KOMMISSIONENS REKOMMENDATION

av den 1 mars 2011

om riktlinjer för tillämpningen av reglerna för uppgiftsskydd i systemet för konsumentskyddssamarbete (CPCS)

(2011/136/EU)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA REKOMMENDATION

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 292, och

av följande skäl:

HÄRIGENOM REKOMMENDERAS FÖLJANDE.

Medlemsstaterna bör följa riktlinjerna i bilagan.

(1) EUT L 364, 9.12.2004, s. 1.

(2) EGT L 281, 23.11.1995, s. 31.

(3) EGT L 8, 12.1.2001, s. 1.

(4) EUT L 32, 6.2.2007, s. 192.

(5) Yttrande 6/2007 om frågor om skydd av personuppgifter som har samband med systemet för konsumentskyddssamarbete (Consumer Protection Cooperation System, CPCS), 01910/2007/EN, WP 130, antaget den 21 september 2007.

(6) Yttrande ref. 2010–0692.

BILAGA

Riktlinjer för tillämpningen av reglerna för uppgiftsskydd i systemet för konsumentskyddssamarbete (CPCS)

1. INLEDNING

För att den inre marknaden ska fungera väl måste de nationella tillsynsmyndigheterna samarbeta, eftersom bristande tillsyn i gränsöverskridande fall underminerar konsumenternas förtroende för handel över gränserna och därigenom deras tilltro till den inre marknaden samt leder till snedvridning av konkurrensen.

Databasen CPCS har inrättats genom förordningen om konsumentskyddssamarbete och är ett strukturerat system för informationsutbyte mellan de nationella konsumentskyddsmyndigheter som ingår i CPC-nätverket. Genom den kan en myndighet be om hjälp från andra myndigheter i CPC-nätverket med att utreda eventuella överträdelser av EU:s konsumentskyddslagstiftning och vidta tillsynsåtgärder för att hindra olagliga affärsmetoder som används av försäljare och leverantörer som riktar sig till konsumenter i andra EU-länder. Förfrågningar om information och all kommunikation mellan de behöriga myndigheterna rörande tillämpningen av förordningen om konsumentskyddssamarbete går via CPCS.

Syftet med förordningen om konsumentskyddssamarbete är att stärka tillsynssamarbetet när det gäller konsumentskyddslagstiftningen på den inre marknaden genom inrättandet av ett EU-omfattande nätverk av nationella tillsynsmyndigheter, och att fastställa villkoren för medlemsstaternas samarbete. Enligt förordningen om konsumentskyddssamarbete ska de nationella tillsynsmyndigheterna utbyta information och begära ömsesidigt bistånd via en särskild databas. Därför utvecklades CPSC för att underlätta ett sådant administrativt samarbete och utbyte av information i syfte att kontrollera efterlevnaden av EU:s konsumentskyddslagstiftning.

Samarbetet omfattar bara överträdelser inom gemenskapen av de rättsakter som förtecknas i bilagan till förordningen om konsumentskyddssamarbete som skyddar konsumenternas kollektiva ekonomiska intressen.

2. OMFATTNINGEN AV OCH SYFTET MED RIKTLINJERNA

Syftet med föreliggande riktlinjer är att säkerställa ett ändamålsenligt och effektivt tillsynssamarbete mellan medlemsstaternas behöriga myndigheter samtidigt som den grundläggande rätten till privatliv och skydd av personuppgifter respekteras.

Personuppgifter definieras i dataskyddsdirektivet (1) som ”varje upplysning som avser en identifierad eller identifierbar fysisk person. En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet”.

De nationella tjänstemän som ansvarar för tillsyn (handläggare) och som använder CPCS är kanske inte alltid dataskyddsexperter och införstådda med de krav som fastställs i deras egen nationella lagstiftning i fråga om uppgiftsskydd. Därför bör CPCS-användarna ha tillgång till riktlinjer som förklarar hur databasen fungerar när det gäller uppgiftsskydd, vilket skydd som byggts in i systemet och de eventuella riskerna med att använda systemet.

Syftet med riktlinjerna är att på ett användarvänligt sätt förklara de viktigaste frågorna om uppgiftsskydd i samband med CPCS. Däremot innehåller de inte någon uttömmande analys av vilka följder CPCS kan få för uppgiftsskyddet.

Det rekommenderas starkt att medlemsstaternas dataskyddsmyndigheter rådfrågas så att man säkerställer att riktlinjerna kompletteras med de särskilda skyldigheter som fastställts i de nationella lagarna om uppgiftsskydd. CPCS-användarna kan också få hjälp och vägledning från de nationella dataskyddsmyndigheterna med att kontrollera att uppgiftsskyddskraven uppfylls. En förteckning över dessa myndigheter med kontaktuppgifter och webbplatser finns på

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/#eu

Det bör klargöras att behandlingen av personuppgifter bör ske i enlighet med de särskilda villkor och principer som anges i dataskyddsdirektivet. Handläggarna har inom ramen för förordningen om konsumentskyddssamarbete rätt att utbyta uppgifter, även personuppgifter, via CPSC, om syftet med behandlingen av uppgifterna är att stoppa överträdelser av de lagar inom EU:s konsumentskyddslagstiftning som förtecknas i bilagan till förordningen om konsumentskyddssamarbete. Innan sådana uppgifter behandlas måste det göras en noggrann bedömning av om principerna för uppgiftsskydd respekteras och om behandlingen verkligen är nödvändig för att uppnå syftet med förordningen om konsumentskyddssamarbete.

Därför måste de handläggare som har tillgång till CPCS göra en bedömning av varje enskilt fall innan personuppgifter kan behandlas (2). Syftet med riktlinjerna är att hjälpa handläggarna med bedömningen genom några vägledande principer för uppgiftsskydd som måste beaktas.

Syftet är också att klargöra några komplicerade aspekter av CPCS-arkitekturen när det gäller gemensam behandling av uppgifter och gemensam kontroll genom att ange vilken uppgift kommissionen och medlemsstaternas behöriga myndigheter har som gemensamt registeransvariga vid utbyte av uppgifter i CPCS.

3. CPCS – EN DATABAS FÖR TILLSYNSSAMARBETE

Databasen CPCS har utvecklats och underhålls av Europeiska kommissionen i samarbete med medlemsstaterna. Syftet med den är att hjälpa medlemsstaterna med den praktiska tillämpningen av EU:s konsumentskyddslagstiftning. Databasen används av CPC-nätverket, som består av myndigheter som utsetts av medlemsstaterna och EES-länderna för att samarbeta och utbyta information med varandra vid kontrollen av efterlevnaden av de konsumentskyddslagar som anges i förordningen om konsumentskyddssamarbete.

I artikel 10 i förordningen om konsumentskyddssamarbete anges följande:

”Kommissionen skall upprätthålla en elektronisk databas i vilken den information som den tar emot i enlighet med artiklarna 7, 8 och 9 skall lagras och behandlas. Endast de behöriga myndigheterna skall ha tillgång till informationen i databasen.”

I artikel 12.3 i förordningen om konsumentskyddssamarbete anges följande:

”Varje begäran om bistånd och all förmedling av information skall ske skriftligen på en standardblankett och skickas elektroniskt via den databas som inrättas enligt artikel 10.”

CPCS underlättar samarbete och informationsutbyten om överträdelser inom gemenskapen av de direktiv och förordningar som förtecknas i bilagan till förordningen om konsumentskyddssamarbete och som omfattar en rad ämnen, bl.a. otillbörliga affärsmetoder, distansförsäljning, konsumentkrediter, paketresor, oskäliga avtalsvillkor, tidsdelat boende (timeshare) och e-handel. CPCS kan inte användas för informationsutbyte inom lagstiftningsområden som inte är uttryckligen förtecknade i den bilagan.

Några exempel:

I. En näringsidkare i Belgien använder oskäliga villkor gentemot konsumenter bosatta i Frankrike, vilket är ett brott mot direktivet om oskäliga avtalsvillkor. Konsumentmyndigheten i Frankrike kan då använda CPCS för att be konsumentmyndigheten i Belgien vidta alla nödvändiga tillsynsåtgärder som den har till sitt förfogande mot näringsidkaren för att utan dröjsmål stoppa överträdelsen inom gemenskapen.

II. Konsumentmyndigheten i Danmark får klagomål om att en viss webbplats använder bedrägliga affärsmetoder till skada för konsumenterna. Webbplatsens server ligger i Sverige. Den danska konsumentmyndigheten behöver information om webbplatsen. Då kan den använda CPCS för att begära information från den svenska konsumentmyndigheten, som är skyldig att lämna informationen.

Informationen laddas upp av medlemsstaterna, lagras i CPCS, där den medlemsstat som informationen var riktad till har tillgång till dem, och raderas sedan av kommissionen (3). CPCS används för att förvara och utbyta information via ett ändamålsenligt och säkert kommunikationssystem.

Ur dataskyddssynpunkt finns det alltid vissa risker med en sådan databas vad gäller den grundläggande rätten till skydd av personuppgifter, t.ex. att man använder fler uppgifter än de som är absolut nödvändiga för att uppnå ett effektivt samarbete, att det ligger kvar uppgifter som skulle ha raderats, som inte längre stämmer eller som är felaktiga samt att man inte ser till att de registrerades rättigheter respekteras och att de registeransvarigas skyldigheter fullgörs. Därför måste man minimera riskerna genom att se till att de som använder CPCS har kunskap och utbildning om reglerna för uppgiftsskydd och kan säkerställa att lagstiftningen om uppgiftsskydd följs.

4. RÄTTSLIGA OCH TILLSYNSMÄSSIGA RAMAR FÖR UPPGIFTSSKYDD

Sedan 1995 har Europeiska unionen ett regelverk för uppgiftsskydd, nämligen dataskyddsdirektivet (4) som reglerar medlemsstaternas behandling av personuppgifter och dataskyddsförordningen (5) som reglerar EU-institutionernas och EU-organens behandling av personuppgifter. Vilken lagstiftning om uppgiftsskydd som ska tillämpas beror för närvarande på vem CPCS-aktören eller CPCS-användaren är.

Kommissionens uppgiftsbehandling regleras av dataskyddsförordningen och uppgiftsbehandling som utförs av handläggare vid medlemsstaternas behöriga tillsynsmyndigheter regleras av de nationella lagar som införlivar dataskyddsdirektivet.

Kommissionen och de utsedda behöriga myndigheterna är de två viktigaste aktörerna med särskilda uppgifter i CPCS. I sin egenskap av registeransvariga är de var och en skyldiga att anmäla och lämna in sin uppgiftsbehandling till de berörda tillsynsmyndigheterna för förhandskontroll och se till att reglerna för uppgiftsskydd följs. De nationella lagar som införlivar dataskyddsdirektivet får innehålla undantag från kraven på anmälningar och förhandskontroller.

Harmoniseringen av lagarna om uppgiftsskydd syftade dels till att säkerställa en hög nivå på uppgiftsskyddet, dels till att tillvarata enskilda personers grundläggande rättigheter samtidigt som man tillåter ett fritt flöde av personuppgifter mellan medlemsstaterna. Med tanke på att de nationella genomförandeåtgärderna kan leda till olika regler bör CPCS-användarna, för att säkerställa att reglerna för uppgiftsskydd följs, diskutera föreliggande riktlinjer med sina nationella dataskyddsmyndigheter, eftersom det kan finnas olika regler t.ex. om vilken informationen som ska delges enskilda personer eller om skyldigheten att anmäla viss uppgiftsbehandling till dataskyddsmyndigheterna.

Tillsyn utförd av oberoende dataskyddsmyndigheter är en viktig komponent i EU:s regelverk för uppgiftsskydd. Allmänheten har rätt att lämna klagomål till sådana myndigheter och snabbt kunna lösa frågor om uppgiftsskydd utanför domstol. Behandlingen av personuppgifter på nationell nivå kontrolleras av den nationella dataskyddsmyndigheten, och EU-institutionernas behandling av personuppgifter kontrolleras av Europeiska datatillsynsmannen (6). Således kontrolleras kommissionen av Europeiska datatillsynsmannen medan andra CPCS-användare kontrolleras av de nationella dataskyddsmyndigheterna.

5. VEM GÖR VAD I CPCS? – GEMENSAM KONTROLL

CPCS är ett bra exempel på gemensam behandling av uppgifter och gemensam kontroll. Det är enbart medlemsstaternas behöriga myndigheter som samlar in, registrerar, lämnar ut och utbyter personuppgifter. Kommissionen ansvarar för lagringen och raderingen av uppgifterna på sina servrar. Kommissionen har inte tillgång till dessa personuppgifter men betraktas som systemförvaltare och systemoperatör.

Fördelningen av olika uppgifter och ansvarsområden mellan kommissionen och medlemsstaterna kan sammanfattas på följande sätt:

— Varje behörig myndighet är registeransvarig för sin egen uppgiftsbehandling.

— Kommissionen är inte användare utan systemoperatör och ansvarar i första hand för underhåll och säkerhet. Kommissionen har också tillgång till anmälningar, återkoppling och annan information om ärendet (7). Kommissionen behöver tillgång till informationen för att övervaka tillämpningen av förordningen om konsumentskyddssamarbete och den konsumentskyddslagstiftning som förtecknas i bilagan till förordningen om konsumentskyddssamarbete och för att sammanställa statistiska uppgifter i samband med utförandet av dessa åligganden. Däremot har kommissionen inte tillgång till informationen i förfrågningarna om ömsesidigt bistånd och tillsynsåtgärder, eftersom dessa enbart riktar sig till de behöriga myndigheter i medlemsstaterna som handlägger ärendet i fråga. Förordningen om konsumentskyddssamarbete ger dock kommissionen möjlighet att bistå behöriga myndigheter i vissa tvister (8) och att på inbjudan delta i samordnade utredningar som rör mer än två länder (9).

— CPCS-aktörerna delar ansvaret när det gäller uppgiftsbehandlingens berättigande, tillhandahållande av information och rätten till tillgång, invändningar och rättelse.

— Såväl kommissionen som de behöriga myndigheterna i sin egenskap av registeransvariga ansvarar för att reglerna för deras uppgiftsbehandling är förenliga med reglerna för uppgiftsskydd.

6. CPCS-AKTÖRER OCH CPCS-ANVÄNDARE

Det finns olika åtkomstprofiler i CPCS: Åtkomsträttigheten till databasen är begränsad till en namngiven tjänsteman vid en behörig myndighet (godkänd användare) och går inte att överföra. Det är bara de tjänstemän som medlemsstaternas behöriga myndigheter har anmält till kommissionen som kan få åtkomsträttigheter. För att få tillgång till databasen måste man ha användarnamn och lösenord som kan fås av den centrala kontaktpunkten.

Det är bara användare i den anmodade och den ansökande behöriga myndigheten som har fullständig tillgång till all information som utbyts i ett visst ärende, även dokument som är bifogade till ärendet. Användare vid den centrala kontaktpunkten kan endast läsa de grundläggande uppgifterna om ett ärende, så att de ska kunna identifiera vilken behörig myndighet som en begäran ska överföras till. De kan inte läsa konfidentiella handlingar som bifogas till en begäran eller anmälan.

Vid tillsynsärenden delas allmän information mellan användarna vid alla behöriga myndigheter som har anmälts som ansvariga för den lagstiftning som har överträtts. Detta görs genom anmälningar. Anmälningarna bör innehålla en allmän beskrivning av ärendet utan personuppgifter. Undantag kan förekomma, t.ex. namn på försäljare eller leverantör (om det är en fysisk person).

Kommissionen har inte tillgång till förfrågningar om information och tillsynsåtgärder eller sekretessbelagda handlingar, men får underrättelser och anmälningar.

7. PRINCIPER FÖR UPPGIFTSSKYDDET VID UTBYTE AV INFORMATION

CPCS-användare i medlemsstaterna får endast behandla personuppgifter på vissa villkor och enligt de principer som fastställs i dataskyddsdirektivet. Den registeransvarige ska se till att principerna för uppgiftsskydd iakttas vid behandling av personuppgifter i CPCS.

Observera att både sekretessregler och regler för uppgiftsskydd är tillämpliga på CPCS. Reglerna för sekretess och tystnadsplikt kan tillämpas på uppgifter i allmänhet, men reglerna för uppgiftsskydd gäller bara personuppgifter.

Man bör tänka på att CPCS-användarna i medlemsstaterna ansvarar för många andra sorters behandling och inte nödvändigtvis är experter på uppgiftsskydd. Efterlevnaden av uppgiftsskyddet i CPCS behöver inte vara speciellt komplicerat eller bidra till omfattade administrativt merarbete. Det behöver inte heller utformas på ett för alla enhetligt sätt. Föreliggande riktlinjer är rekommendationer för hur personuppgifter ska behandlas, och det bör poängteras att inte alla uppgifter som utbyts i CPCS är personuppgifter.

Varje gång information ska laddas upp i CPCS måste de tjänstemän som ansvarar för tillsyn först ta ställning till om personuppgifterna som ska skickas är absolut nödvändiga för att uppnå syftet med samarbetet och vem det är som ska ha uppgifterna. Tjänstemannen måste också ta ställning till om mottagaren absolut behöver informationen för en anmälan eller begäran om ömsesidigt tillstånd.

Följande förteckning över grundläggande principer för uppgiftsskyddet är tänkt att hjälpa tjänstemän som ansvarar för tillsynen och har tillgång till CPCS att i varje enskilt fall undersöka om reglerna för uppgiftsskydd följs varje gång de hanterar och behandlar personuppgifter i systemet. Tjänstemän med ansvar för tillsyn bör också tänka på att det kan finnas nationella undantag från och begränsningar av tillämpningen av de principer för uppgiftsskydd som anges nedan. De bör därför rådfråga sina nationella dataskyddsmyndigheter (10).

Vilka principer om uppgiftsskydd måste iakttas?

De allmänna principer om uppgiftsskydd som man bör ha i åtanke innan man behandlar personuppgifter har hämtats från dataskyddsdirektivet. Eftersom detta direktiv har införlivats i nationell lagstiftning måste handläggarna rådfråga sina nationella dataskyddsmyndigheter när det gäller tillämpningen av nedanstående principer. De bör också kontrollera om det finns undantag från och begränsningar av tillämpningen av principerna.

Öppenhetsprincipen

Enligt dataskyddsdirektivet har de registrerade rätt att informeras om när personuppgifter som rör dem behandlas. Den registeransvarige ska ange namn och adress, syftet med behandlingen, mottagarna av uppgifterna och all annan information som krävs för att säkerställa att behandlingen sker på ett korrekt sätt (11).

Uppgifterna får behandlas endast under följande omständigheter (12):

— Den registrerade har lämnat sitt samtycke.

— Behandlingen är nödvändig för att fullgöra eller ingå ett avtal.

— Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse.

— Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade.

— Behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller i samband med en myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut.

— Behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut.

Principen om lagenlig och korrekt behandling

Personuppgifter ska samlas in eller behandlas på ett korrekt och lagenligt sätt och endast användas för ändamål som är förenliga med förordningen om konsumentskyddssamarbete. För att behandlingen ska vara lagenlig måste handläggarna se till att de har klara skäl som berättigar behandlingen. Behandlingen måste utföras för särskilda, uttryckligt angivna och berättigade ändamål, och senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål (13). Detta kan endast uppnås med stöd av förordningen om konsumentskyddssamarbete.

För att behandlingen ska ske på ett korrekt sätt måste de registrerade informeras om syftet med behandlingen av personuppgifterna och om rätten till tillgång, invändningar och rättelse.

Principen om proportionalitet, riktighet och lagringstider

Uppgifterna måste vara proportionella, adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas. Uppgifterna måste vara riktiga och om nödvändigt hållas aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att sådana uppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas. Personuppgifter måste bevaras på ett sätt som gör det möjligt att identifiera personerna i fråga endast så länge som detta är nödvändigt för det syfte för vilket uppgifterna insamlades eller för vilket de bearbetades. Det måste finnas lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.

Handläggarna måste ta ställning till om informationen som de behandlar är absolut nödvändig för att uppnå syftet.

Principen om ändamålsbegränsning

Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål och som den registrerade fått kännedom om. Handläggarna bör endast behandla personuppgifter om det tydligt framgår varför behandlingen görs, dvs. att det i förordningen om konsumentskyddssamarbete finns en rättslig grund för att en överföring är berättigad.

Rätt till tillgång

Enligt dataskyddsdirektivet (14) har de registrerade rätt att få information om att personuppgifter som rör dem behandlas, vilket ändamålet med behandlingen är och vem som ska ha uppgifterna. De har också rätt till information om att de har vissa rättigheter, t.ex. rätten till information och rättelse. De registrerade har rätt att få tillgång till alla behandlade uppgifter som rör dem. De registrerade har också rätt att begära rättelse, radering eller blockering av sådana uppgifter som är ofullständiga eller oriktiga eller inte har behandlats i enlighet med reglerna om uppgiftsskydd (15).

Känsliga uppgifter

Det är förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa, sexualliv, brott och brottmålsdomar. I dataskyddsdirektivet (16) anges dock vissa undantag från denna regel så att känsliga uppgifter i vissa fall kan behandlas (17). Eftersom CPCS-användarna kan hamna i en situation där de hanterar känsliga uppgifter (18), bör de tänka på att behandla dessa uppgifter med försiktighet. CPCS-användarna rekommenderas att kontrollera med sina nationella dataskyddsmyndigheter om deras behandling av känsliga uppgifter omfattas av undantag.

Undantag

Dataskyddsdirektivet tillåter vissa undantag när det handlar om att förebygga, utreda, avslöja och beivra brott. Handläggarna bör kontrollera den nationella lagstiftningen för att avgöra om det är möjligt att göra sådana undantag och i så fall i vilken utsträckning (19). Om sådana undantag görs bör det tydligt anges i varje behörig myndighets integritetspolicy.

Tillämpning av principerna för uppgiftsskydd

Om dessa principer för uppgiftsskydd tillämpas vid användningen av CPCS leder det till följande rekommendationer:

1. CPCS-databasen bör endast användas för de ändamål som fastställs i förordningen om konsumentskyddssamarbete. Enligt artikel 13.1 i förordningen om konsumentskyddssamarbete får den information som förmedlas endast användas för att säkerställa att de lagar som skyddar konsumenternas intressen följs. Dessa lagar förtecknas i bilagan till förordningen om konsumentskyddssamarbete.

2. Tjänstemän som ansvarar för tillsyn rekommenderas att enbart använda informationen i en begäran om ömsesidigt bistånd eller anmälan för ändamål som hänför sig till detta specifika ärende, i strikt överensstämmelse med de rättsliga kraven för uppgiftsskydd, och göra en förhandsbedömning av om behandlingen är nödvändig i samband med utredningar som görs i allmänhetens intresse.

3. Vid överföringen av uppgifter ska tjänstemän som ansvarar för tillsynen bedöma från fall till fall vem som är mottagare av den information som ska behandlas.

4. CPCS-användarna bör noggrant välja vilka frågor de ska ställa i begäran om ömsesidigt bistånd och inte be om mer uppgifter än vad som är absolut nödvändigt. Detta bör göras både för att följa kvalitetsprinciperna och för att undvika onödig administration.

5. I dataskyddsdirektivet (20) ställs det krav på att personuppgifter ska vara riktiga och aktuella. Det rekommenderas att den behöriga myndighet som lämnade informationen bidrar till att säkerställa att uppgifterna i CPCS är riktiga. Popup-meddelanden har lagts in i CPCS för att regelbundet påminna handläggaren om att kontrollera om personuppgifterna är riktiga och aktuella.

6. Ett praktiskt sätt att informera de registrerade om deras rättigheter är att lämna ett uttömmande integritetsmeddelande på webbplatsen. Var och en av de behöriga myndigheterna rekommenderas att lämna ett integritetsmeddelande på sin webbplats. Varje integritetsmeddelande bör överensstämma med den informationsplikt som föreskrivs i dataskyddsdirektivet, innehålla en länk till kommissionens integritetsmeddelande och fler upplysningar, bl.a. kontaktuppgifter, om den behöriga myndigheten i fråga och om eventuella nationella begränsningar i rätten till tillgång till uppgifter eller rätten till information. Alla berörda registeransvariga ska se till att det publiceras integritetsmeddelanden.

7. De registrerade kan från mer än en källa kräva att få tillgång till sina personuppgifter och att uppgifterna rättas och raderas. Även om varje behörig myndighet, i sin egenskap av registeransvarig, är ansvarig för sin egen databehandling bör man sträva efter att lämna ett samordnat svar på förfrågningar som gäller gränsöverskridande fall. De behöriga myndigheterna rekommenderas att i sådana fall informera övriga berörda behöriga myndigheter om att de har fått en begäran. Om en behörig myndighet anser att ett beviljande av tillgång kan påverka undersökningar eller tillsynsåtgärder som utförs av andra behöriga myndigheter, bör den begära ett yttrande från de andra behöriga myndigheterna innan den beviljar tillgång. Den registrerade kan också rikta sin begäran till kommissionen. Kommissionen får bara tillmötesgå en begäran om sådana uppgifter som den har tillgång till. När kommissionen har tagit emot en begäran bör den rådfråga den behöriga myndighet som lämnat informationen. Om den behöriga myndigheten inte har några invändningar eller inte svarar inom rimlig tid, kan kommissionen besluta om den ska tillmötesgå begäran på grundval av dataskyddsförordningen. Kommissionen bör också begära ett yttrande från de behöriga myndigheter vars undersökningar eller tillsynsåtgärder kan äventyras om begäran tillmötesgås. Kommissionen bör undersöka om sådana utbyten skulle bli enklare om CPCS försågs med ytterligare tekniska egenskaper.

8. Enligt beslut 2007/76/EG om tillämpningen av konsumentskyddssamarbetet ska det skapas datafält för namnen på företagens direktörer i CPCS. Tjänstemän med ansvar för tillsyn måste bedöma om det är nödvändigt att införa denna typ av personuppgifter för att lösa ärendet. För varje enskilt fall måste det göras en bedömning av om det är nödvändigt att införa namnet på företagets direktör i det särskilda datafältet varje gång information ska laddas upp i CPCS och innan en anmälan eller begäran om ömsesidigt bistånd skickas till en annan behörig myndighet.

9. Enligt beslut 2007/76/EG om tillämpningen av konsumentskyddssamarbetet ska den behöriga myndighet som laddar upp begäran om information, begäran om tillsynsåtgärder eller anmälningar ange om informationen ska behandlas konfidentiellt. Detta måste göras i varje enskilt ärende. När den anmodade myndigheten lämnar ut information måste den också ange om informationen ska behandlas konfidentiellt. CPCS har som förvalt värde att användarna måste klicka på sekretessknappen för att avhemliga informationen innan de beviljar tillgång till handlingar.

8. CPCS OCH UPPGIFTSSKYDD

En miljö som främjar uppgiftsskydd

CPCS har utformats med tanke på kraven i lagstiftningen om skyddet av personuppgifter:

— CPCS använder s-Testa (secured Trans European Services for Telematics between Administrations). Det är en lättskött, tillförlitlig och säker alleuropeisk kommunikationsplattform för EU och de nationella förvaltningarna. Nätverket s-Testa bygger på en särskild privat infrastruktur som är helt frikopplad från Internet. Systemet innehåller tillräckliga säkerhetsåtgärder för att säkerställa bästa tänkbara skydd för nätverket. Nätverket har genomgått en säkerhetsackreditering så att det ska lämpa sig för överföring av information som klassificeras som ”EU Restricted”.

— Den har fått ett antal tekniska egenskaper: säkra och personliga lösenord till de behöriga tjänstemännen vid utsedda myndigheter, användning av ett säkert nätverk (s-Testa), popup-meddelanden för att påminna handläggarna om att de måste ta hänsyn till reglerna för skydd av personuppgifter när de behandlar personuppgifter, olika användarprofiler som anpassar tillgången till information beroende på användare (den behöriga myndigheten, den centrala kontaktpunkten eller kommissionen), möjlighet att begränsa tillgången till handlingar genom att sekretessmärka dem samt ett meddelande på CPCS webbplats om reglerna för uppgiftsskydd.

— Tillämpningsföreskrifter (21) som omfattar de viktigaste aspekterna för att säkerställa att bestämmelserna om uppgiftsskydd följs: tydliga regler för radering (vilka uppgifter som ska raderas och hur och när det ska göras), principer som anger de olika typerna av tillgång till information (det är bara de direkt berörda behöriga myndigheterna som har full tillgång till information, de andra har enbart tillgång till allmän information).

— Riktlinjer för verksamheten (22) som klargör vad man bör tänka på när man fyller i de olika datafälten och som utökas med föreliggande riktlinjer (23).

— Årliga granskningar för att säkerställa att de behöriga myndigheterna kontrollerar att personuppgifterna är riktiga (märkning är planerad men har inte genomförts än) och att ärendena är avslutade och/eller raderade i enlighet med reglerna, så att inga ärenden glöms bort. Kommissionen och medlemsstaterna gör regelbundet en systematisk översyn av ärenden som har pågått längre tid än den genomsnittliga tiden för ärendehantering.

— Automatisk radering av ärenden om ömsesidigt bistånd fem år efter att ärendet avslutats, i enlighet med förordningen om konsumentskyddssamarbete.

— CPCS utvecklas kontinuerligt i syfte att främja uppgiftsskyddet. Som beskrivits ovan har många skyddsåtgärder redan byggts in i systemet. Kommissionen har för avsikt att vid behov fortsätta med förbättringsarbetet.

Mer vägledning

Hur länge bör ett ärende lagras och när bör det avslutas och raderas?

Det är bara kommissionen som kan radera information i CPCS (24), vanligtvis på begäran av en behörig myndighet. När den behöriga myndigheten gör en sådan begäran ska den ange skälen till begäran om radering. Det enda undantaget är begäran om tillsynsåtgärder. De raderas automatiskt av kommissionen fem år efter att den ansökande myndigheten har avslutat ärendet.

Regler om bestämda tidsfrister har fastställts för att säkerställa att sådana uppgifter raderas som inte längre behövs, är oriktiga, visar sig vara ogrundade och/eller har bevarats så länge som de får lagras.

Varför är lagringstiden för uppgifter fastställd till fem år?

Syftet med lagringstiden är att underlätta samarbetet mellan de offentliga myndigheter som handhar tillsynen över de lagar som skyddar konsumenternas intressen när de handlägger överträdelser i EU, bidra till såväl den inre marknadens funktion som kvalitet och konsekvens vid kontroll av efterlevnaden av de lagar som skyddar konsumenternas intressen, övervaka skyddet av konsumenternas ekonomiska intressen samt bidra till att höja tillsynens kvalitet och konsekvens. Under bevarandeperioden får godkända tjänstemän som ansvarar för tillsyn och arbetar vid en behörig myndighet som ursprungligen handlade ärendet läsa informationen för att se om det finns kopplingar till upprepade överträdelser, vilket bidrar till bättre och effektivare tillsyn.

Vilken information kan ingå i diskussionsforumet?

Diskussionsforumet är kopplat till CPCS och är avsett för utbyte av information om frågor såsom nya tillsynsbefogenheter och bästa praxis. Diskussionsforumet används sällan av tjänstemän med ansvar för tillsyn, med trots det bör det som en generell regel inte användas för att utbyta ärenderelaterade uppgifter och inte heller innehålla personuppgifter.

Vilken typ av uppgifter kan ingå i de korta sammanfattningarna och bifogade handlingarna?

I beslut 2007/76/EG om tillämpningen av konsumentskyddssamarbetet anges att det ska finnas ett datafält för ”bifogade handlingar” som kan användas vid anmälningar, begäran om information och begäran om tillsynsåtgärder. I fälten för de korta sammanfattningarna ska det ges en beskrivning av överträdelsen. De korta sammanfattningarna bör inte innehålla personuppgifter, eftersom syftet med detta fält är att ge en allmän beskrivning av överträdelsen. Sådana personuppgifter i bifogade handlingar som inte är absolut nödvändiga bör döljas eller avlägsnas.

Vad menas med ”skälig misstanke” om att det har skett en överträdelse?

Begreppet skälig misstanke måste tolkas i enlighet med nationell lagstiftning. Det rekommenderas dock att misstänkta överträdelser endast förs in i CPCS om det finns belägg för att en överträdelse (sannolikt) har skett.

Vad gäller för överföringar till tredjeland?

Enligt förordningen om konsumentskyddssamarbete (25) får information som förmedlats enligt den förordningen också förmedlas av en medlemsstat till en myndighet i ett tredjeland enligt ett bilateralt biståndsavtal som slutits med det tredjelandet, under förutsättning att den behöriga myndighet som ursprungligen förmedlade informationen har gett sitt tillstånd till detta och att bestämmelserna om uppgiftsskydd följs.

Så länge det inte finns något internationellt avtal om upprättande av bestämmelser om ömsesidigt bistånd (26) med ett tredjeland bör bilaterala biståndsavtal som slutits med tredjeländer innehålla tillräckliga åtgärder för uppgiftsskydd och meddelas till de berörda tillsynsmyndigheterna för uppgiftsskydd så att förhandskontroller kan göras, om inte kommissionen har konstaterat att det berörda tredjelandet har en skyddsnivå för personuppgifter som överförs från EU som är adekvat i den mening som avses i artikel 25 i dataskyddsdirektivet.

(1) Artikel 2 a.

(2) Observera att principerna för uppgiftsskydd gäller både uppgifter som lagras elektroniskt och uppgifter som lagras i papperskopior.

(3) Särskilda regler om borttagande av uppgifter finns i beslut 2007/76/EG och The Consumer Protection Cooperation Network: Operating Guidelines.

(4) Direktiv 95/46/EG.

(5) Förordning (EG) nr 45/2001.

(6) http://www.edps.europa.eu/EDPSWEB/edps/EDPS

(7) Artiklarna 8, 9 och 15 i förordningen om konsumentskyddssamarbete.

(8) Artikel 8.5 i förordningen om konsumentskyddssamarbete.

(9) Artikel 9 i förordningen om konsumentskyddssamarbete.

(10) Artiklarna 11.2 och 13 i direktiv 95/46/EG.

(11) Artiklarna 10 och 11 i direktiv 95/46/EG.

(12) Artikel 7 i direktiv 95/46/EG.

(13) Artikel 6.1 b i direktiv 95/46/EG.

(14) Artiklarna 10, 11 och 12 i direktiv 95/46/EG.

(15) Artikel 12 i direktiv 95/46/EG.

(16) Artikel 8.2 i direktiv 95/46/EG.

(17) Artikel 8 i direktiv 95/46/EG.

(18) Kapitel 4 i bilagan till beslut 2007/76/EG.

(19) Yttrande 6/2007 om frågor om skydd av personuppgifter som har samband med systemet för konsumentskyddssamarbete (Consumer Protection Cooperation System, CPCS), 01910/2007/EN, WP 130, antaget den 21 september 2007, s. 26–28.

(20) Artikel 6.1 d i direktiv 95/46/EG.

(21) Beslut 2007/76/EG.

(22) The Consumer Protection Cooperation Network: Operating Guidelines – godkända av kommittén för konsumentskyddssamarbete den 8 juni 2010.

(23) Innehållet i dessa riktlinjer kommer att ingå i kommande utbildningar om CPCS.

(24) Artikel 10 i förordningen om konsumentskyddssamarbete och kapitel 2 i bilagan till beslut 2007/76/EG om tillämpningen av konsumentskyddssamarbetet.

(25) Artikel 14.2 i förordningen om konsumentskyddssamarbete.

(26) Artikel 18 i förordningen om konsumentskyddssamarbete.