SV Europeiska unionens officiella tidning C 280/16

Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets direktiv om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE)

2010/C 280/02

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTTRANDE

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artikel 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, särskilt artikel 17, och

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda personer då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 41.

HÄRIGENOM FRAMFÖRS FÖLJANDE.

I. INLEDNING

1. Den 3 december 2008 antog kommissionen ett förslag till Europaparlamentets och rådets direktiv om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE) (nedan kallat förslaget) (1). Förslaget syftar till att omarbeta direktiv 2002/96/EG om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE) som antogs den 27 januari 2003 (nedan kallat direktivet) (2) utan att ändra varken bakgrunden till eller syftena med insamling och materialåtervinning av WEEE.

2. Europeiska datatillsynsmannen (datatillsynsmannen) har inte hörts enligt kravet i artikel 28.2 i förordning (EG) nr 45/2001 (3). Datatillsynsmannen har därför handlat på eget initiativ och antagit detta yttrande i enlighet med artikel 41.2 i samma förordning. Datatillsynsmannen rekommenderar att en hänvisning till detta yttrande införs i ingressen i förslaget.

3. Datatillsynsmannen är medveten om att detta råd kommer i ett sent skede av lagstiftningsförfarandet men anser likväl att det är lämpligt och av värde att framföra detta yttrande eftersom förslaget väcker viktiga frågor om dataskydd som inte behandlas i texten. Detta yttrande är inte avsett att ändra det huvudsakliga och avgörande syftet och innehållet i förslaget, vars ”tyngdpunkt” (4) fortfarande ligger på miljöskydd, utan är endast avsett att tillföra ytterligare en dimension som blir allt viktigare i vårt informationssamhälle (5).

4. Datatillsynsmannen är även medveten om det begränsade tillämpningsområdet för förfarandet med omarbetning men uppmanar likväl lagstiftaren att beakta dessa rekommendationer i enlighet med artikel 8 i det interinstitutionella avtalet om ett omarbetningsförfarande (enligt vilken det fastställs en möjlighet att ändra oförändrade bestämmelser) (6).

II. SAMMANHANG OCH BAKGRUND NÄR DET GÄLLER FÖRSLAGET OCH DESS RELEVANS FÖR DATASKYDD

5. Syftet med förslaget är att uppdatera det befintliga direktivet om bortskaffande, återanvändning och materialåtervinning av WEEE. Tekniska, juridiska och administrativa svårigheter från de första årens genomförande av direktivet har lett fram till förslaget, i enlighet med vad som föreskrivs i artikel 17.5 i direktivet.

6. Elektriska och elektroniska produkter (EEE) är en bred produktgrupp som omfattar en mängd olika medier lämpade för lagring av personuppgifter – såsom IT- och telekommunikationsutrustning (t.ex. persondatorer, bärbara datorer, elektroniska kommunikationsterminaler) – som i det aktuella teknisk-ekonomiska sammanhanget kännetecknas av allt snabbare innovationscykler och, på grund av teknisk konvergens, tillgången till apparater med flera användningsområden. Utvecklingen av elektroniska lagringsmedier sker allt snabbare, särskilt när det gäller lagringskapacitet och -storlek, och marknadskrafterna gör därför att omsättningen av EEE (som innehåller stora mängder, ofta känsliga, personuppgifter) ökar i motsvarande takt. Detta resulterar bland annat i att WEEE anses vara det avfallsflöde som ökar snabbast inom EU (7), men att det vid olämpligt bortskaffande av avfall även finns en uppenbart ökad risk för förlust och spridning av personuppgifter som lagras i denna typ av EEE.

7. Europeiska unionens politik när det gäller miljö och hållbar utveckling har länge syftat till att minska slöseriet med naturresurser och införa åtgärder för att förebygga miljöförstöring.

8. Bortskaffandet, återanvändningen och materialåtervinningen av WEEE omfattas av detta ramverk. Åtgärderna syftar till att förebygga att elektriska och elektroniska produkter bortskaffas tillsammans med blandat avfall och att ålägga tillverkare skyldigheten att tillhandahålla bortskaffande såsom föreskrivs i direktivet.

9. Bland de olika åtgärder som föreskrivs i direktivet är det särskilt värt att uppmärksamma de som avser återanvändning (dvs. varje åtgärd genom vilken WEEE eller komponenter till WEEE används för samma syfte som de ursprungligen var avsedda för, inklusive fortsatt användning av produkter, eller komponenter till sådana, som har lämnats in till insamlingsplatser, distributörer, återförsäljare, återvinningsföretag eller tillverkare), materialåtervinning (dvs. bearbetning av avfallsmaterial i en produktionsprocess för det ursprungliga syftet eller för andra syften) samt åtgärder för att finna andra former för återvinning av WEEE för att minska bortskaffandet av avfall (se artiklarna 1, 3 d och 3 e i direktivet).

10. Dessa åtgärder, i synnerhet återanvändning och materialåtervinning av WEEE och särskilt IT- och telekommunikationsutrustning, kan innebära en större risk än tidigare för att den som samlar in WEEE eller säljer och köper de använda eller återvunna produkterna kan få kännedom om eventuella personuppgifter som lagras däri. Sådana uppgifter är ofta känsliga eller rör ett stort antal individer.

11. Av samtliga ovannämnda skäl finner datatillsynsmannen det angeläget att alla berörda parter (användare och tillverkare av EEE) blir medvetna om riskerna för personuppgifter, särskilt i slutfasen av livscykeln för EEE. Även om EEE i denna fas betingar ett lägre ekonomiskt värde innehåller de troligen en stor mängd personuppgifter och har därför troligen ett högt verkligt värde för de registrerade och/eller andra personer.

III. ANALYS AV FÖRSLAGET

III.1. Tillämplighet av direktiv 95/46/EG

12. Datatillsynsmannen har inga synpunkter på förslagets övergripande målsättning och ställer sig utan förbehåll bakom initiativet som syftar till att förbättra miljövänliga strategier när det gäller WEEE.

13. Förslaget, såväl som direktivet, är emellertid endast inriktat på miljöriskerna i samband med bortskaffandet av WEEE. Det beaktar inte andra risker för individer och/eller organisationer som åtgärderna för bortskaffande, återanvändning eller materialåtervinning av WEEE kan medföra, särskilt de som är förknippade med sannolikheten för olämpligt förvärv, utlämnande eller spridning av personuppgifter som lagras i WEEE.

14. Det är viktigt att notera att direktiv 95/46/EG (8) är tillämpligt på ”varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter” inklusive deras ”utplåning eller förstöring” (artikel 2 b). Bortskaffande av EEE kan omfatta behandling av uppgifter. Därför överlappar förslaget och det nämnda direktivet varandra, och dataskyddsbestämmelser kan därför vara tillämpliga på aktiviteter som omfattas av förslaget.

III.2. Bortskaffande av och säkerhetsåtgärder för WEEE

15. Datatillsynsmannen har för avsikt att uppmärksamma de betydande risker som kan drabba individer och/eller organisationer som är registeransvariga (9) om WEEE, i synnerhet IT- och telekommunikationsutrustning, vid bortskaffandet innehåller personuppgifter om användarna av dessa apparater och/eller tredje man. Olaglig tillgång till eller utlämnande av sådana personuppgifter, som ibland kan bestå av särskilda kategorier av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv (s.k. känsliga uppgifter) (10), kan mycket väl påverka de registrerade individernas personliga integritet och värdighet samt dessa individers/organisationers andra legitima intressen (t.ex. ekonomiska).

16. Rent allmänt finner datatillsynsmannen det nödvändigt att understryka betydelsen av att lämpliga säkerhetsåtgärder antas under alla stadier (från början till slut) av behandlingen av personuppgifter, vilket påpekats flera gånger i andra yttranden (11). Detta gäller i än högre grad under den svåra fasen när den registeransvariga avser att bortskaffa apparater som innehåller personuppgifter.

17. Respekten för säkerhetsåtgärder är ofta en förutsättning för att på ett effektivt sätt garantera rätten till skydd av personuppgifter.

18. Det vore därför inkonsekvent att införa en skyldighet att genomföra (ibland kostsamma) säkerhetsåtgärder vid normal databehandling av personuppgifter (som avses i artikel 17 i direktiv 95/46/EG i tillämpliga fall) (12) och sedan helt enkelt låta bli att överväga införandet av adekvata skyddsåtgärder för bortskaffande av WEEE.

19. Det vore lika inkonsekvent att lägga sådan vikt vid datasäkerhetsfrågorna att anmälningar av överträdelse av dataskyddet måste införas via artikel 2 i direktiv 2009/136/EG (13) och sedan inte införa någon garanti eller några skyddsåtgärder under bortskaffandet av WEEE eller eventuell återanvändning eller materialåtervinning av WEEE.

20. Datatillsynsmannen beklagar att förslaget inte beaktar den möjliga skadliga inverkan som bortskaffandet av WEEE kan få på skyddet av personuppgifter som lagras i ”använda” produkter.

21. Denna aspekt beaktades inte heller i kommissionens konsekvensbedömning (14) trots att erfarenheten visar att skyddet av personuppgifter kan äventyras om lämpliga säkerhetsåtgärder inte vidtas vid bortskaffandet av WEEE (15). På grund av de berörda ärendenas komplicerade natur (t.ex. mängden legitima metoder, tekniker och aktörer som är inblandade i cykeln för bortskaffande av WEEE) finner datatillsynsmannen att det hade varit lämpligt att genomföra en ”konsekvensbedömning av personlig integritet och uppgiftsskydd” för de processer som rör bortskaffandet av WEEE.

22. Likväl rekommenderar datatillsynsmannen starkt att ”bästa tillgängliga teknik” utvecklas för personlig integritet, uppgiftsskydd och säkerhet inom detta område.

23. Under det offentliga samrådet före omarbetningen av direktivet har det förekommit att intressenter tagit upp ärenden som rör säkerhet och skydd av personuppgifter, särskilt företag inom IT och elektronisk kommunikation, vilket ytterligare belyser problemet (16).

24. Slutligen är det värt att uppmärksamma att vissa nationella dataskyddsmyndigheter har utfärdat riktlinjer för att minimera de risker som kan uppstå om inte nödvändiga säkerhetsåtgärder vidtas, i synnerhet vid bortskaffande av material som lyder under direktivet (17).

25. Datatillsynsmannen upprepar att direktiv 95/46/EG är tillämpligt vid bortskaffandet av WEEE som innehåller personuppgifter. Registeransvariga – i synnerhet de som använder IT- och kommunikationsutrustning – åläggs därför att fullgöra sina säkerhetsskyldigheter för att förhindra olämpligt utlämnande eller spridning av personuppgifter. I detta syfte och för att inte hållas ansvariga för överträdelser mot säkerhetsåtgärder bör registeransvariga inom offentliga och privata sektorn, i samarbete med uppgiftsskyddsombuden (då sådana finns), anta lämpliga strategier för bortskaffande av WEEE som innehåller personuppgifter.

26. Om registeransvariga som bortskaffar EEE inte har den nödvändiga kompetensen och/eller det tekniska kunnandet för att radera de aktuella personuppgifterna kan de anförtro uppgiften åt behöriga registerförare (t.ex. hjälpcentra, utrustningstillverkare och distributörer) i enlighet med villkoren i artikel 17.2, 17.3 och 17.4 i direktiv 95/46/EG. Registerförarna ska i sin tur intyga att åtgärderna har utförts eller och/eller åta sig dem.

27. På grund av dessa beaktanden finner datatillsynsmannen att omarbetningen av direktivet utöver de bestämmelser som finns för miljöskydd bör inkludera strategier för uppgiftsskydd.

28. Datatillsynsmannen rekommenderar därför rådet och Europaparlamentet att inkludera en särskild bestämmelse i det nuvarande förslaget som anger att direktivet är tillämpligt för bortskaffande av WEEE utan att det påverkar tillämpningen av direktiv 95/46/EG.

III.3. Återanvändning eller materialåtervinning av WEEE och säkerhetsåtgärder

29. Eftersom de som ansvarar för bortskaffandet av EEE tillåts fatta självständiga beslut om uppgifter som finns i EEE kan de anses vara registeransvariga (18). De måste därför införa interna rutiner för att undvika onödig databehandling av eventuella personuppgifter som lagras i WEEE, det vill säga behandling utöver vad som är absolut nödvändigt för att på ett effektivt sätt verifiera att uppgifterna de innehåller rensas bort.

30. De ansvariga får dessutom inte låta obehöriga få kännedom om eller behandla uppgifter som lagras på EEE. Särskilt om lagringsmedier återvinns eller återanvänds och därför kommer ut på marknaden igen finns det en ökad risk för olämpligt utlämnande eller spridning av personuppgifter samt ett behov av att hindra obehörig tillgång till personuppgifter.

31. Datatillsynsmannen rekommenderar därför att rådet och Europaparlamentet inkluderar en särskild bestämmelse i det nuvarande förslaget som förbjuder försäljning av begagnade apparater om inte lämpliga säkerhetsåtgärder har vidtagits i enlighet med moderna tekniska standarder (som att skrivas över upprepade gånger) för att radera eventuella personuppgifter som dessa kan innehålla.

III.4. Så kallad ”privacy by design” och ”security by design”

32. Den framtida rättsliga ramen för elektronikavfall bör inte endast inkludera en särskild bestämmelse om den vidare ekodesignprincipen för produkterna (se artikel 4 i förslaget utformning av produkter) utan även – som tidigare nämnts i andra yttranden från datatillsynsmannen (19) – en bestämmelse om principen för inbyggda skyddsmekanismer för att skydda den personliga integriteten (privacy by design) (20) eller närmare bestämt inom detta område inbyggda skyddsmekanismer för att skydda säkerheten (security by design) (21). Så vitt det är möjligt bör skydd av personlig integritet och uppgifter standardmässigt integreras i utformningen av elektriska och elektroniska produkter så att användarna – på ett enkelt sätt och kostnadsfritt – kan radera personuppgifter som kan finnas i apparater vid ett eventuellt bortskaffande (22).

33. Detta tillvägagångssätt har ett klart stöd i artikel 3.3 c i direktiv 1999/5/EG (23) om utformning av radioutrustning och teleterminalutrustning och i artikel 14.3 i direktiv 2002/58/EG (24).

34. Därför bör tillverkarna ”bygga in” säkerhetsåtgärder för personlig integritet och säkerhet genom tekniska lösningar (25). Inom denna ram bör även initiativ till rekommendationer om nödvändigheten att radera eventuella personuppgifter före bortskaffandet av WEEE (gäller även tillverkare av kostnadsfria programvaror för detta ändamål) främjas och understödjas (26).

IV. SLUTSATSER

35. Med hänsyn till ovanstående rekommenderar datatillsynsmannen att dataskyddsmyndigheterna, i synnerhet genom artikel 29-arbetsgruppen för uppgiftsskydd, och datatillsynsmannen blir starkt inblandade i initiativ som rör bortskaffandet av WEEE, via samråd på ett tillräckligt tidigt stadium innan relevanta åtgärder utarbetas.

36. Med hänsyn till det sammanhang som personuppgifter behandlas i rekommenderar datatillsynsmannen att förslaget bör inkludera särskilda bestämmelser — som preciserar att direktivet om WEEE är tillämpligt utan att det påverkar tillämpningen av direktiv 95/46/EG — som förbjuder försäljning av begagnade apparater om inte lämpliga säkerhetsåtgärder vidtagits i enlighet med moderna tekniska standarder för att radera eventuella personuppgifter som dessa kan innehålla — om principen för privacy by design eller security by design: så långt det är möjligt bör skydd av personlig integritet och uppgifter standardmässigt integreras i utformningen av elektriska och elektroniska produkter så att användarna – på ett enkelt sätt och kostnadsfritt – kan radera personuppgifter som kan finnas i apparater vid ett eventuellt bortskaffande.

37. Datatillsynsmannen rekommenderar därför starkt att förslaget ändras i linje med direktiv 95/46/EG, enligt följande: — Skäl 11: ”Detta direktiv bör tillämpas utan att det påverkar tillämpningen av dataskyddslagstiftningen, särskilt direktiv 95/46/EG. Eftersom elektriska och elektroniska produkter (EEE) är en bred produktgrupp som omfattar en stor mängd olika medier lämpade för lagring av personuppgifter (såsom IT- och telekommunikationsutrustning), kan förfaranden för deras bortskaffande, i synnerhet återanvändning och materialåtervinning, medföra risker för obehörig tillgång till personuppgifter som lagras på WEEE. Därför bör så vitt det är möjligt skydd av personlig integritet och uppgifter standardmässigt integreras i utformningen av elektriska och elektroniska produkter som kan lagra personuppgifter så att användarna – på ett enkelt sätt och kostnadsfritt – kan radera uppgifter som kan finnas vid bortskaffandet.” — Artikel 2.3: ”Detta direktiv ska tillämpas utan att det påverkar tillämpningen av dataskyddslagstiftningen, särskilt direktiv 95/46/EG”.

38. Dessutom finner datatillsynsmannen det lämpligt att följande ändringar tas i beaktande: — Artikel 4.2: ”Medlemsstaterna bör uppmuntra åtgärder för att främja sådan utformning och tillverkning av elektriska och elektroniska produkter som underlättar radering av personuppgifter som finns i EEE vid bortskaffandet” — Artikel 8.7: ”Medlemsstaterna ska se till allt insamlat WEEE som innehåller personuppgifter och som behandlas för att återvinnas eller återanvändas inte säljs såvida inte uppgifterna först har avlägsnats med bästa tillgängliga teknik.” — Artikel 14.6: ”Medlemsstaterna får kräva att användare av EEE som innehåller personuppgifter ska informeras av tillverkare och/eller distributörer, t.ex. i bruksanvisningen eller vid försäljningsstället, om nödvändigheten att radera personuppgifter som kan finnas i EEE innan bortskaffandet”.

Utfärdat i Bryssel den 14 april 2010. Peter HUSTINX Europeiska dataillsynsmannen

(1) KOM(2008) 0810 slutlig.

(2) EUT L 37, 13.2.2003, s. 24.

(3) Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, EGT L 8, 12.1.2001, s. 1.

(4) Se dom av den 23 februari i mål C-42/97, Europaparlamentet mot Europeiska unionens råd, REG 1999, s. I-869, punkt 43.

(5) Se även bland annat dom av den 30 januari 2001 i mål C-36/98, Spanien mot rådet, REG 2001, s. I-779, punkt 59: ”Om bedömningen av en gemenskapsrättsakt visar att den har ett dubbelt syfte eller två beståndsdelar och om det framgår att en av dessa kan identifieras som den huvudsakliga eller avgörande beståndsdelen, medan den andra endast är av underordnad betydelse, skall rättsakten endast antas med stöd av en rättslig grund, nämligen den som bestäms av syftet eller av den huvudsakliga eller avgörande beståndsdelen.”

(6) Interinstitutionella avtalet av den 28 november 2001 om en mer strukturerad användning av omarbetningstekniken för rättsakter, EGT C 77, 28.3.2002, s. 1.

(7) Se arbetsdokument från kommissionens avdelningar som åtföljer förslag till Europaparlamentets och rådets direktiv om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE) (omarbetning). Konsekvensbedömning av den 3 december 2008 (KOM(2008) 0810 slutlig) SEK(2008) 2933, s. 17.

(8) Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, EGT L 281, 23.11.1995, s. 31.

(9) För definition av registeransvarig, se artikel 2 d i direktiv 95/46/EG.

(10) Se artikel 8, direktiv 95/46/EG.

(11) Se yttrandet från Europeiska datatillsynsmannen om byrån för stora IT-system (EUT C 70, 19.3.2010, s. 13), punkterna 46 och 47, yttrandet om förslaget till ett direktiv om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (EUT C 128, 6.6.2009, s. 20, punkterna 27–31.

(12) Se artikel 3 i samma direktiv.

(13) Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 om ändring av direktiv 2002/22/EG om samhällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster, direktiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation och förordning (EG) nr 2006/2004 om samarbete mellan de nationella tillsynsmyndigheter som ansvarar för konsumentskyddslagstiftningen. EUT L 337, 18.12.2009, s. 11.

(14) Arbetsdokument från kommissionens avdelningar som åtföljer förslag till Europaparlamentets och rådets direktiv om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE) (omarbetning), SEK(2008) 2933, 3.12.2008, se dock United Nations University, översyn 2008 av direktiv 2002/96/EG om avfall som utgörs av eller innehåller elektriska eller elektroniska produkter (WEEE) (omarbetning), Europeiska kommissionen, Belgien, 2007, s. 273 (http://ec.europa.eu/environment/waste/weee/pdf/final_rep_unu.pdf); (Data security is also an issue — removing personal data from a hard-drive).

(15) Se t.ex. BBC:s artikel på Internet Children’s files on eBay computer av den 4 maj 2007 som handlar om försäljning på eBay av en dator som innehöll personuppgifter om fosterbarn och adoptivbarn (http://news.bbc.co.uk/2/hi/uk_news/england/6627265.stm), se även BBC:s artikel på Internet Bank customer data sold on eBay av den 26 augusti 2008 som handlar om försäljning på eBay av en hårddisk som innehöll personuppgifter om en miljon bankkunder (http://news.bbc.co.uk/2/hi/uk_news/7581540.stm).

(16) Se HP från samrådet med berörda parter om översyn av Europaparlamentets och rådets direktiv 2002/96/EG om avfall som utgörs av eller innehåller elektriska och elektroniska produkter (WEEE), s. 7–8; DELL (synpunkter på utkastet), översyn av alternativen för WEEE från samrådet med berörda parter om översyn av Europaparlamentets och rådets direktiv 2002/96/EG om avfall som utgörs av eller innehåller elektriska och elektroniska produkter (WEEE), s. 2, punkterna 1.1 och 4 samt 1.3 (3.6.2008), Royal Philips Electronics ståndpunkt och förslag från samrådet med berörda parter om översyn av direktivet om WEEE, s. 12 (5.6.2008) (http://circa.europa.eu/Public/irc/env/weee_2008_review/library). Se även svaren på samrådet om WEEE, sammanfattning av svaren och regeringens svar vid det fjärde samrådet om införandet av direktiven 2002/96/EG och 2003/108/EG om avfall som utgörs av eller innehåller elektriska och elektroniska produkter, december 2006, s. 30 ”Data protection and security. Some waste management companies would like there to be some guidance issued on data protection and security, particularly in light of the fact they will be handling sensitive data” (http://www.berr.gov.uk/files/file35961.pdf).

(17) Landesbeauftragter für Datenschutz und Informationsfreiheit Bremen, Entwicklung eines Konzeptes zur Löschung und Datenträgervernichtung durch Behörden und Unternehmen, 16. Mai 2007 (http://www.datenschutz-bremen.de/rtf/datenloeschung.rtf); Garante per la protezione dei dati personali, Electrical and Electronic Waste and Data Protection, 13 oktober 2008 (http://www.garanteprivacy.it/garante/doc.jsp?ID=1583482), även omnämnt i den tolfte årsrapporten från artikel 29-arbetsgruppen för uppgiftsskydd den 16 juni 2009, s. 57; se även rekommendationerna från den internationella arbetsgruppen för uppgiftsskydd inom telekommunikationer som handlar om uppgiftsskydd och elektronikavfall, Sofia, 12–13.3.2009 (http://www.datenschutz-berlin.de/attachments/650/675.38.14.pdf?1264671551).

(18) I sitt yttrande Opinion 1/2010 on the concepts of ”controller” and ”processor” som antogs den 16 februari 2010 fastslår artikel 29-arbetsgruppen för uppgiftsskydd (WP 169) att begreppet registeransvarig är […] funktionellt, i meningen att avsikten är att skyldigheter ska tilldelas där det faktiska inflytandet finns, och därför grundas på en faktisk snarare än formell analys.

(19) Se t.ex. rapporten från Europeiska datatillsynsmannen och EU:s ramprogram för forskning och utveckling av den 28 april 2008, s. 2; yttrandet från Europeiska datatillsynsmannen som handlar om intelligenta transportsystem (EUT C 47, 25.2.2010, s. 6); yttrandet från Europeiska datatillsynsmannen som handlar om övervakning av läkemedel (EUT C 229, 23.9.2009, s. 19).

(20) För en vid tillämpning av principen, se artikel 29-arbetsgruppen för uppgiftsskydd – arbetsgruppen för polisiära och rättsliga frågor, personlig integritet i framtiden. Det gemensamma bidraget till Europeiska kommissionens samråd om den rättsliga ramen för de grundläggande rättigheterna till skydd av personuppgifter, WP 168, som antogs den 1 december 2009, s. 3 och 12; se även kommissionens rekommendation om genomförandet av principerna om integritets- och dataskydd i tillämpningar som stöds av radiofrekvensidentifiering, C(2009) 3200 slutlig, s. 8.

(21) Se kommissionens meddelande: En europeisk agenda för forskning och innovation inom säkerhetsområdet – kommissionens initiala ställningstagande till Esrifs huvudsakliga resultat och rekommendationer, KOM(2009) 0691 slutlig, s. 6 och 14.

(22) Se även yttrandet från Europeiska datatillsynsmannen av den 18 mars 2010 om att främja förtroendet för informationssamhället genom att stödja skydd av personuppgifter och privatlivet.

(23) I artikel 3.3 c i Europaparlamentets och rådets direktiv 1999/5/EG om radioutrustning och teleterminalutrustning och om ömsesidigt erkännande av utrustningens överensstämmelse föreskrivs att kommissionen får ”besluta att utrustning i vissa utrustningsklasser eller viss slags utrustning ska vara så konstruerad att […] den innehåller skyddsmekanismer för att säkerställa att användarens och abonnentens personuppgifter och privatliv skyddas” (EGT L 91, 7.4.1999, s. 10).

(24) ”När så krävs får åtgärder vidtas för att säkerställa att terminalutrustning är konstruerad så att den är förenlig med användarnas rätt till skydd och kontroll av sina personuppgifter i enlighet med direktiv 1999/5/EG och rådets beslut 87/95/EEG av den 22 december 1986 om standardisering inom området informationsteknologi och telekommunikation”. Se även skäl 46 i samma direktiv som omnämns i fotnot 13.

(25) Till stöd för detta strategiperspektiv se även V. Redings inledningsanförande vid dataskyddsdagen den 28 januari 2010, Europaparlamentet, Bryssel, anförande/10/16 där Reding menar att ”företag måste använda sin innovationsförmåga för att förbättra skyddet för personlig integritet och personuppgifter redan i början av utvecklingscykeln. Inbyggda skyddsmekanismer för att skydda den personliga integriteten (privacy by design) är en princip som främjar både medborgarnas och företagens intressen. Privacy by design kommer att leda till bättre skydd för den enskilde samt till förtroende och tillförsikt när det gäller nya tjänster och produkter som i sin tur kommer att inverka positivt på ekonomin. Jag har sett några uppmuntrande exempel, men mycket mer återstår att göra”.

(26) Se t.ex. Kanadas ridande polis, B2-002 — IT Media Overwrite and Secure Erase Products (05/2009) på http://www.rcmp-grc.gc.ca/ts-st/pubs/it-ti-sec/index-eng.htm