16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/1

1.

Informations- og kommunikationsteknologier (ikt) åbner kolossale muligheder i praktisk talt alle aspekter at vort liv — hvordan vi arbejder, leger og socialiserer og uddanner os. De er afgørende for dagens informationsøkonomi og for samfundet overordnet set.

2.

Den Europæiske Union gør sig på globalt plan gældende inden for avanceret ikt og er fast besluttet på at fastholde denne position. For at tage denne udfordring op forventes Europa-Kommissionen snart at vedtage en ny digital dagsorden for Europa, hvilket kommissær Kroes har bekræftet som sin prioritet (4).

3.

EDPS erkender de fordele, der er forbundet med ikt, og er enig i, at EU bør gøre sit yderste for at fremhjælpe udviklingen og den generelle anvendelse heraf. EDPS støtter ligeledes fuldt ud de synspunkter, som kommissær Kroes og kommissær Reding har givet udtryk for med hensyn til, at enkeltpersoner bør være i centrum i denne nye kontekst (5). Enkeltpersoner bør være i stand til at stole på, at ikt kan værne om deres oplysninger, og kontrollere anvendelsen heraf samt have tillid til, at der værnes om deres ret til privatlivs- og databeskyttelse i den digitale tidsalder. Det er vigtigt at respektere disse rettigheder for at skabe forbrugertillid. Og en sådan tillid er af afgørende betydning, hvis borgerne skal tage nye tjenester til sig (6).

4.

EU har en stærk lovgivningsramme for databeskyttelse/privatlivets fred, hvis principper fortsat er fuldt ud relevante i den digitale tidsalder. Man kan dog ikke tillade sig at læne sig tilbage. I mange tilfælde rejser ikt nye problemstillinger, der ikke er taget højde for inden for den eksisterende ramme. Der er derfor behov for en række foranstaltninger for at sikre, at de individuelle rettigheder, der er nedfældet i EU-retten, fortsat giver en effektiv beskyttelse i denne nye kontekst.

5.

I denne udtalelse behandles foranstaltninger, som enten kan fremmes eller gennemføres af Den Europæiske Union for at garantere privatlivs- og databeskyttelsen for enkeltpersoner i en globaliseret verden, som vil forblive teknologistyret. Både lovgivnings- og ikke-lovgivningsinstrumenter vil blive taget op.

6.

Efter en oversigt, der viser ikt som en ny udvikling, der skaber muligheder, men også risici, behandles behovet for på praktisk plan at integrere databeskyttelse og privatlivets fred helt fra starten af nye informations- og kommunikationsteknologier (omtalt som »privacy by design«-princippet (»indbygget databeskyttelse«)). For at gennemtvinge overholdelse af dette princip ses der i udtalelsen nærmere på behovet for at indføre »privacy by design«-princippet i lovgivningsrammen for databeskyttelse på mindst to forskellige måder. For det første ved at indarbejde det som et generelt bindende princip og for det andet ved at indarbejde det på særlige ikt-områder, hvor der er specifikke risici for databeskyttelsen/privatlivets fred, der kan mindskes ved hjælp af en hensigtsmæssig teknisk arkitektur og udformning. Disse områder er radiofrekvensbaseret identifikation (RFID), sociale netværksapplikationer og browserapplikationer. Endelig stilles der i udtalelsen forslag vedrørende andre redskaber og principper, der har til formål at værne om privatlivets fred og databeskyttelsen i ikt-sektoren.

7.

Ved behandlingen af ovennævnte uddybes nogle af de bemærkninger, som Artikel 29-Gruppen anførte i sit bidrag til den offentlige høring om fremtiden for privatlivets fred (7). Udtalelsen bygger endvidere på tidligere udtalelser fra EDPS, f.eks. udtalelsen af 25. juli om gennemførelsen af databeskyttelsesdirektivet, udtalelsen af 20. december 2007 om RFID og EDPS’ to udtalelser om e-databeskyttelsesdirektivet (8).

8.

Ikt er blevet sammenlignet med andre vigtige opfindelser tidligere, f.eks. elektricitet. Selv om det måske er for tidligt at vurdere de reelle historiske virkninger heraf, er der en klar forbindelse mellem ikt og økonomisk vækst i de udviklede lande. Ikt har skabt arbejdspladser og økonomiske fordele og har bidraget til den generelle velfærd. Virkningen er mere end rent økonomisk, da ikt har spillet en vigtig rolle med hensyn til at styrke innovation og kreativitet.

9.

Desuden har ikt ændret den måde, hvorpå folk arbejder, socialiserer sig og interagerer. F.eks. anvender borgerne i stigende grad ikt til sociale og økonomiske interaktioner. Enkeltpersoner kan udnytte en lang række nye ikt-applikationer som f.eks. e-sundhed, e-transport, e-forvaltning og innovative interaktive systemer til underholdning og læring.

10.

I lyset af sådanne fordele har EU-institutionerne alle udtrykt deres engagement i at støtte ikt som et nødvendigt redskab til at forbedre den europæiske industris konkurrenceevne og fremskynde den økonomiske genopretning i Europa. I august 2009 vedtog Kommissionen således rapporten om EU's digitale konkurrenceevne (9) og lancerede en offentlig høring om hensigtsmæssige fremtidige strategier til at fremme ikt. Den 7. december 2009 fremlagde Rådet et bidrag til denne høring med titlen »Post i2010-strategien mod et åbent, grønt og konkurrencedygtigt vidensamfund« (10). Europa-Parlamentet har netop vedtaget en betænkning, som er tænkt som vejledning for Kommissionen ved definitionen af en digital dagsorden (11).

11.

Sammen med de muligheder og fordele, der ledsager udviklingen af ikt, kommer nye risici, navnlig for privatlivets fred og beskyttelsen af personoplysninger med hensyn til enkeltpersoner. Ikt fører ofte til formering (meget ofte på måder, som er ude af syne for den enkelte) med hensyn til de mængder af oplysninger, der indsamles, sorteres, filtreres, overføres eller på anden måde tilbageholdes, og der er derfor mangfoldige risici for sådanne data.

12.

F.eks. erstatter RFID-chips stregkoder på (nogle) forbrugsvarer. Ved at forbedre informationsstrømmen i forsyningskæden (og derved reducere behovet for »sikkerhedslagre«, fremlægge mere præcise skøn osv.) skal det nye system være en fordel for både erhvervslivet og forbrugerne. Dette er imidlertid samtidig forbundet med den foruroligende mulighed for, at man til forskellige formål og af forskellige enheder kan blive sporet via mærkede personlige ejendele.

13.

Et andet eksempel er »cloud computing«, hvilket i det væsentlige er levering af hostede forbruger- og ikke-forbrugerapplikationstjenester over internettet. Der er her tale om en række forskellige tjenester lige fra fotobiblioteker, kalendere, webmail og kundedatabaser til mere komplekse erhvervsrelaterede tjenester. Fordelene for både virksomheder og enkeltpersoner er klare: nedbringelse af omkostningerne (omkostningerne er gradvis stigende), stedsuafhængighed (let adgang til oplysninger overalt i verden), automatisering (intet behov for dedikerede it-ressourcer og for at holde software opdateret) osv. Samtidig forekommer der sikkerhedsbrist og hacking som meget reelle fænomener. Der er også problemstillingen med hensyn til, at man kan miste adgangen til og kontrollen med sine egne data.

14.

Fordele og risici har vist sig at være til stede på samme tid på andre områder, hvor der anvendes ikt-applikationer. Som et eksempel kan nævnes e-sundhed, der kan øge effektiviteten, nedbringe omkostningerne, øge tilgængeligheden og generelt forbedre sundhedstjenesternes kvalitet. E-sundhed rejser imidlertid ofte spørgsmålet om lovligheden af sekundære anvendelser af e-sundhedsoplysninger, hvilket kræver en nøje analyse af formålet med enhver potentiel sekundær anvendelse (12). Efterhånden som anvendelsen af elektroniske patientjournaler er blevet udbredt, har systemerne selv desuden været ramt af skandaler, hvor der blev afsløret mange tilfælde af hacking ind i elektroniske patientjournaler.

15.

Sammenfattende vil der formentlig fortsat være et vist omfang af resterende risiko, selv når man har foretaget de rigtige vurderinger og iværksat de nødvendige foranstaltninger. En situation med nulrisiko vil være urealistisk. Som det behandles nedenfor, kan og skal der imidlertid gennemføres foranstaltninger for at mindske en sådan risiko til acceptable niveauer.

16.

De potentielle fordele ved ikt kan kun opnås i praksis, hvis disse teknologier er i stand til at skabe tillid, dvs. hvis de kan sikre, at brugerne er rede til at anvende ikt på grund af egenskaberne og fordelene herved. En sådan tillid vil kun blive skabt, hvis teknologierne er pålidelige, sikre, under enkeltpersoners kontrol, og hvis beskyttelsen af deres personoplysninger og privatlivets fred er garanteret.

17.

Udbredte risici og fejl som dem, der er beskrevet ovenfor, navnlig når de indebærer misbrug eller brud på datasikkerheden, hvor oplysninger om enkeltpersoners privatliv afsløres, vil sandsynligvis bringe brugertilliden i fare i informationssamfundet. Dette kunne alvorligt sætte udviklingen af ikt og de fordele, der kan opnås derved, over styr.

18.

Løsningen på disse risici for privatlivs- og databeskyttelsen kan imidlertid ikke være at undlade eller afvise at anvende eller fremme ikt. Dette vil hverken være gennemførligt eller realistisk; det vil afskære enkeltpersoner fra at få fordelene ved ikt og alvorligt begrænse de generelle fordele, der kan opnås.

19.

EDPS er af den opfattelse, at det er en mere positiv løsning at udforme og udvikle ikt på en måde, der respekterer privatlivs- og databeskyttelsen. Det er derfor af afgørende betydning, at privatlivs- og databeskyttelsen indgår som en fast bestanddel i hele teknologiens livscyklus, lige fra den allertidligste designfase til den endelige ibrugtagning, anvendelse og endelige bortskaffelse. Dette omtales normalt som »privacy by design« og behandles nærmere nedenfor.

20.

»Privacy by design« kan omfatte forskellige tiltag, afhængigt af det specifikke tilfælde eller den specifikke applikation. F.eks. kan det i nogle tilfælde være nødvendigt at fjerne eller reducere personoplysninger eller forhindre unødvendig og/eller uønsket behandling. I andre tilfælde kan »privacy by design« være i form af redskaber, der kan øge enkeltpersoners kontrol med deres personoplysninger. Sådanne foranstaltninger bør overvejes, når standarder og/eller bedste praksis defineres. De kan også indbygges i informations- og kommunikationssystemernes arkitektur eller i den strukturelle organisation i de enheder, der behandler personoplysninger.

21.

Behovet for »privacy by design«-princippet findes i mange forskellig ikt-miljøer. F.eks. anvendes i sundhedssektoren i stigende grad ikt-infrastrukturer, hvor der ofte forekommer central lagring af helbredsrelaterede oplysninger om patienter. For at anvende »privacy by design«-princippet i sundhedssektoren skal det vurderes, om forskellige foranstaltninger er egnede, f.eks. muligheden for at minimere mængden af data, der lagres centralt, eller begrænse det til et indeks, anvende krypteringsværktøjer, tildele adgangsrettigheder kun til »det absolut påkrævede«, anonymisere data, når der ikke længere er behov for dem, osv.

22.

Ligeledes har transportsystemer i stigende grad som standard avancerede ikt-applikationer, der interagerer med køretøjet og dets miljø til forskellige formål og funktioner. F.eks. er biler i stigende grad udstyret med ny ikt-funktionalitet (GPS, GSM, sensornet osv.), som ikke kun viser deres position, men også deres tekniske tilstand i realtid. Disse oplysninger kan anvendes til f.eks. at erstatte det eksisterende vejskatsystem med en brugsafhængig vejafgift. Anvendelsen af »privacy by design« på udformningen af en sådan systemarkitektur bør understøtte behandlingen og den videre overførsel af så få personoplysninger som muligt (13). I overensstemmelse med dette princip vil decentraliserede eller delvist decentraliserede arkitekturer, der begrænser videregivelsen af lokaliseringsdata til et centralt punkt, være at foretrække frem for centraliserede arkitekturer.

23.

Ovennævnte eksempler viser, at når informations- og kommunikationsteknologier udformes i overensstemmelse med »privacy by design«-princippet, kan risiciene for privatlivs- og databeskyttelsen minimeres betydeligt.

24.

Det er et vigtigt spørgsmål, om økonomiske aktører, ikt-producenter/-leverandører og registeransvarlige er interesseret i at markedsføre og gennemføre »privacy by design«-princippet i ikt. I denne forbindelse er det også vigtigt at vurdere brugernes efterspørgsel efter »privacy by design«.

25.

I 2007 offentliggjorde Kommissionen en meddelelse, hvori virksomhederne blev opfordret til at udnytte deres innovationsevne til at skabe og gennemføre teknologier til beskyttelse af privatlivet som en måde til at forbedre beskyttelsen af privatlivet og personoplysninger helt fra starten af udviklingscyklussen (14).

26.

De foreliggende data viser imidlertid indtil videre, at det hverken er lykkedes ikt-producenter eller registeransvarlige (i den private eller offentlige sektor) konsekvent at gennemføre eller markedsføre »privacy by design«. Der er anført forskellige begrundelser herfor, herunder manglende økonomiske incitamenter eller institutionel støtte, utilstrækkelig efterspørgsel osv. (15).

27.

Samtidig har brugernes efterspørgsel efter »privacy by design« været ret lav. Brugere af ikt-produkter og -tjenester kan med rette antage, at deres privatliv og personoplysninger rent faktisk er beskyttet, når de i mange tilfælde ikke er det. I nogle tilfælde er de ganske enkelt ikke i stand til at træffe de sikkerhedsforanstaltninger, der er nødvendige for at beskytte enten deres egne eller andres personoplysninger. I mange tilfælde skyldes dette, at de mangler fuldt eller endog delvist kendskab til risiciene. F.eks. lader unge generelt set hånt om de risici for privatlivets fred, der er forbundet med at vise personoplysninger på sociale netværk, og ignorerer ofte privatlivsindstillinger. Andre brugere er klar over risiciene, men har måske ikke den nødvendige tekniske ekspertise til at gennemføre sikkerhedsteknologier, f.eks. teknologier, der beskytter internetforbindelsen, eller viden om, hvordan browserindstillingerne ændres for at minimere den profilering, der sker på grundlag af overvågningen af deres surfingaktiviteter på internettet.

28.

Alligevel er risiciene for privatlivs- og databeskyttelsen meget reelle. Hvis der ikke tages hensyn til privatlivs- og databeskyttelsen fra starten, er det ofte for sent og for økonomisk byrdefuldt at rette op på systemerne og for sent at afhjælpe den skade, der allerede er gjort. Det stigende antal brud på datasikkerheden i de senere år illustrerer præcist dette problem og understreger behovet for »privacy by design«.

29.

Det fremgår klart af ovenstående, at producenter og leverandører af ikt-teknologier, der er udformet til at behandle personoplysninger, sammen med de registeransvarlige bør have ansvaret for at udforme dem med indbyggede foranstaltninger til data- og privatlivsbeskyttelse. I mange tilfælde indebærer dette, at de skal udformes med privatlivsvenlige standardindstillinger.

30.

På denne baggrund bør vi overveje, hvilke foranstaltninger de politiske beslutningstagere bør træffe for at fremme »privacy by design« i udviklingen af ikt. Et første spørgsmål er, om den eksisterende lovgivningsramme for databeskyttelse indeholder tilstrækkelige bestemmelser til at sikre, at både registeransvarlige og producenter/udviklere gennemfører »privacy by design«-princippet. Et andet spørgsmål er, hvad der bør gøres i forbindelse med den digitale dagsorden for Europa for at sikre, at ikt-sektoren skaber forbrugertillid.

31.

EU har en solid lovgivningsramme for databeskyttelse og privatlivets fred i direktiv 95/46/EF (16), direktiv 2002/58/EF (17) og Den Europæiske Menneskerettighedsdomstols (18) og Domstolens retspraksis.

32.

Databeskyttelsesdirektivet finder anvendelse på »enhver operation eller række af operationer […] som personoplysninger gøres til genstand for« (indsamling, opbevaring, videregivelse osv.). I henhold til direktivet skal de personer, der behandler personoplysninger (»registeransvarlige«), overholde visse principper og forpligtelser. Det fastsætter individuelle rettigheder, f.eks. retten til at få adgang til personoplysninger. I e-databeskyttelsesdirektivet behandles specifikt beskyttelsen af privatlivets fred i den elektroniske kommunikationssektor (19).

33.

Det nuværende databeskyttelsesdirektiv indeholder ikke et udtrykkeligt krav om »privacy by design«. Det indeholder imidlertid bestemmelser, som i forskellige situationer indirekte kan kræve, at »privacy by design«-princippet gennemføres. I henhold til artikel 17 skal registeransvarlige således iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at forhindre ulovlig behandling (20). »Privacy by design« er derfor omfattet meget generelt. Desuden er direktivets bestemmelser hovedsagelig rettet til registeransvarlige og deres behandling af personoplysninger. De kræver ikke udtrykkeligt, at informations- og kommunikationsteknologier skal sikre privatlivs- og databeskyttelse, hvilket nødvendiggør, at designere og producenter af ikt også omfattes, herunder også aktiviteterne i standardiseringsfasen.

34.

E-databeskyttelsesdirektivet er mere eksplicit. Det hedder i artikel 14, stk. 3: »Hvor der er behov herfor, kan der vedtages foranstaltninger for at sikre, at terminaludstyr fremstilles på en måde, der er forenelig med brugernes ret til at beskytte og kontrollere anvendelsen af deres personoplysninger i overensstemmelse med direktiv 1999/5/EF og Rådets beslutning 87/95/EØF af 22. december 1986 om standardisering inden for informationsteknologi og telekommunikation«. Denne bestemmelse er imidlertid aldrig blevet anvendt (21).

35.

Mens de ovennævnte bestemmelser i de to direktiver kan bidrage til at fremme»privacy by design«, har de i praksis ikke været tilstrækkelige til at sikre, at privatlivets fred indgår som en fast bestanddel i ikt.

36.

Som følge af ovennævnte situation kræver lovgivningen ikke tilstrækkeligt præcist, at ikt udformes i overensstemmelse med »privacy by design«-princippet. Databeskyttelsesmyndighederne har heller ikke tilstrækkelige beføjelser til at sikre, at »privacy by design« integreres som en fast bestanddel. Dette resulterer i ineffektivitet. F.eks. kan databeskyttelsesmyndighederne ganske vist være i stand til at pålægge sanktioner for manglende besvarelse af anmodninger om adgang indgivet af enkeltpersoner og have kompetence til at kræve, at visse foranstaltninger gennemføres for at forhindre ulovlig behandling. Alligevel er det ikke altid tilstrækkeligt klart, om deres beføjelser også giver mulighed for at kræve, at et system udformes på en måde, der fremmer enkeltpersoners databeskyttelsesrettigheder (22). F.eks. er det på grundlag af de eksisterende lovbestemmelser uklart, om det kan kræves, at et informationssystems arkitektur udformes på en måde, der letter virksomheders besvarelse af anmodninger om adgang indgivet af enkeltpersoner, således at sådanne anmodninger kan behandles automatisk og hurtigere. Desuden kan senere forsøg på at ændre teknologien, når den er blevet udviklet eller ibrugtaget, resultere i et kludetæppe af løsninger, som ikke fungerer fuldt ud, foruden at være økonomisk bebyrdende.

37.

Efter EDPS’ opfattelse, som deles af Artikel 29-Gruppen (23), er der i lyset af den nuværende lovgivningsramme mulighed for en mere udtrykkeligt tilslutning til »privacy by design«-princippet.

38.

På baggrund af ovenstående anbefaler EDPS Kommissionen at lægge fire fremgangsmåder til grund:

39.

EDPS foreslår at lade »privacy by design«-princippet indgå klart og eksplicit i den eksisterende lovgivningsramme for databeskyttelse. Dette vil gøre »privacy by design«-princippet stærkere, mere eksplicit, og det vil tvinge til en effektiv gennemførelse heraf og desuden give de håndhævende myndigheder legitimitet til at kræve en faktisk anvendelse heraf i praksis. Dette er navnlig nødvendigt i lyset af ovenstående, ikke kun betydningen af selve princippet som et redskab til at fremme tillid, men også som et incitament for interessenter til at gennemføre »privacy by design« og styrke de garantier, der findes i den eksisterende lovgivningsramme.

40.

Dette forslag bygger på Artikel 29-Gruppens anbefaling af at indføre »privacy by design«-princippet som et generelt princip i lovgivningsrammen for databeskyttelse, navnlig i databeskyttelsesdirektivet. Artikel 29-Gruppen har udtalt følgende: »Dette princip bør være bindende for teknologidesignere og –producenter såvel som for registeransvarlige, der skal træffe beslutning om indkøb og anvendelse af ikt. De bør være forpligtet til at indtænke teknologier til databeskyttelse allerede i planlægningsfasen af informationsteknologiske procedurer og systemer. Både leverandørerne af sådanne systemer eller –tjenester og de registeransvarlige bør vise, at de har truffet alle nødvendige foranstaltninger til at opfylde disse krav«.

41.

EDPS glæder sig også over kommissær Viviane Redings støtte til »privacy by design«-princippet, da hun bekendtgjorde revisionen af databeskyttelsesdirektivet (24).

42.

Dette fører til indholdet af en sådan regulering. For det første og som det vigtigste bør et generelt »privacy by design«-princip være teknologisk neutralt. Princippet bør ikke have til formål at regulere teknologien, dvs. det bør ikke foreskrive specifikke tekniske løsninger. I stedet bør det påbyde, at eksisterende principper for privatlivs- og databeskyttelse integreres i informations- og kommunikationssystemer og –løsninger. Dette vil gøre det muligt for interessenter, producenter, registeransvarlige og databeskyttelsesmyndigheder at fortolke betydningen af princippet i hvert enkelt tilfælde. For det andet bør det være obligatorisk at overholde princippet i forskellige faser, lige fra skabelsen af standarder og udformningen af arkitekturen til den registeransvarliges gennemførelse heraf.

43.

Nuværende og kommende lovgivningsinstrumenter skal integrere »privacy by design«-princippet på grundlag af den nuværende lovgivningsramme og efter vedtagelsen af den generelle bestemmelse, der er foreslået ovenfor, på grundlag af denne bestemmelse. F.eks. vil Kommissionen i overensstemmelse med de nuværende initiativer i forbindelse med intelligente transportsystemer have det specifikke indledende ansvar for fastlæggelsen af foranstaltninger, standardiseringsinitiativer, procedurer og bedste praksis. Ved udførelsen af disse opgaver bør »privacy by design« være det ledende princip.

44.

EDPS bemærker endvidere, at »privacy by design«-princippet også er af specifik betydning i området med frihed, sikkerhed og retfærdighed, navnlig med hensyn til målene for informationsstyringsstrategien som fastsat i Stockholmprogrammet (25). I sin udtalelse vedrørende Stockholmprogrammet understregede EDPS, at arkitekturen for udveksling af oplysninger bør bygge på »indbygget databeskyttelse« (26): »Dette betyder mere konkret, at informationssystemer, der er udformet med henblik på den offentlige sikkerhed, altid bør være udviklet i overensstemmelse med principperne for »indbygget databeskyttelse««.

45.

I Artikel 29-Gruppens udtalelse om fremtiden for privatlivets fred (27) understreges det endnu mere præcist, at krav om »privacy by design« bør gøres obligatoriske i et område med frihed, sikkerhed og retfærdighed — hvor de offentlige myndigheder er de vigtigste aktører, og hvor foranstaltninger, der øger overvågningen, indvirker direkte på de grundlæggende rettigheder til privatlivs- og databeskyttelse. Ved at indføre disse krav i informationssystemer vil de offentlige myndigheder også stimulere »privacy by design« i deres egenskab af igangsættende kunder.

46.

Informations- og kommunikationsteknologier er stadig mere komplekse og forbundet med større risici for privatlivs- og databeskyttelsen. Generelt er digitaliseret information, som er lettere at få adgang til, kopiere og videregive, udsat for meget større risici end papirbaseret information. Efterhånden som vi går i retning af netværk af indbyrdes forbundne ting, vil risiciene øges. Jo større risiciene for privatlivs-/databeskyttelsen er, desto større vil efterspørgslen efter øgede foranstaltninger til data- og privatlivsbeskyttelse være. Der er derfor mere tvingende grunde til behovet for at gennemføre »privacy by design« i ikt-sektoren. Som nævnt ovenfor er enkeltpersoners tillid til ikt desuden af afgørende betydning, hvis borgerne skal tage disse nye tjenester til sig, og privatlivs- og databeskyttelse er vigtige elementer i en sådan tillid.

47.

Ovenstående understreger, at en strategi for udviklingen af ikt skal bekræfte behovet for, at de udformes med et indbygget element af privatlivs- og databeskyttelse, dvs. indtænkning af »privacy by design«-princippet.

48.

Den digitale dagsorden for Europa bør derfor udtrykkeligt støtte »privacy by design«-princippet som et nødvendigt element til at sikre borgernes tillid til ikt og onlinetjenester. Den bør anerkende, at privatlivets fred og tillid går hånd i hånd, og at »privacy by design« bør være en ledende faktor i udviklingen af en troværdig ikt-sektor.

49.

Kommissionen bør have »privacy by design« som et ledende princip ved gennemførelsen af politikker, aktiviteter og initiativer i specifikke ikt-sektorer, herunder e-sundhed, e-indkøb, e-social sikring, e-læring osv. Mange af disse initiativer vil være indsatspunkter i den digitale dagsorden for Europa.

50.

Dette betyder f.eks., at initiativer til at sikre, at forvaltningsapplikationer er mere effektive og moderne, således at borgerne kan kommunikere med myndighederne, bør omfatte behovet for, at de udformes og gennemføres i overensstemmelse med »privacy by design«-princippet. Det samme gør sig gældende for Kommissionens politikker og aktiviteter, som vedrører hurtigere internet, digitalt indhold eller generel fremme af fast og trådløs kommunikation og datatransmission.

51.

Ovenstående omfatter også områder, hvor Kommissionen har ansvaret for store it-systemer, f.eks. SIS og VIS, samt de tilfælde, hvor Kommissionens ansvar kun omfatter udviklingen og vedligeholdelsen af den fælles infrastruktur for et sådant system, f.eks. det europæiske informationssystem vedrørende strafferegistre (ECRIS).

52.

Hvordan »privacy by design«-princippet nøjagtigt vil blive udviklet, afhænger af den enkelte sektor og situation. F.eks. når Kommissionens initiativer er ledsaget af lovgivningsforslag vedrørende en specifik ikt-sektor, vil det i mange tilfælde være hensigtsmæssigt at tilføje en udtrykkelig henvisning til begrebet »privacy by design« i forbindelse med udformningen af ikt-applikationen/-systemet. Hvis der udformes handlingsplaner for et specifikt område, bør de systematisk sikre, at lovgivningsrammen anvendes, og mere specifikt garantere, at den relevante ikt-teknologi bygges med tanke på »privacy by design«.

53.

Med hensyn til forskning bør det syvende rammeprogram og de efterfølgende programmer anvendes som et redskab til at støtte projekter, der har til formål at analysere standarder, ikt-teknologier og –arkitektur, der bedre tilgodeser privatlivets fred og især »privacy by design«-princippet. Desuden bør »privacy by design« også være et nødvendigt element, der skal tages i betragtning i bredere ikt-projekter, som tager sigte på at behandle personoplysninger.

54.

På grund af de særlige risici for enkeltpersoners privatlivs- og databeskyttelse eller som følge af andre faktorer (modstand i branchen mod at levere »privacy by design«-produkter, forbrugerkrav osv.) kan det i nogle tilfælde være nødvendigt at definere mere eksplicitte og specifikke »privacy by design«-foranstaltninger, som skal integreres i en given form for informations- og kommunikationsprodukt/-teknologi, hvad enten det er i lovgivningsinstrumenter eller ikke.

55.

EDPS har kortlagt forskellige områder (RFID, sociale netværks- og browserapplikationer), som efter EDPS’ opfattelse i denne fase bør tages op til omhyggelig overvejelse af Kommissionen, og de mere praktiske indgreb, der er anbefalet ovenfor. Disse tre områder behandles nedenfor.

56.

RFID-etiketter kan integreres i genstande, dyr og personer. De kan anvendes til at indsamle og lagre personoplysninger som f.eks. lægejournaler, følge folks bevægelser eller sammensætte deres adfærdsprofil til forskellige formål. Dette kan gøres, uden at personen er klar over det (28).

57.

Effektive garantier for beskyttelsen af persondata og privatlivets fred og alle dertil hørende etiske forhold er af afgørende betydning for offentlighedens tillid til RFID og et fremtidigt tingenes internet. Kun i så fald kommer det store økonomiske og sociale udbytte, som teknologien kan give.

58.

Databeskyttelsesdirektivet og e–databeskyttelsesdirektivet finder anvendelse på indsamling af data via RFID-applikationer (29). De kræver bl.a., at der indføres tilstrækkelige foranstaltninger til privatlivsbeskyttelse for at anvende RFID-applikationer (30).

59.

Denne lovgivningsramme afhjælper imidlertid ikke fuldt ud alle de betænkeligheder med hensyn til databeskyttelse og privatlivets fred, som denne teknologi giver anledning til. Dette skyldes, at direktiverne ikke er tilstrækkeligt detaljerede med hensyn til den form for sikkerhedsforanstaltninger, der bør indføres i forbindelse med RFID-applikationer. De eksisterende regler bør suppleres med yderligere regler, som indfører specifikke sikkerhedsforanstaltninger, navnlig ved at gøre det obligatorisk at integrere tekniske løsninger (»privacy by design«) i RFID-teknologien. Dette gælder for etiketter, der lagrer personoplysninger, som bør forsynes med en »kill command«, og anvendelsen af kryptografi i etiketter, der lagrer visse typer af personoplysninger.

60.

I marts 2007 vedtog Kommissionen en meddelelse (31), hvoraf det bl.a. fremgik, at der var behov for at give detaljerede retningslinjer for den praktiske gennemførelse af RFID, og det var ønskeligt at vedtage konstruktionskriterier for at forebygge risici for privatlivets fred og sikkerheden.

61.

For at opnå disse mål vedtog Kommissionen i maj 2009 en henstilling om gennemførelse af principperne om beskyttelse af personoplysninger og privatlivets fred i forbindelse med RFID-applikationer (32). I RFID-applikationer i detailsektoren skal etiketterne deaktiveres ved salgsstedet, medmindre personerne har givet deres samtykke. Dette gælder, medmindre en konsekvensvurdering vedrørende privatlivs- og databeskyttelse viser, at etiketter ikke udgør en sandsynlig trussel mod privatlivets fred eller beskyttelsen af personoplysninger, i hvilket tilfælde de forbliver aktive efter salgsstedet, medmindre personerne vælger at få dem deaktiveret eller fjernet gratis.

62.

EDPS er enig i Kommissionens tilgang til anvendelsen af selvregulerende instrumenter. Som nævnt nedenfor er det imidlertid tænkeligt, at selvregulering ikke vil give de forventede resultater; EDPS opfordrer derfor Kommissionen til at være parat til at vedtage alternative foranstaltninger.

63.

EDPS er betænkelig ved, at organisationer, der anvender RFID-applikationer i detailsektoren, kan overse muligheden for, at RFID-etiketter kan overvåges af uønskede tredjeparter. En sådan overvågning kunne afsløre personoplysninger, der (eventuelt) er lagret i etiketten, men kunne også gøre det muligt for en tredjepart at følge eller genkende en person over tid ved blot at anvende de unikke identifikatorer, der er indeholdt i en eller flere etiketter, som bæres af personen, i et miljø, der endog kan være uden for RFID-applikationens operationelle omkreds. EDPS er endvidere betænkelig ved, at operatører af RFID-applikationer kan være fristet til uretmæssigt at anvende undtagelsen og derfor lade etiketten forblive aktiv efter salgsstedet.

64.

Hvis ovennævnte forekommer, kan det være for sent at mindske risiciene for enkeltpersoners databeskyttelse og privatliv, som allerede kan være blevet berørt. I betragtning af arten af selvregulering kan nationale håndhævende myndigheder desuden stå svagere, når de kræver, at organisationer, der anvender RFID-applikationer, anvender specifikke »privacy by design«-foranstaltninger.

65.

I lyset af ovennævnte opfordrer EDPS Kommissionen til at være parat til at foreslå lovgivningsinstrumenter, der fastsætter regler for de vigtigste spørgsmål vedrørende brugen af RFID i tilfælde af, at den nuværende lovgivningsramme ikke gennemføres effektivt. Kommissionens vurdering bør ikke udsættes unødigt; en udsættelse vil bringe enkeltpersoner i fare og også have uheldige følger for branchen, da den retlige usikkerhed er for stor, og de rodfæstede problemer formentlig vil blive vanskeligere og dyrere af rette op på.

66.

Inden for de foranstaltninger, der i givet fald bør foreslås, anbefaler EDPS anvendelse af opt-in-princippet på salgsstedet, hvorefter alle RFID-etiketter, der er knyttet til forbrugsvarer, automatisk vil blive deaktiveret på salgsstedet. Det er i givet fald ikke nødvendigt eller hensigtsmæssigt, at Kommissionen specificerer den konkrete teknologi, der skal anvendes. I stedet skal EU-retten fastsætte den retlige forpligtelse til at opnå opt-in-samtykke, hvorved operatørerne får mulighed for at afgøre, hvordan de vil opfylde kravet.

67.

Oplysninger, der er produceret af RFID-etiketter — f.eks. produktinformation — kan efterhånden forbindes indbyrdes til et globalt netværk af kommunikationsinfrastruktur. Dette omtales normalt som »tingenes internet«. Spørgsmålene vedrørende databeskyttelse/privatlivets fred opstår, fordi genstande fra realverdenen kan blive identificeret af RFID-etiketter, der foruden produktinformation også kan omfatte personoplysninger.

68.

Der er mange åbne spørgsmål med hensyn til, hvem der vil forvalte lagringen af oplysninger i forbindelse med mærkede genstande. Hvordan vil det blive organiseret? Hvem vil havde adgang dertil? I juni 2009 vedtog Kommissionen en meddelelse om tingenes internet (33), som udtrykkeligt har kortlagt de potentielle problemer med hensyn til databeskyttelse og privatlivets fred, som dette fænomen giver anledning til.

69.

EDPS vil gerne understrege nogle af de spørgsmål, der er rejst i meddelelsen, og som efter EDPS’ opfattelse bør behandles nærmere, efterhånden som tingenes internet udvikler sig. For det første kan behovet for en decentraliseret arkitektur fremme ansvarlighed og muligheden for at håndhæve EU-lovgivningsrammen. For det andet bør personers ret til ikke at blive sporet opretholdes i det omfang, det er muligt. Der bør med andre ord være meget få tilfælde, hvor personer spores via RFID-etiketter uden deres samtykke. Et sådant samtykke bør være eksplicit. Dette omtales normalt som »den tavse chip« og retten til at være i fred. Endelig bør »privacy by design«-princippet være et ledende princip ved udformningen af tingenes internet. F.eks. ville dette kræve, at konkrete RFID-applikationer, som har indbyggede mekanismer, der kan give brugerne kontrol, udformes med privatlivsvenlige standardindstillinger.

70.

EDPS forventer at blive hørt, når Kommissionen gennemfører de aktiviteter, der er anført i meddelelsen, navnlig udarbejdelsen af meddelelsen om privatlivets fred og tilliden til det allestedsnærværende informationssamfund.

71.

Sociale netværk er »flavour of the month«. De synes at have overgået e-mail i popularitet. De forbinder folk med hinanden, som deler samme interesser og/eller aktiviteter. Folk kan have deres profiler online og dele mediefiler som f.eks. videoer, fotos, musik samt deres karriereprofiler.

72.

De unge har hurtigt taget sociale netværksaktiviteter til sig, og denne tendens fortsætter. Internetbrugernes gennemsnitsalder i Europa er faldet i de seneste par år: 9-10-årige kobler sig nu op flere gange om ugen, og 12-14-årige går på internettet dagligt, ofte i 1-3 timer.

73.

Udviklingen af sociale netværk har gjort det muligt for brugerne at uploade oplysninger om dem selv og tredjeparter på internettet. Ifølge Artikel 29-Gruppen (34) handler internetbrugerne herved som registeransvarlige, jf. databeskyttelsesdirektivets artikel 2, litra d), med hensyn til de oplysninger, som de uploader (35). I de fleste tilfælde er en sådan behandling imidlertid omfattet af undtagelsen ved udøvelse af familiemæssige aktiviteter, jf. direktivets artikel 3, stk. 2. Samtidig betragtes sociale netværkstjenester som registeransvarlige, for så vidt som de leverer midlerne til behandling af brugerdata og yder alle de basale tjenester i forbindelse med brugerstyringen (f.eks. registrering og sletning af konti).

74.

I juridisk henseende betyder dette, at internetbrugere og sociale netværkstjenester har et fælles ansvar for behandlingen af personoplysninger som »registeransvarlige« som omhandlet i direktivets artikel 2, litra d), omend i forskelligt omfang og med forskellige forpligtelser.

75.

Brugerne bør derfor vide og forstå, at de ved at behandle egne og andres personoplysninger er omfattet af EU-lovgivningens bestemmelser om databeskyttelse, som bl.a. kræver informeret samtykke fra de personer, hvis oplysninger uploades, og at de pågældende gives ret til berigtigelse, indsigelsesret osv. Ligeledes skal sociale netværkstjenester bl.a. iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at forhindre ulovlig behandling, i forhold til de risici, som behandlingen indebærer, og oplysningernes art. Dette betyder igen, at sociale netværkstjenester bør sikre privatlivsvenlige standardindstillinger, herunder indstillinger, der begrænser profiladgangen til kontakter, som brugeren selv har valgt. Indstillinger bør også kræve brugerens udtrykkelige samtykke, inden en profil bliver tilgængelig for andre tredjeparter, og begrænsede adgangsprofiler skal ikke kunne registreres af interne søgemaskiner.

76.

Der er desværre en kløft mellem lovgivningskravene og den faktiske overholdelse. Mens internetbrugere juridisk set betragtes som registeransvarlige og er bundet af EU's lovgivningsramme for databeskyttelse og privatlivets fred, er de i realiteten ofte ikke klar over denne rolle. Generelt har de en ringe forståelse for, at de behandler personoplysninger, og at offentliggørelsen af sådanne oplysninger er forbundet med risici for privatlivs- og databeskyttelsen. Navnlig unge lægger indhold ud på internettet og undervurderer konsekvenserne for sig selv og andre, f.eks. i forbindelse med en senere optagelse på uddannelsesinstitutioner eller jobansøgninger.

77.

Samtidig vælger udbydere af sociale netværkstjenester ofte på forhånd standardindstillinger, der er baseret på »opt-out«-klausuler, så det gøres lettere at videregive personoplysninger. Nogle giver mulighed for, at profiler er tilgængelige for almindelige søgemaskiner som standard. Dette rejser spørgsmål med hensyn til, om enkeltpersoner faktisk har givet deres samtykke til videregivelse, samt om sociale netværk har overholdt direktivets artikel 17 (beskrevet ovenfor), hvorefter de skal iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at forhindre ulovlig behandling.

78.

Ovenstående resulterer i et øget risiko for personers privatlivs- og databeskyttelse. Det udsætter internetbrugere og personer, hvis oplysninger er blevet uploadet, for åbenlyse krænkelser af deres privatlivs- og databeskyttelse.

79.

På denne baggrund er det spørgsmål, som Kommissionen bør tage fat på, hvad der bør og kan gøres for at rette op på denne situation. Denne udtalelse giver ikke et fuldstændigt svar på spørgsmålet, men indeholder i stedet en række forslag til nærmere overvejelse.

80.

Det første forslag er at investere i brugeruddannelse. I denne henseende bør EU-institutionerne og de nationale myndigheder investere i uddannelse og øge bevidstheden om truslerne fra sociale netværkssites. Generaldirektoratet for Informationssamfundet har f.eks. gennemført Safer Internet-programmet, der har til formål at hjælpe og beskytte børn og unge gennem f.eks. oplysningsaktiviteter (36). For nylig lancerede EU-institutionerne kampagnen »Tænk før du uploader« for at øge bevidstheden om risiciene ved at dele personoplysninger med fremmede.

81.

EDPS opfordrer Kommissionen til fortsat at støtte denne form for aktivitet. Udbyderne af sociale netværk bør imidlertid selv også spille en aktiv rolle, da de har et juridisk og socialt ansvar for at uddanne brugerne i, hvordan deres tjenester bruges på en sikker og brugervenlig måde.

82.

Som nævnt ovenfor kan de oplysninger, der lægges ud på sociale netværk, i givet fald som standard gøres tilgængelige på en række forskellige måder. F.eks. kan oplysningerne være tilgængelige for offentligheden generelt, herunder søgemaskiner, som kan indeksere dem og derved etablere direkte links til dem. På den anden side kan oplysningerne være begrænset til »udvalgte venner« eller holdes fuldstændig privat. Profiltilladelserne og den anvendte terminologi varierer tydeligvis fra websted til websted.

83.

Det er som anført ovenfor imidlertid kun meget få brugere af sociale netværkstjenester, der ved, hvordan de kan kontrollere adgangen til de oplysninger, de lægger ud, eller hvordan de ændrer de privatlivsindstillinger, der er valgt som standard. Privatlivsindstillinger forbliver normalt uændrede, da brugerne ikke er klar over følgerne af ikke at ændre dem eller ikke ved, hvordan det gøres. Den omstændighed, at personer ikke ændrer privatindstillingerne, betyder derfor som oftest ikke, at de har truffet en informeret beslutning om at acceptere at dele oplysninger. I denne forbindelse er det navnlig vigtigt, at tredjeparter som f.eks. søgemaskiner ikke linker til individuelle profiler ud fra den antagelse, at brugerne som standard (ved ikke at ændre privatlivsindstillingerne) har givet samtykke til at gøre oplysningerne tilgængelige uden begrænsninger.

84.

Selv om brugeruddannelse kan bidrage til at rette op på denne situation, vil dette ikke være tilstrækkeligt. Som anbefalet af Artikel 29-Gruppen i dens udtalelse om sociale netværk bør udbydere af sociale netværk tilbyde privatlivsvenlige standardindstillinger gratis. Dette vil gøre brugerne mere bevidste om deres handlinger og sætte dem i stand til at foretage bedre valg med hensyn til, om de ønsker at dele oplysninger og med hvem.

85.

Kommissionen har indgået en aftale med 20 udbydere af sociale netværk kaldet »Safer Social Networking Principles for the EU« (37). Formålet med aftalen er at forbedre mindreåriges sikkerhed, når de bruger sociale netværkssites i Europa. Sådanne principper omfatter mange af de krav, der er afledt af anvendelsen af den lovgivningsramme for databeskyttelse, der er beskrevet ovenfor. De omfatter f.eks. kravet om at forsyne brugerne med redskaber og teknologi for at sikre, at de kan kontrollere anvendelsen og formidlingen af deres personoplysninger. Det omfatter også behovet for at sørge for privatlivsvenlige standardindstillinger.

86.

I begyndelsen af januar 2010 offentliggjorde Kommissionen resultaterne i en rapport med evaluering af gennemførelsen af principperne (38). EDPS er betænkelig ved, at det fremgår af denne rapport, at selv om nogle foranstaltninger er blevet truffet, er det ikke tilfældet med hensyn til mange andre. F.eks. var der ifølge rapporten problemer med hensyn til kommunikationen af de sikkerhedsforanstaltninger og –redskaber, der er tilgængelige på webstederne. Det fremgik endvidere, at under halvdelen af dem, der har undertegnet aftalen, kun begrænser adgangen til mindreåriges profiler til deres venner.

87.

I denne forbindelse er det vigtige spørgsmål, om der er behov for yderligere politiktiltag for at sikre, at sociale netværk opretter deres tjenester med privatlivsvenlige standardindstillinger. Dette spørgsmål blev rejst af den tidligere kommissær for informationssamfundet, Viviane Reding, som pegede på, at lovgivning kan være nødvendig (39). I samme retning anførte Det Europæiske Økonomiske og Sociale Udvalg, at der ved siden af selvregulering bør indføres mindstebeskyttelsesstandarder ved lov (40).

88.

Som bemærket ovenfor kan forpligtelsen for udbydere af sociale netværk til at indføre privatlivsvenlige standardindstillinger udledes indirekte af databeskyttelsesdirektivets artikel 17 (41), som forpligter registeransvarlige til at iværksætte de fornødne tekniske og organisatoriske foranstaltninger (»både under selve udformningen og under iværksættelsen af en behandling«) for at varetage sikkerheden og forhindre ulovlig behandling, i forhold til de risici, som behandlingen indebærer, og oplysningernes art.

89.

Denne artikel er imidlertid alt for generel og mangler specificitet, også i denne forbindelse. Det anføres ikke klart, hvad der menes med de fornødne tekniske og organisatoriske foranstaltninger i forbindelse med sociale netværk. Den nuværende situation er derfor præget af retlig usikkerhed, der forårsager problemer for både lovgivere og enkeltpersoner, hvis privatliv og personoplysninger ikke er fuldt ud beskyttet.

90.

På baggrund af ovenstående opfordrer EDPS Kommissionen til at udarbejde lovgivning, der som et minimum indeholder en overordnet forpligtelse, som kræver obligatoriske privatlivsindstillinger, sammen med mere præcise krav:

91.

Ud over at sørge for obligatoriske privatlivsvenlige standardindstillinger er det fortsat et spørgsmål, om yderligere specifikke databeskyttelsesforanstaltninger og andre foranstaltninger (f.eks. vedrørende beskyttelse af mindreårige) også kan være hensigtsmæssige. Dette rejser det bredere spørgsmål, om det vil være hensigtsmæssigt at etablere en specifik ramme for denne form for tjenester, som foruden at sørge for obligatoriske privatlivsindstillinger vil regulere andre aspekter. EDPS anmoder Kommissionen om at tage dette spørgsmål under overvejelse.

92.

Udbydere af annoncenetværk anvender cookies og andet udstyr til at overvåge individuelle brugeres adfærd, når de surfer på internettet, for at katalogisere deres interesser og opbygge profiler. Disse oplysninger anvendes derpå til at sende dem målrettede annoncer (42).

93.

Denne behandling er omfattet af databeskyttelsesdirektivet (hvad angår personoplysninger) og også af e-databeskyttelsesdirektivets artikel 5, stk. 3. I denne artikel kræves det specifikt, at brugeren informeres og gives mulighed for at reagere ved at give sit samtykke til eller nægte, at f.eks. cookies lagres på brugerens computer eller anden enhed (43).

94.

Hidtil har udbydere af annoncenetværk anvendt browserindstillinger og privatlivspolitikker til at informere brugerne og give dem mulighed for at give deres samtykke til eller nægte cookies. De har forklaret i forbindelse med udgiverens privatlivspolitik, hvordan man kan fravælge i det hele taget at modtage cookies eller acceptere dem i hvert enkelt tilfælde. Hensigten hermed var at overholde deres forpligtelse til at tilbyde brugerne ret til at nægte cookies.

95.

Mens denne metode (via browseren) i teorien virkelig effektivt kunne tilvejebringe et meningsfuldt informeret samtykke, er realiteten helt anderledes. Generelt mangler brugerne den grundlæggende forståelse af indsamlingen af alle oplysninger, endsige fra tredjeparter, af værdien af sådanne oplysninger, anvendelserne heraf, hvordan teknologien fungerer, og især, hvordan og hvor der kan foretages fravalg (opt-out). De skridt, som brugere skal tage for at foretage fravalg, synes ikke kun komplicerede, men også meget vidtgående (først skal brugeren indstille browseren til at acceptere cookies og derpå benytte opt-out-muligheden).

96.

Som følge heraf benytter meget få personer i praksis opt-out-muligheden, ikke fordi de har truffet en informeret beslutning om at acceptere adfærdsbaserede annoncer, men snarere fordi de ikke erkender, at de ved ikke at benytte opt-out-muligheden faktisk accepterer det.

97.

Selv om e-databeskyttelsesdirektivets artikel 5, stk. 3, juridisk set giver en effektiv retlig beskyttelse, anses internetbrugere derfor i praksis for at give samtykke til at blive overvåget med henblik på at sende adfærdsbaserede annoncer, når de faktisk i mange tilfælde — hvis ikke i de fleste tilfælde — slet ikke er klar over, at overvågningen finder sted.

98.

Artikel 29-Gruppen er ved at udarbejde en udtalelse, som tager sigte på at præcisere, hvilke lovgivningskrav der gælder for adfærdsbaseret annoncering, hvilket hilses velkommen. En fortolkning er imidlertid i givet fald ikke i sig selv tilstrækkelig til at løse denne situation, og det kan være nødvendigt, at Den Europæiske Union iværksætter yderligere tiltag.

99.

Som nævnt ovenfor tillader webbrowsere sædvanligvis i et vist omfang kontrol med visse former for cookies. På nuværende tidspunkt accepterer de fleste webbrowseres standardindstillinger alle cookies. Browserne er med andre ord som standard indstillet til at acceptere alle cookies, uanset formålet med cookien. Kun hvis brugeren ændrer indstillingerne for sin browserapplikation til at nægte cookies, hvilket som nævnt meget få brugere gør, vil brugeren ikke modtage cookies. Desuden er der ingen privatlivsguide (privacy wizard) i forbindelse med den første installation eller opdatering af browserapplikationer.

100.

En måde til at afhjælpe ovennævnte problem vil være, hvis browsere fik privatlivsvenlige standardindstillinger. Med andre ord hvis de fik indstillingen »ingen accept af tredjepartscookies«. Som supplement hertil og for at gøre det mere effektivt bør browserne kræve, at brugerne gennemgår en privatlivsguide, når de første gang installerer eller opdaterer browseren. Der er behov for mere granularitet og klare oplysninger om typerne af cookies og anvendeligheden af nogle af dem. Brugere, der er rede til at blive overvåget med henblik på at modtage annoncer, vil blive behørigt informeret herom, og de vil skulle ændre browserindstillingerne. Dette vil give dem en øget kontrol med deres personoplysninger og privatlivets fred. Dette vil efter EDPS’ opfattelse være en effektiv måde til at respektere og opretholde brugernes samtykke (44).

101.

Under hensyntagen til på den ene side problemets omfattende karakter, med andre ord antallet af internetbrugere, som på nuværende tidspunkt overvåges på grundlag af et samtykke, der er illusorisk, og på den anden side omfanget af de interesser, der er på spil, bliver behovet for yderligere sikkerhedsforanstaltninger mere akut. Gennemførelsen af »privacy by design«-princippet i webbrowserapplikationer kunne gøre en markant forskel med hensyn til at give personer kontrol med den dataindsamlingspraksis, der anvendes til annonceformål.

102.

Af disse grunde opfordrer EDPS Kommissionen til at overveje lovgivningsforanstaltninger, som kræver obligatoriske privatlivsvenlige standardindstillinger i browsere og tilvejebringelse af den relevante information.

103.

Selv om »privacy by design«-princippet har et stort potentiale til at forbedre beskyttelsen af personoplysninger og privatlivets fred, er det nødvendigt, at der i lovgivningen udformes og gennemføres supplerende principper for at sikre forbrugernes tillid til ikt. På denne baggrund behandler EDPS ansvarlighedsprincippet og færdiggørelsen af en obligatorisk ramme for sikkerhedsbrud, som finder anvendelse på tværs af sektorer.

104.

I Artikel 29-Gruppens dokument med titlen »Future of Privacy« (45) anbefaledes det at medtage ansvarlighedsprincippet i databeskyttelsesdirektivet. Ifølge dette princip, som er anerkendt i nogle multinationale databeskyttelsesinstrumenter (46), skal organisationer iværksætte processer til at overholde eksisterende bestemmelser og etablere metoder til at vurdere og dokumentere overholdelse af lovgivningen og andre bindende instrumenter.

105.

EDPS støtter fuldt ud Artikel 29-Gruppens anbefaling og er af den opfattelse, at dette princip vil være yderst relevant med henblik på at fremme en effektiv anvendelse af databeskyttelsesprincipper og –forpligtelser. Ansvarlighedsprincippet vil kræve, at registeransvarlige dokumenterer, at de har indført den mekanisme, der er nødvendigt for at overholde den gældende databeskyttelseslovgivning. Dette vil sandsynligvis bidrage til en effektiv gennemførelse af »privacy by design« i ikt-teknologier som et særligt velegnet instrument til at vise ansvarlighed.

106.

Til at måle og dokumentere ansvarligheden kunne de registeransvarlige anvende interne procedurer og eksterne audits eller andre former for kontrol, der kan udmønte sig i mærkninger. I denne forbindelse opfordrer EDPS Kommissionen til at overveje, om det foruden et generelt ansvarlighedsprincip i givet fald er hensigtsmæssigt ved lov at kræve specifikke ansvarlighedsforanstaltninger som f.eks. behovet for at udføre konsekvensvurderinger vedrørende privatlivs- og databeskyttelse og under hvilke omstændigheder.

107.

Ændringerne sidste år af e-databeskyttelsesdirektivet omfattede et krav om underretning af de berørte enkeltpersoner og også de relevante myndigheder om brud på datasikkerheden. Et brud på datasikkerheden defineres bredt som ethvert brud, der fører til tilintetgørelse, tab, videregivelse osv. af persondata, der sendes, lagres eller på anden måde behandles i forbindelse med tjenesten. Enkeltpersoner skal underrettes, når bruddet på datasikkerheden kan forventes at krænke deres personoplysninger eller privatlivets fred. Dette kan være tilfældet, hvis bruddet kan indebære identitetstyveri, betydelig tort eller skade af omdømme. De relevante myndigheder skal underrettes om ethvert brud på datasikkerheden, uanset om det udgør en risiko for personer.

108.

Desværre gælder denne forpligtelse kun for udbydere af offentligt tilgængelige elektroniske kommunikationstjenester, f.eks. telefonselskaber, udbydere af internetadgang, webmailudbydere osv. EDPS opfordrer Kommissionen til at fremlægge forslag om sikkerhedsbrud, der gælder på tværs af sektorer. Med hensyn til indholdet af en sådan ramme mener EDPS, at lovgivningsrammen for sikkerhedsbrud i e-databeskyttelsesdirektivet sikrer en passende balance mellem beskyttelsen af personers rettigheder, herunder deres ret til beskyttelse af personoplysninger og privatlivets fred, og forpligtelserne for omfattede enheder. Samtidig er dette en ramme med effektive foranstaltninger, da den er understøttet af relevante håndhævelsesbestemmelser, som giver myndighederne tilstrækkelige undersøgelses- og sanktionsbeføjelser i tilfælde af manglende overholdelse.

109.

EDPS opfordrer derfor Kommissionen til at vedtage et lovgivningsforslag, hvor denne ramme finder anvendelse på tværs af sektorer, om nødvendigt med de relevante justeringer. Dette vil desuden sikre, at de samme standarder og procedurer anvendes på tværs af sektorer.

110.

Det reviderede e-databeskyttelsesdirektiv giver Kommissionen beføjelse til at vedtage tekniske gennemførelsesforanstaltninger, dvs. detaljerede foranstaltninger vedrørende underretning om sikkerhedsbrud, efter en komitologiprocedure (47). Denne beføjelse er berettiget med henblik på at sikre en ensartet gennemførelse og anvendelse af lovgivningsrammen for sikkerhedsbrud. En ensartet gennemførelse bidrager til at sikre, at personer i hele Fællesskabet opnår det samme høje beskyttelsesniveau, og at omfattede enheder ikke pålægges divergerende underretningskrav.

111.

E-databeskyttelsesdirektivet blev vedtaget i november 2009. Der synes ikke at være nogen begrundelse for at udsætte påbegyndelsen af arbejdet med at vedtage tekniske gennemførelsesforanstaltninger. EDPS tilrettelagde to seminarer, som havde til formål at dele og indsamle erfaringer om underretning af brud på datasikkerheden. EDPS vil gerne dele resultaterne heraf og ser frem til at arbejde sammen med Kommissionen og andre interessenter om at finjustere den generelle lovgivningsramme for brud på datasikkerheden.

112.

EDPS opfordrer Kommissionen til inden for kort tid at træffe de nødvendige foranstaltninger. Inden Kommissionen vedtager tekniske gennemførelsesforanstaltninger, skal den iværksætte en bred høring, hvor ENISA, EDPS og Artikel 29-Gruppen skal høres. Endvidere skal høringen også omfatte andre »relevante aktører«, særlig med henblik på at blive informeret om de bedste tilgængelige tekniske og økonomiske midler til gennemførelsen.

113.

Tillid, eller snarere mangel herpå, er blevet kortlagt som et centralt spørgsmål i forbindelse med fremkomsten og den vellykkede ibrugtagning af informations- og kommunikationsteknologier. Hvis folk ikke har tillid til ikt, vil disse teknologier sandsynligvis ikke få succes. Tillid til ikt afhænger af forskellige faktorer, hvor sikringen af, at disse teknologier ikke underminerer personers grundlæggende rettigheder til privatlivets fred og beskyttelsen af personoplysninger, er en væsentlig faktor.

114.

For yderligere at styrke lovgivningsrammen for databeskyttelse/privatlivets fred, hvis principper fortsat er fuldt ud relevante i informationssamfundet, foreslår EDPS, at Kommissionen integrerer »privacy by design« på forskellige niveauer i lovgivningen og den politiske beslutningsproces.

115.

EDPS anbefaler Kommissionen at lægge fire fremgangsmåder til grund:

116.

På tre særlige ikt-områder anbefaler EDPS, at Kommissionen vurderer behovet for at fremlægge forslag til gennemførelse af »privacy by design«-princippet på specifikke måder:

117.

Endelig forslår EDPS Kommissionen at:

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/16

1.

Den 3. december 2008 vedtog Kommissionen et forslag til Europa-Parlamentets og Rådets direktiv om affald af elektrisk og elektronisk udstyr (WEEE) (i det følgende benævnt »forslaget«) (1). Forslaget har til formål at omarbejde direktiv 2002/96/EF om affald af elektrisk og elektronisk udstyr (WEEE), som blev vedtaget den 27. januar 2003 (i det følgende benævnt »direktivet«) (2), uden at ændre hverken incitamentet eller begrundelsen for at indsamle og genvinde WEEE.

2.

Den tilsynsførende er ikke blevet hørt, hvilket er i strid med artikel 28 i Rådets forordning (EF) nr. 45/2001 (3). Den tilsynsførende har derfor på eget initiativ vedtaget denne udtalelse på grundlag af artikel 41, stk. 2, i samme forordning. Den tilsynsførende henstiller til, at der henvises til denne udtalelse i præamblen til forslaget.

3.

Den tilsynsførende er klar over, at denne anbefaling kommer sent i lovgivningsprocessen, men finder det ikke desto mindre hensigtsmæssigt og nyttigt at fremsætte denne udtalelse, da forslaget rejser en række vigtige spørgsmål vedrørende databeskyttelse, som ikke besvares. Denne udtalelse har ikke til formål at ændre ved forslagets primære og fremherskende formål og indhold, hvis »tyngdepunkt« (4) forbliver miljøbeskyttelse, men sigter udelukkende på at tilføje en ekstra dimension, som får stadig større betydning i vores informationssamfund (5).

4.

Den tilsynsførende er opmærksom på omarbejdningsprocedurens begrænsede anvendelsesområde, men opfordrer alligevel lovgiveren til at tage disse henstillinger i betragtning i overensstemmelse med artikel 8 i den interinstitutionelle aftale om omarbejdningsproceduren (som giver mulighed for at ændre uændrede bestemmelser) (6).

5.

Forslaget har til formål at opdatere det nuværende direktiv om bortskaffelse, genbrug og genanvendelse af WEEE. Forslaget er blevet til på baggrund af de tekniske, juridiske og administrative problemer, der opstod i de første år efter gennemførelsen af direktivet, hvilket der var taget højde for i direktivets artikel 17, stk. 5.

6.

Elektrisk og elektronisk udstyr (EEE) er en bred produktgruppe, der omfatter en række forskellige medier til lagring af personlige oplysninger, såsom it- og teleudstyr (f.eks. pc’er, bærbare computere, terminaler til elektronisk kommunikation), der inden for de nuværende teknisk-økonomiske rammer er kendetegnet ved stadig hurtigere innovationscyklusser og, takket være teknologisk konvergens, ved adgang til udstyr, der kan anvendes til mange forskellige formål. Udviklingen inden for elektroniske lagringsmedier går meget hurtigt, navnlig med hensyn til lagringskapacitet og størrelse, og markedskræfterne forårsager derfor en tilsvarende hurtig udskiftning af EEE (der indeholder store mængder af ofte følsomme personlige oplysninger). Dette resulterer ikke blot i, at WEEE betragtes som den hurtigst voksende affaldsstrøm i EU (7), men også i, at der i tilfælde af uforsvarlig bortskaffelse er en åbenlyst øget risiko for tab eller spredning af personoplysninger, der er lagret i denne type EEE.

7.

Den Europæiske Unions politikker om miljø og bæredygtig udvikling har igennem længere tid været rettet mod at reducere affald af naturlige ressourcer og indføre forureningsbekæmpende foranstaltninger.

8.

Bortskaffelse, genbrug og genvinding af WEEE er omfattet af disse rammer. Disse foranstaltninger sigter mod at forhindre bortskaffelse af elektrisk og elektronisk udstyr og blandet affald og forpligter producenterne til at bortskaffe affald i overensstemmelse med direktivets bestemmelser.

9.

Blandt de forskellige foranstaltninger, der fastsættes i direktivet, er det især værd at fremhæve de foranstaltninger, der har til formål at fremme genbrug (dvs. enhver proces, hvorved WEEE eller komponenter herfra fortsat anvendes til samme formål, som de blev fremstillet til, og som returneres til indsamlingssteder, distributører, genvindingsvirksomheder eller fabrikanter), genvinding (dvs. oparbejdning i en produktionsproces af affaldsmaterialer til deres oprindelige formål eller andre formål) og finde andre måder til at nyttiggøre WEEE for at nedbringe den affaldsmængde, der skal bortskaffes (se artikel 1 og 3, litra d) og e) i direktivet).

10.

Disse processer, herunder navnlig genbrug og genvinding af WEEE, især it- og teleudstyr, udgør i højere grad end tidligere en risiko for, at de personer, der indsamler WEEE eller sælger og køber de genbrugte eller genvundne apparater, kan få adgang til personoplysninger, der er lagret i apparaterne. Disse oplysninger er ofte følsomme eller omhandler et stort antal personer.

11.

På baggrund heraf mener den tilsynsførende, at det er vigtigt, at alle aktører (brugere og producenter af EEE) bliver gjort opmærksomme på risiciene i forbindelse med personoplysninger, navnlig i den sidste fase af livscyklussen for elektrisk og elektronisk udstyr. Selv om dette udstyr i denne fase har mindre økonomisk værdi, indeholder det med stor sandsynlighed en stor mængde personoplysninger og har dermed en stor »iboende« værdi for den registrerede og/eller andre.

12.

Den tilsynsførende har ingen bemærkninger til forslagets generelle mål og støtter fuldt ud det initiativ, der er taget, og som har til hensigt at forbedre de miljøvenlige politikker i forbindelse med WEEE.

13.

Forslaget samt direktivet fokuserer imidlertid udelukkende på de miljørisici, der er forbundet med bortskaffelse af WEEE. Der tages ikke højde for, at processer til bortskaffelse, genbrug eller genvinding af WEEE kan medføre andre risici for enkeltpersoner og/eller organisationer, navnlig de risici, der er forbundet med sandsynligheden for uretmæssig erhvervelse, videregivelse eller formidling af personoplysninger, der er lagret i WEEE.

14.

Det er vigtigt at bemærke, at direktiv 95/46/EF (8) finder anvendelse på »enhver operation eller række af operationer […] som personoplysninger gøres til genstand for«, herunder »slettelse eller tilintetgørelse« (artikel 2, litra b)). Bortskaffelse af WEEE kan omfatte operationer for behandling af oplysninger. Der er derfor en overlapning mellem forslaget og det nævnte direktiv, og reglerne om databeskyttelse kan derfor i princippet også finde anvendelse på aktiviteter, der er dækket af forslaget.

15.

Den tilsynsførende ønsker at fremhæve de væsentlige risici, der kan påvirke enkeltpersoner og/eller organisationer, der fungerer som »registeransvarlige« (9), i tilfælde af, at WEEE, navnlig it- og teleudstyr, indeholder personlige oplysninger om brugerne af dette udstyr og/eller tredjeparter på tidspunktet for bortskaffelsen. Ulovlig adgang til eller videregivelse af personoplysninger, som kan bestå af særlige kategorier af oplysninger vedrørende race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og behandling af personoplysninger vedrørende helbredsforhold og seksuelle forhold (såkaldt »følsomme oplysninger«) (10), kan krænke privatlivet og værdigheden hos de personer, som oplysningerne vedrører, samt de legitime interesser hos enkeltpersoner/organisationer (f.eks. af økonomisk karakter).

16.

Den tilsynsførende mener overordnet set, at det er nødvendigt at understrege vigtigheden af, at der vedtages passende sikkerhedsforanstaltninger i alle faser (fra start til slut) i behandlingen af personoplysninger, hvilket også er anført i tidligere udtalelser (11). Dette gælder især i den følsomme fase, hvor den registeransvarlige ønsker at bortskaffe udstyr, der indeholder personoplysninger.

17.

Overholdelse af sikkerhedsforanstaltninger er ofte en forudsætning for en effektiv beskyttelse af personoplysninger.

18.

Det vil derfor være inkonsekvent at indføre en forpligtelse til at indføre (undertiden omkostningstunge) sikkerhedsforanstaltninger i forbindelse med en almindelig behandling af personoplysninger (som fastsat i artikel 17 i direktiv 95/46/EF, når det er relevant (12)), for så blot at undlade at indføre tilstrækkelige foranstaltninger vedrørende bortskaffelse af WEEE.

19.

Det vil ligeledes være inkonsekvent at prioritere datasikkerhed i henhold til artikel 2 i direktiv 2009/136/EF (13), hvori det fastsættes, at der skal underrettes om brud på datasikkerheden, uden tilsvarende at indføre garantier eller beskyttelse i forbindelse med bortskaffelse, genbrug eller genvinding af WEEE.

20.

Den tilsynsførende beklager, at forslaget ikke tager højde for, hvilke potentielt skadelige indvirkninger bortskaffelsen af WEEE kan have på beskyttelsen af personoplysninger, som er lagret i brugt udstyr.

21.

Der blev heller ikke taget højde for dette aspekt i Kommissionens konsekvensanalyse (14), selv om erfaringerne viser, at mangel på tilstrækkelige sikkerhedsforanstaltninger i forbindelse med bortskaffelse af WEEE kan være skadelig for beskyttelsen af personoplysninger (15). På baggrund af kompleksiteten af de temaer, der berøres (f.eks. de mange legitime metoder, teknologier og aktører, som optræder i cyklussen for bortskaffelse af WEEE), mener den tilsynsførende, at det ville have været hensigtsmæssigt, om der var blevet udført en »konsekvensanalyse, for så vidt angår beskyttelse af privatlivets fred og databeskyttelse« i forbindelse med processerne til bortskaffelse af WEEE.

22.

Ikke desto mindre anbefaler den tilsynsførende på det kraftigste, at der udvikles »bedste tilgængelige teknikker« til beskyttelse af privatlivets fred og databeskyttelse og -sikkerhed på dette område.

23.

Dette understøttes endvidere af, at de forskellige aktører under den offentlige høring forud for omarbejdningen af direktivet gjorde opmærksom på problemstillinger vedrørende især it-selskaber og selskaber inden for elektronisk kommunikation (16).

24.

Endelig skal det fremhæves, at visse nationale databeskyttelsesmyndigheder har offentliggjort retningslinjer, der har til formål at minimere de risici, der kan opstå, hvis ikke der træffes de nødvendige sikkerhedsforanstaltninger, herunder navnlig i forbindelse med bortskaffelse af materialer, som er omfattet af direktivets anvendelsesområde (17).

25.

Den tilsynsførende gentager, at direktiv 96/46/EF finder anvendelse i forbindelse med bortskaffelse af WEEE, der indeholder personoplysninger. Registeransvarlige — navnlig de, der anvender it- og teleudstyr — er derfor nødt til at overholde deres sikkerhedsforpligtelser for at forhindre uretmæssig videregivelse eller formidling af personoplysninger. For ikke at blive gjort ansvarlig for overtrædelse af sikkerhedsforanstaltninger bør den registeransvarlige i den offentlige eller private sektor, i samarbejde med de databeskyttelsesansvarlige (hvis sådanne findes), vedtage hensigtsmæssige politikker for bortskaffelse af WEEE, der indeholder personoplysninger.

26.

Såfremt de registeransvarlige, der varetager bortskaffelse af WEEE, ikke har de fornødne kvalifikationer og/eller den fornødne tekniske viden til at slette de pågældende personoplysninger, kan de overdrage denne opgave til kvalificerede databehandlere (f.eks. assistancecentre, producenter eller forhandlere af udstyr) på de betingelser, der fastsættes i artikel 17, stk. 2, 3 og 4, i direktiv 95/46/EF. Databehandlerne vil derefter certificere udførelsen af de pågældende behandlinger og/eller udføre dem.

27.

På baggrund af disse overvejelser konkluderer den tilsynsførende, at der i forbindelse med omarbejdningen af direktivet bør føjes databeskyttelsesprincipper til de bestemmelser, der omhandler miljøbeskyttelse.

28.

Den tilsynsførende anbefaler derfor Rådet og Europa-Parlamentet at tilføje en specifik bestemmelse til det nuværende forslag, hvori det fastsættes, at direktivet finder anvendelse på bortskaffelse af WEEE, jf. dog direktiv 95/46/EF.

29.

De personer, der er ansvarlige for bortskaffelse, kan træffe selvstændige beslutninger vedrørende de data, der er lagret i det elektriske eller elektroniske udstyr, og kan derfor anses for at være »registeransvarlige« (18). De er derfor nødt til at vedtage interne procedurer for at undgå unødvendig behandling af personoplysninger, der er lagret i WEEE, det vil sige behandlinger, der ikke er absolut nødvendige for at bekræfte, at de lagrede oplysninger er blevet slettet.

30.

Derudover må de ikke give uautoriserede personer mulighed for at få kendskab til eller behandle data, der er lagret i elektrisk og elektronisk udstyr. Når lagringsmedier genbruges eller genvindes og dermed sendes tilbage på markedet, er der en øget risiko for uretmæssig videregivelse eller formidling af personoplysninger, og det er nødvendigt at forhindre ikke-autoriseret adgang til personoplysninger.

31.

Den tilsynsførende anbefaler derfor, at Rådet og Europa-Parlamentet tilføjer en specifik bestemmelse til det nuværende forslag med det formål at forbyde markedsføring af brugt udstyr, som ikke har været underlagt de fornødne sikkerhedsforanstaltninger, i overensstemmelse med de nyeste og mest avancerede tekniske standarder (f.eks. multi-pass overwriting), for at slette enhver personoplysning, der måtte være lagret i udstyret.

32.

De kommende retlige rammer for e-affald bør ikke blot indeholde en specifik bestemmelse vedrørende det mere generelle princip om miljøvenligt design i forbindelse med udstyret (se artikel 4 i forslaget vedrørende Produktdesign), men også, som anført tidligere i andre udtalelser fra den tilsynsførende (19), en bestemmelse vedrørende princippet om »Privacy by design« (indbygget databeskyttelse) (20) eller mere præcist for dette område »security by design« (21). Beskyttelse af privatlivets fred og databeskyttelse bør så vidt muligt som standard være integreret i selve udformningen af elektrisk og elektronisk udstyr, således at brugerne ved hjælp af enkle og gratis midler kan slette de personoplysninger, der måtte være på udstyret, hvis det skal bortskaffes (22).

33.

Denne tilgang understøttes af artikel 3, stk. 3, litra c), i direktiv 1999/5/EC (23) om radio- og teleterminaludstyr samt gensidig anerkendelse af udstyrets overensstemmelse og af artikel 14, stk. 3 i direktiv 2002/58/EF (24).

34.

Producenterne bør derfor »indbygge« foranstaltninger til databeskyttelse og -sikkerhed via teknologiske løsninger (25). I denne forbindelse bør der også gøres en indsats for at fremme og støtte initiativer, der har til formål at rådgive de personer, der er berørt af behovet for at slette alle personoplysninger inden bortskaffelse af WEEE (herunder producenter, der stiller gratis software til rådighed til dette formål) (26).

35.

I betragtning af ovenstående anbefaler den tilsynsførende, at databeskyttelsesmyndighederne, især via Artikel 29-arbejdsgruppen, og den tilsynsførende involveres tæt i initiativer vedrørende bortskaffelse af WEEE, i form af høring på et tilstrækkeligt tidligt stadium, før de relevante foranstaltninger udvikles.

36.

I betragtning af den kontekst, hvori personoplysninger behandles, henstiller den tilsynsførende til, at forslaget tilføjes specifikke bestemmelser:

37.

Den tilsynsførende anbefaler derfor på det kraftigste, at forslaget, i overensstemmelse med direktiv 95/46/EF, ændres som følger:

—   betragtning 11:

—   Artikel 2, stk. 3:

38.

Derudover mener den tilsynsførende, at det vil være hensigtsmæssigt at overveje følgende ændringer:

—   Artikel 4, stk. 2:

—   Artikel 8, stk. 7:

—   Artikel 14, stk. 6:

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/22

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/26

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/29

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/30

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/31

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/32

(1)

Artikel 173 i traktaten giver Unionen og medlemsstaterne til opgave at sørge for, at de nødvendige betingelser for udviklingen af EU-industriens konkurrenceevne er til stede. I artikel 191 i TEUF fastlægges det, at Unionens politik på miljøområdet skal bidrage til at fremme foranstaltninger til bevarelse, beskyttelse og forbedring af miljøkvaliteten og bekæmpelse af klimaændringer.

(2)

Som led i Kommissionens industripolitik blev der i CARS 21-processen (En konkurrencevenlig lovramme for automobiler i det 21. århundrede), som oprindeligt blev iværksat i 2005, fremsat anbefalinger for den offentlige politik på kort, mellemlangt og langt sigt med hensyn til lovrammerne for EU's automobilindustri og med henblik på at fremme den globale konkurrenceevne og beskæftigelsen samtidig med at sikre yderligere fremskridt for så vidt angik sikkerhed og miljøpræstationer til en pris, som forbrugerne kunne betale.

(3)

I meddelelsen »EUROPA 2020 — En strategi for intelligent, bæredygtig og inklusiv vækst« (1) forelægger Kommissionen et forslag til at modernisere og reducere transportsektorens CO2-emissioner og til at fremme nye teknologier, herunder elektriske biler. EU's flagskibsinitiativ »En industripolitik for en globaliseret verden« sigter mod at udarbejde en industripolitik, der giver de bedste rammer for at bevare og udvikle en stærk konkurrencedygtig og diversificeret industribase i Europa, og som støtter fremstillingssektorens overgang til større energi- og ressourceeffektivitet. Flagskibsinitiativ »Et ressourceeffektivt Europa« vil fremme vidtrækkende infrastrukturforanstaltninger som udbredelse af netinfrastrukturer til elektrisk mobilitet, intelligent trafikstyring og først og fremmest nye teknologier, herunder elbiler og hybridbiler.

(4)

Kommissionens meddelelse »En europæisk strategi for rene og energieffektive køretøjer« (2) fastlægger kort- til langsigtede mål til støtte for forskning og innovation for at finde løsninger med hensyn til energiproduktion og –distribution, stimulere beskæftigelsen og fremme markedsudbredelsen af grønne køretøjer.

(5)

Det er derfor nødvendigt at nedsætte en ekspertgruppe om konkurrenceevne og bæredygtig vækst i EU's automobilindustri, idet der bygges videre på CARS 21-processen, og at fastlægge denne gruppes opgaver og opbygning.

(6)

Gruppen bør bidrage til at identificere politikker og foranstaltninger på EU-niveau, nationalt niveau og blandt de andre interesseparter til fremme af konkurrenceevnen og en bæredygtig vækst i EU's automobilindustri.

(7)

Gruppen bør sammensættes af repræsentanter for Europa-Parlamentet, Kommissionen, medlemsstaterne og relevante interesseparter i industrien og civilsamfundet, især repræsentanter for forbrugerne, fagforeningerne og ikke-statslige organisationer.

(8)

Der bør fastsættes regler for gruppemedlemmernes videregivelse af oplysninger, dog med forbehold af Kommissionens sikkerhedsforskrifter som fastsat i bilaget til Kommissionens afgørelse (2001/844/EF, EKSF, Euratom) af 29. november 2001 om ændring af dens forretningsorden (3).

(9)

Personoplysninger bør behandles i overensstemmelse med Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (4).

(10)

Der bør fastsættes en gyldighedsperiode for denne afgørelse. Kommissionen vil til sin tid overveje, om det er hensigtsmæssigt at forlænge den —

1)

at bistå Kommissionen i forbindelse med spørgsmål vedrørende automobilindustriens konkurrenceevne og bæredygtige vækst

2)

at foretage økonomiske og statistiske analyser af de faktorer, som forårsager strukturændringerne i automobilindustrien, og af andre faktorer, som påvirker den europæiske automobilsindustris konkurrenceevne

3)

at bistå Kommissionen med gennemførelsen af den politik, der er beskrevet i EUROPA 2020-strategien, flagskibsinitiativet om et ressourceeffektivt Europa, flagskibsinitiativet om en industripolitik for en globaliseret verden og meddelelsen om rene og energieffektive køretøjer KOM(2010) 186 for at opfylde målet om at opretholde en konkurrencedygtig og bæredygtig automobilindustri i EU

4)

at bidrage til at sikre en gnidningsfri og afbalanceret økonomisk og social overgang gennem proaktiv foregribelse og styring af omstruktureringsprocesser, kvalifikationsbehov og relaterede kompetencebehov, idet der tages hensyn til resultaterne fra »Det europæisk partnerskab for forberedelse på forandringer i bilsektoren« (European Partnership for the anticipation of change in the automotive sector)

5)

at formulere en række sektorspecifikke henstillinger til politiske beslutningstagere på EU-plan og nationalt plan samt til industrien og civilsamfundets organisationer

6)

at udvikle god adfærd med hensyn til at fremme gennemsigtighed i kommercielle og kontraktuelle relationer mellem parterne i vertikale aftaler inden for bilsektoren

7)

at rådgive om specifikke aspekter af gennemførelsen af Kommissionens 2020-strategi for intelligent, bæredygtig og inklusiv vækst.

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/35

1.

Den 8. oktober 2010 modtog Kommissionen i overensstemmelse med artikel 4 i Rådets forordning (EF) nr. 139/2004 (1) anmeldelse af en planlagt fusion, hvorved BASF SE (»BASF«, Tyskland) gennem opkøb af aktier erhverver enekontrol over Cognis GmbH (»Cognis«, Tyskland), jf. Fusionsforordningens artikel 3, stk. 1, litra b).

2.

De deltagende virksomheder er aktive på følgende områder:

3.

Efter en foreløbig gennemgang af sagen finder Kommissionen, at den anmeldte fusion muligvis falder ind under EF-fusionsforordningen. Den har dog endnu ikke taget endelig stilling hertil.

4.

Kommissionen opfordrer hermed alle interesserede til at fremsætte deres eventuelle bemærkninger til den planlagte fusion.

Bemærkningerne skal være Kommissionen i hænde senest ti dage efter offentliggørelsen af denne meddelelse og kan med angivelse af sagsnummer COMP/M.5927 — BASF/Cognis sendes til Kommissionen pr. fax (+32 22964301), pr. e-mail til adressen COMP-MERGER-REGISTRY@ec.europa.eu eller pr. brev til følgende adresse:

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/36

1.

Den 8. oktober 2010 modtog Kommissionen i overensstemmelse med artikel 4 og efter henvisning i henhold til artikel 4, stk. 5, i Rådets forordning (EF) nr. 139/2004 (1) anmeldelse af en planlagt fusion, hvorved Citigroup Venture Capital International Investment G.P. Limited (»DVCII«, Jersey), som kontrolleres af Citigroup, Inc. (USA), og Advance Properties OOD (»Advance Properties«, Bulgarien) gennem opkøb af aktier erhverver fælles kontrol over Huvepharma AD (»Huvepharma«, Bulgarien), der for øjeblikket udelukkende kontrolleres af Advance Properties, jf. Fusionsforordningens artikel 3, stk. 1, litra b).

2.

De deltagende virksomheder er aktive på følgende områder:

3.

Efter en foreløbig gennemgang af sagen finder Kommissionen, at den anmeldte fusion muligvis falder ind under EF-fusionsforordningen. Den har dog endnu ikke taget endelig stilling hertil. Det bemærkes, at denne sag eventuelt vil blive behandlet efter den forenklede procedure i overensstemmelse med Kommissionens meddelelse om en forenklet procedure til behandling af visse fusioner efter EF-fusionsforordningen (2).

4.

Kommissionen opfordrer hermed alle interesserede til at fremsætte deres eventuelle bemærkninger til den planlagte fusion.

Bemærkningerne skal være Kommissionen i hænde senest ti dage efter offentliggørelsen af denne meddelelse og kan med angivelse af sagsnummer COMP/M.5982 — CVCII/Advance Properties/Huvepharma sendes til Kommissionen pr. fax (+32 22964301), pr. e-mail til COMP-MERGER-REGISTRY@ec.europa.eu eller pr. brev til følgende adresse:

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/37

De Minister van Economische Zaken

ter attentie van J. C. De Groot, directeur Energiemarkt

ALP/562

Bezuidenhoutseweg 30

Postbus 20101

2500 EJ Den Haag

NEDERLAND

16.10.2010   

DA

Den Europæiske Unions Tidende

C 280/39