmelser omfatter forpligtelser til at i) sondre mellem forskellige kategorier af registrerede, ii) sondre mellem personoplysninger, der bygger på faktiske omstændigheder, og personoplysninger, der bygger på personlige vurderinger, iii) føre en log over anvendelsen af personoplysninger og opfylde specifikke sikkerhedskrav. I betragtning af den særlige karakter af det retlige samarbejde i straffesager og politisamarbejde blev det anset for nødvendigt at vedtage specifikke regler på disse områder med henblik på beskyttelsen af personoplysninger og den frie udveksling af personoplysninger. Følsomheden på området for retligt samarbejde i straffesager og politisamarbejde kombineret med kompleksiteten af de nationale retlige rammer, der regulerer strafferetlig håndhævelse, betød, at et direktiv blev betragtet som det bedste instrument til at opnå et højt databeskyttelsesniveau på dette område. Et direktiv giver også medlemsstaterne den nødvendige fleksibilitet, når de gennemfører principper, regler og undtagelser på nationalt plan. Kommissionen offentliggjorde sin første rapport om gennemførelsen af persondataforordningen den 24. juni 2020. Kommissionen konkluderede, at den generelle holdning var, at persondataforordningen opfyldte sine mål, navnlig ved at give borgerne et stærkt sæt rettigheder, der kan håndhæves, og ved at skabe et nyt EU-system for forvaltning og håndhævelse. Rapporten indeholder en liste over tiltag, der skal iværksættes for yderligere at lette anvendelsen af persondataforordningen for alle interessenter og for at fremme og videreudvikle en databeskyttelseskultur i EU sammen med en streng håndhævelse. Denne rapport er en opfølgning på gennemgangen af de retsakter, som EU har vedtaget, og som regulerer de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner. Formålet med denne gennemgang var at vurdere behovet for at tilpasse de pågældende retsakter til retshåndhævelsesdirektivet . Den 24. juni 2020 opfyldte Kommissionen denne forpligtelse ved at vedtage meddelelsen "Det videre forløb med tilpasning af den tidligere tredje søjle i EU-retten til databeskyttelsesreglerne". Kommissionen udpegede ti retsakter, der bør tilpasses retshåndhævelsesdirektivet, og fastsatte en tidsplan for dette arbejde. Denne rapport blev endelig udarbejdet parallelt med Kommissionens rapport om anvendelsen af forordningen om databeskyttelse for EU's institutioner og organer. Et vigtigt element i sidstnævnte er revisionen af dens regler i kapitel IX om behandling af operationelle personoplysninger i EU-organer, -kontorer eller -agenturer, når de udfører aktiviteter, der falder ind under politisamarbejdet og det retlige samarbejde i straffesager ("RIA-agenturer"). De pågældende regler er i vid udstrækning baseret på retshåndhævelsesdirektivet. I henhold til artikel 98 i forordningen om databeskyttelse for EU's institutioner og organer skal Kommissionen evaluere retsakter, som regulerer behandling af operationelle personoplysninger i RIA-agenturer, og den kan forelægge hensigtsmæssige lovgivningsforslag, navnlig med henblik på at anvende forordningens kapitel IX på Europol og Den Europæiske Anklagemyndighed, herunder om nødvendigt tilpasninger af nævnte kapitel IX. 1.2Et vigtigt bidrag til at sikre en robust sikkerhedspolitik i Den Europæiske Union Kommissionen har konsekvent understreget, at et effektivt og reelt sikkert EU kun kan opbygges på grundlag af fuld overholdelse af de grundlæggende rettigheder, der er nedfældet i chartret og den afledte EU-ret. Retshåndhævelsesdirektivet yder et vigtigt bidrag til EU's sikkerhedspolitik ved at sikre, at personoplysninger om ofre, vidner og mistænkte for kriminalitet beskyttes behørigt. Ved at harmonisere reglerne om beskyttelse af personoplysninger, der behandles af kompetente myndigheder i EU- og Schengenlandene, bidrager retshåndhævelsesdirektivet endvidere til øget tillid og sikkerhed i forbindelse med oplysninger, der udveksles mellem myndigheder med henblik på strafferetlig håndhævelse, og letter dermed det grænseoverskridende samarbejde om bekæmpelse af kriminalitet og terrorisme. Retshåndhævelsesdirektivet spiller også en central rolle med hensyn til at fremme en kultur for overholdelse af databeskyttelsesreglerne blandt de kompetente myndigheder. I strategien for EU's sikkerhedsunion understreges det endvidere, at ny teknologi, f.eks. kunstig intelligens, kan anvendes som et effektivt redskab til at bekæmpe kriminalitet. Udnyttelsen af dette potentiale kræver også, at der sikres de højeste standarder for overholdelse af de grundlæggende rettigheder. Databeskyttelseslovgivningen, herunder retshåndhævelsesdirektivet, udgør grundlaget for opbygningen af sektorspecifik lovgivning. Den foreslåede retsakt om kunstig intelligens vil f.eks. yderligere fastlægge rammerne for anvendelsen af personoplysninger til fjernstyret biometrisk identifikation på offentlige steder med henblik på retshåndhævelse. Endelig bliver kriminalitet (og navnlig IT-kriminalitet og anden cyberbaseret kriminalitet) i en indbyrdes forbundet verden mere og mere grænseoverskridende. Selv når de kompetente myndigheder undersøger nationale sager, befinder de sig i stigende grad i grænseoverskridende situationer, fordi oplysninger er lagret elektronisk i et tredjeland. Dette øger behovet for internationalt samarbejde om strafferetlig efterforskning, både fra medlemsstaternes myndigheder og fra EU-organer såsom Europol og Eurojust. Et sådant samarbejde, og navnlig indsamling og udveksling af elektronisk bevismateriale, indebærer ofte overførsel af personoplysninger. Stærke databeskyttelsesgarantier er derfor af afgørende betydning. Sådanne databeskyttelsesgarantier bidrager også til at opbygge tillid mellem de retshåndhævende myndigheder, og det sikrer en hurtigere og mere effektiv informationsudveksling og styrker retssikkerheden, når oplysninger derefter anvendes i straffesager. I denne henseende indeholder retshåndhævelsesdirektivet et ajourført sæt værktøjer til at lette sådanne overførsler af personoplysninger fra EU til et tredjeland eller en international organisation (f.eks. Interpol), samtidig med at det sikres, at personoplysningerne fortsat er omfattet af et højt beskyttelsesniveau. Kommissionen og medlemsstaterne har gjort brug af alle værktøjerne i retshåndhævelsesdirektivet siden dets ikrafttræden, og det bekræfter, at det er tilstrækkelig bredt og fleksibelt til at muliggøre et effektivt internationalt politisamarbejde og retligt samarbejde. 1.3Vigtige betragtninger i forbindelse med udarbejdelsen af rapporten Ved udarbejdelsen af denne rapport har Kommissionen indsamlet oplysninger og feedback fra forskellige kilder og målrettede høringer. I overensstemmelse med retshåndhævelsesdirektivets artikel 62 tog Kommissionen hensyn til bidrag og holdninger fra Europa-Parlamentet, Rådet, Det Europæiske Databeskyttelsesråd ("Databeskyttelsesrådet ") og nationale datatilsynsmyndigheder. Der blev indhentet yderligere feedback ved hjælp af et spørgeskema, der blev sendt til civilsamfundsorganisationer (gennem Den Europæiske Unions Agentur for Grundlæggende Rettigheder) samt svar på en opfordring til indsendelse af dokumentation . Kommissionen tog også hensyn til bemærkninger fra medlemsstaternes ekspertgruppe om persondataforordningen og retshåndhævelsesdirektivet samt bemærkninger fra det tyske formandskab for Rådet. Kommissionen tog også hensyn til analysen af de nationale gennemførelsesforanstaltninger og et mindre antal klager, den havde modtaget i denne forbindelse. Retshåndhævelsesdirektivet gælder for alle medlemsstater og alle Schengenlande (fordi det er en videreudvikling af Schengenreglerne ), men denne rapport omhandler kun EU's medlemsstater. Tre faktorer har påvirket udarbejdelsen af denne rapport. For det første overholdt to tredjedele af medlemsstaterne ikke fristen i maj 2018 for gennemførelse af retshåndhævelsesdirektivet i national ret. De fleste medlemsstater gennemførte imidlertid retshåndhævelsesdirektivet inden 2019, efter at Kommissionen havde indledt traktatbrudsprocedurer. Der er derfor ret begrænsede erfaringer med dets anvendelse, et punkt, som både Databeskyttelsesrådet og Rådet også understreger. For det andet viste det sig at være vanskeligere at udarbejde statistikker om anvendelsen af retshåndhævelsesdirektivet sammenlignet med persondataforordningen. Nogle datatilsynsmyndigheder indsamler ikke statistikker om deres tilsynsaktiviteter særskilt for retshåndhævelsesdirektivet og persondataforordningen. Dette er f.eks. tilfældet i forbindelse med anmeldelser af brud på datasikkerheden og klager indgivet i henhold til retshåndhævelsesdirektivet, og det gør det i nogle tilfælde vanskeligt at få et nøjagtigt overblik over disse bestemmelser i retshåndhævelsesdirektivet . Det skal for det tredje tages i betragtning, at retspraksis vedrørende anvendelsen af retshåndhævelsesdirektivet først nu er ved at blive udviklet. Der verserer i øjeblikket flere sager ved Den Europæiske Unions Domstol ("EU-Domstolen") vedrørende fortolkningen af centrale bestemmelser i retshåndhævelsesdirektivet, såsom de registreredes ret til indsigt og retten til effektive retsmidler. Disse domme vil skabe større klarhed og bidrage til en mere harmoniseret tilgang blandt medlemsstaterne.

2En tilfredsstillende gennemførelse, men der er stadig en række udestående spørgsmål Kommissionen har nedsat en ekspertgruppe for medlemsstaterne, som skal hjælpe medlemsstaterne med at indarbejde retshåndhævelsesdirektivet i deres nationale lovgivning. Gruppen letter drøftelser og udveksling af erfaringer mellem medlemsstaterne og Kommissionen om databeskyttelsesregler. Gruppen mødtes regelmæssigt mellem direktivets vedtagelse i 2016 og gennemførelsesfristen i maj 2018 og genoptog sit arbejde i 2021. Den oversigt over gennemførelsen, der præsenteres nedenfor, fokuserer på de vigtigste spørgsmål, der er identificeret indtil videre. Den er primært baseret på Kommissionens analyse af de oplysninger, som medlemsstaterne gav, da de underrettede Kommissionen om de nationale foranstaltninger, de har truffet for at gennemføre retshåndhævelsesdirektivet i national ret. Denne analyse blev understøttet af en ekstern undersøgelse foretaget af en ekstern kontrahent. Kommissionen deltog også i bilaterale udvekslinger med flere medlemsstater. 2.1En fuldstændig overordnet gennemførelse, men med nogle betænkeligheder vedrørende specifikke bestemmelser Kommissionen indledte traktatbrudsprocedurer mod 19 medlemsstater i juli 2018, fordi de ikke havde vedtaget love til gennemførelse af retshåndhævelsesdirektivet inden fristen i maj 2018 og ikke havde underrettet Kommissionen om deres gennemførelse. En anden procedure for delvis manglende gennemførelse blev indledt i juli 2019 mod en anden medlemsstat. Som følge heraf underrettede de fleste medlemsstater herefter Kommissionen om deres nationale gennemførelseslovgivning, og Kommissionen afsluttede gradvist traktatbrudsprocedurerne mod dem i 2019 (2020 for én medlemsstat). I 2021 indbragte Kommissionen sit traktatbrudssøgsmål mod Spanien for EU-Domstolen, fordi Spanien stadig ikke havde gennemført retshåndhævelsesdirektivet og underrettet Kommissionen om dets gennemførelsesforanstaltninger. I betragtning af overtrædelsens grovhed og varighed pålagde EU-Domstolen for første gang Spanien at betale både et fast beløb og en tvangsbøde . Kommissionen indledte også — i april 2022 — en traktatbrudsprocedure mod Tyskland efter at have konstateret et hul i gennemførelsen af retshåndhævelsesdirektivet i forbindelse med det tyske forbundspolitis aktiviteter. Kommissionen vil fortsat vurdere gennemførelsen af retshåndhævelsesdirektivet i medlemsstaterne og træffe de nødvendige foranstaltninger til at afhjælpe eventuelle mangler. 2.2Prioriteter for vurdering af overensstemmelse Kommissionen kontrollerer også, at retshåndhævelsesdirektivets krav gennemføres korrekt gennem medlemsstaternes nationale bestemmelser (overensstemmelseskontrol). Ved gennemførelsen af retshåndhævelsesdirektivet ændrede medlemsstaterne deres tidligere lovgivning om databeskyttelse eller ophævede den og erstattede den med ny horisontal databeskyttelseslovgivning. I mange tilfælde gennemføres retshåndhævelsesdirektivet i national ret ved henvisning til den samme eller tilsvarende bestemmelse i persondataforordningen (f.eks. med hensyn til definitioner, anmeldelser af brud på datasikkerheden, udpegelse af databeskyttelsesrådgiveren og bestemmelser om de nationale datatilsynsmyndigheders organisation, status, kompetencer, opgaver og beføjelser). En række af bestemmelserne i retshåndhævelsesdirektivet blev også gennemført gennem nye bestemmelser i f.eks. den almindelige forvaltningsret, den administrative retspleje eller strafferetsplejen. Nogle medlemsstater har også gennemført en række af direktivets bestemmelser i sektorspecifik lovgivning, der regulerer bestemte kompetente myndigheders funktion og beføjelser. Det kan derfor være nødvendigt at tage hensyn til en række nationale retsakter, når det skal afgøres, om retshåndhævelsesdirektivet er blevet korrekt gennemført i en bestemt medlemsstat. Overordnet set afspejler de nationale love i vid udstrækning principperne og de centrale bestemmelser i retshåndhævelsesdirektivet. Der er imidlertid konstateret en række problemer, hvoraf de vigtigste er beskrevet i de følgende afsnit. Kommissionen har allerede indledt en række traktatbrudsprocedurer mod medlemsstaterne . Revisionsprocessen fortsætter, og Kommissionen vil fortsat anvende alle tilgængelige værktøjer, herunder traktatbrudsprocedurer, når en national gennemførelsesforanstaltning ikke er i overensstemmelse med retshåndhævelsesdirektivet. Retspraksis vedrørende retshåndhævelsesdirektivet er stadig i sin vorden. EU-Domstolen er begyndt at afsige domme om fortolkningen af retshåndhævelsesdirektivet, herunder i sagen WS mod Bundesrepublik Deutschland og B mod Latvijas Republikas Saeima. På tidspunktet for udarbejdelsen af denne rapport verserer der en række præjudicielle afgørelser ved EU-Domstolen (som anført i de følgende afsnit). 2.2.1Anvendelsesområde for retshåndhævelsesdirektivet Vanskeligheden ved at afgrænse anvendelsesområdet for retshåndhævelsesdirektivet og persondataforordningen blev rejst som et problem af både af medlemsstaternes ekspertgruppe om persondataforordningen og retshåndhævelsesdirektivet og af Databeskyttelsesrådet. Nogle datatilsynsmyndigheder har også bemærket, at de kompetente myndigheder har vanskeligt ved dette . Anvendelsesområdet for retshåndhævelsesdirektivet er defineret ved to centrale elementer: begrebet kompetent myndighed (personelt anvendelsesområde) og begrebet strafbar handling (materielt anvendelsesområde). Med hensyn til personelt anvendelsesområde er databehandling omfattet af retshåndhævelsesdirektivet, når den for det første foretages af en kompetent myndighed, og når personoplysninger for det andet behandles med henblik på retshåndhævelse (dvs. med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed). Efter Kommissionens opfattelse er "kompetente myndigheder" som defineret i retshåndhævelsesdirektivet enten statslige organer eller private organer, som loven tillægger særlige beføjelser ud over dem, der følger af de almindelige regler, der finder anvendelse i forholdet mellem private, og/eller af muligheden for at udøve tvangsindgreb. Disse myndigheder er kompetente myndigheder i henhold til retshåndhævelsesdirektivet, når de (om end kun sporadisk og/eller i isolerede tilfælde) behandler data med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed). Dette betyder f.eks., at sådanne organers behandling af personoplysninger til andre formål end retshåndhævelsesformål (f.eks. personalemæssige eller andre administrative formål, f.eks. finansielle efterretningsenheders behandling af personoplysninger i henhold til reglerne om bekæmpelse af hvidvaskning af penge) er omfattet af anvendelsesområdet for persondataforordningen og ikke retshåndhævelsesdirektivet. Begrebet "strafbar handling" er af central betydning, når det afgøres, om databehandling er omfattet af anvendelsesområdet for retshåndhævelsesdirektivet eller ej. Ifølge EU-Domstolen er tre kriterier relevante for at vurdere, om en lovovertrædelse har karakter af en strafbar handling: om lovovertrædelsen er klassificeret som strafbar i national ret, selve lovovertrædelsens art og karakteren og strengheden af den sanktion, som den pågældende risikerer at blive pålagt . Den selvstændige karakter af begrebet strafbar handling, jf. betragtning 13 til retshåndhævelsesdirektivet, indebærer bl.a., at medlemsstaternes lovgivning ikke kan betegne en lovovertrædelse som "strafbar" alene med henblik på anvendelsen af retshåndhævelsesdirektivet. Spørgsmålet om afgrænsning mellem anvendelsesområdet for persondataforordningen og retshåndhævelsesdirektivet opstår i nogle medlemsstater i forbindelse med afgrænsningen mellem strafferetlige og administrative overtrædelser. I nogle nationale gennemførelseslove henvises der eksempelvis til formål med behandling af personoplysninger, som ikke er anført i retshåndhævelsesdirektivets artikel 1 (f.eks. trusler mod den offentlige orden eller den offentlige sikkerhed). Spørgsmålet opstår også, fordi nogle medlemsstater mener, at en række administrative organer (f.eks. finansielle efterretningsenheder som nævnt ovenfor) udfører opgaver, der falder ind under retshåndhævelsesdirektivet. De fleste af medlemsstaternes love dækker i vid udstrækning enhver kompetent myndighed, der behandler oplysninger til retshåndhævelsesformål. Nogle medlemsstater har derimod valgt udtømmende at opregne de kompetente myndigheder i henhold til retshåndhævelsesdirektivet i deres nationale lovgivning. Enkelte medlemsstater har indført en undtagelse for visse typer kompetente myndigheders behandling eller visse typer data. Spørgsmålet om anvendelsesområdet for retshåndhævelsesdirektivet er genstand for en præjudiciel forelæggelse for Domstolen. Landesverwaltungsgericht Tirol (Østrig) har rejst spørgsmålet om anvendelsesområdet for retshåndhævelsesdirektivet i en sag, hvor en kompetent myndighed forgæves forsøgte at få adgang til oplysninger på en beslaglagt telefon (fortolkning af retshåndhævelsesdirektivets artikel 2). Sagen vedrører også betingelserne for en sådan adgang. 2.2.2Datatilsynsmyndigheders forvaltning og beføjelser

Alle medlemsstater undtagen to (Belgien og Sverige) har overladt håndhævelsen af retshåndhævelsesdirektivet til den tilsynsmyndighed, der også er ansvarlig for håndhævelsen af persondataforordningen. Belgien har overdraget tilsynet med politiet med henblik på retshåndhævelsesdirektivet til en anden tilsynsmyndighed. I Sverige deles tilsynet med visse kompetente myndigheder, herunder politiet, mellem den kompetente tilsynsmyndighed for persondataforordningen og en anden tilsynsmyndighed. I henhold til retshåndhævelsesdirektivet har alle datatilsynsmyndigheder desuden ikke kompetence til at føre tilsyn med domstolene, når de handler i deres egenskab af domstol. Med hensyn til retshåndhævelsesdirektivets bestemmelser om datatilsynsmyndigheders uafhængighed har alle medlemsstater i deres gennemførelseslovgivning fastsat, at datatilsynsmyndighederne skal udføre deres opgaver i fuld uafhængighed. De kræver også, at medlemmerne af deres datatilsynsmyndigheder skal være frie for udefrakommende indflydelse og hverken må søge eller modtage instrukser fra andre. Datatilsynsmyndighedernes tilsyn med overensstemmelse er afgørende og nedfældet i chartrets artikel 8, stk. 3. I henhold til retshåndhævelsesdirektivet skal medlemsstaterne give datatilsynsmyndigheder effektive undersøgelsesbeføjelser, korrigerende beføjelser og rådgivningsbeføjelser. Dette er en forudsætning for en korrekt håndhævelse af databeskyttelsesreglerne og dermed for at nå direktivets mål om et højt beskyttelsesniveau for de grundlæggende rettigheder, navnlig med hensyn til retten til beskyttelse af personoplysninger, og for at sikre fri udveksling af personoplysninger i EU. Datatilsynsmyndighederne skal have de samme beføjelser i hele EU, for at de kan udføre deres opgaver som krævet i retshåndhævelsesdirektivet. Alle medlemsstaterne har givet deres myndigheder de undersøgelsesbeføjelser, der er angivet i retshåndhævelsesdirektivet, og de fleste medlemsstater har også givet dem andre beføjelser (f.eks. til at foretage revisioner, få adgang til lokaler, kopiere data og beslaglægge genstande). Som følge heraf fandt næsten alle datatilsynsmyndigheder, at de havde effektive undersøgelsesbeføjelser. Næsten alle medlemsstater har fastsat bestemmelser om de korrigerende beføjelser, der er anført i retshåndhævelsesdirektivet. Mange medlemsstater har gjort det ved nøje at følge ordlyden i retshåndhævelsesdirektivet, mens flere har anvendt meget brede formuleringer, som med rimelighed kan fortolkes til at omfatte alle de beføjelser, der er fastsat i retshåndhævelsesdirektivet. De fleste medlemsstaters lovgivning giver desuden datatilsynsmyndighederne beføjelse til at pålægge administrative bøder. Ikke alle medlemsstater har givet deres datatilsynsmyndigheder beføjelse til at indbringe overtrædelser af de nationale love, der er vedtaget til gennemførelse af retshåndhævelsesdirektivet, for retslige myndigheder og til at indlede eller på anden måde deltage i retssager. En sådan beføjelse er vigtig og supplerer de andre midler, som datatilsynsmyndighederne har til rådighed for effektivt at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og navnlig deres ret til beskyttelse af deres personoplysninger. 2.2.3Retsmidler Alle medlemsstaterne har fastsat bestemmelser om retten til at indgive klage til en tilsynsmyndighed. I de fleste nationale love er der fastsat en frist for indgivelse af en sådan klage. Det er vigtigt, at denne frist ikke hindrer de registreredes rettigheder i denne henseende. I overensstemmelse med retshåndhævelsesdirektivet har alle medlemsstaterne fastsat bestemmelser om adgang til retsmidler til prøvelse af tilsynsmyndighedens afgørelser, uden at dette berører andre administrative eller udenretslige klagemuligheder i deres retssystemer. Der er adgang til retsmidler i alle medlemsstater, bortset fra to, hvis en tilsynsmyndighed ikke behandler en klage eller underretter den registrerede om forløbet eller resultatet af klagen inden for tre måneder. De fleste medlemsstater har også fastsat bestemmelser om adgang til retsmidler over for en dataansvarlig eller databehandler i tilfælde af en påstået overtrædelse af retshåndhævelsesdirektivet. Flere nationale gennemførelseslove giver imidlertid ikke registrerede ret til at bemyndige et organ, en organisation eller en sammenslutning, som ikke arbejder med gevinst for øje, til at indgive en klage til en tilsynsmyndighed eller anlægge sag på deres vegne. 2.2.4Tidsfrister for opbevaring og revision Medlemsstaternes tilgange til gennemførelse af fristerne for opbevaring og revision af personoplysninger i retshåndhævelsesdirektivet varierer betydeligt. De fleste nationale databeskyttelsesretsakter om gennemførelse af retshåndhævelsesdirektivet opfylder kun det generelle krav i direktivets artikel 5. Dette betyder, at frister for sletning af personoplysninger eller for regelmæssig revision af behovet for at opbevare personoplysninger skal fastsættes i den sektorspecifikke lovgivning. Enkelte medlemsstater gennemfører bestemmelsen ved at fastsætte tidsfrister i den sektorspecifikke lovgivning. I nogle medlemsstater fastsættes fristerne imidlertid af den kompetente myndighed i henhold til loven. I nogle tilfælde indeholder loven ingen kriterier for den regelmæssige revision, og det kræves ikke, at sådanne kriterier fastsættes i anden lovgivning, og/eller det er ikke fastsat, at procedurer til sikring af, at fristerne overholdes, også skal fastsættes i national ret. Det bemærkes, at Bulgariens øverste forvaltningsdomstol for nylig har anmodet EU-Domstolen om at besvare dens anmodning om en præjudiciel afgørelse vedrørende fortolkningen af retshåndhævelsesdirektivets artikel 5 vedrørende fristerne for opbevaring af personoplysninger . 2.2.5Retsgrundlag for behandling, herunder særlige kategorier af personoplysninger De fleste medlemsstater har — med en formulering, der ofte stemmer nøje overens med retshåndhævelsesdirektivets artikel 8 — fastsat, at retsgrundlaget for behandling skal fastsættes i EU-retten eller i medlemsstaternes lovgivning. Nogle nationale databeskyttelsesretsakter til gennemførelse af retshåndhævelsesdirektivet afspejler imidlertid ikke kravet om, at de personoplysninger, der skal behandles, og formålene med behandlingen bør fastsættes ved lov. Andre nationale databeskyttelsesretsakter til gennemførelse af retshåndhævelsesdirektivet indeholder ikke alle de bestemmelser, der svarer til artikel 8. Det er op til den nationale lovgivning at fastsætte grundlaget for behandling og opfylde kravene i artikel 8. En simpel gentagelse af de generelle krav i direktivets artikel 8 i den nationale lov kan desuden ikke betragtes som et tilstrækkeligt retsgrundlag for en specifik behandlingsaktivitet: Den myndighed, der er kompetent til at behandle personoplysningerne, de offentlige opgaver, den udfører, som begrunder en sådan behandling, og formålet med behandlingen skal angives i den nationale lov. Hvad angår behandling af særlige kategorier af personoplysninger, kræver de fleste medlemsstater, at det er strengt nødvendigt at behandle dem. De fleste medlemsstater har også samme retsgrundlag for behandling af følsomme oplysninger som fastsat i retshåndhævelsesdirektivets artikel 10 (behandling, hvis hjemlet ved lov, for at beskytte den registreredes eller en anden fysisk persons vitale interesser, hvis denne behandling vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede). I enkelte medlemsstater indeholder gennemførelseslovgivningen visse yderligere grunde til databehandling (f.eks. hvis behandlingen af sådanne oplysninger er nødvendig for at afværge eller forebygge en fare, der direkte truer personers liv, fysiske integritet eller aktiver, eller for at beskytte den registreredes eller en anden persons helbred eller interesser). Hvis den nationale databeskyttelsesretsakt til gennemførelse af retshåndhævelsesdirektivet ikke giver de nødvendige garantier for de registreredes rettigheder og frihedsrettigheder (som det er tilfældet i nogle medlemsstater), skal sådanne garantier være fastsat i den sektorspecifikke lovgivning. I enkelte nationale gennemførelseslove henvises der til samtykke i forbindelse med behandling af personoplysninger, herunder behandling af særlige kategorier af personoplysninger. Selv om medlemsstaterne ikke er afskåret fra i deres nationale lovgivning at fastsætte bestemmelser om, at den registrerede kan acceptere behandling af vedkommendes personoplysninger til retshåndhævelsesformål, skal det bemærkes, at dette samtykke kun kan tjene som en garanti og ikke kan udgøre retsgrundlaget for en sådan behandling. Drøftelserne om dette spørgsmål viser, at det ville være nyttigt at have flere retningslinjer for samtykkets rolle i forbindelse med behandling af personoplysninger med henblik på strafferetlig håndhævelse. 2.2.6Automatiske afgørelser

Alle medlemsstaternes gennemførelseslove indeholder bestemmelser, der forbyder en afgørelse, som udelukkende er baseret på automatisk behandling, medmindre det er fastsat ved lov. De fleste medlemsstaters gennemførelseslovgivning kræver, at sådanne afgørelser ikke er baseret på særlige kategorier af personoplysninger, medmindre der gives passende garantier. De forbyder også profilering, der fører til forskelsbehandling. I nogle nationale lovgivninger henvises der imidlertid ikke til de fornødne garantier for den registreredes rettigheder og frihedsrettigheder i tilfælde, hvor automatiske afgørelser er tilladt ved lov. Mere specifikt fastsætter ikke alle medlemsstater bestemmelser om retten til menneskelig indgriben fra den dataansvarliges side eller kræver ikke passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser. 2.2.7De registreredes rettigheder Alle medlemsstaterne har valgt at gøre brug af direktivets mulighed for at begrænse registreredes ret til indsigt i deres personoplysninger. De fleste medlemsstater fastsætter også andre begrænsninger af de registreredes rettigheder. De nationale databeskyttelsesretsakter til gennemførelse af retshåndhævelsesdirektivet følger ofte kun direktivets generelle formuleringer uden yderligere præcisering af de omstændigheder, hvorunder begrænsningerne finder anvendelse. I sådanne tilfælde skal disse omstændigheder og betingelser præciseres i sektorspecifik lovgivning, da det ellers ville give de registeransvarlige skønsbeføjelser med hensyn til anvendelsen af disse begrænsninger. De fleste medlemsstater overholder direktivets krav om at gøre det muligt for registrerede at udøve deres rettigheder via datatilsynsmyndigheden. De fleste medlemsstater har benyttet sig af muligheden for at fastsætte, at de registreredes rettigheder skal udøves i overensstemmelse med national ret i forbindelse med nationale strafferetlige efterforskninger og straffesager. Flere medlemsstaters gennemførelseslove afspejler ikke alle direktivets specifikke krav med hensyn til den måde, hvorpå de registreredes rettigheder skal udøves (f.eks. format og kommunikationsmidler i forbindelse med svar samt gebyrfrihed). Der verserer en præjudiciel afgørelse indgivet af en tysk domstol vedrørende fortolkningen af begrænsningerne af registreredes ret til indsigt i deres oplysninger (direktivets artikel 15 sammenholdt med dets artikel 54), retten til effektive retsmidler i henhold til chartrets artikel 47 og erhvervsfriheden i henhold til chartrets artikel 15. 2.2.8Vigtige bestemmelser, der er specifikke for retshåndhævelsesdirektivet Nogle af direktivets bestemmelser er specifikke for strafferetlig håndhævelse, og der findes ingen tilsvarende bestemmelser i persondataforordningen. Kategorier af registrerede I henhold til retshåndhævelsesdirektivet skal medlemsstaterne kræve, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede (f.eks. personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling ("mistænkte")). I nogle medlemsstaters lovgivning specificeres de kategorier, der er nævnt i direktivet, ikke (i et vist omfang eller overhovedet). Når kategorien "mistænkte" specificeres, kræver visse nationale love ikke, at der skal være "væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling". EU-Domstolen vil med sin kommende afgørelse i den verserende sag Ministerstvo na vatreshnite raboti mod B.C. yderligere præcisere fortolkningen af retshåndhævelsesdirektivet med hensyn til kategorier af registrerede, herunder kravet om, at kategoriseringen af en registreret som mistænkt skal være betinget af, at der foreligger "væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling" . Sondring mellem kategorier af personoplysninger og kontrol med kvaliteten af personoplysninger Medlemsstaterne skal fastsætte bestemmelser om, at der så vidt muligt skal sondres mellem personoplysninger, der bygger på faktiske omstændigheder, og personoplysninger, der bygger på personlige vurderinger. De skal også træffe foranstaltninger for at sikre, at personoplysninger, som er urigtige, ufuldstændige eller ikke ajourførte, ikke videregives eller stilles til rådighed. Hvis der er videregivet ukorrekte oplysninger, bør modtagerne straks underrettes, og i sådanne tilfælde skal personoplysningerne berigtiges eller slettes, eller deres behandling skal begrænses. De fleste medlemsstater har gennemført dette krav, men nogle af de krævede specifikke foranstaltninger er ikke fastsat udtrykkeligt i flere nationale gennemførelseslove. Logning I alt 12 medlemsstater har benyttet sig af muligheden for først at bringe deres automatiske databehandlingssystemer i overensstemmelse med kravene til logning i maj 2023. De fleste medlemsstater sørger for, at der foretages logning af behandlingsaktiviteter i automatiske databehandlingssystemer. I nogle nationale love kræves det ikke, at der foretages logning af alle typer aktiviteter. Retshåndhævelsesdirektivet fastsætter de typer oplysninger, som loggene som minimum skal indeholde. I nogle nationale love har man ikke medtaget alle de krævede typer oplysninger (f.eks. begrundelsen for søgningen eller videregivelse af personoplysninger). 3De første erfaringer med retshåndhævelsesdirektivets anvendelse og funktion 3.1Klager og positiv indvirkning på registreredes rettigheder Retshåndhævelsesdirektivet sikrer beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig retten til databeskyttelse. Det fastlægger en omfattende ramme for den registreredes rettigheder og for, hvordan disse rettigheder kan udøves, herunder den registreredes ret til information og retten til at få indsigt i, berigtige eller slette sine personoplysninger og retten til at begrænse behandlingen. Retshåndhævelsesdirektivet har styrket de registreredes forståelse af deres rettigheder og af den måde, hvorpå de kan udøve dem, hvilket afspejles i en stigning i antallet af anmodninger til de kompetente myndigheder. Praksis har vist, at blandt de rettigheder, der tillægges registrerede efter retshåndhævelsesdirektivet, er retten til indsigt og sletning den ret, der hyppigst påberåbes over for de kompetente myndigheder . I henhold til retshåndhævelsesdirektivet kan der indføres begrænsninger for visse rettigheder (retten til indsigt og retten til berigtigelse eller sletning) og for de oplysninger, som en dataansvarlig skal give den registrerede i forbindelse med de personoplysninger, der er blevet behandlet. Registrerede kan anmode datatilsynsmyndighederne om at kontrollere en kompetent myndigheds begrænsning af den pågældende rettighed eller anmode dem om at kontrollere, om begrænsningen blev gennemført i overensstemmelse med retshåndhævelsesdirektivet (indirekte udøvelse af retten) . Omtrent halvdelen af datatilsynsmyndighederne rapporterer, at de har modtaget en sådan anmodning. Praksis viser, at antallet af modtagne anmodninger kan variere betydeligt (der blev f.eks. modtaget én sådan anmodning i Kroatien, men mere end 1 500 i Frankrig). Efter en kontrol eller en gennemgang af disse klager fandt datatilsynsmyndighederne, at de fleste var grundløse, men den dataansvarlige blev i flere tilfælde pålagt at berigtige eller slette personoplysningerne eller at begrænse behandlingen af personoplysninger for derved at sikre en korrekt anvendelse af begrænsningerne. I henhold til retshåndhævelsesdirektivet kan et organ, en organisation eller en sammenslutning, som ikke arbejder med gevinst for øje, indgive en klage på vegne af en registreret. Denne mulighed synes at være underudnyttet (kun fire datatilsynsmyndigheder rapporterede, at de havde modtaget sådanne klager fra et repræsentativt organ)). Civilsamfundsorganisationer rapporterede tilsvarende kun et meget lille antal anmodninger om at indgive en sådan klage.

Enkeltpersoner udøver også i stigende grad deres ret til at indgive klager til datatilsynsmyndighederne, herunder i tilfælde, hvor de kompetente myndigheder begrænser udøvelsen af de registreredes rettigheder. Mere end en tredjedel af datatilsynsmyndighederne rapporterede om en stigning i antallet af klager, der blev modtaget efter gennemførelsen af retshåndhævelsesdirektivet i deres medlemsstater . Nogle af klager, som datatilsynsmyndigheder oftest modtog, vedrørte begrænsningen af retten til indsigt , retten til berigtigelse eller sletning samt retten til information og begrænsningerne heraf . Disse blev efterfulgt af klager vedrørende princippet om begrænsning af opbevaring, som kræver, at de kompetente myndigheder ikke opbevarer personoplysninger længere end nødvendigt, og om retten til information. 3.2Øget bevidsthed om databeskyttelse hos de kompetente myndigheder Medlemsstaterne rapporterer, at indførelsen af retshåndhævelsesdirektivet har haft og fortsat har stor indvirkning på de kompetente myndigheders bevidsthed om betydningen af databeskyttelse. Flere datatilsynsmyndigheder har tilkendegivet, at den største virkning af retshåndhævelsesdirektivet har været styrkelsen af bevidstheden og fokusset på databeskyttelsesspørgsmål og registreredes rettigheder . Dette fremgik også af udvekslinger mellem datatilsynsmyndigheder og kompetente myndigheder om de registreredes rettigheder og de nærmere bestemmelser om udøvelsen af disse rettigheder . Nogle kompetente myndigheder rapporterede, at de som følge heraf havde afsat flere ressourcer til databeskyttelse . Dette omfattede investering i indarbejdelsen af princippet om beskyttelse af privatlivets fred gennem design og gennem standardindstillinger i deres IT-systemer, fastsættelse af dataopbevaringsperiode, anvendelse af princippet om dataminimering og rapportering af brud på datasikkerheden. Den generelle sikkerhed for de behandlede data er således blevet forbedret . Uddannelses- og oplysningsaktiviteter, der gennemføres af datatilsynsmyndigheder, bidrager også til en korrekt gennemførelse af retshåndhævelsesdirektivet, og datatilsynsmyndighederne har til opgave at øge bevidstheden blandt dataansvarlige og databehandlere om deres forpligtelser i henhold til retshåndhævelsesdirektivet. Mange datatilsynsmyndigheder øger bevidstheden ved at offentliggøre retningslinjer. Nogle af de emner, som de forskellige datatilsynsmyndigheder dækker, omfatter f.eks.: assistancen til retsvæsenet, anklagemyndigheden og politimyndighederne med hensyn til at overholde princippet om ansvarlighed, udveksling af personoplysninger med politiet, udpegelse af en databeskyttelsesrådgiver, udførelse af en konsekvensanalyse af databeskyttelse, behandling af data vedrørende f.eks. organiseret kriminalitet og terrorisme, registrering af behandlingsaktiviteter og logning, videoovervågning, udlevering af oplysninger til registrerede, anmeldelse af brud på datasikkerheden, de registeransvarliges forpligtelser og enkeltpersoners udøvelse af rettigheder. Otte datatilsynsmyndigheder har imidlertid endnu ikke udstedt retningslinjer og/eller praktiske værktøjer til at hjælpe de kompetente myndigheder og databehandlere med at opfylde deres forpligtelser. 12 datatilsynsmyndigheder har endnu ikke tilbudt uddannelse eller gennemført oplysningsaktiviteter for kompetente myndigheder eller databehandlere inden for rammerne af retshåndhævelsesdirektivet. De datatilsynsmyndigheder, der udførte sådanne aktiviteter, haft oftest fokus på følgende emner: behandling af oplysninger foretaget af politiet, anklagemyndighederne og de retslige og strafferetlige myndigheder, definition af de respektive anvendelsesområder for persondataforordningen og retshåndhævelsesdirektivet, anvendelse af personoplysninger fra sociale medier, behandling af oplysninger i politiregistre, videoovervågningsteknikker og big data, håndtering af de registreredes rettigheder og behandling af indsattes personoplysninger . En anden nyskabelse i retshåndhævelsesdirektivet er kravet om, at dataansvarlige skal udpege en databeskyttelsesrådgiver, hvis opgaver bl.a. omfatter information og rådgivning om databeskyttelseskrav, overvågning af overholdelsen af retshåndhævelsesdirektivet, rådgivning om konsekvensanalyser vedrørende databeskyttelse og overvågning af resultaterne heraf. Dette har bevirket, at de kompetente myndigheder er blevet mere bevidste om deres databeskyttelsesforpligtelser, og det har haft en positiv indvirkning på de kompetente myndigheders overholdelse af databeskyttelsesreglerne, hvilket Rådet også har anerkendt . Det er vigtigt at investere i udvikling og maksimering af databeskyttelsesrådgiveres ekspertise og viden for at hjælpe de kompetente myndigheder med at anvende retshåndhævelsesdirektivet konsekvent. Kommissionen har derfor oprettet og støtter netværket af databeskyttelsesrådgivere hos kompetente myndigheder, agenturer inden for retlige og indre anliggender og Den Europæiske Anklagemyndighed. Netværket er et permanent initiativ, der har til formål at sikre, at medlemsstaternes kompetente myndigheder anvender retshåndhævelsesdirektivet korrekt. Det sigter mod at etablere en platform for samarbejde og udveksling af ekspertise mellem medlemsstaternes databeskyttelsesrådgivere. Europol Data Protection Experts Network (EDEN) og de nationale netværk af kompetente myndigheders databeskyttelsesrådgivere er vigtige initiativer, der hjælper databeskyttelsesrådgiverne med at fremme udvekslingen af bedste praksis og oplysninger om anvendelsen af retshåndhævelsesdirektivet. 3.3Forbedret datasikkerhed, men forskelle med hensyn til anmeldelser af brud på datasikkerheden Retshåndhævelsesdirektivet har forbedret sikkerheden for personoplysninger ved at kræve, at de kompetente myndigheder træffer foranstaltninger for at nå specifikke sikkerhedsmål. Det kræver f.eks., at de kompetente myndigheder foretager konsekvensanalyser vedrørende databeskyttelse, når en databehandlingsaktivitet sandsynligvis vil medføre en høj risiko for de registreredes rettigheder og frihedsrettigheder. Konsekvensanalyserne omfatter identificering af risici og foranstaltninger til at afbøde dem. Dette krav og den tvungne overholdelse af princippet om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger samt krav om anmeldelse af brud på datasikkerheden førte til en forbedring af sikkerheden i forbindelse med behandling af personoplysninger . Rådet har også anerkendt dette og konstateret, at retshåndhævelsesdirektivet har forbedret datasikkerhedsniveauet, herunder gennem sikkerhedsplaner, ajourføring af IT-systemer og organisatoriske foranstaltninger, konsekvensanalyse af databeskyttelse og krav om, at de kompetente myndigheder skal logge bestemte behandlingsaktiviteter. I retshåndhævelsesdirektivet fastsættes de omstændigheder, hvorunder de dataansvarlige skal underrette deres tilsynsmyndighed og den berørte registrerede om et brud på persondatasikkerheden. På trods af denne forpligtelse er der stor forskel på det antal brud på datasikkerheden, der er blevet anmeldt til datatilsynsmyndighederne siden indførelsen af retshåndhævelsesdirektivet . Seks datatilsynsmyndigheder rapporterede, at de ikke havde modtaget nogen anmeldelser af brud på datasikkerheden , og flere andre rapporterede, at de kun havde modtaget ganske få sådanne anmeldelser. Den italienske myndighed havde f.eks. kun modtaget tre anmeldelser af brud på datasikkerheden, og den franske havde modtaget otte, mens den nederlandske myndighed havde modtaget over 500. Denne forskel i antallet af indberettede anmeldelser af brud på datasikkerheden viser (efter hensyntagen til f.eks. befolkningsstørrelse), at der er forskellig praksis mellem medlemsstaternes kompetente myndigheder med hensyn til, hvad der betragtes som et brud, og hvornår det skal indberettes til en tilsynsmyndighed. Kommissionen bemærkede også dette i sin rapport om persondataforordningen. Databeskyttelsesrådet har for nylig offentliggjort retningslinjer vedrørende brud på datasikkerheden i henhold til persondataforordningen . Disse retningslinjer er også relevante for brud på datasikkerheden i henhold til retshåndhævelsesdirektivet. De bør derfor bidrage til en mere ensartet tilgang til håndtering af brud på datasikkerheden i henhold til retshåndhævelsesdirektivet på tværs af medlemsstaterne. 3.4Datatilsynsmyndighedernes tilsyn 3.4.1Datatilsynsmyndighedernes ressourcer Det er en forudsætning for en effektiv udførelse af deres opgaver og udøvelsen af deres beføjelser, at de enkelte datatilsynsmyndigheder råder over de nødvendige menneskelige, tekniske og finansielle ressourcer, lokaler og infrastrukturer, og er derfor en væsentlig betingelse for deres uafhængighed. Kommissionen har konsekvent understreget, at medlemsstaterne har pligt til at tildele tilstrækkelige menneskelige, finansielle og tekniske ressourcer til datatilsynsmyndighederne. Rådet har også specifikt opfordret medlemsstaterne til at tildele tilstrækkelige menneskelige, tekniske og finansielle ressourcer til datatilsynsmyndighederne. Den generelle udvidelse af personalet hos datatilsynsmyndighederne i de senere år synes imidlertid ikke at vedrøre opgaver med relation til retshåndhævelsesdirektivet. Antallet af medarbejdere, der arbejder med retshåndhævelsesdirektivet, er forblevet uændret eller er endda faldet hos halvdelen af datatilsynsmyndighederne. En eventuel stigning har været meget beskeden og udgør i gennemsnit under to fuldtidsækvivalenter. Hos næsten halvdelen af datatilsynsmyndighederne (herunder myndigheder med et samlet antal ansatte på over 100 fuldtidsækvivalenter) arbejder 1-7% af personalet med retshåndhævelsesdirektivet. I absolutte tal tildeler ca. halvdelen af datatilsynsmyndighederne mellem en og fire fuldtidsækvivalenter til opgaver vedrørende retshåndhævelsesdirektivet, og otte datatilsynsmyndigheder tildeler mellem syv og 15 fuldtidsækvivalenter til sådanne opgaver. En datatilsynsmyndighed har imidlertid 53 fuldtidsækvivalenter, der arbejder med retshåndhævelsesdirektivet. Databeskyttelsesrådets sekretariat har ligeledes afsat færre end 1,5 fuldtidsækvivalenter til spørgsmål, der udelukkende vedrører retshåndhævelsesdirektivet. Denne situation er ikke tilfredsstillende, selv om ti datatilsynsmyndigheder har tilkendegivet, at de har tilstrækkelige finansielle, menneskelige og tekniske ressourcer. 16 datatilsynsmyndigheder anførte på den anden side, at de ikke har tilstrækkelige ressourcer. Nogle af disse myndigheder bemærkede, at dette havde en negativ indvirkning på deres undersøgelser på eget initiativ, deres behandling af klager, kontrollen af store IT-systemer (SIS og VIS) og afgivelsen af udtalelser på eget initiativ. Sektorens særlige karakteristika betyder, at en effektiv håndhævelse af retshåndhævelsesdirektivet kræver systematisk kontrol af behandlingsaktiviteter, som ofte er komplekse, og at dette ikke er tilstrækkeligt at basere sig på individuelle klager (som er langt færre end i forbindelse med persondataforordningen). Datatilsynsmyndighederne har endvidere påpeget manglen på IT-ekspertise til at håndtere de stadig mere komplicerede IT-teknologier, der anvendes på retshåndhævelsesområdet.

3.4.2Anvendelse af beføjelser Anvendelse af korrigerende beføjelser I alt 19 datatilsynsmyndigheder har anvendt deres undersøgelsesbeføjelser, enten på eget initiativ eller på grundlag af en klage. Datatilsynsmyndigheder rapporterede kun om vanskeligheder i meget få tilfælde (f.eks. når en dataansvarlig ikke fremlagde alle de relevante oplysninger eller nægtede adgang til oplysninger). De samme 19 datatilsynsmyndigheder anvendte også deres korrigerende beføjelser. Langt den hyppigst anvendte beføjelse var at udstede påbud om at bringe behandlingen i overensstemmelse med lovgivningen, herunder påbud om at berigtige eller slette personoplysninger eller begrænse behandlingen heraf. Datatilsynsmyndighederne anvendte denne beføjelse i 114 tilfælde. Den omstændighed, at denne beføjelse til at pålægge en midlertidig eller definitiv begrænsning (herunder et forbud) af behandling kun blev anvendt i fire tilfælde, viser, at datatilsynsmyndighederne har anvendt disse beføjelser omhyggeligt. Anvendelse af rådgivningsbeføjelser Systematisk forudgående høring og anmodning om en udtalelse fra datatilsynsmyndighederne om udkast til lovgivningsmæssige og administrative foranstaltninger er et effektivt middel til at sikre et højt beskyttelsesniveau for retten til beskyttelse af personoplysninger og mindske antallet af efterfølgende klager. Forudgående høring af datatilsynsmyndighederne er af særlig betydning, når der anvendes nye teknologier, som kan have en betydelig indvirkning på de grundlæggende rettigheder. Halvdelen af datatilsynsmyndighederne rapporterede, at de var blevet hørt om konsekvensanalyser vedrørende databeskyttelse. Antallet af forudgående høringer varierer fra medlemsstat til medlemsstat. Nogle myndigheder blev kun hørt én gang, mens en anden myndighed deltog i 59 forudgående høringer. I de fleste af disse tilfælde ydede datatilsynsmyndighederne skriftlig rådgivning og anvendte i nogle tilfælde deres korrigerende beføjelser i forbindelse med behandlingen — de udstedte navnlig advarsler eller beordrede foranstaltninger til at bringe databehandlingen i overensstemmelse med lovgivningen. I et tilfælde afgav datatilsynsmyndigheden en negativ udtalelse, som øjensynligt har haft samme virkning som et forbud mod behandling. Datatilsynsmyndighederne behandler tilsyneladende også anmodninger om rådgivning uden for den forudgående høringsprocedure. Den mest almindelige type spørgsmål, hvor de kompetente myndigheder henvendte sig til datatilsynsmyndighederne for at få rådgivning om specifikke typer behandling (navnlig anvendelse af nye teknologier, mekanismer eller procedurer, tæt fulgt af passende sikkerhedsforanstaltninger, behandling af særlige kategorier af personoplysninger, fastlæggelse af retsgrundlaget for behandlingen, princippet om begrænsning af opbevaring og passende tidsfrister). 22 datatilsynsmyndigheder afgav desuden udtalelser til deres nationale parlamenter og regeringer om lovgivningsmæssige og administrative foranstaltninger vedrørende behandling af personoplysninger. Flere anførte, at de lejlighedsvis bliver hørt. 3.4.3Domstolsprøvelse af datatilsynsmyndighedernes foranstaltninger Næsten halvdelen af datatilsynsmyndighederne anførte, at der i få tilfælde blev anlagt retssag mod dem vedrørende deres afgørelser eller passivitet. Sagerne blev hovedsagelig indledt af registrerede og i nogle få tilfælde af kompetente myndigheder. Flere sager var blevet afvist af domstolene eller var blevet trukket tilbage af sagsøgerne. Retten stadfæstede databeskyttelsesmyndighedens afgørelse i de fleste af de resterende sager, men omstødte den i nogle tilfælde (og andre sager verserede stadig). Det begrænsede antal domme, der hidtil er afsagt, betyder, at det endnu ikke er muligt at påvise en klar tendens. 3.4.4Databeskyttelsesrådets retningslinjer Konsekvens og et højt beskyttelsesniveau mellem medlemsstaterne er afgørende for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde. I henhold til retshåndhævelsesdirektivet udsteder databeskyttelsesrådet retningslinjer, henstillinger og bedste praksis (på eget initiativ eller på Kommissionens anmodning) for at sikre, at medlemsstaterne anvender retshåndhævelsesdirektivet på en ensartet måde. Databeskyttelsesrådet har udarbejdet retningslinjer specifikt vedrørende retshåndhævelsesdirektivet, som er relevante for kapitel V (internationale overførsler), retningslinjer for brug af ansigtsgenkendelsesteknologier og (i dets tidligere egenskab af Artikel 29-Gruppen) en udtalelse om visse centrale dele af retshåndhævelsesdirektivet. Mange af Databeskyttelsesrådets retningslinjer vedrørende persondataforordningen er også relevante for retshåndhævelsesdirektivet, for så vidt som de benytter fælles koncepter eller teknologier. Sådanne retningslinjer omfatter retningslinjerne vedrørende begrebet dataansvarlig og databehandler, registreredes rettigheder, anmeldelse af brud på persondatasikkerheden, konsekvensanalyser vedrørende databeskyttelse, princippet om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger og individuelle automatiske afgørelser. Udarbejdelsen af omfattende og praktiske retningslinjer kræver et betydeligt arbejde og betydelige ressourcer, men vejledning er afgørende (som Rådet også har bemærket). Det er derfor meget positivt, at Databeskyttelsesrådet har tilkendegivet, at det snart vil give yderligere vejledning, herunder om begrebet datatilsynsmyndighedernes effektive undersøgelsesbeføjelser og korrigerende beføjelser og om internationale overførsler, som er underlagt særlige garantier. Databeskyttelsesrådets retningslinjer kan også reducere datatilsynsmyndighedernes arbejdsbyrde (f.eks. opgaver som rådgivning af dataansvarlige eller behandling af klager). Flere af de spørgsmål, som behandles i Artikel 29-Gruppens udtalelse om centrale dele af retshåndhævelsesdirektivet (f.eks. relevante tidsfrister, retsgrundlaget for behandling og betingelserne for behandling af særlige kategorier af oplysninger), er blandt nogle af de hyppigst forekommende spørgsmål, som de kompetente myndigheder har anmodet datatilsynsmyndighederne om rådgivning om. 3.4.5Gensidig bistand For at sikre en ensartet anvendelse af retshåndhævelsesdirektivet skal datatilsynsmyndigheder yde gensidig bistand til hinanden. Dette omfatter bistand i form af anmodninger om oplysninger og anmodninger om at gennemføre høringer, inspektioner og undersøgelser. Gensidig bistand er imidlertid kun sjældent blevet udnyttet indtil videre. Kun seks datatilsynsmyndigheder har benyttet denne mulighed, primært som svar på anmodninger om oplysninger fra datatilsynsmyndigheder. De fleste datatilsynsmyndigheder anførte, at de kun havde modtaget én anmodning om oplysninger. Alle disse datatilsynsmyndigheder oplyste, at de efterkom den modtagne anmodning. Den frivillige udveksling af gensidig bistand, som ikke er underlagt en lovbestemt frist eller en ubetinget forpligtelse til at svare, er heller ikke blevet anvendt. Databeskyttelsesrådet har erklæret, at det vil offentliggøre retningslinjer for gensidig bistand inden for rammerne af persondataforordningen og retshåndhævelsesdirektivet. 3.5Fleksibelt instrument til internationale dataoverførsler Retshåndhævelsesdirektivets kapitel V omhandler overførsel af personoplysninger til kompetente myndigheder i tredjelande og internationale organisationer. Som bemærket ovenfor er en sådan kontinuitet i beskyttelsen en vigtig forudsætning for et hurtigt, effektivt og juridisk sikkert retshåndhævelsessamarbejde mellem betroede partnere.

I henhold til de relevante regler i retshåndhævelsesdirektivet skal internationale overførsler mellem kompetente myndigheder som omhandlet i retshåndhævelsesdirektivet være baseret på et af de forskellige overførselsværktøjer, der er omhandlet i retshåndhævelsesdirektivets artikel 36-38 (hvis oplysningerne stammer fra en anden medlemsstat, skal overførslen også på forhånd godkendes af den pågældende medlemsstat). Disse værktøjer omfatter afgørelser om tilstrækkeligheden af beskyttelsesniveauet, videregivelse baseret på fornødne garantier og anvendelse af undtagelser i særlige situationer. I henhold til retshåndhævelsesdirektivets artikel 39 kan der også foretages direkte overførsler til modtagere, som ikke er retshåndhævende myndigheder, som er etableret i tredjelande, i enkeltstående og specifikke tilfælde og på flere betingelser. 3.5.1Afgørelser om tilstrækkeligheden af beskyttelsesniveauet Kommissionen har fremskyndet sit arbejde for at udnytte det fulde potentiale af de værktøjer, der er til rådighed under retshåndhævelsesdirektivet. Dette omfattede for første gang vedtagelsen af en "afgørelse om tilstrækkeligheden af beskyttelsesniveauet", der omfatter databehandlingsaktiviteter med henblik på retshåndhævelse i henhold til retshåndhævelsesdirektivets artikel 36, med Det Forenede Kongerige i juni 2021 . Denne afgørelse om tilstrækkeligheden af beskyttelsesniveauet muliggør sikker og fri udveksling af personoplysninger med de kompetente myndigheder i det pågældende tredjeland, uden at der er behov for yderligere garantier eller særlig godkendelse (medmindre en anden medlemsstat, hvor oplysningerne er indhentet, skal godkende overførslen ). Afgørelsen om tilstrækkeligheden af beskyttelsesniveauet for Det Forenede Kongerige fra juni 2021 er et afgørende grundlag for politisamarbejde og retligt samarbejde efter brexit, som i henhold til handels- og samarbejdsaftalen mellem EU og Det Forenede Kongerige er baseret på "parternes mangeårige forpligtelse til at sikre et højt beskyttelsesniveau for personoplysninger" . I henhold til retshåndhævelsesdirektivets artikel 36, stk. 4, overvåger Kommissionen løbende enhver udvikling i Det Forenede Kongeriges retlige rammer, der kan påvirke virkningen af denne afgørelse. Denne afgørelse om tilstrækkeligheden af beskyttelsesniveauet for Det Forenede Kongerige forventes at finde anvendelse i en periode på fire år efter dens ikrafttræden, som i princippet kan forlænges med yderligere fire år, hvis Kommissionens overvågning bekræfter, at Det Forenede Kongerige stadig opretholder et tilstrækkeligt beskyttelsesniveau . Databeskyttelsesrådet har endvidere også bidraget til udviklingen af dette instrument ved at præcisere den retlige standard gennem vejledning om de elementer, der skal tages i betragtning ved vurderingen af tilstrækkeligheden i forbindelse med retshåndhævelse, med udstedelsen af dets reference vedrørende et tilstrækkeligt beskyttelsesniveau i retshåndhævelsesdirektivet . Tredjelandet skal navnlig sikre individuelle, der kan håndhæves, effektiv domstolsprøvelse og uafhængigt tilsyn. Kommissionen fremmer aktivt muligheden for sådanne afgørelser om tilstrækkeligheden af beskyttelsesniveauet i samarbejde med andre vigtige internationale partnere, navnlig de lande, hvor der er behov for et tæt og hurtigt samarbejde om bekæmpelsen af kriminalitet og terrorisme, og hvor der allerede udveksles store mængder personoplysninger. Der er endnu ikke vedtaget andre afgørelser om tilstrækkeligheden af beskyttelsesniveauet, men dette skyldes hovedsagelig, at dette instrument først er blevet indført for nylig. Hertil kommer, at den globale konvergens mellem databeskyttelsesreglerne inden for retshåndhævelse på det strafferetlige område først nu er begyndt at udvikle sig (f.eks. baseret på multilaterale ordninger såsom den moderniserede Europarådets konvention 108 eller den anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet), i modsætning til databehandling foretaget af kommercielle operatører. Ikke desto mindre vil erfaringerne fra vedtagelsen af tilstrækkelighedsafgørelsen med Det Forenede Kongerige bidrage til at bane vejen for lignende initiativer i de kommende år. Kommissionen vil som led i sin internationale strategi overveje andre mulige kandidater til fremtidige tilstrækkelighedsafgørelser i henhold til retshåndhævelsesdirektivet og vil gøre dette i direkte kontakt med andre relevante EU-institutioner og -organer. Med henblik herpå og i overensstemmelse med betragtning 68 til retshåndhævelsesdirektivet vil Kommissionen lægge særlig vægt på de vurderede landes internationale forpligtelser med hensyn til beskyttelse af personoplysninger, herunder tiltrædelse af de førnævnte multilaterale ordninger eller andre retshåndhævelsesinstrumenter, der giver fornødne databeskyttelsesgarantier. 3.5.2Fornødne garantier Retshåndhævelsesdirektivet indeholder andre overførselsinstrumenter ud over den omfattende løsning med en afgørelse om tilstrækkeligheden af beskyttelsesniveauet. Fleksibiliteten i denne "værktøjskasse" afspejles i retshåndhævelsesdirektivets artikel 37, som regulerer dataoverførsler baseret på "fornødne garantier" med hensyn til beskyttelse af personoplysninger. Sådanne fornødne garantier kan fastsættes ved et retligt bindende instrument, eller hvis den dataansvarlige på grundlag af en vurdering af alle omstændighederne omkring overførslen konkluderer, at der foreligger fornødne garantier (den såkaldte "egenvurdering" i forbindelse med overførsler). I de første år af retshåndhævelsesdirektivets anvendelse fokuserede Kommissionen navnlig på bindende retlige instrumenter i form af internationale aftaler, der fastsætter de fornødne garantier. Sådanne aftaler spiller en vigtig rolle i forbindelse med både "traditionelle" (dvs. samarbejde mellem kompetente myndigheder) og andre former for retshåndhævelsessamarbejde (dvs. samarbejde, der involverer tredjeparter, f.eks. private virksomheder). De kan også udgøre et grundlag for Europols og Eurojusts dataoverførsler inden for deres respektive retlige rammer, hvis regler om internationale overførsler ligner reglerne i retshåndhævelsesdirektivet. Med hensyn til traditionelle former for retshåndhævelsessamarbejde reviderer Kommissionen aktuelt de internationale aftaler, der blev indgået inden retshåndhævelsesdirektivets ikrafttræden, med henblik på at sikre overensstemmelse med EU's moderniserede databeskyttelsesordning . Kommissionen vurderer for det første databeskyttelsesbestemmelserne i Europols eksisterende samarbejdsaftaler med tredjelande, som er indgået inden den 1. maj 2017, jf. forordning (EU) 2016/794 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde ("Europolforordningen) . I overensstemmelse med artikel 9 i protokol nr. 36 til traktaten om Den Europæiske Union og TEUF (om overgangsbestemmelser) er retsvirkningerne af disse aftaler blevet bevaret, indtil disse aftaler ophæves, annulleres eller ændres . Kommissionen vil underrette Europa-Parlamentet og Rådet om resultaterne af denne vurdering og vil, hvis det er relevant, forelægge Rådet en henstilling med henblik på en afgørelse om bemyndigelse til indledning af forhandlinger om ændring af de pågældende aftaler, jf. artikel 218 i TEUF. Dette er en kompleks opgave, som indebærer en vurdering af 18 aftaler, og som blev forsinket af de forsinket af de forstyrrelser, som covid-19-pandemien har forårsaget. Kommissionen forventer at afslutte sin vurdering i andet halvår 2022. Overensstemmelse mellem alle retshåndhævelsessamarbejdsmekanismer og reglerne i retshåndhævelsesdirektivet er et vejledende princip, som Kommissionen også følger, når den forhandler nye aftaler om Europols overførsel af personoplysninger til tredjelande eller internationale organisationer. Siden den nuværende Europolforordning trådte i kraft i 2017, har artikel 218 i TEUF været retsgrundlaget for sådanne internationale aftaler, der sikrer de fornødne garantier. I 2018 og 2019 vedtog Rådet ni mandater til Kommissionen om indledning af forhandlinger med tredjelande på Unionens vegne. Kommissionen har også fået bemyndigelse til at indlede forhandlinger om en samarbejdsaftale med Interpol om udveksling af data med en række EU-organer og -agenturer. I alle disse tilfælde har Rådet udstedt forhandlingsdirektiver til Kommissionen med henblik på at sikre, at de fornødne garantier for beskyttelse af personoplysninger og fysiske personers øvrige grundlæggende rettigheder og frihedsrettigheder medtages. Der er desuden gjort fremskridt i forhandlingerne med Israel. Med hensyn til Tyrkiet er forhandlingerne på et fremskredent stadium, men kan ikke afsluttes, før Tyrkiet har vedtaget de nødvendige reformer af landets databeskyttelseslovgivning. Der blev givet lignende bemyndigelser i marts 2021 til forhandling af samarbejdsaftaler om Eurojusts udveksling af oplysninger med 13 tredjelande. Kommissionen gennemfører for det andet aktuelt den første fælles revision af aftalen mellem Amerikas Forenede Stater og Den Europæiske Union om beskyttelse af personoplysninger i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger (paraplyaftalen). Paraplyaftalen, som trådte i kraft i februar 2017, indeholder et omfattende og harmoniseret sæt databeskyttelsesregler, som gælder for alle transatlantiske udvekslinger mellem kompetente myndigheder. Den supplerer de eksisterende aftaler mellem EU og USA og mellem retshåndhævende myndigheder i EU's medlemsstater og USA, fastsætter en standard for et højt beskyttelsesniveau for fremtidige aftaler på dette område og styrker samarbejdet om retshåndhævelse ved at lette udvekslingen af oplysninger. Den fælles revision har til formål at vurdere den effektive gennemførelse af paraplyaftalen, navnlig med hensyn til bestemmelserne om videreoverførsel, individuelle rettigheder og domstolsprøvelse. Tidsplanen for den fælles revision blev påvirket af forstyrrelserne i forbindelse med covid-19-pandemien og af de parallelle forhandlinger om den anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet . Kommissionen forventer, at dette arbejde vil blive afsluttet i andet halvår 2022. Som den første bilaterale internationale aftale, der indeholder et omfattende katalog af databeskyttelsesrettigheder og -forpligtelser, er paraplyaftalen et referencepunkt for forhandlinger om lignende rammeaftaler med vigtige partnere på området for strafferetlig håndhævelse. I denne sammenhæng vil Kommissionen også tage hensyn til den relevante udvikling, herunder Databeskyttelsesrådets retningslinjer, EU-Domstolens retspraksis og resultatet af internationale forhandlinger om databeskyttelsesgarantier på dette område (f.eks. den anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet eller Europolaftalen med New Zealand). Kommissionen har for det tredje udpeget aftalen mellem Den Europæiske Union og Japan om gensidig retshjælp i straffesager som en EU-retsakt om databehandling (overførsler) med henblik på strafferetlig håndhævelse, som skal ændres for at sikre de fornødne databeskyttelsesgarantier i overensstemmelse med retshåndhævelsesdirektivet. Efter Rådets vedtagelse af en afgørelse om bemyndigelse til at indlede forhandlinger om ændring af aftalen om gensidig retshjælp i straffesager mellem EU og Japan følger Kommissionen op på de indledende kontakter med de japanske myndigheder med henblik på at indlede forhandlinger så hurtigt som muligt. Desuden benyttes der i stigende grad andre former for samarbejde, som er tilpasset de specifikke udfordringer og behov i forbindelse med strafferetlige efterforskninger i den moderne digitale økonomi. Disse vedrører hovedsagelig forstærket samarbejde inden for IT-kriminalitet og indsamling af elektronisk bevismateriale vedrørende strafbare handlinger. Dette samarbejde omfatter direkte samarbejde med private parter om adgang til elektronisk bevismateriale. Kommissionen har også samarbejdet med internationale partnere med henblik på at sikre, at disse andre (vigtige) former for samarbejde kan finde sted på grundlag af fornødne databeskyttelsesgarantier. Kommissionen repræsenterede for det første EU under forhandlingerne under Europarådets forhandlinger om en anden tillægsprotokol til Budapestkonventionen om IT-kriminalitet . Protokollen, som blev godkendt af Europarådets Ministerkomité den 17. november 2021, indeholder stærke garantier for beskyttelsen af de grundlæggende rettigheder, herunder en artikel med detaljerede bestemmelser om beskyttelse af personoplysninger, der overføres i henhold til protokollen. Disse bestemmelser dækker alle de væsentlige databeskyttelsesprincipper, -rettigheder og -forpligtelser, der er anerkendt i EU-retten. Disse garantier suppleres af en overvågningsbestemmelse og af muligheden for at suspendere overførsler i tilfælde af systematisk eller væsentlig overtrædelse af garantierne i protokollen, f.eks. mangel på effektive retsmidler. Gennem disse bestemmelser fastsættes der fornødne garantier i overensstemmelse med kravene i retshåndhævelsesdirektivets artikel 37, stk. 1, litra a) . Dette er et vigtigt resultat i betragtning af de forskelligartede medlemmer af Budapestkonventionen, som i øjeblikket har 66 statslige parter med meget forskellige retlige baggrunde og traditioner. Det vil give medlemsstaternes kompetente myndigheder mulighed for at drage fordel af et effektivt grænseoverskridende samarbejde om bekæmpelse af IT-kriminalitet, samtidig med at der sikres respekt for EU's værdier som afspejlet i EU's charter om grundlæggende rettigheder, EU-traktaterne og afledt EU-ret. I betragtning af det store antal parter i Budapestkonventionen, som i øjeblikket omfatter lande fra hele verden, vil protokollen også bidrage til at fremme høje databeskyttelsesstandarder for databehandling inden for retshåndhævelse på det strafferetlige område på globalt plan. Protokollen blev åbnet for undertegnelse den 12. maj 2022, og i alt 22 parter i Budapestkonventionen (herunder 13 EU-medlemsstater) har allerede undertegnet den. Kommissionen har for det andet indledt forhandlinger om en bilateral aftale med USA om grænseoverskridende adgang til elektronisk bevismateriale med henblik på retligt samarbejde i straffesager. Denne aftale har til formål at dække elektronisk bevismateriale i form af både andre data end personoplysninger og personoplysninger, herunder trafik- og indholdsdata. Det er vigtigt at bemærke, at forhandlingerne også sigter mod at medtage yderligere databeskyttelsesgarantier, der kan supplere garantierne i paraplyaftalen, under hensyn til navnlig følsomheden af de pågældende kategorier af data samt kravene til tjenesteudbyderes direkte overførsel af elektronisk bevismateriale. Fremskridtene med disse forhandlinger vil i høj grad afhænge af fremskridtene i den igangværende lovgivningsproces vedrørende EU's pakke om elektronisk bevismateriale . Disse forskellige initiativer fra Kommissionens side, som har til formål at udvikle internationale instrumenter, der kan lette retshåndhævelsessamarbejdet med internationale partnere og samtidig sikre de fornødne databeskyttelsesgarantier, er blevet støttet af både Databeskyttelsesrådet og EDPS. Dette omfatter Databeskyttelsesrådets erklæring om udkastet til den anden tillægsprotokol til Budapestkonventionen og EDPS' udtalelser om udkastene til forhandlingsmandater for internationale aftaler i henhold til artikel 218 i TEUF, som vil gøre det muligt for Europol og Eurojust at udveksle personoplysninger med tredjelande eller internationale organisationer . Databeskyttelsesrådet udsendte også en erklæring, hvori det opfordrede medlemsstaterne til at vurdere og om nødvendigt revidere internationale aftaler, der omfatter internationale overførsler af personoplysninger . Denne erklæring vedrører aftaler, der er indgået inden den 6. maj 2016, herunder vedrørende strafferetlig håndhævelse), og opfordrer medlemsstaterne til at fastlægge, om der er behov for yderligere tilpasning til EU's databeskyttelseslovgivning og retspraksis. I henhold til retshåndhævelsesdirektivets artikel 37 tillades også internationale dataoverførsler baseret på en kompetent myndigheds egenvurdering af, om et tredjeland (eller en international organisation) har fastsat de fornødne databeskyttelsesgarantier. I disse tilfælde skal myndigheden dokumentere overførslen (herunder dato og tidspunkt for overførslen, oplysninger om den modtagende kompetente myndighed, begrundelsen for overførslen og de overførte personoplysninger), og dokumentationen skal stilles til rådighed for tilsynsmyndigheden efter anmodning (retshåndhævelsesdirektivets artikel 37, stk. 3). Feedback fra medlemsstaterne viser, at dette værktøj sjældent er blevet anvendt.

For at medlemsstaterne kan udnytte mulighederne for overførsler i henhold til retshåndhævelsesdirektivet fuldt ud, er det vigtigt, at Databeskyttelsesrådet intensiverer sit igangværende arbejde med de forskellige overførselsmekanismer. Det bør bl.a. vejlede om mekanismerne i retshåndhævelsesdirektivets artikel 37, stk. 1, navnlig om overførsler baseret på de kompetente myndigheders egenvurderinger. Rådet har også understreget dette behov. 3.5.3Anvendelse af undtagelser Endelig udgør de såkaldte "undtagelser" en vigtig begrundelse for overførsler på visse betingelser, som er fastsat i retshåndhævelsesdirektivets artikel 38. Disse betingelser sikrer en balance mellem hensynet til privatlivets fred og de kompetente myndigheders operationelle behov. Artikel 38, stk. 1, giver navnlig mulighed for overførsler og endda kategorier af overførsler af personoplysninger, hvis dette er nødvendigt for at afværge en umiddelbar og alvorlig trussel mod den offentlige sikkerhed, eller i enkeltsager med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger. I modsætning til undtagelser, jf. persondataforordningens artikel 49, findes der i øjeblikket ingen vejledning for undtagelser omhandlet i retshåndhævelsesdirektivets artikel 38. 3.5.4Effektivt politisamarbejde og retligt samarbejde på tværs af grænserne Retshåndhævelsesdirektivet er blevet et internationalt referencepunkt for databeskyttelse i forbindelse med retshåndhævelse og har fået lande i hele verden til at overveje at indføre moderne regler om privatlivets fred på dette område. Dette er en meget positiv udvikling, der giver nye muligheder for bedre at beskytte enkeltpersoner i EU, når deres data overføres til udlandet med henblik på retshåndhævelse, samtidig med at datastrømme, der kan bidrage til at bekæmpe kriminalitet, lettes. Mere generelt er det vigtigt at sikre, at virksomheder, som er aktive på det europæiske marked, der modtager direkte anmodninger om samarbejde, som omfatter deling af personoplysninger med henblik på retshåndhævelse, kan gøre dette uden at opleve lovkonflikter og i fuld respekt for EU's grundlæggende rettigheder . For at forbedre sådanne overførsler er Kommissionen fast besluttet på at udvikle passende retlige rammer sammen med sine internationale partnere for at undgå lovkonflikter og støtte effektive samarbejdsformer, navnlig ved at sikre de nødvendige databeskyttelsesgarantier, og derved bidrage til en mere effektiv bekæmpelse af kriminalitet. På denne baggrund har Kommissionen engageret sig i bilaterale, regionale og multilaterale fora for aktivt at fremme international konvergens mellem databeskyttelsesstandarder for samarbejde om retshåndhævelse på det strafferetlige. Gennem dialoger med flere udenlandske partnerlande om igangværende reformer af databeskyttelseslovgivningen har Kommissionens tjenestegrene deltaget i udarbejdelsen af regler for kompetente myndigheders behandling af personoplysninger på forskellige måder (f.eks. indlæg som svar på offentlige høringer, deltagelse i parlamentariske høringer og særlige møder med regeringsrepræsentanter og politikere). I en regional og multilateral sammenhæng støtter Kommissionen f.eks. kapacitetsopbygningsprojekter i forbindelse med gennemførelsen af Europarådets Budapestkonvention om IT-kriminalitet . Disse projekter omfatter GLACY+-programmet, som har til formål at styrke staternes kapacitet til at anvende lovgivning om IT-kriminalitet og forbedre deres kapacitet til at samarbejde effektivt på internationalt plan i overensstemmelse med Budapestkonventionen og dens tillægsprotokoller. Dette indebærer også udvikling af databeskyttelseslovgivning for databehandling på dette område. Programmet støtter i øjeblikket 17 prioriterede lande og knudepunkter i Afrika, Asien og Stillehavsområdet, Latinamerika og Caribien. Kommissionen har også samarbejdet med Ameripol, en politisamarbejdsorganisation, der har deltagelse af 18 latinamerikanske lande, i forbindelse med udviklingen af en databeskyttelsesramme for udveksling af oplysninger mellem Ameripol og dets medlemslande. Dette engagement finder sted gennem EL PAcCTO: Support to Ameripol, et projekt, der har til formål at forbedre det internationale samarbejde mellem politi-, rets- og anklagemyndighederne i partnerlandene om bekæmpelse af organiseret kriminalitet. Kommissionen fremmer også den moderniserede konvention 108 (også kaldet konvention 108+), som også finder anvendelse databehandling med henblik på strafferetlig håndhævelse. Denne konvention, som også er åben for ikke-medlemmer af Europarådet, er vigtig, ikke blot fordi den er den eneste multilaterale bindende aftale om databeskyttelse, men også fordi den gennem konventionens komité udgør et forum af bedste praksis og fastsættelse af globale standarder . Som led i sin internationale strategi for datastrømme opfordrer Kommissionen tredjelande til at tiltræde konvention 108+. Endelig opfordrer Kommissionen til større konvergens på internationalt plan ved at dele erfaringer med databeskyttelsesaspekterne af samarbejdet om retshåndhævelse på det strafferetlige område med partnere. Kommissionens "databeskyttelsesakademi", som er en del af projektet "International Digital Cooperation — Enhanced Data Protection and Data Flows", der finansieres af det udenrigspolitiske instrument, er et vigtigt redskab i denne forbindelse. Akademiet blev oprettet for at fremme udveksling mellem reguleringsmyndigheder i EU og tredjelande og for at forbedre det praktiske samarbejdet. Akademiets aktiviteter dækker alle aspekter af tilsynet med databeskyttelse, herunder på området for retshåndhævelse. 4Det videre forløb For at sikre en effektiv EU-sikkerhedspolitik, der fuldt ud respekterer den grundlæggende ret til beskyttelse af personoplysninger, vil Kommissionen fortsat kontrollere, at medlemsstaterne har gennemført retshåndhævelsesdirektivet korrekt, og overvåge anvendelsen af dets bestemmelser. Retshåndhævelsesdirektivet har i høj grad bidraget til et mere harmoniseret og højere beskyttelsesniveau for enkeltpersoners rettigheder og til en mere sammenhængende retlig ramme for de kompetente myndigheder. Retshåndhævelsesdirektivet er gennemført på tilfredsstillende vis, men der er konstateret en række problemer. Kommissionen har allerede indledt traktatbrudsprocedurer vedrørende både manglende gennemførelse og manglende overensstemmelse mellem national lovgivning og retshåndhævelsesdirektivet. Den vil fortsat arbejde på at sikre en fuldstændig og korrekt gennemførelse. Retshåndhævelsesdirektivet har medvirket til at øge bevidsthed om og opmærksomheden på databeskyttelse hos de kompetente myndigheder, også med hensyn til behandlingssikkerhed. Datatilsynsmyndighedernes aktive tilsyn er afgørende for at sikre, at retshåndhævelsesdirektivets mål nås i praksis. Myndighederne skal derfor tildeles alle de former for beføjelser, der kræves i retshåndhævelsesdirektivet, og de fornødne ressourcer. På nuværende tidspunkt bør der fokuseres på at realisere retshåndhævelsesdirektivets fulde potentiale. I denne sammenhæng og i betragtning af de begrænsede erfaringer med disse nye regler er det efter Kommissionens opfattelse for tidligt at overveje en revision af retshåndhævelsesdirektivet. Kommissionen vil fortsat arbejde aktivt sammen med alle relevante parter med henblik på den næste evaluering, der skal gennemføres i 2026. I mellemtiden vil Kommissionen fortsat arbejde for at sikre overensstemmelse med anden EU-lovgivning, som er relevant for behandling af personoplysninger med henblik på strafferetlig håndhævelse. Retlig ramme

Kommissionen vil: -fortsat vurdere medlemsstaternes gennemførelse af retshåndhævelsesdirektivet og træffe de fornødne foranstaltninger, hvor det er nødvendigt (herunder indledning af traktatbrudsprocedurer) -fortsætte bilaterale udvekslinger med medlemsstaterne -sikre, at fremtidige lovgivningsforslag er i overensstemmelse med retshåndhævelsesdirektivet. Medlemsstaterne skal: -sikre en fuldstændig og korrekt gennemførelse af retshåndhævelsesdirektivet på nationalt plan, herunder ved at specificere de nødvendige krav vedrørende retshåndhævelse, hvis dette ikke er omfattet af de nationale databeskyttelsesretsakter om gennemførelse af retshåndhævelsesdirektivet. Datatilsynsmyndighedernes tilsyn Medlemsstaterne skal: -give datatilsynsmyndighederne tilstrækkelige ressourcer til at udføre deres opgaver på retshåndhævelsesområdet -sikre, at datatilsynsmyndighederne kan udøve alle de former for beføjelser, der er fastsat i retshåndhævelsesdirektivet -systematisk høre deres tilsynsmyndigheder om udkast til generel lovgivning og administrative foranstaltninger, der vedrører beskyttelse af personoplysninger, og tage behørigt hensyn til deres holdninger (navnlig med hensyn til nye teknologier). Datatilsynsmyndigheder opfordres til at: -gøre fuld brug af deres undersøgelsesbeføjelser, herunder ved at foretage inspektioner på eget initiativ -indsamle specifikke statistikker vedrørende deres tilsynsaktiviteter i henhold til retshåndhævelsesdirektivet -anvende værktøjerne for gensidig bistand og udvikle praktiske foranstaltninger, der kan fremme anmodninger om bistand, herunder gennem Databeskyttelsesrådets planlagte retningslinjer. Databeskyttelsesrådet opfordres til at: -udvide støttepuljen af eksperter vedrørende opgaver med relation til retshåndhævelsesdirektivet. Støtte til kompetente myndigheder Kommissionen vil: -fremme drøftelser og udveksling af erfaringer mellem medlemsstaterne og Kommissionen i medlemsstaternes ekspertgruppe om retshåndhævelsesdirektivet