23.3.2010   

DA

Den Europæiske Unions Tidende

C 73/1

1.

Den 27. juli 2009 vedtog Kommissionen et forslag til Rådets forordning om indførelse af visse specifikke restriktive foranstaltninger mod visse fysiske og juridiske personer, enheder og organer på grund af situationen i Somalia samt et forslag til Rådets forordning om ændring af Rådets forordning (EF) nr. 314/2004 om visse restriktive foranstaltninger over for Zimbabwe. Den 18. september vedtog Kommissionen desuden et forslag til Rådets forordning om ændring af forordning (EF) nr. 329/2007 om restriktive foranstaltninger over for Den Demokratiske Folkerepublik Korea. Den 23. november vedtog Kommissionen endvidere et forslag til Rådets forordning om visse særlige restriktive foranstaltninger over for Guinea. Kommissionen forelagde alle disse forslag for EDPS med henblik på en udtalelse i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001. EDPS minder om, at han også fremsatte uformelle bemærkninger til udkastene til disse forslag samt til andre udkast til forslag om ændring af tilsvarende rådsforordninger om indefrysning af midler og andre restriktive foranstaltninger.

2.

EDPS hilser det velkommen, at han er blevet hørt, og at der henvises til denne høring i forslagenes betragtninger på samme måde som i en række andre retsakter, hvor EDPS er blevet hørt i overensstemmelse med forordning (EF) nr. 45/2001.

3.

Alle disse forslag, der ændrer den nuværende lovgivning eller medfører nye retsakter, tager sigte på at bekæmpe terrorisme eller krænkelser af menneskerettighederne ved at indføre restriktive foranstaltninger, navnlig indefrysning af midler og rejseforbud, over for fysiske og juridiske personer, der mistænkes for at have tilknytning til terrororganisationer og/eller visse regeringer. I denne sammenhæng offentliggør Europa-Kommissionen sortlister over de fysiske og juridiske personer, som disse restriktive foranstaltninger vedrører.

4.

EDPS afgav allerede den 28. juli 2009 en udtalelse om forslaget til Rådets forordning om ændring af Rådets forordning (EF) nr. 881/2002 om indførelse af visse specifikke restriktive foranstaltninger mod visse personer og enheder, der har tilknytning til Usama bin Laden, Al-Qaida-organisationen og Taliban (»Al-Qaida-forslaget«). I nævnte udtalelse hilses det velkommen, at Kommissionen har til hensigt at sikre en bedre beskyttelse af grundlæggende rettigheder, herunder beskyttelsen af personoplysninger, og det anbefales, at visse dele af forslaget ændres og/eller præciseres med henblik på at overholde basale EU-principper for databeskyttelse. EDPS har fulgt udviklingen i Rådets forhandlinger om Al-Qaida-forslaget (3) tæt og beklager, at mange af de bestemmelser, der omhandler beskyttelsen af personoplysninger, er udgået eller er væsentligt reduceret.

5.

De udsagn, der allerede er fremsat i nævnte udtalelse, gør sig stadig gældende, og de fleste af dem gælder i en vis udstrækning også for de foreliggende forslag, der for så vidt angår mange af bestemmelserne gengiver ovennævnte forslag. Den foreliggende udtalelse, hvori der tages hensyn til alle de forslag, som EDPS indtil videre er blevet hørt om, samt udviklingen i forhandlingerne i Rådet, omhandler anvendelsen af databeskyttelsesprincipper i forbindelse med restriktive foranstaltninger og kommer med anbefalinger til forbedringer. Anbefalingerne tager desuden hensyn til Lissabontraktatens ikrafttræden samt de vigtige politiske retningslinjer i Stockholmprogrammet, der blev vedtaget for nylig (4). Med denne tilgang vil EDPS kun kunne afgive yderligere udtalelser om forslag til lovgivning på dette område, hvis disse nye forslag afviger væsentligt fra bestemmelserne i de foreliggende forslag.

6.

Denne udtalelse har fokus på de aspekter af restriktive foranstaltninger, der er direkte forbundet med beskyttelse af personoplysninger, og navnlig de aspekter, som ifølge EDPS’ anbefalinger skal præciseres på dette område af hensyn til retssikkerheden og effektiviteten af foranstaltningerne. Udtalelsen går ikke ind i og berører ikke andre substansspørgsmål, der måtte opstå i tilknytning til opførelse på en liste under anvendelse af andre regler.

7.

Kommissionen agter med forslagene at tage Domstolens retspraksis til følge. Domstolen har ved flere lejligheder bekræftet, at EU's standarder for beskyttelse af grundlæggende rettigheder skal overholdes, uanset om de restriktive foranstaltninger er truffet på EU-plan eller stammer fra internationale organisationer som f.eks. FN (5).

8.

EU's grundlæggende rettigheder omfatter også retten til beskyttelse af personoplysninger, hvilket Domstolen har anerkendt som et af de principper, der er knæsat i EU-traktatens artikel 6, stk. 2, og som er yderligere bekræftet i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder (6). I forbindelse med restriktive foranstaltninger spiller retten til beskyttelse af personoplysninger en altafgørende rolle, fordi den også har stor betydning for den effektive overholdelse af andre grundlæggende rettigheder såsom retten til et forsvar, retten til at blive hørt og retten til en effektiv domstolsbeskyttelse.

9.

På denne baggrund udtrykker EDPS, ligesom i sin udtalelse af 28. juli 2009 vedrørende restriktive foranstaltninger over for Al-Qaida, tilfredshed med, at Kommissionen agter at forbedre de gældende retlige rammer ved at styrke proceduren for opførelse på listen og ved eksplicit at tage hensyn til retten til beskyttelse af personoplysninger. De restriktive foranstaltninger bygger på behandling af personoplysninger, der i sig selv — uanset indefrysningen af midler — nødvendigvis er omfattet af regler om og garantier for databeskyttelse. Det er derfor ekstremt vigtigt at sørge for, at de regler, der finder anvendelse i forbindelse med behandling af oplysninger om personer, som står opført på listen, er klare og opfylder de retssikkerhedsmæssige hensyn, herunder med henblik på at sikre lovligheden og retmæssigheden af de restriktive foranstaltninger.

10.

Stockholmprogrammet gør det klart, at »for så vidt angår vurdering af privatlivets fred for personer i området med frihed, sikkerhed og retfærdighed er retten til frihed den vigtigste«, og at EU bør fremme anvendelsen af databeskyttelsesprincipper inden for EU og i dets forbindelser med andre lande.

11.

Med Lissabontraktatens ikrafttræden styrkes de retlige rammer på dette område. For det første etableres der to nye retsgrundlag (artikel 75 og 215 i EUF-traktaten), der giver EU mulighed for at vedtage restriktive foranstaltninger over for fysiske og juridiske personer, grupper eller ikke-statslige enheder. For det andet stadfæstes retten til beskyttelse af personoplysninger og behovet for databeskyttelsesregler og -garantier på alle Den Europæiske Unions aktivitetsområder i artikel 16 i EUF-traktaten og artikel 39 i EU-traktaten, og Den Europæiske Unions charter om grundlæggende rettigheder får bindende virkning, hvilket, som det eksplicit anerkendes i Stockholmprogrammet, »vil styrke den forpligtelse, som EU, herunder dets institutioner, har til at sikre, at de grundlæggende rettigheder fremmes aktivt inden for alle dets aktivitetsområder« (7).

12.

For så vidt angår den behandling af personoplysninger, som finder sted i EU-institutionerne, gælder artikel 16 i EUF-traktaten for alle aktiviteter i EU, herunder den fælles udenrigs- og sikkerhedspolitik, mens der i artikel 39 i EU-traktaten fastlægges en anden beslutningsprocedure med hensyn til den behandling af personoplysninger, der finder sted i medlemsstaterne inden for den fælles udenrigs- og sikkerhedspolitiks anvendelsesområde. Ydermere får Domstolen fuld kompetence til selv på området for den fælles udenrigs- og sikkerhedspolitik at prøve lovligheden, herunder især for så vidt angår grundlæggende rettigheder, af afgørelser om restriktive foranstaltninger over for fysiske eller juridiske personer (EUF-traktatens artikel 275).

13.

Endvidere vil EU's tiltrædelse af den Europæiske Menneskerettighedskonvention, jf. Lissabontraktaten, bevirke, at de holdninger, som Europarådet indtager med hensyn til sortlistning (8), og Den Europæiske Menneskerettighedsdomstols retspraksis bliver endnu mere relevante for EU's retlige rammer.

14.

På denne baggrund har artikel 8 i chartret om grundlæggende rettigheder en særlig betydning, navnlig de passager, hvoraf det fremgår, at personoplysninger skal behandles på et berettiget ved lov fastsat grundlag, og at »enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende«. Disse basale elementer i databeskyttelse skal respekteres i alle EU-foranstaltninger, og fysiske personer vil endda kunne påberåbe sig den direkte virkning af de rettigheder, som denne artikel giver, uanset en eventuel eksplicit anerkendelse i den afledte EU-ret.

15.

De nye retlige rammer, som Lissabontraktatens ikrafttræden har medført, giver lovgiveren redskaberne og forpligtelsen til at fastlægge omfattende og sammenhængende regler til beskyttelse af personoplysninger, også for så vidt angår restriktive foranstaltninger. Denne forpligtelse får stadig større betydning på grund af den hastige udbredelse og den stadig længere varighed af denne type foranstaltninger, som har vidtrækkende konsekvenser for de berørte personer.

16.

På denne baggrund opfordrer EDPS på det kraftigste Kommissionen til at gå væk fra den nuværende fragmentariske tilgang, hvormed specifikke og af og til indbyrdes forskellige regler om behandlingen af personoplysninger vedtages for forskellige lande eller organisationer, og foreslå en generel og sammenhængende ramme for alle EU's målrettede sanktioner over for fysiske eller juridiske personer, enheder eller organer, der sikrer respekten for de pågældende fysiske personers grundlæggende rettigheder og navnlig respekten for den grundlæggende ret til beskyttelse af personoplysninger. Nødvendige begrænsninger i disse rettigheder bør være klart fastlagt i lovgivningen, stå i et rimeligt forhold til formålet og altid respektere rettighedernes basale indhold.

17.

Ifølge EDPS bør denne indsats føres ud i livet parallelt med Det Europæiske Råds mål i Stockholmprogrammet om at fortsætte »arbejdet med at forbedre udformningen, gennemførelsen og effektiviteten af FN's Sikkerhedsråds sanktioner med henblik på at beskytte de grundlæggende rettigheder og sikre retfærdige og klare procedurer« (9).

18.

I de følgende afsnit vedrørende analyse af de foreliggende forslag fremsættes der ikke alene anbefalinger til forbedring af bestemmelserne i forslagene, der sættes også streg under de databeskyttelsesaspekter, som på nuværende tidspunkt ikke behandles, og som EDPS ønsker en præcisering af enten i disse retsakter eller i en mere generel ramme.

19.

Som allerede anført i EDPS’ udtalelse af 28. juli 2009 gælder databeskyttelsesreglerne i forordning (EF) nr. 45/2001 for behandling af personoplysninger i EU-institutionerne i forbindelse med restriktive foranstaltninger, også selv om disse foranstaltninger er truffet af internationale organisationer eller er fastlagt i fælles holdninger, der er vedtaget inden for rammerne af den fælles udenrigs- og sikkerhedspolitik.

20.

EDPS ser i den forbindelse med tilfredshed på, at der i de foreliggende forslag henvises til, at forordning (EF) nr. 45/2001 finder anvendelse, samt til de registreredes rettigheder i medfør heraf. EDPS beklager dog, at udviklingen i forhandlingerne i forbindelse med de restriktive foranstaltninger for så vidt angår Al-Qaida har bevirket, at nogle af disse henvisninger er udgået.

21.

I denne sammenhæng ønsker EDPS at understrege, at dette ikke udelukker eller begrænser gyldigheden af de forpligtelser og de af de registreredes rettigheder, der ikke længere er eksplicit nævnt i retsakterne. EDPS mener imidlertid, at det ikke blot styrker beskyttelsen af de grundlæggende rettigheder, når databeskyttelsesaspekterne nævnes og behandles eksplicit i retsakterne om restriktive foranstaltninger, det undgås også, at ømtålelige spørgsmål forbliver uklare og derfor indbringes for domstolene.

22.

Mere generelt understreger EDPS, at »enhver har ret til beskyttelse af personoplysninger« i medfør af artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder. Denne grundlæggende rettighed bør derfor være garanteret i EU, uanset hvilken nationalitet eller bopæl eller hvilket erhverv de berørte personer har. Det betyder, at selv om det kan være nødvendigt at begrænse denne rettighed i forbindelse med restriktive foranstaltninger, kan der ikke gennemføres nogen principiel eller fuldstændig udelukkelse heraf for så vidt angår visse kategorier af fysiske personer såsom dem, der har tilknytning til et tredjelands regering.

23.

I henhold til gældende databeskyttelsesregler (artikel 4 i forordning (EF) nr. 45/2001) skal personoplysninger behandles loyalt og lovligt, indsamles til udtrykkeligt angivne og legitime formål og må ikke senere gøres til genstand for behandling, som er uforenelig med disse formål, samt være tilstrækkelige og relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles. Personoplysninger skal også være korrekte og ajourførte; der træffes alle rimelige foranstaltninger for at slette eller berigtige personoplysninger, der er urigtige eller ufuldstændige. Endvidere skal personoplysninger opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne indsamles, eller de formål, hvortil de senere behandles.

24.

EDPS hilser det velkommen, at der i alle Kommissionens forslag (10) er en eksplicit definition af de kategorier af personoplysninger, der vil blive behandlet i forbindelse med restriktive foranstaltninger, og at de indeholder eksplicitte bestemmelser for behandlingen af personoplysninger forbundet med lovovertrædelser, domfældelser i straffesager og sikkerhedsforanstaltninger.

25.

På denne baggrund er EDPS tilfreds med det princip, der er fastlagt i artikel 7e, stk. 3, i Al-Qaida-forslaget, hvorved for- og efternavn på forældrene til en fysisk person kun kan anføres i bilaget, hvis det er nødvendigt i en konkret sag med det ene formål at bekræfte identiteten af den pågældende fysiske person, der er opført på listen. Denne bestemmelse afspejler også fint databeskyttelsesprincippet om formålsbegrænsning, ifølge hvilket personoplysninger skal indsamles til udtrykkeligt angivne formål og ikke senere må gøres til genstand for behandling, som er uforenelig med disse formål.

26.

For at sikre, at dette princip er tilstrækkeligt specificeret og finder anvendelse for så vidt angår behandlingen af personoplysninger på dette område, anbefaler EDPS, at princippet eksplicit anvendes på alle oplysningskategorier, således at relevante artikler affattes sådan, at bilaget med de personer, der er opført på listen, »udelukkende omfatter oplysninger, der er nødvendige for at bekræfte identiteten af de pågældende fysiske personer, der er opført på listen, og under alle omstændigheder højst følgende oplysninger«. Med denne ændring kan det forhindres, at der bliver indsamlet og offentliggjort unødvendige oplysninger om fysiske personer, der er opført på listen, og deres familie.

27.

Endvidere foreslår EDPS, at det i forslagene eksplicit anføres, at personoplysninger slettes eller anonymiseres, så snart de i hvert enkelt tilfælde ikke længere er nødvendige til gennemførelsen af de restriktive foranstaltninger eller i forbindelse med verserende retssager ved Domstolen.

28.

Med hensyn til forpligtelsen til at sørge for, at personoplysninger er korrekte og ajourførte, benyttes der i de foreliggende forslag forskellige fremgangsmåder. I forslaget om Somalia, der afspejler Al-Qaida-forslaget, fastsættes det, at når FN beslutter at fjerne en person fra listen, ændrer Kommissionen EU-listen i overensstemmelse hermed (artikel 11, stk. 4). I forslaget om Den Demokratiske Folkerepublik Korea pålægges der i stedet en forpligtelse til at revidere EU-listen regelmæssigt og mindst hver 12. måned (artikel 6, stk. 2). De øvrige forslag berører ikke nogen af disse mekanismer.

29.

Ikke desto mindre skal alle EU-lister, uanset hvilket land de vedrører, og uanset om de er vedtaget direkte på EU-niveau eller er udarbejdet med henblik på at gennemføre en FN-beslutning, overholde princippet om datakvalitet, som på området for restriktive foranstaltninger har en altafgørende betydning. Som det for nylig blev påpeget af Retten i Første Instans (11), skal der, når de restriktive foranstaltninger træffes på baggrund af en politiundersøgelse eller en undersøgelse udført af en sikkerhedstjeneste, tages behørigt hensyn til udviklingen i disse undersøgelser — f.eks. indstilling af en undersøgelse, opgivelse af en retsforfølgelse eller frifindelse — når listerne revideres for at undgå, at en persons midler indefryses på ubestemt tid uden for enhver retslig kontrol og uanset udfaldet af eventuelle efterfølgende retslige procedurer.

30.

På denne baggrund anbefaler EDPS, at der iværksættes effektive mekanismer til fjernelse af fysiske personer fra listen samt til regelmæssig revidering af EU-lister for så vidt angår alle foreliggende og fremtidige forslag på dette område.

31.

EDPS hilser det i sin udtalelse af 28. juli 2009 velkommen, at Kommissionen agter at styrke respekten for de grundlæggende rettigheder ved at give de berørte personer mulighed for at blive underrettet om begrundelsen for, at de er opført på listerne, og mulighed for at tilkendegive deres holdning til sagen. Der foreslås nu samme type bestemmelse med hensyn til Somalia (12) og Guinea (13), mens retten til at blive underrettet om begrundelsen for at være blevet opført på listen og retten til at fremsætte sine synspunkter for Zimbabwes (14) vedkommende er begrænset til at gælde for personer, som ikke er knyttet til Zimbabwes styre. I forslaget om Den Demokratiske Folkerepublik Korea nævnes denne mulighed slet ikke.

32.

EDPS erindrer om forpligtelsen til at underrette den registrerede i medfør af artikel 11 og særlig artikel 12 i forordning (EF) nr. 45/2001, der omhandler oplysningspligt, når personoplysningerne ikke er indsamlet hos den registrerede. Disse bestemmelser skal respekteres for så vidt angår alle fysiske personer uanset nationalitet og eventuel tilknytning til regeringen i visse lande. Der findes naturligvis forskellige retningslinjer for underretning af de personer, der er opført på listen, som kan tilpasses til de restriktive foranstaltningers specifikke politiske sammenhæng. Endvidere kan der i nødvendigt omfang under særlige omstændigheder vedtages begrænsninger eller undtagelser i medfør af artikel 20 i forordning (EF) nr. 45/2001 (15), men det er ikke muligt at gennemføre en fuldstændig og ubegrænset undtagelse af forpligtelsen til underretning.

33.

På denne baggrund anbefaler EDPS, at den ret til at blive underrettet, som personer, der er opført på en liste, har, samt de betingelser og retningslinjer for begrænsningerne, der måtte være nødvendige, behandles mere eksplicit i alle foreliggende og fremtidige forslag.

34.

Det fremgår af artikel 8, stk. 2, i Den Europæiske Unions charter om grundlæggende rettigheder, at »enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende, og til berigtigelse heraf«, hvormed retten til adgang til oplysninger gøres til et af de centrale elementer i den grundlæggende ret til beskyttelse af personoplysninger. I samme forbindelse har den registrerede, i henhold til forordning (EF) nr. 45/2001, artikel 13, indtil tre måneder efter modtagelsen af anmodningen til enhver tid ret til hos den registeransvarlige uden begrænsning og vederlagsfrit bl.a. at få oplyst i letforståelig form, hvilke personoplysninger der er genstand for behandling (jf. litra c).

35.

I forbindelse med restriktive foranstaltninger er personoplysninger vedrørende fysiske personer, der er opført på en liste, og navnlig oplysninger om begrundelsen for opførelsen på listen, ofte indeholdt i klassificerede dokumenter. For så vidt angår disse dokumenter fastsættes der i alle Kommissionens forslag enslydende bestemmelser: Først hedder det, at såfremt FN eller en medlemsstat forelægger klassificeret information, behandler Kommissionen en sådan information i henhold til Kommissionens interne sikkerhedsbestemmelser (afgørelse 2001/844/EF, EKSF, Euratom (16) og, når dette er relevant, aftalen mellem Den Europæiske Union og den pågældende medlemsstat om klassificerede oplysningers sikkerhed. Dernæst præciseres det, at dokumenter, der er klassificeret på et niveau svarende til »EU Top Secret«, »EU Secret« eller »EU Confidential«, ikke videregives uden ophavsmandens samtykke (17).

36.

EDPS har allerede nøje analyseret disse bestemmelser i sin udtalelse af 28. juli 2009 (18) og bemærkede, at hverken Kommissionens interne sikkerhedsregler eller aftalerne med de enkelte medlemsstater eller FN omhandler spørgsmålet om den registreredes indsigt i personoplysninger vedrørende den pågældende selv. Selv om begrænsninger af retten til indsigt kan komme på tale i forbindelse med restriktive foranstaltninger, sikrer de gældende bestemmelser endvidere ikke, at en begrænsning kun indføres, når den er nødvendig, og de indeholder ikke væsentlige kriterier for, hvornår den er nødvendig. Således vil retten til indsigt ifølge forslagene være underlagt et ufravigeligt krav om samtykke fra ophavsmanden, hvormed der gives fuld skønsbeføjelse til ophavsmanden til oplysningerne, hvilket også indbefatter parter, der ikke er underlagt EU-ret og EU's standarder for beskyttelse af de grundlæggende rettigheder.

37.

Forhandlingerne i Rådet har medført, at denne bestemmelse i Al-Qaida-forslaget er udgået.

38.

På denne baggrund anbefaler EDPS på det kraftigste, at lovgiveren i de foreliggende og fremtidige forslag behandler det væsentlige spørgsmål om ret til indsigt i personoplysninger for en fysisk person, som er opført på en liste — direkte eller indirekte gennem andre myndigheder (19) — når disse oplysninger vedrører vedkommende selv og er indeholdt i klassificerede dokumenter, med forbehold af eventuelle rimelige begrænsninger, som kan være nødvendige under visse omstændigheder.

39.

EDPS erindrer også om, at der i forordning (EF) nr. 45/2001 er fastlagt andre rettigheder for registrerede, som lovgiveren eventuelt bør overveje at behandle i disse eller fremtidige forslag. Navnlig med artikel 14 i forordning (EF) nr. 45/2001 pålægges den registeransvarlige en forpligtelse til omgående at berigtige urigtige eller ufuldstændige personoplysninger, mens tredjemand, til hvem personoplysninger er videregivet, ifølge artikel 17 skal underrettes om berigtigelse eller sletning af data i tilfælde af fjernelse fra listen, medmindre dette viser sig umuligt eller kræver en uforholdsmæssig stor indsats.

40.

Endvidere hilser EDPS det velkommen, at alle forslag eksplicit medtager udpegelsen af et kontor i Europa-Kommissionen som registeransvarlig, hvilket øger den registeransvarliges synlighed og gør det lettere for de registrerede at udøve deres rettigheder og lettere at fordele ansvaret i henhold til forordning (EF) nr. 45/2001.

41.

Et vigtigt spørgsmål, der på nuværende tidspunkt ikke er eksplicit omhandlet i forslagene, men som er implicit omhandlet i proceduren for opførelse på listen, er sikringen af, at personoplysninger er tilstrækkeligt beskyttet, når de udveksles af EU med tredjelande og internationale organisationer såsom FN.

42.

I den forbindelse henleder EDPS opmærksomheden på artikel 9 i forordning (EF) nr. 45/2001, der indeholder betingelserne for videregivelse af personoplysninger til modtagere, som ikke er fællesskabsorganer, og som ikke er undergivet direktiv 95/46/EF. Her findes en bred vifte af løsninger, der omfatter alt fra samtykke fra den registrerede (stk. 6, litra a)) og fremførelse af et retskrav (stk. 6, litra d)) — hvilket kunne være nyttigt, hvis oplysningerne stammer fra den person, der er opført på listen, med henblik på at få foretaget en fornyet vurdering af opførelsen — til tilstedeværelsen inden for FN eller det relevante tredjeland af mekanismer til sikring af en tilstrækkelig beskyttelse af personoplysninger, der videregives fra EU.

43.

EDPS, som minder om, at de forskellige påtænkte behandlinger bør stemme overens med denne ordning, henstiller til lovgiveren at sikre, at der indføres passende mekanismer og garantier — såsom nærmere detaljer i forslagene samt arrangementer med FN eller relevante tredjelande — med henblik på at sikre en tilstrækkelig beskyttelse af de personoplysninger, der udveksles med tredjelande og internationale organisationer.

44.

EDPS mener, at indførelsen af restriktioner og begrænsninger af visse grundlæggende rettigheder såsom beskyttelsen af personoplysninger spiller en altafgørende rolle i forbindelse med restriktive foranstaltninger, da de kan være nødvendige for at sikre en effektiv og passende håndhævelse af de restriktive foranstaltninger.

45.

Med den europæiske konvention til beskyttelse af menneskerettigheder, EU's charter om grundlæggende rettigheder og de specifikke retsakter til beskyttelse af data, herunder forordning (EF) nr. 45/2001, artikel 20, gives der mulighed herfor, dog med visse forbehold, som er blevet bekræftet og præciseret af både Den Europæiske Menneskerettighedsdomstol og Den Europæiske Unions Domstol (20). Kort fortalt bør begrænsningerne af den grundlæggende ret til databeskyttelse baseres på lovmæssige foranstaltninger og opfylde nogle forholdsmæssige krav, dvs. at de både i indhold og varighed bør begrænses til, hvad der er nødvendigt for at beskytte offentlighedens interesser, således som Domstolens omfattende retspraksis har bekræftet det, også for så vidt angår restriktive foranstaltninger. Generelle, uforholdsmæssige eller uforudsigelige begrænsninger overholder ikke disse krav.

46.

Eksempelvis vil det for at bibeholde overraskelseseffekten være nødvendigt at vente med at underrette de involverede personer om en afgørelse om, at de opføres på listen, og at deres midler indefryses. Imidlertid, og som Retten i Første Instans har påpeget i sin retspraksis (21), vil det være unødvendigt og dermed urimeligt, hvis man selv efter indefrysningen undlader eller venter med at give disse oplysninger. Der kan desuden indføres rimelige og midlertidige begrænsninger af den registreredes ret til indsigt i personoplysninger vedrørende den pågældende selv — herunder oplysninger om de beslutninger, som opførelsen på listen er baseret på — men en fuldstændig og permanent udelukkelse af denne ret respekterer ikke essensen af den grundlæggende ret til beskyttelse af personoplysninger.

47.

Forordning (EF) nr. 45/2001 udgør allerede en retlig ramme, der giver mulighed for både begrænsninger og garantier. Artikel 20, stk. 3 og 4, indeholder bestemmelser for, hvornår en begrænsning kan finde anvendelse. Ifølge stk. 3 skal den involverede institution underrette den registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om vedkommendes ret til at henvende sig til EDPS. Stk. 4 indeholder en yderligere bestemmelse, der specifikt vedrører en begrænsning af indsigtsretten. Ifølge den skal EDPS, når han undersøger en klage på grundlag af stk. 3, kun underrette den registrerede om, hvorvidt oplysningerne er behandlet korrekt, og, hvis dette ikke er tilfældet, hvorvidt de nødvendige korrektioner er foretaget (22).

48.

Samtlige foreliggende forslag omhandler kun delvist eller implicit spørgsmålet om begrænsninger af databeskyttelsesrettigheder, hvormed der er risiko for, at der opstår modstridende regler og forskellige fortolkningsmuligheder, som med stor sandsynlighed vil ende i retten. Forhandlingerne om Al-Qaida-forslaget synes at gå i retning af at reducere henvisningerne til databeskyttelsesrettigheder og nødvendige begrænsninger.

49.

På denne baggrund anbefaler EDPS lovgiveren at behandle dette følsomme spørgsmål ved i de foreliggende forslag eller i et andet retligt instrument at præcisere, hvilke begrænsninger af databeskyttelsesprincipperne og hvilke garantier der kan blive nødvendige i forbindelse med restriktive foranstaltninger. Således vil begrænsningerne blive forudsigelige og forholdsmæssige og dermed samtidig sikre effektiviteten af de restriktive foranstaltninger, respekten for de grundlæggende rettigheder og nedbringelsen af antallet af søgsmål ved domstolene. Det er endvidere i tråd med Stockholmprogrammet, ifølge hvilket EU skal forudse og regulere de omstændigheder, under hvilke det er berettiget, at de offentlige myndigheder griber ind i udøvelsen af databeskyttelsesrettigheder (23).

50.

I medfør af artikel 32, stk. 4, i forordning (EF) nr. 45/2001 og artikel 23 i direktiv 95/46/EF , har enhver, der har lidt skade som følge af en ulovlig behandling af oplysninger, ret til erstatning for den forvoldte skade fra den registeransvarlige, medmindre den registeransvarlige beviser, at han ikke er skyld i den begivenhed, der medførte skaden. Det er en præcisering af det overordnede retlige begreb »ansvar« ved hjælp af omvendt bevisbyrde.

51.

I den sammenhæng baseres de restriktive foranstaltninger på behandling og offentliggørelse af personoplysninger, der i tilfælde af retsstridig adfærd — uanset hvilke restriktive foranstaltninger der er truffet — i sig selv kan give anledning til erstatning for ikke-økonomisk skade, jf. afgørelse truffet af Retten i Første Instans (24).

52.

EDPS påpeger, at dette ansvar uden for kontraktforhold for en behandling af personoplysninger, der er i strid med den gældende databeskyttelseslovgivning, fortsat vil gælde og ikke kan gøres reelt indholdsløst, selv om nogle af de foreliggende forslag (25) fritager fysiske og juridiske personer, der gennemfører restriktive foranstaltninger, for ansvar, medmindre der er tale om forsømmelighed.

53.

Personer, der er opført på listen, har adgang til både juridiske og administrative retsmidler ved de databeskyttelsesretlige tilsynsmyndigheder. De administrative retsmidler omfatter høring af klager, der er indgivet af registrerede i medfør af artikel 32 i forordning (EF) nr. 45/2001, og afhænger af EDPS’ beføjelser til hos en registeransvarlig eller en fællesskabsinstitution eller et fællesskabsorgan at få adgang til alle personoplysninger og til alle informationer, der er nødvendige for hans undersøgelser (jf. artikel 47, stk. 2, litra b), i forordning (EF) nr. 45/2001).

54.

Uafhængig kontrol af overholdelsen af databeskyttelsesregler er et grundlæggende princip for databeskyttelse, som nu bekræftes på ny for så vidt angår den behandling af personoplysninger, der finder sted i forbindelse med alle EU's aktiviteter, ikke blot i medfør af artikel 8 i EU's charter om grundlæggende rettigheder, men også EUF-traktatens artikel 16 og EU-traktatens artikel 39.

55.

Som EDPS allerede har nævnt i sin udtalelse af 28. juli 2009 (26), er han betænkelig ved, at kravet i de foreliggende forslag om, at klassificerede oplysninger kun må videregives med ophavsmandens samtykke, ikke alene kan påvirke EDPS’ tilsynsbeføjelser på dette område, men også at det kan berøre effektiviteten af en domstolsprøvelse, idet det kan få indvirkning på Domstolens mulighed for at vurdere, om der er skabt en rimelig balance mellem nødvendigheden af at bekæmpe international terrorisme og beskyttelsen af de grundlæggende rettigheder. Som Retten i Første Instans bemærkede det i sin afgørelse af 4. december 2008 kan det med henblik herpå være nødvendigt for Domstolen at få adgang til klassificerede oplysninger (27).

56.

På denne baggrund anbefaler EDPS, at det i de foreliggende forslag sikres, at de eksisterende juridiske retsmidler og det uafhængige tilsyn ved de databeskyttelsesretlige tilsynsmyndigheder gælder fuldt ud, og at de betingelser, der opstilles for så vidt angår indsigt i klassificerede dokumenter, ikke påvirker effektiviteten heraf. Et første skridt i den retning vil være at ændre udtrykket »videregives« til »gøres offentligt tilgængelige« i de relevante artikler i de foreliggende forslag (28).

57.

EDPS er af den faste overbevisning, at kampen mod dem, der undergraver respekten for de grundlæggende rettigheder, skal udkæmpes med respekt for de grundlæggende rettigheder.

58.

På denne baggrund udtrykker EDPS, ligesom i sin udtalelse af 28. juli 2009 vedrørende restriktive foranstaltninger over for Al-Qaida, tilfredshed med, at Kommissionen agter at forbedre de gældende retlige rammer ved at styrke proceduren for opførelse på listen og ved eksplicit at tage hensyn til retten til beskyttelse af personoplysninger.

59.

I betragtning af de redskaber, som Lissabontraktaten frembyder, og den langsigtede vision i Stockholmprogrammet opfordrer EDPS på det kraftigste Kommissionen til at gå væk fra den nuværende fragmentariske tilgang, hvormed specifikke og af og til indbyrdes forskellige regler om behandlingen af personoplysninger vedtages for forskellige lande eller organisationer, og foreslå en generel og sammenhængende ramme for alle EU's målrettede sanktioner over for fysiske eller juridiske personer, enheder eller organer, der sikrer respekten for de pågældende fysiske personers grundlæggende rettigheder og navnlig respekten for den grundlæggende ret til beskyttelse af personoplysninger. Nødvendige begrænsninger i disse rettigheder bør være klart fastlagt i lovgivningen, stå i et rimeligt forhold til formålet og altid respektere rettighedernes basale indhold.

60.

EDPS ser med tilfredshed på, at der i de foreliggende forslag henvises til, at forordning (EF) nr. 45/2001 finder anvendelse, samt til de registreredes rettigheder i medfør heraf.

61.

Med hensyn til datakvalitet og formålsbegrænsning anbefaler EDPS, at der foretages en række ændringer med henblik på at sikre, at kun nødvendige oplysninger behandles, at disse oplysninger ajourføres, og at de ikke opbevares i et længere tidsrum end det, der er nødvendigt. Navnlig anbefaler EDPS, at der iværksættes effektive mekanismer til fjernelse af fysiske personer fra listen samt til regelmæssig revidering af EU-lister for så vidt angår alle foreliggende og fremtidige forslag på dette område.

62.

EDPS anbefaler, at den ret til at blive underrettet, som personer, der er opført på en liste, har, samt de betingelser og retningslinjer for begrænsningerne, der måtte være nødvendige, behandles mere eksplicit i alle foreliggende og fremtidige forslag.

63.

EDPS anbefaler på det kraftigste, at lovgiveren i de foreliggende og fremtidige forslag behandler det væsentlige spørgsmål om ret til indsigt i personoplysninger for en fysisk person, der er opført på en liste, når oplysningerne vedrører den pågældende selv og er indeholdt i klassificerede dokumenter, med forbehold af eventuelle rimelige begrænsninger, som kan være nødvendige under visse omstændigheder.

64.

EDPS henstiller til lovgiveren at sikre, at der indføres passende mekanismer og garantier — såsom nærmere detaljer i forslagene samt arrangementer med FN eller relevante tredjelande — med henblik på at sikre en tilstrækkelig beskyttelse af de personoplysninger, der udveksles med tredjelande og internationale organisationer.

65.

EDPS henstiller til lovgiveren at præcisere i de foreliggende forslag eller et andet retligt instrument, hvilke begrænsninger af databeskyttelsesprincipperne, og hvilke garantier der kan blive nødvendige i forbindelse med restriktive foranstaltninger med henblik på at gøre begrænsningerne forudsigelige og forholdsmæssige.

66.

EDPS bemærker, at ansvarsprincippet ved ulovlig behandling af personoplysninger fortsat gælder, og at det ikke kan gøres reelt indholdsløst.

67.

EDPS anbefaler at sikre, at de eksisterende juridiske retsmidler og det uafhængige tilsyn ved de databeskyttelsesretlige tilsynsmyndigheder gælder fuldt ud, samt at de betingelser, der opstilles for så vidt angår indsigt i klassificerede dokumenter, ikke påvirker effektiviteten heraf.