DA Den Europæiske Unions Tidende C 175/1

Udtalelse fra den Europæiske Tilsynsførende for Databeskyttelse om Kommissionens forslag til et direktiv om adgangen til at udøve virksomhed som kreditinstitut og tilsynet med kreditinstitutter og investeringsselskaber og til en forordning om forsigtighedskrav til kreditinstitutter og investeringsselskaber

(2012/C 175/01)

DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE HAR

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16

under henvisning til Den Europæiske Unions charter om grundlæggende rettigheder, særlig artikel 7 og 8,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1),

under henvisning til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger, særlig artikel 28, stk. 2 (2),

VEDTAGET FØLGENDE UDTALELSE

1. INDLEDNING

1.1. Høring af EDPS

1. Denne udtalelse er en del af en pakke på 4 udtalelser fra EDPS vedrørende den finansielle sektor, som alle blev vedtaget på samme dag (3).

2. Den 20. juli 2011 vedtog Kommissionen to forslag vedrørende revision af banklovgivningen. Det første forslag vedrører et direktiv om adgangen til at udøve virksomhed som kreditinstitut og tilsynet med kreditinstitutter og investeringsselskaber (det »foreslåede direktiv«) (4). Det andet forslag vedrører en forordning om forsigtighedskrav til kreditinstitutter og investeringsselskaber (den »foreslåede forordning«) (5). Disse forslag blev sendt til høring hos EDPS på samme dag. Den 18. november 2011 rådførte Rådet for den Europæiske Union sig med EDPS vedrørende det foreslåede direktiv.

3. EDPS blev hørt uformelt inden vedtagelsen af den foreslåede forordning. EDPS bemærker, at der er blevet taget hensyn til flere af hans kommentarer i forslaget.

4. EDPS glæder sig over, at han høres af Kommissionen og Rådet og anbefaler, at der indføres en reference til nærværende udtalelse i præamblen til de vedtagne retlige instrumenter.

1.2. Forslagenes formål og omfang

5. Den foreslåede lovgivning omfatter to retlige instrumenter: et direktiv om adgangen til at udøve virksomhed som kreditinstitut og tilsynet med kreditinstitutter og investeringsselskaber og en forordning om forsigtighedskrav til kreditinstitutter og investeringsselskaber. Målsætningen for den foreslåede revision er kort fortalt at sikre, at banksektoren fungerer harmonisk og at genoprette operatørernes og offentlighedens tillid. De foreslåede instrumenter erstatter direktiv 2006/48/EF og direktiv 2006/49/EF, som efterfølgende ophæves.

6. De vigtigste nye elementer i det foreslåede direktiv er bestemmelser om sanktioner, effektiv virksomhedsledelse og bestemmelser, som forhindrer overdreven afhængighed af eksterne ratings. Formålet med det foreslåede direktiv er især at indføre et effektivt sanktionsregime, der står i rimeligt forhold til overtrædelserne, passende personligt anvendelsesområde for administrative sanktioner, offentliggørelse af sanktioner og mekanismer, som tilskynder til indberetning af overtrædelser. Derudover har direktivet til formål at styrke de lovgivningsmæssige rammer for virksomhedsledelse og reducere overdreven afhængighed af eksterne ratings (6).

7. Den foreslåede forordning supplerer det foreslåede direktiv ved at opstille ensartede og direkte anvendelige forsigtighedskrav til kreditinstitutter og investeringsselskaber. Som anført i begrundelsen er det overordnede mål med initiativet at sikre, at effektiviteten af reglerne for institutionel kapital i EU styrkes, og at deres negative indvirkning på det finansielle system begrænses (7).

1.3. Formål med udtalelsen fra EDPS

8. Mens de fleste af bestemmelserne i de foreslåede retlige instrumenter vedrører udøvelsen af virksomhed som kreditinstitut, kan implementeringen og anvendelsen af de lovgivningsmæssige rammer i visse tilfælde påvirke det enkelte menneskes rettigheder vedrørende behandlingen af deres personoplysninger.

9. Flere af bestemmelserne i det foreslåede direktiv muliggør udveksling af oplysninger mellem myndighederne i medlemsstaterne og, muligvis, tredjelande (8). Disse oplysninger kan meget vel vedrøre personer som f.eks. medlemmer af ledelsen i kreditinstitutterne, deres medarbejdere og aktionærer. Derudover kan kompetente myndigheder i henhold til det foreslåede direktiv anvende sanktioner direkte mod personer, og de er forpligtet til at offentliggøre de pålagte sanktioner, herunder identiteten af de ansvarlige personer (9). For at gøre det nemmere at opdage overtrædelser indfører forslaget en forpligtelse for de kompetente myndigheder til at etablere mekanismer, som tilskynder til indberetning af overtrædelser (10). Derudover indeholder den foreslåede forordning en forpligtelse for kreditinstitutter og investeringsselskaber til at videregive oplysninger vedrørende deres lønpolitikker, herunder de udbetalte beløb opdelt efter medarbejderkategori og løngruppe (11). Alle disse bestemmelser kan have konsekvenser for de berørte personer med hensyn til databeskyttelse.

10. På baggrund af ovenstående fokuserer nærværende udtalelse på følgende aspekter af pakken vedrørende beskyttelse af privatlivets fred og personoplysninger: 1) anvendelighed af databeskyttelseslovgivning; 2) dataoverførsler til tredjelande; 3) tavshedspligt og brug af fortrolige oplysninger; 4) obligatorisk offentliggørelse af sanktioner; 5) mekanismer for indberetning af overtrædelser; 6) oplysningskrav vedrørende lønpolitikker.

2. ANALYSE AF FORSLAGENE

2.1. Anvendelighed af databeskyttelseslovgivning

11. Betragtning 74 i det foreslåede direktiv indeholder en reference til den fulde anvendelighed af databeskyttelseslovgivningen. En reference til den gældende databeskyttelseslovgivning skal imidlertid indsættes i en materiel artikel i forslagene. Et godt eksempel på en sådan materiel bestemmelse kan ses i artikel 22 i forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (12), som eksplicit anfører som en generel regel, at direktiv 95/46/EF og forordning (EF) nr. 45/2001 finder anvendelse på behandlingen af personoplysninger inden for rammerne af forslaget.

12. Dette er især relevant i forbindelse med f.eks. de forskellige bestemmelser vedrørende udveksling af personoplysninger. Disse bestemmelser er helt legitime men skal anvendes på en måde, som er i overensstemmelse med databeskyttelseslovgivningen. Man skal især undgå risikoen for, at de fortolkes som en generel bemyndigelse til at udveksle alle former for personoplysninger. En reference til databeskyttelseslovgivningen, også i de materielle bestemmelser, ville nedsætte denne risiko væsentligt.

13. EDPS foreslår derfor, at der indsættes en lignende materiel bestemmelse som i artikel 22 i forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (13), med forbehold af de forslag han fremlagde for dette forslag (14), dvs. understregning af anvendeligheden af den eksisterende databeskyttelseslovgivning og præcisering af referencen til direktiv 95/46/EF ved at anføre, at bestemmelserne vil finde anvendelse i henhold til de nationale regler, som implementerer direktiv 95/46/EF.

2.2. Overførsler til tredjelande

14. Artikel 48 i det foreslåede direktiv anfører, at Kommissionen kan fremsætte forslag til Rådet om forhandling af aftaler med tredjelande, som bla. har til formål at sikre, at de kompetente myndigheder i tredjelande kan indhente de oplysninger, der er nødvendige for at føre tilsyn med moderselskaber, der har deres hjemsted inden for de pågældende landes område, og som har et datterselskab i en eller flere medlemsstater.

15. I den udstrækning disse oplysninger indeholder personoplysninger finder direktiv 95/46/EF og forordning (EF) nr. 45/2001 fuld anvendelse med hensyn til overførsler af data til tredjelande. EDPS foreslår, at det i artikel 48 præciseres, at i disse tilfælde skal sådanne aftaler overholde de betingelser for overførsel af personoplysninger til tredjelande, som er fastsat i kapitel IV i direktiv 95/46/EF og i forordning (EF) nr. 45/2001. Det samme burde gælde for artikel 56 vedrørende samarbejde med kompetente myndigheder i tredjelande for aftaler indgået af medlemsstater og EBA.

16. Ud over dette og i betragtning af risiciene ved sådanne overførsler anbefaler EDPS, at der tilføjes specifikke sikkerhedskontroller, som det er gjort i artikel 23 i forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation. I udtalelsen fra EDPS om dette forslag glæder han sig over brugen af en sådan bestemmelse, som indeholder passende sikkerhedskontroller som f.eks. vurdering af enkeltsager, som sikrer nødvendigheden af overførslen og eksistensen af et passende beskyttelsesniveau for personoplysninger i tredjelande, som modtager personoplysninger.

2.3. Tavshedspligt og brug af fortrolige oplysninger

17. I artikel 54 i det foreslåede direktiv anføres det, at medarbejdere hos de kompetente myndigheder skal være underlagt tavshedspligt. Det andet underafsnit i artikel 54 forbyder videregivelse af fortrolige oplysninger »undtagen i summarisk eller samlet form, således at de enkelte kreditinstitutter ikke kan identificeres […].« Det fremgår ikke klart af formuleringen, om forbuddet også omfatter videregivelse af personoplysninger.

18. EDPS anbefaler en udvidelse af forbuddet mod at videregive fortrolige oplysninger i andet underafsnit i artikel 54, stk. 1, til tilfælde, hvor personerne er identificerbare (dvs. ikke kun »individuelle kreditinstitutter«). Med andre ord skal bestemmelsen omformuleres, så den forbyder videregivelse af fortrolige oplysninger »undtagen i summarisk eller samlet form, således at de enkelte kreditinstitutter og personer ikke kan identificeres« (understregning tilføjet).

2.4. Bestemmelser vedrørende offentliggørelse af sanktioner

2.4.1. Obligatorisk offentliggørelse af sanktioner

19. Et af hovedformålene med den foreslåede pakke er at styrke og approksimere medlemsstaternes retlige rammer vedrørende administrative sanktioner og foranstaltninger. I henhold til det foreslåede direktiv har de kompetente myndigheder beføjelse til at anvende sanktioner ikke kun mod kreditinstitutter men også mod de personer, som i væsentlighed er ansvarlig for overtrædelsen (15). Artikel 68 forpligter medlemsstaterne til at sikre, at de kompetente myndigheder offentliggør alle sanktioner eller foranstaltninger, som pålægges for overtrædelse af den foreslåede forordning eller af nationale bestemmelser til gennemførelse af det foreslåede direktiv snarest muligt, herunder også oplysninger om overtrædelsens art og identiteten af de personer, som er ansvarlige for overtrædelsen.

20. Offentliggørelsen af sanktioner ville bidrage til øget afskrækkelse, idet eksisterende og potentielle gerningsmænd ville blive afskrækket fra at begå lovovertrædelser for at undgå betydeligt tab af omdømme. Samtidig ville det øge gennemsigtigheden, idet markedsoperatører ville blive gjort bekendt med, at en bestemt person har begået en overtrædelse (16). Denne forpligtelse lempes kun, hvis offentliggørelsen ville medføre uforholdsmæssig stor skade for de involverede parter. I så fald skal de kompetente myndigheder offentliggøre sanktionerne anonymt.

21. EDPS er ikke overbevist om, at den obligatoriske offentliggørelse af sanktioner i den aktuelle formulering opfylder kravene i databeskyttelseslovgivningen som præciseret af EU-Domstolen i Schecke-dommen (17). Han mener, at formålet, nødvendigheden og proportionaliteten af foranstaltningen ikke er tilstrækkeligt fastslået, og at tilstrækkelige sikkerhedskontroller med hensyn til personers rettigheder under alle omstændigheder burde være forudset.

2.4.2. Nødvendighed og proportionalitet af offentliggørelsen

22. I Schecke-dommen annullerede Domstolen bestemmelserne i en forordning fra Rådet og en forordning fra Kommissionen om obligatorisk offentliggørelse af oplysninger vedrørende modtagere af landbrugsmidler, herunder identiteten af modtagerne og de modtagne beløb. Domstolen fastslog, at den relevante offentliggørelse var det samme som en behandling af personoplysninger i henhold til artikel 8, stk. 2, i Den Europæiske Unions charter om grundlæggende rettigheder (»Charteret«) og derfor et indgreb i de rettigheder, som anerkendes i artikel 7 og 8 i Charteret.

23. Efter at Domstolen havde fastslået, at »undtagelser fra og begrænsninger af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige«, analyserede Domstolen formålet med offentliggørelsen og proportionaliteten heraf. Den konkluderede, at der i denne sag ikke forelå noget bevis for, at Rådet og Kommission i forbindelse med vedtagelsen af den pågældende lovgivning tog højde for metoder til offentliggørelse af oplysningerne, som ville være konsistent med formålet med sådan offentliggørelse, samtidig med at disse modtagere blev udsat for mindre indgriben.

24. Artikel 68 i det foreslåede direktiv synes at være ramt af de samme mangler, som blev fremhævet af EU-Domstolen i Schecke-dommen. Man skal huske på, at i forbindelse med vurdering af overholdelsen af databeskyttelseskravene i en bestemmelse, som kræver offentliggørelse af personoplysninger, er det afgørende at have et klart og veldefineret formål, som den planlagte offentliggørelse skal tjene. Kun med et klart og veldefineret formål kan det vurderes, om den relevante offentliggørelse af personoplysninger faktisk er nødvendig og står i rimeligt forhold til formålet (18).

25. Efter at have læst forslaget og de medfølgende dokumenter (dvs. konsekvensanalyserapporten) har EDPS fået det indtryk, at formålet, og derfor også nødvendigheden, af denne foranstaltning ikke er klart fastslået. Mens betragtningerne i forslaget ikke anfører noget om disse problemstillinger, anføres det blot i konsekvensanalyserapporten, at »offentliggørelse af sanktioner er et vigtigt element til sikring af, at sanktioner har en afskrækkende effekt på adressaterne og er nødvendig for at sikre, at sanktioner har en afskrækkende effekt på offentligheden«. Rapporten overvejer imidlertid ikke, om mindre intrusive metoder kunne have garanteret det samme resultat med hensyn til afskrækkelse uden at gribe ind i de pågældende personers ret til privatliv. Den forklarer i særdeleshed ikke, hvorfor bødestraf eller andre typer af sanktioner, som ikke påvirker privatlivets fred, ikke ville være tilstrækkeligt.

26. Derudover synes konsekvensanalyserapporten ikke at tage tilstrækkelig højde for mindre intrusive metoder til offentliggørelse af oplysningerne som f.eks. at begrænse offentliggørelsen til identiteten af kreditinstitutter eller endda at overveje behovet for offentliggørelse på baggrund af enkeltsager. Især ville sidstnævnte mulighed umiddelbart synes at være en mere rimelig løsning, især hvis man tænker på, at offentliggørelse i sig selv er en sanktion i henhold til artikel 67, stk. 2, litra a, og at artikel 69 anfører, at de kompetente myndigheder i forbindelse med beslutninger om anvendelse af sanktioner skal tage højde for de relevante omstændigheder (dvs. vurdering på baggrund af enkeltsager) som f.eks. overtrædelsens grovhed, graden af personligt ansvar, recidivisme, tab lidt af tredjeparter etc. Den obligatoriske offentliggørelse af sanktioner i alle sager i henhold til artikel 69 er uforeneligt med sanktionsregimet i artikel 67 og 69.

27. Konsekvensanalyserapporten bruger kun nogle få afsnit på at forklare, hvorfor offentliggørelse på baggrund af enkeltsager ikke er en tilstrækkelig mulighed. Den anfører, at hvis man overlader det til de kompetente myndigheder at beslutte, »om offentliggørelsen er passende«, ville det mindske den afskrækkende effekt af offentliggørelsen (19). EDPS mener imidlertid, at det netop er dette aspekt — dvs. muligheden for at vurdere sagen på baggrund af de specifikke omstændigheder — som gør denne løsning mere rimelig og derfor en foretrukken mulighed sammenlignet med obligatorisk offentliggørelse i alle sager. Et sådant skøn ville for eksempel gøre det muligt for den kompetente myndighed at undgå offentliggørelse i sager med mindre alvorlige overtrædelser, hvor overtrædelsen ikke har forårsaget nogen væsentlig skade, hvor parten har vist samarbejdsvilje etc.

2.4.3. Behov for tilstrækkelige sikkerhedskontroller

28. Det foreslåede direktiv skulle have forudset tilstrækkelige sikkerhedskontroller for at sikre en rimelig balance mellem de forskellige interesser. For det første er sikkerhedskontroller nødvendige i forhold til de anklagede personers ret til at anfægte beslutningen ved en domstol samt formodning om uskyld. Der burde være indsat en særlig ordlyd i artikel 68 i denne henseende, så kompetente myndigheder forpligtes til at træffe passende foranstaltninger både i situationer, hvor beslutningen kan appelleres, og hvor den i sidste ende annulleres af en domstol (20).

29. For det andet skal det foreslåede direktiv sikre, at de registreredes rettigheder respekteres proaktivt. EDPS er glad for, at den endelige version af forslaget forudser muligheden for at udelukke offentliggørelse i sager, hvor det ville medføre uforholdsmæssig stor skade. En proaktiv strategi burde imidlertid indebære, at de registrerede informeres på forhånd om, at den beslutning, som pålægger dem sanktioner, vil blive offentliggjort, og at de har ret til at gøre indsigelser i henhold til artikel 14 i direktiv 95/46/EF af vægtige legitime grunde (21).

30. For det tredje gælder det, at selvom det foreslåede direktiv ikke anfører det medium, hvorpå oplysningerne skal offentliggøres, er det i praksis tænkeligt, at offentliggørelse i de fleste medlemsstater vil finde sted på internettet. Offentliggørelser på internettet rejser særlige spørgsmål og risici vedrørende især nødvendigheden af at sikre, at oplysningerne ikke forbliver på nettet længere end nødvendigt, og at dataene ikke kan manipuleres eller ændres. Brugen af eksterne søgemaskiner medfører også risiko for, at oplysningerne kan tages ud af sammenhængen og kanaliseres gennem og uden for nettet på måder, som ikke er nemme at kontrollere (22).

31. I betragtning af ovenstående er det nødvendigt at forpligte medlemsstaterne til at sikre, at de relevante personers personoplysninger kun forbliver på nettet i en rimelig periode, hvorefter de systematisk skal slettes (23). Medlemsstaterne skal også forpligtes til at sikre, at der etableres tilstrækkelige sikkerhedsforanstaltninger og sikkerhedskontroller, især for at give beskyttelse mod de risici, der vedrører brugen af eksterne søgemaskiner (24).

2.4.4. Konklusioner vedrørende offentliggørelse

32. EDPS mener, at bestemmelsen om obligatorisk offentliggørelse af sanktioner — i sin aktuelle formulering — ikke overholder den grundlæggende ret til beskyttelse af privatlivets fred og databeskyttelse. Lovgiverne skal nøje vurdere nødvendigheden af det foreslåede system og verificere, om forpligtelsen til offentliggørelse går ud over det, der er nødvendigt for at opnå det formål af offentlig interesse, som forfølges, og om der er mindre restriktive foranstaltninger, som kan opfylde samme formål. Med forbehold af resultatet af denne proportionalitetstest skal forpligtelsen til offentliggørelse under alle omstændigheder understøttes af tilstrækkelige sikkerhedskontroller for at sikre overholdelse af reglen vedrørende formodning om uskyld, de relevante personers ret til at gøre indsigelser, dataenes sikkerhed/nøjagtighed og sletning efter en passende periode.

2.5. Indberetning af overtrædelser

33. Artikel 70 i det foreslåede direktiv omhandler mekanismer til indberetning af overtrædelser, også kendt som »whistle-blowing-ordninger«. Selvom de kan være et effektivt redskab til overholdelse af regler, rejser disse systemer vigtige spørgsmål med hensyn til databeskyttelse (25). EDPS er glad for, at forslaget indeholder specifikke sikkerhedskontroller, som skal videreudvikles på nationalt niveau, vedrørende beskyttelse af de personer, som indberetter mistanken om overtrædelse og, mere generelt, beskyttelse af personoplysninger. EDPS er klar over, at det foreslåede direktiv kun fastsætter hovedelementerne i den ordning, som skal implementeres af medlemsstaterne. Han ønsker ikke desto mindre at gøre opmærksom på følgende yderligere punkter.

34. Som i andre udtalelser (26) fremhæver EDPS nødvendigheden af at indsætte en særlig reference til kravet om at respektere fortroligheden af informantens identitet. EDPS understreger, at informanterne står i en følsom position. Personer, som fremlægger sådanne oplysninger, skal garanteres, at deres identitet behandles fortroligt, især over for den person, om hvem der indberettes en påstået forseelse (27). Fortroligheden af informanters identitet skal garanteres i alle stadier af proceduren, når blot det ikke strider mod nationale regler, som regulerer retslige procedurer. Det kan især være nødvendigt at afsløre identiteten i forbindelse med yderligere undersøgelser eller efterfølgende retssag, som er anlagt som følge af undersøgelsen (også hvis det er blevet fastslået, at der er blevet fremsat falske udtalelser om ham/hende) (28). I betragtning af ovenstående anbefaler EDPS, at der til litra b i artikel 70 tilføjes følgende bestemmelse: »identiteten af disse personer skal garanteres i alle stadier af proceduren, medmindre afsløring af identiteten er påkrævet ved national lov i forbindelse med yderligere undersøgelse eller efterfølgende retssag«.

35. EDPS fremhæver yderligere vigtigheden af at opstille relevante regler for at beskytte de anklagede personers adgangsrettigheder, som er tæt knyttet til retten til forsvar (29). Procedurerne for modtagelse af indberetningen og opfølgningen heraf, som nævnes i artikel 70, stk. 2, litra a, skal sikre, at de anklagede personers ret til forsvar, som f.eks. retten til at blive informeret, retten til adgang til undersøgelsesdokumentationen og retten til formodning om uskyld, respekteres tilstrækkeligt og kun er begrænset i det nødvendige omfang (30). EDPS foreslår i denne forbindelse, at bestemmelsen i artikel 29, litra d) i Kommissionens forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation også tilføjes til det foreslåede direktiv. I henhold til denne bestemmelse skal medlemsstaterne etablere »passende procedurer for at sikre den anklagede persons ret til forsvar og til at blive hørt inden vedtagelse af en beslutning, som vedrører ham/hende, og ret til at anvende et effektivt retsmiddel ved enhver beslutning eller foranstaltning vedrørende ham/hende«.

36. Endelig er EDPS med hensyn til litra c) i afsnit 2 glad for at se, at denne bestemmelse forpligter medlemsstaterne til at sikre beskyttelse af personoplysninger for både den anklagede person og den person, som fremsætter en anklage, i henhold til principperne i direktiv 95/46/EF. Han foreslår imidlertid, at ‧principperne i‧ fjernes for at gøre referencen til direktivet mere omfattende og bindende. Med hensyn til overholdelse af databeskyttelseslovgivningen i den praktiske implementering af ordningerne vil EDPS gerne især understrege anbefalingerne fra artikel 29-gruppen i dennes udtalelse fra 2006 om rapportering af uregelmæssigheder. I forbindelse med implementering af nationale ordninger skal de berørte enheder bl.a. huske nødvendigheden af at respektere princippet om proportionalitet ved så vidt muligt at begrænse de kategorier af personer, som har ret til at indberette, de kategorier af personer, mod hvem der kan rettes mistanke, og de overtrædelser, for hvilke de kan mistænkes; nødvendigheden af at fremme identificerede og fortrolige indberetninger i forhold til anonyme indberetninger; nødvendigheden af at muliggøre afsløring af informanters identitet i tilfælde, hvor informanten fremsætter falske udsagn; og nødvendigheden af at overholde strenge regler for dataopbevaringsperioder.

3. KONKLUSIONER

37. EDPS anbefaler følgende: — Der indsættes en materiel bestemmelse i forslagene med følgende ordlyd: 'Med hensyn til medlemsstaternes behandling af personoplysninger inden for rammerne af denne forordning skal de kompetente myndigheder anvende de nationale bestemmelser for gennemførelse af direktiv 95/46/EF. Med hensyn til EBA's behandling af personoplysninger inden for rammerne af denne forordning skal EBA anvende bestemmelserne i forordning (EF) nr. 45/2001. — Det andet underafsnit i artikel 54, stk. 1, ændres, så det kun tillader videregivelse af fortrolige oplysninger i summarisk eller samlet form, »således at de enkelte kreditinstitutter og personer ikke kan identificeres« (understregning tilføjet). — Det præciseres i artikel 48 og 56, at aftaler med tredjelande eller myndigheder i tredjelande om overførsel af personoplysninger skal overholde de betingelser for overførsel af personoplysninger til tredjelande, som er anført i kapitel IV i direktiv 95/46/EF og i forordning (EF) nr. 45/2001, og i det foreslåede direktiv indsættes der også en lignende bestemmelse som artikel 23 i forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation (31). — I betragtning af den tvivl, som er udtrykt i nærværende udtalelse, skal nødvendigheden og proportionaliteten af det foreslåede system med obligatorisk offentliggørelse af sanktioner vurderes. Med forbehold af resultatet af nødvendigheds- og proportionalitetstesten skal der under alle omstændigheder etableres tilstrækkelige sikkerhedskontroller for at sikre overholdelse af reglen vedrørende formodning om uskyld, de relevante personers ret til at gøre indsigelser, dataenes sikkerhed/nøjagtighed og sletning efter en passende periode. — Med hensyn til artikel 70 skal der 1) til litra b) i artikel 70 tilføjes følgende bestemmelse: »identiteten af disse personer skal garanteres i alle stadier af proceduren, medmindre afsløring af identiteten er påkrævet ved national lov i forbindelse med yderligere undersøgelse eller efterfølgende retssag«; 2) tilføjes en litra d) hvor medlemsstaterne forpligtes til at etablere »passende procedurer for at sikre den anklagede persons ret til forsvar og til at blive hørt inden vedtagelse af en beslutning, som vedrører ham/hende, og ret til at anvende et effektivt retsmiddel ved enhver beslutning eller foranstaltning vedrørende ham/hende«; 3) fjernes »principperne i« fra litra c) i bestemmelsen;

Udfærdiget i Bruxelles, den 10. februar 2012. Giovanni BUTTARELLI Europæisk assisterende tilsynsførende for databeskyttelse

(1) EUT L 281 af 23.11.1995, s. 31.

(2) EUT L 8 af 12.1.2001, s. 1.

(3) Udtalelser fra EDPS af 10. februar 2012 om lovpakken vedrørende revision af banklovgivningen, kreditvurderingsinstitutter, markeder for finansielle instrumenter (MIFID/MIFIR) og markedsmisbrug.

(4) KOM(2011) 453.

(5) KOM(2011) 452.

(6) Begrundelse for det foreslåede direktiv, s. 2-3.

(7) Begrundelse for det foreslåede direktiv, s. 2-3.

(8) Se især artikel 24, 48 og 51 i det foreslåede direktiv.

(9) Artikel 65, stk. 2, og artikel 68 i det foreslåede direktiv.

(10) Artikel 70 i det foreslåede direktiv.

(11) Artikel 435 i den foreslåede forordning.

(12) Kommissionens forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation, KOM(2011) 651.

(13) Se fodnote 12.

(14) Se udtalelse af 10. februar 2012 om Kommissionens forslag til Europa-Parlamentets og Rådets forordning om insiderhandel og kursmanipulation, KOM(2011) 651, og til Europa-Parlamentets og Rådets direktiv om strafferetlige sanktioner for insiderhandel og kursmanipulation, KOM(2011) 654.

(15) Det personlige anvendelsesområde af sanktionerne er præciseret i artikel 65 i det foreslåede direktiv, hvor det fastslås, at medlemsstaterne sikrer, at der i tilfælde af overtrædelse af bestemmelser vedrørende institutter, finansielle holdingselskaber og blandede holdingselskaber kan indføres sanktioner over for medlemmerne af ledelsesorganet og over for enhver anden person, som i henhold til national lovgivning er ansvarlig for overtrædelsen.

(16) Se konsekvensanalyserapport, s. 42 ff.

(17) Forenede sager C-92/09 og C-93/09, Schecke, afsnit 56-64.

(18) Se også i denne forbindelse udtalelse fra EDPS af 15. april 2011 om de finansielle regler vedrørende Unionens årlige budget (EUT C 215 af 21.7.2011, s. 13).

(19) Se s. 44-45.

(20) For eksempel skal følgende foranstaltninger overvejes af nationale myndigheder: at udsætte offentliggørelsen, indtil appellen afvises eller, som foreslået i konsekvensanalyserapporten, klart at anføre, at beslutningen stadig kan appelleres, og at personen skal antages at være uskyldig, indtil beslutningen bliver endelig, at offentliggøre en berigtigelse i sager, hvor beslutningen annulleres af domstolen.

(21) Se udtalelse fra EDPS af 10. april 2007 om finansiering af den fælles landbrugspolitik (OJ C 134 af 16.6.2007, s. 1).

(22) Se i denne forbindelse det dokument, som er offentliggjort af det italienske datatilsyn, Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination, som kan ses på det italienske datatilsyns hjemmeside, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(23) Disse problemstillinger er også forbundet med den mere generelle ret til at blive glemt, og inklusionen af disse i de nye lovgivningsmæssige rammer til beskyttelse af personoplysninger er under drøftelse.

(24) Disse foranstaltninger og sikkerhedskontroller kan f.eks. bestå i udelukkelse af dataindeksering ved hjælp af eksterne søgemaskiner.

(25) Artikel 29-gruppen offentliggjorde en udtalelse om sådanne ordninger i 2006 omhandlende databeskyttelse i forbindelse med aspekter af dette fænomen: Udtalelse 1/2006 om anvendelsen af EU's databeskyttelsesregler på interne ordninger for rapportering af uregelmæssigheder på områderne regnskabsføring, intern regnskabskontrol, revision, bekæmpelse af korruption samt kriminalitet i bank- og finanssektoren (WP-udtalelse om rapportering af uregelmæssigheder). Udtalelsen kan ses på Artikel 29-gruppens hjemmeside: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(26) Se f.eks. udtalelse fra EDPS om finansielle regler vedrørende Unionens årlige budget af 15. april 2011 (EUT C 215 af 21.7.2011, s. 13), og udtalelse om undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) af 1. juni 2011 (EUT C 279 af 23.9.2011, s. 11).

(27) EDPS har allerede understreget betydningen af at holde informantens identitet fortrolig i en skrivelse til Den Europæiske Ombudsmand af 30. juli 2010 i sag 2010-0458, som findes på EDPS' websted (http://www.edps.europa.eu). Se også EDPS' udtalelser om forudgående kontrol af 23. juni 2006, om Olafs interne undersøgelser (sag 2005-0418), og af 4. oktober 2007 om Olafs eksterne undersøgelser (sag 2007-47, 2007-48, 2007-49, 2007-50, 2007-72)

(28) Se udtalelse om de finansielle regler vedrørende Unionens årlige budget af 15. april 2011, som findes på http://www.edps.europa.eu

(29) Se i denne forbindelse EDPS' retningslinjer for behandling af personoplysninger i administrative undersøgelser og disciplinærsager foretaget af EU's institutioner og organer, som påpeger den tætte forbindelse mellem den registreredes ret til aktindsigt og de anklagedes ret til forsvar (se s. 8 og 9) http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Guidelines/10-04-23_Guidelines_inquiries_EN.pdf

(30) Se udtalelse fra Artikel 29-gruppen om rapportering af uregelmæssigheder, s. 13-14.

(31) Se fodnote 12.