Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om markeder for kryptoaktiver og om ændring af direktiv (EU) 2019/1937

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu)

(2021/C 337/03)

Europa-Kommissionen vedtog den 24. september 2020 et forslag til forordning om markeder for kryptoaktiver og om ændring af direktiv (EU) 2019/1937 (»forslaget«). Forslaget fastsætter krav til gennemsigtighed og oplysning i forbindelse med udstedelse af kryptoaktiver og optagelse af samme til handel, regler om tilladelse til og tilsyn med udbydere af kryptoaktivtjenester, udstedere af aktivbaserede tokens og udstedere af e-pengetokens, regulerer drift, organisation og ledelse af udstedere af aktivbaserede tokens, udstedere af e-pengetokens og udbydere af kryptoaktivtjenester og fastsætter bestemmelser om forbrugerbeskyttelse i forbindelse med udstedelse, handel, veksling og deponering af kryptoaktiver samt foranstaltninger til forebyggelse mod markedsmisbrug med henblik på at sikre markedsintegriteten for kryptoaktiver.

EDPS minder om behovet for mere generelle overvejelser med hensyn til, hvordan det bedre kan sikres, at den underliggende teknologi bag kryptoaktiver, dvs. blockchain og distributed ledgers, overholder databeskyttelsesregler og -principper, og henviser i denne henseende til de generelle bemærkninger i sin udtalelse om forslaget til en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi og gentager behovet for, at en sådan drøftelse finder sted, inden det/de relevante forslag træder i kraft.

Samtidig understreger EDPS EU-lovgivers ansvar for at sikre, at den behandling, der er omhandlet i forslaget, kan gennemføres på en måde, der er forenelig med databeskyttelse, samt de dataansvarliges ansvar for at sikre overholdelse i overensstemmelse med princippet om ansvarlighed.

EDPS mener, at udstederne af kryptoaktiver typisk vil være dataansvarlige i henhold til GDPR under hensyntagen til udstedernes projekt og for så vidt som sidstnævnte omfatter behandling af personoplysninger. For at øge retssikkerheden opfordrer EDPS lovgiveren til udtrykkeligt at udpege udstederne som dataansvarlige i forslaget. Desuden kan behandlingen af personoplysninger opfylde to eller flere af de kriterier, der indikerer, at behandlingen sandsynligvis vil indebære en høj risiko i henhold til databeskyttelseslovgivningen. Som følge heraf kan udstederen af kryptoaktiver være omfattet af forpligtelsen i henhold til artikel 35 i GDPR til at foretage en konsekvensanalyse vedrørende databeskyttelse (DPIA) forud for den planlagte behandling af personoplysninger.

EDPS glæder sig over formålet med forslaget om at forbedre beskyttelsen af forbrugerne som købere af kryptoaktiver (investorer). Samtidig mener EDPS, at forslaget også bør omfatte udstederes forpligtelse til at fremhæve visse garantier med hensyn til databeskyttelse for at beskytte de registrerede bedre. EDPS anbefaler, at der i forslaget som en del af de oplysninger, der skal gives som indhold af hvidbogen om kryptoaktiver, medtages oplysninger om forventede behandlingsaktiviteter, der omfatter personoplysninger, samt de forventede hovedrisici og afbødningsstrategier, hvad angår databeskyttelse.

Med hensyn til offentliggørelse af administrative sanktioner anbefaler EDPS, at der blandt kriterierne for den kompetente myndigheds overvejelse inkluderes indvirkningen på beskyttelsen af enkeltpersoners personoplysninger. Desuden minder EDPS om, at princippet om opbevaringsbegrænsning kræver, at personoplysninger ikke opbevares længere, end det er nødvendigt til det formål, hvortil personoplysningerne behandles, og anbefaler, at der fastsættes en maksimal i stedet for en minimal datalagringsperiode i henhold til forslagets artikel 95, stk. 4.

1. Baggrund

1. Europa-Kommissionen vedtog den 24. september 2020 et forslag til forordning om markeder for kryptoaktiver og om ændring af direktiv (EU) 2019/1937 (»forslaget«) ( 1 ) . Forslaget er en lovgivningsmæssig ramme, der er udviklet med henblik på at regulere i øjeblikket uregulerede kryptoaktiver og udbydere af disse tjenester i EU og indføre en fælles licensordning i alle medlemsstater senest i 2024. Forslaget har til formål at harmonisere den europæiske ramme for udstedelse af og handel med forskellige typer kryptotokens som led i Europas strategi for digital finans.

2. Forslaget er en del af pakken om digital finans, en pakke af foranstaltninger, der skal muliggøre og understøtte det potentiale, der ligger i digital finans med hensyn til innovation og konkurrence, samtidig med at risiciene reduceres. Pakken om digital finans indeholder en ny strategi for digital finans for EU’s finansielle sektor ( 2 ) med det formål at sikre, at EU giver de europæiske forbrugere og virksomheder adgang til fordelene ved digital finans. Ud over dette forslag indeholder pakken også et forslag til en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi (DLT) (»forslaget til en pilotordning«) ( 3 ) , et forslag om digital operationel modstandsdygtighed (»DORA«) ( 4 ) og et forslag om at præcisere eller ændre visse relaterede EU-regler for finansielle tjenesteydelser ( 5 )

3. EDPS blev hørt om forslaget om pilotordningen og afgav sin udtalelse den 23. april 2021 ( 6 ) . Han blev ligeledes hørt om forslaget om digital operationel modstandsdygtighed den 29. april 2021 og afgav sin udtalelse den 10. maj 2021 ( 7 )

4. Den 29. april 2021 anmodede Europa-Kommissionen EDPS om at afgive udtalelse om forslaget i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725. Disse kommentarer er begrænset til de bestemmelser i forslaget, der er relevante set fra et databeskyttelsesperspektiv.

4. Konklusioner

På baggrund af ovenstående

— minder EDPS om behovet for mere generelle overvejelser og drøftelse – ikke kun i relation til kryptoaktiver – af spørgsmålet om, hvordan det kan sikres, at den underliggende teknologi bag kryptoaktiver, dvs. blockchain og distributed ledgers, på den mest effektive måde overholder databeskyttelsesregler og -principper, og gentager behovet for, at en sådan drøftelse finder sted, inden det/de relevante forslag træder i kraft

— anbefaler EDPS udtrykkeligt at udpege udstederne som dataansvarlige for at undgå eventuelle fortolkningsproblemer i forbindelse med vurderingen af rollen, navnlig i betragtning af kompleksiteten af forslagets genstand og forholdet mellem de relevante aktører

— anbefaler EDPS, at der som en del af de oplysninger, der skal gives som indhold af hvidbogen om kryptoaktiver, i forslagets artikel 5, 17 og 46 medtages følgende: »hvor det er relevant, listen over de forventede behandlingsaktiviteter, der omfatter personoplysninger, samt de forventede hovedrisici og afbødningsstrategier, hvad angår databeskyttelse«

— anbefaler EDPS med hensyn til offentliggørelse af administrative sanktioner, at der blandt kriterierne for den kompetente myndigheds overvejelse inkluderes risici vedrørende beskyttelsen af enkeltpersoners personoplysninger, og at den minimale datalagringsperiode i henhold til artikel 95, stk. 4, »mindst fem år«, erstattes af en nærmere fastsat maksimal datalagringsperiode

— anbefaler EDPS med hensyn til det administrative samarbejde mellem de kompetente myndigheder, EBA og ESMA samt samarbejdet med tredjelandes tilsynsmyndigheder, at det overvejes at udelade henvisningen til EUDPR i artikel 108, stk. 3, i betragtning af den »horisontale« henvisning til anvendelsen af EUDPR i forslagets artikel 88, stk. 2.

Bruxelles, den 24. juni 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Forslag til Europa-Parlamentets og Rådets forordning om markeder for kryptoaktiver og om ændring af direktiv (EU) 2019/1937, 24. september 2020, 2020/0265 (COD).

(2) Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget om en strategi for digital finans for EU, 24. september 2020, COM(2020)591.

(3) Forslag til Europa-Parlamentets og Rådets forordning om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi - COM(2020)594.

(4) Forslag til Europa-Parlamentets og Rådets forordning om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014 - COM(2020)595.

(5) Forslag til Europa-Parlamentets og Rådets direktiv om ændring af direktiv 2006/43/EF, 2009/65/EF, 2009/138/EU, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 og (EU) 2016/2341 - COM(2020)596.

(6) Udtalelse 6/2021 om forslag til en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi, kan findes på https://edps.europa.eu/system/files/2021-06/2021-0219_d0912_opinion_on_pilot_regime_for_market_infrastructures_en.pdf.

(7) Udtalelse 7/2001 om forslag til forordning om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014, kan findes på https://edps.europa.eu/system/files/2021-05/2021-0203_d0943_opinion_digital_operational_resilience_for_the_financial_sector_en.pdf