DA Den Europæiske Unions Tidende C 220/1

Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslag til Europa-Parlamentets og Rådets direktiv om ændring af direktiv 89/666/EØF, 2005/56/EF og 2009/101/EF for så vidt angår sammenkobling af centrale registre og handels- og selskabsregistre

2011/C 220/01

DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16,

under henvisning til Den Europæiske Unions charter om grundlæggende rettigheder, særlig artikel 7 og 8,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1),

under henvisning til anmodning om udtalelse, jf. artikel 28, stk. 2, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (2) —

VEDTAGET FØLGENDE UDTALELSE:

I. INDLEDNING

1. Den 24. februar 2011 vedtog Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets direktiv om ændring af direktiv 89/666/EØF, 2005/56/EF og 2009/101/EF for så vidt angår sammenkobling af centrale registre og handels- og selskabsregistre (3) (herefter »forslaget«) og hørte efterfølgende EDPS.

2. EDPS glæder sig over at være blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og over, at en henvisning til EDPS' udtalelse er medtaget i præamblen til forslaget.

1.1. Målene med forslaget

3. Formålet med forslaget er at fremme og øge det grænseoverskridende samarbejde og udvekslingen af information mellem virksomhedsregistre i Det Europæiske Økonomiske Samarbejdsområde og dermed øge gennemsigtigheden og pålideligheden af de oplysninger, der er tilgængelige på tværs af grænserne. Effektive administrative samarbejdsprocedurer med hensyn til virksomhedsregistre er afgørende for en øget tillid til det europæiske indre marked, da de garanterer et mere sikkert erhvervsklima for forbrugere, kreditorer og andre virksomhedspartnere, nedbringer de administrative byrder og forbedrer retssikkerheden. En intensivering af de administrative samarbejdsprocedurer vedrørende virksomhedsregistre i Europa er særlig vigtig i forbindelse med fusioner, flytninger af hjemsted og ajourføring af registreringen af filialer i udlandet, hvor der ikke findes samarbejdsmekanismer eller kun begrænsede mekanismer.

4. Med dette formål for øje ændrer forslaget tre eksisterende direktiver således: — Ændringerne af direktiv 2009/101/EF (4) har til formål at lette adgangen til officielle selskabsoplysninger ved i) at oprette et elektronisk netværk af registre og ii) fastsætte fælles ajourførte minimumsoplysninger, der skal være elektronisk tilgængelige for tredjeparter i alle medlemsstater via en enkelt europæisk, elektronisk platform/adgangspunkt i et flersprogligt miljø. — Ændringerne af direktiv 89/666/EØF (5) har til formål at sikre, at et selskabs virksomhedsregister giver ajourførte oplysninger om selskabets status til de udenlandske filialers virksomhedsregistre i hele Europa. — Ændringerne af direktiv 2005/56/EF (6) har til formål at forbedre samarbejdsrammerne mellem virksomhedsregistre i forbindelse med grænseoverskridende fusioner.

1.2. Baggrunden for forslaget

5. Der findes virksomhedsregistre i alle medlemsstaterne. De er organiseret på enten nationalt, regionalt eller lokalt plan. I 1968 blev der vedtaget fælles regler for at fastsætte minimumsstandarder for offentlighed (registrering og offentliggørelse) af selskabsoplysninger (7). Siden 1. januar 2007 har medlemsstaterne skullet føre elektroniske virksomhedsregistre (8) og give tredjeparter onlineadgang til registrets indhold.

6. I nogle europæiske retsakter kræves der udtrykkeligt samarbejde mellem virksomhedsregistre fra forskellige medlemsstater for at lette grænseoverskridende fusioner af selskaber med begrænset ansvar (9) og grænseoverskridende flytninger af hjemsted for det europæiske selskab (SE) (10) og for det europæiske andelsselskab (SCE) (11).

7. I 1992 blev der indført en frivillig samarbejdsmekanisme med hensyn til virksomhedsregistre i Europa. Nu sammenkører det såkaldte European Business Register (»EBR«) (12) officielle virksomhedsregistre fra 19 medlemsstater og seks andre europæiske retsområder. Mellem 2006 og 2009 deltog EBR i et forskningsprojekt kaldet BRITE (13), som havde til formål at udvikle en teknologisk platform for sammenkobling af virksomhedsregistre i Europa. I den konsekvensanalyse, der ledsager forslaget, forklares det imidlertid, at EBR står over for betydelige udfordringer i forbindelse med dets udvidelse, finansiering og ledelse: Ifølge konsekvensanalysen er den aktuelle samarbejdsmekanisme i den nuværende form ikke fuldt tilfredsstillende for potentielle brugere.

1.3. Synergier med andre initiativer

8. I den begrundelse, der ledsager forslaget, anføres det, at den europæiske e-Justice-portal (14) skal være nøglepunktet for adgangen til retlige oplysninger, retlige og administrative institutioner, registre, databaser og andre tjenester i EU. Det fastslås endvidere, at forslaget komplementerer e-Justice-projektet og skal bidrage til lettere adgang til selskabsoplysninger gennem portalen.

9. Ifølge konsekvensanalysen er et andet relevant projekt med potentielle synergivirkninger informationssystemet for det indre marked (IMI) (15). IMI er et elektronisk værktøj, der har til formål at støtte det daglige administrative samarbejde mellem offentlige administrationer i forbindelse med servicedirektivet (2006/123/EF) og direktivet om erhvervsmæssige kvalifikationer (2005/36/EF). IMI er i øjeblikket ved at blive udvidet og kan ifølge konsekvensanalysen også støtte håndhævelsen af andre direktiver, herunder også på det selskabsretlige område.

II. RELEVANTE BESTEMMELSER I FORSLAGET

10. Med forslagets artikel 3 ændres direktiv 2009/101/EF i flere henseender. To ændringsforslag har stor betydning for databeskyttelse.

2.1. Offentliggørelse af information via en fælles europæisk elektronisk platform/adgangspunkt

11. I den gældende udgave af artikel 2 i direktiv 2009/101/EF kræves det allerede, at visse minimumsoplysninger findes i et virksomhedsregister i hver enkelt medlemsstat, så tredjeparter kan kontrollere oplysninger vedrørende selskaber. Som anført i afsnit 1.2 ovenfor skal medlemsstaterne også føre elektroniske virksomhedsregistre og give tredjeparter onlineadgang til indholdet af disse registre.

12. I artikel 2 opstilles 11 grundlæggende selskabsoplysninger, der skal stilles til rådighed for offentligheden, herunder følgende: — stiftelsesoverenskomsten, vedtægterne samt alle ændringer heraf — den tegnede kapital — regnskabsdokumenter — enhver flytning af selskabets hjemsted — selskabets opløsning, retsafgørelse, der fastslår selskabets ugyldighed, udnævnelse af likvidatorer, likvidationens afslutning, sletning fra registeret.

13. Ud fra et databeskyttelsessynspunkt er det vigtigt, at der i artikel 2 også kræves oplysninger om »udnævnelse, udtræden samt identitet« (vores understregning) for de personer, som er i) beføjede til at forpligte selskabet og/eller ii) deltager i »ledelsen af, i tilsynet med eller i kontrollen« med selskabet.

14. Listen over de punkter, der er omfattet af offentlighed i henhold til artikel 2, er forblevet uændret i forslaget. Der er heller ikke indføjet noget nyt krav om, at hver enkelt medlemsstat skal gøre disse oplysninger offentligt tilgængelige elektronisk. Det nye i forslaget er, at oplysningerne, der indtil videre har været tilgængelige på en fragmenteret måde, ofte kun på de lokale sprog eller via lokale websteder, nu vil være lettilgængelige via en fælles europæisk platform/adgangspunkt i flersprogligt miljø.

15. Med henblik herpå indføjes der med forslaget en ny artikel 3a i direktivet om, at »[m]edlemsstaterne sikrer, at de dokumenter og oplysninger, der er omhandlet i artikel 2, og som er indsendt til deres register, kan indhentes elektronisk ved anmodning fra enhver ansøger via en enkelt europæisk elektronisk platform, som der er adgang til fra alle medlemsstater.« Ifølge forslaget skal alle nærmere detaljer fastsættes i delegerede retsakter.

2.2. Interoperabilitet og sammenkobling af virksomhedsregistre: etablering af et elektronisk netværk

16. Med forslaget indsættes ligeledes en ny artikel 4a i samme direktiv 2009/101/EF, der bestemmer, at »[m]edlemsstaterne træffer de fornødne foranstaltninger for at sikre, at [virksomhedsregistrene] er interoperable og udgør et elektronisk netværk«. Igen skal alle nærmere detaljer ifølge forslaget fastsættes i delegerede retsakter.

2.3. Bestemmelser om databeskyttelse

17. Til håndtering af databeskyttelsesspørgsmål indføjes der med forslaget en specifik artikel om databeskyttelse i alle tre direktiver, der skal ændres, hvori det kræves, at »[b]ehandlingen af personoplysninger i forbindelse med nærværende direktiv er underlagt bestemmelserne i Europa-Parlamentets og Rådets direktiv 95/46/EF«.

III. EDPS' BEMÆRKNINGER OG HENSTILLINGER

3.1. Indledning: opfyldelse af kravene til gennemsigtighed og privatlivets fred

18. EDPS er enig med Kommissionen i, at i) brug af informations- og kommunikationsteknologier kan bidrage til at øge effektiviteten af samarbejdet omkring virksomhedsregistre og ii) øget adgang til oplysninger fra virksomhedsregistre kan føre til øget gennemsigtighed. EDPS støtter derfor målene med forslaget. EDPS' bemærkninger skal ses i lyset af denne konstruktive strategi.

19. Samtidig understreger EDPS desuden, at øget adgang til personoplysninger også fører til øgede risici for personoplysninger. Mens en korrekt identifikation af et selskabs repræsentant kan lettes, hvis hans privatadresse oplyses, kan en sådan offentlighed også have en negativ indvirkning på denne persons ret til beskyttelse af personoplysninger. Dette gælder navnlig personoplysninger, der gøres bredt tilgængelige på internettet i digital form på mange sprog og via en lettilgængelig europæisk platform/adgangspunkt.

20. I en ikke så fjern fortid blev personoplysninger fra virksomhedsregistre (f.eks. navn, adresse og et eksemplar af direktørens underskrift) offentliggjort i papirform og på et lokalt sprog, efter at ansøgeren personligt havde aflagt besøg i en lokal afdeling af registret. Det er vigtigt at erkende, at denne situation er meget forskellig fra offentliggørelse af data i digital form via et nationalt elektronisk adgangspunkt. Offentliggørelse af personoplysninger via en lettilgængelig europæisk platform/adgangspunkt går et skridt videre og øger adgangen til oplysninger og risiciene i tilknytning til beskyttelse af de berørte personers personlige oplysninger yderligere.

21. Blandt de risici for privatlivets fred, der findes (på grund af let adgang til data i digital form via et fælles elektronisk adgangspunkt), finder man identitetstyveri og andre kriminelle aktiviteter samt risikoen for, at de offentliggjorte oplysninger kan hentes ulovligt og bruges af selskaber til oprindeligt utilsigtede kommercielle formål efter etablering af de berørte personers profil. Uden passende beskyttelsesmekanismer kan oplysningerne også sælges til andre eller sammenkøres med andre oplysninger og sælges tilbage til regeringer, som kan anvende dem til uvedkommende og skjulte formål (f.eks. til håndhævelse af skattelovgivningen eller andre kriminelle eller administrative efterforskninger) uden et passende retsgrundlag (16).

22. Derfor skal det nøje vurderes, hvilke personoplysninger der skal gøres tilgængelige via den fælles europæiske platform/adgangspunkt, og hvilke supplerende databeskyttelsesforanstaltninger — herunder tekniske foranstaltninger med henblik på begrænsning af søge- eller downloadningskapaciteten og data mining — der bør gælde.

3.2. Vigtige databeskyttelsesforanstaltninger bør fastsættes i selve forslaget og bør ikke overlades til delegerede retsakter

23. Som anført i punkt 2.1 og 2.2 ovenfor er de foreslåede artikler 3a og 4a i direktiv 2009/101/EF meget generelle og overlader mange nøglespørgsmål til delegerede retsakter.

24. Selv om EDPS erkender behovet for fleksibilitet og dermed også behovet for delegerede retsakter, understreges det, at de nødvendige databeskyttelsesforanstaltninger er væsentlige elementer, der bør fremgå klart og specifikt direkte af teksten til selve det foreslåede direktiv. I denne forbindelse kan de ikke betragtes som »uvæsentlige elementer«, der kan medtages i efterfølgende delegerede retsakter vedtaget i henhold til artikel 290 i traktaten om Den Europæiske Unions funktionsmåde.

25. EDPS anbefaler derfor, at databeskyttelsesbestemmelserne i forslaget skal være mere specfikke og gå videre end til blot at henvise til direktiv 95/46/EF (jf. afsnit 3.4 til 3.13). Yderligere bestemmelser om gennemførelse af specifikke beskyttelsesforanstaltninger kan så medtages i delegerede retsakter på grundlag af en høring af EDPS og, hvor det er relevant, af nationale databeskyttelsesmyndigheder (jf. afsnit 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 og 3.13 nedenfor).

3.3. Andre væsentlige elementer af de foreslåede foranstaltninger bør også tydeliggøres i selve forslaget

26. Ikke blot omhandler forslaget ikke nøgledatabeskyttelsesforanstaltninger, det er også meget åbent i andre henseender. Det skal navnlig fastsættes i delegerede retsakter, hvordan man vil nå frem til den foreslåede i) sammenkobling af virksomhedsregistre og ii) offentlighed omkring data.

27. Tydeliggørelse af disse andre væsentlige elementer i forslaget er en nødvendig forudsætning for vedtagelsen af passende databeskyttelsesforanstaltninger. EDPS anbefaler derfor, at disse væsentlige elementer fastsættes i selve det foreslåede direktiv (jf. afsnit 3.4 og 3.5 nedenfor).

3.4. Forvaltning: roller, kompetencer og ansvarsområder bør tydeliggøres i det foreslåede direktiv

28. I øjeblikket skal reglerne vedrørende forvaltning, ledelse, drift og repræsentation af det elektroniske netværk ifølge forslaget fastsættes i delegerede retsakter (17).

29. I konsekvensanalysen og begrundelsen påvises nogle synergier med IMI og e-Justice-portalen, men teksten i forslaget til direktiv lader døren stå åben for forskellige muligheder for at lade eller alle disse synergier manifestere sig, herunder omlægning af EBR, brug af IMI til visse dataudvekslinger og/eller brug af e-Justice-portalen som platformen/adgangspunktet for levering af oplysninger fra virksomhedsregistrene til offentligheden.

30. Andre muligheder er heller ikke udelukket, f.eks. offentliggørelse af et udbud om tildeling af retten til at udforme og drive det elektroniske netværk, eller at Kommissionen spiller en direkte rolle i udformningen og driften af systemet. Medlemsstaternes repræsentanter kan også inddrages i det elektroniske netværks forvaltningsstruktur.

31. Selv om der i forslaget i dets nuværende form er planer om »en enkelt europæisk elektronisk platform« (vores understregning), er det ikke udelukket, at teksten kan ændres yderligere i lovgivningsproceduren for at åbne mulighed for en mere decentraliseret struktur.

32. EDPS bemærker ligeledes, at selv om det aktuelle forslag ikke specifikt vedrører spørgsmålet om sammenkobling af virksomhedsregistre med andre databaser (som f.eks. matrikelregistre eller civile registre), er dette helt klart en teknisk mulighed og noget, der allerede sker i nogle medlemsstater (18).

33. Valget af den ene eller den anden af disse muligheder kan føre til en helt anden forvaltningsstruktur for det elektroniske netværk og for det elektroniske værktøj, der skal anvendes til offentliggørelse. Dette fører igen til forskellige roller og ansvar for de involverede parter, hvilket også resulterer i forskellige roller og ansvar ud fra et databeskyttelsessynspunkt.

34. I denne henseende understreger EDPS, at det i alle situationer, hvor personoplysninger behandles, er vigtigt, at der foretages en korrekt påvisning af, hvem den »registeransvarlige« er. Dette blev også understreget i Artikel 29-Gruppen om Databeskyttelses udtalelse 1/2010 om begreberne »registeransvarlig« og »registerfører« (19). Den primære årsag til, at en klar og utvetydig identifikation af den registeransvarlige er så afgørende, er, at det er bestemmende for, hvem der har ansvaret for overholdelse af databeskyttelsesbestemmelserne, og det er også relevant at påvise, hvilken lov der er gældende (20).

35. Som det fremgår af Artikel 29-Gruppens udtalelse »Hvis det ikke er tilstrækkelig klart, hvad der kræves af hvem — f.eks. hvis der ingen ansvarlige er, eller der er en lang række af mulige registeransvarlige — er der en åbenlys risiko for, at der sker for lidt, om overhovedet noget, og at de juridiske bestemmelser forbliver virkningsløse«.

36. EDPS understreger, at der navnlig er behov for tydelighed i situationer, hvor flere aktører er involveret i et samarbejde. Dette er ofte tilfældet med EU-informationssystemer, der anvendes til offentlige formål, når formålet med behandlingen er defineret i EU-lovgivningen.

37. Derfor anbefaler EDPS, at der i selve teksten til det foreslåede direktiv på en specifik, klar og utvetydig måde fastsættes bestemmelser om: — hvorvidt det elektroniske netværk skal drives af Kommissionen eller af en tredjepart, og hvorvidt det skal have en centraliseret eller decentraliseret struktur — de opgaver og ansvar, der påhviler de enkelte parter involveret i databehandling og forvaltning af det elektroniske netværk, herunder Kommissionen, medlemsstaternes repræsentanter, indehavere af virksomhedsregistre i medlemsstaterne og eventuelle tredjeparter — forholdet mellem det elektroniske system, der er omhandlet i forslaget, og andre initiativer såsom IMI, e-Justice-portalen og EBR.

38. Ud fra et databeskyttelsesperspektiv skal disse tydeliggørelser også være specifikke og utvetydige med hensyn til at fastslå, om en bestemt aktør bør betragtes som en »registeransvarlig« eller som en »registerfører« på grundlag af selve det foreslåede direktiv.

39. I princippet bør forslaget udtrykkeligt bidrage til at fastslå, at indehavere af virksomhedsregistre samt operatøren/operatørerne af systemet, som det fremgår af det aktuelle forslag som helhed, hver især bør betragtes som en registeransvarlig i forhold til deres egne aktiviteter. Når det er sagt, kan det — eftersom forvaltningsstrukturen ikke beskrives i forslaget, og det heller ikke defineres, hvem der skal være operatør/operatører af det elektroniske system — ikke udelukkes, at en del af den eller de enheder, der i sidste ende skal drive systemet rent praktisk, vil fungere som en registerfører snarere end som en registeransvarlig. Dette kan navnlig være tilfældet, hvis denne aktivitet outsources til en tredjepart, som udelukkende vil handle efter instruktioner. Under alle omstændigheder ser der ud til fortsat at være mange registeransvarlige — mindst en i hver medlemsstat — nemlig de enheder, der vedligeholder virksomhedsregistrene. Den omstændighed, at der kan være andre (private) enheder involveret som operatører, »distributører« eller andet, ændrer ikke dette aspekt. Under alle omstændigheder bør dette specificeres i det foreslåede direktiv for at sikre tydelighed og retssikkerhed.

40. Sidst men ikke mindst bør forslaget også mere specifikt og mere detaljeret beskrive de ansvarsopgaver, som disse roller medfører. For eksempel bør operatørens/operatørernes rolle i forbindelse med sikring af, at systemet er udformet på en måde, der beskytter privatlivets fred, samt dennes/disses koordinerende rolle med hensyn til databeskyttelsesspørgsmål medtages i forslaget.

41. EDPS bemærker, at alle disse tydeliggørelser også vil være relevante, når det drejer sig om at fastslå, hvilke tilsynsmyndigheder inden for databeskyttelse der er kompetente, og for hvilken behandling af personoplysninger.

3.5. Rammer og retsgrundlag for datastrømme/administrative samarbejdsprocedurer bør defineres i det foreslåede direktiv

42. Det ser ud til, at det elektroniske netværk i dets nuværende form ikke automatisk skal stille alle oplysninger i hvert enkelt virksomhedsregister til rådighed for alle andre virksomhedsregistre i alle andre medlemsstater. Forslaget kræver blot, at virksomhedsregistre sammenkobles og er interoperable, og der er dermed mulighed for at fastsætte betingelser for udveksling af oplysninger og adgang i fremtiden. For at garantere retssikkerhed bør forslaget tydeliggøre, om denne opfattelse er korrekt.

43. Derudover fremgår det ikke af forslaget, hvilke datastrømme/administrative samarbejdsprocedurer der kan finde sted via de sammenkoblede virksomhedsregistre (21). EDPS er klar over, at der kan være behov for nogen fleksibilitet for at sikre, at de behov, der opstår i fremtiden, kan imødekommes. Når det er sagt, finder EDPS det vigtigt, at der i forslaget udtrykkeligt redegøres for rammerne for datastrømme og administrative samarbejdsprocedurer, som kan finde sted i fremtiden ved hjælp af det elektroniske netværk. Dette er navnlig vigtigt for at sikre, at i) alle dataudvekslinger er baseret på et solidt retsgrundlag, og at ii) der findes bestemmelser om passende databeskyttelsesforanstaltninger.

44. Ifølge EDPS bør alle dataudvekslinger eller andre databehandlingsaktiviteter, der finder sted ved hjælp af det elektroniske netværk (f.eks. offentliggørelse af personoplysninger via den fælles platform/adgangspunkt), baseres på en bindende EU-retsakt, som vedtages på et solidt retsgrundlag. Dette bør fremgå klart af det foreslåede direktiv (22).

3.6. Andre nøglespørgsmål, der er overladt til delegerede retsakter, bør også drøftes i det foreslåede direktiv

45. Det bestemmes endvidere i forslaget, at følgende spørgsmål skal klarlægges i delegerede retsakter (23): — betingelserne for lande uden for Det Europæiske Økonomiske Samarbejdsområde for deltagelse i det elektroniske netværk — mindstekrav til sikkerhed for det elektroniske netværk — fastlæggelse af standarder for format, indhold og frister for opbevaring og fremhentning af dokumenter og oplysninger, som muliggør en automatiseret dataudveksling.

46. Med hensyn til det første og andet punkt mener EDPS, at selve det foreslåede direktiv bør indeholde bestemmelser om visse vigtige beskyttelsesforanstaltninger (jf. afsnit 3.12 og 3.13 nedenfor). Yderligere oplysninger kan så fastsættes i delegerede retsakter.

47. Med hensyn til automatiserede dataudvekslinger glæder EDPS sig over, at der i forslaget kræves delegerede retsakter om »fastlæggelse af standarder for format, indhold og frister for opbevaring og fremhentning af dokumenter og oplysninger, som muliggør en automatiseret dataudveksling«

48. For at skabe større klarhed på dette område anbefaler EDPS, at det i selve det foreslåede direktiv anføres, at det elektroniske netværk muliggør (i) specifikke manuelle udvekslinger fra sag til sag mellem virksomhedsregistre (som det fremgår af en EU-retsakt f.eks. i forbindelse med en fusion eller en flytning af hjemsted) og (ii) automatiserede dataoverførsler (som det fremgår af en EU-retsakt f.eks. i forbindelse med ajourføring af oplysningerne i den udenlandske filials register).

49. For at skabe yderligere klarhed anbefaler EDPS ligeledes, at den foreslåede tekst til artikel 4a, stk. 3, litra i), i direktiv 2009/101/EF ændres for at sikre, at i) delegerede retsakter detaljeret dækker både manuelle og automatiserede dataudvekslinger, og ii) alle behandlinger, der kan indebære personoplysninger (ikke blot lagring og fremhentning), er omfattet, og iii) specifikke databeskyttelsesbestemmelser i delegerede retsakter også vil sikre en praktisk anvendelse af relevante databeskyttelsesforanstaltninger.

50. Eksempelvis kan artikel 4a, stk. 3, litra i), ændres således: »(i) format, indhold og frister for alle manuelle eller automatiserede databehandlinger, der finder sted ved hjælp af netværket, herunder overførsel, lagring og fremhentning af oplysninger samt specifikke foranstaltninger, der kan være nødvendige for at sikre den praktiske anvendelse af relevante databeskyttelsesforanstaltninger«.

3.7. Kategorierne af behandlede personoplysninger bør tydeliggøres yderligere i det foreslåede direktiv

51. Som en indledende bemærkning understreger EDPS, at navne (og muligvis andre oplysninger såsom privatadresser) på repræsentanter for selskaber (og andre personer, der er involveret i selskabernes ledelse) utvivlsomt udgør de mest indlysende personoplysninger, der kan behandles af det elektroniske netværk og/eller offentliggøres via den fælles elektroniske platform/adgangspunkt, men det er på ingen måde de eneste personoplysninger, der findes i virksomhedsregistrene.

52. For det første kan alle eller nogle af de dokumenter, der er anført i artikel 2 i direktiv 2009/101/EF (f.eks. stiftelsesoverenskomsten, vedtægterne og regnskabsdokumenterne), også indeholde personoplysninger om andre personer. Disse oplysninger kan bl.a. omfatte navne, adresser, eventuelle personnumre og fødselsdatoer og endog indskannede håndskrevne underskrifter på en lang række personer, herunder de personer, der oprettede selskabet, selskabets aktionærer, advokater, revisorer, ansatte eller notarius publicus.

53. For det andet vil selskabsoplysninger, når de knyttes sammen med navnet på en person (som f.eks. direktøren), også blive betragtet som personoplysninger vedrørende denne person. Hvis oplysninger fra et virksomhedsregister f.eks. viser, at en bestemt person sidder i bestyrelsen for et selskab under likvidation, er denne oplysning også relevant for denne person.

54. For at sikre klarhed om, hvilke personoplysninger der behandles, og for at sikre, at den række oplysninger, der behandles, står i forhold til målene med forslaget, anbefaler EDPS de tydeliggørelser, der er fastsat her i afsnit 3.7.

Sætningen »identitet for personer« bør tydeliggøres i det foreslåede direktiv

55. Det bestemmes ikke i artikel 2 i direktiv 2009/101/EF, hvilke »oplysninger« om de berørte personer (virksomhedsrepræsentanter og andre personer involveret i virksomhedsledelsen) der skal offentliggøres.

56. Sætningen »particulars of persons« er oversat meget forskelligt i de forskellige sprogudgaver. For eksempel er sætningen oversat til »l’identité des personnes« (dvs. identiteten for personer) på fransk, »le generalità delle persone« (dvs. personoplysninger såsom for- og efternavn) på italiensk, »személyek adatai« (dvs. personoplysninger) på ungarsk, »de identiteit van de personen« (dvs. identiteten for personer) på nederlandsk og »identitatea persoanelor« (dvs. identiteten for personer) på rumænsk.

57. I nogle medlemsstater offentliggøres direktørers og/eller andre personers som f.eks. aktionærers privatadresser rutinemæssigt på internettet. I nogle medlemsstater holdes disse oplysninger fortrolige i det virksomhedsregister, oplysningerne sendes til, af fortrolighedshensyn, herunder frygt for identitetstyveri.

58. EDPS anbefaler, at artikel 2 i direktiv 2009/101/EF ændres for at tydeliggøre, om nogen personoplysninger ud over navnene på de berørte personer (virksomhedsrepræsentanter og andre personer involveret i virksomhedsledelsen) skal offentliggøres. I denne forbindelse bør behovet for gennemsigtighed og nøjagtig identifikation af disse personer nøje overvejes, men det skal også afvejes mod andre konkurrerende hensyn såsom behovet for at beskytte de pågældende personers privatliv (24).

59. Såfremt der ikke nås til enighed på grund af forskelle i national praksis, bør artikel 2 i det mindste ændres, så det kræves, at »de berørte personers fulde navn og — hvis det kræves specifikt i henhold til national lovgivning — yderligere oplysninger, der er nødvendige med henblik på identifikation af dem« offentliggøres. Det vil så stå klart, at det er op til de enkelte medlemsstater i den nationale lovgivning at afgøre, hvilken »identitet« ud over navnene der eventuelt skal offentliggøres, og at der kun vil blive krævet offentliggørelse af yderligere personoplysninger, hvis dette er nødvendigt med henblik på identifikation af de berørte personer.

60. Alternativt kan sætningen »identitet for personer« ganske enkelt erstattes af sætningen »fulde navn på personer«, da artikel 2 opstiller »mindsteoplysninger« og ikke harmoniserer indholdet af virksomhedsregistre i Europa. Det ville så være op til hver enkelt medlemsstat at afgøre, hvilke yderligere oplysninger de eventuelt ønsker at offentliggøre.

Sætningen »i ledelsen af, i tilsynet med eller i kontrollen med selskabet« bør tydeliggøres

61. I artikel 2 i direktiv 2009/101/EF kræves det ligeledes, at oplysninger om personer, der er involveret »i ledelsen af, i tilsynet med eller i kontrollen med selskabet«, skal offentliggøres. Det fremgår ikke helt klart af denne brede formulering, om oplysninger om aktionærerne skal offentliggøres: Det gælder navnlig oplysninger om aktionærer, som har i) en væsentlig, indflydelsesrig eller kontrollerende aktieandel over en vis grænse, eller ii) som via gyldne aktier, specifikke kontraktlige ordninger eller andet har en effektiv kontrol/indflydelse på selskabet.

62. EDPS er klar over, at der er behov for en bred formulering, som kan dække de mange forskellige virksomhedsledelsesstrukturer, der i øjeblikket findes for selskaber med begrænset ansvar i de forskellige medlemsstater. Når det er sagt, er retssikkerhed omkring de personkategorier, hvis data kan offentliggøres, vigtig ud fra et databeskyttelsessynspunkt. EDPS anbefaler, at artikel 2 i direktiv 2009/101/EF ændres, så det tydeliggøres, hvilke personoplysninger vedrørende aktionærer der eventuelt skal offentliggøres. I denne forbindelse skal der gennemføres en vurdering af proportionaliteten i henhold til Schecke (som anført ovenfor).

Offentliggørelse af oplysninger ud over mindstekravene; sortlister

63. Selv om forslaget ikke kræver udveksling eller offentliggørelse af personoplysninger ud over mindstekravene fastsat i artikel 2 i direktiv 2009/101/EF, udelukker det heller ikke, at medlemsstaterne, hvis de måtte vælge det, kan kræve, at deres virksomhedsregistre behandler eller offentliggør andre personoplysninger og gør sådanne oplysninger tilgængelige også via den fælles europæiske platform/adgangspunkt og/eller udveksling af sådanne oplysninger med virksomhedsregistre i andre medlemsstater.

64. Dette er et særlig følsomt spørgsmål med hensyn til »sortlister«. I nogle lande fungerer det elektroniske register de facto som en form for »sortliste«, og alle tredjeparter kan søge i det via en elektronisk portal for information om virksomhedsrepræsentanter, der er blevet udelukket fra deres aktiviteter.

65. For at løse dette spørgsmål anbefaler EDPS, at det i forslaget tydeliggøres, om og i hvilken udstrækning medlemsstaterne med tiden kan offentliggøre flere oplysninger via den fælles portal og/eller med tiden kan udveksle yderligere oplysninger med hinanden på grundlag af deres egne nationale lovgivninger, hvis de måtte vælge det. I dette tilfælde bør en stram vurdering af proportionaliteten (jf. Schecke nævnt ovenfor) baseres på national lovgivning, ligesom den også skal tage hensyn til målene med det indre marked.

66. Derudover foreslår EDPS, at anvendelsen af disse beføjelser knyttes sammen med en rolle, som de nationale databeskyttelsesmyndigheder skal spille, f.eks. gennem høring.

67. Endelig understreger EDPS, at det bør fremgå specifikt af det foreslåede direktiv, hvis en europæisk ordning specifikt skulle kræve sådanne sortlister (25).

3.8. Garantier, der skal sikre formålsbegrænsning; beskyttelsesforanstaltninger mod datahøst, data mining, samkøring af data og for vidtgående søgninger

68. EDPS anbefaler, at det foreslåede direktiv skal indeholde specifikke bestemmelser om, at der i alle tilfælde, hvor personoplysninger offentliggøres eller på anden måde deles mellem virksomhedsregistre, skal findes passende beskyttelsesmekanismer, særlig mod datahøst, data mining, samkøring af data og for vidtgående søgninger, for at sikre, at personoplysninger, der er stillet til rådighed af hensyn til gennemsigtigheden, ikke misbruges til andre uvedkommende formål (26).

69. EDPS understreger navnlig behovet for at overveje teknologiske og organisatoriske foranstaltninger i henhold til princippet om indbygget databeskyttelse (Privacy by Design) (jf. afsnit 3.14 nedenfor). Den praktiske gennemførelse af disse beskyttelsesmekanismer kan overlades til delegerede retsakter. Principperne bør dog fastsættes i selve det foreslåede direktiv.

3.9. Oplysning af de registrerede og gennemsigtighed

70. EDPS anbefaler, at det foreslåede direktiv skal indeholde særlige bestemmelser med krav om, at oplysninger henhørende under artikel 10 og 11 i direktiv 95/46/EF (og tilsvarende bestemmelser i forordning (EF) nr. 45/2001, hvis det er relevant) skal gives til de registrerede på en effektiv og detaljeret måde. Derudover kan direktivet afhængigt af den forvaltningsstruktur, der opnås enighed om, og de forskellige involverede parters roller og ansvar, specifikt kræve, at operatøren af systemet skal spille en proaktiv rolle ved at give meddelelse og andre oplysninger til de registrerede på sit websted også »på vegne af« virksomhedsregistrene. Yderligere oplysninger kan medtages i delegerede retsakter efter behov eller kan fastsættes i en databeskyttelsespolitik.

3.10. Ret til adgang, berigtigelse og sletning

71. Forslaget bør som minimum indeholde en henvisning til kravet om udvikling af retningslinjerne for en ordning (i delegerede retsakter) for at gøre det muligt for de registrerede at benytte sig af deres rettigheder. Der bør også henvises til muligheden for at skabe et databeskyttelsesmodul og muligheden for indbyggede databeskyttelsesløsninger i forbindelse med samarbejde mellem myndigheder med hensyn til adgangsrettigheder samt »bemyndigelse af de registrerede«, hvor det er relevant.

3.11. Gældende lov

72. Da det er muligt, at Kommissionen eller en anden EU-institution/-organ også kan behandle personoplysninger i det elektroniske netværk (f.eks. ved at fungere som operatør af netværket eller ved at fremhente personoplysninger fra det), bør der også henvises til forordning (EF) nr. 45/2001.

73. Det bør også tydeliggøres, at direktiv 95/46/EF finder anvendelse på virksomhedsregistre samt på andre parter, der er underlagt de nationale love i medlemsstaterne, mens forordning (EF) nr. 45/2001 finder anvendelse på Kommissionen og andre EU-institutioner og -organer.

3.12. Overførsler af personoplysninger til tredjelande

74. Med hensyn til overførsler af personoplysninger fra indehaveren af et virksomhedsregister i EU til indehaveren af et virksomhedsregister i et tredjeland, der ikke er forbundet med en passende grad af beskyttelse af personoplysninger, understreger EDPS først og fremmest, at det er vigtigt at skelne mellem to situationer: — tilfælde, hvor personoplysningerne allerede findes i et offentligt register (f.eks. via den fælles europæiske platform/adgangspunkt) og — tilfælde, hvor personoplysningerne ikke er offentligt tilgængelige.

75. I forbindelse med førstnævnte tilfælde åbner artikel 26, stk. 1, litra f), i direktiv 95/46/EF mulighed for en undtagelse, når »videregivelsen finder sted fra et offentligt register«, forudsat at visse betingelser er overholdt. For eksempel hvis indehaveren af et virksomhedsregister i et europæisk land ønsker at overføre en bestemt række personoplysninger (f.eks. i forbindelse med registrering af udenlandske filialer) til indehaveren af et virksomhedsregister i et tredjeland, og de samme oplysninger allerede ville være offentligt tilgængelige under alle omstændigheder, bør det være muligt at foretage overførslen, som om det pågældende tredjeland ikke yder en tilstrækkelig beskyttelse.

76. I forbindelse med det andet tilfælde anbefaler EDPS, at forslaget tydeliggør, at overførsler af oplysninger, der ikke er offentligt tilgængelige, kun kan foretages til enheder eller personer i et tredjeland, der ikke yder en passende beskyttelse, hvis den registeransvarlige påberåber sig passende beskyttelsesforanstaltninger med hensyn til beskyttelse af privatlivets fred og grundlæggende rettigheder og frihedhedsrettigheder for de enkelte personer og med hensyn til udøvelse af de tilsvarende rettigheder. Sådanne beskyttelsesforanstaltninger kan navnlig følge af passende kontraktbestemmelser i henhold til artikel 26, stk. 2, i direktiv 95/46 (27). I tilfælde, hvor sådanne dataoverførsler til tredjelande systematisk omfatter data, der deles mellem virksomhedsregistre i to eller flere EU-lande, eller hvor en indsats på EU-plan i øvrigt er ønskelig, kan forhandlingen af kontraktbestemmelser også ske på EU-plan (artikel 26, stk. 4).

77. EDPS understreger, at andre undtagelser som den, hvor (artikel 26, litra d)) »videregivelsen er nødvendig eller følger af lov eller bestemmelser fastsat med hjemmel i lov for at beskytte en vigtig samfundsinteresse eller for, at et retskrav kan fastlægges, gøres gældende eller forsvares«, ikke bør anvendes til at begrunde systematiske dataoverførsler via elektroniske netværk til tredjelande.

3.13. Ansvarliggørelse og indbygget databeskyttelse

78. EDPS anbefaler, at der i forslaget specifikt henvises til og stræbes efter at gennemføre princippet om ansvarliggørelse (28), og at der fastsættes en klar ramme for passende interne mekanismer og kontrolsystemer for at sikre overholdelse af databeskyttelse og fremlæggelse af bevis herfor, som f.eks.: — Udførelse af en vurdering af indvirkningen på privatlivets fred (herunder også en analyse af sikkerhedsrisikoen) inden systemet udformes — Vedtagelse og opdatering efter behov af en formel databeskyttelsespolitik (gennemførelsesbestemmelser) også med hensyn til en sikkerhedsplan — Udførelse af periodiske revisioner for at vurdere den fortsatte egnethed af og overensstemmelse med databeskyttelsen og sikkerhedspolitikken — Offentliggørelse (i det mindste delvist) af resultaterne af disse revisioner for at forsikre interessenterne om, at databeskyttelsen overholdes — Indberetning af brud på databeskyttelsen og andre sikkerhedshændelser.

79. Med hensyn til indbygget databeskyttelse (29) bør forslaget specifikt henvise til dette princip, og det bør også udmønte denne forpligtelse i konkrete aktioner. Forslaget bør navnlig indeholde en bestemmelse om, at det elektroniske netværk skal være sundt og sikkert opbygget, så det har en lang række indbyggede mekanismer til beskyttelse af privatlivets fred. Nogle få mulige eksempler på indbygget databeskyttelse omfatter følgende: — en decentraliseret strategi, hvorved data kun lagres i en »masterkilde« og hver enkelt »distributør« kun henter data fra denne »master« kilde (for at sikre, at dataene er ajourførte) — automatiske processer, der søger efter uoverensstemmelser og unøjagtigheder i oplysningerne — begrænsede søgemuligheder, så der kun hentes data, der er proportionale og passende i forhold til formålet — andre beskyttelsesmekanismer for at forhindre/begrænse bulk-downloading, data mining, for vidtgående søgninger og sikre en formålsbegrænsning; beskyttelsesforanstaltninger for at forhindre eller begrænse tredjeparters muligheder for at bruge søgegrænsefladen til datahøst og opstilling af profiler for enkeltpersoner (f.eks. captcha (30) eller et krav om betaling ved registrering) — indlejret systemfunktionalitet for at gøre det lettere for de registrerede at udøve deres rettigheder effektivt; indlejrede funktionaliteter, så virksomhedsregistre kan koordinere indbyrdes med hensyn til den registreredes adgang til anmodninger — procedurer for håndtering af oplysninger om ansøgere, der har downloadet oplysninger fra det offentlige register på en sikker måde, der beskytter privatlivets fred — revisionsmeknismer/mekanismer til elektronisk identifikation.

IV. KONKLUSIONER

80. EDPS støtter målene med forslaget. EDPS' bemærkninger skal ses i lyset af denne konstruktive strategi.

81. EDPS understreger, at de nødvendige databeskyttelsesforanstaltninger bør fremgå klart og specifikt direkte af selve direktivets tekst, da de anses for at være væsentlige elementer. Yderligere bestemmelser vedrørende gennemførelsen af specifikke beskyttelsesforanstaltninger kan derefter fastsættes i delegerede retsakter.

82. Spørgsmålene om forvaltning, roller, kompetencer og ansvar skal behandles i det foreslåede direktiv. Med henblik herpå skal følgende fremgå af det foreslåede direktiv: — hvorvidt det elektroniske netværk skal drives af Kommissionen eller af en tredjepart, og hvorvidt det vil have en centraliseret eller decentraliseret struktur — de opgaver og ansvar, der påhviler de enkelte parter involveret i databehandling og forvaltning af det elektroniske netværk, herunder Kommissionen, medlemsstaternes repræsentanter, indehaverne af virksomhedsregistre i medlemsstaterne og eventuelle tredjeparter — forholdet mellem det elektroniske system, der er omhandlet i forslaget, og andre initiativer såsom IMI, e-Justice-portalen og EBR. — specifikke og utvetydige elementer for at fastslå, om en bestemt aktør bør betragtes som en »registeransvarlig« eller som en »registerfører«.

83. Alle databehandlingsaktiviteter via det elektroniske netværk bør baseres på en bindende retsakt såsom en specifik EU-retsakt vedtaget på et solidt retsgrundlag. Dette bør klart fastsættes i det foreslåede direktiv.

84. Bestemmelserne om gældende lov bør tydeliggøres og indeholde en henvisning til forordning (EF) nr. 45/2001.

85. Med hensyn til overførsler af personoplysninger til tredjelande bør forslaget tydeligegøre, at overførsler i princippet og med undtagelse af de tilfælde, der henhører under artikel 26, stk. 1, litra f), i direktiv 95/46/EF, kun kan foretages til enheder eller personer i et tredjeland, der ikke yder en passende beskyttelse, hvis den registeransvarlige påberåber sig passende beskyttelsesforanstaltninger med hensyn til beskyttelse af privatlivets fred og grundlæggende rettigheder og frihedhedsrettigheder for de enkelte personer og med hensyn til udøvelse af de tilsvarende rettigheder. Sådanne beskyttelsesforanstaltninger kan navnlig følge af passende kontraktbestemmelser i henhold til artikel 26 i direktiv 95/46/EF.

86. Kommissionen bør endvidere nøje vurdere, hvilke tekniske og organisatoriske foranstaltninger der skal træffes for at sikre, at privatlivets fred og databeskyttelse »indbygges« i det elektroniske netværks arkitektur (»privacy by design«), og at der findes passende kontrolforanstaltninger, som kan sikre overholdelse af databeskyttelsen og levere bevis herfor (»ansvarliggørelse«).

87. EDPS' øvrige anbefalinger omfatter følgende: — Det bør klart fremgå af det foreslåede direktiv, at det elektroniske netværk skal muliggøre i) dels specifikke manuelle dataudvekslinger mellem virksomhedsregistre, ii) dels automatiserede dataoverførsler. Forslaget bør også ændres for at sikre, at i) delegerede retsakter detaljeret omfatter såvel manuelle som automatiserede dataudvekslinger og ii) alle behandlinger, der kan involvere personoplysninger (ikke blot lagring og fremhentning); og at iii) specifikke databeskyttelsesbestemmelser i delegerede retsakter sikrer den praktiske anvendelse af relevante databeskyttelsesforanstaltninger. — Forslaget bør ændre artikel 2 i direktiv 2009/101/EF for at tydeliggøre, hvilke personlige oplysninger der eventuelt skal offentliggøres ud over navnene på de berørte personer. Det bør også tydeliggøres, om oplysninger om aktionærer skal offentliggøres. I denne forbindelse bør behovet for gennemsigtighed og nøjagtig identifikation af disse personer nøje overvejes, men det skal også opvejes mod andre konkurrerende hensyn såsom behovet for at beskytte de berørte personers ret til beskyttelse af personoplysninger. — Det bør tydeliggøres i forslaget, om medlemsstaterne med tiden kan offentliggøre flere oplysninger via den fælles portal (og/eller udveksle flere oplysninger med hinanden) på grundlag af deres egne nationale love og under hensyntagen til supplerende databeskyttelsesforanstaltninger. — Det bør specifikt fremgå af det foreslåede direktiv, at personoplysninger, der stilles til rådighed af hensyn til gennemsigtigheden, ikke vil blive misbrugt til andre uvedkommende formål, og at der med henblik herpå bør gennemføres teknologiske og organisatoriske foranstaltninger i overensstemmelse med princippet om indbygget databeskyttelse. — Forslaget bør også omfatte specifikke foranstaltninger med hensyn til underretning af de registrerede samt et krav om udvikling af retningslinjer for en ordning, der skal gøre det muligt for de registrerede at gøre brug af deres rettigheder, i delegerede retsakter.

Udfærdiget i Bruxelles, den 6. maj 2011. Giovanni BUTTARELLI Europæisk assisterende tilsynsførende for databeskyttelse

(1) EFT L 281 af 23.11.1995, s. 31.

(2) EFT L 8 af 12.1.2001, s. 1.

(3) Af nemhedshensyn vil »centrale registre og handels- og selskabsregistre« i denne udtalelse blive betegnet »virksomhedsregistre«.

(4) Europa-Parlamentets og Rådets direktiv 2009/101/EF af 16. september 2009 om samordning af de garantier, som kræves i medlemsstaterne af de i traktatens artikel 48, stk. 2, nævnte selskaber til beskyttelse af såvel selskabsdeltagernes som tredjemands interesser, med det formål at gøre disse garantier lige byrdefulde (EUT L 258 af 1.10.2009, s. 11).

(5) Rådets ellevte direktiv 89/666/EØF af 21. december 1989 om offentlighed vedrørende filialer oprettet i en medlemsstat af visse former for selskaber henhørende under en anden stats retsregler (EFT L 395 af 30.12.1989, s. 36).

(6) Europa-Parlamentets og Rådets direktiv 2005/56/EF af 26. oktober 2005 om grænseoverskridende fusioner af selskaber med begrænset ansvar (EUT L 310 af 25.11.2005, s. 1).

(7) Direktiv 2009/101/EF nævnt ovenfor. I direktivets artikel 1 begrænses anvendelsesområdet for direktivets bestemmelser til »aktieselskab, kommanditaktieselskab, anpartsselskab«.

(8) Europa-Parlamentets og Rådets direktiv 2003/58/EF af 15. juli 2003 om ændring af Rådets direktiv 68/151/EØF for så vidt angår offentlighed vedrørende visse selskabsformer (EUT L 221 af 4.9.2003, s. 13).

(9) Direktiv 2005/56/EF nævnt ovenfor.

(10) Rådets forordning (EF) nr. 2157/2001 af 8. oktober 2001 om statut for det europæiske selskab (SE) (EFT L 294 af 10.11.2001, s. 1).

(11) Rådets forordning (EF) nr. 1435/2003 af 18. august 2003 om statut for det europæiske andelsselskab (SCE) (EUT L 207 af 18.8.2003, s. 1).

(12) http://www.ebr.org/

(13) http://www.briteproject.eu

(14) https://e-justice.europa.eu/home.do

(15) http://ec.europa.eu/internal_market/imi-net/index_da.html

(16) Markedet for salg af denne form for selskabsoplysninger er rent faktisk voksende: Tjenesteydere på dette marked klassificerer selskabers/enkeltpersoners troværdighed på grundlag af oplysninger indhentet fra mange kilder herunder virksomhedsregistre, dombøger, insolvensregistre osv.

(17) Jf. forslaget til artikel 4a, stk. 3, litra a), i direktiv 2009/101/EF.

(18) Da sammenkobling ikke i øjeblikket planlægges i forslaget, vil EDPS ikke drøfte dette spørgsmål i sin udtalelse i denne fase. Alligevel henledes opmærksomheden på den omstændighed, at såfremt man måtte overveje en sammenkobling, kan dette kræve en separat vurdering af proportionaliteten og vedtagelse af yderligere passende databeskyttelsesforanstaltninger.

(19) Jf. artikel 2, litra d) og e), i såvel direktiv 95/46/EF som forordning (EF) nr. 45/2001. Jf. også udtalelse 1/2010 af 16. februar 2010 fra Artikel 29-Gruppen om Databeskyttelse vedrørende begreberne »registeransvarlig« og »registerfører« (WP169).

(20) Da databeskyttelseslovgivningen ikke er fuldt harmoniseret på europæisk plan, er den registeransvarliges identitet relevant ved bestemmelsen af, hvilken national lovgivning der er gældende. Derudover er det også relevant at fastslå, om direktiv 95/46/EF eller forordning (EF) nr. 45/2001 er gældende: Hvis Kommissionen (også) er registeransvarlig, vil forordning (EF) nr. 45/2001 (også) finde anvendelse, som det fremgår af afsnit 3.11 nedenfor.

(21) Til en vis grad med undtagelse af dataudvekslinger i tilfælde af grænseoverskridende fusioner, flytninger af hjemsted og ajourføring af oplysningerne i den udenlandske filials register, som specifikt drøftes i forslaget.

(22) Hvis der findes et potentielt behov for databehandling på et område af det indre marked, der ikke er omfattet af en specifik EU-retsakt, opfordrer EDPS i denne henseende til yderligere overvejelser af retningslinjerne i en retsakt, der, måske i kombination med traktatens bestemmelser, tillader specifikke bestemmelser i det foreslåede direktiv og yderligere delegerede retsakter for at skabe et passende retsgrundlag ud fra et databeskyttelsesperspektiv. Det bør også fremgå specifikt af det foreslåede direktiv, om virksomhedsregistrene kan anvende det elektroniske netværk og det fælles adgangspunkt til at udveksle eller offentliggøre personoplysninger, der ikke er omfattet af en EU-retsakt, men som er tilladt eller krævet i henhold til national lovgivning.

(23) Jf. forslaget til artikel 4a, stk. 3, litra a), i direktiv 2009/101/EF.

(24) Der bør foretages en vurdering af proportionaliteten navnlig under hensyntagen til de kriterier, som EU-Domstolen har fastsat i Schecke og Eifert (EU-Domstolens dom af 9. november 2010, forenede sager C-92/09 og C-93/09, jf. navnlig præmis 81, 65 og 86). I Schecke-dommen understregede EU-Domstolen, at undtagelser fra og begrænsninger af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige. EU-Domstolen fandt desuden, at institutionerne skulle undersøge forskellige fremgangsmåder til offentliggørelse af oplysninger for at finde frem til en, der ville være forenelig med formålet med en sådan offentliggørelse og samtidig ville være mindre indgribende i de registreredes ret til respekt for deres privatliv i almindelighed og ret til beskyttelse af deres personoplysninger i særdeleshed.

(25) Da der i øjeblikket ikke er planer om at medtage dette i forslaget, vil EDPS ikke drøfte dette spørgsmål i sin udtalelse i denne fase. Alligevel henledes opmærksomheden på den omstændighed, at såfremt man måtte overveje dette, kan det kræve en separat vurdering af proportionaliteten og vedtagelse af yderligere passende databeskyttelsesforanstaltninger.

(26) Jf. artikel 6, litra b), i direktiv 95/46/EF og forordning (EF) nr. 45/2001.

(27) Hvis der er mulighed for, at Kommissionen i visse tilfælde kan være blandt de aktører, der overfører oplysninger til tredjelande, bør der også henvises til artikel 9, stk. 1, og artikel 9, stk. 7, i forordning (EF) nr. 45/2001.

(28) Jf. afsnit 7 i EDPS' udtalelse om Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Økonomiske og Sociale Udvalg og Regionsudvalget »En global metode til beskyttelse af personoplysning er i Den Europæiske Union« af 14. januar 2011 på http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf

(29) Idem.

(30) En »captcha« er en form for spørgsmål-svar-test, der anvendes inden for databehandling i et forsøg på at sikre, at svaret ikke genereres af en computer.