DA Den Europæiske Unions Tidende C 234/3

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om privatlivets fred og elektronisk kommunikation (e-databeskyttelsesforordningen)

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2017/C 234/03)

I denne udtalelse redegøres der for den tilsynsførendes holdning til forslaget til forordning om privatlivets fred og elektronisk kommunikation, som skal ophæve og erstatte e-datadirektivet.

Uden e-databeskyttelsesforordningen ville EU's lovgivningsramme for privatlivets fred og databeskyttelse være ufuldstændig. Selv om den generelle forordning om databeskyttelse er et betydeligt resultat, har vi brug for et specifikt retligt redskab til at beskytte retten til privatlivets fred, der er sikret ved artikel 7 i chartret om grundlæggende rettigheder, og hvor fortroligheden af kommunikation er et væsentligt element. Den tilsynsførende bifalder og støtter derfor forslaget, som har til formål at gøre netop dette. Den tilsynsførende støtter også valget af retsinstrument, dvs. en forordning, som vil være umiddelbart gældende og bidrage til en højere grad af harmonisering og ensartethed. Han bifalder ambitionen om at sikre et højt beskyttelsesniveau med hensyn til både indhold og metadata og støtter målet om at udvide fortrolighedsforpligtelserne til at omfatte en bredere vifte af tjenester — herunder de såkaldte »over-the-top«-tjenester (OTT-tjenester) — som afspejler det teknologiske fremskridt. Han mener også, at beslutningen om udelukkende at give databeskyttelsesmyndigheder håndhævelsesbeføjelser og adgangen til samarbejds- og sammenhængsmekanismerne i det fremtidige Europæiske Databeskyttelsesråd (Databeskyttelsesrådet) vil bidrage til en mere ensartet og effektiv håndhævelse i hele EU.

Samtidig har den tilsynsførende betænkeligheder med hensyn til, om forslaget i sin nuværende udformning faktisk kan indfri løftet om at sikre et højt niveau af beskyttelse af privatlivets fred inden for elektronisk kommunikation. Vi har brug for nye retlige rammer for e-databeskyttelse, men vi har brug for rammer, der er bedre, klarere og stærkere. Der er stadig meget at gøre: Kompleksiteten af reglerne — som de fremgår af forslaget — er afskrækkende. Kommunikation er opdelt i metadata, indholdsdata, data, der udsendes af terminaludstyr. Hvert område har ret til et forskelligt niveau af fortrolighed og er omfattet af forskellige undtagelser. Denne kompleksitet kan være forbundet med en risiko for — måske utilsigtede — huller i beskyttelsen.

De fleste af de definitioner, som forslaget tager udgangspunkt i, vil blive forhandlet og vedtaget i forbindelse med et andet retsinstrument: den europæiske kodeks for elektronisk kommunikation. Der er i dag ingen retlig begrundelse for at knytte de to instrumenter så tæt sammen, og de konkurrence- og markedsfokuserede definitioner fra kodeksen er ganske enkelt ikke hensigtsmæssige inden for rammerne af de grundlæggende rettigheder. Den tilsynsførende slår derfor til lyd for at medtage en række nødvendige definitioner i e-databeskyttelsesforordningen under hensyntagen til dens tilsigtede anvendelsesområde og mål.

Vi bør også være særlig opmærksomme på spørgsmålet om andre registeransvarliges behandling af elektronisk kommunikation end udbydere af elektroniske kommunikationstjenester. Den yderligere beskyttelse af kommunikationsdata ville ikke give mening, hvis den nemt kunne omgås ved f.eks. at videregive dataene til tredjeparter. Det bør også sikres, at e-databeskyttelsesreglerne ikke tillader en lavere beskyttelsesstandard end den, der er fastsat i den generelle forordning om databeskyttelse. Eksempelvis bør samtykke være reelt og give brugerne et frit valg som krævet i den generelle databeskyttelsesforordning. Der bør ikke længere være »tracking walls«. Endvidere skal de nye regler også opstille strenge krav om indbygget beskyttelse af privatlivets fred og privatvenlige standardindstillinger. Endelig behandler den tilsynsførende i denne udtalelse også andre presserende spørgsmål, herunder begrænsningerne for rettighedernes rækkevidde.

1. INDLEDNING OG BAGGRUND

Denne udtalelse (udtalelsen) er udarbejdet på grundlag af en anmodning fra Europa-Kommissionen (Kommissionen) til Den Europæiske Tilsynsførende for Databeskyttelse (den tilsynsførende), som uafhængig tilsynsmyndighed og rådgivningsorgan, om at afgive udtalelse om forslaget til forordning om privatlivets fred og elektronisk kommunikation (1) (forslaget). Forslaget har til formål at ophæve og erstatte direktiv 2002/58/EF om privatlivets fred og elektronisk kommunikation (e-datadirektivet) (2). Kommissionen indhentede også udtalelse fra Artikel 29-Gruppen om Databeskyttelse (Artikel 29-Gruppen), som den tilsynsførende bidrog til som fuldgyldigt medlem af gruppen (3).

Denne udtalelse ligger i forlængelse af vores foreløbige udtalelse 5/2016 om revisionen af e-datadirektivet (2002/58/EF) (4), afgivet den 22. juli 2016. Den tilsynsførende kan også yde yderligere rådgivning i efterfølgende faser af lovgivningsproceduren.

Forslaget er et af de centrale initiativer i strategien for et digitalt indre marked (5), som har til formål at styrke tilliden og sikkerheden i forbindelse med digitale tjenester i EU med fokus på at sikre et højt niveau af beskyttelse for borgere og lige konkurrencevilkår for alle markedsdeltagere i hele EU.

Forslaget søger at modernisere og ajourføre e-datadirektivet som led i den bredere indsats for at tilvejebringe sammenhængende og harmoniserede retlige rammer for databeskyttelse i Europa. E-datadirektivet specificerer og supplerer direktiv 95/46/EF (6), som vil blive erstattet af den nyligt vedtagne generelle forordning om databeskyttelse (7).

Den tilsynsførende sammenfatter først, i afsnit 2, sine vigtigste bemærkninger til forslaget, med fokus på forslagets positive aspekter. Dernæst fremkommer han, i afsnit 3, med sine resterende væsentlige betænkeligheder og fremlægger anbefalinger til, hvordan de kan imødegås. Yderligere betænkeligheder og anbefalinger til yderligere forbedringer er beskrevet i bilaget til denne udtalelse, hvor forslaget behandles mere udførligt. En imødekommelse af de betænkeligheder, der er givet udtryk for i denne udtalelse og bilaget hertil, og en yderligere forbedring af e-databeskyttelsesforordningens tekst vil ikke kun bidrage til en bedre beskyttelse slutbrugere og andre berørte registrerede, men også indføre mere retssikkerhed for alle involverede interessenter.

4. KONKLUSIONER

Den tilsynsførende bifalder Kommissionens forslag til en moderniseret, ajourført og styrket e-databeskyttelsesforordning. Han er enig i den opfattelse, at der fortsat er behov for specifikke regler til at beskytte fortroligheden og sikkerheden i forbindelse med elektronisk kommunikation i EU og supplere og specificere kravene i den generelle forordning om databeskyttelse. Han mener også, at vi har brug for simple, målrettede og teknologineutrale retlige bestemmelser, som sikrer en stærk, hensigtsmæssig og effektiv beskyttelse i en overskuelig fremtid.

Den tilsynsførende bifalder den erklærede ambition om at sikre et højt beskyttelsesniveau med hensyn til både indhold og metadata, navnlig de væsentlige positive elementer, der er beskrevet i afsnit 2.1.

Selv om den tilsynsførende bifalder forslaget, nærer han fortsat betænkeligheder ved en række bestemmelser, som risikerer at underminere Kommissionens hensigt om at sikre et højt niveau af beskyttelse af privatlivets fred inden for elektronisk kommunikation. Den tilsynsførende har navnlig følgende væsentlige betænkeligheder:

— definitionerne i forslaget må ikke afhænge af den særskilte lovgivningsprocedure vedrørende direktivet om en europæisk kodeks for elektronisk kommunikation (8) (forslaget om en europæisk kodeks for elektronisk kommunikation)

— bestemmelserne om samtykke fra slutbrugerne bør styrkes; samtykke skal indhentes fra de personer, der bruger tjenesterne, uanset om de abonnerer på dem, og fra alle parter i en kommunikation; endvidere skal registrerede, der ikke er parter i kommunikationen, også beskyttes

— det skal sikres, at forholdet mellem den generelle forordning om databeskyttelse og e-databeskyttelsesforordningen ikke efterlader smuthuller hvad angår beskyttelsen af personoplysninger; personoplysninger, der indsamles på grundlag af samtykke fra slutbrugere eller et andet retsgrundlag i henhold til e-databeskyttelsesforordningen, må ikke efterfølgende viderebehandles uden for anvendelsesområdet for et sådant samtykke eller en sådan undtagelse på et retsgrundlag, som ellers havde foreligget i henhold til den generelle forordning om databeskyttelse, men ikke i henhold til e-databeskyttelsesforordningen

— forslaget mangler ambition med hensyn til de såkaldte »tracking walls« (også kendt som »cookie walls«); adgang til websteder må ikke gøres betinget af, at personen tvinges til at »give samtykke« til at blive sporet på tværs af websteder; den tilsynsførende opfordrer med andre ord lovgiverne til at sikre, at samtykke reelt vil blive givet frit

— forslaget sikrer ikke, at browsere (og andet software på markedet, som muliggør elektronisk kommunikation) som standard vil være indstillet til at forhindre sporing af enkeltpersoners digitale fodspor

— undtagelserne vedrørende sporing af terminaludstyrs placering er alt for brede og mangler tilstrækkelige garantier

— forslaget omfatter muligheden for, at medlemsstaterne kan indføre begrænsninger; dette kræver specifikke garantier.

Disse væsentlige betænkeligheder — sammen med anbefalinger til, hvordan de kan imødegås — er beskrevet i denne udtalelse. Ud over vores generelle bemærkninger og væsentlige betænkeligheder, der er redegjort nærmere for i hovedteksten i udtalelsen, fremsætter den tilsynsførende også yderligere — og undertiden mere tekniske — bemærkninger og anbefalinger vedrørende forslaget i et bilag, navnlig for at lette arbejdet for lovgivere og andre interessenter, der ønsker at forbedre teksten yderligere under lovgivningsprocessen. Endelig bemærker vi også betydningen af, at lovgiverne behandler denne vigtige sag hurtigt for at sikre, at e-databeskyttelsesforordningen som planlagt kan finde anvendelse fra den 25. maj 2018, den dato, hvor den generelle forordning om databeskyttelse også selv træder i kraft.

Betydningen af fortroligheden i kommunikationen som fastsat i chartrets artikel 7 er stigende med den større rolle, som elektronisk kommunikation spiller i vores samfund og økonomi. De sikkerhedsforanstaltninger, der er redegjort for i denne udtalelse, vil spille en afgørende rolle med hensyn til at sikre en vellykket gennemførelse af Kommissionens langsigtede strategiske mål, der fremgår af dens strategi for et digitalt indre marked.

Udfærdiget i Bruxelles, den 24. april 2017. Giovanni BUTTARELLI Den Europæiske Tilsynsførende for Databeskyttelse

(1) Forslag til Europa-Parlamentets og Rådets forordning om respekt for privatliv og beskyttelse af personoplysninger i forbindelse med elektroniske kommunikation og om ophævelse af direktiv 2002/58/EF (forordning om databeskyttelse inden for elektronisk kommunikation), COM(2017) 10 final, 2017/0003 (COD).

(2) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (EFT L 201 af 31.7.2002, s. 37).

(3) Artikel 29-Gruppen, »Opinion 1/2017 on the Proposed Regulation for the ePrivacy Regulation (2002/58/EC) (WP247)«, vedtaget den 4. april 2017. Se også Artikel 29-Gruppen, »Opinion 3/2016 on the evaluation and review of the ePrivacy Directive (2002/58/EC) (WP240)«, vedtaget den 19. juli 2016.

(4) Se https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2016/16-07-22_Opinion_ePrivacy_EN.pdf

(5) En strategi for et digitalt indre marked i EU, meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget, 6. maj 2015 (COM(2015) 192 final), findes på: http://eur-lex.europa.eu/legal-content/DA/TXT/PDF/?uri=CELEX:52015DC0192&from=DA

(6) Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281 af 23.11.1995, s. 31).

(7) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).

(8) Forslag til Europa-Parlamentets og Rådets direktiv om en europæisk kodeks for elektronisk kommunikation, COM(2016) 590 final/2, 2016/0288(COD) af 12.10.2016.