C 143/6

Sammanfattning av Europeiska datatillsynsmannens yttrande om förslaget till ändring av Europolförordningen

(Den fullständiga texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats www.edps.europa.eu)

(2021/C 143/05)

Den 9 december 2020 lade Europeiska kommissionen fram ett förslag till Europaparlamentets och rådets förordning om ändring av förordning (EU) 2016/794 vad gäller Europols samarbete med privata parter, Europols behandling av personuppgifter till stöd för brottsutredningar och Europols roll inom forskning och innovation. Lagförslaget syftar till att stärka och i vissa fall utöka Europols mandat, som svar på ett föränderligt säkerhetslandskap och nya och alltmer komplexa hot.

Europeiska datatillsynsmannen (EDPS) förstår att de brottsbekämpande myndigheterna måste utnyttja de bästa möjliga rättsliga och tekniska verktygen för att utföra sina uppgifter, som består i att upptäcka, utreda och förebygga brott och andra hot mot den allmänna säkerheten. EDPS är dessutom övertygad om att det inte finns någon inneboende och olöslig konflikt mellan säkerhet och grundläggande rättigheter, däribland rätten till dataskydd. Syftet med detta yttrande är därför att göra en rättvis och objektiv bedömning av de föreslagna åtgärdernas nödvändighet och proportionalitet samt att ge ett antal specifika rekommendationer för att säkerställa en lämplig balans mellan de värden och intressen som står på spel.

Brottsbekämpande myndigheter samlar i allt högre grad in och behandlar stora och komplexa dataset i samband med brottsutredningar och kriminalunderrättelseverksamhet. EDPS välkomnar de skyddsåtgärder som åtföljer de föreslagna undantagen i sådana fall, men är orolig att undantagen från de dataskyddsregler som i nuläget gäller för Europol i praktiken kan bli regel. Därför rekommenderar EDPS att de situationer och villkor under vilka Europol får tillgripa de föreslagna undantagen definieras tydligare i Europolförordningen. Även i dessa fall bör byråns behandling av personuppgifter vara helt förenlig med de allmänna principer och skyldigheter som fastställs i kapitel IX i förordning (EU) 2018/1725.

När det gäller Europols utökade rättsliga möjligheter att samarbeta med privata parter, särskilt i fråga om dataset som omfattar flera jurisdiktioner eller som inte kan tillskrivas en viss jurisdiktion, uppskattar EDPS att de vägs upp av särskilda skyddsåtgärder, såsom förbudet mot systematiska, massiva eller strukturella överföringar av uppgifter. Samtidigt rekommenderar EDPS att denna viktiga begränsning tillämpas på alla utbyten mellan Europol och privata parter, oavsett var de befinner sig – inom eller utanför EU. EDPS anser också att Europols exakta rättsliga roll och ansvar, när Europol fungerar som tjänsteleverantör för nationella myndigheter och därmed personuppgiftsbiträde, bör förtydligas ytterligare i en bindande rättsakt. Dessutom anser EDPS att man bör bedöma de möjliga säkerhetsrisker som uppstår genom att Europols kommunikationsinfrastruktur öppnas för användning av privata parter.

EDPS fäster också särskild uppmärksamhet vid Europols planerade användning av personuppgifter för forsknings- och innovationsändamål. Samtidigt är EDPS väl medveten om att alternativet – att Europol och de nationella brottsbekämpande myndigheterna förlitar sig på verktyg och produkter som utvecklats av externa leverantörer, ofta belägna utanför EU – helt klart innebär mycket större risker när det gäller grundläggande rättigheter. Trots detta anser EDPS att det nya behandlingssyftet är alltför brett definierat och rekommenderar att forsknings- och innovationsverksamhetens omfattning klargörs i ett bindande dokument.

EDPS välkomnar och stöder till fullo den föreslagna ytterligare förstärkningen av Europols dataskyddsram, särskilt den direkta tillämpningen av de övergripande reglerna i kapitel IX i förordning (EU) 2018/1725 på byråns behandling av operativa uppgifter. Detta är också ett viktigt steg mot en heltäckande anpassning av dataskyddsramen till alla EU:s institutioner, organ och byråer, vilket Europeiska datatillsynsmannen upprepade gånger har efterlyst.

Ett utökat mandat för Europol bör alltid åtföljas av en utökad tillsyn. Europeiska datatillsynsmannen anser därför att de tillsynsbefogenheter som EDPS har gentemot Europol bör harmoniseras fullständigt med EDPS allmänna befogenheter enligt förordning (EU) 2018/1725, som är tillämpliga på EU:s andra institutioner, byråer och organ, bland annat Europaparlamentet, rådet och kommissionen. En sådan anpassning skulle vara förenlig med EU-lagstiftarens vilja och skulle också bidra till att undvika att unionsorganen behandlas olika och placeras i mer eller mindre privilegierade ställningar.

1. INLEDNING OCH BAKGRUND

1. Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) inrättades genom Europaparlamentets och rådets förordning (EU) 2016/794 (Europolförordningen) för att stödja och stärka medlemsstaternas behöriga myndigheter i deras insatser och ömsesidiga samarbete för att förebygga och bekämpa allvarlig gränsöverskridande brottslighet, terrorism och annan brottslig verksamhet som påverkar unionens gemensamma intressen. Europolförordningen ersatte den tidigare grundläggande rättsakten – rådets beslut 2009/371/RIF ( 1 ) – och gav Europeiska datatillsynsmannen i uppdrag att övervaka lagenligheten i Europols behandling av personuppgifter från och med den 1 maj 2017.

2. Den 9 december 2020 antog Europeiska kommissionen ett förslag till Europaparlamentets och rådets förordning om ändring av förordning (EU) 2016/794 vad gäller Europols samarbete med privata parter, Europols behandling av personuppgifter till stöd för brottsutredningar och Europols roll inom forskning och innovation ( 2 )

3. Förslaget har tagits med i kommissionens arbetsprogram för 2020 som ett lagstiftningsinitiativ för att ”stärka Europols mandat för att bygga ut det operativa polissamarbetet”. Det är också en av de viktigaste åtgärderna i strategin för EU:s säkerhetsunion, som lades fram i juli 2020 ( 3 ) . Lagstiftningsförslaget är dessutom en del av ett åtgärdspaket som tillkännagavs av kommissionen den 9 december 2020 för att stärka unionens insatser mot terrorhotet ( 4 )

4. Syftet med förslaget är att stärka och vid behov utvidga Europols mandat inom ramen för byråns uppdrag och uppgifter enligt artikel 88 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). De tre huvudområden som behandlas i förslaget nämns uttryckligen i titeln till utkastet till förordning, nämligen samarbete med privata parter, operativt stöd till brottsutredningar samt forskning och innovation. Förslaget innehåller dock ett antal ytterligare ändringar av andra viktiga aspekter av Europols arbete, såsom rättssystemet för dataskydd, överföring av uppgifter till tredjeländer och införande av registreringar i Schengens informationssystem. Det senare är föremål för ett separat lagstiftningsförslag ( 5 ) , som EDPS också har rådfrågats om och kommenterat i ett separat yttrande.

5. Enligt motiveringen är lagstiftningsförslaget ett svar på ett föränderligt säkerhetslandskap och de nya och alltmer komplexa hoten, bland annat brottslingars utnyttjande av den digitala omvandlingen, ny teknik och covid-19-krisen. I detta sammanhang påminner kommissionen om flera politiska uttalanden som rådet och Europaparlamentet nyligen gjort, där de särskilt tagit upp behovet av ytterligare förstärkning av Europols mandat och kapacitet ( 6 )

6. EDPS rådfrågades informellt av kommissionen vid flera tillfällen under utarbetandet av lagstiftningsförslaget, sista gången den 25 november 2020, och meddelade sina informella synpunkter. Europeiska datatillsynsmannen välkomnar att hans synpunkter efterfrågades i ett tidigt stadium av förfarandet och ser gärna att kommissionen fortsätter utöva denna goda praxis. Den 9 oktober 2020 anordnade EDPS dessutom ett expertwebbseminarium, ”Europolreformen: dataskyddsperspektivet”, med särskild inriktning på anpassningen av dataskyddsbestämmelserna i Europolförordningen till de allmänna reglerna för behandling av operativa personuppgifter.

7. EDPS rådfrågades formellt av kommissionen den 7 januari 2021 om förslaget till Europaparlamentets och rådets förordning om ändring av förordning (EU) 2016/794, och har antagit föreliggande yttrande i enlighet med artikel 42.3 i förordning (EU) 2018/1725.

2. SLUTSATSER

49. Mot bakgrund av det ovan anförda rekommenderar Europeiska datatillsynsmannen följande:

Om samarbete med privata parter

— Förbudet mot systematiska, massiva och strukturella överföringar (artikel 26.6 sista stycket) bör gälla för alla utbyten med privata parter, även inom EU.

— Europols skyldigheter när den agerar som personuppgiftsbiträde/tjänsteleverantör, särskilt de obligatoriska delar som föreskrivs i artikel 87.3 i förordning (EU) 2018/1725, bör fastställas i en bindande rättsakt enligt unionsrätten eller medlemsstaternas lagstiftning.

— Europol bör göra en bedömning av de eventuella säkerhetsrisker som kan följa på att byrån öppnar sin infrastruktur för privata parter och vid behov vidta lämpliga förebyggande och begränsande åtgärder.

Om behandling av stora och komplexa dataset, bland annat till stöd för särskilda brottsutredningar

— Europolförordningen bör innehålla tillräckliga skyddsåtgärder för att säkerställa att de undantag som föreskrivs i artikel 18.5a och artikel 18a inte i praktiken blir regel.

— I Europolförordningen bör det dessutom fastställas när Europol kan utnyttja undantaget enligt artikel 18.5a och när byrån kan begära en förlängning av den period som fastställts till högst ett år. Dessutom bör samspelet mellan artikel 18.5a och 18.6 klargöras.

— Artikel 18a bör omfatta ytterligare villkor och tröskelvärden för Europols behandling av uppgifter utanför de kategorier av registrerade som förtecknas i bilaga II till stöd för en särskild brottsutredning, såsom utredningens omfattning, komplexitet, typ eller betydelse.

— Behandlingen av personuppgifter enligt undantagen i artikel 18.5a och 18a bör alltid överensstämma med de allmänna principer och skyldigheter som fastställs i kapitel IX i förordning (EU) 2018/1725.

Om användning av uppgifter för forskning och innovation

— Forsknings- och innovationsverksamhetens omfattning bör definieras bättre i Europolförordningen och förtydligas ytterligare i ett bindande dokument som sedan kan uppdateras.

Om Europols samarbete med tredjeländer

— Innebörden av ”kategorier av överföringar” i artikel 25.5 samt hur dessa skiljer sig från ”serier av överföringar” i punkt 6 i samma artikel bör definieras och förtydligas ytterligare i Europolförordningen.

Om den dataskyddsram som är tillämplig på Europol

— EDPS tillsynsbefogenheter gentemot Europol bör fullt ut anpassas till EDPS allmänna befogenheter enligt artikel 58 i förordning (EU) 2018/1725.

— Det föreslagna nya syftet i artikel 37a bör utgå, och begränsningen av Europols behandling av personuppgifter bör således regleras direkt genom bestämmelserna i artikel 82 i förordning (EU) 2018/1725.

Om andra delar av förslaget

— Villkoren för överföring av uppgifter till andra unionsorgan i artikel 24 i Europolförordningen bör anpassas till de allmänna bestämmelserna i artikel 71.2 i förordning (EU) 2018/1725, särskilt till proportionalitetskravet.

— Begreppet ”gemensam operativ analys” och de rättsliga regler som är tillämpliga på behandlingen av personuppgifter inom gemensamma operativa analyser bör tydligt definieras i Europolförordningen.

Bryssel den 8 mars 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Rådets beslut 2009/371/RIF av den 6 april 2009 om inrättande av Europeiska polisbyrån (Europol) (EUT L 121, 15.5.2009, s. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final, 24 juli 2020.

(4) https://ec.europa.eu/commission/presscorner/detail/sv/ip_20_2326

(5) Förslag till Europaparlamentets och rådets förordning om ändring av förordning (EU) 2018/1862 om inrättande, drift och användning av Schengens informationssystem (SIS) på området polissamarbete och straffrättsligt samarbete vad gäller Europols införande av registreringar, COM(2020) 791 final.

(6) Se särskilt Europaparlamentets resolution av den 10 juli 2020 om en övergripande EU-politik för att förhindra penningtvätt och finansiering av terrorism (2020/2686(RSP)), rådets slutsatser om Europols samarbete med privata parter av den 2 december 2019 och förklaringen från EU:s inrikesministrar (Ten points on the Future of Europol) av den 21 oktober 2020.