Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (herefter "konvention nr. 108") er den første retligt bindende multilaterale aftale på databeskyttelsesområdet. Formålet med konventionen er at beskytte retten til privatliv, der er anerkendt i artikel 8 den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder. Retten til privatliv og databeskyttelse er også forankret i artikel 7 og 8 i EU's charter om grundlæggende rettigheder samt i artikel 16 TEUF.

Det fremgår af konvention nr. 108, at parterne i deres nationale retsorden skal indføre de foranstaltninger, der er nødvendige for at sikre overholdelse af alle fysiske personers rettigheder i forbindelse med behandling af personoplysninger. Konventionen var en af de væsentligste inspirationskilder for udviklingen af EU's retsforskrifter på databeskyttelsesområdet. Et af formålene med Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger var ifølge betragtning 11 til direktivet netop at tilvejebringe "en præcisering og udvidelse af principperne i [konvention nr. 108]".

På nuværende tidspunkt har 51 stater ratificeret konvention nr. 108, herunder alle 28 EU-medlemsstater, de fire EFTA-stater, alle lande på det vestlige Balkan, flere nabolande (f.eks. Armenien og Georgien), Den Russiske Føderation, Tyrkiet, og flere ikke-europæiske lande i både Afrika (f.eks. Senegal og Tunesien) og Latinamerika (Uruguay). Flere anmodninger (fra f.eks. Argentina, Mexico og Marokko) er under behandling, og en række lande har observatørstatus (f.eks. Japan og Sydkorea).

Konvention nr. 108 blev åbnet for undertegnelse i 1981 længe før æraen med internet og elektronisk kommunikation. Den teknologiske udvikling og globaliseringen af information giver anledning til nye udfordringer med hensyn til beskyttelse af personoplysninger. Formålet med ændringsprotokollen er at modernisere konvention nr. 108 for at finde løsninger på disse udfordringer.

Den moderniserede konvention (dvs. konvention nr. 108 som ændret ved ændringsprotokollen) vil have et ensartet anvendelsesområde for alle parter i konventionen, uden mulighed for helt at undtage sektorer eller aktiviteter (f.eks. under henvisning til den nationale sikkerhed) fra dens anvendelsesområde, således som det er tilfældet med den nugældende konvention nr. 108. Den vil således omfatte alle former for databehandling, der finder sted på parternes område såvel inden for den offentlige som den private sektor.

Ved ændringsprotokollen øges databeskyttelsesniveauet væsentligt i henhold til konvention nr. 108. Den moderniserede konvention vil navnlig yderligere afgrænse princippet om lovlig databehandling (navnlig for så vidt angår kravene til samtykke) og yderligere styrke beskyttelsen af særlige kategorier af oplysninger (og samtidig udvide disse kategorier til også at omfatte de kategorier, som er anerkendt som særlige kategorier af personoplysninger i EU-retten). Ved den moderniserede konvention indføres desuden yderligere garantier for fysiske personer, når deres personoplysninger behandles (navnlig i form af en forpligtelse til at analysere de sandsynlige virkninger af en påtænkt databehandling og til at træffe relevante tekniske og organisatoriske foranstaltninger samt en forpligtelse til at indberette grove overtrædelser af reglerne om databeskyttelse), og den vil også medføre en styrkelse af deres rettigheder (især med hensyn til gennemsigtighed og adgang til oplysninger). De registrerede vil endvidere få tillagt nye rettigheder, såsom retten til ikke at blive gjort til genstand for indgribende afgørelser, der udelukkende er baseret på automatisk databehandling, retten til at gøre indsigelse mod databehandlingen samt retten til retsmidler i tilfælde af krænkelse af personens rettigheder.

Den moderniserede konvention vil omfatte reviderede bestemmelser (der i øjeblikket står i en tillægsprotokol, der kun er undertegnet af nogle af parterne), der indebærer, at parterne skal oprette en eller flere uafhængige myndigheder, der har ansvaret for at sikre overholdelsen af bestemmelserne i konvention nr. 108. Disse myndigheders stilling vil blive styrket, idet parterne forpligtes til at tillægge dem yderligere beføjelser, herunder beføjelse til at træffe afgørelser vedrørende overtrædelser af konvention nr. 108 og til at pålægge administrative sanktioner.

Undtagelserne til de ovennævnte rettigheder og forpligtelser i ændringsprotokollen opfylder tre grundlæggende betingelser: opretholdelse af det brede anvendelsesområde for konvention nr. 108 (ingen generelle undtagelser), fleksibilitet (der gør det muligt at forene høje databeskyttelsesstandarder med andre vigtige samfundsinteresser, f.eks. hensynet til den nationale sikkerhed) og en generel overensstemmelse med Den Europæiske Menneskerettighedsdomstols praksis (navnlig et forbud mod restriktioner, der vedrører kernen i den grundlæggende ret til databeskyttelse).

Den moderniserede konvention vil overordnet set sikre et højt beskyttelsesniveau, samtidig med at parterne overlades en vis fleksibilitet i forbindelse med gennemførelsen af bestemmelserne i national ret. For de lande – også lande uden for Europa – som har til hensigt at indføre et databeskyttelsessystem eller styrke et allerede eksisterende system, vil det således være attraktivt at tiltræde den moderniserede konvention. Dens virkning i praksis må forventes at være væsentligt større end virkningen af den nugældende konvention nr. 108, både for så vidt angår dens anvendelsesområde og de deri fastsatte forpligtelser.

Når ændringsprotokollen træder i kraft, får Unionen mulighed for at blive part i den moderniserede konvention. For så vidt angår stemmerettigheder i Europarådets komité om konventionen gælder der et princip om, at Unionen kan stemme inden for sit kompetenceområde ved at afgive et antal stemmer på Unionens vegne svarende til antallet af medlemsstater, der er parter i konventionen. Med henblik på at imødekomme betænkeligheder vedrørende vægten af Unionens stemme blev der opnået enighed om en kompromisløsning, hvorefter der kun kan træffes beslutninger med "overkvalificeret flertal" (dvs. fire femtedele af de kontraherende parter skal stemme for), og for de vigtigste beslutningers vedkommende, nemlig beslutninger om, hvorvidt en af parterne har tilsidesat konventionen, gælder et krav om "dobbelt flertal" (kvalificeret flertal kombineret med simpelt flertal af kontraherende parter uden for EU).

Den moderniserede konvention vil også styrke effektiviteten af databeskyttelsen ved at sørge for, at komitéen kan vurdere effekten af de foranstaltninger, der træffes i national lovgivning for at implementere konventionens bestemmelser.

Teksten til ændringsprotokollen blev koordineret med medlemsstaternes repræsentanter i den kompetente arbejdsgruppe i Rådet, og den er udtryk for en gennemførelse af Rådets forhandlingsdirektiver. Den er også i fuld overensstemmelse med både Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (den generelle forordning om databeskyttelse) og Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger ("politidirektivet om databeskyttelse"), hvorved det forhindres, at medlemsstaterne underlægges forskellige eller endog modstridende forpligtelser i henhold til EU's og Europarådets lovgivning. Vedtagelsen af en solid konvention, der er baseret på samme fremgangsmåde og principper som den (nye) nugældende EU-ret, er af særlig betydning for EU's internationale strategi på databeskyttelsesområdet. Konvention nr. 108, der også er åben for tiltrædelse af ikke-europæiske stater, har fået betydelig opmærksomhed fra andre lande rundt om i verden, som er i færd med eller har planer om at vedtage lovgivning om databeskyttelse. I sin meddelelse fra januar 2017 om udveksling og beskyttelse af personoplysninger i en globaliseret verden (COM(2017) 7 final) henviste Kommissionen til konvention nr. 108, idet den erkendte, at den moderniserede konvention ville blive baseret på de samme principper som EU's databeskyttelseslovgivning, og at den således ville "bidrage til konvergensen i retning af høje databeskyttelsesstandarder" på globalt plan. Den gav derfor tilsagn om at ville "fremme en hurtig vedtagelse" af ændringsprotokollen.

Det område, der er omfattet af den ændrede konvention, er nu i vid udstrækning omfattet af EU's lovgivningsramme for databeskyttelse. Den generelle forordning om databeskyttelse, som har været gældende siden 25. maj 2018, og politidirektivet, for hvilket overgangsperioden udløb den 6. maj 2018, udmønter sig i et omfattende regelværk for databeskyttelse, og de sikrer mindst samme og – i mange tilfælde – et højere beskyttelsesniveau. Ifølge artikel 13 i den moderniserede konvention kan parterne indrømme de registrerede et "højere beskyttelsesniveau end det, der er fastsat i denne konvention", og de har således adgang til at vedtage strengere beskyttelsesforanstaltninger.

Ændringsprotokollen træder i kraft, når alle parter har deponeret deres ratifikations-, accept- eller godkendelsesinstrument hos generalsekretæren for Europarådet. I betragtning af det store antal parter, der skal ratificere protokollen, er der i ændringsprotokollen åbnet mulighed for "delvis ikrafttræden" mellem en mindre gruppe af parter efter fem år, når mindst 38 parter har givet tilsagn om at ville være bundet heraf. Undertegnelsesceremonien i anledning af undertegnelsen af ændringsprotokollen er planlagt til at finde sted den 25. juni 2018 i Strasbourg.

EU's medlemsstater (i øjeblikket kun parter i konvention nr. 108) bør tage de nødvendige skridt til at sikre en hurtig ikrafttræden af ændringsprotokollen:

Eftersom den moderniserede konvention stort set indeholder samme garantier som den generelle forordning om databeskyttelse og politidirektivet, vil (delvis) ikrafttrædelsen for det første bidrage til fremme af EU's standarder for databeskyttelse i hele verden. Konvention nr. 108 har faktisk spillet en afgørende rolle ved udbredelsen af "den europæiske databeskyttelsesmodel" til hele verden, da den ofte bruges som en kilde til inspiration for lande, der har planer om at vedtage eller modernisere deres lovgivning om respekten for privatlivets fred. Dette er endnu vigtigere i dag i betragtning af det voksende antal lande, der gennemfører en sådan lovgivning i mange områder i verden. Parterne i konventionens forøgelse af sikkerhedsstandarderne vil også lette datastrømmene mellem de EU-lande, der er part i konventionen, og de tredjelande, der er part i samme konvention. For en række landes vedkommende har tiltrædelsen af konvention nr. 108 også vist sig at være en nyttig forberedelse til Europa-Kommissionens eventuelle konstatering af et tilstrækkeligt beskyttelsesniveau. Den generelle forordning om databeskyttelse styrker dette aspekt, idet det udtrykkeligt fastsættes, at tiltrædelse af konvention nr. 108 er en vigtig faktor, der skal tages i betragtning af Kommissionen ved vurderingen af beskyttelsesniveauet. Selv uden konstatering af et tilstrækkeligt beskyttelsesniveau vil et højere beskyttelsesniveau (navnlig for så vidt angår adgang til både retslige og udenretslige midler samt effektivt tilsyn fra tilsynsmyndigheder) lette udvekslingen af oplysninger baseret på de fornødne garantier (bl.a. fordi sådanne garantier lettere kan håndhæves i parternes retsorden).

For det andet er det vigtigt at sikre sig, at den moderniserede konvention fortsat er i fuld overensstemmelse med bestemmelserne i den generelle forordning om databeskyttelse og politidirektivet, således at EU's medlemsstater kan forblive parter i konventionen og overholde dens bestemmelser uden at overtræde EU-lovgivningen. Dette gælder navnlig bestemmelserne om frie datastrømme mellem parterne, da den moderniserede konvention (i modsætning til den nuværende tekst) indeholder en undtagelse fra denne regel for parter, der er "bundet af harmoniserede regler for beskyttelse, som gælder for stater, der indgår i en regional international organisation". Dette vil sikre, at EU's medlemsstater kan opfylde deres forpligtelser på trods af betingelserne vedrørende internationale overførsler, der finder sted inden for rammerne af Unionens lovgivning om beskyttelse af personoplysninger.

For det tredje giver den nugældende konvention nr. 108 ikke mulighed for, at internationale organisationer kan tiltræde den. Ændringsprotokollen ændrer dette, og dens ikrafttræden er derfor en betingelse for EU's fremtidige tiltrædelse af konventionen.

Forslaget til Rådets afgørelse bygger på artikel 218, stk. 5, i TEUF sammenholdt med artikel 16 TEUF.