Det Økonomiske og Sociale Udvalgs udtalelse om "Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Fællesskabets institutioner og organer og om fri udveksling af sådanne oplysninger"

(2000/C 51/13)

Rådet for Den Europæiske Union besluttede den 29. september 1999 under henvisning til EF-traktatens artikel 262 at anmode om Det Økonomiske og Sociale Udvalgs udtalelse om de ovennævnte emne.

Det forberedende arbejde henvistes til ØSU's Sektion for Beskæftigelse, Sociale og Arbejdsmarkedsmæssige Spørgsmål og Borgerrettigheder, som udpegede Daniel Retureau til ordfører uden studiegruppe. Sektionen vedtog sin udtalelse den 12. november 1999.

Det Økonomiske og Sociale Udvalg vedtog på sin 368. plenarforsamling af 8.-9. december 1999, mødet den 8. december 1999, med 117 stemmer for, ingen imod og 2 hverken for eller imod, følgende udtalelse.

1. Forslagets retsgrundlag, indhold og anvendelsesområde

1.1. Retsgrundlag og begrundelse for forslaget til forordning fremgår klart af oplægget. Det drejer sig om, at direktiv 95/46/EF(1) af 24. oktober 1995 skal finde anvendelse på Fællesskabets institutioner og organer i deres behandling og udveksling af personoplysninger.

1.2. Fællesskabets institutioner og organer, og navnlig Kommissionen, behandler løbende personoplysninger som led i deres virksomhed. Kommissionen udveksler personoplysninger med medlemsstaterne som led i gennemførelsen af den fælles landbrugspolitik og strukturfondene, forvaltningen af toldunionen og forfølgelsen af andre af Fællesskabets politikker.

1.3. Ved vedtagelsen af direktivet forpligtede Kommissionen og Rådet sig i en offentlig erklæring til at overholde direktivet og opfordrede de øvrige fællesskabsinstitutioner og fællesskabsorganer til at følge trop (fælles erklæring offentliggjort den 24. oktober 1995). Næsten alle direktivets bestemmelser er siden denne dato blevet anvendt i Fællesskabets organer.

1.4. Med Amsterdam-traktatens indgåelse blev der indsat en særlig bestemmelse i EF-traktaten, artikel 286, som fastsætter, at Fællesskabets institutioner og organer fra den 1. januar 1999 skal anvende fællesskabsreglerne for beskyttelse af personoplysninger, som hovedsageligt er fastsat i direktiv 95/46/EF og direktiv 97/66/EF(2). Ligeledes fastsættes det, at anvendelsen af disse regler skal overvåges af en uafhængig kontrolinstans i overensstemmelse med den procedure, der er omtalt i artikel 251. Dette er det mest betydningsfulde nye aspekt ved forslaget til forordning.

1.5. Dette forslag til forordning tager sigte på at opfylde begge disse formål (med en lille forsinkelse i forhold til ikrafttrædelsesdatoen fastsat i EU-traktaten).

1.6. Som forslaget ser ud nu, er der visse vigtige ubesvarede spørgsmål.

1.7. Det gælder f.eks. definitionen af de fællesskabsinstitutioner og -organer, der er berørt af forordningen; i den fortegnelse, der findes som bilag til forslaget, er Europol ikke omfattet af reglerne. Hvorledes forholder det sig eksempelvis med Schengen-aftalens datanet og den dertil knyttede særlige kontrolmyndighed?: skal de forblive adskilt, eller kan de forenes? Det samme gælder de øvrige organer under den tredje søjle.

1.8. Et andet væsentligt aspekt er, at tjenestemænd og øvrige ansatte ved Fællesskabets institutioner og organer er underlagt forslagets bestemmelser, men forbindelsen mellem de forslåede bestemmelser og de vedtægter, der gælder for tjenestemænd og øvrige ansatte i De Europæiske Fællesskaber, er ikke tydelig (i bilaget er der taget højde for at involvere personaleudvalg); er personalerepræsentanterne blevet hørt? Bør behandling af personalets persondata ikke være underlagt særlige bestemmelser for at beskytte Fællesskabets ansattes privatliv og rettigheder bedst muligt, hvad enten det gælder data i ansættelsesspørgeskemaet, karrieren eller kontraktens varighed eller eventuelle fornyelse?

1.9. Endelig omfatter forslaget kun fysiske personer, hvilket afspejler begrænsningerne i direktivet fra 1995, som udelukker juridiske personer, der imidlertid kan være genstand for indsamling og udveksling af data. Imidlertid bør det understreges, at juridiske personer er omfattet af direktivet fra 1995 i det omfang, de behandler eller er indehavere af personoplysninger. Det forslag, ØSU skal udtale sig om, drejer sig kun om EU-institutionernes behandling og videregivelse af oplysninger om fysiske eller juridiske personer, men den påtænkte beskyttelse gælder imidlertid kun fysiske personer.

2. Generelle bemærkninger

2.1. Rådet, der ganske vist er i sin fulde ret til at fastsætte fristen for afgivelse af udtalelser, har givet ØSU meget kort tid til at udarbejde sin udtalelse om et forslag til forordning, der er både komplekst og betydningsfuldt, idet det vedrører beskyttelse af fysiske personer i forbindelse med behandling og udveksling af persondata.

2.1.1. ØSU ville have foretrukket at have mere tid til at deltage grundigt i det arbejde, der udspringer af den lovpligtige procedure om fælles beslutningstagning, navnlig ud fra den betragtning, at forslaget vedrører en række af de medlemmer af økonomiske og sociale organisationer, som ØSU repræsenterer.

2.2. ØSU har tidligere fremsat en udtalelse(3):

a) om to direktivforslag fra Rådet vedrørende:

- beskyttelse af personer i forbindelse med behandling af personoplysninger,

- beskyttelse af personoplysninger og kommunikationshemmeligheden i forbindelse med offentlige digitale telenet, herunder det tjenesteintegrerede digitalnet (ISDN) og offentlige digitale mobilnet;

b) og forslag til Rådets afgørelse om informationssikkerhed.

2.3. Alle de grundlæggende principper for behandling af persondata og sikkerhed for respekten for personrettigheder og privatlivet, som ØSU fremsatte i føromtalte udtalelse, er stadig aktuelle og relevante for dette forslag til forordning. De er i overensstemmelse med Europarådets konvention nr. 108(4), som bør være vejledende i vurdering af forslaget til forordning sammen med medlemsstaternes lovgivning og praksis samt direktivet fra 1995.

2.3.1. ØSU opfordrer Rådet til at henvise til de principper og forslag, der er fremsat i udtalelsen fra 1991 samt nærværende udtalelse, og at tage dem i betragtning, for så vidt muligt at gøre fremskridt i forhold til direktivet fra 1995 under hensyntagen til vanskeligheder i forbindelse med retsgrundlaget, og i hvert fald at have dem i tankerne, hvis direktivet revideres i 2001.

2.3.2. Det er ØSU's opfattelse, at Fællesskabets institutioner og organer skal tilbyde den bedst tænkelige beskyttelse og sikkerhed ved behandling af persondata og basere sig på de bedste internationale standarder og den nationale lovgivning og bedste praksis, der er højest udviklet i medlemsstaterne, således at de fremstår som det gode eksempel og fremmer harmoniseringen, navnlig taget i betragtning, at forslaget udover databehandling også handler om fri udveksling af disse data og behandlingen af de deraf følgende produkter såvel inden for som uden for EU's grænser.

2.4. Den hurtige udvikling inden for kommunikation og informationsteknologi, de mange muligheder for langvarig datalagring på forskellige medier, de meget sofistikerede behandlingsteknikker, samtrafik, udvekslingsmuligheder og adgang til information gør behovet for at øge beskyttelsen og sikkerheden for de pågældende personer, navnlig når man tager princippet om fri udveksling af data i betragtning, endnu større.

2.4.1. De selvsamme teknologier og metoder skaber imidlertid også nye muligheder for beskyttelse mod ulovlig dataadgang, transmissionssikkerhed, beskyttelse af privatlivet og håndhævelse af personrettigheder, herunder retten til indsigt, til berigtigelse eller indsigelse mod brug eller overførsel af data om den pågældende person. Man bør snarere se på de tekniske muligheder end på omkostningerne, medmindre de er uforholdsmæssigt store i forhold til det ønskede sikkerhedsniveau.

2.4.2. Sikkerhed for og beskyttelse af personrettigheder skal indgå i udstyrets udformning og i de metoder, der bruges til indsamling, behandling, anvendelse og overførsel af data. Enhver person, der er involveret i et af disse områder, lige fra indsamling til endelig brug, skal opfylde strenge krav til kompetence og fortrolighed og, hvis de brydes, skal vedkommende straffes tilstrækkeligt hårdt. Det er primært dette, forslaget handler om, og efter ØSU's mening har teksten til formål at yde beskyttelse. Den rummer generelt set tilfredsstillende sikkerhed og mulighed for indsigt, samt adgang til administrativ og retslig appel.

2.4.3. Der er gjort fremskridt i forhold til direktivet fra 1995, såsom gratis adgang til data, præcise og entydige krav til overførsel af data, definition af følsomme data og forbudt databehandling, præcis definition af begrebet "tilstrækkeligt beskyttelsesniveau" ved overførsel af data fra et land eller et organ, der ikke er omfattet af direktivet fra 1995, overvejelser om alle mulige former for databehandling, eller oprettelse af uafhængige kontrolinstanser i hver institution eller organ i Fællesskabet, og det gør det muligt af foretage forebyggende kontrol, hvilket giver en bedre beskyttelse af rettigheder, friheder og privatlivet, end en efterfølgende kontrol.

2.4.4. Alligevel bør visse regler forbedres, men ØSU er klar over, at Kommissionen i sin udarbejdelse ikke kan gå ud over den ramme, der er fastsat i 1995-direktivet, hvis utilstrækkeligheder ØSU allerede har påpeget. Juridiske personer eller sammenslutninger, som ikke har juridisk status, bør ligeledes nyde godt af særlige beskyttende regler såsom reglerne om fortrolighed eller virksomheders varemærke. En sådan beskyttelse bør sikres, og alle muligheder for at opnå den må undersøges. Bestemmelserne vedrørende uafhængige instanser, som Rådet og Europa-Parlamentet alene fastsætter reglerne for, må også forbedres.

2.5. ØSU mener, at alle aktiviteter, fra indsamling, behandling til overførsel af data, skal udspringe af klart definerede og kontrollerbare mål forud for udførelsen. De skal leve op til forslagets lovkrav og være ufravigelige for de ansvarlige organer og institutioner.

2.6. Med hensyn til personalet ved Fællesskabets institutioner og organer, mener ØSU, at der må udfærdiges et særligt kapitel vedrørende beskyttelse af persondata og privatliv. Kapitlet skal efter konsultation af de repræsentative organer give EU's fremtidige kontrolinstans mulighed for at fastsætte, hvilke spørgsmål, der ikke må stilles ved ansættelsessamtalen, navnlig vedrørende sundhed og hvorvidt kvinder er gravide eller ej, og der skal afstikkes grænser for, hvilke oplysninger den personlige sagsmappe må indeholde. Det ville i denne sammenhæng være nyttigt at lade sig inspirere af det samlede indhold af ILO's (Den Internationale Arbejdsorganisation) praktiske anvisninger om beskyttelse af arbejdstagernes persondata og dens anbefaling nr. 171 om sundhedstjenester på arbejdet (1985).

2.7. ØSU konstaterer, at forslaget omfatter samtlige organer og institutioner i Fællesskabet og godkender fortolkningen af traktatens artikel 286 om anvendelsesområdet, som gælder alle institutioner; en restriktiv fortolkning, der udelader for eksempel Euratom eller EKSF, ville have været misvisende og i modstrid med formålet.

2.8. Efterhånden som samarbejdet i den tredje søjle øges (det er ikke omfattet af direktivet fra 1995), og taget i betragtning, at det vil være nødvendigt at have et horisontalt instrument til kontrol af indsamlede, behandlede og overførte data inden for det juridiske samarbejde og politisamarbejdet, foreslår ØSU, at EU's tilsynsførende for beskyttelse af data allerede nu får udvidede beføjelser til Schengen-aftalens informationssystem og derefter til alle konventioner, der hører under den tredje søjle, og hvor databeskyttelsen i øjeblikket udføres efter egne normer og af egne beskyttelsesorganer, som ganske vist er baseret på fælles principper. Derudover må der skabes et system til databeskyttelse inden for det juridiske samarbejde, hvor dette endnu ikke eksisterer. Dette forslag vil betyde, at der muligvis må udarbejdes tillægsprotokoller til de omtalte konventioner.

2.9. De følgende forslag og mere præcise og detaljerede anbefalinger, som følger rækkefølgen i forslagets kapitler og bilag, fremsættes på baggrund af generelle observationer og den udvikling, der har fundet sted siden ØSU's forrige udtalelse.

3. Særlige bemærkninger og anbefalinger

3.1. Artikel 2, c), definitioner. Registeret defineres som "enhver struktureret samling af personoplysninger", oplysningerne behøver ikke nødvendigvis at være strukturerede, før man kan behandle og udnytte dem, derfor er det tilstrækkeligt at tale om en samling af personlige eller individuelle oplysninger.

3.2. Artikel 4, d), oplysningernes kvalitet. Der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til de formål, hvortil de indsamles; der burde stå "alle tænkelige skridt".

3.2.1. Artikel 5, d), lovlig behandling. ØSU godkender kriterierne for lovlighed, men mener, at man bør tale om "informeret samtykke".

3.3. Artikel 6, yderligere behandling. Når en behandling finder sted med andre formål end de formål, hvortil de indsamles, skal de pågældende personer informeres herom forudgående, enten når oplysningerne indsamles, eller når beslutningen om at anvende dem til et andet formål end først antaget træffes.

3.4. Artikel 9, videregivelse af oplysninger.

3.4.1. Pkt. 1-4: når oplysninger videregives til personer eller organer, der ikke er underlagt direktiv 95/46/EF, eller til lande, der ikke har ratificeret Europarådets konvention nr. 108, må man forudgående sikre sig, at de har et tilsvarende beskyttelsesniveau (og ikke kun "tilstrækkeligt", men det er et spørgsmål om direktivets formulering). ØSU finder imidlertid, at kriterierne for, hvornår beskyttelsesniveauet er tilstrækkeligt, giver en god beskyttelse.

3.4.2. Pkt. 5-6: EU's tilsynsførende for databeskyttelse skal informeres forud for en afvigende anvendelse, således at denne eventuelt kan modsætte sig.

3.5. Artikel 10, pkt. 1, forbudte behandlinger. Formuleringen er mere vidtrækkende end den, der findes i artikel 6 i Europarådets konvention nr. 108, med undtagelse af behandling af oplysninger om straffedomme, artikel 10, pkt. 5, der er mere restriktiv (de er ikke helt forbudte). ØSU ville foretrække en mere detaljeret formulering: "Behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning og mere generelt enhver overbevisning eller holdning, der ikke er forbudt i henhold til international ret, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold, den genetiske arv, og seksuelle forhold er forbudt". Principielt burde genetisk arv være omfattet af helbredsoplysninger; under revisionen af direktivet vil det givetvis være nyttigt at tage formuleringen vedrørende forbudt databehandling op til fornyet overvejelse.

3.6. Artikel 17, underretning af tredjemand. Muligheden for at afvige fra pligten til underretning i tilfælde af ændring eller blokering af oplysninger er for upræcist angivet og for stor.

3.7. Artikel 23, pkt. 1, behandlingssikkerhed. Den registeransvarlige skal sikre det bedst mulige sikkerhedsniveau ved behandling og overførsel af data under hensyntagen til teknologiens stade, medmindre omkostningerne herved er for høje i forhold til det ønskede sikkerhedsniveau.

3.8. Artikel 25. Databeskyttelsesansvarlig samt bilag I og II:

3.8.1. Det centrale spørgsmål er, hvordan det sikres, at databeskyttelsesansvarlige, der udpeges af de institutioner og organer, der indsamler, behandler og overfører oplysninger, er uafhængige og har den nødvendige ekspertise.

3.8.2. Bestemmelserne beskytter disse personer mod ethvert pres fra den institution eller det organ, der har udnævnt dem, og som samtidig er deres overordnede.

3.8.3. I udførelsen af opgaver vedrørende databeskyttelse må de databeskyttelsesansvarlige ikke være underlagt deres overordnede, men kun sortere under EU's tilsynsførende for databeskyttelse(5). Opgaven må ikke bedømmes af den overordnede og i tilfælde af konflikt med den overordnede i forbindelse med spørgsmål om databeskyttelse må det ikke skade den databeskyttelsesansvarliges karriere. Varigheden af deres udnævnelse bør være længere for at sikre deres uafhængighed og give dem mulighed for at handle langsigtet og sikkert.

3.8.4. Den arbejdstid, den databeskyttelsesansvarlige har til rådighed til at udfylde denne funktion (sædvanligvis 5 %, 10 % i særlige tilfælde), og de midler, han råder over, forekommer begrænsede. De bør have tilstrækkeligt råderum og fleksibilitet til at udføre deres funktion, ligesom medarbejdere og udstyr bør stilles til rådighed efter behov.

3.9. Artikel 28. Forudgående kontrol foretaget af EU's tilsynsførende for databeskyttelse.

3.9.1. Principielt bør enhver behandling, der kan indebære særlige risici for de registreredes rettigheder og frihedsrettigheder, indebære forudgående kontrol fra den tilsynsførendes side. Forekomst eller iværksættelse af "følsomme" behandlinger kræver omhyggelige, forudgående overvejelser og involvering af en uafhængig myndighed, hvilket der er taget højde for i teksten i og med, at det drejer sig om en grundlæggende sikkerhed.

3.9.2. Der bør tilføjes visse behandlinger til listen, og den databeskyttelsesansvarlige bør altid undersøge følgende situationer:

- behandlinger, der involverer ny anvendelse af eksisterende teknologi;

- de supplerende punkter, ØSU har foreslået til artikel 10;

- behandlinger, der vedrører politi, sikkerhed, strafferet, immigration og ophold af personer, der ikke kommer fra EU (f.eks. udlevering af visa, opholdstilladelse);

- behandlinger, hvori indgår almindeligt forekommende oplysninger, der gør en person identificerbar;

- forbindelser mellem registre til specifikke formål;

- behandlinger af data, der er indsamlet til andet formål;

- betingelser for iværksættelse af behandlinger, der afviger fra principperne om beskyttelse af persondata;

- behandlinger, der benytter eller nødvendiggør internationale dataoverførsler uden for EU's grænser;

- obligatoriske statistiske undersøgelser eller statistikker om hele befolkningsgrupper eller erhvervssektorer.

3.10. Artikel 32. Sikkerhed i forbindelse med telenet i EU, slutningen af pkt. 1. ØSU anbefaler, at ordlyden ændres til: "Foranstaltninger skal under hensyntagen til teknologiens stade og udvikling og eventuelt omkostningerne, hvis disse skulle vise sig uforholdsmæssigt store i forhold til målsætningen, i forbindelse med gennemførelsen tilvejebringe et sikkerhedsniveau, der står i forhold til den til alle tider tilstedeværende risiko".

3.11. Kontrolinstans

3.11.1. Artikel 38. EU's tilsynsførende for databeskyttelse. Det bør af pkt. 1 fremgå, at det er en uafhængig kontrolinstans.

3.11.2. Artikel 39. Udnævnelse. Europa-Parlamentet, Rådet og Kommissionen udnævner på forslag af Kommissionen og efter fælles aftale EU's tilsynsførende for databeskyttelse for en periode af fire år (hvor mange gange kan perioden fornys?).

3.11.3. ØSU vil gerne insistere endnu en gang på nødvendigheden af at have en uafhængig kontrolinstans, som derfor ikke må udnævnes af organer som Kommissionen eller Rådet, som løbende behandler eller får behandlet personlige oplysninger, der skal udveksles eller overføres. Som ved udnævnelse af ombudsmanden, forekommer det mere fornuftigt og teknisk set praktisk, at Europa-Parlamentet udnævner vedkommende efter høring af Kommissionen og Rådet. En anden mulighed for at skabe ekstra sikkerhed for uafhængighed er at udnævne vedkommende for en længere periode (f.eks. dobbelt så lang tid som foreslået) og så udelukke mulighed for genvalg.

3.11.4. Den tilsynsførendes opgaver forekommer store og mangeartede, og budgettet, der fremgår af forslagets bilag, forekommer beskedent i forhold til de krav, der stilles.

3.11.5. Det forekommer absolut ØSU nødvendigt at stille de nødvendige midler og højtkvalificerede medarbejdere til rådighed.

4. Konklusion

4.1. ØSU ville have foretrukket at foretage en mere tilbundsgående undersøgelse af de enkelte bestemmelser i forslaget til en forordning, der har så stor betydning for personlige rettigheder og frihedsrettigheder med hensyn til Fællesskabets administration.

4.2. Et sådant projekt er et enormt arbejde, og den betydelige beskyttelse, det giver, er velkomment. Projektet begrænses primært af direktivet fra 1995. Udover de fremskridt, som forslaget allerede indeholder i sin nuværende form, ønsker ØSU at fremsætte sine generelle og særlige bemærkninger i denne udtalelse til Rådet, Europa-Parlamentet og Kommissionen i håb om, at ØSU's bidrag vil styrke sikkerheden for håndhævelsen af de friheder og rettigheder, som borgerne i EU og lande uden for EU nyder godt af.

4.3. På baggrund af den planlagte vurdering i 2001 af direktivets gennemførelse og afhængigt af de konkrete revisionsforslag, der vil blive forelagt ØSU, vil ØSU til den tid under alle omstændigheder fremsætte deltaljerede og fyldestgørende forslag til, hvordan og i hvilken grad, det ønsker den pågældende tekst ændret.

Bruxelles, den 8. december 1999.

Beatrice RANGONI MACHIAVELLI

Formand for

Det Økonomiske og Sociale Udvalg

(1) EFT L 281 af 23.11.1995, s. 31.

(2) EFT L 24 af 31.1.1998, s. 1.

(3) Ordfører: Henry Salmon, udtalelse offentliggjort i EFT C 159 af 17.6.1991, s. 38.

(4) Europarådet -(STE nr. 108) europæisk konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger. Alle medlemsstater har ratificeret denne konvention; de fleste af ansøgerlandene har ikke ratificeret.

(5) Bestemmelser af denne art er fastsat i ILO' konvention nr. 81 vedrørende arbejdstilsynsførende.