SKRIFTLIG FORESPØRGSEL E-0718/02

af Erik Meijer (GUE/NGL) til Kommissionen

(15. marts 2002)

Om: Ufrivillig indsamling af data for brugere af Microsoft NET Passport og beskyttelse af deres privatliv

1. Er Kommissionen bekendt med den gratis NET Passport-tjeneste fra Microsoft, som er indrettet til ved online forbindelse ved køb, spil, ansøgninger eller bankoverførsler via f.eks. en e-mail adresse (hotmail), et chatprogram (MSN Messenger), en forretning (Expedia.com), en auktion (QXL), en community (MSN Communities) eller en hotelkæde (Hilton.com) at kunne registrere forbrugerens personlige data, hvilket bevirker, at navnlig indehavere af en hotmail-adresse snigende og ubemærket forledes til at afgive en stor mængde personlige oplysninger til ukendt side?

2. Er Kommissionen også bekendt med, at man udelukkes fra (tjenesterne på) mange web sites, hvis man ikke tilslutter sig NET Passport, at det ikke er muligt at udmelde sig, at kun forældede oplysninger slettes regelmæssigt, og at de krævede adgangskoder på mindst 6 tegn for en del er lette at knække af andre, som udgiver sig for at være systemmanager eller har et stort kendskab til ordbøger?

3. Finder Kommissionen det acceptabelt, at brugere af offentlige terminaler i universiteter, biblioteker og internetkafeer ved at foretage en ukorrekt logout kan overføre fortrolige oplysninger om sig selv til den næste bruger; at leje af software via internet (hvor man bruger Microsofts servere i stedet for ens egen hard disk) kun er mulig ved anvendelse af NET Passport, og at Microsoft ved en egentlig monopolstilling i den nærmeste fremtid kan opkræve en høj pris for tjenester, som indtil nu leveres gratis?

4. Er det lovligt, at en dominerende virksomhed opbygger en meget omfangsrig database med personlige oplysninger? Er der givet meddelelse om NET Passport til de nationale instanser, der fører kontrol med anvendelse af lovgivning om beskyttelse af privatsfæren? Gælder denne forpligtelse i alle medlemsstater? Gælder denne forpligtelse også, hvis databasen ikke befinder sig på en EU-medlemsstats territorium?

5. Kan efterforskningstjenester på nationalt eller europæisk plan uden forudgående tilladelse fra den involverede eller en dommerkendelse råde over de indsamlede data?

6. Er der efter Kommissionens opfattelse anledning til nærmere lovgivning for at lukke alle muligheder for misbrug eller svækkelse af gældende regler om beskyttelse af privatsfæren?

Svar afgivet på Kommissionens vegne af Frederik Bolkestein

(7. maj 2002)

1. - 3. Kommissionen er bekendt med Microsofts .NET Passport system og de muligheder, det hævdes af have, og den deler en række af det ærede medlems betænkeligheder. Kommissionen undersøger sagen som en prioriteret sag i samarbejde med de nationale databeskyttelsesmyndigheder, for så vidt angår systemets overensstemmelse (eller manglende overensstemmelse) med EU's databeskyttelseslovgivning.

4. Et selskab, som driver forretning i EU, er underkastet fællesskabslovgivning. Det må opbygge en database med personoplysninger, forudsat at de forpligtelser, der er fastsat i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(1), overholdes. Disse forpligtelser omfatter bl.a., at oplysningerne skal være indsamlet til udtrykkeligt angivne og legitime formål, og at den pågældende person skal være informeret om den registeransvarliges identitet, om formålet med indsamlingen af oplysningerne og om de rettigheder, han/hun har, som f.eks. til at få adgang til sine egne registrerede personlige oplysninger. I de tilfælde hvor der kræves samtykke til behandling af oplysningerne, fastsætter direktivet, at der ikke må herske tvivl om, at den registrerede har givet sit samtykke. Direktivet fastsætter også en pligt til at anmelde sådanne behandlinger af oplysninger til de nationale databeskyttelsesmyndigheder. Men direktivet indeholder også en række undtagelser fra anmeldelsespligten. Kommissionen kan for øjeblikket ikke sige, om den pågældende behandling er blevet anmeldt inden for Fællesskabet.

Spørgsmålet om, hvorvidt og i hvilket omfang direktivet finder anvendelse på en database (eller i direktivets forstand en registeransvarlig), som befinder sig uden for EU, især hvor der er tale om, at der indsamles data direkte fra personer via internettet, er et meget komplekst spørgsmål, som Kommissionen og de nationale databeskyttelsesmyndigheder for øjeblikket undersøger omhyggeligt. Ifølge direktivets artikel 4, stk. 1, litra c), finder direktivets bestemmelser anvendelse i de tilfælde, hvor en registeransvarlig anvender midler, det være sig elektroniske eller ikke-elektroniske, som befinder sig på den pågældende medlemsstats område, hvilket betyder, at direktivet i det mindste i nogle tilfælde finder anvendelse på registeransvarlige uden for Fællesskabet. Desuden kan specifikke nationale regler vedrørende et tredjeland, hvori den registeransvarlige er etableret, også finde anvendelse og kan håndhæves inden for dennes jurisdiktion. I den henseende har Microsoft meddelt det amerikanske handelsministerium, at det følger en politik til beskyttelse af privatlivets fred, som opfylder safe harbor-principperne(2).

5. På grundlag af lovgivningsmæssige foranstaltninger kan kriminalpolitiets efterforskere gøre brug af oplysninger indsamlet uden forudgående samtykke fra de pågældende personer eller domstolene, forudsat at de pågældende personers forsvarsmæssige rettigheder respekteres, og at begrænsningen i retten til privatlivets fred er strengt nødvendig af hensyn til politiets efterforskning. De oplysninger, der indsamles under efterforskningen, må desuden kun anvendes i det omfang, det er nødvendigt til disse formål.

6. I henhold til direktivets artikel 33 undersøger Kommissionen anvendelsen af direktiv 95/46/EF og forventer at forelægge en rapport inden årets udgang. Kommissionen vil i den forbindelse se på krænkelsen af de gældende regler.

(1) EFT L 281 af 23.11.1995.

(2) Jf. Kommissionens beslutning 2000/520/EF af 26. juli 2000 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af safe harbor-principperne til beskyttelse af privatlivets fred og de dertil hørende hyppige spørgsmål fra det amerikanske handelsministerium, EFT L 215 af 25.8.2000.