49. opfordrer indtrængende Kommissionen til at forelægge forslag til retsgrundlag for at fortsætte vel-
lykkede pilotaktioner og forberedende aktioner, især hvad angår de forberedende aktioner, som befinder sig
i deres andet eller tredje år, med henblik på at tilgodese dem i budgettet for 2001;
*
**
50. pålægger sin formand at sende denne beslutning til Rådet og Kommissionen.
14. Safe Harbor-principper
A5-0177/2000
Europa-Parlamentets beslutning om udkast til Kommissionens beslutning om tilstrækkeligheden af
de amerikanske safe harbor-principper og relaterede hyppige spørgsmål (FAQ) udstedt af det
amerikanske handelsministerium (C5-0280/2000 ,dash 2000/2144(COS))
Europa-Parlamentet,
«dash der henviser til Europa-Parlamentets og Rådets direktiv 95/46/EF om beskyttelse af fysiske personer i
forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(1) (i det
følgende benævnt »direktivet«), særlig artikel 25,
«dash der henviser til udkast til Kommissionens beslutning (C5-0280/2000),
«dash der henviser til den udtalelse (WP 32), om dette emne, som den gruppe, der er nedsat ved artikel 29 i
direktivet, vedtog enstemmigt den 16. maj 2000, samt tidligere udtalelser om samme emne (WP 12 og
WP 27),
«dash der henviser til udtalelse af 31. maj 2000 fra det udvalg, der er nedsat ved artikel 31 i direktivet,
«dash der henviser til Rådets afgørelse 1999/468/EF(2) om fastsættelse af de nærmere vilkår for udøvelsen af
de gennemførelsesbeføjelser, der tillægges Kommissionen, særlig artikel 8 om gennemførelsesforan-staltninger,
«dash der henviser til forretningsordenens artikel 88,
«dash der henviser til betænkning fra Udvalget om Borgernes Friheder og Rettigheder og Retlige og Indre
Anliggender (A5-0177/2000),
Betydningen af databeskyttelse inden for rammerne af Unionens kompetenceområder
A. der konstaterer,
a) at udviklingen i informationssamfundet og e-handelen på verdensplan giver sig udtryk i en eks-
ponentiel vækst i dataudvekslingen og de risici, der er forbundet med misbrug af disse data,
b) at dette misbrug ikke blot bremser e-handelens udvikling, fordi det underminerer forbrugernes
tillid, men også ofte krænker personers rettigheder og friheder og især privatlivets fred,
c) at databeskyttelse betyder beskyttelse af den person, som de databehandlede oplysninger refererer
til, og at denne beskyttelse omfattes af de grundlæggende rettigheder, Unionen anerkender
(artikel 8 i den europæiske konvention til beskyttelse af menneskerettighederne, hvortil der hen-
vises i unionstraktatens artikel 6 og i EF-traktatens artikel 286),
(1) EFT L 281 af 23.11.1995, s. 31.
(2) EFT L 184 af 17.7.1999, s. 23.C 121/152 DA 24.4.2001 De Europæiske Fællesskabers Tidende
Onsdag, den 5. juli 2000
d) at direktivet med udgangspunkt i Europarådets konvention nr. 108 (1981) samt OECD’s (1980)
og FN’s (1990) retningslinjer baserer denne beskyttelse på en definering af særlige rettigheder, som
den pågældende person nyder godt af, og tilsvarende pligter for den, der behandler oplysningerne,
og for den, der kontrollerer denne behandling,
e) at denne beskyttelse ville være nyttesløs, hvis den kun gjaldt inden for Unionens territorium og
der ikke, som det kræves i direktivet, også blev garanteret en tilstrækkelig beskyttelse i tredjelande,
som oplysningerne overføres til,
f) at der også må kræves et tilstrækkeligt beskyttelsesniveau for personoplysninger i samtlige lande,
hvortil dataoverførsel er tilladt, for at undgå, at forskellige beskyttelsesniveauer skal fremme for-
vridninger i brugen af oplysninger og overflytning af deres behandling i modstrid med GATS-
aftalerne,
g) at det er Kommissionens pligt på unionsborgernes og medlemsstaternes vegne at sikre sig, at der i
tredjelandene findes et tilstrækkeligt beskyttelsesniveau,
Kommissionens rolle og de betingelser og kriterier, den skal anvende for at vurdere tilstrækkeligheden
af det beskyttelsesniveau, tredjelande garanterer
B. der er af den overbevisning,
a) at Kommissionen i sin vurdering af, om det beskyttelsesniveau, tredjelande garanterer, er tilstræk-
keligt, bør tage hensyn til tredjelandets divergerende juridiske, økonomiske og teknologiske udvik-
lingsstadium i forhold til europæiske normer,
b) at et tilstrækkeligt beskyttelsesniveau ikke i sig selv betyder, at tredjelandet skal have samme nor-
mer som Unionen, men at den registrerede skal beskyttes effektivt, uanset hvilken form for lov-
givningsmæssig beskyttelse der finder anvendelse i tredjelandet,
c) at beskyttelsen i et tredjeland skal betragtes som tilstrækkelig, når dens effektivitet kan måles ud
fra objektive data, såsom muligheden for at fastslå, hvem forpligtelserne påhviler, af hvilken art de
behandlede oplysninger er, hvilken brug der kan gøres af dem, og hvilke mekanismer der er ind-
ført for at garantere beskyttelsen,
d) at den beskyttelse, som tredjelandet garanterer, skal opfylde følgende minimumskrav, som unions-
staternes datatilsynsmyndigheder har opstillet (udtalelse WP 12 af juni 1998):
1. Formålsafgrænsningsprincippet «dash Data skal behandles med et ganske bestemt formål og må
derefter kun benyttes eller videregives, hvis dette ikke er uforeneligt med formålet med over-
førslen. De eneste tilladte undtagelser bør være dem, der er nødvendige i et demokratisksamfund af en af de grunde, der er anført i artikel 13 i direktivet.
2. Datakvalitets- og dataproportionalitetsprincippet «dash Data skal være nøjagtige og om nødven-
digt ajourførte. Data skal være fyldestgørende, relevante og ikke overdrevne i forhold til de
formål, hvortil de videregives eller viderebehandles.
3. Gennemsigtighedsprincippet «dash Enkeltpersoner skal oplyses om formålet med en behandling
og den registeransvarliges identitet i tredjelande samt gives yderligere oplysninger, hvis detteer nødvendigt for at sikre en rimelig behandling. De eneste tilladte undtagelser skal være i
overensstemmelse med artikel 11, stk. 2(
1), og artikel 13 i direktivet.
4. Sikkerhedsprincippet «dash Den registeransvarlige skal træffe tekniske og organisatoriske sikker-
hedsforanstaltninger, som svarer til de risici, behandlingen frembyder. Personer, der handler
under den registeransvarliges ansvar, herunder registerførere, må kun behandle data, hvis
dette sker efter instruks fra den registeransvarlige.
(1) Artikel 11, stk. 2, fastsætter, at når oplysninger indsamles hos andre end den registrerede, skal den registrerede ikke
underrettes, hvis dette viser sig umuligt eller er uforholdsmæssigt vanskeligt, eller hvis registreringen eller videregi-
velsen af oplysningerne er udtrykkeligt fastsat ved lov.24.4.2001 DA C 121/153 De Europæiske Fællesskabers Tidende
Onsdag, den 5. juli 2000
5. Ret til indsigt, berigtigelse og indsigelse «dash Den registrerede skal have ret til at få udleveret en
kopi af alle data vedrørende ham/hende, der behandles, og ret til berigtigelse af sådanne data,
hvis de viser sig at være urigtige. I visse situationer skal den registrerede også have ret til at
modsætte sig en behandling af data vedrørende ham/hende. Undtagelser fra disse rettigheder
skal være i overensstemmelse med artikel 13 i direktivet.
6. Begrænsninger i videre overførsel «dash Videre overførsel af personoplysninger fra den oprinde-
lige modtagers side er kun tilladt, hvis den anden modtager (dvs. modtageren af den videre
overførsel) også er underlagt regler, der yder et tilstrækkeligt beskyttelsesniveau. De eneste
undtagelser herfra skal være i overensstemmelse med artikel 26, stk. 1, i direktivet.
C. der henviser til garantierne for en effektiv implementering af aftalen, er det også nødvendigt at sikre
følgende mål, især hvis reglerne om databehandling der vurderes, er baseret på selvregulering:
«dash Instrumentet skal have mekanismer, der effektivt sikrer en høj grad af generel overholdelse. Et
system med afskrækkende og straffende sanktioner er én måde at opnå dette på. Obligatoriske
eksterne auditter er en anden.
«dash Instrumentet skal yde støtte og hjælp til individuelle registrerede, som står over for et problem
med behandling af personoplysninger vedrørende dem selv. Der skal derfor være et let tilgænge-
ligt, upartisk og uafhængigt organ til at behandle klager fra de registrerede og træffe afgørelse om
overtrædelser af kodeksen.
«dash Instrumentet skal garantere en genoprejsning i tilfælde af manglende overholdelse. En registreret
skal kunne ty til et retsmiddel for at løse sit problem og om nødvendigt opnå erstatning.
Den amerikanske databeskyttelsesordning
D. der gør opmærksom på, at der i De Forenede Stater
a) ikke i øjeblikket findes nogen generelt anvendt lovfæstet databeskyttelse inden for den private
sektor, og i øjeblikket foregår behandling af næsten samtlige data uden nogen speciel garanti for
judiciel beskyttelse,
b) imidlertid stadig ligger mange ikke-færdigbehandlede lovforslag i Kongressen, at den amerikanske
præsident selv for nylig påpegede nødvendigheden af yderligere lovindgreb, samt at også Federal
Trade Commission i sin tredje rapport til Kongressen om, hvorledes selvreguleringsordningen på
det elektroniske marked fungerer, udtaler sig i samme retning,
c) i hvert enkelt tilfælde skal de retningslinjer, som OECD vedtog om beskyttelse af personoplysnin-
ger (underskrevet af USA i 1980 og bekræftet på OECD-konferencen i Ottawa i september 1998)
finde anvendelse.
Karakteren og rækkevidden af håndhævelse af de foreslåede safe harbor-fortrolighedsprincipper
E. der henviser til, at det amerikanske handelsministerium i stedet for at fremme lovgivningsinitiativer
agter at foreslå virksomhederne safe harbor-principperne til beskyttelse af personoplysninger (TheSafe Harbor Privacy Principles) og et sæt hyppige spørgsmål (Frequently Asked Questions; FAQ),hvori der nærmere redegøres for disse principper,
a) som udelukkende gælder for personoplysninger af EU-oprindelse og tillægges værdi som en fri-
villig standard, der tilbydes de virksomheder, som agter at modtage data fra EU, men er bindende
for de virksomheder, der vælger at tilslutte sig dem og håndhæves af private tvistbilæggelsesorga-
ner og offentlige organer med beføjelse til at udstede forbud eller påbud i forbindelse med illoyal
eller vildledende praksis,
b) som kun omfatter virksomheder, der henhører under Federal Trade Commissions og transportmi-
nisteriets kompetence (hermed udelukkes for eksempel virksomheder inden for banksektoren og
telekommunikationssektoren),C 121/154 DA 24.4.2001 De Europæiske Fællesskabers Tidende
Onsdag, den 5. juli 2000
c) som tillader undtagelser (FAQ 15), hvad angår oplysninger i offentlige registre og offentligt til-
gængelige oplysninger (f.eks. matrikelregister, telefon, selvangivelser, valglister), som er beskyttet
i henhold til fællesskabslovgivningen,
d) som anvender uklare definitioner som »foretagender« (hvor der kan være tale om såvel virksom-
heder som firmagrupper) og udtrykkelige tilladelser (hvorved det tillades at afvige fra princip-perne),
e) som ikke omfatter nogen personlig og effektiv klageadgang til nogen offentlig instans (FAQ 11),
f) som ikke gør det muligt med sikkerhed at konkludere, at der kan opnås erstatning for individuelle
skader som følge af eventuelle krænkelser af safe harbor-principperne,
1. indledningsvis og uanset spørgsmålet om det udkast til beslutning, der er forelagt for Parlamentet
a) noterer sig med bekymring, at der to år efter direktivet trådte i kraft er personoplysninger om EU-
borgere i omløb i tredjelande, uden at dette på nogen måde kontrolleres effektivt af Kommissionen
eller medlemsstaterne;
b) spekulerer over, i hvilket omfang data om EU-borgere allerede er misbrugt;c) anmoder medlemsstaterne og Kommissionen om at oplyse EU-borgere om risici i forbindelse med
data, der er i omløb i lande, hvor databeskyttelse ikke er sikret, eller hvor Kommissionen endnu ikke
har afsluttet vurderingen af, om et tilstrækkeligt beskyttelsesniveau er sikret;
d) er af den opfattelse at Kommissionen har gjort sig skyldig i en alvorlig forsømmelse, fordi denne ikke,
før direktivet trådte i kraft, udarbejdede standardkontraktbestemmelser, som EU-borgere kunne påbe-
råbe sig ved tredjelandsdomstole;
e) fastsætter 30. september som den dato, hvor standardkontraktbestemmelser skal forelægges for det
udvalg, der er nedsat ifølge direktivets artikel 31;
f) forbeholder sig ret til, hvis dette ikke opfyldes, at iværksætte de procedurer, der er fastsat i traktaten i
forbindelse med passitivitetssøgsmål.
Det udkast til beslutning, der er forelagt for Europa-Parlamentet
2. påpeger, at udkastet til beslutning ikke omhandler en aktuel og eksisterende situation i De Forenede
Stater, men blot tager udgangspunkt i et udkast til safe harbor-principper (og tilhørende kommentarer),
som det amerikanske handelsministerium vil udarbejde til vejledning for virksomheder, der ønsker at
opfylde direktivets beskyttelsesbetingelser;
3. ønsker at henlede Kommissionens opmærksomhed på, at udvekslingen af skrivelser mellem Kommis-
sionen og det amerikanske handelsministerium om gennemførelsen af safe harbor-principperne af de euro-pæiske og/eller amerikanske retlige myndigheder kan tolkes som en international aftale, vedtaget i strid
med EF-traktatens artikel 300 og forpligtelsen til at anmode om samstemmende udtalelse fra Europa-Parla-
mentet (Domstolens dom af 9. august 1994. Den Franske Republik mod Kommissionen for De Europæiske
Fællesskaber «dash aftale mellem Kommissionen og De Forenede Stater, sag C-327/91)(
1);
4. beklager, at der i løbet af de to sidste år ikke er foretaget høringer af europæiske virksomheder med
hensyn til faren for forskelsbehandling i forhold til amerikanske virksomheder, der vil blive underlagt data-
beskyttelse, som er mindre bindende end de forpligtelser, de europæiske virksomheder skal overholde;
5. beklager, at Kommissionen, i modsætning til de amerikanske myndigheder, der har foretaget høringer
af ngo’erne på forbrugerbeskyttelsesområdet, ikke har foretaget en tilsvarende høring af de europæiske
ngo’er på samme område;
6. understreger betydningen af at sikre det bedst mulige niveau inden for forbrugerbeskyttelse og opfor-
drer i denne forbindelse indtrængende Kommissionen til at sikre og yde bistand til fortsat overvågning af
Safe Harbor-principperne, og mener, at aftalen om, at de deltagende amerikanske virksomheder er bundet
af Safe Harbour-principperne;
(1) Sml. (1994), s. I-3641.24.4.2001 DA C 121/155 De Europæiske Fællesskabers Tidende
Onsdag, den 5. juli 2000
7. stiller spørgsmålstegn ved, at der i USA eksisterer to forskellige beskyttelsesordninger afhængigt af,
om ejerne af data er europæere eller ej, og ved, om et sådant dobbeltsystem er i overensstemmelse med
forbuddet mod forskelsbehandling på grund af nationalitet i de internationale aftaler på dette område
(OECD);
8. mener, at situationen i De Forenede Stater, for så vidt angår beskyttelsen af privatlivets fred, sandsyn-
ligvis vil undergå en hurtig udvikling i de nærmeste år, at der sandsynligvis vil blive indført ny lovgivning iDe Forenede Stater, som kan indebære strengere beskyttelsesnormer end i Safe Harbor-principperne, og at
Safe Harbor-ordningen derfor bør tilpasses, således at den ikke overhales af denne udvikling;
9. understreger, at disse principper og tilhørende kommentarer, såfremt de offentliggøres og iværksættes
af de enkelte virksomheder, ville kunne betragtes som et tilstrækkeligt beskyttelsesniveau, jf. artikel 25 idirektivet, hvis de gøres til genstand for følgende ændringer:
«dash anerkendelse af en individuel ret til at klage ved en uafhængig offentlig instans, som skal behandle alle
klager over påståede krænkelser af principperne,
«dash pligt for de tilsluttede virksomheder til at erstatte den immaterielle eller materielle skade, de berørte
personer lider i tilfælde af krænkelse af principperne, samt pligt for samme til at slette de personoplys-
ninger, der er erhvervet eller behandlet på ulovlig vis,
«dash nærmere angivelse af, hvilke foranstaltninger der bør træffes for at sikre, at data slettes og opnå erstat-
ning for den skade, der er lidt;
«dash en bestemmelse om, at Kommissionen inden seks måneder efter ordningens ikrafttræden foretager en
første kontrol af, om den fungerer korrekt, og forelægger en rapport om resultatet af kontrollen og de
konstaterede problemer for gruppen, jf. artikel 29, og for udvalget, jf. artikel 31i direktivet, samt for
Parlamentets ansvarlige udvalg;
10. opfordrer Kommissionen til at sikre, at anvendelsen af safe harbor-systemet overvåges nøje, især
men ikke blot med hensyn til de punkter, der er nævnt i punkt 8 og 9 og til at udarbejde periodiske
rapporter såvel til den gruppe og det udvalg, der er nedsat i henhold til henholdsvis artikel 29 og 31i
direktivet, samt til Parlamentets ansvarlige udvalg;
11. mener, at den frie udveksling af oplysninger først kan tillades, når samtlige safe harbor-ordningens
komponenter er operative, og de amerikanske myndigheder har meddelt Kommisisonen, at disse betingel-
ser er opfyldt;
12. opfordrer Kommissionen og medlemsstaterne til
«dash at informere de europæiske borgere fyldestgørende (i EFT eller via Internettet) om safe harbor-ordnin-
gen og forklare de fortsat eksisterende forskelle mellem safe harbor-ordningen og europæisk lovgiv-
ning vedrørende behandling af personoplysninger,
«dash at oprette en hjælpeservice (gratis infonummer, rådgivningskontor) hos de nationale tilsynsmyndighe-
der og hos Kommissionen for at imødegå eventuelle praktiske vanskeligheder (f.eks. oversættelse af
klager, formularer, etc.),
«dash hurtigt at gennemgå beslutningen ud fra indvundne erfaringer og eventuel udvikling i lovgivningen;
13. insisterer på, at Kommissionen vedføjer denne beslutning sin fremsendelsesskrivelse til de amerikan-
ske myndigheder, hvorved man udtrykkeligt understreger Parlamentets bekymring for, at der ikke forefin-
des nogen individuel ret til domstolsappel, samt at der ikke er indgået nogen aftale, som forpligter virk-
somhederne til at yde erstatning for uretmæssigt bearbejdede data;
*
**
14. pålægger sin formand at sende denne beslutning til Kommissionen og medlemsstaternes parlamen-
ter og regeringer.C 121/156 DA 24.4.2001 De Europæiske Fællesskabers Tidende
Onsdag, den 5. juli 2000