Yttrande från Ekonomiska och sociala kommittén om "Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer då gemenskapens institutioner och organ behandlar personuppgifter och om det fria flödet av sådana uppgifter"

(2000/C 51/13)

Den 29 september 1999 beslutade rådet att i enlighet med artikel 262 i EG-fördraget rådfråga Ekonomiska och sociala kommittén om ovannämnda förslag.

Sektionen för sysselsättning, sociala frågor och medborgarna, som ansvarat för det förberedande arbetet, antog sitt yttrande den 12 november 1999. Föredragande utan studiegrupp var Daniel Retureau.

Vid sin 368:e plenarsession den 8-9 december 1999 (sammanträdet den 8 december) antog Ekonomiska och sociala kommittén följande yttrande med 117 röster för och 2 nedlagda röster.

1. Förslagets rättsliga grund, innehåll och tillämpningsområde

1.1. Den rättsliga grunden och motiveringen för förslaget till förordning framgår klart. Förslaget syftar till att även gemenskapens organ och institutioner skall tillämpa direktiv 95/46/EG(1) av den 24 oktober 1995 vid behandling och överföring av personuppgifter.

1.2. Gemenskapens institutioner och organ - i synnerhet kommissionen - hanterar fortlöpande personuppgifter i sin verksamhet. Kommissionen utbyter personuppgifter med medlemsstaterna inom ramen för den gemensamma jordbrukspolitiken, för förvaltningen av tullförfarandet och strukturfonderna samt i samband med andra politikområden som gemenskapen har behörighet inom.

1.3. Samtidigt som direktiv 95/46/EG antogs utfäste sig kommissionen och rådet att följa direktivet och uppmanade övriga gemenskapsinstitutioner och gemenskapsorgan att göra detsamma (gemensam förklaring offentliggjord den 24 oktober 1995). Sedan dess har gemenskapens organ i praktiken redan tillämpat direktivets bestämmelser.

1.4. Efter Amsterdamfördragets ikraftträdande innehåller EG-fördraget en särskild bestämmelse, artikel 286, som föreskriver att gemenskapens institutioner och organ från och med den 1 januari 1999 skall tillämpa alla gemenskapsbestämmelser om skydd för personuppgifter, som i huvudsak fastställts genom direktiv 95/46/EG och 97/66/EG(2). Enligt denna artikel skall tillämpningen av ovannämnda bestämmelser övervakas av en oberoende tillsynsmyndighet som skall inrättas enligt förfarandet i artikel 251, vilket utgör det viktigaste nya inslaget i förslaget till förordning.

1.5. Detta dubbla mål skall uppnås genom föreliggande förslag till förordning (som är något försenat i förhållande till det datum som anges i EG-fördraget).

1.6. Förslagets nuvarande utformning gör det dock svårt att analysera ett antal viktiga frågor.

1.7. Det gäller till exempel avgränsningen av vilka gemenskapsinstitutioner och gemenskapsorgan som berörs av förordningen. I den förteckning som finns i bilagan till förslaget ingår uppenbarligen inte Europol. Hur förhåller det sig exempelvis med datanätverket inom ramen för Schengenavtalen och dess egen tillsynsmyndighet: Skall de förbli separata, eller skulle de eventuellt kunna slås samman? Detsamma gäller de andra organen under den tredje pelaren.

1.8. En annan viktig aspekt är att även om tjänstemän och övriga anställda inom gemenskapens institutioner och organ också omfattas av förslaget, är sambandet mellan de föreslagna bestämmelserna och de föreskrifter som gäller för tjänstemän och övriga anställda i Europeiska gemenskaperna något oklart (personalkommittéernas roll behandlas dock i bilagan). Har personalrepresentanterna rådfrågats? Bör inte behandling av personuppgifter som berör personalen omfattas av särskilda bestämmelser i syfte att så effektivt som möjligt skydda EU-personalens privatliv och rättigheter, vare sig det gäller uppgifter under anställningsförfarandet, karriären eller kontraktets löptid eller eventuella förnyelse?

1.9. Slutligen omfattar förslaget bara enskilda fysiska personer, vilket avspeglar bristerna i direktivet från 1995 som utesluter juridiska personer, vilka emellertid blir föremål för insamling och behandling av uppgifter. Det är mycket viktigt att understryka att juridiska personer omfattas av direktivet från 1995 i den mån de behandlar eller innehar personliga uppgifter om fysiska personer. Förslaget till översyn gäller dock enbart gemenskapsinstitutionernas behandling och spridning av information som kan gälla både fysiska och juridiska personer, men skyddet gäller endast fysiska personer.

2. Allmänna kommentarer

2.1. Rådet är naturligtvis i sin fulla rätt att fastställa tidsfrister för sina remisser. I det här fallet har dock rådet beslutat att ge ESK mycket kort tid för att utarbeta ett yttrande om ett förslag till förordning som är både invecklat och betydelsefullt därför att det handlar om att skydda den enskildes rättigheter vid behandling och överföring av personuppgifter.

2.1.1. ESK skulle ha behövt mer tid för att på ett mer ingående sätt kunna delta i en lagstiftningsprocess som omfattas av medbeslutandeförfarandet och som direkt berör många medlemmar i de ekonomiska och sociala organisationer som kommittén företräder.

2.2. ESK har redan tidigare yttrat sig(3) om

a) två förslag till rådets direktiv om

- personskydd vid behandling av personuppgifter,

- skydd av personuppgifter och privatlivet i samband med offentliga digitala telekommunikationsnät,

b) ett förslag till rådets beslut om säkerhet inom informationssystem.

2.3. De allmänna principer som ESK ställde upp i ovannämnda yttrande för behandling av personuppgifter och respekt för den enskildes rättigheter och privatliv är fortfarande aktuella och giltiga för föreliggande förordningsförslag. Principerna är i överensstämmelse med Europarådets konvention nr 108(4), som tillsammans med medlemsstaternas lagstiftning och praxis samt direktivet från 1995 bör vara vägledande för bedömningen av förslaget.

2.3.1. ESK anmodar rådet att ta del av de principer och förslag som kommittén framför i sitt yttrande från 1991 och i föreliggande yttrande, och fullt ut beakta dem för att kunna göra största möjliga framsteg i förhållande till direktivet från 1995, med hänsyn till den begränsade rättsliga grunden. ESK hoppas att rådet under alla omständigheter har dem i åtanke vid en eventuell översyn av direktivet år 2001.

2.3.2. ESK anser att gemenskapens institutioner och organ måste kunna erbjuda bästa möjliga skydd och säkerhet när de behandlar personuppgifter genom att stödja sig på de mest långtgående internationella normerna, nationella lagarna och på bästa praxis i medlemsstaterna. Därmed skulle EU kunna fungera som förebild och bidra till en harmonisering på området, inte minst därför att förslaget förutom databehandling också berör det fria flödet av sådana uppgifter och av den information som följer av behandlingen såväl inom som utanför unionens gränser.

2.4. Den snabba utvecklingen av informationstekniken, de ökade möjligheterna att varaktigt lagra uppgifter i olika media, de alltmer sofistikerade databehandlings- och samkörningsmetoderna samt de förbättrade möjligheterna att överföra och få tillgång till information gör det än viktigare att stärka skyddet och säkerheten för de personer som berörs, samtidigt som man respekterar principen om fritt uppgiftsflöde.

2.4.1. Dessa teknologier och metoder skapar emellertid också nya möjligheter att skydda sig mot olovlig uppgiftstillgång, öka överföringssäkerheten och värna om privatlivet och enskilda personers rättigheter, däribland deras rätt att ta del av, korrigera och motsätta sig överföring av uppgifter om dem själva. Man bör i första hand ta fasta på de tekniska möjligheterna och inte kostnaderna, så länge de inte är oproportionerligt höga i förhållande till den säkerhetsnivå som skall uppnås.

2.4.2. Garantier för och skydd av enskildas rättigheter måste vara en självklar del vid utformning av system och metoder som används för att samla in, behandla, använda och överföra uppgifter. Samtliga personer som är inblandade i något av dessa led från insamling till slutanvändning måste uppfylla stränga krav på kompetens och sekretess och avvikelser från dessa krav måste medföra tillräckligt avskräckande sanktioner. Det är i första hand detta förslaget går ut på, och enligt ESK:s uppfattning syftar förordningen till att skydda. Den ger också som helhet en tillfredsställande möjlighet till insyn och till administrativ övervakning och rätt att vända sig till domstol.

2.4.3. Framsteg har gjorts i förhållande till direktivet från 1995. Det gäller bland annat gratis uppgiftstillgång, exakta och entydiga regler för uppgiftsöverföring, definition av känsliga uppgifter och förbjuden behandling av vissa uppgifter, entydig definition av begreppet "adekvat skyddsnivå" vid överföring av uppgifter till länder eller organ som inte omfattas av direktivet från 1995, överväganden om alla tänkbara former av databehandling samt upprättande av oberoende tillsynsmyndigheter inom gemenskapens samtliga institutioner och organ som gör det möjligt att utföra förhandskontroller, vilket ger ett bättre skydd för individuella fri- och rättigheter och privatlivet än kontroller i efterhand.

2.4.4. Likväl bör vissa regler förbättras, även om ESK är medveten om att kommissionen vid utformningen av förslaget inte kan gå utanför ramarna i direktivet från 1995, som har vissa uppenbara brister som redan påtalats. Juridiska personer eller sammanslutningar som inte har juridisk ställning bör framför allt vara underordnade särskilda regler, till exempel när det gäller sekretess eller respekt för företagens image. Ett sådant skydd bör under alla omständigheter säkerställas, och man bör undersöka hur man på ett lämpligt sätt skulle kunna göra det. Man bör också förbättra bestämmelserna om oberoende övervakningsmyndigheter, där rådet och Europaparlamentet har full lagstiftningsbehörighet.

2.5. ESK anser att alla planerade åtgärder som rör insamling, behandling och överföring av uppgifter bör utgå från klart definierade och verifierbara mål. De skall leva upp till förslagets rättsliga krav och vara ett självklart inslag i de ansvariga organens och institutionernas verksamhet.

2.6. När det gäller personalen vid gemenskapens institutioner och organ anser ESK att ett särskilt avsnitt bör ägnas åt skydd av personalens personuppgifter och privatliv. Avsnittet bör åtminstone ge EU:s framtida tillsynsmyndighet rätt att, efter samråd med de organ som representerar personalen, fastställa vilka frågor som inte skall ställas vid anställningsintervjun, till exempel om hälsotillstånd, och inte tillåta frågor om huruvida en kvinna är gravid eller inte. Tillsynsmyndigheten bör också klart kunna avgränsa vilka upplysningar personakten får innehålla. I detta sammanhang skulle man kunna inspireras av ILO:s praktiska riktlinjer om skydd av arbetstagares personuppgifter, och av ILO:s rekommendation nr 171 om hälso- och sjukvård på arbetsplatsen (1985).

2.7. ESK konstaterar att förslaget när det gäller institutioner och organ omfattar alla gemenskapsområden och godkänner därför tolkningen av artikel 286 i EG-fördraget, det vill säga att det skall gälla alla institutioner. En restriktiv tolkning som utesluter exempelvis Euratom eller EKSG från tillämpningsområdet skulle i själva verket ha varit inkonsekvent och motverkat de eftersträvade målen.

2.8. Eftersom samarbetet under tredje pelaren håller på att fördjupas (det berörs inte av direktivet från 1995) och med hänsyn till att det behövs ett övergripande instrument för de uppgifter som samlas in, behandlas och överförs i det rättsliga och polisiära samarbetet, föreslår kommittén att befogenheterna för den europeiske tillsynsmannen för uppgiftsskydd redan nu utökas till informationssystemet inom Schengensamarbetet, och efter hand till alla avtal under tredje pelaren där uppgiftsskydd för närvarande utförs på ett självständigt sätt med egna normer och tillsynsorgan men efter gemensamma principer. Ett sådant skydd återstår dessutom att skapas för det rättsliga samarbetet. Detta förslag innebär att det eventuellt måste utarbetas tilläggsprotokoll till de berörda avtalen.

2.9. Ovanstående allmänna kommentarer om de nya inslag och de framsteg som gjorts sedan ESK:s senaste yttrande - däribland många positiva och intressanta förslag - bildar underlag för följande mer specifika och detaljerade kommentarer och rekommendationer som presenteras i samma ordning som förslagets kapitel och bilagor.

3. Särskilda kommentarer och rekommendationer

3.1. Artikel 2 c - Definitioner: Registret definieras som en "strukturerad samling av personuppgifter"; uppgifterna behöver inte vara strukturerade för att man skall kunna behandla och utnyttja dem, det räcker därför med att tala om en samling personuppgifter.

3.2. Artikel 4 d - Uppgifternas kvalitet: Alla "rimliga" åtgärder skall vidtas för att säkerställa att uppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas; det bör stå "alla tänkbara åtgärder".

3.2.1. Artikel 5 d - När personuppgifter får behandlas: ESK stöder villkoren för att behandla personuppgifter men anser att det bör stå "formella samtycke".

3.3. Artikel 6 - Ytterligare behandling: När personuppgifter behandlas för andra ändamål än de ursprungligen angivna ändamålen skall uppgiftslämnarna informeras om denna möjlighet, antingen i samband med insamlingen eller när beslut fattas om att använda dem till andra ändamål.

3.4. Artikel 9 - Överföring av personuppgifter:

3.4.1. Punkterna 1-4: När uppgifter överförs till personer eller organ som inte omfattas av direktiv 95/46/EG eller till länder som inte har undertecknat Europarådets konvention nr 108, måste man på förhand tillse att de har en motsvarande skyddsnivå (inte bara "adekvat" såsom föreskrivs i direktivet). ESK anser dock att de konkreta bestämmelserna om adekvat skyddsnivå ger ett bra skydd.

3.4.2. Punkterna 5-6: Den europeiske tillsynsmannen för uppgiftsskydd skall i förväg informeras om avvikande användning av uppgifter för att eventuellt kunna motsätta sig det.

3.5. Artikel 10.1 - Förbjuden uppgiftsbehandling: Förslaget går här längre än Europarådets konvention nr 108, förutom i fråga om lagöverträdelser som i punkt 10.5 behandlas mer restriktivt (de är inte helt förbjudna). ESK föredrar följande mer detaljerade formulering: "Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse och mer allmänt alla övertygelser eller åsikter som inte strider mot folkrätten, medlemskap i fackförening samt uppgifter som rör hälsa, genetiskt arv och sexualliv skall vara förbjuden." Det genetiska arvet kan visserligen uppfattas som en del av hälsan, men man bör ändå ompröva formuleringen om förbjuden behandling vid översynen av direktivet.

3.6. Artikel 17 - Meddelande till tredje man: Möjligheten att göra undantag från skyldigheten att meddela rättelser eller blockeringar av uppgifter är alltför vagt formulerad och för omfattande.

3.7. Artikel 23.1 - Säkerhet vid behandling: Med beaktande av den nuvarande tekniska nivån och under förutsättning att kostnaderna inte är alltför höga med hänsyn till uppställda säkerhetsmål skall den registreringsansvarige garantera högsta möjliga säkerhetsnivå vid behandling och överföring av personuppgifter.

3.8. Artikel 25 - Utseende av ett uppgiftsskyddsombud, samt bilaga 1 och 2:

3.8.1. Det centrala är att de personer som utses av de institutioner och organ som samlar in, behandlar och överför personuppgifter måste vara oberoende och kompetenta.

3.8.2. De föreslagna bestämmelserna skyddar dessa personer mot varje form av påtryckning från den institution eller det organ som har utnämnt dem och som också är deras överordnade.

3.8.3. Det är viktigt att dessa personer uttryckligen inte är underordnade i sitt arbete när det gäller att säkerställa uppgiftsskyddet, och att de endast lyder under den europeiske tillsynsmannen(5). Deras uppdrag får inte utvärderas eller betygsättas av de överordnade och inte heller negativt påverka deras karriär vid konflikter med de överordnade om frågor som rör uppgiftsskydd. För att garanteras deras oberoende och göra det möjligt för dem att arbeta långsiktigt och säkert bör deras utnämningstid vara längre än den föreslagna.

3.8.4. Den tid som uppgiftsskyddsombuden skall ägna åt uppgiftsskydd (i vanliga fall 5 %, och i undantagsfall 10 %) och de resurser som de förfogar över förefaller väl begränsade. De bör ha ett visst handlingsutrymme och en viss flexibilitet för att kunna utföra sitt arbete på bästa sätt, och de bör därför få personella och materiella resurser efter behov.

3.9. Artikel 28 - Förhandskontroll av den europeiske tillsynsmannen för uppgiftsskydd:

3.9.1. Principen borde vara att all behandling som sannolikt innebär särskilda risker för de registrerades fri- och rättigheter bör vara föremål för en förhandskontroll av tillsynsmannen. Förekomsten eller genomförandet av "känsliga" behandlingar kräver dock ingående granskning samt kontroll av en oberoende myndighet, eftersom det gäller en grundläggande åtgärd. Detta föreslås också i texten.

3.9.2. Ytterligare behandlingar borde emellertid läggas till den planerade förteckningen, och den europeiske tillsynsmannen för uppgiftsskydd bör i första hand granska följande:

- Behandling som innebär ny användning av befintlig teknik.

- De ytterligare uppgiftskategorier som kommittén föreslår avseende artikel 10.

- Behandling som avser polis, säkerhetsfrågor, straffrätt, invandring och uppehållstillstånd för personer från tredje land (utfärdande av visum, uppehållstillstånd osv.).

- Behandling som utnyttjar allmänna kriterier.

- Samkörning av register för särskilda ändamål.

- Behandling av uppgifter som samlats in för andra ändamål.

- Villkor för genomförande av behandling som strider mot principerna om skydd av enskilda.

- Behandling som kräver internationella överföringar av uppgifter utanför EU:s gränser.

- Statistiska undersökningar av obligatorisk karaktär samt undersökningar som avser hela befolknings- eller yrkesgrupper.

3.10. Artikel 32, slutet av punkt 1 - Säkerhet i fråga om interna telekommunikationsnät: Kommittén föreslår följande ändring: "säkerställa en säkerhetsnivå som är anpassad till den risk som föreligger samt till riskutvecklingen, med beaktande av dagens tillgängliga teknik liksom utvecklingen av denna och eventuellt kostnaderna för att genomföra åtgärderna om de visar sig oproportionerligt höga med hänsyn till uppställda mål."

3.11. Tillsynsmyndighet

3.11.1. Artikel 38 - Europeiske tillsynsmannen för uppgiftsskydd: I första punkten bör det påpekas att det är en oberoende tillsynsmyndighet som inrättas.

3.11.2. Artikel 39 - Utnämning: Enligt förslaget skall man "i samförstånd" utnämna den europeiske tillsynsmannen för uppgiftsskydd för en period av fyra år med möjlighet till omval (hur många gånger?).

3.11.3. Kommittén vill än en gång framhålla att det är viktigt att den europeiske tillsynsmannen för uppgiftsskydd är oberoende, och han eller hon bör därför inte utnämnas av institutioner som kommissionen och rådet som är tvungna att ofta behandla eller låta behandla enskilda uppgifter och sprida eller vidarebefordra dem. Liksom när det gäller ombudsmannen vore det lämpligare och tekniskt sett mer praktiskt om Europaparlamentet svarade för utnämningen i samråd med kommissionen och rådet. En längre mandatperiod (eventuellt dubbelt så lång som den föreslagna) men icke förnybar skulle också utgöra en ytterligare garanti för oberoende.

3.11.4. Den europeiske tillsynsmannens uppgifter är mycket tunga och av olika art, och de budgetbilagor som bifogas förslaget förefaller något blygsamma med tanke på de krav som ställs.

3.11.5. Kommittén anser att det är absolut nödvändigt att den nya myndigheten får tillräckliga anslag och förfogar över ett tillräckligt stort antal medarbetare med hög teknisk kompetens.

4. Slutsatser

4.1. Kommittén skulle ha velat granska samtliga åtgärder i detalj i detta förslag till förordning som är så avgörande för de registrerades fri- och rättigheter i förhållande till EU:s administration.

4.2. Ett sådant projekt är ett enormt arbete som bör välkomnas med tanke på det viktiga skydd det erbjuder. Det begränsas främst av direktivet från 1995. Kommittén är medveten om de framsteg som förslaget rymmer, men vi vill framföra dessa allmänna och särskilda kommentarer till rådet, Europaparlamentet och kommissionen med förhoppning om att vårt bidrag kan göra det möjligt att öka säkerheten vid utövandet av de fri- och rättigheter som råder för personer inom EU:s gränser och därutöver.

4.3. På grundval av den utvärdering av genomförandet av direktivet som enligt planerna skall göras 2001 och med beaktande av de konkreta förslag om översyn som skall granskas, skall kommittén vid tillfälle lägga fram detaljerade och kompletterande förslag beträffande arten och omfattningen av de ändringar man önskar tillföra texten.

Bryssel den 8 december 1999.

Ekonomiska och sociala kommitténs

ordförande

Beatrice RANGONI MACHIAVELLI

(1) EGT L 281, 23.11.1995, s. 31.

(2) EGT L 24, 30.1.1998, s. 1.

(3) Fördragande: Henry Salmon, yttrande i EGT C 159, 17.6.1991, s. 38.

(4) Europarådet -(STE nr 108) "Convention for the protection of individuals with regard to automatic processing of personal data". Samtliga medlemsstater har undertecknat denna konvention; det gäller dock inte de flesta kandidatländerna.

(5) Liknande bestämmelser finns redan i ILO:s konvention nr 81 om arbetsinspektion.