18.2.2012   

SV

Europeiska unionens officiella tidning

C 48/2

1.

Den 29 augusti 2011 antog kommissionen ett förslag till Europaparlamentets och rådets förordning (nedan kallat förslaget eller förslaget till förordning) om administrativt samarbete genom informationssystemet för den inre marknaden (IMI) (3). Förslaget skickades samma dag till Europeiska datatillsynsmannen för samråd.

2.

Innan förslaget antogs gavs Europeiska datatillsynsmannen möjlighet att lämna informella kommentarer om förslaget, och innan dess om kommissionens meddelande ”Bättre styrning av den inre marknaden genom utökat administrativt samarbete: En strategi för att utvidga och utveckla informationssystemet för den inre marknaden (IMI) (nedan kallat meddelandet om IMI-strategin) (4)”, vilket föregick förslaget. Många av dessa kommentarer har beaktats i förslaget, och dataskyddsgarantierna i förslaget har förstärks till följd härav.

3.

Europeiska datatillsynsmannen välkomnar att kommissionen rådfrågade honom och att en hänvisning till detta yttrande ingår i inledningen till förslaget.

4.

IMI är ett IT-verktyg med vilket behöriga myndigheter i medlemsstaterna kan utbyta information med varandra när de tillämpar lagstiftningen om den inre marknaden. IMI gör det möjligt för nationella, regionala och lokala myndigheter i EU-medlemsstaterna att kommunicera snabbt och enkelt med motsvarande myndigheter i andra länder i Europa. Här ingår också behandling av relevanta personuppgifter, inbegripet känsliga uppgifter.

5.

IMI utformades först som ett kommunikationsverktyg för utbyte mellan två parter enligt direktivet om erkännande av yrkeskvalifikationer (5) och tjänstedirektivet (6). IMI hjälper användarna att hitta rätt myndighet att kontakta i ett annat land och kommunicera med denna genom förhandsöversatta standardfrågor och standardsvar (7).

6.

IMI är emellertid utformat som ett flexibelt horisontellt system som kan stödja många områden av lagstiftningen om den inre marknaden. Det är tänkt att användningen successivt ska ökas och stödja ytterligare rättsliga områden i framtiden.

7.

En utvidgning av funktionerna i IMI planeras också. Förutom utbyte av uppgifter mellan två parter finns det också andra funktioner som planeras eller redan har införts, såsom ”anmälningsförfaranden, varningsmekanismer, arrangemang för ömsesidigt bistånd och problemlösning” (8) liksom ”arkivering av uppgifter som framtida referens för IMI-aktörer” (9). I många, men inte i alla dessa funktioner kan också behandlingen av personuppgifter ingå.

8.

Enligt förslaget ska en tydlig rättslig grund och ett omfattande ramverk för uppgiftsskydd för IMI tillhandahållas.

9.

Under våren 2007 begärde kommissionen ett yttrande från arbetsgruppen för skydd av uppgifter (nedan kallad artikel 29-gruppen) för att undersöka hur IMI påverkar uppgiftsskyddet. Artikel 29-gruppen avgav sitt yttrande den 20 september 2007 (10). I yttrandet rekommenderades kommissionen att tillhandahålla en tydligare rättslig grund och särskilda riktlinjer för uppgiftsskydd vid utbyte av uppgifter inom IMI. Europeiska datatillsynsmannen deltog aktivt i arbetet i undergruppen för IMI och stödde slutsatserna i artikel 29-gruppens yttrande.

10.

Europeiska datatillsynsmannen gav även fortsättningsvis ytterligare vägledning åt kommissionen om hur ett mer omfattande ramverk för uppgiftsskyddet för IMI skulle säkerställas steg för steg (11). Inom ramen för detta samarbete och sedan Europeiska datatillsynsmannens yttrande om genomförandet av IMI (12) avgavs den 22 februari 2008 har denne konsekvent påpekat behovet av ett nytt rättsinstrument som antas genom det ordinarie lagstiftningsförfarandet för att inrätta ett mer omfattande ramverk för uppgiftsskyddet för IMI och skapa rättssäkerhet. Förslaget till ett sådant rättsinstrument har nu framlagts (13).

11.

Europeiska datatillsynsmannens allmänna omdöme om IMI är positivt. Europeiska datatillsynsmannen stöder kommissionens syften med att inrätta ett elektroniskt system för informationsutbyte och reglera dess dataskyddsaspekter. Ett sådant rationaliserat system kan inte bara effektivisera samarbetet utan också hjälpa till att säkerställa överensstämmelse med tillämplig dataskyddslagstiftning. Detta är möjligt genom att systemet tillhandahåller en tydlig ram för vilken typ av information som kan utbytas med vem och på vilka villkor.

12.

Europeiska datatillsynsmannen välkomnar också att kommissionen föreslår ett horisontellt rättsinstrument för IMI i form av rådets och parlamentets förordning. Han välkomnar att de viktigaste uppgiftsskyddsfrågorna för IMI i stor utsträckning belyses i förslaget. Hans synpunkter ska läsas mot denna positiva bakgrund.

13.

Europeiska datatillsynsmannen betonar icke desto mindre att införandet av ett enda centraliserat elektroniskt system för många områden av det administrativa samarbetet ger upphov till risker. Den viktigaste av dessa är att fler uppgifter kan lämnas ut mer allmänt än vad som är strikt nödvändigt för ett effektivt samarbete och att uppgifter, däribland potentiellt föråldrade och felaktiga, kan kvarstå i systemet längre än nödvändigt. Säkerheten hos en databas som är åtkomlig för 27 medlemsstater är också en känslig fråga, eftersom hela systemet bara är lika säkert som den svagaste länken i nätet.

14.

Beträffande det rättsliga ramverk för IMI som ska inrättas genom den föreslagna förordningen vill Europeiska datatillsynsmannen rikta uppmärksamheten på två centrala utmaningar:

15.

Dessa väsentliga utmaningar är viktiga referenspunkter, och de bestämmer till stor del Europeiska datatillsynsmannens inställning i detta yttrande.

16.

För det första är IMI ett system som används i 27 medlemsstater. Med den nuvarande nivån i fråga om harmonisering av den europeiska lagstiftningen finns det avsevärda skillnader mellan de nationella administrativa förfarandena och mellan de nationella bestämmelserna om uppgiftsskydd. IMI måste utformas på ett sådant sätt att användarna i var och en av dessa 27 medlemsstater kan följa sina nationella lagar, inbegripet bestämmelser om uppgiftsskydd, när de utbyter personuppgifter via IMI. Samtidigt måste de registrerade också försäkras om att deras uppgifter skyddas konsekvent, oberoende av att uppgifterna överförs via IMI till en annan medlemsstat. Att iaktta enhetlighet samtidigt som mångfalden respekteras är en viktig utmaning när både den tekniska och den rättsliga infrastrukturen för IMI utformas. Onödig komplexitet och uppsplittring bör undvikas. Uppgiftsbehandlingen inom IMI måste vara transparent, och ansvaret för att fatta beslut om utformningen av systemet, det dagliga underhållet och användningen av systemet, och även övervakningen av det, måste vara tydligt fördelat.

17.

För det andra är IMI, till skillnad från andra storskaliga IT-system som Schengens informationssystem, informationssystemet för viseringar, tullinformationssystemet och Eurodac, vilka alla är inriktade på samarbete inom särskilda, klart definierade områden, ett horisontellt verktyg för informationsutbyte som kan användas för att underlätta informationsutbytet inom många olika politikområden. Avsikten är också att IMI:s tillämpningsområde stegvis ska utökas till ytterligare politikområden, och funktionerna kan också komma att innefatta hittills inte angivna typer av administrativt samarbete. Dessa utmärkande drag hos IMI gör det svårare att klart definiera systemets funktioner och det utbyte av uppgifter som kan äga rum i systemet. Det är därför också en större utmaning att klart definiera lämpliga säkerhetsåtgärder för uppgiftsskydd.

18.

Europeiska datatillsynsmannen medger att det behövs flexibilitet och tar notis om kommissionens önskan att göra förordningen ”framtidssäker”. Detta får emellertid inte leda till bristande tydlighet eller rättssäkerhet i fråga om systemets funktioner och de säkerhetsåtgärder för uppgiftsskydd som ska införas. Förslaget bör därför alltid när det är möjligt göras mer specifikt, och inte bara vara en upprepning av de viktigaste principerna för uppgiftsskydd som anges i direktiv 95/46/EG och förordning (EG) nr 45/2001 (14).

19.

Europeiska datatillsynsmannen välkomnar förslagets tydliga definition av IMI:s nuvarande tillämpningsområde, med bilaga I där den tillämpliga unionsrätt enligt vilken uppgifter kan utbytas anges. Här ingår samarbete enligt de särskilda bestämmelserna i direktivet om erkännande av yrkeskvalifikationer och direktivet om tillämpningen av patienters rättigheter vid gränsöverskridande hälso- och sjukvård (15).

20.

Eftersom det förväntas att tillämpningsområdet för IMI kommer att utvidgas anges potentiella områden för utvidgning i bilaga II. Punkter i bilaga II kan flyttas till bilaga I genom en delegerad akt som antas av kommissionen efter en konsekvensbedömning (16).

21.

Europeiska datatillsynsmannen välkomnar denna metod eftersom den i) tydligt avgränsar IMI:s tillämpningsområde och ii) säkerställer insyn och iii) samtidigt ger flexibilitet i de fall då IMI används för ytterligare informationsutbyte i framtiden. Den säkerställer också att inget informationsutbyte kan genomföras genom IMI i) utan att det finns en lämplig rättslig grund i särskild lagstiftning om den inre marknaden som tillåter eller föreskriver informationsutbyte (17) och ii) utan att en hänvisning till denna rättsliga grund införs i bilaga I till förordningen.

22.

I detta sammanhang råder det fortfarande osäkerhet beträffande IMI:s tillämpningsområde när det gäller de politikområden som IMI kan utvidgas till och beträffande de funktioner som ingår eller kan ingå i IMI.

23.

För det första kan det inte uteslutas att IMI:s tillämpningsområde kan utvidgas mer än till att omfatta de politikområden som anges i bilagorna I och II. Detta kan inträffa om användningen av IMI för vissa typer av informationsutbyte inte föreskrivs av kommissionen i en delegerad akt utan i en akt som har antagits av parlamentet och rådet i ett fall där detta inte förutsetts i bilaga II (18).

24.

För det andra, medan en utvidgning av tillämpningsområdet till nya politikområden i vissa fall bara kräver en liten eller ingen ändring av systemets befintliga funktioner (19), kan andra utvidgningar kräva nya och annorlunda funktioner eller viktiga ändringar i befintliga funktioner:

25.

För att ta itu med dessa osäkra punkter rekommenderar Europeiska datatillsynsmannen ett tvådelat tillvägagångssätt. Han föreslår för det första att funktioner som redan kan förutses ska klarläggas och tas upp mer specifikt, och för det andra att lämpliga förfarandemässiga skyddsåtgärder ska vidtas för att säkerställa att uppgiftsskyddet också noga övervägs under den framtida utvecklingen av IMI.

26.

Europeiska datatillsynsmannen rekommenderar att förordningen görs mera specifik när det gäller funktioner där dessa redan är kända, som i fråga om det informationsutbyte som anges i bilagorna I och II.

27.

Mer specifika och tydliga åtgärder skulle till exempel kunna anges för integreringen av Solvit (22) i IMI (bestämmelser för ”externa aktörer” och ”problemlösning”) och för adresskatalogerna med yrkesverksamma och tillhandahållare av tjänster (bestämmelser om ”arkivering”).

28.

Ytterligare klarlägganden bör också göras beträffande ”varningar”, vilka redan används enligt tjänstedirektivet och också kan införas inom ytterligare politikområden. I synnerhet bör ”varning” som funktion definieras tydligare i artikel 5 (tillsammans med andra funktioner, som informationsutbyte mellan två parter och arkivering). Tillträdesrättigheter och lagringstider för varningar bör också klarläggas (23).

29.

Om avsikten är att förordningen ska vara ”framtidssäker” i fråga om ytterligare funktioner som kan bli nödvändiga på längre sikt och att således ytterligare funktioner ska tillåtas som ännu inte är definierade i förordningen bör detta åtföljas av lämpliga förfarandemässiga skyddsåtgärder för att säkerställa att lämpliga åtgärder vidtas för att införa de nödvändiga åtgärderna för uppgiftsskydd innan den nya funktionen tas i bruk. Detsamma bör gälla för utvidgningar till nya politikområden där detta påverkar uppgiftsskyddet.

30.

Europeiska datatillsynsmannen rekommenderar en tydlig mekanism som säkerställer att uppgiftsskyddsfrågor noga utvärderas före varje utvidgning av funktionerna eller utsträckning till nya politikområden och att ytterligare skyddsåtgärder eller tekniska åtgärder införs i IMI:s arkitektur om det är nödvändigt. I synnerhet

31.

Dessa förfarandemässiga skyddsåtgärder (konsekvensbedömning av uppgiftsskydd och samråd) bör gälla både för utvidgning genom en delegerad akt från kommissionen (flyttning av en post från bilaga II till bilaga I) och genom parlamentets och rådets förordning med införande av en post som ännu inte har angetts i bilaga II.

32.

Slutligen rekommenderar Europeiska datatillsynsmannen att man i förordningen klarlägger huruvida tillämpningsområdet för de delegerade akter som kommissionen kommer att få befogenheter att anta enligt artikel 23 ska innefatta andra punkter utöver flyttning av poster från bilaga II till bilaga I: Om det är möjligt bör kommissionen ges befogenheter i förordningen att anta speciella genomförandeakter eller delegerade akter för att närmare definiera ytterligare funktioner i systemet eller ta upp uppgiftsskyddsfrågor som kan uppkomma i framtiden.

33.

Europeiska datatillsynsmannen välkomnar att ett helt kapitel (kapitel II) ägnas åt att klarlägga de funktioner och ansvarsområden som de olika aktörer som är involverade i IMI har. Bestämmelserna skulle kunna stärkas ytterligare enligt följande.

34.

I artikel 9 beskrivs de ansvarsområden som följer av kommissionens roll som kontrollerande institution. Europeiska datatillsynsmannen rekommenderar dessutom att ytterligare en bestämmelse införs med uppgift om kommissionens roll för att säkerställa att systemet är utformat med tillämpning av principerna om ”inbyggt integritetsskydd” och dess roll som samordnare när det gäller uppgiftsskyddsfrågor.

35.

Europeiska datatillsynsmannen välkomnar att det i IMI-samordnarnas uppgifter som anges i artikel 7 nu särskilt ingår samordningsuppgifter i fråga om uppgiftsskydd, inbegripet att fungera som kontaktperson för kommissionen. Han rekommenderar att det dessutom klargörs att kontakter med de nationella datatillsynsmyndigheterna också ingår i dessa samordningsuppgifter.

36.

I artikel 10 anges skyddsåtgärder i samband med tillträdesrättigheter. Europeiska datatillsynsmannen välkomnar att dessa bestämmelser har stärkts avsevärt efter det att han lämnat synpunkter.

37.

Med tanke på IMI:s horisontella och expansiva karaktär är det viktigt att säkerställa att systemet garanterar att ”kinesiska murar” tillämpas som begränsar den information som behandlas inom ett politikområde till enbart detta politikområde. Användarna av IMI bör i) bara få tillgång till information under förutsättning att informationen behövs, och ii) informationen ska begränsas till ett enda politikområde.

38.

Om det är oundvikligt att en användare av IMI får rätt att få tillgång till information för flera politikområden (vilket kan vara fallet till exempel i lokal förvaltning) ska systemet åtminstone inte tillåta att information som kommer från olika politikområden slås samman. Undantag bör om det är nödvändigt anges i genomförandebestämmelser eller i en unionsrättsakt med strikt iakttagande av principen om ändamålsbegränsning.

39.

Dessa principer anges nu i förordningstexten, men de kan stärkas och operationaliseras ytterligare.

40.

När det gäller kommissionens tillträdesrättigheter välkomnar Europeiska datatillsynsmannen att det i förslagets artiklar 9.2, 9.4 och 10.6 sammantagna anges att kommissionen inte ska ha tillgång till de personuppgifter som utbyts mellan medlemsstater utom i de fall där kommissionen anges som deltagare i ett förfarande för administrativt samarbete.

41.

Externa aktörers tillträdesrättigheter och tillträdesrätt till varningar bör också specificeras ytterligare (24). Beträffande varningar rekommenderar Europeiska datatillsynsmannen att det i förordningen föreskrivs att varningar inte som standard ska skickas till alla behöriga myndigheter i fråga i alla medlemsstater, utan bara till dem som är berörda, under förutsättning att informationen behövs. Detta utesluter inte att varningar skickas till alla medlemsstater i speciella fall eller inom speciella politikområden om alla är berörda. Likaledes är en bedömning från fall till fall nödvändig för att avgöra huruvida kommissionen ska ha tillgång till varningar.

42.

Genom artikel 13 i förslaget förlängs lagringstiden för uppgifter i IMI från för närvarande sex månader (räknat från det att ärendet avslutats) till fem år, varvid uppgifterna ”blockeras” efter 18 månader. Under den period då uppgifterna ”blockeras” är de bara tillgängliga efter ett speciellt förfarande för inhämtning som bara kan inledas på begäran av den registrerade personen eller om uppgifterna behövs ”för att bevisa att informationsutbyte förekommit genom IMI”.

43.

I själva verket lagras uppgifterna i IMI således under tre olika perioder:

44.

Utöver dessa allmänna regler är enligt artikel 13.2 ”arkivering av uppgifter” tillåten så länge som det krävs för detta ändamål, med medgivande från den registrerade eller när ”det är nödvändigt för att efterleva en unionsakt”. I artikel 14 föreskrivs vidare en liknande blockeringsmekanism för bevarande av personuppgifter som gäller IMI-användare i fem år efter det att de upphört att vara IMI-användare.

45.

Det finns inga andra speciella bestämmelser. Därför är förmodligen de allmänna reglerna avsedda att tillämpas inte bara på utbyte mellan två parter utan också på varningar, problemlösning (som i Solvit (26)) och på alla andra funktioner där personuppgifter behandlas.

46.

Mot bakgrund av artikel 6.1 e i direktiv 95/46/EG och artikel 4.1 e i förordning (EG) nr 45/2001, vilka båda kräver att personuppgifter inte lagras under en längre tid än vad som är nödvändigt för de ändamål för vilka de samlades in eller för vilka de senare behandlas, ställer sig Europeiska datatillsynsmannen tveksam i flera avseenden när det gäller lagringstiderna.

47.

När det gäller den första perioden, från överföringen av information och till dess att ärendet avslutas, ställer sig Europeiska datatillsynsmannen tveksam eftersom det finns risk för att vissa ärenden kanske aldrig avslutas eller avslutas efter orimligt lång tid. Det kan leda till att vissa personuppgifter finns kvar längre i databasen än som är nödvändigt eller till och med för obestämd tid.

48.

Europeiska datatillsynsmannen inser att kommissionen har gjort framsteg på det praktiska planet för att minska eftersläpningen i IMI, och det finns ett system för utbyte mellan två parter för att kontrollera att ärenden avslutas i rätt tid och för att påminna dem som ligger efter. Dessutom gör en ny ändring i systemets funktioner enligt principerna om ”inbyggt integritetsskydd” det möjligt att med en enda knapptryckning acceptera ett svar och samtidigt avsluta ärendet. Tidigare har det krävts två olika steg för detta, vilket kan ha varit orsaken till en del av de vilande fall som har stannat kvar i systemet.

49.

Europeiska datatillsynsmannen välkomnar dessa insatser på det praktiska planet. Han rekommenderar emellertid att det i själva förordningstexten ges garantier för att ärendena avslutas i rätt tid i IMI och att vilande ärenden (ärenden utan aktivitet på senare tid) tas bort ur databasen.

50.

Europeiska datatillsynsmannen uppmanar parterna att på nytt överväga huruvida det är tillräckligt befogat att förlänga den nuvarande sexmånadersperioden till 18 månader efter det att ärendet har avslutats och, om så är fallet, huruvida detta gäller bara för informationsutbyte mellan två parter eller också för andra typer av funktioner. IMI har nu funnits i flera år, och de praktiska erfarenheter som gjorts i detta avseende bör utnyttjas.

51.

Om IMI fortsätter att vara ett verktyg för informationsutbyte (till skillnad från ett system för ärendehantering, en databas eller ett arkiveringssystem) och dessutom förutsatt att de behöriga myndigheterna ges verktyg för att från systemet hämta den information som de har tagit emot (antingen på elektronisk väg eller i pappersform, och åtminstone på ett sådant sätt att de kan använda den hämtade informationen som bevis (27)) tycks det inte finnas något större behov av att överhuvudtaget bevara uppgifterna i IMI efter det att ärendet har avslutats.

52.

Vid utbyte av information mellan två parter kan det finnas behov av att ställa uppföljningsfrågor också efter det att ett svar har mottagits, och ett ärende således har avslutats, vilket kan motivera en (rimligt kort) lagringsperiod efter det att ärendet har avslutats. Den nuvarande sexmånadersperioden verkar vid första anblicken vara tillräckligt väl tilltagen för detta ändamål.

53.

Europeiska datatillsynsmannen anser att kommissionen inte heller har lämnat någon tillräcklig motivering till att det skulle vara nödvändigt och proportionerligt att lagra ”blockerade uppgifter” i upp till fem år.

54.

I motiveringen på sidan 8 hänvisas det till domstolens dom i målet Rijkeboer  (28). Europeiska datatillsynsmannen rekommenderar att kommissionen på nytt överväger hur detta ärende påverkar lagring av uppgifter i IMI. Han anser att domen i målet Rijkeboer inte medför att IMI måste konfigureras för att lagra uppgifter i fem år efter det att ärendet har avslutats.

55.

Europeiska datatillsynsmannen anser inte att en hänvisning till domen i målet Rijkeboer eller till registrerades rätt att få tillgång till sina uppgifter är en tillräcklig och lämplig motivering för att lagra uppgifter i IMI i fem år efter det att ärendet har avslutats. Att lagra enbart ”loggdata” (exakt definierade för att utesluta allt innehåll, bland annat bilagor och känsliga uppgifter) kan vara ett mindre inkräktande alternativ, vilket kanske förtjänar att övervägas ytterligare. På detta stadium är Europeiska datatillsynsmannen emellertid inte övertygad om att ens detta skulle vara vare sig nödvändigt eller proportionerligt.

56.

Dessutom är oklarheten om vem som ska få tillgång till de ”blockerade uppgifterna” och för vilket syfte också problematisk. Att bara hänvisa till användning ”när det gäller bevis på informationsutbyte” (som i artikel 13.3) är inte tillräckligt. Om man behåller bestämmelsen om ”blockering” bör det i vart fall bättre anges vem som kan be om bevis på informationsutbyte och i vilket sammanhang. Skulle andra ha rätt att begära tillträde, förutom den registrerade personen? Om så var fallet, skulle det bara vara de behöriga myndigheterna, och bara för att bevisa att ett speciellt informationsutbyte med speciellt innehåll har ägt rum (om ett sådant utbyte har bestridits av de behöriga myndigheter som skickade eller tog emot meddelandet)? Förutses annan möjlig användning ”för att bevisa att ett informationsutbyte har ägt rum” (29)?

57.

Europeiska datatillsynsmannen rekommenderar att det görs en tydligare åtskillnad mellan varningar och arkivering av information. Det är en sak att använda en varning som kommunikationsverktyg för att varna behöriga myndigheter om en speciell förseelse eller misstanke och en helt annan sak att lagra varningen i en databas under en lång eller till och med obestämd tid. Lagring av varningsinformation skulle leda till ytterligare betänkligheter och kräva särskilda regler och ytterligare skyddsåtgärder.

58.

Europeiska datatillsynsmannen rekommenderar därför att det i förordningen föreskrivs som en generell regel i) att sex månaders lagring ska gälla för varningar om inget annat anges i vertikal lagstiftning och förutsatt att det finns andra tillräckliga skyddsmekanismer och, vilket är viktigt, ii) att denna period ska räknas från det att varningen skickas ut.

59.

Som alternativ rekommenderar Europeiska datatillsynsmannen att detaljerade skyddsåtgärder anges speciellt i förslaget till förordning när det gäller varningar. Europeiska datatillsynsmannen är beredd att bistå kommissionen och lagstiftarna med ytterligare råd i detta avseende, om detta andra tillvägagångssätt tillämpas.

60.

Europeiska datatillsynsmannen välkomnar den åtskillnad som görs mellan sådana personuppgifter som anges i artikel 8.1 i direktiv 95/46/EG och sådana som nämns i artikel 8.5. Han välkomnar också att det i förordningen tydligt anges att hantering av specialkategorier av uppgifter endast ska tillåtas med hänvisning till ett särskilt skäl som anges i artikel 8 i direktiv 95/46/EG.

61.

I detta hänseende förstår Europeiska datatillsynsmannen att IMI kommer att hantera en avsevärd mängd känsliga uppgifter som omfattas av artikel 8.2 i direktiv 95/46/EG. Från första början, när IMI först togs i bruk för att stödja det administrativa samarbetet enligt tjänstedirektivet och direktivet om erkännande av yrkeskvalifikationer, utformades det faktiskt för att hantera sådana uppgifter, särskilt uppgifter i samband med protokoll över brott och administrativa förseelser som kan påverka en yrkesutövares eller tjänsteleverantörs rätt att utföra arbete/tjänster i en annan medlemsstat.

62.

Dessutom ska förmodligen en avsevärd mängd känsliga uppgifter som omfattas av artikel 8.1 (huvudsakligen hälsorelaterade uppgifter) hanteras i IMI när IMI utvidgas till att innefatta en modul för Solvit (30). Slutligen kan det inte uteslutas att ytterligare känsliga uppgifter i framtiden också kan samlas in genom IMI på ad hoc-basis eller systematiskt.

63.

Europeiska datatillsynsmannen välkomnar att det i artikel 16 särskilt anges att kommissionen är skyldig att följa sina egna interna bestämmelser som den har antagit enligt artikel 22 i förordning (EG) nr 45/2001 och att anta en säkerhetsplan för IMI och hålla denna uppdaterad.

64.

För att ytterligare stärka dessa bestämmelser rekommenderar Europeiska datatillsynsmannen att förordningen ska kräva en riskbedömning och en översyn av säkerhetsplanen varje gång IMI ska utvidgas till ett nytt politikområde och innan en ny funktion som påverkar personuppgifter läggs till (31).

65.

Europeiska datatillsynsmannen har dessutom också konstaterat att endast kommissionens skyldigheter och Europeiska datatillsynsmannens roll som övervakare anges i artikel 16 och skäl 16. Detta kan vara missvisande. Det är visserligen sant att kommissionen är systemoperatör och som sådan har ansvar för en övervägande del av upprätthållandet av säkerheten i IMI, men de behöriga myndigheterna har också skyldigheter som i sin tur övervakas av nationella datatillsynsmyndigheter. I artikel 16 och skäl 16 bör därför också de skyldigheter beträffande säkerhet som gäller för resten av aktörerna inom IMI enligt direktiv 95/46/EG och för de nationella datatillsynsmyndigheternas tillsynsbefogenheter anges.

66.

Beträffande artikel 17.1 rekommenderar Europeiska datatillsynsmannen mer specifika bestämmelser i förordningen för att säkerställa att de registrerade ges fullständig information om sina uppgifter i IMI. Med tanke på att IMI används av många behöriga myndigheter, inbegripet många små lokala förvaltningar utan tillräckliga resurser, rekommenderas det eftertryckligen att lämnandet av meddelanden samordnas på nationell nivå.

67.

Enligt artikel 17.2 a ska kommissionen lämna ett integritetsmeddelande beträffande sina egen behandling av uppgifter enligt artiklarna 10 och 11 i förordning (EG) nr 45/2001. Dessutom ska kommissionen enligt artikel 17.2 b också lämna information om ”dataskyddsaspekterna i samband med förfaranden för administrativt samarbete i IMI, enligt artikel 12”. Slutligen ska kommissionen enligt artikel 17.2 c lämna information om ”undantag från eller begränsningar av de registrerades rättigheter, enligt artikel 19”.

68.

Europeiska datatillsynsmannen välkomnar dessa bestämmelser som bidrar till insyn i uppgiftsbehandlingen inom IMI. Såsom konstaterats i avsnitt 2.1 ovan har det avgörande betydelse att enhetlighet säkerställs i fråga om användningen av systemet, de skyddsåtgärder som tillämpas och den information som lämnas till de registrerade (32).

69.

Bestämmelserna i artikel 17.2 bör ändå stärkas ytterligare. Kommissionen i dess egenskap av systemoperatör har bäst förutsättningar för att inta en proaktiv hållning när en första ”del” av meddelanden om skydd av personuppgifter och annan relevant information till de registrerade lämnas på dess flerspråkiga webbplats, också för behöriga myndigheters räkning, det vill säga sådan information som krävs enligt artiklarna 10 eller 11 i direktiv 95/46/EG. För meddelanden som lämnas av behöriga myndigheter i medlemsstater skulle det då ofta vara tillräckligt att helt enkelt hänvisa till det meddelande som kommissionen lämnat och bara göra nödvändiga kompletteringar, så att de följer eventuell ytterligare speciell information som krävs speciellt enligt nationell lagstiftning.

70.

I artikel 17.2 b bör det också klargöras att information som lämnas av kommissionen ska omfatta alla politikområden, alla typer av förfaranden för administrativt samarbete och alla funktioner i IMI som helhet och också särskilt de kategorier av uppgifter som kan komma att behandlas. Dessutom bör de frågeserier som används vid samarbete mellan två parter också publiceras på IMI:s webbplats, vilket redan sker i praktiken.

71.

Europeiska datatillsynsmannen vill åter hänvisa till att det, vilket konstaterats i avsnitt 2.1 ovan, har avgörande betydelse att enhetlighet säkerställs när det gäller driften av systemet och de skyddsåtgärder som tillämpas. Europeiska datatillsynsmannen skulle därför vilja se en ytterligare specificering av bestämmelserna om rätt till tillträde, korrigering och radering.

72.

I artikel 18 bör det anges vem de registrerade ska vända sig till för att begära tillträde. Detta bör vara tydligt när det gäller tillgång till uppgifter under olika tidsperioder:

73.

Förordningen bör också kräva att de behöriga myndigheterna vid behov samarbetar när det gäller begäran om tillträde. Korrigering och radering bör utföras ”så snart som möjligt och senast inom 60 dagar” och inte ”inom 60 dagar”. En hänvisning bör också göras till möjligheten att bygga upp dataskyddsmoduler och utforma lösningar där registren utformas med ”integritetsfrämjande teknik” och där myndigheterna samarbetar kring ”den registrerades rätt att ta del av uppgifter”, till exempel genom att ge dem direkt tillgång till uppgifterna när detta är tillämpligt och genomförbart.

74.

Under de senaste åren har modellen med ”samordnad övervakning” utvecklats. Denna modell för övervakning som nu används i Eurodac och delar av tullinformationssystemet har också införts för informationssystemet för viseringar (VIS) och andra generationen av Schengens informationssystem (SIS II).

75.

Modellen består av tre delar:

76.

Modellen har visat sig vara framgångsrik och effektiv och bör i framtiden planeras för andra informationssystem.

77.

Europeiska datatillsynsmannen välkomnar att det i artikel 20 i förslaget föreskrivs att de nationella datatillsynsmyndigheterna och Europeiska datatillsynsmannen ska samordna övervakningen enligt den modell som fastställs i VIS- och SIS II-förordningarna (33).

78.

Europeiska datatillsynsmannen skulle vilja stärka bestämmelserna om samordnad övervakning på vissa punkter och skulle därför förorda bestämmelser liknande dem som till exempel finns i samband med informationssystemet för viseringar (artiklarna 41–43 i VIS-förordningen), Schengen II (artiklarna 44–46 i SIS II-förordningen) och planeras för Eurodac (34). Europeiska datatillsynsmannen rekommenderar i synnerhet

79.

Europeiska datatillsynsmannen är ändå medveten om att de uppgifter som behandlas för närvarande är mindre omfattande och av en annan karaktär och att IMI utvecklas. Han medger därför att mer flexibilitet kan vara tillrådligt när det gäller mötes- och granskningsfrekvens. Europeiska datatillsynsmannen rekommenderar kort sagt att förordningen ska innehålla nödvändiga minimiregler för att trygga ett effektivt samarbete och inte skapa onödiga administrativa bördor.

80.

I artikel 20.3 i förslaget föreskrivs inga regelbundna möten, utan bara att Europeiska datatillsynsmannen ”vid behov [kan] kalla till ett möte med de nationella tillsynsmyndigheterna”. Europeiska datatillsynsmannen välkomnar att de berörda parterna själva kan bestämma hur ofta och på vilket sätt mötena ska genomföras och om andra förfarandemässiga detaljer i fråga om samarbetet. Detta kan avtalas i de förfaranderegler som redan har nämnts i förslaget.

81.

Vad beträffar regelbundna granskningar kan det också vara mera effektivt att överlåta åt de samarbetande myndigheterna att i sina förfaranderegler bestämma när och hur ofta sådana granskningar ska genomföras. Detta kan vara beroende av ett antal faktorer och kanske också ändra sig med tiden. Europeiska datatillsynsmannen stöder därför kommissionens tillvägagångssätt, som tillåter mer flexibilitet också i detta avseende.

82.

Europeiska datatillsynsmannen välkomnar att förslaget tillhandahåller en tydlig rättslig grund för den nationella användningen av IMI och att sådan användning omfattas av flera villkor, samt att den nationella datatillsynsmyndigheten ska underrättas och att användningen måste följa den nationella lagstiftningen.

83.

Europeiska datatillsynsmannen välkomnar de krav som fastställs i artikel 22.1 för informationsutbyte och att artikel 22.3 säkerställer insyn i utvidgningen genom att en uppdaterad förteckning över de tredjeländer som använder IMI ska offentliggöras i Europeiska unionens officiella tidning (artikel 22.3).

84.

Vidare rekommenderar Europeiska datatillsynsmannen att kommissionen kortar ner hänvisningen till undantagen enligt artikel 26 i direktiv 95/46/EG så att bara artikel 26.2 innefattas. Med andra ord: behöriga myndigheter eller andra externa aktörer i ett tredjeland utan tillräcklig skyddsnivå ska inte kunna få direkt tillträde till IMI såvida det inte stipuleras i lämpliga avtalsklausuler. Dessa klausuler bör förhandlas fram på EU-nivå.

85.

Europeiska datatillsynsmannen vill betona att andra undantag som ”överföringen är nödvändig eller följer av lag på grund av viktiga allmänna intressen, eller för att kunna fastställa, göra gällande eller försvara rättsliga anspråk” inte bör användas för att motivera överföring av uppgifter till tredjeländer genom direkt tillträde till IMI (38).

86.

I linje med de förväntade förbättringarna av systemet för ansvarsskyldighet under översynen av EU:s ram för uppgiftsskydd (39) rekommenderar Europeiska datatillsynsmannen att det i förordningen fastställs en tydlig ram för tillräckliga interna kontrollmekanismer som säkerställer och styrker efterlevnaden av uppgiftsskyddet och som innehåller åtminstone de delar som anges nedan.

87.

Europeiska datatillsynsmannen välkomnar i detta sammanhang kravet i artikel 26.2 i förordningen att kommissionen vart tredje år ska lämna en rapport till Europeiska datatillsynsmannen om aspekter som hör samman med skyddet av personuppgifter, inbegripet datasäkerhet. Det bör klargöras i förordningen att Europeiska datatillsynsmannen i sin tur ska överlämna kommissionens rapport till de nationella datatillsynsmyndigheterna inom ramen för den samordnade övervakning som anges i artikel 20. Det bör också klargöras att rapporten, med hänsyn till varje politikområde och varje funktion, bör ta upp hur de centrala principerna för uppgiftsskydd och uppgiftsskyddsproblem (till exempel information till de registrerade, tillträdesrättigheter och säkerhet) har hanterats i praktiken.

88.

I förordningen bör dessutom klargöras att ramen för interna kontrollmekanismer också ska innefatta integritetsbedömningar (inbegripet analys av säkerhetsrisker), en uppgiftsskyddspolicy (inbegripet en säkerhetsplan) som antas på grundval av resultaten av dessa samt periodiskt återkommande översyn och granskning.

89.

Europeiska datatillsynsmannen välkomnar hänvisningen till denna princip i skäl 6 i förordningen (40). Han rekommenderar att förordningen förutom denna hänvisning också inför speciella säkerhetsmekanismer såsom

90.

Europeiska datatillsynsmannens allmänna omdöme om IMI är positivt. Europeiska datatillsynsmannen stöder kommissionens syften med att inrätta ett elektroniskt system för informationsutbyte och reglera dess dataskyddsaspekter. Europeiska datatillsynsmannen välkomnar också att kommissionen föreslår ett horisontellt rättsinstrument för IMI i form av rådets och parlamentets förordning. Han välkomnar att de viktigaste uppgiftsskyddsfrågorna för IMI i stor utsträckning belyses i förslaget.

91.

Beträffande det rättsliga ramverk för IMI som ska inrättas genom den föreslagna förordningen vill Europeiska datatillsynsmannen rikta uppmärksamheten på två centrala utmaningar:

92.

Funktioner i IMI som redan kan förutses bör klargöras och tas upp mer specifikt.

93.

Lämpliga förfarandemässiga skyddsåtgärder bör tillämpas för att säkerställa att uppgiftsskyddet noga övervägs under den framtida utvecklingen av IMI. Här bör ingå en konsekvensbedömning och samråd med Europeiska datatillsynsmannen och nationella datatillsynsmyndigheter varje gång IMI:s tillämpningsområde ska utvidgas till ett nytt politikområde och/eller nya funktioner.

94.

Externa aktörers tillträdesrättigheter och tillträdesrätt till varningar bör specificeras ytterligare.

95.

När det gäller lagringstider

96.

Förordningen ska kräva en riskbedömning och en översyn av säkerhetsplanen varje gång IMI ska utvidgas till ett nytt politikområde och innan en ny funktion som påverkar personuppgifter läggs till.

97.

Bestämmelserna om information till de registrerade och tillträdesrättigheter bör stärkas och främja ett mera enhetligt tillvägagångssätt.

98.

Europeiska datatillsynsmannen skulle vilja stärka bestämmelserna om samordnad övervakning på vissa punkter och skulle därför förorda bestämmelser liknande dem som till exempel finns i samband med informationssystemet för viseringar och Schengen II och planeras för Eurodac. När det gäller mötes- och granskningsfrekvens stöder Europeiska datatillsynsmannen förslagets flexibla tillvägagångssätt för att säkerställa att förordningen tillhandahåller nödvändiga minimiregler för att trygga ett effektivt samarbete utan att skapa onödiga administrativa bördor.

99.

Förordningen ska säkerställa att behöriga myndigheter eller andra externa aktörer i ett tredjeland utan tillräcklig skyddsnivå inte ska kunna få direkt tillträde till IMI såvida det inte stipuleras i lämpliga avtalsklausuler. Dessa klausuler bör förhandlas fram på EU-nivå.

100.

Förordningen bör fastställa en tydlig ram för interna kontrollmekanismer som säkerställer och styrker efterlevnaden av uppgiftsskyddet, innefattande integritetsbedömningar (inbegripet analys av säkerhetsrisker), en uppgiftsskyddspolicy (inbegripet en säkerhetsplan) som antas på grundval av resultaten av dessa samt periodiskt återkommande översyn och granskning.

101.

Särskilda säkerhetsmekanismer bör också införas genom förordningen.