Svar på spm. om databeskyttelse, Europol-konventionen, til Udenrigsministeren Kopi til justitsministeren

Besvarelse af spørgsmål nr. 44 af 14. januar 2003 fra Folketingets Europaudvalg (Alm. del – bilag 467).

Spørgsmål nr. 44:

Der henvises til vedlagte notat.

om

databeskyttelsesspørgsmål i forbindelse med forslaget til protokol om ændring af Europol-konventionen

1. Indledning.

Den 26. juli 1995 blev konventionen af 26. juli 1995 om oprettelse af en europæisk politienhed (Europol-konventionen) vedtaget af Rådet og undertegnet af medlemslandene.

Konventionen, der er gennemført i dansk ret ved lov nr. 415 af 10. juni 1997, trådte i kraft den 1. oktober 1998, og Europol påbegyndte herefter sit virke den 1. juli 1999.

Efter artikel 30, stk. 2, i Traktaten om Den Europæiske Union (TEU) skal Rådet – inden 5 år efter Amsterdam-traktatens ikrafttræden den 1. maj 1999 – fremme samarbejdet blandt andet via Europol inden for en række forskellige områder.

Handlingsplanen for, hvorledes Amsterdam-traktatens bestemmelser om indførelse af et område med frihed, sikkerhed og retfærdighed bedst kan gennemføres, som blev godkendt på Det Europæiske Råds møde i Wien den 11. – 12. december 1998, opregner en række konkrete initiativer, der enten bør iværksættes eller overvejes nærmere med henblik på gennemførelse af TEU artikel 30, stk. 2.

Handlingsplanens pkt. 43 fastslår således, at der inden 2 år efter Amsterdam-traktatens ikrafttræden skal udarbejdes et passende juridisk instrument, der udvider Europols beføjelser til at omfatte de aktiviteter, der er omhandlet i TEU artikel 30, stk. 2.

I konklusionerne fra Det Europæiske Rådsmøde i Tammerfors den 15. – 16. oktober 1999 er det endvidere fremhævet (pkt. 45), at Europol spiller en central rolle i samarbejdet mellem medlemsstaternes myndigheder om efterforskning af grænseoverskridende kriminalitet ved at understøtte forebyggelse, analyse og efterforskning af kriminalitet på EU-plan. Det Europæiske Råd opfordrede i den forbindelse Rådet til at give Europol den nødvendige støtte og de nødvendige ressourcer.

Spørgsmålet om en revision af Europol-konventionen i lyset af bl.a. TEU artikel 30, stk. 2, blev drøftet på rådsmødet (retlige og indre anliggender samt civilbeskyttelse) den 27. – 28. september 2001, hvor der blev opnået enighed om at iværksætte forhandlinger på ekspertniveau på baggrund af en liste over emner, som burde overvejes i forbindelse med en eventuel revision af Europol-konventionen.

I februar måned 2002 fremsatte det daværende spanske formandskab og det tidligere belgiske formandskab et forslag til en protokol om ændring af Europol-konventionen. De dele af forslaget, der vedrører Europols adgang til at anmode medlemsstaterne om at indlede strafferetlig efterforskning i specifikke tilfælde, Europols deltagelse i fælles efterforskningshold og de særlige regler vedrørende erstatningsansvar og immunitet i tilknytning hertil, blev vedtaget i form af en protokol om ændring af Europol-konventionen i forbindelse med rådsmødet (retlige og indre anliggender) den 28. – 29. november 2002. Ved samme lejlighed undertegnede medlemsstaterne protokollen.

I juli måned 2002 fremsatte det daværende danske formandskab yderligere et forslag til en protokol om ændring af Europol-konventionen. Formålet med forslaget er at gennemføre en revision af Europol-konventionen.

Forslaget er fremsat med hjemmel i artikel 43, stk. 1, i Europol-konventionen og er offentliggjort i EF-Tidende den 18. juli 2002 (EFT C 172/15).

Forslaget tillige med et grundnotat herom blev oversendt til Folketingets Retsudvalg og Europaudvalg henholdsvis den 15. august 2002 og den 12. august 2002. Grundnotatet og forslaget blev sendt i høring den 28. august 2002. Datatilsynet afgav i den forbindelse en udtalelse om forslaget ved skrivelse af 11. november 2002.

På rådsmødet (retlige og indre anliggender) den 19. december 2002 blev der opnået politisk enighed om forslaget. En række lande, herunder Danmark, opretholder imidlertid parlamentarisk forbehold over for forslaget. Herudover afventer den formelle vedtagelse af forslaget Europa-Parlamentets udtalelse, ligesom Den Fælles Kontrolinstans vil blive konsulteret med henblik på at sikre, at der er taget fornøden højde for de databeskyttelsesmæssige hensyn.

Det er hensigten at forelægge sagen for Folketingets Retsudvalg til orientering og for Folketingets Europaudvalg med henblik på forhandlingsoplæg forud for vedtagelsen i Rådet, idet forslagets gennemførelse i Danmark vil kræve lovændringer. Der henvises i den forbindelse til det aktuelle notat, der blev oversendt til Retsudvalget og Europaudvalget forud for rådsmødet (retlige og indre anliggender) den 19. december 2002.

1. Datatilsynets bemærkninger.

Europols målsætning (artikel 2).

Datatilsynet har bemærket, at Europol ved indsamlingen, behandlingen og anvendelsen af personoplysninger skal overholde principperne i Europarådets konvention nr. 108 af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger samt Europarådets Ministerråds rekommendation nr. R(87) af 17. september 1987 om behandling af personoplysninger af politimyndigheder (politirekommendationen). Det følger heraf, at indsamling af personlige oplysninger til politimæssige formål er begrænset til de tilfælde, hvor den er nødvendig med henblik på forebyggelse af en konkret fare eller bekæmpelse af en specifik strafbar handling. Datatilsynet lægger til grund, at dette fortsat vil gælde, idet tilsynet peger på muligheden for at lade dette fremgå direkte af bestemmelsen som i den gældende Europol-konvention. Endvidere bemærker Datatilsynet, at forslaget til ændring af artikel 2 er meget bredt formuleret, hvilket bør afvejes i forhold til både databeskyttelsesmyndigheders og borgeres mulighed for at efterprøve, hvorvidt en given behandling falder ind under Europols kompetence. Formuleringen af artikel 2 bør således være mere objektiv. Datatilsynet lægger endvidere til grund, at Europol skal efterprøve, hvorvidt en databehandling falder ind under Europols kompetenceområde.

Det forslag, der blev opnået politisk enighed om på rådsmødet (retlige og indre anliggender) den 19. december 2002, afspejler ovenstående hensyn, idet udkastet til artikel 2 indebærer, at Europol har kompetence til at bekæmpe grov, international kriminalitet, hvis der er konkrete indicier for eller i øvrigt er mistanke om, at der foreligger en kriminel struktur eller organisation, i det omfang to eller flere medlemsstater berøres af kriminaliteten, og de strafbare handlingers omfang, betydning og følger gør fælles handling fra medlemsstaternes side påkrævet. De relevante former for grov, international kriminalitet er opregnet i Europol-konventionen og bilaget hertil, idet der ikke er sket en udvidelse i forhold til den gældende Europol-konvention. Ifølge forslaget får Rådet imidlertid mulighed for ved rådsafgørelse at udvide Europols mandat vedrørende specifikke grove, internationale kriminalitetsformer.

Datatilsynets bemærkninger må anses for imødekommet, idet artikel 2 nu er formuleret i overensstemmelse med de allerede gældende principper, således at der tages udgangspunkt i konkrete kriminalitetsformer og ikke i en generel henvisning til grov, international kriminalitet. Endvidere er Datatilsynets mere generelle bemærkninger om databeskyttelse afspejlet i forslaget.

Europols opgaver (artikel 3).

Datatilsynet har bemærket, at Europols mulighed for at yde analytisk støtte til medlemsstaternes operative projekter må formodes at føre til en mere uigennemsigtig retstilstand, herunder i relation til databeskyttelse og henviser i den forbindelse til, at Den Fælles Kontrolinstans i en udtalelse af 8. november 2001 har udtalt, at anvendelse af analysedatabaser i denne sammenhæng ikke kan ske inden for rammerne af den gældende Europol-konvention.

Den relevante bestemmelse er udgået af forslaget.

De nationale enheder og kompetente myndigheder (artikel 4).

Datatilsynet har lagt til grund, at Europol efter forslaget alene har mulighed for at lagre oplysninger i de edb-baserede datasamlinger, hvis oplysningerne er modtaget fra de nationale enheder og ikke direkte fra de nationale kompetente myndigheder.

Ifølge det reviderede forslag kan medlemsstaterne tillade direkte kontakt mellem udpegede nationale kompetente myndigheder og Europol, idet den enkelte medlemsstat skal fastlægge nærmere retningslinjer herfor. Den nationale enhed skal dog altid inddrages, forinden der etableres direkte kontakt. Dette indebærer, at en medlemsstat kan tillade, at udpegede nationale kompetente myndigheder efter omstændighederne kan videregive oplysninger til Europol med henblik på lagring i de edb-baserede datasamlinger i overensstemmelse med Europol-konventionens regler herom. Den nationale enhed skal samtidig modtage de videregivne oplysninger.

Edb-baserede datasamlinger (artikel 6).

Datatilsynet har bemærket, at det er uklart, hvad betegnelsen "baggrundsmateriale" dækker over.

Det reviderede forslag indebærer, at begrebet "baggrundsmateriale" ikke anvendes, idet en ny artikel 6a bestemmer, at Europol kan behandle oplysninger med henblik på at fastslå, om sådanne oplysninger er relevante for Europols opgaver og således kan lagres i de edb-baserede datasamlinger, der er omhandlet i artikel 6, stk. 1. Oplysningerne må efter denne bestemmelse højst lagres i seks måneder.

Adgang til informationssystemet (artikel 9).

Datatilsynet har understreget behovet for at sikre et højt sikkerhedsniveau.

Forslaget indebærer, at udpegede nationale kompetente myndigheder får mulighed for at foretage søgninger i Europols informationssystem, idet en forespørgsel alene kan be- eller afkræftes. Konkrete oplysninger skal videregives til de nationale kompetente myndigheder gennem den nationale enhed.

Adgang til analysedatabaser og deltagelse i analysegrupper (artikel 10).

Datatilsynet har bemærket, at det kan være nødvendigt at revidere de eksisterende samarbejdsaftaler, hvis repræsentanter fra tredjelande eller eksterne organisationer skal have adgang til at foretage direkte søgninger i analysedatabaser.

Ifølge forslaget kan Europol indbyde eksperter fra tredjelande eller eksterne organisationer til at deltage i en analysegruppes aktiviteter, hvis der er indgået en samarbejdsaftale mellem Europol og det pågældende tredjeland eller den eksterne organisation, der omfatter udvekslingen af personoplysninger. Det følger af bestemmelsen, at der træffes aftale om supplerende vilkår for deltagelse i analysegrupper, idet Europols Styrelsesråd fastlægger rammerne herfor.

Forslaget indebærer endvidere en udvidelse af personkredsen, der kan søge i en analysedatabase, idet alle deltagere i en analysegruppe har mulighed for at søge i den pågældende analysedatabase. Kun Europols analytikere kan indlæse oplysninger i databasen.

Det kan ikke udelukkes, at gennemførelsen af denne bestemmelse vil forudsætte en revision af gældende samarbejdsaftaler med tredjelande. Ændring af disse aftaler vil i givet fald skulle ske efter konventionens regler og efter Rådets godkendelse.

Oprettelse af analysedatabaser (artikel 12).

Datatilsynet har anført, at uanset Den Fælles Kontrolinstans sjældent har bemærkninger til oprettelsesbestemmelser for analysedatabaser, kan ændringen af Den Fælles Kontrolinstans’ rolle fra pro-aktiv til re-aktiv indebære en potentiel forringelse af databeskyttelsesniveauet. Datatilsynet foreslår på den baggrund, at der oprettes standardoprettelsesbestemmelser inden for bestemte områder, der på forhånd godkendes af Den Fælles Kontrolinstans, for at imødekomme praktiske behov og databeskyttelseshensyn. Endvidere er det Datatilsynets opfattelse, at en beslutning om lukning af en analysedatabase i medfør af forslagets artikel 12, stk. 2, bør have virkning fra oprettelsestidspunktet.

Forslaget medfører en forenkling af reglerne for oprettelse af analysedatabaser, således at bestemmelserne for oprettelse af en analysedatabase ikke på forhånd skal godkendes af Europols Styrelsesråd. Imidlertid skal Styrelsesrådet og Den Fælles Kontrolinstans straks underrettes om oprettelsen af en analysedatabase, hvorefter kontrolinstansen kan afgive en udtalelse til Styrelsesrådet. Styrelsesrådet kan på et hvilket som helst tidspunkt give Europols direktør pålæg om at ændre oprettelsesbestemmelserne eller nedlægge analysedatabasen. Europols direktør har mulighed for at anmode Den Fælles Kontrolinstans om at afgive bemærkninger vedrørende oprettelsesbestemmelserne for en analysedatabase inden for en bestemt tidsfrist.

På baggrund af, at en række medlemsstater har givet udtryk for den opfattelse, at den eksisterende oprettelsesprocedure er for langvarig, har det været nødvendigt at sikre, at det operative samarbejde på grundlag af en analysedatabase kan iværksættes med kort varsel, idet der tages højde for databeskyttelsesmæssige hensyn. Endvidere har et flertal af delegationer fundet det rigtigst, at Europols direktør har det primære ansvar for oprettelse af analysedatabaser, men at Europols Styrelsesråd har retten til, om nødvendigt, at ændre eller nedlægge en analysedatabase. Forslaget om, at Den Fælles Kontrolinstans godkender standardoprettelsesbestemmelser inden for en række områder vil kunne indgå i overvejelserne i forbindelse med gennemførelse af de ændrede regler

Bestemmelser om logning (artikel 16).

Datatilsynet har påpeget, at præcise regler om logning bør fremgå af selve konventionen, idet reglerne dog kan uddybes i gennemførelsesbestemmelser til konventionen. Sikkerhedsniveauet bør være så højt som muligt, gerne svarende til kravene fastsat i sikkerhedsbekendtgørelsen (Justitsministeriets bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles af det offentlige), herunder særligt kravet om total-logning.

Ifølge forslaget skal Europol etablere passende kontrolmekanismer for så vidt angår alle dele af Europols edb-baserede datasamlinger, hvilket er en udvidelse i forhold til den gældende Europol-konvention, hvorefter der alene skal foretages logning for så vidt angår informationssystemet, jf. artikel 7 i Europol-konventionen. Forslaget indebærer, at Europol Styrelsesråd, efter høring af Den Fælles Kontrolinstans, fastlægger reglerne for disse kontrolmekanismer.

Idet bestemmelsens anvendelsesområde er udvidet i forhold til den gældende konvention, har det ikke været muligt at fastsætte meget præcise bestemmelser for logning i selve konventionen, da bestemmelsen skal være fleksibel nok til at kunne finde anvendelse for de teknisk meget forskellige dele af Europols edb-baserede samlinger, jf. artikel 6 i Europol-konventionen. Det grundlæggende princip om fastsættelse af bestemmelser om logning er imidlertid imødekommet.

Videregivelse af oplysninger til tredjelande og internationale organisationer (artikel 18).

Datatilsynet har henvist til politirekommendationens princip 5.4.b, hvorefter det, medmindre der foreligger en særlig aftale om udveksling af oplysninger, blandt andet er en betingelse for udveksling af oplysninger, at der tages hensyn til nationale beskyttelsesregler i modtagerlandet. Det følger heraf, at den, der videregiver oplysninger, forudgående må foretage en vurdering af, hvorvidt modtagerlandet set i lyset af den konkrete situation har et tilfredsstillende databeskyttelsesniveau. Hvis dette ikke er tilfældet, vil en videregivelse efter omstændighederne kunne være i strid med politirekommendationen.

Det reviderede forslag til ændring af artikel 18, stk. 1, nr. 3, i Europol-konventionen, afspejler Datatilsynets bemærkninger.

Frist for lagring og sletning af oplysninger (artikel 21).

Datatilsynet har ikke indvendinger imod en absolut opbevaringsfrist på fem år for så vidt angår oplysninger i analysedatabaser, idet den enkelte opbevaring bør ske ud fra konkrete, sagligt begrundede hensyn. Det er endvidere Datatilsynets opfattelse, at en revisionsfrist på ét år – og ikke som foreslået tre år – bør bibeholdes.

Ifølge det reviderede forslag bibeholdes en revisionsfrist på ét år.

1. Konklusion.