SV Europeiska unionens officiella tidning C 110/1

Yttrande från Europeiska datatillsynsmannen om utkastet till förslag till rådets rambeslut om användande av passageraruppgifter (PNR-uppgifter) i brottsbekämpningssyfte

(2008/C 110/01)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTTRANDE

med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artikel 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1),

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (2), särskilt artikel 41,

med beaktande av Europeiska kommissionens begäran om yttrande i enlighet med artikel 28.2 i förordning (EG) nr 45/2001, mottagen den 13 november 2007,

HÄRIGENOM FRAMFÖRS FÖLJANDE:

I. INLEDNING

Samråd med datatillsynsmannen

1. Kommissionen har översänt utkastet till förslag till rådets rambeslut om användande av passageraruppgifter (PNR-uppgifter) i brottsbekämpningssyfte (nedan kallat ”förslaget”) till datatillsynsmannen för samråd i enlighet med artikel 28.2 i förordning (EG) nr 45/2001.

2. Förslaget berör behandling av PNR-uppgifter inom EU och är nära knutet till andra system för insamling och användning av passageraruppgifter, särskilt avtalet mellan EU och Förenta staterna från juli 2007. Dessa system är av stort intresse för Europeiska datatillsynsmannen som redan har haft möjlighet att lämna några inledande kommentarer när det gäller kommissionens frågeformulär om EU:s planerade system för PNR som i december 2006 översändes till de berörda parterna (3) Datatillsynsmannen välkomnar samrådet med kommissionen. Enligt datatillsynsmannen bör detta yttrande nämnas i ingressen till rådets beslut.

Förslaget i dess sammanhang

3. Förslaget syftar till att harmonisera medlemsstaternas bestämmelser om skyldigheter för lufttrafikföretag som upprätthåller flygförbindelser till eller från åtminstone en medlemsstats territorium i fråga om överföring av PNR-uppgifter till behöriga myndigheter i syfte att förebygga och bekämpa terrorism och organiserad brottslighet.

4. Avtal om överföring av PNR-uppgifter för motsvarande ändamål har ingåtts av EU och Förenta staterna samt med Kanada. Ett första avtal som ingicks med Förenta staterna i maj 2004 ersattes av ett nytt avtal i juli 2007 (4). Ett liknande avtal ingicks med Kanada i juli 2005 (5). Dessutom ska förhandlingar inledas mellan EU och Australien om ett avtal om utbyte av PNR-uppgifter och även Sydkorea kräver PNR-uppgifter när det i detta skede gäller flygningar till landets territorium utan att det finns någon förhandlingsplan på europeisk nivå.

5. Inom EU innebär förslaget ett tillägg till rådets direktiv 2004/82/EG (6) om skyldighet för transportörer att lämna de uppgifter om passagerare som kallas API-uppgifter (Advanced Passenger Information) för att bekämpa den olagliga invandringen och förbättra gränskontrollerna. Detta direktiv bör ha införlivats i medlemsstaternas nationella lagstiftning senast den 5 september 2006. Detta införlivande är dock inte genomfört i alla medlemsstater.

6. I motsats till API-uppgifter, som förmodas kunna bidra till att identifiera personer, skulle PNR-uppgifterna enligt förslaget bidra till att genomföra riskanalyser av personer, erhålla underrättelser och göra kopplingar mellan kända och okända personer.

7. Förslaget omfattar följande huvudpunkter: — Lufttrafikföretagen ska göra PNR-uppgifter tillgängliga för de behöriga myndigheterna i medlemsstaterna, i syfte att förebygga och bekämpa terrorism och organiserad brottslighet. — I varje medlemsstat ska det i princip utses en enhet för passagerarinformation med ansvar för insamling av PNR-uppgifter från lufttrafikföretagen (eller utsedda uppgiftsförmedlare) och för att genomföra en riskbedömning av passagerarna. — Uppgifter som bedöms i enlighet med detta system ska överföras till de behöriga myndigheterna i varje medlemsstat. Dessa uppgifter kommer att utbytas med andra medlemsstater, från fall till fall och för det ändamål som anges ovan. — Överföringar till länder utanför Europeiska unionen omfattas av ytterligare villkor. — Uppgifterna ska bevaras i tretton år, varav åtta i en vilande databas. — Denna hantering ska regleras av (utkastet till) rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (nedan kallat ”rambeslutet om skydd av personuppgifter”) (7). — Kommissionen ska biträdas av en kommitté med företrädare för medlemsstaterna när det gäller protokoll och krypteringsstandarder samt kriterier och metoder för riskbedömning. — En översyn av beslutet ska äga rum inom tre år efter dess ikraftträdande.

Huvudpunkter i yttrandet

8. Det förslag som Europeiska datatillsynsmannen ska yttra sig om utgör ytterligare ett steg i riktning mot en rutinmässig insamling av uppgifter om personer som i princip inte misstänks för något brott. Som ovan nämnts äger denna utveckling rum globalt och på europeisk nivå.

9. Europeiska datatillsynsmannen noterar även att arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter och arbetsgruppen för polis och rättsväsende har lagt fram ett gemensamt yttrande om förslaget (8). Europeiska datatillsynsmannen ger sitt stöd till detta yttrande. I föreliggande yttrande framhölls och vidareutvecklas några punkter.

10. I Europeiska datatillsynsmannens yttrande kommer samtliga relevanta aspekter av förslaget att analyseras men tyngdpunkten kommer att ligga på fyra huvudfrågor: — Den första frågan gäller de planerade åtgärdernas lagenlighet. Frågan om förslagets ändamål, nödvändighet och proportionalitet kommer att bedömas i enlighet med kriterierna i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna. — I yttrandet kommer också frågan om tillämplig lag för den avsedda behandlingen att analyseras. Särskild uppmärksamhet bör ägnas åt tillämpningsområdet för rambeslutet om skydd av personuppgifter i förhållande till tillämpningen av lagstiftningen när det gäller uppgiftsskydd inom första pelaren. Följderna av de regler för uppgiftsskydd som tillämpas när det gäller utövandet av den registrerades rättigheter kommer också att diskuteras. — Därefter kommer yttrandet att inriktas på beskaffenheten hos uppgiftsmottagare på nationell nivå. Beskaffenheten hos enheterna för passagerarinformation, uppgiftsförmedlarna och de behöriga myndigheter som utsetts för att genomföra riskbedömningar och analysera passageraruppgifter ger upphov till särskild oro eftersom förslaget inte innehåller några närmare riktlinjer när det gäller detta. — Den fjärde punkten gäller villkoren för överföring av uppgifter till tredjeländer. Det är inte klart vilka villkor som kommer att gälla för dessa överföringar när det finns olika regelverk, nämligen villkoren för överföring enligt detta förslag tillsammans med reglerna i rambeslutet om skydd av personuppgifter samt gällande internationella avtal (med Förenta staterna och Kanada).

11. Man kommer i den sista delen att peka på ytterligare konkreta punkter, bland annat på åtgärder till förmån för skydd av personuppgifter men även på ytterligare källor till oro i förslaget.

II. LAGENLIGHETEN I DE FÖRESLAGNA ÅTGÄRDERNA

12. För att kunna analysera de föreslagna åtgärdernas lagenlighet i enlighet med de grundläggande principerna för skydd av personuppgifter och särskilt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna och artiklarna 5–8 i Europarådets konvention nr 108 (9), är det nödvändigt att klart fastställa syftet med den planerade behandlingen av personuppgifter, att bedöma dess nödvändighet och proportionalitet. Det bör garanteras att inga andra sätt som är mindre kränkande står till buds för att nå det önskade målet.

Fastställande av målet

13. Förslagets lydelse och konsekvensbedömning visar att målet inte endast är att identifiera kända terrorister eller brottslingar som är inblandade i organiserad brottslighet genom att jämföra deras namn med namnen i förteckningar som förs av de brottsbekämpande myndigheterna. Syftet är att samla underrättelser när det gäller terrorism eller organiserad brottslighet och mera bestämt att genomföra riskanalyser av personer, erhålla underrättelser och göra kopplingar mellan kända och okända personer (10). Det mål som anges i artikel 3.5 i förslaget går i samma riktning och innebär först och främst att ”identifiera personer som är eller kan vara inblandade i ett terroristbrott eller organiserad brottslighet, samt deras medhjälpare”.

14. Detta är det skäl som åberopats för att förklara att det inte räcker med API-uppgifter för att nå det angivna målet. Som tidigare nämnts förmodas API-uppgifterna bidra till identifiering av personer medan PNR-uppgifterna inte har något som helst identifieringssyfte. Detaljerna i PNR ska bidra till att genomföra riskanalyser av personer, erhålla underrättelser och göra kopplingar mellan kända och okända personer.

15. Syftet med de planerade åtgärderna inbegriper inte bara gripande av kända personer, utan även spårande av personer som kan omfattas av kriterierna i förslaget. För identifiering av dessa personer är riskanalys och kartläggande av beteendemönster centrala moment i projektet. I skäl 9 i förslaget anges det uttryckligen att uppgifterna måste lagras ”under tillräckligt lång tid för att kunna användas för att ta fram riskindikatorer och fastställa rese- och beteendemönster”.

16. Målet beskrivs därför i två skikt: Det första skiktet består av det övergripande målet att bekämpa terrorism och organiserad brottslighet, medan det andra skiktet omfattar de mål och metoder som krävs för att uppnå detta mål. Målet att bekämpa terrorism och organiserad brottslighet förefaller tydligt, klart och legitimt, medan däremot metoderna för att uppnå detta mål lämnar plats för diskussion.

Fastställande av mönster samt riskbedömningar

17. Förslaget innehåller ingen anvisning för hur nämnda mönster ska fastställas och för hur riskbedömningen ska genomföras. I riskbedömningen anges följande om hur PNR-uppgifter kommer att användas: Köra passageraruppgifter ”mot en kombination av kännetecken och beteendemönster för att genomföra riskbedömningar. En passagerare som passar in i en viss riskbedömning kan då identifieras som högriskpassagerare” (11).

18. Misstänkta personer kan väljas ut till följd av konkreta misstankar som ingår i deras PNR-uppgifter (t.ex. kontakter med en tvivelaktig resebyrå, notering om ett stulet kreditkort), liksom på grundval av ”mönster” eller en abstrakt profil. Olika standardprofiler kan självfallet skapas på grundval av resemönster, för ”normala passagerare” och ”misstänkta passagerare.” Dessa profiler skulle göra det möjligt att ytterligare undersöka dessa passagerare som inte omfattas av den ”normala passagerarkategorin”, särskilt om deras profil är förknippad med andra misstänkta inslag, t.ex. ett stulet kreditkort.

19. Även om man inte kan utgå ifrån att passagerare ringas in efter sin religion eller andra känsliga uppgifter verkar det ändå som om de är föremål för undersökning på grundval av en blandning av konkret och abstrakt information, där standardmönster och abstrakta profiler ingår.

20. Man kan diskutera huruvida en sådan undersökning uppfyller kraven på profilanalys. Profilanalys är en ”datoriserad metod där uppgifter som hämtas i ett datalager utnyttjas för att eller i avsikt att med en viss sannolikhet – och därigenom med en viss felmarginal – kunna klassificera en person i en särskild kategori i syfte att fatta personligt riktade beslut mot den personen” (12).

21. Europeiska datatillsynsmannen är medveten om att diskussioner pågår om definitionen av profilanalys. Oavsett om det finns ett officiellt erkänt syfte är det syftet att utföra en profilanalys av passagerare och inte definitionerna som utgör den springande punkten. Huvudfrågan gäller följderna för enskilda personer.

22. Det främsta bekymret för Europeiska datatillsynsmannen rör det faktum att beslut om enskilda personer kommer att fattas på grundval av de mönster och de kriterier som har fastställts med hjälp av passageraruppgifter i allmänhet. Beslut om en enskild person kan därför eventuellt fattas genom att man (åtminstone delvis) hänvisar till mönster som erhållits i uppgifter om andra enskilda personer. Besluten kommer alltså att fattas i ett abstrakt sammanhang, vilket i hög grad kan påverka den registrerade personen. Det är oerhört svårt för enskilda personer att försvara sig mot sådana beslut.

23. Dessutom kommer riskbedömningen att utföras utan någon enhetlig norm för identifiering av misstänkta. Europeiska datatillsynsmannen ifrågasätter allvarligt rättssäkerheten i hela filtreringsprocessen med tanke på att de kriterier mot vilka varje passagerare kommer att granskas är så dåligt definierade.

24. Europeiska datatillsynsmannen erinrar om rättspraxis vid Europeiska domstolen för de mänskliga rättigheterna, enligt vilken nationell lagstiftning måste vara så exakt att den visar medborgarna under vilka omständigheter och på vilka villkor offentliga myndigheter har rätt att registrera uppgifter om deras privatliv och att använda dessa. Dessa uppgifter ”bör vara tillgängliga för de berörda personerna och vara förutsebara när det gäller deras konsekvenser”. En bestämmelse är förutsebar ”om den är så tydligt formulerad att det är möjligt för varje enskild person att – vid behov med lämpliga råd – ändra sitt beteende” (13).

25. Sammanfattningsvis är det framför allt på grund av detta slag av risker som förslaget måste övervägas noga. Det allmänna målet att bekämpa terrorism och organiserad brottslighet är i sig självt tydligt och legitimt, men kärnan i den hantering som ska införas förefaller inte tillräckligt avgränsad och motiverad. Europeiska datatillsynsmannen uppmanar därför lagstiftaren att på ett klart markerat sätt behandla denna fråga innan rambeslutet antas.

Nödvändighet

26. Ovanstående visar tydligt att åtgärderna inkräktar på privatlivet. Å andra sidan finns det långt ifrån något belägg för nyttan av dessa åtgärder.

27. I förslagets konsekvensbedömning inriktar man sig på det bästa sättet att upprätta EU:s system för PNR, snarare än på nödvändigheten av dessa PNR-uppgifter. I bedömningen (14) hänvisas det till befintliga system för PNR i andra länder, nämligen Förenta staterna och Storbritannien. Man kan dock bara beklaga avsaknaden av exakta uppgifter och siffror i samband med dessa system. Det rapporteras om ”åtskilliga gripanden” genom det brittiska signalsystemet när det gäller ”olika brott”, utan att det närmare anges hur dessa hänger samman med terrorism eller organiserad brottslighet. Inga detaljer ges när det gäller Förenta staternas program, förutom att ”EU har kunnat bedöma värdet av PNR-uppgifter och utnyttja dem i brottsbekämpningen”.

28. Förutom att det saknas exakt information i förslaget om de konkreta resultaten av sådana system för PNR bekräftar inte heller de rapporter som offentliggjorts av övriga organ, t.ex. Förenta staternas riksrevisionsverk, att åtgärderna har varit effektiva (15).

29. Europeiska datatillsynsmannen anser att man ytterligare behöver utvärdera metoder som består i riskbedömning av enskilda personer med hjälp av verktyg för att hämta uppgifter och utgått från beteendemönster samt att man klart måste fastställa nyttan av dessa inom kampen mot terrorism innan de används i större utsträckning.

Proportionalitet

30. För att kunna bedöma avvägningen mellan ett intrång i den enskildes privatliv och nödvändigheten av åtgärden (16) har följande aspekter beaktats: — Åtgärderna gäller samtliga passagerare, vare sig de är föremål för utredning av brottsbekämpande myndigheter eller inte. Detta innebär proaktiva undersökningar i en tidigare icke skådad utsträckning. — Beslut om enskilda personer kan bygga på abstrakta profiler, vilket medför en betydande felmarginal. — Karaktären i åtgärderna mot den enskilde personen hänför sig till brottsbekämpning och konsekvenserna i fråga om förbud eller tvång är därför mycket mer inkräktande än i andra sammanhang, som kontokortsbedrägeri eller saluföring.

31. Förenlighet med proportionalitetsprincipen innebär inte endast att den föreslagna åtgärden ska vara effektiv, utan även att det planerade målet i förslaget inte kan nås genom användande av verktyg som i mindre utsträckning kränker de personliga integriteten. Effektiviteten av de planerade åtgärderna har inte bevisats. Förekomst av olika alternativ måste noga bedömas innan ytterligare eller nya åtgärder vidtas för att behandla personliga uppgifter. Enligt Europeiska datatillsynsmannen har ingen sådan heltäckande bedömning ägt rum.

32. Europeiska datatillsynsmannen önskar erinra om de övriga system i stor skala med vars hjälp enskilda personers rörelser inom eller vid EU:s gränser övervakas, de som redan är operativa eller som ska genomföras, särskilt informationssystemet för viseringar (17) och Schengens informationssystem (18). Även om huvudmålet med dessa instrument inte är kampen mot terrorism eller organiserad brottslighet är de redan eller kommer att bli tillgängliga för de brottsbekämpande myndigheterna för det bredare tillämpningsområdet brottsbekämpning (19).

33. Ett annat exempel gäller tillgängligheten i de personuppgifter som ingår i de nationella polisdatabaserna – särskilt vad gäller biometriska uppgifter – inom ramen för Prümfördraget, vilket undertecknades i maj 2005 och håller på att utvidgas till alla medlemsstater i Europeiska unionen (20).

34. Dessa olika instrument har det gemensamt att de trots olika utgångspunkter, möjliggör en världsomfattande övervakning av enskilda personers rörelser. Det sätt på vilket de redan nu kan bidra till kampen mot olika former av brott, även terrorism, bör vara föremål för en djupgående och heltäckande analys innan man beslutar om att införa en ny form av systematisk avsökning av samtliga personer som lämnar eller anländer till EU med flyg. Europeiska datatillsynsmannen rekommenderar att kommissionen utför en sådan analys som ett nödvändigt steg i lagstiftningsförfarandet.

Sammanfattning

35. Mot bakgrund av ovanstående konstaterar Europeiska datatillsynsmannen sammanfattningsvis följande när det gäller de föreslagna åtgärdernas legimitet. Att utgå ifrån olika databaser utan en övergripande överblick över konkreta resultat och brister — strider mot en rationell lagstiftningspolitik där nya instument inte får antas innan de befintliga instrumenten fullt ut har börjat tillämpas och visat sig vara otillräckliga (21), — kan eventuellt leda till en utveckling i riktning mot ett fullt utvecklat övervakningssamhälle.

36. Kampen mot terrorismen kan utan tvekan vara ett legitimt skäl för att tillämpa undantag från den grundläggande rätten till personlig integritet och skydd av personuppgifter. För att vara giltig måste dock nödvändigheten av intrånget i den enskildes privatliv styrkas av tydliga och obestridliga faktorer och proportionaliteten i behandlingen måste påvisas. Detta krav är så mycket mer ofrånkomligt som intrånget i den enskildes privatliv är omfattande, enligt planerna i förslaget.

37. Det kan bara noteras att denna typ av motiverande inslag saknas i förslaget och att någon kontroll av nödvändighet och proportionalitet inte har genomförts.

38. Europeiska datatillsynsmannen vidhåller att de kontroller av nödvändighet och proportionalitet som ovan angetts är grundläggande. De utgör en nödvändig förutsättning för att förslaget ska kunna träda i kraft. Alla ytterligare påpekande från Europeiska datatillsynsmannen i detta yttrande måste betraktas mot bakgrund av detta inledande villkor.

III. TILLÄMPLIG LAGSTIFTNING – UTÖVANDE AV DEN REGISTRERADES RÄTTIGHETER

Tillämplig lagstiftning

39. Nedanstående analys kommer att vara inriktad på följande tre punkter: — En beskrivning av de olika etapperna i den behandling som planeras i förslaget, i syfte att fastställa den tillämpliga lagstiftningen i varje etapp. — Begränsningar när det gäller tillämpningsområde och den registrerades rättigheter i förslaget till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. — En mer allmän analys av i vilken utsträckning ett instrument i tredje pelaren kan tillämpas på privata aktörer som behandlar uppgifter inom ramen för första pelaren.

Tillämplig lag för de olika etapperna i behandlingen av uppgifter

40. I artikel 11 i förslaget anges det att ”medlemsstaterna ska se till att rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (...) gäller för behandling av personuppgifter i enlighet med detta rambeslut”.

41. Trots denna bestämmelse är det emellertid inte klart i vilken utsträckning rambeslutet om skydd av personuppgifter – ett instrument i tredje pelaren i fördraget om Europeiska unionen – kommer att gälla för de uppgifter som behandlas av flygbolag, samlas in av enheterna för passagerarinformation och används vidare av övriga behöriga myndigheter.

42. Den första etappen i den behandling av personuppgifter som planeras i förslaget utgörs av behandlingen hos flygbolagen, vilka är skyldiga att göra PNR-uppgifter tillgängliga – i princip genom ett sändsystem – för de nationella enheterna för passagerarinformation. Enligt lydelsen i förslaget och dess konsekvensbedömning (22) verkar det som om uppgifter kan överföras i klump från flygbolagen till uppgiftsförmedlarna. Flygbolag verkar främst i en kommersiell omgivning och omfattas av nationell lagstiftning om skydd av personuppgifter för genomförandet av direktiv 95/46/EG (23). Frågor om tillämplig lag kommer att uppstå när de insamlade uppgifterna används för brottsbekämpningssyften (24).

43. Uppgifterna skulle sedan filtreras av en uppgiftsförmedlare (formaterade och med uteslutande av sådana PNR-uppgifter som inte återfinns i förteckningen över de uppgifter som krävs i förslaget) eller skickas direkt till enheterna för passagerarinformation. Uppgiftsförmedlare kan även vara aktörer inom den privata sektorn, t.ex. SITA som verkar på det sättet inom ramen för PNR-avtalet med Kanada.

44. Beträffande enheterna för passagerarinformation, som har ansvar för riskbedömningar av samtliga uppgifter, är det inte klart vilka som ska vara ansvariga för själva behandlingen. Tull- och gränsmyndigheter kan inbegripas men inte nödvändigtvis brottsbekämpande myndigheter.

45. Den därpå följande överföringen av filtrerade uppgifter till de ”behöriga” myndigheterna skulle sannolikt ske inom ramen för brottsbekämpning. I förslaget anges att ”de behöriga myndigheterna endast ska omfatta myndigheter som ansvarar för att förebygga eller bekämpa terroristbrott och organiserad brottslighet”.

46. Under behandlingen i olika etapper där de inblandade aktörerna och det eftersträvade målet slussas vidare kommer det att uppstå en närmare koppling till polissamarbete och straffrättsligt samarbete. I förslaget anges det dock inte uttryckligen exakt vid vilken tidpunkt rambeslutet om skydd av personuppgifter kommer att tillämpas. Lydelsen kan även tolkas så att detta är tillämpligt på hela behandlingen och även på flygbolag (25). Rambeslutet om skydd av personuppgifter innehåller dock några begränsningar.

47. I detta sammanhang ifrågasätter Europeiska datatillsynsmannen principiellt om avdelning VI i EU-fördraget kan tjäna som rättslig grund för rutinmässiga rättsliga skyldigheter och i brottsbekämpningssyfte för aktörer inom den privata sektorn. Dessutom är det en relevant fråga huruvida avdelning VI i EU-fördraget kan tjäna som rättslig grund för offentliga myndigheters rättsliga skyldigheter, vilka i princip står utanför ramen för samarbetet inom brottsbekämpning. Dessa frågor kommer att behandlas längre fram i detta yttrande.

Avgränsningar i rambeslutet om skydd av personuppgifter

48. Förslaget till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete innehåller åtminstone två avgränsningar som är av betydelse när det gäller tillämpningsområdet.

49. För det första är tillämpningsområdet för rambeslutet om skydd av personuppgifter väl definierat i själva rambeslutet: Det är ”endast tillämpligt på uppgifter som de behöriga myndigheterna samlar in eller behandlar för att kunna förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder” (26).

50. För det andra är rambeslutet om skydd av personuppgifter inte avsett att vara tillämpligt på uppgifter som behandlas enbart nationellt utan ska vara begränsat till uppgifter som utbyts mellan medlemsstaterna och som ytterligare överförs till tredjeländer (27).

51. Rambeslutet om skydd av personuppgifter innehåller även några olägenheter jämfört med direktiv 95/46/EG, särskilt ett långtgående undantag till principen om avgränsning av ändamålet. När det gäller denna princip om ändamålet anges det i förslaget tydligt en begränsning av behandlingen till kampen mot terrorism och organiserad brottslighet. Rambeslutet om skydd av personuppgifter ger dock utrymme för ett bredare ändamål beträffande behandlingen. I ett sådant fall bör lex specialis (förslaget) gå före lex generalis (rambeslutet om skydd av personuppgifter) (28). Detta bör uttryckligen framgå av texten i förslaget.

52. Därför rekommenderar Europeiska datatillsynsmannen ett tillägg av följande bestämmelse i förslaget: ”Personuppgifter som överförs av flygbolag i enlighet med detta rambeslut får inte behandlas för andra ändamål är kampen mot terrorism och organiserad brottslighet. De undantag som föreskrivs när det gäller principen om ändamål i rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete är inte tillämpliga”.

53. Sammanfattningsvis noterar Europeiska datatillsynsmannen allvarliga brister i rättssäkerheten när det gäller det system för skydd av uppgifter som ska tillämpas på olika aktörer i projektet och särskilt vad gäller flygbolag och andra aktörer i första pelaren, såväl i fråga om bestämmelserna i förslaget, som rambeslutet om skydd av personuppgifter och den nationella lagstiftningen för genomförandet av direktiv 95/46/EG. Lagstiftaren bör klargöra exakt i vilket skede av behandlingen dessa olika bestämmelser ska vara tillämpliga.

Villkor för tillämpning av bestämmelser i första och i tredje pelaren

54. Europeiska datatillsynsmannen ifrågasätter i grunden det faktum att ett instrument i tredje pelaren skapar rutinmässiga rättsliga skyldigheter och i brottsbekämpningssyfte för privata och offentliga aktörer som i princip står utanför ramen för samarbetet inom brottsbekämpning.

55. En jämförelse kan här göras med följande två andra fall där den privata sektorn varit inbegripen i lagring eller överföringar av uppgifter i brottsbekämpningssammanhang: — Fallet med PNR-uppgifter i Förenta staterna där en systematisk överföring av PNR-uppgifter från flygbolag till de brottsbekämpande myndigheterna föreskrevs. I domstolens dom i fallet om PNR-uppgifter uteslöts en behörighet för gemenskapen att ingå PNR-avtalet. En av motiveringarna var att överföringen av PNR-uppgifter till Förenta staternas tull- och gränsskyddsmyndighet (US CBP) utgjorde uppgiftsbehandling som rör allmän säkerhet och statlig verksamhet på det straffrättsliga området (29). I detta fall var behandlingen av personuppgifter till CBP en systematisk överföring. Det skiljer sig från följande fall: — Allmän lagring av uppgifter av operatörer inom elektronisk kommunikation När det gäller gemenskapens behörighet att fastställa en sådan lagringstid kan en åtskillnad göras i förhållande till fallet med PNR-uppgifter i Förenta staterna, med tanke på att det i direktiv 2006/24/EG (30) endast föreskrivs en lagringsskyldighet och att uppgifterna kvarstår under operatörernas kontroll. Ingen systematisk överföring av uppgifter till de brottsbekämpande myndigheterna är därvid avsedd. Det kan konstateras att så länge som uppgifterna kvarstår under tjänsteleverantörernas kontroll är dessa leverantörer även ansvariga för iakttagandet av skyldigheter avseende skydd av personuppgifter gentemot den registrerade.

56. I det föreliggande förslaget till EU:s system för PNR måste flygbolagen systematiskt tillgängliggöra PNR-uppgifter om samtliga passagerare. Dessa uppgifter överförs dock inte i klump direkt till de brottsbekämpande myndigheterna utan kan skickas till en uppgiftsförmedlare och ska bedömas av en tredje part, vars status fortfarande är oklar, innan de utvalda uppgifterna skickas till de behöriga myndigheterna.

57. Huvuddelen av behandlingen äger rum i en gråzon och har konkreta kopplingar till både den första och den tredje pelaren. Som det framgår i kapitel IV är kvaliteten på de aktörer som behandlar uppgifterna inte klar och tydlig. Flygbolag är självfallet inga myndigheter med ansvar för brottsbekämpning och uppgiftsförmedlarna kan utgöras av aktörer inom den privata sektorn. Även när det gäller enheter för passagerarinformation, som kan vara offentliga myndigheter, måste det betonas att varje offentlig myndighet inte har den kvalitet och den behörighet som behövs för att utföra rutinmässiga brottsbekämpningsuppgifter.

58. Av tradition har det funnits en tydlig åtskillnad mellan brottsbekämpning och verksamhet inom den privata sektorn, varvid brottsbekämpningsuppgifter har utförts av särskilt avdelade myndigheter, särskilt polisen, medan privata aktörer från fall till fall anmodas överföra personuppgifter till dessa brottsbekämpande myndigheter. Det finns nu en tendens att systematiskt kräva samarbete av privata aktörer i brottsbekämpningssyfte, vilket väcker följande fråga om vilken ram för skydd av personuppgifter (första eller tredje pelaren) som är tillämplig på villkoren för detta samarbete: Bör reglerna bygga på kvaliteten på den registeransvarige (privata sektorn) eller på det eftersträvade målet (brottsbekämpning)?

59. Europeiska datatillsynsmannen har redan erinrat om risken för ett kryphål i lagen mellan verksamhet enligt första och tredje pelaren (31). Det är verkligen långt ifrån klart huruvida privata företags verksamhet som på något sätt är kopplad till brottsbekämpning omfattas av insatsområdet för Europeiska unionens lagstiftare i enlighet med artiklarna 30, 31 och 34 i EU-fördraget.

60. Om den allmänna ramen (för första pelaren) inte är tillämplig måste en tjänsteleverantör göra vanskliga åtskillnader inom sina databaser. Enligt det nuvarande systemet är det klart att den registeransvarige måste iaktta samma skydd av personuppgifter gentemot de registrerade oberoende av de ändamål som motiverar lagringen av uppgifterna. En lösning där tjänsteleverantörenas uppgiftsbehandling för olika ändamål skulle omfattas av olika ramar för skydd av personuppgifter bör därför undvikas.

Utövande av den registrerades rättigheter

61. De olika rättsordningar som skulle kunna tillämpas på nationell nivå skulle främst få stor inverkan på den registrerades utövande av sina rättigheter.

62. I ingressen till förslaget anges det att ”information, tillgång till uppgifter, rättelse, radering, blockering, kompensation och rättslig prövning ska gälla enligt rambeslutet”. Detta konstaterande besvarar dock inte frågan om vilken registeransvarig som har till uppgift att besvara den registrerades framställningar.

63. Även om information om behandlingen kan lämnas av flygbolagen är frågan mer komplicerad när det gäller tillgång till eller rättelse av uppgifter. Dessa rättigheter är reellt begränsade enligt rambeslutet om skydd av personuppgifter. Som det konstateras ovan är det problematiskt att en tjänsteleverantör skulle kunna vara tvungen att ge differentierad rätt till tillträde och rättelse för de uppgifter denne förfogar över beroende på det eftersträvade ändamålet (kommersiella ändamål eller brottsbekämpande ändamål). Man kan framföra att dessa rättigheter bör utövas inför enheten för passagerarinformation eller den behöriga myndighet som på annat sätt har utsetts. I förslaget ges det emellertid ingen ytterligare anvisning i detta sammanhang och som tidigare nämnts är det inte heller klart huruvida dessa myndigheter (åtminstone enheterna för passagerarinformation) kommer att utgöra brottsbekämpande myndigheter som anförtrotts förfaranden med begränsat (eventuellt indirekt) tillträde.

64. Även när det gäller enheterna för passagerarinformation riskerar den enskilda personen att bli ställd inför olika mottagare av uppgifter, eftersom uppgifterna reellt överförs till enheten för passagerarinformation från det land där flygningar avgår eller ankommer men eventuellt också från fall till fall till enheterna för passagerarinformation i andra medlemsstater. Dessutom är det möjligt att flera medlemsstater kan upprätta eller utse en enda och gemensam enhet för passagerarinformation. Den registrerade kan i detta fall bli tvungen att överklaga inför en myndighet i en annan medlemsstat. Ännu en gång är det inte klart huruvida nationella regler för skydd av personuppgifter kommer att gälla (dessa förmodas bli harmoniserade inom EU) eller om man måste ta hänsyn till särskild lagstiftning om brottsbekämpning (med tanke på avsaknaden av en övergripande harmonisering på nationell nivå inom tredje pelaren).

65. Denna fråga gäller även tillgång till uppgifter som behandlats av uppgiftsförmedlare, med oklar status, vilka även kan vara gemensamma för flygbolag i olika EU-länder.

66. Europeiska datatillsynsmannen beklagar den osäkerhet som kvarstår när det gäller utövandet av dessa grundläggande rättigheter som den registrerade har. Han betonar att denna situation till stor del beror på att aktörer som inte har brottsbekämpning som huvuduppgift har anförtrotts ett sådant ansvar.

Slutsats

67. Europeiska datatillsynsmannen anser att det bör klargöras i förslaget vilken rättsordning som är tillämplig i olika skeden av behandlingen och närmare anges gentemot vilken aktör eller myndighet som rätt till tillträde och omprövning ska utövas. Europeiska datatillsynsmannen erinrar om att bestämmelserna om skydd av personuppgifter enligt artikel 30.1 b i EU-fördraget bör vara tillämpliga på alla de typer av uppgiftsbehandling som fastställts i förslaget. En enkel hänvisning till rambeslutet om skydd av personuppgifter är inte tillräcklig med tanke på rambeslutets begränsade tillämpningsområde och den begränsning av rättigheter som ingår i detta. Om brottsbekämpande myndigheter är inbegripna bör bestämmelserna i rambeslutet om skydd av personuppgifter åtminstone gälla hela den behandling som planeras i detta beslut för att garantera att principerna för skydd av personuppgifter tillämpas enhetligt.

IV. BESKAFFENHETEN PÅ MOTTAGARNA

68. Europeiska datatillsynsmannen noterar att förslaget inte innehåller någon precisering när det gäller beskaffenheten på mottagarna av de personuppgifter som samlas in av flygbolag, vare sig det gäller uppgiftsförmedlare, enheter för passagerarinformation eller behöriga myndigheter. Det måste understrykas att beskaffenheten på mottagaren har ett direkt samband med de garantier för skydd av personuppgifter som gäller denna mottagare. Skillnaden mellan de garantier som tillhandahålls särskilt genom bestämmelserna i första och tredje pelaren har redan nämnts. Det är av avgörande betydelse att tillämplig ordning står klar för alla berörda aktörer, inbegripet nationella regeringar, organ för brottsbekämpning, dataskyddsmyndigheter och berörda registeransvariga och registrerade.

Uppgiftsförmedlare

69. I förslaget finns det ingen angivelse när det gäller beskaffenheten på uppgiftsförmedlarna (32). Det anges inte heller något närmare om uppgiftsförmedlarnas roll som registeransvariga eller uppgiftsbehandlare. Av erfarenheten av döma verkar det som om en enhet inom privata sektorn, ett enhet för system med datoriserad bokning eller någon annan enhet, mycket väl kan anförtros uppgiften att samla PNR-uppgifter direkt från flygbolagen för att omdirigera dem till enheter för passagerarinformation. På detta sätt behandlas uppgifter i enlighet med PNR-avtalet med Kanada. SITA (33) är det bolag som har ansvar för uppgiftsbehandlingen. Uppgiftsbehandlarens roll är avgörande, eftersom denne kan ha ansvar för filtreringen och omformateringen av uppgifter som översänds i klump av flygbolagen (34). Även om uppgiftsförmedlarna är skyldiga att förstöra de behandlade uppgifterna när de väl har överförts till enheterna för passagerarinformation är själva uppgiftsbehandlingen ytterst känslig. En följd av uppgiftsförmedlarnas insats är skapandet av ytterligare en databas som innehåller stora mängder uppgifter, enligt förslaget t.o.m. känsliga uppgifter (uppgiftsförmedlarna är då skyldiga att radera dessa känsliga uppgifter). På grund av detta rekommenderar Europeiska datatillsynsmannen att inga uppgiftsförmedlare ska vara inblandade i behandlingen av passageraruppgifter om kvaliteten på dem och deras uppgifter inte strikt specificeras.

Enheter för passagerarinformation

70. Enheterna för passagerarinformation spelar en avgörande roll genom att identifiera personer som är eller kan vara inblandade i terrorism eller organiserad brottslighet. Enligt förslaget kommer de att vara ansvariga för att ta fram riskindikatorer och tillhandahålla underrättelser om resvanor (35). Om riskbedömningen grundar sig på standardiserade resvanor och inte på sakliga bevis kopplade till ett konkret fall kan denna analys betraktas som förebyggande utredning. Europeiska datatillsynsmannen betonar att denna typ av behandling i princip är strängt reglerad i medlemsstaternas lagstiftning (om den inte är förbjuden) och att den är en uppgift för särskilda offentliga mydigheter, vilkas funktion även är strängt reglerad.

71. Enheterna för passagerarinformation har därför anförtrotts en mycket känslig uppgiftsbehandling utan att det i förslaget ges några närmare uppgifter om deras beskaffenheten och de villkor enligt vilka de ska utöva denna behörighet. Även om det är sannolikt att denna uppgift kommer att utföras av ett statligt organ, eventuellt tullen eller gränskontrollmyndigheter, finns det i förslaget inte något uttryckligt hinder för medlemsstaterna att låta underrättelseorgan eller t.o.m. vilken registerförare som helst, utföra uppgiften. Europeiska datatillsynsmannen betonar det faktum att den öppenhet och de garantier som gäller underrättelseorgan inte alltid är desamma som tillämpas för traditionella brottsbekämpande myndigheter. Närmare uppgifter om beskaffenheten på enheterna för passagerarinformation är av avgörande betydelse, eftersom denna innebär direkta följder för den rättsliga ram som ska tillämpas och för villkoren för övervakningen. Europeiska datatillsynsmannen anser att det måste ingå ytterligare en bestämmelse i förslaget där särdragen för enheterna för passagerarinformation närmare anges.

Behöriga myndigheter

72. Det framgår av artikel 4 i förslaget att alla myndigheter med ansvar för att förebygga eller bekämpa terroristbrott och organiserad brottslighet kan vara mottagare för uppgifterna. Målsättningen har tydligt definierats medan beskaffenheten på myndigheten saknas. Förslaget innehåller inte någon avgränsning av mottagarna till brottsbekämpande myndigheter. Som det nämndes ovan i samband med enheterna för passagerarinformation är det av avgörande betydelse att känsliga uppgifter behandlas i ett sammanhang som förfogar över en tydlig rättslig ram. Så är fallet i högre grad t.ex. när det gäller brottsbekämpande myndigheter än när det gäller underrättelseorgan. Med tanke på inslag av det hämtande av uppgifter och den förebyggande forskning som ingår i förslaget kan det inte uteslutas att sådana underrättelseorgan kan ta del av uppgiftsbehandlingen, utan att man utesluter några andra myndigheter.

Slutsats

73. Som en allmän synpunkt noterar Europeiska datatillsynsmannen att verkställigheten av ett system för PNR inom EU blir ännu svårare med tanke på att de brottsbekämpande myndigheterna har olika behörighet beroende på medlemsstaternas nationella lagstiftning, där underrättelseverksamhet, myndigheter för skatter och invandring eller polisen ibland ingår, ibland inte. Detta är emellertid ytterligare ett skäl till att rekommendera att förslaget måste vara mycket mera exakt när det gäller beskaffenheten hos de nämnda aktörerna och de garantier som ges för att övervaka fullgörandet av deras uppgifter. Ytterligare bestämmelser kan införlivas i förslaget för att strikt specificera behörighet och rättsliga skyldigheter för uppgiftsförmedlare, enheter för passagerarinformation och andra behöriga myndigheter.

V. VILLKOR FÖR ÖVERFÖRANDE TILL TREJDELÄNDER

74. I förslaget föreskrivs det vissa skyddsåtgärder när det gäller överföringen av PNR-uppgifter till tredjeländer (36) Det anges uttryckligen i förslaget att rambeslutet om skydd av personuppgifter ska tillämpas för överföringar av uppgifter, det föreskrivs en särskild begränsning av ändamålet och det fastställs ett behov av medgivande från medlemsstaten när det är fråga om en vidarebefordran. Överföringen bör även vara förenlig med den berörda medlemsstatens nationella lagstiftning och tillämpliga internationella avtal.

75. Många frågor kvarstår dock, särskilt när det gäller arten av medgivandet, villkoren för tillämpningen av rambeslutet om skydd av personuppgifter och frågan om ”ömsesidighet” vid överföring av uppgifter till tredjeländer.

Arten av medgivandet

76. Ursprungsmedlemsstaten måste lämna sitt uttryckliga samtycke till en vidarebefordran av uppgifter från ett tredjeland till ett annat tredjeland. I förslaget anges det inte närmare på vilka villkor och av vem detta samtycke ska ges, inte heller huruvida de nationella dataskyddsmyndigheterna bör vara engagerade i beslutet. Europeiska datatillsynsmannen anser att det sätt som samtycket ges på åtminstone måste överensstämma med de nationella lagar i vilka det fastställs villkor för överföring av uppgifter till tredjeländer.

77. Dessutom bör inte en medlemsstats medgivande gå före principen att mottagarlandet måste tillgodose en tillräcklig skyddsnivå för behandlingen. Dessa villkor bör vara kumulativa liksom de är det i rambeslutet om skydd av personuppgifter (artikel 14). Därför föreslår Europeiska datatillsynsmannen ett tillägg av ett led c till artikel 8.1 med följande lydelse ”och c) Tredjestaten ska säkerställa en tillräcklig skyddsnivå för den planerade uppgiftsbehandlingen”. Europeiska datatillsynsmannen erinrar i detta sammanhang att mekanismerna för att garantera gemensamma normer och samordnade beslut om adekvat skydd måste ha införts (37).

Tillämpning av rambeslutet om skydd av personuppgifter

78. I förslaget hänvisas det till de villkor och garantier som föreskrivs i rådets rambeslut om skydd av personuppgifter samtidigt som det uttryckligen anges vissa villkor, särskilt det ovan nämnda samtycket av den berörda medlemsstaten och en begränsning av ändamålet till att förebygga och bekämpa terroristbrott och organiserad brottslighet.

79. I själva rambeslutet om skydd av personuppgifter anges villkor för överföring av personuppgifter till tredjeländer, dvs. när det gäller begränsning av ändamålet, typen av mottagare, den berörda medlemsstatens samtycke och principen om adekvat skydd. I förslaget fastställs även undantag från dessa villkor för överföring: att legitima faktiska intressen, främst viktiga offentliga intressen, kan utgöra en tillräcklig grund för överföring även om de villkor som förtecknats ovan inte är uppfyllda.

80. Som tidigare nämnts i kapitel III i detta yttrande anser Europeiska datatillsynsmannen att det i förslaget klart måste anges att de mer exakta garantierna i förslaget går före de allmänna villkoren – och undantagen – i rambeslutet om skydd av personuppgifter, när dessa är tillämpliga.

Reciprocitet

81. I förslaget behandlas frågan om eventuella ”mot framställningar” från länder som kan begära PNR-uppgifter från EU om flygningar från EU till deras eget territorium. När EU begär uppgifter från databaser hos flygbolag i sådana tredjeländer, eftersom dessa upprätthåller flyglinjer till och från EU, kan ett sådant tredjeland begära motsvarande uppgifter från flygbolag som är etablerade i EU, och även uppgifter om EU-medborgare. Kommissionen räknar med denna eventualitet trots att den anser den ”mycket avlägsen”. I detta avseende hänvisas det i förlaget till att avtalen med Förenta staterna och med Kanada förekommer ömsesidig hantering ”genom direktåtkomstmetoden” (38) Europeiska datatillsynsmannen ifrågasätter betydelsen av en sådan automatisk ömsesidighet och tillämpningen av garantier för sådana överföringar, särskilt när man beaktar förekomsten av ett adekvat skydd i det berörda landet.

82. Man bör göra en åtskillnad mellan de tredjeländer som redan har ingått ett avtal med EU och de länder som inte har något sådant avtal.

Länder som saknar avtal med EU

83. Europeiska datatillsynsmannen noterar att reciprocitet kan leda till att personuppgifter överförs till länder där inga garantier kan lämnas i form av demokratiska normer och en adekvat skyddsnivå för uppgifter.

84. I konsekvensbedömningen anges ytterligare detaljer kring villkoren för överföring av personuppgifter till tredjeländer genom att man lyfter fram fördelarna med EU:s system för PNR-uppgifter, där uppgifter filtreras av enheter för passagerarinformation. Endast utvalda uppgifter om misstänkta personer (och inte grovdata) ska överföras till medlemsstaternas behöriga myndigheter och sannolikt även till tredjeländer (39). Europeiska datatillsynsmannen rekommenderar att denna punkt klargörs i förslagstexten. Bara ett konstaterande i konsekvensbedömningen ger inte det nödvändiga skyddet.

85. Även om ett urval av uppgifter skulle bidra till att reducera inverkan på passagerarnas integritet måste det erinras om att principerna för skydd av personuppgifter innebär så mycket mer än en uppgiftsbegränsning och omfattar principer om nödvändighet, insyn och utövande av de registrerades rättigheter, principer som alla bör beaktas när man fastställer huruvida ett tredjeland kan säkerställa en adekvat skyddsnivå.

Länder som har ett bilateralt avtal med EU

86. I konsekvensbedömningen fastställs det att behandlingen kommer att ge EU möjlighet ”att framhålla vissa normer och att säkerställa enhetlighet i sådana bilaterala avtal med tredjeländer. Den kommer också att göra det möjligt att begära ömsesidig hantering av de tredjeländer med vilka EU har ett avtal, någonting som inte är möjligt i nuläget” (40).

87. Utgående från dessa iakttagelser uppkommer frågan om förslagets inverkan på de befintliga avtalen med Kanada och Förenta staterna. Villkoren för tillgång till uppgifter i dessa avtal är förvisso mycket mer generella eftersom uppgifterna inte är föremål för något liknande urval innan de överförs till dessa tredjeländer.

88. I konsekvensbedömningen konstateras det att ”i de fall då EU har ett internationellt avtal med ett tredjeland om utbyte/överföringar av PNR-uppgifter till ett sådant tredjeland ska dessa avtal noga beaktas. Flygbolagen ska skicka PNR-uppgifter till enheterna för passagerarinformation i enlighet med det normala förfarandet enligt denna åtgärd. Den enhet för passagerarinformation som erhåller sådana uppgifter ska överföra dem till den behöriga myndigheten i det tredjeland med vilket ett sådant avtal föreligger” (41).

89. Samtidigt som syftet med förslaget å ena sidan verkar vara att överföra endast utvalda uppgifter till de behöriga myndigheterna, inom eller utanför EU, erinras det å andra sidan i ingressen till förslaget (skäl 21) och i själva artikel 11 om att befintliga avtal noga ska beaktas. Detta kan eventuellt leda till slutsatsen att filtrering endast är en giltig åtgärd för de avtal som kommer att ingås i framtiden. Mot denna bakgrund kan det fastslås att tillgång till alla uppgifter fortfarande kommer att utgöra regel för tillgång för t.ex. Förenta staternas myndigheter till PNR-uppgifter i enlighet med avtalet mellan EU och Förenta staterna, men jämsides med detta och från fall till fall kan en överföring av uppgifter till Förenta staterna ske av de särskilda uppgifter som fastställts av enheterna för passagerarinformation i vilka uppgifter beträffande flygningar till USA ingår, men inte är begränsade till dessa.

90. Europeiska datatillsynsmannen beklagar att det i förslaget saknas klarhet på denna avgörande punkt. Han anser att det är ytterst viktigt att villkoren för överföring av PNR-uppgifter till tredjeländer är enhetliga och håller en harmoniserad skyddsnivå. Dessutom bör av rättssäkerhetsskäl preciseringar när det gäller garantier för överföringar av uppgifter ingå i själva förslaget och inte endast i konsekvensbedömningen, vilket nu är fallet.

VI. ANDRA KONKRETA PUNKTER

Automatisk databehandling

91. Europeiska datatillsynsmannen noterar att det uttryckligen anges i förslaget att inga brottsbekämpande åtgärder får vidtas av medlemsstaternas enheter för passagerarinformation eller behöriga myndigheter uteslutande på grundval av automatisk databehandling av PNR-uppgifter eller på grund av en persons ras, etniska ursprung, religiösa eller filosofiska övertygelse, politiska åskådning eller sexuella läggning (42).

92. En sådan precisering är positiv eftersom den minskar riskerna för godtyckliga åtgärder mot enskilda personer. Datatillsynsmannen noterar emellertid att tillämpningsområdet är begränsat till brottsbekämpande åtgärder som vidtas av enheter för passagerarinformation eller behöriga myndigheter. I den nuvarande lydelsen utesluts inte automatisk filtrering av enskilda personer enligt standardprofiler och den förhindrar inte heller ett automatisk upprättande av förteckningar över misstänkta personer eller vidtagande av åtgärder t.ex. utvidgad övervakning, så länge som dessa åtgärder inte betraktas som brottsbekämpande åtgärder.

93. Europeiska datatillsynsmannen anser att begreppet brottsbekämpande åtgärder är för vagt och att i princip inga beslut bör fattas när det gäller enskilda personer endast till följd av en atutomatisk databehandling av deras uppgifter (43). Europeiska datatillsynsmannen rekommenderar att texten ändras i enlighet härmed.

Uppgifternas art

94. I artikel 5.2 anges det i förslaget en viktig precisering eftersom det klargörs att flygbolagen inte åläggs någon skyldighet att samla in eller lagra uppgifter utöver dem som samlats in för de ursprungliga kommersiella ändamålen.

95. Följande aspekter på behandlingen av dessa uppgifter kräver fortfarande ytterligare kommentarer: — De uppgifter som ska göras tillgängliga enligt förteckningen i bilaga 1 till förslaget är mycket omfattande och förteckningen liknar den uppgiftsförteckning som Förenta staternas myndigheter har tillgång till enligt avtalet mellan EU och Förenta staterna. Arten av vissa av de begärda uppgifterna har redan infrågasatts vid flera tillfällen av dataskyddsmyndigheterna och även av artikel 29-gruppen (44). — Enligt lydelsen i konsekvensbedömningen (45) och i artikel 6.3 i förslaget verkar det som om uppgifter kan överföras i klump från flygbolagen till uppgiftsförmedlarna. I ett första skede skulle uppgifter som överförs till tredje part inte ens begränsas vad gäller beaktande av de PNR-uppgifter som är förtecknade i bilaga 1 i förslaget. — När det gäller behandling av känsliga uppgifter kvarstår frågan huruvida flygbolagens överföring av öppna fält är absolut nödvändig, även om dessa uppgifter eventuellt kan filtreras bort under uppgiftsförmedlarnas etapp. Europeiska datatillsynsmannen stöder de påpekanden som gjordes i artikel 29-gruppens yttrande i detta sammanhang.

Metod för överföring av PNR-uppgifter

96. Flygbolag som är etablerade utanför EU är skyldiga att sända uppgifter till enheterna för passagerarinformation eller uppgiftsförmedlarna så länge som de besitter den tekniska struktur som krävs. I annat fall kommer de att vara tvungna att tillåta hämtningar av information genom direktåtkomstmetoden.

97. Att tillåta olika metoder för lämnandet av uppgifter beroende på vilka flygbolag det gäller kommer bara att leda till flera svårigheter när det gäller kontrollen av hur väl överföringen av PNR-uppgifter överensstämmer med reglerna för skydd av personuppgifter. Detta riskerar även att snedvrida konkurrensen mellan EU-flygbolag och flygbolag från länder utanför EU.

98. Europeiska datatillsynsmannen erinrar om att sändmetoden, vilken gör det möjligt för flygbolag att behålla kontrollen över arten av de överförda uppgifterna och de förhållanden som har samband med överföringar, är den enda metod som kan tillåtas med tanke på proportionaliteten i behandlingen. Dessutom måste den innebära av en effektiv sändning, det vill säga uppgifterna bör inte sändas i klump till en uppgiftsförmedlare utan filtreras i det allra första skedet av behandlingen. Man kan inte tillåta att överflödiga uppgifter – eller de uppgifter som ingår i bilaga 1 i förslaget – skickas till tredje part, även om dessa uppgifter omedelbart raderas av denna tredje part.

Bevarande av uppgifter

99. I artikel 9 i förslaget föreskrivs det en lagringstid på fem år för PNR-uppgifter, med ytterligare en åttaårsperiod under vilken uppgifterna ska bevaras i en vilande databas som kommer att vara tillgänglig på särskilda villkor.

100. Europeiska datatillsynsmannen ifrågasätter skillnaden mellan dessa två typer av databaser. Man kan ifrågasätta huruvida den vilande databasen utgör ett verkligt arkiv, med avvikande metoder för lagring och återvinning av uppgifter. De flesta av de villkor som tillämpas för tillgången till den vilande databasen består i själva verket av säkerhetskrav som även skulle kunna tillämpas för databasen med en lagringstid på fem år.

101. Lagringens totala varaktighet – dvs. 13 år – är under alla omständigheter orimlig. Den motiveras i konsekvensbedömningen med behovet av att ta fram riskindikatorer och fastställa rese- och beteendemönster (46), men effektiviteten av detta behöver ytterligare styrkas. Samtidigt som det är uppenbart att uppgifter kan lagras så länge det är nödvändigt i ett särskilt fall där utredningen pågår kan ingen motivering stödja lagringen av uppgifter för alla de passagerare som inte misstänks för något i 13 års tid.

102. Europeiska datatillsynsmannen noterar att denna lagringstid inte har fått något stöd i medlemsstaternas svar på kommissionens frågeformulär, enligt vilket den genomsnittliga varaktigheten av den lagring som krävs skulle vara 3,5 år (47).

103. Dessutom kan perioden på 13 år jämföras med bevarandetiden på 15 år i det senaste avtalet med Förenta staterna. Europeiska datatillsynsmannen har alltid uppfattat detta så att man enades om denna långa lagringstid till följd av starka påtryckningar från Förenta staternas regering för att få en mycket längre period än 3,5 år, inte på grund av att detta i något skede fick stöd från rådet eller kommissionen. Det finns inte någon orsak att införliva en sådan kompromiss – som bara kan motiveras som ett nödvändigt resultat av förhandlingar – i ett rättsligt instrument inom själva EU.

Roll för kommittén med företrädare för medlemsstaterna

104. Kommittén med företrädare för medlemsstaterna, som inrättats i enlighet med artikel 14 i förslaget, kommer att vara behörig när det gäller säkerhetsfrågor, bl.a. protokoll och kryptering för PNR-uppgifter, men också när det gäller vägledning för gemensamma allmänna kriterier, metoder och praxis i samband med riskbedömning.

105. Förutom dessa indikationer innehåller förslaget inga inslag eller kriterier i fråga om konkreta villkor och ramar för riskbedömningsprocessen. I konsekvensbedömningen anges det att kriterierna i sista hand kommer att vara beroende av de underrättelser som varje medlemsstat förfogar över, vilka hela tiden förändras. Riskbedömningen kommer att genomföras utan en enhetlig norm för identifiering av misstänkta. Omfattningen av den roll som medlemsstaternas kommitté kommer att kunna spela förefaller alltså diskutabel.

Säkerhet

106. Det anges i förslaget en rad säkerhetsåtgärder (48) som ska vidtas av enheterna för passagerarinformation, uppgiftsförmedlarna och andra behöriga myndigheter för att skydda uppgifterna. Med tanke på hur viktig databasen är och hur känslig behandlingen är anser Europeiska datatillsynsmannen att den enhet som behandlar uppgifterna förutom att ansvara för dessa planerade åtgärder även bör vara skyldig att anmäla varje brott mot säkerheten.

107. Europeiska datatillsynsmannen är medveten om projektet att upprätta ett sådant anmälningsförfarande inom sektorn för elektronisk kommunikation på europeisk nivå. Datatillsynsmannen rekommenderar att ett skydd av nämnda slag ska införas i förslaget och hänvisar i detta sammanhang till det system för brister i säkerheten som upprättats i Förenta staterna när det gäller statliga organ (49). Säkerhetstillbud kan förvisso inträffa på alla verksamhetsområden, både inom den privata och den offentliga sektorn, vilket den brittiska administrationens förlust av en hel befolkningsdatabas som inträffade helt nyligen har visat (50). Stora databaser i stil med den som planeras i förslaget borde ligga högst uppe på en prioriteringslista för att dra nytta av ett sådant varningssystem.

Översyn och bortre tidsgräns

108. Europeiska datatillsynsmannen noterar att en översyn på grundval av en rapport från kommissionen kommer att äga rum inom tre år efter det att rambeslutet har trätt i kraft. Han uppskattar det faktum att särskild uppmärksamhet i denna översyn, som grundar sig på information från medlemsstaterna, kommer att ägnas åt uppgiftsskyddsgarantier och att man i översynen kommer att ta upp införandet av ”sändmetoden”, lagringen av uppgifter och kvaliteten på riskbedömningen. För att vara heltäckande bör en sådan översyn inbegripa resultaten av en analys av de statistiska uppgifter som framställts på grundval av behandlingen av PNR-uppgifter. Förutom de inslag som nämns i artikel 18 i förslaget bör denna statistik inbegripa närmare uppgifter om identifieringen av högriskpersoner, t.ex. kriterierna för denna identifiering och de konkreta resultaten av varje brottsbekämpande åtgärd som är resultatet av identifieringen.

109. I detta yttrande har Europeiska datatillsynsmannen redan påpekat att det saknas konkreta faktorer för att fastställa att det föreslagna systemet är nödvändigt. Han anser dock att om rambeslutet träder i kraft bör det åtminstone kompletteras med en tidsfristklausul. Vid utgången av treårsperioden bör rambeslutet upphävas om det saknas stöd för dess upprätthållande.

Konsekvenser i fråga om andra rättsliga instrument

110. I förslagets slutbestämmelser anges det ett villkor för en fortsatt tillämpning av befintliga bilaterala eller multilaterala avtal eller ordningar. Dessa instrument kan endast tillämpas i den utsträckning som dessa är förenliga med målen i förslaget till detta rambeslut.

111. Europeiska datatillsynsmannen ifrågasätter tillämpningsområdet för denna bestämmelse. Som det redan nämndes i kapitel V under rubriken reciprositet är det inte klart vilka följder denna bestämmelse kommer att få för innehållet i avtal med tredjeländer, t.ex. avtalet med Förenta staterna. Sett ur en annan synvinkel är det inte heller klart huruvida denna bestämmelse kan få några följder för villkoren för tillämpning av instrument med ett vidare tillämpningsområde, t.ex. Europarådets konvention nr 108. Även om detta kan verka osannolikt mot bakgrund av institutionella skillnader och de olika berörda aktörerna bör varje risk för feltolkning undvikas och det bör klargöras i förslaget att detta inte får några konsekvenser för instrument med ett vidare tillämpningsområde, särskilt de vilkas ändamål är att skydda grundläggande rättigheter.

VII. SLUTSATS

112. Europeiska datatillsynsmannen betonar den stora inverkan på skyddet av personuppgifter som det aktuella förslaget har. I sin analys har datatillsyningsmannen koncentrerat sig på fyra grundläggande frågor som förslaget ger upphov till och han betonar att dessa frågor måste lösas på ett övergripande sätt. Under nuvarande förhållanden är förslaget inte förenligt med de grundläggande rättigheterna, och särskilt inte med artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, och bör inte antas.

113. I händelse man efterkommer påpekandena ovan, särskilt laglighetsprövningen, finns det vissa förslag till lydelse i detta yttrande som bör beaktas av lagstiftaren. Särskilt hänvisas till punkterna 67, 73, 77, 80, 90, 93, 106, 109 och 111 i yttrandet.

Lagenligheten i de föreslagna åtgärderna

114. Det allmänna målet att bekämpa terrorism och organiserad brottslighet är i sig självt tydligt och legitimt, men kärnan i den hantering som ska införas inte är tillräckligt avgränsad och motiverad.

115. Europeiska datatillsynsmannen anser att metoder som består av riskbedömning av enskilda personer genom att använda verktyg för att hämta uppgifter och beteendemönster ytterligare behöver utvärderas samt att man klart måste fastställa nyttan av dessa inom kampen mot terrorism innan de används i större utsträckning.

116. Att utgå ifrån olika databaser utan en samlad överblick över konkreta resultat och brister — strider mot en rationell lagstiftningspolitik där nya instument inte får antas innan de befintliga instrumenten har införts fullt ut och visat sig vara otillräckliga, — kan eventuellt leda till en utveckling i riktning mot ett fullt utvecklat övervakningssamhälle.

117. Kampen mot terrorismen kan utan tvekan vara ett legitimt skäl för att tillämpa undantag från den grundläggande rätten till personlig integritet och skydd av personuppgifter. För att vara giltig måste dock nödvändigheten av intrånget i den enskildes integritet styrkas av tydliga och obestridliga faktorer och proportionaliteten i behandlingen måste påvisas. Detta krav är så mycket mer ofrånkomligt som intrånget i den enskildes integritet är omfattande, enligt planerna i förslaget.

118. Dessa motiveringsinslag saknas i förslaget och ingen kontroll av nödvändighet och proportionalitet har genomförts.

119. Europeiska datatillsynsmannen vidhåller hur grundläggande de kontroller av nödvändighet och proportionalitet som angetts ovan är. De utgör en nödvändig förutsättning för att förslaget ska kunna träda i kraft.

Tillämplig rättslig ram

120. Europeiska datatillsynsmannen noterar allvarliga brister i rättssäkerheten när det gäller det system som ska tillämpas på olika aktörer i projektet och särskilt vad gäller flygbolag och andra aktörer i första pelaren, vare sig det gäller bestämmelserna i förslaget, rambeslutet om skydd av personuppgifter eller den nationella lagstiftningen för genomförandet av direktiv 95/46/EG. Lagstiftaren bör klargöra i vilka skeden av behandlingen dessa olika bestämmelser ska vara tillämpliga.

121. Den nuvarande tendensen att systematiskt kräva samarbete av privata aktörer i brottsbekämpningssyfte väcker frågan vilken ram för skydd av personuppgifter (första eller tredje pelaren) som är tillämplig på villkoren för detta samarbete eftersom det inte är klart huruvida reglerna bör bygga på beskaffenheten hos den registeransvarige (privata sektorn) eller på det eftersträvade målet (brottsbekämpning).

122. Europeiska datatillsynsmannen har redan betonat risken för ett kryphål i lagen mellan verksamhet enligt första och tredje pelaren (51). Det är verkligen långt ifrån klart huruvida privata företags verksamhet som på något sätt är kopplad till brottsbekämpning omfattas av insatsområdet för Europeiska unionens lagstiftare i enlighet med artiklarna 30, 31 och 34 i EU-fördraget.

123. En lösning där tjänsteleverantörenas uppgiftsbehandling för olika ändamål skulle omfattas av olika ramar för skydd av personuppgifter bör undvikas, särskilt med tanke på de svårigheter detta skulle skapa i fråga om utövandet av den registrerades rättigheter.

Typ av mottagare

124. Förslaget bör innehålla en precisering när det gäller typ av mottagare av de personuppgifter som samlas in av flygbolag, oberoende av om det gäller uppgiftsförmedlare, enheter för passagerarinformation eller behöriga myndigheter.

125. Typen av mottagarna, vilka i vissa fall kan vara aktörer inom den privata sektorn, har ett direkt samband med de garantier för skydd av personuppgifter som gäller dessa mottagare. Det är av avgörande betydelse att tillämplig rättsordning står klar för alla berörda aktörer, inbegripet lagstiftaren, dataskyddsmyndigheter och berörda registeransvariga och registrerade.

Överföringar av uppgifter till tredjeländer

126. Europeiska datatillsynsmannen betonar behovet av att se till att mottagarlandet erbjuder en adekvat skyddsnivå. Han ifrågasätter också betydelsen av den ömsesidighetsprincip som nämns i förslaget och hur den ska tillämpas när det gäller de länder som redan är bundna av ett avtal med EU, t.ex. Kanada eller Förenta staterna. Han anser att det är ytterst viktigt att villkoren för överföring av PNR-uppgifter till tredjeländer är enhetliga och håller en harmoniserad skyddsnivå.

Andra konkreta punkter

127. Datatillsynsmannen vill även uppmärksamma lagstiftaren på vissa aspekter i förslaget som ytterligare bör preciseras eller där principen om skydd av uppgifter bör beaktas bättre. Detta gäller särskilt följande: — Villkoren för hur automatiska beslut kan fattas bör sättas snävare. — Man bör begränsa mängden uppgifter som ska behandlas. — Överföringen av uppgifter bör endast bygga på sändmetoden. — Lagringstiden för uppgifter anses alltför lång och saknar grund. — Rollen för kommittén med företrädare för medlemsstaterna skulle kunna vara bättre definierad när det gäller riktlinjerna för ”riskbedömningen”. — Säkerhetsåtgärderna bör omfatta ett förfarande för ”anmälan av brister i säkerheten”. — I översynen av beslutet bör en tidsfristklausul ingå. — Det bör klart framgå av förslaget att detta inte får några konsekvenser i fråga om instrument med ett vidare tillämpningsområde, vilkas ändamål är just att skydda de grundläggande rättigheterna.

Avslutande påpekanden

128. Europeiska datatillsynsmannen noterar att det aktuella förslaget har lagts fram vid en tidpunkt då Europeiska unionens institutionella struktur håller på att förändras i grunden. Lissabonfördraget kommer att få genomgripande konsekvenser för beslutsfattandet, särskilt i fråga om parlamentets roll.

129. Med tanke på förslagets okända följder för de grundläggande rättigheterna rekommenderar Europeiska datatillsynsmannen att man inte antar det inom ramen för det nuvarande fördraget, utan ser till att det följer det medbeslutandeförfarande som föreskrivs i det nya fördraget. Detta skulle förstärka den rättsliga grunden för vidtagande av de kraftfulla åtgärder som anges i förslaget.

(1) EGT L 281, 23.11.1995, s. 31.

(2) EGT L 8, 12.1.2001, s. 1.

(3) Bland andra medlemsstaterna, dataskyddsmyndigheter och flygbolagens organisationer. Detta frågeformulär upprättades inför utarbetandet av en konsekvensbedömning från Europeiska kommissionen om detta förslag.

(4) Avtal mellan Europeiska unionen och Amerikas förenta stater om lufttrafikföretags behandling av passageraruppgifter och överföring av dessa till Förenta staternas Department of Homeland Security (DHS) (2007 års PNR-avtal) (EUT L 204, 4.8.2007, s. 18).

(5) Avtal mellan Europeiska gemenskapen och Kanada om behandling av förhandsinformation om passagerare och passageraruppgifter (EUT L 82, 21.3.2006, s. 15).

(6) Rådets direktiv 2004/82/EG av den 29 april 2004 om skyldighet för transportörer att lämna uppgifter om passagerare (EUT L 261, 6.8.2004, s. 24).

(7) Det senaste utkastet till detta förslag är tillgängligt i rådets register som dokument 16397/07.

(8) Gemensamt yttrande om förslaget till rådets rambeslut om användande av passageraruppgifter (PNR-uppgifter) i brottsbekämpningssyfte, framlagt av kommissionen den 6 november 2007, vilket artikel 29-gruppen antog den 5 december 2007 och arbetsgruppen om polis och rättsväsende den 18 december 2007, WP 145, WPPJ 01/07.

(9) Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter av den 28 januari 1981.

(10) Motiveringen i förslaget, kapitel I.

(11) Konsekvensbedömningen, kapitel 2.1 ”Problembeskrivning”.

(12) Denna definition är hämtad ur en färsk studie i profilering inom Europarådet: L'application de la Convention 108 au mécanisme de profilage, Eléments de réflexion destinés au travail futur du Comité consultatif (T-PD), Jean-Marc Dinant, Christophe Lazaro, Yves Poullet, Nathalie Lefever, Antoinette Rouvroy, november 2007 (ännu inte offentliggjord). Se även Lee Bygraves definition: ”Generally speaking, profiling is the process of inferring a set of characteristics (typically behavioural) about an individual person or collective entity and then treating that person/entity (or other persons/entities) in the light of these characteristics. As such, the profiling process has two main components: (i) profile generation – the process of inferring a profile; (ii) profile application – the process of treating persons/entities in light of this profile”. L. A. BYGRAVE, Minding the machine: Article 15 of the EC Data Protection Directive and Automated Profiling, Computer Law & Security Report, 2001, vol. 17, pp. 17–24,

http://www.austlii.edu.au/au/journals/PLPR/2000/40.html

(13) Rotaru mot Rumanien, nr 28341/95, punkterna 50, 52 och 55.

Se även Amann mot Schweiz, nr 27798/95, punkt 50 et s.

(14) Kapitel 2.1, ”Problembeskrivning”.

(15) Se t.ex. en rapport från Förenta staternas riksrevisionsverk till frågeställare i kongressen i maj 2007, ”Aviation Security: Efforts to Strengthen International Passenger Prescreening are Under Way, but Planning and Implementation Issues remain”,

http://www.gao.gov/new.items/d07346.pdf

(16) Enligt artikel 9 i konvention nr 108 ska ”undantag från bestämmelserna i artikel 5, 6 och 8 i denna konvention tillåtas om detta undantag föreskrivs i lag och om det i ett demokratiskt samhälle är en nödvändig åtgärd med hänsyn till att

1. skydda statens säkerhet, den allmänna säkerheten, statens penningpolitiska intressen eller för att bekämpa brottslighet,

2. skydda den registrerade personen eller andra personers rättigheter och friheter”.

(17) Rådets beslut 2004/512/EG av den 8 juni 2004 om inrättande av Informationssystemet för viseringar (VIS) (EUT L 213, 15.6.2004, s. 5). Förslag till Europaparlamentets och rådets förordning om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse, KOM(2004) 835 slutlig. Förslag till rådets beslut om möjlighet till sökningar i informationssystemet för viseringar (VIS) för medlemsstatsmyndigheter med ansvar för intern säkerhet och för Europol för att förhindra, upptäcka och utreda terroristbrott och andra grova brott, KOM(2005) 600 slutlig.

(18) Se särskilt rådets beslut 2007/533/RIF av den 12 juni 2007 om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) (EUT L 205, 7.8.2007).

(19) I denna fråga se Europeiska datatillsynsmannens yttrande om förslaget till rådet beslut om möjlighet till sökningar i informationssystemet för viseringar (VIS) för medlemsstatsmyndigheter med ansvar för intern säkerhet och för Europol för att förhindra, upptäcka och utreda terroristbrott och andra grova brott (KOM(2005) 600 slutlig) (EUT C 97, 25.4.2006, s. 6).

(20) Se Europeiska datatillsynsmannens yttranden om Prümbesluten: Yttrande av den 4 april 2007 om initiativet från 15 medlemsstater inför antagandet av rådets beslut om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (EUT C 169, 21.7.2007, s. 2) och yttrande av den 19 december 2007 om Förbundsrepubliken Tysklands initiativ inför antagandet av rådets beslut 2007/…/RIF om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet, som är tillgängligt på

http://www.edps.europa.eu

(21) Denna ståndpunkt har framförts flera gånger av Europeiska datatillsynsmannen, senast i yttrandet av den 25 juli 2007 om genomförandet av dataskyddsdirektivet (EUT C 255, 27.10.2007, s. 1).

(22) Artikel 6.3 i förslaget och konsekvensbedömningen, bilaga A, ”Metod för flygbolagens överföring av uppgifter”.

(23) Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31).

(24) När det gäller detta se följderna av domen om PNR-uppgifter. Domstolens dom av den 30 maj 2006, Europaparlamentet mot Europeiska unionens råd (C-317/04) och Europeiska kommissionen (C-318/04), Förenade målen C-317/04 och C-318/04, Rättsfallssamling (2006), punkt 56.

(25) Artikel 11 i förslaget. Se även skäl 10 i ingressen: ”Rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (…) bör vara tillämpligt på alla uppgifter som behandlas i enlighet med detta rambeslut. Den registrerades rättigheter i samband med sådan behandling, såsom rätten till information, rätten till tillgång till uppgifter, rätten till att begära rättelse, radering eller blockering av uppgifter liksom rätten till kompensation och rättslig prövning bör vara samma som de som gäller enligt det rambeslutet”.

(26) Skäl 5a, enligt version av den 11 december 2007 i rambeslutet om skydd av personuppgifter.

(27) Artikel 1.

(28) När det gäller denna punkt bör artikel 27b i det senaste utkastet till rambeslut om skydd av personuppgifter inom tredje pelaren noga övervägas och diskuteras.

(29) Domstolens dom av den 30 maj 2006, Europaparlamentet mot Europeiska unionens råd (C-317/04) och Europeiska kommissionen (C-318/04), Förenade målen C-317/04 och C-318/04, Rättsfallssamling (2006), punkt 56.

(30) Europaparlamentets och rådets direktiv 2006/24/EG av den 15 mars 2006 om lagring av uppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv 2002/58/EG (EUT L 105, 13.4.2006, s. 54).

(31) Se yttranden från Europeiska datatillsynsmannen om meddelandet från kommissionen till Europaparlamentet och rådet om uppföljningen av arbetsprogrammet för ett bättre genomförande av dataskyddsdirektivet (EUT C 255, 27.10.2007, s. 1). Se även den årliga rapporten för 2006, s. 47.

(32) Artikel 6 i förslaget.

(33) SITA skapades 1949 av 11 flygbolag som medlemmar. Lösningar med mervärde tillhandahålls åt lufttransportindustrin genom det kommersiella bolaget SITA INC (Information, nätkommunikation och databehandling) och nättjänster genom SITA SC genom samarbete.

(34) Konsekvensbedömningen, bilaga A, ”Metod för flygbolagens överföring av uppgifter”.

(35) Artikel 3 i förslaget.

(36) Artikel 8 i förslaget.

(37) Yttrande från Europeiska datatillsynsmannen av den 26 juni 2007 om förslaget till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, punkterna 27–30 (EUT C 139, 23.6.2007, s. 1).

(38) Motiveringen i förslaget, kapitel 2.

(39) Konsekvensbedömningen, kapitel 5.2, ”Integritetsskydd”.

(40) Konsekvensbedömningen, kapitel 5.2, ”Förbindelser med tredjeländer”.

(41) Konsekvensbedömningen, bilaga A, ”Organ som erhåller uppgifter från enheterna för passagerarinformation”.

(42) Skäl 20 och artikel 3.3 och 3.5 i förslaget.

(43) Se artikel 15.1 i direktiv 95/46/EG när det gäller detta. I direktivet förbjuds sådana automatiska beslut i de fall där en enskild person påverkas av beslutet. Med tanke på sammanhanget för förslaget är det sannolikt att beslut i brottsbekämpningssyfte under alla omständigheter kommer att påverka de registrerade i hög grad. Dessutom kan det faktum att den registrerade utsätts för en andra kontroll påverka honom, särskilt om dessa åtgärder vidtas vid upprepade tillfällen.

(44) Se särskilt yttrande nr 5/2007 av den 17 augusti 2007 om det uppföljningsavtal mellan Europeiska unionen och Amerikas förenta stater om lufttrafikföretags behandling av passageraruppgifter (”PNR”) och överföring av dessa till Förenta staternas Department of Homeland Security som ingicks i juli 2007, WP 138.

(45) Konsekvensbedömningen, bilaga A, ”Metod för flygbolagens överföring av uppgifter”.

(46) Konsekvensbedömningen, bilaga A, ”Bevarandeperiod”.

(47) Konsekvensbedömningen, bilaga B.

(48) Artikel 12 i förslaget.

(49) Se särskilt det arbete som utförs inom den amerikanska ”Identity Theft Task Force”,

http://www.idtheft.gov/

(50) Se länken till den brittiska skattemyndighetens (HM Revenue and Customs) webbplats:

http://www.hmrc.gov.uk/childbenefit/update-faqs.htm

Se även

http://news.bbc.co.uk/1/hi/uk_politics/7103566.stm

(51) Se yttranden från Europeiska datatillsynsmannen om meddelandet från kommissionen till Europaparlamentet och rådet om uppföljningen av arbetsprogrammet för ett bättre genomförande av dataskyddsdirektivet (EUT C 255, 27.10.2007, s. 1). Se även den årliga rapporten för 2006, s. 47.