DA Den Europæiske Unions Tidende C 139/1

Tredje udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til Rådets rammeafgørelse om beskyttelse af personoplysninger i forbindelse med det politimæssige og strafferetlige samarbejde

(2007/C 139/01)

DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE,

som henviser til traktaten om oprettelse af Det Europæiske Fællesskab, særlig artikel 286,

som henviser til Den Europæiske Unions charter om grundlæggende rettigheder, særlig artikel 8,

som henviser til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1),

som henviser til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (2), særlig artikel 41,

HAR VEDTAGET FØLGENDE UDTALELSE:

I. INDLEDNING

1. Den 19. december 2005 og den 29. november 2006 afgav den tilsynsførende to udtalelser (3) om Kommissionens forslag til Rådets rammeafgørelse om beskyttelse af personoplysninger i forbindelse med det politimæssige og strafferetlige samarbejde. I disse udtalelser understregede han betydningen af forslaget som et effektivt instrument til beskyttelse af personoplysninger på det område, der er omfattet af EU-traktatens afsnit VI. Den tilsynsførende gav især i sin anden udtalelse udtryk for betænkelighed ved, at udviklingen i forhandlingerne gik i retning af et beskyttelsesniveau for personoplysninger, der ikke alene lå under de standarder, der er fastsat i direktiv 95/46/EF, men som også er uforeneligt med den Europa-Rådets mere generelt formulerede konvention nr. 108 (4).

2. I januar 2007 forelagde det tyske formandskab nogle hovedpunkter med henblik på en revision af forslaget for at fjerne de udestående forbehold og forbedre databeskyttelsen under tredje søjle (5). Det reviderede udkast til forslag (6) blev forelagt EP til andenbehandling den 13. april 2007.

3. De væsentlige ændringer i det reviderede forslag samt dets store betydning kræver, at den tilsynsførende afgiver en ny udtalelse. Denne udtalelse vil fokusere på den tilsynsførendes væsentligste betænkeligheder og vil ikke gennemgå alle de punkter, der er nævnt i tidligere udtalelser, da disse fortsat gælder for dette reviderede forslag.

II. NYE IMPULSER FRA DET TYSKE FORMANDSKAB

4. Den tilsynsførende hilser det velkommen, at det tyske formandskab har ydet en stor indsats for forhandlingerne om denne rammeafgørelse fra Rådet. Det er almindeligt kendt, at forhandlingerne var blokeret i Rådet, da medlemsstaterne havde vidt forskellige holdninger til væsentlige spørgsmål. Det var derfor klogt af formandskabet at sætte nyt skub i forhandlingerne ved at forelægge en ny tekst.

5. Det tyske formandskabs nye impulser til forhandlingerne er i sig selv et meget positivt træk. Den tilsynsførende er imidlertid efter en grundig gennemgang af den seneste tekst skuffet over indholdet. Den tekst, det tyske formandskab har forelagt, lever ikke op til forventningerne. Grundene hertil er følgende: — Teksten svækker borgernes beskyttelsesniveau, da en række af de vigtige bestemmelser om deres beskyttelse, der var med i Kommissionens forslag, er blevet taget ud. — På mange måder fastsætter det reviderede forslag et beskyttelsesniveau, der endog ligger under det, der er sikret i konvention nr. 108. Det er således både utilfredsstillende og tilmed uforeneligt med medlemsstaternes internationale forpligtelser. — Teksten medfører nye forviklinger, da den omfatter oplysninger, der behandles af Europol, Eurojust og toldinformationssystemet inden for tredje søjle, og åbner op for debatten om tilsynet med disse organer. Denne udtalelse vil især komme ind på, om Rådets rammeafgørelse er et passende juridisk instrument for disse spørgsmål. — Tekstens lovgivningsmæssige kvalitet er utilfredsstillende. Bortset fra valget af juridisk instrument opfylder flere bestemmelser ikke kravene i de fælles retningslinjer for EF-lovgivningen affattelse (7). Teksten er især ikke affattet klart, enkelt og præcist, hvilket gør det vanskeligt for borgerne at finde en utvetydig definition af deres rettigheder og forpligtelser. — Det lave beskyttelsesniveau, der sikres i forslaget, kan ikke på en ordentlig måde tjene til oprettelsen af et område med frihed, sikkerhed og retfærdighed, inden for hvilket oplysninger om retshåndhævelse kan udveksles mellem politiet og retsmyndighederne uden hensyntagen til nationale grænser. Det forholder sig nemlig sådan, at da forslaget ikke omfatter et højt generelt anvendeligt databeskyttelsesniveau, vil det fortsat være underkastet uensartede nationale »oprindelsesregler« og »forskellige målestokke«, der i høj grad påvirker effektiviteten af samarbejdet om retshåndhævelse og ikke forbedrer beskyttelsen af personoplysninger (8).

6. Den tilsynsførende er fuldstændig klar over vanskelighederne ved at opnå enstemmig tilslutning i Rådet. Beslutningsprocessen kan imidlertid ikke berettige til at bruge den laveste fællesnævner, som ville svække EU-borgernes grundlæggende rettigheder og retshåndhævelsens effektivitet. I den forbindelse ville det være ønskværdigt, at der tages fuldt hensyn til den ekspertise, der findes inden for databeskyttelse, og at de henstillinger, der findes i Europa-Parlamentets beslutninger (9), indarbejdes på behørig måde.

III. LOVRAMMEN OG FOKUS I DENNE UDTALELSE

7. En rammeafgørelse om beskyttelsen af personoplysninger under tredje søjle er et væsentligt element i udviklingen af et område med frihed, sikkerhed og retfærdighed. Den stigende betydning af politisamarbejdet og det retlige samarbejde i kriminalsager samt aktioner inden for Haag-programmet (10) har betonet nødvendigheden af fælles standarder for beskyttelse af personoplysninger under tredje søjle.

8. Desværre er de eksisterende instrumenter på europæisk niveau, som ofte fremhævet af den tilsynsførende og andre relevante aktører (11), ikke tilstrækkelige. Europarådets konvention nr. 108, der er bindende for medlemsstaterne, fastlægger grundlæggende generelle principper for databeskyttelse, men selv om den skal fortolkes på grundlag af Menneskerettighedsdomstolens retspraksis, er den ikke tilstrækkeligt præcis, som den tilsynsførende har påpeget det ved flere lejligheder (12). Direktiv 95/46, der indarbejdede og specificerede principperne i konvention nr. 108 med hensyn til det indre marked, blev vedtaget allerede i 1995. Dette direktiv gælder ikke for aktiviteter, der falder ind under tredje søjles anvendelsesområde. For aktiviteter, der falder ind under området for politimæssigt og retligt samarbejde, har alle medlemsstater tilsluttet sig anbefaling nr. R (87) 15 (13), der præciserer, at konvention nr. 108 i et vist omfang er rettet mod politiet, men dette er ikke et juridisk bindende instrument.

9. I den forbindelse hedder det i EU-traktatens artikel 30, stk. 1, litra b), at fælles handling vedrørende politisamarbejde, der omfatter de retshåndhævende myndigheders behandling af oplysninger, skal overholde »relevante bestemmelser om beskyttelse af personoplysninger«. Sådanne relevante bestemmelser eksisterer ikke, så længe der ikke findes en rammeafgørelse fra Rådet med et tilfredsstillende indhold.

10. Der kan nemt drages en parallel med udviklingen af det indre marked, hvor et højt beskyttelsesniveau for personoplysninger i hele Fællesskabet blev betragtet som et væsentligt element for fjernelsen af hindringer for den frie bevægelighed for varer, tjenester, kapital og personer og førte til vedtagelsen af direktiv 95/46/EF. På samme måde kræver et område med frihed, sikkerhed og retfærdighed, hvor oplysninger frit kan flyde mellem de myndigheder, der er beskæftiget med retshåndhævelse både på nationalt plan og EU-plan, et højt og ensartet niveau for beskyttelse af personoplysninger i alle medlemsstater.

11. Disse overvejelser står i modsætning til den nuværende situation, hvor der ikke findes en sådan generel ramme, og hvor bestemmelserne om beskyttelse af personoplysninger under tredje søjle er »sektorspecifikke« og spredt ud over forskellige juridiske instrumenter (14). Nogle forslag for nylig (15) bekræfter og fremmer den allerede eksisterende fragmentering af bestemmelserne om databeskyttelse på dette område og bringer deres konsekvens i fare. Desuden bevirker fraværet af en generel ramme, at mange forslag, der falder ind under området for politimæssigt og retligt samarbejde, ikke kan vedtages hurtigt.

12. Derfor har den tilsynsførende stærkt støttet Kommissionens forslag i sine tidligere udtalelser og har fremlagt passende anbefalinger med henblik på at forbedre forslaget, hvilket var nødvendigt for at sikre borgerne et passende beskyttelsesniveau. Den tilsynsførende har altid ment, at en generel ramme for databeskyttelse under tredje søjle skal sikre en høj og konsekvent standard for databeskyttelse ved at bygge på de principper for databeskyttelse, der er fastsat i konvention nr. 108 og direktiv 95/46 samtidig med, at der også, hvor det er nødvendigt, tages hensyn til de særlige karakteristika ved retshåndhævelsesaktiviteter.

13. Det er så meget desto vigtigere, at denne generelle ramme hænger sammen med principperne for databeskyttelse under første søjle, da den private sektors inddragelse i retshåndhævelsen medfører, at personoplysninger flytter fra første søjle til tredje søjle (som det er tilfældet for passagerlister) eller fra tredje søjle til første søjle. Det er nemt at finde relevante eksempler: anvendelsen af no-fly-lister, der omfatter personer, der ikke må få adgang til flyvemaskiner, som er udarbejdet med henblik på retshåndhævelse af luftfartsselskaber til formål under første søjle (kommercielle formål samt flysikkerhed), samt forslaget om retshåndhævelsesmyndigheders adgang til VIS-databasen, der er udarbejdet som instrument for en fælles visumpolitik (16). Den tilsynsførende understreger derfor, at databeskyttelsesprincipper under første søjle også skal anvendes på tredje søjle. På grund af de særlige karakteristika ved retshåndhævelsesaktiviteter kan det imidlertid være nødvendigt med yderligere eller særlige bestemmelser (17).

14. Passende, konsekvente og bredt anvendelige sikkerhedsgarantier for databeskyttelse under tredje søjle er af stor betydning ikke kun for at sikre personers grundlæggende ret til beskyttelse af personoplysninger, men også for at fremme effektiviteten i samarbejdet om retshåndhævelse inden for området med frihed, sikkerhed og retfærdighed.

15. På baggrund heraf vurderer denne udtalelse, i hvilket omfang det nuværende reviderede forslag fastlægger passende bestemmelser om beskyttelsen af personoplysninger i henhold til EU-traktatens artikel 30, stk. 1, litra b). Den tilsynsførende vil i den forbindelse henvise til nogle af sine anbefalinger i de tidligere udtalelser. Denne udtalelse vurderer også, om det reviderede forslag respekterer medlemsstaternes internationale forpligtelser i henhold til Europarådets konvention nr. 108 og Menneskerettighedsdomstolens retspraksis samt anbefaling nr. R (87) 15 om politiets anvendelse af personoplysninger. Den tilsynsførende vil endvidere overveje, i hvilket omfang forslagets bestemmelser vil få indflydelse på effektiviteten af det politimæssige og retlige samarbejde.

IV. HOVEDPROBLEMERNE

IV.1. Anvendelse på national behandling af personoplysninger

16. Forslaget omfatter nu en betragtning om, at medlemsstaterne vil anvende rammeafgørelsens bestemmelser på national databehandling, så forudsætningerne for videregivelse af oplysninger allerede kan skabes ved indsamlingen af oplysningerne (betragtning 6a). Denne betragtning skal forsøge at imødekomme de betænkeligheder, som den tilsynsførende har gjort opmærksom på i sine tidligere udtalelser, og som også mange andre interessenter har nævnt. Faktisk har Europa-Parlamentet, konferencen for de europæiske datatilsynsmyndigheder og selv Europarådets Rådgivende Komité T-PD — der består af databeskyttelsesrepræsentanter for de europæiske regeringer — ved flere lejligheder gjort det klart, at anvendelsen af rammeafgørelsen på national databehandling er en væsentlig forudsætning ikke kun for at sikre tilstrækkelig beskyttelse af personoplysninger, men også for at sikre et effektivt samarbejde mellem retshåndhævelsesmyndigheder (18).

17. En betragtning kan imidlertid ikke som sådan pålægge en forpligtelse, der ikke eksplicit er fastlagt i bestemmelserne. Desværre begrænser artikel 1 (Formål og anvendelsesområde) udtrykkeligt anvendelsen af forslaget til personoplysninger, der udveksles mellem medlemsstaterne eller EU-organer ved at sikre, at »den registreredes grundlæggende rettigheder og frihedsrettigheder og navnlig dennes privatliv respekteres fuldt ud, når personoplysninger videregives […]«.

18. Ifølge det nuværende udkast er det derfor helt op til medlemsstaterne, om de vil anvende ensartede databeskyttelsesprincipper på den nationale behandling af personoplysninger, og det er ikke obligatorisk for medlemsstaterne at gennemføre samme fælles standarder for databeskyttelse, og dette gælder inden for et område for politimæssigt og retligt samarbejde, hvor de indre grænser skal ophæves. På denne baggrund understreger den tilsynsførende igen, at muligheden for forskellige databeskyttelsesniveauer i de forskellige medlemsstater under tredje søjle vil være — i modstrid med oprettelsen af et område med frihed, sikkerhed og retfærdighed, inden for hvilket borgerne kan bevæge sig frit og med en reel indbyrdes tilnærmelse af lovene i henhold til EU-traktatens artikel 34, stk. 2, litra b). — uegnet til at sikre beskyttelse af personoplysninger, som omhandlet i EU-traktatens artikel 30, stk. 1, litra b). — ineffektiv og umulig for håndhævelsesmyndighederne at arbejde med, og at det vil være en urimelig belastning for dem at skulle skelne mellem nationale data og data, der er videregivet eller kan videregives, som i de fleste tilfælde vil være indeholdt i samme register (19).

19. Den tilsynsførende råder stærkt lovgiveren til at udvide anvendelsesområdet ved at forpligte — og ikke kun opfordre — medlemsstaterne til at anvende rammeafgørelsen på national behandling af personoplysninger. Der er endvidere ikke nogen legitim juridisk grund til, at anvendelsen på nationale data ikke skulle være tilladt i henhold til EU-traktatens artikel 34.

IV.2. Begrænsning af de yderligere formål, med henblik på hvilke personoplysningerne kan behandles

20. Princippet om formålsbegrænsning er et af de grundlæggende principper for databeskyttelse. Det hedder navnlig i konvention nr. 108, at personoplysninger skal »lagres til nærmere bestemte og lovlige formål og må ikke anvendes på en måde, som er uforenelig med disse formål« (artikel 5, litra b)). Fravigelse af dette princip er kun tilladt, hvis lovgivningen hjemler det og undtagelsen er en nødvendig forholdsregel i et demokratisk samfund, bl.a. for at »bekæmpe strafbare forhold« (artikel 9). Den Europæiske Menneskerettighedsdomstols retspraksis har gjort det klart, at disse fravigelser skal være forholdsmæssige, passende og forudsigelige i henhold til artikel 8, stk. 2, i menneskerettighedskonventionen (20).

21. I det nuværende forslag findes bestemmelserne om formålsbegrænsning både i artikel 3 og i artikel 12. Ifølge artikel 3 er viderebehandling tilladt til formål, der er forenelige med det formål, hvortil oplysningerne er indsamlet, og er således i så henseende på linje med de grundlæggende databeskyttelsesprincipper.

22. Artikel 3 er imidlertid alt for bred og omfatter ikke en passende begrænsning af formålene med lagring som fastsat i artikel 5, litra b), i ovennævnte konvention nr. 108. Den generelle henvisning til formålene i EU-traktatens afsnit VI kan ikke betragtes som nærmere bestemte og lovlige formål. Formålet med politimæssigt og strafferetligt samarbejde er ikke naturnødvendigt lovligt (21) og er helt sikkert ikke nærmere bestemt.

23. Artikel 3 indeholder ikke nogen af den type fravigelser, som ville være mulige i henhold til artikel 9 i konvention nr. 108. Imidlertid indeholder artikel 12 i forslaget en meget lang og ikke klart defineret række af undtagelser fra princippet om formålsbegrænsning i forbindelse med personoplysninger, der er modtaget fra eller stillet til rådighed af en anden medlemsstat. Det er især betingelsen om, at undtagelser skal være nødvendige, der ikke udtrykkeligt er fastsat i denne artikel. For det andet er det ikke klart, hvad det er for »andre […] administrative procedurer«, der er tale om i artikel 12, stk. 1, litra b), der gør det muligt at behandle personoplysninger, der er indsamlet og videregivet til et andet formål. Desuden giver artikel 12, stk. 1, litra d), mulighed for »ethvert andet formål« med den eneste betingelse, at den kompetente myndighed, der har videregivet personoplysningerne, giver sit samtykke. I den forbindelse skal det bemærkes, at den videregivende myndigheds samtykke ikke under nogen omstændigheder kan erstatte den registrerede persons samtykke eller kan være en retlig grund til at fravige princippet om formålsbegrænsning. Derfor vil den tilsynsførende gerne understrege, at denne brede og åbne fravigelse ikke opfylder de grundlæggende krav til et tilstrækkeligt databeskyttelsesniveau og endog er i modstrid med de grundlæggende principper i konvention nr. 108. Den tilsynsførende anbefaler derfor, at lovgiveren omformulerer de pågældende bestemmelser.

24. En sidste bemærkning vedrører artikel 12, stk. 2, der giver mulighed for, at rådsafgørelser under tredje søjle får forrang for stk. 1, hvis der er fastsat passende betingelser for behandlingen af personoplysninger. Den tilsynsførende bemærker, at formuleringen af dette stykke er meget generel og ikke berettiger til, at Rådets rammeafgørelse betragtes som en lex generalis for det politimæssige og retlige samarbejde. Denne lex generalis bør gælde for al behandling af personoplysninger på dette område.

25. Den tilsynsførende mener, at de nuværende bestemmelser om viderebehandling af personoplysninger krænker det grundlæggende princip om formålsbegrænsning og endog ligger under den nuværende standard, der er fastsat i konvention nr. 108. Den tilsynsførende anbefaler derfor, at lovgiveren omformulerer de relevante bestemmelser på baggrund af de eksisterende internationale databeskyttelsesregler og den relevante retspraksis.

IV.3. Tilstrækkeligt beskyttelsesniveau ved udveksling af personoplysninger med tredjelande

26. Konvention nr. 108 omhandler også overførsler til tredjelande. Tillægsprotokollen vedrørende tilsynsmyndigheder og grænseoverskridende dataudveksling fastlægger det generelle princip — med forbehold af visse undtagelser — om, at overførsel af personoplysninger til tredjepart kun er tilladt, hvis den part sikrer et tilstrækkeligt beskyttelsesniveau for den påtænkte overførsel af oplysninger. Princippet om »tilstrækkeligt beskyttelsesniveau« er blevet gennemført og præciseret i flere af Den Europæiske Unions retsakter, ikke kun i instrumenter under første søjle vedrørende databeskyttelse, som f.eks. direktiv 95/46/EF (22), men også i retsakter under tredje søjle, som f.eks. retsakterne om oprettelse af Europol og Eurojust.

27. I betragtning 12 i de nuværende forslag står der, at i tilfælde af overførsel af personoplysninger til tredjelande eller internationale organisationer, »bør disse oplysninger principielt være sikret en passende grad af beskyttelse«. Endvidere gives der i artikel 14 mulighed for at overføre personoplysninger, der er videregivet fra en anden medlemsstat, til tredjelande eller internationale organisationer, hvis den videregivende myndighed i overensstemmelse med sin nationale lovgivning har givet sit samtykke til overførslen. Derfor fastlægger bestemmelserne i forslaget ikke, at der er behov for tilstrækkelig beskyttelse, og indeholder ikke nogen fælles kriterier eller mekanismer til at vurdere om beskyttelsesniveauet er tilstrækkeligt. Dette betyder, at hver medlemsstat efter eget skøn skal vurdere det beskyttelsesniveau, som tredjelandet eller den internationale organisation yder. Som følge heraf varierer listen over lande og internationale organisationer, som yder tilstrækkelige beskyttelsesniveauer — og som det er tilladt at foretage overførsler til, — betydeligt fra medlemsstat til medlemsstat.

28. Denne juridiske ramme vil også hæmme politisamarbejdet og det retlige samarbejde. Når der skal tages stilling til et tredjelands anmodning om en bestemt straffesags akter, vil medlemsstaternes retshåndhævende myndigheder således ikke kun skulle tage tilstrækkeligheden i det pågældende land op til overvejelse, men skal også tage hensyn til om hver enkelt af de andre medlemsstater (op til 26), som har bidraget til sagsakterne, har givet deres samtykke, i overensstemmelse med deres egen vurdering af tilstrækkeligheden i det pågældende tredjeland.

29. I denne forbindelse tilfører artikel 27 i forslaget vedrørende forholdet til aftaler med tredjelande mere usikkerhed, idet der står, at rammeafgørelsen ikke berører forpligtelser, der påhviler medlemsstaterne eller EU i henhold til bilaterale og/eller multilaterale aftaler, der er indgået med tredjelande. Ifølge den tilsynsførende bør denne bestemmelse klart være begrænset til eksisterende aftaler og bør fastsætte, at fremtidige aftaler skal være i overensstemmelse med bestemmelserne i dette forslag.

30. Den tilsynsførende mener, at de nuværende bestemmelser om overførsel af personoplysninger til tredjelande og internationale organisationer ikke er hensigtsmæssige til beskyttelse af personoplysninger, og desuden vil det være umuligt for de retshåndhævende myndigheder at arbejde med dem. På den baggrund gentager den tilsynsførende (23) behovet for at sikre et tilstrækkeligt beskyttelsesniveau ved overførsel af personoplysninger til tredjelande eller internationale organisationer og for, at der indføres mekanismer til sikring af fælles standarder og koordinerede afgørelser med hensyn til tilstrækkelighed. Den samme holdning har Europa-Parlamentet og Europarådets T-PD-Komité givet udtryk for på et tidligere tidspunkt.

IV.4. Kvaliteten af data

31. Artikel 5 i konvention nr. 108 fastlægger principper for sikring af personoplysningernes beskaffenhed. Der er fastlagt yderligere detaljer i andre ikke-bindende instrumenter som f.eks. anbefaling nr. R (87) 15 og i de tre evalueringer, der indtil videre er gennemført.

32. En sammenligning af det nuværende forslag med ovennævnte retsakter viser tydeligt, at der i det reviderede forslag mangler nogle vigtige garantier, som i nogle tilfælde allerede var givet i Kommissionens forslag. — Artikel 3 i forslaget garanterer ikke, at oplysningerne indsamles og behandles rimeligt, som det er fastlagt i artikel 5 i konvention nr. 108. — Forslaget indeholder ikke længere nogen bestemmelser — som krævet i princip 3.2 i anbefaling nr. R (87) 15 — om, at der skal sondres mellem forskellige typer af oplysninger afhængigt af deres grad af rigtighed og pålidelighed, og at der skal skelnes mellem oplysninger baseret på kendsgerninger og oplysninger, der er baseret på meninger eller personlige vurderinger (24). Det vil faktisk kunne underminere dataudvekslingen mellem politimyndighederne, hvis der ikke findes et sådant fælles krav, da de ikke vil være i stand til at fastslå, om oplysningerne kan betragtes som »bevis«, »kendsgerning«, »belastende efterretning« eller »blød efterretning«. Dette vil ikke alene kunne hæmme sikkerhedsoperationer og indsamlingen af oplysninger, der er afhængig af disse sondringer, men det ville også kunne gøre det vanskeligere for domstolene at sikre domfældelse. — Der er hverken nogen sondring mellem forskellige kategorier af registrerede (kriminelle, mistænkte, ofre, vidner, osv.) eller specifikke garantier for oplysninger vedrørende personer, der ikke er mistænkt, hvilket strider mod princip 2 i anbefaling nr. R (87) 15 og evalueringsrapporterne derom (25). Også her er disse sondringer ikke kun nødvendige for at beskytte borgernes personoplysninger, men også for at modtagerne fuldt ud kan gøre brug af de oplysninger, de modtager. Uden disse sondringer kan de modtagende polititjenester ikke umiddelbart anvende oplysningerne, men skal først fastslå, hvordan oplysningerne skal kategoriseres, og efterfølgende hvordan de kan anvendes og udveksles i forbindelse med forskellige retshåndhævende formål. — Den i artikel 6 omhandlede regelmæssige undersøgelse sikrer ikke en regelmæssig verifikation af datakvaliteten, og at politiregistre renses for overflødige eller ukorrekte oplysninger og ajourføres, således som det kræves i anbefaling nr. R (87) 15 (26). En sådan undersøgelses betydning for databeskyttelsen er indlysende, men dette er også af afgørende betydning for, at polititjenesterne kan fungere effektivt. Gamle og forældede efterretninger er i bedste fald ubrugelige og i værste fald kan de flytte ressourcerne væk fra de nuværende prioriteter til sager, som ikke er eller ikke burde være efterforskningens fokus. — Hvis personoplysninger — som er overført fra en anden medlemsstat — er ukorrekte, eksisterer der ikke nogen forpligtelse eller mekanisme til at sikre, at de berigtiges i oprindelsesmedlemsstaten. Her er spørgsmålet om rigtighed igen af afgørende betydning for, at politiet og retsvæsenet kan fungere effektivt. Hvis oplysningernes kvalitet ikke kan garanteres, vil det skade dataoverførslens nytte som et redskab til at bekæmpe grænseoverskridende kriminalitet.

33. På den baggrund mener den tilsynsførende, at det nuværende forslags bestemmelser vedrørende datakvalitet hverken er hensigtsmæssige eller fuldstændige — især i betragtning af anbefaling nr. R (87) 15, som alle medlemsstater har tilsluttet sig — og at de endda ligger under det beskyttelsesniveau, som konvention nr. 108 kræver. Det er også formålstjenligt på ny at minde om, at rigtigheden af personoplysninger både er i retshåndhævelsens og i den enkeltes interesse (27).

IV.5. Udveksling af personoplysninger med myndigheder, der ikke er kompetente, og med private parter

34. I henhold til princip 5 (om videregivelse af oplysninger) i anbefaling nr. R (87) 15 bør videregivelse af personoplysninger fra retshåndhævende myndigheder til andre offentlige organer eller til private parter kun være tilladt under særlige og strenge betingelser. Sådanne bestemmelser, der var med i Kommissionens oprindelige forslag, og som den tilsynsførende og Europa-Parlamentet hilste velkommen, er nu fjernet i den reviderede udgave. Den nye tekst fastlægger derfor ikke nogen specifikke garantier for overførsel af personoplysninger til private parter eller ikke-retshåndhævende myndigheder.

35. Derudover må de retshåndhævende myndigheders adgang til og videre anvendelse af personoplysninger, der kontrolleres af private parter, kun være tilladt på grundlag af veldefinerede betingelser og begrænsninger. Især bør de retshåndhævende myndigheder kun gives adgang fra sag til sag under bestemte omstændigheder og til bestemte formål, og denne adgang bør være underlagt domstolskontrol i medlemsstaterne, hvilket den tilsynsførende allerede har omtalt i sine tidligere udtalelser. Den seneste udvikling, som f.eks. direktiv 2006/24/EF (28) om lagring af data, PNR-aftalen med USA (29), og retshåndhævende myndigheders adgang til oplysninger, som SWIFT ligger inde med (30), bekræfter den grundlæggende betydning af disse garantier. Det er uheldigt, at det nuværende forslag ikke fastsætter nogen specifikke garantier vedrørende retshåndhævende myndigheders adgang til og videre anvendelse af personoplysninger, der er indsamlet af private parter.

36. På den baggrund noterer den tilsynsførende sig, at det nuværende forslag for så vidt angår udveksling af personoplysninger med private parter og ikke-kompetente myndigheder ikke overholder principperne i anbefaling nr. R (87) 15 og det behandler ikke det grundlæggende spørgsmål om retshåndhævende myndigheders adgang til og videre anvendelse af personoplysninger, der kontrolleres af private parter.

IV.6. Andre substantielle punkter

37. Ud over de ovennævnte hovedproblemer vil den tilsynsførende gerne henlede lovgiverens opmærksomhed på følgende punkter, som han i de fleste tilfælde allerede har behandlet mere detaljeret i sine tidligere udtalelser: — Særlige kategorier af oplysninger. Artikel 7 i det reviderede forslag er i modstrid med det principielle forbud, der er fastsat i artikel 6 i konvention nr. 108. Endvidere omhandler den ikke personoplysninger vedrørende straffedomme, der uden tvivl er meget relevante i forbindelse med det politimæssige og retlige samarbejde, og den fastlægger ikke specifikke garantier med hensyn til biometriske data og dna-profiler. — Edb-baserede individuelle afgørelser. Den tilsynsførende hilser det velkommen, at artikel 8 medtager denne bestemmelse i det reviderede forslag. — Registrering og dokumentation. I artikel 11 skal der for at sikre effektiviteten med henblik på at kontrollere, om databehandlingen er lovlig, fastsættes passende mekanismer for registrering eller dokumentation af såvel videregivelse af oplysninger som alle adgange til oplysninger. — Retten til at blive informeret. Artikel 16 er ufuldstændig, eftersom den ikke omhandler oplysninger om den registeransvarlige og modtagerne. Endvidere fremstiller betragtning 13 (»[…] det kan være nødvendigt at underrette den registrerede […]«) information som blot en mulighed snarere end en grundlæggende forpligtelse for den registeransvarlige. — Egenacces. Artikel 17 er ufuldstændig, eftersom adgang også skal omfatte de formål, med henblik på hvilke oplysningerne behandles, og meddelelse i letforståelig form. Endvidere er de undtagelser, der er fastlagt i stk. 2 — som f.eks. når adgang vil »på anden vis skade nationale interesser«, — for brede og uforudsigelige. Endelig er der ikke nogen mekanisme, der sikrer, at klagen til tilsynsmyndigheden fører til, at der gives adgang, hvis afslaget var ulovligt.

V. NYE SPØRGSMÅL, SOM DET REVIDEREDE FORSLAG REJSER

38. Det reviderede forslag medtager et fuldstændig nyt element i forhold til Kommissionens forslag. Det omfatter de europæiske institutioners og organers aktiviteter inden for tredje søjle (artikel 1, stk. 2, i forslaget). Ifølge betragtning 20 omfatter dette databehandling foretaget af Europol, Eurojust og søjle 3-toldinformationssystemet. Artikel 1, stk. 2, omhandler ikke kun EU's organer men også institutionerne, hvilket betyder, at for eksempel databehandling i Rådet skal være underlagt Rådets rammeafgørelse. Det er ikke klart, om man ved formuleringen af bestemmelsen havde et så bredt anvendelsesområde i tankerne, eller om hensigten var at begrænse anvendelsen til de tre organer i betragtning 20. Det er under alle omstændigheder nødvendigt at præcisere teksten for at undgå retlig usikkerhed.

39. Dette fører til en mere generel bemærkning. Ifølge den tilsynsførende er det af største betydning, at der garanteres et passende databeskyttelsesniveau inden for hele tredje søjle, da dette er en forudsætning for, at den fri udveksling af oplysninger inden for et område med frihed, sikkerhed og retfærdighed uden indre grænser kan lettes i tilstrækkelig grad. Dette omfatter anvendelsen af den generelle ramme for databeskyttelse på de europæiske organer under tredje søjle. Den tilsynsførende understregede allerede dette behov i afsnit IV i sin udtalelse om forslaget til Rådets afgørelse om Europol.

40. Med henblik på effektiv lovgivning er den tilsynsførende imidlertid stærkt i tvivl om, hvorvidt Rådets nuværende rammeafgørelse bør omfatte de aktiviteter, der udføres af de europæiske organer, hvis virksomhed falder inden for tredje søjle. Det første argument imod dette brede anvendelsesområde vedrører lovgivningspolitik. Den tilsynsførende frygter, at hvis man medtager de europæiske organer i nærværende tekst, vil det indebære en risiko for, at drøftelserne i Rådet vil koncentrere sig om dette nye element i stedet for om de materielle bestemmelser vedrørende databeskyttelse. Det vil vanskeliggøre lovgivningsprocessen. Det andet argument er af juridisk karakter. Ved første blik forekommer det, at Rådets rammeafgørelse — et instrument, der kan sammenlignes med et direktiv under EF-traktaten — ikke er et hensigtsmæssigt retligt instrument til regulering af de europæiske organers rettigheder og pligter. Artikel 34 i TEU indfører dette instrument til indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser. Under alle omstændigheder er der en alvorlig risiko for, at retsgrundlaget vil blive anfægtet under lovgivningsprocessen eller senere.

41. Den tilsynsførende har en lignende indstilling, også for så vidt angår det valgte juridiske instrument, til artikel 26 i udkastet, der omhandler oprettelsen af en ny fælles tilsynsmyndighed, der erstatter de eksisterende myndigheder, der overvåger databehandlingen i de organer, der hører under tredje søjle. Hensigten med at oprette en sådan myndighed kunne i sig selv synes logisk. Det ville kunne føre til et endnu mere effektivt overvågningssystem og yderligere sikre et konsekvent beskyttelsesniveau inden for de organer, der er oprettet under tredje søjle.

42. På nuværende tidspunkt er der imidlertid ikke noget umiddelbart behov for en sådan ny tilsynsmyndighed. Selve overvågningen fungerer tilfredsstillende. Endvidere har formanden for Eurojust rejst indvendinger mod, at dette overvågningssystem anvendes på Eurojust. Uden at komme ind på substansen i disse indvendinger er det klart, at hvis man tilføjer overvågning af EU-organer i Rådets rammeafgørelse, vil det gøre lovgivningsprocessen endnu mere vanskelig. Desuden vil denne tilgang ikke være i overensstemmelse med andre forslag på dette område, som er under drøftelse på nuværende tidspunkt (31) eller som er blevet vedtaget for nylig (32).

43. Kort sagt råder den tilsynsførende til ikke at tilføje bestemmelser vedrørende EU-organernes databehandling i teksten til Rådets rammeafgørelse. Den tilsynsførende giver dette råd af hensyn til effektiv lovgivning. Det er vigtigt, at alle bestræbelser i Rådet koncentreres om de materielle bestemmelser vedrørende databeskyttelse for at give borgerne den nødvendige beskyttelse.

VI. KONKLUSIONER

44. Den tilsynsførende hilser det tyske formandskabs nye impulser velkommen. Vedtagelsen af en generel ramme for databeskyttelse inden for tredje søjle er af afgørende betydning, hvilket den tilsynsførende og andre relevante aktører allerede har fremhævet ved flere lejligheder, for at støtte udviklingen på området med frihed, sikkerhed og retfærdighed, inden for hvilket borgernes ret til beskyttelse af personoplysninger er garanteret på ensartet vis og samarbejdet mellem retshåndhævende myndigheder kan finde sted uden hensyntagen til nationale grænser.

45. Det reviderede forslag opfylder imidlertid ikke nogen af disse mål. Det forholder sig nemlig sådan, at da forslaget ikke sikrer et højt generelt anvendeligt databeskyttelsesniveau, vil det fortsat være underkastet nationale »oprindelsesregler« og »forskellige målestokke«, der i høj grad påvirker effektiviteten af samarbejdet om retshåndhævelse og ikke forbedrer beskyttelsen af personoplysninger.

46. Et konkret eksempel herpå er, at et retshåndhævende organ på nationalt eller EU-plan, når det behandler en straffesags akter — bestående af oplysninger fra forskellige nationale, andre medlemsstaters og EU-myndigheder — vil skulle anvende forskellige regler for behandling af forskellige oplysninger afhængigt af følgende: om personoplysningerne er indsamlet nationalt eller ej; om hvert af de videregivende organer har givet sit samtykke til det påtænkte formål; om lagringen er i overensstemmelse med de tidsfrister, der er fastsat i den lovgivning, der gælder for hvert af de videregivende organer; om yderligere begrænsninger for behandling, som hvert af de videregivende organer har anmodet om, ikke forbyder behandlingen; i tilfælde af en anmodning fra et tredjeland, om hvert videregivende organ har givet samtykke i overensstemmelse med landets egen vurdering af tilstrækkelighed og/eller internationale forpligtelser. Endvidere er der meget store forskelle med hensyn til borgernes beskyttelse og rettigheder, og de er genstand for forskellige omfattende undtagelser, der afhænger af den medlemsstat, hvor behandlingen finder sted.

47. Endvidere beklager den tilsynsførende, at tekstens lovgivningsmæssige kvalitet er utilfredsstillende, og at forslaget medfører nye forviklinger, da den udvider anvendelsen af rammeafgørelsen til Europol, Eurojust og søjle 3-toldinformationssystemet og foreslår, at der oprettes en fælles tilsynsmyndighed på grundlag af et uhensigtsmæssigt juridisk instrument.

48. Den tilsynsførende er betænkelig, da den nuværende tekst fjerner væsentlige bestemmelser for beskyttelse af personoplysninger, der var indeholdt i Kommissionens forslag. Herved svækker den niveauet for beskyttelsen af borgerne betydeligt. For det første frembyder den ikke den ekstra fordel i forhold til konvention nr. 108, der ville gøre dens bestemmelser hensigtsmæssige set fra et databeskyttelsessynspunkt, jf. artikel 30, stk. 1, i TEU. For det andet lever den på mange punkter heller ikke op til det beskyttelsesniveau, der er fastsat i konvention nr. 108. Den tilsynsførende finder derfor, at der skal foretages en række væsentlige forbedringer af forslaget, inden det kan danne grundlag for drøftelserne af en passende generel ramme for databeskyttelse inden for tredje søjle. Disse forbedringer bør sikre, at denne generelle ramme: — giver en ekstra fordel i forhold til konvention nr. 108 ved at fastsætte de relevante bestemmelser vedrørende beskyttelse af personoplysninger, der er omhandlet i artikel 30, stk. 1, i TEU — finder anvendelse på national behandling af personoplysninger foretaget af retshåndhævende myndigheder — er i overensstemmelse med principperne for databeskyttelse under første søjle og samtidig tager hensyn til de særlige karakteristika ved retshåndhævelsesaktiviteter, hvor dette er nødvendigt — er i overensstemmelse med principperne i konvention nr. 108 og anbefaling nr. R (87) 15, især for så vidt angår — Begrænsning af de yderligere formål, med henblik på hvilke personoplysningerne kan behandles — Kvaliteten af oplysninger, herunder sondring mellem forskellige kategorier af registrerede (kriminelle, mistænkte, ofre, vidner, osv.), vurdering af den forskellige grad af rigtighed og pålidelighed af personoplysninger, mekanismer til at sikre regelmæssig verifikation og berigtigelse — Betingelser for overførsel af personoplysninger til ikke-kompetente myndigheder og private parter samt for retshåndhævende myndigheders adgang til og videre anvendelse af personoplysninger, der kontrolleres af private parter. — sikrer tilstrækkelig beskyttelse i forbindelse med udveksling af personoplysninger med tredjelande, også for så vidt angår internationale aftaler — omhandler de andre punkter, der er nævnt i denne samt i tidligere udtalelser fra den tilsynsførende.

49. Den tilsynsførende er fuldstændig klar over vanskelighederne ved at opnå en enstemmig tilslutning i Rådet. Beslutningsprocessen kan imidlertid ikke berettige til at bruge den laveste fællesnævner, som ville hæmme EU-borgernes grundlæggende rettigheder og effektiviteten af retshåndhævelsen.

Udfærdiget i Bruxelles, den 27. april 2007 Peter HUSTINX Den Europæiske Tilsynsførende for Databeskyttelse

(1) EFT L 281 af 23.11.1995, s. 31.

(2) EFT L 8 af 12.1.2001, s. 1.

(3) Den første udtalelse findes i EUT C 47 fra 2006, s. 27; den anden udtalelse findes på den tilsynsførendes websted www.edps.europa.eu

(4) Europarådets konvention af 28. januar 1981 om beskyttelse af individet i forbindelse med automatisk databehandling af personoplysninger.

(5) Rådets dokument 5435/07 af 18. januar 2007, der findes på register.consilium.europa.eu

(6) Rådets dokument 7315/07 af 13. marts 2007, der findes på register.consilium.europa.eu

(7) Den interinstitutionelle overenskomst af 22. december 1998 om fælles retningslinjer for EF-lovgivningens affattelse (EFT C 73 af 17.3.1999, s. 1). Eksempler kan findes i kapitel V i denne udtalelse.

(8) Jf. f.eks. artikel 14 om videregivelse til tredjelande eller internationale organer; artikel 12, stk. 1, litra d), om viderebehandling af personoplysninger; artikel 10 om overholdelse af sletnings- og undersøgelsesfristerne; artikel 13 om overholdelse af nationale begrænsninger for behandling.

(9) Europa-Parlamentet vedtog sin første beslutning om Kommissionens oprindelige forslag den 27. september 2006. Den anden beslutning om det reviderede forslag forventes at foreligge i juni.

(10) Jf. også Rådets og Kommissionens handlingsplan om gennemførelse af Haag-programmet om styrkelse af frihed, sikkerhed og retfærdighed i Den Europæiske Union, EUT C 198 af 12.8.2005, s. 1.

(11) Konferencen for de europæiske datatilsynsmyndigheder afgav den 24. januar 2006 en udtalelse, der findes som dok. 6329/06 på register.consilium.europa.eu. Europarådets Rådgivende Komité under konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (T-PD) vedtog den 20. marts 2007 et dokument med sine indledende bemærkninger, der findes på www.coe.int/dataprotection/

(12) Jf. senest den tilsynsførendes udtalelse af 4. april 2007 om 15 medlemsstaters initiativ med henblik på at vedtage en rådsafgørelse om at styrke det grænseoverskridende samarbejde, især med hensyn til at bekæmpe terrorisme og grænseoverskridende kriminalitet, punkt 60.

(13) Anbefaling nr. R (87) 15 fra Europarådets Ministerkomité til medlemsstaterne om politiets brug af personoplysninger, der blev vedtaget den 17. september 1987 og findes på www.coe.int/dataprotection/

(14) Som f.eks. de juridiske instrumenter for Europol, Eurojust og toldinformationssystemet inden for tredje søjle.

(15) Som f.eks. de seneste initiativer vedrørende Europol, Prüm-aftalen og de retshåndhævende myndigheders adgang til VIS-databasen.

(16) Jf. forslag til Rådets afgørelse om adgang til søgning i visuminformationssystemet (VIS) for de myndigheder i medlemsstaterne, der har ansvaret for den indre sikkerhed, og for Europol med henblik på forebyggelse, afsløring og efterforskning af terrorhandlinger og andre alvorlige strafbare handlinger (KOM(2005)600 endelig).

(17) Jf. i den forbindelse også det forklarende memorandum i anbefaling nr. R (87) 15, punkt 37.

(18) Jf. de dokumenter, der er nævnt i fodnote 9.

(19) Jf. den tilsynsførendes anden udtalelse punkt 11-13 for en mere detaljeret redegørelse.

(20) Inden for den konsoliderede retspraksis på dette område er den mest eksplicitte sag Rotaru mod Rumænien.

(21) Det er ikke tilstrækkeligt at gå ud fra en formodning om, at politiet under alle omstændigheder og i alle tilfælde arbejder inden for grænserne af sine retlige forpligtelser.

(22) Med hensyn til dette punkt skal det bemærkes, at Kommissionen for nylig har erklæret i sin meddelelse af 7. marts 2007 om opfølgning på arbejdsprogrammet for en bedre gennemførelse af databeskyttelsesdirektivet, at reglerne i direktiv 95/46/EF for så vidt angår overførsel af personoplysninger til tredjelande er indholdsmæssigt dækkende og bør ikke ændres.

(23) Jf. de betænkeligheder, der allerede er givet udtryk for i den første udtalelse, punkt IV.8, og i den anden udtalelse, punkt 22-23.

(24) I punkt 52 i det forklarende memorandum til anbefalingen hedder det, at »[i]t should be possible to distinguish between corroborated data and uncorroborated data, including assessment of human behaviour, between facts and opinions, between reliable information (and the various shades thereof) and conjecture, between reasonable cause to believe that information is accurate and a groundless belief in its accuracy«. Jf. også den anden evaluering af relevansen af anbefaling R (87)15 om politiets brug af personoplysninger (1998), punkt 5.1.

(25) Jf. især punkt 5.2 i ovennævnte anden evaluering og punkt 24-27 i tredje evaluering af anbefaling R (87)15 om politiets brug af personoplysninger (2002).

(26) Jf. princip 7 (varighed af lagring og ajourføring af oplysninger) samt det forklarende memorandum, punkt 96-98.

(27) Forklarende memorandum til anbefaling (87)15, punkt 74.

(28) Europa-Parlamentets og Rådets direktiv 2006/24/EF af 15. marts 2006 om lagring af data genereret eller behandlet i forbindelse med tilvejebringelse af offentligt tilgængelige elektroniske kommunikationstjenester eller elektroniske kommunikationsnet og om ændring af direktiv 2002/58/EF (EUT L 105 af 13.4.2006, s. 54).

(29) Aftale mellem Den Europæiske Union og Amerikas Forenede Stater om luftfartsselskabers behandling og overførsel af passagerliste (PNR)-oplysninger til United States Department of Homeland Security (EUT L 298 af 27.10.2006, s. 29).

(30) Jf. Artikel 29-Gruppens udtalelse 10/2006 om behandling af personoplysninger af Society for Worldwide Interbank Financial Telecommunication (SWIFT), der findes på http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2006/wp128_en.pdf og den tilsynsførendes udtalelse om Den Europæiske Centralbanks rolle i forbindelse med SWIFT-sagen, der findes på den tilsynsførendes websted.

(31) Som f.eks. Kommissionens seneste forslag om oprettelse af en europæisk politienhed (EUROPOL), KOM(2006) 817 endelig.

(32) Europa-Parlamentets og Rådets forordning (EF) nr. 1987/2006 af 20. december 2006 om oprettelse, drift og brug af anden generation af Schengen-informationssystemet (SIS II), EUT L 381 af 28.12.2006, s. 4.