Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om informationssikkerhed i EU’s institutioner, organer, kontorer og agenturer

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu)

(2022/C 258/06)

Europa-Kommissionen vedtog den 22. marts 2022 et forslag til Europa-Parlamentets og Rådets forordning om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer (»forslaget«).

EDPS glæder sig over formålet med forslaget om at forbedre sikkerheden for de informationer, som EU’s institutioner, organer, kontorer og agenturer håndterer, ved at fastsætte fælles informationssikkerhedsregler og fremme en sammenhængende informationssikkerhedskultur i et specifikt retligt instrument.

EDPS bemærker, at sikkerheden i forbindelse med personoplysninger i henhold til EUDPR har et anvendelsesområde, der kun delvist overlapper anvendelsesområdet for informationssikkerheden i henhold til forslaget. Sidstnævnte har fokus på informationernes fortrolighed, mens EUDPR også sikrer integritet og tilgængelighed. Desuden omhandler EUDPR’s bestemmelser om sikkerhed i forbindelse med personoplysninger specifikt risiciene for fysiske personers rettigheder og frihedsrettigheder.

I henhold til forslaget skal EU’s institutioner, organer, kontorer og agenturer vedtage informationssikkerhedsforanstaltninger, som uundgåeligt vil omfatte behandling af personoplysninger og elektroniske kommunikationsdata, herunder trafikdata. EDPS mener, at det skal gøres klart, at alle informationssikkerhedsforanstaltninger, der indebærer behandling af personoplysninger, bør være i overensstemmelse med den nuværende retlige ramme for databeskyttelse og privatlivets fred, og at EU’s institutioner, organer, kontorer og agenturer bør træffe relevante tekniske og organisatoriske sikkerhedsforanstaltninger for at sikre denne overholdelse på en ansvarlig måde.

For at opnå retssikkerhed og forudsigelighed og sikre overholdelse af EUDPR råder EDPS kraftigt til, at forslaget eller i det mindste en delegeret retsakt, der efterfølgende vedtages af Kommissionen, klart definerer den behandling af personoplysninger, der er tilladt i henhold til denne forordning. EDPS henleder også opmærksomheden på behovet for at sikre overholdelse af EUDPR’s regler om overførsel af personoplysninger til tredjelande og internationale organisationer. Endvidere anbefaler EDPS, at det i en betragtning forklares, at alle EUDPR’s bestemmelser finder anvendelse, herunder reglerne om internationale overførsler.

EDPS understreger vigtigheden af at indarbejde perspektivet om privatlivets fred og databeskyttelse i forvaltningen af informationssikkerhed med henblik på at opnå positive synergier mellem forslaget og lovgivningen om privatlivets fred og databeskyttelse og fremsætter specifikke anbefalinger til, hvordan sådanne synergier kan opnås, herunder en specifik forpligtelse for EU-embedsmænd med ansvar for informationssikkerhed til at arbejde tæt sammen med den databeskyttelsesrådgiver, der er udpeget i overensstemmelse med artikel 43 i EUDPR, medtagelse af end-to-end-kryptering i listen over minimumssikkerhedsforanstaltninger i forslaget, hvor det er relevant, og navnlig i forbindelse med udveksling af følsomme ikkeklassificerede oplysninger, og fremme af en integreret risikostyring i forbindelse med informationssikkerhed og en integreret proces for håndtering af hændelser, der tjener både informationssikkerheds- og databeskyttelsesforpligtelser i forbindelse med anmeldelser af brud på datasikkerheden.

1. INDLEDNING OG BAGGRUND

1. Europa-Kommissionen vedtog den 22. marts 2022 et forslag til Europa-Parlamentets og Rådets forordning om informationssikkerhed i EU’s institutioner, organer, kontorer og agenturer (1) (»forslaget«).

2. Samme dato vedtog Europa-Kommissionen et andet forslag til forordning om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU’s institutioner, organer, kontorer og agenturer (2) (»forslaget om cybersikkerhed«).

3. Begge forslag indgik i EU’s strategi for cybersikkerhed for det digitale årti, der blev fremlagt den 16. december 2020 (3) (»strategien«). Det overordnede formål med strategien var at styrke Unionens strategiske autonomi inden for cybersikkerhed og at forbedre dens modstandsdygtighed og kollektive reaktion samt at opbygge et globalt og åbent internet med stærke værn for at imødegå risici for sikkerheden og de grundlæggende rettigheder og frihedsrettigheder for befolkningerne i Europa (4).

4. Forslaget er et af reguleringstiltagene i strategien, mere specifikt på området cybersikkerhed i EU’s institutioner, organer, kontorer og agenturer. Ifølge strategien har forslaget to formål: — at fremme interoperabiliteten mellem klassificerede IT-systemer, hvilket muliggør sømløs overførsel af oplysninger mellem de forskellige enheder, og — at muliggøre en interinstitutionel tilgang til behandlingen af EU's klassificerede informationer og følsomme ikkeklassificerede oplysninger, som også kan fungere som model for interoperabilitet medlemsstaterne imellem, idet det anføres, at EU også bør yderligere styrke sine muligheder for at kommunikere med relevante partnere på en sikker måde, der i videst muligt omfang bygger på eksisterende ordninger og procedurer.

5. EDPS bemærker, at det foreliggende forslags genstand også er direkte forbundet med forslaget til Europa-Parlamentets og Rådets direktiv om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148 (»NIS 2.0-forslag«). EDPS minder om, at han afgav udtalelse 5/2021 om cybersikkerhedsstrategien (5) og NIS 2.0-direktivet (»NIS 2.0-udtalelse«) (6). I denne udtalelse henvises der derfor til NIS 2.0-udtalelsen.

6. Ifølge begrundelsen til forslaget er som følge af de stadig stigende mængder af følsomme ikkeklassificerede (»SNC«) oplysninger og EU-klassificerede informationer (»EUCI«), som EU’s institutioner, organer, kontorer og agenturer har brug for at dele med hinanden, og i lyset af den dramatiske udvikling af trusselsbilledet, er den europæiske forvaltning eksponeret for angreb på alle sine aktivitetsområder. De informationer, som EU’s institutioner, organer, kontorer og agenturer håndterer, er meget interessante for forskellige trusselsaktører og skal derfor beskyttes behørigt.

7. Det fremgår af begrundelsen, at forslaget vil: — oprette harmoniserede og dækkende informationskategorier samt fælles håndteringsinstrukser for alle EU's institutioner, organer, kontorer og agenturer — oprette en lean-samarbejdsordning om informationssikkerhed mellem EU's institutioner, organer, kontorer og agenturer, der kan fremme en sammenhængende informationssikkerhedskultur på tværs af den europæiske forvaltning — modernisere informationssikkerhedspolitikkerne for alle klassifikationsgrader/kategorier i alle EU's institutioner, organer, kontorer og agenturer under hensyntagen til den digitale omstilling og den udvikling, der er ved at føre til, at telearbejde bliver strukturel praksis.

8. Den 22. marts 2022 hørte Kommissionen Den Europæiske Tilsynsførende for Databeskyttelse i henhold til artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (»EUDPR«) (7). Kommentarerne og henstillingerne i denne udtalelse er begrænset til de bestemmelser i forslaget, der er mest relevante set i relation til databeskyttelse og privatlivets fred.

4. KONKLUSIONER

31. På baggrund af ovenstående fremsætter EDPS følgende henstillinger: — EDPS råder kraftigt til, at forslaget klart definerer den behandling af personoplysninger, der er tilladt i henhold til denne forordning, herunder formålet eller formålene med behandlingen, kategorier af personoplysninger, kategorier af registrerede, definition af roller, alt efter hvad der er relevant (dataansvarlig, databehandler, fælles dataansvarlige), opbevaringsperioder, modtagere i tilfælde af overførsel til enheder, der ikke er omfattet af EUDPR. EDPS mener, at disse elementer bør fastsættes udtrykkeligt i forslaget eller i det mindste i en delegeret retsakt, der efterfølgende vedtages af Kommissionen. Forslaget bør indeholde bestemmelser om en sådan delegering. — EDPS anbefaler, at det i en betragtning forklares, at alle EUDPR's bestemmelser finder anvendelse, herunder reglerne om internationale overførsler. Betragtning 6 kan også anvendes til at medtage eventuelle andre generelle henstillinger vedrørende databeskyttelse, der fremsættes i denne udtalelse, og som ikke har til formål at ændre de materielle bestemmelser. — EDPS anbefaler kraftigt, at end-to-end-kryptering medtages i listen over minimumssikkerhedsforanstaltninger i forslaget, hvor det er relevant, og navnlig i forbindelse med udveksling af følsomme ikkeklassificerede oplysninger. — EDPS anbefaler, at det i artikel 5, stk. 3, tilføjes, at der blandt de faktorer, der tages hensyn til i forbindelse med risikostyringsprocessen for informationssikkerhed, også tages hensyn til truslerne som følge af adgang baseret på tredjelandes jurisdiktion (f.eks. fra deres offentlige myndigheders side). — EDPS råder kraftigt til i en relevant betragtning at forklare fordelene ved at have en integreret risikostyring i forbindelse med informationssikkerhed og en integreret proces for håndtering af hændelser, der tjener både informationssikkerheds- og databeskyttelsesforpligtelser i forbindelse med anmeldelser af brud på datasikkerheden. — EDPS råder kraftigt til, at forslaget indeholder en specifik forpligtelse for EU-embedsmænd med ansvar for informationssikkerhed til at arbejde tæt sammen med den databeskyttelsesrådgiver, der er udpeget i overensstemmelse med artikel 43 i EUDPR, i forbindelse med aktiviteter såsom anvendelse af databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i forbindelse med informationssikkerhedsforanstaltninger, udvælgelse af sikkerhedsforanstaltninger, der omfatter personoplysninger, integreret risikostyring og integreret håndtering af sikkerhedshændelser.

Bruxelles, den 17. maj 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) EU’s strategi for cybersikkerhed for det digitale årti | Europas digitale fremtid i støbeskeen (europa.eu), inklusive en fælles meddelelse med Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik (JOIN(2020) 18).

(4) Se kapitel I. INDLEDNING, s. 4 i strategien.

(5) Fælles meddelelse fra Europa-Kommissionen og Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik til Europa-Parlamentet og Rådet med titlen »EU's strategi for cybersikkerhed for det digitale årti«.

(6) EDPS’ udtalelse 5/2021 om cybersikkerhedsstrategien og NIS 2.0-direktivet.

(7) Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).