1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/1

1.

Kommissionen har översänt utkastet till förslag till rådets rambeslut om användande av passageraruppgifter (PNR-uppgifter) i brottsbekämpningssyfte (nedan kallat ”förslaget”) till datatillsynsmannen för samråd i enlighet med artikel 28.2 i förordning (EG) nr 45/2001.

2.

Förslaget berör behandling av PNR-uppgifter inom EU och är nära knutet till andra system för insamling och användning av passageraruppgifter, särskilt avtalet mellan EU och Förenta staterna från juli 2007. Dessa system är av stort intresse för Europeiska datatillsynsmannen som redan har haft möjlighet att lämna några inledande kommentarer när det gäller kommissionens frågeformulär om EU:s planerade system för PNR som i december 2006 översändes till de berörda parterna (3) Datatillsynsmannen välkomnar samrådet med kommissionen. Enligt datatillsynsmannen bör detta yttrande nämnas i ingressen till rådets beslut.

3.

Förslaget syftar till att harmonisera medlemsstaternas bestämmelser om skyldigheter för lufttrafikföretag som upprätthåller flygförbindelser till eller från åtminstone en medlemsstats territorium i fråga om överföring av PNR-uppgifter till behöriga myndigheter i syfte att förebygga och bekämpa terrorism och organiserad brottslighet.

4.

Avtal om överföring av PNR-uppgifter för motsvarande ändamål har ingåtts av EU och Förenta staterna samt med Kanada. Ett första avtal som ingicks med Förenta staterna i maj 2004 ersattes av ett nytt avtal i juli 2007 (4). Ett liknande avtal ingicks med Kanada i juli 2005 (5). Dessutom ska förhandlingar inledas mellan EU och Australien om ett avtal om utbyte av PNR-uppgifter och även Sydkorea kräver PNR-uppgifter när det i detta skede gäller flygningar till landets territorium utan att det finns någon förhandlingsplan på europeisk nivå.

5.

Inom EU innebär förslaget ett tillägg till rådets direktiv 2004/82/EG (6) om skyldighet för transportörer att lämna de uppgifter om passagerare som kallas API-uppgifter (Advanced Passenger Information) för att bekämpa den olagliga invandringen och förbättra gränskontrollerna. Detta direktiv bör ha införlivats i medlemsstaternas nationella lagstiftning senast den 5 september 2006. Detta införlivande är dock inte genomfört i alla medlemsstater.

6.

I motsats till API-uppgifter, som förmodas kunna bidra till att identifiera personer, skulle PNR-uppgifterna enligt förslaget bidra till att genomföra riskanalyser av personer, erhålla underrättelser och göra kopplingar mellan kända och okända personer.

7.

Förslaget omfattar följande huvudpunkter:

8.

Det förslag som Europeiska datatillsynsmannen ska yttra sig om utgör ytterligare ett steg i riktning mot en rutinmässig insamling av uppgifter om personer som i princip inte misstänks för något brott. Som ovan nämnts äger denna utveckling rum globalt och på europeisk nivå.

9.

Europeiska datatillsynsmannen noterar även att arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter och arbetsgruppen för polis och rättsväsende har lagt fram ett gemensamt yttrande om förslaget (8). Europeiska datatillsynsmannen ger sitt stöd till detta yttrande. I föreliggande yttrande framhölls och vidareutvecklas några punkter.

10.

I Europeiska datatillsynsmannens yttrande kommer samtliga relevanta aspekter av förslaget att analyseras men tyngdpunkten kommer att ligga på fyra huvudfrågor:

11.

Man kommer i den sista delen att peka på ytterligare konkreta punkter, bland annat på åtgärder till förmån för skydd av personuppgifter men även på ytterligare källor till oro i förslaget.

12.

För att kunna analysera de föreslagna åtgärdernas lagenlighet i enlighet med de grundläggande principerna för skydd av personuppgifter och särskilt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna och artiklarna 5–8 i Europarådets konvention nr 108 (9), är det nödvändigt att klart fastställa syftet med den planerade behandlingen av personuppgifter, att bedöma dess nödvändighet och proportionalitet. Det bör garanteras att inga andra sätt som är mindre kränkande står till buds för att nå det önskade målet.

13.

Förslagets lydelse och konsekvensbedömning visar att målet inte endast är att identifiera kända terrorister eller brottslingar som är inblandade i organiserad brottslighet genom att jämföra deras namn med namnen i förteckningar som förs av de brottsbekämpande myndigheterna. Syftet är att samla underrättelser när det gäller terrorism eller organiserad brottslighet och mera bestämt att genomföra riskanalyser av personer, erhålla underrättelser och göra kopplingar mellan kända och okända personer (10). Det mål som anges i artikel 3.5 i förslaget går i samma riktning och innebär först och främst att ”identifiera personer som är eller kan vara inblandade i ett terroristbrott eller organiserad brottslighet, samt deras medhjälpare”.

14.

Detta är det skäl som åberopats för att förklara att det inte räcker med API-uppgifter för att nå det angivna målet. Som tidigare nämnts förmodas API-uppgifterna bidra till identifiering av personer medan PNR-uppgifterna inte har något som helst identifieringssyfte. Detaljerna i PNR ska bidra till att genomföra riskanalyser av personer, erhålla underrättelser och göra kopplingar mellan kända och okända personer.

15.

Syftet med de planerade åtgärderna inbegriper inte bara gripande av kända personer, utan även spårande av personer som kan omfattas av kriterierna i förslaget.

För identifiering av dessa personer är riskanalys och kartläggande av beteendemönster centrala moment i projektet. I skäl 9 i förslaget anges det uttryckligen att uppgifterna måste lagras ”under tillräckligt lång tid för att kunna användas för att ta fram riskindikatorer och fastställa rese- och beteendemönster”.

16.

Målet beskrivs därför i två skikt: Det första skiktet består av det övergripande målet att bekämpa terrorism och organiserad brottslighet, medan det andra skiktet omfattar de mål och metoder som krävs för att uppnå detta mål. Målet att bekämpa terrorism och organiserad brottslighet förefaller tydligt, klart och legitimt, medan däremot metoderna för att uppnå detta mål lämnar plats för diskussion.

17.

Förslaget innehåller ingen anvisning för hur nämnda mönster ska fastställas och för hur riskbedömningen ska genomföras. I riskbedömningen anges följande om hur PNR-uppgifter kommer att användas: Köra passageraruppgifter ”mot en kombination av kännetecken och beteendemönster för att genomföra riskbedömningar. En passagerare som passar in i en viss riskbedömning kan då identifieras som högriskpassagerare” (11).

18.

Misstänkta personer kan väljas ut till följd av konkreta misstankar som ingår i deras PNR-uppgifter (t.ex. kontakter med en tvivelaktig resebyrå, notering om ett stulet kreditkort), liksom på grundval av ”mönster” eller en abstrakt profil. Olika standardprofiler kan självfallet skapas på grundval av resemönster, för ”normala passagerare” och ”misstänkta passagerare.” Dessa profiler skulle göra det möjligt att ytterligare undersöka dessa passagerare som inte omfattas av den ”normala passagerarkategorin”, särskilt om deras profil är förknippad med andra misstänkta inslag, t.ex. ett stulet kreditkort.

19.

Även om man inte kan utgå ifrån att passagerare ringas in efter sin religion eller andra känsliga uppgifter verkar det ändå som om de är föremål för undersökning på grundval av en blandning av konkret och abstrakt information, där standardmönster och abstrakta profiler ingår.

20.

Man kan diskutera huruvida en sådan undersökning uppfyller kraven på profilanalys. Profilanalys är en ”datoriserad metod där uppgifter som hämtas i ett datalager utnyttjas för att eller i avsikt att med en viss sannolikhet – och därigenom med en viss felmarginal – kunna klassificera en person i en särskild kategori i syfte att fatta personligt riktade beslut mot den personen” (12).

21.

Europeiska datatillsynsmannen är medveten om att diskussioner pågår om definitionen av profilanalys. Oavsett om det finns ett officiellt erkänt syfte är det syftet att utföra en profilanalys av passagerare och inte definitionerna som utgör den springande punkten. Huvudfrågan gäller följderna för enskilda personer.

22.

Det främsta bekymret för Europeiska datatillsynsmannen rör det faktum att beslut om enskilda personer kommer att fattas på grundval av de mönster och de kriterier som har fastställts med hjälp av passageraruppgifter i allmänhet. Beslut om en enskild person kan därför eventuellt fattas genom att man (åtminstone delvis) hänvisar till mönster som erhållits i uppgifter om andra enskilda personer. Besluten kommer alltså att fattas i ett abstrakt sammanhang, vilket i hög grad kan påverka den registrerade personen. Det är oerhört svårt för enskilda personer att försvara sig mot sådana beslut.

23.

Dessutom kommer riskbedömningen att utföras utan någon enhetlig norm för identifiering av misstänkta. Europeiska datatillsynsmannen ifrågasätter allvarligt rättssäkerheten i hela filtreringsprocessen med tanke på att de kriterier mot vilka varje passagerare kommer att granskas är så dåligt definierade.

24.

Europeiska datatillsynsmannen erinrar om rättspraxis vid Europeiska domstolen för de mänskliga rättigheterna, enligt vilken nationell lagstiftning måste vara så exakt att den visar medborgarna under vilka omständigheter och på vilka villkor offentliga myndigheter har rätt att registrera uppgifter om deras privatliv och att använda dessa. Dessa uppgifter ”bör vara tillgängliga för de berörda personerna och vara förutsebara när det gäller deras konsekvenser”. En bestämmelse är förutsebar ”om den är så tydligt formulerad att det är möjligt för varje enskild person att – vid behov med lämpliga råd – ändra sitt beteende” (13).

25.

Sammanfattningsvis är det framför allt på grund av detta slag av risker som förslaget måste övervägas noga. Det allmänna målet att bekämpa terrorism och organiserad brottslighet är i sig självt tydligt och legitimt, men kärnan i den hantering som ska införas förefaller inte tillräckligt avgränsad och motiverad. Europeiska datatillsynsmannen uppmanar därför lagstiftaren att på ett klart markerat sätt behandla denna fråga innan rambeslutet antas.

26.

Ovanstående visar tydligt att åtgärderna inkräktar på privatlivet. Å andra sidan finns det långt ifrån något belägg för nyttan av dessa åtgärder.

27.

I förslagets konsekvensbedömning inriktar man sig på det bästa sättet att upprätta EU:s system för PNR, snarare än på nödvändigheten av dessa PNR-uppgifter. I bedömningen (14) hänvisas det till befintliga system för PNR i andra länder, nämligen Förenta staterna och Storbritannien. Man kan dock bara beklaga avsaknaden av exakta uppgifter och siffror i samband med dessa system. Det rapporteras om ”åtskilliga gripanden” genom det brittiska signalsystemet när det gäller ”olika brott”, utan att det närmare anges hur dessa hänger samman med terrorism eller organiserad brottslighet. Inga detaljer ges när det gäller Förenta staternas program, förutom att ”EU har kunnat bedöma värdet av PNR-uppgifter och utnyttja dem i brottsbekämpningen”.

28.

Förutom att det saknas exakt information i förslaget om de konkreta resultaten av sådana system för PNR bekräftar inte heller de rapporter som offentliggjorts av övriga organ, t.ex. Förenta staternas riksrevisionsverk, att åtgärderna har varit effektiva (15).

29.

Europeiska datatillsynsmannen anser att man ytterligare behöver utvärdera metoder som består i riskbedömning av enskilda personer med hjälp av verktyg för att hämta uppgifter och utgått från beteendemönster samt att man klart måste fastställa nyttan av dessa inom kampen mot terrorism innan de används i större utsträckning.

30.

För att kunna bedöma avvägningen mellan ett intrång i den enskildes privatliv och nödvändigheten av åtgärden (16) har följande aspekter beaktats:

31.

Förenlighet med proportionalitetsprincipen innebär inte endast att den föreslagna åtgärden ska vara effektiv, utan även att det planerade målet i förslaget inte kan nås genom användande av verktyg som i mindre utsträckning kränker de personliga integriteten. Effektiviteten av de planerade åtgärderna har inte bevisats. Förekomst av olika alternativ måste noga bedömas innan ytterligare eller nya åtgärder vidtas för att behandla personliga uppgifter. Enligt Europeiska datatillsynsmannen har ingen sådan heltäckande bedömning ägt rum.

32.

Europeiska datatillsynsmannen önskar erinra om de övriga system i stor skala med vars hjälp enskilda personers rörelser inom eller vid EU:s gränser övervakas, de som redan är operativa eller som ska genomföras, särskilt informationssystemet för viseringar (17) och Schengens informationssystem (18). Även om huvudmålet med dessa instrument inte är kampen mot terrorism eller organiserad brottslighet är de redan eller kommer att bli tillgängliga för de brottsbekämpande myndigheterna för det bredare tillämpningsområdet brottsbekämpning (19).

33.

Ett annat exempel gäller tillgängligheten i de personuppgifter som ingår i de nationella polisdatabaserna – särskilt vad gäller biometriska uppgifter – inom ramen för Prümfördraget, vilket undertecknades i maj 2005 och håller på att utvidgas till alla medlemsstater i Europeiska unionen (20).

34.

Dessa olika instrument har det gemensamt att de trots olika utgångspunkter, möjliggör en världsomfattande övervakning av enskilda personers rörelser. Det sätt på vilket de redan nu kan bidra till kampen mot olika former av brott, även terrorism, bör vara föremål för en djupgående och heltäckande analys innan man beslutar om att införa en ny form av systematisk avsökning av samtliga personer som lämnar eller anländer till EU med flyg. Europeiska datatillsynsmannen rekommenderar att kommissionen utför en sådan analys som ett nödvändigt steg i lagstiftningsförfarandet.

35.

Mot bakgrund av ovanstående konstaterar Europeiska datatillsynsmannen sammanfattningsvis följande när det gäller de föreslagna åtgärdernas legimitet. Att utgå ifrån olika databaser utan en övergripande överblick över konkreta resultat och brister

36.

Kampen mot terrorismen kan utan tvekan vara ett legitimt skäl för att tillämpa undantag från den grundläggande rätten till personlig integritet och skydd av personuppgifter. För att vara giltig måste dock nödvändigheten av intrånget i den enskildes privatliv styrkas av tydliga och obestridliga faktorer och proportionaliteten i behandlingen måste påvisas. Detta krav är så mycket mer ofrånkomligt som intrånget i den enskildes privatliv är omfattande, enligt planerna i förslaget.

37.

Det kan bara noteras att denna typ av motiverande inslag saknas i förslaget och att någon kontroll av nödvändighet och proportionalitet inte har genomförts.

38.

Europeiska datatillsynsmannen vidhåller att de kontroller av nödvändighet och proportionalitet som ovan angetts är grundläggande. De utgör en nödvändig förutsättning för att förslaget ska kunna träda i kraft. Alla ytterligare påpekande från Europeiska datatillsynsmannen i detta yttrande måste betraktas mot bakgrund av detta inledande villkor.

39.

Nedanstående analys kommer att vara inriktad på följande tre punkter:

40.

I artikel 11 i förslaget anges det att ”medlemsstaterna ska se till att rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (...) gäller för behandling av personuppgifter i enlighet med detta rambeslut”.

41.

Trots denna bestämmelse är det emellertid inte klart i vilken utsträckning rambeslutet om skydd av personuppgifter – ett instrument i tredje pelaren i fördraget om Europeiska unionen – kommer att gälla för de uppgifter som behandlas av flygbolag, samlas in av enheterna för passagerarinformation och används vidare av övriga behöriga myndigheter.

42.

Den första etappen i den behandling av personuppgifter som planeras i förslaget utgörs av behandlingen hos flygbolagen, vilka är skyldiga att göra PNR-uppgifter tillgängliga – i princip genom ett sändsystem – för de nationella enheterna för passagerarinformation. Enligt lydelsen i förslaget och dess konsekvensbedömning (22) verkar det som om uppgifter kan överföras i klump från flygbolagen till uppgiftsförmedlarna. Flygbolag verkar främst i en kommersiell omgivning och omfattas av nationell lagstiftning om skydd av personuppgifter för genomförandet av direktiv 95/46/EG (23). Frågor om tillämplig lag kommer att uppstå när de insamlade uppgifterna används för brottsbekämpningssyften (24).

43.

Uppgifterna skulle sedan filtreras av en uppgiftsförmedlare (formaterade och med uteslutande av sådana PNR-uppgifter som inte återfinns i förteckningen över de uppgifter som krävs i förslaget) eller skickas direkt till enheterna för passagerarinformation. Uppgiftsförmedlare kan även vara aktörer inom den privata sektorn, t.ex. SITA som verkar på det sättet inom ramen för PNR-avtalet med Kanada.

44.

Beträffande enheterna för passagerarinformation, som har ansvar för riskbedömningar av samtliga uppgifter, är det inte klart vilka som ska vara ansvariga för själva behandlingen. Tull- och gränsmyndigheter kan inbegripas men inte nödvändigtvis brottsbekämpande myndigheter.

45.

Den därpå följande överföringen av filtrerade uppgifter till de ”behöriga” myndigheterna skulle sannolikt ske inom ramen för brottsbekämpning. I förslaget anges att ”de behöriga myndigheterna endast ska omfatta myndigheter som ansvarar för att förebygga eller bekämpa terroristbrott och organiserad brottslighet”.

46.

Under behandlingen i olika etapper där de inblandade aktörerna och det eftersträvade målet slussas vidare kommer det att uppstå en närmare koppling till polissamarbete och straffrättsligt samarbete. I förslaget anges det dock inte uttryckligen exakt vid vilken tidpunkt rambeslutet om skydd av personuppgifter kommer att tillämpas. Lydelsen kan även tolkas så att detta är tillämpligt på hela behandlingen och även på flygbolag (25). Rambeslutet om skydd av personuppgifter innehåller dock några begränsningar.

47.

I detta sammanhang ifrågasätter Europeiska datatillsynsmannen principiellt om avdelning VI i EU-fördraget kan tjäna som rättslig grund för rutinmässiga rättsliga skyldigheter och i brottsbekämpningssyfte för aktörer inom den privata sektorn. Dessutom är det en relevant fråga huruvida avdelning VI i EU-fördraget kan tjäna som rättslig grund för offentliga myndigheters rättsliga skyldigheter, vilka i princip står utanför ramen för samarbetet inom brottsbekämpning. Dessa frågor kommer att behandlas längre fram i detta yttrande.

48.

Förslaget till rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete innehåller åtminstone två avgränsningar som är av betydelse när det gäller tillämpningsområdet.

49.

För det första är tillämpningsområdet för rambeslutet om skydd av personuppgifter väl definierat i själva rambeslutet: Det är ”endast tillämpligt på uppgifter som de behöriga myndigheterna samlar in eller behandlar för att kunna förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder” (26).

50.

För det andra är rambeslutet om skydd av personuppgifter inte avsett att vara tillämpligt på uppgifter som behandlas enbart nationellt utan ska vara begränsat till uppgifter som utbyts mellan medlemsstaterna och som ytterligare överförs till tredjeländer (27).

51.

Rambeslutet om skydd av personuppgifter innehåller även några olägenheter jämfört med direktiv 95/46/EG, särskilt ett långtgående undantag till principen om avgränsning av ändamålet. När det gäller denna princip om ändamålet anges det i förslaget tydligt en begränsning av behandlingen till kampen mot terrorism och organiserad brottslighet. Rambeslutet om skydd av personuppgifter ger dock utrymme för ett bredare ändamål beträffande behandlingen. I ett sådant fall bör lex specialis (förslaget) gå före lex generalis (rambeslutet om skydd av personuppgifter) (28). Detta bör uttryckligen framgå av texten i förslaget.

52.

Därför rekommenderar Europeiska datatillsynsmannen ett tillägg av följande bestämmelse i förslaget: ”Personuppgifter som överförs av flygbolag i enlighet med detta rambeslut får inte behandlas för andra ändamål är kampen mot terrorism och organiserad brottslighet. De undantag som föreskrivs när det gäller principen om ändamål i rådets rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete är inte tillämpliga”.

53.

Sammanfattningsvis noterar Europeiska datatillsynsmannen allvarliga brister i rättssäkerheten när det gäller det system för skydd av uppgifter som ska tillämpas på olika aktörer i projektet och särskilt vad gäller flygbolag och andra aktörer i första pelaren, såväl i fråga om bestämmelserna i förslaget, som rambeslutet om skydd av personuppgifter och den nationella lagstiftningen för genomförandet av direktiv 95/46/EG. Lagstiftaren bör klargöra exakt i vilket skede av behandlingen dessa olika bestämmelser ska vara tillämpliga.

54.

Europeiska datatillsynsmannen ifrågasätter i grunden det faktum att ett instrument i tredje pelaren skapar rutinmässiga rättsliga skyldigheter och i brottsbekämpningssyfte för privata och offentliga aktörer som i princip står utanför ramen för samarbetet inom brottsbekämpning.

55.

En jämförelse kan här göras med följande två andra fall där den privata sektorn varit inbegripen i lagring eller överföringar av uppgifter i brottsbekämpningssammanhang:

56.

I det föreliggande förslaget till EU:s system för PNR måste flygbolagen systematiskt tillgängliggöra PNR-uppgifter om samtliga passagerare. Dessa uppgifter överförs dock inte i klump direkt till de brottsbekämpande myndigheterna utan kan skickas till en uppgiftsförmedlare och ska bedömas av en tredje part, vars status fortfarande är oklar, innan de utvalda uppgifterna skickas till de behöriga myndigheterna.

57.

Huvuddelen av behandlingen äger rum i en gråzon och har konkreta kopplingar till både den första och den tredje pelaren. Som det framgår i kapitel IV är kvaliteten på de aktörer som behandlar uppgifterna inte klar och tydlig. Flygbolag är självfallet inga myndigheter med ansvar för brottsbekämpning och uppgiftsförmedlarna kan utgöras av aktörer inom den privata sektorn. Även när det gäller enheter för passagerarinformation, som kan vara offentliga myndigheter, måste det betonas att varje offentlig myndighet inte har den kvalitet och den behörighet som behövs för att utföra rutinmässiga brottsbekämpningsuppgifter.

58.

Av tradition har det funnits en tydlig åtskillnad mellan brottsbekämpning och verksamhet inom den privata sektorn, varvid brottsbekämpningsuppgifter har utförts av särskilt avdelade myndigheter, särskilt polisen, medan privata aktörer från fall till fall anmodas överföra personuppgifter till dessa brottsbekämpande myndigheter. Det finns nu en tendens att systematiskt kräva samarbete av privata aktörer i brottsbekämpningssyfte, vilket väcker följande fråga om vilken ram för skydd av personuppgifter (första eller tredje pelaren) som är tillämplig på villkoren för detta samarbete: Bör reglerna bygga på kvaliteten på den registeransvarige (privata sektorn) eller på det eftersträvade målet (brottsbekämpning)?

59.

Europeiska datatillsynsmannen har redan erinrat om risken för ett kryphål i lagen mellan verksamhet enligt första och tredje pelaren (31). Det är verkligen långt ifrån klart huruvida privata företags verksamhet som på något sätt är kopplad till brottsbekämpning omfattas av insatsområdet för Europeiska unionens lagstiftare i enlighet med artiklarna 30, 31 och 34 i EU-fördraget.

60.

Om den allmänna ramen (för första pelaren) inte är tillämplig måste en tjänsteleverantör göra vanskliga åtskillnader inom sina databaser. Enligt det nuvarande systemet är det klart att den registeransvarige måste iaktta samma skydd av personuppgifter gentemot de registrerade oberoende av de ändamål som motiverar lagringen av uppgifterna. En lösning där tjänsteleverantörenas uppgiftsbehandling för olika ändamål skulle omfattas av olika ramar för skydd av personuppgifter bör därför undvikas.

61.

De olika rättsordningar som skulle kunna tillämpas på nationell nivå skulle främst få stor inverkan på den registrerades utövande av sina rättigheter.

62.

I ingressen till förslaget anges det att ”information, tillgång till uppgifter, rättelse, radering, blockering, kompensation och rättslig prövning ska gälla enligt rambeslutet”. Detta konstaterande besvarar dock inte frågan om vilken registeransvarig som har till uppgift att besvara den registrerades framställningar.

63.

Även om information om behandlingen kan lämnas av flygbolagen är frågan mer komplicerad när det gäller tillgång till eller rättelse av uppgifter. Dessa rättigheter är reellt begränsade enligt rambeslutet om skydd av personuppgifter. Som det konstateras ovan är det problematiskt att en tjänsteleverantör skulle kunna vara tvungen att ge differentierad rätt till tillträde och rättelse för de uppgifter denne förfogar över beroende på det eftersträvade ändamålet (kommersiella ändamål eller brottsbekämpande ändamål). Man kan framföra att dessa rättigheter bör utövas inför enheten för passagerarinformation eller den behöriga myndighet som på annat sätt har utsetts. I förslaget ges det emellertid ingen ytterligare anvisning i detta sammanhang och som tidigare nämnts är det inte heller klart huruvida dessa myndigheter (åtminstone enheterna för passagerarinformation) kommer att utgöra brottsbekämpande myndigheter som anförtrotts förfaranden med begränsat (eventuellt indirekt) tillträde.

64.

Även när det gäller enheterna för passagerarinformation riskerar den enskilda personen att bli ställd inför olika mottagare av uppgifter, eftersom uppgifterna reellt överförs till enheten för passagerarinformation från det land där flygningar avgår eller ankommer men eventuellt också från fall till fall till enheterna för passagerarinformation i andra medlemsstater. Dessutom är det möjligt att flera medlemsstater kan upprätta eller utse en enda och gemensam enhet för passagerarinformation. Den registrerade kan i detta fall bli tvungen att överklaga inför en myndighet i en annan medlemsstat. Ännu en gång är det inte klart huruvida nationella regler för skydd av personuppgifter kommer att gälla (dessa förmodas bli harmoniserade inom EU) eller om man måste ta hänsyn till särskild lagstiftning om brottsbekämpning (med tanke på avsaknaden av en övergripande harmonisering på nationell nivå inom tredje pelaren).

65.

Denna fråga gäller även tillgång till uppgifter som behandlats av uppgiftsförmedlare, med oklar status, vilka även kan vara gemensamma för flygbolag i olika EU-länder.

66.

Europeiska datatillsynsmannen beklagar den osäkerhet som kvarstår när det gäller utövandet av dessa grundläggande rättigheter som den registrerade har. Han betonar att denna situation till stor del beror på att aktörer som inte har brottsbekämpning som huvuduppgift har anförtrotts ett sådant ansvar.

67.

Europeiska datatillsynsmannen anser att det bör klargöras i förslaget vilken rättsordning som är tillämplig i olika skeden av behandlingen och närmare anges gentemot vilken aktör eller myndighet som rätt till tillträde och omprövning ska utövas. Europeiska datatillsynsmannen erinrar om att bestämmelserna om skydd av personuppgifter enligt artikel 30.1 b i EU-fördraget bör vara tillämpliga på alla de typer av uppgiftsbehandling som fastställts i förslaget. En enkel hänvisning till rambeslutet om skydd av personuppgifter är inte tillräcklig med tanke på rambeslutets begränsade tillämpningsområde och den begränsning av rättigheter som ingår i detta. Om brottsbekämpande myndigheter är inbegripna bör bestämmelserna i rambeslutet om skydd av personuppgifter åtminstone gälla hela den behandling som planeras i detta beslut för att garantera att principerna för skydd av personuppgifter tillämpas enhetligt.

68.

Europeiska datatillsynsmannen noterar att förslaget inte innehåller någon precisering när det gäller beskaffenheten på mottagarna av de personuppgifter som samlas in av flygbolag, vare sig det gäller uppgiftsförmedlare, enheter för passagerarinformation eller behöriga myndigheter. Det måste understrykas att beskaffenheten på mottagaren har ett direkt samband med de garantier för skydd av personuppgifter som gäller denna mottagare. Skillnaden mellan de garantier som tillhandahålls särskilt genom bestämmelserna i första och tredje pelaren har redan nämnts. Det är av avgörande betydelse att tillämplig ordning står klar för alla berörda aktörer, inbegripet nationella regeringar, organ för brottsbekämpning, dataskyddsmyndigheter och berörda registeransvariga och registrerade.

69.

I förslaget finns det ingen angivelse när det gäller beskaffenheten på uppgiftsförmedlarna (32). Det anges inte heller något närmare om uppgiftsförmedlarnas roll som registeransvariga eller uppgiftsbehandlare. Av erfarenheten av döma verkar det som om en enhet inom privata sektorn, ett enhet för system med datoriserad bokning eller någon annan enhet, mycket väl kan anförtros uppgiften att samla PNR-uppgifter direkt från flygbolagen för att omdirigera dem till enheter för passagerarinformation. På detta sätt behandlas uppgifter i enlighet med PNR-avtalet med Kanada. SITA (33) är det bolag som har ansvar för uppgiftsbehandlingen. Uppgiftsbehandlarens roll är avgörande, eftersom denne kan ha ansvar för filtreringen och omformateringen av uppgifter som översänds i klump av flygbolagen (34). Även om uppgiftsförmedlarna är skyldiga att förstöra de behandlade uppgifterna när de väl har överförts till enheterna för passagerarinformation är själva uppgiftsbehandlingen ytterst känslig. En följd av uppgiftsförmedlarnas insats är skapandet av ytterligare en databas som innehåller stora mängder uppgifter, enligt förslaget t.o.m. känsliga uppgifter (uppgiftsförmedlarna är då skyldiga att radera dessa känsliga uppgifter). På grund av detta rekommenderar Europeiska datatillsynsmannen att inga uppgiftsförmedlare ska vara inblandade i behandlingen av passageraruppgifter om kvaliteten på dem och deras uppgifter inte strikt specificeras.

70.

Enheterna för passagerarinformation spelar en avgörande roll genom att identifiera personer som är eller kan vara inblandade i terrorism eller organiserad brottslighet. Enligt förslaget kommer de att vara ansvariga för att ta fram riskindikatorer och tillhandahålla underrättelser om resvanor (35). Om riskbedömningen grundar sig på standardiserade resvanor och inte på sakliga bevis kopplade till ett konkret fall kan denna analys betraktas som förebyggande utredning. Europeiska datatillsynsmannen betonar att denna typ av behandling i princip är strängt reglerad i medlemsstaternas lagstiftning (om den inte är förbjuden) och att den är en uppgift för särskilda offentliga mydigheter, vilkas funktion även är strängt reglerad.

71.

Enheterna för passagerarinformation har därför anförtrotts en mycket känslig uppgiftsbehandling utan att det i förslaget ges några närmare uppgifter om deras beskaffenheten och de villkor enligt vilka de ska utöva denna behörighet. Även om det är sannolikt att denna uppgift kommer att utföras av ett statligt organ, eventuellt tullen eller gränskontrollmyndigheter, finns det i förslaget inte något uttryckligt hinder för medlemsstaterna att låta underrättelseorgan eller t.o.m. vilken registerförare som helst, utföra uppgiften. Europeiska datatillsynsmannen betonar det faktum att den öppenhet och de garantier som gäller underrättelseorgan inte alltid är desamma som tillämpas för traditionella brottsbekämpande myndigheter. Närmare uppgifter om beskaffenheten på enheterna för passagerarinformation är av avgörande betydelse, eftersom denna innebär direkta följder för den rättsliga ram som ska tillämpas och för villkoren för övervakningen. Europeiska datatillsynsmannen anser att det måste ingå ytterligare en bestämmelse i förslaget där särdragen för enheterna för passagerarinformation närmare anges.

72.

Det framgår av artikel 4 i förslaget att alla myndigheter med ansvar för att förebygga eller bekämpa terroristbrott och organiserad brottslighet kan vara mottagare för uppgifterna. Målsättningen har tydligt definierats medan beskaffenheten på myndigheten saknas. Förslaget innehåller inte någon avgränsning av mottagarna till brottsbekämpande myndigheter.

Som det nämndes ovan i samband med enheterna för passagerarinformation är det av avgörande betydelse att känsliga uppgifter behandlas i ett sammanhang som förfogar över en tydlig rättslig ram. Så är fallet i högre grad t.ex. när det gäller brottsbekämpande myndigheter än när det gäller underrättelseorgan. Med tanke på inslag av det hämtande av uppgifter och den förebyggande forskning som ingår i förslaget kan det inte uteslutas att sådana underrättelseorgan kan ta del av uppgiftsbehandlingen, utan att man utesluter några andra myndigheter.

73.

Som en allmän synpunkt noterar Europeiska datatillsynsmannen att verkställigheten av ett system för PNR inom EU blir ännu svårare med tanke på att de brottsbekämpande myndigheterna har olika behörighet beroende på medlemsstaternas nationella lagstiftning, där underrättelseverksamhet, myndigheter för skatter och invandring eller polisen ibland ingår, ibland inte. Detta är emellertid ytterligare ett skäl till att rekommendera att förslaget måste vara mycket mera exakt när det gäller beskaffenheten hos de nämnda aktörerna och de garantier som ges för att övervaka fullgörandet av deras uppgifter. Ytterligare bestämmelser kan införlivas i förslaget för att strikt specificera behörighet och rättsliga skyldigheter för uppgiftsförmedlare, enheter för passagerarinformation och andra behöriga myndigheter.

74.

I förslaget föreskrivs det vissa skyddsåtgärder när det gäller överföringen av PNR-uppgifter till tredjeländer (36) Det anges uttryckligen i förslaget att rambeslutet om skydd av personuppgifter ska tillämpas för överföringar av uppgifter, det föreskrivs en särskild begränsning av ändamålet och det fastställs ett behov av medgivande från medlemsstaten när det är fråga om en vidarebefordran. Överföringen bör även vara förenlig med den berörda medlemsstatens nationella lagstiftning och tillämpliga internationella avtal.

75.

Många frågor kvarstår dock, särskilt när det gäller arten av medgivandet, villkoren för tillämpningen av rambeslutet om skydd av personuppgifter och frågan om ”ömsesidighet” vid överföring av uppgifter till tredjeländer.

76.

Ursprungsmedlemsstaten måste lämna sitt uttryckliga samtycke till en vidarebefordran av uppgifter från ett tredjeland till ett annat tredjeland. I förslaget anges det inte närmare på vilka villkor och av vem detta samtycke ska ges, inte heller huruvida de nationella dataskyddsmyndigheterna bör vara engagerade i beslutet. Europeiska datatillsynsmannen anser att det sätt som samtycket ges på åtminstone måste överensstämma med de nationella lagar i vilka det fastställs villkor för överföring av uppgifter till tredjeländer.

77.

Dessutom bör inte en medlemsstats medgivande gå före principen att mottagarlandet måste tillgodose en tillräcklig skyddsnivå för behandlingen. Dessa villkor bör vara kumulativa liksom de är det i rambeslutet om skydd av personuppgifter (artikel 14). Därför föreslår Europeiska datatillsynsmannen ett tillägg av ett led c till artikel 8.1 med följande lydelse ”och c) Tredjestaten ska säkerställa en tillräcklig skyddsnivå för den planerade uppgiftsbehandlingen”. Europeiska datatillsynsmannen erinrar i detta sammanhang att mekanismerna för att garantera gemensamma normer och samordnade beslut om adekvat skydd måste ha införts (37).

78.

I förslaget hänvisas det till de villkor och garantier som föreskrivs i rådets rambeslut om skydd av personuppgifter samtidigt som det uttryckligen anges vissa villkor, särskilt det ovan nämnda samtycket av den berörda medlemsstaten och en begränsning av ändamålet till att förebygga och bekämpa terroristbrott och organiserad brottslighet.

79.

I själva rambeslutet om skydd av personuppgifter anges villkor för överföring av personuppgifter till tredjeländer, dvs. när det gäller begränsning av ändamålet, typen av mottagare, den berörda medlemsstatens samtycke och principen om adekvat skydd. I förslaget fastställs även undantag från dessa villkor för överföring: att legitima faktiska intressen, främst viktiga offentliga intressen, kan utgöra en tillräcklig grund för överföring även om de villkor som förtecknats ovan inte är uppfyllda.

80.

Som tidigare nämnts i kapitel III i detta yttrande anser Europeiska datatillsynsmannen att det i förslaget klart måste anges att de mer exakta garantierna i förslaget går före de allmänna villkoren – och undantagen – i rambeslutet om skydd av personuppgifter, när dessa är tillämpliga.

81.

I förslaget behandlas frågan om eventuella ”mot framställningar” från länder som kan begära PNR-uppgifter från EU om flygningar från EU till deras eget territorium. När EU begär uppgifter från databaser hos flygbolag i sådana tredjeländer, eftersom dessa upprätthåller flyglinjer till och från EU, kan ett sådant tredjeland begära motsvarande uppgifter från flygbolag som är etablerade i EU, och även uppgifter om EU-medborgare. Kommissionen räknar med denna eventualitet trots att den anser den ”mycket avlägsen”. I detta avseende hänvisas det i förlaget till att avtalen med Förenta staterna och med Kanada förekommer ömsesidig hantering ”genom direktåtkomstmetoden” (38) Europeiska datatillsynsmannen ifrågasätter betydelsen av en sådan automatisk ömsesidighet och tillämpningen av garantier för sådana överföringar, särskilt när man beaktar förekomsten av ett adekvat skydd i det berörda landet.

82.

Man bör göra en åtskillnad mellan de tredjeländer som redan har ingått ett avtal med EU och de länder som inte har något sådant avtal.

83.

Europeiska datatillsynsmannen noterar att reciprocitet kan leda till att personuppgifter överförs till länder där inga garantier kan lämnas i form av demokratiska normer och en adekvat skyddsnivå för uppgifter.

84.

I konsekvensbedömningen anges ytterligare detaljer kring villkoren för överföring av personuppgifter till tredjeländer genom att man lyfter fram fördelarna med EU:s system för PNR-uppgifter, där uppgifter filtreras av enheter för passagerarinformation. Endast utvalda uppgifter om misstänkta personer (och inte grovdata) ska överföras till medlemsstaternas behöriga myndigheter och sannolikt även till tredjeländer (39). Europeiska datatillsynsmannen rekommenderar att denna punkt klargörs i förslagstexten. Bara ett konstaterande i konsekvensbedömningen ger inte det nödvändiga skyddet.

85.

Även om ett urval av uppgifter skulle bidra till att reducera inverkan på passagerarnas integritet måste det erinras om att principerna för skydd av personuppgifter innebär så mycket mer än en uppgiftsbegränsning och omfattar principer om nödvändighet, insyn och utövande av de registrerades rättigheter, principer som alla bör beaktas när man fastställer huruvida ett tredjeland kan säkerställa en adekvat skyddsnivå.

86.

I konsekvensbedömningen fastställs det att behandlingen kommer att ge EU möjlighet ”att framhålla vissa normer och att säkerställa enhetlighet i sådana bilaterala avtal med tredjeländer. Den kommer också att göra det möjligt att begära ömsesidig hantering av de tredjeländer med vilka EU har ett avtal, någonting som inte är möjligt i nuläget” (40).

87.

Utgående från dessa iakttagelser uppkommer frågan om förslagets inverkan på de befintliga avtalen med Kanada och Förenta staterna. Villkoren för tillgång till uppgifter i dessa avtal är förvisso mycket mer generella eftersom uppgifterna inte är föremål för något liknande urval innan de överförs till dessa tredjeländer.

88.

I konsekvensbedömningen konstateras det att ”i de fall då EU har ett internationellt avtal med ett tredjeland om utbyte/överföringar av PNR-uppgifter till ett sådant tredjeland ska dessa avtal noga beaktas. Flygbolagen ska skicka PNR-uppgifter till enheterna för passagerarinformation i enlighet med det normala förfarandet enligt denna åtgärd. Den enhet för passagerarinformation som erhåller sådana uppgifter ska överföra dem till den behöriga myndigheten i det tredjeland med vilket ett sådant avtal föreligger” (41).

89.

Samtidigt som syftet med förslaget å ena sidan verkar vara att överföra endast utvalda uppgifter till de behöriga myndigheterna, inom eller utanför EU, erinras det å andra sidan i ingressen till förslaget (skäl 21) och i själva artikel 11 om att befintliga avtal noga ska beaktas. Detta kan eventuellt leda till slutsatsen att filtrering endast är en giltig åtgärd för de avtal som kommer att ingås i framtiden. Mot denna bakgrund kan det fastslås att tillgång till alla uppgifter fortfarande kommer att utgöra regel för tillgång för t.ex. Förenta staternas myndigheter till PNR-uppgifter i enlighet med avtalet mellan EU och Förenta staterna, men jämsides med detta och från fall till fall kan en överföring av uppgifter till Förenta staterna ske av de särskilda uppgifter som fastställts av enheterna för passagerarinformation i vilka uppgifter beträffande flygningar till USA ingår, men inte är begränsade till dessa.

90.

Europeiska datatillsynsmannen beklagar att det i förslaget saknas klarhet på denna avgörande punkt. Han anser att det är ytterst viktigt att villkoren för överföring av PNR-uppgifter till tredjeländer är enhetliga och håller en harmoniserad skyddsnivå. Dessutom bör av rättssäkerhetsskäl preciseringar när det gäller garantier för överföringar av uppgifter ingå i själva förslaget och inte endast i konsekvensbedömningen, vilket nu är fallet.

91.

Europeiska datatillsynsmannen noterar att det uttryckligen anges i förslaget att inga brottsbekämpande åtgärder får vidtas av medlemsstaternas enheter för passagerarinformation eller behöriga myndigheter uteslutande på grundval av automatisk databehandling av PNR-uppgifter eller på grund av en persons ras, etniska ursprung, religiösa eller filosofiska övertygelse, politiska åskådning eller sexuella läggning (42).

92.

En sådan precisering är positiv eftersom den minskar riskerna för godtyckliga åtgärder mot enskilda personer. Datatillsynsmannen noterar emellertid att tillämpningsområdet är begränsat till brottsbekämpande åtgärder som vidtas av enheter för passagerarinformation eller behöriga myndigheter. I den nuvarande lydelsen utesluts inte automatisk filtrering av enskilda personer enligt standardprofiler och den förhindrar inte heller ett automatisk upprättande av förteckningar över misstänkta personer eller vidtagande av åtgärder t.ex. utvidgad övervakning, så länge som dessa åtgärder inte betraktas som brottsbekämpande åtgärder.

93.

Europeiska datatillsynsmannen anser att begreppet brottsbekämpande åtgärder är för vagt och att i princip inga beslut bör fattas när det gäller enskilda personer endast till följd av en atutomatisk databehandling av deras uppgifter (43). Europeiska datatillsynsmannen rekommenderar att texten ändras i enlighet härmed.

94.

I artikel 5.2 anges det i förslaget en viktig precisering eftersom det klargörs att flygbolagen inte åläggs någon skyldighet att samla in eller lagra uppgifter utöver dem som samlats in för de ursprungliga kommersiella ändamålen.

95.

Följande aspekter på behandlingen av dessa uppgifter kräver fortfarande ytterligare kommentarer:

Europeiska datatillsynsmannen stöder de påpekanden som gjordes i artikel 29-gruppens yttrande i detta sammanhang.

96.

Flygbolag som är etablerade utanför EU är skyldiga att sända uppgifter till enheterna för passagerarinformation eller uppgiftsförmedlarna så länge som de besitter den tekniska struktur som krävs. I annat fall kommer de att vara tvungna att tillåta hämtningar av information genom direktåtkomstmetoden.

97.

Att tillåta olika metoder för lämnandet av uppgifter beroende på vilka flygbolag det gäller kommer bara att leda till flera svårigheter när det gäller kontrollen av hur väl överföringen av PNR-uppgifter överensstämmer med reglerna för skydd av personuppgifter. Detta riskerar även att snedvrida konkurrensen mellan EU-flygbolag och flygbolag från länder utanför EU.

98.

Europeiska datatillsynsmannen erinrar om att sändmetoden, vilken gör det möjligt för flygbolag att behålla kontrollen över arten av de överförda uppgifterna och de förhållanden som har samband med överföringar, är den enda metod som kan tillåtas med tanke på proportionaliteten i behandlingen. Dessutom måste den innebära av en effektiv sändning, det vill säga uppgifterna bör inte sändas i klump till en uppgiftsförmedlare utan filtreras i det allra första skedet av behandlingen. Man kan inte tillåta att överflödiga uppgifter – eller de uppgifter som ingår i bilaga 1 i förslaget – skickas till tredje part, även om dessa uppgifter omedelbart raderas av denna tredje part.

99.

I artikel 9 i förslaget föreskrivs det en lagringstid på fem år för PNR-uppgifter, med ytterligare en åttaårsperiod under vilken uppgifterna ska bevaras i en vilande databas som kommer att vara tillgänglig på särskilda villkor.

100.

Europeiska datatillsynsmannen ifrågasätter skillnaden mellan dessa två typer av databaser. Man kan ifrågasätta huruvida den vilande databasen utgör ett verkligt arkiv, med avvikande metoder för lagring och återvinning av uppgifter. De flesta av de villkor som tillämpas för tillgången till den vilande databasen består i själva verket av säkerhetskrav som även skulle kunna tillämpas för databasen med en lagringstid på fem år.

101.

Lagringens totala varaktighet – dvs. 13 år – är under alla omständigheter orimlig. Den motiveras i konsekvensbedömningen med behovet av att ta fram riskindikatorer och fastställa rese- och beteendemönster (46), men effektiviteten av detta behöver ytterligare styrkas. Samtidigt som det är uppenbart att uppgifter kan lagras så länge det är nödvändigt i ett särskilt fall där utredningen pågår kan ingen motivering stödja lagringen av uppgifter för alla de passagerare som inte misstänks för något i 13 års tid.

102.

Europeiska datatillsynsmannen noterar att denna lagringstid inte har fått något stöd i medlemsstaternas svar på kommissionens frågeformulär, enligt vilket den genomsnittliga varaktigheten av den lagring som krävs skulle vara 3,5 år (47).

103.

Dessutom kan perioden på 13 år jämföras med bevarandetiden på 15 år i det senaste avtalet med Förenta staterna. Europeiska datatillsynsmannen har alltid uppfattat detta så att man enades om denna långa lagringstid till följd av starka påtryckningar från Förenta staternas regering för att få en mycket längre period än 3,5 år, inte på grund av att detta i något skede fick stöd från rådet eller kommissionen. Det finns inte någon orsak att införliva en sådan kompromiss – som bara kan motiveras som ett nödvändigt resultat av förhandlingar – i ett rättsligt instrument inom själva EU.

104.

Kommittén med företrädare för medlemsstaterna, som inrättats i enlighet med artikel 14 i förslaget, kommer att vara behörig när det gäller säkerhetsfrågor, bl.a. protokoll och kryptering för PNR-uppgifter, men också när det gäller vägledning för gemensamma allmänna kriterier, metoder och praxis i samband med riskbedömning.

105.

Förutom dessa indikationer innehåller förslaget inga inslag eller kriterier i fråga om konkreta villkor och ramar för riskbedömningsprocessen. I konsekvensbedömningen anges det att kriterierna i sista hand kommer att vara beroende av de underrättelser som varje medlemsstat förfogar över, vilka hela tiden förändras. Riskbedömningen kommer att genomföras utan en enhetlig norm för identifiering av misstänkta. Omfattningen av den roll som medlemsstaternas kommitté kommer att kunna spela förefaller alltså diskutabel.

106.

Det anges i förslaget en rad säkerhetsåtgärder (48) som ska vidtas av enheterna för passagerarinformation, uppgiftsförmedlarna och andra behöriga myndigheter för att skydda uppgifterna. Med tanke på hur viktig databasen är och hur känslig behandlingen är anser Europeiska datatillsynsmannen att den enhet som behandlar uppgifterna förutom att ansvara för dessa planerade åtgärder även bör vara skyldig att anmäla varje brott mot säkerheten.

107.

Europeiska datatillsynsmannen är medveten om projektet att upprätta ett sådant anmälningsförfarande inom sektorn för elektronisk kommunikation på europeisk nivå. Datatillsynsmannen rekommenderar att ett skydd av nämnda slag ska införas i förslaget och hänvisar i detta sammanhang till det system för brister i säkerheten som upprättats i Förenta staterna när det gäller statliga organ (49). Säkerhetstillbud kan förvisso inträffa på alla verksamhetsområden, både inom den privata och den offentliga sektorn, vilket den brittiska administrationens förlust av en hel befolkningsdatabas som inträffade helt nyligen har visat (50). Stora databaser i stil med den som planeras i förslaget borde ligga högst uppe på en prioriteringslista för att dra nytta av ett sådant varningssystem.

108.

Europeiska datatillsynsmannen noterar att en översyn på grundval av en rapport från kommissionen kommer att äga rum inom tre år efter det att rambeslutet har trätt i kraft. Han uppskattar det faktum att särskild uppmärksamhet i denna översyn, som grundar sig på information från medlemsstaterna, kommer att ägnas åt uppgiftsskyddsgarantier och att man i översynen kommer att ta upp införandet av ”sändmetoden”, lagringen av uppgifter och kvaliteten på riskbedömningen. För att vara heltäckande bör en sådan översyn inbegripa resultaten av en analys av de statistiska uppgifter som framställts på grundval av behandlingen av PNR-uppgifter. Förutom de inslag som nämns i artikel 18 i förslaget bör denna statistik inbegripa närmare uppgifter om identifieringen av högriskpersoner, t.ex. kriterierna för denna identifiering och de konkreta resultaten av varje brottsbekämpande åtgärd som är resultatet av identifieringen.

109.

I detta yttrande har Europeiska datatillsynsmannen redan påpekat att det saknas konkreta faktorer för att fastställa att det föreslagna systemet är nödvändigt. Han anser dock att om rambeslutet träder i kraft bör det åtminstone kompletteras med en tidsfristklausul. Vid utgången av treårsperioden bör rambeslutet upphävas om det saknas stöd för dess upprätthållande.

110.

I förslagets slutbestämmelser anges det ett villkor för en fortsatt tillämpning av befintliga bilaterala eller multilaterala avtal eller ordningar. Dessa instrument kan endast tillämpas i den utsträckning som dessa är förenliga med målen i förslaget till detta rambeslut.

111.

Europeiska datatillsynsmannen ifrågasätter tillämpningsområdet för denna bestämmelse. Som det redan nämndes i kapitel V under rubriken reciprositet är det inte klart vilka följder denna bestämmelse kommer att få för innehållet i avtal med tredjeländer, t.ex. avtalet med Förenta staterna. Sett ur en annan synvinkel är det inte heller klart huruvida denna bestämmelse kan få några följder för villkoren för tillämpning av instrument med ett vidare tillämpningsområde, t.ex. Europarådets konvention nr 108. Även om detta kan verka osannolikt mot bakgrund av institutionella skillnader och de olika berörda aktörerna bör varje risk för feltolkning undvikas och det bör klargöras i förslaget att detta inte får några konsekvenser för instrument med ett vidare tillämpningsområde, särskilt de vilkas ändamål är att skydda grundläggande rättigheter.

112.

Europeiska datatillsynsmannen betonar den stora inverkan på skyddet av personuppgifter som det aktuella förslaget har. I sin analys har datatillsyningsmannen koncentrerat sig på fyra grundläggande frågor som förslaget ger upphov till och han betonar att dessa frågor måste lösas på ett övergripande sätt. Under nuvarande förhållanden är förslaget inte förenligt med de grundläggande rättigheterna, och särskilt inte med artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, och bör inte antas.

113.

I händelse man efterkommer påpekandena ovan, särskilt laglighetsprövningen, finns det vissa förslag till lydelse i detta yttrande som bör beaktas av lagstiftaren. Särskilt hänvisas till punkterna 67, 73, 77, 80, 90, 93, 106, 109 och 111 i yttrandet.

114.

Det allmänna målet att bekämpa terrorism och organiserad brottslighet är i sig självt tydligt och legitimt, men kärnan i den hantering som ska införas inte är tillräckligt avgränsad och motiverad.

115.

Europeiska datatillsynsmannen anser att metoder som består av riskbedömning av enskilda personer genom att använda verktyg för att hämta uppgifter och beteendemönster ytterligare behöver utvärderas samt att man klart måste fastställa nyttan av dessa inom kampen mot terrorism innan de används i större utsträckning.

116.

Att utgå ifrån olika databaser utan en samlad överblick över konkreta resultat och brister

117.

Kampen mot terrorismen kan utan tvekan vara ett legitimt skäl för att tillämpa undantag från den grundläggande rätten till personlig integritet och skydd av personuppgifter. För att vara giltig måste dock nödvändigheten av intrånget i den enskildes integritet styrkas av tydliga och obestridliga faktorer och proportionaliteten i behandlingen måste påvisas. Detta krav är så mycket mer ofrånkomligt som intrånget i den enskildes integritet är omfattande, enligt planerna i förslaget.

118.

Dessa motiveringsinslag saknas i förslaget och ingen kontroll av nödvändighet och proportionalitet har genomförts.

119.

Europeiska datatillsynsmannen vidhåller hur grundläggande de kontroller av nödvändighet och proportionalitet som angetts ovan är. De utgör en nödvändig förutsättning för att förslaget ska kunna träda i kraft.

120.

Europeiska datatillsynsmannen noterar allvarliga brister i rättssäkerheten när det gäller det system som ska tillämpas på olika aktörer i projektet och särskilt vad gäller flygbolag och andra aktörer i första pelaren, vare sig det gäller bestämmelserna i förslaget, rambeslutet om skydd av personuppgifter eller den nationella lagstiftningen för genomförandet av direktiv 95/46/EG. Lagstiftaren bör klargöra i vilka skeden av behandlingen dessa olika bestämmelser ska vara tillämpliga.

121.

Den nuvarande tendensen att systematiskt kräva samarbete av privata aktörer i brottsbekämpningssyfte väcker frågan vilken ram för skydd av personuppgifter (första eller tredje pelaren) som är tillämplig på villkoren för detta samarbete eftersom det inte är klart huruvida reglerna bör bygga på beskaffenheten hos den registeransvarige (privata sektorn) eller på det eftersträvade målet (brottsbekämpning).

122.

Europeiska datatillsynsmannen har redan betonat risken för ett kryphål i lagen mellan verksamhet enligt första och tredje pelaren (51). Det är verkligen långt ifrån klart huruvida privata företags verksamhet som på något sätt är kopplad till brottsbekämpning omfattas av insatsområdet för Europeiska unionens lagstiftare i enlighet med artiklarna 30, 31 och 34 i EU-fördraget.

123.

En lösning där tjänsteleverantörenas uppgiftsbehandling för olika ändamål skulle omfattas av olika ramar för skydd av personuppgifter bör undvikas, särskilt med tanke på de svårigheter detta skulle skapa i fråga om utövandet av den registrerades rättigheter.

124.

Förslaget bör innehålla en precisering när det gäller typ av mottagare av de personuppgifter som samlas in av flygbolag, oberoende av om det gäller uppgiftsförmedlare, enheter för passagerarinformation eller behöriga myndigheter.

125.

Typen av mottagarna, vilka i vissa fall kan vara aktörer inom den privata sektorn, har ett direkt samband med de garantier för skydd av personuppgifter som gäller dessa mottagare. Det är av avgörande betydelse att tillämplig rättsordning står klar för alla berörda aktörer, inbegripet lagstiftaren, dataskyddsmyndigheter och berörda registeransvariga och registrerade.

126.

Europeiska datatillsynsmannen betonar behovet av att se till att mottagarlandet erbjuder en adekvat skyddsnivå. Han ifrågasätter också betydelsen av den ömsesidighetsprincip som nämns i förslaget och hur den ska tillämpas när det gäller de länder som redan är bundna av ett avtal med EU, t.ex. Kanada eller Förenta staterna. Han anser att det är ytterst viktigt att villkoren för överföring av PNR-uppgifter till tredjeländer är enhetliga och håller en harmoniserad skyddsnivå.

127.

Datatillsynsmannen vill även uppmärksamma lagstiftaren på vissa aspekter i förslaget som ytterligare bör preciseras eller där principen om skydd av uppgifter bör beaktas bättre. Detta gäller särskilt följande:

128.

Europeiska datatillsynsmannen noterar att det aktuella förslaget har lagts fram vid en tidpunkt då Europeiska unionens institutionella struktur håller på att förändras i grunden. Lissabonfördraget kommer att få genomgripande konsekvenser för beslutsfattandet, särskilt i fråga om parlamentets roll.

129.

Med tanke på förslagets okända följder för de grundläggande rättigheterna rekommenderar Europeiska datatillsynsmannen att man inte antar det inom ramen för det nuvarande fördraget, utan ser till att det följer det medbeslutandeförfarande som föreskrivs i det nya fördraget. Detta skulle förstärka den rättsliga grunden för vidtagande av de kraftfulla åtgärder som anges i förslaget.

1.

skydda statens säkerhet, den allmänna säkerheten, statens penningpolitiska intressen eller för att bekämpa brottslighet,

2.

skydda den registrerade personen eller andra personers rättigheter och friheter”.

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/16

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/17

—

på kommissionens webbplats för konkurrens (http://ec.europa.eu/comm/competition/mergers/cases/). Denna webbplats ger olika möjligheter att hitta enskilda beslut i koncentrationsärenden, även uppgifter om företag, ärendenummer, datum och sektorer,

—

i elektronisk form på EUR-Lex webbplats, under dokument nummer 32008M5084. EUR-Lex ger tillgång till gemenskapsrätten via Internet (http://eur-lex.europa.eu).

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/17

—

på kommissionens webbplats för konkurrens (http://ec.europa.eu/comm/competition/mergers/cases/). Denna webbplats ger olika möjligheter att hitta enskilda beslut i koncentrationsärenden, även uppgifter om företag, ärendenummer, datum och sektorer,

—

i elektronisk form på EUR-Lex webbplats, under dokument nummer 32008M5104. EUR-Lex ger tillgång till gemenskapsrätten via Internet (http://eur-lex.europa.eu).

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/18

—

på kommissionens webbplats för konkurrens (http://ec.europa.eu/comm/competition/mergers/cases/). Denna webbplats ger olika möjligheter att hitta enskilda beslut i koncentrationsärenden, även uppgifter om företag, ärendenummer, datum och sektorer,

—

i elektronisk form på EUR-Lex webbplats, under dokument nummer 32008M4784. EUR-Lex ger tillgång till gemenskapsrätten via Internet (http://eur-lex.europa.eu).

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/18

—

på kommissionens webbplats för konkurrens (http://ec.europa.eu/comm/competition/mergers/cases/). Denna webbplats ger olika möjligheter att hitta enskilda beslut i koncentrationsärenden, även uppgifter om företag, ärendenummer, datum och sektorer,

—

i elektronisk form på EUR-Lex webbplats, under dokument nummer 32008M5092. EUR-Lex ger tillgång till gemenskapsrätten via Internet (http://eur-lex.europa.eu).

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/19

—

på kommissionens webbplats för konkurrens (http://ec.europa.eu/comm/competition/mergers/cases/). Denna webbplats ger olika möjligheter att hitta enskilda beslut i koncentrationsärenden, även uppgifter om företag, ärendenummer, datum och sektorer,

—

i elektronisk form på EUR-Lex webbplats, under dokument nummer 32008M5061. EUR-Lex ger tillgång till gemenskapsrätten via Internet (http://eur-lex.europa.eu).

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/20

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/21

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/22

Gobierno de Navarra

Departamento de Desarrollo Rural y Medio Ambiente

C/ Tudela, 20

E-31003 Pamplona (Navarra)

Dirección General de Desarrollo Rural

C/ Tudela, 20

E-31003 Pamplona

Tlf: (34-848) 42 29 33

E-mail: izabalzv@cfnavarra.es

Gobierno de Navarra

Departement Landbouw en Visserij

Duurzame Landbouwontwikkeling

Ellips, 6e verdieping

Koning Albert II laan 35, bus 40

B-1030 Brussel

—

Artikel 4 i förordning (EG) nr 1857/2006.

—

Code général des collectivités territoriales (partie législative): articles L 1511-1 et L 1511-2

—

Délibération de la commission permanente régionale du 12 octobre 2007

a)

Byggande, förvärv eller förbättring av fast egendom.

b)

Inköp eller hyrköp av maskiner och ny utrustning, inklusive programvara, upp till tillgångens marknadsvärde.

c)

Allmänna kostnader som har samband med de utgifter som nämns i leden a och b, exempelvis för arvoden till arkitekter, ingenjörer och konsulter samt för genomförbarhetsstudier och förvärv av patent och licenser

Conseil régional du Centre

9, rue St Pierre Lentin

F-45041 Orléans cedex 1

Tél.: (33) 02 38 70 30 30

Fax: (33) 02 38 70 31 18

E-mail: Amanda.Tibble@regioncentre.fr

Departamento de Agricultura, Alimentación y Acción Rural

Generalitat de Catalunya

Gran Via de les Corts Catalanes, 612-614

E-08007 Barcelona

2007: 70 000 EUR

2008: 66 750 EUR

2009: 67 500 EUR

2010: 67 875 EUR

2011: 68 250 EUR

2012: 68 625 EUR

2013: 69 000 EUR

—

Upp till 50 % av de stödberättigande kostnaderna i mindre gynnade områden, och upp till 40 % av de stödberättigande kostnaderna för investeringar i andra områden.

—

För investeringar i icke-produktiva byggnader upp till 100 % av kostnaderna.

—

För investeringar i produktionsmedel på jordbruket upp till 60 % av kostnaderna, men upp till 75 % i mindre gynnade områden, under förutsättning att investeringen inte medför någon ökning av produktionskapaciteten på jordbruksföretaget.

—

Ytterligare stöd får beviljas upp till 100 % för extra kostnader för användning av traditionella typer av material som krävs för bevarande av kulturbyggnader.

—

Kommunens stöd ska komplettera delfinansieringen av försäkringspremier ur statsbudgeten med upp till 50 % av de stödberättigande kostnaderna för försäkring av utsäde och grödor samt av djur mot t.ex. sjukdomar.

—

Upp till 100 % av kostnaderna för juridiska och administrativa förfaranden.

—

Upp till 100 % av kostnaderna i form av subventionerade tjänster. Stödet får inte ges som direkt penningstöd till producenterna.

—

Upp till 100 % av de stödberättigande kostnaderna för utbildning och fortbildning av jordbrukare, konsulttjänster, anordnande av forum, tävlingar, utställningar och mässor samt för publikationer, kataloger, kunskapsspridning och kostnader för avbytartjänster. Stödet ska betalas i form av subventionerade tjänster och får inte ges som direkt penningstöd till producenterna

Občina Žužemberk

Grajski trg 33

SLO-8360 Žužemberk

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/27

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/28

Block C, Sector 45

Greenwood City

Gurgaon 122003

Haryana

India

Express Building 9-10

Bahadur Shah Zaraf Marg

New Delhi 110002

India

1.5.2008   

SV

Europeiska unionens officiella tidning

C 110/29