SV Europeiska unionens officiella tidning C 279/1

Yttrande från Europeiska datatillsynsmannen om utvärderingsrapporten från kommissionen till rådet och Europaparlamentet om datalagringsdirektivet (direktiv 2006/24/EG)

2011/C 279/01

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA YTTRANDE

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet för sådana uppgifter (1),

med beaktande av Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (2),

med beaktande av förordning (EG) nr 45/2001 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (3), särskilt artikel 41.

HÄRIGENOM FRAMFÖRS FÖLJANDE.

I. INLEDNING

I.1 Offentliggörande av rapporten

1. Den 18 april 2011 presenterade kommissionen sin utvärderingsrapport om datalagringsdirektivet (nedan kallad utvärderingsrapporten) (4). Utvärderingsrapporten skickades samma dag till Europeiska datatillsynsmannen för kännedom. Av de skäl som anges i del I.2 nedan avger Europeiska datatillsynsmannen på eget initiativ detta yttrande i enlighet med artikel 41 i förordning (EG) nr 45/2001.

2. Innan meddelandet antogs gavs Europeiska datatillsynsmannen möjlighet att lämna informella kommentarer. Europeiska datatillsynsmannen välkomnar att kommissionen tog hänsyn till flera av kommentarerna när den slutliga versionen av dokumentet avfattades.

3. Kommissionen har utarbetat utvärderingsrapporten för att uppfylla sin skyldighet enligt artikel 14 i datalagringsdirektivet att utvärdera tillämpningen av direktivet och dess konsekvenser för ekonomiska aktörer och konsumenter för att avgöra huruvida det är nödvändigt att ändra bestämmelserna i direktivet (5). Europeiska datatillsynsmannen välkomnar att kommissionen, även om det inte var ett absolut krav enligt artikel 14, i sin rapport också tog hänsyn till ”direktivets inverkan på de grundläggande rättigheterna mot bakgrund av den allmänna kritik som riktats mot lagringen av uppgifter” (6).

I.2 Anledningar till och syfte med detta yttrande från Europeiska datatillsynsmannen

4. Datalagringsdirektivet utgjorde EU:s svar på angelägna säkerhetsutmaningar efter de stora terrordåden i Madrid år 2004 och i London år 2005. Trots det legitima syftet med att inrätta ett system för lagring av uppgifter restes då kritik när det gällde de enorma konsekvenser som åtgärden hade för medborgarnas privatliv.

5. Genom skyldigheten att lagra uppgifter enligt datalagringsdirektivet blir det möjligt för behöriga nationella myndigheter att i upp till två år spåra personers telefon- och internetbeteende i EU när de använder telefon och Internet.

6. Det står klart att lagring av uppgifter om telekommunikation utgör ett ingrepp i berörda personers rätt till privatliv enligt artikel 8 i Europeiska konventionen om mänskliga rättigheter (nedan kallad Europakonventionen) och artikel 7 i EU:s stadga om de grundläggande rättigheterna.

7. Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) har vid upprepade tillfället fastslagit att ”redan lagring av uppgifter beträffande en enskilds privatliv är ett ingrepp i den mening som avses i artikel 8 [i Europakonventionen]” (7). Speciellt beträffande telefonuppgifter har Europadomstolen fastslagit att ”utlämnande av informationen till polisen utan abonnentens samtycke också […] utgör ett ingrepp i en rättighet som garanteras genom artikel 8 [i Europakonventionen]” (8).

8. Av artikel 8.2 i Europakonventionen och artikel 52.1 i EU:s stadga om de grundläggande rättigheterna följer att ett ingrepp kan vara befogat om det föreskrivs i lag, tjänar ett legitimt syfte och är nödvändigt i ett demokratiskt samhälle för att uppnå detta legitima syfte.

9. Europeiska datatillsynsmannen har medgett att det kan ha avgörande betydelse för brottsbekämpningsorganen att de har tillgång till vissa trafik- och lokaliseringsuppgifter i kampen mot terrorism och annan allvarlig brottslighet. Europeiska datatillsynsmannen har emellertid samtidigt vid upprepade tillfällen uttryckt tvivel beträffande det berättigade i att lagra uppgifter i sådan omfattning med tanke på rätten till privatliv och uppgiftsskydd (9). Många organisationer inom det civila samhället har också delat dessa tvivel (10).

10. Europeiska datatillsynsmannen har på olika sätt noga följt tillkomsten, genomförandet och utvärderingen av direktivet sedan år 2005. Europeiska datatillsynsmannen avgav ett kritiskt yttrande år 2005 efter det att kommissionen hade offentliggjort sitt förslag till direktivet (11). När direktivet hade antagits blev datatillsynsmannen ledamot i den expertgrupp för lagring av uppgifter som anges i skäl 14 i datalagringsdirektivet (12). Dessutom deltar Europeiska datatillsynsmannen i arbetet i artikel 29-arbetsgruppen, som har offentliggjort flera dokument om frågan. Det senaste, från juli 2010, är en rapport om hur direktivet har tillämpats i praktiken (13). Slutligen har Europeiska datatillsynsmannen intervenerat i ett mål vid Europeiska unionens domstol i vilket direktivets giltighet ifrågasattes (14).

11. Utvärderingsrapportens och utvärderingsprocessens betydelse kan inte nog betonas (15). Datalagringsdirektivet är ett framträdande exempel på en EU-åtgärd för att säkerställa att uppgifter som genererats och behandlats i samband med elektronisk kommunikation finns tillgänglig för brottsbekämpande insatser. När åtgärden nu har använts i flera år borde en utvärdering av den praktiska tillämpningen faktiskt visa att åtgärden är nödvändig och proportionerlig med tanke på rätten till privatliv och uppgiftsskydd. Europeiska datatillsynsmannen har i detta avseende kallat utvärderingen för ”sanningens ögonblick” för datalagringsdirektivet (16).

12. Den nuvarande utvärderingsprocessen har också betydelse för andra instrument som reglerar informationshantering och däribland behandling av stora mängder personuppgifter inom området frihet, säkerhet och rättvisa. I ett meddelande 2010 kom kommissionen fram till att utvärderingsmekanismerna för de olika instrumenten är mycket skiftande (17). Europeiska datatillsynsmannen anser att den nuvarande utvärderingsprocessen bör utgöra en förebild för utvärderingar av andra EU-instrument och garantera att bara de åtgärder tillämpas som verkligen är befogade.

13. Mot denna bakgrund önskar Europeiska datatillsynsmannen i ett offentligt yttrande dela med sig av sina reflexioner beträffande de resultat som presenteras i utvärderingsrapporten. Detta sker på ett tidigt stadium av processen för att lämna ett effektivt och konstruktivt bidrag till de kommande diskussionerna, eventuellt i samband med ett nytt lagstiftningsförslag som kommissionen hänvisar till i utvärderingsrapporten (18).

I.3 Yttrandets struktu

14. I detta yttrande analyseras och diskuteras innehållet i utvärderingsrapporten med hänsyn till personlig integritet och uppgiftsskydd. Analysen inriktas på frågan huruvida det nuvarande datalagringsdirektivet uppfyller de krav som ställs genom dessa båda grundläggande rättigheter. Frågan huruvida det har bevisats tillräckligt att lagring av uppgifter i enlighet med direktivet var nödvändig analyseras också.

15. Yttrandet är indelat enligt följande. I del II presenteras det huvudsakliga innehållet i datalagringsdirektivet och dess samband med direktiv 2002/58/EG om behandlingen av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (nedan kallat direktivet om integritet och elektronisk kommunikation) (19). I del III beskrivs i korthet de ändringar som skett på grund av Lissabonfördraget, eftersom de har särskild betydelse för denna fråga och får direkta konsekvenser för hur EU-regler om lagring av uppgifter ska uppfattas, utvärderas och eventuellt revideras. Den största delen av yttrandet, del IV, innehåller analysen beträffande datalagringsdirektivets giltighet med tanke på rätten till privatliv och uppgiftsskydd och med hänsyn till de resultat som presenterats i utvärderingsrapporten. I del V diskuteras olika vägar att gå vidare. I del VI avslutas yttrandet med en sammanfattning.

II. EU-REGLERNA OM LAGRING AV UPPGIFTER

16. Med lagring av uppgifter avses i samband med detta yttrande en skyldighet för leverantörerna av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät att lagra trafik- och lokaliseringsuppgifter och uppgifter som behövs för att identifiera abonnenten eller användaren under en viss tid. Denna skyldighet anges i datalagringsdirektivet, som i artikel 5.1 ytterligare specificerar de kategorier av uppgifter som ska lagras. Enligt artikel 6 i direktivet ska medlemsstaterna säkerställa att uppgifterna lagras i minst sex månader och inte i mer än två år efter det datum då kommunikationen ägde rum.

17. Uppgifterna ska lagras i den utsträckning som de genereras eller behandlas av leverantörerna när de levererar de berörda kommunikationstjänsterna (artikel 3). Uppgifter i samband med misslyckade uppringningsförsök ingår också. Uppgifter som avslöjar innehållet i kommunikationen får inte lagras enligt direktivet (artikel 5.1).

18. Uppgifterna lagras för att säkerställa att uppgifterna är tillgängliga för ”utredning, avslöjande och åtal för allvarliga brott såsom de definieras av varje medlemsstat i den nationella lagstiftningen” (artikel 1.1)

19. I datalagringsdirektivet finns inga ytterligare bestämmelser om de villkor enligt vilka de behöriga nationella myndigheterna kan få tillgång till lagrade data. Detta ankommer på medlemsstaterna och omfattas inte av direktivet. I artikel 4 i direktivet betonas att de nationella reglerna ska följa nödvändighets- och proportionalitetskraven så som de i synnerhet tolkas av Europadomstolen.

20. Datalagringsdirektivet har nära samband med direktivet om integritet och elektronisk kommunikation. I direktivet, som detaljerar och kompletterar det allmänna direktivet 95/46/EG om skydd av personuppgifter, fastställs att medlemsstaternas ska garantera sekretess för kommunikation och trafikuppgifter i samband med denna (20). Enligt direktivet om integritet och elektronisk kommunikation krävs det att trafik- och lokaliseringsuppgifter som genereras med hjälp av elektroniska kommunikationstjänster raderas eller görs anonyma när de inte längre behövs för överföring, utom i de fall och så länge som de behövs för fakturering (21). Förutsatt att medgivande ges får vissa uppgifter behandlas så länge som det behövs för att tillhandahålla en mervärdestjänst.

21. Enligt artikel 15.1 i direktivet om integritet och elektronisk kommunikation kan medlemsstater vidta lagstiftningsåtgärder för att begränsa omfattningen av de ovannämnda skyldigheterna, om ”en sådan begränsning i ett demokratiskt samhälle är nödvändig, lämplig och proportionell för att skydda nationell säkerhet (dvs. statens säkerhet), försvaret och allmän säkerhet samt för förebyggande, undersökning, avslöjande av och åtal för brott […]”. Frågan om lagring av uppgifter anges uttryckligen i artikel 15.1 i direktivet om integritet och elektronisk kommunikation. Medlemsstaterna får ”vidta lagstiftningsåtgärder som innebär att uppgifter får bevaras under en begränsad period” som motiveras av de skäl som nämnts ovan.

22. Datalagringsdirektivet var avsett att samordna medlemsstaternas initiativ enligt artikel 15.1 när det gäller lagring av uppgifter för utredning, avslöjande och åtal för allvarliga brott. Det bör betonas att datalagringsdirektivet utgör ett undantag från den allmänna skyldigheten enligt direktivet om integritet och elektronisk kommunikation att radera uppgifterna när de inte längre behövs (22).

23. När datalagringsdirektivet antogs kompletterades artikel 15 i direktivet om integritet och elektronisk kommunikation med en ny punkt (1 a) där det fastställs att artikel 15.1 inte ska gälla för uppgifter för vilka det i datalagringsdirektivet krävs speciellt att de lagras för de syften som anges i artikel 1.1 i direktivet.

24. I utvärderingsrapporten konstateras, vilket diskuteras ytterligare i del IV.3 nedan, att artiklarna 15.1 och 15.1 b har använts av flera medlemsstater för att utnyttja uppgifter som lagrats enligt datalagringsdirektivet också för andra syften (23). Europeiska datatillsynsmannen har kallat detta ett ”kryphål i lagen” som hindrar syftet med datalagringslagringsdirektivet, nämligen att skapa lika villkor för näringslivet (24).

III. DE ALLMÄNNA TILLÄMPLIGA EU-BESTÄMMELSERNA HAR ÄNDRATS EFTER LISSABON

25. De allmänna tillämpliga EU-bestämmelser som har betydelse för datalagringsdirektivet har ändrats avsevärt i och med att Lissabonfördraget trätt i kraft. En viktig förändring var avskaffandet av pelarstrukturen, som hade inneburit olika lagstiftningsprocedurer och granskningsmekanismer inom EU:s olika behörighetsområden.

26. Den tidigare pelarstrukturen gav ofta upphov till diskussion om den korrekta rättsliga grunden för ett EU-instrument, om en fråga medförde behörighet för EU inom de olika pelarna. Valet av rättslig grund saknade inte betydelse eftersom det ledde till olika lagstiftningsprocedurer till exempel beträffande omröstningskraven i rådet (kvalificerad majoritet eller enhällighet) eller involvering av Europaparlamentet.

27. Dessa diskussioner var i hög grad relevanta för lagring av uppgifter. Eftersom datalagringsdirektivet skulle harmonisera skyldigheten för operatörer, och därigenom undanröja hindren på den inre marknaden, kunde den rättsliga grunden återfinnas i artikel 95 i det tidigare EG-fördraget (den tidigare första pelaren). Frågan kunde emellertid ha behandlats ur ett brottsbekämpningsperspektiv med argumentet att syftet med att lagra uppgifter var att bekämpa allvarlig brottslighet inom ramen för polissamarbete och straffrättsligt samarbete i det tidigare EU-fördraget (den tidigare tredje pelaren) (25).

28. Datalagringsdirektivet antogs till slut i enlighet med artikel 95 i det tidigare EG-fördraget och reglerade bara skyldigheterna för operatörer. I direktivet fanns inga bestämmelser om brottsbekämpande myndigheters tillgång till och användning av de lagrade uppgifterna.

29. När direktivet hade antagits ifrågasattes dess giltighet vid EU-domstolen. Det hävdades att direktivet skulle ha baserats på den tredje pelaren i stället för på den första pelaren, eftersom syftet med lagringen av uppgifter (utredning, avslöjande och åtal för allvarliga brott) omfattades av EU:s behörighet i den tredje pelaren (26). Eftersom de behöriga myndigheternas agerande emellertid uttryckligen inte omfattades av direktivet kom EU-domstolen fram till att direktivet helt riktigt var baserat på EG-fördraget (27).

30. Europeiska datatillsynsmannen har från början hävdat att om EU skulle anta ett instrument för lagring av uppgifter skulle det reglera både skyldigheten för operatörer och brottsbekämpande myndigheters tillgång och ytterligare användning. I sitt yttrande 2005 om kommissionens förslag underströk Europeiska datatillsynsmannen att behöriga nationella myndigheters tillgång och ytterligare användning utgjorde en väsentlig och oskiljaktig del av frågan (28).

31. De negativa effekterna av att EU bara reglerar frågan till hälften har bekräftats av den aktuella utvärderingsrapporten, vilket utvecklas vidare nedan. Kommissionen konstaterar att skillnaderna i de nationella lagarna när det gäller behöriga nationella myndigheters tillgång och ytterligare användning har lett till ”avsevärda svårigheter” för operatörerna (29).

32. När pelarstrukturen avskaffades efter det att Lissabonfördraget hade trätt i kraft slogs de båda relevanta områdena av EU:s behörighet samman i fördraget om Europeiska unionens funktionssätt (FEUF), vilket gör det möjligt att anta EU-lagstiftning enligt samma lagstiftningsprocedur. Denna nya situation skulle göra det möjligt att anta ett enda nytt instrument om lagring av uppgifter som reglerar både skyldigheterna för operatörerna och villkoren för brottsbekämpande myndigheters tillgång och ytterligare användning. Såsom förklaras nedan i del IV.3 kräver rätten till privatliv och uppgiftsskydd att om en reviderad EU-åtgärd beträffande lagring av uppgifter övervägs ska den åtminstone reglera frågan i dess helhet.

33. Genom Lissabonfördraget avskaffades inte bara pelarstrukturen, utan det gav samma rättsliga status som fördragen åt EU:s tidigare icke bindande stadga om de grundläggande rättigheterna, i vilken rätten till privatliv och uppgiftsskydd i artiklarna 7 och 8 ingår (30). En subjektiv rätt till uppgiftsskydd infördes dessutom i artikel 16 FEUF och upprättade en egen rättslig grund för EU-instrument beträffande skydd av personuppgifter.

34. Skyddet av de grundläggande rättigheterna har sedan lång tid tillbaka varit en hörnsten i EU:s politik, och Lissabonfördraget har lett till ett ännu större engagemang för dessa rättigheter i EU-sammanhang. Förändringarna genom Lissabonfördraget gav i oktober 2010 kommissionen inspiration till att tillkännage att ”medvetandet om de grundläggande rättigheterna” skulle stärkas på alla nivåer i lagstiftningsprocessen och till att fastslå att EU:s stadga om de grundläggande rättigheterna skulle ”tjäna som en ledstjärna för EU:s politiska insatser” (31). Europeiska datatillsynsmannen anser att den nuvarande utvärderingsprocessen är ett bra tillfälle för kommissionen att visa detta engagemang.

IV. UPPFYLLER DATALAGRINGSDIREKTIVET KRAVEN PÅ PERSONLIG INTEGRITET OCH UPPGIFTSSKYDD?

35. Utvärderingsrapporten belyser flera svagheter i det nuvarande datalagringsdirektivet. Informationen som lämnas i rapporten visar att direktivet inte fyller sitt viktigaste syfte, nämligen att harmonisera nationell lagstiftning beträffande lagring av uppgifter. Kommissionen konstaterar att det förekommer ”betydande” skillnader mellan införlivandet av lagstiftning på områdena ändamålsbegränsning, tillgång till uppgifter, lagringsperioder, uppgiftsskydd och datasäkerhet samt statistik (32). Enligt kommissionen beror skillnaderna till en del på den variation som uttryckligen föreskrivs i direktivet. Kommissionen konstaterar emellertid att utöver detta har ”skillnaderna i den nationella tillämpningen av lagringen av uppgifter visat sig medföra stora svårigheter för operatörerna” och att ”avsaknaden av rättssäkerhet för näringslivet fortsätter” (33). Det behöver inte påpekas att en sådan avsaknad av harmonisering är till men för alla berörda parter: både medborgarna, företagarna och de brottsbekämpande myndigheterna.

36. Ur ett integritets- och uppgiftsskyddsperspektiv kan man av utvärderingsrapporten också sluta sig till att datalagringsdirektivet inte uppfyller de krav som ställs genom rätten till privatliv och uppgiftsskydd. Det finns flera brister: behovet av lagring av uppgifter enligt datalagringsdirektivet har inte bevisats tillräckligt, lagringen av uppgifter kunde i varje fall ha reglerats på ett sätt som ger mindre ingrepp i privatlivet, och datalagringsdirektivet är inte ”förutsägbart”. Dessa tre punkter behandlas närmare nedan.

IV.1 Behovet av lagring av uppgifter enligt datalagringsdirektivet har inte bevisats tillräckligt

37. Ingrepp i rätten till privatliv och uppgiftsskydd är bara tillåtet om åtgärden är nödvändig för att uppnå det berättigade målet. Nödvändigheten av att lagra uppgifter som en brottsbekämpningsåtgärd har ständigt varit en viktig diskussionspunkt (34). I förslaget till direktivet angavs det att begränsningarna i rätten till privatliv och uppgiftsskydd var ”nödvändiga för att uppfylla de allmänt erkända målen att förebygga och bekämpa brottslighet och terrorism” (35). I yttrandet 2005 antydde emellertid Europeiska datatillsynsmannen att han inte övertygades av detta argument, eftersom det krävdes ytterligare bevis (36). Utan att några ytterligare bevis anfördes fastslogs det ändå i skäl 9 i datalagringsdirektivet att ”lagring av uppgifter har visat sig vara ett […] nödvändigt och effektivt redskap för de brottsbekämpande myndigheternas utredningar i många medlemsstater”.

38. På grund av avsaknaden av tillräckliga bevis hävdade Europeiska datatillsynsmannen att datalagringsdirektivet bara var baserat på antagandet att lagring av uppgifter i enlighet med datalagringsdirektivet var en nödvändig åtgärd (37). Europeiska datatillsynsmannen uppmanade därför kommissionen och medlemsstaterna att utnyttja det tillfälle som utvärderingsrapporten gav för att lämna ytterligare bevis som bekräftade att det faktiskt var ett korrekt antagande att datalagringsåtgärden var nödvändig och att det sätt som den reglerades på i datalagringsdirektivet var nödvändigt.

39. På denna punkt fastslår kommissionen i utvärderingsrapporten att ”[m]erparten av medlemsstaterna anser att EU:s regler om lagring av uppgifter är nödvändig som ett redskap för brottsbekämpning, skydd av brottsoffer och straffrättssystemen”. Vidare uppges att lagring av uppgifter spelar en ”mycket viktig roll” vid brottsutredningar och ”åtminstone är värdefull och i vissa fall oumbärlig”, och det konstateras att en del straffbara gärningar ”kanske aldrig skulle ha lösts” utan lagring (38). Kommissionen drar slutsatsen att EU därför bör ”stödja och reglera lagringen av uppgifter som en nödvändig säkerhetsåtgärd” (39).

40. Det är emellertid tveksamt huruvida kommissionen verkligen kan dra slutsatsen att merparten av medlemsstaterna anser att lagring av uppgifter är ett nödvändigt redskap. Det framgår inte vilka medlemsstater som utgör en majoritet, vilket i ett EU med 27 medlemsstater bör vara minst 14 för att man ska kunna tala om merparten av medlemsstaterna. Antalet medlemsstater som faktiskt anges i kapitel 5, vilket slutsatserna baseras på, är på sin höjd nio (40).

41. Det tycks vidare som om kommissionen huvudsakligen stöder sig på medlemsstaters uttalanden om huruvida de anser lagring av uppgifter vara ett nödvändigt redskap för brottsbekämpning. Dessa uttalanden visar emellertid snarare att medlemsstaterna i fråga skulle vilja ha EU-regler för lagring av uppgifter, men som sådana inte kan bevisa behovet av lagring av uppgifter som en brottsbekämpningsåtgärd som stöds och regleras av EU. Uttalandena om nödvändigheten bör stödjas av tillräckliga bevis.

42. Det medges att det inte är en lätt uppgift att visa att en åtgärd som gör ingrepp i den personliga integriteten är nödvändig. I synnerhet inte för kommissionen, som i stor utsträckning är beroende av information som lämnas av medlemsstaterna.

43. Om en åtgärd redan tillämpas, såsom datalagringsdirektivet, och man har fått praktisk erfarenhet bör det emellertid finnas tillräcklig kvalitativ och kvantitativ information tillhands som gör det möjligt att bedöma om åtgärden faktiskt fungerar och om jämförbara resultat kunde ha uppnåtts utan instrumentet eller med alternativa medel som gör mindre ingrepp i den personliga integriteten. Sådan information bör vara ett tillräckligt bevis och visa sambandet mellan användning och resultat (41). Eftersom det är fråga om ett EU-direktiv bör informationen dessutom representera förhållandena i åtminstone en majoritet av EU-medlemsstaterna.

44. Kommissionen har uppenbarligen ansträngt sig för att samla in information från medlemsstaternas regeringar, men efter att ha gjort en noggrann analys anser Europeiska datatillsynsmannen att den kvantitativa och kvalitativa information som lämnats av medlemsstaterna inte är tillräcklig för att bekräfta att lagring av uppgifter så som den föreskrivs i datalagringsdirektivet är nödvändig. Intressanta exempel på användningen har lämnats, men det finns helt enkelt för många brister i den information som presenteras i rapporten för att man ska kunna dra några generella slutsatser om behovet av instrumentet. Dessutom bör alternativa möjligheter utredas ytterligare. Dessa båda punkter ska nu utvecklas närmare.

Den kvantitativa och kvalitativa information som lämnas i utvärderingsrapporten.

45. När det gäller den kvantitativa, statistiska informationen som huvudsakligen lämnas i kapitel 5 och i bilagan till utvärderingsrapporten saknas viktig information. Statistiken visar till exempel inte för vilket syfte uppgifter sökts. Siffrorna avslöjar inte heller om alla uppgifter till vilka tillgång har begärts var uppgifter som lagrats till följd av skyldigheten enligt lag att lagra uppgifter eller i affärssyfte. Det lämnas inte heller någon information om resultatet av användningen av uppgifter. För att dra slutsatser är det dessutom problematiskt att informationen från de olika medlemsstaterna inte alltid är helt jämförbar och att siffrorna i många fall bara representerar nio medlemsstater.

46. De kvalitativa exemplen som ges i rapporten visar bättre vilken viktig roll de lagrade uppgifterna spelar i vissa speciella situationer och den eventuella nyttan med ett system för lagring av uppgifter. Det är dock inte i samtliga fall klart huruvida användningen av de lagrade uppgifterna var det enda sättet att bekämpa brottet i fråga.

47. Några exempel visar att lagringen av uppgifter var absolut nödvändig för att bekämpa it-brottslighet. I detta avseende är det värt att notera att det i det viktigaste internationella instrumentet inom detta område, Europarådets konvention om Internetrelaterad brottslighet, inte föreskrivs att lagring av uppgifter ska vara ett medel för att bekämpa it-brottslighet, utan det anges bara att frysning av uppgifter är ett undersökningsredskap (42).

48. Kommissionen tycks fästa stor vikt vid exempel som getts av medlemsstaterna på att lagrade uppgifter använts för att utesluta misstänkta personer från brottsplatsen och kontrollera alibin (43). Även om detta är intressanta exempel på hur uppgifter används av brottsbekämpande myndigheter kan de inte anföras för att bevisa behovet av lagring av uppgifter. Det är ett argument som ska användas med försiktighet eftersom det kan missförstås och uppfattas som att lagring av uppgifter är nödvändig för att bevisa att medborgare är oskyldiga, vilket skulle vara svårt att förena med principen om oskuldspresumtion.

49. I utvärderingsrapporten diskuteras bara i korthet värdet av lagring av uppgifter i relation till teknisk utveckling och mera specifikt användningen av förbetalda SIMkort (44). Europeiska datatillsynsmannen understryker att mer kvantitativ och kvalitativ information om användningen av ny teknik som inte omfattas av direktivet (det kan gälla IP-telefoni och sociala nätverk) skulle ha varit instruktiv för att bedöma direktivets effektivitet.

50. Utvärderingsrapporten är begränsad eftersom den framför allt inriktas på kvantitativ och kvalitativ information som lämnats av de medlemsstater som har tillämpat datalagringsdirektivet. Det skulle emellertid ha varit intressant att se om några avsevärda skillnader har uppkommit mellan dessa medlemsstater och de medlemsstater som inte har tillämpat direktivet. Särskilt när det gäller de medlemsstater där tillämpningen av lagstiftningen har upphävts (Tyskland, Rumänien och Tjeckien) skulle det ha varit intressant att se om det finns belägg för att antalet lyckade brottsutredningar har ökat eller minskat antingen innan eller efter det att tillämpningen upphävdes.

51. Kommissionen medger att den statistik och de exempel som redovisas i utvärderingsrapporten är ”begränsade i vissa avseenden”, men den pekar ändå på ”den mycket viktiga roll som lagringen av uppgifter spelar vid brottsutredningar” (45).

52. Europeiska datatillsynsmannen anser att kommissionen skulle ha varit mer kritisk mot medlemsstaterna. Såsom förklarats ovan kan inte vissa medlemsstaters politiska uttalanden om behovet av en sådan åtgärd ensam motivera en EU-åtgärd. Kommissionen borde ha insisterat på att medlemsstaterna skulle lämna tillräckliga bevis för att åtgärden var nödvändig. Enligt Europeiska datatillsynsmannen borde kommissionen åtminstone som villkor för att den skulle stödja lagring av uppgifter som en säkerhetsåtgärd (se s. 31 i utvärderingsrapporten) ha krävt att medlemsstaterna lämnade ytterligare bevis under konsekvensbedömningen.

Alternativa lösningar

53. Huruvida lagring av uppgifter i enlighet med datalagringsdirektivet är nödvändig beror också på om det finns alternativa lösningar som inkräktar mindre på den personliga integriteten och som kunde ha gett jämförbara resultat. Detta bekräftades av EU-domstolen i dess beslut i målet Schecke i november 2010, i vilket EU-lagstiftning om offentliggörande av namn på stödmottagare som får stöd från jordbruksfonder ogiltigförklarades (46). Ett av skälen till ogiltigförklaringen var att rådet och kommissionen inte hade övervägt alternativa åtgärder som skulle vara förenliga med det mål som eftersträvades med offentliggörandet men som ändå innebar ett mindre långtgående ingrepp i berörda personers rätt till privatliv och uppgiftsskydd (47).

54. Det alternativ som framför allt har förts fram i diskussioner i samband med datalagringsdirektivet är frysning av kommunikationsuppgifter (”quick freeze” och ”quick freeze plus”) (48). Det går ut på att, endast för specifika personer som misstänks för brottslig verksamhet, tillfälligt säkra eller ”frysa” vissa telekommunikations- och lokaliseringsuppgifter som senare kan göras tillgängliga för brottsbekämpande myndigheter med rättsligt bemyndigande.

55. Frysning av uppgifter nämns i utvärderingsrapporten i samband med den ovannämnda konventionen om Internetrelaterad brottslighet, men den anses vara olämplig eftersom den ”inte ger någon garanti för att det kan fastställas bevis innan beslut om frysning har fattats, att en utredning kan inledas i de fall där målet för brottet inte är känt eller att bevis kan samlas in om hur offer eller vittnen till brott förflyttar sig” (49).

56. Europeiska datatillsynsmannen medger att färre uppgifter finns tillgängliga när ett system för frysning av uppgifter används i stället för ett omfattande system för lagring av uppgifter. Det är emellertid just på grund av att frysning av uppgifter är mer målinriktad som den inkräktar mindre på den personliga integriteten i fråga om omfattning och antal personer som berörs. Bedömningen bör inte bara inriktas på tillgängliga uppgifter, utan också på de olika resultat som har uppnåtts med de båda systemen. Europeiska datatillsynsmannen anser att en mera grundlig undersökning av åtgärden är befogad och absolut nödvändig. Detta skulle kunna göras under konsekvensbedömningen de kommande månaderna.

57. I detta avseende är det olyckligt att kommissionen i sammanfattningen av rapporten åtar sig att undersöka huruvida – och i så fall hur – EU-strategi för frysning kan komplettera (dvs. inte ersätta) lagring av uppgifter (50). Möjligheten att kombinera någon typ av system för lagring med procedurmässiga säkerhetsåtgärder i samband med olika sätt att frysa uppgifter förtjänar faktiskt att undersökas ytterligare. Europeiska datatillsynsmannen rekommenderar emellertid att kommissionen vid konsekvensbedömningen även överväger om ett system för frysning av uppgifter eller andra alternativa lösningar helt eller delvis skulle kunna ersätta det nuvarande systemet för lagring av uppgifter.

IV.2 Den lagring av uppgifter som regleras i datalagringsdirektivet går under alla omständigheter utöver vad som är nödvändigt

58. Enligt Europeiska datatillsynsmannen innehåller informationen i utvärderingsrapporten inte tillräckliga bevis för att det är nödvändigt att lagra uppgifter i enlighet med datalagringsdirektivet. Ändå kan man av utvärderingsrapporten dra slutsatsen att datalagringsdirektivet har reglerat lagring av uppgifter på ett sätt som går utöver vad som är nödvändigt eller åtminstone inte har säkerställt att lagring av uppgifter inte har tillämpats på sådant sätt. I det avseendet kan fyra punkter belysas.

59. För det första har det otydliga ändamålet med åtgärden och det vida begreppet ”behöriga nationella myndigheter” lett till att lagrade uppgifter har använts för alldeles för många syften och av alldeles för många myndigheter. Vidare är säkerhetsåtgärderna och villkoren för tillgång till uppgifterna inte konsekventa. Det har till exempel inte ställts som villkor för tillgång att den i alla medlemsstater först ska godkännas av en rättslig myndighet eller en annan oberoende myndighet.

60. För det andra tycks den maximala lagringsperioden på två år vara längre än nödvändigt. Statistisk information från ett antal medlemsstater i utvärderingsrapporten visar att begäran om tillgång i de allra flesta fall avser uppgifter i upp till sex månader, nämligen 86 procent (51). Vidare har 16 medlemsstater valt en lagringsperiod på ett år eller mindre i sin lagstiftning (52). Detta tyder i hög grad på att en längsta period på två år är betydligt mer än de flesta medlemsstater anser vara nödvändigt.

61. Dessutom har den omständigheten att det inte finns en enda fast lagringstid för alla medlemsstater gett upphov till olika avvikande nationella lagar som kan medföra komplikationer eftersom det inte alltid är uppenbart vilken nationell lag – om lagring av uppgifter och om uppgiftsskydd – som är tillämplig när operatörer lagrar uppgifter i en annan medlemsstat än den där uppgifterna samlas in.

62. För det tredje är säkerhetsnivån inte tillräckligt harmoniserad. En av de viktigaste slutsatserna i artikel 29-arbetsgruppens rapport i juli 2010 var att det förekommer ett lapptäcke av säkerhetsåtgärder i de olika medlemsstaterna. Kommissionen tycks anse att säkerhetsåtgärderna i det nuvarande direktivet är tillräckliga eftersom ”det inte finns några konkreta exempel på allvarliga brott mot integriteten” (53). Det visar sig emellertid att kommissionen bara har bett medlemsstaternas regeringar rapportera om detta. För att utvärdera lämpligheten av de nuvarande säkerhetsbestämmelserna och åtgärderna behövs det mer omfattande konsultation och en mer konkret undersökning av fall av missbruk. Även om inga specifika fall av säkerhetsöverträdelser nämns i samband med rapporten tjänar brott mot uppgiftsskydd och skandaler inom området trafikuppgifter och elektronisk kommunikation också som varnande exempel i en del medlemsstater. Detta problem får inte underskattas, eftersom de lagrade uppgifternas säkerhet har avgörande betydelse för ett system för lagring av uppgifter som sådant, då det säkerställer att alla andra säkerhetsåtgärder respekteras (54).

63. För det fjärde framgår det inte av rapporten huruvida alla kategorier av lagrade uppgifter har visat sig vara nödvändiga. Det görs bara vissa allmänna distinktioner mellan telefon- och Internetuppgifter. Några medlemsstater har valt att införa en kortare lagringstid för internetuppgifter (55). Det går dock inte att dra några generella slutsatser av detta.

IV.3 Datalagringsdirektivet är inte förutsebart

64. En annan brist hos datalagringsdirektivet är att det inte är förutsebart. Kravet på förutsebarhet härrör från det allmänna kravet i artikel 8.2 i Europakonventionen och artikel 52.1 i EU:s stadga om de grundläggande rättigheterna att en inskränkning av rättigheterna ska vara föreskriven i lag. Enligt Europadomstolen innebär det att åtgärden ska ha rättsligt stöd och följa rättsstatsprincipen. Det förutsätter att lagen är tillräckligt tillgänglig och förutsebar (56). I domen i målet Österreichischer Rundfunk betonade EU-domstolen också att lagen ska formuleras med tillräcklig precision för att medborgarna ska kunna anpassa sitt handlingssätt till den (57). Lagen måste tillräckligt tydligt ange vilket utrymme för skönsmässig bedömning som de behöriga myndigheterna har och det sätt på vilket detta utövas (58).

65. I checklistan i kommissionens meddelande om EU:s stadga om de grundläggande rättigheterna är en av de frågor som ska besvaras också frågan om huruvida eventuella inskränkningar av de grundläggande rättigheterna är ”tydligt och rättssäkert formulerade” (59). I sitt meddelande om översikten av informationshanteringen inom området med frihet, säkerhet och rättvisa fastslog kommissionen också att medborgarna ”har rätt att få veta vilka av deras personuppgifter som behandlas och utbyts, av vem och för vilket syfte” (60).

66. När det gäller EU-direktiv ligger ansvaret för att grundläggande rättigheter beaktas, liksom kravet på förutsägbarhet, i första hand på de medlemsstater som tillämpar direktivet i sin nationella lagstiftning. Ett välkänt krav är att de grundläggande rättigheterna respekteras vid sådan tillämpning (61).

67. I utvärderingsrapporten betonar kommissionen också att direktivet ”inte i sig självt garanterar att uppgifterna lagras, hämtas och används helt i enlighet med rätten till integritet och skydd av personuppgifter”. Kommissionen erinrar om att ”medlemsstaterna har ansvar för att säkerställa att dessa rättigheter upprätthålls” (62).

68. Europeiska datatillsynsmannen anser emellertid att ett EU-direktiv självt ska uppfylla kravet på förutsebarhet i viss utsträckning. Eller, för att omformulera lydelsen i EU-domstolens dom i målet Lindqvist, får det system som föreskrivs i ett direktiv inte ”brista i förutsägbarhet” (63). Detta gäller särskilt en EU-åtgärd som kräver att medlemsstaterna organiserar ingrepp i stor skala i rätten till privatliv och uppgiftsskydd för medborgarna. Europeiska datatillsynsmannen anser att EU har ansvar för att garantera åtminstone ett klart definierat ändamål och en tydlig angivelse av vem som ska kunna få tillgång till uppgifterna och under vilka villkor.

69. Denna ståndpunkt stöds av det nya rättsliga sammanhang som skapats genom Lissabonfördraget som, vilket förklarats ovan, ökade EU:s behörighet när det gäller polissamarbete och straffrättsligt samarbete och ålade EU att i högre grad värna om grundläggande rättigheter.

70. Europeiska datatillsynsmannen vill erinra om att kravet på ett bestämt ändamål och förbud mot att uppgifter behandlas på ett sätt som är oförenligt med detta ändamål (”principen om ändamålsbegränsning”) har grundläggande betydelse för skyddet av personuppgifter, vilket bekräftas av artikel 8 i EU:s stadga om de grundläggande rättigheterna (64).

71. Utvärderingsrapporten visar att valet att ge medlemsstaterna utrymme för skönsmässig när det gäller att exakt definiera vad som utgör ”allvarlig brottslighet” och av vad som ska anses vara ”behöriga myndigheter” har gett upphov till ett stort antal ändamål för vilka uppgifter har använts (65).

72. Kommissionen konstaterar att ”[m]erparten av de medlemsstater som införlivat direktivet ger, i enlighet med sin lagstiftning, tillgång till och tillåter användning av lagrade uppgifter för ändamål som sträcker sig utöver dem som anges i direktivet, inbegripet förebyggande och bekämpning av brott generellt samt risker som är livshotande” (66). Medlemsstaterna utnyttjar ”kryphålet i lagen” i samband med artikel 15.1 i direktivet om integritet och elektronisk kommunikation (67). Kommissionen anser att det är en situation som inte tillräckligt tillgodoser kravet på ”förutsägbarhet som är ett krav i eventuella lagstiftningsåtgärder som begränsar rätten till integritet” (68).

73. Under dessa omständigheter kan man inte säga att datalagringsdirektivet som sådant, särskilt om man läser det tillsammans med direktivet om integritet och elektronisk kommunikation, ger den klarhet som behövs för att uppfylla principen om förutsebarhet på EU-nivå.

V. VÄGEN FRAMÅT: ALLA ALTERNATIV BÖR ÖVERVÄGAS

74. Analysen i den förra delen motiverar slutsatsen att datalagringsdirektivet inte uppfyller de krav som ställs genom rätten till privatliv och uppgiftsskydd. Det står därför klart att datalagringsdirektivet inte kan fortsätta existera i sin nuvarande form. I det avseendet gör kommissionen en riktig bedömning när den föreslår att det nuvarande systemet för lagring av uppgifter ska ses över (69).

75. Innan en reviderad version av direktivet föreslås a) bör kommissionen emellertid när konsekvensbedömningen görs samla in ytterligare konkreta exempel från medlemsstaterna för att visa att lagring av uppgifter är nödvändig som en åtgärd enligt EU-lagstiftningen. b) Om en majoritet av medlemsstaterna anser att lagring av uppgifter är nödvändig bör dessa medlemsstater alla lämna kvantitativa och kvalitativa uppgifter till kommissionen som bevis för detta. c) Medlemsstater som motsätter sig sådan lagring av uppgifter bör lämna information till kommissionen som gör det möjligt att göra en mer omfattande bedömning.

76. Vid konsekvensbedömningen bör det dessutom undersökas om alternativa lösningar som inkräktar mindre på den personliga integriteten skulle ha kunnat och fortfarande skulle kunna ge jämförbara resultat. Kommissionen bör ta initiativ till detta, om det behövs med stöd av externa experter.

77. Europeiska datatillsynsmannen välkomnar att kommissionen har tillkännagett ett samråd med alla berörda intressenter vid konsekvensbedömningen (70). I detta avseende uppmanar Europeiska datatillsynsmannen kommissionen att finna nya sätt att direkt involvera medborgarna i samrådet.

78. Det bör understrykas att en bedömning av nödvändigheten och undersökningen av alternativa lösningar som inkräktar mindre på den personliga integriteten bara kan genomföras på ett rättvist sätt om alla alternativ för direktivets framtid lämnas öppna. I det avseendet tycks kommissionen utesluta möjligheten att upphäva direktivet, antingen som en enda åtgärd eller tillsammans med ett förslag till en alternativ, mer målinriktad EU-åtgärd. Europeiska datatillsynsmannen uppmanar därför kommissionen att också allvarligt överväga dessa alternativ vid konsekvensbedömningen.

79. Bara om det råder enighet om behovet av EU-regler med tanke på den inre marknaden och polissamarbete och straffrättsligt samarbete, och om nödvändigheten av lagring av uppgifter som stöds och regleras av EU kan visas tillräckligt vid konsekvensbedömningen, vid vilken alternativa åtgärder noga bör övervägas, kan ett framtida datalagringsdirektiv övervägas.

80. Europeiska datatillsynsmannen förnekar inte att lagrade uppgifter är värdefulla för brottsbekämpning och att de kan spela en avgörande roll i vissa fall. Liksom tyska Bundesverfassungsgericht utesluter inte Europeiska datatillsynsmannen att en väldefinierad skyldighet att lagra telekommunikationsuppgifter kan vara motiverad under vissa mycket stränga villkor (71).

81. Ett eventuellt framtida EU-instrument om lagring av uppgifter ska därför uppfylla följande grundläggande krav: — Det ska vara heltäckande och verkligen harmonisera reglerna om skyldigheten att lagra uppgifter och om behöriga myndigheters tillgång till och ytterligare användning av uppgifterna. — Det ska vara uttömmande, vilket innebär att den ska ha ett tydligt och exakt ändamål och att kryphålet i lagen i samband med artikel 15.1 i direktivet om integritet och elektronisk kommunikation ska täppas till. — Det ska vara proportionerligt och inte gå utöver vad som är nödvändigt (se i detta avseende kommentarerna i del IV.2 ovan).

82. Europeiska datatillsynsmannen kommer naturligtvis att noga granska alla framtida förslag beträffande lagring av uppgifter mot bakgrund av dessa grundläggande villkor.

VI. SAMMANFATTNING

83. Europeiska datatillsynsmannen välkomnar att kommissionen, även om det inte var ett absolut krav enligt artikel 14 i datalagringsdirektivet, i sin rapport också tog hänsyn till direktivets konsekvenser för de grundläggande rättigheterna.

84. Utvärderingsrapporten visar att direktivet inte har fyllt sitt viktigaste syfte, nämligen att harmonisera nationell lagstiftning beträffande lagring av uppgifter. Sådan avsaknad av harmonisering är till men för alla berörda parter: för såväl medborgarna, företagarna som de brottsbekämpande myndigheterna.

85. Man kan med stöd av utvärderingsrapporten dra slutsatsen att datalagringsdirektivet av följande skäl inte uppfyller de krav som ställs genom rätten till privatliv och uppgiftsskydd. — Behovet av lagring av uppgifter enligt datalagringsdirektivet har inte bevisats tillräckligt. — Lagringen av uppgifter kunde ha reglerats på ett sätt som inkräktar mindre på den personliga integriteten. — Datalagringsdirektivet är inte förutsebart.

86. Europeiska datatillsynsmannen uppmanar kommissionen att allvarligt överväga alla alternativ vid konsekvensbedömningen, inbegripet möjligheten att upphäva direktivet, antingen som en enda åtgärd eller tillsammans med ett förslag till en alternativ, mer målinriktad EU-åtgärd.

87. Ett framtida datalagringsdirektiv kan bara övervägas om det råder enighet om behovet av EU-regler med tanke på den inre marknaden och polissamarbete och straffrättsligt samarbete, och om nödvändigheten av lagring av uppgifter som stöds och regleras av EU kan visas tillräckligt vid konsekvensbedömningen, vid vilken alternativa åtgärder noga bör övervägas. Ett sådant instrument ska uppfylla följande grundläggande krav: — Det ska vara heltäckande och verkligen harmonisera reglerna om skyldigheten att lagra uppgifter och om behöriga myndigheters tillgång till och ytterligare användning av uppgifterna. — Det ska vara uttömmande, vilket innebär att det ska ha ett tydligt och exakt ändamål och att kryphålet i lagen i samband med artikel 15.1 i direktivet om integritet och elektronisk kommunikation ska täppas till. — Det ska vara proportionerligt och inte gå utöver vad som är nödvändigt.

Utfärdat i Bryssel den 31 maj 2011. Peter HUSTINX Europeiska datatillsynsmannen

(1) EGT L 281, 23.11.1995, s. 31.

(2) EGT L 201, 31.7.2002, s. 37, ändrat genom Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009, EUT L 337, 18.12.2009, s. 11.

(3) EGT L 8, 12.1.2001, s. 1.

(4) KOM(2011) 225 slutlig.

(5) Datalagringsdirektivet (direktiv 2006/24/EG) antogs den 15 mars 2006 och offentliggjordes i EUT L 105, 13.4.2006, s. 54. Tidsfristen för att avge rapporten var satt till den 15 september 2010, se artikel 14.1 i datalagringsdirektivet.

(6) Se s. 1 i utvärderingsrapporten.

(7) Se till exempel Europadomstolens dom av den 4 december 2008, S. och Marper mot Förenade kungariket, mål nr 30562/04 och 30566/04, punkt 67.

(8) Se Europadomstolens dom av den 2 augusti 1984, Malone mot Förenade kungariket, mål A-82, punkt 84.

(9) Se datatillsynsmannens yttrande av den 26 september 2005, EUT C 298, 29.11.2005, s. 1. Under en konferens som kommissionen anordnade i december 2010 hänvisade datatillsynsmannen till instrumentet som ”det instrument som mest kränker den personliga integriteten som någonsin antagits av EU när det gäller omfattning och antal personer som påverkas”, se tal av den 3 december 2010, som finns på EDPS webbplats (http://www.edps.europa.eu) under ”Publications” >> ”Speeches & Articles” >> ”2010”.

(10) Se, i detta avseende, brevet av den 22 juni 2010 från en stor grupp organisationer inom det civila samhället till kommissionärerna Malmström, Reding och Kroes. (http://www.vorratsdatenspeicherung.de/images/DRletter_Malmstroem.pdf).

(11) Se Europeiska datatillsynsmannens yttrande som anges i fotnot 9.

(12) Se vidare kommissionens beslut av den 25 mars 2008, EUT L 111, 23.4.2008, s. 11.

(13) Se WP 172 av den 13 juli 2010, rapport 1/2010 om den andra gemensamma brottsbekämpande åtgärden.

(14) Se EU-domstolens dom av den 10 februari 2009 i mål C-301/06, Irland mot parlamentet och rådet. Se även punkt 29 nedan om målet.

(15) Redan i sitt yttrande år 2005 betonade Europeiska datatillsynsmannen att skyldigheten att utvärdera instrumentet är viktig (se fotnot 9, punkterna 72–73).

(16) Se talet av den 3 december 2010 som anges i fotnot 9.

(17) KOM(2010) 385 av den 20 juli 2010, Översikt av informationshanteringen inom området för frihet, säkerhet och rättvisa, s. 24. Se, beträffande detta meddelande, Europeiska datatillsynsmannens yttrande av den 30 september 2010, som finns på Europeiska datatillsynsmannens webbplats (http://www.edps.europa.eu) under ”Consultation” >> ”Opinions” >> ”2010”.

(18) Se s. 32 i utvärderingsrapporten.

(19) Se fotnot 2.

(20) Se artikel 5 i direktivet om integritet och elektronisk kommunikation.

(21) Se artiklarna 6 och 9 i direktivet om integritet och elektronisk kommunikation.

(22) Se även WP29 i rapporten av den 13 juli 2010, som anges i fotnot 13, s. 1.

(23) Se s. 4 i utvärderingsrapporten. Se, i detta avseende, även skäl 12 i datalagringsdirektivet.

(24) Se talet av den 3 december 2010, som anges i fotnot 9, s. 4.

(25) Ett första förslag till EU-bestämmelser om lagring av uppgifter (rambeslut) baserades på det tidigare EU-fördraget och lades fram av Frankrike, Irland, Sverige och Förenade kungariket. Se rådets dokument 8958/04 av den 28 april 2004. Detta förslag följdes av ett förslag från kommissionen som var baserat på EG-fördraget. Se KOM(2005) 438 av den 21 september 2005.

(26) Detta argument grundade sig på EU-domstolens dom i ”PNR-målen”, se EU-domstolens dom av den 30 maj 2006 i de förenade målen C-317/05 och C-318/04, Parlamentet mot rådet och kommissionen.

(27) Se EU-domstolens dom av den 10 februari 2009 i mål C-301/06, Irland mot parlamentet och rådet, punkterna 82 och 83.

(28) Se yttrandet 2005, punkt 80. Se, beträffande detta, också del IV.3 i detta yttrande.

(29) Se s. 31 i utvärderingsrapporten.

(30) Se artikel 6.1 FEU.

(31) KOM(2010) 573 av den 19 oktober 2010, Strategi för Europeiska unionens konkreta tillämpning av stadgan om de grundläggande rättigheterna, s. 4.

(32) Se s. 31 i utvärderingsrapporten.

(33) Se s. 31 i utvärderingsrapporten.

(34) Se Europeiska datatillsynsmannens yttrande 2005. Se även brevet av den 22 juni 2010 från en stor grupp organisationer inom det civila samhället, till vilket hänvisas i fotnot 10.

(35) Se KOM(2005) 438 av den 21 september 2005, s. 3.

(36) Se yttrandet 2005, punkterna 17–22.

(37) Se talet av den 3 december 2010, som anges i fotnot 9.

(38) Alla citat har hämtats från s. 23 eller 31 i utvärderingsrapporten.

(39) Se s. 31 i utvärderingsrapporten.

(40) Tjeckien, Slovenien, Förenade kungariket, Tyskland, Polen, Finland, Nederländerna, Irland och Ungern.

(41) Se, beträffande principen om nödvändighet och proportionalitet, även Europeiska datatillsynsmannens yttrande av den 25 mars 2011 om förslaget till EU:s system för PNR-uppgifter, vilket finns på Europeiska datatillsynsmannens webbplats (http://www.edps.europa.eu) under ”Consultation” >> ”Opinions” >> ”2011”.

(42) Se även s. 5 i utvärderingsrapporten.

(43) Se s. 24 i utvärderingsrapporten.

(44) Se s. 25 i utvärderingsrapporten.

(45) Se s. 31 i utvärderingsrapporten.

(46) EU-domstolens dom av den 9 november 2010 i de förenade målen C-92/09 och C-93/09, Volker och Markus Schecke.

(47) EU-domstolens dom i målet Schecke, punkt 81.

(48) Med ”Quick freeze” avses ”frysning” av trafik- och lokaliseringsuppgifter i samband med en specifik misstänkt från och med det datum då rättsligt bemyndigande getts. I ”Quick freeze plus” ingår också ”frysning” av uppgifter som operatörerna redan har för fakturering och överföring.

(49) Se s. 5 i utvärderingsrapporten.

(50) Se s. 32 i utvärderingsrapporten.

(51) Se s. 22 i utvärderingsrapporten. 12 procent gäller uppgifter som är mellan sex och tolv månader gamla, och 2 procent gäller uppgifter som är äldre än ett år.

(52) Se s. 14 i utvärderingsrapporten.

(53) Se s. 30 i utvärderingsrapporten.

(54) Se, beträffande detta, även Europeiska datatillsynsmannens yttrande 2005, punkterna 29–37. Se även den biträdande datatillsynsmannens tal av den 4 maj 2011, vilket finns på Europeiska datatillsynsmannens webbplats (http://www.edps.europa.eu) under ”Publications” >> ”Speeches & Articles” >> ”2011”.

(55) Se s. 14 i utvärderingsrapporten.

(56) Se Europadomstolens dom i målet S. och Marper, som anges i fotnot 7, punkt 151.

(57) EU-domstolens dom av den 20 maj 2003 i mål C-465/00, Österreichischer Rundfunk, punkt 77, och Europadomstolens dom i målet S. and Marper, som anges i fotnot 7, punkt 95.

(58) Se Europadomstolens dom i målet Malone, som anges i fotnot 8, punkterna 66–68.

(59) KOM(2010) 573, som anges i fotnot 31, s. 5.

(60) KOM(2010) 385, som anges i fotnot 17, s. 3.

(61) Se till exempel EU-domstolens dom av den 6 november 2003 i målet Lindqvist, punkt 87.

(62) Se s. 31 i utvärderingsrapporten.

(63) EU-domstolens dom i målet Lindqvist, punkt 84.

(64) Se även artikel 6 i direktiv 95/46/EG

(65) Se s. 8 i utvärderingsrapporten.

(66) Se s. 8 i utvärderingsrapporten.

(67) Detta har diskuterats i punkt 24 ovan.

(68) Se s. 9 och 15 i utvärderingsrapporten.

(69) Se s. 32 och 33 i utvärderingsrapporten.

(70) Se s. 32 och 33 i utvärderingsrapporten.

(71) Se Bundesverfasssungsgericht, 1 BvR 256/08.