11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/1

1.

Förslaget till förordning om en uppförandekod för datoriserade bokningssystem översändes av kommissionen till Europeiska datatillsynsmannen för samråd i enlighet med artikel 28.2 i förordning (EG) nr 45/2001 (nedan kallat förslaget).

2.

Förslaget rör behandlingen av personuppgifter i datoriserade bokningssystem och är nära förbundet med andra system för insamling och användning av passageraruppgifter inom EU eller i förbindelser med tredjeländer. Dessa system är av stort intresse för Europeiska datatillsynsmannen, som välkomnar kommissionens samråd.

3.

Syftet med förslaget är att uppdatera bestämmelserna i den uppförandekod för datoriserade bokningssystem som inrättades 1989 genom rådets förordning (EEG) nr 2299/89. Koden verkar bli allt sämre anpassad till de nya marknadsvillkoren och behöver förenklas för att förstärka konkurrensen - samtidigt som de grundläggande skyddsåtgärderna bevaras och neutral information till konsumenterna garanteras.

4.

Förslaget är inte huvudsakligen inriktat på skydd av personuppgifter. Med tanke på att datoriserade bokningssystem behandlar enorma mängder personuppgifter har emellertid en särskild artikel om dataskydd införts i förslaget, i syfte att komplettera bestämmelserna i direktiv 95/46/EG, som fortfarande gäller som lex generalis.

5.

Andra bestämmelser i förslaget har också konsekvenser för dataskyddet, även om deras huvudsyfte är att garantera likvärdig information till alla aktörer i lojal konkurrens: skydd av abonnenternas - fysiska personers eller företags - identitet är också välkommet med hänsyn till skyddet för privatlivet.

6.

Europeiska datatillsynsmannen noterar att förslaget endast behandlar de datoriserade bokningssystemens verksamhet som gränssnitt mellan flygbolag och resebyråer. Det omfattar inte tillhandahållande av andra it-tjänster, såsom att vara värd för flygbolags bokningssystem. Personuppgifter som behandlas i detta specifika sammanhang kommer därför inte att omfattas av några av uppförandekodens skyddsåtgärder. De kommer dock att omfattas av den allmänna dataskyddsordningen i direktiv 95/46/EG.

7.

Europeiska datatillsynsmannens yttrande behandlar först räckvidd och villkor för tillämpningen av förslaget i förhållande till tillämpningen av direktiv 95/46/EG. Fokus inriktas sedan på sakfrågor, med en analys av förslagets artiklar i förhållande till dataskyddsfrågor. Positiva aspekter identifieras och det förslås även tänkbara förbättringar. Särskild uppmärksamhet kommer att ägnas villkoren för kontroll av efterlevnaden av dessa bestämmelser.

8.

I det sista avsnittet går yttrandet utöver de konkreta bestämmelserna i förslaget och tar itu med några allmännare konsekvenser av behandlingen av passageraruppgifter i datoriserade bokningssystem, antingen de fungerar som tvärsnitt för resebyråer eller som leverantörer av it-tjänster. Tredjeländers tillgång till passageraruppgifter i datoriserade bokningssystem blir föremål för en särskild analys.

9.

Förslaget innehåller detaljerade bestämmelser om skydd av personuppgifter. Dessa bestämmelser ”preciserar och kompletterar” bestämmelserna i direktiv 95/46/EG men påverkar inte bestämmelserna i nämnda direktiv (1). Detta uttryckliga samband mellan de båda instrumenten är ett positivt element.

10.

Europeiska datatillsynsmannen noterar emellertid att tillämpningsområdet för uppförandekoden inte exakt sammanfaller med tillämpningsområdet för direktiv 95/46/EG. Det avgörande kriteriet för tillämpning av uppförandekoden är i själva verket att systemet används eller tillhandahålls på EU:s territorium (2). Direktivets bestämmelser är tillämpliga när den registeransvarige är etablerad i en medlemsstat eller när den registeransvarige är etablerad utanför EU men använder utrustning som befinner sig i EU (3).

11.

Det är därför möjligt att tänka sig olika scenarier för tillämpningen av uppförandekoden och direktivet:

Trots att kriterierna för tillämpning av uppförandekoden och för tillämpning av direktivet är olika, torde de i praktiken leda till kombinerad tillämpning av de båda instrumenten: tillhandahållande av tjänster i EU leder till tillämpning av uppförandekoden och detta tillhandahållande av tjänster kommer i praktiken att ske genom användning av (dator)utrustning som befinner sig i EU, vilket också resulterar i att direktivet ska tillämpas.

12.

En annan konsekvens av uppförandekodens och direktivets omfattande tillämpningsområde är inverkan på flygbolag, som kan vara etablerade inom eller utanför EU. Flygbolag som är etablerade utanför EU omfattas i princip inte av EU:s uppgiftsskyddsprinciper, utom om de använder utrustning som befinner sig i EU för behandling av personuppgifter (tillämpning av direktivet). Detta är till exempel fallet om de använder ett datoriserat bokningssystem som är etablerat i EU som ”värd” för en bokningstjänst. Det bör även noteras att uppgifter i samband med flygbolagens flygningar blir föremål för EU-lagstiftningen så snart de behandlas i ett datoriserat bokningssystem som är etablerat i EU – eller som tillhandahåller tjänster inom EU (tillämpning av uppförandekoden).

13.

Artikel 11 i förslaget innehåller en förteckning över garantier i samband med behandlingen av personuppgifter, inbegripet begränsningar av syfte, uppgifternas nödvändighet, särskilt skydd av känsliga uppgifter, begränsad lagringstid, de registrerade personernas rätt till information och tillgång.

14.

Artikel 11 erbjuder också en välkommen precision av de datoriserade bokningssystemens ställning, vilka ska betraktas som registeransvariga vid bokning eller utfärdande av biljetter för transportprodukter. Registrerade personer kan därför göra sina rättigheter gällande inte bara gentemot resebyråer och lufttrafikföretag utan i förekommande fall även gentemot datoriserade bokningssystem.

15.

Skyldigheten för medverkande trafikföretag och förmedlare att säkerställa att de lämnade uppgifterna är riktiga (vilket dock inte begränsas till personuppgifter), i enlighet med artikel 9, är en uttrycklig hänvisning till direktiv 95/46/EG, där det sägs att personuppgifter måste vara riktiga.

16.

Det måste noteras att dessa bestämmelser i förslaget är i linje med kommentarerna från arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter i dess rekommendation nr 1/98 (4). De är särskilt välkomna, eftersom de preciserar några bestämmelser i direktiv 95/46/EG: det hänvisas särskilt till den begränsade lagringsperioden för personuppgifter off-line (72 timmar) och utplåning av uppgifterna efter tre år, med begränsad tillgång kopplad till det ursprungliga syftet med behandlingen (för att avgöra faktureringstvister). Öppenhet vid behandlingen föreskrivs också, i och med att abonnenten ska ange systemleverantörens kontaktuppgifter och ge information om hur tillgångsrätten ska hävdas.

17.

Utöver dessa element, som redan ingår i förslaget, kunde detta kompletteras beträffande tre aspekter.

18.

För det första bör det beträffande möjligheten för den registrerade personen att samtycka till behandlingen av känsliga uppgifter uttryckligen anges att samtycket måste grundas på tillräcklig information. Trots att det av artikel 2 h i direktiv 95/46/EG framgår att varje samtycke ska vara en frivillig, särskild och informerad viljeyttring, är detta kanske inte alltid fallet i praktiken. Artikel 11.3 skulle alltså kunna kompletteras på följande sätt: ”… ska sådana uppgifter endast behandlas om den registrerade har gett sitt uttryckliga och informerade medgivande till det”.

19.

För det andra utgår man i säkerhetsfrågor från att de allmänna principerna i direktiv 95/46/EG ska gälla. Europeiska datatillsynsmannen skulle rekommendera att dessa principer kompletteras med skyldigheter som mer direkt fokuseras på särdragen hos de personuppgifter som behandlas av datoriserade bokningssystem. Eftersom datoriserade bokningssystem kan fungera som ett globalt tvärsnitt för flygbolag men även som tjänsteleverantör eller ”värd” för ett bestämt flygbolag, bör den stora mängd personuppgifter som behandlas i samband med dessa båda olika funktioner isoleras tydligt, genom användning av ”kinesiska murar” och andra lämpliga säkerhetsåtgärder. Europeiska datatillsynsmannen rekommenderar att detta läggs till som en ytterligare punkt i artikel 11.

20.

Artikel 11 skulle alltså kunna kompletteras med en ny punkt med följande lydelse efter punkt 4: ”När ett datoriserat bokningssystem driver databaser i olika egenskaper, såsom tvärsnitt eller värd för flygbolag, ska tekniska och organisatoriska åtgärder vidtas för att förhindra sammankoppling av databaserna och garantera att personuppgifter endast är tillgängliga för det specifika ändamål för vilket de insamlades”.

21.

För det tredje välkomnar Europeiska datatillsynsmannen villkoren i artiklarna 7 och 11.5 angående behandling av uppgifter i samband med marknadsanalys. Systemleverantörer får endast lämna dessa uppgifter till tredje parter i icke-identifierbar form, oberoende av om uppgifterna gäller organisationer, företag eller fysiska personer. Medan syftet här huvudsakligen är att hindra identifiering av resebyråer (5), förutsätts det att anonymiseringen gäller varje typ av personuppgift som behandlas vid en bokning, alltså även personuppgifter som gäller resebyråernas kunder. Detta bör klargöras i förslaget, genom att artikel 11.5 kompletteras på följande sätt: ”Anonymiseringen ska gälla alla registrerade som är inblandade i bokningsförfarandet, även slutanvändaren”.

22.

Till följd av förordningens breda tillämpningsområde omfattar kommissionens och dataskyddsmyndigheternas behörighet att se till att berörda aktörer rättar sig efter bestämmelserna även registeransvariga som är etablerade utanför EU. Det är väsentligt att kommissionen, som i förslaget uttryckligen omnämns som ansvarig för övervakning av tillämpningen av uppförandekoden, får effektiva medel för att se till att uppgiftsskyddsprinciperna följs.

23.

För att effektiv övervakning av tillämpningen av uppförandekoden ska säkerställas, bör kontroll och spårbarhet av personuppgifter inom nätverket med datoriserade bokningssystem garanteras. Personuppgifter överförs och tas fram av olika aktörer, t.ex. flygbolag och resebyråer, och behandlas av datoriserade bokningssystem i olika funktioner, på flygbolagens vägnar eller inte.

24.

Utöver behovet av en tydlig åtskillnad mellan de datoriserade bokningssystemens olika uppgifter, verkar en ordning för uppgiftsflöden inom systemet vara en förutsättning för att man ska få en tydlig uppfattning om hur personuppgifter cirkulerar mellan flygbolag, resebyråer och datoriserade bokningssystem. Detta är väsentligt för att bedöma behörigheten för de olika myndigheterna som övervakar att bestämmelserna följs (dataskyddsmyndigheter och kommissionen).

25.

Detta är särskilt nödvändigt med tanke på att de datoriserade bokningssystemen är sammankopplade och att nätverket med datoriserade bokningssystem är komplext. Det måste klargöras i vilken omfattning personuppgifter som införts via ett flygbolag eller en resebyrå som är kund hos ett datoriserat bokningssystem kan tas fram och behandlas i ett senare skede via ett annat datoriserat bokningssystem än det ursprungliga.

26.

Enligt artikel 12 i förslaget ska kommissionen vara behörig att inleda förfaranden vid överträdelser av förordningen. Kommissionens behörighet kommer därför att omfatta bland annat kontroll av att de uppgiftsskyddsprinciper som ingår i förordningen följs.

27.

När kommissionen gör detta, kan den komma att konkurrera med nationella dataskyddsmyndigheter, i den mån ett datoriserat bokningssystem eller en systemleverantörs verksamhet omfattas av nationell dataskyddslagstiftning. I sådana fall bör konsekventa förfaranden för övervakning av efterlevnad samt ömsesidigt samarbete garanteras. Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter kunde vara ett lämpligt forum för att underlätta sådant samarbete.

28.

Dessutom kommer kommissionen under utövandet av sina befogenheter att hantera särskilda dossierer som innehåller alla delar av en påstådd överträdelse (t.ex. tillgång till handlingarna för de berörda parterna enligt artikel 15 i förslaget). Personuppgifter kommer oundvikligen att ingå i dessa dossierer, vilket innebär att Europeiska datatillsynsmannen är behörig att övervaka behandlingen, som en aspekt av sina arbetsuppgifter i förhållande till de europeiska institutionerna i enlighet med förordning (EG) nr 45/2001, liksom i alla andra fall där kommissionen agerar som registeransvarig.

29.

Frågan om tredjeländers tillgång till passageraruppgifter har lett till ingående av särskilda avtal mellan Europeiska unionen och dessa tredjeländer, i synnerhet ett avtal som ingicks mellan EU och Kanada i juli 2005 och ett som ingicks mellan EU och Förenta staterna i juli 2007. Enligt dessa avtal måste PNR-uppgifter som översänds till utländska myndigheter av flygbolag uppfylla specifika villkor beträffande dataskydd.

30.

Datoriserade bokningssystem har olika roller i detta sammanhang, beroende på om de är värdar eller tvärsnitt för flygbolagen.

31.

Som redan har nämnts, brukar flygbolag som inte sköter sina egna bokningssystem lägga ut dem på en tredje part, som kan vara ett datoriserat bokningssystem. I detta fall agerar det datoriserade bokningssystemet inte som tvärsnitt för resebyråer utan som tjänsteleverantör för flygbolaget. I sin egenskap av ”värd” kan det datoriserade bokningssystemet lämna PNR-information till myndigheterna i ett tredjeland.

32.

Enligt kommissionen (6) omfattas denna verksamhet inom det datoriserade bokningssystemet inte av förordningen och skyldigheterna i denna beträffande överföring till tredje parter överträds därför inte under sådana förhållanden. De allmänna dataskyddsprinciperna i direktiv 95/46/EG är emellertid fortfarande tillämpliga, liksom principerna i Europarådets konvention nr 108 vad angår villkoren för överföring till tredjeländer.

33.

Europeiska dataskyddsmannen anser att de enheter som tillhandahåller sådana it-tjänster är ansvariga för de tjänster de erbjuder och för vidare överföring av uppgifter till en tredje part. I den meningen bör de betraktas ”medregisteransvariga” tillsammans med de berörda flygbolagen beträffande de tjänster som tillhandahålls. Detta innebär att överföring av passageraruppgifter av en tjänsteleverantör - antingen det är ett datoriserat bokningssystem eller en leverantör av it-tjänster - till ett tredjeland måste uppfylla villkoren i internationella avtal som ingåtts med det landet.

34.

Skyldigheterna kan inbegripa lösning av praktiska frågor, som t.ex. formerna för överföring av uppgifter och övergången från ”push” till ”pull”, vilket innebär att it-tjänsten kontrollerar villkoren för överföring och kvaliteten på de överförda uppgifterna. Skyldigheterna beträffande öppenhet bör också beaktas, i samförstånd med flygbolagen och i den mån flygbolagens bokningstjänster faktiskt utförs av it-tjänsten. De registrerade ska också ha tillgång till rättsmedel mot det datoriserade bokningssystemet vad gäller den databehandling som utförs av det datoriserade bokningssystemet i samband med överföringen till en tredje part.

35.

Oberoende av situationen när datoriserade bokningssystem agerar som tjänsteleverantörer och måste ta hänsyn till internationella avtal som ingåtts mellan EU och tredjeländer, bör även fallet när datoriserade bokningssystem agerar som tvärsnitt studeras. I detta fall omfattas varje begäran om personuppgifter från en tredje parts sida av villkoren i förordningen och överföringen bör i princip inte tillåtas. Enligt artikel 11.4 i förslaget är tillgång till uppgifterna i datoriserade bokningssystem nämligen endast tillåten vid faktureringstvister. Viktigt är att denna bestämmelse gäller oberoende av var det datoriserade bokningssystemet är etablerat (det må befinna sig i EU eller i Förenta staterna), i den mån systemet tillhandahåller tjänster avsedda att utnyttjas inom gemenskapens territorium.

36.

Europeiska datatillsynsmannen välkomnar att man i förslaget tagit med dataskyddsprinciper som klargör bestämmelserna i direktiv 95/46/EG. Dessa bestämmelser förbättrar rättssäkerheten och kunde med fördel kompletteras med ytterligare skyddsåtgärder på tre punkter: garantier för fullständigt informerat samtycke av de registrerade personerna vid behandling av känsliga uppgifter, säkerhetsåtgärder som tar hänsyn till de olika tjänster som erbjuds av datoriserade bokningssystemen och skydd av saluföringsinformation (se punkterna 18–21 i detta yttrande).

37.

Vad beträffar förslagets tillämpningsområde ger de kriterier som gör förslaget tillämpligt på datoriserade bokningssystem som är etablerade i tredjeländer upphov till frågan om dess praktiska tillämpning, på ett sätt som är konsekvent med tillämpningen av lex generalis, dvs. direktiv 95/46/EG (se punkterna 9–12).

38.

För att garantera effektivt genomförande av förslaget anser Europeiska datatillsynsmannen att det behövs en tydlig och övergripande överblick över hela problematiken med datoriserade bokningssystem, med hänsyn till komplexiteten hos nätverket med datoriserade bokningssystem och villkoren för tredje parters tillgång till personuppgifter som behandlas i datoriserade bokningssystem.

39.

Även om dessa frågor går utöver de konkreta bestämmelserna i förslaget, anses det dock väsentligt att placera in frågan om datoriserade bokningssystem i dess globala sammanhang och att vara medveten om konsekvenserna av och utmaningarna med att en så stor mängd personuppgifter, av vilka vissa är känsliga, behandlas i ett globalt nätverk som i praktiken är tillgängligt för myndigheterna i tredjestater.

40.

Det är därför av avgörande betydelse att faktisk efterlevnad av bestämmelserna, inte bara när det gäller konkurrensaspekterna i förslaget utan även när det gäller dataskyddsprinciperna, garanteras av myndigheter med behörighet att övervaka efterlevnaden, dvs. kommissionen, såsom föreskrivs i förslaget, och dataskyddsmyndigheterna (se punkterna 22–35).

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/6

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/7

—

på kommissionens webbplats för konkurrens (http://ec.europa.eu/comm/competition/mergers/cases/). Denna webbplats ger olika möjligheter att hitta enskilda beslut i koncentrationsärenden, även uppgifter om företag, ärendenummer, datum och sektorer,

—

i elektronisk form på EUR-Lex webbplats, under dokument nummer 32008M5230. EUR-Lex ger tillgång till gemenskapsrätten via Internet (http://eur-lex.europa.eu).

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/8

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/9

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/12

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/14

—

att underlätta och uppmuntra marknadsföring och spridning av europeiska audiovisuella och filmiska verk vid kommersiella arrangemang, branschmässor och audiovisuella festivaler i Europa och i världen, i den mån sådana evenemang kan spela en viktig roll för marknadsföring av europeiska verk och upprättande av nätverk mellan branschfolk,

—

förbättra den europeiska och internationella publikens tillgång till europeiska audiovisuella verk.

—

programmets europeiska dimension (15 poäng),

—

programmets kulturella och geografiska mångfald (20 poäng),

—

programmets kvalitet och innovativa karaktär (10 poäng),

—

effekt på publiken (30 poäng),

—

effekter för marknadsföringen och spridningen av europeiska audiovisuella verk (15 poäng),

—

deltagande av branschfolk (10 poäng).

—

den 31 oktober 2008 – för projekt som inleds under perioden 1 maj 2009–31 oktober 2009,

—

den 30 april 2009 – för projekt som inleds under perioden 1 november 2009–30 april 2010.

Agence Exécutive Éducation Audiovisuel et Culture (EACEA)

Unité Programme MEDIA — P8

Appel de propositions — EACEA/18/08 — Festivals audiovisuels

M. Constantin DASKALAKIS

BOUR 03/30

Avenue du Bourget 1

B-1140 Bruxelles

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/16

11.9.2008   

SV

Europeiska unionens officiella tidning

C 233/s3