26.7.2011   

DA

Den Europæiske Unions Tidende

C 220/1

1.

Den 24. februar 2011 vedtog Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets direktiv om ændring af direktiv 89/666/EØF, 2005/56/EF og 2009/101/EF for så vidt angår sammenkobling af centrale registre og handels- og selskabsregistre (3) (herefter »forslaget«) og hørte efterfølgende EDPS.

2.

EDPS glæder sig over at være blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og over, at en henvisning til EDPS' udtalelse er medtaget i præamblen til forslaget.

3.

Formålet med forslaget er at fremme og øge det grænseoverskridende samarbejde og udvekslingen af information mellem virksomhedsregistre i Det Europæiske Økonomiske Samarbejdsområde og dermed øge gennemsigtigheden og pålideligheden af de oplysninger, der er tilgængelige på tværs af grænserne. Effektive administrative samarbejdsprocedurer med hensyn til virksomhedsregistre er afgørende for en øget tillid til det europæiske indre marked, da de garanterer et mere sikkert erhvervsklima for forbrugere, kreditorer og andre virksomhedspartnere, nedbringer de administrative byrder og forbedrer retssikkerheden. En intensivering af de administrative samarbejdsprocedurer vedrørende virksomhedsregistre i Europa er særlig vigtig i forbindelse med fusioner, flytninger af hjemsted og ajourføring af registreringen af filialer i udlandet, hvor der ikke findes samarbejdsmekanismer eller kun begrænsede mekanismer.

4.

Med dette formål for øje ændrer forslaget tre eksisterende direktiver således:

5.

Der findes virksomhedsregistre i alle medlemsstaterne. De er organiseret på enten nationalt, regionalt eller lokalt plan. I 1968 blev der vedtaget fælles regler for at fastsætte minimumsstandarder for offentlighed (registrering og offentliggørelse) af selskabsoplysninger (7). Siden 1. januar 2007 har medlemsstaterne skullet føre elektroniske virksomhedsregistre (8) og give tredjeparter onlineadgang til registrets indhold.

6.

I nogle europæiske retsakter kræves der udtrykkeligt samarbejde mellem virksomhedsregistre fra forskellige medlemsstater for at lette grænseoverskridende fusioner af selskaber med begrænset ansvar (9) og grænseoverskridende flytninger af hjemsted for det europæiske selskab (SE) (10) og for det europæiske andelsselskab (SCE) (11).

7.

I 1992 blev der indført en frivillig samarbejdsmekanisme med hensyn til virksomhedsregistre i Europa. Nu sammenkører det såkaldte European Business Register (»EBR«) (12) officielle virksomhedsregistre fra 19 medlemsstater og seks andre europæiske retsområder. Mellem 2006 og 2009 deltog EBR i et forskningsprojekt kaldet BRITE (13), som havde til formål at udvikle en teknologisk platform for sammenkobling af virksomhedsregistre i Europa. I den konsekvensanalyse, der ledsager forslaget, forklares det imidlertid, at EBR står over for betydelige udfordringer i forbindelse med dets udvidelse, finansiering og ledelse: Ifølge konsekvensanalysen er den aktuelle samarbejdsmekanisme i den nuværende form ikke fuldt tilfredsstillende for potentielle brugere.

8.

I den begrundelse, der ledsager forslaget, anføres det, at den europæiske e-Justice-portal (14) skal være nøglepunktet for adgangen til retlige oplysninger, retlige og administrative institutioner, registre, databaser og andre tjenester i EU. Det fastslås endvidere, at forslaget komplementerer e-Justice-projektet og skal bidrage til lettere adgang til selskabsoplysninger gennem portalen.

9.

Ifølge konsekvensanalysen er et andet relevant projekt med potentielle synergivirkninger informationssystemet for det indre marked (IMI) (15). IMI er et elektronisk værktøj, der har til formål at støtte det daglige administrative samarbejde mellem offentlige administrationer i forbindelse med servicedirektivet (2006/123/EF) og direktivet om erhvervsmæssige kvalifikationer (2005/36/EF). IMI er i øjeblikket ved at blive udvidet og kan ifølge konsekvensanalysen også støtte håndhævelsen af andre direktiver, herunder også på det selskabsretlige område.

10.

Med forslagets artikel 3 ændres direktiv 2009/101/EF i flere henseender. To ændringsforslag har stor betydning for databeskyttelse.

11.

I den gældende udgave af artikel 2 i direktiv 2009/101/EF kræves det allerede, at visse minimumsoplysninger findes i et virksomhedsregister i hver enkelt medlemsstat, så tredjeparter kan kontrollere oplysninger vedrørende selskaber. Som anført i afsnit 1.2 ovenfor skal medlemsstaterne også føre elektroniske virksomhedsregistre og give tredjeparter onlineadgang til indholdet af disse registre.

12.

I artikel 2 opstilles 11 grundlæggende selskabsoplysninger, der skal stilles til rådighed for offentligheden, herunder følgende:

13.

Ud fra et databeskyttelsessynspunkt er det vigtigt, at der i artikel 2 også kræves oplysninger om »udnævnelse, udtræden samt identitet« (vores understregning) for de personer, som er i) beføjede til at forpligte selskabet og/eller ii) deltager i »ledelsen af, i tilsynet med eller i kontrollen« med selskabet.

14.

Listen over de punkter, der er omfattet af offentlighed i henhold til artikel 2, er forblevet uændret i forslaget. Der er heller ikke indføjet noget nyt krav om, at hver enkelt medlemsstat skal gøre disse oplysninger offentligt tilgængelige elektronisk. Det nye i forslaget er, at oplysningerne, der indtil videre har været tilgængelige på en fragmenteret måde, ofte kun på de lokale sprog eller via lokale websteder, nu vil være lettilgængelige via en fælles europæisk platform/adgangspunkt i flersprogligt miljø.

15.

Med henblik herpå indføjes der med forslaget en ny artikel 3a i direktivet om, at »[m]edlemsstaterne sikrer, at de dokumenter og oplysninger, der er omhandlet i artikel 2, og som er indsendt til deres register, kan indhentes elektronisk ved anmodning fra enhver ansøger via en enkelt europæisk elektronisk platform, som der er adgang til fra alle medlemsstater.« Ifølge forslaget skal alle nærmere detaljer fastsættes i delegerede retsakter.

16.

Med forslaget indsættes ligeledes en ny artikel 4a i samme direktiv 2009/101/EF, der bestemmer, at »[m]edlemsstaterne træffer de fornødne foranstaltninger for at sikre, at [virksomhedsregistrene] er interoperable og udgør et elektronisk netværk«. Igen skal alle nærmere detaljer ifølge forslaget fastsættes i delegerede retsakter.

17.

Til håndtering af databeskyttelsesspørgsmål indføjes der med forslaget en specifik artikel om databeskyttelse i alle tre direktiver, der skal ændres, hvori det kræves, at »[b]ehandlingen af personoplysninger i forbindelse med nærværende direktiv er underlagt bestemmelserne i Europa-Parlamentets og Rådets direktiv 95/46/EF«.

18.

EDPS er enig med Kommissionen i, at i) brug af informations- og kommunikationsteknologier kan bidrage til at øge effektiviteten af samarbejdet omkring virksomhedsregistre og ii) øget adgang til oplysninger fra virksomhedsregistre kan føre til øget gennemsigtighed. EDPS støtter derfor målene med forslaget. EDPS' bemærkninger skal ses i lyset af denne konstruktive strategi.

19.

Samtidig understreger EDPS desuden, at øget adgang til personoplysninger også fører til øgede risici for personoplysninger. Mens en korrekt identifikation af et selskabs repræsentant kan lettes, hvis hans privatadresse oplyses, kan en sådan offentlighed også have en negativ indvirkning på denne persons ret til beskyttelse af personoplysninger. Dette gælder navnlig personoplysninger, der gøres bredt tilgængelige på internettet i digital form på mange sprog og via en lettilgængelig europæisk platform/adgangspunkt.

20.

I en ikke så fjern fortid blev personoplysninger fra virksomhedsregistre (f.eks. navn, adresse og et eksemplar af direktørens underskrift) offentliggjort i papirform og på et lokalt sprog, efter at ansøgeren personligt havde aflagt besøg i en lokal afdeling af registret. Det er vigtigt at erkende, at denne situation er meget forskellig fra offentliggørelse af data i digital form via et nationalt elektronisk adgangspunkt. Offentliggørelse af personoplysninger via en lettilgængelig europæisk platform/adgangspunkt går et skridt videre og øger adgangen til oplysninger og risiciene i tilknytning til beskyttelse af de berørte personers personlige oplysninger yderligere.

21.

Blandt de risici for privatlivets fred, der findes (på grund af let adgang til data i digital form via et fælles elektronisk adgangspunkt), finder man identitetstyveri og andre kriminelle aktiviteter samt risikoen for, at de offentliggjorte oplysninger kan hentes ulovligt og bruges af selskaber til oprindeligt utilsigtede kommercielle formål efter etablering af de berørte personers profil. Uden passende beskyttelsesmekanismer kan oplysningerne også sælges til andre eller sammenkøres med andre oplysninger og sælges tilbage til regeringer, som kan anvende dem til uvedkommende og skjulte formål (f.eks. til håndhævelse af skattelovgivningen eller andre kriminelle eller administrative efterforskninger) uden et passende retsgrundlag (16).

22.

Derfor skal det nøje vurderes, hvilke personoplysninger der skal gøres tilgængelige via den fælles europæiske platform/adgangspunkt, og hvilke supplerende databeskyttelsesforanstaltninger — herunder tekniske foranstaltninger med henblik på begrænsning af søge- eller downloadningskapaciteten og data mining — der bør gælde.

23.

Som anført i punkt 2.1 og 2.2 ovenfor er de foreslåede artikler 3a og 4a i direktiv 2009/101/EF meget generelle og overlader mange nøglespørgsmål til delegerede retsakter.

24.

Selv om EDPS erkender behovet for fleksibilitet og dermed også behovet for delegerede retsakter, understreges det, at de nødvendige databeskyttelsesforanstaltninger er væsentlige elementer, der bør fremgå klart og specifikt direkte af teksten til selve det foreslåede direktiv. I denne forbindelse kan de ikke betragtes som »uvæsentlige elementer«, der kan medtages i efterfølgende delegerede retsakter vedtaget i henhold til artikel 290 i traktaten om Den Europæiske Unions funktionsmåde.

25.

EDPS anbefaler derfor, at databeskyttelsesbestemmelserne i forslaget skal være mere specfikke og gå videre end til blot at henvise til direktiv 95/46/EF (jf. afsnit 3.4 til 3.13). Yderligere bestemmelser om gennemførelse af specifikke beskyttelsesforanstaltninger kan så medtages i delegerede retsakter på grundlag af en høring af EDPS og, hvor det er relevant, af nationale databeskyttelsesmyndigheder (jf. afsnit 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 og 3.13 nedenfor).

26.

Ikke blot omhandler forslaget ikke nøgledatabeskyttelsesforanstaltninger, det er også meget åbent i andre henseender. Det skal navnlig fastsættes i delegerede retsakter, hvordan man vil nå frem til den foreslåede i) sammenkobling af virksomhedsregistre og ii) offentlighed omkring data.

27.

Tydeliggørelse af disse andre væsentlige elementer i forslaget er en nødvendig forudsætning for vedtagelsen af passende databeskyttelsesforanstaltninger. EDPS anbefaler derfor, at disse væsentlige elementer fastsættes i selve det foreslåede direktiv (jf. afsnit 3.4 og 3.5 nedenfor).

28.

I øjeblikket skal reglerne vedrørende forvaltning, ledelse, drift og repræsentation af det elektroniske netværk ifølge forslaget fastsættes i delegerede retsakter (17).

29.

I konsekvensanalysen og begrundelsen påvises nogle synergier med IMI og e-Justice-portalen, men teksten i forslaget til direktiv lader døren stå åben for forskellige muligheder for at lade eller alle disse synergier manifestere sig, herunder omlægning af EBR, brug af IMI til visse dataudvekslinger og/eller brug af e-Justice-portalen som platformen/adgangspunktet for levering af oplysninger fra virksomhedsregistrene til offentligheden.

30.

Andre muligheder er heller ikke udelukket, f.eks. offentliggørelse af et udbud om tildeling af retten til at udforme og drive det elektroniske netværk, eller at Kommissionen spiller en direkte rolle i udformningen og driften af systemet. Medlemsstaternes repræsentanter kan også inddrages i det elektroniske netværks forvaltningsstruktur.

31.

Selv om der i forslaget i dets nuværende form er planer om »en enkelt europæisk elektronisk platform« (vores understregning), er det ikke udelukket, at teksten kan ændres yderligere i lovgivningsproceduren for at åbne mulighed for en mere decentraliseret struktur.

32.

EDPS bemærker ligeledes, at selv om det aktuelle forslag ikke specifikt vedrører spørgsmålet om sammenkobling af virksomhedsregistre med andre databaser (som f.eks. matrikelregistre eller civile registre), er dette helt klart en teknisk mulighed og noget, der allerede sker i nogle medlemsstater (18).

33.

Valget af den ene eller den anden af disse muligheder kan føre til en helt anden forvaltningsstruktur for det elektroniske netværk og for det elektroniske værktøj, der skal anvendes til offentliggørelse. Dette fører igen til forskellige roller og ansvar for de involverede parter, hvilket også resulterer i forskellige roller og ansvar ud fra et databeskyttelsessynspunkt.

34.

I denne henseende understreger EDPS, at det i alle situationer, hvor personoplysninger behandles, er vigtigt, at der foretages en korrekt påvisning af, hvem den »registeransvarlige« er. Dette blev også understreget i Artikel 29-Gruppen om Databeskyttelses udtalelse 1/2010 om begreberne »registeransvarlig« og »registerfører« (19). Den primære årsag til, at en klar og utvetydig identifikation af den registeransvarlige er så afgørende, er, at det er bestemmende for, hvem der har ansvaret for overholdelse af databeskyttelsesbestemmelserne, og det er også relevant at påvise, hvilken lov der er gældende (20).

35.

Som det fremgår af Artikel 29-Gruppens udtalelse »Hvis det ikke er tilstrækkelig klart, hvad der kræves af hvem — f.eks. hvis der ingen ansvarlige er, eller der er en lang række af mulige registeransvarlige — er der en åbenlys risiko for, at der sker for lidt, om overhovedet noget, og at de juridiske bestemmelser forbliver virkningsløse«.

36.

EDPS understreger, at der navnlig er behov for tydelighed i situationer, hvor flere aktører er involveret i et samarbejde. Dette er ofte tilfældet med EU-informationssystemer, der anvendes til offentlige formål, når formålet med behandlingen er defineret i EU-lovgivningen.

37.

Derfor anbefaler EDPS, at der i selve teksten til det foreslåede direktiv på en specifik, klar og utvetydig måde fastsættes bestemmelser om:

38.

Ud fra et databeskyttelsesperspektiv skal disse tydeliggørelser også være specifikke og utvetydige med hensyn til at fastslå, om en bestemt aktør bør betragtes som en »registeransvarlig« eller som en »registerfører« på grundlag af selve det foreslåede direktiv.

39.

I princippet bør forslaget udtrykkeligt bidrage til at fastslå, at indehavere af virksomhedsregistre samt operatøren/operatørerne af systemet, som det fremgår af det aktuelle forslag som helhed, hver især bør betragtes som en registeransvarlig i forhold til deres egne aktiviteter. Når det er sagt, kan det — eftersom forvaltningsstrukturen ikke beskrives i forslaget, og det heller ikke defineres, hvem der skal være operatør/operatører af det elektroniske system — ikke udelukkes, at en del af den eller de enheder, der i sidste ende skal drive systemet rent praktisk, vil fungere som en registerfører snarere end som en registeransvarlig. Dette kan navnlig være tilfældet, hvis denne aktivitet outsources til en tredjepart, som udelukkende vil handle efter instruktioner. Under alle omstændigheder ser der ud til fortsat at være mange registeransvarlige — mindst en i hver medlemsstat — nemlig de enheder, der vedligeholder virksomhedsregistrene. Den omstændighed, at der kan være andre (private) enheder involveret som operatører, »distributører« eller andet, ændrer ikke dette aspekt. Under alle omstændigheder bør dette specificeres i det foreslåede direktiv for at sikre tydelighed og retssikkerhed.

40.

Sidst men ikke mindst bør forslaget også mere specifikt og mere detaljeret beskrive de ansvarsopgaver, som disse roller medfører. For eksempel bør operatørens/operatørernes rolle i forbindelse med sikring af, at systemet er udformet på en måde, der beskytter privatlivets fred, samt dennes/disses koordinerende rolle med hensyn til databeskyttelsesspørgsmål medtages i forslaget.

41.

EDPS bemærker, at alle disse tydeliggørelser også vil være relevante, når det drejer sig om at fastslå, hvilke tilsynsmyndigheder inden for databeskyttelse der er kompetente, og for hvilken behandling af personoplysninger.

42.

Det ser ud til, at det elektroniske netværk i dets nuværende form ikke automatisk skal stille alle oplysninger i hvert enkelt virksomhedsregister til rådighed for alle andre virksomhedsregistre i alle andre medlemsstater. Forslaget kræver blot, at virksomhedsregistre sammenkobles og er interoperable, og der er dermed mulighed for at fastsætte betingelser for udveksling af oplysninger og adgang i fremtiden. For at garantere retssikkerhed bør forslaget tydeliggøre, om denne opfattelse er korrekt.

43.

Derudover fremgår det ikke af forslaget, hvilke datastrømme/administrative samarbejdsprocedurer der kan finde sted via de sammenkoblede virksomhedsregistre (21). EDPS er klar over, at der kan være behov for nogen fleksibilitet for at sikre, at de behov, der opstår i fremtiden, kan imødekommes. Når det er sagt, finder EDPS det vigtigt, at der i forslaget udtrykkeligt redegøres for rammerne for datastrømme og administrative samarbejdsprocedurer, som kan finde sted i fremtiden ved hjælp af det elektroniske netværk. Dette er navnlig vigtigt for at sikre, at i) alle dataudvekslinger er baseret på et solidt retsgrundlag, og at ii) der findes bestemmelser om passende databeskyttelsesforanstaltninger.

44.

Ifølge EDPS bør alle dataudvekslinger eller andre databehandlingsaktiviteter, der finder sted ved hjælp af det elektroniske netværk (f.eks. offentliggørelse af personoplysninger via den fælles platform/adgangspunkt), baseres på en bindende EU-retsakt, som vedtages på et solidt retsgrundlag. Dette bør fremgå klart af det foreslåede direktiv (22).

45.

Det bestemmes endvidere i forslaget, at følgende spørgsmål skal klarlægges i delegerede retsakter (23):

46.

Med hensyn til det første og andet punkt mener EDPS, at selve det foreslåede direktiv bør indeholde bestemmelser om visse vigtige beskyttelsesforanstaltninger (jf. afsnit 3.12 og 3.13 nedenfor). Yderligere oplysninger kan så fastsættes i delegerede retsakter.

47.

Med hensyn til automatiserede dataudvekslinger glæder EDPS sig over, at der i forslaget kræves delegerede retsakter om »fastlæggelse af standarder for format, indhold og frister for opbevaring og fremhentning af dokumenter og oplysninger, som muliggør en automatiseret dataudveksling«

48.

For at skabe større klarhed på dette område anbefaler EDPS, at det i selve det foreslåede direktiv anføres, at det elektroniske netværk muliggør (i) specifikke manuelle udvekslinger fra sag til sag mellem virksomhedsregistre (som det fremgår af en EU-retsakt f.eks. i forbindelse med en fusion eller en flytning af hjemsted) og (ii) automatiserede dataoverførsler (som det fremgår af en EU-retsakt f.eks. i forbindelse med ajourføring af oplysningerne i den udenlandske filials register).

49.

For at skabe yderligere klarhed anbefaler EDPS ligeledes, at den foreslåede tekst til artikel 4a, stk. 3, litra i), i direktiv 2009/101/EF ændres for at sikre, at i) delegerede retsakter detaljeret dækker både manuelle og automatiserede dataudvekslinger, og ii) alle behandlinger, der kan indebære personoplysninger (ikke blot lagring og fremhentning), er omfattet, og iii) specifikke databeskyttelsesbestemmelser i delegerede retsakter også vil sikre en praktisk anvendelse af relevante databeskyttelsesforanstaltninger.

50.

Eksempelvis kan artikel 4a, stk. 3, litra i), ændres således:

51.

Som en indledende bemærkning understreger EDPS, at navne (og muligvis andre oplysninger såsom privatadresser) på repræsentanter for selskaber (og andre personer, der er involveret i selskabernes ledelse) utvivlsomt udgør de mest indlysende personoplysninger, der kan behandles af det elektroniske netværk og/eller offentliggøres via den fælles elektroniske platform/adgangspunkt, men det er på ingen måde de eneste personoplysninger, der findes i virksomhedsregistrene.

52.

For det første kan alle eller nogle af de dokumenter, der er anført i artikel 2 i direktiv 2009/101/EF (f.eks. stiftelsesoverenskomsten, vedtægterne og regnskabsdokumenterne), også indeholde personoplysninger om andre personer. Disse oplysninger kan bl.a. omfatte navne, adresser, eventuelle personnumre og fødselsdatoer og endog indskannede håndskrevne underskrifter på en lang række personer, herunder de personer, der oprettede selskabet, selskabets aktionærer, advokater, revisorer, ansatte eller notarius publicus.

53.

For det andet vil selskabsoplysninger, når de knyttes sammen med navnet på en person (som f.eks. direktøren), også blive betragtet som personoplysninger vedrørende denne person. Hvis oplysninger fra et virksomhedsregister f.eks. viser, at en bestemt person sidder i bestyrelsen for et selskab under likvidation, er denne oplysning også relevant for denne person.

54.

For at sikre klarhed om, hvilke personoplysninger der behandles, og for at sikre, at den række oplysninger, der behandles, står i forhold til målene med forslaget, anbefaler EDPS de tydeliggørelser, der er fastsat her i afsnit 3.7.

55.

Det bestemmes ikke i artikel 2 i direktiv 2009/101/EF, hvilke »oplysninger« om de berørte personer (virksomhedsrepræsentanter og andre personer involveret i virksomhedsledelsen) der skal offentliggøres.

56.

Sætningen »particulars of persons« er oversat meget forskelligt i de forskellige sprogudgaver. For eksempel er sætningen oversat til »l’identité des personnes« (dvs. identiteten for personer) på fransk, »le generalità delle persone« (dvs. personoplysninger såsom for- og efternavn) på italiensk, »személyek adatai« (dvs. personoplysninger) på ungarsk, »de identiteit van de personen« (dvs. identiteten for personer) på nederlandsk og »identitatea persoanelor« (dvs. identiteten for personer) på rumænsk.

57.

I nogle medlemsstater offentliggøres direktørers og/eller andre personers som f.eks. aktionærers privatadresser rutinemæssigt på internettet. I nogle medlemsstater holdes disse oplysninger fortrolige i det virksomhedsregister, oplysningerne sendes til, af fortrolighedshensyn, herunder frygt for identitetstyveri.

58.

EDPS anbefaler, at artikel 2 i direktiv 2009/101/EF ændres for at tydeliggøre, om nogen personoplysninger ud over navnene på de berørte personer (virksomhedsrepræsentanter og andre personer involveret i virksomhedsledelsen) skal offentliggøres. I denne forbindelse bør behovet for gennemsigtighed og nøjagtig identifikation af disse personer nøje overvejes, men det skal også afvejes mod andre konkurrerende hensyn såsom behovet for at beskytte de pågældende personers privatliv (24).

59.

Såfremt der ikke nås til enighed på grund af forskelle i national praksis, bør artikel 2 i det mindste ændres, så det kræves, at »de berørte personers fulde navn og — hvis det kræves specifikt i henhold til national lovgivning — yderligere oplysninger, der er nødvendige med henblik på identifikation af dem« offentliggøres. Det vil så stå klart, at det er op til de enkelte medlemsstater i den nationale lovgivning at afgøre, hvilken »identitet« ud over navnene der eventuelt skal offentliggøres, og at der kun vil blive krævet offentliggørelse af yderligere personoplysninger, hvis dette er nødvendigt med henblik på identifikation af de berørte personer.

60.

Alternativt kan sætningen »identitet for personer« ganske enkelt erstattes af sætningen »fulde navn på personer«, da artikel 2 opstiller »mindsteoplysninger« og ikke harmoniserer indholdet af virksomhedsregistre i Europa. Det ville så være op til hver enkelt medlemsstat at afgøre, hvilke yderligere oplysninger de eventuelt ønsker at offentliggøre.

61.

I artikel 2 i direktiv 2009/101/EF kræves det ligeledes, at oplysninger om personer, der er involveret »i ledelsen af, i tilsynet med eller i kontrollen med selskabet«, skal offentliggøres. Det fremgår ikke helt klart af denne brede formulering, om oplysninger om aktionærerne skal offentliggøres: Det gælder navnlig oplysninger om aktionærer, som har i) en væsentlig, indflydelsesrig eller kontrollerende aktieandel over en vis grænse, eller ii) som via gyldne aktier, specifikke kontraktlige ordninger eller andet har en effektiv kontrol/indflydelse på selskabet.

62.

EDPS er klar over, at der er behov for en bred formulering, som kan dække de mange forskellige virksomhedsledelsesstrukturer, der i øjeblikket findes for selskaber med begrænset ansvar i de forskellige medlemsstater. Når det er sagt, er retssikkerhed omkring de personkategorier, hvis data kan offentliggøres, vigtig ud fra et databeskyttelsessynspunkt. EDPS anbefaler, at artikel 2 i direktiv 2009/101/EF ændres, så det tydeliggøres, hvilke personoplysninger vedrørende aktionærer der eventuelt skal offentliggøres. I denne forbindelse skal der gennemføres en vurdering af proportionaliteten i henhold til Schecke (som anført ovenfor).

63.

Selv om forslaget ikke kræver udveksling eller offentliggørelse af personoplysninger ud over mindstekravene fastsat i artikel 2 i direktiv 2009/101/EF, udelukker det heller ikke, at medlemsstaterne, hvis de måtte vælge det, kan kræve, at deres virksomhedsregistre behandler eller offentliggør andre personoplysninger og gør sådanne oplysninger tilgængelige også via den fælles europæiske platform/adgangspunkt og/eller udveksling af sådanne oplysninger med virksomhedsregistre i andre medlemsstater.

64.

Dette er et særlig følsomt spørgsmål med hensyn til »sortlister«. I nogle lande fungerer det elektroniske register de facto som en form for »sortliste«, og alle tredjeparter kan søge i det via en elektronisk portal for information om virksomhedsrepræsentanter, der er blevet udelukket fra deres aktiviteter.

65.

For at løse dette spørgsmål anbefaler EDPS, at det i forslaget tydeliggøres, om og i hvilken udstrækning medlemsstaterne med tiden kan offentliggøre flere oplysninger via den fælles portal og/eller med tiden kan udveksle yderligere oplysninger med hinanden på grundlag af deres egne nationale lovgivninger, hvis de måtte vælge det. I dette tilfælde bør en stram vurdering af proportionaliteten (jf. Schecke nævnt ovenfor) baseres på national lovgivning, ligesom den også skal tage hensyn til målene med det indre marked.

66.

Derudover foreslår EDPS, at anvendelsen af disse beføjelser knyttes sammen med en rolle, som de nationale databeskyttelsesmyndigheder skal spille, f.eks. gennem høring.

67.

Endelig understreger EDPS, at det bør fremgå specifikt af det foreslåede direktiv, hvis en europæisk ordning specifikt skulle kræve sådanne sortlister (25).

68.

EDPS anbefaler, at det foreslåede direktiv skal indeholde specifikke bestemmelser om, at der i alle tilfælde, hvor personoplysninger offentliggøres eller på anden måde deles mellem virksomhedsregistre, skal findes passende beskyttelsesmekanismer, særlig mod datahøst, data mining, samkøring af data og for vidtgående søgninger, for at sikre, at personoplysninger, der er stillet til rådighed af hensyn til gennemsigtigheden, ikke misbruges til andre uvedkommende formål (26).

69.

EDPS understreger navnlig behovet for at overveje teknologiske og organisatoriske foranstaltninger i henhold til princippet om indbygget databeskyttelse (Privacy by Design) (jf. afsnit 3.14 nedenfor). Den praktiske gennemførelse af disse beskyttelsesmekanismer kan overlades til delegerede retsakter. Principperne bør dog fastsættes i selve det foreslåede direktiv.

70.

EDPS anbefaler, at det foreslåede direktiv skal indeholde særlige bestemmelser med krav om, at oplysninger henhørende under artikel 10 og 11 i direktiv 95/46/EF (og tilsvarende bestemmelser i forordning (EF) nr. 45/2001, hvis det er relevant) skal gives til de registrerede på en effektiv og detaljeret måde. Derudover kan direktivet afhængigt af den forvaltningsstruktur, der opnås enighed om, og de forskellige involverede parters roller og ansvar, specifikt kræve, at operatøren af systemet skal spille en proaktiv rolle ved at give meddelelse og andre oplysninger til de registrerede på sit websted også »på vegne af« virksomhedsregistrene. Yderligere oplysninger kan medtages i delegerede retsakter efter behov eller kan fastsættes i en databeskyttelsespolitik.

71.

Forslaget bør som minimum indeholde en henvisning til kravet om udvikling af retningslinjerne for en ordning (i delegerede retsakter) for at gøre det muligt for de registrerede at benytte sig af deres rettigheder. Der bør også henvises til muligheden for at skabe et databeskyttelsesmodul og muligheden for indbyggede databeskyttelsesløsninger i forbindelse med samarbejde mellem myndigheder med hensyn til adgangsrettigheder samt »bemyndigelse af de registrerede«, hvor det er relevant.

72.

Da det er muligt, at Kommissionen eller en anden EU-institution/-organ også kan behandle personoplysninger i det elektroniske netværk (f.eks. ved at fungere som operatør af netværket eller ved at fremhente personoplysninger fra det), bør der også henvises til forordning (EF) nr. 45/2001.

73.

Det bør også tydeliggøres, at direktiv 95/46/EF finder anvendelse på virksomhedsregistre samt på andre parter, der er underlagt de nationale love i medlemsstaterne, mens forordning (EF) nr. 45/2001 finder anvendelse på Kommissionen og andre EU-institutioner og -organer.

74.

Med hensyn til overførsler af personoplysninger fra indehaveren af et virksomhedsregister i EU til indehaveren af et virksomhedsregister i et tredjeland, der ikke er forbundet med en passende grad af beskyttelse af personoplysninger, understreger EDPS først og fremmest, at det er vigtigt at skelne mellem to situationer:

75.

I forbindelse med førstnævnte tilfælde åbner artikel 26, stk. 1, litra f), i direktiv 95/46/EF mulighed for en undtagelse, når »videregivelsen finder sted fra et offentligt register«, forudsat at visse betingelser er overholdt. For eksempel hvis indehaveren af et virksomhedsregister i et europæisk land ønsker at overføre en bestemt række personoplysninger (f.eks. i forbindelse med registrering af udenlandske filialer) til indehaveren af et virksomhedsregister i et tredjeland, og de samme oplysninger allerede ville være offentligt tilgængelige under alle omstændigheder, bør det være muligt at foretage overførslen, som om det pågældende tredjeland ikke yder en tilstrækkelig beskyttelse.

76.

I forbindelse med det andet tilfælde anbefaler EDPS, at forslaget tydeliggør, at overførsler af oplysninger, der ikke er offentligt tilgængelige, kun kan foretages til enheder eller personer i et tredjeland, der ikke yder en passende beskyttelse, hvis den registeransvarlige påberåber sig passende beskyttelsesforanstaltninger med hensyn til beskyttelse af privatlivets fred og grundlæggende rettigheder og frihedhedsrettigheder for de enkelte personer og med hensyn til udøvelse af de tilsvarende rettigheder. Sådanne beskyttelsesforanstaltninger kan navnlig følge af passende kontraktbestemmelser i henhold til artikel 26, stk. 2, i direktiv 95/46 (27). I tilfælde, hvor sådanne dataoverførsler til tredjelande systematisk omfatter data, der deles mellem virksomhedsregistre i to eller flere EU-lande, eller hvor en indsats på EU-plan i øvrigt er ønskelig, kan forhandlingen af kontraktbestemmelser også ske på EU-plan (artikel 26, stk. 4).

77.

EDPS understreger, at andre undtagelser som den, hvor (artikel 26, litra d)) »videregivelsen er nødvendig eller følger af lov eller bestemmelser fastsat med hjemmel i lov for at beskytte en vigtig samfundsinteresse eller for, at et retskrav kan fastlægges, gøres gældende eller forsvares«, ikke bør anvendes til at begrunde systematiske dataoverførsler via elektroniske netværk til tredjelande.

78.

EDPS anbefaler, at der i forslaget specifikt henvises til og stræbes efter at gennemføre princippet om ansvarliggørelse (28), og at der fastsættes en klar ramme for passende interne mekanismer og kontrolsystemer for at sikre overholdelse af databeskyttelse og fremlæggelse af bevis herfor, som f.eks.:

79.

Med hensyn til indbygget databeskyttelse (29) bør forslaget specifikt henvise til dette princip, og det bør også udmønte denne forpligtelse i konkrete aktioner. Forslaget bør navnlig indeholde en bestemmelse om, at det elektroniske netværk skal være sundt og sikkert opbygget, så det har en lang række indbyggede mekanismer til beskyttelse af privatlivets fred. Nogle få mulige eksempler på indbygget databeskyttelse omfatter følgende:

80.

EDPS støtter målene med forslaget. EDPS' bemærkninger skal ses i lyset af denne konstruktive strategi.

81.

EDPS understreger, at de nødvendige databeskyttelsesforanstaltninger bør fremgå klart og specifikt direkte af selve direktivets tekst, da de anses for at være væsentlige elementer. Yderligere bestemmelser vedrørende gennemførelsen af specifikke beskyttelsesforanstaltninger kan derefter fastsættes i delegerede retsakter.

82.

Spørgsmålene om forvaltning, roller, kompetencer og ansvar skal behandles i det foreslåede direktiv. Med henblik herpå skal følgende fremgå af det foreslåede direktiv:

83.

Alle databehandlingsaktiviteter via det elektroniske netværk bør baseres på en bindende retsakt såsom en specifik EU-retsakt vedtaget på et solidt retsgrundlag. Dette bør klart fastsættes i det foreslåede direktiv.

84.

Bestemmelserne om gældende lov bør tydeliggøres og indeholde en henvisning til forordning (EF) nr. 45/2001.

85.

Med hensyn til overførsler af personoplysninger til tredjelande bør forslaget tydeligegøre, at overførsler i princippet og med undtagelse af de tilfælde, der henhører under artikel 26, stk. 1, litra f), i direktiv 95/46/EF, kun kan foretages til enheder eller personer i et tredjeland, der ikke yder en passende beskyttelse, hvis den registeransvarlige påberåber sig passende beskyttelsesforanstaltninger med hensyn til beskyttelse af privatlivets fred og grundlæggende rettigheder og frihedhedsrettigheder for de enkelte personer og med hensyn til udøvelse af de tilsvarende rettigheder. Sådanne beskyttelsesforanstaltninger kan navnlig følge af passende kontraktbestemmelser i henhold til artikel 26 i direktiv 95/46/EF.

86.

Kommissionen bør endvidere nøje vurdere, hvilke tekniske og organisatoriske foranstaltninger der skal træffes for at sikre, at privatlivets fred og databeskyttelse »indbygges« i det elektroniske netværks arkitektur (»privacy by design«), og at der findes passende kontrolforanstaltninger, som kan sikre overholdelse af databeskyttelsen og levere bevis herfor (»ansvarliggørelse«).

87.

EDPS' øvrige anbefalinger omfatter følgende:

26.7.2011   

DA

Den Europæiske Unions Tidende

C 220/12

26.7.2011   

DA

Den Europæiske Unions Tidende

C 220/16

26.7.2011   

DA

Den Europæiske Unions Tidende

C 220/17