DA Den Europæiske Unions Tidende C 186/4

Resumé af foreløbig udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om aftalen mellem Amerikas Forenede Stater og Den Europæiske Union om beskyttelse af personoplysninger i forbindelse med forebyggelse, opsporing, afsløring og retsforfølgelse i straffesager

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2016/C 186/04)

Denne udtalelse er baseret på det generelle krav om, at internationale aftaler, der indgås af EU, skal være i overensstemmelse med bestemmelserne i traktaten om Den Europæiske Unions funktionsmåde (TEUF) og respekten for de grundlæggende rettigheder, der er en central del af EU-retten. Vurderingen er navnlig foretaget for at analysere, om indholdet af paraplyaftalen er i overensstemmelse med artikel 7, 8 og 47 i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16 i TEUF, der sikrer beskyttelse af personoplysninger.

SAMMENDRAG

Det er et legitimt politisk mål at opspore og retsforfølge kriminalitet, og internationalt samarbejde, herunder udveksling af oplysninger, er blevet vigtigere end nogensinde. EU har hidtil manglet en solid fælles ramme på dette område, og der er derfor ingen konsekvente garantier for fysiske personers grundlæggende rettigheder og frihedsrettigheder. Som den tilsynsførende længe har argumenteret for, har EU brug for bæredygtige ordninger for deling af personoplysninger med tredjelande med henblik på retshåndhævelse, fuldt ud i overensstemmelse med EU-traktaterne og chartret om grundlæggende rettigheder.

Derfor ser vi med tilfredshed på og støtter aktivt Europa-Kommissionens indsats for at indgå en første »paraplyaftale« med USA. Denne internationale aftale vedrørende retshåndhævelse har til formål for første gang at lade databeskyttelse danne grundlag for deling af oplysninger. Selv om vi erkender, at det ikke er muligt fuldstændig at overføre terminologien og definitionerne i EU-retten til en aftale med et tredjeland, skal garantierne for fysiske personer være klare og effektive for fuldt ud at overholde den primære EU-ret.

Domstolen har i de senere år bekræftet databeskyttelsesprincipper, herunder oplysningers rimelighed, korrekthed og relevans, uafhængigt tilsyn og fysiske personers individuelle rettigheder. Disse principper er lige så relevante for offentlige myndigheder, som de er for private virksomheder, uanset en eventuel formel konstatering fra EU's side af, at beskyttelsesniveauet er tilstrækkeligt med hensyn til tredjelandes databeskyttelsesgarantier; de bliver faktisk så meget desto vigtigere i betragtning af den følsomme karakter af de data, der er nødvendige til den strafferetlige efterforskning.

Denne udtalelse har til formål at yde konstruktiv og objektiv rådgivning til EU-institutionerne, i takt med at Kommissionen afslutter denne vanskelige opgave, der vil få vidtrækkende konsekvenser ikke kun for retshåndhævelsessamarbejdet mellem EU og USA, men også for fremtidige internationale aftaler. »Paraplyaftalen« er adskilt fra, men skal ses i sammenhæng med EU's og USA's nyligt bebudede »værn om privatlivets fred« i forbindelse med videregivelse af personoplysninger i det kommercielle miljø. Yderligere overvejelser kan være nødvendige for at analysere samspillet mellem disse to instrumenter og reformen af EU's databeskyttelsesramme.

Inden aftalen sendes til Parlamentet til godkendelse, opfordrer vi parterne til nøje at tage hensyn til væsentlige udviklinger siden september, hvor de tilkendegav, at de havde til hensigt at indgå aftalen, når loven om domstolsprøvelse (Judicial Redress Act) er vedtaget. Mange af de garantier, der allerede er forudset, hilses velkomne, men de bør styrkes, også i lyset af Schrems-dommen fra oktober, hvori safe harbor-beslutningen blev kendt ugyldig, og EU's politiske aftale om databeskyttelsesreformen i december, som omfatter overførsler samt retligt samarbejde og politisamarbejde.

Den tilsynsførende har identificeret tre væsentlige forbedringer, som han anbefaler for at sikre tekstens overensstemmelse med chartret og traktatens artikel 16:

— præcisering af, at alle garantierne gælder for alle enkeltpersoner, ikke kun for EU-statsborgere

— sikring af, at bestemmelser om domstolsprøvelse er effektive som omhandlet i chartret

— præcisering af, at overførsler af følsomme oplysninger som bulkdata ikke er tilladt.

Udtalelsen indeholder yderligere anbefalinger til en præcisering af de forudsete garantier i form af et ledsagende forklarende dokument. Vi står til rådighed for institutionerne med henblik på yderligere rådgivning og dialog om dette spørgsmål.

I. Baggrunden for den paraferede aftale

1. Den 3. december 2010 vedtog Rådet en afgørelse om at bemyndige Kommissionen til at indlede forhandlinger om en aftale mellem Den Europæiske Union (EU) og Amerikas Forenede Stater (USA) om beskyttelse af personoplysninger, når de overføres og behandles med henblik på at forebygge, undersøge, afsløre eller retsforfølge strafferetlige overtrædelser, herunder terrorisme, inden for rammerne af politisamarbejdet og det retlige samarbejde i straffesager (i det følgende »aftalen«) (1).

2. Forhandlingerne mellem Kommissionen og USA indledtes officielt den 29. marts 2011 (2). Den 25. juni 2014 bebudede den amerikanske justitsminister, at der ville blive taget lovgivningsmæssige initiativer med henblik på at sikre domstolsprøvelse vedrørende retten til privatlivets fred i USA for EU-borgere (3). Efter flere forhandlingsrunder, der strakte sig over 4 år, blev aftalen paraferet den 8. september 2015. Ifølge Kommissionen er det hensigten først at undertegne og formelt indgå aftalen, når den amerikanske lov om domstolsprøvelse (Judicial Redress Act) er vedtaget (4).

3. Europa-Parlamentet skal godkende den paraferede aftaletekst, mens Rådet skal undertegne den. Så længe dette ikke har fundet sted, og aftalen ikke er formelt undertegnet, bemærker vi, at forhandlingerne kan genoptages om specifikke punkter. Det er på denne baggrund, at den tilsynsførende afgiver denne udtalelse på grundlag af den paraferede aftaletekst, der er offentliggjort på Kommissionens websted (5). Dette er en foreløbig udtalelse, der er baseret på en første analyse af en kompleks lovtekst, og den foregriber ikke eventuelle yderligere anbefalinger, der måtte blive fremsat på grundlag af yderligere tilgængelige oplysninger, herunder lovgivningsmæssige udviklinger i USA, f.eks. vedtagelsen af loven om domstolsprøvelse (Judicial Redress Act). Den tilsynsførende har identificeret tre væsentlige punkter, som kræver forbedring, og sætter også fokus på andre aspekter, hvor der anbefales vigtige præciseringer. Med disse forbedringer kan aftalen anses for at overholde den primære EU-ret.

V. Konklusioner

53. Den tilsynsførende bifalder hensigten om at vedtage et retligt bindende instrument, som har til formål at sikre et højt databeskyttelsesniveau for personoplysninger, der overføres mellem EU og USA med henblik på at forebygge, undersøge, afsløre eller retsforfølge strafferetlige overtrædelser, herunder terrorisme.

54. De fleste af aftalens materielle bestemmelser tilstræber helt eller delvist at være i overensstemmelse med de væsentlige garantier for retten til beskyttelse af personoplysninger i EU (f.eks. den registreredes rettigheder, uafhængigt tilsyn og retten til domstolsprøvelse).

55. Selv om aftalen ikke teknisk udgør en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, skaber den en generel formodning om overensstemmelse for overførsler på basis af et specifikt retsgrundlag, inden for rammerne af aftalen. Det er derfor af afgørende betydning at sikre, at denne »formodning« styrkes af alle nødvendige garantier inden for aftaleteksten, for at undgå en eventuel overtrædelse af chartret, navnlig artikel 7, 8 og 47.

56. Der er tre væsentlige forbedringer, som den tilsynsførende anbefaler af teksten for at sikre overholdelse af chartret og traktatens artikel 16: 1) præcisering af, at alle garantierne gælder for alle enkeltpersoner, ikke kun for EU-statsborgere 2) sikring af, at bestemmelser om domstolsprøvelse er effektive som omhandlet i chartret 3) præcisering af, at overførsler af følsomme oplysninger som bulkdata ikke er tilladt.

57. Af hensyn til den retlige sikkerhed anbefaler den tilsynsførende endvidere, at følgende forbedringer eller præciseringer foretages i aftaleteksten eller i de forklarende erklæringer, der skal knyttes til aftalen, eller i aftalens gennemførelsesfase, som beskrevet i denne udtalelse: 1) At artikel 5, stk. 3, skal fortolkes således, at den respekterer tilsynsmyndigheders rolle for at overholde chartrets artikel 8, stk. 3. 2) At de specifikke retsgrundlag for overførsler (artikel 5, stk. 1) fuldt ud skal overholde garantierne i aftalen, og at aftalen har forrang i tilfælde af modstridende bestemmelser mellem et specifikt retsgrundlag og aftalen. 3) At de relevante foranstaltninger i henhold til artikel 14, stk. 2, når det er nødvendigt, vil omfatte foranstaltninger vedrørende data, der allerede er delt, i tilfælde af en ineffektiv beskyttelse for data, der er overført til myndigheder på statsniveau. 4) At definitionerne af operationer og behandling af personoplysninger (artikel 2) tilpasses, så de er i overensstemmelse med den veletablerede forståelse heraf i henhold til EU-retten. I tilfælde af, at parterne ikke vil tilpasse disse definitioner fuldt ud, bør der i de forklarende dokumenter, der ledsager aftalen, foretages en præcisering af, at anvendelsen af de to begreber ikke adskiller sig indholdsmæssigt fra forståelsen heraf i EU-retten. 5) At en vejledende liste over de »særlige betingelser«, hvor data overføres som bulkdata (artikel 7, stk. 3), kunne medtages i den forklarende erklæring. 6) At parterne har til hensigt at anvende bestemmelserne vedrørende anmeldelser af brud på datasikkerheden (artikel 10) med henblik på dels at begrænse undladelsen af at foretage sådanne anmeldelser mest muligt, dels at undgå unødig store forsinkelser i forbindelse med anmeldelserne. 7) At bestemmelsen om opbevaring af data i artikel 12, stk. 1, suppleres med præciseringen »til de specifikke formål, hvortil de blev overført«, i lyset af det princip om formålsbegrænsning, der er påberåbt af parterne i aftalen. 8) At parterne i aftalen overvejer at øge deres indsats for at sikre, at restriktioner for udøvelsen af adgangsretten begrænses til det, der er nødvendigt for at beskytte de nævnte offentlige interesser og styrke gennemsigtighedsforpligtelsen. 9) At en detaljeret forklarende erklæring til aftalen specifikt anfører (artikel 21): — de tilsynsmyndigheder, der har kompetence på dette område, og den mekanisme, hvorved parterne kan underrette hinanden om fremtidige ændringer — de effektive beføjelser, som de kan udøve — identiteten af og adressen på det kontaktpunkt, som skal bistå med at identificere det kompetente tilsynsorgan (se artikel 22, stk. 2).

58. Endelig minder den tilsynsførende om behovet for, at enhver fortolkning, anvendelse og gennemførelse af aftalen i tilfælde af manglende klarhed og åbenbart modstridende bestemmelser bør ske på en måde, der er forenelig med EU's forfatningsmæssige principper, navnlig med hensyn til artikel 16 i TEUF og chartrets artikel 7 og 8, uanset de ønskelige forbedringer på grundlag af anbefalingerne i denne udtalelse.

Udfærdiget i Bruxelles, den 12. februar 2016. Giovanni BUTTARELLI Den Europæiske Tilsynsførende for Databeskyttelse

(1) Se Europa-Kommissionens MEMO 10/1661, offentliggjort den 3. december 2010, tilgængelig på: http://europa.eu/rapid/press-release_IP-10-1661_da.htm

(2) Se Europa-Kommissionens MEMO 11/203, offentliggjort den 29. marts 2011, tilgængelig på: http://europa.eu/rapid/press-release_MEMO-11-203_en.htm

(3) Se pressemeddelelse 14-668 fra Office of the Attorney General, offentliggjort den 25. juni 2014, tilgængelig på: http://www.justice.gov/opa/pr/attorney-general-holder-pledges-support-legislation-provide-eu-citizens-judicial-redress

(4) Se Europa-Kommissionens MEMO 15/5612, offentliggjort den 8. september 2015, tilgængelig på: http://europa.eu/rapid/press-release_MEMO-15-5612_en.htm

(5) Teksten er tilgængelig på: http://ec.europa.eu/justice/data-protection/files/dp-umbrella-agreement_en.pdf.