Sammanfattning av Europeiska datatillsynsmannens yttrande om förslaget till förordning om marknader för kryptotillgångar och om ändring av direktiv (EU) 2019/1937

(Den fullständiga texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats www.edps.europa.eu)

(2021/C 337/03)

Den 24 september 2020 antog Europeiska kommissionen ett förslag till förordning om marknader för kryptotillgångar och om ändring av direktiv (EU) 2019/1937 (nedan kallat förslaget). I förslaget fastställs krav på transparens och offentliggörande avseende emission och upptagande till handel av kryptotillgångar samt bestämmelser för auktorisation av och tillsyn över leverantörer av kryptotillgångstjänster, emittenter av tillgångsanknutna token och emittenter av e-pengartoken. I förslaget regleras även drift, organisation och styrning med avseende på emittenter av tillgångsanknutna token, emittenter av e-pengartoken och leverantörer av kryptotillgångstjänster. Förslaget innehåller konsumentskyddsregler för emission, utbyte och förvaring av samt handel med kryptotillgångar, såväl som åtgärder för att förhindra marknadsmissbruk i syfte att säkerställa integriteten på marknader för kryptotillgångar.

Europeiska datatillsynsmannen (EDPS) erinrar om behovet av en bredare diskussion om hur man bättre kan säkerställa att den underliggande tekniken för kryptotillgångar, dvs. blockkedjeteknik och teknik för distribuerade liggare, respekterar regler och principer för dataskydd. I detta hänseende hänvisar EDPS till de allmänna kommentarerna i sitt yttrande om förslaget till en pilotordning för marknadsinfrastrukturer som bygger på teknik för distribuerade liggare och upprepar att en sådan diskussion måste äga rum innan relevanta förslag träder i kraft.

Samtidigt betonar EDPS att det är unionslagstiftarens ansvar att säkerställa att den behandling som förslaget medför kan genomföras på ett sätt som beaktar dataskyddet, samt att det är de personuppgiftsansvarigas ansvar att säkerställa överensstämmelse med principen om ansvarsskyldighet.

EDPS anser att emittenter av kryptotillgångar normalt skulle räknas som personuppgiftsansvariga inom ramen för den allmänna dataskyddsförordningen med beaktande av deras projekt och i den mån dessa inbegriper behandling av personuppgifter. För att öka rättssäkerheten uppmanar EDPS lagstiftaren att uttryckligen ange emittenterna som personuppgiftsansvariga i förslaget. Dessutom kan behandlingen av personuppgifter komma att uppfylla två eller fler av de kriterier som indikerar att den troligen medför hög risk i den mening som avses i dataskyddslagstiftningen. Som en följd av detta kan emittenten av kryptotillgångar komma att bli skyldig att enligt artikel 35 i den allmänna dataskyddsförordningen utföra en konsekvensbedömning avseende dataskydd, innan den planerade behandlingen av personuppgifter kan inledas.

EDPS välkomnar förslagets syfte att stärka skyddet av konsumenter som köpare av kryptotillgångar (investerare). Samtidigt anser EDPS att förslaget även bör innehålla en skyldighet för emittenter att särskilt lyfta fram vissa garantier när det gäller dataskydd för att bättre skydda de registrerade. EDPS rekommenderar att förslaget, som en del av den information som ska anges i vitboken om kryptotillgångar, ska inbegripa information om planerad behandling som omfattar personuppgifter samt de förutsedda främsta riskerna och riskreducerande strategier för dataskydd.

Vad gäller offentliggörandet av administrativa sanktioner rekommenderar EDPS att inverkan på skyddet av enskildas personuppgifter ska inkluderas bland de kriterier som den behöriga myndigheten ska överväga. EDPS erinrar dessutom om att principen om lagringsbegränsning kräver att personuppgifter inte lagras längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas, och rekommenderar att det fastställs en längsta period i stället för en minimiperiod för lagring av uppgifter enligt artikel 95.4 i förslaget.

1. Bakgrund

1. förslaget ) Den 24 september 2020 antog Europeiska kommissionen ett förslag till förordning om marknader för kryptotillgångar och om ändring av direktiv (EU) 2019/1937 (nedan kallat ( 1 ) . Förslaget är ett regelverk som tagits fram för att reglera kryptotillgångar som för närvarande inte omfattas och deras tjänsteleverantörer i EU och för att införa ett gemensamt tillståndssystem i alla medlemsstater senast 2024. Syftet med förslaget är att harmonisera den europeiska ramen för emission av och handel med olika typer av kryptotoken som en del av Europas strategi för digitalisering av finanssektorn.

2. Förslaget ingår i paketet för digitalisering av finanssektorn, som är ett åtgärdspaket för att ytterligare möjliggöra och stödja den digitala finanssektorns potential när det gäller innovation och konkurrens och samtidigt minska riskerna. I paketet ingår en ny strategi för digitalisering av finanssektorn inom EU ( 2 ) . Syftet med denna är att se till att EU vidtar åtgärder så att fördelarna med digitaliseringen av finanssektorn blir tillgängliga för europeiska konsumenter och företag. Utöver detta förslag innehåller paketet också ett förslag till en pilotordning för marknadsinfrastrukturer som bygger på teknik för distribuerade liggare ( 3 ) , ett förslag om digital operativ motståndskraft ( 4 ) och ett förslag om att förtydliga eller ändra vissa relaterade bestämmelser för finansiella tjänster inom EU ( 5 )

3. EDPS rådfrågades om förslaget till en pilotordning och lämnade sitt yttrande den 23 april 2021 ( 6 ) . Den 29 april 2021 rådfrågades EDPS även om förslaget om digital operativ motståndskraft och han lämnade sitt yttrande den 10 maj 2021 ( 7 )

4. Den 29 april 2021 blev EDPS ombedd av Europeiska kommissionen att yttra sig om förslaget, i enlighet med artikel 42.1 i förordning (EU) 2018/1725. Dessa kommentarer avser enbart de bestämmelser i förslaget som är relevanta ur ett dataskyddsperspektiv.

4. Slutsatser

Mot bakgrund av det ovan anförda rekommenderar Europeiska datatillsynsmannen följande:

— Det behöver föras en bredare diskussion, inte enbart med avseende på kryptotillgångar, om hur man säkerställer att den underliggande tekniken för kryptotillgångar, dvs. blockkedjeteknik och teknik för distribuerade liggare, på det mest effektiva sättet respekterar regler och principer för dataskydd. En sådan diskussion måste äga rum innan relevanta förslag träder i kraft.

— Det rekommenderas att uttryckligen ange emittenterna som personuppgiftsansvariga för att undvika eventuella tolkningsproblem vid fastställande av rollen, i synnerhet med beaktande av komplexiteten avseende förslagets syfte och relationen mellan relevanta aktörer.

— Det rekommenderas att följande inkluderas i artiklarna 5, 17 och 46 i förslaget, som en del av den information som ska anges i vitboken om kryptotillgångar: ”En förteckning, i tillämpliga fall, över planerad behandling som omfattar personuppgifter samt de förutsedda främsta riskerna och riskreducerande strategier för dataskydd”.

— Vad gäller offentliggörandet av administrativa sanktioner rekommenderar EDPS att riskerna för skyddet av enskildas personuppgifter ska inkluderas bland de kriterier som den behöriga myndigheten ska överväga, samt att lagringen av uppgifter ”i minst fem år” enligt artikel 95.4 ska ersättas med en specificerad längsta uppgiftslagringsperiod.

— Vad gäller det administrativa samarbetet mellan de behöriga myndigheterna, EBA och Esma, såväl som samarbete med tillsynsmyndigheterna i tredjeländer, rekommenderar EDPS att radering av referensen till förordning (EU) 2018/1725 i artikel 108.3 övervägs, med tanke på den övergripande referensen till denna förordnings tillämplighet i artikel 88.2 i förslaget.

Bryssel den 24 juni 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Förslag till Europaparlamentets och rådets förordning om marknader för kryptotillgångar och om ändring av direktiv (EU) 2019/1937, 24 september 2020, 2020/0265(COD).

(2) Meddelande från kommissionen till Europaparlamentet, Europeiska rådet, rådet, Europeiska centralbanken, Europeiska ekonomiska och sociala kommittén samt Regionkommittén om en strategi för digitalisering av finanssektorn i EU, 24 september 2020, COM(2020)591.

(3) Förslag till Europaparlamentets och rådets förordning om en pilotordning för marknadsinfrastrukturer som bygger på teknik för distribuerade liggare, COM(2020)594.

(4) Förslag till Europaparlamentets och rådets förordning om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014 och (EU) nr 909/2014, COM(2020)595.

(5) Förslag till Europaparlamentets och rådets direktiv om ändring av direktiven 2006/43/EG, 2009/65/EG, 2009/138/EU, 2011/61/EU, EU/2013/36, 2014/65/EU, (EU) 2015/2366 och EU/2016/2341, COM(2020)596.

(6) Opinion 6/2021 on the Proposal for a Pilot Regime for Market Infrastructures based on Distributed Ledger Technology (yttrande 6/2021 om förslaget om en pilotordning för marknadsinfrastrukturer som bygger på teknik för distribuerade liggare), tillgängligt via följande länk: https://edps.europa.eu/system/files/2021-06/2021-0219_d0912_opinion_on_pilot_regime_for_market_infrastructures_en.pdf

(7) Opinion 7/2021 on the Proposal for a Regulation on digital operational resilience for the financial sector and amending Regulations (EC) 1060/2009, (EU) 648/2012, (EU) 600/2014 and (EU) 909/2014 (yttrande 7/2021 om förslaget till förordning om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014 och (EU) nr 909/2014), tillgängligt via följande länk:https://edps.europa.eu/system/files/2021-05/2021-0203_d0943_opinion_digital_operational_resilience_for_the_financial_sector_en.pdf