31.8.2017   

DA

Den Europæiske Unions Tidende

C 288/107

Ordfører:

Jorge PEGADO LIZ

1.1.

Set ud fra et rent juridisk-teknisk synspunkt giver Kommissionen med det foreliggende forslag et generelt korrekt og passende bud på, hvordan de gældende bestemmelser i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001  (1) og Europa-Parlamentets, Rådets og Kommissionens afgørelse nr. 1247/2002/EF  (2) om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer kan tilpasses til den nye generelle forordning om databeskyttelse (3), der træder i kraft i hele EU den 25. maj 2018.

1.2.

Ikke desto mindre henviser EØSU til indholdet af sine bemærkninger og anbefalinger vedrørende forslaget til den generelle databeskyttelsesforordning, som nu er omdannet til den nuværende generelle forordning, og beklager, at denne endelige udgave ikke fuldt ud har taget EØSU's anbefalinger til sig. Derudover er EØSU i lyset af den hastige teknologiske udvikling på dette område bange for, at dens forsinkede vedtagelse og ikrafttræden, vil øge risikoen for uretmæssig tilegnelse af data og misbrug i forbindelse med behandlingen og udvekslingen af dem, idet man kan frygte, at forordningen vil være forældet allerede før, den implementeres. Da nærværende forslag i sig selv er en tilpasning af den nævnte generelle forordning til EU-institutionernes funktionsmåde, nærer EØSU samme bekymringer mht. dette forslag, især hvad angår dets uigennemskuelige formuleringer, som den almindelige EU-borger vil have svært ved at forstå.

1.3.

Endvidere mener EØSU, at fremgangsmåden i EU-institutionerne bør tjene som forbillede for procedurerne på nationalt plan, og at man derfor bør kunne forlange en særlig omhyggelig affattelse af forslagets tekst.

1.4.

Der er således efter EØSU's mening aspekter, som burde have været behandlet eksplicit i nærværende forslag, såsom sammenkædningen af dette forslag med Vedtægten for tjenestemænd i Den Europæiske Union, behandlingen af chikane, cyberbullying og whistle blowing i EU-institutionerne, forordningens anvendelse for så vidt angår tingenes internet, big data og anvendelsen af søgemaskiner til at få adgang til, producere og benytte personoplysninger, såvel som de personlige oplysninger, der offentliggøres i institutionernes indlæg på de sociale medier (Facebook, Twitter, Instagram, Linkedin osv.).

1.5.

Ligeledes havde EØSU gerne set, at forslaget havde fastlagt sikkerhedskrav til de IT-systemer, der skal understøtte databehandlingen, såvel som forholdsregler mod cyberangreb og misbrug eller lækage af disse data, idet de bør være teknologineutrale og ikke blot afhænge af de enkelte tjenestegrenes interne regler. Desuden bør sammenhængen mellem databeskyttelse og bekæmpelse af kriminalitet og terrorisme tydeliggøres, hvilket dog ikke må være ensbetydende med vedtagelse af uforholdsmæssige eller overdrevne overvågningsforanstaltninger, som under alle omstændigheder altid er underlagt kontrol af Den Europæiske Tilsynsførende for Databeskyttelse.

1.6.

Endvidere burde forslaget have defineret de kvalifikationer og uddannelsesmæssige karakteristika samt egnethed, som kræves for at blive udpeget som dataansvarlig og databehandler i EU-institutionerne, altid underlagt kontrol og overvågning af Den Europæiske Tilsynsførende for Databeskyttelse.

1.7.

I betragtning af de indsamlede datas særlige karakter og det forhold, at de direkte vedrører de berørte personers privatliv, herunder især helbredsmæssige, skattemæssige og sociale oplysninger, så EØSU gerne, at de blev begrænset til det strengt nødvendige til det pågældende formål, og at der sikres maksimal beskyttelse og maksimale garantier ved behandlingen af disse særligt følsomme personoplysninger ved at tage udgangspunkt i de internationale standarder og den mest avancerede nationale lovgivning samt bedste praksis i visse medlemsstater.

1.8.

EØSU understreger nødvendigheden af, at forslaget udtrykkeligt fastsætter, at Den Europæiske Tilsynsførende for Databeskyttelse skal tildeles flere midler og tilstrækkeligt personale med stor viden og teknisk kompetence på databeskyttelsesområdet.

1.9.

EØSU betoner endnu en gang nødvendigheden af, at oplysninger vedrørende juridiske personer (virksomheder, NGO'er, erhvervsdrivende selskaber osv.), der er lovligt etablerede, også beskyttes i forbindelse med indsamling og behandling.

1.10.

Endelig peger EØSU i sin detaljerede analyse på en række ændringer i flere bestemmelser, som — hvis de vedtages — vil bidrage til en mere effektiv beskyttelse af personoplysninger i EU's institutioner, ikke kun for de ansatte, men også for de tusinder af EU-borgere, som kommer i kontakt med dem, og derfor opfordrer det Kommissionen, Europa-Parlamentet og Rådet til at tage hensyn hertil i den endelige udformning af forslaget.

2.1.

Ifølge Kommissionens begrundelse for forslaget er formålet med det at ophæve forordning (EF) nr. 45/2001  (4) og afgørelse nr. 1247/2002/EF om beskyttelse af personoplysninger i Unionens institutioner, organer, kontorer og agenturer med to mål for øje:

2.2.

Efter en lang og svær modningsproces har Rådet og Parlamentet nu endeligt vedtaget den generelle forordning om databeskyttelse (5), som vil blive anvendt i hele EU fra den 25. maj 2018. Denne forordning kræver en tilpasning af flere retsakter (6), heriblandt den nævnte forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF.

2.3.

Ud fra resultaterne af undersøgelser og høringer af interessenter og af evalueringsundersøgelsen af dens anvendelse de sidste 15 år, som Kommissionen redegør indgående for, konkluderer den bl.a. at:

2.4.

I betragtning af karakteren og omfanget af de ændringer, der skulle foretages i de tidligere retsakter, besluttede Kommissionen at ophæve dem helt og erstatte dem med den foreliggende forordning, der stemmer overens med de øvrige nævnte bestemmelser, og som skal træde i kraft samtidig med forordning (EU) 2016/679 som fastsat i dens artikel 98.

3.1.

Set ud fra et rent teknisk-juridisk synspunkt er EØSU principielt enigt i:

3.2.

Uagtet ovenstående fastholder EØSU indholdet af sine bemærkninger og anbefalinger vedrørende forslaget til den generelle databeskyttelsesforordning (8) — der nu er vedtaget (9) — og som denne endelige udgave ikke fuldt ud har taget hensyn til. Derudover vil dens forsinkede vedtagelse og ikrafttræden i lyset af den hastige teknologiske udvikling på dette område øge risikoen for uretmæssig tilegnelse af data og misbrug i forbindelse med behandlingen og udvekslingen af dem, idet man kan frygte, at forordningen vil være forældet allerede før, den gennemføres. For så vidt som det foreliggende forslag er en tilpasning af den nævnte generelle forordning til EU-institutionernes funktionsmåde, nærer EØSU samme bekymringer mht. det foreliggende forslag til forordning, især hvad angår dets uigennemskuelige formuleringer, som den almindelige EU-borger vil have svært ved at forstå, og som burde have været fremlagt og debatteret samtidig med førnævnte forslag.

3.3.

Endvidere mener EØSU — i betragtning af, at fremgangsmåden i EU-institutionerne bør tjene som forbillede for procedurerne på nationalt plan — at visse emner burde have været taget op i det her behandlede forslag.

3.4.

Det er for det første ikke klart, om dette forslag er blevet behørigt koordineret med Vedtægten for tjenestemænd i Den Europæiske Union (forordning (EØF) nr. 31 (10)), eftersom der mangler specifikke regler, som kan sikre, at personoplysninger om tjenestemænd og medarbejdere i institutionerne er omfattet af en garanti for mere effektiv beskyttelse, når det gælder oplysninger om deres ansættelse, karriere, kontraktens varighed og eventuelle forlængelse samt evaluering af den.

3.4.1.

Hvis sådanne bestemmelser ikke medtages i denne lovtekst, bør der fastlægges generelle bestemmelser med forskrifter for registreringen af de ansattes og deres familiemedlemmers helbred, beskyttelsen af data, der er produceret eller benyttet af de ansatte, og de respektive genetiske data, behandlingen og beskyttelsen af meddelelser sendt pr. e-mail, dels fra borgerne til EU-organerne, dels internt mellem EU-ansatte og mellem disse og folk udefra, samt indholdet heraf, og de besøgte sider på internettet (11).

3.4.2.

Med forbehold for artikel 68 bør chikane, cyberbullying og whistle blowing i EU-institutionerne ligeledes være genstand for en særlig opmærksomhed.

3.4.3.

EØSU rejser ligeledes spørgsmålet om anvendelsen af det foreliggende forslag og forordning (EU) 2016/679 på tingenes internet, på big data og på anvendelsen af søgemaskiner til at få adgang til, producere og benytte personoplysninger, såvel som på de personlige oplysninger, der offentliggøres i institutionernes sider på de sociale medier (Facebook, Twitter, Instagram, Linkedin osv.), uanset om den pågældende har givet sit udtrykkelige samtykke.

3.5.

EØSU havde gerne set, at Kommissionen ud over referencen til fortroligheden af elektronisk kommunikation i artikel 34 i forslaget til forordning havde fastlagt sikkerhedskrav til de IT-systemer, der skal understøtte databehandlingen, såvel som forholdsregler mod cyberangreb og misbrug eller lækage af disse data (12), idet de bør være teknologineutrale og ikke blot afhænge af de enkelte tjenestegrenes interne regler. Desuden bør sammenhængen mellem databeskyttelse og bekæmpelse af kriminalitet og terrorisme tydeliggøres, hvilket dog ikke må være ensbetydende med vedtagelse af uforholdsmæssige eller overdrevne overvågningsforanstaltninger, som under alle omstændigheder altid er underlagt kontrol af Den Europæiske Tilsynsførende for Databeskyttelse.

3.6.

EØSU understreger, at samkøring af personoplysninger i EU's institutioner og organer ikke blot kan styres af princippet om ansvarlighed som anført i betragtning 16, og udvalget opfordrer i denne forbindelse Kommissionen til at indføje en specifik regel om, at samkøring kun kan foretages med tilladelse fra Den Europæiske Tilsynsførende for Databeskyttelse på anmodning af den dataansvarlige alene eller sammen med databehandleren.

3.7.

Endvidere havde EØSU gerne set, at forslaget — ud over hvad der er fastsat i betragtning 51 og i artikel 44, stk. 3 — havde defineret de kvalifikationer og uddannelsesmæssige karakteristika samt egnethed, som kræves for at blive udpeget som databeskyttelsesrådgiver, dataansvarlig og databehandler i EU's institutioner (13), og at en eventuel tilsidesættelse af deres forpligtelser straffes med virkeligt afskrækkende sanktioner på disciplinært, civilretligt og strafferetligt plan, som skal anføres i forslaget, altid under kontrol og overvågning af Den Europæiske Tilsynsførende for Databeskyttelse.

3.8.

EØSU ville — om end det foreliggende forslag giver et højere beskyttelsesniveau end den nuværende forordning (EF) nr. 45/2001 — have sat pris på, at indsamlingen af personoplysninger i betragtning af deres særlige karakter og det forhold, at de direkte vedrører de berørte personers privatliv, herunder især helbredsmæssige, skattemæssige og sociale forhold, blev begrænset til det strengt nødvendige til de respektive formål, og at der sikres maksimal beskyttelse og maksimale garantier ved behandlingen af disse særligt følsomme personoplysninger ved at tage udgangspunkt i de internationale standarder og den mest avancerede nationale lovgivning samt bedste praksis i visse medlemsstater (14).

3.9.

Skønt EØSU er helt klar over, at såvel forordning (EU) 2016/679 som det her behandlede forslag kun gælder for personoplysninger om fysiske personer, betoner udvalget endnu en gang nødvendigheden af, at oplysninger vedrørende juridiske personer (virksomheder, NGO'er, erhvervsdrivende selskaber osv.), der er lovligt etablerede, også beskyttes i forbindelse med indsamling og behandling.

4.1.

Ved nærlæsningen af forslagsteksten rejser der sig nogle tvivlsspørgsmål og forbehold i lyset af de grundlæggende principper for beskyttelsen af privatlivets fred i EU's charter om grundlæggende rettigheder samt proportionalitets- og nærhedsprincipperne.

4.3.1.

I betragtning af, at den foreliggende forordning gælder for data, der behandles i EU's institutioner, bør der efter EØSU's mening indføjes en udtrykkelig henvisning til princippet om ikke-forskelsbehandling på grundlag af de behandlede data.

4.3.2.

Med hensyn til artikel 4, stk. 1, litra b), vedrørende viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, bør en sådan behandling være betinget af forudgående tilladelse fra Den Europæiske Tilsynsførende for Databeskyttelse, hvilket ikke er nævnt i artikel 58.

4.3.3.

Endelig bør der være en udtrykkelig bestemmelse svarende til den nuværende i artikel 7 i forordning (EF) nr. 45/2001 vedrørende overførsel af data mellem EU's institutioner.

4.4.1.

Det er uklart, hvorfor der i artikel 5, stk. 1, litra b), i forslaget til forordning ikke henvises til stk. 2 i samme artikel, mens dette er tilfældet for artikel 6, litra c) og e), som begge er underlagt bestemmelsen i artikel 3 i den generelle forordning om databeskyttelse.

4.4.2.

EØSU mener, at det i litra d) bør tilføjes, at samtykket skal være underlagt princippet om god tro.

4.5.1.

Anvendelsen af denne artikel bør altid ske på betingelse af en tilladelse fra Den Europæiske Tilsynsførende for Databeskyttelse.

4.5.2.

I disse tilfælde bør den registrerede altid underrettes i forvejen om denne mulighed, når dataene indsamles, eller når der træffes en ny beslutning, og vedkommende bør i givet fald kunne anmode om en berigtigelse, gøre indsigelse og anmode om sletning eller begrænsning af denne behandling.

4.6.1.

Efter EØSU's opfattelse er undtagelsen fra reglen om gyldigheden af samtykke fra børn under 16 år (mellem 13 og 16 år), som allerede i sig selv er en afvigelse, kun tilladelig for medlemsstaterne af kulturelle grunde og i henhold til national ret (artikel 8 i den generelle forordning), men det bør ikke være en regel, som kan anvendes af EU-institutionerne (artikel 8, stk. 1), der fastsætter 13 år som aldersgrænse.

4.6.2.

Endvidere specificeres det ikke, hvordan Den Europæiske Tilsynsførende for Databeskyttelse skal sætte »særlig fokus« på børn, som nævnt i artikel 58, stk. 1, litra b), navnlig i tilfældet med de brugerfortegnelser, der er omhandlet i artikel 36, når oplysningerne heri er offentligt tilgængelige.

4.7.1.

I stk. 1 bør tilføjes partitilhørsforhold (der ikke er synomymt med politisk overbevisning) og en henvisning til privatlivets fred.

4.7.2.

I stk. 2, litra b), bør det tilføjes, at den registrerede altid skal underrettes på forhånd, også med henblik på overholdelse af den registreredes forpligtelser og specifikke rettigheder.

4.7.3.

I stk. 2, litra d), bør det fastsættes, at behandlingen kun kan foretages med den registreredes samtykke.

4.7.4.

Litra e) bør kun udgøre en undtagelse, hvis man med rette kan udlede af den registreredes erklæringer, at vedkommende har givet sit samtykke til behandlingen.

4.9.1.

Hvad angår de yderligere oplysninger, der er omhandlet i artikel 15, stk. 2, bør der tilføjes et krav om, at den dataansvarlige skal underrette den registrerede, om det er obligatorisk eller fakultativt at svare, og om de mulige konsekvenser af ikke at svare.

4.9.2.

I tilfælde af indsamling af data i åbne net, bør den registrerede altid underrettes, når der er mulighed for, at dennes personoplysninger kan cirkulere på nettet uden beskyttelse og risikerer at blive set og brugt af tredjemænd, der ikke er berettiget til at modtage dem.

4.9.3.

Den ret, der er fastsat i artikel 17, stk. 1, bør kunne udøves frit og uden begrænsninger med rimelige mellemrum, hurtigt eller omgående samt gratis.

4.9.4.

EØSU foreslår, at det skal være obligatorisk at underrette den registrerede om, hvorvidt vedkommendes personoplysninger bliver behandlet eller ej.

4.9.5.

Den information, der skal gives i henhold til artikel 17, stk. 1, skal være forståelig, klar og logisk, herunder navnlig information om data, der behandles, og enhver information om, hvorfra oplysningerne stammer.

4.11.1.

EØSU mener, at det i stk. 2, litra c), bør tilføjes, at dette samtykke først kan gives efter, at den registrerede er blevet udtrykkeligt informeret om afgørelsernes retsindvirkning, da samtykket kun på denne måde vil være behørigt informeret.

4.11.2.

Med hensyn til stk. 3 mener EØSU, at de »passende foranstaltninger« bør defineres af Den Europæiske Tilsynsførende for Databeskyttelse og ikke af den dataansvarlige.

4.12.1.

EØSU frygter, at formuleringen af artikel 25 i forslaget til forordning udgør en for bred fortolkning af artikel 23 i den generelle forordning om databeskyttelse, når det gælder begrænsningerne for anvendelsen af bestemmelserne om den registreredes grundlæggende rettigheder. EØSU råder derfor til en kritisk og eventuelt restriktiv revision ud fra en omhyggelig analyse af de forskellige stykker i denne artikel, især for så vidt angår begrænsningen af fortroligheden i de elektroniske kommunikationsnetværk, som er omhandlet i artikel 7 i charteret om grundlæggende rettigheder og omfattet af direktivet om databeskyttelse inden for elektronisk kommunikation. Denne rettighed fastholdes i et andet forslag til forordning, som EØSU behandler i en anden udtalelse.

4.12.2.

EØSU vender sig skarpt mod den mulighed, der fastsættes i artikel 25, stk. 2, hvorefter Unionens institutioner og organer kan begrænse anvendelsen af de registreredes rettigheder, selv om en sådan begrænsning ikke udtrykkeligt er fastsat i en retsakt, som bemyndiger hertil. Samme bemærkning fremsættes til artikel 34.

—

forhindre, at uautoriserede personer får adgang til installationer, der benyttes til behandling af de pågældende data

—

forhindre, at datamedier kan læses, kopieres, ændres eller fjernes af uautoriserede personer

—

forhindre uautoriseret indgivelse, læsning, ændring eller sletning af indlæste personoplysninger

—

forhindre, at automatiserede databehandlingssystemer kan benyttes af uautoriserede personer med anvendelse af datakommunikationsudstyr

—

sikre, at det er muligt at undersøge og fastslå, til hvilke myndigheder der kan videregives personoplysninger

—

sikre, at autoriserede personer kun får adgang til de oplysninger, der er omfattet af den forudgående tilladelse.

4.20.1.

Med forbehold af ovennævnte bør databeskyttelsesrådgiveren i de tilfælde, hvor denne ikke er tjenestemand, i kraft af karakteren af denne funktion kunne afskediges når som helst, alene med samtykke fra Den Europæiske Tilsynsførende for Databeskyttelse (artikel 45, stk. 8, i forordningen).

4.20.2.

Udnævnelsesperioden bør fastsættes til 5 år og kun kunne forlænges én gang.

4.25.

Forslaget til forordning er spækket med tvetydige og subjektive udtryk og begreber, som det anbefales at revidere eller erstatte. Det gælder f.eks. »så vidt muligt«, »hvis det er muligt«, »straks«, »høj risiko«, »behørigt hensyn«, »inden en rimelig frist«, »navnlig relevant«.