Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om Kommissionens pakke om sikring af frie og retfærdige valg til Europa-Parlamentet

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2019/C 47/05)

Unionen fungerer på grundlag af et repræsentativt demokrati. Politisk kommunikation er afgørende for inddragelsen af borgerne, de politiske kræfter og kandidaterne i det demokratiske liv og for den grundlæggende ret til ytringsfrihed. Disse rettigheder og frihedsrettigheder hænger indbyrdes sammen med retten til respekt for privatliv og familieliv, hjem og kommunikation og retten til beskyttelse af personoplysninger. Tidligere i 2018 fremhævede den tilsynsførende i sin udtalelse 3/2018 risiciene ved koncentrerede markeder for de grundlæggende rettigheder.

I forbindelse med talen om Unionens tilstand 2018 præsenterede Kommissionen en pakke til sikring af frie og retfærdige valg til Europa-Parlamentet. Denne pakke består af en meddelelse, en vejledning i anvendelsen af EU's databeskyttelseslovgivning i forbindelse med valg, en henstilling og et forslag til forordning for så vidt angår en kontrolprocedure vedrørende overtrædelse af reglerne om beskyttelse af personoplysninger i forbindelse med valg til Europa-Parlamentet. Den tilsynsførende anerkender henvisningen til den rolle, som platforme for sociale medier spiller, og til, hvordan initiativet ville falde i tråd med kodeksen om desinformation på internettet. I lyset af det kommende valg til Europa-Parlamentet i maj 2019 og de utallige nationale valg i løbet af 2019 anerkender den tilsynsførende også henstillingerne om oprettelse af nationale valgnetværk og et netværk til koordinering af valget til Europa-Parlamentet. Han benytter lejligheden til at stille sig til rådighed for medvirken til dette europæiske netværk. Det vil være et supplement til hans indsats på dette område, navnlig den workshop, som han arrangerer i februar 2019. Den tilsynsførende anerkender også henstillingen til medlemsstaterne om at foretage en omfattende vurdering af risici forbundet med valget til Europa-Parlamentet med henblik på at identificere potentielle cyberhændelser, som kunne påvirke valgprocedurernes integritet, og understreger sagens akutte karakter.

Generelt er det den tilsynsførendes opfattelse, at der af klarhedshensyn kunne være blevet henvist til, at den behandling af personoplysninger, der foregår i Europa-Parlamentet, Myndigheden for Europæiske Politiske Partier og Europæiske Politiske Fonde og udvalget af uafhængige personer, falder ind under anvendelsesområdet for Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1) (tidligere forordning (EF) nr. 45/2001). Endvidere og mere specifikt udsteder den tilsynsførende flere henstillinger i forbindelse med forslaget til forordning, bl.a. om at klarlægge foranstaltningernes afgrænsning og sådanne sanktioners yderligere formål, om at indarbejde den tilsynsførendes afgørelser om en overtrædelse af forordning (EU) 2018/1725, om at indarbejde en henvisning til den gældende retlige ramme for databeskyttelse i forbindelse med samarbejde mellem de nationale datatilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse og om at sikre fortroligheden i informationsudvekslingen i forbindelse med samarbejdet mellem datatilsynsmyndigheder og udvalget af uafhængige personer.

1. Indledning og baggrund

1. I forbindelse med talen den 12. september 2018 om Unionens tilstand 2018 præsenterede Kommissionen en pakke til sikring af frie og retfærdige valg til Europa-Parlamentet. Den består af et lovforslag ledsaget af tre ikkelovgivningsmæssige foranstaltninger: — et forslag til Europa-Parlamentets og Rådets forordning om ændring af forordning (EU, Euratom) nr. 1141/2014 for så vidt angår en kontrolprocedure vedrørende overtrædelse af reglerne om beskyttelse af personoplysninger i forbindelse med valg til Europa-Parlamentet (COM(2018) 636 final/2) (herefter »den foreslåede forordning«) — en meddelelse om sikring af frie og retfærdige valg til Europa-Parlamentet (COM(2018) 637 final) (herefter »meddelelsen«) — en henstilling om valgsamarbejdsnetværk, gennemsigtighed online, beskyttelse mod cybersikkerhedshændelser og bekæmpelse af desinformationskampagner i forbindelse med valget til Europa-Parlamentet (C(2018) 5949 final) (herefter »henstillingen«) og — en vejledning i anvendelsen af Unionens databeskyttelseslovgivning i forbindelse med afholdelse af valg (COM(2018) 638 final) (herefter »vejledningen«).

2. Denne pakke er blevet vedtaget med henblik på at sikre frie og retfærdige valg til Europa-Parlamentet, som skal holdes i maj 2019, under hensyntagen til nye udfordringer fra onlinekommunikation og nylige afsløringer såsom »Facebook/Cambridge Analytica«-sagen ( 2 ) . Den fremlægges sammen med et forslag til Europa-Parlamentets og Rådets forordning om oprettelse af det europæiske industri-, teknologi- og forskningskompetencecenter for cybersikkerhed og netværket af nationale koordinationscentre (COM(2018) 630 final) ( 3 )

3. Den supplerer Kommissionens meddelelse af 26. april 2018»Bekæmpelse af desinformation på internettet: en europæisk tilgang« (COM(2018) 236 final), som skal fremme et mere gennemsigtigt, troværdigt og ansvarligt onlinemiljø. Et af meddelelsens centrale mål, nemlig den selvregulerende EU-kodeks om desinformation, blev offentliggjort den 26. september 2018. Kommissionen har også offentliggjort udtalelsen fra gruppen af sparringspartnere, der blev nedsat på multiinteressentforummet om desinformation ( 4 ) . De foranstaltninger, der er fastlagt i denne meddelelse, herunder denne EU-kodeks, supplerer EU-Udenrigstjenestens løbende arbejde. Som opfølgning på Det Europæiske Råds konklusioner af 28. juni 2018 ( 5 ) skulle Kommissionen sammen med Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik i samarbejde med medlemsstaterne inden udgangen af 2018 forelægge en revideret handlingsplan for bekæmpelse af desinformation ( 6 )

4. Den foreslåede forordning »skal muliggøre finansielle sanktioner mod europæiske politiske partier eller fonde, som bevidst overtræder databeskyttelsesreglerne for at påvirke eller forsøge at påvirke resultatet af valget til Europa-Parlamentet« ( 7 ) . Ud over finansielle sanktioner, som kan iværksættes over for europæiske politiske partier eller fonde i størrelsesordenen 5 % af deres årlige budget ( 8 ) , vil en ny grund »blive føjet til listen over overtrædelser, som hindrer et europæisk politisk parti eller en europæisk politisk fond i at ansøge om finansiering fra Den Europæiske Unions almindelige budget i det år, hvor sanktionen er blevet pålagt« ( 9 ) . I sin henstilling tilskynder Kommissionen de nationale datatilsynsmyndigheder, der er oprettet ved den generelle forordning om databeskyttelse, til straks og proaktivt at informere Myndigheden for Europæiske Politiske Partier og Europæiske Politiske Fonde (herefter »myndigheden«) ( 10 ) om deres afgørelser om en overtrædelse af databeskyttelsesreglerne, hvor overtrædelsen af knyttet til et europæisk politisk partis eller en europæisk politisk fonds politiske aktiviteter »med henblik på at påvirke valget til Europa-Parlamentet« ( 11 ) . Kommissionen henstiller også til, at medlemsstaterne over for politiske partier eller fonde på nationalt og regionalt plan »iværksætter passende sanktioner« ( 12 )

5. Endvidere tilskyndes der i henstillingen til at oprette et nationalt valgnetværk i hver medlemsstat samt et europæisk samarbejdsnetværk for valg til Europa-Parlamentet ( 13 ) . Sidstnævnte er en opfølgning på den første udveksling, som blev afholdt af Kommissionen mellem EU-landene om bedste praksis inden for valg i april 2018. Det skal bestå af nationale kontaktpunkter og afholde møde i januar og april 2019 ( 14 ) . Det er tænkt som en tidstro europæisk varslingsproces og et forum for udveksling af oplysninger. De nationale netværk skal bl.a. sikre udveksling af oplysninger om udfordringer, der kan påvirke valget til Europa-Parlamentet, mellem nationale myndigheder med kompetencer i valganliggender og cybersikkerhed samt nationale databeskyttelsesmyndigheder og nationale audiovisuelle tilsynsmyndigheder. Det anbefales, at disse nationale netværk konsulterer og samarbejder med de relevante nationale retshåndhævende myndigheder i overensstemmelse med national ret ( 15 ) , og at Europol i relevant omfang befordrer samarbejdet mellem nationale retshåndhævende myndigheder på europæisk plan. Ifølge Kommissionen vil det »sætte dem i stand til hurtigt at afsløre potentielle trusler mod valg til Europa-Parlamentet og hurtigt håndhæve eksisterende regler, herunder eventuelle finansielle sanktioner såsom tilbagebetaling af det offentlige bidrag« ( 16 )

6. Endelig fremsætter Kommissionen flere henstillinger ( 17 ) om at øge gennemsigtigheden i politiske reklamer op til valget til Europa-Parlamentet og tilskynder medlemsstaterne til at træffe passende foranstaltninger på området for cybersikkerhed i forbindelse med valgprocessen og til at engagere sig i aktiviteter, der øger bevågenheden, sammen med tredjeparter, herunder onlineplatforme og informationsteknologiudbydere, med henblik på større gennemsigtighed og tillidsopbygning i valgprocessen.

7. Vejledningen belyser den eksisterende databeskyttelsesramme i Unionen og anvendelsen heraf i forbindelse med afholdelse af valg. Da det er første gang, den generelle forordning om databeskyttelse skal anvendes i forbindelse med et valg til Europa-Parlamentet, er det ifølge Kommissionen vigtigt, at alle aktører, der er involveret i valgprocessen, har en klar forståelse af, hvordan de anvender reglerne korrekt. Kommissionen understreger, at de nationale databeskyttelsesmyndigheder »skal gøre fuld brug af deres styrkede beføjelser til at imødegå eventuelle overtrædelser« ( 18 )

8. Den 18. oktober 2018 opfordrede Det Europæiske Råd til at træffe foranstaltninger til at »beskytte Unionens demokratiske systemer og bekæmpe desinformation, bl.a. i forbindelse med det kommende EU-valg, under fuld overholdelse af grundlæggende rettigheder. I denne henseende fortjener de foranstaltninger om valgsamarbejdsnetværk, gennemsigtighed online, beskyttelse mod cybersikkerhedshændelser, ulovlig datamanipulation og bekæmpelse af desinformationskampagner samt stramning af reglerne om finansiering af europæiske politiske partier, som Kommissionen har foreslået, de kompetente myndigheders hurtige gennemgang og operationelle opfølgning« ( 19 )

9. at tilsidesættelsen af principper, rettigheder og forpligtelser i henhold til denne lovgivning vil medføre yderligere bøder og sanktioner «. Ifølge beslutningen anser Europa-Parlamentet »valgindblanding for at være en stor risiko for demokratiet, og at håndteringen af denne risiko kræver en fælles indsats med inddragelse af tjenesteudbydere, lovgivere og politiske aktører og partier«, og det hilser Kommissionens pakke velkommen Den 25. oktober 2018 vedtog Europa-Parlamentet en beslutning, hvori det minder om »de foranstaltninger, som Kommissionen har foreslået til sikring af frie og retfærdige valg til Europa-Parlamentet, navnlig den lovgivningsmæssige ændring til stramning af reglerne om finansiering af europæiske politiske partier, som giver mulighed for at pålægge finansielle sanktioner ved overtrædelser af reglerne om beskyttelse af personoplysninger med det formål bevidst at påvirke resultatet af EU-valg«, og om at »politiske partiers behandling af personoplysninger i EU er underlagt den generelle forordning om databeskyttelse, og«. Ifølge beslutningen anser Europa-Parlamentet »valgindblanding for at være en stor risiko for demokratiet, og at håndteringen af denne risiko kræver en fælles indsats med inddragelse af tjenesteudbydere, lovgivere og politiske aktører og partier«, og det hilser Kommissionens pakke velkommen ( 20 ) . Den 3. december 2018 vedtog Europa-Parlamentets Udvalg om Borgernes Rettigheder og Retlige og Indre Anliggender sin udtalelse om den foreslåede forordning ( 21 ) . Den 6. december 2018 vedtog Europa-Parlamentets Udvalg om Konstitutionelle Anliggender sin betænkning om den foreslåede forordning ( 22 )

10. Den Europæiske Tilsynsførende for Databeskyttelse (herefter »den tilsynsførende«) bifalder Kommissionens uformelle høring af ham om den foreslåede forordning, henstillingen og vejledningen forud for vedtagelsen heraf og den omstændighed, at en del af hans uformelle kommentarer blev taget i betragtning. Han understreger imidlertid, at der på grund af det korte varsel var tale om foreløbige kommentarer. Derfor fremsætter han følgende formelle kommentarer. I den forbindelse minder han om, at Kommissionen skal høre den tilsynsførende, når den vedtager et lovforslag, der vedrører beskyttelsen af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, hvilket er tilfældet her.

3. Konklusion

36. Den tilsynsførende anerkender politisk kommunikation som en afgørende faktor for inddragelsen af borgerne, de politiske kræfter og kandidaterne i det demokratiske liv og for den grundlæggende ret til ytringsfrihed, og at disse rettigheder og frihedsrettigheder er indbyrdes afhængige af retten til respekt for privatliv og familieliv, hjem og kommunikation som anerkendt i chartrets artikel 7 og retten til beskyttelse af personoplysninger som fastsat i chartrets artikel 8.

37. Han anerkender henvisningen i navnlig meddelelsen og vejledningen til den rolle, som platforme for sociale medier spiller, og til, hvordan initiativet ville falde i tråd med kodeksen om desinformation på internettet.

38. I lyset af det kommende valg til Europa-Parlamentet i maj 2019 og de mange nationale valg i løbet af 2019 anerkender den tilsynsførende også henstillingerne om oprettelse af nationale valgnetværk og et netværk til koordinering af valget til Europa-Parlamentet. Han benytter lejligheden til at udtrykke sin villighed til at deltage i dette europæiske netværk. Det vil være et supplement til hans indsats på dette område, navnlig den workshop, som han arrangerer i februar 2019.

39. Den tilsynsførende anerkender også henstillingen til medlemsstaterne om at foretage en omfattende vurdering af risici forbundet med valget til Europa-Parlamentet med henblik på at identificere potentielle cyberhændelser, som kunne påvirke valgprocedurernes integritet, og understreger sagens akutte karakter.

40. Generelt er det den tilsynsførendes opfattelse, at der af klarhedshensyn kunne være blevet henvist til, at den behandling af personoplysninger, der foregår hos Europa-Parlamentet, Myndigheden og udvalget, falder ind under anvendelsesområdet for forordning (EU) 2018/1725 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger (tidligere forordning (EF) nr. 45/2001).

41. Endvidere og mere specifikt udsteder den tilsynsførende flere henstillinger i forbindelse med forslaget til forordning, herunder om at: — klarlægge foranstaltningernes afgrænsning og sådanne sanktioners yderligere formål — indarbejde den tilsynsførendes afgørelser om en overtrædelse af forordning (EU) 2018/1725 — indarbejde en henvisning til den gældende retlige ramme for databeskyttelse i forbindelse med samarbejde mellem de nationale datatilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse, og om at — sikre fortroligheden i informationsudvekslingen i forbindelse med samarbejdet mellem datatilsynsmyndigheder og udvalget af uafhængige personer.

Udfærdiget i Bruxelles, den 18. december 2018. Giovanni BUTTARELLI Den Europæiske Tilsynsførende for Databeskyttelse

(1) EUT L 295 af 21.11.2018, s. 39.

(2) Meddelelsen, s. 2.

(3) http://europa.eu/rapid/press-release_IP-18-5681_da.htm.

(4) Kodeksen og bilaget samt udtalelsen fra sparringsgruppen findes på: https://ec.europa.eu/digital-single-market/en/news/code-practice-disinformation.

(5) Findes på: https://www.consilium.europa.eu/media/35937/28-euco-final-conclusions-da.pdf.

(6) Meddelelsen, s. 10.

(7) Begrundelsen til forslaget til forordning, s. 2.

(8) Se artikel 27, stk. 4, litra a), i forordning (EU) nr. 1141/2014 og Kommissionens faktablad om frie og retfærdige valg, som findes på: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_da.pdf.

(9) Begrundelsen til forslaget til forordning, s. 6.

(10) Denne myndighed blev oprettet ved forordning (EU) nr. 1141/2014 (artikel 6).

(11) Henstilling 6. I sin meddelelse (s. 7) opfordrer Kommissionen desuden »medlemsstaterne til i overensstemmelse med gældende national ret og EU-ret at fremme udveksling af oplysninger fra databeskyttelsesmyndighederne til myndigheder med ansvar for at overvåge valg og overvåge politiske partiers aktiviteter og finansiering, hvis det følger af deres afgørelser, eller hvis der er andre rimelige grunde til at antage, at en overtrædelse er knyttet til politiske aktiviteter, der udøves af nationale politiske partier eller fonde i forbindelse med valg til Europa-Parlamentet«. Forfatterens fremhævelse.

(12) Henstilling 11.

(13) Henstilling 1-5.

(14) Meddelelsen, s. 7, og Kommissionens faktablad om frie og retfærdige valg, som findes på: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_da.pdf.

(15) Meddelelsen, fodnote 20: »Dette vil navnlig vedrøre sager, hvor ondsindet indhold målrettes mod en valgproces, herunder hændelser med baggrund i angreb på informationssystemer. Alt efter omstændighederne kan det være hensigtsmæssigt at indlede en strafferetlig efterforskning, der kan udmønte sig i strafferetlige sanktioner. Som nævnt ovenfor er definitionerne af strafbare handlinger og minimumsniveauet for de maksimale strafferetlige sanktioner for angreb på informationssystemer blevet harmoniseret ved direktiv 2013/40/EU.«

(16) Meddelelsen, s. 7.

(17) Henstilling 7-10 og 12-19.

(18) Meddelelsen, s. 8, punkt 3 »Anvendelse af databeskyttelsesregler i forbindelse med valgprocessen«.

(19) Konklusionerne findes på: https://www.consilium.europa.eu/media/36781/18-euco-final-conclusions-da.pdf.

(20) Se punkt 10-12 i beslutning om Cambridge Analyticas anvendelse af Facebook-brugeres personlige oplysninger og indvirkningen på databeskyttelse P8_TA-PROV(2018)0433 (2018/2855(RSP)). Findes på: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+TA+P8-TA-2018-0433+0+DOC+PDF+V0//DA, forfatterens fremhævelse.

(21) Findes på: http://www.europarl.europa.eu/sides/getDoc.do?type=COMPARL&reference=PE-630.530&format=PDF&language=DA&secondRef=02.

(22) Findes på: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+REPORT+A8-2018-0435+0+DOC+PDF+V0//EN.