P9_TA(2021)0262

Tillräckligt skydd av personuppgifter i Förenade kungariket

Europaparlamentets resolution av den 21 maj 2021 om tillräckligt skydd av personuppgifter i Förenade kungariket (2021/2594(RSP))

(2022/C 15/23)

Europaparlamentet utfärdar denna resolution

— med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna (stadgan), särskilt artiklarna 7, 8, 16, 47 och 52,

— med beaktande av domen i Europeiska unionens domstol (domstolen) av den 16 juli 2020 i mål C-311/18, Data Protection Commissioner mot Facebook Ireland Limited och Maximillian Schrems (Schrems II-målet) (1),

— med beaktande av domstolens dom av den 6 oktober 2015 i mål C-362/14, Maximillian Schrems mot Data Protection Commissioner (Schrems I-målet) (2),

— med beaktande av domstolens dom av den 6 oktober 2020 i mål C-623/17, Privacy International mot Secretary of State of Foreign and Commonwealth affairs (3),

— med beaktande av sin resolution av den 12 mars 2014 om amerikanska NSA:s övervakningsprogram, övervakningsorgan i olika medlemsstater samt inverkan på EU-medborgarnas grundläggande rättigheter och på det transatlantiska samarbetet i rättsliga och inrikes frågor (4),

— med beaktande av sin resolution av den 5 juli 2018 om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och USA (5),

— med beaktande av sin resolution av den 25 oktober 2018 om Cambridge Analyticas utnyttjande av Facebooks användaruppgifter och dess inverkan på uppgiftsskyddet (6),

— med beaktande av sin resolution av den 20 maj 2021 om Europeiska unionens domstols dom av den 16 juli 2020 – Data Protection Commissioner mot Facebook Ireland Limited, Maximillian Schrems (Schrems II), mål C-311/18 (7),

— med beaktande av sin resolution av den 26 november 2020 om översynen av EU:s handelspolitik (8),

— med beaktande av avtalet om handel och samarbete av den 31 december 2020 mellan Europeiska unionen och Europeiska atomenergigemenskapen, å ena sidan, och Förenade konungariket Storbritannien och Nordirland, å andra sidan (9),

— med beaktande av sin resolution av den 28 april 2021 om resultatet av förhandlingarna mellan EU och Storbritannien (10),

— med beaktande av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (den allmänna dataskyddsförordningen) (11),

— med beaktande av Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter (12) (direktivet om dataskydd vid brottsbekämpning),

— med beaktande av Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (13),

— med beaktande av kommissionens förslag av den 10 januari 2017 till Europaparlamentets och rådets förordning om respekt för privatlivet och skydd av personuppgifter i samband med elektronisk kommunikation (COM(2017)0010) och Europaparlamentets ståndpunkt, som antogs den 20 oktober 2017 (14),

— med beaktande av rekommendationerna från Europeiska dataskyddsstyrelsen, inklusive utlåtandet av den 9 mars 2021 om förordningen om integritet och elektronisk kommunikation och rekommendationerna 01/2020 av den 10 november 2020 om åtgärder som kompletterar överföringsverktyg för att säkerställa överensstämmelse med EU:s skyddsnivå för personuppgifter,

— med beaktande av referensramen för adekvat skyddsnivå, som antogs av artikel 29-gruppen den 6 februari 2018 och som godkänts av dataskyddsstyrelsen,

— med beaktande av dataskyddsstyrelsens rekommendationer 01/2021 av den 2 februari 2021 om referensramen för adekvat skyddsnivå enligt direktivet om uppgiftsskydd vid brottsbekämpning,

— med beaktande av de förslag till beslut om adekvat skyddsnivå som offentliggjordes av kommissionen den 19 februari 2021, det ena i enlighet med den allmänna dataskyddsförordningen (15) och det andra i enlighet med direktivet om uppgiftsskydd vid brottsbekämpning (16),

— med beaktande av dataskyddsstyrelsens yttranden 14/2021 och 15/2021 av den 13 april 2021 över utkastet till kommissionens genomförandebeslut om adekvat skydd av personuppgifter i Förenade kungariket i enlighet med direktiv (EU) 2016/680,

— med beaktande av den europeiska konventionen om skydd för de mänskliga rättigheterna (Europakonventionen) och Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter samt dess ändringsprotokoll (”konvention 108+”), som Storbritannien är part i,

— med beaktande av Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter,

— med beaktande av artikel 132.2 i arbetsordningen,

— med beaktande av förslaget till resolution från utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor, och av följande skäl:

A. Möjligheten att överföra personuppgifter över gränserna kan bli en viktig drivkraft för innovation, produktivitet och ekonomisk konkurrenskraft och är av avgörande betydelse för ett effektivt samarbete i kampen mot gränsöverskridande organiserad och grov brottslighet, liksom i kampen mot terrorism, som i allt högre grad är beroende av utbyte av personuppgifter.

B. I sin dom i Schrems I-målet påpekar domstolen att odifferentierad tillgång för underrättelsemyndigheter till innehållet i elektronisk kommunikation kränker det väsentliga innehållet i rätten till konfidentialitet vid kommunikation enligt artikel 7 i stadgan och att USA inte tillhandahåller personer som inte är amerikanska medborgare tillräckliga rättsmedel mot massövervakning, vilket strider mot artikel 47 i stadgan.

C. Storbritannien har traditionellt sett varit en viktig handelspartner för många EU-medlemsstater och en nära allierad på säkerhetsområdet. EU och Storbritannien bör upprätthålla detta nära samarbete trots det brittiska utträdet ur EU, eftersom det kommer att gynna båda sidor.

D. Europeiska företag behöver klarhet och säkerhet angående rättsläget, eftersom möjligheten att överföra personuppgifter över gränserna har blivit allt viktigare för alla typer av företag som levererar varor och tjänster internationellt. Ett beslut om adekvat skyddsnivå för Storbritannien enligt den allmänna dataskyddsförordningen är av yttersta vikt, eftersom många europeiska företag bedriver handel över Engelska kanalen, inte minst med tanke på att landet utträdde ur unionen alldeles nyligen och att dataflöden inom unionen inte har varit föremål för inskränkningar. Om ingen robust ram för adekvat skyddsnivå antas finns det risk för störningar i den kommersiella gränsöverskridande överföringen av personuppgifter mellan EU och Storbritannien, liksom höga efterlevnadskostnader.

E. Handels- och samarbetsavtalet innehåller ett antal skyddsåtgärder och villkor för utbyte av relevanta personuppgifter i samband med brottsbekämpning. Förhandlingarna om flöden av personuppgifter fördes parallellt med förhandlingarna om handels- och samarbetsavtalet, men hade inte slutförts när övergångsperioden löpte ut den 31 december 2020. En övergångsklausul infördes i handels- och samarbetsavtalet som en tillfällig lösning, på villkor att Storbritannien åtog sig att inte ändra sitt nuvarande system för uppgiftsskydd, i syfte att säkerställa fortsatta flöden av personuppgifter mellan Storbritannien och EU fram till antagandet av ett beslut om adekvat skyddsnivå. Den inledande fyramånadersperioden har förlängts och löper ut i slutet av juni 2021.

F. Den bedömning som kommissionen gjorde innan den lade fram sitt utkast till genomförandebeslut var ofullständig och oförenlig med domstolens krav på bedömningar av adekvat skyddsnivå, vilket dataskyddsstyrelsen framhåller i sina yttranden över adekvat skyddsnivå, där den rekommenderar kommissionen att göra en ytterligare bedömning av specifika aspekter av brittisk lagstiftning och praxis när det gäller bulkinsamling, utlämnande av uppgifter utomlands och internationella avtal om underrättelseutbyte, ytterligare användning av insamlad information för brottsbekämpande ändamål samt juridiska kommissionärers oberoende.

G. Vissa aspekter av brittisk lagstiftning och/eller praxis har inte beaktats av kommissionen, vilket har lett till utkast till genomförandebeslut som är oförenliga med EU-rätten. Artikel 45 i den allmänna dataskyddsförordningen anger att kommissionen, när den bedömer om en adekvat skyddsnivå föreligger, särskilt ska beakta ”relevant lagstiftning, både allmän lagstiftning och sektorslagstiftning, inklusive avseende allmän säkerhet, försvar, nationell säkerhet och straffrätt och offentliga myndigheters tillgång till personuppgifter samt tillämpningen av sådan lagstiftning, dataskyddsregler, yrkesregler och säkerhetsbestämmelser, inbegripet regler för vidare överföring av personuppgifter till ett annat tredjeland eller en annan internationell organisation som ska följas i det landet eller den internationella organisationen, rättspraxis” samt ”vilka internationella åtaganden det berörda tredjelandet eller den berörda internationella organisationen har gjort, eller andra skyldigheter som följer av rättsligt bindande konventioner eller instrument samt av dess deltagande i multilaterala eller regionala system, särskilt rörande skydd av personuppgifter”, vilket inbegriper internationella avtal på andra områden som rör tillgång till uppgifter eller informationsdelning och därför kräver en bedömning.

H. I sin dom i Schrems I-målet fastställer domstolen tydligt följande: ”Vid undersökningen av den skyddsnivå som erbjuds av ett tredjeland är kommissionen mot denna bakgrund skyldig att bedöma innehållet i de regler som är tillämpliga i detta land till följd av dess interna lagstiftning eller dess internationella förpliktelser samt praxis vad gäller att säkerställa iakttagandet av dessa regler. I enlighet med artikel 25.2 i direktiv 95/46/EG ska kommissionen härvidlag beakta alla de förhållanden som har samband med en överföring av personuppgifter till ett tredjeland.” (punkt 75)

I. Underrättelseverksamhet och delning med tredjeländer omfattas inte av EU-rätten enligt fördragen när det gäller medlemsstaterna, eftersom dessa ingår i den nödvändiga bedömningen av adekvat skyddsnivå för nivån på de personuppgifter som tillhandahålls av tredjeländer, vilket bekräftas av domstolens dom i Schrems I- och Schrems II-målen.

J. Dataskyddsstandarder grundar sig inte bara på den gällande lagstiftningen utan även på den praktiska tillämpningen av dessa lagar, och kommissionen har vid utarbetandet av sitt beslut bedömt endast lagstiftningen och inte den praktiska tillämpningen.

K. Kommissionen anser för närvarande att tolv tredjeländer tillhandahåller adekvat skydd enligt den allmänna dataskyddsförordningen, och har nyligen slutfört samtal med Sydkorea i detta avseende. Storbritannien är det första land för vilket kommissionen har föreslagit att ett beslut om adekvat skyddsnivå ska beviljas inom ramen för direktivet om uppgiftsskydd vid brottsbekämpning.

L. Fallet Storbritannien skiljer sig från alla tidigare bedömningar av adekvat skyddsnivå, eftersom det rör en före detta EU-medlemsstat som har införlivat bestämmelserna i den allmänna dataskyddsförordningen i sin nationella rätt och dessutom har föreskrivit att all ”inhemsk lagstiftning som härrör från EU”, inbegripet den lagstiftning som införlivar direktivet om uppgiftsskydd vid brottsbekämpning, ska fortsätta att gälla efter övergångsperiodens slut.

I. DEN ALLMÄNNA DATASKYDDSFÖRORDNINGEN

Allmänna iakttagelser

1. Europaparlamentet noterar att Förenade kungariket (Storbritannien) har undertecknat Europakonventionen och Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Parlamentet förväntar sig att Storbritannien säkerställer samma miniminivå för uppgiftsskydd trots att landet har lämnat Europeiska unionen.

2. Europaparlamentet välkomnar Storbritanniens åtagande att respektera demokratin och rättsstaten och att skydda och ge inhemsk verkan åt grundläggande rättigheter såsom de som fastställs i Europakonventionen, inklusive höga nivåer av uppgiftsskydd. Detta är en nödvändig förutsättning för EU:s samarbete med Storbritannien. Parlamentet påminner om att den brittiska regeringen röstat ned förslaget att inkludera en grundläggande rätt till uppgiftsskydd, trots att Europakonventionens artikel 8 om rätten till personlig integritet är en del av den brittiska nationella lagstiftningen genom 1998 års lag om mänskliga rättigheter och av common law , i och med att missbruk av personliga uppgifter har blivit en skadeståndsgrundande händelse.

3. Europaparlamentet påpekar att EU har valt en människorättscentrerad strategi för dataförvaltning genom att utveckla robusta dataskyddsbestämmelser enligt den allmänna dataskyddsförordningen, och är därför djupt bekymrat över de offentliga uttalanden från den brittiske premiärministern där han uppger att Storbritannien kommer att sträva efter att avvika från EU:s dataskyddsbestämmelser och upprätta sina egna ”suveräna” kontroller på detta område. Den brittiska nationella datastrategin från 2020 innebär ett skifte från skydd av personuppgifter till en mer omfattande användning och delning av uppgifter som är oförenlig med principerna om rättvisa, uppgiftsminimering och ändamålsbegränsning enligt den allmänna dataskyddsförordningen. Dataskyddsstyrelsen har i sina yttranden över adekvat skyddsnivå betonat att detta kan leda till möjliga risker i samband med skyddet av personuppgifter som överförs från EU.

4. Europaparlamentet påpekar att giltiga beslut om adekvat skyddsnivå i hög grad bidrar till skyddet av individers grundläggande rättigheter och den rättsliga förutsebarheten för företag. Parlamentet betonar dock att beslut om adekvat skyddsnivå som bygger på ofullständiga bedömningar och som inte verkställs på lämpligt sätt av kommissionen kan få motsatt verkan om de prövas i domstol.

5. Europaparlamentet påpekar att den bedömning som kommissionen gjorde innan den lade fram sitt utkast till genomförandebeslut var ofullständig och oförenlig med domstolens krav på bedömningar av adekvat skyddsnivå, vilket dataskyddsstyrelsen framhåller i sina yttranden över adekvat skyddsnivå, där den rekommenderar kommissionen att göra en ytterligare bedömning av specifika aspekter av brittisk lagstiftning och praxis när det gäller bulkinsamling, utlämnande av uppgifter utomlands och internationella avtal om underrättelseutbyte, ytterligare användning av insamlad information för brottsbekämpande ändamål samt juridiska kommissionärers oberoende.

Verkställighet av den allmänna dataskyddsförordningen

6. Europaparlamentet uttrycker sin oro över att Storbritanniens verkställighet av den allmänna dataskyddsförordningen var bristfällig och ofta obefintlig när landet fortfarande var medlem i EU. Parlamentet pekar i synnerhet på att kontoret för den brittiska informationskommissionären, Information Commissioner’s Office (ICO), i det förflutna brustit i sin verkställighet. Som ett exempel kan nämnas att ICO avslutat ett klagomål om annonsteknik (s.k. adtech) efter att ha anordnat två evenemang med intressenter, skrivit en rapport (”Update Report on Adtech”) och angett att ”branschen för annonsteknik förefaller omogen i sin förståelse av dataskyddskraven”, utan att ha använt någon av sina verkställighetsbefogenheter ( 17 ) . Parlamentet är bekymrat över att bristande verkställighet är ett strukturellt problem, så som anges i ICO:s policy för regleringsåtgärder, där det uttryckligen anges: ”I de flesta fall kommer vi att spara våra befogenheter för de allvarligaste fall som utgör de grövsta överträdelserna av skyldigheter i fråga om informationsrättigheter. Dessa omfattar i regel avsiktliga, överlagda eller försumliga handlingar, eller upprepade överträdelser av skyldigheter i fråga om informationsrättigheter, som orsakar skador för enskilda personer.” Parlamentet understryker att detta i praktiken inneburit att ett stort antal överträdelser av uppgiftsskyddslagstiftningen i Storbritannien därför inte har åtgärdats.

7. Europaparlamentet noterar den brittiska nationella datastrategin, uppdaterad den 9 december 2020, som pekar på ett skifte från skydd av personuppgifter till en ökad och mer omfattande användning och delning av uppgifter. Parlamentet påpekar att den ståndpunkt som anges i strategin om att ”undanhållande av uppgifter kan inverka negativt på samhället” är oförenlig med principerna om uppgiftsminimering och ändamålsbegränsning enligt den allmänna dataskyddsförordningen och primärrätten.

8. Europaparlamentet noterar att det brittiska parlamentets utskott för konstitutionella frågor 2004 ( 18 ) och för offentlig förvaltning 2014 ( 19 ) rekommenderade att ICO:s oberoende skulle säkerställas genom att kontoret gjordes om till ett ombud som skulle svara inför parlamentet, i stället för att informationskommissionären även fortsättningsvis skulle utses av ministern för digitala medier och idrott. Det är beklagligt att denna rekommendation inte har fullföljts.

Uppgiftsbehandling för invandringskontroll

9. Europaparlamentet noterar att den brittiska dataskyddslagstiftningen innehåller ett undantag från vissa aspekter av de grundläggande rättigheterna och principerna för uppgiftsskydd, såsom rätten till tillgång och rätten för registrerade att få veta vem deras uppgifter delats med, om ett sådant skydd skulle ”inverka menligt på en effektiv invandringskontroll”. Parlamentet understryker att övervakningen och efterlevnaden av användningen av undantaget måste ske i enlighet med de standarder som krävs i referensramen för adekvat skyddsnivå och som kräver att praxis och principer beaktas, genom att det påpekas att ”det är nödvändigt att beakta inte bara innehållet i de bestämmelser som är tillämpliga på personuppgifter som överförs till ett tredjeland […] utan även det system som inrättats för att säkerställa dessa bestämmelsers verkan”. Parlamentet är medvetet om att detta undantag, som är tillgängligt för alla registeransvariga i Storbritannien, har godkänts av ICO och en domstol och endast kan åberopas från fall till fall och tillämpas om det är nödvändigt och står i proportion till sitt syfte. Parlamentet påminner om de uppgifter som nyligen avslöjats om att 17 780 begäranden om tillgång gjordes med avseende på uppgifter som behandlats av det brittiska inrikesministeriet mellan den 1 april 2018 och den 31 mars 2019 beträffande 146,75 miljoner registrerade personer och att undantaget för invandring använts för över 70 procent av alla begäranden från registrerade till inrikesministeriet under 2020 ( 20 ) . Inte ens i de fall där inrikesministeriet utnyttjade undantaget nekades tillgång till information helt utan begränsades till maskerade handlingar.

10. Europaparlamentet konstaterar att detta undantag nu gäller EU-medborgare som bor i eller planerar att bosätta sig i Storbritannien. Det är djupt oroande att undantaget undanröjer centrala möjligheter till ansvarsutkrävande och rättsmedel, och understryker att detta inte utgör en adekvat skyddsnivå.

11. Europaparlamentet upprepar sin allvarliga oro över ett undantag från registrerades rättigheter i den brittiska invandringspolitiken. Parlamentet upprepar sin ståndpunkt att undantaget för behandling av personuppgifter för invandringsändamål i den brittiska dataskyddslagen måste ändras innan ett giltigt beslut om adekvat skyddsnivå kan utfärdas, vilket upprepade gånger framhållits, bland annat i parlamentets resolution av den 12 februari 2020 om det föreslagna mandatet för förhandlingarna om ett nytt partnerskap med Förenade konungariket Storbritannien och Nordirland ( 21 ) och yttrandet från utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor av den 5 februari 2021 ( 22 ) . Parlamentet uppmanar kommissionen att försöka få undantaget för invandring slopat eller att se till att det reformeras så att undantaget och dess användning ger de registrerade tillräckliga garantier och inte överträder de standarder som förväntas av ett tredjeland.

Massövervakning

12. Europaparlamentet påminner om visselblåsaren Edward Snowdens avslöjanden om massövervakning av USA och Storbritannien. Det brittiska programmet ”Tempora”, som drivs av underrättelseorganet Government Communications Headquarters (GCHQ), avlyssnar kommunikation i realtid genom fiberoptiska kablar i internetstamnätet och registrerar uppgifterna så att de kan behandlas och göras sökbara i ett senare skede. Denna massövervakning av kommunikationsinnehåll och metadata äger rum oavsett om det finns några specifika misstankar eller några måldata.

13. Europaparlamentet påminner om att domstolen i domarna i målen Schrems I och Schrems II slog fast att masstillgång till innehållet i privat kommunikation berör det väsentliga innehållet i rätten till personlig integritet och att det i sådana fall inte längre krävs något nödvändighets- och proportionalitetstest. Parlamentet understryker att dessa principer gäller för dataöverföringar till andra tredjeländer än USA, däribland Storbritannien.

14. Europaparlamentet påminner om sin resolution av den 12 mars 2014, i vilken det konstateras att de massövervakningsprogram som bedrivs av det brittiska underrättelseorganet GCHQ på ett sätt som är urskillningslöst och inte bygger på brottsmisstankar är oförenliga med nödvändighets- och proportionalitetsprinciperna i ett demokratiskt samhälle och inte är adekvata enligt EU:s dataskyddslagstiftning. Parlamentet konstaterar att Storbritannien sedan dess avsevärt har reformerat sin övervakningslagstiftning och infört skyddsåtgärder som går utöver de villkor som Europeiska unionens domstol fastställde i sin dom i Schrems II-målet ( 23 ) och de skyddsåtgärder som föreskrivs i de flesta medlemsstaters övervakningslagstiftning. Parlamentet välkomnar i synnerhet den fullständiga tillgången till effektiva rättsmedel. Parlamentet påminner om att FN:s särskilda rapportör för rätten till integritet har välkomnat de kraftfulla skyddsåtgärder som infördes genom Investigatory Powers Act (IPA) 2016 i fråga om nödvändighet, proportionalitet och oberoende tillstånd från ett rättsligt organ.

15. Europaparlamentet påminner om att Europadomstolen i september 2018 bekräftade att de brittiska programmen för massavlyssning och masslagring av uppgifter, däribland Tempora, var ”olagliga och oförenliga med de villkor som krävs för ett demokratiskt samhälle” ( 24 )

16. Europaparlamentet anser det oacceptabelt att man i utkasten till beslut om adekvat skyddsnivå inte tar hänsyn till avsaknaden av begränsningar för användningen av de brittiska befogenheterna när det gäller bulkdata eller den faktiska omfattningen av den gemensamma brittiska och amerikanska övervakningsverksamhet som Edward Snowden avslöjat, däribland a) att det inte sker någon faktisk materiell tillsyn från ICO:s eller domstolarnas sida över användningen av undantaget med hänvisning till nationell säkerhet i den brittiska dataskyddslagstiftningen, b) att begränsningarna för användningen av brittiska ”bulkbefogenheter” inte anges i själva lagen, vilket krävs av EU-domstolen (utan överlåts åt den verkställande makten med förbehåll för en ”respektfull” domstolskontroll), c) att beskrivningen av ”sekundära uppgifter” (metadata) i utkasten till beslut är allvarligt missvisande och utelämnar att sådana uppgifter kan vara mycket avslöjande och inkräktande och är föremål för sofistikerade automatiserade analyser (såsom EU-domstolen fann i målet Digital Rights Ireland (25)), men att metadata enligt brittisk rätt inte skyddas på ett meningsfullt sätt mot otillbörlig åtkomst, bulkinsamling och AI-baserade analyser av den brittiska underrättelsetjänsten, d) att myndigheterna inom Five eyes-samarbetet, i synnerhet GCHQ och amerikanska National Security Agency (NSA), i praktiken delar samtliga underrättelseuppgifter med varandra. Vidare påpekar parlamentet att brittiska medborgare i förhållande till USA omfattas av vissa informella skyddsåtgärder mellan GCHQ och NSA. Parlamentet uttrycker djup oro över att dessa skyddsåtgärder inte skulle skydda medborgare eller invånare i EU, vars personuppgifter kan komma att föras vidare och delas med NSA.

17. Europaparlamentet uppmanar medlemsstaterna att ingå avtal om förbud mot spioneri med Storbritannien och uppmanar kommissionen att utnyttja sina utbyten med sina brittiska motparter för att förmedla budskapet att det enda tänkbara alternativet till att underlätta besluten om adekvat skyddsnivå – om brittisk lagstiftning och praxis när det gäller övervakning inte ändras – skulle vara avtal om förbud mot spioneri med medlemsstaterna.

Vidareöverföring

18. Europaparlamentet understryker med eftertryck att European Union (Withdrawal) Act 2018 föreskriver att den rättspraxis från Europeiska unionens domstol som skapas före övergångsperiodens slut kommer att bli ”bibehållen EU-rätt” och därmed rättsligt bindande för Storbritannien. Parlamentet påpekar att de principer och villkor för bedömningen av adekvat skyddsnivå i andra tredjeländer som domstolen fastställt i Schrems I- och Schrems II-målen är bindande för Storbritannien. Brittiska domstolar kommer dock inte längre att tillämpa stadgan, vilket är bekymmersamt. Parlamentet påpekar att Storbritannien inte längre omfattas av behörigheten för Europeiska unionens domstol, som är den högsta instans som kan tolka stadgan.

19. Europaparlamentet påpekar att de brittiska reglerna om utlämning av personuppgifter enligt Digital Economy Act 2017 och om vidareöverföring av forskningsdata uppenbart inte är ”väsentligen likvärdiga” med reglerna i den allmänna dataskyddsförordningen, såsom denna tolkas av domstolen.

20. Europaparlamentet är oroat över att Storbritannien har beviljat sig självt rätten att förklara att andra tredjeländer eller territorier tillhandahåller adekvat uppgiftsskydd, oavsett om tredjelandet eller territoriet i fråga av EU har ansetts tillhandahålla sådant skydd. Storbritannien har redan förklarat att Gibraltar tillhandahåller ett sådant skydd trots att EU inte har gjort detsamma. Parlamentet är mycket oroat över att ett brittiskt beslut om adekvat skyddsnivå därför skulle leda till att EU:s regler om överföring till länder eller territorier som inte bedöms ha adekvat skyddsnivå enligt EU-rätten kringgås.

21. Europaparlamentet noterar att Storbritannien den 1 februari 2021 begärde att få ansluta sig till det övergripande och progressiva Stillahavspartnerskapet (CPTPP), i synnerhet för att ”dra nytta av moderna digitala handelsregler som låter data flöda fritt mellan medlemmarna, undanröjer onödiga hinder för företag [osv.]”. Det är bekymmersamt att åtta av CPTPP:s elva medlemmar saknar beslut om adekvat skyddsnivå från EU. Parlamentet är djupt oroat över den potentiella vidareöverföringen av personuppgifter från medborgare och invånare i EU till dessa länder om Storbritannien beviljas ett beslut om adekvat skyddsnivå ( 26 )

22. Europaparlamentet beklagar att kommissionen inte gjorde någon bedömning av effekterna av och de potentiella riskerna med avtalet mellan Förenade konungariket Storbritannien och Nordirland och Japan om ett övergripande ekonomiskt partnerskap, som innehåller bestämmelser om personuppgifter och om nivån på uppgiftsskyddet.

23. Europaparlamentet är bekymrat över att den skyddsnivå som den allmänna dataskyddsförordningen erbjuder skulle undergrävas om Storbritannien inkluderar bestämmelser om överföring av data i framtida handelsavtal, bland annat med USA.

II. DIREKTIVET OM UPPGIFTSSKYDD VID BROTTSBEKÄMPNING

24. Europaparlamentet framhåller att Storbritannien är det första land för vilket kommissionen har föreslagit att ett beslut om adekvat skyddsnivå enligt direktiv (EU) 2016/680 ska antas.

25. Europaparlamentet noterar Storbritanniens avtal om gränsöverskridande dataåtkomst med USA ( 27 ) enligt amerikanska CLOUD Act, som underlättar överföring i brottsbekämpningssyfte. Parlamentet är djupt bekymrat över att detta kan ge amerikanska myndigheter otillbörlig åtkomst till personuppgifter om medborgare och invånare i EU. Parlamentet delar dataskyddsstyrelsens oro över att de skyddsåtgärder som föreskrivs i paraplyavtalet mellan EU och USA ( 28 ) efter nödvändig anpassning kanske inte uppfyller kriterierna för tydliga, exakta och tillgängliga regler när det gäller tillgång till personuppgifter, eller kanske inte i tillräcklig utsträckning är verkningsfulla och genomförbara enligt brittisk rätt.

26. Europaparlamentet påminner om att domstolens dom C-623/17 måste tolkas på så sätt att den utgör hinder för nationell lagstiftning som gör det möjligt för en statlig myndighet att ålägga leverantörer av elektroniska kommunikationstjänster att utföra generell och odifferentierad överföring av trafikuppgifter och lokaliseringsuppgifter till statens säkerhets- och underrättelsetjänst i syfte att skydda den nationella säkerheten.

27. Europaparlamentet konstaterar att domstolen i detta mål slog fast att den insamling av bulkdata som utförts i Storbritannien enligt Regulation of Investigatory Powers Act 2000 var olaglig. Parlamentet påpekar att denna rättsakt numera är ersatt av Investigatory Powers Act (IPA 2016) för att stärka principerna om nödvändighet och proportionalitet. IPA 2016 gör avlyssning till föremål för rättslig tillsyn och ger enskilda rätt att få tillgång till sina personuppgifter och lämna in klagomål till den brittiska domstolen för utredningsbefogenheter. Parlamentet beklagar dock djupt att IPA 2016 fortsätter att möjliggöra lagring av bulkdata.

28. Europaparlamentet är bekymrat över de senaste uppgifterna om att ett system för massinsamling och masslagring av data ingår i ett experiment som det brittiska inrikesministeriet genomfört inom ramen för IPA 2016.

29. Europaparlamentet påminner om att det i sin resolution av den 12 februari 2020 framhöll att ”Förenade kungariket inte kan få direkt tillgång till uppgifter från EU:s informationssystem eller delta i EU-organens styrande strukturer inom området frihet, säkerhet och rättvisa och att all delning av information med Förenade kungariket, inbegripet personuppgifter, bör omfattas av stränga skyddsåtgärder och gransknings- och tillsynsvillkor, med likvärdig nivå på skyddet av personuppgifter som den som föreskrivs i unionsrätten”. Parlamentet noterar de brister som identifierats i det sätt på vilket Storbritannien genomförde dataskyddslagstiftningen när landet fortfarande var medlem i EU. Parlamentet påminner om att Storbritannien framställde och bevarade en kopia av Schengens informationssystem (SIS). Parlamentet förväntar sig att de brittiska brottsbekämpande myndigheterna fullt ut följer de tillämpliga reglerna när de utbyter personuppgifter i framtiden. Parlamentet påminner om att Storbritannien har kvar sin tillgång till vissa av EU:s databaser för brottsbekämpning, men endast på nivån träff/icke-träff, och att landet rättsligt är uteslutet från åtkomst till SIS.

30. Europaparlamentet uttrycker sin oro över avslöjandet i januari 2021 om att 400 000 kriminalregisterposter av misstag raderats ur den brittiska nationella polisdatabasen. Detta inger inte förtroende för Storbritanniens ansträngningar för att skydda uppgifter för brottsbekämpningsändamål.

31. Europaparlamentet noterar att det i utkastet till beslut om adekvat skyddsnivå görs en grundlig bedömning av rättigheterna för varje brittisk myndighet som enligt nationell lag har befogenhet att avlyssna och lagra personuppgifter av skäl som rör nationell säkerhet. Parlamentet välkomnar dessutom att detaljerade tillsynsrapporter om de myndigheter som ansvarar för underrättelsetjänsten ger information om Storbritanniens aktuella övervakningsmetoder. Parlamentet uppmanar kommissionen att ytterligare bedöma och övervaka de typer av kommunikationsuppgifter som omfattas av de brittiska befogenheterna för lagring av uppgifter och laglig avlyssning.

32. Europaparlamentet påpekar att handels- och samarbetsavtalet mellan EU och Förenade kungariket innehåller avsnitt om utbyte av dna-uppgifter, fingeravtrycksuppgifter och uppgifter ur fordonsregister, överföring och behandling av passageraruppgifter (PNR-uppgifter), samarbete om operativ information samt samarbete med Europol och Eurojust, som kommer att gälla med eller utan ett beslut om adekvat skyddsnivå. Parlamentet erinrar dock om de farhågor beträffande handels- och samarbetsavtalet som utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor uttryckte i sitt yttrande från februari 2021 när det gäller den särskilda användning och längre lagring av personuppgifter som Storbritannien beviljas enligt avsnitten om Prümfördraget och PNR-uppgifter i handels- och samarbetsavtalet och som inte motsvarar den användning och lagring som gäller i medlemsstaterna. Parlamentet påminner om rätten att väcka talan vid domstolen för att få det föreslagna internationella avtalets laglighet prövad, i synnerhet dess förenlighet med skyddet av en grundläggande rättighet ( 29 )

Slutsatser

33. Europaparlamentet uppmanar kommissionen att försäkra EU-företagen om att beslutet om adekvat skyddsnivå kommer att utgöra en solid, tillräcklig och framtidsinriktad rättslig grund för överföring av uppgifter. Det är viktigt att försäkra sig om att detta beslut om adekvat skyddsnivå kommer att bedömas som godtagbart om det ses över av domstolen, och parlamentet betonar att alla rekommendationer i dataskyddsstyrelsens yttrande därför bör antas.

34. Europaparlamentet välkomnar att beslutet om adekvat skyddsnivå endast kommer att gälla i fyra år, eftersom Storbritannien, nu när landet inte längre är medlem i EU, kan välja att ändra den lagstiftning som är föremål för kommissionens bedömning om adekvat skyddsnivå. Parlamentet uppmanar kommissionen att under tiden fortsätta att övervaka nivån på uppgiftsskyddet i Storbritannien i lag och praxis och att göra en noggrann bedömning innan den 2025 förnyar beslutet om adekvat skyddsnivå.

35. Europaparlamentet anser att kommissionen genom att anta de två genomförandebesluten, som inte är förenliga med unionsrätten, utan att ha bemött alla de farhågor som uttrycks i denna resolution, överskrider de genomförandebefogenheter som den tilldelats genom förordning (EU) 2016/679 och direktiv (EU) 2016/680. Parlamentet motsätter sig därför de två genomförandeakterna eftersom utkasten till genomförandebeslut inte är förenliga med EU-rätten.

36. Europaparlamentet uppmanar kommissionen att ändra de två utkasten till genomförandebeslut i syfte att göra dem fullständigt förenliga med EU:s lagstiftning och rättspraxis.

37. Europaparlamentet begär att nationella dataskyddsmyndigheter avbryter överföringen av personuppgifter som brittiska underrättelsemyndigheter kan få odifferentierad tillgång till om kommissionen skulle anta sina beslut om adekvat skyddsnivå för Storbritannien innan landet löser de problem som nämns ovan.

38. Europaparlamentet uppmanar kommissionen och de behöriga brittiska myndigheterna att upprätta en handlingsplan för att så snart som möjligt åtgärda de brister som konstaterats i dataskyddsstyrelsens yttranden och andra kvarstående problem i det brittiska dataskyddet, vilket måste vara en förutsättning för det slutliga beslutet om adekvat skyddsnivå.

39. Europaparlamentet uppmanar kommissionen att noga övervaka nivån på uppgiftsskyddet samt lagar och praxis om massövervakning i Storbritannien. Parlamentet påpekar att det finns andra rättsliga möjligheter för överföring av personuppgifter till Storbritannien i kapitel V i den allmänna dataskyddsförordningen. I enlighet med dataskyddsstyrelsens riktlinjer måste överföringar som bygger på undantag för specifika situationer enligt artikel 49 i den allmänna dataskyddsförordningen utgöra undantagsfall.

40. Europaparlamentet beklagar att kommissionen har ignorerat parlamentets begäran om att skölden för skydd av privatlivet tillfälligt ska upphävas till dess att de amerikanska myndigheterna uppfyller villkoren i den, och i stället alltid har föredragit att ”övervaka situationen” utan några konkreta resultat i fråga om uppgiftsskydd för enskilda och rättslig förutsebarhet för företag. Kommissionen uppmanas med eftertryck att dra lärdom av sina misstag att inte lyssna på uppmaningar från parlamentet och sakkunniga när det gäller utfärdandet och övervakningen av tidigare beslut om adekvat skyddsnivå och att inte överlåta den korrekta verkställigheten av EU:s dataskyddslagstiftning till domstolen efter klagomål från enskilda personer.

41. Europaparlamentet uppmanar kommissionen att noga övervaka lagar och praxis på uppgiftsskyddsområdet i Storbritannien, att omedelbart informera och samråda med parlamentet om alla framtida ändringar av det brittiska systemet för uppgiftsskydd och att ge parlamentet en granskningsroll inom den nya institutionella ramen, även för relevanta organ såsom den specialiserade kommittén för samarbete inom brottsbekämpning och rättsliga frågor.

o

o o

42. Europaparlamentet uppdrar åt talmannen att översända denna resolution till kommissionen, medlemsstaterna och den brittiska regeringen.

(1) ECLI:EU:C:2020:559.

(2) ECLI:EU:C:2015:650.

(3) ECLI:EU:C:2020:790.

(4) EUT C 378, 9.11.2017, s. 104.

(5) EUT C 118, 8.4.2020, s. 133.

(6) EUT C 345, 16.10.2020, s. 58.

(7) Antagna texter, P9_TA(2021)0256.

(8) Antagna texter, P9_TA(2020)0337.

(9) EUT L 444, 31.12.2020, s. 14.

(10) Antagna texter, P9_TA(2021)0141.

(11) EUT L 119, 4.5.2016, s. 1.

(12) EUT L 119, 4.5.2016, s. 89.

(13) EGT L 201, 31.7.2002, s. 37.

(14) A8-0324/2017.

(15) Utkast till kommissionens genomförandebeslut om tillräckligt skydd av personuppgifter i Förenade kungariket i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679.

(16) Utkast till kommissionens genomförandebeslut om tillräckligt skydd av personuppgifter i Förenade kungariket i enlighet med Europaparlamentets och rådets direktiv (EU) 2016/680.

(17) Lomas, N., UK’s ICO faces legal action after closing adtech complaint with nothing to show for it, TechCrunch, San Francisco, 2020.

(18) Sjunde rapporten från det särskilda utskottet för konstitutionella frågor, offentliggjord av underhuset den 13 juni 2006. Punkt 108 har följande lydelse: ”Vi ser stora fördelar med att informationskommissionären blir direkt ansvarig inför och finansierad av parlamentet, och rekommenderar att en sådan ändring övervägs när det uppstår ett tillfälle att ändra lagstiftningen.”

(19) Rapport från utskottet för offentlig förvaltning Who’s accountable? Relationships between Government and arm’s-length bodies, offentliggjord av underhuset den 4 november 2014. Punkt 64 har följande lydelse: ”Informationskommissionären och fängelseinspektionen bör vara mer fullständigt oberoende av regeringen och svara inför parlamentet. Informationskommissionären, kommissionären för offentliga utnämningar och ordföranden för kommittén för normer i offentlig förvaltning bör bli ombud vid parlamentet, så som den parlamentariska ombudsmannen för hälsovårdstjänster och riksrevisorn redan är.”

(20) Pressmeddelande av den 3 mars 2021 från organisationen ”Open Rights Group” om dokument som avslöjar en kontroversiell användning av undantaget för invandring i 70 % av alla begäranden om tillgång som inkommit till det brittiska inrikesministeriet.

(21) Antagna texter, P9_TA(2020)0033.

(22) Yttrande från utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor över ingåendet, på unionens vägnar, av handels- och samarbetsavtalet mellan Europeiska unionen och Europeiska atomenergigemenskapen, å ena sidan, och Förenade konungariket Storbritannien och Nordirland, å andra sidan, och av avtalet mellan Europeiska unionen och Förenade konungariket Storbritannien och Nordirland om säkerhetsförfaranden för utbyte och skydd av säkerhetsskyddsklassificerade uppgifter, LIBE_AL(2021)680848.

(23) Dom av den 16 juli 2020, Data Protection Commissioner mot Facebook Ireland Limited och Maximillian Schrems, C-311/18, ECLI:EU:C:2020:559.

(24) Europadomstolens dom av den 13 september 2018, Big Brother Watch m.fl. mot Förenade kungariket, ansökningarna nr 58170/13, 62322/14 och 24960/15.

(25) Domstolens dom av den 8 april 2014, Digital Rights Ireland Ltd mot Minister for Communications, Marine and Natural Resources m.fl. och Kärntner Landesregierung m.fl., C-293/12 och C-594/12, ECLI:EU:C:2014:238.

(26) Pressmeddelande från det brittiska ministeriet för internationell handel av den 30 januari 2021, UK applies to join huge Pacific free trade area CPTPP.

(27) Avtal mellan Förenade konungariket Storbritannien och Nordirlands regering och Amerikas förenta staters regering av den 3 oktober 2019 om åtkomst till elektroniska data för att bekämpa grov brottslighet.

(28) Avtal mellan Amerikas förenta stater och Europeiska unionen om skydd av personuppgifter i samband med förebyggande, utredning, avslöjande och lagföring av brott (EUT L 336, 10.12.2016, s. 3).

(29) Europaparlamentets resolution om förslaget till kommissionens beslut om skyddsnivån för de personuppgifter ur bokningsregistret (Passenger Name Records) (PNR) som överförs till Förenta staternas tull- och gränskontrollmyndigheter (EUT C 103 E, 29.4.2004, s. 665).