SV Europeiska unionens officiella tidning C 139/1

Tredje yttrandet från Europeiska datatillsynsmannen om förslaget till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete

(2007/C 139/01)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTTRANDE,

med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artikel 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1),

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 41 (2),

HÄRMED FÖRESKRIVS FÖLJANDE:

I. INLEDNING

1. Den 19 december 2005 och den 29 november 2006 avgav Europeiska datatillsynsmannen två yttranden (3) om kommissionens förslag till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. I dessa yttranden underströk han hur viktigt förslaget är som ett effektivt instrument för att skydda personuppgifter på de områden som omfattas av avdelning VI i EU-fördraget. Datatillsynsmannen gav särskilt i sitt andra yttrande uttryck för sina farhågor för att utvecklingen i förhandlingarna leder till att skyddet av personuppgifter inte bara ligger under de standarder som fastställts i direktiv 95/46/EG, utan också är oförenligt med Europarådets mer allmänt formulerade konvention nr 108 (4).

2. I januari 2007 lade det tyska ordförandeskapet fram en rad grundläggande punkter för revidering av förslaget, i syfte att undanröja kvarstående reservationer och förbättra dataskyddet inom tredje pelaren (5). Det reviderade utkastet till förslag (6) lades fram för Europaparlamentet för en andra behandling den 13 april 2007.

3. De materiella ändringar som ingår i det reviderade förslaget, liksom dess betydelse, kräver ett nytt yttrande från datatillsynsmannen. Detta yttrande kommer att vara inriktat på datatillsynsmannens största farhågor och kommer inte att ta upp alla de punkter han framfört i tidigare yttranden, eftersom dessa fortfarande är giltiga för det reviderade förslaget.

II. NY DYNAMIK GENOM DET TYSKA ORDFÖRANDESKAPET

4. Datatillsynsmannen välkomnar det faktum att det tyska ordförandeskapet gör stora insatser i förhandlingarna om detta rambeslut av rådet. Det är allmän känt att förhandlingarna blockerades i rådet, eftersom det rådde grundläggande skillnader mellan medlemsstaternas synpunkter i avgörande frågor. Därför var det ett bra beslut av ordförandeskapet att ge dessa förhandlingar ny fart genom att lägga fram en ny text.

5. Det faktum att det tyska ordförandeskapet gav ny fart åt förhandlingarna är bara det mycket positivt. Efter en noggrann genomgång av den senaste texten är dock datatillsynsmannen besviken över innehållet. Den text som det tyska ordförandeskapet lagt fram uppfyller inte förväntningarna. Detta på grund av följande skäl: — Texten försvagar skyddet för medborgaren, eftersom ett antal viktiga bestämmelser för deras skydd som ingick i kommissionens förslag har utgått. — I många avseenden ligger det reviderade förslaget under den skyddsnivå som konvention 108 erbjuder. Det är alltså otillfredsställande och kommer till och med att vara oförenligt med medlemsstaternas internationella skyldigheter. — Texten tillför ärendet ny komplexitet, eftersom den omfattar databehandling av Europol, Eurojust och tullinformationssystemet inom tredje pelaren, och den vidgar debatten om tillsynen av dessa organ. I detta yttrande kommer framför allt att diskuteras huruvida rådets rambeslut är ett lämpligt rättsligt instrument för dessa frågor. — Textens lagstiftningskvalitet är otillfredsställande. Förutom valet av rättsligt instrument finns det flera bestämmelser som inte uppfyller kraven i de gemensamma riktlinjerna för gemenskapslagstiftningens redaktionella kvalitet (7). Framför allt har texten inte formulerats klart, enkelt och exakt, vilket gör det svårt för medborgarna att otvetydigt identifiera sina rättigheter och skyldigheter. — Den låga skyddsnivå som förslaget erbjuder kan inte på rätt sätt stödja skapandet av ett område med frihet, säkerhet och rättvisa där brottsförebyggande information kan utbytas mellan polisen och rättsliga myndigheter utan hänsyn till nationella gränser. I avsaknad av en hög dataskyddsnivå med bred tillämpning är informationsutbytena faktiskt enligt förslaget fortfarande underställda olika nationella ”ursprungsregler” och ”dubbla standarder” som starkt påverkar effektiviteten i det brottsförebyggande samarbetet utan att förbättra skyddet för personuppgifter (8).

6. Datatillsynsmannen är väl medveten om hur svårt det är att nå enighet inom rådet. Beslutsförfarandet kan emellertid inte rättfärdiga ett upplägg med en minsta gemensam nämnare som skulle vara till men för EU-medborgarnas grundläggande rättigheter och hämma effektiviteten i brottsbekämpningen. Det skulle i detta sammanhang vara önskvärt att ta hänsyn fullt ut till dataskyddsexpertisen och att de rekommendationer som Europaparlamentet lämnar i sina resolutioner (9) integreras i vederbörlig ordning.

III. DETTA YTTRANDES RÄTTSLIG RAM OCH INRIKTNING

7. Ett rambeslut om skydd av personuppgifter inom tredje pelaren är en avgörande faktor för utvecklingen av ett område med frihet, säkerhet och rättvisa. Den växande betydelsen av det straffrättsliga samarbetet mellan polis och rättsliga myndigheter, liksom de åtgärder som härrör från Haagprogrammet (10), har belyst nödvändigheten av gemensamma standarder för skydd av personuppgifter inom tredje pelaren.

8. Tyvärr är inte befintliga instrument på europeisk nivå tillräckliga, något som datatillsynsmannen och andra berörda aktörer (11) påpekat flera gånger. Europarådets konvention 108, som är bindande för medlemsstaterna, föreskriver grundläggande allmänna principer för dataskydd, men även om de måste tolkas mot bakgrund av Europadomstolens rättspraxis ger de inte den nödvändiga exaktheten, något som datatillsynsmannen framhävt tidigare vid flera tillfällen (12). Direktiv 95/46/EG, som införlivar och specificerar principerna i konvention 108 vad avser den inre marknaden, antogs redan 1995. Detta direktiv gäller inte verksamhet som faller inom tillämpningsområdet för tredje pelaren. För verksamhet på området polisiärt och rättsligt samarbete har alla medlemsstater undertecknat rekommendation nr R (87) 15 (13) som i viss utsträckning specificerar konvention 108 för polissektorn, men detta är inte något rättsligt bindande instrument.

9. I detta sammanhang kräver artikel 30.1 b i EU-fördraget att gemensamma insatser på området polissamarbete som innebär behandling av information av brottsbekämpande organ sker ”under iakttagande av tillämpliga bestämmelser om skydd av personuppgifter”. Sådana tillämpliga bestämmelser finns inte, eftersom det saknas ett rambeslut av rådet med tillfredsställande innehåll.

10. Det är lätt att dra en parallell med utvecklingen av den inre marknaden, där ett högt skydd för personuppgifter i hela gemenskapen ansågs vara en avgörande faktor för att undanröja hindren för fri rörelse av varor, tjänster, kapital och personer och ledde till antagandet av direktiv 95/46/EG. I analogi med detta kräver ett område med frihet, säkerhet och rättvisa där information kan flöda fritt mellan brottsförebyggande myndigheter både på nationell nivå och EU-nivå en hög och enhetlig skyddsnivå för personuppgifter i alla medlemsstater.

11. Dessa överväganden står i kontrast till den nuvarande situationen där man saknar en sådan allmän ram och där bestämmelserna om skydd av personuppgifter inom tredje pelaren är ”sektorsspecifika” och fördelade på olika rättsliga instrument (14). Några nyligen framlagda förslag (15) bekräftar och ökar den redan befintliga fragmenteringen av dataskyddsbestämmelser på detta område så att de riskerar att inte längre vara konsekventa. Dessutom påverkar bristen på en allmän ram ett skyndsamt antagande av många förslag på området polisiärt och rättsligt samarbete.

12. Av dessa skäl har datatillsynsmannen starkt stött kommissionens förslag i sina tidigare yttranden och har lämnat lämpliga rekommendationer för att förbättra förslaget, något som var nödvändigt för att säkerställa en tillräcklig skyddsnivå för medborgarna. Datatillsynsmannen har konsekvent framhållit att en allmän ram för dataskydd inom tredje pelaren måste garantera en hög och konsekvent dataskyddsstandard genom att bygga på de dataskyddsprinciper som anges i konvention 108 och i direktiv 95/46/EG, samtidigt som de brottsbekämpande åtgärdernas specifika karaktär beaktas när så är nödvändigt.

13. Denna allmänna rams överensstämmelse med dataskyddsprinciperna inom första pelaren är desto viktigare i ett sammanhang där den privata sektorns allt större engagemang i brottsbekämpandet innebär att personuppgifter förs över från första pelaren till tredje pelaren (såsom var fallet med passageraruppgifter), eller från tredje pelaren till första pelaren. Det är lätt att finna relevanta exempel: Användningen av ”flygförbudsförteckningar” över personer som inte bör tillåtas att gå ombord på ett flygplan och som flygbolagen upprättat för de brottsbekämpande organen för ändamål inom den första pelaren (kommersiella syften och flygsäkerhet) liksom förslaget om en gemensam viseringspolitik (16). Datatillsynsmannen framhåller därför att dataskyddsprinciperna inom första pelaren också måste gälla tredje pelaren. Emellertid kan de brottsbekämpande åtgärdernas specifika karaktär nödvändiggöra ytterligare bestämmelser eller undantagsbestämmelser (17).

14. Lämpliga och konsekventa dataskyddsåtgärder med bred tillämpning inom tredje pelaren är nödvändiga, inte bara för att garantera enskilda personers grundläggande rätt till dataskydd, utan också för att det brottsbekämpande samarbetet inom området för frihet, säkerhet och rättvisa skall kunna bli effektivt.

15. Mot denna bakgrund innehåller detta yttrande en bedömning av i vilken utsträckning det nuvarande reviderade förslaget föreskriver lämpliga bestämmelser om skydd av personuppgifter enligt artikel 30.1 b i EU-fördraget. I detta sammanhang vill datatillsynsmannen hänvisa till några av rekommendationerna i sina tidigare yttranden. Detta yttrande innehåller också en bedömning om huruvida det reviderade förslaget respekterar medlemsstaternas internationella skyldigheter som härrör från Europarådets konvention 108 och Europadomstolens rättspraxis samt principerna i rekommendation nr R (87) 15 om användning av personuppgifter inom polissektorn. Dessutom vill datatillsynsmannen överväga i vilken utsträckning förslagets bestämmelser kan påverka effektiviteten i det polisiära och rättsliga samarbetet.

IV. HUVUDSAKLIGA FARHÅGOR

IV.1 Tillämplighet på nationell behandling av personuppgifter

16. Förslaget innehåller nu ett skäl som anger att medlemsstaterna bör tillämpa bestämmelserna i rambeslutet på nationell behandling av personuppgifter för att redan vid insamlingen av uppgifterna skapa förutsättningar för en överföring (skäl 6a). Detta skäl är ett försök att stilla de farhågor som framförts inte bara av datatillsynsmannen i sina tidigare yttranden, utan också av många andra berörda parter. Europaparlamentet, dataskyddsmyndigheternas konferens och till och med Europarådets rådgivande T-PD-kommitté – bestående av dataskyddsföreträdare för europeiska regeringar – har alla vid flera tillfällen faktiskt klargjort att rambeslutets tillämplighet på inhemsk behandling av personuppgifter är ett krav, inte bara för att säkerställa tillräckligt skydd för personuppgifterna, utan också för att möjliggöra effektivt samarbete mellan brottsbekämpande myndigheter (18).

17. Skälet som sådant kan dock inte införa en skyldighet som inte uttryckligen föreskrivs i bestämmelserna. Tyvärr begränsar artikel 1 (syfte och tillämpningsområde) uttryckligen förslagets tillämplighet till uppgifter som utbyts mellan medlemsstaterna och EU:s organ genom att säkerställa att ”de grundläggande fri- och rättigheterna och särskilt den enskildes privatliv fullt ut respekteras, när personuppgifter förmedlas […]”.

18. Den nuvarande lydelsen ger därför medlemsstaterna full bestämmanderätt när det gäller tillämpningen av enhetliga dataskyddsprinciper på nationell behandling av personuppgifter och binder inte medlemsstaterna att införa samma gemensamma dataskyddsstandarder, dvs. inom området för polisiärt och rättsligt samarbete, om interna gränser måste upphävas. Mot denna bakgrund framhäver datatillsynsmannen på nytt att möjligheten med olika dataskyddsnivåer i olika medlemsstater inom den tredje pelaren skulle — vara oförenligt med skapandet av ett område med frihet, säkerhet och rättvisa inom vilket medborgarna kan röra sig fritt och med korrekt harmonisering av lagstiftningen enligt artikel 34.2 b i EU-lagstiftningen, — vara olämpligt för skyddet av personuppgifter med tanke på artikel 30.1 b i EU-fördraget, — inte vara effektivt och inte fungera för brottsbekämpande myndigheter som skulle betungas i onödan av ohanterbara skillnader mellan inhemska uppgifter och uppgifter som överförts eller som är tillgängliga för överföring, vilket i de flesta fall skulle ingå i samma fil (19).

19. Datatillsynsmannen tillråder starkt lagstiftaren att utvidga tillämpningsområdet genom att förplikta – och inte bara uppmana – medlemsstaterna att tillämpa rambeslutet på nationell behandling av personuppgifter. Dessutom finns det inga tvingande rättsliga argument som stöder synpunkten att tillämpning på inhemska uppgifter inte medges enligt artikel 34 i EU-fördraget.

IV.2 Begränsning av ändamål för vilka personuppgifter får behandlas

20. Principen om att begränsa ändamålet är en av grundprinciperna för dataskydd. Framför allt i konvention 108 anges det att personuppgifter skall ”lagras för särskilt angivna och lagliga ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål” (artikel 5 b). Avvikelser från denna princip är tillåten bara om detta föreskrivs i lag och utgör en nödvändig åtgärd i ett demokratiskt samhälle, bl.a. ”för brottsbekämpning” (artikel 9). Enligt Europadomstolens rättspraxis har det klargjorts att dessa avvikelser skall vara proportionerliga, precisa och förutsägbara enligt artikel 8.2 i Europeisk konvention om skydd för de mänskliga rättigheterna (20).

21. I det nuvarande förslaget förekommer bestämmelser om begränsning av ändamålet både i artikel 3 och artikel 12. Artikel 3 medger vidareanvändning för ändamål som är förenliga med det för vilket uppgifterna samlades in, och ligger sålunda i detta avseende i linje med de grundläggande dataskyddsprinciperna.

22. Artikel 3 är dock alltför omfattande och täcker inte en lämplig begränsning av ändamålen för lagring, något som också krävs enligt artikel 5 b i konvention 108 enligt ovan. Den allmänna hänvisningen till ändamålen i avsnitt VI i EU-fördraget kan inte betraktas som specificerade och legitima ändamål. Ändamålet med polisiärt och rättsligt samarbete är genom sin art inte legitimt (21) och absolut inte specificerat.

23. Artikel 3 innehåller inte något undantag, vilket skulle vara möjligt enligt artikel 9 i konvention 108. I artikel 12 i förslaget fastställs emellertid en mycket stor och oklart definierad grupp av undantag från principen om begränsning av ändamålet i samband med personuppgifter som tas emot från eller görs tillgängliga av en annan medlemsstat. Framför allt ställs inte i artikeln uttryckligen villkoret att undantagen måste vara nödvändiga. För det andra framgår det inte klart vid vilka ”andra […] administrativa förfaranden” som det enligt artikel 12.1 b skall vara tillåtet att behandla personuppgifter som samlats in eller översänts för annat ändamål. Dessutom är enligt artikel 12.1 d behandling tillåten i ”varje annat syfte”, på det enda villkoret att den behöriga myndighet som översänt personuppgifterna ger sitt godkännande därtill. Det skall här noteras att den översändande myndighetens godkännande aldrig får avses ersätta den registrerades eller utgöra rättslig grund för att frångå principen om begränsning av ändamålet. Datatillsynsmannen vill därför framhålla att detta breda och ospecificerade undantag inte uppfyller de grundläggande kraven på adekvat uppgiftsskydd utan till och med strider mot de grundläggande principerna i konvention 108. Datatillsynsmannen rekommenderar därför lagstiftaren att omformulera de berörda bestämmelserna.

24. Det sista påpekandet rör artikel 12.2 som gör det möjligt att ge rådsbeslut inom tredje pelaren företräde framför punkt 1, som innehåller bestämmelser om lämpliga villkor för behandlingen av personuppgifter. Datatillsynsmannen noterar att formuleringen i denna punkt är mycket allmänt hållen och inte gör rådets rambeslut rättvisa i dess egenskap av lex generalis för polisiärt och rättsligt samarbete. Denna lex generalis bör vara tillämplig på all behandling av personuppgifter inom detta område.

25. Enligt datatillsynsmannen inkräktar de nuvarande bestämmelserna om fortsatt behandling av personuppgifter på den grundläggande principen om begränsning av ändamålet utan att ens uppfylla normerna i konvention 108. Lagstiftaren rekommenderas därför att omformulera de berörda bestämmelserna mot bakgrund av de existerande internationella reglerna för uppgiftsskydd och tillämplig rättspraxis.

IV.3 Adekvat skydd vid utbyte av personuppgifter med tredjeländer

26. Konvention 108 behandlar även överföring till tredjeländer. I tilläggsprotokollet om tillsynsmyndigheter och gränsöverskridande flöden av personuppgifter fastställs den allmänna principen, för vilka vissa undantag gäller, att man får överföra personuppgifter till utomstående endast om denna ”tryggar en tillräcklig grad av skydd för den avsedda uppgiftsöverföringen”. Principen om ”adekvat skydd” har genomförts och specificerats i flera av Europeiska unionens rättsinstrument, inte bara i instrument om uppgiftsskydd inom första pelaren, som direktiv 95/46/EG (22), utan även i rättsinstrument inom tredje pelaren såsom rättsinstrumenten om inrättande av Europol och Eurojust.

27. I skäl 12 i det nuvarande förslaget anges att om personuppgifter överförs till tredjeländer eller internationella organ, ”skall dessa uppgifter i princip omfattas av ett adekvat skydd”. Enligt artikel 14 får vidare personuppgifter som översänts av en annan medlemsstat överföras till tredjeländer eller internationella organ om den översändande myndigheten har godkänt överföringen enligt sin nationella lagstiftning. I bestämmelserna i förslaget fastställs därför inte något krav på adekvat skydd, ej heller några gemensamma kriterier eller mekanismer för bedömning av om skyddet är adekvat. Detta innebär att varje medlemsstat fritt kommer att bedöma i vilken mån nivån på det skydd som tredjelandet eller den internationella organisationen erbjuder är adekvat. Följden blir att listan över sådana lämpliga länder och internationella organisationer till vilka överföring är tillåten kommer att variera mellan olika medlemsstater.

28. Detta regelverk skulle även motverka det polisiära och rättsliga samarbetet. När brottsbekämpningsmyndigheterna i en medlemsstat prövar en begäran från ett tredje land om att få ut specifika uppgifter ur brottsregistret, räcker det inte med att ta ställning till om skyddet av uppgifter är adekvat i landet utan det måste även tas hänsyn till huruvida var och en av de övriga (högst 26) medlemsstaterna som bidragit till uppgifter lämnat godkännande på grundval av deras egen bedömning av om skyddet av uppgifter är adekvat i det berörda tredjelandet.

29. I detta sammanhang ökar ovissheten genom att det i artikel 27 i förslaget, som handlar om förhållandet till avtal med tredjestater, fastställs att rambeslutet inte skall påverka medlemsstaternas eller EU:s skyldigheter och åtaganden enligt bilaterala och/eller multilaterala avtal med tredjestater. Datatillsynsmannen anser att denna bestämmelse bör begränsas tydligt till att omfatta nuvarande avtal och innebära att framtida avtal skall motsvara bestämmelserna i detta förslag.

30. Datatillsynsmannen anser att de nuvarande bestämmelserna om överföring av personuppgifter till tredjeländer och internationella organisationer inte är lämpade för skydd av personuppgifter och att de inte kommer att fungera för brottsbekämpningsmyndigheterna. Datatillsynsmannen upprepar (23) därför att det måste sörjas för en adekvat skyddsnivå när personuppgifter överförs till tredjeländer eller internationella organisationer, och att mekanismer som garanterar gemensamma normer och samordnade beslut om adekvat skydd måsta införas. Samma uppfattning har tidigare gjorts gällande av Europaparlamentet och Europarådets rådgivande kommitté för konvention 108 (T-PD).

IV.4 Uppgifternas kvalitet

31. I artikel 5 i konvention 108 fastställs principerna för säkerställandet av personuppgifters kvalitet. Närmare information finns i andra icke bindande instrument, till exempel rekommendation nr R (87) 15 och i de tre hittills genomförda utvärderingarna av den rekommendationen.

32. Om man jämför det nuvarande förslaget med det ovan nämnda rättsinstrumentet, står det klart att vissa viktiga garantier, av vilka vissa fanns med redan i kommissionens förslag, saknas i den reviderade versionen. — Artikel 3 innehåller ingen garanti för att uppgifterna har erhållits och kommer att behandlas på ett korrekt sätt, vilket är en förutsättning enligt artikel 5 i konvention 108. — Förslaget innehåller inte längre någon bestämmelse om att olika kategorier av uppgifter så långt som möjligt skall kunna skiljas från varandra efter graden av riktighet och tillförlitlighet, och att uppgifter som grundar sig på fakta skall kunna skiljas från uppgifter som grundar sig på omdömen eller personliga värderingar (24). Att ett sådant gemensamt krav saknas kan i själva verket skada de uppgifter som utväxlas mellan polismyndigheterna, eftersom dessa inte kommer att kunna fastställa om uppgifterna kan tolkas som ”bevis”, ”fakta”, ”bestyrkta underrättelser” eller ”obestyrkta underrättelser”. Därigenom riskerar man inte bara att hindra säkerhetsinsatser och underrättelseinhämtning, för vilka dessa distinktioner är en förutsättning, utan även att försvåra för domstolarna att garantera en fällande dom. — Det görs ingen åtskillnad mellan olika kategorier av registrerade personer (brottslingar, misstänkta, offer, vittnen osv.) och det saknas även särskilda garantier för uppgifter som rör icke misstänkta personer, vilket går emot princip 2 i rekommendation nr R (87) 15 och utvärderingsrapporterna för rekommendationen (25). Denna åtskillnad är återigen nödvändig inte bara för skyddet av medborgarens personuppgifter utan även för mottagarnas möjligheter att fullt ut använda de mottagna uppgifterna. Utan denna åtskillnad kan den mottagande polisen inte direkt använda uppgifterna, utan måste först fastställa hur uppgifterna skall beskrivas och sedan hur de kan användas och utväxlas inom olika former av brottsbekämpning. — Den regelbundna översyn som föreskrivs i artikel 6 innebär ingen garanti för en regelbunden kontroll av uppgifternas kvalitet eller för att polisens register gallras på överflödiga eller oriktiga uppgifter och hålls uppdaterat, vilket är ett krav enligt rekommendation nr R (87) 15 (26). Att denna översyn är viktig för uppgiftsskyddet är självklart, men det är som sagt även av avgörande betydelse för att polisen skall kunna fungera effektivt. Gamla och inaktuella underrättelser är i bästa fall värdelösa men kan i värsta fall leda till att resurser i stället för att gå till gällande prioriteringar används för frågor som vare sig är eller bör stå i fokus för utredningen. — Om personuppgifter som överförts från en annan medlemsstat visar sig vara oriktiga, finns det ingen skyldighet och inga mekanismer som sörjer för att de rättas till i ursprungsmedlemsstaten. Återigen gäller att korrektheten är avgörande för att polisen och domstolarna skall kunna fungera effektivt. Om det inte går att garantera uppgifternas kvalitet blir dataöverföringen mindre användbar som ett redskap i den internationella kampen mot brottslighet.

33. Mot denna bakgrund gör Europeiska datatillsynsmannen bedömningen att bestämmelserna om uppgifternas kvalitet i det nuvarande förslaget varken är lämpliga eller fullständiga, i synnerhet inte om man beaktar rekommendation nr R (87) 15, som alla medlemsstater ställt sig bakom, och de når inte ens upp till den skyddsnivå som krävs i konvention 108. Det kan också vara bra att än en gång påminna om att det ligger både i brottsbekämpningens och den enskildes intresse att personuppgifter är korrekta (27).

IV.5 Utbyte av personuppgifter med icke-behöriga myndigheter och privata parter

34. Enligt princip 5 om utlämning av uppgifter i rekommendation nr R (87) 15 bör brottsbekämpande myndigheter endast på vissa stränga villkor kunna få lämna ut uppgifter till andra offentliga organ eller privata parter. Sådana bestämmelser ingick i kommissionens ursprungliga förslag, vilket välkomnades av datatillsynsmannen och Europaparlamentet, men har nu i den reviderade versionen utgått. I den nya texten ingår därför inte någon bestämmelse om särskilda garantier vid överföring av personuppgifter till privata parter eller andra myndigheter än sådana inom brottsbekämpningen.

35. Dessutom gäller att de brottsbekämpande myndigheterna endast på grundval av väldefinierade villkor och begränsningar skall tillåtas att komma åt och vidareanvända personuppgifter som kontrolleras av privata parter. Såsom datatillsynsmannen tar upp redan i sina tidigare yttranden skall de brottsbekämpande myndigheternas tillgång till uppgifterna endast medges från fall till fall under specifika omständigheter och för noggrant angivna ändamål, och den skall omfattas av domstolsprövning i medlemsstaterna. Den senaste utvecklingen, bl.a. direktiv 2006/24/EG (28) om lagring av uppgifter, avtalet med USA om passageraruppgifter (PNR-uppgifter) (29) och brottsbekämpande myndigheters tillgång till personuppgifter hos SWIFT (30), bekräftar att dessa garantier är av grundläggande betydelse. Det är olyckligt att det i det nuvarande förslaget inte föreskrivs om några särskilda garantier när det gäller brottsbekämpande myndigheters tillgång till och vidare användning av personuppgifter som samlas in av privata parter.

36. Mot denna bakgrund noterar Europeiska datatillsynsmannen att när det gäller utbyte av personuppgifter med privata parter och icke behöriga myndigheter misslyckas man i det nuvarande förslaget att följa principerna i rekommendation nr R (87) 15 och att ta upp den grundläggande frågan om brottsbekämpande myndigheters åtkomst och vidareanvändning av personuppgifter som kontrolleras av privata parter.

IV.6 Andra sakfrågor

37. Vid sidan av de ovan nämnda huvudproblemen vill datatillsynsmannen göra lagstiftaren uppmärksam på följande frågor, som i de flesta fall redan behandlats närmare i hans föregående yttranden: — Särskilda kategorier av uppgifter. Det finns en motsättning mellan artikel 7 i det reviderade förslaget och det förbud som i princip skall gälla enligt artikel 6 i konvention 108. Bestämmelsen innehåller dessutom ingen hänvisning till personuppgifter om tidigare straff eller till att de skall finnas särskilda garantier för biometriska uppgifter och DNA-profiler. — Databehandlade beslut. Datatillsynsmannen välkomnar att denna bestämmelse integreras i artikel 8 i det reviderade förslaget. — Registrering och dokumentation. För att artikel 11 skall kunna bli verkningsfull när det gäller att kontrollera om behandlingen av uppgifter är lagenlig, skall det i denna artikel fastställas lämpliga mekanismer för registrering eller dokumentation, inte endast av all översändning av uppgifter utan även av all tillgång till uppgifter . — Rätt att bli informerad. Artikel 16 är ofullständig, eftersom information om den registeransvariges och mottagarnas identitet saknas. Dessutom beskrivs i skäl 13 (”[…] det kan bli nödvändigt att informera den registrerade personen […]”) informationen endast som en möjlighet snarare än som en grundläggande skyldighet för den registeransvarige. — Rätt att få tillgång till upplysningar. Artikel 17 är ofullständig, eftersom upplysningarna även skall innehålla för vilket syfte uppgifterna behandlas och kommunikation i förståelig form. Vidare är undantagen i punkt 2 – t.ex. i det fall då de ”på annat sätt (kan) skada nationella intressen” – alltför generella och oförutsebara. Slutligen finns det ingen mekanism som säkerställer att ett överklagande till tillsynsmyndigheten resulterar i tillgång till upplysningarna, när detta olagligen har förvägrats.

V. NYA FRÅGOR SOM TAS UPP I DET NYA FÖRSLAGET

38. Det nya förslaget innehåller ett helt nytt inslag jämfört med kommissionsförslaget. Det omfattar europeiska institutioners och organs verksamhet inom tredje pelaren (artikel 1.2 i förslaget). Enligt skäl 20 innefattar detta databehandling som utförs av Europol, Eurojust och tredje pelarens tullinformationssystem. I artikel 1.2 nämns inte bara de europeiska organen utan även institutioner, vilket betyder att t.ex. databehandling inom rådet bör omfattas av rådets rambeslut. Det är inte klart om författarna avsåg ett sådant brett tillämpningsområde, eller om de avsåg att begränsa tillämpningen till de tre organ som nämns i skäl 20. Texten skulle under alla förhållanden behöva göras mer precis om rättsosäkerhet skall kunna undvikas.

39. Detta leder till en mer allmän kommentar. Enligt datatillsynsmannen är det av yttersta vikt att en lämplig nivå av dataskydd garanteras inom hela tredje pelaren, eftersom det bara är på sådana villkor som ett fritt utbyte av information inom ett område av frihet, säkerhet och rättvisa utan inre gränser skulle underlättas på ett tillräckligt sätt. Detta inkluderar tillämpning av den allmänna ramen för dataskydd på EU-organ inom tredje pelaren. Datatillsynsmannen betonade detta behov tidigare i del IV av sitt yttrande om förslaget till rådets beslut om Europol.

40. Om det gäller verkningsfull lagstiftning hyser datatillsynsmannen emellertid allvarliga tvivel om huruvida det föreliggande rådsrambeslutet bör omfatta verksamheten i de EU-organ som verkar inom tredje pelaren. Det första argumentet mot detta breda tillämpningsområde har att göra med lagstiftningspolitiken. Datatillsynsmannen fruktar att om EU-organen tas med i den föreliggande texten skulle det innebära en risk för att diskussionerna i rådet koncentreras på detta nya inslag i stället för på de väsentliga bestämmelserna om dataskydd. Det kommer att komplicera lagstiftningsprocessen. Det andra argumentet är av rättslig art. Vid första anblicken verkar det som om ett rådsrambeslut – ett instrument som är jämförbart med ett direktiv enligt EG-fördraget – inte är något lämpligt rättsligt instrument för att reglera EU-organens rättigheter och skyldigheter. I artikel 34 i EU-fördraget införs detta instrument för att kunna göra en tillnärmning av medlemsstaternas lagar och andra författningar. Under alla förhållanden finns det en allvarlig risk för att den rättsliga grunden kommer att bestridas under lagstiftningsprocessen eller efteråt.

41. Datatillsynsmannen har en liknande åsikt, också med avseende på vilken rättslig grund som har valts, om artikel 26 i utkastet, som föreskriver inrättandet av en ny gemensam tillsynsmyndighet som skall ersätta de nuvarande myndigheter som övervakar databehandlingen inom tredje pelarens organ. Avsikten att inrätta en sådan myndighet kan i sig verka logisk. Det skulle kunna leda till ett ännu mer effektivt övervakningssystem och ytterligare säkerställa en konsekvent skyddsnivå inom de organ som inrättats inom tredje pelaren.

42. Just nu finns det emellertid inget omedelbart behov av ett sådant nytt tillsynsorgan. Själva tillsynen fungerar tillfredsställande. Ordföranden för Eurojust har dessutom protesterat mot en tillämpning av detta tillsynssystem på Eurojust. Utan att närmare gå in på dessa protester, är det klart att om tillsyn över EU-organen läggs till i rådets rambeslut skulle detta göra lagstiftningsprocessen ännu svårare. Denna metod skulle dessutom inte överensstämma med andra förslag på detta område som för närvarande behandlas (31) eller nyligen har antagits (32).

43. Datatillsynsmannens råd är i korthet att inte lägga till bestämmelser som rör EU-organens databehandling i rådets rambeslut. Datatillsynsmannen ger detta råd av skäl som rör effektiv lagstiftning. Det är viktigt att alla insatser i rådet koncentreras på de väsentliga bestämmelserna om dataskydd så att medborgarna kan få nödvändigt skydd.

VI. SLUTSATSER

44. Datatillsynsmannen välkomnar den nya dynamik som det tyska ordförandeskapet har gett till processen. Antagandet av en allmän ram för dataskydd inom tredje pelaren är av avgörande betydelse, såsom datatillsynsmannen och andra berörda aktörer redan har framhållit vid flera tillfällen, för att stödja utvecklingen av ett område med frihet, säkerhet och rättvisa, där medborgarnas rätt till skydd av personuppgifter enhetligt garanteras och samarbete mellan brottsbekämpande myndigheter kan äga rum oavsett nationella gränser.

45. Det reviderade förslaget uppfyller emellertid inget av dessa mål. Utan någon hög och brett tillämpbar nivå av dataskydd görs i förslaget informationsutbyten fortfarande beroende av nationella ”ursprungsregler” och ”dubbla normer” som i hög grad påverkar effektiviteten i brottsbekämpningssamarbetet utan att förbättra skyddet av personuppgifter.

46. För att ge ett konkret exempel så skulle detta betyda att en brottsbekämpande myndighet på nationell nivå eller EU-nivå i behandlingen av ett brottsärende – som består av information från olika nationella myndigheter, andra medlemsstaters myndigheter eller EU-myndigheter – skulle behöva tillämpa olika bestämmelser för behandlingen av olika delar av informationen beroende på huruvida a) personuppgifterna har samlats in internt eller inte, b) vart och ett av de översändande organen har givit sitt samtycke till det planerade syftet, c) lagringen är anpassad till de tidsgränser som fastställs i tillämplig lagstiftning i vart och ett av de översändande organen, d) de ytterligare restriktioner för behandlingen som krävs av vart och ett av de översändande organen inte förbjuder någon behandling, e) alla översändande organ vid en begäran från ett tredje land har givit sitt samtycke i enlighet med sina egna lämplighetsutvärderingar och/eller sina egna internationella åtaganden. Dessutom kommer medborgarnas skydd och rättigheter att variera oerhört mycket och omfattas av olika breda undantag beroende på i vilken medlemsstat behandlingen äger rum.

47. Datatillsynsmannen beklagar vidare att textens rättsliga kvalitet är undermålig och att förslaget tillför ärendet nya svårigheter genom att det utvidgar tillämpningen av rambeslutet till att omfatta Europol, Eurojust och tredje pelarens tullinformationssystem samt föreslår inrättandet av en gemensam tillsynsmyndighet på grundval av ett olämpligt rättsligt instrument.

48. Datatillsynsmannen är bekymrad eftersom man i den nuvarande texten tar bort de nödvändiga bestämmelser om skydd av personuppgifter som kommissionens förslag innehöll. Härigenom försvagas medborgarnas skyddsnivå i betydande grad. För det första ger inte texten det mervärde i förhållande till konvention 108 som skulle göra dess bestämmelser lämpliga ur dataskyddssynpunkt, såsom krävs i artikel 30.1 i EU-fördraget. För det andra uppfyller texten i många avseenden inte den skyddsnivå som krävs i konvention 108. Datatillsynsmannen anser därför att förslaget skulle behöva förbättras på väsentliga punkter innan det kan bli ett diskussionsunderlag för en adekvat allmän ram för dataskydd inom tredje pelaren. Om dessa förbättringar genomfördes skulle det garantera att den allmänna ramen — ger ett mervärde i förhållande till konvention 108 genom att den fastställer de lämpliga bestämmelser om skydd av personuppgifter som krävs i artikel 31.1 i EU-fördraget, — är tillämplig på brottsbekämpande myndigheters interna behandling av personuppgifter, — överensstämmer med första pelarens dataskyddsprinciper, samtidig som det vid behov även tas hänsyn till den brottsbekämpande verksamhetens olika särdrag, — överensstämmer med de principer som fastställs i konvention 108 och rekommendation nr R (87) 15, särskilt med avseende på — begränsningen av de vidare syften för vilka personuppgifter kan behandlas, — uppgifternas beskaffenhet, bl.a. åtskillnad mellan olika kategorier av registrerade (brottslingar, misstänkta, brottsoffer, vittnen osv.), bedömning av personuppgifternas olika grad av exakthet och tillförlitlighet, mekanismer för att säkerställa regelbunden kontroll och korrigering, — villkor för översändande av personuppgifter till icke behöriga myndigheter och privata parter samt för brottsbekämpande myndigheters tillgång till och vidare användning av personuppgifter som kontrolleras av privata parter, — säkerställer ett adekvat skydd vid utbytet av personuppgifter med tredjeländer, även med tanke på internationella avtal, — behandlar de andra punkter som nämns i detta och tidigare yttranden från datatillsynsmannen.

49. Datatillsynsmannen är väl medveten om hur svårt det är att nå enhällighet i rådet. Beslutsfattandet kan emellertid inte legitimera en minsta gemensamma nämnare som skulle vara till men för EU-medborgarnas grundläggande rättigheter och hämma effektiviteten i brottsbekämpningen.

Utfärdat i Bryssel den 27 april 2007 Peter HUSTINX Europeisk datatillsynsman

(1) EGT L 281 av den 23.11.1995, S. 31.

(2) EGT L 8 av den 12.1.2001, S. 1.

(3) Det första yttrande återfinns i EUT 2006, C 47, s. 27. Det andra yttrandet finns tillgänglig på datatillsynsmannens webbplats www.edps.europa.eu.

(4) Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter av den 28 januari 1981.

(5) Rådets dokument 5435/07 av den 18 januari 2007, tillgänglig på register.consilium.europa.eu.

(6) Rådets dokument 7315/07 av den 13 mars 2007, tillgänglig på register.consilium.europa.eu.

(7) Interinstitutionellt avtal av den 22 december 1998 om gemensamma riktlinjer för gemenskapslagstiftningens redaktionella kvalitet, EGT C 73 av den 17.3.1999, s. 1. Exempel återfinns i kapitel V i detta yttrande.

(8) Se t.ex. artikel 14 om överföringar till tredjeländer och internationella organ, artikel 12.1 d om vidare behandling av personuppgifter, artikel 10 om efterlevnad av tidsfrister för radering och kontroll och artikel 13 om respekt för nationella restriktioner för behandling av uppgifter.

(9) Europaparlamentet antog sin första resolution om kommissionens inledande förslag den 27 september 2006. En andra resolution om det reviderade förslaget väntas komma i juni.

(10) Se också rådets och kommissionens handlingsplan om genomförandet av Haagprogrammet för ett stärkt område med frihet, säkerhet och rättvisa i Europeiska Unionen, EUT C 198, 12.8.2005, s. 1.

(11) Under konferensen mellan europeiska dataskyddsmyndigheter avgavs det ett yttrande den 24 januari 2006 som återfinns i dokument 6329/06 på register.consilium.europa.eu. Europarådets rådgivande kommitté för konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (T-PD) antog den 20 mars 2007 ett dokument som innehöll de inledande kommentarer som finns tillgängliga på www.coe.int/dataprotection/.

(12) Se datatillsynsmannens nyligen avgivna yttrande av den 4 april 2007 om 15 medlemsstaters initiativ i syfte att anta ett beslut av rådet om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet, punkt 60.

(13) Ministerkommitténs rekommendation nr R (87) 15 till medlemsstaterna som reglerar användningen av personuppgifter inom polissektorn antogs den 17 september 1987 och återfinns på www.coe.int/dataprotection/.

(14) Exempelvis rättsliga instrument som avser Europol, Eurojust och tullens informationssystem inom tredje pelaren.

(15) Exempelvis nya initiativ som avser Europol, Prümfördraget och brottsförebyggande organs tillgång till informationssystemet för viseringar.

(16) Se förslag till rådets beslut om möjlighet till sökningar i informationssystemet för viseringar (VIS) för medlemsstaternas myndigheter som ansvarar för intern säkerhet och för Europol för att förhindra, upptäcka och utreda terroristbrott och andra grova brott (KOM(2005) 600 slutlig).

(17) Se också i detta sammanhang motiveringen till rekommendation nr R (87) 15, punkt 37.

(18) Se de dokument som anges i fotnot 9.

(19) För mer detaljerat resonemang, se datatillsynsmannens andra yttrande, punkterna 11–13.

(20) I den konsoliderade rättspraxisen för detta område är det tydligaste fallet målet Rotaru mot Rumänien.

(21) Det räcker inte med att utgå från antagandet att polisen under alla omständigheter och i alla fall arbetar inom gränserna för sina rättsliga skyldigheter.

(22) Det bör här noteras att kommissionen nyligen i sitt meddelande av den 7 mars 2007 om uppföljningen av arbetsprogrammet för ett bättre genomförande av dataskyddsdirektivet förklarat att bestämmelserna om överföring av personuppgifter till tredjeländer i direktiv 95/46/EG är lämpliga i sak och inte behöver ändras.

(23) Jämför de farhågor som uttrycks i avsnitt IV.8 i det första yttrandet och i punkterna 22–23 i det andra yttrandet.

(24) I punkt 52 i motiveringen till rekommendationen anges att det bör vara möjligt att skilja mellan bestyrkta uppgifter och obestyrkta uppgifter, inbegripet omdömen om uppförande, mellan fakta och uppfattningar, mellan tillförlitlig information (och de olika nyanserna av information) och gissningar, mellan rimliga skäl att anta att information är riktig och en ogrundad förvissning om att den är korrekt. Se även punkt 5.1 i Second evaluation of the relevance of recommendation No. R (87) 15 regulating the use of personal data in the police sector (1998).

(25) Se i synnerhet punkt 5.2 i den ovan nämnda Second evaluation och punkterna 24–27 i Third evaluation of Recommendation No R (87) 15 regulating the use of personal data in the police sector (2002).

(26) Se princip 7 om lagringstiden och uppdateringen av uppgifter samt punkterna 96–98 i motiveringen.

(27) Punkt 74 i motiveringen av rekommendation nr R (87) 15.

(28) Europaparlamentets och rådets direktiv 2006/24/EG av den 15 mars 2006 om lagring av uppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv 2002/58/EG (EUT L 105, 13.4.2006, s. 54).

(29) Avtal mellan Europeiska unionen och Amerikas förenta stater om lufttrafikföretags behandling av passageraruppgifter och överföring av dessa till Förenta staternas Department of Homeland Security (EUT L 298, 27.10.2006, s. 29).

(30) Se artikel 29-gruppens yttrande 10/2006 om behandling av personuppgifter hos Swift (Society for Worldwide Interbank Financial Telecommunication) som kan hämtas på adressen: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2006/wp128_sv.pdf samt Europeiska datatillsynsmannens yttrande om Europeiska centralbankens roll i Swift-målet, som kan hämtas på Europeiska datatillsynsmannens webbplats.

(31) Se exempelvis det nya kommissionsförslaget om inrättande av Europeiska polisbyrån, KOM(2006) 817 slutlig.

(32) Europaparlamentets och rådets förordning (EG) nr 1987/2006 av den 20 december 2006 om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II), EUT L 381, 28.12.2006, s. 4.