Sammanfattning av yttrandet om förslaget till omarbetning av direktivet om vidareutnyttjande av information från den offentliga sektorn (PSI-direktivet)

(Den fullständiga texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats www.edps.europa.eu)

(2018/C 305/07)

Direktivet om information från den offentliga sektorn (PSI-direktivet) syftar till att underlätta vidareutnyttjande av information från den offentliga sektorn inom hela Europeiska unionen genom att harmonisera de grundläggande villkoren enligt vilka informationen görs tillgänglig till de som avser vidareutnyttja den i syfte att förbättra utvecklingen av samhällsprodukter och -tjänster som baseras på nämnda information samt undvika snedvridning av konkurrens.

De nya bestämmelserna inbegriper en utvidgning av direktivets tillämpningsområde till att omfatta handlingar som innehas av offentliga företag som är verksamma inom områden som rör vatten-, energi-, transport- och posttjänster. Utvidgningen gäller även handlingar som innehas av offentliga företag som agerar som offentliga tjänsteleverantörer, förutsatt att sådana handlingar framställs och ingår som en del av tjänster av allmänt intresse. Dessutom kommer förslagets tillämpningsområde även att utvidgas till specifika forskningsdata, såsom resultat av vetenskapliga undersökningsförfaranden.

Yttrandet inriktas mot specifika rekommendationer i syfte att tydliggöra sambandet och samstämmigheten mellan PSI-direktivet och undantagen i GDPR samt hänvisningar till tillämplig dataskyddslagstiftning. Yttrandet inbegriper även vidare rekommendationer om anonymisering och dess samband med kostnader och dataskydd, samt inriktas mot en konsekvensbedömning avseende dataskydd med beaktande av en ”godtagbar policy för vidareutnyttjande”.

Med detta yttrande om vidareutnyttjande av information från den offentliga sektorn bygger Europeiska datatillsynsmannen vidare på arbetet som redan har utförts avseende ”goda stordata” (”EU:s värdebaserade datadelning”), särskilt de yttranden och formella synpunkter som Europeiska datatillsynsmannen redan har utfärdat, i enlighet med vår praxis för tillsynsärenden. Vidare poängterar vi de frågor som behöver harmoniseras på EU-nivå för att omarbetningen av PSI-direktivet ska få förväntade positiva effekter.

Inom ramen för artikel 1.2 g i förslaget rekommenderar Europeiska datatillsynsmannen att sambandet och samstämmigheten mellan PSI-direktivet och GDPR tydliggörs genom att ett förslag till utformning läggs fram.

Vidare föreslår Europeiska datatillsynsmannen att den specifika bestämmelsen som för närvarande ingår i artikel 1.4 i direktiv 2013/37/EU återinförs i direktivets huvudbestämmelser samt att det i förslaget tydligt anges att definitionen av ”personuppgifter” som anges i artikel 4.1 i GDPR ska gälla. Europeiska datatillsynsmannen rekommenderar även att hänvisningen till tillsynsmyndigheten som föreskrivs i artikel 51 i GDPR ska läggas till under artikel 4.4 i förslaget.

Europeiska datatillsynsmannen rekommenderar även att stöd ges för användning av anonymiseringsrutiner genom att hänvisa till ”anonyma uppgifter” i rättsakten samt att omfattningen av enheter som är berättigade att inkludera anonymiseringskostnader i avgiften som kan debiteras vidareutnyttjare utvidgas.

Som sista rekommendation föreslår Europeiska datatillsynsmannen att konsekvensbedömningar av dataskydd inom särskilda sektorer som behandlar känsliga uppgifter införs, exempelvis hälso- och sjukvårdssektorn, och att dessa bedömningar ska utgöra grund för licensgivarens beslut om och beaktande av villkoren för vidareutnyttjande.

1. INLEDNING OCH BAKGRUND

Den 25 april 2018 antog kommissionen ett förslag om ett direktiv att ändra direktiv 2013/37/EU (efter en översyn av direktiv 2003/98/EG) gällande vidareutnyttjande av information från den offentliga sektorn (”förslaget”). Förslaget är en del av det så kallade ”paketet om data 2018”, som även inbegriper andra viktiga handlingar: i) ett meddelande från kommissionen rubricerat ”Mot ett gemensamt dataområde i EU” (”meddelandet”), ii) riktlinjer rörande utbyte av uppgifter från den privata sektorn i form av ett arbetsdokument (”riktlinje”) och iii) en utvärdering av PSI-direktivet.

Syftet med förslaget är att uppdatera och ändra den befintliga texten i direktiv 2013/37/EU samt direktiv 2003/98/EG gällande vidareutnyttjande av information från den offentliga sektorn (PSI-direktivet).

Översynen av direktivet är en av tre ”åtgärder” som föreslås av kommissionen i arbetet mot ett gemensamt dataområde i EU (se meddelandet från kommissionen COM(2018) 232, härefter ”meddelandet”), tillsammans med riktlinjerna för utbyte av uppgifter från den privata sektorn […] samt uppdateringen av rekommendationen avseende tillgång till och bevarande av vetenskaplig information […].

Med förslaget om att ändra PSI-direktivet har Europeiska kommissionen för avsikt att underlätta vidareutnyttjande av information från den offentliga sektorn (exempelvis juridiska, trafikrelaterade, meteorologiska, ekonomiska och finansiella uppgifter) inom hela EU genom en harmonisering av de grundläggande villkor enligt vilka information från den offentliga sektorn görs tillgänglig till de som avser vidareutnyttja den i syfte att förbättra utvecklingen av samhällsprodukter och -tjänster som baseras på nämnda information samt undvika snedvridning av konkurrens.

Förslagets övergripande målsättning är särskilt att direktivet ska ligga i linje med målsättningarna i strategin för den digitala inre marknaden. Förslaget syftar till att förbättra direktivets verkan genom att skärpa specifika bestämmelser samt ändra dem för att öka mängden uppgifter från den offentliga sektorn som görs tillgängliga för vidareutnyttjande. Initiativet syftar även specifikt till att stärka små och medelstora företags ställning på datamarknaden genom att skapa rättvisare konkurrensförutsättningar och ge lättare tillgång till marknader, i kombination med att förbättra gränsöverskridande innovationsmöjligheter.

Relevanta nya bestämmelser i direktivet inbegriper en utvidgning av direktivets tillämpningsområde till att omfatta handlingar som innehas av offentliga företag som är verksamma inom områden som rör anskaffning av vatten-, energi-, transport- och posttjänster. Utvidgningen gäller även handlingar som innehas av offentliga företag som agerar som offentliga tjänsteleverantörer, förutsatt att sådana handlingar framställs och ingår som en del av tjänster av allmänt intresse. Förslagets tillämpningsområde utvidgas även till att omfatta specifika forskningsdata, såsom resultat av vetenskapliga undersökningsförfaranden (d.v.s. experiment och undersökningar). I praktiken fastställer förslaget ”ett övergripande regelverk om en minimiharmonisering av villkoren för vidareutnyttjande inom alla områden och sektorer” (1).

Europeiska datatillsynsmannen noterar positivt att enligt Europeiska kommissionen syftar en omarbetning av PSI-direktivet till att främja vidareutnyttjande av information från den offentliga sektorn genom att, som kommissionen poängterar, ”minska hindren för marknadstillträde, särskilt för små och medelstora företag, och minimera risken för en alltför stor first mover-fördel som gynnar stora företag och därmed begränsar antalet potentiella vidareutnyttjare av aktuella data, samt vidare öka affärsmöjligheter genom att främja offentliggörande av dynamiska data och användning av applikationsprogrammeringsgränssnitt (API)” (2).

PSI-direktivet ingår i EU:s vision om att främja ”goda stordata”. Information från den offentliga sektorn är en viktig källa till ”råmaterialet” i den digitala inre marknadens stordata. Smart användning av data, inbegripet behandling av data via artificiell intelligens, kan ha en omvälvande påverkan på alla ekonomiska sektorer.

Redan i september 2016 lade Europeiska datatillsynsmannen i yttrandet om effektiv rättstillämpning i den digitala samhällsekonomin (3) fram en strategi för att forma en cyberrymd i EU baserad på EU:s värderingar, och underströk problem såsom koncentration av marknads- och informationsbaserad makt och en svag marknad för integritetsfrämjande teknik (PET) som punkter som kan förbättras i syfte att minimera behandling av personuppgifter utan att förlora funktionalitet hos en produkt eller en tjänst (enligt principen om inbyggt integritetsskydd (4) och integritetsskydd som standard).

10.

Europeiska datatillsynsmannen vill vidare hänvisa till ”huvudprincipernas” relevans för dataskydd som, enligt Europeiska kommissionen, ska följas vid vidareutnyttjande av data, d.v.s. i) minimering av datainlåsning och säkerställande av icke-snedvriden konkurrens, ii) transparens och samhälleligt engagemang gällande syftet med vidareutnyttjande gentemot medborgare/registrerade samt transparens och tydliga syftesdefinitioner mellan licensgivare och licenstagare, och iii) konsekvensbedömningar avseende dataskydd och tillämpliga dataskyddsregler vid vidareutnyttjande (enligt principen om att ”inte vålla skada” i dataskyddssammanhang).

11.

Europeiska kommissionen har konsulterat Europeiska datatillsynsmannen informellt i frågan, men datatillsynsmannen har inte konsulterats formellt enligt bestämmelserna i artikel 28.2 i förordning (EG) nr 45/2001. Yttrandet grundas därför på artikel 41.2 i förordningen. Europeiska datatillsynsmannen rekommenderar att en hänvisning till detta yttrande ska ingå i ingressen till den antagna handlingen.

7. SLUTSATS

Europeiska datatillsynsmannen rekommenderar följande:

—	att språket i artikel 1.2 g i förslaget ändras i syfte att definiera skillnaden mellan ”handlingar” och ”delar av handlingar” som PSI-direktivet inte skulle vara tillämpligt för i dataskyddssammanhang

—	att en hänvisning till tillsynsmyndigheten som förskrivs i artikel 51 i GDPR läggs till under artikel 4.4. i förslaget i syfte att förtydliga sambandet mellan vidareutnyttjande av information från den offentliga sektorn och skydd av personuppgifter

—	att den specifika bestämmelse gällande tillämplig dataskyddslagstiftning som för närvarande ingår i artikel 1.4 i direktiv 2013/37/EU ska återinföras i förslagets grundläggande avsnitt (inklusive nödvändig uppdatering av hänvisningar till gällande rättsliga instrument)

—

att vidare understryka användning av anonymisering i samband med vidareutnyttjande av information från den offentliga sektorn genom att inkludera en hänvisning till ”anonyma uppgifter” i rättsakten samt utvidga omfattningen av enheter som är berättigade att inkludera anonymiseringskostnader i avgiften som kan debiteras vidareutnyttjare

—	att tydligt klargöra i förslaget att definitionen av ”personuppgifter” som anges i artikel 4.1 i GDPR gäller

—	att möjliggöra och införa konsekvensbedömningar avseende dataskydd inom specifika sektorer som behandlar känsliga uppgifter, exempelvis hälso- och sjukvårdssektorn, och att dessa bedömningar ska utgöra grund för licensgivarens beslut om och beaktande av villkoren för vidareutnyttjande.

—

Som slutlig kommentar till dessa rekommendationer betonar Europeiska datatillsynsmannen följande ”huvudprincipers” relevans för dataskydd, vilka enligt Europeiska kommissionen ska gälla vid vidareutnyttjande:

i)	minimerad datainlåsning och säkerställande av icke-snedvriden konkurrens

ii)	transparens och samhälleligt engagemang gällande syftet med vidareutnyttjande gentemot medborgare/registrerade samt transparens och tydliga syftesdefinitioner mellan licensgivare och licenstagare

iii)	konsekvensbedömningar avseende dataskydd och tillämpliga dataskyddsregler vid vidareutnyttjande (enligt principen om att ”inte vålla skada” i dataskyddssammanhang).

Bryssel den 10 juli 2018.

Giovanni BUTTARELLI

Europeiska datatillsynsmannen

(1) Motivering till förslaget om ett direktiv från Europaparlamentet och rådet avseende vidareutnyttjande av information från den offentliga sektorn (omarbetning), s. 3

(2) Meddelande från kommissionen till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén samt Regionkommittén ”Mot ett gemensamt dataområde i EU”, s. 5

(3) https://edps.europa.eu/sites/edp/files/publication/16-09-23_bigdata_opinion_en.pdf, om vidareutnyttjande, s. 9.

(4) Europeiska datatillsynsmannens yttrande 05/2018 – preliminärt yttrande om inbyggt integritetsskydd