16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/16

1.

Den 3. december 2008 vedtog Kommissionen et forslag til Europa-Parlamentets og Rådets direktiv om affald af elektrisk og elektronisk udstyr (WEEE) (i det følgende benævnt »forslaget«) (1). Forslaget har til formål at omarbejde direktiv 2002/96/EF om affald af elektrisk og elektronisk udstyr (WEEE), som blev vedtaget den 27. januar 2003 (i det følgende benævnt »direktivet«) (2), uden at ændre hverken incitamentet eller begrundelsen for at indsamle og genvinde WEEE.

2.

Den tilsynsførende er ikke blevet hørt, hvilket er i strid med artikel 28 i Rådets forordning (EF) nr. 45/2001 (3). Den tilsynsførende har derfor på eget initiativ vedtaget denne udtalelse på grundlag af artikel 41, stk. 2, i samme forordning. Den tilsynsførende henstiller til, at der henvises til denne udtalelse i præamblen til forslaget.

3.

Den tilsynsførende er klar over, at denne anbefaling kommer sent i lovgivningsprocessen, men finder det ikke desto mindre hensigtsmæssigt og nyttigt at fremsætte denne udtalelse, da forslaget rejser en række vigtige spørgsmål vedrørende databeskyttelse, som ikke besvares. Denne udtalelse har ikke til formål at ændre ved forslagets primære og fremherskende formål og indhold, hvis »tyngdepunkt« (4) forbliver miljøbeskyttelse, men sigter udelukkende på at tilføje en ekstra dimension, som får stadig større betydning i vores informationssamfund (5).

4.

Den tilsynsførende er opmærksom på omarbejdningsprocedurens begrænsede anvendelsesområde, men opfordrer alligevel lovgiveren til at tage disse henstillinger i betragtning i overensstemmelse med artikel 8 i den interinstitutionelle aftale om omarbejdningsproceduren (som giver mulighed for at ændre uændrede bestemmelser) (6).

5.

Forslaget har til formål at opdatere det nuværende direktiv om bortskaffelse, genbrug og genanvendelse af WEEE. Forslaget er blevet til på baggrund af de tekniske, juridiske og administrative problemer, der opstod i de første år efter gennemførelsen af direktivet, hvilket der var taget højde for i direktivets artikel 17, stk. 5.

6.

Elektrisk og elektronisk udstyr (EEE) er en bred produktgruppe, der omfatter en række forskellige medier til lagring af personlige oplysninger, såsom it- og teleudstyr (f.eks. pc’er, bærbare computere, terminaler til elektronisk kommunikation), der inden for de nuværende teknisk-økonomiske rammer er kendetegnet ved stadig hurtigere innovationscyklusser og, takket være teknologisk konvergens, ved adgang til udstyr, der kan anvendes til mange forskellige formål. Udviklingen inden for elektroniske lagringsmedier går meget hurtigt, navnlig med hensyn til lagringskapacitet og størrelse, og markedskræfterne forårsager derfor en tilsvarende hurtig udskiftning af EEE (der indeholder store mængder af ofte følsomme personlige oplysninger). Dette resulterer ikke blot i, at WEEE betragtes som den hurtigst voksende affaldsstrøm i EU (7), men også i, at der i tilfælde af uforsvarlig bortskaffelse er en åbenlyst øget risiko for tab eller spredning af personoplysninger, der er lagret i denne type EEE.

7.

Den Europæiske Unions politikker om miljø og bæredygtig udvikling har igennem længere tid været rettet mod at reducere affald af naturlige ressourcer og indføre forureningsbekæmpende foranstaltninger.

8.

Bortskaffelse, genbrug og genvinding af WEEE er omfattet af disse rammer. Disse foranstaltninger sigter mod at forhindre bortskaffelse af elektrisk og elektronisk udstyr og blandet affald og forpligter producenterne til at bortskaffe affald i overensstemmelse med direktivets bestemmelser.

9.

Blandt de forskellige foranstaltninger, der fastsættes i direktivet, er det især værd at fremhæve de foranstaltninger, der har til formål at fremme genbrug (dvs. enhver proces, hvorved WEEE eller komponenter herfra fortsat anvendes til samme formål, som de blev fremstillet til, og som returneres til indsamlingssteder, distributører, genvindingsvirksomheder eller fabrikanter), genvinding (dvs. oparbejdning i en produktionsproces af affaldsmaterialer til deres oprindelige formål eller andre formål) og finde andre måder til at nyttiggøre WEEE for at nedbringe den affaldsmængde, der skal bortskaffes (se artikel 1 og 3, litra d) og e) i direktivet).

10.

Disse processer, herunder navnlig genbrug og genvinding af WEEE, især it- og teleudstyr, udgør i højere grad end tidligere en risiko for, at de personer, der indsamler WEEE eller sælger og køber de genbrugte eller genvundne apparater, kan få adgang til personoplysninger, der er lagret i apparaterne. Disse oplysninger er ofte følsomme eller omhandler et stort antal personer.

11.

På baggrund heraf mener den tilsynsførende, at det er vigtigt, at alle aktører (brugere og producenter af EEE) bliver gjort opmærksomme på risiciene i forbindelse med personoplysninger, navnlig i den sidste fase af livscyklussen for elektrisk og elektronisk udstyr. Selv om dette udstyr i denne fase har mindre økonomisk værdi, indeholder det med stor sandsynlighed en stor mængde personoplysninger og har dermed en stor »iboende« værdi for den registrerede og/eller andre.

12.

Den tilsynsførende har ingen bemærkninger til forslagets generelle mål og støtter fuldt ud det initiativ, der er taget, og som har til hensigt at forbedre de miljøvenlige politikker i forbindelse med WEEE.

13.

Forslaget samt direktivet fokuserer imidlertid udelukkende på de miljørisici, der er forbundet med bortskaffelse af WEEE. Der tages ikke højde for, at processer til bortskaffelse, genbrug eller genvinding af WEEE kan medføre andre risici for enkeltpersoner og/eller organisationer, navnlig de risici, der er forbundet med sandsynligheden for uretmæssig erhvervelse, videregivelse eller formidling af personoplysninger, der er lagret i WEEE.

14.

Det er vigtigt at bemærke, at direktiv 95/46/EF (8) finder anvendelse på »enhver operation eller række af operationer […] som personoplysninger gøres til genstand for«, herunder »slettelse eller tilintetgørelse« (artikel 2, litra b)). Bortskaffelse af WEEE kan omfatte operationer for behandling af oplysninger. Der er derfor en overlapning mellem forslaget og det nævnte direktiv, og reglerne om databeskyttelse kan derfor i princippet også finde anvendelse på aktiviteter, der er dækket af forslaget.

15.

Den tilsynsførende ønsker at fremhæve de væsentlige risici, der kan påvirke enkeltpersoner og/eller organisationer, der fungerer som »registeransvarlige« (9), i tilfælde af, at WEEE, navnlig it- og teleudstyr, indeholder personlige oplysninger om brugerne af dette udstyr og/eller tredjeparter på tidspunktet for bortskaffelsen. Ulovlig adgang til eller videregivelse af personoplysninger, som kan bestå af særlige kategorier af oplysninger vedrørende race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og behandling af personoplysninger vedrørende helbredsforhold og seksuelle forhold (såkaldt »følsomme oplysninger«) (10), kan krænke privatlivet og værdigheden hos de personer, som oplysningerne vedrører, samt de legitime interesser hos enkeltpersoner/organisationer (f.eks. af økonomisk karakter).

16.

Den tilsynsførende mener overordnet set, at det er nødvendigt at understrege vigtigheden af, at der vedtages passende sikkerhedsforanstaltninger i alle faser (fra start til slut) i behandlingen af personoplysninger, hvilket også er anført i tidligere udtalelser (11). Dette gælder især i den følsomme fase, hvor den registeransvarlige ønsker at bortskaffe udstyr, der indeholder personoplysninger.

17.

Overholdelse af sikkerhedsforanstaltninger er ofte en forudsætning for en effektiv beskyttelse af personoplysninger.

18.

Det vil derfor være inkonsekvent at indføre en forpligtelse til at indføre (undertiden omkostningstunge) sikkerhedsforanstaltninger i forbindelse med en almindelig behandling af personoplysninger (som fastsat i artikel 17 i direktiv 95/46/EF, når det er relevant (12)), for så blot at undlade at indføre tilstrækkelige foranstaltninger vedrørende bortskaffelse af WEEE.

19.

Det vil ligeledes være inkonsekvent at prioritere datasikkerhed i henhold til artikel 2 i direktiv 2009/136/EF (13), hvori det fastsættes, at der skal underrettes om brud på datasikkerheden, uden tilsvarende at indføre garantier eller beskyttelse i forbindelse med bortskaffelse, genbrug eller genvinding af WEEE.

20.

Den tilsynsførende beklager, at forslaget ikke tager højde for, hvilke potentielt skadelige indvirkninger bortskaffelsen af WEEE kan have på beskyttelsen af personoplysninger, som er lagret i brugt udstyr.

21.

Der blev heller ikke taget højde for dette aspekt i Kommissionens konsekvensanalyse (14), selv om erfaringerne viser, at mangel på tilstrækkelige sikkerhedsforanstaltninger i forbindelse med bortskaffelse af WEEE kan være skadelig for beskyttelsen af personoplysninger (15). På baggrund af kompleksiteten af de temaer, der berøres (f.eks. de mange legitime metoder, teknologier og aktører, som optræder i cyklussen for bortskaffelse af WEEE), mener den tilsynsførende, at det ville have været hensigtsmæssigt, om der var blevet udført en »konsekvensanalyse, for så vidt angår beskyttelse af privatlivets fred og databeskyttelse« i forbindelse med processerne til bortskaffelse af WEEE.

22.

Ikke desto mindre anbefaler den tilsynsførende på det kraftigste, at der udvikles »bedste tilgængelige teknikker« til beskyttelse af privatlivets fred og databeskyttelse og -sikkerhed på dette område.

23.

Dette understøttes endvidere af, at de forskellige aktører under den offentlige høring forud for omarbejdningen af direktivet gjorde opmærksom på problemstillinger vedrørende især it-selskaber og selskaber inden for elektronisk kommunikation (16).

24.

Endelig skal det fremhæves, at visse nationale databeskyttelsesmyndigheder har offentliggjort retningslinjer, der har til formål at minimere de risici, der kan opstå, hvis ikke der træffes de nødvendige sikkerhedsforanstaltninger, herunder navnlig i forbindelse med bortskaffelse af materialer, som er omfattet af direktivets anvendelsesområde (17).

25.

Den tilsynsførende gentager, at direktiv 96/46/EF finder anvendelse i forbindelse med bortskaffelse af WEEE, der indeholder personoplysninger. Registeransvarlige — navnlig de, der anvender it- og teleudstyr — er derfor nødt til at overholde deres sikkerhedsforpligtelser for at forhindre uretmæssig videregivelse eller formidling af personoplysninger. For ikke at blive gjort ansvarlig for overtrædelse af sikkerhedsforanstaltninger bør den registeransvarlige i den offentlige eller private sektor, i samarbejde med de databeskyttelsesansvarlige (hvis sådanne findes), vedtage hensigtsmæssige politikker for bortskaffelse af WEEE, der indeholder personoplysninger.

26.

Såfremt de registeransvarlige, der varetager bortskaffelse af WEEE, ikke har de fornødne kvalifikationer og/eller den fornødne tekniske viden til at slette de pågældende personoplysninger, kan de overdrage denne opgave til kvalificerede databehandlere (f.eks. assistancecentre, producenter eller forhandlere af udstyr) på de betingelser, der fastsættes i artikel 17, stk. 2, 3 og 4, i direktiv 95/46/EF. Databehandlerne vil derefter certificere udførelsen af de pågældende behandlinger og/eller udføre dem.

27.

På baggrund af disse overvejelser konkluderer den tilsynsførende, at der i forbindelse med omarbejdningen af direktivet bør føjes databeskyttelsesprincipper til de bestemmelser, der omhandler miljøbeskyttelse.

28.

Den tilsynsførende anbefaler derfor Rådet og Europa-Parlamentet at tilføje en specifik bestemmelse til det nuværende forslag, hvori det fastsættes, at direktivet finder anvendelse på bortskaffelse af WEEE, jf. dog direktiv 95/46/EF.

29.

De personer, der er ansvarlige for bortskaffelse, kan træffe selvstændige beslutninger vedrørende de data, der er lagret i det elektriske eller elektroniske udstyr, og kan derfor anses for at være »registeransvarlige« (18). De er derfor nødt til at vedtage interne procedurer for at undgå unødvendig behandling af personoplysninger, der er lagret i WEEE, det vil sige behandlinger, der ikke er absolut nødvendige for at bekræfte, at de lagrede oplysninger er blevet slettet.

30.

Derudover må de ikke give uautoriserede personer mulighed for at få kendskab til eller behandle data, der er lagret i elektrisk og elektronisk udstyr. Når lagringsmedier genbruges eller genvindes og dermed sendes tilbage på markedet, er der en øget risiko for uretmæssig videregivelse eller formidling af personoplysninger, og det er nødvendigt at forhindre ikke-autoriseret adgang til personoplysninger.

31.

Den tilsynsførende anbefaler derfor, at Rådet og Europa-Parlamentet tilføjer en specifik bestemmelse til det nuværende forslag med det formål at forbyde markedsføring af brugt udstyr, som ikke har været underlagt de fornødne sikkerhedsforanstaltninger, i overensstemmelse med de nyeste og mest avancerede tekniske standarder (f.eks. multi-pass overwriting), for at slette enhver personoplysning, der måtte være lagret i udstyret.

32.

De kommende retlige rammer for e-affald bør ikke blot indeholde en specifik bestemmelse vedrørende det mere generelle princip om miljøvenligt design i forbindelse med udstyret (se artikel 4 i forslaget vedrørende Produktdesign), men også, som anført tidligere i andre udtalelser fra den tilsynsførende (19), en bestemmelse vedrørende princippet om »Privacy by design« (indbygget databeskyttelse) (20) eller mere præcist for dette område »security by design« (21). Beskyttelse af privatlivets fred og databeskyttelse bør så vidt muligt som standard være integreret i selve udformningen af elektrisk og elektronisk udstyr, således at brugerne ved hjælp af enkle og gratis midler kan slette de personoplysninger, der måtte være på udstyret, hvis det skal bortskaffes (22).

33.

Denne tilgang understøttes af artikel 3, stk. 3, litra c), i direktiv 1999/5/EC (23) om radio- og teleterminaludstyr samt gensidig anerkendelse af udstyrets overensstemmelse og af artikel 14, stk. 3 i direktiv 2002/58/EF (24).

34.

Producenterne bør derfor »indbygge« foranstaltninger til databeskyttelse og -sikkerhed via teknologiske løsninger (25). I denne forbindelse bør der også gøres en indsats for at fremme og støtte initiativer, der har til formål at rådgive de personer, der er berørt af behovet for at slette alle personoplysninger inden bortskaffelse af WEEE (herunder producenter, der stiller gratis software til rådighed til dette formål) (26).

35.

I betragtning af ovenstående anbefaler den tilsynsførende, at databeskyttelsesmyndighederne, især via Artikel 29-arbejdsgruppen, og den tilsynsførende involveres tæt i initiativer vedrørende bortskaffelse af WEEE, i form af høring på et tilstrækkeligt tidligt stadium, før de relevante foranstaltninger udvikles.

36.

I betragtning af den kontekst, hvori personoplysninger behandles, henstiller den tilsynsførende til, at forslaget tilføjes specifikke bestemmelser:

37.

Den tilsynsførende anbefaler derfor på det kraftigste, at forslaget, i overensstemmelse med direktiv 95/46/EF, ændres som følger:

—   betragtning 11:

—   Artikel 2, stk. 3:

38.

Derudover mener den tilsynsførende, at det vil være hensigtsmæssigt at overveje følgende ændringer:

—   Artikel 4, stk. 2:

—   Artikel 8, stk. 7:

—   Artikel 14, stk. 6: