26.7.2011   

SV

Europeiska unionens officiella tidning

C 220/1

1.

Den 24 februari 2011 antog Europeiska kommissionen förslaget till Europaparlamentets och rådets direktiv om ändring av direktiven 89/666/EEG, 2005/56/EG och 2009/101/EG vad avser sammankoppling av centrala register, handelsregister och företagsregister (3) (”förslaget”) och samrådde därefter med Europeiska datatillsynsmannen.

2.

Europeiska datatillsynsmannen är nöjd över att ha blivit tillfrågad i enlighet med artikel 28.2 i förordning (EG) nr 45/2001 och att det i ingressen till förslaget finns en hänvisning till detta yttrande.

3.

Syftet med förslaget är att underlätta och öka samarbetet och informationsutbytet över gränserna mellan bolagsregister i det Europeiska ekonomiska samarbetsområdet och därigenom göra den information som är tillgänglig över gränserna öppnare och mer tillförlitlig. Effektiva samarbetsrutiner kring bolagsregister är avgörande för att öka tilltron till den inre marknaden genom att ge konsumenter, långivare och andra affärspartner ett säkrare näringslivsklimat, samtidigt som den administrativa bördan minskar och rättssäkerheten ökar. Att utöka samarbetsrutinerna kring bolagsregister i Europa är särskilt viktigt vid hanteringen av fusioner, omlokalisering av företagssäten, uppdatering av registrering av utländska filialer i länder där det i dag saknas samarbetsformer eller där dessa är begränsade.

4.

Syftet med förslaget är att ändra tre befintliga direktiv enligt följande:

5.

Det finns bolagsregister i alla medlemsstater. De ligger på antingen nationell, regional eller lokal nivå. År 1968 antogs gemensamma bestämmelser om att införa en lägsta standard för insyn (registrering och offentliggörande) i bolagsinformation (7). Från den 1 januari 2007 måste medlemsstaterna också ha ett elektroniskt bolagsregister (8) och ge tredje part tillgång till innehållet via webben.

6.

Samarbete kring bolagsregister från olika medlemsstater krävs uttryckligen i en del EU-rättsliga instrument för att underlägga gränsöverskridande fusioner av bolag med begränsat ansvar (9) och gränsöverskridande överföring av ett Europabolags (SE) säte (10) samt av europeiska kooperativa föreningars (SCE-föreningar) säte (11).

7.

År 1992 infördes en frivillig samarbetsform för bolagsregister i Europa. Det europeiska företagsregistret – European Business Register (EBR) (12)– samordnar officiella bolagsregister från 19 medlemsländer och sex andra europeiska jurisdiktioner. Mellan 2006 och 2009 ingick EBR i forskningsprojektet Brite (13) med syfte att utveckla en teknisk plattform som skulle fungera för bolagsregister i hela Europa. Den konsekvensbedömning som görs i anslutning till förslaget visar dock att EBR står inför stora utmaningar i fråga om utbyggnad, finansiering och styrning. Enligt konsekvensbedömningen är inte den nuvarande samarbetsformen helt tillfredsställande för potentiella användare.

8.

I motiveringen till förslaget noteras det att Europeiska e-juridikportalen (14) ska bli ett nav för tillgång till juridisk information, för rätts- och förvaltningsinstanser, register, databaser och andra tjänster på EU-nivå. Här bekräftas också att förslaget är ett komplement till den europeiska e-juridikportalen och ska bidra till att tredje part enklare får tillgång till bolagsinformation via portalen.

9.

Enligt konsekvensbedömningen är Informationssystemet för den inre marknaden (15) (IMI) ett annat intilliggande projekt som kan ge synergieffekter. IMI är ett elektroniskt verktyg som tagits fram för att underlätta olika offentlig förvaltningars vardagliga administrativa samarbete med anknytning till tjänstedirektivet (2006/123/EG) och direktivet om erkännande av yrkeskvalifikationer (2005/36/EG). Just nu växer och uppdateras IMI och skulle enligt konsekvensbedömningen också kunna stödja genomförandet av andra direktiv, däribland på bolagsrättens område.

10.

Genom artikel 3 i förslaget ändras direktiv 2009/101/EG på flera sätt. Två av dessa ändringar har tydlig relevans för dataskyddet.

11.

Enligt artikel 2 i direktiv 2009/101/EG som gäller i dag finns det redan krav på att en viss miniminivå av uppgifter ska offentliggöras i bolagsregistren i samtliga medlemstater så att tredje part kan bedöma uppgifter om bolagen. Som framgår av avsnitt 1.2 ovan ska medlemsstaterna också föra elektroniska bolagsregister och ge tredje part tillgång till deras innehåll via webben.

12.

I artikel 2 anges också elva grundläggande bolagsuppgifter som ska offentliggöras för allmänheten, däribland

13.

Viktigt i dataskyddshänseende är att det i artikel 2 också krävs offentlighet kring tillsättande och entledigande av samt personuppgifter (vår understrykning) om dem som i) är behöriga att företräda bolaget och/eller ii) på annat sätt deltar i ledning, tillsyn eller kontroll av bolaget.

14.

Förteckningen över uppgifter som ska offentliggöras i enlighet med artikel 2 ändras inte genom förslaget. Det är inte heller något nytt krav att alla medlemsstater ska göra uppgifterna offentligt tillgängliga på elektronisk väg. Det nya i förslaget är att de uppgifter som tidigare bara har varit tillgängliga i fragment, ofta bara på lokala språk och via lokala webbplatser, nu blir lätt tillgängliga via en gemensam europeisk plattform/åtkomstpunkt och på flera språk.

15.

För att åstadkomma detta införs i förslaget en ny artikel 3a i direktivet: Medlemsstaterna ska se till att varje sökande får tillgång till de handlingar och uppgifter som avses i artikel 2 och som har getts in till deras register, i elektronisk form genom en enda europeisk plattform som är tillgänglig från varje medlemsstat. Övriga detaljer ska enligt förslaget fastställas i delegerade akter.

16.

Genom förslaget införs också en ny artikel 4a i direktiv 2009/101/EG om att medlemsstaterna ska vidta nödvändiga åtgärder för att säkerställa att [bolagsregistren] är driftskompatibla och bildar ett elektroniskt nätverk. Även här ska övriga detaljer fastställas i delegerade akter.

17.

För att hantera eventuella dataskyddsproblem införs genom förslaget i alla tre direktiven en särskild artikel om dataskydd: Den behandling av personuppgifter som utförs inom ramen för detta direktiv ska omfattas av Europaparlamentets och rådets direktiv 95/46/EG.

18.

Europeiska datatillsynsmannen håller med kommissionen om att i) användningen av informations- och kommunikationsteknik kan bidra till ett effektivare samarbete kring bolagsregister och ii) att ökad tillgång till uppgifter ur bolagsregister kan ge ökad öppenhet. Europeiska datatillsynsmannen stöder därför syftet med förslaget. Kommentarerna ska därför ses som konstruktiva.

19.

Samtidigt betonar Europeiska datatillsynsmannen att ökad tillgång till personuppgifter också medför ökad risk för samma personuppgifter. Om det till exempel blir lättare att göra en korrekt identifiering av en bolagsföreträdare när hans bostadsadress offentliggörs kan samma öppenhet också få negativa konsekvenser för samma persons rätt till skydd av sina personuppgifter. Detta gäller särskilt personuppgifter som blir tillgängliga i stor skala, i digitalt format på internet och på flera språk via en lättillgänglig europeisk plattform/åtkomstpunkt.

20.

För inte alltför länge sedan offentliggjordes personuppgifter ur bolagsregister (till exempel en direktörs namn, adress och namnteckning) för allmänheten på papper, på ett lokalt språk och ofta vid personligt besök av den sökande vid ett av bolagsregistrets lokalkontor. Det är viktigt att förstå att dessa förhållanden skiljer sig kvalitativt från ett digitalt offentliggörande av uppgifter via en nationstäckande elektronisk åtkomstpunkt. Offentliggörande av personuppgifter via en lättillgänglig Europatäckande plattform/åtkomstpunkt driver saken ytterligare ett steg i samma riktning och ökar tillgången till information ytterligare, liksom hoten mot personuppgifternas skydd och mot berörda individer.

21.

Ett hot mot den personliga integriteten är (på grund av att uppgifterna är lätt tillgängliga i digitalt format via en gemensam elektronisk åtkomstpunkt) identitetsstöld och annan kriminell verksamhet. Ett annat är att de offentliggjorda uppgifterna olagligen kan samlas in och efter profilering av de berörda personerna användas av företag i kommersiella syften som inte ursprungligen avsågs. Utan adekvat skydd kan också uppgifterna säljas till andra eller samköras med andra uppgifter och säljas tillbaka till stater och regeringar för att användas i helt andra och okända syften (till exempel skattejuridiska frågor eller andra brotts- eller förvaltningsrelaterade utredningar) utan korrekt rättslig grund (16).

22.

Av dessa skäl måste man noggrant bedöma vilka personuppgifter som ska bli tillgängliga via den gemensamma europeiska plattformen/åtkomstpunkten och vilka extra dataskyddsåtgärder – inklusive tekniska åtgärder för att begränsa sökningar eller nedladdning och utvinning av data – som bör införas.

23.

Som vi påpekade i avsnitt 2.1 och 2.2 är de föreslagna artiklarna 3a och 4a till direktiv 2009/101/EG mycket generella och överlämnar många viktiga frågor till delegerade akter.

24.

Europeiska datatillsynsmannen inser att det finns ett behov av flexibilitet och därmed även ett behov av delegerade akter. Men han vill samtidigt betona att de dataskyddsåtgärder som behövs är mycket viktiga och bör tydligt och specifikt anges direkt i det föreslagna direktivet. De kan i detta hänseende inte ses som ”icke väsentliga delar” som kan behandlas i efterföljande delegerade akter som antas enligt artikel 290 i föredraget om Europeiska unionens funktionssätt.

25.

Europeiska datatillsynsmannen rekommenderar därför att bestämmelserna om dataskydd i förslaget ska göras mer specifika och vara mer utförliga än att enbart innehålla en hänvisning till direktiv 95/46/EG (se avsnitt 3.4–3.13). Ytterligare bestämmelser om genomförandet av specifika skyddsåtgärder kan sedan behandlas i delegerade akter efter samråd med Europeiska datatillsynsmannen och, i tillämpliga fall, med nationella dataskyddsmyndigheter (se avsnitt 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 och 3.13).

26.

I förslaget utelämnas inte bara frågan om viktiga dataskyddsåtgärder. Förslaget är också mycket vagt i andra hänseenden. Framför allt hänvisas det till delegerade akter när det gäller att fastställa väsentliga delar, till exempel hur den föreslagna i) sammankopplingen av bolagsregister och ii) offentliggörandet av uppgifter ska uppnås.

27.

Tydlighet kring dessa övriga väsentliga delar i förslaget är en nödvändig förutsättning för att kunna anta adekvata dataskyddsåtgärder. Datatillsynsmannen rekommenderar därför att dessa väsentliga delar anges i förslaget till direktiv (se avsnitt 3.4 och 3.5).

28.

I dagsläget hänvisas det i förslaget till delegerade akter när det gäller fastställandet av bestämmelser kring styrning, ledning, drift och rätt att driva det elektroniska nätverket (17).

29.

I konsekvensbedömningen och motiveringen definieras vissa synergier med IMI och Europeisk e-juridikportal men i själva förslaget till direktiv lämnas dörren öppen för olika alternativ i fråga om huruvida några synergier alls – eller alla möjliga synergier – ska uppnås, däribland omstrukturering av EBR, användningen av IMI för viss dataöverföring och/eller användningen av Europeisk e-juridikportal som plattform/åtkomstpunkt för att lämna uppgifter ur bolagsregister till allmänheten.

30.

Andra alternativ utesluts inte heller, som att lägga ut rätten att utforma och driva det elektroniska nätverket på anbud eller att kommissionen tar ett direkt ansvar för att utforma och driva systemet. Företrädare för medlemsstaterna kan också engageras i ledningsstrukturen för det elektroniska nätverket.

31.

I sin nuvarande form anges visserligen en gemensam europeisk elektronisk plattform (vår understrykning) i förslaget, men det är inte uteslutet att texten ändras ytterligare i lagstiftningsförfarandet för att gälla en mer decentraliserad struktur.

32.

Dataillsynsmannen observerar också att det nuvarande förslaget visserligen inte specifikt tar upp frågan om samkörning av bolagsregister med andra databaser (till exempel med fastighets- och folkbokföringsregister) men detta är definitivt tekniskt möjligt och något som redan görs i vissa medlemsstater (18).

33.

Valet av något av alternativen kan leda till helt olika strukturer för styrningen av det elektroniska nätverket och det elektroniska verktyg som ska användas för att offentliggöra uppgifter. Detta leder i sin tur till olika roller och ansvarsområden för berörda parter, vilket i sin tur också leder till andra roller och ansvarsområden ur ett dataskyddsperspektiv.

34.

Europeiska datatillsynsmannen betonar i det hänseendet att varje gång personuppgifter bearbetas är det av största vikt att korrekt definiera vem som är ”ansvarig”. Detta betonade också artikel 29-arbetsgruppen för skydd av personuppgifter i sitt yttrande 1/2010 om begreppen ”registeransvarig” och ”registerförare” (19). Det främsta skälet till varför det är så viktigt att klart och entydigt definiera vem som är ansvarig är att detta avgör vem som ansvarar för att dataskyddsbestämmelserna följs. Det har också betydelse för att avgöra vilken lagstiftning som är tillämplig (20).

35.

Artikel 29-arbetsgruppen konstaterar följande i sitt yttrande: Om det inte är tillräckligt tydligt vad som krävs av vem – om t.ex. ingen är ansvarig eller det finns en mängd möjliga registeransvariga – finns det en uppenbar risk för att alldeles för lite – eller inget alls – händer och att de rättsliga bestämmelserna förblir ineffektiva.

36.

Europeiska datatillsynsmannen betonar att tydlighet framför allt krävs i situationer med flera aktörer involverade och i samarbeten. Detta är ofta fallet med EU:s informationssystem som används för offentliga syften och där syftet med bearbetningen anges i EU-lagstiftningen.

37.

Därför rekommenderar Europeiska datatillsynsmannen att man i själva direktivet specifikt, tydligt och entydigt fastställer

38.

Ur ett dataskyddsperspektiv bör även dessa klargöranden vara specifika och entydiga så att man på grundval av förslaget till direktiv kan avgöra huruvida en viss aktör ska betraktas som ”registeransvarig” eller ”registerförare”.

39.

Enligt vad som kan utläsas av det nuvarande förslaget i dess helhet bör det i princip uttryckligen bidra till att bolagsregistrens innehavare respektive systemens operatör/er betraktas som registeransvariga vad gäller sin egen verksamhet. Mot bakgrund av detta och med tanke på att det i förslaget i nuläget inte finns någon beskrivning av ledningsstrukturen eller någon definition av vem som ska driva det elektroniska systemet kan man inte uteslut att den eller de enheter som till sist ska driva systemet rent praktiskt kommer att fungera som registerförare snarare än registeransvariga. Detta kan mycket väl bli fallet om verksamheten läggs ut på entreprenad på en tredje part som agerar strikt utifrån givna anvisningar. Det förefaller i vilket fall som om det kvarstår flera olika registeransvariga, minst en i varje medlemsstat, det vill säga de enheter som håller i bolagsregistren. Att det också kan finnas andra (privata) enheter som är engagerade som operatörer, ”distributörer” eller liknande förändrar inte saken. Detta bör i vilket fall specificeras i det föreslagna direktivet för att skapa tydlighet och värna om rättssäkerheten.

40.

Sist men inte minst bör man i förslaget också mer specifikt och kortfattat beskriva vilka ansvarsområden som följer med dessa roller. Operatörens roll för att se till att systemet utformas på ett sätt som värnar om den personliga integriteten samt vederbörandes samordnande funktion och hänsyn till dataskyddsfrågor bör till exempel tas med i förslaget.

41.

Europeiska datatillsynsmannen konstaterar att alla dessa förtydliganden också är viktiga för att avgöra vilka datatillsynsmyndigheter som är behöriga och för vilken behandling av personuppgifter.

42.

I den nuvarande utformningen verkar det inte som om det elektroniska nätverket ska bidra till att alla uppgifter i respektive bolagsregister blir automatiskt tillgängliga för samtliga övriga bolagsregister i medlemsstaterna. Förslaget anger bara att bolagsregistren ska vara sammankopplade och driftskompatibla och förlägger därmed villkoren för informationsutbyten och tillgång till framtiden. För att garantera rättssäkerheten bör det av förslaget framgå huruvida denna tolkning är korrekt.

43.

I förslaget anges inte heller vilka dataflöden/administrativa samarbetsförfaranden som kan ske via de sammankopplade bolagsregistren (21). Europeiska datatillsynsmannen har förståelse för att det krävs viss flexibilitet så att eventuella framtida behov kan tillgodoses. Men Europeiska datatillsynsmannen anser ändå att det är av största vikt att man i förslaget anger ramen för vilka dataflöden och administrativa samarbetsformer som kan skapas i framtiden för att utnyttja det elektroniska nätverket. Detta är av särskild betydelse för att garantera att i) allt utbyte av uppgifter görs på tydliga rättsliga grunder och att ii) adekvata dataskyddsåtgärder införs.

44.

Enligt Europeiska datatillsynsmannen bör allt datautbyte eller annan databehandling som görs med hjälp av det elektroniska nätverket (till exempel offentliggörande av personuppgifter via den gemensamma plattformen/åtkomstpunkten) bygga på en bindande EU-rättsakt som antagits på rättsliga grunder. Detta bör tydligt framgå av förslaget till direktiv (22).

45.

Enligt förslaget ska också följande frågor fastställas i delegerade akter (23):

46.

Vad gäller första och andra strecksatsen anser Europeiska datatillsynsmannen att vissa viktiga säkerhetsåtgärder bör anges i förslaget till direktiv (se avsnitt 3.12 och 3.13). Ytterligare detaljer kan därefter fastställas i de delegerade akterna.

47.

När det gäller automatiska datautbyten är Europeiska datatillsynsmannen glad över att det i förslaget heter att de delegerade akterna ska innehålla definition av standarder för format, innehåll och begränsningar för lagring och hämtning av handlingar och uppgifter som möjliggör automatiskt datautbyte.

48.

För att skapa mer klarhet på denna punkt rekommenderar Europeiska datatillsynsmannen att det i förslaget till direktiv tydligt specificeras att det elektroniska nätverket ska underlätta i) specifika manuella enstaka datautbyten mellan bolagsregister (i enlighet med en EU-rättsakt, till exempel vid fusioner eller omlokalisering av företagssäten) och ii) automatiskt datautbyte (i enlighet med en EU-rättsakt, till exempel vid uppdatering av information i register för utländska filialer).

49.

För att skapa ytterligare klarhet rekommenderar Europeiska datatillsynsmannen också att den föreslagna formuleringen av artikel 4 a (3 i) i direktiv 2009/101/EG ändras så att i) delegerade akter blir heltäckande för både manuellt och automatiskt datautbyte ii) all behandling som kan gälla personuppgifter (inte bara lagring och hämtning) omfattas, iii) särskilda dataskyddsbestämmelser i delegerade akter också täcker den praktiska tillämpningen av aktuella dataskyddsåtgärder.

50.

Artikel 4 a (3 i) kan till exempel ändras enligt följande:

51.

Europeiska datatillsynsmannen betonar preliminärt att namn (och eventuellt andra detaljer som bostadsadress) på bolagens företrädare (och andra personer som medverkar i bolagets styrning) utan tvekan utgör den mest uppenbara personuppgift som kan behandlas i det elektroniska nätverket och/eller offentliggöras via den gemensamma elektroniska plattform/åtkomstpunkten. Det är dock långt ifrån den enda uppgift som finns i bolagsregistren.

52.

Först och främst kan vissa av de handlingar som finns förtecknade i artikel 2 i direktiv 2009/101/EG (till exempel stiftelseurkund, bolagsordning och redovisningar) också innehålla personuppgifter som rör andra individer. Dessa uppgifter kan vara namn, adress, eventuella personnummer och födelsedata liksom inskannade namnteckningar från en rad olika personer, däribland dem som grundade företaget, aktieägare, advokater, revisorer, anställda eller notarius publicus.

53.

För det andra kan företagsuppgifter som sammankopplas till en persons namn (till exempel en direktör) också betraktas som denna individs personuppgifter. Om uppgifterna från bolagsregistret till exempel visar att en viss individ ingår i styrelsen för ett företag som omfattas av ett konkursförfarande är denna information också relevant för denna individ.

54.

För att skapa klarhet kring vilka personuppgifter som behandlas och för att bredden av uppgifter som behandlas ska stå i proportion till syftet med förslaget rekommenderar Europeiska datatillsynsmannen de förtydliganden som redovisas längre fram i detta avsnitt.

55.

I artikel 2 i direktiv 2009/101/EG finns ingen definition av vilka uppgifter om berörda personer (personer som företräder bolaget och andra som deltar i bolagets styrning) som måste offentliggöras.

56.

De olika språkversionerna av förslaget visar faktiskt märkbara skillnader vad gäller översättningen av begreppet personuppgifter (particulars of persons). På franska heter det till exempel l’identité des personnes (dvs. personens identitet), på italienska le generalità delle persone (dvs. personliga detaljer såsom för- och efternamn), på ungerska személyek adatai (dvs. uppgifter om personen), på nederländska de identiteit van de personen (dvs. personens identitet) och på rumänska identitatea persoanelor (dvs. personens identitet).

57.

I vissa medlemsstater är företagschefers och/eller andra personers, till exempel särskilda aktieägares, bostadsadresser offentliga på internet. I andra medlemsstater är sådana uppgifter av sekretessbelagda i det bolagsregister där de lagts in, bland annat av rädsla för identitetsstöld.

58.

Europeiska datatillsynsmannen rekommenderar att artikel 2 i direktiv 2009/101/EG ändras så att det klargörs vilka – om några – personuppgifter utöver de berörda personernas (företrädare för bolaget och andra personer som medverkar i bolagets styrning) namn som måste offentliggöras. Därigenom bör behovet av insyn och korrekt identifiering av dessa personer beaktas noggrant och samtidigt vägas mot andra konkurrerande hänsyn, till exempel behovet av att skydda de berördas personliga integritet (24).

59.

Om ingen överenskommelse kan nås på grund av varierande nationell praxis bör man åtminstone ändra artikel 2 så att det krävs att det fullständiga namnet på berörda personer och, om så uttryckligen krävs i nationell lagstiftning, ytterligare uppgifter som krävs för deras identifiering ska offentliggörs. Det blir därmed tydligt att varje enskild medlemsstat i sin nationella lagstiftning kan avgöra vilka, om några, uppgifter utöver namn som ska offentliggöras och att ytterligare personuppgifter endast måste offentliggöras om det behövs för att identifiera den berörda personen.

60.

Med tanke på att det i artikel 2 talas om minst följande handlingar och uppgifter snarare än en fullständig harmonisering av innehållet i bolagsregister i Europa kan ett alternativ vara att helt enkelt ersätta begreppet personuppgifter med personers fullständiga namn. Det blir därmed varje enskild medlemsstat som kan avgöra vilka, om några, ytterligare uppgifter de vill offentliggöra.

61.

I artikel 2 i direktiv 2009/101/EG heter det också att uppgifter ska offentligöras om personer som deltar i bolagets ledning, tillsyn eller kontroll. Det är med hjälp av denna breda formulering inte helt tydligt huruvida uppgifter om aktieägare måste offentliggöras, framför allt uppgifter om aktieägare som har i) ett betydande, inflytelserikt eller kontrollerande innehav utöver ett visst tröskelvärde eller ii) genom bonusar, särskilda avtal eller på annat sätt utövar reell kontroll/inflytande över bolaget.

62.

Europeiska datatillsynsmannen förstår att det krävs en bred formulering för att täcka in den stora variationen av bolagsstyrningar som i dag finns för aktiebolag i de olika medlemsstaterna. Men rättssäkerheten i fråga om vilka kategorier av personer som kan omfattas av ett offentliggörande är viktig ur ett dataskyddsperspektiv. Därför rekommenderar Europeiska datatillsynsmannen att artikel 2 i direktiv 2009/101/EG ändras för att klargöra vilka, om några, personuppgifter kring aktieägare som måste offentliggöras. I samband med detta måste också en proportionalitetsanalys i enlighet med målet Schecke (enligt not ovan) också göras.

63.

Även om det enligt förslaget inte krävs något utbyte eller offentliggörande av personuppgifter utöver de minimikrav som anges i artikel 2 i direktiv 2009/101/EG har ändå medlemsstaterna möjlighet att om de vill kräva att deras bolagsregister behandlar eller lämnar ut ytterligare personuppgifter och gör dem tillgängliga även via den gemensamma europeiska plattformen/åtkomstpunkten och/eller utbyter sådana uppgifter med bolagsregister i andra medlemsstater.

64.

Detta är en särskilt känslig fråga när det gäller ”svarta listor”. I vissa länder fungerar det elektroniska registret i realiteten också som ett slags ”svarta listor” och kan genomsökas av valfri tredje part via en elektronisk portal som vill ha information om bolagsföreträdare som har avstängts från sin verksamhet.

65.

För att hantera detta problem rekommenderar Europeiska datatillsynsmannen att man i förslaget klargör huruvida och i vilken utsträckning medlemsstaterna efterhand får offentliggöra mer information via den gemensamma portalen och/eller efterhand om de så önskar får utbyta mer information med varandra med utgångspunkt från respektive nationell lagstiftning. I detta fall bör en strikt proportionalitetsbedömning (se Schecke, ovan) bygga på nationell lagstiftning och också beakta målet för den inre marknaden.

66.

Europeiska datatillsynsmannen föreslår dessutom att utnyttjandet av dessa befogenheter knyts till en funktion som ska fyllas av nationella dataskyddsmyndigheter, till exempel via samråd.

67.

Slutligen betonar Europeiska datatillsynsmannen att om ett europeiskt system skulle tas fram för att uttryckligen åstadkomma sådana ”svarta listor” bör det också ha angivits uttryckligen i förslaget till direktiv (25).

68.

Europeiska datatillsynsmannen rekommenderar att förslaget till direktiv särskilt anger att varje gång personuppgifter offentliggörs eller på annat sätt sprids bland bolagsregister bör det finnas lämpliga skyddsåtgärder, framför allt mot datainsamling, datautvinning, samkörning och extrema sökningar för att grantera att personuppgifter som offentliggjorts för att främja öppenhet inte missbrukas för andra syften än just detta (26).

69.

Europeiska datatillsynsmannen betonar särskilt behovet av att beakta tekniska och organisatoriska åtgärder som följer principen om integritetsfrämjande teknik (se avsnitt 3.14). Det praktiska införandet av dessa skyddsåtgärder kan hänskjutas till delegerade akter. Principerna bör dock anges i förslaget till direktiv.

70.

Europeiska datatillsynsmannen rekommenderar att det i förslaget till direktiv finns en särskild bestämmelse om att information enligt artiklarna 10 och 11 i direktiv 95/46/EG (och i tillämpliga fall motsvarande bestämmelser i förordning (EG) nr 45/2001) effektivt och i sin helhet bör lämnas ut till de registrerade personerna. Dessutom, och beroende på den ledningsstruktur som överenskommits och de olika berörda parternas roller och ansvarsområden, kan man i förslaget till direktiv uttryckligen kräva att ett systems operatör på sin webbplats i förebyggande syfte lämnar meddelanden och annan information till personer som registrerats, även om det är på bolagsregistrets ”vägnar”. Närmare detaljer kan om så behövs formuleras i delegerade akter eller fastställas i en dataskyddspolicy.

71.

I förslaget ska det åtminstone finnas en hänvisning till kravet att ta fram bestämmelser (i delegerade akter) om system som gör att registrerade personer kan utnyttja sina rättigheter Det bör också finnas en hänvisning till möjligheten att bygga upp dataskyddsmoduler och utforma lösningar där registren utformas med integritetsfrämjande teknik samt där myndigheterna samarbetar kring den registrerades rätt att ta del av uppgifter, liksom i tillämpliga fall mer ”egenmakt” för de registrerade.

72.

Eftersom det finns en möjlighet att kommissionen eller någon annan EU-institution/organ också kan behandla personuppgifter i det elektroniska nätverket (till exempel genom att fungera som operatör eller genom att hämta personuppgifter från det), bör en hänvisning också göras till förordning (EG) nr 45/2001.

73.

Det bör också framgå att direktiv 95/46/EG gäller både bolagsregister och andra parter som agerar enligt nationell lagstiftning i medlemsstaterna, medan förordning (EG) nr 45/2001 gäller kommissionen och övriga EU-institutioner och EU-organ.

74.

När innehavaren av ett bolagsregister ska överföra personuppgifter till innehavaren av ett bolagsregister i tredjeland som inte har fullgott skydd av personuppgifter betonar Europeiska datatillsynsmannen först och främst att det är viktigt att urskilja två situationer, nämligen

75.

I det första fallet kan undantag beviljas enligt artikel 26.1 f i direktiv 95/46/EG när överföringen görs från ett offentligt register och på vissa villkor. Om till exempel innehavaren av ett bolagsregister i ett europeiskt land vill överföra en given uppsättning personuppgifter (till exempel i samband med registreringen av utländska filialer) till innehavaren av ett bolagsregister i ett tredjeland och samma uppgifter redan är offentliggjorda skulle överföringen i vilket fall vara möjlig att göra även om det aktuella tredjelandet inte har tillräckligt hög skyddsnivå.

76.

I det andra fallet rekommenderar Europeiska datatillsynsmannen att man i förslaget klargör att uppgifter som inte är offentliggjorda bara kan överföras till enheter eller personer i ett tredjeland utan tillräcklig skyddsnivå om den registeransvariga kräver adekvat skyddsnivå för att värna om den registrerades personliga integritet och grundläggande rättigheter och friheter samt vederbörandes möjlighet att utöva dessa rättigheter. Sådana skyddsåtgärder kan framför allt stipuleras i lämpliga avtalsklausuler i enlighet med artikel 26.2 i direktiv 95/46/EG (27). Om sådan dataöverföring till tredjeländer systematiskt innebär att uppgifter delas mellan bolagsregister i två eller flera EU-länder eller om det på annat sätt krävs en insats på EU-nivå kan även här en förhandling om särskilda avtalsklausuler föras på EU-nivå (artikel 26.4).

77.

Europeiska datatillsynsmannen betonar att andra undantag, till exempel där överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk (artikel 26 d), inte får utnyttjas för att motivera systematisk överföring av personuppgifter till tredjeländer med hjälp av det elektroniska nätverket.

78.

Europeiska datatillsynsmannen rekommenderar att man i förslaget uttryckligen hänvisar till och strävar efter att genomföra principen om ansvarsskyldighet (28) och fastställer en tydlig ram för lämpliga interna mekanismer och kontrollsystem så att skyddsnivåer följs och även kan bevisas, till exempel genom att

79.

Det bör finnas en särskild hänvisning till integritetsfrämjande teknik (29) i förslaget och åtagandet bör också konkretiseras i åtgärder. Förslaget bör framför allt fastställa att det elektroniska nätverket ska ha en säker och trygg konstruktion så att flera skyddsmekanismer är automatiskt inbyggda. Följande är några exempel på skyddsåtgärder genom integritetsfrämjande teknik:

80.

Europeiska datatillsynsmannen stöder förslagets syfte. Kommentarerna ska därför ses som konstruktiva.

81.

Europeiska datatillsynsmannen betonar att ett nödvändigt uppgiftsskydd tydligt och uttryckligen ska anges direkt i direktivet eftersom de är väsentliga delar. Kompletterande bestämmelser om genomförandet av särskilda skyddsåtgärder kan därefter fastställas i delegerade akter.

82.

Frågorna om styrning, roller, behörighets- och ansvarsområden måste behandlas i förslaget till direktiv. Därför bör det av direktivet framgå

83.

All databehandling som görs med hjälp av det elektroniska nätverket bör bygga på bindande rättsliga instrument, till exempel en viss EU-rättsakt som antagits på rättsliga grunder. Detta bör tydligt anges i förslaget till direktiv.

84.

Bestämmelserna om tillämplig lagstiftning bör förtydligas och innehålla en hänvisning till förordning (EG) nr 45/2001.

85.

När det gäller överföring av personuppgifter till tredjeländer bör det av förslaget framgå att principiellt, och med undantag för fall som omfattas av artikel 26.1 f i direktiv 95/46/EG , kan överföringar bara göras till enheter eller personer i tredjeland utan adekvat skydd om registeransvarig kräver adekvat skydd för att värna om individens integritet och grundläggande rättigheter och friheter samt vederbörandes möjlighet att utöva dessa rättigheter. Sådana skyddsåtgärder kan med fördel anges i avtalsklausuler i enlighet med artikel 26 i direktiv 95/46/EG.

86.

Kommissionen bör dessutom noggrant bedöma vilka tekniska och organisatoriska åtgärder den ska vidta för att se till att integritets- och uppgiftsskydd ”byggs in” i det elektroniska nätverkets konstruktion (”integritetsfrämjande teknik”) och att det finns adekvata kontroller för att garantera att uppgiftsskyddet följs och kan bevisas (”ansvarsskyldighet”).

87.

Europeiska datatillsynsmannens övriga rekommendationer gäller följande:

26.7.2011   

SV

Europeiska unionens officiella tidning

C 220/12

26.7.2011   

SV

Europeiska unionens officiella tidning

C 220/16

26.7.2011   

SV

Europeiska unionens officiella tidning

C 220/17