[pic] | EUROPEISKA KOMMISSIONEN |

Bryssel den 22.4.2010

KOM(2010)170 slutlig

KOMMISSIONENS RAPPORT

om dataskydd i informationssystemet för den inre marknaden

KOMMISSIONENS RAPPORT

om dataskydd i informationssystemet för den inre marknaden

SAMMANFATTNING

Kommissionen är nöjd med hur personers fri- och rättigheter i fråga om personuppgifter (nedan kallat dataskydd ) garanteras i informationssystemet för den inre marknaden (IMI). IMI-systemet är ett Internetbaserat, säkert och flerspråkigt system för informationsutbyte som underlättar medlemsstaternas administrativa samarbete. Kommissionen är också nöjd med genomförandet av rekommendationen om riktlinjer för skyddet av personuppgifter i IMI.

Medlemsstaterna har inte rapporterat några dataskyddsrelaterade problem. Detta understöder den stegvisa strategi som lagts fast i samråd med Europeiska datatillsynsmannen för att bygga upp de rättsliga ramarna för IMI i takt med den tekniska utvecklingen och utvidgningen av systemet till andra områden av inremarknadslagstiftningen.

Under 2010 kommer kommissionen att undersöka om det är möjligt att använda IMI också på andra områden av den inre marknaden och samla in mer erfarenheter från användningen av systemet på området tjänster. Första kvartalet 2011 kommer kommissionen att lägga fram ett arbetsdokument om hur IMI-systemet har fungerat och utvecklats under 2010. Dokumentet kommer även att behandla dataskydd.

FÖREMÅLET FÖR DENNA RAPPORT

Denna rapport aviserades i kommissionens rekommendation om riktlinjer för skyddet av personuppgifter i informationssystemet för den inre marknaden[1] (nedan kallad rekommendationen ) och är en granskning av hur medlemsstaterna och kommissionen har genomfört rekommendationen samt av hur dataskyddet ser ut i informationssystemet. Nya frågor tas också upp som inte behandlades i rekommendationen, i synnerhet hur det nya tjänstedirektivet täcks in.

Vid arbetet med rapporten beaktade kommissionen synpunkter från medlemsstaterna både via ett samråd i november 2009[2] och via regelbundna kontakter med IMI-samordnare och medlemsstaternas representanter vid möten i IMAC-IMI (IMAC – rådgivande samordningskommittén för den inre marknaden).

HUR HAR IMI UTVECKLATS UNDER 2009?

År 2009 var ett viktigt år för utvecklingen av IMI. Användningen av IMI i samband med lagstiftningen om yrkeskvalifikationer utvidgades till att omfatta 20 nya yrken och större delen av resurserna lades på att utvidga IMI till att omfatta tjänstedirektivet[3].

Nationella IMI-samordnare deltog i pilotprojektet för informationsutbyte om tjänstedirektivet (utifrån verkliga eller fiktiva ärenden) och kurser i Bryssel[4]. Kommissionen släppte en ny version av programvaran (1.7) som gjorde det möjligt för behöriga myndigheter att registera sig själva. I slutet av året släpptes också en version 2.0 med en separat IT-applikation för varningsmekanismen[5]. Denna nya programvara togs i full drift under första kvartalet 2010.

Tack vare kommissionens och medlemsstaternas gemensamma ansträngningar hade 4 508 behöriga myndigheter registerats i IMI i slutet av januari 2010. Av dessa hade 3 698 tillgång till det nya området tjänster och detta antal väntas öka avsevärt under de kommande månaderna. Det genomsnittliga antalet dagliga inloggade användare ökade från 40 i januari 2009 till 180 i december.

Totalt antal förfrågningar per kvartal och lagstiftningsområde 2009

[pic]

När det gäller yrkeskvalifikationer är systemet väl utvecklat och de klara framgångarna visar på IMI:s potential som verktyg för administrativt samarbete i EU. I genomsnitt 350 förfrågningar skickades varje kvartal. Över 90 % av alla förfrågningar om yrkeskvalifikationer som skickades under 2009 kom från EU-15, dvs. de medlemsstater som blev EU-medlemmar före 2004, vilket avspeglar riktningen på arbetskraftsmigrationen. Polen och Rumänien tog emot 32 % av alla förfrågningar.

Värt att notera är att 56 % av förfrågningarna besvarades inom en vecka.

Handläggningstid för en förfrågan enligt direktivet om erkännande av yrkeskvalifikationer under 2009

Accepterade förfrågningar | Totalt i % | Besvarade förfrågningar | Totalt i % |

Inom 3 dagar | 741 | 57,0 % | 518 | 43,0 % |

Inom 1 vecka | 216 | 73,7 % | 167 | 56,8 % |

Inom 2 veckor | 166 | 86,5 % | 170 | 71,0 % |

Inom 4 veckor | 120 | 95,7 % | 164 | 84,6 % |

Inom 8 veckor | 35 | 98,4 % | 106 | 93,4 % |

Mer än 8 veckor | 21 | 100,0 % | 80 | 100,0 % |

Totalt: | 1299 | 1205 |

(* Att antalet accepterade och besvarade förfrågningar skiljer sig åt beror på att förfrågningar dragits tillbaka eller fortfarande inte hade besvarats i slutet av december 2009.)

FÖRBÄTTRAT DATASKYDD INOM IMI – EN STRATEGI I FLERA STEG

IMI följer principen om inbyggda skyddsmekanismer för att skydda den personliga integriteten. Dataskyddsrelaterade överväganden är också en del av den dagliga användningen av systemet och ingår i kursmaterialet, och detta är inte bara en formsak eller ett skydd i teorin. Det verkar som om detta tillvägagångssätt är framgångsrikt, eftersom ingen av medlemsstaterna har rapporterat några problem med dataskyddet i IMI och ingen av de registrerade har klagat.

Kommissionen har under de senaste två åren fört en dialog med dataskyddsmyndigheterna och Europeiska datatillsynsmannen. Huvudprincipen för strategin i flera steg är att – eftersom systemet garanterar en hög nivå av tekniskt och förfarandemässigt dataskydd och kommissionen är fast besluten att fortsätta att förbättra systemet – de rättsliga ramarna för IMI bör följa den tekniska utvecklingen och utvidgningen av systemet till andra områden av inremarknadslagstiftningen.

Eftersom erfarenheterna av systemet är begränsade har den stegvisa strategin inneburit att kommissionen har kunnat åtgärda alla problem som Europeiska datatillsynsmannen tog upp i ett yttrande av den 12 december 2007 och anta följande tre rättsakter som rör dataskydd i IMI:

a) Kommissionens beslut av den 12 december 2007 om genomförandet av informationssystemet för den inre marknaden (IMI) med avseende på skyddet av personuppgifter[6].

b) Kommissionens rekommendation av den 26 mars 2009 om riktlinjer för skyddet av personuppgifter i informationssystemet för den inre marknaden (IMI)[7].

c) Kommissionens beslut av den 2 oktober 2009 om rutiner för utbyte av information på elektronisk väg mellan medlemsstaterna enligt kapitel VI i Europaparlamentets och rådets direktiv 2006/123/EG om tjänster på den inre marknaden[8].

I avsnitt 6 i den här rapporten diskuteras eventuella återstående frågor samt innehåll och tidsplan för framtida åtgärder, bl.a. en eventuell ny rättsakt.

GENOMFÖRANDET AV KOMMISSIONENS REKOMMENDATION

Förbättringar som gjorts av medlemsstaterna

Kontakter med dataskyddsmyndigheterna

I rekommendationen uppmuntras ”nationella IMI-samordnare att kontakta de nationella dataskyddsmyndigheterna och ge dem information om och hjälp med hur riktlinjerna bäst kan tillämpas i enlighet med nationell lagstiftning ”. I sina rapporter till kommissionen anger de flesta medlemsstater att de har samrått med sina nationella dataskyddsmyndigheter. Genom dessa samråd har IMI-användarna försäkrats om att personuppgifter kan utbytas i IMI i enlighet med dataskyddslagstiftningen. Nationella lagstiftare har också kunnat etablera ett samarbete med företrädare för myndigheterna, som lägger stort värde vid dataskyddet och arbetar för att detta EU-projekt ska bli framgångsrikt.

Integritetspolicy

På Europeiska datatillsynsmannens förslag uppmuntrades IMI-samordnarna i rekommendationen också att diskutera innehållet i integritetspolicyer med lokala dataskyddsmyndigheter. Det var inte möjligt att vara så specifik i rekommendationen på denna punkt; dataskyddsdirektivet är visserligen fullt harmoniserat, men medlemsstaterna har ett visst handlingsutrymme vid genomförandet av vissa bestämmelser. Medlemsstaternas rapporter bekräftar att integritetspolicyer kan ha olika innehåll och utformning i de olika länderna. En mindre majoritet av medlemsstaterna anser att de behöriga myndigheterna i enlighet med lokal lagstiftning själva ska få bestämma vad den information som enskilda får bör innehålla och hur den ska utformas. I vissa medlemsstater föreslår man däremot anpassningsbara modeller för hela landet[9].

Medvetenhet och utbildning

Ett av de viktigaste resultaten av rekommendationen är att medvetenheten om dataskyddet har ökat bland IMI-aktörer och IMI-användare, som nu känner till de generella principerna för dataskydd och också har fått konkreta förslag så att ett starkt dataskydd garanteras i IMI. Tack vare rekommendationen har hänvisningar till riktlinjerna för skyddet av personuppgifter införts i kursmaterialet om IMI som utarbetats för behöriga myndigheter.

Förbättringar som gjorts av kommissionen

Säkerhetsplanen för IMI

Datasäkerhet och datakonfidentialitet regleras genom kommissionens beslut av den 16 augusti 2009 om säkerhetsbestämmelserna för kommissionens informationssystem[10]. Detta beslut har uppdaterats med tillämpningsföreskrifter som antogs 2009 och med riktlinjer och standarder som i stort sett är desamma som internationella standarder. Säkerhetsåtgärderna i IMI har setts över och uppdaterats, och 2009 utarbetades en omfattande säkerhetsplan som kommer att ses över 2010.

Tekniska förbättringar

Om uppgiftsutbytet gäller känsliga uppgifter finns det nu en påminnelse på skärmen om att uppgifterna är känsliga och att handläggaren bara bör begära dessa uppgifter om de är absolut nödvändiga och direkt rör utövandet av yrkesverksamheten eller tillhandahållandet av en viss tjänst. Dataskyddet har också beaktats fullt ut vid utformningen och genomförandet av den nya varningsmekanismen (se avsnitt 5.2.3.2 nedan).

IMI-webbplatsen har också förbättrats så att det ska bli enklare för användarna att hitta olika dokument. Den del som handlar om dataskydd[11] har uppdaterats med alla lagtexter som rör dataskydd, skriftväxling med Europeiska datatillsynsmannen och de frågeserier som används i systemet. På Europeiska datatillsynsmannens förslag har de frågor som rör känsliga uppgifter identifierats för att skapa större öppenhet.

Tjänstedirektivet som nytt lagstiftningsområde

Användningen av IMI för tjänstedirektivet

I tjänstedirektivet hänvisas det inte uttryckligen till IMI (utan bara mer generellt till ett elektroniskt system för informationsutbyte). Det var därför nödvändigt att formellt fastställa att IMI skulle användas för detta. Det gjordes genom ett beslut[12] som kommissionen antog enligt det förfarande som föreskrivs i tjänstedirektivet ( kommittéförfarandebeslutet ).

I det beslutet fastställs hur informationsutbytet ska ske på tjänsteområdet i IMI. Detta bidrar till systemets höga dataskyddsnivå och gör att de generella regler som följer av beslut 2008/49/EG och riktlinjerna för skyddet av personuppgifter i rekommendationen blir ännu klarare och tydligare. Ytterligare mekanismer för skydd av personuppgifter kan vid behov läggas fast senare när erfarenheterna av systemet är mer omfattande[13].

En dataskyddsvänlig utformning av varningsmekanismen

Varningsmekanismen upprättas enligt artikel 29.3 och artikel 32 i tjänstedirektivet och kompletterar Rapex-systemet för varor. Den hjälper till att förebygga risker för mottagaren i samband med tillhandahållandet av tjänster.

Varningsmekanismen gör det möjligt för medlemsstaterna att fullgöra sin lagstadgade skyldighet att utbyta information och är därmed fullt lagenlig ur ett dataskyddsperspektiv. Kommissionen är dock medveten om att ett sådant system får effekter för uppgiftskyddet. Den har därför varit mycket noggrann med utformningen av systemet och har sett till att det är dataskyddsvänligt. Kommissionen uppmanar medlemsstaterna, som är ansvariga för dataskyddet när man skickar eller tar emot varningar, att vara vaksamma så att reglerna tillämpas korrekt.

Varningsmekanismen omfattar ett stort antal dataskyddsåtgärder som är generella för IMI-systemet och vissa särskilda mekanismer för att säkerställa följande:

a) Att tillgången till uppgifterna är begränsad till behöriga myndigheter/användare

I överensstämmelse med det övergripande tillvägagångssättet för IMI är tillgången till uppgifter inom varningsmekanismen strikt begränsad till det absolut nödvändigaste. Behöriga myndigheter och IMI-användare har bara tillgång till varningar om medlemsstaterna har givit dem särskild tillgång inte bara till IMI generellt utan även till det särskilda programmet för varningar. Behöriga myndigheter och IMI-användare kan därför inte automatiskt skicka eller ta emot varningar. Den funktionen måste aktiveras separat.

b) Att inga onödiga varningar skickas ut

Man kan inte skicka en varning utan att fylla i en checklista för att se till att kriterierna är uppfyllda, t.ex. att tjänsteleverantörens agerande eller andra omständigheter som har samband med tjänsteverksamheten kan orsaka allvarlig skada. Om den myndighet som tar initiativet till en varning inte kontrollerar alla relevanta kriterier tillåter inte systemet att man skickar ut en varning.

Varningen sänds dessutom inte direkt till andra medlemsstater utan skickas först till en varningssamordnare i samma medlemsstat. Även denna varningssamordnare ska då ta ställning till om varningen ska sändas vidare till andra medlemsstater.

c) Att varningar inte sprids till fler mottagare än nödvändigt enligt upplysningskraven i lagstiftningen

När varningar skickas till andra medlemsstater måste den utfärdande myndigheten och varningssamordnaren bestämma vilka länder som ska få varningen. Om den medlemsstat där tjänsten tillhandahålls vill skicka ut en varning är det bara den medlemsstat där tjänsteleverantören är etablerad och kommissionen som automatiskt får varningen. Andra medlemsstater läggs därmed bara till i listan över mottagare om detta bedöms som nödvändigt i det enskilda fallet.

Om varningen sänds vidare till andra medlemsstater sänds den dessutom inte till alla behöriga myndigheter i den mottagande medlemsstaten utan bara till en särskild varningsbrevlåda (oftast hos den nationella varningssamordnaren). Det är mottagaren som bestämmer vilka myndigheter i medlemsstaten som berörs och behöver informeras.

d) Att kommissionen inte får tillgång till personuppgifter när den får varningar enligt tjänstedirektivet

I tjänstedirektivet föreskrivs det att alla varningar ska skickas till kommissionen, men i motsats till medlemsstaterna behöver kommissionen inte få tillgång till personuppgifter. Kommissionen får därför varningarna men inga personuppgifter.

e) Att omotiverade varningar som skickas ut snabbt kan dras tillbaka och felaktiga uppgifter kan rättas eller raderas

Med IMI-systemet kan en myndighet som har skickat en omotiverad varning dra tillbaka den direkt så att den blir osynlig för alla IMI-användare. Om varningen var motiverad men vissa uppgifter behöver rättas kan den utfärdande myndigheten göra detta när som helst. Andra myndigheter som har fått varningen har också möjlighet att ange att vissa uppgifter i varningen är felaktiga.

f) Att varningar hävs så snart det inte längre föreligger någon risk; användarna kan då inte längre se uppgifterna och personuppgifterna raderas sex månadersenare

När den risk som givit upphov till varningen inte längre föreligger ska varningen hävas. Med IMI-systemet kan etableringsmedlemsstaten häva varningen och de berörda myndigheterna får då ett meddelande med e-post. När en varning har hävts är den inte längre synlig. Senast sex månader efter det att den har hävts raderas alla personuppgifter automatiskt och tas bort ur systemet.

FRÅGOR FÖR VIDARE DISKUSSION

Merparten av medlemsstaterna har visserligen ställt sig positiva till dataskyddet i IMI, men några medlemsstater har tagit upp frågor som behandlas i detta avsnitt av rapporten.

Gällande regler om datasäkerhet och datakonfidentialitet

Behandlingen av personuppgifter i IMI innebär gemensam behandling (av kommissionen och medlemsstaterna), gemensam kontroll (av de olika användarna och aktörerna) och gemensam tillsyn (av de nationella dataskyddsmyndigheterna och Europeiska datatillsynsmannen). I en sådan komplex situation är ansvarsfördelningen inte alltid enkel.

De danska och tyska dataskyddsmyndigheterna anser att eftersom de behöriga myndigheterna på deras territorier har vissa nationella krav att följa (t.ex. en starkare autentiseringsmekanism, se följande avsnitt) bör de kräva att IMI uppfyller dessa nationella krav eller i annat fall sluta använda systemet. De behöriga myndigheterna har vidarebefordrat dessa krav till kommissionen, som är ansvarig för säkerheten i systemet.

Kommissionen anser att IMI är ett säkert system och att ett system för hela EU som IMI helt enkelt inte kan fungera om alla medlemsstater vill att deras respektive nationella säkerhetskrav ska uppfyllas. Dataskyddsdirektivet antogs för nära tjugo år sedan och hade två syften, nämligen att dels skydda den grundläggande rätten till dataskydd, dels garantera det fria flödet av personuppgifter mellan medlemsstaterna och mellan medlemsstaterna och EU-institutionerna[14].

På grundval av detta vidhåller kommissionen att nationella dataskyddsmyndigheter, med tanke på de omfattande garantierna för skydd av personuppgifter i IMI-systemet och principen om lojalt samarbete i artikel 4.3 i EU-fördraget, inte bör hindra de nationella behöriga myndigheterna från att använda systemet.

Starkare autentisering i IMI

Autentiseringssystemet i IMI är en avancerad version av autentisering med en enda faktor, eftersom det kombinerar ett användarnamn och lösenord med en PIN-kod. För att komma in i systemet måste användaren lämna en slumpvis vald teckenkombination från PIN-koden.

De tyska och danska dataskyddsmyndigheterna är inte nöjda med autentiseringssystemet i IMI. Kommissionen anser att den nuvarande autentiseringsmekanismen är ändamålsenlig, med tanke på aktuell teknisk nivå och genomförandekostnader, men instämmer i att det är önskvärt med en starkare autentisering på lång sikt. Eftersom medlemsstaterna har infört olika autentiseringssystem som inte alltid är driftskompatibla förefaller den bästa lösningen för en starkare autentisering i IMI att vara e-identiteter som administreras på medlemsstatsnivå och som skulle bli driftskompatibla med hjälp av mellanprogram.

En möjlighet erbjuds genom Stork-projektet som nu genomförs av ett konsortium där vissa medlemsstater deltar och som finansieras genom IKT-stödprogrammet inom ramprogrammet för konkurrenskraft och innovation. Kommissionen kommer att följa utvecklingen noga under de kommande månaderna som är viktiga för huruvida projektet kommer att kunna användas i IMI.

Mer uppgifter om datasäkerhet finns i avsnitt 7.2.

Datalagring

Policyn för datalagring i IMI är mycket strikt[15] och vissa aktörer och användare har angett att den behöver ses över. Att personuppgifter snabbt raderas i systemet ligger inte alltid i den registrerades intresse, som kanske vill att hans eller hennes uppgifter lagras i IMI under en längre period, t.ex. i samband med rättsliga förfaranden.

I en dom[16] nyligen slog EU-domstolen fast att rätten att få tillgång till uppgifter[17] inte bara gäller aktuella uppgifter utan även tidigare registrerade uppgifter. Domstolen anser därmed att en begränsning av tillgången till uppgifterna genom att uppgifterna raderas kan vara lagstridig såvida det inte kan visas att det medför för mycket arbete för den registeransvarige att lagra uppgifterna under längre tid. Kommissionen anser inte att det skulle innebära för mycket arbete att lagra personuppgifter i IMI under en längre tid och vill därför överväga en längre lagring, vilket även kan omfatta en övergångsfas när uppgifterna blockeras och inte syns för användarna innan de slutligen raderas. De eventuella konsekvenserna av en datablockering, t.ex. frågan om vem som får tillgång till de blockerade uppgifterna och för vilka ändamål, kommer att analyseras grundligt.

Detta är ett bra exempel på att man måste göra mycket noggranna överväganden innan man lägger fast rättsligt bindande regler för hur IMI ska fungera. Det är nödvändigt att kommissionen och medlemsstaterna garanterar ett gott dataskydd och drar in dataskyddsmyndigheterna i processen. De måste också kunna dra nytta av tillräckliga erfarenheter av systemet så att de inte inför ineffektiva eller till och med kontraproduktiva dataskyddsregler.

Nationell användning av IMI

När tjänstedirektivet införlivades i Nederländerna föreskrev man att IMI också kan användas för nationella syften, dvs. för informationsutbyte mellan nederländska myndigheter. Kommissionen välkomnar detta initiativ, som visar att IMI kan användas för samarbete myndigheter emellan. Följande tre villkor måste dock vara uppfyllda om medlemsstaterna ska använda IMI nationellt:

a) Behandlingen av personuppgifter och lagringen av uppgifter på kommissionens servrar ska vara laglig enligt den nationella lagstiftningen.

b) Systemet ska användas så som det är utformat med samma frågor och funktioner.

c) Medlemsstaterna ska ta det fulla ansvaret för alla problem (rörande dataskydd eller andra frågor) som kan uppkomma när systemet används för nationella ändamål.

Om medlemsstaterna är intresserade av att använda IMI nationellt bör de därför först samråda med sina nationella dataskyddsmyndigheter och sedan kontakta kommissionen för att diskutera detta och se till att det inte ger upphov till några problem på grund av dataskyddslagstiftningen.

Särskilt dataskydd i rättsligt bindande EU-lagstiftning

I sitt yttrande av den 12 december 2007 och i skriftväxling med kommissionen har Europeiska datatillsynsmannen efterlyst rättsligt bindande dataskyddsregler i EU-lagstiftningen, eftersom IMI:s tillämpningsområde utvidgas till andra områden än tjänstedirektivet och direktivet om erkännande av yrkeskvalifikationer. De tyska dataskyddsmyndigheterna har framfört liknande synpunkter.

Under 2010 kommer den nya kommissionen att titta närmare på hur den inre marknaden fungerar och om IMI eventuellt kan bidra ytterligare till att förbättra medlemsstaternas genomförande av inremarknadslagstiftningen. Den kommer således att överväga om IMI kan användas på andra politikområden.

Ett omfattande paket med dataskyddsåtgärder är redan på plats och reaktionerna från medlemsstaterna är positiva. Kommissionen anser därför att det skulle vara oklokt att lägga fram ett lagförslag innan tillämpningsområdet för IMI är klart fastställt och innan man har tillräckliga erfarenheter från användningen av systemet på tjänsteområdet. Ett eventuellt framtida förslag måste vara väl anpassat till denna utveckling för kunna utgöra en solid och hållbar grund för IMI och dataskyddet.

Fram till dess kommer kommissionen att fortsätta att förbättra dataskyddet i IMI i nära samarbete med medlemsstaterna och Europeiska datatillsynsmannen så som anges nedan.

FRAMTIDA FÖRBÄTTRINGAR

Tekniska förbättringar

Automatiska påminnelser och listor över brådskande ärenden som kräver ett svar (så att förfrågningar bara är öppna så länge som det är nödvändigt) kommer att ingå i en kommande programvara. När det gäller ett online-förfarande för att rätta, blockera, och radera uppgifter anser kommissionen, med tanke på att det hittills inte har inkommit några förfrågningar om detta och det inte är sannolikt att det kommer att bli så många framöver, att det skulle vara mer ändamålsenligt att införa ett enklare förfarande som ska dokumenteras ordentligt med hjälp av kommissionens uppgiftsskyddsombud och Europeiska datatillsynsmannen.

Datasäkerhet

I enlighet med sina nya riktlinjer och standarder kommer kommissionen att göra en ny riskbedömning för IMI under 2010 och uppdatera säkerhetsplanen genom att kartlägga vilka delar av systemet som måste ses över, vilka eventuella risker som föreligger och vilka åtgärder avseende infrastruktur och programvara som behöver vidtas. Om riskbedömningen visar att det krävs ytterligare säkerhetsåtgärder kommer de att genomföras successivt i kommande programvaruversioner.

Under våren 2011 kommer det även att göras en extern granskning med inriktning främst på hur systemet fungerar och hur stabilt det är, men den kan även omfatta vissa dataskydds- och säkerhetsaspekter.

Översyn av direktivet om erkännande av yrkeskvalifikationer

Under 2010–2010 kommer direktivet om erkännande av yrkeskvalifikationer att utvärderas och man kommer då även att göra en bedömning av det administrativa samarbetet och användningen av IMI, inklusive dataskyddsfrågor.

SLUTSATSER

Kommissionen är nöjd med hur rekommendationen har genomförts och hur dataskyddet fungerar i IMI. Den kommer emellertid att forsätta att förbättra systemet, särskilt i fråga om teknik och datasäkerhet.

Kommissionen avser också att undersöka om det är möjligt att använda IMI även på andra områden av den inre marknaden och då dra nytta av fler praktiska erfarenheter av användningen på området tjänster. Vid eventuella framtida förslag till EU-lagstiftning kommer denna utveckling och dessa erfarenheter att beaktas för att ge IMI och dataskyddet en solid och hållbar grund.

Under första kvartalet 2011 kommer kommissionen att lägga fram ett arbetsdokument om hur IMI-systemet har fungerat och utvecklats under 2010. Denna rapport kommer även att behandla dataskydd.

[1] K(2009) 2041 slutlig, EUT L 100, 18.4.2009, s. 12.

[2] Sjutton medlemsstater svarade på följande frågor:– Har ni kontaktat er nationella dataskyddsmyndighet? Har den framfört några synpunkter på användningen av riktlinjerna?– Har ni tagit fram någon allmän integritetspolicy för alla IMI-användare eller görs detta lokalt av era behöriga myndigheter?– Har era behöriga myndigheter stött på några problem rörande dataskyddet när de skickat eller svarat på förfrågningar i IMI?– Har era behöriga myndigheter rapporterat några problem vid handläggningen av frågor rörande kriminalregistret?– Har någon av de registrerade bett era myndigheter att få tillgång till uppgifter eller att uppgifter ska strykas eller rättas?– Är era myndigheter medvetna om att det finns möjlighet att snabbt ta bort personuppgifter ur systemet? Använder de sig av denna möjlighet?– Tas dataskydd upp i era IMI-kurser?

[3] Europaparlamentets och rådets direktiv 2006/123/EG av den 12 december 2006 om tjänster på den inre marknaden (EUT L 376, 27.12.2006, s. 36).

[4] Under 2009 anordnade kommissionen tre endagarskurser i Bryssel för IMI-samordnare, med ca 60 deltagare varje gång. Under samma tid anordnade medlemsstaterna sammanlagt över 100 kurser för behöriga lokala, regionala och nationella myndigheter.

[5] Se artikel 32 i tjänstedirektivet.

[6] K(2007) 6306, EUT L 13, 16.1.2008, s. 13.

[7] K(2009) 2041 slutlig, EUT L 100, 18.4.2009, s. 12.

[8] K(2009) 7493, EUT L 263, 7.10.2009, s. 32.

[9] Ett bra exempel på en nationell modell som tagits fram med hjälp av den nationella dataskyddsmyndigheten är den integritetspolicy ( cláusula de privacidad ) som det spanska IMI-teamet har utarbetat:http://www.mpt.es/documentacion/sistema_IMI/documentos/protec_datos/ClausulaIMI_ES/document_es/Clausula_IMI.pdf.

[10] K(2006) 3602.

[11] http://ec.europa.eu/internal_market/imi-net/data_protection_en.html

[12] Kommissionens beslut av den 2 oktober 2009 om rutiner för utbyte av information på elektronisk väg mellan medlemsstaterna enligt kapitel VI i Europaparlamentets och rådets direktiv 2006/123/EG om tjänster på den inre marknaden.

[13] Se kapitel 13 led d i avsnittet ”Pågående projekt” i rekommendationen.

[14] Denna princip anges klart i artikel 1.2 i dataskyddsdirektivet och i artikel 1.1 och skäl 13 i dataskyddsförordningen. ”Syftet är att garantera såväl verklig respekt för bestämmelserna om skydd av enskildas grundläggande fri- och rättigheter som den fria rörligheten av personuppgifter mellan medlemsstaterna och gemenskapsinstitutionerna och gemenskapsorganen eller mellan gemenskapsinstitutionerna och gemenskapsorganen, då de utövar sina respektive befogenheter.”

[15] Det är möjligt att snabbt radera personuppgifter genom bara ett par musklick och alla personuppgifter raderas automatiskt sex månader efter det att ärendet är avslutat.

[16] Mål C-553/07, Rotterdam mot Rijkeboer.

[17] Se artikel 12 a i direktiv 95/46/EG.