EUROPEISKA KOMMISSIONEN
Bryssel den 24.7.2019
COM(2019) 374 final
MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET OCH RÅDET
Dataskyddsregler som förtroendeskapande faktor i EU och övriga världen – en kartläggning
EUROPEISKA KOMMISSIONEN
Bryssel den 24.7.2019
COM(2019) 374 final
MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET OCH RÅDET
Dataskyddsregler som förtroendeskapande faktor i EU och övriga världen – en kartläggning
Meddelande från kommissionen till Europaparlamentet och rådet
Dataskyddsregler som förtroendeskapande faktor i EU och övriga världen – en kartläggning
I.Inledning
Allmänna dataskyddsförordningen 1 (nedan kallad förordningen) gäller i hela EU sedan över ett år tillbaka. Den utgör kärnan i en sammanhängande och moderniserad ram för dataskydd på EU-nivå, där även dataskyddsdirektivet för brottsbekämpning 2 och dataskyddsförordningen för EU:s institutioner och organ 3 ingår. Ramen ska ytterligare kompletteras med förordningen om integritet och elektronisk kommunikation, som för närvarande behandlas i lagstiftningsprocessen.
Stränga dataskyddsregler är avgörande för att den grundläggande rätten till personuppgiftsskydd ska kunna upprätthållas. De är centrala för demokratin 4 och en viktig aspekt av en alltmer datadriven ekonomi. EU vill ta vara på digitaliseringens alla möjligheter när det gäller tjänster, sysselsättning och innovation, och samtidigt ta itu med de utmaningar den medför. Problem som identitetsstöld, läckor av känsliga uppgifter, diskriminering, inbyggd partiskhet, delning av olagligt innehåll och utveckling av integritetskränkande övervakningsutrustning lyfts allt oftare fram i den offentliga debatten, av vilken det tydligt framgår att allmänheten förväntar sig att deras uppgifter skyddas.
Dataskydd har blivit en i allra högsta grad global angelägenhet, allteftersom människor världen över inser vilket värde de sätter på skyddet av sina uppgifter. Många länder har infört eller håller på att införa omfattande regelverk för dataskydd där huvudlinjerna är desamma som i förordningen, vilket medför en global konvergens när det gäller dataskyddsregler. Det ger nya möjligheter att underlätta flödet av uppgifter mellan såväl kommersiella aktörer som offentliga myndigheter och samtidigt förbättra personuppgiftsskyddet i EU och resten av världen.
Dataskydd tas nu på större allvar än någonsin och har stor påverkan på olika aktörer och sektorer. Kommissionen är fast besluten att leda EU mot ett framgångsrikt genomförande av det nya dataskyddssystemet och att bidra till att alla delar av systemet tas i bruk fullt ut. I det här meddelandet utvärderar kommissionen de hittills uppnådda resultaten på följande områden: konsekvent genomförande av dataskyddsregler i hela EU, det nya styrsystemets funktion, konsekvenser för medborgare och företag samt EU:s arbete för att främja global konvergens på dataskyddsområdet. Meddelandet är en uppföljning av kommissionens meddelande om tillämpningen av förordningen från januari 2018 5 och bygger bland annat på flerpartsgruppens 6 arbete, särskilt dess bidrag till ettårsutvärderingen av förordningen och de samtal som fördes vid kommissionens utvärderingsseminarium den 13 juni 2019 7 . Det här meddelandet är också en del i den översyn som kommissionen planerar att genomföra senast i maj 2020 8 .
EU:s rättsliga ram på dataskyddsområdet utgör en av hörnstenarna i en europeisk innovationssyn med människan i centrum. Det växer nu in i den grund med minimikrav som omfattar allt fler politikområden, såsom sjukvård och forskning, artificiell intelligens, transport, energi, konkurrens och brottsbekämpning. Kommissionen har genomgående understrukit hur viktigt det är att de nya dataskyddsreglerna genomförs och upprätthålls ordentligt, bland annat i sitt meddelande om tillämpningen av förordningen som utfärdades i januari 2018 och i vägledningen om tillämpningen av EU:s dataskyddslagstiftning i ett valsammanhang som offentliggjordes i september 2018 9 . I skrivande stund har stora framsteg gjorts för att nå dit, även om det också är tydligt att mycket arbete återstår innan förordningen tillämpas fullt ut.
II.En kontinent, en lag – ramen för dataskydd är på plats i medlemsstaterna
Ett av huvudmålen med förordningen var att bli kvitt det fragmenterade landskap med 28 olika nationella lagstiftningar som fanns inom ramen för det gamla dataskyddsdirektivet 10 och skapa rättssäkerhet för personer och företag i hela EU. Det målet har i stort sett uppnåtts.
Harmonisering av den rättsliga ramen
Även om förordningen är direkt tillämplig i medlemsstaterna har den krävt ett antal åtgärder på nationell nivå. Det handlar i synnerhet om att inrätta nationella dataskyddsmyndigheter och ge dem befogenheter 11 , att fastställa regler i särskilda frågor, såsom hur skyddet av personuppgifter ska balanseras mot yttrande- och informationsfrihet samt att ändra eller upphäva sektorsspecifik lagstiftning som rör dataskydd. I skrivande stund har alla medlemsstater utom tre 12 uppdaterat sin nationella dataskyddslagstiftning. Arbetet med att anpassa de sektorsspecifika lagarna pågår fortfarande på nationell nivå. Efter införlivandet av förordningen i EES-avtalet började den även tillämpas i Norge, Island och Liechtenstein, som också har anpassat sin nationella dataskyddslagstiftning.
De berörda parterna vill dock se en ännu mer långtgående harmonisering på vissa områden 13 . Förordningen lämnar ett visst spelrum för medlemsstaterna att precisera hur den ska tillämpas på vissa områden, t.ex. åldersgränsen för när barn kan ge sitt samtycke för digitala tjänster 14 eller behandlingen av personuppgifter inom områden som hälso- och sjukvård och folkhälsa. I detta sammanhang finns följande två begränsningar för medlemsstaternas åtgärder:
I)All preciserande nationell lagstiftning måste leva upp till kraven i stadgan om de grundläggande rättigheterna 15 (och får inte överskrida de begränsningar som fastställs i förordningen, som bygger på stadgan).
II)Den nationella lagstiftningen får inte inkräkta på det fria flödet av personuppgifter inom EU 16 .
I vissa fall har medlemsstater infört nationella krav som går längre än förordningens bestämmelser, särskilt i form av sektorsspecifik lagstiftning, något som leder till fragmentering och skapar onödigt arbete. Ett exempel på ett sådant krav är den tyska bestämmelsen att företag som har minst 20 anställda och är permanent involverade i automatiserad personuppgiftsbehandling måste utse ett dataskyddsombud.
Fortsatt arbete för ökad harmonisering
Kommissionen deltar i bilaterala samtal med nationella myndigheter, där särskilt tonvikt läggs vid de nationella åtgärderna i förhållande till följande faktorer:
·Dataskyddsmyndigheternas faktiska oberoende, exempelvis genom tillgång till ekonomiska, mänskliga och tekniska resurser.
·Den nationella lagstiftningens begränsningar av de registrerades rättigheter.
·Principen att nationell lagstiftning, med undantag för de fall där det finns utrymme för preciseringar, inte bör medföra krav som går längre än förordningen, t.ex. ytterligare villkor för uppgiftsbehandlingen.
·Skyldigheten att förena rätten till personuppgiftsskydd med yttrande- och informationsfrihet, och att denna skyldighet inte får missbrukas i syfte att hämma journalistiskt arbete.
Dataskyddsmyndigheternas arbete och samverkan via Europeiska dataskyddsstyrelsen (nedan kallad styrelsen) är viktigt för att uppnå en enhetlig tillämpning av de nya reglerna. Tillsynsåtgärder som påverkar flera medlemsstater behandlas av styrelsen via mekanismen för samarbete och enhetlighet 17 , och de riktlinjer som styrelsen antagit bidrar till en enhetlig förståelse av förordningen. De berörda parterna väntar sig dock ytterligare steg i riktning mot samarbete och enhetlighet från dataskyddsmyndigheternas sida.
Det arbete som utförs av de nationella domstolarna och Europeiska unionens domstol bidrar också till att skapa en enhetlig tolkning av dataskyddsreglerna. Nationella domstolar har nyligen utfärdat domar som ogiltigförklarat bestämmelser i nationell lagstiftning som avviker från förordningen 18 .
III.Alla delar i det nya styrsystemet börjar falla på plats
Genom förordningen inrättades en ny struktur för styrning, med de oberoende nationella dataskyddsmyndigheterna i centrum. Myndigheternas uppgift är att genomföra förordningen och utgöra första kontaktpunkt för berörda parter. På senare år har de flesta dataskyddsmyndigheter fått utökade resurser, men det finns fortfarande stora skillnader mellan olika medlemsstater 19 .
Dataskyddsmyndigheterna använder sina nya befogenheter
Genom förordningen får dataskyddsmyndigheterna större genomförandebefogenheter. Trots de farhågor som vissa berörda parter uttryckte före maj 2018 har de nationella dataskyddsmyndigheterna varit måttfulla i användningen av sina nya befogenheter. Tyngdpunkten har legat på dialog snarare än sanktioner, särskilt för de mindre aktörerna, som inte har personuppgiftsbehandling som huvudverksamhet. Samtidigt har myndigheterna inte ryggat för att använda de nya befogenheterna med kraft när så har krävts, t.ex. genom att inleda utredningar på området sociala medier 20 och ålägga administrativa sanktionsavgifter på mellan ett par tusen euro och flera miljoner, beroende på hur allvarlig den aktuella dataskyddsöverträdelsen varit.
Exempel på sanktionsavgifter som ålagts av dataskyddsmyndigheterna 21 :
·5 000 euro i sanktionsavgifter för olaglig videoövervakning för ett vadslagningscafé i Österrike.
·220 000 euro för underlåtande att informera personer om att deras uppgifter behandlades för ett datamäklarföretag i Polen.
·250 000 euro för bristande transparens i utformningen av en mobilapp för spanska fotbollsligan La Liga.
·50 miljoner euro för villkoren för att inhämta samtycke från användarna för Google i Frankrike.
Det är mycket viktigt att dataskyddsmyndigheterna under sina utredningar samlar in relevant bevisning, vidtar alla de förfarandeåtgärder som den nationella lagstiftningen föreskriver samt säkerställer att förfarandet genomförs på ett korrekt sätt trots att ärendena ofta är komplexa. Detta tar tid och kräver en hel del arbete, vilket är anledningen till att de flesta av de utredningar som inletts sedan förordningen började tillämpas fortfarande pågår.
Med det sagt bör framgången med förordningen inte mätas i antal bötfällningar, utan snarare i förändrade attityder och beteenden hos samtliga aktörer. I det här sammanhanget finns det också andra verktyg för dataskyddsmyndigheterna att tillgå. De kan t.ex. tillfälligt eller permanent begränsa eller förbjuda behandling av uppgifter eller besluta att överföringen av uppgifter till en mottagare i ett tredjeland måste upphöra 22 .
Vissa av dataskyddsmyndigheterna har skapat nya verktyg, såsom hjälplinjer och verktyg för företag, medan andra utvecklat nya metoder, såsom experimentverkstäder 23 där företag får hjälp att följa reglerna. Det finns dock fortfarande ett antal berörda parter som anser att de inte fått tillräckligt med stöd och information. Det gäller särskilt små och medelstora företag i vissa medlemsstater 24 . För att råda bot på detta beviljar kommissionen dataskyddsmyndigheterna bidrag för projekt som syftar till att nå ut till berörda parter, särskilt privatpersoner och små och medelstora företag 25 .
Europeiska dataskyddsstyrelsen är verksam
Dataskyddsmyndigheterna har intensifierat sitt arbete i Europeiska dataskyddsstyrelsen 26 . Tack vare den höga arbetstakten har styrelsen kunnat anta cirka 20 riktlinjer om förordningens viktigaste aspekter 27 . Styrelsens framtida arbete presenteras i ett tvåårsprogram 28 , i enlighet med förordningens krav.
I ärenden som involverar flera länder är den enskilda dataskyddsmyndigheten inte längre bara en nationell myndighet, utan en del i en integrerad EU-process från utredning till beslut. Nära samarbeten av denna typ har blivit vanliga. Fram till slutet av juni 2019 hade 516 gränsöverskridande ärenden hanterats via samarbetsmekanismen.
Kommissionen bidrar aktivt till styrelsens arbete 29 , bl.a. genom att påminna om förordningens text och andemening och om EU-lagstiftningens grundläggande principer 30 .
Riktning mot en dataskyddskultur på EU-nivå
Det nya styrsystemet har fortfarande potential kvar att utnyttja. Det är viktigt att styrelsen ytterligare effektiviserar sitt beslutsfattande samt främjar framväxten av en gemensam dataskyddskultur bland ledamöterna. Möjligheten för de olika dataskyddsmyndigheterna att samordna arbetet 31 i gränsöverskridande frågor, t.ex. genom gemensamma utredningar och verkställighetsåtgärder, kan bidra till att nå det målet och samtidigt hushålla med begränsade resurser.
Många berörda parter skulle gärna se ett ännu tätare samarbete och gemensamma angreppssätt från dataskyddsmyndigheternas sida 32 . De vill också att råden från de olika dataskyddsmyndigheterna blir mer samstämmiga 33 och att de nationella riktlinjerna fullt ut anpassas till styrelsens riktlinjer. Vissa parter förväntar sig också att viktiga begrepp i förordningen, t.ex. den riskbaserade metoden, ska klargöras ytterligare, med små och medelstora företags situation i särskild åtanke.
I det här sammanhanget är det viktigt att de berörda parterna ges bättre möjlighet att bidra till underlaget för styrelsens arbete. Det är därför kommissionen ser positivt på de systematiska offentliga samråd kring riktlinjerna som styrelsens anordnar. Styrelsen bör behålla och utveckla detta arbetssätt, och även hålla seminarier för de berörda parterna kring särskilda frågor i ett tidigt i stadium i diskussionen, så att dess arbete blir öppet, inkluderande och relevant.
IV.Enskilda utnyttjar sina rättigheter, men informationsarbetet behöver fortsätta
Ett annat huvudmål med förordningen var att stärka enskilda personers rättigheter. Bland människorätts- och konsumentorganisationer ses förordningen allmänt som ett viktigt bidrag till ett rättvist digitalt samhälle, byggt på ömsesidigt förtroende.
Ökad medvetenhet om dataskyddsrättigheter
Enskilda EU-medborgare är i allt större utsträckning medvetna om dataskyddsregler och om sina egna rättigheter. I en Eurobarometer från maj 2019 34 angav 67 % av de svarande att de känner till förordningen och 57 % att de känner till att det finns en nationell dataskyddsmyndighet dit de kan vända sig med frågor eller klagomål. 73 % har hört talas om minst en av de rättigheter som de har enligt förordningen. Det är dock fortfarande ett betydande antal personer i EU som inte vidtar några aktiva åtgärder för att skydda sina personuppgifter när de använder internet. Exempelvis har 44 % av de enskilda inte ändrat standardinställningarna för sekretess på sociala medier.
Enskilda utövar sina rättigheter i allt större utsträckning
Tack vare den ökade medvetenheten utövar enskilda nu sina rättigheter i större utsträckning genom att ställa kundfrågor eller vända sig till dataskyddsmyndigheterna för att få information eller lämna in klagomål 35 . Företagen rapporterar också att det nu är fler som begär tillgång till sina personuppgifter inom många branscher, som bank- och telekomsektorn. Det har också blivit vanligare att enskilda återkallar sitt samtycke eller utövar sin rätt att undanbe sig kommersiella meddelanden 36 .
Vissa aktörer uppgav dock att enskilda missförstått dataskyddsreglerna och exempelvis uppfattat det som att all behandling skulle kräva den enskildes samtycke eller att rätten att få sina uppgifter raderade skulle vara absolut (när det i själva verket är så att exempelvis personuppgifter ibland måste sparas av rättsliga skäl ) 37 . Vad gäller civilsamhällets organisationer klagar de över långa svarstider hos vissa företag och dataskyddsmyndigheter.
I flera fall har företrädartalan väckts av icke-statliga organisationer på uppdrag av enskilda i enlighet med den nya möjlighet som fastställs i förordningen 38 . Det hade varit lättare att väcka företrädartalan om fler medlemsstater, så som förordningen medger 39 , tillåtit icke-statliga organisationer att agera utan mandat från någon enskild.
Behovet av fortsatta ansträngningar för att öka medvetenheten
Arbetet med att samtala med och informera allmänheten måste därför fortsätta, både nationellt och på EU-nivå. Som en del i detta lanserade kommissionen i juli 2019 en ny internetkampanj 40 för att få enskilda att läsa sekretessmeddelanden och optimera sina sekretessinställningar.
V.Företagen anpassar sin verksamhet
Förordningen är avsedd att utgöra ett stöd för företag i den digitala ekonomin genom att erbjuda framtidssäkra lösningar. Företagen välkomnar i allmänhet förordningens ansvarsprincip, som innebär ett steg bort från de gamla betungande förhandsbaserade metoderna (i och med slopade anmälningskrav, skalbara skyldigheter och en flexibilitet i principen om inbyggt dataskydd och dataskydd som standard som gör det möjligt att konkurrera med integritetsvänliga lösningar). Samtidigt efterfrågar vissa företag större rättssäkerhet och fler eller tydligare riktlinjer från dataskyddsmyndigheterna 41 .
Sund datahantering
Företagen rapporterar att de nya reglerna medfört en rad utmaningar 42 . Många understryker dock också att reglerna utgjort en möjlighet att uppmärksamma företagsstyrelser på dataskyddsfrågan, se till att företaget har ordning och reda när det gäller de uppgifter man lagrar, förbättra säkerheten, förbereda sig inför eventuella incidenter, minska den onödiga riskexponeringen och skapa mer tillitsfulla relationer till kunder och affärspartner. När det gäller öppenheten tar näringslivets och civilsamhällets organisationer upp den svåra balansgången mellan att ge enskilda all den information som förordningen kräver och samtidigt använda ett så tydligt och enkelt språk att informationen blir begriplig. Ett antal nya innovativa lösningar håller på att tas fram på detta område.
I allmänhet uppgav företagen att de kunnat tillämpa de nya rättigheterna för registrerade, även om det ibland varit svårt att hålla tidsgränserna, eftersom begärandena blivit både fler och bredare till sin karaktär 43 , eller kontrollera identiteten hos de personer som ville utöva rättigheterna.
Påverkan på innovationen
Genom förordningen både möjliggörs och uppmuntras teknikutveckling, med hänsyn till den grundläggande rätten till personuppgiftsskydd. Det gäller inom områden som t.ex. artificiell intelligens.
Företagen har börjat utveckla ett nytt utbud av tjänster där integriteten prioriteras högre. Sökmotorer där användarna slipper spårning och beteendestyrd annonsering vinner t.ex. allt fler marknadsandelar i vissa medlemsstater. Andra företag håller på att utveckla tjänster baserade på de nya rättigheter för enskilda som införts, såsom rätten till dataportabilitet. Ett växande antal företag har börjat framhålla en respektfull hantering av personuppgifter som en differentierande egenskap och ett försäljningsargument. Denna utveckling är inte begränsad till EU, utan pågår även i innovativa ekonomier i andra delar av världen 44 .
Situationen för mikro- och småföretag med lågriskbehandling
Bilden varierar något mellan olika medlemsstater, men allmänt sett tillhör mikro- och småföretag 45 vilkas kärnverksamhet inte innefattar databehandling de berörda parter som haft flest frågor om tillämpningen av förordningen. Detta verkar delvis bero på bristande medvetenhet om dataskyddsreglerna, men oron späds också på av kampanjer från konsultföretag som försöker sälja rådgivningstjänster, felaktig information om exempelvis behovet av att systematiskt inhämta samtycke från enskilda 46 samt ytterligare krav som införts på nationell nivå.
Mot bakgrund av detta efterlyser mikro- och småföretag riktlinjer som är särskilt anpassade för deras situation och som innehåller praktisk, handfast information. Vissa dataskyddsmyndigheter har redan hörsammat detta på nationell nivå 47 . Som ett komplement till de nationella initiativen har kommissionen tagit fram informationsmaterial med en serie praktiska steg för att hjälpa dessa företag att följa de nya reglerna 48 .
Förordningens verktyg och hur de används
I förordningen beskrivs ett antal verktyg som kan användas för att visa att den efterlevs, såsom standardavtalsklausuler, uppförandekoder och de nyligen införda certifieringsmekanismerna.
Standardavtalsklausulerna är modellklausuler som frivilligt kan tas med i ett avtal, t.ex. mellan en personuppgiftsansvarig och ett personuppgiftsbiträde, och som klargör avtalsparternas skyldigheter enligt förordningen. Genom förordningen utökas möjligheterna att använda standardavtalsklausuler både gällande internationella överföringar och inom EU 49 . Den utbredda användningen av klausulerna i samband med internationella överföringar 50 indikerar att de utgör ett användbart verktyg i företagens efterlevnadsarbete, särskilt för företag som inte har resurser att förhandla fram enskilda avtal med var och en av sina underleverantörer inom databehandling.
Inom ett antal branscher anses standardavtalsklausuler också vara ett bra sätt att främja harmonisering, särskilt när det är kommissionen som antar klausulerna. Kommissionen kommer att samarbeta med berörda parter för att utnyttja de möjligheter som förordningen erbjuder och uppdatera de befintliga klausulerna.
Uppförandekoder är ett annat användbart och praktiskt verktyg som branschen använder för att lättare kunna visa att man efterlever förordningen 51 . Sådana koder bör vara framtagna av branschorganisationer eller organ som företräder en kategori av personuppgiftsansvariga eller personuppgiftsbiträden och bör innehålla beskrivningar av hur dataskyddsreglerna kan genomföras inom en viss sektor. När koderna används för att anpassa skyldigheter avseende risker 52 kan de också vara ett mycket användbart och kostnadseffektivt sätt för små och medelstora företag att uppfylla sina skyldigheter.
Slutligen kan certifiering också vara ett användbart sätt att visa att särskilda krav i förordningen har uppfyllts. Certifiering kan ge större rättssäkerhet för företag och främja förordningen globalt. Europeiska dataskyddsstyrelsen har nyligen antagit riktlinjer för certifiering och ackreditering 53 , så att certifieringssystem kan utvecklas i EU. Kommissionen kommer att följa utvecklingen och, om det är lämpligt, utnyttja den behörighet att fastställa certifieringskrav som man har enligt förordningen. Kommissionen kan också utfärda en standardiseringsbegäran till EU:s standardiseringsorgan gällande faktorer som är relevanta för förordningen.
VI.Fortsatt konvergens uppåt på internationell nivå
Personuppgiftsskydd efterfrågas inte bara inom EU. Som en global undersökning om internetsäkerhet nyligen visade finns det världen över en ökande brist på tillit som leder till ett förändrat beteende på internet 54 . Allt fler företag hanterar denna oro genom att på eget initiativ tillämpa förordningens rättigheter på sina kunder utanför EU.
I takt med att länder världen över ställs inför liknande utmaningar inför de nya dataskyddsregler eller uppdaterar sina befintliga regler. Många av de nya lagar som införs har mycket gemensamt med EU:s regelverk på området. Det gäller t.ex. användningen av en övergripande lagstiftning snarare än sektorsspecifika regler, verkställbara rättigheter för enskilda och en oberoende tillsynsmyndighet. Det rör sig om en verkligt global trend, som gör sig gällande från Sydkorea till Brasilien, från Chile till Thailand och från Indien till Indonesien. En annan tydlig indikation på denna pågående konvergens uppåt är den allt bredare uppslutningen bakom Europarådets konvention 108 55 , en konvention som nyligen uppdaterats 56 , bl.a. genom ett viktigt bidrag från kommissionen.
Främja säkra och fria dataflöden genom beslut om adekvat skyddsnivå och andra lösningar för framtiden
Denna framväxande konvergens öppnar nya möjligheter att underlätta dataflöden, och därmed också handel och samarbete mellan myndigheter, samtidigt som enskilda EU-invånarna får stärkt personuppgiftsskydd vid överföringar till utlandet.
I enlighet med den strategi man fastställde i meddelandet om utbyte och skydd av personuppgifter i en globaliserad värld från 2017 57 har kommissionen intensifierat sitt utbyte med tredjeländer och andra internationella partner. Samarbetet bygger på och syftar till att vidareutveckla de områden där systemen för integritetsskydd är samstämmiga. Som en del i detta har man undersökt möjligheten att godkänna konstateranden om adekvata skyddsnivåer för vissa tredjeländer 58 . Det arbetet har gett viktiga resultat, i synnerhet i form av en ömsesidig överenskommelse om adekvat skyddsnivå mellan EU och Japan, som trädde i kraft i februari 2019 och skapade världens största område för fria och säkra dataflöden. Förhandlingarna om konstaterande av adekvat skyddsnivå med Sydkorea är långt framskridna. Möjligheterna att inleda förhandlingar med flera latinamerikanska länder, t.ex. Chile och Brasilien, undersöks, men beror på slutförandet av pågående lagstiftningsförfaranden. Även i delar av Asien, såsom Indien, Indonesien och Taiwan, liksom i EU:s grannländer i öster och söder, syns en lovande utveckling som skulle kunna leda till beslut om adekvat skyddsnivå i framtiden.
Samtidigt välkomnar kommissionen att andra länder som antagit överföringsinstrument av samma typ som förordningens bedömningar om adekvat skyddsnivå erkänner att EU, och de länder vars skyddsnivå EU betraktar som adekvat, erbjuder ett tillräckligt skydd 59 . Här finns potential att skapa ett nätverk av länder där data kan flöda fritt.
Samtidigt pågår ett intensivt arbete med andra tredjeländer, såsom Kanada, Nya Zeeland, Argentina och Israel, för att se till att de beslut om adekvat skyddsnivå som fattats enligt 1995 års dataskyddsdirektiv kan fortsätta att gälla även inom ramen för dataskyddsförordningen. När det gäller transatlantiska dataflöden har skölden för skydd av privatlivet i EU och USA visat sig vara ett användbart verktyg för att garantera en hög skyddsnivå, och över 4 700 företag deltar i samarbetet 60 . Genom en årlig översyn säkerställs att ramverket fungerar som avsett och att det kontrolleras regelbundet så att nya problem kan hanteras i tid.
Det finns ingen patentlösning som passar alla dataflöden. I samarbete med de berörda parterna och styrelsen strävar kommissionen därför efter att se till att alla förordningens verktyg för internationella överföringar kommer till användning. Det kan handla om instrument, såsom standardavtalsklausuler och utvecklingen av certifieringssystem, uppförandekoder eller administrativa lösningar för myndigheter. Här är kommissionen intresserad av metod- och erfarenhetsutbyten med andra system, där man eventuellt utvecklat specifika expertkunskaper om några av de aktuella verktygen. Kommissionen kommer att överväga att använda de befogenheter som den tillskrivs enligt förordningen när det gäller överföringsverktygen, särskilt standardavtalsklausulerna.
Utöver de rent bilaterala verktygen skulle det vara värt att undersöka om likasinnade länder kan upprätta ett multinationellt ramverk på detta område, i en tid där dataflöden utgör en allt viktigare aspekt inom handel, kommunikation och sociala interaktioner. Med ett sådant instrument skulle data kunna flöda fritt mellan avtalsparterna, med gemensamma värderingar och konvergerande system som garant för en tillräcklig skyddsnivå. Det skulle kunna skapas genom vidareutveckling av den uppdaterade konvention 108 eller med inspiration från det initiativ för ”fria dataflöden med förtroende” som Japan lanserade i början av året.
Utveckla nya synergier mellan handel och dataskyddsinstrument
Utöver främjandet av enhetliga dataskyddsstandarder på internationell nivå är kommissionen också fast besluten att bekämpa digital protektionism. I detta syfte har kommissionen tagit fram specifika bestämmelser om dataflöden och dataskydd för handelsavtal som systematiskt lyfts fram i bilaterala och multilaterala förhandlingar, såsom de pågående WTO-samtalen om e-handel. Dessa övergripande bestämmelser utesluter rent protektionistiska åtgärder, såsom datalokaliseringskrav, samtidigt som parternas oberoende i regleringsfrågor bevaras för att värna om den grundläggande rätten till dataskydd.
Dataskyddssamtal och handelsförhandlingar är visserligen skilda saker, men de båda dialogerna kan komplettera varandra. Det bästa exemplet på sådana synergieffekter är EU:s och Japans ömsesidiga överenskommelse om adekvat skyddsnivå, som ytterligare underlättar handelsutbytet och därigenom förstärker fördelarna med avtalet om ekonomiskt partnerskap. Faktum är att denna typ av konvergens, som bygger på gemensamma värderingar och höga standarder i kombination med ett effektivt verkställande, utgör den bästa grunden för utbyten av personuppgifter, en uppfattning som vinner mark även bland våra internationella partner 61 . I och med att företagen i allt större utsträckning bedriver sin verksamhet över landsgränserna och samtidigt gärna vill tillämpa liknande regler för alla sina anläggningar världen över bidrar en sådan konvergens till att skapa en miljö som främjar direktinvesteringar, smidigare handel och större tillit handelspartner emellan.
Rätt dataskyddsåtgärder underlättar informationsutbytet i kampen mot brottslighet och terrorism
Mer kompatibla dataskyddssystem kan också avsevärt underlätta det välbehövliga informationsutbytet mellan EU:s och andra länders tillsynsmyndigheter, polis och rättsväsende och på så sätt bidra till ett effektivare och snabbare samarbete inom brottsbekämpning 62 . Kommissionen överväger därför att i enlighet med dataskyddsdirektivet för brottsbekämpning använda möjligheten att besluta om adekvat skyddsnivå som ett sätt att fördjupa samarbetet med sina huvudpartner i kampen mot brottslighet och terrorism. Vidare kan paraplyavtalet mellan EU och Förenta staterna 63 , som trädde i kraft i februari 2017, användas som förlaga till liknande avtal med andra viktiga säkerhetspartner.
Andra exempel på vikten av höga dataskyddsstandarder som grund för stabila brottsbekämpningssamarbeten med tredjeländer är överföringen av passageraruppgifter 64 och utbytet av operativ information mellan Europol och viktiga internationella partner. När det gäller det sistnämnda har EU inlett eller är på väg att inleda förhandlingar om internationella avtal med flera av länderna i det södra grannskapsområdet 65 .
Effektiva dataskyddsåtgärder kommer också att vara ett viktigt inslag i alla framtida avtal om gränsöverskridande tillgång till elektroniskt bevismaterial i brottsutredningar, på bilateral (avtalet mellan EU och Förenta staterna) eller multilateral nivå (andra tilläggsprotokollet till Europarådets konvention om it-brottslighet – den så kallade Budapestkonventionen) 66 .
Främja samarbete mellan de organ som verkställer dataskyddsreglerna
I dag kan konsekvenserna av säkerhetsincidenter eller bristande efterlevnad av sekretessreglerna drabba ett stort antal enskilda personer i olika jurisdiktioner samtidigt. I detta läge kan närmare samarbetsformer mellan tillsynsmyndigheter på internationell nivå bidra både till ett effektivare skydd av enskildas rättigheter och en stabilare miljö för näringslivet. Mot bakgrund av detta kommer kommissionen att i nära kontakt med styrelsen arbeta för att underlätta tillsynssamarbete och ömsesidigt bistånd mellan EU och utländska tillsynsmyndigheter, bland annat genom att utnyttja sina nya befogenheter på detta område enligt förordningen 67 . Detta kan röra olika former av samarbete: från att utveckla gemensamma verktyg för tolkning eller praktiska åtgärder 68 till att utbyta information om pågående utredningar.
Slutligen har kommissionen även för avsikt att intensifiera dialogen med regionala organisationer och nätverk, som Sydostasiatiska nationers förbund, Afrikanska unionen, Forum för integritetsmyndigheter i Asien och Stillahavsområdet eller det iberoamerikanska dataskyddsnätverket, vilka spelar en allt viktigare roll när det gäller att ta fram gemensamma dataskyddsstandarder och främja metodutbyten och samarbeten mellan verkställande organ. Kommissionen kommer också att arbeta med Organisationen för ekonomiskt samarbete och utveckling (OECD) och Ekonomiska samarbetet i Asien och Stillahavsområdet för att försöka åstadkomma konvergens mot höga dataskyddsnivåer.
VII.Dataskyddslagstiftningen som en integrerad del i andra politikområden
Skyddet av personuppgifter garanteras och integreras i EU:s politik på en rad olika områden.
Telekommunikation och elektroniska kommunikationstjänster
I januari 2017 antog kommissionen ett förslag till förordning om integritet och elektronisk kommunikation 69 . Förslaget syftar till att skydda konfidentialiteten vid kommunikation, i enlighet med stadgan om de grundläggande rättigheterna, men också de personuppgifter som eventuellt kommuniceras samt slutanvändarnas terminalutrustning.
Den föreslagna förordningen om integritet och elektronisk kommunikation preciserar och kompletterar den allmänna dataskyddsförordningen genom specifika regler för ovannämnda ändamål. Den föreslagna förordningen utgör en uppdatering av EU:s regler om integritet och elektronisk kommunikation 70 för att spegla den tekniska och rättsliga utvecklingen. Den stärker också enskildas integritet genom att tillämpningsområdet för de nya reglerna utvidgas till leverantörer av s.k. OTT-tjänster (over-the-top-tjänster), så att samma förutsättningar gäller för alla elektroniska kommunikationstjänster. I oktober 2017 antog Europaparlamentet ett mandat för att inleda trepartsmöten, medan rådet ännu inte enats om något allmänt förhållningssätt. Kommissionen står fortfarande bakom förordningen om integritet och elektronisk kommunikation och kommer att stödja medlagstiftarna i dess ansträngningar att snabbt anta den föreslagna förordningen.
Sjukvård och forskning
Att underlätta medlemsstaternas utbyte av hälsouppgifter, som räknas som känsliga uppgifter i förordningen, blir allt viktigare inom folkhälsoområdet, där utbytet också ofta syftar till mål som ligger i allmänhetens intresse. Det kan t.ex. handla om att tillhandahålla hälso- och sjukvård eller behandling, bekämpa allvarliga gränsöverskridande hälsorisker eller se till att hälso- och sjukvården, läkemedel och medicintekniska produkter håller hög standard vad gäller kvalitet och säkerhet. I förordningen fastställs regler för att säkerställa att behandlingen och utbytet av hälsouppgifter sker på ett lagligt och tillförlitligt sätt inom hela EU. Reglerna täcker också tredje parts tillgång till patienters medicinska uppgifter (inklusive uppgifter i patientjournaler, e-recept och, på längre sikt, fullständiga elektroniska journaler) och användningen av dessa i forskningssyften. När det gäller kliniska prövningar specifikt har kommissionen även utarbetat en uppsättning frågor och svar om hur förordningen om kliniska prövningar 71 och den allmänna dataskyddsförordningen 72 förhåller sig till varandra.
Artificiell intelligens
I takt med att den strategiska betydelsen av artificiell intelligens (AI) ökar blir det allt viktigare med globala regler för dess utveckling och användning. När det gäller att främja utvecklingen och den praktiska användningen av AI-lösningar sätter kommissionen människan i centrum, vilket innebär att alla AI-tillämpningar måste vara förenliga med grundläggande rättigheter 73 . I det sammanhanget utgör förordningens regler ett allmänt ramverk och medför specifika skyldigheter och rättigheter som är särskilt relevanta för personuppgiftsbehandling i samband med AI. Det fastställs exempelvis i förordningen att en registrerad person har rätt att inte bli föremål för beslut som enbart grundas på automatiserad behandling, med undantag för vissa situationer 74 . Förordningen omfattar också vissa särskilda krav på transparens vid automatiserat beslutsfattande, nämligen en skyldighet att upplysa om att sådant beslutsfattande förekommer, att lämna meningsfull information om detta och att förklara betydelsen och de förutsedda följderna av behandlingen för den registrerade 75 . Dessa kärnprinciper i förordningen har erkänts av AI-expertgruppen 76 , OECD 77 och G20 78 som särskilt relevanta för att ta itu med de utmaningarna och möjligheterna med AI. Europeiska dataskyddsstyrelsen har identifierat AI som ett av de ämnen man eventuellt kommer att arbeta med i arbetsprogrammet för 2019–2020 79 .
Transport
Utvecklingen av uppkopplade bilar och smarta städer kräver i allt större utsträckning behandling och utbyte av stora mängder personuppgifter mellan flera olika parter, t.ex. bilar, biltillverkare, leverantörer av telematiktjänster och de myndigheter som ansvarar för vägnätet. En miljö där så många parter deltar i personuppgiftsbehandlingen blir relativt komplex när det gäller roll- och ansvarsfördelning och möjligheten att kontrollera att all behandling sker lagenligt. Det är avgörande att förordningen och lagstiftningen om digital integritet följs om vi ska lyckas med införandet av intelligenta transportsystem för alla transportslag och utöka användningen av digitala verktyg och tjänster som underlättar både persontransporter och godstrafik 80 .
Energi
Utvecklingen av digitala lösningar inom energisektorn bygger i allt större utsträckning på personuppgiftsbehandling. I den lagstiftning som antagits som en del av paketet om ren energi för alla i EU 81 ingår nya bestämmelser som underlättar digitalisering inom elsektorn samt regler om datatillgång, datahantering och driftskompatibilitet som medger behandling av realtidsdata från konsumenter i syfte att spara energi och uppmuntra till egenproduktion och deltagande på energimarknaden. Om dessa bestämmelser ska kunna genomföras på ett framgångsrikt sätt är det därför av största vikt att dataskyddsreglerna följs.
Konkurrens
Det blir alltmer relevant att beakta personuppgiftsbehandling som en aspekt av konkurrenspolitiken 82 . Eftersom det endast är dataskyddsmyndigheter som har i uppdrag att bedöma eventuella överträdelser av dataskyddsreglerna samarbetar de med konkurrens- och konsumentmyndigheter, ett samarbete som kommer att fortsätta i den mån det krävs och där myndigheternas kompetensområden överlappar. Kommissionen kommer att stödja sådan samverkan och följa utvecklingen noga.
Valsammanhang
I sin vägledning om tillämpningen av EU:s dataskyddslagstiftning i ett valsammanhang 83 , som gavs ut i september 2018 som en del av åtgärdspaketet för fria och rättvisa val 84 , uppmärksammade kommissionen regler som är särskilt viktiga för aktörer som är involverade i val, bland annat frågor kring riktade budskap till väljare på individnivå (s.k. micro-targeting). Denna vägledning fick återklang i ett yttrande från Europeiska dataskyddsstyrelsen 85 , och en rad dataskyddsmyndigheter gav ut vägledningar på nationell nivå. Åtgärdspaketet omfattade också en uppmaning till samtliga medlemsstater att inrätta nationella nätverk för valsamarbete mellan nationella valmyndigheter och myndigheter som ansvarar för övervakning och verkställande av dataskyddsregler och andra bestämmelser om internetbaserade aktiviteter i samband med val. Nya åtgärder vidtogs också för att kunna bestraffa europeiska politiska partier och stiftelser som bryter mot dataskyddsreglerna. Kommissionen rekommenderade att medlemsstaterna följer samma principer på nationell nivå. Vid utvärderingen av 2019 års val till Europaparlamentet, som beräknas vara klar i oktober 2019, kommer dataskyddsaspekter också att övervägas.
Brottsbekämpning
En effektiv och genuin säkerhetsunion måste bygga på fullständig efterlevnad av de grundläggande rättigheterna i EU-stadgan och sekundärrätten. Häri ingår tillräckliga dataskyddsåtgärder för ett säkert utbyte av personuppgifter i brottsbekämpningssyfte. Den grundläggande rätten till integritet och dataskydd får inte inskränkas utan att det först prövas om inskränkningen är absolut nödvändig och proportionerlig.
VIII.Slutsats
Baserat på den information som finns tillgänglig i dagsläget samt på dialogen med berörda parter är kommissionens preliminära bedömning att tillämpningen av förordningen under dess första år i stort fallit väl ut. Som framgår i det här meddelandet finns det dock en rad områden där ytterligare framsteg behöver göras.
Genomföra och komplettera den rättsliga ramen:
·De tre medlemsstater som fortfarande inte har uppdaterat sin nationella dataskyddslagstiftning måste göra det snarast. Alla medlemsstater bör slutföra anpassningen av sin sektorsspecifika lagstiftning till kraven i föro (s. 20)rdningen.
·Kommissionen kommer att använda alla tillgängliga verktyg, inbegripet överträdelseförfaranden, för att se till att medlemsstaterna följer förordningen och för att begränsa eventuell fragmentering av ramen för dataskyddet.
Utnyttja det nya styrsystemets fulla potential:
·Medlemsstaterna bör avsätta tillräckliga personalresurser samt ekonomiska och tekniska resurser till dataskyddsmyndigheterna.
·Dataskyddsmyndigheterna bör intensifiera sitt samarbete, t.ex. genom att bedriva gemensamma utredningar. Medlemsstaterna bör underlätta arbetet med sådana utredningar.
·Styrelsen bör fortsätta att främja framväxten av en dataskyddskultur på EU-nivå och använda alla de verktyg som avses i förordningen för att se till att reglerna tillämpas på ett enhetligt sätt. Den bör fortsätta sitt arbete med att utarbeta riktlinjer, särskilt för små och medelstora företag.
·Styrelsens sekretariat bör få stärkt expertis för att kunna stödja och leda styrelsens arbete på ett mer effektivt sätt.
·Kommissionen kommer att fortsätta att stödja dataskyddsmyndigheterna och styrelsen, i synnerhet genom att aktivt delta i styrelsens arbete och påminna den om EU-lagstiftningens krav i samband med tillämpningen av förordningen.
·Kommissionen kommer att stödja interaktionen mellan dataskyddsmyndigheter och andra myndigheter, särskilt på konkurrensområdet, utan att inkräkta på respektive myndighets kompetensområde.
Stödja och engagera berörda parter:
·Styrelsen bör förbättra sitt sätt att engagera de berörda parterna i sitt arbete. Kommissionen kommer även i fortsättningen att ge ekonomiskt stöd till dataskyddsmyndigheterna för att hjälpa dem att nå ut till de berörda parterna.
·Kommissionens informationsverksamhet och arbete med berörda parter kommer att fortsätta.
Främja internationell konvergens:
·Kommissionen kommer att ytterligare intensifiera sin dialog om adekvat skyddsnivå med lämpliga nyckelpartner, även på brottsbekämpningsområdet. I synnerhet beräknas förhandlingarna med Sydkorea slutföras under de kommande månaderna. Under 2020 kommer kommissionen att presentera uppföljningsrapporter om de elva beslut om adekvat skyddsnivå som fattats i enlighet med dataskyddsdirektivet.
·Kommissionen kommer att fortsätta med sitt arbete, t.ex. genom tekniskt stöd och informations- och metodutbyten, gentemot länder som vill anta moderna integritetslagar och främja samarbete med tredjeländers tillsynsmyndigheter och regionala organisationer.
·Genom att föra dialog med multilaterala och regionala organisationer kommer kommissionen att verka för höga dataskyddsstandarder som en faktor som underlättar handel och samarbete (t.ex. inom ramen för Japans G20-initiativ ”fria dataflöden med förtroende”).
Enligt förordningen 86 ska kommissionen under 2020 överlämna en rapport om dess tillämpning. Rapporten blir ett tillfälle att bedöma vilka framsteg som gjorts och huruvida det nya dataskyddssystemets olika delar efter två års tillämpning fungerar fullt ut. Detta kommer att göras bland annat genom dialog med Europaparlamentet, rådet, medlemsstaterna, Europeiska dataskyddsstyrelsen, relevanta berörda parter och EU-invånarna.