DA Den Europæiske Unions Tidende C 248/123

Det Europæiske Økonomiske og Sociale Udvalgs udtalelse om »Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget — En global metode til beskyttelse af personoplysninger i Den Europæiske Union«

KOM(2010) 609 endelig

2011/C 248/21

Ordfører: Peter MORGAN

Kommissionen besluttede den 4. november 2010 under henvisning til artikel 304 i traktaten om Den Europæiske Unions funktionsmåde at anmode om Det Europæiske Økonomiske og Sociale Udvalgs udtalelse om:

Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget – En global metode til beskyttelse af personoplysninger i Den Europæiske Union

KOM(2010) 609 endelig.

Det forberedende arbejde henvistes til Den Faglige Sektion for Beskæftigelse, Sociale og Arbejdsmarkedsmæssige Spørgsmål og Borgerrettigheder. Sektionen vedtog sin udtalelse den 27. maj 2011.

Det Europæiske Økonomiske og Sociale Udvalg vedtog på sin 472. plenarforsamling den 15.-16. juni 2011, mødet den 16. juni 2011, følgende udtalelse med 155 stemmer for, 9 imod og 12 hverken for eller imod:

1. Konklusioner og anbefalinger

1.1 EU's databeskyttelseslovgivning bygger på direktiv 95/46/EF fra 1995. Det havde to målsætninger, der blev udtrykt således:

(1) Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.

(2) Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde fri udveksling af personoplysninger mellem medlemsstaterne.

Det er vigtigt at opnå overensstemmelse mellem disse to målsætninger, så de ikke strider imod hinanden. Det vigtigste formål med en ny lovgivning må være at indføre en lovmæssig ramme, der medvirker til at nå begge målsætninger.

1.2 EØSU bifalder meddelelsen, der gør rede for Kommissionens strategi for at ajourføre databeskyttelsesdirektivet 95/46/EF. Den rivende udvikling, der sker inden for ny teknologi, medfører en eksponentiel stigning i mængden af online-databehandling. For at undgå massive krænkelser af privatlivets fred, er man derfor nødt til at øge beskyttelsen af personoplysninger i tilsvarende grad. Indsamlingen, sammenlægningen og forvaltningen af data fra forskellige kilder skal afgrænses nøje. Den offentlige sektor råder over mange forskellige informationer om forholdet mellem staten og borgerne. De oplysninger, der indsamles, bør begrænses til det, der er strengt nødvendigt til det givne formål. Der bør nedlægges forbud mod at samle disse forskellige data i en »big brother«-database.

1.3 Samtidig maner EØSU til forsigtighed. Lovgivning, der indeholder bestemmelser for erhvervsvirksomhed, skal forblive stabil og forudsigelig. EØSU støtter derfor en passende revision af databeskyttelseslovgivningen.

1.4 I meddelelsen påpeges det, at interessenter, ikke mindst multinationale virksomheder, igen og igen har udtrykt bekymring over den utilstrækkelige harmonisering af medlemsstaternes lovgivning om databeskyttelse, selv om den fælles EU-lovgivning er på plads. EØSU foreslår, at den nye lovgivning skal give en mere konsekvent beskyttelse af arbejdstagernes personoplysninger i hele EU, herunder en EU-ramme, der øger den retlige klarhed og sikkerhed. I den henseende udtrykker EØSU især tilfredshed med hensigten om en obligatorisk udnævnelse af en uafhængig databeskyttelsesansvarlig og at harmonisere reglerne vedrørende de databeskyttelsesansvarliges opgaver og beføjelser.

1.5 På grund af den mulige konflikt mellem privatlivets fred og den kommercielle brug af data om privatpersoner samt alt det, der er på spil, er folk nødt til at blive mere opmærksomme på de formål, der kan være med at samle oplysninger om dem, samt de muligheder, de har for at kontrollere anvendelsen af oplysninger, der er blevet samlet. Derfor mener EØSU, at en effektiv håndhævelse og klageadgang er absolut nødvendige, hvis projektet skal være »omfattende« i ordets egentlige forstand. Desuden bør man tage højde for den grænseoverskridende dimension.

1.6 Hvad EU's borgere angår, bør man inden for EU anvende den lovgivning, der gælder i den medlemsstat, hvor den registeransvarlige for de indsamlede data befinder sig. For borgere, der har ret til beskyttelse, navnlig arbejdstagere og forbrugere, finder databeskyttelsesloven på deres sædvanlige opholdssted anvendelse.

1.7 Henvisningen til børn er for overfladisk. Der er nødt til at være særligt fokus på beskyttelse af børns personlige oplysninger. Retten til at blive glemt vil kunne rette op på registreringen af børns fjollerier og teenageres forseelser, men det er ikke sikkert, at retten til at blive glemt kan gennemføres i praksis.

1.8 Den nuværende definition af »følsomme oplysninger« skal præciseres, i og med at der er et stadigt voksende antal kategorier for elektroniske personrelaterede data. EØSU udtrykker bekymring for den udbredte og ukritiske brug af overvågningskameraer. Det er nødvendigt at håndhæve loven, der begrænser misbrug af disse optagelser. Et andet omstridt emne er GPRS-data om en persons opholdssted. Der bliver indsamlet flere og flere biometriske data. Definitionen bør omfatte sådanne nye teknologier og metoder og bør kunne rumme yderligere teknologiske udviklinger. Det kan blive nødvendigt at fastlægge principper, der tager højde for sammenhængen. EØSU går ind for, at disse nye teknologier anvendes hensigtsmæssigt.

1.9 Selv om EØSU erkender de udfordringer, der er forbundet med politisamarbejde på tværs af grænserne, mener vi alligevel, at der til enhver tid bør tages størst muligt hensyn de grundlæggende rettigheder, herunder databeskyttelse.

1.10 EØSU støtter Kommissionens grundlæggende intention om at sikre en mere konsekvent anvendelse af EU's databeskyttelsesregler i alle medlemsstaterne. EØSU er bekymret over, at alle de 12 nye medlemsstater måske endnu ikke har gennemført direktiv 95/6 til fulde.

1.11 EØSU mener, at de nationale databeskyttelsesmyndigheder generelt er tandløse og overbebyrdede, og at deres uafhængighed skal styrkes. Et nyt direktiv bør under alle omstændigheder indeholde krav om, at de nationale myndigheder får den status, den autoritet og de ressourcer, de skal bruge for at kunne varetage deres rolle.

1.12 På grundlag af artikel 29-gruppens hidtidige bidrag til beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger mener EØSU, at denne gruppe fortsat har en vigtig rolle at spille.

1.13 I forbindelse med EU's digitale dagsorden anmoder EØSU Kommissionen om at overveje at oprette et EU-organ, der har til opgave at undersøge internettets bredere samfundsmæssige påvirkning 10 til 20 år frem i tiden. De eksisterende bestemmelser om beskyttelse af personoplysninger bliver mere og mere utilstrækkelige. Samfundet halter bagefter. I forbindelse med databeskyttelse anbefaler EØSU, at man udnævner en tilsynsførende for databeskyttelse i EU. Den nuværende europæiske tilsynsførende for databeskyttelse beskæftiger sig kun med EU-institutionerne. Der er behov for en tilsynsførende, der er ansvarlig for koordineringen af og driftsstandarderne i medlemsstaterne. En sådan udnævnelse vil imidlertid kun være en del af den overordnede myndighed, EØSU forestiller sig.

2. Indledning

2.1 EØSU støtter fortsat de principper, som lå til grund for 1995-direktivet. I det følgende sammenfattes enkelte uddrag af teksten i direktivet. Uddragene udtrykker klart principperne:

— Artikel 6 Medlemsstaterne fastsætter bestemmelser om, at personoplysninger (a) behandles loyalt og lovligt; (b) indsamles til udtrykkeligt angivne og legitime formål; (c) skal være tilstrækkelige og relevante og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og de formål, hvortil de senere behandles; (d) skal være korrekte og om nødvendigt ajourførte; (e) skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne indsamles.

— Artikel 7 Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis: (a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke, eller (b) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller (c) behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige, eller (d) behandlingen er nødvendig for at beskytte den registreredes vitale interesser, eller (e) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse, eller (f) behandlingen er nødvendig, for at den registeransvarlige kan forfølge en legitim interesse.

— Artikel 8 Medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold.

2.2 I for de sidste ti år har omstændighederne ændret sig markant med nye bestemmelser i artikel 16 Lissabon-traktaten og artikel 8 i EU's charter om grundlæggende rettigheder.

2.3 Formålet med denne meddelelse er at fastlægge Kommissionens metode til modernisering af EU's retssystem med hensyn til beskyttelse af personoplysninger på alle de områder, hvor EU agerer, især på baggrund af de udfordringer, som globalisering og ny teknologi skaber, således at man fortsat kan sikre fysiske personer et højt beskyttelsesniveau med hensyn til behandling af personoplysninger på alle de områder, hvor EU agerer.

2.4 I dag er det det blevet nemmere og hurtigere at udveksle information over hele verden. Oplysninger om enkeltpersoner – e-mails, fotos og elektroniske kalendere – kan oprettes i Storbritannien med tysk software, behandles i Indien, lagres i Polen, mens en italiensk statsborger kan få adgang til dem i Spanien. Den hurtigt voksende informationsstrøm verden over er en stor udfordring for fysiske enkeltpersoners ret til beskyttelse af personoplysninger og privatlivets fred. Spørgsmål vedrørende databeskyttelse, herunder den grænseoverskridende dimension, påvirker borgerne hver dag – både når de er på arbejde, er i kontakt med offentlige myndigheder, når de køber varer eller tjenesteydelser, når de rejser eller surfer på internettet.

2.5 I 2011 vil Kommissionen foreslå lovgivning om revision af retsreglerne om databeskyttelse, med det formål at styrke EU’s holdning til beskyttelse af personoplysninger inden for rammerne af alle EU-politikker, herunder retshåndhævelse og kriminalitetsforebyggelse under hensyntagen til disse områders særlige karakter. Ikke-lovgivningsmæssige foranstaltninger, f.eks. tilskyndelse til selvregulering og muligheden for EU-datasikkerhedsmærkning, vil også blive undersøgt.

2.6 Kommissionen vil fortsat føre passende kontrol med, at EU-retten gennemføres korrekt på dette område, idet den ikke vil tøve med at indlede retsbrudssager, når EU-reglerne for databeskyttelse ikke implementeres eller anvendes korrekt.

2.7 Den omfattende tilgang til databeskyttelse indeholder følgende hovedmål:

— Styrkelse af fysiske personers rettigheder;

— Større vægt på databeskyttelse som led i det indre marked;

— Revision af databeskyttelsesreglerne inden for politisamarbejdet og det retlige samarbejde i straffesager;

— Databeskyttelsens globale dimension;

— En stærkere institutionel ordning til bedre håndhævelse af databeskyttelsesreglerne.

Nedenstående afsnit 3-7 opsummerer disse mål og indeholder EØSU's syn på forslagene. Overskrifter, der er markeret med fed skrift følger strukturen i meddelelsen. Kursiveret tekst er en sammenfatning af teksten.

3. Styrkelse af fysiske personers rettigheder

3.1 Fysiske personer skal nyde passende beskyttelse i enhver situation

EU's charter om grundlæggende rettigheder omfatter retten til beskyttelse af personoplysninger. »Personoplysninger« er defineret, så begrebet dækker alle oplysninger, der vedrører en identificeret eller en identificerbar person. Det vil blive overvejet, hvordan man kan sikre, at databeskyttelsesreglerne anvendes på sammenhængende vis, under hensyntagen til den nye teknologis indvirkning på fysiske personers rettigheder og frihedsrettigheder og målet om at sikre fri udveksling af personoplysninger i det indre marked.

3.1.1 Den frie udveksling af personoplysninger i det indre marked er en forudsætning for et fuldt funktionsdygtigt marked, men udgør imidlertid en potentiel trussel for sikkerheden af medarbejderoplysninger, som virksomheder er i besiddelse af. Der er behov for specifikke forholdsregler, såsom de registeransvarliges ansvar for grænseoverskridende udveksling af personoplysninger samt kryptering af mere følsomme oplysninger.

3.1.2 EØSU ønsker at understrege, at beskæftigelsesområdet mere eller mindre forbigås, ikke kun i den aktuelle meddelelse, men også i debatten om databeskyttelse i Europa i det hele taget. Det arbejde, der allerede udføres på EU-niveau, bør fungere som udgangspunkt, i særdeleshed de forslag, der er fremsat af artikel 29-gruppen.

3.2 Øget gennemsigtighed for de registrerede

Gennemsigtighed er en grundlæggende betingelse for, at fysiske personer kan have kontrol over og beskytte deres egne personoplysninger. Følgende aspekter vil blive overvejet: et generelt princip om gennemsigtighed i behandlingen af personoplysninger, at pålægge registeransvarlige specifikke forpligtelser, navnlig over for børn, at udarbejde standardiserede EU-erklæringer om beskyttelse af personoplysninger samt en obligatorisk underretningspligt ved persondatasikkerhedsbrud.

3.2.1 Standardiserede erklæringer er at foretrække, eftersom de modvirker interessekonflikter. Det bør være frivilligt, hvorvidt man vil anvende dem.

3.2.2 »Gennemsigtighed« løser ikke nødvendigvis problemet med ensidige kontraktvilkår. Det er vigtigt at stramme reglerne for at give større beskyttelse mod urimelige kontraktvilkår.

3.2.3 Henvisningen til børn er for overfladisk. Der er nødt til at være særligt fokus på beskyttelse af børns personlige oplysninger. Retten til at blive glemt vil kunne rette op på registreringen af børns fjollerier og teenageres forseelser, men det er ikke sikkert, at retten til at blive glemt kan gennemføres i praksis (se 3.3.2).

3.2.4 Den nye lovgivning skal præcisere den rolle, som de ansvarlige for behandling og registrering af data spiller, så der ikke er nogen tvivl om deres identitet, rettigheder og forpligtelser.

3.2.5 EØSU støtter forslaget om obligatorisk anmeldelsespligt ved datasikkerhedsbrud, men mener, at det kan blive vanskeligt at gennemføre i alle sammenhænge, inden for alle sektorer og i alle situationer.

3.3 Øget kontrol over egne personoplysninger

Vigtige forudsætninger er begrænsning af databehandling under hensyntagen til formålet (princippet om dataminimering) og at de registrerede har effektiv kontrol over deres egne oplysninger. Det vil blive overvejet at styrke princippet om dataminimering, forbedre mulighederne for, at fysiske personer kan udøve deres ret til adgang, berigtigelse, sletning og blokering af personoplysninger, at præcisere retten til at blive glemt samt at sikre den udtrykkelige ret til dataportabilitet.

3.3.1 I princippet støtter EØSU enhver indsats for yderligere at sikre privatlivets fred. Enkeltpersoner bør have ret til fri adgang til alle oplysninger, der er indsamlet om dem. Fri adgang til kreditvurderingsoplysninger er en mulig begyndelse. At trække sit samtykke tilbage uden grund og en reel ret at blive glemt er grundlæggende rettigheder, men privatlivets fred kan sikres yderligere, hvis der i det hele taget indsamles færre data. Derfor opfordrer EØSU Kommissionen til at gennemføre forslaget om at styrke princippet om dataminimering.

3.3.2 Selv om retten til at blive glemt er en tillokkende løsning, vil den være vanskelig at opnå på grund af oplysningernes viruslignende udbredelse på internettet samt teknologi, der nok sletter, men ikke glemmer.

3.4 Øget bevidsthed

Man bør fremme oplysningsaktiviteter, herunder information på internettet, som tydeligt beskriver, hvilke rettigheder de registrerede har, og hvilke forpligtelser der påhviler de registeransvarlige. Det er især manglen på bevidsthed blandt unge, der giver anledning til bekymring.

3.4.1 Det vil være vanskeligt at opnå den nødvendige adfærdsændring, især set i lyset af, at den rivende udvikling, der er sket inden for sociale netværker, ikke er blevet ledsaget af en tilsvarende øget bevidsthed blandt brugerne, når det gælder konsekvenserne af de mængder af personlige oplysninger, de blotlægger. Mens det i princippet ville være fint med obligatoriske informationsmeddelelser for alle internettjenester, ville dette udgøre et problem for erhvervslivet. Man bør overveje at indføre oplysningsprotokoller fordelt på tjenesteydelseskategorier – internethandel, internetudbydere, søgemaskiner, sociale netværk osv.

3.4.2 EØSU hilser det velkommen, at Kommissionen agter at tilbyde EU-midler til at støtte oplysningsaktiviteter. EØSU opfordrer til, at man udvider dette til at omfatte medfinansiering af oplysningsaktiviteter, der udføres af arbejdsmarkedets parter og organisationer i civilsamfundet på EU- og nationalt niveau.

3.5 Sikring af informeret og frivilligt samtykke

Kommissionen vil undersøge, hvordan reglerne om samtykke kan tydeliggøres og styrkes.

3.5.1 De nødvendige typer samtykke bør fortsat være knyttet til arten af oplysninger, der behandles, og ikke den type teknologi, der anvendes. EØSU er imidlertid bekymret over de mange tilfælde, hvor der gives samtykke på internettet, mens den pågældende side hverken giver nogen information om aftalen eller tilbyder virksomme mekanismer til at registrere tilbagetrækning af samtykke. Derudover kan det forekomme, at aftalen indgås ved at man klikker på en funktion for at acceptere en lang række vilkår og betingelser, hvori samtykke måske er et mindre element. Det vil være hensigtsmæssigt at have et sådant samtykke i et enkelt, separat dokument for at gøre det fyldestgørende, informeret og specifikt.

3.5.2 Behandling af personoplysninger har stor vigtighed for organisationer og virksomheder, der udøver deres aktiviteter på internettet. Standardoptionen er en klar fordel for operatøren, men kan være en ulempe for kunden, hvis den ikke gennemføres på redelig vis. Brugen af den bør afgrænses, så alle operatører forpligtes til at tilbyde kunderne at sikre privatlivets fred, hvis de udtrykker ønske herom.

3.5.3 Fair kontraktvilkår er en forudsætning for informeret samtykke. Det er nødvendigt at fastlægge principper for at undgå illoyal handelspraksis.

3.6 Beskyttelse af følsomme oplysninger

Det vil blive overvejet at udvide definitionen af »følsomme oplysninger« til bl.a. at omfatte genetiske data og yderligere at harmonisere betingelserne for behandling af følsomme data.

3.6.1 Den nuværende definition af »følsomme oplysninger« skal præciseres, i og med at der er et stadigt voksende antal kategorier for elektroniske personrelaterede data. EØSU udtrykker bekymring for den udbredte og ukritiske brug af overvågningskameraer. Det er nødvendigt at håndhæve loven, der begrænser misbruget af disse optagelser. Et andet omstridt emne er GPRS-data om en persons opholdssted. Der bliver indsamlet flere og flere biometriske data. Definitionen bør omfatte sådanne nye teknologier og metoder og bør kunne rumme yderligere teknologiske udviklinger. Det kan blive nødvendigt at fastlægge principper, der tager højde for sammenhængen. EØSU går ind for, at disse nye teknologier anvendes hensigtsmæssigt.

3.6.2 Man bør også øge beskyttelsen af følsomme oplysninger. Det bør være obligatorisk at kryptere følsomme oplysninger. Man bør anvende den bedste teknologi, der er tilgængelig. Registeransvarlige bør have ansvaret for brud på sikkerheden.

3.7 Mere effektive retsmidler og sanktioner

Det vil blive overvejet at øge mulighederne for at anlægge sag ved de nationale domstole og muligvis indføre strafferetlige sanktioner i tilfælde af alvorlige krænkelser.

3.7.1 På grund af den mulige konflikt mellem privatlivets fred og den kommercielle brug af data om privatpersoner samt det, der er på spil, er folk nødt til at blive mere opmærksomme på de formål, der kan være med at samle oplysninger om dem, samt de muligheder, de har for at kontrollere anvendelsen af oplysninger, der er blevet samlet. Derfor mener EØSU, at en effektiv håndhævelse og klageadgang er absolut nødvendige, hvis projektet skal være »omfattende« i ordets egentlige forstand. Desuden bør man tage højde for den grænseoverskridende dimension.

3.7.2 Man bør overveje mulighederne for kollektivt søgsmål som redskab i tilfælde af ekstreme brud på sikkerheden. Man bør undersøge muligheden for, at erhvervsmæssige og professionelle organisationer og fagforeninger kan repræsentere enkeltpersoner og anlægge sag ved en domstol.

4. Større vægt på databeskyttelse som led i det indre marked

4.1 Styrket retssikkerhed og lige vilkår for registeransvarlige

Databeskyttelse i EU har en tydelig forbindelse til det indre marked. Det vil blive overvejet, hvordan der kan opnås yderligere harmonisering af databeskyttelsesreglerne på EU-niveau.

4.1.1 EØSU er bekymret over, at antallet af beslutninger, der træffes i medlemsstaterne, som fastsat i direktiv 95/46, har skabt et problem med hensyn til gennemførelsen. En forordning på den baggrund kunne have givet mere sikkerhed. Man bør gennemføre en harmonisering ved hjælp af en række standarder, som møder direktivets krav.

4.1.2 Der er ikke en eneste henvisning i meddelelsen til arbejdstagere og deres adgang til de personlige oplysninger, som arbejdsgiverne er i besiddelse af. I multinationale virksomheder, som kan centralisere registrene inden for eller uden for EU, skal arbejdstagerne ret til adgang defineres klart for at blive omfattet af den nye lovgivning.

4.2 Lettelse af de registeransvarliges administrative byrder

Der skal undersøges forskellige muligheder for at forenkle og harmonisere det nuværende anmeldelsessystem, herunder for at udfærdige et fælles EU-registreringsskema. Anmeldelser kunne offentliggøres på internettet.

4.2.1 EØSU bakker udtrykkeligt op om disse initiativer.

4.3 Præcisering af reglerne om gældende national ret og af medlemsstaternes ansvar

Det står ikke altid klart for de registeransvarlige og databeskyttelsesmyndighederne, hvilke myndigheder der er ansvarlige, og hvilken national ret der finder anvendelse, når flere medlemsstater er involveret. Globaliseringen og den teknologiske udvikling gør ikke problemet mindre. Revision og præcisering af de eksisterende bestemmelser om gældende ret vil blive undersøgt for at styrke retssikkerheden og tydeliggøre medlemsstaternes ansvar.

4.3.1 Hvad EU's borgere angår, bør man inden for EU anvende den lovgivning, der gælder i den medlemsstat, hvor den registeransvarlige for de indsamlede data befinder sig. For deltagere i dataudveksling, som har ret til beskyttelse, navnlig arbejdstagere og forbrugere i EU, skal bestemmelserne og procedurerne i databeskyttelsesloven på arbejdstagerens eller forbrugerens sædvanlige opholdssted finde anvendelse.

4.4 Større ansvar til den registeransvarlige

Kommissionen vil undersøge, hvordan det kan sikres, at de registeransvarlige iværksætter effektive politikker og mekanismer, således at databeskyttelsesreglerne faktisk bliver overholdt. Det vil blive overvejet at gøre det obligatorisk at udpege en databeskyttelsesansvarlig og harmonisere deres operationsregler for at gøre det forpligtende at foretage en konsekvensanalyse af databeskyttelse. Derudover vil Kommissionen yderligere fremme anvendelsen af teknologier til beskyttelse af privatlivets fred og gennemførelsen af princippet om »indbygget databeskyttelse«.

4.4.1 Teknologier til beskyttelse af privatlivets fred og princippet om indbygget databeskyttelse indebærer muligheden for at fratage de registeransvarlige skønsbeføjelser, da de ellers kan komme i konflikt med deres organisationers kommercielle prioriteter. EØSU opfordrer Kommissionen til at indlede yderligere undersøgelser og videreudvikle disse redskaber, eftersom de rummer mulighed for at styrke databeskyttelsen og samtidig modvirke interessekonflikter. Det bedste ville være at gøre disse redskaber obligatoriske.

4.4.2 For at udrydde enhver tvivl bør de registeransvarlige stå til regnskab for alle aspekter af den databehandling, de er ansvarlige for. I overensstemmelse hermed bør forpligtelser vedrørende privatlivets fred defineres præcist i kontrakten i tilfælde, der berører underleverandører eller grænseoverskridende aktiviteter.

4.4.3 EØSU mener, at alle medlemsstater bør oprette et professionelt organ, der er ansvarlig for de dataansvarliges kvalifikationer og certificering.

4.4.4 Gennemførelsen af bestemmelserne i denne kategori bør stemme overens med målet om at lette de administrative byrder for de registeransvarlige, som omhandlet i punkt 4.2.

4.5 Tilskyndelse til selvregulering og undersøgelse af EU-certificeringsordningerne

Kommissionen vil undersøge, hvordan man kan tilskynde yderligere til selvregulering, herunder adfærdskodekser, og efterprøve muligheden for at gennemføre EU-certificeringsordningerne.

4.5.1 Se pkt. 3.7.1: håndhævelse og klageadgang hører til EØSU's vigtigste betænkeligheder. Disse forslag virker tillokkende, fordi de kan være med til at reducere den enorme lovgivningsmæssige byrde, der tynger erhvervslivet. Man bør udgive et kompendium eller en håndbog i bedste praksis i alle medlemsstater.

5. Revision af databeskyttelsesreglerne inden for politisamarbejdet og det retlige samarbejde i straffesager

EU's instrument til beskyttelse af personoplysninger inden for politisamarbejde og retligt samarbejde i straffesager er rammeafgørelse 2008/977/RIA. Den har flere mangler, der direkte kan påvirke fysiske personers muligheder for at udøve deres databeskyttelsesrettigheder på sådanne områder, eksempelvis med hensyn til viden om, hvilke af deres personoplysninger der behandles og udveksles, af hvem og med hvilket formål, og om, hvordan de kan udøve deres rettigheder, såsom retten til at få adgang til deres oplysninger.

Det vil blive overvejet at udvide anvendelsen af de generelle databeskyttelsesregler til områderne politisamarbejde og retligt samarbejde, at indføre nye bestemmelser på områder som behandling af genetiske data, at iværksætte en høring om revisionen af de nuværende kontrolordninger på området samt at vurdere behovet for på længere sigt at tilnærme de forskellige sektorspecifikke regler inden for de nye generelle regler for databeskyttelse.

5.1 Selv om EØSU erkender de udfordringer, der er forbundet med politisamarbejde på tværs af grænserne, mener vi alligevel, at der til enhver tid bør tages størst muligt hensyn de grundlæggende rettigheder, herunder databeskyttelse. EØSU er bange for, at sikkerhedsmæssige bekymringer – selv hvis de måtte være fejlagtige - hyppigt medfører brud på menneskerettighederne. Enkeltpersoner skal informeres bedre om myndighedernes metoder til og formål med at indhente personlige oplysninger fra telefonregninger, bankkonti, kontrol i lufthavne osv.

6. Databeskyttelsens globale dimension

6.1 Præcisering og forenkling af reglerne for internationale dataoverførsler

Kommissionen agter at undersøge:

— hvordan de nuværende procedurer i forbindelse med internationale dataoverførsler kan forbedres og strømlines, så EU's metode i forhold til tredjelande og internationale organisationer bliver mere ensartet og sammenhængende;

— hvordan de krav og kriterier, der anvendes ved vurderingen af databeskyttelsesniveauet i et tredjeland, kan udspecificeres;

— hvordan kerneelementer vedrørende EU's databeskyttelse, der kan anvendes ved internationale aftaler, kan defineres.

6.1.1 EØSU støtter disse nyttige initiativer og håber, at Kommissionen kan opnå en bred internatonal aftale. Uden en sådan vil disse forslag næppe få nogen nævneværdig virkning.

6.2 Fremme af universelle principper

Det er vigtigt, at Den Europæiske Union fortsat spiller en ledende rolle for at udvikle og fremme internationale juridiske og tekniske standarder for beskyttelse af personoplysninger. For at nå dette mål vil Kommissionen gøre en aktiv indsats for internationale standarder for databeskyttelse samt for samarbejdet med tredjelande og internationale organisationer såsom OECD.

6.2.1 EØSU støtter også disse forslag. På grund af internettets globale karakter er det vigtigt, at alle kontinenters regler og retningslinjer er kompatible. Beskyttelsen af personoplysninger skal være grænseoverskridende. Vi konstaterer, at både OECD og Europarådets konvention nr. 108 allerede har fastlagt retningslinjer på området. Sidstnævnte konvention er for tiden under revision. Kommissionen bør sikre, at det nye direktiv er kompatibelt med konventionen.

7. En stærkere institutionel ordning til bedre håndhævelse af databeskyttelsesreglerne

Kommissionen vil undersøge:

— hvordan de nationale databeskyttelsesmyndigheders status og beføjelser kan styrkes, tydeliggøres og harmoniseres;

— hvordan samarbejdet og koordineringen mellem databeskyttelsesmyndighederne kan forbedres;

— hvordan det kan sikres, at EU's databeskyttelsesregler anvendes mere konsekvent i hele det indre marked; Foranstaltningerne omfatter: — en styrkelse af den rolle, som de nationale tilsynsførende for databeskyttelse spiller; — en bedre koordinering af deres arbejde via artikel 29-gruppen; — indførelsen af en mekanisme, der under Kommissionens ledelse kan sikre en konsekvent praksis.

7.1 Da EØSU lægger vægt på håndhævelse og klageadgang, spiller disse forslag en vigtig rolle for Udvalget. Vi tilslutter os formuleringerne »styrke, tydeliggøre og harmonisere« samt »samarbejde og koordinering«, og vi støtter Kommissionens grundlæggende intention om at sikre en mere konsekvent anvendelse af EU's databeskyttelsesregler i alle medlemsstaterne EØSU er bekymret over, at alle de 12 nye medlemsstater muligvis endnu ikke har gennemført direktiv 95/6 til fulde.

7.2 EØSU mener, at de nationale databeskyttelsesmyndigheder generelt er tandløse og overbebyrdede, og at deres uafhængighed skal styrkes. Et nyt direktiv bør under alle omstændigheder indeholde krav om, at de nationale myndigheder får den status, den autoritet og de ressourcer, de skal bruge for at kunne varetage deres rolle. Deres opgaver og ressourcer bør defineres på et tværeuropæisk grundlag. Det bør overvejes at udnævne en Europæisk Tilsynsførende for Databeskyttelse.

7.3 På grundlag af artikel 29-gruppens hidtidige bidrag til beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger mener EØSU, at denne gruppe fortsat har en vigtig rolle at spille.

Bruxelles, den 16. juni 2011 Staffan NILSSON Formand for Det Europæiske Økonomiske og Sociale Udvalg