Sammanfattning av Europeiska datatillsynsmannens yttrande om förslaget till en förordning om integritet och elektronisk kommunikation

(Den fullständiga texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats www.edps.europa.eu)

(2017/C 234/03)

Detta yttrande sammanfattar Europeiska datatillsynsmannens ståndpunkt om en förordning om integritet och elektronisk kommunikation, dvs. att man ska upphäva och ersätta direktivet om integritet och elektronisk kommunikation.

Utan förordningen om integritet och elektronisk kommunikation skulle EU:s ram för integritet och dataskydd vara ofullständig. Samtidigt som den allmänna dataskyddsförordningen är en stor framgång behöver vi ett särskilt rättsligt verktyg för att skydda rätten till privatliv som garanteras genom artikel 7 i stadgan om de grundläggande rättigheterna, i vilken konfidentiell kommunikation är en viktig del. Europeiska datatillsynsmannen välkomnar och stöder därför förslaget som har just detta som syfte. Europeiska datatillsynsmannen stöder också valet av rättsligt instrument, dvs. en förordning som kommer att vara direkt tillämplig och bidra till en högre grad av harmonisering och enhetlighet. Han välkomnar ambitionen att tillhandahålla en hög skyddsnivå med avseende på både innehåll och metadata och stöder målet att utvidga sekretessförpliktelserna till ett bredare utbud av tjänster – inklusive de så kallade OTT-tjänsterna (over-the top-tjänsterna) – vilket speglar tekniska framsteg. Han anser också att beslutet att bevilja kontrollen av efterlevnaden uteslutande till dataskyddsmyndigheter, och tillgängligheten till samarbets- och konsekvensmekanismerna inom den framtida Europeiska dataskyddsstyrelsen kommer att bidra till en mer konsekvent och effektiv kontroll av efterlevnaden i hela EU.

Samtidigt hyser Europeiska datatillsynsmannen farhågor om huruvida förslaget, i dess nuvarande lydelse, faktiskt kan infria sitt löfte att säkerställa ett gott skydd för integriteten vid elektronisk kommunikation. Vi behöver en ny rättslig ram för integritetsskydd vid elektronisk kommunikation, men vi måste se till att denna blir smartare, tydligare och starkare. Det finns fortfarande mycket att göra: reglernas komplexitet, som de framställs i förslaget, kan få en att tappa modet. Kommunikationer delas upp i metadata, innehållsdata, data som sänds ut genom terminalutrustning. Dessa kommunikationstyper har rätt till olika konfidentialitetsnivåer och omfattas av olika undantag. Denna komplexitet kan medföra en risk för – kanske oavsiktliga – brister i skyddet.

De flesta av de definitioner som förslaget bygger på kommer att förhandlas fram och beslutas inom ramen för ett annat rättsligt instrument: den europeiska kodexen för elektronisk kommunikation. Det finns i dag ingen laglig motivering för att koppla ihop de två instrumenten så nära till varandra, och de konkurrens- och marknadsinriktade definitionerna från kodexen är helt enkelt inte lämpliga när det rör sig om grundläggande rättigheter. Europeiska datatillsynsmannen förordar därför att man inkluderar en uppsättning nödvändiga definitioner i förordningen integritet och elektronisk kommunikation, med beaktande av dess avsedda omfattning och mål.

Vi måste också särskilt uppmärksamma frågan om behandling av elektronisk kommunikationsdata från andra aktörer än leverantörer av elektroniska kommunikationstjänster. De ytterligare skydd som erbjuds kommunikationsdata skulle vara meningslösa om de lätt kunde kringgås genom att t.ex. överföra data till tredje part. Det bör också säkerställas att reglerna för integritet och elektronisk kommunikation inte tillåter en lägre skyddsnivå än vad som anges i den allmänna dataskyddsförordningen. Samtycke ska t.ex. vara genuint och användarna ska erbjudas en fri valmöjlighet, vilket krävs enligt den allmänna dataskyddsförordningen. Det bör inte längre finnas några ”spårningsväggar”. Dessutom måste de nya reglerna ställa höga krav på inbyggda integritetsskydd som standard. Slutligen tar Europeiska datatillsynsmannen i detta yttrande också upp andra brådskande frågor, däribland begränsningarna av rättigheternas räckvidd.

1.   INLEDNING OCH BAKGRUND

Detta yttrande (nedan kallat yttrandet) är ett svar på en begäran från Europeiska kommissionen (nedan kallad kommissionen) till Europeiska datatillsynsmannen (EDPS) om att som oberoende övervakningsmyndighet och rådgivande organ avge ett yttrande om förslaget till en förordning om integritet och elektronisk kommunikation (1) (nedan kallat förslaget). Förslagets syfte är att upphäva och ersätta direktiv 2002/58/EG om integritet och elektronisk kommunikation (2). Kommissionen har också begärt ett yttrande från artikel 29-arbetsgruppen för uppgiftsskydd (artikel 29-gruppen), till vilket Europeiska datatillsynsmannen bidragit som fullvärdig medlem (3).

Detta yttrande läggs till vårt preliminära yttrande 5/2016 om översynen av direktivet om integritet och elektronisk kommunikation (2002/58/EG) (4) av den 22 juli 2016. Europeiska datatillsynsmannen kan också lämna ytterligare rådgivning i efterföljande steg i lagstiftningsförfarandet.

Förslaget är ett av de viktigaste initiativen inom ramen för strategin för en inre digital marknad (5) vars mål är att stärka förtroendet och skärpa säkerheten för digitala tjänster i EU med fokus på att säkerställa en hög skyddsnivå för medborgarna och lika villkor för alla marknadsaktörer över hela EU.

Förslaget syftar till att modernisera och uppdatera direktivet om integritet och elektronisk kommunikation, som en del av det mer övergripande arbetet med att tillhandahålla en sammanhängande och harmoniserad rättslig ram för dataskyddet inom Europa. Direktivet om integritet och elektronisk kommunikation specificerar närmare och kompletterar direktiv 95/46/EG (6), som kommer att ersättas av den nyligen antagna allmänna dataskyddsförordningen (förordning (EU) 2016/679) (7).

Europeiska datatillsynsmannen sammanfattar i avsnitt 2 sina huvudsakliga iakttagelser om förslaget med fokus på förslagets positiva aspekter. I avsnitt 3 tar han upp sina främsta kvarstående farhågor och ger rekommendationer om hur man tar itu med dem. Kompletterande frågor och rekommendationer för ytterligare förbättringar beskrivs i bilagan till detta yttrande, i vilken förslaget diskuteras mer ingående. Att ta itu med de farhågor som tas upp i detta yttrande och dess bilaga och ytterligare förbättra texten till förordningen om integritet och elektronisk kommunikation skulle inte bara innebära ett bättre skydd för slutanvändare och andra berörda registrerade, utan också en större rättssäkerhet för alla berörda parter.

4.   SLUTSATSER

Europeiska datatillsynsmannen välkomnar kommissionens förslag till en moderniserad, uppdaterad och stärkt förordning om integritet och elektronisk kommunikation. Han delar uppfattningen att det finns ett fortsatt behov av att ha särskilda regler för att skydda konfidentialitet och säkerhet vid elektronisk kommunikation i EU, och att komplettera och specificera kraven i den allmänna dataskyddsförordningen. Han anser också att vi behöver enkla, riktade och tekniskt neutrala rättsliga bestämmelser som ger ett starkt, smart och effektivt skydd under överskådlig framtid.

Europeiska datatillsynsmannen välkomnar den uttalade ambitionen att tillhandahålla en hög skyddsnivå med avseende på både innehåll och metadata, i synnerhet de viktigaste positiva delarna som beskrivs i avsnitt 2.1.

Samtidigt som han välkomnar förslaget är Europeiska datatillsynsmannen fortfarande oroad över ett antal bestämmelser som riskerar att undergräva kommissionens avsikt att säkerställa ett starkt skydd för integriteten vid elektronisk kommunikation. Europeiska datatillsynsmannen hyser i synnerhet följande farhågor:

Dessa huvudsakliga farhågor – tillsammans med rekommendationer om hur man tar itu med dem – beskrivs i detta yttrande. Utöver våra allmänna kommentarer och främsta farhågor, som beskrivs i yttrandets huvuddel, tillhandahåller datatillsynsmannen ytterligare – och ibland mer tekniska – kommentarer och rekommendationer om förslaget i en bilaga, särskilt för att underlätta lagstiftarens och andra intressenters arbete om de vill förbättra texten ytterligare under lagstiftningsprocessen. Slutligen noterar vi också vikten av en snabb behandling av denna viktiga fråga av lagstiftarna, för att säkerställa att förordningen om integritet och elektronisk kommunikation som planerat kan tillämpas fr.o.m. den 25 maj 2018, dvs. det datum då själva den allmänna dataskyddsförordningen kommer att bli tillämplig.

Vikten av sekretess i fråga om kommunikationer, som fastställs i artikel 7 i stadgan om de grundläggande rättigheterna, ökar med den allt större roll som elektronisk kommunikation spelar i vår samhällsekonomi. De skyddsåtgärder som föreslås i detta yttrande kommer att spela en viktig roll för att se till att de långsiktiga strategiska målen i kommissionens strategi för en inre digital marknad kan uppnås.

(1)  Förslag till Europaparlamentets och rådets förordning om respekt för privatlivet och skyddet av personuppgifter vid elektronisk kommunikation och om upphävande av direktiv 2002/58/EG (förordning om integritet och elektronisk kommunikation), COM(2017) 10 final, 2017/0003 (COD).

(2)  Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (EGT L 201, 31.7.2002, s. 37).

(3)  Artikel 29-gruppens yttrande 1/2017 om förslaget till förordning för förordningen om integritet och elektronisk kommunikation (2002/58/EG) (WP247) antaget den 4 april 2017. Se även artikel 29-gruppens yttrande 3/2016 om utvärdering och översyn av direktivet om integritet och elektronisk kommunikation (2002/58/EG) (WP240) antaget den 19 juli 2016.

(4)  Se https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2016/16-07-22_Opinion_ePrivacy_EN.pdf

(5)  En strategi för en inre digital marknad i Europa, meddelande från kommissionen till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén samt Regionkommittén av den 6 maj 2015 (COM(2015) 192 final) tillgängligt på: http://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:52015DC0192&from=SV

(6)  Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31).

(7)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

(8)  Förslag till Europaparlamentets och rådets direktiv om inrättande av en europeisk kodex för elektronisk kommunikation, COM(2016) 590 final/2, 2016/0288(COD), 12.10.2016.