SV Europeiska unionens officiella tidning C 160/1

Yttrande från Europeiska datatillsynsmannen om förslaget till rådets beslut om unionens ståndpunkt i gemensamma tullsamarbetskommittén EU–USA avseende ömsesidigt erkännande av program för godkända ekonomiska aktörer i Europeiska unionen och Förenta staternas program Custom-Trade Partnership against Terrorism

2012/C 160/01

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA YTTRANDE

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artiklarna 7 och 8,

med beaktande av Europarlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), och

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 41 (2).

HÄRIGENOM FRAMFÖRS FÖLJANDE.

I. INLEDNING

I.1 Samråd med Europeiska datatillsynsmannen och syftet med yttrandet

1. Den 5 januari 2011 antog kommissionen ett förslag till rådets beslut om unionens ståndpunkt i gemensamma tullsamarbetskommittén EU–USA avseende ömsesidigt erkännande av program för godkända ekonomiska aktörer i Europeiska unionen och Förenta staternas program Customs-Trade Partnership Against Terrorism (3) (nedan kallat: ”förslaget”). Förslaget sändes till datatillsynsmannen samma dag.

2. Datatillsynsmannen hade tidigare deltagit i informella samråd och lämnat ett antal informella kommentarer till kommissionen. Syftet med detta yttrande är att komplettera dessa kommentarer mot bakgrund av föreliggande förslag och göra datatillsynsmannens uppfattningar allmänt tillgängliga.

3. Datatillsynsmannen inser att behandling av personuppgifter inte är det centrala i förslaget. Merparten av den information som behandlas kommer inte att innehålla några personuppgifter, enligt definitionen i dataskyddslagen (4). Lagen ska ändå följas även då detta förekommer, vilket förklaras nedan.

I.2 Förslagets bakgrund

4. Syftet med förslaget är att få till stånd ett ömsesidigt erkännande av EU:s och USA:s program för handelspartnerskap – det vill säga EU:s godkända ekonomiska aktörer (GEA) och Förenta staternas Customs-Trade Partnership against Terrorism (C-TPAT) – för att underlätta handeln för aktörer som har investerat i säkerhet för leverantörskedjor och ingår i ett av dessa program.

5. Förbindelserna mellan EU och Förenta staterna på tullområdet bygger på avtalet om samarbete och ömsesidigt bistånd i tullfrågor (5). Genom denna överenskommelse inrättas den gemensamma tullsamarbetskommittén, som består av företrädare för tullmyndigheterna i EU och Förenta staterna. Ömsesidigt erkännande ska fastställas genom ett beslut i denna kommitté. Förslaget består därför av: — en motivering — ett förslag till rådets beslut om att EU kommer att inta en ståndpunkt inom den gemensamma tullsamarbetskommittén i enlighet med vad som anges i förslaget till beslut om ömsesidigt erkännande — förslaget till beslut från den gemensamma tullsamarbetskommittén om ömsesidigt erkännande av EU:s GEA och USA:s C-TPAT (nedan kallat: ”förslaget till beslut”) (6).

6. Förslaget till beslut ska genomföras av tullmyndigheterna som har fastställt ett förfarande för ömsesidig validering (ansökningsförfarande för beviljande av medlemskap för aktörerna, bedömning av ansökningar, beviljande av medlemskap och övervakning av medlemskapsstatus).

7. Ett väl fungerande ömsesidigt erkännande bygger därmed på utbyte av information mellan EU:s och Förenta staternas tullmyndigheter om handelsaktörer som redan ingår i partnerskapsprogrammet.

II. ANALYS AV FÖRSLAGET TILL BESLUT

II.1 Behandling av uppgifter rörande fysiska personer

8. Även om syftet med förslaget till beslut inte är att behandla personuppgifter kommer viss information som utbyts att gälla fysiska personer, särskilt om aktören är en fysisk person (7) eller om den officiella titeln för den juridiska person som fungerar som aktör medför att en fysisk person kan identifieras (8).

9. Betydelsen av dataskydd i detta sammanhang har betonats av EU-domstolen i dess avgörande i Schecke-målet. Enligt domstolen kan juridiska personer kräva skydd av rätten till privatliv och dataskydd, i enlighet med Europeiska unionens stadga om de grundläggande rättigheterna, om den juridiska personens officiella titel medför att en eller flera fysiska personer kan identifieras (9). I detta yttrande kommer därför att analyseras hur utbytet av personuppgifter rörande aktörer regleras i förslaget till beslut.

II.2 Tillämplighet av EU:s rambeslut om skydd av personuppgifter

10. Behandlingen kommer att genomföras av de tullmyndigheter som anges i artikel 1b i avtalet om samarbete och ömsesidigt bistånd i tullfrågor (10). Definitionen hänför sig inom EU till ”behöriga enheter” inom Europeiska kommissionen och tullmyndigheter i EU:s medlemsstater. Enligt EU:s dataskyddslagstiftning omfattas behandling som genomförs av EU:s medlemsstater av direktiv 95/46/EG (nedan kallat: ”dataskyddsdirektivet”) och av nationell lagstiftning om dataskydd för genomförande av dataskyddsdirektivet, medan behandling av personuppgifter som genomförs av EU:s institutioner och organ omfattas av förordning (EG) nr 45/2001 (nedan kallad: ”förordningen”). I detta fall är därför både dataskyddsdirektivet och förordningen tillämpliga.

II.3 Skyddsnivå

11. Utbytet av information ska ske i elektroniskt format och i enlighet med avtalet om samarbete och ömsesidigt bistånd i tullfrågor. I artikel 17.2 i samarbetsavtalet anges att personuppgifter endast får överföras mellan parterna i en överenskommelse om den part som mottar uppgifterna förpliktar sig att beträffande sådana uppgifter tillämpa en skyddsnivå som minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna.

12. Datatillsynsmannen välkomnar denna bestämmelse som bör uppfattas som att den syftar till att uppfylla EU:s lagstiftning om dataskydd. Enligt artikel 25 i dataskyddsdirektivet och artikel 9 i förordningen kan som huvudregel uppgifter endast överföras från EU till tredje land om det mottagande landet säkerställer en ”adekvat” skyddsnivå (11). Artikel 17.2 i samarbetsavtalet förefaller därmed striktare än dataskyddsdirektivet.

13. Det bör därför analyseras på grundval av alla relevanta omständigheter om de mottagande myndigheterna i Förenta staterna verkligen garanterar motsvarande skyddsnivå (eller åtminstone en ”adekvat” nivå). Analysen av huruvida nivån är adekvat måste genomföras mot bakgrund av alla omständigheter som omger överföringen eller uppsättningen överföringar (12).

14. Europeiska kommissionen har inte funnit att Förenta staterna som helhet erbjuder en adekvat skyddsnivå. I avsaknad av ett allmänt beslut om adekvat skydd kan registeransvariga (13), under överinseende av myndigheter för dataskydd (14), besluta att skyddet som tillhandahålls i detta särskilda fall är adekvat. EU:s medlemsstater (eller Europeiska datatillsynsmannen om överföringen genomförs av EU:s institutioner eller organ) får även tillåta en särskild överföring eller en uppsättning överföringar av personuppgifter till ett tredjeland om den registeransvarige ställer tillräckliga garantier (15).

15. Dessa tillfälliga beslut om att skyddet är adekvat kan tillämpas i detta fall om de nationella tullmyndigheterna och de av Europeiska kommissionens enheter som ansvarar för tullfrågor lämnar tillräckliga bevis till stöd för påståendena om att de amerikanska tullmyndigheterna infört ett adekvat skydd när det gäller sådant utbyte som avses i förslaget till beslut (16).

16. Europeiska datatillsynsmannen har emellertid inte tillräckliga bevis för att de amerikanska tullmyndigheterna säkerställer en dataskyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i avtalet om samarbete och ömsesidigt bistånd i tullfrågor.

17. Europeiska datatillsynsmannen är därför mån om att säkerställa att bevis som visar att de amerikanska tullmyndigheterna tryggar en skyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i samarbetsavtalet, blir tillgängliga för datatillsynsmannen och nationella myndigheter för dataskydd. Detta bör krävas genom en bestämmelse i förslaget till beslut.

18. Avslutningsvis kan utbyte av personuppgifter från EU till länder som inte garanterar en ”adekvat” skyddsnivå även tillåtas om något av undantagen i artikel 26.1 i dataskyddsdirektivet eller artikel 9.6 i förordningen tillämpas. I detta särskilda fall kan det hävdas att utbytet är ”nödvändigt eller bindande enligt författning av skäl som rör viktiga allmänna intressen” (17). Dessa undantag bör emellertid tolkas restriktivt och kan inte ligga till grund för massiva eller systematiska överföringar av personuppgifter (18). Enligt datatillsynsmannens uppfattning skulle dessa undantag inte vara till hjälp i detta fall.

II.4 Begränsning av ändamålet

19. I avsnitt V.1 i förslaget till beslut anges att de uppgifter som utbyts endast får bearbetas av den mottagande tullmyndigheten i syfte att genomföra förslaget till beslut, i enlighet med artikel 17 i samarbetsavtalet.

20. Emellertid medges behandling av andra skäl även enligt avsnitt V.3, fjärde strecksatsen och artikel 17.3 i samarbetsavtalet. Med tanke på att syftena i förslaget till beslut går längre än tullsamarbete och innefattar kampen mot terrorism tillråder datatillsynsmannen att alla tänkbara syften för överföring av personuppgifter ska specificeras i texten till beslutet. Dessutom bör alla uppgifter som överförs vara nödvändiga och proportionella för att uppfylla dessa syften. Det bör även specificeras att de registrerade ska informeras på ett begripligt sätt om alla syften och villkor när det gäller behandling av deras personuppgifter.

II.5 Kategorier av uppgifter som kan utbytas

21. Uppgifter om handelspartnerskapsprogrammens medlemmar som kan utbytas mellan tullmyndigheter är följande: namn, adress, medlemskapsstatus, datum för validering eller godkännande, upphävanden och återkallanden, det unika tillstånds- eller identifieringsnumret, samt ”eventuella uppgifter som ömsesidigt överenskommits mellan tullmyndigheterna, i förekommande fall med sådana säkerhetsföreskrifter som kan behövas” (19). Eftersom detta sista område är alltför öppet rekommenderar datatillsynsmannen att det anges vilka kategorier av uppgifter som kan ingå.

22. Datatillsynsmannen noterar även att uppgifter som utväxlas kan innefatta uppgifter om lagöverträdelser eller misstänkta överträdelser, exempelvis uppgifter rörande upphävande och återkallande av medlemskap. Datatillsynsmannen betonar att EU:s dataskyddslagstiftning är begränsad till behandling av personuppgifter när det gäller lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder (20). Behandling av dessa kategorier uppgifter kan omfattas av kontroll i förväg av datatillsynsmannen och EU:s nationella myndigheter för dataskydd (21).

II.6 Vidareöverföring

23. Enligt avsnitt V.3, tredje strecksatsen, får inte uppgifter överföras till tredjeländer eller internationella organ utan föregående medgivande från den myndighet som har lämnat uppgifterna, i enlighet med de villkor som denna myndighet fastställt. Vidareöverföring bör endast vara tillåten om en motivering lämnas.

24. Det förefaller därför som om avsnitt V.3 borde innefatta en bestämmelse liknande den som ingår i artikel 17.2 i samarbetsavtalet, där det anges att personuppgifter endast kan överföras till ett tredjeland om det mottagande landet garanterar en skyddsnivå som minst motsvarar den som krävs i förslaget till beslut. Det skydd som beviljas personuppgifter enligt detta förslag till beslut skulle annars kunna kringgås genom vidareöverföringar.

25. I denna bestämmelse bör i vilket fall som helst syftet med dessa överföringar och de särskilda situationer när de är tillåtna anges. Det bör också uttryckligen slås fast att nödvändigheten och proportionaliteten i internationell vidareöverföring måste bedömas från fall till fall och att massiva eller systematiska överföringar inte är tillåtna. Skyldigheten att informera de registrerade om möjligheten till internationell vidareöverföring bör också ingå i texten.

II.7 Lagring av uppgifter

26. Europeiska datatillsynsmannen välkomnar avsnitt V.2 enligt vilket det är förbjudet att behandla eller bevara informationen längre än nödvändigt för det ändamål för vilket den överförs. En maximalt tillåten period för lagring av uppgifter bör också fastställas.

II.8 Säkerhet och ansvarighet

27. I avsnitt IV anges att utbyte av information kommer att genomföras elektroniskt. Enligt datatillsynsmannen bör ytterligare detaljer om systemet för informationsutbyte fastställas i detta avsnitt. I vilket fall som helst bör det valda systemet innefatta skydd av privatlivet och personuppgifter från och med utformningsstadiet (inbyggda säkerhetsmekanismer).

28. Datatillsynsmannen välkomnar i detta hänseende de säkerhetsgarantier som planeras i avsnitt V.3, första och andra strecksatsen, vilka innefattar tillträdeskontroll, ”skydd mot obehörig tillgång, spridning och ändring, radering eller förstöring” och kontroll av att uppgifterna endast behövs för de ändamål som anges i förslaget till beslut. Datatillsynsmannen välkomnar även de tillträdesloggar som planeras i avsnitt V.3, femte strecksatsen.

29. Datatillsynsmannen rekommenderar även att man i dessa bestämmelser innefattar skyldigheten att genomföra en konsekvensbedömning av dataskyddet (inklusive en riskbedömning) innan utbytet av uppgifter inleds. Bedömningen bör innefatta en riskbedömning och de åtgärder som planeras för att hantera riskerna (22). I texten bör också specificeras att överensstämmelse med dessa åtgärder och deras genomförande ska revideras och rapporteras regelbundet. Detta är desto mer relevant med tanke på att känsliga uppgifter kan komma att behandlas.

II.9 Uppgiftskvalitet och rättigheter för de registrerade

30. Europeiska datatillsynsmannen välkomnar tullmyndigheternas skyldighet att se till att den information som utbyts är korrekt och uppdateras regelbundet (se avsnitt V.2 och V.5). Han välkomnar även avsnitt V.4, där det garanteras att partnerskapsprogrammets aktörer har rätt att få tillgång till och ändra sina personliga uppgifter.

31. Datatillsynsmannen noterar emellertid att utövandet av dessa rättigheter omfattas av tullmyndighetens inhemska lagstiftning. När det gäller uppgifter från EU:s tullmyndigheter, och för att garantera en ”adekvat” skyddsnivå (se avsnitt II.3 i detta yttrande), bör dessa rättigheter endast begränsas om det krävs för att trygga ett viktigt ekonomiskt eller finansiellt intresse.

32. Datatillsynsmannen välkomnar även det faktum att tullmyndigheter är skyldiga att radera uppgifter de har erhållit om insamling och behandling av dessa strider mot förslaget till beslut eller samarbetsavtalet (23). Datatillsynsmannen vill erinra om att i enlighet med artikel 17.2 i samarbetsavtalet gäller denna bestämmelse för all behandling som strider mot EU:s lagstiftning om dataskydd.

33. Datatillsynsmannen välkomnar skyldigheten för tullmyndigheter att informera programmedlemmar om deras möjligheter att söka prövning (24). Det bör emellertid klargöras vilka möjligheter till prövning som finns om den säkerhet för skydd av uppgifter som garanteras i förslaget till beslut överträds. I denna bestämmelse bör också specificeras att andra registrerade (det vill säga aktörer som ansöker om medlemskap) också bör informeras om möjligheten att söka prövning.

II.10 Tillsyn

34. Datatillsynsmannen välkomnar avsnitt V.6 som innebär att hela avsnitt V omfattas av ”oberoende tillsyn” av USA:s Department of Homeland Security's Chief Privacy Officer, Europeiska datatillsynsmannen och nationella myndigheter för dataskydd.

35. Det bör också anges att datatillsynsmannen och nationella myndigheter för dataskydd bör övervaka att den mottagande tullmyndighetens skyddsnivå för personuppgifter är ”adekvat” (se avsnitt III.1.). Avsnitt IV bör också omfattas av tillsyn.

III. SLUTSATS

36. Europeiska datatillsynsmannen välkomnar de garantier som planeras i förslaget till beslut, särskilt vad gäller datasäkerhet. Bevis för att de amerikanska tullmyndigheterna säkerställer en dataskyddsnivå som är ”adekvat” eller ”minst motsvarar den som tillämpas i detta särskilda fall i det land som tillhandahåller uppgifterna”, vilket krävs i artikel 17.2 i samarbetsavtalet, bör emellertid vara tillgängliga för datatillsynsmannen och nationella myndigheter för dataskydd. Detta bör krävas genom en bestämmelse i förslaget till beslut.

37. Dessutom rekommenderar datatillsynsmannen följande: — Syftet/syftena med utbytet av uppgifter som planeras i förslaget till beslut bör anges och dessa bör vara nödvändiga och proportionella. — Kategorier av uppgifter som ingår i avsnitt IV.3 g bör anges. — Om nödvändigheten av internationella vidareöverföringar motiveras bör det framgå att dessa endast tillåts, från fall till fall, för jämförbara syften och om det mottagande landet garanterar en skyddsnivå som minst motsvarar den som beviljas enligt förslaget till beslut. — Skyldigheten att informera alla registrerade om ovanstående bör inkluderas. — Säkerhetsbestämmelserna bör kompletteras. — Maximal tillåten lagringsperiod för uppgifterna bör anges. — Rättigheterna för de registrerade inom EU bör inte begränsas om inte sådana restriktioner är nödvändiga för att skydda ett viktigt ekonomiskt eller finansiellt intresse. — Rätten till prövning bör garanteras. — Avsnitt IV bör omfattas av tillsyn. — Det bör anges att europeiska datatillsynsmannen, EU:s nationella myndigheter för dataskydd och den amerikanska Department of Homeland Security's Chief Privacy Officer bör övervaka skydd som införts av den mottagande tullmyndigheten för att säkerställa att adekvat skyddsnivå för personuppgifter är effektiva och i linje med EU:s krav.

38. Datatillsynsmannen noterar även att förslaget kan innebära behandling av personuppgifter rörande brott eller misstänkta brott. Dessa uppgifter omfattas av strängare skydd enligt EU:s lagstiftning och kan omfattas av kontroll i förväg av datatillsynsmannen och av EU:s nationella myndigheter för dataskydd.

Utfärdat i Bryssel den 9 februari 2012. Giovanni BUTTARELLI Biträdande Europeisk datatillsynsman

(1) EGT L 281, 23.11.1995, s. 31.

(2) EGT L 8, 12.1.2001, s. 1.

(3) KOM(2011) 937 slutlig.

(4) Se punkterna 8–9 i detta yttrande.

(5) Avtal mellan Europeiska gemenskapen och Amerikas förenta stater om samarbete och ömsesidigt bistånd i tullfrågor (EGT L 222, 12.8.1997, s. 17), se http://ec.europa.eu/world/agreements/prepareCreateTreatiesWorkspace/treatiesGeneralData.do?step=0&redirect=true&treatyId=308 (sammanfattning och fullständig text).

(6) Förslag till beslut av gemensamma tullsamarbetskommittén EU–USA om ömsesidigt erkännande av programmet Customs-Trade Partnership against Terrorism i USA och programmet för godkända ekonomiska aktörer i Europeiska unionen.

(7) Personuppgifter definieras i artikel 2a i direktiv 95/46/EG och artikel 2a i förordning (EG) nr 45/2001 som varje upplysning som avser en identifierad eller identifierbar fysisk person.

(8) Se även Europeiska datatillsynsmannens yttrande om förslaget till rådets beslut om unionens ståndpunkt i den gemensamma tullsamarbetskommittén för EU och Japan om det ömsesidiga erkännandet av programmen för godkända ekonomiska aktörer i Europeiska unionen och Japan, som finns på http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2010:190:0002:0006:EN:PDF

(9) EU-domstolen, 9 november 2010, Volker och Markus Schecke, C-92/09 och C-93/09, punkt 53 (se http://curia.europa.eu/jurisp/cgi-bin/gettext.pl?where=&lang=en&num=79898890C19090092&doc=T&ouvert=T&seance=ARRET).

(10) Se avsnitt I.2 i förslaget till beslut.

(11) I förordningen står dessutom att dessa överföringar endast kan ske om uppgifterna överförs ”uteslutande för att göra det möjligt för den registeransvarige att utföra de uppgifter för vilka han har behörighet”.

(12) Se artiklarna 9.1 och 9.2 i förordningen, artiklarna 25.1 och 25.2 i dataskyddsdirektivet och EU:s nationella lagar om dataskydd som införlivar dem. Se även Europeiska datatillsynsmannens yttrande om EU–Japans gemensamma tullsamarbete som nämns ovan.

(13) I dessa fall tullmyndigheterna i EU och dess medlemsstater.

(14) I vissa medlemsstater kan endast myndigheter för dataskydd godkänna överföringen.

(15) Artikel 26.2 i dataskyddsdirektivet och artikel 9.7 i förordningen.

(16) Se även Europeiska datatillsynsmannens skrivelse ”Transfers of personal data to third countries: ’adequacy’ of signatories to Council of Europe Convention 108 (Case 2009-0333)” på följande webbadress: http://www.edps.europa.eu/EDPSWEB/webdav/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(17) Se artikel 9.6 d i förordningen eller artikel 26.1 d i dataskyddsdirektivet som, enligt skäl 58 i dataskyddsdirektivet innefattar utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter.

(18) Se artikel 29-arbetsgruppens dokument av den 25 november 2005 om en gemensam tolkning av artikel 26.1 i direktiv 95/46/EG av den 24 oktober 1995 (WP114), s. 7–9, på följande webbadress: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2005/wp114_en.pdf

(19) Se avsnitt IV 3 a–g i förslaget till beslut.

(20) Se artikel 8.5 i direktiv 95/46/EG och artikel 10.5 i förordning (EG) nr 45/2001.

(21) Se artikel 27a i förordning (EG) nr 45/2001 och EU:s nationella lagstiftning om data om att genomföra artikel 20 i direktiv 95/46/EG.

(22) Såsom redan förutses i artikel 33 i det nya förslaget till förordning om skydd av enskilda när det gäller bearbetning av personuppgifter och om den fria rörligheten för sådana uppgifter (allmänna förordningen om dataskydd) (KOM(2012) 11/4 förslag).

(23) Se avsnitt V.5 i förslaget till beslut.

(24) Se avsnitt V.4, sista meningen.