SV Europeiska unionens officiella tidning C 51/12

Sammanfattning av Europeiska datatillsynsmannens yttrande om förslagen till rådets beslut om ingående av avtalet mellan Europeiska unionen och Kanada om överföring och behandling av PNR-uppgifter

(Hela texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats http://www.edps.europa.eu)

(2014/C 51/06)

I. Samråd med datatillsynsmannen

1. Den 19 juli 2013 antog kommissionen förslagen till rådets beslut om ingående och undertecknande av avtalet mellan Europeiska unionen och Kanada om överföring och behandling av PNR-uppgifter (1) (nedan kallade förslagen), som innehåller texten till förslaget till avtal mellan Kanada och Europeiska unionen (nedan kallat avtalet). Förslagen sändes till Europeiska datatillsynsmannen den 23 juli 2013.

2. Datatillsynsmannen hade också möjlighet att komma med råd innan förslagen antogs. Datatillsynsmannen välkomnar detta tidigare samråd, men eftersom det ägde rum efter att förhandlingarna hade avslutats kunde ingen hänsyn tas till datatillsynsmannens synpunkter. Detta yttrande bygger på de kommentarer datatillsynsmannen lämnade vid det tillfället.

II. Allmänna kommentarer

3. Liksom vid tidigare tillfällen (2) ifrågasätter datatillsynsmannen om PNR-system och gruppvis överföring av PNR-uppgifter till tredje länder överensstämmer med nödvändighetsprincipen och proportionalitetsprincipen. Enligt EU-stadgan och den europeiska konventionen om de mänskliga rättigheterna måste båda dessa principer följas vid en begränsning av de grundläggande rättigheterna, bland annat rätten till respekt för integriteten och skydd av personuppgifter (3). Enligt rättspraxis räcker det inte med att myndigheten anger relevanta och tillräckliga skäl för att motivera en sådan begränsning (4). Dessutom måste det visas att det inte finns andra, mindre integritetskränkande metoder (5) som kan användas. Hittills har Europeiska datatillsynsmannen inte sett några övertygande argument vare sig för att det är nödvändigt eller proportionellt att behandla stora mängder data om icke misstänkta passagerare i brottsbekämpningssyfte.

4. Europeiska datatillsynsmannen välkomnar trots allt dataskyddsgarantierna i avtalet men beklagar ändå att lagringstiden har förlängts jämfört med det tidigare PNR-avtalet med Kanada.

5. Datatillsynsmannen välkomnar också kommissionens ansträngningar när det gäller översyn och prövning inom ramen för de begränsningar avtalets karaktär innebär. Han har ändå betänkligheter rörande begränsningarna när det gäller domstolsprövning och att prövning i vissa fall kan tillhandahållas av en intern myndighet som inte är oberoende. Han ifrågasätter dessutom om ett avtal av denna typ kan ge de registrerade tillräckliga och effektiva rättigheter.

6. Avtalet reglerar den "kanadensiska behöriga myndighetens" användning av PNR-data som överförs av lufttrafikföretag i EU och av andra lufttrafikföretag som tillhandahåller flygförbindelser från EU (6). Europeiska datatillsynsmannen rekommenderar att bekräftelse begärs av att ingen annan kanadensisk myndighet kan kringgå avtalet genom att ha direkt tillgång till eller kunna begära PNR-data från dessa lufttrafikföretag.

IV. Slutsatser

47. Liksom tidigare angetts ifrågasätter Europeiska datatillsynsmannen om PNR-system och gruppvis överföring av PNR-uppgifter till tredje länder överensstämmer med nödvändighetsprincipen och proportionalitetsprincipen. Datatillsynsmannen ifrågasätter också valet av rättslig grund och rekommenderar att förslagen bygger på artikel 16 i EUF-fördraget jämförd med artikel 218.5 och artikel 218.6 a i EUF-fördraget.

48. Datatillsynsmannen har också betänkligheter när det gäller den begränsade tillgången såväl till oberoende administrativ prövning som till full möjlighet att få sin sak prövad i domstol för EU-medborgare som inte befinner sig i Kanada. Han ifrågasätter också om ett avtal av denna typ är lämpligt för att reglera möjligheterna till prövning. Datatillsynsmannen rekommenderar även att bekräftelse begärs av att ingen annan kanadensisk myndighet kan kringgå avtalet genom att ha direkt tillgång till eller kunna begära PNR-data från lufttrafikföretag som omfattas av avtalet.

49. När det gäller de specifika bestämmelserna i avtalet välkomnar Europeiska datatillsynsmannen att dataskyddsgarantier ingår. Avtalet bör dock — helt utesluta behandling av känsliga uppgifter, — innebära att uppgifter raderas eller anonymiseras omedelbart efter analys och högst 30 dagar efter mottagandet samt att den föreslagna lagringsperioden, som har förlängts jämfört med det tidigare PNR-avtalet med Kanada, i vilket fall begränsas och motiveras, — begränsa de kategorier av PNR-uppgifter som behandlas, — uttryckligen nämna att den övergripande översynen kommer att utföras av en oberoende myndighet.

50. Dessutom rekommenderar Europeiska datatillsynsmannen att följande läggs till antingen i avtalet eller de åtföljande dokumenten: — ytterligare insnävning och förtydligande av de begrepp som definierar avtalets syfte, — klargörande av vilka typer av ”laglig” diskriminering som skulle vara möjliga, — skyldighet att anmäla databrott till Europeiska kommissionen och datatillsynsmyndigheterna, — slutförande av bestämmelserna om öppenhet, — utsträckning av förbudet mot att fatta beslut som grundar sig på avtalet och påverkar passagerare endast på grundval av automatisk behandling av uppgifter, — angivande av till vilka myndigheter i Kanada PNR-data kan vidarebefordras och tillägg av krav på förhandsgodkännande av domstol eller att ett omedelbart hot ska föreligga samt skyldighet att inkludera tillräckliga dataskyddsgarantier i avtal eller arrangemang med andra mottagande länder eller myndigheter samt att dessa garantier ska meddelas Europeiska kommissionen och EU:s datatillsynsmyndigheter, — namngivning av relevanta myndigheter och fastställande av avskräckande sanktioner om avtalet inte uppfylls, — angivande av de mekanismer som finns att tillgå för personer som inte är bosatta i Kanada för att söka domstolsprövning enligt kanadensisk lag, — klargörande av huruvida rätten till domstolsprövning skulle kunna utövas även om det relevanta beslutet eller den relevanta åtgärden inte har förmedlats till den berörda personen, särskilt vid överträdelse av andra bestämmelser i avtalet än de som gäller tillgång och rättelse/anmälan, — klargörande av vad som avses med ”annan lösning som kan inbegripa ersättning” i artikel 14.2, — angivande av hur ofta avtalets tillämpning ska ses över, vad översynerna ska innefatta (en bedömning av avtalets nödvändighet och proportionalitet bör ingå) och en uttrycklig anvisning om att EU:s datatillsynsmyndigheter ska ingå i EU:s tillsynsgrupp.

Utfärdat i Bryssel den 30 september 2013. Peter HUSTINX Europeiska datatillsynsmannen

(1) COM(2013) 529 final.

(2) Se Europeiska datatillsynsmannens yttrande av den 9 december 2011 om förslaget till rådets beslut om ingående av avtalet mellan Amerikans förenta stater och Europeiska unionen om användning och överföring av passageraruppgifter till Förenta staternas Department of Homeland Security, EUT C 35, 9.2.2012, s.16, yttrande av den 15 juli 2011 om förslaget till rådets beslut om ingående av avtalet mellan Europeiska unionen och Australien om lufttrafikföretags behandling av passageraruppgifter (PNR) och överföring av dessa till Australiens tull- och gränsbevakningsmyndighet, EUT C 322, 23.12.2011, s.1, Europeiska datatillsynsmannens yttrande av den 25 mars 2011 om förslaget till Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, yttrande av den 19 oktober 2010 om en övergripande strategi när det gäller överföring av passageraruppgifter (PNR-uppgifter) till tredjeländer, yttrande av den 20 december 2007 om förslaget till rådets rambeslut om användande av passageraruppgifter (PNR-uppgifter) i brottsbekämpningssyfte, EUT C 110, 1.5.2008, s. 1, yttrande av den 15 juni 2005 om förslaget till rådets beslut om ingående av ett avtal mellan Europeiska gemenskapen och Kanada om behandling av förhandsinformation om passagerare (Advance Passenger Information, API) och passageraruppgifter (Passenger Name Records, PNR), EUT C 218, 6.9.2005, s. 6 (alla finns på http://www.edps.europa.eu/EDPSWEB/edps/cache/bypass/Consultation/OpinionsC). Se även artikel 29-arbetsgruppens yttranden om PNR på http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

(3) Se artiklarna 7, 8 och 52.1 i Europeiska unionens stadga om de mänskliga rättigheterna (EUT C 83, 30.3.2010, s. 389) och artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (ETS nr 5), Europarådet, 4.11.1950.

(4) Se Europeiska domstolen för de mänskliga rättigheternas dom av den 4 december 2008, S. och Marper mot Förenade kungariket.

(5) Se domstolens dom av den 9 november 2010, C-92/09 Volker und Markus Schecke GbR mot Land Hessen och C-93/09 Eifert mot Land Hessen och Bundesansalt für Landwirtschaft und Ernährung.

(6) Se motiveringen i förslagen och artikel 3.1 i avtalet.