EUROPEISKA KOMMISSIONEN

Bryssel den 24.6.2020

COM(2020) 262 final

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET OCH RÅDET

Det fortsatta arbetet med att anpassa regelverket för den tidigare tredje pelaren till dataskyddsreglerna

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET OCH RÅDET

Det fortsatta arbetet med att anpassa regelverket för den tidigare tredje pelaren till dataskyddsreglerna 

I.Inledning

I detta meddelande presenteras den översyn som kommissionen ålagts enligt artikel 62.6 i direktiv 2016/680 om dataskydd vid brottsbekämpning 1 (nedan kallat dataskyddsdirektivet).

Dataskyddsdirektivet trädde i kraft den 6 maj 2016 och medlemsstaterna skulle enligt dess artikel 63.1 införliva direktivet i sin nationella lagstiftning senast den 6 maj 2018. Det upphävde och ersatte rådets rambeslut 2008/977/RIF. Dataskyddsdirektivet är tillämpligt på både inhemsk och gränsöverskridande behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott och verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (nedan kallat brottsbekämpning) (artikel 1.1). Det är det första instrumentet som tar ett samlat grepp om brottsbekämpningsområdet, till skillnad från tidigare ”ad hoc”-tillvägagångssätt där varje brottsbekämpningsinstrument styrdes av egna dataskyddsregler. Dataskyddsdirektivet grundar sig på artikel 16 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). Genom denna rättsakt ger unionslagstiftaren verkan åt den grundläggande rätt till skydd av personuppgifter som fastställs i artikel 8 i stadgan om de grundläggande rättigheterna 2 i samband med behandling av personuppgifter som utförs av brottsbekämpande myndigheter.

I artikel 60 i dataskyddsdirektivet föreskrivs en klausul om undantag för bestämmelser som anses ”hävdvunna” (grandfathering clause), vilket innebär att de särskilda bestämmelserna om skydd av personuppgifter i vissa unionsrättsakter inte påverkas av direktivet. Detta gäller de särskilda bestämmelser om skydd av personuppgifter i unionsrättsakter som trädde i kraft den 6 maj 2016 eller tidigare på området straffrättsligt samarbete och polissamarbete. Dataskyddsdirektivet är redan tillämpligt på de återstående bestämmelserna i dessa rättsakter.

Enligt artikel 62.6 i dataskyddsdirektivet ska kommissionen senast den 6 maj 2019 se över andra rättsakter som antagits av unionen och som reglerar de behöriga myndigheternas behandling i brottsbekämpningssyfte, inklusive akter med bestämmelser som inte påverkas enligt artikel 60, för att bedöma behovet av att anpassa dem till dataskyddsdirektivet och i förekommande fall lägga fram förslag till ändring av dessa rättsakter och därigenom säkerställa ett enhetligt tillvägagångssätt för skydd av personuppgifter inom direktivets tillämpningsområde. Den anpassning som krävs enligt artikel 62.6 i dataskyddsdirektivet bör syfta till att ändra de relevanta rättsakterna på ett sådant sätt att de tillämpliga regler för skydd av personuppgifter som fastställs i de unionsakterna (och i förekommande fall i nationella genomförandebestämmelser) är ”anpassade” till reglerna i dataskyddsdirektivet (och de nationella införlivandeåtgärderna). I detta meddelande anges de rättsakter som enligt översynen bör anpassas och en tidsplan för att uppnå detta mål. Denna slutsats påverkar inte kommissionens beslut vad gäller de specifika ändringar den kan komma att föreslå av varje rättsakt som omfattas av denna översyn, i synnerhet när betydande ändringar eller ersättande av ett sådant instrument planeras.

II.Resultat av översynen

Vid översynen tog kommissionen hänsyn till den studie som genomförts som ett led i Europaparlamentets pilotprojekt ”Översyn av instrument och program för insamling av uppgifter i EU med avseende på grundläggande rättigheter” 3 . Studien omfattade en kartläggning av de unionsrättsakter som omfattas av artikel 62.6 i dataskyddsdirektivet och en identifiering av de bestämmelser som eventuellt skulle kräva en anpassning vad gäller dataskyddsfrågor.

På grundval av denna studie identifierade kommissionen 26 unionsrättsakter som omfattas av översynen. Kommissionen drog slutsatsen att 16 av dessa 26 rättsakter inte behöver ändras, medan 10 av dem inte stämmer helt överens med dataskyddsdirektivet och därför bör ändras.

De rättsakter som reglerar behöriga myndigheters behandling av personuppgifter och som antagits eller redan har ändrats efter dataskyddsdirektivets ikraftträdande omfattas inte av denna översyn eftersom kraven i dataskyddsdirektivet redan har beaktats för dessa rättsakter.

III.Rättsakter som inte behöver anpassas

De 16 rättsakter som inte behöver anpassas kan delas in i fem kategorier enligt följande:

1)Rättsakter som inte innehåller några särskilda dataskyddsregler

De rättsakter som inte innehåller några särskilda dataskyddsregler omfattas inte av undantaget i artikel 60 i dataskyddsdirektivet. Detta innebär att bestämmelser i nationell rätt som införlivar dataskyddsdirektivet är tillämpliga på behandling av personuppgifter enligt sådana akter och därigenom krävs ingen ytterligare anpassning. Hit hör följande sju rättsakter:

I.Rådets rambeslut 2002/584/RIF av den 13 juni 2002 om en europeisk arresteringsorder och överlämnande mellan medlemsstaterna 4 .

II.Rådets rambeslut 2003/577/RIF av den 22 juli 2003 om verkställighet i Europeiska unionen av beslut om frysning av egendom eller bevismaterial 5 .

III.Rådets gemensamma ståndpunkt 2005/69/RIF av den 24 januari 2005 om utbyte av vissa uppgifter med Interpol 6 .

IV.Rådets rambeslut 2005/214/RIF av den 24 februari 2005 om tillämpning av principen om ömsesidigt erkännande på bötesstraff 7 .

V.Rådets rambeslut 2006/783/RIF av den 6 oktober 2006 om tillämpning av principen om ömsesidigt erkännande på beslut om förverkande 8 .

VI.Rådets rambeslut 2008/947/RIF av den 27 november 2008 om tillämpning av principen om ömsesidigt erkännande på domar och övervakningsbeslut i syfte att övervaka alternativa påföljder och övervakningsåtgärder 9 .

VII.Rådets rambeslut 2008/909/RIF av den 27 november 2008 om tillämpning av principen om ömsesidigt erkännande på brottmålsdomar avseende fängelse eller andra frihetsberövande åtgärder i syfte att verkställa dessa inom Europeiska unionen 10 .

2)Rättsakter som innehåller en hänvisning till rambeslut 2008/977/RIF och som inte innehåller några särskilda dataskyddsregler

Genom dataskyddsdirektivet upphävdes rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete 11 med verkan från och med den 6 maj 2018. I artikel 59 i dataskyddsdirektivet anges att hänvisningar till rambeslut 2008/977/RIF ska anses som hänvisningar till direktivet. Detta säkerställer att dataskyddsdirektivet är tillämpligt på databehandlingen enligt dessa rättsakter. Rättsakterna innehåller inga särskilda dataskyddsregler utöver hänvisningen till rådets rambeslut 2008/977/RIF och översynen har visat att det inte krävs några ytterligare dataskyddsrelaterade ändringar. Detta rör följande tre rättsakter:

I.Rådets rambeslut 2009/829/RIF av den 23 oktober 2009 om tillämpning mellan Europeiska unionens medlemsstater av principen om ömsesidigt erkännande på beslut om övervakningsåtgärder som ett alternativ till tillfälligt frihetsberövande 12 . 

II.Rådets rambeslut 2009/948/RIF av den 30 november 2009 om förebyggande och lösning av tvister om utövande av jurisdiktion i straffrättsliga förfaranden 13 . 

III.Europaparlamentets och rådets direktiv 2011/99/EU av den 13 december 2011 om den europeiska skyddsordern 14 .

3)Lagstiftningsförslag som är föremål för interinstitutionella förhandlingar

Följande två rättsakter är för närvarande föremål för en pågående översyn av lagstiftningen. Under den pågående lagstiftningsprocess som kommissionen tagit initiativ till har hänsyn redan tagits till kraven i dataskyddsdirektivet.

I.Rådets beslut 2008/633/RIF av den 23 juni 2008 om åtkomst till informationssystemet för viseringar (VIS) för sökningar för medlemsstaternas utsedda myndigheter och för Europol i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott 15 reglerar åtkomst till personuppgifter i VIS för dessa syften. Kommissionen antog 2018 ett förslag till Europaparlamentets och rådets förordning om ändring av förordning (EG) nr 767/2008, förordning (EG) nr 810/2009, förordning (EU) 2017/2226, förordning (EU) 2016/399, förordning XX/2018 [förordning om interoperabilitet] och beslut 2004/512/EG och om upphävande av rådets beslut 2008/633/RIF 16 . Förslaget anpassar bestämmelserna om åtkomst i brottsbekämpningssyfte till den senaste utvecklingen av lagstiftningen, och föreslår att rådets beslut upphävs.

II.Europaparlamentets och rådets förordning (EU) nr 604/2013 av den 26 juni 2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat 17 . Kommissionen föreslog 2016 att denna förordning skulle upphävas genom förslaget till Europaparlamentets och rådets förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av [förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat], för identifiering av tredjelandsmedborgare eller statslösa personer som vistas olagligt, och för när medlemsstaternas brottsbekämpande myndigheter och Europol begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål (omarbetning) 18 .

4)Internationella avtal endast mellan medlemsstater eller Schengenstater

Det finns flera internationella avtal som omfattas av den översyn som avses i artikel 62.6 i dataskyddsdirektivet och som endast är bindande för medlemsstater, eller Schengenstater, som är skyldiga att införliva direktivet i sin nationella rättsordning. Behandling av personuppgifter som utförs av dessa staters behöriga myndigheter för brottsbekämpande ändamål enligt sådana avtal omfattas därför av de nationella lagar som införlivar dataskyddsdirektivet. Det finns tre sådana avtal:

I.Konvention upprättad på grundval av artikel K 3 i Fördraget om Europeiska unionen om ömsesidigt bistånd och samarbete mellan tullförvaltningar (Neapel II) 19 ;

II.Rådets akt av den 29 maj 2000 om att i enlighet med artikel 34 i Fördraget om Europeiska unionen upprätta konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater 20 .

III.Avtal mellan Europeiska unionen och Republiken Island och Konungariket Norge om tillämpningen av vissa bestämmelser i konventionen av den 29 maj 2000 om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater och 2001 års protokoll till denna 21 .

5)Avtal om ömsesidig rättslig hjälp mellan EU och Förenta staterna

Avtalet om ömsesidig rättslig hjälp mellan Europeiska unionen och Amerikas förenta stater 22 undertecknades 2003 och trädde i kraft den 1 februari 2010. Utöver de skyddsåtgärder som ingår i avtalet kompletteras det genom avtalet mellan Amerikas förenta stater och Europeiska unionen om skydd av personuppgifter i samband med förebyggande, utredning, upptäckt och lagföring av brott 23 (paraplyavtalet mellan EU och Förenta staterna), i kraft sedan februari 2017. Därför finns inget behov av ytterligare anpassning av avtalet om ömsesidig rättslig hjälp mellan EU och Förenta staterna.

IV.Rättsakter som ska anpassas till dataskyddsdirektivet

I översynen identifierades tio rättsakter för vilka kommissionen anser det lämpligt med en lagstiftningsåtgärd, antingen för att de innehåller särskilda bestämmelser om skydd av personuppgifter som enligt artikel 60 i dataskyddsdirektivet inte påverkas av dataskyddsdirektivet (”hävdvunna bestämmelser”), eller som inte omfattas av detta undantag men delvis avviker från dataskyddsdirektivet, enligt beskrivningen nedan.

1)Rådets rambeslut om gemensamma utredningsgrupper

I rådets rambeslut 2002/465/RIF av den 13 juni 2002 om gemensamma utredningsgrupper 24 fastställs villkoren för inrättandet av en gemensam utredningsgrupp. Beslutet innehåller en särskild bestämmelse om behandling av uppgifter som kan innehålla personuppgifter och som en medlem eller en avdelad medlem i en gemensam utredningsgrupp har erhållit, där det anges att dessa uppgifter får användas för andra ändamål i den mån de medlemsstater som har inrättat gruppen kommer överens om detta (artikel 1.10 d). Denna bestämmelse bör anpassas till dataskyddsdirektivet.

Anpassning till dataskyddsdirektivet

Rådets rambeslut 2002/465/RIF bör anpassas till dataskyddsdirektivet på följande sätt:

·Specificering av att de personuppgifter som erhållits enligt rådets rambeslut 2002/465/RIF får behandlas för andra ändamål än de för vilka de samlats in, i den mån som detta fastställs i nationell rätt och har överenskommits mellan de medlemsstater som inrättat gruppen, i enlighet med villkoren i artiklarna 4.2 och 9.1 i dataskyddsdirektivet.

Det fortsatta arbetet

Kommissionen kommer att föreslå en riktad ändring av rådets rambeslut 2002/465/RIF under det sista kvartalet 2020.

2)Rådets beslut om informationsutbyte och samarbete när det gäller terroristbrott

Rådets beslut 2005/671/RIF av den 20 september 2005 om informationsutbyte och samarbete när det gäller terroristbrott 25 antogs innan rådets rambeslut 2008/977/RIF trädde i kraft och innehåller bestämmelser som betraktas som omfattas av undantag enligt artikel 60 i dataskyddsdirektivet. Rådets beslut 2005/671/RIF har nyligen ändrats genom direktiv (EU) 2017/541 om bekämpande av terrorism.

Anpassning till dataskyddsdirektivet

Rådets beslut 2005/671/RIF bör anpassas till dataskyddsdirektivet på följande sätt:

·Specificera att behandling av personuppgifter enligt rådets beslut 2005/671/RIF endast kan ske i syfte att förebygga, förhindra, utreda, upptäcka och lagföra terroristbrott, i enlighet med principen om ändamålsbegränsning.

·Mer exakt definiera i unionsrätt eller medlemsstaternas nationella rätt vilka kategorier av personuppgifter som kan utbytas, i enlighet med kravet i artikel 8.2 i dataskyddsdirektivet, med vederbörlig hänsyn till de berörda myndigheternas operativa behov.

Det fortsatta arbetet

Kommissionen kommer att föreslå riktade ändringar av rådets beslut 2005/671/RIF under första halvåret 2021.

Dessutom avser kommissionen att senast den 8 september 2021 överlämna en rapport till Europaparlamentet och rådet med en bedömning av mervärdet av direktiv (EU) 2017/541 för bekämpande av terrorism och dess inverkan på grundläggande fri- och rättigheter, inbegripet rätten till dataskydd (artikel 29.2 i direktiv (EU)2017/541).

3)Rådets rambeslut om informationsutbyte mellan de brottsbekämpande myndigheterna

I rådets rambeslut  2006/960/RIF av den 18 december 2006 om förenklat informations- och underrättelseutbyte mellan de brottsbekämpande myndigheterna i Europeiska unionens medlemsstater 26 fastställs allmänna regler för utbyte mellan medlemsstaternas brottsbekämpande myndigheter av befintlig information och befintliga underrättelser för genomförandet av brottsutredningar eller kriminalunderrättelseverksamhet. Enligt beslutet får villkoren för gränsöverskridande utbyte av uppgifter i princip inte vara strängare än de som tillämpas på utbyten på nationell nivå.

Anpassning till dataskyddsdirektivet

Rådets rambeslut bör anpassas till dataskyddsdirektivet på följande sätt:

·Specificering av vilka typer av personuppgifter som kan utbytas enligt rambeslutet, utan att påverka dess verkan och karaktär som ett övergripande verktyg.

·Ytterligare klargörande av skyddsåtgärderna, i synnerhet kravet på en nödvändighets- och proportionalitetsbedömning av varje informationsutbyte.

·Uppdatering av hänvisningarna till den övergripande dataskyddsramen och införande av en hänvisning till dataskyddsdirektivets tillämplighet.

Det fortsatta arbetet

Kommissionen kommer att bedöma detta instrument inom ramen för bredare diskussioner och en genomförbarhetsstudie under 2020 avseende en eventuell framtida kodifiering av brottsbekämpningssamarbetet på EU-nivå, som bör syfta till att omarbeta och modernisera de olika lagstiftningsakterna på området brottsbekämpningssamarbete. Kommissionen kommer under det sista kvartalet 2021 att lägga fram ett lagstiftningsförslag som åtminstone medför ändring av rådets rambeslut 2006/960/RIF för att säkerställa den nödvändiga anpassningen avseende dataskydd.

4)Rådets beslut om samarbete mellan kontoren för återvinning av tillgångar

Enligt rådets beslut 2007/845/RIF av den 6 december 2007 om samarbete mellan medlemsstaternas kontor för återvinning av tillgångar när det gäller att spåra och identifiera vinning eller annan egendom som härrör från brott 27 ska medlemsstaterna inrätta kontor för återvinning av tillgångar och införa en ram för utbyte av uppgifter mellan dessa kontor.

Anpassning till dataskyddsdirektivet

Rådets beslut 2007/845/RIF, eller eventuella ersättande instrument, bör anpassas till dataskyddsdirektivet på alla relevanta sätt, bland annat genom följande:

·Klargörande av att behandlingen av personuppgifter enligt rådets beslut 2007/845/RIF omfattas av dataskyddsdirektivet. För närvarande hänvisar artikel 5 i rådets beslut 2007/845/RIF uttryckligen till Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter och dess tilläggsprotokoll av den 8 november 2001 om tillsynsmyndigheter och gränsöverskridande flöden. Detta rådsbeslut antogs innan rådets rambeslut 2008/977/RIF trädde i kraft och dess särskilda bestämmelser om skydd av personuppgifter omfattas också av artikel 60 i dataskyddsdirektivet med följden att bestämmelserna inte påverkas av direktivet (dvs. de betraktas som ”hävdvunna”). Därför krävs en lagstiftningsändring för att se till att dataskyddsdirektivet tillämpas fullt ut.

·En mer exakt definition av vilka kategorier av personuppgifter som kan utbytas, med vederbörlig hänsyn till de berörda myndigheternas operativa behov.

Det fortsatta arbetet

Kommissionen håller på att reflektera över rollen och funktionerna för kontoren för återvinning av tillgångar. I samband med detta inledde kommissionen i december 2019 en studie om frysning, förverkande och återvinning av tillgångar i EU – vad som fungerar och vad som inte fungerar. Slutrapporten från denna studie väntas i juli 2020.

Studiens resultat och rekommendationer skulle kunna ligga till grund för vidare överväganden om EU:s regelverk för återvinning av tillgångar, inklusive rådets beslut 2007/845/RIF. Ett lagstiftningsförslag, inbegripet de ändringar som krävs för att anpassa dataskyddet,  kommer att läggas fram i slutet av 2021.

5)Rådets beslut om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (Prümbesluten)

I rådets beslut 2008/615/RIF av den 23 juni 2008 om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet 28 och rådets beslut 2008/616/RIF av den 23 juni 2008 om genomförande av beslut 2008/615/RIF om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet 29 fastställs reglerna för samarbete mellan medlemsstaternas brottsbekämpande myndigheter främst rörande utbyte, baserat på träff/icke-träff, av fingeravtrycks- och DNA-uppgifter i nationella kriminaldatabaser. Prümramen föreskriver också direkt åtkomst till uppgifter ur fordonsregister via programvaran ”Eucaris” på nätet.

Anpassning till dataskyddsdirektivet

Översynen av Prümbesluten ska säkerställa en fullständig anpassning av den nya Prümramen till dataskyddsdirektivet, i synnerhet vad gäller dataskyddsgarantierna. Kommissionen kommer att föreslå ändringar som syftar till att säkerställa anpassning till dataskyddsdirektivet, bland annat på följande sätt:

·Anpassning av de registrerades rättigheter och reglerna om ansvar för behandling av personuppgifter samt rättsmedel.

·Säkerställande av att kraven på loggning är helt anpassade till dataskyddsdirektivet.

·Anpassning av reglerna om överföring av personuppgifter till ett tredjeland eller en internationell organisation.

·Övervägande av samverkan mellan artikel 9.3 i dataskyddsdirektivet och det system som inrättas genom Prümbesluten.

·Vad gäller kapitlen 3 och 5 i rådets beslut 2008/615/RIF, klargörande av vilka kategorier av personuppgifter som får behandlas för att förebygga och förhindra brott och upprätthålla allmän ordning och säkerhet vid större evenemang, eller i anknytning till andra former av samarbete i enlighet med kravet i artikel 8.2 i dataskyddsdirektivet.

·Klargörande av att allt informationsutbyte som sker enligt beslutet, i synnerhet tillhandahållande av uppgifter i samband med större evenemang eller andra former av samarbete (kapitlen 3 och 5 i rådets beslut 2008/615/RIF), endast ska syfta till att förebygga, förhindra och utreda brott och upprätthålla den allmänna säkerheten.

·Kommissionen skulle också använda anpassningen som ett tillfälle att uppdatera hänvisningen till den tillämpliga dataskyddsramen, dvs. ersätta hänvisningen till rådets rambeslut 2008/977/RIF med en hänvisning till dataskyddsdirektivet.

Det fortsatta arbetet

I november 2018 inledde kommissionen en genomförbarhetsstudie om Prümramens framtid 30 . Där bedöms om det är tekniskt, operativt och rättsligt genomförbart att ändra den tekniska arkitekturen, förbättra utbytet av personuppgifter och ärenderelaterade uppgifter efter en bekräftad träff i systemet, införa nya uppgiftskategorier, förbättra den nuvarande databehandlingen samt länka Prüm till EU:s andra centrala databaser och interoperabilitetslösningar. Utifrån resultatet av studien kommer kommissionen att överväga ett lagstiftningsförslag till en reviderad och moderniserad rättslig ram 2021, vilket även ger möjlighet att ta med de nödvändiga anpassningarna till dataskyddsdirektivet.

6)Rådets beslut om användning av informationsteknik för tulländamål

Genom rådets beslut 2009/917/RIF av den 30 november 2009 om användning av informationsteknik för tulländamål 31 upprättas tullinformationssystemet (TIS) för att bistå med att förebygga, utreda och beivra grova överträdelser av nationella lagar genom att göra informationen snabbare tillgänglig och därmed öka tullmyndigheternas förutsättningar att arbeta på ett ändamålsenligt sätt. Detta centrala system är tillgängligt för medlemsstaternas myndigheter, Europol, Eurojust och Europeiska kommissionen.

Anpassning till dataskyddsdirektivet

Rådets beslut 2009/917/RIF bör anpassas till dataskyddsdirektivet på följande sätt:

·Med avseende på de ”grova överträdelser” som rådets beslut gäller

·klargöra villkoren för insamling och registrering av uppgifter och kräva att uppgifter förs in i TIS endast om det finns rimliga skäl att anta, i synnerhet på grundval av tidigare olaglig verksamhet, att den berörda personen har gjort, gör eller kommer att göra sig skyldig till ett brott,

·fastställa ytterligare krav avseende säkerhet vid behandling så att förteckningen över nödvändiga säkerhetsåtgärder är anpassad till artikel 29 i dataskyddsdirektivet, dvs. genom att lägga till krav på systemets återställande, driftsäkerhet och dataintegritet,

·begränsa senare behandling, så att personuppgifter som registrerats i TIS får behandlas för andra ändamål än de ändamål för vilka de samlats in endast på de villkor som anges i dataskyddsdirektivet,

·göra behandlingen av personuppgifter enligt rådets beslut 2009/917/RIF föremål för den samordnade tillsynsmodell som fastställs i artikel 62 i förordning (EU) 2018/1725; 32 beslutet är den enda återstående rättsakt för vilken tillsynen av behandlingen av personuppgifter utförs av den gemensamma tillsynsmyndigheten, som nu har blivit obsolet,

·uppdatera den allmänna hänvisningen till rådets rambeslut 2008/977/RIF så att hänvisningen gäller dataskyddsdirektivets tillämplighet. Alla bestämmelser som överlappar med dataskyddsdirektivet (t.ex. definitioner av eller bestämmelser om registrerades rättigheter eller tillgång till rättsmedel och ansvar) bör strykas eftersom de är föråldrade och obsoleta. Hänvisningar till särskilda bestämmelser i rådets rambeslut 2008/977/RIF bör uppdateras med specifika motsvarande hänvisningar till dataskyddsdirektivet.

Det fortsatta arbetet

Kommissionen kommer att föreslå riktade ändringar av rådets beslut 2009/917/RIF under första kvartalet 2021.

7)Avtalet om ömsesidig rättslig hjälp med Japan

Anpassning till dataskyddsdirektivet

När det gäller avtalet mellan Europeiska unionen och Japan om ömsesidig rättslig hjälp i brottmål 33 fastställdes vid översynen flera områden där de befintliga skyddsåtgärderna bör förbättras. Ytterligare övervägande krävs i detta avseende i fråga om

·bestämmelser om uppgiftskvalitet och säkerhetsfrågor,

·skyddsåtgärder vid behandling av särskilda kategorier av personuppgifter,

·rättsmedel som de registrerade kan tillgå och regler om tillsyn,

·begränsning av vidare överföring,

·regler om lagring och registerföring.

Det fortsatta arbetet

Kommissionen kommer därför att underrätta de japanska myndigheterna om det eventuella behovet av att ändra avtalet och det förfarande som ska följas för att införa stärkta dataskyddsgarantier i enlighet med dataskyddsdirektivet, i avsikt att lämna en rekommendation till rådet under första kvartalet 2021.

8)Direktivet om en europeisk utredningsorder

Behandlingen av personuppgifter enligt Europaparlamentets och rådets direktiv 2014/41/EU av den 3 april 2014 om en europeisk utredningsorder på det straffrättsliga området 34 ger ramen för utfärdande, överföring och verkställande av en europeisk utredningsorder.

Anpassning till dataskyddsdirektivet

Direktiv 2014/41/EU bör anpassas till dataskyddsdirektivet på följande sätt:

·Klargörande av att personuppgifter som erhållits enligt detta direktiv får behandlas för andra ändamål än det ändamål för vilket de samlats in endast på de villkor som anges i artikel 4 eller 9.1 i dataskyddsdirektivet eller artikel 6 i den allmänna dataskyddsförordningen, t.ex. genom att stryka artikel 20.

·Kommissionen kommer att uppdatera den allmänna hänvisningen till rådets rambeslut 2008/977 genom att hänvisa till dataskyddsdirektivets tillämplighet och ange att den allmänna dataskyddsförordningen är tillämplig när personuppgifter med anknytning till en europeisk utredningsorder behandlas inom ramen för andra förfaranden än brottmål.

Det fortsatta arbetet

Kommissionen kommer att föreslå riktade ändringar av direktiv 2014/41/RIF under det sista kvartalet 2020.

9)Direktivet om informationsutbyte om trafiksäkerhetsrelaterade brott

Europaparlamentets och rådets direktiv (EU) 2015/413 av den 11 mars 2015 om underlättande av gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott 35 syftar till att säkerställa en hög skyddsnivå för samtliga trafikanter i unionen genom att underlätta gränsöverskridande informationsutbyte om vissa specifika trafiksäkerhetsrelaterade brott. I detta syfte ges medlemsstaternas myndigheter tillgång till varandras fordonsregister via ett elektroniskt informationssystem som gör det möjligt att identifiera den misstänkta icke-bosatta lagöverträdaren, dvs. fordonsägaren eller fordonsinnehavaren, vilket underlättar tillämpningen av trafiksäkerhetsrelaterade påföljder.

Anpassning till dataskyddsdirektivet

Direktiv (EU) 2015/413 bör anpassas till dataskyddsdirektivet på följande sätt:

·Införande av en uttrycklig hänvisning till att dataskyddsdirektivet är tillämpligt när en trafiksäkerhetsrelaterad överträdelse anses vara ett brott. Eftersom huvudsyftet är en hög skyddsnivå för trafikanter grundar sig direktivet på artikel 91.1 c i EUF-fördraget om åtgärder för att förbättra trafiksäkerheten, och anger för närvarande att de bestämmelser om dataskydd som anges i direktiv 95/46/EG är tillämpliga. Målet med direktivet är dock att göra det lättare att utdöma påföljder för trafiksäkerhetsrelaterade brott, som i vissa medlemsstater betecknas som ”administrativa”, medan de i andra medlemsstater är ”straffrättsliga”. I det första fallet ersätter den allmänna dataskyddsförordningen direktiv 95/46/EG och tillämpning av den korrekta rättsliga ramen för behandling av personuppgifter är säkerställd. I det senare fallet har medlemsstaterna, som nämns i skäl 23 i direktivet, möjlighet att tillämpa de särskilda bestämmelserna om dataskydd i beslut 2008/615/RIF. Tillgången till uppgifter som utbyts enligt detta beslut, och efterföljande behandling av dem, måste anpassas till dataskyddsdirektivet genom en tydlig angivelse om att dataskyddsdirektivet är tillämpligt i sådana fall (se punkt 5 ovan).

·Anpassningen bör säkerställa att rätten till information enligt artikel 13 i dataskyddsdirektivet inte påverkas av skyldigheten att skicka ett informationsbrev till fordonets ägare eller innehavare eller den på annat sätt identifierade person som misstänks för det trafiksäkerhetsrelaterade brottet när utredning eller åtal inleds och ge dem viss information.

Det fortsatta arbetet

Enligt artikel 11 i direktivet skulle kommissionen senast i november 2016 rapportera till Europaparlamentet och rådet om tillämpningen av direktivet. Efter utvärderingen av direktivet 2016 36 offentliggjorde kommissionen den 15 mars 2019 en inledande konsekvensbedömning 37 (färdplan) som ett första steg i konsekvensbedömningsprocessen avseende översynen av direktivet. Kommissionen kommer senast i slutet av 2021 att lägga fram ett lagstiftningsförslag som inbegriper den nödvändiga anpassningen till dataskyddsdirektivet 38 .

10)Direktivet om användning av passageraruppgiftssamlingar (PNR-uppgifter)

Enligt Europaparlamentets och rådets direktiv (EU) 2016/681 av den 27 april 2016 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet 39 måste flygbolag överföra uppgifter om passagerare på internationella flygningar till behöriga myndigheter i Europeiska unionens medlemsstater. Där anges också villkor för medlemsstaternas behöriga myndigheters åtkomst till och behandling av sådana uppgifter för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet.

Anpassning till dataskyddsdirektivet

Direktivet om passageraruppgifter är för närvarande föremål för en begäran om förhandsavgörande som lämnats in till Europeiska unionens domstol 40 , där dess förenlighet med artiklarna 7, 8 och 52.1 i stadgan om de grundläggande rättigheterna utreds. Kommissionen kommer att bedöma det eventuella behovet av dataskyddsrelaterad översyn av direktivet om passageraruppgifter mot bakgrund av domstolens dom.

Det fortsatta arbetet

Enligt artikel 19 i EU:s direktiv om passageraruppgifter ska kommissionen senast den 25 maj 2020 göra en översyn av samtliga delar av direktivet och lägga fram en rapport för Europaparlamentet och rådet. Efter översynen och med beaktande av domstolens dom i mål C-817/19 kommer kommissionen att överväga om det är nödvändigt eller lämpligt att lägga fram ett lagstiftningsförslag för att ändra direktivet. Kommissionen inledde en analys av genomförandet av direktivet om passageraruppgifter under det sista kvartalet 2019.

(1)

   Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, EUT L 119, 4.5.2016, s. 89.

(2)

     Vad gäller förhållandet mellan artikel 16 i EUF-fördraget och artikel 8 i stadgan om de grundläggande rättigheterna, se domstolens yttrande (stora avdelningen) A-1/15, ECLI:EU:C:2017:592, punkt 120.

(3)

   Pilotprojektet begärdes av Europaparlamentet, leddes av kommissionen och genomfördes av en uppdragstagare (grupp av oberoende experter). Kommissionen valde ut uppdragstagaren på grundval av kriterier som fastställts av Europaparlamentet. Projektresultaten återspeglar endast uppdragstagarens synpunkter och åsikter och kommissionen kan inte hållas ansvarig för eventuell användning av informationen i dem. Resultaten har publicerats här: http://www.fondazionebrodolini.it/en/projects/pilot-project-fundamental-rights-review-eu-data-collection-instruments-and-programmes

(4)

     EGT L 190, 18.7.2002, s. 1.

(5)

     EUT L 196, 2.8.2003, s. 45.

(6)

     EUT L 27, 29.1.2005, s. 61.

(7)

     EUT L 76, 22.3.2005, s. 16. När det gäller rådets rambeslut 2005/214/RIF är det värt att nämna att den allmänna dataskyddsförordningen är tillämplig i fråga om bötesstraff som har utfärdats för administrativa förseelser snarare än brott.

(8)

     EUT L 328, 24.11.2006, s. 59.

(9)

     EUT L 337, 16.12.2008, s. 102.

(10)

     EUT L 327, 5.12.2008, s. 27.

(11)

     EUT L 350, 30.12.2008, s. 60.

(12)

     EUT L 294, 11.11.2009, s. 20.

(13)

     EUT L 328, 15.12.2009, s. 42.

(14)

     EUT L 338, 21.12.2011, s. 2.

(15)

     EUT L 218, 13.8.2008, s. 129.

(16)

     COM(2018) 302 final.

(17)

     EUT L 180, 29.6.2013, s. 31.

(18)

     COM(2016) 0272 final - 2016/0132 (COD).

(19)

   Convention drawn up on the basis of Article K.3 of the Treaty on European Union, on mutual assistance and cooperation between customs administrations (EGT C 24, 23.1.1998, s. 2.

(20)

   EGT C 197, 12.7.2000, s. 1.

(21)

   EUT L 26, 29.1.2004, s. 3.

(22)

   EUT L 181, 19.7.2003, s. 34.

(23)

     EUT L 336, 10.12.2016, s. 3.

(24)

   EUT L 162, 20.6.2002, s. 1.

(25)

     EUT L 253, 29.9.2005, s. 22.

(26)

     EUT L 386, 29.12.2006, s. 89.

(27)

     EUT L 332, 18.12.2007, s. 103.

(28)

     EUT L 210, 6.8.2008, s. 1.

(29)

     EUT L 210, 6.8.2008, s. 12. 

(30)

   Genomförbarhetsstudie om ett förbättrat informationsutbyte inom ramen för Prümbesluten: slutrapport ( https://op.europa.eu/en/publication-detail/-/publication/6c877a2a-9ef7-11ea-9d2d-01aa75ed71a1/language-en/format-PDF/source-130489216 ); avancerad teknisk rapport ( https://op.europa.eu/en/publication-detail/-/publication/3236e6ae-9efb-11ea-9d2d-01aa75ed71a1/language-en ); kostnads–nyttoanalys ( https://op.europa.eu/en/publication-detail/-/publication/503f1551-9efc-11ea-9d2d-01aa75ed71a1/language-en ).

(31)

     EUT L 323, 10.12.2009, s. 20.

(32)

   Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (text av betydelse för EES), EUT L 295, 21.11.2018, s. 39.

(33)

     EUT L 39, 12.2.2010, s. 20.

(34)

     EUT L 130, 1.5.2014, s. 1.

(35)

   EUT L 68, 13.3.2015, s. 9.

(36)

   Commission Staff Working Document on the evaluation of cross-border exchange of information on road traffic offences, SWD(2016) 355 final, och rapport från kommissionen till Europaparlamentet och rådet om tillämpningen av direktiv (EU) 2015/413 om underlättande av gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott, COM (2016) 744 final.

(37)

   Inledande konsekvensbedömning: översyn av direktivet om gränsöverskridande uppföljning av trafiksäkerhetsrelaterade brott ( https://ec.europa.eu/info/law/better-regulation/initiatives/ares-2019-1732201_en ).

(38)

     Anpassningen kommer också att omfatta nödvändig anpassning till den allmänna dataskyddsförordningen och Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation), EGT L 201, 31.7.2002, s. 37.

(39)

   EUT L 119, 4.5.2016, s. 132.

(40)

     Mål C-817/19, Ligue des droits humains, ännu inte avgjorts vid antagandet av detta meddelande.

EUROPEISKA KOMMISSIONEN

Bryssel den 24.6.2020

COM(2020) 262 final

BILAGOR

till

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET OCH RÅDET

Det fortsatta arbetet med att anpassa regelverket för den tidigare tredje pelaren till dataskyddsreglerna

BILAGA I: Rättsakter som omfattas av översynen men som inte kräver ändringar 

Rättsakter som inte innehåller särskilda dataskyddsregler och som därför inte betraktas som ”hävdvunna” (grandfathered), vilket innebär att dataskyddsdirektivet redan är tillämpligt på dem (sju rättsakter):

1.Rådets rambeslut 2002/584/RIF av den 13 juni 2002 om en europeisk arresteringsorder och överlämnande mellan medlemsstaterna 1 .

2.Rådets rambeslut 2003/577/RIF av den 22 juli 2003 om verkställighet i Europeiska unionen av beslut om frysning av egendom eller bevismaterial 2 . 

3.Rådets gemensamma ståndpunkt 2005/69/RIF av den 24 januari 2005 om utbyte av vissa uppgifter med Interpol 3 .

4.Rådets rambeslut 2005/214/RIF av den 24 februari 2005 om tillämpning av principen om ömsesidigt erkännande på bötesstraff 4 .

5.Rådets rambeslut 2006/783/RIF av den 6 oktober 2006 om tillämpning av principen om ömsesidigt erkännande på beslut om förverkande 5 .

6.Rådets rambeslut 2008/947/RIF av den 27 november 2008 om tillämpning av principen om ömsesidigt erkännande på domar och övervakningsbeslut i syfte att övervaka alternativa påföljder och övervakningsåtgärder 6 .

7.Rådets rambeslut 2008/909/RIF av den 27 november 2008 om tillämpning av principen om ömsesidigt erkännande på brottmålsdomar avseende fängelse eller andra frihetsberövande åtgärder i syfte att verkställa dessa inom Europeiska unionen 7 .

Rättsakter som innehåller en hänvisning till rådets rambeslut 2008/977/RIF, vilken ska anses som en hänvisning till dataskyddsdirektivet i enlighet med artikel 59.2 i direktivet, och inte innehåller några särskilda dataskyddsregler (tre rättsakter):

1.Rådets rambeslut 2009/829/RIF av den 23 oktober 2009 om tillämpning mellan Europeiska unionens medlemsstater av principen om ömsesidigt erkännande på beslut om övervakningsåtgärder som ett alternativ till tillfälligt frihetsberövande 8 .

2.Rådets rambeslut 2009/948/RIF av den 30 november 2009 om förebyggande och lösning av tvister om utövande av jurisdiktion i straffrättsliga förfaranden 9 .

3.Europaparlamentets och rådets direktiv 2011/99/EU av den 13 december 2011 om den europeiska skyddsordern 10 .

Rättsakter som redan omfattas av förhandlingar om ändringar (två rättsakter):

1.Rådets beslut 2008/633/RIF av den 23 juni 2008 11 , som reglerar åtkomst till uppgifter i VIS i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott, är föremål för upphävande enligt förslaget till Europaparlamentets och rådets förordning om ändring av förordning (EG) nr 767/2008, förordning (EG) nr 810/2009, förordning (EU) 2017/2226, förordning (EU) 2016/399, förordning XX/2018 [förordning om interoperabilitet] och beslut 2004/512/EG och om upphävande av rådets beslut 2008/633/RIF 12 . 

2.Europaparlamentets och rådets förordning (EU) nr 604/2013 av den 26 juni 2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat 13  är föremål för upphävande enligt förslaget till Europaparlamentets och rådets förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av [förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat], för identifiering av tredjelandsmedborgare eller statslösa personer som vistas olagligt, och för när medlemsstaternas brottsbekämpande myndigheter och Europol begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål (omarbetning) 14 .

Internationella avtal som är bindande uteslutande för medlemsstater eller Schengenstater som är skyldiga att införliva dataskyddsdirektivet i sina nationella ordningar, och där de behöriga myndigheternas behandling av personuppgifter för brottsbekämpningsändamål inom ramen för sådana avtal omfattas av nationell lagstiftning som införlivar dataskyddsdirektivet (tre rättsakter):

1.Konvention upprättad på grundval av artikel K 3 i Fördraget om Europeiska unionen om ömsesidigt bistånd och samarbete mellan tullförvaltningar (Neapel II) 15 ;

2.Rådets akt av den 29 maj 2000 om att i enlighet med artikel 34 i Fördraget om Europeiska unionen upprätta konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater 16 .

3.Avtal mellan Europeiska unionen och Republiken Island och Konungariket Norge om tillämpningen av vissa bestämmelser i konventionen av den 29 maj 2000 om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater och 2001 års protokoll till denna 17 .

Fördrag om ömsesidig rättslig hjälp mellan EU och USA.

1.Avtal om ömsesidig rättslig hjälp mellan Europeiska unionen och Amerikas förenta stater 18 .

BILAGA II: Rättsakter som kräver ändringar

1.Rådets rambeslut 2002/465/RIF av den 13 juni 2002 om gemensamma utredningsgrupper 19 .

2.Rådets beslut 2005/671/RIF av den 20 september 2005 om informationsutbyte och samarbete när det gäller terroristbrott 20 .

3.Rådets Frameworkrambeslut 2006/960/RIF av den 18 december 2006 om förenklat informations- och underrättelseutbyte mellan de brottsbekämpande myndigheterna i Europeiska unionens medlemsstater 21 .

4.Enligt rådets beslut 2007/845/RIF av den 6 december 2007 om samarbete mellan medlemsstaternas kontor för återvinning av tillgångar när det gäller att spåra och identifiera vinning eller annan egendom som härrör från brott 22 ska medlemsstaterna inrätta kontor för återvinning av tillgångar och införa en ram för utbyte av uppgifter mellan dessa kontor.

5.Rådets beslut 2008/615/RIF av den 23 juni 2008 om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet 23 och rådets beslut 2008/616/RIF av den 23 juni 2008 om genomförande av beslut 2008/615/RIF om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet 24 .

6.Rådets beslut 2009/917/RIF av den 30 november 2009 om användning av informationsteknik för tulländamål 25 .

7.Avtal mellan Europeiska unionen och Japan om ömsesidig rättslig hjälp i brottmål 26 .

8.Europaparlamentets och rådets direktiv 2014/41/EU av den 3 april 2014 om en europeisk utredningsorder på det straffrättsliga området 27 .

9.Europaparlamentets och rådets direktiv (EU) 2015/413 om underlättande av gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott 28 .

10.Europaparlamentets och rådets direktiv (EU) 2016/681 av den 27 april 2016 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet 29 .

(1)

     EGT L 190, 18.7.2002, s. 1.

(2)

     EUT L 196, 2.8.2003, s. 45.

(3)

     EUT L 27, 29.1.2005, s. 61.

(4)

     EUT L 76, 22.3.2005, s. 16.

(5)

     EUT L 328, 24.11.2006, s. 59.

(6)

     EUT L 337, 16.12.2008, s. 102.

(7)

     EUT L 327, 5.12.2008, s. 27.

(8)

   EUT L 294, 11.11.2009, s. 20.

(9)

     EUT L 328, 15.12.2009, s. 42.

(10)

     EUT L 338, 21.12.2011, s. 2.

(11)

     EUT L 218, 13.8.2008, s. 129.

(12)

     COM(2018) 302 final.

(13)

     EUT L 180, 29.6.2013, s. 31.

(14)

     COM(2016) 0272 final – 2016/0132 (COD).

(15)

     EGT C 24, 23.1.1998, s. 2.

(16)

     EGT C 197, 12.7.2000, s. 1.

(17)

     EUT L 26, 29.1.2004, s. 3.

(18)

     EUT L 181, 19.7.2003, s. 34.

(19)

     EGT L 162, 20.6.2002, s. 1.

(20)

     EUT L 253, 29.9.2005, s. 22.

(21)

     EUT L 386, 29.12.2006, s. 89.

(22)

     EUT L 332, 18.12.2007, s. 103.

(23)

     EUT L 210, 6.8.2008, s. 1.

(24)

     EUT L 210, 6.8.2008, s. 12.

(25)

     EUT L 323, 10.12.2009, s. 20.

(26)

     EUT L 39, 12.2.2010, s. 20.

(27)

     EUT L 130, 1.5.2014, s. 1.

(28)

   EUT L 68, 13.3.2015, s. 9.

(29)

   EUT L 119, 4.5.2016, s. 132.